JP6248901B2 - 入出力装置 - Google Patents

Description

本発明は、プロセス制御システムで用いられる入出力装置に関する。

従来から、プラントや工場等においては、工業プロセスにおける各種の状態量（例えば、圧力、温度、流量等）を制御するプロセス制御システムが構築されており、高度な自動操業が実現されている。このようなプロセス制御システムは、概してフィールド機器と呼ばれる現場機器（測定器、操作器）がＩ／Ｏモジュールを介してコントローラに接続された構成であり、コントローラが測定器（例えば、センサ）の測定結果に応じて操作器（例えば、アクチュエータ）を制御することによって上述した各種の状態量が制御される。

ここで、プラント等に設けられるフィールド機器の数は、おおむねプラント等の規模に応じて増減し、大規模なプラント等では数千〜数十万台に及ぶことがある。このため、プロセス制御システムの立ち上げや保守に要する時間やコストを低減するためには、フィールド機器に加えて、プロセス制御システムで用いられる入出力装置の設定を短時間で効率的に行えることが重要になる。尚、上記の入出力装置は、フィールド機器からの信号又はフィールド機器への信号が入出力される装置であり、上述したコントローラ及びＩ／Ｏモジュール以外に、ネットワーク中継器、リモートＩ／Ｏ装置、無線ゲートウェイ等が該当する。

以下の特許文献１には、プロセス制御システムで用いられる入出力装置にメンテナンスポートを設け、メンテナンスを行うための機器である設定機器をメンテナンスポートに接続可能とすることで、システムの稼働中であっても、各種メンテナンスを行うことが可能なシステムが開示されている。尚、以下の特許文献１では、メンテナンスポートを介した各種メンテナンスとして、機器の状態の取得、機器パラメータの変更、ファームウェアの更新等が挙げられている。

特開２０１３−１６１１９９号公報

ところで、上述した特許文献１では、入出力装置に設けられたメンテナンスポートに設定機器を接続すれば、システムの稼働中であってもメンテナンスを行うことができるため、メンテナンスの効率を高めることができると考えられる。しかしながら、このようなメンテナンスポートが設けられていると、悪意のある第三者が入出力装置に設定装置を接続して、機器の設定内容を変更したり、プロセス制御システムにマルウェアを侵入させたりすることができるため、セキュリティが低下する可能性が考えられる。

ここで、メンテナンスポートを有する入出力装置が用いられているプロセス制御システムにおいて、セキュリティの低下を防止する対策として以下に示すものが考えられる。
（１）入出力装置をキャビネットに収容して施錠する
（２）入出力装置のメンテナンスポートにパスワードを設定する
（３）入出力装置のメンテナンスポートへのアクセスを上位装置による許可制にする

上記（１）の対策は、複数の入出力装置を物理的にキャビネットに収容するものであるため、入出力装置のメンテナンスポートへの不正なアクセスをほぼ確実に防止することができると考えられる。しかしながら、プラント等に設けられる入出力装置を全てキャビネットに収容するには、数百台以上のキャビネットが必要になるため、コストが大幅に上昇するとともに、該当する鍵を探し出して確実に施錠するという極めて煩雑な作業が必要になるという問題がある。

上記（２）の対策は、入出力装置のメンテナンスポートにソフトウェアによるパスワードを設定するものであるが、パスワードを設定する必要のあるメンテナンスポートの数は、上記（１）の対策で用いられるキャビネットの数以上に多くなる。このため、上記（１）の対策以上に煩雑な作業が必要になるという問題がある。尚、共通のパスワードを用いれば、作業の繁雑さが緩和されると考えられるものの、パスワードが漏洩してしまうとセキュリティが著しく低下するという問題がある。

上記（３）の対策は、前述した特許文献１に開示されているものであり、コントローラよりも上位に位置づけられる上位装置（操作監視装置）の存在を前提として成立するものである。このため、上位装置が動作していない場合、或いは上位装置との通信を行うことができない場合には、入出力装置のメンテナンスポートに対するアクセスを行うことができないという問題がある。

ここで、プロセス制御システムの立ち上げ時や保守時においては、プロセス制御システムで用いられる入出力装置の設定を効率的に行うために、入出力装置のメンテナンスポートへのアクセスが容易であることが望まれる。これに対し、プロセス制御システムの稼働時においては、セキュリティを確保する観点から、入出力装置のメンテナンスポートへのアクセスが厳しく制限されることが望まれる。

本発明は上記事情に鑑みてなされたものであり、プロセス制御システムの立ち上げ時又は保守時には各種設定を効率的に行うことが可能であり、プロセス制御システムの稼働時には高いセキュリティを確保することが可能な入出力装置を提供することを目的とする。

上記課題を解決するために、本発明の入出力装置は、プロセス制御システム（１）で用いられる入出力装置（１２、３０）であって、下位の装置（１１）が接続される第１インターフェイス（２１）と、上位の装置（１３）が接続される第２インターフェイス（２２）と、外部の設定装置（１６）が接続される第３インターフェイス（２３）と、前記第１インターフェイスに対して前記第２インターフェイスを接続するか又は前記第３インターフェイスを接続するかを切り替える切替部（２４、３１）と、前記切替部により前記第２インターフェイスと前記第１インターフェイスとが接続され、前記第１インターフェイスに対する前記第３インターフェイスの接続が許容された第１状態（ＳＴ１１、ＳＴ１４、ＳＴ２２）である場合に、前記第１インターフェイスに対する接続要求が前記第３インターフェイスを介して入力されたときには、前記切替部を制御して前記第３インターフェイスと前記第１インターフェイスとが接続された第２状態（ＳＴ１２、ＳＴ２３）に遷移させる制御部（２６）とを備えることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第２状態に遷移させた後に、前記第３インターフェイスに接続された前記設定装置との通信が遮断された場合、或いは前記設定装置からの遷移指示があった場合には、前記切替部を制御して前記第１状態に遷移させることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第１状態である場合に、前記第１インターフェイスに対する接続要求が前記第２インターフェイスを介して入力されたときには、前記切替部により前記第２インターフェイスと前記第１インターフェイスとが接続され、前記第１インターフェイスに対する前記第３インターフェイスの接続が不可とされた第３状態（ＳＴ１３）に遷移させることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第３状態である場合に、前記第１インターフェイスに対する前記第３インターフェイスの接続を許容する旨を示す指令が前記第２インターフェイスを介して入力されたときには、前記第１状態に遷移させることを特徴としている。
また、本発明の入出力装置は、前記第３インターフェイスと前記制御部との間を開状態又は閉状態にするスイッチ（２５）を備えており、前記制御部が、前記第３状態に遷移させる場合には前記スイッチを開状態に制御し、前記第１状態に遷移させる場合には前記スイッチを閉状態に制御することを特徴としている。
或いは、本発明の入出力装置は、前記切替部が、前記第１インターフェイスに対して前記第２インターフェイス及び前記第３インターフェイスの双方が接続されていない第４状態（ＳＴ２４）に切り替え可能であり、前記制御部が、前記第２状態に遷移させた後に、前記第３インターフェイスに接続された前記設定装置との通信が遮断された場合、或いは前記設定装置からの遷移指示があった場合には、前記切替部を制御して前記第４状態に遷移させることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第４状態である場合に、前記第１インターフェイスに対する接続要求が前記第３インターフェイスを介して入力されたときには、前記切替部を制御して前記第２状態に遷移させることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第４状態である場合に、前記第１インターフェイスに対する接続要求が前記第２インターフェイスを介して入力されたときには、前記切替部を制御して前記第２インターフェイスと前記第１インターフェイスとが接続され、前記第１インターフェイスに対する前記第３インターフェイスの接続が不可とされた第３状態（ＳＴ２１）に遷移させることを特徴としている。
また、本発明の入出力装置は、前記制御部が、前記第３状態である場合に、前記第１インターフェイスに対する前記第３インターフェイスの接続を許容する旨を示す指令が前記第２インターフェイスを介して入力されたときには、前記第１状態に遷移させることを特徴としている。
また、本発明の入出力装置は、前記第３インターフェイスと前記制御部との間を開状態又は閉状態にするスイッチ（２５）を備えており、前記制御部が、前記第３状態に遷移させる場合には前記スイッチを開状態に制御し、前記第１状態に遷移させる場合には前記スイッチを閉状態に制御することを特徴としている。
また、本発明の入出力装置は、予め規定された所定時間を計時する計時部（３２）を備えており、前記制御部が、前記第１状態が前記所定時間だけ継続された場合に、前記切替部を制御して前記第４状態に遷移させることを特徴としている。

本発明によれば、切替部により第２インターフェイスと第１インターフェイスとが接続された状態では、基本的に第３インターフェイスを介した第１インターフェイスへの接続が不可とされており、第１インターフェイスに対する第３インターフェイスの接続が許容された場合に、第１インターフェイスに対する接続要求が第３インターフェイスを介して入力されたときには、第３インターフェイスと第１インターフェイスとが接続された状態に遷移するようにしている。このため、プロセス制御システムの立ち上げ時又は保守時には各種設定を効率的に行うことが可能であり、プロセス制御システムの稼働時には高いセキュリティを確保することが可能であるという効果がある。

本発明の第１実施形態による入出力装置が用いられるプロセス制御システムの全体構成を示すブロック図である。 本発明の第１実施形態において、Ｉ／Ｏモジュールの各遷移状態におけるスイッチの状態を示す図である。 本発明の第１実施形態において、Ｉ／Ｏモジュールの動作モードが「エンジニアリングモード」に設定されている場合の状態遷移図である。 本発明の第１実施形態において、Ｉ／Ｏモジュールの動作モードが「運用モード」に設定されている場合の状態遷移図である。 本発明の第２実施形態による入出力装置の要部構成を示すブロック図である。 本発明の第２実施形態において、Ｉ／Ｏモジュールの各遷移状態におけるスイッチの状態を示す図である。 本発明の第２実施形態において、Ｉ／Ｏモジュールの動作モードが「運用モード」に設定されている場合の状態遷移図である。 コントローラ及びＩ／Ｏモジュールを複数備えるプロセス制御システムの構成例を示すブロック図である。

以下、図面を参照して本発明の実施形態による入出力装置について詳細に説明する。

〔第１実施形態〕
図１は、本発明の第１実施形態による入出力装置が用いられるプロセス制御システムの全体構成を示すブロック図である。図１に示す通り、プロセス制御システム１は、フィールド機器１１、Ｉ／Ｏモジュール１２（入出力装置）、コントローラ１３、操作監視端末１４、及びエンジニアリング端末１５を備えており、操作監視端末１４からの指示等に応じてコントローラ１３がフィールド機器１１を制御することによってプラント（図示省略）で実現される工業プロセスの制御を行う。尚、詳細は後述するが、図中の設定装置１６は、プロセス制御システム１の立ち上げ時や保守時に、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定等を行うために用いられる装置である。

ここで、フィールド機器１１とＩ／Ｏモジュール１２とは伝送線Ｃ１によって接続されており、Ｉ／Ｏモジュール１２とコントローラ１３とはケーブルＣ２によって接続されている。また、コントローラ１３、操作監視端末１４、及びエンジニアリング端末１５は、制御ネットワークＮに接続されている。尚、制御ネットワークＮは、例えばプラントの現場と監視室との間を接続するネットワークである。

フィールド機器１１は、例えば流量計や温度センサ等のセンサ機器、流量制御弁や開閉弁等のバルブ機器、ファンやモータ等のアクチュエータ機器、その他のプラントの現場に設置される機器である。尚、本実施形態では、理解を容易にするために、制御すべき工業プロセスにおける状態量が流体の流量である場合を例に挙げて説明する。このため、図１においては、プラントに設置された複数のフィールド機器１１のうちの流体の流量を測定する１つのセンサ機器１１ａと流体の流量を制御（操作）する１つのバルブ機器１１ｂとを図示している。

Ｉ／Ｏモジュール１２は、フィールド機器１１とコントローラ１３との間に設けられ、複数のフィールド機器１１が接続可能であり、接続されたフィールド機器１１とコントローラ１３との間で入出力される信号の処理を行う。例えば、フィールド機器１１から得られる信号を、コントローラ１３が受信可能な信号に変換する処理を行う。このＩ／Ｏモジュール１２は、複数のフィールド機器１１をコントローラ１３に接続し、フィールド機器１１で入出力される信号とコントローラ１３で入出力される信号との中継を行うモジュールであるということもできる。尚、Ｉ／Ｏモジュール１２の詳細については後述する。

コントローラ１３は、操作監視端末１４からの指示等に応じてフィールド機器１１との間で通信を行ってフィールド機器１１の制御を行う。具体的に、コントローラ１３は、あるフィールド機器１１（例えば、センサ機器１１ａ）で測定されたプロセス値を取得し、他のフィールド機器１１（例えば、バルブ機器１１ｂ）の操作量を演算して送信することによって、他のフィールド機器１１（例えば、バルブ機器１１ｂ）を制御する。

操作監視端末１４は、例えばプラントの運転員によって操作されてプロセスの監視のために用いられる端末である。具体的に、操作監視端末１４は、フィールド機器１１の入出力データをコントローラ１３から取得してプロセス制御システム１を構成するフィールド機器１１やコントローラ１３の挙動を運転員に伝えるとともに、運転員の指示に基づいてコントローラ１３の操作を行う。

エンジニアリング端末１５は、プロセス制御システム１の設計情報であるプロセス設計情報に基づいて、フィールド機器１１、Ｉ／Ｏモジュール１２、及びコントローラ１３に設定すべき情報を作成する。このエンジニアリング端末１５によって作成される情報としては、フィールド機器１１とＩ／Ｏモジュール１２との間の入出力に係る情報等が挙げられる。

設定装置１６は、プロセス制御システム１の立ち上げ時や保守時にＩ／Ｏモジュール１２に接続され、エンジニアリング端末１５から得られる情報を用いて、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定等を行うための装置である。この設定装置１６を用いることで、コントローラ１３がＩ／Ｏモジュール１２に接続されていない状態、或いはコントローラ１３がＩ／Ｏモジュール１２に接続されてはいるものの動作していない状態であっても、フィールド機器１１及びＩ／Ｏモジュール１２に対する設定や調整等が可能である。

次に、Ｉ／Ｏモジュール１２の内部構成について詳細に説明する。図１に示す通り、Ｉ／Ｏモジュール１２は、下位層インターフェイス２１（第１インターフェイス）、上位層インターフェイス２２（第２インターフェイス）、メンテナンスポート２３（第３インターフェイス）、スイッチ２４（切替部）、スイッチ２５、制御部２６、及びメモリ２７を備える。

下位層インターフェイス２１は、フィールド機器１１（下位の装置）が接続される複数のＩ／ＯポートＰを有しており、Ｉ／ＯポートＰに接続されているフィールド機器１１との間で各種信号の授受を行う。ここで、Ｉ／ＯポートＰは、フィールド機器１１からのアナログ信号の入力、フィールド機器１１へのアナログ信号の出力、フィールド機器１１からのディジタル信号の入力（ディスクリート入力）、及びフィールド機器１１へのディジタル信号の出力（ディスクリート出力）を行うことが可能である。Ｉ／ＯポートＰに上記の入出力の何れを行わせるかは、設定装置１６の指示によって設定される。

上位層インターフェイス２２は、ケーブルＣ２を介してコントローラ１３（上位の装置）に接続され、コントローラ１３との間で各種信号の授受を行う。メンテナンスポート２３は、不図示の接続ケーブルにより、或いは無線接続により接続された設定装置１６との間で各種信号の授受を行う。このメンテナンスポート２３としては、例えばＵＳＢ（Universal Serial Bus）やイーサネット（登録商標）等の有線インターフェイス、或いは、Ｗｉ−Ｆｉ（登録商標）やBluetooth（登録商標）等の無線通信規格に準拠した無線通信を行う無線インターフェイスを用いることができる。

スイッチ２４は、制御部２６の制御の下で、下位層インターフェイス２１に対して上位層インターフェイス２２を接続するか、又はメンテナンスポート２３を接続するかを切り替える。具体的に、スイッチ２４は、上位層インターフェイス２２に接続された端子（端子「Ｏ」：「Online」の意）、及びメンテナンスポート２３に接続された端子（端子「Ｍ」：「Maintenance」の意）を備える。スイッチ２４が端子「Ｏ」に接続された場合には、下位層インターフェイス２１に対して上位層インターフェイス２２が接続され、スイッチ２４が端子「Ｍ」に接続された場合には、下位層インターフェイス２１に対してメンテナンスポート２３が接続される。

スイッチ２５は、制御部２６の制御の下で、メンテナンスポート２３と制御部２６との間をオン状態（閉状態）又はオフ状態（開状態）にする。このスイッチ２５は、メンテナンスポート２３に対するアクセス（正確には、メンテナンスポート２３を介したＩ／Ｏモジュール１２に対するアクセス）を制限するために設けられる。ここで、上記のスイッチ２４，２５は、セキュリティを維持する観点からハードウェアスイッチであることが望ましい。

制御部２６は、上位層インターフェイス２２を介して入力される信号、或いはメンテナンスポート２３を介して入力される信号に基づいて、スイッチ２４及びスイッチ２５を制御する。メモリ２７は、例えばフラッシュＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable and Programmable ＲＯＭ）等の不揮発性メモリであり、Ｉ／Ｏモジュール１２の動作モード及び遷移状態を示す情報を記憶する。尚、メモリ２７に記憶された情報は、Ｉ／Ｏモジュール１２の動作モード及び遷移状態を確認するために、例えばエンジニアリング端末１５や設定装置１６によって参照される。

ここで、Ｉ／Ｏモジュール１２の動作モードには、「エンジニアリングモード」及び「運用モード」がある。「エンジニアリングモード」は、例えばコントローラ１３等が未接続又は未稼働状態でプロセス制御が実施されていないエンジニアリング時（立ち上げ時）の利用を想定した動作モードであり、「運用モード」は、運用中（プロセス制御の実施中）において、プロセス制御システム１をなす機器の保守が行われる場合を想定した動作モードである。Ｉ／Ｏモジュール１２の動作モードは、工場出荷時には「エンジニアリングモード」に設定されており、プロセス制御システム１に組み込まれた後は、エンジニアリング端末１５（又は、操作監視端末１４）からの指示に基づいて切り替えられる。

Ｉ／Ｏモジュール１２は、動作モードが「エンジニアリングモード」に設定されている場合には、以下に示す２つの状態に遷移可能である（図３参照）。
・オンライン（Online）状態ＳＴ１１（第１状態）
・メンテナンス（Maintenance）状態ＳＴ１２（第２状態）
また、Ｉ／Ｏモジュール１２は、動作モードが「運用モード」に設定されている場合には、以下に示す３つの状態に遷移可能である（図４参照）。
・オンライン／Ｍポート不可（Online/M-Port Disable）状態ＳＴ１３（第３状態）
・オンライン／Ｍポート許容（Online/M-Port Enable）状態ＳＴ１４（第１状態）
・メンテナンス状態ＳＴ１２（第２状態）

上記のオンライン状態ＳＴ１１は、下位層インターフェイス２１と上位層インターフェイス２２とが接続されて、フィールド機器１１とコントローラ１３との間で通信が可能な状態である。上記のメンテナンス状態ＳＴ１２は、下位層インターフェイス２１とメンテナンスポート２３とが接続されて、設定装置１６とフィールド機器１１との間で通信が可能な状態である。

上記のオンライン／Ｍポート不可状態ＳＴ１３は、下位層インターフェイス２１と上位層インターフェイス２２とが接続されてフィールド機器１１とコントローラ１３との間で通信が可能であり、且つメンテナンスポート２３へのアクセスが不可とされている状態である。上記のオンライン／Ｍポート許容状態ＳＴ１４は、下位層インターフェイス２１と上位層インターフェイス２２とが接続されてフィールド機器１１とコントローラ１３との間で通信が可能であり、且つメンテナンスポート２３へのアクセスが許容されている状態である。

以上の状態遷移は、制御部２６が、スイッチ２４及びスイッチ２５を制御することによって行われる。図２は、本発明の第１実施形態において、Ｉ／Ｏモジュールの各遷移状態におけるスイッチの状態を示す図である。また、図３は、本発明の第１実施形態において、Ｉ／Ｏモジュールの動作モードが「エンジニアリングモード」に設定されている場合の状態遷移図であり、図４は、本発明の第１実施形態において、Ｉ／Ｏモジュールの動作モードが「運用モード」に設定されている場合の状態遷移図である。

図２に示す通り、動作モードが「エンジニアリングモード」に設定されている場合には、制御部２６の制御により、スイッチ２５が常時オン状態（メンテナンスポート２３へのアクセスが許容された状態）にされる。そして、制御部２６の制御により、スイッチ２４が端子「Ｏ」に接続されることでオンライン状態（図３中のオンライン状態ＳＴ１１）に遷移し、スイッチ２４が端子「Ｍ」に接続されることでメンテナンス状態（図３中のメンテナンス状態ＳＴ１２）に遷移する。

ここで、図３に示す通り、オンライン状態ＳＴ１１からメンテナンス状態ＳＴ１２への遷移は、メンテナンスポート２３からの接続要求（設定装置１６からの下位層インターフェイス２１への接続要求）が入力された場合に行われる。また、メンテナンス状態ＳＴ１２からオンライン状態ＳＴ１１への遷移は、メンテナンスポート２３を介した設定装置１６との通信が遮断した場合、或いは設定装置１６からの遷移指示（オンライン状態ＳＴ１１に遷移させる指示）があった場合に行われる。尚、設定装置１６との通信が遮断する場合としては、設定装置１６の機能が停止した場合、或いはメンテナンスポート２３から設定装置１６が取り外された場合等が挙げられる。

図２に示す通り、動作モードが「運用モード」に設定されている場合には、制御部２６の制御により、スイッチ２５がオフ状態（メンテナンスポート２３へのアクセスが不可とされた状態）にされ、スイッチ２４が端子「Ｏ」に接続されることでオンライン／Ｍポート不可状態（図４中のオンライン／Ｍポート不可状態ＳＴ１３）に遷移する。また、制御部２６の制御により、スイッチ２５がオン状態にされ、スイッチ２４が端子「Ｏ」に接続されることでオンライン／Ｍポート許容状態（図４中のオンライン／Ｍポート許容状態ＳＴ１４）に遷移し、スイッチ２４が端子「Ｍ」に接続されることでメンテナンス状態（図４中のメンテナンス状態ＳＴ１２）に遷移する。

ここで、図４に示す通り、オンライン／Ｍポート不可状態ＳＴ１３からオンライン／Ｍポート許容状態ＳＴ１４への遷移は、上位層インターフェイス２２からの許容指令（コントローラ１３を介して、メンテナンスポート２３へのアクセスを許容する旨を示すエンジニアリング端末１５（又は、操作監視端末１４）からの指令）が入力された場合に行われる。オンライン／Ｍポート許容状態ＳＴ１４からメンテナンス状態ＳＴ１２への遷移は、メンテナンスポート２３からの接続要求（設定装置１６からの下位層インターフェイス２１への接続要求）が入力された場合に行われる。

また、メンテナンス状態ＳＴ１２からオンライン／Ｍポート許容状態ＳＴ１４への遷移は、メンテナンスポート２３を介した設定装置１６との通信が遮断した場合、或いは設定装置１６からの遷移指示（オンライン／Ｍポート許容状態ＳＴ１４に遷移させる指示）があった場合に行われる。オンライン／Ｍポート許容状態ＳＴ１４からオンライン／Ｍポート不可状態ＳＴ１３への遷移は、上位層インターフェイス２２からの接続要求（例えば、エンジニアリング端末１５からの下位層インターフェイス２１への接続要求）が入力された場合に行われる。

次に、上記構成におけるＩ／Ｏモジュール１２の動作について説明する。尚、以下ではプロセス制御システム１を立ち上げる際の動作（立ち上げ時動作）と、プロセス制御システム１をなす機器の保守が行われる際の動作（保守時動作）とを順に説明する。

〈立ち上げ時動作〉
プロセス制御システム１の立ち上げ時には、工場出荷されたフィールド機器１１及びＩ／Ｏモジュール１２が現場（プラントの現場）に設置され、配線が行われて伝送線Ｃ１によって接続された状態にされる。尚、プロセス制御システム１の立ち上げ時の初期段階では、Ｉ／Ｏモジュール１２にコントローラ１３は接続されない。以上の配線が完了すると、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定を行うために、Ｉ／Ｏモジュール１２のメンテナンスポート２３に設定装置１６が接続される。

ここで、前述の通り、Ｉ／Ｏモジュール１２は、工場出荷時の動作モードが「エンジニアリングモード」に設定されており、Ｉ／Ｏモジュール１２のスイッチ２５はオン状態にされている（図２参照）。このため、メンテナンスポート２３に接続された設定装置１６から下位層インターフェイス２１への接続要求が出力されると、この接続要求は、メンテナンスポート２３及びスイッチ２５を順に介して制御部２６に入力される。すると、制御部２６の制御によってスイッチ２４が端子「Ｍ」に接続される。これにより、Ｉ／Ｏモジュール１２は、図３に示す通り、オンライン状態ＳＴ１１からメンテナンス状態ＳＴ１２に遷移する。

Ｉ／Ｏモジュール１２がメンテナンス状態ＳＴ１２に遷移することで、設定装置１６とフィールド機器１１との間の通信が可能となる。従って、作業者は設定装置１６を操作して、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定や調整等を行う。このような設定等が終了し、作業者が設定装置１６の機能を停止させ、或いはメンテナンスポート２３から設定装置１６を取り外すと、Ｉ／Ｏモジュール１２は、図３に示す通り、メンテナンス状態ＳＴ１２からオンライン状態ＳＴ１１に遷移する。尚、設定装置１６からの遷移指示があった場合にも、メンテナンス状態ＳＴ１２からオンライン状態ＳＴ１１に遷移する。

このように、Ｉ／Ｏモジュール１２は、工場出荷時の動作モードが「エンジニアリングモード」に設定されており、メンテナンスポート２３へのアクセスが許容されている状態（スイッチ２５がオン状態）である。このため、設定装置１６をＩ／Ｏモジュール１２のメンテナンスポート２３に接続し、下位層インターフェイス２１への接続要求を行うことで、Ｉ／Ｏモジュール１２をオンライン状態ＳＴ１１からメンテナンス状態ＳＴ１２に遷移させることができる。このため、プロセス制御システム１の立ち上げ時に必要となるフィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定を効率的に行うことができる。

〈保守時動作〉
プロセス制御システム１によるプロセス制御が実施されている最中は、Ｉ／Ｏモジュール１２の動作モードは「運用モード」に設定されており、Ｉ／Ｏモジュール１２の状態は、基本的にオンライン／Ｍポート不可状態ＳＴ１３（図４参照）とされている。つまり、下位層インターフェイス２１と上位層インターフェイス２２とが接続されてフィールド機器１１とコントローラ１３との間で通信が可能であり、且つメンテナンスポート２３へのアクセスが不可（スイッチ２５がオフ状態）とされている状態である。

プロセス制御システム１をなす機器の保守が行われる場合には、まずエンジニアリング端末１５（又は、操作監視端末１４）からＩ／Ｏモジュール１２に向けて許容指令（Ｉ／Ｏモジュール１２のメンテナンスポート２３へのアクセスを許容する旨を示す指令）が送信される。この許容指令は、コントローラ１３、Ｉ／Ｏモジュール１２の上位層インターフェイス２２を介して制御部２６に入力される。すると、制御部２６の制御によってスイッチ２５がオン状態にされ、これによりＩ／Ｏモジュール１２は、図４に示す通り、オンライン／Ｍポート不可状態ＳＴ１３からオンライン／Ｍポート許容状態ＳＴ１４に遷移する。

ここで、Ｉ／Ｏモジュール１２のメンテナンスポート２３に設定装置１６が接続され、この設定装置１６から下位層インターフェイス２１への接続要求が出力されると、制御部２６の制御によってスイッチ２４が端子「Ｍ」に接続される。これにより、Ｉ／Ｏモジュール１２は、図４に示す通り、オンライン／Ｍポート許容状態ＳＴ１４からメンテナンス状態ＳＴ１２に遷移する。

Ｉ／Ｏモジュール１２がメンテナンス状態ＳＴ１２に遷移することで、設定装置１６とフィールド機器１１との間の通信が可能となる。従って、作業者は設定装置１６を操作して、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定や調整等を行う。このような設定等が終了し、作業者が設定装置１６の機能を停止させ、或いはメンテナンスポート２３から設定装置１６を取り外すと、Ｉ／Ｏモジュール１２は、図４に示す通り、メンテナンス状態ＳＴ１２からオンライン／Ｍポート許容状態ＳＴ１４に遷移する。尚、設定装置１６からの遷移指示があった場合にも、メンテナンス状態ＳＴ１２からオンライン／Ｍポート許容状態ＳＴ１４に遷移する。

Ｉ／Ｏモジュール１２がオンライン／Ｍポート許容状態ＳＴ１４である間に、上位層インターフェイス２２からの接続要求（例えば、エンジニアリング端末１５からの下位層インターフェイス２１への接続要求）が入力されると、Ｉ／Ｏモジュール１２は、図４に示す通り、オンライン／Ｍポート許容状態ＳＴ１４からオンライン／Ｍポート不可状態ＳＴ１３に遷移する。尚、Ｉ／Ｏモジュール１２が、オンライン／Ｍポート不可状態ＳＴ１３からオンライン／Ｍポート許容状態ＳＴ１４に遷移した場合に、設定装置１６からの接続要求（下位層インターフェイス２１への接続要求）が入力される前に、上位層インターフェイス２２からの接続要求が入力された場合も、Ｉ／Ｏモジュール１２は、オンライン／Ｍポート許容状態ＳＴ１４からオンライン／Ｍポート不可状態ＳＴ１３に遷移する。

このように、Ｉ／Ｏモジュール１２は、プロセス制御システム１によるプロセス制御が実施されている最中は、動作モードが「運用モード」に設定されており、基本的にメンテナンスポート２３へのアクセスが不可とされたオンライン／Ｍポート不可状態ＳＴ１３である。このため、悪意のある第三者が設定装置１６に相当する装置をＩ／Ｏモジュール１２のメンテナンスポート２３に接続したとしても、フィールド機器１１等の設定内容を変更したり、プロセス制御システム１にマルウェアを侵入させたりすることはできず、高いセキュリティを確保することができる。

他方、プロセス制御システム１をなす機器の保守が行われる場合には、エンジニアリング端末１５（又は、操作監視端末１４）からの許容指令によって、Ｉ／Ｏモジュール１２はメンテナンスポート２３へのアクセスが許容されたオンライン／Ｍポート許容状態ＳＴ１４に遷移する。このため、設定装置１６をＩ／Ｏモジュール１２のメンテナンスポート２３に接続し、下位層インターフェイス２１への接続要求を行うことで、Ｉ／Ｏモジュール１２をオンライン／Ｍポート許容状態ＳＴ１４からメンテナンス状態ＳＴ１２に遷移させることができる。このため、プロセス制御システム１の保守時に必要となるフィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定を効率的に行うことができる。

また、Ｉ／Ｏモジュール１２は、オンライン／Ｍポート許容状態ＳＴ１４である間に、上位層インターフェイス２２からの接続要求（例えば、エンジニアリング端末１５からの下位層インターフェイス２１への接続要求）が入力されれば、オンライン／Ｍポート不可状態ＳＴ１３に遷移する。このため、上位層インターフェイス２２からの接続要求によって意図的に、メンテナンスポート２３へのアクセスを不可とすることができ、セキュリティを高めることができる。

尚、例えばエンジニアリング端末１５が、コントローラ１３を介して、Ｉ／Ｏモジュール１２のメモリ２７の内容を参照してオンライン／Ｍポート許容状態ＳＴ１４が継続された時間を測定し、予め規定された時間（例えば、１時間）以上継続された場合に、上記の接続要求を送信してＩ／Ｏモジュール１２をオンライン／Ｍポート不可状態ＳＴ１３に遷移させるようにしても良い。これにより、メンテナンスポート２３へのアクセスが許容されている状態が不必要に長くなるのを防止することができ、セキュリティを高めることができる。

〔第２実施形態〕
図５は、本発明の第２実施形態による入出力装置の要部構成を示すブロック図である。尚、図５においては、図１に示したブロックと同様のブロックには同一の符号を付してある。また、図５では、図１中のコントローラ１３、操作監視端末１４、及びエンジニアリング端末１５の図示を省略しているが、本実施形態の入出力装置としてのＩ／Ｏモジュール３０は、図１に示すＩ／Ｏモジュール１２と同様に、フィールド機器１１とコントローラ１３との間に設けられる。

図５に示すＩ／Ｏモジュール３０が、図１に示すＩ／Ｏモジュール１２と相違する点は、スイッチ２４に代えてスイッチ３１（切替部）が設けられている点、及びタイマ３２（計時部）が追加されている点である。スイッチ３１は、上位層インターフェイス２２に接続された端子「Ｏ」及びメンテナンスポート２３に接続された端子「Ｍ」に加えて、中立端子（中立端子「Ｎ」：Neutralの意）を備える。スイッチ２４が中立端子「Ｎ」に接続された場合には、下位層インターフェイス２１に対して上位層インターフェイス２２及びメンテナンスポート２３の何れもが接続されない中立状態となる。タイマ３２は、制御部２６の制御の下で、予め規定された時間（例えば、１時間）を計時する。

ここで、Ｉ／Ｏモジュール３０には、図１に示すＩ／Ｏモジュール１２と同様に、「エンジニアリングモード」及び「運用モード」の動作モードがある。但し、Ｉ／Ｏモジュール３０の「運用モード」は、図１示すＩ／Ｏモジュール１２の「運用モード」とは異なり、以下に示す４つの状態に遷移可能である（図７参照）。
・オンライン状態ＳＴ２１（第３状態）
・Ｍポート許容（M-Port Enable）状態ＳＴ２２（第１状態）
・メンテナンス状態ＳＴ２３（第２状態）
・オンラインウェイト（Online Wait）状態ＳＴ２４（第４状態）

上記のオンライン状態ＳＴ２１は、図３に示すオンライン状態ＳＴ１１と同様に、下位層インターフェイス２１と上位層インターフェイス２２とが接続されて、フィールド機器１１とコントローラ１３との間で通信が可能な状態であるが、メンテナンスポート２３へのアクセスが不可とされている状態である。上記のＭポート許容状態ＳＴ２２は、図４に示すオンライン／Ｍポート許容状態ＳＴ１４と同様の状態であり、下位層インターフェイス２１と上位層インターフェイス２２とが接続されてフィールド機器１１とコントローラ１３との間で通信が可能であり、且つメンテナンスポート２３へのアクセスが許容されている状態である。このＭポート許容状態ＳＴ２２は、メンテナンス状態ＳＴ２３へ遷移するための過渡状態である。

上記のメンテナンス状態ＳＴ２３は、図３，図４に示すメンテナンス状態ＳＴ１２と同様に、下位層インターフェイス２１とメンテナンスポート２３とが接続されて、設定装置１６とフィールド機器１１との間で通信が可能な状態である。上記のオンラインウェイト状態ＳＴ２４は、下位層インターフェイス２１に対して上位層インターフェイス２２及びメンテナンスポート２３の何れもが接続されない中立状態であり、且つメンテナンスポート２３へのアクセスが許容されている状態である。このオンラインウェイト状態ＳＴ２４は、保守作業（メンテナンス）が完了した後に、オンライン状態ＳＴ２１又はメンテナンス状態ＳＴ２３に遷移するための過渡状態である。

以上の状態遷移は、制御部２６が、スイッチ２５及びスイッチ３１を制御することによって行われる。図６は、本発明の第２実施形態において、Ｉ／Ｏモジュールの各遷移状態におけるスイッチの状態を示す図である。また、図７は、本発明の第２実施形態において、Ｉ／Ｏモジュールの動作モードが「運用モード」に設定されている場合の状態遷移図である。尚、Ｉ／Ｏモジュールの動作モードが「エンジニアリングモード」に設定されている場合のスイッチの状態及び状態遷移は第１実施形態と同様のため、ここでは説明を省略する。

図６に示す通り、動作モードが「運用モード」に設定されている場合には、制御部２６の制御により、スイッチ２５がオフ状態（メンテナンスポート２３へのアクセスが不可とされた状態）にされ、スイッチ３１が端子「Ｏ」に接続されることでオンライン状態（図７中のオンライン状態ＳＴ２１）に遷移する。また、制御部２６の制御により、スイッチ２５がオン状態にされ、スイッチ３１が端子「Ｏ」に接続されることでＭポート許容状態（図７中のＭポート許容状態ＳＴ２２）に遷移し、スイッチ３１が端子「Ｍ」に接続されることでメンテナンス状態（図７中のメンテナンス状態ＳＴ２３）に遷移し、スイッチ３１が端子「Ｎ」に接続されることでオンラインウェイト状態（図７中のオンラインウェイト状態ＳＴ２４）に遷移する。

ここで、図７に示す通り、オンライン状態ＳＴ２１からＭポート許容状態ＳＴ２２への遷移は、上位層インターフェイス２２からの許容指令（メンテナンスポート２３へのアクセスを許容する旨を示すエンジニアリング端末１５（又は、操作監視端末１４）からの指令）が入力された場合に行われる。Ｍポート許容状態ＳＴ２２からメンテナンス状態ＳＴ２３への遷移は、メンテナンスポート２３からの接続要求（設定装置１６からの下位層インターフェイス２１への接続要求）が入力された場合に行われる。

また、メンテナンス状態ＳＴ２３からオンラインウェイト状態ＳＴ２４への遷移は、メンテナンスポート２３を介した設定装置１６との通信が遮断した場合、或いは設定装置１６からの遷移指示（オンラインウェイト状態ＳＴ２４に遷移させる指示）があった場合に行われる。また、Ｍポート許容状態ＳＴ２２からオンラインウェイト状態ＳＴ２４への遷移は、Ｍポート許容状態ＳＴ２２に遷移してから、Ｍポート許容状態ＳＴ２２のままで予め規定された時間が経過した場合（タイマ３２によって予め規定された時間が計時された場合）に行われる。また、オンラインウェイト状態ＳＴ２４である場合に、メンテナンスポート２３からの接続要求が入力されたときには、メンテナンス状態ＳＴ２３に遷移し、上位層インターフェイス２２からの接続要求が入力されたときには、オンライン状態ＳＴ２１に遷移する。

次に、上記構成におけるＩ／Ｏモジュール３０の動作について説明する。尚、プロセス制御システムを立ち上げる際の動作（立ち上げ時動作）は、第１実施形態と同様であるため、以下ではプロセス制御システムをなす機器の保守が行われる際の動作（保守時動作）について説明する。

〈保守時動作〉
プロセス制御システムによるプロセス制御が実施されている最中は、Ｉ／Ｏモジュール３０の動作モードは「運用モード」に設定されており、Ｉ／Ｏモジュール３０の状態は、基本的にオンライン状態ＳＴ２１（図７参照）とされている。つまり、下位層インターフェイス２１と上位層インターフェイス２２とが接続されてフィールド機器１１とコントローラ１３との間で通信が可能であり、且つメンテナンスポート２３へのアクセスが不可（スイッチ２５がオフ状態）とされている状態である。

プロセス制御システムをなす機器の保守が行われる場合には、第１実施形態と同様に、エンジニアリング端末１５（又は、操作監視端末１４）からＩ／Ｏモジュール３０に向けて許容指令（Ｉ／Ｏモジュール３０のメンテナンスポート２３へのアクセスを許容する旨を示す指令）がコントローラ１３を介して送信される。この許容指令がＩ／Ｏモジュール３０の制御部２６に入力されると、制御部２６の制御によってスイッチ２５がオン状態にされ、これによりＩ／Ｏモジュール３０は、図７に示す通り、オンライン状態ＳＴ２１からＭポート許容状態ＳＴ２２に遷移する。このＭポート許容状態ＳＴ２２に遷移すると、タイマ３２による計時が開始される。

ここで、Ｉ／Ｏモジュール３０のメンテナンスポート２３に設定装置１６が接続され、タイマ３２の計時が予め規定された時間を経過する前に、設定装置１６から下位層インターフェイス２１への接続要求が出力されると、制御部２６の制御によってスイッチ３１が端子「Ｍ」に接続される。これにより、Ｉ／Ｏモジュール３０は、図７に示す通り、Ｍポート許容状態ＳＴ２２からメンテナンス状態ＳＴ２３に遷移する。

Ｉ／Ｏモジュール３０がメンテナンス状態ＳＴ２３に遷移することで、設定装置１６とフィールド機器１１との間の通信が可能となる。従って、作業者は設定装置１６を操作して、フィールド機器１１及びＩ／Ｏモジュール３０に対する各種設定や調整等を行う。このような設定等が終了し、作業者が設定装置１６の機能を停止させ、或いはメンテナンスポート２３から設定装置１６を取り外すと、これらを制御部２６が検知し、Ｉ／Ｏモジュール３０は、図７に示す通り、メンテナンス状態ＳＴ２３からオンラインウェイト状態ＳＴ２４に遷移する。尚、設定装置１６からの遷移指示があった場合にも、メンテナンス状態ＳＴ２３からオンラインウェイト状態ＳＴ２４に遷移する。

ここで、Ｉ／Ｏモジュール３０がＭポート許容状態ＳＴ２２に遷移した後に、タイマ３２による計時が完了した場合には、Ｉ／Ｏモジュール３０の制御部２６は、図７に示す通り、Ｍポート許容状態ＳＴ２２からオンラインウェイト状態ＳＴ２４に遷移させる。

Ｉ／Ｏモジュール３０がオンラインウェイト状態ＳＴ２４である場合に、メンテナンスポート２３からの接続要求（設定装置１６からの下位層インターフェイス２１への接続要求）が入力されると、Ｉ／Ｏモジュール３０は、図７に示す通り、オンラインウェイト状態ＳＴ２４からメンテナンス状態ＳＴ２３に遷移する。これに対し、Ｉ／Ｏモジュール３０がオンラインウェイト状態ＳＴ２４である場合に、上位層インターフェイス２２からの接続要求（例えば、エンジニアリング端末１５からの下位層インターフェイス２１への接続要求）が入力されると、Ｉ／Ｏモジュール３０は、図７に示す通り、オンラインウェイト状態ＳＴ２４からオンライン状態ＳＴ２１に遷移する。

このように、Ｉ／Ｏモジュール３０は、プロセス制御システムによるプロセス制御が実施されている最中は、動作モードが「運用モード」に設定されており、第１実施形態のＩ／Ｏモジュール１２と同様に、基本的にメンテナンスポート２３へのアクセスが不可とされた状態（オンライン状態ＳＴ２１）である。このため、悪意のある第三者が設定装置１６に相当する装置をＩ／Ｏモジュール３０のメンテナンスポート２３に接続したとしても、フィールド機器１１等の設定内容を変更したり、プロセス制御システム１にマルウェアを侵入させたりすることはできず、高いセキュリティを確保することができる。

他方、プロセス制御システムをなす機器の保守が行われる場合には、第１実施形態と同様に、エンジニアリング端末１５（又は、操作監視端末１４）からの許容指令によって、Ｉ／Ｏモジュール３０はメンテナンスポート２３へのアクセスが許容された状態（Ｍポート許容状態ＳＴ２２）に遷移する。このため、設定装置１６をＩ／Ｏモジュール３０のメンテナンスポート２３に接続し、下位層インターフェイス２１への接続要求を行うことで、Ｉ／Ｏモジュール３０をＭポート許容状態ＳＴ２２からメンテナンス状態ＳＴ２３に遷移させることができる。このため、プロセス制御システムの保守時に必要となるフィールド機器１１及びＩ／Ｏモジュール３０に対する各種設定を効率的に行うことができる。

また、Ｉ／Ｏモジュール３０は、Ｍポート許容状態ＳＴ２２に遷移してから予め規定された時間が経過した場合、或いはメンテナンスポート２３を介した設定装置１６との通信が遮断された場合（又は、設定装置１６からの遷移指示があった場合）に、オンライウェイト状態ＳＴ２４に遷移する。これにより、下位層インターフェイス２１と上位層インターフェイス２２とが接続された状態でメンテナンスポート２３へのアクセスが許容されている状態が不必要に長くなる事態を防止することができ、セキュリティを高めることができる。

尚、上述した第１，第２実施形態では、説明を簡単にするために、プロセス制御システムに設けられたコントローラ１３及びＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）がそれぞれ１つずつである例について説明した。図８に示す通り、プロセス制御システムには、コントローラ１３及びＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）が複数設けられるのが一般的である。図８は、コントローラ及びＩ／Ｏモジュールを複数備えるプロセス制御システムの構成例を示すブロック図である。

このようなプロセス制御システムでは、エンジニアリング端末１５（又は、操作監視端末１４）からの許容指令（メンテナンスポート２３へのアクセスを許容する旨を示す指令）が、保守の必要のあるＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）に対してのみ送信される。そして、図８に示す通り、保守の必要のあるＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）のメンテナンスポート２３に設定装置１６が接続されて、フィールド機器１１及びＩ／Ｏモジュール１２に対する各種設定や調整等が行われる。このようにして、複数のＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）に対する保守が複数の設定装置１６を用いて同時に行われる。尚、図８に示すプロセス制御システムにＩ／Ｏモジュール３０が設けられている場合には、アクセスが許容されたＩ／Ｏモジュール３０に設定装置が規定時間内に接続されない場合には、そのＩ／Ｏモジュールはオンラインウェイト状態に遷移するため、セキュリティが保たれる。

以上、本発明の実施形態による入出力装置について説明したが、本発明は上述した実施形態に制限されることなく、本発明の範囲内で自由に変更が可能である。例えば、上記実施形態においては、入出力装置がＩ／Ｏモジュール１２（Ｉ／Ｏモジュール３０）である場合を例に挙げて説明したが、本発明は、コントローラ、ネットワーク中継器、リモートＩ／Ｏ装置、無線ゲートウェイ等の入出力装置にも適用することができる。

１ プロセス制御システム
１１ フィールド機器
１２ Ｉ／Ｏモジュール
１３ コントローラ
１６ 設定装置
２１ 下位層インターフェイス
２２ 上位層インターフェイス
２３ メンテナンスポート
２４ スイッチ
２５ スイッチ
２６ 制御部
３０ Ｉ／Ｏモジュール
３１ スイッチ
３２ タイマ
ＳＴ１１ オンライン状態
ＳＴ１２ メンテナンス状態
ＳＴ１３ オンライン／Ｍポート不可状態
ＳＴ１４ オンライン／Ｍポート許容状態
ＳＴ２１ オンライン状態
ＳＴ２２ Ｍポート許容状態
ＳＴ２３ メンテナンス状態
ＳＴ２４ オンラインウェイト状態

Claims (10)

1. プロセス制御システムで用いられる入出力装置であって、
   下位の装置が接続される第１インターフェイスと、
   上位の装置が接続される第２インターフェイスと、
   外部の設定装置が接続される第３インターフェイスと、
   前記第１インターフェイスに対して前記第２インターフェイスを接続するか又は前記第３インターフェイスを接続するかを切り替える切替部と、
   前記切替部を制御する制御部と、
   前記第３インターフェイスと前記制御部との間を開状態又は閉状態にするスイッチと、
   を備え、
   前記制御部は、前記切替部及び前記スイッチを制御して、前記第２インターフェイスと前記第１インターフェイスとが接続されており、前記第３インターフェイスと前記制御部との間が閉状態にされた第１状態、前記第３インターフェイスと前記第１インターフェイスとが接続されており、前記第３インターフェイスと前記制御部との間が閉状態にされた第２状態、及び前記第２インターフェイスと前記第１インターフェイスとが接続されており、前記第３インターフェイスと前記制御部との間が開状態にされた第３状態の切り替えを行い、
   前記プロセス制御システムの立ち上げ時又は保守時には、前記第２状態への切り替えが行われ、前記プロセス制御システムの稼働時には、前記第３状態への切り替えが行われる
   ことを特徴とする入出力装置。
2. 前記制御部は、前記第１状態である場合に、前記第１インターフェイスに対する接続要求が前記第３インターフェイスを介して入力されたときには前記第２状態に遷移させることを特徴とする請求項１記載の入出力装置。
3. 前記制御部は、前記第１状態である場合に、前記第１インターフェイスに対する接続要求が前記第２インターフェイスを介して入力されたときには前記第３状態に遷移させることを特徴とする請求項１記載の入出力装置。
4. 前記制御部は、前記第２状態に遷移させた後に、前記第３インターフェイスに接続された前記設定装置との通信が遮断された場合、或いは前記設定装置からの遷移指示があった場合には、前記第１状態に遷移させることを特徴とする請求項２記載の入出力装置。
5. 前記制御部は、前記第３状態である場合に、前記第３インターフェイスの前記第１インターフェイスに対する接続を許容する旨を示す指令が前記第２インターフェイスを介して入力されたときには、前記第１状態に遷移させることを特徴とする請求項１又は請求項３記載の入出力装置。
6. 前記切替部は、前記第１インターフェイスに対して前記第２インターフェイス及び前記第３インターフェイスの双方が接続されておらず、前記第３インターフェイスと前記制御部との間が閉状態にされた第４状態に切り替え可能であり、
   前記制御部は、前記第２状態に遷移させた後に、前記第３インターフェイスに接続された前記設定装置との通信が遮断された場合、或いは前記設定装置からの遷移指示があった場合には、前記第４状態に遷移させることを特徴とする請求項２記載の入出力装置。
7. 前記制御部は、前記第４状態である場合に、前記第１インターフェイスに対する接続要求が前記第３インターフェイスを介して入力されたときには、前記第２状態に遷移させることを特徴とする請求項６記載の入出力装置。
8. 前記制御部は、前記第４状態である場合に、前記第１インターフェイスに対する接続要求が前記第２インターフェイスを介して入力されたときには、前記第３状態に遷移させることを特徴とする請求項６又は請求項７記載の入出力装置。
9. 前記制御部は、前記第３状態である場合に、前記第３インターフェイスの前記第１インターフェイスに対する接続を許容する旨を示す指令が前記第２インターフェイスを介して入力されたときには、前記第１状態に遷移させることを特徴とする請求項８記載の入出力装置。
10. 予め規定された所定時間を計時する計時部を備えており、
    前記制御部は、前記第１状態が前記所定時間だけ継続された場合に、前記第４状態に遷移させることを特徴とする請求項６から請求項９の何れか一項に記載の入出力装置。

Images