JP2019213131A - 中央処理装置、検針システムおよび不正アクセス検出方法 - Google Patents

Abstract

【課題】アドレスで判定できない不正アクセスを検出することが可能な中央処理装置を得ること。【解決手段】認証サーバ６は、マルチホップネットワークを構成する正当な端末装置のマルチホップネットワークにおける正当な接続位置を示すトポロジー情報を取得し、端末装置から受信したデータに基づいてデータの送信元の端末装置のマルチホップネットワークにおける接続位置を求め、求めた接続位置とトポロジー情報とに基づいて不正アクセスを検出する検出処理を実施する認証処理部６２、を備える。【選択図】図２

Description

本発明は、端末装置の認証を行う中央処理装置、検針システムおよび不正アクセス検出方法に関する。

近年、様々な情報が電子化されて管理されつつある。これに伴い、情報の管理または収集を行う情報システムへの不正アクセスを防止する技術が注目されている。不正アクセスを防止するためには、情報システムは、不正アクセスであるか否かを判定する必要がある。

特許文献１には、正当な機器のＭＡＣ（Media Access Control）アドレス等のアドレスを通信制御装置に事前に登録しておき、機器から受信したデータに格納されるアドレスと登録されているアドレスとが一致するか否かに基づいて、不正アクセスであるか否かを判定する技術が開示されている。

特開２０１６−７２８０１号公報

特許文献１に記載の技術では、送信されたデータに格納されるアドレスを用いて、不正アクセスであるか否かを判定している。このため、特許文献１に記載の技術では、不正な機器が、アドレスを偽装することにより通信制御装置に登録されているアドレスを用いてデータを送信した場合には、正当なアクセスと判定されてしまう。また、特許文献１に記載の技術では、正当な機器が、正しい所有者により所持されているか否かが区別できず、正当な機器を用いて不正な所有者が不正アクセスを行った場合にも、不正アクセスであると判定することができない。特許文献１に記載の技術では、このように、アドレスで判定できないような不正アクセスを検出することができないという問題があった。

本発明は、上記に鑑みてなされたものであって、アドレスで判定できない不正アクセスを検出することが可能な中央処理装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかる中央処理装置は、マルチホップネットワークを構成する正当な端末装置のマルチホップネットワークにおける正当な接続位置を示すトポロジー情報を取得し、端末装置から受信したデータに基づいてデータの送信元の端末装置のマルチホップネットワークにおける接続位置を求め、求めた接続位置とトポロジー情報とに基づいて不正アクセスを検出する検出処理を実施する認証処理部、を備える。

本発明によれば、アドレスで判定できない不正アクセスを検出することが可能となるという効果を奏する。

本発明の実施の形態にかかる検針システムの構成例を示す図 実施の形態の中央処理システムの構成例を示す図 実施の形態の認証サーバを実現する計算機システムの構成例を示す図 認証サーバが保持するトポロジー情報の構成例を示す図 鍵サーバが保持する認証鍵テーブルの構成例を示す図 鍵サーバが保持する暗号鍵テーブルの構成例を示す図 認証ログの一例を示す図 実施の形態の端末装置の構成例を示す図 端末装置が保持する認証ログの一例を示す図 実施の形態の集約装置の構成例を示す図 集約装置が保持するトポロジー情報の一例を示す図 実施の形態の認証処理手順の一例を示すチャート図 不正端末装置が無線接続される例を示す図 実施の形態の認証サーバにおける認証処理手順の一例を示すフローチャート ステップＳ２９の不正端末判定処理の処理手順の一例を示すフローチャート 端末装置の通信可能な範囲の推定値の一例を示す図 ステップＳ２９の不正端末判定処理の処理手順の別の一例を示すフローチャート 端末装置が不正に取り外された例を示す図 認証処理にトポロジー情報を用いた判定を含める場合の認証手順の一例を示すフローチャート

以下に、本発明の実施の形態にかかる中央処理装置、検針システムおよび不正アクセス検出方法を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態．
図１は、本発明の実施の形態にかかる検針システムの構成例を示す図である。本実施の形態の検針システムは、スマートメータと呼ばれる端末装置１−１〜１−１１と、集約装置２−１，２−２と、ヘッドエンドシステム（ＨＥＳ（Head End System））と呼ばれる中央処理システム３と、メータデータ管理システム（ＭＤＭＳ（Meter Data Management System））４とを備える。集約装置２−１，２−２と中央処理システム３は、ネットワーク５により接続される。ネットワーク５は、例えば光回線ネットワーク、携帯電話ネットワークであるが、これらに限定されない。

以下、端末装置１−１〜１−１１のそれぞれを、区別せずに示す場合には端末装置１と記載し、集約装置２−１，２−２のそれぞれを、区別せずに示す場合には集約装置２と記載する。図１では、端末装置１を１１台、集約装置２を２台、それぞれ図示しているが、これらは一例であり、端末装置１および集約装置２の数は、図１に示した例に限定されない。

端末装置１−１〜１−１１は、それぞれが家庭、事業所等に設置され、家庭、事業所等における電力の使用量を計量し、計量結果を、対応する集約装置２へ向けて送信する。端末装置１−１〜１−１１には、各々に対応する集約装置２が定められている。集約装置２は、正当な端末である端末装置１−１〜１−１１から送信されるデータを集約し、端末装置１−１〜１−１１と中央処理システム３との間の通信を中継する。

集約装置２および端末装置１−１〜１−１１は、無線マルチホップ方式により通信を行う。すなわち、集約装置２および端末装置１−１〜１−１１は無線マルチホップネットワークを構成する。集約装置２および端末装置１−１〜１−１１は、経路制御プロトコルに従って周期的に制御メッセージを交換し、経路情報、すなわち無線マルチホップネットワークにおける接続位置に関する情報を、トポロジー情報として保持している。経路制御プロトコルの一例は、ＲＰＬ（IPv6（Internet Protocol version 6） Routing Protocol for Low power and Lossy Network)であるが、経路制御プロトコルはこれに限定されない。以下、端末装置１−１〜１−１１から集約装置２へ向かう通信の方向を上り方向と呼び、集約装置２から端末装置１−１〜１−１１へ向かう通信の方向を下り方向と呼ぶ。

具体的には、各端末装置１が保持しているトポロジー情報には、上り方向の経路上の次の端末装置１または集約装置２を示す情報が格納されている。以下、無線マルチホップネットワークを構成する端末装置１および集約装置２のそれぞれをノードとも呼ぶ。また、各スマートメータの上り方向および下り方向の経路上の次の端末装置１または集約装置２を、次のノードと呼ぶ。下り方向の経路については、集約装置２が各端末装置１へデータを送信する際に、経由するノード、すなわち経由する端末装置１を示す情報が、該データに格納されてもよいし、下り方向についても各端末装置１が宛先ごとの次のノードの情報をトポロジー情報として保持していてもよい。

端末装置１−１〜１−１１は、自身が計測した計量結果を、対応する集約装置２へ向けて送信する。ここで、端末装置１が集約装置２へ向けてデータを送信することは、具体的には、各端末装置１が保持しているトポロジー情報に基づいて、次のノードへデータを送信することを意味する。各端末装置１は、他の端末装置１からデータを受信すると、受信したデータが集約装置２へ宛てたデータである場合、自身が保持しているトポロジー情報に基づいて次のノードへデータを転送する。この転送は、データが集約装置２へ到着するまで経路上の各端末装置１によって順次行われる。下り方向についても、同様に、次のノードへデータが順次転送されることにより、集約装置２から各端末装置１へデータが到着する。下り方向の経路は、例えば、集約装置２により指定される。

集約装置２は、端末装置１から受信した計量結果を集約して、ネットワーク５経由で中央処理システム３へ送信する。集約装置２は、例えば、電柱などに設置される。中央処理システム３は、集約装置２から計量結果を収集し、収集した計量結果をＭＤＭＳ４へ送信する。ＭＤＭＳ４は、中央処理システム３から受信した計量結果を管理する。

図１に示した無線マルチホップネットワークを構成するノード間を接続する線は通信経路の一例であり、１つのノードが無線接続可能なノードの数は１つに限定されない。各ノードは複数のノードと無線接続可能であってもよく、ノード間で通信障害が生じた場合などには、各端末装置１と対応する集約装置２との間の通信経路は変更されてもよい。また、端末装置１は通常１つの集約装置２と対応付けられているが、予備の集約装置２が設定されていてもよい。これにより、端末装置１は、対応付けられている集約装置２に障害が発生した場合等には予備の集約装置２と通信を行うことができる。集約装置２は、自身が通信を中継している端末装置１を管理している。なお、ここでは、集約装置２および端末装置１−１〜１−１１が、無線マルチホップ方式が用いられる例を説明するが、電力線通信によるマルチホップ方式が用いられてもよい。すなわち、端末装置１と集約装置２とがマルチホップネットワークを構成していればよい。

図２は、本実施の形態の中央処理システム３の構成例を示す図である。中央処理システム３は、本発明にかかる中央処理装置の一例である認証サーバ６と、端末装置１−１〜１−１１の認証鍵および暗号鍵を管理する鍵サーバ７とを備える。中央処理システム３は、認証サーバ６および鍵サーバ７以外の装置を備えていてもよい。本実施の形態では、端末装置１から中央処理システム３へ送信される計量結果は暗号化される。また、中央処理システム３と端末装置１との間でやりとりされる端末装置１を制御するための制御データについても暗号化される。端末装置１は、定められたタイミングで、認証サーバ６に対して認証要求を行い、認証サーバ６は、認証に成功した端末装置１に対して、上述した暗号化で用いられる暗号鍵を送信する。定められたタイミングは、例えば、２４時間おきなど周期的なタイミングである。また、端末装置１は、端末装置１の電源投入時、端末装置１が通信障害などにより通信ができなくなってから復帰した時にも認証要求を行い、暗号鍵を取得する。認証サーバ６は、端末装置１ごとに、認証のたびに暗号鍵を変更する。これにより、周期的に暗号鍵が変更されることになる。

認証サーバ６は、通信部６１、認証処理部６２、暗号処理部６３、収集管理部６４、鍵取得部６５および記憶部６６を備える。通信部６１は、ネットワーク５を介して集約装置２との間で通信を行う。認証処理部６２は、端末装置１の認証処理を行う。認証処理の詳細については後述する。暗号処理部６３は、端末装置１へ送るデータである平文を端末装置１に対応する暗号鍵を用いて暗号化して暗号文を生成し、通信部６１を介して暗号文を端末装置１へ送信する。また、暗号処理部６３は、通信部６１を介して端末装置１から受信した暗号文を、端末装置１に対応する暗号鍵を用いて復号することにより平文を得る。認証処理部６２は、端末装置１に対応する暗号鍵を、鍵取得部６５を介して鍵サーバ７から取得する。暗号処理部６３は、復号して得られた平文が計量結果である場合には、計量結果を収集管理部６４へ渡す。

収集管理部６４は、端末装置１から送信された計量結果を、暗号処理部６３から受け取り、記憶部６６に計量情報として記憶する。また、収集管理部６４は、記憶部６６に記憶されて蓄積された計量情報を、通信部６１を介してＭＤＭＳ４へ送信する。なお、本実施の形態では、認証サーバ６が収集した計量結果を計量情報として蓄積してＭＤＭＳ４へ送信するようにしたが、認証サーバ６は、計量結果を中央処理システム３内の図示しない他のサーバへ送り、他のサーバが計量結果を計量情報として蓄積してＭＤＭＳ４へ送信するようにしてもよい。なお、計量結果は、端末装置１から、例えば、３０分ごとといったように定期的に送信される。端末装置１が自発的に計量結果を送信してもよいし、収集管理部６４が、暗号処理部６３および通信部６１を介して、端末装置１に計量結果の送信を要求することにより、端末装置１が計量結果を送信してもよい。

鍵取得部６５は、鍵サーバ７との間で通信を行う。鍵取得部６５は、認証処理部６２から端末装置１の認証鍵の取得要求があると、鍵サーバ７から、端末装置１に対応する認証鍵を取得し、認証処理部６２へ渡す。また、鍵取得部６５は、暗号処理部６３から、認証処理部６２を介して端末装置１の暗号鍵の取得要求があると、鍵サーバ７から、端末装置１に対応する暗号鍵を取得し、暗号処理部６３へ渡す。また、認証処理部６２は後述するように、認証処理の過程で暗号鍵を端末装置１へ送信する。このとき、認証処理部６２は、鍵取得部６５に端末装置１の暗号鍵の取得を要求する。鍵取得部６５は、認証処理部６２から端末装置１の暗号鍵の取得要求があると、鍵サーバ７から、端末装置１に対応する暗号鍵を取得し、認証処理部６２へ渡す。

記憶部６６は、認証ログ、トポロジー情報、計量情報を記憶する。認証ログは、端末装置１の認証結果を記録したログ情報であり、トポロジー情報は、各端末装置１の無線マルチホップネットワーク上の接続位置を示す情報である。認証ログおよびトポロジー情報の詳細については後述する。

鍵サーバ７は、通信部７１、制御部７２および記憶部７３を備える。通信部７１は、認証サーバ６との間で通信を行う。記憶部７３には、端末装置ごとの認証鍵が認証鍵テーブルとして記憶されている。また、記憶部７３には、端末装置ごとの暗号鍵が暗号鍵テーブルとして記憶されている。なお、この例に限らず、記憶部７３に、端末ごとに、認証鍵と暗号鍵とがまとめて１つのテーブルとして記憶されていてもよい。

制御部７２は、通信部７１を介して端末装置１の認証鍵の取得要求を受け取ると、認証鍵テーブルから対応する認証鍵を読み出して、通信部７１を介して認証サーバ６へ送信する。制御部７２は、通信部７１を介して端末装置１の暗号鍵の取得要求を受け取ると、暗号鍵テーブルから対応する暗号鍵を読み出して、通信部７１を介して認証サーバ６へ送信する。なお、上述したように、暗号鍵は周期的なタイミングで更新される。端末装置１の認証のたびに暗号鍵が更新されるため、認証サーバ６の鍵取得部６５は、認証処理部６２から暗号鍵の取得要求があった場合には、鍵サーバ７に端末装置１の鍵更新を通知する。鍵サーバ７の制御部７２は、通信部７１を介して端末装置１の鍵更新の通知を受けると、端末装置１の暗号鍵を更新し、更新後の暗号鍵を認証サーバ６へ、通信部７１を介して送信するとともに、暗号鍵テーブルを更新する。なお、暗号鍵の更新タイミング、更新方法はこの例に限定されない。認証サーバ６からの通知によらずに、鍵サーバ７が定期的に各端末装置１の暗号鍵を更新してもよい。

認証サーバ６は、具体的には、計算機システム、すなわちコンピュータである。この計算機システム上で認証サーバ６が実行する処理が記述された認証処理プログラムが実行されることにより、認証サーバ６として機能する。認証処理プログラムは、本実施の形態の後述する不正アクセス検出方法をコンピュータに実行させるためのプログラムを含む。

図３は、本実施の形態の認証サーバ６を実現する計算機システムの構成例を示す図である。図３に示すように、この計算機システムは、制御部１０１と入力部１０２と記憶部１０３と表示部１０４と通信部１０５と出力部１０６とを備え、これらはシステムバス１０７を介して接続されている。

図３において、制御部１０１は、例えば、ＣＰＵ（Central Processing Unit）等である。制御部１０１は、本実施の形態の認証処理プログラムを実行する。入力部１０２は、たとえばキーボード、マウスなどで構成され、計算機システムのユーザーが、各種情報の入力を行うために使用する。記憶部１０３は、ＲＡＭ（Random Access Memory），ＲＯＭ（Read Only Memory）などの各種メモリおよびハードディスクなどのストレージデバイスを含み、上記制御部１０１が実行すべきプログラム、処理の過程で得られた必要なデータなどを記憶する。また、記憶部１０３は、プログラムの一時的な記憶領域としても使用される。表示部１０４は、ＬＣＤ（液晶表示パネル）などで構成され、計算機システムのユーザーに対して各種画面を表示する。通信部１０５は、通信処理を実施する通信回路などである。通信部１０５は、複数の通信方式にそれぞれ対応する複数の通信回路で構成されていてもよい。出力部１０６は、プリンタ、外部記憶装置などの外部の装置へデータを出力する出力インタフェイスである。なお、図３は、一例であり、計算機システムの構成は図３の例に限定されない。

ここで、本実施の形態の認証処理プログラムが実行可能な状態になるまでの計算機システムの動作例について説明する。上述した構成をとる計算機システムには、たとえば、図示しないＣＤ（Compact Disc）−ＲＯＭまたはＤＶＤ（Digital Versatile Disc）−ＲＯＭドライブにセットされたＣＤ−ＲＯＭドライブまたはＤＶＤ−ＲＯＭから、認証処理プログラムが記憶部１０３にインストールされる。そして、認証処理プログラムの実行時に、記憶部１０３から読み出された認証処理プログラムが記憶部１０３に格納される。この状態で、制御部１０１は、記憶部１０３に格納されたプログラムに従って、本実施の形態の認証サーバ６としての処理を実行する。

なお、上記の説明においては、ＣＤ−ＲＯＭまたはＤＶＤ−ＲＯＭを記録媒体として、認証サーバ６における処理を記述したプログラムを提供しているが、これに限らず、計算機システムの構成、提供するプログラムの容量などに応じて、たとえば、通信部１０５を経由してインターネットなどの伝送媒体により提供されたプログラムを用いることとしてもよい。

図２に示した認証処理部６２、暗号処理部６３および収集管理部６４は、図３の制御部１０１により実現される。図２に示した記憶部６６は、図３に示した記憶部１０３の一部である。図２に示した通信部６１は、図３に示した通信部１０５により実現される。図２に示した鍵取得部６５は、図３に示した通信部１０５および制御部１０１により実現される。

鍵サーバ７も、具体的には、計算機システム、すなわちコンピュータである。鍵サーバ７を実現する計算機システムの構成例は、図３に例示した計算機システムと同様である。鍵サーバ７の機能を実現するためのプログラムが制御部１０１により実行されることにより、鍵サーバ７としての機能が実現される。このプログラムが実行可能な状態になるまでの計算機システムの動作例は、認証サーバ６と同様である。図２に示した制御部７２は、図３に示した制御部１０１により実現され、図２に示した記憶部７３は図３に示した記憶部１０３により実現され、図２に示した通信部７１は、図３に示した通信部１０５により実現される。

次に、本実施の形態の認証サーバ６および鍵サーバ７が記憶する情報について説明する。図４は、認証サーバ６が保持するトポロジー情報の構成例を示す図である。認証サーバ６が保持するトポロジー情報は、マルチホップネットワークを構成する正当な端末装置１のマルチホップネットワークにおける正当な接続位置を示す情報である。詳細には、認証サーバ６が保持するトポロジー情報は、正当な端末装置ごとの、正当な端末装置のアドレスと中央処理装置との間の通信を中継する装置である中継装置の識別情報とを含む。具体的には、図４に示すように、認証サーバ６が保持するトポロジー情報は、端末装置１ごとの、端末装置１の通信を中継する集約装置２と中継する端末装置１とを示す情報である。この例では、中継装置は複数であり、複数の中継装置は集約装置２および１つ以上の正当な端末装置１である。認証サーバ６が保持するトポロジー情報は、端末装置と集約装置と中継する端末装置とをそれぞれ示す情報を含む。

詳細には、図４の左から１列目に示すように、端末装置を示す情報としては、端末装置１の識別情報である端末装置１のアドレスであるＭＡＣアドレスが格納される。集約装置を示す情報としては、図４の左から２列目に示すように、端末装置１の通信を中継する集約装置２のＭＡＣアドレスが格納される。中継する端末装置を示す情報としては、図４の左から３列目に示すように、端末装置１の通信を中継する端末装置１のＭＡＣアドレスが格納される。Ｍ１−１〜Ｍ１−５は、それぞれ端末装置１−１〜１−５のＭＡＣアドレスを示している。Ｍ２−１，Ｍ２−２は、それぞれ集約装置２−１，２−２のＭＡＣアドレスを示している。後述するように、集約装置２は、自身が管理している端末装置１に関するトポロジー情報を保持している。認証サーバ６は、各集約装置２から集約装置２が保持するトポロジー情報を取得し、検針システムを構成する端末装置１のトポロジー情報として記憶部６６に保持する。

図４では、図１に示した構成例におけるトポロジー情報の一部を示している。例えば、端末装置１−１は、端末装置１−３および集約装置２−１を介して中央処理システム３と接続される。このため、図４の１行目に示すように、左から１列目に端末装置１−１のＭＡＣアドレスであるＭ１−１が格納される行では、左から２列目に集約装置２−１のＭＡＣアドレスであるＭ２−１が格納され、左から３列目に端末装置１−３のＭＡＣアドレスであるＭ１−３が格納される。また、図１に示すように、端末装置１−５は、端末装置１−６，１−８および集約装置２−２を介して中央処理システム３と接続される。したがって、図４の５行目に示すように、左から１列目に端末装置１−５のＭＡＣアドレスであるＭ１−５が格納される行では、左から２列目に集約装置２−２のＭＡＣアドレスであるＭ２−２が格納され、左から３列目に端末装置１−６，１−８のＭＡＣアドレスであるＭ１−６，Ｍ１−８が格納される。

なお、図４に示した例では、上り方向と下り方向で通信経路が同一であるとして、中継する端末装置１を、上り方向と下り方向とで区別せずに示している。これに限らず、トポロジー情報として、上り方向と下り方向とで分けて端末装置１を管理してもよい。

なお、図４に示したトポロジー情報の構成は一例であり、構成する情報の順序はこの例に限定されない。また、トポロジー情報として、上述した情報以外の情報が含まれていてもよい。また、トポロジー情報として、端末装置１の通信を中継する端末装置を示す情報が含まれていなくてもよい。

図５は、鍵サーバ７が保持する認証鍵テーブルの構成例を示す図である。図５に示すように、鍵サーバ７が保持する認証鍵テーブルは、端末装置１を示す情報である端末装置１のＭＡＣアドレスと、対応する認証鍵とを含む。認証鍵Ｋ１−１〜Ｋ１−５は、それぞれ端末装置１−１〜１−５の認証鍵である。認証鍵は、一般には、暗号鍵のように頻繁に更新されず、例えば、３年程度で更新される。なお、認証鍵の更新頻度はこの例に限定されない。認証鍵テーブルは、例えば、端末装置１が設置されるときに、運用者等により更新される。したがって、認証鍵テーブルには、本実施の形態の検針システムに参入可能な正当な端末装置１のＭＡＣアドレスと認証鍵が格納される。

図６は、鍵サーバ７が保持する暗号鍵テーブルの構成例を示す図である。図６に示すように、鍵サーバ７が保持する暗号鍵テーブルは、端末装置１を示す情報である端末装置１のＭＡＣアドレスと、対応する暗号鍵とを含む。暗号鍵Ｃ１−１〜Ｃ１−５は、それぞれ端末装置１−１〜１−５の暗号鍵である。暗号鍵は、上述したように定期的に更新される。

本実施の形態では、認証サーバ６の認証処理部６２は、端末装置１から認証要求を受信した場合、認証結果、すなわち認証が成功したか失敗したかを認証ログとして記憶部６６に記録する。図７は、認証ログの一例を示す図である。図７に示すように、認証ログは、認証した時刻（図７では時刻と記載）と、端末装置を示す情報と、認証結果とを含む。認証サーバ６が保持する認証ログ、すなわち記憶部６６に記憶される認証ログは第１の認証ログである。

なお、ここでは、トポロジー情報において、端末装置１および集約装置２を識別するための識別情報としてＭＡＣアドレスを用いられる例を示すが、端末装置１および集約装置２を識別するための識別情報はＭＡＣアドレスに限定されず、装置固有の識別情報であればよい。識別情報としてＭＡＣアドレス以外を用いる場合、認証サーバ６は、この識別情報とＭＡＣアドレスとの対応を保持する。認証鍵テーブル、暗号鍵テーブルおよび認証ログにおいても、同様に識別情報としてＭＡＣアドレス以外の識別情報が用いられてもよい。

図８は、本実施の形態の端末装置１の構成例を示す図である。図８に示すように、端末装置１は、通信部１１、認証処理部１２、暗号処理部１３、制御部１４および記憶部１５を備える。通信部１１は、他の端末装置１または集約装置２との間で無線通信を行う。認証処理部１２は、中央処理システム３と通信を行うために、認証サーバ６との間で認証処理を実施する。認証処理は、上述したように、端末装置１が起動している間は、２４時間ごとといったように周期的に行われる。例えば、端末装置１は、認証処理を行う周期を計測するタイマを保持しており、タイマが満了するたびに、認証要求を認証サーバ６へ向けて送信する。また、認証処理は、端末装置１の電源投入時、通信障害からの復帰時等にも行われる。認証処理の詳細については後述する。

暗号処理部１３は、記憶部１５に記憶されている暗号鍵を用いて、中央処理システム３へ送信するデータである平文を暗号化することにより暗号文を生成し、暗号文を通信部１１経由で中央処理システム３へ向けて送信する。中央処理システム３へ送信するデータには、端末装置１内のまたは端末装置１に接続された図示しない計量計による計量結果が含まれる。計量結果は、端末装置１が設置される需要家において使用された電力量を含む。また、計量結果は、端末装置１が設置される需要家において発電された発電量を含んでいてもよい。また、計量結果は、端末装置１が設置される需要家において使用された電力量から発電量が差し引かれたものであってもよい。また、暗号処理部１３は、通信部１１経由で中央処理システム３から受信した暗号文を記憶部１５に記憶されている暗号鍵を用いて復号し、復号して得られた平文のデータを制御部１４へ渡す。

制御部１４は、暗号処理部１３を介して、中央処理システム３から受信したデータに従って、端末装置１の動作を制御する。例えば、中央処理システム３から受信したデータが計量結果の送信を要求するものであった場合には、暗号処理部１３に対して図示しない計量計による計量結果を暗号化して中央処理システム３へ送信するよう指示する。

記憶部１５は、認証ログ、認証鍵、暗号鍵を記憶する。認証鍵は、端末装置１固有の認証鍵であり、あらかじめ記憶部１５に格納されている。認証鍵は、鍵サーバ７により保持されている認証鍵と一致している。認証鍵が更新される際には、端末装置１の記憶部１５に格納される認証鍵と、鍵サーバ７により保持されている認証鍵との両方が更新される。暗号鍵は、認証処理の過程で認証サーバ６から送信される。認証処理部１２は、暗号鍵を受信すると記憶部１５に格納されている暗号鍵を、受信した暗号鍵に更新する。

図９は、端末装置１が保持する認証ログの一例を示す図である。第２の認証ログである端末装置１が保持する認証ログは、図９に示すように、認証を行った時刻と認証結果とを含む。図９に示した例では、記憶容量を抑制するために、同一の認証結果の時刻をまとめて示している。端末装置１が保持する認証ログは、図９に示した例に限定されず、認証ごとに時刻と認証結果とを示すものであってもよく、その他の形式であってもよい。

端末装置１のハードウェア構成について説明する。通信部１１は、通信回路により実現され、認証処理部１２、暗号処理部１３および制御部１４は、処理回路により実現され、記憶部１５はメモリにより実現される。処理回路は、専用の回路であってもよいし、プロセッサとメモリを備える制御回路であってもよい。

図１０は、本実施の形態の集約装置２の構成例を示す図である。図１０に示すように、集約装置２は、通信部２１、制御部２２および記憶部２３を備える。通信部２１は、端末装置１との間で無線通信を行う。また、通信部２１は、中央処理システム３との間でネットワーク５を介して通信を行う。制御部２２は、自身に直接または他の端末装置１を介して接続される端末装置１から通信部２１を介して受信したデータに基づいて、記憶部２３のトポロジー情報を更新する。

図１１は、集約装置２が保持するトポロジー情報の一例を示す図である。集約装置２が保持するトポロジー情報は、図１１に示すように、端末装置１を示す情報と中継する端末装置１を示す情報とを含む。図１１に示した例では、上り方向と下り方向で通信経路が同一であるとして、中継する端末装置１を、上り方向と下り方向とで区別せずに示している。これに限らず、集約装置２は、トポロジー情報として、上り方向と下り方向とで分けて端末装置１を管理してもよい。下り方向の通信経路に関しては、経路制御プロトコルにしたがって、集約装置２が指定する。このため、端末装置１ごとの下り方向の通信経路は、集約装置２が保持している。上り方向の通信経路に関しては、各端末装置１が、上り方向のデータを中継するときに、順次、自身の識別情報を付加していくことにより、集約装置２が上り方向の通信経路を把握するようにしてもよい。集約装置２が、各端末装置１から、次ノードの情報を収集することにより、上り方向の通信経路を把握してもよい。

次に、本実施の形態の動作について説明する。本実施の形態の検針システムでは、不正な端末装置が検証システムに接続されないように認証サーバ６が認証処理を行っている。図１２は、本実施の形態の認証処理手順の一例を示すチャート図である。図１２に示した例では、ＲＦＣ（Request For Comments）５１９１ ＰＡＮＡ（Protocol for carrying Authentication for Network Access）に従って認証処理を行う例を示している。なお、認証処理手順は図１２に示した例に限定されない。

図１２に示すように、端末装置１は、認証処理の開始を要求する認証開始要求を集約装置２へ向けて送信する（ステップＳ１）。次に、集約装置２が端末装置１に認証の開始に必要な情報の取得を要求する（ステップＳ２）。端末装置１は、ステップＳ２の要求に応じて認証の開始に必要な情報を集約装置２へ送信し（ステップＳ３）、集約装置２が応答を返信する（ステップＳ４）。端末装置１は、認証鍵を格納した認証要求を集約装置２へ送信し、集約装置２が認証要求を認証サーバ６へ転送する（ステップＳ５）。認証要求には、送信元である端末装置１のＭＡＣアドレスも含まれており、認証サーバ６は、端末装置１のＭＡＣアドレスに基づいて、鍵サーバ７から端末装置１の認証鍵を取得し、取得した認証鍵に基づいて情報を生成する（ステップＳ６）。このとき生成される情報は、正しい認証鍵がないと正しい計算結果が得られない情報である。この情報、およびこの情報を用いた処理などについては、ＲＦＣ５１９１ ＰＡＮＡで定められたものを用いることができるため、詳細な説明は省略する。

認証サーバ６は、生成した情報を、集約装置２を介して端末装置１へ送信する（ステップＳ７）。端末装置１は、受信した情報と保持している認証鍵とを用いて計算を行い（ステップＳ８）、計算結果を、集約装置２を介して認証サーバ６へ送信する（ステップＳ９）。認証サーバ６は、受信した計算結果と正しい計算結果とを比較し、一致した場合には認証成功と判定し、認証成功を通知する応答を、集約装置２を介して端末装置１へ送信する（ステップＳ１０）。なお、認証サーバ６は、認証に失敗した場合には、認証に失敗したことを端末装置１へ通知し、認証処理を終了する。このとき、認証サーバ６は、認証に失敗した通知を送信しなくてもよい。

認証成功を通知された端末装置１は、集約装置２を介して暗号鍵の取得を認証サーバ６へ要求する（ステップＳ１１）。認証サーバ６は、鍵サーバ７から端末装置１に対応する暗号鍵を取得し、暗号鍵を、集約装置２を介して端末装置１へ送信する（ステップＳ１２）。端末装置１は、ステップＳ１２に対する応答を集約装置２へ送信する（ステップＳ１３）。以上の手順により認証処理が実施される。この過程で、端末装置１と中央処理システム３との間の暗号化通信に用いられる暗号鍵が、認証サーバ６から端末装置１へ送信される。以降、端末装置１は、中央処理システム３との間で暗号化通信を行う。

仮に、正しいＭＡＣアドレスを偽装した不正端末が、本実施の形態の検証システムに接続しようとしたとする。この場合、ＭＡＣアドレスは正しいため、ＭＡＣアドレスを用いて不正な端末かどうかを判断することはできない。図１３は、不正端末装置が無線接続される例を示す図である。なお、図１３では、ネットワーク５、中央処理システム３およびＭＤＭＳ４の図示を省略している。図１３に示した例では、不正端末装置８は、検針システムの運用者によって設置された端末装置ではない不正な端末装置である。不正端末装置８が、端末装置１−５のＭＡＣアドレスを偽装して、端末装置１−８と通信可能な範囲に配置されたとする。不正端末装置８は、端末装置１−５が保持している認証鍵は保持していないものの、認証鍵をなんらかの方法で推定して、認証処理を試みる可能性がある。認証鍵が正しくない場合には、認証サーバ６により認証失敗と判断されるが、不正端末装置８が複数回認証鍵を変更して認証処理を実施することにより、不正端末装置８が正しい認証鍵を送信して認証が成功してしまう可能性がある。一方で、正しい端末装置１であっても通信路で生じたビット誤り等により認証失敗となる可能性もある。

本実施の形態では、このような場合に不正端末装置８を不正な端末と判定できるように、後述するように、認証サーバ６が、トポロジー情報を用いた不正端末の判定処理を実施する。図１３に示すように、不正端末装置８が使用したＭＡＣアドレスに対応する正しい端末装置１−５は端末装置１−６を経由して集約装置２−２と通信を行う。これに対して、不正端末装置８は、端末装置１−６を経由せずに集約装置２−２と通信を行っている。したがって、通信経路を示すトポロジー情報を用いることで、不正端末装置８が不正な端末装置であることを判定することができる。なお、正しい端末装置１と同じ通信経路となるような位置に不正端末装置８が配置される場合、正しい端末装置１と不正端末装置８とでＭＡＣアドレスが同一であるため干渉が生じ通信ができなくなる。したがって、一般に、ＭＡＣアドレスを偽装する不正端末装置８は、偽装の元となる正しいＭＡＣアドレスを有する正しい端末装置１とは通信経路が異なる。

図１４は、本実施の形態の認証サーバ６における認証処理手順の一例を示すフローチャートである。図１４に示すように、認証サーバ６の認証処理部６２は、端末装置１から認証要求を受信したか否かを判断する（ステップＳ２１）。この認証要求は、図１２のステップＳ５に相当する。端末装置１から認証要求を受信していない場合（ステップＳ２１ Ｎｏ）、ステップＳ２１を繰り返す。

端末装置１から認証要求を受信した場合（ステップＳ２１ Ｙｅｓ）、認証サーバ６の認証処理部６２は、認証要求に格納されている要求元の端末装置１のＭＡＣアドレスが正当であるかを確認する（ステップＳ２２）。詳細には、ステップＳ２２では、認証処理部６２は、認証要求を受信すると、鍵取得部６５を介して、認証要求の要求元の端末装置１のＭＡＣアドレスに対応する認証鍵を鍵サーバ７から取得する。このとき、鍵サーバ７は、認証鍵テーブルに認証鍵の取得が要求された端末装置１のＭＡＣアドレスが無い場合には認証鍵が登録されていないことを認証サーバ６に通知し、認証鍵テーブルに認証鍵の取得が要求された端末装置１のＭＡＣアドレスが有る場合には認証鍵を認証サーバ６に通知する。認証サーバ６の認証処理部６２は、鍵サーバ７から認証鍵を取得できた場合に、要求元のＭＡＣアドレスは正当であると判断する。一方、認証サーバ６の認証処理部６２は、鍵サーバ７から、認証鍵が登録されていないことを通知された場合、要求元の端末装置１のＭＡＣアドレスが正当でないと判断する。

ステップＳ２２でＭＡＣアドレスが正当であると判断した場合（ステップＳ２２ Ｙｅｓ）、認証処理部６２は、認証のための情報を生成し、認証のための情報を送信する（ステップＳ２３）。この情報の送信は、図１２のステップＳ６，Ｓ７に相当する。認証処理部６２は、認証要求の要求元の端末装置１から正しい計算結果を受信したか否かを判断する（ステップＳ２４）。この計算結果は、図１２のステップＳ８で説明したように、端末装置１が保持している認証鍵を用いて計算した結果である。したがって、正しい認証鍵を保持していないと正しい計算結果とならない。

認証処理部６２は、認証要求の要求元の端末装置１から正しい計算結果を受信した場合（ステップＳ２４ Ｙｅｓ）、認証要求の要求元の認証成功を端末装置１へ通知する（ステップＳ２５）。次に、認証処理部６２は、認証要求の要求元の端末装置１から暗号鍵の取得を要求する暗号鍵要求を受信したか否かを判断し（ステップＳ２６）、受信した場合（ステップＳ２６ Ｙｅｓ）、暗号鍵を該端末装置１へ送信し（ステップＳ２７）、処理を終了する。暗号鍵要求を受信しない場合（ステップＳ２６ Ｎｏ）、ステップＳ２６を繰り返す。ステップＳ２５の実施から一定時間経過しても暗号鍵要求を受信しない場合には、処理を終了するようにしてもよい。

一方、ＭＡＣアドレスが正当でない場合（ステップＳ２２ Ｎｏ）、不正端末であること、すなわち不正アクセスがあったことを報知し（ステップＳ３１）、処理を終了する。不正端末であることの報知は、例えば、画面表示により行ってもよいし、音声により行ってもよいし、あらかじめ定められた運用者のメールアドレスに電子メールを送信することにより行ってもよく、どのように行われてもよい。また、不正なＭＡＣアドレスを記録しておき、同一の不正なＭＡＣアドレスを用いた認証要求を受信する回数が閾値を超えた場合に、ステップＳ３１へ進み、ＭＡＣアドレスを用いた認証要求を受信する回数が閾値未満の場合には、ステップＳ３１を実施せずに処理を終了してもよい。

ステップＳ２４で、正しい計算結果を受信しなかった場合（ステップＳ２４ Ｎｏ）、認証処理部６２は、認証失敗を端末装置１へ通知し（ステップＳ２８）、トポロジー情報を用いて不正端末判定処理を実施する（ステップＳ２９）。認証処理部６２は、ステップＳ２４で正しい結果を受信した場合、認証成功として記憶部６６の認証ログに記録し、ステップＳ２４で正しい結果を受信しなかった場合、認証成功として記憶部６６の認証ログに記録する。

図１５は、ステップＳ２９の不正端末判定処理の処理手順の一例を示すフローチャートである。認証処理部６２は、まず、認証要求の要求元の端末装置１の通信経路を確認する（ステップＳ４１）。ここでは、端末装置１から送信されるデータにこのデータの通信経路すなわち中継した端末装置１および集約装置２を示す情報が格納されているとする。したがって、認証処理部６２は、端末装置１から受信した認証要求から、通信経路を示す情報を抽出することにより、認証要求の要求元の端末装置１の通信経路を確認することができる。

認証処理部６２は、通信経路、具体的には認証要求の要求元の端末装置１の通信経路が正しいか否かを判断する（ステップＳ４２）。詳細には、認証処理部６２は、記憶部６６に記憶されているトポロジー情報から認証要求の要求元の端末装置１に対応する集約装置２および中継する端末装置１を示す情報を抽出する。認証処理部６２は、抽出した情報と認証要求の要求元の端末装置１の通信経路とが一致するか否かに基づいて、通信経路が正しいか否かを判断する。通信経路は、無線マルチホップネットワークにおける端末装置１の接続位置を示す情報でもある。本実施の形態では、不正端末判定処理で不正端末であると判定された場合、該不正端末からの認証要求は不正アクセスであると判断する。これにより、不正端末判定処理で不正端末であると判定されることにより不正アクセスを検出することができる。すなわち、本実施の形態の認証処理部６２は、記憶部６６からトポロジー情報を取得し、端末装置１から受信したデータに基づいてデータの送信元の端末装置１のマルチホップネットワークにおける接続位置を求め、求めた接続位置とトポロジー情報とに基づいて不正アクセスを検出する検出処理を実施する。

次に、認証処理部６２は、通信経路が正しい場合（ステップＳ４２ Ｙｅｓ）、不正端末でないと判定し（ステップＳ４３）、通信経路が正しくない場合（ステップＳ４２ Ｎｏ）、不正端末であると判定し（ステップＳ４４）、不正端末判定処理を終了する。

以上のように、図１５に示した例では、認証処理部６２は、認証要求から認証要求を中継した装置の識別情報を抽出し、抽出した識別情報とトポロジー情報に含まれる中継装置の識別情報とが一致する場合に、正当な端末装置１との間で共通に保持している認証鍵を用いた認証を実施する。一方、認証処理部６２は、抽出した識別情報とトポロジー情報に含まれる中継装置の識別情報とが一致しない場合に、不正アクセスと判定する。

図１４の説明に戻る。ステップＳ２９の不正端末判定処理により不正端末と判定した場合（ステップＳ３０ Ｙｅｓ）、認証処理部６２は、処理をステップＳ３１に進める。ステップＳ２９の不正端末判定処理により不正端末でないと判定した場合（ステップＳ３０ Ｎｏ）、認証処理部６２は、処理を終了する。

なお、以上の説明では、通信経路全体、すなわち中継する端末装置１および集約装置２が正しいか否かにより、通信経路が正しいか否かを判断するようにしたが、通信経路のうちの一部を用いて通信経路が正しいか否かを判断しても良い。すなわち、認証処理部６２は、端末装置１と中央処理システム３との間の通信経路となる端末装置１および集約装置２のうち１つ以上を用いて通信経路が正しいか否かを判断すればよい。例えば、経由する集約装置２が正しいか否かにより通信経路が正しいか否かを判断してもよい。または、認証処理部６２は、経由する集約装置２とトポロジー情報に格納されている中継する端末装置１のうち選択された１つの端末装置１とを定めておき、認証要求の要求元の端末装置１の通信経路がこの２つを経由するものであれば正しい通信経路と判断するようにしてもよい。

また、通信経路が正しいか否かの判断として、図４に示したトポロジー情報を用いるのではなく、端末装置１が配置される地理的位置と通信可能な範囲とを用いて中継可能な端末装置１を判定してもよい。一般に、端末装置１が配置される地理的位置は事業者が把握しているため、この情報を設備情報として認証サーバ６の記憶部６６に記憶しておく。端末装置１が通信可能な範囲は端末装置１の仕様により概ね判定可能である。図１６は、端末装置１−６の通信可能な範囲の推定値の一例を示す図である。認証処理部６２は、図１６に示すように、端末装置１−６の地理的位置を中心とし、端末装置１の無線通信で用いる周波数帯および送信電力に基づいて無線通信可能な範囲９を推定する。そして、認証処理部６２は、この範囲９内に配置される端末装置１を設備情報から検索して、中継候補端末装置としてあらかじめ定めておく。図１６に示した例では、端末装置１−５，１−７，１−８が範囲９内に配置されている。端末装置１−６から送信されるデータは、端末装置１−５，１−７，１−８のうちの少なくとも１つを必ず経由して認証サーバ６に到着するはずである。

一方で、端末装置１−６のＭＡＣアドレスを偽装した端末装置は、端末装置１−５，１−７，１−８を経由しない可能性が高い。したがって、端末装置１ごとに範囲９を求め、範囲９内に存在する端末装置１を中継候補端末装置としてあらかじめ定めておくことにより、中継候補端末装置のうちのいずれも経由しない認証要求を受信した場合に、要求元の端末装置の通信経路は正しくないと判定することができる。正しい端末装置１であっても通信障害などにより通信経路が変更されて、認証サーバ６が保持している通信経路と一時的に異なってしまうことがある。地理的位置に基づいて中継候補端末装置を定めておくことにより、このような場合に正しい端末装置１が不正端末と誤判定されることを抑制することができる。

なお、図１４に示した例では、認証に失敗した場合、すなわち、ステップＳ２４でＮｏと判定された場合に、トポロジー情報を用いた不正アクセスを検出する検出処理である不正端末判定処理を実施するようにしたが、連続して認証に失敗した回数が閾値以上である場合に不正端末判定処理を実施するようにしてもよい。すなわち、認証処理部６２は、正当な端末装置１との間で共通に保持している認証鍵を用いた認証に連続して失敗した回数が閾値以上となった場合に、不正端末判定処理を実施してもよい。閾値は１回以上である。ＭＡＣアドレスが偽装された場合、上述したように、不正な端末装置は正しい認証鍵を保持していないため、認証鍵を変更して複数回認証を試みる可能性がある。正当な端末装置１からの正当なアクセスで通信異常などにより認証失敗となる可能性がある。閾値を複数回に設定すると、正当なアクセス時に不正端末判定処理を実施する可能性を低下させることができ、処理負荷を低減させることができる。

図１７は、ステップＳ２９の不正端末判定処理の処理手順の別の一例を示すフローチャートである。認証処理部６２は、端末装置１へ下りの通信経路を用いて端末装置１へ認証ログの取得要求を送信する（ステップＳ５１）。詳細には、認証処理部６２は、記憶部６６のトポロジー情報に基づいて、下りの通信経路、すなわち中継する集約装置２および端末装置１を指定して、認証ログの取得要求を端末装置１へ送信する。認証ログの取得要求を端末装置１は、記憶部１５に記憶されている認証ログを認証サーバ６へ送信する。

認証処理部６２は、端末装置１から受信した認証ログと自身が保持している認証ログとを比較する（ステップＳ５２）。例えば、認証処理部６２は、図７に示したように、時刻ｔ３で端末装置１−５の認証に失敗したとする。認証処理部６２は、ステップＳ５１により、端末装置１−５から認証ログを取得する。認証処理部６２は、端末装置１−５から受信した認証ログに、時刻ｔ３における認証が失敗したという情報が含まれているかを確認する。なお、一般に端末装置１と認証サーバ６とでは任意の時刻同期方法により時刻同期が実施されているとする。ただし、処理および伝送遅延などにより、端末装置１が認識している認証時刻と認証サーバ６に記憶されている認証時刻とが完全に一致しないことがあるため、認証サーバ６は、端末装置１から取得した認証時刻に一定時間を加算するなどにより時刻を補正して比較しても良い。また、補正を行ったとしても両者の時刻が完全に一致しないことも考えられるため、例えば、１〜５分程度など、両者の時刻差が規定時間以下であれば、認証時刻は一致していると判断してもよい。

端末装置１から受信した認証ログと自身が保持している認証ログとが一致した場合（ステップＳ５３ Ｙｅｓ）、認証処理部６２は、不正端末でないと判定し（ステップＳ５４）、不正端末判定処理を終了する。端末装置１から受信した認証ログと自身が保持している認証ログとが一致しない場合（ステップＳ５３ Ｎｏ）、認証処理部６２は不正端末であると判定し（ステップＳ５５）、不正端末判定処理を終了する。本実施の形態では、不正端末判定処理で不正端末であると判定された場合、該不正端末からの認証要求は不正アクセスであると判断する。すなわち、不正端末判定処理は、不正アクセスを検出する検出処理である。

以上のように、図１７に示した例では、認証処理部６２は、端末装置の認証を行うたびに該端末装置のアドレスと認証の時刻と認証結果とを記憶部６６に第１の認証ログとして記録する。認証処理部６２は、データからデータの送信元の端末装置のアドレスである送信元アドレスを抽出し、トポロジー情報から、送信元アドレスに対応する中継装置の識別情報を抽出する。認証処理部６２は、抽出した中継装置の識別情報に基づく通信経路で送信元アドレスに宛てて、端末装置において過去の認証結果を記録した情報である第２の認証ログの取得を要求し、第２の認証ログと第１の認証ログとが一致しない場合に不正アクセスと判定する。

なお、図１４に示したステップＳ３１の不正端末であることの報知において、不正端末と判定された要因についても報知されてもよい。すなわち、認証サーバ６は、ＭＡＣアドレスが不正であると判断されたのかＭＡＣアドレスは正しくトポロジー情報を用いた不正端末判定処理で不正である判定されたのかを区別して報知するようにしてもよい。不正端末であるとの報知を検知した運用者は、不正端末であると判定された端末装置から送信されたデータから通信経路を特定することにより、不正な端末装置が存在すると思われる箇所を特定し、特定した箇所に基づいて現地の調査などを実施してもよい。

上述した例では、認証に失敗した場合に、トポロジー情報による不正端末判定処理を実施するようにしたが、トポロジー情報による不正端末判定処理を実施するトリガーはこの例に限定されない。例えば、端末装置１が、他の端末装置から集約装置２へ転送するデータを受信した場合、このデータのフォーマットが定められたフォーマットと異なっているなど、受信したデータになんらかの異常を検出した場合、データの送信元の端末装置のＭＡＣアドレスとともに認証サーバ６へ異常を通知してもよい。そして、認証サーバ６は、異常の通知を受けた場合に、通知されたＭＡＣアドレスの端末から受信したデータに基づいて、トポロジー情報による不正端末判定処理を実施してもよい。

また、定期的にトポロジー情報による不正端末判定処理を実施してもよい。検針システムでは、本来、検針システムを構築する事業者が、端末装置１から受信する計量結果に基づいて電気料金の課金などを行うため、端末装置１は事業者と契約する需要家と正しく紐付けられる必要がある。移設などにより事業者の管理の元で端末装置１が移動される場合を除き、端末装置１の設置位置は通常は固定である。一方、端末装置１が、不正な使用者によって、本来の設置位置、すなわち事業者によりその端末装置１が設置された需要家内の箇所からはずされて、不正な使用者により別の場所に設置されるといった不正も考えられる。このような場合、端末装置１自体は正当な端末装置であり正しい認証鍵を保持しているため、認証処理を通過してしまう可能性がある。認証処理を通過してしまうと、この端末装置１に対応する本来の需要家に、不正な使用者により使用された電力量が課金されてしまうことになる。

図１８は、端末装置１−７が不正に取り外された例を示す図である。図１８に示した例では、事業者により設置された正しい位置は、破線で示された端末装置１−８に無線接続可能な位置である。この場合に、端末装置１−７が不正に取り外され、異なる位置に移動され、端末装置１−４と無線接続可能な位置に設置されたとする。この場合、端末装置１−７は、正しいＭＡＣアドレスと正しい認証鍵を有しているため、端末装置１−４を介して認証サーバ６に対して認証要求を行うと、認証に成功してしまう可能性がある。本実施の形態では、認証サーバ６が、上述したように、トポロジー情報を用いた不正端末の判定処理を実施することにより、端末装置１−７の通信経路すなわち接続位置が正しくないと判定できるので、このようなケースも端末装置１−７を不正端末として検出可能である。この場合には、認証に成功してしまう可能性があるため、認証に失敗したときにトポロジー情報を用いた不正端末判定処理を実施するだけでなく、定期的な実施等、認証とは関係のないタイミングでトポロジー情報を用いた不正端末判定処理を実施すると、より不正端末の検出精度を向上させることができる。

また、認証処理自体にトポロジー情報を用いた不正端末判定処理を含めてしまってもよい。すなわち、認証鍵およびＭＡＣアドレスが正しいだけでなく、トポロジー情報に基づいて通信経路が正しいと判定されたときに認証成功と判断するようにしてもよい。図１９は、認証処理にトポロジー情報を用いた判定を含める場合の認証手順の一例を示すフローチャートである。ステップＳ２１は、図１４に示したステップＳ２１と同様である。

ステップＳ２１の後、認証サーバ６の認証処理部６２は、認証要求に格納されている要求元の端末装置１のＭＡＣアドレスと通信経路が正当であるかを確認する（ステップＳ２２ａ）。ＭＡＣアドレスが正当であるかの確認は図１４のステップＳ２２と同様である。通信経路が正当であるかの確認は図１５のステップＳ４１およびステップＳ４２と同様である。

認証処理部６２は、ＭＡＣアドレスと通信経路が正当である場合（ステップＳ２２ａ Ｙｅｓ）、ステップＳ２３以降の処理を実施する。ＭＡＣアドレスおよび通信経路のうち少なくとも一方が正当でない場合（ステップＳ２２ａ Ｎｏ）、認証処理部６２は、ステップＳ３１の処理を実施する。ステップＳ２３〜Ｓ３１の処理は、図１４の例と同様である。

なお、図１９に示した例に限らず、例えば、ステップＳ２２ａの替わりに図１４のステップＳ２２を実施し、ステップＳ２４でＹｅｓの場合に、通信経路が正しいか否かの判定を行い、通信経路が正しい場合にステップＳ２５に進むようにしてもよい。

以上のように、本実施の形態では、無線マルチホップネットワークにおける端末装置１の正しい接続位置を示すトポロジー情報に基づいて、認証要求の要求元の端末装置が不正であるか否かを判定するようにした。このため、ＭＡＣアドレスが偽装された場合のようにアドレスで判定できない不正アクセスを検出することができる。また、端末装置１が不正に移設された場合にも、不正に移設された端末装置１を不正端末と判定することができる。

以上の実施の形態に示した構成は、本発明の内容の一例を示すものであり、別の公知の技術と組み合わせることも可能であるし、本発明の要旨を逸脱しない範囲で、構成の一部を省略、変更することも可能である。

１，１−１〜１−１１ 端末装置、２，２−１，２−２ 集約装置、３ 中央処理システム、４ ＭＤＭＳ、５ ネットワーク、６ 認証サーバ、７ 鍵サーバ、１１，６１，７１ 通信部、１２，６２ 認証処理部、１３，６３ 暗号処理部、１４，７２ 制御部、１５，６６，７３ 記憶部、６４ 収集管理部、６５ 鍵取得部。

Claims (9)

1. マルチホップネットワークを構成する正当な端末装置の前記マルチホップネットワークにおける正当な接続位置を示すトポロジー情報を取得し、端末装置から受信したデータに基づいて前記データの送信元の端末装置のマルチホップネットワークにおける接続位置を求め、求めた接続位置と前記トポロジー情報とに基づいて不正アクセスを検出する検出処理を実施する認証処理部、
   を備えることを特徴とする中央処理装置。
2. 前記認証処理部は、前記正当な端末装置との間で共通に保持している認証鍵を用いた認証に連続して失敗した回数が閾値以上となった場合に、前記検出処理を実施することを特徴とする請求項１に記載の中央処理装置。
3. 前記トポロジー情報は、前記正当な端末装置ごとの、前記正当な端末装置のアドレスと前記中央処理装置との間の通信を中継する装置である中継装置の識別情報とを含み、
   前記認証処理部は、端末装置の認証を行うたびに該端末装置のアドレスと認証の時刻と認証結果とを第１の認証ログとして記録し、前記データから前記データの送信元の端末装置のアドレスである送信元アドレスを抽出し、前記トポロジー情報から、前記送信元アドレスに対応する前記中継装置の識別情報を抽出し、抽出した前記中継装置の識別情報に基づく通信経路で前記送信元アドレスに宛てて、端末装置において過去の認証結果を記録した情報である第２の認証ログの取得を要求し、前記第２の認証ログと前記第１の認証ログとが一致しない場合に不正アクセスと判定することを特徴とする請求項２に記載の中央処理装置。
4. 前記トポロジー情報は、前記正当な端末装置と前記中央処理装置との間の通信を中継する装置である中継装置の識別情報を含み、
   前記認証処理部は、前記データの送信元の端末装置のマルチホップネットワークにおける接続位置として前記データを中継した装置の識別情報を抽出し、抽出した識別情報と前記トポロジー情報に含まれる前記中継装置の識別情報とに基づいて前記不正アクセスを検出することを特徴とする請求項１または２に記載の中央処理装置。
5. 前記マルチホップネットワークは、前記正当な端末装置と前記正当な端末装置から送信されるデータを集約する集約装置とを含み、
   前記中継装置は前記集約装置であることを特徴とする請求項３に記載の中央処理装置。
6. 前記中継装置は複数であり、複数の前記中継装置は前記正当な端末装置から送信されるデータを集約する集約装置および１つ以上の前記正当な端末装置であることを特徴とする請求項３に記載の中央処理装置。
7. 前記トポロジー情報は、前記正当な端末装置ごとの、前記正当な端末装置のアドレスと前記中央処理装置との間の通信を中継する装置である中継装置の識別情報とを含み、
   前記認証処理部は、認証を要求する認証要求を受信すると、前記認証要求から前記認証要求を中継した装置の識別情報を抽出し、抽出した識別情報と前記トポロジー情報に含まれる前記中継装置の識別情報とが一致した場合に、前記正当な端末装置との間で共通に保持している認証鍵を用いた認証を実施し、前記抽出した識別情報と前記トポロジー情報に含まれる前記中継装置の識別情報とが一致しない場合に、不正アクセスと判定することを特徴とする請求項１に記載の中央処理装置。
8. マルチホップネットワークを構成するスマートメータと、
   前記マルチホップネットワークと接続可能であり、前記スマートメータにより計量された計量結果を収集する中央処理装置と、
   を備え、
   前記中央処理装置は、
   前記マルチホップネットワークにおける正当な前記スマートメータの接続位置を示すトポロジー情報を取得し、受信したデータに基づいて前記データの送信元の装置のマルチホップネットワークにおける接続位置を求め、求めた接続位置と前記トポロジー情報とに基づいて不正アクセスを検出する検出処理を実施する認証処理部、
   を備えることを特徴とする検針システム。
9. マルチホップネットワークに接続可能な中央処理装置における不正アクセス検出方法であって、
   前記中央処理装置が、前記マルチホップネットワークを構成する正当な端末装置の前記マルチホップネットワークにおける正当な接続位置を示すトポロジー情報を取得する取得ステップと、
   端末装置から受信したデータに基づいて前記データの送信元の端末装置のマルチホップネットワークにおける接続位置を求め、求めた接続位置と前記トポロジー情報とに基づいて不正アクセスを検出する検出ステップと、
   を含むことを特徴とする不正アクセス検出方法。

Images