"所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、を備えることを特徴とする通信装置。前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする請求項1に記載の通信装置。前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする請求項1または2に記載の通信装置。前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする請求項3に記載の通信装置。前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする請求項1~4のいずれか一つに記載の通信装置。鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、を備えることを特徴とする通信装置。前記所定の動作には自装置の再起動が含まれ、前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする請求項6に記載の通信装置。自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、を含むことを特徴とする通信システム。第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、ことを特徴とする通信方法。しかしながら、上述した従来技術では、操作対象の通信装置との間のセキュリティ経路が確立されていないと、緊急パケットの送信による遠隔操作を、セキュリティを確保しつつ行うことができないという問題がある。たとえば、セキュリティ経路が確立されていない状態での緊急パケットの疎通を許容すると、悪意のある第三者が緊急パケットを送信することで、通信装置が不正に遠隔操作されることが考えられる。本発明は、上述した従来技術による問題点を解消するため、遠隔操作のセキュリティを向上させることができる通信装置、通信システムおよび通信方法を提供することを目的とする。上述した課題を解決し、目的を達成するため、本発明の一側面によれば、第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する通信装置、通信システムおよび通信方法が提案される。本発明の一側面によれば、遠隔操作のセキュリティを向上させることができるという効果を奏する。以下に添付図面を参照して、本発明にかかる通信装置、通信システムおよび通信方法の実施の形態を詳細に説明する。実施の形態通信システムの構成図1は、実施の形態にかかる通信システムの構成例を示す図である。図1に示すように、実施の形態にかかる通信システム100は、通信装置110第一通信装置と、通信装置120第二通信装置と、を含んでいる。通信装置120は、通信装置110による遠隔操作の対象の通信装置である。通信装置120には、たとえば、移動局と無線通信を行う基地局などを適用することができる。基地局としては、たとえばLTEなどに規定されるeNBevolutionalNodeBなどがあげられる。通信装置110には、たとえば、LTEに規定されるOPEOperationEquipmentやMMEMobilityManagementEntity:移動性管理エンティティなどを適用することができる。通信装置110と通信装置120との間の区間にはセキュリティ経路101が確立される。セキュリティ経路101は、たとえば、パケットが暗号化されて伝送される、セキュリティが確保された経路である。たとえば、セキュリティ経路101は、IPsecによって確立されるSASecurityAssociationである。セキュリティ経路101は、たとえば通信装置120における障害などによって切断される場合もある。また、セキュリティ経路101は、通信装置110と通信装置120の間の全区間において確立されていなくてもよい。たとえば、通信装置110と通信装置120との間にセキュリティGWGateWayが設けられており、セキュリティGWと通信装置120との間においてセキュリティ経路101が確立されていてもよい。セキュリティGWと通信装置120との間においてセキュリティ経路101が確立されている場合は、通信装置110は、セキュリティGWを経由することで、セキュリティ経路101を用いて通信装置120と通信を行うことができる。また、この場合は、通信装置110とセキュリティGWとの間の区間の経路は、専用線になっているなど、セキュリティが確保されていることが望ましい。<操作側の通信装置について>通信装置110は、所定の動作を実行させるコマンドを含むパケットを通信装置120へ送信することで通信装置120を遠隔操作する。通信装置110から通信装置120へのパケットは、たとえば、通信装置120の障害発生時などの緊急時に送信される。以下、通信装置110が通信装置120へ送信するパケットを緊急パケットと称する。緊急パケットに含まれるコマンドが指示する所定の動作は、たとえば、リスタート再起動、上位装置たとえば通信装置110からのデータのダウンロード、上位装置へのデータのアップロード、または迂回経路による通信の開始などである。上位装置からのデータのダウンロードは、たとえば、上位装置からのプログラムや設定値の修正データパッチなどのダウンロードである。上位装置へのデータのアップロードは、たとえば、通信装置120の状態を示す情報のアップロードである。具体的には、通信装置110は、判定部111と、取得部112と、送信部113と、を備えている。また、通信装置110は、設定部114を備えていてもよい。判定部111は、通信装置110が通信装置120への緊急パケットコマンドを送信する場合に、通信装置110自装置と通信装置120との間にセキュリティ経路101が確立されているか否かを判定する。セキュリティ経路101が確立されているか否かの判定は、たとえば、セキュリティ経路101を用いた通信装置120との通信の成否確認や、通信装置120やセキュリティGWからの通知信号に基づいて行うことができる。判定部111は、判定結果を送信部113へ通知する。取得部112は、送信側鍵情報を取得する。送信側鍵情報は、通信装置120が取得する受信側鍵情報と所定の対応関係を有する鍵情報である。すなわち、送信側鍵情報は、通信装置120において通信装置110を認証可能な鍵情報である。たとえば、送信側鍵情報は、受信側鍵情報と同一の鍵情報である。または、送信側鍵情報は、所定の演算により送信側鍵情報との対応が確認可能な鍵情報である。たとえば、送信側鍵情報は、所定のアルゴリズムにより算出されるハッシュ値が送信側鍵情報と同一の情報などである。たとえば、送信側鍵情報は通信装置110のメモリたとえば不揮発メモリに記憶されており、取得部112は通信装置110のメモリから送信側鍵情報を取得する。または、通信装置110のメモリには送信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部112は、通信装置110のメモリに記憶された関数やパラメータなどによって送信側鍵情報を算出することで送信側鍵情報を取得してもよい。取得部112は、取得した送信側鍵情報を送信部113へ出力する。送信部113は、たとえば通信装置120の障害発生時などの緊急時に緊急パケットを送信する。たとえば、通信装置110は、通信装置120の障害を検出する検出部を備え、送信部113は、検出部によって通信装置120の障害が検出された場合に緊急パケットを送信する。または、判定部111は、たとえば通信装置110の操作者による操作、または他の通信装置からのコマンド受信などによって緊急パケットを送信してもよい。また、送信部113は、セキュリティ経路101が確立されていない旨の判定結果が判定部111から通知された場合に、取得部112から出力された送信側鍵情報と、所定の動作を実行させるコマンドと、を含む緊急パケットを通信装置120へ送信する。この場合は、セキュリティ経路101が確立されていないため、緊急パケットは暗号化されずに通信装置120へ送信される。また、送信部113は、セキュリティ経路101が確立されている旨の判定結果が判定部111から通知されている場合には、コマンドを含む緊急パケットを通信装置120へ送信する。この場合は、セキュリティ経路101が確立されているため、緊急パケットは暗号化されて通信装置120へ送信される。設定部114は、通信装置120の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部112によって取得される送信側鍵情報として設定する。設定部114による送信側鍵情報の設定は、たとえばセキュリティ経路101を用いた通信装置120との通信によって行う。たとえば、設定部114は、送信側鍵情報を通信装置110のメモリに記憶させる。または、設定部114は、送信側鍵情報を算出するための関数やパラメータなどを通信装置110のメモリに記憶させる。たとえば、設定部114は、通信装置110に送信側鍵情報を設定するとともに、設定する送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路101を用いて通信装置120へ送信する。または、設定部114は、通信装置120に設定された受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路101を用いて通信装置120から受信する。そして、設定部114は、受信した信号に基づいて送信側鍵情報を設定する。これにより、設定部114は、通信装置120の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部112によって取得される送信側鍵情報として設定することができる。<被操作側の通信装置について>通信装置120は、通信装置110による遠隔操作の対象の通信装置である。通信装置120は、通信装置110から送信された緊急パケットに含まれるコマンドに基づく所定の動作を実行する。具体的には、通信装置120は、受信部121と、取得部122と、判定部123と、実行部124と、を備えている。また、通信装置120は、設定部125を備えていてもよい。受信部121は、たとえば通信装置110から、所定の動作を実行させるコマンドおよび鍵情報を含む緊急パケットを受信する。また、受信部121は、通信装置110とは異なる他の通信装置からの緊急パケットも受信してもよい。受信部121は、受信した緊急パケットに含まれる鍵情報を判定部123へ出力する。また、受信部121は、受信した緊急パケットに含まれるコマンドを実行部124へ出力する。取得部122は、通信装置110が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する。たとえば、受信側鍵情報は通信装置120のメモリたとえば不揮発メモリに記憶されており、取得部122は通信装置120のメモリから受信側鍵情報を取得する。または、通信装置120のメモリには受信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部122は、通信装置120のメモリに記憶された関数やパラメータなどによって受信側鍵情報を算出することで受信側鍵情報を取得してもよい。取得部122は、取得した受信側鍵情報を判定部123へ出力する。判定部123は、受信部121から出力された鍵情報と、取得部122から出力された受信側鍵情報と、が所定の対応関係を有するか否かを判定する。これにより、受信部121によって受信された緊急パケットが、通信装置110から送信されたものか否かを判定することができる。判定部123は、判定結果を実行部124へ通知する。実行部124は、各鍵情報が所定の対応関係を有する旨の判定結果が判定部123から通知された場合に、受信部121から出力されたコマンドに基づく動作を実行する。たとえば、リスタートを実行させるコマンドが受信部121から出力された場合は、実行部124は、通信装置120をリスタートさせる。これにより、受信した緊急パケットが通信装置110から送信されたものである場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行することができる。このため、セキュリティ経路101が確立されていない状態であっても、安全に緊急パケットの疎通を行い、緊急パケットにより通信装置120を操作することができる。したがって、たとえば通信装置120の障害からの復旧などを行うことができる。また、実行部124は、各鍵情報が所定の対応関係を有していない旨の判定結果が判定部123から通知された場合は、受信部121から出力されたコマンドに基づく動作を実行しない。これにより、受信した緊急パケットが通信装置110から送信されたものでない場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行しないようにすることができる。このため、たとえば、通信装置110とは異なる通信装置から悪意により送信された緊急パケットたとえば外部からのリスタート攻撃により通信装置120が操作されることを回避することができる。設定部125は、通信装置110の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部122によって取得される受信側鍵情報として設定する。設定部125による受信側鍵情報の設定は、たとえばセキュリティ経路101を用いた通信装置110との通信によって行う。たとえば、設定部125は、受信側鍵情報を通信装置120のメモリに記憶させる。または、設定部125は、受信側鍵情報を算出するための関数やパラメータなどを通信装置120のメモリに記憶させる。たとえば、設定部125は、通信装置120に受信側鍵情報を設定するとともに、設定する受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路101を用いて通信装置110へ送信する。または、設定部125は、通信装置110に設定された送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路101を用いて通信装置110から受信する。そして、設定部125は、受信した信号に基づいて受信側鍵情報を設定する。これにより、設定部125は、通信装置110の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部122によって取得される受信側鍵情報として設定することができる。また、セキュリティ経路101を用いた通信装置110および通信装置120における鍵情報の設定には、たとえばIKEInternetKeyExchangeprotocolなどの鍵交換プロトコルを用いることができる。<各通信装置について>また、通信装置110の取得部112および通信装置120の取得部122は、通信装置110から通信装置120へ緊急パケットを送信するごとに異なる送信側鍵情報および受信側鍵情報を取得するようにしてもよい。たとえば、通信装置110および通信装置120のそれぞれのメモリに、所定の対応関係を有する送信側鍵情報および受信側鍵情報を複数組記憶しておく。そして、取得部112,122は、緊急パケットの送信ごとに異なる送信側鍵情報および受信側鍵情報をメモリから取得する。これにより、たとえば通信装置110から通信装置120へ送信された緊急パケットを盗まれても、盗まれた緊急パケットでは通信装置120を動作させることができないため、セキュリティを向上させることができる。また、取得部112,122は、それぞれ設定部114,125によって設定されてから一定の期間が経過した送信側鍵情報および受信側鍵情報は取得しないようにしてもよい。これにより、たとえば通信装置110または通信装置120から送信側鍵情報または受信側鍵情報が盗まれたり、通信装置110から通信装置120へ送信された緊急パケットを盗まれたりしても、盗まれた鍵情報は一定時間後に使用できなくなる。このため、セキュリティを向上させることができる。また、通信装置110は、取得部112によって取得された送信側鍵情報を暗号化する暗号化部を備えていてもよい。送信部113は、暗号化部によって暗号化された送信側鍵情報を含むパケットを送信する。この場合は、通信装置120は、受信部121によって受信した緊急パケットに含まれ、暗号化された送信側鍵情報を復号する復号部を備える。判定部123は、復号部によって復号された送信側鍵情報に基づく判定を行う。これにより、たとえば、通信装置110または通信装置120から送信側鍵情報または受信側鍵情報が盗まれても、盗まれた受信側鍵情報は、暗号化のアルゴリズムや暗号鍵などがなければ使用できない。このため、セキュリティを向上させることができる。暗号化および復号には、たとえば、AES、DESなどの共通鍵方式や、RSAなどの公開鍵方式など、各種のアルゴリズムを用いることができる。また、通信装置120の再起動を指示するコマンドを含むパケットを通信装置110から通信装置120へ送信する場合について説明する。この場合において、通信装置120の実行部124は、自装置の再起動通信装置110からのコマンドに基づくものも含むを行ってから一定の時間が経過するまでの期間を抑止期間としてもよい。そして、抑止期間においては、実行部124は、通信装置110からのコマンドに基づく再起動を実行しないようにする。これにより、たとえば通信装置110とは異なる通信装置から緊急パケットを連続して送信するリスタート攻撃を受けても、再起動を繰り返すことを回避することができる。このため、通信装置120の復旧ができなくなることを回避し、セキュリティを向上させることができる。図2は、図1に示した通信システムの適用例である。図2に示す通信システム200は、図1に示した通信システム100を適用した通信システムである。通信システム200は、OPE210と、MME220と、セキュリティGW231,232と、eNB241~243と、UE251~253と、コアネットワーク260と、を含んでいる。図1に示した通信装置110は、たとえばOPE210やMME220に適用することができる。また、図1に示した通信装置120は、たとえばeNB241~243に適用することができる。OPE210は、セキュリティGW231を介してeNB241~243に接続されている。OPE210は、eNB241~243の保守を行う。セキュリティGW231は、OPE210とeNB241~243との間に設けられるゲートウェイである。セキュリティGW231は、eNB241~243との間でセキュリティ経路を確立する。セキュリティGW232は、MME220とeNB241~243との間に設けられるゲートウェイである。セキュリティGW232は、eNB241~243との間でセキュリティ経路を確立する。MME220は、セキュリティGW232を介してeNB241~243に接続されている。また、MME220は、コアネットワーク260に接続されている。MME220は、eNB241~243とUE251~253との間のネットワークに制御のC-plane制御信号系を収容する。たとえば、MME220は、UE251~253の位置登録や、呼び出し、ハンドオーバなどのモビリティ管理を行う。また、MME220は、eNB241~243の保守を行ってもよい。eNB241~243は、それぞれUE251~253との間で無線通信を行うことで、それぞれUE251~253とコアネットワーク260との間の通信を中継する。UE251~253UserEquipment:ユーザ端末は、それぞれeNB241~243のセルに在圏している移動局である。UE251~253は、それぞれeNB241~243の中継によりコアネットワーク260との間で通信を行う。区間201は、OPE210とセキュリティGW231の間の区間、あるいはMME220とセキュリティGW232の間の区間を示している。区間201は、パケットが暗号化されずに伝送される非暗号通信区間となる。区間202は、セキュリティGW231,232と、eNB241~243と、の間の区間を示している。区間202は、セキュリティ経路が確立されるため、パケットが暗号化されて伝送される暗号通信区間となる。通信システムの動作図3は、図2に示した通信システムの動作例1を示すシーケンス図である。図3においては、OPE210がeNB241を保守する場合の、OPE210、セキュリティGW231およびeNB241の動作について説明する。鍵状態301~303は、OPE210およびeNB241に設定された鍵情報の状態を示している。鍵状態301に示すように、たとえば工場出荷時の初期設定により、OPE210およびeNB241には、鍵情報1,2,3が設定されているとする。鍵情報1,2,3の状態たとえば図10参照は初期設定となる。また、OPE210およびeNB241には、鍵情報が3つずつ設定されるとする。<初期設定後の鍵更新>たとえばeNB241の電源投入起動時に、eNB241が、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS301。つぎに、セキュリティGW231が、ステップS301によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS302。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS303。つぎに、セキュリティGW231が、ステップS303によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS304。ステップS301~S304により、eNB241とセキュリティGW231の間でセキュリティ経路311が確立される。つぎに、eNB241が、鍵状態301が示す各鍵情報の状態が初期設定であるため、新たな鍵情報4,5,6を自身に設定する。そして、eNB241は、ステップS301~S304によって確立されたセキュリティ経路311を用いて、鍵情報4,5,6の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS305。つぎに、OPE210が、ステップS305によって送信された緊急鍵交換パケットに基づいて鍵情報4,5,6を自身に設定する。そして、OPE210は、鍵情報4,5,6を設定したことを示す緊急鍵交換パケットを、セキュリティ経路311を用いてeNB241へ送信するステップS306。ステップS305~S306により、鍵状態302に示すように、OPE210およびeNB241に設定される鍵情報が更新されて鍵情報4,5,6となる。また、鍵情報4,5,6の各状態は更新となる。<セキュリティ経路確立状態の緊急パケット発行>セキュリティ経路311が確立された状態において、eNB241に障害が発生したとする。つぎに、OPE210が、eNB241の障害を検出するステップS307。eNB241の障害の検出は、たとえば、eNB241との疎通確認やeNB241からの通知信号に基づいて行うことができる。つぎに、OPE210が、リスタートを指示するコマンドを含む緊急パケットをeNB241へ送信するステップS308。ステップS308において、OPE210は、セキュリティ経路311が確立されているため、鍵情報を緊急パケットに付加しなくてもよい。つぎに、eNB241が、ステップS308によって送信された緊急パケットに基づいてリスタートを行うステップS309。つぎに、eNB241が、ステップS309によってリスタートしたため、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS310。つぎに、セキュリティGW231が、ステップS310によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS311。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS312。つぎに、セキュリティGW231が、ステップS312によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS313。ステップS310~S313により、eNB241とセキュリティGW231の間で新たなIKEのセキュリティ経路312が確立される。つぎに、ステップS310~S313によって確立されたセキュリティ経路311に異常が発生したとする。eNB241は、セキュリティ経路311の異常を検出すると、IKEパケットをセキュリティGW231へ送信するステップS314。つぎに、セキュリティGW231が、IKEパケットをeNB241へ送信するステップS315。ステップS314,S315によって送信されるIKEパケットは、たとえばIKE_INFORMATIONALDELETEである。これにより、セキュリティ経路312が切断される。<セキュリティ経路切断状態の緊急パケット発行>セキュリティ経路312が切断された状態において、eNB241に障害が発生したとする。つぎに、OPE210が、eNB241の障害を検出するステップS316。eNB241の障害の検出は、たとえばeNB241との疎通確認やeNB241からの通知信号に基づいて行うことができる。つぎに、OPE210が、リスタートを指示するコマンドを含む緊急パケットをeNB241へ送信するステップS317。ステップS317において、OPE210は、セキュリティ経路312が切断されているため、自身に設定されている鍵情報4,5,6のうちの鍵番号が最も小さい鍵情報4を緊急パケットに付加する。また、OPE210は、鍵情報4を所定の方式によって暗号化し、暗号化した鍵情報4を緊急パケットに付加してもよい。また、OPE210は、緊急パケットに付加した鍵情報4を自身の設定から削除する。つぎに、eNB241が、ステップS317によって送信された緊急パケットに含まれる鍵情報4が、自身に設定された鍵情報4と一致するため、緊急パケットに基づいてリスタートを行うステップS318。また、eNB241は、鍵情報4を含む緊急パケットを受信したため、自身に設定された鍵情報4を削除する。これにより、鍵状態303に示すように、OPE210およびeNB241に設定される鍵情報は鍵情報5,6となる。また、OPE210およびeNB241に設定される各鍵情報のうちの1つの状態は未設定となる。図3に示したように、OPE210およびeNB241は、IKEを用いて緊急鍵交換パケットを送受信することで、鍵情報を交換することができる。このように、汎用的な鍵交換プロトコルを利用することで、各装置において鍵交換のための機能を容易に実現することができる。ハードウェア構成図4-1は、eNBのハードウェア構成の一例を示す図である。ここではeNB241について説明するが、eNB242,243にも同様の構成を適用することができる。図4-1に示すように、eNB241は、たとえば、CPU401と、メモリコントローラ402と、メモリ403と、PCI404と、NWP405と、受信インタフェース407と、送信インタフェース408と、物理インタフェース409と、無線制御部410と、フラッシュメモリ412と、リアルタイムクロック414と、を備えている。CPU401CentralProcessingUnitは、eNB241の全体の制御を司るホストプロセッサHostProcessorである。メモリコントローラ402MemoryControllerは、CPU401およびメモリコントローラ402からの制御に基づいて、メモリ403へのデータの書き込みおよびメモリ403からのデータの読み出しを制御する。メモリ403Memoryは、ローカルメモリLocalMemoryである。PCI404は、リアルタイムクロック414やフラッシュメモリ412などが接続される外部インタフェースである。PCI404は、たとえばCPU401によって制御される。また、PCI404は、CPU401を介してNWP405によって制御されてもよい。NWP405は、CPU401からの制御に基づいてeNB241の通信を制御するネットワークプロセッサNetworkProcessorである。NWP405は、IPSecの終端処理、IKEの処理、プロトコルの終端処理、鍵情報の生成処理、暗号化および復号の処理などを行う。NWP405は、たとえばCPU401によって実行されるプログラムによってソフトウェアとして実現してもよい。受信インタフェース407Receiverは、NWP405からの制御に基づいて、物理インタフェース409を介してデータの受信を行うインタフェースである。送信インタフェース408Transmitterは、NWP405からの制御に基づいて、物理インタフェース409を介してデータの送信を行うインタフェースである。物理インタフェース409PHYは、ネットワークに接続される通信インタフェースである。たとえば、物理インタフェース409は、セキュリティGW231,232と有線通信を行う物理インタフェースと、UE251との間で無線通信を行う物理インタフェースと、を含む。無線制御部410RadioControllerは、NWP405からの制御に基づいて無線通信の制御を行う。たとえば、無線制御部410は、NWP405を介して受信インタフェース407、送信インタフェース408および物理インタフェース409を制御することで、eNB241とUE251との間の無線通信を制御する。フラッシュメモリ412FLASHMemoryは、PCI404に接続された不揮発メモリである。リアルタイムクロック414RTC:RealTimeClockは、現在時刻を出力する時計回路であり、PCI404に接続されている。図1に示した受信部121は、たとえばNWP405、送信インタフェース408および物理インタフェース409によって実現することができる。図1に示した取得部122は、たとえばメモリコントローラ402およびメモリ403によって実現することができる。図1に示した判定部123は、たとえばCPU401およびNWP405によって実現することができる。図1に示した実行部124は、たとえばCPU401によって実現することができる。図1に示した設定部125は、たとえばメモリコントローラ402およびNWP405によって実現することができる。図4-2は、OPEのハードウェア構成の一例を示す図である。図4-2において、図4-1に示した部分と同様の部分については同一の符号を付して説明を省略する。図4-2に示すように、OPE210は、たとえば、CPU401と、メモリコントローラ402と、メモリ403と、PCI404と、NWP405と、受信インタフェース407と、送信インタフェース408と、物理インタフェース409と、無線制御部410と、フラッシュメモリ412と、ユーザインタフェース413と、リアルタイムクロック414と、を備えている。OPE210の物理インタフェース409は、たとえば、セキュリティGW231を介してeNB241~243と有線通信を行う物理インタフェースを含む。ユーザインタフェース413I/O:Input/Outputは、eNB241とユーザとの間のインタフェースであり、PCI404に接続されている。ユーザインタフェース413は、たとえばディスプレイやキーボードなどである。OPE210のユーザインタフェース413は、たとえば、OPE210に対して緊急パケットの送信を指示する操作をユーザから受け付ける。また、ユーザインタフェース413は、OPE210による緊急パケットの送信結果などをユーザへ通知してもよい。図1に示した判定部111は、たとえばNWP405によって実現することができる。図1に示した取得部112は、たとえばメモリコントローラ402およびメモリ403によって実現することができる。図1に示した送信部113は、たとえばNWP405、送信インタフェース408および物理インタフェース409によって実現することができる。図1に示した設定部114は、たとえばメモリコントローラ402、メモリ403およびNWP405によって実現することができる。図4-3は、MMEのハードウェア構成の一例を示す図である。図4-3において、図4-1または図4-2に示した部分と同様の部分については同一の符号を付して説明を省略する。図4-3に示すように、MME220は、たとえば、CPU401と、メモリコントローラ402と、メモリ403と、PCI404と、NWP405と、コアネットワーク制御部411と、フラッシュメモリ412と、リアルタイムクロック414と、を備えている。MME220のコアネットワーク制御部411CoreControllerは、NWP405からの制御に基づいて、コアネットワーク260との間の通信を制御する。図1に示した判定部111は、たとえばNWP405によって実現することができる。図1に示した取得部112は、たとえばメモリコントローラ402およびメモリ403によって実現することができる。図1に示した送信部113は、たとえばNWP405、送信インタフェース408および物理インタフェース409によって実現することができる。図1に示した設定部114は、たとえばメモリコントローラ402、メモリ403およびNWP405によって実現することができる。機能的構成図5-1は、eNBの機能的構成の一例を示す図である。ここではeNB241について説明するが、eNB242,243にも同様の構成を適用することができる。図5-1に示すように、eNB241は、たとえば、信号インタフェース501と、IKE終端部502と、IPsec終端部503と、緊急パケット鍵交換部504と、パケット送受信部505と、無線制御部506と、鍵管理部508と、タイマ509と、鍵暗号部510と、装置制御部512と、を備えている。信号インタフェース501は、装置間のパケット送受信を行う。たとえば、信号インタフェース501は、送信時は外部装置へパケット送信を行う。また、信号インタフェース501は、受信時は受信パケットのプロトコル解析を行い、対応する終端機能部へ通知する。eNB241の信号インタフェース501は、たとえば、セキュリティGW231との間で通信を行う。信号インタフェース501は、たとえば図4-1に示した受信インタフェース407、送信インタフェース408および物理インタフェース409などによって実現することができる。IKE終端部502は、IKEパケットを終端する。具体的には、IKE終端部502は、IPsecに関するIKE_SA、CHILD_SAなどのIKEパケットを、信号インタフェース501を介して送受信する。また、IKE終端部502は、鍵情報を含むSAの生成、更新、削除などを行う。IKE終端部502は、IKEによる鍵交換の結果を鍵管理部508へ出力する。IKE終端部502は、たとえば図4-1に示したNWP405などによって実現することができる。IPsec終端部503は、IPsecパケットを終端する。具体的には、IPsec終端部503は、平文パケットを暗号化し、暗号化した平分パケットを、信号インタフェース501を介して外部装置に送信する。また、IPsec終端部503は、信号インタフェース501を介して受信した暗号パケットを復号して各機能部に出力する。また、IPsec終端部503は、IPsecが確立されていない場合は平文の緊急パケットを緊急パケット鍵交換部504に出力する。IPsec終端部503は、たとえば図4-1に示したNWP405などによって実現することができる。緊急パケット鍵交換部504は、信号インタフェース501およびIPsec終端部503を介して、緊急パケット用の鍵交換パケットを終端する。具体的には、信号インタフェース501は、緊急鍵交換パケットを外部装置へ送信する。また、信号インタフェース501は、緊急鍵交換パケットを受信し、受信した緊急鍵交換パケットを鍵管理部508へ出力する。緊急パケット鍵交換部504は、たとえば図4-1に示したNWP405などによって実現することができる。パケット送受信部505は、信号インタフェース501およびIPsec終端部503を介して、緊急パケットの送受信を行う。eNB241のパケット送受信部505は、緊急パケットを受信して、受信した緊急パケットに含まれるコマンドを装置制御部512へ出力する。パケット送受信部505は、たとえば図4-1に示したNWP405などによって実現することができる。無線制御部506は、UE251との間の無線通信の制御を行う。たとえば、無線制御部506は、無線リソース管理、UE251における基地局間のハンドオーバ、無線プロトコル変換などを行う。無線制御部506は、たとえば図4-1に示した無線制御部410などによって実現することができる。鍵管理部508は、鍵情報および鍵情報に関する情報を含む鍵管理情報たとえば図10参照を管理することにより、緊急パケット用の鍵生成、更新、削除などを行う。具体的には、鍵管理部508は、鍵交渉に用いる鍵データを生成し、生成した鍵データを緊急パケット鍵交換部504またはIKE終端部502へ出力する。また、鍵管理部508は、受信した鍵データに基づいて鍵情報を生成し、生成した鍵情報を不揮発メモリに登録する。鍵管理部508は、たとえば図4-1に示したNWP405およびフラッシュメモリ412などによって実現することができる。タイマ509は、時刻情報の通知を行う。たとえば鍵管理部508から指定された時刻に対して、現在時刻の超過の有無などを通知する。タイマ509は、たとえば図4-1に示したリアルタイムクロック414などによって実現することができる。eNB241の鍵暗号部510は、緊急パケットの鍵情報の復号を行う。鍵暗号部510は、たとえば図4-1に示したNWP405などによって実現することができる。装置制御部512は、自装置の制御を行う。たとえば、装置制御部512は、パケット送受信部505から出力されたコマンドに基づいて、リスタート、ダウンロード、アップロードなどの復旧動作を行う。装置制御部512は、たとえば図4-1に示したCPU401などによって実現することができる。図5-2は、OPEの機能的構成の一例を示す図である。図5-2において、図5-1に示した部分と同様の部分については同一の符号を付して説明を省略する。図5-2に示すように、OPE210は、たとえば、信号インタフェース501と、IKE終端部502と、IPsec終端部503と、緊急パケット鍵交換部504と、パケット送受信部505と、鍵管理部508と、タイマ509と、鍵暗号部510と、隣接装置制御部511と、装置制御部512と、を備えている。OPE210の信号インタフェース501は、たとえば、セキュリティGW231との間で通信を行う。OPE210のパケット送受信部505は、たとえば隣接装置制御部511の制御により、IPsec終端部503および信号インタフェース501を介して緊急パケットを送信する。OPE210の鍵暗号部510は、パケット送受信部505によって送信する緊急パケットの鍵情報の暗号化を行う。隣接装置制御部511は、たとえばeNB241などの隣接装置の制御を行う。たとえば、隣接装置制御部511は、eNB241の障害の検出を行う。また、隣接装置制御部511は、たとえばパケット送受信部505を介してeNB241へ緊急パケットを送信し、eNB241をリスタートさせる。隣接装置制御部511は、たとえば図4-2に示した無線制御部410などによって実現することができる。信号インタフェース501は、たとえば図4-2に示した受信インタフェース407、送信インタフェース408および物理インタフェース409などによって実現することができる。IKE終端部502は、たとえば図4-2に示したNWP405などによって実現することができる。IPsec終端部503は、たとえば図4-2に示したNWP405などによって実現することができる。緊急パケット鍵交換部504は、たとえば図4-2に示したNWP405などによって実現することができる。パケット送受信部505は、たとえば図4-2に示したNWP405などによって実現することができる。鍵管理部508は、たとえば図4-2に示したNWP405およびフラッシュメモリ412などによって実現することができる。タイマ509は、たとえば図4-2に示したリアルタイムクロック414などによって実現することができる。鍵暗号部510は、たとえば図4-2に示したNWP405などによって実現することができる。装置制御部512は、たとえば図4-2に示したCPU401などによって実現することができる。図5-3は、MMEの機能的構成の一例を示す図である。図5-3において、図5-1または図5-2に示した部分と同様の部分については同一の符号を付して説明を省略する。図5-3に示すように、MME220は、たとえば、信号インタフェース501と、IKE終端部502と、IPsec終端部503と、緊急パケット鍵交換部504と、パケット送受信部505と、コア制御部507と、鍵管理部508と、タイマ509と、鍵暗号部510と、隣接装置制御部511と、装置制御部512と、を備えている。MME220の信号インタフェース501は、たとえば、セキュリティGW232およびコアネットワーク260との間で通信を行う。MME220のパケット送受信部505は、たとえば隣接装置制御部511の制御により、IPsec終端部503および信号インタフェース501を介して緊急パケットを送信する。MME220の鍵暗号部510は、パケット送受信部505によって送信する緊急パケットの鍵情報の暗号化を行う。コア制御部507は、信号インタフェース501およびIPsec終端部503を用いたコアネットワーク260との間の通信を制御する。コア制御部507は、たとえば図4-3に示したコアネットワーク制御部411によって実現することができる。信号インタフェース501は、たとえば図4-3に示した受信インタフェース407、送信インタフェース408および物理インタフェース409などによって実現することができる。IKE終端部502は、たとえば図4-3に示したNWP405などによって実現することができる。IPsec終端部503は、たとえば図4-3に示したNWP405などによって実現することができる。緊急パケット鍵交換部504は、たとえば図4-3に示したNWP405などによって実現することができる。パケット送受信部505は、たとえば図4-3に示したNWP405などによって実現することができる。鍵管理部508は、たとえば図4-3に示したNWP405およびフラッシュメモリ412などによって実現することができる。タイマ509は、たとえば図4-3に示したリアルタイムクロック414などによって実現することができる。鍵暗号部510は、たとえば図4-3に示したNWP405などによって実現することができる。隣接装置制御部511は、たとえば図4-3に示した無線制御部410などによって実現することができる。装置制御部512は、たとえば図4-3に示したCPU401などによって実現することができる。緊急パケットの例図6は、セキュリティ経路の確立時における緊急パケットの一例を示す図である。図6に示す緊急パケット600は、たとえばセキュリティGW231とeNB241との間でセキュリティ経路が確立されている場合にOPE210からeNB241へ送信される緊急パケットの一例である。緊急パケット600のICMPヘッダに含まれるTypeは、緊急パケット600の種類を示している。たとえばTypeがlである場合は、緊急パケット600が鍵情報を含まない緊急パケットであることを示す。Typeがmである場合は、緊急パケット600が鍵情報を含む緊急パケットであることを示す。Typeがnである場合は、緊急パケット600が、暗号化された鍵情報を含む緊急パケットであることを示す。セキュリティ経路の確立時に送信される緊急パケット600は鍵情報を含まないため、緊急パケット600のTypeはlとなる。ICMPヘッダに含まれるCodeは、緊急パケット600の送信先たとえばeNB241に指示する動作の種類を示すコマンドである。たとえばCodeがsである場合は、緊急パケット600の送信先に対するリスタートの指示を示す。Codeがtである場合は、緊急パケット600の送信先に対する上位装置からのダウンロード転送の指示を示す。Codeがuである場合は、緊急パケット600の送信先に対する上位装置からのダウンロード書込の指示を示す。Codeがvである場合は、緊急パケット600の送信先に対する上位装置へのアップロード転送の指示を示す。Codeがwである場合は、緊急パケット600の送信先に対する上位装置へのアップロード書込の指示を示す。Codeがxである場合は、緊急パケット600の送信先に対する上位装置への状態通知の指示を示す。ICMPデータに含まれるペイロードは、たとえばCodeがtやuである場合のダウンロードデータなどを含むデータである。図7は、セキュリティ経路の非確立時における緊急パケットの一例を示す図である。図7において、図6に示した部分と同様の部分については説明を省略する。図7に示す緊急パケット700は、たとえばセキュリティGW231とeNB241との間でセキュリティ経路が確立されていない場合に、OPE210からeNB241へ送信される緊急パケットの一例である。セキュリティ経路の確立時に送信される緊急パケット700は鍵情報を含むため、緊急パケット700のTypeはmまたはnとなる。鍵情報は、OPE210とeNB241との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれかの鍵情報である。鍵情報は、暗号化されていてもよい。鍵番号は、鍵情報が示す鍵情報が、OPE210とeNB241との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれの鍵情報であるかを示す情報である。緊急鍵交換パケットの例図8は、緊急鍵交換パケットの一例を示す図である。図8に示す緊急鍵交換パケット800は、たとえばOPE210からeNB241へ送信される緊急鍵交換パケットの一例である。ただし、eNB241からOPE210へ送信される緊急鍵交換パケットや、OPE210とMME220との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット800と同様である。ICMPヘッダに含まれるTypeは、パケットの種類を示している。たとえばTypeがmである場合は、緊急鍵交換パケット800が、ICMPデータに含まれる鍵情報の追加を指示する緊急鍵交換パケットであることを示す。Typeがnである場合は、緊急鍵交換パケット800が、ICMPデータに含まれる鍵情報の削除を指示する緊急鍵交換パケットであることを示す。ICMPデータには鍵情報および鍵番号の組が含まれる。また、緊急鍵交換パケット800のように、ICMPデータには鍵情報および鍵番号の組が複数含まれていてもよい。この場合は、鍵情報および鍵番号の各組における鍵番号はそれぞれ異なる番号になる。図9は、緊急鍵交換パケットの他の例を示す図である。図9に示す緊急鍵交換パケット900は、たとえばOPE210からeNB241へ送信される緊急鍵交換パケットの一例である。ただし、eNB241からOPE210へ送信される緊急鍵交換パケットや、OPE210とMME220との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット900と同様である。緊急鍵交換パケット900は、IKE_SA_INITを用いた緊急鍵交換パケットである。たとえば、IKEヘッダに含まれるIKE_SA_SPIに鍵番号を格納することができる。また、IKEペイロードに含まれる鍵交換データに鍵情報を格納することができる。鍵管理情報の例図10は、鍵管理情報の一例を示す図である。図10に示す鍵管理情報1000は、たとえばOPE210、MME220およびeNB241の鍵管理部508によって管理される鍵管理情報の一例である。鍵管理情報1000には、鍵情報1~鍵情報3と、抑止期間と、が含まれている。鍵情報1~鍵情報3のそれぞれは、たとえばOPE210とeNB241との間で共有された鍵情報である。鍵情報1~鍵情報3のそれぞれには、番号と、状態と、鍵データと、更新時間と、が含まれている。番号は、鍵情報1~鍵情報3を互いに識別する情報である。状態は、鍵情報の設定状態を示している。状態は、たとえば、鍵情報が初期値であることを示す初期設定、鍵情報が緊急鍵交換パケットによって更新された鍵情報であることを示す更新、鍵情報が設定されていない空であることを示す未設定などの値をとる。鍵データは、鍵情報同士を照合するためのデータである。鍵データには、たとえば、照合対象のデータ、鍵長、照合のためのアルゴリズムたとえばハッシュ値の算出方法などの情報が含まれる。更新時間は、鍵情報が緊急鍵交換パケットによって更新された時間時刻を示す情報である。また、鍵情報1~鍵情報3には有効期間がある。鍵情報1~鍵情報3の有効期間は、たとえば更新時間から一定の時間が経過するまでの期間である。抑止期間は、eNB241が緊急パケットに基づく動作たとえばリスタートを実行してから、一定の時間が経過するまでの期間である。抑止期間が示す期間においては、eNB241は、緊急パケットを受信しても、受信した緊急パケットに基づく動作を実行しない。これにより、たとえば、eNB241が緊急パケットに基づいてリスタートし、IPsecが確立するまでに再度緊急パケットを受信しても、再度のリスタートを回避することができる。これにより、たとえばリスタート攻撃を回避することができる。通信システムの動作例図11-1は、図2に示した通信システムの動作例2を示すシーケンス図その1である。鍵状態1101~1112は、OPE210、MME220およびeNB241の鍵管理部508に設定された鍵情報の状態を示している。OPE210、MME220およびeNB241の鍵管理部508たとえば図4に示したフラッシュメモリ412に、それぞれ対となる鍵情報を複数組記憶しておく。鍵状態1101に示すように、初期設定により、OPE210、MME220およびeNB241には、鍵情報1,2,3が設定されているとする。<初期設定後の鍵更新>たとえばeNB241の電源投入起動時に、eNB241が、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS1101。つぎに、セキュリティGW231が、ステップS1101によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS1102。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS1103。つぎに、セキュリティGW231が、ステップS1103によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS1104。ステップS1101~S1104により、eNB241とセキュリティGW231の間でセキュリティ経路1121が確立される。つぎに、eNB241が、鍵状態1101が示す各鍵情報の状態が初期設定であるため、新たな鍵情報4,5,6を自身の鍵管理部508に設定する。そして、eNB241は、ステップS1101~S1104によって確立されたセキュリティ経路1121を用いて、鍵情報4,5,6の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS1105。つぎに、OPE210が、ステップS1105によって送信された緊急鍵交換パケットに基づいて鍵情報4,5,6を自身の鍵管理部508に設定する。そして、OPE210は、鍵情報4,5,6を設定したことを示す緊急鍵交換パケットを、セキュリティ経路1121を用いてeNB241へ送信するステップS1106。また、OPE210は、鍵情報4,5,6の追加を指示する緊急鍵交換パケットをMME220へ送信するステップS1107。これに対して、MME220は、ステップS1107によって送信された緊急鍵交換パケットに基づいて鍵情報4,5,6を自身の鍵管理部508に設定する。これにより、MME220に鍵情報4,5,6を複写することができる。ステップS1105~S1107により、鍵状態1102に示すように、OPE210、MME220およびeNB241に設定される鍵情報が更新されて鍵情報4,5,6となる。また、鍵情報4,5,6の各状態は更新となる。<セキュリティ経路切断状態の緊急パケット発行>つぎに、セキュリティ経路1121に異常が発生したとする。eNB241は、セキュリティ経路1121の異常を検出すると、IKEパケットをセキュリティGW231へ送信するステップS1108。つぎに、セキュリティGW231が、IKEパケットをeNB241へ送信するステップS1109。ステップS1108,S1109によって送信されるIKEパケットは、たとえばIKE_INFORMATIONALDELETEである。これにより、セキュリティ経路1121が切断される。セキュリティ経路1121が切断された状態において、eNB241に障害が発生したとする。つぎに、OPE210が、eNB241の障害を検出するステップS1110。eNB241の障害の検出は、たとえばeNB241との疎通確認やeNB241からの通知信号に基づいて行うことができる。つぎに、OPE210が、リスタートを指示するコマンドを含む緊急パケットをeNB241へ送信するステップS1111。ステップS1111において、OPE210は、セキュリティ経路1121が切断されているため、自身の鍵管理部508に設定されている鍵情報4,5,6のうちの鍵番号が最も小さい鍵情報4を緊急パケットに付加する。また、OPE210は、鍵情報4を所定の方式によって暗号化し、暗号化した鍵情報4を緊急パケットに付加してもよい。また、OPE210は、緊急パケットに付加した鍵情報4を自身の鍵管理部508の設定から削除する。また、OPE210は、鍵情報4の削除を指示する緊急鍵交換パケットをMME220へ送信するステップS1112。これに対して、MME220は、自身の鍵管理部508に設定された鍵情報4を削除する。つぎに、eNB241が、ステップS1111によって送信された緊急パケットに含まれる鍵情報4が、自身の鍵管理部508に設定された鍵情報4と一致するため、緊急パケットに基づいてリスタートを行うステップS1113。また、eNB241は、鍵情報4を含む緊急パケットを受信したため、自身の鍵管理部508に設定された鍵情報4を削除する。これにより、鍵状態1103に示すように、OPE210、MME220およびeNB241に設定される鍵情報は鍵情報5,6となる。また、ステップS1113において、eNB241は、鍵情報4のライフタイムが有効であるか否かを判定し、ライフタイムが有効である場合にリスタートを行うようにしてもよい。また、ステップS1113において、eNB241は、抑止期間を経過しているか否かを判定し、抑止期間を経過している場合にリスタートを行うようにしてもよい。また、ステップS1113の後に、eNB241は、連続緊急パケット抑止のための抑止期間を設定してもよい。つぎに、eNB241が設定した抑止期間内に、OPE210が、リスタートを指示するコマンドを含む緊急パケットをeNB241へ送信したとするステップS1114。ステップS1114において、OPE210は、セキュリティ経路1121が切断されているため、自身の鍵管理部508に設定されている鍵情報5,6のうちの鍵番号が最も小さい鍵情報5を緊急パケットに付加する。また、OPE210は、鍵情報5を所定の方式によって暗号化し、暗号化した鍵情報5を緊急パケットに付加してもよい。また、OPE210は、緊急パケットに付加した鍵情報5を自身の鍵管理部508の設定から削除する。また、OPE210は、鍵情報5の削除を指示する緊急鍵交換パケットをMME220へ送信するステップS1115。これに対して、MME220は、自身の鍵管理部508に設定された鍵情報5を削除する。また、eNB241は、鍵情報5を含む緊急パケットを受信したため、自身の鍵管理部508に設定された鍵情報5を削除する。これにより、鍵状態1104に示すように、OPE210、MME220およびeNB241に設定される鍵情報は鍵情報6となる。つぎに、eNB241は、ステップS1114による緊急パケットの送信は抑止期間内であるため、ステップS1114によって送信された緊急パケットを破棄するステップS1116。つぎに、eNB241が、ステップS1113によってリスタートしたため、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS1117。つぎに、セキュリティGW231が、ステップS1117によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS1118。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS1119。つぎに、セキュリティGW231が、ステップS1119によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS1120。ステップS1117~S1120により、eNB241とセキュリティGW231の間でセキュリティ経路1122が確立される。つぎに、eNB241が、鍵状態1104が示す各鍵情報のうちの2つの鍵情報が未設定であるため、新たな鍵情報7,8を自身の鍵管理部508に設定する。そして、eNB241は、ステップS1117~S1120によって確立されたセキュリティ経路1122を用いて、鍵情報7,8の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS1121。つぎに、OPE210が、ステップS1121によって送信された緊急鍵交換パケットに基づいて鍵情報7,8を自身の鍵管理部508に設定する。そして、OPE210は、鍵情報7,8を設定したことを示す緊急鍵交換パケットを、セキュリティ経路1122を用いてeNB241へ送信するステップS1122。また、OPE210は、鍵情報7,8の追加を指示する緊急鍵交換パケットをMME220へ送信するステップS1123。これに対して、MME220は、ステップS1123によって送信された緊急鍵交換パケットに基づいて鍵情報7,8を自身の鍵管理部508に設定する。これにより、MME220に鍵情報7,8を複写することができる。ステップS1121~S1123により、鍵状態1105に示すように、OPE210、MME220およびeNB241に設定される鍵情報が更新されて鍵情報6,7,8となる。また、鍵情報6,7,8の各状態は更新となる。<時間経過等による緊急鍵の更新>また、OPE210、MME220およびeNB241は、鍵情報を更新してからの時間を監視し、一定の有効期間を超過した鍵については削除し、新たな鍵情報を設定する。たとえば、鍵状態1105に示した鍵情報6の有効期限が経過したとする。この場合は、鍵状態1106に示すように、OPE210、MME220およびeNB241は、鍵情報6の設定を削除する。そして、eNB241が、新たな鍵情報9を自身の鍵管理部508に設定する。つぎに、eNB241は、セキュリティ経路1122を用いて、鍵情報9の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS1124。つぎに、OPE210が、ステップS1124によって送信された緊急鍵交換パケットに基づいて鍵情報9を自身の鍵管理部508に設定する。そして、OPE210は、鍵情報9を設定したことを示す緊急鍵交換パケットを、セキュリティ経路1122を用いてeNB241へ送信するステップS1125。また、OPE210は、鍵情報9の追加を指示する緊急鍵交換パケットをMME220へ送信するステップS1126。これに対して、MME220は、ステップS1126によって送信された緊急鍵交換パケットに基づいて鍵情報9を自身の鍵管理部508に設定する。これにより、MME220に鍵情報9を複写することができる。ステップS1124~S1126により、鍵状態1107に示すように、OPE210、MME220およびeNB241に設定される鍵情報が更新されて鍵情報7,8,9となる。また、鍵情報7,8,9の各状態は更新となる。図11-2は、図2に示した通信システムの動作例2を示すシーケンス図その2である。図11-1に示した動作例の後に、セキュリティ経路1122に異常が発生したとする。eNB241は、セキュリティ経路1122の異常を検出すると、IKEパケットをセキュリティGW231へ送信するステップS1127。つぎに、セキュリティGW231が、IKEパケットをeNB241へ送信するステップS1128。ステップS1127,S1128によって送信されるIKEパケットは、たとえばIKE_INFORMATIONALDELETEである。これにより、セキュリティ経路1122が切断される。<セキュリティ経路切断状態のダウンロード等の復旧動作>セキュリティ経路1122が切断された状態において、eNB241に障害が発生したとする。つぎに、OPE210が、eNB241の障害を検出するステップS1129。eNB241の障害の検出は、たとえばeNB241との疎通確認やeNB241からの通知信号に基づいて行うことができる。ここでは、プログラムやシステム設定値をeNB241にダウンロードさせることでeNB241の復旧を行うとする。つぎに、OPE210が、ダウンロードデータを含み、ダウンロード転送を指示するコマンドを含む緊急パケットをeNB241へ送信するステップS1130。ステップS1130において、OPE210は、セキュリティ経路1122が切断されているため、自身の鍵管理部508に設定されている鍵情報7,8,9のうちの鍵番号が最も小さい鍵情報7を緊急パケットに付加する。また、OPE210は、鍵情報7を所定の方式によって暗号化し、暗号化した鍵情報7を緊急パケットに付加してもよい。また、OPE210は、緊急パケットに付加した鍵情報7を自身の鍵管理部508の設定から削除する。また、OPE210は、鍵情報7の削除を指示する緊急鍵交換パケットをMME220へ送信するステップS1131。これに対して、MME220は、自身の鍵管理部508に設定された鍵情報7を削除する。つぎに、eNB241が、ステップS1130によって送信された緊急パケットに含まれる鍵情報7が、自身の鍵管理部508に設定された鍵情報7と一致するため、緊急パケットに基づいてダウンロード転送を行うステップS1132。具体的には、eNB241は、受信した緊急パケットに含まれるダウンロードデータをメモリ403などの揮発メモリに格納する。また、MME220は、鍵情報7の削除を指示する緊急鍵交換パケットを受信したため、自身の鍵管理部508に設定された鍵情報7を削除する。これにより、鍵状態1108に示すように、OPE210、MME220およびeNB241に設定される鍵情報は鍵情報8,9となる。つぎに、OPE210が、ダウンロード書込を指示するコマンドを含む緊急パケットをeNB241へ送信するステップS1133。ステップS1133において、OPE210は、セキュリティ経路1122が切断されているため、自身の鍵管理部508に設定されている鍵情報8,9のうちの鍵番号が最も小さい鍵情報8を緊急パケットに付加する。また、OPE210は、鍵情報8を所定の方式によって暗号化し、暗号化した鍵情報8を緊急パケットに付加してもよい。また、OPE210は、緊急パケットに付加した鍵情報8を自身の鍵管理部508の設定から削除する。また、OPE210は、鍵情報8の削除を指示する緊急鍵交換パケットをMME220へ送信するステップS1134。これに対して、MME220は、自身の鍵管理部508に設定された鍵情報8を削除する。つぎに、eNB241が、ステップS1133によって送信された緊急パケットに含まれる鍵情報8が、自身の鍵管理部508に設定された鍵情報8と一致するため、緊急パケットに基づいてダウンロード書込を行うステップS1135。具体的には、eNB241は、ステップS1132においてメモリ403などに格納したダウンロードデータをフラッシュメモリ412などの不揮発メモリに書き込む。また、eNB241は、鍵情報8を含む緊急パケットを受信したため、自身の鍵管理部508に設定された鍵情報8を削除する。これにより、鍵状態1109に示すように、OPE210、MME220およびeNB241に設定される鍵情報は鍵情報9となる。なお、ステップS1135とステップS1136との間に、eNB241はリスタートを行ってもよい。つぎに、eNB241が、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS1136。つぎに、セキュリティGW231が、ステップS1136によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS1137。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS1138。つぎに、セキュリティGW231が、ステップS1138によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS1139。ステップS1136~S1139により、eNB241とセキュリティGW231の間でセキュリティ経路1123が確立される。つぎに、eNB241が、鍵状態1109が示す各鍵情報のうちの2つの鍵情報が未設定であるため、新たな鍵情報10,11を自身の鍵管理部508に設定する。そして、eNB241は、セキュリティ経路1123を用いて、鍵情報10,11の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS1140。つぎに、OPE210が、ステップS1140によって送信された緊急鍵交換パケットに基づいて鍵情報10,11を自身の鍵管理部508に設定する。そして、OPE210は、鍵情報10,11を設定したことを示す緊急鍵交換パケットを、セキュリティ経路1123を用いてeNB241へ送信するステップS1141。また、OPE210は、鍵情報10,11の追加を指示する緊急鍵交換パケットをMME220へ送信するステップS1142。これに対して、MME220は、ステップS1142によって送信された緊急鍵交換パケットに基づいて鍵情報10,11を自身の鍵管理部508に設定する。これにより、MME220に鍵情報10,11を複写することができる。ステップS1140~S1142により、鍵状態1110に示すように、OPE210、MME220およびeNB241に設定される鍵情報が更新されて鍵情報9,10,11となる。また、鍵情報9,10,11の各状態は更新となる。<セキュリティ経路切断状態のMMEリスタート>つぎに、セキュリティ経路1123に異常が発生したとする。eNB241は、セキュリティ経路1123の異常を検出すると、IKEパケットをセキュリティGW231へ送信するステップS1143。つぎに、セキュリティGW231が、IKEパケットをeNB241へ送信するステップS1144。ステップS1143,S1144によって送信されるIKEパケットは、たとえばIKE_INFORMATIONALDELETEである。これにより、セキュリティ経路1123が切断される。セキュリティ経路1123が切断された状態において、MME220によるeNB241のリスタートを行うとする。MME220によるeNB241のリスタートは、たとえばMME220のリスタートに伴って行われる。まず、MME220が、リスタートを指示するコマンドを含む緊急パケットをeNB241へ送信するステップS1145。ステップS1145において、MME220は、セキュリティ経路1123が切断されているため、自身の鍵管理部508に設定されている鍵情報9,10,11のうちの鍵番号が最も小さい鍵情報9を緊急パケットに付加する。また、MME220は、鍵情報9を所定の方式によって暗号化し、暗号化した鍵情報9を緊急パケットに付加してもよい。また、MME220は、緊急パケットに付加した鍵情報9を自身の鍵管理部508の設定から削除する。また、MME220は、鍵情報9の削除を指示する緊急鍵交換パケットをOPE210へ送信するステップS1146。これに対して、OPE210は、自身の鍵管理部508に設定された鍵情報9を削除する。つぎに、eNB241が、ステップS1145によって送信された緊急パケットに含まれる鍵情報9が、自身の鍵管理部508に設定された鍵情報9と一致するため、緊急パケットに基づいてリスタートを行うステップS1147。また、eNB241は、鍵情報9を含む緊急パケットを受信したため、自身の鍵管理部508に設定された鍵情報9を削除する。これにより、鍵状態1111に示すように、OPE210、MME220およびeNB241に設定される鍵情報は鍵情報10,11となる。つぎに、eNB241が、ステップS1147によってリスタートを行ったため、セキュリティ経路を確立するための要求信号IKE_SA_INITをセキュリティGW231へ送信するステップS1148。つぎに、セキュリティGW231が、ステップS1148によって送信された要求信号に対する応答信号IKE_SA_INITをeNB241へ送信するステップS1149。つぎに、eNB241が、要求信号IKE_AUTHをセキュリティGW231へ送信するステップS1150。つぎに、セキュリティGW231が、ステップS1150によって送信された要求信号に対する応答信号IKE_AUTHをeNB241へ送信するステップS1151。ステップS1148~S1151により、eNB241とセキュリティGW231の間でセキュリティ経路1124が確立される。つぎに、eNB241が、鍵状態1111が示す各鍵情報のうちの1つの鍵情報が未設定であるため、新たな鍵情報12を自身の鍵管理部508に設定する。そして、eNB241は、セキュリティ経路1124を用いて、鍵情報12の追加を指示する緊急鍵交換パケットをOPE210へ送信するステップS1152。つぎに、OPE210が、ステップS1152によって送信された緊急鍵交換パケットに基づいて鍵情報12を自身の鍵管理部508に設定する。そして、OPE210は、鍵情報12を設定したことを示す緊急鍵交換パケットを、セキュリティ経路1124を用いてeNB241へ送信するステップS1153。また、OPE210は、鍵情報12の追加を指示する緊急鍵交換パケットをMME220へ送信するステップS1154。これに対して、MME220は、ステップS1154によって送信された緊急鍵交換パケットに基づいて鍵情報12を自身の鍵管理部508に設定する。これにより、MME220に鍵情報12を複写することができる。ステップS1152~S1154により、鍵状態1112に示すように、OPE210、MME220およびeNB241に設定される鍵情報が更新されて鍵情報10,11,12となる。また、鍵情報10,11,12の各状態は更新となる。図11-1,図11-2に示した動作において、要求信号、応答信号およびIKEパケットの送受信は、たとえばセキュリティGW231およびeNB241のそれぞれの信号インタフェース501およびIKE終端部502によって行われる。また、緊急鍵交換パケットの送受信は、たとえばOPE210、MME220およびeNB241のそれぞれの信号インタフェース501、緊急パケット鍵交換部504、鍵管理部508、タイマ509および鍵暗号部510によって行われる。また、緊急パケットの送受信は、たとえばOPE210、MME220およびeNB241のそれぞれの信号インタフェース501、パケット送受信部505、鍵管理部508、タイマ509および鍵暗号部510によって行われる。また、eNB241のリスタートやダウンロードは、たとえばeNB241の装置制御部512によって行われる。鍵情報の管理処理図12は、鍵情報の管理処理の一例を示すフローチャートである。OPE210、MME220およびeNB241の少なくともいずれかの鍵管理部508は、たとえば図11に示す各ステップを繰り返し実行することによって鍵情報を管理する。ここではOPE210による管理処理について説明する。まず、OPE210は、自身に設定されているすべての鍵情報の状態が更新であるか否かを判断するステップS1201。ステップS1201において、すべての鍵情報の状態が更新である場合ステップS1201:Yesは、OPE210は、ステップS1203へ移行する。少なくともいずれかの鍵情報の状態が更新でない場合ステップS1201:Noは、OPE210は、鍵交換処理を実行するステップS1202。具体的には、OPE210は、eNB241やMME220との間で緊急鍵交換パケットを送受信することによって、自身に設定されている鍵情報のうちの状態が更新でない鍵情報を更新する。つぎに、OPE210は、自身に設定されているすべての鍵情報が有効期限内か否かを判断するステップS1203。鍵情報の有効期限は、たとえば図10に示した更新時間から一定の時間が経過する時間である。すべての鍵情報が有効期限内である場合ステップS1203:Yesは、OPE210は、ステップS1205へ移行する。少なくともいずれかの鍵情報が有効期限内でない場合ステップS1203:Noは、OPE210は、有効期限を過ぎた鍵情報を自身から削除するステップS1204。つぎに、OPE210は、他の通信装置たとえばeNB241から緊急鍵交換パケットを受信したか否かを判断するステップS1205。緊急鍵交換パケットを受信していない場合ステップS1205:Noは、OPE210は、一連の処理を終了する。緊急鍵交換パケットを受信した場合ステップS1205:Yesは、OPE210は、受信した緊急鍵交換パケットが、鍵情報の追加を指示する緊急鍵交換パケットであるか否かを判断するステップS1206。ステップS1206において、鍵情報の追加を指示する緊急鍵交換パケットである場合ステップS1206:Yesは、OPE210は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定に追加するステップS1207。つぎに、OPE210は、自身に設定された鍵情報を他の通信装置たとえばMME220に複写しステップS1208、一連の処理を終了する。具体的には、OPE210は、受信した緊急鍵交換パケットに基づいて鍵情報を追加すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。ステップS1206において、鍵情報の追加を指示する緊急鍵交換パケットでない場合ステップS1206:Noは、OPE210は、受信した緊急鍵交換パケットが、鍵情報の削除を指示する緊急鍵交換パケットであるか否かを判断するステップS1209。鍵情報の削除を指示する緊急鍵交換パケットである場合ステップS1209:Yesは、OPE210は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定から削除するステップS1210。つぎに、OPE210は、自身に設定された鍵情報を他の通信装置たとえばMME220に複写しステップS1211、一連の処理を終了する。具体的には、OPE210は、受信した緊急鍵交換パケットに含まれる鍵情報を削除すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。ステップS1209において、削除を指示する緊急鍵交換パケットでない場合ステップS1209:Noは、OPE210は、受信した緊急鍵交換パケットが、鍵情報の複写を指示する緊急鍵交換パケットであるか否かを判断するステップS1212。鍵情報の複写を指示する緊急鍵交換パケットである場合ステップS1212:Yesは、OPE210は、自身に設定された鍵情報を他の通信装置たとえばMME220に複写しステップS1213、一連の処理を終了する。ステップS1212において、鍵情報の複写を指示する緊急鍵交換パケットでない場合ステップS1212:Noは、OPE210は、一連の処理を終了する。以上の各ステップにより、OPE210は、eNB241との間で鍵情報を共有することができる。また、OPE210は、MME220に対して自身の鍵情報を複写することができる。図13-1は、緊急パケットの受信時の処理の一例を示すフローチャートその1である。図13-2は、緊急パケットの受信時の処理の一例を示すフローチャートその2である。eNB241は、緊急パケットの受信時に、たとえば以下の各ステップを実行する。まず、eNB241は、緊急パケットを受信するとステップS1301、受信した緊急パケットが暗号化されているか否かを判断するステップS1302。ステップS1302において、緊急パケットが暗号化されている場合ステップS1302:Yesは、eNB241は、受信した緊急パケットを復号するステップS1303。つぎに、eNB241は、緊急パケットがリスタートを指示するコマンドを含む緊急パケットである場合はリスタートを行うステップS1304。ただし、緊急パケットが指示する動作はリスタートに限らない。ステップS1302において、緊急パケットが暗号化されていない場合ステップS1302:Noは、eNB241は、受信した緊急パケットに含まれている鍵情報が暗号化されているか否かを判断するステップS1305。鍵情報が暗号化されていない場合ステップS1305:Noは、eNB241は、ステップS1307へ移行する。ステップS1305において、鍵情報が暗号化されている場合ステップS1305:Yesは、eNB241は、緊急パケットに含まれている鍵情報を復号するステップS1306。つぎに、eNB241は、緊急パケットに含まれている鍵情報が、自身に設定されている鍵情報と一致しているか否かを判断するステップS1307。ステップS1307において、鍵情報が一致していない場合ステップS1307:Noは、eNB241は、一連の処理を終了する。この場合は、eNB241は、受信した緊急パケットを破棄してもよい。鍵情報が一致している場合ステップS1307:Yesは、eNB241は、自身に設定された鍵情報のうちの、受信した緊急パケットに含まれている鍵情報を削除するステップS1308。つぎに、eNB241は、図13-2に示す各ステップへ移行する。すなわち、eNB241は、ステップS1308によって削除した鍵情報が有効期限内であったか否かを判断するステップS1309。鍵情報が有効期限内でなかった場合ステップS1309:Noは、eNB241は、一連の処理を終了する。この場合は、eNB241は、受信した緊急パケットを破棄してもよい。ステップS1309において、鍵情報が有効期限内であった場合ステップS1309:Yesは、eNB241は、セキュリティGW231との間でセキュリティ経路が確立されているか否かを判断するステップS1310。セキュリティ経路が確立されている場合ステップS1310:Yesは、eNB241は、一連の処理を終了する。この場合は、eNB241は、受信した緊急パケットを破棄してもよい。ステップS1310において、セキュリティ経路が確立されていない場合ステップS1310:Noは、eNB241は、受信した緊急パケットがリスタートを指示するコマンドを含む緊急パケットか否かを判断するステップS1311。リスタートを指示するコマンドを含む場合ステップS1311:Yesは、eNB241は、現在時刻が、自身の鍵管理情報1000図10参照に設定された抑止期間中か否かを判断するステップS1312。ステップS1312において、抑止期間中である場合ステップS1312:Yesは、eNB241は、一連の処理を終了する。この場合は、eNB241は、受信した緊急パケットを破棄してもよい。抑止期間中でない場合ステップS1312:Noは、eNB241は、自身の鍵管理情報1000に抑止期間を設定するステップS1313。具体的には、eNB241は、現在時刻から一定の時間が経過するまでの期間を抑止期間として設定する。つぎに、eNB241は、リスタートを実行しステップS1314、一連の処理を終了する。ステップS1311において、リスタートを指示するコマンドを含まない場合ステップS1311:Noは、eNB241は、受信した緊急パケットがダウンロード転送を指示するコマンドを含むか否かを判断するステップS1315。ダウンロード転送を指示するコマンドを含む場合ステップS1315:Yesは、eNB241は、緊急パケットに含まれるダウンロードデータを受信しステップS1316、一連の処理を終了する。ステップS1316において、eNB241は、たとえば、ダウンロードデータをメモリ403に格納する。ステップS1315において、ダウンロード転送を指示するコマンドを含まない場合ステップS1315:Noは、eNB241は、受信した緊急パケットがダウンロード書込を指示するコマンドを含むか否かを判断するステップS1317。ダウンロード書込を指示するコマンドを含む場合ステップS1317:Yesは、eNB241は、メモリ403に記憶したダウンロードデータをフラッシュメモリ412に書き込みステップS1318、一連の処理を終了する。ステップS1317において、ダウンロード書込を指示するコマンドを含まない場合ステップS1317:Noは、eNB241は、一連の処理を終了する。以上の各ステップにより、eNB241は、受信した緊急パケットがOPE210から送信されたか否かを鍵情報に基づいて確認し、緊急パケットに基づく動作を行うことができる。図14は、緊急パケットの送信時の処理の一例を示すフローチャートである。たとえばOPE210は、eNB241への緊急パケットの送信時に、たとえば以下の各ステップを実行する。図14に示すように、まず、OPE210は、緊急パケットを送信する場合に、セキュリティGW231とeNB241との間にセキュリティ経路が確立されているか否かを判断するステップS1401。ステップS1401において、セキュリティ経路が確立されている場合ステップS1401:Yesは、OPE210は、緊急パケットを作成するステップS1402。つぎに、OPE210は、ステップS1402によって作成された緊急パケットを暗号化するステップS1403。つぎに、OPE210は、ステップS1403によって暗号化された緊急パケットをeNB241へ送信しステップS1404、一連の処理を終了する。これにより、セキュリティ経路を用いて、セキュリティを確保しつつ緊急パケットを送信することができる。ステップS1401において、セキュリティ経路が確立されていない場合ステップS1401:Noは、OPE210は、緊急パケットに格納する鍵情報を暗号化するか否かを判断するステップS1405。ステップS1405の判断は、たとえば事前の設定に基づいて行う。鍵情報を暗号化しない場合ステップS1405:Noは、OPE210は、ステップS1407へ移行する。ステップS1405において、鍵情報を暗号化する場合ステップS1405:Yesは、OPE210は、鍵情報を暗号化するステップS1406。つぎに、OPE210は、鍵情報を含む緊急パケットを作成するステップS1407。つぎに、OPE210は、ステップS1407によって作成された緊急パケットに含まれる鍵情報を、自身の設定から削除するステップS1408。つぎに、OPE210は、ステップS1407によって作成された緊急パケットをeNB241へ送信するステップS1409。これにより、セキュリティ経路が確立されていなくても、セキュリティを確保しつつ緊急パケットを送信することができる。つぎに、OPE210は、自身に設定された鍵情報を他の通信装置MME220へ複写しステップS1410、一連の処理を終了する。このように、実施の形態にかかる通信システム100においては、被操作装置通信装置120の鍵情報と対になる鍵情報および動作コマンドを含むパケットを通信装置110から被操作装置へ送信する。これにより、セキュリティ経路101が確立されていなくても、セキュリティを確保しつつ被操作装置を遠隔操作することができる。たとえば、プログラムやシステム設定値の誤りに起因するeNB241の障害が発生した場合に、eNB241へ入局しなくても、遠隔操作によってリスタートやダウンロードなどを実行させることで復旧が可能となる。また、遠隔操作によってアップロードを実行させることでeNB241の状態を確認することができる。このため、稼働率の向上および保守コストの低減を図ることができる。また、コマンドを暗号化せずに平文のまま送信することができる。したがって、たとえば、セキュリティ経路101が確立されていない場合のためのコマンドの暗号化機能を通信装置110が有していなくてもよい。また、セキュリティ経路101が確立されていない場合のためのコマンドの復号機能を通信装置120が有していなくてもよい。このため、セキュリティ経路101が確立されていない場合においてセキュリティを確保しつつコマンドを送信する機能を簡単な構成によって実現することができる。以上説明したように、通信装置、通信システムおよび通信方法によれば、セキュリティ経路が確立されていなくても、遠隔操作のセキュリティを向上させることができる。なお、上述した実施の形態においては、通信装置120を遠隔操作することによってシステムの復旧などを図る場合について説明した。ただし、通信システム100は、システムの復旧を図る場合などに限らず、通信装置120を遠隔操作する構成に対して適用することができる。上述した実施の形態に関し、さらに以下の付記を開示する。付記1所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、を備えることを特徴とする通信装置。付記2前記セキュリティ経路は、パケットが暗号化されて伝送される経路であることを特徴とする付記1に記載の通信装置。付記3前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする付記1または2に記載の通信装置。付記4前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする付記1~3のいずれか一つに記載の通信装置。付記5前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記4に記載の通信装置。付記6前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする付記1~5のいずれか一つに記載の通信装置。付記7鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、を備えることを特徴とする通信装置。付記8前記取得部は、前記受信部による前記コマンドの受信ごとに異なる前記受信側鍵情報を取得することを特徴とする付記7に記載の通信装置。付記9前記所定の通信装置との間で確立されたセキュリティ経路を用いた前記所定の通信装置との通信によって前記受信側鍵情報を設定する設定部を備え、前記取得部は、前記設定部によって設定された受信側鍵情報を取得することを特徴とする付記7または8に記載の通信装置。付記10前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記9に記載の通信装置。付記11前記受信部によって受信されたパケットに含まれ、暗号化された前記鍵情報を復号する復号部を備え、前記判定部は、前記復号部によって復号された鍵情報と前記受信側鍵情報とが前記所定の対応関係を有するか否かを判定することを特徴とする付記7~10のいずれか一つに記載の通信装置。付記12前記所定の動作には自装置の再起動が含まれ、前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする付記7~11のいずれか一つに記載の通信装置。付記13自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、を含むことを特徴とする通信システム。付記14第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、ことを特徴とする通信方法。"