特開 2022-186046 設備機器制御装置、制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022186046

(43)【公開日】2022-12-15

(54)【発明の名称】設備機器制御装置、制御方法及びプログラム

(51)【国際特許分類】

   H04L 43/00 20220101AFI20221208BHJP

   G06F 21/57 20130101ALI20221208BHJP

【ＦＩ】

H04L12/70 100Z

G06F21/57 370

【審査請求】未請求

【請求項の数】11

【出願形態】ＯＬ

(21)【出願番号】P 2021094066

(22)【出願日】2021-06-04

(71)【出願人】

【識別番号】000006013

【氏名又は名称】三菱電機株式会社

(74)【代理人】

【識別番号】100095407

【弁理士】

【氏名又は名称】木村 満

(74)【代理人】

【識別番号】100131152

【弁理士】

【氏名又は名称】八島 耕司

(74)【代理人】

【識別番号】100147924

【弁理士】

【氏名又は名称】美恵 英樹

(74)【代理人】

【識別番号】100148149

【弁理士】

【氏名又は名称】渡邉 幸男

(74)【代理人】

【識別番号】100181618

【弁理士】

【氏名又は名称】宮脇 良平

(74)【代理人】

【識別番号】100174388

【弁理士】

【氏名又は名称】龍竹 史朗

(72)【発明者】

【氏名】佐藤 香

(72)【発明者】

【氏名】遠藤 弘明

(72)【発明者】

【氏名】小竹 弘晃

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA15

5K030HB06

5K030LC13

(57)【要約】

【課題】遠隔制御システムを悪意のある第三者からの攻撃を受けにくくすることが可能な設備機器制御装置、制御方法及びプログラムを提供する。
【解決手段】設備機器制御装置１００は、ネットワークを介して遠隔監視装置３００から設備機器２００を遠隔制御する遠隔制御システムにおいて、遠隔監視装置３００からの指示に従って設備機器２００を制御する。取得部１０１は、遠隔監視装置３００との間で送受信するパケットを取得する。判定部１０２は、パケットの送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、遠隔制御システムが設備機器制御装置１００に接続するＶＰＮルータを設置していない不正な構成であるか否かを判定する。警告部１０３は、不正な構成であると判定されると、設備機器制御装置１００のユーザに、遠隔制御システムが不正な構成である旨を警告する。
【選択図】図３

【特許請求の範囲】

【請求項1】

ネットワークを介して遠隔監視装置から設備機器を遠隔制御する遠隔制御システムにおいて、前記遠隔監視装置からの指示に従って前記設備機器を制御する設備機器制御装置であって、
前記遠隔監視装置との間で送受信するパケットを取得する取得手段と、
前記取得されたパケットの送信元ＩＰ（Internet Protocol）アドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、前記遠隔制御システムが前記設備機器制御装置に接続するＶＰＮルータを設置していない不正な構成であるか否かを判定する判定手段と、
前記不正な構成であると判定されると、前記設備機器制御装置のユーザに、前記遠隔制御システムが不正な構成である旨を警告する警告手段と、
を備える設備機器制御装置。

【請求項2】

前記判定手段は、前記取得されたパケットのうち、前記遠隔監視装置から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、前記不正な構成であると判定する、
請求項１に記載の設備機器制御装置。

【請求項3】

前記判定手段は、前記取得されたパケットのうち、前記設備機器制御装置から前記遠隔監視装置に送信するパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、前記不正な構成であると判定する、
請求項１又は２に記載の設備機器制御装置。

【請求項4】

前記判定手段は、前記取得されたパケットのうち、前記遠隔監視装置から送信されたパケットの宛先ＩＰアドレスがグローバルＩＰアドレスである場合、前記不正な構成であると判定する、
請求項１から３のいずれか１項に記載の設備機器制御装置。

【請求項5】

前記不正な構成であると判定されると、前記遠隔監視装置による遠隔制御が可能な内容を制限する制御手段をさらに備える、
請求項１から４のいずれか１項に記載の設備機器制御装置。

【請求項6】

前記不正な構成であると判定されると、前記遠隔監視装置から前記指示を受信する度に、前記遠隔監視装置に、前記設備機器制御装置を遠隔制御するための認証情報の提示要求を送信する認証手段をさらに備える、
請求項１から５のいずれか１項に記載の設備機器制御装置。

【請求項7】

前記警告手段は、前記設備機器制御装置のユーザに、前記遠隔制御システムが不正な構成であることを了承するか否かを問い合わせ、
前記警告手段が、前記遠隔制御システムが不正な構成であることを了承する回答を受け付けると、
前記制御手段は、前記遠隔監視装置による遠隔制御が可能な内容を制限しない、
請求項５に記載の設備機器制御装置。

【請求項8】

前記警告手段は、前記設備機器制御装置のユーザに、前記遠隔制御システムが不正な構成であることを了承するか否かを問い合わせ、
前記警告手段が、前記遠隔制御システムが不正な構成であることを了承する回答を受け付けると、
前記認証手段は、前記遠隔監視装置に前記認証情報の提示要求を送信しない、
請求項６に記載の設備機器制御装置。

【請求項9】

前記設備機器は、空気調和機である、
請求項１から８のいずれか１項に記載の設備機器制御装置。

【請求項10】

遠隔監視装置からの指示に従って設備機器を制御する設備機器制御装置が、
前記遠隔監視装置との間で送受信するパケットを取得し、
前記取得されたパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、前記設備機器を遠隔制御する遠隔制御システムが前記設備機器制御装置に接続するＶＰＮルータを設置していない不正な構成であるか否かを判定し、
前記不正な構成であると判定されると、前記設備機器制御装置のユーザに、前記遠隔制御システムが不正な構成である旨を警告する、
制御方法。

【請求項11】

遠隔監視装置からの指示に従って設備機器を制御するコンピュータを、
前記遠隔監視装置との間で送受信するパケットを取得する取得手段、
前記取得されたパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、前記設備機器を遠隔制御する遠隔制御システムが前記コンピュータに接続するＶＰＮルータを設置していない不正な構成であるか否かを判定する判定手段、
前記不正な構成であると判定されると、前記コンピュータのユーザに、前記遠隔制御システムが不正な構成である旨を警告する警告手段、
として機能させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、設備機器制御装置、制御方法及びプログラムに関する。

【背景技術】

【0002】

物件に設置された空気調和機のような設備機器を、インターネットのような公共のネットワークを介して、物件とは異なる場所に存在する遠隔監視装置から遠隔制御する遠隔制御システムが知られている。例えば、特許文献１には、通信端末からインターネットを介して家屋内の電気機器を遠隔制御する技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００６－２８７６３９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

このような遠隔制御システムでは、遠隔から制御内容を指示する遠隔監視装置と通信を行い、遠隔監視装置からの指示に基づき設備機器を制御する設備機器制御装置が設けられる。設備機器制御装置は、一般的に、設備機器と同じ物件に設置され、設備機器制御装置のユーザが、設備機器を管理する。設備機器制御装置のユーザは、安全な遠隔制御を行うために、設備機器制御装置と遠隔監視装置との間に、設備機器制御装置に接続するＶＰＮ（Virtual Private Network）ルータを設置することが求められる。

【0005】

しかしながら、設備機器制御装置のユーザは、ＶＰＮルータの設置の煩雑さ、費用が係る等の理由により、ＶＰＮルータを設置しないことがある。遠隔制御システムを、設備機器制御装置に接続するＶＰＮルータを設置しない不正な構成とすると、悪意のある第三者からの攻撃を受けるという恐れがある。よって、設備機器制御装置のユーザにＶＰＮルータの設置を促し、遠隔制御システムを悪意のある第三者からの攻撃にくくする必要がある。

【0006】

本開示は、上記事情に鑑みてなされたものであり、遠隔制御システムを悪意のある第三者からの攻撃を受けにくくすることが可能な設備機器制御装置、制御方法及びプログラムを提供することを目的とする。

【課題を解決するための手段】

【0007】

上記目的を達成するために、本開示に係る設備機器制御装置は、
ネットワークを介して遠隔監視装置から設備機器を遠隔制御する遠隔制御システムにおいて、前記遠隔監視装置からの指示に従って前記設備機器を制御する設備機器制御装置であって、
前記遠隔監視装置との間で送受信するパケットを取得する取得手段と、
前記取得されたパケットの送信元ＩＰ（Internet Protocol）アドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、前記遠隔制御システムが前記設備機器制御装置に接続するＶＰＮルータを設置していない不正な構成であるか否かを判定する判定手段と、
前記不正な構成であると判定されると、前記設備機器制御装置のユーザに、前記遠隔制御システムが不正な構成である旨を警告する警告手段と、
を備える。

【発明の効果】

【0008】

本開示によれば、遠隔制御システムを悪意のある第三者からの攻撃を受けにくくすることが可能な設備機器制御装置、制御方法及びプログラムを提供することができる。

【図面の簡単な説明】

【0009】

【図1】実施形態に係る遠隔制御システムのブロック図

【図2】実施形態に係る設備機器制御装置のハードウェア構成を示すブロック図

【図3】実施形態に係る設備機器制御装置の機能構成を示すブロック図

【図4】実施形態に係る警告画像の例を示す図

【図5】実施形態に係る設備機器制御装置が実行する制御処理を示すフローチャート

【図6】実施形態に係る設備機器制御装置と遠隔監視装置との間で行われる通信の例を示すシーケンス図

【発明を実施するための形態】

【0010】

（実施形態）
実施形態に係る遠隔制御システム１は、ネットワークを介して遠隔監視装置から設備機器を遠隔制御するシステムである。

【0011】

図１に示すように、遠隔制御システム１は、設備機器制御装置１００と、１以上の設備機器２００と、遠隔監視装置３００と、を備える。設備機器制御装置１００は、ネットワーク４００を介して、遠隔監視装置３００に通信可能に接続する。設備機器制御装置１００と設備機器２００とは、同じ物件に設置されている。ここで、物件とは、例えば、オフィスビル、商業施設、住宅等である。

【0012】

以下では、遠隔制御システム１において、遠隔制御サービスが提供される場合を例に説明をする。遠隔制御サービスとは、例えば、遠隔監視装置３００から設備機器２００の運転状況の監視、自動運転、保守等の遠隔制御を行うサービスである。

【0013】

設備機器制御装置１００は、遠隔監視装置３００から送信された指示に従って設備機器を制御する。設備機器制御装置１００は、例えば、システムコントローラである。設備機器制御装置１００は、設備機器２００と、無線又は有線により通信可能に接続されている。設備機器制御装置１００のユーザは、遠隔制御サービスの提供を受ける者であり、例えば、設備機器２００の管理者である。

【0014】

設備機器２００は、物件に設置された電気機器である。設備機器２００は、例えば、空気調和機、照明機器、換気装置等である。

【0015】

遠隔監視装置３００は、設備機器２００の遠隔制御の内容を示す指示を、設備機器制御装置１００に送信する。遠隔監視装置３００は、例えば、パーソナルコンピュータ、タブレットコンピュータ等である。遠隔監視装置３００のユーザは、物件の設備機器２００についての遠隔制御サービスを提供する者である。

【0016】

ネットワーク４００は、無線又は有線による通信ネットワークであり、例えば、インターネットである。

【0017】

図１の遠隔制御システム１においては、設備機器制御装置１００と遠隔監視装置３００との間にＶＰＮルータ５００が設置されていない。安全な遠隔制御を行うために、設備機器制御装置１００と遠隔監視装置３００との間に、設備機器制御装置１００と接続するＶＰＮルータを設置し、ＶＰＮ接続を行った上での通信が求められる。したがって、設備機器２００の管理者には、設備機器制御装置１００と接続するＶＰＮルータ５００の設置が求められる。ＶＰＮルータ５００を設置しない場合、悪意のある第三者からの攻撃を受ける恐れがあり、安全な遠隔制御が保証されない。以下、設備機器制御装置１００と遠隔監視装置との間にＶＰＮルータ５００が設置されていない遠隔制御システム１の構成を、「不正な構成」という。

【0018】

次に、図２を参照して設備機器制御装置１００のハードウェア構成について説明する。

【0019】

まず、設備機器制御装置１００のハードウェア構成について説明する。設備機器制御装置１００は、種々の処理を実行するプロセッサ１１と、プロセッサ１１の作業領域として用いられる主記憶部１２と、プロセッサ１１の処理に用いられる種々のデータを記憶する補助記憶部１３と、外部の装置と通信するための通信部１４と、入力された情報を取得する入力部１５と、種々の情報を提示する出力部１６と、計時を行うＲＴＣ（Real Time Clock）１７と、を有する。主記憶部１２、補助記憶部１３、通信部１４、入力部１５、出力部１６及びＲＴＣ１７はいずれも、バス１８を介してプロセッサ１１に接続される。

【0020】

プロセッサ１１は、ＣＰＵ（Central Processing Unit）を含む。プロセッサ１１は、補助記憶部１３に記憶されるプログラムを実行することにより、設備機器制御装置１００の種々の機能を実現する。

【0021】

主記憶部１２は、ＲＡＭ（Random Access Memory）を含む。主記憶部１２には、補助記憶部１３からプログラムがロードされる。そして、主記憶部１２は、プロセッサ１１の作業領域として用いられる。

【0022】

補助記憶部１３は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）に代表される不揮発性メモリを含む。補助記憶部１３は、プログラムの他に、プロセッサ１１の処理に用いられる種々のデータを記憶する。補助記憶部１３は、プロセッサ１１の指示に従って、プロセッサ１１によって利用されるデータをプロセッサ１１に供給し、プロセッサ１１から供給されたデータを記憶する。

【0023】

通信部１４は、外部の装置と通信するためのネットワークインタフェース回路を含む。通信部１４は、外部の装置から信号を受信して、この信号により示されるデータをプロセッサ１１へ出力する。また、通信部１４は、プロセッサ１１から出力されたデータを示す信号を外部の装置へ送信する。

【0024】

入力部１５は、入力キー、ポインティングデバイス等の入力デバイスを含む。入力部１５は、設備機器制御装置１００のユーザによって入力された情報を取得して、取得した情報をプロセッサ１１に通知する。

【0025】

出力部１６は、ＬＣＤ（Liquid Crystal Display）、スピーカ等の出力デバイスを含む。出力部１６は、入力部１５を構成するポインティングデバイスと一体的に形成されたタッチスクリーンを構成してもよい。出力部１６は、プロセッサ１１の指示に従って、種々の情報をユーザに提示する。

【0026】

ＲＴＣ１７は、水晶発振子による発振回路を備えた計時用のデバイスである。ＲＴＣ１７は、例えば、電池を内蔵し、設備機器制御装置１００の電源がオフの間も計時を継続する。

【0027】

次に、図３を参照して、設備機器制御装置１００の機能について説明する。

【0028】

設備機器制御装置１００は、機能的には、遠隔監視装置との間で送受信するパケットを取得する取得部１０１と、不正な構成か否かを判定する判定部１０２と、不正な構成である旨を警告する警告部１０３と、設備機器２００を制御する制御部１０４と、認証情報の提示要求を送信する認証部１０５と、を備える。

【0029】

取得部１０１は、遠隔監視装置３００との間で送受信するパケットを取得する。取得部１０１は、プロセッサ１１と、通信部１４とが協働することにより実現される。なお、取得部１０１は、取得手段の一例である。

【0030】

例えば、設備機器制御装置１００と遠隔監視装置３００との通信の初期設定を行うために、遠隔監視装置３００から設定に関する情報を含むパケットが送信されると、取得部１０１は、遠隔監視装置３００から送信されたパケットを取得する。あるいは、通信の初期設定を行うために、設備機器制御装置１００から遠隔監視装置３００に、設定に関する情報を含むパケットを送信する場合、取得部１０１は、設備機器制御装置１００の内部にある、設備機器制御装置１００から送信するパケットを取得する。

【0031】

判定部１０２は、取得されたパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、遠隔制御システム１が設備機器制御装置１００に接続するＶＰＮルータ５００を設置していない不正な構成であるか否かを判定する。判定部１０２は、プロセッサ１１により実現される。なお、判定部１０２は、判定手段の一例である。

【0032】

不正な構成とは、遠隔制御システム１において、設備機器制御装置１００と遠隔監視装置との間に、設備機器制御装置１００に接続するＶＰＮルータ５００が設置されていない構成であり、セキュリティリスクの高い構成である。

【0033】

例えば、補助記憶部１３には、プライベートＩＰアドレスの範囲が示されたアドレス情報が格納されているとする。判定部１０２は、アドレス情報を参照して、取得されたパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスパケットの送信元ＩＰアドレスがグローバルＩＰアドレスか否かを判断する。

【0034】

具体的には、判定部１０２は、取得されたパケットのうち、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、不正な構成であると判定する。例えば、判定部１０２は、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスが、アドレス情報に示された範囲のプライベートＩＰアドレスに一致しない場合、送信元ＩＰアドレスがグローバルＩＰアドレスと判断する。

【0035】

例えば、設備機器制御装置１００と遠隔監視装置３００との間に、設備機器制御装置１００に接続するＶＰＮルータ５００が設置されていれば、遠隔監視装置３００から送信され、設備機器制御装置１００が受信したパケットの送信元ＩＰアドレスは、ＶＰＮルータ５００に割り当てられたプライベートＩＰアドレスであり、グローバルＩＰアドレスではない。したがって、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、判定部１０２は、遠隔制御システム１が不正な構成と判定する。

【0036】

或いは、判定部１０２は、取得されたパケットのうち、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、不正な構成であると判定する。例えば、判定部１０２は、設備機器制御装置１００から遠隔監視装置３００に送信する送信元ＩＰアドレスが、アドレス情報に示された範囲のプライベートＩＰアドレスに一致する場合、送信元ＩＰアドレスがグローバルＩＰアドレスと判断する。

【0037】

例えば、設備機器制御装置１００と遠隔監視装置３００との間に、設備機器制御装置１００に接続するＶＰＮルータ５００が設置されていれば、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの送信元ＩＰアドレスは、設備機器制御装置１００に割り当てられたプライベートＩＰアドレスであり、グローバルＩＰアドレスではない。したがって、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの送信元ＩＰアドレスがグローバルＩＰアドレスである場合、判定部１０２は、遠隔制御システム１が不正な構成と判定する。

【0038】

また、或いは、判定部１０２は、取得されたパケットのうち、遠隔監視装置３００から送信されたパケットの宛先ＩＰアドレスがグローバルＩＰアドレスである場合、不正な構成であると判定する。例えば、判定部１０２は、遠隔監視装置３００から送信されたパケットの宛先ＩＰアドレスが、アドレス情報に示された範囲のプライベートＩＰアドレスに一致しない場合、宛先ＩＰアドレスがグローバルＩＰアドレスと判断する。

【0039】

例えば、設備機器制御装置１００と遠隔監視装置３００との間に、設備機器制御装置１００に接続するＶＰＮルータ５００が設置されていれば、遠隔監視装置３００から送信され、設備機器制御装置１００が受信したパケットの宛先ＩＰアドレスは、設備機器制御装置１００に割り当てられたプライベートＩＰアドレスであり、グローバルＩＰアドレスではない。したがって、遠隔監視装置３００から送信されたパケットの宛先ＩＰアドレスがグローバルＩＰアドレスである場合、判定部１０２は、遠隔制御システム１が不正な構成と判定する。

【0040】

警告部１０３は、不正な構成であると判定されると、設備機器制御装置１００のユーザに、遠隔制御システム１が不正な構成である旨を警告する。また、警告部１０３は、設備機器制御装置１００のユーザに、遠隔制御システム１が不正な構成であることを了承するか否かを問い合わせる。警告部１０３は、プロセッサ１１、通信部１４、入力部１５及び出力部１６により実現される。なお、警告部１０３は、警告手段の一例である。

【0041】

例えば、判定部１０２により不正な構成であると判定されると、警告部１０３は、図４に示す警告画像６００を、設備機器制御装置１００の画面に表示する。警告画像６００には、警告メッセージ６０１と、警告メッセージ６０１の内容を了承することを示すボタン６０２と、警告メッセージ６０１の内容を了承しないことを示すボタン６０３と、が含まれる。警告メッセージ６０１には、ＶＰＮルータを使用していない不正な構成であることを通知する内容、セキュリティリスクが高い状態にあることを通知する内容、ＶＰＮルータの設置を求める内容、及び、ＶＰＮルータを用いず通信を継続した場合に生じる不具合については、サービスの保証外であることを通知する内容が含まれる。

【0042】

警告部１０３が、遠隔制御システム１が不正な構成であることを了承する回答を受け付けると、設備機器制御装置１００は、遠隔監視装置３００からの指示に従って設備機器２００を制御する通常の制御を行う。

【0043】

例えば、図４の警告画像６００において、ボタン６０２が選択されると、警告部１０３は、遠隔制御システム１が不正な構成であることを了承する回答を受け付けたと判断し、設備機器制御装置１００は、遠隔監視装置３００からの指示に従って設備機器２００を制御する通常の制御を行う。以下、通常の制御が行われる設備機器制御装置１００の動作モードを、「通常モード」という。なお、設備機器制御装置１００の動作モードには、「通常モード」の他に、後述する「制限モード」、「認証モード」がある。現在の動作モードを示す動作モード情報は、補助記憶部１３に格納される。動作モード情報を、「通常モード」、「制限モード」、「認証モード」のいずれかの値に設定すると、設備機器制御装置１００は設定された動作モードの動作を行う。

【0044】

一方、警告部１０３が、遠隔制御システムが不正な構成であることを了承しない回答を受け付けると、制御部１０４は、遠隔監視装置３００による遠隔制御が可能な内容を制限する。制限される遠隔制御が可能な内容は、遠隔監視装置３００のユーザが任意に設定することができる。例えば、補助記憶部１３には、遠隔制御システムが不正な構成であることを了承しない回答を受け付けた場合に許可される遠隔制御の内容と、許可されない遠隔制御の内容とが示された制限情報が格納される。そして、遠隔監視装置３００のユーザは、制限情報の内容を任意に設定することができる。以下、遠隔制御が可能な内容が制限される設備機器制御装置１００の動作モードを、「制限モード」という。制御部１０４は、プロセッサ１１及び通信部１４により実現される。なお、制御部１０４は、制御手段の一例である。

【0045】

例えば、図４の警告画像６００において、ボタン６０３が選択されると、警告部１０３は、遠隔制御システム１が不正な構成であることを了承しない回答を受け付けたと判断する。制御部１０４は、補助記憶部１３に格納された動作モード情報の値を「制限モード」にすることにより、動作モードを制限モードに設定する。そして、制御部１０４は、その後に遠隔監視装置３００から遠隔制御の指示を受け付けると、補助記憶部１３に格納された制限情報を参照し、その指示が許可される遠隔制御の指示の場合に、指示に従い設備機器２００を制御する。

【0046】

例えば、制限情報において、遠隔監視装置３００に対し、設備機器制御装置１００、設備機器２００、設備機器２００が設置される物件に関する情報の取得のみを許可し、設備機器２００の運転に関する制御を許可しないという設定がされているとする。この場合、制御部１０４は、遠隔監視装置３００から情報の取得要求を受信すると、取得要求に係る情報を遠隔監視装置３００に送信する。一方、制御部１０４は、遠隔監視装置３００から設備機器２００の運転に関する指示を受信すると、指示を破棄し、指示に係る運転を実行できない旨のメッセージを遠隔監視装置３００に送信する。運転に関する指示とは、例えば、設備機器２００が空気調和機の場合、運転の開始、運転の停止、温度設定の変更等の指示である。

【0047】

また、例えば、遠隔監視装置３００からの情報取得を許可する情報を、機密性の低い情報に限定し、機密性の高い情報の情報取得を許可しないよう設定することもできる。ここで、機密性の低い情報とは、例えば、設備機器２００の仕様、メンテナンス履歴等の情報である。一方、機密性の高い情報とは、例えば、人の在否を判断することができる設備機器２００の現在の運転情報、課金情報のようなプライバシーに関する情報である。制御部１０４は、遠隔監視装置３００から機密性の低い情報の取得要求を受信すると、取得要求に係る情報を遠隔監視装置３００に送信する。一方、制御部１０４は、遠隔監視装置３００から機密性の高い情報の取得要求を受信すると、取得要求に係る情報を送信できない旨のメッセージを遠隔監視装置３００に送信する。

【0048】

或いは、警告部１０３が、遠隔制御システムが不正な構成であることを了承しない回答を受け付けると、認証部１０５は、遠隔監視装置３００から指示を受信する度に、遠隔監視装置３００に、設備機器制御装置１００を遠隔制御するための認証情報の提示要求を送信する。遠隔監視装置３００から指示を受信する度に認証情報の提示要求を送信する設備機器制御装置１００の動作モードを、「認証モード」という。認証部１０５は、プロセッサ１１及び通信部１４により実現される。なお、認証部１０５は、認証手段の一例である。

【0049】

設備機器制御装置１００を遠隔制御するための認証情報とは、例えば、設備機器制御装置１００に登録されているログインＩＤ及びパスワードである。認証情報は、例えば、設備機器制御装置１００と遠隔監視装置３００との通信を行うための初期設定の際に、遠隔監視装置３００のユーザにより登録され、補助記憶部１３に格納される。

【0050】

例えば、図４の警告画像６００において、ボタン６０３が選択されると、警告部１０３は、遠隔制御システム１が不正な構成であることを了承しない回答を受け付けたと判断する。認証部１０５は、補助記憶部１３に格納された動作モード情報の値を「認証モード」にすることにより、動作モードを認証モードに設定する。そして、認証部１０５は、その後に遠隔監視装置３００から、情報の取得要求、運転に関する指示等の遠隔制御の指示を受け付ける度に、遠隔監視装置３００にログインＩＤ及びパスワードの提示要求を送信する。遠隔監視装置３００のユーザが、ログインＩＤ及びパスワードを入力し、認証部１０５が、遠隔監視装置３００から予め登録されたログインＩＤ及びパスワードを受信すると、制御部１０４は、遠隔監視装置３００から指示に従って設備機器２００を制御する。

【0051】

次に、本実施形態に係る設備機器制御装置１００が実行する制御処理について、図５のフローチャートを用いて説明する。図５の制御処理は、例えば、設備機器制御装置１００と遠隔監視装置３００との通信を行うための、初期設定の際に実行される。

【0052】

取得部１０１は、遠隔監視装置３００との間で送受信するパケットを取得したか否かを判断する（ステップＳ１０１）。取得部１０１は、遠隔監視装置３００との間で送受信するパケットを取得した判断すると（ステップＳ１０１；ＹＥＳ）、判定部１０２は、取得されたパケットの送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスであるか否かに基づいて、遠隔制御システム１がＶＰＮルータ５００を設置してない不正な構成であるか否かを判定する（ステップＳ１０２）。一方、取得部１０１は、遠隔監視装置３００との間で送受信するパケットを取得した判断していないと判断すると（ステップＳ１０１；ＮＯ）、そのまま待機する。

【0053】

例えば、取得部１０１が、遠隔監視装置３００から送信されたパケットを取得すると、判定部１０２は、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスか否かに基づいて、遠隔制御システム１が不正な構成であるか否かを判定する。一方、取得部１０１が、遠隔監視装置３００との間で送受信するパケットを取得していない場合は、そのまま待機する。

【0054】

ステップＳ１０２において、判定部１０２が、遠隔制御システム１が不正な構成と判定すると（ステップＳ１０２；ＹＥＳ）、警告部１０３は、設備機器制御装置１００のユーザに、遠隔制御システム１が不正な構成である旨を警告する（ステップＳ１０３）。一方、判定部１０２が、遠隔制御システム１が不正な構成でないと判定すると（ステップＳ１０２；ＮＯ）、設備機器制御装置１００は、図５の処理を終了する。

【0055】

例えば、判定部１０２が、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスと判断すると、遠隔制御システム１が不正な構成と判定する。そして、警告部１０３は、図４に示す警告画像６００を、設備機器制御装置１００の画面に表示する。一方、判定部１０２は、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレスがグローバルＩＰアドレスでないと判断すると、遠隔制御システム１が不正な構成でないと判定する。そして、設備機器制御装置１００は、図５の処理を終了する。

【0056】

次に、警告部１０３は、設備機器２００を管理する者に、遠隔制御システム１が不正な構成であることを了承するか否かを問い合わせ、了承する回答を受け付けたか否かを判断する（ステップＳ１０４）。警告部１０３が、了承する回答を受け付けたと判断すると（ステップＳ１０４；ＹＥＳ）、設備機器制御装置１００は、図５の処理を終了する。一方、警告部１０３が、了承する回答を受け付けなかったと判断すると（ステップＳ１０４；ＮＯ）、ステップＳ１０５に進む。

【0057】

例えば、図４の警告画像６００において、ボタン６０２が選択されると、警告部１０３は、遠隔制御システム１が不正な構成であることを了承する回答を受け付けたと判断する。一方、図４の警告画像６００において、ボタン６０３が選択されると、警告部１０３は、遠隔制御システム１が不正な構成であることを了承しない回答を受け付けたと判断する。

【0058】

ステップＳ１０５において、制御部１０４は、動作モードを、遠隔監視装置３００による遠隔制御が可能な内容を制限する制限モードに設定する。又は、認証部１０５は、動作モードを、遠隔監視装置３００から指示を受信する度に認証情報の提示要求を送信する認証モードに設定する。

【0059】

例えば、ステップＳ１０５において、動作モードが制限モードに設定されたとする。この場合、図５の処理の終了後に、制御部１０４は、遠隔監視装置３００から情報の取得要求を受信すると、取得要求に係る情報を遠隔監視装置３００に送信する。また、制御部１０４は、設備機器２００の運転を開始する指示を受信すると、指示を破棄し、運転を開始できない旨のメッセージを遠隔監視装置３００に送信する。また、例えば、ステップＳ１０５において、動作モードが認証モードに設定されたとする。この場合、図５の処理の終了後に、制御部１０４は、遠隔監視装置３００から、情報の取得要求、運転に関する指示等の遠隔制御の指示を受け付ける度に、遠隔監視装置３００にログインＩＤ及びパスワードの提示要求を送信する。

【0060】

次に、本実施形態に係る設備機器制御装置１００と遠隔監視装置３００との間で実行される処理であって、動作モードが認証モードに設定された後の処理の例を、図６のシーケンス図を用いて説明する。

【0061】

まず、遠隔監視装置３００が、遠隔制御の指示の実行を要求するリクエストを送信する（ステップＳ２０１）。ここで、リクエストには、セッションＩＤ１が割り当てられているとする。設備機器制御装置１００は、リクエストを受信すると、ログインＩＤ及びパスワードの提示要求を送信する（ステップＳ２０２）。遠隔監視装置３００が、提示要求に応答して、ログインＩＤ及びパスワードを送信すると（ステップＳ２０３）、設備機器制御装置１００は、受信したログインＩＤ及びパスワードが、補助記憶部１３に格納されたログインＩＤ及びパスワードと一致するか否かを確認する認証処理を行う（ステップＳ２０４）。

【0062】

設備機器制御装置１００は、受信したログインＩＤ及びパスワードが補助記憶部１３に格納されたログインＩＤ及びパスワードと一致すると判断すると、認証が成功した旨の通知を送信する（ステップＳ２０５）。この際に、設備機器制御装置１００は、設備機器制御装置１００と遠隔監視装置３００との通信に新たに、セッションＩＤ２を割り当てる。遠隔監視装置３００は、新たなセッションＩＤ２を指定して、ステップＳ２０１と同様のリクエストを送信し（ステップＳ２０６）、設備機器制御装置１００は、リクエストに対するレスポンスを送信する（ステップＳ２０７）。

【0063】

本実施形態によれば、遠隔制御システムが、設備機器制御装置に接続するＶＰＮルータを設置していない不正な構成であることを、設備機器制御装置のユーザに警告することができる。これにより、設備機器制御装置のユーザに、ＶＰＮルータを設置するよう促すことができ、遠隔制御システムを悪意のある第三者からの攻撃を受けにくくすることができる。また、設備機器制御装置のユーザに不正な構成であることを了承するか否かを問い合わせることにより、通信において不具合が生じた場合の責任範囲を明確にすることができる。

【0064】

また、本実施形態によれば、送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスか否かに基づいて不正な構成か否かを判定することができる。一般的に、物件に設置されるシステムコントローラのような設備機器制御装置は、性能が高くなく、搭載可能なアプリケーションも限られるが、このような構成により、設備機器制御装置において、ＶＰＮルータを設置していない不正な構成であるか否かを判定することができる。

【0065】

また、本実施形態によれば、遠隔制御システムが不正な構成であり、継続して通信が行われる場合に、遠隔制御が可能な内容を制限することができる。これにより、サイバー攻撃があった場合に備え、悪意のある第三者からの不正な機器の制御、機密性の高い情報の漏洩等を防ぐことができる。

【0066】

また、本実施形態によれば、遠隔制御システムが不正な構成であり、継続して通信が行われる場合に、遠隔制御の指示を受信する度に、認証情報の提示を求めることができる。これにより、サイバー攻撃があった場合に備え、悪意のある第三者からの不正な機器の制御、機密性の高い情報の漏洩等を防ぐことができる。

【0067】

また、本実施形態によれば、遠隔制御システムが不正な構成であることを、設備機器制御装置のユーザが了承して、継続して通信が行われる場合、通信において不具合が生じた場合の責任範囲を明確にしつつ、ユーザの利便性を損なわずに、設備機器の遠隔制御を可能にすることができる。

【0068】

（変形例）
以上、本開示の実施形態を説明したが、本開示を実施するにあたっては、種々の形態による変形及び応用が可能である。

【0069】

上記実施形態において、遠隔制御システム１において、設備機器制御装置１００及び遠隔監視装置３００を１つずつ示したが、これに限らず、それぞれが複数あってもよい。また、設備機器制御装置１００と設備機器２００とは同じ物件に設置されるとしたが、別の物件に設置されてもよい。また、設備機器制御装置１００は、複数の物件に設置された設備機器２００を制御してもよい。

【0070】

また、上記実施形態において、補助記憶部１３には、プライベートＩＰアドレスの範囲が示されたアドレス情報が格納されるとしたが、これに限らない。補助記憶部１３には、グローバルＩＰアドレスの範囲が示されたアドレス情報、又は、プライベートＩＰアドレス及びグローバルＩＰアドレスの両方の範囲が示されたアドレス情報が格納されてもよい。このような場合、判定部１０２は、送信元ＩＰアドレス又は宛先ＩＰアドレスがアドレス情報に示された範囲のグローバルＩＰアドレスに一致する場合、送信元ＩＰアドレス又は宛先ＩＰアドレスがグローバルＩＰアドレスと判断する。

【0071】

また、上記実施形態の判定部１０２は、取得されたパケットのうち、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの宛先ＩＰアドレスがグローバルＩＰアドレスである場合、不正な構成であると判定してもよい。例えば、判定部１０２は、設備機器制御装置１００から遠隔監視装置３００に送信する宛先ＩＰアドレスが、アドレス情報に示された範囲のプライベートＩＰアドレスに一致する場合、宛先ＩＰアドレスがグローバルＩＰアドレスと判断する。

【0072】

例えば、設備機器制御装置１００と遠隔監視装置３００との間に、設備機器制御装置１００に接続するＶＰＮルータ５００が設置されていれば、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの宛先ＩＰアドレスは、ＶＰＮルータに割り当てられたプライベートＩＰアドレスであり、グローバルＩＰアドレスではない。したがって、設備機器制御装置１００から遠隔監視装置３００に送信するパケットの宛先ＩＰアドレスがグローバルＩＰアドレスである場合、判定部１０２は、遠隔制御システム１が不正な構成と判定する。

【0073】

また、上記実施形態及び変形例において、判定部１０２は、遠隔監視装置３００から送信されたパケットの送信元ＩＰアドレス及び宛先ＩＰアドレス、並びに、設備機器制御装置１００から遠隔監視装置３００に送信するパケット送信元ＩＰアドレス及び宛先ＩＰアドレスがグローバルＩＰアドレスか否かに基づいて、不正な構成か否かを判定する例を示したが、いずれの送信元又は宛先ＩＰアドレスを判定に用いるかは、遠隔監視装置３００のユーザが任意に設定することができる。

【0074】

また、上記実施形態において、警告部１０３は、図４の警告画像６００を、設備機器制御装置１００の画面に表示するとしたが、これに限らない。警告部１０３は、予め設定された設備機器制御装置１００のユーザの連絡先に、警告画像６００が示す内容の情報を、送信してもよい。

【0075】

また、上記実施形態において、警告部１０３が、遠隔制御システムが不正な構成であることを了承しない回答を受け付けると、制御部１０４が、遠隔監視装置３００による遠隔制御が可能な内容を制限するとしたが、これに限らない。制御部１０４は、不正な構成であると判定されると、遠隔監視装置３００による遠隔制御が可能な内容を制限する。例えば、判定部１０２により遠隔制御システム１が不正な構成であると判定されると、制御部１０４は、直ちに、設備機器制御装置１００の動作モードを制限モードに設定し、遠隔制御が可能な内容を制限する。

【0076】

また、上記実施形態において、警告部１０３が、遠隔制御システムが不正な構成であることを了承しない回答を受け付けると、認証部１０５が、遠隔監視装置３００から指示を受信する度に、遠隔監視装置３００に設備機器制御装置１００を遠隔制御するための認証情報の提示要求を送信するとしたが、これに限らない。認証部１０５は、不正な構成であると判定されると、遠隔監視装置３００から指示を受信する度に、遠隔監視装置３００に、設備機器制御装置１００を遠隔制御するための認証情報の提示要求を送信する。例えば、判定部１０２により遠隔制御システム１が不正な構成であると判定されると、認証部１０５は、直ちに、設備機器制御装置１００の動作モードを認証モードに設定し、遠隔監視装置３００から指示を受信する度に認証情報の提示要求を送信する。

【0077】

また、上記実施形態において、警告部１０３は、判定部１０２により不正な構成であると判定されると、設備機器制御装置１００のユーザに、遠隔制御システム１が不正な構成である旨を警告するとしたが、これに限らない。判定部１０２により不正な構成であると判定されると、警告部１０３による警告、制御部１０４による遠隔制御が可能な内容の制限、又は、認証部１０５による認証情報の提示要求を送信、のいずれかの処理を行うように、遠隔監視装置３００のユーザが指定するようにしてもよい。

【0078】

また、上記実施形態において、図５のフローチャートが示す処理は、設備機器制御装置１００と遠隔監視装置３００との通信を行うための、初期設定の際に実行されるとしたが、これに限らない。例えば、遠隔監視装置３００のユーザが指定した任意のタイミングで行ってもよい。例えば、１週間に１度のように周期的に実行されてもよいし、遠隔監視装置３００から遠隔制御に関する指示を受信する度に実行されてもよい。

【0079】

また、図５のフローチャートのステップＳ１０５において、動作モードが制限モード又は認証モードに設定されるとしたが、これに限らない。ステップＳ１０５において、動作モードが制限モード及び認証モードの両方に設定されてもよい。

【0080】

また、上記実施形態に係る設備機器制御装置１００の動作を規定する動作プログラムを既存のパーソナルコンピュータ又は情報端末装置に適用することで、当該パーソナルコンピュータ又は情報端末装置を実施形態に係る設備機器制御装置１００として機能させることも可能である。

【0081】

また、このようなプログラムの配布方法は任意であり、例えば、ＣＤ－ＲＯＭ（Compact Disk Read-Only Memory）、ＤＶＤ（Digital Versatile Disk）、メモリカード等のコンピュータ読み取り可能な記録媒体に格納して配布してもよいし、インターネットのような通信ネットワークを介して配布してもよい。

【0082】

本開示は、本開示の広義の精神と範囲を逸脱することなく、様々な実施形態及び変形が可能とされるものである。また、上述した実施形態は、本開示を説明するためのものであり、本開示の範囲を限定するものではない。つまり、本開示の範囲は、実施形態ではなく、請求の範囲によって示される。そして、請求の範囲内及びそれと同等の開示の意義の範囲内で施される様々な変形が、本開示の範囲内とみなされる。

【産業上の利用可能性】

【0083】

本開示は、遠隔制御システムを悪意のある第三者からの攻撃を受けにくくすることが可能な設備機器制御装置、遠隔制御システム、制御方法及びプログラムを提供することができる。

【符号の説明】

【0084】

１ 遠隔制御システム、１１ プロセッサ、１２ 主記憶部、１３ 補助記憶部、１４ 通信部、１５ 入力部、１６ 出力部、１７ ＲＴＣ、１８ バス、１００ 設備機器制御装置、１０１ 取得部、１０２ 判定部、１０３ 警告部、１０４ 制御部、１０５ 認証部、２００ 設備機器、３００ 遠隔監視装置、４００ ネットワーク、５００ ＶＰＮルータ、６００ 警告画像、６０１ 警告メッセージ、６０２，６０３ ボタン。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】