JP2020135199A - 機器制御システム及び機器制御方法 - Google Patents

Abstract

【課題】正当な権限を有しない制御サーバによって制御対象機器が制御される事態を防止すること。【解決手段】ＭＱＴＴ（Message Queue Telemetry Transport）プロトコルに従って制御対象機器を制御可能な機器制御システムにおいて、制御対象機器（３ａ〜３ｎ）を制御する制御サーバ（５、６）と、制御サーバによる制御対象機器に対する制御の許否を判定する認可サーバ（７）とを備え、認可サーバにて、制御サーバからの制御対象機器に対する制御要求に対して認可情報を生成して返送する一方、制御対象機器にて、制御サーバから制御要求及び認可情報を受け付けた場合に認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定する。【選択図】図１

Description

本発明は、機器制御システム及び機器制御方法に関する。

近年、ＩｏＴ（Internet of Things）と呼ばれる、様々な機器をインターネットに接続し、情報交換することにより相互に制御する仕組みが普及している。このようなＩｏＴの仕組みを利用し、工場内に設置された複数のＰＬＣ（Programmable Logic Controller）が検出するデータを含む、多種多様なデータをネットワーク経由で収集するシステムが提案されている（例えば、特許文献１参照）。

一般に、ＩｏＴにおける通信においては、ＴＣＰ／ＩＰスタックをベースに作成されたＭＱＴＴ（Message Queue Telemetry Transport）プロトコルが標準的な通信プロトコルとして利用されている。このＭＱＴＴプロトコルでは、ネットワーク内におけるエンティティのタイプとして、メッセージ・ブローカ（ブローカ）及びクライアントの２つが定義され、これらの間でメッセージが送受信される。

ＭＱＴＴプロトコルでは、ブローカ上に作成されるトピックを介してメッセージの送受信が行われる。ブローカは、あるトピック宛のメッセージをクライアントから受信すると、そのトピックからの受信を予め要求していた別のクライアントにそのメッセージを配信する。また、ＭＱＴＴプロトコルに従った通信を行う際、ブローカがクライアントに対してユーザ名及びパスワードを利用した認証を行うことで、ネットワーク上の安全性を確保している。このようなＭＱＴＴの仕組みを利用することにより、複数の機器からリアルタイムでデータを収集する一方、特定の機器に対して遠隔地から操作することができる。

特開２０１７−２２００５３号公報

ところで、ＩｏＴの普及に伴い、制御対象機器とその制御サーバがＭＱＴＴクライアントとしてブローカを介して通信するシステム構成が出てきている。このような構成では、複数の制御サーバ（制御アプリケーション）が、単一のブローカを介して同一の制御対象機器に対して異なる制御を実行することが考えられる。制御対象機器がエアコンであり、単一のブローカを介してこのエアコンを制御する第１、第２の制御サーバが存在する場合を想定する。例えば、第１の制御サーバにより、エアコンの設定温度の変更等の遠隔操作制御が実行される一方、第２の制御サーバにより、エアコンのメンテナンス時期の遠隔監視制御が実行される。

このような環境下においても、既存のＭＱＴＴプロトコルに従えば、ＭＱＴＴクライアントである制御サーバおよび制御対象機器に対する認証は、それらとブローカとの間のみで行われる。このため、実際の通信段階において、制御対象機器と制御サーバは、相手がブローカとの間でどのように認証されたかを知らないまま、ブローカ上のトピックを介して通信を行うことになる。したがって、例えば、悪意の第三者によって制御サーバがブローカに接続されてしまうと、制御対象機器を制御（例えば、遠隔操作制御）することが可能となる。制御対象となる制御対象機器の種別によっては重大な損害が発生する事態も想定される。

本発明は、このような実情に鑑みてなされたものであり、正当な権限を有しない制御サーバによって制御対象機器が制御される事態を防止することができる機器制御システム及び機器制御方法を提供することを目的の１つとする。

本実施形態の機器制御システムは、その一態様では、ＭＱＴＴプロトコルに従って通信を行う制御対象機器を制御可能な機器制御システムであって、前記制御対象機器を制御する制御サーバと、前記制御サーバによる前記制御対象機器に対する制御の許否を判定する認可サーバと、を具備し、前記認可サーバは、前記制御サーバからの前記制御対象機器に対する制御要求に対して認可情報を生成して返送し、前記制御対象機器は、前記制御サーバから前記制御要求及び認可情報を受け付けた場合に前記認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定することを特徴とする。

本実施形態の機器制御方法は、その一態様では、ＭＱＴＴプロトコルに従って通信を行う制御対象機器を制御する制御サーバと、前記制御サーバによる前記制御対象機器に対する制御の許否を判定する認可サーバとを用いた機器制御方法であって、前記認可サーバにて、前記制御サーバからの前記制御対象機器に対する制御要求に対して認可情報を生成して返送するステップと、前記制御対象機器にて、前記制御サーバから前記制御要求及び認可情報を受け付けた場合に前記認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定するステップと、を有することを特徴とする。

本発明によれば、正当な権限を有しない制御サーバによって制御対象機器が制御される事態を確実に防止することができる。

本実施の形態に係る機器制御システムのネットワーク構成の説明図である。 本実施の形態に係る機器制御システムが有する第１制御サーバの機能ブロック図である。 本実施の形態に係る機器制御システムが有する認可サーバの機能ブロック図である。 本実施の形態に係る機器制御システムが有するＭＱＴＴブローカの機能ブロック図である。 本実施の形態に係る機器制御システムの制御対象となるＩｏＴ機器の機能ブロック図である。 本実施の形態に係る機器制御システムにおいて、制御サーバからＩｏＴ機器を操作する際の動作を説明するためのシーケンス図である。 本実施の形態に係る認可サーバでＩｏＴ機器情報の管理に利用されるＩｏＴ機器情報テーブルの一例を示す図である。 本実施の形態に係る認可サーバで制御サーバ情報の管理に利用される制御サーバ情報テーブルの一例を示す図である。 本実施の形態に係る認可サーバで操作要求情報の管理に利用される操作要求情報テーブルの一例を示す図である。

ＩｏＴの普及に伴い、複数の制御サーバ（制御アプリケーション）が、単一のブローカを介して同一の制御対象機器に対して異なる制御を実行することが想定される。制御サーバは、クラウドアプリケーションやサービス提供アプリケーションと呼ぶこともできる。このような環境下においても、現状では、制御サーバ及び制御対象機器に対する認証が、それらとブローカとの間のみで行われる。このため、制御対象機器と制御サーバは、相手がブローカとの間でどのように認証されたかを知らないまま、ブローカ上のトピックを介して通信を行うことになる。したがって、例えば、悪意の第三者によって制御サーバがブローカに接続されてしまうと、制御対象機器が遠隔操作される事態が発生し得る。制御対象機器の種別によっては重大な損害が発生する事態も想定される。

本発明者は、ＭＱＴＴプロトコルに規定された、ブローカによるユーザ名及びパスワードを利用したクライアント認証では、上述したような制御サーバによる制御を制限することができない点に着目した。そして、ＭＱＴＴプロトコルにおける認証処理とは別に、制御を要求した制御サーバの正当性を検証する仕組みを採用することが、不正な制御サーバによって制御対象機器が制御される事態の防止に寄与することを見出し、本発明に想到した。

すなわち、本発明に係る機器制御システムの骨子は、ＭＱＴＴプロトコルに従って通信を行う制御対象機器を制御可能な機器制御システムにおいて、制御対象機器を制御する制御サーバと、制御サーバによる制御対象機器に対する制御の許否を判定する認可サーバと、を備え、認可サーバにて、制御サーバからの制御対象機器に対する制御要求に対して認可情報を生成して返送する一方、制御対象機器にて、制御サーバから制御要求及び認可情報を受け付けた場合に認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定することである。

本発明に係る機器制御システムによれば、認可サーバによって、制御サーバによる制御対象機器に対する操作要求に対して認可情報が生成される一方、制御対象機器にて認可情報の有効性が検証されることから、認可情報が含まれていない制御サーバからの制御要求に応じて制御対象機器で要求された制御が実行される事態が回避されるので、正当な権限を有しない制御サーバによって制御対象機器が制御される事態を確実に防止することができる。

以下、本発明に係る機器制御システムの実施形態について、図面を参照して説明する。図１は、本実施の形態に係る機器制御システムのネットワーク構成の説明図である。図１に示すように、本実施の形態に係る機器制御システム１は、インターネット２を介して制御対象機器としてのＩｏＴ機器３（３ａ、３ｂ、３ｃ…３ｎ）が接続されている。以下においては、これらのＩｏＴ機器３ａ、３ｂ、３ｃ…３ｎを総称する際、ＩｏＴ機器３と呼ぶものとする。

ＩｏＴ機器３は、インターネット２を介して通信を行う機能を有する任意の機器で構成される。例えば、ＩｏＴ機器３は、任意の場所に設置されるエアコンやセンサ等で構成されるが、これに限定されない。また、ＩｏＴ機器３は、これらのエアコンやセンサ等を制御するＰＬＣ（Programmable Logic Controller）などの制御装置で構成されてもよい。例えば、ＩｏＴ機器３は、工場内の特定の区画の温度を検出する温度センサや、工場内の設備から排出される排水の流量を検出する流量センサで構成される。これらの温度センサや流量センサは、機器制御システム１からの要求に応じた制御を実行することができ、例えば、検出値を機器制御システム１に出力する。詳細について後述するように、ＩｏＴ機器３は、第１制御サーバ５（第２制御サーバ６）で生成された認可情報に基づいて、当該認可情報が付加された操作要求で指示される制御の実行の許否を判定する。

機器制御システム１は、例えば、クラウドサービスを提供するクラウドサービス事業者のネットワーク内に配設される。例えば、機器制御システム１は、ＭＱＴＴ（Message Queue Telemetry Transport）ブローカ（以下、単に「ブローカ」という）４、第１制御サーバ５、第２制御サーバ６及び認可サーバ（判定サーバ）７を含んで構成される。しかしながら、機器制御システム１の構成については、これに限定されるものではなく適宜変更が可能である。制御サーバの数は、２つに限定されず、１つ又は３つ以上含まれていてもよい。機器制御システム１は、クラウドサービス事業者のネットワーク以外のネットワークに配設されてもよい。

ブローカ４は、ＭＱＴＴプロトコルに従って、ＩｏＴ機器３から出力されたメッセージ（例えば、検出値）を機器制御システム１の特定の構成要素（第１制御サーバ５等）に配信する一方、機器制御システム１の構成要素からのメッセージ（例えば、指示信号）を特定のＩｏＴ機器３に配信する。また、ブローカ４は、ＭＱＴＴプロトコルに従って通信を行う際、通信対象となるＩｏＴ機器３との間において、ユーザ名及びパスワードを利用した認証を行う機能を有している。なお、ブローカ４は、ＭＱＴＴサーバと呼ばれることもある。

第１、第２制御サーバ５、６は、ＩｏＴ機器３を制御可能な制御サーバである。例えば、第１制御サーバ５（第２制御サーバ６）は、制御の一態様として、ＩｏＴ機器３が検出した検出値を収集するデータ収集制御を実行する。第２制御サーバ６（第１制御サーバ５）は、制御の一態様として、所定のＩｏＴ機器３を遠隔操作する遠隔操作制御を実行する。第１、第２制御サーバ５、６は、ＩｏＴ機器３に対して同一の制御を実行してもよいし、異なる制御を実行してもよい。詳細について後述するように、第１制御サーバ５（第２制御サーバ６）は、ＩｏＴ機器３に対して、認可サーバ７から受け取った認可情報付き操作要求を送信する。

認可サーバ７は、第１制御サーバ５（第２制御サーバ６）からのＩｏＴ機器３に対する制御要求（操作要求）の許否を判定する。より具体的にいうと、認可サーバ７は、第１制御サーバ５（第２制御サーバ６）からＩｏＴ機器３に対する制御要求（操作要求）が、正当な権限を有する制御サーバからの制御要求であるか否かを検証することで、ＩｏＴ機器３に対する制御要求（操作要求）の許否を判定する。また、認可サーバ７は、ＩｏＴ機器３にて、制御要求（操作要求）で指示された制御の実行の許否を判定させるために、第１制御サーバ５（第２制御サーバ６）に認可情報を出力する一方、この認可情報の有効性を検証できる検証情報をＩｏＴ機器３に出力する。

以下、機器制御システム１の構成要素及びＩｏＴ機器３の機能について、図２〜図５を参照して説明する。なお、第１制御サーバ５及び第２制御サーバ６は、同一の機能を有するため、第１制御サーバ５について代表して説明し、第２制御サーバ６の説明を省略する。以下においては、機器制御システム１（制御サーバ）からの制御要求の一例として、遠隔操作等の操作要求を例示して説明する。

図２は、本実施の形態に係る機器制御システム１が有する第１制御サーバ５の機能ブロック図である。図２に示すように、第１制御サーバ５は、記憶部５１、処理部５２及び通信部５３を含んで構成されるが、これに限定されない。第１制御サーバ５の使用者又は管理者が第１制御サーバ５を操作するために必要な操作部を備えるようにしてもよい。例えば、第１制御サーバ５は、汎用的なコンピュータシステムに制御サーバプログラムをインストールすることで実現されるサーバ装置で構成されるが、これに限定されない。第１制御サーバ５は、クラウドアプリケーションのように、サーバ装置の一部の機能により実現されてもよい。

記憶部５１は、制御サーバプログラム記憶部５１１及び制御対象情報記憶部５１２を有する。制御サーバプログラム記憶部５１１は、第１制御サーバ５が各種処理を実行するためのプログラムを記憶する。各種処理には、後述する登録要求処理、認可要求処理や操作要求処理などが含まれる。制御対象情報記憶部５１２は、第１制御サーバ５が制御を実行する対象となる制御対象機器（ＩｏＴ機器）に関する情報（制御対象情報）を記憶する。例えば、制御対象情報には、制御対象となるＩｏＴ機器３の識別情報や操作可能な内容（操作内容）が含まれる。

処理部５２は、登録要求処理部５２１、認可要求処理部５２２及び操作要求処理部５２３を有する。登録要求処理部５２１は、機器制御システム１上の構成要素として第１制御サーバ５の登録を要求する処理（以下、「サーバ登録要求処理」という）を行う。サーバ登録要求処理は、第１制御サーバ５を機器制御システム１の構成要素として初めて登録する際に実行される。

認可要求処理部５２２は、特定のＩｏＴ機器３に対するアクセスの認可を要求する処理（以下、「認可要求処理」という）を行う。認可要求処理は、第１制御サーバ５が特定のＩｏＴ機器３に対する制御を実行する前に実行される。操作要求処理部５２３は、特定のＩｏＴ機器３に対して操作を要求する処理（以下、「操作要求処理」という）を行う。操作要求処理は、認可サーバ７によってＩｏＴ機器３に対するアクセスが許容された後に実行される。

通信部５３は、ブローカ通信部５３１及び認可サーバ通信部５３２を有する。ブローカ通信部５３１は、ブローカ４との間の通信を行う。ブローカ通信部５３１は、ブローカ４を介してＩｏＴ機器３との間でメッセージを送受する際にブローカ４と通信を行う。認可サーバ通信部５３２は、認可サーバ７との間の通信を行う。通信部５３とブローカ４及び／又は認可サーバ７との間の通信は、有線により行われることが望ましいが、無線により行うようにしてもよい。

図３は、本実施の形態に係る機器制御システム１が有する認可サーバ７の機能ブロック図である。図３に示すように、認可サーバ７は、記憶部７１、処理部７２及び通信部７３を含んで構成されるが、これに限定されない。認可サーバ７の使用者又は管理者が認可サーバ７を操作するために必要な操作部を備えるようにしてもよい。例えば、認可サーバ７は、汎用的なコンピュータシステムに認可サーバプログラムをインストールすることで実現されるサーバ装置で構成されるが、これに限定されない。

記憶部７１は、認可サーバプログラム記憶部７１１及び判定情報記憶部７１２を有する。認可サーバプログラム記憶部７１１は、認可サーバ７が各種処理を実行するためのプログラムを記憶する。各種処理には、後述する登録処理（サーバ登録処理、機器登録処理）や認可要求判定処理などが含まれる。判定情報記憶部７１２は、上述した認可要求判定処理で利用される情報（判定情報）を記憶する。例えば、判定情報には、ＩｏＴ機器３を制御する制御サーバの識別情報、操作権限や許容時間、制御対象となるＩｏＴ機器３の識別情報やＩｏＴ機器３に対する操作内容が含まれる。

処理部７２は、登録処理部７２１及び認可要求判定処理部７２２を有する。登録処理部７２１は、ＩｏＴ機器３からの登録要求に応じて機器制御システム１の管理対象として登録する処理（以下、「機器登録処理」という）を行う。なお、適切に機器登録処理が行われると、登録処理部７２１は、後述する認可情報を検証するための検証情報をＩｏＴ機器３に出力する。本実施の形態では、検証情報として認可サーバ７の公開鍵が出力されるが、これに限定されない。また、登録処理部７２１は、制御サーバ（例えば、第１制御サーバ５）からの登録要求に応じて機器制御システム１の構成要素として登録する処理（以下、「サーバ登録処理」という）を行う。これらの機器登録処理及びサーバ登録処理は、それぞれＩｏＴ機器３及び制御サーバから登録要求を受け取った際に実行される。

認可要求判定処理部７２２は、制御サーバ（例えば、第１制御サーバ５）からのＩｏＴ機器３へのアクセス認可要求の許否を判定する処理（以下、「認可要求判定処理」という）を行う。認可要求判定処理は、制御サーバからのＩｏＴ機器３へのアクセス認可要求を受け取った際に実行される。適切に認可要求判定処理が行われると、認可要求判定処理７２３は、認可情報を制御サーバに出力する。本実施の形態では、認可サーバ７の秘密鍵による操作要求への署名が認可情報として出力されるが、これに限定されない。

通信部７３は、ブローカ通信部７３１及び制御サーバ通信部７３２を有する。ブローカ通信部７３１は、ブローカ４との間の通信を行う。ブローカ通信部７３１は、ブローカ４を介してＩｏＴ機器３との間でメッセージを送受する際にブローカ４と通信を行う。制御サーバ通信部７３２は、制御サーバ（例えば、第１制御サーバ５）との間の通信を行う。通信部７３とブローカ４及び／又は制御サーバとの間の通信は、有線により行われることが望ましいが、無線により行うようにしてもよい。

図４は、本実施の形態に係る機器制御システム１が有するブローカ４の機能ブロック図である。図４に示すように、ブローカ４は、記憶部４１、処理部４２及び通信部４３を含んで構成されるが、これに限定されない。ブローカ４の使用者又は管理者がブローカ４を操作するために必要な操作部を備えるようにしてもよい。例えば、ブローカ４は、汎用的なコンピュータシステムにブローカプログラムをインストールすることで実現されるサーバ装置で構成されるが、これに限定されない。ブローカ４は、サーバ装置の一部の機能により実現されてもよい。

記憶部４１は、ブローカプログラム記憶部４１１及びトピック記憶部４１２を有する。ブローカプログラム記憶部４１１は、ブローカ４が各種処理を実行するためのプログラムを記憶する。各種処理には、後述するトピック識別処理やメッセージ配信処理などが含まれる。トピック記憶部４１２は、制御サーバ又はＩｏＴ機器３から送信されたメッセージの送り先を特定するためのトピックを記憶する。トピックは、機器制御システム１のネットワーク管理者、或いは、ＩｏＴ機器３からの登録要求に応じてトピック記憶部４１２に記憶される。

処理部４２は、トピック識別処理部４２１及びメッセージ配信処理部４２２を有する。トピック識別処理部４２１は、制御サーバ又はＩｏＴ機器３から送信されたメッセージに含まれるトピックを識別する処理（以下、「トピック識別処理」という）を行う。メッセージ配信処理部４２２は、トピック識別処理部４２１が識別したトピックに従ってメッセージを配信する処理（以下、「メッセージ配信処理」という）を行う。

通信部４３は、制御サーバ通信部４３１、認可サーバ通信部４３２及びＩｏＴ機器通信部（以下、「機器通信部」という）４３３を有する。制御サーバ通信部４３１は、制御サーバ（例えば、第１制御サーバ５）との間の通信を行う。認可サーバ通信部４３２は、認可サーバ７との間の通信を行う。機器通信部４３３は、ＩｏＴ機器３との間の通信を行う。通信部４３と制御サーバ、認可サーバ７及び／又はＩｏＴ機器３との間の通信は、有線により行われることが望ましいが、無線により行うようにしてもよい。

図５は、本実施の形態に係る機器制御システム１の制御対象となるＩｏＴ機器３の機能ブロック図である。図５に示すように、ＩｏＴ機器３は、記憶部３１、処理部３２及び通信部３３を含んで構成されるが、これに限定されない。ＩｏＴ機器３の使用者又は管理者がＩｏＴ機器３を操作するために必要な操作部を備えるようにしてもよい。例えば、ＩｏＴ機器３は、所定機能を有する各種機器にＩｏＴ機器プログラム（以下、適宜「機器プログラム」という）をインストールすることで実現される機器で構成されるが、これに限定されない。

記憶部３１は、ＩｏＴ機器プログラム記憶部（以下、「機器プログラム記憶部」という）３１１を有する。機器プログラム記憶部３１１は、ＩｏＴ機器３が各種処理を実行するためのプログラムを記憶する。各種処理には、後述する登録要求処理（機器登録要求処理）、操作許否判定処理や操作実行処理などが含まれる。

処理部３２は、登録要求処理部３２１、操作許否判定処理部３２２及び操作実行処理部３２３を有する。登録要求処理部３２１は、機器制御システム１上の管理対象としてＩｏＴ機器３の登録を要求する処理（以下、「機器登録要求処理」という）を行う。機器登録要求処理は、ＩｏＴ機器３を機器制御システム１の管理対象として初めて登録する際に実行される。

操作許否判定処理部３３２は、制御サーバ（例えば、第１制御サーバ５）が要求する操作（要求操作）の実行の許否を判定する処理（以下、「操作許否判定処理」という）を行う。操作許否判定処理は、制御サーバから操作要求を受け取った際に実行される。操作許否判定処理では、制御サーバからの操作要求と一緒に送信される認可サーバ７の認可情報を、予め保持した検証情報で検証し、その検証結果に応じて制御サーバからの要求操作の実行の許容を判定する。操作実行処理部３２３は、制御サーバから到来した操作要求で指示された操作を実行する処理（以下、「操作実行処理」という）を行う。操作実行処理は、操作許否判定処理により要求操作の実行が許容された場合に実行される。

通信部３３は、ブローカ通信部３３１を有する。ブローカ通信部３３１は、ブローカ４との間の通信を行う。通信部３３は、ブローカ４を介して制御サーバ（例えば、第１制御サーバ５）や認可サーバ７と通信を行うことができる。通信部３３とブローカ４との間の通信は、有線により行われることが望ましいが、無線により行うようにしてもよい。

以下、本実施の形態に係る機器制御システム１において、制御サーバからＩｏＴ機器３を操作（制御）する際の動作について、図６を参照して説明する。図６は、本実施の形態に係る機器制御システム１において、制御サーバからＩｏＴ機器３を操作する際の動作を説明するためのシーケンス図である。以下では、第２制御サーバ６からＩｏＴ機器３を操作する際の動作について説明するものとする。ここで、第２制御サーバ６は、機器制御システム１に新たに登録された制御サーバであるものとする。また、機器制御システム１の管理対象となるＩｏＴ機器３は、説明の便宜上、全てエアコンであるものとする。

機器制御システム１の管理対象となるＩｏＴ機器３に関する情報（以下、「ＩｏＴ機器情報」という）は、認可サーバ７の判定情報記憶部７１２に予め登録されていることが好ましい。このようなＩｏＴ機器情報は、機器制御システム１にＩｏＴ機器３が初めて接続される際に登録される。ＩｏＴ機器情報の登録に先立ち、ＩｏＴ機器３と認可サーバ７との間では、通信セキュリティが担保される。例えば、ＩｏＴ機器３と認可サーバ７との間には、予め暗号鍵を共有しておき、ＭＱＴＴプロトコルに従って通信される情報を暗号化することで、通信セキュリティを担保することができる。なお、ＩｏＴ機器３と認可サーバ７との間の通信プロトコルとして、ＭＱＴＴプロトコル以外のプロトコルを用いることで通信セキュリティを担保するようにしてもよい。図６では、説明の便宜上、新たにＩｏＴ機器情報が登録される処理（ステップ（以下、「ＳＴ」という）６０１及びＳＴ６０２）を含めて説明するものとする。

機器制御システム１の管理対象として新たにＩｏＴ機器３が登録される場合、まず、ＩｏＴ機器３から認可サーバ７に登録要求が出力される（ＳＴ６０１）。この登録要求には、ＩｏＴ機器情報が含まれる。ＩｏＴ機器３からの登録要求は、インターネット２及びブローカ４を介して認可サーバ７に送信される。ここでは、登録要求の出力に先立ち、登録要求に含まれるＩｏＴ機器情報が申請され、機器制御システム１の管理者による審査を通過しているものとする。なお、ＩｏＴ機器情報には、ＩｏＴ機器３の識別情報や操作内容、操作に必要な権限を有する制御サーバなどの情報が含まれる。

ここで、ＩｏＴ機器３から登録要求を受け取ったブローカ４における処理について説明する。この場合、ブローカ４は、ＩｏＴ機器３から登録要求を内容に含むメッセージ（登録要求メッセージ）を受け取る。メッセージを受け取ると、ブローカ４は、当該メッセージに含まれるトピックを識別し、そのトピックに応じた配信先にメッセージを配信する。ここでは、トピックに、認可サーバ７を識別する内容が含まれる。ブローカ４は、トピックを識別することで、配信先として認可サーバ７を特定し、メッセージを認可サーバ７に配信する。

このとき、ブローカ４では、機器通信部４３３がＩｏＴ機器３から登録要求メッセージを受信する。トピック識別処理部４２１が登録要求メッセージに含まれるトピックを識別する。トピック識別処理部４２１は、トピック記憶部４１２に記憶されたトピック情報に基づいてトピックを識別する。メッセージ配信処理部４２２は、トピック識別処理部４２１が識別したトピックに応じてメッセージの配信先を決定する。認可サーバ通信部４３２は、メッセージ配信処理部４２２が決定したメッセージの配信先である認可サーバ７に登録要求メッセージを送信する。

ブローカ４を介して登録要求を受けると、認可サーバ７は、ＩｏＴ機器３の登録処理（機器登録処理）を行う（ＳＴ６０２）。この登録処理において、認可サーバ７は、ＩｏＴ機器情報を判定情報記憶部７１２に登録する。認可サーバ７では、登録処理部７２１が、ＩｏＴ機器情報を判定情報記憶部７１２に登録し、その登録結果をブローカ４を介してＩｏＴ機器３に出力する。ＩｏＴ機器３への登録結果の出力には、上述したトピックが利用される。登録結果の中には、認可サーバ７により付加される認可情報の有効性を検証するための検証情報が含まれる。ここでは、検証情報として、認可サーバ７の公開鍵が含まれる。

図７は、認可サーバ７でＩｏＴ機器情報の管理に利用されるＩｏＴ機器情報テーブルの一例を示す図である。図７に示すように、ＩｏＴ機器情報テーブルには、例えば、番号、ＩｏＴ機器３の識別情報（機器ＩＤ）、操作可能な内容（操作内容）及び必要な権限が登録される。なお、ＩｏＴ機器情報テーブルに登録される内容については、これに限定されるものではなく適宜変更が可能である。

ＩｏＴ機器情報テーブルの番号＃１の登録内容について説明する。番号＃１には、ＩｏＴ機器３ａ（機器３ａ）についてのＩｏＴ機器情報が登録されている。番号＃１では、機器ＩＤとして「ＩｏＴ機器３ａ」が登録され、その操作内容として「オン操作」が登録され、その必要な権限として「第１制御サーバ（第１ＣＳ）」及び「第２制御サーバ（第２ＣＳ）」が登録されている。これは、ＩｏＴ機器３ａのオン操作を、第１制御サーバ又は第２制御サーバが遠隔操作可能であることを示している。

このようなＩｏＴ機器情報がＩｏＴ機器３からの登録要求に応じて認可サーバ７のＩｏＴ機器情報テーブルに登録される。なお、ここでは、ＩｏＴ機器３からの登録要求に応じてＩｏＴ機器情報が登録される場合について説明している。しかしながら、ＩｏＴ機器情報の登録方法については、これに限定されるものではなく適宜変更が可能である。例えば、機器制御システム１の管理者が、認可サーバ７の操作部を介してＩｏＴ機器情報を登録するようにしてもよい。

一方、機器制御システム１の構成対象として新たに第２制御サーバ６が登録される場合、まず、第２制御サーバ６から認可サーバ７に登録要求が出力される（ＳＴ６０３）。この登録要求は、第２制御サーバ６が、機器制御システム１から正規に制御が許容される提供を行う制御サーバであることの登録を要求するものである。第２制御サーバ６では、登録要求処理部５２１が認可サーバ通信部５３２を介してこの登録要求を出力する。ここでは、登録要求の出力に先立ち、登録要求に含まれる、制御サーバに関する情報（制御サーバ情報）が申請され、機器制御システム１の管理者による審査を通過しているものとする。

登録要求を受けると、認可サーバ７は、第２制御サーバ６の登録処理を行う（ＳＴ６０４）。この登録処理において、認可サーバ７は、第２制御サーバ６の制御サーバ情報を判定情報記憶部７１２に登録する。このとき、認可サーバ７は、予め申請された情報等に基づいて第２制御サーバ６の登録の許否を判定し、許容される場合に登録処理を実行する一方、許容されない場合には登録処理を実行しない。ここでは、第２制御サーバ６の登録処理が行われるものとする。認可サーバ７では、登録処理部７２１が、制御サーバ情報を判定情報記憶部７１２に登録し、その登録結果を制御サーバ通信部７３２を介して第２制御サーバ６に出力する。

図８は、認可サーバ７で制御サーバ情報の管理に利用される制御サーバ情報テーブルの一例を示す図である。図８に示すように、制御サーバ情報テーブルには、例えば、番号、制御サーバの識別情報（制御サーバ（ＣＳ）ＩＤ）、ＩｏＴ機器３の識別情報（機器ＩＤ）、制御サーバが操作可能な内容（操作内容）及び制御サーバの操作権限が登録される。なお、制御サーバ情報テーブルに登録される内容については、これに限定されるものではなく適宜変更が可能である。

制御サーバ情報テーブルの番号＃８の登録内容について説明する。番号＃８には、第２制御サーバ（第２ＣＳ）６におけるＩｏＴ機器３ａに関する制御サーバ情報が登録されている。番号＃８では、制御サーバＩＤ（ＣＳＩＤ）として「第２制御サーバ（第２ＣＳ）」が登録され、機器ＩＤとして「ＩｏＴ機器３ａ」が登録され、その操作内容として「オン操作」が登録され、その操作権限として「○」が登録されている。これは、第２制御サーバ６には、ＩｏＴ機器３ａのオン操作が許容されていることを示している。

また、制御サーバ情報テーブルの番号＃１０の登録内容について説明する。番号＃１０には、第２制御サーバ（第２ＣＳ）６における機器３ｃに関する制御サーバ情報が登録されている。番号＃１０では、制御サーバＩＤ（ＣＳＩＤ）として「第２制御サーバ（第２ＣＳ）」が登録され、機器ＩＤとして「ＩｏＴ機器３ｃ」が登録され、その操作内容として「設定温度変更操作」が登録され、その操作権限として「×」が登録されている。これは、第２制御サーバ６には、ＩｏＴ機器３ｃの設定温度変更操作が許容されていないことを示している。

図８に示す制御サーバ情報テーブルでは、機器制御システム１に登録されている制御サーバの全ての制御サーバ情報を登録する場合について示しているが、これに限定されない。例えば、特定の制御サーバ毎に登録内容を限定した制御サーバ情報テーブルを複数用意しておいてもよい。また、図８に示す制御サーバ情報テーブルでは、説明の便宜上、番号＃２や番号＃１０のように、制御サーバに許容されていない操作内容に関する制御サーバ情報も登録される場合について示しているが、このような制御サーバ情報は必ずしも登録する必要はない。

これらのように認可サーバ７に制御サーバ情報が登録されることで、第２制御サーバ６は、特定のＩｏＴ機器３に対して操作要求を行うことが可能となる。認可サーバ７において、制御サーバ情報の登録処理が完了した後、ＩｏＴ機器３に操作要求を行う場合、第２制御サーバ６から認可サーバ７に対してＩｏＴ機器３に対するアクセスの認可要求（以下、「機器アクセス認可要求」という）が出力される（ＳＴ６０５）。第２制御サーバ６では、認可要求処理部５２２が認可サーバ通信部５３２を介してこの機器アクセス認可要求を出力する。

機器アクセス認可要求を受けると、認可サーバ７は、第２制御サーバ６の認可要求判定処理を行う（ＳＴ６０６）。この認可要求判定処理において、認可サーバ７は、第２制御サーバ６からのＩｏＴ機器３に対するアクセスの認可要求の許否を判定し、その判定結果を第２制御サーバ６に出力する。認可サーバ７では、認可要求判定処理部７２２が、判定情報記憶部７１２に記憶された認証情報（制御サーバ情報）を用いて判定処理を行い、その判定結果を制御サーバ通信部７３２を介して第２制御サーバ６に出力する。

このとき、認可サーバ７は、第２制御サーバ６からの機器アクセス認可要求に含まれる操作要求の内容、その判定結果及び当該操作要求の許容時間（制御許容時間）を保存する。認可サーバ７では、認可要求判定処理部７２２が、第２制御サーバ６からの認可要求及びその判定結果の内容、当該操作要求の許容時間を含む、操作要求に関する情報（操作要求情報）を、判定情報記憶部７１２の操作要求情報テーブルに登録する。操作要求情報テーブルへの操作要求情報の登録は、上述した認可要求判定処理の一部に含めてもよいし、含めなくてもよい。

図９は、認可サーバ７で操作要求情報の管理に利用される操作要求情報テーブルの一例を示す図である。図９に示すように、操作要求情報テーブルには、例えば、番号、制御サーバの識別情報（制御サーバ（ＣＳ）ＩＤ）、ＩｏＴ機器３の識別情報（機器ＩＤ）、制御サーバが操作要求を行う内容（操作内容）、操作要求の受付時間、操作権限（制御権限）の有無（操作権限）、操作要求を許容する時間（許容時間）が登録される。なお、操作要求情報テーブルに登録される内容については、これに限定されるものではなく適宜変更が可能である。

操作要求情報テーブルの番号＃３の登録内容について説明する。番号＃３には、第２制御サーバ（第２ＣＳ）６におけるＩｏＴ機器３ｂに対する操作要求情報が登録されている。番号＃３では、制御サーバＩＤ（ＣＳＩＤ）として「第２制御サーバ（第２ＣＳ）」が登録され、機器ＩＤとして「ＩｏＴ機器３ｂ」が登録され、その操作内容として「オフ操作」が登録されている。また、その受付時間として「１０：２０」が登録され、その操作権限として「○」が登録され、その許容時間として「１０：２５」が登録されている。これは、第２制御サーバ６からＩｏＴ機器３ｂに対するオフ操作は、１０：２０〜１０：２５の間で許容されるという内容を示している。

操作要求情報テーブルの番号＃４の登録内容について説明する。番号＃４には、第１制御サーバ（第１ＣＳ）５におけるＩｏＴ機器３ｂに対する操作要求情報が登録されている。番号＃４では、制御サーバＩＤ（ＣＳＩＤ）として「第１制御サーバ（第１ＣＳ）」が登録され、機器ＩＤとして「ＩｏＴ機器３ｂ」が登録され、その操作内容として「オフ操作」が登録されている。また、その受付時間として「１０：３０」が登録され、その操作権限として「×」が登録され、その許容時間はブランクとされている。これは、第１制御サーバ５からＩｏＴ機器３ｂに対するオフ操作は、操作要求の受付時間に関わらず許容されないという内容を示している。

ＩｏＴ機器３に対するアクセスの認可要求を許容する場合には、判定結果としてその旨が第２制御サーバ６に出力される。この場合、認可要求判定処理部７２２は、機器アクセス認可要求に含まれる操作要求に基づいて認可情報を生成する。より具体的にいうと、認可要求判定処理部７２２は、機器アクセス認可要求に含まれる操作要求に対して、認可サーバ７の秘密鍵による署名を行うことで認可情報を生成する。認可サーバ７から第２制御サーバ６に出力される判定結果には、生成された認可情報が付加された操作要求（以下、適宜「認可情報付き操作要求」という）が含まれる。認可情報付き操作要求は、認可済み操作要求と呼んでもよい。この判定結果を受け取ると、第２制御サーバ６は、ＩｏＴ機器３に対して操作要求を出力することが可能となる。一方、ＩｏＴ機器３に対するアクセスの認可要求を許容しない場合には、判定結果としてその旨が第２制御サーバ６に出力される。この場合、第２制御サーバ６は、ＩｏＴ機器３に対して操作要求を出力することはできない。ここでは、ＩｏＴ機器３に対するアクセスの認可要求が許容されるものとする。

認可サーバ７からＩｏＴ機器３に対するアクセスの認可要求を許容する旨の判定結果を受け取ると、第２制御サーバ６は、その判定結果に含まれる認可情報付き操作要求を抽出し、ＩｏＴ機器３に対して当該認可情報付き操作要求を出力する（ＳＴ６０７）。第２制御サーバ６では、操作要求処理部５２３がブローカ通信５３１を介してこの認可情報付き操作要求をＩｏＴ機器３に出力する。

ここで、第２制御サーバ６から認可情報付き操作要求を受け取ったブローカ４における処理について説明する。この場合、ブローカ４は、第２制御サーバ６から認可情報付き操作要求を内容に含むメッセージ（操作要求メッセージ）を受け取る。メッセージを受け取ると、ブローカ４は、当該メッセージに含まれるトピックを識別し、そのトピックに応じた配信先にメッセージを配信する。ここでは、トピックに、配信対象となるＩｏＴ機器３を識別する内容が含まれる。ブローカ４は、トピックを識別することで、配信先としてＩｏＴ機器３を特定し、メッセージをＩｏＴ機器３に配信する。

このとき、ブローカ４では、制御サーバ通信部４３１が第２制御サーバ６から操作要求メッセージを受信する。トピック識別処理部４２１が操作要求メッセージに含まれるトピックを識別する。トピック識別処理部４２１は、トピック記憶部４１２に記憶されたトピック情報に基づいてトピックを識別する。メッセージ配信処理部４２２は、トピック識別処理部４２１が識別したトピックに応じてメッセージの配信先を決定する。機器通信部４３３は、メッセージ配信処理部４２２が決定したメッセージの配信先であるＩｏＴ機器３に操作要求メッセージを送信する。

ブローカ４を介して第２制御サーバ６から認可情報付き操作要求（操作要求メッセージ）を受信すると、ＩｏＴ機器３は、当該認可情報付き操作要求に対する許否の判定処理（操作許否判定処理）を行う（ＳＴ６０８）。この操作許否判定処理において、操作許否判定処理部３３２は、操作要求メッセージに含まれる認可情報を検証する。ここでは、操作要求メッセージに含まれる認可情報を、認可サーバ７の公開鍵で検証することにより、認可情報の有効性を検証する。

ここでは、操作許否判定処理の判定結果として、ＩｏＴ機器３に対する操作要求を許容するものとする。操作要求を許容する場合、ＩｏＴ機器３は、ＳＴ６０７の操作要求で指定された操作（要求操作）を実行する（ＳＴ６０９）。ＩｏＴ機器３では、操作実行処理部３２３により要求操作が実行される。ＳＴ６０９で要求操作を実行した後、ＩｏＴ機器３は、その実行で取得したデータ、或いは、実行の完了を第２制御サーバ６に出力する。例えば、上述した一例によるオフ操作の場合には、オフ操作の完了が第２制御サーバ６に出力される。なお、これらの実行データ又は実行完了を示すメッセージに対するブローカ４の配信処理については、登録要求を認可サーバ７に配信する場合と同様であるため、説明を省略する。操作要求に応じてデータやメッセージをＩｏＴ機器３から第２制御サーバ６が受信すると、第２制御サーバ６からＩｏＴ機器３を操作する際の一連の動作が完了する。

このように機器制御システム１においては、制御サーバ（例えば、第２制御サーバ６）がＩｏＴ機器３の操作要求を出力する場合には、事前に機器アクセス認可要求を認可サーバ７に出力する（ＳＴ６０５）。認可サーバ７では、この機器アクセス認可要求に伴って、ＩｏＴ機器３へのアクセス認可要求の許否が判定されると共に、操作要求情報テーブルに操作要求情報が登録される（ＳＴ６０６：認可要求判定処理）。その上で、操作要求に対して認可情報を生成すると共に、この認可情報を付与した操作要求（認可情報付き操作要求）を制御サーバに返送する。ＩｏＴ機器３へのアクセス認可要求が許容された後、制御サーバから操作要求を受けると（ＳＴ６０７）、ＩｏＴ機器３において認可情報の有効性を検証することによって、制御サーバからのＩｏＴ機器３に対する操作要求の許否が判定される（ＳＴ６０８）。これにより、認可サーバ７により生成された認証情報が含まれていない制御サーバからの操作要求に応じてＩｏＴ機器３で要求操作が実行される事態が回避されるので、正当な権限を有しない制御サーバによってＩｏＴ機器３が制御される事態を防止することができる。

また、認可サーバ７では、制御サーバからの操作要求に応じて当該制御サーバのＩｏＴ機器３に対する操作権限の有無を操作要求情報テーブルに登録している（図９参照）。そして、制御サーバから機器アクセス認可要求を受け付けると、制御サーバに設定された操作権限の有無に応じて認可情報の生成の有無を判定している。これにより、操作要求情報テーブルに登録された制御サーバに設定された操作権限に応じて認可情報の生成が決定されるので、正当な権限を有しない制御サーバによってＩｏＴ機器３が制御される事態を効果的に防止することができる。

さらに、認可サーバ７では、制御サーバからの操作要求に応じて当該制御サーバのＩｏＴ機器３に対する操作要求の許容時間を操作要求情報テーブルに登録している（図９参照）。この許容時間に関する情報を制御サーバの操作要求に対する認可情報に含めることによって、操作要求情報テーブルに登録された、制御サーバに設定された許容時間に限って操作要求の実行が許容されるので、ＩｏＴ機器３の遠隔操作を許容する場合であっても、その安全性を向上することができる。

さらに、認可サーバ７では、操作要求を認可サーバ７の秘密鍵により暗号化することで認可情報を生成する一方、ＩｏＴ機器３にて、認可サーバ７の公開鍵を用いて認可情報の有効性を検証している。これにより、第三者によるなりすましや操作要求情報に対する改竄を防止することができるので、正当な権限を有しない制御サーバによってＩｏＴ機器３が制御される事態を確実に防止することができる。

なお、本発明は上記実施の形態に限定されず、種々変更して実施することが可能である。上記実施の形態において、添付図面に図示されている構成要素の大きさや形状、機能などについては、これに限定されず、本発明の効果を発揮する範囲内で適宜変更することが可能である。その他、本発明の目的の範囲を逸脱しない限りにおいて適宜変更して実施することが可能である。

例えば、上記実施の形態では、機器制御システム１がＭＱＴＴプロトコルに従ってＩｏＴ機器３を制御する場合について説明している。しかしながら、ＩｏＴ機器３を制御する際の通信プロトコルは、これに限定されない。例えば、ＭＱＴＴプロトコルのように、非同期で通信制御を行うと共に、ブローカ４などの単一の制御装置で制御対象機器の認証を行う任意の通信プロトコルに適用することができる。

また、上記実施の形態では、ＩｏＴ機器３がブローカ４を介して認可サーバ７と通信を行う場合について説明している。しかしながら、認可サーバ７に対するＩｏＴ機器３の通信方法については、これに限定されるものではなく適宜変更が可能である。例えば、ＩｏＴ機器３は、ブローカ４を介在させることなく直接的に認可サーバ７と通信を行うような態様であってもよい。

さらに、上記実施の形態では、認可サーバ７にて、操作要求を認可サーバ７の秘密鍵で暗号化することで認可情報を生成する場合について説明している。しかしながら、認可情報の内容についてはこれに限定されるものではなく適宜変更が可能である。例えば、メッセージ認証コードを認可情報として利用することも可能である。この場合、ＩｏＴ機器３は、検証情報として、認可サーバ７との間で共有する秘密鍵を取得する。ＩｏＴ機器３は、この認可サーバ７と共有する秘密鍵によって認可情報であるメッセージ認証コードの有効性を検証することができる。

本発明の機器制御システム及びＩｏＴ機器操作方法は、正当な権限を有しない制御サーバによって制御対象機器が制御される事態を確実に防止することができる効果を有するものであり、あらゆるＩｏＴ機器が接続される任意のネットワークに好適である。

１ ：機器制御システム
２ ：インターネット
３、３ａ〜３ｎ：ＩｏＴ機器
３１ ：記憶部
３１１ ：機器プログラム記憶部
３２ ：処理部
３２１ ：登録要求処理部
３２２ ：操作許否判定処理部
３２３ ：操作実行処理部
３３ ：通信部
３３１ ：ブローカ通信部
４ ：ＭＱＴＴブローカ（ブローカ）
４１ ：記憶部
４１１ ：ブローカプログラム記憶部
４１２ ：トピック記憶部
４２ ：処理部
４２１ ：トピック識別処理部
４２２ ：メッセージ配信処理部
４３ ：通信部
４３１ ：制御サーバ通信部
４３２ ：認可サーバ通信部
４３３ ：機器通信部
５ ：第１制御サーバ
５１ ：記憶部
５１１ ：制御サーバプログラム記憶部
５１２ ：制御対象情報記憶部
５２ ：処理部
５２１ ：登録要求処理部
５２２ ：認可要求処理部
５２３ ：操作要求処理部
５３ ：通信部
５３１ ：ブローカ通信部
５３１ ：ブローカ通信
５３２ ：認可サーバ通信部
６ ：第２制御サーバ
７ ：認可サーバ
７１１ ：認可サーバプログラム記憶部
７１２ ：判定情報記憶部
７１ ：記憶部
７２ ：処理部
７２１ ：登録処理部
７２２ ：認可要求判定処理部
７３ ：通信部
７３１ ：ブローカ通信部
７３２ ：制御サーバ通信部

Claims (5)

1. ＭＱＴＴ（Message Queue Telemetry Transport）プロトコルに従って通信を行う制御対象機器を制御可能な機器制御システムであって、
   前記制御対象機器を制御する制御サーバと、
   前記制御サーバによる前記制御対象機器に対する制御の許否を判定する認可サーバと、を具備し、
   前記認可サーバは、前記制御サーバからの前記制御対象機器に対する制御要求に対して認可情報を生成して返送し、
   前記制御対象機器は、前記制御サーバから前記制御要求及び認可情報を受け付けた場合に前記認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定することを特徴とする機器制御システム。
2. 前記認可サーバは、前記制御サーバの前記制御対象機器に対する制御権限の有無に応じて前記認可情報の生成の有無を判定することを特徴とする請求項１に記載の機器制御システム。
3. 前記認可サーバは、前記制御サーバからの前記制御要求に応じて当該制御サーバの前記制御対象機器に対する制御許容時間を設定し、当該制御許容時間を前記認可情報に含めることを特徴とする請求項１又は請求項２に記載の機器制御システム。
4. 前記認可サーバは、前記制御要求を前記認可サーバの秘密鍵により暗号化することで前記認可情報を生成し、
   前記制御対象機器は、前記認可サーバの公開鍵を用いて前記認可情報の有効性を検証することを特徴とする請求項１から請求項３のいずれかに記載の機器制御システム。
5. ＭＱＴＴ（Message Queue Telemetry Transport）プロトコルに従って通信を行う制御対象機器を制御する制御サーバと、前記制御サーバによる前記制御対象機器に対する制御の許否を判定する認可サーバとを用いた機器制御方法であって、
   前記認可サーバにて、前記制御サーバからの前記制御対象機器に対する制御要求に対して認可情報を生成して返送するステップと、
   前記制御対象機器にて、前記制御サーバから前記制御要求及び認可情報を受け付けた場合に前記認可情報の有効性を検証し、その検証結果に応じて当該制御要求で指示された制御の実行の許否を判定するステップと、
   を有することを特徴とする機器制御方法。

Images