(57)【要約】      （修正有）【課題】リモート操作に対する承認条件をより柔軟に定義できるようにする承認制御方法を提供する。【解決手段】リモート操作に関する承認制御方法は、リモート操作に係る承認依頼通知を受信するステップと、リモート操作に係る要求映像を受信するステップと、複数の承認者端末に、リモート操作に係る承認依頼通知および要求映像を送信するステップと、各承認者端末から、承認通知または非承認通知を受信するステップと、承認者端末の数が端末数閾値Ｎ以上であり、かつ、承認通知の数が承認数閾値Ｍ以上であることを必要条件として、操作者端末によるリモート操作を許可する許可ステップとを備える。【選択図】図７
2017091304.tif 000002
【特許請求の範囲】
【請求項１】
リモート操作に関する承認制御方法であって、
前記リモート操作に係る承認依頼通知を受信するステップと、
前記リモート操作に係る要求映像を受信するステップと、
複数の承認者端末に、前記リモート操作に係る承認依頼通知を送信するステップと、
複数の承認者端末に、前記要求映像を送信するステップと、
各前記承認者端末から、承認通知または非承認通知を受信するステップと、
前記承認者端末の数が端末数閾値以上であり、かつ、前記承認通知の数が承認数閾値以上であることを必要条件として、前記操作者端末による前記リモート操作を許可する許可ステップと、
を備える、方法。
【請求項２】
前記非承認通知は、禁止通知または非禁止通知とすることができ、
前記方法は、少なくとも１つの前記禁止通知を受信した場合に、前記リモート操作を禁止するステップをさらに備える、
請求項１に記載の方法。
【請求項３】
前記承認依頼通知は、前記リモート操作の内容を特定する操作識別情報を含み、
前記方法は、前記操作識別情報に応じて前記端末数閾値または前記承認数閾値を決定するステップをさらに備える、
請求項１または２に記載の方法。
【請求項４】
前記承認依頼通知は、前記操作者端末を特定する端末識別情報を含み、
前記方法は、前記端末識別情報に応じて前記端末数閾値または前記承認数閾値を決定するステップをさらに備える、
請求項１〜３のいずれか一項に記載の方法。
【請求項５】
前記許可ステップを実行した後に前記リモート操作の操作内容を表す操作映像を受信するステップと、
前記承認者端末に、前記操作映像を送信するステップと、
前記許可ステップを実行した後、前記承認者端末の数が端末数閾値未満となった場合または前記承認通知の数が承認数閾値未満となった場合に、前記操作者端末による前記リモート操作を禁止するステップとをさらに備える、
請求項１〜４のいずれか一項に記載の方法。
【請求項６】
前記承認者端末は、第１レベル承認者端末または第２レベル承認者端末とすることができ、
前記許可ステップは、
‐前記第１レベル承認者端末の数が第１レベル用端末数閾値以上であり、
‐前記第１レベル承認者端末から受信した前記承認通知の数が第１レベル用承認数閾値以上であり、
‐前記第２レベル承認者端末の数が第２レベル用端末数閾値以上であり、かつ
‐前記第２レベル承認者端末から受信した前記承認通知の数が第２レベル用承認数閾値以上である
ことを必要条件として、前記操作者端末による前記リモート操作を許可する許可ステップである、
請求項１〜５のいずれか一項に記載の方法。
【請求項７】
請求項１〜６のいずれか一項に記載の方法を実行する、承認制御システム。
【請求項８】
コンピュータに、請求項１〜６のいずれか一項に記載の方法を実行させる承認制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リモート操作に関する承認の制御に関する。
【背景技術】
【０００２】
通信ネットワークを介した機器のリモート（遠隔）操作に関し、特定の承認者による承認を得るための構成が公知である。たとえば、工場の製造ライン等に対するリモートメンテナンス作業を実施する際に、承認者が使用するコンピュータと通信して承認処理を行うことが可能である。このような構成の例は、特許文献１に記載される。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−１０００８７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のシステムでは、リモート操作に対する承認条件を柔軟に定義できないという問題があった。
【０００５】
たとえば特許文献１のシステムでは、ただ一人の承認者に承認権限が集中しており、複数人に権限を分散させて管理することができない。
【０００６】
この発明は、このような問題点を解決するためになされたものであり、リモート操作に対する承認条件をより柔軟に定義できるようにする承認制御方法、承認制御システムおよび承認制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述の問題点を解決するため、この発明に係るリモート操作に関する承認制御方法は、
前記リモート操作に係る承認依頼通知を受信するステップと、
前記リモート操作に係る要求映像を受信するステップと、
複数の承認者端末に、前記リモート操作に係る承認依頼通知を送信するステップと、
複数の承認者端末に、前記要求映像を送信するステップと、
各前記承認者端末から、承認通知または非承認通知を受信するステップと、
前記承認者端末の数が端末数閾値以上であり、かつ、前記承認通知の数が承認数閾値以上であることを必要条件として、前記操作者端末による前記リモート操作を許可する許可ステップと、
を備える。
前記非承認通知は、禁止通知または非禁止通知とすることができ、
前記方法は、少なくとも１つの前記禁止通知を受信した場合に、前記リモート操作を禁止するステップをさらに備えてもよい。
前記承認依頼通知は、前記リモート操作の内容を特定する操作識別情報を含み、
前記方法は、前記操作識別情報に応じて前記端末数閾値または前記承認数閾値を決定するステップをさらに備えてもよい。
前記承認依頼通知は、前記操作者端末を特定する端末識別情報を含み、
前記方法は、前記端末識別情報に応じて前記端末数閾値または前記承認数閾値を決定するステップをさらに備えてもよい。
前記許可ステップを実行した後に前記リモート操作の操作内容を表す操作映像を受信するステップと、
前記承認者端末に、前記操作映像を送信するステップと、
前記許可ステップを実行した後、前記承認者端末の数が端末数閾値未満となった場合または前記承認通知の数が承認数閾値未満となった場合に、前記操作者端末による前記リモート操作を禁止するステップとをさらに備えてもよい。
前記承認者端末は、第１レベル承認者端末または第２レベル承認者端末とすることができ、
前記許可ステップは、
‐前記第１レベル承認者端末の数が第１レベル用端末数閾値以上であり、
‐前記第１レベル承認者端末から受信した前記承認通知の数が第１レベル用承認数閾値以上であり、
‐前記第２レベル承認者端末の数が第２レベル用端末数閾値以上であり、かつ
‐前記第２レベル承認者端末から受信した前記承認通知の数が第２レベル用承認数閾値以上である
ことを必要条件として、前記操作者端末による前記リモート操作を許可する許可ステップであってもよい。
また、この発明に係る承認制御システムは、上述の方法を実行する。
また、この発明に係る承認制御プログラムは、コンピュータに上述の方法を実行させる。
【発明の効果】
【０００８】
この発明に係る承認制御方法、承認制御システムおよび承認制御プログラムによれば、承認者端末の数および承認通知の数にそれぞれ閾値を設定することにより、リモート操作に対する承認条件をより柔軟に定義することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施の形態１に係る承認制御システムを含む構成の例を示す図である。
【図２】図１の承認制御装置の構成の例を示す図である。
【図３】実施の形態１に係る承認条件データの構成の例を示す図である。
【図４】図１のＴＶ会議参加端末に表示されるＴＶ会議画面の例を示す図である。
【図５】図１の承認制御システム等による処理の流れを説明するフローチャートの一部である。
【図６】図１の承認制御システム等による処理の流れを説明するフローチャートの一部である。
【図７】図１の承認制御システム等による処理の流れを説明するフローチャートの一部である。
【図８】図１の承認者端末に表示される回答入力画面の例を示す図である。
【図９】実施の形態２に係る承認条件データの構成の例を示す図である。
【図１０】実施の形態２に係る承認権限レベルデータの構成の例を示す図である。
【発明を実施するための形態】
【００１０】
以下、この発明の実施の形態を添付図面に基づいて説明する。
実施の形態１．
図１に、本発明の実施の形態１に係る承認制御システム１０を含む構成の例を示す。承認制御システム１０は、ＴＶ会議装置１１および承認制御装置１２を備え、以下に記載するように、リモート操作に関する承認制御方法を実行する。
【００１１】
本明細書において、「リモート操作」とは、リモートで（すなわち遠隔で、または通信ネットワークを経由して）行われる操作のことをいう。操作はたとえば機器等のメンテナンス操作であるが、他の操作（制御、管理、等に係る操作）であってもよい。
【００１２】
ＴＶ会議とは、たとえば、ＴＶ会議装置１１を介して、そのＴＶ会議に参加している複数のコンピュータ（ＴＶ会議参加端末）間で、映像（静止画または動画。音声を含んでもよい。以下同じ）を送受信することにより、各コンピュータを使用する利用者間の意思疎通を実現または支援することをいう。ＴＶ会議参加端末は、そのような映像の送受信または再生を行うコンピュータであり、１つ以上の操作者端末２０と、複数の承認者端末３０とを含む。操作者端末２０および各承認者端末３０は、たとえばすべて地理的に分散して配置されるが、そのような構成に限られない。
【００１３】
操作者端末２０は、１つ以上の制御対象機器（図１の例では工場の製造ライン４１等）に対してリモート操作を行うためのコンピュータである。リモート操作は、製造ライン制御システム４０を介して行われる。たとえば、製造ライン４１のメンテナンス担当者は、操作者端末２０において適切な操作を行い、製造ライン制御システム４０に要求を伝達することにより、製造ライン４１に対して所望のメンテナンス作業を実施することができるように構成されている。
【００１４】
また、操作者端末２０にはカメラ２１が接続される。カメラ２１は、操作に応じて映像を撮影し、操作者端末２０に送信する機能を備える。メンテナンス担当者は、操作者端末２０においてメンテナンス作業を実施する様子をカメラ２１によって撮影し、映像データとして取得することができる。カメラ２１は操作者端末２０に一体化されていてもよく、その場合には操作者端末２０はタブレット型のスマートデバイスであってもよい。
【００１５】
承認者端末３０は、製造ライン４１に対するリモート操作について承認を与える処理を行うためのコンピュータである。たとえば、製造ライン４１に対するリモート操作について承認者が複数存在する場合に、各承認者について承認者端末３０を１つずつ設けることができる。図８等に関連して後述するように、承認者は、承認者端末３０において適切な操作を行うことにより、製造ライン４１に対する操作者端末２０からのリモート操作を許可または禁止等することができる。
【００１６】
承認制御システム１０、操作者端末２０、承認者端末３０および製造ライン制御システム４０は、いずれも通信ネットワークＣに接続され、通信ネットワークＣを介して互いに通信可能である。通信ネットワークＣはたとえばインターネットであるが、他の通信ネットワークであってもよい。
【００１７】
図２に、承認制御システム１０の一部を構成する承認制御装置１２の構成の例を示す。承認制御装置１２はコンピュータとしての構成を含み、演算を行う演算手段５０と、情報を格納する記憶手段５１とを備える。また、とくに図示しないが、使用者の操作を受け付ける入力手段と、情報を出力する出力手段と、外部の通信ネットワークに対し情報の入出力を行う通信手段とを備える。
【００１８】
演算手段５０はたとえばＣＰＵ（中央処理装置）を含み、記憶手段５１はたとえば半導体メモリおよびＨＤＤ（ハードディスクドライブ）等の記憶媒体を含む。入力手段はたとえばキーボードおよびマウスを含む。出力手段はたとえば液晶ディスプレイ、スピーカおよびプリンタを含む。通信手段はたとえばネットワークインタフェース装置または無線インタフェース装置を含む。
【００１９】
承認制御装置１２の記憶手段５１は、承認条件データ５２を記憶する。また、記憶手段５１は図示しない承認制御プログラムを格納する。この承認制御プログラムは、本明細書に記載される方法をコンピュータに実行させることにより、当該コンピュータを承認制御装置１２として機能させる。すなわち、演算手段５０がこの承認制御プログラムを実行することにより、承認制御装置１２は本明細書に記載される機能を実現する。
【００２０】
ＴＶ会議装置１１、操作者端末２０、承認者端末３０および製造ライン制御システム４０も同様に、コンピュータとしての構成を含む。また、ＴＶ会議装置１１、操作者端末２０、承認者端末３０および製造ライン制御システム４０の記憶手段は、それぞれコンピュータをＴＶ会議装置１１、操作者端末２０、承認者端末３０および製造ライン制御システム４０として機能させるプログラムを格納する。各コンピュータの演算手段がそれぞれのプログラムを実行することにより、ＴＶ会議装置１１、操作者端末２０、承認者端末３０および製造ライン制御システム４０は本明細書に記載される機能を実現する。これらのプログラムは、承認制御プログラムの一部を構成してもよく、承認制御プログラムと協働する独立したプログラムであってもよい。
【００２１】
図３に、承認条件データ５２の構成の例を示す。承認条件データ５２は、承認対象となるリモート操作（承認対象操作）のそれぞれについて、操作を実行するために必要な承認条件を関連付ける。承認対象操作は、たとえば操作者端末２０を特定する操作者端末識別情報と、実行されるべきリモート操作の内容を特定する操作識別情報との組によって表される。
【００２２】
操作端末識別情報は、たとえば操作者端末２０を使用しているメンテナンス担当者のユーザ名である。図１の例では、すべてのメンテナンス担当者が同一の操作者端末２０を共用するよう構成されてもよく、その場合にはログイン処理等によってユーザ名を特定してもよい。また、複数の操作者端末２０を設けてもよく、その場合には操作者端末２０ごとに操作者端末識別情報を設定してもよいし、ログイン処理等によってユーザ名を特定してもよい。
【００２３】
操作識別情報は、製造ライン制御システム４０または製造ライン４１に対するリモート操作を表す。リモート操作の例は、製造ライン制御システム４０または製造ライン４１に対するログイン処理、製造ライン４１に対する操作に用いるインタフェース画面を操作者端末２０に表示する処理、製造ライン４１に対する特定の操作を実行する処理、製造ライン４１に対する特定の操作を開始する処理、製造ライン４１に対する特定の操作を停止する処理、等である。
【００２４】
承認条件は、必要な承認者端末数と、必要な承認通知数との組によって表される。「承認者端末数」とは、たとえば、あるリモート操作に対する承認処理に関するＴＶ会議に参加している承認者端末３０の数をいう。この数は、たとえばＴＶ会議装置１１がＴＶ会議に関する映像を送信している承認者端末３０の数として計測することができるが、これを計測する基準は当業者が任意に設計してもよい。また、「必要な承認者端末数」とは、あるリモート操作を許可するために要求される承認者端末数の最低閾値をいう。図３の例では、ユーザＡが製造ライン制御システム４０にログインするためには、最低５台の承認者端末３０がＴＶ会議に参加している必要がある。
【００２５】
承認通知数とは、たとえば、あるリモート操作に対して承認制御装置１２が承認者端末３０から受信した承認通知の数（または、受信した後取り消されていない承認通知の数）をいう。また、「必要な承認通知数」とは、あるリモート操作を許可するために要求される承認通知数の最低閾値をいう。図３の例では、ユーザＡが製造ライン制御システム４０にログインするためには、最低３台の承認者端末３０が承認制御装置１２に承認通知を送信する必要がある。
【００２６】
以下、リモート操作を許可するために必要な承認者端末数（端末数閾値）を変数Ｎで表し、必要な承認通知数（承認数閾値）を変数Ｍで表す。上述のように、各リモート操作を許可するためには、Ｎ個の承認端末のうちＭ個から承認通知を受信する必要がある。これは、「ＭｏｆＮ」認証と表現することができる。
【００２７】
図４に、ＴＶ会議に関連して各ＴＶ会議参加端末（操作者端末２０よび承認者端末３０を含む）に表示されるＴＶ会議画面Ｉ１の例を示す。ＴＶ会議画面Ｉ１は、映像Ｉ２を表示する。この例では、映像Ｉ２はカメラ２１によって撮影されたメンテナンス担当者の動画である。ＴＶ会議画面Ｉ１は、他の映像Ｉ３〜Ｉ７を表示してもよい。
【００２８】
この例では、ＴＶ会議に操作者端末２０と３つの承認者端末３０とが参加しており、映像Ｉ２が操作者端末２０からの映像であり、映像Ｉ３〜Ｉ５は各承認者端末３０からの映像である。また、ＴＶ会議画面Ｉ１は、ＴＶ会議参加端末（操作者端末２０および承認者端末３０）以外のコンピュータまたはカメラ等からの映像を表示してもよい。図４の例では、映像Ｉ６は工場内のカメラによって撮影された映像であり、映像Ｉ７は工場内の制御システム（たとえば製造ライン４１）が生成したモニタ画面である。映像Ｉ７は製造ライン制御システム４０から送信されるものであってもよい。
【００２９】
このＴＶ会議は、どのようにして開始されてもよいが、たとえばメンテナンス担当者が必要に応じて開催することができる。たとえば、製造ライン４１に対してリモート操作によるメンテナンスが必要となった場合に、まず、メンテナンス担当者が、操作者端末２０と、参加すべきすべての承認者端末３０と、開始時刻とを指定して、ＴＶ会議の開催を予約する。予約された時刻になると、ＴＶ会議装置１１がＴＶ会議を開始し、操作者端末２０、承認者端末３０およびＴＶ会議装置１１の間で映像等の送受信が開始される。
【００３０】
以上のように構成される承認制御システム１０の動作を、以下に説明する。
図５〜図７は、承認制御システム１０等による処理の流れを説明するフローチャートである。この処理が開始される前に、ＴＶ会議が開始され、そのＴＶ会議に操作者端末２０および複数の承認者端末３０が参加しているものとする。
【００３１】
メンテナンス担当者は、操作者端末２０において、製造ライン制御システム４０または製造ライン４１に対するリモート操作を開始するための操作を入力する。この操作は、たとえば操作識別情報の入力を含む。この入力に応じ、操作者端末２０は、ＴＶ会議装置１１に対して要求映像の送信を開始する（ステップＳ１０１）。
【００３２】
「送信を開始する」という表現は、要求映像が動画を含むものである場合に該当するものであり、その場合には、要求映像は、ステップＳ１０１以降継続して送信される。要求映像が動画を含まず静止画によって構成される場合等には、「要求映像を送信する」と表現される処理が実行されてもよく、その場合には要求映像の送信はステップＳ１０１をもって完了してもよい。以下、映像の送受信に係る処理について同様である。
【００３３】
要求映像とは、たとえば後述のように、承認者に対してリモート操作の承認を要求する際に提示される映像を意味する。要求映像の具体的内容はどのようなものであってもよいが、たとえばカメラ２１によって撮影されたメンテナンス担当者の映像（顔、上半身、作業中の手元、等）を含むものとしてもよい。
【００３４】
なお、このステップＳ１０１を実行するタイミングは任意に変更可能であり、たとえば操作者端末２０がＴＶ会議に参加した時点で開始されていてもよく、または後述のステップＳ２０４より後に実行されてもよい。また、要求映像はＴＶ会議に関連して送受信される映像とは独立して送受信されるものであってもよいし、ＴＶ会議に関連して送受信される映像を要求映像として扱ってもよい。ＴＶ会議に関連して送受信される映像を要求映像として扱う場合には、操作者端末２０がＴＶ会議に参加することによってステップＳ１０１が実行されるものと解釈することができる。
【００３５】
ＴＶ会議装置１１は、これに応じて要求映像の受信を開始する（ステップＳ４０１）とともに、各承認者端末３０に対して要求映像の送信を開始する（ステップＳ４０２）。各承認者端末３０は、これに応じて要求映像の受信および表示を開始する（ステップＳ５０２）。ここで送受信される映像は、ステップＳ１０１で送信される映像と全体が厳密に一致している必要はないが、少なくとも一部が一致するものである。一部のみが一致する場合には、その一致している部分を要求映像として定義してもよい。
【００３６】
ここで、たとえば各承認者端末３０には、図４のＴＶ会議画面Ｉ１が表示される。この画面は、たとえば承認者端末３０がＴＶ会議に参加した時点で表示開始されるものであるが、ステップＳ５０２において初めて表示されてもよい。
【００３７】
この例では、映像Ｉ２はカメラ２１によって撮影されたメンテナンス担当者の動画であり、ステップＳ５０２の実行時点では映像Ｉ２が要求映像となる。ＴＶ会議画面Ｉ１は、ステップＳ５０２では各承認者端末３０に表示されるが、これに加えて操作者端末２０または他のコンピュータ等に表示されてもよい。また、映像Ｉ３〜Ｉ７の送受信処理については説明を省略するが、たとえば公知のＴＶ会議と同様にして行われてもよい。
【００３８】
操作者端末２０は、リモート操作を開始するための操作の入力に応じ、上述のようにステップＳ１０１を実行するとともに、製造ライン制御システム４０に対して、そのリモート操作に係る承認依頼通知を送信する（ステップＳ１０３）。承認依頼通知は、図３に示すような操作者端末識別情報および操作識別情報を含む。これに応じ、製造ライン制御システム４０は承認依頼通知を受信する（ステップＳ２０３）。
【００３９】
次に、製造ライン制御システム４０は、自身が承認処理の対象であるか否かを判定する（ステップＳ２０４）。この判定はどのように行われてもよい。たとえば、製造ライン制御システム４０が承認処理の対象であるか否かを表すフラグ等を、あらかじめ製造ライン制御システム４０の記憶手段に格納しておき、このフラグ等を参照して判定を行ってもよい。
【００４０】
製造ライン制御システム４０自身が承認処理の対象でない場合の処理は、図５〜図７には示さないが、たとえば操作者端末２０に対してリモート操作を許可する処理を実行してもよい。「リモート操作を許可する」とは、従来と同様の意味をもって解釈されてもよい。または、たとえば、操作者端末２０において入力され製造ライン制御システム４０に送信される操作指示を、製造ライン制御システム４０においてまたは製造ライン４１において実行可能とすることを含んでもよい。リモート操作を許可する場合、製造ライン制御システム４０は、リモート操作が許可されたことを示す許可通知を操作者端末２０に送信してもよく、操作者端末２０はこれを受信して表示してもよい。
【００４１】
製造ライン制御システム４０自身が承認処理の対象である場合には、製造ライン制御システム４０はステップＳ２０４の時点ではリモート操作を許可せず、承認制御装置１２に承認依頼通知を送信する（ステップＳ２０５）。この承認依頼通知は、ステップＳ２０３で受信したものと同様に、図３に示すような操作者端末識別情報および操作識別情報を含む。これに応じ、承認制御装置１２は承認依頼通知を受信する（ステップＳ３０５）。
【００４２】
次に、承認制御装置１２は、承認依頼通知に対応する承認条件を取得する（ステップＳ３０６）。これはたとえば、承認依頼通知に含まれる操作者端末識別情報および操作識別情報に基づき、承認条件データ５２を検索することによって行われる。ここで、承認制御装置１２は、操作者端末識別情報および操作識別情報に応じて、ＭｏｆＮ認証に係る端末数閾値（Ｎ）および承認数閾値（Ｍ）を決定するということができる。
【００４３】
次に、承認制御装置１２は、承認者端末の数を取得する。この処理は、たとえば承認制御装置１２がＴＶ会議装置１１に、ＴＶ会議に参加している承認者端末３０の数を照会し（ステップＳ３０７）、ＴＶ会議装置１１がこれに回答する（ステップＳ４０７）ことによって実現される。なお、承認者端末の数の取得は、これ以外のタイミングで行われてもよく、またこれ以外の方法で行われてもよい。たとえば、ＴＶ会議装置１１は承認依頼通知の受信に関わらず、定期的に承認者端末の数を承認制御装置１２に通知してもよい。
【００４４】
次に、承認制御装置１２は、承認条件に基づき、承認者端末の数が端末数閾値（Ｎ）以上であるか否かを判定する（ステップＳ３０８）。たとえば図３に示す「○○操作実行」の場合には、４台以上の承認者端末３０がＴＶ会議に参加しているか否かを判定することになる。
【００４５】
承認者端末の数が端末数閾値（Ｎ）未満である場合には、承認制御装置１２は、操作者端末２０に対してリモート操作を許可することなく、処理を終了する（ステップＳ３０９）。この場合には、承認制御装置１２は、操作者端末２０に対してリモート操作を禁止する処理を実行してもよい。
【００４６】
リモート操作を禁止する処理は、たとえば、操作者端末２０に禁止通知を送信する処理を含んでもよい。また、操作者端末２０は、禁止通知を受信することに応じて、当該リモート操作が許可されなかったことを表す画面を表示してもよい。この画面は、リモート操作が許可されなかったことまたは承認者端末の数が不足していることを示すメッセージを含んでもよい。また、リモート操作を禁止する処理は、操作者端末２０において入力され製造ライン制御システム４０に送信される操作指示を、製造ライン制御システム４０においてまたは製造ライン４１において実行不可能とすることを含んでもよい。
【００４７】
ステップＳ３０８において承認者端末の数が端末数閾値（Ｎ）以上である場合には、承認制御装置１２は、当該ＴＶ会議に参加しているすべての承認者端末３０に対して承認依頼通知を送信する（ステップＳ３１０）。この承認依頼通知は、ステップＳ３０５で受信したものと同様に、図３に示すような操作者端末識別情報および操作識別情報を含む。これに応じ、各承認者端末３０は承認依頼通知を受信する（ステップＳ５１０）。次に、図６に示すように、承認者端末３０は承認依頼通知に対する回答の入力を受け付ける（ステップＳ５１１）。
【００４８】
図８は、ステップＳ５１１に関連して各承認者端末３０に表示される回答入力画面Ｒ１の例を示す。この例のように、承認者端末３０は、操作者端末識別情報に対応する文字列（「ユーザＡ」）や操作識別情報に対応する文字列（「△△操作」）を表示してもよい。
【００４９】
ここで、承認者端末３０は、承認依頼通知に対する回答として、「承認」、「却下」、または「禁止」を選択的に受け付ける。図８の例では、これはラジオボタンの操作による回答選択処理および決定ボタンの操作による回答確定処理により実現される。「却下」および「禁止」は、いずれも非承認を表す。また、「承認」および「却下」は、他の承認者の回答次第ではリモート操作が許可される可能性があるという非決定的な回答すなわち「非禁止」であると解釈することもでき、「禁止」は、他の承認者の回答に関わらずリモート操作を許可しないという決定的な不許可であると解釈することができる。
【００５０】
ここで、承認者は、ステップＳ５０２において表示される要求映像を見ながら回答を選択できるので、回答を適切に決定することが容易である。たとえば、要求映像がメンテナンス担当者の顔、上半身、手元等を含むようにすると、悪意のある者がメンテナンス担当者になりすまして不正アクセスを行うことが困難となる。また、要求映像が音声を含むよう構成した場合には、メンテナンス担当者が正当な担当者であることのみならず、リモート操作の必要性等も、メンテナンス担当者の音声による説明等により確認することができる。
【００５１】
なお図８の例では、回答入力画面Ｒ１は決定ボタンの他に取消ボタンも備える。取消ボタンが操作された場合の処理は、当業者が適宜設計可能であるが、たとえば承認制御装置１２は回答入力画面Ｒ１の表示を消去し、回答の入力を中止してもよい。また、回答入力画面Ｒ１は取消ボタンを備えないものであってもよい。
【００５２】
回答の入力を受け付けると、承認制御装置１２は、回答通知を承認制御装置１２に送信する（ステップＳ５１２）。回答通知は、回答の内容に応じて異なる情報を含む。回答が「承認」である場合には、回答通知は承認通知であり、回答が「却下」である場合には、回答通知は却下通知であり、回答が「禁止」である場合には、回答通知は禁止通知である。承認通知および却下通知は、いずれも非禁止通知であるということができ、また、却下通知および禁止通知は、いずれも非承認通知であるということができる。
【００５３】
承認者端末３０は、ステップＳ５１２を実行した後、処理をステップＳ５１１に戻し、回答の入力を受け付ける。たとえば図８に示す回答入力画面Ｒ１を消去せずに表示し続け、新たな回答の入力が可能な状態とする。これにより、承認者は、一度入力した回答を後から訂正することができる。
【００５４】
承認制御装置１２は、この回答通知を受信する（ステップＳ３１２）。次に、承認制御装置１２は、回答通知に基づいて承認判定を行う（ステップＳ３１３）。このステップＳ３１３は、承認者端末３０から回答通知を受信するたびに実行されてもよい。
【００５５】
図７は、ステップＳ３１３の詳細を表す。ステップＳ３１３において、まず承認制御装置１２は禁止通知を受信しているか否かを判定する（ステップＳ３１３１）。いずれかの承認者端末３０から禁止通知を受信していた場合には、承認制御装置１２は、操作者端末２０に対してリモート操作を禁止する（ステップＳ３１３２）。すなわち、承認制御装置１２は、少なくとも１つの禁止通知を受信した場合にリモート操作を禁止するということができる。
【００５６】
リモート操作を禁止する処理は、たとえば、操作者端末２０に禁止通知を送信する処理を含んでもよい。また、操作者端末２０は、禁止通知を受信することに応じて、当該リモート操作が許可されなかったことを表す画面を表示してもよい。この画面は、リモート操作が許可されなかったことまたは禁止通知が送信されたことを示すメッセージを含んでもよい。また、リモート操作を禁止する処理は、操作者端末２０において入力され製造ライン制御システム４０に送信される操作指示を、製造ライン制御システム４０においてまたは製造ライン４１において実行不可能とすることを含んでもよい。
【００５７】
いずれの承認者端末３０からも禁止通知を受信していない場合には、承認制御装置１２は、承認条件に基づき、承認通知の数が承認数閾値（Ｍ）以上であるか否かを判定する（ステップＳ３１３３）。たとえば図３に示す「○○操作実行」の場合には、３台以上の承認者端末３０から承認通知を受信したか否かを判定することになる。
【００５８】
承認通知の数が承認数閾値（Ｍ）未満である場合には、承認制御装置１２は、操作者端末２０に対してリモート操作を許可しないか、またはリモート操作を禁止する（ステップＳ３１３４）。リモート操作を禁止する処理は、たとえば、操作者端末２０に禁止通知を送信する処理を含んでもよい。また、操作者端末２０は、禁止通知を受信することに応じて、当該リモート操作が許可されなかったこと（または現時点で許可されていないこと）を表す画面を表示してもよい。この画面は、リモート操作が許可されなかったこと（または現時点で許可されていないこと）、それまでに受信した承認通知の数、承認数閾値（Ｍ）、承認通知の数が不足していること、等を示すメッセージを含んでもよい。また、リモート操作を禁止する処理は、操作者端末２０において入力され製造ライン制御システム４０に送信される操作指示を、製造ライン制御システム４０においてまたは製造ライン４１において実行不可能とすることを含んでもよい。
【００５９】
ステップＳ３１３３において承認通知の数が承認数閾値（Ｍ）以上である場合には、承認制御装置１２は承認判定を終了し、製造ライン制御システム４０に対して承認通知を送信する（ステップＳ３１４、許可ステップ）。このようにして、ＭｏｆＮ認証が実現される。
【００６０】
なお、ステップＳ３１３４の処理は、承認通知の数が承認数閾値（Ｍ）未満である場合ではなく、却下通知の数が許容範囲を超えた場合に実行されてもよい。この許容範囲の上限は、たとえば端末数閾値（Ｎ）から承認数閾値（Ｍ）を減算した値である。すなわち、ステップＳ３１３３において、承認通知の数がＭ未満かつ却下通知の数がＮ−Ｍ以下の場合には、承認制御装置１２は当該回答通知に対する処理を終了し、次の回答通知の受信（ステップＳ３１２）を待ってもよい。そして、ステップＳ３１３３において、却下通知の数がＮ−Ｍを超えた場合に、ステップＳ３１３４が実行されてもよい。このようにしても、同様にＭｏｆＮ認証を実現することができる。
【００６１】
ステップＳ３１４において送信される承認通知は、ステップＳ３０５で受信したものと同様に、図３に示すような操作者端末識別情報および操作識別情報を含んでもよいし、ステップＳ３０５で受信した承認依頼通知を特定する識別情報を含んでもよい。
【００６２】
ここで、ステップＳ３０８およびステップＳ３１３３の判定を組み合わせて考えると、承認制御装置１２は、承認者端末３０の数が端末数閾値（Ｎ）以上であり、かつ、承認通知の数が承認数閾値（Ｍ）以上であることを条件として、操作者端末２０によるリモート操作を許可するということができる。なお、本実施形態では、この条件は必要条件であって十分条件ではなく、たとえばステップＳ３１３１の判定において禁止通知が受信されている場合には、承認者端末３０や承認通知の数に関わらずリモート操作が禁止されることになる。
【００６３】
このように、承認条件データ５２に含まれるリモート操作ごとに端末数閾値（Ｎ）および承認数閾値（Ｍ）を任意に指定できるので、承認条件を柔軟に定義することができ、ＳＬＡ（Service Level Agreement）等に応じたセキュリティ設定が容易に実現できる。たとえば、重要なリモート操作、セキュリティを厳密に管理する必要があるリモート操作、危険度が高いリモート操作等については、端末数閾値（Ｎ）および承認数閾値（Ｍ）の一方または双方を大きい値に設定しておくことにより、リモート操作の種類に応じたセキュリティレベルが設定できる。
【００６４】
また、承認条件を満たしていても、禁止を選択した承認者が１人でもいればリモート操作が禁止されるので、管理の安全性が高まる。たとえば、悪意のある者が複数人で共謀し、不正な承認依頼通知に対して不正な承認まで行った場合であっても、善意の（正当な）承認者が１人でもＴＶ会議に参加していれば、不正なリモート操作を禁止することができる。
【００６５】
ステップＳ３１４の後、製造ライン制御システム４０は、この承認通知を受信する（ステップＳ２１４）。承認通知を受信すると、製造ライン制御システム４０は、操作者端末２０によるリモート操作を許可するとともに、操作者端末２０に対して操作許可通知を送信する（ステップＳ２１５、許可ステップ）。
【００６６】
リモート操作の許可は、たとえばステップＳ２０４において製造ライン制御システム４０が承認処理の対象でなかった場合と同様に行われてもよい。また、この操作許可通知は、ステップＳ２０３で受信した承認依頼通知と同様に、図３に示すような操作者端末識別情報および操作識別情報を含んでもよいし、ステップＳ２０３で受信した承認依頼通知を特定する識別情報を含んでもよい。
【００６７】
操作者端末２０は、この操作許可通知を受信する（ステップＳ１１５）。操作者端末２０は、操作許可通知を受信することに応じて、リモート操作が許可されたことを表す画面を表示してもよい。この画面は、リモート操作が許可されたことを示すメッセージを含んでもよい。
【００６８】
次に、操作者端末２０は、ＴＶ会議装置１１に対して操作映像の送信を開始する（ステップＳ１１６）。操作映像とは、リモート操作の操作内容を表す映像を意味し、たとえば承認者に対してリモート操作の実際の内容を伝達するために用いられる。操作映像の具体的内容はどのようなものであってもよいが、たとえばカメラ２１によって撮影されたメンテナンス担当者の映像（顔、上半身、手元、等）や、リモート操作の対象となる製造ライン４１が生成したモニタ画面等を含んでもよい。
【００６９】
ＴＶ会議装置１１は、これに応じて操作映像の受信を開始する（ステップＳ４１６）とともに、各承認者端末３０に対して操作映像の送信を開始する（ステップＳ４１７）。各承認者端末３０は、これに応じて操作映像の受信および表示を開始する（ステップＳ５１７）。ここで送受信される映像は、ステップＳ１１６で送信される映像と全体が厳密に一致している必要はないが、少なくとも一部が一致するものである。一部のみが一致する場合には、その一致している部分を操作映像として定義してもよい。ステップＳ５１７の後、承認者端末は処理をステップＳ５１１に戻す。
【００７０】
このように、操作映像が複数の承認者端末３０にそれぞれ表示されるので、複数の承認者がリモート操作の実際の状況を監視することができる。また、操作者端末２０および承認者端末３０はいずれも同一のＴＶ会議に参加しているので、承認者は必要に応じてメンテナンス担当者と映像や音声等によりコミュニケーションをとり、指示や相談等を行うことができる。なお、図４の例では、映像Ｉ７として工場内の制御システム（たとえば製造ライン４１）が生成したモニタ画面が表示されているので、承認者はこのモニタ画面によってもリモート操作の状況を監視することができる。
【００７１】
なお、操作映像は、要求映像（ステップＳ１０１等）と同一の映像（たとえば図４の映像Ｉ２）を用いてもよい。この場合には、この同一の映像が、ステップＳ２１５より前においては要求映像として機能し、ステップＳ２１５より後においては操作映像として機能するということができる。また、この場合には、操作映像の送受信の開始の際に特別な処理は不要であり、単に要求映像の送受信を継続することによって操作映像の送受信を実現することができる。
【００７２】
ステップＳ２１４またはステップＳ２１５以降、製造ライン制御システム４０は、操作者端末２０からのリモート操作を受け付けて実行する（ステップＳ１１８およびＳ２１８）。すなわち、メンテナンス担当者は、操作者端末２０を操作して、製造ライン制御システム４０または製造ライン４１に対してリモート操作を実行することができる。
【００７３】
なお、上述のように、承認者端末３０は、ステップＳ５１２を実行した後、処理をステップＳ５１１に戻し、回答の入力を受け付けるので、承認者は回答を変更することができる。回答が変更された場合、変更された回答の入力に応じてステップＳ５１２が実行され、承認制御装置１２は新たな回答通知を受信し、改めてステップＳ３１３の承認判定を実行することになる。
【００７４】
ステップＳ３１３の承認判定は、各承認者端末３０から受信した最新の回答通知に基づいて行われる。たとえば、ある承認者端末３０から禁止通知が送信され、その後その承認者端末３０から承認通知が送信された場合には、先の禁止通知はステップＳ３１３１の判定において考慮されない（すなわち禁止通知は撤回されたということができる）。
【００７５】
また、ある承認者端末３０から承認通知が送信され、その後その承認者端末３０から却下通知が送信された場合には、先の承認通知はステップＳ３１３３の判定において考慮されない（すなわち承認通知は撤回されたということができる）。したがって、いったん承認数が十分となりステップＳ３１４以降が実行された後であっても、再び承認数が不足してリモート操作が禁止される場合がある。このような場合には、承認制御装置１２および製造ライン制御システム４０は、ステップ３１４およびステップＳ２１５を実行した後に、承認者端末３０の数が端末数閾値（Ｎ）未満となった場合または承認通知の数が承認数閾値（Ｍ）未満となった場合に、操作者端末２０によるリモート操作を禁止するということができる。このように、承認されたリモート操作の範囲内であっても不適切な操作が行われた場合等に承認者がただちにそのリモート操作に対する承認を取り消すことが容易になり、安全性が高まる。
【００７６】
また、ある承認者端末３０から非禁止通知（承認通知または却下通知）が送信され、その後その承認者端末３０から禁止通知が送信された場合には、ステップＳ３１３２が実行されリモート操作が禁止される。このような場合には、承認制御装置１２は、ステップ３１４を実行した後に、少なくとも１つの禁止通知を受信した場合に、リモート操作を禁止するということができる。このように、承認されたリモート操作の範囲内であっても不適切な操作が行われた場合等に承認者がただちにそのリモート操作を禁止することが容易になり、安全性が高まる。
【００７７】
また、承認者端末３０の数は、（たとえばステップＳ３０７およびＳ４０７を定期的に実行することにより）随時更新されてもよい。この場合には、承認者端末３０の数が更新されることに応じて、承認者端末３０の数の判定（ステップＳ３０８）を実行してもよい。このようにすると、リモート操作が許可された後に承認者端末３０がＴＶ会議から退出し、承認者端末３０の数が端末数閾値（Ｎ）未満となった場合に、操作者端末２０によるリモート操作を禁止することができる。
【００７８】
なお、図５〜図７の処理は、同一のＴＶ会議において、複数のリモート操作について平行して実行可能であってもよい。この場合には、要求映像および操作映像は、各リモート操作について共通の映像を利用してもよい。このようにすると、同一のＴＶ会議の中で、メンテナンス作業の進行状況に合わせ、複数のリモート操作を次々に承認してゆくことができる。
【００７９】
以上説明するように、本発明の実施の形態１に係る承認制御システム１０によれば、リモート操作ごとに端末数閾値および承認数閾値を設定することができるので、リモート操作に対する承認条件をより柔軟に定義することができる。
【００８０】
なお、リモート操作に対する従来のセキュリティ対策として、ＶＰＮ（仮想私有網）を用いること、デジタル署名を用いてデータを暗号化すること、ネットワークの接続認証およびシステムのログイン認証を設けること、等が考えられるが、このような従来のセキュリティ対策では、ユーザ情報の漏洩等によるなりすましの危険性があり、悪意のある者がメンテナンス担当者になりすまして不正アクセスするケースに対しては、必ずしも有効とは言えない。これに対し、上述の承認制御システム１０によれば、メンテナンス担当者以外の承認者による承認が必要となり、また承認者を複数必要とするよう設定することも可能なので、なりすましが困難となり安全性が高まる。
【００８１】
また、リモート操作に対する従来のセキュリティ対策として、通信や操作等の許可切り替えを、工場ラインの制御システム本体に対する直接の入力操作によって行うことも考えられる。しかしながら、このような構成では、工場ラインの制御システムが立入制限区域に設けられており承認者の立ち入りが制限される場合や、承認者が工場ラインの制御システムの近くにいない場合等において、突発的なトラブル時のリモートメンテナンスに対応出来ないおそれがある。これに対し、上述の承認制御システム１０によれば、承認者は製造ライン制御システム４０や製造ライン４１を直接的に操作する必要がなく、また、工場から離れた承認者端末３０を用いて承認を行うことができるので、突発的なリモート操作要求に対しても適切に対応できる可能性が高まる。
【００８２】
実施の形態２．
実施の形態２は、実施の形態１において、承認条件を複数のレベルによって構成したものである。
図９に、実施の形態２における承認条件データの構成の例を示す。実施の形態２では、承認条件は複数のレベル（この例では２レベル）によって構成され、各レベルは、端末数閾値と承認数閾値との組によって表される。また、承認者端末にはそれぞれレベルを付与することにより、第１レベル承認者端末または第２レベル承認者端末とすることができる。たとえば、第１レベル承認者端末は課長級の職員が使用する承認者端末であり、第２レベル承認者端末は部長級の職員が使用する承認者端末である。
【００８３】
実施の形態２では、ステップＳ３１３３における判定は、複数のレベルについてそれぞれ実行され、すべてのレベルの承認条件が満たされた場合のみリモート操作が許可される。たとえば図９の例において、ユーザＡが○○操作を実行するためには、最低４台の第１レベル承認者端末と、最低１台の第２レベル承認者端末とがＴＶ会議に参加している必要があり、さらに、最低３台の第１レベル承認者端末と、最低１台の第２レベル承認者端末とが承認制御装置１２に承認通知を送信する必要がある。
【００８４】
なお、第２レベルの承認条件は指定を省略してもよい。図９の例では、ユーザＡのログイン操作およびユーザＢのログイン操作については第２レベルの承認条件が省略されている。この場合には、実施の形態１と同様に、第１レベルの承認条件が満たされればリモート操作が許可される。
【００８５】
実施の形態２において、ステップＳ３０８およびステップＳ３１３３の判定を組み合わせて考えると、承認制御装置１２は、第１レベル承認者端末の数が第１レベル用端末数閾値（Ｎ１）以上であり、かつ、第１レベル承認者端末から受信した承認通知の数が第１レベル用承認数閾値（Ｍ１）以上であり、かつ、第２レベル承認者端末の数が第２レベル用端末数閾値（Ｎ２）以上であり、かつ、第２レベル承認者端末から受信した承認通知の数が第２レベル用承認数閾値（Ｍ２）以上であることを必要条件として、操作者端末２０によるリモート操作を許可するということができる。
【００８６】
各承認者端末のレベル設定はどのようにして実装されてもよいが、たとえば図１０に示すような承認権限レベルデータを定義することにより実装可能である。図１０の例では、ユーザＥが使用する承認者端末、ユーザＦが使用する承認者端末、およびユーザＧが使用する承認者端末はいずれも第１レベルの承認者端末であり、ユーザＨが使用する承認者端末は第２レベルの承認者端末である。承認権限レベルデータは、たとえば承認制御装置１２の記憶手段に格納することができる。
【００８７】
また、各承認者端末のレベルは、承認者の操作（ログイン処理等）によって決定されてもよい。たとえば、ユーザＥがある承認者端末３０にログインした場合に、その承認者端末３０を第１レベル承認者端末としてもよい。
【００８８】
以上説明するように、本発明の実施の形態２に係る承認制御システムによれば、実施の形態１と同様に、リモート操作ごとに端末数閾値および承認数閾値を設定することができるので、リモート操作に対する承認条件をより柔軟に定義することができる。
【００８９】
さらに、実施の形態２では、承認条件をレベルごとに定義できるので、リモート操作に対する承認条件をさらに柔軟に定義することができる。たとえば、重要なリモート操作、セキュリティを厳密に管理する必要があるリモート操作、危険度が高いリモート操作等については、第２レベルの承認条件を適切に設定しておくことにより、リモート操作の種類に応じたセキュリティレベルが設定できる。
【００９０】
なお、レベルの数は３以上であってもよい。また、レベルは上下関係を表すものである必要はなく、異なる種類の承認者端末に対応するものであればどのように定義されてもよい。
【００９１】
上述の実施の形態１および２において、以下のような変形を施すことができる。
承認者端末３０において入力可能な回答の選択肢として、「禁止」が含まれないものであってもよい。すなわち、回答の選択肢は「承認」および「却下」のみとしてもよい。このような構成では、承認者端末の数が端末数閾値（Ｎ）以上であり、かつ、承認通知の数が承認数閾値（Ｍ）以上であることは、リモート操作を許可するための必要十分条件であるといえる。この場合にはステップＳ３１３１およびＳ３１３２の処理は省略することができる。
【００９２】
実施の形態１および２では、操作識別情報に応じて端末数閾値（Ｎ）および承認数閾値（Ｍ）の双方が変化し得るが、いずれか一方は固定であってもよい。すなわち、端末数閾値（Ｎ）は固定とし、承認数閾値（Ｍ）のみを操作識別情報に応じて決定してもよく、または、承認数閾値（Ｍ）は固定とし、端末数閾値（Ｎ）のみを操作識別情報に応じて決定してもよい。
【００９３】
承認対象となるリモート操作は、図３および図９のように端末と操作内容との組ではなく、操作者端末識別情報または操作識別情報のいずれかのみによって特定されてもよい。
【００９４】
操作映像に関する処理は省略してもよい。たとえば、リモート操作が許可された時点でＴＶ会議を終了してもよい。このようにした場合であっても、リモート操作の開始時点における許可については適切な承認処理を行うことができる。
【００９５】
また、要求映像および操作映像は操作者端末２０以外のコンピュータから送信される映像であってもよい。たとえば製造ライン制御システム４０から送信される映像Ｉ７を要求映像または操作映像としてもよい。
【００９６】
ＴＶ会議において送受信される映像は任意に設計可能である。たとえば、図４の例ではすべての承認者端末３０からの映像Ｉ３〜Ｉ５が表示されているが、これらのいずれかまたはすべてを省略してもよい。また、映像Ｉ６およびＩ７のいずれかまたは双方を省略してもよい。さらに、他の映像を追加してもよい。
【００９７】
承認制御システムに含まれる構成要素の単位は、任意に設計可能である。たとえば、実施の形態１ではＴＶ会議装置１１と承認制御装置１２とが別個のコンピュータとして構成されるが、これらは同一のコンピュータを用いて構成されてもよい。
【００９８】
また、承認制御システムの範囲は、任意に定義可能である。たとえば、実施の形態１では承認制御システム１０は承認者端末３０を含まないが、変形例として承認者端末３０を含んでもよい。
【００９９】
また、実施の形態１では、承認制御システム１０は製造ライン制御システム４０を含まない。この場合には、承認制御システム１０は、図５に示すように製造ライン制御システム４０から承認依頼通知を受信する。また、この場合には、ステップＳ３１４が許可ステップとなり、承認制御システム１０は、ステップＳ３１４において、製造ライン制御システム４０に対してリモート操作を許可する。変形例として、実施の形態１または２において、承認制御システムは製造ライン制御システム４０を含んでもよい。この変形例では、承認制御システムは、操作者端末２０から承認依頼通知を直接的に受信するということができる。また、この変形例では、承認制御システムは、ステップＳ２１５において、操作者端末２０に対してリモート操作を許可する。
【符号の説明】
【０１００】
１０  承認制御システム（１１  ＴＶ会議装置、１２  承認制御装置）、２０  操作者端末、３０  承認者端末、Ｉ２  映像（要求映像、操作映像）。
【図１】
2017091304.tif 000003
【図２】
2017091304.tif 000004
【図３】
2017091304.tif 000005
【図４】
2017091304.tif 000006
【図５】
2017091304.tif 000007
【図６】
2017091304.tif 000008
【図７】
2017091304.tif 000009
【図８】
2017091304.tif 000010
【図９】
2017091304.tif 000011
【図１０】
2017091304.tif 000012