JP5996699B1 - エレベータシステム及び無線通信方法 - Google Patents

Abstract

【課題】無線通信におけるセキュリティを確保することが可能なエレベータシステム及び無線通信方法を提供することにある。【解決手段】実施形態に係るエレベータシステムは、設定手段と、判定手段と、処理手段と、制御手段とを具備する。設定手段は、第１の構成機器と無線通信を実行可能な機器を登録するためのペアリングモードを設定する。判定手段は、ペアリングモードが設定されている間に、第２の構成機器に対して予め定められた操作が行われたかを判定する。処理手段は、予め定められた操作が行われたと判定された場合、第１及び第２の構成機器間で無線通信を実行する際に必要な認証キーを発行する。制御手段は、発行された認証キーを用いて認証される第２の構成機器からの第１の構成機器へのアクセスを許可する。【選択図】図２

Description

本発明の実施形態は、エレベータシステム及び無線通信方法に関する。

一般に、エレベータシステムには、エレベータ全体の制御を行うための装置（以下、エレベータ制御装置）が備えられている。エレベータ制御装置は、巻上げ機を駆動させて昇降路内における乗りかごの昇降動作を制御する。

更に、エレベータシステムにおいては、エレベータの保守点検（メンテナンス）時に操作されるメンテナンス装置（メンテナンスボックス）が備えられている。このメンテナンス装置は、例えばエレベータ制御装置との通信を実行することにより、当該エレベータ制御装置から当該エレベータのメンテナンス等に必要な各種情報を収集する。メンテナンス装置において収集された情報は、例えばエレベータの遠隔監視及び保守員が使用する保守ツール等において利用される。

特許第４１１０３６６号公報 特表２００９−５０４５２９号公報

ところで、近年のエレベータシステムの無線化に伴い、上記したエレベータ制御装置及びメンテナンス装置間で無線通信を行うことが考えられている。

メンテナンス装置は一般的に昇降路に面した位置に設置される場合が多いが、エレベータ制御装置及びメンテナンス装置間で無線通信を行うことは、当該メンテナンス装置の設置位置が限定されない点で有用である。

しかしながら、エレベータ制御装置及びメンテナンス装置のようなエレベータシステムを構成する各機器間で無線通信を行う場合には、当該機器に対する不正アクセスにより、上記したメンテナンス装置において収集された情報を含む有用な情報が傍受される可能性がある。このため、エレベータシステムにおけるセキュリティ対策が必要である。

そこで、本発明が解決しようとする課題は、無線通信におけるセキュリティを確保することが可能なエレベータシステム及び無線通信方法を提供することにある。

実施形態によれば、第１及び第２の構成機器を備えるエレベータシステムが提供される。前記第１の構成機器は、設定手段と、処理手段と、制御手段とを含み、前記第２の構成機器は、判定手段を含む。前記設定手段は、エレベータを試運転するためのテストモードの設定中に、前記第１の構成機器と無線通信を実行可能な機器を登録するためのペアリングモードを設定する。前記判定手段は、前記ペアリングモードが設定された後、予め定められた期間内に前記第２の構成機器に対して予め定められた操作が行われたかを判定する。前記処理手段は、前記予め定められた期間内に前記予め定められた操作が行われたと判定された場合、前記ペアリングモードが設定されていない場合に実行される前記第１及び第２の構成機器間の無線通信で使用される第１の周波数帯とは異なる第２の周波数帯を使用して前記第１及び第２の構成機器間で無線通信を実行し、当該無線通信が予め定められた期間継続して行われた場合に、前記第１の周波数帯を使用した無線通信を実行する際に必要な認証キーを発行する。前記制御手段は、前記発行された認証キーを用いて認証される前記第２の構成機器からの前記第１の構成機器へのアクセスを許可する。

第１の実施形態に係るエレベータシステムにおけるエレベータ１０の構成を示す図。 本実施形態に係るエレベータシステムを構成する構成機器の機能構成を示すブロック図。 機器登録処理の処理手順を示すフローチャート。 構成機器間で無線通信を実行する際の処理手順を示すフローチャート。 第２の実施形態における機器登録処理の処理手順を示すフローチャート。

以下、図面を参照して、実施形態について説明する。

（第１の実施形態）
まず、第１の実施形態について説明する。図１は、第１の実施形態に係るエレベータシステムにおけるエレベータ１０の構成を示す。図１に示すエレベータ１０では、制御盤と称される、当該エレベータ１０全体の制御を行うエレベータ制御装置１１が昇降路２０の上部に備えられている。

エレベータ１０においては、昇降路２０内に乗りかご１２とカウンタウエイト（釣り合い錘）１３とが設けられており、それぞれガイドレール（図示せず）に昇降動作可能に支持されている。

また、昇降路２０の上部には、エレベータ制御装置１１と接続される巻上げ機１４が設置されている。巻上げ機１４は、一端が乗りかご１２と接続され、他端がカウンタウエイト１３と接続されたメインロープ１５が巻き架けられている。

エレベータ１０においては、エレベータ制御装置１１の制御に基づいて巻上げ機１４が駆動されることによって、メインロープ１５の両端に接続された乗りかご１２及びカウンタウエイト１３が互いに反対方向に昇降動作する。

更に、乗りかご１２が着床する各階のホールのうち、例えば最上階に位置するホール３１には、エレベータ１０の保守点検時に操作されるメンテナンス装置（メンテナンスボックス）１６が備えられている。このメンテナンス装置１６には、例えばエレベータ１０の保守点検時に乗りかご１２のかごドアを開閉制御するためのボタン（開ボタン及び閉ボタン）及び当該乗りかご１２の昇降動作を制御するためのボタン（アップボタン及びダウンボタン）等が設けられている。

メンテナンス装置１６は、エレベータ制御装置１１と通信可能に構成されている。メンテナンス装置１６は、エレベータ制御装置１１との通信を実行することにより、当該エレベータ制御装置１１からエレベータ１０のメンテナンス等に必要な情報を収集する。

本実施形態において、エレベータ制御装置１１及びメンテナンス装置１６（エレベータシステムを構成する第１及び第２の構成機器）は、互いに無線通信を実行する機能（以下、無線通信機能と表記）を有しているものとする。すなわち、メンテナンス装置１６は、エレベータ制御装置１１との無線通信を実行することによって、上記したエレベータ１０のメンテナンス等に必要な情報を収集する。エレベータ制御装置１１及びメンテナンス装置１６の各々が無線通信機能を有していない場合には、当該エレベータ制御装置１１及びメンテナンス装置１６の各々の近傍に設置された無線通信装置を介して、当該エレベータ制御装置１１及びメンテナンス装置１６間の無線通信が実行されるような構成であってもよい。

図１においては省略されているが、乗りかご１２の上部には、例えばホール３１〜３４等に着床した乗りかご１２のかごドアを開閉制御するためのかご制御装置が設けられている。

更に、乗りかご１２内には、行先階登録装置が設けられている。行先階登録装置は、乗りかご１２内に乗車した利用者の行先階を登録するための行先階ボタンを含み、当該行先階ボタンに対する操作が利用者によって行われた場合、当該利用者によって登録された行先階を表す信号（かご呼び）を例えばエレベータ制御装置１１に出力する。

また、乗りかご１２が着床する各階のホール３１〜３４には、ホール呼び登録装置が設けられている。ホール呼び登録装置は、利用者が乗りかご１２に乗車するホールの位置（登録階）を登録するためのホール呼びボタンを含み、当該ホール呼びボタンに対する操作が利用者によって行われた場合、利用者によって登録された当該ホールの位置及び行先方向（上方向／下方向）を表す信号（ホール呼び）を例えばエレベータ制御装置１１に出力する。

本実施形態に係るエレベータシステムは、エレベータ１０の動作状態を監視するための監視盤、エレベータ１０の保守員が使用する保守ツール（例えば、携帯端末等）及びエレベータ１０を遠隔監視するための遠隔監視センタに備えられる端末（以下、遠隔監視端末と表記）等を備えていてもよい。監視盤、保守ツール及び遠隔監視端末は、エレベータ制御装置１１またはメンテナンス装置１６等と通信可能に接続されている。

図２は、本実施形態に係るエレベータシステムを構成する機器（以下、構成機器と表記）の機能構成を示すブロック図である。本実施形態における構成機器とは、エレベータシステムを構成する機器であって、他の機器との無線通信を実行する機器をいう。図２においては、エレベータシステムを構成する構成機器として、エレベータ制御装置１１（第１の構成装置）及びメンテナンス装置１６（第２の構成装置）の機能構成が示されている。

ここで、エレベータ制御装置１１及びメンテナンス装置１６間で無線通信が実行される場合、当該無線通信が傍受されることによって、上記したエレベータ１０のメンテナンス等に必要な情報が外部の機器により不正に取得される場合がある。このため、本実施形態において、エレベータ制御装置１１及びメンテナンス装置１６は、エレベータシステムの無線通信におけるセキュリティを確保するための構成を有する。

図２に示すように、エレベータ制御装置１１は、モード設定部１１１、ペアリング処理部１１２、格納部１１３、通信制御部１１４及び運行制御部１１５を含む。

モード設定部１１１は、エレベータシステム（エレベータ制御装置１１）の動作モードを設定する機能を有する。モード設定部１１１は、エレベータ制御装置１１と無線通信を実行可能な機器を登録するためのモード（以下、ペアリングモードと表記）を設定する。また、モード設定部１１１は、エレベータ１０を試運転するためのモード（以下、テストモードと表記）を設定する。

ペアリング処理部１１２は、エレベータ制御装置１１と無線通信を実行可能な機器として例えばメンテナンス装置１６を登録するための処理を実行する。ペアリング処理部１１２は、モード設定部１１１によってペアリングモードが設定されている間にメンテナンス装置１６において所定の操作（以下、ペアリング操作と表記）が行われた場合、エレベータ制御装置１１及びメンテナンス装置１６間で無線通信を実行する際に必要な認証キーを発行する。ペアリング処理部１１２によって発行された認証キーは、メンテナンス装置１６に送信される。

格納部１１３は、ペアリング処理部１１２によって発行された認証キーを格納する。また、格納部１１３は、上記したペアリング処理部１１２によって認証キーが発行された際にエレベータ制御装置１１及びメンテナンス装置１６間で実行された無線通信の実績を示す情報（以下、通信実績情報と表記）を格納する。

通信制御部１１４は、例えばエレベータ１０の通常運行時におけるエレベータ制御装置１１と他の構成機器との無線通信等を制御する機能を有する。通信制御部１１４は、例えばペアリング処理部１１２によって発行された認証キーを用いて認証されるメンテナンス装置１６からのエレベータ制御装置１１へのアクセスを許可する。一方、通信制御部１１４は、ペアリング処理部１１２によって発行された認証キーを用いて認証されない機器（例えば、構成機器以外の外部機器等）からのエレベータ制御装置１１へのアクセスを拒否する。なお、通信制御部１１４がエレベータ制御装置１１へのアクセスを許可または拒否する際には、認証キーに加えて、上述した通信実績情報が用いられる。

運行制御部１１５は、ペアリング処理部１１２によって発行された認証キーを用いて認証されない機器からエレベータ制御装置１１にアクセスされた場合、エレベータ１０の運行を停止する制御を行う。

また、図２に示すように、メンテナンス装置１６は、操作判定部１６１、格納部１６２及び通信制御部１６３を含む。

操作判定部１６１は、メンテナンス装置１６に対する例えばエレベータ１０の管理者の操作を検出する機能を有する。操作判定部１６１は、検出された管理者の操作が上記したペアリング操作であるか否かを判定する。管理者の操作がペアリング操作であると判定された場合、エレベータ制御装置１１及びメンテナンス装置１６間で無線通信が実行される。これにより、メンテナンス装置１６では、エレベータ制御装置１１（に含まれるペアリング処理部１１２）によって発行された認証キーが取得（受信）される。

格納部１６２は、エレベータ制御装置１１から取得された認証キーを格納する。また、格納部１６２は、認証キーが取得された際にエレベータ制御装置１１及びメンテナンス装置１６間で実行された無線通信の実績を示す情報（通信実績情報）を格納する。

通信制御部１６３は、メンテナンス装置１６と他の構成機器との無線通信を制御する機能を有する。通信制御部１６３は、例えばエレベータ１０の通常運行時にエレベータ制御装置１１及びメンテナンス装置１６間で無線通信を実行する場合、後述するエレベータ制御装置１１からの要求に応じて格納部１６２に格納された認証キー及び通信実績情報をエレベータ制御装置１１に送信する。

以下、本実施形態に係るエレベータシステムを構成する構成機器間で無線通信を実行する際の動作について説明する。

例えばエレベータ制御装置１１及びメンテナンス装置１６間で無線通信を実行する場合には、前処理として機器登録処理が実行される。機器登録処理は、上記したエレベータ制御装置１１と無線通信を実行可能な機器（例えば、メンテナンス装置１６）を登録するための処理である。図３のフローチャートを参照して、機器登録処理の処理手順について説明する。

本実施形態において、エレベータ制御装置１１と無線通信を実行可能な機器を登録するためには、エレベータ制御装置１１において上記したペアリングモードが設定される必要がある。換言すれば、エレベータシステムの無線通信におけるセキュリティを確保し、登録された正当な機器のみとの無線通信を実現するためには、ペアリングモードが設定される状況を限定することにより、不正な機器がエレベータ制御装置１１と無線通信を実行な機器として登録されることを防止する必要がある。

そこで、本実施形態において、ペアリングモードは、エレベータ１０を試運転するためのテストモードの設定中に設定可能であるものとする。テストモードは、例えばエレベータ制御装置１１に対するエレベータ１０の管理者の操作に応じて、モード設定部１１１によって設定される。

機器登録処理においては、まず、エレベータ制御装置１１においてテストモードが設定されているか否かが判定される（ステップＳ１）。

テストモードが設定されていると判定された場合（ステップＳ１のＹＥＳ）、エレベータ制御装置１１においてペアリングモードが設定されたか否かが判定される（ステップＳ２）。ペアリングモードは、例えばエレベータ制御装置１１に対するエレベータ１０の管理者の操作（例えば、ハードスイッチを押下する操作等）に応じて、モード設定部１１１によって設定される。

ペアリングモードが設定されたと判定された場合（ステップＳ２のＹＥＳ）、エレベータ制御装置１１は、メンテナンス装置１６と無線通信可能な状態となる。なお、エレベータ制御装置１１がメンテナンス装置１６と無線通信可能な状態となった場合、当該状態（以下、エレベータ制御装置１１の通信可能状態と表記）はメンテナンス装置１６において認識される。

ここで、メンテナンス装置１６をエレベータ制御装置１１と無線通信を実行可能な機器（以下、通信可能機器と表記）として登録する場合、管理者は、エレベータ制御装置１１においてペアリングモードが設定されている間に、当該メンテナンス装置１６に対してペアリング操作を行うものとする。ペアリング操作は、例えばメンテナンス装置１６に設けられている所定のボタンを所定の回数押下する操作（例えば、閉ボタンを３回押下する等）を含む。なお、このペアリング操作は一例である。ペアリング操作は、ペアリング操作を行うことを意図していないにもかかわらず当該ペアリング操作と同等の操作を行ってしまうような操作でなければ他の操作であっても構わない。ペアリング操作は、例えばメンテナンス装置１６内において予め設定されている。

エレベータ制御装置１１の通信可能状態がメンテナンス装置１６において認識されると、メンテナンス装置１６に含まれる操作判定部１６１は、メンテナンス装置１６に対してペアリング操作が行われた（つまり、ペアリング操作が受け付けられた）か否を判定する（ステップＳ３）。

ペアリング操作が行われたと判定された場合（ステップＳ３のＹＥＳ）、操作判定部１６１は、当該ペアリング操作が所定期間（予め定められた期間）内に行われたか否かを判定する（ステップＳ４）。具体的には、操作判定部１６１は、例えばエレベータ制御装置１１においてペアリングモードが設定された（つまり、エレベータ制御装置１１の通信可能状態がメンテナンス装置１６において認識された）後、所定期間内にペアリング操作が行われたか否かを判定する。ステップＳ４における所定期間としては、例えば１分間等が設定されているものとする。

ペアリング操作が所定期間内に行われたと判定された場合（ステップＳ４のＹＥＳ）、メンテナンス装置１６は、エレベータ制御装置１１と無線通信可能な状態となる。これによれば、エレベータ制御装置１１及びメンテナンス装置１６間で無線通信が開始される（ステップＳ５）。

ここで、エレベータ制御装置１１及びメンテナンス装置１６間で開始される無線通信においては、例えば後に実行されるエレベータの通常運行時の無線通信で使用される周波数帯（第１の周波数帯）とは異なるペアリング用の周波数帯（第２の周波数帯）が使用されるものとする。更に、エレベータ制御装置１１及びメンテナンス装置１６間で開始される無線通信は、ペアリング用のプロトコルで実行される。

次に、エレベータ制御装置１１に含まれるペアリング処理部１１２は、エレベータ制御装置１１及びメンテナンス装置１６間の無線通信が開始された後、所定期間（予め定められた期間）が経過したか否かを判定する（ステップＳ６）。ステップＳ６における所定期間としては、例えば１分間等が設定されているものとする。

所定期間が経過したと判定された場合（ステップＳ６のＹＥＳ）、ペアリング処理部１１２は、メンテナンス装置１６を通信可能機器として登録するために、上記した認証キーを発行する（ステップＳ７）。ペアリング処理部１１２によって発行される認証キーは、ステップＳ７の処理が実行される際にエレベータ制御装置１１において生成されてもよいし、当該エレベータ制御装置１１内に予め保持されていてもよい。ペアリング処理部１１２によって発行された認証キーは、通信制御部１１４を介して、メンテナンス装置１６に送信される。

エレベータ制御装置１１及びメンテナンス装置１６の各々において、ペアリング処理部１１２によって発行された認証キー及び当該認証キーが発行された際にエレベータ制御装置１１及びメンテナンス装置１６間で実行された無線通信の実績を示す通信実績情報（データ）が格納される（ステップＳ８）。

具体的には、エレベータ制御装置１１においては、ペアリング処理部１１２によって発行された認証キー及び通信実績情報が格納部１１３に格納される。この場合、認証キー及び通信実績情報は、例えばメンテナンス装置１６を識別するための識別情報（以下、登録機器ＩＤと表記）に対応づけて格納部１１３に格納（登録）される。格納部１１３に格納される通信実績情報は、上記したステップＳ５において開始された無線通信に関する情報であり、例えば認証キーをメンテナンス装置１６に対して送信したこと（つまり、認証キーの送信履歴）を示す情報等を含む。

同様に、メンテナンス装置１６においては、ペアリング処理部１１２によって発行された認証キー（つまり、エレベータ制御装置１１から受信された認証キー）及び通信実績情報が格納部１６２に格納される。格納部１６２に格納される通信実績情報は、上記したステップＳ５において開始された無線通信に関する情報であり、例えば認証キーをエレベータ制御装置１１から受信したこと（つまり、認証キーの受信履歴）を示す情報等を含む。

このようにエレベータ制御装置１１及びメンテナンス装置１６の各々において格納された認証キー及び通信実績情報は、後のエレベータ１０の通常運行時にエレベータ制御装置１１及びメンテナンス装置１６間で無線通信が実行される際に用いられる。

なお、エレベータ制御装置１１に含まれる格納部１１３においては、認証キーが発行されたメンテナンス装置１６（つまり、通信可能機器）を示す情報として当該メンテナンス装置１６に割り当てられているＩＤ等が管理される。

ステップＳ１においてテストモードが設定されていないと判定された場合（ステップＳ１のＮＯ）、機器登録処理は終了される。すなわち、この場合には、認証キーが発行されず、通信可能機器を登録することはできない。

ステップＳ２においてペアリングモードが設定されていないと判定された場合（ステップＳ２のＮＯ）、ステップＳ３においてペアリング操作が行われていないと判定された場合（ステップＳ３のＮＯ）、ステップＳ４においてペアリング操作が所定期間内に行われていないと判定された場合（ステップＳ４のＮＯ）、及びステップＳ６において所定期間が経過したと判定された場合（ステップＳ６のＮＯ）についても同様である。

上述した機器登録処理によれば、不正な機器が通信可能機器として登録されることを防止するために、上述したテストモードが設定中であること以外にも当該通信可能機器を登録することができる状況を限定している。すなわち、本実施形態において例えばメンテナンス装置１６を通信可能機器として登録するためには、ペアリングモードが設定された後に所定期間内にペアリング操作が行われ、更に、ペアリング用の周波数帯及びプロトコルで所定期間が経過するまで無線通信が実行される必要がある。

図３において説明した通信可能機器が登録される状況（限定）は一例であるため、より簡易な状況で通信可能機器を登録可能としてもよいし、より複雑な状況でなければ通信可能機器を登録することができないようにしてもよい。

上記した機器登録処理が終了されると、エレベータシステムにおいて、エレベータ１０の通常運行（またはテストモードにおける動作）が行われる。

機器登録処理が定期的に実行されることによって、当該機器登録処理において一旦発行された認証キーが定期的に更新される構成とすることも可能である。

次に、図４のフローチャートを参照して、本実施形態に係るエレベータシステムを構成する構成機器間で無線通信を実行する際の処理手順について説明する。ここでは、エレベータ制御装置１１が他の機器（以下、通信相手機器と表記）からアクセスされる場合を想定する。この場合、図４に示す処理は、エレベータ制御装置１１によって実行される。

エレベータ制御装置１１にアクセスしようとする通信相手機器（つまり、エレベータ制御装置１１と無線通信可能な状態にある通信相手機器）が存在する場合、エレベータ制御装置１１に含まれる通信制御部１１４は、当該通信相手機器を認識（検出）する。

通信相手機器が認識された場合、エレベータ制御装置１１に含まれる通信制御部１１４は、当該認識された通信相手機器に対して認証キーを要求する（ステップＳ１１）。

通信制御部１１４は、エレベータ制御装置１１（通信制御部１１４）からの要求に対する通信相手機器からの応答に基づいて、通信相手機器が機器登録処理において登録された正当な機器（つまり、通信可能機器）であるか否かを判定する（ステップＳ１２）。この場合、通信制御部１１４は、格納部１１３に格納されている認証キーに基づいて判定処理を実行する。

ここで、認証キーが要求された通信相手機器が例えばメンテナンス装置１６（つまり、正当な機器）である場合、当該メンテナンス装置１６に含まれる通信制御部１６３は、格納部１６２に格納されている認証キーをエレベータ制御装置１１からの要求に対する応答として当該エレベータ制御装置１１に返送する。このようにメンテナンス装置１６から返送された認証キーは、エレベータ制御装置１１（に含まれる格納部１１３）において登録されている（つまり、格納部１１３に格納されている認証キーと一致する）。この場合、通信制御部１１４は、通信相手機器（メンテナンス装置１６）が正当な機器であると判定する。

一方、認証キーが要求された通信相手機器が例えば正当な機器でない（つまり、不正な機器である）場合、当該不正な機器はエレベータ制御装置１１（に含まれるペアリング処理部１１２）によって発行された認証キーを有していない。この場合、不正な機器である通信相手機器は、エレベータ制御装置１１において登録されていない認証キー（つまり、誤った認証キー）を返送する、または認証キーを返送しないことになる。この場合、通信制御部１１４は、通信相手機器が正当な機器でないと判定する。

通信相手機器が正当な機器であると判定された場合（ステップＳ１２のＹＥＳ）、通信制御部１１４は、当該通信相手機器に対して通信実績情報を要求する（ステップＳ１３）。

通信制御部１１４は、エレベータ制御装置１１（通信制御部１１４）からの要求に対する通信相手機器からの応答として、通信相手機器から返送された認証キーが発行された際に実行された無線通信の実績を示す通信実績情報が受信されたか否かを判定する（ステップＳ１４）。

上記したように通信相手機器がメンテナンス装置１６である場合、当該メンテナンス装置１６に含まれる格納部１６２には通信実績情報が格納されている（つまり、通信実績情報を有している）。この場合、メンテナンス装置１６に含まれる通信制御部１６３は、格納部１６２に格納されている通信実績情報をエレベータ制御装置１１からの要求に対する応答として当該エレベータ制御装置１１に返送する。これによれば、通信制御部１１４は、通信相手機器から通信実績情報を受信することができる。よって、通信制御部１１４は、通信実績情報が受信されたと判定する。

通信相手機器から返送された通信実績情報が正当な情報（つまり、認証キーが発行された際に実行された無線通信の実績を示す情報）であるか否かは、エレベータ制御装置１１に含まれる格納部１１３に格納されている通信実績情報に基づいて判定することができる。

なお、ステップＳ１２において通信相手機器が正当な機器であると判定された場合、通常、通信相手機器は通信実績情報を有している。しかしながら、認証キーを有していたとしても、通信相手機器は、正当な機器である機器から認証キーを不正に取得した不正な機器である可能性がある。すなわち、ステップＳ１３及びＳ１４の処理は、このような不正な機器を排除するために実行される処理である。

通信実績情報が受信されたと判定された場合（ステップＳ１４のＹＥＳ）、通信制御部１１４は、通信相手機器（つまり、機器登録処理において発行された認証キーを用いて認証される機器）からのエレベータ制御装置１１へのアクセスを許可する。この場合、エレベータシステムにおけるエレベータ１０の運行は継続される（ステップＳ１５）。

一方、ステップＳ１２において通信相手機器が正当な機器でないと判定された場合（ステップＳ１２のＮＯ）、またはステップＳ１４において通信実績情報が受信されていない（または誤った通信実績情報が受信された）場合（ステップＳ１４のＮＯ）、通信制御部１１４は、通信相手機器からのエレベータ制御装置１１へのアクセスが不正なものであるとして、当該アクセスを拒否する。

この場合、運行制御部１１５は、エレベータシステムにおけるエレベータ１０の運行を停止する（ステップＳ１６）。

更に、運行制御部１１５は、エレベータシステムにおいて不正アクセスが行われたことを通知する（ステップＳ１７）。不正アクセスが行われたことは、例えば上述した監視盤、保守ツール及び遠隔監視センタ等に通知される。

ここでは、不正アクセスが行われた場合に、エレベータ１０の運行を停止し、かつ、当該不正アクセスが行われたことが通知されるものとして説明したが、エレベータ１０の運行を停止することは当該エレベータ１０の利用者に与える影響が大きいため、ステップＳ１６の処理は行われず、ステップＳ１７の処理のみが行われるようにしてもよい。一方、ステップＳ１７の処理が行われず、ステップＳ１６の処理のみが行われるようにしてもよい。

図４に示す処理はエレベータ制御装置１１において通信相手機器が認識された場合に実行されるものとして説明したが、当該図４に示す処理は、エレベータ制御装置１１において例えば不正アクセスが行われる可能性がある通信相手機器が認識された場合にのみ実行される構成であってもよい。具体的には、エレベータ制御装置１１が通信相手機器を認識した場合には例えば当該通信相手機器が有する機器ＩＤを取得することができる。これにより、エレベータ制御装置１１（に含まれる格納部１１３）に登録されている登録機器ＩＤと同一の機器ＩＤが複数取得された場合（つまり、同一の機器ＩＤを有する複数の機器が認識された場合）には、当該複数の機器には不正な機器が含まれている可能性が高い。よって、登録機器ＩＤと同一の機器ＩＤを有する複数の機器が認識された場合にのみ図４に示す処理が実行されるようにしてもよい。

また、図４に示す処理はエレベータ制御装置１１が実行するものとして説明したが、例えばメンテナンス装置１６に対して不正な機器がアクセスする場合も想定される。このため、図４に示す処理は、メンテナンス装置１６においても同様に実行されるものとする。

上記したように本実施形態においては、ペアリングモードが設定されている間に、ペアリング操作（予め定められた操作）がメンテナンス装置１６（第２の構成機器）において行われた場合に、エレベータ制御装置１１（第１の構成機器）が認証キーを発行する。エレベータ制御装置１１は、発行された認証キーを用いて認証されるメンテナンス装置１６からのアクセスを許可する。本実施形態においては、このような構成により、認証キーが発行された構成機器間での無線通信を可能とするため、エレベータシステムの無線通信におけるセキュリティを確保することが可能となり、エレベータ制御装置１１及びメンテナンス装置１６間の無線通信が傍受されることにより有用な情報（例えば、メンテナンス情報）が不正に取得されることを防止することが可能となる。

また、本実施形態においては、エレベータ１０を試運転するためのテストモードの設定中にペアリングモードが設定される。更に、本実施形態においては、所定期間内にペアリング操作が行われた場合であって、ペアリング用の周波数帯（第２の周波数帯）を使用した無線通信が所定期間が経過するまで継続して行われた場合に認証キーが発行される。すなわち、本実施形態においては、機器登録処理において通信可能機器が登録される状況が限定されている。本実施形態においては、このような構成により、エレベータシステム外部の不正な機器が通信可能機器として登録されることを防止することが可能となる。

更に、本実施形態においては、アクセスを許可する際に通信実績情報を用いることにより、仮に認証キーを不正に取得した機器が存在した場合であっても、当該機器のアクセスを拒否することが可能となるため、より高いセキュリティを実現することができる。

また、本実施形態においては、認証キーを用いて認証されない機器からアクセスされた場合には、エレベータ１０の運行を停止する、または不正アクセスが行われたことを通知することが可能である。

なお、本実施形態においてはエレベータシステムを構成する構成機器としてエレベータ制御装置１１及びメンテナンス装置１６間で無線通信が実行される場合について説明したが、エレベータシステムを構成する構成機器であれば、他の構成機器間で無線通信が実行される場合に本実施形態が適用されても構わない。更に、このような構成機器間で無線通信される情報は、上述したメンテナンス情報以外の情報であっても構わない。このような場合であっても、無線通信が実行される構成機器間で、上述した図３及び図４の処理が実行されればよい。

ここで、エレベータシステムを構成する構成機器には、例えば乗りかご１２（かご制御装置、行先階登録装置）、ホール呼び登録装置、監視盤、保守ツール及び遠隔監視端末等が含まれる。

すなわち、本実施形態は、エレベータ制御装置１１と乗りかご１２（かご制御装置、行先階登録装置）またはホール呼び登録装置との間で無線通信が実行される場合に適用されてもよい。これによれば、エレベータ制御装置１１と乗りかご１２またはホール呼び登録装置との間の無線通信が傍受されることにより例えばエレベータ１０に対する外部からの不正なコントロールを受けることを防止することが可能となる。

また、上記したメンテナンス情報は、例えば監視盤、保守ツールまたは遠隔監視端末等においても利用される。したがって、本実施形態は、エレベータ制御装置１１（またはメンテナンス装置１６）と監視盤、保守ツールまたは遠隔監視端末との間で無線通信が実行される場合に適用されてもよい。これによれば、エレベータ制御装置１１（またはメンテナンス装置１６）と監視盤、保守ツールまたは遠隔監視端末との間の無線通信が傍受されることにより有用な情報が不正に取得されることを防止することが可能となる。

（第２の実施形態）
次に、第２の実施形態について説明する。第１の実施形態においてはエレベータ制御装置１１及びメンテナンス装置１６間で無線通信を実行する場合について主に説明したが、エレベータシステムにおいては前述したように例えばエレベータ制御装置１１とメンテナンス装置１６以外の構成機器との間で無線通信を実行する場合がある。本実施形態におけるメンテナンス装置１６以外の構成機器には、例えば乗りかご１２、ホール呼び登録装置、監視盤、保守ツール及び遠隔監視端末等が含まれる。

ここで、前述したエレベータ１０のメンテナンス等に必要な情報には、エレベータ１０の動作情報（乗りかご１２の位置情報等）、エラーコード（故障情報）、メンテナンス情報（エレベータ１０のメンテナンスのための情報）及びサービス情報（客先に対するサービス用の情報）等が含まれる。エレベータシステムにおいて、上記したメンテナンス装置１６以外の構成機器では、これらの情報のうちの一部のみを使用する（送受信する）場合が多い。したがって、例えばエレベータ制御装置１１と無線通信を実行する構成機器がメンテナンス装置１６以外の機器である場合には、前述したメンテナンス装置１６と同程度のセキュリティは要求されない場合がある。

そこで、本実施形態においては、例えばエレベータ制御装置１１がメンテナンス装置１６以外の構成機器と無線通信を実行する場合に、前述した図３に示す機器登録処理とは異なる処理が実行されるものとする。以下の説明においては、メンテナンス装置１６以外の構成機器を対象機器と称する。

なお、本実施形態に係るエレベータシステムにおけるエレベータ１０の構成は、前述した第１の実施形態と同様であるため、適宜、図１を用いて説明する。また、エレベータ制御装置１１の機能構成は、前述した第１の実施形態と同様であるため、図２を用いて説明する。更に、エレベータ制御装置１１と無線通信を実行する対象機器は、前述した図２に示すメンテナンス装置１６と同様の機能部（操作判定部、格納部及び通信制御部）を含むものとする。

以下、図５のフローチャートを参照して、エレベータ制御装置１１及び対象機器間で無線通信を実行する場合の機器登録処理の処理手順について説明する。

この場合、エレベータ制御装置１１においてペアリングモードが設定されたか否かが判定される（ステップＳ２１）。ペアリングモードは、前述したように、例えばエレベータ制御装置１１に対するエレベータ１０の管理者の操作に応じて、モード設定部１１１によって設定される。なお、ペアリングモードの設定は、例えば遠隔監視端末からの指令に基づいて行われても構わない。

ペアリングモードが設定されたと判定された場合（ステップＳ２１のＹＥＳ）、エレベータ制御装置１１は対象機器と無線通信可能な状態となる。なお、エレベータ制御装置１１が対象機器と無線通信可能な状態となった場合、当該エレベータ制御装置１１の通信可能状態は対象機器において認識される。

ここで、対象機器を通信可能機器として登録する場合、管理者は、エレベータ制御装置１１においてペアリングモードが設定されている間に、当該対象機器に対して所定の操作（ペアリング操作）を行うものとする。

エレベータ制御装置１１の通信可能状態が対象機器において認識されると、対象機器（に含まれる操作判定部）は、当該対象機器に対してペアリング操作が行われた（つまり、ペアリング操作が受け付けられた）か否かを判定する（ステップＳ２２）。

ペアリング操作が行われたと判定された場合（ステップＳ２２のＹＥＳ）、対象機器は、エレベータ制御装置１１と無線通信可能な状態となる。これによれば、エレベータ制御装置１１及び対象機器間で無線通信が開始される（ステップＳ２３）。

次に、エレベータ制御装置１１に含まれるペアリング処理部１１２は、対象機器を通信可能機器として登録するために、認証キーを発行する（ステップＳ２４）。なお、認証キーについては、前述した第１の実施形態において説明した通りであるため、その詳しい説明を省略する。

エレベータ制御装置１１及び対象機器の各々において、ペアリング処理部１１２によって発行された認証キー及び通信実績情報が格納（登録）される（ステップＳ２５）。ステップＳ２５の処理は、前述したステップＳ８の処理に相当する処理であるため、その詳しい説明を省略する。

ステップＳ２１においてペアリングモードが設定されていないと判定された場合（ステップＳ２１のＮＯ）、またはステップＳ２２においてペアリング操作が行われていないと判定された場合（ステップＳ２２のＮＯ）、機器登録処理は終了される。

上述した機器登録処理によれば、前述した図３において説明した例えば、メンテナンス装置１６が通信可能機器として登録される状況よりも簡易な状況で対象機器を登録することができる。すなわち、本実施形態においては、ペアリングモードが設定されている間に対象機器に対してペアリング操作を行うのみで当該対象機器を通信可能機器として登録することができる。

ステップＳ２５においてエレベータ制御装置１１及び対象機器の各々において格納された認証キー及び通信実績情報は、エレベータ１０の通常運行時にエレベータ制御装置１１及び対象機器間で無線通信が実行される際に用いられる。

なお、本実施形態に係るエレベータシステムを構成する構成機器間（例えば、エレベータ制御装置１１及び対象機器間等）で無線通信を実行する際の処理については、前述した図４に示す処理と同様であるため、その詳しい説明を省略する。

また、図４に示す処理においては認証キー及び通信実績情報の双方が用いられるものとして説明しているが、本実施形態においては、認証キーのみが用いられる構成であってもよい。この場合、図４に示すステップＳ１３及びＳ１４の処理は省略されるものとする。更に、図５に示すステップＳ２５の処理においては、認証キーのみが格納されるようにしてもよい。

上記したように本実施形態においては、メンテナンス装置１６と同程度のセキュリティを確保する必要のない構成機器に関しては、当該メンテナンス装置１６と比較してより簡易な状況で認証キーを発行する（つまり、当該構成機器を通信可能機器として登録する）構成により、当該構成機器の登録時の管理者の手間及び負担を軽減することができる。

なお、メンテナンス装置１６以外の各構成機器（乗りかご１２、ホール呼び登録装置、監視盤、保守ツール及び遠隔監視端末等）では、それぞれ異なる情報（データ）が使用される。このため、本実施形態においては、例えば各構成機器で使用される情報の種別（または当該各構成機器が使用される状況）等に応じてペアリング操作を変更することによって、当該構成機器毎に通信可能機器として登録される状況を変更することも可能である。

具体的には、エレベータ制御装置１１と乗りかご１２またはホール呼び登録装置との間の無線通信においては例えばエレベータ１０の動作情報等が送受信されるが、当該エレベータ１０の動作情報は比較的重要度の低い情報である。このため、乗りかご１２及びホール呼び登録装置を通信可能機器として登録する際のペアリング操作は、例えば所定期間内（例えば１０秒〜１分程度の間）に所定のボタンを順番に押下する操作等とし、比較的容易に通信可能機器として登録可能な構成とする。

また、監視盤は、客先の要望等により外部の機器（他社の監視盤等）と無線通信を実行する場合がある。したがって、監視端末と特定の第三者の機器とが無線通信を実行する場合を考慮して、監視盤を通信可能機器として登録するためのペアリング操作は、比較的容易な操作、例えば所定のボタンを押下する操作等とする。

更に、エレベータ制御装置１１（またはメンテナンス装置１６）と保守ツールまたは遠隔監視端末との間の無線通信においては、上述したエレベータ１０のメンテナンス等に必要な情報の多くが送受信される。エレベータ１０のメンテナンス等に必要な情報のうち例えばエラーコード及びメンテナンス情報は必要以上に第三者に開示する必要はない。このため、保守ツール及び遠隔監視端末を通信可能機器として登録する際のペアリング操作は、例えばパスワードの入力操作等の比較的高いセキュリティを実現できるような操作とする。

本実施形態においては、上記したように各構成機器で使用される情報の種別または当該各構成機器が使用される状況等に応じてペアリング操作を変更することによって、例えばエレベータ制御装置１１及び当該各構成機器間の無線通信において適切なセキュリティを確保することができる。

なお、本実施形態において説明した図５に示す処理は、エレベータ制御装置１１とメンテナンス装置１６以外の構成機器との間で無線通信が実行される場合の機器登録処理であるが、例えば不正な機器によって傍受される可能性が低い環境であれば、エレベータ制御装置１１とメンテナンス装置１６との間で無線通信が実行される場合に図５に示す処理が実行されても構わない。

更に、停電等によりエレベータシステムを構成する構成機器間の通信がダウンした場合には、復帰時に上述した図４に示す処理が実行されるものとする。具体的には、図４に示す処理により構成機器が正当な機器であると判定された場合に、例えばエレベータ制御装置１１及び当該構成機器間の無線通信を復帰させる。通信のダウンにより、構成機器が正当な機器として登録されていないものとなっているときは、再度機器登録処理が実行されることによって、当該構成機器を通信可能機器として登録することができる。構成機器を新たな構成機器に交換する場合も同様に機器登録処理が実行される。なお、交換前の構成機器に対して発行された認証キー等の情報の削除を行う必要はないが、エレベータシステム（エレベータ制御装置１１等）において適宜削除（リセット）されてもよい。

以上述べた少なくとも１つの実施形態によれば、無線通信におけるセキュリティを確保することが可能なエレベータシステム及び無線通信方法を提供することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０…エレベータ、１１…エレベータ制御装置、１２…乗りかご、１３…カウンタウエイト、１４…巻上げ機、１５…メインロープ、１６…メンテナンス装置、１１１…モード設定部、１１２…ペアリング処理部、１１３…格納部、１１４…通信制御部、１１５…運行制御部、１６１…操作判定部、１６２…格納部、１６３…通信制御部。

Claims (5)

1. 第１及び第２の構成機器を備えるエレベータシステムにおいて、
   前記第１の構成機器は、設定手段と、処理手段と、制御手段とを含み、
   前記第２の構成機器は、判定手段を含み、
   前記設定手段は、エレベータを試運転するためのテストモードの設定中に、前記第１の構成機器と無線通信を実行可能な機器を登録するためのペアリングモードを設定し、
   前記判定手段は、前記ペアリングモードが設定された後、予め定められた期間内に前記第２の構成機器に対して予め定められた操作が行われたかを判定し、
   前記処理手段は、
   前記予め定められた期間内に前記予め定められた操作が行われたと判定された場合、前記ペアリングモードが設定されていない場合に実行される前記第１及び第２の構成機器間の無線通信で使用される第１の周波数帯とは異なる第２の周波数帯を使用して前記第１及び第２の構成機器間で無線通信を実行し、
   当該無線通信が予め定められた期間継続して行われた場合に、前記第１の周波数帯を使用した無線通信を実行する際に必要な認証キーを発行し、
   前記制御手段は、前記発行された認証キーを用いて認証される前記第２の構成機器からの前記第１の構成機器へのアクセスを許可する
   エレベータシステム。
2. 前記制御手段は、前記発行された認証キーと、前記認証キーが発行された際に前記第１及び第２の構成機器間で実行された無線通信の実績を示す通信実績情報とを用いて認証される前記第２の構成機器からのアクセスを許可する
   請求項１記載のエレベータシステム。
3. 前記第１の構成機器は、前記発行された認証キーを用いて認証されない前記第２の構成機器以外の機器から前記第１の構成機器にアクセスされた場合、エレベータの運行を停止する停止手段を更に含む、請求項１記載のエレベータシステム。
4. 前記第１の構成機器は、前記発行された認証キーを用いて認証されない前記第２の構成機器以外の機器から前記第１の構成機器にアクセスされた場合、不正アクセスが行われたことを通知する通知手段を更に含む、請求項１記載のエレベータシステム。
5. 第１及び第２の構成機器を備えるエレベータシステムが実行する無線通信方法であって、
   エレベータを試運転するためのテストモードの設定中に、前記第１の構成機器と無線通信を実行可能な機器を登録するためのペアリングモードを前記第１の構成機器が設定することと、
   前記ペアリングモードが設定された後、予め定められた期間内に前記第２の構成機器に対して予め定められた操作が行われたかを当該第２の構成機器が判定することと、
   前記予め定められた期間内に前記予め定められた操作が行われたと判定された場合、前記ペアリングモードが設定されていない場合に実行される前記第１及び第２の構成機器間の無線通信で使用される第１の周波数帯とは異なる第２の周波数帯を使用して前記第１及び第２の構成機器間で無線通信を実行することと、
   当該無線通信が予め定められた期間継続して行われた場合に、前記第１の周波数帯を使用した無線通信を実行する際に必要な認証キーを前記第１の構成機器が発行することと、
   前記発行された認証キーを用いて認証される前記第２の構成機器からの前記第１の構成機器へのアクセスを前記第１の構成機器が許可することと
   を具備する無線通信方法。

Images