JP2014179683A - 鍵配信システム - Google Patents

Abstract

【課題】不正傍受による鍵データの暗号解読を未然に防止する鍵配信システムを提供すること。
【解決手段】利用者が使用予定の施設の扉に配設された電気錠３０を施解錠制御するのに必要な鍵データが鍵配信サーバー２０から利用者の所有する端末１０に向けて配信される鍵配信システム１において、鍵配信サーバー２０と電気錠３０とが同一の暗号鍵変更情報に従って所定の変更タイミングで変更される共通の暗号鍵を保持する。鍵配信サーバー２０は、鍵変更タイミング情報に従って所定の変更タイミングで変更される暗号鍵を用いて暗号化処理された鍵データを端末１０に配信する。
【選択図】図１

Description

本発明は、鍵配信サーバーを介して電気錠を施解錠するための鍵データを利用者が所有する端末に配信する鍵配信システムに関するものである。

下記特許文献１には、有効期限が規定された電子鍵を複数記憶する鍵配信サーバーと、鍵配信サーバーから受信した電子鍵の中から選択した一つの電子鍵を電気錠に送信する端末と、端末からの電子鍵における有効性の有無に応じて錠の施解錠を行う電気錠とを備える鍵配信システムについて開示されている。

そして、この鍵配信システムでは、端末から利用者を特定する識別情報を鍵配信サーバーに送信し、鍵配信サーバーが受信した識別情報に基づき利用者毎の電子鍵を一括して該当する端末に配信することにより、電子鍵と鍵配信サーバーとの間を通信可能な状態で接続することなく一つの端末で複数の電気錠の管理を可能としている。

特開２００６−２７７０２６号公報

ところで、鍵配信サーバーから配信される鍵データは、利用者の個人情報、利用する部屋の情報（部屋番号、利用開始時間や利用終了時間等）を含む重要な情報である。従って、鍵データの機密性(confidentiality) 、完全性 (integrity)、可用性 (availability) を維持するため、共通鍵暗号方式や公開鍵暗号方式等の暗号方式を用いて鍵データを暗号化した状態や署名を付与した状態で配信（所謂、セキュア通信）することで、鍵データに秘匿性を持たせている。

しかしながら、作成された鍵データが不正に傍受された場合、その性質上、理論的にありうるパターン全てを入力し解読する総当たり攻撃によって鍵データの暗号鍵（鍵データ自体を暗号化する電子鍵、署名生成に用いる電子鍵を含む）が解読される虞があった。そのため、暗号解読に要する時間よりも短い期間で暗号鍵を変更する必要がある。

そこで、本発明は上記問題点に鑑みてなされたものであり、鍵配信サーバーと電気錠との間で共通の暗号鍵変更タイミングを持ち、定期的に変更された暗号鍵を用いて暗号化された鍵データを配信する鍵配信システムを提供することを目的とするものである。

上記した目的を達成するために、請求項１記載の鍵配信システムは、利用者が所有する端末と、
電気錠の施解錠制御に必要な鍵データを鍵配信サーバーから所定の暗号鍵を用いて暗号化した状態で前記端末に配信する鍵配信サーバーと、
を備えた鍵配信システムにおいて、
前記鍵配信サーバーと前記電気錠は、共通の前記暗号鍵と、該暗号鍵を変更する鍵変更プログラムを用いて所定の変更タイミングに従って定期的に前記暗号鍵を変更する共通の暗号鍵変更情報を記憶し、前記暗号鍵変更情報に応じた変更タイミングで前記暗号鍵を同一タイミング、且つ同一の暗号鍵となるように変更することを特徴とする。

本発明の鍵配信システムによれば、鍵配信サーバーから端末に配信された鍵データが万が一不正傍受された場合であっても、暗号化された署名データが解読される前に暗号鍵が更新されるため、電気錠では最新の暗号鍵による復号化処理のみ可能となり、配信時における鍵データの安全性を高めることができる。

本発明に係る第１形態の鍵配信システムの概略を示す概略構成図である。 同形態におけるシステム構成を示す概略ブロック図である。 同形態における鍵データのデータ構造を示す説明図である。 本発明に係る第２形態の鍵配信システムの概略を示す概略構成図である。 同形態におけるシステム構成を示す概略ブロック図である。 同形態における鍵データのデータ構造を示す説明図である。

以下、本発明を実施するための形態について、添付した図面を参照しながら詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではなく、この形態に基づいて当業者等によりなされる実施可能な他の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

なお、以下の説明では、鍵配信サーバーから配信される鍵データの暗号化方式として、端末と鍵配信サーバーとの間で共通の電子鍵である暗号鍵（鍵データ自体を暗号化する電子鍵や署名生成に用いる電子鍵を含む）を用いて暗号化／復号化を行う共通鍵方式（暗号アルゴリズムの一例として、アメリカ政府標準のＤＥＳ（Data Encryptncryption Standard）やＡＥＳ (Advanced Encryption Standard) 、ＩＤＥＡ（International Data Encryption Algorithm ）、ＦＥＡＬ（Fast data Encipherment ALgorihtmｅ）、ＭＩＳＴＹ等）を用いた実施例について説明する。

また、本システムの実施形態例は、配信側及び受信側による鍵データの暗号化／復号化処理に共通の暗号鍵を用いることを前提としたシステムであり、鍵データを作成する鍵配信事業者（鍵配信サーバー）から利用者（端末）に鍵データを配信する鍵配信サービスに適用した実施例（第１形態）と、例えばホテルやレンタルルーム等のサービスを提供するサービス事業者（事業者専用装置）が作成した暗号鍵を鍵配信事業者を介して利用者に配信する鍵配信サービスに適用した実施例（第２形態）の２つの実施形態について説明する。

［第１形態］
まず、本例の第１形態の鍵配信システムについて説明する。第１形態の鍵配信システムでは、例えばマンションの共用施設等に配設される電気錠の施解錠に必要な鍵データを鍵配信事業者から施設利用者に向けて配信する実施例である。

＜システム構成について＞
図１又は図２に示すように、第１形態の鍵配信システム１は、端末１０と、鍵配信サーバー２０と、電気錠３０とを備えて構成されている。

端末１０は、例えば携帯電話（スマートフォンを含む）、タブレット端末、ＰＤＡ（Personal Digital Assistant）等の各種通信ネットワークを介して移動通信可能な端末装置で構成され、端末側通信部１１と、近距離無線通信部１２と、端末側記憶部１３と、端末側制御部１４と、表示部１５と、入力操作部１６とを備えている。

端末側通信部１１は、基地局を介して移動体通信網（携帯電話通信網）と接続し、さらに不図示のゲートウェイサーバー等を介してインターネット網に接続可能な移動体通信機能や、ＩＥＥＥ８０２．１１シリーズ（ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｊ／ｎ／ａｃ／ａｄ等）の各方式に従って無線ＬＡＮアクセスポイント（ＡＰ）を介してインターネット網に接続可能な無線ＬＡＮ通信機能を備え、鍵配信サーバー２０との間で相互に通信可能に接続されている。端末側通信部１１は、端末側制御部１４の制御により、鍵配信サーバー２０から配信された鍵データを受信すると、端末側記憶部１３に出力している。

近距離無線通信部１２は、例えばＩＳＯ／ＩＥＣ １４４４３（MIFARE）、ＩＳＯ／ＩＥＣ １８０９２等に準拠する電磁界や電波等を用いた近距離無線通信 (ＮＦＣ：Near Field Communication）を可能とするＣＰＵやＲＯＭ、ＲＡＭ、フラッシュＲＡＭ等からなるＲＦＩＤタグ（Radio Frequency Identification Tag）で構成されている。近距離無線通信部１２は、電気錠３０の近距離無線通信エリア内に近接すると、後述する情報読取部３１からの鍵データ送信要求に応じて端末側記憶部１３に記憶される鍵データを送信している。

端末側記憶部１３は、例えば磁気的、光学的記憶媒体若しくはＲＯＭ、ＲＡＭ等の半導体メモリやＨＤＤ等の各種記憶装置で構成されている。端末側記憶部１３は、端末１０を特定する識別ＩＤ（装置の個体製造番号等）と、鍵配信サーバー２０から配信された鍵データの他、端末１０を構成する各部の駆動制御情報を記憶している。

端末側制御部１４は、例えばＣＰＵやＲＯＭ，ＲＡＭなどを有するマイクロコンピュータで構成されている。端末側制御部１４は、利用者が入力操作部１６を操作したときの操作指示に応じた各部の駆動制御等の端末１０独自の駆動制御に加え、鍵配信サーバー２０から配信される鍵データの受信制御、電気錠３０による鍵データ送信要求に応じて鍵データを近距離無線送信する制御、使用期限が過ぎた鍵データ（つまり、施解錠許可期限情報の期限が経過した鍵データ）を無効とするため鍵データ削除処理等を行っている。

表示部１５は、例えば液晶ディスプレイ（Liquid Crystal Display：ＬＣＤ）やＥＬディスプレイ（electroluminescence display ：ＥＬＤ）等のディスプレイ装置で構成され、端末側制御部１４の制御により、端末１０の駆動に必要な各種表示内容を表示画面上に表示している。

入力操作部１６は、例えばテンキーや選択ボタン等の操作キー、表示部１５の表示画面上のソフトキーからなるタッチパネル等のＵＩ（User Interface）等の各種入力機器で構成される。入力操作部１６は、端末１０を使用するときの通常操作の他、例えば利用者が所望する鍵データを取得するときや電気錠３０を施解錠操作するときに所定操作され、この操作内容に応じた操作指示を端末側制御部１４に出力している。

鍵配信サーバー２０は、端末１０と各種ネットワーク網を通じて通信可能に接続され、管理対象となる電気錠３０に対応した鍵データの生成、保持、変更等の処理を行うコンピューターで構成されている。鍵配信サーバー２０は、サーバー側通信部２１と、サーバー側記憶部２２と、サーバー側計時部と、サーバー側制御部２４とを備えている。

サーバー側通信部２１は、使用する端末１０に応じた移動体通信網や無線ＬＡＮを介して通信を行うための無線通信機能を備えており、各種ネットワーク網を介して端末１０との間で相互に通信可能に接続されている。

サーバー側記憶部２２は、例えば磁気的、光学的記憶媒体若しくはＲＯＭ、ＲＡＭ等の半導体メモリで構成される。サーバー側記憶部２２は、利用者が所有する端末１０の識別ＩＤと希望する施設に配設される電気錠３０の電気錠ＩＤ（製造番号等の個体識別情報）及び施設の使用期間（施解錠許可期限情報）とが関連付けされた状態の鍵データデータベースと、鍵データを暗号化／復号化するための暗号鍵（又はサーバー側制御部２４によって定期的に更新された暗号鍵）と、暗号鍵を所定のタイミングで変更する際に用いる鍵変更タイミング情報と、鍵変更タイミング情報の変更タイミングに従って所定の暗号アルゴリズムで鍵データを変更するための鍵変更プログラムと、鍵データの配信先となる端末１０の送信先情報（メールアドレス等）の他、鍵配信サーバー２０を構成する各部の駆動制御情報を記憶している。

なお、鍵配信サーバー２０から端末１０に対して鍵データを配信するにあたり、鍵配信サーバー２０が登録処理等の手続きにより利用者が所有する端末１０の送信先情報を事前に把握していることが前提となり、この送信先情報と端末１０の識別ＩＤとを紐付けた状態でサーバー側記憶部２２に記憶させておくのがよい。

鍵データは、図３に示すように、例えば利用者が利用する施設の扉等に配設される電気錠３０の電気錠ＩＤと、該当する電気錠３０の施解錠許可期限情報とを含むデータ構造で生成される。鍵データは、少なくとも暗号化処理に使用した暗号鍵が更新変更される前のタイミング（例えば、利用者が施設を利用する数時間前）で、端末１０に対して利用者が使用する施設の情報（電気錠ＩＤ）と、その利用期間の情報（施解錠許可期限情報）とを含んだ状態で配信される。

また、端末１０と鍵配信サーバー２０との間を通信ネットワークを介して通信される場合は、図３に示すように、暗号鍵を用いて元データと署名データとを暗号化処理した状態で送信される。なお、以降の説明では、上述した暗号鍵による暗号化処理を、単に「暗号化処理」という。

鍵変更タイミング情報は、鍵変更プログラムを用いて暗号鍵を所定間隔で変更するためのタイミング情報である。鍵配信サーバー２０では、電気錠３０が端末１０から鍵データを読み取って復号化するまでの間に暗号鍵が変更されないように、この鍵変更タイミングを考慮して端末１０に鍵データを配信している。なお、鍵変更タイミング情報の変更タイミングは、暗号鍵の暗号強度（鍵長）によって変化し、強度が強いほど変更周期を長く設定することができる。

鍵変更プログラムは、暗号鍵を鍵変更タイミング情報の変更タイミングに合わせて所定の暗号アルゴリズムを用いてデータ変更するプログラムであり、暗号鍵の種類や鍵長に応じて適切なプログラムを選択して使用される。鍵変更プログラムの内容としては、少なくともサーバー側計時部２３と後述する錠側計時部３３で計時された時刻（値）により、鍵配信サーバー２０と電気錠３０のみが知り得る特定の順序で発生する暗号鍵（鍵値）から一意の暗号鍵（鍵値）が選択できるようなプログラムであればよい。また、暗号鍵を発生させる方法としては、例えば乱数系列利用する方法や、一定数の鍵値を予め保持して順に選択する方法が挙げられる。

なお、本明細書では、上述した鍵変更タイミング情報と鍵変更プログラムを総称して「暗号鍵変更情報」という。また、暗号鍵変更情報は、電気錠３０で変更される暗号鍵と同一タイミングで同一の暗号鍵となるように変更する必要があるため、後述する錠側記憶部３２に記憶される暗号鍵変更情報と同一のデータである。

サーバー側計時部２３は、例えばカウンターやタイマー等の時刻を計時する計時機器で構成され、電気錠３０で暗号鍵が変更される際の鍵変更タイミングの同期を取るための時刻を計時している。なお、サーバー側計時部２３は、錠側計時部３３で計時された時刻を同期させる必要があるため、例えば計時機器として電波時計を用いることができる。これにより、正確な時刻修正が適宜行われて時刻のズレがなくなる。

サーバー側制御部２４は、例えばＣＰＵやＲＯＭ，ＲＡＭなどを有するマイクロコンピュータで構成されている。サーバー側制御部２４は、端末１０に送信する鍵データを暗号鍵で暗号化した後、サーバー側通信部２１を介して端末１０に送信制御している。また、サーバー側制御部２４は、サーバー側記憶部２２に記憶される鍵変更タイミング情報と鍵変更プログラムとを用いて所定の変更タイミングで鍵データの変更を行い、サーバー側記憶部２２に更新記憶している。

電気錠３０は、情報読取部３１と、錠側記憶部３２と、錠側計時部３３、錠側制御部３４と、施解錠機構３５と、電源部３６とを備え、例えばマンションの共用施設（シアタールーム、集会室、ゲストルーム等）の扉に設けられている。

情報読取部３１は、近距離無線通信を用いて端末１０との間で鍵データの読み取りを行うためのリーダ装置で構成されている。情報読取部３１は、錠側制御部３４からの制御により、近距離無線通信エリア内に近接を検出した端末１０に対して一定周期で鍵データの読み取り処理（端末１０に対する鍵データ送信要求の送信する処理、所謂、「ポーリング」を指す）を行い、端末１０に記憶される鍵データを読み取って錠側制御部３４に出力している。

錠側記憶部３２は、例えば磁気的、光学的記憶媒体若しくはＲＯＭ、ＲＡＭ等の半導体メモリで構成される。錠側記憶部３２は、情報読取部３１で読み取った鍵データを暗号化／復号化するための暗号鍵（又は錠側制御部３４によって定期的に更新された暗号鍵）と、サーバー側記憶部２２に記憶されるデータと同じ暗号鍵変更情報（鍵変更タイミング情報及び鍵変更プログラム）と、情報読取部３１で読み取った鍵データが錠前を施解錠する正当な情報であるか否かを判別するための認証用鍵データと、モニタ情報としての状態信号（扉の開閉状態信号や錠前の施解錠状態信号、施解錠操作履歴）の他、電気錠３０を構成する各部の駆動制御情報を記憶している。

錠側計時部３３は、例えばカウンターやタイマー等の時刻を計時する計時機器で構成され、鍵配信サーバー２０で暗号鍵が変更される際の鍵変更タイミングの同期を取るための時刻を計時している。なお、錠側計時部３３は、サーバー側計時部２３で計時された時刻を同期させる必要があるため、例えば計時機器として電波時計を用いることができる。これにより、正確な時刻修正が適宜行われて時刻のズレがなくなる。

錠側制御部３４は、例えばＣＰＵやＲＯＭ，ＲＡＭなどを有するマイクロコンピュータで構成されている。錠側制御部３４は、暗号鍵を用いて端末１０から取得した鍵データの復号化処理、復号化した鍵データの正当性の判別処理、施解錠機構３５の駆動制御等、電気錠３０を構成する各部の駆動制御を行っている。また、錠側制御部３４は、錠側記憶部３２に記憶される鍵変更タイミング情報と鍵変更プログラムとを用いて所定の変更タイミングで鍵データの変更を行い、錠側記憶部３２に更新記憶している。

また、錠側制御部３４は、錠側記憶部３２に記憶される暗号鍵を用いて鍵データを復号化するが、暗号鍵は所定の変更タイミングで更新された最新の暗号鍵による復号化のみが可能であるため、以前に使用された暗号鍵では復号化できずに認証エラーとなる。この際、不図示の通知手段によって警報動作（例えば、鳴動発報、点灯／点滅表示、外部通知等）に移行してもよい。

施解錠機構３５は、例えばモータやソレノイド等の駆動装置と錠前で構成され、錠側制御部３４から入力される駆動制御信号により錠前を施錠又は解錠するべく駆動し、扉枠の係止穴に対してデッドボルトを突出（施錠時）又は引き込む（解錠時）ことにより錠前が施解錠される。

電源部３６は、商用電源（ＡＣ１００Ｖ）を外部電源として電源の供給を受け、錠側制御部３４の制御により、各部に駆動電源を供給している。また、電源部３６の構成として例えば本装置がスタンドアロンな構成で使用する場合、ボタン電池や乾電池（一次電池、二次電池を問わず）等の各種電池が着脱交換可能な電源ユニットで構成し、扉の所定箇所若しくは扉近傍に設けても良い。

＜処理動作について＞
次に、上述した第１形態の鍵配信システム１における一連の処理動作について説明する。ここでは、鍵配信事業者が管理するマンションの施設を使用する利用者に所定の使用期限を付与した鍵データを配信する際の処理動作である。

まず、利用者は、所望する施設を利用するため、鍵配信サーバー２０に対して施設の予約を行う。この際、鍵配信サーバー２０から鍵データが配信される際の端末１０の送信先情報（メールアドレス等）を事前登録しておく。次に、鍵配信サーバー２０は、利用者から受け付けた予約内容に応じた鍵データ（電気錠ＩＤ＋施解錠許可期限情報）を作成する。

鍵配信サーバー２０は、施設利用時間の数時間前になると、利用者の端末１０に対し、暗号鍵を用いて暗号化処理した状態の鍵データを配信する。また、暗号鍵は、鍵変更タイミング情報に従って所定の変更タイミングで変更されるため、万が一、鍵データが不正に傍受された場合であっても暗号鍵が解読される前に新たな暗号鍵に更新されることで安全性が確保される。

そして、利用者は、予約した施設に出向き、電気錠３０の近距離無線通信エリア内に端末１０を近接させて鍵データを読み取らせる。電気錠３０は、記憶する暗号鍵を用いて読み取った鍵データを復号化してデータの正当性を判別し、鍵データの正当性を判別した場合にのみ錠の解錠制御を行う。なお、暗号鍵を用いて鍵データを復号化するが、暗号鍵は所定の変更タイミングで更新された最新の暗号鍵による復号化のみが可能であるため、以前に使用された暗号鍵では復号化できずに認証エラーとなる。

以降、鍵データの施解錠許可期限情報に応じて利用者が予約した日時の間のみ鍵データを用いた電気錠３０の施解錠操作を可能とする。また、端末１０に記憶される施解錠許可期限情報の使用期限を過ぎた鍵データについては、使用期限経過後に自動的に削除される。

［第２形態］
次に、本例の第２形態の鍵配信システム１について、図４〜６を参照しながら説明する。なお、第２形態の鍵配信システム１において、第１形態と同一の構成要件については同一符号を付してその説明を省略し、第２形態の特徴要件についてのみ説明する。

＜システム構成について＞
第２形態の鍵配信システム１は、第１形態における端末１０と鍵配信サーバー２０との間の鍵配信サービスを基本とし、ホテルやレンタルルーム等のサービス事業者が所有する事業者専用装置４０が作成した鍵データを、鍵配信サーバー２０を介して端末１０に配信する鍵配信サービスに適用される。

また、第２形態の暗号鍵は、事業者専用装置４０と鍵配信サーバー２０との間で鍵データの通信を行う際に使用される「第１の暗号鍵」と、鍵配信サーバー２０と端末１０との間で鍵データの通信を行う際に使用される「第２の暗号鍵」とを使用する。

なお、以下の説明では、ホテルを運営するホテル事業者をサービス事業者とし、フロントやスタッフルーム等に設置するＰＣ等の端末装置を事業者専用装置４０とした例である。従って、電気錠３０は、ホテル内の施設（客室、会議室等）の扉に配設される電気錠錠が対象となる。

図４又は図５に示すように、第２形態の鍵配信システム１は、端末１０と、鍵配信サーバー２０と、電気錠３０と、事業者専用装置４０とを備えて構成されている。

事業者専用装置４０は、例えばフロントやスタッフルーム等に設置され、ホテル内の施設（客室、会議室等）の扉に配設される電気錠３０を施解錠するための鍵データを利用者の予約状況に合わせて生成している。事業者専用装置４０は、専用装置側通信部４１と、専用装置側記憶部４２と、専用装置側制御部４３とを備えている。

専用装置側通信部４１は、ＬＡＮケーブルを通じた有線ＬＡＮによる有線通信機能及び／又は無線ＬＡＮの無線通信機能とを備え、鍵配信サーバー２０との間で各種ネットワーク網を介して通信可能に接続されている。

専用装置側記憶部４２は、例えば磁気的、光学的記憶媒体若しくはＲＯＭ、ＲＡＭ等の半導体メモリで構成される。専用装置側記憶部４２は、利用者の予約状況（チェックイン／チャックアウト日時、その他の施設の利用時間等）と、利用者が所有する端末１０の識別ＩＤや送信先情報と希望する施設に配設される電気錠３０の電気錠ＩＤ及び施解錠許可期限情報とを利用者の予約状況に応じて関連付けして作成された鍵データデータベースと、鍵データを暗号化／復号化するための第１の暗号鍵の他、鍵配信サーバー２０を構成する各部の駆動制御情報を記憶している。

なお、専用装置側記憶部４２に記憶される「第１の暗号鍵」は、本システムの特徴要件である、「鍵変更タイミング情報に応じて所定の変更タイミングで鍵変更プログラムを用いて変更される暗号鍵」とは異なり、サービス事業者と鍵配信事業者との間で事前に取り決められた暗号鍵である。従って、第１の暗号鍵は、サービス事業者と鍵配信事業者との間で何らかの要因によって変更されない限り不変である。

専用装置側制御部４３は、例えばＣＰＵやＲＯＭ，ＲＡＭなどを有するマイクロコンピュータで構成されている。専用装置側制御部４３は、利用者の予約内容を受け付ける受付処理制御、利用者の予約状況に合わせて鍵データを作成する制御、鍵配信サーバー２０に対し第１の暗号鍵を用いて該当する鍵データに暗号化処理した状態で送信する制御等、事業者専用装置４０を構成する各部の駆動制御を行っている。

専用装置側制御部４３から鍵配信サーバー２０に送信される鍵データは、図６に示すように、第１の暗号鍵を用いて元データと署名データ１とを暗号化処理した状態で送信される。

また、第２形態における鍵配信サーバー２０は、事業者専用装置４０から該当する鍵データを第１の暗号鍵による暗号化処理が施された状態で受け取る。そして、鍵配信サーバー２０は、利用者の端末１０に対して第２の暗号鍵を用いて暗号化処理を施した状態の鍵データを該当する端末１０に向けて配信する。なお、第１形態と同様に、鍵配信サーバー２０から配信される鍵データは、鍵変更プログラムの鍵変更タイミングを考慮して変更タイミングの数時間前に配信されるようになっている。

鍵配信サーバー２０及び電気錠３０に記憶される「第２の暗号鍵」は、第１形態で使用した暗号鍵のことであり、第１形態と同様に鍵変更タイミング情報に応じた所定の変更タイミングで鍵変更プログラムを用いてデータが変更される。

鍵配信サーバー２０から端末１０に送信される鍵データは、図６に示すように、第２の暗号鍵を用いて事業者専用装置４０から送信された鍵データ（署名データ１付きの元データ）と署名データ２とを暗号化処理した状態で送信される。

また、第２形態における電気錠３０は、錠側記憶部３２が事業者専用装置４０で暗号化処理に用いた第１の暗号鍵と、鍵配信サーバー２０で暗号化処理に用いた第２の暗号鍵を共に記憶している。錠側制御部３４では、端末１０が近距離無線通信エリア内に近接したことを確認すると、端末１０に対して鍵データ送信要求を行って鍵データを受信する。そして、第１の暗号鍵と第２の暗号鍵を用いて復号化処理した鍵データの正当性の判別処理を行っている。

＜処理動作について＞
次に、上述した第２形態の鍵配信システム１における一連の処理動作について説明する。ここでは、利用者がサービス事業者であるホテルに宿泊予約してから配信された鍵データを用いて客室に入室するまでの処理動作である。

まず、サービス事業者が運営するホテルを利用者が予約する。この際、鍵配信サーバー２０から鍵データが配信される際の端末１０の送信先情報（メールアドレス等）を事前登録しておく。サービス事業者は、端末１０の送信先情報と、宿泊予約された部屋の電気錠ＩＤと、施解錠許可期限情報（チェックイン／チェックアウト時間）とを関連付けした鍵データデータベースを作成して保持する。

次に、チェックイン時間の数時間前になると、利用者の端末１０に対し、第１の暗号鍵で暗号化処理をした鍵データを鍵配信サーバー２０に送信する。鍵配信サーバー２０は、第１の暗号鍵で暗号化処理された鍵データをさらに第２の鍵データを用いて暗号化処理した状態で端末１０に配信する。なお、第２の暗号鍵は、鍵変更タイミング情報に従って所定の変更タイミングで変更されるため、万が一、鍵データが不正に傍受された場合であっても暗号鍵が解読される前に新たな暗号鍵に更新されることでセキュリティ性が確保される。

そして、利用者は、予約したホテルの客室まで出向き、扉に配設された電気錠３０の近距離無線通信エリア内に端末１０を近接させて鍵データを読み取らせる。電気錠３０は、記憶する第１の暗号鍵及び第２の暗号鍵を用いて読み取った鍵データを復号化してデータの正当性を判別し、正当であると判別した場合にのみ錠の解錠制御を行う。なお、第１の暗号鍵と第２の暗号鍵を用いて鍵データを復号化するが、第２の暗号鍵に関しては、所定の変更タイミングで更新された最新の暗号鍵であるため、以前に使用された第２の暗号鍵では復号化できずに認証エラーとなる。

以降、鍵データの施解錠許可期限情報に応じて利用者が予約した日時の間のみ鍵データを用いた電気錠３０の施解錠操作を可能とする。また、端末１０に記憶される施解錠許可期限情報の使用期限（すなわち、チェックアウト日時）を過ぎた鍵データについては、使用期限経過後に自動的に削除される。

以上説明したように、上述した各形態の鍵配信システム１では、利用者が使用予定の施設の扉に配設された電気錠３０を施解錠制御するのに必要な鍵データが鍵配信サーバー２０から利用者の所有する端末１０に向けて配信される鍵配信システム１において、鍵配信サーバー２０と電気錠３０とが同一の暗号鍵変更情報に従って所定の変更タイミングで変更される共通の暗号鍵を保持する。鍵配信サーバー２０は、鍵変更タイミング情報に従って所定の変更タイミングで変更される暗号鍵を用いて暗号化処理された鍵データを端末１０に配信する。

端末１０は、配信された鍵データを使用先の電気錠３０に読み取らせると、電気錠３０が記憶する暗号鍵を用いて鍵データを復号化してその正当性を判別し、正当であると判別したときにのみ錠の施解錠制御を行う。

これにより、鍵配信サーバー２０から端末１０に配信された鍵データが万が一不正傍受された場合であっても、暗号化された鍵データが解読される前に暗号鍵が更新されるため、電気錠３０では最新の暗号鍵による復号化処理のみ可能となり、配信時における鍵データの安全性を高めることができる。

また、第２形態の鍵配信システム１では、サービス事業者で第１の暗号鍵を用いて鍵配信サーバー２０に送信し、鍵配信サーバー２０は事業者専用装置４０から送信された鍵データ（元データ＋署名データ１）を暗号鍵変更情報によって更新される第２の暗号鍵を用いてさらに暗号化した状態の鍵データを端末１０に配信している。このため、万が一不正傍受され第１の暗号鍵が解読された場合でも、第２の暗号鍵で暗号化された鍵データが解読される前に第２の暗号鍵が更新されるので、配信時における鍵データの安全性を高めることができる。

［その他の実施形態について］
なお、本発明は上記各実施形態に限定されるものではなく、例えば以下に示すように使用環境等に応じて適宜変更して実施することもできる。また、以下の変更例を本発明の要旨を逸脱しない範囲の中で任意に組み合わせて実施することもできる。

上述した各形態において、利用者の予約状況に応じて作成された鍵データを、鍵配信サーバー２０から施設の予約日時の数時間前に配信する構成で説明したが、端末１０から鍵配信サーバー２０に対して鍵配信要求をしてもよい。例えば、第１形態のシステムでは、鍵配信サーバー２０が端末１０から鍵データの配信要求を受けると、この送信要求に応じて該当する鍵データを暗号鍵で暗号化処理を施した状態で配信するような構成とすることもできる。

また、第２形態のシステムでは、鍵配信サーバー２０から鍵配信タイミングを考慮した時間で自動的に鍵データを配信する構成で説明したが、これに限定されることはない。例えば、鍵配信サーバー２０が端末１０から鍵データの配信要求を受けたときに事業者専用装置４０に利用者の識別ＩＤを送信し、事業者専用装置４０が該当する鍵データを第１の暗号鍵による暗号化処理が施された状態で鍵配信サーバー２０に送信し、鍵配信サーバー２０から利用者の端末１０に対して第２の暗号鍵を用いて暗号化処理を施した状態の鍵データを配信するような構成としてもよい。

また、第２形態において、サービス事業者が鍵データを作成と管理・保持を行う構成で説明したが、事業者専用装置４０で作成した鍵データを鍵配信サーバー２０が管理・保持する構成としてもよい。

１…鍵配信システム
１０…端末
１１…端末側通信部
１２…近距離無線通信部
１３…端末側記憶部
１４…端末側制御部
１５…表示部
１６…入力操作部
２０…鍵配信サーバー
２１…サーバー側通信部
２２…サーバー側記憶部
２３…サーバー側計時部
２４…サーバー側制御部
３０…電気錠
３１…情報読取部
３２…錠側記憶部
３３…錠側計時部
３４…錠側制御部
３５…施解錠機構
３６…電源部
４０…事業者専用装置
４１…専用装置側通信部
４２…専用装置側記憶部
４３…専用装置側制御部

Claims (1)

1. 利用者が所有する端末と、
   電気錠の施解錠制御に必要な鍵データを鍵配信サーバーから所定の暗号鍵を用いて暗号化した状態で前記端末に配信する鍵配信サーバーと、
   を備えた鍵配信システムにおいて、
   前記鍵配信サーバーと前記電気錠は、共通の前記暗号鍵と、該暗号鍵を変更する鍵変更プログラムを用いて所定の変更タイミングに従って定期的に前記暗号鍵を変更する共通の暗号鍵変更情報を記憶し、前記暗号鍵変更情報に応じた変更タイミングで前記暗号鍵を同一タイミング、且つ同一の暗号鍵となるように変更することを特徴とする鍵配信システム。

Images