JP2013192169A - 通信装置及びネットワーク認証システム - Google Patents

通信装置及びネットワーク認証システム Download PDF

Info

Publication number
JP2013192169A
JP2013192169A JP2012058692A JP2012058692A JP2013192169A JP 2013192169 A JP2013192169 A JP 2013192169A JP 2012058692 A JP2012058692 A JP 2012058692A JP 2012058692 A JP2012058692 A JP 2012058692A JP 2013192169 A JP2013192169 A JP 2013192169A
Authority
JP
Japan
Prior art keywords
network
key
authentication
communication device
control device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2012058692A
Other languages
English (en)
Inventor
Hiroki Uchiyama
宏樹 内山
Tadashi Kaji
忠司 鍛
Toshihiko Nakano
利彦 中野
Satoshi Okubo
訓 大久保
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2012058692A priority Critical patent/JP2013192169A/ja
Publication of JP2013192169A publication Critical patent/JP2013192169A/ja
Pending legal-status Critical Current

Links

Images

Abstract

【課題】
簡単な構成でネットワーク内の安全性を向上させ得る通信装置及びネットワーク認証システム。
【解決手段】
同一のネットワークに接続された他の通信装置を認証する通信装置において、ネットワークに新規に通信装置を接続する場合及びネットワークから他の通信装置を削除する場合に動作モードを切り替えるモード切替部と、自装置用の暗号鍵を生成する鍵生成部と、暗号鍵と共有鍵とが格納された鍵情報リストを管理する鍵管理部と、共有鍵を用いて他の通信装置に対する認証処理を行う認証処理部と、ネットワーク内の複数の通信装置に対する認証状態が格納された装置リストを管理する装置管理部とを備え、鍵生成部は、自身の暗号鍵と他の通信装置における別の暗号鍵とを所定のアルゴリズムに適用することにより他の通信装置の鍵生成部で生成される共有鍵と同一の共有鍵を生成し、装置管理部は、認証済みの通信装置との間で通信を許可する。
【選択図】図１

Description

本発明は、通信装置及びネットワーク認証システムに関し、社会インフラシステムを構成するネットワークに適用して好適なものである。
電力、鉄道、水道、又はガスといった社会インフラを管理するネットワークシステムには、バルブやポンプ等の物理デバイスを制御するための制御装置（コントローラ）が設けられている。ネットワークシステムのコントローラは、他のコントローラ及び上位のサーバとネットワークを介して接続され、コントローラ自身が収集したセンサの検出情報と、他のコントローラ及び上位のサーバから受信した情報とに基づいて、物理デバイスを制御する。
また、社会インフラ用のネットワークには性能要件の充足や動作の安定性が求められる。そして、従来から社会インフラ用に用いられているネットワークは、他のネットワークとは物理的に隔離されて専用のプロトコルが使用されることが多いことから、ネットワーク内では平文による通信が行われていた。
しかし、近年では、制御処理の効率化のために社会インフラ用のネットワークが他の様々なシステムと相互に接続され、コスト削減のために汎用のネットワークや汎用のプロトコルが使用されるようになっている。その結果、ネットワーク内のデータに対する盗聴や改ざん、及び、ネットワークに不正な装置を接続して行われるＤｏＳ攻撃（Denial of Service attack）等による危険性が高まってきた。
このような従来の社会インフラ用のネットワークにおける危険性を防止するために、以下に示す技術が開示されている。
例えば、特許文献１には、安全な閉域グループを実現する通信方法が開示されている。特許文献１に開示された通信方法では、既存の装置内で共有しているグループ鍵を新規装置に対して安全に配布し、ネットワーク内のデータに対する盗聴や改ざんを防止する。
また、例えば、非特許文献１には、ネットワーク内に認証サーバを構築し、新規装置は認証サーバとの認証が完了するまでは他の装置と通信できないように制御することにより、ネットワーク内における不正な装置の接続を排除する技術が開示されている。
特開２００２−１１１６７９号公報
ＲＦＣ２８６５、"Remote Authentication Dial In UserService (RADIUS)"、［online］、［２０１１年１２月２６日検索］、インターネット＜URL: http://www.ietf.org/rfc/rfc2865.txt＞
しかし、特許文献１に開示された閉域グループの通信方法では、閉域グループに不正な装置が接続された場合に、当該装置が正当な装置であるか否かを判定する処理がないため、不正な装置が正当な装置と同様の処理を実行することができ、不正な装置の接続によるＤｏＳ攻撃等の危険性を排除することができないという問題がある。また、特許文献１に開示された閉域グループの通信方法は、グループ鍵の配送に公開鍵暗号を使用するので、処理性能の要件が厳しい社会インフラ用のネットワークシステムにそのまま適用することが難しい。
また、非特許文献１に開示された不正な装置を排除する技術では、新規装置は認証サーバとの認証が完了するまでは他の装置と通信できないことから、不正者による攻撃や不具合によって認証サーバがダウンした場合には、ネットワークシステムにどの装置も接続できなくなるという可用性の問題がある。また、非特許文献１に開示された技術では、認証サーバと新規装置との間で認証を行うために、事前に何らかの秘密情報を共有しておく必要があり、秘密情報を管理するための構成上及び処理部の負荷が増大してしまう。
本発明は以上の点を考慮してなされたもので、簡単な構成でネットワーク内の安全性を向上させ得る通信装置及びネットワーク認証システムを提案しようとするものである。
かかる課題を解決するため本発明においては、同一のネットワークに接続された他の通信装置を認証する通信装置において、前記ネットワークに新規に前記通信装置を接続する場合及び前記ネットワークから前記他の通信装置を削除する場合に、内部状態に応じて設定される複数の動作モードを切り替えるモード切替部と、自通信装置が使用する暗号鍵を生成する鍵生成部と、前記暗号鍵と前記ネットワークに接続された前記複数の通信装置によって使用される共有鍵とが格納された鍵情報リストを管理する鍵管理部と、前記鍵情報リストに格納された共有鍵を用いて前記他の通信装置に対する認証処理を行う認証処理部と、前記ネットワークに接続された複数の前記通信装置に対する認証状態が格納された装置リストを管理する装置管理部とを備え、前記鍵生成部は、自身が生成した前記暗号鍵と他の前記通信装置における前記鍵生成部で生成された別の暗号鍵とを所定のアルゴリズムに適用することにより、前記他の通信装置の前記鍵生成部で生成される共有鍵と同一の前記共有鍵を生成し、前記装置管理部は、認証状態が認証済みである他の前記通信装置との間で通信を許可する通信装置が提供される。
また、かかる課題を解決するため本発明においては、ネットワークと、前記ネットワークに接続されて相互に認証する複数の前記通信装置とを備えたネットワーク認証システムにおいて、それぞれの前記通信装置は、前記ネットワークに新規に前記通信装置を接続する場合及び前記ネットワークから前記他の通信装置を削除する場合に、内部状態に応じて設定される複数の動作モードを切り替えるモード切替部と、自通信装置が使用する暗号鍵を生成する鍵生成部と、前記暗号鍵と前記ネットワークに接続された前記複数の通信装置によって使用される共有鍵とが格納された鍵情報リストを管理する鍵管理部と、前記鍵情報リストに格納された共有鍵を用いて前記他の通信装置に対する認証処理を行う認証処理部と、前記ネットワークに接続された複数の前記通信装置に対する認証状態が格納された装置リストを管理する装置管理部とを有し、前記鍵生成部は、自身が生成した前記暗号鍵と他の前記通信装置における前記鍵生成部で生成された別の暗号鍵とを所定のアルゴリズムに適用することにより、前記他の通信装置の前記鍵生成部で生成される共有鍵と同一の前記共有鍵を生成し、前記装置管理部は、認証状態が認証済みである前記他の通信装置との間で通信を許可するネットワーク認証システムが提供される。
本発明によれば、簡単な構成でネットワーク内の安全性を向上させ得る。
第１の実施の形態によるネットワーク認証システムの構成を示すブロック図である。 図１の各装置のハードウェア構成例を示すブロック図である。 動作モードを説明する遷移図である。 新規追加される装置の初期化処理の手続を示すフローチャートである。 新規追加された装置に対する認証処理の手続を示すフローチャートである。 新規追加された装置からのコマンド実行処理（その１）の手続を示すフローチャートである。 新規追加された装置からのコマンド実行処理（その２）の手続を示すフローチャートである。 認証結果の有効期限が切れた装置の再認証処理の手続を示すフローチャートである。 装置の停止処理の手続を示すフローチャートである。 装置の削除処理の手続を示すフローチャートである。 鍵更新の処理手続を示すフローチャートである。 セキュリティ情報の収集処理の手続を示すフローチャートである。 第２の実施の形態によるネットワーク認証システムの構成を示すブロック図である。 新ネットワーク側の装置から旧ネットワーク側の装置へのコマンド送信の処理手続を示すフローチャートである。 旧ネットワーク側の装置から新ネットワーク側の装置へのコマンド送信の処理手続を示すフローチャートである。 装置リストのテーブル構成例を示す説明図である。 鍵情報リストのテーブル構成例を示す説明図である。 モード通知情報のテーブル構成例を示す説明図である。
（１）第１の実施の形態
（１−１）本実施の形態によるネットワーク認証システムの構成
図１において、１は全体として第１の実施の形態によるネットワーク認証システムを示す。ネットワーク認証システム１は、ネットワーク４０に新たに接続される新規制御装置１０、ネットワーク４０に既に接続されている既存制御装置２０Ａ〜２０Ｎ（以下、既存制御装置２０と表すこともある。）、ネットワーク４０に接続される装置を監視する監視装置３０、及び、これらの装置が接続されるネットワーク４０を備える。
また、新規制御装置１０は、図２に示すように、通信制御を行う通信装置１１と、装置に対する入出力を制御する入出力装置１２と、各種のデータやプログラムを格納する記憶装置１３と、記憶装置１３に格納されたプログラムの実行によって装置内の各部を制御する制御装置（ＣＰＵ：Central Processing Unit）１４と、ＣＰＵ１４によるプログラムの実行の際にプログラムがロードされて使用されるメモリ１５とが、内部信号線１８によって連結されてなる。さらに、記憶媒体１７からデータやプログラムの入力が行われる場合には、記憶媒体１７からデータを読み込む読取装置１６が設けられてもよい。さらに、ＣＰＵ１４が実行するプログラムは、ネットワーク４０又はネットワーク４０を伝播する搬送波等の通信媒体を介して、必要なタイミングで新規制御装置１０に導入されるようにしてもよい。
なお、図２に示すハードウェア構成は、ネットワーク認証システム１に備えられる既存制御装置２０及び監視装置３０においても同様であり、例えば、既存制御装置２０では、通信装置２１と、入出力装置２２と、記憶装置２３と、ＣＰＵ２４と、メモリ２５と、記憶媒体２７が挿入される読取装置２６とが、バス２８を介して連結される。また、例えば、監視装置３０では、通信装置３１と、入出力装置３２と、記憶装置３３と、ＣＰＵ３４と、メモリ３５と、記憶媒体３７が挿入される読取装置３６とが、バス３８を介して連結される。
（１−２）本実施の形態における各装置の機能的構成
次に、図１に示す新規制御装置１０、既存制御装置２０及び監視装置３０における機能的構成とその機能とを説明する。
（１−２−１）新規制御装置の機能的構成及びその機能
新規制御装置１０は、通信部１０１、制御処理部１０２、モード切替部１０３、認証処理部１０４、暗号処理部１０５、状態変化認識部１０６、装置管理部１０７、鍵生成部１０８、鍵管理部１０９、経過時間管理部１１０、制御情報保管部１１１、識別情報保管部１１２、モード情報保管部１１３、装置リスト保管部１１４、鍵情報保管部１１５、及び時刻情報保管部１１６を有する。
ここで、通信部１０１は、通信装置１１によって実現される。通信部１０１は、ネットワーク４０を介して既存制御装置２０及び監視装置３０との間で通信を行う。また、制御処理部１０２、モード切替部１０３、認証処理部１０４、暗号処理部１０５、状態変化認識部１０６、装置管理部１０７、鍵生成部１０８、鍵管理部１０９、及び経過時間管理部１１０は、ＣＰＵ１４によるプログラムの実行によりそれぞれの制御処理を行う。
制御処理部１０２は、新規制御装置１０の各部１０１〜１１６を制御し、新規制御装置１０に固有の処理を行う。モード切替部１０３は、自装置である新規制御装置１０の動作モードを切り替える処理を行う。動作モードの切り替えについては、図３について後述する。
認証処理部１０４は、ネットワーク４０内の既存制御装置２０及び監視装置３０との間で認証処理を行う。暗号処理部１０５は、ネットワーク４０内の既存制御装置２０及び監視装置３０との間で暗号通信を行うために必要な暗号処理を行う。状態変化認識部１０６は、ネットワーク４０内の既存制御装置２０及び監視装置３０における動作モードの変化を認識する。装置管理部１０７は、ネットワーク４０に接続される新規制御装置１０、既存制御装置２０及び監視装置３０における接続状態及び認証状態等が格納された装置リストを管理する。装置リストの構成については、図１６について後述する。
鍵生成部１０８は、認証や暗号通信で使用する鍵（暗号鍵）を生成する。また、鍵生成部１０８は、新規制御装置１０で使用される鍵とネットワーク４０に接続される既存制御装置２０及び監視装置３０のそれぞれで使用される鍵とを所定のアルゴリズムに適用することにより、ネットワーク共有鍵を生成する。
鍵管理部１０９は、ネットワーク４０内の新規制御装置１０、既存制御装置２０及び監視装置３０が使用する鍵に関する情報（鍵情報）が格納された鍵情報リストを管理する。鍵情報リストの構成については、図１７について後述する。経過時間管理部１１０は、新規制御装置１０、既存制御装置２０又は監視装置３０において動作モードが変化してからの経過時間を管理する。
また、制御情報保管部１１１、識別情報保管部１１２、モード情報保管部１１３、装置リスト保管部１１４、鍵情報保管部１１５、及び時刻情報保管部１１６は、各種データが格納される記憶装置１３によって実現される。
制御情報保管部１１１には、制御処理部１０２による新規制御装置１０に固有の処理の実行のために必要な制御情報が格納される。識別情報保管部１１２には、自装置である新規制御装置１０を識別するための識別情報（装置ＩＤ）が格納される。識別情報は、例えば、認証処理部１０４による認証処理及び暗号処理部１０５による暗号処理で利用される。モード情報保管部１１３には、新規制御装置１０の動作モードを示すモード情報が格納される。
装置リスト情報保管部１１４には、新規制御装置１０、既存制御装置２０及び監視装置３０における接続状態及び認証状態等が装置リストとして格納される。装置リストは、ネットワーク４０内の新規制御装置１０、既存制御装置２０及び監視装置３０のＩＤと、新規制御装置１０、既存制御装置２０及び監視装置３０のそれぞれにおける現在の稼動状態や認証状態等を示す情報とを組み合わせたリストであり、認証処理部１０４をはじめとする各部によって使用される。
装置リストの具体的な構成例としては、図１６の装置リスト１６０に示すように、装置を識別する装置ＩＤが格納される装置ＩＤ欄１６０１、当該装置の情報を確認した日時を示す情報が格納される装置確認日時欄１６０２、当該装置の状態（例えば、オンライン、オフライン、又は不正接続）を示す情報が格納される装置状態欄１６０３、当該装置の認証状態（例えば、認証済又は未認証）を示す情報が格納される装置認証状態欄１６０４、当該認証を行った装置を示す装置ＩＤが格納される装置認証装置ＩＤ欄１６０５、当該認証が行われた日時を示す情報が格納される装置認証日時欄１６０６、及び当該認証の有効期限を示す情報が格納される装置認証有効期限欄１６０７を含むように構成される。なお、装置認証有効期限欄１６０７に格納される認証有効期限は、管理者によって個別に設定されてもよいし、認証の有効期間が管理者によって予め設定され、装置認証日時欄１６０６に格納された日時を基準として自動算出されるようにしてもよい。
鍵情報リスト保管部１１５には、鍵情報リストが格納される。鍵情報リストは、ネットワーク４０内の新規制御装置１０、既存制御装置２０及び監視装置３０のそれぞれで使用される、又は使用されていた鍵に関する鍵情報が記載されたリストである。例えば、鍵生成部１０８によって鍵が生成された場合には、当該鍵に関する鍵情報が、鍵情報リストに追加又は上書きされる。
鍵情報リストの具体的な構成例としては、図１７の鍵情報リスト１７０に示すように、ネットワーク４０に接続された各装置を識別する装置ＩＤが格納される装置ＩＤ欄１７０１、ネットワーク４０内で共有して使用されるネットワーク共有鍵が格納されるネットワーク共有鍵欄１７０２、各装置で現在使用されている鍵を示す情報が格納される装置新鍵欄１７０３、及び各装置で過去に使用されていた鍵を示す情報が格納される装置旧鍵欄１７０４を含むように構成される。なお、装置旧鍵欄１７０４に格納される旧鍵を示す情報は、一つ前に使用されていた鍵を示す情報だけでなく、稼動後に使用された全ての鍵を示す情報が格納されてもよい。
また、鍵情報リスト１７０のネットワーク共有鍵欄１７０２には、ネットワーク４０に接続されている新規制御装置１０、既存制御装置２０及び監視装置３０の全てについて、同じネットワーク共有鍵が格納される。これは、ネットワーク４０に接続されている新規制御装置１０、既存制御装置２０及び監視装置３０において同一のネットワーク共有鍵が使用されることを意味する。
そして、ネットワーク共有鍵は、鍵生成部１０８について上述したように、ネットワーク４０に接続された新規制御装置１０、既存制御装置２０及び監視装置３０のそれぞれで使用される鍵を所定のアルゴリズムに適用することにより生成されるが、アルゴリズムが適用される鍵の組み合わせが同じであれば、新規制御装置１０の鍵生成部１０８でも、既存制御装置２０の鍵生成部２０８でも、さらに、監視装置３０の鍵生成部３０７でも、同一の鍵が生成されることになる。従って、新規制御装置１０、既存制御装置２０、及び監視装置３０が同じ内容の鍵情報リストを有していれば、鍵生成部１０８、２０８、及び３０７は、それぞれ鍵情報リストに記載されている鍵の情報を所定のアルゴリズムに適用することによって、同一のネットワーク共有鍵を生成することができる。
また、ネットワーク共有鍵は、現在オンラインの装置で使用されている鍵を組み合わせて所定のアルゴリズムに適用して生成してもよいし、過去に使用されていた鍵を含めて所定のアルゴリズムに適用して生成してもよいし、又、新規制御装置１０、既存制御装置２０、及び監視装置３０のそれぞれで使用される鍵とは関係なく生成してもよい。このようないずれの場合でも、上述したように鍵情報リストの内容を共有することにより、新規制御装置１０、既存制御装置２０、及び監視装置３０のそれぞれで、同一のネットワーク共有鍵が生成される。
時刻情報保管部１１６には、新規制御装置１０、既存制御装置２０又は監視装置３０において動作モードが切り替えられた時刻が格納される。
（１−２−２）既存制御装置の機能的構成及びその機能
既存制御装置２０は、新規制御装置１０と同様の処理部及び保管部を有する。具体的には、既存制御装置２０（２０Ａ〜２０Ｎ）は、通信部２０１（２０１Ａ〜２０１Ｎ）、制御処理部２０２（２０２Ａ〜２０２Ｎ）、モード切替部２０３（２０３Ａ〜２０３Ｎ）、認証処理部２０４（２０４Ａ〜２０４Ｎ）、暗号処理部２０５（２０５Ａ〜２０５Ｎ）、状態変化認識部２０６（２０６Ａ〜２０６Ｎ）、装置管理部２０７（２０７Ａ〜２０７Ｎ）、鍵生成部２０８（２０８Ａ〜２０８Ｎ）、鍵管理部２０９（２０９Ａ〜２０９Ｎ）、経過時間管理部２１０（２１０Ａ〜２１０Ｎ）、制御情報保管部２１１（２１１Ａ〜２１１Ｎ）、識別情報保管部２１２（２１２Ａ〜２１２Ｎ）、モード情報保管部２１３（２１３Ａ〜２１３Ｎ）、装置リスト保管部２１４（２１４Ａ〜２１４Ｎ）、鍵情報保管部２１５（２１５Ａ〜２１５Ｎ）、及び時刻情報保管部２１６（２１６Ａ〜２１６Ｎ）を有する。各部の機能は、上述の新規制御装置１０の各部の機能と同様であり、説明を省略する。
（１−２−３）監視装置の機能的構成及びその機能
監視装置３０は、新規制御装置１０又は既存制御装置２０とほぼ同様の処理部位を有するが、装置固有の制御処理を行うための部位の代わりに、ネットワーク４０に接続されている新規制御装置１０及び既存制御装置２０から情報を収集する部位や、収集した情報を出力する部位等を有する。具体的には、監視装置３０は、通信部３０１、モード切替部３０２、認証処理部３０３、暗号処理部３０４、状態変化認識部３０５、装置管理部３０６、鍵生成部３０７、鍵管理部３０８、経過時間管理部３０９、装置リスト収集部３１０、鍵情報リスト収集部３１１、出力部３１２、識別情報保管部３１３、モード情報保管部３１４、装置リスト保管部３１５、鍵情報保管部３１６、時刻情報保管部３１７、収集装置リスト保管部３１８、及び収集鍵情報リスト保管部３１９を有する。
通信部３０１は、ネットワーク４０を介して他の新規制御装置１０及び既存制御２０との間で通信を行う。モード切替部３０２は、自装置である監視装置３０の動作モードを切り替える処理を行う。認証処理部３０３は、ネットワーク４０内の新規制御装置１０及び既存制御装置２０との間で認証処理を行う。暗号処理部３０４は、ネットワーク４０内の新規制御装置１０及び既存制御装置２０との間で暗号通信を行うために必要な暗号処理を行う。状態変化認識部３０５は、ネットワーク４０内の新規制御装置１０及び既存制御装置２０における動作モードの変化を認識する。装置管理部３０６は、ネットワーク４０に接続される新規制御装置１０、既存制御装置２０及び監視装置３０における接続状態及び認証状態等を管理する。鍵生成部３０７は、認証や暗号通信で使用する鍵を生成する。鍵管理部３０８は、ネットワーク４０内の新規制御装置１０、既存制御装置２０及び監視装置３０の鍵情報を管理する。経過時間管理部３０９は、新規制御装置１０、既存制御装置２０又は監視装置３０において動作モードが変化してからの経過時間を管理する。
装置リスト収集部３１０は、装置リスト保管部１１４及び装置リスト保管部２１４に格納されている装置リストを収集する。鍵情報リスト収集部３１１は、鍵情報リスト保管部１１４及び鍵情報リスト保管部２１４に格納されている鍵情報リストを収集する。
出力部３１２は、装置リスト収集部３１０及び鍵情報リスト収集部３１１によって収集されたリストの情報を出力する。例えば、出力部３１２は、ネットワーク４０に接続された表示端末（図示せず）にリストの情報を出力する。
また、識別情報保管部３１３には、自装置である監視装置３０を識別するための識別情報（装置ＩＤ）が格納される。識別情報は、例えば、認証処理部３０３による認証処理及び暗号処理部３０４による暗号処理で利用される。モード情報保管部３１４には、監視装置３０の動作モードを示すモード情報が格納される。装置リスト情報保管部３１５には、新規制御装置１０、既存制御装置２０及び監視装置３０における接続状態及び認証状態等を示す装置リストが格納される。装置リストは、認証処理部３０３をはじめとする各部によって使用される。鍵情報リスト保管部３１６には、新規制御装置１０、既存制御装置２０及び監視装置３０の鍵情報を示す鍵情報リストが格納される。鍵情報リストは、鍵生成部３０７によって生成された鍵の情報によって追加又は上書きされ、鍵管理部３０８によって管理される。時刻情報保管部３１７には、新規制御装置１０、既存制御装置２０又は監視装置３０において動作モードが切り替えられた時刻が格納される。収集装置リスト保管部３１８には、装置リスト収集部３１０によって収集された装置リストが格納される。収集鍵情報リスト保管部３１９には、鍵情報リスト収集部３１１によって収集された鍵情報リストが格納される。
（１−３）動作モードの遷移
第１の実施の形態による新規制御装置１０、既存制御装置２０、及び監視装置３０では、各装置で内部状態に応じた複数の動作モードが設定される。例えば、新規制御装置１０では、図３に示すように動作モードの状態が遷移する。以下では、一例として新規制御装置１０における動作モードの状態遷移を説明するが、既存制御装置２０又は監視装置３０においても同様の動作モードが存在する。
新規制御装置１０では、モード切替部１０３によって行われ、切り替えられた動作モードを示すモード情報がモード情報保管部１１３に格納される。以下では、説明の簡略のために、「モード切替部１０３が動作モードを切り替える」とだけ表現することもある。
まず、新規制御装置１０が起動された場合に、モード切替部１０３は、モード情報保管部１１３に格納されている新規制御装置１０の動作モードを起動モードとする（ステップＳ３０１）。そして、起動モードでは、制御処理部１０２が、新規制御装置１０に認証や暗号通信を行うために必要となる情報が格納されているかを判定する。例えば、認証を行うために必要となる情報とは、装置リスト保管部１１４に格納される装置の認証状態を示す情報であり、暗号通信を行うために必要となる情報とは、鍵情報リスト保管部１１５に格納される鍵情報である。
起動モードにおいて、認証や暗号通信を行うために必要となる情報が格納されていなかった場合には、モード切替部１０３は、動作モードを初期化モードに変更し（ステップＳ３０２）、初期化処理が行われる。例えば、初期化処理とは、既存制御装置２０との間で行われる認証処理や、暗号通信を行うための鍵を既存制御装置２０及び監視装置３０と共有する処理等に相当する。
初期化モードで初期化処理が完了した場合、又は、起動モードで認証や暗号通信を行うために必要となる情報が確認された場合には、モード切替部１０３は、動作モードを運用モードに変更する（ステップＳ３０３）。運用モードは、通常の運用処理が行われる動作モードである。
運用モードにおいてネットワーク４０に新たに装置を追加する場合、ネットワーク４０に接続されていた装置を除去する場合、又は、ネットワーク４０に接続されている新規制御装置１０、既存制御装置２０又は監視装置３０における暗号通信のための鍵を更新する場合には、モード切替部１０３は、動作モードを保守モードに変更する（ステップＳ３０４）。このとき、モード切替部１０３は、ネットワーク４０に接続された既存制御装置２０の状態変化認識部２０６及び監視装置３０の状態変化認識部３０５に対して、動作モードが保守モードに移行したことを通知する。ネットワーク認証システム１では、ネットワーク４０に接続している新規制御装置１０又は既存制御装置２０のいずれかが保守モードに遷移することにより、当該装置は、ネットワーク４０に新たな装置を接続する処理を行うことができる。また、モード切替部１０３は、新たな装置の追加、既存装置の除去、又は鍵の更新といった処理が終了した場合に動作モードを保守モードから運用モードに変更するが、それ以外に、一定時間経過した場合及びユーザによって所定の操作が行われた場合にも、保守モードから運用モードにする。
そして、電源断によって新規制御装置１０の動作が停止される場合には、モード切替部１０３は、動作モードを運用モードから停止モードに変更する（ステップＳ３０５）。このとき、モード切替部１０３は、ネットワーク４０に接続された既存制御装置２０の状態変化認識部２０６及び監視装置３０の状態変化認識部３０５に対して、動作モードが停止モードに移行したことを通知する。停止モードになった新規制御装置１０が再び起動されると、動作モードはステップＳ３０１に示す起動モードに遷移する。
なお、上述したような動作モードの変更がモード切替部１０３によって行われた場合には、モード情報保管部１１３には、変更後の当該モードを示すモード情報が格納される。
（１−４）本実施の形態のネットワーク認証システムにおける処理
以下では、本実施の形態によるネットワーク認証システム１における各種の処理を説明する。なお、図４〜図１１を参照して以下に説明する処理では、主に新規制御装置１０と既存制御装置２０との間で行われる処理について説明する。これらの処理の説明では、簡略のために監視装置３０における処理について述べないが、実際の監視装置３０では、既存制御装置２０における処理と同様に、後述する装置リストや鍵リストの更新等の処理が行われる。
（１−４−１）新規追加される装置の初期化処理
はじめに、既存制御装置２０Ａ〜２０Ｎが接続されているネットワーク認証システム１に新たに新規制御装置１０を追加する場合の処理を、図４を参照しながら説明する。処理開始前の既存制御装置２０Ａ〜２０Ｎは、運用モードで動作している。ここで、ユーザによって所定の操作が行われたり、所定の信号が送信されたりする等によって、ネットワーク認証システム１に新規制御装置１０を追加する処理が開始される。
まず、既存制御装置２０Ａ〜２０Ｎのうちから、新規制御装置１０の追加処理を行う装置が選択される。ここでは例えば、ユーザの選択に従って既存制御装置２０Ａが選択されるとする。このとき、モード切替部２０３Ａは、動作モードを保守モードに切り替える（ステップＳ４０１）。なお、モード切替部２０３Ａが動作モードを保守モードに切り替える場合には、管理者用のパスワード認証を事前に要求する等して、操作者を限定してもよい。
次に、ステップＳ４０２では、経過時間管理部２１０Ａが、動作モードが保守モードに切り替えられた時刻を確認し、その時刻情報を時刻情報保管部２１６Ａに格納する。次に、モード切替部２０３Ａは、通信部２０１Ａを介して、ネットワーク４０に接続された他の既存制御装置２０Ｂ〜２０Ｎに対して、新規制御装置１０を追加するために保守モードに変更したことを伝える保守モード通知Ａ４０１を送信する。
保守モード通知Ａ４０１は、ネットワーク内の装置間で動作モードの変更を通知するモード通知情報の１つである。図１８に示すように、モード通知情報１８０は、動作モードが変更された装置を識別する装置ＩＤが格納される発信装置ＩＤ欄１８０１、発信元の装置における動作モード（起動モード、初期化モード、運用モード、保守モード、又は停止モード）が格納されるモード種類欄１８０２、保守モードにおいて実際に行う保守内容を示す処理内容が格納される処理内容欄１８０３、及び、保守モードの通知を受けた各装置が必要なデータの再送要求を行うまでの待ち時間が格納される許容待ち時間欄１８０４が含まれて構成される。なお、モード切替部１０３、２０３及び３０２によるモード通知情報１８０の作成にあたっては、許容待ち時間欄１８０４の入力を省略することが可能であり、そのような場合には、許容待ち時間欄１８０４には受信した装置が予め管理者によって規定されている値を設定する。
なお、新規制御装置１０、既存制御装置２０及び監視装置３０の間で行われるメッセージやコマンドの送受信は、それぞれの通信部１０１、２０１、又は３０１を介して行われるが、以下では、通信部１０１、２０１及び３０１の記載を省略し、「モード切替部２０３Ａは、他の既存制御装置２０Ｂ〜２０Ｎに対して、保守モード通知Ａ４０１を送信する」といったように記載することがある。
ステップＳ４０２の後に、保守モード通知Ａ４０１を受信した既存制御装置２０Ｂ〜２０Ｎでは、既存制御装置２０Ｂ〜２０Ｎのそれぞれの経過時間管理部２１０Ｂ〜２１０Ｎが、時刻情報を取得して時刻情報保管部２１６Ｂ〜２１６Ｎに格納する（ステップＳ４０３）。
一方、新たにネットワーク認証システム１に追加される新規制御装置１０では、まず、制御処理部１０２が、通信部１０１を介して新規制御装置１０をネットワーク４０に接続し（ステップＳ４０４）、新規制御装置１０を起動する（ステップＳ４０５）。次に、モード切替部１０３は、新規制御装置１０で初期化処理を行うために、動作モードを初期化モードに変更する（ステップＳ４０６）。そして、ステップＳ４０７では、経過時間管理部１１０が、動作モードが初期化モードに切り替えられた時刻を確認し、その時刻情報を時刻情報保管部１１６に格納する。その後、制御処理部１０２は、ネットワーク４０に接続された既存制御装置２０Ａ〜２０Ｎに対して、新規制御装置１０の新規接続を要求する新規接続要求コマンドＡ４０２又はＡ４０３を送信する。ここで、新規接続要求コマンドＡ４０２及びＡ４０３には、識別情報保管部１１２に格納されている新規制御装置１０の装置ＩＤが含まれる。装置ＩＤには、ＩＰアドレス（Internet Protocol address）やＭＡＣアドレス（Media Access Control address）といったネットワーク上の識別子を用いてよく、また、装置に個別に割り当てられた固有の識別子を用いてもよい。
ステップＳ４０７の後に、新規制御装置１０から新規接続要求コマンドＡ４０２を受信した既存制御装置２０Ａでは、鍵生成部２０８Ａが、新規制御装置１０用の鍵を生成する（ステップＳ４０８）。鍵の生成方法は、乱数を用いて生成してもよいし、予め格納されているデータ列の一部を切り出しても良いし、乱数や予め格納されているデータ列を暗号演算で変換することにより生成してもよい。
次に、鍵管理部２０９Ａは、鍵情報リスト保管部２１５Ａに格納されている鍵情報リストに、新規接続要求コマンドＡ４０２に含まれる新規制御装置１０の装置ＩＤと、ステップＳ４０８で生成された鍵の鍵情報とを追加し、鍵情報リストを更新する（ステップＳ４０９）。ステップＳ４０９において、鍵管理部２０９Ａは、鍵生成部２０８Ａにネットワーク共有鍵の再生成を指示し、再生成されたネットワーク共有鍵で鍵情報リストのネットワーク共有鍵を更新する。
次に、装置管理部１０７は、装置リスト保管部１１４に格納されている装置リストに新規制御装置１０の情報を追加し、装置リストを更新する（ステップＳ４１０）。その後、制御処理部２０２Ａは、新規制御装置１０に対してリスト通知Ａ４０４を送信し、既存制御装置２０Ｂ〜２０Ｎに対してリスト通知Ａ４０５を送信する。リスト通知Ａ４０４及びＡ４０５は、ステップＳ４０８で更新された鍵情報リスト及びステップＳ４０９で更新された装置リストを送信先に通知するメッセージである。
既存制御装置２０Ａからリスト通知Ａ４０４を受信した新規制御装置１０では、鍵管理部１０９が、リスト通知Ａ４０４に含まれる鍵情報リストを鍵情報リスト保管部１１５に格納する（ステップＳ４１１）。さらに、装置管理部１０７が、リスト通知Ａ４０４に含まれる装置リストを装置リスト保管部１１４に格納する（ステップＳ４１２）。
また、リスト通知Ａ４０４及びＡ４０５を送信した既存制御装置２０Ａでは、鍵管理部２０９Ａが、ステップＳ４０８で更新された鍵情報リストを鍵情報リスト保管部２１５Ａに格納し（ステップＳ４１３）、装置管理部２０７Ａが、ステップＳ４０９で更新された装置リストを装置リスト保管部２１４Ａに格納する（ステップＳ４１４）。その後、既存制御装置２０Ａは、新規制御装置１０又は他の既存制御装置２０Ｂ〜２０Ｎからのコマンドを受信するまで、待ち受け状態に遷移する（ステップＳ４１５）。
また、既存制御装置２０Ａからリスト通知Ａ４０５を受信した既存制御装置２０Ｂ〜２０Ｎでは、それぞれの鍵管理部２０９Ｂ〜２０９Ｎによって鍵情報リストの更新が行われ（ステップＳ４１６）、それぞれの装置管理部２０７Ｂ〜２０７Ｎによって装置リストの更新（ステップＳ４１７）が行われる。
ステップＳ４１１〜Ｓ４１７の処理によって、ネットワーク４０に接続された新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎにおいて、更新された鍵情報リストと更新された装置リストとが共有される。
次に、新規制御装置１０では、ステップＳ４０７で取得した時刻情報から所定の時間が経過した場合に、制御処理部１０２は、後に認証や暗号通信を行うために必要となる情報が不足していないか判定する（ステップＳ４１８）。ここで、認証や暗号通信を行うために必要となる情報とは、鍵情報リスト保管部１１５に格納されている鍵情報リスト及び装置リスト保管部１１４に格納されている装置リストである。
ステップＳ４１８において不足している情報があった場合には（ステップＳ４１８のＹＥＳ）、制御処理部１０２は、不足している情報の送信を要求する不足情報要求コマンドＡ４０６を既存制御装置２０Ａに送信する。不足情報要求コマンドＡ４０６を受信した既存制御装置２０Ａは、要求された情報を不足情報Ａ４０７で新規制御装置１０に返信する。そして、不足情報Ａ４０７を受信した新規制御装置１０は、受信した情報を所定の保管部に格納する（ステップＳ４１９）。
ステップＳ４１８において不足している情報がなかった場合（ステップＳ４１８のＮＯ）、又は、ステップＳ４１９において不足情報の格納が完了した場合には、モード切替部１０３は、新規制御装置１０の動作モードを初期化モードから運用モードに切り替える（ステップＳ４２０）。
一方、既存制御装置２０Ｂ〜２０Ｎでは、ステップＳ４０３で取得した時刻情報から所定の時間が経過した場合に、制御処理部２０２Ｂ〜２０２Ｎが、既存制御装置２０Ａから受信する鍵情報リストや装置リストが不足していないか判定する（ステップＳ４２１）。この判定は、制御処理部２０２Ｂ〜２０２Ｎが鍵情報リスト保管部２１５Ｂ〜２１５Ｎ及び装置リスト保管部２１４Ｂ〜２１４Ｎを確認することによって行われる。不足している情報がなかった場合には（ステップＳ４２１のＮＯ）、特別な処理は行われない。
ステップＳ４２１において不足している情報があった場合には（ステップＳ４２１のＹＥＳ）、当該既存制御装置２０の制御処理部２０２は、不足している情報の送信を要求する不足情報要求コマンドＡ４０８を既存制御装置２０Ａに送信する。不足情報要求コマンドＡ４０８を受信した既存制御装置２０Ａは、要求された情報を不足情報Ａ４０９で当該既存装置２０に返信する。そして、不足情報Ａ４０９を受信した当該既存制御装置２０は、受信した情報を所定の保管部に格納する（ステップＳ４２２）。既存制御装置２０Ｂ〜２０Ｎの動作モードは、ステップＳ４０３からステップＳ４２２に至るまで運用モードのままなので切り替える必要がなく、ステップＳ４２２の後は、処理が終了される。
なお、不足情報要求コマンドＡ４０６及びＡ４０８は、不足している情報の送信を要求するとしたが、必要な情報が１つでも不足している場合には、不足情報要求コマンドＡ４０６及びＡ４０８によって、必要な情報を全て再送するように要求してもよい。このとき、返信メッセージとして、ステップＳ４０９で更新された鍵情報リストとステップＳ４１０で更新された装置リストとを含む不足情報Ａ４０７又はＡ４０９が、要求元の新規制御装置１０又は既存制御装置２０Ｂ〜２０Ｎに返信される。
ところで、既存制御装置２０ＡはステップＳ４１５において待ち受け状態に遷移しているが、その後、経過時間管理部２１０Ａが、ステップＳ４０２で取得した時刻情報から一定時間が経過したかどうかを判定する（ステップＳ４２３）。一定時間が経過していない場合には（ステップＳ４２３のＮＯ）、既存制御装置２０Ａは、ステップＳ４１５に戻り、新規制御装置１０又は他の既存制御装置２０Ｂ〜２０Ｎからの問い合わせを待つ。ステップＳ４２３で一定時間が経過した場合には（ステップＳ４２３のＹＥＳ）、制御処理部２０２Ａは、待ち受け状態を解除し（ステップＳ４２４）、モード切替部２０３Ａは、動作モードを保守モードから運用モードに切り替える（ステップＳ４２５）。
図４について上述した処理によって、新規制御装置１０は、ネットワーク認証システム１に追加され、初期化処理が行われる。しかし、ステップＳ４２５の処理が終了した段階では、新規制御装置１０は、まだ既存制御装置２０及び監視装置３０との間で認証処理が行われておらず、ネットワーク認証システム１に登録されたにすぎない。従って、新規制御装置１０は、これらの既存制御装置２０及び監視装置３０に対して自由にデータの送受信を行うことは許可されていない。
（１−４−２）新規追加された装置に対する認証処理
次に、ネットワーク認証システム１において、初期化処理が終了した後に実施される認証処理について、図５を参照しながら説明する。以下では、図４について示したように新規制御装置１０がネットワーク認証システム１に追加されて初期化モードが終了した場合について説明するが、初期化処理が実施された既存制御装置２０を再起動した場合にも同様の認証処理が行われる。この場合の処理は、図５に示す新規制御装置１０を、当該初期化処理が実施された既存制御装置２０に置き換えるとよい。
まず、新規制御装置１０において、モード切替部１０３が動作モードを運用モードに切り替える（ステップＳ５０１）。次に、制御処理部１０２は、ネットワーク４０に接続された既存制御装置２０Ａ〜２０Ｎに対して、オンライン状態にある既存制御装置２０を探すための装置存在確認コマンドＡ５０１又はＡ５０２を送信する。
装置存在確認コマンドＡ５０１を受信した既存制御装置２０Ａでは、制御処理部２０２Ａが、装置リスト保管部２１４Ａに格納されている装置リストを参照し、装置リストに装置存在確認コマンドＡ５０１の送信元（すなわち、新規制御装置１０）が含まれているか否か判定する（ステップＳ５０２Ａ）。装置リストに新規制御装置１０が含まれていた場合には（ステップＳ５０２ＡのＹＥＳ）、制御処理部２０２Ａは、装置存在確認コマンドＡ５０１に対する返信メッセージとなる装置存在レスポンスＡ５０３を新規制御装置１０に返信する。
一方、ステップＳ５０２Ａにおいて装置リストに新規制御装置１０が含まれていなかった場合には（ステップＳ５０２ＡのＮＯ）、制御処理部２０２Ａは、新規制御装置１０を、図４に示した初期化処理が行われていない不正な装置であると判断する。このとき、制御処理部２０２Ａは、既存制御装置２０Ａ内の計時機能や他の装置の日時情報を利用して日時情報を取得し（ステップＳ５０３Ａ）、初期化制御装置１０のネットワーク上の識別子や固有の識別子等の情報を不正装置情報として取得する（ステップＳ５０４Ａ）。そして、装置管理部２０７Ａは、ステップＳ５０３Ａで取得した日時情報とステップＳ５０４Ａで取得した不正装置情報とを、装置リスト保管部２１４Ａに格納されている装置リストに追加する（ステップＳ５０５Ａ）。その後、新規制御装置１０から受信した装置存在確認コマンドＡ５０１は破棄されて（ステップＳ５０６Ａ）、処理が終了する。
また、装置存在コマンドＡ５０２を受信した既存制御装置２０Ｂ〜２０Ｎのそれぞれの装置においても、ステップＳ５０２Ａ〜Ｓ５０６Ａに示したのと同様の処理が行われる。そして最終的に、新規制御装置１０の存在が確認できた場合には、装置存在確認コマンドＡ５０２に対する返信メッセージとなる装置存在レスポンスＡ５０４が新規制御装置１０に返信され、新規制御装置１０の存在が確認できなかった場合には、装置存在確認コマンドＡ５０２が破棄されて処理が終了する。
既存装置２０Ａ〜２０Ｎから装置存在レスポンスＡ５０３及びＡ５０４を受信した新規制御装置１０では、制御処理部１０２は、装置存在レスポンスＡ５０３及びＡ５０４の送信元を参照することにより、現時点でネットワーク４０にオンラインで存在している既存制御装置２０を把握することができる。そして、装置管理部１０７が、把握できた既存制御装置２０について、装置リスト保管部１１４に格納されている装置リストを更新する（Ｓ５０７）。
次に、認証処理部１０４は、認証処理を依頼する既存制御装置２０を選択する（ステップＳ５０８）。認証処理を依頼する装置の選択方法には、例えば、装置存在レスポンスの応答時間が最も短かったものを選択する方法や、ネットワーク上の識別子（ＩＰアドレス）が最も近接しているものを選択する等の方法を用いる。ここでは既存制御装置２０Ａを選択したとする。そして、認証処理部１０４は、ステップＳ５０８で選択した既存制御装置２０Ａに対して、相互認証の処理を依頼する認証依頼Ａ５０５を送信する。
認証依頼Ａ５０５を受信した既存制御装置２０Ａでは、認証処理部２０４Ａが、新規制御装置１０の認証処理部１０４との間で認証処理を行う（ステップＳ５０９）。ここで行われる認証処理は、例えば、チャレンジアンドレスポンス認証やワンタイムパスワード認証等の二者間で互いの正当性を確認する処理である。この他にも、互いの鍵情報リスト保管部１１５及び２１５Ａに格納されている秘密情報（鍵）を用いて相互に認証可能な方式であれば、どのような認証方式を用いても良い。また、一般に、認証では認証結果の有効期限が設定され、認証結果の有効期限を超過した装置は、認証されていない未認証の状態と判断される。
ステップＳ５０９で認証処理が終了すると、認証処理部２０４Ａは、その認証結果を検証する（ステップＳ５１０）。認証に成功したと判断した場合には（ステップＳ５１０のＹＥＳ）、後述のステップＳ５１８の処理が行われる。認証に失敗したと判断した場合には（ステップＳ５１０のＮＯ）、認証処理部２０４Ａは、新規制御装置１０に認証エラーＡ５０６を送信する。
一方、新規制御装置１０でも、認証処理部１０４が認証結果を検証する（ステップＳ５１１）。認証に成功したと判断した場合には（ステップＳ５１１のＹＥＳ）、既存制御装置２０から暗号化済装置リストを受信するまで待ち、それから後述のステップＳ５２２の処理が行われる。認証に失敗したと判断した場合には（ステップＳ５１１のＮＯ）、認証処理部１０４は、認証相手である既存制御装置２０Ａに、鍵情報リストの提供を要求する鍵情報リスト取得コマンドＡ５０７を送信する。また、既存制御装置２０Ａから認証エラーＡ５０６を受信した場合も、認証が失敗したことを意味するので、認証処理部１０４は、既存制御装置２０Ａに鍵情報リスト取得コマンドＡ５０７を送信する。
そして、既存制御装置２０Ａでは、鍵管理部２０９Ａが、鍵情報リスト保管部２１５Ａに格納されている鍵情報リストを取得し（ステップＳ５１２）、鍵情報リストから新規制御装置１０の鍵を取得する（ステップＳ５１３）。そして、鍵管理部２０９Ａは、ステップＳ５１３で取得した新規制御装置１０の鍵を使ってステップＳ５１２で取得した鍵情報リストを暗号化する（ステップＳ５１４）。その後、制御処理部２０２Ａは、ステップＳ５１４で暗号化された暗号化済鍵情報リストＡ５０８を新規制御装置１０に送信する。
新規制御装置１０では、暗号化済鍵情報リストＡ５０８を受信すると、鍵管理部１０９が、鍵情報リスト保管部１１５から自装置の鍵情報が記載された鍵情報リストを取得する（ステップＳ５１５）。そして、鍵管理部１０９は、ステップＳ５１５で取得した自装置の鍵を用いて、受信した暗号化済鍵情報リストＡ５０８を復号する（ステップＳ５１６）。そして、鍵管理部１０９は、復号した鍵情報リストを鍵情報リスト保管部１１５に格納する（ステップＳ５１７）。その後、ステップＳ５０８の処理に戻り、再び認証処理の実行が行われる。
ステップＳ５１８では、ステップＳ５０９における相互認証処理が成功した場合の処理が行われる。ステップＳ５１８において、制御処理部２０２Ａは、既存制御装置２０Ａ内の計時機能や他の装置の日時情報を利用して日時情報を取得し、時刻情報保管部２１６Ａに格納する。そして、装置管理部２０７Ａは、装置リスト保管部２１４に格納されている装置リストに、新規制御装置１０が認証に成功したという認証結果と、ステップＳ５１８で取得した日時情報とを記載して、装置リストを更新する（ステップＳ５１９）。次に、鍵管理部２０９Ａが、鍵情報リスト保管部２１５Ａに格納されているネットワーク共有鍵を取得し（ステップＳ５２０）、ステップＳ５１９で更新した装置リストを暗号化する（ステップＳ５２１）。ここまでの処理が終わると、制御処理部２０２Ａは、新規制御装置１０及び既存制御装置２０Ｂ〜２０Ｎに対して、ステップＳ５２１で暗号化した暗号化済装置リストＡ５０９又はＡ５１０を送信する。
暗号化済装置リストＡ５０９を受信した新規制御装置１０では、鍵管理部１０９が、鍵情報リスト保管部１１５に格納されているネットワーク共有鍵を取得し（ステップＳ５２３）、受信した暗号化済装置リストＡ５０９を復号する（ステップＳ５２３）。そして、装置管理部１０７が、復号した装置リストに基づいて、装置リスト保管部１１５に格納されている装置リストを更新する（ステップＳ５２４）。
その後、制御処理部１０２は、装置リストを参照して、現時点でネットワーク４０にオンラインの状態にある新規制御装置１０、既存制御装置２０及び監視装置３０が全て認証済みとなっているか確認する（ステップＳ５２５）。認証されていない装置（未認証の装置）があると判断された場合には（ステップＳ５２５のＮＯ）、ステップＳ５０８に戻り、未認証の装置を選択した認証処理が行われる。新規制御装置１０、既存制御装置２０及び監視装置３０が全て認証済みであると判断された場合には（ステップＳ５２５のＹＥＳ）、新規制御装置１０において、認証に関する一連の処理が終了する。
一方、暗号化済装置リストＡ５１０を受信した既存制御装置２０Ｂ〜２０Ｎでも、新規制御装置１０におけるステップＳ５２２〜Ｓ５２４の処理と同様に、ネットワーク共有鍵の取得（ステップＳ５２６）、暗号化済装置リストＡ５１０の復号（ステップＳ５２７）、及び装置リストの更新（ステップＳ５２８）が行われる。
図５について上述した処理によって、新規制御装置１０と既存制御装置２０Ａとの間で相互認証処理が行われ、その認証結果は暗号化済装置リストＡ５１０によって他の既存制御装置２０Ｂ〜２０Ｎにも共有される。
（１−４−３）新規追加された装置からのコマンド実行処理
次に、ネットワーク認証システム１において、相互認証処理が終了した新規制御装置１０からコマンドが発行される場合の処理について説明する。図６には、コマンドの発行先である既存制御装置２０Ａで、コマンドの発行元である新規制御装置１０に対する認証確認が行われるまでの処理手続が示されている。また、図７には、当該認証確認が行われた後に、ネットワーク認証システム１内の新規制御装置１０及び既存制御装置２０のそれぞれで行われる処理手続が示されている。
まず、新規制御装置１０の制御処理部１０２が、既存制御装置２０Ａを宛先とするコマンドを生成する（ステップＳ６０１）。次に、鍵管理部１０９が、鍵情報リスト保管部１１５に格納されているネットワーク共有鍵を取得し（ステップＳ６０２）、取得したネットワーク共有鍵によって、ステップＳ６０１で生成したコマンドを暗号化する（ステップＳ６０３）。そして、制御処理部１０２は、既存制御装置２０Ａに対して、ステップＳ６０３で暗号化した暗号化済既存制御装置宛てコマンドＡ６０１を送信する。
暗号化済既存制御装置宛てコマンドＡ６０１を受信した既存制御装置２０Ａでは、制御処理部２０１Ａが当該コマンドＡ６０１の宛先を確認する（ステップＳ６０４Ａ）。宛先が自装置、すなわち既存制御装置２０Ａではなかった場合には（ステップＳ６０４ＡのＮＯ）、暗号化済既存制御装置宛てコマンドＡ６０１は破棄され（ステップＳ６０５Ａ）、処理が終了する。宛先が自装置、すなわち既存制御装置２０Ａであった場合には（ステップＳ６０４ＡのＹＥＳ）、ステップＳ６０６の処理が行われる。
なお、ネットワーク認証システム１では、その仕様上、コマンドのマルチキャスト送信やブロードキャスト送信が求められることがある。このような場合には、制御処理部１０２は、暗号化済既存制御装置宛てコマンドＡ６０１を既存制御装置２０Ａに送信するのと同時に、既存制御装置２０Ｂ〜２０Ｎに対して、暗号化済既存制御装置宛てコマンドＡ６０２を送信する。そして、暗号化済既存制御装置宛てコマンドＡ６０２を受信したそれぞれの既存制御装置２０Ｂ〜２０Ｎでは、ステップＳ６０４Ａと同様に、コマンドの宛先の確認が行われる（ステップＳ６０４Ｎ）。そして、自装置が宛先ではないと判定されると、受信した暗号化済既存制御装置宛てコマンドＡ６０２が破棄される（ステップＳ６０５Ｎ）。
ステップＳ６０６では、制御処理部２０２Ａが、装置リスト保管部２１４Ａに格納されている装置リストを参照し、装置リストに暗号化済既存制御装置宛てコマンドＡ６０１の送信元（すなわち、新規制御装置１０）が含まれているか否か判定する。装置リストに新規制御装置１０が含まれていなかった場合には（ステップＳ６０６のＮＯ）、制御処理部２０２Ａは、新規制御装置１０を不正な装置であると判断する。このとき、制御処理部２０２Ａは、既存制御装置２０Ａ内の計時機能を利用して日時情報を取得し（ステップＳ６０７）、初期化制御装置１０のネットワーク上の識別子や固有の識別子等の情報を不正装置情報として取得する（ステップＳ６０８）。そして、装置管理部２０７Ａは、ステップＳ６０７で取得した日時情報とステップＳ６０８で取得した不正装置情報とを、装置リスト保管部２１４Ａに格納されている装置リストに追加する（ステップＳ６０９）。その後、新規制御装置１０から受信した暗号化済既存制御装置宛てコマンドＡ６０１は破棄されて（ステップＳ６１０）、処理が終了する。
一方、ステップＳ６０６において装置リストに新規制御装置１０が含まれていた場合には（ステップＳ６０６のＹＥＳ）、認証処理部２０４Ａが、装置リスト保管部２１４Ａの装置リストを参照し、暗号化済既存制御装置宛てコマンドＡ６０１の送信元である新規制御装置１０の認証状態を確認する（ステップＳ６１１）。その結果、認証されていないと判断した場合には（ステップＳ６１１のＮＯ）、認証処理部２０４Ａは、新規制御装置１０に対して認証エラーＡ６０３を送信する。
ステップＳ６１１において認証済みであると確認された場合には（ステップＳ６１１のＹＥＳ）、認証処理部２０４Ａは、装置リストを参照して、新規制御装置１０の装置認証有効期限が現在の日時以降であるか否かを確認する（ステップＳ６１２）。現在の日時以前、つまり、有効期限切れであった場合には（ステップＳ６１２のＮＯ）、認証処理部２０４Ａは、新規制御装置１０に対して認証エラーＡ６０４を送信する。
ステップＳ６１１及びＳ６１２による認証確認の処理は、いずれかでもＮＯと判定された場合には、新規制御装置１０が認証されていない（認証失敗）と判断される。このような場合には、前述のように認証エラーＡ６０３又はＡ６０４が送信される。認証エラーＡ６０３又はＡ６０４が送信された後は、受信側の新規制御装置１０で、図７のステップＳ７０５に示す処理が実行される。
また、ステップＳ６１２において新規制御装置１０の装置認証有効期限が有効期限内であった場合には（ステップＳ６１２のＹＥＳ）、ステップＳ６１１及びＳ６１２の両方の処理でＹＥＳと判定されているので、新規制御装置１０が認証済みと判断される。このような場合に、既存制御装置２０Ａでは、図７のステップＳ７０１に示す処理が実行される。
図７のステップＳ７０１では、新規制御装置１０が認証済みであることが確認された後の処理が開始され、まず、既存制御装置２０Ａの鍵管理部２０９Ａが、鍵情報リスト保管部２１５に格納されているネットワーク共有鍵を取得する。次に、鍵管理部２０９Ａは、ステップＳ７０１で取得したネットワーク共有鍵によって、新規制御装置１０から受信した暗号化済既存制御装置宛てコマンドＡ６０１を復号する（ステップＳ７０２）。そして、制御処理部２０２Ａは、ステップＳ７０２で復号されたコマンドの内容に従って、コマンドの処理を行う（ステップＳ７０３）。コマンドの処理が終わると、暗号処理部２０５Ａが、応答メッセージの暗号化を行う（ステップＳ７０４）。ステップＳ７０４で暗号化された応答メッセージは、暗号化済レスポンスＡ７０１として、新規制御装置１０に送信される。
一方、新規制御装置１０では、認証処理部１０４が、認証エラーが発生しているか否かを判定する（ステップＳ７０５）。具体的には、認証処理部１０４は、図６のステップＳ６１１又はＳ６１２の処理の結果、認証エラーＡ６０３又はＡ６０４を受信した場合には認証エラーが発生したと判定し、前述の暗号化済レスポンスＡ７０１を受信した場合には認証済みの状態が確認されて認証エラーは発生していないと判定する。
ステップＳ７０５において認証エラーの発生が確認されなかった場合には（ステップＳ７０５のＮＯ）、鍵管理部１０９が、鍵情報リスト保管部１１５に格納されているネットワーク共有鍵を取得する（ステップＳ７０６）。次に、鍵管理部１０９は、ステップＳ７０６で取得したネットワーク共有鍵によって、既存制御装置２０Ａから受信した暗号化済レスポンスＡ７０１を復号し（ステップＳ７０７）、処理を終了する。
ステップＳ７０５において認証エラーの発生が確認された場合には（ステップＳ７０５のＹＥＳ）、認証処理部１０４は、認証エラーＡ６０３又はＡ６０４の発信元の装置、ここでは既存制御装置２０Ａに対して、相互認証の処理を依頼する認証依頼Ａ７０２を送信する。その後、認証依頼Ａ７０２の送信元である新規制御装置１０と送信先である既存制御装置２０Ａとの間で、図５のステップＳ５０９〜Ｓ５１７に示した処理と同様の一連の認証処理が行われる。
その後、認証処理が終了すると、新規制御装置１０は、暗号化済既存制御装置宛てコマンド再送Ａ７０３又はＡ７０４として、以前に送信した暗号化済既存制御装置宛てコマンドＡ６０１又はＡ６０２と同じコマンドを、既存制御装置２０Ａ及び既存制御装置２０Ｂ〜２０Ｎに再送する。
図６及び図７について上述した処理によって、相互に認証された状態にある新規制御装置１０と既存制御装置２０Ａとの間で、暗号化されたコマンドの送受信及びその復号が実行される。
（１−４−４）認証結果の有効期限が切れた装置の再認証処理
図５では、ネットワーク認証システム１に接続された新規制御装置１０や既存制御装置２０に対する認証処理について説明したが、認証結果の有効期限を超過すると、再度認証処理を行う必要がある。そこで、以下では、新規制御装置１０について認証結果の有効期限を確認し、必要に応じて再度認証処理を行う手続の一例について、図８を参照しながら説明する。
まず、新規制御装置１０の制御処理部１０２は、既存制御装置１０内の計時機能や他の装置の日時情報を利用して日時情報を取得する（ステップＳ８０１）。そして、認証処理部１０４は、装置リスト保管部１１４に格納されている装置リストを参照し、ステップＳ８０１で取得された日時情報に基づいて、新規制御装置１０の装置認証有効期限が有効期限以内であるか否かを確認する（ステップＳ８０２）。新規制御装置１０の装置認証有効期限が有効期限内であった場合には（ステップＳ８０２のＹＥＳ）、認証処理部１０４は、新たに認証処理を行う必要はないので、処理を終了する（ステップＳ８０３）。
一方、ステップＳ８０２において新規制御装置１０の装置認証有効期限が有効期限切れであった場合には（ステップＳ８０２のＮＯ）、認証処理部１０４は、再度認証処理を行う必要があるので、認証処理を依頼する既存制御装置２０を選択する（ステップＳ８０４）。認証処理を依頼する装置の選択方法には、例えば、過去に認証を行ったことがある装置を選択する方法や、直近で通信を行った装置を選択する等の方法を用いる。ここでは既存制御装置２０Ａを選択したとする。そして、認証処理部１０４は、ステップＳ８０４で選択した既存制御装置２０Ａに対して、相互認証の処理を依頼する認証依頼Ａ８０１を送信する。その後、認証依頼Ａ８０１の送信元である新規制御装置１０と送信先である既存制御装置２０Ａとの間で、図５のステップＳ５０９〜Ｓ５１７に示した処理と同様の一連の認証処理が行われる。
図８について上述した処理によって、認証結果の有効期限が超過した場合に、当該超過した装置に対して再度認証処理を実施することができる。
（１−４−５）装置の停止処理
次に、ネットワーク認証システム１に接続された装置を停止する場合の処理について、図９を参照しながら説明する。装置の停止とは、例えば電源断によって当該装置の各部が機能を停止する状態を示す。以下では、新規制御装置１０を停止する場合の処理を説明する。
まず、ユーザによって電源断を指示する所定の操作が行われる等を契機として、新規制御装置１０のモード切替部１０３が、動作モードを停止モードに切り替える（ステップＳ９０１）。次に、モード切替部１０３は、ネットワーク４０に接続された他の既存制御装置２０Ａ〜２０Ｎに対して、新規制御装置１０を停止することを伝える停止モード通知Ａ９０１又はＡ９０２を送信する。停止モード通知Ａ９０１及びＡ９０２は、上述したモード通知情報の１つであり、図１８で例示したモード通知情報１８０と同様のテーブル構成からなる。例えば、停止モード通知Ａ９０１における発信装置ＩＤ欄１８０１には、停止する新規制御装置１０の装置ＩＤが記載される。
そして、停止モード通知Ａ９０１及びＡ９０２を送信した後に、新規制御装置１０の装置管理部１０７は、装置リスト保管部１１４に格納されている装置リストにおける新規制御装置１０の装置状態をオフラインに更新する（ステップＳ９０２）。そして、制御処理部１０２は、新規制御装置１０の動作を停止するための終了処理を行う（ステップＳ９０３）。
一方、停止モード通知Ａ９０１又はＡ９０２を受信した既存制御装置２０Ａ〜２０Ｎでは、それぞれの装置ごとに、装置管理部２０７が、装置リスト保管部２１４に格納されている装置リストにおける新規制御装置１０の装置状態をオフラインに更新する（ステップＳ９０４Ａ〜Ｓ９０４Ｎ）。
図９について上述した処理によって、新規制御装置１０は停止モードで停止し、既存制御装置２０Ａ〜２０Ｎのそれぞれの装置リストには、新規制御装置１０が停止したことが記載される。なお、装置の停止によってネットワーク認証システム１における登録が解除されるわけではないので、電源が投入される等して再度起動した場合には、新規制御装置１０は、起動モードから運用モードにモード移行して、ネットワーク認証システム１内で通常の動作を行うことができる。
（１−４−６）装置の削除処理
次に、ネットワーク認証システム１に接続された装置を削除する場合の処理について、図１０を参照しながら説明する。装置の削除とは、当該装置をネットワーク４０から物理的に外す、又は、ネットワーク認証システム１から当該装置の接続を解除する等によって、ネットワーク認証システム１における登録が解除される状態を示す。以下では、ネットワーク認証システム１に登録済みの新規制御装置１０を削除する場合の処理を説明する。
まず、既存制御装置２０Ａ〜２０Ｎのうちから、新規制御装置１０の削除処理を行う装置が選択される。ここでは例えば、操作部（図示せず）に対するユーザの選択に従って既存制御装置２０Ａが選択されるとする。このとき、モード切替部２０３Ａは、動作モードを保守モードに切り替える（ステップＳ１００１）。なお、モード切替部２０３Ａが動作モードを保守モードに切り替える場合には、管理者用のパスワード認証を事前に要求する等して、操作者を限定してもよい。
次に、ステップＳ１００２では、経過時間管理部２１０Ａが、動作モードが保守モードに切り替えられた時刻を確認し、その時刻情報を時刻情報保管部２１６Ａに格納する。次に、モード切替部２０３Ａは、ネットワーク４０に接続された他の既存制御装置２０Ｂ〜２０Ｎに対して、新規制御装置１０を削除するために保守モードに変更したことを伝える保守モード通知Ａ１００１を送信する。
次に、保守モード通知Ａ１００１を受信した既存制御装置２０Ｂ〜２０Ｎでは、各装置の経過時間管理部２１０Ｂ〜２１０Ｎが、時刻情報を取得して時刻情報保管部２１６Ｂ〜２１６Ｎに格納する（ステップＳ１００３）。
一方、既存制御装置２０Ａでは、保守モード通知Ａ１００１の送信後に、削除の対象とする装置の情報が、ユーザからの所定の操作等によって入力される（ステップＳ１００４）。この入力は、例えば、ステップＳ１００１において削除処理を行う装置が選択される場合に併せて入力されていてもよい。そして、制御処理部２０２Ａは、装置リスト保管部２１４Ａに格納されている装置リストを参照し、ステップＳ１００４で入力された削除対象の装置、この場合には新規制御装置１０の装置ＩＤを取得し、取得した新規制御装置１０の装置ＩＤを削除装置ＩＤＡ１００２として既存制御装置２０Ｂ〜２０Ｎに送信する。
削除装置ＩＤＡ１００２を受信した既存制御装置２０Ｂ〜２０Ｎでは、既存制御装置２０Ｂ〜２０Ｎの各装置管理部２０７Ｂ〜２０７Ｎが、受信した削除装置ＩＤＡ１００２に基づいて、各装置リスト保管部２１４Ｂ〜２１４Ｎに格納されている装置リストから新規制御装置１０に関するデータを削除する（ステップＳ１００５）。さらに、既存制御装置２０Ｂ〜２０Ｎの各鍵管理部２０９Ｂ〜２０９Ｎは、受信した削除装置ＩＤＡ１００２に基づいて、各鍵情報リスト保管部２１５Ｂ〜２１５Ｎに格納されている鍵情報リストから新規制御装置１０に関するデータを削除する（ステップＳ１００６）。
また、削除装置ＩＤＡ１００２を送信した既存制御装置２０Ａ側でも、装置管理部２０７Ａが、装置リスト保管部２１４Ａに格納されている装置リストから新規制御装置１０に関するデータを削除し（ステップＳ１００７）、鍵管理部２０９Ａが、鍵情報リスト保管部２１５Ａに格納されている鍵情報リストから新規制御装置１０に関するデータを削除する（ステップＳ１００８）。
次に、既存制御装置２０Ａ〜２０Ｎで用いられる鍵を更新するために、鍵生成部２０８Ａが新しい鍵情報群を生成する（Ｓ１００９）。この新鍵情報群は、現時点でオンラインに接続されている既存制御装置２０Ａ〜２０Ｎに対する鍵として生成される。そして、鍵管理部２０９Ａは、ステップＳ１００９で生成された鍵情報群を取得し（ステップＳ１０１０）、取得した鍵情報群のそれぞれの鍵を、現在使用中の暗号鍵によって暗号化する（ステップＳ１０１１）。そして、鍵管理部２０９Ａは、暗号化した暗号化済新鍵情報群Ａ１００３を既存制御装置２０Ｂ〜２０Ｎに送信する。
暗号化済新鍵情報群Ａ１００３を受信した既存制御装置２０Ｂ〜２０Ｎでは、既存制御装置２０Ｂ〜２０Ｎの各鍵管理部２０９Ｂ〜２０９Ｎが、暗号化済新鍵情報群Ａ１００３を取得する（ステップＳ１０１２）。そして、鍵管理部２０９Ｂ〜２０９Ｎは、取得した暗号化済新鍵情報群Ａ１００３を現在使用中の暗号鍵によって復号する（ステップＳ１０１３）。次に、鍵管理部２０９Ｂ〜２０９Ｎは、復号した新鍵情報群を鍵情報リスト保管部２１５Ｂ〜２２１５Ｎに格納されている鍵情報リストに格納する（ステップＳ１０１４）。なお、ステップＳ１０１４で復号した新鍵情報群を鍵情報リストに格納する際には、現在使用中の鍵を旧鍵として残し、復号した新鍵情報群を新鍵として追加する。
また、既存制御装置２０Ａでも、ステップＳ１０１４に示した既存制御装置２０Ｂ〜２０Ｎにおける処理と同様に、ステップＳ１００９で生成した新鍵情報群を鍵情報リスト保管部２１５Ａに格納されている鍵情報リストに追加格納する（ステップＳ１０１５）。その後、制御処理部２０２Ａは、所定の時間が経過するまで待ち受け状態に移行する（ステップＳ１０１６）。
一方、既存制御装置２０Ｂ〜２０Ｎでは、ステップＳ１００３で取得した時刻情報に基づいて所定の時間が経過したタイミングで、制御処理部２０２Ｂ〜２０２Ｎが、新規制御装置１０の削除処理に必要となる情報が不足していないか確認する（ステップＳ１０１７）。この確認で不足情報がないと判定された場合には（ステップＳ１０１７のＮＯ）、ステップＳ１０２４の処理が行われる。
ステップＳ１０１７において不足情報があると判定された場合には（ステップＳ１０１７のＹＥＳ）、制御処理部２０２Ｂ〜２０２Ｎが、既存制御装置２０Ａに不足情報の提供を要求する不足情報要求コマンドＡ１００４を送信する。既存制御装置２０Ａでは、不足情報要求コマンドＡ１００４に応じて、制御処理部２０２Ａが、要求された不足情報Ａ１００５を既存制御装置２０Ｂ〜２０Ｎに返信する。そして、既存制御装置２０Ｂ〜２０Ｎでは、制御処理部２０２Ｂ〜２０２Ｎが、受信した不足情報Ａ１００５を所定の保管部に格納する（ステップＳ１０１８）。その後、ステップＳ１０２４の処理が行われる。
また、ステップＳ１０１６で待ち受け状態に移行した既存制御装置２０Ａでは、制御処理部２０２Ａが、ステップＳ１００２で時刻情報を取得した時刻から所定の時間が経過したか否かを判定する（ステップＳ１０１９）。所定の時間が経過していなかった場合には（ステップＳ１０１９のＮＯ）再びステップＳ１０１６に戻り、既存制御装置２０Ａは、既存制御装置２０Ｂ〜２０Ｎから不足情報要求コマンドＡ１００４が送信される場合に備える。
ステップＳ１０１９において所定の時間が経過したと判定された場合には（ステップＳ１０１９のＹＥＳ）、制御処理部２０２Ａは、既存制御装置２０Ａの待ち受け状態を解除する（ステップＳ１０２０）。そして、鍵管理部２０９Ａは、ステップＳ１０１５で更新した鍵情報リストに記載された鍵を所定のアルゴリズムに適用してネットワーク共有鍵を生成し（ステップＳ１０２１）、生成したネットワーク共有鍵を鍵情報リスト保管部２１５Ａの鍵情報リストに格納する（ステップＳ１０２２）。その後、モード切替部２０３Ａが、動作モードを保守モードから運用モードに切り替える（ステップＳ１０２３）。
また、既存制御装置２０Ｂ〜２０Ｎでも、ステップＳ１０２４において、鍵管理部２０９Ｂ〜２０９Ｎが、ステップＳ１０１４で更新した鍵情報リストに記載された鍵を所定のアルゴリズムに適用してネットワーク共有鍵を生成し（ステップＳ１０２４）、生成したネットワーク共有鍵を鍵情報リスト保管部２１５Ｂ〜２１５Ｎの鍵情報リストに格納する（ステップＳ１０２５）。
ここで、ステップＳ１０１４で更新された既存制御装置２０Ｂ〜２０Ｎの鍵情報リストの内容と、ステップＳ１０１５で更新された既存制御装置２０Ａの鍵情報リストの内容は同じである。従って、ステップＳ１０２１及びステップＳ１０２４で生成されるネットワーク共有鍵は、同じ内容の鍵情報リストが所定のアルゴリズムに適用されて生成されることになるので、同一のネットワーク共有鍵となる。
図１０について上述した処理によって、ネットワーク認証システム１における新規制御装置１０の登録が解除され、ネットワーク４０内に残った既存制御装置２０Ａ〜２０Ｎの間で、ネットワーク共有鍵が再生成されて共有される。
（１−４−７）鍵の更新処理
次に、ネットワーク認証システム１に接続された新規制御装置１０及び既存制御装置２０における鍵の更新処理について、図１１を参照しながら説明する。以下では、既存制御装置２０Ａによってネットワーク認証システム１に接続された新規制御装置１０及び既存制御装置２０の鍵を更新する場合について説明するが、鍵の更新は、新規制御装置１０や既存制御装置２０Ｂ〜２０Ｎといった他の装置によって実施されてもよい。
まず、モード切替部２０３Ａが、動作モードを保守モードに切り替える（ステップＳ１１０１）。そして、経過時間管理部２１０Ａが、動作モードが保守モードに切り替えられた時刻を確認し、その時刻情報を時刻情報保管部２１６Ａに格納する（ステップＳ１１０２）。そして、モード切替部２０３Ａは、ネットワーク４０に接続された新規制御装置１０及び既存制御装置２０Ｂ〜２０Ｎに対して、鍵更新を行うために保守モードに変更したことを伝える保守モード通知Ａ１１０１又はＡ１１０２を送信する。
保守モード通知Ａ１１０２を受信した既存制御装置２０Ｂ〜２０Ｎでは、経過時間管理部２１０Ｂ〜２１０Ｎが、時刻情報を取得して時刻情報保管部２１６Ｂ〜２１６Ｎに格納する（ステップＳ１１０３）。また、保守モード通知Ａ１１０１を受信した新規制御装置１０では、経過時間管理部１１０が、時刻情報を取得して時刻情報保管部１１６に格納する（ステップＳ１１０４）。
その後、既存制御装置２０Ａでは、新規制御装置１０及び既存制御装置２０の鍵を更新するために、鍵生成部２０８Ａが新しい鍵情報群を生成する（ステップＳ１１０５）。この新鍵情報群は、現時点でオンラインに接続されている新規制御装置１０及び既存制御装置２０に対する鍵として生成される。そして、鍵管理部２０９Ａは、ステップＳ１１０５で生成された鍵情報群を取得し（ステップＳ１１０６）、取得した鍵情報群のそれぞれの鍵を、現在使用中の暗号鍵によって暗号化する（ステップＳ１１０７）。そして、鍵管理部２０９Ａは、暗号化した暗号化済新鍵情報群Ａ１１０３又はＡ１１０４を新規制御装置１０又は既存制御装置２０Ｂ〜２０Ｎに送信する。
暗号化済新鍵情報群Ａ１１０３を受信した新規制御装置１０では、図１０のステップＳ１０１２〜Ｓ１００４、Ｓ１０１８、及びＳ１０２４〜Ｓ１０２５に示した処理と同様の処理によって、暗号化済新鍵情報群Ａ１１０３に含まれる新鍵による鍵更新が行われ、ネットワーク共有鍵が生成及び格納される。
処理を簡単に説明すると、新規制御装置１０では、新鍵情報群の取得（ステップＳ１１１１）、現在使用中の暗号鍵による新鍵情報群の復号（ステップＳ１１１２）、及び復号した新鍵情報群の格納（ステップＳ１１１３）が行われる。そして、鍵情報の更新のために必要な情報が不足していないかの判定が行われ（ステップＳ１１１８）、不足していた場合には、既存制御装置２０Ａと不足情報要求コマンドＡ１１０７及び不足情報Ａ１１０８を送受信することによって不足情報が補われる（ステップＳ１１１９）。その後、ネットワーク共有鍵が生成（ステップＳ１１２７）及び格納される（ステップＳ１１２８）。
また、暗号化済新鍵情報群Ａ１１０４を受信した既存制御装置２０Ｂ〜２０Ｎでも、暗号化済新鍵情報群Ａ１１０３を受信した新規制御装置１０と同様の処理が行われる（ステップＳ１１０８〜Ｓ１１１０、Ｓ１１１６〜Ｓ１１１７、及びＳ１１２５〜１１２６）。
一方、暗号化済新鍵情報群Ａ１１０３及びＡ１１０４を送信した既存制御装置２０Ａでは、図１０のステップＳ１０１５〜１０１６及びＳ１０１９〜１０２２に示した処理と同様の処理によって、ステップＳ１００９で生成された新鍵情報群による鍵更新が行われ、ネットワーク共有鍵が生成及び格納される（ステップＳ１１１４〜Ｓ１１１５及びＳ１１２０〜Ｓ１１２３）。そして、最後にモード切替部２０３Ａが動作モードを保守モードから運用モードに切り替え（ステップＳ１１２４）、処理が終了する。
図１１について上述した処理によって、ネットワーク認証システム１に接続された新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎにおける鍵が既存制御装置２０Ａによって更新される。
（１−４−８）監視装置によるセキュリティ情報の収集処理
次に、監視装置３０がネットワーク認証システム１に接続されている新規制御装置１０及び既存制御装置２０が保有しているセキュリティ情報を収集する処理について、図１２を参照しながら説明する。ここでいうセキュリティ情報とは、装置リスト及び鍵情報リストに相当する。なお、監視装置３０は、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎと同様に、ネットワーク認証システム１に接続されている装置である。
まず、監視装置３０のモード切替部３０２が、動作モードを保守モードに切り替える（ステップＳ１２０１）、ネットワーク４０に接続された新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎに対して、各装置の状態を取得するために保守モードに変更したことを伝える保守モード通知Ａ１２０１、Ａ１２０２又はＡ１２０３を送信する。なお、監視装置３０による保守モード通知Ａ１２０１、Ａ１２０２及びＡ１２０３の送信が行われた後に、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎのそれぞれと監視装置３０との間で、同様の処理が行われる。従って以下では、簡略のために、監視装置３０と新規制御装置１０との間で行われる処理だけを説明する。
保守モード通知Ａ１２０１を受信した新規制御装置１０では、経過時間管理部１１０が、時刻情報を取得して時刻情報保管部１１６に格納し（ステップＳ１２０２）、新規制御装置１０は待ち受け状態に移行する（ステップＳ１２０３）。
一方、監視装置３０では、保守モード通知Ａ１２０１を送信した後に、装置リスト収集部３１０が、ネットワーク認証システム１に接続されている新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎが保有している装置リストを収集するための装置リスト取得コマンドを生成し（ステップＳ１２０６）、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎに対して装置リスト取得コマンドＡ１２０４、Ａ１２０５又はＡ１２０６を送信する。
そして、装置リスト取得コマンドＡ１２０４を受信した新規制御装置１０では、装置管理部１０７が装置リスト保管部１１４に格納されている装置リストを取得し（ステップＳ１２０７）、取得した装置リストＡ１２０７を監視装置３０に返信する。そして、監視装置３０では、装置リスト収集部３１０が、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎから受信した装置リストＡ１２０７、Ａ１２０８及びＡ１２０９を収集装置リスト保管部３１８に格納する（ステップＳ１２０９）。
次に、監視装置３０では、鍵情報リスト収集部３１１が、ネットワーク認証システム１に接続されている新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎが保有している鍵情報リストを収集するための鍵情報取得コマンドを生成し（ステップＳ１２１０）、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎに対して鍵情報リスト取得コマンドＡ１２１０、Ａ１２１１又はＡ１２１２を送信する。
そして、鍵情報リスト取得コマンドＡ１２１０を受信した新規制御装置１０では、鍵管理部１０９が鍵情報リスト保管部１１５に格納されている鍵情報リストを取得し（ステップＳ１２１１）、取得した鍵情報リストＡ１２１３を監視装置３０に返信する。そして、監視装置３０では、鍵情報リスト収集部３１１が、新規制御装置１０及び既存制御装置２０Ａ〜２０Ｎから受信した鍵情報リストＡ１２１３、Ａ１２１４及びＡ１２１５を収集鍵情報リスト保管部３１９に格納する（ステップＳ１２１３）。その後、監視装置３０のモード切替部３０２は、動作モードを保守モードから運用モードに切り替え（ステップＳ１２１４）、処理が終了する。
なお、ステップＳ１２１３とステップＳ１２１４の間に、監視装置３０の出力部３１２が、ステップＳ１２０９で収集装置リスト保管部３１８に格納された装置リスト、及びステップＳ１２１３で収集鍵情報リスト保管部３１９に格納された鍵情報リストを、表示部（図示せず）に出力するようにしてもよい。
また、鍵情報リストＡ１２１３を送信した新規制御装置１０では、経過時間管理部１１０が、ステップＳ１２０２で取得した時刻情報に基づいて、所定の時間が経過したか否かを判定する（ステップＳ１２１５）。所定の時間が経過していないと判定された場合には（ステップＳ１２１５のＮＯ）、ステップＳ１２０３の待ち受け状態に戻る（ステップＳ１２１６）。ステップＳ１２１５で所定の時間が経過していると判定された場合には（ステップＳ１２１５のＹＥＳ）、制御処理部１０２が待ち受け状態を解除し（ステップＳ１２１７）、処理が終了する。
なお、図１２の処理では、監視装置３０と新規制御装置１０及び既存制御装置２０との間で事前に認証処理が完了しているとして、装置リスト及び鍵情報リストを収集する場合に、監視装置３０と新規制御装置１０及び既存制御装置２０との間で認証処理が行われていない。しかし、例えば、保守モード通知Ａ１２０１〜Ａ１２０３が送信された時や、各リストの収集時に、認証済みか否かを確認する処理が追加されてもよい。また、装置リストや鍵情報リストの収集を行う場合に、各リストを暗号化して送受信するようにしてもよい。
図１２について上述した処理によって、監視装置３０は、ネットワーク認証システム１に接続されている新規制御装置１０及び既存制御装置２０から装置リスト及び鍵情報リストを収集し、収集装置リスト保管部３１８及び収集鍵情報リスト保管部３１９に格納することができる。
（１−５）本実施の形態によるネットワーク認証システムの効果
このようなネットワーク認証システム１では、暗号通信及び認証処理を行うための特別なサーバを構築することなく、又、事前に秘密情報を共有することもなくネットワーク４０に接続する新規制御装置１０、既存制御装置２０及び監視装置３０を相互に認証することができるので、ネットワーク認証システム１における構成上の負担及び処理上の負荷が増加することを抑制できる。
また、このようなネットワーク認証システム１では、新規制御装置１０、既存制御装置２０、及び監視装置３０のそれぞれがモード切替部１０３、２０３又は３０２によって切り替えられる複数の動作モードを有し、新規の装置がネットワーク認証システム１に接続可能な状態を保守モードだけに限定することにより、外部からのアクセスを許容する状態を制限する。その結果、不正な装置の接続によって悪意のある第三者から攻撃を受ける可能性を低減させ、簡単な構成でネットワーク４０内の安全性を確保又は向上させることができる。
さらに、このようなネットワーク認証システム１は、ネットワーク認証システム１に登録されている装置に送信された制御コマンドについて、制御コマンドの送信元の装置がネットワーク認証システム１に登録済みで、かつ、有効期限付きの認証処理済みであることが確認されない場合には、当該コマンドを破棄するので、不正な装置や未認証状態の装置からのコマンド実行を防止し、安全性をさらに向上させることができる。
さらに、このようなネットワーク認証システム１は、図５に示した処理のように、２装置間（例えば、図５では新規制御装置１０及び既存制御装置２０Ａ）で行われた相互認証の認証結果が、暗号化済装置リストＡ５０９及びＡ５１０の送信によってネットワーク４０内の新規制御装置１０及び既存制御装置２０（及び監視装置３０）の全てで共有されるので、ネットワーク認証システム１全体で行う認証回数を削減することができる。その結果、ネットワーク認証システム１は、認証処理による負荷を低減し、安全性を確保したままシステム全体における処理能力を向上させることができる。
さらに、このようなネットワーク認証システム１では、監視装置３０が、ネットワーク４０内の新規制御装置１０及び既存制御装置２０から、各装置が保有しているセキュリティ情報（装置リスト及び鍵情報リスト）を収集することができるので、管理者は、このセキュリティ情報をネットワーク認証システム１の管理に活用することができる。また、収集されたセキュリティ情報が出力部３１２によって出力される場合には、セキュリティ情報を可視化して、さらなる管理上の効果をも期待することができる。
（２）第２の実施の形態
次に、第２の実施の形態によるネットワーク認証システム２について説明する。
（２−１）本実施の形態によるネットワーク認証システムの構成
図１３に示すように、ネットワーク認証システム２は、ブリッジ装置６０を介して、旧制御装置８０（個別には８０Ａ〜８０Ｎ）が接続された旧ネットワーク７０に接続されている。ネットワーク認証システム２は、図１に示した第１の実施の形態のネットワーク認証システム１の構成にブリッジ装置６０が追加された構成となっており、ネットワーク認証システム１と同様の構成要素については、同一の符号を付し、その説明を省略する。但し図１２では、旧ネットワーク７０と区別するために、図１のネットワーク４０を新ネットワーク５０と記載している。
ブリッジ装置６０は、新ネットワーク通信部６０１、モード切替部６０２、認証処理部６０３、暗号処理部６０４、状態変化認識部６０５、装置管理部６０６、鍵生成部６０７、鍵管理部６０８、経過時間管理部６０９、旧ネットワーク通信部６１０、識別情報保管部６１１、モード情報保管部６１２、新ネットワーク装置リスト保管部６１３、旧ネットワーク装置リスト保管部６１４、鍵情報リスト保管部６１５、及び時刻情報保管部６１６を有する。
ブリッジ装置６０は、新規制御装置１０、既存制御装置２０、又は監視装置３０と同様のハードウェア構成を有する。そして例えば、新ネットワーク通信部６０１及び旧ネットワーク通信部６１０は、図２に示す通信装置６１によって実現される。また、モード切替部６０２、認証処理部６０３、暗号処理部６０４、状態変化認識部６０５、装置管理部６０６、鍵生成部６０７、鍵管理部６０８、及び経過時間管理部６０９は、ＣＰＵ６４によるプログラムの実行によりそれぞれの制御処理を行う。また、識別情報保管部６１１、モード情報保管部６１２、新ネットワーク装置リスト保管部６１３、旧ネットワーク装置リスト保管部６１４、鍵情報リスト保管部６１５、及び時刻情報保管部６１６は、各種データが格納される記憶装置６３によって実現される。
新ネットワーク通信部６０１は、新ネットワーク５０を介して新規制御装置１０、既存制御装置２０及び監視装置３０との間で通信を行う。旧ネットワーク通信部６１０は、旧ネットワーク７０を介して旧制御装置８０との間で通信を行う。新ネットワーク装置リスト保管部６１３には、新ネットワーク５０内の新規制御装置１０、既存制御装置２０、監視装置３０及びブリッジ装置６０における接続状態や認証状態等が装置リストとして格納される。旧ネットワーク装置リスト保管部６１４には、旧ネットワーク７０内の旧制御装置８０の接続状態が装置リストとして格納される。なお、新ネットワーク装置リスト保管部６１３及び旧ネットワーク装置リスト保管部６１４にそれぞれ格納される装置リストは、図１６に示した装置リスト１６０と同様のテーブル構成を有する。
なお、ブリッジ装置６０におけるモード切替部６０２、認証処理部６０３、暗号処理部６０４、状態変化認識部６０５、装置管理部６０６、鍵生成部６０７、鍵管理部６０８、経過時間管理部６０９、識別情報保管部６１１、モード情報保管部６１２、鍵情報リスト保管部６１５、及び時刻情報保管部６１６は、ネットワーク認証システム１又は２内の新規制御装置１０、既存制御装置２０又は監視装置３０における同名の構成と同様の機能を有するので、説明を省略する。
また、ブリッジ装置６０のハードウェア構成は、図２に示した新規制御装置１０のハードウェア構成と同様である。例えば、新ネットワーク通信部６０１及び旧ネットワーク通信部６１０は通信装置１１によって実現され、モード切替部６０２、認証処理部６０３、・・・、及び経過時間管理部６０９は、プログラムの実行に従って制御を行うＣＰＵ１４によって実現される。また、例えば、各保管部６１１〜６１６は、記憶装置１３によって実現される。
また、旧制御装置８０は、ネットワーク認証システム２の外部にある装置の一例であり、旧制御装置８０とネットワーク認証システム２との間では、暗号化されない平文のデータが送受信される。これら旧制御装置８０（８０Ａ〜８０Ｎ）は、旧ネットワークと通信を行う通信部８０１（８０１Ａ〜８０１Ｎ）、旧制御装置８０の各部を制御し旧制御装置８０に固有の処理を行う制御処理部８０２（８０２Ａ〜８０２Ｎ）、及び制御処理部８０２による制御処理を行うために必要となるデータを格納する制御情報保管部８０３（８０３Ａ〜８０３Ｎ）を有する。
（２−２）本実施の形態のネットワーク認証システムにおける処理
本実施の形態によるネットワーク認証システム２における各種の処理を説明する。なお、ネットワーク認証システム２内の新規制御装置１０、既存制御装置２０及び監視装置３０の間で行われる新規接続時の初期化処理、認証処理、コマンド実行処理、装置の停止処理、装置の削除処理、鍵の更新処理、及びセキュリティ情報の収集処理については、第１の実施の形態で説明したのと同様の処理であるので、説明を省略する。以下では、新ネットワーク５０側の新規制御装置１０、既存制御装置２０又は監視装置３０と旧ネットワーク７０側の旧制御装置８０との間で行われる通信の処理について説明する。
（２−２−１）新ネットワーク側の装置から旧ネットワーク側の装置へのコマンド送信
新ネットワーク５０側の新規制御装置１０、既存制御装置２０、又は監視装置３０が旧ネットワーク７０側の旧制御装置８０に制御コマンドを送信する場合の処理について、図１４を参照しながら説明する。ここでは、一例として、既存制御装置２０Ａから旧制御装置８０Ａにコマンドが送信されるとする。
まず、既存制御装置２０Ａの制御処理部２０２Ａが、旧制御装置８０Ａを宛先とするコマンドを生成する（ステップＳ１４０１）。次に、鍵管理部２０９Ａが、鍵情報リスト保管部２１５Ａに格納されているネットワーク共有鍵を取得し（ステップＳ１４０２）、取得したネットワーク共有鍵によって、ステップＳ１４０１で生成したコマンドを暗号化する（ステップＳ１４０３）。そして、制御処理部２０２Ａは、新ネットワーク５０側の他の装置（新規制御装置１０、既存制御装置２０Ｂ〜２０Ｎ、監視装置３０及びブリッジ装置６０）に対して、ステップＳ１４０３で暗号化した暗号化済旧制御装置宛てコマンドＡ１４０１を送信する。なお、新ネットワーク５０側の新規制御装置１０、既存制御装置２０Ｂ〜２０Ｎ及び監視装置３０にコマンドＡ１４０１が送信されてからの、新規制御装置１０、既存制御装置２０Ｂ〜２０Ｎ又は監視装置３０と既存制御装置２０Ａとの間に行われる処理は、図６及び図７で示した処理と同様であり、説明を省略する。
暗号化済旧制御装置宛てコマンドＡ１４０１を受信したブリッジ装置６０では、装置管理部６０６が、新ネットワーク装置リスト保管部６１３に格納されている装置リストを参照し、装置リストに暗号化済旧制御装置宛てコマンドＡ１４０１の送信元である既存制御装置２０Ａが含まれているか判定する（ステップＳ１４０４）。装置リストに既存制御装置２０Ａが含まれていなかった場合には（ステップＳ１４０４のＮＯ）、装置管理部６０６は、既存制御装置２０Ａを不正な装置であると判断し、ブリッジ装置６０内の計時機能や他の装置の日時情報を利用して日時情報を取得し（ステップＳ１４０５）、既存制御装置２０Ａのネットワーク上の識別子や固有の識別子等の情報を不正装置情報として取得する（ステップＳ１４０６）。そして、装置管理部６０６は、ステップＳ１４０５で取得した日時情報とステップＳ１４０６で取得した不正装置情報とを、新ネットワーク装置リスト保管部６１３に格納されている装置リストに追加する（ステップＳ１４０７）。その後、既存制御装置２０Ａから受信した暗号化済旧制御装置宛てコマンドＡ１４０１は破棄されて（ステップＳ１４０８）、処理が終了する。
一方、ステップＳ１４０４において新ネットワーク装置リストに既存制御装置２０Ａが含まれていた場合には（ステップＳ１４０４のＹＥＳ）、装置管理部６０６は、旧ネットワーク装置リスト保管部６１４に格納されている装置リストを参照し、当該コマンドＡ１４０１の宛先が当該装置リストに含まれる管理対象内の装置であるか確認する（ステップＳ１４０９）。宛先が管理対象内の装置ではなかった場合には（ステップＳ１４０９のＮＯ）、装置管理部６０６は、暗号化済旧制御装置宛てコマンドＡ１４０１を破棄し（ステップＳ１４１０）、処理を終了する。宛先が管理対象内の装置であった場合には（ステップＳ１４０９のＹＥＳ）、ステップＳ１４１１の処理が行われる。
ステップＳ１４１１では、認証処理部６０３が、新ネットワーク装置リスト保管部６１３の装置リストを参照し、暗号化済旧制御装置宛てコマンドＡ１４０１の送信元である既存制御装置２０Ａの認証状態を確認する（ステップＳ１４１１）。その結果、認証されていないと判断した場合には（ステップＳ１４１１のＮＯ）、認証処理部６０３は、既存制御装置２０Ａに対して認証エラーＡ１４０２を送信する。
ステップＳ１４１１において認証済みであると確認された場合には（ステップＳ１４１１のＹＥＳ）、認証処理部６０３は、新ネットワーク装置リスト保管部６１３の装置リストを参照して、既存制御装置２０Ａの装置認証有効期限が現在の日時以降であるか否かを確認する（ステップＳ１４１２）。現在の日時以前、つまり、有効期限切れであった場合には（ステップＳ１４１２のＮＯ）、認証処理部６０３は、既存制御装置２０Ａに対して認証エラーＡ１４０３を送信する。
ステップＳ１４１２において既存制御装置２０Ａの装置認証有効期限が現在の日時以降であった場合には（ステップＳ１４１２のＹＥＳ）、ステップＳ１４１１及びＳ１４１２の両方の処理でＹＥＳと判定されているので、既存制御装置２０Ａが認証済みと判断される。このような場合に、ブリッジ装置６０では、ステップＳ１４１３に示す処理が実行される。
ステップＳ１４１３では、ブリッジ装置６０の鍵管理部６０８が、鍵情報リスト保管部６１５に格納されているネットワーク共有鍵を取得する。次に、鍵管理部６０８は、既存制御装置２０Ａから受信した暗号化済旧制御装置宛てコマンドＡ１４０１を、ステップＳ１４１３で取得したネットワーク共有鍵によって復号し（ステップＳ１４１４）、ネットワーク７０を介して旧制御装置８０Ａに対して、復号された旧制御装置宛てコマンドＡ１４０４を送信する。
旧制御装置宛てコマンドＡ１４０４を受信した旧制御装置８０Ａでは、制御処理部８０２Ａが、受信したコマンドに応じた処理を実行する（ステップＳ１４１５）。その後、制御処理部８０２Ａは、ブリッジ装置６０に対して、応答メッセージであるレスポンスＡ１４０５を送信する。レスポンスＡ１４０５は、例えば、旧制御装置宛てコマンドＡ１４０４に応じて読み出されたデータや、旧制御装置宛てコマンドＡ１４０４の実行結果を示すメッセージである。
レスポンスＡ１４０５を受信したブリッジ装置６０では、暗号処理部６０４が、ステップＳ１４１３で取得したネットワーク共有鍵によって受信したレスポンスを暗号化する（ステップＳ１４１６）。そして、暗号処理部６０４は、ステップＳ１４１６で暗号化したレスポンスを暗号化レスポンスＡ１４０６として既存制御装置２０Ａに送信する。
そして、暗号化レスポンスＡ１４０６を受信した既存制御部２０Ａでは、暗号処理部２０５Ａが、鍵情報リスト保管部２１５Ａに格納されている鍵情報リストを参照し、受信した暗号化レスポンスＡ１４０６を鍵情報リストに記載されているネットワーク共有鍵によって復号する（ステップＳ１４１７）。
図１４について上述した処理によって、既存制御装置２０Ａから発信される暗号化されたコマンドは、ブリッジ装置６０で平文のコマンドに復号されて旧制御装置８０Ａに送信され、当該コマンドに対する平文のレスポンスは、ブリッジ装置６０で暗号化されて既存制御装置２０Ａに返信される。
（２−２−２）旧ネットワーク側の装置から新ネットワーク側の装置へのコマンド送信
次に、旧ネットワーク７０側の旧制御装置８０が新ネットワーク５０側の新規制御装置１０、既存制御装置２０又は監視装置３０に制御コマンドを送信する場合の処理について、図１５を参照しながら説明する。ここでは、一例として、旧制御装置８０Ａから既存制御装置２０Ａにコマンドが送信されるとする。
まず、旧制御装置８０Ａの制御処理部８０２Ａが、既存制御装置２０Ａを宛先とするコマンドを生成する（ステップＳ１５０１）。そして、制御処理部８０２Ａは、ブリッジ装置６０に対して、ステップＳ１５０１で生成した既存制御装置宛てコマンドＡ１５０１を送信する。
既存制御装置宛てコマンドＡ１５０１を受信したブリッジ装置６０では、装置管理部６０６が、新ネットワーク装置リスト保管部６１３に格納されている装置リストを参照し、当該コマンドＡ１５０１の宛先が当該装置リストに含まれる装置であるか確認する（ステップＳ１５０２）。宛先が装置リストに含まれていなかった場合には（ステップＳ１５０２のＮＯ）、装置管理部６０６は、既存制御装置宛てコマンドＡ１５０１を破棄し（ステップＳ１５０３）、処理を終了する。宛先が装置リストに含まれていた場合には（ステップＳ１５０２のＹＥＳ）、ステップＳ１５０４の処理が行われる。
ステップＳ１５０４では、ブリッジ装置６０の鍵管理部６０８が、鍵情報リスト保管部６１５に格納されているネットワーク共有鍵を取得する。次に、鍵管理部６０８は、旧制御装置８０Ａから受信した既存制御装置宛てコマンドＡ１５０１を、ステップＳ１５０４で取得したネットワーク共有鍵によって暗号化（ステップＳ１５０５）、既存制御装置２０Ａに対して、暗号化済既存制御装置宛てコマンドＡ１５０２を送信する。
暗号化済既存制御装置宛てコマンドＡ５０２を受信した既存制御装置２０Ａでは、装置管理部２０７Ａが、装置リスト保管部２１４Ａに格納されている装置リストを参照し、装置リストに旧制御装置８０Ａが含まれているか判定する（ステップＳ１５０６）。装置リストに旧制御装置８０Ａが含まれていなかった場合には（ステップＳ１５０６のＮＯ）、装置管理部２０７Ａは、旧制御装置８０Ａを不正な装置であると判断し、既存制御装置２０Ａ内の計時機能や他の装置の日時情報を利用して日時情報を取得し（ステップＳ１５０７）、旧制御装置８０Ａのネットワーク上の識別子や固有の識別子等の情報を不正装置情報として取得する（ステップＳ１５０８）。そして、装置管理部２０７Ａは、ステップＳ１５０７で取得した日時情報とステップＳ１５０８で取得した不正装置情報とを、装置リスト保管部２１４Ａに格納されている装置リストに追加する（ステップＳ１５０９）。その後、ブリッジ装置６０から受信した暗号化済既存制御装置宛てコマンドＡ１５０２は破棄されて（ステップＳ１５１０）、処理が終了する。
ステップＳ１５０６において装置リストに旧制御装置８０Ａが含まれていた場合には（ステップＳ１５０６のＹＥＳ）、制御処理部２０１Ａが当該コマンドＡ１５０２の宛先を確認する（ステップＳ１５１１）。宛先が自装置、すなわち既存制御装置２０Ａではなかった場合には（ステップＳ１５１１のＮＯ）、暗号化済既存制御装置宛てコマンドＡ１５０２は破棄され（ステップＳ１５１２）、処理が終了する。宛先が自装置、すなわち既存制御装置２０Ａであった場合には（ステップＳ１５１１のＹＥＳ）、ステップＳ１５１３の処理が行われる。
ステップＳ１５１３では、認証処理部２０４Ａが、装置リスト保管部２１４Ａの装置リストを参照し、暗号化済既存制御装置宛てコマンドＡ１５０２の送信元であるブリッジ装置６０の認証状態を確認する。その結果、認証されていないと判断した場合には（ステップＳ１５１３のＮＯ）、認証処理部２０４Ａは、ブリッジ装置６０に対して認証エラーＡ１５０３を送信する。
ステップＳ１５１３において認証済みであると確認された場合には（ステップＳ１５１３のＹＥＳ）、認証処理部２０４Ａは、装置リストを参照して、ブリッジ装置６０の装置認証有効期限が現在の日時以降であるか否かを確認する（ステップＳ１５１４）。現在の日時以前、つまり、有効期限切れであった場合には（ステップＳ１５１４のＮＯ）、認証処理部２０４Ａは、ブリッジ装置６０に対して認証エラーＡ１５０４を送信する。
ステップＳ１５１４において新規制御装置１０の装置認証有効期限が現在の日時以降であった場合には（ステップＳ１５１４のＹＥＳ）、ステップＳ１５１３及びＳ１５１４の両方の処理でＹＥＳと判定されているので、ブリッジ装置６０が認証済みと判断される。このような場合に、既存制御装置２０Ａでは、ステップＳ１５１５に示す処理が実行される。
ステップＳ１５１５では、既存制御装置２０Ａの鍵管理部２０９Ａが、鍵情報リスト保管部２１５に格納されているネットワーク共有鍵を取得する。次に、鍵管理部２０９Ａは、ステップＳ１５１５で取得したネットワーク共有鍵によって、ブリッジ装置６０から受信した暗号化済既存制御装置宛てコマンドＡ１５０２を復号する（ステップＳ１５１６）。そして、制御処理部２０２Ａは、ステップＳ１５１６で復号されたコマンドの内容に従って、コマンドの処理を行う（ステップＳ１５１７）。コマンドの処理が終わると、暗号処理部２０５Ａが、応答メッセージの暗号化を行う（ステップＳ１５１８）。ステップＳ１５１８で暗号化された応答メッセージは、暗号化レスポンスＡ１５０５として、ブリッジ装置６０に送信される。
そして、暗号化レスポンスＡ１５０５を受信したブリッジ装置６０では、暗号処理部６０４が、鍵情報リスト保管部６１５に格納されている鍵情報リストを参照し、受信した暗号化レスポンスＡ１５０５を鍵情報リストに記載されているネットワーク共有鍵によって復号し（ステップＳ１５１９）、ネットワーク７０を介して旧制御装置８０ＡにレスポンスＡ１５０６を送信する。
図１５について上述した処理によって、旧制御装置８０Ａから発信された平文のコマンドは、ブリッジ装置６０で暗号化されて既存制御装置２０Ａに送信され、当該コマンドに対する暗号化されたレスポンスは、ブリッジ装置６０で復号されて旧制御装置２０Ａに返信される。
このようなネットワーク認証システム２では、第１の実施の形態によるネットワーク認証システム１における効果に加えてさらに、コマンドの暗号化及び復号を行って通信を仲介するブリッジ装置６０を備えることにより、認証処理及び暗号化通信を必要とする新ネットワーク５０内の新規制御装置１０、既存制御装置２０又は監視装置３０と、セキュリティレベルの異なる外部の旧制御装置８０との間におけるコマンドの送受信を実現することができる。
（３）他の実施の形態
なお、第１及び第２の実施の形態によるネットワーク認証システム１及び２では、ネットワーク４０に接続された新規制御装置１０及び既存制御装置２０が互いに認証するような場合について述べたが、新規制御装置１０及び既存制御装置２０は、いずれも同一のネットワーク４０に接続された他の通信装置を認証する通信装置の一例である。そして、第２の実施の形態によるネットワーク認証システム２では、ブリッジ装置６０が新ネットワーク５０側の新規制御装置１０又は既存制御装置２０と、旧ネットワーク７０側の旧制御装置８０との通信を実現するような場合について述べたが、ここで、旧ネットワーク７０はネットワーク４０と異なる第２のネットワークに相当し、旧制御装置８０は第２のネットワークに接続された第２の通信装置の一例である。
また、第１及び第２の実施の形態によるネットワーク認証システム１及び２では、図７に示したステップＳ７０５において認証エラーの発生が確認された場合に、認証処理部１０４が既存制御装置２０Ａに認証依頼Ａ７０２を送信するような場合について述べたが、本発明はこれに限らず、ネットワーク認証システム１にオンラインで接続している他の装置（例えば、既存制御装置２０Ｂ〜２０Ｎのいずれか）に、認証依頼Ａ７０２を送信するようにしてもよい。例えば、既存制御装置２０Ａに高い処理負荷がかかっているような場合には、既存制御装置２０Ａは、認証依頼Ａ７０２を受信しても認証処理を実施できない可能性があるので、このような場合に、認証処理部１０４は、既存制御装置２０Ｂ〜２０Ｎのいずれかに認証依頼Ａ７０２を送信するようにしてもよい。このとき、ネットワーク認証システム１は、高負荷の状態にある既存制御装置２０Ａに認証依頼Ａ７０２を送信して認証処理が遅延又は未実施となる事態を防止し、効率良く認証処理を実施することができる。
また、第１及び第２の実施の形態によるネットワーク認証システム１及び２では、新規制御装置１０又は既存制御装置２０のそれぞれが、１つの装置内に複数の処理部（例えば、既存制御装置２０Ａでいえば、モード切替部２０３Ａ、認証処理部２０４Ａ、・・・、及び経過時間管理部２１０Ａ等）が設けられるような場合について述べたが、本発明はこれに限らず、例えば、上記複数の処理部が複数の装置に分割して格納され、当該複数の装置を組み合わせて処理を行うようにしてもよい。このとき、複数の処理部を分割して格納するそれぞれの装置は、新規制御装置１０及び既存制御装置２０に比べて、より簡素な構成で実現できるので、ネットワーク認証システム１又は２を構成する装置に必要とされる機能スペックを下げることができる。
また、第１及び第２の実施の形態によるネットワーク認証システム１及び２では、新規制御装置１０の制御処理部１０２及び既存制御装置２０の制御処理部２０２が装置固有の制御を行うような場合について述べたが、本発明はこれに限らず、制御処理部１０２及び２０２による処理は、新規制御装置１０における制御処理部１０２及び既存制御装置２０における制御処理部２０２以外の各部に分散して実行されるようにしてもよい。このような場合に、例えば、図５のステップＳ５２５において制御処理部１０２が装置リストを参照して、現時点でネットワーク４０にオンラインの状態にある新規制御装置１０、既存制御装置２０及び監視装置３０が全て認証済みとなっているか確認するのではなく、装置管理部１０７がこれらの確認を行う。
本発明は、社会インフラシステムを構成するネットワークに適用することができる。
１，２ ネットワーク認証システム
１０ 新規制御装置
１１ 通信装置
１２ 入出力装置
１３ 記憶装置
１４ 制御装置（ＣＰＵ）
１５ メモリ
１６ 読取装置
１７ 記憶媒体
１８ 内部信号線
２０，２０Ａ〜２０Ｎ 既存制御装置
３０ 監視装置
４０ ネットワーク
５０ 新ネットワーク
６０ ブリッジ装置
７０ 旧ネットワーク
８０，８０Ａ〜８０Ｎ 旧制御装置
１０１，２０１Ａ〜２０１Ｎ，３０１ 通信部
１０２，２０２Ａ〜２０２Ｎ 制御処理部
１０３，２０３Ａ〜２０３Ｎ，３０２，６０２ モード切替部
１０４，２０４Ａ〜２０４Ｎ，３０３，６０３ 認証処理部
１０５，２０５Ａ〜２０５Ｎ，３０４，６０４ 暗号処理部
１０６，２０６Ａ〜２０６Ｎ，３０５，６０５ 状態変化認識部
１０７，２０７Ａ〜２０７Ｎ，３０６，６０６ 装置管理部
１０８，２０８Ａ〜２０８Ｎ，３０７，６０７ 鍵生成部
１０９，２０９Ａ〜２０９Ｎ，３０８，６０８ 鍵管理部
１１０，２１０Ａ〜２１０Ｎ，３０９，６０９ 経過時間管理部
１１１，２１１Ａ〜２１１Ｎ 制御情報保管部
１１２，２１２Ａ〜２１２Ｎ，３１３，６１１ 識別情報保管部
１１３，２１３Ａ〜２１３Ｎ，３１４，６１２ モード情報保管部
１１４，２１４Ａ〜２１４Ｎ，３１５ 装置リスト保管部
１１５，２１５Ａ〜２１５Ｎ，３１６，６１５ 鍵情報リスト保管部
１１６，２１６Ａ〜２１６Ｎ，３１７，６１６ 時刻情報保管部
３１０ 装置リスト収集部
３１１ 鍵情報リスト収集部
３１２ 出力部
３１８ 収集装置リスト保管部
３１９ 収集鍵情報リスト保管部
６０１ 新ネットワーク通信部
６１０ 旧ネットワーク通信部
６１３ 新ネットワーク装置リスト保管部
６１４ 旧ネットワーク装置リスト保管部

Claims (15)

  1. 同一のネットワークに接続された他の通信装置を認証する通信装置において、
    前記ネットワークに新規に前記通信装置を接続する場合及び前記ネットワークから前記他の通信装置を削除する場合に、内部状態に応じて設定される複数の動作モードを切り替えるモード切替部と、
    自通信装置が使用する暗号鍵を生成する鍵生成部と、
    前記暗号鍵と前記ネットワークに接続された前記複数の通信装置によって使用される共有鍵とが格納された鍵情報リストを管理する鍵管理部と、
    前記鍵情報リストに格納された共有鍵を用いて前記他の通信装置に対する認証処理を行う認証処理部と、
    前記ネットワークに接続された複数の前記通信装置に対する認証状態が格納された装置リストを管理する装置管理部と
    を備え、
    前記鍵生成部は、自身が生成した前記暗号鍵と他の前記通信装置における前記鍵生成部で生成された別の暗号鍵とを所定のアルゴリズムに適用することにより、前記他の通信装置の前記鍵生成部で生成される共有鍵と同一の前記共有鍵を生成し、
    前記装置管理部は、認証状態が認証済みである他の前記通信装置との間で通信を許可する
    ことを特徴とする通信装置。
  2. 前記装置管理部は、前記装置リストに認証済みであることが記載されていない通信装置からの通信の記録を保管し、該通信を破棄する
    ことを特徴とする請求項１に記載の通信装置。
  3. 前記認証処理部は、前記他の通信装置から動作モードの切り替えを通知された場合に、当該他の通信装置に対する認証処理を行う
    ことを特徴とする請求項１に記載の通信装置。
  4. 通信を暗号化又は復号する暗号処理部をさらに備え、
    前記暗号処理部は、通信対象の前記他の通信装置に対して前記認証処理部による認証処理が成功した場合に、前記鍵生成部によって生成された前記暗号鍵を用いて当該他の通信装置に対する通信を暗号化する
    ことを特徴とする請求項１に記載の通信装置。
  5. 前記認証処理部は、前記ネットワークに接続された他の１つの前記通信装置に対して認証処理を行った場合に、当該ネットワークに接続された他の前記通信装置に当該認証の結果を送信する
    ことを特徴とする請求項１に記載の通信装置。
  6. ネットワークと、
    前記ネットワークに接続されて相互に認証する複数の前記通信装置と
    を備えたネットワーク認証システムにおいて、
    それぞれの前記通信装置は、
    前記ネットワークに新規に前記通信装置を接続する場合及び前記ネットワークから前記他の通信装置を削除する場合に、内部状態に応じて設定される複数の動作モードを切り替えるモード切替部と、
    自通信装置が使用する暗号鍵を生成する鍵生成部と、
    前記暗号鍵と前記ネットワークに接続された前記複数の通信装置によって使用される共有鍵とが格納された鍵情報リストを管理する鍵管理部と、
    前記鍵情報リストに格納された共有鍵を用いて前記他の通信装置に対する認証処理を行う認証処理部と、
    前記ネットワークに接続された複数の前記通信装置に対する認証状態が格納された装置リストを管理する装置管理部とを有し、
    前記鍵生成部は、自身が生成した前記暗号鍵と他の前記通信装置における前記鍵生成部で生成された別の暗号鍵とを所定のアルゴリズムに適用することにより、前記他の通信装置の前記鍵生成部で生成される共有鍵と同一の前記共有鍵を生成し、
    前記装置管理部は、認証状態が認証済みである前記他の通信装置との間で通信を許可する
    ことを特徴とするネットワーク認証システム。
  7. 前記装置管理部は、前記装置リストに認証済みであることが記載されていない通信装置からの通信の記録を保管し、該通信を破棄する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  8. 前記認証処理部は、前記他の通信装置から動作モードの切り替えを通知された場合に、当該他の通信装置に対する認証処理を行う
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  9. それぞれの前記通信装置は、通信を暗号化又は復号する暗号処理部をさらに有し、
    前記暗号処理部は、通信対象の前記他の通信装置に対して前記認証処理部による認証処理が成功した場合に、前記鍵生成部によって生成された前記暗号鍵を用いて当該他の通信装置に対する通信を暗号化する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  10. 前記認証処理部は、前記ネットワークに接続された他の１つの前記通信装置に対して認証処理を行った場合に、当該ネットワークに接続された他の前記通信装置に当該認証の結果を送信する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  11. 前記ネットワークに新たに新規通信装置が接続される場合に、当該ネットワークに接続された１つの前記通信装置では、前記モード切替部が動作モードを前記新規通信装置の接続を受け入れるための動作モードに切り替え、前記鍵生成部が前記新規通信装置用の新暗号鍵を生成し、前記鍵管理部が前記生成された新暗号鍵を鍵情報リストに追加して前記新規通信装置に送信し、前記装置管理部が前記新規通信装置に対する情報を装置リストに追加して前記新規通信装置に送信する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  12. 前記ネットワークに接続される前記複数の通信装置の状態を収集する監視装置をさらに備え、
    前記監視装置は、前記複数の通信装置のそれぞれから前記装置リスト及び前記鍵情報リストを収集し、収集結果を出力する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  13. 前記ネットワークと、前記ネットワークと異なる第２のネットワークとを接続するブリッジ装置をさらに備え、
    前記ブリッジ装置は、
    内部状態に応じて設定される複数の動作モードを切り替える第２のモード切替部と、
    前記ネットワークに接続された前記複数の通信装置によって使用される共有鍵が格納された鍵情報リストを管理する第２の鍵管理部と、
    前記第２の鍵管理部によって管理される共有鍵を用いて前記ネットワークに接続された前記通信装置に対する認証処理を行う第２の認証処理部と、
    前記ネットワークに接続された前記通信装置に対する認証状態と前記第２のネットワークに接続された第２の通信装置の状態とが格納された第２の装置リストを管理する第２の装置管理部と、
    通信を暗号化又は復号する第２の暗号処理部とを有する
    ことを特徴とする請求項６に記載のネットワーク認証システム。
  14. 前記ネットワークに接続された前記通信装置から前記第２のネットワークに接続された前記第２の通信装置に対して通信が行われる場合に、前記ブリッジ装置は、送信元の前記通信装置に対する認証処理を行い、前記通信装置から送信された暗号化データを復号し、復号したデータを第２のネットワークを介して前記第２の通信装置に送信する
    ことを特徴とする請求項１３に記載のネットワーク認証システム。
  15. 前記第２のネットワークに接続された前記第２の通信装置から前記ネットワークに接続された前記通信装置に対して通信が行われる場合に、前記ブリッジ装置は、送信先の前記通信装置に対する認証処理を行い、平文データの暗号化を行い、前記ネットワークを介して前記暗号化したデータを前記通信装置に送信する
    ことを特徴とする請求項１３に記載のネットワーク認証システム。
JP2012058692A 2012-03-15 2012-03-15 通信装置及びネットワーク認証システム Pending JP2013192169A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2012058692A JP2013192169A (ja) 2012-03-15 2012-03-15 通信装置及びネットワーク認証システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2012058692A JP2013192169A (ja) 2012-03-15 2012-03-15 通信装置及びネットワーク認証システム

Publications (1)

Publication Number Publication Date
JP2013192169A true JP2013192169A (ja) 2013-09-26

Family

ID=49391977

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012058692A Pending JP2013192169A (ja) 2012-03-15 2012-03-15 通信装置及びネットワーク認証システム

Country Status (1)

Country Link
JP (1) JP2013192169A (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016181585A1 (ja) * 2015-05-08 2016-11-17 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ
WO2016181586A1 (ja) * 2015-05-08 2016-11-17 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 認証方法及び認証システム
JP2019050597A (ja) * 2015-05-08 2019-03-28 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016181585A1 (ja) * 2015-05-08 2016-11-17 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ
WO2016181586A1 (ja) * 2015-05-08 2016-11-17 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 認証方法及び認証システム
CN106415573A (zh) * 2015-05-08 2017-02-15 松下知识产权经营株式会社 认证方法、认证系统以及控制器
JPWO2016181586A1 (ja) * 2015-05-08 2018-02-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 認証方法及び認証システム
JPWO2016181585A1 (ja) * 2015-05-08 2018-02-22 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ
JP2019050597A (ja) * 2015-05-08 2019-03-28 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ
JP2020039154A (ja) * 2015-05-08 2020-03-12 パナソニックＩｐマネジメント株式会社 認証方法、認証システムおよびコントローラ
US10951400B2 (en) 2015-05-08 2021-03-16 Panasonic Intellectual Property Corporation Of America Authentication method, authentication system, and controller
CN112560007A (zh) * 2015-05-08 2021-03-26 松下电器（美国）知识产权公司 认证方法、认证系统以及控制器
CN112560007B (zh) * 2015-05-08 2024-05-31 松下电器（美国）知识产权公司 认证方法、认证系统以及控制器

Similar Documents

Publication Publication Date Title
CN101605137B (zh) 安全分布式文件系统
EP2424185A1 (en) Method and device for challenge-response authentication
CN101772024B (zh) 一种用户身份确定方法及装置和系统
EP3111584B1 (en) Method to authenticate two devices to establish a secure channel
EP3148235B1 (en) Authorization method and apparatus for management of embedded universal integrated circuit card
CN101296086A (zh) 接入认证的方法、系统和设备
CN109714170B (zh) 一种联盟链中数据隔离方法及相应的联盟链系统
US10686787B2 (en) Use of personal device for convenient and secure authentication
JP2013503514A (ja) Ｗｌａｎアクセス認証に基づくサービスアクセス方法、システム及び装置
KR101568871B1 (ko) 멀티캐스트 통신방식을 적용한 바이탈 제어 시스템의 암호화 방법
CN102884756A (zh) 通信装置和通信方法
CN101656720A (zh) 对信息系统中访问对象信息统一维护的方法及装置
JP2013192169A (ja) 通信装置及びネットワーク認証システム
JP6043738B2 (ja) 鍵管理装置および鍵管理方法
CN103152326A (zh) 一种分布式认证方法及认证系统
JP2006197065A (ja) 端末装置および認証装置
JP5102701B2 (ja) 秘密鍵配布方法、秘密鍵配布システム
JP4777693B2 (ja) 認証システム及び端末装置及び認証装置及び認証方法
JP2019213085A (ja) データ通信システム
CN105071939A (zh) 一种用户信息认证方法及系统
EP2389031A1 (en) Secure handoff method and system
CN109922042B (zh) 遗失设备的子密钥管理方法和系统
KR20150135717A (ko) 모바일 멀티홉 네트워크에서 비밀키를 공유하는 장치 및 방법
JP5768622B2 (ja) メッセージ認証システム、通信装置及び通信プログラム
CN111487887B (zh) 用于绑定家电设备的方法、装置、用户终端、家电设备及服务器