JP2009130746A - セキュリティ支援装置 - Google Patents

Abstract

【課題】地上系１０と衛星２０とが予め複数の運用鍵を記憶し、複数の運用鍵の中から選択した所定の運用鍵を使用して、地上系１０と衛星２０との間で暗号化コマンド通信する衛星通信システムにおいて、使用済の運用鍵が再使用されることを防止するとともに、運用計画に基づき確実に運用鍵を変更可能とすることを目的とする。
【解決手段】地上系１０又は／及び衛星２０に運用鍵変更管理支援機能を有するセキュリティ支援装置を設ける。運用鍵変更管理支援機能は、予め記憶した複数の運用鍵の各運用鍵が使用済であるか否かを示す鍵ステータスを記憶し、鍵ステータスに基づき次に使用する運用鍵が未使用のものになるように制御する。また、運用鍵変更管理支援機能は、各運用鍵を使用して暗号化したコマンドの通信回数をカウントし、予め定めた回数に達した場合に運用鍵の変更を運用者へ促す。
【選択図】図２

Description

この発明は、例えば、衛星通信における運用セキュリティ強化のために実装されるコマンドセキュリティシステムの技術に関するものである。

衛星通信におけるコマンドセキュリティシステムでは、地上系から衛星へコマンドを送信する場合に、運用セキュリティ強化の観点からコマンドは暗号化されて送信される。

従来の衛星通信におけるコマンドセキュリティシステムでは、衛星のリソースの制約等の理由から、予め生成した複数の運用鍵を衛星製造時に衛星と地上系とに保有させていることが多い。衛星と地上系とは共有した複数の運用鍵の中から選択した所定の運用鍵でコマンドを暗号化して通信する。そして、必要に応じ地上系から衛星へ使用する運用鍵を変更するコマンドを送信して、使用する運用鍵を適宜変更しセキュリティレベルを維持するようにしている。
特開２０００−３４１１９０号公報 特開２０００−２０３５００号公報

ここで、セキュリティレベルを維持するという観点から、既に使用した運用鍵は再使用しないようにすることが望ましい。

しかし、従来の衛星通信におけるコマンドセキュリティシステムでは、次に使用する運用鍵（次運用鍵）の選定は、運用者の判断に委ねられている。つまり、従来の衛星通信におけるコマンドセキュリティシステムは使用済の運用鍵を使用できないようにする機能を有していない。従って、既に使用した運用鍵が再使用され、セキュリティレベルが下がる可能性があるという課題がある。

また、従来の衛星通信におけるコマンドセキュリティシステムでは、同一の運用鍵によるセキュアコマンドの送受信回数や送受信頻度等を定量的に把握していない。そのため、運用鍵を変更する必要があるか否かの判断を運用者が行う必要がある。従って、例えば、運用鍵の変更が長期に渡って行われないことによりセキュリティレベルが下がる可能性があるという課題がある。ここで、セキュアコマンドとは、コマンド発行元の認証が可能であり、さらに、データが秘匿されたコマンドをいう。

本発明は、例えば、一度使用した運用鍵が再使用されることを防止することを目的とする。また、運用計画に基づき確実に運用鍵を変更可能とすることを目的とする。

本発明に係るセキュリティ支援装置は、例えば、衛星を追跡管制する地上装置と衛星とが予め複数の運用鍵を記憶し、上記複数の運用鍵の中から選択した所定の運用鍵を使用して暗号化したコマンドを、上記地上装置と上記衛星との間で通信する衛星通信システム（コマンドセキュリティシステム）のセキュリティ支援装置であり、
上記複数の運用鍵の各運用鍵が使用済であるか否かを示す鍵ステータスを記憶装置に記憶する鍵ステータス記憶部と、
上記所定の運用鍵を上記複数の運用鍵の中から選択した他の運用鍵に変更する鍵変更命令が上記地上装置へ入力された場合、上記鍵ステータス記憶部が記憶した鍵ステータスを参照して、上記鍵変更命令により変更され今後使用される次運用鍵として使用済の運用鍵が用いられないように制御する制御部と
を備えることを特徴とする。

本発明に係るセキュリティ支援装置は、鍵変更命令により運用鍵が変更される場合に、次運用鍵として使用済の運用鍵が用いられないように制御する。従って、既に使用した運用鍵が再使用されることによるセキュリティレベル低下の可能性がない。

実施の形態１．
実施の形態１では、鍵変更命令により運用鍵が変更される場合に、次運用鍵として使用済の運用鍵が用いられないように制御するセキュリティ支援装置を衛星側に設ける例について説明する。

この実施の形態では、運用鍵が使用済であるか否かを示す鍵ステータス等を記憶する使用ステータス管理テーブルを用いて次運用鍵として使用済の運用鍵が用いられないように制御する。

まず、この実施の形態及び後述する実施の形態におけるセキュリティ支援装置３０のハードウェア構成について説明する。図１は、セキュリティ支援装置３０のハードウェア構成の一例を示す図である。

セキュリティ支援装置３０は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、処理装置の一例である。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５と接続され、これらのハードウェアデバイスを制御する。

ＲＯＭ９１３は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４とは、記憶装置の一例である。通信ボード９１５は、入力装置、出力装置、通信装置の一例である。

ＲＯＭ９１３には、例えば、オペレーティングシステム（ＯＳ）、プログラム群、データ群が記憶されている。プログラム群のプログラムは、ＣＰＵ９１１、オペレーティングシステムにより実行される。

上記プログラム群には、以下の説明において「鍵ステータス記憶部３１」、「鍵ステータス判定部３２」、「制御部３３」、「カウンタ部３４」、「鍵変更判断支援部３５」等として説明する機能を実行するプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。

データ群には、以下の説明において、「暗号化したコマンド」、「セキュアコマンド」、「鍵ステータス」、「コマンドを通信した回数」、「鍵変更判断支援情報」等として説明する情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリ等の記録媒体に記憶される。ディスクやメモリ等の記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示等のＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示等のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、以下の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。あるいは、ソフトウェアのみ、あるいは、素子・デバイス・基板・配線等のハードウェアのみ、あるいは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータ等を機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータ等に実行させるものである。

次に、この実施の形態及び後述する実施の形態に係る衛星通信システム（コマンドセキュリティシステム）の概要について説明する。図２は、この実施の形態及び後述する実施の形態に係る衛星通信システムの全体概要図である。

図２に示すように、衛星通信システムは、地上系１０（地上装置）と衛星２０とを備える。

地上系１０と衛星２０とのそれぞれが、予め複数の運用鍵を記憶する。地上系１０と衛星２０とが記憶する運用鍵は同じ鍵データであり、言い替えると、地上系１０と衛星２０とは、予め同じ運用鍵を共有する。地上系１０へ、衛星２０に対する命令が運用者により入力されると、地上系１０は命令に応じた衛星２０宛てのコマンド（平文）を生成し、予め記憶した複数の運用鍵の中から選択した所定の運用鍵を使用してコマンドを暗号化し、暗号化したコマンドをセキュアコマンドとして衛星２０へ送信する。一方、衛星２０は、地上系１０から受信したセキュアコマンドを、地上系１０が暗号化に使用した運用鍵と同じ運用鍵を使用して認証し、コマンド（平文）に復号する。そして、衛星２０はコマンドを実行し、結果をテレメトリとして地上系１０へ送信する。地上系１０は、衛星２０から受信したテレメトリを処理し、テレメトリ情報として運用者に対し出力する。

また、地上系１０へ、地上系１０に対する命令が運用者により入力されると、地上系１０は内部で命令に応じた制御指示を出し、結果をステータス情報として得る。そして、地上系１０はステータス情報を運用者に対し出力する。

以上、衛星通信システムの基本的な動作について説明したが、以下では、運用鍵を変更する場合の衛星通信システムの動作を示す。

地上系１０へ、衛星２０で使用している運用鍵を変更する鍵変更命令が運用者により入力されると、地上系１０は鍵変更コマンドを生成し、上記所定の運用鍵を使用して鍵変更コマンドを暗号化し、暗号化した鍵変更コマンドをセキュアコマンドとして衛星２０に送信する。衛星２０は、地上系１０から受信したセキュアコマンドを、地上系１０が暗号化に使用した運用鍵と同じ運用鍵を使用して認証し、鍵変更コマンドに復号する。衛星２０は鍵変更コマンドに基づき使用する運用鍵を変更する。

衛星２０による運用鍵の変更が確認された後に、引き続き、地上系１０へ、地上系１０で使用している運用鍵を衛星２０と同一の運用鍵に変更する命令が運用者により入力されると、地上系１０は後述するコマンド暗号化装置１２に対して鍵変更の制御指示を出す。地上系１０のコマンド暗号化装置１２は、制御指示に基づき使用する運用鍵を衛星２０と同一の運用鍵に変更する。

以上により運用鍵の変更が完了する。

地上系１０と衛星２０との各機能について簡単に説明する。

地上系１０は、衛星２０を追跡管制する装置又はシステムである。地上系１０は、追跡管制装置１１、コマンド暗号化装置１２を備える。追跡管制装置１１は、運用者の操作等に基づき衛星２０宛てのコマンドを生成する（例えば、運用者が衛星２０に対する通常の命令の入力操作を行った場合、入力された命令に基づき衛星２０宛ての通常コマンドを生成し、一方、運用者が衛星２０に対する鍵変更命令の入力操作を行った場合、入力された鍵変更命令に基づき衛星２０宛ての鍵変更コマンドを生成する）コマンド生成処理や、衛星２０からテレメトリとして送信された情報を処理するテレメトリ処理等を行う。また、追跡管制装置１１は、運用者の操作等に基づきコマンド暗号化装置１２に制御指示を送信する（例えば、運用者が地上系１０で使用している運用鍵を衛星２０と同一の運用鍵に変更する命令の入力操作を行った場合、入力された命令に基づきコマンド暗号化装置１２に対して鍵変更の制御指示を送信する）。追跡管制装置１１は、さらに、テレメトリ処理によって生成したテレメトリ情報や、コマンド暗号化装置１２から送信されたステータス情報を画面等に表示する。コマンド暗号化装置１２は、追跡管制装置１１で生成されたコマンド（平文）を運用鍵により暗号化してセキュアコマンドを生成する。

衛星２０は、セキュアコマンド処理部２４、テレメトリ／コマンド処理部２５を備える。セキュアコマンド処理部２４は、地上系１０から受信したセキュアコマンドの認証及び復号をしてコマンド（平文）を生成する認証及び復号処理を行う。テレメトリ／コマンド処理部２５は、セキュアコマンド処理部２４で生成されたコマンドを実行するコマンド処理と、コマンド処理の結果をテレメトリとして送信するテレメトリ処理を行う。

また、図２に示す運用鍵変更管理支援機能は、この実施の形態及び後述する実施の形態における特徴的な機能であり、鍵変更命令により運用鍵が変更される場合に、次運用鍵として使用済の運用鍵が用いられないように制御する機能等である。

ここで、この実施の形態及び後述する実施の形態に係るセキュリティ支援装置３０によって実現される運用鍵の変更を支援する運用鍵変更管理支援機能は、図２に示すように、地上系１０であれば、追跡管制装置１１やコマンド暗号化装置１２に、衛星２０であれば、セキュアコマンド処理部２４に設けられる。

まず、この実施の形態では、衛星２０のセキュアコマンド処理部２４に、運用鍵変更管理支援機能を有するセキュリティ支援装置３０（後述する図５のセキュリティ支援装置３０）を設けた場合について説明する。地上系１０の追跡管制装置１１やコマンド暗号化装置１２にセキュリティ支援装置３０（後述する図８や図９のセキュリティ支援装置３０）を設けた場合については後述する実施の形態で説明する。

以下では、図３及び図４に基づき、この実施の形態に係る地上系１０の機能と動作について説明する。

まず、図３に基づき、この実施の形態に係る地上系１０の機能について説明する。図３は、この実施の形態に係る地上系１０の機能を示す機能ブロック図である。

地上系１０（地上装置）は、追跡管制装置１１、コマンド暗号化装置１２、コマンド送信部１３、テレメトリ受信部１４を備える。

追跡管制装置１１は、図２に基づき説明した通り、運用者の操作等に基づきコマンドを生成するコマンド生成処理や、衛星２０からテレメトリとして送信された情報を処理するテレメトリ処理等を行う。コマンド暗号化装置１２は、図２に基づき説明した通り、追跡管制装置１１で生成された通常コマンド（平文）や鍵変更コマンド（平文）を運用鍵により暗号化してセキュアコマンドを生成する。コマンド送信部１３は、コマンド暗号化装置１２が生成したセキュアコマンドを衛星２０へ通信装置により送信する。テレメトリ受信部１４は、衛星２０がテレメトリとして送信した情報を通信装置により受信する。

追跡管制装置１１は、テレメトリ／コマンド処理部１５、衛星運用インタフェース部１６を備える。

テレメトリ／コマンド処理部１５は、衛星運用インタフェース部１６から送信されるコマンド生成情報に基づき、コマンド（例えば、衛星２０宛ての通常コマンドや鍵変更コマンド）を生成する。また、テレメトリ／コマンド処理部１５は、テレメトリ受信部１４がテレメトリとして受信した情報を処理してテレメトリ情報として衛星運用インタフェース部１６へ送信するとともに、追跡管制装置１１のステータス情報を衛星運用インタフェース部１６へ送信する。

衛星運用インタフェース部１６は、運用者へのインタフェースを提供する。つまり、衛星運用インタフェース部１６は、運用者の操作に従い衛星２０に対する命令（例えば、通常の命令や鍵変更命令）を入力装置により入力し、命令に応じたコマンド生成情報を生成してテレメトリ／コマンド処理部１５へ送信するとともに、テレメトリ情報や追跡管制装置１１のステータス情報を表示装置に表示する。また、衛星運用インタフェース部１６は、運用者の操作に従い地上系１０に対する命令（例えば、鍵を衛星２０と同じ鍵に変更する命令）を入力装置により入力し、命令に応じた制御指示（運用鍵を変更するための鍵変更情報を含む）を後述する暗号化制御部３９へ送信するとともに、コマンド暗号化装置１２のステータス情報を受信して表示装置に表示する。

また、コマンド暗号化装置１２は、セキュアコマンド生成処理部１８、運用鍵管理部１９、暗号化制御部３９を備える。

セキュアコマンド生成処理部１８は、テレメトリ／コマンド処理部１５が生成したコマンドを運用鍵により暗号化してセキュアコマンドを生成する。運用鍵管理部１９は、地上系１０と衛星２０とが予め共有した複数の運用鍵を記憶装置に記憶し、それぞれの運用鍵を一意に識別する鍵番号とそれぞれの運用鍵とを対応付けて管理する。運用鍵管理部１９は、暗号化制御部３９の指示に基づき、セキュアコマンド生成処理部１８で使用する運用鍵を出力する。暗号化制御部３９は、衛星運用インタフェース部１６から送信される制御指示に従い、コマンド暗号化装置１２の各部を制御する。例えば、制御指示に鍵変更情報が含まれている場合、暗号化制御部３９は、鍵変更情報に基づき、セキュアコマンド生成処理部１８にどの運用鍵を使用させるかを運用鍵管理部１９に指示する。また、暗号化制御部３９は、コマンド暗号化装置１２の各部の状態を示すステータス情報を衛星運用インタフェース部１６に送信する。例えば、鍵変更情報に基づき運用鍵を変更した場合、暗号化制御部３９は、セキュアコマンド生成処理部１８が実際に運用鍵を変更したか否かを確認し、結果をステータス情報として衛星運用インタフェース部１６に送信する。

さらに、追跡管制装置１１は、衛星運用インタフェース部１６内に、インタフェース部１７を備える。

インタフェース部１７は、衛星運用インタフェース部１６の説明で述べたように、運用者へのインタフェースとして、衛星２０や地上系１０に対する命令を入力装置により入力したり、テレメトリ情報や地上系１０のステータス情報（追跡管制装置１１やコマンド暗号化装置１２のステータス情報）を表示装置に表示したりする。

次に、図４に基づき、この実施の形態に係る地上系１０の動作について説明する。図４は、運用者により衛星２０に対する命令が入力された場合の、この実施の形態に係る地上系１０の動作を示すフローチャートである。

初めに、図４に基づき、運用者により通常の命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。

まず、（Ｓ１５１）では、インタフェース部１７は、運用者の操作に従い衛星２０に対する通常の命令を入力する。

次に、（Ｓ１５２）では、インタフェース部１７は、（Ｓ１５１）で入力した命令が鍵変更命令であるか否かを判定する。ここでは、インタフェース部１７は、（Ｓ１５１）で入力した命令が鍵変更命令でないと判定し（Ｓ１５２でＮＯ）、（Ｓ１５６）へ進む。

次に、（Ｓ１５６）では、インタフェース部１７は、通常コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を生成し、テレメトリ／コマンド処理部１５へ送信する。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、通常コマンドを生成する。

次に、（Ｓ１５７）では、セキュアコマンド生成処理部１８は、（Ｓ１５６）でテレメトリ／コマンド処理部１５が生成した通常コマンドを運用鍵により暗号化してセキュアコマンドを生成する。

次に、（Ｓ１５８）では、コマンド送信部１３は、（Ｓ１５７）でセキュアコマンド生成処理部１８が生成したセキュアコマンドを衛星２０へ通信装置により送信する。

次に、図４に基づき、運用者により次運用鍵が指定された場合、すなわち、運用者により次運用鍵の鍵番号が指定された鍵変更命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。なお、次運用鍵を指定するか否かは、運用者の判断により決定されるものとする。

まず、（Ｓ１５１）では、インタフェース部１７は、運用者の操作に従い衛星２０に対する鍵変更命令を入力する。

次に、（Ｓ１５２）では、インタフェース部１７は、（Ｓ１５１）で入力した命令が鍵変更命令であるか否かを判定する。ここでは、インタフェース部１７は、（Ｓ１５１）で入力した命令が鍵変更命令であると判定し（Ｓ１５２でＹＥＳ）、（Ｓ１５３）へ進む。

次に、（Ｓ１５３）では、インタフェース部１７は、鍵変更命令において、次運用鍵が指定されているか否かを判定する。ここでは、インタフェース部１７は、鍵変更命令において次運用鍵が指定されていると判定し（Ｓ１５３でＹＥＳ）、（Ｓ１５４）へ進む。

次に、（Ｓ１５４）では、インタフェース部１７は、次運用鍵の鍵番号を指定した鍵変更コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を生成し、テレメトリ／コマンド処理部１５へ送信する。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、次運用鍵の鍵番号を指定した鍵変更コマンドを生成する。

次に、（Ｓ１５７）では、セキュアコマンド生成処理部１８は、（Ｓ１５４）でテレメトリ／コマンド処理部１５が生成した鍵変更コマンドを運用鍵により暗号化してセキュアコマンドを生成する。

次に、（Ｓ１５８）では、コマンド送信部１３は、（Ｓ１５７）でセキュアコマンド生成処理部１８が生成したセキュアコマンドを衛星２０へ通信装置により送信する。

（Ｓ１５８）で、コマンド送信部１３が、鍵変更に関するセキュアコマンド（鍵変更コマンドが暗号化されたセキュアコマンド）を衛星２０へ送信した場合、衛星２０は、使用中の運用鍵を、当該鍵変更コマンドにより指定された次運用鍵に変更し、その旨を示す情報をテレメトリとして送信する。この衛星２０の詳細な動作については、後述する。テレメトリ受信部１４は、このテレメトリとして送信された情報を受信する。テレメトリ／コマンド処理部１５は、テレメトリ受信部１４が受信した情報を処理してテレメトリ情報として衛星運用インタフェース部１６へ送信する。衛星運用インタフェース部１６のインタフェース部１７は、テレメトリ情報を表示装置に表示する。これにより、運用者は、衛星２０にて鍵変更が正常になされたことを確認することが可能となる。そして、運用者は、地上系１０のコマンド暗号化装置１２で使用している運用鍵を、衛星２０で新たに使用されるものと同じ運用鍵に変更するための命令を入力することができる。

インタフェース部１７は、運用者により入力された命令に基づき、鍵変更情報を含む制御指示を、コマンド暗号化装置１２の暗号化制御部３９に送信する。この鍵変更情報は、地上系１０で次に使用する運用鍵、すなわち、次運用鍵（衛星２０が新たに使用を開始したものと同じ運用鍵）を鍵番号で指定するものである。暗号化制御部３９は、インタフェース部１７から送信された制御指示に含まれる鍵変更情報により指定された鍵番号を運用鍵管理部１９に入力する。運用鍵管理部１９は、暗号化制御部３９から入力された鍵番号に対応する次運用鍵を記憶装置から読み出し、セキュアコマンド生成処理部１８に与える。セキュアコマンド生成処理部１８は、これ以降、運用鍵管理部１９から与えられた運用鍵を使用してコマンドを暗号化することでセキュアコマンドを生成する。このように、暗号化制御部３９は、運用鍵管理部１９とセキュアコマンド生成処理部１８を処理装置により制御して、使用する運用鍵を、鍵変更情報により指定された次運用鍵（すなわち、衛星２０が新たに使用を開始したものと同じ運用鍵）に変更する。つまり、これ以降変更後の運用鍵を使用するようにセキュアコマンド生成処理部１８を制御する。

暗号化制御部３９は、使用する運用鍵を、鍵変更情報により指定された次運用鍵に変更する処理が正常に完了した場合、その旨を鍵変更通知（コマンド暗号化装置１２のステータス情報）としてインタフェース部１７に送信する。インタフェース部１７は、暗号化制御部３９から鍵変更通知を受け取ると、鍵変更通知の内容、すなわち、地上系１０における鍵変更が正常になされたこと等を表示装置に表示する。これにより、運用者は衛星２０と地上系１０とで新たな運用鍵が使用可能になったことが確認でき、その新たな運用鍵を使用してセキュアコマンドを生成及び送信するために、衛星２０に対する通常の命令を入力することが可能となる。万一、衛星２０と地上系１０の運用鍵変更処理の最中に、通常の命令がインタフェース部１７へ入力された場合は、その命令（についての処理）を棄却し、その旨を表示装置に表示する。

次に、図４に基づき、運用者により次運用鍵が指定されない場合、すなわち、運用者により次運用鍵の鍵番号が指定されない鍵変更命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。以下では、運用者により次運用鍵が指定される場合との動作の差異を主として説明する。

（Ｓ１５３）では、インタフェース部１７は、鍵変更命令において、次運用鍵が指定されているか否かを判定する。ここでは、インタフェース部１７は、鍵変更命令において次運用鍵が指定されていないと判定し（Ｓ１５３でＮＯ）、（Ｓ１５５）へ進む。

次に、（Ｓ１５５）では、インタフェース部１７は、次運用鍵の鍵番号を指定しない鍵変更コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を生成し、テレメトリ／コマンド処理部１５へ送信する。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、次運用鍵の鍵番号を指定しない鍵変更コマンドを生成する。（Ｓ１５５）の次は（Ｓ１５７）へ進み、それ以降の動作は、運用者により次運用鍵が指定される場合と同様である。

以下では、図５から図７に基づき、この実施の形態に係る衛星２０の機能と動作について説明する。

まず、図５に基づき、この実施の形態に係る衛星２０の機能について説明する。図５は、この実施の形態に係る衛星２０の機能を示す機能ブロック図である。

衛星２０は、コマンド受信部２１、衛星搭載計算機２２、テレメトリ送信部２３を備える。

コマンド受信部２１は、セキュアコマンドを地上系１０から通信装置により受信する。衛星搭載計算機２２は、コマンド受信部２１が受信したセキュアコマンドについての処理を行う。テレメトリ送信部２３は、衛星搭載計算機２２がセキュアコマンドについての処理をした結果を通信装置によりテレメトリとして送信する。

衛星搭載計算機２２は、セキュアコマンド処理部２４、テレメトリ／コマンド処理部２５を備える。セキュアコマンド処理部２４は、図２に基づき説明した通り、地上系１０から受信したセキュアコマンドの認証及び復号をして通常コマンド（平文）や鍵変更コマンド（平文）を生成する処理（図２の認証及び復号処理）を行う。また、セキュアコマンド処理部２４は、通常コマンド（平文）をテレメトリ／コマンド処理部２５へ送信するとともに、セキュアコマンド処理に関わる情報やセキュアコマンド処理部２４の動作状態や鍵変更コマンド（平文）を処理した結果等をステータス情報としてテレメトリ／コマンド処理部２５へ送信する。テレメトリ／コマンド処理部２５は、図２に基づき説明した通り、セキュアコマンド処理部２４で生成された通常コマンドを実行するコマンド処理と、コマンド処理の結果やセキュアコマンド処理部２４から送信されたステータス情報をテレメトリに変換してテレメトリ送信部２３に送信するテレメトリ処理を行う。

セキュアコマンド処理部２４は、セキュアコマンド認証及び復号処理部２６、運用鍵管理部２７、セキュリティ支援装置３０を備える。

セキュアコマンド認証及び復号処理部２６は、コマンド受信部２１が受信したセキュアコマンドを運用鍵により認証及び復号して通常コマンド（平文）や鍵変更コマンド（平文）を生成する。運用鍵管理部２７は、地上系１０と衛星２０とが予め共有した複数の運用鍵を記憶装置に記憶し、それぞれの運用鍵を一意に識別する鍵番号とそれぞれの運用鍵とを対応付けて管理する。運用鍵管理部２７は、セキュリティ支援装置３０の指示に基づき、セキュアコマンド認証及び復号処理部２６で使用する運用鍵を出力する。セキュリティ支援装置３０は、セキュアコマンド認証及び復号処理部２６、及び、運用鍵管理部２７の各部との間にインタフェースを有し、セキュアコマンド認証及び復号処理部２６が使用する運用鍵を変更する処理を支援する運用鍵変更管理支援機能を有する。

さらに、セキュリティ支援装置３０は、鍵ステータス記憶部３１、鍵ステータス判定部３２、制御部３３を備える。

鍵ステータス記憶部３１は、予め記憶した複数の運用鍵の各運用鍵が使用済であるか否かを示す鍵ステータス等の情報を使用ステータス管理テーブルとして記憶装置に記憶する。使用ステータス管理テーブルの詳細については後述する。

鍵ステータス判定部３２は、次運用鍵が指定された鍵変更コマンドに対しては、鍵ステータス記憶部３１が記憶した鍵ステータスを参照して次運用鍵が使用済であるか否かを処理装置により判定し、次運用鍵が指定されていない鍵変更コマンドに対しては、鍵ステータス記憶部３１が記憶した鍵ステータスを参照して記憶装置を検索し、未使用の運用鍵を処理装置により抽出する。前述したように、次運用鍵が指定された鍵変更コマンドは、予め記憶装置に記憶した複数の運用鍵のうちどれを次運用鍵とするかを鍵番号で指定しているものであり、次運用鍵が指定されていない鍵変更コマンドは、次運用鍵の鍵番号を指定しておらず運用鍵の変更指示のみを規定しているものである。

制御部３３は、鍵ステータス判定部３２の判定に基づき次運用鍵として使用済の運用鍵が用いられないように処理装置により制御する。また、制御部３３は、鍵ステータス判定部３２が実施する鍵変更可否判断等に必要な情報をセキュアコマンド認証及び復号処理部２６より取得し、鍵変更処理結果及び鍵変更運用に必要な情報をセキュアコマンド認証及び復号処理部２６へ出力する。

次に、図６に基づき、鍵ステータス記憶部３１が記憶する情報の一例について説明する。図６は、使用ステータス管理テーブルの一例を示す図である。

図６に示す使用ステータス管理テーブルは、運用鍵ＩＮＤＥＸ、鍵ステータス、使用実績、セキュアコマンド処理予定数、セキュアコマンド処理数の項目を有する。

運用鍵ＩＮＤＥＸは、使用ステータス管理テーブルに記憶されている運用鍵を一意に特定するパラメータである。運用鍵ＩＮＤＥＸとしては、鍵番号と異なるものを使用してもよいが、ここでは同じものとして説明する。つまり、運用鍵ＩＮＤＥＸが“１”の運用鍵の鍵番号は“１”、運用鍵ＩＮＤＥＸが“２”の運用鍵の鍵番号は“２”、・・・、運用鍵ＩＮＤＥＸが“ＮＮ”の運用鍵の鍵番号は“ＮＮ”とする。鍵ステータスは、運用鍵が使用済であるか、未使用であるか、あるいは使用中であるかを示す。使用実績は、運用鍵を使用した実績を示す。使用実績は、例えば、運用鍵の使用開始日と使用終了日とを記憶する。セキュアコマンド処理予定数は、その運用鍵でセキュアコマンドの認証及び復号処理をする予定回数を示す。セキュアコマンド処理数は、その運用鍵でセキュアコマンドの認証及び復号処理をした回数、つまり実績値を示す。

次に、図７に基づき、この実施の形態に係る衛星２０の動作について説明する。図７は、この実施の形態に係る衛星２０の動作を示すフローチャートである。

初めに、図７に基づき、地上系１０により通常コマンドを暗号化したセキュアコマンドが送信された場合の、この実施の形態に係る衛星２０の動作について説明する。

まず、（Ｓ１０１）では、コマンド受信部２１は、セキュアコマンドを地上系１０から通信装置により受信する。

次に、（Ｓ１０２）では、セキュアコマンド認証及び復号処理部２６は、（Ｓ１０１）でコマンド受信部２１が受信したセキュアコマンドを現在使用している運用鍵を使用して処理装置により認証する。セキュアコマンドの認証が取れた場合、セキュアコマンド認証及び復号処理部２６は、さらに、現在使用している運用鍵を使用してセキュアコマンドを処理装置により復号してコマンド（平文）を生成する。

次に、（Ｓ１０３）では、セキュアコマンド認証及び復号処理部２６は、生成したコマンド（平文）が鍵変更コマンドであるか否かを処理装置により判定する。ここでは、セキュアコマンド認証及び復号処理部２６は、生成したコマンド（平文）が鍵変更コマンドでないと判定し（Ｓ１０３でＮＯ）、（Ｓ１０８）へ進む。

次に、（Ｓ１０８）では、テレメトリ／コマンド処理部２５は、通常コマンドを処理装置により実行する。

次に、（Ｓ１０９）では、テレメトリ／コマンド処理部２５は、通常コマンドを実行した結果を地上系１０へテレメトリ送信部２３を介してテレメトリとして送信する。ここでは、鍵変更が実施されていないが、テレメトリ／コマンド処理部２５は、運用者の指示に基づき未使用鍵情報をテレメトリとして送信することも可能である。

次に、図７に基づき、運用者により次運用鍵が指定された場合、すなわち、地上系１０により次運用鍵の鍵番号が指定された鍵変更コマンドを暗号化したセキュアコマンドが送信された場合の、この実施の形態に係る衛星２０の動作について説明する。

まず、（Ｓ１０１）では、コマンド受信部２１は、セキュアコマンドを地上系１０から通信装置により受信する。

次に、（Ｓ１０２）では、セキュアコマンド認証及び復号処理部２６は、（Ｓ１０１）でコマンド受信部２１が受信したセキュアコマンドを現在使用している運用鍵を使用して処理装置により認証する。セキュアコマンドの認証が取れた場合、セキュアコマンド認証及び復号処理部２６は、さらに、現在使用している運用鍵を使用してセキュアコマンドを処理装置により復号してコマンド（平文）を生成する。

次に、（Ｓ１０３）では、セキュアコマンド認証及び復号処理部２６は、生成したコマンド（平文）が鍵変更コマンドであるか否かを処理装置により判定する。ここでは、セキュアコマンド認証及び復号処理部２６は、生成したコマンド（平文）が鍵変更コマンドであると判定し（Ｓ１０３でＹＥＳ）、（Ｓ１０４）へ進む。

次に、（Ｓ１０４）では、セキュアコマンド認証及び復号処理部２６は、鍵変更コマンドにおいて、次運用鍵が指定されているか否かを処理装置により判定する。ここでは、セキュアコマンド認証及び復号処理部２６は、鍵変更コマンドにおいて次運用鍵が指定されていると判定し（Ｓ１０４でＹＥＳ）、（Ｓ１０５）へ進む。

次に、（Ｓ１０５）では、鍵ステータス判定部３２は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスを参照して、鍵変更コマンドにより指定された次運用鍵が使用済であるか否かを処理装置により判定する。次運用鍵が使用済でないと判定した場合（Ｓ１０５でＮＯ）、（Ｓ１０７）へ進む。一方、次運用鍵が使用済であると判定した場合（Ｓ１０５でＹＥＳ）、（Ｓ１０９）へ進む。

次に、（Ｓ１０７）では、制御部３３は、鍵変更コマンドにより指定された鍵番号を運用鍵管理部２７に入力する。運用鍵管理部２７は、制御部３３から入力された鍵番号に対応する次運用鍵を記憶装置から読み出し、セキュアコマンド認証及び復号処理部２６に与える。セキュアコマンド認証及び復号処理部２６は、これ以降、運用鍵管理部２７から与えられた運用鍵を使用してセキュアコマンドの認証及び復号を行う。このように、制御部３３は、運用鍵管理部２７とセキュアコマンド認証及び復号処理部２６を処理装置により制御して、使用する運用鍵を、鍵変更コマンドにより指定された次運用鍵に変更する。つまり、これ以降変更後の運用鍵を使用するようにセキュアコマンド認証及び復号処理部２６を制御する。また、制御部３３は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績とを更新する。つまり、制御部３３は、これまで使用していた運用鍵の鍵ステータスを「済」とし、使用実績の使用終了日を運用鍵変更日とするとともに、次運用鍵の鍵ステータスを「使用中」とし、使用実績の使用開始日を運用鍵変更日とする。

次に、（Ｓ１０９）では、テレメトリ／コマンド処理部２５は、鍵変更コマンドの処理の結果として、鍵変更に関するステータス情報を地上系１０へテレメトリ送信部２３を介してテレメトリとして送信する。また、鍵変更の実施状況に関わらず、テレメトリ／コマンド処理部２５は、運用者の指示に基づき未使用鍵情報をテレメトリとして送信することも可能である。

上記のように、セキュリティ支援装置３０の制御部３３は、鍵変更コマンドにより指定された次運用鍵が使用済である場合、運用鍵の変更を行わず、図６に示す使用ステータス管理テーブルの更新は行わない。すなわち、セキュリティ支援装置３０の制御部３３は、次運用鍵として使用済の運用鍵が用いられないように制御する。

さらに、運用者の指示に基づき、セキュリティ支援装置３０の制御部３３は、使用済でない運用鍵を示す未使用鍵情報を地上系１０へ送信するようにテレメトリ／コマンド処理部２５を制御することが可能である。言い替えると、次運用鍵を選定するための支援情報を運用者へ提供することが可能である。

前述したように、（Ｓ１０９）でテレメトリ送信部２３が地上系１０へテレメトリを送信した後、運用者は、衛星２０が使用する運用鍵を鍵変更コマンドにより指定された次運用鍵に変更できたかどうかを、地上系１０で出力されるテレメトリにより確認する。衛星２０が運用鍵を変更できた場合は、運用者は、地上系１０で使用している運用鍵を衛星２０と同じ運用鍵に変更するための命令を地上系１０へ入力し、地上系１０の運用鍵を変更する。以上により、衛星２０と地上系１０とで新たな運用鍵が使用可能となり、運用者は新たな運用鍵を使用してセキュアコマンドを生成及び送信するために、衛星２０に対する通常の命令を地上系１０へ入力することが可能となる。また、衛星２０が使用する運用鍵を鍵変更コマンドにより指定された次運用鍵に変更できていない場合は、運用者は、必要に応じてテレメトリ情報（使用済でない運用鍵を示す未使用鍵情報）を参照して次運用鍵の再選定を行う。

なお、上記説明では、特に例外を設けることなく、一度使用されている運用鍵が再度使用されないようにするとした。しかし、衛星２０や地上系１０の動作の確認等に使用する試験鍵については再度使用されてもよい。そこで、鍵ステータス判定部３２はさらに次運用鍵が試験鍵か否かを判定し、セキュリティ支援装置３０の制御部３３は次運用鍵が試験鍵であると判定された場合には、次運用鍵が使用済である場合でも運用鍵を変更するように制御するとしてもよい。

また、鍵変更コマンドにより指定された次運用鍵が使用済である場合、セキュリティ支援装置３０の制御部３３は、未使用鍵情報を送信するように制御するとした。しかし、セキュリティ支援装置３０の制御部３３は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績を参照して、未使用の運用鍵から次運用鍵を選択して、選択した運用鍵を特定できる情報を地上系１０へ送信するようにテレメトリ／コマンド処理部２５を制御してもよい。

次に、図７に基づき、運用者により次運用鍵が指定されない場合、すなわち、地上系１０により次運用鍵の鍵番号が指定されない鍵変更コマンドを暗号化したセキュアコマンドが送信された場合の、この実施の形態に係る衛星２０の動作について説明する。以下では、運用者により次運用鍵が指定される場合との動作の差異を主として説明する。

（Ｓ１０４）では、セキュアコマンド認証及び復号処理部２６は、鍵変更コマンドにおいて、次運用鍵が指定されているか否かを処理装置により判定する。ここでは、セキュアコマンド認証及び復号処理部２６は、鍵変更コマンドにおいて次運用鍵が指定されていないと判定し（Ｓ１０４でＮＯ）、（Ｓ１０６）へ進む。

次に、（Ｓ１０６）では、鍵ステータス判定部３２は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスを参照して未使用の運用鍵を処理装置により選択し、（Ｓ１０７）へ進む。

次に、（Ｓ１０７）では、制御部３３は、鍵ステータス判定部３２により選択された運用鍵の鍵番号を運用鍵管理部２７に入力する。運用鍵管理部２７は、制御部３３から入力された鍵番号に対応する次運用鍵を記憶装置から読み出し、セキュアコマンド認証及び復号処理部２６に与える。セキュアコマンド認証及び復号処理部２６は、これ以降、運用鍵管理部２７から与えられた運用鍵を使用してセキュアコマンドの認証及び復号を行う。このように、制御部３３は、運用鍵管理部２７とセキュアコマンド認証及び復号処理部２６を処理装置により制御して、使用する運用鍵を、鍵ステータス判定部３２により指定された次運用鍵に変更する。つまり、これ以降変更後の運用鍵を使用するようにセキュアコマンド認証及び復号処理部２６を制御する。また、制御部３３は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績とを更新する。更新の仕方は、運用者により次運用鍵が指定される場合と同じである。（Ｓ１０７）の次は（Ｓ１０９）へ進み、それ以降の動作は、運用者により次運用鍵が指定される場合と同様である。

上記のように、運用者からの鍵変更命令により次運用鍵が指定されない場合は、セキュリティ支援装置３０の鍵ステータス判定部３２が、未使用の運用鍵を選択し、制御部３３が、選択された運用鍵を次運用鍵に指定するように制御する。つまり、運用者の指示によらず、セキュリティ支援装置３０の鍵ステータス判定部３２及び制御部３３が次運用鍵を決定する。

従って、この実施の形態に係る衛星通信システムによれば、次運用鍵として使用済の運用鍵が用いられることがない。さらに、必要に応じて次運用鍵として選択可能な運用鍵の情報が運用者へ提供されるため、運用者は容易に鍵変更命令で次運用鍵を指定できる。もしくは、運用者で次運用鍵を指定しなくとも、変更指示さえ送信すれば、衛星通信システムとして自動的に未使用の運用鍵を次運用鍵として選択し、鍵変更を実施することもできる。そのため、運用者の負担が軽減でき、衛星通信システムの運用セキュリティと利便性が向上できる。

実施の形態２．
実施の形態１では、衛星２０のセキュアコマンド処理部２４にセキュリティ支援装置３０を設けた場合について説明した。実施の形態２では、地上系１０にセキュリティ支援装置３０を設けた場合について説明する。

図８から図１０に基づき、この実施の形態に係る地上系１０の機能と動作について説明する。

まず、図８に基づき、地上系１０の追跡管制装置１１にセキュリティ支援装置３０を設けた場合における地上系１０の機能について説明する。図８は、地上系１０の追跡管制装置１１にセキュリティ支援装置３０を設けた場合における地上系１０の機能を示す機能ブロック図である。

地上系１０（地上装置）は、実施の形態１と同様に、追跡管制装置１１、コマンド暗号化装置１２、コマンド送信部１３、テレメトリ受信部１４を備える。

追跡管制装置１１は、図２に基づき説明した通り、運用者の操作等に基づきコマンドを生成するコマンド生成処理や、衛星２０からテレメトリとして送信された情報を処理するテレメトリ処理等を行う。コマンド暗号化装置１２は、図２に基づき説明した通り、追跡管制装置１１で生成された通常コマンド（平文）や鍵変更コマンド（平文）を運用鍵により暗号化してセキュアコマンドを生成する。コマンド送信部１３は、コマンド暗号化装置１２が生成したセキュアコマンドを衛星２０へ通信装置により送信する。テレメトリ受信部１４は、衛星２０がテレメトリとして送信した情報を通信装置により受信する。

追跡管制装置１１は、実施の形態１と同様に、テレメトリ／コマンド処理部１５、衛星運用インタフェース部１６を備える。

テレメトリ／コマンド処理部１５は、衛星運用インタフェース部１６から送信されるコマンド生成情報に基づき、コマンド（例えば、衛星２０宛ての通常コマンドや鍵変更コマンド）を生成する。また、テレメトリ／コマンド処理部１５は、テレメトリ受信部１４がテレメトリとして受信した情報を処理してテレメトリ情報として衛星運用インタフェース部１６へ送信するとともに、追跡管制装置１１のステータス情報を衛星運用インタフェース部１６へ送信する。

衛星運用インタフェース部１６は、運用者へのインタフェースを提供する。つまり、衛星運用インタフェース部１６は、運用者の操作に従い衛星２０に対する命令（例えば、通常の命令や鍵変更命令）を入力装置により入力し、命令に応じたコマンド生成情報を生成してテレメトリ／コマンド処理部１５へ送信するとともに、テレメトリ情報や追跡管制装置１１のステータス情報を表示装置に表示する。また、衛星運用インタフェース部１６は、運用者の操作に従い地上系１０に対する命令（例えば、鍵を衛星２０と同じ鍵に変更する命令）を入力装置により入力し、命令に応じた制御指示（運用鍵を変更するための鍵変更情報を含む）を後述する暗号化制御部３９へ送信するとともに、コマンド暗号化装置１２のステータス情報を受信して表示装置に表示する。

また、コマンド暗号化装置１２は、実施の形態１と同様に、セキュアコマンド生成処理部１８、運用鍵管理部１９、暗号化制御部３９を備える。

セキュアコマンド生成処理部１８は、テレメトリ／コマンド処理部１５が生成したコマンドを運用鍵により暗号化してセキュアコマンドを生成する。運用鍵管理部１９は、地上系１０と衛星２０とが予め共有した複数の運用鍵を記憶装置に記憶し、それぞれの運用鍵を一意に識別する鍵番号とそれぞれの運用鍵とを対応付けて管理する。運用鍵管理部１９は、暗号化制御部３９の指示に基づき、セキュアコマンド生成処理部１８で使用する運用鍵を出力する。暗号化制御部３９は、衛星運用インタフェース部１６から送信される制御指示に従い、コマンド暗号化装置１２の各部を制御する。例えば、制御指示に鍵変更情報が含まれている場合、暗号化制御部３９は、鍵変更情報に基づき、セキュアコマンド生成処理部１８にどの運用鍵を使用させるかを運用鍵管理部１９に指示する。また、暗号化制御部３９は、コマンド暗号化装置１２の各部の状態を示すステータス情報を衛星運用インタフェース部１６に送信する。例えば、鍵変更情報に基づき運用鍵を変更した場合、暗号化制御部３９は、セキュアコマンド生成処理部１８が実際に運用鍵を変更したか否かを確認し、結果をステータス情報として衛星運用インタフェース部１６に送信する。

この実施の形態では、追跡管制装置１１は、衛星運用インタフェース部１６内に、インタフェース部１７に加えて、セキュリティ支援装置３０を備える。

インタフェース部１７は、衛星運用インタフェース部１６の説明で述べたように、運用者へのインタフェースとして、衛星２０や地上系１０に対する命令を入力装置により入力したり、テレメトリ情報や地上系１０のステータス情報（追跡管制装置１１やコマンド暗号化装置１２のステータス情報）を表示装置に表示したりする。セキュリティ支援装置３０は、インタフェース部１７と通信して運用鍵を変更する処理を支援する運用鍵変更管理支援機能を有する。

また、セキュリティ支援装置３０は、実施の形態１のセキュリティ支援装置３０と同様に、鍵ステータス記憶部３１、鍵ステータス判定部３２、制御部３３を備える。

鍵ステータス記憶部３１は、実施の形態１の鍵ステータス記憶部３１と同様であり、例えば、図６に示す使用ステータス管理テーブルを記憶する。

鍵ステータス判定部３２は、運用者により次運用鍵が指定された場合、使用ステータス管理テーブルの鍵ステータスを参照して次運用鍵が使用済であるか否かを処理装置により判定する。つまり、鍵ステータス判定部３２は指定された運用鍵が使用済か否かを判定する。また、鍵ステータス判定部３２は、運用者により次運用鍵が指定されない場合、鍵ステータスを参照して記憶装置を検索し、未使用の運用鍵を処理装置により抽出して選択し、次運用鍵として指定する。つまり、鍵ステータス判定部３２が次運用鍵を決定する。

制御部３３は、鍵ステータス判定部３２の判定に基づき次運用鍵として使用済の運用鍵が用いられないようにインタフェース部１７を処理装置により制御する。

図８に基づき、地上系１０の追跡管制装置１１にセキュリティ支援装置３０を設けた場合における地上系１０の機能について説明したが、図９に示すように、地上系１０のコマンド暗号化装置１２にセキュリティ支援装置３０を設けてもよい。図９に示す地上系１０の機能は、原則として、図８に示す地上系１０の機能と同様である。但し、図９に示すコマンド暗号化装置１２は、暗号化制御部３９を備えていない。これは、制御部３３が暗号化制御部３９の機能を果たすからである。従って、図８に示す地上系１０においてインタフェース部１７とセキュリティ支援装置３０との間で送受信される情報、及び、インタフェース部１７と暗号化制御部３９との間で送受信される情報（具体的には、制御指示やステータス情報）は、図９に示す地上系１０においては、両方ともインタフェース部１７とセキュリティ支援装置３０との間で送受信されることとなる。

図９に示すように、地上系１０のコマンド暗号化装置１２にセキュリティ支援装置３０を設けた場合、運用鍵の管理及び利用に係る動作を行う要素（具体的には、セキュアコマンド生成処理部１８、運用鍵管理部１９、セキュリティ支援装置３０）をコマンド暗号化装置１２の一箇所で集中して管理できるため、図８に示すように、地上系１０の追跡管制装置１１にセキュリティ支援装置３０を設けた場合と比較して運用管理が容易となる。

次に、図１０に基づき、この実施の形態に係る地上系１０の動作について説明する。図１０は、運用者により衛星２０に対する命令が入力された場合の、この実施の形態に係る地上系１０の動作を示すフローチャートである。

初めに、図１０に基づき、運用者により通常の命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。ここでは、地上系１０は図８に示す構成であるとして説明する。

まず、（Ｓ２０１）では、インタフェース部１７は、運用者の操作に従い衛星２０に対する通常の命令を入力する。

次に、（Ｓ２０２）では、インタフェース部１７は、（Ｓ２０１）で入力した命令が鍵変更命令であるか否かを判定する。ここでは、インタフェース部１７は、（Ｓ２０１）で入力した命令が鍵変更命令でないと判定し（Ｓ２０２でＮＯ）、（Ｓ２０８）へ進む。

次に、（Ｓ２０８）では、インタフェース部１７は、通常コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を生成し、テレメトリ／コマンド処理部１５へ送信する。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、通常コマンドを生成する。

次に、（Ｓ２０９）では、セキュアコマンド生成処理部１８は、（Ｓ２０８）でテレメトリ／コマンド処理部１５が生成した通常コマンドを運用鍵により暗号化してセキュアコマンドを生成する。

次に、（Ｓ２１０）では、コマンド送信部１３は、（Ｓ２０９）でセキュアコマンド生成処理部１８が生成したセキュアコマンドを衛星２０へ通信装置により送信する。

次に、図１０に基づき、運用者により次運用鍵が指定された場合、すなわち、運用者により次運用鍵の鍵番号が指定された鍵変更命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。ここでも、地上系１０は図８に示す構成であるとして説明する。

まず、（Ｓ２０１）では、インタフェース部１７は、運用者の操作に従い衛星２０に対する鍵変更命令を入力する。

次に、（Ｓ２０２）では、インタフェース部１７は、（Ｓ２０１）で入力した命令が鍵変更命令であるか否かを判定する。ここでは、インタフェース部１７は、（Ｓ２０１）で入力した命令が鍵変更命令であると判定し（Ｓ２０２でＹＥＳ）、（Ｓ２０３）へ進む。

次に、（Ｓ２０３）では、インタフェース部１７は、鍵変更命令において、次運用鍵が指定されているか否かを判定する。ここでは、インタフェース部１７は、鍵変更命令において次運用鍵が指定されていると判定し（Ｓ２０３でＹＥＳ）、（Ｓ２０４）へ進む。

次に、（Ｓ２０４）では、鍵ステータス判定部３２は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスを参照して、鍵変更命令にて指定された鍵番号に対応する次運用鍵が使用済であるか否かを処理装置により判定する。次運用鍵が使用済であると判定した場合（Ｓ２０４でＹＥＳ）、（Ｓ２０５）へ進む。一方、次運用鍵が使用済でないと判定した場合（Ｓ２０４でＮＯ）、（Ｓ２０７）へ進む。

次に、（Ｓ２０７）では、制御部３３は、次運用鍵の鍵番号を指定した鍵変更コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を、インタフェース部１７に生成させ、テレメトリ／コマンド処理部１５へコマンド生成情報を送信させる。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、次運用鍵の鍵番号を指定した鍵変更コマンドを生成する。

次に、（Ｓ２０９）では、セキュアコマンド生成処理部１８は、（Ｓ２０８）でテレメトリ／コマンド処理部１５が生成した、次運用鍵の鍵番号を指定した鍵変更コマンドを運用鍵により暗号化してセキュアコマンドを生成する。

次に、（Ｓ２１０）では、コマンド送信部１３は、（Ｓ２０９）でセキュアコマンド生成処理部１８が生成したセキュアコマンドを衛星２０へ通信装置により送信する。

また、（Ｓ２０５）では、制御部３３は、例えば、指定された次運用鍵が使用済であることを表示装置に表示するようにインタフェース部１７を制御し、運用者に対して他の運用鍵を次運用鍵に指定するように促す。制御部３３は、併せて、未使用の運用鍵を示す未使用鍵情報を表示させてもよい。また、制御部３３は、インタフェース部１７をコマンド生成情報と鍵変更情報とを送信しないように制御する。

（Ｓ２１０）で、コマンド送信部１３が、次運用鍵の鍵番号を指定した鍵変更に関するセキュアコマンドを衛星２０へ送信した場合、衛星２０は、使用中の運用鍵を、当該鍵変更コマンドにより指定された次運用鍵に変更し、その旨を示す情報をテレメトリとして送信する。テレメトリ受信部１４は、このテレメトリとして送信された情報を受信する。テレメトリ／コマンド処理部１５は、テレメトリ受信部１４が受信した情報を処理してテレメトリ情報として衛星運用インタフェース部１６へ送信する。衛星運用インタフェース部１６のインタフェース部１７は、テレメトリ情報を表示装置に表示する。これにより、運用者は、衛星２０にて鍵変更が正常になされたことを確認することが可能となる。そして、運用者は、地上系１０のコマンド暗号化装置１２で使用している運用鍵を、衛星２０で新たに使用されるものと同じ運用鍵に変更するための命令を入力することができる。

実施の形態１と同様に、インタフェース部１７は、運用者により入力された命令に基づき、鍵変更情報を含む制御指示を、セキュリティ支援装置３０を介さずに直接、コマンド暗号化装置１２の暗号化制御部３９に送信する。この鍵変更情報は、地上系１０で次に使用する運用鍵、すなわち、次運用鍵（衛星２０が新たに使用を開始したものと同じ運用鍵）を鍵番号で指定するものである。暗号化制御部３９は、インタフェース部１７から送信された制御指示に含まれる鍵変更情報により指定された鍵番号を運用鍵管理部１９に入力する。運用鍵管理部１９は、暗号化制御部３９から入力された鍵番号に対応する次運用鍵を記憶装置から読み出し、セキュアコマンド生成処理部１８に与える。セキュアコマンド生成処理部１８は、これ以降、運用鍵管理部１９から与えられた運用鍵を使用してコマンドを暗号化することでセキュアコマンドを生成する。このように、暗号化制御部３９は、運用鍵管理部１９とセキュアコマンド生成処理部１８を処理装置により制御して、使用する運用鍵を、鍵変更情報により指定された次運用鍵（すなわち、衛星２０が新たに使用を開始したものと同じ運用鍵）に変更する。つまり、これ以降変更後の運用鍵を使用するようにセキュアコマンド生成処理部１８を制御する。

この実施の形態では、暗号化制御部３９は、セキュアコマンド生成処理部１８が使用する運用鍵を、鍵変更情報により指定された次運用鍵に変更する処理が正常に完了した場合、その旨を鍵変更通知（コマンド暗号化装置１２のステータス情報）としてインタフェース部１７に送信する。インタフェース部１７は、暗号化制御部３９から鍵変更通知を受け取ると、地上系１０における鍵変更が正常になされたことをセキュリティ支援装置３０の制御部３３に通知する。これを受けて、制御部３３は、実施の形態１の（Ｓ１０７）で制御部３３が更新したのと同様に、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績とを更新する。そして、制御部３３は、その旨を更新通知（追跡管制装置１１のステータス情報）としてインタフェース部１７に送信する。インタフェース部１７は、制御部３３から更新通知を受け取ると、鍵変更通知や更新通知の内容、すなわち、地上系１０における鍵変更が正常になされ、運用鍵に関する鍵ステータスと使用実績の更新が正常になされたこと等を表示装置に表示する。これにより、運用者は衛星２０と地上系１０とで新たな運用鍵が使用可能になったことが確認でき、その新たな運用鍵を使用してセキュアコマンドを生成及び送信する（セキュアコマンド通信をする）ために、衛星２０に対する通常の命令を入力することが可能となる。万一、衛星２０と地上系１０の運用鍵変更処理の最中に、通常の命令がインタフェース部１７へ入力された場合は、その命令（についての処理）を棄却し、その旨を表示装置に表示する。

ここで、地上系１０が図９に示す構成である場合には、インタフェース部１７は、運用者により入力された命令に基づき、鍵変更情報を含む制御指示を、コマンド暗号化装置１２に内蔵されたセキュリティ支援装置３０の制御部３３に送信する。制御部３３は、運用鍵管理部１９とセキュアコマンド生成処理部１８を処理装置により制御して、使用する運用鍵を、インタフェース部１７から送信された制御指示に含まれる鍵変更情報により指定された次運用鍵に変更する。そして、制御部３３は、使用する運用鍵を、鍵変更情報により指定された次運用鍵に変更する処理が正常に完了した場合、実施の形態１の（Ｓ１０７）で制御部３３が更新したのと同様に、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績とを更新する。引き続き、制御部３３は、その旨を鍵変更通知としてインタフェース部１７に送信する。その後の動作は、上述した図８に示す構成である場合と同様である。

次に、図１０に基づき、運用者により次運用鍵が指定されない場合、すなわち、運用者により次運用鍵の鍵番号が指定されない鍵変更命令が入力された場合の、この実施の形態に係る地上系１０の動作について説明する。ここでも、地上系１０は図８に示す構成であるとして説明する。以下では、運用者により次運用鍵が指定される場合との動作の差異を主として説明する。

（Ｓ２０３）では、インタフェース部１７は、鍵変更命令において、次運用鍵が指定されているか否かを判定する。ここでは、インタフェース部１７は、鍵変更命令において次運用鍵が指定されていないと判定し（Ｓ２０３でＮＯ）、（Ｓ２０６）へ進む。

次に、（Ｓ２０６）では、鍵ステータス判定部３２は、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスを参照して未使用の運用鍵を処理装置により選択し、（Ｓ２０７）へ進む。

次に、（Ｓ２０７）では、制御部３３は、鍵ステータス判定部３２により選択された運用鍵を次運用鍵として指定した鍵変更コマンドをテレメトリ／コマンド処理部１５に生成させるためのコマンド生成情報を、インタフェース部１７に生成させ、テレメトリ／コマンド処理部１５へコマンド生成情報を送信させる。そして、テレメトリ／コマンド処理部１５は、送信されたコマンド生成情報に基づき、次運用鍵を指定した鍵変更コマンドを生成する。（Ｓ２０７）の次は（Ｓ２０９）へ進み、それ以降の動作は、運用者により次運用鍵が指定される場合と同様である。

以上をまとめると、運用者からの鍵変更命令により次運用鍵が指定される場合、実施の形態１と同様に、セキュリティ支援装置３０の制御部３３は、鍵変更命令により指定された次運用鍵が使用済である場合、運用鍵の変更を行わず、図６に示す使用ステータス管理テーブルの更新は行わない。さらに、セキュリティ支援装置３０の制御部３３は、鍵変更コマンドの生成もしないように制御する。すなわち、セキュリティ支援装置３０の制御部３３は、次運用鍵として使用済の運用鍵が用いられないように制御する。

さらに、鍵変更命令により指定された次運用鍵が使用済である場合、セキュリティ支援装置３０の制御部３３は、使用済でない運用鍵を示す未使用鍵情報を運用者へ伝え、未使用の運用鍵を指定するように促すことが可能である。

一方、運用者からの鍵変更命令により次運用鍵が指定されない場合は、セキュリティ支援装置３０の鍵ステータス判定部３２が、未使用の運用鍵を選択し、制御部３３が、選択された運用鍵を次運用鍵に指定するように制御する。

つまり、運用者の指示によらず、セキュリティ支援装置３０の鍵ステータス判定部３２及び制御部３３が次運用鍵を決定する。

従って、この実施の形態に係る衛星通信システムによれば、実施の形態１と同様に、次運用鍵として使用済の運用鍵が用いられることがない。さらに、必要に応じて次運用鍵として選択可能な運用鍵の情報が運用者へ提供されるため、運用者は容易に鍵変更命令で次運用鍵を指定できる。もしくは、運用者で次運用鍵を指定しなくとも、変更指示さえ送信すれば、衛星通信システムとして自動的に未使用の運用鍵を次運用鍵として選択し、鍵変更を実施することもできる。そのため、運用者の負担が軽減でき、衛星通信システムの運用セキュリティと利便性が向上できる。

実施の形態３．
実施の形態１で図７に基づき説明した例と実施の形態２で図１０に基づき説明した例では、運用者は、衛星２０にて鍵変更が正常になされたことを確認した上で、地上系１０で使用している運用鍵を、衛星２０で新たに使用されるものと同じ運用鍵に変更するための命令を入力するものとしていた。さらに、運用者は、衛星２０と地上系１０とで新たな運用鍵が使用可能になったことを確認した上で、新たな運用鍵によるセキュアコマンド通信を開始することとしていた。上記の一連の処理において、衛星２０にて鍵変更が正常になされた場合に地上系１０で使用している運用鍵を衛星２０で新たに使用されるものと同じ運用鍵に変更するための命令を入力する作業（地上系１０の運用鍵変更作業）は、運用者が実施しているが、この作業は自動化することも可能である。この実施の形態は、実施の形態２で、運用者により次運用鍵が指定される場合において、運用者による地上系１０の運用鍵変更作業を自動化するものである。なお、以下の説明では、地上系１０の構成を図８に示したものとしている。

実施の形態２と同様に、（Ｓ２１０）で、コマンド送信部１３が、次運用鍵を指定した鍵変更に関するセキュアコマンドを衛星２０へ送信した場合、衛星２０は、使用中の運用鍵を、当該鍵変更コマンドにより指定された次運用鍵に変更し、その旨を示す情報をテレメトリとして送信する。テレメトリ受信部１４は、このテレメトリとして送信された情報を受信する。テレメトリ／コマンド処理部１５は、テレメトリ受信部１４が受信した情報を処理してテレメトリ情報として衛星運用インタフェース部１６へ送信する。衛星運用インタフェース部１６のインタフェース部１７は、テレメトリ情報を表示装置に表示する。これにより、運用者は、衛星２０にて鍵変更が正常になされたことを確認することが可能となる。

この実施の形態では、インタフェース部１７は、衛星２０の鍵変更が正常になされた場合は、テレメトリ情報に基づき、鍵変更情報を含む制御指示を運用者からの命令無しで自動的にコマンド暗号化装置１２の暗号化制御部３９に送信する。ここで、テレメトリ情報とは、衛星２０がこれから使用する運用鍵、すなわち、次運用鍵を鍵番号で指定するものである。また、鍵変更情報とは、地上系１０で次に使用する運用鍵、すなわち、衛星２０がこれから使用する次運用鍵を鍵番号で指定するものである。つまり、テレメトリ情報と鍵変更情報とは、同じ運用鍵を鍵番号で指定するものである。実施の形態２と同様に、暗号化制御部３９は、インタフェース部１７から送信された制御指示に含まれる鍵変更情報により指定された鍵番号を運用鍵管理部１９に入力する。運用鍵管理部１９は、暗号化制御部３９から入力された鍵番号に対応する次運用鍵を記憶装置から読み出し、セキュアコマンド生成処理部１８に与える。セキュアコマンド生成処理部１８は、これ以降、運用鍵管理部１９から与えられた運用鍵を使用してコマンドを暗号化することでセキュアコマンドを生成する。

実施の形態２と同様に、暗号化制御部３９は、セキュアコマンド生成処理部１８が使用する運用鍵を、鍵変更情報により指定された次運用鍵に変更する処理が正常に完了した場合、その旨を鍵変更通知（コマンド暗号化装置１２のステータス情報）としてインタフェース部１７に送信する。インタフェース部１７は、暗号化制御部３９から鍵変更通知を受け取ると、地上系１０における鍵変更が正常になされたことをセキュリティ支援装置３０の制御部３３に通知する。これを受けて、制御部３３は、実施の形態１の（Ｓ１０７）で制御部３３が更新したのと同様に、鍵ステータス記憶部３１が図６に示す使用ステータス管理テーブルに格納した鍵ステータスと使用実績とを更新する。そして、制御部３３は、その旨を更新通知（追跡管制装置１１のステータス情報）としてインタフェース部１７に送信する。

この実施の形態では、インタフェース部１７は、制御部３３から更新通知を受け取ると、実施の形態２と同様に、鍵変更通知や更新通知の内容、すなわち、地上系１０における鍵変更が正常になされ、運用鍵に関する鍵ステータスと使用実績の更新が正常になされたこと等を表示装置に表示する。これにより、運用者は衛星２０と地上系１０とで新たな運用鍵が使用可能になったことが確認でき、その新たな運用鍵を使用してセキュアコマンドを生成及び送信する（セキュアコマンド通信をする）ために、衛星２０に対する通常の命令を入力することが可能となる。

実施の形態４．
実施の形態４では、運用鍵の変更を運用者へ促し、運用計画に基づき確実に運用鍵を変更可能とするセキュリティ支援装置３０を衛星２０側に設ける場合について説明する。

図１１と図１２とに基づき、この実施の形態に係る衛星２０の機能と動作について説明する。

まず、図１１に基づき、この実施の形態に係る衛星２０の機能について説明する。図１１は、この実施の形態に係る衛星２０の機能を示す機能ブロック図である。この実施の形態に係る衛星２０は、実施の形態１に係る衛星２０と概ね同様である。そこで、この実施の形態に係る衛星２０について、実施の形態１に示す衛星２０と異なる部分のみを説明する。

この実施の形態に係る衛星２０のセキュリティ支援装置３０は、実施の形態１に係る衛星２０のセキュリティ支援装置３０の機能に加え、カウンタ部３４、鍵変更判断支援部３５を備える。

カウンタ部３４は、地上系１０から受信するセキュアコマンドを衛星２０が通信した回数を処理装置によりカウントする。セキュアコマンドを通信した回数のカウント方法としては、例えば、コマンド受信部２１がセキュアコマンドを受信した回数をカウントする方法、もしくは、セキュアコマンド認証及び復号処理部２６がセキュアコマンドを正常に処理した回数をカウントする方法が考えられる。この実施の形態では、後者をセキュアコマンド処理数のカウント方法とする。すなわち、カウンタ部３４は、セキュアコマンドの認証及び復号が成功する度に、図６に示す使用ステータス管理テーブルにおいて、鍵ステータスが使用中となっている（現在使用中の）運用鍵のセキュアコマンド処理数を“＋１”インクリメントする。

鍵変更判断支援部３５は、図６に示す使用ステータス管理テーブルにおいて、鍵ステータスが使用中となっている（現在使用中の）運用鍵についてのセキュアコマンド処理数がセキュアコマンド処理予定数に到達した場合、運用鍵を変更することを促す鍵変更判断支援情報を生成し、制御部３３の指示に基づき、セキュアコマンド認証及び復号処理部２６へ送信する。鍵変更判断支援情報はテレメトリ／コマンド処理部２５を経由してテレメトリに変換され、テレメトリ送信部２３が通信装置により地上系１０へ送信する。つまり、鍵変更判断支援情報は運用者へ通知される。

次に、図１２に基づき、この実施の形態に係る衛星２０の動作について説明する。図１２は、この実施の形態に係る衛星２０の動作を示すフローチャートである。ここでは、特に運用鍵の変更を運用者へ促す動作についてのみ説明する。

まず、（Ｓ４０１）では、コマンド受信部２１は、セキュアコマンドを地上系１０から通信装置により受信する。

次に、（Ｓ４０２）では、セキュアコマンド認証及び復号処理部２６は、（Ｓ４０１）でコマンド受信部２１が受信したセキュアコマンドを現在使用している運用鍵を使用して処理装置により認証する。セキュアコマンドの認証が取れた場合、セキュアコマンド認証及び復号処理部２６は、さらに、現在使用している運用鍵を使用してセキュアコマンドを処理装置により復号してコマンド（平文）を生成する。

次に、（Ｓ４０３）では、カウンタ部３４は、（Ｓ４０２）でセキュアコマンド認証及び復号処理部２６がセキュアコマンドの認証及び復号に成功すると、図６に示す使用ステータス管理テーブルにおいて、鍵ステータスが使用中となっている（現在使用中の）運用鍵のセキュアコマンド処理数を“＋１”インクリメントする。

次に、（Ｓ４０４）では、鍵変更判断支援部３５は、図６に示す使用ステータス管理テーブルにおいて、鍵ステータスが使用中となっている（現在使用中の）運用鍵についてのセキュアコマンド処理数がセキュアコマンド処理予定数以上であるか否かを処理装置により判定する。セキュアコマンド処理数がセキュアコマンド処理予定数以上である場合（Ｓ４０４でＹＥＳ）、（Ｓ４０５）へ進む。一方、セキュアコマンド処理数がセキュアコマンド処理予定数未満である場合（Ｓ４０４でＮＯ）、処理を終了する。

次に、（Ｓ４０５）では、鍵変更判断支援部３５は、運用鍵を変更することを促す鍵変更判断支援情報を生成し、制御部３３の指示に基づき、セキュアコマンド認証及び復号処理部２６へ鍵変更判断支援情報を送信する。鍵変更判断支援情報は、セキュアコマンド認証及び復号処理部２６からテレメトリ／コマンド処理部２５へステータス情報の１つとして送信されてテレメトリに変換され、テレメトリ送信部２３により地上系１０へテレメトリとして送信される。

上記のように、現在の運用鍵を使用してのセキュアコマンド処理数がセキュアコマンド処理予定数に到達するとそれ以降は、運用鍵が変更されない限り、セキュアコマンドを衛星２０が受信し、そのセキュアコマンドが衛星２０にて正常に処理されるたびに鍵変更判断支援部３５にて鍵変更判断支援情報が生成され、地上系１０へテレメトリとして送信される。

また、運用者が、地上系１０で受信した鍵変更判断支援情報に基づき、衛星２０及び地上系１０の運用鍵を変更した後の衛星２０の動作は以下の通りである。

セキュアコマンド処理数は運用鍵毎にカウントされることから、変更後の運用鍵に関するセキュアコマンド処理数は、変更後の運用鍵を使用してセキュアコマンドが正常に処理された回数が所定の回数に到達するまではセキュアコマンド処理予定数未満であるため、カウンタ部３４での判断（Ｓ４０４でＮＯ）に基づき、セキュリティ支援装置３０は、鍵変更判断支援情報の生成及び送信を停止する。

従って、この実施の形態に係る衛星通信システムによれば、運用鍵を変更すべき状態となった場合に、衛星通信システムが自動的に運用鍵の変更要否判断支援情報を運用者へ提供する。そのため、運用者の負担が軽減でき、衛星通信システムの運用の利便性と確実性が向上する。

図１２ではセキュアコマンド処理数がセキュアコマンド処理予定数以上である場合に鍵変更判断支援情報を送信するとした。しかし、セキュアコマンド処理数がセキュアコマンド処理予定数に近づいた場合に鍵変更判断支援情報を送信するとしてもよい。つまり、セキュアコマンド処理数がセキュアコマンド処理予定数まで達する前に運用鍵の変更を促す。ここで、近づいたとは、処理予定数より少ない所定数に到達したことを意味する。また、所定数とは、例えば、定数であってもよいし、処理予定数に対して特定の割合の数であるとしてもよい。

また、図６に示す各運用鍵（ＩＮＤＥＸ）におけるセキュアコマンド処理予定数は、衛星２０の製造時に組み込む固定値とするか、又は、衛星２０の製造時には可変の初期値を組み込んでおき、衛星２０の運用時に地上系１０からコマンドにより適宜変更可能とする。また、セキュアコマンド処理予定数をコマンドにより可変とする場合には上限値と下限値を予め決めておき、この範囲で変更可能であるとしてもよい。さらに、使用済となった運用鍵に関するセキュアコマンド処理予定数とセキュアコマンド処理数の運用実績値を必要に応じて地上系１０へ配信可能とし、今後の衛星通信システム運用の参考情報としてもよい。

上記のように、本実施の形態に係るセキュリティ支援装置は、例えば、衛星を追跡管制する地上装置と衛星とが予め複数の運用鍵を記憶し、上記複数の運用鍵から選択した所定の運用鍵を使用して暗号化したコマンドを、上記地上装置と上記衛星との間で通信する衛星通信システムのセキュリティ支援装置であり、
上記所定の運用鍵を使用して暗号化したコマンドを通信した回数をカウントするカウンタ部と、
上記カウンタ部がカウントした回数が所定の回数になった場合、上記所定の運用鍵を上記複数の運用鍵から選択した他の運用鍵へ変更することを促す鍵変更判断支援情報を生成する鍵変更判断支援部と
を備えることを特徴とする。

本実施の形態に係るセキュリティ支援装置は、各運用鍵を使用して暗号化したコマンドの通信回数をカウントし、予め定めた回数に達した場合に運用鍵の変更を運用者等へ促す。従って、運用計画に基づき確実に運用鍵を変更可能とすることが可能となる。

実施の形態５．
実施の形態４では、運用鍵の変更を運用者へ促し、運用計画に基づき確実に運用鍵を変更可能とするセキュリティ支援装置３０を衛星２０側に設ける例について説明した。しかし、運用鍵の変更を運用者へ促し、運用計画に基づき確実に運用鍵を変更可能とするセキュリティ支援装置３０を地上系１０に設けてもよい。

この場合、図８又は図９に示す実施の形態２に係る地上系１０のセキュリティ支援装置３０の内部に、実施の形態４で説明したカウンタ部３４、鍵変更判断支援部３５を追加する。

カウンタ部３４と鍵変更判断支援部３５の機能及び動作は、実施の形態４で説明した内容と概ね同様であるが、地上系１０にセキュリティ支援装置３０を設けることに伴う差異が存在する。すなわち、カウンタ部３４においてセキュアコマンドを通信した回数のカウント方法として、例えば、コマンド送信部１３がセキュアコマンドを送信した回数をカウントする方法、もしくは、セキュアコマンド生成処理部１８がセキュアコマンドを生成した回数をカウントする方法が考えられる。また、鍵変更判断支援部３５は、運用鍵を変更することを促す鍵変更判断支援情報を生成し、制御部３３の指示に基づき、インタフェース部１７へ送信する。インタフェース部１７は、鍵変更判断支援情報を表示装置に表示させ、運用者へ伝える。

従って、この実施の形態に係る衛星通信システムによれば、実施の形態４と同様に、運用鍵を変更すべき状態となった場合に、衛星通信システムが自動的に運用鍵の変更要否判断支援情報を運用者へ提供する。そのため、運用者の負担が軽減でき、衛星通信システムの運用の利便性と確実性が向上する。

実施の形態６．
上記実施の形態では、地上系１０又は衛星２０のいずれか一方がセキュリティ支援装置３０を備えている場合について説明した。しかし、地上系１０と衛星２０とのいずれもがセキュリティ支援装置３０を備えているとしてもよい。

但し、この場合、運用鍵変更管理支援機能を地上系１０と衛星２０に対して分割して備える構成とする。例えば、衛星２０のセキュリティ支援装置３０には使用済の運用鍵が再使用されることを防止する機能を備え、地上系１０のセキュリティ支援装置３０には運用鍵の変更を運用者へ促し、運用計画に基づき確実に運用鍵を変更可能とする機能を備える構成とする。又は、その逆で、衛星２０のセキュリティ支援装置３０には、運用鍵の変更を運用者へ促し、運用計画に基づき確実に運用鍵を変更可能とする機能を備え、地上系１０のセキュリティ支援装置３０には使用済の運用鍵が再使用されることを防止する機能を備える構成とする。

セキュリティ支援装置３０ハードウェア構成の一例を示す図。 実施の形態に係る衛星通信システムの全体概要図。 実施の形態１に係る地上系１０の機能を示す機能ブロック図。 実施の形態１に係る地上系１０の動作を示すフローチャート。 実施の形態１に係る衛星２０の機能を示す機能ブロック図。 使用ステータス管理テーブルの一例を示す図。 実施の形態１に係る衛星２０の動作を示すフローチャート。 実施の形態２に係る、地上系１０の追跡管制装置１１にセキュリティ支援装置３０を設けた場合における地上系１０の機能を示す機能ブロック図。 実施の形態２に係る、地上系１０のコマンド暗号化装置１２にセキュリティ支援装置３０を設けた場合における地上系１０の機能を示す機能ブロック図。 実施の形態２に係る地上系１０の動作を示すフローチャート。 実施の形態４に係る衛星２０の機能を示す機能ブロック図。 実施の形態４に係る衛星２０の動作を示すフローチャート。

符号の説明

１０ 地上系、１１ 追跡管制装置、１２ コマンド暗号化装置、１３ コマンド送信部、１４ テレメトリ受信部、１５，２５ テレメトリ／コマンド処理部、１６ 衛星運用インタフェース部、１７ インタフェース部、１８ セキュアコマンド生成処理部、１９，２７ 運用鍵管理部、２０ 衛星、２１ コマンド受信部、２２ 衛星搭載計算機、２３ テレメトリ送信部、２４ セキュアコマンド処理部、２６ セキュアコマンド認証及び復号処理部、３０ セキュリティ支援装置、３１ 鍵ステータス記憶部、３２ 鍵ステータス判定部、３３ 制御部、３４ カウンタ部、３５ 鍵変更判断支援部、３９ 暗号化制御部、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード。

Claims (6)

1. 衛星を追跡管制する地上装置と衛星とが予め複数の運用鍵を記憶し、上記複数の運用鍵の中から選択した所定の運用鍵を使用して暗号化したコマンドを、上記地上装置と上記衛星との間で通信する衛星通信システムのセキュリティ支援装置であり、
   上記複数の運用鍵の各運用鍵が使用済であるか否かを示す鍵ステータスを記憶装置に記憶する鍵ステータス記憶部と、
   上記所定の運用鍵を上記複数の運用鍵の中から選択した他の運用鍵に変更する鍵変更命令が上記地上装置へ入力された場合、上記鍵ステータス記憶部が記憶した鍵ステータスを参照して、上記鍵変更命令により変更され今後使用される次運用鍵として使用済の運用鍵が用いられないように制御する制御部と
   を備えることを特徴とするセキュリティ支援装置。
2. 上記セキュリティ支援装置は、さらに、
   上記地上装置へ次運用鍵を指定した鍵変更命令が入力された場合、上記鍵ステータスを参照して、上記鍵変更命令が指定した次運用鍵が使用済であるか否かを判定する鍵ステータス判定部を備え、
   上記制御部は、次運用鍵が使用済であると上記鍵ステータス判定部が判定した場合、上記鍵変更命令により運用鍵が次運用鍵に変更されないように制御する
   ことを特徴とする請求項１記載のセキュリティ支援装置。
3. 上記制御部は、次運用鍵が使用済であると上記鍵ステータス判定部が判定した場合、上記地上装置へ使用済でない運用鍵を示す未使用鍵情報を通知する
   ことを特徴とする請求項１又は２に記載のセキュリティ支援装置。
4. 上記制御部は、上記地上装置へ次運用鍵を指定しない鍵変更命令が入力された場合、上記鍵ステータスを参照して、上記複数の運用鍵の中から使用済でない運用鍵を選択し、上記所定の運用鍵を、選択した運用鍵に変更するように制御する
   ことを特徴とする請求項１から３までのいずれかに記載のセキュリティ支援装置。
5. 上記セキュリティ支援装置は、さらに、
   上記所定の運用鍵を使用して暗号化したコマンドを通信した回数をカウントするカウンタ部と、
   上記カウンタ部がカウントした回数が所定の回数になった場合、上記所定の運用鍵を変更することを促す鍵変更判断支援情報を生成する鍵変更判断支援部と
   を備えることを特徴とする請求項１から４までのいずれかに記載のセキュリティ支援装置。
6. 衛星を追跡管制する地上装置と衛星とが予め複数の運用鍵を記憶し、上記複数の運用鍵の中から選択した所定の運用鍵を使用して暗号化したコマンドを、上記地上装置と上記衛星との間で通信する衛星通信システムのセキュリティ支援装置であり、
   上記所定の運用鍵を使用して暗号化したコマンドを通信した回数をカウントするカウンタ部と、
   上記カウンタ部がカウントした回数が所定の回数になった場合、上記所定の運用鍵を上記複数の運用鍵の中から選択した他の運用鍵へ変更することを促す鍵変更判断支援情報を生成する鍵変更判断支援部と
   を備えることを特徴とするセキュリティ支援装置。

Images