JP7236933B2 - 遠隔サーバ、管理装置、通信システム、認証方法、被認証方法及びプログラム - Google Patents

Description

本発明は、遠隔サーバ、管理装置、通信システム、認証方法、被認証方法及びプログラムに関する。

遠隔サーバが、ビル等に設置された複数の設備機器を管理する管理装置と通信接続し、管理装置を介して各設備機器の運転データを収集し、また、管理装置を介して各設備機器を制御するシステムが知られている（例えば、特許文献１）。

この種のシステムにおいて、通常、遠隔サーバは、管理装置と、ＳＳＬ（Secure Sockets Layer）、ＴＳＬ（Transport Layer Security）等のセキュア通信により当該管理装置の正当性を確認する。クライアント証明書のインストール等の管理装置に対する認証情報の設定は、例えば、当該管理装置の設置時に施工作業員によって行われる。

特開２０１０－１８１０７３号公報

従来、上記のようなシステムにおいては、一旦、管理装置に認証情報が設定されると、以後の通信において、遠隔サーバは、当該管理装置を信頼できる装置として認定する。このため、管理装置が盗難され、他の場所で不正使用された場合であっても、当該管理装置による遠隔サーバへのアクセスが可能となり、当該管理装置と遠隔サーバとの間で不正にデータの送受信が行われてしまうという問題がある。

本発明は、上記の問題を解決するためになされたものであり、管理装置からの不正なアクセスを防止することが可能な遠隔サーバ等を提供することを目的とする。

上記目的を達成するため、本発明に係る遠隔サーバは、
管理装置との通信開始時に前記管理装置の第１認証を行う第１認証手段と、
前記第１認証に基づく前記管理装置の正当性が認証された後、前記管理装置から、前記管理装置の管理対象である設備機器の固有情報を含む管理対象情報を取得する管理対象情報取得手段と、
前記管理装置に対応する従前の管理対象情報を予め記憶する管理対象情報記憶手段と、
前記取得された管理対象情報と、前記従前の管理対象情報とを照合することで第２認証の要否を判別する第２認証要否判別手段と、
前記第２認証要否判別手段により前記第２認証の必要があると判別された場合、前記管理装置に第２認証情報を要求する第２認証情報要求手段と、
前記管理装置に対応する第２認証情報を予め記憶する第２認証情報記憶手段と、
前記管理装置から前記第２認証情報を取得し、取得した第２認証情報と前記第２認証情報記憶手段に記憶されている第２認証情報とを照合することで前記管理装置の第２認証を行う第２認証手段と、
前記第２認証要否判別手段により前記第２認証の必要がないと判別された場合、及び、前記第２認証に基づく前記管理装置の正当性が認証された場合の一方が成立すると、前記管理装置との通信状態を認証モードから通常モードに切り替えるモード切替手段と、を備える。

本発明によれば、管理装置からの不正なアクセスを防止することが可能となる。

本発明の実施の形態１に係る通信システムを備えた設備管理システムの全体構成を示す図 実施の形態１に係る遠隔サーバのハードウェア構成を示すブロック図 実施の形態１に係る管理装置のハードウェア構成を示すブロック図 実施の形態１に係る操作端末のハードウェア構成を示すブロック図 実施の形態１に係る遠隔サーバ及び管理装置の機能構成を示すブロック図 実施の形態１に係る管理装置が実行する被認証処理の手順を示すフローチャート 実施の形態１に係る遠隔サーバが実行する認証処理の手順を示すフローチャート 本発明の実施の形態２に係る通信システムを備えた設備管理システムの全体構成を示す図 実施の形態２に係る遠隔サーバ及び管理装置の機能構成を示すブロック図 実施の形態２に係る管理装置が実行する処理の手順を示すフローチャート 実施の形態２に係る遠隔サーバが実行する認証処理の手順を示すフローチャート 本発明の実施の形態３に係る通信システムを備えた設備管理システムの全体構成を示す図 実施の形態３に係る管理装置のハードウェア構成を示すブロック図 実施の形態３に係る操作端末のハードウェア構成を示すブロック図 実施の形態３に係る遠隔サーバ、管理装置及び操作端末の機能構成を示すブロック図 実施の形態３に係る管理装置が実行する被認証処理の手順を示すフローチャート 実施の形態３に係る操作端末が実行する追加認証情報送信処理の手順を示すフローチャート 実施の形態３に係る遠隔サーバが実行する認証処理の手順を示すフローチャート

以下、本発明の実施の形態について図面を参照して詳細に説明する。

（実施の形態１）
図１は、本発明の実施の形態１に係る通信システムを備えた設備管理システム１の全体構成を示す図である。設備管理システム１は、例えば、オフィスビル内に設置された設備機器４を管理するためのシステムであり、遠隔サーバ２と、複数の拠点（拠点１，２，…）の各々にそれぞれ設置される、管理装置３と、複数の設備機器４と、操作端末５とを備える。また、本実施の形態に係る通信システムは、遠隔サーバ２と、各拠点の管理装置３及び操作端末５とを備える。

遠隔サーバ２と各拠点の管理装置３は、ＬＡＮ（Local Area Network）、ＭＡＮ（Metropolitan Area Network）、ＷＡＮ（Wide Area Network）あるいはインターネット等の予め定めたネットワーク６を介して互いに通信可能に接続される。

拠点１，２，…は、異なる建物に設けられても良いし、同一の建物の異なる場所（例えば、各フロア）に設けられてもよい。また、設備機器４は、例えば、空調機（室内機、室外機）、照明設備等である。

遠隔サーバ２は、本発明に係る遠隔サーバの一例であり、各拠点の各設備機器４の監視及び制御を行う装置である。遠隔サーバ２は、図２に示すように、通信インタフェース２０と、ＣＰＵ（Central Processing Unit）２１と、ＲＯＭ（Read Only Memory）２２と、ＲＡＭ（Random Access Memory）２３と、二次記憶装置２４とを備える。これらの構成部は、バス２５を介して相互に接続される。

通信インタフェース２０は、ネットワーク６に接続して、各拠点の管理装置３と通信するためのネットワークカード等の装置である。本実施の形態では、遠隔サーバ２は、各管理装置３とＩＰ（Internet Protocol ）通信を行う。ＣＰＵ２１は、遠隔サーバ２を統括的に制御する。ＲＯＭ２２は、複数のファームウェア及びこれらのファームウェアの実行時に使用されるデータを記憶する。ＲＡＭ２３は、ＣＰＵ２１の作業領域として使用される。

二次記憶装置２４は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュメモリ等の読み書き可能な不揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）等で構成される大容量の記憶装置である。二次記憶装置２４には、監視・制御プログラムと、監視・制御プログラムの実行時に使用されるデータとが記憶される。二次記憶装置２４は、本発明の遠隔サーバに係る管理対象情報記憶手段、第２認証情報記憶手段の一例である。監視・制御プログラムには、各管理装置３の正当性を確認するための認証処理と、各設備機器４を監視し、制御するための監視・制御処理とが記述されている。

上記の各ハードウェアを備える遠隔サーバ２の機能の詳細については後述する。

管理装置３は、本発明に係る管理装置の一例である。管理装置３は、自装置と同じ拠点に設置された管理対象である１又は複数の設備機器４とネットワーク７を介して互いに通信可能に接続され、各設備機器４の管理を行う、例えば、空調コントローラ等の設備機器コントローラである。

管理装置３は、図３に示すように、第１通信インタフェース３０と、第２通信インタフェース３１と、第３通信インタフェース３２と、ＣＰＵ３３と、ＲＯＭ３４と、ＲＡＭ３５と、二次記憶装置３６とを備える。これらの構成部は、バス３７を介して相互に接続される。

第１通信インタフェース３０は、ネットワーク７を介して各設備機器４と通信するためのネットワークカード等の装置である。本実施の形態では、ネットワーク７は、周知の設備機器ネットワークの仕様に基づいたネットワークである。

第２通信インタフェース３１は、ネットワーク６を介して遠隔サーバ２と通信するためのネットワークカード等の装置である。上述したように、管理装置３は、遠隔サーバ２とＩＰ通信を行う。

第３通信インタフェース３２は、操作端末５と無線通信又は有線通信するためのネットワークカード等の装置である。本実施の形態では、管理装置３は、操作端末５と、Ｗｉ－Ｆｉ（登録商標）、Ｗｉ－ＳＵＮ（登録商標）、有線ＬＡＮ等の周知の通信規格に則った通信を行う。

ＣＰＵ３３は、管理装置３を統括的に制御する。ＲＯＭ３４は、複数のファームウェア及びこれらのファームウェアの実行時に使用されるデータを記憶する。ＲＡＭ３５は、ＣＰＵ３３の作業領域として使用される。

二次記憶装置３６は、ＥＥＰＲＯＭ、フラッシュメモリ等の読み書き可能な不揮発性の半導体メモリ、ＨＤＤ等で構成される記憶装置である。二次記憶装置３６には、管理プログラムと、管理プログラムの実行時に使用されるデータとが記憶される。管理プログラムには、遠隔サーバ２から認証を受けるための被認証処理と、各設備機器４を管理するための管理処理とが記述されている。

上記の各ハードウェアを備える管理装置３の機能の詳細については後述する。

操作端末５は、スマートフォン、タブレット端末、ノート型ＰＣ（Personal Computer）等の携帯可能な電子機器である。操作端末５は、図４に示すように、ディスプレイ５０と、操作受付部５１と、通信インタフェース５２と、ＣＰＵ５３と、ＲＯＭ５４と、ＲＡＭ５５と、二次記憶装置５６とを備える。これらの構成部は、バス５７を介して相互に接続される。

ディスプレイ５０は、液晶ディスプレイ、有機ＥＬディスプレイ等の表示デバイスを含んで構成される。ディスプレイ５０は、ＣＰＵ５３の制御の下、ユーザ操作に応じた各種の画面等を表示する。

操作受付部５１は、押しボタン、タッチパネル、タッチパッド等の１つ以上の入力デバイスを含んで構成され、ユーザからの操作入力を受け付け、受け付けた操作に係る信号をＣＰＵ５３に送出する。

通信インタフェース５２は、管理装置３と上述した周知の通信規格に則った通信を行うためのネットワークカード等の装置である。ＣＰＵ５３は、操作端末５を統括的に制御する。ＲＯＭ５４は、複数のファームウェア及びこれらのファームウェアの実行時に使用されるデータを記憶する。ＲＡＭ５５は、ＣＰＵ５３の作業領域として使用される。

二次記憶装置５６は、ＥＥＰＲＯＭ、フラッシュメモリ等の読み書き可能な不揮発性の半導体メモリ、ＨＤＤ等で構成される記憶装置である。二次記憶装置５６には、ユーザから後述する追加認証情報の入力を受け付け、受け付けた追加認証情報を管理装置３に送信するためのプログラムを含む各種のプログラムと、これらのプログラムの実行時に使用されるデータとが記憶される。

続いて、遠隔サーバ２及び管理装置３の機能について詳細に説明する。図５は、遠隔サーバ２及び管理装置３の機能構成を示すブロック図である。図５に示すように、遠隔サーバ２は、通常認証部２００と、管理対象情報取得部２０１と、追加認証要否判別部２０２と、モード切替部２０３と、通常処理部２０４と、追加認証情報要求部２０５と、追加認証部２０６とを備える。遠隔サーバ２のこれらの機能部は、ＣＰＵ２１が二次記憶装置２４に記憶されている上述した監視・制御プログラムを実行することで実現される。

また、管理装置３は、被通常認証部３００と、固有情報取得部３０１と、管理対象情報送信部３０２と、モード切替部３０３と、通常処理部３０４と、報知部３０５と、追加認証情報取得部３０６と、追加認証情報送信部３０７とを備える。管理装置３のこれらの機能部は、ＣＰＵ３３が二次記憶装置３６に記憶されている上述した管理プログラムを実行することで実現される。

管理装置３の被通常認証部３００は、電源がＯＮされると、第２通信インタフェース３１を介して遠隔サーバ２にクライアント証明書等の通常認証情報を送信して自装置の正当性についての通常認証を受ける被通常認証処理を実行する。通常認証は、本発明に係る第１認証の一例である。遠隔サーバ２の通常認証部２００は、通信インタフェース２０を介して管理装置３から受け取った通常認証情報に基づいて管理装置３の正当性を認証する通常認証（即ち、第１認証）を行う。

通常認証は、例えば、ＳＳＬ（Secure Sockets Layer）、ＴＳＬ（Transport Layer Security）等の周知のセキュア通信に基づく認証である。通常認証部２００は、認証結果を通信インタフェース２０を介して管理装置３の被通常認証部３００に通知する。通常認証部２００は、本発明の遠隔サーバに係る第１認証手段の一例である。

管理装置３の被通常認証部３００は、遠隔サーバ２の通常認証部２００から、通常認証に基づく正当性が認証されたことを示す認証結果を第２通信インタフェース３１を介して受け取ると、固有情報取得部３０１に対して、管理対象である全ての設備機器４から固有情報を取得することを要求する。固有情報は、各設備機器４の固有の情報である。固有情報には、例えば、型番、製造番号等が含まれる。

固有情報取得部３０１は、本発明の管理装置に係る固有情報取得手段の一例である。固有情報取得部３０１は、被通常認証部３００から上記の要求を受けると、固有情報の送信を要求するコマンドをネットワーク７の通信プロトコルに則って生成し、第１通信インタフェース３０を介して各設備機器４に送信する。そして、固有情報取得部３０１は、かかるコマンドに応答して各設備機器４から送られてきた固有情報を第１通信インタフェース３０を介して取得する。

管理対象情報送信部３０２は、本発明の管理装置に係る管理対象情報送信手段の一例である。管理対象情報送信部３０２は、固有情報取得部３０１によって管理対象である全ての設備機器４の固有情報が取得されると、これらの固有情報が格納された管理対象情報をネットワーク６の通信プロトコルに則って生成し、第２通信インタフェース３１を介して遠隔サーバ２に送信する。

遠隔サーバ２の管理対象情報取得部２０１は、管理装置３の管理対象情報送信部３０２から送られてきた管理対象情報を通信インタフェース２０を介して取得する。管理対象情報取得部２０１は、取得した管理対象情報を追加認証要否判別部２０２に供給する。管理対象情報取得部２０１は、本発明の遠隔サーバに係る管理対象情報取得手段の一例である。

追加認証要否判別部２０２は、本発明の遠隔サーバに係る第２認証要否判別手段の一例である。追加認証要否判別部２０２は、管理対象情報取得部２０１から供給された管理対象情報と、当該管理装置３に対応する従前の管理対象情報とを照合することで、当該管理装置３に対する追加認証の要否を判別する。追加認証は、本発明に係る第２認証の一例である。

詳細には、追加認証要否判別部２０２は、当該管理装置３に対応する従前の管理対象情報を、管理対象情報ＤＢ２４０から読み出して取得する。管理対象情報ＤＢ２４０は、各管理装置３に対応する管理対象情報が登録されたデータベースであり、二次記憶装置２４に記憶される。

追加認証要否判別部２０２は、管理対象情報取得部２０１から供給された管理対象情報、即ち、当該管理装置３に対応する最新の管理対象情報における各設備機器４の固有情報と、従前の管理対象情報における各設備機器４の固有情報とを比較し、何れか１つでも一致する場合、即ち、変更されていない管理対象の設備機器４が１台でも存在する場合、追加認証の必要がないと判別し、管理対象の設備機器４が全て変更されている場合、追加認証の必要があると判別する。

なお、最新の管理対象情報と従前の管理対象情報との照合において、追加認証の要否を判別する条件は任意の設計事項である。例えば、追加認証要否判別部２０２は、従前の管理対象情報で示される全ての設備機器４の内の変更された割合が、予め定めた基準値（例えば、５０％）未満の場合、追加認証の必要がないと判別し、変更された割合が基準値以上の場合、追加認証の必要があると判別してもよい。

追加認証の必要がないと判別した場合、追加認証要否判別部２０２は、当該管理装置３の正当性が認証された旨をモード切替部２０３に通知すると共に、通常通信を許可する旨を通信インタフェース２０を介して管理装置３に通知する。また、その際、最新の管理対象情報と従前の管理対象情報との間に相違がある場合には、追加認証要否判別部２０２は、最新の管理対象情報によって、管理対象情報ＤＢ２４０における当該管理装置３に対応する管理対象情報を更新する。一方、追加認証の必要があると判別した場合、追加認証要否判別部２０２は、その旨を追加認証情報要求部２０５に通知する。

モード切替部２０３は、本発明の遠隔サーバに係るモード切替手段の一例である。モード切替部２０３は、追加認証要否判別部２０２から当該管理装置３の正当性が認証された旨の通知を受けると、当該管理装置３との通信状態を認証モードから通常モードに切り替える。通常処理部２０４は、当該管理装置３との通信状態が通常モードに移行すると、当該管理装置３の管理対象である各設備機器４を監視し、制御するための通常処理を開始する。

管理装置３のモード切替部３０３は、本発明の管理装置に係るモード切替手段の一例である。モード切替部３０３は、遠隔サーバ２の追加認証要否判別部２０２から、通常通信を許可する旨の通知を第２通信インタフェース３１を介して受けると、遠隔サーバ２との通信状態を認証待ちモードから通常モードに切り替える。通常処理部３０４は、遠隔サーバ２との通信状態が通常モードに移行すると、以後、定期的に各設備機器４の運転状態を示す運転データを遠隔サーバ２にアップロードしたり、遠隔サーバ２からの制御コマンドに従って各設備機器４を制御する等の通常処理を開始する。

遠隔サーバ２の追加認証情報要求部２０５は、本発明の遠隔サーバに係る第２認証情報要求手段の一例である。追加認証情報要求部２０５は、追加認証要否判別部２０２から追加認証の必要がある旨の通知を受けると、追加認証情報の送信を要求するコマンドをネットワーク６の通信プロトコルに則って生成し、通信インタフェース２０を介して当該管理装置３に送信する。追加認証情報は、本発明に係る第２認証情報の一例である。

管理装置３の報知部３０５は、本発明の管理装置に係る報知手段の一例である。報知部３０５は、遠隔サーバ２の追加認証情報要求部２０５から上記のコマンドを第２通信インタフェース３１を介して受け取ると、ユーザに追加認証情報の入力が必要であることを報知する。例えば、報知部３０５は、管理装置３が備える図示しないＬＥＤ（Light Emitting Diode）の点灯、点滅により報知する。なお、報知部３０５による報知の態様は様々であり、例えば、管理装置３が図示しない表示デバイスを備えている場合、報知部３０５は、当該表示デバイスに「追加認証情報の入力が必要です」等のメッセージ又はそのようなメッセージを示すコードを表示してもよい。あるいは、管理装置３が、図示しないスピーカを備えている場合、報知部３０５は、電子音又は音声により報知してもよい。報知部３０５は、遠隔サーバ２との通信状態が通常モードに移行すると報知を停止する。

追加認証情報取得部３０６は、本発明の管理装置に係る第２認証情報取得手段の一例である。追加認証情報取得部３０６は、ユーザにより操作端末５を介して入力された追加認証情報を操作端末５から通信により取得する。追加認証情報は、施工又は保守を行う業者、当該拠点の管理者等のユーザを認証するための情報であり、例えば、当該ユーザに対応するＩＤ（identification）及びパスワード、当該ユーザの指紋等の生体認証情報等である。追加認証情報取得部３０６は、取得した追加認証情報を追加認証情報送信部３０７に供給する。

追加認証情報送信部３０７は、本発明の管理装置に係る第２認証情報送信手段の一例である。追加認証情報送信部３０７は、追加認証情報取得部３０６から供給された追加認証情報を第２通信インタフェース３１を介して遠隔サーバ２に送信する。

遠隔サーバ２の追加認証部２０６は、本発明の遠隔サーバに係る第２認証手段の一例である。追加認証部２０６は、管理装置３の追加認証情報送信部３０７から送られてきた追加認証情報を通信インタフェース２０を介して取得し、取得した追加認証情報と、追加認証情報テーブル２４１に登録されている各追加認証情報とを照合することで、当該管理装置３の追加認証を行う。追加認証情報テーブル２４１は、ユーザ毎の追加認証情報が登録されたデータテーブルであり、二次記憶装置２４に記憶される。

追加認証部２０６は、管理装置３から取得した追加認証情報と一致する追加認証情報が追加認証情報テーブル２４１に登録されている場合、追加認証に基づく当該管理装置３の正当性が認証されたと判別する。一方、管理装置３から取得した追加認証情報と一致する追加認証情報が追加認証情報テーブル２４１に登録されていない場合、追加認証が失敗したと判別する。

追加認証に基づく当該管理装置３の正当性が認証されたと判別した場合、追加認証部２０６は、当該管理装置３の正当性が認証された旨をモード切替部２０３に通知すると共に、通常通信を許可する旨を通信インタフェース２０を介して管理装置３に通知する。また、その際、最新の管理対象情報と従前の管理対象情報との間に相違がある場合には、追加認証部２０６は、最新の管理対象情報によって、管理対象情報ＤＢ２４０における当該管理装置３に対応する管理対象情報を更新する。

モード切替部２０３は、追加認証部２０６から当該管理装置３の正当性が認証された旨の通知を受けると、当該管理装置３との通信状態を認証モードから通常モードに切り替える。これにより、通常処理部２０４は、上述した通常処理を開始する。また、管理装置３のモード切替部３０３は、遠隔サーバ２の追加認証部２０６から、通常通信を許可する旨の通知を第２通信インタフェース３１を介して受けると、遠隔サーバ２との通信状態を認証待ちモードから通常モードに切り替える。これにより、通常処理部３０４は、上述した通常処理を開始する。

図６は、管理装置３が実行する被認証処理の手順を示すフローチャートである。管理装置３は、電源がＯＮされると、被認証処理の実行を開始する。

管理装置３は、遠隔サーバ２にクライアント証明書等の通常認証情報を送信して自装置の正当性についての通常認証を受ける被通常認証処理を実行する（ステップＳ１０１）。遠隔サーバ２から、通常認証に基づく正当性が認証されたことを示す認証結果を受け取ると、即ち、遠隔サーバ２による通常認証が完了すると（ステップＳ１０２；ＹＥＳ）、管理装置３は、管理対象の各設備機器４から固有情報を取得する（ステップＳ１０３）。

管理装置３は、取得した各固有情報が格納された管理対象情報を遠隔サーバ２に送信する（ステップＳ１０４）。その後、遠隔サーバ２から通常通信を許可する旨の通知を受けると（ステップＳ１０５；ＹＥＳ）、ステップＳ１１１に移行する。

一方、遠隔サーバ２から追加認証情報の要求を受けると（ステップＳ１０５；ＮＯ且つステップＳ１０６；ＹＥＳ）、管理装置３は、追加認証情報の入力を促すための報知、即ち、追加認証情報の入力が必要であることをユーザに報知する（ステップＳ１０７）。ステップＳ１０６でＮＯの場合は、ステップＳ１０５に戻る。

ユーザが操作端末５を介して入力した追加認証情報を操作端末５から取得すると（ステップＳ１０８；ＹＥＳ）、管理装置３は、取得した追加認証情報を遠隔サーバ２に送信する（ステップＳ１０９）。その後、遠隔サーバ２から通常通信を許可する旨の通知を受けると（ステップＳ１１０；ＹＥＳ）、ステップＳ１１１に移行する。一方、ステップＳ１１０でＮＯの場合、ステップＳ１０８に戻る。

ステップＳ１１１では、管理装置３は、遠隔サーバ２との通信状態を認証待ちモードから通常モードに切り替え、その後、被認証処理を終了する。通信状態が通常モードに移行すると、管理装置３は、報知を停止し、上述した通常処理を開始する。

図７は、遠隔サーバ２が実行する認証処理の手順を示すフローチャートである。遠隔サーバ２は、管理装置３から通常認証情報を受信すると、当該管理装置３に対する認証処理の実行を開始する。

遠隔サーバ２は、管理装置３から受信した、クライアント証明書等の通常認証情報に基づいて、当該管理装置３に対する通常認証処理を実行する（ステップＳ２０１）。遠隔サーバ２は、通常認証の結果を管理装置３に通知する。上述したように、通常認証に基づく正当性が認証された場合、管理装置３は、遠隔サーバ２に現在の対象管理情報を送信する。管理装置３から送られてきた管理対象情報を受信すると（ステップＳ２０２；ＹＥＳ）、遠隔サーバ２は、受信した管理対象情報と、管理対象情報ＤＢ２４０に登録されている、当該管理装置３に対応する従前の管理対象情報とを照合する（ステップＳ２０３）。

上記の照合の結果、管理対象の設備機器４が全て変更されている等の条件が成立し、追加認証の必要があると判別した場合（ステップＳ２０４；ＹＥＳ）、遠隔サーバ２は、管理装置３に対して、追加認証情報の送信を要求する（ステップＳ２０５）。一方、追加認証の必要がないと判別した場合（ステップＳ２０４；ＮＯ）、ステップＳ２０８に移行する。

上記の要求に応答して管理装置３から送られてきた追加認証情報を受信すると（ステップＳ２０６；ＹＥＳ）、遠隔サーバ２は、受信した追加認証情報と、追加認証情報テーブル２４１に登録されている各追加認証情報とを照合することで、当該管理装置３の追加認証を行う。

上記の追加認証に基づく当該管理装置３の正当性が認証されたと判別した場合、即ち、追加認証が完了した場合（ステップＳ２０７；ＹＥＳ）、ステップＳ２０８に移行する。一方、追加認証が失敗したと判別した場合、即ち、追加認証が完了していない場合（ステップＳ２０７；ＮＯ）、ステップＳ２０６に戻る。

ステップＳ２０８では、遠隔サーバ２は、当該管理装置３に対して、通常通信を許可する旨を通知する。また、遠隔サーバ２は、当該管理装置３に対応する最新の管理対象情報と従前の管理対象情報との間に相違がある場合、最新の管理対象情報に基づいて管理対象情報ＤＢ２４０を更新する（ステップＳ２０９）。そして、遠隔サーバ２は、当該管理装置３に対する通信状態を認証モードから通常モードに切り替え（ステップＳ２１０）、その後、認証処理を終了する。通信状態が通常モードに移行すると、管理装置３は、上述した通常処理を開始する。

以上説明したように、本実施の形態の通信システムによれば、管理装置３は、遠隔サーバ２による当該管理装置３に対する通常認証が完了した後、最新の管理対象情報、即ち、現在の管理対象である全ての設備機器４から収集した固有情報が格納された管理対象情報を遠隔サーバ２に送信する。遠隔サーバ２は、受信した管理対象情報と、当該管理装置３に対応する従前の管理対象情報とを照合することで、追加認証の要否を判別し、追加認証の必要があると判別した場合、当該管理装置３に対して追加認証情報の送信を要求する。

上記の要求に応答して、管理装置３はユーザに対して追加認証情報の入力を促す報知を行い、ユーザが操作端末５を介して入力した追加認証情報を遠隔サーバ２に送信する。遠隔サーバ２は、管理装置３から受信した追加認証情報に基づいて追加認証を行い、追加認証が完了した場合に限り、当該管理装置３に対して、遠隔サーバ２との通常通信の許可を与える。

このため、管理装置３が盗難され、使用された場合であっても、当該管理装置３からの遠隔サーバ２への不正なアクセスを防止することが可能となる。

なお、管理装置３は、操作端末５を介して、ユーザに追加認証情報の入力が必要であることを報知してもよい。この場合、例えば、管理装置３は、操作端末５のディスプレイ５０に「追加認証情報の入力が必要です」等のメッセージ又はそのようなメッセージを示すコードを表示させる。あるいは、管理装置３は、操作端末５に電子音又は音声を出力させてもよい。

（実施の形態２）
続いて、本発明の実施の形態２について説明する。なお、以下の説明において、実施の形態１と共通する構成要素等については、同一の符号を付し、その説明を省略する。

図８は、本発明の実施の形態２に係る通信システムを備えた設備管理システム１Ａの全体構成を示す図である。設備管理システム１Ａは、遠隔サーバ２Ａと、複数の拠点（拠点１，２，…）の各々にそれぞれ設置される、管理装置３Ａと、複数の設備機器４と、操作端末５とを備える。また、本実施の形態に係る通信システムは、遠隔サーバ２Ａと、各拠点の管理装置３Ａ及び操作端末５とを備える。

遠隔サーバ２Ａは、本発明に係る遠隔サーバの一例であり、実施の形態１の遠隔サーバ２と同様、各拠点の各設備機器４の監視及び制御を行う装置である。遠隔サーバ２Ａのハードウェア構成は、遠隔サーバ２と同様（図２参照）である。

管理装置３Ａは、本発明に係る管理装置の一例である。管理装置３Ａは、実施の形態１の管理装置３と同様、自装置と同じ拠点に設置された管理対象である１又は複数の設備機器４とネットワーク７を介して互いに通信可能に接続される。管理装置３Ａのハードウェア構成は、管理装置３と同様（図３参照）である。但し、管理装置３Ａは、各設備機器４の管理を行う装置ではなく、遠隔サーバ２と各設備機器４との間の通信を中継する装置である。

図９は、遠隔サーバ２Ａ及び管理装置３Ａの機能構成を示すブロック図である。図９に示すように、遠隔サーバ２Ａは、通常認証部２００と、追加認証要否判別部２０２Ａと、モード切替部２０３と、通常処理部２０４と、追加認証情報要求部２０５Ａと、追加認証部２０６と、固有情報取得部２０７とを備える。遠隔サーバ２Ａのこれらの機能部は、遠隔サーバ２ＡのＣＰＵ２１が二次記憶装置２４に記憶されている、各管理装置３Ａの正当性を確認するための認証処理と、各設備機器４を監視し、制御するための監視・制御処理とが記述された監視・制御プログラムを実行することで実現される。

また、管理装置３Ａは、被通常認証部３００と、通常処理部３０４Ａと、報知部３０５Ａと、追加認証情報取得部３０６と、追加認証情報送信部３０７とを備える。管理装置３Ａのこれらの機能部は、管理装置３ＡのＣＰＵ３３が二次記憶装置３６に記憶されている、遠隔サーバ２Ａから認証を受けるための被認証処理と、遠隔サーバ２Ａと各設備機器４との間の通信を中継する中継処理とが記述された中継プログラムを実行することで実現される。

遠隔サーバ２Ａにおいて、固有情報取得部２０７は、通常認証部２００による当該管理装置３に対する通常認証が完了すると、当該管理装置３Ａの管理対象の各設備機器４に対して固有情報の送信を当該管理装置３Ａを介して要求する。詳細には、各設備機器４に対して固有情報の送信を要求するコマンドを生成し、生成したコマンドを当該管理装置３Ａを介して各設備機器４に送信する。固有情報取得部２０７は、かかるコマンドに応答して、各設備機器４から送られてきた固有情報を当該管理装置３Ａを介して取得する。固有情報取得部２０７は、取得した各固有情報が格納された管理対象情報を生成し、生成した管理対象情報を追加認証要否判別部２０２Ａに供給する。

追加認証要否判別部２０２Ａは、固有情報取得部２０７から供給された管理対象情報と、管理対象情報ＤＢ２４０に登録されている当該管理装置３Ａに対応する従前の管理対象情報とを照合することで、当該管理装置３Ａに対する追加認証の要否を判別する。

詳細には、追加認証要否判別部２０２Ａは、固有情報取得部２０７から供給された管理対象情報、即ち、当該管理装置３Ａに対応する最新の管理対象情報における各設備機器４の固有情報と、従前の管理対象情報における各設備機器４の固有情報とを比較し、何れか１つでも一致する場合、即ち、変更されていない管理対象の設備機器４が１台でも存在する場合、追加認証の必要がないと判別し、管理対象の設備機器４が全て変更されている場合、追加認証の必要があると判別する。

なお、最新の管理対象情報と従前の管理対象情報との照合において、追加認証の要否を判別する条件は任意の設計事項である。例えば、追加認証要否判別部２０２Ａは、従前の管理対象情報で示される全ての設備機器４の内の変更された割合が、予め定めた基準値（例えば、５０％）未満の場合、追加認証の必要がないと判別し、変更された割合が基準値以上の場合、追加認証の必要があると判別してもよい。

追加認証の必要がないと判別した場合、追加認証要否判別部２０２Ａは、当該管理装置３Ａの正当性が認証された旨をモード切替部２０３に通知する。その際、最新の管理対象情報と従前の管理対象情報との間に相違がある場合には、追加認証要否判別部２０２Ａは、最新の管理対象情報によって、管理対象情報ＤＢ２４０における当該管理装置３Ａに対応する管理対象情報を更新する。一方、追加認証の必要があると判別した場合、追加認証要否判別部２０２Ａは、その旨を追加認証情報要求部２０５Ａに通知する。

追加認証情報要求部２０５Ａは、追加認証要否判別部２０２Ａから追加認証の必要がある旨の通知を受けると、追加認証情報の送信を要求するコマンドをネットワーク６の通信プロトコルに則って生成し、通信インタフェース２０を介して当該管理装置３Ａに送信する。また、追加認証情報要求部２０５Ａは、追加認証部２０６から当該管理装置３Ａの正当性が認証された旨の通知を受けると、追加認証情報の送信停止を要求するコマンドをネットワーク６の通信プロトコルに則って生成し、通信インタフェース２０を介して当該管理装置３Ａに送信する。

管理装置３Ａにおいて、通常処理部３０４Ａは、遠隔サーバ２Ａと設備機器４との間の通信を中継する処理を行う。詳細には、通常処理部３０４Ａは、遠隔サーバ２Ａから送信された設備機器４に対するコマンド（以下、対機器コマンドという。）を第２通信インタフェース３１を介して受信すると、当該対機器コマンドをネットワーク７の通信プロトコルに対応するように変換して、対応する設備機器４に第１通信インタフェース３０を介して送信する。対機器コマンドは、例えば、固有情報の送信を要求するコマンド、運転データの送信を要求するコマンド、運転状態の変更を要求するコマンド等である。

また、通常処理部３０４Ａは、対機器コマンドに応答して設備機器４から送信された応答データを第１通信インタフェース３０を介して受信すると、受信した応答データをネットワーク６の通信プロトコルに対応するように変換して、遠隔サーバ２Ａに第２通信インタフェース３１を介して送信する。

報知部３０５Ａは、遠隔サーバ２Ａの追加認証情報要求部２０５Ａから、追加認証情報の送信を要求するコマンドを第２通信インタフェース３１を介して受け取ると、ユーザに追加認証情報の入力が必要であることを報知する。例えば、報知部３０５Ａは、管理装置３Ａが備える図示しないＬＥＤの点灯、点滅により報知する。なお、報知部３０５Ａによる報知の態様は様々であり、例えば、管理装置３Ａが図示しない表示デバイスを備えている場合、報知部３０５Ａは、当該表示デバイスに「追加認証情報の入力が必要です」等のメッセージ又はそのようなメッセージを示すコードを表示してもよい。あるいは、管理装置３Ａが、図示しないスピーカを備えている場合、報知部３０５Ａは、電子音又は音声により報知してもよい。

報知部３０５Ａは、追加認証情報要求部２０５Ａから、追加認証情報の送信停止を要求するコマンドを第２通信インタフェース３１を介して受け取ると、報知を停止する。

図１０は、電源がＯＮされた後に管理装置３Ａが実行する処理の手順を示すフローチャートである。

管理装置３Ａは、遠隔サーバ２Ａにクライアント証明書等の通常認証情報を送信して自装置の正当性についての通常認証を受ける被通常認証処理を実行する（ステップＳ３０１）。遠隔サーバ２Ａから、対機器コマンドを受信すると（ステップＳ３０２；ＹＥＳ）、管理装置３Ａは、受信した対機器コマンドをネットワーク７の通信プロトコルに対応するように変換して、対応する設備機器４に転送する（ステップＳ３０３）。その後、ステップＳ３０２に戻る。

設備機器４から応答データを受信すると（ステップＳ３０２；ＮＯ且つステップＳ３０４；ＹＥＳ）、管理装置３Ａは、受信した応答データをネットワーク６の通信プロトコルに対応するように変換して、遠隔サーバ２Ａに転送する（ステップＳ３０５）。その後、ステップＳ３０２に戻る。

遠隔サーバ２Ａから追加認証情報の要求を受けると（ステップＳ３０２；ＮＯ且つステップＳ３０４；ＮＯ且つステップＳ３０６；ＹＥＳ）、管理装置３Ａは、追加認証情報の入力が必要であることをユーザに報知する（ステップＳ３０７）。その後、ステップＳ３０２に戻る。

操作端末５から追加認証情報を受信すると（ステップＳ３０２；ＮＯ且つステップＳ３０４；ＮＯ且つステップＳ３０６；ＮＯ且つステップＳ３０８；ＹＥＳ）、管理装置３Ａは、受信した追加認証情報を遠隔サーバ２Ａに送信する（ステップＳ３０９）。その後、ステップＳ３０２に戻る。

遠隔サーバ２Ａから追加認証情報の送信停止の要求を受けると（ステップＳ３０２；ＮＯ且つステップＳ３０４；ＮＯ且つステップＳ３０６；ＮＯ且つステップＳ３０８；ＮＯ且つステップＳ３１０；ＹＥＳ）、管理装置３Ａは、報知を停止する（ステップＳ３１１）。その後、ステップＳ３０２に戻る。

図１１は、遠隔サーバ２Ａが実行する認証処理の手順を示すフローチャートである。遠隔サーバ２Ａは、管理装置３Ａから通常認証情報を受信すると、当該管理装置３Ａに対する認証処理の実行を開始する。

遠隔サーバ２Ａは、管理装置３Ａから受信した、クライアント証明書等の通常認証情報に基づいて、当該管理装置３Ａに対する通常認証処理を実行する（ステップＳ４０１）。遠隔サーバ２Ａは、通常認証が完了すると、当該管理装置３Ａの管理対象の各設備機器４に対して固有情報の送信を当該管理装置３Ａを介して要求する（ステップＳ４０２）。

遠隔サーバ２Ａは、固有情報の送信を要求した全ての設備機器４から固有情報を受信すると（ステップＳ４０３；ＹＥＳ）、受信した各固有情報に基づく管理対象情報（即ち、最新の管理対象情報）と、当該管理装置３Ａに対応する従前の管理対象情報とを照合する（ステップＳ４０４）。

上記の照合の結果、管理対象の設備機器４が全て変更されている等の条件が成立し、追加認証の必要があると判別した場合（ステップＳ４０５；ＹＥＳ）、遠隔サーバ２Ａは、管理装置３Ａに対して、追加認証情報の送信を要求する（ステップＳ４０６）。一方、追加認証の必要がないと判別した場合（ステップＳ４０５；ＮＯ）、ステップＳ４０９に移行する。

上記の要求に応答して管理装置３Ａから送られてきた追加認証情報を受信すると（ステップＳ４０７；ＹＥＳ）、遠隔サーバ２Ａは、受信した追加認証情報と、追加認証情報テーブル２４１に登録されている各追加認証情報とを照合することで、当該管理装置３Ａの追加認証を行う。

上記の追加認証に基づく当該管理装置３Ａの正当性が認証されたと判別した場合、即ち、追加認証が完了した場合（ステップＳ４０８；ＹＥＳ）、ステップＳ４０９に移行する。一方、追加認証が失敗したと判別した場合、即ち、追加認証が完了していない場合（ステップＳ４０８；ＮＯ）、ステップＳ４０７に戻る。

ステップＳ４０９では、遠隔サーバ２Ａは、当該管理装置３Ａに対して、追加認証情報の送信停止を要求する。また、遠隔サーバ２Ａは、当該管理装置３Ａに対応する最新の管理対象情報と従前の管理対象情報との間に相違がある場合、最新の管理対象情報に基づいて管理対象情報ＤＢ２４０を更新する（ステップＳ４１０）。そして、遠隔サーバ２Ａは、当該管理装置３Ａに対する通信状態を認証モードから通常モードに切り替え（ステップＳ４１１）、その後、認証処理を終了する。通信状態が通常モードに移行すると、通常処理部２０４は、当該管理装置３Ａの管理対象である各設備機器４を監視し、制御するための通常処理を開始する。

以上説明したように、本実施の形態の通信システムによれば、遠隔サーバ２Ａは、管理装置３Ａに対する通常認証が完了した後、当該管理装置３Ａの管理対象の各設備機器４から固有情報を収集することで当該管理装置３Ａに対応する最新の管理対象情報を取得する。そして、遠隔サーバ２Ａは、取得した最新の管理対象情報と、当該管理装置３Ａに対応する従前の管理対象情報とを照合することで、追加認証の要否を判別し、追加認証の必要があると判別した場合、当該管理装置３Ａに対して追加認証情報の送信を要求する。

上記の要求に応答して、管理装置３Ａはユーザに対して追加認証情報の入力を促す報知を行い、ユーザが操作端末３を介して入力した追加認証情報を遠隔サーバ２Ａに送信する。遠隔サーバ２Ａは、管理装置３Ａから受信した追加認証情報に基づいて追加認証を行い、追加認証が完了した場合に限り、当該管理装置３Ａと通常のデータ送受を行う。

このため、管理装置３Ａが盗難された場合であっても、当該管理装置３Ａの不正な使用を防止することが可能となる。

なお、管理装置３Ａは、操作端末５を介して、ユーザに追加認証情報の入力が必要であることを報知してもよい。この場合、例えば、管理装置３Ａは、操作端末５のディスプレイ５０に「追加認証情報の入力が必要です」等のメッセージ又はそのようなメッセージを示すコードを表示させる。あるいは、管理装置３Ａは、操作端末５に電子音又は音声を出力させてもよい。

（実施の形態３）
続いて、本発明の実施の形態３について説明する。なお、以下の説明において、実施の形態１と共通する構成要素等については、同一の符号を付し、その説明を省略する。

図１２は、本発明の実施の形態３に係る通信システムを備えた設備管理システム１Ｂの全体構成を示す図である。設備管理システム１Ｂは、遠隔サーバ２Ｂと、複数の拠点（拠点１，２，…）の各々にそれぞれ設置される、管理装置３Ｂと、複数の設備機器４と、操作端末５Ａとを備える。また、本実施の形態に係る通信システムは、遠隔サーバ２Ｂと、各拠点の管理装置３Ｂ及び操作端末５Ａとを備える。

遠隔サーバ２Ｂは、本発明に係る遠隔サーバの一例であり、実施の形態１の遠隔サーバ２と同様、各拠点の各設備機器４の監視及び制御を行う装置である。遠隔サーバ２Ｂのハードウェア構成は、遠隔サーバ２と同様（図２参照）である。遠隔サーバ２Ｂの機能については後述する。

管理装置３Ｂは、本発明に係る管理装置の一例である。管理装置３Ｂは、実施の形態１の管理装置３と同様、自装置と同じ拠点に設置された管理対象である１又は複数の設備機器４とネットワーク７を介して互いに通信可能に接続され、各設備機器４の管理を行う、例えば、空調コントローラ等の設備機器コントローラである。但し、管理装置３Ｂは、管理装置３と異なり、図１３に示すように、第３通信インタフェース３２を備えていない。管理装置３Ｂの機能については後述する。

操作端末５Ａは、実施の形態１の操作端末５と同様、スマートフォン、タブレット端末、ノート型ＰＣ等の携帯可能な電子機器である。但し、操作端末５Ａは、操作端末５と異なり、図１４に示すように、通信インタフェース５２の替わりに通信インタフェース５２Ａを備え、また、カメラ５８を備える。通信インタフェース５２Ａは、ネットワーク６を介して遠隔サーバ２Ｂと通信するためのネットワークカード等の装置である。

カメラ５８は、ＣＣＤ（Charge-Coupled Device）、ＣＭＯＳ（Complementary Metal Oxide Semiconductor）等のイメージセンサで構成され、ユーザの操作に従って撮影を行い、撮影した画像をＲＡＭ５５又は二次記憶装置５６に保存する。

図１５は、遠隔サーバ２Ｂ、管理装置３Ｂ及び操作端末５Ａの機能構成を示すブロック図である。図１５に示すように、遠隔サーバ２Ｂは、通常認証部２００Ａと、管理対象情報取得部２０１と、追加認証要否判別部２０２と、モード切替部２０３と、通常処理部２０４と、追加認証情報要求部２０５と、追加認証部２０６Ａとを備える。遠隔サーバ２Ｂのこれらの機能部は、遠隔サーバ２ＢのＣＰＵ２１が二次記憶装置２４に記憶されている、各管理装置３Ｂの正当性を確認するための認証処理と、操作端末５Ａの正当性を確認するための認証処理と、各設備機器４を監視し、制御するための監視・制御処理とが記述された監視・制御プログラムを実行することで実現される。

また、管理装置３Ｂは、被通常認証部３００と、固有情報取得部３０１と、管理対象情報送信部３０２と、モード切替部３０３と、通常処理部３０４と、報知部３０５とを備える。管理装置３Ｂのこれらの機能部は、管理装置３ＢのＣＰＵ３３が二次記憶装置３６に記憶されている、遠隔サーバ２Ｂから認証を受けるための被認証処理と、各設備機器４を管理するための管理処理とが記述された管理プログラムを実行することで実現される。

また、操作端末５Ａは、追加認証情報入力受付部５００と、被通常認証部５０１と、追加認証情報送信部５０２とを備える。操作端末５Ａのこれらの機能部は、操作端末５ＡのＣＰＵ５３が二次記憶装置５６に記憶されている、遠隔サーバ２Ｂに追加認証情報を送信するための追加認証情報送信プログラムを実行することで実現される。

操作端末５Ａにおいて、追加認証情報入力受付部５００は、ユーザから追加認証情報の入力を受け付ける。例えば、追加認証情報入力受付部５００は、ディスプレイ５０に、追加認証情報を入力するための画面（以下、追加認証情報入力画面という。）を表示し、かかる追加認証情報入力画面を介してユーザから追加認証情報の入力を受け付ける。例えば、ユーザは、追加認証情報として当該ユーザに対応するＩＤ及びパスワードを入力する。

また、追加認証情報入力受付部５００は、当該管理装置３Ｂを識別するための情報（以下、管理装置識別情報という。）を取得する。詳細には、追加認証情報入力画面には、カメラ５８の撮影画像から当該管理装置３Ｂの型番を読み取るためのＧＵＩ（Graphical User Interface）ボタンが配置されている。ユーザは、カメラ５８のレンズを当該管理装置３Ｂの筐体に付着された、当該管理装置３Ｂの型番を記したプレートに向けて当該ＧＵＩボタンを押下すると、当該プレートに記された型番が管理装置識別情報として追加認証情報入力受付部５００により読み取られる。

追加認証情報入力受付部５００は、ユーザにより追加認証情報入力の完了操作が行われると、その旨を被通常認証部５０１に通知すると共に、ユーザにより入力された追加認証情報及び取得した管理装置識別情報を追加認証情報送信部５０２に供給する。

被通常認証部５０１は、追加認証情報入力受付部５００から上記の通知を受けると、通信インタフェース５２Ａを介して遠隔サーバ２Ｂにクライアント証明書等の通常認証情報を送信して自装置の正当性についての通常認証を受ける被通常認証処理を実行する。遠隔サーバ２Ｂの通常認証部２００Ａは、通信インタフェース２０を介して操作端末５Ａから受け取った通常認証情報に基づいて当該操作端末５Ａの正当性を認証する。

被通常認証部５０１は、遠隔サーバ２Ｂの通常認証部２００Ａから、通常認証に基づく正当性が認証されたことを示す認証結果を通信インタフェース５２Ａを介して受け取ると、その旨を追加認証情報送信部５０２に通知する。

追加認証情報送信部５０２は、被通常認証部５０１から上記の通知を受けると、追加認証情報入力受付部５００から供給された追加認証情報及び管理装置識別情報を通信インタフェース５２Ａを介して遠隔サーバ２Ｂに送信する。

遠隔サーバ２Ｂの追加認証部２０６Ａは、本発明の遠隔サーバに係る第２認証手段の一例である。追加認証部２０６Ａは、操作端末５Ａの追加認証情報送信部５０２から送られてきた追加認証情報及び管理装置識別情報を通信インタフェース２０を介して取得する。追加認証部２０６Ａは、取得した追加認証情報と、追加認証情報テーブル２４１に登録されている各追加認証情報とを照合することで、当該管理装置３Ｂの追加認証を行う。

追加認証に基づく当該管理装置３Ｂの正当性が認証されたと判別した場合、追加認証部２０６Ａは、当該管理装置３Ｂの正当性が認証された旨をモード切替部２０３に通知すると共に、通常通信を許可する旨を管理装置３Ｂに通知する。また、その際、最新の管理対象情報と従前の管理対象情報との間に相違がある場合には、追加認証部２０６Ａは、最新の管理対象情報によって、管理対象情報ＤＢ２４０における当該管理装置３Ｂに対応する管理対象情報を更新する。

モード切替部２０３は、追加認証部２０６Ａから当該管理装置３Ｂの正当性が認証された旨の通知を受けると、当該管理装置３Ｂとの通信状態を認証モードから通常モードに切り替える。これにより、通常処理部２０４は、当該管理装置３Ｂの管理対象である各設備機器４を監視し、制御するための通常処理を開始する。また、管理装置３Ｂのモード切替部３０３は、遠隔サーバ２Ｂの追加認証部２０６Ａから、通常通信を許可する旨の通知を受けると、遠隔サーバ２Ｂとの通信状態を認証待ちモードから通常モードに切り替える。これにより、通常処理部３０４は、報知を停止し、以後、定期的に各設備機器４の運転状態を示す運転データを遠隔サーバ２Ｂにアップロードしたり、遠隔サーバ２Ｂからの制御コマンドに従って各設備機器４を制御する等の通常処理を開始する。

図１６は、管理装置３Ｂが実行する被認証処理の手順を示すフローチャートである。管理装置３Ｂは、電源がＯＮされると、被認証処理の実行を開始する。

管理装置３Ｂは、遠隔サーバ２Ｂにクライアント証明書等の通常認証情報を送信して自装置の正当性についての通常認証を受ける被通常認証処理を実行する（ステップＳ５０１）。遠隔サーバ２Ｂから、通常認証に基づく正当性が認証されたことを示す認証結果を受け取ると、即ち、遠隔サーバ２Ｂによる通常認証が完了すると（ステップＳ５０２；ＹＥＳ）、管理装置３Ｂは、管理対象の各設備機器４から固有情報を取得する（ステップＳ５０３）。

管理装置３Ｂは、取得した各固有情報が格納された管理対象情報を遠隔サーバ２Ｂに送信する（ステップＳ５０４）。その後、遠隔サーバ２Ｂから通常通信を許可する旨の通知を受けると（ステップＳ５０５；ＹＥＳ）、ステップＳ５０８に移行する。

一方、遠隔サーバ２Ｂから追加認証情報の要求を受けると（ステップＳ５０５；ＮＯ且つステップＳ５０６；ＹＥＳ）、管理装置３Ｂは、追加認証情報の入力を促すための報知、即ち、追加認証情報の入力が必要であることをユーザに報知する（ステップＳ５０７）。ステップＳ５０６でＮＯ又はステップＳ５０７の後、ステップＳ５０５に戻る。

ステップＳ５０８では、管理装置３Ｂは、遠隔サーバ２Ｂとの通信状態を認証待ちモードから通常モードに切り替え、その後、被認証処理を終了する。通信状態が通常モードに移行すると、管理装置３Ｂは、報知を停止し、上述した通常処理を開始する。

図１７は、操作端末５Ａが実行する追加認証情報送信処理の手順を示すフローチャートである。操作端末５Ａは、ユーザにより操作受付部５１を介して追加認証情報の入力を要求する操作が行われると、追加認証情報送信処理の実行を開始する。

操作端末５Ａは、上述したようにして、ユーザから追加認証情報の入力を受け付け（ステップＳ６０１）、また、管理装置識別情報を取得する（ステップＳ６０２）。

操作端末５Ａは、遠隔サーバ２Ｂにクライアント証明書等の通常認証情報を送信して自端末の正当性についての通常認証を受ける被通常認証処理を実行する（ステップＳ６０３）。遠隔サーバ２Ｂから、通常認証に基づく正当性が認証されたことを示す認証結果を受け取ると、即ち、遠隔サーバ２Ｂによる通常認証が完了すると（ステップＳ６０４；ＹＥＳ）、追加認証情報及び管理装置識別情報を遠隔サーバ２Ｂに送信する（ステップＳ６０５）。その後、追加認証情報送信処理は終了する。

図１８は、遠隔サーバ２Ｂが実行する認証処理の手順を示すフローチャートである。遠隔サーバ２Ｂは、管理装置３Ｂから通常認証情報を受信すると、当該管理装置３Ｂに対する認証処理の実行を開始する。

遠隔サーバ２Ｂは、管理装置３Ｂから受信した、クライアント証明書等の通常認証情報に基づいて、当該管理装置３Ｂに対する通常認証処理を実行する（ステップＳ７０１）。遠隔サーバ２Ｂは、通常認証の結果を管理装置３Ｂに通知する。通常認証に基づく正当性が認証された場合、管理装置３Ｂは、遠隔サーバ２Ｂに現在の対象管理情報を送信する。管理装置３Ｂから送られてきた管理対象情報を受信すると（ステップＳ７０２；ＹＥＳ）、遠隔サーバ２Ｂは、受信した管理対象情報と、管理対象情報ＤＢ２４０に登録されている、当該管理装置３Ｂに対応する従前の管理対象情報とを照合する（ステップＳ７０３）。

上記の照合の結果、管理対象の設備機器４が全て変更されている等の条件が成立し、追加認証の必要があると判別した場合（ステップＳ７０４；ＹＥＳ）、遠隔サーバ２Ｂは、管理装置３Ｂに対して、追加認証情報の送信を要求する（ステップＳ７０５）。一方、追加認証の必要がないと判別した場合（ステップＳ７０４；ＮＯ）、ステップＳ７１０に移行する。

ステップＳ７０５の後、操作端末５Ａからの通信があると（ステップＳ７０６；ＹＥＳ）、遠隔サーバ２Ｂは、操作端末５Ａから受信した、クライアント証明書等の通常認証情報に基づいて、当該操作端末５Ａに対する通常認証処理を実行し（ステップＳ７０７）、通常認証の結果を操作端末５Ａに通知する。通常認証に基づく正当性が認証された場合、上述したように、操作端末５Ａは、遠隔サーバ２Ｂに追加認証情報及び管理装置識別情報を送信する。

操作端末５Ａから送られてきた追加認証情報を受信すると（ステップＳ７０８；ＹＥＳ）、遠隔サーバ２Ｂは、受信した追加認証情報と、追加認証情報テーブル２４１に登録されている各追加認証情報とを照合することで、当該管理装置３Ｂの追加認証を行う。一方、追加認証情報を受信していない場合（ステップＳ７０８；ＮＯ）、ステップＳ７０６に戻る。

上記の追加認証に基づく当該管理装置３Ｂの正当性が認証されたと判別した場合、即ち、追加認証が完了した場合（ステップＳ７０９；ＹＥＳ）、ステップＳ７１０に移行する。一方、追加認証が失敗したと判別した場合、即ち、追加認証が完了していない場合（ステップＳ７０９；ＮＯ）、ステップＳ７０６に戻る。

ステップＳ７１０では、遠隔サーバ２Ｂは、当該管理装置３Ｂに対して、通常通信を許可する旨を通知する。また、遠隔サーバ２Ｂは、当該管理装置３Ｂに対応する最新の管理対象情報と従前の管理対象情報との間に相違がある場合、最新の管理対象情報に基づいて管理対象情報ＤＢ２４０を更新する（ステップＳ７１１）。そして、遠隔サーバ２Ｂは、当該管理装置３Ｂに対する通信状態を認証モードから通常モードに切り替え（ステップＳ７１２）、その後、認証処理を終了する。通信状態が通常モードに移行すると、管理装置３Ｂは、上述した通常処理を開始する。

以上説明したように、本実施の形態の通信システムによれば、管理装置３Ｂは、遠隔サーバ２Ｂによる当該管理装置３Ｂに対する通常認証が完了した後、最新の管理対象情報、即ち、現在の管理対象である全ての設備機器４から収集した固有情報が格納された管理対象情報を遠隔サーバ２Ｂに送信する。遠隔サーバ２Ｂは、受信した管理対象情報と、当該管理装置３Ｂに対応する従前の管理対象情報とを照合することで、追加認証の要否を判別し、追加認証の必要があると判別した場合、当該管理装置３Ｂに対して追加認証情報の送信を要求する。

上記の要求に応答して、管理装置３Ｂはユーザに対して追加認証情報の入力を促す報知を行う。操作端末５Ａは、ユーザが入力した追加認証情報及び取得した管理装置識別情報を遠隔サーバ２Ｂに送信する。遠隔サーバ２Ｂは、操作端末５Ａから受信した追加認証情報及び管理装置識別情報に基づいて追加認証を行い、追加認証が完了した場合に限り、当該管理装置３Ｂに対して、遠隔サーバ２Ｂとの通常通信の許可を与える。

このため、管理装置３Ｂが盗難され、使用された場合であっても、当該管理装置３Ｂからの遠隔サーバ２Ｂへの不正なアクセスを防止することが可能となる。

なお、追加認証情報入力受付部５００は、ユーザから当該ユーザの指紋等の生体認証情報の入力を受け付け、入力された生体認証情報を追加認証情報として追加認証情報送信部５０２に供給してもよい。

本発明は、上記の各実施の形態に限定されず、本発明の要旨を逸脱しない範囲での種々の変更は勿論可能である。

例えば、管理対象情報には、各設備機器４のアドレス、接続構成に関する情報等が含まれていてもよい。

また、遠隔サーバ２，２Ａ，２Ｂの機能部の全部又は一部、管理装置３，３Ａ，３Ｂの機能部の全部又は一部、操作端末５Ａの機能部の全部又は一部が、専用のハードウェアで実現されるようにしてもよい。専用のハードウェアとは、例えば、単一回路、複合回路、プログラム化されたプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）又はこれらの組み合わせである。

また、遠隔サーバ２，２Ａ，２Ｂにおける各監視・制御プログラムは、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＤＶＤ（Digital Versatile Disc）、光磁気ディスク（Magneto-Optical Disc）、ＵＳＢ（Universal Serial Bus）メモリ、メモリカード、ＨＤＤ等のコンピュータ読み取り可能な記録媒体に格納して配布することも可能である。同様に、管理装置３，３Ｂの管理プログラム、管理装置３Ａの中継プログラムについても、上記のような記録媒体に格納して配布することが可能である。

また、上記の各プログラムをインターネット上の図示しないサーバが有する記憶装置に格納しておき、当該サーバから遠隔サーバ２，２Ａ，２Ｂ、管理装置３，３Ａ，３Ｂに対して、それぞれ対応するプログラムがダウンロードされるようにしてもよい。

１，１Ａ，１Ｂ 設備管理システム、２，２Ａ，２Ｂ 遠隔サーバ、３，３Ａ，３Ｂ 管理装置、４ 設備機器、５，５Ａ 操作端末、６，７ ネットワーク、２０，５２，５２Ａ 通信インタフェース、２１，３３，５３ ＣＰＵ、２２，３４，５４ ＲＯＭ、２３，３５，５５ ＲＡＭ、２４，３６，５６ 二次記憶装置、２５，３７，５７ バス、３０ 第１通信インタフェース、３１ 第２通信インタフェース、３２ 第３通信インタフェース、５０ ディスプレイ、５１ 操作受付部、５８ カメラ、２００，２００Ａ 通常認証部、２０１ 管理対象情報取得部、２０２，２０２Ａ 追加認証要否判別部、２０３，３０３ モード切替部、２０４，３０４，３０４Ａ 通常処理部、２０５，２０５Ａ 追加認証情報要求部、２０６，２０６Ａ 追加認証部、２０７，３０１ 固有情報取得部、２４０ 管理対象情報ＤＢ、２４１ 追加認証情報テーブル、３００，５０１ 被通常認証部、３０２ 管理対象情報送信部、３０５，３０５Ａ 報知部、３０６ 追加認証情報取得部、３０７，５０２ 追加認証情報送信部、５０１ 追加認証情報入力受付部

Claims (10)

1. 管理装置との通信開始時に前記管理装置の第１認証を行う第１認証手段と、
   前記第１認証に基づく前記管理装置の正当性が認証された後、前記管理装置から、前記管理装置の管理対象である設備機器の固有情報を含む管理対象情報を取得する管理対象情報取得手段と、
   前記管理装置に対応する従前の管理対象情報を予め記憶する管理対象情報記憶手段と、
   前記取得された管理対象情報と、前記従前の管理対象情報とを照合することで第２認証の要否を判別する第２認証要否判別手段と、
   前記第２認証要否判別手段により前記第２認証の必要があると判別された場合、前記管理装置に第２認証情報を要求する第２認証情報要求手段と、
   前記管理装置に対応する第２認証情報を予め記憶する第２認証情報記憶手段と、
   前記管理装置から前記第２認証情報を取得し、取得した第２認証情報と前記第２認証情報記憶手段に記憶されている第２認証情報とを照合することで前記管理装置の第２認証を行う第２認証手段と、
   前記第２認証要否判別手段により前記第２認証の必要がないと判別された場合、及び、前記第２認証に基づく前記管理装置の正当性が認証された場合の一方が成立すると、前記管理装置との通信状態を認証モードから通常モードに切り替えるモード切替手段と、を備える、遠隔サーバ。
2. 管理装置との通信開始時に前記管理装置の第１認証を行う第１認証手段と、
   前記第１認証に基づく前記管理装置の正当性が認証された後、前記管理装置から、前記管理装置の管理対象である設備機器の固有情報を含む管理対象情報を取得する管理対象情報取得手段と、
   前記管理装置に対応する従前の管理対象情報を予め記憶する管理対象情報記憶手段と、
   前記取得された管理対象情報と、前記従前の管理対象情報とを照合することで第２認証の要否を判別する第２認証要否判別手段と、
   前記第２認証要否判別手段により前記第２認証の必要があると判別された場合、前記管理装置に第２認証情報を要求する第２認証情報要求手段と、
   前記管理装置に対応する第２認証情報を予め記憶する第２認証情報記憶手段と、
   操作端末から前記第２認証情報を取得し、取得した第２認証情報と前記第２認証情報記憶手段に記憶されている第２認証情報とを照合することで前記管理装置の第２認証を行う第２認証手段と、
   前記第２認証要否判別手段により前記第２認証の必要がないと判別された場合、及び、前記第２認証に基づく前記管理装置の正当性が認証された場合の一方が成立すると、前記管理装置との通信状態を認証モードから通常モードに切り替えるモード切替手段と、を備える、遠隔サーバ。
3. 遠隔サーバにより第１認証に基づく正当性が認証されると、通信接続する設備機器から当該設備機器の固有情報を取得する固有情報取得手段と、
   前記取得された固有情報を含む管理対象情報を前記遠隔サーバに送信する管理対象情報送信手段と、
   前記遠隔サーバから第２認証情報の要求を受けると、ユーザに前記第２認証情報の入力が必要であることを報知する報知手段と、
   ユーザが入力した第２認証情報を取得する第２認証情報取得手段と、
   前記取得された第２認証情報を前記遠隔サーバに送信する第２認証情報送信手段と、
   前記遠隔サーバから通常通信を許可する通知を受けると、前記遠隔サーバとの通信状態を認証待ちモードから通常モードに切り替えるモード切替手段と、を備える、管理装置。
4. 遠隔サーバにより第１認証に基づく正当性が認証されると、通信接続する設備機器から当該設備機器の固有情報を取得する固有情報取得手段と、
   前記取得された固有情報を含む管理対象情報を前記遠隔サーバに送信する管理対象情報送信手段と、
   前記遠隔サーバから第２認証情報の要求を受けると、ユーザに前記第２認証情報の入力が必要であることを報知する報知手段と、
   前記遠隔サーバから通常通信を許可する通知を受けると、前記遠隔サーバとの通信状態を認証待ちモードから通常モードに切り替えるモード切替手段と、を備える、管理装置。
5. 請求項１に記載の遠隔サーバと、
   請求項３に記載の管理装置と、を備える、通信システム。
6. 請求項２に記載の遠隔サーバと、
   請求項４に記載の管理装置と、を備える、通信システム。
7. 管理装置との通信開始時に前記管理装置の第１認証を行い、
   前記第１認証に基づく前記管理装置の正当性が認証された後、前記管理装置から、前記管理装置の管理対象である設備機器の固有情報を含む管理対象情報を取得し、
   前記取得した管理対象情報と、記憶装置に予め記憶されている前記管理装置に対応する管理対象情報とを照合することで第２認証の要否を判別し、
   前記第２認証の必要があると判別した場合、前記管理装置に第２認証情報を要求し、
   前記管理装置から前記第２認証情報を取得し、取得した第２認証情報と、前記記憶装置に予め記憶されている前記管理装置に対応する第２認証情報とを照合することで前記管理装置の第２認証を行い、
   前記第２認証の必要がないと判別した場合、及び、前記第２認証に基づく前記管理装置の正当性が認証された場合の一方が成立すると、前記管理装置との通信状態を認証モードから通常モードに切り替える、認証方法。
8. 遠隔サーバにより第１認証に基づく正当性が認証されると、通信接続する設備機器から当該設備機器の固有情報を取得し、
   前記取得した固有情報を含む管理対象情報を前記遠隔サーバに送信し、
   前記遠隔サーバから第２認証情報の要求を受けると、ユーザに前記第２認証情報の入力が必要であることを報知し、
   ユーザが入力した第２認証情報を取得し、
   前記取得した第２認証情報を前記遠隔サーバに送信し、
   前記遠隔サーバから通常通信を許可する通知を受けると、前記遠隔サーバとの通信状態を認証待ちモードから通常モードに切り替える、被認証方法。
9. コンピュータを、
   管理装置との通信開始時に前記管理装置の第１認証を行う第１認証手段、
   前記第１認証に基づく前記管理装置の正当性が認証された後、前記管理装置から、前記管理装置の管理対象である設備機器の固有情報を含む管理対象情報を取得する管理対象情報取得手段、
   前記取得された管理対象情報と、記憶装置に予め記憶されている前記管理装置に対応する管理対象情報とを照合することで第２認証の要否を判別する第２認証要否判別手段、
   前記第２認証要否判別手段により前記第２認証の必要があると判別された場合、前記管理装置に第２認証情報を要求する第２認証情報要求手段、
   前記管理装置から前記第２認証情報を取得し、取得した第２認証情報と、前記記憶装置に予め記憶されている前記管理装置に対応する第２認証情報とを照合することで前記管理装置の第２認証を行う第２認証手段、
   前記第２認証要否判別手段により前記第２認証の必要がないと判別された場合、及び、前記第２認証に基づく前記管理装置の正当性が認証された場合の一方が成立すると、前記管理装置との通信状態を認証モードから通常モードに切り替えるモード切替手段、として機能させる、プログラム。
10. コンピュータを、
    遠隔サーバにより第１認証に基づく正当性が認証されると、通信接続する設備機器から当該設備機器の固有情報を取得する固有情報取得手段、
    前記取得された固有情報を含む管理対象情報を前記遠隔サーバに送信する管理対象情報送信手段、
    前記遠隔サーバから第２認証情報の要求を受けると、ユーザに前記第２認証情報の入力が必要であることを報知する報知手段、
    ユーザが入力した第２認証情報を取得する第２認証情報取得手段、
    前記取得された第２認証情報を前記遠隔サーバに送信する第２認証情報送信手段、
    前記遠隔サーバから通常通信を許可する通知を受けると、前記遠隔サーバとの通信状態を認証待ちモードから通常モードに切り替えるモード切替手段、として機能させる、プログラム。

Images