JP2006067062A - 単方向無線装置の識別コード秘匿化方法 - Google Patents

Abstract

【課題】単方向無線装置に対して本格的な暗号技術を用いることなく，簡便，低消費電力かつ低コストな識別コード秘匿化を実現する。
【解決手段】各送信局（単方向無線装置）１１に，それぞれ重複しない複数の識別コード１４を登録しておく。データ管理手段１３には，各送信局１１に登録された識別コード１４のすべてが識別コード１５として登録されている。各送信局１１は，複数の識別コード１４の中から選択した識別コードを１つずつ送信し，それを受信局１２が受信する。データ管理手段１３は，受信局１２が受信したものがあらかじめ登録されている識別コード１５に一致すれば，送信局１１から受信した識別コード１４であると認識する。また，各コード送信手段１７は，データ管理手段１３に登録された識別コード１５とは異なるコード１６を送信し，第三者による識別コードの特定をさらに困難にする。
【選択図】図１

Description

本発明は，送受信局間の通信が単方向であり，長距離通信可能である単方向無線装置を利用した無線通信システムにおける無線通信の秘匿化技術に関するものである。

単方向無線装置を利用したシステムとして，アクティブ無線タグ（送信局）とＢフレッツ等のブロードバンドネットワークを組み合わせたシステムで，アクティブ無線タグを付けた人等の位置を把握し，その位置情報と連動したカメラ映像を配信できるシステムが発表されている（例えば，非特許文献１参照）。

このようなシステムの特徴は，（１）リーダ（受信局）を介して得られたアクティブ無線タグの位置情報をリアルタイムに処理し，園児等のアクティブ無線タグを付けた人物がどこにいるかを常時把握することが可能なこと，（２）園児等のアクティブ無線タグを装着した人物がどのように行動したかの履歴も把握できるので，最適な保育環境等を提供するための調査・研究にも活用できることにある。

しかしながら，アクティブ無線タグは長距離通信が可能であるため，アクティブ無線タグとリーダの間に第三者が物理的に介入して，アクティブ無線タグとリーダ間の通信を傍受したり，互いになりすましたりすることが容易にできるという危険性を抱えている。

特に，アクティブ無線タグから送出される識別コードが固定されていると，アクティブ無線タグの個体識別が可能となり，アクティブ無線タグが付けられたヒト・モノと周囲の環境（時空間），属性情報との関係付けが可能となり，プライバシー侵害へと発展しかねない。また，偽物のアクティブ無線タグのねつ造が可能となり，様々な詐称へと発展しかねないという問題を有していた。

アクティブ無線タグとリーダに対する脅威とを列挙するためのハザード分析を以下に示す。

（１）第三者がアクティブ無線タグとリーダとの間で送受される情報を盗聴する。
(1-1) 第三者がアクティブ無線タグから送出される識別コードとアクティブ無線タグとを照合できる。
(1-1-1) 第三者がアクティブ無線タグを付けられたヒト・モノと周囲の環境（時空間）とを関係付けることができる。
(1-1-1-1) 第三者がアクティブ無線タグを付けられたヒト・モノの移動履歴を把握し，プライバシーを侵害する危険性がある（追跡問題）。
(1-1-1-2) 第三者がアクティブ無線タグを付けられたヒトの行動履歴を把握し，誘拐等に利用する危険性がある。
(1-1-1-3) 第三者がアクティブ無線タグを付けられたモノの移動履歴を把握し，窃盗等に利用する危険性がある。
(1-1-2) 第三者がアクティブ無線タグを付けられたヒト・モノと属性情報とを関係付ける。
(1-1-2-1) 第三者がアクティブ無線タグを付けられたヒト・モノの属性情報を把握し，プライバシーを侵害する危険性がある。
(1-1-2-2) 第三者がアクティブ無線タグを付けられたヒトの属性情報を把握し，不法な営業活動に利用する危険性がある。
(1-1-2-3) 第三者がアクティブ無線タグを付けられたモノの属性情報を把握し，不法な営業活動・営業妨害に利用する危険性がある。

（２）第三者がなりすます。
(2-1) 第三者が偽りのアクティブ無線タグを使う。
(2-1-1) 第三者が正規のアクティブ無線タグを隠蔽し，偽りのアクティブ無線タグを使う。
(2-1-1-1) 第三者がアクティブ無線タグを付けられたヒト・モノを盗み，その発覚を遅らせる危険性がある。
(2-2) 第三者が偽りのリーダを使う。
(2-2-1) 第三者が偽りのリーダを使い，アクティブ無線タグと交信する。
(2-2-1-1) 第三者がアクティブ無線タグの情報を読み取り，不正利用される危険性がある。

（３）第三者が改ざんする。

アクティブ無線タグとリーダとの間で送受される情報の改ざんは，現実的には，（２）の第三者のなりすましと等価と考えられる。

（４）第三者がＤｏＳ攻撃を行う。
(4-1) 第三者がアクティブ無線タグにＤｏＳ(Denial of Service) 攻撃を行う。
(4-1-1) アクティブ無線タグがリーダからの要求に応じて情報を送信する場合に，第三者がアクティブ無線タグに対して情報送信要求を頻出し，アクティブ無線タグの電池を浪費させる危険性がある。
(4-1-2) アクティブ無線タグにセンサが内蔵されている場合に，第三者がアクティブ無線タグのセンサに対して過度の刺激を与え，アクティブ無線タグの電池を浪費させる危険性がある。
(4-2) 第三者がリーダにＤｏＳ攻撃を行う。
(4-2-1) 第三者がアクティブ無線タグを大量に持ち込み，リーダの読み取り限界を超えさせる危険性がある。
(4-3) 第三者がシステム全体にＤｏＳ攻撃を行う。
(4-3-1) 第三者がアクティブ無線タグを遮蔽し，システムを麻痺させる危険性がある。
(4-3-2) 第三者がアクティブ無線タグとリーダの間に妨害電波（光・音波の場合もある）を流し，システムを麻痺させる危険性がある。

アクティブ無線タグから送出される識別コードを秘匿化することによって，以上の脅威のうち，主に（１），（２），（３）の脅威を回避・抑制できる。

アクティブ無線タグから送出される識別コードを低コストで秘匿する技術として，ＭＩＴが提唱するHash Lock 方式（非特許文献２参照），ＲＳＡ社が提唱するExternal Re-encryption方式（非特許文献３参照），Universal Re-encryption 方式（非特許文献４参照）などがある。

Hash Lock 方式は，アクティブ無線タグ内にハッシュ回路のみを搭載した低コストな識別コード読み取りアクセス制御方法であるが，リーダからの要求に応じてアクティブ無線タグが固定化されたｍｅｔａＩＤを返送するので，第三者がアクティブ無線タグから送出されるｍｅｔａＩＤとアクティブ無線タグとを照合でき，追跡問題が発生しうる。

External Re-encryption方式は，ユーロ紙幣への装着を想定したプライバシー保護方式であり，公開鍵暗号の再暗号化を利用して暗号化された識別コードが電子レジスタなどで更新されるものであるが，公開鍵情報が一種のＩＤ情報となりうるため，それに基づくプライバシー侵害の危険性が残ってしまう。

Universal Re-encryption 方式は，公開鍵情報を必要とせず，乱数生成のみで再暗号化を実現し，高いプライバシー保護を実現しているが，復号時の復号鍵特定が必要なため，システム全体としての鍵情報に関するプライバシー侵害の危険性が残されたままとなっている。

プライバシー保護を最優先に考え，本格的な暗号技術を駆使する方法もあるが，アクティブ無線タグの製造コスト，アクティブ無線タグが内蔵する電池の消費コスト，リーダおよび関連装置の投資コスト，識別コードの初期設定や変更・削除にかかる運用コストなどを勘案し，守るべきものの価値とのトレードオフで選択することが重要である。
ブロードバンド回線と無線ＩＣタグを利用した映像配信システムの提供について，ＮＴＴ西日本・他の報道発表資料，2004.4.19 ，http://www.ntt-west.co.jp/news/0404/040419.html S.A.Weis，"Security and Privacy in Radio-Frequency Identification Devices"，Masters Thesis. MIT. May，2003. A.Juels and R.Pappu ，"Squealing Euros: Privacy Protection in RFID-Enabled Banknotes "，In R.Wright ，ed. ，Financial Cryptography 2003 Springer-Verlag ，2003. P.Golle ，M.Jakobsson ，A.Juels ，and P.Syverson，"Universal Re-encryption for Mixnets "，2002.In submission.

本発明は以上のような技術の現状のもとでなされたものであって，本発明の目的は，単方向無線装置に対して，本格的な暗号技術を用いることなく，簡便，低消費電力かつ低コストな識別コード秘匿化方法を提供することにある。

本発明の概要を具体例に従って説明する。本発明は，例えばアクティブ無線タグ（送信局）とブロードバンドネットワークとを組み合わせたシステムで，アクティブ無線タグを付けた人等の位置を把握し，その位置情報と連動したカメラ映像を配信できるシステムに関する。位置情報を把握するためアクティブ無線タグから識別コードが送出されるが，その識別コードを秘匿化する技術で，アクティブ無線タグは，あらかじめ登録されている複数の識別コードの中から選択した識別コードを，送信間隔，信号強度，変調方式を種々変更して１つずつ送信する。さらに，偽識別コードをアクティブ無線タグまたは受信局などから送出し，識別コードを発見しようとする第三者を攪乱する。

図１は，本発明の基本構成を示す図である。本発明は，識別コードを含む無線信号を送信する１つ以上の送信局１１と，無線信号を受信可能な１つ以上の受信局１２と，１つ以上の受信局１２に接続されたデータ管理手段１３とから構成された無線通信システムにおいて，送信局１１は，あらかじめ登録されている１つ以上の識別コード１４の中から選ばれた識別コード１４を１つずつ送信し（図中，実線の矢印），データ管理手段１３は，送信局１１から送信された識別コード１４とデータ管理手段１３にあらかじめ登録されている識別コード１５とを比較し，一致した場合にのみ送信局１１からの識別コード１４を認識することを主要な特徴とする。

また，本発明は，識別コードを含む無線信号を送信する１つ以上の送信局１１と，無線信号を受信可能な１つ以上の受信局１２と，１つ以上の受信局１２に接続されたデータ管理手段１３から構成された無線通信システムにおいて，送信局１１は，あらかじめ登録されている１つ以上の識別コード１４の中から選ばれた識別コード１４を１つずつ送信し，データ管理手段１３は，送信局１１から送信された識別コード１４とデータ管理手段１３にあらかじめ登録されている識別コード１５とを比較し，一致した場合にのみ送信局１１からの識別コードを認識するものであって，さらに，データ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６の中から選ばれたコード１６を１つずつ送信（図中，点線の矢印）するコード送信手段１７を，無線通信システム内に１つ以上設けたことを主要な特徴とする。

複数の送信局１１がそれぞれ複数の識別コード１４を送信するため，第三者が送信局１１と受信局１２との間の無線信号を盗聴することにより識別コード１４を不正入手したとしても，その識別コード１４がどの送信局１１から送信されたものかを特定することが困難になる。

一方，送信局１１から送信される識別コード１４をデータ管理手段１３に識別コード１５としてあらかじめ登録しておくことにより，データ管理手段１３は，識別コード１４と送信局１１とを容易に関連付けることができる。

さらには，データ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７を設けることにより，識別コード信号送受信の場がかく乱され，第三者の盗聴による識別コード１４と送信局１１との関連付けはより困難になる。識別コード秘匿化の程度は，識別コード１４，１５およびコード１６の個数ならびにコード送信手段１７の設置数を変えることにより，容易に調節することができる。

また，本発明において，送信局１１から送信される識別コード１４またはデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６の中から選ばれたコード１６の少なくとも一方が，送信ごとあるいはそれ以下の頻度（１回ないし複数回の送信の頻度）で異なるものであることが好ましい。

さらには，送信局１１から送信される無線信号またはデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７から送信される無線信号の少なくとも一方の送信間隔を不規則にしたもの，送信局１１から送信される無線信号またはデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７から送信される無線信号の少なくとも一方の信号強度を送信ごとあるいはそれ以下の頻度で変化させたもの，および，送信局１１から送信される無線信号またはデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７から送信される無線信号の少なくとも一方の信号が送信ごとあるいはそれ以下の頻度で異なる変調方式で変調されたものであることが好ましい。

識別コード１４，コード１６が送信ごとあるいはそれ以下の頻度で異なることにより，第三者による識別コード１４の特定がさらに困難になる。また，無線信号の送信間隔および信号強度を不規則にすることにより，第三者は識別コードの発信元の特定が困難になる。さらには，変調方式を送信ごとあるいはそれ以下の頻度で変えることにより，無線システム内で使用されている変調方式を特定することが困難となり，第三者に盗聴されにくくなる。

識別コード１４，コード１６の不規則な変更，ならびに，送信間隔，信号強度および変調方式の不規則化は，例えば，送信局１１内に時計回路を設け，その時刻データをある数で割ったときの剰余（ｍｏｄ）をとるなどの簡易な演算を行い，その演算結果をもとに識別コード１４，コード１６を送出することにより，実現することができる。このような簡易演算を用いることにより，送信局１１の低コスト化および低消費電力化を図ることができる。

さらには，送信局１１から送信される識別コード１４またはデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なるコード１６の少なくとも一方の一部あるいはすべてを，所定期間ごとに更新することを特徴とする。この更新は，送信局１１内に搭載されている二次電池の充電時などに行うことができる。

送信局１１にあらかじめ登録されている識別コード１４や，コード１６の更新が行われることにより，第三者が無線信号を長期間傍受しても，識別コード１４の特定は困難となる。

また，本発明において，データ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７を，１つ以上の受信局１２内に設けることが好ましい。

コード送信手段１７を受信局１２に設けることにより，システム全体の保守，運用の簡略化および省設置スペース化を，図ることができる。

さらには，受信局１２に設けられたデータ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７から送信されるコード１６は，擬似乱数生成器により生成することを特徴とする。

コード１６の生成に擬似乱数生成器を用いることにより，コード送信手段１７から同じコード１６が送信される確率が著しく低くなり，第三者が無線信号を長期間傍受しても，識別コード１４の特定が困難となる。

また，本発明において，データ管理手段１３にあらかじめ登録されている識別コード１５とは異なる１つ以上のコード１６を１つずつ送信するコード送信手段１７を，１つ以上の送信局１１内に設けることが好ましい。この場合，送信局１１は，識別コード１４およびコード１６を送信することになる。

送信局１１がコード送信手段１７を兼ねることにより，システム全体の保守，運用の簡略化および省設置スペース化を図ることができるとともに，１つ以上の識別コード１４の中から選ばれた識別コード１４を含む無線信号および１つ以上のコード１６の中から選ばれたコード１６を含む無線信号が同一地点から送信されることになるため，第三者によるコード１６の排除がさらに困難となる。よって，識別コード１４と送信局１１との関連付けがより困難になり，秘匿性が高まる。

本発明による単方向無線装置の識別コード秘匿化方法を用いることにより，送信局から送出される識別コードがランダムに変化するとともに，送信局と受信局とが存在する空間に偽のコードも送出することができるため，第三者が識別コードを使って送信局を個体識別することが極めて困難となる。そのため，本発明は，送信局が付けられたヒト・モノと周囲の環境（時空間），属性情報とを第三者が識別コードを使って関係付けることも非常に難しく，プライバシーを保護できるという優れた効果を奏する。

また，秘匿化された識別コードは，正規の送信局と正規の受信局との間だけで有効であるため，偽物の送信局のねつ造による不正利用や，ＤｏＳ攻撃，偽物の受信局による送信局からの不正なデータ読み出しも不可能に近く，様々な詐称への発展も防止できる。

さらに，本発明によって，アクティブ無線タグにおいて本格的な暗号処理を行う必要がなくなるため，アクティブ無線タグの製造コスト，アクティブ無線タグが内蔵する電池の消費コスト，リーダおよび関連装置の投資コスト，暗号化のための鍵管理に要する運用コストなどのコスト面において，非常に有利である。

以下，本発明の実施の形態について，図を用いて具体的に説明するが，本発明はこれらの実施の形態に限定されるものではない。

図２は，本発明の単方向無線装置の識別コード秘匿化方法を利用したシステムの一例を示す図である。本実施の形態では，図１における送信局１１がアクティブ無線タグ２１であり，図１におけるデータ管理手段１３がサーバ２５である。また，サーバ２５に認識されるべき識別コードを真識別コード，サーバ２５に認識されない識別コードを偽識別コードと記述する。

本システムは，園児に装着されたアクティブ無線タグ２１，幼稚園内に設置された受信局２２，受信局２２に設けられた偽識別コード送信手段２３，Ｗｅｂカメラ２４およびサーバ２５から構成されており，幼稚園内に設置されている。

紙面の関係上，すべてを図示していないが，この例では，アクティブ無線タグ２１の数は４０個であり，それぞれのアクティブ無線タグ２１ごとに，真識別コード５０個および偽識別コード５０個の計１００個の識別コードが登録されている。ここで，真識別コード５０個はアクティブ無線タグ２１間で重複してはならないが，偽識別コードは重複していてもよい。

また，受信局２２の数は５個であり，通信ケーブルによりサーバ２５に接続されている。サーバ２５には４０個のアクティブ無線タグ２１に登録されている真識別コードのすべて，すなわち，５０×４０＝２０００個の真識別コードが登録されている。また，アクティブ無線タグ２１に登録されている偽識別コードもすべて登録されている。さらに，５個の受信局２２のうちの３個の受信局２２には，この２０００個の真識別コード群とは異なる偽識別コードを送信する偽識別コード送信手段２３が設けられている。

図３は，本実施の形態におけるシステムの通常運用時における識別コードの流れを示す図である。園児に装着されたアクティブ無線タグ２１は，１００個の登録識別コードの中から選ばれた識別コードを，１つずつ送信する。この識別コードは，真識別コードおよび偽識別コードのいずれかのものである。この識別コードとサーバ２５にあらかじめ登録されている２０００個の真識別コード群とを比較し，一致した場合にのみ，サーバ２５はアクティブ無線タグ２１を認識する。

サーバ２５は，認識された真識別コードにより園児の有無を特定するとともに，その真識別コードを含む信号受信強度を３地点の受信局２２で測定し，三角測量等のアルゴリズムに基づいてその園児の位置情報をリアルタイムに算出し，それらの情報に基づいてＷｅｂカメラ２４を制御し，園児の画像を撮影する。

これらの位置情報および画像情報は，ブロードバンドネットワーク２６を介して園児の自宅に配信され，保護者は，自宅端末２７を用いて，自宅にいながらにして園児を見守ることができる。園児の帰宅後には，充電器２８を用いて，アクティブ無線タグ２１への充電を行う。

なお，図３において，偽識別コードＡはアクティブ無線タグ２１に登録されている５０個の偽識別コードに対応し，偽識別コードＢは受信局２２に設けられた偽識別コード送信手段２３からの偽識別コードに対応する。

また，本実施の形態では，受信局２２の構成を簡略化するため，サーバ２５を受信局２２の外部に設けているが，サーバ２５を受信局２２内に設けてさらにそのサーバ２５の上層に別のサーバを設ける構成としても，なんら問題はない。

次に，アクティブ無線タグ２１および受信局２２の内部構成について説明する。図４は，本実施の形態におけるアクティブ無線タグおよび受信局の構成例を示す図である。

アクティブ無線タグ２１は，識別コードを記憶するためのメモリ４１，時刻データを出力する時計回路４２，各種データ処理を実行する簡易演算装置４３，識別コードを含む無線信号を送信するための送信回路４４を備えており，メモリ４１，時計回路４２，送信回路４４は，簡易演算装置４３にシステムバス等により接続されている。さらに，これらを駆動するための二次電池４５およびこれを充電するための充電端子４６，ならびに，メモリ４１を書き換えるためのデータ書換用端子４７を備えている。

一方，受信局２２は，アクティブ無線タグ２１からの識別コードを含む無線信号を受信するための受信回路４８，偽識別コードを送信するための送信回路４９を備えており，受信回路４８および送信回路４９は，データを一括管理するサーバ２５に接続されている。このサーバ２５は，受信局２２内に設けられていてもよい。また，図示していないが，これらは商用電源から駆動電力を得ている。

次に，アクティブ無線タグ２１およびサーバ２５における動作について説明する。図５は，本実施の形態におけるアクティブ無線タグから送信される識別コード信号の送信処理フローチャートである。

まず，アクティブ無線タグ２１は，内蔵された時計回路４２から現在の時間情報を簡易演算装置４３に出力し（ステップＳ５１），演算処理を施す（ステップＳ５２）。ここで，ステップＳ５２における演算処理は，例えば，図６に示すような方法が用いられる。

図６は，本実施の形態における簡易演算装置による演算処理の例を説明する図である。この例では，時間情報ｔについてｔ mod Ｎ（Ｎ＝ａ，ｂ，ｃ，ｄ）を計算する。この計算結果に従って参照されるｔ mod ａ値と識別コードとの対応テーブル６１，ｔ mod ｂ値と送信間隔との対応テーブル６２，ｔ mod ｃ値と信号強度との対応テーブル６３およびｔ mod ｄと変調方式との対応テーブル６４は，あらかじめメモリ４１内に登録されている。係数ａ，ｂ，ｃ，ｄはそれぞれ任意の整数であり，ここでは，ａ＝１００，ｂ＝４０，ｃ＝３０，ｄ＝４とした。また，本実施の形態では，ランダム化のために時間情報の mod Ｎ をとる演算を用いたが，他の方法であってもよい。

図６の例に示すような対応テーブルに基づいて，送信すべき識別コード，送信間隔，信号強度および変調方式を決定する（ステップＳ５３）。なお，ここでは，変調方式として，ＡＳＫ（Amplitude Shift Keying），ＦＳＫ（Frequency Shift Keying），ＰＳＫ（Phase Shift Keying）およびＱＡＭ（Quadrature Amplitude Modulation ）を用いることとした。

次いで，送信回路４４は，ステップＳ５３で得られた情報に基づいて，識別コード信号を送信する（ステップＳ５４）。

以上の処理を繰り返すことにより，様々な識別コード，送信間隔，信号強度および変調方式の組み合わせを持つランダムな信号を，１つずつ送信することができる。本実施の形態では最大１００×４０×３０×４＝４８００００通りの組み合わせが可能であり，第三者の盗聴による識別コードとアクティブ無線タグ２１の関連付けは，非常に困難なものとなる。

ここで，本実施の形態における変調方式について，簡単に説明する。アクティブ無線タグ２１は，ＡＳＫ，ＦＳＫ，ＰＳＫ，ＱＡＭのそれぞれの変調方式に対応した４つの変調回路を搭載し，ｔ mod ｄ値と変調方式との対応テーブル６４に基づいていずれか１つの変調回路を不規則に選択し，これにより変調を行う。一方で，受信局２２側には，どの変調方式で変調された無線信号でも復調できるように，それぞれの変調方式に対応した４つの復調回路が搭載されている。

なお，受信局２２に搭載する復調回路は，必ずしも４つある必要はなく，１つ以上あればよい。この場合，受信局２２は，アクティブ無線タグ２１から送信される無線信号のすべてを復調するのではなく，無線信号の変調方式と受信局２２内に搭載されている復調回路が一致したときにのみ，無線信号を復調する。

図７は，本実施の形態における識別コードの認識処理フローチャートである。ここで，サーバ２５には，図８に示すように各アクティブ無線タグ２１に払い出した真識別コードとアクティブ無線タグ２１との対応テーブルである真識別コード対応テーブル８１があらかじめデータベースとして登録されている。

図８は，本実施の形態における真識別コード対応テーブルおよび偽識別コードテーブルの例を示す図である。本実施の形態における真識別コード対応テーブル８１には，アクティブ無線タグ２１ごとに５０個の真識別コードが登録されている。なお，本実施の形態では，偽識別コードが登録された偽識別コードテーブル８２も，サーバ２５に登録されている。

まず，サーバ２５は，アクティブ無線タグ２１から送信された識別コード信号を受信局２２を介して受信し（ステップＳ７１），この識別コードとサーバ２５内にあらかじめ登録されている真識別コード対応テーブル８１内の真識別コードとを比較し，一致するかどうかを識別コード判定アルゴリズムにより判定する（ステップＳ７２）。ステップＳ７２で一致した場合には，真識別コード対応テーブル８１に基づいて真識別コードがどのアクティブ無線タグ２１からの真識別コードであるのかを認識する（ステップＳ７３）。ステップＳ７２で一致しない場合には，ステップＳ７１からの処理を繰り返す。

その一方で，受信局２２は，無線通信の場をかく乱するための偽識別コード信号を，偽識別コード送信手段２３により送信する。図９は，本実施の形態における受信局から送信される偽識別コードの送信処理フローチャートである。

まず，サーバ２５は，擬似乱数生成器により毎回変化するランダムな識別コードを生成し（ステップＳ９１），この識別コードと真識別コード対応テーブル８１内に存在する真識別コードとが一致するかどうかを，識別コード判定回路により判定する（ステップＳ９２）。一致しない場合には，この識別コードを偽識別コード信号として送信回路４９を介して送信し（ステップＳ９３），一致する場合には，ステップＳ９１からの処理を繰り返す。

これにより，アクティブ無線タグ２１と受信局２２との間の真識別コード認識を妨げることなく，無線通信の場をかく乱することが可能となる。なお，この送信回路４９からの偽識別コード信号は，すでに説明したアクティブ無線タグ２１から送信される識別コード信号の送信間隔，信号強度および変調方式の不規則化と同様の処理をサーバ２５で行うことにより，不規則化することもできる。

アクティブ無線タグ２１にあらかじめ登録されている１つ以上の真識別コードおよび偽識別コードが固定である場合，第三者による長期間の盗聴に対して真識別コードの秘匿性が低くなってしまう。本実施の形態では，アクティブ無線タグ２１にあらかじめ登録されている真識別コードおよび偽識別コードを，アクティブ無線タグ２１を充電する際に，サーバ２５によって，データ書換用端子４７を介して，更新できるような機構を設けている。

図１０は，本実施の形態における識別コード更新時の識別コードデータの流れを示す図である。サーバ２５からの新識別コードは，自宅端末２７および充電器２８を介して，アクティブ無線タグ２１に書き込まれる。この際，サーバ２５からアクティブ無線タグ２１への通信には無線区間がないため，識別コード更新情報が悪意ある第三者に盗聴される心配はない。以下，真識別コードおよび偽識別コードの更新処理について説明する。

図１１は，本実施の形態におけるサーバでの真識別コード更新処理フローチャートである。まず，サーバ２５は，擬似乱数生成器によりランダムな識別コードを生成し（ステップＳ１１１），この生成された識別コードと真識別コード対応テーブル８１にあらかじめ登録されている真識別コード（ただし，そのときの更新対象となるアクティブ無線タグ２１内の登録真識別コードを除く）とが一致するかどうかを，識別コード判定アルゴリズムにより判定する（ステップＳ１１２）。一致する場合には，ステップＳ１１１からの処理を繰り返す。

ステップＳ１１２で一致しない場合には，さらに，生成された識別コードとサーバ２５内の偽識別コードテーブル８２にあらかじめ登録されている偽識別コードとが一致するかどうかを，ステップＳ１１２と同様のアルゴリズムにより判定する（ステップＳ１１３）。一致する場合には，ステップＳ１１１からの処理を繰り返す。

ステップＳ１１３で一致しない場合には，サーバ２５内の真識別コード対応テーブル８１内の登録真識別コードを書き換え更新する（ステップＳ１１４）。次に，所定個数の真識別コードの更新が完了したかを判断し（ステップＳ１１５），完了していないと判断した場合には，ステップＳ１１１からの処理を繰り返す。

ステップＳ１１５において所定個数の真識別コードの更新が完了したと判断した場合には，更新された真識別コード対応テーブル８１の真識別コード信号を，図１０に示すように自宅端末２７および充電器２８を介してアクティブ無線タグ２１に配信する（ステップＳ１１６）。これにより，メモリ４１内の真識別コードが書き換えられる。

以上のように，サーバ２５で識別コードを一括管理し，真識別コードの更新を行うと，他のアクティブ無線タグ２１に対応する真識別コードとの重複を防ぐことができる。さらに，偽識別コードとの重複も，防ぐことができる。

図１２は，本実施の形態におけるサーバでの偽識別コード更新処理フローチャートである。まず，サーバ２５は，擬似乱数生成器によりランダムな識別コードを生成し（ステップＳ１２１），この生成された識別コードと真識別コード対応テーブル８１にあらかじめ登録されている真識別コードとが一致するかどうかを，識別コード判定アルゴリズムにより判定する（ステップＳ１２２）。一致しない場合には，サーバ２５内の偽識別コードテーブル８２内の登録偽識別コードを書き換え更新し（ステップＳ１２３），一致する場合には，ステップＳ１２１からの処理を繰り返す。

次に，所定個数の偽識別コードの更新が完了したかを判断し（ステップＳ１２４），完了していないと判断した場合には，ステップＳ１２１からの処理を繰り返す。ステップＳ１２４において所定個数の偽識別コードの更新が完了したと判断した場合には，更新された偽識別コードテーブル８２の偽識別コード信号を，真識別コードの場合と同様にしてアクティブ無線タグ２１に配信する（ステップＳ１２５）。これにより，メモリ４１内の偽識別コードが書き換えられる。

以上のように，サーバ２５で偽識別コードを一括管理し，偽識別コードの更新を行うと，真識別コードとの重複を防ぐことができ，正規の無線通信は妨害されない。

図１３は，本実施の形態における単独で偽識別コード送信手段を配した場合のシステムの例を示す図である。当然のことながら，図１３に示すように，偽識別コード送信手段２３を単独でシステム内に配してもよい。

この場合には，偽識別コード送信手段２３の構成は，アクティブ無線タグ２１の内部構成と同様の構成とすることができる。ただし，メモリ４１内には，偽識別コードのみが記憶されている。また，偽識別コードの書き換え更新は，図１２に示したフローチャートに沿って，充電時等に行うことができる。

また，偽識別コード送信手段２３は，使い捨てにしてもよい。この場合には，電池寿命を考慮して偽識別コード送信手段２３内の偽識別コードに有効期限を設け，有効期限を過ぎた場合には，偽識別コード送信手段２３に登録されている偽識別コードを，サーバ２５内のデータベースから消去すればよい。

また，識別コードの秘匿性をそれほど要しない場合には，この偽識別コード送信手段２３が設けられていない構成としてもよい。この場合には，システム全体の保守，運用の簡略化を図ることができる。

以上，本発明の実施の形態として，アクティブ無線タグを利用して園児の居場所を把握し，その位置情報と連動したカメラ映像を配信できるシステムについて説明したが，本発明は，アクティブ無線タグを利用した物品管理システム，法面監視システムにも適用可能であり，さらには，アクティブ無線タグ以外の単方向無線装置を用いた各種システムにも展開することができる。

本発明の基本構成を示す図である。 本発明を利用したシステムの一例を示す図である。 本実施の形態におけるシステムの通常運用時における識別コードの流れを示す図である。 本実施の形態におけるアクティブ無線タグおよび受信局の構成例を示す図である。 本実施の形態におけるアクティブ無線タグから送信される識別コード信号の送信処理フローチャートである。 本実施の形態における簡易演算装置による演算処理の例を説明する図である。 本実施の形態における識別コードの認識処理フローチャートである。 本実施の形態における真識別コード対応テーブルおよび偽識別コードテーブルの例を示す図である。 本実施の形態における受信局から送信される偽識別コードの送信処理フローチャートである。 本実施の形態における識別コード更新時の識別コードデータの流れを示す図である。 本実施の形態におけるサーバでの真識別コード更新処理フローチャートである。 本実施の形態におけるサーバでの偽識別コード更新処理フローチャートである。 本実施の形態における単独で偽識別コード送信手段を配した場合のシステムの例を示す図である。

符号の説明

１１ 送信局
１２ 受信局
１３ データ管理手段
１４，１５ 識別コード
１６ コード
１７ コード送信手段
２１ アクティブ無線タグ
２２ 受信局
２３ 偽識別コード送信手段
２４ Ｗｅｂカメラ
２５ サーバ
２６ ブロードバンドネットワーク
２７ 自宅端末
２８ 充電器
４１ メモリ
４２ 時計回路
４３ 簡易演算装置
４４ 送信回路
４５ 二次電池
４６ 充電端子
４７ データ書換用端子
４８ 受信回路
４９ 送信回路

Claims (15)

1. 識別コードを含む無線信号を送信する１つ以上の単方向無線装置による送信局と，無線信号を受信可能な１つ以上の受信局と，１つ以上の受信局に接続されたデータ管理手段から構成される無線通信システムにおける識別コード秘匿化方法であって，
   前記送信局が，あらかじめ送信局内に登録された複数の識別コードの中から，送信する１つの識別コードを選択する過程と，
   前記送信局が，選択された識別コードを送信する過程と，
   前記受信局が，前記送信局から送信された識別コードを受信する過程と，
   前記データ管理手段が，当該データ管理手段にあらかじめ登録された複数の識別コードと前記受信局が受信した識別コードとを比較する過程と，
   前記データ管理手段が，前記あらかじめ登録された複数の識別コードの中に前記受信局が受信した識別コードと一致するものが存在する場合に，前記受信局が受信した識別コードが前記送信局が送信した識別コードであると認識する過程とを有する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
2. 請求項１記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局が識別コードを選択する過程では，送信ごとにまたはそれ以下の頻度で，前記複数の識別コードの中から異なる識別コードを選択する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
3. 請求項１または請求項２記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局が識別コードを送信する過程では，前記識別コードを含む無線信号を不規則な送信間隔で送信する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
4. 請求項１から請求項３までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局が識別コードを送信する過程では，前記識別コードを含む無線信号を，送信ごとにまたはそれ以下の頻度で信号強度を変化させて送信する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
5. 請求項１から請求項４までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局が識別コードを送信する過程では，前記識別コードを含む無線信号を，送信ごとにまたはそれ以下の頻度で異なる変調方式で変調して送信する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
6. 請求項１から請求項５までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局内にあらかじめ登録された複数の識別コードの一部または全部を，所定期間ごとに更新する過程を有する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
7. 識別コードを含む無線信号を送信する１つ以上の単方向無線装置による送信局と，無線信号を受信可能な１つ以上の受信局と，１つ以上の受信局に接続されたデータ管理手段から構成される無線通信システムにおける識別コード秘匿化方法であって，
   前記送信局が，あらかじめ送信局内に登録された１つ以上の識別コードから選択された識別コードを送信する過程と，
   前記受信局が，前記送信局から送信された識別コードを受信する過程と，
   前記データ管理手段が，当該データ管理手段にあらかじめ登録された複数の識別コードと前記受信局が受信した識別コードとを比較する過程と，
   前記データ管理手段が，前記あらかじめ登録された複数の識別コードの中に前記受信局が受信した識別コードと一致するものが存在する場合に，前記受信局が受信した識別コードが前記送信局が送信した識別コードであると認識する過程と，
   当該無線通信システム内に１つ以上設けられたコード送信手段が，前記データ管理手段にあらかじめ登録された識別コードとは異なる１つ以上のコードの中から選ばれたコードを１つずつ送信する過程とを有する
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
8. 請求項７記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局から送信される識別コードまたは前記コード送信手段から送信されるコードの少なくとも一方が，送信ごとにまたはそれ以下の頻度で異なる
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
9. 請求項７または請求項８記載の単方向無線装置の識別コード秘匿化方法において，
   前記送信局から送信される識別コードを含む無線信号または前記コード送信手段から送信されるコードを含む無線信号の少なくとも一方の送信間隔が不規則である
   ことを特徴とする単方向無線装置の識別コード秘匿化方法。
10. 請求項７から請求項９までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
    前記送信局から送信される識別コードを含む無線信号または前記コード送信手段から送信されるコードを含む無線信号の少なくとも一方の信号強度が，送信ごとにまたはそれ以下の頻度で異なる
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。
11. 請求項７から請求項１０までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
    前記送信局から送信される識別コードを含む無線信号または前記コード送信手段から送信されるコードを含む無線信号の少なくとも一方の信号が，送信ごとにまたはそれ以下の頻度で，異なる変調方式で変調されたものである
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。
12. 請求項７から請求項１１までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
    前記送信局にあらかじめ登録された１つ以上の識別コードまたは前記コード送信手段にあらかじめ登録された１つ以上のコードの少なくとも一方の一部または全部を，所定期間ごとに更新する過程を有する
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。
13. 請求項７から請求項１２までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
    前記コード送信手段が，１つ以上の前記受信局内に備えられている
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。
14. 請求項１３記載の単方向無線装置の識別コード秘匿化方法において，
    前記受信局に備えられている前記コード送信手段から送信されるコードが，あらかじめ登録されたコードではなく，擬似乱数生成器により生成されたコードである
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。
15. 請求項７から請求項１４までのいずれか１項に記載の単方向無線装置の識別コード秘匿化方法において，
    前記コード送信手段が，１つ以上の前記送信局内に備えられている
    ことを特徴とする単方向無線装置の識別コード秘匿化方法。

Images