JP2007039166A - エレベータの遠隔監視システム - Google Patents

Abstract

【課題】エレベータ監視装置と監視サーバとの間の通信データの機密性を高め、セキュリティ性を向上させることができるエレベータの遠隔監視システムを得る。
【解決手段】ビル１には、エレベータ制御装置２、エレベータ監視装置３、スプリッタ６及びＡＤＳＬモデム７が設けられている。エレベータ制御装置２は、エレベータ（図示せず）の運行制御、及びエレベータの異常検出を行う。エレベータ監視装置３は、エレベータ制御装置２を監視する。ビル１から離れた場所にある監視センタ９には、監視サーバ１２、スプリッタ１０及びＡＤＳＬモデム１１が設けられている。監視サーバ１２は、公衆回線網１４及びＩＰネットワーク１５を介してエレベータ監視装置３を監視する。公衆回線網１４は、回線交換による１：１の通信が行われる。ＩＰネットワーク１５は、ＩＰアドレスに基づいたデータ通信が行われる。
【選択図】図１

Description

この発明は、エレベータの運行状況を監視センタから監視するエレベータの遠隔監視システムに関するものである。

従来の昇降機の保守管理システムは、昇降機を直接監視する運行制御監視装置と、昇降機の保守会社に設けられ保守プログラムが格納された汎用端末とがＩＰネットワークを用いて通信することにより、昇降機の運行情報の収集や動作トラブルの対処等の遠隔監視を行っていた（例えば、特許文献１参照）。

特開２００５−３５７５９号公報

上記のような従来の昇降機の保守管理システムは、通信にＩＰネットワークを用いているため、通信データの盗聴を受けやすいとともに、なりすまし等の不正アクセスを受けてデータが外部に漏洩する可能性があった。また、暗号通信を行った場合においても、データの暗号及び復号に用いる暗号鍵自体が通信経路上で盗聴される危険性があった。さらに、かご及び乗り場に設けられた監視カメラによりエレベータの利用状況を監視している場合、悪意を持つ第三者により通信データの盗聴を受けると、エレベータの利用者のプライバシーが流出する危険性があった。

この発明は、上記のような課題を解決するためになされたものであり、エレベータ監視装置と監視サーバとの間の通信データの機密性を高め、セキュリティ性を向上させることができるエレベータの遠隔監視システムを得ることを目的とする。

この発明に係るエレベータの遠隔監視システムは、エレベータ制御装置の動作を監視するエレベータ監視装置、及び第１の回線網を介してエレベータ監視装置との間で通信のセキュリティに係わる通信を行うとともに、第２の回線網を介してエレベータ監視装置を監視する監視サーバを備えている。

この発明のエレベータの遠隔監視システムは、エレベータ制御装置の動作を監視するエレベータ監視装置と監視サーバとが第１の回線網を介して通信のセキュリティに係わる通信に行うことにより、エレベータ監視装置と監視サーバとの第２の回線網を介した通信を保護するので、エレベータ監視装置と監視サーバとの間での通信データの機密性を高め、セキュリティ性を向上させることができる。

以下、この発明を実施するための最良の形態について、図面を参照して説明する。
実施の形態１．
図１は、この発明の実施の形態１によるエレベータの遠隔監視システムを示す構成図である。
ビル１には、エレベータ制御装置２、エレベータ監視装置３、スプリッタ６及びＡＤＳＬモデム７が設けられている。エレベータ制御装置２は、エレベータ（図示せず）の運行制御、及びエレベータの異常検出を行う。エレベータ監視装置３は、エレベータ制御装置２を監視する。

エレベータ監視装置３は、ビル内通信制御部３ａ、監視装置主制御部３ｂ、監視装置回線通信制御部３ｃ及び監視装置ＬＡＮ通信制御部３ｄを有している。ビル内通信制御部３ａは、エレベータ制御装置２との通信を制御する。監視装置主制御部３ｂは、エレベータ監視装置３の全体の動作を制御する。また、監視装置主制御部３ｂは、エレベータ制御装置２から通知されるエレベータの異常の内容により外部への通知の要否を判断し、通知が必要な場合は、外部への通知処理を行う。

監視装置回線通信制御部３ｃは、アナログ回線によるデータの通信を制御する。さらに、監視装置回線通信制御部３ｃは、例えばモデムであり、送信データのＤ／Ａ変換と受信データのＡ／Ｄ変換とを行う。監視装置ＬＡＮ通信制御部３ｄは、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）等のデジタル回線によるデータの通信を制御する。

ビル１から離れた場所にある監視センタ９には、監視サーバ１２、スプリッタ１０及びＡＤＳＬモデム１１が設けられている。監視サーバ１２は、監視サーバ主制御部１２ａ、監視サーバ回線通信制御部１２ｂ及び監視サーバＬＡＮ通信制御部１２ｃを有している。また、監視サーバ１２には、固有の電話番号とＩＰアドレスとが登録されている。監視サーバ主制御部１２ａは、監視サーバ１２全体の制御とエレベータ監視装置３の監視とを行う。

監視サーバ回線通信制御部１２ｂは、アナログ回線によるデータの通信を制御する。さらに、監視サーバ回線通信制御部１２ｂは、例えばモデムであり、送信データのＤ／Ａ変換と受信データのＡ／Ｄ変換とを行う。監視サーバＬＡＮ通信制御部１２ｃは、ＬＡＮ等のデジタル回線によるデータの通信を制御する。

エレベータ監視装置３には、構内電話回線４ａを介して、スプリッタ６が接続されている。また、エレベータ監視装置３には、ＬＡＮ通信ケーブル４ｃ、ＡＤＳＬモデム７及び構内電話回線４ｂを介してスプリッタ６が接続されている。即ち、エレベータ監視装置３には、２種類の通信経路でスプリッタ６が接続されている。

ＡＤＳＬモデム７は、入力されるＡＤＳＬ信号及びＬＡＮ信号のいずれか一方の信号を、もう一方の信号に変換する。スプリッタ６は、構内電話回線４ａと構内電話回線４ｂとを結合し、主幹電話回線８に接続している。即ち、スプリッタ６は、主幹電話回線８を、アナログ信号及び音声信号が流れる構内電話回線４ａとデジタル信号が流れる構内電話回線４ｂとに分岐している。

監視サーバ１２には、構内電話回線１３ａを介して、スプリッタ１０が接続されている。また、監視サーバ１２には、ＬＡＮ通信ケーブル１３ｃ、ＡＤＳＬモデム１１及び構内電話回線１３ｂを介してスプリッタ１０が接続されている。即ち、監視サーバ１２には、２種類の通信経路でスプリッタ１０が接続されている。

ＡＤＳＬモデム１１は、入力されるＡＤＳＬ信号及びＬＡＮ信号のいずれか一方の信号を、もう一方の信号に変換する。スプリッタ１０は、構内電話回線１３ａと構内電話回線１３ｂとを結合し、主幹電話回線８に接続している。即ち、スプリッタ１０は、主幹電話回線８を、アナログ信号及び音声信号が流れる構内電話回線１３ａとデジタル信号が流れる構内電話回線１３ｂとに分岐している。

主幹電話回線８は、第１の回線網である公衆回線網１４と第２の回線網であるＩＰネットワーク１５とに接続されている。公衆回線網１４は、アナログ信号及び音声信号の通信経路である。公衆回線網１４に接続された機器は、通信事業者の回線交換機（図示せず）により電話番号に基づいた回線交換を受けて、通信相手の機器と１：１の通信を行う。

ＩＰネットワーク１５（通称：インターネット）は、デジタル信号のパケットが流れる通信経路であり、公衆回線網１４に比べて高速にデータの通信を行うことが可能である。送信パケットは、パケット内に格納された通信先のＩＰアドレスに基づいて、プロバイダのルータ及びサーバ（共に図示せず）を経由して、ＩＰネットワーク１５を拡散しつつ、ルータに通信経路を選択されながら、目的の通信相手と通信（パケット交換）を行う。
従って、エレベータ監視装置３と監視サーバ１２とは、公衆回線網１４及びＩＰネットワーク１５により互いに接続されている。

ここで、エレベータ制御装置２、エレベータ監視装置３及び監視サーバ１２は、演算処理部（ＣＰＵ）、記憶部（ＲＯＭ、ＲＡＭ及びハードディスク等）及び信号入出力部を持ったコンピュータ（図示せず）によりそれぞれ構成することができる。

次に、動作について説明する。監視装置主制御部３ｂと監視サーバ主制御部１２ａとの公衆電話回線網９（アナログ回線）における具体的な通信方法は、監視装置主制御部３ｂ又は監視サーバ主制御部１２ａが相手側機器の電話番号を発信することにより、回線交換機による回線交換を受けて、相手側機器へと接続される。

そして、接続が確立されると、監視装置主制御部３ｂ及び監視サーバ主制御部１２ａは、データ通信を行う。ここで、データ通信の際、監視装置回線通信制御部３ｃ及び監視サーバ回線通信制御部１２ｂは、送信データをＤ／Ａ変換するとともに、受信データをＡ／Ｄ変換する。

さらに、監視装置主制御部３ｂと監視サーバ主制御部１２ａとのＩＰネットワーク１５（デジタル回線）における具体的な通信方法は、監視装置ＬＡＮ通信制御部３ｄ又は監視サーバＬＡＮ通信制御部１２ｃにより、相手側機器のＩＰアドレスを添付したパケットデータをＩＰネットワーク１５へと送信する。

送信されたパケットデータは、添付されたＩＰアドレスに基づいて、ルータによってＩＰネットワーク１５内の経路選択を受けて、目的の相手側機器へと送られる。そして、エレベータ監視装置３と監視サーバ１２とは、ＩＰネットワーク１５上での接続が確立すると、データの送受信を行う。

また、エレベータ監視装置３からのＩＰネットワーク１５を介した送信データの内容は、例えば監視カメラ（図示せず）が撮影した映像、故障時の乗客による非常呼び信号、及びエレベータの運行状況等である。さらに、監視サーバからのＩＰネットワーク１５を介した送信データに関する内容は、例えば故障時のかごの遠隔操作、かごに設けられた表示装置（図示せず）への表示させるデータ（例えば、点検予定やニュース等）、及び非常時における乗客との連絡等である。

図２は、この発明の実施の形態１による監視サーバ主制御部１２ａの暗号鍵交換の動作を示すフローチャートである。監視装置主制御部３ｂ及び監視サーバ主制御部１２ａは、それぞれ必要に応じて暗号鍵を生成し、公衆回線網１４を介して、セキュリティに係わる通信として相手側機器に暗号鍵を送信する。また、交換する暗号鍵は、データの暗号化に用いる暗号鍵とデータの復号化に用いる暗号鍵とは、共通鍵暗号方式による同一の暗号鍵である。さらに、監視装置主制御部３ｂ及び監視サーバ主制御部１２ａは、自己で生成した暗号鍵により送信データの暗号化を行い、相手側機器にから受信した暗号鍵により、相手側機器からの受信データの復号化を行う。

まず、監視サーバ主制御部１２ａは、公衆回線網１４による監視装置主制御部３ｂからの着信があるかどうかを監視する（ステップＳ２０１）。監視装置主制御部３ｂから着信があると、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い（ステップＳ２０２）、監視装置主制御部３ｂからの暗号鍵の交換要求があるかどうかを監視する（ステップＳ２０３）。

監視装置主制御部３ｂからの暗号鍵の交換要求があった場合、監視サーバ主制御部１２ａと監視装置主制御部３ｂとは、それぞれ暗号鍵を生成して交換する。そして、監視サーバ主制御部１２ａと監視装置主制御部３ｂとは、生成した暗号鍵と受信した暗号鍵とをそれぞれ保存する（ステップＳ２０４）。暗号鍵の交換が終了すると、監視サーバ主制御部１２ａは、モデム・回線の切断処理を行う（ステップＳ２０５）。また、監視装置主制御部３ｂからの暗号鍵の交換要求がなかった場合、監視サーバ主制御部１２ａは、そのままモデム・回線の切断処理を行う（ステップＳ２０５）。そして、監視サーバ主制御部１２ａは、モデム・回線の切断処理が終了すると、公衆回線網１４に着信があるかどうかを監視する。

さらに、監視装置主制御部３ｂからの着信がない場合、監視サーバ主制御部１２ａから交換が必要であるかどうかを確認する（ステップＳ２０６）。監視サーバ主制御部１２ａが暗号鍵の交換を必要でないと判断すると、監視サーバ主制御部１２ａは、公衆回線網１４に着信があるかどうかを監視する。

監視サーバ主制御部１２ａが暗号鍵の交換を必要だと判断した場合、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い（ステップＳ２０７）、監視装置主制御部３ｂへと暗号鍵の交換要求を送信する。そして、監視サーバ主制御部１２ａと監視装置主制御部３ｂとは、それぞれ暗号鍵を生成して交換し、生成した暗号鍵と受信した暗号鍵とをそれぞれ保存する（ステップＳ２０８）。暗号鍵の交換が終了すると、監視サーバ主制御部１２ａは、モデム・回線の切断処理を行い（ステップＳ２０５）、公衆回線網１４に着信があるかどうかを監視する。

図３は、この発明の実施の形態１による監視サーバ主制御部１２ａの暗号化したデータの送受信の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、ＩＰネットワーク１５からデータ受信があるかどうかを監視する（ステップＳ３０１）。監視サーバ主制御部１２ａがデータを検出すると、監視サーバ主制御部１２ａは、そのままデータの受信処理を行う（ステップＳ３０２）。そして、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから受信した暗号鍵を用いて受信したデータの復号処理を行い（ステップＳ３０３）、復号したデータが正しいデータであるかどうかを判断する（ステップＳ３０４）。

復号したデータが適正である場合、監視サーバ主制御部１２ａは、復号したデータを解析し、解析したデータに応じたサービスを行う（ステップＳ３０５）。そして、監視サーバ主制御部１２ａは、ＩＰネットワーク１５からデータ受信があるかどうかを監視する。また、復号したデータが不適正である場合、監視サーバ主制御部１２ａは、暗号鍵が異なる又は不正端末によるデータ送信と判断し、受信したデータを破棄し（ステップＳ３０６）、ＩＰネットワーク１５からデータ受信があるかどうかを監視する。

また、監視サーバ主制御部１２ａがＩＰネットワーク１５からデータ受信を検出できなかった場合、監視サーバ主制御部１２ａは、ＩＰネットワーク経由での監視装置主制御部３ｂへのデータ送信要件があるかどうかを確認する（ステップＳ３０７）。データ送信要件がある場合、監視サーバ主制御部１２ａは、事前に生成し監視装置主制御部３ｂに送信（登録）した暗号鍵を用いて送信データを暗号化し（ステップＳ３０８）、ＩＰネットワーク経由で暗号化したデータを送信する（ステップＳ３０９）。さらに、監視装置主制御部３ｂへのデータ送信要件が無い場合、監視サーバ主制御部１２ａは、ＩＰネットワーク１５からデータ受信があるかどうかを検出する。

上記のようなエレベータの遠隔監視装置では、公衆回線網１４を経由して暗号化に用いる暗号鍵を交換したので、盗聴されにくく情報の機密性を高め、セキュリティ性を向上させることができる。

また、暗号鍵の交換は、一般的に公開鍵暗号方式等により暗号鍵を暗号化させてネットワーク上で暗号鍵を配信したり、暗号鍵を記憶させた媒体を郵送する等の煩雑な手続がセキュリティ性を維持するために必要であったが、公衆回線網１４を経由することによりセキュリティ性が保たれたまま比較的安易な方法で暗号鍵をネットワーク上で配信することができる。これに伴い、公衆回線網１４により暗号鍵をいつでも交換可能であるため、暗号鍵のデータが漏洩した場合でも、即座に暗号鍵を新規の暗号鍵に交換することができる。

なお、実施の形態１では、図２及び図３の動作は、監視サーバ主制御部１２ａから監視装置主制御部３ｂへの通信であったが、エレベータ監視装置から監視サーバへの通信であってもよい。

また、図２の動作は、監視サーバ主制御部１２ａと監視装置主制御部３ｂとが暗号鍵の交換動作をしていたが、交換動作に限らず、監視サーバ及びエレベータ監視装置の一方が生成した暗号鍵を、送信又は受信のみの動作をしてもよい。

さらに、実施の形態１では、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂがそれぞれ暗号鍵を生成し、暗号用の暗号鍵と復号用の暗号鍵との異なる２種類の暗号鍵をデータ送受信に使用していたが、監視サーバ及びエレベータ監視装置の一方が生成した暗号鍵のみをデータ送受信に使用してもよい。即ち、機器間の通信に同一の暗号鍵を暗号用及び復号用としてデータ送受信に使用してもよい。

さらにまた、実施の形態１では、共通鍵暗号方式により暗号化と復号化に同一の暗号鍵を用いたが、公開鍵暗号方式等による暗号化と復号化とに異なる暗号鍵（公開鍵と秘密鍵）を用いてもよい。即ち、監視サーバ及びエレベータ監視装置の一方が生成して相手側機器に登録させる暗号鍵（公開鍵）は、相手側機器からの送信データの暗号化のみに用いられ、公開鍵により暗号化されたデータは、秘密鍵により復号可能となる。

また、実施の形態１では、送信データの暗号化に自己が生成し相手側機器に登録させた暗号鍵を用いたが、相手側機器から受信した暗号鍵を用いてもよい。即ち、受信データの復号化には、自己が生成し相手側機器に登録した暗号鍵を用いてもよい。

さらに、監視サーバとエレベータ監視装置ＩＰとがネットワーク上で通信を行う度に暗号鍵を生成及び交換してもよい。これにより、暗号鍵を自己で保存する必要が無くなるとともに、セキュリティ性をさらに向上させることができる。

実施の形態２．
次に、この発明の実施の形態２について説明する。なお、全体の装置の構成は実施の形態１と同様である。実施の形態２では、監視サーバ主制御部１２ａと監視装置主制御部３ｂとが、ＩＰネットワーク１５を介した通信に、証明コード（正規のコード）を送信データに付加する。証明コードとは、事前に監視サーバ及びエレベータ監視装置の一方が発行した乱数列のコードを相手側機器に登録し、通信の際に送信データに証明コードを付加することにより、相手側機器に対して送信元の正当性を証明するコードである。また、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれ公衆回線網１４を介して、セキュリティに係わる通信として証明コードを相手側機器に送信し登録させる。

図４は、この発明の実施の形態２による監視サーバ主制御部１２ａの証明コード交換の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する（ステップＳ４０１）。着信があった場合、監視サーバ主制御部１２ａは、回線モデム・接続処理を行い（ステップＳ４０２）、監視装置主制御部３ｂからコード交換要求を受けるかどうかを監視する（ステップＳ４０３）。

コード交換要求を受けると、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれ証明コードを発行し、発行した証明コードを交換する（ステップＳ４０４）。交換終了後監視サーバ主制御部１２ａは、モデム・回線の切断処理を行い（ステップＳ４０５）、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。また、監視装置主制御部３ｂからコード交換要求が無い場合は、そのままモデム・回線の切断処理を行い（ステップＳ４０５）、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。

さらに、公衆回線網１４からの着信が無い場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂに対して、コードの交換が必要かどうかを確認する（ステップＳ４０６）。コードの交換が必要な場合、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い監視装置主制御部３ｂと接続する（ステップＳ４０７）。

そして、監視サーバ主制御部１２ａは、監視装置主制御部３ｂにコード交換要求を送信し（ステップＳ４０８）、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれ証明コードを発行し、発行した証明コードを交換する（ステップＳ４０４）。交換終了後監視サーバ主制御部１２ａは、モデム・回線の切断処理を行う（ステップＳ４０５）コードの交換が終わると、監視サーバ主制御部１２ａは、モデム・回線切断処理を行い（ステップＳ４０５）、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。

図５は、この発明の実施の形態２による監視サーバ主制御部１２ａの証明コードを用いたデータ送受信の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、ＩＰネットワーク１５によるデータ受信があるかどうかを監視する（ステップＳ５０１）。監視サーバ主制御部１２ａがデータを検出すると、監視サーバ主制御部１２ａは、そのままデータの受信処理を行う（ステップＳ５０２）。そして、監視サーバ主制御部１２ａは、事前に監視装置主制御部３ｂから受信した証明コードが受信したデータに付加されているかどうかを確認する（ステップＳ５０３）。

受信したデータに証明コードが付加されている場合、監視サーバ主制御部１２ａは、データの発信元が監視装置主制御部３ｂであると判断し、受信データの解析処理を行い、受信データに応じたサービスを行う（ステップＳ５０４）。また、受信したデータに証明コードが付加されていない場合、監視サーバ主制御部１２ａは、受信データの破棄処理を行う（ステップＳ５０５）。受信データの破棄処理又は解析処理を終えると、監視サーバ主制御部１２ａは、ＩＰネットワーク１５からのデータ受信があるかどうかを監視する。

ＩＰネットワーク１５からのデータ受信が無い場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂにＩＰネットワーク１５経由でデータの送信要件があるかどうかを確認する（ステップＳ５０６）。送信要件がある場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂに事前に送信した証明コードを送信データに付加して（ステップＳ５０７）、監視装置主制御部３ｂへのＩＰネットワーク１５経由でデータの送信処理を行う（ステップＳ５０８）。そして、データの送信処理を終えると、監視サーバ主制御部１２ａは、ＩＰネットワーク１５からのデータ受信があるかどうかを監視する。

上記のようなエレベータの遠隔監視装置では、監視サーバ主制御部１２ａと監視装置主制御部３ｂとが公衆回線網１４での通信により証明コードを交換するので、なりすましによる不正アクセスに対するセキュリティ性を向上させることができる。

なお、実施の形態２では、図４及び図５の動作は、監視サーバ主制御部１２ａから監視装置主制御部３ｂへの通信であったが、エレベータ監視装置から監視サーバへの通信であってもよい。

また、実施の形態２では、証明コードに乱数列のコードを用いたが、乱数列のコードに限らず、装置の管理番号又はＩＰアドレス等を用いてもよい。
さらに、実施の形態２では、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂが、自己で発行し相手側機器に送信した証明コードを送信データに付加していたが、相手側機器が発行した証明コードを送信データに付加してもよい。

実施の形態３．
次に、この発明の実施の形態３について説明する。なお、全体の装置の構成は実施の形態１と同様である。実施の形態３では、監視サーバ主制御部１２ａと監視装置主制御部３ｂとが通信を行うために、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、通信相手を特定する認証を行う。この認証には、認証用パスワード（正規のパスワード）が必要となり、認証用パスワードは、認証を行う機器が認証を受ける機器に対して事前に発行する。また、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれ認証用パスワードを発行し、公衆回線網１４を介して、セキュリティに係わる通信として相手側機器に送信する。

図６は、この発明の実施の形態３による監視サーバ主制御部の認証用パスワード送信の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する（ステップＳ６０１）。公衆回線網１４による着信があると、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い（ステップＳ６０２）、監視装置主制御部３ｂからの通信が認証用パスワードの要求であるかどうかを判断する（ステップＳ６０３）。

認証用パスワードの発行要求であった場合、監視サーバ主制御部１２ａは、認証用パスワードの発行を行い、監視装置主制御部３ｂに送信し（ステップＳ６０４）、モデム・回線の切断処理を行う（ステップＳ６０５）。また、認証用パスワードの発行要求でなかった場合、監視サーバ主制御部１２ａは、そのままモデム・回線の切断処理を行う（ステップＳ６０５）。

公衆回線網１４による着信がない場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂが発行した認証用パスワードが必要かどうかを確認する（ステップＳ６０６）。認証用パスワードが必要な場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂへの公衆回線網１４による回線・モデムの接続処理を行う（ステップＳ６０７）。監視装置主制御部３ｂとの接続が確立すると、監視サーバ主制御部１２ａは、監視装置主制御部３ｂに対して認証用パスワードの発行要求を行う（ステップＳ６０８）。そして、監視サーバ主制御部１２ａは、監視装置主制御部３ｂにより発行された認証用パスワードを取得し（ステップＳ６０９）、モデム・回線の切断処理を行う（ステップＳ６０５）。

図７は、この発明の実施の形態３による監視サーバ主制御部１２ａの認証の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからのＩＰネットワーク１５による認証要求があるかどうかを監視する（ステップＳ７０１）。監視サーバ主制御部１２ａが認証要求を検出すると、監視サーバ主制御部１２ａは、事前に監視装置主制御部３ｂへと送信した認証用パスワードが受信できたかどうかを、認証動作として判断する（ステップＳ７０２）。

認証用パスワードを受信し認証が成功すると、監視サーバ主制御部１２ａは、データ通信が可能となり（ステップＳ７０３）、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからの通信を待つ。そして、データ通信が終了すると、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからのＩＰネットワーク１５による認証要求があるかどうかを監視する。また、認証に失敗すると監視サーバ主制御部１２ａは、データ通信を拒否し（ステップＳ７０４）、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからのＩＰネットワーク１５による認証要求があるかどうかを監視する。

ＩＰネットワーク経由での監視装置主制御部３ｂからの接続要求がない場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂへの通信要件があるかどうかを確認する（ステップＳ７０５）。通信要件がある場合、監視サーバ主制御部１２ａは、監視装置主制御部３ｂへ通信要求を送信する（ステップＳ７０６）。そして、事前に監視装置主制御部３ｂから受信した認証用パスワードを送信し、監視装置主制御部３ｂによる認証を受ける（ステップＳ７０７）。

認証が成功すると、監視装置主制御部３ｂのデータ通信が可能となり、監視サーバ主制御部１２ａは、監視装置主制御部３ｂとの通信を開始する（ステップＳ７０８）。そして、データ通信が終了すると、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからのＩＰネットワーク１５による認証要求があるかどうかを監視する。また、認証が失敗すると、監視装置主制御部３ｂがデータ通信を拒否することにより、監視サーバ主制御部１２ａは、データ通信を行わず（ステップＳ７０９）、監視装置主制御部３ｂからのＩＰネットワーク１５による認証要求があるかどうかを監視する。

上記のようなエレベータの遠隔監視装置では、認証を受ける側である監視装置主制御部３ｂが認証を行う側である監視サーバ主制御部１２ａから認証用パスワードを取得することにより、認証用パスワードを監視装置主制御部３ｂ側で常に保持しておく必要が無い。これにより、認証用パスワードの漏洩を防ぐことができ、なりすまし等による不正アクセスに対するセキュリティ性を向上させることができる。

なお、認証用パスワードは、１回の認証の度に変更されるワンタイムパスワードであってもよい。ワンタイムパスワードであれば、さらにセキュリティ性を向上させることができる。

また、実施の形態３では、認証を受ける側から認証を行う側に対して認証用パスワードを発行したが、認証を受ける側が認証を行う側に対して認証用パスワードを指定してもよい。

さらに、実施の形態３では、図６及び図７の動作は、監視サーバ主制御部１２ａから監視装置主制御部３ｂへの通信であったが、エレベータ監視装置から監視サーバへの通信であってもよい。

さらにまた、実施の形態３では、認証用パスワードが乱数列のコードであったが、乱数列のコードに限らず、装置の管理番号又はＩＰアドレス等でもよい。

実施の形態４．
次に、この発明の実施の形態４について説明する。なお、全体の装置の構成は実施の形態１と同様である。実施の形態４では、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂが、通常状態において、それぞれデータ受信禁止モードに設定されており、ＩＰネットワーク１５を介した通信が制限されている。監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、公衆回線網１４を介して、機器特定の通信を行うことにより、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂのデータ受信禁止モードが一定時間解除される。ここで、機器特定の通信とは、相手側機器に発信元を特定させる通信であり、例えば発信元の電話番号等を相手側機器に送信する通信である。

図８は、この発明の実施の形態４による監視サーバ主制御部の機器特定の通信の動作を示すフローチャートである。まず、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する（ステップＳ８０１）。公衆回線網１４による着信があると、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い（ステップＳ８０２）、公衆回線網１４による通信が機器特定の通信であるかどうかを確認する（ステップＳ８０３）。機器特定の通信の場合、監視サーバ主制御部１２ａは、モデム・回線切断処理を行い、公衆回線網１４による通信を終了させる（ステップＳ８０４）。

そして、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれデータ受信禁止モードを一定時間解除し、ＩＰネットワーク１５からのデータの受信を許可する（ステップＳ８０５）。データ受信禁止モードが解除されると、監視サーバ主制御部１２ａは、監視装置主制御部３ｂからの通信を受け付ける。一定時間が経過すると、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、データ受信禁止モードが設定され、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。

また、機器特定の通信を検出できなかった場合、監視サーバ主制御部１２ａは、モデム・回線切断処理を行い（ステップＳ８０６）、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。

さらに、公衆回線網１４からの着信が無い場合、監視サーバ主制御部１２ａは、ＩＰネットワーク経由での監視装置主制御部３ｂとの通信要件があるかどうかを確認する（ステップＳ８０７）。通信要件がある場合、監視サーバ主制御部１２ａは、回線・モデム接続処理を行い（ステップＳ８０８）、監視装置主制御部３ｂに対する機器特定の通信を行う（ステップＳ８０９）。

そして、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれデータ受信禁止モードを一定時間解除し、ＩＰネットワーク１５からのデータの受信を許可する（ステップＳ８０５）。データ受信禁止モードが解除されると、監視サーバ主制御部１２ａは、監視装置主制御部３ｂとの通信を開始する。一定時間が経過すると、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、データ受信禁止モードが設定され、監視サーバ主制御部１２ａは、監視装置主制御部３ｂから公衆回線網１４による着信があるかどうかを監視する。

上記のようなエレベータの遠隔監視装置では、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂが、通常時にＩＰネットワーク１５を経由したデータ受信を禁止するので、ＩＰネットワーク１５経由の不正アクセスに対するセキュリティ性を向上することができる。これとともに、通信過負荷攻撃やサービス拒否攻撃（ＤｏＳ攻撃：Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ）を回避することができる。また、辞書攻撃やブルートフォースアタック等のパスワード解読行為を拒絶することができる。

なお、実施の形態４では、図８の動作は、監視サーバ主制御部１２ａから監視装置主制御部３ｂへの通信であったが、監視装置主制御部３ｂから監視サーバ主制御部１２ａへの通信であってもよい。

また、実施の形態４では、監視サーバ主制御部１２ａ及び監視装置主制御部３ｂは、それぞれデータ受信禁止モードが一定時間解除されていたが、相手側機器とのＩＰネットワークによる通信が終了するまでデータ受信禁止モードが解除されてもよい。

さらに、実施の形態４では、機器特定の通信に発信元の電話番号を用いたが、発信元の電話番号に限らず、発信元の機器が特定できるものであればよい。例えば、機器の管理番号又はＩＰアドレス等でもよい。
さらにまた、実施の形態１〜３に記載したセキュリティに係わる通信である暗号鍵の交換、証明コードの交換、又は認証用パスワードの送信が機器特定の通信でもよい。

また、実施の形態１〜４では、回線・モデム接続処理の際に、監視サーバ主制御部１２ａが着信を検出するとそのまま接続処理を行っていたが、コールバック機能を追加して監視サーバが発信元を確認してもよい。これにより、なりすまし等の不正アクセスに対するセキュリティ性がさらに向上する。

さらに、実施の形態１〜４では、監視サーバ１２とエレベータ監視装置３との接続関係は、１：１の接続関係であったが、１台の監視サーバで複数台のエレベータ監視装置を監視してもよい。

さらにまた、実施の形態１〜４では、第１の回線網が公衆回線網１４であったが、公衆回線網に限らず、ＩＰアドレス及びルータに依存しない回線交換によるデータ通信が行えるものであればよい。例えば、ＰＨＳによるＰＩＡＦＳ通信やＩＳＤＮでもよい。

また、実施の形態１〜４では、ビル１及び監視センタ９内のデジタル回線の通信方式にＡＤＳＬを用いたが、ＡＤＳＬに限るものではなく、高速通信（１Ｍｂｐｓ以上の通信速度）ができるものであればよい。

さらに、スプリッタ６を用いて主幹電話回線８を構内電話回線４ａ，４ｂに分岐していたが、スプリッタに限るものではなく、ＰＢＸ（Ｐｒｉｖａｔｅ Ｂｒａｎｃｈ ｅＸｃｈａｎｇｅ）等を用いて分岐してもよい。

この発明の実施の形態１によるエレベータの遠隔監視装置を示す構成図である。 この発明の実施の形態１による監視サーバ主制御部の暗号鍵交換の動作を示すフローチャートである。 この発明の実施の形態１による監視サーバ主制御部の暗号化したデータの送受信の動作を示すフローチャートである。 この発明の実施の形態２による監視サーバ主制御部の証明コード交換の動作を示すフローチャートである。 この発明の実施の形態２による監視サーバ主制御部の証明コードを用いたデータの送受信動作を示すフローチャートである。 この発明の実施の形態３による監視サーバ主制御部の認証用パスワード送信の動作を示すフローチャートである。 この発明の実施の形態３による監視サーバ主制御部の認証の動作を示すフローチャートである。 この発明の実施の形態４による監視サーバ主制御部の機器特定の通信の動作を示すフローチャートである。

符号の説明

２ エレベータ制御装置、３ エレベータ監視装置、１２ 監視サーバ、１４ 公衆回線網、１５ ＩＰネットワーク。

Claims (9)

1. エレベータ制御装置の動作を監視するエレベータ監視装置、及び
   第１の回線網を介して上記エレベータ監視装置との間で通信のセキュリティに係わる通信を行うとともに、第２の回線網を介して上記エレベータ監視装置を監視する監視サーバ
   を備えていることを特徴とするエレベータの遠隔監視システム。
2. 上記セキュリティに係わる通信とは、上記エレベータ監視装置及び上記監視サーバの少なくともいずれか一方から他方に、データの暗号化を行うための暗号鍵を送信する通信であることを特徴とする請求項１記載のエレベータの遠隔監視システム。
3. 上記セキュリティに係わる通信とは、上記エレベータ監視装置及び上記監視サーバの少なくともいずれか一方から他方に、上記第２の回線網での通信における送信元を証明するための証明コードを送信する通信であることを特徴とする請求項１記載のエレベータの遠隔監視システム。
4. 上記セキュリティに係わる通信とは、上記エレベータ監視装置及び上記監視サーバの少なくともいずれか一方から他方に、接続する機器を特定するための認証に用いるパスワードを発行し送信する通信であることを特徴とする請求項１記載のエレベータの遠隔監視システム。
5. 上記セキュリティに係わる通信とは、上記エレベータ監視装置及び上記監視サーバの少なくともいずれか一方から他方に、認証を受けるために用いるパスワードを自ら発行し、相手に登録させる通信であることを特徴とする請求項１又は請求項４に記載のエレベータの遠隔監視システム。
6. 上記エレベータ監視装置及び上記監視サーバは、上記第２の回線網を介した通信に対してデータ受信禁止モードが設定されており、上記エレベータ監視装置及び上記監視サーバの少なくともいずれか一方から上記第１の回線網を介して機器特定の通信を受けて、上記データ受信禁止モードが解除されることを特徴とする請求項１〜請求項５のいずれかに記載のエレベータの遠隔監視システム。
7. 上記第１の回線網とは、上記第２の回線網に対して通信経路が異なるとともに、上記エレベータ監視装置と上記監視サーバとの間で回線交換による通信を行う回線網であることを特徴とする請求項１〜請求項６のいずれかに記載のエレベータの遠隔監視システム。
8. 上記第１の回線網とは、公衆回線網であることを特徴とする請求項１〜請求項７のいずれかに記載のエレベータの遠隔監視システム。
9. 上記第２の回線網とは、ＩＰネットワークであることを特徴とする請求項１〜請求項８のいずれかに記載のエレベータの遠隔監視システム。

Images