JP2020136844A - 鍵管理システム、鍵管理方法及びプログラム - Google Patents

Abstract

【課題】移動体に関する鍵更新の可用性を向上させる鍵管理システムを提供する。【解決手段】鍵管理システムは、鍵管理装置と、移動体管理装置と、を含む。鍵管理装置は、移動体（ＩｏＴ機器）が用いる鍵を管理する。移動体管理装置は、移動体からの鍵管理装置に対する鍵更新要求を受け付け、移動体の位置に応じて鍵更新要求を鍵管理装置へ転送する際の動作を制御する。移動体管理装置は、移動体の位置に応じて鍵更新要求に優先度を付与すると共に、優先度に応じて鍵更新要求に関する転送を制御してもよい。【選択図】図７

Description

本発明は、鍵管理システム、鍵管理方法及びプログラムに関する。

ＩｏＴ（Internet of Things）とは、今まではネットワーク（例えば、インターネット）に接続されていなかった「もの」がネットワークに接続され、サーバ等と相互に情報交換をする仕組みを総称するものである。上記「もの」には、例えば、センサ、スマートデバイス、車載機器、ドローン等が含まれる。

ＩｏＴの有する一つの特徴として、「人が介在しない」ことが挙げられる。例えば、工場や遠隔地など普段人がいないような場所で稼働するデバイスが、インターネットに接続され相互にデータのやり取りを行う。ＩｏＴ機器は、お互いの機器を相互に認証したり、データを安全に送受信したりするために「鍵」を使用する。例えば、送受信されるデータは、当該鍵を用いて暗号化され、復号される。

特許文献１には、クライアント装置が通信によりＩｏＴ機器を遠隔で制御する際の安全性を向上させる、と記載されている。特許文献１は、装置間で通信するために鍵情報、当該情報を使って装置間で安全に通信するようにするための仕組みを開示する。

特許文献２は、鍵管理及び暗号鍵の更新に関する技術を開示する。

特許文献３には、通信方式に依存することなく、特定の範囲に位置する機器にデータを配信することができるようにする、と記載されている。特許文献３には、暗号化されたデータを復号する際に、エリアによって復号できるデータが異なることが開示されている。

特開２０１８−１５２７９６号公報 特開２０１８−１３９３６９号公報 特開２００９−２９０６６９号公報

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

上述のように、ＩｏＴでは、人が介在せずにデバイス間でデータのやり取りを行うため、個々のデバイスそれぞれが相手側のデバイスを認証する必要がある。しかし、当該認証に使う鍵の管理は困難である。鍵の管理が困難な理由は以下の通りである。

第１に、ＩｏＴで使用されるデバイスは公開鍵認証ができるだけのスペックを保有していないことが多い点が挙げられる。つまり、ＩｏＴに使用されるデバイスがセンサ等であればセンサが動作するのに十分なハードウェア（ＣＰＵ（Central Processing Unit）等）が搭載されるに留まり、公開鍵認証をするだけのスペックを有するＣＰＵ等はセンサに搭載されないことが多い。

このように、ＩｏＴで使用されるデバイスでは公開鍵認証が使用できないので、処理負荷の小さく、比較的低スペックなデバイスでも利用可能な認証として「共通鍵認証」が用いられることになる。

共通鍵認証で使用する鍵は、互いに認証しあう機器間で保有されなければならない。そのため、鍵を安全かつ確実に機器間で共有する必要があるが、デバイスのスペックに制限があると、共有する手段や共有する際のセキュリティの確保手段が制限される。

第２に、相手側となるデバイスの数が多い場合に、共通鍵認証で使用する（交換する）鍵の数が膨大になり管理が困難となる点が挙げられる。例えば、１つのデバイスが多数のデバイスと相互に通信する場合に、当該問題が顕著となる。即ち、デバイスが相互に認証しあう機器が多いほど使用する（交換する）鍵の数が膨大になる。

第３に、鍵の更新頻度が高くなる点が挙げられる。共通鍵認証で使用する鍵は強度が低く危殆化の可能性が高い。そのため、共通鍵認証で使用する鍵を短期間で更新する必要がある。即ち、ＩｏＴでは人を介在せずに運用されるため、短期間で確実に鍵を更新する必要がある。

第４に、万が一鍵が危殆化した場合、即時に確実に鍵を再配布する必要がある点が挙げられる。

上記説明したように、ＩｏＴにて認証に使用される鍵は、セキュリティを担保するために短期間に定期的に更新される。ここで、鍵（共通鍵）を更新して管理する方式には、集中管理型と分散管理型の２種類が存在する。

図１５は、集中管理型による鍵管理を説明するための図である。図１６は、分散管理型による鍵管理を説明するための図である。

図１５に示すように、集中管理型では、鍵更新を１か所で行い、管理も１か所のリポジトリ（図１５にて「鍵管理」と記載された構成要素）にて行われる。図１６に示すように、分散管理型では、鍵更新をＩｏＴ機器自身で行い、鍵の管理はそれぞれのＩｏＴ機器のリポジトリで行われる。

集中管理型の場合、固定配置したＩｏＴ機器（例えば、図１５のＩｏＴ機器Ｂ）に対しては、鍵管理リポジトリは有線ネットワークを使用して通信を行うことができる。そのため、鍵は、ネットワークの障害等を除き確実に更新されることになる。しかし、集中管理型の場合であっても、移動体のＩｏＴ機器（例えば、図１５のＩｏＴ機器Ａ）に対しては、移動体という特性上、リポジトリと移動体の間の無線通信が途中で切れてしまう場合がある。このような場合、ＩｏＴ機器が、鍵の更新要求や更新した鍵の取得に失敗する場合があり得る。

図１６に示す分散管理型の場合は、ＩｏＴ機器間の認証やデータ暗号・復号のために、ＩｏＴ機器同士で直接、鍵の更新要求や更新した鍵の取得が必要である。移動体であるＩｏＴ機器同士で鍵の更新要求や更新した鍵の取得を行うためには、ＩｏＴ機器同士が通信可能である必要があり、移動体という特性上、鍵更新時に無線通信が切れてしまう場合があり、鍵の更新の可用性が担保できない。

なお、特許文献１〜３は、鍵の管理や暗号化に関する技術の開示に留まっており、これらの文献を適用したとしても鍵を定期的に更新する際に、上記鍵の更新の可用性を担保することはできない。

本発明は、移動体に関する鍵更新の可用性を向上させることに寄与する、鍵管理システム、鍵管理方法及びプログラムを提供することを主たる目的とする。

本発明乃至開示の第１の視点によれば、移動体が用いる鍵を管理する、鍵管理装置と、前記移動体からの前記鍵管理装置に対する鍵更新要求を受け付け、前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御する、移動体管理装置と、を含む、鍵管理システムが提供される。

本発明乃至開示の第２の視点によれば、移動体が用いる鍵を管理する、鍵管理装置を含む鍵管理システムにおいて、前記移動体からの前記鍵管理装置に対する鍵更新要求を受け付けるステップと、前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御するステップと、を含む鍵管理方法が提供される。

本発明乃至開示の第３の視点によれば、移動体からの、前記移動体が用いる鍵を管理する鍵管理装置に対する鍵更新要求を受け付ける処理と、前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御する処理と、をコンピュータに実行させるプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明乃至開示の各視点によれば、移動体に関する鍵更新の可用性を向上させることに寄与する、鍵管理システム、鍵管理方法及びプログラムが、提供される。

一実施形態の概要を説明するための図である。 第１の実施形態に係る鍵管理システムの一例を示す図である。 第１の実施形態に係る鍵管理システムの動作を説明するための図である。 第１の実施形態に係る鍵管理システムにおける鍵更新処理を説明するための図である。 第１の実施形態に係る鍵管理システムにおける鍵配信処理を説明するための図である。 第１の実施形態に係るＩｏＴ機器の動作の一例を示すフローチャートである。 第１の実施形態に係る移動体管理装置の動作の一例を示すフローチャートである。 第１の実施形態に係る鍵管理装置の動作の一例を示すフローチャートである。 第１の実施形態に係る鍵配信装置の動作の一例を示すフローチャートである。 ＩｏＴ機器の位置と優先度の関係の一例を示す図である。 変形例に係る鍵管理システムの一例示す図である。 ＩｏＴ機器の位置と優先度の関係の一例を示す図である。 変形例に係る鍵管理システムの一例示す図である。 第１の実施形態に係る移動体管理装置のハードウェア構成の一例を示すブロック図である。 集中管理型による鍵管理を説明するための図である。 分散管理型による鍵管理を説明するための図である。

初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。

一実施形態に係る鍵管理システムは、鍵管理装置１０１と、移動体管理装置１０２と、を含む（図１参照）。鍵管理装置１０１は、移動体が用いる鍵を管理する。移動体管理装置１０２は、移動体からの鍵管理装置１０１に対する鍵更新要求を受け付け、移動体の位置に応じて鍵更新要求を鍵管理装置１０１へ転送する際の動作を制御する。

移動体管理装置１０２は、例えば、移動体が無線アクセスポイントより遠い位置に存在しており電波状況が好ましくない場合には、当該移動体からの鍵更新要求に対する優先度を下げ、他に優先度の高い鍵更新要求を先に処理する。このような移動体からの鍵更新要求の優先度を下げる理由は、電波状況が不安定な移動体による鍵更新要求を優先的に処理しても最終的に鍵が移動体に未達となることを避けるためである。このような処理に鍵更新システムのリソースを割り当てるのではなく、より確実に更新された鍵が移動体に届くような鍵更新要求を先に処理することで、移動体に関する鍵更新の可用性が向上する。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図２は、第１の実施形態に係る鍵管理システムの一例を示す図である。図２を参照すると、鍵管理システムには、鍵管理装置１０と、鍵配信装置２０と、移動体管理装置３０と、無線ＡＰ（Access Point）４０と、複数のＩｏＴ機器５０−１、５０−２と、が含まれる。

鍵管理装置１０、鍵配信装置２０、移動体管理装置３０及び無線ＡＰ４０は有線ネットワークにより相互に接続されている。無線ＡＰ４０は、移動体であるＩｏＴ機器５０−１、５０−２に無線接続を提供する。

なお、以降の説明においてＩｏＴ機器５０−１、５０−２を区別する特段の理由がない場合には、単に「ＩｏＴ機器５０」と表記する。

鍵管理装置１０は、既存の技術を用いてＩｏＴ機器５０が使用する鍵を管理する装置である。即ち、第１の実施形態では、ＩｏＴ機器５０の使用する鍵を集中管理型により管理する。

鍵管理装置１０は、鍵更新処理部２０１と、鍵配信処理部２０２と、を含んで構成される。

鍵更新処理部２０１は、ＩｏＴ機器５０からの鍵更新要求に応じて新たな鍵（例えば、共通鍵）を生成し、当該生成された鍵を鍵配信処理部２０２に引き渡す。

鍵配信処理部２０２は、新たな鍵を対象となるＩｏＴ機器５０に向けて配信する。具体的には、鍵配信処理部２０２は、当該生成された鍵を用いて相互認証するＩｏＴ機器５０のペアに向けて鍵を配信する。

なお、鍵更新処理部２０１による新たな鍵の生成や鍵の配信については既存の技術を用いることができるので詳細な説明は省略する。

鍵配信装置２０は、ＩｏＴ機器５０向けの鍵を配信する装置である。具体的には、鍵配信装置２０は、鍵管理装置１０から取得した鍵を鍵配信対象となっているＩｏＴ機器５０に向けて送信する。

鍵配信装置２０は、配信対象判断部３０１と鍵配信部３０２の処理モジュール（機能）を含んで構成される。鍵配信装置２０は、当該処理モジュールを用いて、鍵管理装置１０から少なくとも鍵更新要求を送信したＩｏＴ機器５０に向けて送信された鍵配信要求を受信する。

移動体管理装置３０は、移動体であるＩｏＴ機器５０を管理する装置である。具体的には、移動体管理装置３０は、ＩｏＴ機器５０が送信する鍵更新要求を受け付け、当該鍵更新要求を鍵管理装置１０に転送するか否かを判断する。

移動体管理装置３０は当該判断の際に、移動体であるＩｏＴ機器５０の位置（無線ＡＰ４０を中心とした位置）に応じて鍵更新要求の重要度（優先度）を決定し、当該優先度に従い鍵更新要求を鍵管理装置１０に転送する。

移動体管理装置３０は、更新対象判断部４０１、位置・時間把握部４０２及び鍵更新受信部４０３の処理モジュール（機能）を含んで構成される。移動体管理装置３０は、上記モジュールを用いて、移動体であるＩｏＴ機器５０からの鍵管理装置１０に対する鍵更新要求を受け付け、移動体の位置に応じて鍵更新要求を鍵管理装置１０へ転送する際の動作を制御する。

ＩｏＴ機器５０は、無線ＡＰ４０を介して鍵配信装置２０、移動体管理装置３０と通信するためのエージェント（処理モジュール）を備える。エージェントは、鍵に関する処理モジュールであり、鍵の更新が必要であると判断した場合、移動体管理装置３０に向けて「鍵更新要求」を送信する。その際、エージェントは無線ＡＰ４０から受信している電波強度を鍵更新要求に含ませる。但し、電波強度は鍵更新要求に含まれていなくともよい。例えば、ＩｏＴ機器５０は、鍵更新要求とは別の通信にて電波強度を移動体管理装置３０に送信してもよい。あるいは、ＩｏＴ機器５０は、電波強度を無線ＡＰ４０に送信し、無線ＡＰ４０が電波強度を移動体管理装置３０に送信してもよい。なお、上記エージェントは、端末（ＩｏＴ機器５０）を認証する際の鍵を取り扱うモジュールであり、既存技術を用いて実現できるため詳細な説明は省略する。

［システム動作の概略］
初めに、図２を参照しつつ第１の実施形態に係る鍵管理システムの動作概略を説明する。

移動体管理装置３０は、移動体であるＩｏＴ機器５０から鍵更新要求を受け、鍵管理装置１０へ鍵更新を要求する装置である。移動体管理装置３０は、ＩｏＴ機器５０の位置を把握し、鍵の更新の優先度を決定する機能を有する。鍵管理装置１０と無線ＡＰ４０の間に、移動体管理装置３０は有線で接続され配置される。

鍵配信装置２０は、ＩｏＴ機器５０及び当該ＩｏＴ機器と通信しあう別のＩｏＴ機器５０へ鍵を配信する装置である。鍵配信装置２０は、ＩｏＴ機器５０の位置と、当該位置に滞在している時間から鍵の配信の優先度を決定する機能を有する。移動体管理装置３０と無線ＡＰ４０の間に、鍵配信装置２０は有線で接続され配置される。また、鍵配信装置２０は、移動体管理装置３０とも有線で接続され配置される。

移動体管理装置３０は、ＩｏＴ機器５０の位置を無線ＡＰ４０からの距離に基づいてエリア分けをして、エリアごとに鍵更新をするか否かを判断する。例えば、無線ＡＰ４０を基準としてより遠くのエリアにＩｏＴ機器５０が位置する場合は、鍵の更新は行われない。無線ＡＰ４０を基準としてより近いエリアにＩｏＴ機器５０が位置する場合は、優先度を上げて鍵の更新が行われる。

鍵配信装置２０も、移動体管理装置３０と同様に、ＩｏＴ機器５０の位置を距離に基づいてエリア分けをして、エリアごとに鍵配信をするかどうかを判断する。例えば、無線ＡＰ４０より遠くのエリアに位置する場合は、優先度を上げて鍵の配信が行われる。無線ＡＰ４０に対してより近いエリアにＩｏＴ機器５０が位置する場合は、優先度を下げて鍵の配信が行われる。

上記のように、エリア分けをすることで、確実に鍵更新ができ、ＩｏＴ機器５０を判別して鍵更新の可用性が担保される。即ち、鍵管理で鍵を定期的に更新する際に、鍵は失敗せずに装置へ送り届けられ、鍵更新の可用性が向上する。

［動作の説明］
続いて、図面を参照しつつ、第１の実施形態に係る鍵管理システムの動作を詳細に説明する。図３は、第１の実施形態に係る鍵管理システムの動作を説明するための図である。なお、図３では、鍵管理装置１０の図示を省略している。図３に示すように、無線ＡＰ４０はＩｏＴ機器５０に無線接続を提供する。また、無線ＡＰ４０の無線電波到達範囲はエリアＣと書かれた円の内部とする。

各装置間の処理の詳細なやり取りは、図４（鍵更新処理）及び図５（鍵配信処理）を参照して説明する。また、各装置単独の動作は、図６〜図９のフローチャートを参照して説明する。なお、図４及び図５と図６等のフローチャートにおいて共通する処理について同じ符号（ステップ）を付している。

初めに、移動体であるＩｏＴ機器５０のエージェントが、移動体管理装置３０に向けて鍵更新要求を送信する（図４、図６のステップＳ０１）。

移動体管理装置３０の鍵更新受信部４０３は、上記エージェントからの鍵更新要求を受信する（図４、図７のステップＳ０２）。

移動体管理装置３０の位置・時間把握部４０２は、無線ＡＰ４０の放射する電波強度に基づき、無線ＡＰ４０が通信可能な無線エリアを予め分割する。位置・時間把握部４０２によるエリア（無線エリア）の分割数は任意の数とすることができる。図３を含む図面では、分割数を「３」とし、ＩｏＴ機器５０の位置を検知可能な範囲として３つのエリアＡ〜Ｃを図示している。

位置・時間把握部４０２は、鍵更新受信部４０３がエージェントからの鍵更新要求を受信すると（上記ステップＳ０２）、無線ＡＰ４０から取得したＩｏＴ機器５０の電波強度からＩｏＴ機器５０がいずれのエリアに属するか判断（把握）する（図４、図７のステップＳ０３）。即ち、移動体管理装置３０は、移動体であるＩｏＴ機器５０が無線ＡＰ４０から受信した電波の強度に基づき、ＩｏＴ機器５０の位置を把握する。さらに、移動体管理装置３０は、無線ＡＰ４０が放射する電波の到達範囲を複数のエリアに分割し、ＩｏＴ機器５０の位置を当該分割されたエリアにより管理する。

併せて、位置・時間把握部４０２は、把握した位置情報に基づき各エリアにＩｏＴ機器５０が滞在している時間を計算（把握）する。具体的には、位置・時間把握部４０２は、ＩｏＴ機器５０から取得した鍵更新要求を受信した時刻と当該鍵更新要求送信時のＩｏＴ機器５０の位置（在圏エリア）を対応付けた履歴情報を作成する。位置・時間把握部４０２は、当該履歴情報に基づきＩｏＴ機器５０が各エリアに滞在した時間（期間）を計算する。

移動体管理装置３０の更新対象判断部４０１は、位置・時間把握部４０２が把握したＩｏＴ機器５０の位置情報（在圏エリア；例えば、エリアＡ〜Ｃのいずれか）に基づきＩｏＴ機器５０の鍵更新をするか否か（するべきか否か）を判断する（図４、図７のステップＳ０４）。

例えば、図４を参照すると、移動体であるＩｏＴ機器５０が無線ＡＰ４０を基準としてより遠くのエリア（例えば、エリアＣ）に存在する場合には、ＩｏＴ機器５０がすぐに無線電波到達範囲より外に移動する場合（エリアＣより外に移動）や、偶然に無線電波到達範囲に侵入してきた可能性を考慮し、更新対象判断部４０１は鍵の更新は行わないと判断する。

対して、ＩｏＴ機器５０が無線ＡＰ４０を基準としてより近いエリア（例えば、エリアＡ）に存在する場合には、更新対象判断部４０１は通常の優先度（低優先度）にて鍵の更新を行うと判断する。

また、ＩｏＴ機器５０が中間のエリア（例えば、エリアＢ）に存在する場合は、当該ＩｏＴ機器５０が遠いエリア（エリアＣ）に移動するのかより近いエリア（エリアＡ）に移動するのか不明であるため、更新対象判断部４０１は、当該ＩｏＴ機器５０に関する鍵更新を確実に行うために優先度を上げて鍵の更新を行うと判断する（高優先度にて鍵の更新を行う）。図７に示すステップＳ０４以降の判断には、３つのエリアＡ〜Ｃに関する例示を図示している。

移動体管理装置３０は、更新対象判断部４０１による判断結果（各ＩｏＴ機器５０に関する鍵更新の優先度）に基づき、鍵管理装置１０に鍵更新要求を送信する（図４、図７のステップＳ０５）。このように、移動体管理装置３０は、移動体であるＩｏＴ機器５０の位置に応じて鍵更新要求に優先度を付与すると共に、当該優先度に応じて鍵更新要求に関する転送を制御する。

鍵管理装置１０の鍵更新処理部２０１は、移動体管理装置３０からの鍵更新要求に従い、要求のあったＩｏＴ機器５０に関する鍵の更新を行う（図４、図８のステップＳ０６）。

上記ステップＳ０６にて鍵更新処理部２０１にて鍵更新が行われると、鍵管理装置１０の鍵配信処理部２０２は、鍵配信装置２０へ鍵配信要求を送信する（図５、図８のステップＳ０７）。

ここで、鍵配信処理部２０２は、鍵配信対象のＩｏＴ機器５０と当該鍵配信対象のＩｏＴ機器５０と通信するＩｏＴ機器５０に関する情報（例えば、端末識別子やＭＡＣ（Media Access Control）アドレス等）を含めて鍵配信要求を生成する。

例えば、図５において、ＩｏＴ機器５０−１とＩｏＴ機器５０−２が互いに通信する場合、鍵配信装置２０は、これらの機器に対して更新した鍵を配信（配布）する必要がある。そのため、鍵配信処理部２０２は、鍵配信先のＩｏＴ機器５０を特定するための情報を鍵配信要求に含める。

鍵配信装置２０は、鍵管理装置１０からの鍵配信要求を受信すると、移動体管理装置３０の位置・時間把握部４０２に鍵配信対象となっているＩｏＴ機器５０の位置を問い合わせ、その位置情報（在圏エリアに関する情報；エリアＡ〜Ｃ）を取得する（図５、図９のステップＳ０８）。

鍵配信装置２０の配信対象判断部３０１は、位置・時間把握部４０２から取得したＩｏＴ機器５０の位置情報に基づき、移動体であるＩｏＴ機器５０に鍵を配信するか否かを判断する。より具体的には、配信対象判断部３０１は、鍵配信対象となっているＩｏＴ機器５０の位置（在圏エリア）に基づき当該鍵配信対象となっているＩｏＴ機器５０への鍵配信優先度を判断（決定）する（図５、図９のステップＳ０９）。

例えば、ＩｏＴ機器５０が無線ＡＰ４０を基準としてより遠くのエリア（例えば、図５のエリアＣ）に位置する場合には、ＩｏＴ機器５０がすぐに無線電波到達範囲より外に移動する場合や、偶然に無線電波到達範囲に侵入してきた可能性を考慮し、配信対象判断部３０１は、当該遠くのＩｏＴ機器５０に関する優先度を上げて（高優先度で）鍵の配信を行うと判断する。

移動体であるＩｏＴ機器５０が無線ＡＰ４０を基準としてより近いエリア（例えば、図５のエリアＡ）に位置する場合には、配信対象判断部３０１は、対象となっているＩｏＴ機器５０が即座に無線電波到達範囲（エリアＡ〜Ｃ）より外部に出ることはないと判断し優先度を下げて（低優先度で）鍵の配信を行うと判断する。

ＩｏＴ機器が中間のエリア（例えば、図５のエリアＢ）に位置する場合には、対象となっているＩｏＴ機器５０が遠いエリアに移動するか、より近いエリアに移動するか不明であるが、配信対象判断部３０１は、当該ＩｏＴ機器５０が即座に無線電波到達範囲（エリアＡ〜Ｃ）より外れることはないと判断し、通常の優先度（中優先度で）鍵の配信を行うと判断する。

鍵配信装置２０の鍵配信部３０２は、配信対象判断部３０１による判断結果（鍵配信優先度）に基づき、優先度順に移動体であるＩｏＴ機器５０のエージェントへ鍵を配信する（図５、図９のステップＳ１０）。このように、鍵配信装置２０は、鍵配信要求の対象となっているＩｏＴ機器５０の位置に応じて鍵配信要求を鍵配信要求の対象となっているＩｏＴ機器５０へ配信する際の動作を制御する。その際、鍵配信装置２０は、ＩｏＴ機器５０の位置に応じて鍵配信要求に優先度を付与すると共に、当該優先度に応じて鍵配信要求に関する配信を制御する。

移動体であるＩｏＴ機器５０のエージェントは、配信された鍵を保管する（図５、図６のステップＳ１１）。

上記移動体管理装置３０と鍵配信装置２０によるＩｏＴ機器５０の位置（エリア）と優先度の関係をまとめると図１０のとおりとなる。図１０（ａ）は、移動体管理装置３０による鍵更新要求の処理に関するエリアと優先度の関係をまとめた図である。図１０（ｂ）は、鍵配信装置２０による鍵配信要求の処理に関するエリアと優先度の関係をまとめた図である。

以上のように、第１の実施形態では、ＩｏＴ機器５０が存在する位置に応じて鍵に関する要求（鍵更新要求、鍵配信要求）の取り扱いを変える。即ち、第１の実施形態では、鍵更新の処理が無意味となるような状況では鍵更新を行わず、鍵の配信を即座にしなければならない状況では迅速に鍵の配信を行う。その結果、ＩｏＴ機器５０の位置情報により鍵更新の成功率を高められるため、ＩｏＴ機器５０の位置情報に基づいた鍵更新の可用性が判断できる。

なお、本願開示の位置情報を把握する方式は、無線通信プロトコルを識別しプロトコルに応じて電波強度情報の取得方法を変更する必要があるがプロトコルによる制約事項はない。つまり、プロトコルに従って処理を行うことが可能であり、様々な移動体のＩｏＴ機器５０に対して鍵管理が可能である。

また、本願開示の鍵管理装置１０が行う鍵の更新方式は、既存技術を踏襲している。そのため、ＩｏＴ機器５０の種類に依存せずに鍵を管理可能でありＩｏＴ機器と固定配置のＩｏＴ機器の両方を管理できる。

［変形例］
なお、上記実施形態にて説明した鍵管理システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。例えば、図２に示すように鍵管理装置１０、鍵配信装置２０及び移動体管理装置３０が別々の装置としてシステムに含まれていても良いし、上記装置の全部又は一部が統合されていても良い。あるいは、鍵管理装置１０等の機能が無線ＡＰ４０に実装されていてもよい。

上記実施形態では、無線ＡＰ４０から遠いエリア（エリアＣ）に存在するＩｏＴ機器５０からの鍵更新要求は破棄されている。しかし、上記のように遠いエリアに存在するＩｏＴ機器５０に対しても更新対象判断部４０１、配信対象判断部３０１における条件判定を付加することで対応可能である（図１１参照）。

ここでは、一番遠いエリアＣに一定時間滞在し続け、意図的にその位置にて鍵更新を行いたいＩｏＴ機器５０が存在する場合を説明する。移動体管理装置３０の位置・時間把握部４０２は、ＩｏＴ機器５０の位置情報から当該ＩｏＴ機器５０が各エリアＡ〜Ｃに滞在している時間を把握している。従って、更新対象判断部４０１や配信対象判断部３０１の条件判定として「一定時間以上滞在」という条件と当該条件に該当する場合の処理（挙動）を付加することで、上記のように意図的にエリアＣに留まるＩｏＴ機器５０の鍵管理に対応できる。

図１２（ａ）は、鍵更新要求の処理に関するエリアと優先度の関係をまとめた図である。図１２（ｂ）は、鍵配信要求の処理に関するエリアと優先度の関係をまとめた図である。図１２に示すように、更新対象判断部４０１等は、ＩｏＴ機器５０がエリアＣに到達し、且つ、一定時間以上エリアＣに滞在した場合に、鍵更新及び配信の優先度を上げ処理することが可能である。

以上説明したように、移動体管理装置３０は、ＩｏＴ機器５０の位置と分割されたエリアに滞在した時間に基づき、鍵更新要求に優先度を付与する。また、鍵配信装置２０は、ＩｏＴ機器５０の位置と分割されたエリアに滞在した時間に基づき、鍵配信要求に優先度を付与する。

図１３に示すように、無線ＡＰ４０が通信可能な無線のエリアの一部に通信不可能なエリアが存在する場合、鍵更新・配信はしないという対応が可能である。位置・時間把握部４０２は、無線ＡＰ４０の電波強度に基づきにエリア分けを行うためである。

［ハードウェア構成］
次に、上記実施形態に係る鍵管理システムを構成する各種装置のハードウェア構成を説明する。図１４は、第１の実施形態に係る移動体管理装置３０のハードウェア構成の一例を示すブロック図である。

移動体管理装置３０は、情報処理装置（コンピュータ）により構成可能であり、図１４に例示する構成を備える。例えば、移動体管理装置３０は、内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）３１、メモリ３２、入出力インターフェイス３３及び通信手段であるＮＩＣ（Network Interface Card）３４等を備える。

但し、図１４に示す構成は、移動体管理装置３０のハードウェア構成を限定する趣旨ではない。移動体管理装置３０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３３を備えていなくともよい。また、移動体管理装置３０に含まれるＣＰＵ等の数も図１４の例示に限定する趣旨ではなく、例えば、複数のＣＰＵが移動体管理装置３０に含まれていてもよい。

メモリ３２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、補助記憶装置（ハードディスク等）である。

入出力インターフェイス３３は、図示しない表示装置や入力装置のインターフェイスとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

移動体管理装置３０の機能は、上述の各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３２に格納されたプログラムをＣＰＵ３１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウェア、及び／又は、ソフトウェアで実行する手段があればよい。

なお、鍵管理装置１０等も移動体管理装置３０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は移動体管理装置３０と相違する点は無いので説明を省略する。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
上述の第１の視点に係る鍵管理システムのとおりである。
［付記２］
前記移動体管理装置は、前記移動体の位置に応じて前記鍵更新要求に優先度を付与すると共に、前記優先度に応じて前記鍵更新要求に関する転送を制御する、好ましくは付記１に記載の鍵管理システム。
［付記３］
前記移動体に無線接続を提供するアクセスポイントをさらに含み、
前記移動体管理装置は、前記移動体が前記アクセスポイントから受信した電波の強度に基づき、前記移動体の位置を把握する、好ましくは付記１又は２に記載の鍵管理システム。
［付記４］
前記移動体管理装置は、前記アクセスポイントが放射する電波の到達範囲を複数のエリアに分割し、前記移動体の位置を前記分割されたエリアにより管理する、好ましくは付記３に記載の鍵管理システム。
［付記５］
前記鍵管理装置から少なくとも前記鍵更新要求を送信した移動体に向けて送信された鍵配信要求を受信する、鍵配信装置をさらに含み、
前記鍵配信装置は、前記鍵配信要求の対象となっている移動体の位置に応じて前記鍵配信要求を前記鍵配信要求の対象となっている移動体へ配信する際の動作を制御する、好ましくは付記１乃至４のいずれか一に記載の鍵管理システム。
［付記６］
前記鍵配信装置は、前記移動体の位置に応じて前記鍵配信要求に優先度を付与すると共に、前記優先度に応じて前記鍵配信要求に関する配信を制御する、好ましくは付記５に記載の鍵管理システム。
［付記７］
前記移動体管理装置は、前記移動体の位置と前記分割されたエリアに滞在した時間に基づき、前記鍵更新要求に優先度を付与する、好ましくは付記４に記載の鍵管理システム。
［付記８］
前記鍵配信装置は、前記移動体の位置と前記分割されたエリアに滞在した時間に基づき、前記鍵配信要求に優先度を付与する、好ましくは付記４を引用する好ましくは付記５に記載の鍵管理システム。
［付記９］
移動体からの、前記移動体が用いる鍵を管理する鍵管理装置に対する鍵更新要求を受け付け、前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御する、移動体管理装置。
［付記１０］
移動体が用いる鍵を管理する鍵管理装置から前記移動体に向けて送信された鍵配信要求を受信する装置であって、
前記鍵配信要求の対象となっている移動体の位置に応じて前記鍵配信要求を前記鍵配信要求の対象となっている移動体へ配信する際の動作を制御する、鍵配信装置。
［付記１１］
上述の第２の視点に係る鍵管理方法のとおりである。
［付記１２］
上述の第３の視点に係るプログラムのとおりである。

なお、引用した上記の特許文献の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１０、１０１ 鍵管理装置
２０ 鍵配信装置
３０、１０２ 移動体管理装置
３１ ＣＰＵ（Central Processing Unit）
３２ メモリ
３３ 入出力インターフェイス
３４ ＮＩＣ（Network Interface Card）
４０ 無線ＡＰ
５０、５０−１、５０−２ ＩｏＴ機器
２０１ 鍵更新処理部
２０２ 鍵配信処理部
３０１ 配信対象判断部
３０２ 鍵配信部
４０１ 更新対象判断部
４０２ 位置・時間把握部
４０３ 鍵更新受信部

Claims (10)

1. 移動体が用いる鍵を管理する、鍵管理装置と、
   前記移動体からの前記鍵管理装置に対する鍵更新要求を受け付け、前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御する、移動体管理装置と、
   を含む、鍵管理システム。
2. 前記移動体管理装置は、前記移動体の位置に応じて前記鍵更新要求に優先度を付与すると共に、前記優先度に応じて前記鍵更新要求に関する転送を制御する、請求項１に記載の鍵管理システム。
3. 前記移動体に無線接続を提供するアクセスポイントをさらに含み、
   前記移動体管理装置は、前記移動体が前記アクセスポイントから受信した電波の強度に基づき、前記移動体の位置を把握する、請求項１又は２に記載の鍵管理システム。
4. 前記移動体管理装置は、前記アクセスポイントが放射する電波の到達範囲を複数のエリアに分割し、前記移動体の位置を前記分割されたエリアにより管理する、請求項３に記載の鍵管理システム。
5. 前記鍵管理装置から少なくとも前記鍵更新要求を送信した移動体に向けて送信された鍵配信要求を受信する、鍵配信装置をさらに含み、
   前記鍵配信装置は、前記鍵配信要求の対象となっている移動体の位置に応じて前記鍵配信要求を前記鍵配信要求の対象となっている移動体へ配信する際の動作を制御する、請求項１乃至４のいずれか一項に記載の鍵管理システム。
6. 前記鍵配信装置は、前記移動体の位置に応じて前記鍵配信要求に優先度を付与すると共に、前記優先度に応じて前記鍵配信要求に関する配信を制御する、請求項５に記載の鍵管理システム。
7. 前記移動体管理装置は、前記移動体の位置と前記分割されたエリアに滞在した時間に基づき、前記鍵更新要求に優先度を付与する、請求項４に記載の鍵管理システム。
8. 前記鍵配信装置は、前記移動体の位置と前記分割されたエリアに滞在した時間に基づき、前記鍵配信要求に優先度を付与する、請求項４を引用する請求項５に記載の鍵管理システム。
9. 移動体が用いる鍵を管理する、鍵管理装置を含む鍵管理システムにおいて、
   前記移動体からの前記鍵管理装置に対する鍵更新要求を受け付けるステップと、
   前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御するステップと、
   を含む鍵管理方法。
10. 移動体からの、前記移動体が用いる鍵を管理する鍵管理装置に対する鍵更新要求を受け付ける処理と、
    前記移動体の位置に応じて前記鍵更新要求を前記鍵管理装置へ転送する際の動作を制御する処理と、
    をコンピュータに実行させるプログラム。

Images