特開 2024-133939 エレベーターシステム及びエレベーター制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024133939

(43)【公開日】2024-10-03

(54)【発明の名称】エレベーターシステム及びエレベーター制御方法

(51)【国際特許分類】

   B66B 5/02 20060101AFI20240926BHJP

   B66B 3/00 20060101ALI20240926BHJP

【ＦＩ】

B66B5/02 S

B66B3/00 U

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2023043970

(22)【出願日】2023-03-20

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000350

【氏名又は名称】ポレール弁理士法人

(72)【発明者】

【氏名】納谷 英光

(72)【発明者】

【氏名】羽鳥 貴大

(72)【発明者】

【氏名】助川 祐太

【テーマコード（参考）】

3F303

3F304

【Ｆターム（参考）】

3F303CB42

3F303FA10

3F304EB02

3F304EB07

3F304ED01

(57)【要約】

【課題】
スイッチングハブや監視用の専用装置を設けることなく、不正なコントローラ２０を特定し、正常なコントローラ２０のみでの運行制御ができるエレベーターシステムを提供する。
【解決手段】
エレベーター１５を制御する複数のコントローラ２０を有するエレベーターシステムにおいて、コントローラ２０は、コントローラ２０の制御状態に応じて、他のコントローラ２０宛に送信されたパケットのパケット検査を行うかを判断するタスク切替判断部３２と、パケット検査を実施して不正なコントローラ２０を特定するパケット解析部３８と、不正なコントローラ２０の特定状況に応じて、エレベーター１５の制御を変更する運転制御部５０と、を有する。
【選択図】図３

【特許請求の範囲】

【請求項1】

エレベーターを制御する複数のコントローラを有するエレベーターシステムにおいて、
前記コントローラは、
前記コントローラの制御状態に応じて、他のコントローラ宛に送信されたパケットのパケット検査を行うかを判断するタスク切替判断部と、
前記パケット検査を実施して不正なコントローラを特定するパケット解析部と、
前記不正なコントローラの特定状況に応じて、前記エレベーターの制御を変更する運転制御部と、を有することを特徴とするエレベーターシステム。

【請求項2】

請求項１において、
前記タスク切替判断部は、前記コントローラの制御状態に応じて、前記エレベーターの制御を行う通常の制御処理と、前記パケット検査を行うパケット検査処理とを切り替える判断をすることを特徴とするエレベーターシステム。

【請求項3】

請求項１において、
前記パケット解析部は、前記パケット検査において、送信ノードまたは受信ノードが正規のコントローラの構成を記述したコントローラテーブルに存在するか、および、コマンドが正規のコマンドであるかを確認することで、前記不正なコントローラを特定することを特徴とするエレベーターシステム。

【請求項4】

請求項１において、
前記コントローラは、自身の保有する前記不正なコントローラのリストに基づいて、正規のコントローラのリストを生成し、前記正規のコントローラのリストに存在する他の正規のコントローラから前記他の正規のコントローラの保有する前記不正なコントローラのリストを収集し、自身の保有する前記不正なコントローラのリストを更新する不正ノード収集部を有することを特徴とするエレベーターシステム。

【請求項5】

請求項１において、
前記運転制御部は、フロアコントローラが不正な場合には、不正な前記フロアコントローラからの呼びをキャンセルするとともに、不正な前記フロアコントローラが設置されたフロアを不停止階として制御することを特徴とするエレベーターシステム。

【請求項6】

請求項１において、
前記運転制御部は、フロアコントローラの不正通信頻度が所定の値を超えた場合には、最寄り階停止運転を行うとともに、不正な前記フロアコントローラが設置されたフロアを不停止階として制御することを特徴とするエレベーターシステム。

【請求項7】

請求項１において、
前記運転制御部は、かごコントローラが不正な場合には、登録階への到着後に、所定時間内の不正通信の有無に応じて運行継続するか運行停止するかを判断することを特徴とするエレベーターシステム。

【請求項8】

請求項１において、
前記運転制御部は、かごコントローラの不正通信頻度が所定の値を超えた場合には、最寄り階停止運転後に運行停止することを特徴とするエレベーターシステム。

【請求項9】

請求項１において、
前記運転制御部は、かご内操作盤コントローラの不正通信頻度が所定の値を超えた場合には、最寄り階停止運転後に運行停止することを特徴とするエレベーターシステム。

【請求項10】

請求項１において、
前記運転制御部は、前記不正なコントローラを排除して前記エレベーターの制御を行うことを特徴とするエレベーターシステム。

【請求項11】

複数のコントローラを用いてエレベーターを制御するエレベーター制御方法において、
前記コントローラが、前記コントローラの制御状態に応じて他のコントローラ宛に送信されたパケットのパケット検査を実施して不正なコントローラを特定し、前記不正なコントローラの特定状況に応じて、前記エレベーターの制御を変更することを特徴とするエレベーター制御方法。

【請求項12】

請求項１１において、
前記コントローラは、前記不正なコントローラを排除して前記エレベーターの制御を行うことを特徴とするエレベーター制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、エレベーターシステム及びエレベーター制御方法に関する。

【背景技術】

【0002】

エレベーターシステムは、複数のコントローラが通信路により相互に接続することで構成されるシステムである。当該コントローラが別のコントローラもしくは機器に置換えられてしまうと、想定外の通信データが流れてしまい、エレベーターシステムの動作に支障が生じる可能性がある。

【0003】

このような通信路への不正な機器の接続に対処する方法としては、例えば特許文献１および特許文献２がある。

【0004】

特許文献１には、スイッチングハブを用いて不正な装置を遮断する技術について記載されており、特許文献１の要約には、「不正な装置を各装置で検出し、不正な装置が直接接続されたスイッチングハブの制御指令を各装置から送信する。当該制御指令を受信したスイッチングハブは、制御指令の内容に基づき、不正な装置が接続された自身の接続ポート、もしくは当該スイッチングハブが有する経路情報テーブルを電子的に制御し、不正な装置のネットワーク接続を遮断する。」と記載されている。

【0005】

また、特許文献２には、監視用の専用装置を通信路に接続し、別途ゲートウェイって不正データのルーティングを禁止させる技術について記載されており、特許文献２の要約には、「車両ネットワークには、同車両ネットワークで用いられる通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視用の車載制御装置５０が設けられている。監視用の車載制御装置５０は、規定された通信形式とは異なる不正データを検知したとき、各車載制御装置１１～１３、２１～２３、及び３１～３３に警告情報を送信する処理を行うとともに、ゲートウェイ４１及び４２による不正データのルーティングを禁止させる処理を行う。」と記載されている。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２０１５－０３５７２４号公報

【特許文献2】特開２０１３－１３１９０７号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、これらの従来技術では、コントローラの他に、スイッチングハブや監視用の専用装置を設けなければならないという課題がある。また、通信路のトポロジ（ネットワーク構成）がスイッチングハブやゲートウェイとの接続に限定されてしまうという問題がある。よって、スイッチングハブやゲートウェイを繋がないシステムには適用できない。

【0008】

本発明が解決しようとする課題は、スイッチングハブや監視用の専用装置を設けることなく、不正なコントローラを特定し、正常なコントローラのみでの運行制御ができるエレベーターシステム及びエレベーター制御方法を提供することである。

【課題を解決するための手段】

【0009】

上記した課題を解決するために、本発明のエレベーターシステムは、エレベーターを制御する複数のコントローラを有するエレベーターシステムにおいて、前記コントローラは、前記コントローラの制御状態に応じて、他のコントローラ宛に送信されたパケットのパケット検査を行うかを判断するタスク切替判断部と、前記パケット検査を実施して不正なコントローラを特定するパケット解析部と、前記不正なコントローラの特定状況に応じて、前記エレベーターの制御を変更する運転制御部と、を有することを特徴とする。

【0010】

また、本発明のエレベーター制御方法は、複数のコントローラを用いてエレベーターを制御するエレベーター制御方法において、前記コントローラが、前記コントローラの制御状態に応じて他のコントローラ宛に送信されたパケットのパケット検査を実施して不正なコントローラを特定し、前記不正なコントローラの特定状況に応じて、前記エレベーターの制御を変更することを特徴とする。

【発明の効果】

【0011】

本発明のエレベーターシステム及びエレベーター制御方法によれば、スイッチングハブや監視用の専用装置を設けることなく、不正なコントローラを特定し、正常なコントローラのみでの運行制御ができる。

【0012】

上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

【図面の簡単な説明】

【0013】

【図1】実施例１のエレベーターシステムの全体概要図。

【図2】実施例１のコントローラのハードウェア基本構成図。

【図3】実施例１のコントローラの機能ブロック図。

【図4】実施例１のコントローラテーブルを説明する図。

【図5】実施例１のタスク切替判断部の動作を説明するフローチャート。

【図6】実施例１の切替可否テーブルを説明する図。

【図7】実施例１のパケットの構成を説明する図。

【図8】実施例１のパケット解析部の動作を説明するフローチャート。

【図9】実施例１の不正ノード収集部の動作を説明するフローチャート。

【図10】実施例２のエレベーターシステムにおけるフロアコントローラが不正な場合の運行制御フロー。

【図11】実施例３のエレベーターシステムにおけるフロアコントローラの不正通信があった場合の運行制御フロー。

【図12】実施例４のエレベーターシステムにおけるかごコントローラが不正な場合の運行制御フロー。

【図13】実施例５のエレベーターシステムにおけるかごコントローラの不正通信があった場合の運行制御フロー。

【図14】実施例６のエレベーターシステムにおけるかご内操作盤コントローラの不正通信があった場合の運行制御フロー。

【発明を実施するための形態】

【0014】

以下、図面を用いて本発明の実施例を説明する。各図、各実施例において、同一または類似の構成要素については同じ符号を付け、重複する説明は省略する。

【実施例0015】

図１は、実施例１のエレベーターシステムの全体概要図である。

【0016】

本実施例では説明を簡略化するために、複数のエレベーター１５のうちの１基について詳細を図示し、他のエレベーター１５については簡略化して図示している。本実施例ではエレベーターシステムとして、エレベーター１５の管理・監視・保守等を実施するために、遠隔地に設置されている例えばセンタ１と接続する構成を例に説明する。

【0017】

センタ１は、無線有線を問わず専用回線のような閉回路網や、インターネットのような公衆回線である通信網２を経由することで、通信コントローラ３と接続されている。通信コントローラ３は、センタ１とエレベーター１５との間のデータ通信を担うコントローラである。該通信は、運行データの管理や、遠隔操作及び遠隔保守に利用されている。

【0018】

通信コントローラ３は、通信路１７を介して、複数のエレベーター１５を効率良く制御する群管理コントローラ４と接続されている。群管理コントローラ４は、複数のエレベーター１５をエレベーター群１８としてまとめて管理運用する。例えば、各階の呼びや乗降人数予測に基づいて、エレベーター１５の運行方向及び停止階をスケジューリングすることで全体の運行効率を向上させる制御を実行する。

【0019】

エレベーターコントローラ５は、かご７とかご７との釣り合いを取るためのカウンターウェイト８とを連結しているロープ９の動きを、モーター６を制御することで制御し、かご７を上下移動及び停止させることで、乗客にビル等における上下移動のサービスを提供する。エレベーターコントローラ５は、通信路１６を介して、群管理コントローラ４と接続されている。また、エレベーターコントローラ５は、通信路１２を介して、１台のかごコントローラ１０及び各階に設けられているフロアコントローラ１１と接続されている。

【0020】

かごコントローラ１０は、かご内操作盤コントローラ１９を介して、かご７内に設置されている行先階ボタン及びドア開閉ボタンで構成されている操作盤１３の、乗客による操作状態を監視して、エレベーターコントローラ５に、該状態を伝える。かご内操作盤コントローラ１９は、乗客によるかご７内の操作盤１３の操作状態を監視して、かごコントローラ１０に、該状態を伝える。なお、かごコントローラ１０がかご内操作盤コントローラ１９の機能を兼ねるようにしてもよい。

【0021】

フロアコントローラ１１は、各階に設置される上下ボタン１４の、各階における乗客による操作状態を監視して、エレベーターコントローラ５に、該状況を伝える。

【0022】

また、エレベーターシステム全体について建屋ローカルで管理するための管理端末８０が設けられる場合もある。

【0023】

本実施例で示した通信路によるネットワーク構成は一例であり、これに限られず、他のネットワーク構成にも適用可能である。

【0024】

図２は、実施例１のコントローラのハードウェア基本構成図である。

【0025】

本実施例では、エレベーターシステムを構成する各コントローラ、具体的には、通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１、かご内操作盤コントローラ１９を総称して、コントローラ２０と呼ぶこととする。

【0026】

コントローラ２０は、例えばマイコンなどの演算処理装置であり、ＭＰＵ（Micro Processing Unit）２２、ＲＯＭ（Read Only Memory）２３、ＲＡＭ（Random Access Memory）２４、通信ＩＦ（インターフェース）２５、記憶装置２６と、これらを接続するバス２１とを有するハードウェア構成となっている。

【0027】

ＭＰＵ２２、ＲＯＭ２３、ＲＡＭ２４は、処理部を構成する。図３で説明する各機能部を実現するプログラムコードがＲＯＭ２３上に記憶されており、ＭＰＵ２２は、ＲＯＭ２３からプログラムコードをリードしてＲＡＭ２４にロードし、プログラムを実行する。もしくは、プログラムコードをＲＯＭ２３から直接リードしてそのまま実行してもよい。ＲＯＭ２３は、特別な手順及び手段によってのみアクセスできるセキュアな領域を有する場合もある。ＲＡＭ２４には、ＭＰＵ２２の処理途中で発生した変数やパラメータ等のデータが一時的に書き込まれ、該データは処理に応じてＭＰＵ２２から適宜読み出される。

【0028】

記憶装置２６は、不揮発性の記憶媒体で構成されており、各種のデータを記憶する。また、ＭＰＵ２２で実行されるプログラムコードがＲＯＭ２３の代わりに記憶装置２６に格納されていてもよい。

【0029】

通信ＩＦ２５による通信路としては、例えば、ＲＳ－４８５のようなマルチドロップ形態のシリアル通信や、イーサネット（登録商標）のような複数のトポロジ（接続形態）を提供する有線通信路であるＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）や、無線通信であるＲＡＮ（Radio Area Network）などを用いることができる。無線通信の場合は、例えば、Ｗｉ－Ｆｉ（登録商標）のような短距離無線や、モバイル通信網のような長距離無線による通信を用いることができる。

【0030】

コントローラ２０としてこのようなハードウェア構成とすることで、エレベーター制御アプリケーションの実行及びハードウェア操作の基本処理を提供するリアルタイム・オペレーティングシステム（ＲＴＯＳ）を動作させることが可能となる。

【0031】

図３は、実施例１のコントローラの機能ブロック図である。

【0032】

本実施例のコントローラ２０は、制御状態確認部３０と、タスク切替判断部３２と、パケット受信切替部３４と、通信部３６と、パケット解析部３８と、不正ノード収集部４０と、記憶部４８と、運転制御部５０とを有する。これらの各機能部は、図２で説明した通り、演算処理装置を用いて各機能部を実現するプログラムコードを実行することで実現することができる。なお、記憶部４８に記憶されるデータは、記憶装置２６またはＲＡＭ２４に記憶される。

【0033】

本実施例のエレベーターシステムは、エレベーター１５を制御する複数のコントローラ２０を有する。そして、本実施例のエレベーターシステムにおけるエレベーター制御方法は、コントローラ２０が、コントローラ２０の制御状態に応じて他のコントローラ２０宛に送信されたパケットのパケット検査を実施して不正なコントローラ２０を特定し、不正なコントローラ２０の特定状況に応じて、エレベーター１５の制御を変更する。エレベーター１５の制御を変更する一例としては、例えば、コントローラ２０は、不正なコントローラ２０を排除してエレベーター１５の制御を行う。これにより、複数のコントローラ２０の各コントローラ２０が、自身の制御状態に応じてパケット検査が可能な時にパケット検査を実施できるので、スイッチングハブや監視用の専用装置を設けることなく、不正なコントローラを特定し、正常なコントローラのみでの運行制御ができる。

【0034】

以下、これを実現できるコントローラ２０の各機能部の詳細について説明する。

【0035】

制御状態確認部３０は、コントローラ２０の制御状態を確認する。制御状態の一例としては、例えば、エレベーターコントローラ５の場合は、モーター６を制御してかご７が動いているか、かご７が止まっているか等である。制御状態の他の例としては、例えば、かごコントローラ１０およびかご内操作盤コントローラ１９の場合は、操作盤１３の状態等であり、フロアコントローラ１１の場合は、上下ボタン１４の状態等であり、群管理コントローラ４の場合は、乗客からの呼び状況に対する割当状況等である。制御状態確認部３０で確認された制御状態は、タスク切替判断部３２に送信される。

【0036】

タスク切替判断部３２は、コントローラ２０の制御状態に応じて、他のコントローラ２０宛に送信されたパケットのパケット検査を行うかを判断する。より具体的には、タスク切替判断部３２は、コントローラ２０の制御状態に応じて、エレベーター１５の制御を行う通常の制御処理と、パケット検査を行うパケット検査処理とを切り替える判断をする。この判断の詳細については後述する。タスク切替判断部３２における判断結果は、パケット受信切替部３４及びパケット解析部３８に送信される。

【0037】

パケット受信切替部３４は、タスク切替判断部３２における判断結果に応じて、通信部３６の通信モードの設定を切り替える。なお、タスク切替判断部３２がパケット受信切替部３４の機能を兼ねるようにしてもよい。

【0038】

通信部３６は、パケットの送信及び受信を行う。ここで、通信部３６は、タスク切替判断部３２において通常の制御処理を行うとの判断がされた場合には、自身のコントローラ２０以外を送信先とするパケットを廃棄する通常の通信モードに設定される。また、通信部３６は、タスク切替判断部３２において、パケット検査処理を行うとの判断がされた場合には、全ての通信のパケットをキャプチャ（捕獲）する通信モード、所謂、無差別（Promiscuous）通信モードに設定される。なお、パケット検査処理から通常の制御処理に復帰する場合には、パケット受信切替部３４により、通常の通信モードに設定を切り替えればよい。通信部３６で受信したパケットは、パケット解析部３８に送信される。

【0039】

パケット解析部３８は、受信したパケットを解析する。パケット解析部３８は、タスク切替判断部３２において通常の制御処理を行うとの判断がされた場合には、通常のパケット解析を実施して、例えばコマンドなどを含む解析結果を運転制御部５０に送信する。また、パケット解析部３８は、タスク切替判断部３２において、パケット検査処理を行うとの判断がされた場合には、パケット検査を実施して不正なコントローラ２０を特定する。そして、パケット解析部３８は、不正なコントローラ２０の特定結果に基づいて、記憶部４８に格納された不正なコントローラ２０のリストを更新する。パケット解析部３８によるパケット検査の詳細については後述する。

【0040】

記憶部４８は、不正なコントローラ２０のリストとして、例えば、不正送信ノードリスト４４と、不正受信ノードリスト４６とを格納する。不正送信ノードリスト４４は、パケット解析部３８により不正に係ると判断された送信ノードのリストであり、不正受信ノードリスト４６は、パケット解析部３８により不正に係ると判断された受信ノードのリストである。不正送信ノードリスト４４及び不正受信ノードリスト４６の少なくとも一方に記載されたノードに対応するコントローラ２０は、不正なコントローラ２０である。

【0041】

運転制御部５０は、エレベーター１５の運転制御を実施する。ここで、運転制御部５０は、不正なコントローラ２０の特定状況に応じて、エレベーター１５の制御を変更する。具体的には、運転制御部５０は、記憶部４８に格納された不正なコントローラ２０のリストである不正送信ノードリスト４４及び不正受信ノードリスト４６を取得し、不正なコントローラ２０と制御処理の内容の組合せに応じてエレベーター１５の運転制御を変更する。運転制御部５０による運転制御の具体例については後述する。

【0042】

不正ノード収集部４０は、記憶部４８に格納された自身の保有する不正なコントローラ２０のリストに基づいて、正規のコントローラ２０のリストを生成し、正規のコントローラ２０のリストに存在する他の正規のコントローラ２０から他の正規のコントローラ２０の保有する不正なコントローラ２０のリストを収集し、自身の保有する不正なコントローラ２０のリストを更新する。不正ノード収集部４０における処理の詳細については後述する。

【0043】

図４は、実施例１のコントローラテーブルを説明する図である。

【0044】

コントローラ２０は、構成要素を管理するコントローラテーブル６０を保持している。コントローラテーブル６０は、正規のコントローラ２０の構成を記述したテーブルである。コントローラテーブル６０は、設置時に設定される。コントローラテーブル６０は、コントローラ２０のコントローラ種別６２と、コントローラ２０のノード番号６４を保持している。コントローラテーブル６０は、例えば、前述のＲＯＭ２３のセキュアな記憶領域に記憶される。

【0045】

図５は、実施例１のタスク切替判断部の動作を説明するフローチャートである。図６は、実施例１の切替可否テーブルを説明する図である。

【0046】

Ｓ１０は、制御状態取得ステップであり、コントローラ２０は、制御状態確認部３０によって、コントローラ２０の制御状態を確認する。制御状態の確認は、例えば制御周期に応じて実施する。

【0047】

Ｓ２０は、タスク切替判断ステップであり、コントローラ２０は、タスク切替判断部３２によって、制御状態に応じて、パケット検査を行うかを判断する。通常の制御処理からパケット検査処理へのタスク切替の可否を判断する。タスク切替の可否の判断は、例えば、図６に示す切替可否テーブル１００を使用する。切替可否テーブル１００は、制御状態１０２と、タスク切替可否１０４との対応を予め定めたテーブルである。図６は、エレベーターコントローラ５の切替可否テーブル１００の一例であり、制御状態１０２が停止または定速の場合にはタスク切替可否１０４を〇（可）とし、制御状態１０２が加速または減速の場合にはタスク切替可否１０４を×（不可）としている。例えばＭＰＵ２２の使用率が所定値未満となるような制御状態など、コントローラ２０の処理負荷が軽い制御状態の場合にパケット検査処理へのタスク切替を可とするように設定すればよい。エレベーターコントローラ５以外の他のコントローラ２０についても、その動作や制御内容に応じて、このような切替可否テーブル１００を保持している。

【0048】

Ｓ２０の判断で切替が不可の場合には、Ｓ３０に移り、通常の制御処理を継続する。

【0049】

Ｓ２０の判断で切替可の場合には、Ｓ４０に移り、タスク切替判断部３２は、前述のＲＴＯＳにパケット検査タスクを登録する。

【0050】

登録された解析タスクは、コントローラ２０で実行されている前述のＲＴＯＳのスケジューラにて、適宜実行される。

【0051】

Ｓ５０では、パケット受信切替部３４は、パケット検査タスクの登録の有無を確認する。登録が無い場合は、処理を終了する。登録が有る場合は、Ｓ６０に移る。

【0052】

Ｓ６０は、通信モード切替ステップであり、パケット受信切替部３４は、通信モードを前述の無差別通信モードに切り替える。

【0053】

Ｓ７０は、パケット検査ステップであり、パケット解析部３８は、パケット検査を実行する。パケット検査が終了したら、パケット検査タスクの登録は無くなる。

【0054】

パケット検査が終了または中断したら、ステップＳ８０に移り、パケット受信切替部３４は、通信モードを通常の通信モードに切り替える
このように、コントローラ２０の制御状態に応じてパケット検査を行うかを判断することによって、コントローラ２０の処理負荷を軽減できる。

【0055】

図７は、実施例１のパケットの構成を説明する図である。

【0056】

本実施例のパケット７０は、例えば、パケットの素性を示すマジック番号７１、送信ノード番号７２、受信ノード番号７３、データサイズ７４、コマンド番号７５、コマンドパラメータ等のデータ７６、通信データ化けを検知するための例えばチェックサム等のチェックデータ７７を有して構成される。ここで、不正なデータを、送信ノード番号７２、受信ノード番号７３、コマンド番号７５とする。エレベーターシステムでは、正規のコントローラ２０の台数や役割は、図４で説明したコントローラテーブル６０で予め決定されている。

【0057】

図８は、実施例１のパケット解析部の動作を説明するフローチャートである。

【0058】

パケット解析部３８は、パケット検査を実施して不正通信検知を行う。具体的には、パケット解析部３８は、パケット検査において、送信ノードまたは受信ノードが正規のコントローラの構成を記述したコントローラテーブル６０に存在するか、および、コマンドが正規のコマンドであるかを確認することで、不正なコントローラ２０を特定する。

【0059】

Ｓ１００では、パケット解析部３８は、受信したパケットの送信ノード番号７２が、コントローラテーブル６０に存在するかを確認する。存在しない場合には、不正であると判断して、Ｓ１０１に移る。Ｓ１０１では、パケット解析部３８は、記憶部４８の不正送信ノードリスト４４に送信ノード番号７２を記録する。その後、Ｓ１０２に移る。Ｓ１００において、存在する場合には、正規であると判断して、Ａのフローに移る。

【0060】

Ｓ１０２では、パケット解析部３８は、受信ノード番号７３が、コントローラテーブル６０に存在するかを確認する。存在しない場合には、不正であると判断して、Ｓ１０３に移る。Ｓ１０３では、パケット解析部３８は、記憶部４８の不正受信ノードリスト４６に受信ノード番号７３を記録する。その後、Ｓ１０４に移る。Ｓ１０２において、存在する場合には、正規であると判断して、Ｓ１０４に移る。

【0061】

Ｓ１０４では、パケット解析部３８は、コマンド番号７５が、予め決定されている正規のコマンドか否かを確認する。正規のコマンドでない場合には、不正であると判断して、Ｓ１０５に移る。Ｓ１０５では、パケット解析部３８は、記憶部４８の不正送信ノードリスト４４に送信ノード番号７２を記録する。また、Ｓ１０６では、不正なコントローラ２０の候補として、記憶部４８の図示しない不正候補リストに、不正候補ノードとして、一時的に受信ノード番号７３を記録する。その後、フローを終了する。Ｓ１０４において、正規のコマンドである場合には、正規であると判断して、フローを終了する。

【0062】

Ａのフローは、Ｓ１０６において不正候補リストに記録された受信ノード番号７３が、不正であるか正規であるかを判断するフローである。これは、応答パケットの応答を確認することで判断できる。なお、不正候補リストに記録された次の通信周期において、このパケットに対する応答パケットは、送信ノードと受信ノードが入れ替わっている。

【0063】

Ｓ１０７では、パケット解析部３８は、応答パケットの送信ノード番号７２（前回周期の受信ノード番号７３と同じ）が、不正候補リストに不正候補ノードとして記録されているかを確認する。記録が無い場合には、Ａのフローを終了する。記録が有る場合には、Ｓ１０８に移る。

【0064】

Ｓ１０８では、パケット解析部３８は、応答パケットの応答を確認する。不正なコマンドを含む通信に対して「異常」と応答している場合には、この応答パケットの送信元は正規なコントローラ２０であると判断して、パケット解析部３８は、不正候補リストから応答パケットの送信ノード番号７２（前回周期の受信ノード番号７３と同じ）を消去する。その後、Ａのフローを終了し、Ｓ１０２に移る。Ｓ１０８において、不正な通信に対して「正常」と応答している場合には、この応答パケットの送信元は不正なコントローラ２０であると判断して、パケット解析部３８は、記憶部４８の不正送信ノードリスト４４または不正受信ノードリスト４６に送信ノード番号７２（前回周期の受信ノード番号７３と同じ）を記録する。さらに、パケット解析部３８は、不正候補リストから応答パケットの送信ノード番号７２（前回周期の受信ノード番号７３と同じ）を消去するようにしてもよい。その後、Ａのフローを終了し、Ｓ１０２に移る。

【0065】

このように、少なくとも、送信ノード番号７２と、受信ノード番号７３と、コマンド番号７５とを確認することにより、不正なコントローラ２０のエレベーターシステムへの追加、もしくは不正なコマンド番号７５を使用する不正なコントローラ２０への置換えなどを検知して、不正なコントローラ２０を特定することが可能となる。

【0066】

図９は、実施例１の不正ノード収集部の動作を説明するフローチャートである。

【0067】

前述の通り、コントローラ２０は、それぞれの制御状態に応じて、パケット検査処理のタスクに切り替わるため、不正通信を受信しているタイミングも異なる。そこで、各々のコントローラ２０単体では受信できなかった不正通信に対する解析結果を相互にやりとりすることで、解析結果の精度を向上させることができる。

【0068】

そのために、不正ノード収集部４０は、記憶部４８に格納された自身の保有する不正なコントローラ２０のリストに基づいて、正規のコントローラ２０のリストを生成し、正規のコントローラ２０のリストに存在する他の正規のコントローラ２０から他の正規のコントローラ２０の保有する不正なコントローラ２０のリストを収集し、自身の保有する不正なコントローラ２０のリストを更新する。

【0069】

Ｓ２００では、不正ノード収集部４０は、記憶部４８に格納された自身の保有する不正なコントローラ２０のリスト（不正リスト）に基づいて、正規のコントローラ２０のリスト（正規リスト）を生成する。例えば、図４のコントローラテーブル６０から不正なコントローラ２０のリスト（不正送信ノードリスト４４、不正受信ノードリスト４６）に記録された不正なコントローラ２０を除外することで正規のコントローラ２０のリストを生成することができる。

【0070】

Ｓ２０１では、不正ノード収集部４０は、生成された正規リストにノードが有るか否かを確認する。ノードが有る場合には、Ｓ２０２に移る。ノードが無い場合は、Ｓ２０６に移る。

【0071】

Ｓ２０２では、不正ノード収集部４０は、正規リストに存在する他の正規のコントローラ２０から当該他の正規のコントローラ２０の保有する不正リストを収集するために、当該他の正規のコントローラ２０に対して不正リスト送信要求を送る。なお、正規リストに複数の正規のコントローラ２０が存在する場合は、正規リストに存在するすべての正規のコントローラ２０に対して不正リスト送信要求を送ることが望ましい。

【0072】

Ｓ２０３では、不正ノード収集部４０は、不正リスト送信要求に応じて送信された不正リストを受信する。

【0073】

Ｓ２０４では、不正ノード収集部４０は、自身の保有する不正リストと受信した不正リストとの不一致を確認する。不一致が有る場合には、Ｓ２０５に移る。不一致が無い場合には、Ｓ２０６に移る。なお、複数の不正リストを受信した場合は、少なくとも１つの不正リストにおいて不一致が有る場合にはＳ２０５に移り、全ての不正リストにおいて不一致が無い場合には、Ｓ２０６に移るようにすればよい。

【0074】

Ｓ２０５では、不一致が有る場合なので、不正ノード収集部４０は、記憶部４８の不正リストを更新する。具体的には、記憶部４８の不正リストに、不足しているノードを追加する。なお、送信されてきた不正リストの中に、自身のコントローラ２０が不正ノードとして記録されている場合には、この不正リストを送信したノードは不正ノードであると判断して、記憶部４８の不正送信ノードリスト４４に追加する。不正リストの更新後に、処理を終了する。

【0075】

Ｓ２０６では、不一致が無い場合なので、不正リストの精度は高いと判断し、不正ノード収集部４０は、不正リストを、センタ１に報告する。

【0076】

以上のように、複数のコントローラ２０の間で、記憶部４８に記憶されている不正リストを、自身が正規と判断したコントローラ２０との間のみで共有することにより、エレベーターシステム全体で、不正ノードの解析精度を向上することができる。

【実施例0077】

実施例２以降は、実施例１のエレベーターシステムにおいて、不正なコントローラ２０の特定状況に応じて、エレベーター１５の制御を変更する具体例を説明する実施例である。

【0078】

図１０は、実施例２のエレベーターシステムにおけるフロアコントローラが不正な場合の運行制御フローである。

【0079】

実施例２の運転制御部５０は、フロアコントローラ１１が不正な場合には、不正なフロアコントローラ１１からの呼びをキャンセルするとともに、不正なフロアコントローラ１１が設置されたフロアを不停止階として制御する。

【0080】

Ｓ３００では、エレベーターコントローラ５の運転制御部５０は、フロアコントローラ１１が正規であるかを確認する。具体的には、記憶部４８の不正リストにフロアコントローラ１１が登録されているか否かを確認する。登録されていない場合には、正規のフロアコントローラ１１なので、処理を正常終了する。

【0081】

登録されている場合には、不正なフロアコントローラ１１なので、Ｓ３０２において、運転制御部５０は、当該不正なフロアコントローラ１１からのフロアの呼び登録コマンドはキャンセルする。

【0082】

Ｓ３０４では、エレベーターコントローラ５の運転制御部５０は、不正なフロアコントローラ１１が設置されたフロアが停止階として登録されているか否かを確認する。停止階として登録が無い場合には、Ｓ３０８に移る。Ｓ３０８では、エレベーターコントローラ５の運転制御部５０は、当該フロアを不停止階として設定し、処理を終了する。これにより、その後は当該フロアに停止しないように制御される。また、Ｓ３０４において、停止階として登録が有る場合には、Ｓ３０６に移る。Ｓ３０６では、かご７内にそのフロアで降りたい乗客が存在するということなので、エレベーターコントローラ５の運転制御部５０は、当該フロアに停止する運転制御を実行する。その後は、当該フロアを不停止階として登録するためにＳ３０８に移る。

【0083】

以上、説明したように、不正なフロアコントローラ１１を認識した場合には、当該フロアコントローラ１１から送信される、上下ボタン１４に連動した上下方向の呼び登録コマンドは不正の可能性があるため、キャンセルするとともに、当該フロアを不停止階にしてその階を使わないようにし、不正なフロアコントローラ１１を排除することで、以降の不正なフロアコントローラ１１によるエレベーター運行制御への影響を軽減することが可能となる。