JP2008541205A - 安全な遠隔アクセスのための装置 - Google Patents

Abstract

サービスＰＣ（２）と機械制御部（３）との間の遠隔通信のためのシステム（１）が提供される。このシステム（１）は、少なくとも１つの中央コンピュータ（５）を有し、この中央コンピュータ（５）はファイアウォール（６）によって保護されており、且つ並列して実行可能な複数の仮想計算機（７）を有し、この仮想計算機（７）はそれぞれ機械制御部との同種または異種の通信コネクション（８）を確立し、サービスＰＣ（２）は中央コンピュータ（５）とコネクション（９）を介して接続可能であり、中央コンピュータ（５）は機械制御部（３）に対応付けられている通信コネクション（８）を確立する仮想計算機（７）を介して機械制御部（３）と接続可能である。

Description

本発明は、サービスＰＣと機械制御部との間における遠隔通信のためのシステムと方法に関する。

世界中に定住している顧客および機械オペレータを持つ今日の機械製造業者の広範な調整は、引き渡された機械、設備および機器（以下では包括的に「機械」と記す）のメンテナンス、診断また必要に応じて修理を直接的に現地で行うのではなく、遠隔アクセスによっても達成できるようにすることを必要とする。このために従来では通常の場合、アナログのモデムまたはＩＳＤＮコネクションを介するサービスＰＣの直接的なダイアルアップが行われていたが、今日においてはインターネットを介する暗号化された遠隔アクセスを実現する最新の通信技術、いわゆるＶＰＮ（「仮想プライベートネットワーク」）の使用の需要が高まっている。殊に大企業はＶＰＮポータルのための自身のファイアウォールを整備しており、このファイアウォールを介して提供者および設備建造者は引き渡された機械への遠隔アクセスを実現する。これに伴い提供者および設備建造者によって、機械および設備に提供された局所的なモデルおよびＩＳＤＮアクセスを取り除くことが要求される。さらには幾つかの企業がそうこうするうちに標準化されていないアクセスプロセスを規定している。ＶＰＮの他にもセルラＩＤ、事前共有キー、ワンタイムパスワードまたはセキュアＩＤのような多用な認証方法もしくは特別なハードウェアも使用される。

ＶＰＮを介する遠隔アクセスにはインフラストラクチャおよびセキュリティに関する高い要求が課される。殊に、ＶＰＮを介する遠隔アクセスが機械オペレータのもとで使用される技術に依存するということは問題である。サービス提供側での簡単で普遍的な解決手段は、種々のＶＰＮクライアントソフトウェア（例えばＣＩＳＣＯおよびチェックポイントＶＰＮクライアント）が１つのオペレーティングシステムにおいて同時に使用される、すなわち例えばサービス従業員のノートブックにおいて同時に使用されるという事情によって阻まれるので、今日まで実現されていない。機械オペレータのもとで使用されているＶＰＮ解決手段によっては、別のＶＰＮクライアント、したがって独立した計算機が必要とされる。機械オペレータによってさらに別のアクセスプロセス、また例えばＩＳＤＮまたはモデムを介するＲＡＳのようなダイアルアップ技術が要求される場合には相応の問題が生じる。機械オペレータの重要な（アクセス）データがサービス技術者のＰＣまたはノードブックに局所的に記憶されている場合には別の問題が生じる。これらのデータはインターネットからの攻撃に対して、またはＰＣが盗まれた際に十分に保護されていない。

したがって本発明の課題は、ウィルスの伝送を阻止し、且つ種々のダイアルアップ技術および暗号化技術を用いたアクセスを実現する、機械、機器または設備の制御部（以下では包括的に「機械制御部」と記す）への確実な遠隔アクセスのためのシステムを提供することである。

この課題は本発明によれば、サービスＰＣと機械制御部との間の遠隔通信のためのシステムによって解決され、このシステムは少なくとも１つの中央コンピュータを有し、この中央コンピュータはファイアウォールによって保護されており、且つ並列して実行可能な複数の仮想計算機を有し、これらの仮想計算機はそれぞれ機械制御部との同種または異種の通信コネクションを確立し、サービスＰＣは中央コンピュータと接続可能であり、また中央コンピュータは機械制御部と、この機械制御部に対応付けられている通信コネクションを確立する仮想計算機を介して接続可能である。

本発明による遠隔通信システムまたは遠隔通信ポータルにより、顧客データおよび機械への遠隔アクセスのためのアクセス技術の中央のインストールを実現する。仮想計算機においては異種のダイアルアップ技術を相互にインストールすることができる。さらには、この技術は重要な顧客データ（ダイアルアップ番号、パスワードなど）に関して高度の安全基準を提供する。何故ならば、所定の人間のみがファイアウォールの後ろにある構造へのアクセス権を有するからである。保護された中央計算機ないし保護されたネットワークにおいてはデータ保持、認証、ライセンス、ネットワークサービスおよびファイアウォールのための種々のサービスが存在する。

有利には、サービスＰＣを中央コンピュータまたはコンピュータ接続体に接続可能であるコネクションによりピクセル情報、マウスおよびキーボード操作の伝送のみが許容されるので、サービスＰＣと中央コンピュータとの間におけるウィルスの伝送が阻止される。殊に有利には、サービスＰＣと中央コンピュータまたはコンピュータ接続体との間のコネクションは遠隔デスクトッププログラム、例えばＲＤＰまたはＶＮＣを介して、また殊にウィンドウズ端末サービス（Windows Terminal Services）を用いて実現される。このために、中央コンピュータは有利には少なくとも１つの端末サーバを有する。遠隔通信システムは任意に基準化することができるので、同時に実現できる通信コネクションの数によってのみ制限されている遠隔通信セッションを実施することができる。許可された人間は端末サーバにおいて端末セッションを開始し、これによって保護された領域における端末サーバの仮想スクリーンを得る。ユーザは自身の端末番号に基づきリストから機械を選択し、このデータによりユーザには端末サーバにおいて仮想計算機（「仮想マシン」）が提供される。この仮想計算機は選択された機械オペレータ（顧客）または顧客グループのために設けられている。この仮想計算機からコネクションが機械オペレータによって設定されたダイアルアップ技術を介して確立される。これによって、顧客についての種々のダイアルアップ技術、例えばＶＰＮコネクション、ＤＯＳ計算機を介するｐｃＡｎｙｗｈｅｒｅ、任意のウィンドウズを介するｐｃＡｎｙｗｈｅｒｅ、ｐｃＡｎｙｗｈｅｒｅを用いる直接的なダイアルアップ、ＴＣＰ／ＩＰを介するＲＡＳコネクションまたは例えばＬｉｎｕｘを介するような他のコネクションを実現することができる。全ての仮想計算機を簡単にファイルのコピーによって保存することができるので、サービスの使用を常に顧客のために別個に設けられている仮想ＰＣによって実施することができる。外国の企業も本発明によるシステムにアクセスすることができるので、下請業者も所定の機器についてのダイアルアップ権限を得ることができる。機器への全てのアクセスを記録することができる。

有利には中央コンピュータがファイアウォールを介して機械製造者またはサービスプロバイダのイントラネットに接続されており、このイントラネットは別のファイアウォールを介してインターネットと接続されている。許可されたユーザは機械製造者またはサービスプロバイダのイントラネット内に直接的に存在している必要はなく、例えばＩＳＤＮまたはインターネットを介するＶＰＮコネクションによって、イントラネットにおける任意のサービスＰＣから通知することができる。ユーザのサービスＰＣと顧客ネットワークとの間の直接的な通信コネクションが存在するのではなく、保護された中央計算機と顧客のもとにある機械の機械制御部との間にコネクションが存在する。

機械制御部とそれぞれの通信コネクションとの対応関係は例えば中央コンピュータにおけるデータバンクまたはこの中央コンピュータに接続されているデータバンクに記憶されている。有利には、中央コンピュータとそれぞれの機械制御部との間の通信コネクションならびにサービスＰＣと中央コンピュータとの間のコネクションはインターネット、殊にそれぞれＶＰＮコネクションを介して実現される。

有利には、中央コンピュータの仮想計算機は種々のオペレーティングシステムおよび／または種々のアプリケーションプログラムおよび／または種々のウィルス保護プログラムを有する。アプリケーションプログラムの内の１つまたは複数は、中央コンピュータと機械制御部との間の通信コネクションを確立するために使用される。

本発明は、サービスＰＣと機械制御部との間の遠隔通信方法にも関し、ユーザは、ピクセル情報、マウスおよびキーボード操作を伝送することのみが許容されるコネクションをサービスＰＣと、ファイアウォールによって保護されている中央コンピュータとの間において確立し、中央コンピュータは記憶されているデータに基づいて、所望の機械制御部に対応付けられている通信コネクションを求め、複数の仮想計算機のうちこの通信コネクションのために設けられているものを選択し、この仮想計算機をスタートさせる。

有利には、ユーザが通信コネクションを介して機械制御部の機能を実施する、および／または、機械制御部と中央コンピュータとの間でファイルを交換する。

本発明のさらなる利点は明細書および図面より明らかになる。同様に、前述の特徴またさらに詳細な特徴を単独または複数組み合わせて使用することができる。以下において説明する図面に示された実施形態は網羅的に列記したものではなく、むしろ本発明を説明するために例示的に示されたものに過ぎない。

ここで、
図１は中央計算機を介在するサービスＰＣと機械制御部との間の本発明による無線通信システムの原理構造を概略的に示したものであり、
図２は、中央計算機が機械製造者のイントラネットに接続されており、且つ機械制御部が機械オペレータのイントラネットに接続されている、図１の無線通信システムを示す。

図１に示されているシステム１は、機械ないし機器（例えば工場機械またはレーザ機器）４のメンテナンス、診断また必要に応じて修理を遠隔アクセスにより実現するために、サービスＰＣ２と機械４の機械制御部４との間の無線通信に使用される。

システム１は少なくとも１つの中央コンピュータ５を包含し、この中央コンピュータ５はファイアウォール６によって外部に対して保護されており、また並列して実行可能な複数の仮想計算機（「仮想マシン」）７を有する。これらの個々の仮想計算機７は、以下において詳細に説明するように、機械制御部との同種または異種の通信コネクション８を確立する。サービスＰＣ２は殊にピクセル情報、マウスおよびキーボードの操作を伝送することのみを許容するコネクションを介して中央コンピュータ（または中央コンピュータ接続体）５と接続されている。中央コンピュータ５は機械制御部３と、この機械制御部３に対応付けられている中央コネクション８を確立する仮想コンピュータ７を介して接続されている。機械制御部３とそれぞれの通信コネクション８との対応関係は中央コンピュータ５のデータバンク１０に記憶されている。中央コンピュータ５の仮想計算機７は種々のアプリケーションプログラムを有する種々のオペレーションシステムを有し、これらのオペレーションシステムは中央コンピュータ５と種々の機械制御部との間の通信コネクション８を確立する。サービスＰＣ２と中央コンピュータ５との間のコネクション９ならびに中央コンピュータ５とそれぞれの機械制御部３との間のコネクション８はインターネット１１、しかもそれぞれがＶＰＮ（「仮想プライベートネットワーク」）コネクションを介して実現される。

所定の機械の機械制御部３への遠隔アクセスに関して、ユーザは先ずサービスＰＣ２と、ファイアウォール６によって保護されている中央コンピュータ７との間のコネクションを確立する。データバンク１０に記憶されているデータに基づき、中央コンピュータ４は所望の機械制御部３に対応付けられている通信コネクション８を求め、この通信コネクション８を確立する仮想計算機７を機械制御部３とのコネクションのために選択し、この仮想計算機５をスタートさせる。通信コネクション８を介してユーザは機械制御部３の機能を実施し、および／または、機械制御部３と中央コンピュータ４との間でファイルを交換する。顧客のもとにある機械の機械制御部３は直接的にサービスＰＣ２と接続されているのではなく、保護された中央計算機５を介してサービスＰＣと接続される。

図２には中央計算機５がファイアウォール６を介して機械製造者のイントラネット（組織内ネットワーク）１２に接続されており、このイントラネット１２は別のファイアウォール１３を介してインターネット１１と接続されている。さらに機械制御部３は機械オペレータのイントラネット（組織内ネットワーク）１４に接続されており、このイントラネット１４は同様にインターネット１１に接続されている。中央計算機５は保護されたＬＡＮ領域（ＶＬＡＮ）にあり、この保護されたＬＡＮ領域はファイアウォール６を介して機械製造者のイントラネット１２とは分離されている。所定の人間のみがファイアウォール６の後ろにある構造へのアクセス権を有する。サービスＰＣ２，２’は機械製造者のイントラネット１２を介して直接的に中央計算機５と接続されているか、インターネット１１を介して中央計算機５と接続されている。

中央計算機を介在するサービスＰＣと機械制御部との間の本発明による無線通信システムの原理構造の概略図。 中央計算機が機械製造者のイントラネットに接続されており、且つ機械制御部が機械オペレータのイントラネットに接続されている図１の無線通信システム。

Claims (12)

1. サービスＰＣ（２）と機械制御部（３）との間の遠隔通信のためのシステム（１）において、
   少なくとも１つの中央コンピュータ（５）を有し、該中央コンピュータ（５）はファイアウォール（６）によって保護されており、且つ並列して実行可能な複数の仮想計算機（７）を有し、該仮想計算機（７）はそれぞれ機械制御部との同種または異種の通信コネクション（８）を確立し、前記サービスＰＣ（２）は前記中央コンピュータ（５）とコネクション（９）を介して接続可能であり、前記中央コンピュータ（５）は機械制御部（３）に対応付けられている通信コネクション（８）を確立する仮想計算機（７）を介して機械制御部（３）と接続可能であることを特徴とする、遠隔通信のためのシステム。
2. 前記サービスＰＣ（２）と前記中央コンピュータ（５）との間のコネクション（９）はピクセル情報、マウスおよびキーボードの操作の伝送のみを許容する、請求項１記載のシステム。
3. 前記サービスＰＣ（２）と前記中央コンピュータ（５）との間のコネクション（９）をＲＤＰ、例えばウィンドウズ端末サービスを用いて確立する、請求項１または２記載のシステム。
4. 前記中央コンピュータ（５）は前記ファイアウォール（６）を介して機械製造者またはサービスプロバイダのイントラネット（１２）に接続されており、該イントラネット（１２）は別のファイアウォール（１３）を介してインターネット（１１）と接続されている、請求項１から３までのいずれか１項記載のシステム。
5. 前記機械制御部（３）とそれぞれの通信コネクション（８）との対応関係は前記中央コンピュータ（５）のデータバンク（１０）または該中央コンピュータ（５）に接続されているデータバンク（１０）に記憶されている、請求項１から４までのいずれか１項記載のシステム。
6. 前記中央コンピュータ（５）とそれぞれの機械制御部（３）との間の通信コネクション（８）はインターネット（１１）、例えばＶＰＮコネクションを介して確立される、請求項１から５までのいずれか１項記載のシステム。
7. 前記サービスＰＣ（２）と前記中央コンピュータ（５）との間のコネクション（９）を機械製造者またはサービスプロバイダのイントラネット（１２）を介して確立する、請求項１から６までのいずれか１項記載のシステム。
8. 前記サービスＰＣ（２）と前記中央コンピュータ（５）との間のコネクション（９）をインターネット（１１）、例えばＶＰＮコネクションを介して確立する、請求項１から７までのいずれか１項記載のシステム。
9. 前記中央コンピュータ（５）の前記仮想計算機（７）は種々のオペレーティングシステムおよび／または種々のアプリケーションプログラムおよび／または種々のウィルス保護プログラムを有する、請求項１から８までのいずれか１項記載のシステム。
10. 前記アプリケーションプログラムの内の１つまたは複数のアプリケーションプログラムを、前記中央コンピュータ（５）と前記機械制御部（３）との間の通信コネクション（８）を確立するために使用する、請求項９記載のシステム。
11. 例えば請求項１から１０までのいずれか１項記載のシステム（１）におけるサービスＰＣ（２）と機械制御部（３）との間の遠隔通信方法において、
    ユーザはピクセル情報、マウスおよびキーボード操作を伝送することのみが許容されるコネクション（９）をサービスＰＣ（２）と、ファイアウォール（６）によって保護されている中央コンピュータ（５）との間において確立し、前記中央コンピュータ（５）は記憶されているデータに基づいて、所望の機械制御部（３）に対応付けられている通信コネクション（８）を求め、複数の仮想計算機（７）のうち該通信コネクション（８）のために設けられている仮想計算機を選択し、該仮想計算機（７）をスタートさせることを特徴とする、遠隔通信方法。
12. ユーザは前記通信コネクション（８）を介して前記機械制御部（３）の機能を実施する、および／または、前記機械制御部（３）と前記中央コンピュータ（５）との間でファイルを交換する、請求項１１記載の無線通信方法。

Images