(57)【要約】【課題】端末と、通信機器との間で、安全な通信を確立でき、付加価値の高い安全なサービスを提供する。【解決手段】  端末（２０）と通信機器（３０）との間で、接続通信網（５０）を介して通信を確立し、端末（２０）に設置された第１防護装置（２５）により、不正侵入から守られた通信の起動手続きを指示し、通信が確立されている通信機器（３０）に対応する安全な通信の管理に識別子を割り当てる。識別子が起動手続きに対応し、通信機器（３０）を、第１防護装置（２５）によって識別することで、通信機器（３０）の性質を認識し、通信機器（３０）を、適合した構成でなくとも端末（２０）と互換性のあるものとする。【選択図】図１
2005196776.tif 000002
【特許請求の範囲】
【請求項１】
端末と、通信機器との間で、安全なデータ通信を行う方法であり、
端末と通信機器との間で、接続通信網を介して通信を確立し、
端末に設置された、第１防護装置により、不正侵入から守られた通信の起動手続きを指示し、通信が確立されている通信機器に対応する安全な通信の管理に識別子を割り当てるために、前記識別子は、前記起動手続きに対応しており、
前記通信機器を、前記第１防護装置によって識別することにより、前記通信機器の性質を認識し、そして、前記通信機器を、適合した構成でなくとも前記端末と互換性のあるものとし、
認証鍵と、前記起動手続きに対応する前記識別子とにより、不正侵入防止サーバによって処理されたデータを取得することで、前記通信機器を認証し、それにより、識別された前記通信機器に、一つの乱数値を付加し、
前記不正侵入防止サーバの認証装置により、前記通信機器の欠陥性を検査し、通信機器が損なわれていないかどうかの検査を、認証の際に伝達されるデータで実行される欠陥性検査のソフトウエアと、そのようなデータの暗号を解読するのを不正侵入から守るための一組の暗号鍵の集合から選ぶことによって行い、
前記不正侵入防止サーバによって処理され、前記通信機器が実行したデータの暗号解読の結果を、前記不正侵入防止サーバの前記通信機器の身元の暗号化の結果と比較し、また、
識別、認証、欠陥性検査が肯定的であり、比較の結果が同一である場合には、前記端末に設置された第１管理装置に指示して、前記通信機器と安全なデータ通信を確立する、というステップからなることを特徴とする、端末と通信機器との間の安全なデータ通信方法。
【請求項２】
前記不正侵入防止サーバによって処理され、前記通信機器によって実行されたデータの暗号解読は、欠陥性検査に左右され、
該検査は、前記不正侵入防止サーバに設置された前記認証装置が、結果を予想する可能性を阻止するために、前記通信機器の所定の時点での構成に応じて行われることを特徴とする、請求項１に記載の安全なデータ通信方法。
【請求項３】
前記端末と前記通信機器との間のデータの交信は、前記端末か前記通信機器に設置された第１防護装置と、第２防護装置とを介して管理及び検査され、前記確立された通信の安全な管理を分担することを特徴とする、請求項１または請求項２に記載の安全なデータ通信方法。
【請求項４】
前記端末と前記通信機器との間のデータの交信を不正侵入から守るために、暗号鍵と、前記起動手続きに対応する前記識別子とのダイジェストを用い、それにより、伝送前のデータを処理し、伝送されたメッセージを有効化することを特徴とする、請求項１〜請求項３のいずれか一つに記載の安全なデータ通信方法。
【請求項５】
前記端末と前記不正侵入防止サーバとの間のデータの交信を不正侵入から守るために、暗号鍵と、前記起動手続きに対応する前記識別子とのダイジェストを用い、それにより、伝送前のデータを処理し、正確な伝送の有効化をすることを特徴とする請求項１〜請求項４のいずれか一つに記載の安全なデータ通信方法。
【請求項６】
前記安全な通信のパラメータ化は、前記端末の前記第１防護装置によって、前記確立された通信の安全性を高めるために前記端末のユーザが介入することなく自動的に検査されることを特徴とする、請求項１〜請求項５のいずれか一つに記載の安全なデータ通信方法。
【請求項７】
前記端末が、ユーザ・インタフェイスにより前記通信の確立を停止するメッセージを受信するのは、識別または認証または欠陥性検査が失敗した場合であることを特徴とする、請求項１〜請求項６のいずれか一つに記載の安全なデータ通信方法。
【請求項８】
複数の通信機器が、同時に前記端末と、接続通信網を介して通信を確立することを特徴とする、請求項１〜請求項７のいずれか一つに記載の安全なデータ通信方法。
【請求項９】
複数の通信機器が、前記端末と通信中の前記通信機器のそれぞれの起動手続きの識別により、前記接続通信網を介して独自に前記端末と通信することを特徴とする、請求項１〜請求項８のいずれか一つに記載の安全なデータ通信方法。
【請求項１０】
一つの端末と通信機器との間の安全なデータ通信システムであり、通信が、その端末とその通信機器との間に確立されており、
前記システムが、前記端末と、前記端末と通信中の通信機器、
そして、前記通信機器を管理するための第１管理装置を備えた、
前記端末に設置された第１防護装置と確立された前記通信への不正侵入を防止するために、通信機器の識別、認証そして欠陥性検査を有効化するのに適した、認証装置を含む不正侵入防止サーバ、を含むことを特徴とする、安全なデータ通信システム。
【請求項１１】
請求項１０に記載の安全なデータ通信システムを実施するのに適した、不正侵入防止サーバであり、
通信機器の識別、認証そして欠陥性検査を有効化するのに適した認証装置と、前記端末との交信のためにデータを送信と受信する手段とを備えていることを特徴とする、不正侵入防止サーバ。
【請求項１２】
前記認証装置が、前記端末と一体化されていることを特徴とする、請求項１１に記載の不正侵入防止サーバ。
【請求項１３】
前記通信機器の識別、認証そして欠陥性検査が、異なる別々の装置で行われることを特徴とする、請求項１１に記載の不正侵入防止サーバ。
【請求項１４】
請求項１０に記載の安全なデータ通信システムを実施するのに適した、通信端末であり、
前記通信機器の身元を受信し、前記請求項１１に記載の不正侵入防止サーバと交信する第１防護装置と、通信端末のソースにアクセスし、ユーザに前記通信端末の情報を送るユーザ・インタフェイスと、前記通信端末を管理するための第１管理装置と、そして、データ送信と受信の手段を備えていることを特徴とする、通信端末。
【請求項１５】
端末と通信するためにデータ送信と受信の手段を含み、
請求項１０に記載の安全なデータ通信システムを実施するのに適した、通信機器であり、
その通信機器に、前記通信機器の識別、認証そして欠陥性検査を行うための第２防護装置と、端末を管理するための第２管理装置を備えることを特徴とする、通信機器。
【請求項１６】
前記通信機器の前記第２防護装置と第２管理装置とが、前記端末のユーザによる前記通信機器への介入を禁止していることを特徴とする、請求項１５に記載の通信機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信端末と少なくとも一つの通信機器との間の安全な通信方法及びそのシステムに関するものである。
【０００２】
本発明は、更に詳細には、通信端末と一つまたは複数の通信機器との間でのデータ通信を、安全な状態で行うことに関するものである。
【背景技術】
【０００３】
一つの端末を基に現在確立されている通信は、前記通信端末の使用者を、例えば電話通信などの音声通信やインターネットのようなパケット通信網での通信のような様々な電気通信網に接続し、前記通信網の様々なサーバにアクセスしてネット・サーフィンをすることを可能にするものである。
【０００４】
一般的に、一つの端末を実際に使用している人が、その端末に補助機器を付け加えることにより、技術的な可能性及び特性とを改善したいと願うのはありうることである。
【０００５】
例えば、携帯端末上のスクリーンの寸法は限られたものであり、ユーザとしては、物理的に接続される前記当初の携帯端末に大型のスクリーンの付いた機器を付け加えることが可能である。
そのようにしてユーザは、例えばインターネット通信網のサーバから入手したウェブ・ページを、人間工学的に改善した状態でディスプレー表示する。
同様に、ユーザは例えば自分のＰＣ（パーソナルコンピュータ）のような端末にカメラを接続し、それにより写真を撮り、つぎにその写真の少なくとも一枚を例えば電子メールに添付し、前記通信端末から電子メールのメール・ボックスに送ることが可能である。
【０００６】
このように付け加えられた機器は、ひとたび端末に接続されると、前記通信端末と一体化した一部と見なされる。
【０００７】
そのような端末の性質はどのようなものでもよく、例えばＰＣや携帯端末でも、通信機器を付けられるものであれば、その他のどのような端末でもよい。
【０００８】
どのような性質の機器が端末に付けられるにせよ、前記機器は、ユーザによって自由に用いられ、とりわけ、ユーザの所有物であり、前記通信端末との接続に適するように構成されているものである。
一般的には、付け加える機器を前記通信端末によって認識されるようにパラメータ化することが可能である。
そのようにするために、付け加える機器を、例えば、メモリについてリフレッシュ操作が不要な状態で前もって組み合わせ配置を決めて構成しておいて、それにより、それを接続する端末との通信が、前もって決定しておいた暗号鍵で暗号化されるようにしておいてもよい。
前記パラメータ化が可能なのは、前記通信端末とそれに付け加えられた機器とが、同一のユーザが自由に使いこなすものか、あるいはその同一の所有者の所有物であり、その同一の人が自分の端末と、前記通信端末に付け加えたいと思う機器とを適宜構成するためである。
【０００９】
端末と通信するためにこのような構成を考慮に入れると、ユーザがアクセスしやすい機器だけが、前記通信端末に拒絶されることなく付け加えられる。
【００１０】
一つの端末のユーザが、自分のものでないか、あるいは、前記通信端末に物理的に接続されていない機器と通信したい場合は、ユーザはその機器を自由に使いこなすことはできない。
特に、ユーザが通信したい様々な機器の近くに端末が位置することもあれば、そうでないこともある。
通信機器についてはユーザが構成することは一切できないため、通信機器は端末に適合した構成を有していない。
【００１１】
前記通信機器とは、例えば飲み物の自動販売機、通信端子、通信レジ、パソコン等、あるいはその他、または通信手段、データ処理及び記憶手段を含むあらゆるものである。
【００１２】
更に、特許文献１（国際公開第０３／０７７５８１号パンフレット）には、ＳｙｎｃＭＬプロトコルのようなデータ通信のために、データメッセージや同期プロトコルによって伝達されたメッセージを、サーバに伝達することができる電子通信装置を認証する方法が公開されている。
通信装置による初期設定メッセージを伝達したあと、サーバにより、どのような認証方法を用いるかを決定する。
前記認証方法をメッセージ中で特定し、そのようなメッセージを、認証方法指示器により、通信装置とサーバとの間で送る。
電子通信装置の機能により、その認証方法は様々な装置に応じて変更されてもよい。
【００１３】
このような方法には、その装置が損傷を受けていないか、あるいは不正侵入を受けていないかを検証するための遠隔通信装置の認証については全く記載されておらず、伝達されたメッセージに損なわれているところがないかどうかを検査することだけが実施されている。
【００１４】
また、携帯端末において現に行われているように、ＳＩＭ（加入者身元モジュール）カードという要素により、ＧＳＭ（携帯端末通信グローバルシステム）あるいはＧＰＲＳ（パケット・モードによる無線通信総合サービス）ネットワークに安全性をもたらすことができる。
数ある機能の中でも特に、ＳＩＭカードにより携帯電話通信網における加入者の認証、音声の交信やデータ交信、並びに携帯端末のユーザに合わせた個性化が可能になる。
同様に、ＵＩＣＣ（ＵＭＴＳ集積回路カード）も携帯端末に移植し、それをＵＭＴＳ（携帯端末通信普遍的システム）型の通信網に接続する。
【００１５】
更に、３ＧＰＰ（Ｔｈｉｒｄ  Ｇｅｎｅｒａｔｉｏｎ  Ｐａｒｔｎｅｒｓｈｉｐ  Ｐｒｏｊｅｃｔ）機構によって実施される規格化の作業で準拠する端末は、「分割」端末（ｕｓｅｒ  ｅｑｕｉｐｍｅｎｔ  ｓｐｌｉｔ）と言われるもので、その基本的な考え方は研究報告「３ＧＰＰ  ＴＲ２２．９４４  ｖｅｒｓｉｏｎ  ５．１．０，ｒｅｐｏｒｔ  ｏｎ  ｓｅｒｖｉｃｅ  ｒｅｑｕｉｒｅｍｅｎｔｓ  ｆｏｒ  ＵＥ  ｆｕｎｃｔｉｏｎａｌｉｔｙ  ｓｐｌｉｔ」に示されている。
しかし、３ＧＰＰには前記分割端末の実施について、一切、提示も説明もなされていない。
【特許文献１】国際公開第０３／０７７５８１号パンフレット
【発明の開示】
【発明が解決しようとする課題】
【００１６】
既存のシステムの難点を克服することが期待される本発明の目的は、一つの端末を用いて、少なくとも一つの通信機器と、更に前記通信端末のユーザのものである、あるいは、ものでない通信機器と、安全な通信を確立できるようにし、付加価値の高い安全なサービスを展開することをその更に一般的な目的としている。
【００１７】
そこから得られる技術的成果は、少なくとも一つの通信機器と端末とで優先的に実施されるようなもので、ケーブルによる直列の連絡、赤外線通信インタフェイスＩｒＤＡ、携帯通信ＧＰＲＳ通信網、非接触近接通信インタフェイスあるいはＮＦＣ（Ｎｅａｒ  Ｆｉｅｌｄ  Ｃｏｎｔａｃｔｌｅｓｓ）またはブルートゥース無線インタフェイスのような接続通信網による通信サービスを提供することを目指すものである。
【課題を解決するための手段】
【００１８】
本発明の目的は、少なくとも一つの通信機器との間でデータ通信を、不正侵入を防止しつつ行うシステムによって達成されており、その特徴は、少なくとも一つの通信回線を前記通信端末と前記通信機器との間で確立されており、前記システムには、データの交信に適した不正侵入防止サーバを備えており、前記通信機器を管理するために、少なくとも一つの第１管理装置を装備した前記通信端末の少なくとも一つの第１防護装置を用いてそのようにして確立された通信への不正侵入を防止することである。
【００１９】
本発明はまた、一つの端末と少なくとも一つの通信機器との間のデータ通信の不正侵入を防止しつつ行う方法をも対象としており、前記方法が次のようなステップからなっていることを特徴とするものである；前記通信機器の性質を認識するための前記通信端末に設置されている、少なくとも一つの第１防護装置を用いて前記通信端末と通信中の通信機器によって識別し；前記通信機器でだけ実行可能となるよう、少なくとも一つの不正侵入防止サーバで処理されるデータを取得することにより前記通信機器を認証し；認証の際に伝達される前記データによって不正侵入防止サーバを認証する少なくとも一つの装置を用いて前記通信機器に欠陥がないことを検査し；識別し、認証し、そして検査で欠陥がないことが判明した場合には、前記通信端末に設置された少なくとも一つの第１管理装置に命令し、前記通信機器と安全なデータ通信を確立する。
【００２０】
そのような通信機器は、性質の異なるものであってよく、例えば、メッセージ・サービスと通信を行う公共端子、電子支払いアプリケーション付きの通信機能付き飲料自動販売機、駐車料金徴収の通信端子、通信機能付き駐車料金計、電子身分証明カード、ＰＣタイプのパーソナルコンピュータ等が考えられる。
【００２１】
したがって、その端末のユーザが通信したいと思う機器Ｅは、該ユーザの所有するものでなく、よって、ユーザはそれを自由に使うことはできない。
【００２２】
本発明に従った安全なデータ通信システムは、一つの端末と少なくとも一つの通信機器とを組み合わせることによって実現される「分割」と呼ばれる端末（ｓｐｌｉｔ  ｔｅｒｍｉｎａｌ）を構成することを可能にする。
このようにして形成された前記「分割」端末より、端末のユーザは、自分の端末の技術的可能性と特性を、不正侵入防止を強化しつつ拡張することが可能となり、それまではアクセスすることが不可能であった新しいサービスにアクセスすることが可能になる。
【００２３】
「分割」端末の構成は、前記通信機器の性質がどのようなものであろうと実現可能であり、端末と前記機器とを互換性のあるものにするような構成にする必要もないため、時間が無駄にならず、ユーザによって前記通信端末の構成の間違いを回避することができる。
その端末とその通信機器との間に確立した通信の互換性と不正侵入防止は、自動的に行われ、それは、近距離または遠距離のどのような通信機器にも適合したものである。
【００２４】
端末が通信機器との通信を確立する。
前記通信機器の識別、認証及び欠陥のないことの検査は、第１防護装置と第１管理装置とを備えた前記通信端末によって行われ、それらを有効化する不正侵入防止サーバは前記通信端末と交信をする。
【００２５】
その安全な通信システムの実体すべてに、データの送信手段と受信手段とが装備されており、それにより、前記実体相互の間でのデータの交信が可能になる。
【００２６】
本発明によれば、その方法には、前記通信端末と前記通信機器との間の連絡を、少なくとも一つの接続通信網を介して確立するステップがあることが含まれている。
【００２７】
本発明によれば、接続通信網を介して確立された前記連絡により、有線通信、携帯端末による通信、光通信そして近距離の無線通信というような通信が可能となる。
【００２８】
はじめに、その端末が一つの通信機器との通信を確立し、それにより、望みのサービスにアクセスして、前記通信端末とその通信機器との組み合わせにより「分割」端末を構成する。
【００２９】
前記「分割」端末の構成を、前記通信端末と前記通信機器との間の通信を確立することに結びつける。
【００３０】
端末と（端子、駐車料金計、ＰＣ等の）通信機器とが一つの接続通信網によって通信でつながれる。
その接続通信網は、例えば、ケーブルによる直列の連絡、携帯通信ＧＰＲＳ通信網、赤外線通信インタフェイスＩｒＤＡ、非接触近接通信インタフェイスあるいはＮＦＣ（Ｎｅａｒ  Ｆｉｅｌｄ  Ｃｏｎｔａｃｔｌｅｓｓ）またはブルートゥース無線インタフェイスでよい。
【００３１】
本発明に従い、前記通信端末と前記通信機器との間のデータの交信の管理と検査は、それぞれ、前記通信端末と前記通信機器に設置されている、少なくとも一つの第１防護装置と、少なくとも一つの第２防護装置とを介して行われる。
【００３２】
その端末が少なくとも一つの通信機器との通信を確立し、それにより、端末と前記通信機器との組み合わせによって実現される「分割」端末を構成する。
【００３３】
安全な通信システムにより、高度の安全性で端末と通信機器とのメッセージの交信を行うことができる。
端末の不正侵入防止と管理を行う、前記第１防護装置並びに不正侵入防止サーバにより、前記通信機器がどのようなものであっても、識別、認証そして不備のないことの検査を実施して有効化する。
通信機器には「分割」端末を構成する前記通信端末との交信を管理する不正侵入防止の第２防護装置が装備されている。
【００３４】
本発明によれば、安全な通信を起動する少なくとも一つの手続きを識別する処理は、前記通信端末と前記通信機器との間の、前記第１防護装置によって行われる。
【００３５】
端末が前記通信機器と通信を確立するとすぐに、前記通信機器の管理を処理することにより一つの「分割」端末を構成する。
【００３６】
一つの「分割」端末を起動する手続きを実施するのは、端末と前記通信機器との間の安全な通信を確立するためである。
実施されている手続きがどのようなものかを認識するように、通信が確立されている前記通信機器に応じて安全な通信の管理に識別子を割り当てる。
【００３７】
本発明によれば、安全な通信の少なくとも一つのパラメータ化の検査を、前記通信端末のユーザが介入することなく、前記通信端末の前記第１防護装置によって自動的に行う。
【００３８】
安全性を高めるために、例えば、前記通信端末の前記第１防護装置の中でパラメータ化をし、時間を引き延ばす値を超える時間が経過した後も応答のないままになっているメッセージについては、自動的にその「分割」端末の起動手続きを停止することにする。
その同一の「分割」端末に応じて一つの起動手続きについて許可される停止の最大数もまたパラメータ化可能なものであり、それにより、外部から金を使い込むようなことを一切防止する。
【００３９】
本発明によれば、前記不正侵入防止サーバにより処理されて、前記通信機器で実行されるデータの暗号解読の結果は、前記不正侵入防止サーバの中の前記機器の身元を暗号化した結果と同じである。
【００４０】
本発明によれば、前記不正侵入防止サーバにより処理され、前記通信機器で実行される前記データの暗号解読は、結果を予想する可能性が一切なくなるようにするため、前記通信機器の所与の時点での構成に応じて、前記不正侵入防止サーバに設置された前記認証装置が実行する欠陥性検査に左右されるものである。
【００４１】
端末と通信機器との間に確立された通信において、そして、その「分割」端末の管理において高度の安全性を実現するために、前記不正侵入防止の管理を、端末と、前記通信機器と、そして前記不正侵入防止サーバとの間で分担する。
このような三つの実体のうちの一つが不具合を検出すると、その「分割」端末の起動手続きは停止される。
【００４２】
外部からの一切の不正行為のため、不正侵入または使い込みを防止するために、安全な通信システムのそのような実体間で交信されるデータについての処理を、不正侵入防止サーバの前記認証装置によって行い、それにより、端末と通信機器との欠陥性検査を行う。
【００４３】
それを行うために、前記不正侵入防止サーバが処理したデータの暗号解読の結果と、前記通信機器の身元の暗号化の結果との間で比較をする。
【００４４】
安全性を高めるために、前記不正侵入防止サーバの認証装置は、通信機器の所与の時点での構成に応じて、少なくとも一つの対照表の中で使用可能な暗号化の鍵のペアの一つの集合の中からの選択を行う。
【００４５】
本発明によれば、前記通信機器の前記第２防護装置と第２管理装置とで、通信機器についての介入を一切できないようにするのは、前記携帯端末の前記ユーザである。
【００４６】
そのようにして、「分割」端末の確立は、不正侵入から守られる。
端末のユーザは、前記通信機器にはどのようにしても介入することはできず、その他のどのような介入を外部から行うこともできず、一切の不正行為や使い込みはできないようになっている。
【００４７】
本発明に従い、前記通信端末と前記通信機器との間のデータの交信への不正侵入防止は、少なくとも一つの暗号化鍵を用いて伝送前のデータを処理することで行われる。
【００４８】
既存のシステムとは逆に、暗号化は端末の中と不正侵入防止サーバの中で行われる。
更に、データ伝送はまた、安全な通信システムの様々な実体の間でのメッセージの交信の際に暗号化されてもよい。
【００４９】
本発明によれば、少なくとも一つの接続通信網を介して複数の通信機器が、端末と通信を同時に確立する。
【００５０】
本発明によれば、複数の通信機器が、前記接続網を介して前記通信端末と独自に通信している。
【００５１】
本発明によれば、前記安全な通信を起動する手続きは、前記通信端末と通信中のそれぞれの通信機器について識別される。
【００５２】
複数の通信機器が、同時に、そして独自に、ユーザが希望した、例えば飲み物の自動販売機、通信端子、ＰＣ等のアプリケーションに従って前記通信端末と通信を開始することが可能であり、また該複数の通信機器は、少なくとも一つの接続網によって前記通信端末に接続されている。
前記通信端末と少なくとも一つの通信機器の間の通信は、前記接続通信網を介して確立されている。
【００５３】
本発明に従った、そして一つの端末と少なくとも一つの通信機器との組み合わせによって実現された「分割」端末と呼ばれる端末の構成を可能にした安全なデータ通信システムは、「分割」端末を構成するのに適した機能と通信手段とを有するものなら、どのようなタイプの接続通信網にも、そしてどのような通信機器にも移し換えることが可能なものである。
【００５４】
不正侵入防止を万全にした状態で、独自に「分割」端末を起動する手続きを前記通信機器のそれぞれに実施する。
異なる識別子は、全てのメッセージに個別化することができ、それにより、同時に行われる前記「分割」端末の起動の様々な手続きを識別する。
【００５５】
すなわち、本発明の課題を解決するための手段は、次のとおりである。
【００５６】
第１に、
端末（２０）と、少なくとも一つの通信機器（３０、３０'）との間で、安全なデータ通信を行う方法であり、
端末（２０）と通信機器（３０、３０'）との間で、少なくとも一つの接続通信網（５０）を介して少なくとも一つの通信を確立し、
端末（２０）に設置された、少なくとも一つの第１防護装置（２５）により、不正侵入から守られた通信の少なくとも一つの起動手続きを指示し、通信が確立されている通信機器（３０、３０'）に対応する安全な通信の管理に識別子を割り当てるために、前記識別子は、前記起動手続きに対応しており、
前記通信機器（３０、３０'）を、前記第１防護装置（２５）によって識別することにより、前記通信機器（３０、３０'）の性質を認識し、そして、前記通信機器（３０、３０'）を、適合した構成でなくとも前記端末（２０）と互換性のあるものとし、
少なくとも一つの認証鍵と、少なくとも前記起動手続きに対応する前記識別子とにより、少なくとも一つの不正侵入防止サーバ（１０）によって処理されたデータを取得することで、前記通信機器（３０、３０'）を認証し、それにより、識別された前記通信機器（３０、３０'）に、一つの乱数値を付加し、
前記不正侵入防止サーバ（１０）の少なくとも一つの認証装置（１２）により、前記通信機器（３０、３０'）の欠陥性を検査し、通信機器が損なわれていないかどうかの検査を、認証の際に伝達されるデータで実行される少なくとも一つの欠陥性検査のソフトウエアと、そのようなデータの暗号を解読するのを不正侵入から守るための一組の暗号鍵の集合から選ぶことによって行い、
前記不正侵入防止サーバ（１０）によって処理され、前記通信機器（３０、３０'）が実行したデータの暗号解読の結果を、前記不正侵入防止サーバ（１０）の前記通信機器（３０、３０'）の身元の暗号化の結果と比較し、また、
識別、認証、欠陥性検査が肯定的であり、比較の結果が同一である場合には、前記端末（２０）に設置された少なくとも一つの第１管理装置（２７）に指示して、前記通信機器（３０、３０'）と安全なデータ通信を確立する、というステップからなることを特徴とする、通信端末と通信機器との間の安全なデータ通信方法。
【００５７】
第２に、
前記不正侵入防止サーバ（１０）によって処理され、前記通信機器（３０、３０'）によって実行されたデータの暗号解読は、欠陥性検査に左右され、
該検査は、前記不正侵入防止サーバ（１０）に設置された前記認証装置（１２）が、結果を予想する可能性を一切阻止するために、前記通信機器（３０、３０'）の所定の時点での構成に応じて行われることを特徴とする、前記第１に記載の安全なデータ通信方法。
【００５８】
第３に、
前記端末（２０）と前記通信機器（３０、３０'）との間のデータの交信は、前記端末（２０）か前記通信機器（３０、３０'）に設置された少なくとも一つの第１防護装置（２５）と、少なくとも一つの第２防護装置（３２）とを介して管理及び検査され、前記確立された通信の安全な管理を分担することを特徴とする、前記第１または前記第２に記載の安全なデータ通信方法。
【００５９】
第４に、
前記端末（２０）と前記通信機器（３０、３０'）との間のデータの交信を不正侵入から守るために、少なくとも一つの暗号鍵と、前記起動手続きに対応する少なくとも前記識別子とのダイジェストを用い、それにより、伝送前のデータを処理し、伝送されたメッセージを有効化することを特徴とする、前記第１〜前記第３のいずれか一つに記載の安全なデータ通信方法。
【００６０】
第５に、
前記端末（２０）と前記不正侵入防止サーバ（１０）との間のデータの交信を不正侵入から守るために、少なくとも一つの暗号鍵と、前記起動手続きに対応する少なくとも前記識別子とのダイジェストを用い、それにより、伝送前のデータを処理し、正確な伝送の有効化をすることを特徴とする前記第１〜前記第４のいずれか一つに記載の安全なデータ通信方法。
【００６１】
第６に、
前記安全な通信のパラメータ化は、前記端末（２０）の前記第１防護装置（２５）によって、前記確立された通信の安全性を高めるために前記端末（２０）のユーザが介入することなく自動的に検査されることを特徴とする、前記第１〜前記第５のいずれか一つに記載の安全なデータ通信方法。
【００６２】
第７に、
前記端末（２０）が、ユーザ・インタフェイス（２３）により前記通信の確立を停止するメッセージを受信するのは、識別または認証または欠陥性検査が失敗した場合であることを特徴とする、前記第１〜前記第６のいずれか一つに記載の安全なデータ通信方法。
【００６３】
第８に、
複数の通信機器（３０、３０'）が、同時に前記端末（２０）と、少なくとも一つの接続通信網（５０）を介して通信を確立することを特徴とする、前記第１〜前記第７のいずれか一つに記載の安全なデータ通信方法。
【００６４】
第９に、
複数の通信機器（３０、３０'）が、前記端末（２０）と通信中の前記通信機器（３０、３０'）のそれぞれの起動手続きの識別により、前記接続通信網（５０）を介して独自に前記端末（２０）と通信することを特徴とする、前記第１〜前記第８のいずれか一つに記載の安全なデータ通信方法。
【００６５】
第１０に、
一つの端末（２０）と少なくとも一つの通信機器（３０、３０'）との間の安全なデータ通信システムであり、少なくとも一つの通信が、その端末（２０）とその通信機器（３０、３０'）との間に確立されており、
前記システムが、前記端末（２０）と、前記端末（２０）と通信中の少なくとも一つの通信機器（３０、３０'）、
そして、前記通信機器（３０、３０'）を管理するための少なくとも一つの第１管理装置（２７）を備えた、
前記端末（２０）に設置された少なくとも一つの第１防護装置（２５）と確立された前記通信への不正侵入を防止するために、少なくとも一つの通信機器（３０、３０'）の識別、認証そして欠陥性検査を有効化するのに適した、少なくとも一つの認証装置（１２）を含む少なくとも一つの不正侵入防止サーバ（１０）、を含むことを特徴とする、安全なデータ通信システム。
【００６６】
第１１に、
前記第１０に記載の安全なデータ通信システムを実施するのに適した、不正侵入防止サーバ（１０）であり、
少なくとも一つの通信機器（３０、３０'）の識別、認証そして欠陥性検査を有効化するのに適した少なくとも一つの認証装置（１２）と、少なくとも前記端末（２０）との交信のためにデータを送信と受信する手段（１１、１３）とを備えていることを特徴とする、不正侵入防止サーバ。
【００６７】
第１２に、
前記認証装置（１２）が、前記端末（２０）と一体化されていることを特徴とする、前記第１１に記載の不正侵入防止サーバ（１０）。
【００６８】
第１３に、
前記通信機器（３０、３０'）の識別、認証そして欠陥性検査が、異なる別々の装置で行われることを特徴とする、前記第１１に記載の不正侵入防止サーバ（１０）。
【００６９】
第１４に、
前記第１０に記載の安全なデータ通信システムを実施するのに適した、端末（２０）であり、
前記通信機器（３０、３０'）の身元を受信し、前記前記第１１に記載の不正侵入防止サーバ（１０）と交信する少なくとも一つの第１防護装置（２５）と、端末（２０）のソースにアクセスし、ユーザに前記端末（２０）の情報を送る少なくとも一つのユーザ・インタフェイス（２３）と、前記端末（２０）を管理するための少なくとも一つの第１管理装置（２７）と、そして、少なくともデータ送信と受信の手段を備えていることを特徴とする、通信端末。
【００７０】
第１５に、
端末（２０）と通信するために少なくともデータ送信と受信の手段（３１、３３）を含み、
前記第１０に記載の安全なデータ通信システムを実施するのに適した、通信機器（３０、３０'）であり、
その通信機器（３０、３０'）に、前記通信機器（３０、３０'）の識別、認証そして欠陥性検査を行うための少なくとも一つの第２防護装置（３２）と、端末（２０）を管理するための少なくとも一つの第２管理装置（３４）を備えることを特徴とする、通信機器。
【００７１】
第１６に、
前記通信機器（３０、３０'）の前記第２防護装置（３２）と第２管理装置（３４）とが、前記端末（２０）のユーザによる前記通信機器（３０、３０'）への一切の介入を禁止していることを特徴とする、前記第１５に記載の通信機器。
【発明の効果】
【００７２】
本発明によると、端末と、通信機器との間で、安全な通信を確立でき、付加価値の高い安全なサービスを提供することができる。
【００７３】
また、本発明に従った、そして一つの端末と少なくとも一つの通信機器との組み合わせによって実現された「分割」端末と呼ばれる端末の構成を可能にした安全なデータ通信システムは、「分割」端末を構成するのに適した機能と通信手段とを有するものなら、どのようなタイプの接続通信網にも、そしてどのような通信機器にも移し換えることが可能である。
【００７４】
さらに、本発明に従った安全なデータ通信システムは、一つの端末と少なくとも一つの通信機器との組み合わせることによって実現される「分割」と呼ばれる端末を構成することを可能にする。
このようにして形成された前記「分割」端末より、端末のユーザは、自分の端末の技術的可能性と特性を、不正侵入防止を強化しつつ拡張することが可能となり、それまではアクセスすることが不可能であった新しいサービスにアクセスすることが可能になる。
【発明を実施するための最良の形態】
【００７５】
本発明がどのように構成されているか、また本発明をどのようにして実施することが可能であるかについては、非制限的な例として示された添付図面を参照しつつ以下の詳細な説明を読むことによって明らかになる。
【００７６】
図１は、本発明に従った端末と通信機器との間の安全な通信システムの全体構造を示した概略図である。
【００７７】
図２は、本発明に従った端末と通信機器との間の安全な通信方法のステップを示す説明図である。
【００７８】
本発明に従った安全なデータ通信システムは、端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との組み合わせによって実現される所謂「分割」端末（つまり「ｓｐｌｉｔ  ｔｅｒｍｉｎａｌ」）を構成することを可能にする。
前記分割端末は、３ＧＰＰの技術報告書に示された構想を実施する技術的解決策である。
【００７９】
このように形作られた前記分割端末は、端末２０のユーザに、前記通信機器Ｅ３０、通信機器Ｅ'３０'がどのようなものであろうと、不正侵入防止を万全にし、自身の端末の技術的可能性と特性を増大させることを可能にする。
【００８０】
前記「分割」端末の構成は、前記端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との間の通信を確実に通じるものとする。
前記通信機器３０、３０'は、少なくとも一つの接続通信網５０を介して端末２０と連絡されている。
【００８１】
前記接続通信網５０は、ケーブルによる直列の連絡、携帯通信ＧＰＲＳ通信網、赤外線通信インタフェイスＩｒＤＡ、非接触近接通信インタフェイスあるいはＮＦＣ（Ｎｅａｒ  Ｆｉｅｌｄ  Ｃｏｎｔａｃｔｌｅｓｓ）またはブルートゥース無線インタフェイスのような有線通信、携帯端末による通信、光通信そして近距離の無線通信という数々の通信を可能にする。
【００８２】
前記端末２０は、どのような性質のものでもよく、例えばパーソナルコンピューターまたはＰＣ、携帯端末あるいは通信機器Ｅ３０、通信機器Ｅ'３０'を付け加えることが可能な端末であれば、その他のどのような端末であってもよい。
【００８３】
通信機器Ｅ３０、通信機器Ｅ'３０'は異なる性質ものであってもよく、例えばメッセージ・サービス付きの通信公共端子、電子支払いアプリケーション及び通信機能付きの飲料自動販売機、駐車料金徴収の通信端子、通信機能付き駐車料金計、ＰＣタイプのパーソナルコンピューター等が考えられる。
【００８４】
したがって、端末２０のユーザが通信したいと望む機器Ｅは、ユーザの所有物でない可能性があり、それゆえ、ユーザはそれを自由に使うことはできない。
【００８５】
「分割」端末の構成は、前記通信機器の性質がどのようなものであろうと実現可能であり、端末と前記機器とを互換性のあるものにするような構成にする必要もないため、時間が無駄にならず、ユーザによって前記通信端末の構成の間違いを回避することができる。
その端末とその通信機器との間に確立した通信の互換性と不正侵入防止は自動的に行われ、それは、近距離または遠距離のどのような通信機器にも適合したものである。
【００８６】
本発明を実施するシステムを示す図１では、関係する機器は、少なくとも一つの「Ｓ」と呼ばれる不正侵入防止サーバ１０、少なくとも一つの「Ｔ」と呼ばれる端末２０、そして少なくとも一つの「Ｅ」と呼ばれる通信機器３０、３０'である。
【００８７】
前記不正侵入防止サーバ１０は、少なくとも一つの認証装置１２を含み、該装置は、通信機器Ｅ３０、通信機器Ｅ'３０'を端末２０と組み合わせて一つの「分割」端末を構成する場合に、少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'の識別、認証検査そして欠陥性の検査と有効化を行うためのものである。
前記認証装置１２は、通信インタフェイス１３を備えており、該通信インタフェイス１３は、少なくともデータ送信手段と受信手段で構成されており、前記不正侵入防止サーバ１０の第１伝送インタフェイス１１でメッセージの送信と受信を行うのに適している。
前記第１伝送インタフェイス１１は、少なくともデータ送信手段と受信手段で構成されており、それにより、第２伝送インタフェイス２１を備えた前記端末２０で伝送されるデータの交信が可能になる。
前記不正侵入防止サーバ１０は、前記端末２０の前記第１防護装置２５でデータを要求し、交信をして、それにより、前記通信機器Ｅ３０、通信機器Ｅ'３０'とのデータ通信を不正侵入を防止しつつ確立するのに適している。
前記不正侵入防止サーバ１０と前記端末２０との間の伝送を確立するのは、少なくとも一つの前記アクセス通信網４０を介して行われる。
【００８８】
前記アクセス通信網４０は、ケーブルによる直列の連絡、赤外線通信インタフェイスＩｒＤＡ、携帯通信ＧＰＲＳ通信網、非接触近接通信インタフェイスあるいはＮＦＣ（Ｎｅａｒ  Ｆｉｅｌｄ  Ｃｏｎｔａｃｔｌｅｓｓ）またはブルートゥース無線インタフェイスのような有線通信、携帯端末による通信、光通信そして近距離の無線通信という数々の通信を可能にする。
【００８９】
前記端末２０は、少なくとも一つのユーザ・インタフェイス２３、少なくとも一つの第１防護装置２５そして前記通信機器Ｅ３０、通信機器Ｅ'３０'を管理するための少なくとも一つの第１管理装置２７を備えている。
【００９０】
ユーザ・インタフェイス２３により、ユーザは、スクリーンや音響または音声再生手段のような表示手段、キーボードのようなデータ入力手段またはその端末２０のメモリのようなデータ保存手段のような前記端末２０の資源にアクセスすることができる。
ユーザ・インタフェイス２３は、前記端末２０のユーザに情報を提供するために伝達されたメッセージを再生し、前記通信機器Ｅ３０、通信機器Ｅ'３０'の性質によって前記通信の確立を前記ユーザが有効化して受け入れることができるようにし、並びに、「分割」端末を起動する手続きを有効化して受け入れることができるようにする。
前記ユーザ・インタフェイス２３に装備された通信インタフェイス２４は、少なくともデータ送信手段と受信手段とから構成され、前記の端末２０の第１防護装置２５の通信インタフェイス２６でメッセージを送信と受信するのに適している。
【００９１】
端末２０の第１防護装置２５が担当する機能は、前記通信機器Ｅ３０、通信機器Ｅ'３０'を端末２０と組み合わせ、それにより、所謂「分割」端末を構成する場合に、少なくとも一つの前記通信機器Ｅ３０、通信機器Ｅ'３０'との通信を確立する際に、識別子を認証し、欠陥性の検査をすることである。
第１防護装置２５は、前記通信機器３０、３０'の送信元を受信する。
それは、前記通信機器Ｅ３０、通信機器Ｅ'３０'の性質を認識するのに適しており、前記不正侵入防止サーバ１０と交信して端末２０と通信機器Ｅ３０、通信機器Ｅ'３０'との間に確立された通信の不正侵入を防止するのに適している。
前記第１防護装置２５は、また、少なくともデータ送信手段と受信手段とから構成された、通信インタフェイス２６を装備しており、それは、前記端末２０の第１管理装置２７の通信インタフェイス２８でメッセージを送信と受信するのに適している。
【００９２】
前記端末２０の第１管理装置２７は、少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との組み合わせで構成した「分割」端末の管理を担当する。
第１管理装置２７に装備された通信インタフェイス２８は、少なくともデータ送信手段と受信手段とから構成されており、前記端末２０の第１防護装置２５の通信インタフェイス２６でメッセージを送信し、受信するのに適しており、接続通信網５０と互換性のある前記第３伝送インタフェイス２２でメッセージを送信と受信するのに適している。
【００９３】
前記端末２０の第１防護装置２５の前記通信インタフェイス２６は、第２伝送インタフェイス２１と第３伝送インタフェイス２２でメッセージを送信し、受信するのに適しており、更に前記端末２０の前記通信インタフェイス２４と通信インタフェイス２８でデータの交信を送信し、受信するのに適している。
前記端末２０の前記第２伝送インタフェイス２１は、少なくともデータ送信手段と受信手段とから構成されており、それにより、前記第１伝送インタフェイス１１を装備した前記不正侵入防止サーバ１０で伝送されたデータの交信を可能にする。
前記不正侵入防止サーバ１０と前記端末２０との間の伝送は、前記アクセス通信網４０を介して確立される。
前記端末２０の前記第３伝送インタフェイス２２は、少なくともデータ送信手段と受信手段とから構成されており、それにより、第４伝送インタフェイス３１を装備した少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'で伝送されたデータの交信を可能にする。
前記端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との間の伝送は、少なくとも一つの接続通信網５０を介して確立される。
【００９４】
端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との前記第３伝送インタフェイス２２と第４伝送インタフェイス３１は、前記接続通信網５０と互換性がある。
【００９５】
様々な通信機器Ｅ３０、通信機器Ｅ'３０'を様々なタイプの接続通信網５０を接続する場合には、各通信機器Ｅ３０、通信機器Ｅ'３０'に備えられる第４伝送インタフェイス３１は、それに対応するタイプの接続通信網５０と互換性を有する。
その場合には、そのような通信機器Ｅ３０、通信機器Ｅ'３０'を接続するそのタイプの接続通信網５０と互換性がある第３伝送インタフェイス２２を装備した端末との通信を確立することが可能である。
複数の通信機器Ｅ３０、通信機器Ｅ'３０'で同時にそして独立して、少なくとも一つの接続通信網５０を介して前記端末と通信を確立することが可能である。
【００９６】
端末２０は、様々のタイプの接続通信網５０に応じた様々な第３伝送インタフェイス２２を備えることが可能である。
【００９７】
前記通信機器Ｅ３０、通信機器Ｅ'３０'は、端末２０と通信を確立する際に識別し、認証し、そして欠陥性検査を行うための少なくとも一つの第２防護装置３２と、そして前記端末２０を管理するための少なくとも一つの第２管理装置３４を備えている。
通信機器Ｅ３０、通信機器Ｅ'３０'の前記第２防護装置３２に、通信インタフェイス３３を備えており、該通信インタフェイス３３は、少なくともデータ送信手段と受信手段とで構成されており、前記接続通信網５０と互換性のある前記第４伝送インタフェイス３１でメッセージを送信し受信するのに適したものである。
【００９８】
通信機器Ｅ３０、通信機器Ｅ'３０'の前記第２管理装置３４は、端末２０を前記通信機器Ｅ３０、通信機器Ｅ'３０'と組み合わせて構成した、「分割」端末と呼ばれるものの管理を担っている。
第２管理装置３４は、少なくともデータ送信手段と受信手段とで構成されている通信インタフェイス３５を備えており、該通信インタフェイス３５は、前記通信機器Ｅ３０、通信機器Ｅ'３０'の前記第２防護装置３２の前記通信インタフェイス３３でメッセージを送信し受信するのに、そして前記接続通信網５０と互換性のある前記第４伝送インタフェイス３１でメッセージを送信し受信するのに適している。
【００９９】
前記通信機器Ｅ３０、通信機器Ｅ'３０'の前記第２防護装置３２と第２管理装置３４は、前記携帯端末２０のユーザの前記通信機器３０、３０'への一切の介入を禁止する。
このように前記「分割」端末の確立への不正侵入は防止されている。
このように前記端末２０のユーザも外部からのどのようなものも、前記通信機器３０、３０'に介入することはできず、これにより一切の不正行為もしくは金銭の使い込みやパラメータ化へのアクセスも一切できなくなる。
【０１００】
複数の通信機器Ｅ３０、通信機器Ｅ'３０'が同時に、そして独自に、ユーザが希望した、例えば飲み物の自動販売機、通信端子、ＰＣ等のアプリケーションに従って前記端末２０と通信を開始することが可能であり、また該複数の通信機器は、少なくとも一つの接続通信網５０によって前記通信端末に接続されている。
前記端末２０と少なくとも一つの通信機器の間の通信は、前記接続通信網５０を介して確立されている。
不正侵入を防止した通信を起動する手続きは、前記端末２０と通信中のそれぞれの通信機器３０、３０'について識別される。
【０１０１】
通信機器Ｅ３０、通信機器Ｅ'３０'は、常に端末２０と物理的に近くにあるとは限らない。
前記通信機器Ｅ３０、通信機器Ｅ'３０'は、例えば、データ通信網、特にインターネットあるいは企業の民営通信網／イントラネットに応用可能なサーバであってよい。
その場合には、前記通信機器Ｅ３０、通信機器Ｅ'３０'と前記端末２０とをつなぐ接続通信網５０は、例えば、ＧＰＲＳ（「Ｇｅｎｅｒａｌ  Ｐａｃｋｅｔ  Ｒａｄｉｏ  Ｓｙｓｔｅｍ」つまりパケット・モードによる無線通信総合サービス）タイプの携帯端末通信網か、あるいはインターネット通信網であることが考えられる。
【０１０２】
一般的には、本発明に従った不正侵入を防止するデータ通信システムは、一つの端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との組み合わせで実現される「分割」端末と呼ばれる端末を構成することを可能にするものであり、それは、（例えば携帯通信網ＵＭＴＳのような）携帯のものでも、（例えばＡＤＳＬ通信網のような）固定のものでも、（例えば直列接続のような）有線のものでも、（例えばＮＦＣアクセス、ブルートゥース無線インタフェイスのような）非接触のものでも、（例えば赤外線接続ＩｒＤＡのような）光通信のものなどのどのようなタイプの接続通信網５０にも移し換えることが可能なものである。
【０１０３】
それが通信機能付きの腕時計か通信機能付きの衣服のアクセサリーであろうと、通信機能付きの機械についたセンサー、通信機能付きの医療器具または計測器具等、あるいは一つの「分割」端末を構成するのに適した通信機能と手段とを有するどのような機器Ｅであっても、どのような通信機器Ｅ３０、通信機器Ｅ'３０'にも移し換えることが可能である。
【０１０４】
前記「分割」端末を構成することは、前記端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との間に、前記接続通信網５０を介して通信を確立することに関連している。
【０１０５】
端末２０と一つの通信機器Ｅ３０、通信機器Ｅ'３０'との間の通信の確立は、その端末２０のユーザが率先して行ってもよいし、あるいは、前記端末２０の近くに一つの通信機器Ｅ３０、通信機器Ｅ'３０'が存在することを認識することで起動される。
【０１０６】
前者の場合には、ユーザが自分の端末２０に指示して既存の接続通信網５０を介して通信を確立するのであり、例えばユーザが自分の端末２０を非接触通信網用のＮＦＣセンサーの前に置く。
つぎにユーザが、前記端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'とを組み合わせて実現した「分割」端末と呼ばれるもののために起動の手続きを開始する。
【０１０７】
後者の場合には、その端末２０の前記第３伝送インタフェイス２２が少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'の前記第４伝送インタフェイス３１の存在を検出する。
例えば、前記第３伝送インタフェイス２２が検出されると、通信機器Ｅ３０、通信機器Ｅ'３０'の第４伝送インタフェイス３１は、端末２０の運用システム宛てに中断のメッセージを送信することができる。
前記運用システムは、前記中断メッセージを受信する端末２０に位置にあり、「分割」端末の起動の手続きを開始する。
【０１０８】
一つの「分割」端末を起動するために手続きが実施され、端末の前記通信機器との間に不正侵入を防止した安全な通信が確立される。
不正侵入を防止した安全な通信を起動する手続きの識別と処理が、端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との間の前記第１防護装置２５によって行われる。
実施されている手続きを認識できるように、通信が確立されている前記通信機器Ｅ３０、通信機器Ｅ'３０'に対応する安全な通信の管理に一つの識別子を割り当てる。
【０１０９】
「分割端末」と呼ばれる組み合わせの、端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との間の通信の不正侵入に対する安全性を高めるために、安全性の管理を端末２０と、前記通信機器Ｅ３０、通信機器Ｅ'３０'と、そして少なくとも一つの不正侵入防止サーバ１０との間で分担する。
そのような三つの実態のいずれか一つが不具合を検出すると、「分割」端末を起動する手続きが停止される。
【０１１０】
また、「分割」端末を起動する手続きが開始されるとすぐに、各メッセージの送信後に時間の引き延ばしが指示される。
前記時間の引き延ばしの持続時間は、パラメータ化が可能なものであるか、前もって規定されたものである。
時間の引き延ばしの持続時間が、パラメータ化されたあるいは前もって規定された値を超過すると、進行中の起動手続きは停止される。
前記停止された起動手続きに対応する識別子によって、もはやすべてのメッセージが考慮されなくなる。
パラメータ化された、あるいは前もって規定された時間引き延ばしの値を超過する時間をすぎても応答のないメッセージもまた、「分割」端末を起動する手続きを停止させることになる。
同一の「分割」端末、つまり、同一の端末２０と同一の通信機器Ｅ３０、通信機器Ｅ'３０'との組み合わせに対応する一つの起動手続きについて許可される停止の最大数もまたパラメータ化が可能である。
不具合についての停止の数をパラメータ化したものが達成されるとすぐに、それに対応する前記「分割端末」の起動はできなくなる。
【０１１１】
前記安全な通信を可能にする一切のパラメータ化は、このように前記端末２０のユーザの介入なしに自動的に端末２０の第１防護装置２５によって検査される。
【０１１２】
破綻をきたしたあらゆる場合には、前記端末２０は、前記ユーザ・インタフェイス２３によって前記安全な通信の確立を停止するメッセージを受信する。
【０１１３】
従って、このような管理の分担により、不正侵入防止に対する高度の安全性が可能と、一つの「分割端末」が不正行為、あるいは時機を失したやり方で生成されることを防止することが可能になる。
更には、不正侵入防止サーバ１０の認証装置１２、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２、並びに端末２０の第１防護装置２５は、例えば、「分割」端末を起動する方法において以下に後述する機能を有する、ＩＣカードまたは安全な電子部品によって製作可能である。
ＩＣカードは、例えば３ＧＰＰ（Ｔｈｉｒｄ  Ｇｅｎｅｒａｔｉｏｎ  Ｐａｒｔｎｅｒｓｈｉｐ  Ｐｒｏｊｅｃｔ）規格化グループの標準やＥＴＳＩ（Ｅｕｒｏｐｅａｎ  Ｔｅｌｅｃｏｍｍｕｉｎｉｃａｔｉｏｎｓ  Ｓｔａｎｄａｒｄｓ  Ｉｎｓｔｉｔｕｔｅ  つまり欧州電気通信規格化協会）の標準により規定されたようなＳＩＭカードまたはＵＩＣＣカードであってもよい。
【０１１４】
また、本発明に従ったシステムの様々な実体の間の通信を不正侵入から守るため、そしてそのような実体相互の間で認証するために、伝送するメッセージを、例えば、既存の暗号化方法を用いて、あるいは公開／秘密鍵による暗号化や対称鍵による暗号化を用いて、暗号化する。
前記安全な通信システムの一つの実体が、鍵ＫによりメッセージＭを暗号化する場合には、その暗号化方法によって、メッセージＫ（Ｍ）を読むことができるのは、補完的鍵Ｋ'を有する実体だけということになる。
公開／秘密鍵による暗号化で、一つの鍵Ｋに対応するのは一つの補完的鍵Ｋ'であり、それにより、鍵Ｋにより暗号化されたメッセージＭは、メッセージＫ（Ｍ）であり、補完的鍵Ｋ'によるメッセージＫ（Ｍ）の暗号化はメッセージＭに等しい。
対称鍵による暗号化の場合には、鍵ＫとＫ'は同一である。
【０１１５】
前記端末２０と、一方では前記通信機器Ｅ３０、通信機器Ｅ'３０'、他方では前記不正侵入防止サーバ１０との間のデータの交信は、伝送前にデータを処理するように不正侵入から守る。
端末２０の第１防護装置２５と、一方では、前記通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２と、他方では前記不正侵入防止サーバ１０の認証装置１２との間の伝送もまた暗号化される。
【０１１６】
前記端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'との間の更新は、それぞれ前記端末２０と前記通信機器Ｅ３０、通信機器Ｅ'３０'に配置されている、少なくとも一つの前記第１防護装置２５と前記第２防護装置３２を介して管理、制御されている。
【０１１７】
本発明に従った安全な通信システムにおいて、不正侵入防止サーバ１０の認証装置１２は、ＫＡ'、ＫＢ、ＫＣ、ＫＤ'と呼ばれる鍵と、一時的な鍵ＫＴＡとＫＴＡ'とを備えることを想定している。
端末２０の第１防護装置２５は、ＫＢ'及びＫＤと呼ばれる鍵と、一時的な鍵ＫＴＢとＫＴＢ'とを備えている。
通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２には、鍵ＫＣ'及びＫＡと一時的な鍵ＫＴＣとＫＴＣ'とを備える。
一時的な鍵は、前記「分割」端末を起動する手続きの結果が正である場合の通信を暗号化し認証するために用いられる。
一時的な鍵ＫＴＡ、ＫＴＡ'、ＫＴＢ、ＫＴＢ'、ＫＴＣ、ＫＴＣ'は、好ましくは対称鍵であり、該対称鍵はより高性能の暗号化を提供できるものである。
他の鍵ＫＡ、ＫＡ'、ＫＢ、ＫＢ'、ＫＣ、ＫＣ'、ＫＤ及びＫＤ'は、好ましくは公開鍵／秘密鍵の原則に従って非対称鍵である。
【０１１８】
本発明の理解を助けるために、端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との間の安全な通信方法の様々なステップを図２に示した。
【０１１９】
前述したように、「分割」端末を起動する手続きの開始は、端末２０、あるいは少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'によって引き起こされる（ステップ１）。
【０１２０】
端末２０の側で開始する場合には、ユーザは、具体的には例えば、スクリーンに表示されるウェブ・ページのハイパーテキスト・リンクの形での端末２０のユーザ・インタフェイス２３で選択することにより、「分割」端末を起動する手続きを指示することができる。
この場合、ユーザ・インタフェイス２３は、通信インタフェイス２４と通信インタフェイス２６を介し、「分割」端末を起動する手続きを行うための指示を、端末２０の第１防護装置２５に与える。
そうでなければ、通信機器Ｅ３０、通信機器Ｅ'３０'がその起動手続きを開始してもよい。
【０１２１】
どちらの場合でも、端末２０の第１防護装置２５が、その進行中の起動手続きに対応する識別子を生成する。
前述したように、複数の通信機器Ｅ３０、通信機器Ｅ'３０'で前記端末２０との通信を確立することができる。
したがって、異なるもう一つの通信機器Ｅ３０、通信機器Ｅ'３０'で実現される一つの分割端末を起動させたいという要請は、それぞれ第１防護装置２５中の識別子で識別される。
【０１２２】
端末２０の前記第１防護装置２５が、前記通信機器Ｅ３０、通信機器Ｅ'３０'の識別を要請する。
前記第１防護装置２５が、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２に向かって、通信インタフェイス２６と端末２０の第３伝送インタフェイス２２とを経由して、接続通信網５０を経由して、第４伝送インタフェイス３１と通信機器Ｅ３０、通信機器Ｅ'３０'の通信インタフェイス３３とを経由して問い合わせメッセージを送信する。
前記識別問い合わせメッセージには、進行中の起動手続きの識別子とタイプのメッセージつまり「識別要請」ということが含まれている（ステップ２）。
【０１２３】
例えば、接続通信網５０が赤外線インタフェイスによる通信網である場合には、端末２０と通信機器Ｅ３０、通信機器Ｅ'３０'にはそれぞれ赤外線インタフェイス・タイプの第３伝送インタフェイス２２、第４伝送インタフェイス３１が装備されていなければならない。
その端末２０と少なくとも一つの通信機器Ｅ３０、通信機器Ｅ'３０'との間に赤外線による連絡が確立される場合には、端末２０の第３伝送インタフェイス２２は、通信インタフェイス２６経由でメッセージを第１防護装置２５に向けて送り、それにより、前記通信機器Ｅ３０、通信機器Ｅ'３０'の識別を申請する。
きっかけがなんであろうと、伝送されるメッセージには通信機器Ｅ３０、通信機器Ｅ'３０'の識別申請が含まれている。
【０１２４】
端末２０の中でのメッセージの交信は、例えば、２００２年１２月９日付けで出願された仏国特許発明第０２１５５２１号明細書に記載されているような、ＳＩＭＡｃｃｅｓｓと呼ばれるプロトコルにしたがって行われてもよい。
接続通信網５０において、また通信機器Ｅ３０、通信機器Ｅ'３０'の中でのデータの交信は、例えばＷ３Ｃ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ  Ｃｏｎｓｏｒｔｉｕｍ）標準化機構によって規定された既存のＳＯＡＰ（Ｓｉｍｐｌｅ  Ｏｂｊｅｃｔ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌつまり物体間通信プロトコル）によって行われてよい。
不正侵入に対する安全性を高めるために、接続通信網５０において伝送される通信もまた暗号化してよい。
前述したように、進行中の起動手続きは、交信が破綻したならいつでも停止してよい。
【０１２５】
「識別申請」のメッセージを受信した後、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２が端末２０の第１防護装置２５に、身元問い合わせへの返答として伝達するメッセージは、進行中の起動手続きに対応する識別子、「身元問い合わせへの返答」というタイプのメッセージ、そして通信機器Ｅ３０、通信機器Ｅ'３０'の身元ＩＥと進行中の起動手続きに対応する識別子とを鍵ＫＡによって暗号化することで生成された暗号化された身元ＩＣとを含むものである（ステップ３）。
【０１２６】
鍵ＫＡは、通信機器Ｅ３０、通信機器Ｅ'３０'の身元ＩＥを暗号化に用い、それにより、前記身元を解読できるのは、鍵ＫＡを有する不正侵入防止サーバ１０の認証装置１２だけであるようにし、特に端末２０から不正なアクセス、あるいは場合によっては操作したりできる可能性が一切ないようにするものである。
進行中の起動手続きに対応する識別子を使うのは、その暗号化の生成物に乱数値を付加するためである。
そのことから、生成物ＩＣは常に異なる結果を出し、単純に写すだけでは再現不能であり、識別子は一つの手続きを起動するたびに変わる。
【０１２７】
「身元問い合わせへの返答」というメッセージを受信した後、端末２０の第１防護装置２５が不正侵入防止サーバ１０の認証装置１２に向けて、通信インタフェイス２６と通信インタフェイス１３、第２伝送インタフェイス２１と第１伝送インタフェイス１１、そしてアクセス通信網４０を経由して、伝達するメッセージは、進行中の起動手続きに対応する識別子、「身元照会」というタイプのメッセージ、鍵ＫＤ（つまりＫＤ（ＩＣ））で暗号化された通信機器Ｅ３０、通信機器Ｅ'３０'の暗号化された身元ＩＣ、そしてメッセージの先行する構成要素を鍵ＫＤで暗号化することにより生成されるダイジェストＣＯＣＩを含む（ステップ４）。
ダイジェストＣＯＣＩによりメッセージを有効化し、宛て先である装置によって送り手である装置の認証を行うことができる。
【０１２８】
送り手の側の機器が用いる鍵で暗号化したダイジェストは、宛て先の側の機器でそれを補完する鍵によって暗号を解読され、宛て先の側の機器は、メッセージを送る側の装置を認証する。
この場合には、前記端末２０の第１防護装置２５が、送り手の装置として、鍵ＫＤでそのダイジェストＣＯＣＩを暗号化し、次いで不正侵入防止サーバ１０の認証装置１２が、受け手の装置として、それを保管する鍵ＫＤ'によってダイジェストＣＯＣＩの暗号を解読する。
つぎに第１防護装置２５が、自分の鍵ＫＤでその生成物ＩＣを暗号化する。
このようにして、認証装置１２は、第１防護装置２５が、生成物ＫＤ（ＩＣ）の暗号を解読して起動の手続きの開始を有効化したことを確認する。
【０１２９】
端末２０におけるメッセージの交信は、例えば２００２年１２月９日付けで出願された仏国特許発明第０２１５５２１号明細書に記載されているような、ＳＩＭＡｃｃｅｓｓと呼ばれるプロトコルにしたがって行われてもよい。
アクセス通信網４０における、そして不正侵入防止サーバ１０におけるデータでの交信は、例えば既存のＳＯＡＰ（Ｓｉｍｐｌｅ  Ｏｂｊｅｃｔ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ、つまり物体間通信プロトコル）によって行われてよい。
不正侵入に対する安全性を高めるために、アクセス通信網４０で伝送される通信もまた暗号化してよい。
前述したように、進行中の起動手続きは、交信が破綻したならいつでも停止してよい。
【０１３０】
「身元照会」というメッセージを受信した後、不正侵入防止サーバ１０の認証装置１２は、自分の鍵ＫＤ'により、ダイジェストＣＯＣＩと生成物ＫＤ（ＩＣ）の暗号を解読する（ステップ５）。
認証装置１２が、メッセージの有効性と生成物ＩＣとを導き出す。
進行中の起動手続きの識別子を認識し、鍵ＫＡ'をもって生成物ＩＣの暗号を解読し、通信機器Ｅ３０、通信機器Ｅ'３０'の識別子ＩＥを導き出す。
第１対照表の内容としてあるのは、身元の一覧表ＩＥ、鍵ＫＣそして、料金徴収端子、駐車料金計等のような機器Ｅの性質である。
通信機器Ｅ３０、通信機器Ｅ'３０'の身元ＩＥを承知した上で、認証装置１２は、通信機器Ｅ３０、通信機器Ｅ'３０'の鍵ＫＣと通信機器Ｅ３０、通信機器Ｅ'３０'の性質とを導き出す。
前記認証装置１２が、通信機器Ｅ３０、通信機器Ｅ'３０'を識別されたものと判断するのは、暗号解読が正確に行われ、通信機器Ｅ３０、通信機器Ｅ'３０'の身元ＩＥと進行中の起動手続きの識別子が、前記認証装置１２の第１対照表に記載された情報に適合している場合である。
【０１３１】
第２対照表により、通信機器Ｅ３０、通信機器Ｅ'３０'の身元ＩＥに基づいて、前記認証装置１２は一組になったもの（認証鍵ＣＳＨ、欠陥性検査ソフトウエアＡＶＩ）の集合を導き出す。
ソフトウエアＡＶＩを実行することにより、前記通信機器Ｅ３０、通信機器Ｅ'３０'の所定の時点での配置や組み合わせの構成に対応する認証鍵をソフトウエアＡＶＩにより入手し、通信機器Ｅ３０、通信機器Ｅ'３０'の欠陥性を検査することが可能になる。
前記第２対照表において、使用可能な一組の集合の中から一対を無作為に選択する。
つぎに、認証装置１２が第３対照表の中で使用可能な一組の集合の中から、一対の暗号鍵（ＫＴＡ、ＫＴＡ'）を無作為に選ぶ。
前記認証装置１２が、鍵ＫＴＡを鍵ＫＢ（つまりＫＢ（ＫＴＡ））により暗号化し、鍵ＫＴＡ'は、鍵ＫＣにより暗号化され、集合は、鍵ＫＢ（つまりＫＢ（ＫＣ（ＫＴＡ'）））により暗号化され、そしてソフトウエアＡＶＩは、鍵ＫＣ（つまりＫＣ（ＡＶＩ））により暗号化される。
【０１３２】
このように、前記不正侵入防止サーバ１０の認証装置１２が処理して、前記通信機器Ｅ３０、通信機器Ｅ'３０'が実行するデータの暗号化を左右するのは、欠陥性検査であり、その検査は、前記認証装置１２が、前記通信機器Ｅ３０、通信機器Ｅ'３０'の所定の時点での配置や組み合わせの構成に応じて行われ、それにより、結果を予想する可能性が一切なくなるのは、その選択が一組の暗号鍵の集合の中から無作為に行われるためである。
【０１３３】
不正侵入防止サーバ１０の認証装置１２が、端末２０の第１防護装置２５に伝達するメッセージは、進行中の起動手続きの識別子、「身元照会への肯定的返答」というタイプのメッセージ、通信機器Ｅ３０、通信機器Ｅ'３０'の暗号化されていない平文での性質、生成物ＫＢ（ＫＴＡ）、生成物ＫＢ（ＫＣ（ＫＴＡ'））、生成物ＫＣ（ＡＶＩ）そしてそのメッセージの先行する構成要素から鍵ＫＢによる暗号化に基づき生成されるダイジェストＣＯＲＰを含む（ステップ６）。
【０１３４】
ステップを先行する作業のいずれか一つが破綻した場合は、不正侵入防止サーバ１０の前記認証装置１２が端末２０の第１防護装置２５に伝達するメッセージは、前記起動手続きの識別子と「身元照会への否定的返答」というタイプのメッセージとそのメッセージの先行する構成要素から鍵ＫＢによる暗号化に基づき生成されるダイジェストＣＯＲＰを含む。
【０１３５】
通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２の識別と認証は、ＩＣの暗号を解読し、身元を対照表で検索する際に行われる。
欠陥性検査は、認証装置１２が行い、認証装置１２だけが前記ソフトウエアＡＶＩを通信機器Ｅ３０、通信機器Ｅ'３０'で実行した結果を承知している。
その期待した結果が、認証鍵ＣＳＨである。
ソフトウエアＡＶＩの実行は、もう一つの認証鍵ＣＳＥであり、それは、通信機器Ｅ３０、通信機器Ｅ'３０'の欠陥性検査が陽性の場合には、ＣＳＨと同じでなければならない。
ＣＳＥの結果を予想する可能性が全くないようにするために、認証装置１２は、使用可能な複数のものの中から無作為にソフトウエアＡＶＩを選択する。
そのようにして、その結果は通信機器Ｅ３０、通信機器Ｅ'３０'では予測不可能であるため、不正な操作を行うことはできない。
【０１３６】
「分割」端末が作動する際に、端末２０と通信機器Ｅ３０、通信機器Ｅ'３０'との間のデータの交信への不正侵入防止に必要となる一時的な暗号化の鍵を、端末２０の第１防護装置２５と、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２との間で、交信するのを暗号化できるようにするために、認証装置１２が、一対の一時的な鍵（ＫＴＡ'、ＫＴＡ）を割り当てる。
【０１３７】
鍵ＫＴＡを暗号化するのは、鍵ＫＢであり、鍵ＫＴＡを認識するのは、端末２０の第１防護装置２５である。
鍵ＫＴＡ'は、鍵ＫＣで、つぎに鍵ＫＢで暗号化される。
このように、鍵ＫＴＡ'が通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２に伝達されるのは、端末２０の第１防護装置２５が、生成物ＫＢ（ＫＣ（ＫＴＡ'））の暗号を解読して、前もって同意を与えた場合だけである。
【０１３８】
ソフトウエアＡＶＩは、鍵ＫＣにより暗号化され、それにより通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２にしか暗号が解読されないようになされ、そうすることにより、ソフトウエアＡＶＩの暗号化について、前記端末２０の第１防護装置２５から行われる可能性のある使い込みや不正行為の企てを防止する。
【０１３９】
メッセージが「身元照会への肯定的返答」というようなタイプのものである場合には、前記端末２０の第１防護装置２５が、鍵ＫＢ'に基づいて暗号を解読し、ダイジェストＣＯＲＰ、鍵ＫＴＡと生成物ＫＣ（ＫＴＡ'）の暗号を解読し、メッセージの有効性を導き出す。
第１防護装置２５が、ユーザ・インタフェイス２３に向かって通信インタフェイス２６と通信インタフェイス２４経由で送るメッセージは、進行中の起動手続きの識別子と、「識別了解」というタイプのメッセージと前記通信機器Ｅ３０、通信機器Ｅ'３０'の暗号化していない平文の性質（ステップ７）を含む。
端末２０に位置づけられる資源により、ユーザは、例えば前記通信機器Ｅ３０、通信機器Ｅ'３０'の性質を前記端末２０のスクリーンに表示する。
【０１４０】
メッセージが「身元照会への否定的返答」というようなタイプのものである場合は、前記端末２０の第１防護装置２５が、自分の鍵ＫＢ'に基づきダイジェストＣＯＲＰの暗号を解読してメッセージの有効性を導き出す。
【０１４１】
メッセージが「身元照会への否定的返答」というようなタイプのもの、あるいは、そのステップの先行する作業が失敗した場合は、第１防護装置２５が起動手続きを中断させ、ユーザ・インタフェイス２３に向かって通信インタフェイス２６と通信インタフェイス２４経由で送られるメッセージは、進行中の起動手続きの識別子と「識別不備」というタイプのメッセージを含む（ステップ７ａ）。
通信インタフェイス２６と通信インタフェイス２４との間の交信は、例えば、ＳＩＭＡｃｃｅｓｓプロトコルで行うことが可能である。
【０１４２】
「識別不備」というメッセージを受信した後は、端末２０のユーザ・インタフェイス２３により、ユーザに進行中の起動手続きの破綻原因を示すために、一つのメッセージを復元することが可能になる。
端末２０についている資源により、復元を一つのスクリーン経由で視覚的なものにすることが可能になり、音響的または音声によるもの等にすることもできる。
失敗の場合には、前記端末２０のユーザは、通信機器Ｅ３０、通信機器Ｅ'３０'で通信の確立が停止する旨のメッセージの内容を検討する。
【０１４３】
「識別了解」というメッセージを受信した後は、ユーザ・インタフェイス２３により、通信機器Ｅ３０、通信機器Ｅ'３０'の暗号化していない平文での性質を示すメッセージを復元することが可能になり、進行中の起動手続きを続行する指示を提案することができる。
例えば、ユーザ・インタフェイス２３がインターネット・ナビゲータである場合には、メッセージを、ウェブ・ページとして表示することができる。
ユーザは、起動手続きを続行するか否かを指示し、通信機器Ｅ３０、通信機器Ｅ'３０'を用いて通信の確立を有効化する。
返答が肯定的なものであれば、ユーザ・インタフェイス２３が端末２０の前記第１防護装置２５に伝達するメッセージは、進行中の起動手続きの識別子と「受諾手続」というタイプのメッセージを含む。
返答が否定的である場合は、ユーザ・インタフェイス２３が前記第１防護装置２５に伝達するメッセージは、進行中の起動手続きの識別子と「停止手続」というタイプのメッセージを含む。
【０１４４】
メッセージが「受諾手続」というタイプのメッセージである場合には、端末２０の第１防護装置２５は、一つの対照表に含まれる使用可能な一組の集合の中から一対の鍵（ＫＴＢ、ＫＴＢ'）を選び、鍵ＫＴＡに基づいて鍵ＫＴＢを暗号化する（つまりＫＴＡ（ＫＴＢ））（ステップ８）。
【０１４５】
端末２０の第１防護装置２５が通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２に伝達するメッセージは、進行中の起動手続きの識別子、「認証申請」というタイプのメッセージ、生成物ＫＣ（ＫＴＡ'））、生成物ＫＴＡ（ＫＴＢ）、生成物ＫＣ（ＡＶＩ）並びにそのメッセージの先行する構成要素から鍵ＫＴＡによる暗号化に基づき生成されるダイジェストＣＯＤＡを含む（ステップ９）。
【０１４６】
端末２０の第１防護装置２５は、一対の一時的な鍵（ＫＴＢ、ＫＴＢ'）を割り当て、端末２０の第１防護装置２５に向かって、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２の方向の交信の暗号化ができるようにする。
第１防護装置２５は、鍵ＫＴＡにより鍵ＫＴＢを暗号化して、鍵ＫＴＡ'を承知するに適した、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２のみが、生成物ＫＴＡ（ＫＴＢ）の暗号を解読し、それにより鍵ＫＴＢを抽出するに適しているのだということを保証する。
【０１４７】
メッセージが「停止手続」というタイプのメッセージである場合、もしくは、そのステップの先行する作業のいずれか一つが失敗した場合には、端末２０の第１防護装置２５が、進行中の起動手続きを中断させ、ユーザ・インタフェイス２３に送るメッセージは、進行中の起動手続きの識別子と「停止手続」というタイプのメッセージを含む（ステップ９ａ）。
【０１４８】
「停止手続」というメッセージを受信した後は、端末２０のユーザ・インタフェイス２３により、ユーザに進行中の起動手続きの破綻原因を示すために、一つのメッセージを復元することが可能になる。
前記端末２０に位置にする資源によって復元を、一つのスクリーン経由で視覚的なものにすることができ、また、音響的または音声によるもの等にすることができる。
失敗の場合には、前記端末２０のユーザは、通信機器Ｅ３０、通信機器Ｅ'３０'で通信の確立が停止する旨のメッセージの内容を検討する。
【０１４９】
「認証申請」というメッセージを受信した後は、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２が、一方では、自分の鍵ＫＣ'に基づき暗号を解読してソフトウエアＡＶＩと暗号化の鍵ＫＴＡ'を導き出し、他方では、鍵ＫＴＡ'に基づき鍵ＫＴＢを導き出し、そしてダイジェストＣＯＤＡの暗号を解読してそのメッセージの有効性を導き出す。
【０１５０】
第２防護装置３２が、ソフトウエアＡＶＩを実行する。
ソフトウエアＡＶＩは、所謂「署名済み」のものであるが、それは、認証装置１２で前もって識別されたタイプの通信機器Ｅ３０、通信機器Ｅ'３０'の上でしか実行できないように設計されているためである。
それはまた、通信機器Ｅ３０、通信機器Ｅ'３０'のなかでソフトウエアＡＶＩを実行する過程で入手したデータの集合に基づき、「認証鍵ＣＳＥ」と呼ばれ、細分割鍵または細分割とも呼ばれる値を生成するように設計されてもいる。
前記通信機器Ｅ３０、通信機器Ｅ'３０'でデータを入手し、ソフトウエアＡＶＩは、そのようにして認証される前記通信機器Ｅ３０、通信機器Ｅ'３０'でしか実行できない。
入手される情報は、例えば、ファイル名、通信機器Ｅ３０、通信機器Ｅ'３０'の内部クロックの日付と時間、使用するメモリのスペース等、あるいはそれらの情報を組み合わせたものである可能性がある。
【０１５１】
ソフトウエアＡＶＩの実行が終わったところで、通信機器Ｅ３０、通信機器Ｅ'３０'の前記第２防護装置３２が、一つの対照表に含まれた使用可能な一組の集合の中から無作為に一対の鍵（ＫＴＣ、ＫＴＣ'）を選ぶ。
前記第２防護装置３２は、鍵ＫＡによって暗号化された認証鍵ＣＳＥと鍵ＫＴＢにより暗号化された集合、つまり（ＫＴＢ（ＫＡ（ＣＳＥ）））を暗号化する。
それはまた、鍵ＫＴＢに基づき鍵ＫＴＣの暗号化も行う（つまりＫＴＢ（ＫＴＣ））。
通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２が端末２０の第１防護装置２５に送るメッセージには、進行中の起動手続きの識別子と、「認証回答」というタイプのメッセージ、生成物ＫＴＢ（ＫＡ（ＣＳＥ））、生成物ＫＴＢ（ＫＴＣ）そしてそのメッセージの先行する構成要素から鍵ＫＴＢによる暗号化に基づき生成されるダイジェストＣＯＲＡが含まれる（ステップ１０）。
【０１５２】
通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２は、一対の一時的な鍵（ＫＴＣ、ＫＴＣ'）を割り当て、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２に向かって、端末２０の第１防護装置２５の方向の交信の暗号化ができるようにする。
第２防護装置３２は、鍵ＫＴＢにより鍵ＫＴＣの暗号化を行い、それにより、不正侵入から守った状態で鍵ＫＴＣを端末２０の第１防護装置２５へと伝達することを目指す。
認証鍵ＣＳＥは、鍵ＫＡにより、つぎに鍵ＫＴＢにより暗号化され、鍵ＫＴＢは、端末２０の第１防護装置２５が、生成物ＫＴＢ（ＫＡ（ＣＳＥ））を、その暗号を解読することにより有効化したことを保証し、鍵ＫＡは、鍵ＣＳＥが通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２により送られ、そして、認証装置１２によってのみ暗号解読が可能であり、しかも、その際に、端末２０の第１防護装置２５から使い込みをしたり、不正行為をしたりする可能性はないということを保証する。
【０１５３】
「認証回答」というメッセージを送った後で、前記第２防護装置３２が、通信インタフェイス３３と３５とを経由し、第２管理装置３４に向かって伝達する「分割」端末の起動申請は、具体的には一つのメッセージであり、その内容には進行中の起動手続きの識別子が含まれ、「機器Ｅで分割端末を起動する」というタイプのメッセージ並びに鍵ＫＴＢとＫＴＣ'である（ステップ１１）。
【０１５４】
通信インタフェイス３３と３５との間の交信は、例えば、プロトコルＳＩＭＡｃｃｅｓｓで行うことが可能である。
【０１５５】
そのステップの先行する作業のいずれか一つが失敗した場合には、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２により端末２０の第１防護装置２５に送られるメッセージは、進行中の起動手続きの識別子と、「認証不具合」というタイプのメッセージそしてそのメッセージの先行する構成要素から鍵ＫＴＢによる暗号化に基づき生成されるダイジェストＣＯＲＡを含む。
進行中の起動手続きは、停止される。
【０１５６】
メッセージが「認証回答」というようなタイプのものである場合には、端末２０の第１防護装置２５が、自分の鍵ＫＴＢ'に基づきその暗号を解読し、生成物ＫＡ（ＣＳＥ）、鍵ＫＴＣそして、ダイジェストＣＯＲＡの暗号を解読して、メッセージの有効性を導き出す。
前記第１防護装置２５は、鍵ＫＤによって暗号化された生成物ＫＡ（ＣＳＥ）（つまりＫＤ（ＫＡ（ＣＳＥ））を暗号化することにより、端末２０の第１防護装置２５により正確な伝送を有効化する。
不正侵入防止サーバ１０の認証装置１２に送られるメッセージは、進行中の起動手続きの識別子と、「認証有効化」というタイプのメッセージ、生成物ＫＤ（ＫＡ（ＣＳＥ））、そして、そのメッセージの先行する構成要素から鍵ＫＤにより生成されるダイジェストＣＯＲＣを含む（ステップ１２）。
端末２０の第１防護装置２５は、鍵ＫＤを用いて生成物ＫＡ（ＣＳＥ）を暗号化し、第１防護装置２５から正確な伝送を有効化するようにする。
【０１５７】
メッセージが「認証不具合」というようなタイプのものである場合には、前記第１防護装置２５が、自分の鍵ＫＴＢ'に基づきその暗号を解読し、ダイジェストＣＯＲＡの暗号を解読して、そのメッセージの有効性を導き出す。
そのメッセージが「認証不具合」というタイプのメッセージである場合、もしくは、そのステップの先行する作業のいずれか一つが失敗した場合には、前記第１防護装置２５が、進行中の起動手続きを中断させ、ユーザ・インタフェイス２３に送るメッセージは、進行中の起動手続きの識別子と「認証不備」というタイプのメッセージを含む（ステップ１２ａ）。
【０１５８】
「認証不備」というメッセージを受信した後は、端末２０のユーザ・インタフェイス２３により、ユーザに進行中の起動手続きの破綻原因を示すために、一つのメッセージを伝達することが可能になる。
端末２０に位置づけられている資源により、その復元を一つのスクリーン経由で視覚的なものにすることができ、または音響的または音声によるもの等にすることができる。
失敗の場合には、前記端末２０のユーザは通信機器Ｅ３０、通信機器Ｅ'３０'で通信の確立が停止する旨のメッセージの内容を検討する。
【０１５９】
「認証有効化」というメッセージを受信した後は、不正侵入防止サーバ１０の認証装置１２は、鍵ＫＤに基づき暗号を解読し、そして、ダイジェストＣＯＲＣと生成物ＫＡ（ＣＳＥ）の暗号を解読してそのメッセージの有効性を導き出す。
そして前記認証装置１２は、鍵ＫＡ'に基づき暗号を解読し、そして、前記認証鍵ＣＳＥを導き出す。
前記認証装置１２は、認証鍵ＣＳＥをその対照表により前に入手した認証鍵ＣＳＨと比較する（機器Ｅ、（認証鍵ＣＳＨ、ソフトウエアＡＶＩ））。
【０１６０】
認証鍵ＣＳＨと認証鍵ＣＳＥの二つの鍵が同じ場合には、通信機器Ｅ３０、通信機器Ｅ'３０'は認証されたものと考えられ、鍵ＫＣ'を確かに有する通信機器Ｅ３０、通信機器Ｅ'３０'は損なわれてはいないが、それは二つの認証鍵が対応するためである。
したがって、前記不正侵入防止サーバ１０が処理し、前記通信機器Ｅ３０、通信機器Ｅ'３０'だけで実行されるデータの暗号解読の結果は、前記不正侵入防止サーバ１０の中で前記通信機器Ｅ３０、通信機器Ｅ'３０'の身元の暗号化の結果と同じである。
前記不正侵入防止サーバ１０が処理したデータは、前記「分割」端末に対応する通信機器Ｅ３０、通信機器Ｅ'３０'によってだけ実行された。
【０１６１】
逆の場合には、前記通信機器Ｅ３０、通信機器Ｅ'３０'は、損なわれているか認証されないものか、不正行為または使い込みの対象になっていると考えられるため損なわれているということになる。
不正侵入防止サーバ１０の認証装置１２が、端末２０の第１防護装置２５に送るメッセージは、進行中の起動手続きの識別子と、タイプのメッセージと、そしてそのメッセージの先行する構成要素から鍵ＫＢによる暗号化に基づき生成されるダイジェストＣＯＶＣを含む（ステップ１３）。
このタイプのメッセージは、「欠陥性検査の検証陽性」や、そのステップの先行する作業のいずれか一つが失敗した場合には「欠陥性検査の検証陰性」を含む。
【０１６２】
メッセージを受信した後は、端末２０の第１防護装置２５は、自分の鍵ＫＢ'に基づき暗号を解読し、そして、ダイジェストＣＯＶＣの暗号を解読してそのメッセージの有効性を導き出す。
そのタイプのメッセージが「欠陥性検査の検証陽性」である場合には、第１防護装置２５が、通信インタフェイス２６と通信インタフェイス２８を経由して、第１管理装置２７へ送る「分割」端末の起動申請は、具体的には一つのメッセージであり、該メッセージは、進行中の起動手続きの識別子と「分割端末起動」というタイプのメッセージ、並びに鍵ＫＴＣとＫＴＢ'を含む（ステップ１４）。
端末２０の通信インタフェイス２６と通信インタフェイス２８との間の交信は、例えばプロトコルＳＩＭＡｃｃｅｓｓで行うことが可能である。
【０１６３】
メッセージが「欠陥性検査の検証陰性」というタイプである場合、もしくは、ステップの先行する作業のいずれか一つが失敗した場合には、端末２０の第１防護装置２５が、起動手続きを中断させ、ユーザ・インタフェイス２３に送るメッセージは、進行中の起動手続きの識別子と「機器改ざん」というタイプのメッセージ、そして、通信機器Ｅ３０、通信機器Ｅ'３０'の身元を含む（ステップ１４ａ）。
【０１６４】
「機器改ざん」というメッセージを受信した後は、端末２０のユーザ・インタフェイス２３により、ユーザに進行中の起動手続きの破綻原因を示すために、一つのメッセージを伝達することが可能になる。
端末２０に位置づけられている資源により、復元を一つのスクリーン経由で視覚的なものにすることができ、また音響的または音声によるもの等にすることができる。
失敗の場合には、前記端末２０のユーザは、通信機器Ｅ３０、通信機器Ｅ'３０'で通信の確立が停止する旨のメッセージの内容を検討する。
【０１６５】
「分割端末起動」というメッセージを受信した後は、「分割」端末起動手続きは実行が成功したことになる（ステップ１５）。
端末２０の第１管理装置２７は、不正侵入から守られた状態で、通信機器Ｅ３０、通信機器Ｅ'３０'と通信するのに適しているのであり、鍵ＫＴＣとＫＴＢ'は、前記第１管理装置２７と通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２との間で、行ったり来たりする通信をそれぞれ不正侵入から守るために用いられる。
【０１６６】
このステップが実行されると、端末２０と通信機器Ｅ３０、通信機器Ｅ'３０'とで構成されている前記「分割」端末は実用的なものになる。
この場合、前記分割端末は、起動されたものと考えられる。
【０１６７】
そのとき、端末２０の第１管理装置２７と通信機器Ｅ３０、通信機器Ｅ'３０'の第２管理装置３４とは、鍵ＫＴＢ、ＫＴＢ'、ＫＴＣとＫＴＣ'によって暗号化することにより不正侵入から守られた状態で互いに通信するのに適している。
そのようにして形成された「分割」端末の性質と用法に応じて、交信の初期化は、端末２０の第１管理装置２７や、通信機器Ｅ３０、通信機器Ｅ'３０'の第２管理装置３４によって行うことが可能である。
【０１６８】
交信の初期化を行うのが端末２０の第１管理装置２７である場合には、メッセージを通信機器Ｅ３０、通信機器Ｅ'３０'の第２管理装置３４に向かって伝達するのは、通信インタフェイス２８、第３伝送インタフェイス２２、接続通信網５０、第４伝送インタフェイス３１、そして、通信インタフェイス３５を介して行う。
交信の初期化を行うのが、通信機器Ｅ３０、通信機器Ｅ'３０'の第２管理装置３４である場合には、メッセージを端末２０の第１管理装置２７に向かって伝達するのは、逆方向に同じインタフェイスを介して行う。
【０１６９】
通信インタフェイス２６と第３伝送インタフェイス２２の間の交信、並びに、接続通信網５０での第３伝送インタフェイス２２と第４伝送インタフェイス３１との間の交信、そして、第４伝送インタフェイス３１と通信インタフェイス３５との間の交信は、例えばプロトコルＳＯＡＰにより行うことが可能である。
【０１７０】
分割端末用の起動手続きを新しく開始することは、既に存在する起動の途中のどの時点でも行ってよい。
このような新しい起動手続きは、全面的でも部分的でも、前記「分割」端末の中で用いられている機器の身元、真実性そして欠陥性をこの時点において保証することを可能にするものである。
新しい起動手続きが失敗する場合には、「分割」端末は起動しない状態になり、進行中の通信は唐突に中止されることになる。
【０１７１】
不正侵入防止に要求されるもしくは希望される水準に応じて、前述したような起動手続きの実施を例えば、通信機器Ｅ３０、通信機器Ｅ'３０'の第２防護装置３２をなくして、簡略化してもよい。
【０１７２】
不正侵入防止サーバ１０に用意されている前記認証装置１２は、前記通信機器Ｅ３０、通信機器Ｅ'３０'の識別、認証及び欠陥性検査の機能のためのものであるが、それを端末２０または第１防護装置２５に一体化できるように、簡略化してもよい。
【０１７３】
同様に、不正侵入防止サーバ１０の認証装置１２の機能と、端末２０の機能とを前記端末２０の防護装置２５に一体化してもよい。
それは、例えば、前記端末２０が電子身分証明カードで、すべての機能を集約しており、「分割」端末が前記身分証明カード（つまり端末２０）と通信端子（つまり通信機器Ｅ３０、通信機器Ｅ'３０'）で構成されている場合に当てはまる。
【０１７４】
しかしながら、効率を考えると、一つの「分割」端末を起動する手続きには、端末２０の前記第１防護装置２５が行う検査が少なくとも一つはなければならないというのが絶対条件であり、それにより、「分割」端末を構成する前記端末２０と通信機器Ｅ３０、通信機器Ｅ'３０'との間の通信を適宜、不正侵入から守らなければならない。
【０１７５】
起動手続きの実施は、各防護装置を別々の三つの装置に分割し、それぞれを独自の機能つまり識別、認証、そして、欠陥性検査専用にして、より複雑なものにすることも可能である。
その場合には、前記通信機器Ｅ３０、通信機器Ｅ'３０'の識別、認証、そして、欠陥性検査を行うのは、異なった別々の装置である。
前記起動手続きのステップに変わりはないが、これらの新しい装置の間の新しいメッセージが生成され、前記新しい装置間でのデータの交信が可能となる。
【図面の簡単な説明】
【０１７６】
【図１】本発明に従った端末と通信機器との間の安全な通信システムの全体構造を示した概略図である。
【図２】本発明に従った端末と通信機器との間の安全な通信方法のステップを示す説明図である。
【符号の説明】
【０１７７】
１０  不正侵入防止サーバ
１１  第１伝送インタフェイス
１２  認証装置
１３  通信インタフェイス
２０  端末
２１  第２伝送インタフェイス
２２  第３伝送インタフェイス
２３  ユーザ・インタフェイス
２４  通信インタフェイス
２５  第１防護装置
２６  通信インタフェイス
２７  第１管理装置
２８  通信インタフェイス
３０  通信機器
３１  第４伝送インタフェイス
３２  第２防護装置
３３  通信インタフェイス
３４  第２管理装置
３５  通信インタフェイス
４０  アクセス通信網
５０  接続通信網
【図１】
2005196776.tif 000003
【図２】
2005196776.tif 000004