(57)【要約】【課題】  部品に事前に複数の認証鍵を書き込んで部品間で認証する方式を採用した場合、製造時期が異なる部品同士を組み合わせても機器認証は可能となるが、特定の認証鍵の漏洩が発生していた場合、その鍵で認証が成功すると、その鍵を悪用して部品へ不正アクセスが可能となる。また、運用開始時に物理乱数生成器を搭載できない安価な携帯端末で運用鍵を生成して設定すると、携帯端末の盗難時、鍵生成アルゴリズムが漏洩し、それを入手した不正者による運用鍵の予測が可能となる。【解決手段】  製造鍵の有効無効判定フラグを製造鍵とセットで管理し、製造鍵が漏洩した時はそのフラグを無効にセットする。機器間認証は、有効な製造鍵のみで実施する。また、運用鍵書き込み時、鍵管理システムで乱数を生成し、携帯端末へ送信し、携帯端末はその乱数と機器IDから運用鍵を生成して機器へ設定し、設定時に製造鍵を無効化する。【選択図】図1
2015144329.tif 000002
【特許請求の範囲】
【請求項１】
製造装置の鍵を生成及び管理する鍵管理システムと、装置を製造する装置製造システムと、複数の装置を組み立てて計量装置を製造する組み立てシステムと、計量装置に運用情報を設定する携帯端末とを含む計量装置認証システムにおいて、
前記鍵管理システムは、
装置製造時に利用する製造鍵を一定期間毎に生成し、製造鍵の製造装置に送付する鍵送付部と、
製造鍵の有効性を記憶する製造鍵有効性記憶部と、
前記組み立てシステムから装置間の相互認証の結果を受信し、その時に利用した鍵の有効性を応答する鍵有効性判定部、
乱数を生成し、携帯端末へ送付する乱数生成部と、
携帯端末で生成した運用鍵の情報と、完成品の情報とを携帯端末から受信し、記憶する完成品記憶部とを備え、
前記装置製造システムは、
前記鍵管理システムから送付された製造鍵を記憶する製造鍵記憶部と、
装置製造時に有効な鍵を装置へ書き込む鍵書き込み部と、
前記組み立てシステムは、
複数の製造装置から受け取った装置を組み合わせて、装置間で製造鍵を用いて認証する認証部と、
前記認証が成功した場合に、計量装置を製造する計量装置製造部と、を備える
ことを特徴とする計量装置認証システム。
【請求項２】
製造装置の鍵を生成及び管理する鍵管理システムと、装置を製造する装置製造システムと、装置を組み立てて計量装置を製造する組み立てシステムと、計量装置に運用情報を設定する携帯端末とを含む計量装置認証システムにおいて、
前記鍵管理システムは、
装置製造時に利用する製造鍵と、装置毎に格納する運用鍵を一定期間毎に生成し、製造鍵で運用鍵を暗号化して製造装置に送付する鍵送付部と、
製造鍵の有効性を記録する製造鍵有効性記憶部と、
前記組み立てシステムから装置間の相互認証の結果を受信し、その時に利用した鍵の有効性を応答する鍵有効性判定部と、
前記携帯端末に製造鍵を送信し、前記携帯端末で得られた認証結果と、計量装置の情報とを携帯端末から受信し、記憶する完成品記憶部と、を備え、
前記装置製造システムは、
前記鍵管理システムから発行された製造鍵で暗号化された運用鍵を記憶する製造鍵記憶部と、
装置製造時に有効な鍵を装置へ書き込む鍵書き込み部と、
前記組み立てシステムは、
複数の製造装置から受け取った装置を組み合わせて、装置間で製造鍵を用いて認証する認証部と、
前記認証が成功した場合に、計量装置を製造する計量装置製造部と、を備える
ことを特徴とする計量装置認証システム。
【請求項３】
請求項1に記載の計量装置認証システムにおいて、
前記装置が他の装置との相互認証を実施する際、
前記装置は、
複数の認証鍵を用いて認証し、最も製造日付が新しい認証鍵を用いて認証を試み、認証を失敗した場合、次に新しい鍵を用いて認証する
ことを特徴とする計量装置認証システム。
【請求項４】
請求項3に記載の計量装置認証システムにおいて、
前記鍵管理システムは、
前記製造鍵に有効無効情報が付与する有効無効情報付与部を更に備え、
前記組み立てシステムは、
前記製造鍵に付与された前記有効無効情報が有効な場合に認証を行う
ことを特徴とする計量装置認証システム。
【請求項５】
請求項1に記載の計量装置認証システムにおいて、
装置が他の装置との相互認証を実施する際、
前記装置は、複数の認証鍵を用いて認証し、相互認証に用いる製造鍵IDを他の装置に送信し、前記他の装置は製造鍵IDに対応する鍵を用いて認証を実施する
ことを特徴とする計量装置認証システム。
【請求項６】
請求項1に記載の計量装置認証システムにおいて、
前記鍵運用システムは、
前記運用鍵を前記携帯端末から前記運用鍵が設定された場合、生成した製造鍵を全て消去し、設定完了と製造鍵無効化完了を携帯端末へ通知する
ことを特徴とする計量装置認証システム。
【請求項７】
請求項2に記載の計量装置認証システムにおいて、
前記鍵管理システムは、
複数の装置内で運用鍵の復号が完了した場合、生成された製造鍵を消去する
ことを特徴とする計量装置認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電気、ガス、水道等の供給状態の計量及び制御を実施するシステムにおける計量装置を製造する際に複数の装置を認証する計量装置認証システムに関する。
【背景技術】
【０００２】
外部機器と認証を行う機能を持つ情報処理装置の製造では、製造時にセキュリティ情報を書き込むと、製造中及び輸送の過程で多数の人間がかかわるため、セキュリティ情報が漏洩するリスクがある。そこで、一般的には製造が完了し運用を開始する時点で運用会社が運用セキュリティ情報を設定する。その方法として例えば、特許文献２に記載の技術がある。この公報では、加入者端末がサーバと認証を行うシステムにおいて、保守運用クライアントを用い、加入者端末に割り振られたIDに基づいて、保守運用クライアント上で、乱数を演算して認証鍵を生成し加入者端末に書き込むとともに、生成した認証鍵を保守運用サーバへ書き込むシステムが記載されている。
【０００３】
また、特許文献１に記載の技術では、鍵を使用して他の通信装置との間で認証処理を行う通信装置であって、複数の鍵を記憶装置に記憶し、当該複数の鍵のいずれかを認証処理に使用する鍵として設定する鍵管理部と、鍵管理部が設定した鍵を使用して他の通信装置との間で認証処理を行う認証処理部とを備え、鍵管理部は、認証処理に使用する鍵を記憶装置に記憶した別の鍵で更新する設定をした後、認証処理部が当該更新後の鍵を使用して行った認証処理が失敗した場合、当該更新前の鍵を認証処理に使用する鍵に戻す設定をする技術が記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第5219615号
【特許文献２】特開2002-345041号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、特許文献１に記載の技術では、また、部品に事前に複数の認証鍵を書き込んだ場合、製造時期が異なる部品同士を組み合わせても機器認証は可能となるが、特定の認証鍵の漏洩が発生していた場合、その鍵で認証が成功すると、その鍵を悪用して部品へ不正アクセスが可能となる。
【０００６】
また、鍵生成の方法として、特許文献2に記載の技術では、保守運用クライアントで加入者IDから特定のソフトウェアで乱数を生成し運用鍵として用いるため、ソフトウェアの構造が漏洩すると、製品に書き込まれた運用鍵が不正者に予測可能となる危険性がある。また、物理的な乱数生成器を搭載すると、この危険性は低減できるが、保守運用クライアントの製造コストがかかる。
【０００７】
また、部品に事前に複数の認証鍵を書き込んだ場合、製造時期が異なる部品同士を組み合わせても機器認証は可能となるが、特定の認証鍵の漏洩が発生していた場合、その鍵で認証が成功すると、その鍵を悪用して部品へアクセスすることが可能となる。
【課題を解決するための手段】
【０００８】
製造する装置の鍵を生成及び管理する鍵管理システムと、装置を製造する装置製造システムと、装置を組み立て、完成品を製造する組み立てシステムと、完成品に運用情報を設定するための場所である完成品設定場所と、完成品設定場所で、完成品に運用情報を設定する携帯端末とからなるシステムを構成する。
【０００９】
鍵管理システムは、装置製造時に利用する製造鍵を一定期間毎に生成し、製造鍵の製造装置に送付する機能と、製造鍵の有効性を記録する機能と、組み立てシステムから装置間の相互認証の結果を受信し、その時に利用した鍵の有効性を応答する機能と、乱数を生成し、携帯端末へ送付する機能と、携帯端末で生成した運用鍵の情報を完成品の情報とともに携帯端末から受信し管理する機能を有する。
【００１０】
装置製造システムは、鍵管理システムから発行された製造鍵を保持し、装置製造時に有効な鍵のみを装置へ書き込み、組み立てシステムへ出荷する機能を有する。
【００１１】
組み立てシステムは、複数の製造装置から受け取った装置を組み合わせて、装置間で製造鍵を用いた認証を実施させる。認証が成功したら鍵管理システムに認証時の鍵情報を送付し、その鍵が有効であると判断したら完成品として、完成品設定場所に出荷する機能を有する。
【００１２】
完成品設定場所では、運用情報設定者が、携帯端末を用いて完成品へアクセスし、時刻情報を設定する。次に、完成品IDを鍵管理システムへ送付し、該当する製造鍵と乱数を受け取り、乱数に何らかの値を加えてハッシュ値を計算して運用鍵を生成し、製造鍵で暗号化して完成品へ書き込む機能を有する。書き込み結果を完成品から携帯端末が受信すると書き込み結果を鍵管理システムへ送信する。
【００１３】
製造される装置は、製造時に複数の製造鍵が書き込まれ、組み立てシステムで他の装置と組み合わせた時に最新の製造鍵を用いて機器認証を実施し、失敗した場合は次に新しい機器認証を実施する機能と、認証が完了したら認証に利用した製造鍵IDを組み立て装置に送信する機能と、
携帯端末から運用鍵が設定されたら、製造鍵を全て消去し、設定完了と製造鍵無効化完了を携帯端末へ通知する機能を有する。
【発明の効果】
【００１４】
本発明によれば、携帯端末から運用鍵生成アルゴリズムが漏洩しても、不正者による運用鍵生成を防止できるため、セキュリティが向上する。また、情報漏洩等で利用禁止になった製造鍵を用いた機器認証を制限しつつ、異なる製造鍵が組み込まれた装置同士の相互認証を可能とすることで、セキュリティを保ちつつ製品在庫の組み合わせの柔軟性を確保することが可能である。
【図面の簡単な説明】
【００１５】
【図１】本実施例では、複数の装置を異なるシステムで製造し、組み合わせて完製品を製造するシステムを図である。
【図２】鍵管理システム、装置製造システム、組み立てシステムの構成図である。
【図３】本システムで完成品と携帯端末の構成図である。
【図４】製造鍵情報の構成図である。
【図５】完成品情報の構成図である。
【図６】装置情報の構成図である。
【図７】装置製造システムで、装置製造時に実施する製造鍵書き込みのフロー図である。
【図８】組み立てシステムにおいて、装置A、装置Bから完成品を組み立てるフロー図である。
【図９】装置Aと装置Bの相互認証のフロー図である。
【図１０】装置Bと装置Aの相互認証の流れの別のフロー図である。
【図１１】完成品への運用鍵設定のフロー図である。
【図１２】製造鍵を用いる装置製造のフロー図である。
【図１３】実施例２におけるシステム構成図である。
【図１４】実施例２における完成品と携帯端末の構成図である。
【図１５】実施例２における装置製造システムで、装置製造時に実施する製造鍵書き込みフロー図である。
【図１６】実施例２における組み立てシステムにおいて、装置A、装置Bから完成品を組み立てるフロー図である。
【図１７】実施例２における携帯端末を用いて運用鍵を有効化するフロー図である。
【発明を実施するための形態】
【実施例１】
【００１６】
図１は装置製造と鍵書き込みの概要を示す図である。
【００１７】
複数の装置を異なるシステムで製造し、組み合わせて完成品を製造するシステムを示す。各装置には、鍵管理システムで生成された製造鍵が製造時に書き込まれる。そして、複数の装置を組み合わせて完成品を製造する時に、組み合わせる装置間で製造鍵を用いて相互認証する。その後、運用開始前に完成品に運用用の運用鍵を設定する。尚、各システムは同一組織が所有しても構わないし、異なる組織が所有しても構わない。
【００１８】
完成品設定場所１０１は完成品の運用に利用する運用情報を設定する場所である。一般的に完成品を用いてサービスを提供する会社が管理する。運用情報は漏洩するとサービスに対して不正行為を働くことが可能となるため、入退管理などのセキュリティ対策が施され運用情報が漏れないように管理された場所が多い。
【００１９】
完成品１０２は装置を組み合わせて作り上げた実際のサービスに利用する製品である。
【００２０】
携帯端末１０３は完成品に運用鍵等、運用に必要な情報を設定する端末である。
【００２１】
鍵管理システム１０６は本システムで扱う鍵情報を管理するシステムである。
【００２２】
組み立てシステム１０７は装置製造システムから受け取った装置を組み合わせ完成品を製造するシステムである。
【００２３】
製造鍵生成１０８は装置製造時のみに利用される製造鍵を生成する手順である。
【００２４】
装置製造１０９は装置Aを製造する手順である。
【００２５】
装置に製造鍵書き込み１１０は装置に製造鍵を書き込む手順である。
【００２６】
装置Ａと装置Ｂを組み立て完成品を製造１１１は装置Aと装置Bを組み立て完成品を製造する手順であり、完成品が完成すると完成情報を鍵管理システムへ送付機能を有する。
【００２７】
乱数生成１１３は乱数を生成する手順である。
【００２８】
製造鍵１１４は製造時のみに利用される鍵情報であり、装置間の認証や、装置間で通信する情報の暗号化に利用である。
【００２９】
設定情報１１６は携帯端末が完成品に設定し鍵管理システムへ送付である。
【００３０】
運用鍵生成１１７は完成品に設定する運用鍵生成する手順である。
【００３１】
運用鍵１１９は完成品を用いてサービスを運用する時に利用する運用鍵である。
【００３２】
設定及び製造鍵無効化完了１２０は装置内への運用鍵の設定が完了したことの通知情報である。
【００３３】
製造鍵１２１は製造時のみに利用される鍵情報であり。装置間の認証や、装置間で通信する情報の暗号化に利用される。
【００３４】
図２は各システムの内部構成を示す図であり、鍵管理システム、装置製造システム、組み立てシステムの構成を示している。尚、装置A製造システムと装置B製造システムは同一であり、本図では装置製造システムとして纏めた。
【００３５】
データ蓄積部２０３は電子計量器の動作に必要なデータを保持する。
【００３６】
乱数生成部２０４は認証や鍵の値などとして利用される乱数を生成する。予測不能な乱数を生成するため、例えば物理乱数生成器から構成される。
【００３７】
鍵管理部２０５は鍵管理システムで扱う鍵を管理する機能であり、乱数生成部を用いた鍵の生成、データ蓄積部に保存された鍵の管理等を行う。
【００３８】
製造鍵情報２０６は製造時に利用する製造鍵の情報であり、今までに生成した全ての製造鍵を保持する。
【００３９】
完成品情報２０７はサービスで利用する完成品の情報である。
【００４０】
セキュリティ情報管理部２０８は本システムで扱う製造鍵等のセキュリティ情報を管理する機能である。
【００４１】
製造鍵情報２１０は製造時に利用する製造鍵の情報であり、今までに生成した全ての製造鍵を保持する。
【００４２】
完成品情報２１２はサービスで利用する完成品の情報である。
【００４３】
装置情報２１３は装置製造システムで製造される装置に関する情報を管理する。
【００４４】
セキュリティ情報管理部２１５は本システムで扱う製造鍵等のセキュリティ情報を管理する。
【００４５】
図３は完成品と携帯端末の構成を示す図であり、本システムで完成品と携帯端末の構成を示す。完成品は、携帯端末と無線或いは有線で接続され、通信開始時は機器認証を実施し、機器認証成功後にデータ通信を行う。また、組み立て時は、組み立てシステムとも有線或いは無線で通信する。尚、装置A、装置Bがそれぞれ外部と通信してもよいし、装置Aのみ外部直接と通信し、装置A経由で装置Bが外部と通信しても構わない。
【００４６】
利用者ＩＤ／ＰＷ３０１は携帯端末を利用するユーザを認証するための情報である。
【００４７】
機器認証部３０２は装置が外部とセキュリティ情報を用いて機器認証する機能である。
【００４８】
時計部３０３は装置内で、時刻をカウントするための時計である。
【００４９】
図４は製造鍵情報の構成を示す図であり、本情報は製造時のみ利用される製造鍵に関する情報を管理する。そして、定期的に新しい鍵が生成され追加される。「製造鍵ＩＤ」４０１は製造鍵を識別するための識別子である。「生成日」４０２は製造鍵を生成した日付が記載される。「有効期限」４０３は製造鍵の有効期限が記載される。「製造鍵」４０４は製造鍵の値。製造鍵は乱数生成部で生成される。「有効」４０５は製造鍵の有効無効を示す。無効になる条件として例えば、鍵の漏洩が発覚した、鍵を発行してから一定期間が過ぎたなどが考えられる。
【００５０】
図５は完成品情報の構成を示す図である。
【００５１】
「完成品ＩＤ」５０１は完成品を識別するための識別子である。「製造日」５０２は完成品を製造した日付が記載される。「装置ＩＤ」５０３は完成品を構成する装置の識別子一覧である。「製造鍵ＩＤ」５０４は完成品に組み込まれている装置A、装置Bが保持する製造鍵の製造鍵ID、複数の製造鍵を書き込む場合は、複数の製造鍵IDを記録したものである。「運用鍵」５０５は装置A、装置Bが保持する運用鍵の値が記載される。「その他情報」５０６はその他完成品に付随する情報。例えば、完成品が運用時に、外部機器を電子証明書を用いて機器認証する場合には、電子証明書が格納される。また、完成品内の装置A、装置Bの運用鍵を更新するために、鍵更新用の鍵を別途用いる場合は、その鍵が記録される。
【００５２】
図６は装置情報の構成を示す図である。「装置ＩＤ」６０１は装置を識別するための識別子である。「製造日」６０２は装置を製造した日付が記載される。「製造鍵ＩＤ」６０３は装置に囲まれた製造鍵の製造鍵IDが記載される。
【００５３】
図７は装置製造時の装置情報生成と製造鍵書き込みの流れを示す図である。これは、装置製造システムで、装置製造時に実施する製造鍵書き込みの流れを示す。 尚、組み立て時に接続する装置の製造時期が製造時に判断できない場合(例えば本システムが装置Aを製造する場合、組み合わせ対象となる装置Bの製造時期が不明な場合) は、装置製造システムが保有する複数の製造鍵を書き込み、製造時期が古い装置と組み合わせた場合も相互認証可能な状態とする。この範囲として、本システムが保有する全ての製造鍵を書き込む方法も考えられるし、一定期間以上古い装置との組み合わせを制限するため、例えば、最近１年間の間に生成された製造鍵のみを書き込む場合も考えられる。
【００５４】
ステップ７０１は装置を製造する処理である。
【００５５】
ステップ７０２は装置情報を生成する処理である。
【００５６】
ステップ７０３は装置IDを生成し、装置に装置IDを書き込む処理である。
【００５７】
ステップ７０４は組み合わせ先装置の製造時期が明確かどうか調べる処理である。もし組み合わせ先装置の製造時期が明確であれば、ステップ705へ進む。もし組み合わせ先装置の製造時期が明確でなければ、ステップ706へ進む。
【００５８】
ステップ７０５は現在有効な製造鍵と製造鍵ID、その他製造時書き込み情報を書き込む処理である。
【００５９】
ステップ７０６は装置製造システムが保有する複数の製造鍵と製造鍵IDを書き込む処理である。
【００６０】
図８は完成品組み立ての流れを示す図である。これは、組み立てシステムにおいて、装置A、装置Bから完成品を組み立てる流れを示す。
【００６１】
ステップ８０１は装置Ａ、装置B製造システムから装置A、装置Bを受け取る処理である。
【００６２】
ステップ８０２は装置A、装置Bを接続する処理である。
【００６３】
ステップ８０３は装置Aと装置Bの電源を入れ、装置AB間で相互認証を実施する処理である。
【００６４】
ステップ８０４は相互認証成功かどうか調べる処理である。もし相互認証成功であれば、ステップ805へ進む。もし相互認証成功でなければ、ステップ813へ進む。
【００６５】
ステップ８０５は鍵管理システムへ認証成功時の製造鍵ID送付する処理である。
【００６６】
ステップ８０６は鍵管理システムで製造鍵IDの鍵が有効化判断する処理である。
【００６７】
ステップ８０７は該当鍵が無効かどうか調べる処理である。もし該当鍵が無効であれば、ステップ808へ進む。もし該当鍵が無効でなければ、ステップ809へ進む。
【００６８】
ステップ８０８は装置A,Bの該当鍵を無効化する処理である。
【００６９】
ステップ８０９は装置ABをケースに格納し、完成品を製造する処理である。
【００７０】
このステップにおいて、例えば、装置Aが電子計量装置、装置Bが電子計量装置の通信モジュールの場合、装置Aに装置Bを格納する場合も考えられる。ステップ８１０は本完成品の情報を鍵管理システムへ送付する処理である。
【００７１】
ステップ８１１は完成品IDからQRコード（登録商標）を生成して、完成品に貼り付ける処理である。
【００７２】
ステップ８１２は完成品を装置設置場所へ送付する処理である。
【００７３】
このステップにおいて、一旦倉庫に格納し、一定数製造が完了したら、装置設定場所に輸送することも考えられる。ステップ８１３は装置A,Bに不具合ありとして不具合解析部署へ送付する処理である。
【００７４】
図９は装置Ａと装置Ｂの相互認証を示す図である。これは、装置Aと装置Bの相互認証の流れの一例を示す。本例では、相互認証時、装置Aがどの製造鍵IDの製造鍵を利用しているか装置Bが把握しておらず、装置Bが複数の製造鍵を持つ場合の動作を示す。
【００７５】
ステップ９０１は装置Aが乱数を生成する処理である。
【００７６】
ステップ９０２は装置Aが装置Bへ乱数を送信する処理である。
【００７７】
ステップ９０３は乱数を装置Bが最も日付の新しい製造鍵を用いて暗号化する処理である。
【００７８】
ステップ９０４は装置Bが暗号化済乱数を装置Aに送付する処理である。
【００７９】
ステップ９０５は装置Aが暗号化済乱数を製造鍵で用いて復号する処理である。
【００８０】
ステップ９０６は送信した乱数と復号結果が異なるかどうか調べる処理である。もし送信した乱数と復号結果が異なる場合は、ステップ907へ進む。もし送信した乱数と復号結果が異ならない場合は、ステップ912へ進む。
【００８１】
ステップ９０７は装置Aが新しい乱数を生成する処理である。
【００８２】
ステップ９０８は装置Aが装置Bに”認証失敗”というメッセージとともに、新しい乱数を送信する処理である。
【００８３】
ステップ９０９は装置Bが装置Aとの認証に未使用の製造鍵を持つかどうか調べる処理である。もし装置Bが装置Aとの認証に未使用の製造鍵を持つであれば、ステップ911へ進む。もし装置Bが装置Aとの認証に未使用の製造鍵を持たなければ、ステップ910へ進む。
【００８４】
ステップ９１０は装置Bが組み立てシステムへ”相互認証失敗”を通知する処理である。
【００８５】
ステップ９１１は装置Bが前回と異なる製造鍵を用いて乱数を暗号化する処理である。
【００８６】
このステップにおいて、例えば、最も日付が新しい製造鍵から順番に使用する方法等が考えられる。ステップ９１２は装置Bが組み立てシステムへ”相互認証完了”というメッセージと、認証が成功した時の製造鍵IDを通知する処理である。
【００８７】
ステップ９１３は組み立てシステムが、完成品情報テーブルに新しいエントリを追加し、完成品IDを生成して書き込む。製造日、装置ABの装置ID、製造鍵IDを書き込む処理である。
【００８８】
図１０は装置Ｂと装置Ａの相互認証のもう一つの例を示す図である。これは、装置Bと装置Aの相互認証の流れの別の一例を示す。本例では、相互認証時、装置Aが製造鍵IDを装置Bへ送付する場合の動作を示す。
【００８９】
ステップ１００１は装置Aが乱数を生成する処理である。
【００９０】
ステップ１００２は装置Aが装置Bへ製造鍵IDと乱数を送信する処理である。
【００９１】
ステップ１００３は装置Bが製造鍵IDに対応する製造鍵を保持かどうか調べる処理である。もし装置Bが製造鍵IDに対応する製造鍵を保持であれば、ステップ1004へ進む。もし装置Bが製造鍵IDに対応する製造鍵を保持でなければ、ステップ1006へ進む。
【００９２】
ステップ１００４は装置Bが乱数を製造鍵を用いて暗号化する処理である。
【００９３】
ステップ１００５は装置Bが暗号化済乱数を装置Aに送付する処理である。
【００９４】
ステップ１００６は装置Bが組み立てシステムへ”相互認証失敗”を通知する処理である。
【００９５】
ステップ１００７は装置Aが暗号化済乱数を製造鍵IDに対応する製造鍵を用いて復号する処理である。
【００９６】
ステップ１００８は送信した乱数と復号結果が異なるかどうか調べる処理である。もし送信した乱数と復号結果が異なる場合は、ステップ1009へ進む。もし送信した乱数と復号結果が異ならない場合は、ステップ1010へ進む。
【００９７】
ステップ１００９は装置Aが、組み立てシステムへ”相互認証失敗”を通知する処理である。
【００９８】
ステップ１０１０は装置Bが組み立てシステムへ”相互認証完了”というメッセージと、認証が成功した時の製造鍵IDを通知する処理である。
【００９９】
ステップ１０１１は組み立てシステムが、完成品情報テーブルに新しいエントリを追加し、完成品IDを生成して書き込む。製造日、装置ABの装置ID、製造鍵IDを書き込む処理である。
【０１００】
図１１は完成品への運用鍵設定の流れを示す図である。尚、運用鍵設定と同時に運用に関わる各種情報を設定してもよい。また、運用鍵は、装置ABの両方に設定される場合もあるし、装置Aに設定し、装置Ａが装置Bに転送する場合も考えられる。本例では、装置Aに運用鍵を設定し、装置Aが装置Bに運用鍵を送信する例について説明する。
【０１０１】
ステップ１１０１は運用鍵更新担当者が携帯端末にログインする処理である。
【０１０２】
ステップ１１０２は携帯端末で完成品のQRコードを読み込む処理である。
【０１０３】
ステップ１１０３はQRコードから完成品IDを復元し、鍵管理システムへ該当する製造鍵情報を要求する処理である。
【０１０４】
ステップ１１０４は鍵管理システムが乱数生成部で乱数を生成する処理である。
【０１０５】
ステップ１１０５は鍵管理システムが、乱数と完成品IDに対応する製造鍵IDの製造鍵を携帯端末へ送信する処理である。
【０１０６】
ステップ１１０６は携帯端末で完成品(装置A)の時刻を設定する処理である。
【０１０７】
このステップにおいて、装置Bは、製造時に計量部、装置Aの時刻が初期化されているため、携帯端末で現在時刻を設定する必要がある。ステップ１１０７は装置Aが装置Bの時刻を設定する処理である。
【０１０８】
ステップ１１０８は装置Aが携帯端末と相互認証する処理である。
【０１０９】
このステップにおいて、認証方法として、例えば装置Aと携帯端末で製造鍵を用いて相互認証する方法、装置Aと携帯端末に電子証明書を入れておき、それを用いて相互認証する方法等が考えられる。ステップ１１０９は認証失敗かどうか調べる処理である。もし認証失敗であれば、ステップ1120へ進む。もし認証失敗でなければ、ステップ1110へ進む。
【０１１０】
ステップ１１１０は携帯端末で乱数から運用鍵を生成する処理である。
【０１１１】
このステップにおいて、運用鍵生成方法として例えば、乱数とログインしたユーザのID、携帯端末の現在時刻を文字列として連結し、SHA256等のハッシュ関数を用いてハッシュ値を計算した値を用いる方法が考えられる。ステップ１１１１は運用鍵を製造鍵で暗号化して装置Aに送付する処理である。
【０１１２】
ステップ１１１２は装置Aが装置Bに製造鍵を送信する処理である。
【０１１３】
ステップ１１１３は装置Bが運用鍵をデータ蓄積部に書き込み、製造鍵を無効化する処理である。
【０１１４】
このステップにおいて、鍵書き込みに失敗した場合は、装置Aにエラーを返し処理を中断する。ステップ１１１４は装置Bが装置Aに鍵書き込み完了を通知する処理である。
【０１１５】
ステップ１１１５は装置Aが運用鍵をデータ蓄積部に書き込み、製造鍵を無効化する処理である。
【０１１６】
ステップ１１１６は装置Aが携帯端末へ鍵書き込み完了を通知する処理である。
【０１１７】
このステップにおいて、装置Bからエラーが来た場合、あるいは鍵書き込みに失敗した場合は、携帯端末にエラーを返し処理を中断する。それを受信した携帯端末は、例えばエラーを表示し、それを見た運用鍵更新担当者が該当完成品に不具合ありと判断し、不具合解析部署に完成品を送付する。ステップ１１１７は携帯端末が完成品IDと運用鍵を鍵管理システムへ送付する処理である。
【０１１８】
ステップ１１１８は鍵管理システムが該当する完成品情報に運用鍵を書き込む処理である。
【０１１９】
ステップ１１１９は携帯端末が端末内の製造鍵と運用鍵を消去する処理である。
【０１２０】
ステップ１１２０は完成品に不具合ありと判断し、不具合解析部署へ送付する処理である。
【０１２１】
本実施例は、製造装置の鍵を生成及び管理する鍵管理システムと、装置を製造する装置製造システムと、複数の装置を組み立てて計量装置を製造する組み立てシステムと、計量装置に運用情報を設定する携帯端末とを含む計量装置認証システムから構成される。鍵管理システムは、装置製造時に利用する製造鍵を一定期間毎に生成し、製造鍵の製造装置に送付する鍵送付部と、製造鍵の有効性を記憶する製造鍵有効性記憶部と、組み立てシステムから装置間の相互認証の結果を受信し、その時に利用した鍵の有効性を応答する鍵有効性判定部と、乱数を生成し携帯端末へ送付する乱数生成部と、携帯端末で生成した運用鍵の情報と、完成品の情報とを携帯端末から受信し、記憶する完成品記憶部とを備え、装置製造システムは、鍵管理システムから送付された製造鍵を記憶する製造鍵記憶部と、装置製造時に有効な鍵を装置へ書き込む鍵書き込み部と、組み立てシステムは、複数の製造装置から受け取った装置を組み合わせて、装置間で製造鍵を用いて認証する認証部と、認証が成功した場合に、計量装置を製造する計量装置製造部と、を備える。
【０１２２】
また、装置が他の装置との相互認証を実施する際、装置は、複数の認証鍵を用いて認証し、最も製造日付が新しい認証鍵を用いて認証を試み、認証を失敗した場合、次に新しい鍵を用いて認証しても良い。
【０１２３】
また、鍵管理システムは、製造鍵に有効無効情報が付与する有効無効情報付与部を更に備え、組み立てシステムは、製造鍵に付与された前記有効無効情報が有効な場合に認証を行う。
【０１２４】
また、装置が他の装置との相互認証を実施する際、装置は、複数の認証鍵を用いて認証し、相互認証に用いる製造鍵IDを他の装置に送信し、他の装置は製造鍵IDに対応する鍵を用いて認証を実施しても良い。
【０１２５】
また、鍵運用システムは、運用鍵を携帯端末から運用鍵が設定された場合、生成した製造鍵を全て消去し、設定完了と製造鍵無効化完了を携帯端末へ通知しても良い。
【０１２６】
また、鍵管理システムは、複数の装置内で運用鍵の復号が完了した場合、生成された製造鍵を消去しても良い。
【０１２７】
本実施形態における発明によれば、携帯端末に高価な物理乱数生成器を搭載しなくても、高品質な乱数を用いた運用鍵を生成できる。また、情報漏洩等で利用禁止になった製造鍵を用いた機器認証を禁止しつつ、異なる製造鍵が組み込まれた装置同士の相互認証を可能とし、セキュリティを保ちつつ製品在庫の組み合わせの柔軟性を確保することが可能である。
【実施例２】
【０１２８】
図１２は製造鍵を用いる装置製造の動作概要の第２の例を示す図である。
【０１２９】
これは、製造鍵を用いる装置製造の動作概要のもう一つの例である。構成要素は図1と同一である。違いは、鍵管理システムで製造鍵と運用鍵を生成し、運用鍵を製造鍵で暗号化して、装置AB製造システムへ送付し、装置ABに書き込む。組み立てシステムでは装置AB間で相互認証せず、接続確認のみ実施する。完成品設定場所で、携帯端末が鍵管理システムから製造鍵を受け取り、製造鍵を完成品へ送付する(運用鍵有効化)。完成品が製造鍵を受信すると、装置AB内の暗号化された運用鍵を復号し、運用鍵を利用可能とする。
【０１３０】
図１３は各システムの内部構成の第２の例を示す図である。これは、図2と同等な構成であるが、装置製造システムと組み立てシステムが製造鍵を保持する必要がない。
【０１３１】
図１４は完成品と携帯端末の構成の第２の例を示す図である。これは、図3と同等であるが、携帯端末は運用鍵生成部を持つ必要がない。
【０１３２】
図１５は装置製造時の装置情報生成と製造鍵書き込みの第２の例を示す図である。これは、装置製造システムで、装置製造時に実施する製造鍵書き込みのもう一つの例を示す。
【０１３３】
ステップ１５０１は装置を製造する処理である。
【０１３４】
ステップ１５０２は装置情報を生成する処理である。
【０１３５】
ステップ１５０３は装置IDを生成し、装置に装置IDを書き込む処理である。
【０１３６】
ステップ１５０４は装置に鍵管理システムから受信した製造鍵で暗号化済の運用鍵を書き込む処理である。
【０１３７】
図１６は完成品組み立ての流れの第２の例を示す図である。これは、組み立てシステムにおいて、装置A、装置Bから完成品を組み立てる流れを示す。
【０１３８】
ステップ１６０１は装置Ａ、装置B製造システムから装置A、装置Bを受け取る処理である。
【０１３９】
ステップ１６０２は装置A、装置Bを接続する処理である。
【０１４０】
ステップ１６０３は装置Aと装置Bの電源を入れ、装置AB間の接続を確認する処理である。
【０１４１】
ステップ１６０４は接続成功かどうか調べる処理である。もし接続成功であれば、ステップ1605へ進む。もし接続成功でなければ、ステップ1609へ進む。
【０１４２】
ステップ１６０５は装置ABをケースに格納し、完成品を製造する処理である。
【０１４３】
このステップにおいて、例えば、装置Aが電子計量装置、装置Bが電子計量装置の通信モジュールの場合、装置Aに装置Bを格納する場合も考えられる。ステップ１６０６は本完成品の情報を鍵管理システムへ送付する処理である。
【０１４４】
ステップ１６０７は完成品IDからQRコードを生成して、完成品に貼り付ける処理である。
【０１４５】
ステップ１６０８は完成品を装置設置場所へ送付する処理である。
【０１４６】
このステップにおいて、一旦倉庫に格納し、一定数製造が完了したら、装置設定場所に輸送することも考えられる。ステップ１６０９は装置A,Bに不具合ありとして不具合解析部署へ送付する処理である。
【０１４７】
図１７は完成品の運用鍵有効化の流れの第２の例を示す図である。携帯端末を用いて完成品内の運用鍵を有効化する流れを説明する。
【０１４８】
ステップ１７０１は運用鍵更新担当者が携帯端末にログインする処理である。
【０１４９】
ステップ１７０２は携帯端末で完成品のQRコードを読み込む処理である。
【０１５０】
ステップ１７０３はQRコードから完成品IDを復元し、鍵管理システムへ該当する製造鍵を情報を要求する処理である。
【０１５１】
ステップ１７０４は鍵管理システムが、完成品IDに対応する製造鍵IDの製造鍵を携帯端末へ送信する処理である。
【０１５２】
ステップ１７０５は携帯端末で完成品(装置A)の時刻を設定する処理である。
【０１５３】
このステップにおいて、装置Bは、製造時に計量部、装置Aの時刻が初期化されているため、携帯端末で現在時刻を設定する必要がある。ステップ１７０６は装置Aが装置Bの時刻を設定する処理である。
【０１５４】
ステップ１７０７は装置Aが携帯端末と相互認証する処理である。
【０１５５】
このステップにおいて、認証方法として、例えば装置Aと携帯端末で製造鍵を用いて相互認証する方法、装置Aと携帯端末に電子証明書を入れておき、それを用いて相互認証する方法等が考えられる。ステップ１７０８は認証失敗かどうか調べる処理である。もし認証失敗であれば、ステップ1722へ進む。もし認証失敗でなければ、ステップ1709へ進む。
【０１５６】
ステップ１７０９は携帯端末が製造鍵を装置Aに送信する処理である。
【０１５７】
ステップ１７１０は装置Aが製造鍵を用いて暗号化済運用鍵を復号する処理である。
【０１５８】
ステップ１７１１は装置Aが装置Bに製造鍵を送信する処理である。
【０１５９】
ステップ１７１２は装置Bが製造鍵を用いて暗号化済運用鍵を復号する処理である。
【０１６０】
ステップ１７１３は装置Aと装置Bが運用鍵を用いて相互認証する処理である。
【０１６１】
ステップ１７１４は相互認証失敗かどうか調べる処理である。もし相互認証失敗であれば、ステップ1720へ進む。もし相互認証失敗でなければ、ステップ1715へ進む。
【０１６２】
ステップ１７１５は装置Aと装置Bが製造鍵を削除する処理である。
【０１６３】
ステップ１７１６は装置Aが携帯端末へ運用鍵有効化を通知する処理である。
【０１６４】
ステップ１７１７は携帯端末が完成品IDと運用鍵有効化完了を鍵管理システムへ通知する処理である。
【０１６５】
ステップ１７１８は鍵管理システムが該当する完成品IDの運用鍵有効化完了を完成品情報に記録する処理である。
【０１６６】
ステップ１７１９は携帯端末が端末内の製造鍵と運用鍵を消去する処理である。
【０１６７】
ステップ１７２０は携帯端末に、”装置AB認証失敗”を送信する処理である。
【０１６８】
ステップ１７２１は完成品に不具合ありと判断し、不具合解析部署へ送付する処理である。
【０１６９】
ステップ１７２２は完成品に不具合ありと判断し、不具合解析部署へ送付する処理である。
【０１７０】
すなわち本実施例は、製造装置の鍵を生成及び管理する鍵管理システムと、装置を製造する装置製造システムと、装置を組み立てて計量装置を製造する組み立てシステムと、計量装置に運用情報を設定する携帯端末とを含む計量装置認証システムから構成される。鍵管理システムは、装置製造時に利用する製造鍵と、装置毎に格納する運用鍵を一定期間毎に生成し、製造鍵で運用鍵を暗号化して製造装置に送付する鍵送付部と、製造鍵の有効性を記録する製造鍵有効性記憶部と、組み立てシステムから装置間の相互認証の結果を受信し利用した鍵の有効性を応答する鍵有効性判定部と、携帯端末に製造鍵を送信し携帯端末で得られた認証結果と、計量装置の情報とを携帯端末から受信し記憶する完成品記憶部とを備える。装置製造システムは、鍵管理システムから発行された製造鍵で暗号化された運用鍵を記憶する製造鍵記憶部と、装置製造時に有効な鍵を装置へ書き込む鍵書き込み部とから構成される。組み立てシステムは、複数の製造装置から受け取った装置を組み合わせて装置間で製造鍵を用いて認証する認証部と、認証が成功した場合に計量装置を製造する計量装置製造部から構成される。
【符号の説明】
【０１７１】
１０１…完成品設定場所
１０２…完成品
１０３…携帯端末
１０４…装置Ａ製造システム
１０５…装置Ｂ製造システム
１０６…鍵管理システム
１０７…組み立てシステム
【図１】
2015144329.tif 000003
【図２】
2015144329.tif 000004
【図３】
2015144329.tif 000005
【図４】
2015144329.tif 000006
【図５】
2015144329.tif 000007
【図６】
2015144329.tif 000008
【図７】
2015144329.tif 000009
【図８】
2015144329.tif 000010
【図９】
2015144329.tif 000011
【図１０】
2015144329.tif 000012
【図１１】
2015144329.tif 000013
【図１２】
2015144329.tif 000014
【図１３】
2015144329.tif 000015
【図１４】
2015144329.tif 000016
【図１５】
2015144329.tif 000017
【図１６】
2015144329.tif 000018
【図１７】
2015144329.tif 000019