JP6997217B2 - 遠隔サービスシステム - Google Patents

Description

本開示は、遠隔サービスシステムに関する。
本願は、２０１８年０１月１５日に、日本に出願された特願２０１８－００４４３０号に基づき優先権を主張し、その内容をここに援用する。

発電プラントなどのプラントでは、設備の設定条件を変更するために、それぞれの設備を制御する制御機器によって、設備に設定しているパラメータ値の変更が行われる。従来のプラントでは、現地に派遣されたサービス事業者のサービス員が、プラントの担当者などの確認を取りながら、制御設備が設備に設定するパラメータ値の変更や、設備の設定変更などを行っていた。このため、プラントにおいて設備の設定条件を変更する作業は、時間やコストがかかる作業であった。このことから、プラントにおける設備の設定条件の変更、つまり、制御設備が設備に設定するパラメータ値の変更や調整、設備の設定変更などを、インターネットなどのネットワークを利用して遠隔地から行うことが望まれている。

そこで、例えば、特許文献１のような、プラントにおいてネットワークを利用した遠隔サービスシステムの技術が提案されている。特許文献１に開示された遠隔サービスシステムの技術では、フィールド装置を制御するコントローラが、ネットワークを介して接続された遠隔装置と相互認証することによって動作する。このとき、特許文献１に開示された遠隔サービスシステムの技術では、コントローラと遠隔装置との相互認証に、セキュリティ機関が発行した証明書を用いている。これにより、特許文献１に開示された遠隔サービスシステムの技術では、遠隔サービスシステムやコントローラの不正使用の可能性を低下させ、遠隔操作されるコントローラを保護している。

日本国特開２０１３－２３２１９２号公報

一方、プラントにおいては、制御機器が設備に設定するパラメータ値の変更や調整、設備の設定変更などには、変更内容の正しさの証明や、悪意のある第三者からの侵入や攻撃に対する十分な配慮が求められている。

本発明の少なくとも一実施形態は、上記の課題に基づいてなされたものであり、遠隔地からプラントの設備の設定条件を変更する場合に、設定データのセキュリティレベルを保った状態で、正しく設定の変更を行うことができる遠隔サービスシステムを提供することを目的としている。

本発明の一態様は、上述の遠隔サービスシステムであって、プラントの設備に対して適用する前記プラント内に配置された設備の設定条件を表す制御情報に第１の署名を付加して送信する第１のコンピュータ端末と、前記制御情報が表す前記プラント内に配置された前記設備の前記設定条件を前記設備に対して適用させる第２のコンピュータ端末と、前記制御情報に付加された前記第１の署名が正しい署名であり、前記制御情報が前記設備に対して適用することができる前記プラント内に配置された前記設備の前記設定条件を表している場合に、前記制御情報にさらに第２の署名を追加して送信する第３のコンピュータ端末と、を備え、前記第１のコンピュータ端末と、前記第２のコンピュータ端末と、前記第３のコンピュータ端末とは、第１の通信ネットワークを介して接続され、前記第２のコンピュータ端末と前記設備とは、第２の通信ネットワークによって接続されており、前記制御情報は、前記プラント内に配置された前記設備の前記設定条件を変更する変更内容を表す変更情報であり、前記第１のコンピュータ端末は、前記設備に対する前記変更内容を受け付け、受け付けた前記変更内容を表す前記変更情報に前記第１の署名を付加して送信し、前記第３のコンピュータ端末は、前記変更情報に付加された前記第１の署名が正しい署名であり、前記変更情報が前記設備に対して適用することができる前記変更内容を表している場合に、前記変更情報にさらに前記第２の署名を追加して送信し、前記第２のコンピュータ端末は、前記変更情報が表す前記変更内容を前記プラントの前記設備に対して適用させ、前記第１の通信ネットワークは、ブロックチェーンが構築された通信ネットワークであり、前記第２の通信ネットワークは、専用の通信回線である、遠隔サービスシステムである。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記変更情報に付加された前記第１の署名および前記第２の署名が正しい署名である場合に、前記変更情報が表す前記変更内容を前記設備に対して適用させてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記変更情報は、前記変更内容を適用させる前記設備を識別する設備識別情報が含まれていてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記制御情報は、前記設備における付加機能の実行または停止を指示する指示内容を表す指示情報であり、前記第１のコンピュータ端末は、前記指示情報に前記第１の署名を付加して送信し、前記第２のコンピュータ端末は、前記指示情報が表す前記指示内容を前記設備に対して適用させてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記指示情報に付加された前記第１の署名が正しい署名である場合に、前記指示情報が表す前記指示内容を前記設備に対して適用させてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第３のコンピュータ端末は、前記設備における前記付加機能の実行の要求を受け付け、受け付けた前記要求を表す要求情報に前記第２の署名を付加して送信し、前記第１のコンピュータ端末は、前記要求情報に付加された前記第２の署名が正しい署名であり、前記要求情報が前記設備に対して適用することができる前記要求である場合に、前記指示情報を送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第１の署名は、前記ブロックチェーンが実行する署名確認処理プログラムによって、正しい署名であるか否かが確認されてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２の通信ネットワークは、前記設備と直接接続される専用の通信回線であってもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記指示情報は、前記指示内容を適用する対象の前記設備に対応する予め定められた第１の鍵と組になっている第２の鍵を用いて符号化されてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記指示情報は、前記ブロックチェーンが実行する符号化処理プログラムによって符号化されてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記符号化処理プログラムは、文字列を前記設備に送信し、前記設備が前記第１の鍵を用いて前記文字列に追加して返信してきた署名を前記第２の鍵を用いて確認することにより、前記第１の鍵と前記第２の鍵とが一致しているか否かを確認してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記符号化処理プログラムは、前記第２のコンピュータ端末が前記指示内容を対象の前記設備に適用させる前に、前記指示情報を符号化してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記変更内容を適用した前記設備から伝送された適用結果を送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、一方向の通信のみを行うデータダイオードを介して前記設備から伝送された前記適用結果を送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記適用結果は、前記変更内容を適用した前記設備を表す署名が付加されていてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記適用結果は、前記設備の効率を算出するためのデータが含まれていてもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記適用結果に第３の署名を付加して送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記変更内容を前記設備に伝送したことを表すログ情報を送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記ログ情報に第３の署名を付加して送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記設備から前記適用結果が伝送された日時の情報を付加して送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第２のコンピュータ端末は、前記変更内容を前記設備に伝送した日時の情報を付加した前記ログ情報を送信してもよい。

本発明の他の態様は、上述の遠隔サービスシステムであって、前記第１のコンピュータ端末は、前記ログ情報に付加された日時の情報と、前記適用結果に付加された日時の情報とに基づいて、前記設備に前記変更内容が適用されるまでの遅延時間を確認してもよい。
本発明の他の態様は、上述の遠隔サービスシステムであって、前記プラント内に配置された前記設備を制御する制御機器を有し、前記第２のコンピュータ端末は、前記プラントの前記設定条件を変更する為に前記制御機器が前記プラントの前記設備に対して設定するパラメータ値を変更させることにより、前記変更情報が表す前記変更内容を前記プラントの前記設備に対して適用させもよい。
本発明の他の態様は、上述の遠隔サービスシステムであって、設備に対して適用する制御内容を表す制御情報に第１の署名を付加して送信する第１のコンピュータ端末と、前記制御情報が表す前記制御内容を前記設備に対して適用させる第２のコンピュータ端末と、を備え、前記第１のコンピュータ端末と前記第２のコンピュータ端末とは、第１の通信ネットワークによって接続され、前記第２のコンピュータ端末と前記設備とは、第２の通信ネットワークによって接続されており、前記第１の通信ネットワークに接続され、前記制御情報に付加された前記第１の署名が正しい署名であり、前記制御情報が前記設備に対して適用することができる前記制御内容を表している場合に、前記制御情報にさらに第２の署名を追加して送信する第３のコンピュータ端末、をさらに備え、前記制御情報は、前記設備の設定条件を変更する変更内容を表す変更情報であり、前記第１のコンピュータ端末は、前記設備に対する前記変更内容を受け付け、受け付けた前記変更内容を表す前記変更情報に前記第１の署名を付加して送信し、前記第３のコンピュータ端末は、前記変更情報に付加された前記第１の署名が正しい署名であり、前記変更情報が前記設備に対して適用することができる前記変更内容を表している場合に、前記変更情報にさらに前記第２の署名を追加して送信し、前記第２のコンピュータ端末は、前記変更情報が表す前記変更内容を前記設備に対して適用させ、前記制御内容を適用した前記設備から伝送された適用結果を送信し、前記制御内容を前記設備に伝送したことを表すログ情報を送信し、前記設備から前記適用結果が伝送された日時の情報を付加して送信し、前記制御内容を前記設備に伝送した日時の情報を付加した前記ログ情報を送信し、前記第１のコンピュータ端末は、前記ログ情報に付加された日時の情報と、前記適用結果に付加された日時の情報とに基づいて、前記設備に前記制御内容が適用されるまでの遅延時間を確認する、遠隔サービスシステムである。

上記各態様によれば、遠隔地からプラントの設備の設定条件を変更する場合に、設定データのセキュリティレベルを保った状態で、正しく設定の変更を行うことができる遠隔サービスシステムを提供することができる。

第１の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第１の実施形態の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第２の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第２の実施形態の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第２の実施形態の変形例の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第３の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第３の実施形態の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第４の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第４の実施形態の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第５の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第５の実施形態の遠隔サービスシステムにおける処理および作業の流れを示したシーケンス図である。 第６の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。 第６の実施形態の遠隔サービスシステムにおける処理の流れを示したシーケンス図である。

（第１の実施形態）
以下、本発明の実施形態について、図面を参照して説明する。第１の実施形態の遠隔サービスシステムは、発電プラントなどのプラント内に配置された設備の設定条件の変更を、遠隔地から行うシステムである。以下の説明においては、第１の実施形態の遠隔サービスシステムが、発電プラントに適用されているものとして説明する。そして、以下の説明においては、第１の実施形態の遠隔サービスシステムが、発電プラントに配置された設備の設定条件を変更するために、設備を制御する制御機器が設備に対して設定するパラメータ値を変更するものとして説明する。

図１は、第１の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム１は、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれを含んで構成される。遠隔サービスシステム１では、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれが、ネットワーク１０に接続されている。なお、図１には、遠隔サービスシステム１によって設定条件の変更を要求する発電プラントの構成要素も併せて示している。より具体的には、ファイヤーウォール３１０と、プラント制御システム３２０とを併せて示している。

なお、図１においては、ファイヤーウォール３１０がプラントネットワーク装置３００とプラント制御システム３２０との間の位置にある場合を示しているが、ファイヤーウォール３１０は、変更実施装置２１０とプラント制御システム３２０との間であれば、いずれの位置にあってもよい。つまり、ファイヤーウォール３１０は、変更実施装置２１０とプラントネットワーク装置３００との間の位置にあってもよい。また、ファイヤーウォール３１０は、変更実施装置２１０とプラントネットワーク装置３００との間の位置と、プラントネットワーク装置３００とプラント制御システム３２０との間の位置との両方の位置にあってもよい。

ネットワーク１０は、インターネットなどの公共の通信ネットワークである。

変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれは、遠隔サービスシステム１を利用する利用者によって操作されるコンピュータ端末である。変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれは、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの処理装置と、処理装置を動作させるために必要なプログラムやアプリケーションとデータとが記憶されたＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）などの種々のメモリを含んで構成される。従って、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれは、記憶されたプログラムやアプリケーションを実行することにより機能する。なお、変更要求装置１００、変更確認装置２００、または変更実施装置２１０のいずれか１つまたは複数は、それぞれの利用者が使用する専用のコンピュータ端末として構成されていてもよい。また、変更要求装置１００、変更確認装置２００、または変更実施装置２１０のいずれか１つまたは複数は、それぞれの利用者が使用するパーソナルコンピュータ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ：ＰＣ）や、携帯情報端末（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ：ＰＤＡ）の機能を備えた、いわゆる、タブレット端末などの携帯端末機器などによって構成されていてもよい。

変更要求装置１００は、例えば、発電プラントにおいて発電した電力を提供するサービス事業者のサービス員などが、発電プラント内に配置された設備の設定条件の変更を要求するために操作するコンピュータ端末である。変更要求装置１００は、サービス事業者のサービス員Ｓ（以下、サービス事業者Ｓという）によって、設備の設定条件を変更する変更内容が制御内容として入力されると、入力された変更内容を表す制御情報（以下、変更情報という）を、ネットワーク１０を介して変更確認装置２００に送信する。

変更確認装置２００は、例えば、発電プラント内に配置されたそれぞれの設備の設定条件を管理する担当者などが、サービス事業者Ｓから要求された変更内容に従って設定条件を変更した場合に、対象の設備や関連する設備において起こり得る問題などを含めて、変更内容を確認するために操作するコンピュータ端末である。変更確認装置２００は、変更要求装置１００から送信されてきた変更情報を受信し、受信した変更情報を、サービス事業者Ｓから要求された設備の設定条件の変更内容を確認する担当者Ｃなど（以下、変更内容確認者Ｃという）に提示する。また、変更確認装置２００は、変更内容確認者Ｃによって、受信した変更情報が設備に対して正しい（問題なく適用することができる）変更内容であると確認したことを表す情報が入力されると、確認済みの変更情報を、ネットワーク１０を介して変更実施装置２１０に送信する。

なお、変更確認装置２００は、通常の場合には、変更要求装置１００から送信されてきた変更情報を確認して変更実施装置２１０に送信するが、例えば、緊急事態であるなど、予め定めた条件の元では、変更内容確認者Ｃが変更確認装置２００に入力した設備の設定条件などの変更内容を、変更情報として送信する構成であってもよい。この場合、変更確認装置２００は、変更情報を、変更実施装置２１０（またはプラントネットワーク装置３００）に直接送信してもよい。また、変更確認装置２００は、変更情報を変更要求装置１００に送信し、変更要求装置１００による確認、つまり、サービス事業者Ｓによる確認を得た後に、変更実施装置２１０（またはプラントネットワーク装置３００）に直接送信してもよい。

変更実施装置２１０は、例えば、発電プラント内に配置されたそれぞれの設備を実際に稼働させる現場の担当者などが、変更内容確認者Ｃによって確認された設備に対する変更内容（サービス事業者Ｓから要求された対象の設備の設定条件の変更内容）を実際の設備に反映させる（実施させる）ために操作するコンピュータ端末である。変更実施装置２１０は、変更確認装置２００から送信されてきた確認済みの変更情報を受信し、受信した確認済みの変更情報が表す設備の変更内容を、設備を実際に稼働させる担当者Ｉなど（以下、変更実施者Ｉという）に提示する。また、変更実施装置２１０は、変更実施者Ｉによって、受信した確認済みの変更情報が表す変更内容を実施することを表す情報が入力されると、実施する変更情報（設備のパラメータ値）を、プラントネットワーク装置３００との間で決められた専用の通信規格の回線（以下、専用通信回線という）を介してプラントネットワーク装置３００に送信する。なお、本開示においては、変更実施装置２１０とプラントネットワーク装置３００との間で決められた専用通信回線の通信規格に関しては、特に規定しない。

なお、遠隔サービスシステム１において変更実施装置２１０は、必須の構成要素ではない。つまり、遠隔サービスシステム１は、変更実施装置２１０を備えていない構成であってもよい。この場合の遠隔サービスシステム１では、変更確認装置２００が、実施する変更情報（設備のパラメータ値）を、プラントネットワーク装置３００に直接送信する。なお、この場合の遠隔サービスシステム１におけるプラントネットワーク装置３００は、ネットワーク１０に接続されている状態である。

プラントネットワーク装置３００は、遠隔サービスシステム１からの設定条件の変更を受け付ける発電プラント内に構築された専用の通信ネットワーク（以下、プラントネットワークという）の入り口に接続されるコンピュータ端末である。プラントネットワーク装置３００は、変更実施装置２１０から専用通信回線を介して送信された実施する変更情報（設備のパラメータ値）を、プラントネットワークに伝送する。なお、本開示においては、プラントネットワーク装置３００の構成に関しては、特に規定しない。例えば、プラントネットワーク装置３００は、発電プラント内に構築されたプラントネットワークに接続するパーソナルコンピュータとして構成されていてもよい。また、例えば、プラントネットワーク装置３００は、発電プラント内に構築されたプラントネットワークに接続するルーター装置として構成されていてもよい。なお、本開示においては、発電プラント内に構築されたプラントネットワークの通信規格に関しては、特に規定しない。

なお、本開示においては、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線は、専用通信回線に限定されるものではない。つまり、本開示においては、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線が、汎用の通信回線であってもよい。

ファイヤーウォール３１０は、発電プラント内に構築されたプラントネットワークにおけるセキュリティを確保するためのネットワーク防衛機能である。なお、本開示においては、ファイヤーウォール３１０の機能を実現する構成や方式に関しては、特に規定しない。例えば、ファイヤーウォール３１０は、プラントネットワーク装置３００と共に、ルーター装置として構成されていてもよい。

プラント制御システム３２０は、発電プラント内に配置されたそれぞれの設備を制御する制御機器である。プラント制御システム３２０は、遠隔サービスシステム１によって変更される設備の設定条件に対応するパラメータ値を、対象の設備に設定する。なお、本開示においては、プラント制御システム３２０の構成や、プラント制御システム３２０による設備の制御方法およびパラメータ値の設定方法に関しては、特に規定しない。

これにより、遠隔サービスシステム１を適用した発電プラントでは、サービス事業者Ｓが設定条件の変更を要求した対象の設備に、要求した変更内容が適用される。より具体的には、プラントネットワーク装置３００が、変更実施装置２１０から送信されてきた設備のパラメータ値をファイヤーウォール３１０に伝送することによって、発電プラントでは、プラントネットワーク装置３００から伝送されたパラメータ値を、プラントネットワークによってプラント制御システム３２０に伝送する。そして、発電プラントでは、プラント制御システム３２０が、ファイヤーウォール３１０を介してプラントネットワーク装置３００から伝送されてきたパラメータ値を、対象の設備に適用する。

なお、遠隔サービスシステム１では、プラント制御システム３２０が、遠隔サービスシステム１によって変更された設備の設定条件を適用した結果を、ファイヤーウォール３１０を介してプラントネットワーク装置３００に伝送し、プラントネットワーク装置３００が、設備の設定条件を適用した結果の情報を、変更実施装置２１０、変更確認装置２００、および変更要求装置１００に送信する構成にしてもよい。この場合、変更実施装置２１０、変更確認装置２００、および変更要求装置１００のそれぞれ、つまり、変更実施者Ｉ、変更内容確認者Ｃ、およびサービス事業者Ｓは、設備に要求した設定条件が正しく適用されたか否かを確認することができる。これにより、この構成の遠隔サービスシステム１では、設備の稼働状態の監視をすることができる。つまり、この構成の遠隔サービスシステム１では、設備に対して要求をしていない設定条件の変更がされた場合でも、プラント制御システム３２０が設定条件を適用した結果が変更実施装置２１０、変更確認装置２００、および変更要求装置１００のそれぞれに送信されてくるため、第三者による利用者へのなりすましや、変更情報を伝送する経路の途中での変更情報の改ざんによる設備の設定条件の変更の監視に活用することができる。

次に、遠隔サービスシステム１を利用した設備の設定条件の変更の処理および作業について説明する。図２は、第１の実施形態の遠隔サービスシステム１における処理および作業の流れ（処理シーケンス）を示したシーケンス図である。図２には、遠隔サービスシステム１を構成する、ネットワーク１０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれにおける処理の流れの一例を示している。なお、図２においては、遠隔サービスシステム１からの変更内容を対象の設備に設定するプラント制御システム３２０の処理を、プラントネットワーク装置３００の処理として示している。また、図２には、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの作業、つまり、変更要求装置１００、変更確認装置２００、および変更実施装置２１０に対する操作も併せて示している。上述したように、遠隔サービスシステム１では、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、ネットワーク１０を介して変更情報を送受信する。

まず、サービス事業者Ｓは、変更要求装置１００を操作して、設定条件を変更する対象の設備の識別情報（例えば、機器ＩＤ、以下、設備識別情報という）や、設備のパラメータ値などを含む変更情報を、変更要求装置１００に入力する（ステップＳ１００）。

そして、サービス事業者Ｓは、変更要求装置１００を操作して、署名を付加する。その後、サービス事業者Ｓは、変更要求装置１００に、サービス事業者Ｓが入力した変更情報とサービス事業者Ｓが付加した署名（以下、事業者署名（または、第１の署名）という）との送信を指示し、変更内容確認者Ｃに変更情報の確認を要求する（ステップＳ１０１）。

これにより、変更要求装置１００は、サービス事業者Ｓが入力した変更情報と事業者署名とを紐付けた「変更情報＋事業者署名」のデータを、ネットワーク１０を介して変更確認装置２００に送信する（ステップＳ１０２）。このとき、変更要求装置１００は、事業者署名を、予め定められたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「変更情報＋事業者署名」のデータを変更確認装置２００に送信する。

続いて、変更確認装置２００は、受信した「変更情報＋事業者署名」のデータに含まれる変更情報と事業者署名とを、変更内容確認者Ｃに提示する。このとき、変更確認装置２００は、受信した「変更情報＋事業者署名」のデータに含まれる事業者署名を、予め入手されたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、「事業者署名」に含まれる変更情報のハッシュ値と、受信した「変更情報」のハッシュ値とを比較した結果を含めて、変更情報と事業者署名とを、変更内容確認者Ｃに提示する。変更内容確認者Ｃは、変更確認装置２００に提示された変更情報と事業者署名（ハッシュ値の比較結果を含む）とを確認する（ステップＳ１０３）。

そして、変更内容確認者Ｃは、提示された事業者署名が正しい署名であり、提示された変更情報が、サービス事業者Ｓが設定条件を変更する対象とした設備に対して正しい（問題なく適用することができる）変更内容である場合、変更確認装置２００を操作して、署名を追加する。つまり、変更確認装置２００に提示された事業者署名が、設備の設定条件の変更をすることができる遠隔サービスシステム１の正式な利用者の署名であり、変更確認装置２００に提示された変更情報に示されている設備のパラメータ値が、変更情報に示されている設備識別情報をもつ設備に適用することができるパラメータ値である場合、変更内容確認者Ｃは、変更確認装置２００が受信した変更情報に、さらに変更内容確認者Ｃが付加した署名（以下、確認者署名（または、第２の署名）という）を追加する。その後、変更内容確認者Ｃは、変更確認装置２００に、受信した変更情報および事業者署名と、確認者署名との送信を指示し、変更実施者Ｉに設備の設定条件の変更を要求する（ステップＳ１０４）。

これにより、変更確認装置２００は、ネットワーク１０を介して変更要求装置１００から受信した事業者署名が紐付けられた変更情報に、さらに確認者署名を紐付けた「変更情報＋事業者署名＋確認者署名」のデータを、ネットワーク１０を介して変更実施装置２１０に送信する（ステップＳ１０５）。このとき、変更確認装置２００は、確認者署名を、予め定められた変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「変更情報＋事業者署名＋確認者署名」のデータを変更実施装置２１０に送信する。

続いて、変更実施装置２１０は、受信した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名と確認者署名とを、変更実施者Ｉに提示する。このとき、変更実施装置２１０は、受信した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名を、予め入手されたサービス事業者Ｓの鍵を用いて復号化し、「事業者署名」に含まれる変更情報のハッシュ値と、「変更情報」のハッシュ値とを比較する。また、変更実施装置２１０は、「確認者署名」を、予め入手された変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、確認者署名に含まれる「変更情報＋事業者署名」のハッシュ値と、受信した「変更情報＋事業者署名」のハッシュ値とを比較する。そして、変更実施装置２１０は、それぞれの署名を比較した結果を含めて、変更情報と事業者署名と確認者署名とを、変更実施者Ｉに提示する。変更実施者Ｉは、変更実施装置２１０に提示された事業者署名と確認者署名と（ハッシュ値の比較結果を含む）とを確認する（ステップＳ１０６）。

そして、変更実施者Ｉは、提示された事業者署名と確認者署名とが正しい場合、変更実施装置２１０を操作して、署名を追加する。つまり、変更実施装置２１０に提示された事業者署名と確認者署名が、設備の設定条件の変更をすることができる遠隔サービスシステム１の正式な利用者の署名である場合、変更実施者Ｉは、変更実施装置２１０が受信した変更情報に、さらに変更実施者Ｉの署名（以下、実施者署名（または、第３の署名）という）を追加する。その後、変更実施者Ｉは、変更実施装置２１０に、受信した変更情報、事業者署名、確認者署名、および実施者署名の送信を指示し、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求する（ステップＳ１０７）。

これにより、変更実施装置２１０は、ネットワーク１０を介して変更確認装置２００から受信した事業者署名および確認者署名が紐付けられた変更情報に、さらに実施者署名を紐付けた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを、専用通信回線を介してプラントネットワーク装置３００に送信する（ステップＳ１０８）。

これにより、プラントネットワーク装置３００は、受信した「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる事業者署名、確認者署名、および実施者署名を確認する（ステップＳ１０９）。

そして、プラントネットワーク装置３００は、確認したサービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの署名が正しく、署名が付加された順番が正しい、つまり、変更情報が伝送されてきた経路が正しい経路である場合、サービス事業者Ｓが設定条件の変更を要求した対象の設備に変更内容を適用する（ステップＳ１１０）。より具体的には、プラントネットワーク装置３００は、変更実施装置２１０から送信されてきた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる変更情報に示されている設備識別情報をもつ設備を制御するプラント制御システム３２０に、変更情報に示されている設備のパラメータ値を、ファイヤーウォール３１０を介してプラントネットワークに伝送する。これにより、プラント制御システム３２０は、変更情報に示されている設備のパラメータ値を、変更情報に示されている設備のパラメータ値に変更し、サービス事業者Ｓが設定条件の変更を要求した対象の設備が、サービス事業者Ｓが要求した設定条件となる。

なお、プラント制御システム３２０が、サービス事業者Ｓが要求した設定条件を対象の設備に適用した結果（以下、適用結果という）をプラントネットワーク装置３００に伝送する構成である場合、プラント制御システム３２０は、適用結果の情報を、ファイヤーウォール３１０を介してプラントネットワーク装置３００に伝送する。これにより、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された適用結果の情報を、変更実施装置２１０に送信する。そして、変更実施装置２１０は、プラントネットワーク装置３００から送信されてきた適用結果の情報を、変更確認装置２００と変更要求装置１００とに送信する。なお、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された適用結果の情報を、変更実施装置２１０、変更確認装置２００、および変更要求装置１００のそれぞれの送信する構成であってもよい。これにより、変更実施装置２１０、変更確認装置２００、および変更要求装置１００のそれぞれ、つまり、変更実施者Ｉ、変更内容確認者Ｃ、およびサービス事業者Ｓは、プラント制御システム３２０から伝送された適用結果の情報を確認することができる。図２には、プラント制御システム３２０から伝送された適用結果の情報を、変更実施装置２１０、変更確認装置２００、および変更要求装置１００のそれぞれの送信する処理を、ステップＳ１１１として破線で示している。

このような構成、処理、および作業の流れ（処理シーケンス）によって、遠隔サービスシステム１では、それぞれの利用者が、それぞれの段階において、変更情報に署名を順次追加していく。つまり、それぞれの利用者の署名を連鎖的に追加していく。そして、複数の利用者が確認した変更内容を設備に対して適用する。これにより、設備に設定しているパラメータ値を変更するときに従来必要であった発電プラントの関係部署への確認をなくすことができ、効率的に設備の設定条件の変更を行うことができる。また、複数の利用者が変更情報を確認するため、高いセキュリティレベルで、第三者による利用者へのなりすましや、変更情報を伝送する経路の途中での変更情報の改ざんを防止することができる。

なお、遠隔サービスシステム１では、プラントネットワーク装置３００が、正しい経路で伝送されてきた変更情報に示されている設備のパラメータ値を、ファイヤーウォール３１０を介してプラントネットワークに伝送する。これにより、発電プラントでは、プラント制御システム３２０が、設備のパラメータ値を、対象の設備に適用する。このため、サービス事業者Ｓが変更要求装置１００によって送信した変更情報の一部でも変更する場合には、再度、サービス事業者Ｓが署名を付加してから、それぞれの利用者が署名を順次追加していくことになる。これにより、サービス事業者Ｓ以外の利用者が一方的に変更情報を変更することができず、サービス事業者Ｓの意向を、設備の設定条件に反映することができる。

また、遠隔サービスシステム１における処理シーケンスでは、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれが、対応する変更要求装置１００、変更確認装置２００、または変更実施装置２１０を操作することによってそれぞれの署名の付加（追加）を行う場合について説明した。しかし、それぞれの利用者が署名を付加する方法は、対応するコンピュータ端末を操作することによって行う方法に限定されるものではない。例えば、上述したように、変更要求装置１００、変更確認装置２００、または変更実施装置２１０のそれぞれの機能は、プログラムやアプリケーションを実行することにより実現される。このため、プログラムやアプリケーションに署名の付加を行う機能を実行させることによって、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれによる署名の付加を自動化してもよい。この場合、それぞれの利用者の署名は、例えば、コンピュータ端末に利用者がログインしたときの情報を用いることによって、コンピュータ端末ごとの署名ではなく、利用者ごとの署名の付加（追加）を自動化することが考えられる。

（第２の実施形態）
次に、第２の実施形態について説明する。第２の実施形態の遠隔サービスシステムも、発電プラントなどのプラント内に配置された設備の設定条件の変更を、遠隔地から行うシステムである。

なお、第２の実施形態の遠隔サービスシステムの構成要素において、第１の実施形態の遠隔サービスシステム１の構成要素と同様の構成要素には同一の符号を付与し、その構成要素に関する詳細な説明は省略する。

図３は、第２の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム２は、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれを含んで構成される。遠隔サービスシステム２では、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれが、ブロックチェーン２０に接続されている。なお、図３には、図１と同様に、遠隔サービスシステム２によって設定条件の変更を要求する発電プラントの構成要素であるファイヤーウォール３１０と、プラント制御システム３２０とを併せて示している。また、図３には、発電プラントの構成要素として、データダイオード３３０も併せて示している。

なお、図３においても、ファイヤーウォール３１０がプラントネットワーク装置３００とプラント制御システム３２０との間の位置にある場合を示しているが、図１と同様に、ファイヤーウォール３１０は、変更実施装置２１０とプラント制御システム３２０との間であれば、いずれの位置にあってもよい。また、一般的に、データダイオード３３０には、ファイヤーウォールの機能も備えているものが多い。このため、データダイオード３３０にファイヤーウォールの機能を備えている場合には、ファイヤーウォール３１０は、変更実施装置２１０からプラント制御システム３２０までの経路の中になくてもよい。

ブロックチェーン２０は、あるデータの塊を１つのブロックとし、ブロックに含まれるデータを表すハッシュ値に基づいてそれぞれのブロックを繋ぎ合わせて管理する分散型のデータ管理技術が採用されたデータ管理システムが構築された公共またはプライベートの通信ネットワークである。ブロックチェーン２０に登録されたデータのブロックは、ハッシュ値に基づいて以前に登録されたデータのブロックと時系列に繋がるため、登録されたときの履歴の情報を含めてデータを管理することができると共に、データの改ざんを困難にすることができる。ブロックチェーン２０は、複数のデータサーバ装置を含んで構成される。

ブロックチェーン２０で、複数のデータサーバ装置に分散したデータを合意形成によって正当性を確認することができる。より具体的には、ブロックチェーン２０では、いずれかのデータサーバ装置からデータの登録が要求されると、それぞれのデータサーバ装置が、登録が要求されたデータに付加されている署名を確認することによって、データを登録してよいか否かを確認する。そして、ブロックチェーン２０では、それぞれのデータサーバ装置が署名を確認した結果が予め定めたルールを満足する場合に、要求されたデータを登録する。このように、ブロックチェーン２０では、それぞれのデータサーバ装置が署名を確認した結果が予め定めたルールを満足するデータのみが登録されるため、正当性が確認されたデータのみが登録されることになる。ここで、予め定めたルールとしては、例えば、全てのデータサーバ装置の内、過半数以上や２／３以上のデータサーバ装置による確認結果が一致すること、というようなルールを設けることができる。

図３では、３つのデータサーバ装置を含んで構成されたブロックチェーン２０の構成を示している。これにより、遠隔サービスシステム２では、それぞれのデータサーバ装置の管理権限を分散させることによって、一つの組織だけでデータサーバ装置の改ざんを防ぐことができる。例えば、３つのデータサーバ装置それぞれの権限をサービス事業者Ｓ、変更内容確認者Ｃ、変更実施者Ｉに割り振った場合、データサーバ装置に記憶されたデータの内容について、２つ以上のデータサーバ装置でデータの内容が一致しないと、新たな情報（ブロック）をブロックチェーン２０に登録することができないルールとした場合、サービス事業者Ｓ、変更内容確認者Ｃ、変更実施者Ｉのそれぞれが単独ではデータベースの改ざんができないことになる。このようにして遠隔サービスシステム２では、データの非改ざん性を高めることができる。

なお、ブロックチェーン２０は、さらに多くのデータサーバ装置で構成される場合もある。また、それぞれのデータサーバ装置は、クラウドコンピューティングシステムに組み込まれたデータサーバ装置の場合もある。なお、ブロックチェーン２０では、それぞれのブロックのデータがいずれのデータサーバ装置に分かれて記録（登録）されるかは予め定めていない。従って、以下の説明においては、ブロックチェーン２０を構成するデータサーバ装置を特定せず、ブロックチェーン２０の全体が、１つのデータサーバ装置として機能するものとして説明する。

データダイオード３３０は、一方向の通信のみを実現し、他方向の通信を物理的に遮断するように構成された通信ネットワークである。図３では、発電プラントから外部への一方向の通信のみを行う構成を示している。より具体的には、図３では、データダイオード３３０を介した通信が、プラントネットワーク装置３００から変更実施装置２１０への一方向のみに物理的に限定されている。なお、データダイオード３３０は、第１の実施形態の遠隔サービスシステム１が適用された発電プラントにおいても、同様の位置に備えることができる。つまり、第１の実施形態の遠隔サービスシステム１が適用された発電プラントにおいても、後述するデータダイオード３３０を利用した機能を実現することができる。なお、本開示においては、データダイオード３３０の機能を実現する構成や方式に関しては、特に規定しない。

なお、データダイオード３３０を変更実施装置２１０からプラント制御システム３２０までの経路の中に置く理由は以下である。発電プラントのような重要なインフラでは、悪意のある第三者からのサイバー攻撃を防ぐために、外部からプラント内部のネットワークへのアクセスであるインバウンド（ｉｎｂｏｕｎｄ）通信を制限するために、データダイオード３３０と呼ばれる一方向の通信のみを行う構成が用いられることがある。これにより、プラントにおける非接触式通信は、物理的に、プラントから外部への一方向、つまり、アウトバウンド（ｏｕｔｂｏｕｎｄ）通信に限定されることになる。一方、サイバー攻撃を防ぎつつも最低限のインバウンド通信を行うために、シリアル通信かつプロトコルを限定した通信を行うこともある。本開示においては、この限定された通信路を、データダイオード３３０を用いて実現した構成を示している。

遠隔サービスシステム２では、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、ブロックチェーン２０の同じ通信ネットワークシステムにログインし、ブロックチェーン２０を介してそれぞれの段階の変更情報のデータをやり取りする。なお、遠隔サービスシステム２において各構成のそれぞれの動作は、ブロックチェーン２０を介してそれぞれの段階の変更情報のデータをやり取りするための動作が異なる以外は、遠隔サービスシステム１における動作と同様である。

より具体的には、遠隔サービスシステム２では、変更要求装置１００が、サービス事業者Ｓによって入力された変更情報を、ネットワーク１０を介して変更確認装置２００に送信する代わりに、ブロックチェーン２０に登録する。また、遠隔サービスシステム２では、変更確認装置２００が、ネットワーク１０を介して変更要求装置１００から送信されてきた変更情報を受信する代わりに、変更要求装置１００がブロックチェーン２０に登録した変更情報をブロックチェーン２０から取得する。そして、変更確認装置２００が、変更内容確認者Ｃによって確認された変更情報を、ネットワーク１０を介して変更実施装置２１０に送信する代わりに、ブロックチェーン２０に登録する。また、変更実施装置２１０が、ネットワーク１０を介して変更確認装置２００から送信されてきた確認済みの変更情報を受信する代わりに、変更確認装置２００がブロックチェーン２０に登録した確認済みの変更情報をブロックチェーン２０から取得する。そして、変更実施装置２１０が、変更実施者Ｉによって確認済みの変更情報が表す変更内容を実施するとされた変更情報（設備のパラメータ値）を、専用通信回線を介してプラントネットワーク装置３００に送信する。

なお、遠隔サービスシステム２においても、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線は、専用通信回線に限定されるものではない。例えば、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線は、シリアル通信かつ限定したプロトコルで通信を行う通信回線であってもよい。なお、本開示においては、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線をシリアル通信かつ限定したプロトコルの通信で実現する際の方法や構成に関しては、特に規定しない。

これにより、遠隔サービスシステム２を適用した発電プラントでも、サービス事業者Ｓが設定条件の変更を要求した対象の設備に、要求した変更内容が適用される。

なお、遠隔サービスシステム２において変更実施装置２１０は、必須の構成要素ではない。つまり、遠隔サービスシステム２も、遠隔サービスシステム１と同様に、変更実施装置２１０を備えていない構成であってもよい。この場合の遠隔サービスシステム２では、プラントネットワーク装置３００がブロックチェーン２０にログインし、変更確認装置２００がブロックチェーン２０に登録した変更情報（設備のパラメータ値）をブロックチェーン２０から取得して、プラントネットワーク装置３００に直接送信する。

また、遠隔サービスシステム２では、プラント制御システム３２０が、遠隔サービスシステム２によって変更された設備の設定条件に応じた設備の稼働状態を表す結果、つまり、変更情報が表す変更内容を適用した適用結果である変更結果のデータを、ファイヤーウォール３１０を介してプラントネットワーク装置３００に伝送する。これにより、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータを、データダイオード３３０を介して変更実施装置２１０に送信する。そして、遠隔サービスシステム２では、変更実施装置２１０が、プラントネットワーク装置３００からデータダイオード３３０を介して送信された変更結果のデータに署名を追加して、ブロックチェーン２０に登録する。

なお、遠隔サービスシステム２では、変更結果のデータへの署名の追加を、プラントネットワーク装置３００が行ってもよい。これは、プラントネットワーク装置３００は、データダイオード３３０によって外部のネットワークから保護されているため、悪意のある第三者からのサイバー攻撃を受けにくく、プラントネットワーク装置３００が保持している秘密鍵の信頼性が高いからである。なお、遠隔サービスシステム２では、プラントネットワーク装置３００と変更実施装置２１０とのそれぞれが、変更結果のデータへの署名の追加を行ってもよい。

これにより、遠隔サービスシステム２を適用した発電プラントでは、サービス事業者Ｓが、設定条件の変更を要求した対象の設備における稼働状態の変更結果を確認することができる。より具体的には、変更要求装置１００が、変更実施装置２１０がブロックチェーン２０に登録した変更結果のデータをブロックチェーン２０から取得して、サービス事業者Ｓに提示する。なお、変更実施装置２１０がブロックチェーン２０に登録した変更結果のデータは、変更確認装置２００もブロックチェーン２０から取得することができる。つまり、遠隔サービスシステム２を適用した発電プラントでは、変更内容確認者Ｃが、確認した変更情報を対象の設備に適用した変更結果を確認することができる。

なお、変更結果には、設備の設備識別情報（例えば、機器ＩＤ）、稼働状態を表す情報、変更した設備のパラメータ値などが含まれている。また、変更結果には、例えば、重要業績評価指標（Ｋｅｙ Ｐｅｒｆｏｒｍａｎｃｅ Ｉｎｄｉｃａｔｏｒ：ＫＰＩ）など、稼働している設備の効率を算出するためのデータが含まれていてもよい。この場合、変更実施装置２１０は、プラントネットワーク装置３００からデータダイオード３３０を介して送信された変更結果に基づいてＫＰＩを算出し、算出したＫＰＩのデータに署名を追加して、ブロックチェーン２０に登録してもよい。また、プラントネットワーク装置３００がＫＰＩを算出し、さらに、算出したＫＰＩのデータにプラントネットワーク装置３００を表す署名を追加して変更結果のデータとし、データダイオード３３０を介してブロックチェーン２０に直接登録する構成にしてもよい。

次に、遠隔サービスシステム２を利用した設備の設定条件の変更の処理シーケンスについて説明する。図４は、第２の実施形態の遠隔サービスシステム２における処理および作業の流れ（処理シーケンス）を示したシーケンス図である。図４には、遠隔サービスシステム２を構成する、ブロックチェーン２０と、ブロックチェーン２０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれにおける処理の流れの一例を示している。なお、図４においても、図２と同様に、遠隔サービスシステム２からの変更内容を対象の設備に設定するプラント制御システム３２０の処理を、プラントネットワーク装置３００の処理として示している。また、図４にも、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの作業（変更要求装置１００、変更確認装置２００、および変更実施装置２１０に対する操作）も併せて示している。上述したように、遠隔サービスシステム２では、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、ブロックチェーン２０を介して変更情報をやり取りする。

まず、サービス事業者Ｓは、変更要求装置１００を操作して、設定条件を変更する対象の設備の設備識別情報（例えば、機器ＩＤ）や、設備のパラメータ値などを含む変更情報を、変更要求装置１００に入力する（ステップＳ２００）。

そして、サービス事業者Ｓは、変更要求装置１００を操作して、署名を付加する。その後、サービス事業者Ｓは、変更要求装置１００に、入力した変更情報と事業者署名とのブロックチェーン２０への登録を指示する（ステップＳ２０１）。

これにより、変更要求装置１００は、サービス事業者Ｓが入力した変更情報とサービス事業者Ｓが付加した署名とを紐付けた「変更情報＋事業者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ２０２）。このとき、変更要求装置１００は、事業者署名を、予め定められたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「変更情報＋事業者署名」のデータをブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、１つ目のブロックのデータとして、変更要求装置１００が登録した「変更情報＋事業者署名」のデータに含まれる、設備の設備識別情報や設備のパラメータ値のデータが「データの内容」として登録され、サービス事業者Ｓの識別情報（例えば、担当者ＩＤ）、つまり、サービス事業者であることを表す情報が「送信者の情報」として登録され、事業者署名が「署名の情報」として登録される。

続いて、変更内容確認者Ｃは、変更確認装置２００を定期的に操作して、変更要求装置１００によって「変更情報＋事業者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、「変更情報＋事業者署名」のデータが更新されているか否かを確認する。そして、変更要求装置１００によって新たな「変更情報＋事業者署名」のデータがブロックチェーン２０に登録されている場合、変更内容確認者Ｃは、変更確認装置２００を操作して、ブロックチェーン２０に登録されている新たな「変更情報＋事業者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ２０３）。

これにより、変更確認装置２００は、取得した「変更情報＋事業者署名」のデータに含まれる変更情報と事業者署名とを、変更内容確認者Ｃに提示する。このとき、変更確認装置２００は、取得した「変更情報＋事業者署名」のデータに含まれる事業者署名を、予め入手されたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、「事業者署名」に含まれる変更情報のハッシュ値と、取得した「変更情報」のハッシュ値とを比較した結果を含めて、変更情報と事業者署名とを、変更内容確認者Ｃに提示する。変更内容確認者Ｃは、変更確認装置２００に提示された変更情報と事業者署名（ハッシュ値の比較結果を含む）とを確認する（ステップＳ２０４）。

そして、変更内容確認者Ｃは、提示された事業者署名が正しい署名であり、提示された変更情報が、サービス事業者Ｓが設定条件を変更する対象とした設備に対して正しい（問題なく適用することができる）変更内容である場合、変更確認装置２００を操作して、署名を追加する。つまり、変更確認装置２００に提示された事業者署名が、設備の設定条件の変更をすることができる遠隔サービスシステム２の正式な利用者の署名であり、変更確認装置２００に提示された変更情報に示されている設備のパラメータ値が、変更情報に示されている設備識別情報をもつ設備に適用することができるパラメータ値である場合、変更内容確認者Ｃは、変更確認装置２００が取得した変更情報に、さらに確認者署名を追加する。その後、変更内容確認者Ｃは、変更確認装置２００に、取得した変更情報および事業者署名と、確認者署名とのブロックチェーン２０への登録を指示する（ステップＳ２０５）。

これにより、変更確認装置２００は、ブロックチェーン２０から取得した事業者署名が紐付けられた変更情報に、さらに確認者署名を紐付けた「変更情報＋事業者署名＋確認者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ２０６）。このとき、変更確認装置２００は、変更内容確認者Ｃが追加した署名を、予め定められた変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「変更情報＋事業者署名＋確認者署名」のデータをブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、２つ目のブロックのデータとして、変更確認装置２００が登録した「変更情報＋事業者署名＋確認者署名」のデータに含まれる、設備の設備識別情報や設備のパラメータ値のデータが「データの内容」として登録され、変更内容確認者Ｃの識別情報（例えば、担当者ＩＤ）、つまり、変更内容確認者であることを表す情報が「送信者の情報」として登録され、事業者署名と確認者署名とが「署名の情報」として登録される。

続いて、変更実施者Ｉは、変更実施装置２１０を定期的に操作して、変更確認装置２００によって「変更情報＋事業者署名＋確認者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、「変更情報＋事業者署名＋確認者署名」のデータが更新されているか否かを確認する。そして、変更確認装置２００によって新たな「変更情報＋事業者署名＋確認者署名」のデータがブロックチェーン２０に登録されている場合、変更実施者Ｉは、変更実施装置２１０を操作して、ブロックチェーン２０に登録されている新たな「変更情報＋事業者署名＋確認者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ２０７）。

これにより、変更実施装置２１０は、取得した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名と確認者署名とを、変更実施者Ｉに提示する。このとき、変更実施装置２１０は、取得した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名を、予め入手されたサービス事業者Ｓの鍵を用いて復号化し、事業者署名に含まれる変更情報のハッシュ値と、取得した変更情報のハッシュ値とを比較する。また、変更実施装置２１０は、取得した「変更情報＋事業者署名＋確認者署名」のデータに含まれる確認者署名を、予め入手された変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、確認者署名に含まれる「変更情報＋事業者署名」のハッシュ値と、取得した「変更情報＋事業者署名」のハッシュ値とを比較する。そして、変更実施装置２１０は、それぞれの署名を比較した結果を含めて、変更情報と事業者署名と確認者署名とを、変更実施者Ｉに提示する。変更実施者Ｉは、変更実施装置２１０に提示された事業者署名と確認者署名と（ハッシュ値の比較結果を含む）とを確認する（ステップＳ２０８）。

そして、変更実施者Ｉは、提示された事業者署名と確認者署名とが正しい場合、変更実施装置２１０を操作して、署名を追加する。つまり、変更実施装置２１０に提示された事業者署名と確認者署名が、設備の設定条件の変更をすることができる遠隔サービスシステム２の正式な利用者の署名である場合、変更実施者Ｉは、変更実施装置２１０が取得した変更情報に、さらに実施者署名を追加する。その後、変更実施者Ｉは、変更実施装置２１０に、取得した変更情報、事業者署名、確認者署名、および実施者署名の送信を指示し、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求する（ステップＳ２０９）。

これにより、変更実施装置２１０は、ブロックチェーン２０に変更確認装置２００が登録した事業者署名および確認者署名が紐付けられた変更情報に、さらに実施者署名を紐付けた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを、専用通信回線を介してプラントネットワーク装置３００に送信する（ステップＳ２１０）。

これにより、プラントネットワーク装置３００は、変更実施装置２１０から専用通信回線を介して送信されてきた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを受信すると、受信した「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる事業者署名、確認者署名、および実施者署名を確認する（ステップＳ２１１）。

そして、プラントネットワーク装置３００は、確認したサービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの署名が正しく、署名が付加された順番が正しい、つまり、変更情報が伝送されてきた経路が正しい経路である場合、サービス事業者Ｓが設定条件の変更を要求した対象の設備に変更内容を適用する（ステップＳ２１２）。より具体的には、プラントネットワーク装置３００は、変更実施装置２１０から送信されてきた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる変更情報に示されている設備識別情報をもつ設備を制御するプラント制御システム３２０に、変更情報に示されている設備のパラメータ値を、ファイヤーウォール３１０を介してプラントネットワークに伝送する。これにより、プラント制御システム３２０は、変更情報に示されている設備のパラメータ値を、変更情報に示されている設備のパラメータ値に変更し、サービス事業者Ｓが設定条件の変更を要求した対象の設備が、サービス事業者Ｓが要求した設定条件となる。

その後、プラント制御システム３２０は、変更された設備のパラメータ値に応じた稼働状態を表す変更結果のデータを、ファイヤーウォール３１０を介してプラントネットワーク装置３００に伝送する。これにより、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータを、データダイオード３３０を介して変更実施装置２１０に送信する（ステップＳ２１３）。

なお、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータに、プラント制御システム３２０またはプラントネットワーク装置３００を表す署名（以下、プラント署名という）を付加し、「変更結果＋プラント署名」のデータを、プラント制御システム３２０から伝送された変更結果のデータとして、データダイオード３３０を介して変更実施装置２１０に送信してもよい。また、プラントネットワーク装置３００は、「変更結果＋プラント署名」のデータを、データダイオード３３０を介してブロックチェーン２０に直接登録してもよい。

続いて、変更実施装置２１０は、受信した変更結果のデータを、変更実施者Ｉに提示する。変更実施者Ｉは、変更実施装置２１０に提示された変更結果のデータを確認し、変更実施装置２１０を操作して、署名を追加する。その後、変更実施者Ｉは、変更実施装置２１０に、受信した変更結果のデータと変更実施者Ｉの署名とのブロックチェーン２０への登録を指示する（ステップＳ２１４）。

これにより、変更実施装置２１０は、プラントネットワーク装置３００から送信されてきた変更結果のデータに、変更実施者Ｉが追加した署名を紐付けた「変更結果＋実施者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ２１５）。このとき、変更実施装置２１０は、実施者署名を、予め定められた変更実施者Ｉの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「変更結果＋実施者署名」のデータをブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、３つ目のブロックのデータとして、変更実施装置２１０が登録した「変更結果＋実施者署名」のデータに含まれる、変更結果のデータが「データの内容」として登録され、変更実施者Ｉの識別情報（例えば、担当者ＩＤ）、つまり、変更実施者であることを表す情報が「送信者の情報」として登録され、変更実施者Ｉの署名が「署名の情報」として登録される。なお、変更実施装置２１０は、「変更結果＋実施者署名」のデータをブロックチェーン２０に登録する際に、プラントネットワーク装置３００が変更結果のデータを送信してきたときの日時の情報を付加してもよい。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更実施装置２１０によって「変更結果＋実施者署名」のデータがブロックチェーン２０に登録されているか否かを確認し、「変更結果＋実施者署名」のデータが登録されていれば、設定条件の変更を要求した対象の設備における稼働状態の変更結果を確認することができる。また、変更内容確認者Ｃも、変更確認装置２００を定期的に操作して、ブロックチェーン２０に登録されているデータが更新されているか否かを確認することによって、変更実施装置２１０がブロックチェーン２０に登録した「変更結果＋実施者署名」のデータに基づいて、設備の設定条件や設備の稼働状態を管理することができる。このとき、変更要求装置１００および変更確認装置２００のそれぞれは、ブロックチェーン２０に登録された「変更結果＋実施者署名」のデータに含まれる実施者署名を、予め入手された変更実施者Ｉの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、「実施者署名」に含まれる変更結果のハッシュ値と、ブロックチェーン２０から取得した「変更結果」のハッシュ値とを比較して、変更実施者Ｉを確認する。

このような構成、処理、および作業の流れ（処理シーケンス）によって、遠隔サービスシステム２では、それぞれの利用者が、それぞれの段階において、変更情報に署名を順次追加してブロックチェーン２０に登録していく。つまり、ブロックチェーン２０に登録された変更情報のデータに、それぞれの利用者の署名を連鎖的（時系列）に追加していく。そして、複数の利用者が確認した変更内容を設備に対して適用する。これにより、遠隔サービスシステム１と同様の効果を得ることができる。

しかも、遠隔サービスシステム２では、データの改ざんを困難にするデータ管理方法が採用され、登録されたデータの履歴を時系列で管理することができるブロックチェーン２０を介して、それぞれの段階の変更情報のデータをやり取りする。これにより、遠隔サービスシステム２では、ブロックチェーン２０に登録したデータに含まれる、変更情報、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの署名、変更結果のそれぞれの情報の改ざんをさらに困難とし、遠隔サービスシステム１よりもさらに高いセキュリティレベルで、第三者による利用者へのなりすましや、変更情報の改ざんを防止することができる。

（第２の実施形態の変形例）
次に、第２の実施形態の変形例について説明する。第２の実施形態の変形例では、遠隔サービスシステム２を構成する変更実施装置２１０が、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求したことを表す情報を、ブロックチェーン２０に登録することが、第２の実施形態の遠隔サービスシステム２の動作と異なる。従って、以下の説明においては、第２の実施形態の遠隔サービスシステム２の動作と異なる変形例の動作のみを説明する。

図５は、第２の実施形態の変形例の遠隔サービスシステム２における処理および作業の流れ（処理シーケンス）を示したシーケンス図である。図５には、図４と同様に、遠隔サービスシステム２を構成する、ブロックチェーン２０と、ブロックチェーン２０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれにおける処理の流れの一例を示している。なお、図５においても、図４と同様に、遠隔サービスシステム２の変形例からの変更内容を対象の設備に設定するプラント制御システム３２０の処理を、プラントネットワーク装置３００の処理として示している。また、図５にも、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの作業も併せて示している。

上述したように、遠隔サービスシステム２の変形例では、変更実施装置２１０が、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求したことを表す情報をブロックチェーン２０に登録する。このため、図５に示した遠隔サービスシステム２の変形例のシーケンス図では、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求したことを表す情報をブロックチェーン２０に登録する変更実施装置２１０の処理が追加されている。なお、遠隔サービスシステム２の変形例におけるその他の処理および作業の流れは、遠隔サービスシステム２と同様である。従って、図５では、遠隔サービスシステム２と同様の処理および作業の流れに同一のステップ番号を付与して説明を簡略化し、異なる作業の流れに重点をおいて説明する。

ステップＳ２００～ステップＳ２０２において、変更要求装置１００は、サービス事業者Ｓが入力した変更情報と事業者署名とを紐付けた「変更情報＋事業者署名」のデータを、ブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、１つ目のブロックのデータが登録される。

その後、ステップＳ２０３～ステップＳ２０６において、変更確認装置２００は、ブロックチェーン２０から取得した事業者署名が紐付けられた変更情報に、さらに確認者署名を紐付けた「変更情報＋事業者署名＋確認者署名」のデータを、ブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、２つ目のブロックのデータが登録される。

その後、ステップＳ２０７～ステップＳ２１０において、変更実施装置２１０は、ブロックチェーン２０から取得したサービス事業者Ｓおよび確認者署名が紐付けられた変更情報に、さらに実施者署名を紐付けた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを、専用通信回線を介してプラントネットワーク装置３００に送信する。

続いて、変更実施者Ｉは、変更実施装置２１０に、「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータをプラントネットワーク装置３００に送信したことを表すための実施ログと、実施者署名とのブロックチェーン２０への登録を指示する（ステップＳ３０１）。なお、実施ログには、プラントネットワーク装置３００に送信した日時の情報、変更情報（設備の設備識別情報や設備のパラメータ値）、変更実施者Ｉの情報など、「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータをプラントネットワーク装置３００に送信したときの情報やデータが含まれている。

これにより、変更実施装置２１０は、実施ログに実施者署名を紐付けた「実施ログ＋実施者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ３０２）。このとき、変更実施装置２１０は、実施者署名を、予め定められた変更実施者Ｉの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「実施ログ＋実施者署名」のデータをブロックチェーン２０に登録する。これにより、ブロックチェーン２０には、例えば、３つ目のブロックのデータとして、変更実施装置２１０が登録した「実施ログ＋実施者署名」のデータに含まれる、日時の情報が「日時」として登録され、設備の設備識別情報や設備のパラメータ値のデータが「データの内容」として登録され、変更実施者Ｉの情報が「変更実施者の情報」として登録され、実施者署名が「署名の情報」として登録される。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更実施装置２１０によって「実施ログ＋実施者署名」のデータがブロックチェーン２０に登録されているか否かを確認し、「実施ログ＋実施者署名」のデータが登録されていれば、要求した対象の設備における設定条件の変更を実施したことを確認することができる。同様に、変更内容確認者Ｃも、変更確認装置２００を定期的に操作することによって、確認した設備の設定条件の変更を実施したことを確認することができる。

一方、ステップＳ２１１～ステップＳ２１３において、プラントネットワーク装置３００およびプラント制御システム３２０が、ステップＳ２１０において変更実施装置２１０が専用通信回線を介して送信してきた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに基づいて設備の設定条件を変更し、変更結果のデータを、データダイオード３３０を介して変更実施装置２１０に送信する。

これにより、ステップＳ２１４～ステップＳ２１５において、変更実施装置２１０は、プラントネットワーク装置３００から送信されてきた変更結果のデータに、実施者署名を紐付けた「変更結果＋実施者署名」のデータを、ブロックチェーン２０に登録する。なお、変更実施装置２１０は、「変更結果＋実施者署名」のデータをブロックチェーン２０に登録する際に、プラントネットワーク装置３００が変更結果のデータを送信してきたときの日時の情報を付加する。これにより、ブロックチェーン２０には、例えば、４つ目のブロックのデータとして、「変更結果＋実施者署名」のデータが登録される。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作することによって、設定条件の変更を要求した対象の設備における稼働状態の変更結果を確認することができる。また、サービス事業者Ｓは、ブロックチェーン２０に登録されている「実施ログ＋実施者署名」のデータ（例えば、３つ目のブロックのデータ）と、「変更結果＋実施者署名」のデータ（例えば、４つ目のブロックのデータ）とのそれぞれの「日時」の差から、要求した設備の設定条件の変更を実施したときから、実際に設備の稼働状態が変更されるまでの時間差（遅延時間）を確認することもできる。また、変更内容確認者Ｃも、変更確認装置２００を定期的に操作して、ブロックチェーン２０に登録されているそれぞれのデータを確認することによって、設備の設定条件や設備の稼働状態を管理することができる。このとき、変更要求装置１００および変更確認装置２００のそれぞれは、「変更結果＋実施者署名」のデータに含まれる実施者署名に基づいて変更実施者Ｉを確認するのと同様に、ブロックチェーン２０に登録された「実施ログ＋実施者署名」のデータに含まれる実施者署名に基づいて変更実施者Ｉを確認する。より具体的には、変更要求装置１００および変更確認装置２００のそれぞれは、ブロックチェーン２０に登録された「実施ログ＋実施者署名」のデータに含まれる実施者署名を、予め入手された変更実施者Ｉの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化し、「実施者署名」に含まれる実施ログのハッシュ値と、ブロックチェーン２０から取得した「実施ログ」のハッシュ値とを比較して、変更実施者Ｉを確認する。

このような処理シーケンスによって、遠隔サービスシステム２の変形例では、変更実施装置２１０がプラントネットワーク装置３００に「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを送信したことを表す実施ログもブロックチェーン２０に登録する。つまり、遠隔サービスシステム２の変形例では、改ざんが困難な実施ログもブロックチェーン２０のデータとして登録する。これにより、遠隔サービスシステム２の変形例では、それぞれの処理の進捗状態や処理の遅延時間も併せて、設備の設定条件の変更や管理を行うことができると共に、高いセキュリティレベルで、第三者による利用者へのなりすましや、実施ログを含めた設備の設定条件の変更に関する情報の改ざんを防止することができる。

なお、遠隔サービスシステム２（第２の実施形態における遠隔サービスシステム２の変形例も含む。以下の説明において第２の実施形態または遠隔サービスシステム２を参照する場合には同様とする。）でも、第１の実施形態の遠隔サービスシステム１と同様に、プラントネットワーク装置３００が、それぞれの利用者が署名を付加（追加）した変更情報に示されている設備のパラメータ値を、ファイヤーウォール３１０を介してプラントネットワークに伝送する。これにより、発電プラントでも、プラント制御システム３２０が、設備のパラメータ値を、対象の設備に適用する。このため、遠隔サービスシステム２でも、サービス事業者Ｓが変更要求装置１００によってブロックチェーン２０に登録した変更情報の一部でも変更する場合には、再度、サービス事業者Ｓが署名を付加してブロックチェーン２０に登録してから、それぞれの利用者がブロックチェーン２０に登録されている変更情報を確認して、署名を順次追加していくことになる。これにより、サービス事業者Ｓ以外の利用者が一方的に変更情報を変更することができず、サービス事業者Ｓの意向を、設備の設定条件に反映することができる。

また、遠隔サービスシステム２でも、それぞれの利用者が署名の付加（追加）をする方法は、対応するコンピュータ端末を操作することによって行う方法に限定されるものではなく、プログラムやアプリケーションを実行することによって署名の付加（追加）を自動化してもよい。

（第３の実施形態）
次に、第３の実施形態について説明する。第３の実施形態の遠隔サービスシステムも、上述の各実施形態と同様に、発電プラントなどのプラント内に配置された設備の設定条件の変更を、遠隔地から行うシステムである。

なお、第３の実施形態の遠隔サービスシステムの構成要素において、遠隔サービスシステム２の構成要素と同様の構成要素には同一の符号を付与し、その構成要素に関する詳細な説明は省略する。

図６は、第３の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム３は、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれを含んで構成される。遠隔サービスシステム３では、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれが、ブロックチェーン２０に接続されている。なお、図６には、図３と同様に、遠隔サービスシステム３によって設定条件の変更を要求する発電プラントの構成要素である、ファイヤーウォール３１０と、プラント制御システム３２０と、データダイオード３３０とを併せて示している。また、図６に、変更実施装置２１０がプラントネットワーク装置３００に設備の設定条件の変更の実施を要求したことを表す実施ログをブロックチェーン２０に登録する様子も併せて示している。

なお、図６においても、図３と同様に、変更実施装置２１０からプラント制御システム３２０までの経路の中に、ファイヤーウォール３１０とデータダイオード３３０とがある場合を示しているが、データダイオード３３０にファイヤーウォールの機能を備えている場合には、変更実施装置２１０からプラント制御システム３２０までの経路の中にファイヤーウォール３１０がなくてもよい。

なお、上述の各実施形態では、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、予め入手された利用者の鍵（公開鍵、秘密鍵、共通鍵など）を用いてデータのハッシュ値を比較することにより、ブロックチェーン２０にデータを登録したそれぞれの利用者の署名を確認していた。

これに対して、遠隔サービスシステム３では、利用者の署名を確認する処理を自動で実行するプログラム（以下、署名確認処理プログラムという）を、予めブロックチェーン２０に登録しておく。なお、署名確認処理プログラムは、スマートコントラクトコードや単にスマートコントラクトと呼ばれる。以下の説明においては、「スマートコントラクトコード」として説明する。つまり、ブロックチェーン２０に登録した署名確認処理プログラムは、データと同様に、ハッシュ値に基づいて関連するプログラムのデータが繋がっている。このため、ブロックチェーン２０に登録した確認処理プログラムも、改ざんを困難にすることができると共に、不正な処理を実行しないようにすることができる。つまり、署名確認処理プログラムによって、例えば、第三者の署名を、正しい利用者の署名であると確認することがないようにすることができる。そして、ブロックチェーン２０において利用することができるスマートコントラクトコードの機能を用いて、署名確認処理プログラムを自動的に実行させ、ブロックチェーン２０内でそれぞれの利用者の署名を確認する。図６には、ブロックチェーン２０を構成する３つのデータサーバ装置のそれぞれに、署名確認処理プログラム（署名確認処理プログラム２０ａ～署名確認処理プログラム２０ｃ）を登録している状態を示している。

なお、ブロックチェーン２０を構成するそれぞれのサーバ装置に登録する署名確認処理プログラムは、１つのプログラムのみに限定されるものではなく、複数の署名確認処理プログラムが登録されてもよい。また、署名確認処理プログラムは、ブロックチェーン２０を構成するいずれのデータサーバ装置に分かれて記録（登録）されるかは予め定められていない。従って、以下の説明においては、署名確認処理プログラムが登録されている、ブロックチェーン２０を構成するデータサーバ装置を特定されず、ブロックチェーン２０の全体の中に、署名確認処理プログラムが登録されているものとして説明する。

署名確認処理プログラムは、それぞれの利用者がデータをブロックチェーン２０に登録する際に、自分の署名を確認するための署名確認処理プログラムを指定することにより、自動的に実行される。ここで、署名確認処理プログラムの指定は、例えば、署名確認処理プログラムを識別する情報や、署名確認処理プログラムが登録されているデータサーバ装置における記憶領域のアドレスやブロックの情報などを設定した利用者の署名がされたデータをブロックチェーン２０に登録する、つまり、データをブロックチェーン２０に送信することによって行うことができる。署名確認処理プログラムは、実行されると、予め入手された利用者の鍵（公開鍵、秘密鍵、共通鍵など）を用いて、登録しようとしているデータのハッシュ値を比較し、データの署名が、正しい利用者の署名であるか否かを確認する。そして、署名確認処理プログラムは、正しい利用者の署名であると確認された場合にのみ、登録しようとしているデータを登録する。より具体的には、署名確認処理プログラムは、登録しようとしているデータの署名をそれぞれのデータサーバ装置が確認し、例えば、過半数以上のデータサーバ装置で正しい利用者の署名であると確認できたなどの予め定めたルールを満足する場合にのみ、登録しようとしているデータを登録する。つまり、遠隔サービスシステム３では、正しい利用者の署名が付加されているデータのみをブロックチェーン２０に登録する。

このため、遠隔サービスシステム３を利用するそれぞれの利用者がブロックチェーン２０から取得したデータは、正しい利用者が登録したデータであることがすでに確定されていることになる。従って、遠隔サービスシステム３を構成する変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれは、対応する利用者の操作に応じてブロックチェーン２０からデータを取得した際に、上述の各実施形態のように、データに含まれる利用者の署名のハッシュ値を比較する必要がなくなる。このため、遠隔サービスシステム３を各利用者も、データの署名を確認する必要がなくなる。つまり、遠隔サービスシステム３では、データに含まれる利用者の署名を確認するために、他の利用者の公開鍵を持っている必要がなくなり、公開鍵の管理をしなくてよくなる。

なお、遠隔サービスシステム３において変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれの動作は、ブロックチェーン２０にそれぞれの段階のデータ（変更情報、実施ログや変更結果のデータ）を登録する際に、対応する署名確認処理プログラムを指定して実行させる以外は、第２の実施形態の遠隔サービスシステム２における動作と同様である。

より具体的には、遠隔サービスシステム３では、変更要求装置１００が、サービス事業者Ｓによって入力された変更情報をブロックチェーン２０に登録する際に、事業者署名を確認する処理を行う署名確認処理プログラム（例えば、署名確認処理プログラム２０ａ）を実行させる。これにより、ブロックチェーン２０は、サービス事業者Ｓの正しい署名が付加された変更情報のデータのみを登録する。また、変更確認装置２００が、変更内容確認者Ｃによって確認された変更情報をブロックチェーン２０に登録する際に、事業者署名および確認者署名を確認する処理を行う署名確認処理プログラム（例えば、署名確認処理プログラム２０ｂ）を実行させる。これにより、ブロックチェーン２０は、サービス事業者Ｓおよび変更内容確認者Ｃの正しい署名が付加（追加）された確認後の変更情報のデータのみを登録する。また、変更実施装置２１０が、実施ログや、プラントネットワーク装置３００から送信されてきた変更結果のデータをブロックチェーン２０に登録する際に、実施者署名を確認する処理を行う署名確認処理プログラム（例えば、署名確認処理プログラム２０ｃ）を実行させる。これにより、ブロックチェーン２０は、変更実施者Ｉの正しい署名が付加された実施ログや変更結果のデータのみを登録する。

これにより、遠隔サービスシステム３を適用した発電プラントでも、サービス事業者Ｓが設定条件の変更を要求した対象の設備に、要求した変更内容が適用される。そして、遠隔サービスシステム２と同様に、サービス事業者Ｓが、要求した対象の設備における稼働状態の変更結果を確認することができ、変更内容確認者Ｃが、確認した変更情報を対象の設備に適用した変更結果を確認することができる。また、遠隔サービスシステム２の変形例と同様に、サービス事業者Ｓや変更内容確認者Ｃが、変更実施装置２１０がプラントネットワーク装置３００に設備の設定条件の変更の実施を要求した実施ログを確認することができる。しかも、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、ブロックチェーン２０から取得したデータに含まれる署名の確認の処理を行わなくてもよいだけでなく、それぞれのデータがブロックチェーン２０で管理されていることから、改ざんされていないデータであることが保証されているため、正しい変更要求であることが証明できることによって、遠隔地から設備の設定変更を行うことができるようになる。

なお、遠隔サービスシステム３において変更実施装置２１０は、必須の構成要素ではない。つまり、遠隔サービスシステム３も、遠隔サービスシステム２と同様に、変更実施装置２１０を備えていない構成であってもよい。この場合の遠隔サービスシステム３では、プラントネットワーク装置３００が、実施ログや変更結果のデータをブロックチェーン２０に登録する際に、実施者署名を確認する処理を行う署名確認処理プログラム（例えば、署名確認処理プログラム２０ｃ）を実行させる。

次に、遠隔サービスシステム３を利用した設備の設定条件の変更の処理シーケンスについて説明する。図７は、第３の実施形態の遠隔サービスシステム３における処理シーケンスを示したシーケンス図である。なお、図７は、図５と同様に、変更実施装置２１０が実施ログをブロックチェーン２０に登録する場合のシーケンス図である。図７には、遠隔サービスシステム３を構成する、ブロックチェーン２０と、ブロックチェーン２０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラントネットワーク装置３００とのそれぞれにおける処理の流れの一例を示している。なお、図７においても、遠隔サービスシステム３からの変更内容を対象の設備に設定するプラント制御システム３２０の処理を、プラントネットワーク装置３００の処理として示している。また、図７にも、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの作業も併せて示している。

上述したように、遠隔サービスシステム３では、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが登録しようとしているデータに含まれる利用者の署名を、ブロックチェーン２０に登録されている対応する署名確認処理プログラムが確認してから登録する。なお、遠隔サービスシステム３においても、それぞれの利用者の署名は、予め定められた利用者の鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化されたデータに付加され、予め入手された利用者の鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化されて確認される。しかし、以下の説明においては、利用者の署名の符号化および復号化の処理内容の説明は省略し、単に署名を「付加（追加）する」、「確認する」というように説明する。

また、図６にて、ブロックチェーン２０を構成するデータサーバ装置に示した署名確認処理プログラム２０ａが、事業者署名を確認する処理を行う署名確認処理プログラムであり、署名確認処理プログラム２０ｂが、事業者署名および確認者署名を確認する処理を行う署名確認処理プログラムであり、署名確認処理プログラム２０ｃが、実施者署名を確認する処理を行う署名確認処理プログラムであるものとして説明する。

まず、サービス事業者Ｓは、変更要求装置１００を操作して、設定条件を変更する対象の設備の設備識別情報（例えば、機器ＩＤ）や、設備のパラメータ値などを含む変更情報を、変更要求装置１００に入力する（ステップＳ４００）。

そして、サービス事業者Ｓは、変更要求装置１００を操作して、署名を付加する。その後、サービス事業者Ｓは、署名確認処理プログラム２０ａを指定し、変更要求装置１００に、入力した変更情報と事業者署名とのブロックチェーン２０への登録を指示する（ステップＳ４０１）。

これにより、変更要求装置１００は、サービス事業者Ｓが入力した変更情報とサービス事業者Ｓが付加した署名とを紐付けた「変更情報＋事業者署名」のデータ、および署名確認処理プログラム２０ａを指定する識別情報（アドレスなど、以下、プログラム識別情報という）を、ブロックチェーン２０に送信する（ステップＳ４０２）。

続いて、ブロックチェーン２０は、受信したプログラム識別情報によって指示されている署名確認処理プログラム２０ａを実行する。そして、ブロックチェーン２０は、署名確認処理プログラム２０ａによって、受信した「変更情報＋事業者署名」のデータに含まれる事業者署名を確認する。ブロックチェーン２０では、署名確認処理プログラム２０ａが、それぞれのデータサーバ装置が確認した事業者署名が、例えば、過半数以上のデータサーバ装置で正しい事業者署名であると確認できた場合に、受信した「変更情報＋事業者署名」のデータを登録する（ステップＳ４０３）。これにより、ブロックチェーン２０には、受信した「変更情報＋事業者署名」のデータが、例えば、１つ目のブロックのデータとして登録される。

続いて、変更内容確認者Ｃは、変更確認装置２００を定期的に操作して、正しい事業者署名を含んだ「変更情報＋事業者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、「変更情報＋事業者署名」のデータが更新されているか否かを確認する。そして、変更要求装置１００によって新たな「変更情報＋事業者署名」のデータがブロックチェーン２０に登録されている場合、変更内容確認者Ｃは、変更確認装置２００を操作して、ブロックチェーン２０に登録されている新たな「変更情報＋事業者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ４０４）。

これにより、変更確認装置２００は、取得した「変更情報＋事業者署名」のデータに含まれる変更情報を、変更内容確認者Ｃに提示する。このとき、変更確認装置２００は、取得した「変更情報＋事業者署名」のデータに含まれる事業者署名を復号化せず、ハッシュ値を比較した結果を変更内容確認者Ｃに提示しない。これは、上述したように、ブロックチェーン２０に登録されている「変更情報＋事業者署名」のデータは、すでに正しいサービス事業者Ｓが登録したデータであることが確定されているからである。

そして、変更内容確認者Ｃは、提示された変更情報が、サービス事業者Ｓが設定条件を変更する対象とした設備に対して正しい（問題なく適用することができる）変更内容である場合、変更確認装置２００を操作して、「変更情報＋事業者署名」のデータに、確認者署名をさらに追加する。その後、変更内容確認者Ｃは、事業者署名および確認者署名を確認する処理を行う署名確認処理プログラム２０ｂを指定し、ブロックチェーン２０に、取得した変更情報および事業者署名と、確認者署名とのブロックチェーン２０への登録を指示する（ステップＳ４０５）。

これにより、変更確認装置２００は、ブロックチェーン２０から取得した事業者署名が紐付けられた変更情報に、さらに確認者署名を紐付けた「変更情報＋事業者署名＋確認者署名」のデータ、および署名確認処理プログラム２０ｂを指定するプログラム識別情報を、ブロックチェーン２０に送信する（ステップＳ４０６）。

続いて、ブロックチェーン２０は、受信したプログラム識別情報によって指示されている署名確認処理プログラム２０ｂを起動する。そして、ブロックチェーン２０は、署名確認処理プログラム２０ｂによって、受信した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名および確認者署名を確認する。ブロックチェーン２０では、署名確認処理プログラム２０ｂが、それぞれのデータサーバ装置が確認した事業者署名と確認者署名とが、例えば、過半数以上のデータサーバ装置で正しい事業者署名および確認者署名であると確認できた場合に、受信した「変更情報＋事業者署名＋確認者署名」のデータを登録する（ステップＳ４０７）。これにより、ブロックチェーン２０には、受信した「変更情報＋事業者署名＋確認者署名」のデータが、例えば、２つ目のブロックのデータとして登録される。

続いて、変更実施者Ｉは、変更実施装置２１０を定期的に操作して、正しい事業者署名と確認者署名を含んだ「変更情報＋事業者署名＋確認者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、「変更情報＋事業者署名＋確認者署名」のデータが更新されているか否かを確認する。そして、変更確認装置２００によって新たな「変更情報＋事業者署名＋確認者署名」のデータがブロックチェーン２０に登録されている場合、変更実施者Ｉは、変更実施装置２１０を操作して、ブロックチェーン２０に登録されている新たな「変更情報＋事業者署名＋確認者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ４０８）。

これにより、変更実施装置２１０は、取得した「変更情報＋事業者署名＋確認者署名」のデータに含まれる変更情報を、変更実施者Ｉに提示する。このとき、変更実施装置２１０は、取得した「変更情報＋事業者署名＋確認者署名」のデータに含まれる事業者署名および確認者署名を復号化せず、ハッシュ値を比較した結果を変更実施者Ｉに提示しない。これは、上述したように、ブロックチェーン２０に登録されている「変更情報＋事業者署名＋確認者署名」のデータも、すでに正しい変更内容確認者Ｃが確認して登録したデータであることが確定されているからである。

そして、変更実施者Ｉは、変更実施装置２１０を操作して、「変更情報＋事業者署名＋確認者署名」のデータに、実施者署名をさらに追加する。その後、変更実施者Ｉは、変更実施装置２１０に、取得した変更情報、事業者署名、確認者署名、および実施者署名の送信を指示し、プラントネットワーク装置３００に設備の設定条件の変更の実施を要求する（ステップＳ４０９）。

これにより、変更実施装置２１０は、ブロックチェーン２０から取得した事業者署名および確認者署名が紐付けられた変更情報に、さらに実施者署名を紐付けた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータを、専用通信回線を介してプラントネットワーク装置３００に送信する（ステップＳ４１０）。

なお、遠隔サービスシステム３においても、変更実施装置２１０とプラントネットワーク装置３００との間の通信回線は、専用通信回線に限定されるものではない。

そして、変更実施者Ｉは、変更実施装置２１０を操作して、「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータをプラントネットワーク装置３００に送信したことを表す実施ログに署名を付加する。その後、変更実施者Ｉは、実施者署名を確認する処理を行う署名確認処理プログラム２０ｃを指定し、変更実施装置２１０に、実施ログと実施者署名とのブロックチェーン２０への登録を指示する（ステップＳ４１１）。

これにより、変更実施装置２１０は、実施ログに実施者署名を紐付けた「実施ログ＋実施者署名」のデータ、および署名確認処理プログラム２０ｃを指定するプログラム識別情報を、ブロックチェーン２０に送信する（ステップＳ４１２）。

続いて、ブロックチェーン２０は、変更実施装置２１０から送信されてきた「実施ログ＋実施者署名」のデータおよびプログラム識別情報を受信すると、受信したプログラム識別情報によって指示されている署名確認処理プログラム２０ｃを起動（実行）する。そして、ブロックチェーン２０は、署名確認処理プログラム２０ｃによって、受信した「実施ログ＋実施者署名」のデータに含まれる実施者署名を確認する。ブロックチェーン２０では、署名確認処理プログラム２０ｃが、それぞれのデータサーバ装置が確認した実施者署名が、例えば、過半数以上のデータサーバ装置で正しい実施者署名であると確認できた場合に、受信した「実施ログ＋実施者署名」のデータを登録する（ステップＳ４１３）。これにより、ブロックチェーン２０には、受信した「実施ログ＋実施者署名」のデータが、例えば、３つ目のブロックのデータとして登録される。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更実施装置２１０によって「実施ログ＋実施者署名」のデータがブロックチェーン２０に登録されているか否かを確認し、「実施ログ＋実施者署名」のデータが登録されていれば、要求した対象の設備における設定条件の変更を実施したことを確認することができる。同様に、変更内容確認者Ｃも、変更確認装置２００を定期的に操作することによって、確認した設備の設定条件の変更を実施したことを確認することができる。このとき、変更要求装置１００および変更確認装置２００は、取得した「実施ログ＋実施者署名」のデータに含まれる実施者署名を復号化せずに、取得した「実施ログ＋実施者署名」のデータに含まれる実施ログを、サービス事業者Ｓや変更内容確認者Ｃに提示する。これは、上述したように、ブロックチェーン２０に登録されている「実施ログ＋実施者署名」のデータは、すでに正しい変更実施者Ｉが登録したデータであることが確定されているからである。

一方、プラントネットワーク装置３００は、受信した「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる事業者署名、確認者署名、および実施者署名を確認する（ステップＳ４１４）。

そして、プラントネットワーク装置３００は、確認したサービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれの署名が正しく、署名が付加された順番が正しい、つまり、変更情報が伝送されてきた経路が正しい経路である場合、サービス事業者Ｓが設定条件の変更を要求した対象の設備に変更内容を適用する（ステップＳ４１５）。より具体的には、プラントネットワーク装置３００は、変更実施装置２１０から送信されてきた「変更情報＋事業者署名＋確認者署名＋実施者署名」のデータに含まれる変更情報に示されている設備識別情報をもつ設備を制御するプラント制御システム３２０に、変更情報に示されている設備のパラメータ値を、ファイヤーウォール３１０を介してプラントネットワークに伝送する。これにより、プラント制御システム３２０は、変更情報に示されている設備のパラメータ値を、変更情報に示されている設備のパラメータ値に変更し、サービス事業者Ｓが設定条件の変更を要求した対象の設備の設定条件が、サービス事業者Ｓが要求した設定条件となる。

その後、プラント制御システム３２０は、変更された設備のパラメータ値に応じた稼働状態を表す変更結果のデータを、ファイヤーウォール３１０を介してプラントネットワーク装置３００に伝送する。これにより、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータを、データダイオード３３０を介して変更実施装置２１０に送信する（ステップＳ４１６）。なお、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータに、プラント制御システム３２０またはプラントネットワーク装置３００を表すプラント署名を付加し、「変更結果＋プラント署名」のデータを、プラント制御システム３２０から伝送された変更結果のデータとして、データダイオード３３０を介して変更実施装置２１０に送信してもよい。

続いて、変更実施装置２１０は、受信した変更結果のデータを、変更実施者Ｉに提示する。変更実施者Ｉは、変更実施装置２１０に提示された変更結果のデータを確認し、変更実施装置２１０を操作して、署名を追加する。その後、変更実施者Ｉは、署名確認処理プログラム２０ｃを指定し、変更実施装置２１０に、受信した変更結果のデータと実施者署名とのブロックチェーン２０への登録を指示する（ステップＳ４１７）。

これにより、変更実施装置２１０は、プラントネットワーク装置３００から送信されてきた変更結果のデータに実施者署名を紐付けた「変更結果＋実施者署名」のデータ、および署名確認処理プログラム２０ｃを指定するプログラム識別情報を、ブロックチェーン２０に送信する（ステップＳ４１８）。なお、変更実施装置２１０は、プラントネットワーク装置３００が変更結果のデータを送信してきたときの日時の情報を付加した「変更結果＋実施者署名」のデータおよびプログラム識別情報を、ブロックチェーン２０に送信してもよい。

続いて、ブロックチェーン２０は、受信したプログラム識別情報によって指示されている署名確認処理プログラム２０ｃを起動する。そして、ブロックチェーン２０は、署名確認処理プログラム２０ｃによって、受信した「変更結果＋実施者署名」のデータに含まれる実施者署名を確認する。ブロックチェーン２０では、署名確認処理プログラム２０ｃが、それぞれのデータサーバ装置が確認した実施者署名が、例えば、過半数以上のデータサーバ装置で正しい実施者署名であると確認できた場合に、受信した「変更結果＋実施者署名」のデータを登録する（ステップＳ４１９）。これにより、ブロックチェーン２０には、受信した「変更結果＋実施者署名」のデータが、例えば、５つ目のブロックのデータとして登録される。

なお、プラントネットワーク装置３００は、プラント制御システム３２０から伝送された変更結果のデータに、プラント制御システム３２０またはプラントネットワーク装置３００を表すプラント署名を付加し、「変更結果＋プラント署名」のデータを、プラント制御システム３２０から伝送された変更結果のデータとして、プラント署名を確認する処理を行う署名確認処理プログラム（不図示）を指定するプログラム識別情報と共に、データダイオード３３０を介してブロックチェーン２０に直接送信してもよい。この場合、ブロックチェーン２０は、プラントネットワーク装置３００から「変更結果＋プラント署名」のデータと共に送信されてきたプログラム識別情報によって指示されている署名確認処理プログラム（不図示）を起動して、「変更結果＋プラント署名」のデータに含まれるプラント署名の署名を確認する。そして、ブロックチェーン２０では、署名確認処理プログラム（不図示）が、それぞれのデータサーバ装置が確認したプラント署名が、例えば、過半数以上のデータサーバ装置で正しいプラント署名（プラント制御システム３２０またはプラントネットワーク装置３００の署名）であると確認できた場合に、例えば、４つ目のブロックのデータとして、受信した「変更結果＋プラント署名」のデータを登録する。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更実施装置２１０によって「変更結果＋実施者署名」のデータがブロックチェーン２０に登録されているか否かを確認し、「変更結果＋実施者署名」のデータが登録されていれば、設定条件の変更を要求した対象の設備における稼働状態の変更結果を確認することができる。また、変更内容確認者Ｃも、変更確認装置２００を定期的に操作して、ブロックチェーン２０に登録されているデータが更新されているか否かを確認することによって、変更実施装置２１０がブロックチェーン２０に登録した「変更結果＋実施者署名」のデータに基づいて、設備の設定条件や設備の稼働状態を管理することができる。このとき、変更要求装置１００および変更確認装置２００は、取得した「変更結果＋実施者署名」のデータに含まれる実施者署名を復号化せずに、取得した「変更結果＋実施者署名」のデータに含まれる変更結果を、サービス事業者Ｓや変更内容確認者Ｃに提示する。これは、上述したように、ブロックチェーン２０に登録されている「変更結果＋実施者署名」のデータは、すでに正しい変更実施者Ｉが登録したデータであることが確定されているからである。

このような構成、処理、および作業の流れ（処理シーケンス）によって、遠隔サービスシステム３では、それぞれの利用者が、それぞれの段階において、データ（変更情報や、実施ログ、変更結果）に署名を付加（追加）し、データをブロックチェーン２０に登録する際に、自分の署名を確認するための署名確認処理プログラムを指定してブロックチェーン２０に送信する。これにより、ブロックチェーン２０において、指定された署名確認処理プログラムが自動的に実行され、予め定めたルールに基づいて正しい利用者の署名であると確認された場合にのみ、送信されてきたデータをブロックチェーン２０に登録する。これにより、ブロックチェーン２０に、正しい利用者のそれぞれの署名が連鎖的（時系列）に追加されたデータが登録される。そして、上述の各実施形態と同様に、複数の利用者が確認した変更内容を設備に対して適用することができ、同様の効果を得ることができる。

しかも、遠隔サービスシステム３では、利用者の署名を確認する処理を行う署名確認処理プログラムを予めブロックチェーン２０に登録しておく。これにより、遠隔サービスシステム３では、高いセキュリティレベルで、ブロックチェーン２０に登録した署名確認処理プログラムの改ざんを防止することができる。

また、遠隔サービスシステム３では、ブロックチェーン２０に登録されている署名確認処理プログラムによって、それぞれのデータに含まれる利用者の署名の確認を、ブロックチェーン２０内で行う。そして、正しい利用者の署名が付加されていることが確定しているデータのみがブロックチェーン２０に登録される。これにより、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれや、サービス事業者Ｓ、変更内容確認者Ｃ、および変更実施者Ｉのそれぞれが、前の段階の利用者の署名を確認する必要がなくなる。これにより、上述の各実施形態よりも容易に、設備の設定条件の変更を行うことができる。

上記に述べたとおり、各実施形態によれば、遠隔サービスシステムは、それぞれの利用者が、それぞれの段階において、変更情報に署名を連鎖的（時系列）に付加（追加）していく。そして、複数の利用者が順次確認した変更内容を設備に対して適用する。これにより、設備に設定しているパラメータ値を変更するときに従来必要であったプラントの関係部署への確認をなくすことができ、効率的に設備の設定条件の変更を行うことができる。また、複数の利用者が変更情報を確認するため、高いセキュリティレベルで、第三者による利用者へのなりすましや、変更情報の確認の途中での変更情報の改ざんを防止することができる。これらにより、上述の各実施形態における遠隔サービスシステムを適用したプラントでは、遠隔地からプラントの設備の設定条件を変更する場合においても、設定データのセキュリティレベルを保った状態で、設備の設定条件を変更するための設定の変更を正しく行うことができる。また、設定データのセキュリティレベルを保った状態で、従来必要であったプラントにおける承認手続きや現場での調整作業などの中間的な処理を省いて、設備の設定条件を変更する作業に要する時間やコストを削減することができる。

また、第２の実施形態および第３の実施形態では、遠隔サービスシステムにおいてブロックチェーンを介して、それぞれの利用者がやり取りする。ここでそれぞれの利用者がやり取りするデータは、ブロックチェーンにおける合意形成（例えば、過半数以上のデータサーバ装置が署名を確認した結果が一致するなど）よって管理されている。このため、ブロックチェーンに登録されたデータは高いセキュリティレベルのデータとなる。

また、第３の実施形態では、遠隔サービスシステムにおいてそれぞれの利用者の署名を確認する処理を行う署名確認処理プログラムを、ブロックチェーン内で自動的に実行させることができる。ここで署名確認処理プログラムは、ブロックチェーンによって管理されている。このため、ブロックチェーンに登録された署名確認処理プログラムは、高いセキュリティレベルで保証されたプログラムである。つまり、ブロックチェーンに登録された署名確認処理プログラムは、耐改ざん性が高いプログラムである。そして、それぞれのデータや署名確認処理プログラムがブロックチェーン２０によって管理されている、つまり、設備に対する設定条件の変更要求やその承認、その署名を確認するプログラムがブロックチェーン２０によって管理されていることから、改ざんされていないことが保証され、遠隔地から設備の設定変更を行うことができるようになる。

なお、第１の実施形態～第３の実施形態では、遠隔サービスシステムにおいて、設備の設定条件の変更内容を２段階で確認した後に、設備の設定条件の変更を適用する構成について説明した。より具体的には、例えば、遠隔サービスシステム１の構成では、サービス事業者Ｓが要求した設備の設定条件の変更を、１段階目で変更内容確認者Ｃが確認し、２段階目で変更実施者Ｉが確認した後に、変更実施者Ｉが設備の設定条件の変更を適用する構成について説明した。しかし、上述の各遠隔サービスシステムにおいて設備の設定条件の変更内容を確認する段階は、それぞれの実施形態において示した２段階に限定されるものではない。例えば、遠隔サービスシステム１において、変更内容確認者Ｃと同様に変更情報の確認を行う担当者の数を増やし、それぞれの担当者が、対応するコンピュータ端末を使用して変更内容を確認して署名を連鎖的（時系列）に付加（追加）していくようにすることによって、設備の設定条件の変更内容を確認する段階をさらに増やしてもよい。この場合、サービス事業者Ｓが入力した設備の設定条件の変更内容（変更情報）の改ざんに対する耐久性をより向上させることができる。一方、例えば、変更内容確認者Ｃが変更実施者Ｉを兼任するなど、遠隔サービスシステム１において設備の設定条件の変更内容を確認する段階を減らしてもよい。この場合、サービス事業者Ｓが要求した設備の設定条件の変更内容（変更情報）を、より迅速に対象の設備に適用することができる。

なお、第２の実施形態および第３の実施形態では、遠隔サービスシステムにおいて、設備の設定条件が変更された後に、変更実施装置２１０またはプラントネットワーク装置３００が、変更された設備の設定条件に応じた設備の稼働状態を表す変更結果をブロックチェーン２０に登録する構成について説明した。しかし、上述したように、変更結果には、ＫＰＩなど、稼働している設備の効率を算出するためのデータが含まれていてもよい。そして、プラントにおいては、稼働している設備の効率の変化を監視するために、ＫＰＩなどの算出を予め定められた期間ごとに行うことが考えられる。このため、変更実施装置２１０またはプラントネットワーク装置３００が、設備の設定条件が変更されたか否かに関わらず、予め定められた期間ごとに伝送されてくる変更結果と同様のデータに基づいてＫＰＩを算出する構成にすることが考えられる。この場合、予め定められた期間ごとに算出されたＫＰＩに基づいて、設定条件を変更する前後の設備の効率の変化や、現在までの設備の効率の変移を確認することができる。言い換えれば、設備の設定条件を変更したことによって得られる、設備の効率向上の効果を確認することができる。

ところで、設備の効率向上の効果は、設備の設定条件を変更したことに対する対価を得る（例えば、設備の設定条件の変更を要求した要求元に課金する）ためのデータとして利用することが考えられる。このため、上述の各実施形態における遠隔サービスシステムを、設備の設定条件を変更したことに対する対価を得るための構成として用いることが考えられる。この場合、設備の設定条件を変更する際の経路とは反対の経路で署名を付加（追加）していくことによって、課金する金額を順次確認する構成を実現することができる。より具体的には、例えば、プラントネットワーク装置３００や変更実施装置２１０などのプラント側の構成要素が算出した、設備の設定条件の変更前後のＫＰＩに基づいて、変更実施者Ｉなどのプラント側の担当者が、設備の効率向上の効果を確認して、課金する金額を決定し、例えば、変更内容確認者Ｃなどのプラント側において課金する金額を確認する担当者に、決定した金額の確認を要求する。そして、その担当者は、確認した金額が正しい（問題なく請求することができる）金額である場合に、例えば、サービス事業者Ｓなどの設備の設定条件の変更を要求した側（要求元）に決定した金額を提示して、実際に対価を得るような構成を実現することができる。このような構成の場合であっても、設備の設定条件を変更する構成と同様に考えることができ、課金する金額を決定するための元データであるＫＰＩのデータに対するセキュリティレベルを保つことによって決定した金額の正当性（妥当性）を保った状態で、実際に対価を得るまでに要する手続きの処理を効率的に行うことができる。

また、上述した課金の基となるＫＰＩのデータの非改ざん性だけでなく、「ＫＰＩに応じた課金のルール」もブロックチェーン２０に格納（例えば、スマートコントラクトコードのプログラムとして格納）しておくことによって、自動的に課金の処理をすることができる。なお、課金のルールは、サービス事業者Ｓと変更内容確認者Ｃとが合意したルールであるため、課金の処理を行う都度、課金ルールの確認は不要であり、かつ課金ルールが改ざんされていないことが証明されるため、サービス事業者Ｓと変更内容確認者Ｃとの双方が効率的にサービスの提供や利用をすることができる。なお、課金ルールが更新される場合には、サービス事業者Ｓと変更内容確認者Ｃとが再度合意をした課金ルールを、ブロックチェーン２０に登録することになる。

なお、第１の実施形態～第３の実施形態の遠隔サービスシステムを、設備の設定条件を変更したことに対する対価を得るために応用した場合の構成、処理、および作業の流れ（処理シーケンス）は、上述した、設備の設定条件の変更を順次確認して行う、第１の実施形態～第３の実施形態の遠隔サービスシステムの構成、処理、および作業の流れ（処理シーケンス）に基づいて容易に考えることができる。従って、上述の各実施形態における遠隔サービスシステムを、設備の設定条件を変更したことに対する対価を得るために応用した場合の具体的な一例に関する詳細な説明は省略する。

なお、上述の各実施形態では、制御機器が設備に設定するパラメータ値を変更する場合について説明した。しかし、例えば、第２の実施形態および第３の実施形態の遠隔サービスシステムは、設備に設定するパラメータ値を変更するシステムへの適用のみに限定されるものではない。より具体的には、プラントにおいてそれぞれの設備を制御するプラント制御システムが実行する付加機能などのサービスの利用許可や利用停止などの制御をするために遠隔サービスシステムを利用することも考えられる。この場合、それぞれの実施形態において説明した順番とは逆に、各実施形態の遠隔サービスシステムを提供するサービス事業者側が、プラント制御システムにおける付加機能などのサービスの利用を制御する。

例えば、遠隔サービスシステム２では、プラント側からサービスの提供が要求された場合、サービス事業者がプラント側からの要求を許可する（承認する）ことによって、プラント制御システムにおける付加機能などのサービスの利用が開始される。また、例えば、何らかの理由によって提供しているサービスの停止をすることが必要になった場合、サービス事業者は、プラント側の承認を得ることなく、単独でサービスの停止を指示し、プラント制御システムにおける付加機能などのサービスを停止させることもある。ここで、サービス事業者が提供しているサービスを停止することが必要になる何らかの理由としては、例えば、提供しているサービスの利用期間の終了や、提供しているサービスの対価としてプラント側からサービス事業者側に支払われるサービス利用料の不払いや支払いの遅延などが考えられる。

なお、サービス事業者側は、プラント側からのサービス利用料の支払い状況の情報を、遠隔サービスシステム２とは別の不図示の課金システムなどから得ることが考えられる。そして、遠隔サービスシステム２では、不図示の課金システムなどから得たサービス利用料の支払い状況の情報（データ）をブロックチェーンに登録することによって、サービス事業者が、サービス利用料の支払い状況の履歴を含めて、提供するサービスの利用許可や利用停止を管理することができる。このため、遠隔サービスシステム２では、不図示の課金システムなどから得たサービス利用料の支払い状況の情報（データ）をブロックチェーンに登録する。なお、サービス利用料の支払い状況の情報（データ）のブロックチェーンへの登録を、サービス事業者が行ってもよいし、不図示の課金システムなどが行ってもよい。

（第４の実施形態）
ここで、第４の実施形態について説明する。第４の実施形態の遠隔サービスシステムは、サービス事業者が、提供するサービスの利用許可や利用停止などの制御を遠隔地から行うシステムである。なお、第４の実施形態の遠隔サービスシステムは、遠隔サービスシステム２においてサービスの利用許可や利用停止などを制御する構成の一例である。

なお、第４の実施形態の遠隔サービスシステムでは、サービス利用料の支払い状況の情報（データ）が、予め定められた時間間隔ごとにブロックチェーンに登録され、発電プラントからのサービス利用料の支払い状況の履歴が管理されている。これにより、サービス事業者が、ブロックチェーンに登録された改ざんをすることが困難なサービス利用料の支払い状況の情報（データ）の履歴に基づいて、提供するサービスの利用許可や利用停止などを制御することができる。

なお、第４の実施形態の遠隔サービスシステムの構成要素は、図３に示した構成要素と同様である。

なお、第４の実施形態の遠隔サービスシステムでは、発電プラントにおいて設備を実際に稼働させる担当者（変更実施者Ｉ）による確認を行わない。これは、プラント制御システムが実行する付加機能のサービスの利用要求は、発電プラントにおいて設備を実際に稼働させる担当者と同じ発電プラント側に属する担当者から出される要求であるため、確認をする必要がないからである。また、プラント制御システムが実行する付加機能のサービスの利用停止は、発電プラントにおいて設備を実際に稼働させる担当者によって阻止されてしまわないようにするためである。

図８は、第４の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム４は、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれを含んで構成される。変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれが、ブロックチェーン２０に接続されている。なお、図８では、図３から、発電プラントにおいて設備の実際の稼働に関わる変更実施者Ｉ、およびプラントネットワーク装置３００を省略している。また、図８では、データダイオード３３０も省略している。

なお、以下の説明においては、プラント制御システム３２０が実行する、例えば、変更された設備のＫＰＩを算出するための変更結果のデータを取得して伝送する機能を、遠隔サービスシステム４においてサービス事業者側から発電プラント側に提供するプラント制御システム３２０の付加機能のサービスとして説明する。また、遠隔サービスシステム４において提供するサービス（プラント制御システム３２０の付加機能）の利用を要求する発電プラント側の担当者、つまり、サービスの要求者を変更内容確認者Ｃとし、サービスの利用を許可する（承認する）サービス事業者側の担当者、つまり、サービスの承認者をサービス事業者Ｓとして説明する。

遠隔サービスシステム４でも、変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれが、ブロックチェーン２０を介してそれぞれの情報（データ）をやり取りする。なお、遠隔サービスシステム４において変更要求装置１００、変更確認装置２００、および変更実施装置２１０のそれぞれの動作は、遠隔サービスシステム２における動作と同様である。

また、遠隔サービスシステム４では、提供するプラント制御システム３２０の付加機能のサービスに対する発電プラント側のサービス利用料の支払い状況の情報（データ）が、予め定められた時間間隔ごと（例えば、１ヶ月ごと）にブロックチェーン２０に時系列に登録され、改ざんをすることが困難な履歴として管理されている。なお、本開示においては、ブロックチェーン２０に支払いデータを登録する方法に関しては、特に規定しない。

また、遠隔サービスシステム４では、サービス事業者Ｓが、ブロックチェーン２０に登録されているサービス利用料の支払い状況のデータ（以下、支払いデータという）を確認することによって、提供するサービスの利用許可や利用停止を決定する。そして、遠隔サービスシステム４では、サービス事業者Ｓが、提供するサービスの利用許可や利用停止を決定した結果を表す利用可否情報のデータをブロックチェーン２０に登録する。ここで、利用可否情報は、サービス事業者Ｓが決定したサービスの利用許可や利用停止に応じた、サービスの実行または停止の指示が制御内容として含まれ、この制御内容（指示内容）を表した制御情報（指示情報）である。そして、遠隔サービスシステム４では、サービス事業者Ｓが決定してブロックチェーン２０に登録したサービス利用の利用可否情報のデータがプラント制御システム３２０に伝送されて、プラント制御システム３２０における付加機能の実行、つまり、提供しているサービスの利用許可や利用停止が制御される。

より具体的には、遠隔サービスシステム４では、変更内容確認者Ｃ（要求者）が、サービスの利用を要求する情報（以下、要求情報という）のデータをブロックチェーン２０に登録することによって、サービス事業者Ｓ（承認者）に、プラント制御システム３２０が実行する付加機能のサービスの提供を依頼する。これにより、遠隔サービスシステム４では、サービス事業者Ｓ（承認者）が、ブロックチェーン２０に登録されている支払いデータを確認して、変更内容確認者Ｃ（要求者）からのサービス利用の要求を許可する（承認する）か否かを決定する。そして、遠隔サービスシステム４では、サービス事業者Ｓが、変更内容確認者Ｃ（要求者）からのサービスの利用要求を許可する（承認する）場合に、プラント制御システム３２０における付加機能の実行を指示する利用可否情報のデータをブロックチェーン２０に登録することによって、プラント制御システム３２０における付加機能が実行される。これにより、遠隔サービスシステム４では、プラント制御システム３２０が実行する付加機能のサービスが、発電プラント側に提供される。

一方、遠隔サービスシステム４では、サービス事業者Ｓが、変更内容確認者Ｃ（要求者）からのサービスの利用要求を許可しない（否認する）場合、または、例えば、サービスの利用期間の終了や、サービス利用料の不払いや支払いの遅延などが確認された場合に、プラント制御システム３２０における付加機能の停止を指示する利用可否情報のデータをブロックチェーン２０に登録することによって、プラント制御システム３２０における付加機能の実行が停止される。これにより、遠隔サービスシステム４では、プラント制御システム３２０が実行する付加機能のサービスの提供が、発電プラント側の承認を得ることなく停止される。

なお、遠隔サービスシステム４では、上述したように、変更実施装置２１０が、サービス事業者Ｓがブロックチェーン２０に登録した変更内容確認者Ｃからのサービス利用の要求を承認したか否かを表す利用可否情報のデータの確認を行わない。従って、遠隔サービスシステム４では、変更実施装置２１０が、変更要求装置１００がブロックチェーン２０に登録した利用可否情報のデータを、ファイヤーウォール３１０を介してプラント制御システム３２０に直接伝送する。このとき、変更実施装置２１０は、プラント制御システム３２０との間で決められた専用の通信規格の回線（以下、直接通信回線という）を介して、プラント制御システム３２０に利用可否情報のデータを伝送する。なお、直接通信回線は、各実施形態の遠隔サービスシステムにおいて示した専用通信回線と同じ通信規格の回線であっても、異なる通信規格の回線であってもよい。また、直接通信回線は、データダイオード３３０を含む通信回線であってもよい。

なお、直接通信回線がデータダイオード３３０を含む通信回線である場合において、データダイオード３３０にファイヤーウォールの機能を備えている場合には、ファイヤーウォール３１０を直接通信回線に含まなくてもよい。

また、遠隔サービスシステム４では、プラント制御システム３２０が、ブロックチェーン２０に登録されて伝送された利用可否情報による指示を適用したことによる付加機能の実行状態や実行した付加機能による結果（以下、適用結果という）のデータを、ファイヤーウォール３１０を介して変更実施装置２１０に伝送する。そして、遠隔サービスシステム４では、変更実施装置２１０が、プラント制御システム３２０から伝送された適用結果のデータを、ブロックチェーン２０に登録する。

これにより、遠隔サービスシステム４では、サービス事業者Ｓ（承認者）が、プラント制御システム３２０による付加機能の実行状態、つまり、提供しているサービスの実行または停止を制御した結果を確認することができる。このとき、変更要求装置１００は、変更実施装置２１０がブロックチェーン２０に登録した適用結果のデータをブロックチェーン２０から取得し、取得した適用結果のデータに含まれるプラント制御システム３２０の付加機能の実行状態をサービス事業者Ｓ（承認者）に提示する。また、遠隔サービスシステム４を適用した発電プラントでは、変更内容確認者Ｃ（要求者）が、プラント制御システム３２０によって実行された付加機能による結果のデータを確認することができる。このとき、変更確認装置２００は、変更実施装置２１０がブロックチェーン２０に登録した適用結果のデータをブロックチェーン２０から取得し、取得した適用結果のデータに含まれるプラント制御システム３２０の付加機能の実行結果を変更内容確認者Ｃ（要求者）に提示する。

なお、プラント制御システム３２０がブロックチェーン２０との間でデータのやり取りをすることができる構成である場合には、ブロックチェーン２０が、変更要求装置１００によって登録された利用可否情報のデータを、変更実施装置２１０を経由せずに、通信回線を介してプラント制御システム３２０に直接伝送する構成にすることもできる。これにより、遠隔サービスシステム４を適用した発電プラントでは、プラント制御システム３２０が、ブロックチェーン２０に登録された利用可否情報のデータに応じた付加機能を実行する。また、プラント制御システム３２０がブロックチェーン２０との間でデータのやり取りをすることができる構成ある場合には、プラント制御システム３２０が、適用結果のデータを、変更実施装置２１０を経由せずに、通信回線を介してブロックチェーン２０に直接伝送して登録する構成にすることもできる。

次に、遠隔サービスシステム４を利用した設備においてサービスの利用を制御する処理および作業について説明する。図９は、第４の実施形態の遠隔サービスシステム４における処理および作業の流れを示したシーケンス図である。図９は、変更内容確認者Ｃ（要求者）から出されたサービスの利用要求に対して、サービス事業者Ｓ（承認者）がサービスの利用を許可する（承認する）か否かを決定する場合の処理シーケンスである。図９には、遠隔サービスシステム４を構成する、ブロックチェーン２０と、ブロックチェーン２０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラント制御システム３２０とのそれぞれにおける処理の流れの一例を示している。なお、図９においては、図４と同様に、サービス事業者Ｓ（承認者）および変更内容確認者Ｃ（要求者）のそれぞれの作業（変更要求装置１００および変更確認装置２００に対する操作）も併せて示している。

上述したように、遠隔サービスシステム４では、発電プラントにおいて設備を実際に稼働させる担当者が変更実施装置２１０を操作することによって利用可否情報のデータを確認しない。このため、遠隔サービスシステム４では、変更実施装置２１０が、プラント制御システム３２０との間のデータのやり取りを自動で行う。ただし、ブロックチェーン２０と変更実施装置２１０との間のデータのやり取りに高いセキュリティレベルを確保するため、変更実施装置２１０は、署名を確認する処理や署名を付加する処理などを自動で行ってもよい。より具体的には、変更実施装置２１０が、ブロックチェーン２０から取得した利用可否情報のデータに付加された署名を確認する処理と、ブロックチェーン２０に登録するプラント制御システム３２０から伝送された適用結果に署名を付加する処理とのそれぞれの処理を自動で行ってもよい。しかし、以下の説明においては、説明を容易にするため、変更実施装置２１０による署名の確認および付加のそれぞれの処理に関する詳細な説明は省略して説明する。

まず、変更内容確認者Ｃは、変更確認装置２００を操作して、プラント制御システム３２０が実行する付加機能のサービスを利用するための要求を、変更確認装置２００に入力し、署名を付加する。その後、変更内容確認者Ｃは、変更確認装置２００を操作して、サービスの利用の要求（要求情報）と変更内容確認者Ｃ（要求者）の署名（以下、要求者署名という）とのブロックチェーン２０への登録を指示する（ステップＳ５０１）。

これにより、変更確認装置２００は、変更内容確認者Ｃが入力したサービス利用の要求情報と変更内容確認者Ｃが付加した署名とを紐付けた「要求情報＋要求者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ５０２）。このとき、変更確認装置２００は、要求者署名を、予め定められた変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「要求情報＋要求者署名」のデータをブロックチェーン２０に登録する。なお、変更確認装置２００がブロックチェーン２０に登録した「要求情報＋要求者署名」のデータは、変更内容確認者Ｃによるサービスの利用要求の履歴として管理される。

続いて、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更確認装置２００によって「要求情報＋要求者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、変更内容確認者Ｃからサービス利用の要求がされているか否かを確認する。そして、変更確認装置２００によって「要求情報＋要求者署名」のデータがブロックチェーン２０に登録されている場合、サービス事業者Ｓは、変更要求装置１００を操作して、ブロックチェーン２０に登録されている「要求情報＋要求者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ５０３）。

なお、ブロックチェーン２０は、変更確認装置２００によって「要求情報＋要求者署名」のデータが登録されたことを変更要求装置１００に通知する構成であってもよい。この場合、サービス事業者Ｓは、ブロックチェーン２０から通知があった場合に、変更要求装置１００を操作して、変更内容確認者Ｃがブロックチェーン２０に登録した「要求情報＋要求者署名」のデータを取得するようにしてもよい。

これにより、変更要求装置１００は、取得した「要求情報＋要求者署名」のデータに含まれるサービス利用の要求情報と要求者署名とを、サービス事業者Ｓに提示する。このとき、変更要求装置１００は、取得した「要求情報＋要求者署名」のデータに含まれる要求者署名を、予め入手された変更内容確認者Ｃの鍵（公開鍵、秘密鍵、共通鍵など）を用いて復号化して要求者署名を確認し、その確認結果を含めて、要求情報と要求者署名とを、サービス事業者Ｓに提示する。サービス事業者Ｓは、変更要求装置１００に提示された要求情報と要求者署名とを確認する（ステップＳ５０４）。

そして、サービス事業者Ｓは、提示された要求者署名が正しく、提示された要求情報によって要求されたサービスが提供可能である場合、変更要求装置１００を操作して、ブロックチェーン２０に登録されている、変更内容確認者Ｃからのサービス利用料の支払い状況の情報（データ）の履歴を、ブロックチェーン２０から取得する（ステップＳ５０５）。つまり、変更要求装置１００に提示された要求者署名が、サービスを利用することができる遠隔サービスシステム４の正式な利用者の署名であり、要求情報に示されているサービスが提供することができるプラント制御システム３２０の付加機能のサービスである場合、サービス事業者Ｓは、変更内容確認者Ｃが属している発電プラント側からのサービス利用料の支払い状況の履歴を、ブロックチェーン２０から取得する。

これにより、変更要求装置１００は、取得したサービス利用料の支払い状況の履歴を、サービス事業者Ｓに提示する。サービス事業者Ｓは、変更要求装置１００に提示されたサービス利用料の支払い状況の履歴を確認する。そして、サービス事業者Ｓは、確認したサービス利用料の支払い状況の履歴に基づいて、変更内容確認者Ｃからのサービス利用の要求を許可するか否か、つまり、要求されたサービスの利用可否を決定する（ステップＳ５０６）。

そして、サービス事業者Ｓは、変更要求装置１００を操作して、プラント制御システム３２０が実行する付加機能のサービスの利用可否を表す結果を、変更要求装置１００に入力し、署名を付加する。その後、サービス事業者Ｓは、変更要求装置１００を操作して、サービスの利用可否の結果を表す利用可否情報とサービス事業者Ｓ（承認者）の署名（以下、承認者署名という）とのブロックチェーン２０への登録を指示する（ステップＳ５０７）。

これにより、変更要求装置１００は、サービス事業者Ｓが入力したサービスの利用可否情報と承認者署名とを紐付けた「利用可否情報＋承認者署名」のデータを、ブロックチェーン２０に登録する（ステップＳ５０８）。このとき、変更要求装置１００は、承認者署名を、予め定められたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「利用可否情報＋承認者署名」のデータをブロックチェーン２０に登録する。なお、変更要求装置１００がブロックチェーン２０に登録した「利用可否情報＋承認者署名」のデータは、変更内容確認者Ｃからのサービスの利用要求に対してサービス事業者Ｓが決定した利用可否の履歴として管理される。

なお、ブロックチェーン２０は、変更要求装置１００によって「利用可否情報＋承認者署名」のデータが登録されたことを変更確認装置２００に通知する構成であってもよい。この場合、変更内容確認者Ｃは、ブロックチェーン２０から通知があった場合に、変更確認装置２００を操作して、サービス事業者Ｓがブロックチェーン２０に登録した「利用可否情報＋承認者署名」のデータ、つまり、要求したサービスの利用可否の結果を確認することができる。そして、変更内容確認者Ｃは、サービス事業者Ｓによるサービスの利用可否の結果が、例えば、利用不可である（否認された）場合に、その理由（例えば、サービスの利用期間の終了や、サービス利用料の不払いや支払いの遅延など）の問い合わせをサービス事業者Ｓ（サービス事業者側）に対して行うことができる。

続いて、変更実施装置２１０は、変更要求装置１００によって「利用可否情報＋承認者署名」のデータがブロックチェーン２０に登録されているか否か、つまり、サービス事業者Ｓからサービスの実行（継続も含む）または停止の指示がなされているか否かを定期的に確認する。そして、変更要求装置１００によって「利用可否情報＋承認者署名」のデータがブロックチェーン２０に登録されている場合、変更実施装置２１０は、ブロックチェーン２０に登録されている「利用可否情報＋承認者署名」のデータを、ブロックチェーン２０から取得する（ステップＳ５０９）。

なお、ブロックチェーン２０が「利用可否情報＋承認者署名」のデータが登録されたことを変更実施装置２１０に通知する構成である場合、変更実施装置２１０は、ブロックチェーン２０からの通知に応じて、ブロックチェーン２０に登録されている「利用可否情報＋承認者署名」のデータを取得するようにしてもよい。

そして、変更実施装置２１０は、取得した「利用可否情報＋承認者署名」のデータに含まれる利用可否情報を、直接通信回線を介してプラント制御システム３２０に伝送する（ステップＳ５１０）。

なお、変更実施装置２１０は、取得した「利用可否情報＋承認者署名」のデータに含まれる承認者署名を自動で確認し、確認した承認者署名が正しい場合に、取得した利用可否情報をプラント制御システム３２０に伝送してもよい。このとき、変更実施装置２１０は、取得した「利用可否情報＋承認者署名」のデータに含まれる承認者署名を、予め入手されたサービス事業者Ｓの鍵（公開鍵、秘密鍵、共通鍵など）を用いて自動で復号化して承認者署名を確認する。

これにより、プラント制御システム３２０は、変更実施装置２１０から直接通信回線を介して伝送されてきた利用可否情報のデータを受け取ると、受け取った利用可否情報のデータに含まれるサービスの実行または停止の指示を、付加機能の実行に適用する（ステップＳ５１１）。より具体的には、プラント制御システム３２０は、利用可否情報のデータに含まれる指示が、付加機能の実行を表している場合には、付加機能を実行（継続も含む）し、付加機能の実行停止を表している場合には、付加機能の実行を停止する。このようにして、遠隔サービスシステム４では、プラント制御システム３２０の付加機能によって提供するサービスの実行が、サービス事業者Ｓによって制御される。

そして、プラント制御システム３２０は、利用可否情報のデータに含まれる指示を適用したことによる付加機能の実行状態を表す適用結果のデータを、直接通信回線を介して変更実施装置２１０に伝送する（ステップＳ５１２）。なお、プラント制御システム３２０は、利用可否情報のデータに含まれる指示が、付加機能の実行を表している場合には、実行した付加機能による結果のデータを、適用結果のデータに含めて変更実施装置２１０に伝送してもよい。また、プラント制御システム３２０は、変更実施装置２１０に伝送する適用結果のデータに、プラント制御システム３２０署名（プラント署名）を自動で付加して、変更実施装置２１０に伝送してもよい。

続いて、変更実施装置２１０は、プラント制御システム３２０から伝送されてきた適用結果のデータを受け取ると、受け取った適用結果のデータをブロックチェーン２０に登録する（ステップＳ５１３）。このとき、変更実施装置２１０は、ブロックチェーン２０に登録する適用結果のデータに、変更実施装置２１０を表す署名を自動で追加し、予め定められた変更実施装置２１０の鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「適用結果＋署名」のデータをブロックチェーン２０に登録してもよい。

これにより、サービス事業者Ｓは、変更要求装置１００を定期的に操作して、変更実施装置２１０によって適用結果のデータがブロックチェーン２０に登録されているか否かを確認し、登録されている適用結果のデータから、プラント制御システム３２０における付加機能の実行状態を確認することができる。また、変更内容確認者Ｃも、変更確認装置２００を定期的に操作して、変更実施装置２１０によって適用結果のデータがブロックチェーン２０に登録されているか否かを確認することによって、要求した付加機能のサービスの実行結果のデータを確認することができる。

なお、ブロックチェーン２０は、変更実施装置２１０によって適用結果のデータが登録されたことを変更要求装置１００や変更確認装置２００に通知する構成であってもよい。

このような構成、処理、および作業の流れ（処理シーケンス）によって、遠隔サービスシステム４では、サービス事業者Ｓ（承認者）が、サービスの実行または停止を指示するための利用可否情報をブロックチェーン２０に登録することによって、プラント制御システム３２０の付加機能の実行を制御する。これにより、遠隔サービスシステム４では、承認者がブロックチェーン２０に登録した利用可否情報のデータがプラント制御システム３２０に直接伝送され、プラント制御システム３２０は、伝送された利用可否情報のデータに含まれる指示を適用し、付加機能を実行または停止する。つまり、遠隔サービスシステム４では、承認者が、要求者からのサービス利用料の支払い状況の履歴に基づいて、提供しているサービスの利用許可や利用停止を単独で制御することができる。

しかも、遠隔サービスシステム４では、データの改ざんを困難にするデータ管理方法が採用され、登録された支払いデータの履歴を時系列で管理している状態であるため、承認者が提供しているサービスの利用許可や利用停止を制御した明確な理由を要求者に提示することができる。例えば、遠隔サービスシステム４では、提供しているサービスの利用停止を指示した場合でも、高いセキュリティレベルで管理された支払いデータの履歴に基づいて決定した適用結果によるものであることを要求者に提示することができる。つまり、遠隔サービスシステム４では、承認者と要求者との双方に疑義が生じない決定結果であることを証明することができる。

なお、図９に示した処理シーケンスでは、要求者から出されたサービスの利用要求に対して、承認者がサービスの利用許可や利用停止を決定する場合を説明した。しかし、遠隔サービスシステム４では、例えば、提供しているサービスの利用期間の終了や、サービス利用料の不払いや支払いの遅延などが確認された場合には、要求者からサービスの利用要求が出されているか否かに関わらず、サービスの利用を停止させる必要がある。これは、提供しているサービスの利用期間の終了や、サービス利用料の不払いや支払いの遅延などが確認された場合には、速やかにプラント制御システム３２０による付加機能の実行を停止するためである。従って、この場合の処理シーケンスでは、図９における変更確認装置２００の処理や変更内容確認者Ｃによる変更確認装置２００の操作が関係しなくなる。より具体的には、遠隔サービスシステム４において、図９に示したシーケンス図におけるステップＳ５０４以降の処理を行うことになる。この場合の処理シーケンスの詳細な説明は省略する。

なお、遠隔サービスシステム４では、プラント制御システム３２０の付加機能によって提供するサービスの利用許可や利用停止を制御する場合について説明した。しかし、遠隔サービスシステム４における制御は、提供するサービスの利用許可や利用停止に限定されるものではない。例えば、プラント制御システム３２０が実行する付加機能におけるパラメータ値の変更、設定変更などや初期化なども、同様の考え方に基づいて、サービス事業者側が単独で制御することができる。この場合におけるパラメータ値の変更、設定変更などや初期化の可否は、例えば、正しく採用することができるパラメータ値であるか否かによって判定することになる。また、プラント制御システム３２０が実行する付加機能の高性能化（プログラムのアップグレード）や標準性能化（プログラムのデグレード）などのプログラムの更新も、同様の考え方に基づいて、サービス事業者側が単独で制御することができる。この場合におけるプログラムの更新の可否は、例えば、プログラムの上書きができるか否かによって判定することになる。

また、遠隔サービスシステム４では、データの改ざんを困難にするデータ管理方法としてブロックチェーン２０が採用された構成について説明した。このため、サービス事業者側とプラント側とで予め定められた規定に従った処理を実行するプログラム（スマートコントラクトコード）をブロックチェーンに登録しておくことによって、サービス事業者Ｓ（承認者）による処理や作業を自動で行う構成にすることもできる。つまり、遠隔サービスシステム４におけるサービスの提供に関する決定や対応を、スマートコントラクトコードのプログラムによって自動で行う構成にすることもできる。このスマートコントラクトコードのプログラムは、サービス事業者側やプラント側が単独で変更する（第三者による利用者へのなりすましや改ざんも含む）ことができないプログラムであるため、このプログラムによる決定や対応は、サービス事業者側およびプラント側の双方により疑義が生じない結果となる。

例えば、スマートコントラクトコードのプログラムとして、サービスの利用期間が終了したり、プラント側からサービス事業者側へのサービス利用料の不払いや支払いの遅延などが発生したりした場合には、提供しているサービスの利用停止をすることを規定したプログラムをブロックチェーンに登録しておくことが考えられる。この場合、スマートコントラクトコードのプログラムによる決定や対応の結果が、例えサービス利用料の不払いが発生したことによるサービスの停止という結果であっても、サービス事業者側とプラント側とで予め定められた規定に従った正しい決定や対応の結果であるということができる。そして、上述したように、プラント側（変更内容確認者Ｃ）からのサービスの利用要求や、プラント側からのサービスの利用要求に対してサービス事業者側（サービス事業者Ｓ）が決定したサービスの利用可否の結果がブロックチェーンに登録され、履歴として管理されている。これにより、スマートコントラクトコードのプログラムによってサービス事業者側が提供しているサービスの利用停止をした明確な理由を、サービス事業者側とプラント側とで互いに確認することができる。

なお、スマートコントラクトコードのプログラムを採用した場合の構成および処理に関する詳細な説明は省略する。

なお、遠隔サービスシステム４では、プラント制御システム３２０が実行する付加機能のサービスが１つである場合について説明した。しかし、発電プラントにおいてプラント制御システム３２０は、発電プラント内に配置された複数の設備を制御することもある。このため、遠隔サービスシステム４では、プラント制御システム３２０が実行する付加機能もそれぞれの設備に対応した付加機能や、それぞれの設備ごとに異なる付加機能がある場合も考えられる。この場合、遠隔サービスシステム４においては、それぞれの設備に対応する付加機能ごとに、提供するサービスの利用許可や利用停止の制御をすることが必要になる。

（第５の実施形態）
ここで、遠隔サービスシステム４において、プラント制御システム３２０が実行するそれぞれの設備に対応した付加機能ごとに、提供するサービスの利用許可や利用停止の制御をする場合を、第５の実施形態として説明する。なお、以下の説明においては、プラント制御システム３２０が実行するそれぞれの設備に対応した付加機能ごとに提供するサービスの利用許可や利用停止の制御をする構成の遠隔サービスシステムを、「遠隔サービスシステム５」として説明する。

図１０は、第５の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム５は、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれを含んで構成される。遠隔サービスシステム５では、変更要求装置１００と、変更確認装置２００と、変更実施装置２１０とのそれぞれが、ブロックチェーン２０に接続されている。なお、図１０では、図８と同様に、発電プラントにおいて設備の実際の稼働に関わる変更実施者Ｉ、プラントネットワーク装置３００、およびデータダイオード３３０を省略している。

遠隔サービスシステム５は、図８に示したプラント制御システム３２０が、複数の設備を制御する制御機器であることが異なる。より具体的には、遠隔サービスシステム５におけるプラント制御システム３２０が、設備３２０ａ～設備３２０ｃの３つの設備のそれぞれに対応する付加機能を実行することが、遠隔サービスシステム４におけるプラント制御システム３２０と異なる。このため、プラント制御システム３２０が制御する３つの設備（設備３２０ａ～設備３２０ｃ）ごとに、実行する付加機能のサービスに対して利用許可や利用停止の制御をする。しかし、遠隔サービスシステム５におけるその他の構成は、遠隔サービスシステム４の構成と同様である。従って、以下の説明においては、遠隔サービスシステム４と同様の構成および動作に関する詳細な説明は省略し、遠隔サービスシステム５においてプラント制御システム３２０が実行するそれぞれの設備ごとの付加機能、つまり、それぞれの設備に対応するサービスの利用許可および利用停止を制御する構成および動作に重点をおいて説明する。

遠隔サービスシステム５では、プラント制御システム３２０が制御するそれぞれの設備に対応する付加機能を区別するため、変更要求装置１００とプラント制御システム３２０が制御するそれぞれの設備との間で予め定められた公開鍵と秘密鍵とを用いて、それぞれの設備に対応する付加機能の実行を制御する。つまり、遠隔サービスシステム５では、利用可否情報を対応する設備の公開鍵を用いて符号化して伝送し、伝送された利用可否情報を対応する設備の秘密鍵を用いて復号化してから、それぞれの設備に対応する付加機能を実行する。図１０には、設備３２０ａに対応する公開鍵５１ａおよび秘密鍵５２ａと、設備３２０ｂに対応する公開鍵５１ｂおよび秘密鍵５２ｂと、設備３２０ｃに対応する公開鍵５１ｃおよび秘密鍵５２ｃとのそれぞれを示している。

これにより、遠隔サービスシステム５では、それぞれの設備ごとに、対応する利用可否情報のみが適用され、付加機能が実行される。例えば、設備３２０ｂのみに利用可否情報を適用する場合を考える。この場合、変更要求装置１００は、公開鍵５１ｂによって符号化した利用可否情報をブロックチェーン２０に登録する。これにより、変更実施装置２１０が設備３２０ａ～設備３２０ｃを区別せずに利用可否情報を伝送した場合でも、秘密鍵５２ｂによって利用可否情報を復号化することができる設備３２０ｂのみに利用可否情報が適用される。言い換えれば、変更実施装置２１０が伝送した設備３２０ｂに対応する利用可否情報は、秘密鍵５２ａや秘密鍵５２ｃによって復号化することができないため、設備３２０ａや設備３２０ｃに適用されることがない。

また、例えば、遠隔サービスシステム５において設備３２０ａ～設備３２０ｃのそれぞれに異なる利用可否情報を適用する場合を考える。この場合、変更要求装置１００は、公開鍵５１ａによって符号化した設備３２０ａに対応する利用可否情報と、公開鍵５１ｂによって符号化した設備３２０ｂに対応する利用可否情報と、公開鍵５１ｃによって符号化した設備３２０ｃに対応する利用可否情報とのそれぞれをブロックチェーン２０に登録する。これにより、変更実施装置２１０が伝送した利用可否情報の内、秘密鍵５２ａによって復号化することができる設備３２０ａに対応する利用可否情報が設備３２０ａにのみ適用される。また、変更実施装置２１０が伝送した利用可否情報の内、秘密鍵５２ｂによって復号化することができる設備３２０ｂに対応する利用可否情報が設備３２０ｂにのみ適用される。さらに、変更実施装置２１０が伝送した利用可否情報の内、秘密鍵５２ｃによって復号化することができる設備３２０ｃに対応する利用可否情報が設備３２０ｃにのみ適用される。つまり、変更実施装置２１０が伝送したそれぞれの利用可否情報は、対応する設備のみに適用される。

このように、遠隔サービスシステム５では、それぞれの設備に対応する公開鍵と秘密鍵とを用いることによって、プラント制御システム３２０が制御するそれぞれの設備に正しい利用可否情報が適用される。言い換えれば、例え誤った利用可否情報がプラント制御システム３２０に伝送されてしまった場合でも、誤った利用可否情報が設備に適用されてしまうのを防止することができる。つまり、誤った利用可否情報が設備に適用されてしまうことによる設備の誤動作を防止することができる。このため、変更実施装置２１０は、適用する設備を認識した上で利用可否情報の伝送を行う必要がなく、利用可否情報をプラント制御システム３２０に伝送する際の制御を容易にすることができる。

次に、遠隔サービスシステム５を利用した設備において利用可否情報を伝送する処理および作業について説明する。図１１は、第５の実施形態の遠隔サービスシステム５における処理および作業の流れを示したシーケンス図である。図１１に示した処理シーケンスは、変更内容確認者Ｃ（要求者）から出されたサービスの利用要求に対して、サービス事業者Ｓ（承認者）がサービスの利用を許可する（承認する）か否かを決定する。図１１には、遠隔サービスシステム５を構成する、ブロックチェーン２０と、ブロックチェーン２０に接続された変更要求装置１００、変更確認装置２００、および変更実施装置２１０と、プラント制御システム３２０とのそれぞれにおける処理の流れの一例を示している。なお、サービス事業者Ｓ（承認者）および変更内容確認者Ｃ（要求者）のそれぞれの作業（変更要求装置１００および変更確認装置２００に対する操作）も併せて示している。

遠隔サービスシステム５では、変更要求装置１００が、変更要求装置１００とプラント制御システム３２０が制御するそれぞれの設備との間で予め定められた公開鍵を用いて、利用可否情報を符号化してからブロックチェーン２０に登録する。このため、図１１では、変更要求装置１００が利用可否情報をブロックチェーン２０に登録する際に、対応する公開鍵を用いて利用可否情報を符号化する処理が追加されている。また、図１１では、変更確認装置２００が伝送されてきた利用可否情報を適用する際に、対応する秘密鍵を用いて利用可否情報を復号化する処理が追加されている。なお、遠隔サービスシステム５におけるその他の処理および作業の流れは、遠隔サービスシステム４と同様である。従って、図１１では、遠隔サービスシステム４と同様の処理および作業の流れに同一のステップ番号を付与して説明を簡略化し、異なる作業の流れに重点をおいて説明する。

なお、以下の説明においては、変更内容確認者Ｃが、図１０に示した設備３２０ａ～設備３２０ｃのそれぞれに対応するサービスの利用要求を出したものとして説明する。

ステップＳ５０１～ステップＳ５０２において、変更確認装置２００は、変更内容確認者Ｃが入力したそれぞれの設備に対応するサービスの利用の要求（要求情報）と要求者署名とを紐付けた「要求情報＋要求者署名」のデータを、ブロックチェーン２０に登録する。

その後、ステップＳ５０３～ステップＳ５０６において、変更要求装置１００は、ブロックチェーン２０に登録された「要求情報＋要求者署名」のデータを取得し、さらに、変更内容確認者Ｃからのサービス利用料の支払い状況の情報（データ）の履歴を取得する。そして、サービス事業者Ｓは、変更内容確認者Ｃから要求されたそれぞれの設備に対応するサービスの利用可否を決定し、変更要求装置１００を操作して、決定したそれぞれの設備に対応するサービスの利用可否を表す結果（利用可否情報）を、変更要求装置１００に入力する。

そして、サービス事業者Ｓは、変更要求装置１００を操作して、サービスの利用可否の結果を表す利用可否情報の公開鍵を用いた符号化を指示する（ステップＳ６０１）。より具体的には、サービス事業者Ｓは、設備３２０ａに対応するサービスの利用可否の結果を表す利用可否情報の公開鍵５１ａを用いた符号化を指示する。また、サービス事業者Ｓは、設備３２０ｂに対応するサービスの利用可否の結果を表す利用可否情報の公開鍵５１ｂを用いた符号化を指示する。また、サービス事業者Ｓは、設備３２０ｃに対応するサービスの利用可否の結果を表す利用可否情報の公開鍵５１ｃを用いた符号化を指示する。これにより、変更要求装置１００は、それぞれの利用可否情報を、対応する公開鍵を用いて符号化する。

なお、変更内容確認者Ｃから要求されたそれぞれの設備に対応するサービスの利用可否の結果（それぞれの設備に対応する利用可否情報）は、プラント制御システム３２０が制御する設備ごとに決定した結果であるため、対応する付加機能の実行を指示する同じ指示の内容であるとは限らない。また、いずれかの設備に対応するサービスの利用要求が変更内容確認者Ｃから出されていない場合や、サービス事業者Ｓが決定したサービスの利用可否の結果が以前と同じ結果、つまり、それぞれの設備に対応する付加機能の実行の指示を継続するという結果である場合も考えられる。このため、サービス事業者Ｓは、以前と異なる結果の利用可否情報のみを、変更要求装置１００に入力してもよい。そして、サービス事業者Ｓは、以前と異なる結果の利用可否情報のみを、対応する公開鍵を用いて符号化するように、変更要求装置１００に指示してもよい。

ステップＳ５０７～ステップＳ５０８において、変更要求装置１００は、サービス事業者Ｓが入力したそれぞれの設備に対応する利用可否情報とサービス事業者Ｓ（承認者）の署名とを紐付けた「利用可否情報＋承認者署名」のデータを、ブロックチェーン２０に登録する。

その後、ステップＳ５０９～ステップＳ５１０において、変更実施装置２１０は、ブロックチェーン２０に登録された「利用可否情報＋承認者署名」のデータを取得し、取得した「利用可否情報＋承認者署名」のデータに含まれるそれぞれの利用可否情報を、直接通信回線を介してプラント制御システム３２０に伝送する。

これにより、プラント制御システム３２０は、変更実施装置２１０から直接通信回線を介して伝送されてきたそれぞれの利用可否情報のデータを受け取ると、受け取ったそれぞれの利用可否情報を、対応する秘密鍵を用いて復号化する（ステップＳ６０２）。

なお、変更実施装置２１０から伝送されてきた利用可否情報は、プラント制御システム３２０が制御する全ての設備に対応する利用可否情報が含まれているとは限らない。そして、変更実施装置２１０から伝送されてきた利用可否情報は、それぞれの利用可否情報がいずれの設備に対応する利用可否情報であるかが区別されていないことも考えられる。この場合、プラント制御システム３２０は、それぞれの利用可否情報を、制御する設備に対応するそれぞれの秘密鍵で復号化する。そして、プラント制御システム３２０は、利用可否情報を復号化することができた場合、この利用可否情報が復号化に用いた秘密鍵に対応する設備の利用可否情報であると認識する。

そして、ステップＳ５１１～ステップＳ５１２において、プラント制御システム３２０は、復号化したそれぞれの利用可否情報のデータに含まれるサービス事業者Ｓからの指示を対応するそれぞれの設備に適用し、それぞれの利用可否情報を適用した適用結果のデータを、直接通信回線を介して変更実施装置２１０に伝送する。このようにして、遠隔サービスシステム５では、プラント制御システム３２０が制御するそれぞれの設備によって提供するサービスの実行が、サービス事業者Ｓによって制御される。

続いて、ステップＳ５１３において、変更実施装置２１０は、プラント制御システム３２０から伝送されてきた適用結果のデータをブロックチェーン２０に登録する。これにより、サービス事業者Ｓは、変更実施装置２１０によってブロックチェーン２０に登録された適用結果のデータを確認し、プラント制御システム３２０が制御するそれぞれの設備におけるサービスの実行状態を確認することができる。また、変更内容確認者Ｃは、変更実施装置２１０によってブロックチェーン２０に登録された適用結果のデータを確認し、要求したそれぞれの設備に対応するサービスの実行結果のデータを確認することができる。

このような構成、処理、および作業の流れによって、遠隔サービスシステム５では、プラント制御システム３２０が複数の設備を制御する構成である場合、サービス事業者Ｓ（承認者）がそれぞれの設備におけるサービスの実行または停止を指示するための利用可否情報を、対応する設備の公開鍵を用いて符号化してブロックチェーン２０に登録する。そして、プラント制御システム３２０が、伝送された利用可否情報を、対応する設備の秘密鍵を用いて復号化してから、それぞれの設備に対応する付加機能のサービスを実行する。つまり、それぞれの設備に対応する公開鍵と秘密鍵とを用いることによって、プラント制御システム３２０が制御するそれぞれの設備に誤った利用可否情報が適用されてしまうのを防止することができる。これにより、遠隔サービスシステム４と同様の効果を得ることができる。

しかも、遠隔サービスシステム５でも、データの改ざんを困難にするデータ管理方法が採用されているため、サービス事業者Ｓ（承認者）と変更内容確認者Ｃ（要求者）との双方に疑義が生じずに、サービス事業者Ｓ（承認者）が提供しているサービスの利用許可や利用停止を制御することができる。

なお、図１１に示した処理シーケンスでも、変更内容確認者Ｃ（要求者）から出されたサービスの利用要求に対して、サービス事業者Ｓ（承認者）がサービスの利用許可や利用停止を決定する場合を説明した。しかし、遠隔サービスシステム５でも、例えば、提供しているサービスの利用期間の終了や、サービス利用料の不払いや支払いの遅延などが確認された場合には、変更内容確認者Ｃ（要求者）からサービスの利用要求が出されているか否かに関わらずに、サービスの利用を停止させることができる。この場合の処理シーケンスについては、詳細な説明は省略する。

また、遠隔サービスシステム５でも、プラント制御システム３２０が制御するそれぞれの設備に対応して実行する付加機能におけるパラメータ値の変更、設定変更などや初期化、プログラムの更新なども、同様の考え方に基づいて、サービス事業者側が単独で制御することができる。

また、遠隔サービスシステム５でも、サービス事業者側とプラント側とで予め定められた規定に従った処理を実行するプログラム（スマートコントラクトコード）をブロックチェーンに登録しておくことによって、サービス事業者Ｓ（承認者）による処理や作業を自動で行う構成にすることもできる。この場合、対応する設備の公開鍵を用いた利用可否情報の符号化も、例えば、符号化処理プログラムなど、ブロックチェーンに登録されたスマートコントラクトコードのプログラムによって自動で行う構成にすることもできる。これにより、サービス事業者Ｓが利用可否情報を符号化させる指示を誤ってしまったり、第三者による利用者へのなりすましや改ざんによって利用可否情報が誤った符号化をされてしまったりすることを防止することができる。なお、遠隔サービスシステム５においてスマートコントラクトコードのプログラム（符号化処理プログラム）を採用した場合の構成および処理に関する詳細な説明は省略するが、以下に処理の概要を説明する。

なお、以下の説明においては、図１１と同様に、変更内容確認者Ｃが、図１０に示した設備３２０ａに対応するサービスの利用要求を出したものとして説明する。

まず、変更確認装置２００は、変更内容確認者Ｃが入力した設備３２０ａに対応するサービスの利用の要求（要求情報）と要求者署名とを紐付けた「要求情報＋要求者署名」のデータを、ブロックチェーン２０に登録する。このとき、変更確認装置２００は、要求情報を符号化せずにブロックチェーン２０に登録する。これは、サービス事業者Ｓ、つまり、変更要求装置１００やブロックチェーン２０は、設備３２０ａに対応する秘密鍵５２ａを持っていないため、要求情報が符号化されてブロックチェーン２０に登録されてしまうと、サービス事業者Ｓが要求情報を復号化することができず、要求情報の内容を確認することができないからである。

その後、サービス事業者Ｓは、変更要求装置１００を操作して要求情報の内容を確認し、設備３２０ａに対応する利用可否情報とサービス事業者Ｓ（承認者）の署名とを紐付けた「利用可否情報＋承認者署名」のデータ、および符号化処理プログラムを指定する情報をブロックチェーン２０に送信する。このとき、サービス事業者Ｓは、「設備３２０ａ」であることを引数として符号化処理プログラムに与える。これにより、ブロックチェーン２０は、符号化処理プログラムによって、受信した「利用可否情報」のデータを、設備３２０ａの公開鍵５１ａを用いて自動的に符号化し、ブロックチェーン２０に登録する。なお、ブロックチェーン２０では、署名確認処理プログラムが、それぞれのデータサーバ装置が確認した承認者署名が、例えば、過半数以上のデータサーバ装置で正しい承認者署名であると確認できた場合に、符号化処理プログラムが、受信した「利用可否情報」のデータを、設備３２０ａの公開鍵５１ａを用いて符号化して登録する。

つまり、遠隔サービスシステム５において符号化処理プログラムをスマートコントラクトコードのプログラムとしてブロックチェーン２０に登録している場合には、符号化処理プログラムが、利用可否情報がサービス事業者Ｓによって承認された後に、対応する設備の公開鍵を用いて符号化してから、利用可否情報をブロックチェーン２０に登録する。言い換えれば、遠隔サービスシステム５において符号化処理プログラムをスマートコントラクトコードのプログラムとしてブロックチェーン２０に登録している場合には、符号化処理プログラムが、最終的に変更実施装置２１０が利用可否情報をプラント制御システム３２０に伝送する前に、利用可否情報を対応する設備の公開鍵を用いて符号化してブロックチェーン２０に登録する。

その後、変更実施装置２１０は、ブロックチェーン２０に登録されている符号化された後の利用可否情報を、そのままプラント制御システム３２０に伝送する。つまり、変更実施装置２１０は、サービス事業者Ｓの署名（承認者署名）の確認などを行わずに、ブロックチェーン２０に登録されている符号化された後の利用可否情報をプラント制御システム３２０に伝送する。

このように、遠隔サービスシステム５において符号化処理プログラムをブロックチェーン２０に登録している場合には、サービス事業者Ｓ、つまり、変更要求装置１００が、制御する対象の設備を表す引数を符号化処理プログラムに与えることによって、自動的に利用可否情報を符号化してブロックチェーン２０に登録することができる。これにより、遠隔サービスシステム５において符号化処理プログラムをブロックチェーン２０に登録している場合でも、サービス事業者Ｓ（承認者）がそれぞれの設備におけるサービスの実行または停止を指示するための利用可否情報を、対応する設備の公開鍵を用いて符号化してから、プラント制御システム３２０に伝送することができる。そして、プラント制御システム３２０は、伝送された利用可否情報を、対応する設備の秘密鍵を用いて復号化してから、それぞれの設備に対応する付加機能のサービスを実行する。これにより、遠隔サービスシステム５において符号化処理プログラムをブロックチェーン２０に登録している場合でも、プラント制御システム３２０が制御するそれぞれの設備に誤った利用可否情報が適用されてしまうのを防止することができる。

なお、上述した説明でも、変更内容確認者Ｃ（要求者）から出されたサービスの利用要求に対して、サービス事業者Ｓ（承認者）がサービスの利用許可や利用停止を決定する場合を説明した。しかし、遠隔サービスシステム５において符号化処理プログラムをブロックチェーン２０に登録している場合でも、プラント制御システム３２０が制御するそれぞれの設備に対応して実行する付加機能におけるパラメータ値の変更、設定変更などや初期化、プログラムの更新なども、同様の考え方に基づいて、サービス事業者側が単独で制御することができる。

なお、遠隔サービスシステム５では、利用可否情報の符号化に用いる公開鍵は、ブロックチェーン２０に登録することができるため、高いセキュリティレベルで、第三者による利用者へのなりすましや改ざんを防止することができる。しかしながら、プラント制御システム３２０が利用可否情報の復号化に用いる秘密鍵は、ブロックチェーン２０に登録されていないため、第三者による利用者へのなりすましや改ざんがされてしまうことも考えられる。そして、プラント制御システム３２０が利用可否情報の復号化に用いる秘密鍵が改ざんによって変更されてしまった場合には、サービス事業者Ｓによるサービスの実行または停止の指示が正しくプラント制御システム３２０に適用されないことになってしまう。このため、プラント制御システム３２０が利用可否情報の復号化に用いる秘密鍵と、利用可否情報の符号化に用いる公開鍵とが一致しているか否かを確認する仕組みを備えていることが望ましいと考えられる。言い換えれば、秘密鍵の改ざんの有無を検出することができる仕組みを備えていることが望ましいと考えられる。

（第６の実施形態）
ここで、遠隔サービスシステム５において、プラント制御システム３２０が利用可否情報の復号化に用いる秘密鍵の改ざんの有無を検出する仕組みを、第６の実施形態として説明する。なお、以下の説明においては、プラント制御システム３２０の秘密鍵の改ざんの有無を検出する、つまり、公開鍵と秘密鍵とが一致しているか否かを確認することができる仕組みを備えた遠隔サービスシステムを、「遠隔サービスシステム６」として説明する。

遠隔サービスシステム６は、プラント制御システム３２０が制御するそれぞれの設備に対応する秘密鍵と公開鍵との一致を確認するための処理を実行するプログラム（以下、秘密鍵確認処理プログラムという）が、予めブロックチェーン２０に登録されている。そして、遠隔サービスシステム６は、予め定められた時間間隔ごとに、ブロックチェーン２０に登録されている秘密鍵確認処理プログラムを自動的に実行することによって、公開鍵と秘密鍵とが一致しているか否かを定期的に検出する。このため、公開鍵と秘密鍵とが一致しているか否かを確認する処理において、変更要求装置１００や変更確認装置２００による処理、つまり、サービス事業者Ｓや変更内容確認者Ｃによる操作を必要としない。

図１２は、第６の実施形態における遠隔サービスシステムの概略構成を示したブロック図である。遠隔サービスシステム６は、秘密鍵確認処理プログラムが登録されたブロックチェーン２０によって構成される。図１２には、ブロックチェーン２０に、秘密鍵確認処理プログラム２０ｄが登録されている状態を示している。また、ブロックチェーン２０には、プラント制御システム３２０との間でデータの伝送をするための変更実施装置２１０が接続されている。図１２に示したブロック図は、公開鍵と秘密鍵との一致を確認する構成である。より具体的には、図１２は、プラント制御システム３２０が制御する設備３２０ａに対応する秘密鍵５２ａの改ざんの有無を検出する場合の構成である。なお、図１２では、図１０から、公開鍵と秘密鍵との一致を確認する処理に関わらない、変更要求装置１００およびサービス事業者Ｓと、変更確認装置２００および変更内容確認者Ｃとを省略している。

なお、図１２に示した遠隔サービスシステム６におけるその他の構成は、遠隔サービスシステム４や遠隔サービスシステム５の構成と同様である。従って、以下の説明においては、遠隔サービスシステム４や遠隔サービスシステム５と同様の構成および動作に関する詳細な説明は省略し、遠隔サービスシステム６において公開鍵と秘密鍵との一致を確認するための構成および動作に重点をおいて説明する。

遠隔サービスシステム６では、上述したように、ブロックチェーン２０に登録された秘密鍵確認処理プログラム２０ｄが予め定められた時間間隔ごとに自動的に実行されることにより、公開鍵と秘密鍵との一致を確認する。秘密鍵確認処理プログラム２０ｄは、スマートコントラクトコードのプログラムである。つまり、秘密鍵確認処理プログラム２０ｄは、プログラムの改ざんを困難にすることができると共に、例えば、第三者によって不正に実行されることがないプログラムである。なお、秘密鍵確認処理プログラムは、遠隔サービスシステム５において説明した、利用可否情報を対応する設備の公開鍵を用いて符号化する符号化処理プログラムの一部の機能であってもよい。また、逆に、秘密鍵確認処理プログラムの一部の機能が、遠隔サービスシステム５において説明した符号化処理プログラムであってもよい。

秘密鍵確認処理プログラム２０ｄは、プラント制御システム３２０が制御するそれぞれの設備との間で予め定められた公開鍵を記憶している。つまり、秘密鍵確認処理プログラム２０ｄは、プラント制御システム３２０が制御するそれぞれの設備に対応する秘密鍵と組になっている公開鍵を記憶している。図１２には、秘密鍵確認処理プログラム２０ｄが、プラント制御システム３２０が制御する設備３２０ａに対応する公開鍵５１ａと、設備３２０ｂに対応する公開鍵５１ｂと、設備３２０ｃに対応する公開鍵５１ｃとのそれぞれを記憶している状態を示している。そして、秘密鍵確認処理プログラム２０ｄは、予め定められた時間間隔ごとに自動的に実行されると、プラント制御システム３２０が持っているそれぞれの設備に対応する秘密鍵と、記憶しているそれぞれの設備に対応する公開鍵との一致を確認する。

秘密鍵確認処理プログラム２０ｄにおける秘密鍵と公開鍵との一致の確認処理では、まず、秘密鍵確認用平文をプラント制御システム３２０に送信する。ここで、秘密鍵確認用平文は、秘密鍵確認処理プログラム２０ｄが作成した文字列（テキスト）である。この秘密鍵確認用平文は、予め定められた文字列であってもよいし、任意（ランダム）の文字列であってもよい。これにより、プラント制御システム３２０は、持っている秘密鍵を用いて、秘密鍵確認処理プログラム２０ｄから送信されてきた秘密鍵確認用平文に署名を追加して秘密鍵確認処理プログラム２０ｄに返信する。そして、秘密鍵確認処理プログラム２０ｄは、記憶している公開鍵を用いて、プラント制御システム３２０から返信された秘密鍵確認用平文に追加された署名を確認する。これにより、秘密鍵確認処理プログラム２０ｄは、プラント制御システム３２０が持っているそれぞれの設備に対応する秘密鍵と、記憶している公開鍵との組が一致しているか否かを判定する。

なお、プラント制御システム３２０は、持っている秘密鍵を用いて秘密鍵確認用平文を符号化し、符号化した秘密鍵確認用平文（以下、秘密鍵確認用符号文という）を秘密鍵確認処理プログラム２０ｄに返信してもよい。つまり、プラント制御システム３２０は、秘密鍵確認処理プログラム２０ｄから送信されてきた秘密鍵確認用平文の文字列と同じ文字列が符号化された秘密鍵確認用符号文を、秘密鍵確認処理プログラム２０ｄに返信してもよい。この場合、秘密鍵確認処理プログラム２０ｄは、記憶している公開鍵を用いて、プラント制御システム３２０から返信されてきた秘密鍵確認用符号文を復号化する。そして、秘密鍵確認処理プログラム２０ｄは、復号化した秘密鍵確認用符号文（以下、秘密鍵確認用復号文という）と、プラント制御システム３２０に送信した秘密鍵確認用平文とを比較することにより、秘密鍵と公開鍵との組が一致しているか否かを判定する。

図１２には、秘密鍵確認処理プログラム２０ｄが秘密鍵確認用平文をプラント制御システム３２０に送信し、プラント制御システム３２０が秘密鍵確認用符号文を秘密鍵確認処理プログラム２０ｄに返信する場合を模式的に示している。なお、秘密鍵確認用平文２１ｄのプラント制御システム３２０への送信、秘密鍵確認用符号文２２ｄの受信およびブロックチェーン２０への登録を、変更実施装置２１０が自動で行う。

次に、遠隔サービスシステム６を利用した設備において公開鍵と秘密鍵との一致を確認する処理について説明する。図１３は、第６の実施形態の遠隔サービスシステム６における処理の流れを示したシーケンス図である。図１３に示した処理シーケンスは、公開鍵と秘密鍵との一致を確認する場合の処理シーケンスである。より具体的には、図１３は、秘密鍵確認処理プログラム２０ｄに記憶している公開鍵５１ａと、プラント制御システム３２０が持っている秘密鍵５２ａとが一致しているか否かを確認する場合の処理シーケンスである。図１３には、遠隔サービスシステム６を構成するブロックチェーン２０と、ブロックチェーン２０に接続された変更実施装置２１０と、プラント制御システム３２０とのそれぞれにおける処理の流れの一例を示している。なお、秘密鍵確認処理プログラム２０ｄの処理を、ブロックチェーン２０の処理として示している。

なお、以下の説明においては、プラント制御システム３２０が制御するそれぞれの設備に対応する公開鍵がすでに秘密鍵確認処理プログラム２０ｄに記憶されているものとして説明する。つまり、秘密鍵確認処理プログラム２０ｄには、設備３２０ａに対応する公開鍵５１ａと、設備３２０ｂに対応する公開鍵５１ｂと、設備３２０ｃに対応する公開鍵５１ｃとのそれぞれの公開鍵がすでに記憶されているものとして説明する。そして、以下の説明においては、プラント制御システム３２０が、秘密鍵確認用平文を符号化した秘密鍵確認用符号文を秘密鍵確認処理プログラム２０ｄに返信する場合の処理シーケンスを説明する。

遠隔サービスシステム６では、予め定められた時間が経過して秘密鍵確認処理プログラム２０ｄが自動的に実行されると、まず、秘密鍵確認処理プログラム２０ｄが、秘密鍵確認用平文２１ｄを作成して一次記憶する（ステップＳ７０１）。なお、秘密鍵確認処理プログラム２０ｄが作成する秘密鍵確認用平文２１ｄには、プラント制御システム３２０が制御するいずれの設備に対する秘密鍵確認用平文２１ｄであることを表す情報も含まれている。従って、ステップＳ７０１で秘密鍵確認処理プログラム２０ｄが作成した秘密鍵確認用平文２１ｄには、設備３２０ａに対する秘密鍵確認用平文２１ｄであることを表す情報が含まれている。

続いて、秘密鍵確認処理プログラム２０ｄは、作成した秘密鍵確認用平文２１ｄのデータを、変更実施装置２１０に出力する（ステップＳ７０２）。これにより、変更実施装置２１０は、秘密鍵確認処理プログラム２０ｄから出力された秘密鍵確認用平文２１ｄのデータを、直接通信回線を介してプラント制御システム３２０に伝送する（ステップＳ７０３）。

そして、プラント制御システム３２０は、変更実施装置２１０から直接通信回線を介して伝送されてきた秘密鍵確認用平文２１ｄのデータを受け取ると、受け取った秘密鍵確認用平文２１ｄに含まれるいずれの設備に対する秘密鍵確認用平文２１ｄであることを表す情報を確認する。その後、プラント制御システム３２０は、受け取った秘密鍵確認用平文２１ｄのデータを、対応する設備の秘密鍵を用いて符号化する（ステップＳ７０４）。より具体的には、プラント制御システム３２０は、受け取った秘密鍵確認用平文２１ｄが、設備３２０ａに対する秘密鍵確認用平文２１ｄであることを確認する。そして、プラント制御システム３２０は、受け取った秘密鍵確認用平文２１ｄのデータを、設備３２０ａに対応する秘密鍵５２ｄを用いて符号化し、秘密鍵確認用符号文２２ｄを作成する。

そして、プラント制御システム３２０は、符号化した秘密鍵確認用平文のデータ、つまり、秘密鍵確認用符号文を、直接通信回線を介して変更実施装置２１０に伝送する（ステップＳ７０５）。より具体的には、プラント制御システム３２０は、作成した秘密鍵確認用符号文２２ｄのデータを、直接通信回線を介して変更実施装置２１０に伝送する。なお、プラント制御システム３２０は、変更実施装置２１０に伝送する秘密鍵確認用符号文２２ｄのデータに、プラント制御システム３２０署名（プラント署名）を自動で付加して、変更実施装置２１０に伝送してもよい。

続いて、変更実施装置２１０は、プラント制御システム３２０から伝送されてきた秘密鍵確認用符号文のデータを受け取ると、受け取った秘密鍵確認用符号文のデータをブロックチェーン２０に登録する（ステップＳ７０６）。これにより、ブロックチェーン２０に秘密鍵確認用符号文２２ｄが登録される。なお、変更実施装置２１０は、ブロックチェーン２０に登録する秘密鍵確認用符号文のデータに、変更実施装置２１０を表す署名を自動で追加し、予め定められた変更実施装置２１０の鍵（公開鍵、秘密鍵、共通鍵など）を用いて符号化してから、「秘密鍵確認用符号文＋署名」のデータをブロックチェーン２０に登録してもよい。

続いて、秘密鍵確認処理プログラム２０ｄは、ブロックチェーン２０にプラント制御システム３２０から伝送されてきた秘密鍵確認用符号文のデータが登録されると、登録された秘密鍵確認用符号文のデータを、対応する設備の公開鍵を用いて復号化する（ステップＳ７０７）。より具体的には、秘密鍵確認処理プログラム２０ｄは、ステップＳ７０１において、設備３２０ａに対する秘密鍵確認用平文２１ｄを作成している。このため、秘密鍵確認処理プログラム２０ｄは、ブロックチェーン２０に登録された秘密鍵確認用符号文２２ｄのデータを、設備３２０ａに対応する公開鍵５１ａを用いて復号化し、秘密鍵確認用復号文を作成する。

そして、秘密鍵確認処理プログラム２０ｄは、作成した秘密鍵確認用復号文に基づいて、プラント制御システム３２０が持っている設備３２０ａに対応する秘密鍵５２ａと、記憶している公開鍵５１ａとの一致を確認する（ステップＳ７０８）。より具体的には、秘密鍵確認処理プログラム２０ｄは、作成した秘密鍵確認用復号文の文字列と、送信した秘密鍵確認用平文の文字列とを比較し、それぞれの文字列が一致しているか否かを確認する。なお、秘密鍵確認処理プログラム２０ｄは、秘密鍵確認用復号文の文字列と秘密鍵確認用平文の文字列とが一致している場合には、秘密鍵５２ａは改ざんされていないと判定することができる。一方、秘密鍵確認処理プログラム２０ｄは、秘密鍵確認用復号文の文字列と秘密鍵確認用平文の文字列とが一致していない場合には、秘密鍵５２ａが改ざんされていると判定することができる。

なお、秘密鍵確認処理プログラム２０ｄは、プラント制御システム３２０が制御するそれぞれの設備ごとに、上述したステップＳ７０１～ステップＳ７０８の処理を順次実行する。これにより、プラント制御システム３２０が制御する全ての設備に対応する秘密鍵と、記憶している公開鍵との一致を確認する。これにより、プラント制御システム３２０が制御するそれぞれの設備ごとに、秘密鍵の改ざんの有無を確認（判定）することができる。

このような構成、処理、および作業の流れによって、遠隔サービスシステム６では、プラント制御システム３２０が制御するそれぞれの設備に対応する秘密鍵と公開鍵との一致を確認するための処理を実行するスマートコントラクトコードのプログラムである秘密鍵確認処理プログラム２０ｄをブロックチェーン２０に登録する。そして、予め定めた時間間隔ごとに、秘密鍵確認処理プログラム２０ｄを自動的に実行することによって、公開鍵と秘密鍵とが一致しているか否かを定期的に確認する。これにより、例えば、プラント制御システム３２０が制御するそれぞれの設備に対応するサービスの利用許可および利用停止を制御するための利用可否情報が対象の設備に正しく適用されないなど、公開鍵と秘密鍵との不一致によって発生することが考えられる不具合を防止することができる。また、秘密鍵確認処理プログラム２０ｄによって定期的に公開鍵と秘密鍵との一致を確認することにより、プラント制御システム３２０が持っている秘密鍵の改ざんの有無を定期的に検出することができる。これにより、高いセキュリティレベルで、第三者による秘密鍵の改ざん（秘密鍵の差し替えも含む）を防止することができる。

なお、秘密鍵確認処理プログラム２０ｄによって公開鍵と秘密鍵との一致を定期的に確認する場合について説明した。しかし、遠隔サービスシステム６における公開鍵と秘密鍵との一致の確認は、定期的に行うことに限定されるものではなく、例えば、サービス事業者Ｓが変更要求装置１００を操作して秘密鍵確認処理プログラム２０ｄを実行させることにより、不定期に行ってもよい。これにより、例えば、プラント制御システム３２０が制御するそれぞれの設備に対応するサービスの利用許可および利用停止を制御するための利用可否情報が、対象の設備に対して正しく適用されないなど、公開鍵と秘密鍵との不一致が疑われる場合に、任意のタイミングで秘密鍵の改ざんの有無を検出することができる。

また、遠隔サービスシステム６では、プラント制御システム３２０制御するそれぞれの設備に対して適用する利用可否情報の復号化に用いる秘密鍵に対する改ざんの有無を検出する場合について説明した。しかし、鍵に対する改ざんの有無の検出の考え方は、利用可否情報の復号化に用いる秘密鍵に限定されるものではない。例えば、第１の実施形態～第４の実施形態において説明した遠隔サービスシステムにおいて、それぞれの設備のパラメータ値の変更内容や、設備の設定変更内容などを表す変更情報に署名を付加する場合に用いる秘密鍵に対する改ざんの有無の検出する場合にも、遠隔サービスシステム６と同様の考え方を適用してもよい。

また、遠隔サービスシステム６では、秘密鍵確認処理プログラム２０ｄによって、プラント制御システム３２０が持っている秘密鍵の改ざんの有無を検出する場合について説明した。しかし、プラント制御システム３２０が持っている秘密鍵の信頼性が高い、つまり、秘密鍵が改ざんされていないことが確認されている場合には、秘密鍵確認処理プログラム２０ｄによる公開鍵と秘密鍵との一致の確認の処理を、公開鍵の改ざんの有無を検出するために用いてもよい。なお、公開鍵が改ざんされてしまう可能性がある一例としては、ブロックチェーン２０に登録されている公開鍵の直接の改ざんではなく、公開鍵をブロックチェーン２０の外部に取り出した後の改ざんなどが考えられる。なお、秘密鍵確認処理プログラム２０ｄによる公開鍵と秘密鍵との一致の確認の処理を、それぞれの鍵の改ざんの有無を検出するために用いてもよい。

なお、秘密鍵以外の鍵の改ざんの有無を検出する場合の処理シーケンスは、詳細な説明は省略する。

上記に述べたとおり、第４の実施形態～第６の実施形態によれば、遠隔サービスシステムを提供するサービス事業者側から、付加機能などのサービスの実行または停止を指示するための利用可否情報をブロックチェーンに登録する。そして、第４の実施形態～第６の実施形態では、ブロックチェーンに登録された利用可否情報が、制御対象の構成要素（プラント制御システム３２０）に直接伝送する。これにより、第４の実施形態～第６の実施形態の遠隔サービスシステムを適用したプラントでは、サービスの提供を受けるプラント側の承認を得ることなく、提供するサービスの利用許可や利用停止などを、サービス事業者側が単独で制御することができる。

また、第５の実施形態および第６の実施形態では、サービス事業者が利用可否情報をブロックチェーンに登録する際に、それぞれの設備におけるサービスの実行または停止を指示するための利用可否情報を、対応する設備の公開鍵を用いて符号化してブロックチェーンに登録する。そして、第５の実施形態および第６の実施形態では、制御対象の構成要素に直接伝送された利用可否情報を、対応する秘密鍵を用いて復号化してから、それぞれの構成要素（プラント制御システム３２０が制御するそれぞれの設備）においてサービスを実行する。これにより、第５の実施形態および第６の実施形態の遠隔サービスシステムを適用したプラントでは、サービス事業者がブロックチェーンに登録した利用可否情報が、誤って異なる構成要素に適用されてしまう、つまり、誤った構成要素によってサービスが実行されてしまうのを防止することができる。

また、第６の実施形態では、利用可否情報による制御対象の構成要素（プラント制御システム３２０が制御する設備３２０ａ）に対応する秘密鍵と公開鍵との一致を確認するための処理を実行するスマートコントラクトコードのプログラム（秘密鍵確認処理プログラム２０ｄ）ブロックチェーンに登録する。そして、第６の実施形態では、定期的または不定期にスマートコントラクトコードのプログラムを実行することによって、公開鍵と秘密鍵とが一致しているか否かを確認する。つまり、第６の実施形態では、制御対象の構成要素に対して適用する利用可否情報の復号化に用いる秘密鍵が、その利用可否情報の符号化に用いる公開鍵と一致しているか否かを定期的または不定期に確認する。これにより、第６の実施形態の遠隔サービスシステムを適用したプラントでは、サービス事業者がブロックチェーンに登録した利用可否情報が、公開鍵と秘密鍵との不一致によって正しく適用されないなどの不具合を防止することができる。また、第６の実施形態では、定期的または不定期にスマートコントラクトコードのプログラムによって公開鍵と秘密鍵との一致を確認することにより、それぞれの構成要素が持っている鍵の改ざんの有無を検出することができる。これにより、高いセキュリティレベルで、第三者による鍵の改ざんを防止することができる。

上記に述べたとおり、本発明の各実施形態によれば、遠隔サービスシステムは、それぞれの利用者が、それぞれの段階において、変更情報に署名を連鎖的（時系列）に付加（追加）していくことにより、複数の利用者が順次確認した変更内容を設備に対して適用する。また、本発明の各実施形態では、変更情報や利用可否情報、さらには鍵など、設備の運用（稼働）やサービスを提供するために用いるデータを、様々方法で高いセキュリティレベルに保つ。これにより、本発明の各実施形態の遠隔サービスシステムを適用したプラントでは、遠隔地からプラントの設備の設定条件や提供するサービスを変更する場合においても、それぞれのデータを高いセキュリティレベルに保った状態で、制御対象の設備に正しく適用することができる。

なお、本発明の各実施形態では、それぞれの遠隔サービスシステムが、発電プラントに適用されているものとして説明した。しかし、本発明の遠隔サービスシステムを適用するプラントは、発電プラントに限定されるものではなく、様々なプラントに適用することができる。また、本発明の遠隔サービスシステムの考え方は、プラントへの適用に限定されるものではなく、設備に設定しているパラメータ値の変更や調整、設備の設定変更などを遠隔で変更することができる制御システムであれば、様々な制御システムに適用することができる。例えば、紛争地帯に設置された機器の制御システムや、人が出向いて行きづらい場所（例えば、洋上風車など）に設置された制御システムにおいてパラメータ値を更新する場合においても、本発明の遠隔サービスシステムの考え方を適用することができる。

なお、例えば、遠隔サービスシステム１に備えた変更要求装置１００、変更確認装置２００、変更実施装置２１０など、遠隔サービスシステムの機能を実現するための各構成要素による処理を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、当該記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、本発明の各実施形態の遠隔サービスシステムに係る上述した種々の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現するもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、本発明のいくつかの実施形態を説明したが、本発明はこれら実施形態およびその変形例に限定されることはない。本発明の趣旨を逸脱しない範囲で、構成の付加、省略、置換、およびその他の変更をすることができる。
また、本発明は前述した説明によって限定されることはなく、添付のクレームの範囲によってのみ限定される。

上記各実施形態によれば、遠隔地からプラントの設備の設定条件を変更する場合に、設定データのセキュリティレベルを保った状態で、正しく設定の変更を行うことができる遠隔サービスシステムを提供することができる。

１，２，３，４、５，６ 遠隔サービスシステム
１０ ネットワーク
２０ ブロックチェーン
２０ａ，２０ｂ，２０ｃ 署名確認処理プログラム
２０ｄ 秘密鍵確認処理プログラム
２１ｄ 秘密鍵確認用平文
２２ｄ 秘密鍵確認用符号文
１００ 変更要求装置
２００ 変更確認装置
２１０ 変更実施装置
３００ プラントネットワーク装置
３１０ ファイヤーウォール
３２０ プラント制御システム
３２０ａ、３２０ｂ，３２０ｃ 設備
３３０ データダイオード
５１ａ，５１ｂ，５１ｃ 公開鍵
５２ａ，５２ｂ，５２ｃ 秘密鍵

Claims (24)

1. プラントの設備に対して適用する前記プラント内に配置された設備の設定条件を表す制御情報に第１の署名を付加して送信する第１のコンピュータ端末と、
   前記制御情報が表す前記プラント内に配置された前記設備の前記設定条件を前記設備に対して適用させる第２のコンピュータ端末と、
   前記制御情報に付加された前記第１の署名が正しい署名であり、前記制御情報が前記設備に対して適用することができる前記プラント内に配置された前記設備の前記設定条件を表している場合に、前記制御情報にさらに第２の署名を追加して送信する第３のコンピュータ端末と、
   を備え、
   前記第１のコンピュータ端末と、前記第２のコンピュータ端末と、前記第３のコンピュータ端末とは、
   第１の通信ネットワークを介して接続され、
   前記第２のコンピュータ端末と前記設備とは、
   第２の通信ネットワークによって接続されており、
   前記制御情報は、
   前記プラント内に配置された前記設備の前記設定条件を変更する変更内容を表す変更情報であり、
   前記第１のコンピュータ端末は、
   前記設備に対する前記変更内容を受け付け、受け付けた前記変更内容を表す前記変更情報に前記第１の署名を付加して送信し、
   前記第３のコンピュータ端末は、
   前記変更情報に付加された前記第１の署名が正しい署名であり、前記変更情報が前記設備に対して適用することができる前記変更内容を表している場合に、前記変更情報にさらに前記第２の署名を追加して送信し、
   前記第２のコンピュータ端末は、
   前記変更情報が表す前記変更内容を前記プラントの前記設備に対して適用させ、
   前記第１の通信ネットワークは、
   ブロックチェーンが構築された通信ネットワークであり、
   前記第２の通信ネットワークは、
   専用の通信回線である、
   遠隔サービスシステム。
2. 前記第２のコンピュータ端末は、
   前記変更情報に付加された前記第１の署名および前記第２の署名が正しい署名である場合に、前記変更情報が表す前記変更内容を前記設備に対して適用させる、
   請求項１に記載の遠隔サービスシステム。
3. 前記変更情報は、
   前記変更内容を適用させる前記設備を識別する設備識別情報が含まれている、
   請求項１または請求項２に記載の遠隔サービスシステム。
4. 前記制御情報は、
   前記設備における付加機能の実行または停止を指示する指示内容を表す指示情報であり、
   前記第１のコンピュータ端末は、
   前記指示情報に前記第１の署名を付加して送信し、
   前記第２のコンピュータ端末は、
   前記指示情報が表す前記指示内容を前記設備に対して適用させる、
   請求項１に記載の遠隔サービスシステム。
5. 前記第２のコンピュータ端末は、
   前記指示情報に付加された前記第１の署名が正しい署名である場合に、前記指示情報が表す前記指示内容を前記設備に対して適用させる、
   請求項４に記載の遠隔サービスシステム。
6. 前記第３のコンピュータ端末は、前記設備における前記付加機能の実行の要求を受け付け、受け付けた前記要求を表す要求情報に前記第２の署名を付加して送信し、
   前記第１のコンピュータ端末は、
   前記要求情報に付加された前記第２の署名が正しい署名であり、前記要求情報が前記設備に対して適用することができる前記要求である場合に、前記指示情報を送信する、
   請求項５に記載の遠隔サービスシステム。
7. 前記第１の署名は、
   前記ブロックチェーンが実行する署名確認処理プログラムによって、正しい署名であるか否かが確認される、
   請求項１から請求項６のいずれか１項に記載の遠隔サービスシステム。
8. 前記第２の通信ネットワークは、
   前記設備と直接接続される専用の通信回線である、
   請求項４から請求項６のいずれか１項に記載の遠隔サービスシステム。
9. 前記指示情報は、
   前記指示内容を適用する対象の前記設備に対応する予め定められた第１の鍵と組になっている第２の鍵を用いて符号化される、
   請求項８に記載の遠隔サービスシステム。
10. 前記指示情報は、
    前記ブロックチェーンが実行する符号化処理プログラムによって符号化される、
    請求項９に記載の遠隔サービスシステム。
11. 前記符号化処理プログラムは、
    文字列を前記設備に送信し、前記設備が前記第１の鍵を用いて前記文字列に追加して返信してきた署名を前記第２の鍵を用いて確認することにより、前記第１の鍵と前記第２の鍵とが一致しているか否かを確認する、
    請求項１０に記載の遠隔サービスシステム。
12. 前記符号化処理プログラムは、
    前記第２のコンピュータ端末が前記指示内容を対象の前記設備に適用させる前に、前記指示情報を符号化する、
    請求項１０または請求項１１に記載の遠隔サービスシステム。
13. 前記第２のコンピュータ端末は、
    前記変更内容を適用した前記設備から伝送された適用結果を送信する、
    請求項１から請求項１２のいずれか１項に記載の遠隔サービスシステム。
14. 前記第２のコンピュータ端末は、
    一方向の通信のみを行うデータダイオードを介して前記設備から伝送された前記適用結果を送信する、
    請求項１３に記載の遠隔サービスシステム。
15. 前記適用結果は、
    前記変更内容を適用した前記設備を表す署名が付加されている、
    請求項１３または請求項１４に記載の遠隔サービスシステム。
16. 前記適用結果は、
    前記設備の効率を算出するためのデータが含まれている、
    請求項１３から請求項１５のいずれか１項に記載の遠隔サービスシステム。
17. 前記第２のコンピュータ端末は、
    前記適用結果に第３の署名を付加して送信する、
    請求項１３から請求項１６のいずれか１項に記載の遠隔サービスシステム。
18. 前記第２のコンピュータ端末は、
    前記変更内容を前記設備に伝送したことを表すログ情報を送信する、
    請求項１３から請求項１７のいずれか１項に記載の遠隔サービスシステム。
19. 前記第２のコンピュータ端末は、
    前記ログ情報に第３の署名を付加して送信する、
    請求項１８に記載の遠隔サービスシステム。
20. 前記第２のコンピュータ端末は、
    前記設備から前記適用結果が伝送された日時の情報を付加して送信する、
    請求項１８または請求項１９に記載の遠隔サービスシステム。
21. 前記第２のコンピュータ端末は、
    前記変更内容を前記設備に伝送した日時の情報を付加した前記ログ情報を送信する、
    請求項２０に記載の遠隔サービスシステム。
22. 前記第１のコンピュータ端末は、
    前記ログ情報に付加された日時の情報と、前記適用結果に付加された日時の情報とに基づいて、前記設備に前記変更内容が適用されるまでの遅延時間を確認する、
    請求項２１に記載の遠隔サービスシステム。
23. 前記遠隔サービスシステムは、前記プラント内に配置された前記設備を制御する制御機器を有し、
    前記第２のコンピュータ端末は、前記プラントの前記設定条件を変更する為に前記制御機器が前記プラントの前記設備に対して設定するパラメータ値を変更させることにより、前記変更情報が表す前記変更内容を前記プラントの前記設備に対して適用させる
    請求項１から請求項２２のいずれか１項に記載の遠隔サービスシステム。
24. 設備に対して適用する制御内容を表す制御情報に第１の署名を付加して送信する第１のコンピュータ端末と、
    前記制御情報が表す前記制御内容を前記設備に対して適用させる第２のコンピュータ端末と、
    を備え、
    前記第１のコンピュータ端末と前記第２のコンピュータ端末とは、
    第１の通信ネットワークによって接続され、
    前記第２のコンピュータ端末と前記設備とは、
    第２の通信ネットワークによって接続されており、
    前記第１の通信ネットワークに接続され、前記制御情報に付加された前記第１の署名が正しい署名であり、前記制御情報が前記設備に対して適用することができる前記制御内容を表している場合に、前記制御情報にさらに第２の署名を追加して送信する第３のコンピュータ端末、
    をさらに備え、
    前記制御情報は、
    前記設備の設定条件を変更する変更内容を表す変更情報であり、
    前記第１のコンピュータ端末は、
    前記設備に対する前記変更内容を受け付け、受け付けた前記変更内容を表す前記変更情報に前記第１の署名を付加して送信し、
    前記第３のコンピュータ端末は、
    前記変更情報に付加された前記第１の署名が正しい署名であり、前記変更情報が前記設備に対して適用することができる前記変更内容を表している場合に、前記変更情報にさらに前記第２の署名を追加して送信し、
    前記第２のコンピュータ端末は、
    前記変更情報が表す前記変更内容を前記設備に対して適用させ、
    前記制御内容を適用した前記設備から伝送された適用結果を送信し、
    前記制御内容を前記設備に伝送したことを表すログ情報を送信し、
    前記設備から前記適用結果が伝送された日時の情報を付加して送信し、
    前記制御内容を前記設備に伝送した日時の情報を付加した前記ログ情報を送信し、
    前記第１のコンピュータ端末は、
    前記ログ情報に付加された日時の情報と、前記適用結果に付加された日時の情報とに基づいて、前記設備に前記制御内容が適用されるまでの遅延時間を確認する、
    遠隔サービスシステム。

Images