JP2022137171A - 通信システム、それに用いる通信装置、管理装置及び情報端末 - Google Patents

Abstract

【課題】情報端末がグローバルネットワークを介してデータのやり取りを行うにあたり、導入の手間が軽減され、端末やグループの拡張性に優れ、高いセキュリティを確保可能な通信システムを提供する。【解決手段】通信システムは、同一グループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行い、複数の情報端末間で機密性の高い相互通信を行うためにグループ内の各情報端末に接続される通信装置を備える。通信装置は、ユーザ認証情報が記憶されると共に、機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが、ユーザがアクセスできない状態で予め記憶された記憶部を有し、グローバルネットワークを介した情報端末間でのデータのやり取りを行う際、情報端末との間は、ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、機器認証リストを参照した機器間認証処理を実行する。【選択図】図１４

Description

この発明は、一の情報端末と他の情報端末とがグローバルネットワークを介してデータ
のやり取りを行う通信システム、それに用いる通信装置、管理装置及び情報端末に関する。

一の情報端末と他の情報端末とがグローバルネットワークを介してデータのやり取りを行うことができれば、非常に便利であるが、この際には、どのようにセキュリティを確保するかが重要になる。

その１つの手法として、ルータとして機能する２つの通信装置同士をＶＰＮ（Virtual Private Network）接続し、一方の通信装置が接続された一のプライベートネットワークに配置された情報端末と、他方の通信装置が接続された他のプライベートネットワークに配置された情報端末とを、疑似的にＬＡＮ接続させるものが公知になっている。

このＶＰＮ接続は、トンネリング及び暗号化によって、高いセキュリティを確保できる一方で、初期設定や運用上の各種設定には非常に手間が掛かる。

このような問題の改善を試みたものとして、情報を一元化するサーバを用いる手段や、構造化オーバレイを用いる手段を備えたものが開発され公知になっている（例えば、特許文献１を参照）。

特開２０１１－４５０５０号公報

上記文献では、システム導入時における通信装置の設定の手間はある程度軽減されるが、設定作業自体が必要なことに変わりはなく、また、この通信システムを導入するために通常のルータをＶＰＮ接続可能な専用の通信装置に交換した場合、該通信装置の内側に存在する情報端末側のネットワーク構成を変更する必要がある場合が多く、導入の手間を軽減するという問題は依然として改善されていない。

本発明は、一の情報端末と他の情報端末とがグローバルネットワークを介してデータのやり取りを行うにあたり、導入の手間が軽減され、端末やグループの拡張性に優れ、高いセキュリティを確保可能な通信システム、それに用いる通信装置、管理装置及び情報端末を提供することを課題とする。

上記課題を解決するため、本発明の通信システムは、同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムであって、前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置を備え、前記通信装置は、接続される前記情報端末を介してユーザの認証を行うためのユーザ認証情報が記憶されると共に、各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが、前記ユーザがアクセスできない状態で予め記憶された記憶部を有し、前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記情報端末との間は、前記ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、前記機器認証リストを参照した機器間認証処理を実行することを特徴とすることを特徴とする。

一実施形態に係る通信システムによれば、前記グローバルネットワークに接続されて前記複数の通信装置間での機器間認証処理の少なくとも一部を実行する管理装置を備え、前記機器認証リストは、前記通信装置及び前記管理装置の認証に必要な機器認証情報を同一グループの全通信装置及び全管理装置についてリスト化したもので、前記通信装置及び前記管理装置は、前記機器認証リストが、その少なくとも一部について前記ユーザがアクセスできない状態で予め記憶された記憶部を有する。

前記機器認証リストは、例えば、前記グループ内の既登録の各通信装置の機器ＩＤ及びパスワードを含む機器認証情報と、前記グループ内の未登録の通信装置のために予め確保しておく仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、前記管理装置又は前記通信装置は、例えば、前記グループ内に新たなユーザを登録する際に、前記仮のユーザの機器ＩＤ及びパスワードを有効にし、前記有効となったユーザの機器ＩＤを全ての前記通信装置に通知するようにしても良い。

前記機器認証リストは、例えば、未登録のグループのために予め確保しておく仮のグループ名と、この仮のグループ名に含まれる仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、前記管理装置又は前記通信装置は、例えば、新たなグループを登録する際に、前記仮のグループ名を真のグループ名に書き換えると共に、前記真のグループ名の少なくとも一部の仮のユーザの機器ＩＤ及びパスワードを有効にし、前記書き換えられた真のグループ名と前記有効となったユーザの機器ＩＤを前記新たなグループの有効となったユーザの前記通信装置に通知するものとしてもよい。

前記通信装置の記憶部には、例えば、前記通信装置間での暗号化通信を行うための暗号鍵又はこの暗号鍵を生成するためのトリガー情報のうちの少なくとも一部が、前記ユーザがアクセスできない状態で記憶されるようにしても良い。また、前記管理装置の記憶部には、例えば、前記通信装置間及び前記通信装置と前記管理装置との間での暗号化通信を行うための暗号鍵又はこの暗号鍵を生成するためのトリガー情報のうちの少なくとも一部が、前記ユーザがアクセスできない状態で記憶されたものとしてもよい。

なお、前記情報端末は、例えば、ユーザが操作するパソコン、スマートフォン及びタブレット端末、並びにＩｏＴ（Internet of Things）機器、Ｍ２Ｍ（Machine to Machine）機器、カメラ、ロボット、遠隔操作機器、自動車、ＡＩ（Artificial Intelligence）機器等の各種データを受発信する機器を含む。

前記通信装置は、例えば、前記情報端末からのアクセス要求に対して、前記記憶部に記憶されているユーザ認証情報に基づいて、アクセスを許可するか否かの決定を行うユーザ認証部と、前記記憶部に記憶されている機器認証リストに基づいて、他の前記通信装置との間で機器間認証処理を実行する機器間認証部と、前記ユーザ認証部によってアクセスが許可された情報端末に対して情報の入出力を行う入出力部と、前記機器間認証部によって認証された他の前記通信装置との間でデータの送受信を行うデータ送受信部とを有するものとしてもよい。

本発明に係る通信装置は、同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムにおいて、前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置であって、接続される前記情報端末を介してユーザの認証を行うためのユーザ認証情報が記憶されると共に、各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが、その少なくとも一部について前記ユーザがアクセスできない状態で予め記憶された記憶部を有し、前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記情報端末
との間は、前記ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、前記機器認証リストを参照した機器間認証処理を実行することを特徴とする。

また、本発明に係る管理装置は、同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムにおいて、前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置間の機器間認証処理の少なくとも一部を実行する管理装置であって、各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが予め記憶された記憶部を有し、前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記通信装置間で、前記機器認証リストを参照した機器間認証処理を実行する。

前記通信装置は、記憶部に随時記憶される通信履歴を解析する履歴解析部と、該履歴解析部によって解析された該通信装置の日常の稼動状態に基づいて不正アクセス又は不正作業を判定する異常判定部とを備えたものとしてもよい。

前記通信装置は、位置センサを有し、前記位置センサから取得される位置情報を参照して本来使用されるべき位置にあるか、位置にないことを判断するようにしても良い。

前記入出力部は、該情報端末に対して、郵送物又は伝票を模したデータ入力画面をユーザインターフェースとして提供するものとしてもよい。

前記通信装置又は管理装置は、やり取りするデータ中にＩｏＴ機器又はＭ２Ｍ機器から取得された情報を含むようにしても良い。

前記通信装置又は管理装置は、他の通信装置又は管理装置から取得されたデータに基づいて機械学習をし、最適解を提供するＡＩ機能を有するものでも良い。

前記通信装置は、情報が予め記憶され且つ着脱可能な接続機器を備えたものとしてもよい。また、前記通信装置は、前記情報端末に装着されたＩＣカード又はＳＩＭでも良いし、携帯端末の内部に組み込まれる通信回路及び通信ソフトでも良い。

本発明によれば、グローバルネットワークを介した情報端末間でのデータのやり取りを行う際、通信装置と情報端末との間は、ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、機器認証リストを参照した機器間認証処理を実行することができる。これにより、ユーザの設定は、自己のユーザ認証情報の登録のみであり、他は通信装置間で予め設定（記憶）された機器認証リストに基づいて認証処理が行われる。このため、ユーザは導入の手間が軽減される。また、機器認証リストは、少なくともその一部が各通信装置の記憶部にユーザがアクセスできない状態で予め設定（記憶）されているため、情報端末の間でのデータのやり取りを行うための通信セキュリティの確保も容易である。

本発明を適用した通信システムの概要を説明する説明図である。 通信装置の構成を説明する説明図である。 ユーザ認証情報格納部のデータ構造を示す図である。 機器認証情報格納部のデータ構造を示す図である。 機器認証情報格納部のデータ構造を示す図である。 機器認証情報格納部のデータ構造を示す図である。 機器認証情報格納部のデータ構造を示す図である。 暗号鍵情報格納部のデータ構造を示す図である。 対象データ格納部のデータ構造を示す図である。 暗号化部及び復号部の構成を概念的に示す概念図である。 暗号鍵提供部の構成を概念的に示す概念図である。 パスワード提供部の構成を概念的に示す概念図である。 管理装置の構成を説明する説明図である。 本通信システムによって機器間認証をする際の処理手順を示すフロー図である。 本通信システムによってデータをやり取りする際の処理手順を示すフロー図である。 ＧＵＩの一種であるグループトップ画面の構成を説明する説明図である。 ＧＵＩの一種である送信画面の構成を説明する説明図である。 対象データ表示画面の構成を説明する説明図である。 他の実施形態に係る通信システムでの対象データのやり取りの処理手順を示すフロー図である。 本発明の他の実施形態に係る通信システムの概要を説明する説明図である。 本発明の他の実施形態に係るグループ構成の概要を説明する説明図である。 本発明の別実施形態に係る通信装置の構成を説明する説明図である。 本発明の別実施形態に係る通信システムの概要を説明する説明図である。

図１は、本発明を適用した通信システム（以下、「本通信システム」という。）の概要を説明する説明図である。図示する通信システムは、ＴＣＰ／ＩＰ等の汎用通信プロトコルをサポートしたグローバルネットワークである外部ネットワーク１を介して接続された２以上（図示する例では２つ）の通信装置２，２と、各通信装置２と外部ネットワーク１を介して接続された管理装置３とを備えている。

通信装置２は、ルータ４を介して、外部ネットワーク１側と通信を行うとともに、該ルータ４の内側に構築された、ＴＣＰ／ＩＰ等の汎用通信プロトコルをサポートしたプライベートネットワークである内部ネットワーク６を介して、一又は複数の情報端末７と通信可能である。ここで外部ネットワーク１と内部ネットワーク６の間に接続された機器から見て「内側」とは、内部ネットワーク６側を指し、「外側」とは、外部ネットワーク１側を指す。通信装置２の詳細な構成については後述する。

この実施形態の通信システムでは、通信装置２間で相互の認証を行うための機器認証リストが、通信装置２に少なくとも一部についてユーザが直接介入出来ない状態で設定され、この機器認証リストとユーザが個別に設定するユーザ認証情報とによる多要素認証での特定グループ通信を行うことにより、特定グループ間通信のセキュリティを向上させている。ここで、機器認証リスト及びユーザ認証情報には、認証を行うためのＩＤ、パスワード(ハッシュ化されたものも含む)を含む。また、通信装置２及び管理装置３には、各種データを秘匿化して送信するための暗号鍵（共通鍵、公開鍵、秘密鍵）、又はこれらを生成するためのトリガー情報が記憶されている。

また、この実施形態の通信システムでは、通信における変更に柔軟に対応するため、通信装置２及び管理装置３には、出荷時に、将来のユーザの追加を想定して未登録のユーザや未登録のグループも予め含めた設定を行っている。変更時には、グループ管理責任者が、システム管理者に電子書面で申請を行うだけで、グループ管理責任者が変更のためのツールを使って変更する。また、機器認証情報は、機器認証に必要なパスワード等、高い秘匿性が要求される情報と全ユーザが閲覧可能なユーザの氏名、愛称など秘匿性があまり高くない情報とに分けて管理を行うことで、情報の安全を保っている。通信装置２を持つユ
ーザは、誰でも独自のグループのグループ管理責任者として専用グループを構築することができる。また、あるグループのユーザは、別のグループのユーザとしてシステム管理者に電子書面でユーザ登録又はグループ登録を申請し登録することもできる。

なお、ここで言う「通信」には無線通信と有線通信の両方が含まれる。

また、ここで言う「通信システム」とは、ネットワーク（本例では、外部ネットワーク１及び内部ネットワーク６）と、該ネットワークを介して通信する全ての通信機器（本例では、通信装置２、管理装置３及び情報端末７）とを含む概念である。

また、「秘匿領域」とは、秘匿すべきパスワード、暗号鍵又はそれらを生成するためのトリガー情報等の秘匿情報を、ユーザが外部からアクセスできない状態で記憶することができる記憶領域であり、例えばＣＰＵのメモリ領域におけるトラストゾーン（商標）等に相当する。トラストゾーンでは、ＣＰＵの動作モードをノーマル領域とセキュア領域とに分けている。セキュア領域では、セキュアＯＳが動作し、この上でアプリケーションが動作し、秘匿情報は監視モード下にあるセキュア領域に配置される。

即ち、「秘匿領域」では、ＣＰＵ内に物理的にメモリ空間が分かれた領域を作り出し、汎用ＯＳが動作する空間と隔離して、セキュア領域側では専用ＯＳが動作し、システムのバックエンドでセキュアな情報管理を行う。セキュア領域側から通常の汎用ＯＳの動作は見えるが、汎用ＯＳ側からはセキュア領域を認識できない仕組みにより、外部からの攻撃や、意図的にセキュアな仕組みを解除して別の仕掛けを施そうとする行為を防ぐことが可能になる。

また、「情報端末」とは、ユーザが操作するパソコン、スマートフォン及びタブレット端末、並びにＩｏＴ機器、Ｍ２Ｍ機器、カメラ、ロボット、遠隔操作機器、自動車、ＡＩ機器等の各種データを受発信する機器を含み、例えばWindows（商標）、Mac OS（商標）、Linux（商標）などのＯＳによって可動されるＰＣ、通信端末、携帯電話端末をいう。「ユーザ」には、本通信システムを利用している、或いは利用しようとしている全ての者が含まれる。情報端末のＯＳは、同時に複数使用しても良いし、切り替えて使用してもよい。

また、「通信装置」とは、端末装置とネットワークとの間に配置され、端末装置同士を、ネットワークを介して接続する接続装置であって、一又は複数のユーザが、本通信システムのサービスを提供する事業者や該事業者から委託された者から購入するか、或いは借りて利用するものであり、例えば、通信機能を有するＡＴ互換機、専用の通信機器、ＰＣ、スマートフォン、ＩｏＴ機器及びタブレット端末の秘匿エリアに組み込まれるＥＰＲＯＭや、これらに装着されるＩＣカード及びＳＩＭ（Subscriber Identity Module）、並びに前述の通信機能を有する機器を組み合わせた複合機を含む。

また、「通信装置」は、スマートフォン等の携帯端末の内部に組み込まれた通信回路及び通信ソフト又はＳＩＭに組み込まれた通信回路及び通信ソフトでも良い。この場合には、例えば管理装置の有無に拘わらず、携帯端末又はＳＩＭのＣＰＵ内のメモリ領域における秘匿領域に、パスワードや暗号鍵等の秘匿情報を記憶させ、本発明による通信処理を実行する。これにより、携帯端末と専用のソフトウェアだけで機密性の高い機器間通信を実現することが出来る。

また、「管理装置」とは、必要に応じてネットワークに接続されて、通信装置同士のデータの送受信データの少なくとも一部を仲介する。「管理装置」は、本通信システムのサービスを提供する者が提供するものであり、例えば、通信機能を有するＡＴ互換機、専用
の通信機器、ＰＣ、スマートフォン、及びタブレット端末の秘匿エリアに組み込まれるＥＰＲＯＭや、これらに装着されるＩＣカード及びＳＩＭを含む。「管理装置」は、本通信システムのサービスを提供する者が回線トラフィック量に応じて複数設置したり、特定のグループ用に設けたり、或いは国内と海外の国々に複数設置してもよい。

情報端末７は、上記汎用通信プロトコルをサポートし且つプライベートＩＰが付与されるネットワークインターフェース（図示しない）を備えている。この情報端末７は、内部ネットワーク６を介して通信装置２と通信可能である他、内部ネットワーク６、通信装置２及びルータ４を介して、外部ネットワーク１側との通信を行うことが可能である。言い換えると、情報端末７は、外部ネットワーク１側との通信を行う場合には、必ず通信装置２を経由するか、又は参照される。

ルータ４は、上記汎用通信プロトコルをサポートし且つ静的なプライベートＩＰが付与されて内部ネットワーク６側に接続される内向きネットワークインターフェース（図示しない）と、上記汎用通信プロトコルをサポートし且つ静的又は動的なグローバルＩＰが付与されて外部ネットワーク１に接続される内向き外向きネットワークインターフェース（図示しない）とを備えている。ルータ４に対して該内部ネットワーク６側に配置された通信装置２及び情報端末７は、このルータ４のＩＰマスカレートによって、外部ネットワーク１側との相互通信が可能になる。

管理装置３も、通信装置２と同様、ルータ８を介して、外部ネットワーク１に接続される。ルータ８の構成は、ルータ４と同一又は略同一である。この管理装置３の詳細な構成も後述する。

本通信システムでは、一の内部ネットワーク６に配置された情報端末７と、他の内部ネットワーク６に配置された情報端末７との間で、外部ネットワーク１を介して、データ（対象データ）のやり取りを行うためのものである。

具体的には、一の情報端末７である送信側情報端末７Ａ（図１５参照）が、外部ネットワーク１を介して、他の情報端末７である受信側情報端末７Ｂ（図１５参照）に対象データを送る。この際の通信システムの処理手順（工程）を簡単に説明すると、まず、送信側情報端末７Ａが、該送信側情報端末７Ａが配置された内部ネットワーク６を介して、該内部ネットワーク６側の通信装置２である送信側通信装置２Ａ（図１５参照）に、対象データを渡す。送信側通信装置２Ａは、対象データを、外部ネットワーク１を介して、受信側情報端末７Ｂが配置された内部ネットワーク６側の通信装置２である受信側通信装置２Ｂ（図１５参照）に送信する。受信側通信装置２Ｂは、受信した対象データを、該受信側通信装置２Ｂが直結された前記内部ネットワーク６に配置された上記受信側情報端末７Ｂに配信する。

このような処理手順によれば、上記２つの通信装置２Ａ，２Ｂの間のセキュリティを確保しておくことにより、対象データのやり取りの安全性を確保することが可能になり、情報端末７Ａ，７Ｂと通信装置２Ａ，２Ｂとのデータのやり取りを、スムーズに実行可能なものとすれば、全体の利便性も十分に確保できる。

ちなみに、図１に示された各通信装置２は、送信側通信装置２Ａとして機能させることも可能であるとともに、受信側通信装置２Ｂとして機能させることも可能である。このため、同図に示された各情報端末７は、送信側情報端末７Ａにもなるし、受信側情報端末７Ｂにもなる。

なお、２つの通信装置２，２が外部ネットワーク１を介して相互通信を行う場合、両者
間の通信経路を複数設け、一の通信経路に障害が生じた場合でも、他の通信経路によって上記相互通信が可能になるようにしてもよい。例えば、図１に示す例では、仮想線で示すように、１つの通信装置２に対して、ルータ４を複数設けることにより、通信経路を複数形成させる。

また、図１に示す例では、通信装置２とは別にルータ４を設けているが、このルータ４を省略し、通信装置２自体にルータの機能を持たせてもよい。これは管理装置３とルータ８との関係でも同様であり、ルータ８は省略可能である。

次に、図２乃至図１２に基づき、通信装置２の構成を詳述する。
図２は、通信装置２の構成を説明する説明図である。通信装置２は、ＣＰＵ内のメモリ領域における秘匿領域、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read-Only Memory）、ＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等から構成されて各種情報を一時的又は恒久的に記憶する記憶部２１と、ＣＰＵ、ＲＡＭ及びＳＳＤ等から構成されて各種プログラムを実行する制御部２２と、内部ネットワーク６に接続される内向きネットワークインターフェース（通信手段）２３と、外部ネットワーク１側（具体的にはルータ４）に接続される外向きネットワークインターフェース（通信手段）２４と、該通信装置２の位置情報を取得する位置取得手段であるＧＰＳセンサ（状態検出センサ，位置取得センサ）２５と、該通信装置２への荷重を検出する荷重検出手段である加速度センサ（状態検出センサ）２６と、該通信装置２の姿勢を検出する姿勢検出手段であるジャイロセンサ（状態検出センサ）２７とを備えている。

上記内向きネットワークインターフェース２３は、内部ネットワーク６用のプライベートＩＰを付与される。
ルータ４が存在する場合、通信装置２の外向きネットワークインターフェース２４には、該ルータ４に接続するためのグローバルＩＰ又はプライベートＩＰが付与される。一方、上述したようにルータ４を省略する場合、通信装置２の外向きネットワークインターフェース２４には、該通信装置２を外部ネットワーク１に直接接続させるためのグローバルＩＰが付与される。

ちなみに、ルータ４を設けた場合、通信装置２は、通常、外部ネットワーク１側からは隔離された状態になるため、一の通信装置２がグローバルネットワーク１を介して他の通信装置２にアクセスすることができない。これを可能とするためには、本通信システムで用いる通信ポートが指定された通信パケットをルータ４が受信した場合に、このルータ４から、その内部に配置された通信装置２に向けて、該通信パケットが転送されるように、該ルータ４に対して予め転送設定（ポートフォワード設定）を行っておく。

すなわち、一の通信装置２が、ルータ４を介して、他の通信装置２にアクセスする際、該他の通信装置２がルータ４の内側に配置されている場合、前記一の通信装置２は、ルータ４への接続情報（具体的には、該ルータ４のグローバルＩＰ等）を、他の通信装置２の接続情報として保持（記憶）しておく必要がある。

一方、ルータ４が存在しない場合、前記一の通信装置２は、前記他の通信装置２の外向きネットワークインターフェース２４への接続情報を、該他の通信装置２の接続情報として保持しておく必要がある。ちなみに、通信ポートの番号は、通常、各通信装置２で共通化させるため、ルータ４の設定以外で特に意識する必要はない。

上記記憶部２１には、他の一又は複数の通信装置２への接続情報及び管理装置３への接続情報が格納される接続情報格納部２１ａと、情報端末７から通信装置２へのアクセスを許可するか、或いは許可する可能性のあるユーザのユーザＩＤ、パスワード又はそのハッ
シュデータ等のユーザ認証情報が格納されるユーザ認証情報格納部２１ｂと、グローバルネットワーク１を介して機密性の高い相互通信を行う可能性のある他の通信装置２及び管理装置３の認証に必要な機器認証情報を同一のグループの全通信装置についてリスト化した機器認証リストが格納される機器認証情報格納部２１ｃと、機器間認証や対象データのやり取りを行う際の暗号鍵又はこれらを生成するトリガー情報等が格納される暗号鍵情報格納部２１ｄと、送信側通信装置２Ａが送信する対象データ又は受信側通信装置２Ｂが受信する対象データにおける少なくとも一部が順次格納される対象データ格納部２１ｆと、２つのネットワークインターフェース２３，２４による通信履歴の情報（通信履歴情報）が順次格納される通信履歴情報格納部２１ｇと、前記各状態検出センサ２５，２６，２７によるセンシング情報（センシング結果）が順次格納されるセンシング情報格納部２１ｈと、これらの通信履歴情報及びセンシング情報等の解析結果が履歴解析情報として順次格納される履歴解析情報格納部２１ｉとが設けられている。

なお、このうち特に秘匿性の高いＩＤ、パスワード（ハッシュ化データも含む）及び暗号鍵又はそれを生成するトリガー情報は、予め複数セットが作成され、何れか一つを切替えヘッダによって切り替えるように設定しても良い。また、これらの情報が格納されたユーザ認証情報格納部２１ｂ、機器認証情報格納部２１ｃ及び暗号鍵情報格納部２１ｄ等は、例えばＣＰＵ内のメモリ領域における秘匿領域などの特に外部からアクセスが出来ないメモリ領域に設けられている。

図３は、ユーザ認証情報格納部２１ｂに格納されたユーザ認証情報のデータ構造を示す図である。ユーザ認証情報は、情報端末７を介して設定されたユーザＩＤ及びパスワードを含んで構成されている。なお、パスワードについては、ハッシュ化されたデータを記憶しておくようにしても良い。この例では、２台の情報端末７が内部ネットワーク６を介して１つの通信装置２に接続されているので、ユーザ認証情報も２組記憶されている。

図４～図７は、機器認証情報格納部２１ｃに格納された機器認証リストのデータ構造を示す図である。この機器認証リストは、全ての通信装置２及び管理装置３で同一の情報が格納されている。同図に示す例では、機器認証情報格納部２１ｃは、Ｏｒａｃｌｅ（商標）やＭｙＳＱＬ（商標）等の汎用性の高いリレーショナブルなデータベースに適応したデータテーブルである。

この機器認証情報格納部２１ｃに記憶された機器認証リストは、各通信装置２及び管理装置３の認証に必要な機器認証情報を同一グループの全通信装置２及び管理装置３についてリスト化したものである。
図４に示す機器認証リスト２１ｃ１は、フィールドとして、イニシャルＩＤである「機器ＩＤ」と、そのユーザの氏を格納する「氏」と、そのユーザの名を格納する「名」と、そのユーザの電子メールアドレスを格納する「ｅ－ｍａｉｌ」と、そのユーザが一般ユーザであるか、管理者であるかの権限を格納する「権限」と、そのユーザの所属する会社の会社ＩＤ（組織ＩＤ）を格納する「所属」と、そのユーザの状態（本例では、有効又は無効の何れか一方の状態）を格納する「状態」と、そのユーザの情報の更新日時を格納する「更新日時」とを有している。

ちなみに、上記電子メールアドレスは、そのユーザが機器間認証を受ける際のＩＤとして利用されても良い。また、機器認証情報格納部２１ｃに記憶する「氏」及び「名」は原則として実名が入力されるが、個人を特定し難くするセキュリティ上の観点から、プロジェクトに由来する略称や、個人の愛称やハンドルネーム等であってもよい。この場合には、これに対応させたフィールドを用意する。

図５は、機器認証リスト２１ｃ２のデータ構造を示す図である。この機器認証リスト２
１ｃ２は、フィールドとして、イニシャルＩＤである「機器ＩＤ」と、パスワードを切り替える「切替えヘッダ」と、「パスワード」と、「パスワードのハッシュデータ」とを有している。この機器認証リスト２１ｃ２は、特に高い秘匿性が要求されるため、１つの機器ＩＤに対して、数十から数百のパスワード及びそのハッシュデータの組が用意され、一つの組を、切替えヘッダによって所定のタイミングで切り替えて使用するようになっている。機器認証リスト２１ｃ２は、機器ＩＤによって機器認証リスト２１ｃ１と多対一のリレーションシップが構築されている。

図６は、機器認証リスト２１ｃ３である会社情報のデータ構造を示す図である。同図に示す例では、会社情報は、フィールドとして、イニシャルＩＤである「会社ＩＤ（組織ＩＤ）」と、その会社の会社名を格納する「会社名」（その組織の組織名を格納する「組織名」）とを有している。ちなみに、上述した機器認証リスト２１ｃ１は、この会社情報のイニシャルＩＤである会社ＩＤをフィールドとして有しており、機器認証リスト２１ｃ１と機器認証リスト２１ｃ３とは、多対一のリレーションシップがなされている。なお、この機器認証リスト２１ｃ３の「会社名」も、機器認証リスト２１ｃ１の個人名（「氏」及び「名」）と同様、実際の会社を特定し難くする観点から、プロジェクトに由来する略称や、その会社の愛称やハンドルネーム等であってもよい。

図７は、機器認証リスト２１ｃ４であるグループ情報のデータ構造を示す図である。グループ情報は、フィールドとしてイニシャルＩＤである「グループＩＤ」と、そのグループの名称である「グループ名」と、そのグループに所属するユーザの前記機器ＩＤが格納される「メンバー１」、「メンバー２」、・・・「メンバーｎ」と、そのグループの情報の更新日時を格納する「更新日時」とを有している。

各グループに登録可能なユーザの数（例えば、図７に示す例では、ｎ人）は、データ構造を決定する際に確定するため、過不足のない適当な数を確保しておく必要がある。また、このグループ情報は、グループに登録する各ユーザの情報を機器認証リスト２１ｃ１から取得するため、機器認証リスト２１ｃ１のイニシャルＩＤである「機器ＩＤ」をフィールドとして有しており、これによって、機器認証リスト２１ｃ４と機器認証リスト２１ｃ１とは多対一のリレーションシップがなされている。

図８は、暗号鍵情報格納部２１ｄに格納された暗号鍵情報のデータ構造を示す図である。同図（ａ）は、共通鍵情報２１ｄ１を示している。共通鍵情報２１ｄ１には、数十～数百種類の共通鍵が予め用意されており、これらのうちの一つの共通鍵が切替えヘッダによって選択されて使用される。なお、この例では、共通鍵は、全ての通信装置２及び管理装置３で共通になっているが、共通鍵は、通信の相手方毎、又は同一グループ中の地域や部所などの管理単位毎に異なる共通鍵を用意しておくようにしても良い。この場合には、用意する共通鍵の種類は増加するが、万一、共通鍵が盗まれたときのリスクは軽減される。

同図（ｂ）は、秘密鍵／公開鍵情報２１ｄ２を示している。秘密鍵／公開鍵情報２１ｄ２にも、数十～数百種類の秘密鍵／公開鍵が予め用意されており、これらのうちの一対が切替えヘッダによって選択されて使用される。同図（ｃ）は、各通信装置２及び管理装置３の公開鍵情報２１ｄ３を示している。公開鍵情報２１ｄ３には、各機器ＩＤについて数十～数百種類の公開鍵が予め用意され、これらのうちの一つが切替えヘッダによって選択されて使用される。なお、共通鍵情報２１ｄ１と通信装置２及び管理装置３毎の公開鍵情報２１ｄ３については、全ての通信装置２及び管理装置３で共通の情報が記憶され、秘密鍵／公開鍵情報２１ｄ２については、その通信装置２又は管理装置３にのみ記憶される。但し、そのうちの公開鍵については、通信装置２及び管理装置３毎の公開鍵情報２１ｄ３の自己の機器ＩＤと対応する場所に記憶される。

図９は、対象データ格納部のデータ構造を示す一覧表である。対象データ格納部２１ｆは、フィールドとして、イニシャルＩＤである「データＩＤ」と、その対象データの件名を格納する「件名」と、その対象データの機密レベルを複数段階で示す「機密レベル」と、その対象データの閲覧可能な期間を始期と終期とで示す「閲覧期間」と、その対象データを閲覧することが可能な回数を格納する「閲覧可能回数」と、その対象データを受取ったユーザがその時点で自己の情報端末７によって閲覧できる回数を残数で格納する「閲覧回数」と、その対象データを送信したユーザの機器ＩＤを格納する「送信者」と、その対象データを受信するユーザの機器ＩＤを格納する「受信者」と、その対象データ中に含まれる送信者からのコメントを格納する「コメント」と、その対象データの本体データ（例えば、画像ファイルや動画ファイル等）の記憶先の情報が格納される「データ記憶先」と、その対象データの送信日時が格納される「送信日時」とを有している。

前記機密レベルは、図示する例では、機密レベルが低い「親展」（０）と、機密レベルが中程度である「重要」（１）と、機密レベルが高い「機密」（２）との３段階に設定されている。前記閲覧期間の始期は、必ず前記送信日時以降に設定される。勿論、この始期を送信日時よりも所定期間経過した後に定めることも可能である。前記閲覧可能回数は、１回～無制限の間で（図示する例では、１回又は無制限の２段階で）指定可能である。
また、対象データ格納部２１ｆは、前記送信者となるユーザの情報及び前記受信者となるユーザの情報を機器認証情報格納部２１ｃから取得するため、機器認証情報格納部２１ｃのイニシャルＩＤである「機器ＩＤ」をフィールドとして有している。このため、対象データ格納部２１ｆと機器認証情報格納部２１ｃは多対一のリレーションシップがなされる。
ちなみに、あるグループに所属するユーザ（送信者）が、このグループに所属する複数のユーザ中から、単数或いは複数のユーザを受信者（送信先）としてそれぞれ指定した場合、その受信者毎に、対象データ格納部２１ｆの各フィールドを有するデータが用意され、該対象データ格納部２１ｆに記憶される。

また、この対象データ格納部２１ｆに関し、対象データの送受信の関係で、送信側通信装置２Ａの記憶部２１と、受信側通信装置２Ｂの記憶部２１とに、同一のデータがそれぞれ個別に記憶される。また、閲覧期間の終期が経過した対象データについては、送信側通信装置２Ａ又は受信側通信装置２Ｂの記憶部２１，２１の対象データ格納部２１ｆから消去してもよい。

図２に示す通り、上記制御部２２は、ＯＳ上で実行させるプログラムによって各種機能を実現させる。このＯＳはＷｉｎｄｏｗｓ（登録商標）やＬｉｎｕｘ（登録商標）等の汎用ＯＳであってもよいし、独自の専用ＯＳでもあってもよいし、或いは複数のＯＳ（例えば、一の汎用ＯＳと一の専用ＯＳ）を併用してもよい。複数のＯＳを併用する場合、デュアルブートによる手段を用いてもよいし、或いは一のＯＳ上で仮想的に他のＯＳを実行する手段を用いてもよい。本例では、単一のオープンソースの汎用ＯＳであるＬｉｎｕｘ等を用いている。

この制御部２２は、データの暗号化を行って暗号文とする暗号化部２２ａと、他の通信装置２の暗号化部２２ａによって暗号化された暗号文を復号して平文とする復号部２２ｂと、暗号化及び復号のための共通鍵、秘密鍵及び公開鍵等の暗号鍵を提供する暗号鍵提供部２２ｃと、暗号化及び復号やユーザ認証等に利用するパスワードを提供するパスワード提供部２２ｄと、通信装置２，２同士の間又は通信装置２と管理装置３の間で暗号通信を行う暗号通信部２２ｅと、情報端末７によって通信装置２にアクセスしてくるユーザのユーザ認証を行うユーザ認証部２２ｆと、通信装置２と他の通信装置２又は管理装置３との間で機器間認証を行う機器間認証部２２ｖと、通信装置２が配置された側の内部ネットワーク６を介して接続された情報端末７に対してＧＵＩ（Graphic User Interface）等のユ
ーザインターフェースを提供するウェブサーバ等の入出力部２２ｇと、情報端末７からの対象データを受取るデータ受取部２２ｈと、前記データ受取部２２ｈによって受取られ且つ前記暗号化部２２ａによって暗号化された対象データを対象の受信側通信装置２Ｂに送信するデータ送信部２２ｉと、送信側情報端末７Ａと受信側情報端末７Ｂとの対象データのやり取りをキャンセルするキャンセル部２２ｊと、送信側通信装置２Ａからの対象データを受信する受信側情報端末７Ｂ側のデータ受信部２２ｋと、前記データ受信部２２ｋによって受信され且つ復号部２２ｂによって復号された対象データを対象の受信側情報端末７Ｂに配信するデータ配信部２２ｌと、該データ配信部２２ｌによる対象データの配信を該対象データ（送信データ）に含まれる閲覧期間及び閲覧回数等の情報に基づいて規制する閲覧規制部２２ｍと、２つのネットワークインターフェース２３，２４の少なくとも何れか一方を介した通信（パケット）を制御するパケット制御部２２ｎと、２つの通信インターフェース２３，２４からの通信履歴情報を上述した通信履歴情報格納部２１ｇに順次記憶して蓄積するとともに前記各状態検出センサ２５，２６，２７からのセンシング情報（センシング結果）を上述したセンシング情報格納部２１ｈに順次記憶して蓄積する履歴情報蓄積部２２ｏと、記憶部２１に記憶された通信履歴情報やセンシング情報等の履歴情報を解析し且つ該解析の結果を上述した履歴解析情報として記憶部２１の履歴解析情報格納部２１ｉに記憶する履歴解析部２２ｐと、前記履歴情報や前記履歴解析情報に基づいて通信装置２の各種の異常を判定する異常判定部２２ｑと、該異常判定部２２ｑによって異常であると判定された場合に通信装置２を介した通信を規制（具体的には禁止したり、通信可能な地域を限定する等）する通信規制部２２ｒと、を備えている。

さらに、制御部２２には、通信装置２，２間の通信経路や、通信装置２と管理装置３との間の通信経路が複数存在する場合に、その内から一の通信経路を選択する通信経路選択部２２ｓを設けてもよい。
また、通信経路選択部２２ｓは、グループ内のユーザでない別の通信相手と通信を行う場合には、その通信相手に対応したＧＵＩを用いて通信を行うようにしても良い。送受信するデータの機密レベルに応じて、通信を行うグループ以外のユーザとの通信も可能にする場合には、送信先のＩＰアドレスに応じて、通信装置２及び管理装置３を介さない、通常の通信経路でのデータ送受信を選択するように機能させることもできる。

上記暗号化部２２ａは、対象データ、或いはその他の通信装置２，２間でやり取りする各種情報を所定のアルゴリズムにより暗号化する。また、対象データの暗号化にあたっては、その対象データに設定された機密レベル（対象データ格納部２１ｆの「機密レベル」）によって暗号強度を変更する。暗号化は異なるアルゴリズム又は暗号鍵で複数回実行してよい。また、データを複数の分割データに分割してその順番を入替え、各分割データを暗号化するスクランブル処理を適宜用いることも可能である。この際、各分割データに対する暗号化は一回で済ませてもよいし、或いは複数回行ってもよく、さらには分割データ毎に、アルゴリズムや暗号鍵や回数を異ならせてもよい。
上記復号部２２ｂは、他の通信装置２の暗号化部２２ａで暗号化された暗号文を、該暗号化部２２ａの暗号化のアルゴリズムと対応した所定のアルゴリズムにより復号する。

図１０は、暗号化部及び復号部の構成を概念的に示す概念図である。暗号化部２２ａは、平文（例えば、対象データ等）の入力を受付ける入力手段２２ａ１と、入力手段２２ａ１によって入力された平文を暗号化する暗号化手段２２ａ２と、暗号化手段２２ａ２によって暗号化された暗号文（例えば、対象データ等）を出力する出力手段２２ａ３とを有している。ちなみに、暗号化手段２２ａ２による暗号化にあたっては、該暗号化手段２２ａ２に対して、通信装置２の上述した暗号鍵情報格納部２１ｄから、又は暗号鍵提供部２２ｃにより、暗号化の情報が含まれた暗号鍵が提供される。
一方、復号部２２ｂは、暗号文（例えば、対象データ等）の入力を受付ける入力手段２２ｂ１と、入力手段２２ｂ１によって入力された暗号文を復号する復号手段２２ｂ２と、
復号手段２２ｂ２によって復号された平文（例えば、対象データ等）を出力する出力手段２２ｂ３とを有している。

暗号化手段２２ａ２に提供される暗号鍵と、復号手段２２ｂ２に提供される暗号鍵とは、同一又は対応した暗号鍵である必要があり、具体的には、同一の共通鍵の組合せや、対応する秘密鍵と公開鍵の組合せになる。
例えば、送信側通信装置２Ａの暗号化部２２ａによって暗号化された暗号文が、該送信側通信装置２Ａの外向きネットワークインターフェース２４を介して受信側通信装置２Ｂに送信される。この受信側通信装置２Ｂは、この暗号文を、該受信側通信装置２Ｂの外向きネットワークインターフェース２４によって受信し、該受信側通信装置２Ｂの復号部２２ｂによって復号して解読可能な平文とする。

この際、これらの２つの通信装置２Ａ，２Ｂの一方で利用される暗号鍵と、他方で利用される暗号鍵とは、同一又は対応している必要があり、例えば、共通鍵同士の組合せか、或いは秘密鍵と該秘密鍵に対応した公開鍵との組合せ等が考えられる。本通信システムでは、同一又は対応する一対の暗号鍵を、複数組、この２つの通信装置２Ａ，２Ｂの記憶部２１，２１にそれぞれ予め記憶させておくことにより、通信装置２Ａ，２Ｂの設置後、直ちに、暗号化された環境下での通信が可能になる。なお、暗号鍵として共通鍵を使用する場合には、各通信装置２Ａ，２Ｂの記憶部２１，２１には、共通鍵自体ではなく、該共通鍵を生成するために用いられるパスワードやその他のトリガー情報を予め記憶させてもよい。この場合には、各通信装置２Ａ，２Ｂ及び管理装置３で、全て同一のアルゴリズム、同一のタイミングで共通鍵を生成すれば良い。

また、この暗号化部２２ａでの暗号化は、同一のデータに対して、暗号鍵を毎回変化させて複数回行ってもよく、この場合には、出力手段２２ａ３から出力された暗号文が再び入力手段２２ａ１に戻される。一方、復号部２２ｂも、これに対応して、出力手段２２ｂ３から出力されたデータを入力手段２２ｂ１に戻すことが可能である。そして、復号部２２ｂは、複数回暗号化された同一のデータに対して、該暗号化の際に用いた暗号鍵と同一又は対応する暗号鍵を、該暗号化時とは逆の順番で用い、同数回復号することにより、元の平文を得ることが可能になる。更に、復号部２２ｂは、「一時復号モード」を有し、データを復号後に閲覧や作業が終了すると自動的に再暗号化するように機能しても良い。
暗号化、復号に用いられる共通鍵、公開鍵及び秘密鍵は、上述したように暗号鍵情報格納部２１ｄに記憶され、適宜読み出して使用される。しかし、暗号鍵提供部２２ｃで別途生成して使用しても良い。上記暗号鍵提供部２２ｃは、生成した暗号鍵を暗号化部２２ａ又は復号部２２ｂに提供するか、記憶部２１に記憶させることも可能である。

図１１は、暗号鍵提供部２２ｃの構成を概念的に示す概念図である。暗号鍵提供部２２ｃは、暗号鍵を生成する暗号鍵生成手段２２ｃ１と、暗号鍵の生成に用いる真正乱数又は擬似乱数を生成する乱数生成手段２２ｃ２と、記憶部２１との間で情報の入出力を行う情報入出力手段２２ｃ３と、暗号化部２２ａや復号部２２ｂで利用する暗号鍵を出力する暗号鍵出力手段２２ｃ４とを有している。

乱数生成手段２２ｃ２は、入出力部２２ｇ等を介して入力されてくる不確定情報（例えば、キーボードを押すタイミング等）を利用して真性乱数を生成するか、或いは、パスワード、或いはその他の確定したトリガー情報を用いて擬似乱数を生成する。ちなみに、真正乱数を生成する際には、ラドンパルス発生装置等を用いてもよい。パスワードはパスワード提供部２２ｄから乱数生成手段２２ｃ２に提供される。その他の確定的なトリガー情報は、情報入出力手段２２ｃ３を介して、記憶部２１の秘匿領域から乱数生成手段２２ｃ２へ出力される。ちなみに、擬似乱数を生成する際は、ＬＦＳＲ（linear feedback shift register）等の従来公知の手段を用いる。
暗号鍵生成手段２２ｃ１は、乱数生成手段２２ｃ２からの乱数、情報入出力手段２２ｃ３を介して記憶部２１の秘匿領域から取得されたトリガー情報に基づいて、暗号鍵を生成する。

暗号鍵出力手段２２ｃ４は、暗号鍵生成手段２２ｃ１によって生成された暗号鍵又は情報入出力手段２２ｃ３を介して記憶部２１から取得した暗号鍵を出力する。一方、暗号鍵生成手段２２ｃ１で生成した暗号鍵は、情報入出力手段２２ｃ３を介して、記憶部２１の秘匿領域に記憶することが可能である。

上記パスワード提供部２２ｄは、ユーザの認証や、暗号化通信のための通信装置２，２同士の認証や、通信装置２と管理装置３との認証や、上述した暗号鍵の生成等に用いられるパスワード（の情報）を提供する。

図１２は、パスワード提供部２２ｄの構成を概念的に示す概念図である。パスワード提供部２２ｄは、パスワードを生成するパスワード生成手段２２ｄ１と、パスワードの生成に用いる真正乱数又は擬似乱数を生成する乱数生成手段２２ｄ２と、記憶部２１との間で情報の入出力を行う情報入出力手段２２ｄ３と、パスワードの情報を出力するパスワード出力手段２２ｄ４とを有している。
乱数生成手段２２ｄ２は、入出力部２２ｇ等を介して入力されてくる不確定情報（例えば、キーボードを押すタイミング等）を利用して真性乱数を生成するか、或いは、確定したトリガー情報を用いて擬似乱数を生成する。また、真正乱数生成でも、上述の場合と同様に、ラドンパルス発生装置等を用いてもよい。トリガー情報は、情報入出力手段２２ｄ３を介して、記憶部２１の秘匿領域から取得される。

ちなみに、擬似乱数はある程度の周期性を持って生成されるため、２つの通信装置２，２間で擬似乱数を生成するにあたり、ワンタイムパスワードの概念を導入することも可能であり、このワンタイムパスワードを、ユーザ認証や、通信の暗号化や、通信装置２，２間の認証や、通信装置２と管理装置３との認証等に用いることが可能になる。なお、一例としてユーザ認証にワンタイムパスワードを用いる場合には、ユーザにトークンを持たせ、該トークンによってパスワードを生成してもよい。ただし、この場合には、途中での同期の修正が可能なように、チェック用データ（訂正信号）も入れ込むことが望ましい。例えば、符号の誤り等を検出する目的で用いられるチェックディジット等を用いることにより、同期処理がずれた場合の修正を行ってもよい。

パスワード生成手段２２ｄ１は、乱数生成手段２２ｄ２で生成した乱数、情報入出力手段２２ｄ３を介して記憶部２１の秘匿領域から取得したトリガー情報等に基づいて、パスワードを生成する。生成したパスワードは、パスワード出力手段２２ｄ４に渡されるか、或いは、情報入出力手段２２ｄ３を介して記憶部２１の秘匿領域に記憶される。
パスワード出力手段２２ｄ４は、パスワード生成手段２２ｄ１からパスワードを受取って出力する他、ユーザが情報端末７を介して入力したパスワードを入出力部２２ｇから直接受取って出力してもよいし、或いは、情報入出力手段２２ｄ３を介して記憶部２１の秘匿領域から取得したパスワードを出力してもよい。出力されたパスワードは、必要に応じて、入出力部２２ｇや暗号鍵提供部２２ｃ等の各部に出力される。

上記暗号通信部２２ｅによって、図２に示す通り、通信装置２と他の通信装置２との間及び該通信装置２と管理装置３との間で、暗号化通信を行う。言換えると、通信装置２、２同士の間の通信（機器間通信）又は通信装置２と管理装置３との通信（機器間通信）は、暗号通信部２２ｅによって暗号化される。本例では、この機器間通信の際、機器同士を、ＩＰＳｅｃ（IP Security Architecture）やＰＰＴＰ（Point-to-Point Tunneling Protocol）によるプロトコルを用いて、ＶＰＮ接続（機器間接続）させ、トンネリング及び
暗号化による安全な通信経路を確立する。この際の暗号化及び復号には、暗号化部２２ａ及び復号部２２ｂを用いるが、暗号化通信部２２ｅによって独自に暗号化や復号を行ってもよい。ちなみに、このＶＰＮ接続を行うための設定は予めなされており、導入時に行う必要はない。

この暗号化通信に用いる認証（機器間認証）させるための情報である機器認証リストは、各通信装置２や、管理装置３の機器認証情報格納部２１ｃ、３１ｃに格納されている。この機器認証リストは、通信装置２の出荷時に設定され、外部からはアクセスできないように記憶部２１に記憶されているので、運用上、ユーザを介した漏洩が起こらない安全な仕組みになっている。トリガー情報を利用する場合には、設定時刻又は送信操作などのトリガーとなるタイミングを設定し、トリガー情報に基づいて機器認証データを生成するようにしても良い。
ちなみに、暗号化通信を行うもの同士の間では、これらの同一又は対応する機器認証リスト及び暗号鍵情報を、互いに保持する必要があるが、暗号化通信を行わないもの同士の間では、このような共通化された情報を互いに保持する必要はない。この他、データのやり取りを行う可能性のある他の通信装置２や管理装置３への接続情報は、記憶部２１の接続情報格納部２１ａに予め記憶されており、通信装置２の導入時に改めて設定し直す必要はない。

上記ユーザ認証部２２ｆは、情報端末７によって通信装置２にアクセス（ログイン）を要求してくるユーザに対して、記憶部２１のユーザ認証情報格納部２１ｂに記憶された情報に基づいて、ユーザ認証を行い、アクセスを許可するか否かを決定する。ちなみに、このＩＤやパスワードの漏洩による「なりすまし」を防止するため、上述したように、ワンタイムパスワードを用いてユーザ認証を行っても良い。さらに、このＩＤやパスワードが漏洩すると、「なりすまし」が可能になるため、複数の認証手段を組合せた多段階認証や複数の要素の組み合わせによる多要素認証手段でユーザの個人認証及び通信装置の機器間認証を行うことが望ましく、さらにこの複数段階の認証が進行する毎にユーザの権限やユーザへの開示情報を付加又は変更してもよい。

機器認証情報格納部２１ｃには、十分な数又は最大限のユーザ情報が仮のユーザとして予め格納されており、新たなユーザを登録しようとする場合は、該機器認証情報格納部２１ｃに登録されている一の仮のユーザの情報を、管理装置３側（さらに具体的には、後述する情報更新部３２ｈ）から、変更して更新する。ちなみに、機器間認証部２２ｖによってアクセス（ログイン）を許可するユーザは、機器認証情報２１ｃ１の「状態」が有効（１）になっているユーザに限られる。さらに付加えると、この「状態」の情報も、仮のユーザの場合には無効（０）に設定されており、これを管理装置３側から有効（１）に切換えて有効化することにより、該ユーザが本通信システムを利用可能になる。ただし、この有効・無効の切換は、これらの方法には限定されない。

また、この機器認証リスト２１ｃ１と同様に、会社情報をリスト化した機器認証リスト２１ｃ２にも、十分な数又は最大の数の仮の会社の情報が予め格納されている。また、グループ情報である機器認証リスト２１ｃ３にも、同様に、十分な数又は最大の数のグループ情報が、仮のグループの情報を含んで予め記憶されている。これらの情報は、管理装置３（さらに具体的には、後述する情報更新部３２ｈ）によって内容が更新されている。ちなみに、仮のグループには、最大限の仮のユーザが予め登録されている。最大限の仮のユーザ数は、導入時にグループ管理責任者が申請したり、或いは予め設定済みの仮のユーザ数を確認できる。

上記入出力部２２ｇは、アクセスが許可されたユーザの情報端末７に対してＧＵＩを提供するとともに、情報端末７からの入力を受付ける。この入出力部２２ｇは、Ｗｅｂサー
バ等によって構成される。

上記データ受取部２２ｈは、入出力部２２ｇを介して、ユーザの送信側情報端末７Ａからの対象データを受取る。ちなみに、送信者となるユーザは、送信側情報端末７によって、まず、自己が所属する一又は複数のグループ中から一のグループを選択する。この際、通信の目的別に一のグループを選択してもよい。続いて、このグループ中から対象データを送りたいユーザ（受信者）を一又は複数選択し、受信者に閲覧させる回数や期間を決定し、これらの一連の情報を含めて、対象データを送信側通信装置２Ａに渡す。

このようにして、データ受取部２２ｈによって受取られた対象データは、その必要情報が、送信側通信装置２Ａの記憶部２１の対象データ格納部２１ｆに記憶されるとともに、暗号鍵により暗号化部２２ａで暗号化される。ちなみに、この対象データは、前記送りたいユーザ毎に個別に生成、或いは対象データとリンクされ、例えば、３人のユーザに送る場合には３つの対象データが生成、或いは対象データとリンクされる。この他、対象データの暗号化の際には、機密レベルに応じて、暗号化の有無や回数等によって定まるセキュリティ強度を変更する。なお、通信自体が暗号化されているため、機密レベルが最低の場合には、対象データ自体の暗号化を省略させることも可能である。

上記データ送信部２２ｉは、暗号化部２２ａによって暗号化された対象データを、送信先に指定されたユーザの受信側情報端末７Ｂ側の受信側通信装置２Ｂに送信する。ちなみに、該データ送信部２２ｉによる対象データの送信処理は直ちに行ってもよいし、或いは閲覧期間の始期の経過を待って送信処理を実行してもよい。

上記データ受信部２２ｋは、送信側通信装置２Ａからの対象データを受信する。

このようにして、データ受信部２２ｋより受取られた対象データは、上述した通り、暗号化された暗号文であるため、復号部２２ｂによって、復号されて平文となる。この復号の際には、該暗号化時と同一又は対応した暗号鍵が利用され、復号される。ちなみに、その対象データの機密レベルを、受信側通信装置２Ｂのデータ受信部２２ｋが送信側通信装置２Ａのデータ送信部２２ｉから受取っておくと、迅速且つ正確に復号を実行可能になるが、予め機密レベルに応じたルールを決めておけば、この機密レベルの情報を、２つの通信装置２Ａ，２Ｂ間でやり取りすることは必須ではない。

平文となった対象データ中で、必要情報は、受信側通信装置２Ｂの記憶部２１の対象データ格納部２１ｆに記憶される。

上記データ配信部２２ｌは、対象データの受信者となっているユーザの受信側情報端末７Ｂからの要求に応じて、該受信側情報端末７Ｂに前記対象データを配信する。なお、このデータ配信部２２ｌは、対象データの受信側情報端末７Ｂへの配信を所定タイミングで自発的に実行してもよい。ただし、データ配信部２２ｌによる配信は、閲覧規制部２２ｍによって閲覧が規制（禁止）されていない状態の場合のみ許容される。

上記閲覧規制部２２ｍは、対象データの閲覧回数（残り）が０になっている場合、閲覧期間外になっている場合、送信者が閲覧を禁止した閲覧回数（残り）が×等の禁止記号になっている場合、管理装置３のシステム管理者がグループ管理責任者からの閲覧禁止の申請を受け取った場合、又はシステム管理者の管理上の観点から閲覧を禁止した場合、受信者となるユーザの受信側情報端末７Ｂへの該対象データの配信を規制（禁止）する。ちなみに、閲覧期間は始期と終期とが設定され、始期と終期との間が閲覧可能な期間になる。この始期は、送信側情報端末７Ａが送信側通信装置２Ａにデータを渡す時点、或いはその時点から所定期間経過した時点に設定可能であり、後者の場合には、送信者が対象データ
を送信してから、前記所定時間の経過後に、受信者が該対象データを閲覧可能になる。

上記キャンセル部２２ｊは、送信側情報端末７Ａからの対象データの送信（配信）のキャンセルの要求があった場合に、そのキャンセル処理を送信側通信装置２Ａ側で行う。具体的には、閲覧期間の始期よりも前において、まだデータ送信部２２ｉによって対象データが送信されていない場合には、送信側通信装置２Ａの記憶部２１に記憶された前記対象データの削除又は送信処理のキャンセルを行うことにより、前記配信をキャンセルする一方で、データ送信部２２ｉによって対象データが既に送信された場合には、受信側通信装置２Ｂの記憶部２１に記憶された前記対象データをリモートで削除するか、或いは受信側通信装置２Ｂ側での対象データの配信処理自体をキャンセルすることにより、前記配信をキャンセルする。該対象データがコピーされている場合には、その複製された対象データも併せて消去する。

なお、このキャンセル処理の際には、ハッシュデータ等を用いて、そのキャンセルの指示が正しいか否かを判断してもよい。具体的には、例えば送信側情報端末７Ａと受信側情報端末７Ｂとで共通のハッシュプログラムと共通鍵とを秘密状態で保持しておく。送信側情報端末７Ａは、キャンセル指示と共に、キャンセル指示コードと共通鍵とを連結し、ハッシュ化して受信側情報端末７Ｂに送る。受信側情報端末７Ｂでは、キャンセル指示を受領したら、キャンセル指示コードと共通鍵とを連結してハッシュ化したものと受信されたハッシュ値とを比較して、両者が合致すれば、キャンセル指示コードの改竄はなく、キャンセル指示が正規の送信側情報端末７Ａが出されていると判断する。また、その際に、再度ユーザ認証を行い、正しい権限を有するユーザからのキャンセル指示であるかを確認してもよい。ちなみに、正しい権限を有するユーザ（以下、単に「ユーザ」ともいう。）としては、例えば、この対象データを実際に送信したユーザや、グループ管理責任者又はグループ登録責任者が想定される。グループ管理責任者又はグループ登録責任者を登録する場合は、システム管理者は、これらの責任者が登録された本人かどうかを本人証明書(写真入りの自動車運転免許証など)で確認する必要がある。

この送信側通信装置２Ａからのキャンセル処理によって、誤った対象データを配信したような場合にも対処可能になり、利便性が向上する。ちなみに、対象データの閲覧期間の始期よりも後であっても、各受信者の受信側情報端末７Ｂへの配信が実際に行われていない場合には、同様の処理によって該配信をキャンセルできる。ちなみに、このデータ消去を可能とするため、削除フラグのようなものを送信時にデータ中に含ませ、この削除フラグを通常はＯＦＦにしておき、ＯＮ切換時にデータ消去が実行されるようにしてもよい。

上記パケット制御部２２ｎは、２つのネットワークインターフェース２３，２４を介した通信を制御する。

例えば、通信装置２が属する内部ネットワーク６内に配置された情報端末７が、外部ネットワーク１を介した通信を行う場合、前述したネットワーク構成上、必ず通信装置２を介することになるので、該情報端末７からの通信（パケット）は、この通信装置２を通過する。情報端末７から内向きネットワークインターフェース２３に届いた通信パケットは、外向きネットワークインターフェース２４を介してルータ４に転送され、該ルータ４によって外部ネットワーク１側に送られる。

言い換えると、通信装置２は、該通信装置２の通信履歴のみならず、内部ネットワーク６側での情報端末７の通信履歴も取得可能であり、また、そうなるようにパケット制御部２２ｎによって通信パケットを制御する。

また、このパケット制御部２２ｎは、ルータとして通信装置２を機能させるように、通
信パケットを制御することも可能である他、内向きネットワークインターフェース２３側へのファイヤーウォールの構築や、外向きネットワークインターフェース２４側へのファイヤーウォールの構築が実現されるように、通信パケットを制御することも可能である。

さらに、このパケット制御部２２ｎを利用すれば、ＶＰＮ接続の際に用いるＩＫＥへのＤｏＳ攻撃等に対しても、ある程度のリアルタイム対応が可能になり、また、このような情報は履歴解析部２２ｐによっても解析可能である。

上記履歴情報蓄積部２２ｏは、上記した通信装置２の通信履歴や、該通信装置２の所属している内部ネットワーク６に属する情報端末７の外部ネットワーク１を介した通信又は該通信装置２へのアクセス通信の履歴を、通信履歴として、記憶部２１の通信履歴情報格納部２１ｇに順次記憶していく。また、この履歴情報蓄積部２２ｏは、ＧＰＳセンサ２５、加速度センサ２６及びジャイロセンサ２７等の各種センサのセンシング結果を、センシング情報（センシング履歴情報）として記憶部２１のセンシング情報格納部２１ｈに順次記憶していく。

上記履歴解析部２２ｐは前記通信履歴の解析を行う。具体的には、この履歴解析部２２ｐが、その時の通信履歴や履歴情報蓄積部２２ｏに記憶されている通信履歴から、内部ネットワーク６を構成している組織（例えば、会社自体や会社の所定の部署等）単位の出勤日や、ユーザ単位の出勤状況等からなる日常の稼動状況を解析し、この解析結果を、履歴解析情報格納部２１ｉに順次記憶する。なお、上述したようなＤｏＳ攻撃や、その他の外部からの攻撃も、この解析によって、認識可能になる。

また、履歴解析部２２ｐは、上記稼動状況に基づいて通信装置２にアクセスをしてくるユーザの情報端末７を自動判別し、その結果も解析結果として履歴解析情報格納部２１ｉに順次記憶してもよい。

さらに、ＧＰＳセンサ２５、加速度センサ２６及びジャイロセンサ２７から取得される状態検出の結果や、センシング情報格納部２１ｈに記憶されたセンシング履歴の情報に基づいて、通信装置２の通常状態を解析し、その解析結果を記憶部２１の履歴解析情報格納部２１ｉに記憶してもよい。また、通信装置２は、ある一定の時刻帯にだけ通信可能にしたり、ＩｏＴで使用される特定のセンサ（温度センサ、人感センサ、ＩＤカードなど各種センサ及び監視カメラ等）に接続されるようにしても良い。

上記異常判定部２２ｑは、センシング結果や、通信履歴の解析結果等に基づいて、通信装置２の異常状態を判定する。

例えば、異常判定部２２ｑは、ＰＣに接続された通信装置２の位置が変化したことがＧＰＳセンサ２５によって検出された場合、盗難等の可能性があるため、異常であると判定する。具体的には、まず、通信装置２の導入時、初めに電源をＯＮした際の位置情報を、その通信装置２の設置位置として認識する。続いて、ＧＰＳセンサ２５によって取得された位置情報又はセンシング情報格納部２１ｈに記憶された直近の位置情報が、前記設置位置と異なる場合には異常の判定を行う一方で、一致する場合には正常の判定を行う。ちなみに、ＧＰＳセンサ２５のセンシング履歴又はその解析情報等を、センシング情報格納部２１ｈ又は履歴解析情報格納部２１ｉから取得し、これらの情報と比較等することにより、ＧＰＳセンサ２５のセンシングの誤差は、相当程度補正可能である。

また、異常判定部２２ｑは、ＰＣに接続された通信装置２の姿勢が変化したことや、荷重が作用していることを、ジャイロセンサ２７や、加速度センサ２６によって検出した場合も、盗難等の可能性があるため、異常であると判定する。具体的には、ジャイロセンサ
２７又は加速度センサ２６によって取得された姿勢情報又は荷重情報、或いはセンシング情報格納部２１ｈに記憶された直近の姿勢情報又は荷重情報が、通常と異なる異常な値であれば、異常の判定を行う一方で、そうでなければ、正常の判定を行う。ちなみに、センシング情報格納部２１ｈに記憶された姿勢情報又は荷重情報や、履歴解析情報格納部２１ｉに記憶された該姿勢情報又は荷重情報の解析情報を利用することにより、正常・異常の判断の精度を向上させることが可能になる。さらに地震や火災などで通信装置２が移動した時にそのセンサ情報を管理装置３に知らせ、異常時の対応を行う。異常時の対応とは、グループに属する全ユーザへの伝達や対応通信装置２を介した通信の中断等などである。

移動体端末の通信装置２の場合は、時刻認証のタイムコードや端末機に指示した認証チェックに合格した場合に作動し、異常があった場合に作動を停止する。認証チェックは、カメラによる画像認証や、指紋認証、音声認証を単独あるいは組み合わせで行う。

さらに、異常判定部２２ｑは、履歴解析情報格納部２１ｉに記憶された通信履歴の解析情報を利用し、２つのネットワークインターフェース２３，２４や通信履歴情報格納部２１ｇから取得される過去や現在の通信履歴から、異常・正常の判定を行う。具体的には、ユーザの情報端末７からのアクセス及び該アクセスに伴う作業状況や、休日であることが予想される会社、部署、ユーザ等の情報端末７からのアクセス及び該アクセスに伴う作業状況や、通常負荷の異常な上昇等の有無に基づいて、不正アクセス又は不正作業や、過負荷等に関する異常・正常の判定を行う。また、すべての通信装置２の通信履歴は、定期的に管理装置に送られる。

上記通信規制部２２ｒは、前記異常判定部２２ｑによって異常が判定された場合には、異常が判定された通信装置２を介したデータのやり取りや通信を規制（禁止）する。このようにして通信が規制されると、上記した対象データのやり取りも勿論できなくなる。ちなみに、この際、異常が判定された通信装置２以外の通信装置２は、通信機能を非規制状態で保持しており、同一グループ内での対象データの送受信を継続させることは可能である。なお、このような不正アクセス又は不正作業等の異常が判定された場合には、パスワードや暗号鍵等の切り替えを、上記の通信規制に代えて、又は通信規制と共に実行するようにしても良い。

以上のように構成される通信装置２は、送信側通信装置２Ａとして機能させることも可能であるとともに、受信側通信装置２Ｂとして機能させることも可能である。ちなみに、制御部２２に搭載しているものの内、データ受取部２２ｈ、データ送信部２２ｉ及びキャンセル部２２ｊは送信側専用機能であり、データ受信部２２ｋ及びデータ配信部２２ｌは受信側専用機能である。このため、通信装置２を送信側通信装置２Ａ専用とする場合には、受信側専用機能を省略可能である一方で、通信装置２を受信側通信装置２Ｂ専用とする場合には、送信側専用機能を省略可能である。

次に、図１３に基づき、管理装置３の構成を詳述する。

図１３は、管理装置３の構成を説明する説明図である。同図に示す管理装置３は、ＣＰＵの秘匿領域を含むメモリ領域、ＲＡＭ、ＲＯＭ、ＨＤＤ又はＳＳＤ等から構成されて各種情報を一時的又は恒久的に記憶する記憶部３１と、ＣＰＵ、ＲＡＭ及びＳＳＤ等から構成されて各種プログラムを実行する制御部３２と、外部ネットワーク１側（具体的にはルータ４）に接続されるネットワークインターフェース（通信手段）３３とを備えている。

上記記憶部３１には、管理装置３が管理する対象となっている各通信装置２の全ての情報を、同様のデータ構造で記憶させてもよい。すなわち、記憶部３１は、接続情報格納部２１ａと同一又は略同一構成の接続情報格納部３１ａと、ユーザ認証情報格納部２１ｂと
同一又は略同一構成のユーザ認証情報格納部３１ｂと、機器認証情報格納部２１ｃと同一又は略同一構成の機器認証情報格納部３１ｃと、暗号鍵情報格納部２１ｄと同一又は略同一構成の暗号鍵情報格納部３１ｄと、対象データ格納部２１ｆと同一又は略同一構成の対象データ格納部３１ｆとを有する。ただし、必要に応じて不要な情報は省略してよく、例えば、通信履歴情報格納部（図示しない）、センシング情報格納部（図示しない）、履歴解析情報格納部（図示しない）が省略可能なデータテーブルに該当する。

ちなみに、記憶部３１のユーザ認証情報格納部３１ｂに登録されているユーザは、管理装置３側の情報端末（図示しない）又は通信装置２側の情報端末７によって、管理装置３にアクセス可能なシステム管理者になる。このため、この管理装置３へのアクセスに成功したユーザが個人を特定できる情報も自由に取得できると、全てが漏洩するため、個人を特定可能な情報と、特定不可能な情報とは分けて管理し、万が一、特定のユーザが管理装置３へのアクセスに成功しても、個人を特定可能な情報にはアクセス不可能にしておく他、履歴をチェックし、情報が漏洩していないかは、機器認証リストや暗号鍵の書き換えのための記憶部２１へのアクセスの有無等を参照して常に監視する。ちなみに、この管理装置３は、本通信システムのサービスを提供する事業者から提供される。このため、該管理装置３を管理するシステム管理者は、事業者であるか、或いは事業者から直接委託された者になる。また、該管理装置３をアクセス可能なシステム管理者から情報が漏洩することを避けるために、少なくともユーザ認証情報格納部へのアクセスは別のシステム管理者との少なくともダブルチェックを行うとともに、すべての管理履歴を残し、必要に応じてシステム管理者からの管理装置３の管理履歴を公表する仕組みを取り入れるとさらに良い。

この記憶部３１における接続情報格納部３１ａ、機器認証情報格納部３１ｃ及び暗号鍵情報格納部３１ｄには、管理対象になっている各通信装置２と暗号化通信を行うための接続情報や、ＩＤ情報や、同一又は対応する暗号鍵若しくはパスワード又はこれらを生成するトリガー情報等が記憶されている。

上記制御部３２は、ＯＳ上で実行させるプログラムによって各種機能を実現させる。このＯＳの利用手段は、上述した制御部２２と同一又は略同一である。この制御部３２は、前記暗号化部２２ａと同一又は略同一構成の暗号化部３２ａと、復号部２２ｂと同一又は略同一構成の復号部３２ｂと、暗号鍵提供部２２ｃと同一又は略同一構成の暗号鍵提供部３２ｃと、パスワード提供部２２ｄと同一又は略同一構成のパスワード提供部３２ｄと、暗号通信部２２ｅと同一又は略同一構成の暗号通信部３２ｅと、ユーザ認証部２２ｆと同一又は略同一構成のユーザ認証部３２ｆと、機器間認証部２２ｖと同一又は略同一構成の機器間認証部３２ｖと、入出力部２２ｇと同一又は略同一構成の入出力部３２ｇとを有している。

また、制御部３２は、これらのとは別に、管理対象になっている各通信装置２の記憶部２１の所定情報を更新する情報更新部３２ｈと、復旧処理部３２ｉとを有している。ちなみに、情報を更新した場合、更新前の情報も消去せずに記憶させておく。この情報履歴は５年間など少なくとも一定期間は記憶しておく必要がある。

上記情報更新部３２ｈは、管理対象になっている通信装置２の情報を更新する。具体的には、通信装置２，２同士の間で暗号化通信を行う場合や、これらの通信装置２，２を経由して外部ネットワーク１を介した対象データのやり取りを行う場合には、これらの通信装置２，２がそれぞれ記憶部２１，２１に予め記憶している接続情報、ユーザ認証情報、機器認証情報及び暗号鍵情報の少なくとも一部を同一又は対応させて共有化させることが必要であり、このための情報の同期を、この情報更新部３２ｈによって行う。また、この情報の同期は、通信装置２と管理装置３との間でも必要であるため、この同期処理も情報更新部３２ｈによって実行する。

ちなみに、この情報更新部３２ｈは、新たなユーザやグループや会社情報も登録可能である。具体的には、情報更新部３２ｈは、管理対象になっている各通信装置２又は互いが通信対象になっている通信装置２Ａ，２Ｂのそれぞれ記憶部２１におけるユーザ認証情報格納部２１ｂ、機器認証情報格納部２１ｃの仮のユーザの情報、会社情報又はグループ情報を、確定後にグループ管理責任者より申請された実データに置換える。より具体的には、情報更新部３２ｈは、実データを共通鍵又は公開鍵で暗号化し、通信回線を介して各通信装置２に一斉に送信する。また、各通信装置２の機器認証情報格納部２１ｃへのユーザ情報の登録では、そのユーザの「状態」を有効（１）に切換える処理を併せて行う一方で、ユーザ情報の削除では、そのユーザの「状態」を一時無効（０）或いは永久無効（０００）に切換える処理を行う。このようにして、無効に切換えられたユーザは上述した仮のユーザとなり、永久無効（０００）に切換えられたユーザは不可逆の無効ユーザとなる。

なお、この情報更新部３２ｈを用いて、送信側通信装置２Ａと、受信側通信装置２Ｂとの間の通信経路に、一又は複数の通信装置２をさらに介在させるようにしても良い。この場合には、通信経路上の受信すべき通信装置のＩＰアドレスのリストを送信データに含ませておき、各通信装置がデータを受信したら、ＩＰアドレスを次の通信装置宛てに書き換えて、送信することを繰り返せば良い。この場合にも、互いに相互接続される通信装置２，２同士の間の通信を上述した形態と同様の手法によって暗号化させる。

上記復旧処理部３２ｉは、自己の通信規制部２２ｒによって通信が規制された状態の通信装置２に対して、この通信規制を解除する処理を実行する。ちなみに、管理装置３による前記復旧処理は通信の規制を解除してもよい状態が確認されてから実行する。

次に、図１４及び図１５に基づき、本通信システムによってデータをやり取りする際の処理手順を説明する。

図１４は、本通信システムによってデータをやり取りする際のユーザ認証及び機器間認証の処理手順を示すフロー図である。まず、本通信システムの導入時に、通信装置２の提供者は、通信装置２及び管理装置３のＣＰＵの秘匿領域に設定された記憶部２１，３１に秘匿化された通信に必要な情報を予め記憶させておく。この情報には、将来追加されるユーザやグループについての仮の情報も含まれる。予め秘匿化されて記憶される情報は、機器認証リスト２１ｃ１～２１ｃ４及び暗号鍵情報２１ｄ１～２１ｄ３である。また、本通信システムの利用に先立ち、情報端末７Ａ，７Ｂのユーザは、通信装置２Ａ，２ＢにユーザＩＤとパスワードを設定しておく。このユーザＩＤとパスワードも、記憶部２１のユーザ認証情報格納部２１ｂに記憶される。また、通信装置２は、パスワードをＳＨＡ－２２４、ＳＨＡ－２５６、ＳＨＡ－３８４、ＳＨＡ－５１２等でハッシュ化すると共に、ユーザＩＤとハッシュ化されたパスワードとの組を通信装置２の記憶部２１に記憶する。以上から明らかなように、ユーザが行う操作は、ユーザＩＤの入力とパスワードの設定のみとなる。なお、機器認証情報格納部３１ｃの登録情報は、グループに登録されたユーザ全員が、秘匿すべきパスワード、暗号鍵又はそれらを生成するためのトリガー情報等の秘匿情報を除いて閲覧できるようにしている。

次に機器間認証処理の一例を説明する。通信開始に際し、ユーザは、まず情報端末７を起動しユーザＩＤとパスワード又はそのハッシュデータを入力する。又は、ＧＵＩを起動し、送信側情報端末７Ａを介してユーザＩＤとパスワード又はそのハッシュデータを入力する。送信側通信装置２Ａは、記憶されているユーザＩＤ及びパスワード又はそのハッシュデータと入力されたユーザＩＤ及びパスワード又はそのハッシュデータとを照合し、両者が一致したら、ユーザ認証が成功したとして情報端末７又はＧＵＩをログイン状態とする。なお、封筒を模したＧＵＩには登録ユーザの一部の宛先情報が表示される。

ユーザ認証が終了したら、次に送信側通信装置２Ａは、管理装置３経由で受信側通信装置２Ｂとの間の機器間認証を行うため、相手先のユーザの機器ＩＤ及びパスワード（ＳＨＡ－２２４、ＳＨＡ－２５６、ＳＨＡ－３８４、ＳＨＡ－５１２等でハッシュ化したパスワード）を共通鍵又は管理装置３の公開鍵で暗号化して暗号鍵の切替えヘッダと共に管理装置３に送信する。管理装置３では、受信された機器ＩＤ及びパスワードを切替えヘッダで特定された共通鍵又は管理装置３の秘密鍵で復号し、機器認証情報格納部３１ｃの登録情報に基づいて送信者及び受信者の機器間認証を行い、受信側通信装置２Ｂに認証結果を送信する。

受信側通信装置２Ｂでは、管理装置３からの認証結果を受けて、送信側通信装置２Ａの認証を行う。この認証は、上述したように、ＶＰＮ接続と同様の手続で行うことができる。例えば、送信側通信装置２Ａと受信側通信装置２Ｂとの間で、認証に必要なメッセージと共通鍵とその切替えヘッダとを連結したデータをハッシュ化してメッセージ認証コード（ＨＭＡＣ）を生成し、メッセージとメッセージ認証コードとを送受信する。送信側通信装置２Ａと受信側送信装置２Ｂとで、共通のハッシュプログラムを有しており、受信したメッセージから生成されたメッセージ認証コードと受信したメッセージ認証コードとを照合して、両者が一致したら機器間認証が成功したとする。なお、共通のハッシュプログラムを切り替えて使用する場合には、ハッシュプログラムの切替えヘッダも送信する。

本通信システムでは、上述した手法によって、予め、２つの通信装置２Ａ，２Ｂの間で暗号化通信を確立させておき、その通信状態を保持する。また、必要に応じて、各通信装置２と管理装置３との間でも、暗号化通信が可能なコネクション状態を確立させておく。ちなみに、やり取り（送受信）の対象となる対象データは、文書データ、静止画データ、動画データ、音声、音楽、メールデータ、ＦＴＰデータの他、センシングデータ、機械制御又はシーケンス制御のプログラムやコマンド、データ等、種々のものが想定される。

また、ユーザは、機器認証情報格納部２１ｃ及び暗号鍵情報格納部２１ｄに記憶された機器ＩＤのパスワード及び暗号鍵を適宜のタイミングで変更することができ、その場合には、情報更新部３２ｈによって、通信装置２，２間や、通信装置２Ａと管理装置３との間で、切替えヘッダを送信することで、リアルタイムに共有化させることも可能である。すなわち、同一グループの通信装置２，２同士の機器間認証に関わるデータテーブルでの変更は可能である。また、データテーブルでの変更の他、暗号鍵提供部２２ｃ及びパスワード提供部２２ｄを用いて、ワンタイムパスワードやワンタイム暗号鍵を生成し、これらを共通鍵などで送信することにより、同一グループ内で共有することもできる。更には、メモリカードに記憶させて更新されたパスワード及び暗号鍵を郵送・運送便にて配送することも可能である。

次に、図１５を参照して、認証後のデータの暗号化通信手順について説明する。
最初に、送信側情報端末７Ａが、送信側通信装置２Ａの入出力部２２ｇを介して、対象データを、該送信側通信装置２Ａに渡す（Ｓ１０１）。
送信側通信装置２Ａは、この対象データをデータ受取部２２ｈによって受取り（Ｓ１０２）、受取った対象データを、暗号化部２２ａによって暗号化する（Ｓ１０３）。具体的には、送信側通信装置２Ａは、例えば対象データのデータ本文に付加される通信制御、認証及び暗号化のための情報等を含むヘッダ情報部分は、受信側通信装置２Ｂの公開鍵で暗号化し、データ本文は共通鍵で暗号化する。このとき、ヘッダ情報部分には、共通鍵及び受信側通信装置２Ｂの公開鍵の切替えヘッダも含めておく。

この暗号化は機密レベルによって強度（重要度）が選択される。例えば、機密レベルが低い場合（例えば、「親展」の場合）には暗号化は実行せずに、再分割再配置処理のスク
ランブル処理のみを実行し、中程度の場合（例えば、「重要」の場合）には１回の暗号化を行い、高い場合（例えば、「機密」の場合）には、複数回暗号化を行う。複数回の暗号化の場合には、その内の１回は公開された公開鍵を用い、その他は秘匿化された秘密鍵を用いてもよいし、或いは暗号化アルゴリズムを異ならせてもよい。また、複数回の暗号化を行う場合には、暗号化したデータをさらに暗号化してもよいし、或いは、再分割再配列のスクランブル処理を用い、上述のように各分割データのそれぞれに対して、同一又は異なるアルゴリズム又は暗号鍵で暗号化を行ってもよい。なお、通信自体は暗号化されているため、Ｓ１０３において暗号化されない場合でも、平文をやり取りすることはない。
このようにして暗号化した対象データは、送信側通信装置２Ａのデータ送信部２２ｉによって、受信側通信装置２Ｂに送信される（Ｓ１０４）。

受信側通信装置２Ｂは、この対象データをデータ受信部２２ｋによって受信し（Ｓ１０５）、該受信した対象データを復号部２２ｂによって復号する（Ｓ１０６）。具体的には、受信された対象データのヘッダ情報部分を秘密鍵で復号し、対象データの本体部分を共通鍵によって復号する。
ちなみに、この対象データの暗号化に用いる暗号鍵は、送信側通信装置２Ａ及び受信側通信装置２Ｂの記憶部２１の暗号鍵情報格納部２１ｄに、共通データ又は対応データとして予め記憶されて共有化され、これらの情報を用いた設定も済ませているため、暗号化や復号に関わる導入時の各種設定も不要であるし、共通鍵や公開鍵の送受信も不要になる。

また、必要に応じて、各通信装置２と管理装置３との間でも、対象データの暗号化・復号のために必要な秘匿情報を共有化してもよい。さらに、これらの情報を、上述した情報更新部３２ｈによって、通信装置２，２間や、通信装置２Ａと管理装置３との間で、リアルタイムで更新して共有化させることも可能である。

なお、前述したように、機密レベルに応じて、複数回、暗号化・復号を行うが、機密レベルに応じてどのような暗号化を行うかに関する情報は復号を行う側でも把握しておくことが必要である。把握の方法としては、ヘッダ情報に暗号化した上で含ませるか、又は予め通信装置２に暗号化・復号の方法を定めておくことが考えられる。

また、暗号化された対象データを復号する際は、その対象データの機密レベルに関する情報も必要になり、この情報は、送信側通信装置２Ａと受信側通信装置２Ｂとの直接的又は間接的なやり取りの際にやり取りされる。具体的には、後述する図１２及び図１４のＧＵＩを用いた操作時に、このやり取りが実行される。
このようにして復号された対象データは、受信側通信装置２Ｂのデータ配信部２２ｌによって、該ユーザの受信側情報端末７Ｂに配信される（Ｓ１０７）。

ただし、この配信は、対象データの閲覧期間内であって且つ閲覧回数の残りが０になっていない場合に限られ、それ以外の場合には、閲覧規制部２２ｍによって配信が規制される。また、データ配信部２２ｌは、対象データの閲覧可能回数が「無制限」になっている状態以外の場合（具体的には、有限の値が指定される場合）、配信の処理毎に、該対象データの閲覧回数を１減らす処理を行う。

受信側情報端末７Ｂは、受信側通信装置２Ｂからの対象データを受取る（Ｓ１０８）。ちなみに、送信先が複数指定されている場合には、送信側通信装置２Ａ側で対象データを送信先の数と同数生成し、この各対象データに対して暗号化（Ｓ１０３）以降の処理を実行する。

なお、以上のような通信構造によれば、各通信装置２では、管理装置３は勿論、通信対象となる通信装置２も特定され、システム導入時から設定されているが、この接続構成を
、前記情報更新部３２ｈによって、リアルタイム更新可能としてもよい。この際には、各通信装置２及び管理装置３が接続リストのようなものを接続情報格納部２１ａに保持し、このリストを更新対象としてもよい。

なお、上述した暗号化通信を、ワンタイムの暗号鍵で行う場合には、次のようにすれば良い。
送信側通信装置２Ａがデータを受け取った後（Ｓ１０２）、パスワード提供部２２ｄを起動して、ワンタイムパスワードを生成すると共に、受信側通信装置２Ｂに、暗号鍵提供部２２ｃを起動するように要求する。ワンタイムパスワードは、ユーザのパスワードとは異なるもので、送信毎に新たなパスワードとして生成される。受信側通信装置２Ｂで生成される暗号鍵は、秘密鍵であり、この秘密鍵から公開鍵が生成される。続いて、生成された公開鍵が共通鍵により暗号化されて送信側通信装置２Ａに送信される。送信側通信装置２Ａでは、共通鍵によって受信側通信装置２Ｂの公開鍵を復号し、この復号した公開鍵で対象データを暗号化した後、暗号化された対象データをワンタイムパスワードによって開封制限する。そして、開封制限された対象データとワンタイムパスワードとを連結させたデータを共通鍵によって暗号化する。

受信側通信装置２Ｂでは、受信された対象データを共通鍵によって復号し、復号されたデータからワンタイムパスワードを取り出して、対象データを開封する。更に開封された対象データのヘッダ情報部分を秘密鍵によって復号し、本文部分を共通鍵で復号する。

また、暗号鍵提供部２２ｃで、共通鍵を生成するようにしても良い。この場合には、共通鍵を公開鍵方式で暗号化して相手側に送信する。具体的には、次のような処理を行う。
（１）まず、各通信装置の公開鍵は、予めシステム管理者が全通信装置２に一斉に又は個別に送信又は設定しておく。なお、送信者は相手(受信者) の公開鍵を送信の度に取り寄せるようにしても良い。
（２）送信者は共通鍵を生成し、平文を共通鍵で暗号化する。共通鍵で暗号化しているので、暗号化に要する時間は短くて済む。
（３）送信者は生成した共通鍵を、相手（受信者）の通信装置２の公開鍵で暗号化する。共通鍵の長さは数十～数百ビット程度なので、遅い公開鍵方式で暗号化してもそれほど時間はかからない。
（４）送信者は暗号文と、公開鍵で暗号化した共通鍵を送信する。
（５）受信者は、受信した「公開鍵で暗号化した共通鍵」を秘密鍵で復号する。
（６）受信者は、受信した暗号文を、復号した共通鍵で復号する。これにより、平文を取り出すことができる。

この場合、もしネットワークが盗聴されていたとして、盗聴者が手に入れられるものは、受信者の公開鍵、共通鍵で暗号化した平文、及び公開鍵で暗号化した共通鍵となる。公開鍵で暗号化されたデータは秘密鍵を使わないと復号できないので、盗聴者は共通鍵を手に入れることができない。共通鍵が手に入らなければ、平文を復号することはできない。

次に、図１６乃至図１８に基づき、情報端末７に提供されるＧＵＩの構成について説明する。
図１６は、ＧＵＩの一種であるグループトップ画面の構成を説明する説明図である。ユーザは、情報端末７によって、通信装置２に対して、該ユーザのユーザＩＤ（又は該ユーザのｅ－ｍａｉｌアドレス）とパスワードを入力してログインすると、このユーザが所属しているグループが表示され、このグループ中から一のグループを選択すると、この図１６に示すグループトップ画面７１がＧＵＩとして表示される。

このグループトップ画面７１には、そのグループに所属している一又は複数のユーザの
名前（氏名）が機器認証情報格納部２１ｃから取得されて一覧表示される共有メンバー表示部７１ａと、前記ログインしたユーザが該グループとして受信した対象データが対象データ格納部２１ｆから取得されて一覧表示される操作（クリック操作）を行う受信データ表示操作部７１ｂ（表示は「受信ＢＯＸ」）と、前記ログインしたユーザが該グループとして送信した対象データが対象データ格納部２１ｆから取得されて一覧表示される操作（クリック操作）を行う送信データ表示操作部７１ｃ（表示は「送信ＢＯＸ」）と、前記ログインしたユーザが該グループに所属している他の一又は複数のユーザに対して対象データを送信する送信画面７２（図１７参照）を表示させる操作（クリック操作）を行う送信画面表示操作部７１ｄ（表示は「新規封筒」）とが設けられている。ちなみに、ユーザの情報では、個人の特定を避けるため、略称や愛称やハンドルネームでの表示としてもよい。

図１７は、ＧＵＩの一種である送信画面の構成を説明する説明図である。送信画面７２は、対象データ格納部２１ｆの「件名」（表示は「封筒名」）を入力する件名入力部７２ａと、対象データ格納部２１ｆの「閲覧期間」を入力する閲覧期間入力部７２ｂと、対象データ格納部２１ｆの「機密レベル」（表示は「送信レベル」）を入力（図示する例では、「親展」のラジオボックスと「重要」のラジオボックスと「機密」のラジオボックスの何れかを選択）する機密レベル入力部７２ｃと、対象データ格納部２１ｆの「閲覧可能回数」を入力（図示する例では、閲覧可能回数を１回にするチェックボックスがあり、そこへのチェックの有無によって１回か無制限かを選択）する閲覧可能回数入力部７２ｄと、対象データ格納部２１ｆの「受信者」（表示は「宛先」）を指定（図示する例では、グループに所属するユーザが一覧表示され、その各ユーザのチェックボックスによって、送信先となる受信者の選択）する宛先指定部７２ｅと、対象データの本体データ（表示は「ファイル」）を一又は複数指定する送信ファイル指定部７２ｆと、対象データ格納部２１ｆの「コメント」を入力するコメント入力部７２ｇとを有している。ちなみに、上記閲覧回数の指定は任意の回数を入力するようにしてもよい。

図１８は、対象データ表示画面の構成を説明する説明図である。この対象データ表示画面７３は、対象データの内容が表示され、前記送信画面７２と同一の画面に表示されてＧＵＩの一部を構成する。
具体的には、この対象データ表示画面７３は、郵送物である封筒を模したものであり、対象データ格納部２１ｆの「件名」（図示する例では「封筒名」）が表示される件名表示部７３ａと、対象データ格納部２１ｆの「送信者」の名前（氏名）が表示される送信者表示部７３ｂと、対象データ格納部２１ｆの「送信日時」が表示される送信日時表示部７３ｃと、対象データ格納部２１ｆの「機密レベル」（表示は「送信レベル」）が表示される機密レベル表示部７３ｄと、対象データ格納部２１ｆの「閲覧回数」が表示される閲覧回数表示部７３ｅと、対象データ格納部２１ｆの「受信者」（宛先となるユーザ）が氏名、略称又はハンドルネーム等で一覧表示される送信先表示部７３ｆと、対象データの一又は複数の本体データのファイル名等が送信ファイルとして一覧表示される送信ファイル表示部７３ｇと、対象データ格納部２１ｆの「コメント」が表示されるコメント表示部７３ｈと、対象データを送信するために切手を模した画像をこの位置にドラックしてペーストした場合に該対象データを送信（渡すことが）可能な状態になる送信可能状態切替部７３ｉと、対象データのやり取りを行うユーザが所属するグループのコード（例えば、グループ情報格納部２１ｄの「グループＩＤ」等）を表示するコード表示部７３ｊとを有している。

なお、この対象データ表示画面７３では、郵送物の他、伝票を模した画面としてもよく、郵送物を模した画面と伝票を模した画面とを選択するようにしてもよい。この他、上述の例では、縦長の郵送物も模した画面としたが、これを横長の郵送物としてもよいし、縦長の郵送物を模した画面と、横長の郵送物を模した画面と、伝票を模した画面とから一の
画面を選択するようにしてもよい。
ちなみに、未定の情報は、ブランクで表示される。例えば、送信日時は、送信画面７２に入力している段階では未定であるため、“＊＊＊＊”又はブランクの表示になる。

また、送信可能状態切替部７３ｉに切手を模した画像を前述のようにしてペーストした場合、上記した送信画面７２において、送信ボタン７２ｈが表示され、この送信ボタン７２ｈをクリックすると、送信側情報端末７Ａからの対象データの送信（渡し処理）が実際に実行される。

さらに、このグループトップ画面７１において受信した複数の対象データの一覧から一の対象データを選択した際、或いは送信した複数の対象データの一覧から一の対象データを選択した際にも、この対象データ表示画面７３が表示され、この際には、送信日時にも実際の日時が表示される。

受信した対象データの確認時には、上記対象データ表示画面７３に、受信者の閲覧履歴が表示される閲覧履歴表示部７３ｋも表示される。なお、送信した対象データの確認時にも、この閲覧履歴表示部７３ｋを表示させることが可能であるが、このためには、送信側通信装置２Ａと、受信側通信装置２Ｂとで、対象データ格納部２１ｆに格納された情報の同期をとっておく必要があり、この同期処理は、上述した情報更新部３２ｈによって実行してもよい。
なお、図１７及び図１８に示すＧＵＩは、グループ毎に専用のインターフェースとして設けてもよい。この場合には、グループによって、ＧＵＩが変わるため、間違いが無く、利便性が高い。

以上のように構成される通信システムによれば、直感的に理解しやすいＧＵＩによって、ユーザ間では、複雑なアルゴリズムを意識することなく、高いセキュリティが確保された状態で、対象データのやり取りを行うことが可能になる。

特に、ユーザ認証及び機器間認証という複数要素によって認証を行っているため、高いセキュリティを維持して、簡単にデータをやり取りすることが可能になる。さらに多数の要素の認証（多要素認証）を行ってもよい。例えば、ＧＰＳセンサ２５によって取得される位置情報による認証要素をさらに加えてもよい。具体的には、通信装置２が本来設置されている場所にないことがＧＰＳセンサ２５によって検出された場合には、ユーザ認証によるアクセスを拒否するか、或いは機器間認証による機器間接続を拒否する。また、国内や外国への出張等、出張先の地域や国の位置情報を、ユーザ認証の一環として使用し、許諾された地域にない場合に対処するなどしても良い。

また、対象データの暗号化及び復号の際にも、複数の暗号化処理を重複的に行う複数要素の暗号化を行っている。具体的には、ユーザが情報端末７ＡからＧＵＩを利用して行う暗号化と、機器間通信の暗号化とを用いている。

また、事前の情報共有やそれに伴う事前設定によって、導入時の手間も軽減されるため、種々の業界に本通信システムが導入可能になる。例えば、顧客とデザイン会社と印刷会社との間でのデータのやり取りや、顧客とデザイン会社と雑誌社又は新聞社と印刷会社又は新聞工場との間でのデータのやり取りに用いることも可能である。

また、守秘義務があり機密情報を扱うことが多い特許業界やその他の法務又は財務において、そして図面データや翻訳データ又はその他の秘匿情報のやり取りを行う場合、又は海外とのデータのやり取りを行う場合にも利用可能である。

さらに、デジタルカメラやスマートフォンの内蔵カメラに情報端末７をモジュールとして組込んで、複数のカメラ間で撮影したデータを互いに共有化させることや、ＰＣを経由して撮影したデータを互いに共有化させることや、これを用いてネットワーク回線の帯域を確保した状態での電話、ネット会議又はテレビ会議システム、ネットショッピングシステム等のコミュニケーションに適用することも可能になる。ちなみに、このような場合、データ受取部２２ｈにデータを渡す処理はアプリケーション等によって自動的に行う必要がある。

また、前述の一例で、テレビ会議用のカメラやマイクで取得した静止画データ、動画データ又は音声データや、監視用のカメラで撮影した静止画データ又は動画データを、対象データとすることも可能である。このカメラやマイクに情報端末７Ａ，７Ｂを組み込んでもよい。例えば、監視カメラの場合、次のように認証を行う。まず、監視カメラを通信装置２経由で、例えば５Ｇ（5th Generation）仕様の外部ネットワーク１（インターネット）に接続する。ユーザは、自分の情報端末７（パソコン）にユーザＩＤとパスワードを用いてアクセスして、監視カメラ用の伝票ＧＵＩから登録してある監視カメラのＩＤを選択することで、自分の情報端末７に接続された通信装置２が、管理装置３を介して、監視カメラの通信装置２に対して機器認証を行う。認証が正常に行われたら、自分の情報端末７で監視カメラの映像を見たり、録画することが出来る。

また、印刷機毎に出力が異なる色情報を統一化させるために色変換を行うエンジンと共に、色管理部門と印刷工場などとのセキュリティ通信として用いることもできる。さらに、センシング情報の共有化やリモート制御等を念頭において、自動車メーカーの情報管理センターや、国の専門組織である（公安委員会が管轄する警察本部の）交通管制センターと自動車の制御装置とのデータ通信において暗号化通信に適用することも可能である。この場合にも前述の適用例と同様にデータ受取部２２ｈにデータを渡す処理はアプリケーション等によって自動的に行う必要がある。また、信号機を制御・管理する交通管制センターと自動車との通信、本通信システムを用いてもよい。さらにまた、自動車の自動運転での操縦管理情報や異常運転情報及び道路や地域情報などをもとに、道路管理法人等の情報管理センター等が、運転者に注意を促したり、安全な運転のための情報を提供したり、又は自動車運転機器へデータ提供を安全に行ったりしても良い。

また、本通信システムは、官公庁、自治体間でのデータの送受信や、企業の支店同士の間、支店と本店の間でのデータの送受信や、企業内のプロジェクトメンバー間でのデータの送受信や、医療施設内での電子カルテの送受信や、広域な範囲での電子カルテや機密情報や共同デザイン案等の重要情報の送受信や、オンラインの原稿入稿や、電子私書箱サービス等に用いることも可能である。

この他、建築プロジェクトにおいて、基本設計から、建築部材の調達、仕入れ原価管理、現場施行の人員手配、施工進捗状況、クレーム共有情報、法的提出書類など、複数の企業の複数のグループでの情報管理の下で建設が遂行される。この建築プロジェクト内の情報を秘匿しながら、情報管理に不慣れな担当者であっても、セキュリティ管理を意識せずに、情報の伝達を安全に行うことができる。

さらに、この通信装置２は金庫のような重量物に連結して、物理的な盗難を防止してもよい。

なお、本通信システムにおいて、少なくとも一の通信装置２には、管理装置３の情報更新部３２ｈ及び復旧処理部３２ｉと同一又は略同一構成の情報更新部（図示しない）及び復旧処理部（図示しない）を設けてもよい。これによって管理装置３を省略することが可能になる。

ただし、この場合には、この通信装置２にアクセスするユーザが、該通信装置２に対して各種設定等の管理の権限を有する管理者であるか、或いは、該管理の権限を有さない一般ユーザであるかを区別する必要がある。このため、通信装置２の記憶部２１における機器認証情報格納部２１ｃに設定された「権限」のフィールドには「グループ管理責任者」と入力され、一般ユーザの権限のフィールドには「ユーザ」と入力される。

この他、一時的又は継続的に送受信可能又は送信のみ可能な「ゲスト送信ユーザ」や、一時的又は時限継続的に受信の可能な「ゲスト受信ユーザ」を設けてもよい。ゲスト送信ユーザ及びゲスト受信ユーザは、一時的に通信装置２にアクセスする権限を付与されたユーザである。ゲスト送信ユーザの前記権限のフィールドには「時限送信者」と入力され、ゲスト受信ユーザの前記権限のフィールドには「時限受信者」と入力される。このとき「ゲスト送信ユーザ」又は「ゲスト受信ユーザ」の登録は、通信装置２のユーザが、「グループ管理責任者」を経由して、システム管理者に電子申請することにより行われる。システム管理者は、「グループ管理責任者」及び当該通信装置２のユーザに許諾を通知するとともに、同じグループ内の全員のＧＵＩへの登録も行い、「ゲスト送信ユーザ」又は「ゲスト受信ユーザ」に時限のパスワードを付与する。また、「ゲスト送信ユーザ」又は「ゲスト受信ユーザ」は、機器認証リストにも公開される。

一方、管理装置３を省略しない場合でも、前記機器認証情報格納部２１ｃには、管理者、一般ユーザ、ゲスト送信ユーザ及びゲスト受信ユーザの「時限権限」のフィールドを設けてもよい。この管理者には、さらに社内で送信や受信や情報更新等の許可を他のユーザに与える機能（組織内管理機能）を持たせてもよいし、或いは、このような特別権限を、「特別権限」のフィールドに別途入力可能とし、そのような特別権限を有するユーザを「特別ユーザ」としてユーザの種類を増やしもよい。

このグループ管理責任者や特別ユーザの権限を有するユーザは、対象データの送信の許可、受信の許可、新たなグループの作成の許可、既存のグループへの新ユーザの登録の許可、該既存グループに登録されているユーザの削除の許可等を行う。対象データの送信又は受信の許可は、グループに所属するユーザ毎に行ってもよいし、或いはグループ全体に対して行ってもよい。

また、上記ゲスト送信ユーザ又はゲスト受信ユーザの設定の際にも、一般ユーザ又はグループ管理責任者の許可が必要なようにしてもよい。

また、図２に仮想線で示すように、通信装置２の本体に着脱可能に接続される外部記憶媒体又はトークンその他のカメラやスマートフォンやタブレット等の通信機能を有する情報端末等の接続機器２８を設けてもよい。この接続機器２８には、上述した接続情報格納部２１ａ、ユーザ認証情報格納部２１ｂ、機器認証情報格納部２１ｃ及び暗号鍵情報格納部２１ｄと同一又は略同一構成の接続情報格納部２８ａ、ユーザ認証情報格納部２８ｂ、機器認証情報格納部２８ｃ及び暗号鍵情報格納部２８ｄが設けられている。

そして、接続情報格納部２８ａ、ユーザ認証情報格納部２８ｂ、機器認証情報格納部２８ｃ及び暗号鍵情報格納部２８ｄには、記憶部２１に対して、追加・変更・削除された各種情報が含まれており、制御部２２は、これらの追加・変更・削除情報に基づいて、事前の告知期間又は事後の報告期間等を設け、新たなユーザや、既存のユーザの権限その他の情報の変更・削除や、新たなグループや、既存のグループの情報変更や、新たな接続先の通信装置２の追加や、又は既存の通信装置２の接続情報の変更・削除等が認識可能になる。このため、管理装置３の情報更新部３２ｈや通信装置２の情報更新部によることなく、各種情報の更新を、接続機器２８の接続によって行うことが可能になるが、その更新は、
上述した全ての情報を対象とすることも可能であるし、或いは一部の情報のみを対象としてもよい。また、上述のテーブル変更によって、これに対応することも可能であり、この場合にも、更新の対象とする情報を、全情報中の一部としてもよいし、或いは全てとしてもよい。

このような機能を搭載することにより、ユーザ側の通信装置２の設定の手間が軽減された状態で、ユーザにより、ネットワーク構成やユーザ情報やグループ情報等を変更して更新することも可能になる。例えば、あるグループ中の一般ユーザ、ゲスト送信ユーザ又はゲスト受信ユーザが、一又は複数の新たなグループを独自に何時でも作成することが可能であり、この新しいグループ中で、このユーザが一般ユーザになるようなことも可能になる。

ちなみに、一のグループに所属するユーザであって且つ該グループへの新たなユーザの追加の申請を行う権限を有するユーザを「グループ登録責任者」として定めておく。このグループ登録責任者は、管理装置３のシステム管理者から送信された公開鍵と共通鍵を使用して、システム管理者に電子申請する。システム管理者は、送られてきた申請書を管理装置３の内部で復号し、管理装置３を介して申請のあったグループの全通信装置２に対して、新たなユーザの機器ＩＤ及び氏名、及び「有効」に切り替えた状態を含む新たなユーザの追加情報や所属ユーザの削除の情報が反映された機器認証リストを送信する。この際、管理装置３のシステム管理者は、機器認証リストのハッシュデータを併せてグループの通信装置２に送信し、管理装置３の運用時に、機器認証リストを確認することにより、データの改竄を防止してもよい。

次に、新たなユーザの追加、削除の具体的な登録方法について説明する。
まず、新たなユーザを追加する場合、グループ登録責任者は、システム管理者に新たなユーザの追加を電子申請する。電子申請されたシステム管理者は、新たなユーザの追加情報を、フィルタリングやウィルスチェックを行って、問題がなければ、管理装置３の機器認証リストに暗号処理をして登録する。併せてグループ内の全ユーザが、秘匿情報を除いて、更新された機器認証リストの少なくとも一部を閲覧できるようにする。封筒ＧＵＩにも一部の宛先情報として表示する。新規登録されたユーザが、ユーザＩＤとパスワードを自分の情報端末７に入力すると、通信装置２は、パスワードをハッシュ化し、これをユーザＩＤと共に記憶部２１に記憶する。

ユーザを削除する場合には、グループ登録責任者は、システム管理者にユーザの削除を電子申請する。システム管理者は、機器認証リストにおける申請されたユーザの情報のヘッダ情報を通信不可にして、年月日時と共に機器認証リストに変更を登録する。グループ内の全ユーザが、秘匿情報を除いて、更新された機器認証リストを閲覧できるようにする。封筒ＧＵＩも一部の宛先情報が更新されて表示される。永久欠番とする場合にも、個別の名前及び関連する情報のヘッダ情報を永久通信不可にする。

次に、新規グループを追加する具体的な登録方法について説明する。
グループ内のユーザから、システム管理者に新たなグループ登録の電子申請を行う。電子申請には、通信装置２をグループ内の全ユーザが導入している旨の証明書も添付する。システム管理者は、電子申請されたグループの全ユーザの情報に対し、フィルタリングやウィルスチェックを行い、問題がなければ、新たなグループの情報を管理装置３の機器認証リストに登録する。登録は、仮のグループ及び仮のユーザをグループＩＤ及び機器ＩＤを特定し、無効状態から有効状態に切り替えることにより行われる。一方、新規登録されたグループの各ユーザが、ユーザＩＤとパスワードを自分の情報端末７に設定のため入力すると、通信装置２は、パスワードをハッシュ化し、これを記憶部２１のユーザ認証情報格納部２１ｂに記憶する。グループ内の全ユーザが、秘匿情報を除いて、更新された機器
認証リストを閲覧できるようにする。封筒ＧＵＩにも一部の宛先情報として表示する。

管理装置３のシステム管理者は、この機器認証リストの更新情報、具体的には有効になったグループＩＤ及び機器ＩＤを、このグループに新たに登録されたユーザも含め、該グループに所属する全ユーザに対して、暗号化した上で通知する。
なお、グループ登録責任者とは別に、該グループに所属するユーザであって且つ該グループの管理を行うユーザを、「グループ管理責任者」として定めてもよい。そして、グループへのユーザの追加、削除の情報が反映された機器認証リストを、グループ登録責任者とグループ管理責任者とで、ダブルチェックしてもよい。

また、新たなグループを作成するのと同じ要領で、通信装置２の追加を、管理装置３のシステム管理者に申請することも可能である。この申請中には、グループを構成する主なユーザの会社、部署名、住所、氏名、通称名、連絡先の情報が含まれる。
また、グループ管理責任者や、グループ登録責任者や、それ以外のユーザは、同種の通信装置２を所有するユーザに対して、新しいグループに所属することを呼びかけることも可能であり、この際には、ゲストＩＤやワンタイムパスワード等を利用して、互いの通信装置２へのアクセスを行う。

この新しいグループの追加、グループ内のユーザの追加、或いはこれらの申請の作業をシステム管理者から追加情報を設定済みで提供される接続機器２８の着脱のみによって行うこともできる。そして、このような変更を繰返すことにより、ネットワーク構造の拡張性や、ユーザ及びグループ構成に冗長性を持たせることが可能になる。
この接続機器２８には、通信装置２の制御部２２やネットワークインターフェース２３，２４や、各種情報検出センサ２５，２６，２７を設けてもよく、この場合には、通信装置２が故障した際のバックアップとして用いることが可能になる。そして、この接続機器２８の制御部は、ＧＰＳセンサによって自己の位置を取得し、この位置がある範囲内（ゾーン）に収まっていなければ、本来の場所に設置されていないものと判断し、異常判定部２２ｑによって異常である旨を判定する。また、自己が保持するタイマーによって、本来の使用時間以外での使用を検出した場合に、異常判定部２２ｑによって異常と判断してもよい。さらに、接続機器２８を正当に使用する者であるか否かを判断するため、その者に対して、パスワード、指紋や静脈等の生体認証、顔認証、音声認証などを要求してもよい。

さらに、通信装置２と管理装置３との間、或いは通信装置２，２同士の間での通信によってやり取りするデータ中には、本来のデータ（例えば対象データ等であり、以下、「真データ」）の他に、ダミーの情報（以下、「偽データ」）を適宜含ませてもよい。この偽データを真データと区別できない状態で、上記やり取りするデータ中に含めることは容易であり、これによってセキュリティを向上させる。

そして、このような高いセキュリティを保持した通信システムを用いれば、上記やり取りするデータ中に、ＩｏＴデバイスを制御するためのセンシング情報又はシーケンス制御情報を含めることも可能である他、機器から収集した情報や、機器の制御のための情報であるＭ２Ｍの情報を含めることも可能になる。ＩｏＴの情報又はＭ２Ｍの情報を含められれば、外部ネットワーク１を介したセンシング情報の共有や、機械制御が容易に実現できる。そしてＩｏＴ機器或いはＭ２Ｍ機器のＣＰＵ内に秘匿エリアを設けて、本通信システムの秘匿情報を記憶させて運用するとさらなる安全性が確保できる。

例えば、情報端末７を内蔵し且つ通信装置２に接続又は通信装置２を内蔵したＩｏＴデバイスとの情報のやり取りによって、テレオペレーション等の遠隔操作等も実現できる。詳しく説明すると、ネットワーク１を介して、情報端末７を内蔵した操作機器（制御機器
）と、情報端末７を内蔵した作動機器とが接続され、操作機器及び作動機器は通信装置２，２もそれぞれ内蔵又は接続され、それぞれＩｏＴデバイス、Ｍ２Ｍデバイスとして機能し、相互通信によって、互いのセンシング情報やシーケンス情報を共有する。このため、操作機器及び作動機器は、夫々、通信装置２のデータ受取部２２ｈ及びデータ配信部２２ｌとのデータのやり取を行うことが可能なように構成されている。

ユーザは、自分のセンサやカメラ情報を連続的に取得するデータ取得用パソコン又は携帯端末を情報端末２に、ユーザＩＤとパスワードでアクセスする。例えばＩｏＴ用の伝票ＧＵＩ又はＩｏＴ通信接続画面から、予め登録してある単数又は複数のＩｏＴ機器のＩＤを選択することで、自分のＩｏＴ用パソコン又は携帯端末に接続された或いは一体化した通信装置２或いは、管理装置３又は携帯端末内に一体化したＳＩＭカードに組み込んだ管理装置機能を介して、ＩｏＴ機器に接続された単数又は複数の通信装置２に対して機器認証を行う。具体的な認証手続については、上述した通りである。認証が正常に行われたら、自分のＩｏＴ用パソコン又は携帯端末で連続的にデータ取得を行い、必要な時はデータ保存する。

また、通信装置２と管理装置３との間、或いは通信装置２，２同士の間での通信によってやり取りするデータに対して、送信する側又は受信する側の通信装置２又は管理装置３によってウィルスチェックを行い、ウィルスが検知された場合には、データ自体を破棄するか、或いは、データ中からのウィルスの削除を行う。さらにウィルスチェックを行った通信装置２又は管理装置３は、上記ウィルスを削除したデータを、送信元に返信するか、或いは送信元にウィルスの存在を報知してもよい。この他、このウィルスチェックやウィルスの削除は、専用の監視サーバを国内又は海外に設け、この専用のサーバでその処理を行うだけでなく、ウィルスチェック専用のサービス会社にその処理を担当させることも可能である。この他、国内又は海外の既存のウィルスチェック用のサーバに処理を渡し、処理を軽減させてもよい。また、このウィルス処理やその他の上述したような処理の負担軽減のため、管理装置３を複数設け、各種処理を分担させてもよい。

また、異常判定部２２ｑによって異常と判断された場合の復旧手順は、管理装置３から行われる例を説明したが、本通信システム全体によって、この復旧作業を行うことも可能である。具体的には、上記異常の判断がされた場合、同一グループを管理している全ての通信装置２に対して異常の発生を報知する。その後、異常状態を回復させる際には、異常が発生した通信装置２の認証されたユーザが、管理装置３のシステム管理者や該ユーザの上司等のグループ管理責任者に許諾を貰い、この許諾情報を接続機器２８やシステム管理者又はグループ管理責任者の生体認証等の個人認証によって確認し、この確認が取れた後に、復旧作業を実行する。

また、管理装置３を経由した通信を行っている際に上記異常判定がされ、これを復旧させる場合には、本通信システムのネットワーク管理者は、復旧を認める場合には、接続機器２８や生体認証等の個人認証によって、その意思を示し、この意思が確認されると、前記異常が発生した通信装置２の認証されたユーザは、管理装置３の管理者権限を持つシステム管理者に対して、復旧を求める申請情報を送る。管理装置３のシステム管理者は、前記申請書を受取ると、その通信装置２の復旧作業を行い、その旨をその通信装置２に記憶されたグループと同一のグループの情報を有する全ての通信装置２に対して通知する。

また、一般ユーザが情報端末７を用い、上述のＧＵＩによって暗号化した対象データを、通信装置２の記憶部２１に記憶させた場合、この対象データへのアクセス権限は、該暗号化を行った一般ユーザや、その対象データを受信する一般ユーザに限定され、管理者でも閲覧できないように制限を加えてもよい。
また、この機器間通信では、データの改竄を防止するため、ハッシュデータを利用して
もよい。例えば、対象データとそのハッシュデータや、宛先の情報とそのハッシュデータなどを用いる。

さらに、通信装置２には、汎用ＰＣ機器や、通信プログラムに記憶した記憶装置又は記憶カードを搭載した汎用通信端末を用いてもよい。

また、本例では、一のグループ内、該グループに所属するユーザの間でデータ交換を行うことが可能であるが、このグループを利用するためのグループ認証を行わせてもよい。具体的には、一のグループの所属するユーザの特定の一部又は全部の情報を入力させ、正しい情報が入力された場合のみ、このグループを利用した通信が可能になるようにしてもよい。ちなみに、グループ内のユーザの数が多い場合には、そのグループ内で、国、地域、年代、男女、趣味などの属性で、ユーザを分類し、サブグループのようなものを作ってもよい。

また、上述したで伝票を模したＧＵＩは、ネットショッピング等における伝票入力の際にも利用可能である。具体的には、以前に入力した情報中から同一と思われる情報（例えば、購入者の情報）は記憶されたデータから自動的に出力され、購入年月日やサービス名や商品名や単価や合計金額等だけを新たに入力させるようにすると便利である。

また、本通信システムは、音声データを対象データとして、秘匿通話にも適用可能となる。具体的には、電話アプリをインストールした２台の情報端末７，７の間に２台の通信装置２，２を介在させ、この２台の通信装置２，２の間での機器間通信ではストリーミング暗号をかけ、２台又は３台以上の情報端末７，７の間の送受信する音声データの暗号化を行う。

また、本通信システムは秘匿メールにも活用可能である。具体的には、グループ毎に専用の封筒等のＧＵＩを用い、メール本文や添付ファイルなどの対象データを暗号化するとともに、対象データの一部又は全部に対して可逆処理が可能なデータの細分割スクランブル処理や色変換処理のマスキング処理を行い、このデータを、機器間通信を介して送受信してもよい。

さらに、本通信システムは、電子カルテにも適用可能である。具体的には、電子カルテの個人情報に相当する部分をマスキング処理し、外部ネットワーク１に接続されたクラウドサーバに保存し、閲覧が必要な場合には、通信装置２を介して閲覧や追記や変更や削除を行う。

また、忘れ物防止対策として、この通信システムを活用することも可能である。例えば、ＧＰＳセンサ端末を、送信側情報端末７Ａとし且つ携帯型の送信側通信装置２Ａと無線通信可能とし、ユーザのバッグ等の所有物に保持させる。ユーザの所有するスマートフォンによって、該ユーザのＧＰＳ位置情報は常にクラウドサーバ等に送信されており、送信側情報端末７Ａから送信側通信装置２Ａを介して送信されてくるＧＰＳ位置情報と、ユーザのＧＰＳ位置情報とが不一致になった場合には、前記所有物がユーザのもとから離れたものとして、これを通知してもよい。

送信側情報端末７Ａ又は情報端末機能を持つＩｏＴ機器に、地震センサや、監視カメラや、バイタルチェックセンサや、測定機や、その他のセンサを組込み、撮影データやセンシング情報を、２つの通信装置２，２の間又は該ＩｏＴ機器の間で暗号化及び復号させ、受信側情報端末７Ｂに送信してもよい。そして、撮影データやセンシングデータに異常が発生した場合には、異常の通知を行う。この異常の通知は、送信側情報端末７Ａから発信してもよいし、或いは受信側情報端末７Ｂから発信させてもよい。さらに、必要に応じて
、データのマスキング処理を行い、一部の情報を秘匿化してもよい。

ユーザのパソコンやスマートフォンを通信端末７とし、この通信端末７に、モジュール化されたＩＣメモリやＵＳＢメモリなどの通信装置２を装着し、オンライン銀行や、通販会社や、エスクローのサービスを提供する会社又は個人との情報の送受信を暗号化してもよい。また、エスクローのサービスを提供する会社と、通販会社とで、顧客情報を分割管理し、情報の漏洩防止対策をしてもよい。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

上述した形態では、送信側通信装置２Ａと受信側通信装置２Ｂとがグローバルネットワークを介して対象データを直接やり取りする例につき説明したが、その間に一又は複数の通信装置２又は一又は複数の管理装置３を介在させ、間接的に対象データをやり取りしてもよい。

具体的には、送信側通信装置２Ａ→通信装置２（又は管理装置３）→・・・→通信装置２（又は管理装置３）→受信側通信装置２Ｂと順次接続されるが、この場合に、隣接するもの同士は、夫々、互いに暗号化通信可能なように、同一又は対応するＩＤ，パスワード等の機器認証情報、及び暗号鍵又はこれらを生成するトリガー情報が、通信装置２の記憶部２１や管理装置３の記憶部３１のうち、例えばＣＰＵ内に設定された秘匿領域のような外部からアクセスできない記憶領域に、予め出荷時などにシステム管理者によって設定・記憶され、提供される。なお、これらのユーザ情報及び秘匿情報は、予め複数の組を記憶しておき、一定のタイミング、又は所定のトリガー情報によって切り換えるようにしても良い。また、対象データのやり取りは、通信装置２のデータ送信部２２ｉ及びデータ受信部２２ｋ、或いは管理装置３に設けられた前記データ送信部２２ｉ及びデータ受信部２２ｋと同一又は略同一構成のデータ送信部（図示しない）及びデータ受信部（図示しない）によって実行され、最終的に送信先、それまでの通信経路は、各通信装置２又は管理装置３が保持している。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

図１９は、他の実施形態に係る通信システムでの対象データのやり取りの処理手順を示すフロー図である。同図に示す実施形態では、管理装置３に、前記データ受取部２２ｈ、データ配信部２２ｌ及び閲覧規制部２２ｍと同一又は略同一構成のデータ受取部（図示しない）、データ配信部（図示しない）及び閲覧規制部（図示しない）を設け、各通信装置２には、管理装置３への対象データの中継を行う中継データ受信部２２ｔ及び中継データ送信部２２ｕを設けている。

本通信システムでは、上述した手法によって、予め、送信側通信装置２Ａと管理装置３との間、管理装置３と受信側通信装置２Ｂとの間で、それぞれ暗号化通信を確立させておき、その通信状態を保持する。この通信状態によって、送信側情報端末７Ａ及び受信側情報端末７Ｂから通常はアクセスできない管理装置３にアクセス可能になる。そして、上述した図１６乃至図１８に示すようなＧＵＩを、管理装置３の記憶部３１から入出力部３２ｇを介して提供することが可能になる。

ちなみに、送信側通信装置２Ａと管理装置３との間、管理装置３と受信側通信装置２Ｂとの間では、機器間認証を行うためのＩＤ又はパスワード、暗号化及び復号を行うための暗号鍵、或いは、これらを生成するトリガー情報が共有化されている。ところで、該構成
では、管理装置３に情報が集中するため、情報漏洩の対策を十分に施す必要があり、個人特定情報等の管理はさらに厳格に行う。具体的には、管理装置３にアクセスする際に、指紋認証や音声認証や顔認証等の個人を特定可能な認証を行い、そのアクセスログも記憶しておく。また、この管理装置３から本通信システムを利用しているユーザの情報端末７に対してメンテナンス情報やグループ変更情報や利用料等のメッセージを送るようにしてもよい。さらに、管理装置３から広告情報又はアンケート情報等を送信しても良い。また、接続情報が管理装置３に集中することに鑑みて、管理装置３のデータをバックアップやミラーリングする一又は複数のファイルサーバ（図示しない）を別途設けてもよい。

データの送受信の際には、最初に、送信側情報端末７Ａが、管理装置３の入出力部３２ｇを介して、対象データを、該管理装置３に渡す（Ｓ２０１）。

送信側通信装置２Ａは、この管理装置３に向って送られた対象データを、中継データ受信部２２ｔによって強制的に受信し（Ｓ２０２）、該受信した対象データを暗号化部２２ａによって暗号化し（Ｓ２０３）、該暗号化した対象データを中継データ送信部２２ｕによって管理装置３に送信する（Ｓ２０４）。

管理装置３は、データ受取部によって、この暗号化されたデータを受取り（Ｓ２０５）、管理装置３の復号部３２ｂによって復号する（Ｓ２０６）。この送信側通信装置２Ａと管理装置３との間では、機器間認証を行うための機器認証リスト（機器ＩＤ及びパスワード等）、暗号化及び復号を行うための暗号鍵、或いは、これらを生成するためのトリガー情報が記憶部２１，３１に予め記憶されて共有化されている。なお、管理装置３によって復号する対象となるデータは全てではなく、転送に必要な最低限のもの（例えば機器認証のためのヘッダ情報のみ）に絞ってもよい他、対象データは、まったく復号せずに、転送に必要なヘッダ情報を送信側通信装置２Ａから別途受取ってもよい。これによって管理装置３側で、対象データを確認することができなくなるため、管理装置３側からのデータの漏洩が防止され、セキュリティがさらに高まる。

管理装置３は、復号された対象データに対して、受信者に指定されたユーザの受信側情報端末７Ｂからの受信要求があり且つ該管理装置３の閲覧規制部による規制を受けない状態になった場合、該管理装置３の暗号化部によって暗号化し（Ｓ２０７）、その暗号化した対象データを、該管理装置３のデータ配信部によって該受信側情報端末７Ｂ側に配置された受信側通信装置２Ｂに配信する（Ｓ２０８）。なお、前述した通り、対象データの全てを復号していない場合には、そのデータをそのまま受信側通信装置２Ｂに送る。

受信側通信装置２Ｂは、配信されてきた対象データを、中継データ受信部２２ｔによって受信し（Ｓ２０９）、この受信した対象データを、該受信側通信装置２Ｂの復号部２２ｂによって復号する（Ｓ２１０）。この管理装置３と受信側通信装置２Ｂとの間では、この暗号化及び復号を行うためのＩＤ、パスワード、暗号鍵又はこれらを生成するためのトリガー情報が記憶部２１，３１に予め記憶されて共有化されている。

この受信側通信装置２Ｂは、上記復号した対象データを、中継データ送信部２２ｕによって、前記受信側情報端末７Ｂに送信する（Ｓ２１１）。該受信側情報端末７Ｂは、この送信されてきた対象データを受取る（Ｓ２１２）。

以上のように構成される通信システムによれば、各通信装置２は、管理装置３への接続情報や、暗号化或いは認証のための秘匿情報の共有化を行えばよく、管理装置３側でこれらの情報を一元化して管理できる。また、ユーザ情報やグループ情報や会社情報も同様である。ちなみに、情報端末７は、管理装置３との間で情報のやり取りを行っているにもかかわらず、その間の情報は、通信装置２によって自動的に中継され、暗号化されるため、
ユーザの煩わしさが殆どない。

ちなみに、図１４及び図１５に示す例では、通信装置２と管理装置３とは機器間接続を常時させておくことは必須ではなく、両者の接続を初回の通信時に限定することも可能である。これに対し、図１９に示す形態では、通信装置２と管理装置３とを常時接続させておくことが望ましい。

なお、送信側通信装置２Ａと管理装置３との間や、管理装置３と受信側通信装置２Ｂとの間に、一又は複数の別の通信装置２又は管理装置３を、上述した手法により介在させることも可能である。

また、この管理装置３は、全てのデータを中継し、上述した形態の送信側通信装置２Ａ及び受信側通信装置２Ｂの機能も一部で兼用された機能を有することから、クラウドサーバとして機能させることも可能である。

さらに、ユーザが情報端末７によって通信装置２への接続を試みると、管理装置３側に接続されるように該通信装置２を構成してもよい。この場合、ユーザは、管理装置３を意識せずに、該管理装置３を介したデータのやり取りを行うことが可能になる。

また、管理装置３での復号の処理（Ｓ２０６）及び暗号化の処理（Ｓ２０７）を省略して、処理を軽減させてもよい。この場合には、対象データを配信する受信側通信装置２Ｂ及び受信側情報端末７Ｂの情報を、送信側通信装置２Ａ又は送信側情報端末７Ａから直接的に取得しておく。

また、送信側情報端末７Ａから管理装置３へのアクセスに際しては、まず、この送信側情報端末７Ａが送信側通信装置２Ａにアクセスし、該送信側通信装置２Ａが管理装置３へアクセスする。同様にして、受信側情報端末７Ｂから管理装置３へのアクセスに際しても、まず、この受信側情報端末７Ｂが受信側通信装置２Ｂにアクセスし、該受信側通信装置２Ｂが管理装置３へアクセスする。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

図２０は本発明の他の実施形態に係る通信システムの概要を説明する説明図である。同図に示す例では内部ネットワーク６内に、情報端末７の通信装置２との通信を中継する中継端末８を設け、この中継端末８には中継経路の情報が中継テーブル８ａとして保持されている。

そして、一の内部ネットワーク６内の中継端末８は、他の内部ネットワーク６内の中継端末８と接続回線９によって接続され、該一の内部ネットワーク６側の通信装置２が故障した際には、該一の内部ネットワーク側の情報端末７は、他の内部ネットワーク側の通信装置２を代替として利用できる。この中継経路の追加、変更又は削除等は、システム管理者の管理装置３や、各グループのグループ管理責任者の情報端末７等からの指示により、前記中継端末８の中継テーブル８ａへの情報の追加、変更又は削除等によって行う。

なお、一の内部ネットワーク６内の情報端末７と、他の内部ネットワーク６内の情報端末７とを接続回線９´によって接続させてもよい。

さらに、この中継端末８は、情報端末７によって代替させることも可能である。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

図２１は本発明の他の実施形態に係るグループ構成の概要を説明する説明図である。本通信システムでは、外部の接続機器２８や前述した更新の手法によって、新たなグループやユーザを追加可能であるが、これによって、冗長性に富んだ運用が可能になる。例えば、図２１に示す例では、一のグループＡをユーザａが作成し、グループＡ内に３人のユーザｂ、ｃ、ｄを追加し、この３人のユーザｂ、ｃ、ｄがそれぞれグループＢ，Ｃ，Ｄを作成し、さらにグループＣに入れたユーザｇがグループＧを作成している。

このように連鎖的にグループやユーザを追加していくことにより、冗長性が高い運用を行うことが可能になる。すなわち、このようなグループ内での機器間通信によれば、専用のグループを誰でも自由に何時でも作成することが可能であるため、通信装置２には限定されながらも、安全性の高い専用の通信網を自由に追加、変更できる。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

図２２は、本発明の別実施形態に係る通信装置の構成を説明する説明図である。制御部２２は、さらに、ハッキング防止手段２２ｗを備えている。このハッキング防止手段２２ｗは、通信時に用いるポートを定期的に変更したり、定期的にパスワードの変更をユーザに促したり、ＯＳやソフトウェアを自動的にアップデートとして最新の状態に保持することにより、ハッキングを防止する。なお、このハッキング防止手段２２ｗは、管理装置３の制御部３２に設け、該管理装置３へのハッキングを防止してもよい。

次に、本発明を適用した通信システムの他の実施形態について、上述の形態と異なる部分を説明する。

図２３は、本発明の別実施形態に係る通信システムの概要を説明する説明図である。同図に示す例では、情報端末７は、ユーザが操作するパソコン、スマートフォン及びタブレット端末、並びにＩｏＴ機器、Ｍ２Ｍ機器、カメラ、ロボット、遠隔操作機器、自動車、ＡＩ機器等の各種データを受発信する機器を含み、例えば通信装置２と無線通信可能なＩｏＴ端末、或いは、通信装置２と無線通信可能であって且つセンサによるセンシングを行うとともに機械制御される機器によって構成されている。通信装置２は、ＩｏＴ機器、Ｍ２Ｍ機器、カメラ、ロボット、遠隔操作機器、ＡＩ機器等をコントロールするためのコマンドを送信して、これらの機器を制御するようにしても良い。

通信装置２は複数設けられ、ネットワーク９を介して互いに通信可能に接続されている。ネットワーク９は、グローバルネットワークであってもよいし、プライベートネットワークであってもよいし、或いは、これらを組合せたネットワークであってもよい。

一の情報端末７は、一組の通信装置２，２を介して、他の情報端末７と暗号通信可能である。これによって、全ての情報端末７のセンシング情報を共有化して、ビックデータとして活用することや、一の情報端末２が他の情報端末７からのセンシング情報を監視することや、或いは、該情報端末７を機械制御することが可能になる。

このような構成によれば、Ｍ２Ｍを用いたロボット制御が可能になる。さらに、ＩｏＴを活用し、歩行者の位置情報を取得可能にした自動車と、車椅子利用者との協調制御も可能になる他、歩行者、自動車、車椅子、バス停、電車、駅、空港、公共施設、民間施設、信号機等との通信も可能になる。そして、これらを活用して、障害者のバイタルチェック
を行って、異常時に通知することや、車椅子が危険エリアに侵入した際に、注意喚起を行うことや、その車椅子を座っている者のバイタルチェックを行って安全を確認すること等が可能になる。

１ グローバルネットワーク
２ 通信装置
２Ａ 送信側通信装置（通信装置）
２Ｂ 受信側通信装置（通信装置）
２１ 記憶部
２２ 制御部
２３ 内向きネットワークインターフェース
２４ 外向きネットワークインターフェース
２５ ＧＰＳセンサ（状態検出センサ，位置情報取得センサ）
２６ 加速度センサ（状態検出センサ）
２７ ジャイロセンサ（状態検出センサ）
２８ 接続機器
３ 管理装置
７ 情報端末
７Ａ 送信側情報端末
７Ｂ 受信側情報端末

Claims (22)

1. 同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムであって、
   前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置を備え、
   前記通信装置は、
   接続される前記情報端末を介してユーザの認証を行うためのユーザ認証情報が記憶されると共に、各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが、その少なくとも一部について前記ユーザがアクセスできない状態で予め記憶された記憶部を有し、
   前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記情報端末との間は、前記ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、前記機器認証リストを参照した機器間認証処理を実行する
   ことを特徴とする通信システム。
2. 前記グローバルネットワークに接続されて前記複数の通信装置間での機器間認証処理の少なくとも一部を実行する管理装置を備え、
   前記機器認証リストは、前記通信装置及び前記管理装置の認証に必要な機器認証情報を同一グループの全通信装置及び全管理装置についてリスト化したもので、
   前記通信装置及び前記管理装置は、前記機器認証リストが、その少なくとも一部について前記ユーザがアクセスできない状態で予め記憶された記憶部を有する
   請求項１記載の通信システム。
3. 前記機器認証リストは、前記グループ内の既登録の各通信装置の有効なユーザの機器ＩＤ及びパスワードを含む機器認証情報と、前記グループ内の未登録の通信装置のために予め確保しておく仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、
   前記通信装置は、前記グループ内に新たなユーザを登録する際に、前記仮のユーザの機器ＩＤ及びパスワードを有効にし、前記有効となったユーザの機器ＩＤを全ての前記通信装置に通知する
   請求項１又は２記載の通信システム。
4. 前記機器認証リストは、前記グループ内の既登録の各通信装置の有効なユーザの機器ＩＤ及びパスワードを含む機器認証情報と、前記グループ内の未登録の通信装置のために予め確保しておく仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、
   前記管理装置又は前記通信装置は、前記グループ内に新たなユーザを登録する際に、前記仮のユーザの機器ＩＤ及びパスワードを有効にし、前記有効となったユーザの機器ＩＤを全ての前記通信装置に通知する
   請求項２記載の通信システム。
5. 前記機器認証リストは、未登録のグループのために予め確保しておく仮のグループ名と、この仮のグループ名に含まれる仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、
   前記通信装置は、新たなグループを登録する際に、前記仮のグループ名を真のグループ名に書き換えると共に、前記真のグループ名の少なくとも一部の仮のユーザの機器ＩＤ及びパスワードを有効にし、前記書き換えられた真のグループ名と前記有効となったユーザの機器ＩＤを前記新たなグループの有効となったユーザの前記通信装置に通知する
   請求項１～４のいずれか１項記載の通信システム。
6. 前記機器認証リストは、未登録のグループのために予め確保しておく仮のグループ名と
   、この仮のグループ名に含まれる仮のユーザの機器ＩＤ及びパスワードを含む機器認証情報とを含み、
   前記管理装置又は前記通信装置は、新たなグループを登録する際に、前記仮のグループ名を真のグループ名に書き換えると共に、前記真のグループ名の少なくとも一部の仮のユーザの機器ＩＤ及びパスワードを有効にし、前記書き換えられた真のグループ名と前記有効となったユーザの機器ＩＤを前記新たなグループの有効となったユーザの前記通信装置に通知する
   請求項２又は４記載の通信システム。
7. 前記通信装置の記憶部には、前記通信装置間での暗号化通信を行うための暗号鍵又はこの暗号鍵を生成するためのトリガー情報のうちの少なくとも一部が、前記ユーザがアクセスできない状態で記憶されている
   請求項１～６のいずれか１項記載の通信システム。
8. 前記管理装置の記憶部には、前記通信装置間及び前記通信装置と前記管理装置との間での暗号化通信を行うための暗号鍵又はこの暗号鍵を生成するためのトリガー情報のうちの少なくとも一部が、前記ユーザがアクセスできない状態で記憶されている
   請求項２、４及び６のいずれか１項記載の通信システム。
9. 前記情報端末は、ユーザが操作するパソコン、スマートフォン及びタブレット端末、並びにＩｏＴ機器、Ｍ２Ｍ機器、カメラ、ロボット、遠隔操作機器、自動車、ＡＩ機器等の各種データを受発信する機器を含む
   請求項１～８のいずれか１項記載の通信システム。
10. 前記通信装置は、
    前記情報端末からのアクセス要求に対して、前記記憶部に記憶されているユーザ認証情報に基づいて、アクセスを許可するか否かの決定を行うユーザ認証部と、
    前記記憶部に記憶されている機器認証リストに基づいて、他の前記通信装置との間で機器間認証処理を実行する機器間認証部と、
    前記ユーザ認証部によってアクセスが許可された情報端末に対して情報の入出力を行う入出力部と、
    前記機器間認証部によって認証された他の前記通信装置との間でデータの送受信を行うデータ送受信部と
    を有する請求項１～９のいずれか１項記載の通信システム。
11. 前記通信装置は、
    前記記憶部に随時記憶される通信履歴を解析する履歴解析部と、
    該履歴解析部によって解析された該通信装置の日常の稼動状態に基づいて不正アクセス又は不正作業を判定する異常判定部と
    を備えた請求項１～１０のいずれか１項記載の通信システム。
12. 前記通信装置は、位置センサを有し、前記位置センサから取得される位置情報を参照して本来使用されるべき位置にあるか、位置にないことを判断する
    請求項１～１１のいずれか１項記載の通信システム。
13. 前記入出力部は、前記情報端末に対して、郵送物又は伝票を模したデータ入力画面をユーザインターフェースとして提供する
    請求項１０記載の通信システム。
14. 前記通信装置は、やり取りするデータ中にＩｏＴ機器又はＭ２Ｍ機器から取得された情
    報を含む
    ことを特徴とする請求項１～１３のいずれか１項に記載の通信システム。
15. 前記通信装置又は管理装置は、やり取りするデータ中にＩｏＴ機器又はＭ２Ｍ機器から取得された情報を含む
    ことを特徴とする請求項２、４、６及び８のいずれか１項に記載の通信システム。
16. 前記通信装置は、他の通信装置から取得されたデータに基づいて機械学習をし、最適解を提供するＡＩ機能を有する
    請求項１～１５のいずれか１項に記載の通信システム。
17. 前記通信装置又は管理装置は、他の通信装置又は管理装置から取得されたデータに基づいて機械学習をし、最適解を提供するＡＩ機能を有する
    請求項２、４、６、８及び１５のいずれか１項に記載の通信システム。
18. 前記通信装置は、情報が予め記憶され且つ着脱可能な接続機器を備えた
    請求項１～１７のいずれか１項記載の通信システム。
19. 前記通信装置は、前記情報端末に装着されたＩＣカード又はＳＩＭである
    請求項１～１８のいずれか１項記載の通信システム。
20. 同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムにおいて、
    前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置であって、
    接続される前記情報端末を介してユーザの認証を行うためのユーザ認証情報が記憶されると共に、各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが、その少なくとも一部について前記ユーザがアクセスできない状態で予め記憶された記憶部を有し、
    前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記情報端末との間は、前記ユーザ認証情報によるユーザ認証処理を実行し、他の通信装置との間は、前記機器間認証情報を参照した機器間認証処理を実行する
    ことを特徴とする通信装置。
21. 同一のグループに含まれる複数の情報端末がグローバルネットワークを介して相互にデータのやり取りを行う通信システムにおいて、
    前記グループに含まれる複数の情報端末間で機密性の高い相互通信を行うために前記グループ内の各情報端末に接続される通信装置間の機器間認証処理の少なくとも一部を実行する管理装置であって、
    各通信装置の認証に必要な機器認証情報を同一グループの全通信装置についてリスト化した機器認証リストが予め記憶された記憶部を有し、
    前記グローバルネットワークを介した前記情報端末間でのデータのやり取りを行う際、前記通信装置間で、前記機器認証リストを参照した機器間認証処理を実行する
    ことを特徴とする管理装置。
22. 請求項２０記載の通信装置が内部に組み込まれた情報端末。

Images