サーバと、端末装置と、バッテリのセルを含むセルパッケージを1以上備える複数のバッテリユニットから成り、前記サーバは、前記セルパッケージについての所定の状態を示す情報を含むセルパッケージ管理情報に基づいて、セルパッケージごとに交換の要否を判定するセル交換要否判定部と、交換が必要と判定されたセルパッケージに関連する所定の情報内容を有するバッテリ交換情報を生成するバッテリ交換情報生成部と、前記バッテリ交換情報とパスワードの前記端末装置に対する送信と、前記パスワードにより暗号化した前記バッテリ交換情報の前記バッテリユニットに対する送信とを少なくとも実行させる送信制御部とを備え、前記端末装置は、受信した前記パスワードを、受信した前記バッテリ交換情報において示されるセルパッケージ交換作業対象のバッテリユニットに対して送信させるパスワード送信制御部を備え、前記バッテリユニットは、前記サーバから受信した暗号化された前記バッテリ交換情報を前記端末装置から受信した前記パスワードにより復号する復号部と、前記バッテリ交換情報の復号が正常に実行された場合に、当該バッテリユニットが備える前記セルパッケージの交換を許可する交換可否設定部とを備えることを特徴とするバッテリ保守システム。交換が必要なセルパッケージが判定されるごとに、前記パスワードとしてワンタイムパスワードを生成するワンタイムパスワード生成部をさらに備えることを特徴とする請求項1に記載のバッテリ保守システム。前記バッテリユニットは、復号された前記バッテリ交換情報の内容から交換対象のセルパッケージを特定するセルパッケージ特定部をさらに備え、前記交換可否設定部は、交換対象として特定されたセルパッケージの交換を許可することを特徴とする請求項1または2に記載のバッテリ保守システム。他の端末装置をさらに備えるとともに、前記サーバは、前記端末装置から送信された端末認証コードを利用して認証処理を実行するとともに、前記他の端末装置から送信された他端末認証コードを利用して認証処理を実行するサーバ内認証処理部と、前記認証処理部による前記端末装置の認証と前記他の端末装置の認証の少なくとも一方が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するサーバ内禁止制御部とをさらに備えることを特徴とする請求項1から請求項3のいずれか一項に記載のバッテリ保守システム。他の端末装置をさらに備えるとともに、前記サーバは、前記他の端末装置から送信された他端末認証コードを利用して認証処理を実行するサーバ内認証処理部と、前記サーバ内認証処理部による認証が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するサーバ内禁止制御部とをさらに備え、前記バッテリユニットは、前記端末装置から入力された端末認証コードを利用して認証処理を実行するバッテリユニット内認証処理部と、前記バッテリユニット内認証処理部による認証が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するバッテリユニット内禁止制御部とをさらに備えることを特徴とする請求項1から請求項3のいずれか一項に記載のバッテリ保守システム。他の端末装置をさらに備えるとともに、前記サーバは、前記端末装置から送信された端末認証コードを利用して認証処理を実行するサーバ内認証処理部と、前記サーバ内認証処理部による認証が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するサーバ内禁止制御部をさらに備え、前記バッテリユニットは、前記他の端末装置から入力された他端末認証コードを利用して認証処理を実行するバッテリユニット内認証処理部と、前記バッテリユニット内認証処理部による認証が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するバッテリユニット内禁止制御部とをさらに備えることを特徴とする請求項1から請求項3のいずれか一項に記載のバッテリ保守システム。他の端末装置をさらに備えるとともに、前記バッテリユニットは、前記端末装置から入力された端末認証コードを利用して認証処理を実行するとともに、前記他の端末装置から入力された他端末認証コードを利用して認証処理を実行するバッテリユニット内認証処理部と、前記バッテリユニット内認証処理部による前記端末装置の認証と前記他の端末装置の認証の少なくとも一方が成立しなかった場合には、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御するバッテリユニット内禁止制御部とをさらに備えることを特徴とする請求項1から請求項3のいずれか一項に記載のバッテリ保守システム。前記サーバ内禁止制御部は、前記送信制御部であり、前記端末装置から受信して前記交換作業対象のバッテリユニットに転送すべき前記パスワードを送信させないことで、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御することを特徴とする請求項4から6のいずれか一項に記載のバッテリ保守システム。前記バッテリユニット内禁止制御部は、前記復号部であり、暗号化された前記バッテリ交換情報を復号しないことにより、前記交換可否設定部により前記セルパッケージの交換が禁止されるように制御することを特徴とする請求項5から7のいずれか一項に記載のバッテリ保守システム。サーバと、端末装置と、バッテリのセルを含むセルパッケージを1以上備える複数のバッテリユニットから成るバッテリ保守システムにおけるバッテリ保守方法であって、前記サーバは、前記セルパッケージについての所定の状態を示す情報を含むセルパッケージ管理情報に基づいて、セルパッケージごとに交換の要否を判定するセル交換要否判定ステップと、交換が必要と判定されたセルパッケージに関連する所定の情報内容を有するバッテリ交換情報を生成するバッテリ交換情報生成ステップと、前記バッテリ交換情報とパスワードの前記端末装置に対する送信と、前記パスワードにより暗号化した前記バッテリ交換情報の前記バッテリユニットに対する送信とを少なくとも実行させる送信制御ステップとを備え、前記端末装置は、受信した前記パスワードを、受信した前記バッテリ交換情報において示されるセルパッケージ交換作業対象のバッテリユニットに対して送信させるパスワード送信制御ステップを備え、前記バッテリユニットは、前記サーバから受信した暗号化された前記バッテリ交換情報を前記端末装置から受信した前記パスワードにより復号する復号ステップと、前記バッテリ交換情報の復号が正常に実行された場合に、当該バッテリユニットが備える前記セルパッケージの交換を許可する交換可否設定ステップとを備えることを特徴とするバッテリ保守方法。分散型電源としてのバッテリはこれから普及していくこと予想される。このようなバッテリが普及し、多くの家屋や企業施設などに設置される状況となった場合、これら多数のバッテリのメンテナンス保守が効率よく行われるようにすることが求められる。しかし、上記特許文献1に記載されるスマートバッテリは、バッテリの充放電に関する制御を実現するための構成であり、例えば長期的な使用経過におけるバッテリのメンテナンスをどのように行っていくのかという点については考慮されていない。このため、正規品でないバッテリの不正使用を有効に回避しながらメンテナンスを行っていくことは、特許文献1に記載される技術によっては不可能である。そこで、本発明は、二次電池としてのバッテリの不正使用を回避して適切に保守することが可能なバッテリ保守システムを提供することを目的とする。本発明は、上述の課題を解決すべくなされたもので、本発明の一態様によるバッテリ保守システムは、サーバと、端末装置と、バッテリのセルを含むセルパッケージを1以上備える複数のバッテリユニットから成り、前記サーバは、前記セルパッケージについての所定の状態を示す情報を含むセルパッケージ管理情報に基づいて、セルパッケージごとに交換の要否を判定するセル交換要否判定部と、交換が必要と判定されたセルパッケージに関連する所定の情報内容を有するバッテリ交換情報を生成するバッテリ交換情報生成部と、前記バッテリ交換情報とパスワードの前記端末装置に対する送信と、前記パスワードにより暗号化した前記バッテリ交換情報の前記バッテリユニットに対する送信とを少なくとも実行させる送信制御部とを備え、前記端末装置は、受信した前記パスワードを、受信した前記バッテリ交換情報において示されるセルパッケージ交換作業対象のバッテリユニットに対して送信させるパスワード送信制御部を備え、前記バッテリユニットは、前記サーバから受信した暗号化された前記バッテリ交換情報を前記端末装置から受信した前記パスワードにより復号する復号部と、前記バッテリ交換情報の復号が正常に実行された場合に、当該バッテリユニットが備える前記セルパッケージの交換を許可する交換可否設定部とを備える。また、本発明の一態様によるバッテリ保守方法は、サーバと、端末装置と、バッテリのセルを含むセルパッケージを1以上備える複数のバッテリユニットから成るバッテリ保守システムにおけるバッテリ保守方法であって、前記サーバは、前記セルパッケージについての所定の状態を示す情報を含むセルパッケージ管理情報に基づいて、セルパッケージごとに交換の要否を判定するセル交換要否判定ステップと、交換が必要と判定されたセルパッケージに関連する所定の情報内容を有するバッテリ交換情報を生成するバッテリ交換情報生成ステップと、前記バッテリ交換情報とパスワードの前記端末装置に対する送信と、前記パスワードにより暗号化した前記バッテリ交換情報の前記バッテリユニットに対する送信とを少なくとも実行させる送信制御ステップとを備え、前記端末装置は、受信した前記パスワードを、受信した前記バッテリ交換情報において示されるセルパッケージ交換作業対象のバッテリユニットに対して送信させるパスワード送信制御ステップを備え、前記バッテリユニットは、前記サーバから受信した暗号化された前記バッテリ交換情報を前記端末装置から受信した前記パスワードにより復号する復号ステップと、前記バッテリ交換情報の復号が正常に実行された場合に、当該バッテリユニットが備える前記セルパッケージの交換を許可する交換可否設定ステップとを備える。本発明によれば、バッテリ保守システムにおいて不正なバッテリの使用が回避され、適切にバッテリを保守することが可能になるという効果が得られる。[バッテリユニット保守システムの全体構成例]図1は、本実施形態におけるバッテリユニット保守システムの運用例を示している。本実施形態のバッテリユニット保守システムは、複数のバッテリユニット100と、管理サーバ600を備える。なお、本実施形態では、バッテリユニット100の各々と管理サーバ600は、ネットワークなどの所定の通信網を経由して相互に通信可能とされているものとする。バッテリユニット100は、充電により電力を蓄えるとともに、蓄えた電力を必要に応じて放電を行うことで、所定の負荷に供給する機能を有する。本実施形態のバッテリユニット100は、スマートグリッドにおける分散型電源の一種である蓄電装置として使用されることを想定している。図2に、バッテリユニット100の内部における装置構成を模式的に示す。同図に示すようにバッテリユニット100は、バッテリ管理装置200と複数のセルパッケージ300を備える。バッテリ管理装置200は、セルパッケージ300に対する充放電などをはじめとする各種の動作をコントロールする。セルパッケージ300は、ここでは図示を省略しているが内部にセルと称する二次電池としてのバッテリを備える。また、当該セルを管理するセル管理装置400を備える。セルパッケージ300の数は、例えばバッテリユニット100の用途などに応じて異なる。これらのセルパッケージ300が例えば直列に接続されることで、バッテリユニット100として必要な容量が確保される。このようなバッテリユニット100の構成においては、バッテリ管理装置200が上位情報処理装置となり、セルパッケージ300が下位情報処理装置となる関係にある。説明を図1に戻す。バッテリユニット100は、特定の産業分野に限定されることなく、車両や各種の施設に備えられる。例えば、図示するように、電気自動車1に備えられたバッテリユニット100は、当該電気自動車1を駆動するバッテリとして機能する。また、住宅施設2や企業施設3に備えられたバッテリユニット100は、例えば、無停電電源として機能する。また、これらのバッテリユニット100は、スマートグリッド環境において、電力使用量が少ない時間帯には蓄電を行い、必要に応じて、電力会社に電力を供給するための放電を行う。管理サーバ600は、上記のように各所に設置されるバッテリユニット100を一括して管理する。この管理機能の1つとして、管理サーバ600は、各バッテリユニット100が相互認証に使用する鍵を更新するための処理を実行可能とされている。なお、図1に示す構成において、例えば、1つの住宅施設2や企業施設3において、複数のバッテリユニット100が並列に備えられるような構成も考えることができる。[情報処理システムの運用例]バッテリユニット100が備えるセルパッケージ300は、充放電が繰り返されるのに応じてその性能が劣化していく。ただし、例えばセルパッケージ300のばらつきなどにより、セルパッケージ300間の劣化の度合いにもばらつきが生じる。バッテリユニット100としての製品は高価である。このため、例えばバッテリユニット100における少数のセルパッケージ300が劣化しただけであるのに係わらず、にバッテリユニット100自体を交換するという運用はコスト面からみて好ましくない。そこで、本実施形態のバッテリユニット保守システムでは、バッテリユニット100におけるセルパッケージ300ごとの劣化を監視し、劣化の度合いが一定以上であると判断されたセルパッケージ300のみを交換するという運用を行う。セルパッケージ300の交換にあたっては、図1に示す交換作業者5がバッテリユニット100の設置位置に赴く。そして、交換作業者5は、同図に示すように、バッテリユニット100から交換対象のセルパッケージ300を取り出して回収し、交換用として用意したセルパッケージ300を新たに装填する。また、本実施形態における運用では、セルパッケージ300を交換するにあたり、新品に交換する場合もあるが、他のバッテリユニット100において使用されていたセルパッケージ300を再利用する場合もあることを想定している。同じセルパッケージ300の製品であっても、用途に応じて要求される性能が異なる場合もあると考えられる。つまり、セルパッケージ300について、或る用途では、非常に高い性能が求められるが、他の用途では、一定以下の水準にまで性能が低下していなければ十分に使用可能であるというような状況を想定できる。そこで、本実施形態では、或るバッテリユニット100において使用不可であるとして取り外されたセルパッケージ300を一律に廃棄するのではなく、再利用可能なものについては再利用するように運用する。つまり、或るバッテリユニット100から取り外されたセルパッケージ300が、他のバッテリユニット100ではまだ要求される性能を満たしているのであれば、この他のバッテリユニット100におけるセルパッケージ300の交換時に再利用する。このようにセルパッケージ300を再利用することでさらにコストダウンが図られる。また、このような再利用は環境面の点からも望ましい。また、本実施形態においては、バッテリユニット100は多様な事業者メーカが提供することを想定している。具体的に、電気自動車1のバッテリユニット100であれば、自動車の電装品などの事業者Bが提供し、セルパッケージ300の交換サービスを行うことが想定される。また、住宅施設2や企業施設3のバッテリユニット100であれば、住宅販売会社や建設会社などの事業者C、Dも参入して、その販売やセルパッケージ300の交換を行うことが想定される。そのうえで、管理サーバ600は、バッテリユニット100を提供する事業者B、C、Dなどを一括して管理する別の事業者Aが運用する。なお、管理サーバ600を運用する事業者Aと、バッテリユニット100を提供する事業者のうちの1つが重複する場合も考えられる。[バッテリユニット保守システムにおけるセルパッケージ不正使用防止の概要]上記のようにバッテリユニット保守システムを運用していくためには、セルパッケージ300を人為的作業によって交換可能なようにバッテリユニット100を構成することになる。この場合、正規品ではない安価なセルパッケージが市場に出回り、ユーザがこのセルパッケージを購入して勝手に交換するという不正が行われてしまう可能性が生じる。上記のように正規品でないセルパッケージは、製品の信頼性、安全性を保証することができない。このため、正規品でないセルパッケージに交換された場合にはバッテリユニットが動作できないようにすることが必要になる。つまり、正規品でないセルパッケージの不正使用を防ぐことが必要になる。そこで、本実施形態では、正規品でないバッテリの不正使用を2つの側面から防止する。まず、1つの側面は、バッテリユニット100におけるバッテリ管理装置200と各セルパッケージ300との間で相互認証を行うというものである。上記相互認証について、再度、図2を参照して説明する。バッテリ管理装置200とセルパッケージ300とにより相互認証を行うにあっっては、まず、セルパッケージ300を統括するバッテリユニット100自体が正規のものであるか否かについてしておく確認する必要がある。このために、総合管理サーバ600と、バッテリユニット100のバッテリ管理装置200との間で相互認証を行うステップS1。この相互認証は、例えばバッテリユニット100が設置されたときに行う。また、設置後においても例えばバッテリユニットの再起動時や一定期間ごとのタイミングで行うようにしてもよい。上記相互認証が成立すれば、総合管理サーバ600は、バッテリユニット100が正規のものであると認識する。これに対して、相互認証が不成立の場合、総合管理サーバ600は、バッテリユニットが正規のものではないと認識し、例えばこのバッテリユニットからアクセスが行われたとしても、これを拒否する。本実施形態では、バッテリ管理装置200に親鍵Kpを記憶させ、セルパッケージ300の各々におけるセル管理装置400に上記親鍵とペアの子鍵Kcを記憶させることとしている。そして、バッテリ管理装置200とセルパッケージ300のセル管理装置400の各々は、親鍵Kpと子鍵Kcを利用して、例えば換鍵方式による相互認証処理を実行するステップS2。この相互認証処理は、バッテリユニット100においてセルパッケージ300の交換が行われるのに応じて必ず実行される。また、例えばバッテリユニット100が設置されたときに実行されるものとする。また、バッテリユニット100の設置後において、バッテリユニット100が再起動された場合にも実行されるものとする。バッテリ管理装置200とセルパッケージ300の相互認証が成立した場合、バッテリ管理装置200は、そのセルパッケージ300を正規品であると認識し、このセルパッケージ300についての管理を行う。これに対して、バッテリ管理装置200とセルパッケージ300の相互認証が成立しなかった場合、バッテリ管理装置200は、このセルパッケージ300は正規品ではないと認識する。この場合、バッテリ管理装置200は、セルパッケージ300を動作させないように制御して使用できないようにする。本実施形態では、このようにバッテリ管理装置200とセルパッケージ300が相互認証を行うことによって、正規品でないセルパッケージ300の使用を防止できる。また、上記のようにバッテリ管理装置200とセルパッケージ300の相互認証が成立した後においては、所定のタイミングで、バッテリ管理装置200がセルパッケージ300の各々からセルパッケージ情報を取得するステップS3。セルパッケージ情報は、具体的には、対応のセルパッケージ300を一意に特定するセル識別子と、そのセルパッケージ300が備えるバッテリ二次電池についての所定の状態を示す情報から成る。バッテリ管理装置200は、配下のセルパッケージ300の各々から取得したバッテリ情報を利用して、セルパッケージ300を管理するためのセルパッケージ管理テーブルを構築する。上述のようにバッテリ管理装置200とセルパッケージ300の相互認証には親鍵Kpと子鍵Kcのペア鍵を使用する。しかし、子鍵Kcはユーザ側に設置されるセルパッケージ300において記憶されているので、悪意のあるユーザなどに漏洩しやすい状況にあるといえる。このために、子鍵Kcが固定のままであると、悪意のある事業者が子鍵Kcを解読するなどして、同じ子鍵Kcを記憶させた正規品でないセルパッケージを製造する可能性が生じてくる。そこで、本実施形態では、所定の機会により親鍵Kpと子鍵Kcの更新を行う。このためには、まず、総合管理サーバ600にて更新用親鍵データを生成し、この更新用親鍵データをバッテリ管理装置200に送信する。バッテリ管理装置200は、受信した更新用親鍵データを利用して親鍵Kpを更新するステップS4。なお、親鍵Kpの更新が成立しなかった場合は、総合管理サーバ600によりその異常を検知することができる。そして、バッテリ管理装置200は、この親鍵Kpの更新をトリガとして、下位のセルパッケージ300の子鍵Kcを更新するための処理を実行するステップS5。つまり、バッテリ管理装置200は、更新用子鍵データを生成し、セルパッケージ300に対して転送する。セルパッケージ300は、受信した更新用子鍵データを利用して子鍵Kcを更新する。なお、子鍵Kcの更新が成立しなかった場合は、バッテリ管理装置200によりその異常を検知することができる。このように、所定のタイミングでセルパッケージ300の子鍵Kcを更新することで、子鍵Kcを固定とした場合よりもセキュリティを高めることができる。なお、子鍵Kcを更新するタイミングとしては、例えば一定期間ごとに行うようにすればよい。また、これに加えて、何らかの要因によって親鍵Kpや子鍵Kcのデータが漏洩した可能性があると判断したときに更新を行うようにすれば、さらにセキュリティを高めることができる。また、前述のように、本実施形態のバッテリユニット100は、セルパッケージ300の交換が行われるステップS6。このようにセルパッケージ300の交換が行われた際にも、バッテリ管理装置200は子鍵Kcを更新するステップS7。本実施形態において、交換のために用意されるセルパッケージ300の子鍵Kcは、既定の初期値にリセットされている。子鍵Kcの初期値は、親鍵Kpがどのような値に更新されていても相互認証処理によって認証が成立するようにされた値が設定されている。これにより、セルパッケージ300の交換後においてバッテリ管理装置200が正規品であると認識して正常な動作を保証することができる。しかし、子鍵Kcを初期値のままとしていると、この初期値が悪意のあるユーザによって特定される可能性が高くなる。そこで、バッテリ管理装置200は、セルパッケージ300の交換が行われた直後において、以下の手順により、交換により新たに装填されたセルパッケージ300を対象として子鍵Kcの更新を実行することとしている。つまり、バッテリ管理装置200と新規装填されたセルパッケージ300は、それぞれ、親鍵Kpと初期値の子鍵Kcを利用して、上記ステップS2としての相互認証処理を実行する。そして、相互認証が成立したのであれば、バッテリ管理装置200は、上記ステップS7としての処理により初期値の子鍵Kcを更新する。このようにセルパッケージ300の交換に応じて子鍵Kcを更新することで、子鍵Kcが初期値のままであることの脆弱性を回避し、セキュリティの強化を図っている。また、セルパッケージ300の不正使用を防ぐためのもう1つの側面は、正規の業者の交換作業者5以外はセルパッケージ300の交換ができないようにするというものである。例えばバッテリユニット100の所有者によってもバッテリ交換が可能なようにした場合、たとえユーザが不正を行う意図が無くとも、なんらかのミスにより正規品でないセルパッケージを装填してしまう可能性がある。また、本実施形態のバッテリユニット100の規模の場合、技術や知識に乏しいユーザが交換作業を行うことは危険でもある。そこで、正規の業者のみがセルパッケージ300の交換が行えるようにすれば、セルパッケージの不正使用をより強固に防止でき、さらに安全対策もより万全になる。図3を参照して、正規の業者のみによりセルパッケージ300の交換を可能とするための仕組みの概要について説明する。この図には、管理サーバ600と、交換作業対象の1つのバッテリユニット100が示される。さらに、携帯端末装置700が示される。交換作業者5は、セルパッケージ300の交換業務を請け負う正規の事業者に属する。携帯端末装置700は、この正規の交換作業者5が交換作業に際して所持する装置である。この携帯端末装置700は、無線通信網のゲートウェイからネットワークを経由して管理サーバ600と通信可能とされている。バッテリユニット100から管理サーバ600に対しては、セルパッケージ管理情報が送信されるステップS11。管理サーバ600は、受信したセルパッケージ管理情報に基づいて、セルパッケージ300ごとに交換が必要か否かについて判定するステップS12。そして、少なくとも1つのセルパッケージ300を交換すべきであると判定すると、管理サーバ600は、ワンタイムパスワードOTPOneTimePasswordとバッテリ交換情報を生成するステップS13。ワンタイムパスワードは、例えば乱数を利用して生成することができる。また、バッテリ交換情報は、交換対象のセルパッケージに関連する所定の情報からなる。また、バッテリ交換情報は、交換作業者5が交換作業のために必要な情報を含んでいる。一例として、交換作業対象のバッテリユニット100の型番、バッテリユニット100の設置位置、バッテリユニット100における交換対象のセルパッケージ300の装填位置例えば、装填位置番号、所有者情報例えば、所有者の氏名、住所、電話番号などなどを格納する。そして、管理サーバ600は、上記ステップS13により生成したワンタイムパスワードとバッテリ交換情報を携帯端末装置700に送信するステップS14。携帯端末装置700は、受信したワンタイムパスワードとバッテリ交換情報を記憶する。また、管理サーバ600は、ステップS13により生成したバッテリ交換情報をワンタイムパスワードにより暗号化して、交換作業対象のバッテリユニット100に対して送信するステップS15。交換作業者5は、携帯端末装置700に対する所定操作により、受信したバッテリ交換情報の内容を表示部706に表示させる。交換作業者5は、バッテリ交換情報として表示された型番から、交換対象のバッテリユニット100の機種や、交換のために用意すべきセルパッケージ300の種類を判断できる。また、表示された設置位置によって、交換対象のバッテリユニット100が設置されている場所を知ることができる。また、表示された所有者情報によって、交換対象のバッテリユニット100の所有者の名前や連絡先などの情報を得ることができる。そこで、交換作業者5は、例えば所有者とアポイントをとったうえで、携帯端末装置700を所持して交換対象のバッテリユニット100の設置された場所にまで赴く。そして、交換作業者5は、携帯端末装置700に対する所定操作によって、携帯端末装置700が記憶するワンタイムパスワードを交換対象のバッテリユニット100に送信して認証処理を実行させるステップS16。バッテリユニット100は、通常時においては、内部のセルパッケージ300の交換可否について禁止を設定している。仮に、交換禁止が設定されている状態においてセルパッケージ300を交換したとする。すると、これを検知したバッテリユニット100は、交換されたセルパッケージが正規品であるか否かに係わらず、無条件でエラーが発生したとしてその動作を停止するようになっている。しかし、このように交換禁止が設定されたままの状態であると、たとえ正規の交換作業者5であってもセルパッケージ300を交換することができない。そこで、バッテリユニット100は、上記ステップS16による認証が成立した場合には、交換禁止を解除して交換許可を設定するステップS17。これにより、バッテリユニット100は、セルパッケージ300の交換を検知してもこれをエラーとして扱わずに通常に動作する。そして、交換作業者5は、上記のように交換許可を設定した状態においてセルパッケージ300の交換作業を行う。このように、本実施形態では、正規の業者の交換作業者5によってのみセルパッケージ300の交換が行えるようになっている。なお、先に図2により説明した親鍵Kpと子鍵Kcは、パスワード認証等の暗証方式に用いる暗証鍵暗証番号でもよいし、共通鍵方式または鍵交換方式等に用いる鍵でもよい。共通鍵方式と鍵交換方式は相互認証が可能なであるため、暗証方式より好ましい。暗証鍵を用いる場合、親鍵Kpの暗証鍵とセル識別子等のセルに固有の値を用いて演算して子鍵Kcを生成することができる。また、共通鍵方式または鍵交換方式を用いる場合にはパラーメータキーとロジックアルゴリズムのペアを用いることとなる。具体的には共通鍵暗号方式や公開鍵暗号方式のロジックアルゴリズムとしては、DESDataEncryptionStandard、AESAdvancedEncryptionStandard、RSA、楕円暗号等を用いることができる。これらの方法では、相互認証する2者が対応するパラーメータキーとロジックのペアを持っておき、これらを用いて演算した結果をお互いに照合することにより相互認証をすることができる。この場合、パラーメータキーのみを更新してもよいし、ロジックアルゴリズムのみを更新してもよい。またパラーメータキーとロジックアルゴリズムの双方を更新してもよい。また、親鍵Kpから子鍵Kcを生成する際は、親鍵のパラーメータキーとロジックの少なくもいずれか一方を元にセル識別子等セル固有の値を用いた演算から得た子鍵Kcを生成することもできる。子鍵Kc生成のための演算ロジックは、管理サーバ600だけではなく、バッテリ管理装置200にも記憶させておくことができる。[バッテリユニットにおけるバッテリ管理装置の構成]以降、本実施形態のバッテリユニット保守システムにおける鍵更新のための構成について説明することとし、まず、バッテリユニット100の構成から説明する。先に図2に示したように、バッテリユニット100は、バッテリ管理装置200とセルパッケージ300から成る。先にバッテリユニット100のバッテリ管理装置200から説明する。図4は、バッテリ管理装置200の構成例を示している。この図に示すバッテリ管理装置200は、CPUCentralProcessingUnit201、RAMRandomAccessMemory202、記憶部203、入力インターフェース204、出力インターフェース205、通信部206およびセルパッケージ対応通信部207を備える。これらの部位は、データバス208を介して接続されている。CPU201は、記憶部203に記憶されるプログラムを実行することにより、バッテリ管理装置200としての所定の機能を実現する。RAM202は、主記憶装置として機能するもので、CPU201が実行すべきプログラムが記憶部203から読み出されて展開される。また、RAM202は、CPU201が演算処理を実行する際の作業領域として使用される。記憶部203は、補助記憶装置として機能するもので、CPU201により実行されるプログラムや各種データを格納する。なお、この記憶部203には、例えばハードディスクやフラッシュメモリなどの半導体記憶装置を採用することができる。入力インターフェース204は、例えばキーボードやマウスなどの操作デバイスをはじめとする入力デバイスを一括して示したものである。また、出力インターフェース205は、例えばディスプレイデバイスやスピーカなどの出力デバイスを一括して示したものである。通信部206は、例えばネットワークなどの所定の通信網を経由して管理サーバ600や携帯端末装置700と通信を行う部位である。通信部206が対応するネットワークとしては、インターネットやWANWideAreaNetworkなどを想定することができる。なお、通信部206については、1つのインターフェースで携帯端末装置700や管理サーバ600と通信可能なように構成してもよい。あるいは、携帯端末装置700との通信のためのインターフェースや、管理サーバ600との通信のためのインターフェースなどのように、複数のインターフェースを備えて構成してもよい。セルパッケージ対応通信部207は、同じバッテリユニット100における複数のセルパッケージ300の各々と所定の通信規格にしたがって通信を行う部位である。この通信規格としては、例えばIEEE1394などのデータインターフェースをはじめ多様に考えられる。また、有線によるデータインターフェースのほか、RFIDRadioFrequencyIDentificationに適用される通信方式やブルートゥース登録商標などの近距離無線通信規格を採用することも考えられる。[バッテリユニットにおけるセルパッケージの構成]図5は、バッテリユニット100におけるセルパッケージ300の構成例を示している。この図に示すように、セルパッケージ300は、セル管理装置400とセル500を備える。セル管理装置400は、セルパッケージ300において備えられるセル500に関する所定の制御を行う部位である。具体的には、セル500に対する充放電に関する制御を行う。また、セル500の劣化度合いを判断するためのセル500に関する情報の収集を行う。このセル500に関する情報としては、例えばセル500に対する充放電の履歴の情報、セル500の電圧値などを挙げることができる。同図に示すセル管理装置400は、CPU401、RAM402、記憶部403、管理装置対応通信部404およびセル対応通信部405を備える。これらの部位は、データバス406を介して接続されている。CPU401は、記憶部403に記憶されるプログラムを実行することにより、セル管理装置400としての所定の機能を実現する。なお、RAM402および記憶部403の個々の機能については、図4のRAM202および記憶部203と同様となることから、ここでの説明は省略する。管理装置対応通信部404は、同じバッテリユニット100におけるバッテリ管理装置200と通信を行う部位である。この管理装置対応通信部404は、バッテリ管理装置200におけるセルパッケージ対応通信部207と同じ通信規格に対応した通信が可能なように構成される。セル対応通信部405は、同じセルパッケージ300におけるセル500と通信を行う部位である。セル対応通信部405を介した通信により、セル管理装置400は、セル500に対して充放電などの制御を実行することができる。また、セル500の劣化判定に使用する所定の情報をセル500から取得することができる。なお、セル対応通信部405が対応する通信規格は、所定の有線によるデータインターフェースのほか、RFIDに適用される通信方式やブルートゥース登録商標などの所定の近距離無線通信規格を適用することも考えられる。セル500は、例えばリチウムイオン電池などによる所定容量の二次電池である。また、この図のセル500は、二次電池に対する充放電回路などの周辺回路も含むものとされる。なお、本実施形態におけるバッテリユニット保守システムの運用では、前述のようにバッテリユニット100の性能劣化に対するメンテナンスとして、セルパッケージ300の単位で交換が行われるようになっている。これに応じて、セルパッケージ300は、内部のセル500を抜き取り不可なようにパッケージングされた構造となっている。[管理サーバの構成]図6は、管理サーバ600の構成例を示している。この図に示す管理サーバ600は、CPU601、RAM602、記憶部603、入力インターフェース604、出力インターフェース605および通信部606を備える。これらの部位は、データバス607を介して接続されている。CPU601は、記憶部603に記憶されるプログラムを実行することにより、管理サーバ600としての所定の機能を実現する。なお、RAM602、記憶部603、入力インターフェース604および出力インターフェース605の個々の機能については、それぞれ、図4のRAM202、記憶部203、入力インターフェース204および出力インターフェース205と同様となることから、ここでの説明は省略する。通信部606は、例えばネットワークなどの所定の通信網を経由して、バッテリユニット100や携帯端末装置700と通信を行う部位である。[携帯端末装置の構成]図7は、携帯端末装置700の構成例を示している。この図に示す携帯端末装置700は、CPU701、RAM702、記憶部703、通信部704、操作部705および表示部706を備える。これらの部位は、データバス707を介して接続されている。CPU701は、記憶部703に記憶されるプログラムを実行することにより、携帯端末装置700としての所定の機能を実現する。なお、RAM702、記憶部703の個々の機能については、それぞれ、図4のRAM202、記憶部203と同様となることから、ここでの説明は省略する。通信部704は、無線通信網を経由して通信を行う部位である。この通信部704が対応する無線通信網のゲートウェイを経由することで、携帯端末装置700は、管理サーバ600やバッテリユニット100などとネットワーク経由で通信を行うことが可能である。また、携帯端末装置700には携帯電話などを想定することができるが、この場合の通信部704は、携帯電話通信網経由により通話のための送受信も行うことが可能である。操作部705は、携帯端末装置700において備えられる各種操作子を一括して示している。表示部706は、CPU701の制御に応じて所定の画像を表示する。なお、携帯端末装置700が上記表示部706として上記タッチパネルを備えている場合には、このタッチパネルのタッチセンサも操作部705に含められる。[バッテリユニットにおけるバッテリ管理装置の機能構成]図7は、バッテリ管理装置200のCPU201がプログラムを実行することにより実現される機能構成例を示している。また、この図においては、図4に示した記憶部203、通信部206およびセルパッケージ対応通信部207をともに示している。また、この図では、記憶部203が記憶するデータのうち、CPU201が使用するデータとして親鍵Kp、バッテリユニット識別子230およびセルパッケージ管理テーブル240が示される。親鍵Kpは、同じバッテリユニット100のセルパッケージ300と相互認証を実行する際に使用される鍵である。バッテリユニット識別子230は、当該バッテリ管理装置200を備えるバッテリユニット100を一意に特定する識別子である。なお、バッテリユニット100を一意に特定するということは、バッテリユニット100ごとに1つずつ備えられるバッテリ管理装置200を一意に特定することと同義である。セルパッケージ管理テーブル240は、同じバッテリユニット100におけるセルパッケージ300ごとの管理情報を格納するテーブルである。同図においては、CPU201の機能部として、セルパッケージ管理部211、復号部212、認証処理部213、セルパッケージ特定部214、交換可否設定部215および子鍵生成部216が示される。セルパッケージ管理部211は、同じバッテリユニット100における配下のセルパッケージ300を統合して管理する。具体的に、セルパッケージ管理部211は、セルパッケージ300ごとに対する充放電制御を行う。また、セルパッケージ300の各々から、充放電の回数を示す履歴情報や、電圧値および電流値などのセルパッケージ情報を取得する。また、セルパッケージ管理部211は、上記のように取得したセルパッケージ情報を、記憶部203のセルパッケージ管理テーブル240に登録して管理する。図9は、セルパッケージ管理テーブル240の構造例を示している。この図に示すセルパッケージ管理テーブル240は、バッテリユニット100に装填されるセルパッケージ300ごとに対応して、セルパッケージ装填位置241と、セル識別子242と、セルパッケージ状態情報243と、交換可否フラグ244を格納した構造を有する。セルパッケージ装填位置241は、対応のセルパッケージ300の装填位置を示す。ここでは、バッテリユニット100においてN-1個のセルパッケージ300を装填可能とされているものとしたうえで、その装填位置ごとに、0~Nまでの番号が付されているものとする。セルパッケージ装填位置241は、この0~Nによる装填位置番号をそれぞれ格納する。セル識別子242は、対応のセルパッケージ300を一意に特定する識別子である。セルパッケージ状態情報243は、対応のセルパッケージ300の状態を示すものであり、具体的には、上述の充放電の履歴情報、電圧値および電流値などの所定項目の情報から成る。交換可否フラグ244は、対応のセルパッケージ300について交換禁止と交換許可のいずれが設定されているのかを示すフラグである。一例として、ここでは、0の値が禁止を示し、1の値が許可を示すこととしている。本実施形態では、上記のように交換可否フラグ244がセルパッケージ300ごとに対応付けられていることにより、セルパッケージ300の交換の可否は装填位置ごとに設定可能である。これに対して、セルパッケージ300の交換の可否を、すべての装填位置のセルパッケージ300に対して一律に設定することも考えられる。しかし、上記のようにセルパッケージ300の交換の可否を装填位置ごとに設定可能とすることで、交換対象でないセルパッケージ300については交換ができないことになるので、よりセキュリティが強化される。説明を図8に戻す。セルパッケージ管理部211は、所定のトリガまたは管理サーバ600からの要求に応答して、セルパッケージ管理テーブル240のデータを通信部206から管理サーバ600に対して送信させる制御も実行する。このように送信されたセルパッケージ管理テーブル240は、管理サーバ600において、バッテリユニット100を管理するテーブルの構築に利用されるとともに、セルパッケージ300ごとの交換の要否を判定するのに利用される。先に図3にて述べたように、管理サーバ600からはワンタイムパスワードにより暗号化されたバッテリ交換情報が送信される。また、携帯端末装置700からは認証のためのワンタイムパスワードが送信されてくる。復号部212は、暗号化されたバッテリ交換情報を、携帯端末装置700から送信されたワンタイムパスワードにより復号化する。復号化が正常に実行されれば、携帯端末装置700が送信したワンタイムパスワードは正しいことが検証される。これは、携帯端末装置700が正規のものであり、したがって、これを所持する交換作業者5は正規の業者であるとして認証されたことを意味する。認証処理部213は、通信部206経由で、管理サーバ600との認証処理、また、携帯端末装置700との認証処理を実行する。また、セルパッケージ対応通信部207経由で、同じバッテリユニット100におけるセルパッケージ300の各々と親鍵Kpを利用した相互認証を実行する。セルパッケージ特定部214は、復号部212により復号されたバッテリ交換情報の内容に基づいて、交換対象のセルパッケージ300を特定する。特定された交換対象のセルパッケージ300は、例えばその装填位置により示される。交換可否設定部215は、セルパッケージ300の交換可否を設定する。そして、上記のようにセルパッケージ特定部214により交換対象のセルパッケージ300が特定されたことに応じては、そのセルパッケージ300の交換可否について禁止から許可に変更する。なお、この交換可否設定の変更は、セルパッケージ管理テーブル240の交換可否フラグ244を0から1に書き換えることにより行う。子鍵生成部216は、セルパッケージ300における子鍵Kcの更新に際し、更新用子鍵のデータを生成する。なお、この更新用子鍵について、ここでは、更新されるべき子鍵Kcそのもののデータであることを想定するが、例えば、子鍵生成のための種データとすることも考えられる。そして、この更新用子鍵を、セルパッケージ対応通信部207経由で、セルパッケージ300ごとに対して転送する。セルパッケージ300は、転送された更新用子鍵により自己が記憶している子鍵Kcを更新する。[セルパッケージにおけるセル管理装置の機能構成]図10は、セルパッケージ300におけるセル管理装置400のCPU401がプログラムを実行することにより実現される機能構成例を示している。また、この図においては、図5に示した記憶部403、管理装置対応通信部404およびセル対応通信部405をともに示している。また、この図では、記憶部403が記憶するデータのうち、CPU401が使用するデータとして子鍵Kc、セル識別子430およびセル管理テーブル440が示される。子鍵Kcは、同じバッテリユニット100におけるバッテリ管理装置200と相互認証を行う際に利用される鍵である。セル識別子430は、当該セル管理装置400を含むセルパッケージ300を一意に特定する識別子である。同図においては、CPU401の機能部として、セル管理部411、認証処理部412および子鍵更新部413が示される。セル管理部411は、同じセルパッケージ300におけるセル500を管理する。具体例として、セル管理部411は、セル対応通信部405経由でセル500に対する充放電の動作を制御する。また、セル500から、電圧値や電流値などの動作状態を示す所定の情報を取得し、セル管理テーブル440として記憶部403に記憶させる。また、セル管理テーブル440には、これまでの充放電回数などを示す履歴情報も格納する。また、セル管理部411は、バッテリ管理装置200からの要求または所定のトリガに応答して、記憶部403に記憶されるセル識別子430とセル管理テーブル440のデータバッテリ情報をバッテリ管理装置200に対して転送する。バッテリ管理装置200は、転送されたセル識別子430とセル管理テーブル440のデータを利用してセルパッケージ管理テーブル240を作成する。認証処理部412は、同じバッテリユニット100における上位のバッテリ管理装置200と相互認証処理を実行する。この相互認証処理に際して、認証処理部412は、記憶部403に記憶される子鍵Kcを利用する。子鍵更新部413は、バッテリ管理装置200から受信した更新用子鍵を利用して、記憶部403に記憶される子鍵Kcを更新する。[管理サーバの機能構成]図11は、管理サーバ600のCPU601がプログラムを実行することにより実現される機能構成例を示している。また、この図においては、図6に示した記憶部603および通信部606をともに示している。また、この図では、記憶部603が記憶するデータのうち、バッテリユニット管理テーブル630および携帯端末装置管理テーブル650が示される。バッテリユニット管理テーブル630は、自己の管理下におけるバッテリユニット100についての所定項目の情報を格納するテーブルである。携帯端末装置管理テーブル650は、当該管理サーバ600に登録している携帯端末装置700についての所定項目の情報を格納するテーブルである。同図においては、CPU601の機能部として、バッテリユニット管理部611、認証処理部612、セル交換要否判定部613、バッテリ交換情報生成部614、ワンタイムパスワード生成部615および送信制御部616が示される。バッテリユニット管理部611は、自己の管理下におけるバッテリユニット100を管理する。具体例として、バッテリユニット管理部611は、通信部606経由でバッテリユニット100から受信したセルパッケージ管理テーブル240のデータセルパッケージ管理情報を利用してバッテリユニット管理テーブル630を作成する。図12aは、バッテリユニット管理テーブル630の構造例を示している。この図に示すように、バッテリユニット管理テーブル630は、バッテリユニット識別子631に対して、バッテリユニット型番632、IPアドレス633およびバッテリユニット状態情報640を対応付けた構造を有する。バッテリユニット識別子631には、管理サーバ600の管理下にあるバッテリユニット100ごとのバッテリユニット識別子230の値が格納される。バッテリユニット型番632には、対応のバッテリユニット100の型番が格納される。IPアドレス633には、対応のバッテリユニット識別子631により特定されるバッテリユニット100に割り当てられたIPアドレスが格納される。通信部606は、このIPアドレスを送信先として設定することでバッテリユニット100を指定して通信を行うことができる。バッテリユニット状態情報640は、対応のバッテリユニット100の状態を示す情報を格納する。具体的には、対応のバッテリユニット100におけるセルパッケージ300ごとの状態を示す情報を格納する。図12bは、バッテリユニット状態情報640の構造例を示している。この図に示すバッテリユニット状態情報640は、セルパッケージ装填位置641と、セル識別子642と、セルパッケージ状態情報643を対応付けた構造を有する。これらセルパッケージ装填位置641、セル識別子642およびセルパッケージ状態情報643の情報は、バッテリユニット100からセルパッケージ管理情報として受信した情報に基づく。つまり、バッテリユニット100のセルパッケージ管理テーブル240においてセルパッケージ装填位置241、セル識別子242およびセルパッケージ状態情報243として格納されていた情報に基づく。説明を図11に戻す。認証処理部612は、管理サーバ600の配下におけるバッテリユニット100の各々と相互認証を実行する部位である。この際、認証処理部612は、バッテリユニット100のバッテリ管理装置200が備える認証処理部213と相互認証処理を実行する。この相互認証処理が成立することにより、管理サーバ600は、相手のバッテリユニット100が正規のものであると認識する。セル交換要否判定部613は、セルパッケージ管理テーブル240の情報つまり、セルパッケージ管理情報に基づいて、バッテリユニット100内のセルパッケージ300ごとに交換の要否を判定する。上記のように、バッテリユニット管理テーブル630には、セルパッケージごとの充放電回数、電圧値および電流値などの情報がセルパッケージ状態情報643として格納されている。充放電回数が多いほど、セルパッケージ300のセル500の劣化は進んでいると判定できる。また、計測される電圧値や電流値と既定値との差に基づいても劣化の進行程度を推定できる。そこで、セル交換要否判定部613は、セルパッケージ状態情報643の内容に基づいて、劣化の度合いが一定以上であると判断されるセルパッケージ300について、交換が必要であると判定する。バッテリ交換情報生成部614は、セル交換要否判定部613により交換が必要なセルパッケージ300が判定されるのに応じて、この交換対象とされたセルパッケージ300の交換作業に用いられるバッテリ交換情報を生成する。このバッテリ交換情報の生成には、記憶部603に記憶されるバッテリユニット管理テーブル630と携帯端末装置管理テーブル650における所定の情報を利用する。ワンタイムパスワード生成部615は、セル交換要否判定部613により交換が必要なセルパッケージ300が判定されるのに応じて、ワンタイムパスワードを生成する。このワンタイムパスワードの生成には例えば乱数を利用する。ここで、図13aを参照して携帯端末装置管理テーブル650の構造例について説明する。この図に示す携帯端末装置管理テーブル650は、端末識別子651ごとに対して、保守対象バッテリユニットリスト652およびIPアドレス653を対応付けた構造を有する。端末識別子651は、当該管理サーバ600に登録されている携帯端末装置700を一意に特定する識別子である。保守対象バッテリユニットリスト652は、対応の携帯端末装置700が保守対象とするバッテリユニット100のリストが示される。この保守対象バッテリユニットリスト652は、図示するように、1つのリストにおいて、バッテリユニット識別子652a、バッテリユニット設置位置652bと、所有者情報652cが格納される。バッテリユニット識別子652aは、保守対象とするバッテリユニット100の識別子を格納する。バッテリユニット設置位置652bは、保守対象とするバッテリユニット100が設置された位置場所を示す。この位置は、例えば所在地の住所や、緯度と経度により示される。所有者情報652cは、対応のバッテリユニット100の所有者に関する所定の情報が格納される。具体的に、所有者情報652cは、所有者の氏名、住所、電話番号などの情報を格納する。IPアドレス653は、対応の携帯端末装置700に割り当てられたIPアドレスを格納する。また、図13bを参照してバッテリ交換情報の構造例について説明する。この図に示すバッテリ交換情報660は、バッテリユニット識別子661、バッテリユニット型番662、バッテリユニット設置位置663、セルパッケージ装填位置664および所有者情報665を備える。バッテリユニット識別子661は、交換作業対象のバッテリユニット100の識別子を格納する。バッテリユニット型番662は、交換作業対象のバッテリユニット100の型番を示す。バッテリユニット設置位置663は、交換作業対象のバッテリユニット100が設置されている位置場所を格納する。セルパッケージ装填位置664は、交換対象のセルパッケージ300が装填されている装填位置を、例えば装填位置に付された番号により示す。所有者情報665は、交換作業対象のバッテリユニット100の所有者に関する情報を示す。バッテリ交換情報660において、バッテリユニット識別子661とバッテリユニット型番662とセルパッケージ装填位置664の各情報は、バッテリユニット管理テーブル630から取得する。つまり、バッテリユニット管理テーブル630に格納される情報のうち、交換対象のバッテリユニット100に対応するバッテリユニット識別子631、バッテリユニット型番632とセルパッケージ装填位置641を取得する。また、バッテリユニット設置位置663および所有者情報665は、携帯端末装置管理テーブル650から取得する。つまり、交換作業対象のバッテリユニット100のバッテリユニット識別子652aを含む保守対象バッテリユニットリスト652におけるバッテリユニット設置位置652bと所有者情報652cから取得する。説明を図11に戻す。送信制御部616は、先の説明のように生成されたバッテリ交換情報660とワンタイムパスワードを、通信部606から携帯端末装置700に対して送信する。この際、送信制御部616は、交換作業対象のバッテリユニット100のバッテリユニット識別子652aを格納する保守対象バッテリユニットリスト652に対応付けられたIPアドレスを送信先として設定する。これにより、交換作業対象のバッテリユニット100を保守対象としている携帯端末装置700に対して、バッテリ交換情報660およびワンタイムパスワードを送信することができる。また、送信制御部616は、生成されたバッテリ交換情報660を上記ワンタイムパスワードにより暗号化し、交換作業対象のバッテリユニット100に対して送信する。この際、送信制御部616は、バッテリユニット管理テーブル630から、交換作業対象のバッテリユニット100のIPアドレス633を読み出し、この読み出したIPアドレスを送信先として指定する。[携帯端末装置の機能構成例]図14は、携帯端末装置700のCPU701がプログラムを実行することにより実現される機能構成例を示している。また、この図においては、CPU701とともに、図7に示した記憶部703、通信部704および操作部705を示している。同図においては、CPU701の機能部として、受信データ記憶制御部711とワンタイムパスワード送信制御部712が示される。受信データ記憶制御部711は、管理サーバ600から受信したバッテリ交換情報660とワンタイムパスワードを記憶部703に記憶させるための制御を実行する。ワンタイムパスワード送信制御部712は、操作部705に対して行われた所定操作に応じて、記憶部703に記憶されたワンタイムパスワードを通信部704から送信させるための制御を実行する。[セルパッケージ交換に対応する処理手順例]図15のシーケンス図は、本実施形態のバッテリユニット保守システムにおいて、セルパッケージ300の交換に対応して実行される処理手順例を示している。なお、この図に示す処理は、図8に示したバッテリ管理装置200の所定の機能部、図11に示した管理サーバ600のCPU601における所定の機能部、および、図14に示した携帯端末装置700にCPU701における所定の機能部のいずれかが適宜実行する。先の図3におけるステップS11として説明したように、バッテリユニット100バッテリ管理装置200のセルパッケージ管理部211は、セルパッケージ管理テーブル240のデータをセルパッケージ管理情報として送信するステップS101。管理サーバ600のバッテリユニット管理部611は、前述のように受信したセルパッケージ管理情報を利用してバッテリユニット管理テーブル630を作成する。そして、セル交換要否判定部613は、このバッテリユニット管理テーブル630の内容に基づいて、配下のバッテリユニット100におけるセルパッケージ300ごとに、その交換の要否を判定するステップS102。この判定に際しては、前述のようにセルパッケージ状態情報643に格納される充放電回数や電圧値および電流値などを利用する。例えば、充放電回数が所定の閾値を超えている、また、電圧値および電流値の規定値に対する誤差が所定率以上になるなどの条件を満たすと交換が必要であると判定する。そして、上記交換要否判定の処理により、セル交換要否判定部613が或る特定のセルパッケージ300について交換が必要であると判定したとするステップS103。これに応じて、バッテリ交換情報生成部614は、交換作業対象となるバッテリユニット100についてのバッテリ交換情報660を生成するステップS104。また、ワンタイムパスワード生成部615はワンタイムパスワードを生成するステップS105。次に、送信制御部616は、バッテリ交換情報660をワンタイムパスワードにより暗号化する。そのうえで、この暗号化されたバッテリ交換情報660を、通信部606から交換作業対象のバッテリユニット100に対して送信させるステップS106。バッテリユニット100におけるセルパッケージ管理部211は、この暗号化されたバッテリ交換情報660を受信し、記憶部203に記憶させる。また、送信制御部616は、交換作業対象のバッテリユニット100を保守対象としている携帯端末装置700に対して、生成されたバッテリ交換情報660とワンタイムパスワードを通信部606により送信させるステップS107。これに応じて、携帯端末装置700の受信データ記憶制御部711は、受信したバッテリ交換情報660とワンタイムパスワードを記憶部703に記憶させる。先のステップS106に応じて携帯端末装置700がバッテリ交換情報660とワンタイムパスワードを受信した後において、交換作業者5は、バッテリ交換情報660が交換作業対象として示すバッテリユニット100に赴いて交換作業を行うことになる。この作業に先立ち、交換作業者5は、操作部705に対する所定操作によって作業者認証コード暗証番号を入力する。携帯端末装置700のワンタイムパスワード送信制御部712は、入力された作業者認証コードが正しいものであるか否かの検証を実行するステップS108。このためには、例えば記憶部703に予め記憶してある作業者認証コードと、入力された作業者認証コードとを照合して両者が一致しているか否かについて判定すればよい。そして、作業者認証コードが正しいものであるとの検証結果が得られた後において、交換作業者5は、携帯端末装置700に対する所定操作によってワンタイムパスワードの送信を指示する。これに応じて、ワンタイムパスワード送信制御部712は、記憶部703に記憶したワンタイムパスワードを、交換作業対象のバッテリユニット100を送信先として指定して通信部606に送信させるステップS109、S110。ここで、図15においては、管理サーバ600を経由してから携帯端末装置700にワンタイムパスワードを送信することとしている。つまり、ワンタイムパスワード送信制御部712は、まず、管理サーバ600に対して、ワンタイムパスワードのデータとともにワンタイムパスワードの転送要求を送信するステップS109。この際に、転送先として、交換作業対象のバッテリユニット100のIPアドレスを指定する。この転送要求を受信した管理サーバ600の通信部606は、転送先として指定されたIPアドレスを送信先としてワンタイムパスワードを送信するステップS110。例えば管理サーバ600を中継することなく、携帯端末装置700とバッテリユニット100との間でワンタイムパスワードを送受信するようにしてもよい。しかし、上記のように管理サーバ600を介在させれば、この管理サーバ600に登録されている携帯端末装置700以外の転送要求は不正であるとして拒絶されることになるため、セキュリティの強化が図られる。交換作業対象のバッテリユニット100において、復号部212は、上記ステップS109に対応して受信したワンタイムパスワードを復号鍵として利用して、暗号化されたバッテリ交換情報660を復号するステップS111。この暗号化されたバッテリ交換情報660は、先のステップS106に対応して受信し、記憶部203に記憶させていたものである。また、復号部212は、上記ステップS111の復号処理の結果から、ステップS110に対応して受信したワンタイムパスワードが正しいものであるか否かについての検証を行うステップS112。バッテリ交換情報660が正常に復号できればワンタイムパスワードは正しいものであると検証され、復号がエラーと成ったのであればワンタイムパスワードは不正なものであると検証される。上記ステップS112によりワンタイムパスワードが正しいものであると検証された場合、このワンタイムパスワードを送信してきた携帯端末装置700は正規のものであり、したがって、この携帯端末装置700を所持する交換作業者5も正規の事業者に属していることになる。このように、上記ステップS112のワンタイムパスワードの検証により、交換作業者5が正規であるか否かの認証が行われる。そして、ワンタイムパスワードが正しいものであると検証された場合、セルパッケージ特定部214は、配下のセルパッケージ300のうちから交換対象のセルパッケージ300を特定するステップS113。このために、セルパッケージ特定部214は、復号されたバッテリ交換情報660におけるセルパッケージ装填位置664を認識する。つまり、セルパッケージ特定部214は、その装填位置により、交換対象のセルパッケージ300を特定する。次に、交換可否設定部215は、交換対象として特定されたセルパッケージ300について交換許可を設定するステップS114。このためには、前述のように、セルパッケージ管理テーブル240において、交換対象として特定されたセルパッケージ300のセルパッケージ装填位置241に対応付けられた交換可否フラグ244について、許可を示す値1をセットする。上記のように交換許可が設定されている状態のもとで、交換作業者5は、所定の手順にしたがってセルパッケージ300を交換する作業を行う。この際、セルパッケージ管理部211は、交換作業者5の操作に応じて、セルパッケージ300の交換に対応したモード状態を設定するステップS115。例えば、作業が安全に行われるように、セル500の電気的接続を遮断するなどの状態を設定する。そして、交換作業者5は、セルパッケージ300の交換作業を終えると、バッテリ交換作業の完了を知らせるための所定操作をバッテリユニット100に対して行う。認証処理部213は、上記バッテリ交換作業完了の操作を検知するとステップS116、新規に装填されたセルパッケージ300との間で、図2のステップS1として説明した相互認証処理を実行するステップS117。上記ステップS117による相互認証処理が成立するのに応じて、子鍵生成部216は、図2のステップS3として説明したように、新規装填されたセルパッケージ300が記憶する初期値の子鍵Kcを更新するための制御を実行するステップS118。そして、これまでの処理が完了すると、セルパッケージ管理部211は、管理サーバ600に対してセルパッケージ300の交換作業が完了した旨を通知するステップS119。なお、この図に示していないが、交換可否設定部215は、例えばステップS116にてバッテリ交換作業完了の操作が検知された後の所定タイミングで、これまでに許可を設定していた状態から禁止に変更する処理を実行する。[他の実施形態第1例]続いて、本発明における他の実施形態について説明する。他の実施形態は、セルパッケージ300の交換作業を行うにあたり、事前に交換作業者5とバッテリユニット100の所有者が本人であるか否かについての認証を行う。なお、以降において、この認証については人認証とも称することとする。ここでは、この他の実施形態としての人認証のための構成として、第1例から第4例の4例について説明する。図16は、他の実施形態の第1例としての人認証の概要を示している。この図には、交換作業対象のバッテリユニット100と、管理サーバ600と、交換作業者5が所持する携帯端末装置700が示される。そのうえで、さらにICカード800が示される。ICカード800は、特許請求の範囲に記載の他の端末装置に相当する。ICカード800は、バッテリユニット100の所有者に配布されるものであり、ICカード800ごとに固有のカード識別子が設定されている。ICカード800は、このカード識別子を記憶している。また、図示による構成の説明は省略するが、このICカード800は、所定の近距離無線方式によって通信を行うことが可能とされている。この他の実施形態において、バッテリユニット100の通信部206および携帯端末装置700の通信部704は、上記ICカード800の近距離無線通信方式に対応して通信が可能なように構成されているものとする。なお、所有者が認証のために所持する装置他の端末装置としては、上記ICカード800の形態に限定されるものではない。この他の実施形態の第1例において、交換作業者5は、交換作業に先立って所有者6からICカード800を受け取り、上記近距離無線通信により、携帯端末装置700に対してICカード800が記憶するカード認証コードを送信させるステップS21。ここでのカード認証コードは、ICカード800ごとに固有となる所定ビット数によるコードであり、一例として、ICカード800を一意に識別するカード識別子や、所有者6が予め登録したパスワードを利用することができる。次に、携帯端末装置700は、受信したカード認証コードを管理サーバ600に対して転送するステップS22。また、携帯端末装置700は、自己が記憶部203に記憶している端末認証コードを管理サーバ600に対して送信するステップS23。この端末認証コードも、その一例としては、携帯端末装置700を一意に識別する端末識別子や、携帯端末装置700に対応して予め登録されたパスワードを利用することができる。管理サーバ600の認証処理部612は、ステップS22に対応して受信したカード認証コードを利用してICカード800が正規のものであるか否かについてのカード認証処理を実行するステップS24。なお、カード認証コードがカード識別子である場合のカード認証処理は以下のようになる。つまり、認証処理部612は、バッテリユニット管理テーブル630におけるカード識別子634から、受信したカード認証コードとしてのカード識別子と一致するものを検索する。ここで、一致するものが検索されればICカード800は正規に登録されたものであるとの認証が成立することになる。本実施形態において、この認証の成立は、所有者6が本人であると認証したことを意味する。また、認証処理部612は、ステップS23に応じて受信した端末認証コードを利用して端末認証処理を実行するステップS25。端末認証コードが端末識別子である場合の端末認証処理は、以下のようになる。認証処理部612は、携帯端末装置管理テーブル650から、受信した端末認証コードとしての端末識別子と一致するものを検索する。ここで、一致するものが検索されれば認証が成立することになる。この認証の成立は、携帯端末装置700が正規のものであり、したがって、交換作業者5が本人であると認証したことを意味する。また、上記のようにオンラインによってカード認証コードと端末認証コードを送信するにあたっては、以下の経路とすることも考えられる。つまり、近距離無線通信によって、ICカード800からバッテリユニット100に対してカード認証コードを送信するステップS21a。バッテリユニット100は、受信したカード認証コードを管理サーバ600に転送するS22a。また、携帯端末装置700も、近距離無線通信によってバッテリユニット100に対して端末識別データを送信するステップS23a。バッテリユニット100は、受信した端末識別データを管理サーバ600に転送するS23bというものである。図17のシーケンス図は、上記図16に示した人認証処理の結果を利用したセルパッケージ交換時の処理手順例を示している。なお、この図において図15と同じステップについては同一符号を付して説明を省略する。図16にて説明したステップS21~S25までによる人認証カード認証および端末認証のための手順は、ステップS109としての携帯端末装置700からのワンタイムパスワードの送信を実行させる前の段階で行う。そして、交換作業者5は、図16のカード認証および端末認証を行ったうえで、携帯端末装置700を操作してステップS109としてのワンタイムパスワードの送信を実行させる。上記ステップS109によりワンタイムパスワードが送信されてくる段階では、管理サーバ600は、図16のステップS24によるカード認証処理の結果と、ステップS25による端末認証処理の結果を保持している。そこで、管理サーバ600の認証処理部213は、上記の結果に基づき、カード認証と端末認証の両者が成立したか否かの確認を行うステップS121。ステップS121においてカード認証結果と端末認証結果の両者が成立したことが確認されれば、管理サーバ600の送信制御部616は、ステップS110による携帯端末装置700から受信したワンタイムパスワードをバッテリユニット100に転送する制御を実行する。つまり、バッテリユニット100においてステップS111以降の手順を実行させ、ステップS114にて交換の許可が設定されるように制御する。このように交換の許可が設定されることで、セルパッケージ300の交換作業を行うことができる。これに対して、ステップS121においてカード認証結果と端末認証結果の両者が成立していないことが確認されると、送信制御部616は、ステップS110によるワンタイムパスワードの転送制御を実行しない。つまり、バッテリユニット100においてステップS111以降の処理を停止させ、ステップS114にて交換禁止が設定されるように制御する。これにより、セルパッケージ300の交換作業は行えないことになる。このように他の実施形態の第1例では、先の実施形態と同様にセルパッケージ交換に対応する処理が実行されるうえで、図16により説明した人認証が行われる。そして、この人認証が成立しなければセルパッケージ300の交換ができないようにされている。これにより、他の実施形態では、先の実施形態をもとにしてさらにセキュリティが強化されることになる。[他の実施形態第2例]図18は、他の実施形態の第2例における人認証の手順を示している。上記第1例におけるカード認証と端末認証はいずれもネットワークを経由したオンラインで行われるものとしてみることができる。これに対して、第2例は、カード認証をオンラインで行うのに対して端末認証をオフラインで行う。図18におけるカード認証のための手順は、図16と同様に、ステップS21、S22およびS24により実行される。つまり、ICカード800のカード認証コードが携帯端末装置700から管理サーバ600に転送され、管理サーバ600がカード認証処理を実行するというものである。一方、端末認証については、まず、管理サーバ600からバッテリユニット100に対して、予め登録されている携帯端末装置700ごとの端末認証コードのデータを送信しておくステップS31。バッテリユニット100は、この端末認証コードのデータを記憶部203に記憶させておくようにする。そのうえで、交換作業者5は、バッテリユニット100に対する所定操作によって、端末認証コードを入力するステップS32。なお、このようにオフライン環境で操作によって認証コードを入力する場合には、所定桁数の暗証番号を認証コードとしたほうが円滑な運用を行える。この端末認証コードの入力に応じて、バッテリユニット100の認証処理部213は端末認証処理を実行するステップS33。この際、認証処理部213は、記憶部203に記憶した端末認証コードのうちから、入力された端末認証コードと一致するものを検索する。同じ端末認証コードが検索されれば携帯端末装置700が正規のものであるとして認証が成立する。このように第2例では、カード認証処理はオンラインによって管理サーバ600にて実行され、端末認証処理はオフラインによってバッテリユニット100にて実行される。図19のシーケンス図は、上記図18に示した人認証処理の結果を利用したセルパッケージ交換時の処理手順例を示している。なお、この図において図17と同じステップについては同一符号を付して説明を省略する。この場合、管理サーバ600の認証処理部612は、ステップS121による人認証処理の成否確認として、図18のステップS24にて実行したカード認証処理の成否について確認する。ここで、カード認証が成立していたと確認されれば、ステップS110によるワンタイムパスワードの転送が行われる。これに対して、カード認証が成立していないことが確認されれば、上記ワンタイムパスワードの転送は実行されず、その結果として、バッテリユニット100においてセルパッケージ300の交換が禁止される。また、バッテリユニット100における認証処理部213は、ステップS110により送信されたワンタイムパスワードの受信に応じて、人認証成否確認の処理として、図18のステップS33による端末認証が成立したか否かを確認するステップS122。ここで、端末認証処理が成立したことが確認されれば、ステップS111によるバッテリ交換情報650の復号が行われ、復号が正常に実行されるのに応じてセルパッケージ300の交換が許可されるステップS114。これに対して、端末認証が成立していないことが確認されれば、ステップS111による復号処理を実行しないために、セルパッケージ300の交換が禁止される。このように、第2例においても、人認証カード認証および端末認証が成立しなければセルパッケージ300の交換が行えないようにされている。[他の実施形態第3例]図20は、他の実施形態の第3例における人認証の手順を示している。第3例は、上記第2例とは逆に、ICカード800のカード認証をオフラインで行うのに対して、携帯端末装置700の端末認証をオンラインで行う。図20において、カード認証については、まず、管理サーバ600からバッテリユニット100に対して、予め登録されているICカードごとのカード認証コードのデータを送信しておくステップS41。バッテリユニット100は、このカード認証コードのデータを記憶部203に記憶させておくようにする。そのうえで、所有者6は、バッテリユニット100に対する所定操作によって、カード認証コードを入力するステップS42。これに応じて、バッテリユニット100の認証処理部213はカード認証処理を実行するステップS43。この際、認証処理部213は、記憶部203に記憶したカード認証コードのうちから、入力されたカード認証コードと一致するものを検索する。同じカード認証コードが検索されればICカード800は正規のものであるとして認証が成立する。また、端末認証については、第1例図16と同様に、携帯端末装置700が、自己が記憶部203に記憶している端末認証コードを管理サーバ600に対して送信するステップS23。そして、この端末認証コードの受信に応じて、管理サーバ600の認証処理部612は、端末認証処理を実行するステップS25。上記第3例の人認証処理の結果を利用したセルパッケージ交換時の処理手順としては、先に第2例として示した図19と同様となる。ただし、第3例のステップS121は、管理サーバ600の認証処理部612が図20のステップS25により実行した端末認証処理の成否について確認する処理となる。また、ステップS122は、バッテリユニット100における認証処理部213が図20のステップS43により実行したカード認証処理の成否について確認する処理となる。[他の実施形態第4例]図21は、他の実施形態の第4例における人認証の手順を示している。第4例は、ICカード800のカード認証と、携帯端末装置700の端末認証をいずれもオフラインで行う。図21においては、まず、管理サーバ600からバッテリユニット100に対して、予め登録されているICカードごとのカード認証コードと、携帯端末装置700の端末認証コードのデータをそれぞれ送信しておくステップS51。バッテリユニット100は、このカード認証コードと端末認証コードの各データを記憶部203に記憶させておく。そのうえで、カード認証に対応して、所有者6は、図20第3例と同様に、バッテリユニット100に対する所定操作によって、カード認証コードを入力するステップS42。これに応じて、バッテリユニット100の認証処理部213はカード認証処理を実行するステップS43。また、端末認証に対応して、交換作業者5は、同じくバッテリユニット100に対する所定操作によって、端末認証コードを入力するステップS32。これに応じて、バッテリユニット100の認証処理部213は端末認証処理を実行するステップS33。図22のシーケンス図は、上記第4例の人認証処理の結果を利用したセルパッケージ交換時の処理手順を示している。図22における人認証成否確認の処理は、管理サーバ600が実行するステップS121が省略されており、バッテリユニット100が実行するステップS122のみとされている。第4例における認証処理部213は、上記ステップS122として、ステップS33による端末認証処理の成否と、ステップS43によるカード認証処理の成否の両者について確認する。そして、端末認証処理とカード認証処理の両者が成立していると確認すれば、ステップS111による復号処理が実行されることでセルパッケージ300の交換が許可される。これに対して、端末認証処理とカード認証処理の少なくともいずれか一方が成立していないことを確認した場合には、ステップS111による復号処理が停止され、セルパッケージ300の交換が禁止されたままとなる。なお、上述のバッテリユニット100、管理サーバ600、携帯端末装置700およびICカード800は、内部にコンピュータシステムを有している。そして、上述したバッテリ交換に対応する処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、CD-ROM、DVD-ROM、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。また、図8、図10、図11および図14における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより本実施形態としての各処理を行ってもよい。なお、ここでいうコンピュータシステムとは、OSや周辺機器等のハードウェアを含むものとする。また、コンピュータシステムは、ホームページ提供環境あるいは表示環境を備えたWWWシステムも含むものとする。また、コンピュータ読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ROM、CD-ROM等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらにコンピュータ読み取り可能な記録媒体とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリRAMのように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する伝送媒体は、インターネット等のネットワーク通信網や電話回線等の通信回線通信線のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル差分プログラムであっても良い。