(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024142669
(43)【公開日】2024-10-11
(54)【発明の名称】エレベーターシステム及びエレベーター機器認証方法
(51)【国際特許分類】
B66B 3/00 20060101AFI20241003BHJP
G06F 21/44 20130101ALI20241003BHJP
【ＦＩ】
B66B3/00 R
B66B3/00 U
G06F21/44
【審査請求】未請求
【請求項の数】13
【出願形態】ＯＬ
(21)【出願番号】P 2023054910
(22)【出願日】2023-03-30
(71)【出願人】
【識別番号】000005108
【氏名又は名称】株式会社日立製作所
(74)【代理人】
【識別番号】110000925
【氏名又は名称】弁理士法人信友国際特許事務所
(72)【発明者】
【氏名】納谷 英光
(72)【発明者】
【氏名】羽鳥 貴大
(72)【発明者】
【氏名】助川 祐太
【テーマコード（参考）】
3F303
【Ｆターム（参考）】
3F303BA01
3F303CB41
3F303FA01
3F303FA07
(57)【要約】
【課題】新たな装置又は通信路等を追加することなく、エレベーターシステムに含まれる機器が正規機器であるか否かを確認できるようにする
【解決手段】本発明の一態様のエレベーターシステム１００の受信コントローラ４０は、エレベーターの状態情報を用いて一時的データを生成するデータ生成部４４と、一時的データに基づいて、送信コントローラ３０とは異なる代理コントローラ５０を選択し、該代理コントローラ５０を中継する一時的通信経路を生成する通信経路生成部４２と、一時的データを一時的通信経路において伝送させる通信部４７と、一時的通信経路に従って一時的データが伝送されなかった場合に、送信コントローラ３０は非正規機器であると判定する演算データ比較部４６と、を備える。
【選択図】図２
【解決手段】本発明の一態様のエレベーターシステム１００の受信コントローラ４０は、エレベーターの状態情報を用いて一時的データを生成するデータ生成部４４と、一時的データに基づいて、送信コントローラ３０とは異なる代理コントローラ５０を選択し、該代理コントローラ５０を中継する一時的通信経路を生成する通信経路生成部４２と、一時的データを一時的通信経路において伝送させる通信部４７と、一時的通信経路に従って一時的データが伝送されなかった場合に、送信コントローラ３０は非正規機器であると判定する演算データ比較部４６と、を備える。
【選択図】図２
【特許請求の範囲】
【請求項1】
認証側の第１コントローラ及び被認証側の第２コントローラを含む複数のコントローラを有するエレベーターシステムであって、
前記第１コントローラは、
エレベーターの状態情報を用いて一時的データを生成するデータ生成部と、
前記一時的データに基づいて、前記第２コントローラとは異なる第３コントローラを選択し、該第３コントローラを中継する認証用通信経路を生成する通信経路生成部と、
前記一時的データを前記認証用通信経路において伝送させる通信部と、
前記認証用通信経路に従って前記一時的データが伝送されなかった場合に、前記第２コントローラは前記エレベーターにおける動作が保障されていない非正規機器であると判定する認証部と、を備える
エレベーターシステム。
前記第１コントローラは、
エレベーターの状態情報を用いて一時的データを生成するデータ生成部と、
前記一時的データに基づいて、前記第２コントローラとは異なる第３コントローラを選択し、該第３コントローラを中継する認証用通信経路を生成する通信経路生成部と、
前記一時的データを前記認証用通信経路において伝送させる通信部と、
前記認証用通信経路に従って前記一時的データが伝送されなかった場合に、前記第２コントローラは前記エレベーターにおける動作が保障されていない非正規機器であると判定する認証部と、を備える
エレベーターシステム。
【請求項2】
前記エレベーターの状態情報は、前記コントローラ又は複数のコントローラに接続されたセンサによる計測値、前記コントローラが保持する内部状態データのうちの少なくとも１つ以上によって示され、
前記一時的データは、前記エレベーターの状態情報をデータ生成関数に入力して得られる出力値である
請求項１に記載のエレベーターシステム。
前記一時的データは、前記エレベーターの状態情報をデータ生成関数に入力して得られる出力値である
請求項１に記載のエレベーターシステム。
【請求項3】
前記通信経路生成部は、前記データ生成部によって生成された前記一時的データの値と予め対応付けられていた前記コントローラを、前記第３コントローラに選択する
請求項２に記載のエレベーターシステム。
請求項２に記載のエレベーターシステム。
【請求項4】
前記データ生成部は、第１一時的データと、前記第１一時的データとは異なる第２一時的データとを生成し、
前記通信経路生成部は、前記第２コントローラと間の第１通信経路と、往路又は復路において前記第３コントローラを経由する前記第２コントローラと間の第２通信経路と、を規定する通信経路情報を生成して、前記第２コントローラ及び前記第３コントローラに送信させる制御を行い、
前記通信部は、前記第１一時的データを前記第１通信経路において伝送させるとともに、前記第２一時的データを前記第２通信経路において伝送させる、
請求項３に記載のエレベーターシステム。
前記通信経路生成部は、前記第２コントローラと間の第１通信経路と、往路又は復路において前記第３コントローラを経由する前記第２コントローラと間の第２通信経路と、を規定する通信経路情報を生成して、前記第２コントローラ及び前記第３コントローラに送信させる制御を行い、
前記通信部は、前記第１一時的データを前記第１通信経路において伝送させるとともに、前記第２一時的データを前記第２通信経路において伝送させる、
請求項３に記載のエレベーターシステム。
【請求項5】
前記第２通信経路は、前記第１コントローラから送信された前記一時的データが前記第２コントローラ、前記第３コントローラを経由して前記第１コントローラに返送される経路によって構成される
請求項４に記載のエレベーターシステム。
請求項４に記載のエレベーターシステム。
【請求項6】
前記第２コントローラは、受信した一時的データを変換して変換一時的データを生成する第１演算部と、第２通信部と、をさらに備え、
前記第１演算部は、前記第１コントローラから送信された前記第１一時的データを変換して第１変換一時的データを生成する処理と、前記第１コントローラから送信された前記第２一時的データを変換して第２変換一時的データを生成する処理と、を行い、
前記第２通信部は、前記第１変換一時的データを前記第１コントローラに送信し、前記２変換一時的データを前記第３コントローラに送信し、
前記第３コントローラは、受信した一時的データを変換して変換一時的データを生成する第２演算部と、第３通信部と、をさらに備え、
前記第２演算部は、前記第１コントローラから送信された前記第２変換一時的データを変換して第２再変換一時的データを生成する処理を行い、
前記第３通信部は、前記第２再変換一時的データを前記第１コントローラに送信する処理を行い、
前記第１コントローラの認証部は、前記第１通信経路を介して送信された前記第１変換一時的データ、及び、前記第２通信経路を介して送信された前記第２再変換一時的データを用いて、前記第２コントローラが正規機器であるか否かの認証を行う
請求項５に記載のエレベーターシステム。
前記第１演算部は、前記第１コントローラから送信された前記第１一時的データを変換して第１変換一時的データを生成する処理と、前記第１コントローラから送信された前記第２一時的データを変換して第２変換一時的データを生成する処理と、を行い、
前記第２通信部は、前記第１変換一時的データを前記第１コントローラに送信し、前記２変換一時的データを前記第３コントローラに送信し、
前記第３コントローラは、受信した一時的データを変換して変換一時的データを生成する第２演算部と、第３通信部と、をさらに備え、
前記第２演算部は、前記第１コントローラから送信された前記第２変換一時的データを変換して第２再変換一時的データを生成する処理を行い、
前記第３通信部は、前記第２再変換一時的データを前記第１コントローラに送信する処理を行い、
前記第１コントローラの認証部は、前記第１通信経路を介して送信された前記第１変換一時的データ、及び、前記第２通信経路を介して送信された前記第２再変換一時的データを用いて、前記第２コントローラが正規機器であるか否かの認証を行う
請求項５に記載のエレベーターシステム。
【請求項7】
前記第２通信経路は、前記第１コントローラから送信された前記一時的データが前記第３コントローラ、前記第２コントローラを経由して前記第１コントローラに返送される経路によって構成される
請求項４に記載のエレベーターシステム。
請求項４に記載のエレベーターシステム。
【請求項8】
前記第２コントローラは、受信した一時的データを変換して変換一時的データを生成する第１演算部と、第２通信部と、をさらに備え、
前記第１演算部は、前記第１コントローラから送信された前記第１一時的データを変換して第１変換一時的データを生成する処理と、前記第３コントローラから送信された第２変換一時的データを再変換して第２再変換一時的データを生成する処理と、を行い、
前記第２通信部は、前記第１変換一時的データ、及び、前記第２再変換一時的データを前記第１コントローラに送信し、
前記第３コントローラは、受信した一時的データを変換して変換一時的データを生成する第２演算部と、第３通信部と、をさらに備え、
前記第２演算部は、前記第１コントローラから送信された前記第２一時的データを変換して前記第２変換一時的データを生成する処理を行い、
前記第３通信部は、前記第２変換一時的データを前記第２コントローラに送信する処理を行い、
前記第１コントローラの認証部は、前記第１通信経路を介して送信された前記第１変換一時的データ、及び、前記第２通信経路を介して送信された前記第２再変換一時的データを用いて、前記第２コントローラが正規機器であるか否かの認証を行う
請求項７に記載のエレベーターシステム。
前記第１演算部は、前記第１コントローラから送信された前記第１一時的データを変換して第１変換一時的データを生成する処理と、前記第３コントローラから送信された第２変換一時的データを再変換して第２再変換一時的データを生成する処理と、を行い、
前記第２通信部は、前記第１変換一時的データ、及び、前記第２再変換一時的データを前記第１コントローラに送信し、
前記第３コントローラは、受信した一時的データを変換して変換一時的データを生成する第２演算部と、第３通信部と、をさらに備え、
前記第２演算部は、前記第１コントローラから送信された前記第２一時的データを変換して前記第２変換一時的データを生成する処理を行い、
前記第３通信部は、前記第２変換一時的データを前記第２コントローラに送信する処理を行い、
前記第１コントローラの認証部は、前記第１通信経路を介して送信された前記第１変換一時的データ、及び、前記第２通信経路を介して送信された前記第２再変換一時的データを用いて、前記第２コントローラが正規機器であるか否かの認証を行う
請求項７に記載のエレベーターシステム。
【請求項9】
前記認証部は、前記第１変換一時的データ又は前記第２再変換一時的データを前記通信部が受信できなかった場合、前記第２コントローラは非正規機器であると判定する
請求項６又は８に記載のエレベーターシステム。
請求項６又は８に記載のエレベーターシステム。
【請求項10】
前記第３コントローラは、受信した一時的データの送信元が、前記通信経路情報において通信先に設定されたコントローラと一致するか否かを判定する判定部をさらに備え、
前記判定部は、前記第２変換一時的データの送信元のコントローラは前記第２コントローラではないと判定した場合、前記第２再変換一時的データを前記第１コントローラに送信させない制御を行う
請求項６に記載のエレベーターシステム。
前記判定部は、前記第２変換一時的データの送信元のコントローラは前記第２コントローラではないと判定した場合、前記第２再変換一時的データを前記第１コントローラに送信させない制御を行う
請求項６に記載のエレベーターシステム。
【請求項11】
前記認証部は、前記第１一時的データを変換して得られるデータと、前記通信部が受信した前記第１変換一時的データとの照合結果、及び、前記第２一時的データを変換して得られるデータと、前記通信部が受信した前記第２再変換一時的データとの照合結果の両方が一致を示していた場合、前記第２コントローラは正規機器であると判定する
請求項６又は７に記載のエレベーターシステム。
請求項６又は７に記載のエレベーターシステム。
【請求項12】
前記認証部は、前記第１通信経路を介して送信された前記第１変換一時的データの認証によって、前記第２コントローラは正規機器であると判定した場合に、前記第２通信経路を介して送信された前記第２再変換一時的データを用いた認証を行う
請求項６又は８に記載のエレベーターシステム。
請求項６又は８に記載のエレベーターシステム。
【請求項13】
認証側の第１コントローラ及び被認証側の第２コントローラを含む複数のコントローラを有するエレベーターシステムによるエレベーター機器認証方法であって、
前記第１コントローラのデータ生成部が、エレベーターの状態情報を用いて一時的データを生成する手順と、
通信経路生成部が、前記一時的データに基づいて、前記第２コントローラとは異なる第３コントローラを選択し、該第３コントローラを中継する認証用通信経路を生成する手順と、
通信部が、前記一時的データを前記認証用通信経路において伝送させる手順と、
認証部が、前記認証用通信経路に従って前記一時的データが伝送されなかった場合に、前記第２コントローラは前記エレベーターにおける動作が保障されていない非正規機器であると判定する手順と、を含む
エレベーター機器認証方法。
前記第１コントローラのデータ生成部が、エレベーターの状態情報を用いて一時的データを生成する手順と、
通信経路生成部が、前記一時的データに基づいて、前記第２コントローラとは異なる第３コントローラを選択し、該第３コントローラを中継する認証用通信経路を生成する手順と、
通信部が、前記一時的データを前記認証用通信経路において伝送させる手順と、
認証部が、前記認証用通信経路に従って前記一時的データが伝送されなかった場合に、前記第２コントローラは前記エレベーターにおける動作が保障されていない非正規機器であると判定する手順と、を含む
エレベーター機器認証方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、エレベーターシステム及びエレベーター機器認証方法に関する。
【背景技術】
【0002】
エレベーターシステムにおいては、複数コントローラが様々な通信路を介して接続されている。該通信路には様々な機器を接続することが可能であるが、エレベーターシステムで接続が想定されていない機器、すなわち、エレベーターシステムの規格に適合しない非正規機器が既存の正規機器と置き換えられた場合、又は、非正規機器が新たに通信路に接続された場合、該エレベーターシステムの動作に支障が生じる可能性がある。
【0003】
例えば、特許文献１には、複数の命令を記憶するように動作可能である記憶媒体と、認証情報要求をネットワークサーバに送信し、サービスツールで機器制御装置にアクセスする命令を実行するように構成される少なくとも１つのプロセッサと、を含むサービスツール認証情報管理システムが開示されている。特許文献１に記載の技術によれば、非正規機器がエレベーターシステムに接続された場合にそのことを検知することができる。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０１９－２３８６８号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかし、特許文献１に記載されたサービスツール認証情報管理システムを導入するためには、機器構成要素を監視及び／又は制御するための機器制御装置と、認証情報を管理するネットワークサーバと、機器制御装置及びネットワークサーバ間を接続する通信経路と、を新たに設ける必要があり、導入コストがかさんでしまう。
【0006】
本発明は、上記の状況を考慮してなされたものであり、本発明の目的は、新たな装置又は通信路等を追加することなく、エレベーターシステムに含まれる機器が正規機器であるか否かを確認できるようにすることを目的とする。
【課題を解決するための手段】
【0007】
本発明の一態様に係るエレベーターシステムは、認証側の第１コントローラ及び被認証側の第２コントローラを含む複数のコントローラを有するエレベーターシステムである。本発明の一態様に係るエレベーターシステムの第１コントローラは、エレベーターの状態情報を用いて一時的データを生成するデータ生成部と、一時的データに基づいて、第２コントローラとは異なる第３コントローラを選択し、該第３コントローラを中継する認証用通信経路を生成する通信経路生成部と、一時的データを認証用通信経路において伝送させる通信部と、認証用通信経路に従って一時的データが伝送されなかった場合に、第２コントローラはエレベーターにおける動作が保障されていない非正規機器であると判定する認証部と、を備える。
【発明の効果】
【0008】
本発明の少なくとも一態様によれば、新たな装置又は通信路等を追加することなく、エレベーターシステムに含まれる機器が正規機器であるか否かを確認できる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【0009】
【図1】本発明の一実施形態に係るエレベーターシステムの概略構成例を示す図である。
【図2】本発明の一実施形態に送信コントローラ、受信コントローラ及び代理コントローラの機能の構成例を示すブロック図である。
【図3】本発明の一実施形態に係るエレベーターシステムを構成する各コントローラのハードウェア構成例を示すブロック図である。
【図4】本発明の一実施形態に係る一時的データ生成処理の手順の例を示すフローチャートである。
【図5】本発明の一実施形態に係る代理コントローラ選択処理の手順の例を示すフローチャートである。
【図6】本発明の一実施形態に係る管理テーブルの構成例を示す図である。
【図7】本発明の一実施形態に係る一時的通信経路情報設定処理の手順の例を示すフローチャートである。
【図8】本発明の一実施形態に係る正当性確認処理の手順の例を示すフローチャートである。
【図9】本発明の一実施形態に係る各コントローラ間において送受信されるパケットの構成例を示す図である。
【図10】本発明の一実施形態に係る第１パケットの構成例を示す図である。
【図11】本発明の一実施形態に係る第２パケットの構成例を示す図である。
【図12】本発明の一実施形態に係る第１正当性確認処理の手順の例を示すフローチャートである。
【図13】本発明の一実施形態に係る第３パケットの構成例を示す図である。
【図14】本発明の一実施形態に係る第４パケットの構成例を示す図である。
【図15】本発明の一実施形態に係る第２正当性確認処理の手順の例を示すフローチャートである。
【図16】本発明の一実施形態に係る第５パケットの構成例を示す図である。
【図17】本発明の一実施形態に係る第３正当性確認処理の手順の例を示すフローチャートである。
【図18】本発明の一実施形態に係る複数台のコントローラが選択される場合における代理コントローラの選択処理の手順の例を示すフローチャートである。
【図19】本発明の一実施形態に係る、２台の代理コントローラが選択された場合における管理テーブル及び一時的通信経路情報の例を示す図である。
【図20】本発明の変形例に係る正当性確認処理の手順の例を示すフローチャートである。
【図21】本発明の変形例に係る第１Ａ－１正当性確認処理の手順の例を示すフローチャートである。
【図22】本発明の変形例に係る第２Ａ正当性確認処理の手順の例を示すフローチャートである。
【図23】本発明の変形例に係る第１Ａ－２正当性確認処理の手順の例を示すフローチャートである。
【図24】本発明の変形例に係る第３Ａ正当性確認処理の手順の例を示すフローチャートである
【発明を実施するための形態】
【0010】
以下、本発明を実施するための形態（以下、「実施形態」と称する）の例について、添付図面を参照しながら説明する。本発明は実施形態に限定されるものではなく、実施形態における種々の数値等は例示である。また、本明細書及び図面において、同一の構成要素又は実質的に同一の機能を有する構成要素には同一の符号を付することとし、重複する説明は省略する。
【0011】
【0012】
図１に示すように、エレベーターシステム１００は、センタ１と、通信コントローラ３と、群管理コントローラ４と、エレベーター１５と、管理端末２０と、を含む。
【0013】
センタ１は、エレベーター１５が設けられた建物とは遠隔の場所に設けられ、ネットワーク２を介して接続された群管理コントローラ４から送信される各種情報に基づいて、群管理コントローラ４が管理するエレベーター１５の監視、保守等を行う装置である。ネットワーク２は、例えば、専用回線のような閉回路網、又は、インターネットのような公衆回線等で構成される。
【0014】
管理端末２０は、エレベーター１５の運行を監視・操作する機器であり、汎用ＰＣ（Personal Computer）又は専用機器で構成される。管理端末２０は、例えば、エレベーター１５が設けられた建物の管理室（図示略）等に設置され、通信路１７に接続される。
【0015】
通信コントローラ３は、センタ１と群管理コントローラ４との間、及び、管理端末２０と群管理コントローラ４との間のデータの送受信動作を制御するコントローラであり、ネットワーク２及び通信路１７に接続される。
【0016】
群管理コントローラ４は、複数のエレベーター１５のまとまりを、それぞれエレベーターグループ１８としてまとめて管理、運用するコントローラであり、通信路１７及び通信路１６に接続される。エレベーターグループ１８は、例えば、エレベーター１５の設置場所やエレベーター１５の用途、エレベーター１５が設置された建物等の単位毎に設けられる。
【0017】
エレベーターコントローラ５は、複数のエレベーター１５のそれぞれにおいて設けられる、エレベーター１５の動作を制御するコントローラであり、通信路１６及び通信路１２に接続される。エレベーターコントローラ５は、例えば、エレベーター１５のモーター６の動作を制御して、ロープ９を駆動することによって、乗りかご７を昇降移動又は停止させる。ロープ９は、乗りかご７とカウンターウェイト８とに連結されており、モーター６に巻き掛けられている。
【0018】
乗りかご７は、ロープ９の駆動に基づいて不図示の昇降路内を昇降することにより、乗りかご７の乗客又は乗りかご７に搭載された荷物等を所望の階まで移動する。これによりエレベーター１５の利用者に昇降移動のサービスが提供される。
【0019】
なお、乗りかご７は、図１においては１つのみが図示されているが、複数のエレベーター１５のそれぞれにおいて、１台又は複数台のエレベーター１５が設けられるものとする。
【0020】
エレベーターコントローラ５は、通信路１６を介して群管理コントローラ４と接続され、通信路１２を経由して、かごコントローラ１０及びフロアコントローラ１１と接続される。図１において、フロアコントローラ１１は１つのみ図示しているが、実際には建物内のフロア（階床）の数に対応して複数設けられている。
【0021】
かごコントローラ１０は、乗りかご７内に設置されている行先階ボタン及びドア開閉ボタン１３の、乗客（図示略）による操作状況を監視し、監視によって取得した操作内容を、操作の状況変化としてエレベーターコントローラ５に伝える。
【0022】
フロアコントローラ１１は、例えば、各フロア（図示略）に設置される上下ボタン１４の、各階における利用者による操作状況を監視し、監視によって取得した操作内容を、操作の状況変化としてエレベーターコントローラ５に伝える。なお、図１には図示していないが、エレベーター１５には、任意の行先階を登録できる行先階予約装置が含まれていてもよい。エレベーター１５に行先階予約装置が含まれる場合には、行先階予約装置の動作はフロアコントローラ１１によって制御される。
【0023】
【0024】
本実施形態に係るエレベーターシステム１００では、通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１及び管理端末２０のうちの３つのコントローラに対して、それぞれ、後述する図２に示す送信コントローラ３０（第２コントローラの一例）、受信コントローラ４０（第１コントローラの一例）及び代理コントローラ５０（第３コントローラの一例）の機能が割り当てられる。
【0025】
送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０は、それぞれ、被認証ノード、認証ノード、中継ノードの機能を果たす。そして、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０において、定められた通信シーケンスに従って正当性確認用データ（認証用データの一例）が伝送され、かつ、正当性確認用データの照合も行えた場合に、認証ノードとしての受信コントローラ４０は、被認証ノードとしての送信コントローラ３０を、正当な機器であると判定する。正当な機器とは、エレベーターシステム１００における動作が保障された正規品（正規機器）である。
【0026】
本実施形態に係るエレベーターシステム１００では、正当性確認用データは、送信コントローラ３０及び受信コントローラ４０間にけるＰ２Ｐ（Peer to Peer）の通信経路（第１通信経路の一例）、及び、代理コントローラ５０を経由する通信経路（第２通信経路の一例）の２つの通信経路において伝送される。
【0027】
そして、エレベーターシステム１００は、Ｐ２Ｐの通信経路を構成する受信コントローラ４０による通信相手の正当性確認処理と、代理コントローラ５０による通信相手の正当性確認処理とを並行して行う。さらに、２つの正当性確認処理において各コントローラ（通信相手）の正当性が確認された場合に、認証ノードとしての受信コントローラ４０が２つの通信経路を伝送された各正当性確認用データの認証を行う。そして、認証できた場合に、受信コントローラ４０は送信コントローラ３０を正当な機器であると判定する。エレベーターシステム１００による正当性確認処理については、後述の図８を参照して詳述する。
【0028】
このように本実施形態では、エレベーターシステム１００が有する既存のコントローラのみを用いて、送信コントローラ３０の正当性の確認を行うため、新たな構成要素を追加する必要がない。したがって、装置設置等のコストを要することなく、送信コントローラ３０の正当性を確認することができる。
【0029】
正当性確認用のデータには、エレベーター１５の状態情報に基づいて生成される一時的データが使用される。エレベーター１５の状態情報には、例えば、エレベーター１５の運転状態情報や、乗りかご７の戸の開閉情報、不図示の昇降路内における乗りかご７の位置情報、乗りかご７の荷重情報がある。エレベーター１５の運転状態情報は、例えば、加速、定速、減速、停止に係る情報によって示され、戸の開閉情報は、戸開状態、戸開中、戸閉状態、戸閉中等の情報によって示される。これらの情報は、エレベーターシステム１００に含まれる各コントローラや、通信経路Ｎ（図３参照）等に接続される不図示の各種センサ等の計測値によって示される情報である。
【0030】
また、エレベーター１５の状態情報として、各コントローラで実行されている制御プログラム等の内部状態データが用いられてもよい。内部状態データには、例えば、フロアコントローラ１１が管理している呼びの登録状態情報、エレベーター１５の運行回数情報、各フロアにおけるエレベーター１５の停止回数情報等がある。
【0031】
一時的データには、例えば、エレベーター１５の状態データの複数のデータの組み合わせをデータ生成関数に入力すること等によって生成することができる。データ生成関数としては、例えば、乱数発生関数を用いることができる。データ生成関数として乱数発生関数を用いる場合、乱数発生関数のシード（初期値）としてエレベーター１５の状態データを乱数発生関数に入力した場合の出力値である乱数が、一時的データとなる。
【0032】
また、本実施形態では、正当性確認用の通信経路に含まれる代理コントローラ５０は、受信コントローラ４０によって、正当性確認処理の都度、新たに選択される。つまり、正当性確認用データの通信経路は、正当性確認処理が行われる度に変更される。受信コントローラ４０による代理コントローラ５０の選択は、エレベーター１５の状態情報から生成された一時的データに基づいて行われる。
【0033】
例えば、一時的データとコントローラの種類とを予め対応付けておくことにより、受信コントローラ４０は、エレベーターの状態情報から生成した一時的データと対応付けられたコントローラを、代理コントローラ５０に設定することができる。
【0034】
一時的データとしての乱数、すなわち、乱数発生関数からの出力値の範囲が、例えば“０”から“１”まである場合を想定する。この場合、乱数とコントローラとを、例えば以下のように対応付けることができる。
・“０．０”～“０．２４”：エレベーター１５の１号機のエレベーターコントローラ５
・“０．２５”～“０．４９”：２号機のエレベーターコントローラ５
・“０．５”～“０．７４”：３号機のエレベーターコントローラ５
・“０．７５”～“１．０”：４号機のエレベーターコントローラ５
・“０．０”～“０．２４”：エレベーター１５の１号機のエレベーターコントローラ５
・“０．２５”～“０．４９”：２号機のエレベーターコントローラ５
・“０．５”～“０．７４”：３号機のエレベーターコントローラ５
・“０．７５”～“１．０”：４号機のエレベーターコントローラ５
【0035】
したがって、例えば、エレベーター１５の状態情報から生成した一時的データが“０．７”であった場合、受信コントローラ４０は、“０．７”と対応付けられている３号機のエレベーターコントローラ５を代理コントローラ５０として選択することができる。
【0036】
ただし、該コントローラ（エレベーターコントローラ５）が、過去に行われた正当性確認処理において正当性が確認できなかった機器であった場合、そのコントローラは代理コントローラ５０に選択しない。受信コントローラ４０による代理コントローラ５０の選択処理については、後述の図５を参照して詳述する。
【0037】
そして、受信コントローラ４０は、決定した代理コントローラ５０の情報を含む一時的通信経路情報を生成し、該一時的通信経路情報を、送信コントローラ３０及び代理コントローラ５０に送信する。一時的通信経路情報は、上述したＰ２Ｐの通信経路、及び、代理コントローラ５０を経由する通信経路（認証用通信経路の一例）を規定する情報である。受信コントローラ４０による一時的通信経路情報設定処理については、後述の図７を参照して詳述する。
【0038】
＜送信コントローラ、受信コントローラ、代理コントローラの機能構成＞
次に、図２を参照して、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０の各機能の構成について説明する。図２は、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０の各機能の構成例を示すブロック図である。送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０はそれぞれ、図１の通信路１２、通信路１６及び通信路１７のいずれかである通信経路Ｎを介して、互いに通信可能に接続される。
次に、図２を参照して、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０の各機能の構成について説明する。図２は、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０の各機能の構成例を示すブロック図である。送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０はそれぞれ、図１の通信路１２、通信路１６及び通信路１７のいずれかである通信経路Ｎを介して、互いに通信可能に接続される。
【0039】
［送信コントローラ］
送信コントローラ３０は、本実施形態における被認証側のコントローラであり、一時的通信経路情報記憶部３１と、Ｎｏ（ナンバー）判定部３２と、データ演算部３３と、通信部３４と、管理テーブルＴと、を含む。
送信コントローラ３０は、本実施形態における被認証側のコントローラであり、一時的通信経路情報記憶部３１と、Ｎｏ（ナンバー）判定部３２と、データ演算部３３と、通信部３４と、管理テーブルＴと、を含む。
【0040】
一時的通信経路情報記憶部３１には、正当性確認用の一時的データの送信元である受信コントローラ４０のコントローラナンバー（図２においては「受Ｎｏ」と表記）と、送信先の代理コントローラ５０のコントローラナンバー（図２においては「代Ｎｏ」と表記）と、を含む一時的通信経路情報（通信経路情報の一例）が格納される。一時的通信経路情報は、受信コントローラ４０によって生成され、受信コントローラ４０から送信される。
【0041】
Ｎｏ判定部３２は、正当性確認用の通信のシーケンスに応じて、一時的通信経路情報に示されるコントローラナンバーのうちのいずれかに対応するコントローラを、通信先のコントローラとして選択する。
【0042】
データ演算部３３（第１演算部の一例）は、通信相手である受信コントローラ４０から送信される正当性確認用のデータを元に、正当性確認のための新たなデータを演算する。データ演算部３３は、例えば、ハッシュ値演算等の手法を用いることにより、受信したデータを新たなデータに変換する。例えば、データ演算部３３は、受信コントローラ４０から正当性確認用のデータとしてデータＤａ（第１一時的データの一例）及びデータＤｂ（第２一時的データの一例）が送信された場合に、ハッシュ値演算等の手法を用いてデータＤａをデータＤｘ（第１変換一時的データの一例）に変換し、データＤｂをデータＤｙ（第２変換一時的データの一例）に変換する。
【0043】
通信部３４（第２通信部の一例）は、正当性確認のためのデータを、受信コントローラ４０又は代理コントローラ５０との間で送受信する。具体的には、通信部３４は、受信コントローラ４０から送信された、データＤａ及びＤｂを含む第２パケットＰ２（図１１参照）を受信するとともに、データ演算部３３によって演算されたデータＤｘを含む第３パケットＰ３（図１３参照）を生成して受信コントローラ４０に送信する。
【0044】
また、通信部３４は、データ演算部３３によって演算されたデータＤｙを含む第４パケットＰ４（図１４参照）を生成して代理コントローラ５０に送信する。以下の説明において、送信コントローラ３０のデータ演算部３３によるデータ変換処理及び通信部３４によるデータ送信処理を、第１正当性確認処理とも称する。第１正当性確認処理については、後述の図１２を参照して詳述する。
【0045】
管理テーブルＴは、正当性確認処理の結果と、エレベーターシステム１００を構成する各コントローラの、代理コントローラとしての選択状況とが記録されたテーブルである。管理テーブルＴの構成については、後述の図６を参照して詳述する。
【0046】
［代理コントローラ］
代理コントローラ５０は、本実施形態における一時的通信経路の中継コントローラであり、被認証側の送信コントローラ３０による正当性確認処理を代理するコントローラである。代理コントローラ５０は、一時的通信経路情報記憶部５１と、Ｎｏ判定部５２と、データ演算部５３と、通信部５４と、管理テーブルＴと、を含む。
代理コントローラ５０は、本実施形態における一時的通信経路の中継コントローラであり、被認証側の送信コントローラ３０による正当性確認処理を代理するコントローラである。代理コントローラ５０は、一時的通信経路情報記憶部５１と、Ｎｏ判定部５２と、データ演算部５３と、通信部５４と、管理テーブルＴと、を含む。
【0047】
一時的通信経路情報記憶部５１には、正当性確認用の一時的データの送信元である送信コントローラ３０のコントローラナンバー（図２においては「送Ｎｏ」と表記）と、送信先である受信コントローラ４０のコントローラナンバーと、を含む一時的通信経路情報が格納される。一時的通信経路情報は、受信コントローラ４０によって生成され、受信コントローラ４０から送信される。
【0048】
Ｎｏ判定部５２は、正当性確認用の通信のシーケンスに応じて、一時的通信経路情報に示されるコントローラナンバーのうちのいずれかに対応するコントローラを、通信先のコントローラとして選択する。
【0049】
データ演算部５３は、通信相手である送信コントローラ３０から送信される正当性確認用のデータを元に、正当性確認のための新たなデータを演算する。例えば、データ演算部５３は、送信コントローラ３０から正当性確認用のデータとしてデータＤｙが送信された場合に、データＤｙをデータＤｚ（第２再変換一時的データの一例）に変換する。
【0050】
通信部５４（第３通信部の一例）は、正当性確認のためのデータを、送信コントローラ３０又は受信コントローラ４０との間で送受信する。具体的には、通信部３４は、送信コントローラ３０からデータＤｙを含む第４パケットＰ４（図１４参照）を受信するとともに、データ演算部５３が生成したデータＤｚを含む第５パケットＰ５（図１６参照）を生成して受信コントローラ４０に送信する。
【0051】
なお、通信部５４は、パケットの送信元のコントローラが、一時的通信経路情報に記載された「送Ｎｏ」に示される送信コントローラ３０と一致するか否かを判定し、一致しない場合には、データＤｚの受信コントローラ４０への送信は行わない。この場合、受信コントローラ４０では代理コントローラ５０からのパケットを受信できないため、代理コントローラ５０又は送信コントローラ３０は非正規機器であると判定することができる。
【0052】
以下の説明において、代理コントローラ５０のデータ演算部５３によるデータ変換処理、通信部５４による送信元のコントローラの確認処理及びデータ送信処理を、第２正当性確認処理とも称する。第２正当性確認処理については、後述の図１５を参照して詳述する。
【0053】
管理テーブルＴは、送信コントローラ３０に格納されている管理テーブルＴと同一である。管理テーブルＴの情報は、受信コントローラ４０から送信される情報によって常に更新されるものとする。
【0054】
［受信コントローラ］
受信コントローラ４０は、一時的通信経路情報記憶部４１と、通信経路生成部４２と、Ｎｏ判定部４３と、データ生成部４４と、データ演算部４５と、演算データ比較部４６と、通信部４７と、管理テーブルＴと、を含む。
受信コントローラ４０は、一時的通信経路情報記憶部４１と、通信経路生成部４２と、Ｎｏ判定部４３と、データ生成部４４と、データ演算部４５と、演算データ比較部４６と、通信部４７と、管理テーブルＴと、を含む。
【0055】
一時的通信経路情報記憶部４１には、正当性確認用の一時的データの通信先である送信コントローラ３０のコントローラナンバー、及び、代理コントローラ５０のコントローラナンバーを含む一時的通信経路情報が格納される。
【0056】
通信経路生成部４２は、エレベーターの状態情報から生成した一時的データに基づいて、管理テーブルＴの記載内容を参照して、代理コントローラ５０を選択する。そして、選択した代理コントローラ５０の情報に基づいて、自コントローラが用いる一時的通信経路情報と、送信コントローラ３０用の一時的通信経路情報と、代理コントローラ５０用の一時的通信経路情報とを生成する。
【0057】
Ｎｏ判定部４３は、正当性確認用の通信のシーケンスに応じて、一時的通信経路情報に示されるコントローラナンバーのうちのいずれかに対応するコントローラを、通信先のコントローラとして選択する。
【0058】
データ生成部４４は、通信相手である送信コントローラ３０から送信される確認通信パケットＰ１（図１０参照）を元に、正当性確認のための新たなデータを演算する。例えば、データ演算部４５は、通信の開始を示す確認通信パケットを変換することにより、データＤａ及びＤｂを生成する。
【0059】
データ演算部４５は、データＤａを変換してデータＤｘを生成するとともに、データＤｂを変換してデータＤｙを生成する。
【0060】
通信部４７は、正当性確認のためのデータを、送信コントローラ３０又は代理コントローラ５０との間で送受信する。具体的には、通信部４７は、送信コントローラ３０から確認通信パケットＰ１を受信するとともに、データ演算部４５が生成したデータＤａ及びＤｂを含む第２パケットＰ２（図１１参照）を生成して送信コントローラ３０に送信する。
【0061】
また、通信部４７は、送信コントローラ３０から第３パケットＰ３を受信するとともに、代理コントローラ５０から第５パケットＰ５を受信する。
【0062】
演算データ比較部４６（認証部の一例）は、以下の処理を含む第３正当性確認処理を行う。
（１）通信部４７が受信したパケットの送信元が送信コントローラ３０であるか否かの確認。
（２）上記（１）において送信コントローラ３０であることが確認できた場合、通信部４７が受信したパケットである第４パケットＰ４に含まれているデータＤｘと、データ演算部４５がデータＤｂを変換して生成されるデータＤｘとが一致するか否かの確認。
（３）通信部４７が受信したパケットの送信元が代理コントローラ５０であるか否かの確認。
（４）上記（１）において代理コントローラ５０であることが確認できた場合、通信部４７が受信したパケットである第５パケットＰ５に含まれているデータＤｚと、データ演算部４５がデータＤｂを複数回演算することにより得られたデータＤｚとが一致するか否かの確認。
（５）上記（３）の照合結果と上記（４）の照合結果との両方が一致を示しているか否かの確認。
（１）通信部４７が受信したパケットの送信元が送信コントローラ３０であるか否かの確認。
（２）上記（１）において送信コントローラ３０であることが確認できた場合、通信部４７が受信したパケットである第４パケットＰ４に含まれているデータＤｘと、データ演算部４５がデータＤｂを変換して生成されるデータＤｘとが一致するか否かの確認。
（３）通信部４７が受信したパケットの送信元が代理コントローラ５０であるか否かの確認。
（４）上記（１）において代理コントローラ５０であることが確認できた場合、通信部４７が受信したパケットである第５パケットＰ５に含まれているデータＤｚと、データ演算部４５がデータＤｂを複数回演算することにより得られたデータＤｚとが一致するか否かの確認。
（５）上記（３）の照合結果と上記（４）の照合結果との両方が一致を示しているか否かの確認。
【0063】
演算データ比較部４６は、上記（１）においてパケットの送信元は送信コントローラ３０ではないと判定した場合、送信コントローラ３０は正当な機器ではない（非正規機器である）と判定する。また、演算データ比較部４６は、上記（２）においてパケットの送信元は代理コントローラ５０ではないと判定した場合、代理コントローラ５０は正当な機器ではないと判定する。
【0064】
さらに、上記（５）において、上記（３）の照合結果及び上記（４）の照合結果のいずれか又は両方が一致していないと判定された場合、一致しなかった方のコントローラは正当な機器ではないと判定する。一方、演算データ比較部４６は、上記（５）において両照合結果は一致すると判定した場合、送信コントローラ３０は正当な機器であると判定する。
【0065】
つまり、本実施形態によれば、認証サーバ等の新たな装置を設けることなく、多要素による多段階での正当性確認処理を、簡潔に実現することが可能となる。
【0066】
また、受信コントローラ４０は、正当性が確認できなかった機器に対する通信は遮断する等の措置を各コントローラに取らせることにより、悪意のある第三者が持ち込んだコントローラによるエレベーター１５の情報の傍受を防ぐことができる。
【0067】
管理テーブルＴは、送信コントローラ３０に格納されている管理テーブルＴと同一である。受信コントローラ４０は、正当性確認処理の結果を管理テーブルＴに反映させるとともに、更新の内容を送信コントローラ３０及び代理コントローラ５０にも共有する。
【0068】
＜計算機のハードウェア構成例＞
次に、図１に示したエレベーターシステム１００を構成する各コントローラ（通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１及び管理端末２０）の制御系の構成（ハードウェア構成）について、図３を参照して説明する。
次に、図１に示したエレベーターシステム１００を構成する各コントローラ（通信コントローラ３、群管理コントローラ４、エレベーターコントローラ５、かごコントローラ１０、フロアコントローラ１１及び管理端末２０）の制御系の構成（ハードウェア構成）について、図３を参照して説明する。
【0069】
【0070】
計算機２００は、バスＢにそれぞれ接続されたＣＰＵ（Central Processing Unit）２０１、ＲＯＭ（Read Only Memory）２０２、ＲＡＭ（Random Access Memory）２０３、不揮発性ストレージ２０４及び通信Ｉ／Ｆ（Interface）２０５を備える。
【0071】
ＣＰＵ２０１は、本実施形態に係る各機能を実現するソフトウェアのプログラムコードをＲＯＭ２０２から読み出してＲＡＭ２０３に展開して実行する。なお、計算機２００は、ＣＰＵ２０１の代わりに、ＭＰＵ（Micro-Processing Unit）等の処理装置を備えてもよい。
【0072】
ＲＡＭ２０３には、ＣＰＵ２０１による演算処理の途中に発生した変数やパラメータ等が一時的に書き込まれる。なお、ＲＡＭ２０３が不揮発性の媒体によって構成される場合には、ＲＡＭ２０３に一時的通信経路情報等の各種情報が格納されてもよい。
【0073】
送信コントローラ３０のＮｏ判定部３２、データ演算部３３、受信コントローラ４０のＮｏ判定部４３、データ生成部４４、データ演算部４５、演算データ比較部４６、代理コントローラ５０のＮｏ判定部５２、データ演算部５３の各機能は、これらの各機能を実現するためのプログラムを、ＣＰＵ２０１がＲＯＭ２０２から読みだして実行することにより実現される。
【0074】
不揮発性ストレージ２０４としては、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＮＶＲＡＭ（Non-Volatile Random Access Memory）等を用いることができる。この不揮発性ストレージ２０４には、ＯＳ（Operating System）、各種のパラメータの他に、計算機２００を機能させるためのプログラム等が記録される。なお、プログラムは、ＲＯＭ２０２に格納されてもよい。
【0075】
プログラムは、コンピュータが読取り可能なプログラムコードの形態で格納され、ＣＰＵ２０１は、当該プログラムコードに従った動作を逐次実行する。つまり、ＲＯＭ２０２又は不揮発性ストレージ２０４は、コンピュータによって実行されるプログラムを格納した、コンピュータ読取可能な非一過性の記録媒体の一例として用いられる。
【0076】
送信コントローラ３０の一時的通信経路情報記憶部３１、受信コントローラ４０の一時的通信経路情報記憶部４１、代理コントローラ５０の一時的通信経路情報記憶部５１の各機能は、不揮発性ストレージ２０４によって実現される。
【0077】
通信Ｉ／Ｆ２０５は、他の装置との間で行われる通信の制御を行う通信デバイス等により構成される。送信コントローラ３０の通信部３４、受信コントローラ４０の通信部４７、代理コントローラ５０の通信部５４の機能は、通信Ｉ／Ｆ２０５によって実現される。
【0078】
＜一時的データ生成処理＞
次に、図４を参照して、受信コントローラ４０のデータ生成部４４による一時的データ生成処理について説明する。図４は、一時的データ生成処理の手順の例を示すフローチャートである。一時的データは、正当性確認用データとして、一時的通信経路情報によって規定された通信経路を伝送される他、受信コントローラ４０が代理コントローラ５０を選択する際にも用いられる。
次に、図４を参照して、受信コントローラ４０のデータ生成部４４による一時的データ生成処理について説明する。図４は、一時的データ生成処理の手順の例を示すフローチャートである。一時的データは、正当性確認用データとして、一時的通信経路情報によって規定された通信経路を伝送される他、受信コントローラ４０が代理コントローラ５０を選択する際にも用いられる。
【0079】
まず、受信コントローラ４０のデータ生成部４４は、エレベーターの状態データを取得する（ステップＳ１）。次いで、データ生成部４４は、状態データから一時的データを生成する（ステップＳ２）。ステップＳ２の処理後、コントローラによる一時的データ生成処理は終了する。
【0080】
エレベーターの状態データは、上述したように、エレベーター１５の運転状態情報や、乗りかご７の戸の開閉情報等であり、エレベーターの運行状況に応じて随時変化するデータである。このような状態データを用いて生成した一時的データを正当性確認用データとして用いることにより、悪意を持った第三者による一時的データの推測や偽造を困難なものとすることができる。
【0081】
【0082】
まず、受信コントローラ４０の通信経路生成部４２（図２参照）は、図４に示した一時的データ生成処理を行う（ステップＳ１１）。次いで、通信経路生成部４２は、ステップＳ１１で生成した一時的データに基づいて、管理テーブルＴを参照して、代理コントローラ５０の候補となるコントローラを抽出する（ステップＳ１２）。本実施形態では、一時的データとコントローラの種類とが予め対応付けてあることを想定しているため、受信コントローラは、生成した一時的データと対応付けられたコントローラを、代理コントローラ５０の候補のコントローラとして抽出する。管理テーブルＴの構成については、次の図６を参照して詳述する。
【0083】
次いで、受信コントローラ４０の通信経路生成部４２は、ステップＳ１２で抽出した候補のコントローラは、代理コントローラ５０として選択可能であるか否かを判定する（ステップＳ１３）。通信経路生成部４２は、候補のコントローラを代理コントローラ５０に選択可能か否かを、管理テーブルＴに格納された情報に基づいて判断する。
【0084】
ステップＳ１３で、代理コントローラ５０として選択できないと判定された場合（ステップＳ１３がＮＯ判定の場合）、通信経路生成部４２は、ステップＳ１１に戻って処理を行う。すなわち、代理コントローラ５０の候補の抽出に用いる一時的データの生成処理を行う。一方、ステップＳ１３で、代理コントローラ５０として選択可能であると判定された場合（ステップＳ１３がＹＥＳ判定の場合）、通信経路生成部４２は、候補のコントローラを代理コントローラ５０として選択する（ステップＳ１４）。ステップＳ１４の処理後、受信コントローラ４０による代理コントローラ５０の選択処理は終了する。
【0085】
＜管理テーブルの構成＞
次に、図６を参照して、管理テーブルＴの構成について説明する。図６は、管理テーブルＴの構成例を示す図である。図６Ａには、正当性確認処理によるデータ更新前の管理テーブルＴを示し、図６Ｂには、正当性確認処理によるデータ更新後の管理テーブルＴを示す。
次に、図６を参照して、管理テーブルＴの構成について説明する。図６は、管理テーブルＴの構成例を示す図である。図６Ａには、正当性確認処理によるデータ更新前の管理テーブルＴを示し、図６Ｂには、正当性確認処理によるデータ更新後の管理テーブルＴを示す。
【0086】
図６Ａ及びＢに示すように、管理テーブルＴは、「コントローラ番号」と、「正当性確認結果」と、「代理状況」と、「コントローラ情報」と、の各項目を有する。
【0087】
「コントローラ番号」の項目には、各コントローラに割り振られた番号が格納される。なお、コントローラ番号の項目には、コントローラの識別番号や、コントローラ名などが格納されてもよい。図６には、コントローラ番号の項目には“１”～“５”の番号が格納されている。つまり、図６には、エレベーターシステム１００に、それぞれ“１”～“５”の番号が付与された５台のコントローラが含まれる例を示す。
【0088】
「正当性確認結果」の項目には、エレベーターシステム１００の正当性確認処理による正当性の確認が“〇”又は“×”によって示される。“〇”は、正当性が確認されたことを示す記号であり、“×”は、正当性が確認されなかったことを示す記号である。
【0089】
「代理状況」の項目には、その時点で代理コントローラ５０に選択されているコントローラが、どの送信コントローラ３０の代理を受け持っているかを示す情報として、送信コントローラ３０の番号が格納される。
【0090】
「コントローラ情報」の項目には、「コントローラ番号」によって示されるコントローラの種類の情報が格納される。図６には、コントローラ番号が１番のコントローラはエレベーターコントローラ５であり、２番のコントローラはかごコントローラ１０であり、３番のコントローラは１階のフロアコントローラ１１であることが示されている。また、４番のコントローラは２階のフロアコントローラ１１であり、５番のコントローラは３階のフロアコントローラ１１であることが示されている。
【0091】
図６Ａ及びＢに示す管理テーブルＴにおいて、１番のコントローラが受信コントローラ４０として選択されており、２番のコントローラが送信コントローラ３０として選択されているとする。
【0092】
受信コントローラ４０が、図５のステップＳ１２で代理コントローラ５０の候補となるコントローラを抽出する段階において、管理テーブルＴは図６Ａに示す情報を有していたとする。この場合、受信コントローラ４０の通信経路生成部４２は、代理コントローラ５０の候補として、送信コントローラ３０として選択済みの２番のコントローラ、及び、自身（１番のコントローラ）以外の３台のコントローラを選択する。３台のコントローラは、３番～５番のコントローラである。
【0093】
次のステップＳ１３では、通信経路生成部４２は、候補のコントローラは代理コントローラ５０として選択可能であるか否かを判定する。ステップＳ１３において、通信経路生成部４２は、その時点で代理コントローラ５０として選択されておらず、かつ、正当性が確認できているコントローラを、代理コントローラ５０として選択する。
【0094】
図６Ａに示す例では、候補として抽出された３台のコントローラのうち、３番のコントローラは、既に代理コントローラ５０として選択済みである。４番のコントローラは、正当性が確認されなかったコントローラである。５番のコントローラは、正当性が確認されており、かつ、代理コントローラ５０に選択されていないコントローラである。したがって、通信経路生成部４２は、５番のコントローラ、すなわち、３Ｆのフロアコントローラ１１を、代理コントローラ５０に選択する。
【0095】
受信コントローラ４０の通信経路生成部４２は、新たな代理コントローラ５０の選択後、前回代理コントローラ５０として選択されていたコントローラにおける、代理コントローラ５０の選択を解除する。そして、管理テーブルＴにおける代理コントローラ５０の選択状況（代理状況）を更新する。
【0096】
図６Ｂに、情報更新後の管理テーブルＴを示す。図６Ｂに示す管理テーブルＴには、５番のコントローラが、２番のコントローラ、すなわち、送信コントローラ３０の代理コントローラ５０として選択されていることが示されている。そして、前回代理コントローラ５０に選択されていた３番のコントローラの代理状況は、代理コントローラ５０に選択されていないことを示す“－”に変更されている。
【0097】
なお、本実施形態では、受信コントローラ４０が代理コントローラ５０を選択する例を挙げたが、本発明はこれに限定されない。例えば、送信コントローラ３０が、受信コントローラ４０と代理コントローラ５０とを選択してもよい。
【0098】
＜一時的通信経路情報設定処理＞
次に、受信コントローラ４０の通信経路生成部４２による一時的通信経路情報設定処理について、図７を参照して説明する。図７は、一時的通信経路情報設定処理の手順の例を示すフローチャートである。一時的通信経路情報設定処理の実行タイミングには、様々なタイミングを設定可能であり、例えば、エレベーターシステム１００のシャットダウン時、起動時、乗りかご７（図１参照）の出発直前のタイミングなどを設定可能である。
次に、受信コントローラ４０の通信経路生成部４２による一時的通信経路情報設定処理について、図７を参照して説明する。図７は、一時的通信経路情報設定処理の手順の例を示すフローチャートである。一時的通信経路情報設定処理の実行タイミングには、様々なタイミングを設定可能であり、例えば、エレベーターシステム１００のシャットダウン時、起動時、乗りかご７（図１参照）の出発直前のタイミングなどを設定可能である。
【0099】
まず、受信コントローラ４０の通信経路生成部４２は、送信コントローラ３０向けの一時的通信経路情報を生成する（ステップＳ２１）。送信コントローラ３０向けの一時的通信経路情報は、図２に示したように、受信コントローラ４０の情報と、代理コントローラ５０の情報とで構成される。図６Ｂに示す管理テーブルＴによれば、代理コントローラ５０に選択されたコントローラは、５番のコントローラである。また、管理テーブルＴの運用の前提として、受信コントローラ４０に選択されているコントローラは１番のコントローラであるとする。
【0100】
この場合、通信経路生成部４２は、「受Ｎｏ」が１番のコントローラの識別情報であり、「代Ｎｏ」が５番のコントローラの識別情報である一時的通信経路情報を生成する。そして、受信コントローラ４０の通信部４７（図２参照）は、ステップＳ２１で生成した一時的通信経路情報を送信コントローラ３０に送信する（ステップＳ２２）。ステップＳ２２で受信コントローラ４０から送信された一時的通信情報は、送信コントローラ３０の一時的通信経路情報記憶部３１に格納される。これにより、送信コントローラ３０に一時的通信経路情報が設定される。
【0101】
次いで、通信経路生成部４２は、代理コントローラ５０向けの一時的通信経路情報を生成する（ステップＳ２３）。代理コントローラ５０向けの一時的通信経路情報は、図２に示したように、送信コントローラ３０の情報と、受信コントローラ４０の情報とで構成される。したがって、通信経路生成部４２は、「送Ｎｏ」が２番のコントローラの識別情報であり、「代Ｎｏ」が５番のコントローラの識別情報である一時的通信経路情報を生成する。そして、受信コントローラ４０の通信部４７は、ステップＳ２３で生成した一時的通信経路情報を代理コントローラ５０に送信する（ステップＳ２４）。
【0102】
ステップＳ２４で受信コントローラ４０から送信された一時的通信情報は、代理コントローラ５０の一時的通信経路情報記憶部５１に格納される。これにより、代理コントローラ５０に一時的通信経路情報が設定される。ステップＳ２４の処理後、受信コントローラ４０による一時的通信経路情報設定処理は終了する。
【0103】
＜正当性確認処理＞
次に、図８を参照して、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理について説明する。図８は、正当性確認処理の手順の例を示すフローチャートである。
次に、図８を参照して、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理について説明する。図８は、正当性確認処理の手順の例を示すフローチャートである。
【0104】
まず、送信コントローラ３０は、制御アルゴリズム上通信を実行する状態になった、すなわち、正当性確認処理の実行タイミングが到来したと判定した場合、受信コントローラ４０に対して、確認通信パケット（第１パケット）Ｐ１（図９参照）を送信する（ステップＳ３１）。
【0105】
ここで、図９及び図１０を参照して、送信コントローラ３０から受信コントローラ４０に送信される第１パケットＰ１の構成について説明する。図９は、各コントローラ間において送受信されるパケットＰの構成例を示す図であり、図１０は、第１パケットＰ１の構成例を示す図である。
【0106】
［パケットの構成］
図９に示すように、各コントローラ間において送受信されるパケットＰは、送信元情報格納フィールドＦ１と、送信先情報格納フィールドＦ２と、データ格納領域Ｆ３と、チェックデータ格納フィールドＦ４と、で構成される。
図９に示すように、各コントローラ間において送受信されるパケットＰは、送信元情報格納フィールドＦ１と、送信先情報格納フィールドＦ２と、データ格納領域Ｆ３と、チェックデータ格納フィールドＦ４と、で構成される。
【0107】
送信元情報は、自コントローラに対して正当性確認用のデータを送信してくる送信元のコントローラの識別情報等によって構成される。送信先情報は、正当性確認用のデータの送信先のコントローラの識別情報等によって構成される。
【0108】
識別情報には、通信経路Ｎ（図２参照）の種類や通信プロトコルの方式に応じた識別情報が設定される。例えば、通信プロトコルがＲＳ－４８５である場合には、識別情報はデバイスＩＤとなり、イーサネット（登録商標）の場合には、デバイスのＭＡＣ（Media Access Control）アドレス又はＩＰ（Internet Protocol）アドレスとなる。
【0109】
なお、本実施形態においては、コントローラ間において１対１の通信が行われることを想定しているため、送信元情報及び送信先情報には、それぞれ１つのコントローラの識別情報が格納される。しかし、本発明は通信相手が１つである場合に限定されず、複数であってもよい。この場合、送信元情報又は送信先情報には、複数のコントローラの識別情報が格納される。
【0110】
また、本実施形態では、パケットＰは平文で伝送されることを想定しているが本発明はこれに限定されず、暗号化されて伝送されてもよい。
【0111】
［第１パケットの構成］
図１０に示すように、第１パケットＰ１の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報（図においては「送Ｎｏ」と表記）が格納される。また、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報（図においては「受Ｎｏ」と表記）が格納されている。また、データ格納領域Ｆ３には確認通信データが格納され、チェックデータ格納フィールドＦ４には、パケットデータの不整合を確認するためのチェックサム等のチェックデータが格納される。
図１０に示すように、第１パケットＰ１の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報（図においては「送Ｎｏ」と表記）が格納される。また、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報（図においては「受Ｎｏ」と表記）が格納されている。また、データ格納領域Ｆ３には確認通信データが格納され、チェックデータ格納フィールドＦ４には、パケットデータの不整合を確認するためのチェックサム等のチェックデータが格納される。
【0112】
図８に戻って説明を続ける。ステップＳ３１で送信コントローラ３０から第１パケットＰ１が送信された後、受信コントローラ４０の通信部４７（図２参照）は、第１パケットＰ１を受信する（ステップＳ３２）。次いで、受信コントローラ４０のデータ生成部４４は、図４に示した一時的データ生成処理を行うことにより、正当性確認用データとしての一時的データである、データＤａ及びデータＤｂを生成する（ステップＳ３３）。
【0113】
次いで、受信コントローラ４０の通信部４７は、データ生成部４４が生成したデータＤａ及びＤｂを含む第２パケットＰ２を生成し、該第２パケットＰ２を送信コントローラ３０に返送（送信）する（ステップＳ３４）。
【0114】
［第２パケットの構成］
ここで、図１１を参照して、第２パケットＰ２の構成について説明する。図１１は、第２パケットＰ２の構成例を示す図である。図１１に示すように、第２パケットＰ２の送信元情報格納フィールドＦ１には、受信コントローラ４０の識別情報が格納され、送信先情報格納フィールドＦ２には、送信コントローラ３０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤａ及びＤｂが格納され、チェックデータ格納フィールドＦ４には、チェックサム等のチェックデータが格納される。
ここで、図１１を参照して、第２パケットＰ２の構成について説明する。図１１は、第２パケットＰ２の構成例を示す図である。図１１に示すように、第２パケットＰ２の送信元情報格納フィールドＦ１には、受信コントローラ４０の識別情報が格納され、送信先情報格納フィールドＦ２には、送信コントローラ３０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤａ及びＤｂが格納され、チェックデータ格納フィールドＦ４には、チェックサム等のチェックデータが格納される。
【0115】
図８に戻って説明を続ける。ステップＳ３４で、受信コントローラ４０から送信コントローラ３０に第２パケットＰ２が送信された後、送信コントローラ３０の通信部３４は、第２パケットＰ２を受信する（ステップＳ３５）。次いで、送信コントローラ３０のデータ演算部３３は、第１正当性確認処理を行う（ステップＳ３６）。
【0116】
［第１正当性確認処理］
ここで、図１２を参照して、図８のステップＳ３６で行われる送信コントローラ３０による第１正当性確認処理について説明する。図１２は、第１正当性確認処理の手順の例を示すフローチャートである。
ここで、図１２を参照して、図８のステップＳ３６で行われる送信コントローラ３０による第１正当性確認処理について説明する。図１２は、第１正当性確認処理の手順の例を示すフローチャートである。
【0117】
まず、送信コントローラ３０のデータ演算部３３（図２参照）は、図８のステップＳ３５で受信した第２パケットＰ２（図１１参照）に含まれていたデータＤａを、ハッシュ値演算等の手法を用いてデータＤｘに変換する（ステップＳＡ１）。次いで、Ｎｏ判定部３２は、一時的通信経路情報記憶部３１に格納された一時的通信経路情報に基づいて、データＤｘの送信先を受信コントローラ４０に決定する（ステップＳＡ２）。
【0118】
次いで、送信コントローラ３０の通信部３４は、ステップＳＡ２で送信先に決定された受信コントローラ４０に対して、データＤｘを含む第３パケットＰ３（図１３参照）を送信する（ステップＳＡ３）。
【0119】
また、送信コントローラ３０のデータ演算部３３は、図８のステップＳ３５で受信した第２パケットＰ２に含まれていたデータＤｂを、ハッシュ値演算等の手法を用いてデータＤｙに変換する（ステップＳＢ１）。次いで、Ｎｏ判定部３２は、一時的通信経路情報記憶部３１に格納された一時的通信経路情報に基づいて、データＤｙの送信先を代理コントローラ５０に決定する（ステップＳＢ２）。
【0120】
次いで、送信コントローラ３０の通信部３４は、ステップＳＢ２で送信先に決定された代理コントローラ５０に対して、データＤｙを含む第４パケットＰ４を送信する（ステップＳＢ３）。ステップＳＡ３及びステップＳＢ３の処理後、送信コントローラ３０による第１正当性確認処理は終了する。
【0121】
【0122】
［第３パケットの構成］
図１３に示すように、第３パケットＰ３の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報が格納され、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤｘが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
図１３に示すように、第３パケットＰ３の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報が格納され、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤｘが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
【0123】
［第４パケットの構成］
図１４に示すように、第４パケットＰ４の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報が格納され、送信先情報格納フィールドＦ２には、代理コントローラ５０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤｙが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
図１４に示すように、第４パケットＰ４の送信元情報格納フィールドＦ１には、送信コントローラ３０の識別情報が格納され、送信先情報格納フィールドＦ２には、代理コントローラ５０の識別情報が格納される。データ格納領域Ｆ３には、データ生成部４４によって生成されたデータＤｙが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
【0124】
図８に戻って説明を続ける。ステップＳ３６で、第１正当性確認処理によって生成されて受信コントローラ４０に送信された第３パケットＰ３は、受信コントローラ４０の通信部４７（図２参照）によって受信される（ステップＳ３７）。
【0125】
一方、第１正当性確認処理によって生成されて代理コントローラ５０に送信された第４パケットＰ４は、代理コントローラ５０の通信部５４によって受信される（ステップＳ３８）。次いで、代理コントローラ５０は第２正当性確認処理を実行する（ステップＳ３９）。
【0126】
［第２正当性確認処理］
ここで、図１５を参照して、図８のステップＳ３９で行われる代理コントローラ５０による第２正当性確認処理について説明する。図１５は、第２正当性確認処理の手順の例を示すフローチャートである。
ここで、図１５を参照して、図８のステップＳ３９で行われる代理コントローラ５０による第２正当性確認処理について説明する。図１５は、第２正当性確認処理の手順の例を示すフローチャートである。
【0127】
まず、代理コントローラ５０のデータ演算部５３（図２参照）は、図８のステップＳ３８で送信コントローラ３０から受信した第４パケットＰ４に含まれていたデータＤｙを、データＤｚに変換する（ステップＳ５１）。次いで、代理コントローラ５０のＮｏ判定部５２は、ステップＳ３８で受信したパケットの送信元は、一時的通信経路情報記憶部５１に格納された一時的通信経路情報に記載された送信コントローラ３０であるか否かを判定する（ステップＳ５２）。
【0128】
具体的には、Ｎｏ判定部５２は、パケットの送信元情報格納フィールドに格納されている送信元のコントローラの識別情報と、一時的通信経路情報に記載された送信コントローラ３０の識別情報とが一致するか否かを確認する。ステップＳ５２で、両コントローラの識別情報は一致しないと判定された場合（ステップＳ５２がＮＯ判定の場合）、代理コントローラ５０のＮｏ判定部５２は、パケットの送信元のコントローラは、正当な機器ではないと判定する（ステップＳ５３）。
【0129】
次いで、Ｎｏ判定部５２は、第２正当性確認処理による正当性確認結果、すなわち、パケットの送信元のコントローラは正当な機器ではないとの情報を、管理テーブルＴに記録する（ステップＳ５４）。
【0130】
一方、ステップＳ５２で、パケットの送信元は、一時的通信経路情報記憶部５１に格納された一時的通信経路情報に記載された送信コントローラ３０であると判定された場合（ステップＳ５２がＹＥＳ判定の場合）、代理コントローラ５０のＮｏ判定部５２は、パケットの送信元のコントローラは、正当な機器であると判定する（ステップＳ５５）。
【0131】
次いで、代理コントローラ５０の通信部５４は、一時的通信経路情報に記載されている受信コントローラ４０に、ステップＳ５１で生成したデータＤｚを含む第５パケットＰ５を送信する（ステップＳ５６）。ステップＳ５６の処理後、Ｎｏ判定部５２は、ステップＳ５４の処理を行う。すなわち、Ｎｏ判定部５２は、第２正当性確認処理による正当性確認結果、すなわち、パケットの送信元のコントローラは、正当な機器であるとの情報を、管理テーブルＴに記録する。ステップＳ５４の処理後、代理コントローラ５０による第２正当性確認処理は終了する。
【0132】
【0133】
［第５パケットの構成］
図１６に示すように、第５パケットＰ５の送信元情報格納フィールドＦ１には、代理コントローラ５０の識別情報が格納され、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報が格納される。データ格納領域Ｆ３には、データ演算部５３によって生成されたデータＤｚが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
図１６に示すように、第５パケットＰ５の送信元情報格納フィールドＦ１には、代理コントローラ５０の識別情報が格納され、送信先情報格納フィールドＦ２には、受信コントローラ４０の識別情報が格納される。データ格納領域Ｆ３には、データ演算部５３によって生成されたデータＤｚが格納され、チェックデータ格納フィールドＦ４にはチェックサム等のチェックデータが格納される。
【0134】
図８に戻って説明を続ける。受信コントローラ４０は、ステップＳ３７で送信コントローラ３０から送信された第３パケットＰ３を受信後、代理コントローラ５０から送信された第５パケットＰ５を受信する（ステップＳ４０）。なお、ステップＳ３７の処理とステップＳ４０の処理とは、時間的に前後することも想定される。
【0135】
次いで、受信コントローラ４０は、第３正当性確認処理を行う（ステップＳ４１）。ステップＳ４１の処理後、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理は終了する。
【0136】
【0137】
まず、受信コントローラ４０のデータ生成部４４（図２参照）は、図８のステップＳ３３で生成したデータＤａを、データＤｘに変換する（ステップＳＣ１）。次いで、受信コントローラ４０のＮｏ判定部４３は、図８のステップＳ３７で受信したパケットの送信元は、一時的通信経路情報記憶部４１に格納された一時的通信経路情報に記載された送信コントローラ３０であるか否かを判定する（ステップＳＣ２）。
【0138】
ステップＳＣ２で、両コントローラの識別情報は一致しないと判定された場合（ステップＳＣ２がＮＯ判定の場合）、受信コントローラ４０のＮｏ判定部４３は、パケットの送信元のコントローラは、正当な機器ではないと判定する（ステップＳＣ３）。次いで、Ｎｏ判定部４３は、第３正当性確認処理による正当性確認結果、すなわち、パケットの送信元のコントローラは正当な機器ではないとの情報を、管理テーブルＴに記録する（ステップＳＥ４）。
【0139】
一方、ステップＳＣ２で、パケットの送信元は、一時的通信経路情報記憶部５１に格納された一時的通信経路情報に記載された送信コントローラ３０であると判定された場合（ステップＳＣ２がＹＥＳ判定の場合）、受信コントローラ４０のＮｏ判定部４３は、パケット（第３パケットＰ３）に含まれているデータＤｘと、図８のステップＳ３３で生成したデータＤａを変換して生成したデータＤｘとが一致するか否かを判定する（ステップＳＣ４）。
【0140】
また、受信コントローラ４０のデータ生成部４４は、図８のステップＳ３３で生成したデータＤｂを、データＤｙに変換する（ステップＳＤ１）。次いで、受信コントローラ４０のＮｏ判定部４３は、図８のステップＳ４０で受信したパケットの送信元は、一時的通信経路情報記憶部４１に格納された一時的通信経路情報に記載された代理コントローラ５０であるか否かを判定する（ステップＳＤ２）。
【0141】
ステップＳＤ２で、両コントローラの識別情報は一致しないと判定された場合（ステップＳＤ２がＮＯ判定の場合）、受信コントローラ４０のＮｏ判定部４３は、パケットの送信元のコントローラは、正当な機器ではないと判定する（ステップＳＤ３）。次いで、Ｎｏ判定部４３は、第３正当性確認処理による正当性確認結果、すなわち、パケットの送信元のコントローラは正当な機器ではないとの情報を、管理テーブルＴに記録する（ステップＳＥ４）。
【0142】
一方、ステップＳＤ２で、パケットの送信元は、一時的通信経路情報記憶部５１に格納された一時的通信経路情報に記載された送信コントローラ３０であると判定された場合（ステップＳＤ２がＹＥＳ判定の場合）、受信コントローラ４０のＮｏ判定部４３は、パケット（第５パケットＰ５）に含まれているデータＤｚと、図８のステップＳ３３で生成したデータＤｂを２回変換して生成したデータＤｚとが一致するか否かを判定する（ステップＳＤ４）。
【0143】
なお、ステップＳＤ４でデータＤｂを変換する回数は２回に限定されず、他の回数であってもよい。ただし、変換回数は、受信コントローラ４０における変換回数と送信コントローラ３０における変換回数との和とで同数である必要がある。
【0144】
次いで、Ｎｏ判定部４３は、ステップＳＣ４の判定結果とステップＳＤ４の判定結果が、両方とも一致を示すものであるかどうかを判定する（ステップＳＥ１）。ステップＳＥ１で、両方の判定結果が一致を示すものであると判定された場合（ステップＳＥ１がＹＥＳ判定の場合）、Ｎｏ判定部４３は、パケット（第３パケットＰ３）の送信元のコントローラ、すなわち、送信コントローラ３０は、正当な機器であると判定する（ステップＳＥ２）。
【0145】
一方、ステップＳＥ１で、ステップＳＣ４の判定結果及びステップＳＤ４の判定結果の一方又は両方が、一致を示すものでなかったと判定された場合（ステップＳＥ１がＮＯ判定の場合）、Ｎｏ判定部４３は、パケットの送信元のコントローラは、正当な機器でないと判定する（ステップＳＥ３）。
【0146】
ステップＳＥ２又はステップＳＥ３の処理後、Ｎｏ判定部４３は、第３正当性確認処理による正当性確認結果を、管理テーブルＴに記録する（ステップＳＥ４）。ステップＳＥ４の処理後、受信コントローラ４０による第３正当性確認処理は終了する。
【0147】
上述した実施形態によれば、エレベーターシステム１００に含まれる既存のコントローラである送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０によって、正当性確認用の一時的データが送受信されることにより、被認証側の送信コントローラ３０の正当性が確認される。したがって、本実施形態によれば、新たな装置又は通信路等を追加することなく、エレベーターシステム１００に含まれる機器が正規機器であるか否かを確認できる。
【0148】
また、上述した実施形態では、正当性確認用の一時的データが、送信コントローラ３０及び受信コントローラ４０間におけるＰ２Ｐの通信経路と、該経路に中継ノードとしての代理コントローラ５０が加わった通信経路と、の２つの通信経路において並行して実行される。したがって、１つの通信経路を用いて正当性確認処理が行われる場合と比較して、不正な機器による情報の傍受をより困難なものとすることができ、セキュリティをより強化することができる。
【0149】
なお、受信コントローラ４０は、第３正当性確認処理を行う前の段階において、送信済みの第２パケットＰ２に対する返信を受信できなかった時点で、送信コントローラ３０は正当な機器ではないと判定してもよい。具体的には、予め、受信コントローラ４０の通信部４７が送信コントローラ３０に第２パケットＰ２を送信してから、代理コントローラ５０を経由して送信される第５パケットＰ５を受信するまでの経過時間に制限時間を設けておく。そして、受信コントローラ４０は、制限時間内に第５パケットＰ５を受信できなかった場合に、送信コントローラ３０は正当な機器ではないと判定してもよい。
【0150】
なお、第２パケットＰ２を送信してから第５パケットＰ５を受信するまでの時間ではなく、第２パケットＰ２を送信してから、送信コントローラ３０から送信される第３パケットＰ３を受信するまでの時間に制限時間を設けてもよい。
【0151】
また、上述した実施形態では、代理コントローラ５０に選択されるコントローラが１台である例を挙げたが、本発明はこれに限定されない。複数台のコントローラが代理コントローラ５０に選択されてもよい。
【0152】
［複数台のコントローラが選択される場合における代理コントローラ選択処理］
図１８は、複数台のコントローラが選択される場合における代理コントローラ５０の選択処理の手順の例を示すフローチャートである。まず、受信コントローラ４０の通信経路生成部４２（図２参照）は、図４に示した一時的データ生成処理を行う（ステップＳ６１）。次いで、通信経路生成部４２は、一時的データ生成処理で生成された一時的データに基づいて、代理コントローラ５０として選択すべきコントローラの台数を決定する（ステップＳ６２）。この場合においても、一時的データと代理コントローラ５０の台数とは予め対応付けられているものとする。
図１８は、複数台のコントローラが選択される場合における代理コントローラ５０の選択処理の手順の例を示すフローチャートである。まず、受信コントローラ４０の通信経路生成部４２（図２参照）は、図４に示した一時的データ生成処理を行う（ステップＳ６１）。次いで、通信経路生成部４２は、一時的データ生成処理で生成された一時的データに基づいて、代理コントローラ５０として選択すべきコントローラの台数を決定する（ステップＳ６２）。この場合においても、一時的データと代理コントローラ５０の台数とは予め対応付けられているものとする。
【0153】
次いで、通信経路生成部４２は、再度一時的データ生成処理を実行する（ステップＳ６３）。次いで、通信経路生成部４２は、ステップＳ６３で生成した一時的データに基づいて、代理コントローラ５０の候補となるコントローラを管理テーブルＴから抽出する（ステップＳ６４）。次いで、通信経路生成部４２は、ステップＳ６４で抽出した候補のコントローラは、代理コントローラ５０として選択可能であるか否かを判定する（ステップＳ６５）。
【0154】
ステップＳ６５で、代理コントローラ５０として選択できないと判定された場合（ステップＳ６５がＮＯ判定の場合）、通信経路生成部４２は、ステップＳ６３に戻って処理を行う。すなわち、代理コントローラ５０の候補の抽出に用いる一時的データの生成処理を行う。一方、ステップＳ６５で、代理コントローラ５０として選択可能であると判定された場合（ステップＳ６５がＹＥＳ判定の場合）、通信経路生成部４２は、候補のコントローラを代理コントローラ５０として選択する（ステップＳ６６）。
【0155】
次いで、通信経路生成部４２は、ステップＳ６２で決定された台数分の代理コントローラ５０の選択は完了したか否かを判定する（ステップＳ６７）。ステップＳ６７で、台数分の代理コントローラ５０の選択は完了していないと判定された場合（ステップＳ６７がＮＯ判定の場合）、通信経路生成部４２は、ステップＳ６３に戻って処理を行う。
【0156】
一方、ステップＳ６７で、台数分の代理コントローラ５０の選択は完了したと判定された場合（ステップＳ６７がＹＥＳ判定の場合）、受信コントローラ４０による代理コントローラ選択処理は終了する。
【0157】
【0158】
図１９Ａには、管理テーブルＴを示す。図１９Ａに示す管理テーブルＴには、５番のコントローラ、すなわち、３Ｆのフロアコントローラ１１が１番目（図において「１ｓｔ」と表記）の代理コントローラ５０に選択されている。また、管理テーブルＴには、３番のコントローラ、すなわち、１Ｆのフロアコントローラ１１が２番目（図において「２ｎｄ」と表記）の代理コントローラ５０に選択されていることが示されている。そして、正当性確認用データの、代理コントローラ５０を経由する通信経路における伝送は、受信コントローラ４０、第２の代理コントローラ５０（３番のコントローラ）、第１の代理コントローラ５０（５番のコントローラ）の順に行われるとする。
【0159】
図１９Ｂは、受信コントローラ４０から第１の代理コントローラ５０に送信される一時的通信経路情報の例を示し、図１９Ｃは、受信コントローラ４０から第２の代理コントローラ５０に送信される一時的通信経路情報の例を示す。
【0160】
第１の代理コントローラ５０に選択された５番のコントローラに対しては、図１９Ｂに示すように、第２の代理コントローラ５０に選択された３番のコントローラの識別情報と、送信コントローラ３０に選択されている２番のコントローラの識別情報とを含む一時的通信経路情報が送信される。
【0161】
また、第２の代理コントローラ５０に選択された３番のコントローラに対しては、図１９Ｃに示すように、受信コントローラ４０に選択されている１番のコントローラの識別情報と、第１の代理コントローラ５０に選択された５番のコントローラの識別情報と、を含む一時的通信経路情報が送信される。
【0162】
このように、代理コントローラ５０を複数設定することにより、正当性確認用データの通信経路を複数設定することが可能となり、既存の機器と置換又は追加された不正な機器によるエレベーター１５に関する情報の傍受を、より困難とすることができる。また、図１９には、代理コントローラ５０を２つ設けた例を示したが、本発明はこれに限定されず、３つ以上設定されてもよい。
【0163】
また、上述した実施形態では、代理コントローラ５０を介した通信経路における正当性確認用データの伝送が、受信コントローラ４０、送信コントローラ３０、代理コントローラ５０、受信コントローラ４０の順に行われる例を挙げたが、本発明はこれに限定されない。代理コントローラ５０を介した通信経路における正当性確認用データの伝送は、例えば、受信コントローラ４０、代理コントローラ５０、送信コントローラ３０、受信コントローラ４０の順に行われてもよい。
【0164】
＜変形例に係る正当性確認処理＞
図２０は、変形例に係る正当性確認処理の手順の例を示すフローチャートである。図２０のステップＳ７１～ステップＳ７３までの処理は、図８のステップＳ３１～ステップＳ３３までの処理と同一であるため、説明は省略する。ステップＳ７３でデータＤａ及びＤｂを生成した後、受信コントローラ４０の通信部４７は、データＤａを含む第２Ａ１パケット（図示略）を生成し、該第２Ａ１パケットを送信コントローラ３０に返送（送信）する（ステップＳ７４）。
図２０は、変形例に係る正当性確認処理の手順の例を示すフローチャートである。図２０のステップＳ７１～ステップＳ７３までの処理は、図８のステップＳ３１～ステップＳ３３までの処理と同一であるため、説明は省略する。ステップＳ７３でデータＤａ及びＤｂを生成した後、受信コントローラ４０の通信部４７は、データＤａを含む第２Ａ１パケット（図示略）を生成し、該第２Ａ１パケットを送信コントローラ３０に返送（送信）する（ステップＳ７４）。
【0165】
次いで、送信コントローラ３０の通信部３４は、第２Ａ１パケットを受信する（ステップＳ７５）。次いで、送信コントローラ３０のデータ演算部３３は、第１Ａ－１正当性確認処理を行う（ステップＳ７６）。
【0166】
［第１Ａ－１正当性確認処理］
ここで、図２１を参照して、図２０のステップＳ７６で行われる送信コントローラ３０による第１Ａ－１正当性確認処理について説明する。図２１は、第１Ａ－１正当性確認処理の手順の例を示すフローチャートである。
ここで、図２１を参照して、図２０のステップＳ７６で行われる送信コントローラ３０による第１Ａ－１正当性確認処理について説明する。図２１は、第１Ａ－１正当性確認処理の手順の例を示すフローチャートである。
【0167】
まず、送信コントローラ３０のデータ演算部３３は、図２０のステップＳ７５で受信した第２Ａ１パケットに含まれていたデータＤａを、ハッシュ値演算等の手法を用いてデータＤｘに変換する（ステップＳＡ１１）。次いで、送信コントローラ３０のＮｏ判定部３２は、一時的通信経路情報記憶部３１に格納された一時的通信経路情報に基づいて、データＤｘの送信先を受信コントローラ４０に決定する（ステップＳＡ１２）。
【0168】
次いで、送信コントローラ３０の通信部３４は、ステップＳＡ１２で送信先に決定された受信コントローラ４０に対して、データＤｘを含む第３Ａパケットを送信する（ステップＳＡ１３）。ステップＳＡ１３の処理後、送信コントローラ３０による第１Ａ－１正当性確認処理は終了する。
【0169】
図２０に戻って説明を続ける。ステップＳ７６で、第１Ａ－１正当性確認処理によって生成されて受信コントローラ４０に送信された第３Ａパケットは、受信コントローラ４０の通信部４７（図２参照）によって受信される（ステップＳ７７）。
【0170】
次いで、受信コントローラ４０のデータ生成部４４は、ステップＳ７３で生成したデータＤｂを含む第２Ａ２パケットを生成し、該第２Ａ２パケットを通信部４７が代理コントローラ５０に送信する（ステップＳ７８）。
【0171】
次いで、代理コントローラ５０の通信部５４は、ステップＳ７８で受信コントローラ４０から送信された第２Ａ２パケットを受信する（ステップＳ７９）。次いで、代理コントローラ５０は第２Ａ正当性確認処理を実行する（ステップＳ８０）。
【0172】
［第２Ａ正当性確認処理］
ここで、図２２を参照して、図２０のステップＳ８０で行われる代理コントローラ５０による第２Ａ正当性確認処理について説明する。図２２は、第２Ａ正当性確認処理の手順の例を示すフローチャートである。
ここで、図２２を参照して、図２０のステップＳ８０で行われる代理コントローラ５０による第２Ａ正当性確認処理について説明する。図２２は、第２Ａ正当性確認処理の手順の例を示すフローチャートである。
【0173】
まず、代理コントローラ５０のデータ演算部５３は、図２０のステップＳ７８で受信コントローラ４０から受信した第２Ａ１パケットに含まれていたデータＤｂを、ハッシュ値演算等の手法を用いてデータＤｙに変換する（ステップＳＢ１１）。次いで、代理コントローラ５０のＮｏ判定部５２は、一時的通信経路情報記憶部５１に格納された一時的通信経路情報に基づいて、データＤｙの送信先を送信コントローラ３０に決定する（ステップＳＢ１２）。
【0174】
次いで、代理コントローラ５０の通信部５４は、ステップＳＢ１２で送信先に決定された送信コントローラ３０に対して、データＤｙを含む第４Ａパケットを送信する（ステップＳＢ１３）。ステップＳＢ１３の処理後、代理コントローラ５０による第２Ａ正当性確認処理は終了する。
【0175】
図２０に戻って説明を続ける。ステップＳ８０で、第２Ａ正当性確認処理によって生成されて代理コントローラ５０によって送信された第４Ａパケットは、送信コントローラ３０の通信部３４で受信される（ステップＳ８１）。次いで、送信コントローラ３０は、第１Ａ－２正当性確認処理を行う（ステップＳ８２）。
【0176】
【0177】
まず、送信コントローラ３０のデータ演算部３３は、図２０のステップＳ８１で代理コントローラ５０から受信した第４Ａパケットに含まれていたデータＤｙを、ハッシュ値演算等の手法を用いてデータＤｚに変換する（ステップＳ９１）。次いで、送信コントローラ３０のＮｏ判定部３２は、一時的通信経路情報記憶部３１に格納された一時的通信経路情報に基づいて、データＤｚの送信先を受信コントローラ４０に決定する（ステップＳ９２）。
【0178】
次いで、送信コントローラ３０の通信部３４は、ステップＳ９２で送信先に決定された受信コントローラ４０に対して、データＤｚを含む第５Ａパケットを送信する（ステップＳ９３）。ステップＳ９３の処理後、送信コントローラ３０による第１Ａ－２正当性確認処理は終了する。
【0179】
ステップＳ８２で、第１Ａ－２正当性確認処理によって生成されて送信コントローラ３０から送信された第５Ａパケットは、受信コントローラ４０の通信部４７によって受信される（ステップＳ８３）。次いで、受信コントローラ４０は、第３Ａ正当性確認処理を行う（ステップＳ８４）。ステップＳ８４の処理後、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理は終了する。
【0180】
［第３Ａ正当性確認処理］
ここで、図２４を参照して、受信コントローラ４０による第３Ａ正当性確認処理について説明する。図２４は、第３Ａ正当性確認処理の手順の例を示すフローチャートである。図２４に示す処理が、図１７に示した第３正当性確認処理と異なる点は、ステップＳＣ１２で送信元の確認を行うパケットが第３パケットではなく第３Ａパケットである点と、ステップＳＤ１２で送信元の確認を行うパケットが第５パケットではなく第５Ａパケットである点のみである。他の処理については、図１７に示した第３正当性確認処理と同一であるため、説明は省略する。
ここで、図２４を参照して、受信コントローラ４０による第３Ａ正当性確認処理について説明する。図２４は、第３Ａ正当性確認処理の手順の例を示すフローチャートである。図２４に示す処理が、図１７に示した第３正当性確認処理と異なる点は、ステップＳＣ１２で送信元の確認を行うパケットが第３パケットではなく第３Ａパケットである点と、ステップＳＤ１２で送信元の確認を行うパケットが第５パケットではなく第５Ａパケットである点のみである。他の処理については、図１７に示した第３正当性確認処理と同一であるため、説明は省略する。
【0181】
図２０～図２４に示した変形例に係る正当性確認処理では、受信コントローラ４０が生成した正当性確認用の一時的データＤａ及びＤｂは、それぞれ送信コントローラ３０、代理コントローラ５０に分けて送信される。そして、送信コントローラ３０における正当性確認処理も、第１Ａ－１正当性確認処理と第１Ａ－２正当性確認処理との２回に分けて行われるようになる。つまり、正当性確認処理の手順が増えて複雑化するため、悪意のある第三者によるエレベーター１５に関する情報の傍受をより困難とすることができる。
【0182】
また、本変形例に係る正当性確認処理によれば、代理コントローラ５０に選択されたコントローラが不正な機器であった場合、代理コントローラ５０から送信コントローラ３０へのパケットの送信は行われない。この場合、受信コントローラ４０も第５Ａパケットを受信できない。
【0183】
例えば、図２０のステップＳ７６の第１Ａ－１正当性確認処理で、送信コントローラ３０によって生成された第３Ａパケットを、受信コントローラ４０が受信できた場合であって、第１Ａ－２正当性確認処理で生成された第５Ａパケットを受信できなかった場合、受信コントローラ４０は、代理コントローラ５０は非正規機器であると判定することができる。つまり、本変形例によれば、送信コントローラ３０の正当性の確認だけでなく、代理コントローラ５０の正当性も確認することができる。
【0184】
また、上述した実施形態では、正当性確認処理が、送信コントローラ３０及び受信コントローラ４０で構成されるＰ２Ｐの通信経路と、該経路に中継ノードとしての代理コントローラ５０が加わった通信経路と、の２つの通信経路において並行して実行される例を示したが、本発明はこれに限定されない。
【0185】
例えば、本発明のエレベーターシステムは、Ｐ２Ｐの通信経路を介して行われた正当性確認処理によって不正な機器が検出された場合には、中継ノードとしての代理コントローラ５０を経由する通信経路による正当性確認処理は実施しない構成とされてもよい。言い換えると、Ｐ２Ｐの通信経路を介して行われた正当性確認処理によって不正な機器が検出されなかった場合に、中継ノードとしての代理コントローラ５０を経由する通信経路による正当性確認処理が実行される構成とされてもよい。このような構成とすることにより、不正な機器をより早期に検出することができる。
【0186】
また、上述した実施形態では、正当性確認用の一時的データの通信経路が、送信コントローラ３０及び受信コントローラ４０で構成される通信経路と、該経路に中継ノードとしての代理コントローラ５０が加わった通信経路と、の２つの通信経路で構成される例を示したが、本発明はこれに限定されない。本発明のエレベーターシステムは、送信コントローラ３０、代理コントローラ５０及び受信コントローラ４０で構成される１つの通信経路のみを一時的データが伝送される構成とされてもよい。
【0187】
この構成とした場合、例えば、正当性確認処理としては、図２０に示したフローチャートのステップＳ７８以降の処理のみが行われる。受信コントローラ４０による第３Ａ正当性確認処理においては、ステップＳＤ１１～ＳＤ１４の処理のみが行われる。そして、ステップＳＤ１４において、データＤｘは、データＤａから変換して得たデータＤｘと一致すると判定された場合に、受信コントローラ４０の演算データ比較部４６（図２０参照）は、送信コントローラ３０は正当性が確認された機器であると判定する。
【0188】
一方、受信したパケットの送信元のコントローラと、一時的通信経路情報に識別情報が記載されたコントローラとが一致しない場合や、ステップＳＤ１４において、データＤｚはデータＤｂから変換して得たデータＤｚと一致しないと判定された場合には、受信コントローラ４０の演算データ比較部４６は、送信コントローラ３０は正当な機器ではないと判定する。つまり、一つの通信経路を用いた正当性確認処理によっても、被認証コントローラとしての送信コントローラ３０の正当性を確認することができる。
【0189】
＜一時的通信経路情報の更新、正当性確認処理の実行タイミングの例＞
次に、受信コントローラ４０の通信経路生成部４２（図２参照）による一時的通信経路情報の更新タイミングと、該一時的通信経路情報に基づく通信経路を用いた正当性確認処理の実行タイミングの例を説明する。一時的通信経路更新処理においては、図５に示した代理コントローラ選択処理、及び、図７に示した一時的通信経路情報設定処理が行われるとする。
次に、受信コントローラ４０の通信経路生成部４２（図２参照）による一時的通信経路情報の更新タイミングと、該一時的通信経路情報に基づく通信経路を用いた正当性確認処理の実行タイミングの例を説明する。一時的通信経路更新処理においては、図５に示した代理コントローラ選択処理、及び、図７に示した一時的通信経路情報設定処理が行われるとする。
【0190】
［一時的通信経路情報更新処理：シャットダウン時、正当性確認処理：システム起動時］
例えば、受信コントローラ４０の通信経路生成部４２による一時的通信経路情報更新処理は、エレベーターシステム１００のシャットダウン直前のタイミングにおいて実行し、正当性確認処理は、次にエレベーターシステム１００が起動するタイミングにおいて実行する形態が考えられる。通信経路生成部４２は、一時的通信経路情報更新処理において、図５に示した代理コントローラ選択処理、及び、図７に示した一時的通信経路情報設定処理を行う。エレベーターシステム１００の不図示の制御部は、正当性確認処理の実行前に、エレベーターシステム１００に含まれる各コントローラを初期化し、初期化の完了後に、図８（又は図２０）に示した正当性確認処理を行う。
例えば、受信コントローラ４０の通信経路生成部４２による一時的通信経路情報更新処理は、エレベーターシステム１００のシャットダウン直前のタイミングにおいて実行し、正当性確認処理は、次にエレベーターシステム１００が起動するタイミングにおいて実行する形態が考えられる。通信経路生成部４２は、一時的通信経路情報更新処理において、図５に示した代理コントローラ選択処理、及び、図７に示した一時的通信経路情報設定処理を行う。エレベーターシステム１００の不図示の制御部は、正当性確認処理の実行前に、エレベーターシステム１００に含まれる各コントローラを初期化し、初期化の完了後に、図８（又は図２０）に示した正当性確認処理を行う。
【0191】
正当性確認処理によって、送信コントローラ３０（又は代理コントローラ５０）が不正な機器であると判定された場合、不正な機器を制御の対象から外す（該機器との通信を遮断する）処理等が行われる。その後、エレベーターシステム１００の制御部は、通常の制御処理を実行する。
【0192】
上述の処理が行われることにより、エレベーターシステム１００の運転中や停止中などに不正な機器の置換又は追加が行われた場合にも、エレベーターシステム１００の起動（再起動）時に、これらの機器が不正な機器であることを特定することができる。
【0193】
［一時的通信経路情報更新処理：任意タイミング、正当性確認処理：乗りかごの出発時］
また、例えば、通信経路生成部４２による一時的通信経路情報更新処理は、任意のタイミングにおいて実行し、正当性確認処理は、乗りかごの出発時に行う形態が考えられる。
また、例えば、通信経路生成部４２による一時的通信経路情報更新処理は、任意のタイミングにおいて実行し、正当性確認処理は、乗りかごの出発時に行う形態が考えられる。
【0194】
一時的通信経路情報更新処理を実行する任意のタイミングには、例えば、受信コントローラ４０が、かごコントローラ１０（図１参照）である場合には、かご停止状態等が挙げられる。また、受信コントローラ４０がフロアコントローラ１１である場合には、呼び登録が完了している状態等が挙げられる。また、受信コントローラ４０がエレベーターコントローラ５である場合には、定速での運転が実行中である状態等が挙げられる。しかし、一時的通信経路情報更新処理の実行に適した運行状態は、これらに限定されない。
【0195】
一時的通信経路情報更新処理の完了後、エレベーターシステム１００の不図示の制御部は、乗りかご７（図１参照）は出発状態にあるか否かを判定する。乗りかご７の出発状態とは、乗りかごの出発が可能となった出発直前の状態を指し、出発直前の状態には、例えば、乗りかご７のドア閉動作中や、ドア閉完了状態等がある。
【0196】
【0197】
このように、任意のタイミングで受信コントローラ４０が一時的通信経路情報を更新しておき、乗りかご７の出発前に正当性確認処理が行われることにより、不正な機器が追加又は置換された状態で、乗りかご７が行先階まで移動してしまうことを防ぐことができる。つまり、不正な機器を用いたエレベーター１５の情報の傍受を防ぐことができる。
【0198】
＜コントローラの正当性が確認できなかった場合の処理の例＞
次に、コントローラ（送信コントローラ３０）の正当性が確認できなかった場合における処理について、いくつか具体例を挙げて説明する。
次に、コントローラ（送信コントローラ３０）の正当性が確認できなかった場合における処理について、いくつか具体例を挙げて説明する。
【0199】
［正当性が確認できなかったコントローラ：２Ｆのフロアコントローラ］
例えば、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理の結果、２Ｆのフロアコントローラ１１（図１参照）の正当性が確認できなかった場合を想定する。この場合、エレベーターコントローラ５は、２Ｆのフロアコントローラ１１を制御対象から除外する等の制御（処理）を行う。具体的には、エレベーターコントローラ５は、２Ｆのフロアコントローラ１１からの通信はフィルタリングにより拒否して、２階におけるサービスの提供を停止する等の制御を行うことができる。
例えば、送信コントローラ３０、受信コントローラ４０及び代理コントローラ５０による正当性確認処理の結果、２Ｆのフロアコントローラ１１（図１参照）の正当性が確認できなかった場合を想定する。この場合、エレベーターコントローラ５は、２Ｆのフロアコントローラ１１を制御対象から除外する等の制御（処理）を行う。具体的には、エレベーターコントローラ５は、２Ｆのフロアコントローラ１１からの通信はフィルタリングにより拒否して、２階におけるサービスの提供を停止する等の制御を行うことができる。
【0200】
このような処理が行われることにより、正当性を確認できないコントローラがエレベーターシステム１００の動作に影響を及ぼすことを防ぐことができる。また、正当性を確認できないコントローラによる制御対象となっているフロア等でのサービスを制限することにより、正常な動作が保障されない状態で利用者にサービスが提供されてしまうことも防ぐことができる。
【0201】
［正当性が確認できなかったコントローラ：かごコントローラ］
また、例えば、正当性確認処理の結果、かごコントローラ１０（図１参照）の正当性が確認できなかった場合を想定する。この場合、エレベーターコントローラ５は、かごコントローラ１０に対する制御内容を変更する。具体的には、エレベーターコントローラ５は、例えば、かごコントローラ１０の制御内容を、少なくとも最寄り階までの運転を可能とする制御内容等に変更する。
また、例えば、正当性確認処理の結果、かごコントローラ１０（図１参照）の正当性が確認できなかった場合を想定する。この場合、エレベーターコントローラ５は、かごコントローラ１０に対する制御内容を変更する。具体的には、エレベーターコントローラ５は、例えば、かごコントローラ１０の制御内容を、少なくとも最寄り階までの運転を可能とする制御内容等に変更する。
【0202】
このような処理が行われることにより、正当性を確認できないコントローラがエレベーターシステム１００の動作に影響を及ぼすことを防ぐことができる。また、例えば、最寄りの行先階までの運転後に該当するエレベーター１５の運転を停止させる等の制御が行われることにより、不正な機器が取り付けられた状態での運転を最小限に留めつつ、不正な機器への対応等の措置を迅速にとることができる。
【0203】
［不正な機器の情報をセンタに報告する例］
次に、正当性確認結果の確認を行ったコントローラが、不正な機器であると判定したコントローラの情報を、センタ１（図１参照）に報告する例について説明する。ここでは、例えば、かごコントローラ１０及び２Ｆのフロアコントローラ１１の正当性が確認されなかった場合を想定する。
次に、正当性確認結果の確認を行ったコントローラが、不正な機器であると判定したコントローラの情報を、センタ１（図１参照）に報告する例について説明する。ここでは、例えば、かごコントローラ１０及び２Ｆのフロアコントローラ１１の正当性が確認されなかった場合を想定する。
【0204】
この場合、エレベーターコントローラ５は、正当性が確認されなかった機器（かごコントローラ１０及び２Ｆのフロアコントローラ１１）について、センタ１（図１参照）に報告する。また、エレベーターコントローラ５は、正当性が確認されなかった機器（かごコントローラ１０及び２Ｆのフロアコントローラ１１）の制御内容を変更する。なお、センタ１に報告する処理と、制御内容を変更する処理とは、ほぼ同時に行われてもよく、時間的に逆に行われてもよい。
【0205】
このような処理が行われることにより、正当性を確認できなかったコントローラについての情報をセンタ１で収集することが可能となる。そして、当該情報をセンタ１で収集することにより、正当性が確認できなかったコントローラの種別の情報等に基づいて、センタ１において保守作業の計画を立案したり、対策方法を検討したりすることが可能となる。保守作業の計画としては、例えば、コントローラの種別に応じた保守員による現場点検の実施の計画等が考えられる。
【0206】
なお、上述した実施形態は本発明を分かりやすく説明するために装置及びシステムの構成を詳細且つ具体的に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
【0207】
また、図１～図３において実線で示した制御線又は情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【0208】
また、本明細書において、時系列的な処理を記述する処理ステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理（例えば、並列処理あるいはオブジェクトによる処理）をも含むものである。
【0209】
さらに、上述した本発明の一実施形態にかかるエレベーターシステムの各構成要素は、それぞれのハードウェアがネットワークを介して互いに情報を送受信できるならば、いずれのハードウェアに実装されてもよい。また、ある処理部により実施される処理が、１つのハードウェアにより実現されてもよいし、複数のハードウェアによる分散処理により実現されてもよい。
【符号の説明】
【0210】
３…通信コントローラ、４…群管理コントローラ、５…エレベーターコントローラ、１０…かごコントローラ、１１…フロアコントローラ、１５…エレベーター、３０…送信コントローラ、３１…一時的通信経路情報記憶部、３１…通信部、３２…Ｎｏ判定部、３３…データ演算部、３４…通信部、４０…受信コントローラ、４１…一時的通信経路情報記憶部、４２…通信経路生成部、４３…Ｎｏ判定部、４４…データ生成部、４５…データ演算部、４６…演算データ比較部、４７…通信部、５０…代理コントローラ、５１…一時的通信経路情報記憶部、５２…Ｎｏ判定部、５３…データ演算部、５４…通信部、１００…エレベーターシステム
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】