ソフトウエア書き換え装置およびその装置を用いたソフトウエアの書き換え方法
【課題】特別に信頼性およびセキュリティが要求される被制御部を制御するカード基板に設けられたＳ／Ｗの更新が、特定された人を同定することによってなされるＳ／Ｗ書き換え装置を提供する。
【解決手段】被制御部を制御運転するカード基板１００に、予め別途第１の認証情報４ａ、更新用Ｓ／Ｗ４ｂが読み込まれた書き込み実装部１が着脱可能に設けられ、該書き込み実装部１がカード基板１００に取り付けられると、ＣＰＵ回路部８に格納された第２の認証情報１０ａとの一致性が確認された後、ＣＰＵ回路部８のアプリケーションＳ／Ｗ１０ｂが更新用Ｓ／Ｗ４ｂに更新され、書き込み実装部１がカード基板１００から取り外された状態でプラント機器の運転が行われる。
【解決手段】被制御部を制御運転するカード基板１００に、予め別途第１の認証情報４ａ、更新用Ｓ／Ｗ４ｂが読み込まれた書き込み実装部１が着脱可能に設けられ、該書き込み実装部１がカード基板１００に取り付けられると、ＣＰＵ回路部８に格納された第２の認証情報１０ａとの一致性が確認された後、ＣＰＵ回路部８のアプリケーションＳ／Ｗ１０ｂが更新用Ｓ／Ｗ４ｂに更新され、書き込み実装部１がカード基板１００から取り外された状態でプラント機器の運転が行われる。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、原子力発電プラント等の特別に信頼性およびセキュリティが要求されるプラント機器における書き換え可能な不揮発性メモリを有するカード基板に関するもので、特に外部からのカード基板へのソフトウエア書き込み要求に対して容易に書き換えができない構成が設けられたソフトウエア書き換え装置およびその装置を用いたソフトウエアの書き換え方法に係るものである。
【背景技術】
【０００２】
従来の技術として動作プログラムがＲＯＭに収納され、その書き換えに際してはインタフェース部に設けられたコネクタを外部装置に接続し、新しい動作プログラムを外部装置から読み込むことで動作プログラムの書き換えができること、またＲＯＭに搭載された初期プログラムに書き込まれた暗証番号と同じ番号を、外部装置から入力しない動作プログラムの書き換えが開始されない、つまり暗証番号を知らなければ動作プログラムの書き換えが出来ないとする書き換えを防止するものが示されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平０６−０４５９９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら上記特許文献１に示された技術は、暗証番号などの外部コードがわかれば誰にでも不揮発性メモリの内容が読み出し可能となる点、および人為的な入力を行うものであるので、外部から悪意あるコードや誤ったコードが入力された場合についての対策について何ら記載がなく、原子力発電プラント等の高信頼性を必要とされるシステムには必ずしも満足すべきものではない。
【０００５】
この発明は上記のような課題を解決するためになされたものであって、所定の認証情報が格納された外部装置が、カード基板に取り付けられた状態においてのみソフトウエアの書き換えを可能とし、またソフトウエア書き換え後に外部装置が取り外されることにより、プラント機器の運転可能とするソフトウエア書き換え装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
第１の発明に係る被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置は、書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエア、およびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報およびソフトウエアとが格納された第２の不揮発性メモリが設けられており、カード基板に書き込み実装部が装着時に、書き込み実装部に設けられた第１のＣＰＵが読み出す第１の認証情報を受信するＣＰＵ回路部に設けられた第２のＣＰＵは、第２の不揮発性メモリに格納されている複数の第２の認証情報の中から第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、第１のＣＰＵから更新用ソフトウエアを受信して第２の不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものであり、書き込み実装部がカード基板から離脱時に、表示部に被制御部が運転可能と表示されるものである。
【０００７】
第２の発明に係る被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置は、書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエアおよびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報ならびに複数の第２の指紋認証情報および、ソフトウエアとが格納された第２の不揮発性メモリが設けられており、カード基板に書き込み実装部が装着時に、書き込み実装部に設けられた第１のＣＰＵが読み出す第１の認証情報を受信するＣＰＵ回路部に設けられた第２のＣＰＵは、第２の不揮発性メモリに格納されている複数の第２の認証情報の中から、第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、この確認結果から第１のＣＰＵが、書き込み実装部に設けられた指紋認証回路部によって認証された更新用ソフトウエアを取り扱う技術員の第１の指紋認証情報を読み出し、第２のＣＰＵは複数の第２の指紋認証情報の中から、第１の指紋認証情報に合致する第２の指紋認証情報を読み出して一致性を確認し、第１のＣＰＵから更新用ソフトウエアを受信して第２の不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものであり、書き込み実装部がカード基板から離脱時に、表示部に被制御部が運転可能と表示されるものである。
【０００８】
第３の発明に係るソフトウエアの書き換え方法は、前記第１の請求項あるいは第２の請求項に記載されたソフトウエア書き換え装置を用いて、カード基板に設けられた不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものである。
【発明の効果】
【０００９】
第１の発明に係るソフトウエア書き換え装置は上記のような構成を採用しているので、プラント技術員によって別途保管、管理されているソフトウエア書き込み実装部に更新用ソフトウエアが予め書き込まれ、このソフトウエア書き込み実装部がカード基板に取り付けられた状態で更新用ソフトウエアを取り扱う技術員の認証情報が確認された場合のみ、更新用ソフトウエアによる書き換えが可能となるので、被制御部にカード基板が搭載されている通常の運転状態においては外部からの悪意ある書き込みが全く不可能となるという優れた効果がある。
【００１０】
また第２の発明に係るソフトウエア書き換え装置も上記のような構成を採用しているので、仮に第２の認証情報に格納されてない外部技術員によってソフトウエアが更新されようとする場合に何らかの理由で誤って第１の認証情報と第２の認証情報が一致していると判定されたとしても指紋認証情報によって確認されることによりその誤りを指摘可能となり、その結果、外部からの書き込みが防止できるという効果がある。
【００１１】
さらに第３の発明に係るソフトウエアの書き換え方法は、前記第１、第２の発明と同様の効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】実施の形態１によるソフトウエア書き換え装置を示すブロック図である。
【図２】実施の形態１によるソフトウエア書き換え装置による動作のフローチャートである。
【図３】実施の形態２によるソフトウエア書き換え装置を示すブロック図である。
【図４】実施の形態２によるソフトウエア書き換え装置による動作のフローチャートである。
【図５】実施の形態２によるソフトウエア書き換え装置による動作のフローチャートである。
【発明を実施するための形態】
【００１３】
実施の形態１．
以下、この発明の実施の形態１を図に基づいて説明する。
図１は、実施の形態１による原子力プラント設備の被制御部である例えばプラント機器の制御等に用いられているソフトウエア（以下、Ｓ／Ｗと略す）書き換え装置２００を示すブロック図である。このＳ／Ｗ書き換え装置２００は、カード基板１００上に着脱可能な構造の書き込み実装部１と、カード基板１００に設けられたＣＰＵ回路部８と電源部１４とで構成されている。書き込み実装部１は、第１のＣＰＵ２、第１のＲＡＭ３、第１の不揮発性メモリ４、第１のＩ／Ｆ部６が設けられており、後に詳述するＣＰＵ回路部８内の第２の不揮発性メモリ１０のアプリケーションＳ／Ｗ１０ｂのＳ／Ｗ更新時のみに前記カード基板１００に取り付けられるものであり、通常のプラント運転時にはカード基板１００から取り外されているものである。ＣＰＵ回路部８には、第２のＣＰＵ９、第２の不揮発性メモリ１０、第２のＲＡＭ１１、表示部１２、第２のＩ／Ｆ部１３が設けられている。電源部１４は、書き込み実装部１およびＣＰＵ回路部８に電源を供給する。
【００１４】
書き込み実装部１は、上記に示したようにプラントの通常運転時にはカード基板１００から取り外されて、プラント技術員によって外部侵入者が触れることが出来ないよう管理されている。図示省略したプラント機器において、そのアプリケーションＳ／Ｗを更新しようとする場合、プラント技術員により書き込み実装部１に設けられた第１の不揮発性メモリ４に更新用Ｓ／Ｗ４ｂが格納される。
なお、この第１の不揮発性メモリ４には、アプリケーションＳ／Ｗを更新しようとするプラント技術員のＩ／Ｄ情報である第１の認証情報４ａが予め格納される。第１のＲＡＭ３には演算用の第１の認証情報４ａが、第２のＲＡＭ１１にも同じく演算用の第２の認証情報１０ａが書き込まれる。第１のＩ／Ｆ部６および第２のＩ／Ｆ部１３は、書き込み実装部１とＣＰＵ回路部８との間の信号授受を行うものである。
ＣＰＵ回路８に設けられた第２の不揮発性メモリ１０には、前記第１の認証情報４ａと同一の複数のプラント技術員の各Ｉ／Ｄ情報である第２の認証情報１０ｂが予め格納されており、またプラント機器運転用のアプリケーションＳ／Ｗ１０ｂが書き込まれている。
表示部１２は、更新用Ｓ／Ｗの更新時の状態を表示する更新準備完了１２ａ、更新完了１２ｂ、更新不能１２ｃを表示する機能が、さらに前記書き込み実装部１がカード基板１００に取り付けられてない状態を表示するプラント運転ＯＫ１２ｄを表示する機能が設けられている。尚、この表示部１２はＣＰＵ回路部８以外の個所に設けてもよい。電源部１４は、外部電源１５から電力供給される。
【００１５】
以上のような構成を備えたＳ／Ｗ書き換え装置２００における更新用Ｓ／Ｗの書き込み動作、方法を図２に示すフローチャートに基づいて説明する。
ＳＴ１において、カード基板１００で用いられているアプリケーションＳ／Ｗ更新の必要性が生じた場合、プラント技術員が別途管理、保管する書き込み実装部１に更新用Ｓ／Ｗ４ｂの書き込みを行う。
ＳＴ２で上記書き込み実装部１がカード基板１００に取り付けられる。
ＳＴ３でカード基板１００上のＣＰＵ回路部８の表示部１２に更新準備完了１２ａと例えば表示灯が点灯する。
ＳＴ４で書き込み実装部１の第１のＣＰＵ２は、第１の不揮発性メモリ４に格納されている、Ｉ／Ｄ情報である第１の認証情報４ａを読み出す。
ＳＴ５で上記第１の認証情報４ａが第１のＲＡＭ３に演算用として書き込み格納される。
ＳＴ６で第１の認証情報４ａが第１のＩ／Ｆ部６、第２のＩ／Ｆ部１３を介し、ＣＰＵ回路部８に出力され、第２のＲＡＭ１１に演算用として書き込み格納される。
ＳＴ７で第２のＣＰＵ９は、第２の不揮発性メモリ１０に格納されている複数の第２の認証情報１０ａであるＩ／Ｄ情報から、前記第１の認証情報４ａのＩ／Ｄ情報と一致する第２の認証情報１０ａであるＩ／Ｄ情報を読み出す。
ＳＴ８で第２のＣＰＵ９は、第２のＲＡＭ１１に格納されている第１の認証情報４ａと、前記読み出した第２の認証情報１０ａとを比較演算し、その比較結果が一致しているか否かを確認する。一致している場合、
ＳＴ９に移行して、前記演算結果が書き込み実装部１の第１のＣＰＵ２１に出力される。
ＳＴ１０で第１のＣＰＵ２は、第１の不揮発性メモリ４に格納された更新用Ｓ／Ｗ４ｂを読み出し、第１のＲＡＭ３に書き込む。
ＳＴ１１で更新用Ｓ／Ｗ４ｂがＣＰＵ回路部８に出力され、第２のＲＡＭ１１に書き込まれる。
ＳＴ１２で第２のＣＰＵ９は第２の不揮発性メモリ１０のアプリケーションＳ／Ｗ１０ｂを前記更新用Ｓ／Ｗ４ｂに書き換え更新する。
ＳＴ１３で表示部１２の更新完了１２ｂの表示灯が点灯する。
ＳＴ１４で書き込み実装部１がカード基板１００から取り外される。
ＳＴ１５で表示部１２にプラント運転ＯＫ１２ｄが点灯される。
一方、ＳＴ８で比較結果が一致していない場合、
ＳＴ１６に移行して、表示部１２の更新不能１２ｃが点灯される。
【００１６】
なお、ＳＴ１４において書き込み実装部１がカード基板１００から取り外しされる信号情報あるいはＳＴ１５のプラント運転ＯＫの信号情報を、Ｓ／Ｗ書き換え装置２００の外部に取り出し、このカード基板１００によって制御される機器の運転を自動的に可能とするようにしてもよい。
【００１７】
以上のようにこの実施の形態１によるＳ／Ｗ書き換え装置２００は、原子力プラント等に装備されているプラント機器を制御、運転するカード基板１００のＳ／Ｗの更新を行う必要がある場合に、プラント技術員によって別途保管、管理されている書き込み実装部１に更新用Ｓ／Ｗが予め書き込み格納され、この書き換え実装部１がカード基板１００に実装されたことを第１のＣＰＵ２、第２のＣＰＵ９が認識する。つまり更新準備が完了すると、自動的に認証情報の確認を行った後、更新用Ｓ／Ｗ４ｂの書き込みシーケンスが動作し、更新用Ｓ／Ｗ４ｂに書き換えられること、さらには更新用Ｓ／Ｗ４ｂに書き換えられた後、カード基板１００から書き換え実装部１が取り外されることによりプラント機器の運転ＯＫがなされる。すなわち更新用Ｓ／Ｗ４ｂの書き換えは、書き換え実装部１がカード基板１００に取り付けられた状態のみにしか実行できず、かつプラント機器の通常運転は書き換え実装部１がカード基板１００から取り外されているので、外部からの悪意のあるコードや誤ったコードの入力を防止することができ、原子力プラント等における安全性、信頼性、およびセキュリティが向上するという優れた効果がある。
【００１８】
実施の形態２．
次に、実施の形態２を図に基づいて説明する。
図３は、実施の形態２によるＳ／Ｗ書き換え装置２００を示すブロック図であり、前述した実施の形態１の図１に示した書き込み実装部１に指紋認証回路部７を、ＣＰＵ回路部８の不揮発性メモリ１０内に、第２の指紋認証情報１０ｃを追加して設けたものであり、それ以外は、図１の構成と同様であるので説明を省略する。
指紋認証回路部７は、Ｓ／Ｗの更新担当プラント技術員の第１の指紋認証情報である指紋を認証、読み取るものである。また不揮発性メモリ１０の第２の指紋認証情報１０ｃには予め複数のプラント技術員の指紋が複数の第２の指紋認証情報として格納されている。
【００１９】
以上のような構成を備えたＳ／Ｗ書き換え装置２００における更新用Ｓ／Ｗ４ｂの書き込み動作、方法を図４、図５に示すフローチャートに基づいて説明する。
図４において、ＳＴ１、ＳＴ３〜ＳＴ９およびＳＴ１６は前述した実施の形態１のＳＴ１、ＳＴ３〜ＳＴ９およびＳＴ１６と同一であるので説明を省略する。
ＳＴ２０において、書き込み実装部１がカード基板１００に取り付けられるとともに、アプリケーションＳ／Ｗ１０ｂを更新する技術員の指紋が指紋認証回路部７で読み取られ、第１の指紋認証情報７ａとして格納される。
ＳＴ２１で第１のＣＰＵが指紋認証回路部７に格納されている第１の指紋認証情報７ａを読み出し、第１のＲＡＭ３に書き込み格納される。以下のフローは図５に示す、
ＳＴ２２で第１の指紋認証情報７ａが第１のＩ／Ｆ部６、第２のＩ／Ｆ部１３を介し、ＣＰＵ回路部８に出力され、第２のＲＡＭ１１に書き込み格納される。
ＳＴ２３で第２のＣＰＵ９は、第２の不揮発性メモリ１０に格納されている複数の技術員の第２の指紋認証情報１０ｃから、第１の指紋認証情報７ａと一致する第２の指紋認証情報１０ｃを読み出す。
ＳＴ２４で第２のＣＰＵ９は第２のＲＡＭ１１に格納されている第１の指紋認証情報７ａと、前記読み出した第２の指紋認証情報１０ｃとを比較演算し、その比較結果が一致しているか否かを確認する。一致する場合、
ＳＴ２５に移行して、前記演算結果が書き込み実装部１の第１のＣＰＵ２に出力される。
ここで図５に示すＳＴ１０〜ＳＴ１５は前述した実施の形態１のＳＴ１０〜ＳＴ１５と同様であるので説明を省略する。
図５のＳＴ２４で比較結果が一致していない場合には、ＳＴ２６に移行し、表示部１２に更新不能１２ｃが点灯される。
【００２０】
以上のようにこの実施の形態２によるＳ／Ｗ書き換え装置２００は、前述した実施の形態１の構成に加えて、書き込み実装部１に指紋認証回路部７を、ＣＰＵ回路部８の第２の不揮発性メモリ１０に指紋認証情報１０ｃを設けているので、カード基板１００に書き込み実装部１を取り付け後、Ｓ／Ｗを更新しようとするプラント技術員の指紋が認証、確認された後にＳ／Ｗの更新が自動的に行われる。
すなわち、図４に示すＳＴ８における検証確認が、何からの理由、例えば悪意ある外部人によってＩ／Ｄ情報が知られ、その外部人によってＳ／Ｗが更新されようとする場合においても、ＳＴ２１において指紋認証情報によって再度の人物検証、確認がなされるので、実施の形態１による作用に加えて、更に信頼性、安全性、セキュリティ性が向上するという効果がある。
【００２１】
なお、実施の形態１および実施の形態２では、書き込み実装部１とＣＰＵ回路部８との信号交信は生情報であったが、書き込み実装部１とＣＰＵ回路部８にそれぞれ暗号化回路部を設け、この暗号化回路部にて更新する情報を暗号化の上送信し、受信した暗号を復元化する機能を持たせた構成を採用するとさらにセキュリティ性が向上する。
【産業上の利用可能性】
【００２２】
この発明は、高いセキュリティが必要とされるプラントや装置における書き換え可能な不揮発性メモリのデータ保護回路に利用できる。
【符号の説明】
【００２３】
１ 書き込み実装部、２ 第１のＣＰＵ、３ 第１のＲＡＭ、
４ 第１の不揮発性メモリ、４ａ 第１の認証情報、４ｂ 更新用Ｓ／Ｗ、
７ 指紋認証回路部、７ａ 第１の指紋認証情報、８ ＣＰＵ回路部、
９ 第２のＣＰＵ、１０ 第２の不揮発性メモリ、１０ａ 第２の認証情報、
１０ｂ アプリケーションＳ／Ｗ、１０ｃ 第２の指紋認証情報、１１ 第２のＲＡＭ、
１２ 表示部、１００ カード基板、２００ Ｓ／Ｗ書き換え装置。
【技術分野】
【０００１】
この発明は、原子力発電プラント等の特別に信頼性およびセキュリティが要求されるプラント機器における書き換え可能な不揮発性メモリを有するカード基板に関するもので、特に外部からのカード基板へのソフトウエア書き込み要求に対して容易に書き換えができない構成が設けられたソフトウエア書き換え装置およびその装置を用いたソフトウエアの書き換え方法に係るものである。
【背景技術】
【０００２】
従来の技術として動作プログラムがＲＯＭに収納され、その書き換えに際してはインタフェース部に設けられたコネクタを外部装置に接続し、新しい動作プログラムを外部装置から読み込むことで動作プログラムの書き換えができること、またＲＯＭに搭載された初期プログラムに書き込まれた暗証番号と同じ番号を、外部装置から入力しない動作プログラムの書き換えが開始されない、つまり暗証番号を知らなければ動作プログラムの書き換えが出来ないとする書き換えを防止するものが示されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平０６−０４５９９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら上記特許文献１に示された技術は、暗証番号などの外部コードがわかれば誰にでも不揮発性メモリの内容が読み出し可能となる点、および人為的な入力を行うものであるので、外部から悪意あるコードや誤ったコードが入力された場合についての対策について何ら記載がなく、原子力発電プラント等の高信頼性を必要とされるシステムには必ずしも満足すべきものではない。
【０００５】
この発明は上記のような課題を解決するためになされたものであって、所定の認証情報が格納された外部装置が、カード基板に取り付けられた状態においてのみソフトウエアの書き換えを可能とし、またソフトウエア書き換え後に外部装置が取り外されることにより、プラント機器の運転可能とするソフトウエア書き換え装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
第１の発明に係る被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置は、書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエア、およびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報およびソフトウエアとが格納された第２の不揮発性メモリが設けられており、カード基板に書き込み実装部が装着時に、書き込み実装部に設けられた第１のＣＰＵが読み出す第１の認証情報を受信するＣＰＵ回路部に設けられた第２のＣＰＵは、第２の不揮発性メモリに格納されている複数の第２の認証情報の中から第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、第１のＣＰＵから更新用ソフトウエアを受信して第２の不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものであり、書き込み実装部がカード基板から離脱時に、表示部に被制御部が運転可能と表示されるものである。
【０００７】
第２の発明に係る被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置は、書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエアおよびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報ならびに複数の第２の指紋認証情報および、ソフトウエアとが格納された第２の不揮発性メモリが設けられており、カード基板に書き込み実装部が装着時に、書き込み実装部に設けられた第１のＣＰＵが読み出す第１の認証情報を受信するＣＰＵ回路部に設けられた第２のＣＰＵは、第２の不揮発性メモリに格納されている複数の第２の認証情報の中から、第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、この確認結果から第１のＣＰＵが、書き込み実装部に設けられた指紋認証回路部によって認証された更新用ソフトウエアを取り扱う技術員の第１の指紋認証情報を読み出し、第２のＣＰＵは複数の第２の指紋認証情報の中から、第１の指紋認証情報に合致する第２の指紋認証情報を読み出して一致性を確認し、第１のＣＰＵから更新用ソフトウエアを受信して第２の不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものであり、書き込み実装部がカード基板から離脱時に、表示部に被制御部が運転可能と表示されるものである。
【０００８】
第３の発明に係るソフトウエアの書き換え方法は、前記第１の請求項あるいは第２の請求項に記載されたソフトウエア書き換え装置を用いて、カード基板に設けられた不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新するものである。
【発明の効果】
【０００９】
第１の発明に係るソフトウエア書き換え装置は上記のような構成を採用しているので、プラント技術員によって別途保管、管理されているソフトウエア書き込み実装部に更新用ソフトウエアが予め書き込まれ、このソフトウエア書き込み実装部がカード基板に取り付けられた状態で更新用ソフトウエアを取り扱う技術員の認証情報が確認された場合のみ、更新用ソフトウエアによる書き換えが可能となるので、被制御部にカード基板が搭載されている通常の運転状態においては外部からの悪意ある書き込みが全く不可能となるという優れた効果がある。
【００１０】
また第２の発明に係るソフトウエア書き換え装置も上記のような構成を採用しているので、仮に第２の認証情報に格納されてない外部技術員によってソフトウエアが更新されようとする場合に何らかの理由で誤って第１の認証情報と第２の認証情報が一致していると判定されたとしても指紋認証情報によって確認されることによりその誤りを指摘可能となり、その結果、外部からの書き込みが防止できるという効果がある。
【００１１】
さらに第３の発明に係るソフトウエアの書き換え方法は、前記第１、第２の発明と同様の効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】実施の形態１によるソフトウエア書き換え装置を示すブロック図である。
【図２】実施の形態１によるソフトウエア書き換え装置による動作のフローチャートである。
【図３】実施の形態２によるソフトウエア書き換え装置を示すブロック図である。
【図４】実施の形態２によるソフトウエア書き換え装置による動作のフローチャートである。
【図５】実施の形態２によるソフトウエア書き換え装置による動作のフローチャートである。
【発明を実施するための形態】
【００１３】
実施の形態１．
以下、この発明の実施の形態１を図に基づいて説明する。
図１は、実施の形態１による原子力プラント設備の被制御部である例えばプラント機器の制御等に用いられているソフトウエア（以下、Ｓ／Ｗと略す）書き換え装置２００を示すブロック図である。このＳ／Ｗ書き換え装置２００は、カード基板１００上に着脱可能な構造の書き込み実装部１と、カード基板１００に設けられたＣＰＵ回路部８と電源部１４とで構成されている。書き込み実装部１は、第１のＣＰＵ２、第１のＲＡＭ３、第１の不揮発性メモリ４、第１のＩ／Ｆ部６が設けられており、後に詳述するＣＰＵ回路部８内の第２の不揮発性メモリ１０のアプリケーションＳ／Ｗ１０ｂのＳ／Ｗ更新時のみに前記カード基板１００に取り付けられるものであり、通常のプラント運転時にはカード基板１００から取り外されているものである。ＣＰＵ回路部８には、第２のＣＰＵ９、第２の不揮発性メモリ１０、第２のＲＡＭ１１、表示部１２、第２のＩ／Ｆ部１３が設けられている。電源部１４は、書き込み実装部１およびＣＰＵ回路部８に電源を供給する。
【００１４】
書き込み実装部１は、上記に示したようにプラントの通常運転時にはカード基板１００から取り外されて、プラント技術員によって外部侵入者が触れることが出来ないよう管理されている。図示省略したプラント機器において、そのアプリケーションＳ／Ｗを更新しようとする場合、プラント技術員により書き込み実装部１に設けられた第１の不揮発性メモリ４に更新用Ｓ／Ｗ４ｂが格納される。
なお、この第１の不揮発性メモリ４には、アプリケーションＳ／Ｗを更新しようとするプラント技術員のＩ／Ｄ情報である第１の認証情報４ａが予め格納される。第１のＲＡＭ３には演算用の第１の認証情報４ａが、第２のＲＡＭ１１にも同じく演算用の第２の認証情報１０ａが書き込まれる。第１のＩ／Ｆ部６および第２のＩ／Ｆ部１３は、書き込み実装部１とＣＰＵ回路部８との間の信号授受を行うものである。
ＣＰＵ回路８に設けられた第２の不揮発性メモリ１０には、前記第１の認証情報４ａと同一の複数のプラント技術員の各Ｉ／Ｄ情報である第２の認証情報１０ｂが予め格納されており、またプラント機器運転用のアプリケーションＳ／Ｗ１０ｂが書き込まれている。
表示部１２は、更新用Ｓ／Ｗの更新時の状態を表示する更新準備完了１２ａ、更新完了１２ｂ、更新不能１２ｃを表示する機能が、さらに前記書き込み実装部１がカード基板１００に取り付けられてない状態を表示するプラント運転ＯＫ１２ｄを表示する機能が設けられている。尚、この表示部１２はＣＰＵ回路部８以外の個所に設けてもよい。電源部１４は、外部電源１５から電力供給される。
【００１５】
以上のような構成を備えたＳ／Ｗ書き換え装置２００における更新用Ｓ／Ｗの書き込み動作、方法を図２に示すフローチャートに基づいて説明する。
ＳＴ１において、カード基板１００で用いられているアプリケーションＳ／Ｗ更新の必要性が生じた場合、プラント技術員が別途管理、保管する書き込み実装部１に更新用Ｓ／Ｗ４ｂの書き込みを行う。
ＳＴ２で上記書き込み実装部１がカード基板１００に取り付けられる。
ＳＴ３でカード基板１００上のＣＰＵ回路部８の表示部１２に更新準備完了１２ａと例えば表示灯が点灯する。
ＳＴ４で書き込み実装部１の第１のＣＰＵ２は、第１の不揮発性メモリ４に格納されている、Ｉ／Ｄ情報である第１の認証情報４ａを読み出す。
ＳＴ５で上記第１の認証情報４ａが第１のＲＡＭ３に演算用として書き込み格納される。
ＳＴ６で第１の認証情報４ａが第１のＩ／Ｆ部６、第２のＩ／Ｆ部１３を介し、ＣＰＵ回路部８に出力され、第２のＲＡＭ１１に演算用として書き込み格納される。
ＳＴ７で第２のＣＰＵ９は、第２の不揮発性メモリ１０に格納されている複数の第２の認証情報１０ａであるＩ／Ｄ情報から、前記第１の認証情報４ａのＩ／Ｄ情報と一致する第２の認証情報１０ａであるＩ／Ｄ情報を読み出す。
ＳＴ８で第２のＣＰＵ９は、第２のＲＡＭ１１に格納されている第１の認証情報４ａと、前記読み出した第２の認証情報１０ａとを比較演算し、その比較結果が一致しているか否かを確認する。一致している場合、
ＳＴ９に移行して、前記演算結果が書き込み実装部１の第１のＣＰＵ２１に出力される。
ＳＴ１０で第１のＣＰＵ２は、第１の不揮発性メモリ４に格納された更新用Ｓ／Ｗ４ｂを読み出し、第１のＲＡＭ３に書き込む。
ＳＴ１１で更新用Ｓ／Ｗ４ｂがＣＰＵ回路部８に出力され、第２のＲＡＭ１１に書き込まれる。
ＳＴ１２で第２のＣＰＵ９は第２の不揮発性メモリ１０のアプリケーションＳ／Ｗ１０ｂを前記更新用Ｓ／Ｗ４ｂに書き換え更新する。
ＳＴ１３で表示部１２の更新完了１２ｂの表示灯が点灯する。
ＳＴ１４で書き込み実装部１がカード基板１００から取り外される。
ＳＴ１５で表示部１２にプラント運転ＯＫ１２ｄが点灯される。
一方、ＳＴ８で比較結果が一致していない場合、
ＳＴ１６に移行して、表示部１２の更新不能１２ｃが点灯される。
【００１６】
なお、ＳＴ１４において書き込み実装部１がカード基板１００から取り外しされる信号情報あるいはＳＴ１５のプラント運転ＯＫの信号情報を、Ｓ／Ｗ書き換え装置２００の外部に取り出し、このカード基板１００によって制御される機器の運転を自動的に可能とするようにしてもよい。
【００１７】
以上のようにこの実施の形態１によるＳ／Ｗ書き換え装置２００は、原子力プラント等に装備されているプラント機器を制御、運転するカード基板１００のＳ／Ｗの更新を行う必要がある場合に、プラント技術員によって別途保管、管理されている書き込み実装部１に更新用Ｓ／Ｗが予め書き込み格納され、この書き換え実装部１がカード基板１００に実装されたことを第１のＣＰＵ２、第２のＣＰＵ９が認識する。つまり更新準備が完了すると、自動的に認証情報の確認を行った後、更新用Ｓ／Ｗ４ｂの書き込みシーケンスが動作し、更新用Ｓ／Ｗ４ｂに書き換えられること、さらには更新用Ｓ／Ｗ４ｂに書き換えられた後、カード基板１００から書き換え実装部１が取り外されることによりプラント機器の運転ＯＫがなされる。すなわち更新用Ｓ／Ｗ４ｂの書き換えは、書き換え実装部１がカード基板１００に取り付けられた状態のみにしか実行できず、かつプラント機器の通常運転は書き換え実装部１がカード基板１００から取り外されているので、外部からの悪意のあるコードや誤ったコードの入力を防止することができ、原子力プラント等における安全性、信頼性、およびセキュリティが向上するという優れた効果がある。
【００１８】
実施の形態２．
次に、実施の形態２を図に基づいて説明する。
図３は、実施の形態２によるＳ／Ｗ書き換え装置２００を示すブロック図であり、前述した実施の形態１の図１に示した書き込み実装部１に指紋認証回路部７を、ＣＰＵ回路部８の不揮発性メモリ１０内に、第２の指紋認証情報１０ｃを追加して設けたものであり、それ以外は、図１の構成と同様であるので説明を省略する。
指紋認証回路部７は、Ｓ／Ｗの更新担当プラント技術員の第１の指紋認証情報である指紋を認証、読み取るものである。また不揮発性メモリ１０の第２の指紋認証情報１０ｃには予め複数のプラント技術員の指紋が複数の第２の指紋認証情報として格納されている。
【００１９】
以上のような構成を備えたＳ／Ｗ書き換え装置２００における更新用Ｓ／Ｗ４ｂの書き込み動作、方法を図４、図５に示すフローチャートに基づいて説明する。
図４において、ＳＴ１、ＳＴ３〜ＳＴ９およびＳＴ１６は前述した実施の形態１のＳＴ１、ＳＴ３〜ＳＴ９およびＳＴ１６と同一であるので説明を省略する。
ＳＴ２０において、書き込み実装部１がカード基板１００に取り付けられるとともに、アプリケーションＳ／Ｗ１０ｂを更新する技術員の指紋が指紋認証回路部７で読み取られ、第１の指紋認証情報７ａとして格納される。
ＳＴ２１で第１のＣＰＵが指紋認証回路部７に格納されている第１の指紋認証情報７ａを読み出し、第１のＲＡＭ３に書き込み格納される。以下のフローは図５に示す、
ＳＴ２２で第１の指紋認証情報７ａが第１のＩ／Ｆ部６、第２のＩ／Ｆ部１３を介し、ＣＰＵ回路部８に出力され、第２のＲＡＭ１１に書き込み格納される。
ＳＴ２３で第２のＣＰＵ９は、第２の不揮発性メモリ１０に格納されている複数の技術員の第２の指紋認証情報１０ｃから、第１の指紋認証情報７ａと一致する第２の指紋認証情報１０ｃを読み出す。
ＳＴ２４で第２のＣＰＵ９は第２のＲＡＭ１１に格納されている第１の指紋認証情報７ａと、前記読み出した第２の指紋認証情報１０ｃとを比較演算し、その比較結果が一致しているか否かを確認する。一致する場合、
ＳＴ２５に移行して、前記演算結果が書き込み実装部１の第１のＣＰＵ２に出力される。
ここで図５に示すＳＴ１０〜ＳＴ１５は前述した実施の形態１のＳＴ１０〜ＳＴ１５と同様であるので説明を省略する。
図５のＳＴ２４で比較結果が一致していない場合には、ＳＴ２６に移行し、表示部１２に更新不能１２ｃが点灯される。
【００２０】
以上のようにこの実施の形態２によるＳ／Ｗ書き換え装置２００は、前述した実施の形態１の構成に加えて、書き込み実装部１に指紋認証回路部７を、ＣＰＵ回路部８の第２の不揮発性メモリ１０に指紋認証情報１０ｃを設けているので、カード基板１００に書き込み実装部１を取り付け後、Ｓ／Ｗを更新しようとするプラント技術員の指紋が認証、確認された後にＳ／Ｗの更新が自動的に行われる。
すなわち、図４に示すＳＴ８における検証確認が、何からの理由、例えば悪意ある外部人によってＩ／Ｄ情報が知られ、その外部人によってＳ／Ｗが更新されようとする場合においても、ＳＴ２１において指紋認証情報によって再度の人物検証、確認がなされるので、実施の形態１による作用に加えて、更に信頼性、安全性、セキュリティ性が向上するという効果がある。
【００２１】
なお、実施の形態１および実施の形態２では、書き込み実装部１とＣＰＵ回路部８との信号交信は生情報であったが、書き込み実装部１とＣＰＵ回路部８にそれぞれ暗号化回路部を設け、この暗号化回路部にて更新する情報を暗号化の上送信し、受信した暗号を復元化する機能を持たせた構成を採用するとさらにセキュリティ性が向上する。
【産業上の利用可能性】
【００２２】
この発明は、高いセキュリティが必要とされるプラントや装置における書き換え可能な不揮発性メモリのデータ保護回路に利用できる。
【符号の説明】
【００２３】
１ 書き込み実装部、２ 第１のＣＰＵ、３ 第１のＲＡＭ、
４ 第１の不揮発性メモリ、４ａ 第１の認証情報、４ｂ 更新用Ｓ／Ｗ、
７ 指紋認証回路部、７ａ 第１の指紋認証情報、８ ＣＰＵ回路部、
９ 第２のＣＰＵ、１０ 第２の不揮発性メモリ、１０ａ 第２の認証情報、
１０ｂ アプリケーションＳ／Ｗ、１０ｃ 第２の指紋認証情報、１１ 第２のＲＡＭ、
１２ 表示部、１００ カード基板、２００ Ｓ／Ｗ書き換え装置。
【特許請求の範囲】
【請求項１】
被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置であって、
前記書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエア、およびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、前記カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報およびソフトウエアとが格納された第２の不揮発性メモリが設けられており、前記カード基板に前記書き込み実装部が装着時に、前記書き込み実装部に設けられた第１のＣＰＵが読み出す前記第１の認証情報を受信する前記ＣＰＵ回路部に設けられた第２のＣＰＵは、前記第２の不揮発性メモリに格納されている複数の第２の認証情報の中から前記第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、前記第１のＣＰＵから更新用ソフトウエアを受信して前記第２の不揮発性メモリに格納されている前記ソフトウエアを前記更新用ソフトウエアで更新するものであり、前記書き込み実装部が前記カード基板から離脱時に、表示部に前記被制御部が運転可能と表示されることを特徴とするソフトウエア書き換え装置。
【請求項２】
被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置であって、
前記書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエアおよびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、前記カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報ならびに複数の第２の指紋認証情報および、ソフトウエアとが格納された第２の不揮発性メモリが設けられており、前記カード基板に前記書き込み実装部が装着時に、前記書き込み実装部に設けられた第１のＣＰＵが読み出す前記第１の認証情報を受信する前記ＣＰＵ回路部に設けられた第２のＣＰＵは前記第２の不揮発性メモリに格納されている複数の第２の認証情報の中から、前記第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、この確認結果から前記第１のＣＰＵが、前記書き込み実装部に設けられた指紋認証回路部によって認証された前記更新用ソフトウエアを取り扱う技術員の第１の指紋認証情報を読み出し、前記第２のＣＰＵは前記複数の第２の指紋認証情報の中から、前記第１の指紋認証情報に合致する第２の指紋認証情報を読み出して一致性を確認し、前記第１のＣＰＵから更新用ソフトウエアを受信して前記第２の不揮発性メモリに格納されている前記ソフトウエアを前記更新用ソフトウエアで更新するものであり、前記書き込み実装部が前記カード基板から離脱時に、表示部に前記被制御部が運転可能と表示されることを特徴とするソフトウエア書き換え装置。
【請求項３】
前記第１の請求項あるいは第２の請求項に記載されたソフトウエア書き換え装置を用いて、カード基板に設けられた不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新することを特徴とするソフトウエアの書き換え方法。
【請求項１】
被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置であって、
前記書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエア、およびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、前記カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報およびソフトウエアとが格納された第２の不揮発性メモリが設けられており、前記カード基板に前記書き込み実装部が装着時に、前記書き込み実装部に設けられた第１のＣＰＵが読み出す前記第１の認証情報を受信する前記ＣＰＵ回路部に設けられた第２のＣＰＵは、前記第２の不揮発性メモリに格納されている複数の第２の認証情報の中から前記第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、前記第１のＣＰＵから更新用ソフトウエアを受信して前記第２の不揮発性メモリに格納されている前記ソフトウエアを前記更新用ソフトウエアで更新するものであり、前記書き込み実装部が前記カード基板から離脱時に、表示部に前記被制御部が運転可能と表示されることを特徴とするソフトウエア書き換え装置。
【請求項２】
被制御部を制御運転するソフトウエアが格納されているカード基板に、着脱可能な書き込み実装部が設けられたソフトウエア書き換え装置であって、
前記書き込み実装部に設けられた第１の不揮発性メモリには、更新用ソフトウエアおよびこの更新用ソフトウエアを取り扱う技術員を認証する第１の認証情報とが格納されており、前記カード基板に設けられたＣＰＵ回路部には、複数の技術員を認証する複数の第２の認証情報ならびに複数の第２の指紋認証情報および、ソフトウエアとが格納された第２の不揮発性メモリが設けられており、前記カード基板に前記書き込み実装部が装着時に、前記書き込み実装部に設けられた第１のＣＰＵが読み出す前記第１の認証情報を受信する前記ＣＰＵ回路部に設けられた第２のＣＰＵは前記第２の不揮発性メモリに格納されている複数の第２の認証情報の中から、前記第１の認証情報に合致する第２の認証情報を読み出して一致性を確認し、この確認結果から前記第１のＣＰＵが、前記書き込み実装部に設けられた指紋認証回路部によって認証された前記更新用ソフトウエアを取り扱う技術員の第１の指紋認証情報を読み出し、前記第２のＣＰＵは前記複数の第２の指紋認証情報の中から、前記第１の指紋認証情報に合致する第２の指紋認証情報を読み出して一致性を確認し、前記第１のＣＰＵから更新用ソフトウエアを受信して前記第２の不揮発性メモリに格納されている前記ソフトウエアを前記更新用ソフトウエアで更新するものであり、前記書き込み実装部が前記カード基板から離脱時に、表示部に前記被制御部が運転可能と表示されることを特徴とするソフトウエア書き換え装置。
【請求項３】
前記第１の請求項あるいは第２の請求項に記載されたソフトウエア書き換え装置を用いて、カード基板に設けられた不揮発性メモリに格納されているソフトウエアを更新用ソフトウエアで更新することを特徴とするソフトウエアの書き換え方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１２−１８５５９７（Ｐ２０１２−１８５５９７Ａ）
【公開日】平成２４年９月２７日（２０１２．９．２７）
【国際特許分類】
【出願番号】特願２０１１−４７２０６（Ｐ２０１１−４７２０６）
【出願日】平成２３年３月４日（２０１１．３．４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２４年９月２７日（２０１２．９．２７）
【国際特許分類】
【出願日】平成２３年３月４日（２０１１．３．４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]