JP6160930B2 - 機器制御方法、機器制御システム - Google Patents

Description

本発明は、機器を制御する方法、及び機器を制御するシステムに関する。

従来、宅内に配置されている機器を、宅外に持ち出した操作端末を用いて制御することができる機器制御システムが提案されている。

例えば、特許文献１には、宅外において携帯通信端末を操作することで、宅内に設置される家庭電化機器を制御する技術が記載されている。

特開２００３−３１９４７１号公報

上記従来の機器制御システムでは、一定のセキュリティレベルが担保されていない状態の操作端末が、その操作端末の正当なユーザの知らないうちに操作されてしまい、そのユーザにとって不都合が生じてしまうことが起こり得る。

例えば、操作端末を不正に入手した第三者によって、一定のセキュリティレベルが担保されていない状態でその操作端末が操作され、その操作端末の正当なユーザの意に反する機器の制御が行われてしまうケース等が考えられる。

そこで、本発明は、一定のセキュリティレベルが担保されていない状態の操作端末が操作されることによって生じてしまう不都合の頻度を、従来よりも低減することができる機器制御方法を提供することを目的とする。

上記課題を解決するために本発明に係る機器制御方法は、操作端末を用いて機器を制御する機器制御システムにおける機器制御方法であって、前記操作端末を用いてなされる、前記機器を制御するための機器制御操作を受け付ける操作受付ステップと、前記操作端末の状態が、制御権限に係る第１状態であるか、前記第１状態における制御権限よりも低い制御権限に係る第２状態であるかを判定する判定ステップと、前記判定ステップによって前記操作端末が前記第２状態であると判定される場合に、許容する機器の制御内容を、前記第１状態であると判定される場合に許容する機器の制御内容の一部に限定する限定ステップと、前記操作受付ステップによって受け付けられた機器制御操作に応じて、前記機器を制御する機器制御ステップとを有し、前記判定ステップによって前記操作端末が前記第２状態であると判定された場合に、前記限定ステップによって限定された制御内容に限って、前記機器を制御することを特徴とする。

上述の本発明に係る機器制御方法によると、実行可能となる機器の制御を、操作端末の状態に応じて制限することができるようになる。そして、このことによって、一定のセキュリティレベルが担保されていない状態の操作端末が操作されることによって生じてしまう不都合の頻度を、従来よりも低減することができる。

機器制御システム１００のシステム構成図 操作端末１３０の回路図 操作端末１３０の機能構成を示すブロック図 操作端末情報４００のデータ構成図 第１セキュリティモジュール１１０の回路図 第１セキュリティモジュール１１０の機能構成を示すブロック図 操作端末１３０と第１セキュリティモジュール１１０との外観を示す斜視図 機器１４０の回路図 機器１４０の機能構成を示すブロック図 機器情報１０００のデータ構成図 第２セキュリティモジュール１２０の回路図 第２セキュリティモジュール１２０の機能構成を示すブロック図 機器１４０と第２セキュリティモジュール１２０との外観を示す斜視図 ホームゲートウェイ１５０の回路図 ホームゲートウェイ１５０の機能構成を示すブロック図 サーバ装置１６０の回路図 サーバ装置１６０の機能構成を示すブロック図 ユーザ情報１８００のデータ構成図 機能情報１９００のデータ構成図 初期登録処理のフローチャート ユーザ情報１８００のデータ構成図 第２セキュリティモジュール発行依頼処理のフローチャート ユーザ情報１８００のデータ構成図 機器登録処理のフローチャート 機器操作処理のフローチャートその１ 機器操作処理のフローチャートその２ 機器操作処理のフローチャートその３ タッチパネル２４０に表示される画像の一例を示す模式図その１ タッチパネル２４０に表示される画像の一例を示す模式図その２ 情報確認処理のフローチャートその１ 情報確認処理のフローチャートその２ タッチパネル２４０に表示される情報確認画像の一例を示す模式図 操作端末３３３０の回路図 操作端末３３３０の機能構成を示すブロック図 サーバ装置３５６０の機能構成を示すブロック図 ユーザ情報３６００のデータ構成図 変形初期登録処理のフローチャート 変形第２セキュリティモジュール発行依頼処理のフローチャート 変形機器操作処理のフローチャートその１ 変形機器操作処理のフローチャートその２ 変形機器操作処理のフローチャートその３ 操作端末４２３０の機能構成を示すブロック図 サーバ装置４３６０の機能構成を示すブロック図 ユーザ情報４４００のデータ構成図 ユーザ追加登録処理のフローチャートその１ ユーザ追加登録処理のフローチャートその２

＜実施の形態１＞
＜概要＞
以下、本発明に係る機器制御方法の一実施形態として、宅内に配置されている機器を、宅外に持ち出した操作端末を用いて制御することができる機器制御システムについて説明する。

この機器制御システムにおいて、操作端末は、自モジュールの識別子を記憶するセキュリティモジュールを着脱自在に装着する。

この機器制御システムでは、操作端末が、システムに登録されている識別子を記憶するセキュリティモジュールを装着している状態である場合には、セキュアレベル１（後述）に対応付けられた機器の制御と、セキュアレベル２（後述）に対応付けられた機器の制御との双方が実行可能となる。そして、操作端末が、予めシステムに登録された識別子を記憶するセキュリティモジュールを装着していない状態である場合には、セキュアレベル２に対応付けられた機器の制御に限って実行可能となる。

ここで、このセキュリティモジュールは、操作端末を利用する正当なユーザに対してのみ提供される。

以下、この機器制御システムの構成について図面を参照しながら説明する。

＜構成＞
図１は、機器制御システム１００の構成を示すシステム構成図である。

同図に示されるように、機器制御システム１００は、操作端末１３０と、第１セキュリティモジュール１１０と、機器１４０Ａ〜機器１４０Ｃと、第２セキュリティモジュール１２０Ａ〜第２セキュリティモジュール１２０Ｃと、ホームゲートウェイ１５０と、サーバ装置１６０と、ネットワーク１７０と、基地局１８０とから構成される。

以下、機器制御システム１００を構成するこれら構成要素について順に説明する。

操作端末１３０は、いわゆるスマートフォン型携帯通信端末であって、第１セキュリティモジュール１１０を着脱可能に装着する。

図２は、操作端末１３０の回路図である。

同図に示されるように、操作端末１３０は、ＣＰＵ（Central Processing Unit）２００と、通信用ＬＳＩ（Large Scale Integration）２１０と、アンテナ２２０と、タッチパネルコントローラ２３０と、タッチパネル２４０と、メモリ２５０と、コネクタ２６０と、レシーバ２７０と、マイク２８０と、バッテリ２９０とから構成される。

アンテナ２２０は、通信用ＬＳＩ２１０に接続され、通信用ＬＳＩ２１０が行う通信に利用される、例えば、金属製のモノポールアンテナである。

通信用ＬＳＩ２１０は、アンテナ２２０とＣＰＵ２００とに接続され、ＣＰＵ２００によって制御され、ＣＰＵ２００から送られて来た送信用信号を変調する変調機能と、変調した信号を、アンテナ２２０を利用して基地局１８０に送信する送信機能と、基地局１８０から送信された信号を、アンテナ２２０を利用して受信する受信機能と、受信した信号を復調してＣＰＵ２００へ送る復調機能とを有する。

ここで、通信用ＬＳＩ２１０と基地局１８０との間でなされる通信は、例えば、ＬＴＥ（Long Term Evolution）といった通信規格に準拠する商用携帯電話用無線通信回線を利用してなされる。

タッチパネル２４０は、タッチパネルコントローラ２３０に接続され、タッチパネルコントローラ２３０によって制御され、画像を表示する機能と、操作端末１３０を利用するユーザからの接触操作を電気信号に変換して出力する機能とを有する。

タッチパネルコントローラ２３０は、ＣＰＵ２００とタッチパネル２４０とに接続され、ＣＰＵ２００によって制御され、ＣＰＵ２００から送られてくる画像信号に基づく画像をタッチパネル２４０に表示させる機能と、操作端末１３０を利用するユーザによる、タッチパネル２４０を用いて行う接触操作を受け付けて、受け付けた接触操作を示す信号をＣＰＵ２００に送る機能とを有する。

コネクタ２６０は、ＣＰＵ２００に接続され、以下の３つの機能を有する。

機能１：第１セキュリティモジュール１１０のコネクタ５６０（後述）と接続することで、操作端末１３０に、第１セキュリティモジュール１１０を着脱可能に装着させる機能。

機能２：操作端末１３０に、第１セキュリティモジュール１１０が装着されている場合において、操作端末１３０と第１セキュリティモジュール１１０とを、有線にて通信可能に接続する機能。

機能３：操作端末１３０に、第１セキュリティモジュール１１０が装着されている場合において、バッテリ２９０から供給される電力を、第１セキュリティモジュール１２０に伝達する機能。

レシーバ２７０は、ＣＰＵ２００に接続され、ＣＰＵ２００によって制御され、ＣＰＵ２００から送られる電気信号を音声に変換して出力する機能を有する。

マイク２８０は、ＣＰＵ２００に接続され、音声を電気信号に変換して、変換した電気信号をＣＰＵ２００へ送る機能を有する。

メモリ２５０は、ＣＰＵ２００に接続され、ＲＡＭ（Random Access Memory）とＲＯＭ（Read Only Memory）とフラッシュメモリとから構成され、ＣＰＵ２００の動作を規定するプログラムと、ＣＰＵ２００が利用するデータとを記憶する。

ＣＰＵ２００は、通信用ＬＳＩ２１０とタッチパネルコントローラ２３０とメモリ２５０とコネクタ２６０とレシーバ２７０とマイク２８０とに接続され、メモリ２５０に記憶されているプログラムを実行することで、通信用ＬＳＩ２１０とタッチパネルコントローラ２３０とレシーバ２７０とを制御して、操作端末１３０に、以下の５つの機能を実現させる機能を有する。

スマートフォン制御機能：操作端末１３０を制御して、操作端末１３０に、従来のスマートフォンが有する、スマートフォンとしての一般的な機能と同等な機能、例えば、通話機能、インターネットサイト閲覧機能、メール送受信機能、待ち受け機能等を実現させる機能。

初期登録機能Ａ：操作端末１３０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う初期登録処理を実現する機能。この初期登録処理については、後程＜初期登録処理＞の項目において、フローチャートを用いて詳細に説明する。

第２セキュリティモジュール発行依頼機能Ａ：操作端末１３０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う第２セキュリティモジュール発行依頼処理を実現する機能。この第２セキュリティモジュール発行依頼処理については、後程＜第２セキュリティモジュール発行依頼処理＞の項目において、フローチャートを用いて詳細に説明する。

機器操作機能Ａ：操作端末１３０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器操作処理を実現する機能。この機器操作処理については、後程＜機器操作処理＞の項目において、フローチャートを用いて詳細に説明する。

情報確認機能Ａ：操作端末１３０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う情報確認処理を実現する機能。この情報確認処理については、後程＜情報確認処理＞の項目において、フローチャートを用いて詳細に説明する。

バッテリ２９０は、繰り返し充電され得る二次電池であって、操作端末１３０を構成する電子部品に電力を供給する機能を有する。

上記回路構成を備える操作端末１３０について、以下、機能面から見た構成について説明する。

図３は、操作端末１３０の機能構成を示すブロック図である。

同図に示されるように、操作端末１３０は、制御手段３００と、表示手段３１０と、操作受付手段３２０と、セキュリティモジュール通信手段３３０と、音声処理手段３４０と、通信手段３５０と、暗号処理手段３６０と、操作端末情報格納手段３７０とから構成される。

表示手段３１０は、プログラムを実行するＣＰＵ２００と、タッチパネルコントローラ２３０と、タッチパネル２４０とによって実現され、制御手段３００によって制御され、操作端末１３０を利用するユーザに提示する画像を生成してタッチパネル２４０に表示する機能を有する。

操作受付手段３２０は、プログラムを実行するＣＰＵ２００と、タッチパネルコントローラ２３０と、タッチパネル２４０とによって実現され、制御手段３００によって制御され、操作端末１３０を利用するユーザからの、タッチパネル２４０への接触操作を受け付ける機能を有する。

セキュリティモジュール通信手段３３０は、プログラムを実行するＣＰＵ２００と、コネクタ２６０とによって実現され、制御手段３００によって制御され、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合において、第１セキュリティモジュール１１０と有線にて通信する機能を有する。

音声処理手段３４０は、プログラムを実行するＣＰＵ２００と、レシーバ２７０と、マイク２８０とによって実現され、制御手段３００によって制御され、操作端末１３０の行う通話における音声の入出力処理を行う機能を有する。

通信手段３５０は、プログラムを実行するＣＰＵ２００と、通信用ＬＳＩ２１０と、アンテナ２２０とによって実現され、制御手段３００によって制御され、商用携帯電話用無線通信回線を利用して基地局１８０と通信する機能と、基地局１８０とネットワーク１７０とを介して、サーバ装置１６０と通信する機能を有する。

暗号処理手段３６０は、プログラムを実行するＣＰＵ２００によって実現され、制御手段３００によって制御され、データの秘匿性、完全性を保つための暗号化処理を実行する暗号処理機能、暗号技術を用いた認証処理を実行する認証処理機能、暗号技術を用いた鍵共有処理を実行する鍵共有処理機能を有する。ここで、暗号処理手段３６０は、これら、暗号処理機能、認証処理機能、鍵共有処理機能を実現するために、ＡＥＳ（Advanced Encrypting Standard）暗号技術、ＥＣＤＳＡ（Elliptic Curve Digital Signature Standard）技術、ＥＣＤＨ（Elliptic Curve Diffie-Hellman）技術、ＳＳＬ（Secure Socket Layer）／ＴＳＬ（Transport Layer Security）技術等を利用する。

操作端末情報格納手段３７０は、プログラムを実行するＣＰＵ２００と、メモリ２５０に含まれる記憶領域の一部とによって実現され、操作端末情報４００を記憶する機能を有する。

図４は、操作端末情報格納手段３７０によって記憶される操作端末情報４００の一例についてのデータ構成図である。

同図に示されるように、操作端末情報４００は、端末種別４１０と型番４２０とが対応付けられて構成される。

端末種別４１０は、操作端末１３０の種別を示す情報である。

型番４２０は、操作端末１３０の型番を示す情報である。

この例では、操作端末１３０の端末種別はスマートフォンであり、型番はＰ−０６Ｄである場合の例となっている。

再び、図３に戻って、操作端末１３０の機能構成の説明を続ける。

制御手段３００は、プログラムを実行するＣＰＵ２００によって実現され、表示手段３１０と操作受付手段３２０とセキュリティモジュール通信手段３３０と音声処理手段３４０と通信手段３５０と暗号処理手段３６０と操作端末情報格納手段３７０とを制御して、操作端末１３０に、前述の、スマートフォン制御機能と初期登録機能Ａと第２セキュリティモジュール発行依頼機能Ａと機器操作機能Ａと情報確認機能Ａとを実現させる機能を有する。

図５は、第１セキュリティモジュール１１０の回路図である。

同図に示されるように、第１セキュリティモジュール１１０は、ＣＰＵ５００と、メモリ５５０と、コネクタ５６０とから構成される。

コネクタ５６０は、ＣＰＵ５００に接続され、以下の３つの機能を有する。

機能１：操作端末１３０のコネクタ２６０と接続することで、第１セキュリティモジュール１１０を、操作端末１３０に着脱可能に装着させる機能。

機能２：操作端末１３０に、第１セキュリティモジュール１１０が装着されている場合において、操作端末１３０と第１セキュリティモジュール１１０とを、有線にて通信可能に接続する機能。

機能３：操作端末１３０に、第１セキュリティモジュール１１０が装着されている場合において、コネクタ２６０から伝達される電力を、第１セキュリティモジュール１１０を構成する電子部品に伝達する機能。

メモリ５５０は、ＣＰＵ５００に接続され、ＲＡＭとＲＯＭとフラッシュメモリとから構成され、ＣＰＵ５００の動作を規定するプログラムと、ＣＰＵ５００が利用するデータとを記憶する。

ＣＰＵ５００は、メモリ５５０とコネクタ５６０とに接続され、メモリ５５０に記憶されているプログラムを実行することで、第１セキュリティモジュール１１０に、以下の４つの機能を実現させる機能を有する。

初期登録機能Ｂ：第１セキュリティモジュール１１０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う初期登録処理を実現する機能。

第２セキュリティモジュール発行依頼機能Ｂ：第１セキュリティモジュール１１０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う第２セキュリティモジュール発行依頼処理を実現する機能。

機器操作機能Ｂ：第１セキュリティモジュール１１０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器操作処理を実現する機能。

情報確認機能Ｂ：第１セキュリティモジュール１１０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う情報確認処理を実現する機能。

上記回路構成を備える第１セキュリティモジュール１１０について、以下、機能面から見た構成について説明する。

図６は、第１セキュリティモジュール１１０の機能構成を示すブロック図である。

同図に示されるように、第１セキュリティモジュール１１０は、制御手段６００と、操作端末通信手段６１０と、ＩＤ情報格納手段６２０とから構成される。

ＩＤ情報格納手段６２０は、プログラムを実行するＣＰＵ５００と、メモリ５５０に含まれる記憶領域の一部とによって実現され、自モジュールを一意に識別するセキュリティモジュールＩＤを記憶する機能を有する。

ここで、このセキュリティモジュールＩＤは、第１セキュリティモジュール１１０の製造時において、メモリ５５０を構成するＲＯＭにおける所定の記憶領域に書き込まれる。このことによって、セキュリティモジュールＩＤが改竄されてしまうことを防止している。

また、ＩＤ情報格納手段６２０は、ソフトウエア又はハードウエアを利用する暗号化技術を利用して、記憶するセキュリティモジュールＩＤに対して耐タンパ性を有している。

操作端末通信手段６１０は、プログラムを実行するＣＰＵ５００と、コネクタ５６０とによって実現され、制御手段６００によって制御され、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合において、操作端末１３０と有線にて通信する機能を有する。

制御手段６００は、プログラムを実行するＣＰＵ５００によって実現され、操作端末通信手段６１０とＩＤ情報格納手段６２０とを制御して、第１セキュリティモジュール１１０に、前述の、初期登録機能Ｂと第２セキュリティモジュール発行依頼機能Ｂと機器操作機能Ｂと情報確認機能Ｂとを実現させる機能を有する。

図７は、操作端末１３０と第１セキュリティモジュール１１０との外観を示す斜視図である。

同図に示されるように、操作端末１３０は、いわゆるスマートフォン型携帯通信端末であって、その筐体の主表面に、レシーバ２７０から出力される音声を筐体外部に伝えるためのレシーバ孔７１０と、筐体外部の音声をマイク２８０に伝えるためのマイク孔７２０とが形成され、さらに、タッチパネル２４０の主表面が配置されている。また、その筐体の側面に、セキュリティモジュール挿入孔７３０が形成されている。そして、セキュリティモジュール挿入孔７３０の奥には、コネクタ２６０が配置されている。

第１セキュリティモジュール１１０は、その筐体自体が、コネクタ５６０を兼用している。そして、第１セキュリティモジュール１１０の筐体、すなわち、コネクタ５６０が、セキュリティモジュール挿入孔７３０に挿入されることで、コネクタ２６０とコネクタ５６０とが接続され、操作端末１３０に第１セキュリティモジュール１１０が装着されることとなる。

コネクタ２６０は、複数の金属製電極によって構成される電極群７４０を有し、第１セキュリティモジュール１１０の筐体、すなわち、コネクタ５６０は、複数の金属製電極によって構成される電極群７５０を有する。そして、操作端末１３０に第１セキュリティモジュール１１０が装着される状態において、電極群７４０を構成する電極のそれぞれと、電極群７５０を構成する電極のそれぞれとが、互いに電気的に接続される。このことによって、操作端末１３０と第１セキュリティモジュール１１０とは、有線にて通信することが可能となる。

図１に示される、機器１４０Ａ〜機器１４０Ｃは、それぞれ、宅内に配置される電子機器であって、例えば、家庭用交流電源で動作する、エアコン、冷蔵庫、レコーダ、テレビ等である。

以下、機器１４０Ａ〜機器１４０Ｃについて、これら機器を個別に説明するのではなく、これら機器を代表して、機器１４０を用いて説明する。

図８は、機器１４０の回路図である。

同図に示されるように、機器１４０は、制御部８１０と機器本体部８２０とから構成される。

制御部８１０は、さらに、ＣＰＵ８００と、コネクタ８６０と、メモリ８５０と、入力装置８７０と、出力装置８８０とから構成される。また、機器本体部８２０は、機器本体ハードウエア８９０によって構成される。

機器本体ハードウエア８９０は、ＣＰＵ８００に接続され、ＣＰＵ８００によって制御され、ＣＰＵ８００によって制御されることで、電子機器である機器１４０が、その電子機器としての機能を実現するためのハードウエア群である。例えば、機器１４０がエアコンであるとすれば、機器本体ハードウエア８９０は、エアコンとしての機能を実現するための、コンプレッサ、熱交換器、送風ファン等からなるハードウエア群が該当することとなる。

コネクタ８６０は、ＣＰＵ８００に接続され、以下の３つの機能を有する。

機能１：第２セキュリティモジュール１２０（後述）のコネクタ１１６０（後述）と接続することで、機器１４０に、第２セキュリティモジュール１２０を着脱可能に装着させる機能。

機能２：機器１４０に、第２セキュリティモジュール１２０が装着されている場合において、機器１４０と第２セキュリティモジュール１２０とを、有線にて通信可能に接続する機能。

機能３：機器１４０に、第２セキュリティモジュール１２０が装着されている場合において、第２セキュリティモジュール１２０に電力を供給する機能。

入力装置８７０は、ＣＰＵ８００に接続され、機器１４０を利用するユーザによってなされる操作を電気信号に変換して、ＣＰＵ８００に送る機能を有する。例えば、操作パネルにより実現される。

出力装置８８０は、ＣＰＵ８００に接続され、ＣＰＵ８００から送られてくる画像信号に基づく画像、音声等を表示する機能を有する。例えば、液晶ディスプレイ、スピーカにより実現される。

メモリ８５０は、ＣＰＵ８００に接続され、ＲＡＭとＲＯＭとフラッシュメモリとから構成され、ＣＰＵ８００の動作を規定するプログラムと、ＣＰＵ８００が利用するデータとを記憶する。

ＣＰＵ８００は、メモリ８５０とコネクタ８６０と入力装置８７０と出力装置８８０と機器本体ハードウエア８９０とに接続され、メモリ８５０に記憶されているプログラムを実行することで、機器本体ハードウエア８９０と入力装置８７０と出力装置８８０とを制御して、機器１４０に、以下の４つの機能を実現させる機能を有する。

機器制御機能：機器１４０を制御して、機器１４０に、従来の機器が有する、機器としての一般的な機能と同等な機能、例えば、機器がテレビであれば、番組再生機能、チャンネル切替機能等であり、例えば、機器が洗濯機であれば、すすぎ機能、脱水機能等を実現させる機能である。

機器登録機能Ｃ：機器１４０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器登録処理を実現する機能。この機器登録処理については、後程＜機器登録処理＞の項目において、フローチャートを用いて詳細に説明する。

機器操作機能Ｃ：機器１４０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器操作処理を実現する機能。

情報確認機能Ｃ：機器１４０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う情報確認処理を実現する機能。

上記回路構成を備える機器１４０について、以下、機能面から見た構成について説明する。

図９は、機器１４０の機能構成を示すブロック図である。

同図に示されるように、機器１４０は、制御手段９００と、実行手段９２０と、セキュリティモジュール通信手段９３０と、入力手段９４０と、出力手段９５０と、機器情報格納手段９７０とから構成される。

実行手段９２０は、プログラムを実行するＣＰＵ８００と、機器本体ハードウエア８９０とによって実現され、制御手段９００によって制御され、制御手段９００から、機器本体ハードウエア８９０に所定の動作をさせる旨を示すコマンドが送られて来た場合に、機器本体ハードウエア８９０を用いて、そのコマンドの示す所定の動作を実行する機能を有する。

セキュリティモジュール通信手段９３０は、プログラムを実行するＣＰＵ８００と、コネクタ８６０とによって実現され、制御手段９００によって制御され、機器１４０に第２セキュリティモジュール１２０が装着されている場合において、第２セキュリティモジュール１２０と有線にて通信する機能を有する。

入力手段９４０は、プログラムを実行するＣＰＵ８００と、入力装置８７０とによって実現され、制御手段９００によって制御され、機器１４０を利用するユーザによる、入力装置８７０を用いてなされる操作を受け付ける機能と、ユーザによる操作を受け付けた場合において、その操作が、機器本体ハードウエア８９０に所定の動作をさせる旨を示す操作であるときに、機器本体ハードウエア８９０にその所定の動作をさせる旨を示すコマンドを生成して、制御手段９００に送る機能を有する。

出力手段９５０は、プログラムを実行するＣＰＵ８００と、出力装置８８０とによって実現され、制御手段９００によって制御され、機器１４０を利用するユーザに提示する画像を生成して出力装置８８０に表示する機能を有する。

機器情報格納手段９７０は、プログラムを実行するＣＰＵ８００と、メモリ８５０に含まれる記憶領域の一部とによって実現され、機器情報１０００を記憶する機能を有する。

図１０は、機器情報格納手段９７０によって記憶される機器情報１０００の一例についてのデータ構成図である。

同図に示されるように、機器情報１０００は、機種１０１０と型番１０２０と機能１０３０とセキュアレベル１０４０とが対応付けられて構成される。

機種１０１０は、機器１４０の機種を示す情報である。

型番１０２０は、機器１４０の型番を示す情報である。

機能１０３０は、機器１４０の有する電子機器としての機能のうち、操作端末１３０によって制御可能となる機能を示す情報である。

セキュアレベル１０４０は、対応付けられている機能１０３０を、操作端末１３０を利用して制御する際に必要となる、操作端末１３０のセキュアレベルを示す情報である。

ここで、操作端末１３０のセキュアレベルとは、操作端末１３０の状態のことを言い、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態を、操作端末１３０のセキュアレベルが１であると言い、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態を、操作端末１３０のセキュアレベルが２であると言う。

セキュアレベル１は、セキュアレベル２よりも優位なレベルであって、セキュアレベルが１の操作端末１３０は、セキュアレベル１に対応付けられている、操作端末１３０によって制御可能となる機能と、セキュアレベル２に対応付けられている、操作端末１３０によって制御可能となる機能との双方が制御可能となるが、セキュアレベルが２の操作端末１３０は、セキュアレベル２に対応付けられている、操作端末１３０によって制御可能となる機能のみが制御可能となる。

コマンド１０５０は、対応付けられている機能１０３０を、機器１４０に実現させるためのコマンドである。

この例では、機器１４０の機種はエアコンであり、型番はＣＳ―Ｘ２５２Ｃであり、操作端末１３０によって制御可能となる機能は、電源ＯＮと電源ＯＦＦと運転切替とタイマセットとであり、セキュアレベルが１の操作端末１３０によって制御可能となる機能は、電源ＯＮと電源ＯＦＦと運転切替とタイマセットとであり、セキュアレベルが２の操作端末１３０によって制御可能となる機能は、電源ＯＦＦである場合の例となっている。

再び図９に戻って、機器１４０の機能構成の説明を続ける。

制御手段９００は、プログラムを実行するＣＰＵ８００によって実現され、実行手段９２０とセキュリティモジュール通信手段９３０と入力手段９４０と出力手段９５０と機器情報格納手段９７０とを制御して、機器１４０に、前述の、機器制御機能と機器登録機能Ｃと機器操作機能Ｃと情報確認機能Ｃとを実現させる機能を有する。

図１に示される、第２セキュリティモジュール１２０Ａ〜第２セキュリティモジュール１２０Ｃは、それぞれ、互いに同様の構成を有し、互いに同様の機能を有している。

従って、以下では、第２セキュリティモジュール１２０Ａ〜第２セキュリティモジュール１２０Ｃについて、第２セキュリティモジュール１２０を用いて説明する。

図１１は、第２セキュリティモジュール１２０の回路図である。

同図に示されるように、第２セキュリティモジュール１２０は、ＣＰＵ１１００と、通信用ＬＳＩ１１１０と、アンテナ１１２０と、メモリ１１５０と、コネクタ１１６０とから構成される。

アンテナ１１２０は、通信用ＬＳＩ１１１０に接続され、通信用ＬＳＩ１１１０が行う通信に利用される、例えば、金属製のモノポールアンテナである。

通信用ＬＳＩ１１１０は、アンテナ１１２０とＣＰＵ１１００とに接続され、ＣＰＵ１１００によって制御され、ＣＰＵ１１００から送られて来た送信用信号を変調する変調機能と、変調した信号を、アンテナ１１２０を利用してホームゲートウェイ１５０に送信する送信機能と、ホームゲートウェイ１５０から送信された信号を、アンテナ１１２０を利用して受信する受信機能と、受信した信号を復調してＣＰＵ１１００へ送る復調機能とを有する。

なお、通信用ＬＳＩ１１１０とホームゲートウェイ１５０との間でなされる通信は、Bluetooth（登録商標）規格に準拠して行われる。

コネクタ１１６０は、ＣＰＵ１１００に接続され、以下の３つの機能を有する。

機能１：機器１４０のコネクタ８６０と接続することで、第２セキュリティモジュール１２０を、機器１４０に着脱可能に装着させる機能。

機能２：機器１４０に、第２セキュリティモジュール１２０が装着されている場合において、機器１４０と第２セキュリティモジュール１２０とを、有線にて通信可能に接続する機能。

機能３：機器１４０に、第２セキュリティモジュール１２０が装着されている場合において、コネクタ５６０から伝達される電力を、第２セキュリティモジュール１２０を構成する電子部品に伝達する機能。

メモリ１１５０は、ＣＰＵ１１００に接続され、ＲＡＭとＲＯＭとフラッシュメモリとから構成され、ＣＰＵ１１００の動作を規定するプログラムと、ＣＰＵ１１００が利用するデータとを記憶する。

ＣＰＵ１１００は、通信用ＬＳＩ１１１０とメモリ１１５０とコネクタ１１６０とに接続され、メモリ１１５０に記憶されているプログラムを実行することで、通信用ＬＳＩ１１１０を制御して、第２セキュリティモジュール１２０に、以下の３つの機能を実現させる機能を有する。

機器登録機能Ｄ：第２セキュリティモジュール１２０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器登録処理を実現する機能。

機器操作機能Ｄ：第２セキュリティモジュール１２０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器操作処理を実現する機能。

情報確認機能Ｄ：第２セキュリティモジュール１２０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う情報確認処理を実現する機能。

上記回路構成を備える第２セキュリティモジュール１２０について、以下、機能面から見た構成について説明する。

図１２は、第２セキュリティモジュール１２０の機能構成を示すブロック図である。

同図に示されるように、第２セキュリティモジュール１２０は、制御手段１２００と、コマンド確認手段１２１０と、機器通信手段１２３０と、ＩＤ情報格納手段１２４０と、通信手段１２５０と、暗号処理手段１２６０とから構成される。

通信手段１２５０は、プログラムを実行するＣＰＵ１１００と、通信用ＬＳＩ１１１０と、アンテナ１１２０とによって実現され、制御手段１２００によって制御され、Bluetooth規格に準拠してホームゲートウェイ１５０と通信する機能と、ホームゲートウェイ１５０とネットワーク１７０とを介して、サーバ装置１６０と通信する機能とを有する。

暗号処理手段１２６０は、プログラムを実行するＣＰＵ１１００によって実現され、制御手段１２００によって制御され、データの秘匿性、完全性を保つための暗号化処理を実行する暗号処理機能、暗号技術を用いた認証処理を実行する認証処理機能、暗号技術を用いた鍵共有処理を実行する鍵共有処理機能を有する。ここで、暗号処理手段１２６０は、これら、暗号処理機能、認証処理機能、鍵共有処理機能を実現するために、ＡＥＳ暗号技術、ＥＣＤＳＡ技術、ＥＣＤＨ技術、ＳＳＬ／ＴＳＬ技術等を利用する。

コマンド確認手段１２１０は、プログラムを実行するＣＰＵ１１００によって実現され、制御手段１２００によって制御され、以下の２つの機能を有する。

コマンド確認機能：通信手段１２５０が、サーバ装置１６０から、署名付きコマンドを受信した場合に、暗号処理手段１２６０を用いて、その署名付きコマンドの署名が正当なものであることを検証する署名検証処理を行う機能。

署名検証結果通知機能：署名検証処理を行った場合において、署名が正当なものであることを検証できたときに、署名検証処理の対象となった署名付きコマンドに含まれるコマンドを生成し、生成したコマンドと、署名が正当なものである旨を示す信号とを、制御手段１２００へ送り、署名が正当なものであることを検証できなかったときに、署名が正当なものでない旨を示す信号を制御手段１２００に送る機能。

機器通信手段１２３０は、プログラムを実行するＣＰＵ１１００と、コネクタ１１６０とによって実現され、制御手段１２００によって制御され、機器１４０に第２セキュリティモジュール１２０が装着されている場合において、機器１４０と有線にて通信する機能を有する。

ＩＤ情報格納手段１２４０は、プログラムを実行するＣＰＵ１１００と、メモリ１１５０に含まれる記憶領域の一部とによって実現され、自モジュールを一意に識別するセキュリティモジュールＩＤを記憶する機能を有する。

ここで、このセキュリティモジュールＩＤは、第２セキュリティモジュール１２０の製造時において、メモリ１１５０を構成するＲＯＭにおける所定の記憶領域に書き込まれる。このことによって、セキュリティモジュールＩＤが改竄されてしまうことを防止している。

また、ＩＤ情報格納手段１２４０は、ソフトウエア又はハードウエアを利用する暗号化技術を利用して、記憶するセキュリティモジュールＩＤに対して耐タンパ性を有している。

制御手段１２００は、プログラムを実行するＣＰＵ１１００によって実現され、コマンド確認手段１２１０と機器通信手段１２３０とＩＤ情報格納手段１２４０と通信手段１２５０と暗号処理手段１２６０とを制御して、第２セキュリティモジュール１２０に、前述の、機器登録機能Ｄと機器操作機能Ｄと情報確認機能Ｄとを実現させる機能を有する。

図１３は、機器１４０と第２セキュリティモジュール１２０との外観を示す斜視図である。

図１３では、機器１４０が、テレビであるとしている。

同図に示されるように、機器１４０は、その筐体の側面に、セキュリティモジュール挿入孔１３３０が形成されている。そして、セキュリティモジュール挿入孔１３３０の奥には、コネクタ８６０が配置されている。

第２セキュリティモジュール１２０は、その筐体自体が、コネクタ１１６０を兼用している。そして、第２セキュリティモジュール１２０の筐体、すなわち、コネクタ１１６０が、セキュリティモジュール挿入孔１３３０されることで、コネクタ８６０とコネクタ１１６０とが接続され、機器１４０に第２セキュリティモジュール１２０が装着されることとなる。

コネクタ８６０は、複数の金属製電極によって構成される電極群１３４０を有し、第２セキュリティモジュール１２０の筐体、すなわち、コネクタ１１６０は、複数の金属製電極によって構成される電極群１３５０を有する。そして、機器１４０に第２セキュリティモジュール１２０が装着される状態において、電極群１３４０を構成する電極のそれぞれと、電極群１３５０を構成する電極のそれぞれとが、互いに電気的に接続される。このことによって、機器１４０と第２セキュリティモジュール１２０とは、有線にて通信することが可能となる。

図１４は、ホームゲートウェイ１５０の回路図である。

同図に示されるように、ホームゲートウェイ１５０は、ＣＰＵ１４００と、通信用ＬＳＩ１４１０と、アンテナ１４２０と、メモリ１４５０と、ネットワーク接続回路１４６０とから構成される。

アンテナ１４２０は、通信用ＬＳＩ１４１０に接続され、通信用ＬＳＩ１４１０が行う通信に利用される、例えば、金属製のモノポールアンテナである。

通信用ＬＳＩ１４１０は、アンテナ１４２０とＣＰＵ１４００とに接続され、ＣＰＵ１４００によって制御され、ＣＰＵ１４００から送られて来た送信用信号を変調する変調機能と、変調した信号を、アンテナ１４２０を利用して第２セキュリティモジュール１２０に送信する送信機能と、第２セキュリティモジュール１２０から送信された信号を、アンテナ１４２０を利用して受信する受信機能と、受信した信号を復調してＣＰＵ１４００へ送る復調機能とを有する。

なお、通信用ＬＳＩ１４１０と第２セキュリティモジュール１２０との間でなされる通信は、Bluetooth規格に準拠して行われる。

メモリ１４５０は、ＣＰＵ１４００に接続され、ＲＡＭとＲＯＭとフラッシュメモリとから構成され、ＣＰＵ１４００の動作を規定するプログラムと、ＣＰＵ１４００が利用するデータとを記憶する。

ネットワーク接続回路１４６０は、ＣＰＵ１４００とネットワーク１７０とに接続され、ＣＰＵ１４００によって制御され、ネットワーク１７０を介して外部装置から送られて来た信号を受信してＣＰＵ１４００へ送る機能と、ＣＰＵ１４００から送られて来た信号を、ネットワーク１７０を介して外部装置へ送信する機能とを有する。

ＣＰＵ１４００は、通信用ＬＳＩ１４１０とメモリ１４５０とネットワーク接続回路１４６０とに接続され、メモリ１４５０に記憶されているプログラムを実行することで、通信用ＬＳＩ１４１０とネットワーク接続回路１４６０とを制御して、ホームゲートウェイ１５０に、サーバ装置１６０と第２セキュリティモジュール１２０とが行う通信を中継する通信中継機能を実現させる機能を有する。

上記回路構成を備えるホームゲートウェイ１５０について、以下、機能面から見た構成について説明する。

図１５は、ホームゲートウェイ１５０の機能構成を示すブロック図である。

同図に示されるように、ホームゲートウェイ１５０は、制御手段１５００と、セキュリティモジュール通信手段１５１０と、サーバ通信手段１５２０とから構成される。

セキュリティモジュール通信手段１５１０は、プログラムを実行するＣＰＵ１４００と、通信用ＬＳＩ１４１０と、アンテナ１４２０とによって実現され、制御手段１５００によって制御され、Bluetooth規格に準拠して第２セキュリティモジュール１２０と通信する機能を有する。

サーバ通信手段１５２０は、プログラムを実行するＣＰＵ１４００と、ネットワーク接続回路１４６０とによって実現され、制御手段１５００によって制御され、ネットワーク１７０を介してサーバ装置１６０と通信する機能を有する。

制御手段１５００は、プログラムを実行するＣＰＵ１４００によって実現され、セキュリティモジュール通信手段１５１０とサーバ通信手段１５２０とを制御して、ホームゲートウェイ１５０に、前述の通信中継機能を実現させる機能を有する。

図１において、ネットワーク１７０は、ホームゲートウェイ１５０とサーバ装置１６０と基地局１８０とに接続されるネットワーク網であり、接続される装置間の信号を伝達する機能を有する。

図１において、基地局１８０は、ネットワーク１７０に接続され、商用携帯電話用無線通信回線を利用して、操作端末１３０と通信する、いわゆる、電気通信業務用の無線基地局であり、操作端末１３０とサーバ装置１６０とが行う通信を中継する機能を有する。

図１６は、サーバ装置１６０の回路図である。

サーバ装置１６０は、ネットワーク１７０に接続される、いわゆる、コンピュータ装置であって、ユーザモードとして、第１ユーザモードと、第１ユーザモードより特権レベルの低い第２ユーザモードとを有している。

サーバ装置１６０は、図１６に示されるように、ＣＰＵ１６００と、ネットワーク接続回路１６６０と、メモリ１６５０と、ハードディスクドライブ１６１０とから構成される。

ネットワーク接続回路１６６０は、ＣＰＵ１６００とネットワーク１７０とに接続され、ＣＰＵ１６００によって制御され、ネットワーク１７０を介して外部装置から送られて来た信号を受信してＣＰＵ１６００へ送る機能と、ＣＰＵ１６００から送られて来た信号を、ネットワーク１７０を介して外部装置へ送信する機能とを有する。

メモリ１６５０は、ＣＰＵ１６００に接続され、ＲＡＭとＲＯＭとフラッシュメモリとから構成され、ＣＰＵ１６００の動作を規定するプログラムと、ＣＰＵ１６００が利用するデータとを記憶する。

ハードディスクドライブ１６１０は、ＣＰＵ１６００に接続され、ハードディスクを内蔵し、ＣＰＵ１６００が利用するデータを記憶する。

ＣＰＵ１６００は、ネットワーク接続回路１６６０とメモリ１６５０とハードディスクドライブ１６１０とに接続され、メモリ１６５０に記憶されているプログラムを実行することで、ネットワーク接続回路１６６０とハードディスクドライブ１６１０とを制御して、サーバ装置１６０に、以下の５つの機能を実現させる機能を有する。

初期登録機能Ｅ：サーバ装置１６０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う初期登録処理を実現する機能。

第２セキュリティモジュール発行依頼機能Ｅ：サーバ装置１６０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う第２セキュリティモジュール発行依頼処理を実現する機能。

機器登録機能Ｅ：サーバ装置１６０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器登録処理を実現する機能。

機器操作機能Ｅ：サーバ装置１６０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う機器操作処理を実現する機能。

情報確認機能Ｅ：サーバ装置１６０を制御して、機器制御システム１００を構成する他の構成要素と共同で、機器制御システム１００の行う情報確認処理を実現する機能。

上記回路構成を備えるサーバ装置１６０について、以下、機能面から見た構成について説明する。

図１７は、サーバ装置１６０の機能構成を示すブロック図である。

同図に示されるように、サーバ装置１６０は、制御手段１７００と、暗号処理手段１７１０と、ユーザ情報管理手段１７３０と、機能情報管理手段１７４０と、通信手段１７５０と、コマンド発行手段１７６０とから構成される。

通信手段１７５０は、プログラムを実行するＣＰＵ１６００と、ネットワーク接続回路１６６０とによって実現され、制御手段１７００によって制御され、ネットワーク１７０とホームゲートウェイ１５０とを介して第２セキュリティモジュール１２０と通信する機能と、ネットワーク１７０と基地局１８０とを介して操作端末１３０と通信する機能とを有する。

暗号処理手段１７１０は、プログラムを実行するＣＰＵ１６００によって実現され、制御手段１７００によって制御され、データの秘匿性、完全性を保つための暗号化処理を実行する暗号処理機能、暗号技術を用いた認証処理を実行する認証処理機能、暗号技術を用いた鍵共有処理を実行する鍵共有処理機能を有する。ここで、暗号処理手段１７１０は、これら、暗号処理機能、認証処理機能、鍵共有処理機能を実現するために、ＡＥＳ暗号技術、ＥＣＤＳＡ技術、ＥＣＤＨ技術、ＳＳＬ／ＴＳＬ技術等を利用する。

ユーザ情報管理手段１７３０は、プログラムを実行するＣＰＵ１６００と、ハードディスクドライブ１６１０に含まれる記憶領域の一部とによって実現され、ユーザ情報１８００を記憶する機能と、記憶するユーザ情報１８００を更新する機能とを有する。

図１８は、ユーザ情報管理手段１７３０によって記憶されるユーザ情報１８００の一例についてのデータ構成図である。

同図に示されるように、ユーザ情報１８００は、ユーザ名１８１０とユーザアカウント１８２０とパスワード１８３０と登録情報１８４０と機種１８５０と型番１８６０とセキュリティモジュールＩＤ１８７０とが対応付けられて構成される。

ユーザ名１８１０は、機器制御システム１００を利用するユーザの氏名を示す情報である。

ユーザアカウント１８２０は、対応付けられているユーザ名１８１０によって示されるユーザが、サーバ装置１６０にログインする際に利用するアカウントを示す情報である。

パスワード１８３０は、対応付けられているユーザ名１８１０によって示されるユーザが、サーバ装置１６０にログインする際に利用するパスワードのハッシュ値を示す情報である。

登録情報１８４０は、対応付けられているユーザ名１８１０によって示されるユーザの登録情報（例えば、住所、電話番号、生年月日等）を示す情報である。

機種１８５０は、機器制御システム１００に含まれる機器１４０及び操作端末１３０のうち、対応付けられているユーザ名１８１０によって示されるユーザによって利用される機器１４０又は操作端末１３０の機種を示す情報である。

型番１８６０は、対応付けられている機種１８５０によって示される機種の機器１４０又は操作端末１３０についての型番を示す情報である。

セキュリティモジュールＩＤ１８７０は、対応付けられている型番１８６０によって示される型番の機器１４０又は操作端末１３０に挿入される、第１セキュリティモジュール１１０又は第２セキュリティモジュール１２０の記憶するセキュリティモジュールＩＤを示す情報である。

機能情報管理手段１７４０は、プログラムを実行するＣＰＵ１６００と、ハードディスクドライブ１６１０に含まれる記憶領域の一部とによって実現され、機能情報１９００を記憶する機能と、記憶する機能情報１９００を更新する機能とを有する。

図１９は、機能情報管理手段１７４０によって記憶される機能情報１９００の一例についてのデータ構成図である。

同図に示されるように、機能情報１９００は、機種１９１０と型番１９２０と機能１９３０とセキュアレベル１９４０とコマンド１９５０とが対応付けられて構成される。

機種１９１０は、機器制御システム１００に含まれる機器１４０の機種を示す情報である。

型番１９２０は、機器制御システム１００に含まれる機器１４０の型番を示す情報である。

機能１９３０は、対応付けられている型番１９２０によって示される型番の機器１４０の有する電子機器としての機能のうち、操作端末１３０によって制御可能となる機能を示す情報である。

セキュアレベル１９４０は、対応付けられている機能１９３０を、操作端末１３０を利用して制御する際に必要となる、操作端末１３０のセキュアレベルを示す情報であって、セキュアレベル１０４０（図１０参照）と同様のものである。

コマンド１９５０は、対応付けられている機能１９３０を、対応付けられている型番１８６０の機器１４０に実現させるためのコマンドである。

再び図１７に戻って、サーバ装置１６０の機能構成についての説明を続ける。

コマンド発行手段１７６０は、プログラムを実行するＣＰＵ１６００によって実現され、制御手段１７００によって制御され、以下の２つの機能を有する。

コマンド生成機能：機能情報管理手段１７４０によって記憶されている機能情報１９００を参照して、制御対象とする機器１４０に制御対象とする機能を実現させるためのコマンドを生成する機能。

署名付与機能：コマンドを生成した場合に、暗号処理手段１２６０を用いて、そのコマンドが正当なものである旨を示す電子署名を行って、署名付きコマンドを生成する機能。

制御手段１７００は、プログラムを実行するＣＰＵ１６００によって実現され、暗号処理手段１７１０とユーザ情報管理手段１７３０と機能情報管理手段１７４０と通信手段１７５０とコマンド発行手段１７６０とを制御して、サーバ装置１６０に、前述の、初期登録機能Ｅと第２セキュリティモジュール発行依頼機能Ｅと機器登録機能Ｅと機器操作機能Ｅと情報確認機能Ｅとを実現させる機能を有する。

以上のように構成される機器制御システム１００の行う動作について、以下図面を参照しながら説明する。

＜動作＞
機器制御システム１００は、その特徴的な動作として、初期登録処理と、第２セキュリティモジュール発行依頼処理と、機器登録処理と、機器操作処理と、情報確認処理とを行う。

以下、これらの処理について、順に説明する。

＜初期登録処理＞
初期登録処理は、機器制御システム１００が行う処理であって、新たに機器制御システム１００を利用しようとするユーザの情報を、サーバ装置１６０に登録する処理である。

ここでは、このユーザが、既に正当な方法で第１セキュリティモジュール１１０を入手済みであるとして説明する。ユーザが、正当に第１セキュリティモジュール１１０を入手する方法の一例として、例えば、ユーザが、機器制御システム１００を管理する管理者に、第１セキュリティモジュールを入手したい旨の申請をした場合において、その管理者が、その申請を受理したときに、その管理者がそのユーザに対して、第１セキュリティモジュール１１０を提供する例等が考えられる。

図２０は、初期登録処理のフローチャートである。

初期登録処理は、ユーザから操作端末１３０に対してなされた、初期登録処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

初期登録処理が開始されると、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、第１セキュリティモジュール１１０と有線による通信を試みることで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であるか否かを判定する（ステップＳ２０００）。

ステップＳ２０００の処理において、第１セキュリティモジュール１１０と有線による通信が成功することで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であると判定される場合に（ステップＳ２０００：Ｙｅｓ）、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、サーバ装置１６０に登録する、ユーザ名とユーザアカウントとパスワードと登録情報との入力要求を表示させる（ステップＳ２０１０）。

入力要求を表示させた後、操作受付手段３２０が、ユーザ名とユーザアカウントとパスワードと登録情報との入力を受け付けると（ステップＳ２０２０：Ｎｏを繰り返した後、ステップＳ２０２０：Ｙｅｓ）、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、ＩＤ情報格納手段６２０に記憶されている第１セキュリティモジュール１１０のセキュリティモジュールＩＤを読み出す旨の依頼を示す読出依頼信号を、第１セキュリティモジュール１１０に送信する。

第１セキュリティモジュール１１０の操作端末通信手段６１０が、セキュリティモジュール通信手段３３０から送信された読出依頼信号を受信すると、制御手段６００は、ＩＤ情報格納手段６２０に記憶されているセキュリティモジュールＩＤを読み出して（ステップＳ２０３０）、操作端末通信手段６１０を制御して、読み出したセキュリティモジュールＩＤを、操作端末１３０に送信する。

操作端末１３０のセキュリティモジュール通信手段３３０が、操作端末通信手段６１０から送信されたセキュリティモジュールＩＤを受信すると、制御手段３００は、暗号処理手段３６０を制御して、（１）初期登録処理の継続を要求する旨を示す初期登録要求信号と、（２）入力を受け付けた、ユーザ名とユーザアカウントとパスワードと登録情報と、（３）操作端末情報格納手段３７０に格納される操作端末情報４００と、（４）受信したセキュリティモジュールＩＤとを暗号化する。そして、通信手段３５０を制御して、暗号化した、初期登録要求信号とユーザ名とユーザアカウントとパスワードと操作端末情報と登録情報とセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ２０４０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとを復号する（ステップＳ２０５０）。

初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００に、復号したユーザ名が存在するか否かを調べる（ステップＳ２０６０）。

ステップＳ２０６０の処理において、ユーザ情報１８００に、復号したユーザ名が存在しない場合に（ステップＳ２０６０：Ｎｏ）、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、復号した、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報（すなわち、端末種別４１０と型番４２０：図４参照）とセキュリティモジュールＩＤとが互いに対応付けられるように、ユーザ情報管理手段１７３０に記憶されるユーザ情報１８００を更新する（ステップＳ２０７０）。

図２１は、ステップＳ２０７０の処理において、ユーザ名１８１０がユーザＡとなるユーザについての情報が更新された、ユーザ情報１８００の一例についてのデータ構成図である。

同図に示されるように、ステップＳ２０７０の処理において、ユーザ情報管理手段１７３０は、復号した、ユーザ名（ここでは、ユーザ名Ａであるとしている）とユーザアカウントとパスワードと登録情報と端末種別と型番とセキュリティモジュールＩＤとを対応付けて、ユーザ情報１８００を更新する。

再び、図２０に戻って、初期登録処理の説明を続ける。

ステップＳ２０００の処理において、第１セキュリティモジュール１１０と有線による通信が成功しないことで、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ２０００：Ｎｏ）、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、第１セキュリティモジュール１１０が装着されていない旨の表示をさせる（ステップＳ２０８０）。

ステップＳ２０６０の処理において、ユーザ情報１８００に、復号したユーザ名が存在する場合と（ステップＳ２０６０：Ｙｅｓ）、ステップＳ２０７０の処理が終了した場合と、ステップＳ２０８０の処理が終了した場合とに、機器制御システム１００は、その初期登録処理を終了する。

＜第２セキュリティモジュール発行依頼処理＞
第２セキュリティモジュール発行依頼処理は、機器制御システム１００が行う処理であって、機器制御システム１００を利用するユーザから、新たな第２セキュリティモジュールの発行依頼を受け付ける処理である。

図２２は、第２セキュリティモジュール発行依頼処理のフローチャートである。

第２セキュリティモジュール発行依頼処理は、ユーザから操作端末１３０に対してなされた、第２セキュリティモジュール発行依頼処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

第２セキュリティモジュール発行依頼処理が開始されると、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、第１セキュリティモジュール１１０と有線による通信を試みることで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であるか否かを判定する（ステップＳ２２００）。

ステップＳ２２００の処理において、第１セキュリティモジュール１１０と有線による通信が成功することで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であると判定される場合に（ステップＳ２２００：Ｙｅｓ）、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、ＩＤ情報格納手段６２０に記憶されている第１セキュリティモジュール１１０のセキュリティモジュールＩＤを読み出す旨の依頼を示す読出依頼信号を、第１セキュリティモジュール１１０に送信する。

第１セキュリティモジュール１１０の操作端末通信手段６１０が、セキュリティモジュール通信手段３３０から送信された読出依頼信号を受信すると、制御手段６００は、ＩＤ情報格納手段６２０に記憶されているセキュリティモジュールＩＤを読み出して（ステップＳ２２１０）、操作端末通信手段６１０を制御して、読み出したセキュリティモジュールＩＤを、操作端末１３０に送信する。

操作端末１３０のセキュリティモジュール通信手段３３０が、操作端末通信手段６１０から送信されたセキュリティモジュールＩＤを受信すると、制御手段３００は、暗号処理手段３６０を制御して、（１）第２セキュリティモジュール発行依頼処理の継続を要求する旨を示す第２セキュリティモジュール発行要求信号と、（２）受信したセキュリティモジュールＩＤとを暗号化する。そして、通信手段３５０を制御して、暗号化した、第２セキュリティモジュール発行要求信号とセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ２２３０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、第２セキュリティモジュール発行要求信号とセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、第２セキュリティモジュール発行要求信号とセキュリティモジュールＩＤとを復号する（ステップＳ２２４０）。

第２セキュリティモジュール発行要求信号とセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００に、復号したセキュリティモジュールＩＤが存在するか否かを調べる（ステップＳ２２５０）。

ステップＳ２２５０の処理において、復号したセキュリティモジュールＩＤが存在する場合に（ステップＳ２２５０：Ｙｅｓ）、制御手段１７００は、新規セキュリティモジュールＩＤを生成する。そして、ユーザ情報管理手段１７３０を制御して、ユーザ情報１８００において、復号したセキュリティモジュールＩＤに対応付けられているユーザ名１８１０と、生成した新規セキュリティモジュールＩＤとが互いに対応付けられるように、ユーザ情報管理手段１７３０に記憶されるユーザ情報１８００を更新する（ステップＳ２２６０）。

図２３は、ステップＳ２２６０の処理において、セキュリティモジュールＩＤ１８７０が０ｘ４８１ＤＡ１８８となるセキュリティモジュールＩＤに対応付けられているユーザ名１８１０（ここでは、ユーザＡであるとしている）についての情報が更新された、ユーザ情報１８００の一例についてのデータ構成図である。

同図に示されるように、ステップＳ２２６０の処理において、ユーザ情報管理手段１７３０は、生成した新規のセキュリティモジュールＩＤ１８７０（ここでは、その値が０ｘＣ６３６９４ＡＤであるとしている。）を、復号したセキュリティモジュールＩＤ（ここでは、その値が０ｘ４８１ＤＡ１８８であるとしている。）に対応付けられているユーザ名１８１０（ここでは、ユーザＡであるとしている）に対応付けて追加して、ユーザ情報１８００を更新する。

再び、図２２に戻って、第２セキュリティモジュール発行依頼処理の説明を続ける。

ステップＳ２２６０の処理において、ユーザ情報１８００が更新されると、機器制御システム１００を管理する管理者は、生成された新規のセキュリティモジュールＩＤ１８７０を記憶する第２セキュリティモジュール１２０を、更新されたユーザ情報１８００において、生成された新規のセキュリティモジュールＩＤ１８７０に対応付けられた登録情報１８４０に基づいて、生成された新規のセキュリティモジュールＩＤ１８７０に対応付けられたユーザ名１８１０で示されるユーザに送付（例えば、郵送）する（ステップＳ２２７０）。

ステップＳ２２００の処理において、第１セキュリティモジュール１１０と有線による通信が成功しないことで、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ２２００：Ｎｏ）、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、第１セキュリティモジュール１１０が装着されていない旨の表示をさせる（ステップＳ２２８０）。

ステップＳ２２８０の処理が終了した場合と、ステップＳ２２５０の処理において、復号したセキュリティモジュールＩＤが存在しない場合（ステップＳ２２５０：Ｎｏ）と、ステップＳ２２７０の処理が終了した場合とに、機器制御システム１００は、その第２セキュリティモジュール発行依頼処理を終了する。

＜機器登録処理＞
機器登録処理は、機器制御システム１００が行う処理であって、第２セキュリティモジュール発行依頼処理におけるステップＳ２２７０の処理によって送付された新規第２セキュリティモジュール１２０を新たに装着する機器１４０の情報を、サーバ装置１６０に登録する処理である。

図２４は、機器登録処理のフローチャートである。

機器登録処理は、第２セキュリティモジュール１２０を装着する機器１４０に電源が投入されることで、その第２セキュリティモジュール１２０が起動されることによって開始される。

機器登録処理が開始されると、第２セキュリティモジュール１２０の制御手段１２００は、機器通信手段１２３０を制御して、機器情報格納手段９７０に記憶されている機器情報１０００を読み出す旨の依頼を示す読出依頼信号を、機器１４０に送信する。

機器１４０のセキュリティモジュール通信手段９３０が、機器通信手段１２３０から送信された読出依頼信号を受信すると、制御手段９００は、機器情報格納手段９７０に記憶されている機器情報１０００を読み出して（ステップＳ２４００）、セキュリティモジュール通信手段９３０を制御して、読み出した機器情報１０００を、第２セキュリティモジュール１２０に送信する。

第２セキュリティモジュール１２０の機器通信手段１２３０が、セキュリティモジュール通信手段９３０から送信された機器情報１０００を受信すると、制御手段１２００は、暗号処理手段１２６０を制御して、（１）機器登録処理の継続を要求する旨を示す機器登録要求信号と、（２）受信した機器情報と、（３）ＩＤ情報格納手段１２４０に記憶されているセキュリティモジュールＩＤとを暗号化する。そして、通信手段１２５０を制御して、暗号化した、機器登録要求信号と機器情報とセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ２４１０）。

サーバ装置１６０の通信手段１７５０が、通信手段１２５０から送信された、暗号化された、機器登録要求信号と機器情報とセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、機器登録要求信号と機器情報とセキュリティモジュールＩＤとを復号する（ステップＳ２４２０）。

機器登録要求信号と機器情報とセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０が記憶しているユーザ情報１８００に、復号したセキュリティモジュールＩＤと、復号した機器情報に含まれる型番とが対応付けられて存在しているか否かを調べる（ステップＳ２４３０）。

ステップＳ２４３０の処理において、復号したセキュリティモジュールＩＤと、復号した機器情報に含まれる型番とが対応付けられて存在していない場合に（ステップＳ２４３０：Ｎｏ）、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０が記憶しているユーザ情報１８００に、復号したセキュリティモジュールＩＤが、ユーザ名１８１０に対応付けられて存在しているか否かを調べる（ステップＳ２４４０）。

ステップＳ２４４０の処理において、復号したセキュリティモジュールＩＤが、ユーザ名１８１０に対応付けられて存在している場合に（ステップＳ２４４０：Ｙｅｓ）、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、そのセキュリティモジュールＩＤと、復号した機器情報に含まれる機種と、復号した機器情報に含まれる型番とが互いに対応付けられるように、ユーザ情報１８００を更新する（ステップＳ２４５０）。

ユーザ情報１８００を更新すると、制御手段１７００は、機能情報管理手段１７４０を制御して、機能情報管理手段１７４０が記憶している機能情報１９００に、復号した機器情報に含まれる型番が存在するか否かを調べる（ステップＳ２４６０）。

ステップＳ２４６０の処理において、機能情報１９００に、復号した機器情報に含まれる型番が存在しない場合に（ステップＳ２４６０：Ｎｏ）、制御手段１７００は、機能情報管理手段１７４０を制御して、復号した機器情報に含まれる、機種と型番と機能とセキュアレベルとコマンドとが互いに対応付けられるように、機能情報管理手段１７４０に記憶される機能情報１９００を更新する（ステップＳ２４７０）。

ステップＳ２４３０の処理において、復号したセキュリティモジュールＩＤと、復号した機器情報に含まれる型番とが対応付けられて存在している場合と（ステップＳ２４３０：Ｎｏ）、ステップＳ２４７０の処理が終了した場合と、ステップＳ２４６０の処理において、機能情報１９００に、復号した機器情報に含まれる型番が存在する場合と（ステップＳ２４６０：Ｙｅｓ）、ステップＳ２４４０の処理において、復号したセキュリティモジュールＩＤが、ユーザ名１８１０に対応付けられて存在していない場合と（ステップＳ２４４０：Ｎｏ）に、機器制御システム１００は、その機器登録処理を終了する。

＜機器操作処理＞
機器操作処理は、機器制御システム１００が行う処理であって、機器制御システム１００を利用するユーザによってなされた操作端末１３０への操作に基づいて、機器１４０を制御する処理である。

図２５、図２６、図２７は、機器操作処理のフローチャートである。

機器操作処理は、ユーザから操作端末１３０に対してなされた、機器操作処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

機器操作処理が開始されると、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ２５００）。

図２８は、機器操作処理において、タッチパネル２４０に表示される画像の一例を示す模式図その１である。

同図において、画像２８００は、ステップＳ２５００の処理において、タッチパネル２４０に表示されるユーザアカウントとパスワードとの入力要求を示す画像である。この画像を表示するタッチパネル２４０は、ユーザからの、ユーザアカウントとパスワードとの入力操作を受け付ける。

再び図２５に戻って、機器操作処理の説明を続ける。

入力要求を表示させた後、操作受付手段３２０が、ユーザからの、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ２５０５：Ｎｏを繰り返した後、ステップＳ２５０５：Ｙｅｓ）、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、第１セキュリティモジュール１１０と有線による通信を試みることで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であるか否かを判定する（ステップＳ２５１０）。

ステップＳ２５１０の処理において、第１セキュリティモジュール１１０と有線による通信が成功することで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であると判定される場合に（ステップＳ２５１０：Ｙｅｓ）、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、ＩＤ情報格納手段６２０に記憶されている第１セキュリティモジュール１１０のセキュリティモジュールＩＤを読み出す旨の依頼を示す読出依頼信号を、第１セキュリティモジュール１１０に送信する。

第１セキュリティモジュール１１０の操作端末通信手段６１０が、セキュリティモジュール通信手段３３０から送信された読出依頼信号を受信すると、制御手段６００は、ＩＤ情報格納手段６２０に記憶されているセキュリティモジュールＩＤを読み出して（ステップＳ２５１５）、操作端末通信手段６１０を制御して、読み出したセキュリティモジュールＩＤを、操作端末１３０に送信する。

操作端末１３０のセキュリティモジュール通信手段３３０が、操作端末通信手段６１０から送信されたセキュリティモジュールＩＤを受信すると、制御手段３００は、暗号処理手段３６０を制御して、（１）機器操作処理の継続を要求する旨を示す機器操作信号と、（２）入力を受け付けた、ユーザアカウントとパスワードと、（３）受信したセキュリティモジュールＩＤとを暗号化する。そして、通信手段３５０を制御して、暗号化した、機器操作信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ２５２０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、機器操作信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、機器操作信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを復号する（ステップＳ２５２５）。

機器操作信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものであるか否かを調べる（ステップＳ２５３０）。

ステップＳ２５３０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものである場合に（ステップＳ２５３０：Ｙｅｓ）、制御手段１７００は、サーバ装置１６０を、そのユーザアカウントについて、第１ユーザモードでのログイン状態とする（ステップＳ２５３５）。

そして、制御手段１７００は、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００と、機能情報管理手段１７４０に記憶されている機能情報１９００とを参照して、復号したユーザアカウントに対応付けられている型番１８６０のそれぞれについて（図１８参照）、セキュアレベル１９４０が１又は２に対応付けられている機能１９３０を（図１９参照）、制御可能機能と判定する。そして、通信手段１７５０を制御して、判定した制御可能機能を示す制御可能機能信号を、操作端末１３０に送信する（ステップＳ２５４０）。

操作端末１３０の通信手段３５０が、通信手段１７５０から送信された制御可能機能信号を受信すると、制御手段３００は、受信した制御可能機能信号によって示される制御可能機能をユーザに提示するための画像であって、制御可能機能のうちの１つについての設定をユーザに指定させるための画像（以下、「提示機能画像」と呼ぶ。）を生成する。そして、表示手段３１０を制御して、タッチパネル２４０に、生成した提示機能画像を表示させる（ステップＳ２５４５）。

図２８における画像２８１０と画像２８２０と画像２８３０とは、それぞれ、ステップＳ２５４５の処理において、タッチパネル２４０に表示される提示機能画像の一例である。この例では、提示機能画像が複数である場合の例となっている。

画像２８１０は、制御可能機能に対応する機種の一覧を示す機器一覧画像である。この機器一覧画像を表示するタッチパネル２４０は、この機器一覧画像に表示される機種のうちの１つについて、ユーザからの指定操作を受け付ける。

画像２８２０は、画像２８１０を表示するタッチパネル２４０によって指定操作が受け付けられた機器についての制御可能機能の一覧を示す機能一覧画像である。ここでは、画像２８１０を表示するタッチパネル２４０によって指定操作が受け付けられた機器がエアコンである場合の例となっている。この機器一覧画像を表示するタッチパネル２４０は、この機能一覧画像に表示される制御可能機能のうちの１つについて、ユーザからの指定操作を受け付ける。

画像２８３０は、画像２８２０を表示するタッチパネル２４０によって指定操作が受け付けられた機能についての設定内容の一覧を示す設定画像である。ここでは、画像２８２０を表示するタッチパネル２４０によって指定操作が受け付けられた機能が運転切替である場合の例となっている。この設定画像を表示するタッチパネル２４０は、この設定画像に表示される設定のうちの１つについて、ユーザからの指定操作を受け付ける。この例では、運転切替機能には、冷房に切り替えるという設定と、暖房に切り替えるという設定との二者択一な設定が存在している。

再び図２６に戻って、機器操作処理の説明を続ける。

提示機能画像を表示させた後、操作受付手段３２０が、制御可能機能についての設定を示す、ユーザからの指定操作を受け付けると（ステップＳ２６００：Ｎｏを繰り返した後、ステップＳ２６００：Ｙｅｓ）、制御手段３００は、暗号処理手段３６０を制御して、（１）ユーザアカウントと、（２）ステップＳ２５１５の処理によって読み出された第１セキュリティモジュール１１０のセキュリティモジュールＩＤと、（３）受け付けた制御可能機能についての設定を示す制御可能機能信号とを暗号化する。そして、通信手段３５０を制御して、暗号化した、ユーザアカウントとセキュリティモジュールＩＤと制御可能機能信号とを、サーバ装置１６０に送信する（ステップＳ２６１０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、ユーザアカウントとセキュリティモジュールＩＤと制御可能機能信号とを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、ユーザアカウントとセキュリティモジュールＩＤと制御可能機能信号とを復号する（ステップＳ２６２０）。

ユーザアカウントとセキュリティモジュールＩＤと制御可能機能信号とを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントとセキュリティモジュールＩＤとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとセキュリティモジュールＩＤとの組が正しいものであるか否かを調べる（ステップＳ２６３０）。

ステップＳ２５１０（図２５参照）の処理において、第１セキュリティモジュール１１０と有線による通信が成功しないことで、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ２５１０：Ｎｏ）、制御手段３００は、暗号処理手段３６０を制御して、（１）機器操作処理の継続を要求する旨を示す機器操作信号と、（２）入力を受け付けた、ユーザアカウントとパスワードとを暗号化する。そして、通信手段３５０を制御して、暗号化した、機器操作信号とユーザアカウントとパスワードとを、サーバ装置１６０に送信する（ステップＳ２５５０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、機器操作信号とユーザアカウントとパスワードとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、機器操作信号とユーザアカウントとパスワードとを復号する（ステップＳ２５５５）。

機器操作信号とユーザアカウントとパスワードとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントとパスワードとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとの組が正しいものであるか否かを調べる（ステップＳ２５６０）。

ステップＳ２５６０の処理において、復号したユーザアカウントとパスワードとの組が正しいものである場合に（ステップＳ２５６０：Ｙｅｓ）、制御手段１７００は、サーバ装置１６０を、そのユーザアカウントについて、第２ユーザモードでのログイン状態とする（ステップＳ２５６５）。

そして、制御手段１７００は、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００と、機能情報管理手段１７４０に記憶されている機能情報１９００とを参照して、復号したユーザアカウントに対応付けられている型番１８６０のそれぞれについて（図１８参照）、セキュアレベル１９４０が２に対応付けられている機能１９３０を（図１９参照）、制御可能機能と判定する。そして、通信手段１７５０を制御して、判定した制御可能機能を示す制御可能機能信号を、操作端末１３０に送信する（ステップＳ２５７０）。

操作端末１３０の通信手段３５０が、通信手段１７５０から送信された制御可能機能信号を受信すると、制御手段３００は、受信した制御可能機能信号によって示される制御可能機能をユーザに提示するための画像であって、制御可能機能のうちの１つについての設定をユーザに指定させるための提示機能画像を生成する。そして、表示手段３１０を制御して、タッチパネル２４０に、生成した提示機能画像を表示させる（ステップＳ２５７５）。

図２９は、機器操作処理において、タッチパネル２４０に表示される画像の一例を示す模式図その２である。

同図における画像２９１０と画像２９２０と画像２９３０とは、それぞれ、ステップＳ２５７５の処理において、タッチパネル２４０に表示される提示機能画像の一例である。この例では、提示機能画像が複数である場合の例となっている。

画像２９１０は、制御可能機能に対応する機種の一覧を示す機器一覧画像である。この機器一覧画像を表示するタッチパネル２４０は、この機器一覧画像に表示される機種のうちの１つについて、ユーザからの指定操作を受け付ける。

画像２９２０は、画像２９１０を表示するタッチパネル２４０によって指定操作が受け付けられた機器についての制御可能機能の一覧を示す機能一覧画像である。ここでは、画像２９１０を表示するタッチパネル２４０によって指定操作が受け付けられた機器がエアコンである場合の例となっている。この機器一覧画像を表示するタッチパネル２４０は、この機能一覧画像に表示される制御可能機能のうちの１つについて、ユーザからの指定操作を受け付ける。

画像２９３０は、画像２９２０を表示するタッチパネル２４０によって指定操作が受け付けられた機能についての設定内容の一覧を示す設定画像である。ここでは、画像２９２０を表示するタッチパネル２４０によって指定が受け付けられた機能が電源ＯＦＦである場合の例となっている。この設定画像を表示するタッチパネル２４０は、この設定画像に表示される設定のうちの１つについて、ユーザからの指定操作を受け付ける。この例では、電源ＯＦＦ機能には、電源をＯＦＦにするという１つの設定のみが存在している。

再び図２６に戻って、機器操作処理の説明を続ける。

提示機能画像を表示させた後、操作受付手段３２０が、制御可能機能についての設定を示す、ユーザからの指定操作を受け付けると（ステップＳ２６４０：Ｎｏを繰り返した後、ステップＳ２６４０：Ｙｅｓ）、制御手段３００は、暗号処理手段３６０を制御して、（１）ユーザアカウントと、（２）受け付けた制御可能機能についての設定を示す制御可能機能信号とを暗号化する。そして、通信手段３５０を制御して、暗号化した、ユーザアカウントと制御可能機能信号とを、サーバ装置１６０に送信する（ステップＳ２６５０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、ユーザアカウントと制御可能機能信号とを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、ユーザアカウントと制御可能機能信号とを復号する（ステップＳ２６６０）。

ユーザアカウントと制御可能機能信号とを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントが存在しているか否かを調べることで、復号したユーザアカウントが正しいものであるか否かを調べる（ステップＳ２６７０）。

ステップＳ２６３０の処理において、復号したユーザアカウントとセキュリティモジュールＩＤとの組が正しいものである場合と（ステップＳ２６３０：Ｙｅｓ）、ステップＳ２６７０の処理において、復号したユーザアカウントが正しいものである場合と（ステップＳ２６７０：Ｙｅｓ）に、制御手段１７００は、コマンド発行手段１７６０を制御して、機能情報管理手段１７４０に記憶されている機能情報１９００を参照して、復号した制御可能機能信号の示す制御可能機能についての設定を実現させるためのコマンドを生成する（ステップＳ２６８０）。そして、生成したコマンドについて、コマンド発行手段１７６０を制御して、生成したコマンドが正当なものである旨を示す電子署名を行って、署名付きコマンドを生成する（ステップＳ２６９０）。

署名付きコマンドを生成すると、制御手段１７００は、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００と、機能情報管理手段１７４０に記憶されている機能情報１９００とを参照して、通信手段１７５０を制御して、生成した署名付きコマンドの実行対象となる機器１４０に装着されている第２セキュリティモジュール１２０に、生成した署名付きコマンドを送信する（ステップＳ２７００：図２７参照）。

第２セキュリティモジュール１２０の通信手段１２５０が、通信手段１７５０から送信された署名付きコマンドを受信すると、制御手段１２００は、コマンド確認手段１２１０を制御して、受信した署名付きコマンドを検証する（ステップＳ２７１０）。

署名付きコマンドを検証することによって、署名が正当なものであることが検証できた場合に（ステップＳ２７２０：Ｙｅｓ）、制御手段１２００は、さらに、コマンド確認手段１２１０を制御して、その署名付きコマンドに含まれるコマンドを生成する。そして、制御手段１２００は、機器通信手段１２３０を制御して、生成したコマンドを、第２セキュリティモジュール１２０を装着する機器１４０に送信する。

機器１４０のセキュリティモジュール通信手段９３０が、機器通信手段１２３０から送信されたコマンドを受信すると、制御手段９００は、受信したコマンドを、実行手段９２０に送り（ステップＳ２７３０）、機器本体ハードウエア８９０を用いて、そのコマンドの示す所定の動作を実行させる（ステップＳ２７４０）。

ステップＳ２５３０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものでない場合と（ステップＳ２５３０：Ｎｏ）、ステップＳ２５６０の処理において、復号したユーザアカウントとパスワードとの組が正しいものでない場合と（ステップＳ２５６０：Ｎｏ）、ステップＳ２６３０の処理において、復号したユーザアカウントとセキュリティモジュールＩＤとの組が正しいものでない場合と（ステップＳ２６３０：Ｎｏ）、ステップＳ２６７０の処理において、復号したユーザアカウントが正しいものでない場合と（ステップＳ２６７０：Ｎｏ）、ステップＳ２７２０の処理において、署名が正当なものであることが検証でできなかった場合と（ステップＳ２７２０：Ｎｏ）、ステップＳ２７４０の処理が終了した場合とに、機器制御システム１００は、その機器操作処理を終了する。

＜情報確認処理＞
情報確認処理は、機器制御システム１００が行う処理であって、サーバ装置１６０に登録されているユーザ情報を、機器制御システム１００を利用するユーザに提示して、必要に応じて、そのユーザからの、そのユーザ情報を更新する旨の操作を受け付けて、そのユーザ情報を更新する処理である。

図３０、図３１は、情報確認処理のフローチャートである。

情報確認処理は、ユーザから操作端末１３０に対してなされた、情報確認処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

情報確認処理が開始されると、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、第１セキュリティモジュール１１０と有線による通信を試みることで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であるか否かを判定する（ステップＳ３０００）。

ステップＳ３０００の処理において、第１セキュリティモジュール１１０と有線による通信が成功することで、操作端末１３０に第１セキュリティモジュール１１０が装着されている状態であると判定される場合に（ステップＳ３０００：Ｙｅｓ）、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ３０１０）。

入力要求を表示させた後、操作受付手段３２０が、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ３０２０：Ｎｏを繰り返した後、ステップＳ３０２０：Ｙｅｓ）、制御手段３００は、セキュリティモジュール通信手段３３０を制御して、ＩＤ情報格納手段６２０に記憶されている第１セキュリティモジュール１１０のセキュリティモジュールＩＤを読み出す旨の依頼を示す読出依頼信号を、第１セキュリティモジュール１１０に送信する。

第１セキュリティモジュール１１０の操作端末通信手段６１０が、セキュリティモジュール通信手段３３０から送信された読出依頼信号を受信すると、制御手段６００は、ＩＤ情報格納手段６２０に記憶されているセキュリティモジュールＩＤを読み出して（ステップＳ３０３０）、操作端末通信手段６１０を制御して、読み出したセキュリティモジュールＩＤを、操作端末１３０に送信する。

操作端末１３０のセキュリティモジュール通信手段３３０が、操作端末通信手段６１０から送信されたセキュリティモジュールＩＤを受信すると、制御手段３００は、暗号処理手段３６０を制御して、（１）情報確認処理の継続を要求する旨を示す情報確認信号と、（２）入力を受け付けた、ユーザアカウントとパスワードと、（３）受信したセキュリティモジュールＩＤとを暗号化する。そして、通信手段３５０を制御して、暗号化した、情報確認信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ３０４０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、情報確認信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、情報確認信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを復号する（ステップＳ３０５０）。

情報確認信号とユーザアカウントとパスワードとセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものであるか否かを調べる（ステップＳ３０６０）。

ステップＳ３０６０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものである場合に（ステップＳ３０６０：Ｙｅｓ）、制御手段１７００は、サーバ装置１６０を、そのユーザアカウントについて、第１ユーザモードでのログイン状態とする（ステップＳ３０７０）。

そして、制御手段１７００は、通信手段１７５０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００を、操作端末１３０に送信する（ステップＳ３０８０）。

操作端末１３０の通信手段３５０が、通信手段１７５０から送信されたユーザ情報を受信すると、制御手段３００は、受信したユーザ情報をユーザに提示するための画像であって、ユーザ情報に含まれる情報の一部についてユーザに更新させるための画像（以下、「情報確認画像」と呼ぶ。）を生成する。そして、表示手段３１０を制御して、タッチパネル２４０に、生成した情報確認画像を表示させる（ステップＳ３１００（図３１））。

図３２は、情報確認処理において、タッチパネル２４０に表示される情報確認画像の一例を示す模式図である。

同図における画像３２００と画像３２１０と画像３２２０とは、それぞれ、ステップＳ３１００の処理において、タッチパネル２４０に表示される情報確認画像の一例である。この例では、情報確認画像が複数である場合の例となっている。

画像３２００は、ユーザに対して、（１）そのユーザについての、ユーザ名とユーザアカウントと登録情報とを表示して、その内容の更新を受け付ける（登録情報閲覧／更新受付）か、（２）そのユーザについての、機種と型番とセキュリティモジュールＩＤとを表示して、その内容の更新を受け付ける（機器情報閲覧／更新受付）か、（３）情報確認処理を終了させる（終了受付）かのいずれかを選択させるための画像である。この画像を表示するタッチパネル２４０は、これら３つの処理のうちの１つを指定する、ユーザからの指定操作を受け付ける。

画像３２１０は、画像３２００を表示するタッチパネル２４０によって、（１）登録情報閲覧／更新受付を指定する指定操作が受け付けられた場合に表示される画像の例である。ここでは、ユーザ情報１８００（図１８参照）において互いに対応付けられている、ユーザ名１８１０とユーザアカウント１８２０と登録情報１８４０（ここでは、住所、電話番号、生年月日）とを表示する画像となっている。画像３２１０を表示するタッチパネル２４０は、表示している、ユーザ名とユーザアカウントと住所と電話番号と生年月日とについて、これらのうちの少なくとも１つについての内容を更新する情報更新操作を、ユーザから受け付ける。

画像３２２０は、画像３２００を表示するタッチパネル２４０によって、（２）機器情報閲覧／更新受付を指定する指定操作が受け付けられた場合に表示される画像の例である。ここでは、ユーザ情報１８００（図１８参照）において互いに対応付けられている、機種１８５０と型番１８６０とセキュリティモジュールＩＤ１８７０とを表示する画像となっている。画像３２２０を表示するタッチパネル２４０は、表示している、機種と型番とセキュリティモジュールＩＤとについて、これらのうちの少なくとも１つについての内容を更新する情報更新操作を、ユーザから受け付ける。

再び図３１に戻って、情報確認処理の説明を続ける。

情報確認画像を表示させた後、操作受付手段３２０が、情報確認処理を終了させる終了操作を受け付ける前において、情報更新操作を受け付けた場合に（ステップＳ３１１０：ＮｏとステップＳ３１６０：Ｎｏとを繰り返した後、ステップＳ３１１０：Ｙｅｓ）、制御手段３００は、暗号処理手段３６０を制御して、（１）受け付けた情報更新操作の内容を示す更新情報と、（２）ユーザアカウントと、（３）セキュリティモジュールＩＤとを暗号化する。そして、通信手段３５０を制御して、暗号化した、更新情報とユーザアカウントとセキュリティモジュールＩＤとを、サーバ装置１６０に送信する（ステップＳ３１２０）。

サーバ装置１６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、更新信号とユーザアカウントとセキュリティモジュールＩＤとを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、更新情報とユーザアカウントとセキュリティモジュールＩＤとを復号する（ステップＳ３１３０）。

更新情報とユーザアカウントとセキュリティモジュールＩＤとを復号すると、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００において、復号したユーザアカウントとセキュリティモジュールＩＤとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとセキュリティモジュールＩＤとの組が正しいものであるか否かを調べる（ステップＳ３１４０）。

ステップＳ３１４０の処理において、復号したユーザアカウントとセキュリティモジュールＩＤとの組が正しいものである場合に（ステップＳ３１４０：Ｙｅｓ）、制御手段１７００は、ユーザ情報管理手段１７３０を制御して、ユーザ情報管理手段１７３０に記憶されているユーザ情報１８００に対して、復号した更新情報によって示される情報更新操作の内容に基づく更新を行う（ステップＳ３１５０）。

ステップＳ３０００（図３０参照）の処理において、第１セキュリティモジュール１１０と有線による通信が成功しないことで、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ３０００：Ｎｏ）、制御手段３００は、表示手段３１０を制御して、タッチパネル２４０に、第１セキュリティモジュール１１０が装着されていない旨の表示をさせる（ステップＳ３０９０）。

ステップＳ３０９０の処理が終了した場合と、ステップＳ３０６０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものでない場合と（ステップＳ３０６０：Ｎｏ）、ステップＳ３１６０の処理において、終了操作を受け付けた場合と（ステップＳ３１６０：Ｙｅｓ）、ステップＳ３１１０の処理が終了した場合とに、機器制御システム１００は、その機器操作処理を終了する。
＜実施の形態２＞
＜概要＞
以下、本発明に係る機器制御方法の一実施形態として、実施の形態１における機器制御システム１００の一部を変形した、第１変形機器制御システムについて説明する。

第１変形機器制御システムは、そのハードウエア構成が、実施の形態１における機器制御システム１００から、実施の形態１における操作端末１３０が操作端末３３３０に変更されるように変形されている。そして、操作端末３３３０において実行されるソフトウエアの一部、及び、記憶されるデータの一部が、実施の形態１における操作端末１３０から変更されるように変形されている。また、実施の形態１におけるサーバ装置１６０が、ハードウエア構成はそのままであるが、実行されるソフトウエアの一部、及び、記憶されるデータの一部が変更されることで、サーバ装置３５６０に変形されている。

実施の形態１における機器制御システム１００は、実施の形態１における操作端末１３０が、コネクタ２６０を備え、第１セキュリティモジュール１１０を着脱自在に装着する構成であった。そして、操作端末１３０が第１セキュリティモジュール１１０を装着している状態である場合には、セキュアレベル１に対応付けられた機器の制御と、セキュアレベル２に対応付けられた機器の制御との双方が実行可能となり、操作端末１３０が第１セキュリティモジュール１１０を装着していない状態である場合には、セキュアレベル２に対応付けられた機器の制御に限って実行可能となる構成であった。

これに対して、実施の形態２における第１変形機器制御システムは、操作端末３３３０が、第１セキュリティモジュール１１０を装着するためのコネクタを備える替わりに、予め登録された人物の指紋を認証するための指紋認証装置を備えるように変形されている。そして、この第１変形機器制御システムは、指紋認証装置を備える操作端末３３３０が予め定められた人物の指紋認証に成功している状態である場合には、セキュアレベル１に対応付けられた機器の制御と、セキュアレベル２に対応付けられた機器の制御との双方が実行可能となり、指紋認証装置を備える操作端末が予め定められた人物の指紋認証に成功していない状態である場合には、には、セキュアレベル２に対応付けられた機器の制御に限って実行可能となる構成となっている。

以下、この第１変形機器制御システムの構成について、実施の形態１における機器制御システム１００との相違点を中心に、図面を参照しながら説明する。

＜構成＞
図３３は、操作端末３３３０の回路図である。

同図に示されるように、操作端末３３３０は、実施の形態１における操作端末１３０から、コネクタ２６０が削除され、指紋認証装置３３６０が追加されるように変形されている。

指紋認証装置３３６０は、ＣＰＵ２００に接続され、ＣＰＵ２００によって制御され、予め定められた、操作端末３３３０を利用するユーザについての指紋認証処理を行う機能を有する。

ここで、指紋認証装置３３６０の行う指紋認証処理とは、指紋認証装置３３６０を利用するユーザの右手人差し指から、その指紋の形状に係る情報を読み取って、読み取った情報と、予め記憶しているユーザ（以下、「正当ユーザ」と呼ぶ。）の右手人差し指の指紋の形状に係る指紋認証用情報とを比較して、そのユーザが正当ユーザであるか否かを判定する処理である。

ＣＰＵ２００は、ハードウエアとしては、実施の形態１におけるＣＰＵ２００と同じものであるが、実施の形態１から、実行するプログラムの一部が変更されている。

このため、ＣＰＵ２００は、メモリ２５０に記憶されているプログラムを実行することで、通信用ＬＳＩ２１０とタッチパネルコントローラ２３０とレシーバ２７０とを制御して、操作端末３３３０に、実施の形態１におけるスマートフォン制御機能に加えて、以下の３つの機能を実現させる機能を有する。

変形初期登録機能Ａ：操作端末３３３０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システムの行う変形初期登録処理を実現する機能。この変形初期登録処理については、後程＜変形初期登録処理＞の項目において、フローチャートを用いて詳細に説明する。

変形第２セキュリティモジュール発行依頼機能Ａ：操作端末３３３０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システムの行う変形第２セキュリティモジュール発行依頼処理を実現する機能。この変形第２セキュリティモジュール発行依頼処理については、後程＜変形第２セキュリティモジュール発行依頼処理＞の項目において、フローチャートを用いて詳細に説明する。

変形機器操作機能Ａ：操作端末３３３０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システムの行う変形機器操作処理を実現する機能。この変形機器操作処理については、後程＜変形機器操作処理＞の項目において、フローチャートを用いて詳細に説明する。

上記回路構成を備える操作端末３３３０について、以下、機能面から見た構成について説明する。

図３４は、操作端末３３３０の機能構成を示すブロック図である。

同図に示されるように、操作端末３３３０は、実施の形態１における操作端末１３０から、セキュリティモジュール通信手段３３０が削除され、指紋認証手段３４３０が追加され、制御手段３００が制御手段３４００に変更されるように変形されている。

指紋認証手段３４３０は、プログラムを実行するＣＰＵ２００と、指紋認証装置３３６０とによって構成され、制御手段３４００によって制御され、記憶する指紋認証用情報を利用して指紋認証処理を行う指紋認証機能を有する。

制御手段３４００は、プログラムを実行するＣＰＵ２００によって実現され、表示手段３１０と操作受付手段３２０と指紋認証手段３４３０と音声処理手段３４０と通信手段３５０と暗号処理手段３６０と操作端末情報格納手段３７０とを制御して、操作端末３３３０に、前述の、スマートフォン制御機能と変形初期登録機能Ａと変形第２セキュリティモジュール発行依頼機能Ａと変形機器操作機能Ａとを実現させる機能を有する。

サーバ装置３５６０のＣＰＵ１６００は、ハードウエアとしては、実施の形態１におけるＣＰＵ１６００と同じものであるが、実施の形態１から、実行するプログラムの一部が変更されている。

そして、ＣＰＵ１６００は、メモリ１６５０に記憶されているプログラムを実行することで、ネットワーク接続回路１６６０とハードディスクドライブ１６１０とを制御して、サーバ装置３５６０に、以下の３つの機能を実現させる機能を有する。

変形初期登録機能Ｅ：サーバ装置３５６０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システムの行う変形初期登録処理を実現する機能。

変形第２セキュリティモジュール発行依頼機能Ｅ：サーバ装置３５６０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システムの行う変形第２セキュリティモジュール発行依頼処理を実現する機能。

変形機器操作機能Ｅ：サーバ装置３５６０を制御して、第１変形機器制御システムを構成する他の構成要素と共同で、第１変形機器制御システム１の行う変形機器操作処理を実現する機能。

図３５は、サーバ装置３５６０の機能構成を示すブロック図である。

同図に示されるように、サーバ装置３５６０は、実施の形態１におけるサーバ装置１６０から、制御手段１７００が制御手段３５００に変更され、ユーザ情報管理手段１７３０がユーザ情報管理手段３５３０に変更されるように変形されている。

ユーザ情報管理手段３５３０は、プログラムを実行するＣＰＵ１６００と、ハードディスクドライブ１６１０に含まれる記憶領域の一部とによって実現され、制御手段３５００によって制御され、ユーザ情報３６００を記憶する機能と、記憶するユーザ情報３６００を更新する機能とを有する。

図３６は、ユーザ情報管理手段３５３０によって記憶されるユーザ情報３６００の一例についてのデータ構成図である。

同図に示されるように、ユーザ情報３６００は、実施の形態１におけるユーザ情報１８００（図１８参照）における、ユーザ名１８１０とユーザアカウント１８２０とパスワード１８３０と登録情報１８４０と機種１８５０と型番１８６０とが対応付けられて構成されるものであり、実施の形態１におけるユーザ情報１８００から、セキュリティモジュールＩＤ１８７０が削除されるように変形されたものである。

制御手段３５００は、プログラムを実行するＣＰＵ１６００によって実現され、暗号処理手段１７１０とユーザ情報管理手段３５３０と機能情報管理手段１７４０と通信手段１７５０とコマンド発行手段１７６０とを制御して、サーバ装置３５６０に、前述の、変形初期登録機能Ｅと変形第２セキュリティモジュール発行依頼機能Ｅと変形機器操作機能Ｅとを実現させる機能を有する。

以上のように構成される第１変形機器制御システムの行う動作について、実施の形態１における機器制御システム１００との相違点を中心に、以下図面を参照しながら説明する。

＜動作＞
第１変形機器制御システムは、その特徴的な動作として、変形初期登録処理と、変形第２セキュリティモジュール発行依頼処理と、変形機器操作処理とを行う。

以下、これらの処理について、順に説明する。

＜変形初期登録処理＞
変形初期登録処理は、実施の形態１における初期登録処理が変形された処理であって、第１変形機器制御システムが行う処理であって、新たに第１変形機器制御システムを利用しようとするユーザの情報を、サーバ装置３５６０に登録する処理である。

図３７は、変形初期登録処理のフローチャートである。

変形初期登録処理は、ユーザから操作端末３３３０に対してなされた、変形初期登録処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

初期登録処理が開始されると、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証を行うよう要求する旨のメッセージを表示させる（ステップＳ３７００）。

メッセージを表示させた後、制御手段３４００は、指紋認証手段３４３０を制御して、操作端末３３３０を利用するユーザに対して、指紋認証処理を行う（ステップＳ３７０５）。

ステップＳ３７０５の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定することで、指紋認証に成功した場合に（ステップＳ３７０５：Ｙｅｓ）、第１変形機器制御システムは、ステップＳ３７１０の処理以降の処理を行う。

ここで、ステップＳ３７１０の処理〜ステップＳ３７２０の処理は、実施の形態１における初期登録処理（図２０参照）の、ステップＳ２０１０の処理〜ステップＳ２０２０の処理と同様の処理である。よって、既に説明した通りである。

ステップＳ３７２０の処理において、操作受付手段３２０が、ユーザ名とユーザアカウントとパスワードと登録情報との入力を受け付けた場合に（ステップＳ３７２０：Ｎｏを繰り返した後、ステップＳ３７２０：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）変形初期登録処理の継続を要求する旨を示す変形初期登録要求信号と、（２）入力を受け付けた、ユーザ名とユーザアカウントとパスワードと登録情報と、（３）操作端末情報格納手段３７０に格納される操作端末情報４００とを暗号化する。そして、通信手段３５０を制御して、暗号化した、変形初期登録要求信号とユーザ名とユーザアカウントとパスワードと操作端末情報と登録情報とを、サーバ装置３５６０に送信する（ステップＳ３７４０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、変形初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とを受信すると、制御手段３５００は、暗号処理手段１７１０を制御して、受信した、暗号化された、変形初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とを復号する（ステップＳ３７５０）。

変形初期登録要求信号とユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００に、復号したユーザ名が存在するか否かを調べる（ステップＳ３７６０）。

ステップＳ３７６０の処理において、ユーザ情報３６００に、復号したユーザ名が存在しない場合に（ステップＳ３７６０：Ｎｏ）、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、復号した、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報（すなわち、端末種別４１０と型番４２０：図４参照）とが互いに対応付けられるように、ユーザ情報管理手段３５３０に記憶されるユーザ情報３６００を更新する（ステップＳ３７７０）。

ステップＳ３７０５の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定しないことで、指紋認証に成功しなかった場合に（ステップＳ３７０５：Ｎｏ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証に失敗した旨のメッセージを表示させる（ステップＳ３７８０）。

ステップＳ３７６０の処理において、ユーザ情報３６００に、復号したユーザ名が存在する場合と（ステップＳ３７６０：Ｙｅｓ）、ステップＳ３７７０の処理が終了した場合と、ステップＳ３７８０の処理が終了した場合とに、第１変形機器制御システムは、その変形初期登録処理を終了する。

＜変形第２セキュリティモジュール発行依頼処理＞
変形第２セキュリティモジュール発行依頼処理は、実施の形態１における第２セキュリティモジュール発行依頼処理が変形された処理であって、第１変形機器制御システムが行う処理であって、第１変形機器システムを利用するユーザから、新たな第２セキュリティモジュールの発行依頼を受け付ける処理である。

図３８は、変形第２セキュリティモジュール発行依頼処理のフローチャートである。

変形第２セキュリティモジュール発行依頼処理は、ユーザから操作端末３３３０に対してなされた、変形第２セキュリティモジュール発行依頼処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

変形第２セキュリティモジュール発行依頼処理が開始されると、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証を行うよう要求する旨のメッセージを表示させる（ステップＳ３８００）。

メッセージを表示させた後、制御手段３４００は、指紋認証手段３４３０を制御して、操作端末３３３０を利用するユーザに対して、指紋認証処理を行う（ステップＳ３８０５）。

ステップＳ３８０５の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定することで、指紋認証に成功した場合に（ステップＳ３８０５：Ｙｅｓ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ３８１０）。

入力要求を表示させた後、操作受付手段３２０が、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ３８２０：Ｎｏを繰り返した後、ステップＳ３８２０：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）変形第２セキュリティモジュール発行依頼処理の継続を要求する旨を示す変形第２セキュリティモジュール発行要求信号と、（２）入力を受け付けた、ユーザアカウントとパスワードとを暗号化する。そして、通信手段３５０を制御して、暗号化した、変形第２セキュリティモジュール発行要求信号とユーザアカウントとパスワードとを、サーバ装置３５６０に送信する（ステップＳ３８３０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、変形第２セキュリティモジュール発行要求信号とユーザアカウントとパスワードとを受信すると、制御手段３５００は、暗号処理手段１７１０を制御して、受信した、暗号化された、変形第２セキュリティモジュール発行要求信号とユーザアカウントとパスワードとを復号する（ステップＳ３８４０）。

変形第２セキュリティモジュール発行要求信号とユーザアカウントとパスワードとを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００において、復号したユーザアカウントとパスワードとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとの組が正しいものであるか否かを調べる（ステップＳ３８５０）。

ステップＳ３８５０の処理において、復号したユーザアカウントとパスワードとの組が正しいものである場合に（ステップＳ３８５０：Ｙｅｓ）、制御手段３５００は、新規セキュリティモジュールＩＤを生成する。そして、ユーザ情報管理手段３５３０を制御して、ユーザ情報３６００において、復号したセキュリティモジュールＩＤに対応付けられているユーザ名１８１０と、生成した新規セキュリティモジュールＩＤとが互いに対応付けられるように、ユーザ情報管理手段３５３０に記憶されるユーザ情報３６００を更新する（ステップＳ３８６０）。

ユーザ情報３６００が更新されると、第１変形機器制御システムを管理する管理者は、生成された新規セキュリティモジュールＩＤを記憶する第２セキュリティモジュール１２０を、更新されたユーザ情報３６００において、生成された新規のセキュリティモジュールＩＤ１８７０に対応付けられた登録情報１８４０に基づいて、生成された新規のセキュリティモジュールＩＤ１８７０に対応付けられたユーザ名１８１０で示されるユーザに送付（例えば、郵送）する（ステップＳ３８７０）。

ステップＳ３８０５の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定しないことで、指紋認証に成功しなかった場合に（ステップＳ３８０５：Ｎｏ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証に失敗した旨のメッセージを表示させる（ステップＳ３８８０）。

ステップＳ３８８０の処理が終了した場合と、ステップＳ３８５０の処理において、復号したユーザアカウントとパスワードとの組が正しいものでない場合と（ステップＳ３８５０：Ｎｏ）、ステップＳ３８７０の処理が終了した場合とに、第１変形機器制御システムは、その変形第２セキュリティモジュール発行依頼処理を終了する。

＜変形機器操作処理＞
変形機器操作処理は、実施の形態１における機器操作処理が変形された処理であって、第１変形機器制御システムが行う処理であって、第１変形機器制御システムを利用するユーザによってなされた操作端末３３３０への操作に基づいて、機器１４０を制御する処理である。

図３９、図４０、図４１は、変形機器操作処理のフローチャートである。

変形機器操作処理は、ユーザから操作端末３３３０に対してなされた、変形機器操作処理を開始する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

変形機器操作処理が開始されると、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証の要否を確認する旨の指紋認証要否確認画像を表示させる（ステップＳ３９００）。

指紋認証要否確認画像を表示させた後、操作受付手段３２０が、ユーザからの、指紋認証を必要とする旨の入力を受け付けると（ステップＳ３９０２：Ｙｅｓ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、指紋認証を行うよう要求する旨のメッセージを表示させる（ステップＳ３９０５）。

メッセージを表示させた後、制御手段３４００は、指紋認証手段３４３０を制御して、操作端末３３３０を利用するユーザに対して、指紋認証処理を行う（ステップＳ３９０７）。

ステップＳ３９０７の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定することで、指紋認証に成功した場合に（ステップＳ３９０７：Ｙｅｓ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ３９１０）。

入力要求を表示させた後、操作受付手段３２０が、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ３９１５：Ｎｏを繰り返した後、ステップＳ３９１５：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）変形機器操作処理の継続を要求する旨を示す第１変形機器操作信号と、（２）入力を受け付けた、ユーザアカウントとパスワードとを暗号化する。そして、通信手段３５０を制御して、暗号化した、第１変形機器操作信号とユーザアカウントとパスワードとを、サーバ装置３５６０に送信する（ステップＳ３９２０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、第１変形機器操作信号とユーザアカウントとパスワードとを受信すると、制御手段３５００は、暗号処理手段１７１０を制御して、受信した、暗号化された、第１変形機器操作信号とユーザアカウントとパスワードとを復号する（ステップＳ３９２５）。

第１変形機器操作信号とユーザアカウントとパスワードとを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００において、復号したユーザアカウントとパスワードとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとの組が正しいものであるか否かを調べる（ステップＳ３９３０）。

ステップＳ３９３０の処理において、復号したユーザアカウントとパスワードとの組が正しいものである場合に（ステップＳ３９３０：Ｙｅｓ）、第１変形機器制御システムは、ステップＳ３９３５以降の処理を行う。

ここで、ステップＳ３９３５の処理〜ステップＳ４０００（図４０参照）の処理は、実施の形態１における機器操作処理（図２５〜図２７参照）のステップＳ２５３５の処理〜ステップＳ２６００の処理と同様の処理である。よって、既に説明した通りである。

ステップＳ４０００の処理において、操作受付手段３２０が、制御可能機能についての設定を示す、ユーザからの指定操作を受け付けると（ステップＳ４０００：Ｎｏを繰り返した後、ステップＳ４０００：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）ユーザアカウントと、（２）受け付けた制御可能機能についての設定を示す制御可能機能信号とを暗号化する。そして、通信手段３５０を制御して、暗号化した、ユーザアカウントと制御可能機能信号とを、サーバ装置３５６０に送信する（ステップＳ４０１０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、ユーザアカウントと制御可能機能信号とを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、ユーザアカウントと制御可能機能信号とを復号する（ステップＳ４０２０）。

ユーザアカウントと制御可能機能信号とを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００において、復号したユーザアカウントが存在しているか否かを調べることで、復号したユーザアカウントが正しいものであるか否かを調べる（ステップＳ４０３０）。

ステップＳ３９０２（図３９参照）の処理において、操作受付手段３２０が、ユーザからの、指紋認証を必要としない旨の入力を受け付けると（ステップＳ３９０２：Ｎｏ）、制御手段３４００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ３９４２）。

入力要求を表示させた後、操作受付手段３２０が、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ３９４４：Ｎｏを繰り返した後、ステップＳ３９４４：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）変形機器操作処理の継続を要求する旨を示す第２変形機器操作信号と、（２）入力を受け付けた、ユーザアカウントとパスワードとを暗号化する。そして、通信手段３５０を制御して、暗号化した、第１変形機器操作信号とユーザアカウントとパスワードとを、サーバ装置３５６０に送信する（ステップＳ３９５０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、第２変形機器操作信号とユーザアカウントとパスワードとを受信すると、制御手段３５００は、暗号処理手段１７１０を制御して、受信した、暗号化された、第２変形機器操作信号とユーザアカウントとパスワードとを復号する（ステップＳ３９５５）。

第２変形機器操作信号とユーザアカウントとパスワードとを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００において、復号したユーザアカウントとパスワードとが互いに対応付けられて存在しているか否かを調べることで、復号したユーザアカウントとパスワードとの組が正しいものであるか否かを調べる（ステップＳ３９６０）。

ステップＳ３９６０の処理において、復号したユーザアカウントとパスワードとの組が正しいものである場合に（ステップＳ３９６０：Ｙｅｓ）、第１変形機器制御システムは、ステップＳ３９６５以降の処理を行う。

ここで、ステップＳ３９６５の処理〜ステップＳ４０４０（図４０参照）の処理は、実施の形態１における機器操作処理（図２５〜図２７参照）のステップＳ２５６５の処理〜ステップＳ２６４０の処理と同様の処理である。よって、既に説明した通りである。

ステップＳ４０４０の処理において、操作受付手段３２０が、制御可能機能についての設定を示す、ユーザからの指定操作を受け付けると（ステップＳ４０４０：Ｎｏを繰り返した後、ステップＳ４０４０：Ｙｅｓ）、制御手段３４００は、暗号処理手段３６０を制御して、（１）ユーザアカウントと、（２）受け付けた制御可能機能についての設定を示す制御可能機能信号とを暗号化する。そして、通信手段３５０を制御して、暗号化した、ユーザアカウントと制御可能機能信号とを、サーバ装置３５６０に送信する（ステップＳ４０５０）。

サーバ装置３５６０の通信手段１７５０が、通信手段３５０から送信された、暗号化された、ユーザアカウントと制御可能機能信号とを受信すると、制御手段１７００は、暗号処理手段１７１０を制御して、受信した、暗号化された、ユーザアカウントと制御可能機能信号とを復号する（ステップＳ４０６０）。

ユーザアカウントと制御可能機能信号とを復号すると、制御手段３５００は、ユーザ情報管理手段３５３０を制御して、ユーザ情報管理手段３５３０に記憶されているユーザ情報３６００において、復号したユーザアカウントが存在しているか否かを調べることで、復号したユーザアカウントが正しいものであるか否かを調べる（ステップＳ４０７０）。

ステップＳ４０３０の処理において、復号したユーザアカウントが正しいものである場合と（ステップＳ４０３０：Ｙｅｓ）、ステップＳ４０７０の処理において、復号したユーザアカウントが正しいものである場合と（ステップＳ４０７０：Ｙｅｓ）に、第１変形機器制御システムは、ステップＳ４０８０以降の処理を行う。

ここで、ステップＳ４０８０の処理〜ステップＳ４１４０（図４１参照）の処理は、実施の形態１における機器操作処理（図２５〜図２７参照）のステップＳ２６８０の処理〜ステップＳ２７４０の処理と同様の処理である。よって、既に説明した通りである。

ステップＳ３９０７の処理において、指紋認証手段３４３０が、そのユーザが正当ユーザであると判定しないことで、指紋認証に成功しなかった場合と（ステップＳ３９０７：Ｎｏ）、ステップＳ３９３０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものでない場合と（ステップＳ３９３０：Ｎｏ）、ステップＳ３９６０の処理において、復号したユーザアカウントとパスワードとの組が正しいものでない場合と（ステップＳ３９６０：Ｎｏ）、ステップＳ４０３０の処理において、復号したユーザアカウントが正しいものでない場合と（ステップＳ４０３０：Ｎｏ）、ステップＳ４０７０の処理において、復号したユーザアカウントが正しいものでない場合と（ステップＳ４０７０：Ｎｏ）、ステップＳ４１２０の処理において、署名が正当なものであることが検証でできなかった場合と（ステップＳ４１２０：Ｎｏ）、ステップＳ４１４０の処理が終了した場合とに、第１変形機器制御システムは、その変形機器操作処理を終了する。
＜変形例＞
＜概要＞
以下、本発明に係る機器制御方法の一実施形態として、実施の形態１における機器制御システム１００の一部を変形した、第２変形機器制御システムについて説明する。

第２変形機器制御システムは、そのハードウエア構成が、実施の形態１における機器制御システム１００から変更されていない。しかし、実施の形態１における操作端末１３０が、実行されるソフトウエアの一部が変更されることで、操作端末４２３０に変形され、実施の形態１におけるサーバ装置１６０が、実行されるソフトウエアの一部、及び、記憶されるデータの一部が変更されることで、サーバ装置４３０６に変形されている。

この第２変形機器制御システムは、実施の形態１における機器制御システム１００が有していない機能、すなわち、第１セキュリティモジュール１１０を装着する操作端末４２３０を利用するユーザが、そのユーザによって実行可能となる機器の制御を、他のユーザに対しても実行可能とするユーザ追加登録機能を有している。

以下、この第２変形機器制御システムの構成について、実施の形態１における機器制御システム１００との相違点を中心に、図面を参照しながら説明する。

＜構成＞
図４２は、操作端末４２３０の機能構成を示すブロック図である。

同図に示されるように、操作端末４２３０は、実施の形態１における操作端末１３０から、制御手段３００が制御手段４２００に変更されるように変形されている。

制御手段４２００は、プログラムを実行するＣＰＵ２００によって実現され、実施の形態１における制御手段３００の有する機能に加えて、表示手段３１０と操作受付手段３２０とセキュリティモジュール通信手段３３０と音声処理手段３４０と通信手段３５０と暗号処理手段３６０と操作端末情報格納手段３７０とを制御して、操作端末４２３０に、以下のユーザ追加登録機能Ａを実現させる機能を有する。

ユーザ追加登録機能Ａ：操作端末４２３０を制御して、第２変形機器制御システムを構成する他の構成要素と共同で、第２変形機器制御システムの行うユーザ追加登録処理を実現する機能。このユーザ追加登録処理については、後程＜ユーザ追加登録処理＞の項目において、フローチャートを用いて詳細に説明する。

図４３は、サーバ装置４３６０の機能構成を示すブロック図である。

同図に示されるように、サーバ装置４３６０は、実施の形態１におけるサーバ装置１６０から、制御手段１７００が制御手段４３００に変更され、ユーザ情報管理手段１７３０がユーザ情報管理手段４３３０に変更されるように変形されている。

制御手段４３００は、プログラムを実行するＣＰＵ１６００によって実現され、実施の形態１における制御手段１７００の有する機能に加えて、暗号処理手段１７１０とユーザ情報管理手段４３３０と機能情報管理手段１７４０と通信手段１７５０とコマンド発行手段１７６０とを制御して、サーバ装置４３６０に、以下のユーザ追加登録機能Ｂを実現させる機能を有する。

ユーザ追加登録機能Ｂ：サーバ装置４３６０を制御して、第２変形機器制御システムを構成する他の構成要素と共同で、第２変形機器制御システムの行うユーザ追加登録処理を実現する機能。

ユーザ情報管理手段４３３０は、プログラムを実行するＣＰＵ１６００と、ハードディスクドライブ１６１０に含まれる記憶領域の一部とによって実現され、制御手段４３００によって制御され、ユーザ情報４４００を記憶する機能と、記憶するユーザ情報４４００を更新する機能とを有する。

図４４は、ユーザ情報管理手段４３３０によって記憶されるユーザ情報４４００の一例についてのデータ構成図である。

同図に示されるように、ユーザ情報４４００は、グループ名４４０５と種別４４８０と、実施の形態１におけるユーザ情報１８００（図１８参照）における、ユーザ名１８１０とユーザアカウント１８２０とパスワード１８３０と登録情報１８４０と機種１８５０と型番１８６０とが対応付けられて構成されるものである。

同図において、グループ名４４０５は、対応付けられた、ユーザ名１８１０が属するグループを示す情報である。

種別４４８０は、対応付けられた型番１８６０によって示される、操作端末１３０又は機器１４０が、操作端末１３０と機器１４０とのいずれであるかを示す情報である。

ここで、このユーザ情報４４００は、グループ名４４０５によって示される一のグループについて、（１）１組以上（図４４の例では２組）の、ユーザ名１８１０とユーザアカウント１８２０とパスワード１８３０と登録情報１８４０との組と、（２）１組以上（図４４の例では５組）の、機種１８５０と型番１８６０とセキュリティモジュールＩＤ１８７０と種別４４８０との組とが互いに対応付けられて構成される。すなわち、一のグループに属する、ユーザ名１８１０によって示されるユーザのそれぞれは、そのグループに属する、操作端末１３０のそれぞれと機器１４０のそれぞれとに対応付けられている。

図４４の例では、型番Ｐ−０６Ｄのスマートフォンと型番Ｐ−０２Ｄのスマートフォンとが、ユーザＡとユーザＢとによって利用される操作端末１３０であり、型番ＣＳ−Ｘ２５２Ｃのエアコンと型番ＮＲ−Ｆ４５６Ｔの冷蔵庫と型番ＤＭＲ−ＢＺＴ８２０のレコーダとが、ユーザＡとユーザＢとによって利用される機器１４０であることを示している。

以上のように構成される第２変形機器制御システムの行う動作について、実施の形態１における機器制御システム１００との相違点を中心に、以下図面を参照しながら説明する。

＜動作＞
第２変形機器制御システムは、その特徴的な動作として、ユーザ追加登録処理を行う。

以下、このユーザ追加登録処理について、順に説明する。

＜ユーザ追加登録処理＞
ユーザ追加登録処理は、第２変形機器制御システムが行う処理であって、第１セキュリティモジュール１１０を装着する操作端末４２３０を利用するユーザが、そのユーザによって実行可能となる機器の制御を、他のユーザに対しても実行可能とする処理である。

図４５、図４６は、ユーザ追加登録処理のフローチャートである。

ユーザ追加登録処理は、ユーザから操作端末４２３０に対してなされた、ユーザ追加登録処理を解する旨の所定の操作が、操作受付手段３２０によって受け付けられたことによって開始される。

ユーザ登録処理が開始されると、制御手段４２００は、セキュリティモジュール通信手段３３０を制御して、第１セキュリティモジュール１１０と有線による通信を試みることで、操作端末４２３０に第１セキュリティモジュール１１０が装着されている状態であるか否かを判定する（ステップＳ４５００）。

ステップＳ４５００の処理において、第１セキュリティモジュール１１０と有線による通信が成功することで、操作端末４２３０に第１セキュリティモジュール１１０が装着されている状態であると判定される場合に（ステップＳ４５００：Ｙｅｓ）、制御手段４２００は、表示手段３１０を制御して、タッチパネル２４０に、ユーザアカウントとパスワードとの入力要求を表示させる（ステップＳ４５０５）。

入力要求を表示させた後、操作受付手段３２０が、ユーザからの、ユーザアカウントとパスワードとの入力を受け付けると（ステップＳ４５１０：Ｎｏを繰り返した後、ステップＳ４５１０：Ｙｅｓ）、第２変形機器制御システムは、ステップＳ４５１５以降の処理を行う。

ここで、ステップＳ４５１５の処理〜ステップＳ４５３５の処理は、実施の形態１における機器操作処理（図２５参照）の、ステップＳ２５１５の処理〜ステップＳ２５３５の処理と同様の処理である。よって、既に説明した通りである。

ステップＳ４５３５の処理が終了すると、制御手段４３００は、通信手段１７５０を制御して、第１ユーザモードでログインした旨を示すログイン信号を、操作端末４２３０に送信する（ステップＳ４５４０）。

操作端末４２３０の通信手段３５０が、通信手段１７５０から送信されたログイン信号を受信すると、制御手段４２００は、表示手段３１０を制御して、タッチパネル２４０に、ステップＳ４５３５の処理においてログインしたアカウントのユーザ（以下、「親ユーザ」と呼ぶ。）によって実行可能となる機器の制御についての実行権限を付与しようとする他のユーザ（以下、「子ユーザ」と呼ぶ。）についての、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとの入力要求を表示させる（ステップＳ４６００）。

入力要求を表示させた後、操作受付手段３２０が、ユーザからの、子ユーザについての、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとの入力を受け付けると（ステップＳ４６１０：Ｎｏを繰り返した後、ステップＳ４６１０：Ｙｅｓ）、制御手段４２００は、通信手段３５０を制御して、入力を受け付けた、子ユーザについての、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとを、サーバ装置４３６０に送信する（ステップＳ４６２０）。

サーバ装置４３６０の通信手段１７５０が、通信手段３５０から送信された、子ユーザについての、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとを受信すると、制御手段４３００は、ユーザ情報管理手段４３３０を制御して、受信した、子ユーザについての、ユーザ名とユーザアカウントとパスワードと登録情報と操作端末情報とセキュリティモジュールＩＤとのそれぞれが、親ユーザに対応付けられているグループ名４４０５に対応付けられるように、ユーザ情報管理手段４３３０に記憶されるユーザ情報４４００を更新する（ステップＳ４６３０）。

ステップＳ４５００の処理において、第１セキュリティモジュール１１０と有線による通信が成功しないことで、操作端末４２３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ４５００：Ｎｏ）、制御手段４２００は、表示手段３１０を制御して、タッチパネル２４０に、第１セキュリティモジュール１１０が装着されていない旨の表示をさせる（ステップＳ４５５０）。

ステップＳ４５５０の処理が終了した場合と、ステップＳ４５３０の処理において、復号したユーザアカウントとパスワードとセキュリティモジュールＩＤとの組が正しいものでない場合と（ステップＳ４５３０：Ｎｏ）、ステップＳ４６３０の処理が終了した場合とに、第２変形機器制御システムは、そのユーザ追加登録処理を終了する。
＜補足＞
以上、本発明に係る機器制御方法の一実施形態として、実施の形態１、実施の形態２、変形例において、３つの機器制御システムの例を用いて説明したが、以下のように変形することも可能であり、本発明は上述した、実施の形態１、実施の形態２、変形例で例示した通りの機器制御システムで用いられる機器制御方法に限られないことはもちろんである。

（１）実施の形態１において、機器制御システム１００は、第２セキュリティモジュール１２０とサーバ装置１６０とが行う通信を中継する通信中継機能を有するホームゲートウェイ１５０を備えるとして説明した。

しかしながら、第２セキュリティモジュール１２０とサーバ装置１６０とが通信できれば、必ずしも、ホームゲートウェイ１５０を備える必要はない。一例として、第２セキュリティモジュール１２０が、有線にてネットワーク１７０と接続するネットワーク接続回路を備え、第２セキュリティモジュール１２０とサーバ装置１６０とが、ネットワーク１７０を介して通信する例等が考えられる。

（２）実施の形態１において、ホームゲートウェイ１５０は、第２セキュリティモジュール１２０とサーバ装置１６０とが行う通信を中継する通信中継機能を有するとして説明した。

しかしながら、機器制御システム１００として実現する機能に支障をきたさなければ、ホームゲートウェイ１５０が、この通信中継機能に加えて、サーバ装置１６０の有する機能の一部を有し、サーバ装置１６０が、ホームゲートウェイ１５０が有することとなる機能を有さないとしても構わない。一例として、ホームゲートウェイ１５０が、機能情報１９００を記憶する機能と、記憶する機能情報１９００を参照して、制御対象とする機器１４０に制御対象とする機能を実現させるためのコマンドを生成する機能とを有し、サーバ装置１６０が、これら機能を有さない例等が考えられる。

（３）実施の形態１において、操作端末１３０は、いわゆるスマートフォン型携帯通信端末であるとして説明した。

しかしながら、操作端末１３０は、初期登録機能Ａと第２セキュリティモジュール発行依頼機能Ａと機器操作機能Ａと情報確認機能Ａと同等の機能を実現することができれば、必ずしも、いわゆるスマートフォン型携帯通信端末である必要はない。一例として、初期登録機能Ａと第２セキュリティモジュール発行依頼機能Ａと機器操作機能Ａと情報確認機能Ａと同等の機能を実現することができる、タブレット型パソコン、携帯ゲーム機、折り畳み式携帯電話機等の例が考えられる。

（４）実施の形態１において、機器制御システム１００は、操作端末１３０とサーバ装置１６０との通信を中継する機能を有する基地局１８０を備えるとして説明した。

しかしながら、操作端末１３０とサーバ装置１６０とが通信できる構成であれば、必ずしも、基地局１８０を備える必要はない。一例として、操作端末１３０とサーバ装置１６０とが、人工衛星を利用する衛星通信回線を利用して直接通信する例等が考えられる。

（５）実施の形態１において、第２セキュリティモジュール１２０とホームゲートウェイ１５０との間でなされる通信は、Bluetooth規格に準拠する通信であるとして説明した。

しかしながら、第２セキュリティモジュール１２０とホームゲートウェイ１５０とが通信することができれば、必ずしも、Bluetooth規格に準拠する通信である必要はない。一例として、赤外線通信規格に準拠する通信、Wi-Fi規格に準拠する通信等の例が考えられる。さらには、無線による通信ではなく、有線による通信である例等も考えられる。

（６）実施の形態１において、第１セキュリティモジュール１１０と第２セキュリティモジュール１２０とは、それぞれ、自モジュールのセキュリティモジュールＩＤが、製造時においてＲＯＭにおける所定の記憶領域に格納されることによって、セキュリティモジュールＩＤの改竄を防止しているとして説明した。

しかしながら、セキュリティモジュールＩＤの改竄を防止することができれば、必ずしも、セキュリティモジュールＩＤが、製造時においてＲＯＭにおける所定の記憶領域に格納される必要はない。一例として、暗号化して、或いは、署名を付与してフラッシュメモリの所定の記憶領域に格納する例等が考えられる。

（７）実施の形態１において、機器制御システム１００は、その機器操作処理において、（ａ）操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、サーバ装置１６０が、操作端末１３０に、セキュアレベル１又は２に対応付けられた機能を示す制御可能機器信号を送信して、その制御可能信号を受信した操作端末１３０が、セキュアレベル１又は２に対応付けられた機能の一覧を表示し、（ｂ）操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、サーバ装置１６０が、操作端末１３０に、セキュアレベル２に対応付けられた機能を示す制御可能機器信号を送信して、その制御可能信号を受信した操作端末１３０が、セキュアレベル２に対応付けられた機能の一覧を表示するとして説明した。

しかしながら、（ａ）操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、操作端末１３０が、セキュアレベル１又は２に対応付けられた機能の一覧を表示し、（ｂ）操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、操作端末１３０が、セキュアレベル２に対応付けられた機能の一覧を表示することができればよい。必ずしも、（ａ）操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、サーバ装置１６０が、操作端末１３０に、セキュアレベル１又は２に対応付けられた機能を示す制御可能機器信号を送信し、（ｂ）操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、サーバ装置１６０が、操作端末１３０に、セキュアレベル２に対応付けられた機能を示す制御可能機器信号を送信する必要はない。一例として、操作端末１３０に第１セキュリティモジュール１１０が装着されているか否かに関わらず、サーバ装置１６０が、操作端末１３０に、セキュアレベル１又は２に対応付けられた機能を示す制御可能機器信号を送信して、その制御可能信号を受信した操作端末１３０が、（ａ）操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、セキュアレベル１又は２に対応付けられた機能の一覧を表示し、（ｂ）操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、セキュアレベル２に対応付けられた機能に限っての一覧を表示する例等が考えられる。

（８）実施の形態１において、機器制御システム１００は、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、操作端末１３０の操作受付手段３２０によって、セキュアレベル１又は２に対応付けられた機能の設定が受け付け可能となり、操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、操作端末１３０の操作受付手段３２０によって、セキュアレベル２に対応付けられた機能の設定が受け付け可能となるとして説明した。

しかしながら、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、セキュアレベル１又は２に対応付けられた機能の制御が可能となり、操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、セキュアレベル２に対応付けられた機能の制御が可能となれは、必ずしも、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、操作端末１３０の操作受付手段３２０によって、セキュアレベル１又は２に対応付けられた機能の設定が受け付け可能となり、操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、操作端末１３０の操作受付手段３２０によって、セキュアレベル２に対応付けられた機能の設定が受け付け可能となるとする必要はない。一例として、操作端末１３０に第１セキュリティモジュール１１０が装着されているか否かに関わらず、操作端末１３０の操作受付手段３２０によって、セキュアレベル１又は２に対応付けられた機能の設定が受け付け可能となり、（ａ）操作端末１３０に第１セキュリティモジュール１１０が装着されている場合に、コマンド発行手段１７６０が、操作端末１３０によって受け付けられた機能の設定を実現するためのコマンドを生成し、（ｂ）操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合に、コマンド発行手段１７６０が、操作端末１３０によって受け付けられた機能の設定のうち、セキュアレベル２に対応付けられた機能の設定に限って、その機能の設定を実現するためのコマンドを生成する等の例が考えられる。

（９）実施の形態１において、機器制御システム１００は、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合には、その操作端末１３０によって、セキュアレベル１又は２に対応付けられた機能が制御可能となり、操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合には、その操作端末１３０によって、セキュアレベル２に対応付けられた機能が制御可能となるとして説明した。

これに対して、別の一例として、操作端末１３０に第１セキュリティモジュール１１０が装着されている場合には、その操作端末１３０によって、セキュアレベル１又は２に対応付けられた機能が制御可能となり、操作端末１３０に第１セキュリティモジュール１１０が装着されていない場合には、機器の制御が不可能となるとしても構わない。これは、例えば、機器操作処理（図２５参照）のステップＳ２５１０の処理において、操作端末１３０に第１セキュリティモジュール１１０が装着されていない状態であると判定される場合に（ステップＳ２５１０：Ｎｏ）、機器制御システム１００が、その機器操作処理を終了するとすること等で実現される。

（１０）実施の形態１において、第２セキュリティモジュール１２０とホームゲートウェイ１５０とが無線によって直接に通信し、第２セキュリティモジュール１２０と機器１４０とが有線によって直接に通信するとして説明した。

しかしながら、第２セキュリティモジュール１２０とホームゲートウェイ１５０と機器１４０とが、直接に、又は間接に通信することができれば、必ずしも、第２セキュリティモジュール１２０とホームゲートウェイ１５０とが無線によって直接に通信し、第２セキュリティモジュール１２０と機器１４０とが有線によって直接に通信する必要はない。一例として、機器１４０とホームゲートウェイ１５０とが無線によって直接に通信し、第２セキュリティモジュール１２０と機器１４０とが有線によって直接に通信する例等が考えられる。

（１１）実施の形態１において、機器制御システム１００は、宅内に配置されている機器１４０を、宅外に持ち出した操作端末１３０を用いて制御することができるとして説明した。

しかしながら、操作対象となる機器１４０は、必ずしも、宅内に配置されている場合に限定されないし、操作端末１３０は、必ずしも、宅外に持ち出されることで利用される場合に限定されない。

一例として、機器１４０が、車、電車、飛行、オフィス等といった非居住空間に設置されている例等が考えられる。また、別の一例として、宅内に配置された機器１４０を、宅内の別の部屋に存在する操作端末１３０を利用して操作する例等が考えられる。

（１２）実施の形態２において、操作端末３３３０は、自端末を利用するユーザが予め定められた人物であるか否かを調べるための指紋認証装置３３６０を備えるとして説明した。

しかしながら、自端末を利用するユーザが予め定められた人物であるか否かを調べることができれば、必ずしも、指紋認証装置３３６０を備える必要はない。一例として、虹彩の形状を利用して人物の認証を行う虹彩認証装置を備える構成例等が考えられる。また、他の一例として、予め定められた人物のみが知り得る情報（例えば、セキュリティコード）がユーザから入力されることで、そのユーザが、予め定められた人物であるか否かを調べる手段を有する例等が考えられる。

（１３）変形例において、第２変形機器制御システムは、そのユーザ登録処理を実行することで、操作端末４２３０を利用するユーザ（以下、「ユーザＸ」と呼ぶ。）が、そのユーザＸによって実行可能となる機器の制御の全てを、他のユーザ（以下、「ユーザＹ」と呼ぶ。）に対しても実行可能とすることができるとして説明した。

これに対して、別の一例として、ユーザＸによって実行可能となる機器の制御のうち、一部の機器の制御のみを、ユーザＹに対しても実行可能とすることができるとしてもよい。これは、例えば、ユーザ情報４４００において、型番１８６０のそれぞれに、論理値“０”と論理値“１”とのいずれかの値を取るフラグを対応付けておき、論理値“１”となるフラグに対応付けられた型番１８６０で示される型番の機器の制御に限って、ユーザＹに対して実行可能であるとすること等で実現される。

（１４）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

（１５）以下、さらに、本発明の一実施形態に係る機器制御方法及びその変形例と各効果について、また、本発明の一実施形態に係る機器制御システムの構成と効果について説明する。

（ａ）本発明の一実施形態に係る機器制御方法は、操作端末を用いて機器を制御する機器制御システムにおける機器制御方法であって、前記操作端末を用いてなされる、前記機器を制御するための機器制御操作を受け付ける操作受付ステップと、前記操作端末の状態が、制御権限に係る第１状態であるか、前記第１状態における制御権限よりも低い制御権限に係る第２状態であるかを判定する判定ステップと、前記判定ステップによって前記操作端末が前記第２状態であると判定される場合に、許容する機器の制御内容を、前記第１状態であると判定される場合に許容する機器の制御内容の一部に限定する限定ステップと、前記操作受付ステップによって受け付けられた機器制御操作に応じて、前記機器を制御する機器制御ステップとを有し、前記判定ステップによって前記操作端末が前記第２状態であると判定された場合に、前記限定ステップによって限定された制御内容に限って、前記機器を制御することを特徴とする。

上述の、本変形例に係る機器制御方法によると、実行可能となる機器の制御を、操作端末の状態に応じて制限することができるようになる。そして、このことによって、一定のセキュリティレベルが担保されていない状態の操作端末が操作されることによって生じてしまう不都合の頻度を、従来よりも低減することができる。

（ｂ）また、前記判定ステップは、前記操作端末に、自モジュールを識別する端末識別子を記憶する端末モジュールが装着されている場合に、前記第１状態であると判定し、前記端末モジュールが装着されていない場合に、前記第２状態であると判定するとしてもよい。

このようにすることで、自モジュールを識別する端末識別子を記憶する端末モジュールを操作端末に装着することで、その操作端末を第１状態とすることができるようになる。

（ｃ）また、前記機器制御システムは、前記第１状態に対応付けられた端末識別子を記憶している識別子記憶手段を備え、前記機器制御方法は、前記操作端末に、自モジュールを識別する端末識別子を記憶する端末モジュールが装着されている場合に、当該端末モジュールから当該端末識別子を取得する端末識別子取得ステップを有し、前記判定ステップは、前記端末識別子取得ステップによって端末識別子が取得された場合において、当該端末識別子が、前記識別子記憶手段に記憶されているときに、前記第１状態であるとの判定を行うとしてもよい。

このようにすることで、第１状態に対応付けられた端末識別子を記憶する端末モジュールを操作端末に装着することで、その操作端末を第１状態とすることができるようになる。

（ｄ）また、前記機器制御システムは、機器制御操作を示す表示を行う表示手段を備え、前記機器制御方法は、前記操作端末が前記第１状態である場合に許容する機器の制御内容に対応付けられた機器制御操作情報を取得する操作情報取得ステップと、前記判定ステップによって前記操作端末が前記第１状態であると判定される場合に、前記操作情報取得ステップによって取得された機器制御操作情報によって特定される機器制御操作を示す表示を前記表示手段に行わせる表示ステップとを有し、前記限定ステップは、前記判定ステップによって前記操作端末が前記第１状態であると判定される場合に、前記操作受付ステップにおける機器制御操作の受け付け対象を、前記操作情報取得ステップによって取得された機器制御操作情報によって特定される機器制御操作に限定し、前記機器制御ステップは、前記限定ステップによって限定された制御内容に限って、前記機器を制御するとしてもよい。

このようにすることで、第１状態である操作端末を利用するユーザは、表示手段に表示される、その操作端末を用いて実行可能となる機器の制御に対応付けられた機器制御操作を視認しながら、機器の制御を行うことができるようになる。

（ｅ）また、前記機器制御方法は、前記操作端末が前記第２状態である場合に許容する機器の制御内容に対応付けられた機器制御操作情報を取得する特定操作情報取得ステップと、前記判定ステップによって前記操作端末が前記第２状態であると判定される場合に、前記特定操作情報取得ステップによって取得された機器制御操作情報によって特定される機器制御操作を示す表示を前記表示手段に行わせる特定表示ステップとを有し、前記限定ステップは、前記判定ステップによって前記操作端末が前記第２状態であると判定される場合に、前記操作受付ステップにおける機器制御操作の受け付け対象を、前記特定操作情報取得ステップによって取得された機器制御操作情報によって特定される機器制御操作に限定するとしてもよい。

このようにすることで、第２状態である操作端末を利用するユーザは、表示手段に表示される、その操作端末を用いて実行可能となる機器の制御に対応付けられた機器制御操作を視認しながら、機器の制御を行うことができるようになる。

（ｆ）また、前記機器制御ステップは、前記操作受付ステップによって受け付けられた機器制御操作を、前記機器を制御する機器制御コマンドに変換する変換ステップと、前記変換ステップによって変換された機器制御コマンドを用いて前記機器を制御する制御ステップとを有するとしてもよい。

このようにすることで、機器の制御を、その機器を制御するコマンドを用いて行うことができるようになる。

（ｇ）また、前記機器制御ステップは、前記操作端末に挿入された前記端末モジュールが記憶する前記端末識別子と対応付けられた機器識別子を記憶する機器モジュールが装着されている機器に限って、前記機器の制御を行うとしてもよい。

このようにすることで、制御対象となる機器を、操作端末に挿入された端末モジュールが記憶する端末識別子と対応付けられた機器識別子を記憶する機器モジュールに限定することができるようになる。

（ｈ）また、前記判定ステップによって前記操作端末が前記第１状態であると判定される場合において、前記操作端末に、端末識別子を特定するための、所定の端末識別子特定操作がなされたときに、当該端末識別子特定操作によって特定される端末識別子を、前記識別子記憶手段に、前記第１状態に対応付けられた端末識別子として追加で記憶させる端末識別子追加ステップを有するとしてもよい。

このようにすることで、第１状態である操作端末を用いて、第１状態に対応付けられた新たな端末識別子を、識別子記憶手段に追加で記憶させることができるようになる。

（ｉ）また、前記識別子記憶手段は、さらに、前記判定ステップによって前記第１状態であると判定された操作端末によって制御可能な機器に装着される機器モジュールを識別する機器識別子を、記憶している端末識別子に対応付けて記憶しており、前記機器制御ステップは、前記識別子記憶手段に記憶されている機器識別子を記憶する機器モジュールが装着されている機器に限って、前記機器の制御を行うとしてもよい。

このようにすることで、第１状態である操作端末を用いて制御可能となる機器を、所定の機器識別子を記憶する機器モジュールが装着されている機器に限定することができるようになる。

（ｊ）また、前記機器制御システムは、所定の人物を特定するための人物特定情報を記憶する人物特定情報記憶手段を備え、前記機器制御方法は、前記操作端末を利用するユーザから、当該ユーザを特定するためのユーザ特定情報の入力を受け付けるユーザ特定情報受付ステップを有し、前記判定ステップは、前記ユーザ特定情報受付ステップによって受け付けられたユーザ特定情報によって特定されるユーザが、前記人物特定情報記憶手段によって記憶される人物特定情報によって特定される所定の人物であるときに、前記第１状態であるとの判定を行うとしてもよい。

このようにすることで、操作端末を利用するユーザが所定の人物であるときに、その操作端末を第１状態とすることができるようになる。

（ｋ）本発明の一実施形態に係る機器制御システムは、操作端末を用いて機器を制御する機器制御システムであって、前記操作端末を用いてなされる、前記機器を制御するための機器制御操作を受け付ける操作受付手段と、前記操作端末の状態が、制御権限に係る第１状態であるか、前記第１状態における制御権限よりも低い制御権限に係る第２状態であるかを判定する判定手段と、前記判定手段によって前記操作端末が前記第２状態であると判定される場合に、許容する機器の制御内容を、前記第１状態であると判定される場合に許容する機器の制御内容の一部に限定する限定手段と、前記操作受付ステップによって受け付けられた機器制御操作に応じて、前記機器を制御する機器制御手段とを有し、前記機器制御手段は、前記判定手段によって前記操作端末が前記第２状態であると判定された場合に、前記限定手段によって限定された制御内容に限って、前記機器の制御を行うことを特徴とする。

上述の、本変形例に係る機器制御システムによると、実行可能となる機器の制御を、操作端末の状態に応じて制限することができるようになる。そして、このことによって、一定のセキュリティレベルが担保されていない状態の操作端末が操作されることによって生じてしまう不都合の頻度を、従来よりも低減することができる。

本発明に係る機器制御方法、及び機器制御システムは、機器を制御するシステムに広く利用することができる。

１００ 機器制御システム
１１０ 第１セキュリティモジュール
１２０Ａ〜１２０Ｃ 第２セキュリティモジュールＡ〜第２セキュリティモジュールＣ
１３０ 操作端末
１４０Ａ〜１４０Ｃ 機器Ａ〜機器Ｃ
１５０ ホームゲートウェイ
１６０ サーバ装置
１７０ ネットワーク
１８０ 基地局

Claims (6)

1. 操作端末を用いて機器を制御する機器制御システムにおける機器制御方法であって、
   前記機器制御システムは、前記操作端末に装着される端末モジュールを識別する端末識別子と、前記操作端末によって制御可能な機器に装着される機器モジュールを識別する機器識別子とを対応付けてユーザ情報として記憶しているユーザ情報記憶手段を備え、
   前記機器制御方法は、
   前記操作端末を用いてなされる、前記機器を制御するための機器制御操作を受け付ける操作受付ステップと、
   前記操作端末の状態が、制御権限に係る第１状態であるか、前記第１状態における制御権限よりも低い制御権限に係る第２状態であるかを判定する判定ステップと、
   前記判定ステップによって前記操作端末が前記第２状態であると判定される場合に、許容する機器の制御内容を、前記第１状態であると判定される場合に許容する機器の制御内容の一部に限定する限定ステップと、
   前記操作受付ステップによって受け付けられた機器制御操作に応じて、前記機器を制御する機器制御ステップと、
   新たに発行する機器モジュールの機器識別子を生成し、前記生成した機器識別子を、前記ユーザ情報に追加する更新を行う更新ステップとを有し、
   前記判定ステップは、前記操作端末に、自モジュールを識別する端末識別子を記憶する端末モジュールが装着されている場合に、前記第１状態であると判定し、前記端末モジュールが装着されていない場合に、前記第２状態であると判定し、
   前記機器制御ステップは、自モジュールを識別する機器識別子を記憶する機器モジュールが装着されている機器を制御対象とし、前記操作端末が前記第２状態であると判定された場合に、前記限定ステップによって限定された制御内容に限って、前記機器を制御し、
   前記更新ステップは、前記生成した機器識別子を、機器モジュール発行を依頼したユーザが保有する前記操作端末に装着されている前記端末モジュールの前記端末識別子と対応付けて、前記ユーザ情報に追加する更新を行う
   ことを特徴とする機器制御方法。
2. 前記操作受付ステップは、更に、前記操作端末を用いてなされる、機器モジュール発行の依頼を受け付け、
   前記限定ステップは、前記操作端末が前記第１状態であると判定された場合に、機器モジュール発行を許可し、前記操作端末が前記第２状態であると判定された場合に、機器モジュール発行を抑止する
   ことを特徴とする請求項１記載の機器制御方法。
3. 前記更新ステップは、前記限定ステップが機器モジュール発行を許可した場合、発行する機器モジュールの機器識別子を生成し、前記生成した機器識別子を、機器モジュール発行を依頼した前記操作端末に装着されている前記端末モジュールの前記端末識別子と対応付けて、前記ユーザ情報に追加する更新を行う
   ことを特徴とする請求項２記載の機器制御方法。
4. 前記機器制御方法は、前記操作端末に、自モジュールを識別する端末識別子を記憶する端末モジュールが装着されている場合に、当該端末モジュールから当該端末識別子を取得する端末識別子取得ステップを有し、
   前記判定ステップは、前記端末識別子取得ステップによって端末識別子が取得された場合において、当該端末識別子が、前記ユーザ情報記憶手段に記憶されているときに、前記第１状態であるとの判定を行う
   ことを特徴とする請求項１記載の機器制御方法。
5. 前記機器制御ステップは、前記ユーザ情報記憶手段に、当該端末識別子と対応付けて記憶されている機器識別子を記憶する機器モジュールが装着されている機器に限って、前記機器の制御を行う
   ことを特徴とする請求項４記載の機器制御方法。
6. 操作端末を用いて機器を制御する機器制御システムにおける機器制御方法であって、
   前記操作端末に装着される端末モジュールを識別する端末識別子と、前記操作端末によって制御可能な機器に装着される機器モジュールを識別する機器識別子とを対応付けてユーザ情報として記憶しているユーザ情報記憶手段と、
   前記操作端末を用いてなされる、前記機器を制御するための機器制御操作を受け付ける操作受付手段と、
   前記操作端末の状態が、制御権限に係る第１状態であるが、前記第１状態における制御権限よりも低い制御権限に係る第２状態であるかを判定する判定手段と、
   前記判定手段によって前記操作端末が前記第２状態であると判定される場合に、許容する機器の制御内容を、前記第１状態であると判定される場合に許容する機器の制御内容の一部に限定する限定手段と、
   前記操作受付手段によって受け付けられた機器制御操作に応じて、前記機器を制御する機器制御手段と、
   新たに発行する機器モジュールの機器識別子を生成し、前記生成した機器識別子を、前記ユーザ情報に追加する更新を行う更新手段とを有し、
   前記判定手段は、前記操作端末に、自モジュールを識別する端末識別子を記憶する端末モジュールが装着されている場合に、前記第１状態であると判定し、前記端末モジュールが装着されていない場合に、前記第２状態であると判定し、
   前記機器制御手段は、自モジュールを識別する機器識別子を記憶する機器モジュールが装着されている機器を制御対象とし、前記操作端末が前記第２状態であると判定された場合に、前記限定手段によって限定された制御内容に限って、前記機器を制御し、
   前記更新手段は、前記生成した機器識別子を、機器モジュール発行を依頼したユーザが保有する前記操作端末に装着されている前記端末モジュールの前記端末識別子と対応付けて、前記ユーザ情報に追加する更新を行う
   ことを特徴とする機器制御方法。

Images