(57)【要約】      （修正有）【課題】成りすましを容易に防止することができるアクセス制御システム、アクセス制御方法及びアクセス制御プログラムを提供する。【解決手段】アクセス制御システムは、バス４０によって接続されたマスタ２０及びスレーブ３０−１，３０−ｎを備える。スレーブは、マスタと通信を行う第２通信部３０６、スレーブ自身を示す複数のＩＤを記憶する第２記憶部３０２、第２記憶部が記憶するＩＤのいずれか１つをランダムにマスタへ第２通信部を介して送信させるとともに、マスタへ送信させた最初のＩＤがいずれのＩＤであるかを示す情報を第２記憶部に記憶させる第２認証部３０４、及び秘匿の対象となる情報を記憶する情報記憶部３０８を有する。第２認証部は、第２記憶部が記憶するマスタへ送信させた最初のＩＤを再びマスタへ送信した後に、マスタから認証完了を示す情報を、第２通信部を介して受信した場合、情報記憶部に対するマスタからのアクセスを許可する。【選択図】図４
2017091049.tif 000002
【特許請求の範囲】
【請求項１】
マスタから１つ以上のスレーブに対するアクセスを制御するアクセス制御システムであって、
前記マスタは、
前記スレーブと通信を行う第１通信部と、
前記スレーブ自身を示すＩＤを前記第１通信部が最初に受信した場合に、前記第１通信部が最初に受信したＩＤを記憶する第１記憶部と、
前記第１記憶部が記憶したＩＤと、前記第１通信部が２回目以降に受信したＩＤとが一致した場合に、前記スレーブの認証完了を示す情報を、前記第１通信部を介して前記スレーブへ送信させる第１認証部と、
を有し、
前記スレーブは、
前記マスタと通信を行う第２通信部と、
当該スレーブ自身を示す複数のＩＤを記憶する第２記憶部と、
前記第２記憶部が記憶するＩＤのいずれか１つをランダムに前記マスタへ第２通信部を介して送信させるとともに、前記マスタへ送信させた最初のＩＤがいずれのＩＤであるかを示す情報を前記第２記憶部に記憶させる第２認証部と、
秘匿の対象となる情報を記憶する情報記憶部と、
を有し、
前記第２認証部は、
前記マスタへ送信させた最初のＩＤを再び前記マスタへ送信した後に、前記マスタから前記認証完了を示す情報を、前記第２通信部を介して受信した場合、前記情報記憶部に対する前記マスタからのアクセスを許可すること
を特徴とするアクセス制御システム。
【請求項２】
前記第２認証部は、
前記第２記憶部が記憶する全てのＩＤが前記マスタへ送信されても、前記認証完了を示す情報を前記第２通信部が受信しない場合、前記第２記憶部が記憶するＩＤを再度送信させること
を特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
前記第２認証部は、
予め定められた回数以上連続してＩＤを再度送信させても、前記認証完了を示す情報を前記第２通信部が受信しない場合、ロック状態に遷移すること
を特徴とする請求項２に記載のアクセス制御システム。
【請求項４】
前記第２認証部は、
ロック状態に遷移した後に予め定められた時間が経過した場合、ロック状態を解除すること
を特徴とする請求項３に記載のアクセス制御システム。
【請求項５】
前記第２認証部は、
前記マスタから署名付きロック解除要求を受けた場合、ロック状態を解除すること
を特徴とする請求項３に記載のアクセス制御システム。
【請求項６】
前記第２認証部は、
信用レベルに応じて段階的にロック状態を解除すること
を特徴とする請求項５に記載のアクセス制御システム。
【請求項７】
前記第２認証部は、
前記スレーブごとに前記回数が予め定められていること
を特徴とする請求項３に記載のアクセス制御システム。
【請求項８】
前記第２記憶部は、
前記スレーブごとに記憶するＩＤの数が設定されていること
を特徴とする請求項１乃至７のいずれか１項に記載のアクセス制御システム。
【請求項９】
マスタからスレーブに対するアクセスを制御するアクセス制御方法であって、
前記スレーブ自身を示す複数のＩＤを記憶する記憶部からいずれか１つのＩＤをランダムに選択して前記マスタへ最初に送信する工程と、
前記マスタへ最初に送信したＩＤがいずれのＩＤであるかを示す情報を前記記憶部に記憶させる工程と、
前記マスタを認証するために、前記記憶部から１つずつＩＤをランダムに選択して前記マスタへ順次に送信する工程と、
前記マスタへ最初に送信したＩＤであることを示す情報を前記記憶部が記憶しているＩＤを再び前記マスタへ送信した後に、前記マスタから前記認証完了を示す情報を受信した場合、秘匿の対象となる情報を記憶する情報記憶部に対する前記マスタからのアクセスを許可する工程と、
を含むアクセス制御方法。
【請求項１０】
マスタからスレーブに対するアクセスを制御するアクセス制御プログラムであって、
前記スレーブ自身を示す複数のＩＤを記憶する記憶部からいずれか１つのＩＤをランダムに選択して前記マスタへ最初に送信するステップと、
前記マスタへ最初に送信したＩＤがいずれのＩＤであるかを示す情報を前記記憶部に記憶させるステップと、
前記マスタを認証するために、前記記憶部から１つずつＩＤをランダムに選択して前記マスタへ順次に送信するステップと、
前記マスタへ最初に送信したＩＤであることを示す情報を前記記憶部が記憶しているＩＤを再び前記マスタへ送信した後に、前記マスタから前記認証完了を示す情報を受信した場合、秘匿の対象となる情報を記憶する情報記憶部に対する前記マスタからのアクセスを許可するステップと、
をコンピュータに実行させるためのアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システム、アクセス制御方法及びアクセス制御プログラムに関する。
【背景技術】
【０００２】
組み込み機器の分野においては、その機器内に重要な電子情報を搭載し、高度なセキュリティが必要とされるようになりつつある。例えば、組み込み機器では、製造から廃棄までのライフサイクルを通して、機器の利用状態に応じて一貫して安全性を保つことが求められている。
【０００３】
そこで、機器のライフサイクルを通して不正利用防止を図る方法として、管理モジュールが機器内の重要な電子情報（情報資産）に対してライフサイクルの状態遷移に基づくアクセス権の管理を用い、情報資産へのアクセス認証と権限変更する方法が知られている。つまり、情報を管理する側のモジュールをマスタ、管理される側のモジュールをスレーブとして一般化すると、マスタ−スレーブ間の協調動作により、組み込み機器内の情報アクセスが管理されることとなる。
【０００４】
また、特許文献１には、認証装置から被認証装置へ、認証用データと偽装用データとを送信し、第三者が認証装置と被認証装置との間の通信内容から認証用データだけを取り出すことを困難にして、暗号強度を高める認証システムが開示されている。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のマスタ−スレーブ間で情報アクセス管理を行うアクセス制御システムでは、マスタモジュールに対して成りすましを実施されると、スレーブモジュールでは成りすましを検知することができず、情報資産へのアクセスを防止できないことがあった。また、従来は、マスタ−スレーブ間で相互認証などを行う場合、高度な暗号機能や、高速な演算機能などが必要であった。
【０００６】
本発明は、上記に鑑みてなされたものであって、成りすましを容易に防止することができるアクセス制御システム、アクセス制御方法及びアクセス制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明は、マスタから１つ以上のスレーブに対するアクセスを制御するアクセス制御システムであって、前記マスタは、前記スレーブと通信を行う第１通信部と、前記スレーブ自身を示すＩＤを前記第１通信部が最初に受信した場合に、前記第１通信部が最初に受信したＩＤを記憶する第１記憶部と、前記第１記憶部が記憶したＩＤと、前記第１通信部が２回目以降に受信したＩＤとが一致した場合に、前記スレーブの認証完了を示す情報を、前記第１通信部を介して前記スレーブへ送信させる第１認証部と、を有し、前記スレーブは、前記マスタと通信を行う第２通信部と、当該スレーブ自身を示す複数のＩＤを記憶する第２記憶部と、前記第２記憶部が記憶するＩＤのいずれか１つをランダムに前記マスタへ第２通信部を介して送信させるとともに、前記マスタへ送信させた最初のＩＤがいずれのＩＤであるかを示す情報を前記第２記憶部に記憶させる第２認証部と、秘匿の対象となる情報を記憶する情報記憶部と、を有し、前記第２認証部は、前記マスタへ送信させた最初のＩＤを再び前記マスタへ送信した後に、前記マスタから前記認証完了を示す情報を、前記第２通信部を介して受信した場合、前記情報記憶部に対する前記マスタからのアクセスを許可することを特徴とする。
【発明の効果】
【０００８】
本発明によれば、成りすましを容易に防止することができるという効果を奏する。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態にかかるアクセス制御システムの構成例を示す図である。
【図２】図２は、ナビゲーションモジュールの情報資産についてのアクセス制御ポリシーを例示する図である。
【図３】図３は、ナビゲーションモジュールが記憶している自身を示す複数のＩＤ、及びマスタが記憶しているＩＤを示す図である。
【図４】図４は、アクセス制御システムの詳細な構成例を示す図である。
【図５】図５は、アクセス制御システムが初回登録時に実行する動作を示すシーケンス図である。
【図６】図６は、アクセス制御システムが起動時認証時に実行する動作を示すシーケンス図である。
【図７】図７は、スレーブがマスタの正当性認証を行う場合の動作を示すフローチャートである。
【図８】図８は、スレーブの状態遷移を示す図である。
【図９】図９は、信用レベルと情報の対応を示す図である。
【図１０】図１０は、ナビゲーションモジュールがどのＩＤを送信したかを記憶しなおした状態と、マスタが記憶しているＩＤを示す図である。
【図１１】図１１は、ナビゲーションモジュール及び駆動制御モジュールがそれぞれ記憶しているＩＤを例示する図である。
【発明を実施するための形態】
【００１０】
以下に添付図面を参照して、マスタ−スレーブ間でアクセス制御を行うアクセス制御システムの実施形態を詳細に説明する。図１は、実施形態にかかるアクセス制御システム１の構成例を示す図である。図１に示すように、アクセス制御システム１は、例えば自動車１０に搭載されており、マスタとなるライフサイクル管理モジュール２０と、複数のスレーブとなるエンジンコントロールモジュール３０−１、駆動制御モジュール３０−２、ナビゲーションモジュール３０−３、及び車載カメラモジュール３０−４を有する。アクセス制御システム１は、例えば自動車１０における車載のライフサイクル管理システムである。
【００１１】
ライフサイクル管理モジュール（マスタ）２０は、自動車１０の各モジュール構成を把握し、エンジンコントロールモジュール３０−１、駆動制御モジュール３０−２、ナビゲーションモジュール３０−３、及び車載カメラモジュール３０−４（制御対象モジュール：スレーブ）に対して、それぞれ制御指示を与えることができるようにバス４０を介して接続されている。バス４０は、例えば車載Ｅｔｈｅｒｎｅｔ（登録商標）、ＣＡＮ、ＬＩＮなどである。
【００１２】
以下、マスタとなるライフサイクル管理モジュール２０について、「マスタ２０」と記すことがある。また、スレーブとなるエンジンコントロールモジュール３０−１、駆動制御モジュール３０−２、ナビゲーションモジュール３０−３、及び車載カメラモジュール３０−４について、いずれであるかを特定しない場合には単に「スレーブ３０」又は「制御対象モジュール」と記すことがある。マスタ２０及びスレーブ３０は、それぞれ一部又は全部がハードウェアによって構成されてもよいし、一部がソフトウェアによって構成されてもよい。
【００１３】
スレーブ３０は、自動車１０のライフサイクルにおける各ステージに合わせて、それぞれアクセス制御ポリシーが設定されている。ライフサイクル管理モジュール２０は、スレーブ３０それぞれのアクセス制御ポリシーに応じて、制御指示を与えたり、各スレーブ３０からの要求を受ける。
【００１４】
また、ライフサイクル管理モジュール２０は、自動車１０の利用者の認証情報を管理している。例えば、自動車１０のライフサイクルの生産状態において、生産管理者がアクセス可能なデータと、ライフサイクルの販売状態おいて、機器利用者がアクセス可能なデータは異なる。そこで、販売状態にあるのに機器製造者がデータに不正アクセスをすることができないように認証情報とアクセス制御ポリシーが関連付けられている。
【００１５】
図２は、ナビゲーションモジュール３０−３の情報資産についてのアクセス制御ポリシーを例示する図である。図２において、「Ｔ」はアクセス許可（正当なアクセス）を示し、「Ｆ」はアクセス拒否（不正なアクセス）を示す。例えば、機器製造者は、生産状態においては情報資産のＲｅａｄ（読出し）、Ｗｒｉｔｅ（書込み）、Ｅｘｅｃ（実行）が許可され、物流状態においては全てアクセス拒否となる。
【００１６】
ライフサイクル管理モジュール２０について、成りすましが防止されていなければ、ライフサイクル管理モジュール２０から各スレーブ３０に対して不正なアクセスが行われる可能性がある。例えば、ナビゲーションモジュール３０−３には、自宅住所、走行ルートなどの自動車１０の利用者本人からすると外部には公開したくない個人情報が含まれているとする。また、自動車１０が利用状態の時は、利用者本人のみがそれらの個人情報にアクセスすることができ、自動車１０が他の状態になった場合には個人情報にアクセスできないように設定されていたとする。
【００１７】
成りすましが防止されずにライフサイクル管理モジュール２０が不正なものに取替えられてしまうと、利用者本人ではないのに利用者認証の結果を偽って、あたかも利用者本人のように情報資産にアクセスするなど、不正なアクセスができてしまう。
【００１８】
そこで、アクセス制御システム１は、スレーブ３０がマスタ２０の成りすましの有無を容易に検知し、成りすましを検知した場合には、スレーブ３０へのアクセスを禁止するようにされている。
【００１９】
アクセス制御システム１は、「初回登録」と「起動時認証」の２段階の動作を実行することにより、マスタ２０の成りすましを検知する。初回登録を実施するタイミングは、アクセス制御システム１が生産された時や、修理のために部品を交換した時などである。また、アクセス制御システム１が活線挿抜を検知できるように構成されている場合には、マスタ２０が交換されたときにも初回登録を実施する。
【００２０】
まず、初回登録の動作について説明する。初回登録においては、最初にマスタ２０がスレーブ３０に対して当該スレーブ３０を示すＩＤを要求する。
【００２１】
スレーブ３０は、自身を示す複数のＩＤを記憶しており、マスタ２０からＩＤの要求を受け取ると、複数のＩＤの中の１つをランダムに選択し、選択したＩＤをマスタ２０に対して送信する。図３（ａ）は、例えばナビゲーションモジュール３０−３が記憶している自身を示す複数のＩＤを例示している。
【００２２】
また、スレーブ３０は、複数のＩＤの中のどのＩＤを送信したかを記憶しておく。図３（ａ）における○印（正解）は、スレーブ３０が送信したことを記憶したＩＤを示している。
【００２３】
マスタ２０は、スレーブ３０から送信されたＩＤを記憶する。図３（ｂ）は、例えばナビゲーションモジュール３０−３から送信されてマスタ２０が記憶しているＩＤを例示している。
【００２４】
次に、起動時認証の動作について説明する。起動時認証は、初回登録完了後に、例えばアクセス制御システム１に対して電源が入れ直される度に実施される。起動時認証においては、最初にマスタ２０がスレーブ３０に対してＩＤを要求する。
【００２５】
スレーブ３０は、複数のＩＤの中の１つをランダムに選択し、選択したＩＤをマスタ２０に対して送信する。スレーブ３０は、初回登録時に送信したＩＤを選択したときにのみ、認証完了待ち状態になる。
【００２６】
マスタ２０は、スレーブ３０から送信されたＩＤが、マスタ２０自身が記憶しているＩＤと一致しているか否かを判定する（比較する）。マスタ２０は、一致していないと判定した場合には、再びスレーブ３０に対してＩＤを要求する。また、マスタ２０は、一致していると判定した場合には、スレーブ３０に対して認証完了を通知する。
【００２７】
スレーブ３０は、認証完了待ち状態になっている時（すなわち、初回登録時に送信したＩＤを再び送信した直後のみ）に、マスタ２０から認証完了が通知された場合に、マスタ２０が信頼できるものである（成りすましでない）と判定する。
【００２８】
次に、アクセス制御システム１の構成について、さらに詳述する。図４は、アクセス制御システム１の詳細な構成例を示す図である。上述したように、アクセス制御システム１は、１つのマスタ２０と、複数（１〜ｎ）のスレーブ３０とを有し、バス４０によってマスタ２０とスレーブ３０とが接続されている。
【００２９】
図４に示すように、マスタ２０は、第１制御部２００、第１記憶部２０２、第１認証部２０４及び第１通信部２０６を有する。
【００３０】
第１制御部２００は、マスタ２０を構成する各部を制御する。また、第１制御部２００は、例えばユーザー認証に基づいて、スレーブ３０ごとのアクセス制御を実行する。第１制御部２００は、ＣＰＵ及びメモリを含み、コンピュータとしての機能を備えていてもよい。
【００３１】
第１記憶部２０２は、各スレーブ３０から送信されたＩＤを記憶する。第１記憶部２０２が記憶している各スレーブ３０のＩＤが読み取られてしまうと、マスタ２０の正当性認証を信頼できなくなってしまうので、第１記憶部２０２は例えばセキュアストレージとなっている。第１記憶部２０２は、例えばＦｌａｓｈ  ＲＯＭ、ＳＤＲＡＭ等の一般的に用いられている記憶装置であってもよい。
【００３２】
第１認証部２０４は、スレーブ３０にアクセスする場合、スレーブ３０に対するＩＤ取得要求を行う。そして、第１認証部２０４は、起動時認証にスレーブ３０から送信されたＩＤと、初回登録時に第１記憶部２０２が記憶したＩＤとを比較し、ＩＤが一致するまでスレーブ３０に対するＩＤ取得要求を繰り返す。第１認証部２０４は、ハードウェアによって構成されてもよいし、ソフトウェアによって構成されてもよい。第１認証部２０４は、ハードウェアによって構成されてもよいし、ソフトウェアによって構成されてもよい。
【００３３】
第１通信部２０６は、バス４０を介してスレーブ３０との通信を行う。
【００３４】
スレーブ３０は、第２制御部３００、第２記憶部３０２、第２認証部３０４、第２通信部３０６及び情報記憶部３０８を有する。第２制御部３００は、スレーブ３０を構成する各部を制御する。例えば、第２制御部３００は、マスタ２０からの指示に応じた状態遷移となり、情報資産の送信などを制御する。第２制御部３００は、ＣＰＵ及びメモリを含み、コンピュータとしての機能を備えていてもよい。
【００３５】
第２記憶部３０２は、スレーブ３０自身を示す複数のＩＤを記憶している。第２記憶部３０２は、例えばＦｌａｓｈ  ＲＯＭ、ＳＤＲＡＭ等の一般的に用いられている記憶装置である。第２記憶部３０２が記憶している複数のＩＤは、マスタ２０からＩＤを要求されたときに、１つのＩＤがランダムに選択される。また、第２記憶部３０２は、初回登録時に選択されたＩＤがどのＩＤであったかを記憶する。
【００３６】
第２認証部３０４は、マスタ２０からのＩＤ取得要求に対して、第２記憶部３０２が記憶しているＩＤをランダムに返す。また、第２認証部３０４は、初回登録時に選択されたことが第１記憶部２０２に記憶されているＩＤを返したときに、マスタ２０から認証完了通知を受けると、マスタ２０が正当なものであると判定し、マスタ２０からの情報アクセスを許可する。第２認証部３０４は、ハードウェアによって構成されてもよいし、ソフトウェアによって構成されてもよい。第２認証部３０４は、ハードウェアによって構成されてもよいし、ソフトウェアによって構成されてもよい。
【００３７】
第２通信部３０６は、バス４０を介してマスタ２０との通信を行う。
【００３８】
情報記憶部３０８は、個人情報、秘密鍵のデータなど、特定のユーザーにしか公開しないデータ（第三者に漏れると問題となるデータ）を記憶する。情報記憶部３０８は、例えばＦｌａｓｈ  ＲＯＭ、ＳＤＲＡＭ等の一般的に用いられている記憶装置である。スレーブ３０は、情報記憶部３０８が記憶しているデータ（情報資産）を保護にするために、マスタ２０の正当性認証を行う。
【００３９】
次に、アクセス制御システム１の動作を、シーケンス図を用いて説明する。図５は、アクセス制御システム１が初回登録時に実行する動作を示すシーケンス図である。図５に示すように、マスタ２０は、第１認証部２０４が第１通信部２０６に対してＩＤ取得を要求すると（Ｓ１００）、第１通信部２０６がＩＤ取得要求をスレーブ３０の第２通信部３０６に対して送信する（Ｓ１０２）。
【００４０】
スレーブ３０は、第２通信部３０６が第２認証部３０４に対してＩＤ取得要求を受信したことを通知する（Ｓ１０４）。第２認証部３０４は、第２記憶部３０２に対してＩＤ取得を要求し（Ｓ１０６）、第２記憶部３０２が記憶している複数のＩＤの中の１つをランダムで選択し（Ｓ１０８）、第２記憶部３０２からマスタ２０へＩＤを通知する（Ｓ１１０）。なお、第２記憶部３０２は、この時に通知したＩＤがどのＩＤであるかを記憶しておく。
【００４１】
マスタ２０は、スレーブ３０から通知されたＩＤを第１認証部２０４が第１記憶部２０２に記憶させる（保存する：Ｓ１１２）。
【００４２】
なお、アクセス制御システム１にスレーブ３０が複数ある場合、マスタ２０は図５に示した処理を各スレーブ３０に対して行う。
【００４３】
図６は、アクセス制御システム１が起動時認証時に実行する動作を示すシーケンス図である。図６に示すように、マスタ２０は、第１認証部２０４が第１通信部２０６に対してＩＤ取得を要求すると（Ｓ２００）、第１通信部２０６がＩＤ取得要求をスレーブ３０の第２通信部３０６に対して送信する（Ｓ２０２）。
【００４４】
スレーブ３０は、第２通信部３０６が第２認証部３０４に対してＩＤ取得要求を受信したことを通知する（Ｓ２０４）。第２認証部３０４は、第２記憶部３０２に対してＩＤ取得を要求し（Ｓ２０６）、第２記憶部３０２が記憶している複数のＩＤの中の１つをランダムで選択し（Ｓ２０８）、第２記憶部３０２からマスタ２０へＩＤを通知する（Ｓ２１０）。この時、スレーブ３０は、初回登録時に送信したＩＤと一致しているものを選択した時のみ、認証完了待ち状態になる。
【００４５】
第１認証部２０４は、ＩＤが一致しているか比較する処理を開始する（Ｓ２１２）。まず第１認証部２０４は、初回登録時に送信したＩＤとして第１記憶部２０２が記憶しているＩＤ（保存済みＩＤ）を取得して（Ｓ２１４）、スレーブ３０から受信したＩＤ（ＩＤ取得結果）と一致しているか判定するために比較する（Ｓ２１６）。マスタ２０は、ＩＤ取得結果と保存済みＩＤとが一致するまでＩＤの取得をスレーブ３０に対して要求（リトライ）する。
【００４６】
マスタ２０は、ＩＤ取得結果と保存済みＩＤとが一致した場合、第１認証部２０４が認証完了を第１通信部２０６に対して通知し（Ｓ２１８）、第１通信部２０６が認証完了をスレーブ３０の第２通信部３０６へ送信する（Ｓ２２０）。
【００４７】
第２通信部３０６が認証完了を受信したことを第２認証部３０４へ通知すると（Ｓ２２２）、マスタ２０（管理モジュール）が信頼できるかを判定する（Ｓ２２４）。具体的には、スレーブ３０は、認証完了待ちになっている（即ち、初回登録時に送信したＩＤと同じＩＤを送信した）ときに、認証完了がマスタ２０から通知された場合に、マスタ２０が正当なものであると判断する（正当性認証）。
【００４８】
図７は、スレーブ３０がマスタ２０の正当性認証を行う場合の動作を示すフローチャートである。マスタ２０は、スレーブ３０が正当性を認証しなければ、スレーブ３０に対してアクセスすることはできない。まず、スレーブ３０は、マスタ２０からＩＤ取得要求を受けると（Ｓ３００）、送信（返却）するＩＤをランダムに１つ選択する（Ｓ３０２）。
【００４９】
スレーブ３０は、Ｓ３０２の処理で選択したＩＤが初回登録時に使ったＩＤ（送信したＩＤ）であるか否かを判定する（Ｓ３０４）。スレーブ３０は、選択したＩＤが初回登録時に使ったＩＤでなく（Ｓ３０４：Ｎｏ）、マスタ２０から認証完了を受信しない場合（Ｓ３０８：Ｎｏ）、処理を最初からやり直す。つまり、スレーブ３０は、ＩＤ取得要求を待つ。
【００５０】
また、スレーブ３０は、選択したＩＤが初回登録時に使ったＩＤであり（Ｓ３０４：Ｙｅｓ）、マスタ２０から認証完了を受信した場合（Ｓ３０６：Ｙｅｓ）、マスタ２０を正当なものと判断し（Ｓ３１０）、マスタ２０からのアクセスを許可する。
【００５１】
スレーブ３０は、選択したＩＤが初回登録時に使ったＩＤでなく（Ｓ３０４：Ｎｏ）、マスタ２０から認証完了を受信した場合（Ｓ３０８：Ｙｅｓ）、マスタ２０を不正なものと判断し（Ｓ３１２）、マスタ２０からのアクセスを拒否する。
【００５２】
また、スレーブ３０は、選択したＩＤが初回登録時に使ったＩＤであり（Ｓ３０４：Ｙｅｓ）、マスタ２０から認証完了を受信せずに再度ＩＤ取得要求を受信した場合（Ｓ３０６：Ｎｏ）、マスタ２０を不正なものと判断し（Ｓ３１２）、マスタ２０からのアクセスを拒否する。
【００５３】
図８は、スレーブ３０の状態遷移を示す図である。図６に示したシーケンスを１回の認証手順とした場合に、スレーブ３０の状態は「認証完了前」を初期状態とする。スレーブ３０は、初回登録で送信したＩＤを選択した場合（Ｓ４００）に「認証完了待ち」に遷移し、そのときに認証完了の通知を受ける（Ｓ４０４）と「認証完了」状態となる。すると、マスタ２０は、スレーブ３０の情報資産にアクセスすることができる。
【００５４】
ここで、スレーブ３０が認証完了待ちの状態のときに、何らかの理由（データ化けなど）でマスタ２０が正しいＩＤを記憶しているにも関わらず認証に失敗する可能性も考えられる。そのため、アクセス制御システム１は、スレーブ３０が認証完了待ち状態である場合に、マスタ２０が適切に認証完了を通知できなかったとしても、再度認証処理を最初からやり直すように構成されてもよい。
【００５５】
ただし、このやり直しの処理を無限に許容すると、マスタが成りすましであっても、繰り返しアクセスすることによって使用しているＩＤを絞り込むことが可能になってしまう。そこで、アクセス制御システム１は、予め定められた回数連続で認証完了待ちに対して認証完了を通知できなかった場合、スレーブ３０をロック状態（全ての情報資産へのアクセスを禁止）に移行させる。スレーブ３０をロック状態に遷移させるための回数は、スレーブ３０が記憶している情報資産の重要度に応じてスレーブ３０ごとに設定される。
【００５６】
スレーブ３０のロックを解くための条件は、例えばマスタ２０からのロック解除要求（Ｓ４０８）及び一定時間の経過（Ｓ４１０）などとされてもよい。
【００５７】
ただし、マスタ２０からのロック解除要求でロックを解除する場合、ロック解除要求にマスタ２０の署名をつけておく必要がある。マスタが信頼できない場合にロック状態にしているので、そのマスタからの解除要求によってロックを解除すると、ロックによって保護した情報資産にアクセスされてしまう可能性があるからである。
【００５８】
ロック解除要求への署名方法は、どのような方法であってもよい。例えば、公開鍵／秘密鍵による署名などでよい。なお、ロック解除要求でロックを解除する場合の処理は、エラーからの復帰という例外系列であり、常に動作する処理ではないので、演算量の多い認証処理であってもよいものとする。
【００５９】
また、アクセス制御システム１は、マスタ２０からのロック解除要求に応じて段階的にロック解除するように構成されてもよい。例えば、マスタ２０側からスレーブ３０のロックを解く場合に、スレーブ３０はいきなりマスタ２０を全面的に信用するのではなく、段階的にロックを解いてもよい。
【００６０】
例えば、ナビゲーションモジュール３０−３は、図９に示した信用レベル”１”では走行ルートの履歴へのアクセスを許可し、信用レベル”２”では自宅住所へのアクセスを許可するものとする。
【００６１】
スレーブ３０は、ロック解除要求を受けると、まずレベル”１”の情報資産へのロックが解かれるとする。この場合、スレーブ３０は、走行ルートの情報資産には認証が取れればアクセスを許可するが、自宅住所の情報資産には認証に成功して本来アクセス権を持つ利用者であってもアクセスを禁止する。そして、スレーブ３０は、マスタ２０の実績に応じて、さらに信用レベル”２”のロックを解くようにされてもよい。
【００６２】
スレーブ３０からマスタ２０の実績を判断する基準には、認証完了から一定時間が経過すること、及び、規定回数以上連続で認証に成功することなどが設定されてもよい。
【００６３】
また、アクセス制御システム１は、スレーブ３０が使用するＩＤを定期的に変更することにより、セキュリティを保つように構成されてもよい。例えば、スレーブ３０は、ランダムに選択するＩＤを更新する処理を行うように構成されてもよい。
【００６４】
上述したように、スレーブ３０は、複数のＩＤを記憶しており、ランダムに１つを選択して使用している。しかし、選択した１つのＩＤを長時間使用していると、そのＩＤが何らかの原因で漏洩したときに、マスタ２０の成りすましを実施される可能性がある。
【００６５】
そのため、スレーブ３０は、予め定められた条件を満たした段階で、使用するＩＤを新たに選択し直し、初回登録処理からやり直すように構成されてもよい。この場合、ＩＤ情報が漏洩したとしても、スレーブ３０が別のＩＤを用いていれば、情報資産への不正アクセスを防止することができる。
【００６６】
図１０（ａ）は、例えばナビゲーションモジュール３０−３が送信したＩＤを変更し、どのＩＤを送信したかを記憶しなおした状態を示している。図１０（ａ）における○印（正解）は、スレーブ３０が変更して送信したことを記憶したＩＤを示している。図１０（ｂ）は、例えばナビゲーションモジュール３０−３が変更して送信し、マスタ２０が記憶しているＩＤを例示している。
【００６７】
即ち、図１０では、ナビゲーションモジュール３０−３自身を示すＩＤとして初めは”４５６７”が使用されており、マスタ２０側にもそのＩＤが登録されていたが、ナビゲーションモジュール３０−３は、ＩＤ変更の条件を満たした場合に、ランダムに選択し直した”ｃｄｅｆ”を新たなＩＤとしている。
【００６８】
スレーブ３０がＩＤを選択し直す条件として、例えば一定時間が経過すること、及び図６で示した認証手順が完了するごとなどが設定されてもよい。一定時間の経過を条件としてＩＤを変更する場合、スレーブ３０からマスタ２０に対してＩＤを変更する旨を通知して初回登録からやり直す必要がある。
【００６９】
このとき、スレーブ３０が成りすましモジュールと初回登録を行うと、ＩＤが漏洩してしまう。そこで、スレーブ３０は、マスタ２０が変更前のＩＤを知っているかを確認してからＩＤの変更を行う。アクセス制御システム１は、認証手順が完了するごとにＩＤを変更する場合、図６に示したシーケンスが終わるごとに初回登録から実施し直すこととなる。
【００７０】
また、スレーブ３０は、設定されるセキュリティ強度に応じて記憶しているＩＤの個数が変更されてもよい。スレーブ３０は、送信の候補となるＩＤの個数が多い方が、偶然にＩＤが一致してしまう可能性が低くなる。そのため、スレーブ３０が記憶している情報資産が重要であるほど、記憶しているＩＤの個数が多くされてもよい。
【００７１】
図１１は、ナビゲーションモジュール３０−３及び駆動制御モジュール３０−２がそれぞれ記憶しているＩＤを例示する図である。図１１（ａ）はナビゲーションモジュール３０−３が記憶しているＩＤを示し、図１１（ｂ）は駆動制御モジュール３０−２が記憶しているＩＤを示している。ここでは、運転に関係する駆動制御モジュール３０−２の方が、重要度が高いと捉えられており、駆動制御モジュール３０−２の方が記憶しているＩＤが多くなっている。
【００７２】
このように、マスタ２０は、スレーブ３０と通信を行う第１通信部２０６と、スレーブ３０自身を示すＩＤを第１通信部２０６が最初に受信した場合に、第１通信部２０６が最初に受信したＩＤを記憶する第１記憶部２０２と、第１記憶部２０２が記憶したＩＤと、第１通信部２０６が２回目以降に受信したＩＤとが一致した場合に、スレーブ３０の認証完了を示す情報を、第１通信部２０６を介してスレーブ３０へ送信させる第１認証部２０４とを有する。
【００７３】
また、スレーブ３０は、マスタ２０と通信を行う第２通信部３０６と、当該スレーブ３０自身を示す複数のＩＤを記憶する第２記憶部３０２と、第２記憶部３０２が記憶するＩＤのいずれか１つをランダムにマスタ２０へ第２通信部３０６を介して送信させるとともに、マスタ２０へ送信させた最初のＩＤがいずれのＩＤであるかを示す情報を第２記憶部３０２に記憶させる第２認証部３０４、秘匿の対象となる情報を記憶する３０８とを有する。
【００７４】
そして、第２認証部３０４は、マスタ２０へ送信させた最初のＩＤを再びマスタ２０へ送信した後に、マスタ２０から認証完了を示す情報を、第２通信部３０６を介して受信した場合、情報記憶部３０８に対するマスタ２０からのアクセスを許可する。
【符号の説明】
【００７５】
１        アクセス制御システム
１０      自動車
２０      ライフサイクル管理モジュール（マスタ）
３０−１  エンジンコントロールモジュール（スレーブ）
３０−２  駆動制御モジュール（スレーブ）
３０−３  ナビゲーションモジュール（スレーブ）
３０−４  車載カメラモジュール（スレーブ）
４０      バス
２００    第１制御部
２０２    第１記憶部
２０４    第１認証部
２０６    第１通信部
３００    第２制御部
３０２    第２記憶部
３０４    第２認証部
３０６    第２通信部
３０８    情報記憶部
【先行技術文献】
【特許文献】
【００７６】
【特許文献１】特開２００９−０１５７４４号公報
【図１】
2017091049.tif 000003
【図２】
2017091049.tif 000004
【図３】
2017091049.tif 000005
【図４】
2017091049.tif 000006
【図５】
2017091049.tif 000007
【図６】
2017091049.tif 000008
【図７】
2017091049.tif 000009
【図８】
2017091049.tif 000010
【図９】
2017091049.tif 000011
【図１０】
2017091049.tif 000012
【図１１】
2017091049.tif 000013