JP2013209821A - 電気錠システム - Google Patents

Abstract

【課題】機器認証コードの抜取、なりすまし、機器認証コードの総当たり等を阻止し、施錠対象物の安全性または防犯性を向上させる。
【解決手段】扉に取り付けられ、電気錠を備えた電気錠装置と、室内に設けられた操作盤との間で情報通信を行う際に、チャレンジ・アンド・レスポンス処理等を行う。すなわち、解錠命令が操作盤から電気錠装置に送信されたとき、電気錠装置はチャレンジコードを生成する。続いて、電気錠装置はチャレンジコードを操作盤へ送信すると共に、チャレンジコードと自己が有する変換コードとを用いて照合コードを生成する。一方、チャレンジコードを受信した操作盤は、チャレンジコードと自己が有する変換コードとを用いてレスポンスコードを生成し、レスポンスコードを電気錠装置へ送信する。レスポンスコードを受信した電気錠装置は、レスポンスコードと照合コードとを比較し、両者が対応する場合には電気錠を解錠動作させる。
【選択図】図６

Description

本発明は、電気錠を有する電気錠装置および電気錠装置の施解錠動作等を制御する制御装置を備えた電気錠システムに関する。

例えば、扉に取り付けられた電気錠と、扉または扉近傍に取り付けられたカードリーダとを備え、利用者がＩＣカードをカードリーダにかざすと電気錠が解錠動作し、扉を開扉することができるといった電気錠システムは現在広く普及している。このようなタイプの電気錠システムにおいては、通常、電気錠とカードリーダとは、たとえ両者が１つの扉にそれぞれ取り付けられている場合であっても、互いに離れた位置に配置されている。このため、カードリーダによる電気錠の遠隔制御を可能にするために、ケーブルを介して電気錠とカードリーダとの間が電気的に接続されている。

また、別のタイプの電気錠システムとして、扉に取り付けられた電気錠と、室内に取り付けられた操作盤とを備え、室内にいる利用者が操作盤を操作して電気錠を施錠動作または解錠動作させることができるシステムも現在広く普及している（特許文献１参照）。このようなタイプの電気錠システムにおいても、操作盤による電気錠の遠隔制御を可能にするために、ケーブルを介して電気錠と操作盤との間が電気的に接続されている。

また、上述した電気錠システムにおいて、電気錠は、デッドボルト等、扉の施錠に必要な部分以外は扉の内部に埋設されており、また、カードリーダは、ＩＣカードをかざすためのフロントパネル部等、操作に必要な部分以外は扉の内部または扉近傍の建物の内部に配置されており、一方、操作盤は室内に配置されている。また、電気錠とカードリーダとの間、または電気錠と操作盤との間を接続するケーブルも扉の内部、室内、または建物の内部に配置されている。このため、一般の者は、電気錠の内部や、カードリーダの裏側、操作盤、電気錠とカードリーダとの間を接続するケーブル、電気錠と操作盤との間を接続するケーブル等に室外から触れることはできない。

ここで、カードリーダも操作盤も電気錠を遠隔制御する点で共通していることに着目し、説明の便宜上、カードリーダおよび操作盤をいずれもそれぞれ「制御装置」と呼ぶことにする。

ところで、鍵やＩＣカードを用いないで室内への不正侵入を試みる者が存在する。このような者は例えば次のような不正行為を行って室内への侵入を試みることが考えられる。すなわち、不正行為者は、偽の制御装置を電気錠に接続して電気錠を解錠動作させようとする。偽の制御装置は、真の制御装置から電気錠へ出力される制御命令と同一の制御命令を出力することができる。不正行為者は、例えば扉の一部にドリル等を用いて穴を開け、扉内部に配置された、電気錠と真の制御装置との間を接続するケーブルに、ドリルで開けた穴を通じて偽の制御装置を接続し、偽の制御装置から電気錠へ偽の制御命令を送り、これにより電気錠を解錠動作させようとする。

電気錠システムの中には、電気錠と制御装置との間で機器認証を行うことで、このような不正行為の完遂を阻止することを目指したものがある。例えば、電気錠と制御装置とが共通の機器認証コードをそれぞれ保持し、制御装置は制御命令に機器認証コードを付加したものを電気錠に送信し、電気錠は、受信した制御命令に付加された機器認証コードと、自己が保持している機器認証コードとを照合し、両者が一致した場合に限り、受信した制御命令に従って解錠動作を実行する。機器認証コードは、電気錠と制御装置との組み合わせごとに異なり、すなわち概して言えば扉ごとまたは部屋ごとに異なる。このような電気錠システムによれば、機器認証コードを知らない不正行為者は、偽の制御装置から電気錠へ正しい機器認証コードを送信することができず、電気錠を解錠動作させることができない。

特開２００９−０４４５２４号公報

しかしながら、不正侵入を試みる者が次に述べるような、より高度な不正行為を行うことが考えられる。例えば、不正行為者は、高機能な偽の制御装置を電気錠と真の制御装置との間に接続し、電気錠と真の制御装置との間で送受信される信号を捕捉し、当該捕捉した信号から機器認証コードを抜き取り、この抜き取った機器認証コードを用いて電気錠を解錠動作させようとする可能性がある（機器認証コードの抜取）。

また、不正行為者は、より高機能な偽の制御装置を電気錠と真の制御装置との間に接続し、電気錠と真の制御装置との間の通信を断ち、その代わりに、電気錠と偽の制御装置との間の通信、および真の制御装置と偽の制御装置との間の通信をそれぞれ確立し、電気錠と偽の制御装置との間、および真の制御装置と偽の制御装置との間で、電気錠と真の制御装置との間で本来行われる通信と同様の通信をそれぞれ行うといった方法で、機器認証コードを抜き取って電気錠を不正に解錠動作させようとする可能性もある（なりすまし）。このような偽の制御装置が接続された場合、当該偽の制御装置が接続されていることが長期間判明せず、扉の不正解錠が繰り返されるおそれがある。

また、不正行為者は、電気錠に偽の制御装置を接続し、機器認証コードを構成することが考えられるすべての記号列を電気錠に向けて送信し、電気錠を解錠動作させようとする可能性もある（機器認証コードの総当たり）。

このように、電気錠と制御装置との間で単に機器認証を行うだけの電気錠システムでは、機器認証コードの抜取、なりすまし、機器認証コードの総当たりといった高度な不正行為を阻止することができず、高度の安全性または防犯性を実現することが困難であるという問題がある。

本発明は例えば上述したような問題に鑑みなされたものであり、本発明の課題は、機器認証コードの抜取、なりすまし、機器認証コードの総当たり等の不正行為を阻止することができ、施錠対象物につき、安全性または防犯性を向上させることができる電気錠システムを提供することにある。

上記課題を解決するために、本発明の第１の電気錠システムは、施錠対象物を施錠する電気錠装置と、前記電気錠装置を制御する制御装置とを備えた電気錠システムであって、前記電気錠装置は、前記施錠対象物を施錠する電気錠と、前記制御装置から送信された制御命令を受信する制御命令受信部と、第１の変換コードが記憶された第１の記憶部と、毎回異なるチャレンジコードを生成するチャレンジコード生成部と、前記チャレンジコード生成部により生成されたチャレンジコードを前記制御装置へ送信するチャレンジコード送信部と、前記チャレンジコード生成部により生成されたチャレンジコードと前記第１の記憶部に記憶された第１の変換コードとを用いて所定の演算を行うことにより照合コードを生成する照合コード生成部と、前記制御装置から送信されたレスポンスコードを受信するレスポンスコード受信部と、前記照合コード生成部により生成された照合コードと前記レスポンスコード受信部により受信されたレスポンスコードとが互いに対応するか否かを判断する照合判断部と、前記照合判断部による判断の結果、前記照合コードと前記レスポンスコードとが互いに対応する場合には、前記制御命令受信部により受信された制御命令に従って前記電気錠を制御し、前記照合判断部による判断の結果、前記照合コードと前記レスポンスコードとが互いに対応しない場合には、前記制御命令受信部により受信された制御命令に従った前記電気錠の制御を行わない電気錠制御部とを備え、前記制御装置は、前記電気錠を動作させるための前記制御命令を前記電気錠装置へ送信する制御命令送信部と、前記第１の変換コードが記憶された第２の記憶部と、前記電気錠装置から送信されたチャレンジコードを受信するチャレンジコード受信部と、前記チャレンジコード受信部により受信されたチャレンジコードと前記第２の記憶部に記憶された第１の変換コードとを用いて所定の演算を行うことにより前記レスポンスコードを生成するレスポンスコード生成部と、前記レスポンスコード生成部により生成されたレスポンスコードを前記電気錠装置へ送信するレスポンスコード送信部とを備えていることを特徴とする。

本発明の第１の電気錠システムは、基本的には、制御装置が電気錠装置に制御命令を送信し、電気錠装置がこの制御命令を受信し、電気錠装置が制御装置から受信した制御命令に従って電気錠を制御する。本発明の第１の電気錠システムは、このような基本的機能に加え、次のような機能を備えている。すなわち、電気錠装置は、チャレンジコードを生成し、この生成したチャレンジコードを制御装置に送信する。また、電気錠装置は、自ら生成したチャレンジコードと自らに記憶された第１の変換コードとを用いて所定の演算を行い、照合コードを生成する。一方、制御装置は、電気錠装置からチャレンジコードを受信し、この受信したチャレンジコードと自らに記憶された第１の変換コードとを用いて所定の演算を行い、レスポンスコードを生成し、この生成したレスポンスコードを電気錠装置に送信する。例えば、電気錠装置と制御装置とに共通の第１の変換コードがそれぞれ記憶され、照合コードを生成するのに電気錠装置が用いる演算方法と、レスポンスコードを生成するのに制御装置が用いる演算方法とが共通である場合には、照合コードとレスポンスコードとは対応する（例えば一致する）はずである。電気錠装置は、制御装置からレスポンスコードを受信し、この受信したレスポンスコードと自ら生成した照合コードとを比較し、両者が対応するか否かを判断する。そして、電気錠装置は、レスポンスコードと照合コードとが対応する場合には、制御装置から受信した制御命令に従った電気錠の制御を行い、レスポンスコードと照合コードとが対応しない場合には、制御装置から受信した制御命令に従った電気錠の制御を行わない。本発明の第１の電気錠システムでは、以上のような、電気錠装置によるチャレンジコードを生成する処理から、レスポンスコードと照合コードとが対応するか否かを判断する処理までの一連の処理を、例えば、制御装置から電気錠装置へ制御命令を送信する度に行う。電気錠装置は、チャレンジコードの生成処理を行う度に、前回生成したチャレンジコードまたは過去に生成したことのあるチャレンジコードとは異なるチャレンジコードを生成する。

このように、本発明の第１の電気錠システムによれば、電気錠装置から制御装置へ毎回異なるチャレンジコードが送信され、この結果、制御装置から電気錠装置へ毎回異なるレスポンスコードが送信されるので、不正行為者が電気錠装置と真の制御装置との間に偽の制御装置を接続しても、チャレンジコードとレスポンスコードの適正な組み合わせを抜き取ることは困難である。しかも、照合コードの生成に用いられる第１の変換コード、およびレスポンスコードの生成に用いられる第１の変換コードはいずれも、変換コードの設定または変更が行われる場合を除き、電気錠装置と制御装置との間で送受信されないので、不正行為者は偽の制御装置で第１の変換コードを取得することができず、それゆえ、仮に不正行為者がチャレンジコードの抜取に成功したとしても、そのチャレンジコードに対応するレスポンスコードを生成することはできない。このように、本発明の第１の電気錠システムによれば、機器認証コードの抜取、なりすまし等の不正行為を阻止することができ、施錠対象物につき、安全性または防犯性を向上させることができる。

上記課題を解決するために、本発明の第２の電気錠システムは、上述した本発明の第１の電気錠システムにおいて、前記電気錠装置は、前記第１の変換コードとは異なる第２の変換コードを生成する変換コード生成部と、前記変換コード生成部により生成された第２の変換コードを前記第１の記憶部に記憶する第１の変換コード記憶制御部と、前記変換コード生成部により生成された第２の変換コードを前記第１の記憶部に記憶された第１の変換コードを用いて暗号化する変換コード暗号化部と、前記変換コード暗号化部により暗号化された第２の変換コードを前記制御装置へ送信する変換コード送信部とを備え、前記制御装置は、前記電気錠装置から送信された第２の変換コードを受信する変換コード受信部と、前記変換コード受信部により受信された第２の変換コードを前記第２の記憶部に記憶された第１の変換コードを用いて復号する変換コード復号部と、前記変換コード復号部により復号された第２の変換コードを前記第２の記憶部に記憶する第２の変換コード記憶制御部とを備えていることを特徴とする。

本発明の第２の電気錠システムによれば、照合コードおよびレスポンスコードを生成するのに用いる変換コードを変更することができる。したがって、例えば何らかの事情で第１の変換コードが不正行為者に漏洩したとしても、第１の変換コードが第２の変換コードに変更された後は、不正行為者は電気錠を不正解錠動作させることができない。また、第１の変換コードから第２の変換コードに変更する際には、電気錠装置と制御装置との間で第２の変換コードを送受信するが、この際には、第２の変換コードを暗号化して送信するので、不正行為者が第２の変換コードを抜き取って解読することは困難である。また、不正行為者は変換コードの変更のタイミングを知ることができないので、第２の変換コードが含まれている信号を上述したような偽の制御装置で捕捉することは困難である。

上記課題を解決するために、本発明の第３の電気錠システムは、上述した本発明の第１の電気錠システムにおいて、前記制御装置は、前記第１の変換コードとは異なる第２の変換コードを生成する変換コード生成部と、前記変換コード生成部により生成された第２の変換コードを前記第２の記憶部に記憶する第１の変換コード記憶制御部と、前記変換コード生成部により生成された第２の変換コードを前記第２の記憶部に記憶された第１の変換コードを用いて暗号化する変換コード暗号化部と、前記変換コード暗号化部により暗号化された第２の変換コードを前記電気錠装置へ送信する変換コード送信部とを備え、前記電気錠装置は、前記制御装置から送信された第２の変換コードを受信する変換コード受信部と、前記変換コード受信部により受信された第２の変換コードを前記第１の記憶部に記憶された第１の変換コードを用いて復号する変換コード復号部と、前記変換コード復号部により復号された第２の変換コードを前記第１の記憶部に記憶する第２の変換コード記憶制御部とを備えていることを特徴とする。

本発明の第３の電気錠システムによれば、本発明の第２の電気錠システムと同様に、不正行為者による変換コードの取得、および電気錠の不正な制御を防止することができる。

上記課題を解決するために、本発明の第４の電気錠システムは、上述した本発明の第１ないし第３のいずれかの電気錠システムにおいて、前記第１の記憶部には第１の暗号鍵が記憶され、前記電気錠装置は前記制御命令受信部により受信された制御命令を前記第１の暗号鍵を用いて復号する第１の受信情報復号部を備え、前記第２の記憶部には前記第１の暗号鍵と同一のまたは対応する第２の暗号鍵が記憶され、前記制御装置は前記制御命令送信部により送信すべき前記制御命令を前記第２の暗号鍵を用いて暗号化する第１の送信情報暗号化部を備えていることを特徴とする。

本発明の第４の電気錠システムによれば、制御装置から電気錠装置へ送信される制御命令が暗号化されるので、不正行為者は、上述したような偽の制御装置を用いて真の制御装置から電気錠装置に送信される情報を読み取ったとしても、その情報から、電気錠を解錠動作させるための制御命令を抜き取ることができない。したがって、不正行為者による電気錠の不正な制御を防止することができる。

上記課題を解決するために、本発明の第５の電気錠システムは、上述した本発明の第４の電気錠システムにおいて、前記電気錠装置は前記チャレンジコード送信部により送信すべきチャレンジコードを前記第１の暗号鍵を用いて暗号化する第２の送信情報暗号化部を備え、前記第１の受信情報復号部は、前記レスポンスコード受信部により受信されたレスポンスコードを前記第１の暗号鍵を用いて復号し、前記制御装置は前記チャレンジコード受信部により受信されたチャレンジコードを前記第２の暗号鍵を用いて復号する第２の受信情報復号部を備え、前記第１の送信情報暗号化部は、前記レスポンスコード送信部により送信すべきレスポンスコードを前記第２の暗号鍵を用いて暗号化することを特徴とする。

本発明の第５の電気錠システムによれば、制御装置と電気錠装置との間で送受信されるチャレンジコードおよびレスポンスコードが暗号化されるので、不正行為者は、上述したような偽の制御装置を用いて真の制御装置から電気錠装置に送信される情報を読み取ったとしても、その情報から、チャレンジコードもレスポンスコードも抜き取ることができない。したがって、機器認証コードの抜取、なりすまし等の不正行為を阻止することができる。

上記課題を解決するために、本発明の第６の電気錠システムは、上述した本発明の第４または第５の電気錠システムにおいて、前記電気錠装置は、前記第１の暗号鍵とは異なる第３の暗号鍵を生成する暗号鍵生成部と、前記暗号鍵生成部により生成された第３の暗号鍵を前記第１の記憶部に記憶する第１の暗号鍵記憶制御部と、前記暗号鍵生成部により生成された第３の暗号鍵と同一のまたは対応する第４の暗号鍵を前記第１の記憶部に記憶された第１の暗号鍵を用いて暗号化する暗号鍵暗号化部と、前記暗号鍵暗号化部により暗号化された第４の暗号鍵を前記制御装置へ送信する暗号鍵送信部とを備え、前記制御装置は、前記電気錠装置から送信された第４の暗号鍵を受信する暗号鍵受信部と、前記暗号鍵受信部により受信された第４の暗号鍵を前記第２の記憶部に記憶された第２の暗号鍵を用いて復号する暗号鍵復号部と、前記暗号鍵復号部により復号された第４の暗号鍵を前記第２の記憶部に記憶する第２の暗号鍵記憶制御部とを備えていることを特徴とする。

本発明の第６の電気錠システムによれば、例えば何らかの事情で第１の暗号鍵または第２の暗号鍵が不正行為者に漏洩したとしても、第１の暗号鍵が第３の暗号鍵に変更され、または第２の暗号鍵が第４の暗号鍵に変更された後は、不正行為者は電気錠を不正解錠動作させることができない。

上記課題を解決するために、本発明の第７の電気錠システムは、上述した本発明の第４または第５の電気錠システムにおいて、前記制御装置は、前記第２の暗号鍵とは異なる第３の暗号鍵を生成する暗号鍵生成部と、前記暗号鍵生成部により生成された第３の暗号鍵を前記第２の記憶部に記憶する第１の暗号鍵記憶制御部と、前記暗号鍵生成部により生成された第３の暗号鍵と同一のまたは対応する第４の暗号鍵を前記第２の記憶部に記憶された第１の暗号鍵を用いて暗号化する暗号鍵暗号化部と、前記暗号鍵暗号化部により暗号化された第４の暗号鍵を前記電気錠装置へ送信する暗号鍵送信部とを備え、前記電気錠装置は、前記制御装置から送信された第４の暗号鍵を受信する暗号鍵受信部と、前記暗号鍵受信部により受信された第４の暗号鍵を前記第１の記憶部に記憶された第１の暗号鍵を用いて復号する暗号鍵復号部と、前記暗号鍵復号部により復号された第４の暗号鍵を前記第１の記憶部に記憶する第２の暗号鍵記憶制御部とを備えていることを特徴とする。

本発明の第７の電気錠システムによれば、本発明の第７の電気錠システムと同様に、不正行為者による電気錠の不正な解錠制御を防止することができる。

上記課題を解決するために、本発明の第８の電気錠システムは、上述した本発明の第１の電気錠システムにおいて、前記第１の記憶部には固有の機器認証コードが記憶され、前記第２の記憶部には前記機器認証コードが記憶され、前記制御命令送信部は前記第２の記憶部に記憶された機器認証コードを前記制御命令に付加し、当該機器認証コードが付加された制御命令を前記電気錠装置へ送信し、前記制御命令受信部は、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに一致するか否かを判断する機器認証コード照合処理を行い、前記機器認証コード照合処理の結果、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに一致する場合には当該制御命令を前記電気錠制御部へ入力し、前記機器認証コード照合処理の結果、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに不一致の場合には当該制御命令を前記電気錠制御部へ入力せず、当該２つの機器認証コードの不一致の連続発生回数が所定回数以上となった場合には、前記機器認証コード照合処理を行わず、当該制御命令を前記電気錠制御部へ入力しないことを特徴とする。

本発明の第８の電気錠システムによれば、誤った機器認証コードが付加された制御命令が電気錠装置に連続して所定回数以上送信された場合には、電気錠装置は、機器認証コード照合処理を行わずに直ちに、受信した制御命令の電気錠制御部への入力を拒否する。この結果、その後、たとえ正しい機器認証コードが付加された制御命令が電気錠装置に送信されたとしても、電気錠装置においてその制御命令は電気制御部へ入力されない。これにより、上述した機器認証コードの総当たりにより機器認証コードが特定されてしまうことを防止することができる。

本発明によれば、機器認証コードの抜取、なりすまし、機器認証コードの総当たり等の不正行為を阻止することができ、施錠対象物につき、安全性または防犯性を向上させることができる。

本発明の実施形態による電気錠システムを示す説明図である。 本発明の実施形態による電気錠システムにおける電気錠装置を示すブロック図である。 本発明の実施形態による電気錠システムにおける操作盤を示すブロック図である。 本発明の実施形態による電気錠システムにおける機器認証処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおける入力制限処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおけるチャレンジ・アンド・レスポンス処理の第１の例を示すシーケンス図である。 本発明の実施形態による電気錠システムにおけるチャレンジ・アンド・レスポンス処理の第２の例を示すシーケンス図である。 本発明の実施形態による電気錠システムにおけるチャレンジ・アンド・レスポンス処理の第３の例を示すシーケンス図である。 本発明の実施形態による電気錠システムにおけるチャレンジ・アンド・レスポンス処理の第４の例を示すシーケンス図である。 本発明の実施形態による電気錠システムにおいて初期化時等に行われる変換コード設定処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおいて稼働中に行われる変換コード設定処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおける暗号化処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおいて初期化時等に行われる暗号鍵設定処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおいて稼働中に行われる暗号鍵設定処理を示すシーケンス図である。 本発明の実施形態による電気錠システムにおいて稼働中に行われる暗号鍵設定処理の他の例を示すシーケンス図である。 本発明の実施形態による電気錠システムにおける機器認証処理、入力制限処理、チャレンジ・アンド・レスポンス処理および暗号化処理を示すシーケンス図である。

以下、本発明の実施の形態について図面を参照しながら説明する。

（電気錠システム）
図１は部屋の扉に適用された本発明の実施形態による電気錠システムを示している。図１に示すように、本発明の実施形態による電気錠システム１は、電気錠装置２、カードリーダ３、および操作盤４を備えている。電気錠装置２は、施錠対象物である扉５を施錠する装置である。カードリーダ３は、電気錠装置２を遠隔制御する装置であり、例えば利用者がＩＣカードをかざしたときに電気錠装置２を解錠動作させる。操作盤４は、電気錠装置２を遠隔制御する装置であり、例えば利用者が操作盤４に設けられた解錠ボタン（図示せず）を押下したときに電気錠装置２を解錠動作させる。電気錠装置２およびカードリーダ３は扉５にそれぞれ取り付けられている。電気錠装置２とカードリーダ３は、扉において互いに離れた位置に配置されている。例えば、電気錠装置２は、扉５においてドアハンドル（図示せず）が取り付けられた位置と対応する位置に配置され、カードリーダ３は、電気錠装置２の上方であって、利用者がＩＣカードをかざし易い位置に配置されている。一方、操作盤４は室内に配置されている。また、電気錠装置２とカードリーダ３とはケーブル６を介して互いに電気的に接続され、カードリーダ３と操作盤４とはケーブル７および通電金具８を介して電気的に接続されている。これにより、電気錠装置２とカードリーダ３との間、およびカードリーダ３と操作盤４との間で情報の通信が可能である。さらに、電気錠装置２と操作盤４とはカードリーダ３を介して電気的に接続されており、これにより、電気錠装置２と操作盤４と間で情報の通信を行うことができる。なお、本実施形態においては、操作盤４が制御装置の具体例である。

（電気錠装置）
図２は電気錠装置２の構成を示している。図２に示すように、電気錠装置２は、ＣＰＵ（中央演算処理装置）を備え、種々の演算処理を行うことができる演算処理部１１と、例えば不揮発性半導体記憶素子を備え、情報を記憶することができる記憶部１２と、通信回路を備え、カードリーダ３および操作盤４と情報の通信を行う通信部１３と、電気錠１６により扉５が施錠された状態か解錠された状態かを検知する施解錠検知部１４と、扉５が開いている状態か閉じている状態かを検知する開扉検知部１５と、扉５を施錠する電気錠１６とを備えている。また、電気錠装置２の演算処理部１１は、記憶部１２に記憶されたコンピュータプログラムを読み出して実行することにより、情報送信部２１、情報受信部２２、機器認証部２３、入力制限部２４、チャレンジコード生成部２５、照合コード生成部２６、照合判断部２７、変換コード設定部２８、暗号鍵設定部２９、暗号化部３０、復号部３１および電気錠制御部３２として機能する。これらの構成要素２１〜３２の詳細については後述する。

なお、記憶部１２が第１の記憶部の具体例であり、情報送信部２１がチャレンジコード送信部および変換コード送信部の具体例であり、情報受信部２２が制御命令受信部、レスポンスコード受信部および暗号鍵受信部の具体例であり、機器認証部２３が制御命令受信部の具体例であり、変換コード設定部２８が変換コード生成部、第１の変換コード記憶制御部および変換コード暗号化部の具体例であり、暗号鍵設定部２９が暗号鍵復号部および第２の暗号鍵記憶制御部の具体例であり、暗号化部３０が第２の送信情報暗号化部の具体例であり、復号部３１が第１の受信情報復号部の具体例である。

（操作盤）
図３は操作盤４の構成を示している。図３に示すように、操作盤４は、ＣＰＵを備え、種々の演算処理を行うことができる演算処理部４１と、例えば不揮発性半導体記憶素子またはハードディスクドライブ装置等を備え、情報を記憶することができる記憶部４２と、通信回路を備え、カードリーダ３および電気錠装置２と情報の通信を行う通信部４３と、利用者が電気錠１６を施錠動作させ、または解錠動作させる際に操作するボタン等を備え、利用者による当該ボタンの操作に対応する入力信号を演算処理部４１に入力する操作部４４と、例えば液晶ディスプレイ装置を備え、扉５の施解錠状態等を、利用者が視認して確認できる形で表示する表示部４５とを備えている。例えば、操作部４４は、電気錠１６を施錠動作させる施錠ボタン、および電気錠１６を解錠動作させる解錠ボタン（いずれも図示せず）を備えており、施錠ボタンおよび解錠ボタンは、操作盤４のフロントパネル（図示せず）に配置されている。また、操作盤４の演算処理部４１は、記憶部４２に記憶されたコンピュータプログラムを読み出して実行することにより、情報送信部５１、情報受信部５２、レスポンスコード生成部５３、変換コード設定部５４、暗号鍵設定部５５、暗号化部５６、復号部５７および制御処理部５８として機能する。これらの構成要素５１〜５８の詳細については後述する。

なお、記憶部４２が第２の記憶部の具体例であり、情報送信部５１が制御命令送信部および暗号鍵送信部の具体例であり、情報受信部５２がチャレンジコード受信部および変換コード受信部の具体例であり、変換コード設定部５４が変換コード復号部および第２の変換コード記憶制御部の具体例であり、暗号鍵設定部５５が暗号鍵生成部、第１の暗号鍵記憶制御部および暗号鍵暗号化部の具体例であり、暗号化部５６が第１の送信情報暗号化部の具体例であり、復号部５７が第２の受信情報復号部の具体例である。

（カードリーダ）
また、カードリーダ３は、ＣＰＵを備え、種々の演算処理を行うことができる演算処理部と、例えば不揮発性半導体記憶素子を備え、情報を記憶することができる記憶部と、通信回路を備え、電気錠装置２および操作盤４と情報の通信を行う通信部と、ＩＣカードに記憶された識別情報を読み取るカード読取部とを備えている（いずれも図示せず）。カードリーダ３において、カード読取部は、ＩＣカードと通信を行い、ＩＣカードに記憶された識別情報を読み取り、演算処理部は、ＩＣカードから読み取られた識別情報と、カードリーダ３の記憶部に記憶された識別情報とを照合し、照合の結果、ＩＣカードから読み取った識別情報が適正である場合には、電気錠１６を解錠動作させるための制御命令を電気錠１６に出力する。

（電気錠システムの動作）
電気錠システム１において、電気錠装置２および操作盤４は、電気錠１６を制御する処理（電気錠制御処理）を行う。すなわち、利用者が操作盤４の操作部４４を操作したとき、この操作に従い、操作盤４の情報送信部５１が電気錠装置２に制御命令を送信する。続いて、電気錠装置２の情報受信部２２がこの制御命令を受信し、これに応じて電気錠装置２の情報送信部２１がアクノレッジを操作盤４に送信する。続いて、電気錠装置２の電気錠制御部３２が、受信された制御命令に従って電気錠１６を制御する。例えば、利用者が操作盤４に設けられた解錠ボタン（図示せず）を押下した場合には、操作盤４の情報送信部５１は電気錠装置２に解錠命令を送信する。続いて、電気錠装置２の情報受信部２２はこの解錠命令を受信し、これに応じて電気錠装置２の情報送信部２１はアクノレッジを操作盤４に送信する。続いて、電気錠装置２の電気錠制御部３２は、受信された解錠命令に従って電気錠１６を解錠動作させ、扉５を解錠する。

電気錠システム１において、電気錠装置２および操作盤４は、以上のような電気錠制御処理に加え、機器認証処理、チャレンジ・アンド・レスポンス処理、変換コード設定処理、暗号化処理、および暗号鍵設定処理を行う。また、電気錠装置２は入力制限処理を行う。以下、機器認証処理、入力制限処理、チャレンジ・アンド・レスポンス処理、変換コード設定処理、暗号化処理、および暗号鍵設定処理について順に説明する。

（機器認証処理）
図４は電気錠装置２および操作盤４における機器認証処理を示している。電気錠装置２および操作盤４において、機器認証処理は、後述する入力制限処理、チャレンジ・アンド・レスポンス処理および暗号化処理と組み合わされて行われる。説明の便宜上、ここでは、機器認証処理のみが行われる場合を例にあげて説明する。

電気錠装置２の記憶部１２には機器認証コードＤが記憶されている（図２参照）。操作盤４の記憶部４２にも機器認証コードＤが記憶されている（図３参照）。機器認証コードＤは例えば数桁ないし十数桁の記号列である。電気錠装置２の記憶部１２に記憶された機器認証コードＤと操作盤４の記憶部４２に記憶された機器認証コードＤとは互いに同一である。また、機器認証コードＤは、１組の電気錠装置２および操作盤４（または１組の電気錠装置２、カードリーダ３および操作盤４）に与えられた唯一の記号列である。

図４において、例えば、利用者が操作盤４に設けられた解錠ボタンを押下したとき、これに応じ、操作盤４の情報送信部５１は、操作盤４の記憶部４２から機器認証コードＤを読み出し、この読み出した機器認証コードＤを解錠命令に付加し、機器認証コードＤが付加された解錠命令を電気錠装置２に送信する。

続いて、電気錠装置２の情報受信部２２は、機器認証コードＤが付加された解錠命令を受信する。続いて、電気錠装置２の機器認証部２３は、受信された解錠命令に不可された機器認証コードＤが適正か否かを判断する処理（機器認証コード照合処理）を行う（Ｓ１）。具体的には、機器認証部２３は、電気錠装置２の記憶部１２から機器認証コードＤを読み出し、この読み出された機器認証コードＤと、受信された解錠命令に付加された機器認証コードＤとを比較し、両者が互いに一致するか否かを判断する。そして、これら２つの機器認証コードが互いに一致した場合には、受信された解錠命令に付加された機器認証コードＤが適正であると判断し、そうでない場合には、当該機器認証コードＤが適正でないと判断する。

機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードＤが適正である場合には、電気錠装置２の情報送信部２１はアクノレッジを操作盤４に送信する。また、受信された解錠命令に付加された機器認証コードＤが適正である場合には、電気錠装置２の機器認証部２３は解錠命令の電気錠制御部３２への入力を許可する。これにより、受信された解錠命令が電気錠制御部３２に入力される。そして、電気錠制御部３２は、解錠命令に従って、電気錠１６を制御し、電気錠１６を解錠動作させ、扉５を解錠する（Ｓ２）。これにより扉５が開扉可能になる。

一方、電気錠装置２の機器認証部２３による機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードＤが適正でない場合には、電気錠装置２の情報送信部２１から操作盤４へのアクノレッジの送信は行われるが、電気錠装置２の機器認証部２３による解錠命令の電気錠制御部３２への入力は拒否される。この結果、情報受信部２２により受信された解錠命令は電気錠制御部３２に入力されず、電気錠１６は解錠動作せず、扉５は解錠されない。

なお、操作盤４から電気錠装置２に送信される、解錠命令以外の制御命令にも機器認証コードＤが付加され、電気錠装置２は、解錠命令以外の制御命令を受信した場合にも、上述したような機器認証コード照合処理を行う。

このように、機器認証処理によれば、制御命令に適正な機器認証コードＤが付加されていない場合には電気錠１６の制御が行われない。したがって、機器認証コードＤを知らない不正行為者が電気錠１６を不正に制御し、扉５を解錠することは困難である。

（入力制限処理）
図５は電気錠装置２における入力制限処理を示している。電気錠装置２において、入力制限処理は、上述した機器認証処理、後述するチャレンジ・アンド・レスポンス処理および後述する暗号化処理と組み合わされて行われる。説明の便宜上、ここでは、機器認証処理および入力制限処理のみが行われる場合を例にあげて説明する。

電気錠装置２の記憶部１２には認証拒否フラグＦおよび制限基準値Ｒが記憶されている。また、当該記憶部１２にはカウント値ｎが一時的に記憶される。また、制限基準値Ｒは予め定められた固定値（例えば１０）である。認証拒否フラグＦはオンとオフのいずれかを示す切換可能な値であり、初期状態はオフである。カウント値ｎは変更可能な値であり、初期値は０である。

図５において、例えば、機器認証コードが付加された解錠命令を電気錠装置２の情報受信部２２が受信したとき、電気錠装置２の入力制限部２４は、電気錠装置２の記憶部１２に記憶された認証拒否フラグＦがオフか否かを判断する。例えば、現段階において電気錠装置２が初期状態を維持しているとする。この場合、認証拒否フラグはオフになっている。したがって、入力制限部２４は認証拒否フラグＦがオフであると判断する。

認証拒否フラグＦがオフの場合、機器認証部２３が上述した機器認証コード照合処理を実行する（Ｓ１１）。機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードが適正でない場合には、電気錠装置２の入力制限部２４は、カウント値ｎを１増加させた後、そのカウント値ｎと制限基準値Ｒとを比較する。そして、カウント値ｎが制限基準値Ｒ未満である場合には、電気錠装置２の情報送信部２１はアクノレッジを送信する。また、機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードが適正でない場合には、電気錠装置２の機器認証部２３は解錠命令の電気錠制御部３２への入力を拒否する。この結果、情報受信部２２により受信された解錠命令は電気錠制御部３２に入力されず、電気錠１６は解錠動作しない。

その後、適正でない機器認証コードが付加された解錠命令を電気錠装置２の情報受信部２２が連続して受信し続けると、このような解錠命令を受信する度に、電気錠装置２において、認証拒否フラグＦがオフである旨の判断、機器認証コード照合処理（受信された解錠命令に付加された機器認証コードが適正でない旨の判断）、カウント値ｎの１増加、カウント値ｎが制限基準値Ｒ未満である旨の判断が繰り返し行われる（Ｓ１２、…、Ｓ１９参照）。

適正でない機器認証コードが付加された解錠命令の受信が連続して続くと、このような解除命令を受信する度にカウント値が１ずつ増加していき、やがてカウント値ｎが制限基準値Ｒに達する。カウント値ｎが制限基準値Ｒに達したとき、電気錠装置２の入力制限部２４は、記憶部１２に記憶された認証拒否フラグＦをオンにし、電気錠装置２の情報送信部２１はアクノレッジの送信を中止する（Ｓ２０参照）。

その後、機器認証コードが付加された解錠命令を電気錠装置２の情報受信部２２が受信したとき、電気錠装置２の入力制限部２４は認証拒否フラグＦがオフか否かを判断する。この段階で、認証拒否フラグＦはオンになっている。したがって、入力制限部２４は認証拒否フラグＦがオフでないと判断する。認証拒否フラグＦがオフでない場合、機器認証部２３は機器認証コード照合処理を行わず、また、情報送信部２１はアクノレッジの送信を行わない。また、機器認証コード照合処理が行われないので、情報受信部２２により受信された解錠命令に付加された機器認証コードが適正であるか否かに拘わらず、当該解錠命令が電気錠制御部３２に入力されることはなく、したがって、電気錠１６は解錠動作しない。

一方、カウント値ｎが制限基準値Ｒに達する前に、適正な機器認証コードＤが付加された解錠命令を電気錠装置２の情報受信部２２が受信したときには、電気錠装置２において、認証拒否フラグＦがオフである旨が判断され、機器認証コード照合処理が行われ、機器認証コード照合処理において、受信された解錠命令に付加された機器認証コードＤが適正である旨の判断がなされる。その後、電気錠装置２の入力制限部２４がカウント値ｎを０にする。その後、電気錠装置２において、アクノレッジが送信され、情報受信部２２により受信された解錠命令が電気錠制御部３２に入力される。これにより、電気錠１６が解錠動作する。

なお、電気錠装置２は、解錠命令以外の制御命令についても、このような入力制限処理を行う。

このように、入力制限処理によれば、適正でない機器認証コードが付加された制御命令が連続して所定回数受信された場合には、その後、電気錠装置２は、機器認証コード照合処理を行わず、制御命令の電気錠制御部３２への入力を行わない。すなわち、適正でない機器認証コードが付加された制御命令が連続して所定回数受信された場合には、その後、たとえ適正な機器認証コードＤが付加された制御命令が受信された場合でも、電気錠装置２は、当該受信した制御命令に従った電気錠１６の制御を行わない。これにより、上述したような機器認証コードの総当たりにより電気錠１６が制御され、扉５が解錠されてしまうことを阻止することができる。なお、所定の方法により電気錠装置２をリセットして初期状態に戻すことにより、認証拒否フラグＦをオフ（初期状態）にすることができる。

（チャレンジ・アンド・レスポンス処理）
図６ないし図９は電気錠装置２および操作盤４におけるチャレンジ・アンド・レスポンス処理を示している。電気錠装置２および操作盤４において、チャレンジ・アンド・レスポンス処理は、上述した機器認証処理、上述した入力制限処理、および後述する暗号化処理と組み合わされて行われる。説明の便宜上、ここでは、機器認証処理とチャレンジ・アンド・レスポンス処理とが組み合わされて行われる場合を例にあげて説明する。

電気錠装置２の記憶部１２には変換コードＣ１が記憶されている（図２参照）。また、操作盤４の記憶部４２にも変換コードＣ１が記憶されている（図３参照）。電気錠装置２の記憶部１２に記憶されている変換コードＣ１と、操作盤４の記憶部４２に記憶されている変換コードＣ１とは互いに同一である。なお、変換コードＣ１は、後述する変換コード設定処理により設定・変更される。

図６において、機器認証コードＤが付加された解錠命令が操作盤４から送信されると、電気錠装置２の情報受信部２２は、この機器認証コードＤが付加された解錠命令を受信する。続いて、電気錠装置２の機器認証部２３が上述した機器認証コード照合処理を行い、受信された解錠命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ２１）。

機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードＤが適正である場合には、続いて、電気錠装置２のチャレンジコード生成部２５が、チャレンジコードを生成する（Ｓ２２）。チャレンジコードは、例えば、数桁または十数桁のランダムな記号列であり、より具体的には乱数である。チャレンジコード生成部２５は、理想的には、過去に生成したいずれのチャレンジコードとも異なるチャレンジコードを生成する。続いて、電気錠装置２の情報送信部２１は、チャレンジコード生成部２５により生成されたチャレンジコードを操作盤４へ送信する。続いて、電気錠装置２の照合コード生成部２６は、電気錠装置２の記憶部１２に記憶された変換コードＣ１と、チャレンジコード生成部２５により生成されたチャレンジコードとを用いて所定の演算を行い、照合コードを生成する（Ｓ２３）。照合コードは、数桁または十数桁の記号列となる。

一方、操作盤４の情報受信部５２は、電気錠装置２から送信されたチャレンジコードを受信する。続いて、操作盤４のレスポンスコード生成部５３は、操作盤４の記憶部４２に記憶された変換コードＣ１と、受信されたチャレンジコードとを用いて所定の演算を行い、レスポンスコードを生成する（Ｓ２４）。レスポンスコードは、数桁または十数桁の記号列となる。続いて、操作盤４の情報送信部５１は、記憶部４２に記憶された機器認証コードＤ、およびレスポンスコード生成部５３により生成されたレスポンスコードを解錠命令に付加し、機器認証コードＤおよびレスポンスコードが付加された解錠命令を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２は、操作盤４から送信された機器認証コードＤ、レスポンスコードおよび解錠命令を受信する。続いて、電気錠装置２の機器認証部２３が上述した機器認証コード照合処理を行い、機器認証コード照合処理において、受信された解錠命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ２５）。

機器認証コード照合処理の結果、受信された解錠命令に付加された機器認証コードＤが適正である場合には、続いて、電気錠装置２の照合判断部２７が、情報受信部２２により受信された解錠命令に付加されたレスポンスコードと、照合コード生成部２６により生成された照合コードとを比較し、両者が互いに対応するか否かを判断する（Ｓ２６）。操作盤４のレスポンスコード生成部５３が、電気錠装置２から送信されたチャレンジコードと記憶部４２に記憶された変換コードＣ１とを用いてレスポンスコードを生成した場合、当該レスポンスコードは照合コードと同じ記号列となる。したがって、この場合には、電気錠装置２の照合判断部２７は、情報受信部２２により受信された解錠命令に付加されたレスポンスコードと、照合コード生成部２６により生成された照合コードとが互いに対応すると判断する。

このように、情報受信部２２により受信された解錠命令に付加されたレスポンスコードと、照合コード生成部２６により生成された照合コードとが互いに対応すると判断された場合には、電気錠装置２の情報送信部２１はアクノレッジを操作盤４へ送信する。さらに、情報受信部２２により受信された解錠命令が電気錠装置２の電気錠制御部３２に入力され、これに応じ、電気錠制御部３２は電気錠１６を解錠動作させる（Ｓ２７）。これにより、扉５が解錠され、開扉可能となる。

一方、電気錠装置２の照合判断部２７が、情報受信部２２により受信された解錠命令に付加されたレスポンスコードと、照合コード生成部２６により生成された照合コードとが互いに対応するか否かを判断した結果、両者が互いに対応しない場合には、電気錠装置２の情報送信部２１によりアクノレッジの送信は行われるが、情報受信部２２により受信された解錠命令の電気錠制御部３２への入力は行われない。この結果、電気錠１６は解錠動作せず、扉５は解錠されない。

なお、このようなチャレンジ・アンド・レスポンス処理は、解錠命令以外の制御命令を操作盤４から電気錠装置２へ送信するときにも行われる。また、図７中のＳ３１〜Ｓ３６に示すように、チャレンジ・アンド・レスポンス処理は、電気錠装置２が操作盤４へ何らかの処理を要求するときにも行われる。この場合、電気錠装置２のチャレンジコード生成部２５がチャレンジコードを生成し、電気錠装置２の情報送信部２１が、チャレンジコード生成部２５により生成されたチャレンジコードを要求命令に付加し、チャレンジコードが付加された要求命令を操作盤４へ送信する。

また、図８中のＳ４１〜Ｓ４６、または図９中のＳ５１〜Ｓ５６に示すように、チャレンジ・アンド・レスポンス処理において電気錠装置２に割り当てられた処理と操作盤４に割り当てられた処理とを逆にしてもよい。すなわち、操作盤４がチャレンジコードを生成し、機器認証コードおよびチャレンジコードが付加された命令（例えば状態通知要求命令）を操作盤４から電気錠装置２に送信する。また、操作盤４が、生成したチャレンジコードおよび記憶部４２に記憶された変換コードを用いて所定の演算を行って照合コードを生成する。一方、電気錠装置２は、機器認証コードおよびチャレンジコードが付加された命令を受信し、機器認証コード照合処理を行い、受信された命令に付加された機器認証コードが適正であることを確認した後、受信された命令に付加されたチャレンジコードと記憶部１２に記憶された変換コードＣ１とを用いて所定の演算を行ってレスポンスコードを生成し、この生成したレスポンスコードを通知（例えば状態通知）に付加して操作盤４に送信する。続いて、操作盤４は、レスポンスコードが付加された通知を受信し、照合コードと、受信した通知に付加されたレスポンスコードとを比較し、両者が互いに対応するか否かを判断し、判断結果を確認する。例えば、照合コードとレスポンスコードとが対応しない場合には、異常が起こった旨を利用者に報知するメッセージを操作盤４の表示部４５に表示してもよい。

このように、チャレンジ・アンド・レスポンス処理によれば、電気錠装置２および操作盤４の一方から他方へ毎回異なるチャレンジコードが送信され、この結果、電気錠装置２および操作盤４の他方から一方へ毎回異なるレスポンスコードが送信されるので、不正行為者が電気錠装置２と操作盤４との間に、上述したような偽の制御装置を接続しても、チャレンジコードとレスポンスコードの適正な組み合わせを抜き取ることは困難である。したがって、機器認証コードの抜取、なりすまし等の不正行為を阻止することができ、部屋の安全性または防犯性を向上させることができる。

（変換コード設定処理）
図１０および図１１は変換コード設定処理を示している。変換コード設定処理は、チャレンジ・アンド・レスポンス処理において用いられる変換コードを設定または変更する処理である。図１０に示す変換コード設定処理は、電気錠装置２または操作盤４の稼動開始時または初期化時に、電気錠装置２および操作盤４のそれぞれに変換コードを設定する処理である。一方、図１１に示す変換コード設定処理は、電気錠装置２および操作盤４の稼動中において、電気錠装置２および操作盤４のそれぞれの変換コードを変更する処理である。図１１に示す変換コード設定処理は、例えば電気錠装置２および操作盤４の稼動中において所定の周期で行われる。

まず、図１０を参照しながら、電気錠装置２または操作盤４の稼動開始時または初期化時における変換コード設定処理について説明する。電気錠装置２または操作盤４の稼動開始時または初期化時における変換コード設定処理には公開鍵暗号方式が採用されている。公開暗号鍵方式では、秘密鍵と公開鍵を用い、公開鍵を用いて暗号化した情報は、秘密鍵を用いなければ復号することができない。また、電気錠装置２または操作盤４の稼動開始時または初期化時における変換コード設定処理は、扉５を解錠し、開扉した状態でなければ行うことができない。扉５を解錠し、開扉することができる者は、通常、適正なＩＣカードを所持し、または室内に入って操作盤４を操作することが許されている者（例えば部屋の管理者）に限られる。したがって、電気錠装置２または操作盤４の稼動開始時または初期化時においては、扉５を解錠し、開扉した状態でなければ変換コード設定処理を行うことができないこととすることにより、変換コード設定処理を行う者を、適正なＩＣカードを所持し、または室内に入って操作盤４を操作することが許されている者に限定することができ、これにより、不正行為者により変換コード設定処理が行われてしまうことを防止することができる。

図１０において、電気錠装置２または操作盤４の稼動開始時または初期化時において変換コード設定処理を行う場合、まず、例えば、部屋の管理者が当該部屋内に設けられた操作盤４を操作して、当該部屋の扉５に取り付けられた電気錠装置２の電気錠１６を解錠動作させ、扉５を解錠し、扉５を開ける（Ｓ６１）。その後、管理者が、操作盤４の操作部４４を操作し、変換コード設定処理を開始する旨の指示を操作盤４に入力する。変換コード設定処理が開始されると、まず、操作盤４の変換コード設定部５４が秘密鍵Ｋｓおよび公開鍵Ｋｐを生成する（Ｓ６２）。続いて、操作盤４の情報送信部５１が、記憶部４２に記憶された機器認証コードＤを状態通知要求命令に付加し、機器認証コードＤが付加された状態通知要求命令を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２が、機器認証コードＤが付加された状態通知要求命令を受信する。続いて、電気錠装置２の機器認証部２３が、機器認証コード照合処理を行い、受信された状態通知要求命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ６３）。そして、受信された状態通知要求命令に付加された機器認証コードＤが適正である場合には、続いて、電気錠装置２の施解錠検知部１４が扉５の施解錠状態を検知し、電気錠装置２の開扉検知部１５が扉５の開扉状態を検知する（Ｓ６４）。そして、扉５が施錠されており、または扉５が閉じた状態である場合には、電気錠装置２は変換コード設定処理を直ちに中止する。一方、扉５が解除し、かつ扉５が開いた状態である場合には、電気錠装置２の情報送信部２１は、扉５が解除し、かつ扉５が開いた状態である旨を示す状態通知を操作盤４へ送信する。

続いて、操作盤４の情報受信部５２は、電気錠装置２から送信された状態通知を受信する。続いて、操作盤４の情報送信部５１は、記憶部４２に記憶された機器認証コードＤを公開鍵Ｋｐに付加し、機器認証コードＤが付加された公開鍵Ｋｐを電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２は、機器認証コードＤが付加された公開鍵Ｋｐを受信する。続いて、電気錠装置２の機器認証部２３は、機器認証コード照合処理を行い、当該公開鍵Ｋｐに付加された機器認証コードＤが適正であるか否かを判断する（Ｓ６５）。そして、当該公開鍵Ｋｐに付加された機器認証コードＤが適正である場合、電気錠装置２の変換コード設定部２８が当該公開鍵Ｋｐを記憶部１２に記憶する（Ｓ６６）。続いて、電気錠装置２の変換コード設定部２８は、変換コードＣ１を生成し（Ｓ６７）、生成した変換コードＣ１を、当該公開鍵Ｋｐを用いて暗号化する（Ｓ６８）。続いて、電気錠装置２の情報送信部２１は、暗号化された変換コードＣ１を操作盤４へ送信する。

続いて、操作盤４は、電気錠装置２から送信された変換コードＣ１を受信する。続いて、操作盤４の変換コード設定部５４は、受信された変換コードＣ１を、秘密鍵Ｋｓを用いて復号し（Ｓ６９）、復号した変換コードＣ１を操作盤４の記憶部４２に記憶する（Ｓ７０）。

このような変換コード設定処理により、共通の変換コードＣ１が、電気錠装置２の記憶部１２と、操作盤４の記憶部４２にそれぞれ記憶される。図１０に示す変換コード設定処理によれば、公開鍵Ｋｐを用いて暗号化した変換コードＣ１を電気錠装置２から操作盤４へ送信することにより、変換コードＣ１が不正行為者に取得され、利用されてしまうことを防止することができ、部屋の防犯性を高めることができる。なお、図１０に示す変換コード設定処理が終了した後、管理者は扉５を閉じ、施錠することができる。

次に、図１１を参照しながら、電気錠装置２および操作盤４の稼働中に行う変換コード設定処理について説明する。電気錠装置２は、内部に設けられた時計を用いて時間を監視し、図１０に示す変換コード設定処理により電気錠装置２に変換コードＣ１が設定されてから所定の時間が経過した後、図１１に示す変換コード設定処理を開始する。

図１１において、まず、電気錠装置２の変換コード設定部２８は、新たな変換コードＣ２を生成する（Ｓ７１）。この変換コードＣ２は、前回生成した変換コードＣ１とは異なる。続いて、変換コード設定部２８は、生成した変換コードＣ２を、記憶部１２に記憶された変換コードＣ１を用いて暗号化する（Ｓ７２）。続いて、電気錠装置２の情報送信部２１は、暗号化された変換コードＣ２を操作盤４へ送信する。

続いて、操作盤４の情報受信部５２は、電気錠装置２から送信された変換コードＣ２を受信する。続いて、操作盤４の変換コード設定部５４は、受信された変換コードＣ２を、記憶部４２に記憶された変換コードＣ１を用いて復号し（Ｓ７３）、復号した変換コードＣ２を操作盤４の記憶部４２に記憶する（Ｓ７４）。

このような変換コード設定処理により、電気錠装置２の記憶部１２および操作盤４の記憶部４２にそれぞれ記憶された変換コードＣ１が新たな変換コードＣ２に変更される。図１１に示す変換コード設定処理が終了した後、前回の変換コードＣ１は記憶部１２、４２からそれぞれ消去される。また、図１１に示す変換コード設定処理は、例えば所定の周期で自動的に実行され、当該変換コード設定処理を行うために扉５を開ける必要はなく、扉５を解錠する必要もない。

図１１に示す変換コード設定処理によれば、例えば過去に変換コードＣ１が漏洩してしまったとても、変換コードＣ１が変換コードＣ２に変更された後は、過去に漏洩した変換コードＣ１を利用して、電気錠１６を不正に制御することはできなくなる。したがって、部屋の安全性および防犯性を高めることができる。また、新たに生成された変換コードＣ２は、暗号化されて電気錠装置２から操作盤４へ送信されるので、新たに生成された変換コードＣ２が不正行為者に取得されて利用されるのを防止することができる。

（暗号化処理）
図１２は電気錠装置２および操作盤４における暗号化処理を示している。電気錠装置２および操作盤４において、暗号化処理は、実際には、上述した機器認証処理、入力制限処理およびチャレンジ・アンド・レスポンス処理と組み合わされて行われる。説明の便宜上、ここでは、機器認証処理と暗号化処理とが組み合わされて行われる場合を例にあげて説明する。

電気錠装置２の記憶部１２には暗号鍵Ｋｃ１が記憶されている（図２参照）。また、操作盤４の記憶部４２にも暗号鍵Ｋｃ１が記憶されている（図３参照）。電気錠装置２の記憶部１２に記憶されている暗号鍵Ｋｃ１と、操作盤４の記憶部４２に記憶されている暗号鍵Ｋｃ１とは互いに同一である。なお、暗号鍵Ｋｃ１は、後述する暗号鍵設定処理により設定・変更される。

図１２において、操作盤４から電気錠装置２に解除命令を送信するとき、操作盤４の情報送信部５１は、記憶部４２に記憶された機器認証コードＤを解錠命令に付加し、続いて、操作盤４の暗号化部５６が、機器認証コードＤの付加された解錠命令を、記憶部４２に記憶された暗号鍵Ｋｃ１を用いて暗号化する（Ｓ８１）。続いて、情報送信部５１は、暗号化された機器認証コードＤおよび解錠命令を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２は、操作盤４から送信された機器認証コードＤおよび解錠命令を受信する。続いて、電気錠装置２の復号部３１は、受信された機器認証コードＤおよび解錠命令を、記憶部１２に記憶された暗号鍵Ｋｃ１を用いて復号する（Ｓ８２）。続いて、電気錠装置２の機器認証部２３は、機器認証コード照合処理を行い、復号された機器認証コードＤが適正であるか否かを判断する（Ｓ８３）。復号された機器認証コードＤが適正である場合には、復号された解錠命令が電気錠装置２の電気錠制御部３２に入力される。そして、電気錠制御部３２が、入力された解錠命令に従って電気錠１６を解錠動作させる（Ｓ８４）。これにより、扉５が解錠し、開扉可能になる。

一方、電気錠装置２の復号部３１において、操作盤４から送信された情報の復号が成功しなかった場合には、電気錠装置２は例えば所定のエラー処理を直ちに実行する。この場合に電気錠１６が解錠動作することはない。

なお、このような暗号化処理は、解錠命令以外の制御命令を操作盤４から電気錠装置２へ送信するときにも行われる。具体的には、機器認証コードＤが付加された制御命令が暗号鍵Ｋｃ１により暗号化されて電気錠装置２から操作盤４へ送信される。また、暗号化処理は、電気錠装置２が操作盤４へ何らかの処理を要求するための要求命令を送信ときにも行われる。具体的には、要求命令が暗号鍵Ｋｃ１により暗号化されて電気錠装置２から操作盤４へ送信される。さらに、暗号化処理は、上述したチャレンジ・アンド・レスポンス処理において、電気錠装置２と操作盤４間でチャレンジコードおよびレスポンスコードをそれぞれ送信するときにも行われる。具体的には、電気錠装置２と操作盤４との間でチャレンジコードが送信されるとき、チャレンジコードが機器認証コードＤおよび命令等と共に暗号鍵Ｋｃ１で暗号化される。また、電気錠装置２と操作盤４との間でレスポンスコードが送信されるとき、レスポンスコードが通知等と共に暗号鍵Ｋｃ１で暗号化される。

このように、暗号化処理によれば、電気錠装置２と操作盤４との間で送受信される命令、通知、機器認証コードＤ、チャレンジコード、レスポンスコード等が暗号鍵Ｋｃ１で暗号化されているので。不正行為者はこれらの情報を取得して利用することができない。したがって、部屋の安全性および防犯性を向上させることができる。

なお、暗号化処理で用いる暗号鍵Ｋｃ１は、上述したような共通鍵でなくてもよい。例えば、暗号化処理に公開鍵暗号方式を採用し、操作盤４の記憶部４２に秘密鍵を記憶し、電気錠装置２の記憶部１２に公開鍵を記憶してもよい。

（暗号鍵設定処理）
図１３ないし図１５は暗号鍵設定処理を示している。暗号鍵設定処理は、暗号化処理において用いられる暗号鍵を設定または変更する処理である。図１３に示す暗号鍵設定処理は、電気錠装置２または操作盤４の稼動開始時または初期化時に、電気錠装置２および操作盤４のそれぞれに暗号鍵を設定する処理である。一方、図１４に示す暗号鍵設定処理は、電気錠装置２および操作盤４の稼動中において、電気錠装置２および操作盤４のそれぞれの暗号鍵を変更する処理である。図１４に示す暗号鍵設定処理は、例えば電気錠装置２および操作盤４の稼動中において所定の周期で行われる。図１５に示す暗号鍵設定処理は、電気錠装置２および操作盤４の稼動中において電気錠装置２および操作盤４のそれぞれの暗号鍵を変更する処理の変形例である。

まず、図１３を参照しながら、電気錠装置２または操作盤４の稼動開始時または初期化時における暗号鍵設定処理について説明する。電気錠装置２または操作盤４の稼動開始時または初期化時における暗号鍵設定処理は、扉５を解錠し、開扉した状態でなければ行うことができない。電気錠装置２または操作盤４の稼動開始時または初期化時において、扉５を解錠し、開扉した状態でなければ暗号鍵設定処理を行うことができないこととすることにより、暗号鍵設定処理を行う者を、適正なＩＣカードを所持し、または室内に入って操作盤４を操作することが許されている者に限定することができ、これにより、不正行為者により暗号鍵設定処理が行われてしまうことを防止することができる。

図１３において、電気錠装置２または操作盤４の稼動開始時または初期化時において暗号鍵設定処理を行う場合、まず、例えば、部屋の管理者が当該部屋内に設けられた操作盤４を操作して、当該部屋の扉５に取り付けられた電気錠装置２の電気錠１６を解錠動作させ、扉５を解錠し、開扉する（Ｓ９１）。その後、管理者が、操作盤４の操作部４４を操作し、暗号鍵設定処理を開始する旨の指示を操作盤４に入力する。

暗号鍵設定処理が開始されると、まず、操作盤４の情報送信部５１が、記憶部４２に記憶された機器認証コードＤを状態通知要求命令に付加し、機器認証コードＤが付加された状態通知要求命令を電気錠装置２へ送信する。

電気錠装置２の情報受信部２２は、機器認証コードＤが付加された状態通知要求命令を受信する。続いて、電気錠装置２の機器認証部２３が、機器認証コード照合処理を行い、受信された状態通知要求命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ９２）。受信された状態通知要求命令に付加された機器認証コードＤが適正である場合には、続いて、電気錠装置２の施解錠検知部１４が扉５の施解錠状態を検知し、電気錠装置２の開扉検知部１５が扉５の開扉状態を検知する（Ｓ９３）。そして、扉５が施錠されており、または扉５が閉じた状態である場合には、電気錠装置２は暗号鍵設定処理を直ちに中止する。一方、扉５が解除し、かつ扉５が開いた状態である場合には、電気錠装置２の情報送信部２１は、扉５が解除し、かつ扉５が開いた状態である旨を示す状態通知と、暗号鍵が未設定であることを示す暗号鍵未設定通知を操作盤４へ送信する。

操作盤４の情報受信部５２が状態通知および暗号鍵未設定通知を受信した場合、操作盤４の暗号鍵設定部５５が暗号鍵Ｋｃ１を生成し（Ｓ９４）、当該暗号鍵Ｋｃ１を操作盤４の記憶部４２に記憶する。続いて、操作盤４の情報送信部５１が、記憶部４２に記憶された機器認証コードＤ、および生成した暗号鍵Ｋｃ１を情報通知要求命令に付加し、機器認証コードＤおよび暗号鍵Ｋｃ１が付加された状態通知要求命令を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２は、機器認証コードＤおよび暗号鍵Ｋｃ１が付加された状態通知要求命令を受信する。続いて、電気錠装置２の機器認証部２３は、機器認証コード照合処理を行い、状態通知要求命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ９５）。そして、状態通知要求命令に付加された機器認証コードＤが適正である場合には、電気錠装置２の暗号鍵設定部２９が、状態通知要求命令に付加された暗号鍵Ｋｃ１を電気錠装置２の記憶部１２に記憶する（Ｓ９６）。続いて、電気錠装置２の暗号化部３０は、状態通知、および暗号鍵Ｋｃ１を記憶部１２に記憶したことを示す暗号鍵設定通知を、記憶部１２に記憶された暗号鍵Ｋｃ１を用いて暗号化する（Ｓ９７）。続いて、電気錠装置２の情報送信部２１が、暗号化された状態通知および暗号鍵設定通知を操作盤４へ送信する。

続いて、操作盤４の情報受信部５２は、暗号化された状態通知および暗号鍵設定通知を受信し、操作盤４の復号部５７は、受信した状態通知および暗号鍵設定通知を、記憶部４２に記憶された暗号鍵Ｋｃ１で復号する（Ｓ９８）。続いて、受信された状態通知および暗号鍵設定通知の復号に成功した場合、操作盤４の制御処理部５８が例えば暗号鍵の設定が完了した旨を示すメッセージを操作盤４の表示部４５に表示する（Ｓ９９）。

次に、図１４を参照しながら、電気錠装置２または操作盤４の稼動中に行う暗号鍵設定処理について説明する。操作盤４は、内部に設けられた時計を用いて時間を監視し、図１３に示す暗号鍵設定処理により操作盤４に暗号鍵Ｋｃ１が設定されてから所定の時間が経過した後、図１４に示す暗号鍵設定処理を開始する。

図１４において、まず、操作盤４の暗号鍵設定部５５は、新たな暗号鍵Ｋｃ２を生成する（Ｓ１０１）。この暗号鍵Ｋｃ２は、前回生成した暗号鍵Ｋｃ１とは異なる。続いて、操作盤４の情報送信部５１は、記憶部４２に記憶された機器認証コードＤを、生成された暗号鍵Ｋｃ２に付加する。続いて、暗号化部５６は、機器認証コードＤが付加された暗号鍵Ｋｃ２を、暗号鍵Ｋｃ１を用いて暗号化する（Ｓ１０２）。続いて、操作盤４の情報送信部５１は、暗号化された機器認証コードＤおよび暗号鍵Ｋｃ２を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２は、操作盤４から送信された機器認証コードＤおよび暗号鍵Ｋｃ２を受信する。続いて、電気錠装置２の復号部３１は、受信された機器認証コードＤおよび暗号鍵Ｋｃ２を復号する（Ｓ１０３）。続いて、電気錠装置２の機器認証部２３は、機器認証コード照合処理を行い、復号された機器認証コードＤが適正か否かを判断する（Ｓ１０４）。復号された機器認証コードＤが適正である場合には、暗号鍵設定部２９が、復号された暗号鍵Ｋｃ２を電気錠装置２の記憶部１２に記憶する（Ｓ１０５）。続いて、電気錠装置２の暗号化部３０が、暗号鍵設定通知を、記憶部１２に記憶された暗号鍵Ｋｃ２で暗号化し（Ｓ１０６）、電気錠装置２の情報送信部２１が、暗号化された暗号鍵設定通知を操作盤４に送信する。

続いて、操作盤４の情報受信部５２が、電気錠装置２から送信された暗号鍵設定通知を受信し、操作盤４の復号部５７が、受信した暗号鍵設定通知を復号し（Ｓ１０７）、続いて、操作盤４の制御処理部５８が、例えば暗号鍵の変更が完了したことを示すメッセージを表示部４５に表示する（Ｓ１０８）。

このような暗号鍵設定処理により、電気錠装置２の記憶部１２および操作盤４の記憶部４２にそれぞれ記憶された暗号鍵Ｋｃ１が新たな暗号鍵Ｋｃ２に変更される。図１４に示す暗号鍵設定処理が終了した後、前回の暗号鍵Ｋｃ１は記憶部１２、４２からそれぞれ消去される。また、図１４に示す暗号鍵設定処理は、例えば所定の周期で自動的に実行され、当該暗号鍵設定処理を行うために扉５を開ける必要はなく、扉５を解錠する必要もない。

図１４に示す暗号鍵設定処理によれば、過去に暗号鍵Ｋｃ１が漏洩してしまったとても、暗号鍵Ｋｃ１が暗号鍵Ｋｃ２が変更された後は、過去に漏洩した暗号鍵Ｋｃ１を利用して、電気錠１６を不正に制御することはできなくなる。したがって、部屋の安全性および防犯性を高めることができる。また、新たに生成された暗号鍵Ｋｃ２は、暗号化されて電気錠装置２から操作盤４へ送信されるので、新たに生成された暗号鍵Ｋｃ２が不正行為者に取得されて利用されるのを防止することができる。

なお、電気錠装置２または操作盤４の稼動中に行う暗号鍵設定処理については、図１５中のＳ１１１〜Ｓ１１７に示すように、暗号鍵の生成を、操作盤４ではなく、電気錠装置２が行う構成としてもよい。

（各処理の組み合わせ）
図１６は、電気錠装置２および操作盤４において、機器認証処理、入力制限処理、チャレンジ・アンド・レスポンス処理、および暗号化処理が組み合わされて実行された場合の一例を示している。

図１６に示す例では、電気錠装置２の記憶部１２には、機器認証コードＤ、暗号鍵Ｋｃ１および変換コードＣ１が記憶されおり、操作盤４の記憶部４２にも、機器認証コードＤ、暗号鍵Ｋｃ１および変換コードＣ１が記憶されてものとする。また、電気錠装置２の記憶部１２に記憶された認証拒否フラグＦはオフであり、制限基準値Ｒは例えば１０であり、カウント値ｎは０であるとする。

図１６において、まず、操作盤４の情報送信部５１が、記憶部４２に記憶された機器認証コードＤを解錠命令に付加する。続いて、操作盤４の暗号化部５６が、機器認証コードＤ付きの解錠命令を、記憶部４２に記憶された暗号鍵Ｋｃ１を用いて暗号化する（Ｓ１２１）。続いて、操作盤４の情報送信部５１が、暗号化さた機器認証コードＤ付きの解錠命令を電気錠装置２へ送信する。

続いて、電気錠装置２の情報受信部２２が、操作盤４から送信された機器認証コードＤ付きの解錠命令を受信する。続いて、電気錠装置２の復号部３１が、受信された機器認証コードＤ付きの解錠命令を復号する（Ｓ１２２）。続いて、電気錠装置２の入力制限部２４が、記憶部１２に記憶された認証拒否フラグがオフであるか否かを判断する。記憶部１２に記憶された認証拒否フラグがオフである場合には、電気錠装置２の機器認証部２３が、機器認証コード照合処理を行い、受信された解錠命令に付加された機器認証コードＤが適正であるか否かを判断する（Ｓ１２３）。受信された解錠命令に付加された機器認証コードＤが適正である場合には、電気錠装置２のチャレンジコード生成部２５がチャレンジコードを生成する（Ｓ１２４）。続いて、電気錠装置２の暗号化部３０が、生成されたチャレンジコードを、記憶部１２に記憶された暗号鍵Ｋｃ１を用いて暗号化する（Ｓ１２５）。続いて、電気錠装置２の情報送信部２１が、暗号化されたチャレンジコードを操作盤４へ送信する。続いて、電気錠装置２の照合コード生成部２６が、生成されたチャレンジコード（暗号化されていないもの）と、記憶部１２に記憶された変換コードＣ１を用いて所定の演算を行い、照合コードを生成する（Ｓ１２６）。

一方、操作盤４の情報受信部５２が、電気錠装置２から送信されたチャレンジコードを受信する。 続いて、操作盤４の復号部５７が、受信されたチャレンジコードを、記憶部４２に記憶された暗号鍵Ｋｃ１を用いて復号する（Ｓ１２７）。続いて、操作盤４のレスポンスコード生成部５３が、復号されたチャレンジコードと、記憶部４２に記憶された変換コードＣ１を用いて所定の演算を行い、レスポンスコードを生成する（Ｓ１２８）。続いて、操作盤４の情報送信部５１が、記憶部４２に記憶された機器認証コードＤ、および生成されたレスポンスコードを解錠命令に付加する。続いて、操作盤４の暗号化部５６が、機器認証コードＤおよびレスポンスコードが付加された解錠命令を、記憶部４２に記憶された暗号鍵Ｋｃ１で暗号化する（Ｓ１２９）。続いて、操作盤４の情報送信部５１が、暗号化された機器認証コード、レスポンスコードおよび解錠命令を操作盤４へ送信する。

続いて、電気錠装置２の情報受信部２２が、操作盤４から送信された機器認証コード、レスポンスコードおよび解錠命令を受信する。続いて、電気錠装置２の復号部３１が、受信された機器認証コード、レスポンスコードおよび解錠命令を、記憶部１２に記憶された暗号鍵Ｋｃ１を用いて復号する（Ｓ１３０）。続いて、電気錠装置２の入力制限部２４が、記憶部１２に記憶された認証拒否フラグがオフであるか否かを判断する。記憶部１２に記憶された認証拒否フラグがオフである場合には、電気錠装置２の機器認証部２３が、機器認証コード照合処理を行い、復号された機器認証コードＤが適正であるか否かを判断する（Ｓ１３１）。復号された機器認証コードＤが適正である場合には、電気錠装置２の照合判断部２７が、生成された照合コードと復号されたレスポンスコードとを比較し、両者が互いに対応するか否かを判断する（Ｓ１３２）。生成された照合コードと復号されたレスポンスコードとが互いに対応する場合には、電気錠装置２の暗号化部３０が、記憶部１２に記憶された暗号鍵Ｋｃ１を用いてアクノレッジを暗号化し（Ｓ１３３）、電気錠装置２の情報送信部２１が暗号化されたアクノレッジを操作盤４へ送信する。また、生成された照合コードと復号されたレスポンスコードとが互いに対応する場合には、電気錠装置２において、復号された解錠命令が電気錠制御部３２に入力される。そして、電気錠制御部３２は、入力された解錠命令に従って電気錠１６を解錠動作させる（Ｓ１３４）。これにより、扉５が解錠し、開扉可能な状態となる。

また、操作盤４の情報受信部５２は、電気錠装置２から送信されたアクノレッジを受信し、操作盤４の復号部５７は、受信されたアクノレッジを、記憶部４２に記憶された暗号鍵Ｋｃ１を用いて復号する（Ｓ１３５）。

一方、レスポンスコードと照合コードとが互いに対応しない場合、または機器認証コードが適正でない場合には、解錠命令の電気錠制御部３２への入力は行われないので、電気錠１６は解錠動作せず、扉５は解錠されない。また、受信した情報の復号が成功しなかった場合には、例えば所定のエラー処理が直ちに実行される。この場合にも電気錠１６は解錠動作しない。また、認証拒否フラグがオンである場合には、機器認証コード照合処理すら行われないので、情報受信部２２により受信された解錠命令に付加された機器認証コードが適正であるか否かに拘わらず、当該解錠命令が電気錠制御部３２に入力されることはなく、したがって、電気錠１６は解錠動作しない。

このように、本実施形態による電気錠システム１によれば、電気錠装置２と操作盤４との間において、機器認証処理、入力制限処理、チャレンジ・アンド・レスポンス処理、および暗号化処理を行うことにより、機器認証コードの抜取、なりすまし、機器認証コードの総当たり等の不正行為を確実に阻止することができる。

また、操作盤４だけでなくカードリーダ３も、電気錠装置２を制御する制御装置に当たる。本実施形態による電気錠システム１では、電気錠装置２と操作盤４との間と同様に、電気錠装置２とカードリーダ３との間においても、機器認証処理、入力制限処理、チャレンジ・アンド・レスポンス処理、および暗号化処理が行われる。これにより、電気錠装置２とカードリーダ３との間においても、機器認証コードの抜取、なりすまし、機器認証コードの総当たり等の不正行為を確実に阻止することができる。したがって、部屋の安全性または防犯性を向上させることができる。

なお、上述した実施形態では、本発明の電気錠システムを部屋の扉に適用した場合を例にあげたが、本発明はこれに限らず、建物のエントランスに設置された扉、通路に設置されたゲート、保管庫の扉、ロッカーの扉、容器の蓋等、他の施錠対象物にも適用することができる。

また、本発明は、請求の範囲および明細書全体から読み取ることのできる発明の要旨または思想に反しない範囲で適宜変更可能であり、そのような変更を伴う電気錠システムもまた本発明の技術思想に含まれる。

１ 電気錠システム
２ 電気錠装置
３ カードリーダ（制御装置）
４ 操作盤（制御装置）
５ 扉
６、７ ケーブル
８ 通電金具
１１ 演算処理部
１２ 記憶部（第１の記憶部）
１３ 通信部
１６ 電気錠
２１ 情報送信部（チャレンジコード送信部、変換コード送信部）
２２ 情報受信部（制御命令受信部、レスポンスコード受信部、暗号鍵受信部）
２３ 機器認証部（制御命令受信部）
２４ 入力制限部
２５ チャレンジコード生成部
２６ 照合コード生成部
２７ 照合判断部
２８ 変換コード設定部（変換コード生成部、第１の変換コード記憶制御部、変換コード暗号化部）
２９ 暗号鍵設定部（暗号鍵復号部、第２の暗号鍵記憶制御部）
３０ 暗号化部（第２の送信情報暗号化部）
３１ 復号部（第１の受信情報復号部）
３２ 電気錠制御部
４１ 演算処理部
４２ 記憶部（第２の記憶部）
４３ 通信部
５１ 情報送信部（制御命令送信部、暗号鍵送信部）
５２ 情報受信部（チャレンジコード受信部、変換コード受信部）
５３ レスポンスコード生成部
５４ 変換コード設定部（変換コード復号部、第２の変換コード記憶制御部）
５５ 暗号鍵設定部（暗号鍵生成部、第１の暗号鍵記憶制御部、暗号鍵暗号化部）
５６ 暗号化部（第１の送信情報暗号化部）
５７ 復号部（第２の受信情報復号部）

Claims (8)

1. 施錠対象物を施錠する電気錠装置と、前記電気錠装置を制御する制御装置とを備えた電気錠システムであって、
   前記電気錠装置は、
   前記施錠対象物を施錠する電気錠と、
   前記制御装置から送信された制御命令を受信する制御命令受信部と、
   第１の変換コードが記憶された第１の記憶部と、
   毎回異なるチャレンジコードを生成するチャレンジコード生成部と、
   前記チャレンジコード生成部により生成されたチャレンジコードを前記制御装置へ送信するチャレンジコード送信部と、
   前記チャレンジコード生成部により生成されたチャレンジコードと前記第１の記憶部に記憶された第１の変換コードとを用いて所定の演算を行うことにより照合コードを生成する照合コード生成部と、
   前記制御装置から送信されたレスポンスコードを受信するレスポンスコード受信部と、
   前記照合コード生成部により生成された照合コードと前記レスポンスコード受信部により受信されたレスポンスコードとが互いに対応するか否かを判断する照合判断部と、
   前記照合判断部による判断の結果、前記照合コードと前記レスポンスコードとが互いに対応する場合には、前記制御命令受信部により受信された制御命令に従って前記電気錠を制御し、前記照合判断部による判断の結果、前記照合コードと前記レスポンスコードとが互いに対応しない場合には、前記制御命令受信部により受信された制御命令に従った前記電気錠の制御を行わない電気錠制御部とを備え、
   前記制御装置は、
   前記電気錠を動作させるための前記制御命令を前記電気錠装置へ送信する制御命令送信部と、
   前記第１の変換コードが記憶された第２の記憶部と、
   前記電気錠装置から送信されたチャレンジコードを受信するチャレンジコード受信部と、
   前記チャレンジコード受信部により受信されたチャレンジコードと前記第２の記憶部に記憶された第１の変換コードとを用いて所定の演算を行うことにより前記レスポンスコードを生成するレスポンスコード生成部と、
   前記レスポンスコード生成部により生成されたレスポンスコードを前記電気錠装置へ送信するレスポンスコード送信部とを備えていることを特徴とする電気錠システム。
2. 前記電気錠装置は、
   前記第１の変換コードとは異なる第２の変換コードを生成する変換コード生成部と、
   前記変換コード生成部により生成された第２の変換コードを前記第１の記憶部に記憶する第１の変換コード記憶制御部と、
   前記変換コード生成部により生成された第２の変換コードを前記第１の記憶部に記憶された第１の変換コードを用いて暗号化する変換コード暗号化部と、
   前記変換コード暗号化部により暗号化された第２の変換コードを前記制御装置へ送信する変換コード送信部とを備え、
   前記制御装置は、
   前記電気錠装置から送信された第２の変換コードを受信する変換コード受信部と、
   前記変換コード受信部により受信された第２の変換コードを前記第２の記憶部に記憶された第１の変換コードを用いて復号する変換コード復号部と、
   前記変換コード復号部により復号された第２の変換コードを前記第２の記憶部に記憶する第２の変換コード記憶制御部とを備えていることを特徴とする請求項１に記載の電気錠システム。
3. 前記制御装置は、
   前記第１の変換コードとは異なる第２の変換コードを生成する変換コード生成部と、
   前記変換コード生成部により生成された第２の変換コードを前記第２の記憶部に記憶する第１の変換コード記憶制御部と、
   前記変換コード生成部により生成された第２の変換コードを前記第２の記憶部に記憶された第１の変換コードを用いて暗号化する変換コード暗号化部と、
   前記変換コード暗号化部により暗号化された第２の変換コードを前記電気錠装置へ送信する変換コード送信部とを備え、
   前記電気錠装置は、
   前記制御装置から送信された第２の変換コードを受信する変換コード受信部と、
   前記変換コード受信部により受信された第２の変換コードを前記第１の記憶部に記憶された第１の変換コードを用いて復号する変換コード復号部と、
   前記変換コード復号部により復号された第２の変換コードを前記第１の記憶部に記憶する第２の変換コード記憶制御部とを備えていることを特徴とする請求項１に記載の電気錠システム。
4. 前記第１の記憶部には第１の暗号鍵が記憶され、
   前記電気錠装置は前記制御命令受信部により受信された制御命令を前記第１の暗号鍵を用いて復号する第１の受信情報復号部を備え、
   前記第２の記憶部には前記第１の暗号鍵と同一のまたは対応する第２の暗号鍵が記憶され、
   前記制御装置は前記制御命令送信部により送信すべき前記制御命令を前記第２の暗号鍵を用いて暗号化する第１の送信情報暗号化部を備えていることを特徴とする請求項１ないし３のいずれかに記載の電気錠システム。
5. 前記電気錠装置は前記チャレンジコード送信部により送信すべきチャレンジコードを前記第１の暗号鍵を用いて暗号化する第２の送信情報暗号化部を備え、
   前記第１の受信情報復号部は、前記レスポンスコード受信部により受信されたレスポンスコードを前記第１の暗号鍵を用いて復号し、
   前記制御装置は前記チャレンジコード受信部により受信されたチャレンジコードを前記第２の暗号鍵を用いて復号する第２の受信情報復号部を備え、
   前記第１の送信情報暗号化部は、前記レスポンスコード送信部により送信すべきレスポンスコードを前記第２の暗号鍵を用いて暗号化することを特徴とする請求項４に記載の電気錠システム。
6. 前記電気錠装置は、
   前記第１の暗号鍵とは異なる第３の暗号鍵を生成する暗号鍵生成部と、
   前記暗号鍵生成部により生成された第３の暗号鍵を前記第１の記憶部に記憶する第１の暗号鍵記憶制御部と、
   前記暗号鍵生成部により生成された第３の暗号鍵と同一のまたは対応する第４の暗号鍵を前記第１の記憶部に記憶された第１の暗号鍵を用いて暗号化する暗号鍵暗号化部と、
   前記暗号鍵暗号化部により暗号化された第４の暗号鍵を前記制御装置へ送信する暗号鍵送信部とを備え、
   前記制御装置は、
   前記電気錠装置から送信された第４の暗号鍵を受信する暗号鍵受信部と、
   前記暗号鍵受信部により受信された第４の暗号鍵を前記第２の記憶部に記憶された第２の暗号鍵を用いて復号する暗号鍵復号部と、
   前記暗号鍵復号部により復号された第４の暗号鍵を前記第２の記憶部に記憶する第２の暗号鍵記憶制御部とを備えていることを特徴とする請求項４または５に記載の電気錠システム。
7. 前記制御装置は、
   前記第２の暗号鍵とは異なる第３の暗号鍵を生成する暗号鍵生成部と、
   前記暗号鍵生成部により生成された第３の暗号鍵を前記第２の記憶部に記憶する第１の暗号鍵記憶制御部と、
   前記暗号鍵生成部により生成された第３の暗号鍵と同一のまたは対応する第４の暗号鍵を前記第２の記憶部に記憶された第２の暗号鍵を用いて暗号化する暗号鍵暗号化部と、
   前記暗号鍵暗号化部により暗号化された第４の暗号鍵を前記電気錠装置へ送信する暗号鍵送信部とを備え、
   前記電気錠装置は、
   前記制御装置から送信された第４の暗号鍵を受信する暗号鍵受信部と、
   前記暗号鍵受信部により受信された第４の暗号鍵を前記第１の記憶部に記憶された第１の暗号鍵を用いて復号する暗号鍵復号部と、
   前記暗号鍵復号部により復号された第４の暗号鍵を前記第１の記憶部に記憶する第２の暗号鍵記憶制御部とを備えていることを特徴とする請求項４または５に記載の電気錠システム。
8. 前記第１の記憶部には固有の機器認証コードが記憶され、
   前記第２の記憶部には前記機器認証コードが記憶され、
   前記制御命令送信部は前記第２の記憶部に記憶された機器認証コードを前記制御命令に付加し、当該機器認証コードが付加された制御命令を前記電気錠装置へ送信し、
   前記制御命令受信部は、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに一致するか否かを判断する機器認証コード照合処理を行い、前記機器認証コード照合処理の結果、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに一致する場合には当該制御命令を前記電気錠制御部へ入力し、前記機器認証コード照合処理の結果、前記制御装置から受信した制御命令に付加された機器認証コードと前記第１の記憶部に記憶された機器認証コードとが互いに不一致の場合には当該制御命令を前記電気錠制御部へ入力せず、当該２つの機器認証コードの不一致の連続発生回数が所定回数以上となった場合には、前記機器認証コード照合処理を行わず、当該制御命令を前記電気錠制御部へ入力しないことを特徴とする請求項１に記載の電気錠システム。

Images