JP2006244164A - ソフトウェア更新装置、ソフトウェア更新システム、ソフトウェア更新方法、および機器管理装置 - Google Patents

Abstract

【課題】コントローラのソフトウェア更新において、更新装置側でパスワードを記憶および管理ならびに入力作業をする必要がなく、しかもパスワードが洩れる恐れがないようにする。
【解決手段】ソフトウェア更新装置３は、ソフトウェアによって空調機器を管理するコントローラに接続されている。ソフトウェア更新装置３は、固有情報取得部６ａと、第１パスワード生成部９とを備えている。固有情報取得部６ａは、コントローラ２が有する固有の情報である固有情報を取得する。第１パスワード生成部９は、パスワードを固有情報から求める。パスワードは、コントローラにおけるソフトウェアの更新を許容する。
【選択図】図２

Description

本発明はソフトウェア更新装置、ソフトウェア更新システム、ソフトウェア更新方法、および機器管理装置に関する。

従来より、更新対象の装置へソフトウェアを更新するための種々の方法が提案されている。
遠隔のソフトウェア更新装置からネットワーク経由で更新対象の装置へソフトウェアの更新を行う場合、遠隔の更新装置側で更新対象の装置の認証情報（ログイン・パスワードなど）を入力することにより、遠隔の更新装置を用いたソフトウェアの更新が許可される。

また、特許文献１記載のソフトウェア更新方法では、更新対象の通信装置は、ワンタイムパスワードを生成し、外部のソフトウェア更新装置へワンタイムパスワードを送信する。そののち、ソフトウェア更新装置は、ワンタイムパスワードを用いて通信装置にアクセスし、その後、更新後のソフトウェアを通信装置へダウンロードする。
特開２００４−３１８８３９号公報

しかし、遠隔の更新装置側において更新対象の装置のパスワードなどの認証情報を入力する場合に、更新対象の装置ごとに認証情報を遠隔の更新装置側で記憶および管理する必要がある。しかも、多数の更新対象の装置に対してソフトウェアの更新を行う場合には、多数の認識情報を入力する必要があり、多大な労力と時間を必要とする。
一方、特許文献１記載の更新方法では、更新対象の通信装置から外部のソフトウェア更新装置へワンタイムパスワードを自動送信するため、アクセス許可を受けていない外部の第三者へ洩れるおそれがある。

本発明の課題は、更新装置側でパスワードを記憶および管理ならびに入力作業をする必要がなく、しかもパスワードが洩れるおそれがない、ソフトウェア更新装置、ソフトウェア更新方法、ソフトウェア更新システム、および機器管理装置を提供することにある。

第１発明のソフトウェア更新装置は、機器管理装置に接続されている。機器管理装置は、ソフトウェアによって機器を管理する。ソフトウェア更新装置は、ソフトウェアを更新する。ソフトウェア更新装置は、固有情報取得部と、第１パスワード生成部とを備えている。固有情報取得部は、固有情報を取得する。固有情報は、機器管理装置が有する固有の情報である。第１パスワード生成部は、パスワードを固有情報から求める。パスワードは、機器管理装置におけるソフトウェアの更新を許容する。

ここでは、第１パスワード生成部が機器管理装置の固有情報からソフトウェアの更新を許容するパスワードを求めるので、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。

第２発明のソフトウェア更新装置は、第１発明のソフトウェア更新装置であって、固有情報は、機器管理装置のＭＡＣアドレスである。
ここでは、第１パスワード生成部は、ＭＡＣアドレスに基づいてパスワードを求める。
第３発明のソフトウェア更新装置は、第１発明または第２発明のソフトウェア更新装置であって、送信部をさらに備えている。送信部は、パスワードを機器管理装置へ送信する。
ここでは、更新装置側で生成したパスワードは、送信部によって、機器管理装置へ送信される。

第４発明のソフトウェア更新装置は、第３発明のソフトウェア更新装置であって、送信部は、ソフトウェアを機器管理装置へさらに送信する。
ここでは、ソフトウェアは、送信部によって更新装置から機器管理装置へ送信される。
第５発明のソフトウェア更新装置は、第３発明または第４発明のソフトウェア更新装置であって、送信部は、更新動作用プログラムを機器管理装置へさらに送信する。更新動作用プログラムは、ソフトウェアの更新動作を実行するためのプログラムである。
ここでは、更新動作用プログラムは、送信部によって、更新装置から機器管理装置へ送信される。

第６発明のソフトウェア更新システムは、ソフトウェア更新装置と、機器管理装置とを備えている。ソフトウェア更新装置は、第１発明から第５発明のいずれかに記載されたものである。機器管理装置は、第１発明から第５発明のいずれかに記載されたものである。ソフトウェア更新装置と機器管理装置とは、通信網を介して通信可能に接続されている。
ここでは、ソフトウェア更新装置の第１パスワード生成部が機器管理装置の固有情報からソフトウェアの更新を許容するパスワードを求めるので、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。

第７発明のソフトウェア更新システムは、第６発明のソフトウェア更新システムであって、機器管理装置は、第２パスワード生成部を有している。第２パスワード生成部は、固有情報からパスワードを求める
ここでは、機器管理装置が第２パスワード生成部を有しているので、パスワードは、機器管理装置の内部に記憶されない。したがって、セキュリティーの面で信頼性が高い。

第８発明のソフトウェア更新システムは、第７発明のソフトウェア更新システムであって、送信部は、プログラムを機器管理装置へさらに送信する。プログラムは、パスワードを生成するアルゴリズムを含む。
ここでは、パスワードを生成するアルゴリズムを含むプログラムが機器管理装置へ送信されるので、機器管理装置のパスワード生成アルゴリズムはソフトウェア更新装置によって書き換えられる。

第９発明のソフトウェア更新システムは、第６発明のソフトウェア更新システムであって、機器管理装置は、パスワードを記憶するパスワード記憶部を有している。
ここでは、機器管理装置がパスワード記憶部を有しているので、機器管理装置の構成が簡単であり、認証が迅速である。

第１０発明のソフトウェア更新システムは、第６発明から第９発明のいずれかのソフトウェア更新システムであって、機器管理装置は、記憶媒体読み取り部を有している。記憶媒体読み取り部は、更新後のソフトウェアを記憶する記憶媒体を読み取る。
ここでは、記憶媒体に記憶された更新後のソフトウェアが記憶媒体読み取り部によって読み取られるので、更新後のソフトウェアへ更新する更新動作が確実に行われる。

第１１発明のソフトウェア更新システムは、第１０発明のソフトウェア更新システムであって、機器管理装置は、遠隔操作許可部をさらに有している。パスワードがソフトウェアの更新を許容する場合において記憶媒体が認識されたときにのみ、遠隔操作許可部は、更新動作を行うための遠隔操作を許可する。更新動作は、更新前のソフトウェアを更新後のソフトウェアへ更新する動作である。
ここでは、パスワードがソフトウェアの更新を許容する場合において記憶媒体を認識したときにのみ、外部からの遠隔操作は許可される。したがって、外部からの不正な遠隔操作が確実に防止される。

第１２発明のソフトウェア更新システムは、第１０発明または第１１発明のソフトウェア更新システムであって、機器管理装置は、禁止部をさらに有している。パスワードがソフトウェアの更新を許容する場合において記憶媒体が認識されたときに、禁止部は、記憶媒体読み取り部以外からのソフトウェアの読み取りを禁止する。
ここでは、パスワードがソフトウェアの更新を許容する場合において記憶媒体を認識したときに、記憶媒体読み取り部以外からのソフトウェアの読み取りが禁止される。
第１３発明のソフトウェア更新システムは、第１０発明から第１２発明のいずれかのソフトウェア更新システムであって、記憶媒体は、ＰＣカードである。
ここでは、記憶媒体は、ＰＣカードであるので、機器管理装置と容易に接続される。しかも記憶媒体の運搬および保管が容易であり、かつ、信頼性が高い。

第１４発明のソフトウェア更新方法は、機器管理装置が機器を管理するソフトウェアを更新するソフトウェア更新方法である。ソフトウェア更新方法は、固有情報を取得するステップと、パスワードを固有情報から求めるステップとを含む。固有情報は、機器管理装置が有する固有の情報である。パスワードは、機器管理装置におけるソフトウェアの更新を許容する。
ここでは、機器管理装置の固有情報からソフトウェアの更新を許容するパスワードを求めるので、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。

第１５発明の機器管理装置は、ソフトウェアによって機器を管理する。機器管理装置は、第１発明から第５発明のいずれかのソフトウェア更新装置と接続されている。機器管理装置は、固有のＭＡＣアドレスを有する。
ここでは、機器管理装置は、固有のＭＡＣアドレスを有しているので、ソフトウェア更新装置は、ＭＡＣアドレスを固有情報として、ＭＡＣアドレスに基づいてパスワードを求める。

第１６発明の機器管理装置は、第１５発明の機器管理装置であって、第２パスワード生成部を有している。第２パスワード生成部は、ソフトウェアの更新を許容するパスワードをＭＡＣアドレスから求める。

ここでは、機器管理装置が第２パスワード生成部を有しているので、パスワードは、機器管理装置の内部に記憶されない。したがって、セキュリティーの面で信頼性が高い。

第１発明によれば、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。また、パスワードの入力作業が不要であるので自動認証が可能である。さらに、パスワードが洩れるおそれがない。
第２発明によれば、ＭＡＣアドレスに基づいてパスワードを求めることができる。
第３発明によれば、更新装置側で生成したパスワードを機器管理装置へ送信することができる。

第４発明によれば、更新装置から機器管理装置へソフトウェアを送信することができる。
第５発明によれば、更新装置から機器管理装置へ更新動作用プログラムを送信することができる。
第６発明によれば、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。また、パスワードの入力作業が不要であるので自動認証が可能である。さらに、パスワードが洩れるおそれがない。

第７発明によれば、機器管理装置の内部にパスワードを記憶させないので、セキュリティーの面で信頼性が高い。
第８発明によれば、機器管理装置のパスワード生成アルゴリズムを外部のソフトウェア更新装置から書き換えることができる。
第９発明によれば、機器管理装置の構成が簡単であり、認証が迅速である。

第１０発明によれば、記憶媒体に記憶された更新後のソフトウェアへ更新する更新動作を確実に行うことができる。
第１１発明によれば、外部からの不正な遠隔操作を確実に防止することができる。
第１２発明によれば、記憶媒体読み取り部以外からのソフトウェアの読み取りを確実に禁止することができる。

第１３発明によれば、記憶媒体を機器管理装置と容易に接続することができ、しかも記憶媒体の運搬および保管も容易であり、かつ、信頼性が高い。
第１４発明によれば、更新装置側で機器管理装置ごとにパスワードを記憶したり、管理する必要がない。また、パスワードの入力作業が不要であるので自動認証が可能である。さらに、パスワードが洩れるおそれがない。

第１５発明によれば、ソフトウェア更新装置がＭＡＣアドレスに基づいてパスワードを求めることができる。
第１６発明によれば、機器管理装置の内部にパスワードを記憶させないので、セキュリティーの面で信頼性が高い。

〔第１実施形態〕
つぎに、本発明の第１実施形態に係わる機器管理装置、ソフトウェア更新方法、およびソフトウェア更新システムについて、図面を参照しながら詳細に説明する。
＜ソフトウェア更新システム１の構成＞
図１に示されるように、ソフトウェア更新システム１は、主要な構成として、機器管理装置である空調システム監視制御用コントローラ（以下、コントローラという）２と、ソフトウェア更新装置（以下、更新装置という）３とを備えている。

コントローラ２は、複数の空調機器４の運転を制御および監視するコントローラである。コントローラ２は、機器管理用ソフトウェア（以下、ソフトウェアという）を用いて複数の空調機器４を管理する。コントローラ２は、複数の空調機器４に信号線２０を介して通信可能に接続されている。空調機器４は、室内機および室外機の両方を含む。コントローラ２は、ソフトウェアを用いて、空調機器４の管理を行う。
コントローラ２と更新装置３とは、インターネット、イーサネット（登録商標）などの通信網５を介して通信可能に接続されている。
コントローラ２に存在する更新前のソフトウェアが更新後のソフトウェアへ更新されるときには、更新後のソフトウェアが更新装置３からコントローラ２へダウンロードされる。

＜更新装置３の構成＞
図２に示されるように、更新装置３は、受信部６と、送信部７と、制御部８と、第１パスワード生成部（以下、第１ＰＷ生成部という）９と、表示部１０と、遠隔操作部１１と、記憶部１２とを備えている。

受信部６は、コントローラ２から送信される信号を受信する。コントローラ２から送信される信号は、ログインを許可（または拒絶）することを知らせるための認証結果信号、更新動作の状況を知らせるための更新動作状況報知信号、およびその他種々の信号を含む。
また、受信部６は、固有情報取得部６ａを有している。固有情報取得部６ａは、コントローラ２が有する固有の情報であるＭＡＣアドレスを取得する。ＭＡＣアドレスは、イーサネットで取り決められている固有のＩＤであり、イーサネットでの通信を行う際にはやり取りが必須であるため、通信方式がイーサネットの場合に、固有情報として有効化する利点を有する。

送信部７は、コントローラ２へ信号を送信する。コントローラ２へ送信される信号は、入力用パスワードに関するパスワード信号、更新動作の遠隔操作を行うための遠隔操作信号、およびその他種々の信号を含む。また、送信部７は、コントローラ２へ更新後のソフトウェアを送信する。
制御部８は、更新装置３の内部の各構成要素（受信部６、送信部７、第１ＰＷ生成部９、表示部１０および遠隔操作部１１）の動作を制御する。

第１ＰＷ生成部９は、コントローラ２から取得したＭＡＣアドレスから、入力用パスワードを求める。
表示部１０は、入力用パスワードの生成および送信に関する情報、更新動作に関する情報、およびその他種々の情報を表示する。
遠隔操作部１１は、管理者等が更新動作の遠隔操作を行うための操作部である。
記憶部１２は、コントローラ２へ送信される更新後のソフトウェアを記憶する。

＜コントローラ２の構成＞
図３に示されるように、コントローラ２は、受信部１３と、送信部１４と、制御部１５と、第２パスワード生成部（以下、第２ＰＷ生成部という）１６と、再起動スイッチ１７と、表示部１８と、運転操作部１９と、書き込み部２０と、不揮発性メモリ２１とを備えている。

受信部１３は、更新装置３から送信される信号（パスワード信号、遠隔操作信号、およびその他種々の信号）を受信する。また、受信部１３は、更新装置３からダウンロードされた更新後のソフトウェアを受信する。
送信部１４は、更新装置３へ、ＭＡＣアドレスに関するＭＡＣアドレス信号、認証結果信号、更新動作状況報知信号、およびその他種々の信号を送信する。

制御部１５は、複数の空調機器４の運転を制御および監視する。また、制御部１５は、コントローラ２の内部の各構成要素（受信部１３、送信部１４、第２ＰＷ生成部１６、再起動スイッチ１７、表示部１８、運転操作部１９、書き込み部２０、および不揮発性メモリ２１）の動作を制御する。
さらに、制御部１５は、更新動作を行うときには、更新動作用プログラムを実行する。

第２ＰＷ生成部１６は、コントローラ２のＭＡＣアドレスから照合用パスワードを求める。第２ＰＷ生成部１６は、入力用パスワードを生成するアルゴリズムと同一のアルゴリズムで、照合用パスワードを求める。すなわち、第２ＰＷ生成部１６は、入力用パスワードと同一になるように、照合用パスワードを生成する。
再起動スイッチ１７は、コントローラ２を再起動させる。再起動は、制御部１５が更新動作用プログラムまたは更新後のソフトウェアの実行を開始するときに行われる。

表示部１８は、コントローラ２による複数の空調機器４の制御に関する情報、および更新動作の状況に関する情報を表示する。
運転操作部１９は、管理者等が複数の空調機器４の運転制御を行うための操作部である。
書き込み部２０は、更新装置３から受信部１３へ送信された更新後のソフトウェアを不揮発性メモリ２１に書き込む。
不揮発性メモリ２１は、制御部１５が空調機器４の管理を行うためのソフトウェアを記憶する。更新動作前には、更新前のソフトウェアが不揮発性メモリ２１に記憶される。更新後には、更新後のソフトウェアが不揮発性メモリ２１に記憶される。また、不揮発性メモリ２１には、制御部８が更新動作を実行するための更新動作用プログラムが記憶されている。更新動作用プログラムには、第２ＰＷ生成部１６が照合用パスワードを生成するためのアルゴリズムが含まれている。

＜ソフトウェア更新方法の手順＞
つぎに、本実施形態のコントローラ２におけるソフトウェアの更新の手順を、図４のシーケンス図を参照しながら説明する。ここで、コントローラ２のユーザが再起動スイッチ１７の操作を行い、一方、管理者等が更新装置３を操作することにより通信網５を介して更新動作のための遠隔操作を行うものとする。

まず、ステップＳ１において、ユーザがコントローラ２の再起動スイッチ１７を操作すれば、再起動信号が制御部１５に入力され、コントローラ２は再起動する。
ついで、ステップＳ２において、制御部１５は、更新動作用プログラムの実行を開始する。
ついで、ユーザが管理者等へ更新動作を開始した旨を電話等で連絡すれば、管理者等は、更新装置３をコントローラ２へ接続するために更新装置３を操作する。すなわち、ステップＳ３において、更新装置３の送信部７は、コントローラ２に接続を要求するための接続要求信号を、コントローラ２に送信する。

ついで、ステップＳ４において、コントローラ２の送信部１４は、更新装置３へコントローラ２のＭＡＣアドレスに関するＭＡＣアドレス信号を送信する。
ついで、ステップＳ５において、更新装置３の第１ＰＷ生成部９は、コントローラ２のＭＡＣアドレスに基づいて、入力用パスワードを生成する。
ついで、ステップＳ６において、更新装置３の送信部７は、入力用パスワードに関するパスワード信号をコントローラ２へ送信する。

ついで、ステップＳ７において、パスワード信号を受信したコントローラ２では、第２ＰＷ生成部１６が、コントローラ２自体のＭＡＣアドレスに基づいて、照合用パスワードを生成する。
さらに、ステップＳ８において、制御部１５は、入力用パスワードと照合用パスワードとを比較して、更新装置３の認証を行う。

ついで、ステップＳ９において、送信部１４は、認証結果に関する認証結果信号を更新装置３へ送信する。
ついで、ステップＳ１０において、認証結果信号がソフトウェアの更新を許容する結果である場合には、更新装置３の送信部７は、ＦＴＰ（ファイル転送プロトコル）によって、更新後のソフトウェアをコントローラ２へ送信する。

つぎに、ステップＳ１１において、制御部１５は、更新動作用プログラムにしたがって更新動作を実行する。更新動作は、図５のフローチャートに示される手順で実行される。
更新動作が行われる間、管理者等は、更新装置３の遠隔操作部１１を操作することにより、更新動作の遠隔操作を行う。このとき、更新装置３の送信部７は、遠隔操作信号をコントローラ２へ送信する。

更新動作は、具体的には、まず、図５に示されるように、ステップＳ２１において、制御部１５は、不揮発性メモリ２１に記憶されている更新前のソフトウェアを消去する。
ついで、ステップＳ２２において、制御部１５は、書き込み部２０が更新後のソフトウェアを不揮発性メモリ２１へ書き込むように制御する。
さらに、ステップＳ２３において、制御部１５は、更新後のソフトウェアにしたがって所定の機器管理動作を正常に行うことができるか否かをチェックする。

以上の更新動作が終了したのち、ステップＳ１２へ進む。
ステップＳ１２において、ユーザが再起動スイッチ１７を操作すれば、再起動信号が制御部１５に入力され、コントローラ２は再起動する。
再起動後、ステップＳ１３において、制御部１５は、更新後のソフトウェアを実行し、複数の空調機器４の運転を制御および監視する。
その後、ステップＳ１４において、コントローラ２の送信部１４は、更新動作が終了したことに関する終了信号を、更新装置３へ送信する。終了信号を受信した更新装置３は、動作を終了する。

＜第１実施形態の特徴＞
（１）
第１実施形態では、更新装置３の第１ＰＷ生成部９が、コントローラ２の固有の情報であるＭＡＣアドレスに基づいて、入力用パスワードを生成する。これによって、コントローラ２を複数台同時にソフトウェア更新する場合であっても、更新装置３側でコントローラ２ごとにパスワードを記憶したり、管理する必要がなくなる。しかも、パスワードの入力作業が不要であり、自動認証が可能である。

さらに、第１ＰＷ生成部９がコントローラ２から更新装置３へ送信されるＭＡＣアドレスを用いて入力用パスワードを生成するので、パスワードが洩れるおそれがない。
（２）
第１実施形態では、更新装置３の送信部７は、入力用パスワードを遠隔のコントローラ２へ送信する。また、送信部７がソフトウェアを遠隔のコントローラ２へ送信することにより、コントローラ２へのソフトウェアのダウンロードが可能になる。
（３）
第１実施形態では、コントローラ２の第２ＰＷ生成部１６は、コントローラ２自体のＭＡＣアドレスに基づいて入力用パスワードを生成するアルゴリズムと同一のアルゴリズムで照合用パスワードを生成する。したがって、コントローラ２の内部にパスワードを記憶させないので、セキュリティーの面で信頼性が高い。
（４）
第１実施形態では、コントローラ２は、再起動スイッチ１７をさらに備えている。したがって、ユーザが再起動スイッチ１７を操作することにより、更新動作の開始時、および更新後のソフトウェアを更新した後に、コントローラ２の再起動が行われる。
（５）
第１実施形態では、管理者等は、更新装置３を操作することによって、通信網５を介して更新動作のための遠隔操作を確実に行うことが可能である。

＜第１実施形態の変形例＞
（Ａ）
第１実施形態では、更新動作用プログラムは、コントローラ２の不揮発性メモリ２１に記憶されているが、本発明はこれに限定されるものではなく、更新装置３の送信部７が更新動作用プログラムをコントローラ２へ送信するようにしてもよい。
この場合、更新装置３からコントローラ２へ最新の更新動作用プログラムをダウンロードすることが可能である。
それとともに、更新動作用プログラムに含まれる照合用パスワードを生成するためのアルゴリズムもコントローラ２へ送信されるので、照合用パスワードを生成するためのアルゴリズムも書き換えられる。したがって、照合用パスワードおよびそれを生成するためのアルゴリズムも更新動作ごとに新しく書き換えることができ、セキュリティーの面で信頼性が高い。
（Ｂ）
第１実施形態では、第２ＰＷ生成部１６が照合用パスワードを生成するためのアルゴリズムは、更新動作用プログラムに含まれているが、本発明はこれに限定されるものではない。照合用パスワードを生成するアルゴリズムは、更新動作用プログラム以外の他のプログラムに含まれていてもよい。

たとえば、コントローラ２の通常操作用のプログラムに含まれる、操作用ログイン・パスワードを生成するためのアルゴリズムを、照合用パスワードを生成するアルゴリズムとして利用してもよい。ただし、操作用ログイン・パスワードおよび照合用パスワードは、共通のアルゴリズムによって生成された場合であっても、互いに異なるパスワードになるように生成される。
（Ｃ）
第１実施形態では、第２ＰＷ生成部１６が照合用パスワードを生成する例が示されているが、本発明の変形例として、図６に示されるように、上記の第２ＰＷ生成部１６を設ける代わりに、照合用パスワードを記憶したパスワード記憶部（以下、ＰＷ記憶部という）２２を設けてもよい。この場合、照合用パスワードがＰＷ記憶部２２に記憶されているので、更新装置３の構成が簡単になり、かつ認証動作が迅速になる。

なお、ＰＷ記憶部２２を設ける代わりに、他のメモリ（不揮発性メモリ２１など）に照合用パスワードを記憶させてもよい。
（Ｄ）
第１実施形態では、コントローラ２の固有情報としてＭＡＣアドレスを例に挙げて説明したが、本発明はこれに限定されるものではなく、ＭＡＣアドレス以外の他の固有情報に基づいて、入力用パスワードおよび照合用パスワードを生成するようにしてもよい。
〔第２実施形態〕
つぎに、本発明の第２実施形態に係わる機器管理装置、ソフトウェア更新方法、およびソフトウェア更新システムについて、図面を参照しながら詳細に説明する。

第２実施形態のソフトウェア更新システム１は、図１に示される第１実施形態のソフトウェア更新システム１と同様に、主要な構成として、機器管理装置である空調システム監視制御用コントローラ（以下、コントローラという）３２（図７参照）と、更新装置３（図１参照）とを備えている。
第２実施形態のソフトウェア更新システムは、更新装置３からコントローラ３２へ更新後のソフトウェアをダウンロードする代わりに、図７に示されるように記憶媒体であるＰＣカード４５からコントローラ３２へダウンロードする点で、第１実施形態のソフトウェア更新システム１と異なっている。
なお、更新装置３の構成は、上記第１実施形態と共通しているので、ここでの説明を省略する。

＜コントローラ３２の構成＞
図７に示されるように、コントローラ３２は、受信部３３と、送信部３４と、制御部３５と、第２パスワード生成部（以下、第２ＰＷ生成部という）３６と、再起動スイッチ３７と、表示部３８と、運転操作部３９と、書き込み部４０と、不揮発性メモリ４１と、遠隔操作許可部４２と、ダウンロード禁止部４３と、読み取り部４４と、接続端子４８とを備えている。

受信部３３は、更新装置３から送信される信号（パスワード信号、遠隔操作信号、およびその他種々の信号）を受信する。
送信部３４は、更新装置３へ、ＭＡＣアドレス信号、認証結果信号、更新動作状況報知信号、およびその他種々の信号を送信する。
制御部３５は、複数の空調機器４の運転を制御および監視する。また、制御部３５は、コントローラ３２の内部の各構成要素（受信部３３、送信部３４、第２ＰＷ生成部３６、再起動スイッチ３７、表示部３８、運転操作部３９、書き込み部４０、不揮発性メモリ４１、遠隔操作許可部４２、ダウンロード禁止部４３、および読み取り部４４）の動作を制御する。

さらに、制御部３５は、更新動作を行うときには、更新動作用プログラムを実行する。
第２ＰＷ生成部３６は、コントローラ３２のＭＡＣアドレスに基づいて、入力用パスワードを生成するアルゴリズムと同一のアルゴリズムで照合用パスワードを生成する。
再起動スイッチ３７は、コントローラ３２を再起動させる。再起動は、制御部３５が更新動作用プログラムまたは更新後のソフトウェアの実行を開始するときに行われる。

表示部３８は、コントローラ３２による複数の空調機器４の制御状態に関する情報、および更新動作の状況に関する情報を表示する。
運転操作部３９は、管理者等が複数の空調機器４の運転制御を行うための操作部である。
書き込み部４０は、ＰＣカード４５から読み取られた更新後のソフトウェアを不揮発性メモリ４１に書き込む。

不揮発性メモリ４１は、制御部３５が空調機器４の管理を行うためのソフトウェアを記憶する。更新動作前には、更新前のソフトウェアが不揮発性メモリ４１に記憶される。更新後には、更新後のソフトウェアが不揮発性メモリ４１に記憶される。また、不揮発性メモリ４１には、制御部８が更新動作を実行するための更新動作用プログラムが記憶されている。更新動作用プログラムには、第２ＰＷ生成部３６が照合用パスワードを生成するためのアルゴリズムが含まれている。

遠隔操作許可部４２は、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）において制御部３５がＰＣカード４５を認識したときにのみ、更新装置３に対して、更新動作を行うための遠隔操作を許可する。遠隔操作が許可されたときには、制御部３５は、受信部３３に対して更新装置３からの遠隔操作信号を受信するように制御する。一方、遠隔操作が許可されないときには、制御部３５は、遠隔操作信号の受信を禁止するように制御する。

ダウンロード禁止部４３は、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）において制御部３５がＰＣカード４５を認識したときに、読み取り部４４以外からのソフトウェアの読み取りを禁止する。読み取り部４４以外からのソフトウェアの読み取りが禁止されたときには、制御部３５は、受信部３３が更新装置３からのソフトウェアの読み取りをできないように制御する。一方、ソフトウェアの読み取りが禁止されないときには、受信部３３は、更新装置３からのソフトウェアの読み取りを禁止されない。

読み取り部４４は、ＰＣカード４５、さらに詳しくはＰＣカード４５に格納される更新後のソフトウェアを読み取る。
接続端子４８は、ＰＣカード４５と通信可能に接続する端子である。

＜ＰＣカード４５の構成＞
図７に示されるように、ＰＣカード４５は、ＲＯＭ４６と、接続端子４７とを備えている。
ＲＯＭ４６は、更新後のソフトウェアを記憶する記憶部である。
接続端子４７は、コントローラ３２の接続端子４８と通信可能かつ着脱自在に接続される。

＜ソフトウェア更新方法の手順＞
つぎに、本実施形態のコントローラ３２におけるソフトウェアの更新の手順を、図８のシーケンス図を参照しながら説明する。ここで、コントローラ３２のユーザがＰＣカード４５の接続および取外しと再起動スイッチ３７の操作を行い、一方、管理者等が更新装置３（図２参照）を操作することにより通信網５（図１参照）を介して更新動作のための遠隔操作を行うものとする。
まず、ユーザがコントローラ３２にＰＣカード４５を接続する。
このとき、ステップＳ３１において、制御部３５は、ＰＣカード４５の接続端子４７がコントローラ３２の接続端子４８に接続されたか否かを判別する（すなわち、ＰＣカード４５を認識する動作を行う）。なお、ＰＣカード４５が認識されないときは、ステップＳ３１を繰り返す。

ついで、ステップＳ３２において、ユーザが再起動スイッチ３７を操作すれば、再起動信号が制御部３５に入力され、コントローラ３２は再起動する。
ついで、ステップＳ３３において、制御部３５は、不揮発性メモリ４１から更新動作用プログラムを読み出して、更新動作用プログラムの実行を開始する。
ついで、ユーザが管理者等へ更新動作を開始した旨を電話等で連絡すれば、管理者等は、更新装置３をコントローラ３２へ接続するために更新装置３を操作する。すなわち、ステップＳ３４において、更新装置３の送信部７は、コントローラ３２に接続を要求するための接続要求信号を、コントローラ３２に送信する。

ついで、ステップＳ３５において、コントローラ３２の送信部３４は、更新装置３へコントローラ３２のＭＡＣアドレスに関するＭＡＣアドレス信号を送信する。
ついで、ステップＳ３６において、更新装置３の第１ＰＷ生成部９は、コントローラ３２のＭＡＣアドレスに基づいて、入力用パスワードを生成する。
ついで、ステップＳ３７において、更新装置３の送信部７は、入力用パスワードに関するパスワード信号をコントローラ３２へ送信する。

ついで、ステップＳ３８において、パスワード信号を受信したコントローラ３２では、第２ＰＷ生成部３６が、コントローラ３２自体のＭＡＣアドレスに基づいて、照合用パスワードを生成する。
さらに、ステップＳ３９において、制御部３５は、入力用パスワードと照合用パスワードとを比較して、更新装置３の認証を行う。

ステップＳ４０において、遠隔操作許可部４２は、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）において制御部３５がＰＣカード４５を認識したとき（ステップＳ３１）にのみ、更新装置３の遠隔操作を許可する。
さらに、ステップＳ４１において、ダウンロード禁止部４３は、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）において制御部３５がＰＣカード４５を認識したとき（ステップＳ３１）に、読み取り部４４以外からの読み取り、すなわち更新装置３およびその他の端末から通信網５を介してのソフトウェアをダウンロードすることを禁止する。

ついで、ステップＳ４２において、送信部３４は、認証結果に関する認証結果信号を更新装置３へ送信する。
ついで、ステップＳ４３において、認証結果信号がソフトウェアの更新を許容する結果である場合には、更新後のソフトウェアは、ＰＣカード４５からコントローラ３２へダウンロードされる。

つぎに、ステップＳ４４において、制御部３５は、更新動作用プログラムにしたがって更新動作を実行する。更新動作は、図５のフローチャートに示される手順で実行される。更新動作が行われる間、管理者等は、更新装置３の遠隔操作部１１を操作することにより、更新動作の遠隔操作を行う。このとき、更新装置３の送信部７は、遠隔操作信号をコントローラ３２へ送信する。

更新動作は、具体的には、まず、図５に示されるように、ステップＳ２１において、制御部３５は、不揮発性メモリ４１に記憶されている更新前のソフトウェアを消去する。
ついで、ステップＳ２２において、制御部３５は、書き込み部４０が更新後のソフトウェアを不揮発性メモリ４１へ書き込むように制御する。
さらに、ステップＳ２３において、制御部３５は、更新後のソフトウェアにしたがって所定の機器管理動作を正常に行うことができるか否かをソフトウェア上でチェックする。

以上の更新動作が終了したのち、ステップＳ４５へ進む。
ステップＳ４５において、ユーザが再起動スイッチ３７を操作すれば、再起動信号が制御部３５に入力され、コントローラ３２は再起動する。
再起動後、ステップＳ４６において、制御部３５は、更新後のソフトウェアを実行し、複数の空調機器４の運転を制御および監視する。
その後、ステップＳ４７において、コントローラ３２の送信部３４は、更新動作が終了したことに関する終了信号を、更新装置３へ送信する。終了信号を受信した更新装置３は、動作を終了する。

＜第２実施形態の特徴＞
（１）
第２実施形態では、第１実施形態と同様に、更新装置３の第１ＰＷ生成部９が、コントローラ３２の固有の情報であるＭＡＣアドレスに基づいて、入力用パスワードを生成する。これによって、コントローラ３２を複数台同時にソフトウェア更新する場合であっても、更新装置３側でコントローラ３２ごとにパスワードを記憶したり、管理する必要がなくなる。しかも、パスワードの入力作業が不要であり、自動認証が可能である。

さらに、第１ＰＷ生成部９がコントローラ３２から更新装置３へ送信されるＭＡＣアドレスを用いて入力用パスワードを生成するので、パスワードが洩れるおそれがない。
（２）
第２実施形態では、第１実施形態と同様に、コントローラ３２の第２ＰＷ生成部３６は、コントローラ３２自体のＭＡＣアドレスに基づいて入力用パスワードを生成するアルゴリズムと同一のアルゴリズムで照合用パスワードを生成する。したがって、コントローラ３２の内部にパスワードを記憶させないので、セキュリティーの面で信頼性が高い。
（３）
第２実施形態では、ＰＣカード４５が更新後のソフトウェアを記憶する記憶部であるＲＯＭ４６を有するので、記憶媒体に記憶された更新後のソフトウェアがコントローラ３２へ確実に更新される。また、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）においてＰＣカード４５が認識されたときにのみ、更新動作を行うための遠隔操作、すなわち更新装置３による遠隔操作は、遠隔操作許可部４２によって許可される。したがって、外部からの不正な遠隔操作は、確実に防止される。
（４）
第２実施形態では、入力用パスワードがソフトウェアの更新を許容する場合（すなわち、入力用パスワードが照合用パスワードと一致する場合）においてＰＣカード４５が認識されたときに、読み取り部４４以外からのソフトウェアの読み取りは、ダウンロード禁止部４３によって禁止される。したがって、読み取り部４４以外からのソフトウェアの読み取りは、確実に禁止される。これによって、パスワードが洩れたり、または第三者が入力したパスワードが偶然に正しいパスワードと一致した場合でも、外部からのダウンロードは防止される。

なお、入力用パスワードがソフトウェアの更新を許容しない場合（すなわち、入力用パスワードが照合用パスワードと一致しない場合）にも、読み取り部４４以外からのソフトウェアの読み取りは、ダウンロード禁止部４３によって禁止される。
（５）
第２実施形態では、管理者等は、更新装置３を操作することによって、通信網５を介して更新動作のための遠隔操作を確実に行うことが可能である。
（６）
第２実施形態では、記憶媒体として、ＰＣカード４５が採用されている。ＰＣカード４５は、コントローラ３２との接続が容易である。しかも、ＰＣカード４５は、運搬および保管も容易であり、かつ、信頼性が高い。

＜変形例＞
（Ａ）
第２実施形態では、管理者等は、更新装置３を用いて、通信網５を介して更新動作のための遠隔操作を行っている。しかし、更新動作のための操作の他の例として、従来から行われているような操作方法も可能である。例えば、管理者等は、コントローラ３２の設置場所へ出向き、更新装置３をコントローラ３２に有線で接続し、そののち、更新装置３から更新動作のための操作を行ってもよい。この場合、ＰＣカード４５の接続および取り外し、ならびに再起動スイッチ３７の操作も、管理者等によって行われる。
このような有線接続された更新装置３を用いて更新動作のための操作を行う場合であっても、ＰＣカード４５などの記憶媒体を認識したときに、遠隔操作許可部４２などの操作許可部が、有線接続した操作用端末からの操作を許可するようにしてもよい。
（Ｂ）
第２実施形態では、制御部３５がＰＣカード４５の認識を行っているが、本発明はこれに限定されるものではなく、遠隔操作許可部４２およびダウンロード禁止部４３のそれぞれがＰＣカード４５の認識を行うようにしてもよい。

この場合、遠隔操作許可部４２は、遠隔操作許可部４２それ自体がＰＣカード４５を認識したときに、更新装置３に対して、更新動作を行うための遠隔操作を許可する。また、ダウンロード禁止部４３は、ダウンロード禁止部４３それ自体がＰＣカード４５を認識したときに、読み取り部４４以外からのソフトウェアの読み取りを禁止する。
（Ｃ）
第２実施形態では、ＰＣカード４５の接続端子４７がコントローラ３２の接続端子４８に接続されたか否かを判別することによって、ＰＣカード４５を認識しているが、本発明はこれに限定されるものではない。ＰＣカード４５などの記憶媒体を認識する他の方法（たとえば、光学式リレーなどを用いた記憶媒体の認識方法など）を採用することも可能である。
（Ｄ）
第２実施形態では、更新動作用プログラムが不揮発性メモリ４１に記憶されているが、本発明はこれに限定されるものではなく、更新動作用プログラムがＰＣカード４５のＲＯＭ４６に記憶されてもよい。この場合、制御部３５は、ＰＣカード４５から更新動作用プログラムを読み取って更新動作を実行することが可能である。
（Ｅ）
第２実施形態では、第２ＰＷ生成部３６が照合用パスワードを生成する例が示されているが、本発明はこれに限定されるものではなく、本発明の変形例として照合用パスワードを生成するための第２ＰＷ生成部３６を設ける代わりに、ＰＣカード４５のＲＯＭ４６に、照合用パスワードを記憶させてもよい。この場合、照合用パスワードがＰＣカード４５に記憶されているので、更新装置３の構成が簡単になり、かつ認証動作が迅速になる。また、照合用パスワードが更新装置３に存在しないので、セキュリティ上の信頼性が高い。

なお、ＰＣカード４５のＲＯＭ４６に照合用パスワードを記憶させる代わりに、他のメモリ（不揮発性メモリ４１など）に照合用パスワードを記憶させてもよい。

本発明のソフトウェア更新装置、ソフトウェア更新システム、およびソフトウェア更新方法は、上記の実施形態のように、空調システム監視制御コントローラのソフトウェア更新のために採用され得るが、本発明はこれに限定されるものではない。さらに、本発明は、ソフトウェアによって機器を管理する種々のコントローラ等のソフトウェア更新のためにも採用され得る。

本発明の第１実施形態に係わるソフトウェア更新システムの構成図。 図１のソフトウェア更新装置の構成を示すブロック図。 図１の空調システム監視制御用コントローラの構成を示すブロック図。 本発明の第１実施形態に係わるソフトウェア更新方法の手順を示すシーケンス図。 図４の更新動作の手順を示すフローチャート。 本発明の第１実施形態の変形例に係わるソフトウェア更新装置の構成を示すブロック図。 本発明の第２実施形態に係わる空調システム監視制御用コントローラおよびＰＣカードを示すブロック図。 本発明の第２実施形態に係わるソフトウェア更新方法の手順を示すシーケンス図。

符号の説明

１ ソフトウェア更新システム
２、３２ 空調システム監視制御用コントローラ（コントローラ）
３ ソフトウェア更新装置（更新装置）
４ 空調機器
５ 通信網
９ 第１パスワード生成部（第１ＰＷ生成部）
１６、３６ 第２パスワード生成部（第２ＰＷ生成部）
４２ 遠隔操作許可部
４３ ダウンロード禁止部
４５ ＰＣカード

Claims (16)

1. ソフトウェアによって機器（４）を管理する機器管理装置（２、３２）に接続され、前記ソフトウェアを更新するソフトウェア更新装置（３）であって、
   前記機器管理装置（２、３２）が有する固有の情報である固有情報を取得する固有情報取得部（６ａ）と、
   前記機器管理装置（２、３２）における前記ソフトウェアの更新を許容するパスワードを前記固有情報から求める第１パスワード生成部（９）と
   を備えている、ソフトウェア更新装置（３）。
2. 前記固有情報は、前記機器管理装置（２、３２）のＭＡＣアドレスである、
   請求項１に記載のソフトウェア更新装置（３）。
3. 前記パスワードを前記機器管理装置（２、３２）へ送信する送信部（７）をさらに備えている、
   請求項１または２に記載のソフトウェア更新装置（３）。
4. 前記送信部（７）は、前記ソフトウェアを前記機器管理装置（２）へさらに送信する、
   請求項３に記載のソフトウェア更新装置（３）。
5. 前記送信部（７）は、前記ソフトウェアの更新動作を実行するための更新動作用プログラムを前記機器管理装置（２）へさらに送信する、
   請求項３または４に記載のソフトウェア更新装置（３）。
6. 請求項１から５のいずれかに記載のソフトウェア更新装置（３）と、
   請求項１から５のいずれかに記載の機器管理装置（２、３２）と、
   を備えており、
   前記ソフトウェア更新装置（３）と前記機器管理装置（２、３２）とは、通信網（５）を介して通信可能に接続されている、
   ソフトウェア更新システム（１）。
7. 前記機器管理装置（２、３２）は、前記固有情報から前記パスワードを求める第２パスワード生成部（１６、３６）を有している、
   請求項６に記載のソフトウェア更新システム（１）。
8. 前記送信部（７）は、前記パスワードを生成するアルゴリズムを含むプログラムを前記機器管理装置（２）へさらに送信する、
   請求項７に記載のソフトウェア更新システム（１）。
9. 前記機器管理装置（２）は、前記パスワードを記憶するパスワード記憶部（２２）を有している、
   請求項６に記載のソフトウェア更新システム（１）。
10. 前記機器管理装置（３２）は、更新後のソフトウェアを記憶する記憶媒体（４５）を読み取る記憶媒体読み取り部（４４）を有している、
    請求項６から９のいずれかに記載のソフトウェア更新システム（１）。
11. 前記機器管理装置（３２）は、前記パスワードが前記ソフトウェアの更新を許容する場合において前記記憶媒体（４５）が認識されたときにのみ、更新前のソフトウェアを前記更新後のソフトウェアへ更新する更新動作を行うための遠隔操作を許可する遠隔操作許可部（４２）をさらに有している、
    請求項１０に記載のソフトウェア更新システム（１）。
12. 前記機器管理装置（３２）は、前記パスワードが前記ソフトウェアの更新を許容する場合において前記記憶媒体（４５）が認識されたときに、前記記憶媒体読み取り部（４４）以外からのソフトウェアの読み取りを禁止する禁止部（４３）をさらに有している、
    請求項１０または１１に記載のソフトウェア更新システム（１）。
13. 前記記憶媒体（４５）は、ＰＣカードである、
    請求項１０から１２のいずれかに記載のソフトウェア更新システム（１）。
14. 機器管理装置（２、３２）が機器（４）を管理するソフトウェアを更新するソフトウェア更新方法であって、
    前記機器管理装置（２、３２）が有する固有の情報である固有情報を取得するステップと、
    前記機器管理装置（２、３２）における前記ソフトウェアの更新を許容するパスワードを前記固有情報から求めるステップと、
    を含む、ソフトウェア更新方法。
15. ソフトウェアによって機器（４）を管理する機器管理装置（２、３２）であって、
    請求項１から５のいずれかに記載のソフトウェア更新装置と接続され、固有のＭＡＣアドレスを有する、
    機器管理装置（２、３２）。
16. 前記ソフトウェアの更新を許容するパスワードを前記ＭＡＣアドレスから求める第２パスワード生成部（１６、３６）を有している、
    機器管理装置（２、３２）。

Images