JP2016036121A - システム鍵設定システム、鍵配布鍵設定サーバ及び鍵配布鍵設定方法 - Google Patents

Abstract

【課題】システムの制御部品に対して、セキュリティを確保しつつ共通のシステム鍵を設定するための負荷を低減する鍵配布鍵設定方法を提供する。【解決手段】制御部品製造サイト２０の鍵配布鍵設定サーバ２２において鍵配布鍵作成部は、受信した計画内のアセンブリＩＤ及びアセンブリＩＤに対応するアセンブリ鍵を含む鍵配布鍵を作成する。鍵配布鍵設定部は、作成した鍵配布鍵を制御部品製造システム２３における複数の部品に設定する。アセンブリサイト４０のシステム鍵書込み要求装置４１において暗号化手段は、鍵配布鍵に基づいてシステム鍵を暗号化する。システム鍵書込み要求メッセージ作成部は、暗号化したシステム鍵を含むシステム鍵書込み要求メッセージを作成する。システム鍵書込み要求メッセージ送信部は、作成したシステム鍵書込み要求メッセージをシステム組込後の複数の部品に同報送信する。【選択図】図１

Description

本発明の実施形態は、システム鍵設定システム、鍵配布鍵設定サーバ及び鍵配布鍵設定方法に関する。

近年、ビルやプラントには数百個ものセンサ類が設置され、自動車には百個前後のＥＣＵ（Electronic/Engine Control Unit）等の制御機器が使用されるようになってきている。これらのセンサ類又は制御機器は、その他の複数の部品と共にシステムに組込まれ、システムの制御部品として動作する。システムに組込まれた制御部品同士が通信して動作する通信方式として、Ｍ２Ｍ（Machine to Machine）通信方式が知られている。

Ｍ２Ｍ通信方式が適用される通信環境は、十分にセキュアでない場合が多く、外部から不正にアクセスされる可能性がある。この種の不正なアクセスを防止するため、制御部品同士の通信情報を共通鍵で暗号化することでセキュア通信を行う技術が知られている。

なお、共通鍵を共有する際に、インターネットの如き高速大容量の通信環境では、公開鍵証明書等を用いて鍵共有する技術が広く用いられている。但し、公開鍵証明書などを用いた鍵共有技術は、高い計算処理能力が各制御部品に求められる。

しかしながら、Ｍ２Ｍ通信方式により動作する制御部品は、低い計算処理能力を有し、低速小容量の通信環境で用いられることが多い。したがって、システム内の低速小容量な通信環境では、公開鍵証明書を用いない鍵共有技術により、共通鍵を共有することが望ましい。

この種の鍵共有技術としては、例えば、各制御部品を通信環境に接続する前に、共通鍵を暗号化する固有の鍵を鍵配布鍵として個別に設定し、各制御部品を通信環境に接続した後で、各制御部品に固有の鍵配布鍵でそれぞれ暗号化した共通鍵を、各制御部品に送信する手法が考えられる。

特開２００４−２３２３７号公報

しかしながら、従来の手法は、セキュリティを確保するため、通信環境に接続する前に、少なくとも百個前後の各制御部品に固有の鍵を個別に設定するため、負荷がかかる、という不都合がある。また、各制御部品に固有の鍵配布鍵で暗号化した共通鍵を個別に送信する必要があり、更に負荷がかかる、という不都合がある。

本発明が解決しようとする課題は、セキュリティを確保しつつ共通のシステム鍵を設定するための負荷を低減し得るシステム鍵設定システム、鍵配布鍵設定サーバ及び鍵配布鍵設定方法を提供することである。

実施形態のシステム鍵設定システムは、システム鍵を設定する複数の部品に前記システム鍵の書込要求を送信するシステム鍵書込み要求装置と、前記複数の部品に鍵配布鍵を設定する鍵配布鍵設定サーバとを備えている。

前記鍵配布鍵設定サーバは、計画受信手段と、第１の鍵配布鍵作成手段と、第１の鍵配布鍵設定手段とを備えている。

前記計画受信手段は、アセンブリＩＤを含む計画を受信する。

前記第１の鍵配布鍵作成手段は、前記計画内のアセンブリＩＤ及び前記アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する。

前記第１の鍵配布鍵設定手段は、前記作成した第１の鍵配布鍵を製造工程における前記複数の部品に設定する。

前記システム鍵書込み要求装置は、第１の暗号化手段と、システム鍵書込み要求メッセージ作成手段と、システム鍵書込み要求メッセージ同報送信手段とを備えている。

前記第１の暗号化手段は、前記第１の鍵配布鍵に基づいて前記システム鍵を暗号化する。

前記システム鍵書込み要求メッセージ作成手段は、前記暗号化したシステム鍵を含むシステム鍵書込み要求メッセージを作成する。

前記システム鍵書込み要求メッセージ同報送信手段は、前記作成したシステム鍵書込み要求メッセージをシステム組込後の前記複数の部品に同報送信する。

本発明の第１の実施形態に係るシステム鍵設定システムの構成例を示す模式図である。 同実施形態における発注情報の構成例を説明するための模式図である。 同実施形態における発注情報の構成例を説明するための模式図である。 同実施形態における計画作成装置の構成例を説明するための模式図である。 同実施形態におけるアセンブリ計画ＤＢの構成例を説明するための模式図である。 同実施形態における部品製造計画ＤＢの構成例を説明するための模式図である。 同実施形態における鍵配布鍵設定サーバの構成例を説明するための模式図である。 同実施形態における鍵配布鍵ＤＢの構成例を説明するための模式図である。 同実施形態における鍵配布鍵ＤＢの構成例を説明するための模式図である。 同実施形態における制御部品製造サイトにおける製造から出荷までの動作例を説明するための模式図である。 同実施形態におけるシステム鍵書込み要求装置の構成例を説明するための模式図である。 同実施形態におけるシステム鍵書込み要求メッセージの構成例を説明するための模式図である。 同実施形態における同報送信の一例を説明するための模式図である。 同実施形態における動作の一例を説明するためのシーケンス図である。 同実施形態における動作の変形例を説明するためのシーケンス図である。 本発明の第２の実施形態に係る鍵配布鍵ＤＢの構成例を説明するための模式図である。 同実施形態における動作例を説明するためのシーケンス図である。 本発明の第３の実施形態に係る鍵配布鍵ＤＢの構成例を説明するための模式図である。

以下、いくつかの実施形態について図面を参照して説明する。なお、以下の各装置は、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成の何れでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から各コンピュータにインストールされ、システム鍵設定システムの各装置の機能を当該各コンピュータに実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は、第１の実施形態に係るシステム鍵設定システムの構成の一例を示す模式図である。このシステム鍵設定システム１は、発注端末１０、制御部品製造サイト２０、制御部品製造サイト３０、アセンブリサイト４０を備えている。なお、発注端末１０は、１台に限らず、１台以上の任意の発注端末において同時に適用可能となっている。各制御部品製造サイト２０，３０は、それぞれ計画作成装置２１，３１、鍵配布鍵設定サーバ２２，３２及び制御部品製造システム２３，３３を備えている。また、各制御部品製造サイト２０，３０は、２ヵ所に限らず、１ヵ所以上の任意の制御部品製造サイトにおいて同時に適用可能となっている。アセンブリサイト４０では、システム鍵書込み要求装置４１が、複数の制御部品４２及び複数の制御部品４３に通信可能なネットワークに接続される。また、アセンブリサイト４０は、１ヵ所に限らず、１ヵ所以上の任意のアセンブリサイトにおいて同時に適用可能となっている。

ここで、発注端末１０は、発注情報作成部１１及び発注情報送信部１２を備えている。

発注端末１０は、アセンブリサイト４０にてシステムに組込まれる制御部品４２及び制御部品４３を各制御部品製造サイト２０，３０に発注するために、発注元である顧客によって操作される端末である。

発注情報作成部１１は、図２に示す如き、発注情報１００ａを作成する機能をもっている。

発注情報１００ａは、アセンブリサイト４０にてシステムに組込まれる制御部品４２に付与するアセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を含む。なお、理解を容易にする観点から、アセンブリ鍵の値は、アセンブリＩＤを含んで当該ＩＤとの対応付けを明確に表す値を図２に示したが、一般的には人間には両者の対応付けが不明な値が設定される。また、アセンブリ鍵に限らず、以後の全ての鍵の値は、図面中に例示した値とは異なり、一般的には人間にＩＤとの対応付けが不明な値が設定される。アセンブリＩＤは、発注先が顧客を識別するための顧客ＩＤと、顧客毎のアセンブリ単位（例えば、自動車の生産ロット番号、設置ビルの現場単位等）で構成されていてもよい。例えば、図２において、アセンブリＩＤ“１１１２”のうち、“１１”が顧客ＩＤであり、“１２”がアセンブリ単位であってもよい。アセンブリ単位“１２”は、適用先である第１２ＴＴビルに対応してもよい。即ち、アセンブリＩＤは、各制御部品製造サイト２０，３０において顧客ＩＤ及びアセンブリ単位の組を重複せずに識別できるように設定される。

発注情報１００ａにおいてアセンブリＩＤ及びアセンブリ鍵の組が設定される場合、発注端末１０は、アセンブリＩＤ及びアセンブリ鍵の組をアセンブリサイト４０と共有する。

また、発注情報１００ａは、発注する制御部品の個数、出荷日及び適用先を含んでもよい。ここで、「適用先」の用語は、「アセンブリ単位」又は「アセンブリサイト」と読替えてもよい。

また、発注情報１００ａは、複数のアセンブリサイト４０のために制御部品４２を発注する場合、複数のアセンブリサイト４０に対する情報を含んでもよい。例えば、図２においてアセンブリＩＤ“１１１３”は、アセンブリＩＤ“１１１２”と同じ顧客ＩＤ“１１”から発注された、アセンブリ単位“１２”とは異なるアセンブリ単位“１３”へ適用する制御部品４２に関する発注情報である。発注情報作成部１１は、制御部品製造サイト３０にも、発注情報１００ａと同様な発注情報（図示せず）を作成する。

発注情報作成部１１は、発注先が１ヵ所の場合、図３に示す如き、発注情報１００ｂを作成してもよい。

発注情報１００ｂは、発注情報１００ａと同様のデータ構造を含んでいてもよい。ただし、発注情報１００ｂは、アセンブリＩＤ及びアセンブリ鍵の値にヌル（Ｎｕｌｌ）値が入力される。アセンブリＩＤ及びアセンブリ鍵の値にヌル値が設定される場合、発注端末１０は、アセンブリＩＤ及びアセンブリ鍵の組をアセンブリサイト４０と予め共有しなくてもよい。なお、「ヌル値」は、「ヌル」、「ナル」又は「ナル値」等に読み替えてもよい。

発注情報送信部１２は、発注情報１００ａ及び／又は発注情報１００ｂを、各制御部品製造サイト２０，３０に送信する機能をもっている。発注情報送信部１２は、アセンブリＩＤ及びアセンブリ鍵の組を、システム鍵書込み要求装置４１と共有してもよい。発注情報送信部１２は、アセンブリＩＤ及びアセンブリ鍵の組を、システム鍵書込み要求装置４１に送信してもよい。

なお、第１の実施形態における以後の説明では、発注端末１０から発注情報１００ａが、及び図示しない発注端末１０から発注情報１００ｂがそれぞれ制御部品製造サイト２０へ送信された場合を例に挙げて述べる。また、各制御部品製造サイト２０，３０は互いに同一のハードウェア構成をもつため、制御部品製造サイト２０を代表例に挙げて説明し、制御部品製造サイト３０についての重複した説明を省略する。

制御部品製造サイト２０は、計画作成装置２１、鍵配布鍵設定サーバ２２及び制御部品製造システム２３を備えている。

計画作成装置２１は、図４に示すように、発注情報受信部２１０、アセンブリ計画ＤＢ作成部２１１、制御部品製造計画ＤＢ作成部２１２、計画送信部２１３及び計画記憶部２１４を備えている。

発注情報受信部２１０は、発注情報送信部１２から送信された発注情報１００ａ及び図示しない発注端末１０の発注情報送信部１２から送信された発注情報１００ｂを受信する機能をもっている。発注情報受信部２１０は、受信した発注情報１００ａ，１００ｂを計画記憶部２１４に記憶させてもよい。

アセンブリ計画ＤＢ作成部２１１は、計画記憶部２１４に記憶された各発注情報１００ａ，１００ｂを読出し、図５に示す如き、アセンブリ計画ＤＢ２００ａを作成し、当該アセンブリ計画ＤＢ２００ａを計画記憶部２１４に書き込む機能をもっている。

アセンブリ計画ＤＢ２００ａは、複数の発注情報送信部１２から送信された各発注情報１００ａ，１００ｂを集約したデータベースである。また、発注情報１００ｂの如くアセンブリＩＤにヌル値が付与されている場合、アセンブリ計画ＤＢ作成部２１１は、アセンブリＩＤとして、その他のアセンブリＩＤと識別可能な値を付与する。例えば、図５において、適用先ＵＵビルＡ３に対応するアセンブリＩＤとして“３９１３”の値が、また適用先ＵＵビルＢ１に対応するアセンブリＩＤとして“３９２１”の値が付与されている。

制御部品製造計画ＤＢ作成部２１２は、計画記憶部２１４に記憶された各発注情報１００ａ，１００ｂを読出し、各発注情報１００ａ，１００ｂに基づいて、図６に示す如き、制御部品製造計画ＤＢ２００ｂを作成する機能をもっている。作成された制御部品製造計画ＤＢ２００ｂは、制御部品製造計画ＤＢ作成部２１２から計画記憶部２１４に書き込まれる。なお、制御部品製造計画ＤＢ作成部２１２は、計画記憶部２１４に記憶された各発注情報１００ａ，１００ｂの有無に関わらず、制御部品製造システム２３の製造能力に応じた製造個数を決定し、制御部品製造計画ＤＢ２００ｂを作成してもよい。

制御部品製造計画ＤＢ２００ｂは、製造ロット毎のレコードを持つデータベースである。制御部品製造計画ＤＢ２００ｂは、ロットＩＤ、製造開始時間、製造数量及び所要時間等の情報を含んでもよい。

計画送信部２１３は、計画記憶部２１４内のアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを読出し、当該アセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを鍵配布鍵設定サーバ２２の計画受信部２２０に送信する機能をもっている。

計画記憶部２１４は、計画作成装置２１の各部から読出／書込可能なメモリである。計画記憶部２１４は、発注情報受信部２１０で受信された各発注情報１００ａ，１００ｂ、アセンブリ計画ＤＢ作成部２１１で作成されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ作成部２１２で作成された制御部品製造計画ＤＢ２００ｂを記憶する。

鍵配布鍵設定サーバ２２は、システム組込後の複数の制御部品に暗号化したシステム鍵を同報送信し、当該暗号化したシステム鍵を復号して複数の制御部品に安全に書込むために、複数の制御部品に鍵配布鍵を設定するための装置である。鍵配布鍵設定サーバ２２は、当該システム鍵の暗号化及び復号に用いられる鍵配布鍵を製造工程における複数の制御部品に設定する機能をもっている。

具体的には、鍵配布鍵設定サーバ２２は、図７に示すように、計画受信部２２０、鍵配布鍵作成部２２１、鍵配布鍵設定部２２２、鍵配布鍵送信部２２３及び鍵配布鍵記憶部２２４を備えている。

計画受信部２２０は、計画送信部２１３から送信されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを受信し、当該アセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを鍵配布鍵作成部２２１に送信する機能をもっている。計画受信部２２０は、受信したアセンブリ計画ＤＢ２００ａ及び部品製造計画ＤＢ２００ｂを鍵配布鍵記憶部２２４に記憶させてもよい。

鍵配布鍵作成部２２１は、計画受信部２２０により受信したアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、図８及び図９に示す如き、鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄを作成する機能をもっている。作成された各鍵配布鍵ＤＢ２００ｃ，２００ｄは、鍵配布鍵作成部２２１から鍵配布鍵記憶部２２４に書き込まれる。

鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄは、アセンブリ計画ＤＢ２００ａ内のアセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を含んでおり、制御部品製造計画ＤＢ２００ｂのロットＩＤ毎に作成される。即ち、鍵配布鍵ＤＢ２００ｃはロットＩＤ“２３３”で製造される制御部品にそれぞれ設定される第１の鍵配布鍵をまとめたものである。また、鍵配布鍵ＤＢ２００ｄは、ロットＩＤ“２３４”で製造される制御部品にそれぞれ設定される第１の鍵配布鍵をまとめたものである。

鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄの１レコードは、１個の制御部品に設定される第１の鍵配布鍵である。第１の鍵配布鍵は、制御部品に設定されるシステム鍵の暗号化及び復号に用いられる。鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄのレコード数は、対応するロットＩＤで製造される部品数に対応する。鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄの１レコードは、アセンブリＩＤ１，アセンブリ鍵１、アセンブリＩＤ２、アセンブリ鍵２、アセンブリＩＤ３及びアセンブリ鍵３を含む。以下、アセンブリＩＤ及びアセンブリ鍵の任意の組を、“アセンブリＩＤｎ及びアセンブリ鍵ｎ”と呼ぶ（但し、ｎは自然数である。）。鍵配布鍵ＤＢ２００ｃ及び鍵配布鍵ＤＢ２００ｄの１レコードは、プロダクトＩＤ、ロットＩＤ、アセンブリＩＤ数を含んでもよい。

プロダクトＩＤは、制御部品を個別に識別可能なＩＤである。「プロダクトＩＤ」は、「制御部品ＩＤ」又は単に「部品ＩＤ」と呼んでもよい。

ロットＩＤは、制御部品製造計画ＤＢ２００ｂ内のロットＩＤの値が付与される。

アセンブリＩＤ数は、鍵配布鍵ＤＢ２００ｃ又は２００ｄに対応するロットで製造される制御部品の適用先の数に対応する。即ち、鍵配布鍵作成部２２１は、アセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、ロットＩＤ“２３３”のロットで製造する４０個の制御部品を、アセンブリＩＤ“１１１２”、“３９１３”及び“１１１３”の３つの適用先向けに製造することを決定する。同様に、鍵配布鍵作成部２２１は、アセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、ロットＩＤ“２３４”のロットで製造する４０個の制御部品を、アセンブリＩＤ“１１１３”及び“３９２１”の２つの適用先向けに製造することを決定する。したがって、この場合、鍵配布鍵ＤＢ２００ｃのアセンブリＩＤ数には“３”が設定され、鍵配布鍵ＤＢ２００ｄのアセンブリＩＤ数には“２”が設定される。

アセンブリＩＤｎ及びアセンブリ鍵ｎの組は、各ロットで製造することが決定された適用先のアセンブリＩＤ及びアセンブリ鍵の組が設定される。なお、レコード長は固定でも可変でもよく、レコード長が固定であり、アセンブリＩＤ数がレコード長未満の場合、余剰のデータ領域に対してはヌル値が設定される。また、レコード長が可変の場合、余剰のデータ領域が無くなるようレコード長が調整されてもよい。

アセンブリ鍵ｎは、アセンブリ計画ＤＢ２００ａにおけるアセンブリ鍵にヌル値が設定されている場合、鍵配布鍵作成部２２１により自動的に作成される。即ち、図８におけるアセンブリ鍵２及び図９におけるアセンブリ鍵２は、鍵配布鍵作成部２２１により自動作成されたアセンブリ鍵が設定されたものである。

なお、図８及び図９に示す例は、同ロットの部品がどの適用先に出荷されても良いように、制御部品毎にアセンブリＩＤ数分のアセンブリＩＤ及びアセンブリ鍵の組が設定されている。同ロット内の制御部品の適用先が制御部品毎に管理されている場合は、制御部品毎に適用先に対応した個別のアセンブリＩＤ及びアセンブリ鍵の組が設定されていればよく、他の適用先に対応したアセンブリＩＤ及びアセンブリ鍵の組を省略してもよい。

鍵配布鍵設定部２２２は、鍵配布鍵記憶部２２４から各鍵配布鍵ＤＢ２００ｃ，２００ｄを読出し、各鍵配布鍵ＤＢ２００ｃ，２００ｄに基づき、制御部品製造システム２３での製造工程における複数の制御部品４２に第１の鍵配布鍵を設定する機能を有する。

発注情報１００ｂの如く、アセンブリＩＤ及びアセンブリ鍵の組が発注端末１０により設定されていない場合、アセンブリサイト４０は、発注端末１０と当該アセンブリＩＤ及びアセンブリ鍵の組を共有していない。この場合、鍵配布鍵送信部２２３は、複数の制御部品４２に設定された第１の鍵配布鍵を鍵配布鍵記憶部２２４から読出し、システム鍵書込み要求装置４１の鍵配布鍵受信部４１０に送信する。

なお、発注情報１００ａの如く、アセンブリＩＤ及びアセンブリ鍵の組が発注端末１０により設定されている場合、アセンブリサイト４０は、発注端末１０と当該アセンブリＩＤ及びアセンブリ鍵の組を共有している。この場合、鍵配布鍵送信部２２３は第１の鍵配布鍵を送信しない。

なお、鍵配布鍵送信部２２３により送信される第１の鍵配布鍵は、各々のアセンブリサイト４０に対応するアセンブリＩＤ及びアセンブリ鍵の組のみが送信されることが望ましい。即ち、鍵配布鍵ＤＢ２００ｃにおいて、アセンブリサイト４０のアセンブリＩＤが“１１１２”である場合、アセンブリＩＤ及びアセンブリ鍵の組の情報として、アセンブリＩＤ１及びアセンブリ鍵１の組のみが、第１の鍵配布鍵として当該アセンブリサイト４０に開示されることが望ましい。

制御部品製造システム２３は、制御部品製造サイト２０が、制御部品製造計画ＤＢ２００ｂに基づいて複数の制御部品４２を製造するための製造システムである。制御部品製造システム２３は、アセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、複数の制御部品４２を製造し、複数のアセンブリサイト４０に出荷する。制御部品製造システム２３は、図１０に一例を示すように、３月１０日にロットＩＤ“２３３”のロットで４０個の制御部品４２を製造し、３月１１日に２０個の制御部品４２をアセンブリＩＤ“１１１２”の適用先に出荷すると共に、３月１２日に１０個の制御部品４２をアセンブリＩＤ“３９１３”の適用先に出荷する。また、制御部品製造システム２３は、３月１７日にロットＩＤ“２３４”のロットで４０個の制御部品４２を製造し、３月１８日に３０個の制御部品４２をアセンブリＩＤ“１１１３”の適用先に出荷すると共に、３月１９日に２０個の制御部品４２をアセンブリＩＤ“３９２１”の適用先に出荷する。なお、アセンブリＩＤ“１１１３”の適用先に出荷された３０個の制御部品４２は、ロットＩＤ“２３３”のロットで製造された１０個と、ロットＩＤ“２３４”のロットで製造された２０個を合わせて出荷している。同様に、制御部品製造システム３３は、複数の制御部品４３を製造し、アセンブリサイト４０に出荷する。

アセンブリサイト４０は、システム鍵書込み要求装置４１と、複数の制御部品４２と、複数の制御部品４３とを備えている。

システム鍵書込み要求装置４１は、システム鍵を設定する複数の制御部品４２，４３に当該システム鍵の書込要求を送信する機能をもっている。

具体的にはシステム鍵書込み要求装置４１は、図１１に示すように、鍵配布鍵受信部４１０、システム鍵作成部４１１、システム鍵暗号化部４１２、システム鍵書込み要求メッセージ作成部４１３、システム鍵書込み要求メッセージ送信部４１４及びシステム鍵記憶部４１５を備えている。

鍵配布鍵受信部４１０は、制御部品製造サイト２０及び制御部品製造サイト３０の鍵配布鍵送信部２２３から第１の鍵配布鍵をそれぞれ受信する機能をもっている。受信した第１の鍵配布鍵は、鍵配布鍵受信部４１０からシステム鍵暗号化部４１２及びシステム鍵書込み要求メッセージ作成部４１３に送出してもよく、鍵配布鍵受信部４１０からシステム鍵記憶部４１５に書き込んでもよい。

発注情報１００ａの如く、アセンブリＩＤ及びアセンブリ鍵の組が発注端末１０により設定されている場合、鍵配布鍵受信部４１０は、発注情報送信部１２からアセンブリＩＤ及びアセンブリ鍵の組を第１の鍵配布鍵として受信することで、当該情報を共有してもよい。この場合、鍵配布鍵受信部４１０は、制御部品製造サイト２０及び制御部品製造サイト３０の鍵配布鍵送信部２２３から第１の鍵配布鍵をそれぞれ受信しない。

システム鍵作成部４１１は、システム鍵を作成し、当該システム鍵をシステム鍵記憶部４１５に書き込む機能をもっている。システム鍵は、アセンブリサイト４０にてシステムに組込まれる各制御部品４２，４３に共通に設定される鍵である。

システム鍵暗号化部４１２は、例えば、以下の各機能(f412-1)〜(f412-3)をもっている。

(f412-1) 鍵配布鍵受信部４１０から第１の鍵配布鍵を受信する機能。

(f412-2) システム鍵記憶部４１５に記憶されたシステム鍵を読出す機能。

(f412-3)受信した第１の鍵配布鍵に基づき、読み出したシステム鍵を暗号化する機能。

システム鍵書込み要求メッセージ作成部４１３は、鍵配布鍵受信部４１０から第１の鍵配布鍵を受信する。システム鍵書込み要求メッセージ作成部４１３は、図１２に示す如き、システム鍵暗号化部４１２によって暗号化されたシステム鍵（以下、暗号化システム鍵ともいう）を含むシステム鍵書込み要求メッセージ４００ａを作成する。

システム鍵書込み要求メッセージ４００ａは、メッセージ識別子、ＩＤ種別、ＩＤ、暗号化システム鍵及びメッセージ認証符号を含む。

メッセージ識別子は、システム鍵書込みメッセージの識別子である。メッセージ識別子は、制御部品共通、制御部品個別の何れに設定してもよいが、システム鍵書込みメッセージを各制御部品４２，４３に同報送信する場合には、各制御部品４２，４３に共通に設定する。

ＩＤ種別としては、例えばアセンブリＩＤ、ロットＩＤ又はプロダクトＩＤといったＩＤの種別に対応する数値が選択される。第１の実施形態においては、アセンブリＩＤに対応するＩＤ種別が選択される。

ＩＤは、選択されたＩＤ種別におけるＩＤの値が設定される。

暗号化システム鍵は、システム鍵を、システム鍵書込み要求メッセージ４００ａに設定されたＩＤに対応する鍵で暗号化したものが設定される。

メッセージ認証符号としては、メッセージ識別子、ＩＤ種別、ＩＤ及び暗号化システム鍵のビット列について、システム鍵の暗号化に使用した鍵を用いて作成されたメッセージ認証符号が設定される。メッセージ認証符号は、外部からの不正なアクセスによるシステム鍵の書換えを防止するために設定される。

システム鍵書込み要求メッセージ送信部４１４は、システム鍵書込み要求メッセージ作成部４１３により作成されたシステム鍵書込み要求メッセージ４００ａをシステム組込後の各制御部品４２，４３に送信する。システム鍵書込み要求メッセージ送信部４１４は、図１３に示すように、各制御部品４２，４３に送信するシステム鍵書込み要求メッセージ４００ａに同一のメッセージを用い、同報送信してもよい。

各制御部品４２，４３は、各制御部品製造サイト２０，３０によってそれぞれ製造され、アセンブリサイト４０に入荷される。各制御部品４２，４３は、入荷された後システム鍵書込み前にシステムに組込まれ、システム鍵書込み要求装置４１と通信可能なネットワークに接続される。当該接続の後、各制御部品４２，４３は、システム鍵書込み要求装置４１から受信したシステム鍵書込み要求メッセージ４００ａに基づいて、システム鍵の書込みを実施する。

各制御部品４２，４３は、システム鍵の書込みを実施するため、例えば、以下の各機能(f42-1, f43-1)〜(f42-6, f43-6)をもっている。

(f42-1, f43-1) システム鍵書込み要求メッセージ４００ａ内のメッセージ識別子に基づき、当該メッセージが書込み要求であることを識別する機能。

(f42-2, f43-2) システム鍵書込み要求であることが識別されたシステム鍵書込み要求メッセージ４００ａについて、メッセージ認証符号を作成し、システム鍵書込み要求メッセージ４００ａ内のメッセージ認証符号と照合を行う機能。

(f42-3, f43-3) メッセージ認証符号の照合の結果、当該要求が不正な設定要求か否かを判断する機能。

(f42-4, f43-4) 照合の結果、不正な設定要求でないと判断された場合、各制御部品４２，４３に設定された第１の鍵配布鍵に基づき、暗号化されたシステム鍵を復号する機能。

(f42-5, f43-5) 復号したシステム鍵を各自に書込む機能。

(f42-6, f43-6) 書込まれたシステム鍵以外に設定されている第１の鍵配布鍵を消去する機能。

次に、以上のように構成されたシステム鍵設定システム１の動作について図１４及び図１５のシーケンス図を用いて説明する。各制御部品製造サイト２０，３０の動作は同様なので、制御部品製造サイト２０の動作を代表例として説明する。

まず、発注端末１０から各制御部品製造サイト２０，３０に、同一のアセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を指定した発注情報１００ａが送信された場合について、図１４のシーケンス図を参照しながら説明する。

はじめに、発注情報受信部２１０は、発注情報送信部１２から送信された発注情報１００ａを受信する（ＳＴ１０１）。

アセンブリ計画ＤＢ作成部２１１は、発注情報１００ａに基づき、アセンブリＩＤ及び対応するアセンブリ鍵を含むアセンブリ計画ＤＢ２００ａを作成する（ＳＴ１０２）。

制御部品製造計画ＤＢ作成部２１２は、発注情報１００ａに基づき、制御部品製造計画ＤＢ２００ｂを作成する（ＳＴ１０３）。制御部品製造計画ＤＢ作成部２１２は、発注情報１００ａによらず、制御部品製造計画ＤＢ２００ｂを作成してもよい。また、ステップＳＴ１０２，ＳＴ１０３は、並行して実行されてもよい。

作成されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂは、計画記憶部２１４に記憶され、計画送信部２１３から送信される。

計画受信部２２０は、送信されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを受信する。なお、アセンブリ計画ＤＢ２００ａは、アセンブリＩＤ及び対応するアセンブリ鍵を含む。

鍵配布鍵作成部２２１は、受信したアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、アセンブリＩＤ及び対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する。鍵配布鍵作成部２２１は、第１の鍵配布鍵をロット毎にまとめ、各鍵配布鍵ＤＢ２００ｃ，２００ｄを作成する（ＳＴ１０４）。鍵配布鍵記憶部２２４は、作成された各鍵配布鍵ＤＢ２００ｃ，２００ｄを記憶する。

制御部品製造システム２３は、制御部品４２の製造を開始する。

鍵配布鍵設定部２２２は、作成された第１の鍵配布鍵を製造工程における複数の制御部品４２に対して設定する（ＳＴ１０５）。

制御部品製造システム２３は、複数の制御部品４２の製造を終了する。

制御部品製造システム２３によって製造された複数の制御部品４２は、アセンブリサイト４０に出荷される。同様に、制御部品製造システム３３によって製造された複数の制御部品４３は、アセンブリサイト４０に出荷される。

アセンブリサイト４０に入荷された各制御部品４２，４３は、システムに組込まれる。また、システムに組込まれた各制御部品４２，４３は、システム鍵書込み要求装置４１にネットワークを介して接続される。

続いて、アセンブリサイト４０は、システム鍵を各制御部品４２，４３に書込む（ＳＴ２０１〜ＳＴ２１０）。具体的には例えば、以下に示すように、アセンブリサイト４０内の各機能部がステップＳＴ２０１〜ＳＴ２１０を実行する。なお、ステップＳＴ２０１〜ＳＴ２０２は、ステップＳＴ１０１〜ＳＴ１０５と並行して実施可能である。

アセンブリサイト４０は、発注端末１０から指定されたアセンブリＩＤ及び対応するアセンブリ鍵を含む発注情報１００ａを第１の鍵配布鍵として共有する（ＳＴ２０１）。具体的には、アセンブリサイト４０は、発注情報１００ａ内のアセンブリＩＤ及び対応するアセンブリ鍵を第１の鍵配布鍵として共有する。

システム鍵作成部４１１は、システム鍵を作成する（ＳＴ２０２）。システム鍵記憶部４１５は、作成されたシステム鍵を記憶する。

システム鍵暗号化部４１２は、作成されたシステム鍵を、共有された第１の鍵配布鍵に基づいて暗号化する（ＳＴ２０３）。

システム鍵書込み要求メッセージ作成部４１３は、暗号化されたシステム鍵を含むシステム鍵書込み要求メッセージ４００ａを作成する（ＳＴ２０４）。

システム鍵書込み要求メッセージ送信部４１４は、作成されたシステム鍵書込み要求メッセージ４００ａを、システム組込後の各制御部品４２，４３にネットワークを介して同報送信する（ＳＴ２０５）。

各制御部品４２，４３は、同報送信されたシステム鍵書込み要求メッセージ４００ａに基づき、システム鍵書込みを開始する（ＳＴ２０６〜ＳＴ２１０）。具体的には例えば、以下に示すように、各制御部品４２，４３がステップＳＴ２０６〜ＳＴ２１０を実行する。

各制御部品４２，４３は、システム鍵書込み要求メッセージ４００ａ内のメッセージ識別子に基づき、当該メッセージがシステム鍵書込み要求であることを識別する（ＳＴ２０６）。

各制御部品４２，４３は、システム鍵書込み要求であることが識別されたシステム鍵書込み要求メッセージ４００ａについて、メッセージ認証符号を作成し、システム鍵書込み要求メッセージ４００ａ内のメッセージ認証符号と照合を行う。各制御部品４２，４３は、照合結果に基づき、当該要求が不正な設定要求か否かを判断する（ＳＴ２０７）。

各制御部品４２，４３は、照合の結果、不正な設定要求でないと判断された場合、システム鍵書込み要求メッセージ４００ａ内のＩＤ種別及びＩＤと、各制御部品４２，４３に設定された第１の鍵配布鍵とに基づき、暗号化されたシステム鍵を復号する（ＳＴ２０８）。

各制御部品４２，４３は、復号したシステム鍵を各制御部品４２，４３に書込む（ＳＴ２０９）。

各制御部品４２，４３は、書込まれたシステム鍵以外に設定されている第１の鍵配布鍵を消去する（ＳＴ２１０）。これにより、各制御部品４２，４３へのシステム鍵の書込みが終了する。

次に、発注端末１０から制御部品製造サイト２０に、アセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を指定しない発注情報１００ｂが送信された場合について、図１５のシーケンス図を参照しながら説明する。なお、この場合、発注端末１０から発注情報１００ｂが送信されるのは制御部品製造サイト２０のみとする。

はじめに、発注情報受信部２１０は、発注情報送信部１２から送信された、発注情報１００ｂを受信する（ＳＴ１０１）。

アセンブリ計画ＤＢ作成部２１１は、アセンブリサイト４０に対応するアセンブリＩＤを設定する。アセンブリ計画ＤＢ作成部２１１は、発注情報１００ｂ及びアセンブリサイト４０に対応するアセンブリＩＤに基づき、アセンブリ計画ＤＢ２００ａを作成する（ＳＴ１０２）。ただし、作成されたアセンブリ計画ＤＢ２００ａ内のアセンブリサイト４０を示すアセンブリＩＤに対応するアセンブリ鍵は、ヌル（Ｎｕｌｌ）値が設定される。

制御部品製造計画ＤＢ作成部２１２は、発注情報１００ｂに基づき、制御部品製造計画ＤＢ２００ｂを作成する（ＳＴ１０３）。制御部品製造計画ＤＢ作成部２１２は、発注情報１００ａによらず、制御部品製造計画ＤＢ２００ｂを作成してもよい。また、ステップＳＴ１０２，ＳＴ１０３は、並行して実行されてもよい。

作成されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂは、計画記憶部２１４に記憶され、計画送信部２１３から送信される。

計画受信部２２０は、送信されたアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂを受信する。なお、アセンブリ計画ＤＢ２００ａは、計画内にアセンブリＩＤを含み、アセンブリ鍵は、ヌル値が設定されている。

鍵配布鍵作成部２２１は、新たなアセンブリ鍵を作成し、ヌル値が設定されたアセンブリ鍵に代えて、新たなアセンブリ鍵を第１の鍵配布鍵に設定する。鍵配布鍵作成部２２１は、受信したアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、アセンブリＩＤ及び対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する。鍵配布鍵作成部２２１は、第１の鍵配布鍵をロット毎にまとめ、鍵配布鍵ＤＢ２００ｃ，２００ｄを作成する（ＳＴ１０４）。鍵配布鍵記憶部２２４は、作成された鍵配布鍵ＤＢ２００ｃ，２００ｄを記憶する。

制御部品製造システム２３は、制御部品４２の製造を開始する。

鍵配布鍵設定部２２２は、作成された第１の鍵配布鍵を製造工程における複数の制御部品４２に対して設定する（ＳＴ１０５）。

鍵配布鍵送信部２２３は、アセンブリサイト４０に対応するアセンブリＩＤ及びアセンブリ鍵の組を含む第１の鍵配布鍵を鍵配布鍵受信部４１０に送信する（ＳＴ１０６）。

制御部品製造システム２３は、複数の制御部品４２の製造を終了する。

制御部品製造システム２３によって製造された複数の制御部品４２は、アセンブリサイト４０に出荷される。

アセンブリサイト４０に入荷された複数の制御部品４２は、システムに組込まれる。また、システムに組込まれた複数の制御部品４２は、システム鍵書込み要求装置４１にネットワークを介して接続される。

続いて、アセンブリサイト４０は、システム鍵を複数の制御部品４２に書込む（ＳＴ２０１‘〜２１０）。具体的には例えば、以下に示すように、アセンブリサイト４０内の各機能部がステップＳＴ２０１‘〜ＳＴ２１０を実行する。

鍵配布鍵受信部４１０は、鍵配布鍵送信部２２３から送信された第１の鍵配布鍵を受信する（ＳＴ２０１‘）。

なお、以下のステップＳＴ２０２以降は、図１４と同様であるため説明を省略する。これにより、複数の制御部品４２へのシステム鍵の書込みが終了する。

上述したように第１の実施形態によれば、アセンブリＩＤを含む計画を受信し、当該計画内のアセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を生成する。そして、第１の鍵配布鍵を製造工程における複数の制御部品に設定する。この構成により、セキュリティを確保しつつ共通のシステム鍵を設定するための負荷を低減し得る鍵配布鍵を設定することができる。

例えば、システム鍵書込み要求装置は、第１の鍵配布鍵に基づき、システム鍵を暗号化する。そして、暗号化したシステム鍵を含むシステム鍵書込み要求メッセージを作成する。

これにより、システム鍵書込み要求メッセージをアセンブリＩＤ単位で同報送信することができる。補足すると、ビル、プラント又は自動車といった完成品の組み立て単位（アセンブリＩＤ単位、又はＭ２Ｍ通信のネットワーク単位）で、暗号化したシステム鍵を同報送信する構成により、従来の部品単位の個別設定とは異なり、完成品の組み立て単位の一括設定を実施できる。従って、従来に比べ、各制御部品にシステム鍵を設定するための負荷を低減することができる。

（第２の実施形態）
次に、第２の実施形態に係るシステム鍵設定システムについて前述した図１を参照しながら説明する。

即ち、第２の実施形態は、ハードウェア構成としては第１の実施形態と同様であるが、第１の実施形態とは異なり、発注情報１００ａの受信タイミングが鍵配布鍵設定後になった場合におけるシステム鍵設定方式を実行するものである。これに伴い、図８に示した鍵配布鍵ＤＢ２００ｃに代えて、図１６に示した鍵配布鍵ＤＢ２００ｅを作成するものとなっている。以下に、第２の実施形態に係るシステム鍵設定システムの構成及び動作について、第１の実施形態と異なる部分を説明する。

制御部品製造計画ＤＢ作成部２１２は、アセンブリサイト４０への発注を含む発注情報１００ａを受信する前に、制御部品製造計画ＤＢ２００ｂを作成する機能をもっている。作成された制御部品製造計画ＤＢ２００ｂは、制御部品製造計画ＤＢ作成部２１２からを計画記憶部２１４に書込まれる。

計画送信部２１３は、計画記憶部２１４に記憶された制御部品製造計画ＤＢ２００ｂを読出し、鍵配布鍵設定サーバ２２の計画受信部２２０に送信する機能をもっている。

計画受信部２２０は、計画送信部２１３から送信された制御部品製造計画ＤＢ２００ｂを受信し、当該制御部品製造計画ＤＢ２００ｂを鍵配布鍵作成部２２１に送出する機能をもっている。

鍵配布鍵作成部２２１は、受信した部品製造計画ＤＢ２００ｂに基づき、図１６に示す如き、鍵配布鍵ＤＢ２００ｅを作成する機能をもっている。なお、作成された鍵配布鍵ＤＢ２００ｅは、鍵配布鍵作成部２２１から鍵配布鍵記憶部２２４に書込まれる。

鍵配布鍵ＤＢ２００ｅは、制御部品製造計画ＤＢ２００ｂに記録されたロットＩＤ毎に作成される。即ち、鍵配布鍵ＤＢ２００ｅは、ロットＩＤ“２３３”で製造される制御部品にそれぞれ設定される第２の鍵配布鍵をまとめたものである。

鍵配布鍵ＤＢ２００ｅの１レコードは、１個の制御部品に設定される第２の鍵配布鍵である。第２の鍵配布鍵は、制御部品に設定されるシステム鍵の暗号化及び復号に用いられる。鍵配布鍵ＤＢ２００ｅの１レコードは、ロットＩＤ及びロット鍵を含む。鍵配布鍵ＤＢ２００ｅの１レコードは、プロダクトＩＤを含んでもよい。

ロット鍵は、ロットＩＤに対応する鍵であり、鍵配布鍵作成部２２１により自動的に作成される。即ち、図１６に示すロット鍵は、鍵配布鍵作成部２２１により自動作成されたロット鍵が設定されたものである。

なお、図１６に示す例は、第２の鍵配布鍵の設定前に発注が１つも無い状況を想定しているが、アセンブリサイト４０以外の適用先に関する発注に対応したアセンブリＩＤ及びアセンブリ鍵の組が更に設定されていてもよい。

鍵配布鍵設定部２２２は、鍵配布鍵記憶部２２４から鍵配布鍵ＤＢ２００ｅを読出し、制御部品製造システム２３で製造される複数の制御部品４２に第２の鍵配布鍵を設定する機能をもっている。

鍵配布鍵送信部２２３は、発注情報受信部２１０がアセンブリサイト４０に対する発注を受注した場合、複数の制御部品４２に設定された第２の鍵配布鍵を鍵配布鍵記憶部２２４から読出し、システム鍵書込み要求装置４１の鍵配布鍵受信部４１０に送信する。

なお、以降の機能構成は、第１の実施形態における第１の鍵配布鍵を第２の鍵配布鍵と読替える以外、同様の機能構成であるため説明を省略する。

次に、以上のように構成されたシステム鍵設定システムの動作を図１７に示すシーケンス図を用いて説明する。なお、この場合、発注端末１０は発注情報１００ａを制御部品製造サイト２０のみに送信するとする。

はじめに、制御部品製造計画ＤＢ作成部２１２は、制御部品製造計画ＤＢ２００ｂを作成する（ＳＴ１０１“）。

作成された制御部品製造計画ＤＢ２００ｂは、計画記憶部２１４に記憶され、計画送信部２１３から送信される。

計画受信部２２０は、送信された制御部品製造計画ＤＢ２００ｂを受信する。

鍵配布鍵作成部２２１は、受信した制御部品製造計画ＤＢ２００ｂに基づき、ロットＩＤに対応する新たなロット鍵を作成する。鍵配布鍵作成部２２１は、ロットＩＤ及びロット鍵を含む第２の鍵配布鍵を作成する。鍵配布鍵作成部２２１は、第２の鍵配布鍵をロット毎にまとめ、鍵配布鍵ＤＢ２００ｅを作成する（ＳＴ１０２“）。鍵配布鍵記憶部２２４は、作成された鍵配布鍵ＤＢ２００ｅを記憶する。

制御部品製造システム２３は、複数の制御部品４２の製造を開始する。

鍵配布鍵設定部２２２は、作成された第２の鍵配布鍵を製造工程における複数の制御部品４２に対して設定する（ＳＴ１０３“）。

制御部品製造システム２３は、複数の制御部品４２の製造を終了する。

発注情報受信部２１０は、発注情報送信部１２から送信された発注情報１００ａを受信する（ＳＴ１０４“）。

アセンブリ計画ＤＢ作成部２１１は、アセンブリサイト４０に対応するアセンブリＩＤを設定する。アセンブリ計画ＤＢ作成部２１１は、発注情報１００ａに基づき、アセンブリ計画ＤＢ２００ａを作成する（ＳＴ１０５“）。

作成されたアセンブリ計画ＤＢ２００ａは、計画記憶部２１４に記憶され、計画送信部２１３から送信される。

計画受信部２２０は、送信されたアセンブリ計画ＤＢ２００ａを受信する。

鍵配布鍵送信部２２３は、計画受信部２２０が受信したアセンブリ計画ＤＢ２００ａに基づき、複数の制御部品４２に設定された第２の鍵配布鍵を鍵配布鍵記憶部２２４から読出し、第２の鍵配布鍵を鍵配布鍵受信部４１０に送信する（ＳＴ１０６）。

制御部品製造システム２３によって製造された複数の制御部品４２は、アセンブリサイト４０に出荷される。

アセンブリサイト４０に入荷された複数の制御部品４２は、システムに組込まれる。また、システムに組込まれた複数の制御部品４２は、システム鍵書込み要求装置４１にネットワークを介して接続される。

続いて、アセンブリサイト４０は、システム鍵を複数の制御部品４２に書込む（ＳＴ２０１‘〜２１０）。具体的には例えば、以下に示すように、アセンブリサイト４０内の各機能部がステップＳＴ２０１‘〜ＳＴ２１０を実行する。

鍵配布鍵受信部４１０は、鍵配布鍵送信部２２３から送信された第２の鍵配布鍵を受信する（ＳＴ２０１‘）。

システム鍵作成部４１１は、システム鍵を作成し（ＳＴ２０２）、当該システム鍵をシステム鍵記憶部４１５に書込む。

システム鍵暗号化部４１２は、作成されたシステム鍵を、ステップＳＴ２０１‘で受信した第２の鍵配布鍵に基づいて暗号化する（ＳＴ２０３）。

システム鍵書込み要求メッセージ作成部４１３は、暗号化されたシステム鍵を含むシステム鍵書込み要求メッセージ４００ａを作成する（ＳＴ２０４）。

システム鍵書込み要求メッセージ送信部４１４は、作成されたシステム鍵書込み要求メッセージ４００ａを、システム組込後の各制御部品４２，４３にネットワークを介して同報送信する（ＳＴ２０５）。

各制御部品４２，４３は、同報送信されたシステム鍵書込み要求メッセージ４００ａに基づき、システム鍵書込みを開始する（ＳＴ２０６〜ＳＴ２１０）。

なお、このステップＳＴ２０６〜ＳＴ２１０は、第１の実施形態における第１の鍵配布鍵を第２の鍵配布鍵と読替える以外、ステップＳＴ２０６〜ＳＴ２１０と同様の動作であるため説明を省略する。これにより、複数の制御部品４２へのシステム鍵の書込みが終了する。

上述したように第２の実施形態によれば、第２の鍵配布鍵を製造工程における複数の制御部品に設定する。この構成により、セキュリティを維持しつつ、システム組込後の各制御部品に対して同報送信によるシステム鍵の一括設定をすることができる。

例えば、鍵配布鍵ＤＢ作成前に発注情報を受信できない場合において、ロットＩＤ及び当該ロットＩＤに対応するロット鍵を含む第２の鍵配布鍵を生成する。

これにより、ロット単位の鍵配布鍵を製造工程において設定することができる。したがって、第２の鍵配布鍵設定後に発注情報が受信された場合において、新たに第１の鍵配布鍵を設定し直すことなく、第２の鍵配布鍵を設定した制御部品をアセンブリサイトに出荷することができる。このため、制御部品の発注がない状態でも、鍵配布鍵設定に負荷をかけずに制御部品を生産しておくことができる。また、制御部品のロット単位（アセンブリＩＤ単位）で、暗号化したシステム鍵を同報送信する構成により、従来の部品単位の個別設定とは異なり、部品のロット単位の一括設定を実施できる。従って、従来に比べ、各制御部品にシステム鍵を設定するための負荷を低減することができる。

（第３の実施形態）
次に、第３の実施形態に係るシステム鍵設定システムについて前述した図１を参照しながら説明する。

即ち、第３の実施形態は、ハードウェア構成としては第１の実施形態又は第２の実施形態と同様であるが、第１の実施形態又は第２の実施形態とは異なり、各制御部品に固有の鍵を更に設定する。これに伴い、図８又は図１６に示した鍵配布鍵ＤＢ２００ｃ又は鍵配布鍵ＤＢ２００ｅに代えて、図１８に示した鍵配布鍵ＤＢ２００ｆを作成するものとなっている。以下に、第３の実施形態に係るシステム鍵設定システムの構成及び動作について、第１の実施形態又は第２の実施形態と異なる部分を説明する。

鍵配布鍵作成部２２１は、受信したアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、図１８に示す如き、鍵配布鍵ＤＢ２００ｆを作成する機能をもっている。作成された鍵配布鍵ＤＢ２００ｆは、鍵配布鍵作成部２２１から鍵配布鍵記憶部２２４に書込まれる。

鍵配布鍵ＤＢ２００ｆは、制御部品製造計画ＤＢ２００ｂに記録されたロットＩＤ毎に作成される。即ち、鍵配布鍵ＤＢ２００ｆは、ロットＩＤ“２３３”で製造される制御部品にそれぞれ設定される第３の鍵配布鍵をまとめたものである。

鍵配布鍵ＤＢ２００ｆの１レコードは、１個の制御部品に設定される第３の鍵配布鍵であり、プロダクトＩＤ及び当該プロダクトＩＤに対応するプロダクト鍵を含む。プロダクトＩＤは、制御部品を個別に識別可能なＩＤである。第３の鍵配布鍵は、制御部品に設定されるシステム鍵の暗号化及び復号に用いられる。鍵配布鍵ＤＢ２００ｆの１レコードは、ロットＩＤ、ロット鍵、アセンブリＩＤ数、アセンブリＩＤｎ及びアセンブリ鍵ｎを含んでもよい。即ち、第３の鍵配布鍵は、第１の鍵配布鍵及び／又は第２の鍵配布鍵に、プロダクトＩＤ及び当該プロダクトＩＤに対応するプロダクト鍵を更に含んでもよい。

ロット鍵及び／又はアセンブリ鍵ｎは、有意な値が設定されてもよい。また、ロット鍵及び／又はアセンブリ鍵ｎは、ヌル値が設定されてもよい。

プロダクト鍵は、プロダクトＩＤに対応する鍵であり、鍵配布鍵作成部２２１により自動的に作成される。即ち、図１８におけるプロダクト鍵は、鍵配布鍵作成部２２１により自動作成されたプロダクト鍵が設定されたものである。

鍵配布鍵設定部２２２は、鍵配布鍵記憶部２２４から鍵配布鍵ＤＢ２００ｆを読出し、制御部品製造システム２３で製造される各制御部品４２に、第３の鍵配布鍵を設定する機能をもっている。なお、鍵配布鍵設定部２２２は、第３の鍵配布鍵のロット鍵及び／又はアセンブリ鍵ｎに有意な値が設定されている場合、制御部品製造システム２３で製造される各制御部品４２に、プロダクトＩＤ及びプロダクト鍵の組のみを設定してもよい。

鍵配布鍵送信部２２３は、各制御部品４２に設定された第３の鍵配布鍵を鍵配布鍵記憶部２２４から読出し、システム鍵書込み要求装置４１の鍵配布鍵受信部４１０に送信する機能をもっている。なお、鍵配布鍵送信部２２３は、第３の鍵配布鍵のうち、プロダクトＩＤ及びプロダクト鍵の組の情報のみを鍵配布鍵受信部４１０に送信してもよい。

以後の機能構成については、第１の実施形態における第１の鍵配布鍵を、第３の鍵配布鍵と置き換えるものとし、左記以外の相違点について説明する。

システム鍵暗号化部４１２は、受信した第３の鍵配布鍵内のプロダクト鍵に基づき、システム鍵記憶部４１５から読み出したシステム鍵を暗号化する機能をもっている。なお、システム鍵暗号化部４１２は、第３の鍵配布鍵内のロット鍵又はアセンブリ鍵に有意な値が設定され、かつロット鍵又はアセンブリ鍵を受信している場合、当該ロット鍵又はアセンブリ鍵に基づき、システム鍵を暗号化してもよい。

システム鍵書込み要求メッセージ送信部４１４は、システム鍵書込み要求メッセージ作成部４１３により作成されたシステム鍵書込み要求メッセージ４００ａをシステム組込後の各制御部品４２，４３に送信する機能をもっている。システム鍵書込み要求メッセージ送信部４１４は、システム鍵をロット鍵又はアセンブリ鍵に基づいて暗号化した場合、図１３に示すように、複数の各制御部品４２，４３に送信するシステム鍵書込み要求メッセージ４００ａに同一のメッセージを用い、同報送信してもよい。

各制御部品４２，４３は、書込まれたシステム鍵以外に設定されている第３の鍵配布鍵を消去する機能をもっている。なお、第３の鍵配布鍵内のプロダクトＩＤ及びプロダクト鍵の組は、消去せずに設定されたままにしてもよい。

次に、以上のように構成されたシステム鍵設定システムの動作を図１５に示すシーケンス図を用いて説明する。なお、この場合、発注端末１０は発注情報１００ａを制御部品製造サイト２０のみに送信するとする。

ステップＳＴ１０１〜ＳＴ１０３は、第１の実施形態と同様であるため、説明を省略する。

鍵配布鍵作成部２２１は、受信したアセンブリ計画ＤＢ２００ａ及び制御部品製造計画ＤＢ２００ｂに基づき、プロダクトＩＤ及び当該プロダクトＩＤに対応するプロダクト鍵を含む第３の鍵配布鍵を作成する。鍵配布鍵作成部２２１は、第３の鍵配布鍵をロット毎にまとめ、鍵配布鍵ＤＢ２００ｆを作成する（ＳＴ１０４）。鍵配布鍵記憶部２２４は、作成された鍵配布鍵ＤＢ２００ｆを記憶する。

鍵配布鍵設定部２２２は、作成された第３の鍵配布鍵を製造工程における複数の制御部品４２に対して設定する（ＳＴ１０５）。

鍵配布鍵送信部２２３は、第３の鍵配布鍵を鍵配布鍵受信部４１０に送信する（ＳＴ１０６）。なお、鍵配布鍵送信部２２３は、第３の鍵配布鍵のうち、プロダクトＩＤ及びプロダクト鍵の組のみを鍵配布鍵受信部４１０に送信してもよい。

ステップＳＴ２０１‘〜ＳＴ２０２は、第１の実施形態における第１の鍵配布鍵を第３の鍵配布鍵と置き換える以外は、同様の動作であるため、説明を省略する。

システム鍵暗号化部４１２は、受信した第３の鍵配布鍵内のプロダクト鍵に基づき、システム鍵記憶部４１５から読み出したシステム鍵を暗号化する（ＳＴ２０３）。なお、システム鍵暗号化部４１２は、受信した第３の鍵配布鍵内のロット鍵又はアセンブリ鍵に有意な値が設定されている場合、当該ロット鍵又はアセンブリ鍵に基づき、読み出したシステム鍵を暗号化してもよい。

システム鍵書込み要求メッセージ作成部４１３は、暗号化されたシステム鍵を含むシステム鍵書込み要求メッセージ４００ａを作成する（ＳＴ２０４）。

システム鍵書込み要求メッセージ送信部４１４は、システム鍵書込み要求メッセージ作成部４１３により作成されたシステム鍵書込み要求メッセージ４００ａをシステム組込後の複数の制御部品４２に送信する（ＳＴ２０５）。システム鍵書込み要求メッセージ送信部４１４は、システム鍵をロット鍵又はアセンブリ鍵に基づいて暗号化した場合、図１３に示すように、複数の制御部品４２に送信するシステム鍵書込み要求メッセージ４００ａに同一のメッセージを用い、同報送信してもよい。

ステップＳＴ２０６〜ＳＴ２０９は、第１の実施形態における第１の鍵配布鍵を第３の鍵配布鍵と置き換える以外は、同様の動作であるため、説明を省略する。

複数の制御部品４２は、書込まれたシステム鍵以外に設定されている第３の鍵配布鍵を消去する（ＳＴ２１０）。なお、第３の鍵配布鍵内のプロダクトＩＤ及びプロダクト鍵の組は、消去せずに設定されたままにしてもよい。これにより、複数の制御部品４２へのシステム鍵の書込みが終了する。

上述したように第３の実施形態によれば、第１の鍵配布鍵又は第２の鍵配布鍵にプロダクトＩＤ及びプロダクト鍵を含む第３の鍵配布鍵を製造工程における複数の制御部品に設定する。

また、少数の制御部品を出荷する場合、第３の鍵配布鍵のうちプロダクトＩＤ及びプロダクト鍵の組のみを提示する。少数の制御部品に対するシステム鍵書込みの場合は、システム鍵書込み要求メッセージを同報送信する代わりに、プロダクトＩＤ及びプロダクト鍵の組を用いたシステム鍵書込み要求メッセージを送信する。

この構成により、第１又は第２の実施形態の効果に加え、少数の制御部品を出荷する場合は、アセンブリ鍵及び／又はロット鍵を設定しない又は開示しないで、システム鍵の書込みを実施できる。したがって、アセンブリサイトから少数の制御部品を出荷する場合に、制御部品製造サイトにおけるアセンブリ鍵の設定が徒に増えることを回避でき、負荷を低減することができる。。

以上説明した少なくとも一つの実施形態によれば、アセンブリＩＤを含む計画を受信し、当該計画内のアセンブリＩＤ及び当該アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を生成する。そして、第１の鍵配布鍵を製造工程における複数の制御部品に設定する。この構成により、セキュリティを確保しつつ共通のシステム鍵を設定するための負荷を低減し得る鍵配布鍵を設定することができる。

なお、上記の実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、光磁気ディスク（ＭＯ）、半導体メモリ等の記憶媒体に格納して頒布することができる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であってもよい。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行してもよい。

さらに、実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。

また、実施形態における記憶媒体は１つに限らず、複数の媒体から上記の実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であってもよい。

なお、実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であってもよい。

また、実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本発明の実施形態を説明したが、この実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。この実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…システム鍵設定システム、１０…発注端末、１１…発注情報作成部、１２…発注情報送信部、２０，３０…制御部品製造サイト、２１，３１…計画作成装置、２２，３２…鍵配布鍵設定サーバ、２３，３３…制御部品製造システム、４０…アセンブリサイト、４１…システム鍵書込み要求装置、４２，４３…制御部品、１００ａ，１００ｂ…発注情報、２００ａ…アセンブリ計画ＤＢ、２００ｂ…制御部品製造計画ＤＢ、２００ｃ，２００ｄ，２００ｅ，２００ｆ…鍵配布鍵ＤＢ、２１０…発注情報受信部、２１１…アセンブリ計画ＤＢ作成部、２１２…制御部品製造計画ＤＢ作成部、２１３…計画送信部、２１４…計画記憶部、２２０…計画受信部、２２１…鍵配布鍵生成部、２２２…鍵配布鍵設定部、２２３…鍵配布鍵送信部、２２４…鍵配布鍵記憶部、４１０…鍵配布鍵受信部、４１１…システム鍵作成部、４１２…システム鍵暗号化部、４１３…システム鍵書込み要求メッセージ作成部、４１４…システム鍵書込み要求メッセージ送信部、４１５…システム鍵記憶部。

Claims (5)

1. システム鍵を設定する複数の部品に前記システム鍵の書込要求を送信するシステム鍵書込み要求装置と、前記複数の部品に鍵配布鍵を設定する鍵配布鍵設定サーバとを備えたシステム鍵設定システムであって、
   前記鍵配布鍵設定サーバは、
   アセンブリＩＤを含む計画を受信する計画受信手段と、
   前記計画内のアセンブリＩＤ及び前記アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する第１の鍵配布鍵作成手段と、
   前記作成した第１の鍵配布鍵を製造工程における前記複数の部品に設定する第１の鍵配布鍵設定手段とを備え、
   前記システム鍵書込み要求装置は、
   前記第１の鍵配布鍵に基づいて前記システム鍵を暗号化する第１の暗号化手段と、
   前記暗号化したシステム鍵を含むシステム鍵書込み要求メッセージを作成するシステム鍵書込み要求メッセージ作成手段と、
   前記作成したシステム鍵書込み要求メッセージをシステム組込後の前記複数の部品に同報送信するシステム鍵書込み要求メッセージ同報送信手段と
   を備えたことを特徴とするシステム鍵設定システム。
2. システム鍵を設定する複数の部品に前記システム鍵の書込要求を送信するシステム鍵書込み要求装置と、前記複数の部品に鍵配布鍵を設定する鍵配布鍵設定サーバとを備えたシステム鍵設定システムであって、
   前記鍵配布鍵設定サーバは、
   ロットＩＤ及び前記ロットＩＤに対応するロット鍵を含む第２の鍵配布鍵を作成する第２の鍵配布鍵作成手段と、
   前記作成した第２の鍵配布鍵を製造工程における前記複数の部品に設定する第２の鍵配布鍵設定手段と、
   前記設定された第２の鍵配布鍵を前記システム鍵書込み要求装置に送信する第２の鍵配布鍵送信手段とを備え、
   前記システム鍵書込み要求装置は、
   前記送信された第２の鍵配布鍵を受信する第２の鍵配布鍵受信手段と、
   前記受信した第２の鍵配布鍵に基づいて前記システム鍵を暗号化する第２の暗号化手段と、
   前記暗号化したシステム鍵を含むシステム鍵書込み要求メッセージを作成するシステム鍵書込み要求メッセージ作成手段と、
   前記作成したシステム鍵書込み要求メッセージをシステム組込後の前記複数の部品に同報送信するシステム鍵書込み要求メッセージ同報送信手段と
   を備えたことを特徴とするシステム鍵設定システム。
3. 前記第１の鍵配布鍵又は前記第２の鍵配布鍵は、
   プロダクトＩＤ及び前記プロダクトＩＤに対応するプロダクト鍵を更に含む、
   請求項１又は請求項２記載のシステム鍵設定システム。
4. システム組込後の複数の部品に暗号化したシステム鍵を同報送信し、前記暗号化したシステム鍵を復号して前記複数の部品に安全に書込むために、前記システム鍵の暗号化及び復号に用いられる鍵配布鍵を製造工程における前記複数の部品に設定する鍵配布鍵設定サーバであって、
   アセンブリＩＤを含む計画を受信する計画受信手段と、
   前記計画内の前記アセンブリＩＤ及び前記アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する第１の鍵配布鍵作成手段と、
   前記作成した第１の鍵配布鍵を前記製造工程における複数の部品に設定する第１の鍵配布鍵設定手段と
   を備えたことを特徴とする鍵配布鍵設定サーバ。
5. システム組込後の複数の部品に暗号化したシステム鍵を同報送信し、前記暗号化したシステム鍵を復号して前記複数の部品に安全に書込むために、前記システム鍵の暗号化及び復号に用いられる鍵配布鍵を製造工程における前記複数の部品に鍵配布鍵設定サーバが設定する鍵配布鍵設定方法であって、
   アセンブリＩＤを含む計画を受信する計画受信工程と、
   前記計画内の前記アセンブリＩＤ及び前記アセンブリＩＤに対応するアセンブリ鍵を含む第１の鍵配布鍵を作成する第１の鍵配布鍵作成工程と、
   前記作成した第１の鍵配布鍵を製造工程における前記複数の部品に設定する第１の鍵配布鍵設定工程と
   を備えたことを特徴とする鍵配布鍵設定方法。

Images