監視システム
【課題】監視システムの端末間をＶＰＮで接続する場合に構成を簡素化できる監視システムを提供する。
【解決手段】監視システム１では、第１の端末がＶＰＮサーバ部を有し、第２の端末がＶＰＮクライアント部を有する。両端末は、接続確立情報を交換してからＶＰＮ接続を確立する。第２の端末が第１の端末に接続確立情報を送信したときは、第１の端末から接続確立情報を受信したことをもって第１のＶＰＮ接続要求条件が成立し、第２の端末がＶＰＮ接続要求を第１の端末に送る。第２の端末が交換要求先として第１の端末から接続確立情報を受信したときは、第１の端末へ接続確立情報を返信して第１の端末から受領確認を受信したことをもって第２のＶＰＮ接続要求条件が成立し、第２の端末がＶＰＮ接続要求を第１の端末に送る。いずれの場合にも第２の端末が第１の端末にＶＰＮ接続要求を行うので、第１の端末にＶＰＮサーバ機能があればよい。
【解決手段】監視システム１では、第１の端末がＶＰＮサーバ部を有し、第２の端末がＶＰＮクライアント部を有する。両端末は、接続確立情報を交換してからＶＰＮ接続を確立する。第２の端末が第１の端末に接続確立情報を送信したときは、第１の端末から接続確立情報を受信したことをもって第１のＶＰＮ接続要求条件が成立し、第２の端末がＶＰＮ接続要求を第１の端末に送る。第２の端末が交換要求先として第１の端末から接続確立情報を受信したときは、第１の端末へ接続確立情報を返信して第１の端末から受領確認を受信したことをもって第２のＶＰＮ接続要求条件が成立し、第２の端末がＶＰＮ接続要求を第１の端末に送る。いずれの場合にも第２の端末が第１の端末にＶＰＮ接続要求を行うので、第１の端末にＶＰＮサーバ機能があればよい。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の端末間で監視情報を通信する監視システムに関し、特に、ＶＰＮを利用して監視情報を通信する技術に関する。
【背景技術】
【０００２】
従来、店舗、工場等の監視対象に監視カメラを設置し、監視映像を遠隔地で監視する監視システムが実用化されている。監視映像は、遠隔の監視センタに送信され、また、監視対象の所有者（オーナー）の事務所に送信される。監視映像の送信には、ＩＳＤＮなどの一般公衆回線が用いられる（例えば特許文献１）。
【０００３】
近年、ＡＤＳＬやＦＴＴＨといったブロードバンド回線の普及により、監視システムにおける監視映像等の送受信をインターネット上で実現することに対するニーズが高まっている。インターネットの利用により、コストの節減や、システムの柔軟性の向上が期待できる。
【０００４】
インターネットで監視情報を送信する場合には、セキュリティの確保が重要である。そこで、監視センタと監視端末の間にＶＰＮ（仮想プライベートネットワーク）を構築して、通信のセキュリティを確保することが提案されている（例えば特許文献２）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００１−５４１０２号公報
【特許文献２】特開２００６−２０３３１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来は、監視システムにＶＰＮを適用する場合、監視センタと端末間にＶＰＮが構築され、かつ、ＶＰＮが常時維持される。このような常時接続のＶＰＮとは別に、端末間で必要時にＶＰＮ接続を行うことも考えられる。しかしながら、そのような端末間のＶＰＮ接続を行おうとすると、以下に説明するように、全ての端末にＶＰＮサーバ機能が必要になり、構成が複雑化するという問題が生じる。
【０００７】
複数の端末は、典型的には、監視対象に設置される監視端末と、監視サービスを利用する利用者端末である。具体例としては、監視対象が店舗であり、監視端末が店舗に配置され、利用者端末は、店舗のオーナーの事務所等に配置される。
【０００８】
このような場合に、監視端末で警報等が生じると、監視端末が利用者端末に接続を要求する。一方、オーナーが監視対象の映像を見たいときは、利用者端末が監視端末に接続を要求する。このように、端末同士のＶＰＮ接続では、どちらの端末も、相手の端末に接続を要求する可能性がある。
【０００９】
ところが、ＶＰＮ接続では、ＶＰＮクライアントからＶＰＮサーバにＶＰＮ接続要求を行い、ＶＰＮサーバでその接続要求に応答して以降のＶＰＮ通信を管理する。そのため、監視端末から利用者端末に接続要求を行う場合のために、利用者端末にＶＰＮサーバ機能を設ける必要がある。また、利用者端末から監視端末にＶＰＮ接続要求を行う場合のために、監視端末にもＶＰＮサーバ機能を設ける必要がある。結局、すべての端末にＶＰＮサーバ機能を設けることが必要になり、構成が複雑化する。
【００１０】
本発明は、上記背景の下でなされたもので、その目的は、監視システムの端末間をＶＰＮで接続する場合に構成を簡素化できる監視システムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明は、ＶＰＮにより接続される第１及び第２の端末を有し、前記第１及び第２の端末の間で監視情報を通信する監視システムであって、前記第１の端末は、ＶＰＮのサーバ機能を実現するＶＰＮサーバ部と、ＶＰＮ接続を確立するために前記第２の端末に送信されるべきサーバ側の接続確立情報を保持する第１記憶部とを有し、前記第２の端末は、ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、ＶＰＮ接続を確立するために前記第１の端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ部へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する第２記憶部とを有し、前記第２記憶部は、前記ＶＰＮ接続要求条件として、前記第２の端末が交換要求元として前記第１の端末に前記クライアント側の接続確立情報を送信したときに、前記第１の端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、前記第２の端末が交換要求先として前記第１の端末から前記サーバ側の接続確立情報を受信したときに、前記第１の端末へ前記クライアント側の接続確立情報を返信し、さらに前記第１の端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、前記第２の端末の前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記第１の端末の前記ＶＰＮサーバ部にＶＰＮ接続要求を行う。
【００１２】
上記のように、本発明によれば、第１の端末にＶＰＮサーバ機能が備えられ、第２の端末にＶＰＮクライアント機能が備えられる。第１及び第２の端末は、ＶＰＮ接続の前処理として、ＶＰＮ接続に必要な接続確立情報を交換する。接続確立情報は例えばＩＰアドレス及び電子証明書である。そして、本発明では、接続確立情報の交換順序に関連して、上記のように２つのＶＰＮ接続要求条件が第２の端末に記憶されており、どちらかのＶＰＮ接続要求条件が成立すると、第２の端末が第１の端末にＶＰＮ接続要求を行う。第２の端末が接続を希望し、接続確立情報の交換要求元になったときは、第１の接続要求条件が成立する。一方、第１の端末が接続を希望し、第２の端末が接続確立情報の交換要求先になったときは、第２の接続要求条件が成立する。どちらの端末が接続を希望したときも、第２の端末が第１の端末がＶＰＮ接続要求を行うことになる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【００１３】
また、本発明では、前記第１及び第２の端末はＳＩＰメッセージを交換してよい。前記第２の端末が前記クライアント側の接続確立情報を含む招待メッセージを前記第１の端末に送信したときは、前記第１の端末から前記サーバ側の接続確立情報を含むＯＫメッセージを受信したことをもって前記第１のＶＰＮ接続要求条件が成立してよい。前記第２の端末が前記サーバ側の接続確立情報を含む招待メッセージを前記第１の端末から受信したときは、前記第１の端末へ前記クライアント側の接続確立情報を含むＯＫメッセージを返信して前記第１の端末からＡＣＫメッセージを受信したこともって前記第２のＶＰＮ接続要求条件が成立してよい。
【００１４】
この構成では、ＶＰＮ接続のための接続確立情報の交換手段として、インターネット電話などで用いられる通信制御プロトコルであるＳＩＰ（Session Initiation Protocol）に着目している。ＳＩＰのシグナリングでは、端末間で招待（ＩＮＶＩＴＥ）メッセージとＯＫメッセージが交換される。これらのＳＩＰメッセージに、接続確立情報が付加される。これにより、ＳＩＰのシグナリング過程にて、接続確立情報を交換できる。つまり、本発明は、ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な情報を交換し、交換した情報を使ってＶＰＮ接続を確立する。さらに、本発明は、単にＳＩＰとＶＰＮを組み合わせるだけでなく、上述のように第１及び第２のＶＰＮ接続要求条件を設定している。これにより、第１及び第２の端末のどちらがＳＩＰの招待メッセージを発した場合でも、ＶＰＮ接続要求は、第２の端末から第１の端末に対して行われる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【００１５】
また、本発明の監視システムは、前記第１及び第２の端末と接続される通信管理装置を含んでよく、前記第１及び第２の端末は、前記通信管理装置を介して前記ＳＩＰメッセージを交換してよい。前記通信管理装置は、ＳＩＰサーバと、接続が認可されるべき接続元及び接続先の端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、前記接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有してよい。前記第１又は前記第２の端末から招待メッセージが受信されたとき、前記ＳＩＰサーバは、前記招待メッセージに含まれる前記接続先の端末の識別情報を前記認可処理部に供給し、前記認可処理部が前記接続元及び接続先の端末の接続を認可した場合に、前記ＳＩＰサーバが前記接続元の端末からの招待メッセージを前記接続先の端末へ供給してよい。
【００１６】
この構成は、さらに、監視システムにＳＩＰを適用する場合のセキュリティを向上することができる。本発明によれば、監視システムの複数の端末が、ＳＩＰサーバを備えた通信管理装置と接続される。通信管理装置は、ＳＩＰサーバに加え、接続が認可されるべき端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有する。ＳＩＰのシグナリングでは、招待メッセージが接続元の端末からＳＩＰサーバへ送られる。このとき、本発明では、認可処理部が、接続を認可するか否かを判定する。認可処理部が接続を認可した場合、ＳＩＰサーバが接続元の端末からの招待メッセージを接続先の端末に送り、ＳＩＰのシグナリングが成功する。
【００１７】
このように、本発明では、接続が認可されるべき端末の組合せの情報を予め記憶しておき、ＳＩＰのシグナリングの際に端末間の接続の認可を行う。これにより、端末とＳＩＰサーバ間の単なる認証ではなく、ＳＩＰサーバを介した端末間つまりＰ２Ｐについての認可を行うことができ、監視情報の利用者を好適に制限できる。こうして、監視システムにＳＩＰを適用する場合のセキュリティ性を向上できる。
【００１８】
また、本発明の監視システムでは、前記第１の端末が、監視サービスを利用する利用者装置であってよく、前記第２の端末が監視対象に設置される監視装置であってよい。前記監視装置から所定の設定に従い前記利用者装置に監視情報を送信するときには、前記監視装置が、前記交換要求元となって、前記第１のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行ってよい。前記利用者装置が前記監視装置に前記監視情報の送信を要求するときには、前記監視装置が、前記交換要求先となって、前記第２のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行ってよい。
【００１９】
この構成により、監視装置が所定の設定に従って監視情報を利用者装置に送信するときに、監視装置が利用者装置にＶＰＮ接続要求を行う。この状況は、例えば、定期的な送信タイミングが来たときであり、また、監視対象へ訪問者が来たときである。また、利用者装置が監視情報に監視情報の送信を要求するときも、監視装置が利用者装置にＶＰＮ接続要求を行う。したがって、監視装置と利用者装置をＶＰＮで接続する場合に、利用者装置にのみＶＰＮサーバ機能を設ければよく、構成を簡素化できる。
【００２０】
本発明は、上記監視システムの態様に限定されない。本発明の別の態様は、例えば端末装置又は通信管理装置である。また、本発明は、方法、プログラム、又は同プログラムを記録したコンピュータで読取可能な記録媒体のかたちで実現されてよい。
【００２１】
例えば、本発明の別の態様は、監視情報を通信する複数の端末装置を含む監視システムに設けられ、前記監視システムを構成しＶＰＮサーバ機能を備えたＶＰＮサーバ端末と通信する端末装置である。この端末装置は、ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、ＶＰＮ接続を確立するために前記ＶＰＮサーバ端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ端末へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する記憶部とを有し、前記記憶部は、前記ＶＰＮ接続要求条件として、前記接続確立情報の交換要求元として前記ＶＰＮサーバ端末に前記クライアント側の接続確立情報を送信したときに、前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、前記接続確立情報の交換要求先として前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したときに、前記ＶＰＮサーバ端末へ前記クライアント側の接続確立情報を返信し、さらに前記ＶＰＮサーバ端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記ＶＰＮサーバ端末にＶＰＮ接続要求を行う。この構成によっても上述した本発明の利点が得られる。
【発明の効果】
【００２２】
上記のように、本発明は、監視システムの端末間をＶＰＮで接続する場合に構成を簡素化できる。
【図面の簡単な説明】
【００２３】
【図１】本発明の監視システムの全体的な構成を示す図である。
【図２】監視システムの構成をより具体的に示すブロック図である。
【図３】本発明の監視システムにおける主要な構成を示すブロック図である。
【図４】認可情報記憶部に記憶される接続認可情報のテーブルの例を示す図である。
【図５】第１及び第２のＶＰＮ接続要求条件を示す図である。
【図６】監視装置が接続確立情報の交換要求元になって端末間の通信を行うときの動作を示す図である。
【図７】監視装置が接続確立情報の交換要求先になって端末間の通信を行うときの動作を示す図である。
【図８】ＶＰＮ接続確立のためのＩＰ回線ユニットの動作を示す図である。
【図９】監視装置が接続確立情報の交換要求元になって端末間の通信を行うときの動作を示す図である。
【図１０】監視装置が接続確立情報の交換要求先になって端末間の通信を行うときの動作を示す図である。
【発明を実施するための形態】
【００２４】
以下、本発明の実施の形態の監視システムについて、図面を用いて説明する。
【００２５】
図１は、本発明の監視システムの全体的な構成を示している。図示のように、監視システム１では、監視センタ３、監視対象５及び利用者拠点７の間で通信が行われる。ここで利用者とは、監視システム１による監視対象５の監視サービスの利用者を意味する。本実施の形態の例では、監視対象５が店舗であり、利用者拠点７は店舗のオーナーの事務所である。
【００２６】
監視センタ３には、通信管理装置１１及び複数のセンタ装置１３が備えられており、これらは通信可能に接続されている。通信管理装置１１及び複数のセンタ装置１３は、地理的には離れた場所に配置されてよい。複数のセンタ装置１３は、複数の担当地域にそれぞれ配置されてよい。また、複数のセンタ装置１３は機能を分担してよい。例えば、あるセンタ装置１３が、警備関連の信号を処理する管制センタ装置として機能してよく、別のセンタ装置１３が、監視映像を主に処理する画像センタ装置として機能してよい。なお、本発明の範囲でセンタ装置１３が一つでもよい。
【００２７】
監視対象５及び利用者拠点７には、それぞれ、監視装置１５及び利用者装置１７が設けられている。監視装置１５及び利用者装置１７は本発明の端末に相当する。監視装置１５は、監視情報をセンタ装置１３及び利用者装置１７へ送る。監視情報は、例えば、監視カメラの画像であり、また、監視対象５にて検出された監視信号である。監視信号は、例えば異常発生を示す警備信号であり、警備信号は、監視対象５に設置されたセンサからの検出信号に基づいて生成され、あるいは、警報ボタン（スイッチ）が操作されたときに生成される。また、利用者装置１７は、監視装置１５へ制御信号や、音声信号を送る。このような利用者装置１７から監視装置１５への信号も、監視情報に含まれる。
【００２８】
図１では、１つの監視対象５及び１つの利用者拠点７が示されている。しかし、実際には、監視センタ３は複数の監視対象５及び複数の利用者拠点７と通信する。したがって、通信管理装置１１も、複数の監視装置１５及び複数の利用者装置１７と通信する。各々の監視装置１５は関連づけられた利用者装置１７（店舗のオーナーの端末）と通信する。
【００２９】
図１の監視システム１において、例えば、監視装置１５がセンサ信号等により異常を検出したとする。この場合、監視情報として警備信号が、監視対象５の映像と共に、監視センタ３へ送信される。監視センタ３では、オペレータがセンタ装置１３のモニタで警備信号や映像を確認し、警備員に必要な指示を出す。指示を受けた警備員が監視対象５に急行し、異常に対処する。
【００３０】
また例えば、監視装置１５は、監視対象５の映像等を定期的に、あるいはその他の設定に従って利用者装置１７へ送る。例えば、センサによって来客が検出されたときに、映像等が利用者装置１７へ送られる。また、利用者装置１７から映像等の送信が要求されることもある。オーナーは、映像等によって店舗の様子を把握できる。また、オーナーは、利用者装置１７から監視装置１５に音声等を送り、店員に必要事項を指示することができる。
【００３１】
次に、監視システム１の通信形態について説明する。通信管理装置１１、監視装置１５及び利用者装置１７は、インターネットに接続されている。
【００３２】
さらに、通信管理装置１１は、インターネット上でセンタ端末間ＶＰＮ（仮想プライベートネットワーク）２１によって監視装置１５及び利用者装置１７と接続される。センタ端末間ＶＰＮ２１を構築するために、通信管理装置１１にＶＰＮサーバ機能が備えられ、監視装置１５及び利用者装置１７にＶＰＮクライアント機能が備えられる。ＶＰＮでは、ＶＰＮトンネルが構築され、暗号化通信が行われ、高いセキュリティ性が実現される。
【００３３】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介してＳＩＰ通信２３を行う。ＳＩＰ通信２３は、上記のセンタ端末間ＶＰＮ２１を介して行われる。通信管理装置１１にはＳＩＰサーバ機能が備えられている。
【００３４】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介さずに、直接に端末間ＶＰＮ２５によって接続される。この端末間ＶＰＮ２５を構築するために、利用者装置１７にＶＰＮサーバ機能が備えられ、監視装置１５にＶＰＮクライアント機能が備えられる。
【００３５】
ここで、センタ端末間ＶＰＮ２１は、常時接続されＶＰＮトンネルが構築されており、センタ装置１３と監視装置１５及び利用者装置１７の間での通信に利用される。これに対して、端末間ＶＰＮ２５は、必要なときのみ構築される。
【００３６】
端末間ＶＰＮ２５を用いる理由を説明する。監視システム１では映像等の大容量のデータが通信される。センタ端末間ＶＰＮ２１がすべての通信に使われると、通信管理装置１１の負荷が膨大になる。そこで、監視装置１５と利用者装置１７の通信を端末間ＶＰＮ２５によって行うことで、セキュリティ性を確保しつつ、通信管理装置１１の負荷を軽減している。
【００３７】
また、本実施の形態におけるＳＩＰ通信２３の役割は、通常のＩＰ電話等とは異なる特別なものである。すなわち、本実施の形態は、ＳＩＰのシグナリングを、端末間ＶＰＮ２５のＶＰＮ接続前の準備の処理として位置づけている。より詳細には、ＳＩＰ２３のセッションを確立するときには、シグナリングが行われる。このシグナリングにて双方向通信が行われ、利用者装置１７と監視装置１５との間でＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。一方、ＶＰＮ接続を確立するためには、情報の交換が必要である。本実施の形態では、ＩＰアドレス及び電子証明書が交換される。そこで、ＳＩＰ通信２３のシグナリングが、ＶＰＮ接続確立のための情報交換の手段として利用される。電子証明書は、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。
【００３８】
以上に、監視システム１の全体構成を説明した。上記のように、本実施の形態では、２種類のＶＰＮが使用される。一方は、通信管理装置１１と端末（監視装置１５又は利用者装置１７）を接続し、他方は、端末同士（監視装置１５と利用者装置１７）を接続する。そこで、図１では、これら２つのＶＰＮを区別するため、センタ端末間ＶＰＮ２１と端末間ＶＰＮ２５といった用語を用いている。ただし、単にＶＰＮ２１、ＶＰＮ２５といった用語が用いられてよい。
【００３９】
次に、図２を参照し、監視システム１の構成をより具体的に説明する。通信管理装置１１は、ファイアウォール３１、ＨＴＴＰサーバ３３、ＶＰＮサーバ３５、ＳＩＰサーバ３７、ＳＴＵＮサーバ３９、アカウント管理サーバ４１、データベース４３及びログサーバ４５を備える。
【００４０】
ファイアウォール３１は、通信管理装置１１と監視装置１５及び利用者装置１７との間で使用される通信データ以外のデータを遮断する装置である。ＨＴＴＰサーバ３３はインターネット接続のための構成である。ＶＰＮサーバ３５は、ＶＰＮトンネル構築のための認証と暗号化を行うサーバである。
【００４１】
ＶＰＮサーバ３５は、センタ端末間ＶＰＮ２１を実現する構成であり、通信管理装置１１と監視装置１５の間にＶＰＮを構築し、また、通信管理装置１１と利用者装置１７の間にＶＰＮを構築する。監視装置１５からの信号は、ＶＰＮサーバ３５で復号化されて、センタ装置１３へ送信される。また、センタ装置１３からの信号は、ＶＰＮサーバ３５で暗号化されて、監視装置１５へ送信される。また、通信管理装置１１が監視装置１５に信号を送るときも、ＶＰＮサーバ３５で暗号化が行われる。通信管理装置１１と利用者装置１７の通信でも、ＶＰＮサーバ３５が同様に暗号化及び復号化を行う。
【００４２】
ＳＩＰサーバ３７は、ＳＩＰプロトコルに従ってシグナリングの処理を行い、監視装置１５と利用者装置１７を接続する。ＳＩＰサーバ３７は、利用者装置１７が監視装置１５に接続を要求する場合に、もしくは、監視装置１５が利用者装置１７に接続を要求する場合に、ＳＩＰの接続制御の機能を果たす。
【００４３】
ＳＩＰのシグナリングでは、メッセージが交換される。具体的には、ＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。このメッセージ交換を利用して、前述したように、ＶＰＮ接続確立のためにＩＰアドレス及び電子証明書が交換される。
【００４４】
ＳＴＵＮサーバ３９は、監視装置１５及び利用者装置１７のルータのＮＡＴ機能に対応するためにＳＴＵＮ機能を提供する。
【００４５】
アカウント管理サーバ４１は、認証等の各種の情報を管理するサーバである。管理される情報は、データベース４３に格納される。管理される情報は、ＩＰ回線のアカウント、ＶＰＮ接続（トンネル構築）のための電子証明書、鍵ペアの情報を含む。また、本実施の形態では、ＳＩＰのシグナリングの過程で、端末間の接続について認証及び認可が行われる。この処理のための情報も、データベース４３に保持され、アカウント管理サーバ４１に使用される。尚、端末間の接続についての認証及び認可はＳＩＰサーバ自身が行うようにすることもでき、この場合は本発明の認可処理部及び認可情報記憶部がＳＩＰサーバに備えられることになる。
【００４６】
ログサーバ４５は、監視装置１５で生成したログを保存するためのサーバである。
【００４７】
センタ装置１３は、監視卓５１と回線接続装置５３を備える。監視卓５１が回線接続装置５３を介して通信管理装置１１に接続される。例えば、センタ装置１３が画像センタである場合、監視映像が監視卓５１に供給され、監視卓５１にて管理される。また、センタ装置１３が管制センタである場合、警備関連の情報が監視卓５１に供給される。監視映像も管制センタのモニタに好適に表示される。監視映像等は、センタ装置同士の間でも通信されてよい。
【００４８】
次に、監視装置１５について説明する。監視装置１５は、コントローラ６１、ＩＰ回線ユニット６３、ルータ６５、周辺機器６７、マルチ回線アダプタ６９及び監視対象ＰＣ（パーソナルコンピュータ）７１で構成されている。
【００４９】
コントローラ６１はコンピュータで構成されており、周辺機器６７と連携して、監視機能を実現する。コントローラ６１は、監視センタ３とはＩＰ回線ユニット６３を介して接続される。また、コントローラ６１は、利用者装置１７とも、ＩＰ回線ユニット６３を介して接続される。
【００５０】
図２では、周辺機器６７として監視カメラ７３、センサ７５及び警報ボタン７７が例示されている。コントローラ６１は、監視映像に対して画像認識処理を施して異常を検出する。また、コントローラ６１は、センサ７５から入力される検出信号により、異常を検出する。警報ボタン７７が押されたときにも異常が検出される。その他の周辺機器が異常検出に用いられてよい。異常が発生すると、コントローラ６１はセンタ装置１３と通信し、警備信号と画像信号を送信する。監視カメラ７３と共にマイクが備えられており、音声信号も送信される。このようにして、コントローラ６１は監視対象５の警備機能を実現する。
【００５１】
また、監視映像及び音声は、センタ装置１３から要求されたときにも送信される。さらに、監視映像及び音声は、利用者装置１７にも送られる。利用者装置１７への送信は、例えば定期的に行われ、また、その他の設定に従って行われる。例えば、センサ７５により来客が検知されると、映像等が利用者装置１７に送られる。また、利用者装置１７から要求されたときも、監視装置１５は映像等を送信する。
【００５２】
ＩＰ回線ユニット６３は、コントローラ６１が通信管理装置１１と通信するためのＶＰＮトンネルを構築する。また、コントローラ６１が利用者装置１７と通信するためのＶＰＮトンネルを構築する。前者は、センタ端末間ＶＰＮ２１に対応し、後者は、端末間ＶＰＮ２５に対応する。これらの接続において、ＩＰ回線ユニット６３は、ＶＰＮクライアントの機能を実現する。
【００５３】
図２では、ＩＰ回線ユニット６３がコントローラ６１の内部構成として示されている。これは、物理的な配置を表現している。通信構成としては、ＩＰ回線ユニット６３は、コントローラ６１とルータ６５の間に配置されている。そして、ＩＰ回線ユニット６３は、コントローラ６１と、イーサネット（登録商標）でＬＡＮ接続されている。ルータ６５は、ブロードバンド回線用のルータである。
【００５４】
マルチ回線アダプタ６９は、携帯電話網を介してセンタ装置１３と接続される。マルチ回線アダプタ６９は、ブロードバンド回線が不通のときに警備信号を送信するために使用される。警備信号が、コントローラ６１からＩＰ回線ユニット６３を介してマルチ回線アダプタ６９に送られ、マルチ回線アダプタ６９からセンタ装置１３へと送信される。
【００５５】
監視対象ＰＣ７１は、監視対象５に設置されるＰＣである。本実施の形態の例では、監視対象５が店舗である。したがって、監視対象ＰＣ７１は店舗用のＰＣでよい。
【００５６】
次に、利用者装置１７について説明する。利用者装置１７は、ＶＰＮ終端装置（以下、ＶＴＥ）８１、ルータ８３及び利用者ＰＣ（パーソナルコンピュータ）８５で構成されている。
【００５７】
ＶＴＥ８１は、ブロードバンド接続のための回線終端装置である。そして、ＶＴＥ８１は、通信管理装置１１のＶＰＮサーバ３５とＶＰＮトンネルを構築し、また、監視装置１５のＩＰ回線ユニット６３とＶＰＮトンネルを構築する。前者では、ＶＴＥ８１がＶＰＮクライアントとして機能し、後者では、ＶＴＥ８１がＶＰＮサーバとして機能する。ルータ８３は、ブロードバンド回線用のルータである。
【００５８】
ＶＴＥ８１は、利用者ＰＣ８５と接続される。ＶＴＥ８１は、監視装置１５のコントローラ６１から受信した映像、音声及び制御信号を利用者ＰＣ８５に転送する。また、ＶＴＥ８１は、利用者ＰＣ８５から受信した音声及び制御信号をコントローラ６１へ転送する。
【００５９】
本実施の形態では、利用者拠点７が、店舗のオーナーの事務所等である。したがって、利用者ＰＣ８５は、店舗のオーナーのＰＣでよい。利用者ＰＣ８５は、オーナーが監視対象５の監視映像を見るために用いられる。この機能を提供するために、利用者ＰＣ８５には、コントローラ６１と通信することによって監視対象５の監視映像を表示及び切り換えることができるアプリケーションソフトがインストールされている。
【００６０】
本実施の形態では、利用者装置１７が固定されている。しかし、利用者装置１７の機能が携帯端末等に組み込まれて、移動可能であってもよい。
【００６１】
以上に、監視システム１の全体的な構成を説明した。次に、本発明の特徴に係る構成について説明する。
【００６２】
図１を参照して説明したように、通信管理装置１１と監視装置１５の間には、センタ端末間ＶＰＮ２１が常時構築されている。通信管理装置１１と利用者装置１７の間にもセンタ端末間ＶＰＮ２１が常時構築されている。これらのセンタ端末間ＶＰＮ２１とは別に、監視装置１５と利用者装置１７の間に直接に端末間ＶＰＮ２５が構築される。
【００６３】
端末間ＶＰＮ２５を接続するときには、情報の交換が行われる。接続確立に必要な情報を、ここでは「接続確立情報」という。本実施の形態では、ＩＰアドレスと電子証明書が、接続確立情報として、監視装置１５と利用者装置１７の間で交換される。
【００６４】
接続確立情報の交換の手段として、本実施の形態は、ＳＩＰに着目している。ＳＩＰのシグナリングでは、端末間でメッセージが交換される。これらのＳＩＰメッセージに、上記のＩＰアドレス及び電子証明書が組み込まれる。これにより、ＳＩＰのシグナリング過程にて、端末間ＶＰＮ２５の構築準備のための情報交換を行う。
【００６５】
このように、本実施の形態は、ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な情報を交換し、交換した情報を使って互いを認証してＶＰＮ接続を確立する。更に、本実施の形態は、単にＳＩＰとＶＰＮを組み合わせるだけではなく、さらに以下の点にも配慮して構成されている。
【００６６】
監視装置１５は例えば定期的に、また来客等の際に、端末間ＶＰＮ２５を使って利用者装置１７に映像等を送信する。また、オーナーが利用者装置１７を操作して監視装置１５に映像を要求し、端末間ＶＰＮ２５を使って監視装置１５から映像等を取得することもある。前者では監視装置１５が接続要求元であり、後者では利用者装置１７が接続要求元である。
【００６７】
ところが、ＶＰＮ接続のためには、ＶＰＮクライアントからＶＰＮサーバにＶＰＮ接続要求を行わなければならない。そのため、ＶＰＮを単純に適用したとすると、監視装置１５から利用者装置１７に接続要求を行うために、利用者装置１７がＶＰＮサーバ機能を備える必要がある。また、利用者装置１７から監視装置１５にＶＰＮ接続要求を行うために、監視装置１５もＶＰＮサーバ機能を備える必要がある。結局、両方の端末にＶＰＮサーバ機能を設けることが必要になり、構成が複雑化してしまう。
【００６８】
本実施の形態は、上記のように監視装置１５と利用者装置１７の両方にＶＰＮサーバ機能を設ける必要をなくし、構成を簡素化する。
【００６９】
図３は、図１及び図２に示された監視システム１の一部であって、本発明の主要な部分を示している。図３において、図１及び図２で説明された要素には、同一の符号が付されている。
【００７０】
図３に示すように、通信管理装置１１は、ＶＰＮサーバ３５、ＳＩＰサーバ３７に加えて、認可情報記憶部１０１及び認可処理部１０３を備えている。認可情報記憶部１０１は、接続が認可されるべき端末（監視装置１５及び利用者装置１７）の組合せを表す接続認可情報を記憶する。そして、認可処理部１０３は、接続認可情報を参照して端末間の接続を認可するか否かを判定する。認可情報記憶部１０１及び認可処理部１０３は、図２のデータベース４３及びアカウント管理サーバ４１によってそれぞれ実現される。
【００７１】
図４は、認可情報記憶部１０１に記憶されるべき接続認可情報の例を示している。この例では、接続認可情報が、端末ＩＤの組合せを表すテーブルである。このテーブルは、各利用者（店舗のオーナー）と、監視装置ＩＤ（監視装置１５のＩＤ）と、利用者装置ＩＤ（利用者装置１７のＩＤ）とを対応づけている。監視装置ＩＤ及び利用者装置ＩＤは、監視装置１５及び利用者装置１７を特定可能な任意の情報でよい。後述の例では、監視装置ＩＤがＩＰ回線ユニット６３のＩＤであり、利用者装置ＩＤがＶＴＥ８１のＩＤである。
【００７２】
一人のオーナーが複数の店舗を有する場合がある。この場合、一つの監視装置１５が、複数の利用者装置１７と組み合わせられる。図４の例では、利用者Ｃが２つの店舗を有しており、２つの監視装置１５（Ｃ０１、Ｃ０２）が、利用者装置１７（Ｃ１１）と対応づけられている。その他、一人のオーナーが複数の利用者装置１７を使う場合等は、一つの監視装置１５が複数の利用者装置１７と対応づけられてよい。
【００７３】
図３に戻り、監視装置１５において、ＩＰ回線ユニット６３は、ＳＩＰ処理部１１１、ＶＰＮクライアント部１１３及び記憶部１１５を有する。ＳＩＰ処理部１１１は、ＳＩＰに関する処理を行う。ＶＰＮクライアント部１１３は、ＶＰＮクライアントとして機能し、端末間ＶＰＮ２５に関する処理を行う。
【００７４】
記憶部１１５は、ＩＰ回線ユニット６３で処理される各種の情報を記憶する。特に、本発明に関連して、記憶部１１５は、ＩＰ回線ユニット６３のＩＰアドレスとＩＰ回線ユニット６３の個別証明書とを記憶している。この個別証明書とは、監視装置のＩＰ回線ユニット毎に割り振られた電子証明書である。これら情報は、本発明の接続確立情報に相当し、ＶＰＮ接続のために接続相手に提供される。また、記憶部１１５は、ＩＰ回線ユニットＩＤ（ＩＰ回線ユニット６３のＩＤ）を記憶しており、このＩＰ回線ユニットＩＤは監視対象５のＩＤとして用いられる。
【００７５】
図３に示されるように、記憶部１１５は、更に、ＶＰＮ接続要求条件を記憶している。ＶＰＮ接続要求条件とは、ＶＰＮクライアント部１１３が利用者装置１７にＶＰＮ接続を要求する条件である。ＶＰＮ接続要求条件としては、下記のように、ＳＩＰを利用した接続確立情報の交換順序によって異なる２つのＶＰＮ接続要求条件が記憶されている。
【００７６】
図５は、記憶部１１５に記憶される第１及び第２のＶＰＮ接続要求条件を示している。第１及び第２のＶＰＮ接続要求条件は以下の通りである。
【００７７】
（第１のＶＰＮ接続要求条件）
第１のＶＰＮ接続要求条件は、監視装置１５が接続確立情報の交換要求元になり、利用者装置１７が交換要求先になる場合の条件である。この場合、監視装置１５が、交換要求元として、接続確立情報を含むＩＮＶＩＴＥメッセージを利用者装置１７に送信する。そして、第１のＶＰＮ接続要求条件は、「監視装置１５が、利用者装置１７から接続確立情報を含むＯＫメッセージを受信したこと」である。
【００７８】
（第２のＶＰＮ接続要求条件）
第２のＶＰＮ接続要求条件は、利用者装置１７が接続確立情報の交換要求元になり、監視装置１５が交換要求先になる場合の条件である。この場合、監視装置１５は、接続確立情報を含むＩＮＶＩＴＥメッセージを利用者装置１７から受信する。そして、第２のＶＰＮ接続要求条件は、「監視装置１５が、利用者装置１７へ接続確立情報を含むＯＫメッセージを返信し、利用者装置１７からＡＣＫメッセージを受信したこと」である。
【００７９】
図３に戻り、利用者装置１７について説明する。利用者装置１７のＶＴＥ８１は、ＳＩＰ処理部１２１、ＶＰＮサーバ部１２３及び記憶部１２５を有している。ＳＩＰ処理部１２１は、ＳＩＰに関する処理を行う。ＶＰＮサーバ部１２３は、ＶＰＮサーバとして機能し、端末間ＶＰＮ２５に関する処理を行う。記憶部１２５は、ＶＴＥ８１のＩＰアドレスとＶＴＥ８１の個別証明書とを記憶している。個別証明書はＶＴＥ毎に割り振られた電子証明書である。また、記憶部１２５は、ＶＴＥ−ＩＤ（ＶＴＥ８１のＩＤ）を記憶している。
【００８０】
次に、図６及び図７を参照し、本実施の形態の動作を説明する。ここでは、端末間ＶＰＮ２５を構築するときの動作、すなわち、監視装置１５と利用者装置１７の間のＶＰＮ接続を行う際の動作を説明する。
【００８１】
まず、図６を参照し、監視装置１５が接続確立情報の交換要求元になる場合について説明する。これは、例えば、監視装置１５が自発的に映像等の監視情報を利用者装置１７に送信する場合である。前述の例では、定期的な映像送信や、来客時の映像送信が該当する。なお、図６及び次の図７において、監視装置１５及び利用者装置１７の動作は具体的には主としてＩＰ回線ユニット６３及びＶＴＥ８１によって行われる。
【００８２】
図６に示すように、監視装置１５が、ＩＮＶＩＴＥメッセージ（詳細にはＳＩＰ ＩＮＶＩＴＥメッセージ、以下同じ）を、ＳＩＰサーバ３７に送る（Ｓ１）。ＩＮＶＩＴＥメッセージには、監視装置１５及び利用者装置１７のＩＤが付加され、また、接続確立情報として監視装置１５のＩＰアドレス及びＩＰ回線ユニット６３の個別証明書が付加される。
【００８３】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受け取ると、監視装置１５及び利用者装置１７のＩＤを認可処理部１０３に供給し、接続の可否を認可処理部１０３に問い合わせる（Ｓ３）。認可処理部１０３は、図４に示される認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かの判定を行う（Ｓ５）。監視装置１５と利用者装置１７のＩＤの組み合わせが認可情報記憶部１０１に登録されていれば、接続が認可される。
【００８４】
ＳＩＰサーバ３７は、認可処理部１０３から認可結果を受け取る（Ｓ７）。認可処理部１０３によって接続が認可されると、ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを利用者装置１７へ送信する（Ｓ９）。このＩＮＶＩＴＥメッセージは、接続確立情報として監視装置１５のＩＰアドレス及びＩＰ回線ユニット６３の個別証明書を含む。
【００８５】
利用者装置１７は、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰサーバ３７へＯＫメッセージ（詳細には、ＳＩＰ ２００ＯＫメッセージ、以下、同じ）を送る（Ｓ１１）。ＯＫメッセージには、接続確立情報として利用者装置１７のＩＰアドレスとＶＴＥ８１の個別証明書が付加される。ＯＫメッセージはＳＩＰサーバ３７を介して監視装置１５へ送信される（Ｓ１３）。
【００８６】
監視装置１５では、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、記憶部１１５のＶＰＮ接続要求条件を参照し、ＶＰＮ接続要求条件が成立したか否かを判定する。監視装置１５がＯＫメッセージを受信すると、第１のＶＰＮ接続要求条件が成立する（Ｓ１５）。そこで、ＶＰＮクライアント部１１３が、利用者装置１７のＶＰＮサーバ部１２３へとＶＰＮ接続要求を行う（Ｓ１７）。利用者装置１７は、ＶＰＮ接続要求に含まれるＶＴＥの個別証明書を、先に交換して記憶してある個別証明書と照合することで、ＶＰＮ接続可否を判定する。これにより、ＶＰＮ接続が確立し、監視情報が通信される（Ｓ１９）。
【００８７】
次に、図７を参照し、利用者装置１７が接続確立情報の交換要求元、即ち監視装置１５が接続確立情報の交換要求先になる場合について説明する。これは、例えば、オーナーの操作に従って利用者装置１７が監視装置１５に映像等の監視情報を要求する場合である。
【００８８】
利用者装置１７が、ＩＮＶＩＴＥメッセージを、ＳＩＰサーバ３７に送る（Ｓ３１）。ＩＮＶＩＴＥメッセージには、利用者装置１７及び監視装置１５のＩＤが付加され、また、接続確立情報として利用者装置１７のＩＰアドレス及びＶＴＥ８１の個別証明書が付加される。
【００８９】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受け取ると、利用者装置１７及び監視装置１５のＩＤを認可処理部１０３に供給し、接続の可否を認可処理部１０３に問い合わせる（Ｓ３３）。認可処理部１０３は、図４に示される認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かの判定を行う（Ｓ３５）。利用者装置１７と監視装置１５のＩＤの組み合わせが認可情報記憶部１０１に登録されていれば、接続が認可される。
【００９０】
ＳＩＰサーバ３７は、認可処理部１０３から認可結果を受け取る（Ｓ３７）。ＳＩＰサーバ３７は、認可処理部１０３によって接続が認可されると、ＩＮＶＩＴＥメッセージを監視装置１５へ送信する（Ｓ３９）。このＩＮＶＩＴＥメッセージは、接続確立情報として利用者装置１７のＩＰアドレス及びＶＴＥ８１の個別証明書を含む。
【００９１】
監視装置１５は、ＩＮＶＩＴＥメッセージを受信すると、接続確立情報として監視装置１５のＩＰアドレスとＩＰ回線ユニット６３の個別証明書を含んだＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ４１）。ＯＫメッセージはＳＩＰサーバ３７を介して利用者装置１７へ送信される（Ｓ４３）。
【００９２】
利用者装置１７は、ＯＫメッセージを受信すると、ＡＣＫメッセージをＳＩＰサーバ３７に送信する（Ｓ４５）。ＡＣＫメッセージは、ＳＩＰサーバ３７から監視装置１５へ送信される（Ｓ４７）。監視装置１５では、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、記憶部１１５のＶＰＮ接続要求条件を参照し、ＶＰＮ接続要求条件が成立したか否かを判定する。監視装置１５がＡＣＫメッセージを受信すると、第２のＶＰＮ接続要求条件が成立する（Ｓ４９）。そこで、ＶＰＮクライアント部１１３が、利用者装置１７のＶＰＮサーバ部１２３へとＶＰＮ接続要求を行う（Ｓ５１）。このＶＰＮ接続要求には、ＩＰ回線ユニット６３の個別証明書が含まれ、先に交換した証明書との照合が行われる。これにより、ＶＰＮ接続が確立し、監視情報が通信される（Ｓ５３）。
【００９３】
以上のように、本実施の形態では、監視装置１５と利用者装置１７のどちらが接続確立情報の交換要求元になるかによって、すなわち、接続確立情報の交換順序によって、ＶＰＮ接続要求のトリガーになる条件が異なって設定されている。これにより、いずれの場合にも、ＶＰＮ接続要求が監視装置１５から利用者装置１７に対して行われる。したがって、ＶＰＮサーバ機能が利用者装置１７に備えられればよく、監視装置１５はＶＰＮサーバ機能を有しなくてよい。
【００９４】
なお、図６では省略されているが、監視装置１５もＳＩＰのＯＫメッセージを受信すると、ＡＣＫメッセージを返す。ただし、図６の場合には、ＡＣＫメッセージと直接関係なく、ＯＫメッセージの受信によってＶＰＮ接続要求条件が成立する。
【００９５】
図８は、上記の図６及び図７の処理における監視装置１５のＩＰ回線ユニット６３の動作を示すフローチャートである。
【００９６】
ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを利用者装置１７のＶＴＥ８１に送信したか否かを判定する（Ｓ７１）。ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを送信していない場合、逆にＶＴＥ８１からＩＮＶＩＴＥメッセージを受信したか否かを判定する（Ｓ７３）。
【００９７】
ステップＳ７１がＹｅｓの場合、ＩＰ回線ユニット６３は、ＶＴＥ８１からＯＫメッセージを受信したか否かを判定する（Ｓ７５）。ＶＴＥ８１からＯＫメッセージを受信すると、第１のＶＰＮ接続要求条件が成立する（Ｓ７７）。そこで、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、ＶＴＥ８１のＶＰＮサーバ部１２３に対してＶＰＮ接続要求を行う（Ｓ８５）。
【００９８】
一方、ステップＳ７３がＹｅｓの場合、ＩＰ回線ユニット６３は、ＯＫメッセージをＶＴＥ８１に送信し（Ｓ７９）、ＶＴＥ８１からＡＣＫメッセージを受信したか否かを判定する（Ｓ８１）。ＶＴＥ８１からＡＣＫメッセージを受信すると、第２のＶＰＮ接続要求条件が成立する（Ｓ８３）。そこで、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、ＶＴＥ８１のＶＰＮサーバ部１２３に対してＶＰＮ接続要求を行う（Ｓ８５）。
【００９９】
次に、図９及び図１０を参照し、監視システム１の動作の詳細を説明する。図９及び図１０は、それぞれ、図６及び図７の動作の詳細を示している。
【０１００】
図９のタイムチャートにおいて、コントローラ６１及びＩＰ回線ユニット６３が監視装置１５の構成であり、ＳＩＰサーバ３７及び認可情報記憶部１０１（アカウント管理サーバ４１）が通信管理装置１１の構成であり、ＶＴＥ８１及び利用者ＰＣ８５が利用者装置１７の構成である。
【０１０１】
コントローラ６１は、ＶＴＥ−ＩＤ（ＶＴＥ８１のＩＤ）を含む接続指示（Ｐ２Ｐ接続指示）をＩＰ回線ユニット６３に送る（Ｓ１０１）。ここでは、ＶＴＥ−ＩＤが、接続先端末ＩＤとして用いられている。
【０１０２】
ＩＰ回線ユニット６３は、記憶部１１５からＩＰ回線ユニットＩＰアドレス（ＩＰ回線ユニット６３のＩＰアドレス）及びＩＰ回線ユニット個別証明書（ＩＰ回線ユニット６３に割り振られた電子証明書）を読み出す。また、ＩＰ回線ユニット６３は、記憶部１１５から、接続元端末ＩＤとしてのＩＰ回線ユニットＩＤ（ＩＰ回線ユニット６３のＩＤ）を読み出す。そして、ＩＰ回線ユニット６３は、これら情報をＩＮＶＩＴＥメッセージに付加し、ＩＮＶＩＴＥメッセージをＳＩＰサーバ３７に送る（Ｓ１０３）。具体的には、ＩＮＶＩＴＥメッセージは、ＩＰ回線ユニットＩＰアドレス、ＩＰ回線ユニットＩＤ、ＶＴＥ−ＩＤ及びＩＰ回線ユニット個別証明書を含む。
【０１０３】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受信し、ＩＰ回線ユニットＩＤ及びＶＴＥ−ＩＤを認可処理部１０３に伝え、接続を認可するか否かを問い合わせる（Ｓ１０５）。認可処理部１０３は、認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かを判定する（Ｓ１０７）。ここでは、図４のテーブルが読み出される。そして、認可処理部１０３は、問合せの端末ＩＤの組合せがテーブルに登録されているか否かを判定する。該当する組合せが登録されていれば、認可処理部１０３は接続を認可する。認可結果は、認可処理部１０３からＳＩＰサーバ３７へ伝えられる（Ｓ１０９）。ＳＩＰサーバ３７は、認可処理部１０３が接続を認可した場合に、ＩＮＶＩＴＥメッセージをＶＴＥ８１へ送信する（Ｓ１１１）。このＩＮＶＩＴＥメッセージには、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書が付加される。
【０１０４】
上記の処理において、ステップＳ１０７で接続が認可されなければ、ＳＩＰサーバ３７はＩＮＶＩＴＥメッセージをＶＴＥ８１へ送らない。したがって、その後のＳＩＰの処理は行われず、さらにその後のＶＰＮ接続も行われない。
【０１０５】
ＶＴＥ８１は、ＩＮＶＩＴＥメッセージを受信すると、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１２５に保持し、利用者ＰＣ８５に接続要求（Ｐ２Ｐ接続要求）の問い合わせを行う（Ｓ１１３）。この接続要求には、ＩＰ回線ユニットＩＰアドレスが付加される。そして、利用者ＰＣ８５がＶＴＥ８１に接続応答を送る（Ｓ１１５）。
【０１０６】
ＶＴＥ８１は、ＶＴＥ−ＩＰアドレス（ＶＴＥ８１のＩＰアドレス）及びＶＴＥ個別証明書（ＶＴＥ８１に割り振られた電子証明書）を記憶部１２５から読み出す。そして、ＶＴＥ８１は、ＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ１１７）。このＯＫメッセージには、ＶＴＥ−ＩＰアドレス、ＶＴＥ個別証明書が付加される。
【０１０７】
ＳＩＰサーバ３７は、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書と共にＯＫメッセージをＩＰ回線ユニット６３に送信する（Ｓ１１９）。ＩＰ回線ユニット６３は、ＯＫメッセージを受信すると、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を記憶部１１５に保持して、ＡＣＫメッセージをＳＩＰサーバ３７に送り（Ｓ１２１）、更にＳＩＰサーバ３７がＡＣＫメッセージをＶＴＥ８１へ送る（Ｓ１２３）。
【０１０８】
上記の過程で、ＩＰ回線ユニット６３は、ＶＴＥ８１のＩＰアドレス及びＶＴＥ個別証明書を取得している。また、ＶＴＥ８１は、ＩＰ回線ユニット６３のＩＰアドレス及びＩＰ回線ユニット個別証明書を取得している。そして、ＩＰ回線ユニット６３では、ＯＫメッセージの受信により（Ｓ１１９）、図５に示される第１のＶＰＮ接続要求条件が成立する。
【０１０９】
そこで、図示のように、ＩＰ回線ユニット６３が、ＶＴＥ８１へＶＰＮ接続要求を行う（Ｓ１２５）。ここでは、ＳＩＰサーバ３７を介さずに、直接にＶＰＮ接続が要求される。ＶＴＥ８１は、相手先のＩＰ回線ユニットＩＰアドレスを含む着信情報を利用者ＰＣ８５に送る（Ｓ１２７）。ＩＰ回線ユニットＩＰアドレスは、利用者ＰＣ８５にてＶＰＮ通信のために使用される。また、ＶＴＥ８１は、ＶＰＮサーバとして、ＶＰＮ接続の処理を行ったことをＩＰ回線ユニット６３に通知する（Ｓ１２９）。ＩＰ回線ユニット６３は、接続結果がＯＫであることをコントローラ６１に通知し、また相手先のＶＴＥ−ＩＰアドレスをコントローラ６１に通知する（Ｓ１３１）。ＶＴＥ−ＩＰアドレスは、コントローラ６１にてＶＰＮ通信のために使用される。こうして、ＶＰＮ接続が確立され、端末間ＶＰＮ２５を介して情報が通信される。監視映像及び音声等が、監視装置１５から利用者装置１７へと提供される。
【０１１０】
次に、図１０を参照し、利用者装置１７が接続元である場合について説明する。利用者（オーナー）が例えば映像表示の指示を利用者ＰＣ８５に入力したとする。利用者ＰＣ８５は、ＩＰ回線ユニットＩＤを含む接続指示（Ｐ２Ｐ接続指示）をＶＴＥ８１に送る（Ｓ２０１）。ここでは、ＩＰ回線ユニットＩＤが、接続先端末のＩＤとして用いられている。
【０１１１】
ＶＴＥ８１は、記憶部１２５からＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を読み出す。また、ＶＴＥ８１は、記憶部１２５から、接続元端末ＩＤとしてのＶＴＥ−ＩＤを読み出す。そして、ＶＴＥ８１は、これら情報をＩＮＶＩＴＥメッセージに付加し、ＩＮＶＩＴＥメッセージをＳＩＰサーバ３７に送る（Ｓ２０３）。具体的には、ＩＮＶＩＴＥメッセージは、ＶＴＥ−ＩＰアドレス、ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤ及びＶＴＥ個別証明書を含む。
【０１１２】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受信して、ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤを認可処理部１０３に伝え、接続を認可するか否かを問い合わせる（Ｓ２０５）。認可処理部１０３は、前述と同様にして認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かを判定し（Ｓ２０７）、認可結果をＳＩＰサーバ３７へ送る（Ｓ２０９）。ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤの組合せが登録されていれば、接続が認可される。認可処理部１０３が接続を認可した場合に、ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージをＩＰ回線ユニット６３へ送信する（Ｓ２１１）。このＩＮＶＩＴＥメッセージには、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書が付加される。
【０１１３】
上記の処理において、ステップＳ２０７で接続が認可されなければ、ＳＩＰサーバ３７はＩＮＶＩＴＥメッセージをＩＰ回線ユニット６３へ送らない。したがって、その後のＳＩＰの処理は行われず、さらにその後のＶＰＮ接続も行われない。
【０１１４】
ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを受信すると、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を記憶部１１５に保持する。また、ＩＰ回線ユニット６３は、コントローラ６１に接続要求（Ｐ２Ｐ接続要求）の問い合わせを行う（Ｓ２１３）。この接続要求には、ＶＴＥ−ＩＰアドレスが付加される。そして、コントローラ６１がＩＰ回線ユニット６３に接続応答を送る（Ｓ２１５）。
【０１１５】
ＩＰ回線ユニット６３は、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１１５から読み出す。そして。ＩＰ回線ユニット６３は、ＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ２１７）。このＯＫメッセージには、ＩＰ回線ユニットＩＰアドレス、ＩＰ回線ユニット個別証明書が付加される。
【０１１６】
ＳＩＰサーバ３７は、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書と共にＯＫメッセージをＶＴＥ８１に送信する（Ｓ２１９）。ＶＴＥ８１は、ＯＫメッセージを受信すると、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１２５に保持して、ＡＣＫメッセージをＳＩＰサーバ３７へ返信し（Ｓ２２１）、また、利用者ＰＣ８５にＳＩＰ接続の確立を通知する（Ｓ２２３）。ＳＩＰサーバ３７は、ＡＣＫメッセージをＩＰ回線ユニット６３に送信する（Ｓ２２５）。
【０１１７】
上記の過程で、ＩＰ回線ユニット６３とＶＴＥ８１の間で、ＩＰアドレス及び各々の個別証明書が交換されている。ＩＰ回線ユニット６３では、ＡＣＫメッセージの受信により（Ｓ２２５）、図５に示される第２のＶＰＮ接続要求条件が成立する。
【０１１８】
そこで、図示のように、ＩＰ回線ユニット６３が、ＶＴＥ８１へＶＰＮ接続要求を行う（Ｓ２２７）。ＶＰＮ接続は、ＳＩＰサーバ３７を介さずに行われる。ＶＴＥ８１は、相手先のＶＴＥ−ＩＰアドレスを含む着信情報を利用者ＰＣ８５に送る（Ｓ２２９）。また、ＶＴＥ８１は、ＶＰＮサーバとして、ＶＰＮ接続の処理を行ったことをＩＰ回線ユニット６３に通知する（Ｓ２３１）。ＩＰ回線ユニット６３は、相手先のＶＴＥ−ＩＰアドレスを含む着信情報をコントローラ６１に送る（Ｓ２３３）。こうして、ＶＰＮ接続が確立され、端末間ＶＰＮ２５を介して情報が通信される。
【０１１９】
図９、図１０に示されるように、両図の処理で、ＶＰＮ接続要求が、ＩＰ回線ユニット６３からＶＴＥ８１へ送られている。したがって、ＶＴＥ８１にＶＰＮサーバ機能を備え、ＩＰ回線ユニット６３にＶＰＮサーバ機能を備えない図３の構成によっても、図９と図１０の両方の状況で、ＶＰＮ接続を好適に確立できる。
【０１２０】
以上に本発明の好適な実施の形態について説明した。本実施の形態では、利用者装置１７及び監視装置１５が、それぞれ本発明の第１の端末及び第２の端末に相当する。そして、ＶＴＥ８１の記憶部１２５及びＩＰ回線ユニット６３の記憶部１１５が、本発明の第１記憶部及び第２記憶部に相当する。さらに、ＶＴＥ８１のＩＰアドレス及び電子証明書が、サーバ側の接続確立情報に相当し、ＩＰ回線ユニット６３のＩＰアドレス及び電子証明書が、クライアント側の接続確立情報に相当し、ＳＩＰのＡＣＫメッセージが本発明の受領確認に相当する。
【０１２１】
本実施の形態によれば、上記のように、第１の端末（利用者装置１７）にＶＰＮサーバ機能が備えられ、第２の端末（監視装置１５）にＶＰＮクライアント機能が備えられる。接続確立情報の交換順序に関連して、２つのＶＰＮ接続要求条件が第２の端末に記憶されており、どちらかのＶＰＮ接続要求条件が成立すると、第２の端末が第１の端末にＶＰＮ接続要求を行う。これにより、どちらの端末が接続確立情報の要求元になったときも、すなわち、どちらの端末が接続を希望したときも、第２の端末が第１の端末がＶＰＮ接続要求を行う。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【０１２２】
また、本実施の形態では、ＶＰＮ接続のための接続確立情報の交換手段として、ＳＩＰが用いられる。ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な接続確立情報を交換し、交換した情報を使ってＶＰＮ接続を確立する。さらに、本発明は、単にＳＩＰとＶＰＮを組み合わせるだけでなく、上述のように第１及び第２のＶＰＮ接続要求条件を設定している。これにより、第１及び第２の端末のどちらがＳＩＰの招待メッセージを発した場合でも、ＶＰＮ接続要求は、第２の端末から第１の端末に対して行われる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【０１２３】
また、接続確立情報としてＩＰアドレスと電子証明書を例に説明したが、電子証明書の代わりに他の情報を用いて相手方の認証を行うようにしても良い。例えば電子証明書に含まれるコモンネームなどを接続確立情報として用いても良い。
【０１２４】
また、本実施の形態では、接続が認可されるべき端末の組合せの情報を予め記憶しておき、ＳＩＰのシグナリングの際に端末間の接続の認可を行う。これにより、端末とＳＩＰサーバ間の単なる認証ではなく、ＳＩＰサーバを介した端末間つまりＰ２Ｐについての認可を行うことができ、監視情報の利用者を好適に制限できる。こうして、監視システムにＳＩＰを適用する場合のセキュリティ性を向上できる。
【０１２５】
また、本実施の形態では、第１の端末が、監視サービスを利用する利用者装置であり、第２の端末が監視対象に設置される監視装置であった。そして、監視装置が所定の設定に従って監視情報を利用者装置に送信するとき、監視装置が利用者装置にＶＰＮ接続要求を行った。また、利用者装置が監視装置に監視情報の送信を要求するときも、監視装置が利用者装置にＶＰＮ接続要求を行った。したがって、監視装置と利用者装置をＶＰＮで接続する場合に、利用者装置にのみＶＰＮサーバ機能を設ければよく、構成を簡素化できる。
【０１２６】
簡単な計算としては、多数の監視装置と同数の利用者装置が監視システムに配置されたとすると、ＶＰＮサーバ機能が半数の端末装置に備えられればよく、大幅に構成を簡素化できる。
【０１２７】
なお、本発明の範囲内で、利用者装置にＶＰＮクライアント部が設けられ、監視装置にＶＰＮサーバ部が設けられてよい。この場合も同様にＶＰＮサーバの数を低減し、構成を簡素化できる。
【０１２８】
なお、上記実施の形態では、監視装置が所定のタイミング（ＯＫメッセージ受信、ＡＣＫメッセージ受信）で記憶部のＶＰＮ接続要求条件を参照し、条件の成立を判定する旨を説明したが、各ＶＰＮ接続要求条件に基づいてＶＰＮ接続要求を実行する２つのプログラムとして実現してもよい。この場合、監視装置は接続確立情報の交換要求元となるときは第１のＶＰＮ接続要求条件を含むプログラムを実行し、交換要求を受けたときは第２のＶＰＮ接続要求条件を含むプログラムを実行する。このような構成も、ＶＰＮ接続要求条件がプログラムの一部として記憶されており、本発明の範囲に含まれる。
【０１２９】
以上に本発明の好適な実施の形態を説明した。しかし、本発明は上述の実施の形態に限定されず、当業者が本発明の範囲内で上述の実施の形態を変形可能なことはもちろんである。
【産業上の利用可能性】
【０１３０】
以上のように、本発明にかかる監視システムは、通信を使って遠隔地から店舗等を監視するために有用である。
【符号の説明】
【０１３１】
１ 監視システム
３ 監視センタ
５ 監視対象
７ 利用者拠点
１１ 通信管理装置
１３ センタ装置
１５ 監視装置
１７ 利用者装置
２１ センタ端末間ＶＰＮ
２３ ＳＩＰ通信
２５ 端末間ＶＰＮ
３３ ＨＴＴＰサーバ
３５ ＶＰＮサーバ
３７ ＳＩＰサーバ
４１ アカウント管理サーバ
４３ データベース
６１ コントローラ
６３ ＩＰ回線ユニット
６５、８３ ルータ
６９ マルチ回線アダプタ
７３ 監視カメラ
８１ ＶＰＮ終端装置（ＶＴＥ）
８５ 利用者ＰＣ
１０１ 認可情報記憶部
１０３ 認可処理部
１１３ ＶＰＮクライアント部
１２３ ＶＰＮサーバ部
【技術分野】
【０００１】
本発明は、複数の端末間で監視情報を通信する監視システムに関し、特に、ＶＰＮを利用して監視情報を通信する技術に関する。
【背景技術】
【０００２】
従来、店舗、工場等の監視対象に監視カメラを設置し、監視映像を遠隔地で監視する監視システムが実用化されている。監視映像は、遠隔の監視センタに送信され、また、監視対象の所有者（オーナー）の事務所に送信される。監視映像の送信には、ＩＳＤＮなどの一般公衆回線が用いられる（例えば特許文献１）。
【０００３】
近年、ＡＤＳＬやＦＴＴＨといったブロードバンド回線の普及により、監視システムにおける監視映像等の送受信をインターネット上で実現することに対するニーズが高まっている。インターネットの利用により、コストの節減や、システムの柔軟性の向上が期待できる。
【０００４】
インターネットで監視情報を送信する場合には、セキュリティの確保が重要である。そこで、監視センタと監視端末の間にＶＰＮ（仮想プライベートネットワーク）を構築して、通信のセキュリティを確保することが提案されている（例えば特許文献２）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００１−５４１０２号公報
【特許文献２】特開２００６−２０３３１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来は、監視システムにＶＰＮを適用する場合、監視センタと端末間にＶＰＮが構築され、かつ、ＶＰＮが常時維持される。このような常時接続のＶＰＮとは別に、端末間で必要時にＶＰＮ接続を行うことも考えられる。しかしながら、そのような端末間のＶＰＮ接続を行おうとすると、以下に説明するように、全ての端末にＶＰＮサーバ機能が必要になり、構成が複雑化するという問題が生じる。
【０００７】
複数の端末は、典型的には、監視対象に設置される監視端末と、監視サービスを利用する利用者端末である。具体例としては、監視対象が店舗であり、監視端末が店舗に配置され、利用者端末は、店舗のオーナーの事務所等に配置される。
【０００８】
このような場合に、監視端末で警報等が生じると、監視端末が利用者端末に接続を要求する。一方、オーナーが監視対象の映像を見たいときは、利用者端末が監視端末に接続を要求する。このように、端末同士のＶＰＮ接続では、どちらの端末も、相手の端末に接続を要求する可能性がある。
【０００９】
ところが、ＶＰＮ接続では、ＶＰＮクライアントからＶＰＮサーバにＶＰＮ接続要求を行い、ＶＰＮサーバでその接続要求に応答して以降のＶＰＮ通信を管理する。そのため、監視端末から利用者端末に接続要求を行う場合のために、利用者端末にＶＰＮサーバ機能を設ける必要がある。また、利用者端末から監視端末にＶＰＮ接続要求を行う場合のために、監視端末にもＶＰＮサーバ機能を設ける必要がある。結局、すべての端末にＶＰＮサーバ機能を設けることが必要になり、構成が複雑化する。
【００１０】
本発明は、上記背景の下でなされたもので、その目的は、監視システムの端末間をＶＰＮで接続する場合に構成を簡素化できる監視システムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明は、ＶＰＮにより接続される第１及び第２の端末を有し、前記第１及び第２の端末の間で監視情報を通信する監視システムであって、前記第１の端末は、ＶＰＮのサーバ機能を実現するＶＰＮサーバ部と、ＶＰＮ接続を確立するために前記第２の端末に送信されるべきサーバ側の接続確立情報を保持する第１記憶部とを有し、前記第２の端末は、ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、ＶＰＮ接続を確立するために前記第１の端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ部へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する第２記憶部とを有し、前記第２記憶部は、前記ＶＰＮ接続要求条件として、前記第２の端末が交換要求元として前記第１の端末に前記クライアント側の接続確立情報を送信したときに、前記第１の端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、前記第２の端末が交換要求先として前記第１の端末から前記サーバ側の接続確立情報を受信したときに、前記第１の端末へ前記クライアント側の接続確立情報を返信し、さらに前記第１の端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、前記第２の端末の前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記第１の端末の前記ＶＰＮサーバ部にＶＰＮ接続要求を行う。
【００１２】
上記のように、本発明によれば、第１の端末にＶＰＮサーバ機能が備えられ、第２の端末にＶＰＮクライアント機能が備えられる。第１及び第２の端末は、ＶＰＮ接続の前処理として、ＶＰＮ接続に必要な接続確立情報を交換する。接続確立情報は例えばＩＰアドレス及び電子証明書である。そして、本発明では、接続確立情報の交換順序に関連して、上記のように２つのＶＰＮ接続要求条件が第２の端末に記憶されており、どちらかのＶＰＮ接続要求条件が成立すると、第２の端末が第１の端末にＶＰＮ接続要求を行う。第２の端末が接続を希望し、接続確立情報の交換要求元になったときは、第１の接続要求条件が成立する。一方、第１の端末が接続を希望し、第２の端末が接続確立情報の交換要求先になったときは、第２の接続要求条件が成立する。どちらの端末が接続を希望したときも、第２の端末が第１の端末がＶＰＮ接続要求を行うことになる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【００１３】
また、本発明では、前記第１及び第２の端末はＳＩＰメッセージを交換してよい。前記第２の端末が前記クライアント側の接続確立情報を含む招待メッセージを前記第１の端末に送信したときは、前記第１の端末から前記サーバ側の接続確立情報を含むＯＫメッセージを受信したことをもって前記第１のＶＰＮ接続要求条件が成立してよい。前記第２の端末が前記サーバ側の接続確立情報を含む招待メッセージを前記第１の端末から受信したときは、前記第１の端末へ前記クライアント側の接続確立情報を含むＯＫメッセージを返信して前記第１の端末からＡＣＫメッセージを受信したこともって前記第２のＶＰＮ接続要求条件が成立してよい。
【００１４】
この構成では、ＶＰＮ接続のための接続確立情報の交換手段として、インターネット電話などで用いられる通信制御プロトコルであるＳＩＰ（Session Initiation Protocol）に着目している。ＳＩＰのシグナリングでは、端末間で招待（ＩＮＶＩＴＥ）メッセージとＯＫメッセージが交換される。これらのＳＩＰメッセージに、接続確立情報が付加される。これにより、ＳＩＰのシグナリング過程にて、接続確立情報を交換できる。つまり、本発明は、ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な情報を交換し、交換した情報を使ってＶＰＮ接続を確立する。さらに、本発明は、単にＳＩＰとＶＰＮを組み合わせるだけでなく、上述のように第１及び第２のＶＰＮ接続要求条件を設定している。これにより、第１及び第２の端末のどちらがＳＩＰの招待メッセージを発した場合でも、ＶＰＮ接続要求は、第２の端末から第１の端末に対して行われる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【００１５】
また、本発明の監視システムは、前記第１及び第２の端末と接続される通信管理装置を含んでよく、前記第１及び第２の端末は、前記通信管理装置を介して前記ＳＩＰメッセージを交換してよい。前記通信管理装置は、ＳＩＰサーバと、接続が認可されるべき接続元及び接続先の端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、前記接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有してよい。前記第１又は前記第２の端末から招待メッセージが受信されたとき、前記ＳＩＰサーバは、前記招待メッセージに含まれる前記接続先の端末の識別情報を前記認可処理部に供給し、前記認可処理部が前記接続元及び接続先の端末の接続を認可した場合に、前記ＳＩＰサーバが前記接続元の端末からの招待メッセージを前記接続先の端末へ供給してよい。
【００１６】
この構成は、さらに、監視システムにＳＩＰを適用する場合のセキュリティを向上することができる。本発明によれば、監視システムの複数の端末が、ＳＩＰサーバを備えた通信管理装置と接続される。通信管理装置は、ＳＩＰサーバに加え、接続が認可されるべき端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有する。ＳＩＰのシグナリングでは、招待メッセージが接続元の端末からＳＩＰサーバへ送られる。このとき、本発明では、認可処理部が、接続を認可するか否かを判定する。認可処理部が接続を認可した場合、ＳＩＰサーバが接続元の端末からの招待メッセージを接続先の端末に送り、ＳＩＰのシグナリングが成功する。
【００１７】
このように、本発明では、接続が認可されるべき端末の組合せの情報を予め記憶しておき、ＳＩＰのシグナリングの際に端末間の接続の認可を行う。これにより、端末とＳＩＰサーバ間の単なる認証ではなく、ＳＩＰサーバを介した端末間つまりＰ２Ｐについての認可を行うことができ、監視情報の利用者を好適に制限できる。こうして、監視システムにＳＩＰを適用する場合のセキュリティ性を向上できる。
【００１８】
また、本発明の監視システムでは、前記第１の端末が、監視サービスを利用する利用者装置であってよく、前記第２の端末が監視対象に設置される監視装置であってよい。前記監視装置から所定の設定に従い前記利用者装置に監視情報を送信するときには、前記監視装置が、前記交換要求元となって、前記第１のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行ってよい。前記利用者装置が前記監視装置に前記監視情報の送信を要求するときには、前記監視装置が、前記交換要求先となって、前記第２のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行ってよい。
【００１９】
この構成により、監視装置が所定の設定に従って監視情報を利用者装置に送信するときに、監視装置が利用者装置にＶＰＮ接続要求を行う。この状況は、例えば、定期的な送信タイミングが来たときであり、また、監視対象へ訪問者が来たときである。また、利用者装置が監視情報に監視情報の送信を要求するときも、監視装置が利用者装置にＶＰＮ接続要求を行う。したがって、監視装置と利用者装置をＶＰＮで接続する場合に、利用者装置にのみＶＰＮサーバ機能を設ければよく、構成を簡素化できる。
【００２０】
本発明は、上記監視システムの態様に限定されない。本発明の別の態様は、例えば端末装置又は通信管理装置である。また、本発明は、方法、プログラム、又は同プログラムを記録したコンピュータで読取可能な記録媒体のかたちで実現されてよい。
【００２１】
例えば、本発明の別の態様は、監視情報を通信する複数の端末装置を含む監視システムに設けられ、前記監視システムを構成しＶＰＮサーバ機能を備えたＶＰＮサーバ端末と通信する端末装置である。この端末装置は、ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、ＶＰＮ接続を確立するために前記ＶＰＮサーバ端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ端末へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する記憶部とを有し、前記記憶部は、前記ＶＰＮ接続要求条件として、前記接続確立情報の交換要求元として前記ＶＰＮサーバ端末に前記クライアント側の接続確立情報を送信したときに、前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、前記接続確立情報の交換要求先として前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したときに、前記ＶＰＮサーバ端末へ前記クライアント側の接続確立情報を返信し、さらに前記ＶＰＮサーバ端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記ＶＰＮサーバ端末にＶＰＮ接続要求を行う。この構成によっても上述した本発明の利点が得られる。
【発明の効果】
【００２２】
上記のように、本発明は、監視システムの端末間をＶＰＮで接続する場合に構成を簡素化できる。
【図面の簡単な説明】
【００２３】
【図１】本発明の監視システムの全体的な構成を示す図である。
【図２】監視システムの構成をより具体的に示すブロック図である。
【図３】本発明の監視システムにおける主要な構成を示すブロック図である。
【図４】認可情報記憶部に記憶される接続認可情報のテーブルの例を示す図である。
【図５】第１及び第２のＶＰＮ接続要求条件を示す図である。
【図６】監視装置が接続確立情報の交換要求元になって端末間の通信を行うときの動作を示す図である。
【図７】監視装置が接続確立情報の交換要求先になって端末間の通信を行うときの動作を示す図である。
【図８】ＶＰＮ接続確立のためのＩＰ回線ユニットの動作を示す図である。
【図９】監視装置が接続確立情報の交換要求元になって端末間の通信を行うときの動作を示す図である。
【図１０】監視装置が接続確立情報の交換要求先になって端末間の通信を行うときの動作を示す図である。
【発明を実施するための形態】
【００２４】
以下、本発明の実施の形態の監視システムについて、図面を用いて説明する。
【００２５】
図１は、本発明の監視システムの全体的な構成を示している。図示のように、監視システム１では、監視センタ３、監視対象５及び利用者拠点７の間で通信が行われる。ここで利用者とは、監視システム１による監視対象５の監視サービスの利用者を意味する。本実施の形態の例では、監視対象５が店舗であり、利用者拠点７は店舗のオーナーの事務所である。
【００２６】
監視センタ３には、通信管理装置１１及び複数のセンタ装置１３が備えられており、これらは通信可能に接続されている。通信管理装置１１及び複数のセンタ装置１３は、地理的には離れた場所に配置されてよい。複数のセンタ装置１３は、複数の担当地域にそれぞれ配置されてよい。また、複数のセンタ装置１３は機能を分担してよい。例えば、あるセンタ装置１３が、警備関連の信号を処理する管制センタ装置として機能してよく、別のセンタ装置１３が、監視映像を主に処理する画像センタ装置として機能してよい。なお、本発明の範囲でセンタ装置１３が一つでもよい。
【００２７】
監視対象５及び利用者拠点７には、それぞれ、監視装置１５及び利用者装置１７が設けられている。監視装置１５及び利用者装置１７は本発明の端末に相当する。監視装置１５は、監視情報をセンタ装置１３及び利用者装置１７へ送る。監視情報は、例えば、監視カメラの画像であり、また、監視対象５にて検出された監視信号である。監視信号は、例えば異常発生を示す警備信号であり、警備信号は、監視対象５に設置されたセンサからの検出信号に基づいて生成され、あるいは、警報ボタン（スイッチ）が操作されたときに生成される。また、利用者装置１７は、監視装置１５へ制御信号や、音声信号を送る。このような利用者装置１７から監視装置１５への信号も、監視情報に含まれる。
【００２８】
図１では、１つの監視対象５及び１つの利用者拠点７が示されている。しかし、実際には、監視センタ３は複数の監視対象５及び複数の利用者拠点７と通信する。したがって、通信管理装置１１も、複数の監視装置１５及び複数の利用者装置１７と通信する。各々の監視装置１５は関連づけられた利用者装置１７（店舗のオーナーの端末）と通信する。
【００２９】
図１の監視システム１において、例えば、監視装置１５がセンサ信号等により異常を検出したとする。この場合、監視情報として警備信号が、監視対象５の映像と共に、監視センタ３へ送信される。監視センタ３では、オペレータがセンタ装置１３のモニタで警備信号や映像を確認し、警備員に必要な指示を出す。指示を受けた警備員が監視対象５に急行し、異常に対処する。
【００３０】
また例えば、監視装置１５は、監視対象５の映像等を定期的に、あるいはその他の設定に従って利用者装置１７へ送る。例えば、センサによって来客が検出されたときに、映像等が利用者装置１７へ送られる。また、利用者装置１７から映像等の送信が要求されることもある。オーナーは、映像等によって店舗の様子を把握できる。また、オーナーは、利用者装置１７から監視装置１５に音声等を送り、店員に必要事項を指示することができる。
【００３１】
次に、監視システム１の通信形態について説明する。通信管理装置１１、監視装置１５及び利用者装置１７は、インターネットに接続されている。
【００３２】
さらに、通信管理装置１１は、インターネット上でセンタ端末間ＶＰＮ（仮想プライベートネットワーク）２１によって監視装置１５及び利用者装置１７と接続される。センタ端末間ＶＰＮ２１を構築するために、通信管理装置１１にＶＰＮサーバ機能が備えられ、監視装置１５及び利用者装置１７にＶＰＮクライアント機能が備えられる。ＶＰＮでは、ＶＰＮトンネルが構築され、暗号化通信が行われ、高いセキュリティ性が実現される。
【００３３】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介してＳＩＰ通信２３を行う。ＳＩＰ通信２３は、上記のセンタ端末間ＶＰＮ２１を介して行われる。通信管理装置１１にはＳＩＰサーバ機能が備えられている。
【００３４】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介さずに、直接に端末間ＶＰＮ２５によって接続される。この端末間ＶＰＮ２５を構築するために、利用者装置１７にＶＰＮサーバ機能が備えられ、監視装置１５にＶＰＮクライアント機能が備えられる。
【００３５】
ここで、センタ端末間ＶＰＮ２１は、常時接続されＶＰＮトンネルが構築されており、センタ装置１３と監視装置１５及び利用者装置１７の間での通信に利用される。これに対して、端末間ＶＰＮ２５は、必要なときのみ構築される。
【００３６】
端末間ＶＰＮ２５を用いる理由を説明する。監視システム１では映像等の大容量のデータが通信される。センタ端末間ＶＰＮ２１がすべての通信に使われると、通信管理装置１１の負荷が膨大になる。そこで、監視装置１５と利用者装置１７の通信を端末間ＶＰＮ２５によって行うことで、セキュリティ性を確保しつつ、通信管理装置１１の負荷を軽減している。
【００３７】
また、本実施の形態におけるＳＩＰ通信２３の役割は、通常のＩＰ電話等とは異なる特別なものである。すなわち、本実施の形態は、ＳＩＰのシグナリングを、端末間ＶＰＮ２５のＶＰＮ接続前の準備の処理として位置づけている。より詳細には、ＳＩＰ２３のセッションを確立するときには、シグナリングが行われる。このシグナリングにて双方向通信が行われ、利用者装置１７と監視装置１５との間でＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。一方、ＶＰＮ接続を確立するためには、情報の交換が必要である。本実施の形態では、ＩＰアドレス及び電子証明書が交換される。そこで、ＳＩＰ通信２３のシグナリングが、ＶＰＮ接続確立のための情報交換の手段として利用される。電子証明書は、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。
【００３８】
以上に、監視システム１の全体構成を説明した。上記のように、本実施の形態では、２種類のＶＰＮが使用される。一方は、通信管理装置１１と端末（監視装置１５又は利用者装置１７）を接続し、他方は、端末同士（監視装置１５と利用者装置１７）を接続する。そこで、図１では、これら２つのＶＰＮを区別するため、センタ端末間ＶＰＮ２１と端末間ＶＰＮ２５といった用語を用いている。ただし、単にＶＰＮ２１、ＶＰＮ２５といった用語が用いられてよい。
【００３９】
次に、図２を参照し、監視システム１の構成をより具体的に説明する。通信管理装置１１は、ファイアウォール３１、ＨＴＴＰサーバ３３、ＶＰＮサーバ３５、ＳＩＰサーバ３７、ＳＴＵＮサーバ３９、アカウント管理サーバ４１、データベース４３及びログサーバ４５を備える。
【００４０】
ファイアウォール３１は、通信管理装置１１と監視装置１５及び利用者装置１７との間で使用される通信データ以外のデータを遮断する装置である。ＨＴＴＰサーバ３３はインターネット接続のための構成である。ＶＰＮサーバ３５は、ＶＰＮトンネル構築のための認証と暗号化を行うサーバである。
【００４１】
ＶＰＮサーバ３５は、センタ端末間ＶＰＮ２１を実現する構成であり、通信管理装置１１と監視装置１５の間にＶＰＮを構築し、また、通信管理装置１１と利用者装置１７の間にＶＰＮを構築する。監視装置１５からの信号は、ＶＰＮサーバ３５で復号化されて、センタ装置１３へ送信される。また、センタ装置１３からの信号は、ＶＰＮサーバ３５で暗号化されて、監視装置１５へ送信される。また、通信管理装置１１が監視装置１５に信号を送るときも、ＶＰＮサーバ３５で暗号化が行われる。通信管理装置１１と利用者装置１７の通信でも、ＶＰＮサーバ３５が同様に暗号化及び復号化を行う。
【００４２】
ＳＩＰサーバ３７は、ＳＩＰプロトコルに従ってシグナリングの処理を行い、監視装置１５と利用者装置１７を接続する。ＳＩＰサーバ３７は、利用者装置１７が監視装置１５に接続を要求する場合に、もしくは、監視装置１５が利用者装置１７に接続を要求する場合に、ＳＩＰの接続制御の機能を果たす。
【００４３】
ＳＩＰのシグナリングでは、メッセージが交換される。具体的には、ＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。このメッセージ交換を利用して、前述したように、ＶＰＮ接続確立のためにＩＰアドレス及び電子証明書が交換される。
【００４４】
ＳＴＵＮサーバ３９は、監視装置１５及び利用者装置１７のルータのＮＡＴ機能に対応するためにＳＴＵＮ機能を提供する。
【００４５】
アカウント管理サーバ４１は、認証等の各種の情報を管理するサーバである。管理される情報は、データベース４３に格納される。管理される情報は、ＩＰ回線のアカウント、ＶＰＮ接続（トンネル構築）のための電子証明書、鍵ペアの情報を含む。また、本実施の形態では、ＳＩＰのシグナリングの過程で、端末間の接続について認証及び認可が行われる。この処理のための情報も、データベース４３に保持され、アカウント管理サーバ４１に使用される。尚、端末間の接続についての認証及び認可はＳＩＰサーバ自身が行うようにすることもでき、この場合は本発明の認可処理部及び認可情報記憶部がＳＩＰサーバに備えられることになる。
【００４６】
ログサーバ４５は、監視装置１５で生成したログを保存するためのサーバである。
【００４７】
センタ装置１３は、監視卓５１と回線接続装置５３を備える。監視卓５１が回線接続装置５３を介して通信管理装置１１に接続される。例えば、センタ装置１３が画像センタである場合、監視映像が監視卓５１に供給され、監視卓５１にて管理される。また、センタ装置１３が管制センタである場合、警備関連の情報が監視卓５１に供給される。監視映像も管制センタのモニタに好適に表示される。監視映像等は、センタ装置同士の間でも通信されてよい。
【００４８】
次に、監視装置１５について説明する。監視装置１５は、コントローラ６１、ＩＰ回線ユニット６３、ルータ６５、周辺機器６７、マルチ回線アダプタ６９及び監視対象ＰＣ（パーソナルコンピュータ）７１で構成されている。
【００４９】
コントローラ６１はコンピュータで構成されており、周辺機器６７と連携して、監視機能を実現する。コントローラ６１は、監視センタ３とはＩＰ回線ユニット６３を介して接続される。また、コントローラ６１は、利用者装置１７とも、ＩＰ回線ユニット６３を介して接続される。
【００５０】
図２では、周辺機器６７として監視カメラ７３、センサ７５及び警報ボタン７７が例示されている。コントローラ６１は、監視映像に対して画像認識処理を施して異常を検出する。また、コントローラ６１は、センサ７５から入力される検出信号により、異常を検出する。警報ボタン７７が押されたときにも異常が検出される。その他の周辺機器が異常検出に用いられてよい。異常が発生すると、コントローラ６１はセンタ装置１３と通信し、警備信号と画像信号を送信する。監視カメラ７３と共にマイクが備えられており、音声信号も送信される。このようにして、コントローラ６１は監視対象５の警備機能を実現する。
【００５１】
また、監視映像及び音声は、センタ装置１３から要求されたときにも送信される。さらに、監視映像及び音声は、利用者装置１７にも送られる。利用者装置１７への送信は、例えば定期的に行われ、また、その他の設定に従って行われる。例えば、センサ７５により来客が検知されると、映像等が利用者装置１７に送られる。また、利用者装置１７から要求されたときも、監視装置１５は映像等を送信する。
【００５２】
ＩＰ回線ユニット６３は、コントローラ６１が通信管理装置１１と通信するためのＶＰＮトンネルを構築する。また、コントローラ６１が利用者装置１７と通信するためのＶＰＮトンネルを構築する。前者は、センタ端末間ＶＰＮ２１に対応し、後者は、端末間ＶＰＮ２５に対応する。これらの接続において、ＩＰ回線ユニット６３は、ＶＰＮクライアントの機能を実現する。
【００５３】
図２では、ＩＰ回線ユニット６３がコントローラ６１の内部構成として示されている。これは、物理的な配置を表現している。通信構成としては、ＩＰ回線ユニット６３は、コントローラ６１とルータ６５の間に配置されている。そして、ＩＰ回線ユニット６３は、コントローラ６１と、イーサネット（登録商標）でＬＡＮ接続されている。ルータ６５は、ブロードバンド回線用のルータである。
【００５４】
マルチ回線アダプタ６９は、携帯電話網を介してセンタ装置１３と接続される。マルチ回線アダプタ６９は、ブロードバンド回線が不通のときに警備信号を送信するために使用される。警備信号が、コントローラ６１からＩＰ回線ユニット６３を介してマルチ回線アダプタ６９に送られ、マルチ回線アダプタ６９からセンタ装置１３へと送信される。
【００５５】
監視対象ＰＣ７１は、監視対象５に設置されるＰＣである。本実施の形態の例では、監視対象５が店舗である。したがって、監視対象ＰＣ７１は店舗用のＰＣでよい。
【００５６】
次に、利用者装置１７について説明する。利用者装置１７は、ＶＰＮ終端装置（以下、ＶＴＥ）８１、ルータ８３及び利用者ＰＣ（パーソナルコンピュータ）８５で構成されている。
【００５７】
ＶＴＥ８１は、ブロードバンド接続のための回線終端装置である。そして、ＶＴＥ８１は、通信管理装置１１のＶＰＮサーバ３５とＶＰＮトンネルを構築し、また、監視装置１５のＩＰ回線ユニット６３とＶＰＮトンネルを構築する。前者では、ＶＴＥ８１がＶＰＮクライアントとして機能し、後者では、ＶＴＥ８１がＶＰＮサーバとして機能する。ルータ８３は、ブロードバンド回線用のルータである。
【００５８】
ＶＴＥ８１は、利用者ＰＣ８５と接続される。ＶＴＥ８１は、監視装置１５のコントローラ６１から受信した映像、音声及び制御信号を利用者ＰＣ８５に転送する。また、ＶＴＥ８１は、利用者ＰＣ８５から受信した音声及び制御信号をコントローラ６１へ転送する。
【００５９】
本実施の形態では、利用者拠点７が、店舗のオーナーの事務所等である。したがって、利用者ＰＣ８５は、店舗のオーナーのＰＣでよい。利用者ＰＣ８５は、オーナーが監視対象５の監視映像を見るために用いられる。この機能を提供するために、利用者ＰＣ８５には、コントローラ６１と通信することによって監視対象５の監視映像を表示及び切り換えることができるアプリケーションソフトがインストールされている。
【００６０】
本実施の形態では、利用者装置１７が固定されている。しかし、利用者装置１７の機能が携帯端末等に組み込まれて、移動可能であってもよい。
【００６１】
以上に、監視システム１の全体的な構成を説明した。次に、本発明の特徴に係る構成について説明する。
【００６２】
図１を参照して説明したように、通信管理装置１１と監視装置１５の間には、センタ端末間ＶＰＮ２１が常時構築されている。通信管理装置１１と利用者装置１７の間にもセンタ端末間ＶＰＮ２１が常時構築されている。これらのセンタ端末間ＶＰＮ２１とは別に、監視装置１５と利用者装置１７の間に直接に端末間ＶＰＮ２５が構築される。
【００６３】
端末間ＶＰＮ２５を接続するときには、情報の交換が行われる。接続確立に必要な情報を、ここでは「接続確立情報」という。本実施の形態では、ＩＰアドレスと電子証明書が、接続確立情報として、監視装置１５と利用者装置１７の間で交換される。
【００６４】
接続確立情報の交換の手段として、本実施の形態は、ＳＩＰに着目している。ＳＩＰのシグナリングでは、端末間でメッセージが交換される。これらのＳＩＰメッセージに、上記のＩＰアドレス及び電子証明書が組み込まれる。これにより、ＳＩＰのシグナリング過程にて、端末間ＶＰＮ２５の構築準備のための情報交換を行う。
【００６５】
このように、本実施の形態は、ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な情報を交換し、交換した情報を使って互いを認証してＶＰＮ接続を確立する。更に、本実施の形態は、単にＳＩＰとＶＰＮを組み合わせるだけではなく、さらに以下の点にも配慮して構成されている。
【００６６】
監視装置１５は例えば定期的に、また来客等の際に、端末間ＶＰＮ２５を使って利用者装置１７に映像等を送信する。また、オーナーが利用者装置１７を操作して監視装置１５に映像を要求し、端末間ＶＰＮ２５を使って監視装置１５から映像等を取得することもある。前者では監視装置１５が接続要求元であり、後者では利用者装置１７が接続要求元である。
【００６７】
ところが、ＶＰＮ接続のためには、ＶＰＮクライアントからＶＰＮサーバにＶＰＮ接続要求を行わなければならない。そのため、ＶＰＮを単純に適用したとすると、監視装置１５から利用者装置１７に接続要求を行うために、利用者装置１７がＶＰＮサーバ機能を備える必要がある。また、利用者装置１７から監視装置１５にＶＰＮ接続要求を行うために、監視装置１５もＶＰＮサーバ機能を備える必要がある。結局、両方の端末にＶＰＮサーバ機能を設けることが必要になり、構成が複雑化してしまう。
【００６８】
本実施の形態は、上記のように監視装置１５と利用者装置１７の両方にＶＰＮサーバ機能を設ける必要をなくし、構成を簡素化する。
【００６９】
図３は、図１及び図２に示された監視システム１の一部であって、本発明の主要な部分を示している。図３において、図１及び図２で説明された要素には、同一の符号が付されている。
【００７０】
図３に示すように、通信管理装置１１は、ＶＰＮサーバ３５、ＳＩＰサーバ３７に加えて、認可情報記憶部１０１及び認可処理部１０３を備えている。認可情報記憶部１０１は、接続が認可されるべき端末（監視装置１５及び利用者装置１７）の組合せを表す接続認可情報を記憶する。そして、認可処理部１０３は、接続認可情報を参照して端末間の接続を認可するか否かを判定する。認可情報記憶部１０１及び認可処理部１０３は、図２のデータベース４３及びアカウント管理サーバ４１によってそれぞれ実現される。
【００７１】
図４は、認可情報記憶部１０１に記憶されるべき接続認可情報の例を示している。この例では、接続認可情報が、端末ＩＤの組合せを表すテーブルである。このテーブルは、各利用者（店舗のオーナー）と、監視装置ＩＤ（監視装置１５のＩＤ）と、利用者装置ＩＤ（利用者装置１７のＩＤ）とを対応づけている。監視装置ＩＤ及び利用者装置ＩＤは、監視装置１５及び利用者装置１７を特定可能な任意の情報でよい。後述の例では、監視装置ＩＤがＩＰ回線ユニット６３のＩＤであり、利用者装置ＩＤがＶＴＥ８１のＩＤである。
【００７２】
一人のオーナーが複数の店舗を有する場合がある。この場合、一つの監視装置１５が、複数の利用者装置１７と組み合わせられる。図４の例では、利用者Ｃが２つの店舗を有しており、２つの監視装置１５（Ｃ０１、Ｃ０２）が、利用者装置１７（Ｃ１１）と対応づけられている。その他、一人のオーナーが複数の利用者装置１７を使う場合等は、一つの監視装置１５が複数の利用者装置１７と対応づけられてよい。
【００７３】
図３に戻り、監視装置１５において、ＩＰ回線ユニット６３は、ＳＩＰ処理部１１１、ＶＰＮクライアント部１１３及び記憶部１１５を有する。ＳＩＰ処理部１１１は、ＳＩＰに関する処理を行う。ＶＰＮクライアント部１１３は、ＶＰＮクライアントとして機能し、端末間ＶＰＮ２５に関する処理を行う。
【００７４】
記憶部１１５は、ＩＰ回線ユニット６３で処理される各種の情報を記憶する。特に、本発明に関連して、記憶部１１５は、ＩＰ回線ユニット６３のＩＰアドレスとＩＰ回線ユニット６３の個別証明書とを記憶している。この個別証明書とは、監視装置のＩＰ回線ユニット毎に割り振られた電子証明書である。これら情報は、本発明の接続確立情報に相当し、ＶＰＮ接続のために接続相手に提供される。また、記憶部１１５は、ＩＰ回線ユニットＩＤ（ＩＰ回線ユニット６３のＩＤ）を記憶しており、このＩＰ回線ユニットＩＤは監視対象５のＩＤとして用いられる。
【００７５】
図３に示されるように、記憶部１１５は、更に、ＶＰＮ接続要求条件を記憶している。ＶＰＮ接続要求条件とは、ＶＰＮクライアント部１１３が利用者装置１７にＶＰＮ接続を要求する条件である。ＶＰＮ接続要求条件としては、下記のように、ＳＩＰを利用した接続確立情報の交換順序によって異なる２つのＶＰＮ接続要求条件が記憶されている。
【００７６】
図５は、記憶部１１５に記憶される第１及び第２のＶＰＮ接続要求条件を示している。第１及び第２のＶＰＮ接続要求条件は以下の通りである。
【００７７】
（第１のＶＰＮ接続要求条件）
第１のＶＰＮ接続要求条件は、監視装置１５が接続確立情報の交換要求元になり、利用者装置１７が交換要求先になる場合の条件である。この場合、監視装置１５が、交換要求元として、接続確立情報を含むＩＮＶＩＴＥメッセージを利用者装置１７に送信する。そして、第１のＶＰＮ接続要求条件は、「監視装置１５が、利用者装置１７から接続確立情報を含むＯＫメッセージを受信したこと」である。
【００７８】
（第２のＶＰＮ接続要求条件）
第２のＶＰＮ接続要求条件は、利用者装置１７が接続確立情報の交換要求元になり、監視装置１５が交換要求先になる場合の条件である。この場合、監視装置１５は、接続確立情報を含むＩＮＶＩＴＥメッセージを利用者装置１７から受信する。そして、第２のＶＰＮ接続要求条件は、「監視装置１５が、利用者装置１７へ接続確立情報を含むＯＫメッセージを返信し、利用者装置１７からＡＣＫメッセージを受信したこと」である。
【００７９】
図３に戻り、利用者装置１７について説明する。利用者装置１７のＶＴＥ８１は、ＳＩＰ処理部１２１、ＶＰＮサーバ部１２３及び記憶部１２５を有している。ＳＩＰ処理部１２１は、ＳＩＰに関する処理を行う。ＶＰＮサーバ部１２３は、ＶＰＮサーバとして機能し、端末間ＶＰＮ２５に関する処理を行う。記憶部１２５は、ＶＴＥ８１のＩＰアドレスとＶＴＥ８１の個別証明書とを記憶している。個別証明書はＶＴＥ毎に割り振られた電子証明書である。また、記憶部１２５は、ＶＴＥ−ＩＤ（ＶＴＥ８１のＩＤ）を記憶している。
【００８０】
次に、図６及び図７を参照し、本実施の形態の動作を説明する。ここでは、端末間ＶＰＮ２５を構築するときの動作、すなわち、監視装置１５と利用者装置１７の間のＶＰＮ接続を行う際の動作を説明する。
【００８１】
まず、図６を参照し、監視装置１５が接続確立情報の交換要求元になる場合について説明する。これは、例えば、監視装置１５が自発的に映像等の監視情報を利用者装置１７に送信する場合である。前述の例では、定期的な映像送信や、来客時の映像送信が該当する。なお、図６及び次の図７において、監視装置１５及び利用者装置１７の動作は具体的には主としてＩＰ回線ユニット６３及びＶＴＥ８１によって行われる。
【００８２】
図６に示すように、監視装置１５が、ＩＮＶＩＴＥメッセージ（詳細にはＳＩＰ ＩＮＶＩＴＥメッセージ、以下同じ）を、ＳＩＰサーバ３７に送る（Ｓ１）。ＩＮＶＩＴＥメッセージには、監視装置１５及び利用者装置１７のＩＤが付加され、また、接続確立情報として監視装置１５のＩＰアドレス及びＩＰ回線ユニット６３の個別証明書が付加される。
【００８３】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受け取ると、監視装置１５及び利用者装置１７のＩＤを認可処理部１０３に供給し、接続の可否を認可処理部１０３に問い合わせる（Ｓ３）。認可処理部１０３は、図４に示される認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かの判定を行う（Ｓ５）。監視装置１５と利用者装置１７のＩＤの組み合わせが認可情報記憶部１０１に登録されていれば、接続が認可される。
【００８４】
ＳＩＰサーバ３７は、認可処理部１０３から認可結果を受け取る（Ｓ７）。認可処理部１０３によって接続が認可されると、ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを利用者装置１７へ送信する（Ｓ９）。このＩＮＶＩＴＥメッセージは、接続確立情報として監視装置１５のＩＰアドレス及びＩＰ回線ユニット６３の個別証明書を含む。
【００８５】
利用者装置１７は、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰサーバ３７へＯＫメッセージ（詳細には、ＳＩＰ ２００ＯＫメッセージ、以下、同じ）を送る（Ｓ１１）。ＯＫメッセージには、接続確立情報として利用者装置１７のＩＰアドレスとＶＴＥ８１の個別証明書が付加される。ＯＫメッセージはＳＩＰサーバ３７を介して監視装置１５へ送信される（Ｓ１３）。
【００８６】
監視装置１５では、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、記憶部１１５のＶＰＮ接続要求条件を参照し、ＶＰＮ接続要求条件が成立したか否かを判定する。監視装置１５がＯＫメッセージを受信すると、第１のＶＰＮ接続要求条件が成立する（Ｓ１５）。そこで、ＶＰＮクライアント部１１３が、利用者装置１７のＶＰＮサーバ部１２３へとＶＰＮ接続要求を行う（Ｓ１７）。利用者装置１７は、ＶＰＮ接続要求に含まれるＶＴＥの個別証明書を、先に交換して記憶してある個別証明書と照合することで、ＶＰＮ接続可否を判定する。これにより、ＶＰＮ接続が確立し、監視情報が通信される（Ｓ１９）。
【００８７】
次に、図７を参照し、利用者装置１７が接続確立情報の交換要求元、即ち監視装置１５が接続確立情報の交換要求先になる場合について説明する。これは、例えば、オーナーの操作に従って利用者装置１７が監視装置１５に映像等の監視情報を要求する場合である。
【００８８】
利用者装置１７が、ＩＮＶＩＴＥメッセージを、ＳＩＰサーバ３７に送る（Ｓ３１）。ＩＮＶＩＴＥメッセージには、利用者装置１７及び監視装置１５のＩＤが付加され、また、接続確立情報として利用者装置１７のＩＰアドレス及びＶＴＥ８１の個別証明書が付加される。
【００８９】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受け取ると、利用者装置１７及び監視装置１５のＩＤを認可処理部１０３に供給し、接続の可否を認可処理部１０３に問い合わせる（Ｓ３３）。認可処理部１０３は、図４に示される認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かの判定を行う（Ｓ３５）。利用者装置１７と監視装置１５のＩＤの組み合わせが認可情報記憶部１０１に登録されていれば、接続が認可される。
【００９０】
ＳＩＰサーバ３７は、認可処理部１０３から認可結果を受け取る（Ｓ３７）。ＳＩＰサーバ３７は、認可処理部１０３によって接続が認可されると、ＩＮＶＩＴＥメッセージを監視装置１５へ送信する（Ｓ３９）。このＩＮＶＩＴＥメッセージは、接続確立情報として利用者装置１７のＩＰアドレス及びＶＴＥ８１の個別証明書を含む。
【００９１】
監視装置１５は、ＩＮＶＩＴＥメッセージを受信すると、接続確立情報として監視装置１５のＩＰアドレスとＩＰ回線ユニット６３の個別証明書を含んだＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ４１）。ＯＫメッセージはＳＩＰサーバ３７を介して利用者装置１７へ送信される（Ｓ４３）。
【００９２】
利用者装置１７は、ＯＫメッセージを受信すると、ＡＣＫメッセージをＳＩＰサーバ３７に送信する（Ｓ４５）。ＡＣＫメッセージは、ＳＩＰサーバ３７から監視装置１５へ送信される（Ｓ４７）。監視装置１５では、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、記憶部１１５のＶＰＮ接続要求条件を参照し、ＶＰＮ接続要求条件が成立したか否かを判定する。監視装置１５がＡＣＫメッセージを受信すると、第２のＶＰＮ接続要求条件が成立する（Ｓ４９）。そこで、ＶＰＮクライアント部１１３が、利用者装置１７のＶＰＮサーバ部１２３へとＶＰＮ接続要求を行う（Ｓ５１）。このＶＰＮ接続要求には、ＩＰ回線ユニット６３の個別証明書が含まれ、先に交換した証明書との照合が行われる。これにより、ＶＰＮ接続が確立し、監視情報が通信される（Ｓ５３）。
【００９３】
以上のように、本実施の形態では、監視装置１５と利用者装置１７のどちらが接続確立情報の交換要求元になるかによって、すなわち、接続確立情報の交換順序によって、ＶＰＮ接続要求のトリガーになる条件が異なって設定されている。これにより、いずれの場合にも、ＶＰＮ接続要求が監視装置１５から利用者装置１７に対して行われる。したがって、ＶＰＮサーバ機能が利用者装置１７に備えられればよく、監視装置１５はＶＰＮサーバ機能を有しなくてよい。
【００９４】
なお、図６では省略されているが、監視装置１５もＳＩＰのＯＫメッセージを受信すると、ＡＣＫメッセージを返す。ただし、図６の場合には、ＡＣＫメッセージと直接関係なく、ＯＫメッセージの受信によってＶＰＮ接続要求条件が成立する。
【００９５】
図８は、上記の図６及び図７の処理における監視装置１５のＩＰ回線ユニット６３の動作を示すフローチャートである。
【００９６】
ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを利用者装置１７のＶＴＥ８１に送信したか否かを判定する（Ｓ７１）。ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを送信していない場合、逆にＶＴＥ８１からＩＮＶＩＴＥメッセージを受信したか否かを判定する（Ｓ７３）。
【００９７】
ステップＳ７１がＹｅｓの場合、ＩＰ回線ユニット６３は、ＶＴＥ８１からＯＫメッセージを受信したか否かを判定する（Ｓ７５）。ＶＴＥ８１からＯＫメッセージを受信すると、第１のＶＰＮ接続要求条件が成立する（Ｓ７７）。そこで、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、ＶＴＥ８１のＶＰＮサーバ部１２３に対してＶＰＮ接続要求を行う（Ｓ８５）。
【００９８】
一方、ステップＳ７３がＹｅｓの場合、ＩＰ回線ユニット６３は、ＯＫメッセージをＶＴＥ８１に送信し（Ｓ７９）、ＶＴＥ８１からＡＣＫメッセージを受信したか否かを判定する（Ｓ８１）。ＶＴＥ８１からＡＣＫメッセージを受信すると、第２のＶＰＮ接続要求条件が成立する（Ｓ８３）。そこで、ＩＰ回線ユニット６３のＶＰＮクライアント部１１３が、ＶＴＥ８１のＶＰＮサーバ部１２３に対してＶＰＮ接続要求を行う（Ｓ８５）。
【００９９】
次に、図９及び図１０を参照し、監視システム１の動作の詳細を説明する。図９及び図１０は、それぞれ、図６及び図７の動作の詳細を示している。
【０１００】
図９のタイムチャートにおいて、コントローラ６１及びＩＰ回線ユニット６３が監視装置１５の構成であり、ＳＩＰサーバ３７及び認可情報記憶部１０１（アカウント管理サーバ４１）が通信管理装置１１の構成であり、ＶＴＥ８１及び利用者ＰＣ８５が利用者装置１７の構成である。
【０１０１】
コントローラ６１は、ＶＴＥ−ＩＤ（ＶＴＥ８１のＩＤ）を含む接続指示（Ｐ２Ｐ接続指示）をＩＰ回線ユニット６３に送る（Ｓ１０１）。ここでは、ＶＴＥ−ＩＤが、接続先端末ＩＤとして用いられている。
【０１０２】
ＩＰ回線ユニット６３は、記憶部１１５からＩＰ回線ユニットＩＰアドレス（ＩＰ回線ユニット６３のＩＰアドレス）及びＩＰ回線ユニット個別証明書（ＩＰ回線ユニット６３に割り振られた電子証明書）を読み出す。また、ＩＰ回線ユニット６３は、記憶部１１５から、接続元端末ＩＤとしてのＩＰ回線ユニットＩＤ（ＩＰ回線ユニット６３のＩＤ）を読み出す。そして、ＩＰ回線ユニット６３は、これら情報をＩＮＶＩＴＥメッセージに付加し、ＩＮＶＩＴＥメッセージをＳＩＰサーバ３７に送る（Ｓ１０３）。具体的には、ＩＮＶＩＴＥメッセージは、ＩＰ回線ユニットＩＰアドレス、ＩＰ回線ユニットＩＤ、ＶＴＥ−ＩＤ及びＩＰ回線ユニット個別証明書を含む。
【０１０３】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受信し、ＩＰ回線ユニットＩＤ及びＶＴＥ−ＩＤを認可処理部１０３に伝え、接続を認可するか否かを問い合わせる（Ｓ１０５）。認可処理部１０３は、認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かを判定する（Ｓ１０７）。ここでは、図４のテーブルが読み出される。そして、認可処理部１０３は、問合せの端末ＩＤの組合せがテーブルに登録されているか否かを判定する。該当する組合せが登録されていれば、認可処理部１０３は接続を認可する。認可結果は、認可処理部１０３からＳＩＰサーバ３７へ伝えられる（Ｓ１０９）。ＳＩＰサーバ３７は、認可処理部１０３が接続を認可した場合に、ＩＮＶＩＴＥメッセージをＶＴＥ８１へ送信する（Ｓ１１１）。このＩＮＶＩＴＥメッセージには、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書が付加される。
【０１０４】
上記の処理において、ステップＳ１０７で接続が認可されなければ、ＳＩＰサーバ３７はＩＮＶＩＴＥメッセージをＶＴＥ８１へ送らない。したがって、その後のＳＩＰの処理は行われず、さらにその後のＶＰＮ接続も行われない。
【０１０５】
ＶＴＥ８１は、ＩＮＶＩＴＥメッセージを受信すると、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１２５に保持し、利用者ＰＣ８５に接続要求（Ｐ２Ｐ接続要求）の問い合わせを行う（Ｓ１１３）。この接続要求には、ＩＰ回線ユニットＩＰアドレスが付加される。そして、利用者ＰＣ８５がＶＴＥ８１に接続応答を送る（Ｓ１１５）。
【０１０６】
ＶＴＥ８１は、ＶＴＥ−ＩＰアドレス（ＶＴＥ８１のＩＰアドレス）及びＶＴＥ個別証明書（ＶＴＥ８１に割り振られた電子証明書）を記憶部１２５から読み出す。そして、ＶＴＥ８１は、ＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ１１７）。このＯＫメッセージには、ＶＴＥ−ＩＰアドレス、ＶＴＥ個別証明書が付加される。
【０１０７】
ＳＩＰサーバ３７は、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書と共にＯＫメッセージをＩＰ回線ユニット６３に送信する（Ｓ１１９）。ＩＰ回線ユニット６３は、ＯＫメッセージを受信すると、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を記憶部１１５に保持して、ＡＣＫメッセージをＳＩＰサーバ３７に送り（Ｓ１２１）、更にＳＩＰサーバ３７がＡＣＫメッセージをＶＴＥ８１へ送る（Ｓ１２３）。
【０１０８】
上記の過程で、ＩＰ回線ユニット６３は、ＶＴＥ８１のＩＰアドレス及びＶＴＥ個別証明書を取得している。また、ＶＴＥ８１は、ＩＰ回線ユニット６３のＩＰアドレス及びＩＰ回線ユニット個別証明書を取得している。そして、ＩＰ回線ユニット６３では、ＯＫメッセージの受信により（Ｓ１１９）、図５に示される第１のＶＰＮ接続要求条件が成立する。
【０１０９】
そこで、図示のように、ＩＰ回線ユニット６３が、ＶＴＥ８１へＶＰＮ接続要求を行う（Ｓ１２５）。ここでは、ＳＩＰサーバ３７を介さずに、直接にＶＰＮ接続が要求される。ＶＴＥ８１は、相手先のＩＰ回線ユニットＩＰアドレスを含む着信情報を利用者ＰＣ８５に送る（Ｓ１２７）。ＩＰ回線ユニットＩＰアドレスは、利用者ＰＣ８５にてＶＰＮ通信のために使用される。また、ＶＴＥ８１は、ＶＰＮサーバとして、ＶＰＮ接続の処理を行ったことをＩＰ回線ユニット６３に通知する（Ｓ１２９）。ＩＰ回線ユニット６３は、接続結果がＯＫであることをコントローラ６１に通知し、また相手先のＶＴＥ−ＩＰアドレスをコントローラ６１に通知する（Ｓ１３１）。ＶＴＥ−ＩＰアドレスは、コントローラ６１にてＶＰＮ通信のために使用される。こうして、ＶＰＮ接続が確立され、端末間ＶＰＮ２５を介して情報が通信される。監視映像及び音声等が、監視装置１５から利用者装置１７へと提供される。
【０１１０】
次に、図１０を参照し、利用者装置１７が接続元である場合について説明する。利用者（オーナー）が例えば映像表示の指示を利用者ＰＣ８５に入力したとする。利用者ＰＣ８５は、ＩＰ回線ユニットＩＤを含む接続指示（Ｐ２Ｐ接続指示）をＶＴＥ８１に送る（Ｓ２０１）。ここでは、ＩＰ回線ユニットＩＤが、接続先端末のＩＤとして用いられている。
【０１１１】
ＶＴＥ８１は、記憶部１２５からＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を読み出す。また、ＶＴＥ８１は、記憶部１２５から、接続元端末ＩＤとしてのＶＴＥ−ＩＤを読み出す。そして、ＶＴＥ８１は、これら情報をＩＮＶＩＴＥメッセージに付加し、ＩＮＶＩＴＥメッセージをＳＩＰサーバ３７に送る（Ｓ２０３）。具体的には、ＩＮＶＩＴＥメッセージは、ＶＴＥ−ＩＰアドレス、ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤ及びＶＴＥ個別証明書を含む。
【０１１２】
ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージを受信して、ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤを認可処理部１０３に伝え、接続を認可するか否かを問い合わせる（Ｓ２０５）。認可処理部１０３は、前述と同様にして認可情報記憶部１０１の接続認可情報を参照し、接続を認可するか否かを判定し（Ｓ２０７）、認可結果をＳＩＰサーバ３７へ送る（Ｓ２０９）。ＶＴＥ−ＩＤ、ＩＰ回線ユニットＩＤの組合せが登録されていれば、接続が認可される。認可処理部１０３が接続を認可した場合に、ＳＩＰサーバ３７は、ＩＮＶＩＴＥメッセージをＩＰ回線ユニット６３へ送信する（Ｓ２１１）。このＩＮＶＩＴＥメッセージには、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書が付加される。
【０１１３】
上記の処理において、ステップＳ２０７で接続が認可されなければ、ＳＩＰサーバ３７はＩＮＶＩＴＥメッセージをＩＰ回線ユニット６３へ送らない。したがって、その後のＳＩＰの処理は行われず、さらにその後のＶＰＮ接続も行われない。
【０１１４】
ＩＰ回線ユニット６３は、ＩＮＶＩＴＥメッセージを受信すると、ＶＴＥ−ＩＰアドレス及びＶＴＥ個別証明書を記憶部１１５に保持する。また、ＩＰ回線ユニット６３は、コントローラ６１に接続要求（Ｐ２Ｐ接続要求）の問い合わせを行う（Ｓ２１３）。この接続要求には、ＶＴＥ−ＩＰアドレスが付加される。そして、コントローラ６１がＩＰ回線ユニット６３に接続応答を送る（Ｓ２１５）。
【０１１５】
ＩＰ回線ユニット６３は、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１１５から読み出す。そして。ＩＰ回線ユニット６３は、ＯＫメッセージをＳＩＰサーバ３７に送信する（Ｓ２１７）。このＯＫメッセージには、ＩＰ回線ユニットＩＰアドレス、ＩＰ回線ユニット個別証明書が付加される。
【０１１６】
ＳＩＰサーバ３７は、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書と共にＯＫメッセージをＶＴＥ８１に送信する（Ｓ２１９）。ＶＴＥ８１は、ＯＫメッセージを受信すると、ＩＰ回線ユニットＩＰアドレス及びＩＰ回線ユニット個別証明書を記憶部１２５に保持して、ＡＣＫメッセージをＳＩＰサーバ３７へ返信し（Ｓ２２１）、また、利用者ＰＣ８５にＳＩＰ接続の確立を通知する（Ｓ２２３）。ＳＩＰサーバ３７は、ＡＣＫメッセージをＩＰ回線ユニット６３に送信する（Ｓ２２５）。
【０１１７】
上記の過程で、ＩＰ回線ユニット６３とＶＴＥ８１の間で、ＩＰアドレス及び各々の個別証明書が交換されている。ＩＰ回線ユニット６３では、ＡＣＫメッセージの受信により（Ｓ２２５）、図５に示される第２のＶＰＮ接続要求条件が成立する。
【０１１８】
そこで、図示のように、ＩＰ回線ユニット６３が、ＶＴＥ８１へＶＰＮ接続要求を行う（Ｓ２２７）。ＶＰＮ接続は、ＳＩＰサーバ３７を介さずに行われる。ＶＴＥ８１は、相手先のＶＴＥ−ＩＰアドレスを含む着信情報を利用者ＰＣ８５に送る（Ｓ２２９）。また、ＶＴＥ８１は、ＶＰＮサーバとして、ＶＰＮ接続の処理を行ったことをＩＰ回線ユニット６３に通知する（Ｓ２３１）。ＩＰ回線ユニット６３は、相手先のＶＴＥ−ＩＰアドレスを含む着信情報をコントローラ６１に送る（Ｓ２３３）。こうして、ＶＰＮ接続が確立され、端末間ＶＰＮ２５を介して情報が通信される。
【０１１９】
図９、図１０に示されるように、両図の処理で、ＶＰＮ接続要求が、ＩＰ回線ユニット６３からＶＴＥ８１へ送られている。したがって、ＶＴＥ８１にＶＰＮサーバ機能を備え、ＩＰ回線ユニット６３にＶＰＮサーバ機能を備えない図３の構成によっても、図９と図１０の両方の状況で、ＶＰＮ接続を好適に確立できる。
【０１２０】
以上に本発明の好適な実施の形態について説明した。本実施の形態では、利用者装置１７及び監視装置１５が、それぞれ本発明の第１の端末及び第２の端末に相当する。そして、ＶＴＥ８１の記憶部１２５及びＩＰ回線ユニット６３の記憶部１１５が、本発明の第１記憶部及び第２記憶部に相当する。さらに、ＶＴＥ８１のＩＰアドレス及び電子証明書が、サーバ側の接続確立情報に相当し、ＩＰ回線ユニット６３のＩＰアドレス及び電子証明書が、クライアント側の接続確立情報に相当し、ＳＩＰのＡＣＫメッセージが本発明の受領確認に相当する。
【０１２１】
本実施の形態によれば、上記のように、第１の端末（利用者装置１７）にＶＰＮサーバ機能が備えられ、第２の端末（監視装置１５）にＶＰＮクライアント機能が備えられる。接続確立情報の交換順序に関連して、２つのＶＰＮ接続要求条件が第２の端末に記憶されており、どちらかのＶＰＮ接続要求条件が成立すると、第２の端末が第１の端末にＶＰＮ接続要求を行う。これにより、どちらの端末が接続確立情報の要求元になったときも、すなわち、どちらの端末が接続を希望したときも、第２の端末が第１の端末がＶＰＮ接続要求を行う。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【０１２２】
また、本実施の形態では、ＶＰＮ接続のための接続確立情報の交換手段として、ＳＩＰが用いられる。ＳＩＰとＶＰＮを上手く組み合わせ、ＳＩＰでＶＰＮ接続に必要な接続確立情報を交換し、交換した情報を使ってＶＰＮ接続を確立する。さらに、本発明は、単にＳＩＰとＶＰＮを組み合わせるだけでなく、上述のように第１及び第２のＶＰＮ接続要求条件を設定している。これにより、第１及び第２の端末のどちらがＳＩＰの招待メッセージを発した場合でも、ＶＰＮ接続要求は、第２の端末から第１の端末に対して行われる。したがって、両方の端末にＶＰＮサーバ機能を設ける必要が無くなり、構成が簡素化する。
【０１２３】
また、接続確立情報としてＩＰアドレスと電子証明書を例に説明したが、電子証明書の代わりに他の情報を用いて相手方の認証を行うようにしても良い。例えば電子証明書に含まれるコモンネームなどを接続確立情報として用いても良い。
【０１２４】
また、本実施の形態では、接続が認可されるべき端末の組合せの情報を予め記憶しておき、ＳＩＰのシグナリングの際に端末間の接続の認可を行う。これにより、端末とＳＩＰサーバ間の単なる認証ではなく、ＳＩＰサーバを介した端末間つまりＰ２Ｐについての認可を行うことができ、監視情報の利用者を好適に制限できる。こうして、監視システムにＳＩＰを適用する場合のセキュリティ性を向上できる。
【０１２５】
また、本実施の形態では、第１の端末が、監視サービスを利用する利用者装置であり、第２の端末が監視対象に設置される監視装置であった。そして、監視装置が所定の設定に従って監視情報を利用者装置に送信するとき、監視装置が利用者装置にＶＰＮ接続要求を行った。また、利用者装置が監視装置に監視情報の送信を要求するときも、監視装置が利用者装置にＶＰＮ接続要求を行った。したがって、監視装置と利用者装置をＶＰＮで接続する場合に、利用者装置にのみＶＰＮサーバ機能を設ければよく、構成を簡素化できる。
【０１２６】
簡単な計算としては、多数の監視装置と同数の利用者装置が監視システムに配置されたとすると、ＶＰＮサーバ機能が半数の端末装置に備えられればよく、大幅に構成を簡素化できる。
【０１２７】
なお、本発明の範囲内で、利用者装置にＶＰＮクライアント部が設けられ、監視装置にＶＰＮサーバ部が設けられてよい。この場合も同様にＶＰＮサーバの数を低減し、構成を簡素化できる。
【０１２８】
なお、上記実施の形態では、監視装置が所定のタイミング（ＯＫメッセージ受信、ＡＣＫメッセージ受信）で記憶部のＶＰＮ接続要求条件を参照し、条件の成立を判定する旨を説明したが、各ＶＰＮ接続要求条件に基づいてＶＰＮ接続要求を実行する２つのプログラムとして実現してもよい。この場合、監視装置は接続確立情報の交換要求元となるときは第１のＶＰＮ接続要求条件を含むプログラムを実行し、交換要求を受けたときは第２のＶＰＮ接続要求条件を含むプログラムを実行する。このような構成も、ＶＰＮ接続要求条件がプログラムの一部として記憶されており、本発明の範囲に含まれる。
【０１２９】
以上に本発明の好適な実施の形態を説明した。しかし、本発明は上述の実施の形態に限定されず、当業者が本発明の範囲内で上述の実施の形態を変形可能なことはもちろんである。
【産業上の利用可能性】
【０１３０】
以上のように、本発明にかかる監視システムは、通信を使って遠隔地から店舗等を監視するために有用である。
【符号の説明】
【０１３１】
１ 監視システム
３ 監視センタ
５ 監視対象
７ 利用者拠点
１１ 通信管理装置
１３ センタ装置
１５ 監視装置
１７ 利用者装置
２１ センタ端末間ＶＰＮ
２３ ＳＩＰ通信
２５ 端末間ＶＰＮ
３３ ＨＴＴＰサーバ
３５ ＶＰＮサーバ
３７ ＳＩＰサーバ
４１ アカウント管理サーバ
４３ データベース
６１ コントローラ
６３ ＩＰ回線ユニット
６５、８３ ルータ
６９ マルチ回線アダプタ
７３ 監視カメラ
８１ ＶＰＮ終端装置（ＶＴＥ）
８５ 利用者ＰＣ
１０１ 認可情報記憶部
１０３ 認可処理部
１１３ ＶＰＮクライアント部
１２３ ＶＰＮサーバ部
【特許請求の範囲】
【請求項１】
ＶＰＮにより接続される第１及び第２の端末を有し、前記第１及び第２の端末の間で監視情報を通信する監視システムであって、
前記第１の端末は、
ＶＰＮのサーバ機能を実現するＶＰＮサーバ部と、
ＶＰＮ接続を確立するために前記第２の端末に送信されるべきサーバ側の接続確立情報を保持する第１記憶部とを有し、
前記第２の端末は、
ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、
ＶＰＮ接続を確立するために前記第１の端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ部へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する第２記憶部とを有し、
前記第２記憶部は、前記ＶＰＮ接続要求条件として、
前記第２の端末が交換要求元として前記第１の端末に前記クライアント側の接続確立情報を送信したときに、前記第１の端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、
前記第２の端末が交換要求先として前記第１の端末から前記サーバ側の接続確立情報を受信したときに、前記第１の端末へ前記クライアント側の接続確立情報を返信し、さらに前記第１の端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、
前記第２の端末の前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記第１の端末の前記ＶＰＮサーバ部にＶＰＮ接続要求を行うことを特徴とする監視システム。
【請求項２】
前記第１及び第２の端末はＳＩＰメッセージを交換し、
前記第２の端末が前記クライアント側の接続確立情報を含む招待メッセージを前記第１の端末に送信したときは、前記第１の端末から前記サーバ側の接続確立情報を含むＯＫメッセージを受信したことをもって前記第１のＶＰＮ接続要求条件が成立し、
前記第２の端末が前記サーバ側の接続確立情報を含む招待メッセージを前記第１の端末から受信したときは、前記第１の端末へ前記クライアント側の接続確立情報を含むＯＫメッセージを返信して前記第１の端末からＡＣＫメッセージを受信したこともって前記第２のＶＰＮ接続要求条件が成立することを特徴とする請求項１に記載の監視システム。
【請求項３】
前記第１及び第２の端末と接続される通信管理装置を含み、前記第１及び第２の端末は、前記通信管理装置を介して前記ＳＩＰメッセージを交換し、
前記通信管理装置は、
ＳＩＰサーバと、
接続が認可されるべき接続元及び接続先の端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、
前記接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有し、
前記第１又は前記第２の端末から招待メッセージが受信されたとき、前記ＳＩＰサーバは、前記招待メッセージに含まれる前記接続先の端末の識別情報を前記認可処理部に供給し、前記認可処理部が前記接続元及び接続先の端末の接続を認可した場合に、前記ＳＩＰサーバが前記接続元の端末からの招待メッセージを前記接続先の端末へ供給することを特徴とする請求項２に記載の監視システム。
【請求項４】
前記第１の端末が、監視サービスを利用する利用者装置であり、前記第２の端末が監視対象に設置される監視装置であり、
前記監視装置から所定の設定に従い前記利用者装置に監視情報を送信するときには、前記監視装置が、前記交換要求元となって、前記第１のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行い、
前記利用者装置が前記監視装置に前記監視情報の送信を要求するときには、前記監視装置が、前記交換要求先となって、前記第２のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行うことを特徴とする請求項１〜３のいずれかに記載の監視システム。
【請求項５】
監視情報を通信する複数の端末装置を含む監視システムに設けられ、前記監視システムを構成しＶＰＮサーバ機能を備えたＶＰＮサーバ端末と通信する、監視システム用の端末装置であって、
ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、
ＶＰＮ接続を確立するために前記ＶＰＮサーバ端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ端末へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する記憶部とを有し、
前記記憶部は、前記ＶＰＮ接続要求条件として、
前記接続確立情報の交換要求元として前記ＶＰＮサーバ端末に前記クライアント側の接続確立情報を送信したときに、前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、
前記接続確立情報の交換要求先として前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したときに、前記ＶＰＮサーバ端末へ前記クライアント側の接続確立情報を返信し、さらに前記ＶＰＮサーバ端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、
前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記ＶＰＮサーバ端末にＶＰＮ接続要求を行うことを特徴とする監視システム用の端末装置。
【請求項１】
ＶＰＮにより接続される第１及び第２の端末を有し、前記第１及び第２の端末の間で監視情報を通信する監視システムであって、
前記第１の端末は、
ＶＰＮのサーバ機能を実現するＶＰＮサーバ部と、
ＶＰＮ接続を確立するために前記第２の端末に送信されるべきサーバ側の接続確立情報を保持する第１記憶部とを有し、
前記第２の端末は、
ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、
ＶＰＮ接続を確立するために前記第１の端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ部へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する第２記憶部とを有し、
前記第２記憶部は、前記ＶＰＮ接続要求条件として、
前記第２の端末が交換要求元として前記第１の端末に前記クライアント側の接続確立情報を送信したときに、前記第１の端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、
前記第２の端末が交換要求先として前記第１の端末から前記サーバ側の接続確立情報を受信したときに、前記第１の端末へ前記クライアント側の接続確立情報を返信し、さらに前記第１の端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、
前記第２の端末の前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記第１の端末の前記ＶＰＮサーバ部にＶＰＮ接続要求を行うことを特徴とする監視システム。
【請求項２】
前記第１及び第２の端末はＳＩＰメッセージを交換し、
前記第２の端末が前記クライアント側の接続確立情報を含む招待メッセージを前記第１の端末に送信したときは、前記第１の端末から前記サーバ側の接続確立情報を含むＯＫメッセージを受信したことをもって前記第１のＶＰＮ接続要求条件が成立し、
前記第２の端末が前記サーバ側の接続確立情報を含む招待メッセージを前記第１の端末から受信したときは、前記第１の端末へ前記クライアント側の接続確立情報を含むＯＫメッセージを返信して前記第１の端末からＡＣＫメッセージを受信したこともって前記第２のＶＰＮ接続要求条件が成立することを特徴とする請求項１に記載の監視システム。
【請求項３】
前記第１及び第２の端末と接続される通信管理装置を含み、前記第１及び第２の端末は、前記通信管理装置を介して前記ＳＩＰメッセージを交換し、
前記通信管理装置は、
ＳＩＰサーバと、
接続が認可されるべき接続元及び接続先の端末の組合せを表す接続認可情報を記憶した認可情報記憶部と、
前記接続認可情報を参照して端末間の接続を認可するか否かを判定する認可処理部とを有し、
前記第１又は前記第２の端末から招待メッセージが受信されたとき、前記ＳＩＰサーバは、前記招待メッセージに含まれる前記接続先の端末の識別情報を前記認可処理部に供給し、前記認可処理部が前記接続元及び接続先の端末の接続を認可した場合に、前記ＳＩＰサーバが前記接続元の端末からの招待メッセージを前記接続先の端末へ供給することを特徴とする請求項２に記載の監視システム。
【請求項４】
前記第１の端末が、監視サービスを利用する利用者装置であり、前記第２の端末が監視対象に設置される監視装置であり、
前記監視装置から所定の設定に従い前記利用者装置に監視情報を送信するときには、前記監視装置が、前記交換要求元となって、前記第１のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行い、
前記利用者装置が前記監視装置に前記監視情報の送信を要求するときには、前記監視装置が、前記交換要求先となって、前記第２のＶＰＮ接続要求条件の成立により前記利用者装置にＶＰＮ接続要求を行うことを特徴とする請求項１〜３のいずれかに記載の監視システム。
【請求項５】
監視情報を通信する複数の端末装置を含む監視システムに設けられ、前記監視システムを構成しＶＰＮサーバ機能を備えたＶＰＮサーバ端末と通信する、監視システム用の端末装置であって、
ＶＰＮのクライアント機能を実現するＶＰＮクライアント部と、
ＶＰＮ接続を確立するために前記ＶＰＮサーバ端末に送信されるべきクライアント側の接続確立情報を保持するとともに、前記ＶＰＮクライアント部から前記ＶＰＮサーバ端末へＶＰＮ接続を要求する条件であるＶＰＮ接続要求条件を記憶する記憶部とを有し、
前記記憶部は、前記ＶＰＮ接続要求条件として、
前記接続確立情報の交換要求元として前記ＶＰＮサーバ端末に前記クライアント側の接続確立情報を送信したときに、前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したことをもって成立する第１のＶＰＮ接続要求条件と、
前記接続確立情報の交換要求先として前記ＶＰＮサーバ端末から前記サーバ側の接続確立情報を受信したときに、前記ＶＰＮサーバ端末へ前記クライアント側の接続確立情報を返信し、さらに前記ＶＰＮサーバ端末から受領確認を受信したことをもって成立する第２のＶＰＮ接続要求条件とを記憶し、
前記ＶＰＮクライアント部は、前記第１又は第２のＶＰＮ接続要求条件が成立したときに前記ＶＰＮサーバ端末にＶＰＮ接続要求を行うことを特徴とする監視システム用の端末装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１０−２３３１６９（Ｐ２０１０−２３３１６９Ａ）
【公開日】平成２２年１０月１４日（２０１０．１０．１４）
【国際特許分類】
【出願番号】特願２００９−８１３１５（Ｐ２００９−８１３１５）
【出願日】平成２１年３月３０日（２００９．３．３０）
【出願人】（０００１０８０８５）セコム株式会社 (596)
【Ｆターム（参考）】
【公開日】平成２２年１０月１４日（２０１０．１０．１４）
【国際特許分類】
【出願日】平成２１年３月３０日（２００９．３．３０）
【出願人】（０００１０８０８５）セコム株式会社 (596)
【Ｆターム（参考）】
[ Back to top ]