JP6099599B2 - 設備管理システム、設備管理装置、設備管理方法、及び、プログラム - Google Patents

Description

本発明は、ユーザへの負担を減らしつつ、通信のセキュリティを向上させる設備管理システム、設備管理装置、設備管理方法、及び、プログラムに関する。

大規模なビルディング等、複数の設備機器が設置される建物において、各設備機器の動作状態等をユーザ（管理者）が集中して監視したり制御したりすることができるシステムがある。例えば、各設備機器の動作状態等を随時取得して表示する監視端末を設け、ユーザは、情報を表示するソフトウェア（いわゆるブラウザ）を用いて、各設備機器の動作状態等を逐次閲覧したり、各設備機器に適宜動作を指示したりする。

設備機器が多くなると、各設備機器をＬＡＮ（Local Area Network）等の通信ネットワークで接続し、各設備機器の動作状態を取得したり動作を制御したりする設備管理装置を同じ通信ネットワーク上に設置し、この設備管理装置によって設備機器を管理することが行われる。更に設備機器が多くなると、設備管理装置が複数設置され、グループ単位で設備機器を管理することもある。

各設備機器を管理する設備管理装置を設置する際、特に監視端末と設備管理装置との間の通信におけるセキュリティを確保して情報漏えいを防ぐために、標準的なプロトコルであるＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を用いてデータを暗号化して送受信することが行われる。

一般に、ＨＴＴＰＳを用いた暗号化に必要なデジタル証明書は、認証機関（あるいは認証局とも呼ばれる）によって有料で発行されている。ユーザは、認証機関から定期的にデジタル証明書を購入する必要がある。デジタル証明書の更新をユーザが行うことは、ユーザが行うべき作業量においても、あるいは費用面においても、負担となる。

特許文献１には、初回起動時に自動でルート証明書とサーバ証明書を生成してＳＳＬ通信を行うデジタル複合機が開示されている。

特開２００９−２００５６５号公報（特に第４図を参照。）

上記特許文献１では、サーバ証明書をデジタル複合機内で生成することにより、認証局からのサーバ証明書の購入を不要としている。しかしながら、ルート証明書がデジタル複合機に固有のＭＡＣアドレスに基づいて生成されるため、デジタル複合機ごとに異なるルート証明書が必要になり、接続するデジタル複合機の数の分だけルート証明書をホスト端末に登録する必要があり、ユーザにとって大きな負担となる。

また、一つの建物内に複数の設備管理装置が接続されるケースが多い。そして、従来の技術では、設備機器を管理する設備管理装置と同じ台数分のルート証明書を登録する必要があるため、ユーザの作業負荷が増大するとともに、ルート証明書の登録漏れによる通信不具合が発生してしまうおそれがある。このように、セキュリティの向上のために、ユーザがすべき作業が増え、また導入コストが増え、更には不具合リスクも無視できないという問題がある。

本発明は、上述の事情のもとになされたもので、ユーザへの負担を減らしつつ、通信のセキュリティを向上させる設備管理システム、設備管理装置、設備管理方法、及び、プログラムを提供することを目的とする。

上記目的を達成するため、本発明の設備管理装置は、
第１の開始条件が満たされると、監視端末との暗号化通信に用いられるルート証明書を第１の秘密鍵を用いて生成し、第２の開始条件が満たされると、前記暗号化通信に用いられるサーバ証明書を第２の秘密鍵を用いて生成する証明書生成部と、
前記暗号化通信を開始する旨の要求を前記監視端末から受信すると、前記生成されたサーバ証明書と、前記第１の秘密鍵に対応する第１の公開鍵と、を前記監視端末へ送信し、前記第２の秘密鍵に対応する第２の公開鍵により暗号化された共通鍵を前記監視端末から受信し、前記暗号化された共通鍵を前記第２の秘密鍵を用いて復号し、前記共通鍵によって暗号化されたコマンドを前記監視端末から受信すると、前記コマンドを前記復号した共通鍵により復号し、前記復号したコマンドに対応付けられる処理を実行するコマンド処理部と、を備える。

ユーザへの負担を減らしつつ、通信のセキュリティを向上させることができる。

設備管理システムの構成を示す図である。 設備管理装置のハードウェア構成を示す図である。 監視端末のハードウェア構成を示す図である。 設備管理装置の機能的な構成を示す図である。 監視端末の機能的な構成を示す図である。 ルート証明書生成処理の流れを説明するためのフローチャートである。 サーバ証明書生成処理の流れを説明するためのフローチャートである。 監視端末と設備管理装置によって実行される処理の流れを説明するためのフローチャートである。 設備管理システムの管理画面の例を示す図である。

まず、本発明の実施形態について説明する。

図１に、本実施形態に係る設備管理システム１の概要を示す。設備管理システム１には、複数の設備機器２と、複数の設備管理装置３（図１では設備管理装置３Ａ、３Ｂの二つ）と、複数の監視端末４（図１では監視端末４Ａ、４Ｂの二つ）と、がある。

設備機器２と設備管理装置３は、通信線５により互いに通信可能に接続される。また、設備管理装置３と監視端末４は、通信線６により互いに通信可能に接続される。

設備機器２とは、具体的には、例えば、空気調和機、照明機器、換気装置、コンピュータ等である。

設備機器２は、例えばビルディング等の建物内の、予め決められた場所に設置される。ただし、設備機器２が設備管理装置３と無線により通信し、設備機器２の設置場所を変更できるようにしてもよい。

設備機器２は、設備管理装置３による管理の下で動作する。各設備機器２の運転状態は、通信線５を介して設備管理装置３に逐次通知される。これら複数の設備機器２をまとめて「設備機器群７」ともいう。図１には、二つの設備機器群７Ａ、７Ｂがある。

設備機器２は、動作状態等を示すデータを定期的なタイミングで設備管理装置３へ送信してもよいし、設備管理装置３からの要求に応じて動作状態等を示すデータを設備管理装置３へ送信してもよい。

設備管理装置３は、一つ以上の設備機器２を含む設備機器群７を統括的に管理する。

図１には二つの設備管理装置３Ａ，３Ｂがあるが、設備管理装置３は、一つのみ、あるいは三つ以上でもよい。

本実施形態では、設備管理装置３Ａによって管理される設備機器群７Ａに含まれる設備機器２と、設備管理装置３Ｂによって管理される設備機器群７Ｂに含まれる設備機器２とは、互いに異なる。つまり、一つの設備機器２が二つ以上の異なる設備管理装置３によって管理されることはない。

監視端末４は、設備管理装置３から設備機器２の動作状態等を示す設備機器データを取得し、取得した設備機器データを、例えばブラウザ等、情報を閲覧するためのアプリケーションソフトウェアによって、ユーザ（典型的には設備管理システム１の管理者）が閲覧可能に表示する。ユーザは、監視端末４において、ブラウザを使って、各設備機器の動作状態等を見たり、各設備機器２に動作を命令したりすることができる。

図１には二つの監視端末４があるが、監視端末４は、一つのみ、あるいは三つ以上でもよい。

次に、設備管理装置３のハードウェア構成について、図２を用いて説明する。

通信部２０１は、二系統のＮＩＣ（Network Interface Card）を備え、通信線５により設備機器２と通信し、また、通信線６により監視端末４と通信する。

画像処理部２０２は、ディスプレイ２５１に表示する画面を生成し、表示する。例えば、画像処理部２０２は、設備機器２から取得した、設備機器２の現在の動作状態を示す設備機器データを、ディスプレイ２５１に表示する。

音声処理部２０３は、記憶部２０６から音声データを読み出し、再生し、音声をスピーカ２５２から出力する。

Ｉ／Ｏ部２０４は、ＵＳＢ（Universal Serial Bus）等のインタフェースを備え、メモリカード、外付けハードディスク等を設備管理装置３に接続する。

入力部２０５は、ボタン、キーボード、タッチパネル等、ユーザから指示を受け付ける入力デバイスを備える。

記憶部２０６は、ハードディスク等の記憶装置を備え、設備管理装置３を制御する各種のプログラム、各設備機器２から取得した設備機器２の現在の動作状態を示す情報、オペレーティングシステム（ＯＳ）、画像データ、音声データ、テキストデータ等を記憶する。

制御部２０７は、ＣＰＵ、ＲＯＭ、ＲＡＭを備え、設備管理装置３全体を制御する。

次に、監視端末４のハードウェア構成について、図３を用いて説明する。

通信部３０１は、ＮＩＣを備え、通信線６により設備管理装置３と通信する。

画像処理部３０２は、ディスプレイ３５１に表示する画面を生成し、表示する。例えば、画像処理部３０２は、設備管理装置３から取得した、設備機器２の現在の動作状態を示す設備機器データを、ディスプレイ３５１に表示する。

音声処理部３０３は、記憶部３０６から音声データを読み出し、再生し、音声をスピーカ２５２から出力する。

Ｉ／Ｏ部３０４は、ＵＳＢ（Universal Serial Bus）等のインタフェースを備え、メモリカード、外付けハードディスク等を監視端末４に接続する。

入力部３０５は、ボタン、キーボード、タッチパネル等、ユーザから指示を受け付ける入力デバイスを備える。

記憶部３０６は、ハードディスク等の記憶装置を備え、監視端末４を制御する各種のプログラム、各設備管理装置３から取得した設備機器２の現在の動作状態を示す情報、オペレーティングシステム（ＯＳ）、画像データ、音声データ、テキストデータ等を記憶する。

制御部３０７は、ＣＰＵ、ＲＯＭ、ＲＡＭを備え、監視端末４全体を制御する。

監視端末４として、一般的なパーソナルコンピュータ、タブレット型コンピュータ、携帯端末等を用いることができる。

次に、設備管理装置３の機能的な構成について、図４を用いて説明する。

表示部１０は、処理部３０の制御の下、ユーザが設備機器群７に含まれる設備機器２の動作状態の監視や動作の指示を行うための管理画面を生成して表示する。設備管理装置３が有する画像処理部２０２と制御部２０７が協働して、表示部１０として機能する。

入力受付部２０は、マウス、キーボード、タッチパネル等の入力デバイスを用いた、ユーザからの様々な入力を受け付ける。ユーザは、マウス等の入力デバイスを操作することにより、管理画面の切り換えの指示や、設備機器２への動作の指示等を行うことができる。設備管理装置３が有する入力部２０５と制御部２０７が協働して、入力受付部２０として機能する。

処理部３０は、設備管理装置３が管理する設備機器群７に含まれる設備機器２のそれぞれの動作状態を取得し、設備機器データ７０として記憶部２０６に記憶し、ユーザからの指示に基づいて表示する。設備管理装置３が有する制御部２０７と通信部２０１と記憶部２０６が協働して、処理部３０として機能する。

より詳細には、処理部３０は、受け付けた設備機器２への動作の指示に基づいて、設備機器２を制御する設備機器管理部３１を備える。

また、処理部３０は、監視端末４からコマンドを受信し、受信したコマンドに予め対応付けられる処理を実行するコマンド処理部３２を備える。例えば、コマンドには、設備機器データ７０を取得して監視端末４に表示させるコマンドがある。コマンド処理部３２は、監視端末４からの通信接続を受け付け、設備機器２から受信した動作状態を含む設備機器データ７０を暗号化して監視端末４へ送信する。

更に、処理部３０は、予め決められたプロトコル（本実施形態では、ＨＴＴＰＳを採用する。）による通信で用いるサーバ証明書１０１を含むサーバ証明書情報１００を生成する証明書生成部３３を備える。本実施形態では、サーバ証明書を用いてコマンド単位で認証が行われる。また、証明書生成部３３は、後述するルート証明書９１を含むルート証明書情報９０を生成する。

データ格納部４０は、設備機器群７に含まれる設備機器２のそれぞれの動作状態を示す設備機器データ７０と、情報を秘匿化して送受信する暗号化通信（本実施形態ではＨＴＴＰＳ）を利用するために必要となるデジタル証明書であるサーバ証明書１０１を含むサーバ証明書情報１００と、同じくデジタル証明書であるルート証明書９１を含むルート証明書情報９０等を記憶する。設備管理装置３が有する記憶部２０６と制御部２０７が協働して、データ格納部４０として機能する。

より詳細には、データ格納部４０は、設備機器２から取得した、設備機器２の動作状態７１を含む設備機器データ７０を記憶する。設備機器データ７０は、制御部２０７により随時更新される。

動作状態７１とは、例えば空調機の場合、運転中か停止中か、運転中の場合における冷房や暖房などの運転モード、目標温度、設備機器２によって測定された室内温度等を示す情報である。設備管理装置３と各設備機器２との間で随時、設備機器の動作状態７１を示すデータが送受信され、データ格納部４０には、設備機器２のそれぞれについて、設備機器２の最新の動作状態７１が記憶される。

なお、データ格納部４０は、過去の予め決められた期間内（例えば直近の１ヶ月）における設備機器データ７０を蓄積して記憶してもよい。処理部３０は、設備機器データ７０の履歴を表示するコマンドを監視端末４から受信し、データ格納部４０に格納されている設備機器データ７０を暗号化して監視端末へ送信してもよい。

また、データ格納部４０は、コンテンツデータ８０を記憶する。コンテンツデータ８０には、具体的には、監視端末４による管理画面の表示に必要なフレーム構成を記述するＨＴＭＬ（HyperText Markup Language）データ、表示内容の動的な変更及び通信処理を行うプログラムを記述するスクリプト、管理画面を表示する際のテンプレートとなるＣＳＳ（Cascading Style Sheets）、画像データ、音声データ、テキストデータ等が含まれる。

また、データ格納部４０は、ルート証明書情報９０を記憶する。ルート証明書情報９０には、監視端末４へ送信されるルート証明書９１と、ルート証明書９１の生成に必要な秘密鍵９２と、秘密鍵９２とペアになりルート証明書９１の復号に必要な公開鍵９３と、ルート証明書９１の有効期限を示す有効期限情報９４とが含まれる。

なお、本実施形態のように複数の設備管理装置３がある場合、設備管理システム１全体で同じルート証明書９１を生成できるように、いずれの設備管理装置３にも同一の一組の秘密鍵９２と公開鍵９３が記憶される。

また、データ格納部４０は、サーバ証明書情報１００を記憶する。サーバ証明書情報１００には、ＨＴＴＰＳによって監視端末４と通信する際に監視端末４へ送信するサーバ証明書１０１と、サーバ証明書１０１の生成に必要な秘密鍵１０２と、秘密鍵１０２とペアになりサーバ証明書１０１の復号に必要な公開鍵１０３と、サーバ証明書１０１の有効期限を示す有効期限情報１０４とが含まれる。

設備機器通信部５０は、通信線５に接続するインタフェースである。設備機器通信部５０を介して、設備管理装置３と設備機器２との間でデータが送受信される。本実施形態の通信線５は専用の通信線である。なお、通信線５は専用の通信線でなくてもよく、汎用的な通信線であるＬＡＮや、シリアル通信の規格の一つであるＲＳ−４８５インタフェース等でもよい。設備管理装置３が有する通信部３０１と制御部３０７が協働して、設備機器通信部５０として機能する。

ＬＡＮ通信部６０は、通信線６に接続するインタフェースである。ＬＡＮ通信部６０を介して、設備管理装置３と監視端末４との間でデータが送受信される。本実施形態の通信線６は、汎用的な通信が可能なＬＡＮの通信線である。通信線６による通信は、有線ＬＡＮでも無線ＬＡＮでもよい。設備管理装置３が有する通信部３０１と制御部３０７が協働して、ＬＡＮ通信部６０として機能する。

次に、監視端末４の機能的な構成について、図５を用いて説明する。

表示部１１０は、設備管理装置３から取得した設備機器データ７０とコンテンツデータ８０とに基づいて、管理画面を表示する。監視端末４が有する画像処理部３０２と制御部３０７が協働して、表示部１１０として機能する。

なお、設備管理装置３によって表示される管理画面と、監視端末４によって表示される管理画面とは、同じでもよいし、異なっていてもよい。

入力受付部１２０は、マウス、キーボード、タッチパネル等の入力デバイスを用いた、ユーザからの様々な入力を受け付ける。ユーザは、マウス等の入力デバイスを操作することにより、管理画面の切り換えの指示や、設備機器２への操作の指示等を行うことができる。監視端末４が有する入力部３０５と制御部３０７が協働して、入力受付部１２０として機能する。

処理部１３０は、設備管理装置３と通信して、設備管理装置３からコンテンツデータ８０を取得し、設備機器群７に含まれる設備機器２を管理するための管理画面を表示する。監視端末４が有する通信部３０１と制御部３０７が協働して、処理部１３０として機能する。

より詳細には、処理部１３０は、ＨＴＴＰＳによる暗号化通信を可能とするＨＴＴＰＳ通信管理部１３１を備える。

また、処理部１３０は、取得したコンテンツデータ８０と設備機器データ１４１を解析するコンテンツ解析部１３２を備える。

データ格納部１４０は、設備機器２の運転状態等を示す設備機器データ７０を設備管理装置３から取得して、設備機器データ１４１として格納する。また、データ格納部４０は、設備管理装置３から取得したルート証明書１４２を格納する。監視端末４が有する記憶部３０６と制御部３０７が協働して、データ格納部１４０として機能する。

設備機器データ１４１は、例えば空調機の場合、運転中か停止中か、運転中の場合における冷房や暖房などの運転モード、目標温度、設備機器２によって測定された室内温度等を示す情報である。

ルート証明書１４２は、設備管理装置３からダウンロードされるデータであり、信頼されたリソースとして認証機関に登録されたことを示すデジタル証明書である。

ＬＡＮ通信部１６０は、監視端末４を通信線６に接続するインタフェースである。このＬＡＮ通信部１６０を介して、監視端末４と設備管理装置３との間でデータが送受信される。監視端末４が有する通信部３０１と制御部３０７が協働して、ＬＡＮ通信部１６０として機能する。

次に、設備管理装置３においてルート証明書情報９０を生成する処理について、図６を用いて説明する。本実施形態では、二つの設備管理装置３Ａ、３Ｂのそれぞれにおいて、このルート証明書生成処理が実行される。

設備管理装置３の制御部２０７は、ルート証明書生成処理を開始するタイミングを、日が替わった時点、又は、ユーザによってシステム日時が変更された時点とする。

本実施形態では、設備管理装置３のそれぞれは、システム日時を計時し、予め決められた同期タイミングになると、互いにシステム日時を同期させる。

制御部２０７は、現在のシステム日時と、ルート証明書情報９０に含まれる有効期限情報９４が示すルート証明書の有効期限とに基づいて、ルート証明書９１の残りの有効期間があと一日未満か否か（すなわち、残りの有効期間の長さが予め決められた第１の期間未満か否か）、及び、過去にルート証明書９１を生成したことがあるか否かを判別する（ステップＳ６０１）。

過去にルート証明書９１を生成したことがあり、且つ、残りの有効期間が一日以上ある場合（ステップＳ６０１；ＮＯ）、ステップＳ６０１の処理を繰り返す。

残りの有効期間が一日未満の場合、又は、一度もルート証明書９１を生成していない場合（ステップＳ６０１；ＹＥＳ）、制御部２０７は、ルート証明書９１内のコモンネームと組織名と国名等を含むルート基本情報を取得する（ステップＳ６０２）。なお、本実施形態では、記憶部２０６は、ルート基本情報を予め記憶し、制御部２０７は、記憶部２０６からルート基本情報を読み出す。

制御部２０７は、ルート基本情報のハッシュ値を秘密鍵９２によって暗号化する（ステップＳ６０３）。

制御部２０７は、暗号化したハッシュ値に公開鍵９３を付加して、証明書署名要求（ＣＳＲ；Certificate Signing Request）ファイルを生成する（ステップＳ６０４）。

制御部２０７は、ルート証明書９１がどの設備管理装置３で生成しても同一のものとなるように、予め決められた生成条件に基づいて、ルート証明書９１の有効期限を設定する（ステップＳ６０５）。すなわち、制御部２０７は、残りの有効期間が一日未満であるか、又は、一度もルート証明書９１を生成していないと判別すると、有効期限を予め決められた第２の期間だけ延長した新たなルート証明書９１を生成する。

生成条件は、二つの設備管理装置３Ａ、３Ｂで共通する。設備管理装置３が三つ以上ある実施形態を採用するならば、生成条件を、すべての設備管理装置３で共通にする。

また、設備管理装置３Ａ、３Ｂのそれぞれに格納される一組の秘密鍵９２と公開鍵９３、及び、ルート基本情報は、設備管理装置３Ａ、３Ｂで共通する。従って、設備管理装置３Ａにより生成されるルート証明書９１と、設備管理装置３Ｂにより生成されるルート証明書９１は、同一のものとなる。

本実施形態では、制御部２０７は、ルート証明書９１の有効期限を、現在の有効期限から次の５年区切りの日時となるように設定する。例えば、現在日時が2015年1月1日0:00であるならば、延長した新たな有効期限は2020年1月1日0:00となる。ただし、有効期限の設定の仕方は任意であり、１ヶ月単位、１年単位、といった任意の長さで有効期限が設定されてもよい。

そして、制御部２０７は、ステップＳ６０５で設定した有効期限を示す有効期限情報９４を秘密鍵９２によって暗号化し、暗号化された有効期限情報９４とステップＳ６０４で生成されたＣＳＲファイルとを含み、秘密鍵９２で署名したルート証明書９１を、生成する（ステップＳ６０６）。

なお、制御部２０７は、ステップＳ６０５で設定した有効期限を含む有効期限情報９４を記憶部２０６に記憶し、次回のルート証明書生成処理の実行時において、残りの有効期間を判別する際に参照する。

生成されたルート証明書９１は、監視端末４からアクセス可能な、予め決められたリソースに格納される。監視端末４は、ルート証明書９１をダウンロード可能である。

次に、設備管理装置３においてサーバ証明書情報１００を生成する処理について、図７を用いて説明する。本実施形態では、二つの設備管理装置３Ａ、３Ｂのそれぞれにおいて、このサーバ証明書生成処理が実行される。

設備管理装置３の制御部２０７は、サーバ証明書生成処理を開始するタイミングを、日が替わった時点、又は、ユーザによってシステム日時が変更された時点、又は、設備管理装置３のＩＰ（Internet Protocol）アドレスが変更された時点とする。

制御部２０７は、サーバ証明書情報１００に含まれる有効期限情報１０４が示す有効期限と、前回サーバ証明書生成処理を実行したときに設備管理装置３自身に設定されていたＩＰアドレスを参照する。制御部２０７は、現在のシステム日時と、サーバ証明書情報１００に含まれる有効期限情報１０４が示すサーバ証明書の有効期限とに基づいて、サーバ証明書１０１の残りの有効期間があと一日未満か否か（すなわち、残りの有効期間の長さが予め決められた第３の期間未満か否か）、及び、過去にサーバ証明書１０１を生成したことがあるか否か、及び、ＩＰアドレスが変更されたか否かを判別する（ステップＳ７０１）。

過去にサーバ証明書１０１を生成したことがあり、且つ、残りの有効期間が一日以上あり、且つ、ＩＰアドレスが変更されていない場合（ステップＳ７０１；ＮＯ）、ステップＳ７０１の処理を繰り返す。

残りの有効期間が一日未満の場合、又は、一度もサーバ証明書１０１を生成していない場合、又は、ＩＰアドレスが変更された場合（ステップＳ７０１；ＹＥＳ）、制御部２０７は、サーバ証明書１０１内のコモンネームと組織名と国名等を含むサーバ基本情報を取得する（ステップＳ７０２）。

ここで、制御部２０７は、コモンネームを、設備管理装置３自身のＩＰアドレスとする。これにより、監視端末４において入力されるＵＲＬと、サーバ証明書１０１のコモンネームとが一致するので、例えばブラウザにおいてセキュリティの警告メッセージが表示されることが抑制される。

制御部２０７は、サーバ基本情報のハッシュ値を秘密鍵１０２によって暗号化する（ステップＳ７０３）。

制御部２０７は、暗号化したハッシュ値に公開鍵１０３を付加して、証明書署名要求（ＣＳＲ）ファイルを生成する（ステップＳ７０４）。

制御部２０７は、予め決められた条件に基づいて、サーバ証明書１０１の有効期限を設定する（ステップＳ７０５）。すなわち、制御部２０７は、残りの有効期間が一日未満であるか、又は、一度もサーバ証明書１０１を生成していないか、又は、ＩＰアドレスが変更されたと判別すると、有効期限を予め決められた第４の期間だけ延長した新たなサーバ証明書１０１を生成する。

本実施形態では、制御部２０７は、サーバ証明書１０１の有効期限を、現在の有効期限から次の２年区切りの日時となるように設定する。例えば、現在日時が2016年1月1日0:00であるならば、新たな有効期限は2018年1月1日0:00となる。ただし、有効期限の設定の仕方は任意であり、１ヶ月単位、１年単位、といった任意の長さで有効期限が設定されてもよい。

そして、制御部２０７は、ステップＳ７０５で設定された有効期限を示す有効期限情報１０４を秘密鍵１０２によって暗号化し、暗号化された有効期限情報１０４とステップＳ７０４で生成されたＣＳＲファイルとを含み、秘密鍵１０２で署名したサーバ証明書１０１を、生成する（ステップＳ７０６）。制御部２０７は、生成したサーバ証明書１０１を記憶部２０６に記憶する。

なお、制御部２０７は、ステップＳ７０５で設定した有効期限を含む有効期限情報１０４を記憶部２０６に記憶し、次回のサーバ証明書生成処理の実行時において、残りの有効期間を判別する際に参照する。

本実施形態では、コモンネームに設備管理装置３自身のＩＰアドレスが設定されるので、ルート証明書９１とは違って、設備管理装置３Ａによって生成されるサーバ証明書１０１と、設備管理装置３Ｂによって生成されるサーバ証明書１０１は、異なったものとなる。

設備管理装置３が、固定ＩＰアドレスが割り当てられるのではなく、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバからＩＰアドレスを取得する場合には、ＩＰアドレスは動的に変化しうるので、設備管理装置３は、新たなＩＰアドレスが付与されるたびに、新たにサーバ証明書情報１００を再生成することになる。

次に、ＨＴＴＰＳにより設備管理装置３と監視端末４とによって行われる処理の流れについて、図８のフローチャートを用いて説明する。監視端末４は、設備管理装置３とＨＴＴＰＳにより接続し、管理画面で最新の動作状態を表示する旨のコマンドを受け付け、コンテンツデータ８０と設備機器データ７０を設備管理装置３から取得して管理画面に表示する。

なお、監視端末４は、事前に、設備管理装置３が生成したルート証明書９１を設備管理装置３からダウンロードし、ルート証明書９１を信頼された認証機関に登録しておくものとする。

本実施形態では、共通鍵暗号方式と公開鍵暗号方式とを組み合わせて使用する。

まず、監視端末４の制御部３０７は、ユーザからの要求に応じてブラウザを起動し、設備管理システム１の管理画面に対応するリソースの位置を指定する識別子（ＵＲＬ；Uniform Resource Locator）の入力をユーザから受け付ける（ステップＳ８０１）。一般的には、ユーザは、“https://”で始まるＵＲＬを保存したブックマークを選択するか、あるいは、ブラウザのアドレス欄にＵＲＬを直接入力する。

監視端末４の制御部３０７は、ＳＳＬ（Secure Sockets Layer）暗号化通信を開始する旨の要求を設備管理装置３へ送信する（ステップＳ８０２）。設備管理装置３の制御部２０７は、この要求を受信する。

設備管理装置３の制御部２０７は、使用する通信方式をＳＳＬ暗号化方式に決定し、決定した通信方式（ＳＳＬ暗号化方式）を示す情報を監視端末４に通知する（ステップＳ８０３）。監視端末４の制御部３０７は、この通知を受信する。

設備管理装置３の制御部２０７は、記憶部２０６に記憶しているサーバ証明書１０１を監視端末４へ送信する（ステップＳ８０４）。監視端末４の制御部３０７は、サーバ証明書１０１を受信する。

監視端末４の制御部３０７は、サーバ証明書１０１により指定されたルート証明書９１が格納されている位置（リソースの保存場所）を検索し、ルート証明書９１を取得し、ルート証明書１４２として記憶部３０６に記憶する。制御部３０７は、ルート証明書１４２に含まれる公開鍵９３により、サーバ証明書１０１の中の電子署名の正当性を検証する（ステップＳ８０５）。

電子署名が正しく正当なものであると判別すると、監視端末４の制御部３０７は、通信の暗号化に用いる共通鍵を生成し、生成した共通鍵をサーバ証明書１０１に含まれる公開鍵１０３により暗号化する（ステップＳ８０６）。

監視端末４の制御部３０７は、暗号化された共通鍵を設備管理装置３へ送信する（ステップＳ８０７）。

設備管理装置３の制御部２０７は、暗号化された共通鍵を秘密鍵１０２により復号する（ステップＳ８０８）。

これ以降の設備管理装置３と監視端末４との間の通信では、この共通鍵を用いて情報が暗号化され、また、この共通鍵を用いて情報が復号される。

監視端末４の制御部３０７は、コンテンツデータ８０と設備機器データ７０を送信する旨の要求コマンドを設備管理装置３へ送信する（ステップＳ８０９）。

設備管理装置３の制御部２０７は、要求コマンドを監視端末４から受信する。制御部２０７は、要求されたコンテンツデータ８０と設備機器データ７０を記憶部２０６から読み出し、監視端末４へ送信する（ステップＳ８１０）。

そして、監視端末４の制御部３０７は、コンテンツデータ８０と設備機器データ７０を設備管理装置３から受信し、再生し、ディスプレイ３５１に表示する（ステップＳ８１１）。

図９に、監視端末４によって表示される、設備管理システム１の管理画面の構成例を示す。ここでは、設備機器２は、室内に設置される空気調和機である。管理画面には、室内のレイアウト図が含まれ、レイアウト図の中における設備機器２の設置場所に対応するおおよその位置と対応付けて、設備機器２を識別する番号と、冷房・暖房・除湿・送風の各動作モードの表示もしくは停止中である旨の表示と、設定されている目標温度と、を含む画像９００（図９では９００Ａから９００Ｆまでの六つ）が表示される。ユーザは、この管理画面によって、設備機器の現在の動作状態を一目で把握し、監視することができる。

また、画像９００はソフトウェアボタンになっており、ユーザによって画像９００が選択されると（典型的には画像９００がクリックもしくはタップされると）、動作モードを変更する指示、運転又は停止させる指示、目標温度を変更する指示等を受け付ける画面（図示せず）に遷移する。監視端末４の制御部３０７は、ユーザからこれらの指示を受け付け、受け付けた指示に基づいて設備機器２を制御する。これにより、ユーザは、設備機器２を監視するだけでなく、管理画面を通じて設備機器２に所望の動作を指示することができる。

なお、図９に示す管理画面は、監視端末４だけでなく、設備管理装置３によって表示されてもよい。

本実施形態によれば、情報を暗号化して送受信する際に用いるサーバ証明書１０１を設備管理システム１内において自動生成して使用するので、セキュリティ向上に要するコストを削減できる。また、設備管理システム１全体で共通のルート証明書９１を利用することにより、一つのルート証明書９１のみ認証機関に登録しておけば、全ての監視端末４と設備管理装置３の間で暗号化通信を行うことができ、ユーザにかかる負担を低減することができる。

また、設備管理システム１内に複数の設備管理装置３が接続されている場合においても、各設備管理装置３に記憶されるルート証明書情報９０は同一であり、監視端末４内に記憶されるルート証明書１４２も一種類のみですむ。

なお、本実施形態では、設備管理装置３は、表示部１０と入力受付部２０を備えるが、必ずしもこれらを備えていなくてもよい。設備管理装置３は、通信線６を介して他のコンピュータと通信することによって、遠隔から指示を受け付けるようにしてもよい。また、設備管理装置３は、通信線６を介して他のコンピュータと通信することによって、ユーザが遠隔から管理画面を閲覧したり操作したりできるようにしてもよい。

本実施形態では、ＨＴＴＰＳを用いた暗号化通信を行っているが、プロトコルは必ずしもＨＴＴＰＳでなくてもよく、例えばＳＭＴＰＳ（Simple Mail Transfer Protocol Secure）やＰＯＰＳ（Post Office Protocol Secure）等、その他のプロトコルを用いてもよい。

本実施形態では、ルート証明書情報９０の秘密鍵９２と公開鍵９３は、予め各設備管理装置３に記憶されているが、これらは製造時や出荷時に予め記憶されたり、記憶部２０６に記憶されるプログラム内に含まれたりしてもよい。また、出荷後の任意のタイミングで、設備管理装置３が秘密鍵９２と公開鍵９３を生成し記憶するようにしてもよい。

本実施形態では、設備管理装置３がルート証明書情報９０の秘密鍵９２と公開鍵９３からルート証明書情報９０を生成することとしたが、ルート証明書情報９０が予め生成されて記憶部２０６に記憶され、設備管理装置３はルート証明書情報９０を生成しないこととしてもよい。

以上説明したように、本実施形態によれば、設備管理装置３内でサーバ証明書情報１００を生成することにより、認証機関からサーバ証明書を購入することなく、暗号化通信が可能となるため、暗号化方式導入に際して低コスト化を図ることができ、サーバ証明書を機器に予め登録する等のユーザへの負担を軽くすることができる。

また、本実施形態によれば、証明書の有効期限が近づくと、自動的に有効期限を延長して再生成されるため、ユーザが証明書の更新作業を行う必要が無く、ユーザへの負担を軽くすることができる。

また、本実施形態によれば、ルート証明書情報９０を設備管理システム１内で共通にすることにより、複数の設備管理装置３が同一のルート証明書情報９０に基づいて同一のサーバ証明書１０１を生成することができ、監視端末４によるサーバ証明書１０１の正当性の検証は、一つのサーバ証明書１０１についてのみ行えばよい。そのため、監視装置４には一つのルート証明書９１を登録しておけばよく、負荷を低減することができる。

また、本実施形態によれば、監視端末４にはルート証明書情報９０を一種類のみ認証機関に登録すればよいため、監視端末４が複数ある場合でも、ルート証明書９１の登録漏れが起こりづらい。

また、本実施形態によれば、証明書の有効期限を自動更新し、設備管理装置３のＩＰアドレス（あるいはドメイン名でもよい）をコモンネームとして使用することにより、監視端末４で実行されるブラウザにてデジタル証明書の認証エラーが無くなり、警告メッセージが表示されなくなる。

本発明は、上述した実施形態に限定されず、種々の変形及び応用が可能である。また、上述した実施形態の各構成要素を自由に組み合わせることも可能である。

上記の設備管理システム１の全部又は一部としてコンピュータを動作させるためのプログラムを、メモリカード、ＣＤ−ＲＯＭ、ＤＶＤ、ＭＯ（Magneto Optical disk）などのコンピュータが読み取り可能な記録媒体に格納して配布し、これを別のコンピュータにインストールし、上述の手段として動作させ、あるいは、上述の工程を実行させてもよい。

さらに、インターネット上のサーバ装置が有するディスク装置等にプログラムを格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロード等するものとしてもよい。

以上のように、上記実施形態によれば、ユーザへの負担を減らしつつ、通信のセキュリティを向上することができる。

１ 設備管理システム、２ 設備機器、３ 設備管理装置、４ 監視端末、５ 通信線、６ 通信線、７ 設備機器群、１０ 表示部、２０ 入力受付部、３０ 処理部、３１ 設備機器管理部、３２ コマンド処理部、３３ 証明書生成部、４０ データ格納部、５０ 設備機器通信部、６０ ＬＡＮ通信部、７０ 設備機器データ、７１ 動作状態、８０ コンテンツデータ、９０ ルート証明書情報、９１ ルート証明書、９２ 秘密鍵、９３ 公開鍵、９４ 有効期限情報、１００ サーバ証明書情報、１０１ サーバ証明書、１０２ 秘密鍵、１０３ 公開鍵、１０４ 有効期限情報、１１０ 表示部、１２０ 入力受付部、１３０ 処理部、１３１ ＨＴＴＰＳ通信管理部、１３２ コンテンツ解析部、１４０ データ格納部、１４１ 設備機器データ、１４２ ルート証明書、１６０ ＬＡＮ通信部、２０１ 通信部、２０２ 画像処理部、２０３ 音声処理部、２０４ Ｉ／Ｏ部、２０５ 入力部、２０６ 記憶部、２０７ 制御部、２５１ ディスプレイ、２５２ スピーカ、３０１ 通信部、３０２ 画像処理部、３０３ 音声処理部、３０４ Ｉ／Ｏ部、３０５ 入力部、３０６ 記憶部、３０７ 制御部、３５１ ディスプレイ、３５２ スピーカ

Claims (9)

1. 第１の開始条件が満たされると、監視端末との暗号化通信に用いられるルート証明書を第１の秘密鍵を用いて生成し、第２の開始条件が満たされると、前記暗号化通信に用いられるサーバ証明書を第２の秘密鍵を用いて生成する証明書生成部と、
   前記暗号化通信を開始する旨の要求を前記監視端末から受信すると、前記生成されたサーバ証明書と、前記第１の秘密鍵に対応する第１の公開鍵と、を前記監視端末へ送信し、前記第２の秘密鍵に対応する第２の公開鍵により暗号化された共通鍵を前記監視端末から受信し、前記暗号化された共通鍵を前記第２の秘密鍵を用いて復号し、前記共通鍵によって暗号化されたコマンドを前記監視端末から受信すると、前記コマンドを前記復号した共通鍵により復号し、前記復号したコマンドに対応付けられる処理を実行するコマンド処理部と、
   を備える設備管理装置。
2. 前記第１の開始条件は、日が替わるか、又は、ユーザによってシステム日時が変更されると満たされ、
   前記証明書生成部は、前記第１の開始条件が満たされると、前記ルート証明書の有効期限を参照し、前記有効期限までの残り期間が予め決められた第１の期間未満であると判別すると、前記有効期限を予め決められた第２の期間だけ延長した新たなルート証明書を生成する、
   請求項１に記載の設備管理装置。
3. 前記証明書生成部は、前記サーバ証明書のコモンネームに前記設備管理装置のＩＰ（Internet Protocol）アドレスを設定する、
   請求項１又は２に記載の設備管理装置。
4. 前記第２の開始条件は、前記ＩＰアドレスが変更されるか、又は、日が替わるか、又は、ユーザによってシステム日時が変更されると満たされ、
   前記証明書生成部は、前記第２の開始条件が満たされると、前記サーバ証明書の有効期限を参照し、前記有効期限までの残り期間が予め決められた第３の期間未満であると判別すると、前記有効期限を予め決められた第４の期間だけ延長した新たなサーバ証明書を生成する、
   請求項３に記載の設備管理装置。
5. 請求項１から４のいずれか１項に記載の複数の設備管理装置と監視端末とを有する、
   設備管理システム。
6. 前記複数の設備管理装置のそれぞれは、前記複数の設備管理装置間で共通の前記第１の秘密鍵及び前記第１の公開鍵の組を格納するデータ格納部を更に備え、
   前記複数の設備管理装置のそれぞれの前記証明書生成部は、前記ルート証明書に同一の有効期限を設定することにより、前記複数の設備管理装置間で共通の前記ルート証明書を生成する、
   請求項５に記載の設備管理システム。
7. 前記複数の設備管理装置のそれぞれは、
   管理する設備機器の動作状況を示す設備機器データを記憶するデータ格納部、
   を更に備え、
   前記コマンド処理部は、前記共通鍵によって暗号化された前記コマンドを前記監視端末から受信すると、前記記憶されている設備機器データを前記共通鍵によって暗号化して前記監視端末へ送信し、
   前記監視端末は、
   前記暗号化された設備機器データを受信して前記共通鍵によって復号する解析部と、
   前記復号した設備機器データに基づいて前記設備機器の動作状況を表示する表示部と、
   を備える、
   請求項５又は６に記載の設備管理システム。
8. 第１の開始条件が満たされると、監視端末との暗号化通信に用いられるルート証明書を第１の秘密鍵を用いて生成し、第２の開始条件が満たされると、前記暗号化通信に用いられるサーバ証明書を第２の秘密鍵を用いて生成する証明書生成ステップと、
   前記暗号化通信を開始する旨の要求を前記監視端末から受信すると、前記生成されたサーバ証明書と、前記第１の秘密鍵に対応する第１の公開鍵と、を前記監視端末へ送信し、前記第２の秘密鍵に対応する第２の公開鍵により暗号化された共通鍵を前記監視端末から受信し、前記暗号化された共通鍵を前記第２の秘密鍵を用いて復号し、前記共通鍵によって暗号化されたコマンドを前記監視端末から受信すると、前記コマンドを前記復号した共通鍵により復号し、前記復号したコマンドに対応付けられる処理を実行するコマンド処理ステップと、
   を備える設備管理方法。
9. コンピュータを、
   第１の開始条件が満たされると、監視端末との暗号化通信に用いられるルート証明書を第１の秘密鍵を用いて生成し、第２の開始条件が満たされると、前記暗号化通信に用いられるサーバ証明書を第２の秘密鍵を用いて生成する証明書生成部、
   前記暗号化通信を開始する旨の要求を前記監視端末から受信すると、前記生成されたサーバ証明書と、前記第１の秘密鍵に対応する第１の公開鍵と、を前記監視端末へ送信し、前記第２の秘密鍵に対応する第２の公開鍵により暗号化された共通鍵を前記監視端末から受信し、前記暗号化された共通鍵を前記第２の秘密鍵を用いて復号し、前記共通鍵によって暗号化されたコマンドを前記監視端末から受信すると、前記コマンドを前記復号した共通鍵により復号し、前記復号したコマンドに対応付けられる処理を実行するコマンド処理部、
   として機能させるプログラム。

Images