设备管理装置、设备管理系统以及程序的制作方法
【技术领域】
[0001 ] 本发明涉及设备管理装置、设备管理系统以及程序。
【背景技术】
[0002]在大厦等房屋中，一般设置了对空调仪器、照明仪器等设备仪器进行管理的设备管理装置。在这样的设备管理装置中，如果从大厦管理者的个人电脑(用户终端)的Web浏览器进行访问，则能够经由大厦内的LAN(Local Area Network)、因特网来监视设备仪器的运转状态。
[0003]在这种设备管理装置中，为了防止非法访问，进行用户认证。如果访问设备管理装置，则在用户终端的Web浏览器上显示登录画面。登录画面是用户ID以及口令的输入画面。如果输入了用户ID以及口令，则使用用户ID以及口令在设备管理装置中进行用户认证。如果用户认证正常地完成，则从设备管理装置发送了的设备仪器的监视用的Web页面的内容显示于Web浏览器上，能够监视设备仪器的状态。
[0004]此处，考虑针对大厦内的各楼层的每个入口、或每个大厦分别设置设备管理装置(即，设置多个设备管理装置)的情况。在该情况下，为了同时监视由多个设备管理仪器分别管理的多个设备仪器的状态，需要在Web浏览器上单独地显示与各设备管理装置分别对应的多个登录画面，并在所有的登录画面中逐一输入用户ID以及口令。S卩，为了同时监视跨越多个设备管理仪器来管理的多个设备仪器的状态，需要进行与成为对象的设备管理装置的台数相应次数的登录。因此，设备管理装置越增加，登录的次数越增加，在管理中花费工夫。
[0005]作为仅通过I次的认证就能够访问多个Web服务器的技术，一般利用使用了SAML (Security Assert1n Markup Language，安全断言标记语言)方式的单次登录技术。在SAML方式中，首先，如果从用户终端的Web浏览器访问认证服务器，则认证服务器进行用户认证。于是，从认证服务器向用户终端发行认证信息。如果附加所发行的认证信息而从用户终端连接到目标的Web站点，则Web站点对认证服务器进行认证信息的查询。如果正确地发行了认证信息，则将Web站点的内容发送到用户终端。
[0006]另外，公开了不使用SAML方式而实现单次登录功能的认证代理装置(参照例如专利文献I)。该认证代理装置对用户装置发行嵌入了按各运营商的登记信息的Cookie。如果用户装置对各运营商的资源管理装置发送了所取得的Cookie，则各资源管理装置仅在Cookie内的登记信息与运营商保持的登记信息一致的情况下，许可来自用户装置的访问。
[0007]专利文献1:日本特开2002-269272号公报
【发明内容】
[0008]在经由因特网从远程位置对设备仪器的状态进行监视的系统中，需要防止从不确定的许多终端非法地访问设备仪器。因此，在这样的系统中，利用VPN(Virtual PrivateNetwork，虚拟专用网络)技术的情况较多。在VPN技术中，在各据点中设置可进行VPN连接的VPN路由器。与因特网连接了的监视终端(个人电脑)连接到各据点的VPN路由器，能够仅经由VPN路由器而与设置在各据点内的设备管理装置之间进行通信。
[0009]在这样的系统中，为了降低在VPN仪器中所需的成本，大多不采用能够在多个据点之间自由地通信的网格型的VPN连接。在该情况下，监视终端(个人电脑)与在据点中设置的VPN路由器之间成为一对一的连接。在这样的连接方式中，无法从某个据点的设备管理装置针对其他据点的设备管理装置进行通信。因此，在将I台设备管理装置设为还保有认证服务器功能的父机(parent device)，将其他设备管理装置作为子机(child device)的情况下，无法通过SAML方式在设备管理装置(父机)与设备管理装置(子机)之间进行通信。其结果，难以在设备管理装置之间共享认证信息。根据这样的背景，实现对于在SAML方式中经由VPN路由器可分别访问的各据点处所设置的多个设备管理装置能够通过I次的登录来进行访问的单次登录是极其困难的。
[0010]另外，上述专利文献I的认证代理装置对用户装置发行嵌入了各运营商的识别信息的Cookie。资源管理装置通过比较从用户装置发送的Cookie中所嵌入的识别信息、和本装置的识别信息而进行认证。由此，无需在认证代理装置与资源管理装置之间直接进行通信，而能够I次完成访问多个资源管理装置时的认证。但是，在该技术中，不存在确认从用户装置向资源管理装置发送了的Cookie是否确实是从认证代理装置发行了的Cookie的手段。例如，只要知道用户向运营商登记了的标识符(例如邮件地址)，则即使不知道用户ID、口令，也能够非法地制作认证用的Cookie，所以无需进行向认证代理装置的认证，而能够通过冒充进行非法访问。因此，即使使用上述专利文献I的认证代理装置，也难以安全地运用认证系统。
[0011]本发明是为了解决上述课题而完成的，其目的在于提供一种能够低成本且安全地监视多个设备管理装置的设备管理装置、设备管理系统以及程序。
[0012]为了实现上述目的，本发明的设备管理装置是管理设备仪器的设备管理装置，具备:
[0013]设备仪器管理部，管理所述设备仪器的运转状态；
[0014]用户认证处理部，在本装置是多个设备管理装置中的代表的设备管理装置的情况下，依照来自监视终端的要求进行用户认证，在用户认证成功了的情况下，针对每个所述设备管理装置，生成使用各所述设备管理装置的公开密钥对利用本装置的秘密密钥附加了数字签名的认证数据进行了加密的认证代码，并发送到所述监视终端；
[0015]认证代码解析部，如果从所述监视终端接收到为了用于本装置的设备管理装置而生成的认证代码，则利用本装置的秘密密钥对接收到的认证代码进行解密，利用所述代表的设备管理装置的公开密钥来验证数字签名，从而进行认证；以及
[0016]Web服务器部，如果在所述用户认证处理部或者所述认证代码解析部中认证成功，则能够进行表示由所述设备仪器管理部管理的各所述设备仪器的运转状态的数据的监视、操作。
[0017]根据本发明，在来自监视终端的用户认证成功了的情况下，针对每个设备管理装置，生成使用各设备管理装置的公开密钥对用代表的设备管理装置的秘密密钥附加了数字签名的认证数据进行了加密的认证代码，并发送到监视终端。关于该认证代码，使用代表的设备管理装置的秘密密钥进行数字签名，所以有恶意的用户无法生成伪造的认证数据的数字签名。另外，关于该认证代码，使用特定的设备管理装置的公开密钥进行加密，所以只能够用该设备管理装置所具有的秘密密钥进行解密。即，该认证代码是在进行了用户认证的代表的设备管理装置以外无法生成、并且只能够用特定的设备管理装置进行解密的代码。因此，如果使用该认证代码，则能够在各设备管理装置中安全地验证由代表的设备管理装置认证了的情形，能够通过I次的用户认证来完成向多个设备管理装置的访问，并且防止认证代码的伪造、冒充等非法访问。其结果，能够低成本且安全地监视多个设备管理装置。
【附图说明】
[0018]图1是示出本发明的实施方式的设备管理系统的结构的框图。
[0019]图2是示出本发明的实施方式的设备管理装置的结构的框图。
[0020]图3是示出本发明的实施方式的监视终端的结构的框图。
[0021]图4是由设备管理装置执行的用户认证处理的流程图。
[0022]图5是示出认证代码的形式的示意图。
[0023]图6是由设备管理装置执行的认证代码验证处理的流程图。
[0024]图7是监视画面显示处理的流程图。
[0025]图8是示出监视终端与设备管理仪器之间的通信序列的图。
[0026]图9是示出在监视终端中显示的楼层监视画面的一个例子的图。
[0027]图10是示出在监视终端中显示的异常发生中部件画面的一个例子的图。
[0028]图11是在设备仪器的状态有变化的情况下由设备管理装置执行的处理的流程图。
[0029]图12是在从设备管理装置接收到状态变化信息时执行的监视终端的处理的流程图。
[0030](符号说明)
[0031]1:设备管理系统；2:设备仪器；3:设备管理装置；4:监视终端；5:专用通信线；6:通信线；7:设备仪器群；10:显示部；20:输入部；30:控制部；31:设备仪器管理部；32:用户认证处理部；33:认证代码解析部；34:ffeb服务器部；35:用户认证部；36:认证代码生成部；37:设备仪器数据通信部；38:系统连接数据通信部；40:数据管理部；50:设备仪器通信管理部；60:监视终端通信管理部；70:设备仪器数据；71:连接信息；72:运转状态数据；73:显示位置数据；80:ffeb内容；81:画面构成文件；82:监视程序；83:平面图数据；90:系统构成数据；91:设备管理装置地址列表；100:用户登记信息；110:密码处理用数据；111:本装置的秘密密钥；112:设备管理装置公开密钥列表；120:显示装置；130:输入装置；140:ffeb内容显示控制部；141:画面构成文件解析部；142:监视程序执行部；143:数据通信管理部；144:设备仪器数据管理部；150:数据库部；151:系统构成数据；152:设备管理装置地址列表；153:设备管理装置认证代码列表；154:设备仪器数据；155:连接信息；156:运转状态数据；157:显示位置数据；160:通信管理部。
【具体实施方式】
[0032]以下，参照附图，详细说明本发明的实施方式。
[0033]图1示出本发明的实施方式的设备管理系统I的结构。如图1所示，该实施方式的设备管理系统I具备设备仪器2、设备管理装置3以及监视终端4。设置了多个设备仪器2以及设备管理装置3。
[0034]设备仪器2与设备管理装置3之间经由专用通信线5可通信地连接。另外，设备管理装置3与监视终端4之间经由通信线6可通信地连接。关于通信线6，能够设为在同一据点内所连接的LAN。另外，还能够将通信线6设为经由VPN路由器来连接监视终端4和设备管理装置3那样的因特网线路