JP2018067178A - プログラム更新方法 - Google Patents

Abstract

【課題】制御システムを停止させることなく管理装置のプログラムを更新することを課題とする。
【解決手段】プログラム更新方法は、第１管理装置が、第２管理装置と制御装置とに、制御装置からの被制御装置データの送信先を第１管理装置から第２管理装置に切り替えるように要求する第１の通知を送信する第１送信ステップと、第１管理装置が、第２管理装置に、自身が記憶している、過去の被制御装置データであるログデータを送信する第２送信ステップと、第１管理装置が自身のプログラムを更新する更新ステップと、第１管理装置が、プログラムの更新が完了した後に、第２管理装置と制御装置とに、制御装置からの被制御装置データの送信先を第２管理装置から第１管理装置に切り替えるように要求する第２の通知を送信する第３送信ステップと、を含む。
【選択図】図２

Description

本発明の実施形態は、プログラム更新方法に関する。

従来から、被制御装置（例えば産業プラントにおける各種機器等）を監視・制御する制御システムは、例えば、被制御装置を制御する制御装置と、制御装置の上位装置である管理装置と、を備えている。そして、制御システムにおける制御装置や管理装置は、生産性やアベイラビリティの観点から、連続運転を求められている場合が多い。

一方、制御システムの制御装置や管理装置について、プログラム（動作プログラム）を更新する必要が発生する場合がある。管理装置については、例えば、次の二通りの場合がある。１つは、管理装置のプログラムに欠陥や脆弱性が発見された場合である。もう１つは、制御システムがクローズドネットワークで構成されていた際に、汎用ＯＳ（Operating System）の採用や外部ネットワーク・外部メディアの接続といった運用環境のオープン化に伴い、セキュリティ（情報セキュリティ）対策として、管理装置に定期的にセキュリティパッチ（修正プログラム）を適用する場合である。

国際公開第２０１５／１１４７９１号

しかしながら、従来技術では、管理装置のプログラムを更新する間は、制御システムを停止する必要がある。そこで、本発明は、このような状況に鑑みてなされたものであり、制御システムを停止させることなく管理装置のプログラムを更新することを課題とする。

実施形態のプログラム更新方法は、被制御装置から、当該被制御装置に関するデータが示された被制御装置データを受信する制御装置と、当該制御装置から、当該被制御装置データを受信し、当該被制御装置データを記憶する第１管理装置と、を少なくとも備える制御システムで実行される。このプログラム更新方法は、前記第１管理装置が、第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第１管理装置から前記第２管理装置に切り替えるように要求する第１の通知を送信する第１送信ステップと、前記第１管理装置が、前記第２管理装置に、自身が記憶している、過去の前記被制御装置データであるログデータを送信する第２送信ステップと、前記第１管理装置が自身のプログラムを更新する更新ステップと、前記第１管理装置が、前記プログラムの更新が完了した後に、前記第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第２管理装置から前記第１管理装置に切り替えるように要求する第２の通知を送信する第３送信ステップと、を含む。

図１は、第１実施形態の制御システムの構成例を示す図である。 図２は、第１実施形態の制御システムの処理を示すフローチャートである。 図３は、第１実施形態の構成情報の例を示す図である。 図４は、第１実施形態において、第２管理装置で表示することができる被制御装置データの説明図である。 図５は、第２実施形態の制御システムの構成例を示す図である。 図６は、第２実施形態の構成情報の例を示す図である。 図７は、第２実施形態の制御装置の処理を示すフローチャートである。 図８は、第２実施形態の制御装置の他の処理を示すフローチャートである。 図９は、第３実施形態の制御システムの構成例を示す図である。 図１０は、第３実施形態の制御システムの処理を示すフローチャートである。 図１１は、第３実施形態の構成情報の例を示す図である。 図１２は、第４実施形態の制御システムの構成例を示す図である。

以下、実施形態のプログラム更新方法等について、図面を参照して説明する。なお、同一の構成要素には、同一の符号を付し、重複説明を適宜省略する。

（第１実施形態）
図１は、第１実施形態の制御システムＳの構成例を示す図である。制御システムＳは、ネットワーク５を介して互いに接続される第１管理装置１、第２管理装置２、および、制御装置３を備える。制御装置３は、被制御装置４を監視・制御する。被制御装置４は、例えば、産業プラントにおける各種機器であり、制御装置３からの制御信号により動作するとともに、被制御装置データを制御装置３に送信する。

被制御装置データとは、被制御装置４に関するデータであり、例えば、被制御装置４に接続された電圧センサによる電圧値等の検出データである。

この第１実施形態では、次の場合を例にとって説明する。なお、第１管理装置１、第２管理装置２、および、制御装置３は、自身の記憶部に記憶されたプログラム（動作プログラム）を、ＣＰＵが実行することで、各種制御を行う。

まず、第１管理装置１が制御装置３から被制御装置データを受信しているものとする。次に、第１管理装置１のプログラム（動作プログラム）を更新するために、制御装置３からの被制御装置データの送信先を、第１管理装置１から第２管理装置２に切り替える。そして、第２管理装置２が制御装置３から被制御装置データを受信している間に、第１管理装置１が自身のプログラムを更新する。その後、制御装置３からの被制御装置データの送信先を、第２管理装置２から第１管理装置１に戻す。

次に、制御装置３、第１管理装置１、および、第２管理装置２の各構成について説明する。制御装置３は、例えば、ＰＬＣ（Programmable Logic Controller）等の制御用コントローラであり、処理部３１、記憶部３２、入力部３３、表示部３４、および、データ入出力部３５を備える。なお、制御装置３は、ネットワーク５を介して外部装置との通信を行うための通信インタフェースも備えるが、図示と詳細な説明を省略する（第１管理装置１、第２管理装置２、および、図９の監視装置７についても同様）。

処理部３１は、モード切替部３１１、モード変更通知受信部３１２、被制御装置データ受信部３１３、被制御装置データ送信部３１４、および、制御部３１５を備える。

モード切替部３１１は、第１管理装置１からのモード変更通知の受信に応じて、第１管理装置１の現在の動作モードが運転モードと更新モードのいずれであるのかの認識を切り替える。第１管理装置１について、運転モードとは、制御装置３から被制御装置データを受信するモードである。また、更新モードとは、プログラムを更新するモードである。

モード変更通知受信部３１２は、第１管理装置１、第２管理装置２からモード変更通知を受信する。

モード変更通知とは、制御装置３からの被制御装置データの送信先の切り替えを要求する通知である。例えば、第１管理装置１が、運転モードから更新モードに切り替える場合には、制御装置３からの被制御装置データの送信先を第１管理装置１から第２管理装置２に切り替えるように要求する通知となる。他の例としては、第１管理装置１が、更新モードから運転モードに切り替える場合には、制御装置３からの被制御装置データの送信先を第２管理装置２から第１管理装置１に切り替えるように要求する通知となる。

被制御装置データ受信部３１３は、被制御装置４から被制御装置データを、データ入出力部３５を介して受信する。

被制御装置データ送信部３１４は、被制御装置データ受信部３１３が受信した被制御装置データを、第１管理装置１が運転モードの場合、第１管理装置１に送信する。被制御装置データ送信部３１４は、被制御装置データ受信部３１３が受信した被制御装置データを、第１管理装置１が更新モードの場合、第２管理装置２に送信する。

制御部３１５は、記憶部３２に記憶されたプログラムや、被制御装置データ受信部３１３が受信した被制御装置データ等に基づいて被制御装置４に対する制御信号を演算する等の各種制御を実行する。

記憶部３２は、構成情報、プログラム等の各種情報を記憶する。構成情報は、制御システムＳ内の第１管理装置１、第２管理装置２、制御装置３等の構成に関する情報であり、例えば、図３に示す通りである。図３は、第１実施形態の構成情報の例を示す図である。

図３に示す例では、構成情報は、装置の種別とＩＰ（Internet Protocol）アドレス（アドレス情報）から構成されている。例えば、被制御装置データ送信部３１４は、被制御装置データを第１管理装置１や第２管理装置２に送信するときに、この構成情報を参照することで、送信先のＩＰアドレスを特定することができる。

図１に戻って、入力部３３は、ユーザが情報を入力する手段であり、例えば、キーボードやマウスである。表示部３４は、情報を表示する手段であって、例えば、ＬＣＤ（Liquid Crystal Display）等である。データ入出力部３５は、被制御装置４との間で、データの入出力を行う。

第１管理装置１は、制御装置３の上位装置であり、例えば、制御システムＳのエンジニアリングを行うツールや、被制御装置４の運転状況をリアルタイムで表示する表示装置としての役割を果たす。第１管理装置１は、処理部１１、記憶部１２、入力部１３、および、表示部１４を備える。

処理部１１は、モード切替部１１１、モード変更通知送信部１１２、モード変更通知受信部１１３、ログデータ送信部１１４、ログデータ受信部１１５、被制御装置データ受信部１１６、および、制御部１１７を備える。

モード切替部１１１は、例えば、入力部１３やＤＩＰ（Dual In-line Package）スイッチ（不図示）等を用いたユーザ操作に基づいて、第１管理装置１の動作モードを、運転モードと更新モードの間で切り替える。なお、モード切替部１１１は、ソフトウェアで予め定められたタイミングで当該切替を行ってもよい。

モード変更通知送信部１１２は、第１管理装置１の動作モードが運転モードから更新モードに変更された旨とともに、制御装置３からの被制御装置データの送信先を第１管理装置１から第２管理装置２に切り替えるように要求するモード変更通知を、第２管理装置２や制御装置３に送信する。または、モード変更通知送信部１１２は、第１管理装置１の動作モードが更新モードから運転モードに変更された旨とともに、制御装置３からの被制御装置データの送信先を第２管理装置２から第１管理装置１に戻すように要求するモード変更通知を、第２管理装置２や制御装置３に送信する。モード変更通知受信部１１３は、第２管理装置２からモード変更通知を受信する（本実施形態では不使用）。

ログデータ送信部１１４は、記憶部１２に蓄積されているログデータを第２管理装置２に送信する。なお、本実施形態では、ログデータとは、過去の被制御装置データを指す。ログデータ受信部１１５は、第２管理装置２からログデータを受信する。

被制御装置データ受信部１１６は、制御装置３から被制御装置データを、ネットワーク５を介して受信し、記憶部１２にログデータとして蓄積する。

制御部１１７は、記憶部１２に記憶されたプログラムに基づいて各種演算処理を実行する。例えば、制御部１１７は、制御装置３に対して、被制御装置データを送信するように要求する制御信号を送信する。

記憶部１２は、構成情報（図３）、ログデータ、プログラム等の各種情報を記憶する。

入力部１３は、ユーザが情報を入力する手段であり、例えば、キーボードやマウスである。表示部１４は、情報を表示する手段であって、例えば、ＬＣＤ等である。表示部１４は、例えば、被制御装置データをグラフ等で表示する。

第２管理装置２の構成は、第１管理装置１の構成と同じであるので、詳細な説明を省略する。なお、第１管理装置１の各構成の最左端の符号を「１」から「２」に変えたものが、第２管理装置２の各構成である。

ネットワーク５は、例えば、Ethernet（登録商標）等のＩＰベースのネットワークである。また、ネットワーク５は、第１管理装置１、第２管理装置２、および、制御装置３の間で専用のプロトコルで通信するフィールドバスネットワークでもよい。

次に、制御システムＳの処理について説明する。図２は、第１実施形態の制御システムＳの処理を示すフローチャートである。第１管理装置１のプログラムを更新する場合、まず、第１管理装置１において、例えばユーザが入力部１３を用いて所定の操作を行うと、モード切替部１１１は、第１管理装置１の動作モードを運転モードから更新モードに切り替える（ステップＳ１）。

次に、第１管理装置１の制御部１１７は、代替装置を設定する（ステップＳ２）。具体的には、制御部１１７は、構成情報（図３）を参照して、第１管理装置１の代替装置として第２管理装置２を選択する。なお、代替装置は予め決定しておいてもよいし、また、その都度ユーザが選択してもよい。

次に、第１管理装置１のモード変更通知送信部１１２は、第１管理装置１の動作モードが運転モードから更新モードに変更され、代替装置として第２管理装置２を設定し、制御装置３からの被制御装置データの送信先を第１管理装置１から第２管理装置２に切り替えるように要求する旨のモード変更通知（第１の通知）を第２管理装置２と制御装置３とに送信する（ステップＳ３、第１送信ステップ）。

第２管理装置２において、モード変更通知受信部２１３はこのモード変更通知を受信し（ステップＳ４）、受信待機状態となる（ステップＳ５）。

また、制御装置３において、モード変更通知受信部３１２はこのモード変更通知を受信し（ステップＳ６）、制御部３１５は被制御装置データの送信先を第１管理装置１から第２管理装置２に変更する（ステップＳ７）。

その後、第１管理装置１において、ログデータ送信部１１４は記憶部１２に記憶されているログデータを第２管理装置２に送信する（ステップＳ８、第２送信ステップ）。そして、第２管理装置２において、ログデータ受信部２１５はこのログデータを受信し（ステップＳ９）、記憶部２２に記憶する。

ステップＳ７の後、制御装置３の被制御装置データ送信部３１４は被制御装置データを第２管理装置２に送信し、第２管理装置２の被制御装置データ受信部２１６はこの被制御装置データを受信して記憶部２２にログデータとして蓄積する（ステップＳ１０〜Ｓ１５）。

ここまでの処理により、第２管理装置２では、自身が制御装置３から受信した被制御装置データだけでなく、それ以前のログデータも第１管理装置１から受信していることで、それらを併せて表示部２４に表示することができる。これについて、図４を用いて説明する。図４は、第１実施形態において、第２管理装置２で表示することができる被制御装置データの説明図である。図４（ａ）は第１管理装置１が記憶しているログデータである。このログデータを第１管理装置１から第２管理装置２に送信すると、第２管理装置２でもそのログデータを表示することができる（図４（ｂ））。そして、第２管理装置２では、そのログデータ（時刻ｔ１以前のデータ）と、その後に受信した被制御装置データ（時刻ｔ１以降のデータ）を併せて表示することができる（図４（ｃ））。

なお、ステップＳ８で第１管理装置１から第２管理装置２に送信するのは、ログデータに限定されず、制御装置３の動作履歴や警告情報等を含んでいてもよい。また、制御装置３から被制御装置データを受信する装置が第１管理装置１から第２管理装置２に切り替わるときに、被制御装置データが欠落することをより確実に防止するため、制御装置３は、第１管理装置１からモード変更通知を受信した後の所定時間、被制御装置データを第１管理装置１と第２管理装置２の両方に送信するようにしてもよい。その所定時間は、予めベンダーやユーザ等によって設定されていてもよいし、また、制御装置３が第２管理装置２から被制御装置データを受信した旨の信号を受信するときまでのタイミングとしてもよい。これにより、例えば、第１管理装置１から第２管理装置２へログデータを送信する時間が長期化した場合等であっても、被制御装置データの欠落を抑制することが可能になる。

ステップＳ８の後、第１管理装置１において、制御部１１７は、自身のプログラムを更新する（ステップＳ１６、更新ステップ）。このプログラムの更新が完了すると（ステップＳ１７）、第１管理装置１において、モード切替部１１１は、第１管理装置１の動作モードを更新モードから運転モードに切り替える（ステップＳ１８）。

次に、第１管理装置１のモード変更通知送信部１１２は、第１管理装置１の動作モードが更新モードから運転モードに変更され、制御装置３からの被制御装置データの送信先を第２管理装置２から第１管理装置１に切り替える（戻す）ように要求する旨のモード変更通知（第２の通知）を第２管理装置２と制御装置３とに送信する（ステップＳ１９、第３送信ステップ）。

第２管理装置２において、モード変更通知受信部２１３はこのモード変更通知を受信し（ステップＳ２０）、ログデータ送信部２１４は記憶部２２に記憶されているログデータを第１管理装置１に送信する（ステップＳ２１、第４送信ステップ）。

また、制御装置３において、モード変更通知受信部３１２はこのモード変更通知を受信し（ステップＳ２２）、制御部３１５は被制御装置データの送信先を第２管理装置２から第１管理装置１に変更する（ステップＳ２３）。その後、制御装置３の被制御装置データ送信部３１４は被制御装置データを第１管理装置１に送信する（ステップＳ２４）。

ステップＳ１９の後、第１管理装置１において、ログデータ受信部１１５は第２管理装置２からのログデータを受信し（ステップＳ２５）、記憶部１２に記憶する。その後、第１管理装置１の被制御装置データ受信部１１６は、制御装置３から被制御装置データを受信し（ステップＳ２６）、記憶部２２にログデータとして蓄積する。

このようにして、第１実施形態によれば、制御システムＳを停止させることなく第１管理装置１のプログラムを更新することができる。また、第１管理装置１では、ステップＳ２５で第２管理装置２からログデータを受信していることで、被制御装置データの全体を表示部１４に表示することができる。したがって、第１管理装置１でプログラムを更新している間は第２管理装置２で被制御装置データの全体を表示でき、また、第１管理装置１でプログラムを更新した後は第１管理装置１で被制御装置データの全体を表示することができるので、制御システムＳとしてのアベイラビリティを担保することが可能となる。

なお、制御装置３からの被制御装置データの送信先が第１管理装置１から第２管理装置２に切り替わるときと同様に、制御装置３からの被制御装置データの送信先が第２管理装置２から第１管理装置１に切り替わるときも、被制御装置データが欠落することをより確実に防止するため、制御装置３は、第１管理装置１からモード変更通知を受信した後の所定時間、被制御装置データを第１管理装置１と第２管理装置２の両方に送信するようにしてもよい。

（第２実施形態）
次に、第２実施形態の制御システムＳについて、図５〜図８を参照して説明する。図５は、第２実施形態の制御システムＳの構成例を示す図である。この第２実施形態は、第１実施形態と比べて、第２管理装置２が、第１管理装置１と制御装置３が属する内部ネットワーク（以下、単に「内部ネットワーク」という場合がある。）の外部に配置されている点で異なっている。第２管理装置２は、ＧＷ（GateWay）６を介して、ネットワーク５に接続されている。第２管理装置２は、例えば、いわゆるクラウドサーバにより実現できる。なお、第２管理装置２は常に動作しているものではなく、制御装置３と同一ネットワーク上に配置されている第１管理装置１を更新する場合のみ稼動してもよい。

また、この第２実施形態において、第１管理装置１の記憶部１２、第２管理装置２の記憶部２２、および、制御装置３の記憶部３２で保持される構成情報は、図６に示す通りである。図６は、第２実施形態の構成情報の例を示す図である。

図６に示す例では、構成情報は、装置の種別とＩＰアドレスに加えて、設置エリアを含んでいる。この構成情報では、第１管理装置１と制御装置３の設置エリアはローカル、第２管理装置２の設置エリアは外部と設定されている。

第２実施形態の制御システムＳの処理の全体は、図２に示すフローチャートと同様であるので、説明を省略する。ここで、制御装置３が、内部ネットワークの外部に存在する第２管理装置２に被制御装置データを送信するのは、セキュリティ上、特に問題はない。しかし、図２に示す処理のほかに、例えば、制御装置３が、内部ネットワークの外部に存在する第２管理装置２からのアクセスを無制限に許容すると、セキュリティ上、好ましくない。そこで、制御装置３が図７に示す処理を実行することで、制御装置３が保持する構成情報やプログラムを変更するため等の第２管理装置２からのアクセスを制限（拒否）する。

図７は、第２実施形態の制御装置３の処理を示すフローチャートである。まず、制御装置３は、第１管理装置１または第２管理装置２からデータを受信する（ステップＳ３１）。次に、制御部３１５は、記憶部３２の構成情報（図６）を参照して（ステップＳ３２）、受信ＩＰアドレスを判定し（ステップＳ３３）、送信元がローカルであれば（ステップＳ３４でＹｅｓ。送信元が第１管理装置１の場合）はステップＳ３５に進み、送信元がローカルでなく外部であれば（ステップＳ３４でＮｏ。送信元が第２管理装置２の場合）はステップＳ３６に進む。

ステップＳ３５において、制御部３１５は、データを許容する。また、ステップＳ３６において、制御部３１５は、データを破棄する。

このようにして、第２管理装置２が内部ネットワークの外部に配置されている場合でも、制御装置３は第２管理装置２から任意のタイミングで受信したデータを破棄するので、制御システムＳとしてセキュアな制御を継続することが可能になる。なお、制御装置３は、第２管理装置２から被制御装置データの送信要求信号のようなデータを受けた場合は、図７の処理を実行する必要はなく、そのデータを許容してよい。

また、制御装置３が、内部ネットワークの外部の悪意ある第三者の使用する装置（以下、「第三者装置」と称する。）からＩＰアドレスを偽装したデータを受信する場合も考えられる。その場合の対策について説明する。図８は、第２実施形態の制御装置３の他の処理を示すフローチャートである。以下では、第１管理装置１、および、第２管理装置２は、データを予め規定された暗号化アルゴリズムによって暗号化し、その暗号化データを制御装置３に送信するものとする。

まず、制御装置３は、第１管理装置１、第２管理装置２、または、第三者装置からデータを受信する（ステップＳ３１）。次に、制御部３１５は、そのデータが暗号化データであって復号を行って成功したか否かを判定する（ステップＳ３７）。

ステップＳ３７でＹｅｓの場合（第１管理装置１または第２管理装置２からのデータの場合）、制御部３１５は、記憶部３２の構成情報（図６）を参照して（ステップＳ３２）、受信ＩＰアドレスを判定する（ステップＳ３３）。

送信元がローカルであれば（ステップＳ３４でＹｅｓ。送信元が第１管理装置１の場合）、制御部３１５は、データを許容する（ステップＳ３５）。また、送信元がローカルでなく外部であれば（ステップＳ３４でＮｏ。送信元が第２管理装置２の場合）、制御部３１５は、データを破棄する（ステップＳ３６）。

また、ステップＳ３７でＮｏの場合（第三者装置からのデータの場合）、制御部３１５は、データを破棄する（ステップＳ３６）。

このようにして、第２管理装置２が内部ネットワークの外部に配置されている場合に、制御装置３は任意のタイミングで第２管理装置２および第三者装置から受信したデータを破棄するので、制御システムＳとしてセキュアな制御を継続することが可能になる。また、制御装置３と同一ネットワーク上に第１管理装置１の代替装置としての第２管理装置２を常設しておく必要がなくなるので、アセットライトにつながる。

（第３実施形態）
次に、第３実施形態の制御システムＳについて、図９〜図１１を参照して説明する。図９は、第３実施形態の制御システムＳの構成例を示す図である。この第３実施形態は、第１実施形態と比べて、制御システムＳに監視装置７が追加されるとともに、第１管理装置１の記憶部１２、第２管理装置２の記憶部２２、および、制御装置３の記憶部３２に、構成情報が記憶されない点で異なっている。また、この第３実施形態では、第１実施形態と同様、制御装置３からの被制御装置データの送信先を、第１管理装置１から第２管理装置２に切り替え、その後、第１管理装置１のプログラムを更新してから第１管理装置１に戻す場合について説明する。

監視装置７は、第１管理装置１と制御装置３とそれらの通信相手の装置（第２管理装置２など）のアドレス情報を管理するコンピュータ装置であって、処理部７１、記憶部７２、入力部７３、および、表示部７４を備える。処理部７１は、モード切替部７１１、モード変更通知送信部７１２、および、制御部７１３を備える。

モード切替部７１１は、第１管理装置１の動作モードを、運転モードと更新モードの間で切り替える旨の設定をする。モード変更通知送信部７１２は、第１管理装置１の動作モードを運転モードから更新モードに変更する旨、または、第１管理装置１の動作モードを更新モードから運転モードに変更する旨のモード変更通知（第１の通知）を、第１管理装置１、第２管理装置２、および、制御装置３に送信する。それらのモード変更通知は、当該モード変更によって必要となるアドレス情報（第１管理装置１、第２管理装置２、制御装置３のＩＰアドレスのうちの１つ以上）を含む。制御部７１３は、記憶部７２に記憶されたプログラム（不図示）に基づいて各種演算処理を実行する。

記憶部７２は、構成情報、プログラム（不図示）等の各種情報を記憶する。構成情報は、例えば、図１１に示す通りである。図１１は、第３実施形態の構成情報の例を示す図である。図１１に示す例では、構成情報は、装置の種別とＩＰアドレスと代替先とから構成されている。例えば、構成情報の一段目には、種別が第１管理装置１の場合、そのＩＰアドレスと、代替先が第２管理装置２である旨と、が定義されている。

入力部７３は、ユーザが情報を入力する手段であり、例えば、キーボードやマウスである。表示部７４は、情報を表示する手段であって、例えば、ＬＣＤ等である。

次に、制御システムＳの処理について説明する。図１０は、第３実施形態の制御システムＳの処理を示すフローチャートである。第１管理装置１のプログラムを更新する場合、まず、監視装置７において、第１管理装置１のプログラムの更新要求が認識される（ステップＳ１０１）。この更新要求認識は、監視装置７においてユーザが入力部７３を操作することで実現してもよいし、また、第１管理装置１から監視装置７に更新要求信号を送信することにより実現してもよい。

次に、監視装置７の制御部７１３は、例えば構成情報（図１１）を参照して、第１管理装置１の代替装置として第２管理装置２を設定する（ステップＳ１０２）。なお、代替装置は予め決定しておいてもよいし、また、その都度ユーザが選択してもよい。

次に、監視装置７において、モード切替部７１１は、第１管理装置１の動作モードを運転モードから更新モードに切り替える旨の設定をする。そして、モード変更通知送信部７１２は、当該切替、および、第１管理装置１の代替装置として第２管理装置２を設定する旨のモード変更通知（構成情報におけるＩＰアドレスの情報も含む。）（第１の通知）を、第１管理装置１と第２管理装置２と制御装置３とに送信する（ステップＳ１０３、第１送信ステップ）。

第１管理装置１において、モード変更通知受信部１１３はこのモード変更通知を受信し（ステップＳ１０４）、モード切替部１１１は第１管理装置１の動作モードを運転モードから更新モードに変更する。ステップＳ４〜Ｓ１７については、図２と同様である。

ステップＳ１７の後、第１管理装置１において、制御部１１７は、更新完了通知を監視装置７に送信する（ステップＳ１１１）。

監視装置７において、制御部７１３が第１管理装置１から更新完了通知を受信すると（ステップＳ１１２）、モード切替部７１１は、第１管理装置１の動作モードを更新モードから運転モードに切り替える旨の設定をする（ステップＳ１１３）。

次に、監視装置７のモード変更通知送信部７１２は、制御装置３からの被制御装置データの送信先を第２管理装置２から第１管理装置１に戻す旨のモード変更通知（第２の通知）を、第１管理装置１と第２管理装置２と制御装置３とに送信する（ステップＳ１１４、第３送信ステップ）。

第１管理装置１において、モード変更通知受信部１１３はこのモード変更通知を受信し（ステップＳ１１５）、モード切替部１１１は第１管理装置１の動作モードを更新モードから運転モードに変更する。ステップＳ２０〜Ｓ２６については、図２と同様である。

このようにして、第３実施形態によれば、第１実施形態の効果に加えて、監視装置７だけが構成情報を保持すればよく、第１管理装置１、第２管理装置２、制御装置３は、構成情報を保持する必要がないので、各構成がシンプルになるという効果を奏する。この効果は、管理装置や制御装置の数が多いほど、大きい。

（第４実施形態）
次に、第４実施形態の制御システムＳについて、図１２を参照して説明する。図１２は、第４実施形態の制御システムＳの構成例を示す図である。第１実施形態と比べたときの第２実施形態と同様、この第４実施形態は、第３実施形態と比べて、第２管理装置２が、第１管理装置１と制御装置３が属する内部ネットワークの外部に配置されている点で異なっている。つまり、第２管理装置２は、ＧＷ６を介して、ネットワーク５に接続されている。その他の点は第３実施形態と同様なので、説明を省略する。

第４実施形態によれば、第２管理装置２が内部ネットワークの外部に配置されていることで、制御装置３と同一ネットワーク上に第１管理装置１の代替装置としての第２管理装置２を常設しておく必要がなくなり、アセットライトにつながる。また、その場合でも、第２実施形態と同様、制御装置３が第２管理装置２や第三者装置から受信したデータを破棄するようにすることで、制御システムＳとしてセキュアな制御を継続することが可能になる。

以上、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

例えば、管理装置は、第１管理装置１と第２管理装置２の２台でなく、３台以上であってもよい。また、制御装置は、制御装置３の１台でなく、２台以上であってもよい。

１ 第１管理装置
１１ 処理部
１１１ モード切替部
１１２ モード変更通知送信部
１１３ モード変更通知受信部
１１４ ログデータ送信部
１１５ ログデータ受信部
１１６ 被制御装置データ受信部
１１７ 制御部
１２ 記憶部
１３ 入力部
１４ 表示部
２ 第２管理装置
２１ 処理部
２１１ モード切替部
２１２ モード変更通知送信部
２１３ モード変更通知受信部
２１４ ログデータ送信部
２１５ ログデータ受信部
２１６ 被制御装置データ受信部
２１７ 制御部
２２ 記憶部
２３ 入力部
２４ 表示部
３ 制御装置
３１ 処理部
３１１ モード切替部
３１２ モード変更通知受信部
３１３ 被制御装置データ受信部
３１４ 被制御装置データ送信部
３１５ 制御部
３２ 記憶部
３３ 入力部
３４ 表示部
３５ データ入出力部
４ 被制御装置
５ ネットワーク
６ ＧＷ
７ 監視装置
７１ 処理部
７１１ モード切替部
７１２ モード変更通知送信部
７１３ 制御部
７２ 記憶部
７３ 入力部
７４ 表示部
Ｓ 制御システム

Claims (6)

1. 被制御装置から、当該被制御装置に関するデータが示された被制御装置データを受信する制御装置と、当該制御装置から、当該被制御装置データを受信し、当該被制御装置データを記憶する第１管理装置と、を少なくとも備える制御システムで実行されるプログラム更新方法において、
   前記第１管理装置が、第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第１管理装置から前記第２管理装置に切り替えるように要求する第１の通知を送信する第１送信ステップと、
   前記第１管理装置が、前記第２管理装置に、自身が記憶している、過去の前記被制御装置データであるログデータを送信する第２送信ステップと、
   前記第１管理装置が自身のプログラムを更新する更新ステップと、
   前記第１管理装置が、前記プログラムの更新が完了した後に、前記第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第２管理装置から前記第１管理装置に切り替えるように要求する第２の通知を送信する第３送信ステップと、
   を含むプログラム更新方法。
2. 被制御装置から、当該被制御装置に関するデータが示された被制御装置データを受信する制御装置と、当該制御装置から、当該被制御装置データを受信し、当該被制御装置データを記憶する第１管理装置と、前記第１管理装置と前記制御装置とそれらの通信相手の装置のアドレス情報を管理する監視装置と、を少なくとも備える制御システムで実行されるプログラム更新方法において、
   前記監視装置が、前記第１管理装置と第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第１管理装置から前記第２管理装置に切り替えるように要求するとともに当該切り替えに必要なアドレス情報を含む第１の通知を送信する第１送信ステップと、
   前記第１管理装置が、前記第２管理装置に、自身が記憶している、過去の前記被制御装置データであるログデータを送信する第２送信ステップと、
   前記第１管理装置が自身のプログラムを更新する更新ステップと、
   前記監視装置が、前記第１管理装置の前記プログラムの更新が完了した後に、前記第１管理装置と前記第２管理装置と前記制御装置とに、前記制御装置からの前記被制御装置データの送信先を前記第２管理装置から前記第１管理装置に切り替えるように要求する第２の通知を送信する第３送信ステップと、
   を含むプログラム更新方法。
3. 前記第２管理装置は、前記制御装置と前記第１管理装置が属する内部ネットワークの外部に配置されている、請求項１または請求項２に記載のプログラム更新方法。
4. 前記制御装置は、前記第２管理装置からデータを受信した場合に、前記第２管理装置が前記内部ネットワークの外部に配置されていると判定し、当該データを破棄する、請求項３に記載のプログラム更新方法。
5. 前記制御装置は、前記第１送信ステップで前記第１の通知を受信した後の所定時間、前記被制御装置データを前記第１管理装置と前記第２管理装置の両方に送信する、請求項１から請求項４のいずれか一項に記載のプログラム更新方法。
6. 前記第２管理装置が、前記第３送信ステップで前記第２の通知を受信した後に、前記第１管理装置に、前記制御装置から受信した過去の前記被制御装置データであるログデータを送信する第４送信ステップをさらに含む、請求項１から請求項５のいずれか一項に記載のプログラム更新方法。

Images