(57)【要約】【課題】不正アクセスによるメモリ書換え操作を防止して、エレベータの運転サービスを止めずに対処する。【解決手段】操作端末１２の接続によりメモリ書換えモードが設定された際に、エレベータ制御装置１は、操作端末１２を操作する操作者の認証コードを取得して監視センタ１１に送り、監視センタ１１に予め登録された認証コードと照合する。そして、当該操作者の認証コードを照合できた場合には操作端末１２からのアクセスによるメモリ書換え操作を許可し、当該操作者の認証コードを照合できなかった場合には操作端末１２からのアクセスによるメモリ書換え操作を禁止する。【選択図】      図１
2011190095.tif 000002
【特許請求の範囲】
【請求項１】
エレベータの運転を制御するための制御データが記憶されたメモリを備えたエレベータの制御装置において、
操作端末の接続により、上記メモリ内の制御データを変更するためのメモリ書換えモードが設定された際に、上記操作端末を操作する操作者の認証コードを取得する認証コード取得手段と、
この認証コード取得手段によって取得された上記操作者の認証コードを監視センタに送り、上記監視センタに予め登録された認証コードと照合する第１の認証手段と、
この第１の認証手段によって当該操作者の認証コードを照合できた場合には上記操作端末からのアクセスによるメモリ書換え操作を許可し、当該操作者の認証コードを照合できなかった場合には上記操作端末からのアクセスによるメモリ書換え操作を禁止するメモリ書換え制御手段と
を具備したことを特徴とするエレベータの制御装置。
【請求項２】
上記認証コードは、上記監視センタ側で定期的に変更されていることを特徴とする請求項１記載のエレベータの制御装置。
【請求項３】
上記操作端末を操作する操作者を撮影する撮影手段と、
この撮影手段によって撮影された画像データを上記監視センタに送り、上記監視センタに予め登録された画像データと照合する第２の認証手段とを備え、
上記メモリ書換え制御手段は、
上記第１の認証手段によって当該操作者の認証コードが照合でき、かつ、上記第２の認証手段によって当該操作者の画像データが照合できた場合に上記操作端末からのアクセスによるメモリ書換え操作を許可し、どちらか一方でも照合できなかった場合には上記操作端末からのアクセスによるメモリ書換え操作を禁止することを特徴とする請求項１記載のエレベータの制御装置。
【請求項４】
メモリ書換え操作が許可された操作者の画像データをその操作者の認証コードと共に認証データとして記憶する記憶手段を備え、
上記第２の認証手段は、
第１の画像認証モードが設定されている場合には、上記撮影手段によって撮影された画像データを上記記憶手段に記憶された認証データに含まれる画像データと照合し、第２の画像認証モードが設定されている場合には、上記撮影手段によって撮影された画像データを上記監視センタに送り、上記監視センタに予め登録された画像データと照合することを特徴とする請求項３記載のエレベータの制御装置。
【請求項５】
上記記憶手段に記憶された各操作者の認証データを定期的にチェックし、その中で認証行為が一定期間以上なかった操作者の認証データを消去する認証データ消去手段を具備したことを特徴とする請求項４記載のエレベータの制御装置。
【請求項６】
上記メモリ書換え制御手段によってメモリ書換え操作が禁止された場合に、上記メモリ書換えモードを解除して通常の運転モードに切り替えるモード切替え手段を具備したことを特徴とする請求項１記載のエレベータの制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、操作端末からのアクセスにより、メモリに記憶された制御データを変更可能なエレベータの制御装置に関する。
【背景技術】
【０００２】
エレベータの制御装置には、エレベータの運転を制御するための制御データなどを含む重要なデータが記憶されている。これらのデータは、保守用の端末装置やエレベータの監視センタから通信回線を通じて書き換え可能である。
【０００３】
しかし、第三者からの不正アクセスによりデータが書き換えられることがある。この場合、エレベータ制御の基本となるデータまで書き換えられてしまうと、エレベータが予期せぬ動作して危険な状態となる。また、制御データには、保守契約で有料サービスとなるような特別なオペレーションを実行させるためのフラグを含んでいる。このフラグが勝手に変更されると、契約上の問題が生じるだけでなく、本来、その物件の仕様でないオペレーションが実行されるために非常に危険な状態となる。
【０００４】
このような問題に対し、アクセス時に認証用のデータを確認することで、正当なアクセスかどうかを判断し、不正アクセスであった場合にエレベータの運転を停止させる方法が提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−５６６７６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記のような方法であっても、認証データが他人に渡れば、不正にアクセスできてしまう。また、不正アクセスを検出したときにエレベータの運転を止めた場合に、保守員が復旧作業に来るまでの間、運転サービスを行えず、利用者に迷惑をかけてしまう。
【０００７】
本発明は上記のような点に鑑みなされたもので、不正アクセスによるメモリ書換え操作を防止して、エレベータの運転サービスを止めずに対処することのできるエレベータの制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るエレベータの運転を制御するための制御データが記憶されたメモリを備えたエレベータの制御装置において、操作端末の接続により、上記メモリ内の制御データを変更するためのメモリ書換えモードが設定された際に、上記操作端末を操作する操作者の認証コードを取得する認証コード取得手段と、この認証コード取得手段によって取得された上記操作者の認証コードを監視センタに送り、上記監視センタに予め登録された認証コードと照合する第１の認証手段と、この第１の認証手段によって当該操作者の認証コードを照合できた場合には上記操作端末からのアクセスによるメモリ書換え操作を許可し、当該操作者の認証コードを照合できなかった場合には上記操作端末からのアクセスによるメモリ書換え操作を禁止するメモリ書換え制御手段とを具備したことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、不正アクセスによるメモリ書換え操作を防止して、エレベータの運転サービスを止めずに対処することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は本発明の一実施形態に係るエレベータシステムの構成を示す図である。
【図２】図２は同実施形態におけるエレベータ制御装置に設けられた制御部とメモリの構成と操作端末の構成を示す図である。
【図３】図３は同実施形態における監視センタに設けられたデータベースの一例を示す図である。
【図４】図４は同実施形態におけるエレベータ制御装置によるメモリ書換え時の処理動作を示すフローチャートである。
【図５】図５は同実施形態におけるエレベータ制御装置によるメモリ書換え時の処理動作を示すフローチャートである。
【図６】図６は同実施形態におけるエレベータ制御装置による認証データの自動消去処理を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下、図面を参照して本発明の実施形態を説明する。
【００１２】
図１は本発明の一実施形態に係るエレベータシステムの構成を示す図であり、ビル内に１台のエレベータ（乗りかご）が設置されて、各階床間を運転サービスする構成が示されている。
【００１３】
エレベータ制御装置１は、エレベータ全体の制御を行う制御部２１と、各データを記憶したメモリ２２と、監視センタ１１との間でデータ通信を行うための通信部２３とを備える。
【００１４】
制御部２１は、巻上機のモータ２を回転駆動する。このモータ２の回転に伴い、ロープ３を介して乗りかご４とカウンタウェイト５がつるべ式に昇降動作する。
【００１５】
乗りかご４内には、行先階ボタン、戸開閉ボタンを含む操作ボタン、表示器などを備えたかご操作盤６が設置されている。各階の乗り場７ａ，…７ｎには、乗り場呼びボタンや表示器などを備えた乗り場操作盤８ａ，…８ｎが設置されている。これらの操作盤６、８ａ，…８ｎは、制御部２１に接続されている。
操作端末１２は、保守員がエレベータの保守点検を行うときに使う端末装置である。エレベータ制御装置１の近傍にて、この操作端末１２にエレベータ制御装置１に接続してメモリの書換え（詳しくは、メモリに記憶されたデータの書換え）を行う。
【００１６】
なお、乗りかご４内から図示せぬコネクタを介して操作端末１２をエレベータ制御装置１に接続することも可能である。その他、各階の乗り場７ａ，…７ｎから操作端末１２をエレベータ制御装置１に接続できるような構成にしても良い。
【００１７】
エレベータ制御装置１の近傍には、操作端末１２を用いてメモリの書換え操作を行っている操作者を撮影するためのカメラ１３が設置されている。なお、カメラ１３として、乗りかご４内に設置された防犯カメラを利用することでも良い。また、各階の乗り場７ａ，…７ｎで操作端末１２をエレベータ制御装置１に接続可能な構成とした場合には、各階の乗り場７ａ，…７ｎにカメラ１３を設置しておくものとする。
【００１８】
図２はエレベータ制御装置１に設けられた制御部２１とメモリ２２の構成と操作端末１２の構成を示す図である。
【００１９】
制御部２１は、エレベータの運転制御や表示制御を行う主制御部３１と、メモリ２２に対するデータ読み込み／書き込みを行うメモリ制御部３２と、カメラ１３で撮影された画像データを解析処理する画像認証部３３とからなる。
【００２０】
メモリ２２には、エレベータの運転を制御するための制御データ４０が記憶されている。この制御データ４０には、物件毎に保守契約された特殊なオペレーションを実行させるためのフラグを含んでいる。また、このメモリ２２には、各保守員を認証するための認証コードと画像データとからなる認証データ４１が記憶されている。
【００２１】
操作端末１２は、各種のスイッチやキーや表示器などからなる操作部５１と、メモリ書換え用の更新データを記憶した着脱可能な記憶部５２と、メモリ書換えのための制御を行う制御部５３とからなる。
【００２２】
制御部５３は、操作部５１によるメモリ書換え操作に従って、記憶部５２に記憶された更新データをエレベータ制御装置１に出力したり、メモリ書換え操作に対する結果を操作部５１に表示する。また、制御部５３は、カメラ１３を起動するための起動制御信号を出力し、カメラ１３にて撮影された操作者の画像データをメモリ制御部３２に転送するなどの制御を行う。
【００２３】
また、監視センタ１１は、遠隔地に存在し、通信回線１０を介してエレベータの動作を遠隔監視している。なお、図１では、監視センタ１１に１台のエレベータしか接続されていないが、実際には各物件のエレベータが通信回線１０を介して接続されており、何らかの異常を検出した場合に保守員を現場に派遣するなどして対処している。
【００２４】
監視センタ１１は、保守員管理用のデータベース１１ａを備えている。図３に示すように、このデータベース１１ａには、保守員を識別するためのＩＤ、保守員の氏名、所属、端末ＩＤ（操作端末１２に付けられたＩＤ）などの他に、ここでは保守員を認証するための認証データが登録されている。認証データは、保守員の認証コードとその保守員を撮影して得た画像データとからなる。
【００２５】
次に、本実施形態の動作を説明する。  
図４および図５はエレベータ制御装置１によるメモリ書換え時の処理動作を示すフローチャートである。
【００２６】
メモリ書換え操作は、エレベータの運転を停止させた状態で行う。保守員は、エレベータ制御装置１の近傍または乗りかご４内などに操作端末１２を持ち込み、エレベータ制御装置１に接続した後（ステップＳ１１）、所定の操作によりメモリ書換えモードを設定する（ステップＳ１２）。
【００２７】
メモリ書換えモードが設定されると、エレベータ制御装置１の主制御部３１は、操作端末１２からその操作者に固有の認証コードを取得する（ステップＳ１３）。この認証コードは、保守員のＩＤや保守員が持つ携帯電話の番号など、保守員以外には知りえない情報とする。また、監視センタ１１側でランダムに発行した認証コードを使用することでも良い。この場合、監視センタ１１側で認証コードを定期的に変更して、常に最新の認証コードを用いて操作者を認証する構成とすれば、認証コードが盗まれたとしても不正アクセスを防ぐことができる。
【００２８】
主制御部３１は、操作端末１２から取得した操作者の認証コードを通信部２３を通じて監視センタ１１に送って照合要求を出す（ステップＳ１４）。照合要求を受けた監視センタ１１では、図３に示したデータベース１１ａを参照して、主制御部３１から送られてきた認証コードをデータベース１１ａ内に登録された保守員の認証コードと照合し、その結果を要求元に返す。
【００２９】
ここで、操作者の認証コードがデータベース１１ａに登録されている保守員の認証コードと一致しなかった場合には（ステップＳ１５のＮｏ）、主制御部３１は、例えば「認証コードが一致しません。メモリ書換え操作を禁止します。」といった旨の禁止メッセージを操作端末１２に出力するなどした後（ステップＳ１６）、メモリ書換えモードを解除して、通常の運転モードに切り替える（ステップＳ２５）。
【００３０】
一方、操作端末１２から送られてきた認証コードがデータベース１１ａに登録されている保守員の認証コードと一致した場合には（ステップＳ１５のＹｅｓ）、主制御部３１は、画像認証モードが設定されているか否かを判断する（ステップＳ１７）。この画像認証モードは、上記認証コードとは別に画像データを用いて操作者を認証するためのモードであり、常に設定されていても良いし、その都度、操作端末１２から特定の信号を送って適宜設定することでも良い。
【００３１】
画像認証モードが非設定の場合（ステップＳ１７のＹｅｓ）、主制御部３１は、認証コードによる認証結果のみでメモリ書換え操作を許可する（ステップＳ１８）。この場合、例えば「認証コードが一致しました。メモリ書換え操作を許可します。」といった旨の許可メッセージを操作端末１２に出力する。
【００３２】
そして、主制御部３１は、操作端末１２からメモリ書換え用の更新データを受信すると、これをメモリ制御部３２に渡して、メモリ２２に現在記憶されている制御データ４０の書き換えを行わせる（ステップＳ２０）。
【００３３】
ここで、メモリ書換え操作が許可された操作者（つまり認証コードによって正規の保守員として認証された操作者）の画像データをエレベータ制御装置１に登録しておくことができる。この場合、操作端末１２から特定の信号を主制御部３１に送って画像登録モードを設定すると共に（ステップＳ２１のＹｅｓ）、所定の操作により操作端末１２からカメラ１３を起動するための起動制御信号を出力する（ステップＳ２２）。
【００３４】
これにより、カメラ１３が起動されて、その近くにいる操作者が撮影される（ステップＳ２３）。この場合、操作者を特定できるように、操作者の顔を中心として撮影が行われるものとする。
【００３５】
撮影によって得られた操作者の画像データは、メモリ制御部３２に転送される。メモリ制御部３２では、この操作者の画像データを上記ステップＳ１３で受信した認証コードと共に正規の保守員の認証データ４１としてメモリ２２に登録する（ステップＳ２４）。これにより、以後、画像認証を行う場合に監視センタ１１に照合要求を出さなくとも、エレベータ制御装置１内で対応することができる（後述するステップＳ２８，Ｓ２９参照）。
【００３６】
このようにして、メモリ書換え操作が完了すると、主制御部３１はメモリ書換えモードを解除して、通常の運転モードに切り替える（ステップＳ２５）。
【００３７】
一方、上記ステップＳ１７において、画像認証モードが設定されていた場合には、所定の操作により操作端末１２からカメラ１３の起動制御信号を出力して（ステップＳ２６）、カメラ１３により操作者を撮影する（ステップＳ２７）。
【００３８】
ここで、画像認証モードには、メモリ２２に登録された画像データを用いて内部的に認証を行う第１の画像認証モードと、監視センタ１１に登録された画像データを用いて遠隔的に認証を行う第２の画像認証モードとがあり、そのどちらかを任意選択的に設定できる。
【００３９】
第１の画像認証モードが設定されていた場合（ステップＳ２８のＹｅｓ）、主制御部３１は、操作者の認証コードに基づいてメモリ２２から該当する画像データを読み出し、上記カメラ１３によって撮影された画像データと共に画像認証部３３に渡して照合する（ステップＳ２９）。
【００４０】
その結果、両者の画像データが一致した場合には（ステップＳ３０のＹｅｓ）、主制御部３１は、メモリ書換え操作を許可する（ステップＳ３１）。この場合、例えば「認証コードと画像データが一致しました。メモリ書換え操作を許可します。」といった旨の許可メッセージを操作端末１２に出力する。
【００４１】
以後は、操作端末１２からメモリ書換え用の更新データを受信することにより、メモリ制御部３２を通じてメモリ２２に現在記憶されている制御データ４０の書き換えを実行する（ステップＳ２０）。
【００４２】
また、両者の画像データが一致しなかった場合には（ステップＳ３０のＹｅｓ）、主制御部３１は、メモリ書換え操作を禁止する（ステップＳ３４）。この場合、「画像データが一致しません。メモリ書換え操作を禁止します。」といった旨の禁止メッセージを操作端末１２に出力した後、メモリ書換えモードを解除して、通常の運転モードに切り替える（ステップＳ２５）。
【００４３】
一方、第２の画像認証モードが設定されていた場合には（ステップＳ２８のＮｏ）、主制御部３１は、上記カメラ１３によって撮影された画像データを上記認証コードと共に通信部２３を通じて監視センタ１１に送って照合要求を出す（ステップＳ３２）。
【００４４】
照合要求を受けた監視センタ１１では、図３に示したデータベース１１ａを参照して、主制御部３１から送られてきた画像データをデータベース１１ａ内に上記認証コードと共に登録された保守員の画像データと照合し、その結果を要求元のエレベータ制御装置１に返す。
【００４５】
照合の結果、上記カメラ１３によって撮影された画像データがデータベース１１ａに登録されている保守員の画像データと一致した場合には（ステップＳ３３のＹｅｓ）、主制御部３１は、メモリ書換えを許可する（ステップＳ３１）。この場合、例えば「認証コードと画像データが一致しました。メモリ書換え操作を許可します。」といった旨の許可メッセージを操作端末１２に出力する。
【００４６】
以後は、操作端末１２からメモリ書換え用の更新データを受信することにより、メモリ制御部３２を通じてメモリ２２に現在記憶されている制御データ４０の書き換えを実行する（ステップＳ２０）。
【００４７】
また、両者の画像データが一致しなければ（ステップＳ３３のＮｏ）、主制御部３１は、メモリ書換えを禁止する（ステップＳ３１）。この場合、「画像データが一致しません。メモリ書換え操作を禁止します。」といった旨の禁止メッセージを操作端末１２に出力した後、メモリ書換えモードを解除して、通常の運転モードに切り替える（ステップＳ２５）。
【００４８】
以上のように、監視センタ１１側で管理された認証コードを用いて操作者を認証することで、不正アクセスによりメモリが書き換えられ、エレベータが誤動作することを防ぐことができる。また、認証コードに加え、画像データによる認証を併用することで、セキュリティを強化でき、たとえ認証コードが盗まれたとしても、不正アクセスを確実に防ぐことができる。
【００４９】
また、不正アクセスがあった場合にはメモリ書換え操作が禁止され、メモリ書換えモードを解除して、通常の運転モードに切り替えられるので、制御データ４０を保護して、エレベータの運転サービスをそのまま継続して行うことができる。
【００５０】
次に、メモリ２２に記憶された各保守員の認証データ４１を自動消去するための処理について説明する。
【００５１】
図６はエレベータ制御装置１による認証データの自動消去処理を示すフローチャートである。エレベータ制御装置１に設けられたメモリ２２には、各保守員の認証データ４１が記憶されている。上述したように、この認証データ４１は認証コードと画像データとからなる。ここで、認証データ４１の安全性を確保するため、主制御部３１では、一定の期間毎（例えば１ヶ月毎）に以下のような自動消去処理を実行する。
【００５２】
すなわち、まず、主制御部３１は、チェック対象とする保守員のデータＮｏを初期値１に設定する（ステップＳ１０１）。そして、主制御部３１は、データＮｏ１に対応する認証データ４１（つまり、Ｎｏ１の保守員を認証するための認証データ４１）がメモリ２２に記憶されているか否かを判断する（ステップＳ１０２）。
【００５３】
該当する認証データ４１が存在した場合（ステップＳ１０２のＹｅｓ）、主制御部３１は、その保守員による認証行為が一定期間以上なかったか否かを判断する（ステップＳ１０３）。一定期間以上の認証行為がなかった場合（ステップＳ１０３のＹｅｓ）、主制御部３１は、メモリ２２から当該保守員の認証データ４１を消去する（ステップＳ１０４）。
【００５４】
以後同様にして、主制御部３１は、データＮｏを＋１ずつ更新しながら、認証行為が一定期間以上なかった保守員の認証データ４１をメモリ２２から消去していく（ステップＳ１０５のＮｏ）。そして、最終データまでチェックすると（ステップＳ１０５のＹｅｓ）、ここでの消去処理を終了する。
【００５５】
このように、メモリ２２に記憶された各保守員の認証データ４１を定期的にチェックし、その中で認証行為が一定期間以上なかった保守員の認証データ４１を消去することで、例えば保守の資格を失った元保守員が現場に来て、エレベータ制御装置１に不正にアクセスするようなことがあっても、それを未然に防ぐことができる。
【００５６】
なお、上記実施形態では、認証コードによる認証の後にモードの設定に応じて画像データによる認証を行うものとしたが、画像データによる認証を行い、その後でモードの設定モードに応じて認証コードによる認証を行うような構成であっても良い。
【００５７】
要するに、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【符号の説明】
【００５８】
１…エレベータ制御装置、２…モータ、３…ロープ、４…乗りかご、５…カウンタウェイト、６…かご操作盤、７ａ〜７ｎ…乗り場、８ａ〜８ｎ…乗り場操作盤、１０…通信回線、１１…監視センタ、１１ａ…データベース、１２…操作端末、１３…カメラ、２１…制御部、２２…メモリ、２３…通信部、３１…主制御部、３２…メモリ制御部、３３…画像認証部、４０…制御データ、４１…認証データ、５１…操作部、５２…記憶部、５３…制御部。
【図１】
2011190095.tif 000003
【図２】
2011190095.tif 000004
【図３】
2011190095.tif 000005
【図４】
2011190095.tif 000006
【図５】
2011190095.tif 000007
【図６】
2011190095.tif 000008