JP7675672B2 - エレベーター接続機器確認システム及びエレベーター接続機器確認方法 - Google Patents

Description

本発明は、エレベーター接続機器確認システム及びエレベーター接続機器確認方法に関する。

エレベーターシステムにおいては、複数コントローラが様々な通信路を介して接続されている。該通信路には様々な機器を接続することが可能であるが、エレベーターシステムで接続が想定されていない機器、すなわち、エレベーターシステムの規格に適合しない非正規機器が通信路に繋がれた場合、該エレベーターシステムの動作に支障が生じる可能性がある。

エレベーターシステムに接続される代表的な機器の一つに、保守作業等で使われるサービスツールがある。エレベーターシステムに接続されたサービスツールが、エレベーターの規格に適合した正規機器でない場合には、サービスツールを用いた保守作業だけでなく、エレベーターシステム全体の動作にも支障が生じる可能性がある。

サービスツールが正規機器であるか否かを確認するサービスツール認証情報管理システムを用いることにより、非正規機器がエレベーターシステムに接続された場合にそのことを検知することができる。例えば、特許文献１には、複数の命令を記憶するように動作可能である記憶媒体と、認証情報要求をネットワークサーバに送信し、サービスツールで機器制御装置にアクセスする命令を実行するように構成される少なくとも１つのプロセッサと、を含むサービスツール認証情報管理システムが開示されている。

特開２０１９－２３８６８号公報

ところで、特許文献１に記載されたサービスツール認証情報管理システムを導入するためには、機器構成要素を監視及び／又は制御するための機器制御装置と、認証情報を管理するネットワークサーバと、機器制御装置及びネットワークサーバ間を接続する通信経路と、を新たに設ける必要があり、導入コストがかさんでしまう。

本発明は、上記の状況を考慮してなされたものであり、本発明の目的は、新たな装置又は通信路を追加することなく、エレベーターシステムに接続された外部機器が正規機器であるか否かを確認できるようにすることを目的とする。

本発明の一態様に係るエレベーター接続機器確認システムは、複数のコントローラを含むエレベーターシステムに接続される外部機器を確認するエレベーター接続機器確認システムである。複数のコントローラのうちのいずれかのコントローラであるメインコントローラは、複数のコントローラのうちのいずれかをサブコントローラとして選択する選択部と、サブコントローラの識別情報を少なくとも含む情報を、外部機器から取得した暗号鍵を用いて暗号化することにより、暗号化情報を生成する暗号化部と、暗号化情報を外部機器へ送信する送信部と、外部機器が暗号化情報を復号して得たサブコントローラの識別情報に基づいて、外部機器によって識別されたコントローラを送信元として送信されたパケットの送信元情報と、選択部によって選択されたサブコントローラの情報とを比較し、両情報が一致しない場合に、外部機器はエレベーターシステムの規格に適合しない非正規機器であると判定する判別部と、を備える。

また、本発明の一態様に係るエレベーター接続機器確認方法は、複数のコントローラを含むエレベーターシステムに接続される外部機器を確認するエレベーター接続機器確認システムによるエレベーター接続機器確認方法である。本発明の一態様に係るエレベーター接続機器確認方法は、複数のコントローラのうちのいずれかのコントローラであるメインコントローラが、複数のコントローラのうちのいずれかをサブコントローラとして選択する手順と、メインコントローラが、サブコントローラの識別情報を少なくとも含む情報を、外部機器から取得した暗号鍵を用いて暗号化することにより、暗号化情報を生成する手順と、メインコントローラが、暗号化情報を外部機器へ送信する手順と、メインコントローラが、外部機器が暗号化情報を復号して得たサブコントローラの識別情報に基づいて、外部機器によって識別されたコントローラを送信元として送信されたパケットの送信元情報と、選択したサブコントローラの情報とを比較し、両情報が一致しない場合に、外部機器はエレベーターシステムの規格に適合しない非正規機器であると判定する手順と、を含む。

本発明の少なくとも一態様によれば、新たな装置又は通信路を追加することなく、エレベーターシステムに接続された外部機器が正規機器であるか否かを確認できる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施形態に係るエレベーターシステムの概略構成例を示す図である。 本発明の一実施形態に係るノード、メインコントローラ及びサブコントローラの制御系の構成例を示すブロック図である。 本発明の一実施形態に係るエレベーターシステムを構成する各装置のハードウェア構成例を示すブロック図である。 本発明の一実施形態に係るエレベーターシステムによるエレベーター接続機器確認処理の手順の例を示すフローチャートである。 本発明の一実施形態に係るエレベーターシステムによるエレベーター接続機器確認処理における初期通信処理及び一次通信処理の手順の例を示すフローチャートである。 本発明の一実施形態に係る初期パケットの構成例を示す図である。 本発明の一実施形態に係る一次パケットの構成例を示す図である。 本発明の一実施形態に係る、エレベーターシステムによるエレベーター接続機器確認処理における二次通信処理及び三次通信処理の手順の例を示すフローチャートである。 本発明の一実施形態に係る二次パケットの構成例を示す図である。 本発明の一実施形態に係る三次パケットの構成例を示す図である。 本発明の一実施形態に係るエレベーターシステムによるエレベーター接続機器確認処理における判別処理の手順の例を示すフローチャートである。 本発明の一実施形態に係る、追加されたノードが非正規機器であると判定した場合におけるメインコントローラでの処理例（１）の手順を示すフローチャートである。 本発明の一実施形態に係る、追加されたノードが非正規機器であると判定した場合におけるメインコントローラでの処理例（２）の手順を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（１）の手順の例を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（２）の手順の例を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（３）の手順の例を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（４）の手順の例を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（５）の手順の例を示すフローチャートである。 本発明の一実施形態に係る一時データの生成例及びサブコントローラの決定例（６）の手順の例を示すフローチャートである。

以下、本発明を実施するための形態（以下、「実施形態」と称する）の例について、添付図面を参照しながら説明する。本発明は実施形態に限定されるものではなく、実施形態における種々の数値等は例示である。また、本明細書及び図面において、同一の構成要素又は実質的に同一の機能を有する構成要素には同一の符号を付することとし、重複する説明は省略する。

＜エレベーターシステムの概略構成＞
まず、図１を参照して、本発明の一実施形態に係るエレベーターシステム１００（エレベーター接続機器確認システムの一例）の構成について説明する。図１は、エレベーターシステム１００の概略構成例を示す図である。

図１に示すように、エレベーターシステム１００は、センタ装置１と、通信コントローラ３と、群管理コントローラ４と、エレベーター１５と、保守端末１９と、管理端末２０と、を含む。

センタ装置１は、エレベーター１５が設けられた建物とは遠隔の場所に設けられ、ネットワーク２を介して接続されたエレベーター１５の管理、監視、保守等を行う装置である。ネットワーク２は、例えば、専用回線のような閉回路網、又は、インターネットのような公衆回線等で構成される。

保守端末１９は、エレベーター１５の保守作業員（図示略）が所持する携帯端末であり、ネットワーク２に接続される。保守端末１９は、保守作業員による操作に基づいて、エレベーター１５の故障時の運行データを取得したり、作業点検内容等を画面に表示したりする。

管理端末２０は、エレベーター１５の運行を監視・操作する機器であり、汎用ＰＣ（Personal Computer）又は専用機器で構成される。管理端末２０は、例えば、エレベーター１５が設けられた建物の管理室（図示略）等に設置され、通信路１７に接続される。

通信コントローラ３は、センタ装置１とエレベーター１５との間のデータ授受、保守端末１９による遠隔操作及び遠隔保守を実行させるための通信等を制御するコントローラであり、ネットワーク２及び通信路１７に接続される。

群管理コントローラ４は、複数のエレベーター１５のまとまりを、エレベーターグループ１８としてまとめて管理、運用するコントローラであり、通信路１７及び通信路１６に接続される。エレベーターグループ１８は、例えば、エレベーター１５の設置場所や用途、エレベーター１５が設置された建物等の単位で設けられる。

エレベーターコントローラ５は、複数のエレベーター１５のそれぞれに設けられ、エレベーター１５の動作を制御するコントローラであり、通信路１６及び通信路１２に接続される。エレベーターコントローラ５は、例えば、エレベーター１５の主機であるモーター６を制御して、乗りかご７とカウンターウェイト８とを連結しているロープ９の動きを操作することによって、乗りかご７を昇降移動又は停止させ、これにより利用者に昇降移動のサービスを提供する。

なお、乗りかご７は、図１においては１つのみが図示されているが、複数のエレベーター１５のそれぞれに１台又は複数台設けられているものとする。

エレベーターコントローラ５は、通信路１６を介して群管理コントローラ４と接続され、通信路１２を経由して、かごコントローラ１０及びフロアコントローラ１１と接続される。図１において、フロアコントローラ１１は１つのみ図示しているが、実際には建物内のフロア（階床）の数に対応して複数設けられているものとする。

かごコントローラ１０は、乗りかご７内に設置されている行先階ボタン及びドア開閉ボタン１３の、利用者（図示略）による操作状況を監視し、取得した操作内容を、操作の状況変化としてエレベーターコントローラ５に伝える。

フロアコントローラ１１は、例えば、各フロア（図示略）に設置される上下ボタン１４の、各階における利用者による操作状況を監視し、取得した操作内容を、操作の状況変化としてエレベーターコントローラ５に伝える。

エレベーターシステム１００に新しく接続されるノード３０には、例えば、エレベーターシステム１００の保守点検を行う保守端末、エレベーターシステム１００に新たなデータを提供するためのセンサ又はカメラ、新たな処理や機能などを提供するエッジ・コントローラ、不図示の別システム又はネットワークへの接続用の通信コントローラ、等がある。新たなデータには、例えば、乗りかご７内又はフロア内の人数の測定値等があり、新たな処理や機能には、例えば、ＡＩ（Artificial Intelligence）を使った人流予測の結果、すなわち、どれくらいの乗客がエレベーター１５を利用しそうかの推論結果等がある。なお、ノード３０は、これらの情報や処理、機能を提供する機器に限定されない。

新たに追加されるノード３０は、通信路１２、通信路１６及び通信路１７の１つ以上に接続され得る。なお、図１に示した各通信路によるネットワーク構成は一例であり、本発明のネットワーク構成は図１に示す例に限定されない。また、本発明のエレベーターシステムの機器構成も、図１に示す例に限定されない。

本実施形態では、通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１、保守端末１９及び管理端末２０のいずれかが、メインコントローラ５０又はサブコントローラ６０（いずれも図２参照）に設定される。なお、エレベーターシステムにこれら以外のコントローラが含まれる場合には、該コントローラもメインコントローラ５０又はサブコントローラ６０に設定され得る。

メインコントローラ５０は、新たに追加されたノード３０の認証処理を実行するコントローラである。サブコントローラ６０は、ノード３０の認証用のパケットの通信経路を構成するコントローラであり、メインコントローラ５０によって選択される。メインコントローラ５０によるサブコントローラ６０の選択は、エレベーター１５の運行情報の加工情報（運行情報に示される値を種とする乱数等）に基づいて行われる。メインコントローラ５０によるサブコントローラ６０の選択手法については後述する。

＜ノード、メインコントローラ、サブコントローラの制御系の構成＞
次に、図２を参照して、ノード３０、メインコントローラ５０及びサブコントローラ６０の制御系の構成について説明する。図２は、ノード３０、メインコントローラ５０及びサブコントローラ６０の制御系の構成例を示すブロック図である。ノード３０、メインコントローラ５０及びサブコントローラ６０はそれぞれ、通信路１２、通信路１６及び通信路１７のいずれかである通信経路Ｎｔを介して、互いに通信可能に接続される。

［ノード］
新たにエレベーターシステム１００（図１参照）に接続されるノード３０は、公開鍵３１と、該公開鍵３１の対となる秘密鍵Ｎ３２と、を有する。また、ノード３０は、復号部３３と、パケット生成部３４と、通信部３５と、を有する。

復号部３３は、メインコントローラ５０から送信された一次パケットＰ２（図７参照）に含まれる、公開鍵３１を用いて暗号化された暗号化データを復号し、復号して得た情報を、パケット生成部３４に出力する。

パケット生成部３４は、エレベーターシステム１００のいずれかの通信経路にノード３０が接続した場合に、公開鍵３１と自ノードの識別情報とを含む初期パケットＰ１（図６参照）を生成し、該初期パケットＰ１を、通信部３５に出力する。また、パケット生成部３４は、復号部３３から入力された情報を用いて二次パケットＰ３（図９参照）を生成し、該二次パケットＰ３を通信部３５に出力する。

通信部３５は、パケット生成部３４で生成された初期パケットＰ１をメインコントローラ５０に送信する処理、メインコントローラ５０から送信された一次パケットＰ２を受信して復号部３３に出力する処理、及び、パケット生成部３４で生成された二次パケットＰ３をサブコントローラ６０に送信する処理を行う。

［メインコントローラ］
メインコントローラ５０は、秘密鍵Ｍ５３を有する。秘密鍵Ｍ５３（第２の秘密鍵の一例）は、メインコントローラ５０のみが保持する共有鍵である。また、メインコントローラ５０は、一時データ生成部５１と、通信経路選択部５２と、暗号化部５４と、パケット生成部５５と、通信部５６と、アドレス判定部５７と、復号部５８と、判別部５９と、を有する。

一時データ生成部５１（一時的情報生成部の一例）は、通信経路Ｎｔを介して取得したエレベーター１５（図１参照）の運行情報を用いて、一時データ（一時的情報の一例）を生成する。一時データは、運行データ（運行情報の一例）の加工情報であり、例えば、運行データである乗りかご７の位置（かご位置）を種とする乱数の値や、かご位置を所定のハッシュ関数に入力して得られるハッシュ値などがある。なお、一時データは、運行データそのもの（加工前のデータ）であってもよい。

通信経路選択部５２（選択部の一例）は、通信経路Ｎｔを介して取得したエレベーター１５の運行情報に基づいて、ノード３０の認証用のパケット（一次パケットＰ２、二次パケットＰ３、三次パケットＰ４（図１０参照））の通信経路を構成するサブコントローラ６０を選択する。例えば、通信経路選択部５２は、運行データである呼び情報を参照し、呼び登録がされていない（呼びが発生していない）フロアのフロアコントローラ１１（図１参照）を、サブコントローラ６０に選択することができる。通信経路選択部５２によるサブコントローラ６０の選択例については、図１４～図１９を参照して後述する。

暗号化部５４は、通信経路選択部５２によって選択されたサブコントローラ６０の識別情報（以下、「サブ情報」とも称する）と、一時データ生成部５１によって生成された一時データとを、ノード３０から取得した公開鍵３１を用いて暗号化し、暗号化一時データ（図７参照）を生成する。

パケット生成部５５は、暗号化部５４によって生成された暗号化一時データを含む一次パケットＰ２（図７参照）を生成し、該一次パケットＰ２を通信部５６に出力する。一次パケットＰ２の構成例については、後述の図７を参照して詳述する。

通信部５６（送信部の一例）は、ノード３０から送信された初期パケットＰ１（図６参照）を受信する処理、パケット生成部５５で生成された一次パケットＰ２（図７参照）をノード３０に送信する処理、及び、サブコントローラ６０から送信された二次パケットＰ３を受信してアドレス判定部５７に出力する処理を行う。

アドレス判定部５７は、ノード３０から送信された初期パケットＰ１に含まれるノード３０の識別情報を参照することにより、ノード３０がエレベーターシステム１００の規格に適合した正規機器であるか否かを判定する。そして、アドレス判定部５７は、判定結果を復号部５８に出力する。

復号部５８は、サブコントローラ６０から送信された二次パケットＰ３（図９参照）に含まれる暗号化一時データを、秘密鍵Ｍ５３を用いて復号する。そして、復号部５８は、復号して得た一時データを、判別部５９に出力する。

判別部５９は、復号部５８によって復号された三次パケットＰ４内の情報と、メインコントローラ５０が有する情報とを比較することにより、ノード３０がエレベーターシステム１００の規格に適合した正規機器であるか否かを判別する。すなわち、判別部５９は、ノード３０の認証（判別）処理を行う。また、判別部５９は、ノード３０は非正規機器であると判別した場合には、その旨を他のコントローラに通知する処理や、運行中のエレベーター１５の乗りかご７を最寄階に停止させる指示等を行う。

判別部５９によるノード３０の判別処理については、後述の図１１を参照して詳述し、ノード３０は非正規機器であると判定した場合における判別部５９による処理については、後述の図１２及び図１３を参照して詳述する。

［サブコントローラ］
サブコントローラ６０は、通信部６１と、パケット転送部６２と、を有する。通信部６１は、ノード３０から送信された二次パケットＰ３を受信してパケット転送部６２に出力する処理、及び、パケット転送部６２によって生成された三次パケットＰ４（図１０参照）を、メインコントローラ５０に送信する処理を行う。

パケット転送部６２は、ノード３０から送信された二次パケットＰ３から暗号化一時データを抽出し、該暗号化一時データと、自身（サブコントローラ６０）の識別情報と、を含む三次パケットＰ４（図１０参照）を生成し、該三次パケットＰ４を通信部６１に出力する。

＜計算機のハードウェア構成例＞
次に、図１に示したエレベーターシステム１００を構成する各装置（通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１、保守端末１９及び管理端末２０）の制御系の構成（ハードウェア構成）について、図３を参照して説明する。

図３は、エレベーターシステム１００を構成する各装置のハードウェア構成例を示すブロック図である。図３に示す計算機２００は、いわゆるコンピュータとして用いられるハードウェアである。

計算機２００は、バスＢにそれぞれ接続されたＣＰＵ（Central Processing Unit）２０１、ＲＯＭ（Read Only Memory）２０２、ＲＡＭ（Random Access Memory）２０３、不揮発性ストレージ２０４及び通信Ｉ／Ｆ（Interface）２０５を備える。

ＣＰＵ２０１は、本実施形態に係る各機能を実現するソフトウェアのプログラムコードをＲＯＭ２０２から読み出してＲＡＭ２０３に展開して実行する。もしくは、ＣＰＵ２０１は、プログラムコードをＲＯＭ２０２から直接読み出してそのまま実行する場合もある。なお、計算機２００は、ＣＰＵ２０１の代わりに、ＭＰＵ（Micro-Processing Unit）等の処理装置を備えてもよい。

ＲＡＭ２０３には、ＣＰＵ２０１による演算処理の途中に発生した変数やパラメータ等が一時的に書き込まれる。

ノード３０の復号部３３、パケット生成部３４、メインコントローラ５０の一時データ生成部５１、通信経路選択部５２、暗号化部５４、パケット生成部５５、アドレス判定部５７、復号部５８、判別部５９、サブコントローラ６０のパケット転送部６２の各機能は、これらの各機能を実現するためのプログラムを、ＣＰＵ２０１がＲＯＭ２０２から読みだして実行することにより実現される。

不揮発性ストレージ２０４としては、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フレキシブルディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、不揮発性のメモリカード等を用いることができる。この不揮発性ストレージ２０４には、ＯＳ（Operating System）、各種のパラメータの他に、計算機２００を機能させるためのプログラム等が記録される。なお、プログラムは、ＲＯＭ２０２に格納されてもよい。

プログラムは、コンピュータが読取り可能なプログラムコードの形態で格納され、ＣＰＵ２０１は、当該プログラムコードに従った動作を逐次実行する。つまり、ＲＯＭ２０２又は不揮発性ストレージ２０４は、コンピュータによって実行されるプログラムを格納した、コンピュータ読取可能な非一過性の記録媒体の一例として用いられる。

また、不揮発性ストレージ２０４には、各コントローラにおいて生成された、又は、通信路Ｎｔ（図２参照）を介して他のコントローラから取得したエレベーター１５の運行データも書き込まれる 。エレベーター１５の運行データには、例えば、乗りかご７の位置情報、かご速度情報、乗りかご７の荷重情報、乗りかご７による移動（輸送）人数情報、エレベーター１５の運行回数情報、エレベーター１５の行先階情報、各フロアにおけるエレベーター１５の停止回数情報等がある。

通信Ｉ／Ｆ２０５は、他の装置との間で行われる通信の制御を行う通信デバイス等により構成される。通信Ｉ／Ｆ２０５が通信制御を行うネットワークには、例えば、ＲＳ－４８５のようなマルチドロップ形態のシリアル通信や、イーサネット（登録商標）のような複数のトポロジを提供する通信路がある。複数のトポロジを提供する通信路には、有線の通信路であるＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、無線の通信路であるＲＡＮ（Radio Area Network）等がある。

また、例えば、通信Ｉ／Ｆ２０５が通信制御を行うネットワークには、Ｗｉ－Ｆｉ（登録商標）のような無線や、無線通信インフラにおける無線等がある。ノード３０の通信部３５、メインコントローラ５０の通信部５６、サブコントローラ６０の通信部６１の機能は、通信Ｉ／Ｆ２０５によって実現される。

＜エレベーター接続機器確認処理の概要＞
次に、図４を参照して、エレベーターシステム１００によるエレベーター接続機器確認処理の概要について説明する。図４は、エレベーターシステム１００によるエレベーター接続機器確認処理の手順の例を示すフローチャートである。

まず、ノード３０（図２参照）は、初期通信処理を実行して初期パケットＰ１を生成し、生成した初期パケットＰ１を、メインコントローラ５０に送信する（ステップＳ１）。次いで、メインコントローラ５０は、受信した初期パケットＰ１に含まれていた情報に基づいて一次通信処理を実行して一次パケットＰ２を生成し、生成した一次パケットＰ２をノード３０に送信する（ステップＳ２）。次いで、ノード３０は、受信した一次パケットＰ２に含まれていた情報を用いて二次通信処理を実行して二次パケットＰ３を生成し、生成した二次パケットＰ３をサブコントローラ６０に送信する（ステップＳ３）。

次いで、サブコントローラ６０は、受信した二次パケットＰ３に含まれていた情報に基づいて三次通信処理を実行して三次パケットＰ４を生成し、生成した三次パケットＰ４をメインコントローラ５０に送信する（ステップＳ４）。次いで、メインコントローラ５０は、受信した三次パケットＰ４に含まれていた情報に基づいて判別処理を実行する（ステップＳ５）。

＜エレベーター接続機器確認処理の詳細＞
次に、図５、図８、図１１を参照して、エレベーターシステム１００によるエレベーター接続機器確認処理の詳細について説明する。図５は、エレベーターシステム１００によるエレベーター接続機器確認処理における初期通信処理及び一次通信処理の手順の例を示すフローチャートである。図８は、エレベーターシステム１００によるエレベーター接続機器確認処理における二次通信処理及び三次通信処理の手順の例を示すフローチャートである。図１１は、エレベーターシステム１００によるエレベーター接続機器確認処理における判別処理の手順の例を示すフローチャートである。

［初期通信処理及び一次通信処理］
最初に、図５を参照して、エレベーター接続機器確認処理における初期通信処理及び一次通信処理について説明する。まず、ノード３０の通信部３５（図２参照）は、エレベーターシステム１００の通信路Ｎｔ（図２参照）に接続したか否かを判定する（ステップＳＡ１）。ステップＳＡ１で、通信路Ｎｔに接続されていないと判定された場合（ステップＳＡ１がＮＯ判定の場合）、通信部３５は、ステップＳＡ１の判定を繰り返す。

一方、ステップＳＡ１で、通信路Ｎｔに接続されたと判定された場合（ステップＳＡ１がＹＥＳ判定の場合）、パケット生成部３４は、公開鍵情報を含む初期パケットＰ１を生成してメインコントローラ５０へ送信する（ステップＳＡ２）。ステップＳＡ１及びステップＳＡ２の処理が、図４のステップＳ１の初期通信処理となる。

［初期パケットの構成］
ここで、図６を参照して、初期パケットＰ１の構成について説明する。図６は、初期パケットＰ１の構成例を示す図である。

図６に示すように、初期パケットＰ１は、送信元情報フィールドＦ１、送信先情報フィールドＦ２、公開鍵情報フィールドＦ３、ノード識別情報フィールドＦ４及びチェックデータフィールドＦ５を有する。

送信元情報フィールドＦ１には、初期パケットＰ１の送信元である自身（ノード３０）の情報（送信元情報）が格納される。送信先情報フィールドＦ２には、初期パケットＰ１の送信先であるメインコントローラ５０の情報（送信先情報）が格納される。

送信元情報は、例えば、ＲＳ－４８５に準拠した通信が行われる場合には、デバイスＩＤとなる。また、イーサネット（登録商標）による通信が行われる場合には、デバイスのＭＡＣ（Media Access Control）アドレス、又は、ＩＰ（Internet Protocol）アドレスとなる。送信先情報は、送信元情報と同様の情報で構成され得るが、ブロードキャスト通信によってパケットの伝送が行われるネットワークにおいては、送信先情報には、ブロードキャストのアドレスが格納される。

公開鍵情報フィールドＦ３には、公開鍵３１（図２参照）が格納される。ノード識別情報フィールドＦ４には、自ノード（ノード３０）の識別情報（ノード識別情報）が格納される。ノード識別情報には、例えば、ノード３０の型式や、シリアル番号等がある。チェックデータフィールドＦ５には、チェックサム等の誤り検出符号が格納される。

初期パケットＰ１は平文で構成され、暗号化されていない通信にて伝送されることを想定しているが、パケットは暗号化されてもよく、また、暗号化通信によって伝送されてもよい。同様に、一次パケットＰ２～三次パケットＰ４自体も暗号化されてもよく、暗号化通信によって伝送されてもよい。

なお、ノード３０が不正行為の実行を意図したノードである場合、通信路Ｎｔへの接続後にＤｏＳ（Denial of Services）攻撃を実行する場合がある。したがって、ノード３０より送信される初期パケットＰ１の送信回数が過大（所定の閾値回数以上）である場合には、該ノード３０を不正なノードであるとその時点で即時に判定してもよい。

図５に戻って説明を続ける。メインコントローラ５０は、ステップＳＡ２でノード３０から送信された初期パケットＰ１を受信する（ステップＳＢ１）。次いで、メインコントローラ５０の通信経路選択部５２（図２参照）は、エレベーター１５の運行データに基づいて、特定のコントローラをサブコントローラ６０として選択する（ステップＳＢ２）。

例えば、通信経路選択部５２は、運行データとして呼び情報を取得し、呼び登録が最小のコントローラを、サブコントローラ６０に選択することができる。

なお、本実施形態では、初期パケットＰ１の受信をトリガとして、メインコントローラ５０によるサブコントローラ６０の選択処理が行われる例を挙げるが、本発明はこれに限定されない。メインコントローラ５０において設定された所定の周期毎や、エレベーター１５の運行回数が所定の閾値運行回数に到達したタイミングなどの、ある条件が達成されたタイミングにおいて実行されてもよい。もしくは、ランダムな時間単位で実行されてもよい。このような処理が行われることにより、ノード３０の認証処理の実行の第三者による検出を、より困難なものにすることができる。

次いで、メインコントローラ５０の一時データ生成部５１は、運行データを用いて一時データを生成する（ステップＳＢ３）。例えば、一時データ生成部５１は、かご位置等の運行データを種とする乱数、又は、運行データを所定のハッシュ関数に入力して得られるハッシュ値等を発生させ、これらを一時データとする。

次いで、メインコントローラ５０の暗号化部５４は、ステップＳＢ３で生成された一時データを、秘密鍵Ｍ５３を用いて暗号化することにより、暗号化一時データを生成する（ステップＳＢ４）。次いで、メインコントローラ５０のパケット生成部５５は、ステップＳＢ４で生成された暗号化一時データと、ステップＳＢ２で選択したサブコントローラ６０の情報（サブ情報）とを、ステップＳＢ１で受信した初期パケットＰ１に含まれていた公開鍵を用いて暗号化して、暗号化データ（暗号化情報の一例）を生成する（ステップＳＢ５）。

次いで、メインコントローラ５０のパケット生成部５５は、ステップＳＢ５で生成した暗号化データと、自身（メインコントローラ５０）の情報とを含む一次パケットＰ２を生成する（ステップＳＢ６）。そして、通信部５６が、該一次パケットＰ２をノード３０に送信する（ステップＳＢ７）。ステップＳＢ１～ＳＢ７の処理が、図４のステップＳ２の一次通信処理となる。

なお、図５に示す例では、メインコントローラ５０がサブコントローラ６０の選択を行った後に一時データを生成する例を挙げたが、本発明はこれに限定されない。メインコントローラ５０は、一時データを生成した後にサブコントローラ６０の選択を行ってもよい。

［一次パケットの構成］
ここで、図７を参照して、一次パケットＰ２の構成について説明する。図７は、一次パケットＰ２の構成例を示す図である。

図７に示すように、一次パケットＰ２は、送信元情報フィールドＦ２１、送信先情報フィールドＦ２２、暗号化データフィールドＦ２３及びチェックデータフィールドＦ２４を有する。

送信元情報フィールドＦ２１には、一次パケットＰ２の送信元である自身（メインコントローラ５０）の情報（送信元情報）が格納される。送信先情報フィールドＦ２２には、一次パケットＰ２の送信先であるノード３０の情報（送信先情報）が格納される。

暗号化データフィールドＦ２３には、メインコントローラ５０の暗号化部５４によって生成された暗号化データが格納される。暗号化データは、サブコントローラ６０の識別情報（サブ情報）と、暗号化一時データとで構成される。チェックデータフィールドＦ２４には、チェックサム等の誤り検出符号が格納される。

［二次通信処理及び三次通信処理］
次に、図８を参照して、エレベーター接続機器確認処理における二次通信処理及び三次通信処理について説明する。まず、ノード３０の通信部３５（図２参照）は、メインコントローラ５０から送信された一次パケットＰ２を受信する（ステップＳＡ３）。次いで、ノード３０の復号部３３は、ステップＳＡ３で受信した一次パケットＰ２に含まれていた暗号化データを、公開鍵３１に対応する秘密鍵Ｎ３２を用いて復号する（ステップＳＡ４）。

次いで、ノード３０のパケット生成部３４は、ステップＳＡ４で復号された暗号化データから、暗号化一時データを抽出して、二次パケットＰ３に格納する（ステップＳＡ５）。次いで、パケット生成部３４は、ステップＳＡ４で復号された暗号化データに含まれていたサブ情報（サブコントローラ６０の識別情報）を、二次パケットＰ３の送信先情報フィールドＦ３２（図９参照）に設定する（ステップＳＡ６）。

次いで、ノード３０の通信部３５は、二次パケットＰ３をサブコントローラ６０に送信する（ステップＳＡ７）。ステップＳＡ１～ＳＡ７の処理が、図４のステップＳ３の二次通信処理であり、ステップＳＡ７の処理後、ノード３０によるすべての処理（初期通信処理及び二次通信処理）は終了する。

［二次パケットの構成］
ここで、図９を参照して、二次パケットＰ３の構成について説明する。図９は、二次パケットＰ３の構成例を示す図である。

図９に示すように、二次パケットＰ３は、送信元情報フィールドＦ３１、送信先情報フィールドＦ３２、メインコントローラ識別情報フィールドＦ３３、暗号化一時データフィールドＦ３４及びチェックデータフィールドＦ３５を有する。

送信元情報フィールドＦ３１には、二次パケットＰ３の送信元である自身（ノード３０）の情報（送信元情報）が格納される。送信先情報フィールドＦ３２には、二次パケットＰ３の送信先であるサブコントローラ６０の情報（送信先情報）が格納される。

メインコントローラ識別情報フィールドＦ３３には、メインコントローラ５０の識別情報が格納される。メインコントローラ５０の識別情報は、二次パケットＰ３を受信したサブコントローラ６０において、生成した三次パケットＰ４の送信先の情報として活用される。暗号化一時データフィールドＦ３４には、一次パケットＰ２から抽出した暗号化一時データが格納される。チェックデータフィールドＦ３５には、チェックサム等の誤り検出符号が格納される。

図８に戻って説明を続ける。サブコントローラ６０の通信部６１（図２参照）は、ステップＳＡ５でノード３０から送信された二次パケットＰ３を受信する（ステップＳＣ１）。次いで、サブコントローラ６０のパケット転送部６２は、ステップＳＣ１で受信した二次パケットＰ３に含まれていた暗号化一時データと、送信元情報とを含む三次パケットＰ４を生成する（ステップＳＣ２）。次いで、サブコントローラ６０の通信部６１は、該三次パケットＰ４を、メインコントローラ５０に送信する（ステップＳＣ３）。ステップＳＣ１～ＳＣ３の処理が、図４のステップＳ４の三次通信処理であり、ステップＳＣ３の処理後、サブコントローラ６０による処理は終了する。

［三次パケットの構成］
ここで、図１０を参照して、三次パケットＰ４の構成について説明する。図１０は、三次パケットＰ４の構成例を示す図である。

図１０に示すように、三次パケットＰ４は、送信元情報フィールドＦ４１、送信先情報フィールドＦ４２、暗号化一時データフィールドＦ４３及びチェックデータフィールドＦ４４を有する。

送信元情報フィールドＦ４１には、三次パケットＰ４の送信元である自身（サブコントローラ６０）の情報（送信元情報）が格納される。送信先情報フィールドＦ４２には、三次パケットＰ４の送信先であるメインコントローラ５０の情報（送信先情報）が格納される。暗号化一時データフィールドＦ４３には、二次パケットＰ３から抽出した暗号化一時データが格納される。チェックデータフィールドＦ４４には、チェックサム等の誤り検出符号が格納される。

［判別処理］
次に、図１１を参照して、エレベーター接続機器確認処理における判別処理について説明する。まず、メインコントローラ５０の判別部５９（図２参照）は、所定の閾値時間以内にサブコントローラ６０から三次パケットＰ４を受信したか否かを判定する（ステップＳＢ８）。閾値時間以内か否かを判定するのは、メインコントローラ５０が図５のステップＳＢ７でノード３０に一次パケットＰ２を送信してからの経過時間である。

ノード３０が正規機器でない場合、該ノード３０は二次通信処理を正しく実行することができない。すなわち、メインコントローラ５０から送信された一次パケットＰ２に含まれている暗号化データを復号することができず、暗号化データに含まれているサブコントローラ６０の情報を取得することができない。また、非正規機器のノード３０は、暗号化データに含まれている暗号化一時データを取得することもできない。

したがって、非正規機器のノード３０は、メインコントローラ５０から送信された一次パケットＰ２に基づいて、送信先がサブコントローラ６０であり、かつ、暗号化一時データを含む二次パケットＰ３を生成し、該二次パケットＰ３をサブコントローラ６０に送信する二次通信処理を実行することができない。よって、サブコントローラ６０も、ノード３０から受信した二次パケットＰ３に基づいて三次パケットＰ４を生成してメインコントローラ５０に送信する三次通信処理を、実行することができない。

つまり、ノード３０が非正規機器である場合には、メインコントローラ５０は、一次パケットＰ２をノード３０に送信してから所定の閾値時間内に、三次パケットＰ４をサブコントローラ６０から受信することはない。それゆえ、一次パケットＰ２をノード３０に送信してから所定の閾値時間内に三次パケットＰ４を受信できなかった場合には、ノード３０は非正規機器であると判定することができる。

ステップＳＢ８で、閾値時間内にサブコントローラ６０から三次パケットＰ４を受信していないと判定された場合（ステップＳＢ８がＮＯ判定の場合）、メインコントローラ５０の判別部５９は、追加されたノード３０は規格に適合しないノード、すなわち、非正規機器のノードであると判定する（ステップＳＢ９）。ステップＳＢ９の処理後、メインコントローラ５０は判別処理を終了する。

一方、ステップＳＢ８で、所定の閾値時間以内にサブコントローラ６０から三次パケットＰ４を受信したと判定された場合（ステップＳＢ８がＹＥＳ判定の場合）、判別部５９は、三次パケットＰ４に含まれていた送信元情報と、図５のステップＳＢ２で選択したサブコントローラ６０の情報とが一致するか否かを判定する（ステップＳＢ１０）。ステップＳＢ１０で、両情報は一致しないと判定された場合（ステップＳＢ１０がＮＯ判定の場合）、判別部５９は、ステップＳＢ９の処理を行う。すなわち、追加されたノード３０は非正規機器であると判定する。

一方、ステップＳＢ１０で、両情報は一致すると判定された場合（ステップＳＢ１０がＹＥＳ判定の場合）、判別部５９は、サブコントローラ６０から受信した三次パケットＰ４に含まれていた暗号化一時データを、秘密鍵Ｍ５３（図２参照）を用いて復号する（ステップＳＢ１１）。

次いで、判別部５９は、復号化した暗号化データに含まれていた一時データと、図５のステップＳＢ３で生成した一時データとが一致するか否かを判定する（ステップＳＢ１２）。ステップＳＢ１２で、両データは一致しないと判定された場合（ステップＳＢ１２がＮＯ判定の場合）、ステップＳＢ９の処理を行う。すなわち、追加されたノード３０は非正規機器であると判定する。

一方、ステップＳＢ１２で、両データは一致すると判定された場合（ステップＳＢ１２がＹＥＳ判定の場合）、判別部５９は、追加されたノードは規格に適合したノード、すなわち、正規機器であると判定する（ステップＳＢ１３）。ステップＳＢ８～ＳＢ１３の処理が、図４のステップＳ５の判別処理であり、ステップＳＢ９又はステップＳＢ１３の処理後、メインコントローラ５０によるすべての処理（一次通信処理及び判別処理）は終了する。

［非正規機器検出時の処理］
次に、追加されたノード３０が非正規機器であると判定した場合におけるメインコントローラ５０での処理について、図１２及び図１３を参照して説明する。図１２は、追加されたノード３０が非正規機器であると判定した場合におけるメインコントローラ５０での処理例（１）の手順を示すフローチャートである。図１３は、追加されたノード３０が非正規機器であると判定した場合におけるメインコントローラ５０での処理例（２）の手順を示すフローチャートである。

最初に、図１２を参照して処理例（１）について説明する。まず、メインコントローラ５０の判別部５９（図２参照）は、ノード３０正規機器でない、すなわち、非正規機器であると判定した場合、非正規機器と判定されたノード３０（以下、不正ノード３０とも称する）の情報を不正情報として記憶する（ステップＳ１１）。不正情報は、不正ノード３０の情報（識別情報等）を少なくとも含み、例えば、デバイスＩＤ、シリアルナンバー、ＭＡＣアドレス、ＩＰアドレス等で構成される。

次いで、メインコントローラ５０の判別部５９は、ステップＳ１１で記憶した不正情報を、通信部５６を介して他のコントローラに周知する（ステップＳ１２）。周知（通知）は、例えば、通信路Ｎｔ（図２参照）において、複数の装置がマルチドロップ形態で接続されている場合には、シリアル通信によって通信路Ｎｔに接続されているすべてのコントローラを対象として行われる。

また、通信路Ｎｔにおいて、イーサネット（登録商標）等の規格に基づいて通信が行われる場合には、不正情報の通知は、ブロードキャスト通信を介して、通信路Ｎｔに接続されたすべてのコントローラに対して行われる。不正情報を受信した各コントローラは、例えば、受信した不正情報に含まれるノード３０の情報に基づいて、該ノード３０との通信を拒絶する等の処理を行うことができる。

メインコントローラ５０及び他のコントローラによって、このような処理が行われることにより、非正規機器であるノード３０によるどのようなアクションもエレベーターシステム１００側で無視できる。したがって、本実施形態によれば、通信路Ｎｔに非正規機器が接続された場合にも、エレベーター１５（図１参照）の運行を継続することが可能となる。

また、本実施形態によれば、非正規機器であるノード３０が接続された場合に、そのことがメインコントローラ５０によってすぐに検知されるため、非正規機器であるノード３０が接続されることによってエレベーターシステム１００の動作等に不具合が生じてしまうことを防ぐことができる。また、ノード３０が不正行為目的で追加された非正規機器であった場合にも、ノード３０との通信を拒絶する等の処理が行われることにより、不正が実行されることを防ぐことができる。

次に、図１３を参照して処理例（２）について説明する。まず、メインコントローラ５０の判別部５９は、ノード３０は非正規機器であると判定した場合、該当するコントローラに対して、エレベーター１５の乗りかご７（図１参照）を最寄階に停止させる指示を行う（ステップＳ２１）。

例えば、図１の通信路１７に不正ノード３０が接続された場合には、メインコントローラ５０は、群管理コントローラ４に対して乗りかご７の最寄階停止を指示し、通信路１６に不正ノード３０が接続された場合には、メインコントローラ５０は、エレベーターコントローラ５に乗りかご７の最寄階停止を指示する。また、通信路１２に不正ノード３０が接続された場合には、メインコントローラ５０は、エレベーターコントローラ５に乗りかご７の最寄階停止を指示する。このような処理が行われることにより、不正ノード３０が接続された場合であっても、エレベーター１５の利用者の安全を確保することができる。

次いで、メインコントローラ５０の判別部５９は、通信部５６を介して、上位コントローラに不正発生を通知する（ステップＳ２２）。例えば、図１の通信路１７に不正ノード３０が接続された場合には、メインコントローラ５０は、通信コントローラ３に不正発生を通知し、通信路１６に不正ノード３０が接続された場合には、メインコントローラ５０は、群管理コントローラ４に不正発生を通知する。また、通信路１２に不正ノード３０が接続された場合には、メインコントローラ５０は、エレベーターコントローラ５に不正発生を通知する。不正発生の通知を受信したコントローラが、更に上位コントローラに不正発生の通知を転送することにより、最上位のセンタ装置１に不正発生の通知を速やかに到達させることができる。

［一時データの生成例及びサブコントローラの決定例］
次に、図１４～図１９を参照して、メインコントローラ５０の一時データ生成部５１（図２参照）による一時データ生成例、及び、メインコントローラ５０の通信経路選択部５２によるサブコントローラ６０の選択例について説明する。

図１４は、一時データの生成例及びサブコントローラ６０の決定例（１）の手順の例を示すフローチャートであり、図１５は、一時データの生成例及びサブコントローラ６０の決定例（２）の手順の例を示すフローチャートである。図１６は、一時データの生成例及びサブコントローラ６０の決定例（３）の手順の例を示すフローチャートであり、図１７は、一時データの生成例及びサブコントローラ６０の決定例（４）の手順の例を示すフローチャートである。図１８は、一時データの生成例及びサブコントローラ６０の決定例（５）の手順の例を示すフローチャートであり、図１９は、一時データの生成例及びサブコントローラ６０の決定例（６）の手順の例を示すフローチャートである。

〔例（１）：一時データ用の運行データ＝かご位置情報、サブコントローラ６０選択用の運行データ＝呼び情報〕
最初に、図１４を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（１）について説明する。
まず、メインコントローラ５０の一時データ生成部５１（図２参照）は、エレベーター１５の運行データとして、乗りかご７（図１参照）の位置情報（かご位置情報）を、通信部５６を介して取得する（ステップＳ３１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ３１で取得したかご位置情報を入力値とする一時データを生成する（ステップＳ３２）。一時データは、例えば、かご位置情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、かご位置情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、運行データとして呼び情報を取得する（ステップＳ３３）。

次いで、通信経路選択部５２は、ステップＳ３３で取得した呼び情報に基づいて、所定のコントローラを、サブコントローラ６０として選択する（ステップＳ３４）。例えば、通信経路選択部５２は、呼び情報に含まれる各乗りかご７の呼び登録情報を最小値関数に入力し、得られた出力値に基づいて、コントローラを選択することができる。これにより、呼び登録が最小のコントローラがサブコントローラ６０に選択される。

通信経路選択部５２によってこのような処理が行われることにより、呼び登録がゼロである乗りかご７を含む、呼び登録が最小である乗りかご７の動作を制御するかごコントローラ１０が、サブコントローラ６０に選択される。つまり、処理に余裕があるかごコントローラ１０が、パケットの伝送経路を構成するサブコントローラ６０に選択される。そのため、本実施形態に係るエレベーター接続機器確認方法が実行されたことによって、エレベーター１５の通常の運行に及ぼしてしまう影響を、最小限に抑えることが可能となる。

〔例（２）：一時データ用の運行データ＝かご速度情報、サブコントローラ６０選択用の運行データ＝呼び情報〕
次に、図１５を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（２）について説明する。
まず、メインコントローラ５０の一時データ生成部５１は、エレベーター１５の運行データとして、乗りかご７の速度情報（かご速度情報）を、通信部５６を介して取得する（ステップＳ４１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ４１で取得したかご速度情報を入力値とする一時データを生成する（ステップＳ４２）。一時データは、例えば、かご速度情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、かご速度情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、運行データとして、乗りかご７の行先階情報を取得する（ステップＳ４３）。

次いで、通信経路選択部５２は、ステップＳ４３で取得した行先階情報に基づいて、所定のコントローラを、サブコントローラ６０として選択する（ステップＳ４４）。例えば、通信経路選択部５２は、行先階情報に含まれる行先階を最小値関数に入力し、得られた出力値に基づいて、サブコントローラ６０を選択することができる。これにより、行先階の登録が最小のコントローラがサブコントローラ６０に選択される。

通信経路選択部５２によってこのような処理が行われることにより、行先階の登録がゼロであるフロアを含む、行先階登録が最小であるフロアに設けられたフロアコントローラ１１が、サブコントローラ６０に選択される。つまり、処理に余裕があるフロアコントローラ１１が、パケットの伝送経路を構成するサブコントローラ６０に選択される。そのため、本実施形態に係るエレベーター接続機器確認方法の実施が、エレベーター１５の通常の運行に及ぼしてしまう影響を、最小限に抑えることが可能となる。

〔例（３）：一時データ用の運行データ及びサブコントローラ６０選択用の運行データ＝かご荷重情報〕
次に、図１６を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（３）について説明する。
まず、メインコントローラ５０の一時データ生成部５１は、エレベーター１５の運行データとして、乗りかご７の荷重情報（かご荷重情報）を、通信部５６を介して取得する（ステップＳ５１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ５１で取得したかご荷重情報を入力値とする一時データを生成する（ステップＳ５２）。一時データは、例えば、かご荷重情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、かご荷重情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、ステップＳ５２で発生させたかご荷重情報を入力値とする乱数又はハッシュ値の分布位置の情報に基づいて、所定のコントローラをサブコントローラ６０として選択する（ステップＳ５３）。具体的には、通信経路選択部５２は、乱数又はハッシュ値が発生し得る数値領域を、サブコントローラ６０の個数に分割しておき、実際に発生した乱数又はハッシュ値がどの数値領域に属するかによって、サブコントローラ６０を選択する。

〔例（４）：一時データ用の運行データ及びサブコントローラ６０選択用の運行データ＝運行回数情報〕
次に、図１７を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（４）について説明する。
まず、メインコントローラ５０の一時データ生成部５１は、エレベーター１５の運行データとして、エレベーター１５の運行回数の情報を、通信部５６を介して取得する（ステップＳ６１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ６１で取得した運行回数情報を入力値とする一時データを生成する（ステップＳ６２）。一時データは、例えば、運行回数情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、運行回数情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、運行回数の値の大きさに基づいて、所定のコントローラをサブコントローラ６０として選択する（ステップＳ６３）。例えば、通信経路選択部５２は、運行回数が最小のエレベーター１５のエレベーターコントローラ５を、サブコントローラ６０に選択することができる。

なお、通信経路選択部５２は、運行回数が中間値又は最大のエレベーター１５のエレベーターコントローラ５を、サブコントローラ６０に選択してもよい。つまり、サブコントローラ６０の選択に用いる値は、任意のエレベーターコントローラ５を選択することが可能な値であれば、どのような値であってもよい。

〔例（５）：一時データ用の運行データ及びサブコントローラ６０選択用の運行データ＝移動人数情報〕
次に、図１８を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（５）について説明する。
まず、メインコントローラ５０の一時データ生成部５１は、エレベーター１５の運行データとして、エレベーター１５の移動（輸送）人数の情報を、通信部５６を介して取得する（ステップＳ７１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ７１で取得した移動人数情報を入力値とする一時データを生成する（ステップＳ７２）。一時データは、例えば、移動人数情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、移動人数情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、移動人数の大きさに基づいて、所定のコントローラをサブコントローラ６０として選択する（ステップＳ７３）。例えば、通信経路選択部５２は、移動人数が最小のエレベーター１５のエレベーターコントローラ５を、サブコントローラ６０に選択することができる。なお、通信経路選択部５２は、移動人数が中間値又は最大のエレベーター１５のエレベーターコントローラ５を、サブコントローラ６０に選択してもよい。つまり、サブコントローラ６０の選択に用いる値は、任意のエレベーターコントローラ５を選択することが可能な値であれば、どのような値であってもよい。

〔例（６）：一時データ用の運行データ及びサブコントローラ６０選択用の運行データ＝エレベーターの停止回数情報〕
次に、図１９を参照して、メインコントローラ５０による一時データの生成例及びサブコントローラ６０の決定例（６）について説明する。
まず、メインコントローラ５０の一時データ生成部５１は、エレベーター１５の運行データとして、各フロアにおける乗りかご７の停止回数の情報を、通信部５６を介して取得する（ステップＳ８１）。

次いで、メインコントローラ５０の一時データ生成部５１は、ステップＳ８１で取得した停止回数情報を入力値とする一時データを生成する（ステップＳ８２）。一時データは、例えば、停止回数情報を乱数発生関数やハッシュ値関数などに入力することにより生成することができる。すなわち、一時データ生成部５１は、停止回数情報を入力値とする乱数又はハッシュ値等を、一時データとして得ることができる。

次いで、メインコントローラ５０の通信経路選択部５２は、停止回数の大きさに基づいて、所定のコントローラをサブコントローラ６０として選択する（ステップＳ８３）。例えば、通信経路選択部５２は、乗りかご７の停止回数が最小のフロアのフロアコントローラ１１を、サブコントローラ６０に選択することができる。なお、通信経路選択部５２は、エレベーター１５の停止回数が中間値又は最大のフロアのフロアコントローラ１１を、サブコントローラ６０に選択してもよい。つまり、サブコントローラ６０の選択に用いる値は、任意のフロアコントローラ１１を選択することが可能な値であれば、どのような値であってもよい。

なお、上述した例（１）～（６）における一時データ及びサブコントローラ６０の組み合わせは例であり、一時データ及びサブコントローラ６０の組み合わせの例はこれらに限定されない。また、一時データは、例（１）～（６）に示した運行データ以外の運行データに基づいて生成されてもよい。

＜各種効果＞
上述した実施形態では、エレベーターシステム１００のメインコントローラ５０は、通信経路選択部５２と、暗号化部５４と、通信部５６と、判別部５９（いずれも図２参照）と、を含む。通信経路選択部５２は、複数のコントローラのうちのいずれかをサブコントローラ６０として選択する。暗号化部５４は、サブコントローラ６０の識別情報を少なくとも含む情報を、ノード３０から取得した公開鍵３１を用いて暗号化することにより、暗号化データを生成する。通信部５６は、暗号化データをノード３０へ送信する。判別部５９は、ノード３０暗号化データを復号して得たサブコントローラ６０の識別情報に基づいて、ノード３０によって識別されたコントローラを送信元として送信されたパケットの送信元情報と、通信経路選択部５２によって選択されたサブコントローラ６０の情報とを比較する。そして、通信経路選択部５２は、両情報が一致しない場合に、ノード３０はエレベーターシステム１００の規格に適合しない非正規機器であると判定する。

それゆえ、本実施形態によれば、新たな装置又は通信路を追加することなく、既存の構成のみを用いて、エレベーターシステム１００に接続された外部機器（ノード３０）が正規機器であるか否か確認できるようになる。したがって、ノード３０の認証用の仕組みを新たに追加するための費用を節減できる。

また、上述した実施形態では、メインコントローラ５０がサブコントローラ６０を選択することにより、メインコントローラ５０、サブコントローラ６０及びノード３０の組み合わせが動的に生成される。そして、これらの装置間でパケット（初期パケットＰ１～三次パケットＰ４）が伝送されることにより、ノード３０の認証が行われる。それゆえ、本実施形態によれば、不正行為の実行を意図する第三者による、ノード３０の認証方法の解析を、困難なものとすることができる。

また、上述した実施形態では、メインコントローラ５０の通信経路選択部５２は、エレベーターシステム１００から取得したエレベーター１５の運行情報又は運行情報の加工情報に基づいて、複数のコントローラのうちのいずれかをサブコントローラ６０として選択する。つまり、本実施形態において、ノード３０の認証に用いられる各種パケットの通信経路を構成するサブコントローラ６０は、その時々に応じて流動的に変化するデータ、すなわち運行データに基づいて決定される。したがって、第三者によって、ノード３０の認証用のパケットの通信経路が検出されてしまう確率を低くすることができる。

また、上述した実施形態では、メインコントローラ５０の判別部５９は、一時データ生成部５１が生成した一時データと、サブコントローラ６０から送信された三次パケットＰ４から抽出して復号化した一時データとを比較し、両情報が一致しない場合に、ノード３０は非正規機器であると判定する。本実施形態において、一時データは、その時々に応じて流動的に変化するデータ、すなわち運行データ、又は、該運行データの加工データを用いて生成される。つまり、本実施形態では、ノード３０のシリアルナンバー、ＭＡＣアドレス等の固定的な情報による認証が行われない。したがって、本実施形態によれば、これらの情報を偽装コピーした非正規機器のノードが追加された場合であっても、該ノードを誤って正規機器として誤認証してしまうことを防止することができる。

また、上述した実施形態では、メインコントローラ５０において、ノード３０から取得した公開鍵３１を用いて暗号化された暗号化データが、ノード３０において、公開鍵３１に対応する秘密鍵Ｎ３２を用いて復号される。つまり、ノード３０が非正規機器である場合には、ノード３０は公開鍵３１を所持していないため、メインコントローラ５０における暗号化データの生成も、ノード３０による暗号化データの復号も行えず、その先の認証処理を進めることができない。したがって、本実施形態によれば、メインコントローラ５０の判別部５９は、非正規機器のノードが追加された場合にも、該ノードが非正規機器であることを容易に判定できる。

また、上述した実施形態では、メインコントローラ５０の暗号化部５４は、秘密鍵Ｍ５３を用いて暗号化した一時データ（暗号化一時データ）を暗号化データに含め、復号部５８は、サブコントローラ６０から送信された三次パケットＰ４に含まれていた暗号化一時データを、秘密鍵Ｍ５３を用いて復号する。ノード３０が非正規機器であり、メインコントローラ５０から送信された一次パケットＰ２を適切に処理できない場合、サブコントローラ６０からメインコントローラ５０に対して、暗号化一時データを含む三次パケットＰ４は送信されない。つまり、本実施形態によれば、メインコントローラ５０の判別部５９は、非正規機器のノードが追加された場合にも、該ノードが非正規機器であることを容易に判定できる。

また、上述した実施形態では、メインコントローラ５０の判別部５９は、暗号化データを含む一次パケットＰ２を通信部５６がノード３０に送信してから、サブコントローラ６０から三次パケットＰ４を受信するまでの時間が、所定の閾値時間を超えた場合、ノード３０は非正規機器であると判定する。ノード３０が非正規機器である場合、ノード３０からサブコントローラ６０へ二次パケットＰ３を送信する二次通信処理や、サブコントローラ６０からメインコントローラ５０に三次パケットＰ４を送信する三次通信処理が適切に実行されない。これにより、メインコントローラ５０の通信部５６は、サブコントローラ６０が送信元である三次パケットＰ４を、メインコントローラ５０からノード３０に一次パケットＰ２が送信されてから所定の閾値時間内には受信できない。

したがって、本実施形態によれば、メインコントローラ５０がノード３０に一次パケットＰ２を送信してから、三次パケットＰ４を受信するまでの時間によっても、メインコントローラ５０の判別部５９は、ノード３０が正規機器であるか否かを容易に判定できる。

また、上述した実施形態は本発明を分かりやすく説明するために装置及びシステムの構成を詳細且つ具体的に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

また、図１～図３において実線で示した制御線又は情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

また、本明細書において、時系列的な処理を記述する処理ステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理（例えば、並列処理あるいはオブジェクトによる処理）をも含むものである。

さらに、上述した本発明の一実施形態にかかるエレベーターシステムの各構成要素は、それぞれのハードウェアがネットワークを介して互いに情報を送受信できるならば、いずれのハードウェアに実装されてもよい。また、ある処理部により実施される処理が、１つのハードウェアにより実現されてもよいし、複数のハードウェアによる分散処理により実現されてもよい。

１…センタ装置、３…通信コントローラ、４…群管理コントローラ、５…エレベーターコントローラ、１０…かごコントローラ、１１…フロアコントローラ、１２…通信路、１５…エレベーター、１６…通信路、１７…通信路、１９…保守端末、２０…管理端末、３０…ノード、３１…公開鍵、３３…復号部、３４…パケット生成部、３５…通信部、５０…メインコントローラ、５１…一時データ生成部、５２…通信経路選択部、５４…暗号化部、５５…パケット生成部、５６…通信部、５７…アドレス判定部、５８…復号部、５９…判別部、６０…サブコントローラ、６１…通信部、６２…パケット転送部、１００…エレベーターシステム、Ｍ５３…秘密鍵、Ｎ３２…秘密鍵、Ｐ１…初期パケット、Ｐ２…一次パケット、Ｐ３…二次パケット、Ｐ４…三次パケット

Claims (10)

1. 複数のコントローラを含むエレベーターシステムに接続される外部機器を確認するエレベーター接続機器確認システムであって、
   前記複数のコントローラのうちのいずれかのコントローラであるメインコントローラは、
   複数の前記コントローラのうちのいずれかをサブコントローラとして選択する選択部と、
   前記サブコントローラの識別情報を少なくとも含む情報を、前記外部機器から取得した暗号鍵を用いて暗号化することにより、暗号化情報を生成する暗号化部と、
   前記暗号化情報を前記外部機器へ送信する送信部と、
   前記外部機器が前記暗号化情報を復号して得た前記サブコントローラの識別情報に基づいて、前記外部機器によって識別されたコントローラを送信元として送信されたパケットの送信元情報と、前記選択部によって選択された前記サブコントローラの情報とを比較し、両情報が一致しない場合に、前記外部機器は前記エレベーターシステムの規格に適合しない非正規機器であると判別する判別部と、を備える
   エレベーター接続機器確認システム。
2. 前記選択部は、前記エレベーターシステムから取得したエレベーターの運行情報又は前記運行情報の加工情報に基づいて、複数の前記コントローラのうちのいずれかを前記サブコントローラとして選択する
   請求項１に記載のエレベーター接続機器確認システム。
3. 前記メインコントローラは、前記エレベーターシステムから取得したエレベーターの運行情報又は前記運行情報の加工情報を用いて一時的情報を生成する一時的情報生成部をさらに備え、
   前記暗号化部は、前記一時的情報生成部によって生成された前記一時的情報を前記暗号化情報に含め、
   前記パケットには、暗号化された前記一時的情報が含まれ、
   前記判別部は、前記一時的情報生成部が生成した前記一時的情報と、前記パケットから抽出して復号化した前記一時的情報とを比較し、両情報が一致しない場合に、前記外部機器は前記非正規機器であると判定する
   請求項２に記載のエレベーター接続機器確認システム。
4. 前記暗号鍵は公開鍵であり、前記外部機器による前記暗号化情報の復号化は、前記公開鍵に対応する秘密鍵を用いて行われる
   請求項３に記載のエレベーター接続機器確認システム。
5. 前記暗号化部は、前記秘密鍵とは異なる第２の秘密鍵を用いて暗号化した前記一時的情報を前記暗号化情報に含め、
   前記パケットに含まれていた暗号化された前記一時的情報を、前記第２の秘密鍵を用いて復号して前記判別部に出力する復号部をさらに備える
   請求項４に記載のエレベーター接続機器確認システム。
6. 前記選択部又は前記判別部が用いる前記エレベーターの運行情報には、前記エレベーターの乗りかごの位置情報、前記乗りかごの速度情報、前記乗りかごの荷重情報、前記エレベーターの呼び情報、前記エレベーターの行先階情報、前記エレベーターの運行回数、前記エレベーターによる輸送人数のうちの少なくとも１つが含まれる
   請求項５に記載のエレベーター接続機器確認システム。
7. 前記判別部は、前記暗号化情報を前記送信部が前記外部機器に送信してから、前記パケットを受信するまでの時間が、所定の閾値時間を超えた場合、前記外部機器は前記非正規機器であると判定する
   請求項６に記載のエレベーター接続機器確認システム。
8. 前記判別部は、前記外部機器は非正規機器であると判定した場合、該外部機器が非正規機器であることを複数の各コントローラに通知する
   請求項１～７のいずれか一項に記載のエレベーター接続機器確認システム。
9. 前記判別部は、前記外部機器は前記非正規機器であると判定した場合、前記エレベーターの運行を制御するコントローラに対して、前記エレベーターの乗りかごを最寄階に停止させる指示を行う
   請求項８に記載のエレベーター接続機器確認システム。
10. 複数のコントローラを含むエレベーターシステムに接続される外部機器を確認するエレベーター接続機器確認システムによるエレベーター接続機器確認方法であって、
    前記複数のコントローラのうちのいずれかのコントローラであるメインコントローラが、複数の前記コントローラのうちのいずれかをサブコントローラとして選択する手順と、
    前記メインコントローラが、前記サブコントローラの識別情報を少なくとも含む情報を、前記外部機器から取得した暗号鍵を用いて暗号化することにより、暗号化情報を生成する手順と、
    前記メインコントローラが、前記暗号化情報を前記外部機器へ送信する手順と、
    前記メインコントローラが、前記外部機器が前記暗号化情報を復号して得た前記サブコントローラの識別情報に基づいて、前記外部機器によって識別されたコントローラを送信元として送信されたパケットの送信元情報と、選択した前記サブコントローラの情報とを比較し、両情報が一致しない場合に、前記外部機器は前記エレベーターシステムの規格に適合しない非正規機器であると判定する手順と、を含む
    エレベーター接続機器確認方法。

Images