(57)【要約】  宅配ボックス１２は、遠隔制御を受け付ける際に、第１データをユーザ端末１４へ送信する。ユーザ端末１４は、第１データへの応答として、遠隔制御の内容を含む第２データを宅配ボックス１２へ送信する。宅配ボックス１２は、第１データを送信してから第２データを受信するまでの時間が予め定められた閾値未満である場合、第２データに含まれる遠隔制御の内容に応じた処理を実行する。
2020166405.tif 000002
【特許請求の範囲】
【請求項１】
遠隔制御の対象となる被制御装置と、
前記被制御装置と無線通信を行う移動可能な通信端末と、
を備え、
前記被制御装置は、遠隔制御を受け付ける際に、第１データを前記通信端末へ送信し、
前記通信端末は、前記第１データへの応答として、遠隔制御の内容を含む第２データを前記被制御装置へ送信し、
前記被制御装置は、前記第１データを送信してから前記第２データを受信するまでの時間が予め定められた閾値未満である場合、前記第２データに含まれる遠隔制御の内容に応じた処理を実行する、
遠隔制御システム。
【請求項２】
前記第１データは、前記被制御装置により決定された乱数を含み、
前記第２データは、前記第１データに含まれる乱数をもとに決定された検証値を含み、
前記被制御装置は、前記第２データに含まれる検証値に応じて、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
請求項１に記載の遠隔制御システム。
【請求項３】
ネットワークを介して前記通信端末と接続されるサーバをさらに備え、
前記通信端末は、受信した第１データを前記サーバへ転送し、
前記サーバは、前記第１データへの応答として、前記第２データを前記通信端末へ送信し、
前記通信端末は、受信した第２データを前記被制御装置へ転送する、
請求項１または２に記載の遠隔制御システム。
【請求項４】
前記第１データは、メッセージ認証コードを含み、
前記サーバは、前記第１データに含まれるメッセージ認証コードを用いたメッセージ認証の結果に応じて、前記第２データの送信を抑制する、
請求項３に記載の遠隔制御システム。
【請求項５】
前記第２データは、メッセージ認証コードを含み、
前記被制御装置は、前記第２データに含まれるメッセージ認証コードを用いたメッセージ認証の結果に応じて、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
請求項３または４に記載の遠隔制御システム。
【請求項６】
前記サーバは、前記通信端末に対するクライアント認証を実行し、前記クライアント認証の結果に応じて、前記通信端末との通信を制限する、
請求項３から５のいずれかに記載の遠隔制御システム。
【請求項７】
前記サーバは、前記通信端末に対するクライアント認証を実行し、前記通信端末は、前記サーバのサーバ認証を実行することにより、前記サーバと前記通信端末は、相互認証を実行し、
前記サーバは、前記相互認証の結果に応じて、前記通信端末との通信を制限する、
請求項３から５のいずれかに記載の遠隔制御システム。
【請求項８】
前記通信端末は、自端末のアドレスを前記被制御装置へ通知し、
前記第１データは、前記通信端末のアドレスに対応するデータを含み、
前記第２データは、前記第１データに含まれる前記通信端末のアドレスに対応するデータを含み、
前記被制御装置は、前記第２データに含まれる前記通信端末のアドレスに対応するデータが、前記第１データの送信先アドレスに不整合の場合、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
請求項１から７のいずれかに記載の遠隔制御システム。
【請求項９】
前記被制御装置は、前記通信端末と無線通信を行う通信部を備え、
前記通信部は、前記被制御装置に設けられた電池で駆動し、
前記通信部は、遠隔制御を受け付けるよう指示する所定の操作が前記被制御装置に入力された場合に、サスペンド状態から復帰して無線通信を行う、
請求項１から８のいずれかに記載の遠隔制御システム。
【請求項１０】
前記被制御装置は、前記通信端末と無線通信を行う通信部を備え、
前記通信部は、遠隔制御を受け付けるよう指示する所定の操作が前記被制御装置に入力された場合に、無線通信を行う、
請求項１から８のいずれかに記載の遠隔制御システム。
【請求項１１】
前記通信端末は、前記サーバとの通信時、または、前記サーバおよび前記被制御装置との通信時に、通信中であることを表示する、
請求項３から７のいずれかに記載の遠隔制御システム。
【請求項１２】
前記被制御装置は、電気錠を備え、
前記第２データは、前記遠隔制御の内容として、前記電気錠の解錠を指示するデータを含む、
請求項１から１１のいずれかに記載の遠隔制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示はデータ処理技術に関し、特に、対象となる装置を遠隔から制御する技術に関する。
【背景技術】
【０００２】
集合住宅等には、住人に配達された荷物を一時的に預かる宅配ボックスが設置されることがある。以下の特許文献１では、宅配ボックスの利用者の携帯電話を利用して認証を行い、宅配ボックスを解錠するシステムが提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１４２９１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
近年、スマートフォン等の情報端末に不正な動作を行わせるマルウェアが出回っており、ユーザが気付かないうちに自身の情報端末がマルウェアに感染することもある。このような状況下、ユーザの情報端末を利用して外部の装置を遠隔制御する場合のセキュリティの確保が求められている。【０００５】
本開示はこうした状況に鑑みてなされたものであり、１つの目的は、ユーザの情報端末を利用して外部の装置を遠隔制御する場合のセキュリティを向上させる技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明のある態様の遠隔制御システムは、遠隔制御の対象となる被制御装置と、被制御装置と無線通信を行う移動可能な通信端末と、を備える。被制御装置は、遠隔制御を受け付ける際に、第１データを通信端末へ送信し、通信端末は、第１データへの応答として、遠隔制御の内容を含む第２データを被制御装置へ送信し、被制御装置は、第１データを送信してから第２データを受信するまでの時間が予め定められた閾値未満である場合、第２データに含まれる遠隔制御の内容に応じた処理を実行する。【０００７】
なお、以上の構成要素の任意の組合せ、本開示の表現を、装置、方法、コンピュータプログラム、コンピュータプログラムを記録した記録媒体などの間で変換したものもまた、本開示の態様として有効である。
【発明の効果】
【０００８】
本開示によれば、ユーザの情報端末を利用して外部の装置を遠隔制御する場合のセキュリティを向上させることができる。
【図面の簡単な説明】
【０００９】
【図１】宅配ボックス解錠の動作例（正常時）を示す図である。
【図２】宅配ボックス解錠の動作例（攻撃時）を示す図である。
【図３】第１実施例の遠隔制御システムの構成を示す図である。
【図４】第１実施例の宅配ボックスの機能ブロックを示すブロック図である。
【図５】第１実施例のユーザ端末の機能ブロックを示すブロック図である。
【図６】第１実施例のサーバの機能ブロックを示すブロック図である。
【図７】第１実施例の遠隔制御システムにおける各機器の動作を示す図である。
【図８】第２実施例の宅配ボックスの機能ブロックを示すブロック図である。
【図９】第２実施例のユーザ端末の機能ブロックを示すブロック図である。
【図１０】第２実施例のサーバの機能ブロックを示すブロック図である。
【図１１】第２実施例の遠隔制御システムにおける各機器の動作を示す図である。
【発明を実施するための形態】
【００１０】
本開示における装置または方法の主体は、コンピュータを備えている。このコンピュータがプログラムを実行することによって、本開示における装置または方法の主体の機能が実現される。コンピュータは、プログラムにしたがって動作するプロセッサを主なハードウェア構成として備える。プロセッサは、プログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（IC）、またはＬＳＩ（large scale integration）を含む１つまたは複数の電子回路で構成される。ここではＩＣやＬＳＩと呼んでいるが、集積の度合いによって呼び方が変わり、システムＬＳＩ、ＶＬＳＩ（very large scale integration）もしくはＵＳＬＩ（ultra large scale integration）と呼ばれるものであってもよい。ＬＳＩの製造後にプログラムされる、フィールド・プログラマブル・ゲート・アレイ（FPGA）、又はＬＳＩ内部の接合関係の再構成又はＬＳＩ内部の回路区画のセットアップができる再構成可能な論理デバイスも同じ目的で使うことができる。複数の電子回路は、１つのチップに集積されてもよいし、複数のチップに設けられてもよい。複数のチップは１つの装置に集約されていてもよいし、複数の装置に備えられていてもよい。プログラムは、コンピュータが読み取り可能なＲＯＭ、光ディスク、ハードディスクドライブなどの非一時的記録媒体に記録される。プログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
【００１１】
まず実施例の概要を説明する。図１は、宅配ボックス解錠の動作例（正常時）を示す。宅配ボックスの解錠時、サーバは、ノンスおよび解錠用の制御データ（コマンド等）をユーザ端末（スマートフォン等）へ送信する。ノンスは、１回限りのランダム値であり、リプレイ攻撃への対策である。ユーザ端末は、ノンスおよび解錠用の制御データを宅配ボックスへ転送する。宅配ボックスは、制御データに応じて、扉の電気錠を解錠する。
【００１２】
図２は、宅配ボックス解錠の動作例（攻撃時）を示す。図２は、中間者攻撃の例を示している。ここでのユーザ端末は、マルウェアに感染しており、マルウェアにより制御データが攻撃者端末へ転送されてしまう。攻撃者は、宅配ボックスが解錠されないためユーザが宅配ボックスから離れたことを確認すると、攻撃者端末からノンスおよび制御データを宅配ボックスに送信させ、宅配ボックスを解錠させる。この結果、宅配ボックス内の物品が攻撃者により不正に取得されてしまう。
【００１３】
このように、スマートフォン等のユーザ端末には、ＯＳや無線通信における脆弱性が存在する。そのため、攻撃者は、ユーザ端末の脆弱性を利用してマルウェアを感染させることによりユーザ端末の制御を乗っ取り、遠隔制御の対象装置に対する制御データを遅延再送し、不正に対象装置を動作させてしまうことが懸念される。そこで実施例では、ユーザ端末を経由した対象装置（実施例では宅配ボックス）の遠隔制御に対して、遅延再送による攻撃を防御する仕組みを導入した遠隔制御システムを提案する。
【００１４】
（第１実施例）
図３は、第１実施例の遠隔制御システム１０の構成を示す。遠隔制御システム１０は、宅配ボックス１２ａ、宅配ボックス１２ｂ、宅配ボックス１２ｃ（総称する場合「宅配ボックス１２」と呼ぶ。）と、ユーザ端末１４と、サーバ１６を備える。遠隔制御システム１０は、通信システムまたは情報処理システムとも言え、ユーザ端末１４を利用して宅配ボックス１２に対する安全な遠隔制御を実現する。
【００１５】
宅配ボックス１２は、遠隔制御の対象となる被制御装置とも言える。ユーザ端末１４は、宅配ボックスのユーザ、実施例では宅配ボックスから荷物を取り出すユーザにより操作される移動可能な通信端末である。ユーザ端末１４は、スマートフォンまたはタブレット端末であってもよく、宅配ボックス１２と無線通信を行う。サーバ１６は、クラウド上に設けられた情報処理装置である。サーバ１６は、複数の宅配ボックス１２に対する制御を集約して実行する情報集約装置とも言える。
【００１６】
ユーザ端末１４と宅配ボックス１２は、近距離通信網１８を介して接続される。一方、ユーザ端末１４とサーバ１６は、広域通信網２０を介して接続される。近距離通信網１８は、近距離無線通信を含み、実施例では、Bluetooth Low Energy（「Bluetooth」は登録商標）（以下「ＢＬＥ」とも呼ぶ。）とする。広域通信網２０は、広域無線通信を含み、例えば、第４世代移動通信システムやインターネットを含んでもよい。
【００１７】
図４は、第１実施例の宅配ボックス１２の機能ブロックを示すブロック図である。本開示のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
【００１８】
宅配ボックス１２は、操作部３０、通信部３２、電源部３４、扉部３６、電気錠３８、ＭＡＣ鍵記憶部４０、制御部４２を備える。実施例では、複数の宅配ボックス１２のそれぞれが、図４に示す複数の機能ブロックを備えることとする。変形例として、複数の機能ブロックのうち少なくとも一部の機能ブロック（例えば操作部３０、電源部３４等）は、複数の宅配ボックス１２により共用されてもよい。
【００１９】
扉部３６は、宅配ボックスの荷物取り出し口に設けられた開放可能な扉である。電気錠３８は、施錠状態と解錠状態を電気的に切替可能な扉部３６の鍵である。電源部３４は、宅配ボックス１２の各部に電力を供給する。実施例の電源部３４は、電池式の電源である。後述するスリープ制御部４６によりサスペンド状態（言い換えればスリープ状態）に移行された場合、電源部３４は、電力の供給を通常時よりも抑制する。例えば、電源部３４は、サスペンド状態では、通信部３２に対する電力の供給を抑制する。
【００２０】
操作部３０は、ユーザによる操作が入力される部品であり、例えば、宅配ボックス１２の筐体上に設けられたボタンである。実施例では、電気錠３８を解錠するための所定操作（遠隔制御を受け付けるよう指示する所定操作とも言え、以下「解錠処理開始操作」とも呼ぶ。）が操作部３０に入力される。例えば、解錠処理開始操作は、操作部３０としての所定のボタンに対する押下操作であってもよい。後述の制御部４２は、解錠処理開始操作が入力されると、電気錠３８の解錠を指示する遠隔制御を受け付けるためのデータ処理および通信処理を実行する。
【００２１】
通信部３２は、所定の通信プロトコル（実施例ではＢＬＥ）を用いて外部装置と通信する。後述の制御部４２は、通信部３２を介して、ユーザ端末１４とデータを送受信する。通信部３２は、電源部３４（実施例では電池）から供給された電力により駆動する。通信部３２は、通常状態とサスペンド状態を備え、サスペンド状態では通信機能を制限（例えば停止）することにより電力の使用量を抑制する。
【００２２】
ＭＡＣ鍵記憶部４０は、メッセージ認証用のコード（以下「ＭＡＣ」とも呼ぶ。）を生成するための鍵（以下「ＭＡＣ鍵」とも呼ぶ。）を記憶する。なお、ＭＡＣ鍵記憶部４０に記憶されるＭＡＣ鍵と同じＭＡＣ鍵がサーバ１６にも記憶される。
【００２３】
制御部４２は、安全な遠隔制御を受け付けるための各種データ処理を実行する。制御部４２は、操作検出部４４、スリープ制御部４６、チャレンジ設定部４８、チャレンジ送信部５０、レスポンス受付部５２、認証部５４、解錠部５６を含む。これら複数の機能ブロックの機能が実装されたコンピュータプログラムが、宅配ボックス１２の記憶領域（記録媒体）にインストールされてもよい。宅配ボックス１２のＣＰＵは、上記のコンピュータプログラムをメインメモリに読み出して実行することにより、各機能ブロックの機能を発揮してもよい。
【００２４】
操作検出部４４は、解錠処理開始操作が操作部３０に入力された場合、そのことを検出する。スリープ制御部４６は、遠隔操作を受け付ける一連の処理、実施例では、電気錠３８の解錠に係る一連の処理が終了すると、通信部３２をサスペンド状態に移行させることにより、電力の消費量を低減させる。また、スリープ制御部４６は、解錠処理開始操作の入力が検出された場合、通信部３２をサスペンド状態から通常状態へ復帰させ、無線通信を開始させる。
【００２５】
チャレンジ設定部４８は、解錠処理開始操作の入力が検出された場合、所定の乱数発生器により生成された乱数値（チャレンジとも呼ばれる）を含む第１データ（以下「チャレンジデータ」とも呼ぶ。）を設定する。チャレンジデータは、（１）ノンス、（２）乱数値、（３）ＭＡＣを含む。チャレンジ設定部４８は、ＭＡＣ鍵記憶部４０に記憶されたＭＡＣ鍵（すなわちサーバ１６と共有されたＭＡＣ鍵）と上記乱数値とをもとにＭＡＣを生成する。チャレンジ送信部５０は、チャレンジ設定部４８が設定したチャレンジデータをユーザ端末１４へ送信する。実施例では、チャレンジデータに乱数値を設定するが、変形例として、チャレンジ設定部４８は、乱数値とは異なるデータであって、生成毎に異なるカウンター値など、一意性を持つ値のデータをチャレンジデータに設定してもよい。
【００２６】
レスポンス受付部５２は、チャレンジデータへの応答としての第２データであって、ユーザ端末１４から送信されたレスポンスデータを受け付ける。レスポンスデータは、（１）ノンス、（２）乱数値、（３）制御データ、（４）ＭＡＣを含む。レスポンスデータの乱数値は、宅配ボックス１２とサーバ１６の間で予め定められた規則にしたがってチャレンジデータの乱数値を変換したものであり、宅配ボックス１２により検証される検証値とも言える。実施例では、チャレンジデータの乱数値に「１」を足したものとする。変形例として、宅配ボックス１２とサーバ１６の間で予め定められた規則は、特定の値に対して特定の四則演算を行うことでもよい。
【００２７】
レスポンスデータの制御データは、宅配ボックス１２に対する遠隔制御（言い換えれば遠隔操作）の内容を含む。実施例での制御データは、電気錠３８の解錠を指示するデータを含む。レスポンスデータのＭＡＣは、サーバ１６に記憶されたＭＡＣ鍵（すなわち宅配ボックス１２と共有されたＭＡＣ鍵）、乱数値および制御データをもとにサーバ１６により生成されたものである。
【００２８】
認証部５４は、レスポンス受付部５２により受け付けられたレスポンスデータをもとに認証処理を実行し、レスポンスデータが正当なものか否かを判定する。宅配ボックス１２は、認証部５４によりレスポンスデータが正当なものと判定された場合、レスポンスデータに含まれる遠隔制御の内容に応じた処理を実行する。実施例では、遠隔制御の内容に応じた処理として、解錠部５６が、レスポンスデータに含まれる制御データにしたがって電気錠３８を解錠する。
【００２９】
認証部５４の処理を詳細に説明する。認証部５４は、チャレンジデータが送信されてからレスポンスデータが受信されるまでの経過時間（以下「応答時間」とも呼ぶ。）を計測する。認証部５４は、応答時間が予め定められた閾値（上限応答時間とも言え、例えば２０秒）未満である場合、第１条件が満たされたと判定する。上記閾値は、遠隔制御システム１０の開発者の知見や、遠隔制御システム１０を用いた実験（実際の通信を含む）により適切な値が決定されればよい。
【００３０】
また、認証部５４は、レスポンスデータに含まれる乱数値が、チャレンジデータに含まれる乱数値に対応するか否かを確認する。言い換えれば、認証部５４は、レスポンスデータに含まれる乱数値が、予め定められた規則にしたがってチャレンジデータに含まれる乱数値を変換したものに一致するか否かを確認する。実施例では、認証部５４は、チャレンジ送信部５０により送信されたチャレンジデータに含まれる乱数値を記憶し、レスポンスデータに含まれる乱数値が、チャレンジデータに含まれる乱数値＋１であるか否かを確認する。認証部５４は、レスポンスデータに含まれる乱数値が、チャレンジデータに含まれる乱数値に対応する場合、第２条件が満たされたと判定する。
【００３１】
また、認証部５４は、レスポンスデータに含まれるＭＡＣを用いたメッセージ認証の成否を確認する。具体的には、ＭＡＣ鍵記憶部４０に記憶されたＭＡＣ鍵、レスポンスデータに含まれる乱数値および制御データをもとにＭＡＣを生成し、生成したＭＡＣがレスポンスデータに含まれるＭＡＣと一致する場合、メッセージ認証に成功したと判定する。認証部５４は、メッセージ認証に成功した場合、第３条件が満たされたと判定する。認証部５４は、第１条件、第２条件、第３条件のいずれもが満たされた場合、レスポンスデータが正当なものであると判定する。一方、第１条件、第２条件、第３条件の少なくとも１つが満たされない場合、認証部５４は、レスポンスデータが正当でないと判定する。
【００３２】
すなわち、認証部５４は、チャレンジデータが送信されてからレスポンスデータが受信されるまでの応答時間に応じて、レスポンスデータに含まれる遠隔制御の内容に応じた処理の実行を制限（実施例では禁止）する。また、認証部５４は、レスポンスデータに含まれる乱数値に応じて、レスポンスデータに含まれる遠隔制御の内容に応じた処理の実行を制限する。また、認証部５４は、レスポンスデータに含まれるＭＡＣを用いたメッセージ認証の結果に応じて、レスポンスデータに含まれる遠隔制御の内容に応じた処理の実行を制限する。
【００３３】
図５は、第１実施例のユーザ端末１４の機能ブロックを示すブロック図である。ユーザ端末１４は、操作部６０、表示部６２、通信部６４、制御部６６を備える。操作部６０は、ユーザによる操作が入力される部品である。表示部６２は、画面を含み、ユーザに対して種々の情報を提示する。操作部６０と表示部６２は、例えばタッチパネル機能を備える液晶ディスプレイとして一体化されてもよい。
【００３４】
通信部６４は、所定の通信プロトコルを用いて外部装置と通信する。実施例では、通信部６４は、ＢＬＥにより宅配ボックス１２と通信し、また、広域無線通信（例えば第４世代移動通信システム）によりサーバ１６と通信する。制御部６６は、各種データ処理を実行する。制御部６６は、通信部６４を介して宅配ボックス１２およびサーバ１６とデータを送受信する。
【００３５】
制御部６６は、チャレンジ転送部６８、レスポンス転送部７０、表示制御部７２を備える。これら複数の機能ブロックの機能が実装されたコンピュータプログラム（例えば遠隔制御用のクライアントアプリケーション）が記録媒体に格納され、その記録媒体を介してユーザ端末１４の記憶領域にインストールされてもよい。または、上記コンピュータプログラムがネットワークを介してダウンロードされ、ユーザ端末１４の記憶領域にインストールされてもよい。ユーザ端末１４のＣＰＵは、上記のコンピュータプログラムをメインメモリに読み出して実行することにより、各機能ブロックの機能を発揮してもよい。
【００３６】
チャレンジ転送部６８は、宅配ボックス１２から送信されたチャレンジデータを受信し、受信したチャレンジデータをサーバ１６へ転送する。レスポンス転送部７０は、サーバ１６から送信されたレスポンスデータを受信し、受信したレスポンスデータを、チャレンジデータへの応答として、宅配ボックス１２へ転送する。
【００３７】
表示制御部７２は、サーバ１６および宅配ボックス１２との通信時に、通信中であることを表示部６２に表示させる。また、表示制御部７２は、宅配ボックス１２の解錠までしばらく待つことを促す内容を表示部６２にさらに表示させてもよい。変形例として、表示制御部７２は、少なくともサーバ１６との通信時に、通信中であることを表示部６２に表示させてもよい。
【００３８】
図６は、第１実施例のサーバ１６の機能ブロックを示すブロック図である。サーバ１６は、制御部８０、記憶部８２、通信部８４を備える。制御部８０は、複数の宅配ボックス１２と連携するとともに、複数の宅配ボックス１２の遠隔制御（実施例では解錠）を集約して実施するためのデータ処理を実行する。記憶部８２は、制御部８０により参照または更新されるデータを記憶する。
【００３９】
通信部８４は、所定の通信プロトコルを用いて外部装置と通信する。実施例では、広域通信（例えばインターネットや第４世代移動通信システム）によりユーザ端末１４と通信する。制御部８０は、通信部８４を介してユーザ端末１４とデータを送受信する。
【００４０】
記憶部８２は、制御データ記憶部８６とＭＡＣ鍵記憶部８８を備える。制御データ記憶部８６は、宅配ボックス１２を遠隔操作するためのデータを記憶し、実施例では電気錠３８の解錠を指示する制御データ（コマンド等）を記憶する。ＭＡＣ鍵記憶部８８は、宅配ボックス１２と共有するＭＡＣ鍵を記憶する。なお、ＭＡＣ鍵記憶部８８は、複数の宅配ボックス１２のそれぞれと共有するＭＡＣ鍵であって、宅配ボックス１２毎に異なるＭＡＣ鍵を記憶してもよい。
【００４１】
制御部８０は、認証部９０、レスポンス設定部９２、レスポンス送信部９４を備える。これら複数の機能ブロックの機能が実装されたコンピュータプログラムが、サーバ１６の記憶領域（記録媒体）にインストールされてもよい。宅配ボックス１２のＣＰＵは、上記のコンピュータプログラムをメインメモリに読み出して実行することにより、各機能ブロックの機能を発揮してもよい。
【００４２】
レスポンス設定部９２は、ユーザ端末１４から送信（転送）されたチャレンジデータを受け付け、そのチャレンジデータもとにレスポンスデータを設定する。既述だが、レスポンスデータは、（１）ノンス、（２）乱数値、（３）制御データ、（４）ＭＡＣを含む。レスポンス設定部９２は、宅配ボックス１２とサーバ１６の間で予め定められた規則にしたがってチャレンジデータの乱数値を変換した値であり、実施例では、チャレンジデータの乱数値に「１」を足した値をレスポンスデータの乱数値として設定する。
【００４３】
また、レスポンス設定部９２は、制御データ記憶部８６に記憶された制御データ（実施例では解錠指示）をレスポンスデータの制御データとして設定する。また、レスポンス設定部９２は、ＭＡＣ鍵記憶部８８に記憶されたＭＡＣ鍵と、乱数値および制御データをもとにＭＡＣを生成して、制御データに設定する。レスポンス送信部９４は、レスポンス設定部９２により設定されたレスポンスデータを、チャレンジデータへの応答としてユーザ端末１４へ送信する。
【００４４】
認証部９０は、チャレンジデータに含まれるＭＡＣを用いたメッセージ認証の成否を確認する。具体的には、ＭＡＣ鍵記憶部８８に記憶されたＭＡＣ鍵と、チャレンジデータに含まれる乱数値とをもとにＭＡＣを生成し、生成したＭＡＣがチャレンジデータに含まれるＭＡＣと一致する場合、メッセージ認証に成功したと判定する。認証部９０は、メッセージ認証に成功した場合、レスポンスデータの送信を許可する。一方、メッセージ認証に失敗した場合、レスポンスデータの設定または送信を抑制させる（言い換えれば禁止する）。
【００４５】
以上の構成による第１実施例の遠隔制御システム１０の動作を説明する。
図７は、第１実施例の遠隔制御システム１０における各機器の動作を示す図である。同図の１２は、図１に示す宅配ボックス１２ａ、宅配ボックス１２ｂ、宅配ボックス１２ｃのうちユーザが解錠しようとする（すなわち遠隔制御の対象となる）特定の宅配ボックスを意味する。宅配ボックス１２ａ、宅配ボックス１２ｂ、宅配ボックス１２ｃのいずれが解錠される場合も同様の動作となる。
【００４６】
サーバ１６と宅配ボックス１２には、共通のＭＡＣ鍵が予め記憶されている。ユーザは、宅配ボックス１２に対して所定の解錠処理開始操作を入力する。宅配ボックス１２の操作検出部４４は、解錠処理開始操作の入力を検出し、宅配ボックス１２のスリープ制御部４６は、通信部３２をサスペンド状態から通常状態へ復帰させる（Ｓ１０）。宅配ボックス１２のチャレンジ設定部４８は、チャレンジデータを設定し、宅配ボックス１２のチャレンジ送信部５０は、チャレンジデータをユーザ端末１４へ送信する（Ｓ１２）。
【００４７】
宅配ボックス１２との通信が開始されると、ユーザ端末１４の表示制御部７２は、表示部６２における「通信中」の表示を開始する。ユーザ端末１４のチャレンジ転送部６８は、チャレンジデータをサーバ１６へ転送する（Ｓ１４）。サーバ１６の認証部９０は、チャレンジデータに含まれるＭＡＣをもとにメッセージ認証を実行する（Ｓ１６）。メッセージ認証によりチャレンジデータの正当性（言い換えれば非改竄性）が確認されると、サーバ１６のレスポンス設定部９２は、チャレンジデータをもとにレスポンスデータを生成する。サーバ１６のレスポンス送信部９４は、レスポンスデータをユーザ端末１４へ送信する（Ｓ１８）。
【００４８】
ユーザ端末１４のレスポンス転送部７０は、レスポンスデータを宅配ボックス１２へ転送する（Ｓ２０）。宅配ボックス１２との通信が終了すると、ユーザ端末１４の表示制御部７２は、表示部６２における「通信中」の表示を終了させる。
【００４９】
宅配ボックス１２のレスポンス受付部５２は、レスポンスデータを受け付ける。宅配ボックス１２の認証部５４は、（１）チャレンジデータ送信からレスポンスデータ受信までの応答時間ｔ、（２）レスポンスデータの乱数値、（３）レスポンスデータのＭＡＣをもとに、レスポンスデータが正当なものか否かを認証する（Ｓ２２）。レスポンスデータが正当と判定された場合、宅配ボックス１２の解錠部５６は、電気錠３８を解錠する（Ｓ２４）。ユーザは、宅配ボックス１２の扉部３６を開けて、宅配ボックス１２に格納された物品を取り出すことができる。レスポンスデータが正当と判定された場合、Ｓ２４をスキップする。
【００５０】
第１実施例の遠隔制御システム１０では、サーバ１６からの制御データをユーザ端末１４が中継して宅配ボックス１２に渡す。そのため、宅配ボックス１２は、広域通信網２０と接続する必要がなく、ユーザ端末１４と近距離通信を行えばよいため、宅配ボックス１２のコストの増加を抑制できる。
【００５１】
また、第１実施例の遠隔制御システム１０では、チャレンジデータ送信からレスポンスデータ受信までの応答時間に制限を設けた。これにより、攻撃者（言い換えれば中間者攻撃）によるレスポンスデータの窃取と遅延再送による不正な遠隔制御（例えば不正な解錠）を防止することができる。
【００５２】
また、遠隔制御システム１０では、チャレンジデータに乱数値を設定し、レスポンスデータにチャレンジデータの乱数値に対応する検証値を設定させる。これにより、宅配ボックス１２は、自機が送信したチャレンジデータに対応するレスポンスデータであるか否かを確認でき、宅配ボックス１２のセキュリティを一層高めることができる。
【００５３】
また、遠隔制御システム１０では、複数の宅配ボックス１２の遠隔制御（解錠）の指示をサーバ１６が一括して実行する。これにより、遠隔制御システム１０における認証等の管理を簡素化でき、例えば、ユーザ端末１４における処理を簡素化できる。
【００５４】
また、遠隔制御システム１０では、チャレンジデータおよびレスポンスデータにＭＡＣを設定することで、宅配ボックス１２とサーバ１６間でのメッセージ認証（例えば非改竄性の確認）を実現でき、宅配ボックス１２のセキュリティを一層高めることができる。
【００５５】
また、宅配ボックス１２の通信部３２や制御部４２等は、宅配ボックス１２の設置後、後付で設けられることが多いと考えられる。そこで、宅配ボックス１２の通信部３２や制御部４２等は、電池駆動とすることが望ましい。一方、電池駆動の場合、電池の消耗を極力低減することが望まれる。そこで、遠隔制御システム１０では、宅配ボックス１２の通信部３２は、解錠処理開始操作が入力されたことを契機に、サスペンド状態から復帰して無線通信を行う。これにより、宅配ボックス１２における電池の消耗を抑制できる。
【００５６】
また、遠隔制御システム１０では、ユーザ端末１４は、宅配ボックス１２およびサーバ１６との通信時に通信中の旨を表示する。これにより、ユーザが通信圏外へ移動してしまうこと、言い換えれば、ユーザが宅配ボックス１２から離れてしまうことを防止し、攻撃者による物品の不正な取得を一層確実に防止できる。
【００５７】
（第２実施例）
第２実施例の遠隔制御システム１０の構成は、図１に示す第１実施例の遠隔制御システム１０の構成と同様である。ただし、第２実施例の遠隔制御システム１０は、宅配ボックス１２がユーザ端末１４をピンニングする機能、および、サーバ１６がユーザ端末１４をピンニングする機能をさらに備える。以下、第１実施例とは異なる構成を主に説明し、第１実施例と重複する内容は説明を適宜省略する。
【００５８】
図８は、第２実施例の宅配ボックス１２の機能ブロックを示すブロック図である。第２実施例の宅配ボックス１２は、第１実施例の機能ブロックに加えて、アドレス取得部１００を備える。
【００５９】
操作検出部４４により解錠処理開始操作の入力が検出された場合、通信部３２は、所定のアドバタイズメントパケットを周囲にブロードキャストする。アドレス取得部１００は、アドバタイズメントパケットに対する応答としてユーザ端末１４から通知されたユーザ端末１４のアドレス（以下「ユーザ端末アドレス」と呼ぶ。）を取得する。実施例のユーザ端末アドレスは、ＢＬＥ通信でのアドレス（アクセスアドレス）である。
【００６０】
第２実施例のチャレンジデータは、ユーザ端末１４から通知されたユーザ端末アドレスに対応するデータを含む。具体的には、チャレンジ設定部４８は、チャレンジデータの乱数値の項目に、乱数値とユーザ端末アドレスとを合成した（例えば連結した）データを設定する。なお、チャレンジ設定部４８は、ユーザ端末アドレスそのものをチャレンジデータに設定するのではなく、予め定められた規則にしたがってユーザ端末アドレスを変換した値をチャレンジデータに設定してもよい。
【００６１】
後述するように、第２実施例のレスポンスデータには、チャレンジデータに含まれるユーザ端末アドレスに対応するデータが含まれる。認証部５４は、レスポンスデータに含まれるユーザ端末アドレスに対応するデータが、宅配ボックス１２のチャレンジ送信部５０に記憶されたチャレンジデータの送信先アドレスに不整合の場合、レスポンスデータに含まれる遠隔制御の内容に応じた処理の実行を制限する。
【００６２】
具体的には、認証部５４は、レスポンスデータの乱数値の項目に含まれるユーザ端末アドレスと、宅配ボックス１２のチャレンジ送信部５０に記憶されたチャレンジデータの送信先アドレス（具体的にはＢＬＥ通信のパケットに含まれるアクセスアドレス）とが一致するか否かを確認する。両者が一致する場合、認証部５４は、第４条件が満たされたと判定する。認証部５４は、第１実施例に記載の第１条件、第２条件、第３条件と、上記の第４条件のいずれもが満たされた場合、レスポンスデータが正当なものと判定する。
【００６３】
また、少なくとも第４条件が満たされない場合、認証部５４は、レスポンスデータが正当なものでないと判定する。この結果、レスポンスデータに含まれる遠隔制御の内容に応じた処理（実施例では解錠）の実行が抑制される。
【００６４】
図９は、第２実施例のユーザ端末１４の機能ブロックを示すブロック図である。第２実施例のユーザ端末１４は、第１実施例の機能ブロックに加えて、記憶部１０２、認証部１０６、アドレス通知部１０８を備える。
【００６５】
記憶部１０２は、制御部６６により更新または参照されるデータを記憶する。記憶部１０２は、証明書記憶部１０４を含む。証明書記憶部１０４は、認証局により発行されたユーザ端末１４の証明書であるクライアント証明書を記憶する。
【００６６】
認証部１０６は、サーバ１６との相互認証を実行する。認証部１０６は、サーバ１６との相互認証時、証明書記憶部１０４に記憶されたクライアント証明書をサーバ１６へ送信する。それとともに、認証部１０６は、サーバ１６から提供されたサーバ１６の電子証明書、実施例ではＳＳＬ（Secure Sockets Layer）サーバ証明書をもとにサーバ１６を認証する。
【００６７】
アドレス通知部１０８は、宅配ボックス１２から送信されたアドバタイズメントパケットが通信部３２により受信された場合、ＢＬＥ通信におけるユーザ端末１４のアドレス（アクセスアドレス）を宅配ボックス１２へ送信する。
【００６８】
図１０は、第２実施例のサーバ１６の機能ブロックを示すブロック図である。第２実施例のサーバ１６は、第１実施例の機能ブロックに加えて、証明書記憶部１１０を備える。証明書記憶部１１０は、認証局により発行されたサーバ１６の電子証明書であるＳＳＬサーバ証明書を記憶する。ＳＳＬサーバ証明書は、ＳＳＬ／ＴＬＳ（Transport Layer Security）サーバ証明書とも言える。
【００６９】
認証部９０は、ユーザ端末１４との相互認証を実行する。認証部９０は、ユーザ端末１４との相互認証時、証明書記憶部１１０に記憶されたＳＳＬサーバ証明書をユーザ端末１４へ送信する。それとともに、認証部９０は、ユーザ端末１４から提供されたクライアント証明書をもとにユーザ端末１４を認証する。すなわち、認証部９０は、ユーザ端末１４に対するクライアント認証を実行する。
【００７０】
認証部９０は、クライアント認証の結果に応じて、ユーザ端末１４との通信を制限し、例えば、ユーザ端末１４との通信を禁止する。通信部８４は、クライアント認証が失敗した場合、ユーザ端末１４とのＳＳＬセッションを確立せず、また、ユーザ端末１４との通信を切断してもよい。また、認証部９０は、レスポンス設定部９２によるチャレンジデータの受信を禁止してもよく、または、レスポンス送信部９４によるレスポンスデータの送信を禁止してもよい。
【００７１】
レスポンス設定部９２は、レスポンスデータの乱数値の項目に、チャレンジデータに含まれる乱数値を変換した値（実施例ではチャレンジデータの乱数値＋１）と、チャレンジデータに含まれるユーザ端末アドレスとを合成した（例えば連結した）データを設定する。
【００７２】
以上の構成による第２実施例の遠隔制御システム１０の動作を説明する。
図１１は、第２実施例の遠隔制御システム１０における各機器の動作を示す図である。第１実施例と同様に、サーバ１６と宅配ボックス１２には、共通のＭＡＣ鍵が予め記憶されている。サーバ１６の認証部９０と、ユーザ端末１４の認証部１０６は、クライアント認証を含む相互認証を実行する（Ｓ３０）。ここでは、相互認証に成功し、サーバ１６とユーザ端末１４は、暗号トンネル（「ＳＳＬトンネル」とも言える）内での通信、言い換えれば、暗号化およびトンネリングによる通信が可能になったこととする。
【００７３】
ユーザは、宅配ボックス１２に対して所定の解錠処理開始操作を入力する。宅配ボックス１２の操作検出部４４は、解錠処理開始操作の入力を検出し、宅配ボックス１２のスリープ制御部４６は、通信部３２をサスペンド状態から通常状態へ復帰させる（Ｓ３２）。宅配ボックス１２の通信部３２は、アドバタイズメントパケットを周囲にブロードキャストする（Ｓ３４）。ユーザ端末１４のアドレス通知部１０８は、アドバタイズメントパケットの受信を契機に、ユーザ端末アドレスを示すデータを宅配ボックス１２へ送信する（Ｓ３６）。
【００７４】
宅配ボックス１２のチャレンジ設定部４８は、ユーザ端末アドレスを含むチャレンジデータを設定し、宅配ボックス１２のチャレンジ送信部５０は、チャレンジデータをユーザ端末１４へ送信する（Ｓ３８）。宅配ボックス１２との通信が開始されると、ユーザ端末１４の表示制御部７２は、「通信中」を表示部６２に表示させることを開始する。ユーザ端末１４のチャレンジ転送部６８は、暗号トンネルを介して（言わばＳＳＬ通信により）チャレンジデータをサーバ１６へ転送する（Ｓ４０）。
【００７５】
サーバ１６の認証部９０は、チャレンジデータに含まれるＭＡＣをもとにメッセージ認証を実行する（Ｓ４２）。メッセージ認証によりチャレンジデータの正当性が確認されると、サーバ１６のレスポンス設定部９２は、チャレンジデータをもとにレスポンスデータを生成する。サーバ１６のレスポンス送信部９４は、暗号トンネルを介して（言わばＳＳＬ通信により）、レスポンスデータをユーザ端末１４へ送信する（Ｓ４４）。ユーザ端末１４のレスポンス転送部７０は、レスポンスデータを宅配ボックス１２へ転送する（Ｓ４６）。
【００７６】
宅配ボックス１２の認証部５４は、（１）チャレンジデータ送信からレスポンスデータ受信までの応答時間ｔ、（２）レスポンスデータの乱数値、（３）レスポンスデータのＭＡＣ、（４）レスポンスデータのユーザ端末アドレスをもとに、レスポンスデータが正当か否かを認証する（Ｓ４８）。レスポンスデータが正当と判定された場合、宅配ボックス１２の解錠部５６は、電気錠３８を解錠する（Ｓ５０）。ユーザは、宅配ボックス１２の扉部３６を開けて、宅配ボックス１２に格納された物品を取り出すことができる。
【００７７】
第２実施例の遠隔制御システム１０でも、第１実施例の遠隔制御システム１０と同様の効果を奏する。また、第２実施例の遠隔制御システム１０では、宅配ボックス１２は、ユーザ端末１４のアドレスを事前に取得し、制御データの送信者のアドレスとの同一性を確認する。これにより、攻撃者の端末によるユーザ端末１４へのなりすまし攻撃（例えば中間者攻撃）を一層確実に防止できる。
【００７８】
また、第２実施例の遠隔制御システム１０では、サーバ１６は、クライアント認証によりユーザ端末１４の正当性を確認する。これにより、攻撃者の端末によるユーザ端末１４へのなりすまし攻撃（例えば中間者攻撃）を一層確実に防止できる。
【００７９】
以上、本開示を第１実施例と第２実施例をもとに説明した。これらの実施例は例示であり、各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。
【００８０】
第１実施例および第２実施例の遠隔制御システム１０は、宅配ボックス１２、ユーザ端末１４、サーバ１６を備えた。変形例として、遠隔制御システム１０は、宅配ボックス１２とユーザ端末１４を備えるが、サーバ１６を備えなくてもよい。この場合、ユーザ端末１４は、実施例のサーバ１６のレスポンス設定部９２の機能を備えてもよい。例えば、ユーザ端末１４が、制御データを含むレスポンスデータを生成し、生成したレスポンスデータを宅配ボックス１２へ送信してもよい。この変形例においても、第１実施例および第２実施例と同様の効果を奏する。例えば、チャレンジデータ送信からレスポンスデータ受信までの応答時間に制限を設けることで、レスポンスデータの窃取と遅延再送による不正な遠隔制御を防止することができる。
【００８１】
第１実施例および第２実施例の遠隔制御システム１０では、遠隔制御の対象となる被制御装置として宅配ボックス１２を例示した。しかし、第１実施例および第２実施例に記載の技術を適用可能な被制御装置は宅配ボックス１２に制限されない。被制御装置は、スマートフォン等の通信端末を利用して遠隔制御される様々な装置であってよい。例えば、被制御装置は、スマートロック装置、車両のキーレスエントリー装置、ＬＰＳ（Local Positioning System）を使用したマンロケーションシステム、ＲＦＩＤ（Radio Frequency IDentifier）を使用したキャッシュレス購買システムであってもよい。
【００８２】
上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
【００８３】
実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
遠隔制御の対象となる被制御装置（１２）と、
前記被制御装置（１２）と無線通信を行う移動可能な通信端末（１４）と、
を備え、
前記被制御装置（１２）は、遠隔制御を受け付ける際に、第１データを前記通信端末（１４）へ送信し、
前記通信端末（１４）は、前記第１データへの応答として、遠隔制御の内容を含む第２データを前記被制御装置（１２）へ送信し、
前記被制御装置（１２）は、前記第１データを送信してから前記第２データを受信するまでの時間が予め定められた閾値未満である場合、前記第２データに含まれる遠隔制御の内容に応じた処理を実行する、
遠隔制御システム（１０）。
［項目２］
前記第１データは、前記被制御装置（１２）により決定された乱数を含み、
前記第２データは、前記第１データに含まれる乱数をもとに決定された検証値を含み、
前記被制御装置（１２）は、前記第２データに含まれる検証値に応じて、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
項目１に記載の遠隔制御システム（１０）。
［項目３］
ネットワークを介して前記通信端末（１４）と接続されるサーバ（１６）をさらに備え、
前記通信端末（１４）は、受信した第１データを前記サーバ（１６）へ転送し、
前記サーバ（１６）は、前記第１データへの応答として、前記第２データを前記通信端末（１４）へ送信し、
前記通信端末（１４）は、受信した第２データを前記被制御装置（１２）へ転送する、
項目１または２に記載の遠隔制御システム（１０）。
［項目４］
前記第１データは、メッセージ認証コードを含み、
前記サーバ（１６）は、前記第１データに含まれるメッセージ認証コードを用いたメッセージ認証の結果に応じて、前記第２データの送信を抑制する、
項目３に記載の遠隔制御システム（１０）。
［項目５］
前記第２データは、メッセージ認証コードを含み、
前記被制御装置（１２）は、前記第２データに含まれるメッセージ認証コードを用いたメッセージ認証の結果に応じて、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
項目３または４に記載の遠隔制御システム（１０）。
［項目６］
前記サーバ（１６）は、前記通信端末（１４）に対するクライアント認証を実行し、前記クライアント認証の結果に応じて、前記通信端末（１４）との通信を制限する、
項目３から５のいずれかに記載の遠隔制御システム（１０）。
［項目７］
前記サーバ（１６）は、前記通信端末（１４）に対するクライアント認証を実行し、前記通信端末（１４）は、前記サーバ（１６）のサーバ認証を実行することにより、前記サーバ（１６）と前記通信端末（１４）は、相互認証を実行し、
前記サーバ（１６）は、前記相互認証の結果に応じて、前記通信端末（１４）との通信を制限する、
項目３から５のいずれかに記載の遠隔制御システム（１０）。
［項目８］
前記通信端末（１４）は、自端末のアドレスを前記被制御装置（１２）へ通知し、
前記第１データは、前記通信端末（１４）のアドレスに対応するデータを含み、
前記第２データは、前記第１データに含まれる前記通信端末（１４）のアドレスに対応するデータを含み、
前記被制御装置（１２）は、前記第２データに含まれる前記通信端末（１４）のアドレスに対応するデータが、前記第１データの送信先アドレスに不整合の場合、前記第２データに含まれる遠隔制御の内容に応じた処理の実行を制限する、
項目１から７のいずれかに記載の遠隔制御システム（１０）。
［項目９］
前記被制御装置（１２）は、前記通信端末（１４）と無線通信を行う通信部（３２）を備え、
前記通信部（３２）は、前記被制御装置（１２）に設けられた電池で駆動し、
前記通信部（３２）は、遠隔制御を受け付けるよう指示する所定の操作が前記被制御装置（１２）に入力された場合に、サスペンド状態から復帰して無線通信を行う、
項目１から８のいずれかに記載の遠隔制御システム（１０）。
［項目１０］
前記被制御装置（１２）は、前記通信端末（１４）と無線通信を行う通信部（３２）を備え、
前記通信部（３２）は、遠隔制御を受け付けるよう指示する所定の操作が前記被制御装置（１２）に入力された場合に、無線通信を行う、
項目１から８のいずれかに記載の遠隔制御システム（１０）。
［項目１１］
前記通信端末（１４）は、前記サーバ（１６）との通信時、または、前記サーバ（１６）および前記被制御装置（１２）との通信時に、通信中であることを表示する、
項目３から７のいずれかに記載の遠隔制御システム（１０）。
［項目１２］
前記被制御装置（１２）は、電気錠（３８）を備え、
前記第２データは、前記遠隔制御の内容として、前記電気錠（３８）の解錠を指示するデータを含む、
項目１から１１のいずれかに記載の遠隔制御システム（１０）。
【産業上の利用可能性】
【００８４】
本開示は、対象となる装置を遠隔から制御するシステムに利用可能である。
【符号の説明】
【００８５】
１０  遠隔制御システム、  １２  宅配ボックス、  １４  ユーザ端末、  １６  サーバ、  ３２  通信部、  ３８  電気錠。
【図１】
2020166405.tif 000003
【図２】
2020166405.tif 000004
【図３】
2020166405.tif 000005
【図４】
2020166405.tif 000006
【図５】
2020166405.tif 000007
【図６】
2020166405.tif 000008
【図７】
2020166405.tif 000009
【図８】
2020166405.tif 000010
【図９】
2020166405.tif 000011
【図１０】
2020166405.tif 000012
【図１１】
2020166405.tif 000013
【国際調査報告】
2020166405.tif 000014
2020166405.tif 000015
2020166405.tif 000016
2020166405.tif 000017
2020166405.tif 000018
2020166405.tif 000019