JP2023072935A - 遠隔操作方法、遠隔操作システム及び回線接続機器 - Google Patents

Abstract

【課題】より安全な遠隔操作を実現できる遠隔操作方法、遠隔操作システム、回線接続機器及びコンピュータプログラムを提供する。【解決手段】遠隔操作方法は、回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、回線接続機器が保有する認証情報を遠隔操作端末に記録し、回線接続機器は、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する。【選択図】図１

Description

本発明は、遠隔操作方法、遠隔操作システム、回線接続機器及びコンピュータプログラムに関する。

インターネットの進展により、遠隔操作を利用したシステムやサービスが増大している。遠隔操作により、物理的に離れた場所に存在する端末装置を使って、遠隔地に存在する遠隔操作対象装置を操作することができる。

特許文献１には、ユーザが使用するクライアント端末、サポート側の会話オペレータ端末及び技術オペレータ端末を備え、会話オペレータ端末は、技術オペレータ端末による遠隔操作が行われる際に、ユーザからの要求の内容に応じて、クライアント端末が技術オペレータ端末から遠隔操作を受け付ける範囲をクライアント端末に設定することにより、技術オペレータによる悪意のある操作を低減できる遠隔操作システムが開示されている。

特開２０１６－２１３７５３号公報

遠隔操作システムでは、ユーザＩＤ及びパスワードを用いてシステムにログインするのが一般的である。しかし、インターネットの広がりで、何時でも、どこからでも遠隔操作を利用したシステムやサービスを利用することができ、利便性が向上する反面、ハッキング対策が難しく、あるいは高コストになる。このため、攻撃者が不正な遠隔操作を行うことにより、遠隔操作対象装置の予期しない挙動や、内部データの盗難など様々なセキュリティ上の問題が発生する可能性がある。

また、コンピュータ技術の進展により、パスワード攻撃が非常に短時間で成功することが周知の事柄になっている。例えば、６桁のパスワードなら１秒未満で突破可能である記事が発表されている。パスワード攻撃に対する具体的防御策の一つとして、バイオ認証に再びスポットライトがあてられている。しかし、遠隔操作においては遠隔操作可能な端末装置にしか適用できないだけでなく、バイオ認証によって正しい端末装置を使用して、操作できる権限のある人物が操作していることを担保できても、通信経路上でデータを改ざんされ、あるいは中間者攻撃をされると防御できないのは周知の事実である。

本発明は、斯かる事情に鑑みてなされたものであり、より安全な遠隔操作を実現できる遠隔操作方法、遠隔操作システム、回線接続機器及びコンピュータプログラムを提供することを目的とする。

本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、遠隔操作方法は、回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記回線接続機器が保有する認証情報を前記遠隔操作端末に記録し、前記回線接続機器は、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する。

本発明によれば、より安全な遠隔操作を実現できる。

本実施の形態の遠隔操作システムの構成の一例を示す図である。 回線接続機器の構成の一例を示す図である。 遠隔操作端末の構成の一例を示す図である。 遠隔操作端末への認証情報の登録の一例を示す図である。 認証情報の登録処理の第１例を示すフロー図である。 認証情報の登録処理の第２例を示すフロー図である。 遠隔操作端末の認証の可否判定の第１例を示す図である。 遠隔操作端末の認証の可否判定の第２例を示す図である。 共通鍵による秘匿通信路開設処理のフロー図である。 回線接続機器による認定可否の判定処理を示すフロー図である。 認証条件の一例を示す図である。 遠隔操作端末の認証の可否判定の第３例を示す図である。 遠隔操作端末を管理するためのデータベースの一例を示す図である。

以下、本発明の実施の形態を説明する。図１は本実施の形態の遠隔操作システムの構成の一例を示す図である。遠隔操作システムは、回線接続機器５０、及び１台以上の遠隔操作対象装置としての制御装置３０を備える。遠隔操作端末１０は、回線接続機器５０を介して、制御装置３０を遠隔操作するための端末である。遠隔操作端末１０は、例えば、ユーザが携帯するスマートフォンやタブレット、パーソナルコンピュータなどの通信端末であり、回線接続機器５０に対して、１台以上存在してもよい。管理サーバ１００は、遠隔操作端末１０による遠隔操作ログ、回線接続機器５０の処理内容などを記録して遠隔操作を管理することができる。回線接続機器５０、遠隔操作端末１０、及び管理サーバ１００は、インターネットなどの通信ネットワークを介して接続されている。

本実施の形態の遠隔操作システムでは、制御装置３０が収集した情報を、回線接続機器５０を通じて、遠隔操作端末１０に伝達することができる。遠隔操作端末１０を操作するユーザは、制御装置３０に対する遠隔操作の必要性が生じると、遠隔操作が許可された遠隔操作端末１０のみが、制御装置３０に対して遠隔操作を行うことができる。

回線接続機器５０は、例えば、終端接続装置の類であるルーター（例えば、固定ルーターだけでなく、管理されたモバイルルーターを含む）、ゲートウェイ装置、ターミナル装置などを含む。回線接続機器５０は、回線接続機能を備えている機器であればよく、回線接続機器５０と同一のネットワークに分割してサブネット化されている機器（回線接続機能を有する）であってもよい。回線接続機器５０は、回線事業者又はサービス事業者によって設置された場所が通常は管理されている。回線事業者は、ユーザがインターネットに接続する際の回線（電話線や光ファイバーなど）を提供する事業者である。サービス事業者は、インターネット上で様々なサービスを提供する事業者が含まれる。

回線接続機器５０の設置場所は、回線事業者によって管理されてもよく、サービス事業者又は生活者がサービス事業者に登録申請した業者によって管理されてもよい。すなわち、回線事業者又はサービス事業者は、個人や企業などの契約者との間の契約に基づき、個人の家や企業のオフィスや工場などに回線接続機器５０を配送する。配送された回線接続機器５０は、回線事業者又はサービス事業者によって管理された設置場所である、契約者の家やオフィス、工場などに（固定）設置される。回線接続機器５０は、住所が特定された場所に設置される。これにより、回線接続機器５０は、ユーザの氏名及び住所を含む、契約内容によって特定される使用者情報を確定することができる「モノ」としての機能を果たすことができる。

本明細書において、回線接続機器５０は、一つの回線接続機器５０を意味するのみならず、回線接続機器群を意味するものとする。すなわち、回線接続機器５０が複数の機器に分割された機器群なるものも含むだけでなく、回線接続器５０の配下に接続された回線接続器、例えば固定ルーター、モバイルルーターやゲートウェイ装置、ターミナル装置も含むものとする。また、回線接続機器５０は、車両などの移動体に搭載され、車内通信ネットワークと車外通信ネットワークとを中継する通信機能を備えるものでもよい。

制御装置３０は、回線接続機器５０と接続されている。制御装置３０と回線接続機器５０とは、直結、有線通信、無線通信又はその他の通信技術により、プライベートＩＰアドレスなどを使って通信可能な状態になっている。回線接続機器５０の限定された通信エリアＳとは、インターネットなどの通信ネットワーク１が、世界中のどこからでも通信エリアに制限なく通信が可能である状態と区別する意味で、限定的な通信エリアであることを表現するものである。制御装置３０は、スマートホーム、スマートファクトリ、スマート農場、医療現場などのあらゆる業界において、省人力、省力化、リアルタイム応答、又は安全性を向上させるために、遠隔操作によって操作されるデバイスや装置を含む。制御装置３０は、例えば、企業（オフィスや工場など）で使用される、カメラ、センサ、ロボット、ＩｏＴデバイスでもよく、家庭で使用される家電製品などでもよい。

図２は回線接続機器５０の構成の一例を示す図である。回線接続機器５０は、回線処理部５１、認証処理部５２、秘匿通信処理部５３、認証情報記録処理部５４、ＣＰＵ５５、メモリ５６、及びネットワーク通信部５７を備える。認証処理部５２は、認証情報生成処理部５２１、及び認証可否判定処理部５２２を備える。秘匿通信処理部５３は、分散データ生成処理部５３１、及び共通鍵生成処理部５３２を備える。なお、分散データ生成処理部５３１、及び共通鍵生成処理部５３２を備える秘匿通信処理部５３は、必須の構成ではない。

ＣＰＵ５５は、メモリ５６に展開されたアプリケーションを実行することにより、回線接続機器５０全体の制御を行う。回線処理部５１は、ルーティングなどの経路の選択処理を実行する。ネットワーク通信部５７は、制御装置３０との間の通信機能、遠隔操作端末１０及び管理サーバ１００との間の通信機能を実行する。

制御装置３０と、遠隔操作端末１０が、ネットワークを介して直接データのやり取りが可能となるように実装されている場合、回線接続器５０が制御装置３０に内包されている関係になる。この場合、１個以上のＣＰＵで構成される。回線接続機器５０と制御装置３０とは、一体化して１つの装置として構成してもよいが、以下では、回線接続機器５０と制御装置３０とが、別個の装置として構成されているものとして説明する。

認証処理部５２は、遠隔操作端末１０が、制御装置３０に対する遠隔操作を行う際に、遠隔操作端末１０を認証する。認証が成功すれば遠隔操作を許可し、認証が成功しない場合には、遠隔操作を許可しない。

認証情報記録処理部５４は、記録処理部としての機能を有し、回線接続機器５０の限定された通信エリアＳ内に遠隔操作端末１０が存在する場合に、遠隔操作端末１０に配信した認証情報を記録することができる。認証情報は、秘密情報や秘匿情報、あるいはこれらの情報を加工して得られた情報も含む。認証情報の記録の詳細は後述する。

認証情報生成処理部５２１は、所要の情報（例えば、回線接続機器５０の固有情報でもよく、制御装置３０の固有情報などでもよい。）に対して所定の演算処理を行うことにより、認証情報を生成することができる。認証情報記録処理部５４は、遠隔操作端末１０が、回線接続機器５０の限定された通信エリアＳ内に存在するという条件の下で、認証情報を遠隔操作端末１０に記録する。記録される認証情報は、回線接続機器５０がメモリ５６に予め記憶した認証情報、認証情報生成処理部５２１が生成した認証情報、あるいは通信エリアＳ内に存在する遠隔操作端末１０から取得した認証情報、装置に装着可能なＳＩＭ等に記録されている情報、あるいは各装置が生成する乱数値のいずれでもよい。

認証可否判定処理部５２２は、判定部としての機能を有し、認証対象の遠隔操作端末１０から制御装置３０に対する遠隔操作を受け付けた場合、所定のアルゴリズムを用いて、遠隔操作端末１０が認証情報を記録又は記憶しているか否かに応じて認証の可否を判定することができる。

秘匿通信処理部５３は、回線接続機器５０と遠隔操作端末１０との間に秘匿通信路を開設することができる。秘匿通信路の例を２つ挙げるが、これら以外も可能であり、これら両方を用いることもできる。第１の手法は、特許第６８６３５１４号に記載された手法であり、秘密情報を用いて共通鍵を生成して暗号化・復号するものである。第２の手法は、グローバルＩＰアドレスを使わずに、回線接続機器５０がプライベートＩＰアドレスで運用されている場合で、プライベートＩＰアドレスを使って通信を行うものである。まず、第１の手法について説明する。

分散データ生成処理部５３１は、予め共有した共有情報を所定の暗号方式で暗号化して複数の分散情報を生成する。なお、遠隔操作端末１０においても、同様の機能を用いて複数の分散情報を生成する。

共通鍵生成処理部５３２は、分散データ生成処理部５３１で生成した複数の分散情報の一部を用いて共通鍵を生成する。なお、遠隔操作端末１０においても、同様の機能を用いて共通鍵を生成する。これ以降、共通鍵を用いて、回線接続機器５０と遠隔操作端末１０との間の秘匿通信を実現できる。これにより、遠隔操作端末１０と回線接続機器５０との間の通信のセキュリティを向上させることができる。なお、第１の手法の詳細は後述する。

第２の手法は、例えば、インターネットＶＰＮ（Virtual Private Network）を用いることができる。不図示の通信ネットワーク管理サーバは、管理対象としている遠隔操作端末１０及び回線接続機器５０のグローバルＩＰアドレスとプライベートＩＰアドレスの対の管理を実施しているため、遠隔操作端末１０と回線接続機器５０との間のインターネットＶＰＮを構築することができる。または、出願人が出願した、ＰＣＴ／ＪＰ２０１７／００６１３１に記載の仕組みを用いてもよい。例えば、回線接続機器５０と遠隔操作端末１０は、屋内と屋外という具合に異なるＩＰアドレス空間に存在するが、通信ネットワーク管理サーバが管理しているＩＰアドレスを用いたＰ２Ｐ通信を行うことができる。これにより、遠隔操作端末１０と回線接続機器５０との間の通信のセキュリティを向上させるとともに、遠隔操作端末１０は、プライベートＩＰアドレスを使って、インターネット経由で、プライベートＩＰアドレスの回線接続機器５０にアクセスすることができる。

図３は遠隔操作端末１０の構成の一例を示す図である。遠隔操作端末１０は、端末全体を制御する制御部１１、通信部１２、記憶部１３、表示パネル１４、操作部１５、遠隔操作処理部１６、及び秘匿通信処理部１７を備える。制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）などで構成することができる。

通信部１２は、所要の通信モジュール等で構成され、通信ネットワーク１を介して回線接続機器５０、及び管理サーバ１００との間の通信機能を提供する。

記憶部１３は、半導体メモリ等で構成することができ、所要の情報を記憶することができる。記憶部１３は、遠隔操作端末１０上で動作する遠隔操作アプリ（コンピュータプログラム）を記憶し、当該遠隔操作アプリを制御部１１で実行することができる。

表示パネル１４は、液晶パネル又は有機ＥＬ（Electro Luminescence）ディスプレイ等で構成することができる。

操作部１５は、例えば、表示パネル１４に組み込まれたタッチパネルで構成することができ、ユーザが表示パネル１４上で行う所定の操作を行うことができる。また、操作部１５は、表示パネル１４に表示したキ－ボード上の操作を行うことができる。なお、操作部１５は、ハードウェアキーボード、マウスなどでもよい。

遠隔操作処理部１６は、回線接続機器５０を介して、制御装置３０に対する遠隔操作を行う。遠隔操作処理部１６は、例えば、操作部１５で受け付けた操作に基づいて、制御装置３０に対する指令を生成し、生成した指令を、回線接続機器５０を介して制御装置３０へ送信することができる。

秘匿通信処理部１７は、回線接続機器５０の秘匿通信処理部５３と同様の機能を有するので、説明は省略する。

次に、遠隔操作端末１０への認証情報の登録（記録）について説明する。

図４は遠隔操作端末１０への認証情報の登録の一例を示す図である。遠隔操作端末１０を回線接続機器５０に接続するためには、遠隔操作端末１０を回線接続機器５０の限定された通信エリアＳ内（例えば、Ｗｉ－Ｆｉ（登録商標）、ブルートゥース（登録商標）、又はローカル５Ｇなどの通信範囲内）に持ち込んで、Ｗｉ－Ｆｉの場合は、回線接続機器５０のＳＳＩＤ（Service Set Identifier）とパスワードを遠隔操作端末１０に入力する必要がある。ＳＳＩＤとパスワードとの組が正しい場合、ＳＳＩＤに紐づいたパスワードが遠隔操作端末１０に記録されて登録される。このパスワードを認証情報とすることもできる。認証情報が記録済みの場合は、回線接続機器５０と遠隔操作端末１０の間で回線が自動接続される。ＳＳＩＤは遠隔操作端末１０で複数保有することができ、選択して使用することも可能である。

上記状態の時に、回線接続機器５０は、認証情報を生成し、生成した認証情報を遠隔操作端末１０が、上記回線を通じて記録する。認証情報の生成例であるが、任意の情報（パスワードを含めてもよい）を、限定された通信エリアＳ内で通信を確立した日付情報と時間、回線接続機器５０のシリアル番号、ＧＰＳ、ＣＰＵが保持するＣＰＵ毎の固有情報などの情報を元に所要のアルゴリズムで演算した結果得られた情報を認証情報としてもよい。また、任意の情報（パスワードを含めてもよい）からハッシュ演算で求めた情報を認証情報としてもよい。なお、認証情報の生成方法は、これらに限定されるものではなく、他の手法（ＳＩＭ等の利用）を用いてもよい。

上述の構成により、遠隔操作の際に必要となる通信において、遠隔操作に使用する遠隔操作端末１０が、実際に回線接続機器５０の限定された通信エリアＳ内に存在する、あるいは存在したことによってのみ、認証情報を遠隔操作端末１０に登録することができることが保証される。このように、本実施の形態では、遠隔操作を行うことができる遠隔操作端末１０の認証情報を記憶もしくは記録しているかという判断を回線接続機器５０の認証回避判定処理部５２２で制限することができるので、どの端末からでも遠隔操作できるという事態を防止できる。遠隔操作可能な端末（遠隔操作端末１０）は、回線接続機器５０の限定された通信エリアＳ内に、あるタイミングで存在していて、かつ認証情報を記録若しくは保有していなければならないという事になる。もちろん、遠隔操作は、通信エリアＳ内からも可能であるが、一般的な利用方法は、通信エリアＳを外れた遠隔から操作となる。

ＰＣ（パーソナルコンピュータ）で用意されているリモートログインなどによる遠隔操作は、接続先のデバイス情報、ユーザＩＤ及びパスワードだけで行うことができる。インターネットを通じて、どこからでも遠隔操作を行う方法では、利便性が良い反面、いたるところに攻撃ポイントが存在し得るため、ハッキング対策が難しく、またセキュリティを向上させるには高コストになるという欠点がある。しかし、本実施の形態では、遠隔操作を許可する遠隔操作端末を登録する段階で、接続先の回線接続機器５０から認証情報を受け取るとともに、認証情報を受け取ることができるエリアが「限定された通信エリアＳ」に限定される。これにより、通信エリアＳへの立ち入りを管理／把握／制限できる管理者が関与しない間に認証情報が登録されることを防止することができる。また、管理された場所に設置された回線接続機器５０の限定された通信エリアＳ内に入ることにより、遠隔操作端末１０に認証情報が登録（記憶／記録）されるので、所持不明な端末の登録を防止することができ、その結果、従来手法で用いられていた認証用トークン（ＵＳＢトークンやＩＣカードなど）の配布とそのメンテナンス（認証トークンの更新のみならず、このトークンの転貸、紛失対策）が不要となり、より安全に遠隔操作を行うことができる。

図５は認証情報の登録処理の第１例を示すフロー図である。遠隔操作端末１０は、回線接続機器５０の限定された通信エリアＳ内に存在する場合に、ユーザの操作に応じて、回線接続機器５０のＳＳＩＤ、パスワードを受け付け（Ｓ１）、受け付けたＳＳＩＤ、パスワードを回線接続機器５０へ送信する（Ｓ２）。回線接続機器５０は、送信されたＳＳＩＤ、パスワードが正しい情報であるか認証し（Ｓ３）、認証が成功した場合、認証情報を遠隔操作端末１０へ送信する（Ｓ４）。認証が成功しない場合、認証情報を遠隔操作端末１０へ送信することなく、処理を終了する。遠隔操作端末１０は、認証情報を受信し、記憶部１３に記録する（Ｓ５）。これにより、認証情報が遠隔操作端末１０に登録される。

図６は認証情報の登録処理の第２例を示すフロー図である。遠隔操作端末１０は、回線接続機器５０の限定された通信エリアＳ内に存在する場合に、ユーザの操作に応じて、回線接続機器５０のＳＳＩＤ、パスワードを受け付け（Ｓ１１）、受け付けたＳＳＩＤ、パスワードを回線接続機器５０へ送信する（Ｓ１２）。回線接続機器５０は、送信されたＳＳＩＤ、パスワードが正しい情報であるか認証し（Ｓ１３）、認証が成功した場合、認証情報を生成する（Ｓ１４）。認証が成功しない場合、認証情報を生成することなく、処理を終了する。回線接続機器５０は、生成した認証情報を遠隔操作端末１０へ送信する（Ｓ１５）。遠隔操作端末１０は、認証情報を受信し、記憶部１３に記録する（Ｓ１６）。これにより、認証情報が遠隔操作端末１０に登録される。

遠隔操作端末１０は、遠隔操作端末１０の固有情報で認証情報を暗号化して記憶部１３に記憶してもよい。

図７は遠隔操作端末１０の認証の可否判定の第１例を示す図である。遠隔操作端末Ａ、Ｂが、通信ネットワーク１を介して遠隔操作のための通信を行うとする。遠隔操作端末Ａには、図４で例示したような方法により、認証情報が登録されている（認証情報あり）。一方、遠隔操作端末Ｂには、認証情報が登録されていない（認証情報なし）。回線接続機器５０は、グローバルＩＰアドレスで運用され、遠隔操作端末Ａから遠隔操作を受け付けた場合、遠隔操作端末Ａには認証情報が登録されているので、認証可と判定する。また、回線接続機器５０は、遠隔操作端末Ｂから遠隔操作を受け付けた場合、遠隔操作端末Ｂには認証情報が登録されていないので、認証不可と判定する。

上述のように、回線接続機器５０は、限定された通信エリアＳ外に存在する遠隔操作端末１０から遠隔操作を受け付けた場合、遠隔操作端末１０が認証情報を記録しているか否かに応じて認証の可否を判定することができる。なお、遠隔操作端末１０が限定された通信エリアＳ内に存在する場合も、遠隔操作端末１０は認証情報を、記憶もしくは記録しているので、認証の可否判定は可能である。

このように、本実施の形態では、遠隔操作を行うことができる遠隔操作端末１０を認証情報が登録された遠隔操作端末１０に制限することができ、遠隔地のどの遠隔操作端末からでも遠隔操作できるという事態を防止できる。すなわち、悪意ある遠隔操作攻撃（例として中間者攻撃など）を簡単に阻止できるという事になる。これらの攻撃者は、限定された通信エリアＳに、遠隔操作端末１０を所持して侵入できないからである。

図８は遠隔操作端末１０の認証の可否判定の第２例を示す図である。図７に示す第１例との違いは、回線接続機器５０と遠隔操作端末１０との間に秘匿通信路２を開設する点である。なお、秘匿通信路２の開設は、遠隔操作端末１０が認証要求を回線接続機器５０に送信する時点以前に行うこともできるが、秘匿通信路２の開設は、適宜の時点でもよい。

図９は共通鍵による秘匿通信路開設処理のフロー図である。遠隔操作端末１０における処理は、秘匿通信処理部１７によって行われ、回線接続機器５０における処理は、秘匿通信処理部５３によって行われる。遠隔操作端末１０は、予め共有情報Ｑを記憶し（Ｓ２１）、回線接続機器５０も同様に共有情報Ｑを記憶している（Ｓ２２）。共有情報Ｑの一例は、回線接続機器５０のシリアル番号、型式番号、製造年月日などの固有情報から所定の演算アルゴリズムで生成された情報とすることができる。共有情報を遠隔操作端末１０と回線接続機器５０とで共有する方法としては、例えば、限定された通信エリアＳ内で、認証情報を遠隔操作端末１０に登録する際に共有情報も記録すればよい。共有情報Ｑの他の例は、限定された通信エリアＳ内で、やり取りした認証情報自身から、所定のアルゴリズムを用いて得た結果を共有情報Ｑとしてもよい。さらなる例として、遠隔操作端末１０のシリアル番号、型式番号、製造年月日などの固有情報から所定の演算アルゴリズムで生成された情報とすることができる。この共有情報Ｑは、限定された通信エリアＳ内で、やり取りする。

遠隔操作端末１０は、鍵生成要求を回線接続機器５０へ送信する（Ｓ２３）。回線接続機器５０は、乱数Ｒを生成し（Ｓ２４）、生成した乱数Ｒを遠隔操作端末１０に送信することにより、乱数Ｒを共有する（Ｓ２５）。遠隔操作端末１０は、所定の暗号方式を用いて、乱数Ｒを暗号鍵として分散情報Ｑ１、Ｑ２を生成し（Ｓ２６）、回線接続機器５０は、所定の暗号方式を用いて、乱数Ｒを暗号鍵として分散情報Ｑ１、Ｑ２を生成する（Ｓ２７）。分散情報Ｑ１、Ｑ２は、共有情報Ｑを暗号鍵（乱数Ｒ）で暗号化し、暗号化したデータを取り決めた分割ルールで分割（断片化）したものでもよく、あるいは、共有情報Ｑを乱数Ｒで暗号化しながら分散したもの（分散された暗号化データ及び暗号化して分割データの中に分散して紛れ込ませた鍵情報）でもよい。また、分散情報の数は２に限定されるものではなく、３以上でもよい。

遠隔操作端末１０は、生成された複数の分散情報Ｑ１、Ｑ２の一部の分散情報Ｑ１から共通鍵を生成し（Ｓ２８）、回線接続機器５０も、生成された複数の分散情報Ｑ１、Ｑ２の一部の分散情報Ｑ１から共通鍵を生成する（Ｓ２９）。遠隔操作端末１０と回線接続機器５０とは、生成した共通鍵で通信内容を暗号化・復号することにより、秘匿通信路を開設する（Ｓ３０）。これにより、遠隔操作端末１０と回線接続機器５０との間の通信のセキュリティを向上させることができる。同時に、回線接続機器５０と遠隔操作端末１０とで生成した共通鍵が同じであり、認証も行えたことになる点も重要である。

図１０は回線接続機器５０による認定可否の判定処理を示すフロー図である。回線接続機器５０における処理は、主に認証処理部５２により行われるので、以下では、処理の主体を認証処理部５２として説明する。また、遠隔操作端末１０と回線接続機器５０との間は秘匿通信路が開設されているとする。認証処理部５２は、遠隔操作端末１０から認証要求を受信する（Ｓ４１）。認証処理部５２は、認証情報に基づいて認証の可否を判定する（Ｓ４２）。具体的には、遠隔操作端末１０に認証情報が登録されているか否かに応じて認証の可否を判定することができる。

認証処理部５２は、遠隔操作端末１０の利用履歴に関する認証条件に基づいて認証可否を判定するか否かを判定する（Ｓ４３）。すなわち、回線接続機器５０は、遠隔操作端末１０の利用履歴に関する認証条件に基づいて、認証の可否を判定することができる。回線接続機器５０に認証条件を設定する方法は、例えば、ユーザや管理者が遠隔操作端末１０を操作して設定してもよく、管理者が使用する管理端末（不図示）を用いて設定してもよい。利用履歴に関する認証条件の詳細は後述する。

利用履歴に関する認証条件に基づいて認証可否を判定しないと判定した場合（Ｓ４３でＮＯ）、認証処理部５２は、認証情報が登録されていることを以て、認証可と判定し（Ｓ４９）、遠隔操作を開始し（Ｓ５０）、処理を終了する。

利用履歴に関する認証条件に基づいて認証可否を判定すると判定した場合（Ｓ４３でＹＥＳ）、認証処理部５２は、認証条件として、遠隔操作までの時間を充足するか否かを判定する（Ｓ４４）。すなわち、認証条件は、遠隔操作端末１０に認証情報が登録（記録）された時点から遠隔操作端末１０の最初の遠隔操作までの時間を含めることができる。最初の遠隔操作までの時間は、適宜設定することができるが、例えば、１時間、２時間、６時間、１２時間などのように、本利用環境が要求するセキュリティレベルの高低に応じて、または、回線接続器５０と遠隔操作端末１０が離れている距離に応じて、時間の短長を調整できる。例えば、遠隔操作端末１０に認証情報が登録（記録）された時点から遠隔操作端末１０の最初の遠隔操作までの時間を６時間と設定した場合、遠隔操作端末１０の最初の遠隔操作が６時間を超えた場合、認証不可と判定することができる。また、遠隔操作の対象となる制御装置３０のセキュリティレベルに応じて、最初の遠隔操作までの時間を動的に変更してもよい。例えば、複数の制御装置３０毎に、最初の遠隔操作までの時間を設定しておき、遠隔操作端末１０が、いずれの制御装置３０を遠隔操作の対象にするかに応じて、設定した時間を選択的に用いることができる。

遠隔操作までの時間を充足すると判定した場合（Ｓ４４でＹＥＳ）、認証処理部５２は、遠隔操作端末１０が、限定された通信エリアＳ内の存在頻度を充足するか否かを判定する（Ｓ４５）。すなわち、認証条件は、遠隔操作端末１０の、限定された通信エリアＳ内の存在頻度を含めてもよい。存在頻度は、所定期間（例えば、１週間、１か月など）のうち、どれだけの期間の長さ、どれだけの回数だけ通信エリアＳ内にいたかという指標でもよく、あるいは、所定期間の間に、通信エリアＳ内に何回出入りしたか（進入頻度、退出頻度など）という指標でもよい。存在頻度は、適宜設定することができるが、例えば、１週間に７回、１か月に１回などとすることができる。例えば、通信エリアＳ内の存在頻度を１週間に７回と設定した場合に、遠隔操作端末１０の存在頻度が１週間に３回とすると、認証不可と判定することができる。また、本利用環境が要求するセキュリティレベルの高低に応じて、存在頻度の多少を設定することができる。

限定された通信エリアＳ内の存在頻度を充足すると判定した場合（Ｓ４５でＹＥＳ）、認証処理部５２は、認証条件の選定の有無を判定する（Ｓ４６）。すなわち、回線接続機器５０は、複数の認証条件の中から一の認証条件の選択を受け付け、選択された認証条件に基づいて、認証の可否を判定することができる。認証条件の選定は、例えば、前述の存在頻度を、１週間に７回とするか、１か月に１回とするかを選定する。管理者が、複数の遠隔操作端末１０を管理し、それぞれの遠隔操作端末１０を異なるユーザ（例えば、家族や部署の担当者など）が使用する場合、ユーザの属性や居場所などに応じて認証条件を選定することができる。

認証条件の選定がない場合（Ｓ４６でＮＯ）、認証処理部５２は、ステップＳ４９の処理を行う。認証条件の選定がある場合（Ｓ４６でＹＥＳ）、認証処理部５２は、選定された認証条件を充足するか否かを判定する（Ｓ４７）。選定された認証条件を充足する場合（Ｓ４７でＹＥＳ）、認証処理部５２は、遠隔操作があったことを外部へ通知し（Ｓ４８）、ステップＳ４９の処理を行う。すなわち、回線接続機器５０は、遠隔操作端末１０から遠隔操作を受け付けた場合、遠隔操作端末１０に対する認証条件に応じて、遠隔操作を受け付けたことを外部に通知することができる。

例えば、管理者が、あるユーザの遠隔操作端末１０の認証条件としての通信エリアＳ内の存在頻度を、「１週間に７回」から「１か月に１回」に変更するような選定を行った場合に、当該遠隔操作端末１０が、１か月に１回以上、通信エリアＳ内に存在するとき、管理者の端末装置にメール等で通知することができる。これにより、管理者は、あるユーザが保有する遠隔操作端末１０による遠隔操作の状態を把握することが可能となる。

遠隔操作までの時間を充足しない場合（Ｓ４４でＮＯ）、限定された通信エリアＳ内の存在頻度を充足しない場合（Ｓ４５でＮＯ）、認証処理部５２は、認証不可と判定し（Ｓ５１）、処理を終了する。

上述の例では、ステップＳ４４、及びステップＳ４５で認証条件の充足を判定しているが、ステップＳ４４及びステップＳ４５のいずれか一方の処理だけを実施してもよい。

図１１は認証条件の一例を示す図である。図１１に示すような、遠隔操作端末１０毎の認証条件は、回線接続機器５０のメモリ５６に記憶することができる。認証条件のうち、最初の遠隔操作までの時間、通信エリア内の存在頻度は、ユーザ又は管理者が、遠隔操作端末１０又は管理端末（不図示）を操作して設定し、設定した条件を回線接続機器５０へ送信することができる。

図１１に示すように、遠隔操作端末ＩＤ＝１００は、認証情報あり、最初の遠隔操作までの時間が１時間、通信エリア内の存在頻度が７回／週に設定されている。認証条件を厳しくすることにより、遠隔操作端末１０による遠隔操作に関するセキュリティレベルを高くすることができる。遠隔操作端末ＩＤ＝２００は、認証情報あり、最初の遠隔操作までの時間が２４時間、通信エリア内の存在頻度は設定されていない。認証条件を若干緩和することにより、遠隔操作端末１０による遠隔操作に関するセキュリティレベルを中程度にすることができる。また、遠隔操作端末ＩＤ＝３００は、認証情報あり、最初の遠隔操作までの時間は設定されておらず、通信エリア内の存在頻度が１回／月に設定されている。認証条件をさらに緩和することにより、遠隔操作端末１０による遠隔操作に関するセキュリティレベルを低くすることができる。このように、認証条件を適宜設定することにより、遠隔操作端末１０による遠隔操作に関するセキュリティレベルに対応させることができる。なお、認証条件は、図１１の例に限定されない。

前述のように、回線接続機器５０は、メモリ５６に認証情報を保持することにより、遠隔操作端末１０の認証の可否を判定することができる。また、回線接続機器５０は、メモリ５６に保持した認証情報を消去することにより、遠隔操作端末１０の遠隔操作を禁止することができる。例えば、サイバー攻撃などが発生した際の緊急対策として禁止する事が考えられる。遠隔操作端末１０に認証情報が登録された時点から、所定時間以内に遠隔操作をしなければ、回線接続機器５０の当該遠隔操作端末１０に対応する認証情報を消去することにより、遠隔操作端末１０は遠隔操作を行うことができなくなる。これにより、遠隔操作までの時間を制限してセキュリティを強化することができる。

遠隔操作端末１０上で動作する遠隔操作アプリは、回線接続機器５０の限定された通信エリアＳ内に遠隔操作端末１０が存在する場合に、回線接続機器５０から認証情報を受信し、受信した認証情報を記憶部１３に登録（記憶）し、制御装置３０に対する遠隔操作要求と共に記憶部１３に記憶した認証情報を回線接続機器５０へ送信し、送信した認証情報に基づいて回線接続機器５０が認証可と判定した場合、回線接続機器５０を介して制御装置３０を遠隔操作することができる。

図１２は遠隔操作端末１０の認証の可否判定の第３例を示す図である。図８に示す第２例との違いは、遠隔操作端末１０の認証要求に対して、回線接続機器５０に代えて、遠隔対象である制御装置３０が認証可否を判定する点である。この場合、制御装置３０は、認証処理部５２と同様の機能を具備している。

図１３は遠隔操作端末１０を管理するためのデータベースの一例を示す図である。管理サーバ１００は、図１３に示すようなデータベースを生成、更新することができる。データベースは、遠隔操作端末ＩＤ、遠隔操作端末１０の登録エリア、登録日時、初回遠隔操作日時、エリア内存在頻度、遠隔操作ログ、及び認証状態などの項目を含めることができる。登録エリアは、遠隔操作端末１０に認証情報が登録された際の、限定された通信エリアＳである。登録日時は、遠隔操作端末１０に認証情報が登録された日時である。初回遠隔操作日時は、認証情報が登録された後で最初に遠隔操作を行った日時である。エリア内存在頻度は、遠隔操作端末１０の通信エリアＳ内の存在頻度を表す。遠隔操作ログは、遠隔操作端末１０による遠隔操作の履歴情報を含む。認証状態は、認証可の状態、一旦認証可となったが認証条件を充足しなくなって再登録が必要である状態などを含む。

管理サーバ１００は、１又は複数の遠隔操作端末１０と回線接続機器５０との間の通信履歴をデータベースに記録することができる。これにより、図１３に示すような、データベースの生成、更新が可能となる。

遠隔操作端末１０又は管理者の管理端末（不図示）は、データベースに記録された情報に基づいて、遠隔操作端末毎の遠隔操作に関する管理情報を生成し、生成した管理情報を表示することができる。ここで、管理情報は、遠隔操作端末ＩＤ毎に、遠隔操作端末１０の登録エリア、登録日時、初回遠隔操作日時、エリア内存在頻度、遠隔操作ログ及び認証状態の全部又は一部とすることができる。これにより、管理者は、複数の遠隔操作端末１０の状態を容易に把握することが可能となる。

上述のように、本実施の形態によれば、遠隔操作を許可する遠隔操作端末を登録する段階で、接続先の回線接続機器５０から認証情報を受け取るとともに、認証情報を受け取ることができるエリアが「限定された通信エリアＳ」に限定される。これにより、管理者が関与しない間に認証情報が登録されることを防止することができる。また、より安全な遠隔操作を実現できる。

また、特定の遠隔操作端末１０だけを遠隔操作用途として認めているとした際、当該遠隔操作端末１０がどの程度の頻度で限定された通信エリアＳ内に居たかという情報も活用できるので、より安全な遠隔操作を実現できる。また、遠隔操作端末１０が紛失又は盗難にあった場合でも、回線接続機器５０の認証情報を削除するだけで、不正な遠隔操作を未然に防止できる。

上述の実施の形態では、回線接続機器５０と制御装置３０とは、別個の装置で構成されていたが、回線接続機器５０と制御装置３０とを一体化した装置で構成してもよい。

本実施の形態の遠隔操作方法は、回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記回線接続機器が保有する認証情報を前記遠隔操作端末に記録し、前記回線接続機器は、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する。

本実施の形態の遠隔操作方法において、前記回線接続機器は、前記通信エリア外に存在する前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する。

本実施の形態の遠隔操作方法は、前記回線接続機器が記憶した認証情報を前記遠隔操作端末に記録する。

本実施の形態の遠隔操作方法は、前記回線接続機器が生成した認証情報を前記遠隔操作端末に記録する。

本実施の形態の遠隔操作方法は、前記回線接続機器が前記通信エリア内に存在する前記遠隔操作端末から取得した認証情報を前記遠隔操作端末に記録する。

本実施の形態の遠隔操作方法において、前記回線接続機器は、前記遠隔操作端末の利用履歴に関する認証条件に基づいて、認証の可否を判定する。

本実施の形態の遠隔操作方法において、前記認証条件は、前記遠隔操作端末に認証情報が記録された時点から前記遠隔操作端末の最初の遠隔操作までの時間を含む。

本実施の形態の遠隔操作方法において、前記認証条件は、前記遠隔操作端末の前記通信エリア内の存在頻度を含む。

本実施の形態の遠隔操作方法において、前記回線接続機器は、複数の認証条件の中から一の認証条件の選択を受け付け、選択された認証条件に基づいて、認証の可否を判定する。

本実施の形態の遠隔操作方法において、前記回線接続機器は、前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末に対する認証条件に応じて、遠隔操作を受け付けたことを外部に通知する。

本実施の形態の遠隔操作方法において、前記回線接続機器及び前記遠隔操作端末それぞれは、予め共有した共有情報を所定の暗号方式で暗号化して複数の分散情報を生成し、生成した複数の分散情報の一部を用いて共通鍵を生成して、前記回線接続機器と前記遠隔操作端末との間の秘匿通信路を開設する。

本実施の形態の遠隔操作方法において、前記回線接続機器は、認証情報を保持することにより、前記遠隔操作端末の認証の可否を判定し、前記認証情報を消去することにより、前記遠隔操作端末の遠隔操作を禁止する。

本実施の形態の遠隔操作方法において、前記遠隔操作対象装置は、前記回線接続機器を介して、前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて、認証の可否を判定する。

本実施の形態の遠隔操作方法において、前記回線接続機器及び前記遠隔操作端末それぞれは、プライベートＩＰアドレスを用いて通信する。

本実施の形態の遠隔操作方法は、１又は複数の遠隔操作端末と前記回線接続機器との間の通信履歴をデータベースに記録し、記録された通信記録に基づいて、前記遠隔操作端末毎の遠隔操作に関する管理情報を生成し、生成した管理情報を表示する。

本実施の形態の遠隔操作システムは、回線接続機器と、遠隔操作対象装置とを備える遠隔操作システムであって、前記回線接続機器は、回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記遠隔操作端末に認証情報を記録する記録処理部と、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する判定部とを備える。

本実施の形態の回線接続機器は、回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記遠隔操作端末に認証情報を記録する記録処理部と、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する判定部とを備える。

本実施の形態のコンピュータプログラムは、遠隔操作端末上で動作するコンピュータプログラムであって、コンピュータに、回線接続機器の限定された通信エリア内に前記遠隔操作端末が存在する場合に、前記回線接続機器から認証情報を受信し、受信した認証情報を記憶部に記憶し、遠隔操作対象装置に対する遠隔操作要求と共に前記記憶部に記憶した認証情報を前記回線接続機器へ送信し、送信した認証情報に基づいて前記回線接続機器が認証可と判定した場合、前記回線接続機器を介して遠隔操作をする、処理を実行させる。

１ 通信ネットワーク
２ 秘匿通信路
１０ 遠隔操作端末
１１ 制御部
１２ 通信部
１３ 記憶部
１４ 表示パネル
１５ 操作部
１６ 遠隔操作処理部
１７ 秘匿通信処理部
３０ 制御装置
５０ 回線接続機器
５１ 回線処理部
５２ 認証処理部
５２１ 認証情報生成処理部
５２２ 認証可否判定処理部
５３ 秘匿通信処理部
５３１ 分散データ生成処理部
５３２ 共通鍵生成処理部
５４ 認証情報記録処理部
５５ ＣＰＵ
５６ メモリ
５７ ネットワーク通信部
１００ 管理サーバ

本発明は、遠隔操作方法、遠隔操作システム及び回線接続機器に関する。

本発明は、斯かる事情に鑑みてなされたものであり、より安全な遠隔操作を実現できる遠隔操作方法、遠隔操作システム及び回線接続機器を提供することを目的とする。

Claims (18)

1. 回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記回線接続機器が保有する認証情報を前記遠隔操作端末に記録し、
   前記回線接続機器は、認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する、
   遠隔操作方法。
2. 前記回線接続機器は、前記通信エリア外に存在する前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する、
   請求項１に記載の遠隔操作方法。
3. 前記回線接続機器が記憶した認証情報を前記遠隔操作端末に記録する、
   請求項１又は請求項２に記載の遠隔操作方法。
4. 前記回線接続機器が生成した認証情報を前記遠隔操作端末に記録する、
   請求項１又は請求項２に記載の遠隔操作方法。
5. 前記回線接続機器が前記通信エリア内に存在する前記遠隔操作端末から取得した認証情報を前記遠隔操作端末に記録する、
   請求項１又は請求項２に記載の遠隔操作方法。
6. 前記回線接続機器は、前記遠隔操作端末の利用履歴に関する認証条件に基づいて、認証の可否を判定する、
   請求項１から請求項５のいずれか一項に記載の遠隔操作方法。
7. 前記認証条件は、前記遠隔操作端末に認証情報が記録された時点から前記遠隔操作端末の最初の遠隔操作までの時間を含む、
   請求項６に記載の遠隔操作方法。
8. 前記認証条件は、前記遠隔操作端末の前記通信エリア内の存在頻度を含む、
   請求項６又は請求項７に記載の遠隔操作方法。
9. 前記回線接続機器は、複数の認証条件の中から一の認証条件の選択を受け付け、選択された認証条件に基づいて、認証の可否を判定する、
   請求項６から請求項８のいずれか一項に記載の遠隔操作方法。
10. 前記回線接続機器は、
    前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末に対する認証条件に応じて、遠隔操作を受け付けたことを外部に通知する、
    請求項６から請求項９のいずれか一項に記載の遠隔操作方法。
11. 前記回線接続機器及び前記遠隔操作端末それぞれは、
    予め共有した共有情報を所定の暗号方式で暗号化して複数の分散情報を生成し、生成した複数の分散情報の一部を用いて共通鍵を生成して、前記回線接続機器と前記遠隔操作端末との間の秘匿通信路を開設する、
    請求項１から請求項１０のいずれか一項に記載の遠隔操作方法。
12. 前記回線接続機器は、
    認証情報を保持することにより、前記遠隔操作端末の認証の可否を判定し、
    前記認証情報を消去することにより、前記遠隔操作端末の遠隔操作を禁止する、
    請求項１から請求項１１のいずれか一項に記載の遠隔操作方法。
13. 前記遠隔操作対象装置は、前記回線接続機器を介して、前記遠隔操作端末から遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて、認証の可否を判定する、
    請求項１から請求項１２のいずれか一項に記載の遠隔操作方法。
14. 前記回線接続機器及び前記遠隔操作端末それぞれは、
    プライベートＩＰアドレスを用いて通信する、
    請求項１から請求項１３のいずれか一項に記載の遠隔操作方法。
15. １又は複数の遠隔操作端末と前記回線接続機器との間の通信履歴をデータベースに記録し、
    記録された通信記録に基づいて、前記遠隔操作端末毎の遠隔操作に関する管理情報を生成し、
    生成した管理情報を表示する、
    請求項１から請求項１４のいずれか一項に記載の遠隔操作方法。
16. 回線接続機器と、遠隔操作対象装置とを備える遠隔操作システムであって、
    前記回線接続機器は、
    回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記遠隔操作端末に認証情報を記録する記録処理部と、
    認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する判定部と
    を備える、
    遠隔操作システム。
17. 回線接続機器の限定された通信エリア内に遠隔操作端末が存在する場合に、前記遠隔操作端末に認証情報を記録する記録処理部と、
    認証対象の遠隔操作端末から遠隔操作対象装置に対する遠隔操作を受け付けた場合、前記遠隔操作端末が認証情報を記録しているか否かに応じて認証の可否を判定する判定部と
    を備える、
    回線接続機器。
18. 遠隔操作端末上で動作するコンピュータプログラムであって、
    コンピュータに、
    回線接続機器の限定された通信エリア内に前記遠隔操作端末が存在する場合に、前記回線接続機器から認証情報を受信し、
    受信した認証情報を記憶部に記憶し、
    遠隔操作対象装置に対する遠隔操作要求と共に前記記憶部に記憶した認証情報を前記回線接続機器へ送信し、
    送信した認証情報に基づいて前記回線接続機器が認証可と判定した場合、前記回線接続機器を介して遠隔操作をする、
    処理を実行させる、
    コンピュータプログラム。

Images