JP2020198581A - 通信システムおよび端末装置 - Google Patents

Abstract

【課題】バッテリを動力源とするビーコン装置を用いて、共通鍵により暗号化された情報を授受する通信システムにおいて、セキュリティを向上させつつ、ビーコン装置の消費電力を抑制することである。【解決手段】管理装置は、新たに共通鍵を生成すると、受信装置に共通鍵を送信する。管理装置から共通鍵を取得した受信装置は、共通鍵を記憶する。ビーコン装置は、充電器に接続されると通信モードを第１モードから第２モードに切り替えて（Ｓ１１）、設定を変更したアドバタイズパケットを送信する（Ｓ１２）。アドバタイズパケットを受信した受信装置は、ビーコン装置に接続要求を送信し（Ｓ２２）、ビーコン装置との双方向通信を確立する（Ｓ１４，Ｓ２３）。そして、受信装置からビーコン装置に共通鍵が送信される。（Ｓ２５）。共通鍵を受信したビーコン装置は、共通鍵を更新し（Ｓ１６）、通信モードを第２モードから第１モードに切り替える（Ｓ１７）。【選択図】図８

Description

この発明は、通信システムおよび端末装置に関する。

特許文献１（国際公開第２０１７／１１０９６９号）には、サーバが生成した共通鍵を用いて暗号化した情報を送信するビーコン装置と、当該情報を受信して、サーバが生成した共通鍵を用いて情報を復号する受信装置とを含む通信システムが開示されている。この通信システムにおいては、セキュリティを担保するために、サーバが所定のタイミングで新たに共通鍵を生成して、通信システムで用いられる共通鍵を更新する。共通鍵の更新において、サーバは、受信装置に無線通信で共通鍵を送信する。また、サーバは、中継装置を介して、ビーコン装置に共通鍵を送信する。中継装置とビーコン装置との間には、ＷｉＦｉ（登録商標）接続が常時確立されており、中継装置は、サーバから取得した共通鍵をビーコン装置に送信する。

国際公開第２０１７／１１０９６９号

特許文献１に開示された通信システムにおいては、店舗や展示ブース等にビーコン装置を設置して、たとえば商用電源の電力を供給してビーコン装置を駆動させることが想定されている。一方で、近年においては、たとえばＢＬＥ（Bluetooth（登録商標） Low Energy）ビーコンに代表されるように、小型化されたビーコン装置（携帯型のビーコン装置）をユーザが携帯する利用方法が提案されてきている。携帯型のビーコン装置は、動力源としてバッテリを備える。携帯型のビーコン装置において、ビーコン装置（バッテリ）の連続駆動時間は重要な関心事である。

携帯型のビーコン装置を用いたシステムを構築する場合に、セキュリティ向上のために特許文献１に開示された通信システムを適用しようとすると、中継装置とビーコン装置との間においてＷｉＦｉ接続が常時確立されるため、消費電力が大きくなってしまう。そうすると、ビーコン装置の連続駆動時間が短くなってしまう可能性がある。

本発明は、上記課題を解決するためになされたものであり、その目的は、バッテリを動力源とするビーコン装置を用いて、共通鍵により暗号化された情報を授受する通信システムにおいて、セキュリティを向上させつつ、ビーコン装置の消費電力を抑制することである。

本発明に係る通信システムは、充電可能に構成されたバッテリを動力源とし、共通鍵を用いて暗号化した情報を送信する第１装置と、上記情報を受信し、共通鍵を用いて情報を復号する第２装置と、共通鍵を管理し、所定周期毎に共通鍵を生成する第３装置とを備える。第１装置は、情報を単方向通信する第１モードと、第２装置との間で双方向通信する第２モードとに通信モードを切り替え可能に構成される。第３装置は、新たに第１共通鍵を生成した場合に、第１共通鍵を第２装置に送信する。第１装置は、共通鍵を更新する場合に、通信モードを第１モードから第２モードに切り替えて、第２装置から第１共通鍵を取得して共通鍵を更新する。

本発明によれば、第１装置（ビーコン装置）は、情報を単方向通信する第１モードと、第２装置との間で双方向通信する第２モードとに通信モードを切り替え可能に構成される。双方向通信する第２モードが選択されている場合は、単方向通信する第１モードが選択されている場合よりも消費電力が大きい。ビーコン装置は、双方向通信が必要な共通鍵の更新時に限って、通信モードを第２モードにする。これによって、新たな共通鍵の取得を可能にしつつも、通信モードを常に第２モードにしておく場合に比べてビーコン装置の消費電力を抑制することができる。ゆえに、通信システムにおいて、所定周期毎に共通鍵を更新してセキュリティを向上させつつ、ビーコン装置の消費電力を抑制することができる。

実施の形態１に係る通信システムの全体構成を模式的に示す図である。 ビーコン装置の共通鍵の更新を説明するための図である。 実施の形態１に係るビーコン装置の構成を示すブロック図である。 実施の形態１に係る受信装置の構成を示すブロック図である。 実施の形態１に係る管理装置の構成を示すブロック図である。 更新管理表の一例を説明するための図である。 受信装置および管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 ビーコン装置、受信装置および管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 受信装置および管理装置で実行される、共通鍵の削除の手順を示すフローチャートである。 変形例１に係る受信装置および管理装置で実行される、共通鍵の削除の手順を示すフローチャートである。 変形例２に係るビーコン装置の共通鍵の更新を説明するための図である。 実施の形態２に係る通信システムの全体構成を模式的に示す図である。 実施の形態２に係る更新管理表の一例を説明するための図である。 実施の形態２に係る管理装置で実行される処理の手順を示すフローチャートである。 実施の形態３に係る通信システムの全体構成を模式的に示す図である。 対応リストの一例を説明するための図である。

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分には同一符号を付してその説明は原則的には繰り返さないものとする。

［実施の形態１］
＜通信システムの全体構成＞
図１は、実施の形態１に係る通信システム１の全体構成を模式的に示す図である。以下では、一例として、実施の形態１に係る通信システム１が船舶に適用される場合を例にして説明する。通信システム１は、船舶内における乗員の位置および乗員の状態を管理するためのシステムである。

通信システム１は、複数のビーコン装置１０（ビーコン装置１０−１，１０−２，…）と、複数の受信装置２０（受信装置２０−１，２０−２，…）と、管理装置３０と、通信ケーブル４０とを備える。受信装置２０−１，２０−２，…の各々は、管理装置３０と通信ケーブル４０を介して通信可能に接続されている。なお、ビーコン装置１０−１，１０−２，…の各々は、「第１装置」の一例に相当する。また、受信装置２０−１，２０−２，…の各々は、「第２装置」の一例に相当する。また、管理装置３０は、「第３装置」の一例に相当する。

ビーコン装置１０−１，１０−２，…は、乗員（船員）２−１，２−２，…にそれぞれ携帯される。以下では、ビーコン装置１０−１，１０−２，…を特に区別しない場合、ビーコン装置１０−１，１０−２，…の各々を「ビーコン装置１０」とも称する。また、乗員２−１，２−２，…を特に区別しない場合、乗員２−１，２−２，…の各々を「乗員２」とも称する。

ビーコン装置１０は、充電可能なバッテリを動力源とする携帯型のビーコン装置である。ビーコン装置１０は、Ｂｌｕｅｔｏｏｔｈ（登録商標） Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）規格におけるアドバタイズパケット（アドバタイジングパケットともいう）を電波６０によってブロードキャスト送信する。後述するように、ビーコン装置１０は、乗員２の生体情報を検知する生体センサを含み、生体センサによって検知された生体情報をアドバタイズパケットに付加する。また、アドバタイズパケットには、ビーコン装置１０を識別する装置ＩＤの情報が含まれる。

受信装置２０−１，２０−２，…は、たとえば、船舶内の壁等によって区切られた区画毎に設置されている。受信装置２０−１，２０−２，…には、個々を識別するための受信装置ＩＤがそれぞれ割り振られている。以下では、受信装置２０−１，２０−２，…を特に区別しない場合、受信装置２０−１，２０−２，…の各々を「受信装置２０」とも称する。

受信装置２０は、ビーコン装置１０から送信されるアドバタイズパケットを受信可能に構成される。受信装置２０は、アドバタイズパケットを受信すると、アドバタイズパケットの受信強度を示す受信強度情報と、受信時刻を示す受信時刻情報と、受信装置ＩＤの情報と、装置ＩＤの情報と、生体情報とを管理装置３０に送信する。

管理装置３０は、受信装置２０から受けた受信強度情報、受信時刻情報、受信装置ＩＤの情報、装置ＩＤの情報および生体情報に基づいて、乗員２を管理する。具体的には、管理装置３０は、装置ＩＤの情報から乗員２を特定する。管理装置３０は、受信強度情報、受信時刻情報および受信装置ＩＤの情報から、乗員２の位置を推定する。また、管理装置３０は、乗員２の生体情報から乗員２の状態を推定する。すなわち、管理装置３０は、乗員２の位置および乗員２の状態を管理する。

ここで、上述のように、ビーコン装置１０から送信されるアドバタイズパケットには、乗員２の生体情報、すなわち乗員２の個人情報が含まれる。そのため、仮にアドバタイズパケットが意図しない者に傍受されたとしても、生体情報の漏洩を防止することが望ましい。実施の形態１に係る通信システム１では、ビーコン装置１０は、セキュリティ対策のために共通鍵を用いて生体情報を暗号化する。そして、暗号化した生体情報をアドバタイズパケットに付加して送信する。これにより、アドバタイズパケットが意図しない者に傍受されたとしても、生体情報の漏洩を防止できる。

共通鍵は、管理装置３０によって生成される。管理装置３０によって生成された共通鍵は、ビーコン装置１０において生体情報の暗号化に用いられ、受信装置２０において暗号化された生体情報の復号に用いられる。具体的には、図１に示す例において、ビーコン装置１０は、生体センサによって検出された生体情報を、共通鍵５０を用いて暗号化して、アドバタイズパケットに付加する。アドバタイズパケットを受信した受信装置２０は、共通鍵５０を用いて生体情報を復号する。

ここで、意図しない者に共通鍵が漏洩することが起こり得る。このような場合においても、通信システム１のセキュリティを担保するために、実施の形態１に係る通信システム１では、共通鍵の更新を行なう。

具体的には、管理装置３０は、所定周期毎に新たに共通鍵（図１に示す例における共通鍵５１）を生成する。そして、管理装置３０は生成した共通鍵５１を通信ケーブル４０を介して受信装置２０に送信する。

受信装置２０は、管理装置３０から共通鍵５１を受信すると、共通鍵５１を記憶する。なお、詳細は後述するが、この場合において、受信装置２０は、管理装置３０から共通鍵５０を削除する指示を受けるまで、共通鍵５０および共通鍵５１の両方を保持する。管理装置３０から共通鍵５０を削除する指示を受けると、受信装置２０は、共通鍵５０を削除する。

ビーコン装置１０は、受信装置２０を介して新たな共通鍵５１を取得する。具体的には、実施の形態１に係るビーコン装置１０は、通信モードを単方向通信する第１モードと双方向通信する第２モードとに切り替え可能に構成される。ビーコン装置１０は、共通鍵を更新する場合に、通信モードを第２モードに切り替えて、受信装置との間で双方向通信し、電波６１（図２）によって受信装置２０から共通鍵５１を取得する。これによって、ビーコン装置１０の共通鍵が、共通鍵５０から共通鍵５１に更新される。通信システム１の共通鍵が更新されることによって、意図しない者に共通鍵が漏洩したとしても、セキュリティ上の問題を一時的なものとすることができる。

通信モードの切り替えが行なわれる上記の「共通鍵を更新する場合」とは、たとえば、ビーコン装置１０が充電器に接続された場合である。図２に示されるように、ビーコン装置１０は、充電器８０に接続された場合に、単方向通信と双方向通信とを切り替える。

バッテリを動力源とする携帯型のビーコン装置１０においては、ビーコン装置１０の連続駆動時間は重要な関心事である。双方向通信する第２モードが選択されている場合は、単方向通信する第１モードが選択されている場合よりも消費電力が大きい。そこで、実施の形態１に係るビーコン装置１０は、双方向通信が必要な共通鍵の更新時に限って、通信モードを第２モードにする。これによって、新たな共通鍵の取得を可能にしつつも、通信モードを常に第２モードにしておく場合に比べてビーコン装置１０の消費電力を抑制することができる。実施の形態１に係る通信システム１によれば、所定周期毎に共通鍵を更新してセキュリティを向上させつつ、ビーコン装置１０の消費電力を抑制することができる。

以下、通信システム１に含まれる、ビーコン装置１０、受信装置２０および管理装置３０の各構成について順に説明する。

＜ビーコン装置の構成＞
図３は、実施の形態１に係るビーコン装置１０の構成を示すブロック図である。図３を参照して、ビーコン装置１０は、ＣＰＵ（Central Processing Unit）１１と、記憶装置１２と、ＲＡＭ（Random Access Memory）１３と、通信装置１４と、生体センサ１５と、バッテリ１６とを含む。

記憶装置１２は、たとえばＲＯＭ（Read Only Memory）等の書き換え可能な不揮発性メモリを含む。記憶装置１２は、ハードディスクドライブおよびＳＳＤ（Solid State Drive）の少なくとも一方を含んでもよい。記憶装置１２は、ＣＰＵ１１で実行される各種プログラムを記憶する。ＣＰＵ１１により読み出された各種プログラムは、ＲＡＭ１３に展開される。ＲＡＭ１３は、ＣＰＵ１１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。また、記憶装置１２は、共通鍵を記憶する。

通信装置１４は、通信モードとして、単方向通信する第１モード、および双方向通信する第２モードを有する。通信装置１４は、ＣＰＵ１１からの指令に従って、第１モードおよび第２モードを切り替えるように構成される。

第１モードにおいて、通信装置１４は、ＣＰＵ１１からの指令に従って、アドバタイズパケットを設定された周期でブロードキャスト送信する。上記の周期は、ＢＬＥ規格で定められており、２０ｍｓ〜１０．２４ｓの範囲で０．６２５ｍｓの整数倍である。通信装置１４は、たとえば約１ｓごとにアドバタイズパケットを送信する。

アドバタイズパケットは、ビーコン装置１０を識別する装置ＩＤの情報、および、コネクション可否を示す情報を含む。コネクション可否を示す情報が「コネクション可」に設定されていると、当該アドバタイズパケットを受信した受信装置２０から接続要求が出力され、ビーコン装置１０と受信装置２０との間で双方向通信が確立される。一方、コネクション可否を示す情報が「コネクション否」に設定されていると、当該アドバタイズパケットを受信した受信装置２０から接続要求が出力されず、ビーコン装置１０と受信装置２０との間で双方向通信は確立されない。通信モードが第１モードである場合には、通信装置１４は、コネクション可否を示す情報を、コネクション否に設定する。

第２モードにおいて、通信装置１４は、第１モードと同様の上記の周期でアドバタイズパケットをブロードキャスト送信する。通信モードが第２モードである場合には、通信装置１４は、アドバタイズパケット中のコネクション可否を示す情報を、コネクション可に設定する。そして、受信装置２０から接続要求を受信した場合には、通信装置１４は、当該受信装置２０と双方向通信を確立する。双方向通信を確立した後には、通信装置１４は、アドバタイズパケットの送信を停止して、受信装置２０との間でデータの送受信を行なう。

ここで、ビーコン装置１０（ビーコン装置１０−１，１０−２，…）の各々と、受信装置２０（受信装置２０−１，２０−２，…）の各々とは、ＢＬＥ規格におけるペアリングを予め行なっておくことができる。予めペアリングを行なっておけば、ビーコン装置１０と受信装置２０との双方向通信が確立される際に、ペアリングが行なわれた際に生成されたリンクキーによる相互認証が行なわれる。そして、双方向通信において、リンクキーを用いた情報の暗号化および復号が行なわれる。これによって、双方向通信において、セキュアな通信を行なうことができる。

生体センサ１５は、ビーコン装置１０が装着された乗員２の生体情報（たとえば脈拍、心拍、体温など）を出力する。生体センサ１５は、たとえば脈拍、心拍、体温などの値を計測し、計測した値を生体情報として出力してもよいし、計測した値に基づいて乗員２の状態を評価し、評価結果を生体情報として出力してもよい。

生体情報は、ＣＰＵ１１によって、共通鍵を用いて暗号化されてアドバタイズパケットに付加される。アドバタイズパケットのフォーマットには、たとえば、Ｂｌｕｅｔｏｏｔｈ ＳＩＧ（Special Interest Group）が管理しているＢｌｕｅｔｏｏｔｈ（登録商標）仕様に基づくフォーマットを利用することができる。あるいは、Ａｐｐｌｅ（登録商標）社が公開している「ｉＢｅａｃｏｎ（登録商標）」、またはＧｏｏｇｌｅ（登録商標）社が公開している「Ｅｄｄｙｓｔｏｎｅ（登録商標）」等の汎用性の高いフォーマットを利用してもよい。なお、いずれのフォーマットが利用される場合においても、アドバタイズパケットに付加される情報は、生体情報に限られるものではなく、任意の情報を暗号化して格納することが可能である。

バッテリ１６は、動力源としてビーコン装置１０に搭載される。バッテリ１６は、たとえば、ニッケル水素電池、リチウムイオン電池等の二次電池である。バッテリ１６は、充電器８０から給電を受けて充電される。ＣＰＵ１１は、バッテリ１６の充電状態を監視し、たとえばバッテリ１６のＳＯＣ（State Of Charge）が所定ＳＯＣに達すると、充電器８０に指令を送信して、給電を停止させる。

ＣＰＵ１１は、記憶装置１２に格納された各種プログラムを実行することでビーコン装置の各種の処理を制御する。具体的な一例としては、各種プログラムを実行することによりＣＰＵ１１は、通信切替部１１１、暗号化部１１２、生成部１１３および更新部１１４として機能する。

通信切替部１１１は、通信装置１４を制御して、ビーコン装置１０が単方向通信するか、双方向通信するかを制御する。具体的には、通信切替部１１１は、ビーコン装置１０の共通鍵を更新する場合に、通信装置１４の通信モードを第１モードから第２モードに切り替える。すなわち、ビーコン装置１０の「共通鍵を更新する場合」を条件として、条件が成立した際に、通信モードが第１モードから第２モードに切り替えられる。実施の形態１に係る条件は、上述したとおり、ビーコン装置１０が充電器８０に接続されたことである。また、通信切替部１１１は、ビーコン装置１０の共通鍵の更新が完了すると、通信装置１４の通信モードを第２モードから第１モードに切り替える。なお、条件は上記に限られるものではなく、たとえば、更新間隔を予め定めておき、ビーコン装置１０の共通鍵が前回更新されてから、所定時間が経過したこと等であってもよい。条件は、通信システム１が適用される対象に応じて適切に設定することができる。

暗号化部１１２は、記憶装置１２に記憶された共通鍵を用いて、生体センサ１５から出力された生体情報を暗号化する。

生成部１１３は、ＢＬＥ規格におけるアドバタイズパケットを生成する。生成部１１３は、暗号化部１１２によって暗号化された生体情報をアドバタイズパケットに付加する処理を行なう。

更新部１１４は、通信装置１４を介して受信装置２０から共通鍵を受信すると、記憶装置１２に記憶されている共通鍵を更新する。具体的な一例として、受信装置２０から新たに共通鍵５１を受信すると、更新部１１４は、記憶されている共通鍵５０を共通鍵５１に更新する。この場合において、更新部１１４は、共通鍵５０を削除するとともに、共通鍵５１を記憶する。あるいは、更新部１１４は、共通鍵５０を共通鍵５１に上書きしてもよい。

＜受信装置の構成＞
図４は、実施の形態１に係る受信装置２０の構成を示すブロック図である。図４を参照して、受信装置２０は、ＣＰＵ２１と、記憶装置２２と、ＲＡＭ２３と、第１通信装置２４と、第２通信装置２５とを含む。

記憶装置２２は、たとえばＲＯＭ等の書き換え可能な不揮発性メモリを含む。記憶装置２２は、ハードディスクドライブおよびＳＳＤの少なくとも一方を含んでもよい。記憶装置２２は、ＣＰＵ２１で実行される各種プログラムを記憶する。ＣＰＵ２１により読み出された各種プログラムは、ＲＡＭ２３に展開される。ＲＡＭ２３は、ＣＰＵ２１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。

また、記憶装置２２は、管理装置３０から受信した共通鍵を記憶する。記憶装置２２は、管理装置３０から新たな共通鍵５１を受信した場合、管理装置３０から現行の共通鍵５０を削除する指示を受けるまで、共通鍵５０および共通鍵５１の両方を記憶する。新たな共通鍵５１を受信した場合にも、共通鍵５０を保持するのは、以下の理由による。

管理装置３０が新たに共通鍵５１を生成すると、まず受信装置２０に共通鍵５１が送られる。そして、その後に、ビーコン装置１０が充電器８０に接続されたタイミングで、受信装置２０からビーコン装置１０に共通鍵５１が送られて、ビーコン装置１０の共通鍵が共通鍵５０から共通鍵５１に更新される。つまり、受信装置２０が共通鍵５１を記憶してから、ビーコン装置１０の共通鍵が共通鍵５１に更新されるまでには時間差が生じ得る。そのため、管理装置３０から新たな共通鍵５１を受信したときに、受信装置２０が共通鍵５０を削除してしまうと、ビーコン装置１０の共通鍵の更新が完了するまでの間において、ビーコン装置１０から送信された生体情報（共通鍵５０で暗号化した生体情報）を受信装置２０で復号できなくなってしまう。そうすると、受信装置２０が共通鍵５１を記憶してから、ビーコン装置１０の共通鍵が共通鍵５１に更新されるまでの間における情報が欠落してしまう。そこで、受信装置２０が共通鍵５１を記憶してから、ビーコン装置１０の共通鍵が共通鍵５１に更新されるまでの間における情報の欠落を抑制するために、受信装置２０は、管理装置３０から共通鍵５０を削除する指令を受けるまでの間、共通鍵５０および共通鍵５１の両方を記憶する。

また、上述のように、ビーコン装置１０が充電器８０に接続されたタイミングでビーコン装置１０の共通鍵の更新が行なわれる。そのため、複数のビーコン装置１０の共通鍵の更新タイミングは、必ずしも一斉に行なわれるわけではない。つまり、複数のビーコン装置１０の共通鍵の更新タイミングは、個々で異なることが想定される。そのため、共通鍵５０を有するビーコン装置と、共通鍵５１を有するビーコン装置が混在する期間が生じ得る。受信装置２０は、管理装置３０から共通鍵５０を削除する指令を受けるまでの間、共通鍵５０および共通鍵５１の両方を記憶することで、共通鍵５０を有するビーコン装置の生体情報と、共通鍵５１を有するビーコン装置の生体情報との両方を復号することができる。

第１通信装置２４には、通信ケーブル４０（図１参照）が接続されている。第１通信装置２４は、通信ケーブル４０を介して、管理装置３０との間でデータの送受信を行なう。

第２通信装置２５は、ビーコン装置１０からアドバタイズパケットを受信する。第２通信装置２５は、受信したアドバタイズパケット中のコネクション可否を示す情報がコネクション可に設定されている場合、アドバタイズパケットに含まれる装置ＩＤから特定されるビーコン装置１０に対して、接続要求を送信する。

第２通信装置２５は、ビーコン装置１０との間で双方向通信が確立された後には、ビーコン装置１０との間でデータの送受信を行なう。具体的には、双方向通信が確立されると、第２通信装置２５は、ビーコン装置１０に対して、共通鍵のバージョン情報の送信を要求し、その応答としてビーコン装置１０から、ビーコン装置１０の保持する共通鍵のバージョン情報を受信する。ビーコン装置１０の共通鍵のバージョン情報は、ビーコン装置１０に対して、共通鍵を送信する必要があるか否かを判断するために用いられる。また、第２通信装置２５は、ビーコン装置１０に共通鍵を送信可能に構成される。

ＣＰＵ２１は、記憶装置２２に格納された各種プログラムを実行することで受信装置の各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ２１は、特定部２１１、復号部２１２、更新部２１３、照合部２１４および送信部２１５として機能する。

特定部２１１は、受信したアドバタイズパケットに含まれている装置ＩＤからビーコン装置１０を特定する。

復号部２１２は、受信したアドバタイズパケットに含まれている生体情報を、記憶装置２２に記憶されている共通鍵を用いて復号する。記憶装置２２に共通鍵５０および共通鍵５１の両方が記憶されている場合には、復号部２１２は、共通鍵５０を用いて生体情報を復号する処理と、共通鍵５１を用いて生体情報を復号する処理とを行なう。

なお、受信したアドバタイズパケットは共通鍵５０または共通鍵５１のいずれか一方で暗号化されている。そのため、共通鍵５０で復号した情報または共通鍵５１で復号した情報のいずれか一方の情報は正しく復号された情報ではない。そこで、復号部２１２は、正しく復号されていない情報を破棄する。正しく復号された情報であるか否かは、たとえば復号した情報に含まれるチェックサム等で判定することができる。

更新部２１３は、第１通信装置２４を介して管理装置３０から共通鍵を受信すると、記憶装置２２に共通鍵を記憶する。具体的な一例として、管理装置３０から新たに共通鍵５１を受信すると、更新部２１３は、共通鍵５０に加えて、最新の共通鍵として共通鍵５１を記憶装置２２に記憶する。更新部２１３は、管理装置３０から共通鍵５０を削除する指令を受けるまでの間、共通鍵５０および共通鍵５１の両方が記憶されるようにする。更新部２１３は、管理装置３０から共通鍵５０を削除する指令を受けると、記憶装置２２から共通鍵５０を削除する。

照合部２１４は、ビーコン装置１０との双方向通信が確立された際に、ビーコン装置１０の共通鍵のバージョンが最新であるか否かを照合する。具体的には、ビーコン装置１０との双方向通信が確立された際に、照合部２１４は、第２通信装置２５を介して取得した、ビーコン装置１０の共通鍵のバージョン情報を、記憶装置２２に記憶されている最新の共通鍵のバージョン情報と照合させる。

照合部２１４は、ビーコン装置１０の共通鍵のバージョンが記憶装置２２に記憶されている最新の共通鍵のバージョンと同じである場合には、ビーコン装置１０の共通鍵が最新であると判定する。一方、照合部２１４は、ビーコン装置１０の共通鍵のバージョンが記憶装置２２に記憶されている最新の共通鍵のバージョンと異なっている場合には、ビーコン装置１０の共通鍵が最新でなく、共通鍵の更新が必要であると判定する。

送信部２１５は、照合部２１４によってビーコン装置１０の共通鍵の更新が必要であると判定された場合に、第２通信装置２５を介して、ビーコン装置１０に共通鍵を送信する。

また、送信部２１５は、ビーコン装置１０に共通鍵を送信すると、ビーコン装置１０の共通鍵を更新したことを示す情報を、第１通信装置２４を介して、管理装置３０に送信する。ビーコン装置１０の共通鍵を更新したことを示す情報には、ビーコン装置１０の装置ＩＤの情報、および当該ビーコン装置１０に送信した共通鍵のバージョン情報が含まれる。なお、ビーコン装置１０は、受信装置２０から共通鍵を受信した場合に、共通鍵を更新すると、共通鍵を更新した旨の応答を受信装置２０に送信するように構成されてもよい。この場合には、送信部２１５は、当該応答に基づいて、ビーコン装置１０の共通鍵を更新したことを示す情報を管理装置３０に送信すればよい。

＜管理装置の構成＞
図５は、実施の形態１に係る管理装置３０の構成を示すブロック図である。図５を参照して、管理装置３０は、ＣＰＵ３１と、記憶装置３２と、ＲＡＭ３３と、ネットワーク通信装置３４と、通信インターフェース３５と、ディスプレイ３６とを含む。

記憶装置３２は、たとえばＲＯＭ等の書き換え可能な不揮発性メモリを含む。記憶装置３２は、ハードディスクドライブおよびＳＳＤの少なくとも一方を含んでもよい。記憶装置３２は、ＣＰＵ３１で実行される各種プログラムを記憶する。ＣＰＵ３１により読み出された各種プログラムは、ＲＡＭ３３に展開される。ＲＡＭ３３は、ＣＰＵ３１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。また、記憶装置３２は、受信装置２０の各々が設置されている位置情報を記憶する。

また、記憶装置３２は、ビーコン装置１０および受信装置２０の共通鍵の更新状況を示す管理情報を記憶する。管理情報の詳細については、後述する。

ネットワーク通信装置３４には、通信ケーブル４０（図１参照）が接続されている。ネットワーク通信装置３４は、通信ケーブル４０を介して、受信装置２０の各々との間でデータの送受信を行なう。

通信インターフェース３５は、たとえば、ＵＳＢ（Universal Serial Bus）ポートやＮＦＣ（Near Field Communication）リーダライタ等で構成される。たとえば、通信インターフェース３５がＵＳＢポートである場合には、ビーコン装置１０をＵＳＢポートに接続することによって、管理装置３０とビーコン装置１０との通信が可能となる。たとえば、通信インターフェース３５がＮＦＣリーダライタである場合には、ビーコン装置１０をＮＦＣリーダライタにかざすことにより、電磁誘導または電磁結合を用いて、ＮＦＣリーダライタとビーコン装置１０との間で通信が行なわれる。すなわち、管理装置３０とビーコン装置１０との通信が可能となる。通信インターフェース３５は、後述する救済処理を実行する場合に用いられる。

ディスプレイ３６は、たとえば、液晶ディスプレイである。ディスプレイ３６には、最新の共通鍵のバージョンや、ビーコン装置１０および受信装置２０の共通鍵の更新状況等の各種の情報が表示される。

ＣＰＵ３１は、記憶装置３２に格納された各種プログラムを実行することで管理装置の各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ３１は、乗員管理部３１１、鍵生成部３１２、送信部３１３および更新管理部３１４として機能する。

乗員管理部３１１は、受信装置２０から取得した装置ＩＤの情報から乗員を特定する。乗員管理部３１１は、受信装置２０から取得した受信強度情報、受信時刻情報、受信装置ＩＤの情報から乗員２の位置を推定する。また、乗員管理部３１１は、受信装置２０から取得した生体情報から乗員２の状態を推定する。

鍵生成部３１２は、更新周期毎に新たに共通鍵を生成する。更新周期は、通信システム１が適用される対象に応じて適宜設定することが可能である。実施の形態１における更新周期は、たとえば、１週間や１ヶ月等に設定される。また、更新周期は、ビーコン装置１０のバッテリの連続駆動時間を考慮して定められてもよい。たとえば、更新周期の間隔は、ビーコン装置１０の通信モードが第１モードである場合における仕様上の消費電力に基づいて、ビーコン装置１０が第１モードで連続使用された場合に、バッテリのＳＯＣが満充電（ＳＯＣ１００％）から閾ＳＯＣまで減少する時間よりも、長くなるように設定してもよい。

送信部３１３は、新たに共通鍵が生成された場合に、ネットワーク通信装置３４を介して、受信装置２０の各々に生成された共通鍵を送信する。共通鍵の送信には、たとえば、ＳＳＨ（Secure Shell）を用いたＳＦＴＰ（SSH File Transfer Protocol）通信、またはＳＣＰ（Secure Copy Protocol）通信が適用される。

更新管理部３１４は、ビーコン装置１０および受信装置２０の共通鍵の更新状況を管理する。更新管理部３１４は、ビーコン装置１０および受信装置２０の共通鍵の更新状況を管理情報として管理し、たとえば、当該管理情報を更新管理表としてディスプレイ３６に表示させる。図６は、更新管理表の一例を説明するための図である。

図６を参照して、更新管理表５には、ビーコン装置１０の装置ＩＤと、装置ＩＤに対応するビーコン装置１０に記憶された共通鍵のバージョン情報とが示されている。具体的には、ビーコン装置１０−１（装置ＩＤ：１０−１）は共通鍵５１を記憶しており、ビーコン装置１０−２（装置ＩＤ：１０−２）は、共通鍵５０を記憶していることが示されている。また、更新管理表５には、受信装置２０の受信装置ＩＤと、受信装置ＩＤに対応する受信装置２０に記憶された共通鍵のバージョン情報とが示されている。具体的には、受信装置２０−１（受信装置ＩＤ：２０−１）および受信装置２０−２（受信装置ＩＤ：２０−２）は、共通鍵として共通鍵５０，５１を記憶していることが示されている。

具体的な一例として、新たに生成された共通鍵５１が、送信部３１３によって受信装置２０の各々に送信されると、更新管理部３１４は、受信装置２０の管理情報を更新する。より具体的には、更新管理部３１４は、受信装置２０の各々が保持している共通鍵のバージョン情報を「共通鍵５０」から「共通鍵５０，５１」に更新する。なお、受信装置２０の各々は、管理装置３０から共通鍵５１を受信した場合において、共通鍵５１を記憶すると、共通鍵５１を記憶したことの応答を管理装置３０に送信するように構成されてもよい。この場合には、管理装置３０は、当該応答に基づいて、受信装置２０の各々の管理情報を更新してもよい。

また、更新管理部３１４は、受信装置２０からビーコン装置１０の共通鍵を更新したことを示す情報を受信すると、対象のビーコン装置１０の管理情報を更新する。

更新管理部３１４は、鍵生成部３１２が共通鍵５１を生成してから閾時間が経過した場合には、受信装置２０に対して共通鍵５０を削除する指示を送信する。当該指示を受けた受信装置２０は、共通鍵５０を削除する。共通鍵５０の削除に関する詳細については、後述する。なお、更新管理部３１４は、送信部３１３によって共通鍵５１が受信装置２０の各々に送信されてから閾時間が経過した場合に、受信装置２０に対して共通鍵５０を削除する指示を送信してもよい。

なお、管理装置３０は、共通鍵を管理する機能と、乗員の位置および状態を管理する機能とを有するものとして説明した。しかしながら、共通鍵を管理する機能と、乗員の位置および状態を管理する機能とは、別個の装置にもたせてもよい。すなわち、管理装置３０に代えて、共通鍵を管理する機能を有する装置と、乗員の位置および状態を管理する機能を有する装置とが通信システム１に含まれてもよい。

＜共通鍵の更新処理の手順＞
＜＜受信装置への共通鍵の送信＞＞
図７は、受信装置２０および管理装置３０で実行される共通鍵の更新の手順を示すフローチャートである。まず、管理装置３０は、所定周期が到来したか否かを判定する（ステップ１、以下ステップを「Ｓ」と略す）。具体的には、管理装置３０は、前回、共通鍵を更新してから予め設定された設定時間が経過したか否かを判定する。所定周期が到来していない場合（Ｓ１においてＮＯ）、管理装置３０は、処理をＳ１に戻す。

所定周期が到来した場合（Ｓ１においてＹＥＳ）、管理装置３０は、共通鍵を生成する（Ｓ２）。具体的な一例としては、所定周期が到来した場合、管理装置３０は、新たに共通鍵５１を生成する。そして、管理装置３０は、共通鍵５１を最新の共通鍵として管理する。

次いで、管理装置３０は、生成した共通鍵５１を受信装置２０に送信する（Ｓ３）。生成した共通鍵５１を送信すると、管理装置３０は、共通鍵の管理情報を更新する（Ｓ４）。具体的には、受信装置２０に記憶されている共通鍵の情報を、共通鍵５０から共通鍵５０，５１に更新する。

共通鍵５１を受信すると、受信装置２０は、共通鍵５１を新たに記憶する（Ｓ９）。具体的には、受信装置２０は、受信した共通鍵５１を最新の共通鍵として記憶する。また、受信装置２０は、現行の共通鍵である共通鍵５０も保持する。

なお、受信装置２０は、共通鍵５１を記憶した場合に、共通鍵５１を記憶したことの応答を管理装置３０に送信するようにしてもよい。この場合には、管理装置３０は、受信装置２０から受けた応答に基づいて、Ｓ４の処理を実行する。

＜＜ビーコン装置の共通鍵の更新＞＞
図８は、ビーコン装置１０、受信装置２０および管理装置３０で実行される共通鍵の更新の手順を示すフローチャートである。当該フローチャートは、ビーコン装置１０が充電器８０に接続された場合に開始される。

充電器８０に接続されると、ビーコン装置１０は、通信モードを第１モードから第２モードに切り替える（Ｓ１１）。具体的には、ビーコン装置１０は、通信モードを第２モードに切り替えて、アドバタイズパケット中のコネクション可否を示す情報を、コネクション可に変更する。そして、ビーコン装置１０は、コネクション可否を示す情報を変更したアドバタイズパケットを送信する（Ｓ１２）。

受信装置２０は、アドバタイズパケットを受信したか否かを判定する（Ｓ２０）。受信装置２０は、アドバタイズパケットを受信すると（Ｓ２０においてＹＥＳ）、アドバタイズパケット中のコネクション可否を示す情報がコネクション可に設定されているか否かを判定する（Ｓ２１）。受信装置２０は、コネクション可否を示す情報がコネクション否に設定されている場合（Ｓ２１においてＮＯ）、当該処理を終了させる。なお、この場合には、図示はしないが、受信装置２０は、アドバタイズパケットに含まれている生体情報を復号する処理を開始する。

受信装置２０は、コネクション可否を示す情報がコネクション可に設定されている場合（Ｓ２１においてＹＥＳ）、アドバタイズパケットに含まれる端末ＩＤの情報に基づいて、ビーコン装置１０を特定する。そして、受信装置２０は、特定したビーコン装置１０に接続要求を送信する（Ｓ２２）。

ビーコン装置１０は、接続要求を受信すると（Ｓ１３においてＹＥＳ）、受信装置２０との接続を確立させる（Ｓ１４，Ｓ２３）。すなわち、ビーコン装置１０と受信装置２０との双方向通信が確立される。

ビーコン装置１０と受信装置２０との双方向通信が確立されると、ビーコン装置１０の共通鍵のバージョンの確認が行なわれる（Ｓ１５，Ｓ２４）。具体的には、受信装置２０は、ビーコン装置１０から共通鍵のバージョン情報を取得し、取得したバージョン情報と、自身の記憶装置２２に記憶されている最新の共通鍵のバージョン情報とを照合する（Ｓ２５）。

受信装置２０は、ビーコン装置１０の共通鍵のバージョン情報と、自身の記憶装置２２に記憶されている共通鍵のバージョン情報とが一致しない場合には（Ｓ２５においてＮＯ）、記憶装置２２に記憶されている最新の共通鍵をビーコン装置１０に送信する（Ｓ２６）。ビーコン装置１０の共通鍵のバージョン情報と、自身の記憶装置２２に記憶されている共通鍵のバージョン情報とが一致する場合には（Ｓ２５においてＹＥＳ）、受信装置２０は、Ｓ２６およびＳ２７の処理をスキップする。

受信装置２０から共通鍵を受信すると、ビーコン装置１０は、共通鍵を更新する。たとえば、受信装置２０から共通鍵５１を受信すると、ビーコン装置１０は、記憶装置１２に記憶されている共通鍵５０を削除するとともに、共通鍵５１を記憶する。

ビーコン装置１０は、共通鍵を更新すると、通信モードを第１モードに切り替えて、再びアドバタイズパケットをブロードキャスト送信する（Ｓ１７）。なお、以降においてビーコン装置１０は、共通鍵５１を用いて暗号化した生体情報をアドバタイズパケットに付加する。

ビーコン装置１０に共通鍵を送信すると、受信装置２０は、ビーコン装置１０の共通鍵を更新したことを示す情報を管理装置３０に送信する（Ｓ２７）。上記情報には、ビーコン装置１０の装置ＩＤの情報および共通鍵のバージョン情報が含まれる。なお、ビーコン装置１０は、共通鍵を更新すると、共通鍵を更新した旨の応答を受信装置２０に送信するように構成されてもよい。この場合には、受信装置２０は、当該応答に基づいて、ビーコン装置１０の共通鍵を更新したことを示す情報を管理装置３０に送信すればよい。

管理装置３０は、受信装置２０からビーコン装置１０の共通鍵を更新したことを示す情報を取得すると、取得した情報に基づいて、管理情報を更新する（Ｓ３１）。管理装置３０は、たとえば、更新した管理情報を、ディスプレイ３６に更新管理表５として表示させる。

なお、受信装置２０は、ビーコン装置１０に対して接続要求を送信する前に、ビーコン装置１０に共通鍵のバージョン情報を要求するスキャン要求を送信するようにしてもよい。スキャン要求が送信されると、ビーコン装置１０は、共通鍵のバージョンをスキャン応答として受信装置２０に送信する。仮に、この時点で、ビーコン装置１０の共通鍵のバージョンが最新であれば、ビーコン装置１０の共通鍵を更新する必要がないため、双方向通信を確立させない。スキャン要求を送信することによって、双方向通信を確立する前に、ビーコン装置１０の共通鍵のバージョンを確認し、共通鍵の更新が不要である場合には、双方向通信を確立しないようにすることができる。これにより、ビーコン装置１０および受信装置２０の消費をさらに抑制することができる。また、双方向通信を確立する前に、受信装置２０が管理装置３０に対して、ビーコン装置１０の共通鍵のバージョン情報を問い合わせてもよい。この場合において、管理装置３０から通知されたビーコン装置１０の共通鍵のバージョン情報が最新である場合には、受信装置２０は、ビーコン装置１０の共通鍵の更新が不要であると判断して双方向通信を確立しないようにすることができる。これによっても、ビーコン装置１０および受信装置２０の消費をさらに抑制することができる。

＜＜共通鍵の削除＞＞
図９は、受信装置２０および管理装置３０で実行される、共通鍵の削除の手順を示すフローチャートである。図９では、管理装置３０が新たに共通鍵５１を生成してから、閾時間が経過した場合に、現行の共通鍵５０が削除される例について説明する。

管理装置３０は、共通鍵５１を生成してから閾時間が経過したか否かを判定する（Ｓ４１）。閾時間は、たとえば、数日程度に設定される。実施の形態１においては、ビーコン装置１０が充電器８０に接続される毎に、ビーコン装置１０の共通鍵を更新するための処理が実行される。たとえば、ビーコン装置１０は、乗員２の勤務時間終了後や休憩時等に充電されることが想定される。上記場合には、乗員２に携帯されているビーコン装置１０の共通鍵は、管理装置３０が共通鍵５１を生成してから数日程度で、共通鍵５１に更新されることが想定される。上記に基づいて、閾時間が数日程度に設定される。なお、閾時間は、数日程度に限定されるものではなく、通信システム１が適用される対象に応じて、適宜設定することができる。

管理装置３０は、共通鍵５１を生成してから閾時間が経過していない場合（Ｓ４１においてＮＯ）、処理をＳ４１に戻す。管理装置３０は、共通鍵５１を生成してから閾時間が経過した場合（Ｓ４１においてＹＥＳ）、現行の共通鍵５０を削除する指令を、受信装置２０に送信する（Ｓ４３）。

受信装置２０は、管理装置３０から共通鍵５０を削除する指令を受信すると、共通鍵５０を削除する（Ｓ５１）。Ｓ５１以降では、受信装置２０は、アドバタイズパケットを受信すると、アドバタイズパケットに含まれている生体情報を、共通鍵５１を用いて復号する。

以降において、通信システム１では、次に新たな共通鍵が生成されるまでの間、共通鍵５１のみが用いられることとなる。上記のようにして、通信システム１の共通鍵が、共通鍵５０から共通鍵５１に更新される。

＜救済処理＞
ビーコン装置１０の中には、何らかの原因によって閾時間内に共通鍵が更新されない場合も想定され得る。また、たとえば故障時の代替品として船内にストックされているビーコン装置１０も存在し得る。ストックされているビーコン装置１０は、電源が切られて保管されていることが大半であるため、共通鍵の更新が行なわれない。以下においては、閾時間内に共通鍵の更新ができなかったビーコン装置１０、およびストックされているビーコン装置１０を「特定ビーコン装置」とも称する。

特定ビーコン装置を使用したい場合には、共通鍵を、最新の共通鍵に更新する必要がある。そこで、管理装置３０が備える通信インターフェース３５が用いられる。通信インターフェース３５は、本発明に係る「通信手段」の一例に相当する。たとえば、通信インターフェース３５がＵＳＢポートである場合には、特定ビーコン装置をＵＳＢポートに接続することによって、管理装置３０と特定ビーコン装置との通信が可能となる。そして、たとえば、管理装置３０の管理者（図示せず）の操作によって、管理装置３０から特定ビーコン装置に共通鍵が送信される。これによって、特定ビーコン装置の共通鍵が更新される。

また、通信インターフェース３５がＮＦＣリーダライタである場合には、たとえば、管理者あるいは乗員２が特定ビーコン装置をＮＦＣリーダライタにかざすことにより、電磁誘導または電磁結合を用いて、ＮＦＣリーダライタと特定ビーコン装置との間で通信が行なわれる。すなわち、管理装置３０と特定ビーコン装置との通信が可能となる。そして、ＮＦＣリーダライタから特定ビーコン装置に共通鍵が送信される。これによって、特定ビーコン装置の共通鍵が更新される。

上記のようにして、特定ビーコン装置の共通鍵を通信システム１で使用されている最新の共通鍵に更新することによって、通信システム１において、特定ビーコン装置を使用できる状態にすることができる。

＜利点＞
以上のように、実施の形態１に係る通信システム１においては、管理装置３０が新たに共通鍵を生成すると、管理装置３０から受信装置２０の各々に新たな共通鍵が送信される。管理装置３０から新たな共通鍵を取得した受信装置２０は、新たな共通鍵を記憶する。そして、ビーコン装置１０が充電器８０に接続されると、ビーコン装置１０は、通信モードを第１モードから第２モードに切り替える。すなわち、充電器８０に接続されると、ビーコン装置１０は、通信モードを単方向通信から双方向通信に切り替える。これにより、ビーコン装置１０と受信装置２０との間で双方向通信が行なわれ、受信装置２０からビーコン装置１０に新たな共通鍵が送信される。これにより、ビーコン装置１０の共通鍵が新たな共通鍵に更新される。共通鍵の更新が完了すると、ビーコン装置１０は、通信モードを第２モードから第１モードに切り替えて、アドバタイズパケットをブロードキャスト送信する。換言すれば、ビーコン装置１０は、共通鍵を更新する場合に限り、通信モードを第１モードから第２モードに切り替える。

双方向通信する第２モードが選択されている場合は、単方向通信する第１モードが選択されている場合よりも消費電力が大きい。ビーコン装置１０は、双方向通信が必要な共通鍵の更新時に限って、通信モードを第２モードにする。これによって、新たな共通鍵の取得を可能にしつつも、通信モードを常に第２モードにしておく場合に比べてビーコン装置１０の消費電力を抑制することができる。実施の形態１に係る通信システム１によれば、所定周期毎に共通鍵を更新してセキュリティを向上させつつ、ビーコン装置１０の消費電力を抑制することができる。

また、ビーコン装置１０と受信装置２０とは、予めペアリングがされている。これによって、ビーコン装置１０と受信装置２０との双方向通信において、セキュアな通信を行なうことができる。ゆえに、受信装置２０からビーコン装置１０に共通鍵が送信される際のセキュリティを高めることができる。

また、実施の形態１に係る通信システム１において、受信装置２０は、新たに生成した共通鍵５１を管理装置３０から受信した場合に、最新の共通鍵を共通鍵５１に更新するとともに、管理装置３０から現行の共通鍵５０を削除する指令を受けるまでの間、共通鍵５０および共通鍵５１の両方を保持する。これによって、受信装置２０が共通鍵５１を記憶してから、ビーコン装置１０の共通鍵が共通鍵５１に更新されるまでの間においても、受信装置２０は、ビーコン装置１０から送信されるアドバタイズパケットに含まれる生体情報を共通鍵５０を用いて復号することができる。すなわち、受信装置２０が共通鍵５１を記憶してから、ビーコン装置１０の共通鍵が共通鍵５１に更新されるまでの間における情報の欠落を抑制することができる。

また、実施の形態１に係る通信システム１においては、所定周期毎に管理装置３０によって新たな共通鍵が生成される。管理装置３０が新たに共通鍵５１を生成してから、閾時間が経過した場合に、現行の共通鍵５０が削除される。以降においては、通信システム１において共通鍵５０が使用できなくなり、通信システム１の共通鍵５０が共通鍵５１に更新される。このように、通信システム１の共通鍵が更新されることによって、仮に意図しない者に共通鍵が漏洩したとしても、セキュリティ上の問題を一時的なものとすることができ、通信システム１のセキュリティを担保することができる。

また、実施の形態１に係る通信システム１においては、管理装置３０は、特定ビーコン装置に対して救済処理を実行するための通信インターフェース３５を備える。通信インターフェース３５を介して、通信システム１における最新の共通鍵が特定ビーコン装置に送信されることによって、特定ビーコン装置の共通鍵を最新の共通鍵に更新することができる。これによって、通信システム１において、特定ビーコン装置を使用できる状態にすることができる。

なお、実施の形態１では、受信装置２０が共通鍵を用いて、アドバタイズパケットに含まれる生体情報を復号するものとした。しかしながら、管理装置３０がアドバタイズパケットに含まれる生体情報を復号するものとしてもよい。この場合には、ビーコン装置１０からアドバタイズパケットを受信すると、受信装置２０は、当該受信したアドバタイズパケット、受信強度情報、受信時刻情報および受信装置ＩＤの情報を管理装置３０に送信する。アドバタイズパケットを受信した管理装置３０は、アドバタイズパケットに含まれる暗号化された生体情報を共通鍵を用いて復号する。このように構成されても、乗員２の位置および乗員２の状態を管理装置３０が適切に管理することができる。

また、実施の形態１では、通信システム１において、ビーコン装置１０と受信装置２０との間の通信には、ＢＬＥ規格に従う通信プロトコルが用いられる例について説明したが、ＢＬＥ規格に従う通信プロトコルに代えて、他の通信プロトコルが用いられてもよい。

［変形例１］
実施の形態１においては、管理装置３０が新たに共通鍵５１を生成してから閾時間が経過した場合に、受信装置２０が保持している現行の共通鍵５０が削除される例について説明した。変形例１においては、受信装置２０が保持している現行の共通鍵５０は、乗員２が携帯しているすべてのビーコン装置１０（ビーコン装置１０−１，１０−２，…）の共通鍵が更新された場合に削除される例について説明する。なお、上記でいう「すべてのビーコン装置１０」とは、乗員２によって使用されているビーコン装置を意味し、上述のストックされているようなビーコン装置は除かれる。

図１０は、変形例１に係る受信装置２０および管理装置３０で実行される、共通鍵の削除の手順を示すフローチャートである。

管理装置３０は、すべてのビーコン装置１０の共通鍵の更新が完了したか否かを判定する（Ｓ６１）。具体的には、管理装置３０は、管理情報に基づいて、すべてのビーコン装置１０の共通鍵が共通鍵５１に更新できているか否かを判定する。すべてのビーコン装置１０の共通鍵の更新が完了していない場合（Ｓ６１においてＮＯ）、管理装置３０は、処理をＳ６１に戻す。

すべてのビーコン装置１０の共通鍵の更新が完了した場合（Ｓ６１においてＹＥＳ）、管理装置３０は、現行の共通鍵５０を削除する指令を、受信装置２０に送信する（Ｓ６３）。

受信装置２０は、管理装置３０から共通鍵５０を削除する指令を受信すると、共通鍵５０を削除する（Ｓ７１）。共通鍵５０を削除するのは、すべてのビーコン装置１０の共通鍵が共通鍵５１に更新されたため、共通鍵５０は不要であるためである。

以上のように、変形例１においては、乗員２が携帯しているすべてのビーコン装置１０の共通鍵が更新された場合に、受信装置２０が保持している現行の共通鍵５０が削除される。変形例１では、すべてのビーコン装置１０の共通鍵が共通鍵５１に更新された場合に、受信装置２０が保持している共通鍵５０が削除されるため、ビーコン装置１０の共通鍵の更新の漏れを抑制することができる。また、仮に意図しない者に共通鍵５０が漏洩したとしても、すべてのビーコン装置１０の共通鍵の更新が完了すると、通信システム１において共通鍵５０が使用できなくなる。すなわち、実施の形態１と同様に、通信システム１のセキュリティを担保することができる。

［変形例２］
実施の形態１および変形例１においては、ビーコン装置１０は、受信装置２０から共通鍵を取得する例について説明した。変形例２においては、ビーコン装置１０は、充電器から共通鍵を取得する例について説明する。

図１１は、変形例２に係るビーコン装置１０の共通鍵の更新を説明するための図である。図１１を参照して、充電器８１は、通信ケーブル４０に接続されている。すなわち、充電器８１は、通信ケーブル４０を介して、管理装置３０との通信が可能に構成されている。

管理装置３０は、新たに共通鍵５１を生成した場合、生成した共通鍵５１を、通信ケーブル４０を介して、受信装置２０および充電器８１に送信する。

充電器８１は、通信インターフェース８２を含む。通信インターフェース８２は、たとえば、ＵＳＢポートやＮＦＣリーダライタ等で構成される。たとえば、通信インターフェース８２がＵＳＢポートである場合には、ビーコン装置１０をＵＳＢポートに接続することによって、ビーコン装置１０の充電が開始されるとともに、ビーコン装置１０と充電器８１との通信が可能となる。ビーコン装置１０と充電器８１との通信が可能となると、充電器８１は、ビーコン装置１０から装置ＩＤの情報を取得する。そして、充電器８１は、ビーコン装置１０に共通鍵５１を送信する。これによって、ビーコン装置１０は、共通鍵を共通鍵５０から共通鍵５１に更新することができる。

また、たとえば、通信インターフェース８２がＮＦＣリーダライタである場合には、ビーコン装置１０をＮＦＣリーダライタに接触させることにより、ビーコン装置１０から充電器８１に装置ＩＤの情報が送信されるとともに、充電器８１からビーコン装置１０に共通鍵５１が送信される。たとえば、充電器８１は、充電端子とＮＦＣリーダライタとが近接するように構成される。ビーコン装置１０を充電端子に接続すると、ビーコン装置１０がＮＦＣリーダライタに近接あるいは接触する。つまり、ビーコン装置１０が充電されるとともに、ビーコン装置１０の共通鍵の更新が行なわれる。充電器８１が非接触式の充電器である場合には、ビーコン装置１０を充電器８１に載置した際に、ビーコン装置１０とＮＦＣリーダライタとが近接あるいは接触するように、ＮＦＣリーダライタが配置されればよい。

充電器８１は、ビーコン装置１０に共通鍵５１を送信すると、ビーコン装置１０の装置ＩＤの情報および共通鍵５１のバージョン情報を含めた更新情報を管理装置３０に送信する。

充電器８１から更新情報を取得した管理装置３０は、ビーコン装置１０および受信装置２０の共通鍵の管理情報を更新する。

以上のように、ビーコン装置１０が充電器８１を介して共通鍵を取得することによっても、所定周期毎に共通鍵を更新してセキュリティを担保しつつ、ビーコン装置１０の消費電力を抑制することができる。

［実施の形態２］
実施の形態１においては、管理装置３０が新たに共通鍵５１を生成してから閾時間が経過すると、受信装置２０が保持する現行の共通鍵５０が削除された。つまり、管理装置３０が新たに共通鍵を生成してから閾時間が経過するまでに共通鍵を更新できなかったビーコン装置１０は、通信システム１において使用ができなくなった。実施の形態２においては、管理装置３０が新たに共通鍵５１を生成してから閾時間が経過するまでの間に、未だ共通鍵の更新が完了していないビーコン装置１０を携帯している乗員２、および管理装置３０の管理者に対して、通知をする例について説明する。

図１２は、実施の形態２に係る通信システム１Ａの全体構成を模式的に示す図である。通信システム１Ａは、実施の形態１に係る通信システム１に対して、複数の携帯端末９０（携帯端末９０−１，９０−２，…）、および管理者用携帯端末９５をさらに含む点で相違する。

複数の携帯端末９０（携帯端末９０−１，９０−２，…）および管理者用携帯端末９５は、たとえば、携帯電話、スマートフォンおよびタブレット等である。管理者用携帯端末９５は、管理装置３０に対応付けられている。

複数の携帯端末９０（携帯端末９０−１，９０−２，…）は、複数のビーコン装置１０（ビーコン装置１０−１，１０−２，…）とそれぞれ対応付けられている。以下では、携帯端末９０−１，９０−２，…を特に区別しない場合、携帯端末９０−１，９０−２，…の各々を「携帯端末９０」とも称する。

管理装置３０は、共通鍵５１を生成してから第１時間（＜閾時間）が経過すると、この時点で共通鍵の更新が完了していないビーコン装置１０を保持している乗員２に対して、通知をする。具体的には、管理装置３０は、ビーコン装置１０に対応付けられた携帯端末９０に警告を送信する。送信される警告は、たとえば、電子メールであってもよいし、携帯端末９０にポップアップ表示されるメッセージであってもよいし、携帯端末９０に警告音を鳴らすための指令であってもよい。

第１時間は、閾時間よりも短い時間である。第１時間は、通信システム１Ａが適用される対象に応じて、閾時間よりも短い範囲内で適切に設定することができる。

複数の携帯端末９０（携帯端末９０−１，９０−２，…）と、複数のビーコン装置１０（ビーコン装置１０−１，１０−２，…）との対応付けは、管理情報として管理装置３０に管理されている。管理情報は、たとえば、管理装置３０のディスプレイ３６に更新管理表として表示される。

図１３は、実施の形態２に係る更新管理表６の一例を説明するための図である。図６に示される更新管理表６では、ビーコン装置１０の共通鍵の管理情報が管理装置３０のディスプレイ３６に表示される一例が示されており、受信装置２０の共通鍵の管理情報は割愛されている。

図１３を参照して、更新管理表６には、乗員ＩＤと、ビーコン装置１０の装置ＩＤと、装置ＩＤに対応する共通鍵のバージョン情報と、装置ＩＤに対応付けられた携帯端末のＩＤとが示されている。具体的には、乗員２−１（乗員ＩＤ：２−１）は、ビーコン装置１０−１（装置ＩＤ：１０−１）および携帯端末９０−１（携帯端末ＩＤ：９０−１）を携帯しており、ビーコン装置１０−１の共通鍵のバージョンは、共通鍵５１であることが示されている。また、乗員２−２（乗員ＩＤ：２−２）は、ビーコン装置１０−２（装置ＩＤ：１０−２）および携帯端末９０−２（携帯端末ＩＤ：９０−２）を携帯しており、ビーコン装置１０−２の共通鍵のバージョンは、共通鍵５０であることが示されている。つまり、ビーコン装置１０−２の共通鍵の更新が未だ完了されていない。

図１３の例においては、携帯端末９０−２に対して、管理装置３０から警告が送信される。これによって、乗員２−２は、ビーコン装置１０−２の共通鍵の更新をする必要があることを認識することができる。すなわち、ビーコン装置１０−２の更新忘れを防止することが可能となる。

さらに、管理装置３０は、共通鍵５１を生成してから第２時間（第１時間＜第２時間＜閾時間）が経過した場合に、この時点で共通鍵の更新が完了していないビーコン装置１０が存在するときには、管理者に対して、通知をする。具体的には、管理装置３０は、管理者用携帯端末９５に警告を送信する。警告は、電子メールであってもよいし、管理者用携帯端末９５にポップアップ表示されるメッセージであってもよいし、管理者用携帯端末９５に警告音を鳴らすための指令であってもよい。

第２時間は、第１時間よりも長く、かつ、閾時間よりも短い時間である。第２時間は、通信システム１Ａが適用される対象に応じて、第１時間よりも長く、かつ、閾時間よりも短い範囲内で適切に設定することができる。

警告を受けた管理者は、管理装置３０によって共通鍵５１が生成されてから第２時間を経過しても未だ共通鍵の更新が完了していないビーコン装置１０があることを認識することができる。これにより、管理者は、未だ共通鍵の更新が完了していないビーコン装置１０、あるいは、当該ビーコン装置１０を携帯している乗員２に、何らかの異常が発生しているかもしれないことを予見することができる。

また、管理装置３０は、新たに共通鍵５１を生成して、当該共通鍵５１を受信装置２０に送信した場合に、携帯端末９０および管理者用携帯端末９５に通知をしてもよい。これによって、乗員２および管理者は、新たな共通鍵が生成されたことを認識することができる。これは、ビーコン装置１０の共通鍵の更新忘れの予防となる。

なお、第１時間および第２時間は、管理装置３０が共通鍵を生成してから計時されたものとしたが、計時を開始するタイミングが、たとえば、生成された共通鍵が管理装置３０から受信装置２０に送信されたタイミングであってもよいし、受信装置２０から共通鍵を記憶したことの応答があったタイミングであってもよい。

＜管理装置で実行される処理＞
図１４は、実施の形態２に係る管理装置３０で実行される処理の手順を示すフローチャートである。

管理装置３０は、新たに共通鍵を生成すると、計時を開始する（Ｓ８１）。管理装置３０は、計時を開始してから第１時間が経過するのを待つ（Ｓ８２においてＮＯ）。計時を開始してから第１時間が経過すると（Ｓ８２においてＹＥＳ）、管理装置３０は、この時点で共通鍵の更新が完了していないビーコン装置１０があるか否かを判定する（Ｓ８３）。Ｓ８３の判定は、管理情報に基づいて行なわれる。

すべてのビーコン装置１０の共通鍵の更新が完了している場合（Ｓ８３においてＮＯ）、管理装置３０は、以降の処理をスキップして、処理を終了させる。共通鍵の更新が完了していないビーコン装置１０がある場合（Ｓ８３においてＹＥＳ）、管理装置３０は、当該ビーコン装置１０に対応付けられた携帯端末９０に通知をする（Ｓ８４）。

次いで、管理装置３０は、計時を開始してから第２時間が経過するのを待つ（Ｓ８５においてＮＯ）。計時を開始してから第２時間が経過すると（Ｓ８５においてＹＥＳ）、管理装置３０は、この時点で共通鍵の更新が完了していないビーコン装置１０があるか否かを判定する（Ｓ８６）。Ｓ８６の判定は、管理情報に基づいて行なわれる。

すべてのビーコン装置１０の共通鍵の更新が完了している場合（Ｓ８６においてＮＯ）、管理装置３０は、以降の処理をスキップして、処理を終了させる。共通鍵の更新が完了していないビーコン装置１０がある場合（Ｓ８６においてＹＥＳ）、管理装置３０は、管理者用携帯端末９５に通知をする（Ｓ８７）。

［変形例３］
携帯端末９０は、対応付けられたビーコン装置１０からアドバタイズパケットを受信可能に構成されてもよい。そして、ビーコン装置１０は、バッテリ１６のＳＯＣが閾ＳＯＣを下回った場合に、バッテリ１６のＳＯＣが閾ＳＯＣを下回ったことを示す警告情報をアドバタイズパケットに含めて、アドバタイズパケットを送信してもよい。

携帯端末９０は、当該アドバタイズパケットをビーコン装置１０から受信すると、充電が必要であることを報知する。報知の態様は、たとえば、携帯端末９０のディスプレイ（図示せず）にメッセージを表示させてもよいし、警告音を発してもよいし、音声による報知であってもよい。これによって、乗員２は、ビーコン装置１０を充電することが必要であることを認識することができる。ゆえに、ビーコン装置１０のバッテリ切れを抑制し、かつ、ビーコン装置１０の共通鍵の更新忘れを予防することができる。

また、上記アドバタイズパケットを受信した受信装置２０も、ビーコン装置１０の充電が必要であることを認識することが可能である。この場合、受信装置２０は、当該ビーコン装置１０の装置ＩＤの情報、および充電が必要である情報を管理装置３０に送信する。そして、管理装置３０から当該ビーコン装置１０に対応付けられた携帯端末９０に、メッセージを送信してもよい。これによっても、乗員２は、ビーコン装置１０を充電することが必要であることを認識することができる。ゆえに、ビーコン装置１０のバッテリ切れを抑制し、かつ、ビーコン装置１０の共通鍵の更新忘れを予防することができる。

［実施の形態３］
実施の形態１および実施の形態２においては、通信システム１，１Ａに含まれるすべてのビーコン装置１０（ビーコン装置１０−１，１０−２，…）で同じ共通鍵が用いられる例について説明した。実施の形態３においては、ビーコン装置１０の各々において、異なる共通鍵が用いられる例について説明する。

図１５は、実施の形態３に係る通信システム１Ｂの全体構成を模式的に示す図である。通信システム１Ｂは、実施の形態１に係る通信システム１に対して、管理装置３０がビーコン装置１０と、ビーコン装置１０に用いられる共通鍵との対応リストを管理している点で相違する。また、通信システム１Ｂは、実施の形態１に係る通信システム１に対して、受信装置２０の各々が、すべてのビーコン装置１０において用いられる共通鍵５０−１，５０−２，…を記憶している点で相違する。

図１６は、対応リストの一例を説明するための図である。対応リストには、ビーコン装置１０の装置ＩＤと、共通鍵のバージョン情報とが示されている。図１６を参照して、ビーコン装置１０−１（装置ＩＤ：１０−１）には、現行の共通鍵として共通鍵５０−１が記憶されている。また、ビーコン装置１０−２（装置ＩＤ：１０−２）には、現行の共通鍵として共通鍵５０−２が記憶されている。

対応リストは、ビーコン装置１０の共通鍵の更新に合わせて、管理装置３０によって更新される。管理装置３０は、対応リストを更新する毎に、受信装置２０に対応リストの情報を送信する。

受信装置２０は、対応リストの情報を受信すると、記憶装置２２に記憶させる。受信装置２０は、ビーコン装置１０がブロードキャスト送信しているアドバタイズパケットを受信すると、アドバタイズパケットに含まれる装置ＩＤを読み出す。そして、受信装置２０は、読み出した装置ＩＤを対応リストに照合させる。これによって、受信装置２０は、アドバタイズパケットに含まれる生体情報を復号するための共通鍵を認識する。そして、受信装置２０は、認識した共通鍵を用いて、生体情報を復号する。

管理装置３０は、更新周期が到来すると新たに共通鍵５１−１，５１−２，…を生成する。共通鍵５１−１，５１−２，…は、それぞれビーコン装置１０−１，１０−２，…に対応付けられている。具体的には、たとえば、共通鍵５１−１は、ビーコン装置１０−１に用いられ、共通鍵５１−２は、ビーコン装置１０−２に用いられる。たとえば、共通鍵５１−１，５１−２，…は、ビーコン装置１０−１，１０−２，…の装置ＩＤにそれぞれ紐付けられている。管理装置３０は、生成した共通鍵５１−１，５１−２，…を受信装置２０に送信する。受信装置２０の各々は、すべてのビーコン装置１０に対応する共通鍵５１−１，５１−２，…を受信する。

受信装置２０は、管理装置３０から取得した共通鍵５１−１，５１−２，…を記憶装置２２に記憶する。この時点において、受信装置２０は、共通鍵５０−１，５０−２，…および共通鍵５１−１，５１−２，…を保持している。

たとえば、ビーコン装置１０−１が充電器８０（図２参照）に接続されて、ビーコン装置１０−１と受信装置２０との双方向通信が確立されると、受信装置２０は、双方向通信が確立されたビーコン装置１０−１の装置ＩＤに紐付けられた共通鍵５１−１をビーコン装置１０−１に送信する。

ビーコン装置１０−１は、共通鍵を共通鍵５０−１から共通鍵５１−１に更新し、以降においては、生体情報の暗号化に共通鍵５１−１を用いる。

受信装置２０は、ビーコン装置１０−１に共通鍵５１−１を送信すると、管理装置３０にビーコン装置１０−１の共通鍵を共通鍵５１−１に更新したことを示す情報を送信する。

管理装置３０は、上記情報を受けると、管理情報を更新するとともに、対応リストを更新する。そして、管理装置３０は、対応リストを受信装置２０の各々に送信する。

なお、上記では、管理装置３０は、すべてのビーコン装置１０−１，１０−２，…に用いられる共通鍵を同一のタイミングで生成した。しかしながら、管理装置３０は、ビーコン装置１０−１，１０−２，…に用いられる共通鍵の各々を、異なるタイミングで生成してもよい。

以上のように、実施の形態３に係る通信システム１Ｂにおいては、ビーコン装置１０−１，１０−２，…の各々において、異なる共通鍵が用いられる。この場合においても、ビーコン装置１０は、共通鍵を更新する場合に限り双方向通信を確立するため、通信システム１のセキュリティを向上させつつも、ビーコン装置の消費電力を抑制することができる。

今回開示された実施の形態がすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１Ａ，１Ｂ 通信システム、２ 乗員、５，６ 更新管理表、１０ ビーコン装置、１１ ＣＰＵ、１２ 記憶装置、１３ ＲＡＭ、１４ 通信装置、１５ 生体センサ、１６ バッテリ、２０ 受信装置、２１ ＣＰＵ、２２ 記憶装置、２３ ＲＡＭ、２４ 第１通信装置、２５ 第２通信装置、３０ 管理装置、３１ ＣＰＵ、３２ 記憶装置、３３ ＲＡＭ、３４ ネットワーク通信装置、３５ 通信インターフェース、３６ ディスプレイ、４０ 通信ケーブル、５０，５１ 共通鍵、６０，６１ 電波、８０，８１ 充電器、８２ 通信インターフェース、９０ 携帯端末、９５ 管理者用携帯端末、１１１ 通信切替部、１１２ 暗号化部、１１３ 生成部、１１４ 更新部、２１１ 特定部、２１２ 復号部、２１３ 更新部、２１４ 照合部、２１５ 送信部、３１１ 乗員管理部、３１２ 鍵生成部、３１３ 送信部、３１４ 更新管理部。

Claims (10)

1. 充電可能に構成されたバッテリを動力源とし、共通鍵を用いて暗号化した情報を送信する第１装置と、
   前記情報を受信し、前記共通鍵を用いて前記情報を復号する第２装置と、
   前記共通鍵を管理し、所定周期毎に前記共通鍵を生成する第３装置とを備え、
   前記第１装置は、前記情報を単方向通信する第１モードと、前記第２装置との間で双方向通信する第２モードとに通信モードを切り替え可能に構成され、
   前記第３装置は、新たに第１共通鍵を生成した場合に、前記第１共通鍵を前記第２装置に送信し、
   前記第１装置は、共通鍵を更新する場合に、前記通信モードを前記第１モードから前記第２モードに切り替えて、前記第２装置から前記第１共通鍵を取得して共通鍵を更新する、通信システム。
2. 前記第１装置は、前記バッテリを充電可能に構成された充電器に接続された場合に、前記通信モードを前記第１モードから前記第２モードに切り替える、請求項１に記載の通信システム。
3. 前記第１装置は、共通鍵を前回更新してから、所定時間経過した場合に、前記通信モードを前記第１モードから前記第２モードに切り替える、請求項１に記載の通信システム。
4. 前記第２装置は、
   前記第３装置から前記第１共通鍵を受信した場合、前記第１共通鍵および現行の共通鍵である第２共通鍵の両方を保持し、
   前記情報を受信した場合、前記第１共通鍵を用いた前記情報の復号と、前記第２共通鍵を用いた前記情報の復号とを実行する、請求項１から請求項３のいずれか１項に記載の通信システム。
5. 前記第２装置は、前記第３装置から前記第２共通鍵を削除する指令を受信すると、前記第２共通鍵を削除する、請求項４に記載の通信システム。
6. 前記第３装置は、ユーザの操作に応じて前記第１装置と双方向通信を可能にするための通信手段を含み、
   前記ユーザの操作に応じて前記第３装置と前記第１装置との双方向通信が可能となった場合に、前記第３装置は、前記第１装置に前記第１共通鍵を送信する、請求項１から請求項５のいずれか１項に記載の通信システム。
7. 前記第１装置に対応付けられた第１携帯端末をさらに備え、
   前記第３装置は、前記第１共通鍵を前記第２装置に送信した場合に、前記第１携帯端末に通知をする、請求項１から請求項６のいずれか１項に記載の通信システム。
8. 前記第１装置に対応付けられた第１携帯端末をさらに備え、
   前記第３装置は、前記第１共通鍵を生成してから第１時間が経過し、かつ、前記第１装置の共通鍵が前記第１共通鍵に更新されていない場合は、前記第１携帯端末に通知をする、請求項１から請求項６のいずれか１項に記載の通信システム。
9. 前記第１装置に対応付けられた第１携帯端末をさらに備え、
   前記第１装置は、前記バッテリの蓄電量が閾蓄電量未満になった場合に、前記バッテリの蓄電量が前記閾蓄電量未満になったことを示す警告情報を送信するように構成され、
   前記第１携帯端末は、前記警告情報を受信可能に構成される、請求項１から請求項６のいずれか１項に記載の通信システム。
10. 受信装置と通信するように構成された端末装置であって、
    動力源としてのバッテリと、
    共通鍵を用いて情報を暗号化する制御装置と、
    前記暗号化した情報を単方向通信する第１モードと、前記受信装置との間で双方向通信する第２モードとを切り替え可能に構成された通信装置とを備え、
    前記制御装置は、前記共通鍵を更新する場合に、前記通信装置を前記第１モードから前記第２モードに切り替える、端末装置。
    

Images