JP5709313B2

JP5709313B2 - エレベータの不正アクセス防止システム

Info

Publication number: JP5709313B2
Application number: JP2011152115A
Authority: JP
Inventors: 淳稲垣
Original assignee: Toshiba Elevator Co Ltd
Current assignee: Toshiba Elevator and Building Systems Corp
Priority date: 2011-07-08
Filing date: 2011-07-08
Publication date: 2015-04-30
Anticipated expiration: 2031-07-08
Also published as: JP2013018592A

Description

本発明の実施形態は、エレベータ制御装置に対する不正アクセスを防止するエレベータの不正アクセス防止システムに関する。

エレベータ制御装置には、乗りかごの速度制御やドアの開閉制御など、エレベータの運転制御を行うための制御プログラムが搭載されている。一方、このエレベータ制御装置には、通信回線を介して外部の遠隔監視装置が接続されており、エレベータのメンテナンスや定期点検、さらに、制御プログラムの更新などを行う場合に、遠隔監視装置からエレベータ制御装置に対してアクセスがある。

ところが、遠隔監視装置からエレベータ制御装置へのアクセスは通信回線を経由して行なわれるため、いたずらなどの目的で不正にアクセスされるリスクがある。一般に、エレベータ制御装置には不正アクセスを検出する機能が備えられており、不正アクセスがあると、直ちにエレベータの運転を中断して利用者の安全を守るなどの対策が講じられている。また、不正アクセスを防止する方法として、パスワードを利用する方法も一般的に行われている。

特開２００６−５６６７６号公報

しかしながら、パスワードを利用して不正アクセスを防止する場合、各地に設置されたエレベータの物件毎に解読困難なパスワードを発行しなければならず、煩雑な管理が必要となる。

本発明が解決しようとする課題は、エレベータの物件毎に固有の物件データを用いてエレベータ制御装置に対する不正アクセスを防止することのできるエレベータの不正アクセス防止システムを提供することである。

本実施形態に係るエレベータの不正アクセス防止システムは、エレベータ制御装置に対する不正アクセスを防止するエレベータの不正アクセス防止システムであって、エレベータ制御装置は、外部から通信回線を介してアクセスがあったか否かを確認するアクセス確認手段と、このアクセス確認手段によって外部からのアクセスが確認された場合に、現在の乗りかごの位置を示すかご位置データをアクセス元に送信して、上記かご位置データに関連したパスワードを要求するパスワード要求手段と、このパスワード要求手段によるパスワード要求に対する応答データの正当性を判定する正当性判定手段と、この正当性判定手段の判定結果に応じて外部からのアクセスを許可あるいは禁止するアクセス制御手段とを具備する。

図１は第１の実施形態に係るエレベータの不正アクセス防止システムの構成を示す図である。図２は同実施形態におけるエレベータの乗りかごと建物の各階床との位置関係を説明するための図である。図３は同実施形態におけるエレベータ制御装置に設けられた主制御部の処理動作を示すフローチャートである。図４は第２の実施形態におけるエレベータ制御装置に設けられた主制御部の処理動作を示すフローチャートである。

以下、図面を参照して実施形態を説明する。

（第１の実施形態）
図１は第１の実施形態に係るエレベータの不正アクセス防止システムの構成を示す図である。

エレベータ制御装置１１は、乗りかごの速度制御やドアの開閉制御など、エレベータの運転に関する一連の制御を行う。このエレベータ制御装置１１は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを搭載したコンピュータからなり、ここでは本システムを実現するための機能を備える。

また、エレベータ制御装置１１は、公衆回線等の通信回線１２を介して外部の遠隔監視装置１３に接続されている。この遠隔監視装置１３は、各地に設置されたエレベータの運転状態を通信回線１２を介して遠隔的に監視している。この遠隔監視装置１３は、エレベータ制御装置１１と同様にコンピュータからなり、エレベータの動作点検や制御プログラムの更新などを通信回線１２を通じて行う機能を備えている。

なお、図１の例では、遠隔監視装置１３に対して１つのエレベータ制御装置１１しか接続されていないが、実際には多数の物件に対応したエレベータ制御装置１１が接続されている。

ここで、エレベータ制御装置１１には、主制御部２１、記憶部２２、通信バッファ２３が設けられている。

主制御部２１は、エレベータの運転制御を行う。この主制御部２１には、本システムを実現するための機能（不正アクセス防止機能）として、アクセス確認部２１ａと、パスワード要求部２１ｂと、正当性判定部２１ｃと、アクセス制御部２１ｄとが備えられている。

アクセス確認部２１ａは、外部から通信回線１２を介してアクセスがあったか否かを確認する。パスワード要求部２１ｂは、アクセス確認部２１ａによって外部からのアクセスが確認された場合に、現在のかご位置を示すかご位置データ２２ａをアクセス元に送信して、上記かご位置データに関連したパスワードを要求する。正当性判定部２１ｃは、パスワード要求部２１ｂによるパスワード要求に対する応答データの正当性を判定する。アクセス制御部２１ｄは、正当性判定部２１ｃの判定結果に応じて外部からのアクセスを許可あるいは禁止する。

記憶部２２には、本システムを実現するためのデータとして、現在のかご位置を示すかご位置データ２２ａ、各階床間の距離を示す階床位置データ２２ｂ、エレベータ制御装置１１に対するアクセスを許可するためのパスワードの演算方法を示す演算パターンデータ２２ｃが記憶されている。

通信バッファ２３は、外部との間でデータを送受信する際の一時的な記憶エリアとして用いられる。

また、エレベータ制御装置１１に通信回線１２を介して接続された遠隔監視装置１３には、制御部３１と記憶部３２が設けられている。

制御部３１は、遠隔監視装置全体の制御を行う。この制御部３１は、データの送受信を行うための通信制御部３１ａを備える。通信制御部３１ａは、記憶部３２に予め記憶された物件データ３２ａを参照して、エレベータ制御装置１１からのパスワード要求に対する応答データを作成して返信する。物件データ３２ａは、各地に設置されたエレベータの物件毎に階床間の距離や号機数など、物件毎に固有のデータを含んでいる。

図２は同実施形態におけるエレベータの乗りかごと建物の各階床との位置関係を説明するための図である。

図中の４０は建物に設けられたエレベータの昇降路である。乗りかご４１は、図示せぬ巻上機の駆動によりロープ４２を介して各階床間を移動する。乗りかご４１の乗降口にはドア４３が開閉自在に設けられており、各階床の乗場に着床したときに、その乗場に設けられたドア４４と係合して開閉する。

ここで、各階床間の距離は必ずしも同じではなく、建物の構造上、各階床毎に異なっている。図２の例では、乗場Ａ−Ｂ間の距離Ｄ１と乗場Ｂ−Ｃ間の距離Ｄ２が示されており、距離Ｄ２の方が距離Ｄ１よりも短い。

次に、第１の実施形態の動作を説明する。
なお、以下のフローチャートで示される処理は、コンピュータであるエレベータ制御装置１１が所定のプログラムを読み込むことにより実行される。

図３は第１の実施形態におけるエレベータ制御装置１１に設けられた主制御部２１の処理動作を示すフローチャートである。

エレベータ制御装置１１の主制御部２１は、外部から通信回線１２を介してアクセスがあったか否かを判断し、アクセスがあった場合には（ステップＳ１１のＹｅｓ）、アクセス元にパスワードを要求する（ステップＳ１２）。

詳しくは、通信バッファ２３に受信データの書き込みがあったか否かを周期的に確認し、受信データの書き込みを検出した場合に、その続きのデータを受信する前に通信バッファ２３を経由してアクセス元にパスワードを要求する。

パスワードの要求方法は、主制御部２１が現在の乗りかご４１の位置を示すかご位置データ２２ａを記憶部２２から読み出して、アクセス元に送信することで行う。なお、かご位置の検出方法としては、例えば図示せぬ巻上機に取り付けられたパルスジェネレータ（ＰＧ）から巻上機の回転に同期して出力されるパルス信号をカウントするなどの方法がある。

ここで、アクセス元が遠隔監視装置１３であれば、当該エレベータ制御装置１１に対応した物件データ３２ａを持っており、その物件データ３２ａを参照してパスワードを作成して返信することができる。

例えば、「現在のかご位置から最も近い階床までの距離」をパスワードとして設定されていたとする。図３に示した例では、乗りかご４１が乗場Ｂにいるので、乗場Ｂに最も近い乗場Ｃまでの距離Ｄ２がパスワードとなる。

遠隔監視装置１３に設けられた制御部３１は、通信回線１２を介して受信したかご位置データ２２ａと記憶部３２に記憶された物件データ２３に含まれる建屋の乗場間の距離データを参照することで、現在のかご位置から最も近い階床までの距離を演算して、これをパスワードとしてエレベータ制御装置１１に返信する。

なお、パスワードはこれに限るものではなく、かご位置データ２２ａに関連して演算できるものであれば良い。記憶部２２には、このパスワードの演算方法を示す演算パターンデータ２２ｃが記憶されている。

アクセス元からパスワード要求に対する応答があると（ステップＳ１３のＹｅｓ）、主制御部２１は、記憶部２２に記憶された階床位置データ２２ｂを用いて、アクセス元から受信した応答データの正当性を判定する（ステップＳ１４）。

その結果、応答データが正しければ、つまり、アクセス元から正しいパスワードを得ることができた場合には（ステップＳ１４のＹｅｓ）、主制御部２１は、正規の通信相手である遠隔監視装置１３であると判断してアクセスを許可し、その後の受信データを取り込んで所定の処理を実行する（ステップＳ１５）。例えば、受信データが制御プログラムの更新データであれば、その更新データに基づく更新処理を実行する。また、点検データであれば、その点検データに基づいてエレベータの点検運転を行って、その結果を返すなどの処理を行う。

一方、応答データが間違っていれば、つまり、アクセス元から正しいパスワードを得ることができなかった場合には（ステップＳ１４のＹｅｓ）、主制御部２１は、不正なアクセスであると判断して、そのアクセス元からのデータ受信を禁止する（ステップＳ１６）。

上記のパスワードは、物件毎に固有パラメータを使用するため、エレベータの物件データを知らないと作成することができない。また、エレベータの停止階状況によりパスワードが動的に変化するため、固定のパスワードを用いた不正アクセス防止方法に比べて、より強固なセキュリティレベルを得ることが可能であり、さらに、物件毎に特別なパスワードを管理する必要もないといった利点がある。

このように第１の実施形態によれば、エレベータの物件毎に固有の物件データを用いてエレベータ制御装置に対する不正アクセスを防止することができる。

（第２の実施形態）
次に、第２の実施形態について説明する。
第２の実施形態では、アクセス元に対して、かご位置データ２２ａを用いたパスワードの演算パターンを指定するようにしたものである。

システム構成は図１と同様である。ただし、外部からのアクセスがあった場合に、主制御部２１は、記憶部２２に記憶されたかご位置データ２２ａと共に演算パターンデータ２２ｃをアクセス元に送信する機能を備える。

以下に、具体的な処理動作について説明する。
図４は第２の実施形態におけるエレベータ制御装置１１に設けられた主制御部２１の処理動作を示すフローチャートである。

エレベータ制御装置１１の主制御部２１は、外部から通信回線１２を介してアクセスがあったか否かを判断し、アクセスがあった場合には（ステップＳ２１のＹｅｓ）、アクセス元にパスワードを要求する（ステップＳ２２）。

その際、アクセス元に対して、かご位置データ２２ａと共に演算パターンデータ２２ｃを送信して、その演算パターンデータ２２ｃに従ったパスワードの要求を行う。

演算パターンとしては、例えば、上述した「現在のかご位置から最も近い階床までの距離」の他に「現在のかご位置から最も遠い階床までの距離」または「現在のかご位置から最も遠い階床と最も近い階床の差分距離」などを求める演算がある。

ここで、アクセス元が遠隔監視装置１３であれば、当該エレベータ制御装置１１に対応した物件データ３２ａを持っており、その物件データ３２ａを参照することで、演算パターンデータ２２ｃに従ったパスワードを作成して返信することができる。

アクセス元からパスワード要求に対する応答があると（ステップＳ２３のＹｅｓ）、主制御部２１は、記憶部２２に記憶された階床位置データ２２ｂを用いて、アクセス元から受信した応答データの正当性を判定する（ステップＳ２４）。

その結果、応答データが正しければ、つまり、アクセス元から正しいパスワードを得ることができた場合には（ステップＳ２４のＹｅｓ）、主制御部２１は、正規の通信相手である遠隔監視装置１３であると判断してアクセスを許可し、その後の受信データを取り込んで所定の処理を実行する（ステップＳ２５）。例えば、受信データが制御プログラムの更新データであれば、その更新データに基づく更新処理を実行する。また、点検データであれば、その点検データに基づいてエレベータの点検運転を行って、その結果を返すなどの処理を行う。

一方、応答データが間違っていれば、つまり、アクセス元から正しいパスワードを得ることができなかった場合には（ステップＳ２４のＹｅｓ）、主制御部２１は、不正なアクセスであると判断して、そのアクセス元からのデータ受信を禁止する（ステップＳ２６）。

このように第２の実施形態によれば、パスワードの演算パターンを指定することで、エレベータ制御装置に対する不正アクセスをより確実に防止することができる。特に、外部からのアクセスがエレベータの運転動作を変更するような場合には、通常とは異なる演算パターンでのパスワードを要求することで、偶発的にパスワードが一致する可能性を回避して、より強固なセキュリティレベルを得ることが可能となる。

以上述べた少なくとも１つの実施形態によれば、エレベータの物件毎に固有の物件データを用いてパスワードを要求することで、エレベータ制御装置に対する不正アクセスを防止することができる。

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１１…エレベータ制御装置、１２…通信回線、１３…遠隔監視装置、２１…主制御部、２１ａ…アクセス確認部、２１ｂ…パスワード要求部、２１ｃ…正当性判定部、２１ｄ…アクセス制御部、２２…記憶部、２２ａ…かご位置データ、２２ｂ…階床位置データ、２２ｃ…演算パターンデータ、２３…通信バッファ、３１…制御部、３１ａ…通信制御部、３２…記憶部、３２ａ…物件データ、４０…昇降路、４１…乗りかご、４２…ロープ、４３…かごドア、４４…乗場ドア。

Claims

エレベータ制御装置に対する不正アクセスを防止するエレベータの不正アクセス防止システムであって、
エレベータ制御装置は、
外部から通信回線を介してアクセスがあったか否かを確認するアクセス確認手段と、
このアクセス確認手段によって外部からのアクセスが確認された場合に、現在の乗りかごの位置を示すかご位置データをアクセス元に送信して、上記かご位置データに関連したパスワードを要求するパスワード要求手段と、
このパスワード要求手段によるパスワード要求に対する応答データの正当性を判定する正当性判定手段と、
この正当性判定手段の判定結果に応じて外部からのアクセスを許可あるいは禁止するアクセス制御手段と
を具備したことを特徴とするエレベータの不正アクセス防止システム。
上記パスワード要求手段は、
上記かご位置データに関連したパスワードとして、上記乗りかごの位置から最も近い階床までの距離を要求することを特徴とする請求項１記載のエレベータの不正アクセス防止システム。
上記パスワード要求手段は、
上記現在の乗りかごの位置を示すかご位置データと共に上記かご位置データを用いた演算パターンをアクセス元に送信して、上記演算パターンに従ったパスワードを要求することを特徴とする請求項１記載のエレベータの不正アクセス防止システム。
上記演算パターンには、上記乗りかごの位置から最も遠い階床までの距離を求める演算を含むことを特徴とする請求項３記載のエレベータの不正アクセス防止システム。
上記演算パターンには、上記乗りかごの位置から最も遠い階床と最も近い階との差分距離を求める演算を含むことを特徴とする請求項３記載のエレベータの不正アクセス防止システム。
上記エレベータ制御装置に上記通信回線を介して接続された遠隔監視装置を備え、
上記遠隔監視装置は、
各地に設置されたエレベータの物件毎に固有の物件データを記憶した記憶手段と、
上記エレベータ制御装置のアクセス時に要求されたパスワードを上記記憶手段に記憶された上記物件データを参照して作成し、上記エレベータ制御装置に返信する通信制御手段と
を具備したことを特徴とする請求項１記載のエレベータの不正アクセス防止システム。