JP2017033225A

JP2017033225A - Relay device, program, and information processing system

Info

Publication number: JP2017033225A
Application number: JP2015151631A
Authority: JP
Inventors: 好美宮脇; Yoshimi Miyawaki
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2015-07-31
Filing date: 2015-07-31
Publication date: 2017-02-09
Anticipated expiration: 2035-07-31
Also published as: JP6610060B2

Abstract

PROBLEM TO BE SOLVED: To provide a relay device, a program, and an information processing system with which it is possible to determine the validity of a computer in use.SOLUTION: A gateway 1 for relaying data transmitted from a terminal 7 to a data collection server 8 comprises: an IC chip 3 having a non-rewritable secure storage unit 40 for storing a validity determination program 41a for verifying the validity of the gateway 1 and a validity verification data 42a referenced by the validity determination program 41a; a writable storage unit 20; a request processing unit 11 for performing a write process in response to an event that a request for write to the storage unit 20 is received from the terminal 7; a validity verification request unit 13 for executing the validity determination program 41a in response to an event that the request processing unit 11 has executed the process, and requesting the IC chip 3 that the validity of the gateway 1 be verified referring to the validity verification data 42a; and a result processing unit 14 for performing a process to cut off the power supply to the gateway 1 when the validity cannot be verified.SELECTED DRAWING: Figure 1

Description

本発明は、中継装置、プログラム及び情報処理システムに関する。 The present invention relates to a relay device, a program, and an information processing system.

従来、コンピュータの信頼性と安全性を向上させるための標準技術を策定する業界団体であるＴＣＧ（ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＧｒｏｕｐ）が、コンピューティングプラットフォームに向けて、セキュリティチップに関するＴＰＭ（ＴｒｕｓｔｅｄＰｌａｔｆｏｒｍＭｏｄｕｌｅ）チップの仕様を作成している（例えば、特許文献１）。
ＴＰＭチップが組み込まれたコンピュータは、起動（ブート）時に自身のハードウェアやソフトウェアが第三者によって改ざんされていないかどうかを検知することが可能であり、コンピュータ自身が信頼されたものであることを確認できる。
また、ゲートウェイの起動時にプラットフォームの完全性検証を行うものが開示されている（例えば、特許文献２）。 Conventionally, TCG (Trusted Computing Group), an industry group that develops standard technology for improving the reliability and security of computers, has developed TPM (Trusted Platform Module) chip specifications for security chips for computing platforms. (For example, Patent Document 1).
A computer with a built-in TPM chip can detect whether its own hardware or software has been tampered with by a third party at startup (boot), and the computer itself must be trusted. Can be confirmed.
Further, a device that verifies the integrity of the platform when the gateway is activated is disclosed (for example, Patent Document 2).

特開２００５−３１７０２６号公報JP-A-2005-317026 特許第５６７８０９４号公報Japanese Patent No. 5678094

最近は、コンピュータ同士が通信ネットワークを介して互いに情報をやり取りするＭ２Ｍ（ＭａｃｈｉｎｅｔｏＭａｃｈｉｎｅ）技術が開発されており、ゲートウェイ等の中継装置が使用される。中継装置は、電源を入れたままで長期間利用されるが、その場合には、利用中に外部から改ざん等が行われても、検知されずに利用し続けることになり得るという問題があった。 Recently, M2M (Machine to Machine) technology in which computers exchange information with each other via a communication network has been developed, and a relay device such as a gateway is used. The relay device is used for a long time with the power on, but in that case, there is a problem that even if tampering is performed from the outside during use, it may continue to be used without being detected. .

そこで、本発明は、利用中のコンピュータの正当性を判定できる中継装置、プログラム及び情報処理システムを提供することを目的とする。 Therefore, an object of the present invention is to provide a relay device, a program, and an information processing system that can determine the validity of a computer in use.

本発明は、以下のような解決手段により、前記課題を解決する。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。また、符号を付して説明した構成は、適宜改良してもよく、また、少なくとも一部を他の構成物に代替してもよい。 The present invention solves the above problems by the following means. In addition, in order to make an understanding easy, although the code | symbol corresponding to embodiment of this invention is attached | subjected and demonstrated, it is not limited to this. In addition, the configuration described with reference numerals may be improved as appropriate, or at least a part thereof may be replaced with another configuration.

第１の発明は、１つ以上のネットワーク（Ｎ１，Ｎ２）に接続され、前記ネットワークに接続された外部装置（７，８）の間で送受信されるデータを中継する中継装置（５）であって、前記中継装置の正当性を確認するための正当性判定プログラム（４１ａ）を記憶する正当性判定プログラム記憶部（４１）と、前記正当性判定プログラムによって参照される正当性確認データ（４２ａ）を記憶する正当性データ記憶部（４２）と、書込み及び書換えが可能な装置記憶部（２０）と、装置制御部（１０）と、を備え、前記正当性データ記憶部は、前記中継装置に対して取外しが可能であり、又は、前記中継装置に内蔵された、書換え不可のセキュアな記憶領域に有し、前記装置制御部は、前記外部装置から前記装置記憶部に対する書込み又は書換え要求を受信したことに応じて、書込み又は書換え処理をする要求処理部（１１）と、前記正当性判定プログラムを実行し、前記正当性データ記憶部を参照して前記中継装置の正当性を確認する正当性確認部（１３）と、前記正当性確認部による正当性の確認結果に応じた処理を行う結果処理部（１４）と、を備え、前記装置制御部の前記正当性確認部は、前記要求処理部が前記処理をしたことに応じて、前記中継装置の正当性を確認し、前記装置制御部の前記結果処理部は、前記確認結果が正当性を確認できなかったものである場合に、この中継装置を前記ネットワークから切り離す処理、又は、前記ネットワークによって接続され前記中継装置がデータを送信する少なくとも１つの前記外部装置に対してエラーを通知する処理を行うこと、を特徴とする中継装置である。
第２の発明は、第１の発明の中継装置（１）において、前記装置制御部（１０）の前記正当性確認部（１３）は、この中継装置の電源が投入されたことに応じて、前記中継装置の正当性を確認すること、を特徴とする中継装置である。
第３の発明は、第１の発明又は第２の発明の中継装置（１）において、前記装置制御部（１０）の前記結果処理部（１４）は、前記正当性確認部（１３）による前記確認結果が正当性を確認できたものである場合に、要求送信元の前記外部装置（７，８）を識別する装置識別情報を、前記装置記憶部（２２）に記憶させ、前記装置制御部は、前記要求処理部（１１）が前記処理をしたことに応じて、要求送信元の前記外部装置を識別する装置識別情報に一致する情報が前記装置記憶部に記憶されているか否かを判定する装置判定部（１２）を備え、前記装置制御部の前記正当性確認部は、前記装置判定部により前記装置識別情報が記憶されていないと判定された場合に、前記中継装置の正当性を確認すること、を特徴とする中継装置である。
第４の発明は、第３の発明の中継装置（１）において、前記装置制御部（１０）は、消去条件を満たした場合に、前記装置記憶部（２２）に記憶された前記装置識別情報を消去する情報消去部（１５）を備えること、を特徴とする中継装置である。
第５の発明は、第４の発明の中継装置において、前記装置制御部の前記情報消去部は、基準日時に達することで前記消去条件を満たした場合に、前記装置記憶部に記憶された前記装置識別情報を消去すること、を特徴とする中継装置である。
第６の発明は、第４の発明の中継装置（１）において、前記装置制御部（１０）の前記結果処理部（１４）は、前記確認結果が正当性を確認できたものである場合に、前記装置識別情報を、処理日時に対応付けて前記装置記憶部（２２）に記憶させ、前記装置制御部の前記情報消去部（１５）は、前記結果処理部により前記装置識別情報を最初に前記装置記憶部に記憶させてから基準時間を経過することで前記消去条件を満たした場合に、前記装置記憶部に記憶された前記装置識別情報を消去すること、を特徴とする中継装置である。
第７の発明は、第４の発明から第６の発明までのいずれかの中継装置において、前記装置制御部は、前記装置判定部により前記装置識別情報が記憶されていると判定された場合に、判定した回数が分かる態様で前記装置識別情報を前記装置記憶部に記憶させる判定回数部を備え、前記装置制御部の前記情報消去部は、前記装置記憶部に記憶されている前記装置識別情報の判定した回数が基準回数に達することで前記消去条件を満たした場合に、前記装置記憶部に記憶された前記装置識別情報を消去すること、を特徴とする中継装置である。
第８の発明は、第１の発明から第７の発明までのいずれかの中継装置（１）において、前記正当性判定プログラム記憶部（４１）は、前記中継装置に対して取外しが可能であり、又は、前記中継装置に内蔵された、書換え不可のセキュアな記憶領域に有すること、を特徴とする中継装置である。
第９の発明は、第１の発明から第８の発明までのいずれかの中継装置（１）としてコンピュータを機能させるためのプログラム（２１ａ）である。
第１０の発明は、第１の発明から第８の発明までのいずれかの中継装置（１）と、前記中継装置に対して前記ネットワーク（Ｎ１，Ｎ２）によって接続された外部装置（７，８）と、を備える情報処理システム（１００）である。 The first invention is a relay device (5) connected to one or more networks (N1, N2) and relaying data transmitted and received between external devices (7, 8) connected to the network. The validity determination program storage unit (41) for storing the validity determination program (41a) for confirming the validity of the relay device, and the validity confirmation data (42a) referred to by the validity determination program A legitimacy data storage unit (42), a writable / rewritable device storage unit (20), and a device control unit (10). The legitimacy data storage unit is connected to the relay device. Can be removed, or has a non-rewritable secure storage area built in the relay device, and the device control unit writes or writes to the device storage unit from the external device. In response to receiving the renewal request, the request processing unit (11) that performs writing or rewriting processing and the validity determination program are executed, and the validity of the relay device is confirmed by referring to the validity data storage unit. A legitimacy confirmation unit (13) to confirm, and a result processing unit (14) that performs processing according to the legitimacy confirmation result by the legitimacy confirmation unit, and the legitimacy confirmation unit of the device control unit includes: The validity of the relay device is confirmed in response to the request processing unit performing the processing, and the result processing unit of the device control unit has failed to confirm the validity of the confirmation result. In this case, a process of disconnecting the relay apparatus from the network or a process of notifying an error to at least one external apparatus connected by the network and transmitting data by the relay apparatus is performed. When a relay apparatus according to claim.
According to a second invention, in the relay device (1) according to the first invention, the validity confirmation unit (13) of the device control unit (10) is configured so that the power of the relay device is turned on. The relay device is characterized in that the validity of the relay device is confirmed.
According to a third aspect of the present invention, in the relay device (1) of the first or second aspect, the result processing unit (14) of the device control unit (10) is configured by the validity confirmation unit (13). If the confirmation result confirms the validity, device identification information for identifying the external device (7, 8) as a request transmission source is stored in the device storage unit (22), and the device control unit Determines whether information matching the device identification information for identifying the external device that is the request transmission source is stored in the device storage unit in response to the request processing unit (11) performing the processing. A device determination unit (12) that performs the validity check of the relay device when the device determination unit determines that the device identification information is not stored. It is a relay apparatus characterized by confirming.
According to a fourth invention, in the relay device (1) of the third invention, the device control unit (10) stores the device identification information stored in the device storage unit (22) when an erasure condition is satisfied. An information erasing unit (15) for erasing the information is provided.
According to a fifth invention, in the relay device according to the fourth invention, the information erasure unit of the device control unit stores the information stored in the device storage unit when the erasure condition is satisfied by reaching a reference date and time. The relay device is characterized in that the device identification information is erased.
According to a sixth invention, in the relay device (1) of the fourth invention, when the result processing unit (14) of the device control unit (10) confirms the validity of the confirmation result. The device identification information is stored in the device storage unit (22) in association with the processing date and time, and the information erasure unit (15) of the device control unit first stores the device identification information by the result processing unit. A relay device that erases the device identification information stored in the device storage unit when the erasure condition is satisfied by elapse of a reference time after being stored in the device storage unit .
A seventh invention is the relay device according to any one of the fourth to sixth inventions, wherein the device control unit determines that the device identification information is stored by the device determination unit. A determination frequency unit that stores the device identification information in the device storage unit in a manner in which the determined number of times is known, and the information erasure unit of the device control unit stores the device identification information stored in the device storage unit The relay device is characterized in that the device identification information stored in the device storage unit is erased when the erase condition is satisfied when the determined number of times reaches a reference number.
According to an eighth aspect of the present invention, in the relay device (1) from the first aspect to the seventh aspect, the validity determination program storage unit (41) can be removed from the relay device. Alternatively, the relay apparatus is characterized in that the relay apparatus has a non-rewritable secure storage area built in the relay apparatus.
The ninth invention is a program (21a) for causing a computer to function as any one of the relay devices (1) from the first invention to the eighth invention.
A tenth aspect of the invention is the relay device (1) according to any one of the first to eighth aspects of the invention, and the external device (7, 8) connected to the relay device by the network (N1, N2). Is an information processing system (100).

本発明によれば、利用中のコンピュータの正当性を判定できる中継装置、プログラム及び情報処理システムを提供することができる。 ADVANTAGE OF THE INVENTION According to this invention, the relay apparatus, program, and information processing system which can determine the correctness of the computer in use can be provided.

本実施形態に係る情報処理システムの機能ブロック図である。It is a functional block diagram of the information processing system concerning this embodiment. 本実施形態に係るゲートウェイのソフトウェア構造及びＩＣチップの正当性確認データを説明するための図である。It is a figure for demonstrating the software structure of the gateway which concerns on this embodiment, and the validity confirmation data of IC chip. 本実施形態に係るゲートウェイの正当性確認処理のフローチャートである。It is a flowchart of the validity confirmation process of the gateway which concerns on this embodiment. 本実施形態に係るゲートウェイの正当性確認処理のフローチャートである。It is a flowchart of the validity confirmation process of the gateway which concerns on this embodiment. 本実施形態に係るゲートウェイ及びＩＣチップの検証処理のフローチャートである。It is a flowchart of the verification process of the gateway and IC chip concerning this embodiment.

以下、本発明を実施するための形態について、図を参照しながら説明する。なお、これは、あくまでも一例であって、本発明の技術的範囲はこれに限られるものではない。
（実施形態）
図１は、本実施形態に係る情報処理システム１００の機能ブロック図である。
図２は、本実施形態に係るゲートウェイ１のソフトウェア構造５０及びＩＣチップ３の正当性確認データ４２ａを説明するための図である。 DESCRIPTION OF EMBODIMENTS Hereinafter, embodiments for carrying out the present invention will be described with reference to the drawings. This is merely an example, and the technical scope of the present invention is not limited to this.
(Embodiment)
FIG. 1 is a functional block diagram of an information processing system 100 according to the present embodiment.
FIG. 2 is a diagram for explaining the software structure 50 of the gateway 1 and the validity confirmation data 42a of the IC chip 3 according to the present embodiment.

＜情報処理システム１００＞
図１に示す情報処理システム１００は、ゲートウェイ１（中継装置）と、端末７（外部装置）と、データ収集サーバ８（外部装置）とを備える。そして、情報処理システム１００は、各端末７が送信したデータを、ゲートウェイ１を介してデータ収集サーバ８に送信することで、データ収集サーバ８は、端末７のデータを収集するシステムである。
以下の説明において、ゲートウェイ１と、複数の端末７とは、温度管理が必要な各工場内に設けられ、データ収集サーバ８は、本社等に設けられるものとして説明する。また、各端末７は、工場内の各作業区画に設けられる。そして、端末７が温度データを取得してゲートウェイ１に送信し、データ収集サーバ８は、一定間隔でゲートウェイ１から送信されたデータを収集することで、工場内の温度を監視するものとして説明する。
なお、図１には、データ収集サーバ８には、１つのゲートウェイ１が接続されているが、データ収集サーバ８には、複数のゲートウェイ１が接続されていてもよい。 <Information processing system 100>
An information processing system 100 illustrated in FIG. 1 includes a gateway 1 (relay device), a terminal 7 (external device), and a data collection server 8 (external device). The information processing system 100 is a system that collects data of the terminal 7 by transmitting the data transmitted by each terminal 7 to the data collection server 8 via the gateway 1.
In the following description, it is assumed that the gateway 1 and the plurality of terminals 7 are provided in each factory that requires temperature management, and the data collection server 8 is provided in a head office or the like. Each terminal 7 is provided in each work section in the factory. The terminal 7 acquires temperature data and transmits it to the gateway 1, and the data collection server 8 is described as monitoring the temperature in the factory by collecting the data transmitted from the gateway 1 at regular intervals. .
In FIG. 1, one gateway 1 is connected to the data collection server 8, but a plurality of gateways 1 may be connected to the data collection server 8.

＜ゲートウェイ１＞
ゲートウェイ１は、通信ネットワークＮ１を介して端末７と接続され、通信ネットワークＮ２を介してデータ収集サーバ８と接続され、通信を中継する通信装置である。そして、ゲートウェイ１は、複数の端末７とデータ収集サーバ８との間で送受信されるデータを中継する。
通信ネットワークＮ１は、例えば、Ｗｉ−Ｆｉや、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の近距離通信を行うためのローカルエリアネットワークである。また、通信ネットワークＮ２は、例えば、公衆回線や、携帯電話回線（例えば、３Ｇ（３ｒｄＧｅｎｅｒａｔｉｏｎ）やＬＴＥ（ＬｏｎｇＴｅｒｍＥｖｏｌｕｔｉｏｎ））等のインターネット接続回線のワイドエリアネットワークである。 <Gateway 1>
The gateway 1 is a communication device that is connected to the terminal 7 via the communication network N1, is connected to the data collection server 8 via the communication network N2, and relays communication. The gateway 1 relays data transmitted and received between the plurality of terminals 7 and the data collection server 8.
The communication network N1 is a local area network for performing near field communication such as Wi-Fi and Bluetooth (registered trademark). The communication network N2 is a wide area network of an Internet connection line such as a public line, a mobile phone line (for example, 3G (3rd Generation) or LTE (Long Term Evolution)).

ゲートウェイ１は、ＩＣチップ３を含んで構成される。そして、ゲートウェイ１は、起動時に、ＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）チップ３に記憶されている正当性判定プログラム４１ａを実行し、ゲートウェイ１のプラットフォーム（ハードウェア、ソフトウェア等）が第三者によって不正に改ざんされていないかどうかの正当性を確認する。また、ゲートウェイ１は、電源が投入されたまま継続して利用中に、記憶部２０への書込みや書換えがあったときにも、正当性を確認する。
なお、ゲートウェイ１は、ＩＣチップ３との間で通信可能な状態で、電源を投入及び使用する。 The gateway 1 includes an IC chip 3. Then, the gateway 1 executes the validity determination program 41a stored in the IC (Integrated Circuit) chip 3 at the time of activation, and the platform (hardware, software, etc.) of the gateway 1 is illegally altered by a third party. Check the validity of whether or not. In addition, the gateway 1 confirms the validity even when the storage unit 20 is written or rewritten while the power is on and continuously used.
The gateway 1 is turned on and used in a state where communication with the IC chip 3 is possible.

ゲートウェイ１は、制御部１０（装置制御部）と、記憶部２０（装置記憶部）と、チップ接続部２５と、広域通信部２８と、近距離通信部２９とを備える。
制御部１０は、ゲートウェイ１の全体を制御するＣＰＵ（中央処理装置）である。制御部１０は、記憶部２０に記憶されているＯＳ（オペレーティングシステム）や各種アプリケーションプログラムを適宜読み出して実行することにより、上述したハードウェアと協働して各種機能を実行する。
制御部１０は、要求処理部１１と、装置判定部１２と、正当性確認要求部１３（正当性確認部）と、結果処理部１４と、情報消去部１５とを備える。 The gateway 1 includes a control unit 10 (device control unit), a storage unit 20 (device storage unit), a chip connection unit 25, a wide area communication unit 28, and a short-range communication unit 29.
The control unit 10 is a CPU (Central Processing Unit) that controls the entire gateway 1. The control unit 10 executes various functions in cooperation with the hardware described above by appropriately reading and executing an OS (operating system) and various application programs stored in the storage unit 20.
The control unit 10 includes a request processing unit 11, a device determination unit 12, a validity confirmation requesting unit 13 (validity confirmation unit), a result processing unit 14, and an information erasing unit 15.

要求処理部１１は、端末７、データ収集サーバ８や、通信ネットワークＮ１又は通信ネットワークＮ２を介して接続されたその他の装置（図示せず）（以下、これらをまとめて「外部装置」ともいう。）から書込み要求を受信したことに応じて、記憶部２０に対して書込み処理を行う。ここで、その他の装置とは、例えば、端末７やデータ収集サーバ８になりすました第三者の装置等をいう。
装置判定部１２は、書込み要求を送信した外部装置を識別する装置ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）によって、その外部装置が既に正当性を確認した装置であるか否かを判定する。
正当性確認要求部１３は、外部装置が正当性を確認した装置でない場合に、ゲートウェイ１の正当性を確認する処理を、ＩＣチップ３に対して依頼する。
結果処理部１４は、正当性の確認結果に応じた処理を行う。
情報消去部１５は、ログ領域２２に記憶されている装置ＩＤを消去する。
なお、各処理の詳細は、後述する。 The request processing unit 11 is a terminal 7, a data collection server 8, and other devices (not shown) connected via the communication network N1 or the communication network N2 (hereinafter, these are also collectively referred to as “external devices”). ) To the storage unit 20 in response to the reception of the write request. Here, the other device means, for example, a third-party device impersonating the terminal 7 or the data collection server 8.
The device determination unit 12 determines whether or not the external device is a device that has already been validated by using a device ID (IDentifier) that identifies the external device that has transmitted the write request.
The validity confirmation requesting unit 13 requests the IC chip 3 to confirm the validity of the gateway 1 when the external device is not a device that has confirmed the validity.
The result processing unit 14 performs a process according to the validity confirmation result.
The information erasure unit 15 erases the device ID stored in the log area 22.
Details of each process will be described later.

記憶部２０は、制御部１０が各種の処理を実行するために必要なプログラム、データ等を記憶するためのハードディスク、半導体メモリ素子等の記憶領域である。
記憶部２０は、プログラム領域２１と、ログ領域２２とを備える。
プログラム領域２１は、ＯＳや、装置プログラム２１ａ等のゲートウェイ１で実行する各プログラムを記憶する記憶領域である。
装置プログラム２１ａは、上述した制御部１０の各機能を実行するプログラムである。
特徴値測定プログラム２１ｂは、プログラム領域２１に記憶された各プログラムのハッシュ値を算出するプログラムである。ハッシュ値は、例えば、ＳＨＡ−１ハッシュ値である。 The storage unit 20 is a storage area such as a hard disk or a semiconductor memory element for storing programs, data, and the like necessary for the control unit 10 to execute various processes.
The storage unit 20 includes a program area 21 and a log area 22.
The program area 21 is a storage area for storing each program executed by the gateway 1 such as the OS and the apparatus program 21a.
The device program 21a is a program that executes each function of the control unit 10 described above.
The feature value measurement program 21 b is a program that calculates a hash value of each program stored in the program area 21. The hash value is, for example, a SHA-1 hash value.

図２（Ａ）に示すように、ゲートウェイ１のプログラム領域２１は、ソフトウェア構造５０として、ブートローダ部５１と、ＯＳ部５２と、アプリケーション部５３とを有する。ブートローダ部５１と、ＯＳ部５２と、アプリケーション部５３とは、ブートローダ部５１を下位にし、アプリケーション部５３を上位にした階層構造になっている。
ブートローダ部５１は、ブートローダを記憶し、ＯＳ部５２は、ＯＳを記憶している。また、アプリケーション部５３は、各アプリケーションプログラムを記憶している。なお、プログラムＡは、装置プログラム２１ａである。
特徴値測定プログラム２１ｂは、例えば、ブートローダ部５１と、ＯＳ部５２とに分散して記憶されている。ブートローダ部５１の特徴値測定プログラム２１ｂは、ブートローダを測定対象にする。また、ＯＳ部５２の特徴値測定プログラム２１ｂは、ＯＳと、アプリケーション部５３の各プログラムとを測定対象にする。 As shown in FIG. 2A, the program area 21 of the gateway 1 includes a boot loader unit 51, an OS unit 52, and an application unit 53 as a software structure 50. The boot loader unit 51, the OS unit 52, and the application unit 53 have a hierarchical structure in which the boot loader unit 51 is in the lower level and the application unit 53 is in the upper level.
The boot loader unit 51 stores a boot loader, and the OS unit 52 stores an OS. The application unit 53 stores each application program. The program A is a device program 21a.
The feature value measurement program 21b is stored in a distributed manner in the boot loader unit 51 and the OS unit 52, for example. The feature value measurement program 21b of the boot loader unit 51 sets the boot loader as a measurement target. Further, the feature value measurement program 21b of the OS unit 52 sets the OS and each program of the application unit 53 as measurement targets.

図１に戻り、ログ領域２２は、正当性確認に関する処理のログを記憶する記憶領域である。
チップ接続部２５は、ＩＣチップ３とのインタフェース部である。チップ接続部２５は、例えば、外部接続用の端子を備える。
広域通信部２８は、データ収集サーバ８との間で通信をするためのインタフェースである。
近距離通信部２９は、端末７との間で通信をするためのインタフェースである。 Returning to FIG. 1, the log area 22 is a storage area for storing a log of processing related to validity confirmation.
The chip connection unit 25 is an interface unit with the IC chip 3. The chip connection unit 25 includes, for example, a terminal for external connection.
The wide area communication unit 28 is an interface for communicating with the data collection server 8.
The short-range communication unit 29 is an interface for communicating with the terminal 7.

＜ＩＣチップ３＞
ＩＣチップ３は、耐タンパ性を有するセキュアなチップである。ＩＣチップ３は、１チップ構成になっている。ＩＣチップ３は、例えば、カード媒体に設けられてもよい。
ＩＣチップ３は、制御部３０と、記憶部４０と、装置接続部４５とを備える。
制御部３０は、ＩＣチップ３の全体を制御するＣＰＵである。制御部３０は、記憶部４０に記憶されているＯＳや各種アプリケーションプログラムを適宜読み出して実行することにより、上述したハードウェアと協働して各種機能を実行する。
制御部３０は、正当性確認処理部３１（正当性確認部）を備える。 <IC chip 3>
The IC chip 3 is a secure chip having tamper resistance. The IC chip 3 has a one-chip configuration. The IC chip 3 may be provided on a card medium, for example.
The IC chip 3 includes a control unit 30, a storage unit 40, and a device connection unit 45.
The control unit 30 is a CPU that controls the entire IC chip 3. The control unit 30 executes various functions in cooperation with the hardware described above by appropriately reading and executing the OS and various application programs stored in the storage unit 40.
The control unit 30 includes a validity confirmation processing unit 31 (a validity confirmation unit).

正当性確認処理部３１は、ゲートウェイ１の正当性を確認する処理を、ゲートウェイ１から受け付けたことに応じて、記憶部４０に記憶されている正当性判定プログラム４１ａを実行して、ゲートウェイ１の正当性を確認する。
具体的には、正当性確認処理部３１は、ゲートウェイ１のプログラム領域２１に記憶されている各プログラムのハッシュ値に基づいて特徴値を得る。そして、正当性確認処理部３１は、特徴値と、ＩＣチップ３に記憶されている正当性確認データ４２ａとを比較することで、ゲートウェイ１の正当性を確認する。
ここで、ゲートウェイ１が正当ではない場合とは、ゲートウェイ１に対して違法な接続等によってゲートウェイ１のプログラムが改ざんされたり、マルウェア等の不正なプログラムが書き込まれたりする場合をいう。なお、以下、ゲートウェイ１が正当ではない場合を、ゲートウェイ１が不当であるともいう。また、ゲートウェイ１が正当な場合とは、ゲートウェイ１に対する改ざんや違法な接続等がされておらず、マルウェア等の不正なプログラムが実行されていない場合をいう。 The validity confirmation processing unit 31 executes the validity determination program 41a stored in the storage unit 40 in response to accepting the process for confirming the validity of the gateway 1 from the gateway 1, and Check validity.
Specifically, the validity confirmation processing unit 31 obtains a feature value based on the hash value of each program stored in the program area 21 of the gateway 1. Then, the validity confirmation processing unit 31 confirms the validity of the gateway 1 by comparing the feature value with the validity confirmation data 42 a stored in the IC chip 3.
Here, the case where the gateway 1 is not valid means a case where a program of the gateway 1 is altered or an illegal program such as malware is written due to illegal connection to the gateway 1 or the like. Hereinafter, when the gateway 1 is not valid, the gateway 1 is also referred to as invalid. The case where the gateway 1 is valid means a case where the gateway 1 is not tampered with or illegally connected, and an illegal program such as malware is not executed.

記憶部４０は、制御部３０が各種の処理を実行するために必要なプログラム、データ等を記憶するための半導体メモリ素子等の記憶領域である。
記憶部４０は、プログラム領域４１と、データ領域４２とを備える。
プログラム領域４１と、データ領域４２とは、例えば、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）に有する。
プログラム領域４１は、正当性判定プログラム４１ａを記憶している。
正当性判定プログラム４１ａは、ゲートウェイ１の正当性を判定するプログラムである。正当性判定プログラム４１ａは、例えば、ＴＰＭの機能を実行する。
データ領域４２は、正当性確認データ４２ａを記憶している。
正当性確認データ４２ａは、ゲートウェイ１のプログラム領域２１に記憶された各プログラムのハッシュ値と、ハッシュ値に対してデジタル署名をしたものとを、各プログラムの特徴値として予め記憶している。
図２（Ｂ）に示すように、正当性確認データ４２ａは、プログラムごと（ブートローダ、ＯＳ、プログラムＡ，Ｂ、・・・）に特徴値を有する。 The storage unit 40 is a storage area such as a semiconductor memory element for storing programs, data, and the like necessary for the control unit 30 to execute various processes.
The storage unit 40 includes a program area 41 and a data area 42.
The program area 41 and the data area 42 are, for example, in an EEPROM (Electrically Erasable and Programmable ROM).
The program area 41 stores a validity determination program 41a.
The validity determination program 41a is a program for determining the validity of the gateway 1. The validity determination program 41a executes, for example, a TPM function.
The data area 42 stores validity confirmation data 42a.
The validity confirmation data 42a prestores the hash value of each program stored in the program area 21 of the gateway 1 and the digital signature of the hash value as characteristic values of each program.
As shown in FIG. 2B, the validity confirmation data 42a has a characteristic value for each program (boot loader, OS, programs A, B,...).

図１に戻り、装置接続部４５は、ゲートウェイ１とのインタフェース部である。装置接続部４５は、例えば、外部接続用の端子を備える。ＩＣチップ３は、ゲートウェイ１に有するスロット部（図示せず）に差し込むことで、ゲートウェイ１との間で通信を行う。
ここで、ＩＣチップ３は、上述したように耐タンパ性を有する。ＩＣチップ３は、装置接続部４５以外の経路でデータや処理内容を操作することができない。そして、ＩＣチップ３で実行する機能は、ゲートウェイ１で動作するソフトウェアとは独立に動作する。よって、正当性判定プログラム４１ａや正当性確認データ４２ａの内容を、ゲートウェイ１で動作するプログラム等が不正に変更することはできない。 Returning to FIG. 1, the device connection unit 45 is an interface unit with the gateway 1. The device connection unit 45 includes, for example, a terminal for external connection. The IC chip 3 communicates with the gateway 1 by being inserted into a slot portion (not shown) of the gateway 1.
Here, the IC chip 3 has tamper resistance as described above. The IC chip 3 cannot operate data and processing contents through a route other than the device connection unit 45. The function executed by the IC chip 3 operates independently of the software that operates on the gateway 1. Accordingly, the contents of the validity determination program 41a and the validity confirmation data 42a cannot be illegally changed by a program operating on the gateway 1.

＜外部装置＞
端末７は、温度センサ等のセンサ部（図示せず）を備え、センサ部が定期的に検出したデータを、ゲートウェイ１に送信する。
データ収集サーバ８は、各端末７が送信したデータをゲートウェイ１から受信して、データを収集及び解析する。 <External device>
The terminal 7 includes a sensor unit (not shown) such as a temperature sensor, and transmits data periodically detected by the sensor unit to the gateway 1.
The data collection server 8 receives the data transmitted by each terminal 7 from the gateway 1 and collects and analyzes the data.

＜正当性確認処理＞
次に、ゲートウェイ１での処理について説明する。
図３及び図４は、本実施形態に係るゲートウェイ１の正当性確認処理のフローチャートである。
図５は、本実施形態に係るゲートウェイ１及びＩＣチップ３の検証処理のフローチャートである。
図３のステップＳ（以下、「Ｓ」という。）１０において、ユーザがゲートウェイ１の電源ボタン（図示せず）を操作したことで、ゲートウェイ１の制御部１０は、ゲートウェイ１の電源をＯＮにする。
Ｓ１１において、制御部１０（正当性確認要求部１３）は、検証処理を行う。 <Validity confirmation processing>
Next, processing in the gateway 1 will be described.
3 and 4 are flowcharts of the validity confirmation process of the gateway 1 according to the present embodiment.
FIG. 5 is a flowchart of verification processing of the gateway 1 and the IC chip 3 according to the present embodiment.
In step S (hereinafter referred to as “S”) 10 in FIG. 3, when the user operates a power button (not shown) of the gateway 1, the control unit 10 of the gateway 1 turns on the power of the gateway 1. To do.
In S11, the control unit 10 (validity confirmation request unit 13) performs a verification process.

ここで、検証処理について、図５に基づき説明する。
図５のＳ５０において、ゲートウェイ１の制御部１０（正当性確認要求部１３）は、ＩＣチップ３に対して正当性確認処理を依頼する。
Ｓ５１において、ＩＣチップ３の制御部３０（正当性確認処理部３１）は、ゲートウェイ１からの依頼を受けて、正当性判定プログラム４１ａを実行する。
Ｓ５２において、制御部３０（正当性確認処理部３１）は、ゲートウェイ１に対して、特徴値測定プログラム２１ｂの実行を指示する。
Ｓ５３において、ゲートウェイ１の制御部１０（正当性確認要求部１３）は、特徴値測定プログラム２１ｂを実行し、プログラム領域２１に記憶されている各プログラムのハッシュ値を算出する。具体的には、まず、制御部１０は、ブートローダ部５１の特徴値測定プログラム２１ｂを実行し、ブートローダのハッシュ値を算出する。次に、制御部１０は、ＯＳ部５２の特徴値測定プログラム２１ｂを実行し、ＯＳのハッシュ値と、アプリケーション部５３の各プログラムのハッシュ値とを算出する。
Ｓ５４において、制御部１０（正当性確認要求部１３）は、算出したハッシュ値を、ＩＣチップ３に対して送信する。 Here, the verification process will be described with reference to FIG.
In S 50 of FIG. 5, the control unit 10 (validity confirmation requesting unit 13) of the gateway 1 requests the IC chip 3 for validity confirmation processing.
In S51, the control unit 30 (validity confirmation processing unit 31) of the IC chip 3 receives the request from the gateway 1 and executes the validity determination program 41a.
In S52, the control unit 30 (validity confirmation processing unit 31) instructs the gateway 1 to execute the feature value measurement program 21b.
In S 53, the control unit 10 (validity confirmation request unit 13) of the gateway 1 executes the feature value measurement program 21 b and calculates the hash value of each program stored in the program area 21. Specifically, first, the control unit 10 executes the feature value measurement program 21b of the boot loader unit 51 to calculate a hash value of the boot loader. Next, the control unit 10 executes the feature value measurement program 21b of the OS unit 52, and calculates the hash value of the OS and the hash value of each program of the application unit 53.
In S 54, the control unit 10 (validity confirmation request unit 13) transmits the calculated hash value to the IC chip 3.

Ｓ５５において、ＩＣチップ３の制御部３０（正当性確認処理部３１）は、ゲートウェイ１からハッシュ値を受信する。
Ｓ５６において、制御部３０（正当性確認処理部３１）は、受信したハッシュ値からデジタル署名を生成する。
Ｓ５７において、制御部３０（正当性確認処理部３１）は、受信したハッシュ値及び生成したデジタル署名である特徴値と、データ領域４２に記憶されている正当性確認データ４２ａとを比較する。なお、制御部３０（正当性確認処理部３１）は、正当性確認データ４２ａのハッシュ値を、デジタル署名を使って検証し、そのハッシュ値が改ざんされていないか確認してもよい。
Ｓ５８において、制御部３０（正当性確認処理部３１）は、比較結果を、ゲートウェイ１に対して送信する。その後、制御部３０は、本処理を終了する。
Ｓ５９において、ゲートウェイ１の制御部１０（正当性確認要求部１３）は、比較結果を受信する。その後、制御部１０は、処理を図３に移す。 In S 55, the control unit 30 (validity confirmation processing unit 31) of the IC chip 3 receives the hash value from the gateway 1.
In S56, the control unit 30 (validity confirmation processing unit 31) generates a digital signature from the received hash value.
In S 57, the control unit 30 (validity confirmation processing unit 31) compares the received hash value and the feature value that is the generated digital signature with the validity confirmation data 42 a stored in the data area 42. The control unit 30 (validity confirmation processing unit 31) may verify the hash value of the validity confirmation data 42a using a digital signature and confirm whether the hash value has been tampered with.
In S 58, the control unit 30 (validity confirmation processing unit 31) transmits the comparison result to the gateway 1. Then, the control part 30 complete | finishes this process.
In S59, the control unit 10 (validity confirmation request unit 13) of the gateway 1 receives the comparison result. Thereafter, the control unit 10 shifts the processing to FIG.

図３に戻り、Ｓ１２において、ゲートウェイ１の制御部１０は、比較結果が一致であるか否かを判断する。ゲートウェイ１のプログラム領域２１に改ざん等がされていない、つまり、ゲートウェイ１が正当である場合には、比較結果が一致する。他方、ゲートウェイ１のプログラム領域２１に改ざん等がされている場合には、比較結果は不一致になる。比較結果が一致である場合（Ｓ１２：ＹＥＳ）には、制御部１０は、処理をＳ１３に移す。他方、比較結果が不一致である場合（Ｓ１２：ＮＯ）には、制御部１０（結果処理部１４）は、データ収集サーバ８にエラーを通知して（Ｓ１３ａ）、電源をＯＦＦにし（Ｓ１４ａ）、本処理を終了する。 Returning to FIG. 3, in S 12, the control unit 10 of the gateway 1 determines whether or not the comparison results match. If the program area 21 of the gateway 1 has not been altered, that is, if the gateway 1 is valid, the comparison results match. On the other hand, if the program area 21 of the gateway 1 has been tampered with, the comparison results are inconsistent. When the comparison result is coincident (S12: YES), the control unit 10 moves the process to S13. On the other hand, if the comparison results are inconsistent (S12: NO), the control unit 10 (result processing unit 14) notifies the data collection server 8 of an error (S13a), turns off the power (S14a), This process ends.

このように、ゲートウェイ１の電源投入時に、ゲートウェイ１の正当性を確認する検証処理を行うことで、ゲートウェイ１が改ざん等されていない正当な状態であるかを判断する。そして、不当であると判断した場合には、ゲートウェイ１は、自身の電源を切断することで、ゲートウェイ１を、通信ネットワークＮ１及びＮ２から切り離し、改ざんされたゲートウェイ１を、端末７やデータ収集サーバ８に使用させないようにできる。 As described above, when the gateway 1 is turned on, the verification process for confirming the validity of the gateway 1 is performed to determine whether the gateway 1 is in a valid state in which it has not been tampered with. If it is determined that the gateway 1 is unfair, the gateway 1 disconnects the gateway 1 from the communication networks N1 and N2 by turning off its own power supply, and the altered gateway 1 is replaced with the terminal 7 or the data collection server. 8 can not be used.

Ｓ１３において、ゲートウェイ１の制御部１０は、タイマＴ１及びタイマＴ２を初期化して計時を開始する。ここで、タイマＴ１は、ログ領域２２をクリアするために使用するものである。また、タイマＴ２は、端末７から受信したデータを、データ収集サーバ８に対して送信するために使用するものである。
Ｓ１４において、制御部１０は、タイマＴ１が規定時間（消去条件）になったか否かを判断する。規定時間を、例えば、２４時間（基準時間）に設定することで、制御部１０は、タイマＴ１が２４時間以上になったときに、規定時間になったと判断する。タイマＴ１が規定時間になった場合（Ｓ１４：ＹＥＳ）には、制御部１０は、処理をＳ１５に移す。他方、タイマＴ１が規定時間になっていない場合（Ｓ１４：ＮＯ）には、制御部１０は、処理を図４のＳ１７に移す。
Ｓ１５において、制御部１０（情報消去部１５）は、ログ領域２２をクリアする。
Ｓ１６において、制御部１０は、タイマＴ１を初期化して、計時を開始する。 In S13, the control unit 10 of the gateway 1 initializes the timer T1 and the timer T2 and starts measuring time. Here, the timer T1 is used to clear the log area 22. The timer T2 is used to transmit data received from the terminal 7 to the data collection server 8.
In S14, the control unit 10 determines whether or not the timer T1 has reached a specified time (erasing condition). By setting the specified time to, for example, 24 hours (reference time), the control unit 10 determines that the specified time has come when the timer T1 becomes 24 hours or longer. When the timer T1 has reached the specified time (S14: YES), the control unit 10 moves the process to S15. On the other hand, when the timer T1 has not reached the specified time (S14: NO), the control unit 10 moves the process to S17 of FIG.
In S 15, the control unit 10 (information erasing unit 15) clears the log area 22.
In S16, the control unit 10 initializes the timer T1 and starts measuring time.

図４のＳ１７において、制御部１０（要求処理部１１）は、外部装置からデータを受信したか否かを判断する。ここで、外部装置は、端末７や、データ収集サーバ８に限らない。また、データは、端末７から受信した温度データに限らない。例えば、データ収集サーバ８が送信したプログラムの機能を変更するための更新プログラムや、送信時間（後述する）の設定値の変更データ等を含む。データを受信した場合（Ｓ１７：ＹＥＳ）には、制御部１０は、処理をＳ１８に移す。他方、データを受信していない場合（Ｓ１７：ＮＯ）には、制御部１０は、処理をＳ３０に移す。
Ｓ１８において、制御部１０は、データを受信した外部装置の装置ＩＤを取得する。装置ＩＤは、例えば、外部装置のＩＰアドレス（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＡｄｄｒｅｓｓ）やＭＡＣアドレス（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌａｄｄｒｅｓｓ）等であり、外部装置を特定可能な識別情報である。 In S 17 of FIG. 4, the control unit 10 (request processing unit 11) determines whether data is received from an external device. Here, the external device is not limited to the terminal 7 or the data collection server 8. The data is not limited to the temperature data received from the terminal 7. For example, an update program for changing the function of the program transmitted by the data collection server 8, change data of a set value of a transmission time (described later), and the like are included. When data is received (S17: YES), the control unit 10 moves the process to S18. On the other hand, when the data is not received (S17: NO), the control unit 10 moves the process to S30.
In S18, the control unit 10 acquires the device ID of the external device that has received the data. The device ID is, for example, an IP address (Internet Protocol Address) or a MAC address (Media Access Control address) of the external device, and is identification information that can identify the external device.

Ｓ１９において、制御部１０（要求処理部１１）は、受信したデータを、記憶部２０に書き込む書込み処理を行う。その際、制御部１０は、データを暗号化してもよい。
なお、データの書込みには、更新プログラムを含むと説明した。更新プログラムの場合、正当な者からの更新プログラムの送信であれば、更新プログラムと共に特徴値が送信される。その場合には、制御部１０は、記憶部２０に対して更新プログラムを書き込み、ＩＣチップ３に特徴値の書込みを指示することで、ＩＣチップ３の制御部３０は、データ領域４２の正当性確認データ４２ａに特徴値を書き込む。他方、不当な者からの更新プログラムの送信であれば、更新プログラムのみが送信される。その場合には、制御部１０は、記憶部２０に対して更新プログラムを書き込む処理のみを行う。 In S 19, the control unit 10 (request processing unit 11) performs a writing process for writing the received data into the storage unit 20. At that time, the control unit 10 may encrypt the data.
It has been described that the writing of data includes an update program. In the case of an update program, if the update program is transmitted from a legitimate person, the feature value is transmitted together with the update program. In that case, the control unit 10 writes the update program to the storage unit 20 and instructs the IC chip 3 to write the feature value, so that the control unit 30 of the IC chip 3 can verify the validity of the data area 42. The feature value is written in the confirmation data 42a. On the other hand, if the update program is transmitted from an unauthorized person, only the update program is transmitted. In that case, the control unit 10 performs only the process of writing the update program to the storage unit 20.

Ｓ２０において、制御部１０（装置判定部１２）は、Ｓ１８において取得した装置ＩＤがログ領域２２に記憶されているか否かを判断する。取得した装置ＩＤがログ領域２２に記憶されている場合（Ｓ２０：ＹＥＳ）には、制御部１０は、処理をＳ２３に移す。他方、取得した装置ＩＤがログ領域に記憶されていない場合（Ｓ２０：ＮＯ）には、制御部１０は、処理をＳ２１に移す。
Ｓ２１において、制御部１０（正当性確認要求部１３）は、図５に示す検証処理を行う。ここでの検証処理は、ゲートウェイ１の電源ＯＮ時に行ったものと同じである。
Ｓ２２において、制御部１０は、比較結果が一致であるか否かを判断する。比較結果が一致である場合（Ｓ２２：ＹＥＳ）には、制御部１０は、処理をＳ２３に移す。他方、比較結果が不一致である場合（Ｓ２２：ＮＯ）には、制御部１０（結果処理部１４）は、データ収集サーバ８に対してゲートウェイ１に不正なアタックがあった旨のエラーを通知し（Ｓ２３ａ）、処理をＳ２６に移す。 In S 20, the control unit 10 (device determination unit 12) determines whether or not the device ID acquired in S 18 is stored in the log area 22. When the acquired device ID is stored in the log area 22 (S20: YES), the control unit 10 moves the process to S23. On the other hand, when the acquired device ID is not stored in the log area (S20: NO), the control unit 10 moves the process to S21.
In S21, the control unit 10 (validity confirmation requesting unit 13) performs the verification process shown in FIG. The verification process here is the same as that performed when the gateway 1 is powered on.
In S22, the control unit 10 determines whether or not the comparison results are the same. When the comparison result is coincident (S22: YES), the control unit 10 moves the process to S23. On the other hand, when the comparison results do not match (S22: NO), the control unit 10 (result processing unit 14) notifies the data collection server 8 of an error indicating that the gateway 1 has an illegal attack. (S23a), the process proceeds to S26.

Ｓ２３において、制御部１０（結果処理部１４）は、Ｓ１８で取得した装置ＩＤを、現在日時に対応付けてログ領域２２に記憶させる。なお、制御部１０は、検証処理を行わなかった場合には、その旨を、ログ領域２２に記憶させてもよい。具体的には、制御部１０は、Ｓ１８で取得した装置ＩＤと、現在日時と、検証処理を省略した旨とを対応付けてログ領域２２に記憶させる。その後、制御部１０は、処理をＳ２５に移す。 In S23, the control unit 10 (result processing unit 14) stores the apparatus ID acquired in S18 in the log area 22 in association with the current date and time. Note that, when the verification process is not performed, the control unit 10 may store the fact in the log area 22. Specifically, the control unit 10 stores the device ID acquired in S18, the current date and time, and the fact that the verification process is omitted in the log area 22 in association with each other. Thereafter, the control unit 10 moves the process to S25.

このように、制御部１０は、データの書込み処理の後に、ゲートウェイ１が正当であるか否かを確認する。よって、長時間電源が投入されたままであっても、ゲートウェイ１の正当性を確認できる。そして、データの書込みにより、プログラムが不正に改ざん等された場合であっても、その場合には、特徴値による比較結果が不一致になるので、改ざんを検出できる。
また、既に外部装置が正当性を確認できたものである場合には、次にその外部装置からデータを受信して書込みした後には、検証処理を省略する。よって、データの書込みがあった都度、常に検証処理を行わずに済む。 Thus, the control unit 10 confirms whether the gateway 1 is valid after the data writing process. Therefore, the validity of the gateway 1 can be confirmed even when the power is turned on for a long time. Even if the program is tampered with by writing data, in that case, the comparison result based on the feature values becomes inconsistent, so that tampering can be detected.
If the external device has already been verified, the verification process is omitted after the next data is received and written from the external device. Therefore, it is not always necessary to perform verification processing every time data is written.

Ｓ２５において、ゲートウェイ１のユーザが電源ボタン（図示せず）を操作したことで、制御部１０は、電源ＯＦＦを受け付けたか否かを判断する。電源ＯＦＦを受け付けた場合（Ｓ２５：ＹＥＳ）には、制御部１０は、処理をＳ２６に移す。他方、電源ＯＦＦを受け付けていない場合（Ｓ２５：ＮＯ）には、制御部１０は、処理を図３のＳ１４に移す。
Ｓ２６において、制御部１０は、電源をＯＦＦにして本処理を終了する。 In S25, when the user of the gateway 1 operates a power button (not shown), the control unit 10 determines whether or not the power OFF is accepted. When the power OFF is received (S25: YES), the control unit 10 moves the process to S26. On the other hand, when the power OFF is not received (S25: NO), the control unit 10 moves the process to S14 of FIG.
In S26, the control unit 10 turns off the power and ends the process.

他方、Ｓ３０において、制御部１０は、タイマＴ２が送信時間になったか否かを判断する。ゲートウェイ１では、例えば、３０分等の送信タイミングになった場合に、端末７から受信し記憶部２０に記憶されたデータを、データ収集サーバ８にまとめて送信する。タイマＴ２が送信時間になった場合（Ｓ３０：ＹＥＳ）には、制御部１０は、処理をＳ３１に移す。他方、タイマＴ２が送信時間になっていない場合（Ｓ３０：ＮＯ）には、制御部１０は、処理をＳ２５に移す。
Ｓ３１において、制御部１０は、記憶部２０に記憶された書込みデータを、データ収集サーバ８に対して送信する。また、制御部１０は、送信済のデータを記憶部２０から削除する。
Ｓ３２において、制御部１０は、タイマＴ２を初期化して、計時を開始する。その後、制御部１０は、処理をＳ２５に移す。 On the other hand, in S30, the control unit 10 determines whether or not the timer T2 has reached the transmission time. The gateway 1 transmits the data received from the terminal 7 and stored in the storage unit 20 collectively to the data collection server 8 when the transmission timing is 30 minutes, for example. If the timer T2 has reached the transmission time (S30: YES), the control unit 10 moves the process to S31. On the other hand, when the timer T2 has not reached the transmission time (S30: NO), the control unit 10 moves the process to S25.
In S 31, the control unit 10 transmits the write data stored in the storage unit 20 to the data collection server 8. Further, the control unit 10 deletes the transmitted data from the storage unit 20.
In S32, the control unit 10 initializes the timer T2 and starts measuring time. Thereafter, the control unit 10 moves the process to S25.

このように、本実施形態によれば、ゲートウェイ１は、以下のような効果がある。
（１）データが書き込まれる度に、ゲートウェイ１に対して不正な改ざん等がされたか否かを検証できる。そして、不正な改ざん等が行われた場合には、例えば、ゲートウェイ１の電源を切断するので、ゲートウェイ１を通信ネットワークＮ１及びＮ２から切り離すことができ、ゲートウェイ１の使用を制限できる。
（２）ゲートウェイ１の起動時にも検証処理を行うことで正当性を確認できる。よって、ゲートウェイ１の電源が切断されている間に不正な行為等がされ改ざんがされた場合であっても、それを検出できる。 Thus, according to this embodiment, the gateway 1 has the following effects.
(1) Every time data is written, it can be verified whether or not the gateway 1 has been tampered with. When unauthorized tampering or the like is performed, for example, the power supply of the gateway 1 is disconnected, so that the gateway 1 can be disconnected from the communication networks N1 and N2, and the use of the gateway 1 can be restricted.
(2) The validity can be confirmed by performing the verification process even when the gateway 1 is activated. Therefore, even if an illegal act or the like is performed while the power of the gateway 1 is turned off, it can be detected.

（３）書込みデータの送信元の外部装置は、記憶部２０に書込み後にゲートウェイ１の正当性が確認できた場合には、その後に同じ外部装置から書込みデータを受信したときに、正当性確認を行わない。よって、信頼性のある外部装置からのデータの書込み要求に対しては、検証処理を省略することで、処理を簡単にできる。
（４）検証処理の省略は、信頼された外部装置からであれば常に行うわけではなく、所定の場合には、再度検証処理を実行することで、正当性の確認を行う。そのため、常に正当性確認を省略することへの弊害を是正できる。
所定の場合として、例えば、最初に正当性を確認してから２４時間を経過した場合等、時間の経過に応じて正当性の確認を行わせるようにできる。 (3) If the validity of the gateway 1 can be confirmed after writing to the storage unit 20 after the write data is transmitted to the storage unit 20, the validity is confirmed when the write data is subsequently received from the same external device. Not performed. Therefore, for a data write request from a reliable external device, the process can be simplified by omitting the verification process.
(4) The omission of the verification process is not always performed from a trusted external device. In a predetermined case, the verification process is performed again to confirm the validity. Therefore, it is possible to correct the adverse effect of always omitting the validity check.
As a predetermined case, for example, when 24 hours have passed since the first confirmation of validity, the validity can be confirmed as time passes.

（５）ゲートウェイ１を通信ネットワークＮ２から切り離す前に、データ収集サーバ８にエラーを通知することで、データ収集サーバ８では、データ送信元のゲートウェイ１が不正になっていることを判別できる。
（６）正当性判定プログラム４１ａを、ＩＣチップ３のセキュアな記憶領域に有するようにすることで、正当性判定プログラム４１ａの改ざんを防止できる。よって、正当性判定プログラム４１ａの信頼性を、高いものにできる。 (5) By notifying the data collection server 8 of an error before disconnecting the gateway 1 from the communication network N2, the data collection server 8 can determine that the gateway 1 of the data transmission source is illegal.
(6) By having the validity determination program 41a in the secure storage area of the IC chip 3, the validity determination program 41a can be prevented from being falsified. Therefore, the reliability of the validity determination program 41a can be increased.

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限定されるものではない。また、実施形態に記載した効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載したものに限定されない。なお、上述した実施形態及び後述する変形形態は、適宜組み合わせて用いることもできるが、詳細な説明は省略する。 As mentioned above, although embodiment of this invention was described, this invention is not limited to embodiment mentioned above. In addition, the effects described in the embodiments are merely a list of the most preferable effects resulting from the present invention, and the effects of the present invention are not limited to those described in the embodiments. In addition, although embodiment mentioned above and the deformation | transformation form mentioned later can also be used in combination suitably, detailed description is abbreviate | omitted.

（変形形態）
（１）本実施形態では、専用装置としてのゲートウェイ１を説明した。しかし、ゲートウェイ１は、例えば、パーソナルコンピュータ（ＰＣ）、Ｗｉ−Ｆｉルータ、携帯電話機、情報家電、自動車、組込システム等の様々な機器であってもよい。ゲートウェイ１は、Ｍ２Ｍ（ＭａｃｈｉｎｅｔｏＭａｃｈｉｎｅ）のような、機器と機器とが通信ネットワークを介して互いに情報を通信することにより、自律的に高度な制御や動作を行うシステムへの適用に有用である。
（２）本実施形態では、ＩＣチップ３をゲートウェイ１に対して接続部を介して接続するものとして説明した。しかし、ＩＣチップは、ゲートウェイに対して取外しが可能であるか否かに限定されるものではない。よって、ＩＣチップは、ゲートウェイに内蔵された組み込みのものでもよい。例えば、ＩＣチップを、マザーボードに装着させてもよい。そのようにすることで、ＩＣチップを取り替えることができないので、ゲートウェイの正当性をより確実に確認できる。
（３）本実施形態では、工場内での温度管理のためのシステムとして説明したが、これに限定されない。例えば、ＩＯＴ（ＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ）を用いたシステム等、様々な用途に活用できる。 (Deformation)
(1) In the present embodiment, the gateway 1 as a dedicated device has been described. However, the gateway 1 may be various devices such as a personal computer (PC), a Wi-Fi router, a mobile phone, an information home appliance, an automobile, and an embedded system. The gateway 1 is useful for application to a system such as M2M (Machine to Machine) where devices and devices communicate autonomously with each other via a communication network and perform advanced control and operation autonomously. .
(2) In the present embodiment, the IC chip 3 is described as being connected to the gateway 1 via the connection unit. However, the IC chip is not limited to whether or not it can be removed from the gateway. Therefore, the IC chip may be a built-in one built in the gateway. For example, an IC chip may be mounted on a motherboard. By doing so, since the IC chip cannot be replaced, the legitimacy of the gateway can be confirmed more reliably.
(3) Although the present embodiment has been described as a system for temperature management in a factory, the present invention is not limited to this. For example, it can be utilized for various applications such as a system using IOT (Internet of Things).

（４）本実施形態では、ＩＣチップ３に正当性判定プログラム４１ａを有するものとして説明した。しかし、ゲートウェイに正当性判定プログラムを有してもよい。そのようにすることで、ＩＣチップに有する検証機能を、ゲートウェイに持たせることができる。
（５）本実施形態では、ゲートウェイ１は書込み要求を受信して書き込む処理を行うものとして説明したが、これに限定されない。ゲートウェイの記憶部に対して記憶させる処理であればよく、例えば、書き換え処理を含んでもよい。 (4) In the present embodiment, the IC chip 3 has been described as having the validity determination program 41a. However, the gateway may have a validity determination program. By doing so, the verification function possessed by the IC chip can be imparted to the gateway.
(5) In the present embodiment, the gateway 1 has been described as performing a process of receiving and writing a write request, but the present invention is not limited to this. Any process may be used as long as it is stored in the storage unit of the gateway. For example, a rewrite process may be included.

（６）本実施形態では、検証に使用する特徴値を、ハッシュ値と、ハッシュ値に対するデジタル署名とであるして説明したが、これに限定されない。例えば、ハッシュ値そのものであってもよい。但し、デジタル署名を含む方が、さらにセキュリティが向上する。
（７）本実施形態では、各プログラムのハッシュ値に基づいてゲートウェイの正当性を確認するものとして説明したが、これに限定されない。各プログラムに加えて、例えば、広域通信部や近距離通信部等のハードウェアのハッシュ値に基づいてゲートウェイの正当性を確認してもよい。 (6) In the present embodiment, the feature values used for verification are described as the hash value and the digital signature for the hash value. However, the present invention is not limited to this. For example, the hash value itself may be used. However, security is further improved by including a digital signature.
(7) Although the present embodiment has been described as confirming the validity of the gateway based on the hash value of each program, the present invention is not limited to this. In addition to each program, for example, the validity of the gateway may be confirmed based on a hash value of hardware such as a wide-area communication unit or a short-range communication unit.

（８）本実施形態では、ゲートウェイ１の特徴値測定プログラム２１ｂは、ブートローダ部５１とＯＳ部５２とに分散されて記憶するものとして説明した。そして、ＯＳ部５２の特徴値測定プログラム２１ｂがアプリケーション部５３の各プログラムのハッシュ値をも算出するものとして説明した。しかし、アプリケーション部の各プログラムにも、特徴値測定プログラムを有するようにしてもよい。また、特徴値測定プログラムは、１つのみとし、例えば、ＯＳ部にのみ有するようにしてもよい。
（９）本実施形態では、ゲートウェイ１の特徴値測定プログラム２１ｂは、ハッシュ値を算出し、ＩＣチップ３にハッシュ値を送信するものとして説明した。しかし、ハッシュ値を算出するプログラムと、算出したハッシュ値を送信するプログラムとは、別のプログラムであってもよい。また、正当性確認プログラムに特徴値測定プログラムの機能を有するようにしてもよい。 (8) In the present embodiment, the feature value measurement program 21b of the gateway 1 has been described as being distributed and stored in the boot loader unit 51 and the OS unit 52. The feature value measurement program 21b of the OS unit 52 has been described as calculating the hash value of each program of the application unit 53. However, each program of the application unit may have a feature value measurement program. Further, there may be only one feature value measurement program, for example, it may be included only in the OS unit.
(9) In the present embodiment, the feature value measurement program 21b of the gateway 1 has been described as calculating a hash value and transmitting the hash value to the IC chip 3. However, the program for calculating the hash value and the program for transmitting the calculated hash value may be different programs. Further, the validity confirmation program may have a function of a feature value measurement program.

（１０）本実施形態では、ログ領域２２の消去条件を、最初に検証処理を行ってから２４時間が経過した後として説明した。しかし、これに限定されない。例えば、基準日時に達した場合（○時△分等）であってもよい。また、ゲートウェイに判定回数部を備え、検証処理を省略した回数（例えば、５回等）に応じてログ領域を消去してもよい。さらに、ログ領域の消去条件を、時間と回数とを組み合わせたものにしてもよい。 (10) In the present embodiment, the erasure condition for the log area 22 has been described as being after 24 hours have passed since the first verification process. However, it is not limited to this. For example, it may be a case where the reference date / time is reached (such as ○ hour Δmin). Further, the gateway may be provided with a determination number section, and the log area may be deleted according to the number of times (for example, five times) when the verification process is omitted. Further, the log area erasing condition may be a combination of time and number of times.

１ゲートウェイ
３ＩＣチップ
７端末
８データ収集サーバ
１０，３０制御部
１１要求処理部
１２装置判定部
１３正当性確認要求部
１４結果処理部
１５情報消去部
２０，４０記憶部
２１，４１プログラム領域
２１ａ装置プログラム
２１ｂ特徴値測定プログラム
２２ログ領域
３１正当性確認処理部
４１ａ正当性判定プログラム
４２ａ正当性確認データ
１００情報処理システム
Ｎ１，Ｎ２通信ネットワーク DESCRIPTION OF SYMBOLS 1 Gateway 3 IC chip 7 Terminal 8 Data collection server 10, 30 Control part 11 Request processing part 12 Device determination part 13 Validity confirmation request part 14 Result processing part 15 Information erasure part 20, 40 Storage part 21, 41 Program area 21a Apparatus Program 21b Feature value measurement program 22 Log area 31 Validity confirmation processing unit 41a Validity determination program 42a Validity confirmation data 100 Information processing system N1, N2 Communication network

Claims

A relay device connected to one or more networks and relaying data transmitted and received between external devices connected to the network,
A validity determination program storage unit that stores a validity determination program for confirming the validity of the relay device;
A legitimacy data storage unit that stores legitimacy confirmation data referred to by the legitimacy determination program;
A device storage unit capable of writing and rewriting; and
A device controller;
With
The legitimacy data storage unit can be removed from the relay device, or has a non-rewritable secure storage area built in the relay device,
The device controller is
A request processing unit that performs a writing or rewriting process in response to receiving a writing or rewriting request for the device storage unit from the external device;
Executing the validity determination program, referring to the validity data storage unit to confirm the validity of the relay device; and
A result processing unit that performs processing in accordance with the verification result of the correctness by the correctness verification unit;
With
The validity checking unit of the device control unit checks the validity of the relay device in response to the request processing unit performing the processing,
The result processing unit of the device control unit performs a process of disconnecting the relay device from the network when the confirmation result cannot be confirmed, or the relay device connected by the network transmits data. A process of notifying an error to at least one external device that transmits
A relay device characterized by

The relay device according to claim 1,
The validity checking unit of the device control unit checks the validity of the relay device in response to the power supply of the relay device being turned on.
A relay device characterized by

In the relay device according to claim 1 or 2,
The result processing unit of the device control unit includes device identification information for identifying the external device as a request transmission source when the confirmation result by the validity confirmation unit confirms validity. Memorize it in the memory,
The device control unit determines whether information matching the device identification information for identifying the external device that is a request transmission source is stored in the device storage unit in response to the request processing unit performing the processing. An apparatus determining unit for determining;
The validity check unit of the device control unit confirms the validity of the relay device when the device determination unit determines that the device identification information is not stored;
A relay device characterized by

The relay device according to claim 3,
The device control unit includes an information erasure unit that erases the device identification information stored in the device storage unit when an erasure condition is satisfied;
A relay device characterized by

The relay device according to claim 4,
The information erasure unit of the device control unit erases the device identification information stored in the device storage unit when the erasure condition is satisfied by reaching a reference date and time,
A relay device characterized by

The relay device according to claim 4,
The result processing unit of the device control unit causes the device storage information to be stored in the device storage unit in association with the processing date and time when the confirmation result is confirmed as valid.
The information erasure unit of the device control unit, when the result processing unit first stores the device identification information in the device storage unit and satisfies the erasure condition by passing a reference time, the device Erasing the device identification information stored in the storage unit;
A relay device characterized by

In the relay device according to any one of claims 4 to 6,
The device control unit includes a determination frequency unit that stores the device identification information in the device storage unit in a manner in which the determined number of times is known when the device determination unit determines that the device identification information is stored. Prepared,
The information erasure unit of the device control unit stores the information in the device storage unit when the number of times of determination of the device identification information stored in the device storage unit reaches the reference number and satisfies the erasure condition. Deleting said device identification information,
A relay device characterized by

In the relay device according to any one of claims 1 to 7,
The validity determination program storage unit can be removed from the relay device, or has a non-rewritable secure storage area built in the relay device,
A relay device characterized by

The program for functioning a computer as a relay apparatus in any one of Claim 1-8.

A relay device according to any one of claims 1 to 8,
An external device connected to the relay device by the network;
An information processing system comprising: