JP2000019960A

JP2000019960A - 遠隔操作方法

Info

Publication number: JP2000019960A
Application number: JP10181865A
Authority: JP
Inventors: Masatoshi Furuya; 雅年古谷; Toyohiko Yamauchi; 豊彦山内
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1998-06-29
Filing date: 1998-06-29
Publication date: 2000-01-21
Also published as: US6539478B1

Abstract

(57)【要約】【課題】ネットワークを介して遠隔操作を行うとき、
ネットワーク上の信号を第３者から秘匿し、かつ、操作
の排他処理ができるようにすること。【解決手段】制御装置と操作端末との間で共通鍵11を
共有し、制御信号を入力するためのインタフェースを表
示し、ユーザが制御信号21を入力すると、次回操作権22
を発生し(112)、制御信号21と次回操作権22と今回操作
権12を含む信号23を共通鍵11で暗号化し(114)、制御装
置に転送する(115)。次回操作権22は操作端末に記憶す
る(112)。制御装置側では転送された暗号文24を共通鍵1
1で復号化し(117)、制御信号21と今回操作権12と次回操
作権22とを取得し、今回操作権12が制御装置側に登録し
てある操作権と一致するかを判定し(118)、一致する場
合は制御機器に制御信号を送る(119)。次回操作権22は
制御装置側に登録される(120)。制御装置は、共通鍵と
操作権とモードからなるテーブル90を有する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、不特定多数の人が
利用するインターネットなどの情報系ネットワークを利
用して各種制御機器を操作する遠隔操作方法に関し、特
に、ネットワーク上の信号を第３者から秘匿するととも
に、複数の利用者からの操作に対して排他処理が可能な
遠隔制御方法に関する。

【０００２】

【従来の技術】従来、例えば、下水処理場や排水機場の
ポンプの起動、停止などの遠隔操作は、制御監視室の専
用卓を使って専用の回線で信号を送ることによって行わ
れてきた。しかし、最近、インターネット／イントラネ
ット技術を用い、一般の情報系ネットワークを使って、
各種制御機器の遠隔操作が行われるようになってきた。
これによって、情報系ネットワークに接続されている任
意の場所（情報端末）からの操作が可能になった。ま
た、Ｊａｖａアプレットなどの技術を用い、必要な時点
でソフトウェアをダウンロードして動作させることによ
り、操作側に予め制御機器の専用のソフトウェアを配布
しておく必要がなくなった。

【０００３】一方、不特定多数がアクセスできるインタ
ーネットの普及に伴い、ネットワーク上に流れる情報を
保護する必要がでてきており、各種の情報の暗号化技術
が提案され実用化されている。例えば、文献１（「イン
ターネットセキュリティ基礎と対策技術」、平成８年１
１月、オーム社）に開示されているように、暗号化には
大きく分けて２つの方式がある。１つは公開鍵方式によ
るもので、もう１つは共通鍵方式によるものである。

【０００４】前者の公開鍵方式は、暗号化する側と復号
化する側で使用する鍵が異なり、暗号化する側が使用す
る鍵を公開鍵、復号化する側が使用する鍵を秘密鍵とい
い、公開鍵だけを相手側に公開する方式である。この方
式では、秘密鍵は相手へ配送する必要がなく、１対Ｎが
同じ組み合わせの鍵でやりとりできるという利点を有す
るが、その反面、一般に暗号化に時間がかかるという欠
点も有している。

【０００５】後者の共通鍵方式は、暗号化、復号化とも
同じ鍵を使用するものであり、鍵は第３者には秘密にさ
れる。秘密の鍵を相手へ配送する必要があり、１対Ｎの
場合、Ｎ通りの鍵が必要という欠点を有しているが、そ
の一方、一般に暗号化の処理時間は速いという利点があ
る。

【０００６】

【発明が解決しようとする課題】しかしながら、情報を
暗号化すれば絶対安全というわけでもなく、同じ情報を
同じ鍵で繰り返し暗号化しているだけでは、同じ暗号文
が発生してしまい、この暗号文を第３者にそのまま悪用
されてしまう可能性がある。このため同じ情報でも毎回
異なる暗号文を発生するようにする必要があり、この技
術をワンタイムパスワード方式と呼ぶ。ワンタイムパス
ワード方式の例として現在時刻を使用するものがある。
情報に現在時刻を加えたものを暗号化した場合、現在時
刻というのは常に時々刻々と変化するので、暗号文も常
に変化し、同じ情報を暗号化しても同一の暗号文は生成
されない。このとき、過去の暗号文を悪用しても時刻が
古いものが抽出されるので正規なものとしては認知され
ない。

【０００７】インターネットなどの一般的な情報系ネッ
トワークを利用して遠隔操作を行う場合、遠隔操作に用
いられる制御信号は比較的種類が少なく、また、短い信
号であるため、セキュリティ向上のためにワンタイムパ
スワード的に暗号化する必要がある。また、情報系ネッ
トワークに接続された如何なる操作端末からも制御信号
を送出できるため、制御装置側で解読された制御信号は
いつも有効という訳ではなく、操作が行われてよい場合
とよくない場合とを操作権を付加することで区別する必
要がある。本発明は、ネットワークを介して各種制御機
器に対して遠隔操作を行うとき、ネットワーク上の信号
を第３者から秘匿するとともに、複数の利用者からの操
作に対して排他処理が可能な遠隔制御方法を提供するこ
とを目的としている。

【０００８】

【課題を解決するための手段】まず、制御装置側に、公
開鍵と信号を一連の処理を行うプログラムを用意してお
き、ユーザからの要求があったとき、これを操作端末側
にとりこむ。このとき、本発明の遠隔操作方法は、プロ
グラムが操作端末側で任意の共通鍵とランダムな次回操
作権とを発生し、これらを含む信号を公開鍵で暗号化
し、制御装置に転送する。共通鍵と次回操作権は操作端
末にもメモリする。制御装置側では転送された暗号文を
公開鍵と対の秘密鍵で復号化し、共通鍵と次回操作権を
取得し、制御装置側に登録する。以降、この共通鍵によ
って暗号、復号が行われる。

【０００９】プログラムはユーザが制御信号を入力する
ためのインタフェースを画面上に表示し、ユーザによる
制御信号を受け付けると、まず、ランダムの次回操作権
をまた発生し、制御信号と次回操作権と今回操作権（１
回前の操作時に発生した次回操作権のこと）を含む信号
を共通鍵で暗号化し、制御装置に転送する。次回操作権
は操作端末にメモリする。制御装置側では転送された暗
号文を共通鍵で復号化し、制御信号と今回操作権と次回
操作権とを取得し、今回操作権が制御装置側に登録して
ある操作権と一致するかを判定し、一致する場合は制御
機器に制御信号を送る。次回操作権は制御装置側に登録
される。

【００１０】さらに、複数の人間が別々の操作端末から
操作を一定の規則に従って可能にするために、制御装置
側では、共通鍵と操作権とモードからなるテーブルを持
たせる。正しい共通鍵と操作権を持っている操作端末で
もモードが無効になっていれば、制御信号を制御機器へ
転送することができないようにする。モードの有効、無
効の切り替えは特殊な制御信号を用意し、操作端末側か
ら入力送信してもらうか、テーブルへの登録状況などで
変化するようにする。

【００１１】

【発明の実施の形態】図３は、本発明に係る遠隔操作を
行うためのシステム構成の概要を示す図である。操作さ
れる制御機器１００は、制御装置２００に接続され、制
御装置２００が発生する制御信号２１に基づいて動作す
る。制御装置２００は、通信ネットワーク３００によっ
て、操作端末４００に接続されている。制御機器１００
としては、制御信号で制御可能な機器であれば如何なる
ものでもよいが、図３はＩＴＶ（Ｉndustrial ＴeleＶi
sion）の場合の例を示しており、以下の実施例の説明で
は、このＩＴＶをインターネットなどの通信ネットワー
ク３００に接続された任意の操作端末４００から遠隔操
作する場合を例として説明する。

【００１２】図４は、本発明の遠隔操作方法を実現する
ための制御装置２００および操作端末４００のソフトウ
ェア構成例を説明するための図である。図４に示すよう
に、制御装置２００は、制御機器１００を操作するため
の操作権確立手段１０、操作入力手段２０、共通鍵発生
手段３０、信号管理手段４０、暗号化・復号化手段５
０、データ転送手段６０など各種機能を実現するソフト
ウェア部と、公開鍵７０のデータ部とを有している。

【００１３】操作端末４００から遠隔操作を行うユーザ
は、事前に、または、操作を行う最初に、通信ネットワ
ーク３００を介して操作端末４００内にこれらの各ソフ
トウェアを取得しておく。なお、これらのソフトウェア
は、通信ネットワークを介さず、フロッピディスクなど
別の媒体の形で直接または郵送などで取得するようにし
てもよい。なお、以下では制御装置２００に対して、操
作端末４００からのユーザ認証は、既に終了しているも
のとして説明する。また、以下の文中にある「登録」と
は、メモリ、または、ファイルへの登録を意味する。

【００１４】次に、操作端末４００と制御装置２００で
行われる処理を説明する。図１および図２は、本発明の
遠隔操作方法の手順を説明するためのフローチャートで
ある。図２は、操作端末から操作権を要求する場合の最
初に行う手順を説明するためのフローチャートである。
同図に示すように、ユーザは、まず、操作端末４００の
操作画面により、操作権確立手段１０を起動する。操作
権確立手段１０は、操作画面に操作権申請ボタンを表示
し、ユーザに入力を促す。入力がなされた時、共通鍵発
生手段３０によって共通鍵１１（図２の例では“１２３
４５”）を発生し、操作端末４００内に登録し（ステッ
プ１０１）、信号管理手段４０によって次回操作権１２
（同“６７８９”）を発生し、操作端末４００内に登録
し（ステップ１０２）、共通鍵１１と次回操作権１２と
を組み合わせて信号１３（同“１２３４５６７８９”）
を生成し（ステップ１０３）、公開鍵７０を使って、暗
号化・復号化手段５０によって暗号文１４（同“ｚｘｃ
ｇａｙ”）を作成し（ステップ１０４）、データ転送手
段６０によって該暗号文１４を通信ネットワーク３００
を介して制御装置２００に転送する（ステップ１０
５）。

【００１５】制御装置２００は、前記公開鍵（同“１２
３４５”）と対の秘密鍵８０（同“ａｂｃｄ”）を有
し、操作端末４００より前記暗号文１４を取得すると
（ステップ１０６）、該秘密鍵８０を使って、暗号化・
復号化手段５０によって暗号文１４を共通鍵１１（同
“１２３４５”）と次回操作権１２（同“６７８９”）
とに解読し（ステップ１０７）、該解読した共通鍵１１
と次回操作権１２を制御装置２００内の操作管理テーブ
ル９０に登録する（ステップ１０８）。登録時、ルール
に従って、共通鍵１１に対する「有効モード」／「無効
モード」を決める。

【００１６】例えば、本例では、・共通鍵が１つも登録されていないとき、すなわち操作
権管理テーブル９０への最初の登録の場合は、新たに登
録された共通鍵のモードを「有効モード」として登録す
る。・有効なモードの共通鍵が１つ以上登録されているとき
は、新たに登録された共通鍵のモードを「無効モード」
として登録する。などである。「無効モード」として登
録された共通鍵も、あるイベントが発生したときは、所
定のルールに従って「有効モード」に変更される（後述
する）。「無効モード」として登録された共通鍵を有す
る操作端末（ユーザ）は操作権を有さず、「有効モー
ド」として登録された共通鍵を有する操作端末（ユー
ザ）だけが操作権を有する。

【００１７】図１は、操作端末から図２に示した手順の
後に制御機器に実際の制御を要求する手順を説明するた
めのフローチャートである。同図に示すように、操作端
末４００側では、図２に示したステップ１０５の手順の
後、自動的に操作入力手段２０を起動する（ステップ１
１０）。操作入力手段２０は操作盤であり、制御信号を
発生するための画面を表示して、入力を受け付ける。操
作盤の具体例は後述する。ユーザが操作入力手段２０を
使って制御を指定する入力（例えば、「左に移動」な
ど）を行うと、対応する制御信号２１（図１の例では
“ｑ”）を発生する。

【００１８】このとき、操作端末４００内に登録してお
いた今回の操作権１２（同“６７８９”）を取得し（ス
テップ１１１）、信号管理手段４０によって次回操作権
２２（同“５１２３”）を発生し、操作端末内に登録し
（ステップ１１２）、該今回操作権１２と次回操作権２
２と制御信号２１とを組み合わせて信号２３（同“６７
８９５１２３ｑ”）を生成し（ステップ１１３）、操作
端末４００内に登録しておいた共通鍵１１（同“１２３
４５”）を使って、暗号化・復号化手段５０によって暗
号文２４（同“ｐｐｃ１２３”）を作成し（ステップ１
１４）、データ転送手段６０によって該作成した暗号文
２４を通信ネットワーク３００を介して制御装置２００
に転送する（ステップ１１５）。

【００１９】制御装置２００は、操作端末４００より暗
号文２４（同“ｐｐｃ１２３”）を取得すると（ステッ
プ１１６）、操作権管理テーブル９０を参照し、「有効
モード」になっている共通鍵１１（同“１２３４５”）
を使って、暗号化・復号化手段５０によって該暗号文２
４を今回操作権１２（同“６７８９”）と次回操作権２
２（同“５１２３”）と制御信号２１（同“ｑ”）とに
解読し（ステップ１１７）、今回操作権１２が制御装置
２００内に登録しておいた解読した共通鍵に対応する操
作権と一致するかを判定する（ステップ１１８）。も
し、操作権が一致したならば、制御信号２１を制御機器
１００へ送信する（ステップ１１９）。ただし、このと
き、制御信号２１を制御機器１００のフォーマットに合
う信号に変換してから送信する場合もある。そして、操
作管理テーブル９０の共通鍵（同“１２３４５”）に対
応する操作権（同“６７８９”）を次回操作権２２（同
“５１２３”）に更新する（ステップ１２０）。ステッ
プ１１８の判定の結果、両者の操作権が一致しないなら
ば、ステップ１１９〜１２０の手順を行わずに終了す
る。以上が本発明の遠隔操作方法の手順である。

【００２０】次に、上述した手順の効果を説明する。図
５〜８は、上述した手順の効果を説明するための図であ
る。図５は、正常な場合の通常の手順を示す図である。
同図に示すように、制御装置２００に対して、ユーザ
（操作端末）は制御信号Ｌを続けて要求したとする。こ
のとき、１回目は、転送暗号文はＸ１となるが、２回目
は転送暗号文はＸ２となる。つまり、同じ制御信号Ｌに
対して、通信ネットワーク３００上は異なる暗号文が転
送されることになる。異なる暗号文でも制御装置２００
側では要求の制御信号Ｌに正しく解読される。また、ユ
ーザがどんな制御信号を送ったかも第３者に対して秘匿
される。

【００２１】図６は、不正利用者が盗聴しようとした場
合の図である。同図に示すように、不正な利用者が正当
な利用者の転送暗号文Ｘ１を盗聴し、正当な利用者にな
りすまして、同じ暗号文Ｘ１を転送したとする。しか
し、制御装置２００は共通鍵ｋを用いて不正な利用者か
らの暗号文Ｘ１を解読する。解読された今回の操作権は
ａ１であるが、この時点で、正当な利用者によって既に
操作権はａ２に更新されており、不整合が生じ、結局、
不正利用者による制御操作は実行されることはない。

【００２２】図７は、複数のユーザ（操作端末）が登録
した共通鍵が一致した場合を説明する図である。同図に
示すように、複数のユーザＡ、Ｂの登録した共通鍵ｋが
偶然一致したとする。しかし、それぞれの操作端末で
は、毎回異なる個別の操作権（ａ１、ａ２），（ｂ１、
ｂ２）を発生してその内容を登録更新しており、転送暗
号文もＸ１、Ｘ２と異なる。制御装置側では共通鍵ｋに
よって両者とも正確に復号されるが、有効になっている
今回操作権はユーザＡのａ１だけであり、結局ユーザＡ
による操作だけが有効となり、今回操作権ｂ１のユーザ
Ｂによる操作は無効になる。操作権は毎回異なってお
り、操作権まで一致する可能性は極めて低い。また、偶
然操作権が一致した瞬間があっても、その瞬間にＢが操
作する必要があるが、ＢはＡが同じ共通鍵を持っている
かを知る術がないし、操作権がＡと一致する瞬間を知る
術がないため、不正使用することはほとんど不可能であ
る。

【００２３】図８は、複数のユーザに対して「有効モー
ド」を設定する例を説明する図である。同図（ａ）に示
すように、制御装置２００の操作権管理テーブル９０に
は、「有効モード」／「無効モード」の項目があり、何
らかの手段（例えば、複数のユーザに操作権を与えると
いうような制御信号を送れるようにするなど）によっ
て、複数のユーザのモードを有効にすれば、それらのユ
ーザが利用している操作端末を使って自由に操作でき
る。例えば、同図（ｂ）に示すように、制御機器１００
は複数のユーザＡまたはユーザＢの何れからの制御信号
も受け付けることが可能になる。

【００２４】その他に、本発明では、公開鍵、共通鍵を
予め操作端末４００に事前に持たせておく（管理してお
く）必要がなく、鍵を盗用される心配がないという効果
を有する。また、本発明は、必ずしも専用端末を用意す
る必要がなく、単に、プログラムを制御装置からネット
ワークを介してダウンロードして実行できる環境にあれ
ばよい。

【００２５】次に、図９および１０を用いて具体例を説
明する。以下、具体的な操作例を示す。ここでは、操作
端末をＪａｖａアプレット動作可能なＷｅｂブラウザを
搭載したマシンとし、制御装置をＷｅｂサーバを兼ねた
マシンとする。図９は、操作端末４００の操作権確立手
段による表示画面例を示す図である。同図に示すよう
に、ユーザはＷｅｂブラウザ１０１０で、Ｗｅｂサーバ
上の所定のページ（制御装置）にアクセスすると、操作
権確立手段１０、操作入力手段２０、共通鍵発生手段３
０、信号管理手段４０、暗号化・復号化手段５０、デー
タ転送手段６０のＪａｖａクラスファイルをＷｅｂブラ
ウザ上にロードし、操作権確立手段１０を起動する。画
面上に表示された操作権確立手段１０の表示部１０２０
には、制御装置２００に対する操作権を申請する旨を確
認するメッセージ１０３０が表示される。

【００２６】図９は、“Ａ山のＩＴＶカメラを操作しま
すか”というメッセージ１０３０が表示されている例を
示している。ユーザが“はい”の確認ボタン１０４０を
押下して申請を行うと、共通鍵「Ｃｏｍｍｏｎ」とラン
ダム関数などで発生した次回操作権「ＣＮＴ１」が操作
端末４００のメモリに記憶され、かつ、制御装置２００
側の操作権管理テーブル９０にも共通鍵「Ｃｏｍｍｏ
ｎ」と次回操作権「ＣＮＴ１」が登録される。そして、
自動的に、操作入力手段２０が起動し、画面上に表示さ
れる。なお、制御装置２００側の操作権管理テーブル９
０には、モードも登録されるが、ここでは、共通鍵「Ｃ
ｏｍｍｏｎ」は有効モードに登録されたものとして、説
明を続ける。

【００２７】図１０は、操作端末４００の操作入力手段
２０による表示画面例を示す図である。同図に示すよう
に、操作入力手段２０の表示部（操作盤）１０５０は、
操作状況表示窓１０６０、操作権譲渡依頼ボタン１０７
０（“ほしい”）、操作権解放ボタン１０８０（“ゆず
る”）、操作権破棄ボタン１０９０（“いらない”）を
有している。図１０の例は、操作状況表示窓１０６０に
“１５：１０現在ｓｕｚｕｋｉが操作中です”が表示
されている例を示している。また、制御機器１００をコ
ントロールするための部品群１１００も有している。制
御機器１００がカメラの場合、コントロールする部品群
は、上下左右の移動（首振り）、拡大縮小などである。

【００２８】この操作盤１０５０のコントロール部品１
１００を用いて、例えば、ユーザが「左へ移動」ボタン
を押下したとき、Ｊａｖａクラスファイルは、制御信号
「ＬＥＦＴ」を発生する。そして、メモリから今回の操
作権「ＣＮＴ１」をロードし、さらに、ランダム関数な
どを使って次回の操作権「ＣＮＴ２」を発生し、「ＣＮ
Ｔ２」をメモリに記憶する。なお、この段階で「ＣＮＴ
１」はメモリから解放してもよいが、様々な例外処理に
対処するために、保持しておくことが望ましい。そし
て、例えば「ＴＨＩＳ：ＣＮＴ１；ＮＥＸＴ：ＣＮＴ
２；ＳＩＧＮＡＬ：ＬＥＦＴ」というようにそれぞれを
組み合わせ、例えば「Ａ９ｗ２４Ｊｃ７１」のような暗
号文を生成する。この暗号文をＷｅｂサーバ（制御装
置）へ送る。

【００２９】制御装置２００では、一連の手続きを行う
プログラムが常に動作していて暗号文の受信を監視して
いるか、もしくは、操作端末４００のＪａｖａクラスフ
ァイルからの命令を受けて一連の手続きを行うプログラ
ムを起動するかなどで、暗号文を受け取ったときの処理
を行う。このプログラムは、例えば、暗号文「Ａ９ｗ２
４Ｊｃ７１」に対して、まず、操作権管理テーブル９０
の中から有効になっている共通鍵「Ｃｏｍｍｏｎ」を見
つけ出し、この「Ｃｏｍｍｏｎ」を使って暗号文を「Ｔ
ＨＩＳ：ＣＮＴ１；ＮＥＸＴ：ＣＮＴ２；ＳＩＧＮＡ
Ｌ：ＬＥＦＴ」に解読する。そして、暗号文の中から今
回の操作権「ＣＮＴ１」を取り出し、操作権管理テーブ
ル９０の「Ｃｏｍｍｏｎ」に対応する操作権「ＣＮＴ
１」と比較し、同じであるかどうかを確認する。この場
合は、同じなので、制御信号「ＬＥＦＴ」を取り出す。
そして、制御信号「ＬＥＦＴ」をカメラが認識できるコ
ード「ｌｅｆｔ」に変換して、それをカメラに送る。

【００３０】カメラは「ｌｅｆｔ」を受け取ると予め決
められた角度だけ左に首を振る。図１０に示したカメラ
の撮影画像１２００は、あるタイミングで、左にカメラ
を振った角度の画像に変わる。あるタイミングとは、撮
影画像をリフレッシュするタイミングであり、画像がリ
アルタイムに再生されるものならば、制御信号を送った
タイミングで切り替わるが、例えば、１分ごとに画像を
送る（撮影する）仕掛けに設定していればカメラの首振
り自体はすぐ行われたとしても、その画像をすぐに見る
ことはできない。制御信号を送ったあとは、操作権管理
テーブル９０の「Ｃｏｍｍｏｎ」に対応する操作権を
「ＣＮＴ２」に更新する。また、操作盤の操作状況表示
窓１０６０には“現在、ｓｕｚｕｋｉが操作中です”の
ような表示をする。

【００３１】次に、いくつかの特殊な処理について説明
する。ここまでの説明では、「有効モード」になってい
る共通鍵を使っての手順について説明したが、以降で
は、場合によっては「無効モード」になっている共通鍵
も利用する例を示す。この目的は、例えば、操作権の譲
渡依頼や複数の共通鍵が偶然一致したときなど「無効モ
ード」のユーザが制御信号を送る場合があるからであ
る。

【００３２】図１５は、「無効モード」の共通鍵を利用
する場合の制御装置２００側の手順を示す図である。同
図に示すように、制御装置２００は、操作端末４００よ
り暗号文２４を取得すると（ステップ１１６）、「有効
モード」になっている共通鍵１１を使って（ステップ１
４１）、暗号化・復号化手段５０によって暗号文２４を
解読するが（ステップ１１７）、共通鍵が正しくても操
作権が一致しなかったり、制御信号が意味不明だったり
する場合がある。また、共通鍵が正しくなく解読したも
のが全然わからない場合もある。

【００３３】つまり、復号文に意味があるかどうかを調
べ（ステップ１４２）、復号文に意味がある場合は（ス
テップ１４２：Ｙ）、それに従った通常の手順を実行す
る（ステップ１４６）。復号文に意味がない場合は（ス
テップ１４２：Ｎ）、操作権管理テーブル９０の中から
他に「有効モード」の共通鍵があるかどうかを調べ（ス
テップ１４３）、ある場合はステップ１４１に戻り、な
い場合は操作権管理テーブル９０の中から他に「無効モ
ード」の共通鍵があるかどうかを調べる（ステップ１４
４）。「無効モード」の共通鍵がある場合はその共通鍵
を使って（ステップ１４５）、暗号文を再び解読し（ス
テップ１１７）、ない場合は終了する（ステップ１４
７）。

【００３４】＜操作権の解放＞次に、操作権の解放につ
いて説明する。図１０の操作盤を用いて、操作が有効に
なっているユーザ（ｓｕｚｕｋｉ）が操作権解放ボタン
１０８０（“ゆずる”）を押下し、操作権の解放を入力
した場合、図１１に示すように、制御装置２００側では
復号解読した制御信号２１が「操作権解放」であるかど
うかを判定し（ステップ１３１）、もし、「操作権解
放」である場合には、操作権管理テーブル９０に登録さ
れてある全ての共通鍵を「有効モード」に切り替え（ス
テップ１３２）、解読した共通鍵の次回操作権を更新す
る（ステップ１２０；図の例は次回操作権“６７８９”
を“５１２３”に更新した例である）。さらに、全てが
「有効モード」になったことを操作入力手段２０を起動
している全操作端末へ公開する（例えば、操作盤の操作
状況表示窓１０６０に“現在、全員操作できるようにな
っています”のような表示をする）（ステップ１３
３）。

【００３５】また、操作権の解放ボタンが押下されたと
きの処理を、ユーザが表示ページを変えたときに実行さ
せることもできる。すなわち、・操作権解放ボタンを押す→制御信号「操作権解放」を
送るための処理を行う・表示ページを変える →制御信号「操作権解放」を
送るための処理を行うこれによって、カメラの撮影画像を見ること（操作する
こと）に興味をなくしたユーザがいつまでも操作権をも
っているということをなくすことができる。なお、この
ユーザが再びカメラの操作ページに戻ってきたときは、
単にモードが「無効モード」になっているだけであるの
で、改めて共通鍵を登録する必要はない。

【００３６】＜操作権の取得＞次に、操作権の取得につ
いて説明する。状態が全て「有効モード」になっている
とき、操作入力手段２０を起動している（共通鍵が登録
されている）任意の端末から暗号文が転送されたとき、
図１２に示すように、制御装置２００側では共通鍵を操
作権管理テーブル９０から抽出して、暗号文を今回の操
作権と次回の操作権と制御信号とに解読し、今回の操作
権が操作権管理テーブル９０に登録されている操作権と
一致するかを判定する（ステップ１１８）。ステップ１
１８の処理の多くは異なる共通鍵で解読しているので、
通常は理解できない（意味のない）信号に解読される。

【００３７】ある共通鍵で解読した時の操作権が一致し
たとき、その制御信号を制御機器１００へ送信し、この
共通鍵以外の全ての共通鍵に対してモードを「無効モー
ド」にし（ステップ１３４）、一致した操作権を更新す
る（同図の例では、次回操作権を“５１２３”から“６
７８９”に更新）。この方式は、全員が操作権を取得で
きる状態にあるとき、早いもの勝ちで操作権を取得する
方式である。

【００３８】＜操作権の破棄＞次に、操作権の破棄につ
いて説明する。図１０の操作盤を用いて、操作が有効に
なっているユーザ（ｓｕｚｕｋｉ）が操作権破棄ボタン
１０９０（“いらない”）を押下し、操作権の破棄を入
力した場合、図１３に示すように、制御装置２００側で
は復号解読した制御信号２１が「操作権破棄」であるか
どうかを判定し（ステップ１３５）、もし、操作権破棄
である場合には、解読した共通鍵（図の例では“１２３
４５”）に対応する部分を操作権管理テーブル９０から
抹消する（ステップ１３６）。そして、操作権管理テー
ブル９０に登録されてある全ての共通鍵に対して、モー
ドを「有効モード」に切り替える（ステップ１３２）。
さらに、全て有効になったことを操作入力手段２０を起
動している全操作端末へ公開する（操作盤の操作状況表
示窓１０６０に“現在、全員操作できるようになってい
ます”のような表示をする）（ステップ１３３）。

【００３９】また、操作権の破棄ボタンが押下されたと
きの処理を、ユーザがＷｅｂブラウザを閉じたときに実
行させることもできる。すなわち、・操作権破棄ボタンを押す→制御信号「操作権破棄」を
送るための処理を行う・ブラウザを閉じる →制御信号「操作権破棄」を
送るための処理を行うこれによって、Ｗｅｂブラウザを一旦閉じたユーザは、
改めて共通鍵を登録し直さなければならないようにする
ことができる。

【００４０】＜操作権の譲渡依頼＞次に、操作権の譲渡
依頼について説明する。図１０の操作盤を用いて、操作
が無効になっているユーザ（ｔａｎａｋａ）が操作権譲
渡依頼ボタン１０７０（“ほしい”）を押下し、操作権
の譲渡依頼を入力した場合、図１４に示すように、制御
装置２００側では操作権管理テーブル９０上の任意の共
通鍵３１で復号解読した制御信号２１が「操作権譲渡依
頼」であるかどうかを判定し（ステップ１３７）、も
し、操作権譲渡依頼である場合には、譲渡依頼があるこ
とを操作入力手段２０を起動している全操作端末へ公開
する（操作盤の操作状況表示窓１０６０に“現在、ｔａ
ｎａｋａより操作させてほしい旨、申請中です”のよう
な表示をする）（ステップ１３８）。このとき、有効な
操作権を持っているユーザ（ｓｕｚｕｋｉ）が操作権の
解放をすれば、譲渡依頼を出したユーザ（ｔａｎａｋ
ａ）は優先的に操作権を取得できる。

【００４１】上記実施例においては、最初に共通鍵を決
めるとき、公開鍵を利用したが、この公開鍵が利用され
るのは、操作開始時のみであり、誰かが操作中でも公開
鍵と秘密鍵のペアを変更しても支障がない。従って、制
御装置側で定期的に公開鍵と秘密鍵のペアを更新するこ
とで、さらに不正しにくくすることができる。

【００４２】上記実施例では、制御信号のやりとりの際
には、最初に個々の操作端末に共通鍵を発生させて行う
ようにしているが、これを行わずに公開鍵を使うことも
可能である。ただし、公開鍵方式は、暗号復号の処理に
時間がかかるし、全員が同じ暗号鍵となるので、操作権
が偶然一致する確率が高くなる。また、最初に個々の操
作端末に違う公開鍵と秘密鍵のペアを発生させて秘密鍵
を制御装置側に送ることにすれば、鍵はユーザごとに異
なることになるが処理時間の問題は同じである。

【００４３】また、制御信号を送る度に毎回異なる共通
鍵にする実施例も可能である。しかし、共通鍵を発生す
る手間がかかるので、その手間の分を考慮して、毎回異
なる操作権を発生しないようにした場合は、他のユーザ
と共通鍵が偶然一致した場合にそのユーザに操作されて
しまう。

【００４４】

【発明の効果】本発明によれば、次のような顕著な効果
を奏する。（１）同じ制御信号に対して、通信ネットワーク上は異
なる暗号文が転送されることになる。異なる暗号文でも
制御装置側では要求の制御信号に正しく解読される。ユ
ーザがどんな制御信号を送ったかも通信ネットワーク上
では秘匿される。（２）不正な利用者が正当な利用者の転送暗号文を盗聴
し、正当な利用者になりすまして、同じ暗号文を転送し
ても、既にそのときは操作権が異なっているので操作で
きない。（３）共通鍵を予め保有しておく必要はなく、また、異
なるユーザの共通鍵が偶然一致したとしても操作権が合
わないと操作できず、操作権が合う可能性も低い。（４）複数のユーザに同時に操作権を与えることができ
る。（５）操作を行わないときの鍵の管理についてユーザが
気にする必要はない。（６）専用端末を予め用意する必要がない。（７）予めユーザ数に応じた鍵を準備する必要はない。（８）ユーザが操作に興味をなくした場合、あるいは、
操作する気が全くない場合などに、いつまでも操作権を
保持することなく、他の興味ある人に操作が移行でき
る。（９）ユーザの操作状況に関係なく、共通鍵を登録する
セッションでの公開鍵を変えることができる。

【図面の簡単な説明】

【図１】本発明の遠隔操作方法の手順を示す図である。

【図２】本発明の遠隔操作方法のうち、共通鍵を共有す
る手順を示す図である。

【図３】本発明の遠隔操作方法の装置構成を示す図であ
る（その１）。

【図４】本発明の遠隔操作方法の装置構成を示す図であ
る（その２）。

【図５】本発明の効果を説明するための図である（その
１）。

【図６】本発明の効果を説明するための図である（その
２）。

【図７】本発明の効果を説明するための図である（その
３）。

【図８】本発明の効果を説明するための図である（その
４）。

【図９】本発明の遠隔操作方法の操作例／表示例を示す
図である（その１）。

【図１０】本発明の遠隔操作方法の操作例／表示例を示
す図である（その２）。

【図１１】本発明における操作権の開放について説明す
るための図である。

【図１２】本発明における操作権の取得について説明す
るための図である。

【図１３】本発明における操作権の放棄について説明す
るための図である。

【図１４】本発明における操作権の譲渡依頼について説
明するための図である。

【図１５】無効モードの共通鍵を利用する場合の制御装
置側の手順を示すフローチャートである。

【符号の説明】

１１：共通鍵１２：今回操作権（前回に発生した次回操作権）１３，２３：信号（組み合わせた信号）１４，２４：暗号文２１：制御信号２２：次回操作権８０：秘密鍵９０：操作権管理テーブル１００：制御機器２００：制御装置３００：通信ネットワーク４００：操作端末

Claims

【特許請求の範囲】

【請求項１】制御装置と、該制御装置の制御信号に基
づいて動作する制御機器と、該制御装置と通信ネットワ
ークを介して接続した操作端末とを具備し、前記操作端
末の操作により前記制御機器を制御する遠隔制御方法で
あって、前記制御装置と前記操作端末はそれぞれ共通鍵と該共通
鍵に基づいて暗号化・復号化する手段を有し、前記操作端末において、次回操作時の操作権信号を発生
して操作端末内に記憶し、ユーザによって与えられた制
御信号と前記次回操作権信号と前回の操作時に記憶した
今回操作権信号とを組み合わせたものを、前記共通鍵で
暗号化し、暗号化して生成した暗号文を前記制御装置に
転送し、前記制御装置において、該暗号文を前記共通鍵
で解読して、制御信号と次回操作権信号と今回操作権信
号とに復号化し、前回転送されて記憶した操作権信号と
今回転送された今回操作権信号とが一致するかを判定
し、両操作権信号が一致する場合、転送された次回操作
権信号を前記制御装置に記憶し、前記転送された制御信
号に基づいて制御機器を動作させることを特徴とする遠
隔操作方法。
【請求項２】請求項１記載の遠隔制御方法であって、前記操作端末は公開鍵と該公開鍵に基づいて暗号化する
手段を有し、前記制御装置は前記公開鍵と対の秘密鍵と
該秘密鍵に基づいて復号化する手段を有し、前記操作端末において、共通鍵と次回操作時の操作権信
号を発生して操作端末内に記憶し、該共通鍵と次回操作
権信号とを組み合わせたものを、前記公開鍵で暗号化し
て生成した暗号文を前記制御装置に転送し、前記制御装
置において暗号文を前記秘密鍵で解読して共通鍵と次回
操作権信号とに復号化し、該共通鍵と次回操作権信号と
を制御装置に記憶することによって、前記制御装置と前
記操作端末との間の共通鍵と最初の次回操作権とを共有
させるようにしたことを特徴とする遠隔操作方法。
【請求項３】請求項１または２記載の遠隔操作方法で
あって、制御装置は、共通鍵と次回操作権と操作が有効か無効か
の状態とを含む項目からなるテーブルを有することを特
徴とする遠隔操作方法。
【請求項４】請求項３記載の遠隔操作方法であって、ユーザにより与えられた前記制御信号が操作権解放を意
味する信号である場合、前記制御装置は、記憶してある
全ての共通鍵に対する操作を有効の状態に切り替えるこ
とを特徴とする遠隔操作方法。
【請求項５】請求項３記載の遠隔操作方法であって、前記制御装置に記憶してある全ての共通鍵に対する操作
が有効の状態にあり、共通鍵を有する任意のユーザから
制御信号が与えられたとき、前記制御装置は、制御機器
を動作させるとともに、暗号文を解読できた共通鍵に対
してのみ操作状態を有効のまま操作権を更新し、それ以
外の共通鍵に対しての操作を無効の状態に切り替えるこ
とを特徴とする遠隔操作方法。
【請求項６】請求項３記載の遠隔操作方法であって、前記制御信号が操作権破棄を意味する信号である場合、
前記制御装置は、該破棄信号が与えられた共通鍵の記憶
を抹消するとともに、記憶してある全ての共通鍵に対す
る操作を有効の状態に切り替えることを特徴とする遠隔
操作方法。
【請求項７】請求項２記載の遠隔操作方法であって、前記制御装置が公開鍵とその対の秘密鍵を定期的に生成
し、前記操作端末が前記制御装置で定期的に生成した公
開鍵とその対の秘密鍵を前記通信ネットワークを介して
入手して更新することを特徴とする遠隔操作方法
【請求項８】制御装置と、該制御装置の制御信号に基
づいて動作する制御機器と、該制御装置と通信ネットワ
ークを介して接続した操作端末とを具備し、前記操作端
末の操作により前記制御機器を制御する遠隔制御方法で
あって、前記操作端末は公開鍵と該公開鍵に基づいて暗号化する
手段を有し、前記制御装置は該公開鍵と対の秘密鍵と該
秘密鍵に基づいて復号化する手段を有し、前記操作端末において、次回操作時の操作権信号を発生
して操作端末内に記憶し、ユーザによって与えられた制
御信号と前記次回操作権信号と前回の操作時に記憶した
今回操作権信号とを組み合わせたものを、前記公開鍵で
暗号化し、暗号化して生成した暗号文を前記制御装置に
転送し、前記制御装置において、該暗号文を前記秘密鍵
で解読して、制御信号と次回操作権信号と今回操作権信
号とに復号化し、前回転送されて記憶した操作権信号と
今回転送された今回操作権信号とが一致するかを判定
し、両操作権信号が一致する場合、転送された次回操作
権信号を前記制御装置に記憶し、前記転送された制御信
号に基づいて制御機器を動作させることを特徴とする遠
隔操作方法。
【請求項９】制御装置と、該制御装置の制御信号に基
づいて動作する制御機器と、該制御装置と通信ネットワ
ークを介して接続した操作端末とを具備し、前記操作端末の操作により前記制御機器を制御する遠隔
制御方法であって、前記制御装置と前記操作端末はそれぞれ共通鍵と該共通
鍵に基づいて暗号化・復号化する手段を有し、前記操作端末において、次回共通鍵を発生して操作端末
内に記憶し、ユーザによって与えられた制御信号と該次
回共通鍵とを組み合わせたものを、前回操作時に発生し
記憶しておいた共通鍵で暗号化して暗号文を生成し、暗
号化して生成した暗号文を前記制御装置に転送し、前記
制御装置において、該暗号文を記憶しておいた前記共通
鍵で解読して、制御信号と次回共通鍵とに復号化し、転
送された次回共通鍵を前記制御装置に記憶し、該転送さ
れた制御信号に基づいて制御機器を動作させることを特
徴とする遠隔操作方法。