(57)【要約】      （修正有）【課題】同一居住者が所有するＳＭ（スマートメータ）と居住者端末とで共通鍵を共有させる共通鍵共有システムを提供する。【解決手段】共通鍵共有システムは、居住者端末ＩＤ２１１を有し共通鍵を保持する居住者端末２００、ＳＭＩＤ１１１を有し居住者端末２００と共有する共通鍵を保持するＳＭ１００並びに受信する居住者端末ＩＤ及び居住者ＩＤ５２１がデータベース５１０に予め登録されているかをチェックし、居住者端末ＩＤ及び居住者ＩＤがデータベースに予め登録されているならば、居住者端末ＩＤと対応付けられてデータベースに格納されているＳＭＩＤ５２２を有するＳＭと居住者端末ＩＤを有する居住者端末との共通鍵を生成し、生成した共通鍵を居住者端末２００及びＳＭ１００に送信するＭＤＭＳ（メーターデータ管理装置）５００を有する。【選択図】図１
2016131302.tif 000002
【特許請求の範囲】
【請求項１】
居住者端末ＩＤを有し、共通鍵を保持する居住者端末、
ＳＭ(スマートメータ)ＩＤを有し、前記居住者端末と共有する前記共通鍵を保持するＳＭ、並びに、
受信する前記居住者端末ＩＤおよび居住者ＩＤがデータベースに予め登録されているかをチェックし、前記居住者端末ＩＤおよび前記居住者ＩＤが前記データベースに予め登録されているならば、前記居住者端末ＩＤと対応付けられて前記データベースに格納されている前記ＳＭＩＤを有する前記ＳＭと前記居住者端末ＩＤを有する前記居住者端末との前記共通鍵を生成し、生成した前記共通鍵を前記居住者端末および前記ＳＭに送信するＭＤＭＳ（メータデータ管理装置）を有することを特徴とする共通鍵共有システム。
【請求項２】
前記ＭＤＭＳは、
前記居住者端末ＩＤが前記データベースに予め登録されていなければ前記居住者端末ＩＤを詐称した攻撃と判定し、
前記居住者端末ＩＤが前記データベースに予め登録されていて、前記居住者ＩＤが前記データベースに予め登録されていなければ、前記攻撃および前記居住者端末ＩＤまたは前記居住者ＩＤの入力ミスのいずれか一方と判定する
ことを特徴とする請求項１に記載の共通鍵共有システム。
【請求項３】
前記居住者端末ＩＤおよび前記居住者ＩＤを入力し、入力した前記居住者端末ＩＤおよび前記居住者ＩＤを前記ＭＤＭＳの送信する居住者端末登録装置をさらに有する
ことを特徴とする請求項２に記載の共通鍵共有システム。
【請求項４】
前記居住者端末登録装置は、前記居住者ＩＤおよび前記居住者端末ＩＤの各々の複数回入力および誤り訂正符号利用のいずれか一方により、前記居住者端末ＩＤおよび前記居住者ＩＤの入力ミスを検知または修正することを特徴とする請求項３に記載の共通鍵共有システム。
【請求項５】
前記ＭＤＭＳは、前記居住者ＩＤが前記データベースに予め登録されているかをチェックする、前記ＭＤＭＳが持つタイマに基づく現在時刻が、前記居住者端末ＩＤを前記データベースに予め登録した時刻より所定時間経過しているならば、前記攻撃と判定し、前記所定時間経過していないならば、前記入力ミスと判定する
ことを特徴とする請求項２〜４のいずれか１項に記載の共通鍵共有システム。
【請求項６】
前記ＭＤＭＳは、受信した前記居住者ＩＤと前記データベースに予め登録されている居住者ＩＤとの距離を用いて前記攻撃または前記入力ミスと判定することを特徴とする請求項２〜５のいずれか１項に記載の共通鍵共有システム。
【請求項７】
前記ＭＤＭＳは、受信した前記居住者ＩＤが、前回受信した居住者ＩＤと異なる場合に前記居住者端末ＩＤを詐称した前記攻撃と判定することを特徴とする請求項２〜６のいずれか１項に記載の共通鍵共有システム。
【請求項８】
前記ＭＤＭＳは、前記攻撃と判定した場合に、管理者への連絡および前記攻撃と判定した前記居住者端末ＩＤを有する居住者端末からのアクセスのブロックのいずれかを実行し、前記入力ミスと判定した場合には、前記居住者端末ＩＤおよび前記居住者ＩＤの少なくとも一方を再入力することを特徴とする請求項２〜７のいずれか１項に記載の共通鍵共有システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、共通鍵共有システムに関し、特に電力の自動検針に係る共通鍵共有システムに関する。
【背景技術】
【０００２】
スマートグリッドでは、居住者宅内に設置されたＳＭ（Ｓｍａｒｔ  Ｍｅｔｅｒ）が電力会社内のＭＤＭＳ（Ｍｅｔｅｒ  Ｄａｔａ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）に電力使用量を送信することで、自動検針を行うシステムの構築が進められている。また、居住者宅内では、ＳＭから居住者端末を介して、ＩＨＤ（Ｉｎ−Ｈｏｍｅ  Ｄｉｓｐｌａｙ、宅内表示器）に電力使用量を送信し、ＩＨＤが電力使用量の履歴を表示することで、電力使用量を可視化するサービスなどが行われている。ここで、居住者端末とは、居住者宅内に設置され、ＳＭと通信を行い、取得した電力使用量などをＩＨＤ等の宅内機器に送信する装置である。
【０００３】
外部への電力使用量の漏えいやＳＭへの不正アクセスによる電力使用量の改ざんなどを防止するため、ＳＭと居住者端末との間では暗号化通信が行われる。暗号化通信を行うためには、事前にＳＭと居住者端末との間で共通鍵を共有する必要がある。
【０００４】
共通鍵の共有を行うための背景技術として、特許文献１がある。特許文献１には、「情報処理装置は、デバイス鍵記憶部と生成部と演算部と通信部と鍵算出部とを備える。デバイス鍵記憶部はデバイス鍵を記憶する。生成部は、デバイス鍵とメディアキーブロックとからメディア鍵を生成する。演算部は、情報処理装置に固有の第１固有情報と公開情報とに基づいて第１出力情報を演算する。通信部は、第１出力情報を外部装置に送信し、外部装置が計算した第２出力情報を外部装置から受信する。鍵算出部は、メディア鍵と第１固有情報と第２出力情報とに基づいて共有鍵を算出する。」と記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１２−２１３００９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１を、スマートグリッドにおけるＳＭ（Ｓｍａｒｔ  Ｍｅｔｅｒ）と居住者端末の共通鍵の共有に適用した場合、ＳＭと居住者端末との所有者が考慮されていないので、異なる居住者が所有する、ＳＭと居住者端末とで共通鍵が共有される可能性がある。
【０００７】
したがって、同一居住者が所有する、ＳＭと居住者端末とでの共通鍵を共有することが必要である。
【課題を解決するための手段】
【０００８】
開示する共通鍵共有システムは、居住者端末ＩＤを有し、共通鍵を保持する居住者端末、ＳＭＩＤを有し、居住者端末と共有する共通鍵を保持するＳＭ、並びに、受信する居住者端末ＩＤおよび居住者ＩＤがデータベースに予め登録されているかをチェックし、居住者端末ＩＤおよび居住者ＩＤがデータベースに予め登録されているならば、居住者端末ＩＤと対応付けられてデータベースに格納されているＳＭＩＤを有するＳＭと居住者端末ＩＤを有する居住者端末との共通鍵を生成し、生成した共通鍵を居住者端末およびＳＭに送信するＭＤＭＳを有する。
【発明の効果】
【０００９】
開示する共通鍵共有システムによれば、異なる居住者が所有するＳＭと居住者端末で共通鍵が共有されることを防ぎ、同一居住者が所有するＳＭと居住者端末で共通鍵を共有させることができる。
【図面の簡単な説明】
【００１０】
【図１】共通鍵共有システムの構成例である。
【図２】共通鍵共有システムを構成する各装置のハードウェア構成である。
【図３】居住者端末登録の処理手順およびデータの流れである。
【図４】共通鍵配布の処理手順およびデータの流れである。
【図５】攻撃と入力ミスの識別の処理手順およびデータの流れである。
【図６】電力使用量可視化の処理手順およびデータの流れである。
【図７】居住者端末契機による共通鍵Ｂ無効化の処理手順およびデータの流れである。
【図８】ＭＤＭＳ契機による共通鍵Ｂ無効化の処理手順およびデータの流れである。
【発明を実施するための形態】
【００１１】
図１は、共通鍵共有システムの構成例である。このシステムは、居住者の電力使用量履歴を保持するＳＭ（Ｓｍａｒｔ  Ｍｅｔｅｒ：スマートメータ）１００、ＳＭ１００から送信される電力使用量履歴をＩＨＤ（Ｉｎ−Ｈｏｍｅ  Ｄｉｓｐｌａｙ：宅内表示器）３００に送信する居住者端末２００、電力使用量を可視化（表示装置に表示）するＩＨＤ３００、居住者端末ＩＤをＭＤＭＳ（Ｍｅｔｅｒ  Ｄａｔａ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ：メーターデータ管理装置）５００に登録する居住者端末登録装置４００、及び、ＳＭ１００と居住者端末２００間の共通鍵をＳＭ１００と居住者端末２００に送信するＭＤＭＳ５００を含む構成である。但し、ＩＨＤ３００を用いずに、ＩＨＤ３００の機能を居住者端末２００に持たせ、電力使用量の可視化を居住者端末２００で行うようにしても良い。ＳＭ１００は居住者宅の外側など、居住者端末２００とＩＨＤ３００は居住者宅内など、居住者端末登録装置４００は電力会社内、または居住者端末提供会社（アグリゲータ）内など、ＭＤＭＳ５００は電力会社内などに設置する。
【００１２】
ＳＭ１００とＭＤＭＳ５００との間の通信路は「Ａルート」、ＳＭ１００と居住者端末２００との間の通信路は「Ｂルート」、居住者端末２００とＭＤＭＳ５００との間の通信路は「Ｃルート」と呼ばれる。Ａルートはインターネット、キャリア網などによる通信ルートであり、Ｂルートは無線、ＰＬＣ（電力線汎用通信）などによる通信ルートであり、Ｃルートはインターネットなどによる通信ルートである。ＳＭ１００と居住者端末２００とＩＨＤ３００は、同一の居住者宅に各々複数台存在しても良い。
【００１３】
ＳＭ１００とＭＤＭＳ５００の共通鍵を「共通鍵Ａ」、ＳＭ１００と居住者端末２００の共通鍵を「共通鍵Ｂ」、居住者端末２００とＭＤＭＳ５００の共通鍵を「共通鍵Ｃ」、居住者端末２００とＩＨＤ３００の共通鍵を「共通鍵Ｈ」と呼ぶことにする。
【００１４】
ＳＭ１００は、データの暗号化や復号を行う暗号化・復号部１０１、通信Ｉ／Ｆ１０２、及びデータベース１１０を有する。データベース１１０は、ＳＭ ＩＤ１１１、電力使用量履歴１１２、共通鍵Ａ１１３、及び共通鍵Ｂ１１４を有する。
【００１５】
居住者端末２００は、データの暗号化や復号を行う暗号化・復号部２０１、通信Ｉ／Ｆ２０２、及びデータベース２１０を有する。データベース２１０は、居住者端末ＩＤ２１１、共通鍵Ｂ２１２、共通鍵Ｃ２１３、及び共通鍵Ｈ２１４を有する。
【００１６】
ＩＨＤ３００は、居住者ＩＤを取得するＩＤ取得部３０１、共通鍵Ｂの配布要求を行う共通鍵Ｂ配布要求部３０２、電力使用量履歴の送信要求を行う電力使用量履歴送信要求部３０３、データの暗号化や復号を行う暗号化・復号部３０４、通信Ｉ／Ｆ３０５、及びデータベース３１０を有する。データベース３１０は、共通鍵Ｈ３１１を有する。
【００１７】
居住者端末登録装置４００は、居住者端末ＩＤを取得するＩＤ取得部４０１、居住者端末の登録要求を行う居住者端末登録要求部４０２、及び通信Ｉ／Ｆ４０３を有する。
【００１８】
ＭＤＭＳ５００は、居住者端末ＩＤがデータベース５１０に登録されているかの検証を行う居住者端末ＩＤ検証部５０１、居住者ＩＤがデータベース５１０に登録されているものと一致するか否かの検証を行う居住者ＩＤ検証部５０２、居住者ＩＤが一致しなかった場合に攻撃か入力ミスかの識別を行う攻撃と入力ミスの識別部５０３、共通鍵Ｂを生成する鍵生成部５０４、データの暗号化や復号を行う暗号化・復号部５０５、通信Ｉ／Ｆ５０６、及びデータベース５１０を有する。データベース５１０は、居住者毎に居住者情報５２０を有する。居住者情報５２０は、居住者ＩＤ５２１、ＳＭ ＩＤ５２２、居住者端末ＩＤ５２３、共通鍵Ａ５２４、共通鍵Ｃ５２５、及び居住者端末登録時刻５２６を有する。
【００１９】
なお、図示及び前述の、ＳＭ１００、居住者端末２００、ＩＨＤ３００、居住者端末登録装置４００、およびＭＤＭＳ５００の各装置の各処理部は、どのような処理を実行するかを表しており、独立して構成されなくてもよい。ここは、後述するように各装置が処理の主体となるように、各処理部は構成される。
【００２０】
ＳＭ ＩＤ１１１は、製造時などに書き込まれる各ＳＭ１００を識別する識別子である。居住者端末ＩＤ２１１は、製造時などに書き込まれる各居住者端末２００を識別する識別子である。居住者ＩＤ５２１とＳＭ ＩＤ５２２は、後述する居住者端末登録の前に書き込まれている。具体的には、居住者から住所や氏名などの情報とＳＭ ＩＤが電話やインターネットを介して通知され、ＭＤＭＳ５００の操作者（電力会社のオペレータ）が通知内容に基づいて居住者ＩＤ５２１とＳＭ ＩＤ５２２をデータベース５１０に登録する。居住者端末ＩＤ５２３と居住者端末登録時刻５２６は、後述の居住者端末登録時に書き込まれる。
【００２１】
共通鍵Ａ１１３と共通鍵Ａ５２４は、同じ鍵であり、居住者宅にＳＭ設置前に電力会社内などで、またはＳＭの居住者宅への設置時に、ＳＭ１００とＭＤＭＳ５００との通信を経て共有する。共通鍵Ｂ１１４と共通鍵Ｂ２１２は、同じ鍵であり、後述の共通鍵Ｂ配布処理において共有される。共通鍵Ｃ２１３と共通鍵Ｃ５２５は、同じ鍵であり、後述の居住者端末登録処理において共有される。共通鍵Ｈ２１４と共通鍵Ｈ３１１は、同じ鍵であり、居住者端末２００とＩＨＤ３００の設置前に、電力会社や居住者端末提供会社の保守員などが書き込む、または居住者端末２００とＩＨＤ３００の設置後に、居住者が居住者宅内において書き込むことで共有する。
【００２２】
図２は、ＳＭ１００、居住者端末２００、ＩＨＤ３００、居住者端末登録装置４００、及びＭＤＭＳ５００のハードウェア構成である。これらの端末または装置は、図２のようにＣＰＵ６００、メモリ６０１、ＨＤＤ６０２、入力装置６０３、出力装置６０４、通信装置６０５を有する。但し、これら全てを持つ必要はなく、例えば、居住者端末２００が入力装置６０３と出力装置６０４を持たない場合もある。
【００２３】
図３は、居住者端末登録の処理手順およびデータの流れである。前述のように、ＭＤＭＳ５００のデータベース５１０の居住者情報５２０に、居住者ＩＤ５２１とＳＭ ＩＤ５２２がすでに登録されている。居住者端末登録処理では、居住者情報５２０に居住者端末ＩＤ５２３をさらに登録する。居住者端末登録処理は、居住者端末２００を居住者宅に設置する前に、電力会社や居住者端末提供会社の保守員などの登録処理者により実行が開始される。
【００２４】
居住者端末登録装置４００は、登録処理者が入力した居住者ＩＤと居住者端末ＩＤを取得する（Ｓ１０１）。居住者端末登録装置４００は、取得した居住者ＩＤと居住者端末ＩＤをＭＤＭＳ５００に送信(中継)することで、居住者端末登録要求を行う（Ｓ１０２）。ＭＤＭＳ５００は、受信した居住者ＩＤと同一の居住者ＩＤ５２１を持つ居住者情報５２０に、受信した居住者端末ＩＤを書き込む（Ｓ１０３）。受信した居住者ＩＤと同一の居住者ＩＤ５２１を持つ居住者情報５２０がなければ、ＭＤＭＳ５００は、エラーメッセージを居住者端末登録装置４００に送信し、処理を終了する。
【００２５】
ＭＤＭＳ５００は、居住者端末２００とＭＤＭＳ５００で共有する共通鍵Ｃを生成する（Ｓ１０４）。ＭＤＭＳ５００は、受信した居住者ＩＤと同一の居住者ＩＤ５２１を持つ居住者情報５２０に、生成した共通鍵Ｃ５２５を書き込む（Ｓ１０５）。ＭＤＭＳ５００は、受信した居住者ＩＤと同一の居住者ＩＤ５２１を持つ居住者情報５２０に、現在時刻（ＭＤＭＳ５００が持つタイマが示す時刻）を居住者端末登録時刻５２６として書き込む（Ｓ１０６）。
【００２６】
ＭＤＭＳ５００は、生成した共通鍵Ｃを居住者端末登録装置４００に送信する（Ｓ１０７）。居住者端末登録装置４００は、受信した共通鍵Ｃを居住者端末２００に送信する（Ｓ１０８）。居住者端末２００は、受信した共通鍵Ｃをデータベース２１０に書き込む（Ｓ１０９）。
【００２７】
Ｓ１０１において、居住者端末登録装置４００が居住者ＩＤと居住者端末ＩＤを入力するが、このとき、登録処理者に各ＩＤを複数回入力させる、または誤り訂正符号を用いるなどにより、ＩＤの入力ミスを検知、または修正するようにしても良い。これにより、登録処理者の入力ミスによって居住者端末ＩＤが正しく登録されないという問題の発生を防ぎ、その結果、後述の共通鍵Ｂ配布処理において、共通鍵Ｂが正しく共有されないという問題の発生を防ぐことができる。
【００２８】
図４は、共通鍵Ｂ配布の処理手順およびデータの流れである。本処理は、居住者端末２００を居住者宅に設置した後に、居住者がＩＨＤ３００に居住者ＩＤを入力することで行う。また、本処理では、ＭＤＭＳ５００が共通鍵Ｂを、以下に説明するＳ２１５においてＳＭ１００に送信し、Ｓ２１８において居住者端末２００に送信するが、これらの順序は逆であっても良い。なお、共通鍵Ｂが危殆化した場合などにおける鍵更新の処理手順およびデータの流れも、図４と同じである。
【００２９】
ＭＤＭＳ５００は、居住者端末２００からのアクセス数を示す変数ｔを１に初期化する（Ｓ２０１）。
【００３０】
ＩＨＤ３００は、居住者が入力した居住者ＩＤを取得する（Ｓ２０２）。ＩＨＤ３００は、取得した居住者ＩＤを共通鍵Ｈ３１１で暗号化する（Ｓ２０３）。ＩＨＤ３００は、暗号化した居住者ＩＤを居住者端末２００に送信することで、共通鍵Ｂの配布要求を行う（Ｓ２０４）。
【００３１】
居住者端末２００は、受信した居住者ＩＤを共通鍵Ｈ２１４で復号する（Ｓ２０５）。居住者端末２００は、復号した居住者ＩＤと居住者端末ＩＤ２１１を共通鍵Ｃ２１３で暗号化する（Ｓ２０６）。居住者端末２００は、暗号化した居住者ＩＤと居住者端末ＩＤ２１１をＭＤＭＳ５００に送信することで、共通鍵Ｂの配布要求を行う（Ｓ２０７）。
【００３２】
ＭＤＭＳ５００は、受信した居住者ＩＤと居住者端末ＩＤ２１１を共通鍵Ｃ５２５で復号する（Ｓ２０８）。ＭＤＭＳ５００は、復号した居住者端末ＩＤ２１１がデータベース５１０に登録されているかをチェックする。即ち、復号した居住者端末ＩＤ２１１と一致する居住者端末ＩＤ５２３を持つ居住者情報５２０をデータベース５１０から検索し、そのような居住者情報５２０（以後、検索結果の居住者情報５２０）があれば、Ｓ２１１に進む。そうでなければ、Ｓ２１０に進む（Ｓ２０９）。
【００３３】
検索結果の居住者情報５２０が存在しない場合、ＭＤＭＳ５００は、居住者端末２００からのアクセスが、居住者端末ＩＤを詐称した攻撃（後述する異常イベント２）であると判定する（Ｓ２１０）。その後、ＭＤＭＳ５００は、電力会社の管理者に連絡（警告メッセージの出力、警告メールの送信などによる）する、居住者端末２００からのアクセスをブロックする、などの対策を行う。
【００３４】
検索結果の居住者情報５２０が存在する場合、ＭＤＭＳ５００は、復号した居住者ＩＤと、検索結果の居住者情報５２０に登録済みの居住者ＩＤ５２１が一致するかをチェックする。一致する場合、Ｓ２１３に進む。そうでなければ、Ｓ２１２に進む（Ｓ２１１）。
【００３５】
居住者ＩＤが一致しない場合、ＭＤＭＳ５００は、居住者が他の居住者のＳＭと自身の居住者端末で共通鍵Ｂを共有しようと試みているのか（攻撃）、それとも正しい居住者ＩＤを入力し損ねたのか（入力ミス）を判定する。攻撃と判定した場合には、ＭＤＭＳ５００は管理者に警告メール等により連絡する、居住者端末からのアクセスをブロックする、などの対策を行い、入力ミスと判定した場合には再入力させるなどの処理を行う（Ｓ２１２）。詳細は、攻撃と入力ミスの識別処理フローで後述する。
【００３６】
居住者ＩＤが一致する場合、ＭＤＭＳ５００は共通鍵Ｂを生成する（Ｓ２１３）。ＭＤＭＳ５００は、共通鍵Ｂを共通鍵Ａ５２４で暗号化したものと、共通鍵Ｂを共通鍵Ｃ５２５で暗号化したものを作成する（Ｓ２１４）。
【００３７】
ＭＤＭＳ５００は、共通鍵Ａ５２４で暗号化された共通鍵Ｂを、検索結果の居住者情報５２０のＳＭ ＩＤを持つＳＭ１００に送信する（Ｓ２１５）。ＳＭ１００は、受信した共通鍵Ｂを共通鍵Ａ１１３で復号する（Ｓ２１６）。ＳＭ１００は、復号した共通鍵Ｂをデータベース１１０に書き込む（Ｓ２１７）。
【００３８】
ＭＤＭＳ５００は、共通鍵Ｃ５２５で暗号化された共通鍵Ｂを、検索結果の居住者情報５２０の居住者端末ＩＤを持つ居住者端末２００に送信する（Ｓ２１８）。居住者端末２００は、受信した共通鍵Ｂを共通鍵Ｃ２１３で復号する（Ｓ２１９）。居住者端末２００は、復号した共通鍵Ｂをデータベース２１０に書き込む（Ｓ２２０）。
【００３９】
このように、居住者が居住者ＩＤを入力し、居住者端末２００が居住者ＩＤと居住者端末ＩＤをＭＤＭＳ５００に送信する。ＭＤＭＳ５００は受信した居住者ＩＤと居住者端末ＩＤが正しいか（即ち、検索結果の居住者情報５２０の居住者ＩＤと居住者端末ＩＤと一致するか）をチェックする。以下では、ＩＤが一致する場合を「正常イベント」、ＩＤが一致しない場合を「異常イベント」と呼ぶことにする。
【００４０】
正常イベントの場合、ＭＤＭＳ５００が居住者ＩＤに紐付く形でＳＭ ＩＤと居住者端末ＩＤを含む居住者情報を管理し、そのＳＭ ＩＤを持つＳＭと、居住者端末ＩＤを持つ居住者端末に共通鍵Ｂを送信する（Ｓ２１５、Ｓ２１８）。これにより、どのＳＭと、どの居住者端末が同一居住者のものかを把握した上で共通鍵Ｂを配布することが可能となり、同一居住者が所有するＳＭと居住者端末同士で共通鍵を共有することが可能となる。
【００４１】
異常イベントは、以下の［異常イベント１］、［異常イベント２］、及び［異常イベント３］のいずれかに分類できる。
［異常イベント１］居住者が、故意に異なる居住者ＩＤを（例えばランダムに）入力することで、他の居住者のＳＭと自身の居住者端末で共通鍵Ｂを共有しようと試みる（攻撃）。
［異常イベント２］居住者が、居住者端末２００内の居住者端末ＩＤ２１１を書き換える、他の端末からＭＤＭＳ５００に不正な居住者ＩＤと居住者端末ＩＤを送信する、といったことをして、故意に異なる居住者ＩＤと居住者端末ＩＤを（例えばランダムに）送信する（攻撃）。
［異常イベント３］居住者が、正しい居住者ＩＤを入力し損ねる（入力ミス）。
【００４２】
Ｓ２０９において一致する居住者端末ＩＤがない場合には攻撃（異常イベント２）と判定し、Ｓ２１１において検索結果の居住者情報と居住者端末ＩＤが一致しない場合には、Ｓ２１２において攻撃（異常イベント１または２）か入力ミス（異常イベント３）かの判定を行う。攻撃の場合には管理者に警告メール等により連絡する、居住者端末からのアクセスをブロックする、などの対策を行う。入力ミスの場合には再入力させるなどの処理を行う。
【００４３】
以上より、異なる居住者が所有するＳＭと居住者端末同士で共通鍵が共有されることを防ぎ、同一居住者が所有するＳＭと居住者端末同士で共通鍵を共有することが可能となる。
【００４４】
図５に、図４のＳ２１２における攻撃と入力ミスの識別の処理手順およびデータの流れを示す。また、本処理におけるＳ３０１、Ｓ３０３、及びＳ３０４の判定の順序はどのような順序でも良い。
【００４５】
ＭＤＭＳ５００は、現在時刻（ＭＤＭＳ５００が持つタイマが示す時刻）が、検索結果の居住者情報５２０の居住者端末登録時刻５２６から所定時間（例えば１週間）以内かどうかを調べる。所定時間以内の場合はＳ３０２に、そうでない場合はＳ３０３に進む（Ｓ３０１）。
【００４６】
ＭＤＭＳ５００は、居住者が正しい居住者ＩＤを入力し損ねたもの、即ち入力ミス（異常イベント３）であると判定する（Ｓ３０２）。その後、正しい居住者ＩＤが得られるまで再入力を促すエラーメッセージを居住者端末２００経由でＩＨＤ３００に送信する、または、居住者端末２００からのアクセス数を示す変数ｔを所定の値（例えば１）に設定した上でＳ３０９に進む。
【００４７】
ＭＤＭＳ５００は、居住者端末２００から受信した居住者ＩＤと、検索結果の居住者情報５２０の居住者ＩＤ５２１との距離（ハミング距離、編集距離など）を求め、その値が所定値以内かどうかを調べる。所定値以内の場合はＳ３０２に、そうでない場合はＳ３０４に進む（Ｓ３０３）。
【００４８】
ＭＤＭＳ５００は、居住者端末２００からのアクセス数を示す変数ｔが２以上の場合において、居住者端末２００から今回受信した居住者端末ＩＤと前回受信した居住者端末ＩＤとを比較し、それらが異なるか否かを調べる。異なる場合はＳ３０５に、そうでない場合はＳ３０６に進む（Ｓ３０４）。
【００４９】
ＭＤＭＳ５００は、居住者端末２００からのアクセスが、居住者端末ＩＤを詐称した攻撃（異常イベント２）であると判定する（Ｓ３０５）。その後、ＭＤＭＳ５００は、電力会社の管理者に警告メール等により連絡する、居住者端末２００からのアクセスをブロックする、などの対策を行う。
【００５０】
ＭＤＭＳ５００は、居住者端末２００からのアクセス数を示す変数ｔを１加算する（Ｓ３０６）。ＭＤＭＳ５００は、居住者端末２００からのアクセス数を示す変数ｔを上限値Ｔと比較する。上限値Ｔ以上の場合はＳ３０８に、そうでない場合はＳ３０９に進む（Ｓ３０７）。
【００５１】
ＭＤＭＳ５００は、居住者端末２００からのアクセスが、居住者ＩＤを詐称した攻撃（異常イベント１）と判定する（Ｓ３０８）。その後、ＭＤＭＳ５００は、電力会社の管理者に警告メール等により連絡する、居住者端末２００からのアクセスをブロックする、などの対策を行う。
【００５２】
ＭＤＭＳ５００は、居住者端末２００にエラーメッセージを送信する（Ｓ３０９）。居住者端末２００は、ＭＤＭＳ５００からのエラーメッセージをＩＨＤ３００に送信する（Ｓ３１０）。ＩＨＤ３００は、Ｓ２０２の処理に戻る（Ｓ３１１）。
【００５３】
本実施形態では、以下の考えに基づいて、攻撃か入力ミスかを判定する。
（１）居住者は、居住者端末登録から所定時間（例えば１週間）以内に共通鍵Ｂの配布要求を行う可能性が高い。
（２）居住者は、正しい居住者ＩＤに対して１文字だけ間違えるなど、正しい居住者ＩＤとの距離（ハミング距離、編集距離など）が小さい入力ミスをする可能性が高い。一方で、居住者ＩＤを（例えばランダムに）入力する攻撃では、正しい居住者ＩＤとの距離が大きくなる可能性が高い。したがって、正しい居住者ＩＤと入力された居住者ＩＤとの距離を所定値(距離の閾値)と比較することにより、入力ミスか攻撃かを識別できる。
（３）居住者端末２００は、Ｓ２０７において、居住者が入力した居住者ＩＤとデータベース２１０内の居住者端末ＩＤ２１１をＭＤＭＳ５００に送信する。したがって、居住者端末ＩＤが前回の値と異なる場合、居住者端末ＩＤを詐称した攻撃（異常イベント２）が発生している。
【００５４】
Ｓ３０１、Ｓ３０３、及びＳ３０４において、（１）（２）（３）のそれぞれに基づいて判定する。なお、これらの（１）（２）（３）の一部を実行するようにしてもよい。
【００５５】
図６は、電力使用量可視化の処理手順およびデータの流れである。本処理は、ＳＭ１００と居住者端末２００で共通鍵Ｂを共有した後に実行する。
【００５６】
ＩＨＤ３００は、電力使用量履歴の送信要求メッセージを共通鍵Ｈ３１１で暗号化する（Ｓ４０１）。ＩＨＤ３００は、暗号化した電力使用量履歴の送信要求メッセージを居住者端末２００に送信する（Ｓ４０２）。
【００５７】
居住者端末２００は、受信した電力使用量履歴の送信要求メッセージを共通鍵Ｈ２１４で復号する（Ｓ４０３）。居住者端末２００は、復号した電力使用量履歴の送信要求メッセージを共通鍵Ｂ２１２で暗号化する（Ｓ４０４）。居住者端末２００は、暗号化した電力使用量履歴の送信要求メッセージをＳＭ１００に送信する（Ｓ４０５）。
【００５８】
ＳＭ１００は、受信した電力使用量履歴の送信要求メッセージを共通鍵Ｂ１１４で復号する（Ｓ４０６）。ＳＭ１００は、復号した電力使用量履歴の送信要求メッセージに応じて、電力使用量履歴１１２を共通鍵Ｂ１１４で暗号化する（Ｓ４０７）。ＳＭ１００は、暗号化した電力使用量履歴１１２を居住者端末２００に送信する（Ｓ４０８）。
【００５９】
居住者端末２００は、受信した電力使用量履歴１１２を共通鍵Ｂ２１２で復号する（Ｓ４０９）。居住者端末２００は、復号した電力使用量履歴１１２を共通鍵Ｈ２１４で暗号化する（Ｓ４１０）。居住者端末２００は、暗号化した電力使用量履歴１１２をＩＨＤ３００に送信する（Ｓ４１１）。
【００６０】
ＩＨＤ３００は、受信した電力使用量履歴１１２を共通鍵Ｈ３１１で復号する（Ｓ４１２）。ＩＨＤ３００は、復号した電力使用量履歴１１２をディスプレイなどに表示する（Ｓ４１３）。
【００６１】
図７に、居住者端末契機による共通鍵Ｂ無効化の処理手順およびデータの流れを示す。本処理は、ＳＭ１００を交換する場合、居住者端末２００を交換する場合、居住者が引越しする場合、居住者端末２００を返却、または廃棄する場合などに実行される。また、以下の説明では、居住者端末２００が共通鍵Ｂ無効化要求メッセージを送信するが、逆に、ＳＭ１００が共通鍵Ｂ無効化要求を送信するようにしても良い。
【００６２】
居住者端末２００は、共通鍵Ｂ無効化要求メッセージを共通鍵Ｂ２１２で暗号化する（Ｓ５０１）。居住者端末２００は、暗号化した共通鍵Ｂ無効化要求メッセージをＳＭ１００に送信する（Ｓ５０２）。
【００６３】
ＳＭ１００は、受信した共通鍵Ｂ無効化要求メッセージを共通鍵Ｂ１１４で復号する（Ｓ５０３）。ＳＭ１００は、復号した共通鍵Ｂ無効化要求メッセージに応じて、共通鍵Ｂを無効化したことを知らせるための無効化終了信号を、共通鍵Ｂ１１４で暗号化する（Ｓ５０４）。ＳＭ１００は、共通鍵Ｂを無効化する（Ｓ５０５）。ＳＭ１００は、暗号化した無効化終了信号を居住者端末２００に送信する（Ｓ５０６）。
【００６４】
居住者端末２００は、受信した無効化終了信号を共通鍵Ｂ２１２で復号する（Ｓ５０７）。居住者端末２００は、復号した無効化終了信号に応じて、共通鍵Ｂ２１２を無効化する（Ｓ５０８）。
【００６５】
図８に、ＭＤＭＳ契機による共通鍵Ｂ無効化の処理手順およびデータの流れを示す。本処理は、ＭＤＭＳ５００が、ＳＭ１００または居住者端末２００の異常状態を検知し、ＳＭ１００と居住者端末２００間の通信を中止する場合などに実行される。また、本処理ではＭＤＭＳ５００がＳＭ１００に共通鍵Ｂ無効化要求メッセージを送信後、居住者端末２００に共通鍵Ｂ無効化要求メッセージを送信するが、ＳＭ１００と居住者端末２００に共通鍵Ｂ無効化要求を送信する処理の順序を逆にしても良い。
【００６６】
ＭＤＭＳ５００は、共通鍵Ｂ無効化要求メッセージを共通鍵Ａ５２４で暗号化する（Ｓ６０１）。ＭＤＭＳ５００は、暗号化した共通鍵Ｂ無効化要求メッセージをＳＭ１００に送信する（Ｓ６０２）。
【００６７】
ＳＭ１００は、受信した共通鍵Ｂ無効化要求メッセージを共通鍵Ａ１１３で復号する（Ｓ６０３）。ＳＭ１００は、復号した共通鍵Ｂ無効化要求メッセージに応じて、共通鍵Ｂ１１４を無効化したことを知らせるための無効化終了信号を共通鍵Ａ１１３で暗号化する（Ｓ６０４）。ＳＭ１００は、共通鍵Ｂ１１４を無効化する（Ｓ６０５）。ＳＭ１００は、暗号化した無効化終了信号をＭＤＭＳ５００に送信する（Ｓ６０６）。
【００６８】
ＭＤＭＳ５００は、受信した無効化終了信号を共通鍵Ａ５２４で復号する（Ｓ６０７）。ＭＤＭＳ５００は、共通鍵Ｂ無効化要求メッセージを共通鍵Ｃ５２５で暗号化する（Ｓ６０８）。ＭＤＭＳ５００は、暗号化し共通鍵Ｂ無効化要求メッセージを居住者端末２００に送信する（Ｓ６０９）。
【００６９】
居住者端末２００は、受信した共通鍵Ｂ無効化要求メッセージを共通鍵Ｃ２１３で復号する（Ｓ６１０）。居住者端末２００は、復号した共通鍵Ｂ無効化要求メッセージに応じて、共通鍵Ｂ２１２を無効化したことを知らせるための無効化終了信号を共通鍵Ｃ２１３で暗号化する（Ｓ６１１）。居住者端末２００は、共通鍵Ｂ２１２を無効化する（Ｓ６１２）。居住者端末２００は、暗号化した無効化終了信号をＭＤＭＳ５００に送信する（Ｓ６１３）。
【００７０】
ＭＤＭＳ５００は、受信した無効化終了信号を共通鍵Ｃ５２５で復号する（Ｓ６１４）。
【００７１】
本実施形態の共通鍵共有システムによれば、異なる居住者が所有するＳＭと居住者端末で共通鍵が共有されることを防ぎ、同一居住者が所有するＳＭと居住者端末で共通鍵を共有させることができる。
【００７２】
さらに、ＭＤＭＳにおいて、同一居住者が所有するＳＭおよび居住者端末、並びにこれらのための共通鍵を一括管理することにより、ＭＤＭＳがＳＭと居住者端末に設定された共通鍵の更新や無効化などを制御することが可能となる。
【符号の説明】
【００７３】
１００：ＳＭ、２００：居住者端末、３００：ＩＨＤ、４００：居住者端末登録装置、５００：ＭＤＭＳ。
【図１】
2016131302.tif 000003
【図２】
2016131302.tif 000004
【図３】
2016131302.tif 000005
【図４】
2016131302.tif 000006
【図５】
2016131302.tif 000007
【図６】
2016131302.tif 000008
【図７】
2016131302.tif 000009
【図８】
2016131302.tif 000010