JP4619858B2 - 分散環境における暗号鍵更新方法、暗号鍵更新システム、暗号鍵更新システムを構成する無線基地局 - Google Patents

Description

本発明は、分散環境における暗号鍵更新方法、暗号鍵更新システム、暗号鍵更新システムを構成する認証サーバ、移動体、および無線基地局に関し、特に、複数の情報処理装置が通信網を介して接続しているシステムの内部に設置した各種サーバに対して、走行中の移動体からの無線通信によるアクセスポイントを介した外部からの接続が行われ、また移動体の走行に伴いアクセスポイント間で高速にハンドオーバーが発生し、或いはアクセスポイントとなる無線基地局の着脱（設置や撤去）が発生し、無線基地局間または無線基地局と各種サーバとの間のネットワークが可変であるシステムにおいて、移動体と各アクセスポイント（無線基地局）との間での無線通信のセキュリティ保護及びシステム内部のセキュリティ保護に関するものである。

複数の通信ノードが、通信に使用する暗号鍵を共有することでデータを共有し、外部への漏洩を防止するためのセキュアなグループを形成するといった技術が提案されている。例えば、暗号鍵を生成して配送する鍵配送センタと、前記鍵配送センタから配送された暗号鍵を用いて暗号通信をおこなう複数の端末装置とを所定のネットワークを介して接続した暗号通信システムにおいて、前記複数の端末装置は、前記鍵配送センタが暗号鍵を配送した場合に、所定の代表端末装置に対して配送結果を通知する配送結果通知手段を備え、前記代表端末装置は、各端末装置から受け付けた配送結果を前記鍵配送センタに一括して送信する一括送信手段を備えたことを特徴とする暗号通信システム（特許文献１参照）などが提案されている。
特開２００１−１４８６９４号公報。

上記従来技術では、複数の通信ノード間の通信に使用する暗号鍵の生成、管理及び暗号鍵を共有するグループの管理、グループのメンバのノードへの暗号鍵の配布及び切り替えの指示等はサーバにて一括して実施している。

このため、通信のセキュリティ強度を維持するために移動体の走行に連動して暗号鍵の更新またはグループのメンバの切り替えを行う場合、サーバにて全通信ノードとの間での頻繁なメッセージのやり取り、暗号鍵更新のスケジュール管理等の処理が必要となる。

特に移動体の走行経路、目的地、進行方向等が事前に分からない場合、走行中の移動体の位置追跡等の処理も必要となり、サーバでの処理負荷が増大する。さらに基地局が固定ではない場合、基地局着脱が発生する度に管理テーブルの変更または基地局の認証等が必要となるため、システム再構築の負荷が増大して、システムの柔軟性、拡張性が妨げられる。

また上述の移動体と無線基地局との間の通信において無線基地局毎に異なる多種の無線媒体が使用されており、基地局毎に通信可能なエリアの大きさが異なり、また複数の基地局の通信可能なエリアが包含も含めて互いに重複している場合、移動体の進行中に同一の基地局と不連続に複数回通信を行う可能性があり、通信のセキュリティ強度維持のために暗号鍵更新を行うと、鍵更新のタイミング、該無線基地局との通信用の暗号鍵を何個、いつまで保持しておくか等の管理が困難となる。

したがって、複数の情報処理装置が通信網を介して接続しているシステムの内部に設置した各種サーバに対して、外部の走行中の移動体からの無線通信によるアクセスポイントを介した接続及び可変なネットワーク環境を介した接続が行われ、また移動体の走行に伴いアクセスポイント間で高速にハンドオーバーが発生するシステムにおいて、通信の処理効率の低下や異常な処理の発生を防止することを前提条件として、システムの負荷軽減、システム構築の柔軟性、拡張性を保証した上での無線通信における一過性のセキュリティ保護を行うことが望まれていた。

そこで本発明は上記課題を鑑みてなされたものであり、通信の処理効率およびセキュリティ性を良好に維持すると共に、システムの負荷軽減やシステム構築の柔軟性を図れる、分散環境における暗号鍵更新方法、暗号鍵更新システム、暗号鍵更新システムを構成する認証サーバ、移動体、および無線基地局を提供することを主たる目的とする。

上記課題を解決する本発明の分散環境における暗号鍵更新方法は、無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新方法であって、前記移動体とネットワークで結ばれ、当該移動体の事前認証を行う認証サーバが、前記移動体の認証要求に応じて当該移動体の事前認証処理を行うステップと、前記移動体の事前認証が成立した場合、当該移動体の識別情報を生成し、当該移動体及び当該移動体と通信を行う１以上の無線基地局に対して当該移動体の識別情報を配布するステップと、前記移動体が、前記システムとの通信に際して乱数を生成し、前記無線基地局へ前記乱数を送信する無線通信を行うステップと、前記無線基地局が、前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を含むことを特徴とする（第１の発明）。

第２の発明は、第１の発明において、前記認証サーバが、認証成立した移動体に対して生成した識別情報の無線基地局への配布を、前記移動体の進行方向前方にある無線基地局に移動体の走行に先行して実行するステップを含むことを特徴とする。

第３の発明は、第１の発明において、前記無線基地局が、前記移動体より受信した乱数を、当該移動体の進行方向前方にある他の無線基地局へと移動体の走行に先行して転送することを特徴とする。

第４の発明は、第３の発明において、前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記乱数の転送を、移動体の進行方向前方で所定範囲の領域に存在する無線基地局に対し実行することを特徴とする。

第５の発明は、第３または第４の発明において、前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記乱数の転送を、移動体の進行方向前方に連なって配置されている複数の無線基地局に対して実行することを特徴とする。

第６の発明は、第４または第５の発明において、前記無線基地局が、前記乱数を前記移動体の走行に先行して他の無線基地局に転送するにあたり、前記乱数を転送する他の無線基地局の所定範囲または数を、前記移動体の移動速度の高低または無線基地局間の間隔の大小に応じて増減することを特徴とする。

第７の発明は、第１の発明において、前記無線基地局が、前記記憶領域よりの暗号鍵の選択を、移動体より受信した通信データのヘッダに含まれている当該通信データの暗号化に使用した暗号鍵に関する情報を参照し当該暗号鍵に関する情報に対応する暗号鍵を前記記憶領域より選択することで実行することを特徴とする。

第８の発明は、第１の発明において、前記移動体が、前記システムとの通信に際した乱数の生成を、所定の無線基地局への接近を検知して実行することを特徴とする。

第９の発明は、第１の発明において、前記移動体が、前記システムとの通信に際した乱数の生成を、所定の時間間隔の到来を検知して実行することを特徴とする。

第１０の発明は、第１の発明において、前記移動体が、自身で生成した前記乱数と前記認証サーバより配信されている当該移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、前記無線基地局との無線通信における通信データの暗・復号処理に用いるべく、当該移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を含むことを特徴とする。

第１１の発明は、第１０の発明において、前記移動体が、前記記憶領域よりの暗号鍵の選択を、当該移動体の所定の無線基地局への接近を検知して実行することを特徴とする。

第１２の発明は、第１０の発明において前記移動体が、前記記憶領域よりの暗号鍵の選択を、所定の時間間隔の到来を検知して実行することを特徴とする。

第１３の発明は、第１の発明において、移動体または無線基地局が、無線通信での使用が終了した暗号鍵を当該移動体及び当該無線基地局の記憶領域より削除することを特徴とする。

第１４の発明は、第１３の発明において、移動体または無線基地局が、前記暗号鍵の記憶領域からの削除を、当該移動体と当該無線基地局との無線通信に使用する暗号鍵の切替えが実行され、当該切替えの実行後の暗号鍵を用いた当該移動体と当該無線基地局との無線通信が成立したことを検知し実行することを特徴とする。

第１５の発明は、第１３の発明において、移動体または無線基地局が、前記暗号鍵の記憶領域からの削除を、当該移動体の進行方向前方に位置する無線基地局から、前記切替えの実行後の暗号鍵を用いた当該移動体との無線通信開始の通知を受信した時に実行することを特徴とする。

第１６の発明は、無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新を行うシステムであって、前記移動体の認証要求に応じて当該移動体の事前認証処理を行う事前認証部と、前記移動体の事前認証が成立した場合、当該移動体の識別情報を生成し、当該移動体及び当該移動体と通信を行う１以上の無線基地局に対して当該移動体の識別情報を配布する識別情報配布部と、を備えて前記移動体とネットワークで結ばれる認証サーバと、前記システムとの通信に際して乱数を生成し、前記無線基地局へ前記乱数を送信する無線通信を行う乱数生成部を備えた移動体と、前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第１生成部と、他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第２生成部と、前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択する暗号鍵選択部とを備えた無線基地局と、を備えることを特徴とする。

第１７の発明は、無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新を行うシステムを構成する、前記無線基地局であって、前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第１生成部と、他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第２生成部と、前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択する暗号鍵選択部と、を備えることを特徴とする。

なお、本発明の暗号鍵更新方法として、無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信において、少なくとも一対の無線基地局間では異なる無線媒体が使用されており、各無線基地局の通信可能エリアの関係が包含または互いに重複している状況に対応すべく、以下のような手法を採用するとしてもよい。この場合、前記移動体が、前記システムとの通信に際して複数の乱数を生成し、前記無線基地局へ前記複数乱数を送信する無線通信を行うステップを実行し、前記無線基地局が、前記移動体より送信された前記複数乱数を受信し、当該複数乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記複数乱数を受信し、当該複数乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を実行する。

また、上記のような手法を用いる場合、前記無線基地局が、前記移動体より受信した複数乱数を、当該移動体の進行方向前方にある他の無線基地局へと移動体の走行に先行して転送することとすれば好適である。

また、前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記複数乱数の転送を、移動体の進行方向前方で所定範囲の領域に存在する無線基地局に対し実行することとすれば好適である。

また、前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記複数乱数の転送を、移動体の進行方向前方に連なって配置されている複数の無線基地局に対して実行することとすれば好適である。

また、前記無線基地局が、前記複数乱数を前記移動体の走行に先行して他の無線基地局に転送するにあたり、前記複数乱数を転送する他の無線基地局の所定範囲または数を、前記移動体の移動速度の高低または無線基地局間の間隔の大小に応じて増減することとすれば好適である。

また、前記移動体が、自身で生成した前記複数乱数と前記認証サーバより配信されている当該移動体の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、前記無線基地局との無線通信における通信データの暗・復号処理に用いるべく、当該移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を実行するものとすれば好適である。

この場合、前記移動体が、前記記憶領域よりの所定の無線基地局との通信に用いる暗号鍵の選択を、当該移動体の該無線基地局への接近を検知して実行することとすれば好適である。

更に、前記移動体が、前記記憶領域よりの暗号鍵の選択を、当該移動体の所定の無線基地局への接近を検知して実行するにあたり、当該移動体が以前に無線通信を行ったことのある無線基地局を再度検知した場合、前記記憶領域よりの該無線基地局との通信に用いる暗号鍵の選択にあたり、以前に無線通信を行った時とは異なる暗号鍵を選択することとすれば好適である。

また、前記移動体が、前記記憶領域よりの暗号鍵の選択を、当該移動体の所定の無線基地局への接近を検知して実行するにあたり、当該移動体が該無線基地局との通信に用いる暗号鍵のうち未使用の鍵の残数を確認し、該未使用の暗号鍵の数が所定数以下である場合、該移動体にて乱数を生成し、該乱数を前記接近を検知した無線基地局に送信し、前記乱数と前記認証サーバより配信されている当該移動体の識別情報とに基づいて暗号鍵を生成し、該移動体の所定の記憶領域に格納することとすれば好適である。

また、前記接近を検知された無線基地局が、前記移動体より受信した乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定に記憶領域に格納することとすれば好適である。

また、前記移動体または無線基地局が、当該移動体と当該無線基地局との無線通信が終了してから一定時間経過後、該通信用の使用済み及び未使用の暗号鍵全てを当該移動体及び当該無線基地局の記憶領域より削除することとすれば好適である。

その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。

本発明によれば、通信の処理効率およびセキュリティ性を良好に維持すると共に、システムの負荷軽減やシステム構築の柔軟性を図れる。

−−−暗号鍵更新システム（通信システムの全体）−−−
図１は、本発明の適用先である、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間で無線通信を行う、通信システム（分散環境における暗号鍵更新システム）の概要を示す図である。

このシステム１００の主な構成要素は、通信網０１０３に接続している、アクセスしてくる移動体の認証及び識別情報の発行、配布を行う認証サーバ０１０１と、経路（移動体の経路）上ネットワーク０１０４を介して、通信網０１０３に接続されており、システム内部のサーバ１０に対して無線通信によりアクセスしてくる移動体に対するアクセスポイントとなる、移動体の経路上に設置される無線基地局０１０５と、また走行中に無線基地局０１０５との無線通信を介してシステム内部のサーバ１０にアクセスしてデータのやり取りを行う移動体０１０６とが含まれる。
なお、前記通信網０１０３に接続しており、無線通信により接続してくる移動体に対してサービス提供等を行うのがアプリケーションサーバ０１０２となる。

また、前記無線基地局０１０５は、全てが固定のネットワークに恒久的に接続しているとは限らず、無線ネットワークを介して通信網０１０３に接続するもの、システム外部のネットワーク等、他のネットワーク等を介して通信網０１０３に接続するものも想定できる。さらにこれらの無線基地局０１０５は前記経路上ネットワーク０１０４等に常時接続しているとは限らず、無線基地局の設置や撤去などで前記接続の着脱が発生し得るものである。

前記無線基地局０１０５の主なハードウェア構成は、記憶装置０１１１、処理装置０１１２、通信装置０１１３からなる。記憶装置０１１１には移動体０１０６に対応する識別情報、通信に使用する暗号鍵、及びこれらの情報を管理するためのソフトウェア、暗号鍵を生成するためのソフトウェア、通信を行うためのソフトウェア等が格納され、処理装置０１１２により処理される。

前記通信処理装置０１１３は、移動体０１０６との間でのマルチキャストによる無線通信及び経路上ネットワーク０１０４を介して、他の無線基地局０１０５や通信網０１０３に接続している認証サーバ０１０１やアプリケーションサーバ０１０２との間でのデータの送受信を行う。なお無線基地局０１０５は移動体０１０６の走行経路上に一定の間隔で複数設置されるものである。

また、前記移動体０１０６の主なハードウェア構成は、記憶装置０１２１、処理装置０１２２、通信装置０１２３、無線装置０１２４からなる。記憶装置０１２１には認証サーバ０１０１から配布された該移動体に対応する識別情報、通信に使用する暗号鍵、及びこれらの情報や暗号鍵を管理するためのソフトウェア、暗号鍵を生成するためのソフトウェア、通信を行うためのソフトウェア等が格納され、処理装置０１２２により処理される。 前記通信処理装置０１２３は、無線装置０１２４を用いて、通信網０１０３に接続している認証サーバ０１０１との間で通信を行うために、アクセスポイントとなる無線基地局０１０５との間でマルチキャスト無線通信によるデータの送受信を行う。なおここで行う無線通信は短距離の通信である。

また、前記認証サーバ０１０１は、サーバ装置としての機能を実現すべくハードディスクドライブなどの記憶装置１０１に格納されたプログラム１０２を読み出して処理装置１０３により実行する。また、認証サーバ０１０１は、前記通信網０１０３を介して、無線基地局０１０５らの外部装置と接続してデータ授受を実行する通信装置１０４を備える。なお、前記プログラム１０２は、前記移動体０１０６の認証要求に応じて当該移動体０１０６の事前認証処理を行う事前認証部１１０と、前記移動体０１０６の事前認証が成立した場合、当該移動体０１０６の識別情報を生成し、当該移動体０１０６及び当該移動体０１０６と通信を行う１以上の無線基地局０１０５に対して当該移動体０１０６の識別情報を配布する識別情報配布部１１１とから構成される。

−−−モジュール構成−−−
図２は、本発明における、複数の情報処理装置が通信網を介して接続しているシステムに対して、マルチキャストによる無線通信によりアクセスポイントを介して接続する移動体側のモジュール構成を示す図である。

移動体０１０６の備えるモジュールは、各種コンテンツの要求とデータ処理等を行うアプリケーション０３０１と通信媒体０３０３を介して、システム内部のサーバ１０との通信や通信データの暗号化・復号化処理、暗号鍵の生成、管理等を行うミドルウェア０３０２から成る。

前記ミドルウェア０３０２の主な構成要素としては、前記サーバ１０との通信に際して乱数を生成する乱数生成部０３１１、乱数生成部０３１１にて生成された乱数及び移動体の識別情報を基にして無線基地局０１０５との通信に用いる暗号鍵を生成する暗号鍵生成部０３１２、通信データの暗号化、復号化を行う暗号・復号化部０３１３、通信媒体０３０３を介してサーバ１０へのアクセスポイントとなる無線基地局０１０５との間での通信、無線基地局０１０５への乱数の送信を行うデータ通信部０３１４、通信を管理する通信管理部０３１５、認証サーバ０１０１から配布された識別情報を格納する識別情報格納バッファ０３１６、暗号鍵生成部０３１２にて生成した通信に用いる暗号鍵を格納する暗号鍵格納バッファ０３１７がある。

前記通信管理部０３１５では、データ通信部０３１４が無線基地局０１０５からの基地局アドバタイズメント情報（ブロードキャスト：データのあて先を指定しないで不特定多数の相手にデータを送る手法、により無線基地局より移動体に宛てて発信されている無線基地局の情報）を受信すると移動体０１０６がある無線基地局０１０５に接近していることを検出して、乱数生成部０３１１に新しい乱数の生成及び無線基地局０１０５への送信を指示する。また、暗号鍵生成部０３１２に新しい暗号鍵の生成を指示し、暗号・復号化部０３１３に通信に使用する暗号鍵の切り替えを指示することを行う。または通信管理部０３１５は時間を計測しており、指定の時刻または一定周期にて前述の処理を実施する。

図３は、本発明における、複数の情報処理装置が通信網を介して接続しているシステム側のアクセスポイントとなる、移動体とのマルチキャストによる無線通信を行う無線基地局側のモジュール構成を示す図である。

無線基地局０１０５のモジュールには、通信媒体０４０２を介して、移動体０１０６との間の通信、暗号化・復号化処理、暗号鍵の生成、暗号鍵の管理等を行うミドルウェア０４０１が導入される。

前記ミドルウェア０４０１の主な構成要素は、移動体０１０６より送信されてきた乱数及び移動体０１０６の識別情報を基にして移動体０１０６との通信に使用する暗号鍵を作成する暗号鍵生成部０４１１、通信データの暗号化、復号化を行う暗号・復号化部０４１２、システム内部の各種サーバ宛ての通信データまたは移動体０１０６宛の通信データまたは隣接する無線基地局宛の暗号鍵削除要求メッセージ等を作成する通信データ作成部０４１３、通信媒体０４０２を介して移動体０１０６または通信網０１０３に接続している各種サーバとの通信、移動体０１０６から送信される乱数の受信及び該乱数の隣接する他の無線基地局への転送を行うデータ通信部０４１４、認証サーバ０１０１から配布された識別情報を格納する識別情報格納バッファ０４１５、通信に用いる暗号鍵を格納する暗号鍵格納バッファ０４１６がある。

暗号・復号化部０４１２では、データ通信部０４１４が受信した移動体０１０６からの送信データのヘッダ部分よりデータの暗号化に使用した暗号鍵に関する情報を抽出、参照して、暗号鍵格納バッファ０４１６から該当する暗号鍵を取り出してデータの復号化に用いる。またこの時移動体０１０６が送信したデータの暗号化に用いられていた暗号鍵が無線基地局０１０５より送信するデータを暗号化するのに使用していた暗号鍵と異なる新しい鍵であった場合は、次回以降無線基地局０１０５より移動体０１０６に対してデータを送信する場合は該新しい暗号鍵を用いることにする。

また、前記暗号・復号化部０４１２は、本発明における暗号鍵選択部の機能を有するものとし、前記移動体０１０６との無線通信における通信データの暗・復号処理に用いるべく、前記移動体０１０６の走行に連動して前記記憶領域（暗号鍵格納バッファ０４１６）内の暗号鍵を選択する処理を実行することとなる。

また、前記暗号鍵生成部は、本発明における暗号鍵第１生成部および暗号鍵第２生成部の機能を有するものとし、前記移動体０１０６より送信された前記乱数を受信し、当該乱数と前記認証サーバ０１０１より配信されている前記移動体０１０６の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域（暗号鍵格納バッファ０４１６）に格納する処理と、他の無線基地局が前記移動体０１０６より受信し当該移動体０１０６の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバ０１０１より配信されている前記移動体０１０６の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域（暗号鍵格納バッファ０４１６）に格納する処理とを実行することとなる。

なお、これまで示した各モジュールを構成する各部は、ハードウェアとして実現してもよいし、ＨＤＤやメモリなどの適宜な記憶装置に格納したプログラムとして実現するとしてもよい。この場合、前記処理装置０１０５、０１２２がプログラム実行に合わせて記憶装置０１１１、０１２３より該当プログラムを読み出して、これを実行することとなる。

また、前記通信網０１０３あるいは、前記経路上ネットワーク０１０４に関しては、インターネットやＬＡＮの他、専用回線やＷＡＮ（Wide Area Network）、電灯線ネットワーク、無線ネットワーク、公衆回線網、携帯電話網など様々なネットワークを採用することも出来る。また、ＶＰＮ（Virtual Private Network）など仮想専用ネットワーク技術を用いれば、インターネットを採用した際にセキュリティ性を高めた通信が確立され好適である。なお、無線基地局０１０５と移動体０１０６との間の通信が無線通信であることは勿論である。

また、マルチキャストとは、同じデータを複数のあて先アドレスに配布することである。ブロードキャスト（Broadcast）では一つのデータの配布先が不特定多数であるが、マルチキャストでは前もって決められたあて先だけにデータを送る。他方、ブロードキャストとは、データのあて先を指定しないで、不特定多数の相手にデータを送ることである。一般には、複数のあて先を指定して同じデータを送るマルチキャストとブロードキャストを区別しているが、ＩＰ（Internet Protocol）のバージョン6（IPv6）では、ブロードキャストをマルチキャストに含めて、特別なケースとして扱うことにしている。

−−−暗号鍵の生成・切替処理−−−
図４は、本発明における、マルチキャストによる無線通信に使用する暗号鍵の生成及び切り替えの方法の概要を示す図である。主な構成要素として移動体０１０６、移動体０１０６の経路上に順に並んで設置されるアクセスポイントとなる無線基地局A０２０１、無線基地局B０２０２、無線基地局C０２０３、無線基地局D０２０４等がある。

移動体０１０６及び無線基地局A０２０１、無線基地局B０２０２、無線基地局C０２０３、無線基地局D０２０４には移動体０１０６の識別情報０２１１が事前に配布されている。またこれらの無線基地局は、他の全ての無線基地局に関する情報を保持しているわけではなく、隣接する無線基地局または周囲の限定された領域に存在する他の無線基地局に関する情報のみを保持している。

図４では、走行中の移動体０１０６は、無線基地局B０２０２に接近すると、乱数０２１２を生成し(０２２１)、生成した乱数０２１２を無線基地局B０２０２に送信する。また移動体０１０６において、該移動体の識別情報０２１１と生成した乱数０２１２を基にして暗号鍵を生成する(０２２２)。
また移動体０１０６から送信された乱数０２１２を受信した無線基地局B０２０２でも移動体の識別情報０２１１と乱数０２１２を基にして暗号鍵を生成する(０２２３)。または無線基地局B０２０２に隣接している無線基地局(図４では無線基地局Ａ０２０１、無線基地局C０２０３。ただし無線基地局Ａ０２０１では移動体０１０６が既に通過済みであるため、受信した乱数は破棄される)に転送する(０２２４)。
無線基地局Ｃ０２０３では、該移動体０１０６の識別情報０２１１と無線基地局Ｂ０２０２より受信した乱数を基にして暗号鍵を生成する(０２２５)。また転送範囲の条件設定に基づいて(図４では移動体０１０６より乱数を最初に受信した無線基地局より２つ先の無線基地局まで乱数を転送)、無線基地局Ｂ０２０２より受信した乱数を無線基地局Ｄ０２０４に転送する(０２２６)。
無線基地局Ｄ０２０４では同様にして該移動体０１０６の識別情報０２１１と無線基地局Ｃ０２０３より受信した乱数を基にして暗号鍵を生成する(０２２７)。

上述のようにして、移動体０１０６及び無線基地局B０２０２、無線基地局C０２０３、無線基地局D０２０４はそれぞれ同一の識別情報０２１１と乱数０２１２を用いて暗号鍵を生成しており、これらの移動体０１０６と無線基地局B０２０２、無線基地局C０２０３、無線基地局D０２０４は直接暗号鍵自体の受け渡しを行うことなく暗号鍵を共有することができる。

無線通信を介しての移動体０１０６と無線基地局の間で暗号鍵の受け渡しまたは無線基地局間での暗号鍵の受け渡しを行うと外部に漏洩する危険性があるが、本方式では毎回値の異なる乱数のみを無線通信を介して受け渡しを行うのみであり、移動体０１０６の識別情報０２１１も限定された無線基地局にのみ送信され、乱数と識別情報が共に同じでなければ同一の暗号鍵を生成することができないことから、移動体０１０６と無線基地局との間の通信に使用する暗号鍵が外部の第3者に漏洩する心配は無い。

なお移動体０１０６の進行方向上に連続して配置される無線基地局B０２０２、無線基地局C０２０３、無線基地局D０２０４が同一の暗号鍵を保有することで、移動体０１０６の走行に伴いハンドオーバーが発生した場合でも、隣接するどちらの無線基地局でデータの送受信を行ってもデータの暗号化・復号化が成立するようにデータの送信側と受信側での暗号鍵の不一致を回避している。

同様の処理は、移動体０１０６が走行中に無線基地局A０２０１に接近していた場合も実施されており、また無線基地局B０２０２を通過後、無線基地局C０２０３、無線基地局D０２０４に接近する際にも実施される。これらの処理により移動体０１０６及び各無線基地局は無線通信に使用するための暗号鍵を複数個保有することになるが、移動体０１０６は走行に連動してこれらの複数の暗号鍵の切り替えを行っていく。また各無線基地局においても、保有する複数個の暗号鍵の中から、移動体０１０６から送信されるデータの暗号化に使用された暗号鍵を選択して切り替えていく。上述の処理により移動体０１０６の走行に連動して、該移動体０１０６と無線基地局との間の無線通信に使用する暗号鍵は更新されていき、通信データのセキュリティ強度は維持される。

本方式のように移動体０１０６の走行に連動して、生成した時間毎に異なる乱数と通信相手を限定するための移動体の識別情報を用いて暗号鍵を生成し、また移動体により生成された乱数を無線基地局間で転送する範囲を限定していることから、行き先または位置の特定が困難である移動体の走行に連動して、セキュアな無線通信を保証するための、該移動体及び近隣の1つ以上の無線基地局による一過性のセキュアなグループを形成することができる。

−−−識別情報の生成・配布処理−−−
図５は、本発明における、移動体毎に割り当てる識別情報の生成及び配布を行う処理の流れを示すシーケンス図である。主な構成要素は、移動体０１０６、システム内部に設置されており通信網０１０３に接続している認証サーバ０１０１、移動体０１０６が走行開始直後に１番目に通信を行う１番目の基地局０５０１、移動体０１０６が走行開始後に２番目に通信を行う２番目の基地局０５０２、移動体０１０６が走行開始後に３番目に通信を行う３番目の基地局０５０３、移動体０１０６が走行開始後に４番目に通信を行う４番目の基地局０５０４がある。
なお、ここで生成する移動体０１０６の識別情報は、移動体０１０６及び無線基地局０１０５との間で共有する暗号鍵を作成する上で利用するものであり、外部に漏洩した場合の対策として、識別情報の有効期間を設定して、期間内のみ利用可能であるとする。また同一移動体の識別情報であっても、生成の度に常に同一の値になることは回避する。

移動体０１０６は、走行を開始する前に、０５１１において、認証サーバ０１０１に認証要求を送信する。０５２１において、認証サーバ０１０１は移動体０１０６からの認証要求を受信すると該移動体の認証処理を実施する。
認証不成立であった場合は、結果を移動体０１０６に返して処理を終了する。認証成立であった場合、０５２２において、移動体０１０６に関する識別情報を生成する。なおここで生成する識別情報は同一の移動体であっても認証処理を行う度に異なる値の識別情報を生成する。

０５２３において、生成した移動体０１０６の識別情報を移動体０１０６に送信する。０５１２において、移動体０１０６は認証サーバ０１０１から送信された識別情報を受信する。また０５２３において、認証サーバ０１０１は１番目の基地局０５０１及び２番目の基地局０５０２に対しても、０５２２で生成した移動体０１０６の識別情報を送信する。０５３１において、1番目の基地局０５０１は認証サーバ０１０１から送信された移動体０１０６の識別情報を受信し、該基地局における識別情報格納バッファに格納する。同様にして０５４１において、２番目の基地局０５０２は認証サーバ０１０１から送信された移動体０１０６の識別情報を受信し、該基地局における識別情報格納バッファに格納する。

なお移動体０１０６は識別情報を認証サーバ０１０１より受信してから通信を開始するものとし、該識別情報が認証された、通信可能な移動体であることの証となる。
移動体０１０６は走行中に通信を行い、０５３２において、1番目の基地局０５０１は移動体０１０６からの通信データを受信することで移動体０１０６の接近を検出する。０５３３において、1番目の基地局０５０１は移動体０１０６の接近を検出すると、すでに認証サーバ０１０１から受信しており識別情報格納バッファに格納している移動体０１０６の識別情報を３番目の基地局０５０３に転送する。

０５５１において、３番目の基地局０５０３は１番目の基地局０５０１から送信された移動体０１０６の識別情報を受信し、該基地局における識別情報格納バッファに格納する。同様に、０５４２において、２番目の基地局０５０２は移動体０１０６からの通信データを受信することで移動体０１０６の接近を検出する。０５４３において、２番目の基地局０５０２は移動体０１０６の接近を検出すると、すでに認証サーバ０１０１から受信しており識別情報格納バッファに格納している移動体０１０６の識別情報を４番目の基地局０５０４に転送する。０５６１において、４番目の基地局０５０４は２番目の基地局０５０２から送信された移動体０１０６の識別情報を受信し、該基地局における識別情報格納バッファに格納する。

上述のように無線基地局０１０５は、走行中の移動体０１０６の接近を検出すると、移動体０１０６の識別情報を、移動体０１０６の進行方向前方の２つ前の基地局に転送していく。このようにして移動体０１０６との通信が行われることを無線基地局０１０５に事前通知するとともに、移動体０１０６の識別情報の配布範囲を限定する。

−−−乱数生成、暗号鍵生成、暗号鍵の転送処理−−−
図６は、本発明における、移動体における暗号鍵作成に用いる乱数の生成、移動体及び無線基地局における暗号鍵の生成、また無線基地局間での乱数の転送を行う処理の流れを示すシーケンス図である。主な構成要素は、移動体０１０６、移動体０１０６が走行に伴って通信を行う、通信開始から数えてｎ番目の無線基地局０６０１、同様にｎ＋１番目の無線基地局０６０２、ｎ＋２番目の無線基地局０６０３がある。

０６２１において、ｎ番目の無線基地局０６０１は基地局アドバタイズメント情報のブロードキャスト送信を行う。なおこの基地局アドバタイズメント情報は各無線基地局０１０５が定期的にブロードキャスト送信するものであり、アドレス等の無線基地局を識別するための情報が含まれる。該基地局アドバタイズメント情報を受信することにより移動体０１０６は該無線基地局に接近したことを検知する。０６１１において、移動体０１０６はｎ番目の無線基地局０６０１の基地局アドバタイズメント情報を受信する。なお本処理が移動体０１０６における以降の処理を開始するトリガーとなる。０６１２において、移動体０１０６は乱数を生成する。０６１３において、移動体０１０６は生成した乱数をｎ番目の無線基地局０６０１に送信する。

０６１４において、移動体０１０６は認証サーバ０１０１から受信していた移動体０１０６の識別情報と、０６１２において生成した乱数を用いてワンタイムパスワードを生成する。０６１５において、生成したワンタイムパスワードから暗号鍵を作成する。０６１６において、生成した暗号鍵を移動体０１０６における暗号鍵格納バッファに格納する。

０６２２において、ｎ番目の無線基地局０６０１は移動体０１０６から送信された乱数を受信する。本処理はｎ番目の無線基地局０６０１における以降の処理を開始するトリガーとなる。０６２３において、０６２２にて受信した乱数をｎ＋１番目の無線基地局０６０２に送信する。ここで乱数を転送する無線基地局の数または領域の範囲は設定により決まる。０６２４において、事前に受信していた移動体０１０６の識別情報と０６２２にて受信した乱数を用いてワンタイムパスワードを生成する。０６２５において、生成したワンタイムパスワードから暗号鍵を作成する。０６２６において、生成した暗号鍵をｎ番目の無線基地局０６０１における暗号鍵格納バッファに格納する。

０６３１において、ｎ＋１番目の基地局０６０２はｎ番目の基地局０６０１から送信された乱数を受信する。０６３２において、０６３１にて受信した乱数をｎ＋２番目の基地局０６０３に送信する。ここで乱数を転送する基地局の数または領域の範囲は設定により決まる。０６３３において、事前に受信していた移動体０１０６の識別情報と０６３１にて受信した乱数を用いてワンタイムパスワードを生成する。０６３４において、生成したワンタイムパスワードから暗号鍵を作成する。０６３５において、生成した暗号鍵をｎ＋１番目の無線基地局０６０２における暗号鍵格納バッファに格納する。

０６４１において、ｎ＋２番目の無線基地局０６０３は、ｎ＋１番目の無線基地局０６０２から送信された乱数を受信する。０６４２において、事前に受信していた移動体０１０６の識別情報と０６４１にて受信した乱数を用いてワンタイムパスワードを生成する。０６４３において、生成したワンタイムパスワードから暗号鍵を作成する。０６４４において、生成した暗号鍵をｎ＋２番目の無線基地局０６０３における暗号鍵格納バッファに格納する。

上述のように移動体０１０６及びｎ番目の無線基地局０６０１、ｎ＋１番目の無線基地局０６０２、ｎ＋２番目の無線基地局０６０３にて生成された暗号鍵は、主に移動体０１０６がｎ＋１番目の無線基地局０６０２と通信を行う際に使用するものである。

該暗号鍵をｎ＋１番目の無線基地局０６０２だけでなく前後の無線基地局においても同一のものを保有しているため、移動体０１０６の走行に伴って、ｎ番目の無線基地局０６０１からｎ＋１番目の無線基地局０６０２へとハンドオーバーが発生する場合、移動体０１０６において通信データの暗号化に使用する暗号鍵をｎ番目の無線基地局０６０１との間の通信に使用する暗号鍵からｎ＋１番目の無線基地局０６０２との間の通信に使用する暗号鍵へと切り替えた場合、ｎ番目の無線基地局０６０１とｎ＋１番目の無線基地局０６０２のどちらが移動体０１０６からの送信データを受信したとしても、両無線基地局では該当する暗号鍵を保有しているために受信データの復号化が可能である。

また移動体０１０６の走行に伴って、ｎ＋１番目の無線基地局０６０２からｎ＋２番目の無線基地局０６０３へとハンドオーバーが発生する場合、移動体０１０６において通信データの暗号化に使用する暗号鍵をｎ＋１番目の無線基地局０６０２との間の通信に使用する暗号鍵からｎ＋２番目の無線基地局０６０３との間の通信に使用する暗号鍵へと切り替えを行うよりも前に、ｎ＋２番目の無線基地局０６０３が移動体０１０６からの送信データを受信してしまったとしても、ｎ＋２番目の無線基地局０６０３もｎ＋１番目の無線基地局０６０２との間の通信に使用する暗号鍵を保有しているため、受信データの復号化が可能である。

上述により移動体０１０６の走行に伴い、通信相手の無線基地局０１０５が変わる毎に暗号鍵の切り替えを行ってセキュリティ強度を保つとともに、移動体０１０６の走行に伴う無線基地局間のハンドオーバーが発生しても、通信データの暗号化・復号化の不成立を回避しており、通信の信頼性を保っている。

−−−テーブル構成の例−−−
図７は、本発明における、移動体において移動体の走行中に生成した、無線通信に使用する暗号鍵を格納する暗号鍵管理テーブル、及び無線基地局において生成した、無線通信に使用する暗号鍵を格納する暗号鍵管理テーブルを示す図である。主な構成要素は、移動体０１０６にて保有する暗号鍵管理テーブル０７０１と無線基地局０１０５にて保有する暗号鍵管理テーブル０７０２がある。

移動体０１０６にて保有する暗号鍵管理テーブル０７０１の主な構成要素は、暗号鍵０７１１、鍵情報０７１２、状態０７１３がある。暗号鍵０７１１には移動体０１０６にて生成した、無線基地局０１０５との間の通信に用いる暗号鍵を格納する。ここでは複数の暗号鍵を保有しており、通信相手の無線基地局毎に使い分ける。
また暗号鍵は移動体０１０６の走行に伴って順に生成されていくため、新規に生成した暗号鍵を暗号鍵管理テーブル０７０１に格納するとともに、既に無線基地局０１０５との通信での使用が終了すると暗号鍵は暗号鍵管理テーブル０７０１より削除していく。

鍵情報０７１２は暗号鍵０７１１に格納される暗号鍵に関する情報であり、暗号鍵のバージョン、サイズ、生成時刻、アルゴリズム等の情報が含まれる。また暗号鍵０７１１に格納される暗号鍵の１つずつに対して情報が鍵情報０７１２に格納される。状態０７１３は暗号鍵０７１１に格納される暗号鍵の使用状態を格納し、"未使用"、"使用中"、"使用済み"のいずれかの値をとる。暗号鍵の切り替え処理が発生する度にこれらの値は更新される。

無線基地局０１０５にて保有する暗号鍵管理テーブル０７０２の主な構成要素は、移動体識別情報０７２１、暗号鍵／鍵情報０７２２、状態０７２３がある。移動体識別情報０７２１には、認証サーバ０１０１もしくは他の無線基地局０１０５より転送されてきた移動体０１０６毎の識別情報が格納される。

暗号鍵／鍵情報０７２２には移動体０１０６毎に無線基地局０１０５にて生成された暗号鍵及び該暗号鍵に関する情報を格納している。ここでは移動体０１０６毎に３つの暗号鍵を格納しているが、これらは本テーブルを保有する無線基地局が移動体０１０６と通信を行う際に主に使用する暗号鍵と、移動体０１０６の進行方向における前後の無線基地局がそれぞれ移動体０１０６と通信を行う際に主に使用する暗号鍵が含まれる。これらの複数個の暗号鍵を保有することで、移動体０１０６の走行中に無線基地局間でハンドオーバーが発生する際に通信データの送信側と受信側で暗号鍵の不一致が生じることを回避する。状態０７２３には移動体識別情報０７２１に識別情報が含まれる各移動体との通信状態を格納し、"未通信"、"通信中"、"通信終了"のいずれかの値をとる。

−−−移動体における暗号鍵の切替え処理等−−−
図８は、本発明における、移動体が走行中に行う暗号鍵の切り替え処理及びデータ送信時の処理の流れを示すフローチャートである。
０８０１において、走行中の移動体０１０６が進行方向前方の次の無線基地局がブロードキャスト送信しているアドバタイズメント情報を受信する。なおこの受信が本処理を開始するトリガーとなる。
０８０２において、該移動体０１０６にて保持する暗号鍵管理テーブルを参照して、"状態"の項目の値が"使用中"となっている暗号鍵の"状態"を"使用済み"に変更する。
０８０３において、該移動体０１０６にて保持する暗号鍵管理テーブルを参照して、"状態"の項目の値が"未使用"になっている暗号鍵の"状態"を"使用中"に変更する。
０８０４において、図６に示した手順で新しい暗号鍵の生成の処理を実施する。０８０５において、該移動体０１０６にて稼動するアプリケーションよりデータの送信要求が発生すると、０８０６において、該移動体０１０６にて保持する暗号鍵管理テーブルより"状態"の項目の値が"使用中"である暗号鍵を抽出する。ここで０８０３の処理により送信データの暗号化に使用する暗号鍵は新しい鍵に切り替わっている。
０８０７において、０８０６にてテーブルより抽出した暗号鍵を用いて送信データを暗号化する。０８０８において、送信データの通信ヘッダに暗号化に使用した暗号鍵の情報を書き込む。この情報はデータの受信側におけるデータの復号化処理の際に復号化に用いる暗号鍵の選択のために参照される。０８０９において、暗号化されたデータを送信する。

−−−無線基地局における暗号鍵の切替え処理等−−−
図９は、本発明における、移動体０１０６からの無線による送信データを受信した無線基地局における、受信データに応じた復号用の暗号鍵の切り替え及び受信データの復号化の処理の流れを示すフローチャートである。
０９０１において、図８に示した手順にて移動体０１０６より送信されたデータを受信する。０９０２において、受信データの通信ヘッダに格納された暗号化に用いた暗号鍵に関する情報を抽出する。
０９０３において、抽出した鍵情報に基づいて無線基地局にて保持する暗号鍵管理テーブルより該当する暗号鍵を抽出する。０９０４において、暗号鍵管理テーブルに該当する暗号鍵が有る場合、０９０５において、抽出した暗号鍵を用いて移動体０１０６からの受信データを復号化する。
０９０７において、０９０５にて復号化したデータをシステム内部の各種サーバ等へ転送する。ただし０９０４において、暗号鍵管理テーブルに該当する暗号鍵が無い場合、０９０６において、移動体０１０６より受信したデータを破棄する。

−−−移動体における使用済み暗号鍵の削除処理−−−
図１０は、本発明における、移動体において、無線通信に用いる暗号鍵で使用済みの鍵を削除する処理の流れを示すフローチャートである。
１００１において、走行中の移動体０１０６が進行方向前方の次の無線基地局がブロードキャスト送信しているアドバタイズメント情報を受信する。１００２において、図８にて示した手順により送信データの暗号化に用いる暗号鍵の切り替えの処理を行い、切り替え後の暗号鍵を用いてデータを暗号化して送信する。
１００３において、切り替え後の新しい暗号鍵で暗号化されたデータを、１００１にて基地局アドバタイズメント情報を受信した無線基地局より受信する。この受信が本処理を開始するトリガーとなる。１００４において、切り替え前に移動体０１０６との通信に使用していた暗号鍵を削除する。１００５において、移動体０１０６にて保持する暗号鍵管理テーブルから１００４にて削除した暗号鍵に関する情報を削除する。

−−−無線基地局における使用済み暗号鍵の削除処理−−−
図１１は、本発明における、無線基地局において、無線通信に用いる暗号鍵で使用済みの鍵を削除する処理の流れを示すシーケンス図である。主な構成要素は、移動体０１０６、移動体０１０６が走行に伴って通信を行う、通信開始から数えてｎ番目の基地局１１０１、同様にｎ＋１番目の基地局１１０２がある。

１１３１において、ｎ＋１番目の基地局１１０２は基地局アドバタイズメント情報のブロードキャスト送信を行う。１１１１において、移動体０１０６はｎ＋１番目の基地局１１０２がブロードキャスト送信した基地局アドバタイズメント情報を受信する。本処理が以降の処理を開始するトリガーとなる。１１１２において、移動体０１０６は、それまでに使用していたn番目の基地局１１０１との間の通信に用いる暗号鍵から、ｎ＋１番目の基地局１１０２との間の通信に用いる暗号鍵へと切り替えを行う。１１１３において、１１１２にて切り替えた後の暗号鍵を用いて暗号化した通信データのマルチキャスト送信を行う。
１１３２において、ｎ＋１番目の基地局１１０２は、切り替え後のｎ＋１番目の基地局１１０２との間の通信に用いる暗号鍵により暗号化された、移動体０１０６からの送信データを受信すると、１１３３において、暗号鍵削除指示メッセージをｎ番目の基地局１１０１に送信する。１１２１において、ｎ番目の基地局１１０１がｎ＋１番目の基地局１１０２から送信された暗号鍵削除指示メッセージを受信すると、１１２２において、移動体０１０６との通信に用いていた暗号鍵を削除する。以後、移動体０１０６がｎ＋２番目、ｎ＋３番目の基地局と通信を開始した際にも同様の処理が実施される。

上述のようにして、移動体０１０６の通過後、使用の終了した暗号鍵は直ちに削除される。このため後に不正に暗号鍵を取得した第３者から送信された不正なデータを無線基地局０１０５が受信されたとしても、復号化されずにデータは削除され、システムのセキュリティ強度を保つことができる。

−−−移動体が停止中の処理−−−
図１２は、本発明における、移動体がある場所に長期間停止している場合の、移動体及び無線基地局における暗号鍵の生成及び切り替えの処理の流れを示すフローチャートである。
１２０１において、移動体０１０６が長期間停止していることを検出する。ここで移動体０１０６の長期停止の検出は、運行管理システム等から該移動体０１０６が停止していることを通知される、またはある一定時間以上同一の無線基地局０１０５との通信が続いており、新しい無線基地局０１０５との通信が始まらないことを検知すること等により行われる。
１２０２において、移動体０１０６が停止してから事前に指定されている一定時間が経過した場合、１２０３において、移動体０１０６は暗号鍵生成に用いる乱数を生成する。１２０４において、１２０３にて生成した乱数を最寄りの無線基地局０１０５に送信する。 該乱数を受信した無線基地局０１０５では、該移動体０１０６の識別情報と該乱数を用いて暗号鍵を生成する。ここで現在通信データの暗号化に使用している暗号鍵はｎ番目に切り替えられたものであるとする。１２０５において、該移動体０１０６の識別情報と１２０３にて生成した乱数とを用いてｎ＋２番目に用いる暗号鍵を生成する。
１２０６において、現在使用中のｎ番目の暗号鍵からｎ＋１番目の暗号鍵に切り替える。以降では該移動体０１０６から送信する通信データの暗号化にはｎ＋１番目の暗号鍵を使用する。１２０７において、該移動体０１０６の移動再開を検出した場合、処理を終了し、図７、８、９に示したような移動体走行中における通常の処理を行う。また１２０７において、該移動体０１０６の移動再開が検出されない場合は１２０２から１２０６の処理を繰り返す。

−−−セキュアグループの例−−−
図１３は、本発明における、同一の暗号鍵を保有することでデータを共有する、移動体と複数の無線基地局により構成され、移動体の走行に伴ってグループメンバを変更していくセキュアなグループの概要を示す図である。主な構成要素として移動体０１０６、移動体０１０６の経路上に設置されているアクセスポイントとなる無線基地局A１３０１、無線基地局B１３０２、無線基地局C１３０３、無線基地局D１３０４等がある。１３３１には無線基地局A１３０１、無線基地局B１３０２、無線基地局C１３０３、無線基地局D１３０４において保有する暗号鍵のリストを示している。

図１３において、グループＩ１３１１は暗号鍵Ｋｅｙ＿１を共有する無線基地局A１３０１、無線基地局B１３０２、無線基地局C１３０３及び移動体０１０６をメンバとして構成される。グループII１３１２は暗号鍵Ｋｅｙ＿２を共有する無線基地局B１３０２、無線基地局C１３０３、無線基地局D１３０４及び移動体０１０６をメンバとして構成される。グループIII１３１３は暗号鍵Ｋｅｙ＿３を共有する無線基地局C１３０３、無線基地局D１３０４及び移動体０１０６がメンバに含まれる。
ここで暗号鍵Ｋｅｙ＿１は、移動体０１０６が無線基地局A１３０１に接近した際に移動体０１０６及び無線基地局A１３０１、無線基地局B１３０２、無線基地局C１３０３にて生成され共有される。

暗号鍵Ｋｅｙ＿１は主に移動体０１０６と無線基地局B１３０２との間の無線通信にて使用されるが、移動体０１０６の走行に伴い、無線基地局A１３０１と無線基地局B１３０２との間または無線基地局B１３０２と無線基地局C１３０３との間でハンドオーバーが発生した際に、無線基地局A１３０１または無線基地局C１３０３と移動体０１０６との間で無線通信が成立した場合でも、無線基地局A１３０１及び無線基地局C１３０３も暗号鍵Ｋｅｙ＿１を保有していることから通信データの暗号化・復号化が成立する。
このようにして移動体０１０６の走行に伴いハンドオーバーが発生しても通信の連続性、リアルタイム性は保証される。

また同様にして暗号鍵Ｋｅｙ＿２は移動体０１０６が無線基地局B１３０２に接近した際に移動体０１０６及び無線基地局B１３０２、無線基地局C１３０３、無線基地局D１３０４にて生成され共有される。暗号鍵Ｋｅｙ＿２は、主に移動体０１０６と無線基地局C１３０３との間の無線通信に使用される。
暗号鍵Ｋｅｙ＿３は、移動体０１０６が無線基地局C１３０３に接近した際に移動体０１０６及び無線基地局C１３０３、無線基地局D１３０４、移動体０１０６の進行方向前方の無線基地局D１３０４に隣接する無線基地局にて生成され共有される。暗号鍵Ｋｅｙ＿３は、主に移動体０１０６と無線基地局D１３０４との間の無線通信に使用される。

なお移動体０１０６の走行に伴い、無線基地局A１３０１と無線基地局B１３０２との間でのハンドオーバーが終了し、移動体０１０６が通信データの暗号化に使用する暗号鍵をＫｅｙ＿１へと切り替え、移動体０１０６と無線基地局B１３０２との間で暗号鍵Ｋｅｙ＿１を用いて暗号化した通信データの送受信が成立すると、無線基地局B１３０２は無線基地局A１３０１に対して暗号鍵削除要求メッセージを送信し、無線基地局A１３０１は該メッセージを受信すると無線基地局A１３０１にて保有する暗号鍵(Ｋｅｙ＿１)を削除する。これにより以降では無線基地局A１３０１は移動体０１０６との通信は不可能となる。 また同様にして移動体０１０６の走行に伴い、無線基地局B１３０２と無線基地局C１３０３との間でのハンドオーバーが終了し、移動体０１０６が通信データの暗号化に使用する暗号鍵をＫｅｙ＿１からＫｅｙ＿２に切り替え、移動体０１０６と無線基地局C１３０３との間で暗号鍵Ｋｅｙ＿２を用いて暗号化した通信データの送受信が成立すると、無線基地局C１３０３は無線基地局B１３０２に対して暗号鍵削除要求メッセージを送信し、無線基地局B１３０２は該メッセージを受信すると無線基地局B１３０２にて保有する暗号鍵(Ｋｅｙ＿１、Ｋｅｙ＿２)を削除する。これにより以降では無線基地局B１３０２は移動体０１０６との通信が不可能となる。移動体０１０６が無線基地局D１３０４と通信を開始した時も同様である。

上述のようにして、移動体０１０６の進行に連動して、該移動体０１０６と無線基地局との間の無線通信に使用する暗号鍵を共有する、該移動体０１０６及び複数の連続して配置される無線基地局をメンバとするグループが形成されていき、移動体０１０６の通過後には無線基地局はメンバから削除され、グループも削除されていく。このようにして走行する移動体０１０６の近傍でのみ無線通信における通信データの共有が可能となり、それ以外の外部に対してデータは秘匿されセキュリティ強度を保つことができる
−−−移動体が列車である場合の実施形態−−−
図１４は、本発明における分散環境における暗号鍵更新方法を、走行する列車と線路沿いに設置された無線局の間で無線通信を行う車上−地上間通信システムに適用した場合の実施例を示す図である。

主な構成要素は、鉄道会社の通信網１４０３に接続した、電車の認証及び識別情報の発行、配布を行う認証サーバ１４０１、乗務員向けの業務情報を管理する業務サーバ、乗客に提供するコンテンツを管理するコンテンツ配信サーバ１４０２、線路上ネットワーク１４０４を介して通信網１４０３に接続されており、通信網１４０３に接続しているシステム内部のサーバに対して無線通信を介してアクセスしてくる電車１４０６に対するアクセスポイントとなる、線路沿いに一定間隔で設置される無線基地局１４０５、及び走行しながらの無線基地局１４０５との間の無線通信を介して、鉄道会社の通信網１４０３に接続する各種サーバにアクセスする電車１４０６等がある。
電車１４０６には、車上ＬＡＮ１４１３が構築されており、無線機１４１２を介して車上ＬＡＮ１４１３と無線基地局１４０５への無線通信を中継する車上サーバ１４１１、車上ＬＡＮ１４１３に接続する乗客１４２１の端末、乗務員１４２２の端末等がある。

本システムにより、電車１４０６内の乗客１４２１からの要求によりコンテンツ配信、鉄道会社の通信網１４０３を介してのインタネット接続等のアプリケーションを提供し、乗務員１４２２は鉄道会社の通信網１４０３に接続する業務サーバ１４０２と座席情報、予約情報や運行情報等の業務情報のやり取りを行う。
電車１４０６が始発駅等に停車中に認証サーバ１４０１による該電車１４０６の認証が実施され、認証成立の場合、該電車１４０６の識別情報が生成され、該電車１４０６及び線路沿いに連続して順に設置された無線基地局１４０５に対して識別情報が事前配布される。
電車１４０６の走行中、無線基地局１４０５がブロードキャスト送信する基地局アドバタイズメント情報を電車１４０６に搭載された無線機１４１２が受信すると、車上サーバ１４１１にて乱数が生成され、無線基地局１４０５に対して該乱数を送信する。
車上サーバ１４１１にて、認証サーバ１４０１より配布された電車１４０６の識別情報と前記乱数を用いて暗号鍵を生成し、車上サーバ１４１１内の記憶装置に格納される。

また前記乱数を受信した無線基地局１４０５では認証サーバ１４０１より配布された電車１４０６の識別情報と該乱数を用いて暗号鍵を生成し、該無線基地局内の記憶装置に格納するともに、電車１４０６の進行方向前方の無線基地局１４０５に生成した乱数を転送する。乱数を受信した電車１４０６の進行方向前方の無線基地局１４０５においても、電車１４０６の識別情報と該乱数を用いて暗号鍵を生成し、該無線基地局内の記憶装置に格納する。

電車１４０６の走行中に、乗客１４２１へのコンテンツ配信やインターネットアクセス、乗務員１４２２向けの業務情報のやり取り等のための通信を行うために、電車１４０６上の無線機１４１２を介して車上サーバ１４１１と鉄道会社の通信網１４０３に接続しており、線路上に連続的に配置されている無線基地局１４０５との間で無線通信が行われる。 該無線通信には前述の車上サーバ１４１１及び無線基地局１４０５にて生成された暗号鍵が常に使用され、通信データが線路周辺等の外部に漏洩することを防止している。なお電車１４０６の走行に伴い、車上サーバ１４１１は無線基地局１４０５からブロードキャスト送信される基地局アドバタイズメント情報を受信する毎に無線基地局１４０５に接近したとみなして、該無線基地局との無線通信に用いる暗号鍵へ切り替えを実施する。

また無線基地局１４０５では電車１４０６上の車上サーバ１４１１から送信される通信データのヘッダを参照して、該データの暗号化に使用している暗号鍵に関する情報を抽出して、該当する暗号鍵を記憶領域から抽出して、それまでに使用していた暗号鍵と切り替え、該受信データの復号化に用いる。また以降は該無線基地局１４０５から電車１４０６に対して送信するデータの暗号化には切り替え後の暗号鍵を使用する。
なお無線基地局１４０５では電車１４０６の通過後、該電車との無線通信に使用した暗号鍵を削除する。また電車１４０６においても次の無線基地局とのデータの送受信が成立すると前の無線基地局との無線通信に使用した暗号鍵は削除する。

−−−移動体が自動車である場合の実施形態−−−
図１５は、本発明における分散環境における暗号鍵更新方法を、道路上を走行する車と路上に設置された無線局との間で無線通信を行う路車間通信システムに適用する場合の実施例を示す図である。

主な構成要素は、道路を管理する行政機関、地方自治体またはサービス提供会社等の通信網１５０３内に設置された、車の認証及び識別情報の発行、配布を行う認証サーバ１５０１、車に対してコンテンツ情報の配信を行うコンテンツ配信サーバ１５０２、路上ネットワーク１５０４を介して、行政機関、地方自治体またはサービス提供会社等の通信網１５０３に接続されており、通信網１５０３に接続しているサーバに対して無線通信によりアクセスしてくる車１５０６に対するアクセスポイントとなる、道路沿いに一定間隔で設置される無線基地局１５０５、及び道路を走行しながら無線通信を介して、通信網１５０３に接続する各種サーバにアクセスする車１５０６等がある。
車１５０６には処理装置、記憶装置、通信装置を備え、無線通信機能、暗号化・復号化機能等を有する車載端末が搭載されている。
本システムにより、車１５０６からの要求によりコンテンツ配信、道路を管理する行政機関、地方自治体またはサービス提供会社等の通信網１５０３を介してのインタネット接続、走行支援情報提供等のアプリケーションを提供する。

通信開始前に事前に認証サーバ１５０１により車１５０６の認証が実施され、認証成立の場合、車１５０６の識別情報が生成され、車１５０６及び近傍の無線基地局１５０５に配布される。車１５０６の出発地点付近にアクセスポイントとなる無線基地局１５０５が無い場合は、公衆回線等を介して車１５０６から認証サーバ１５０１にアクセスすることで実施される。
車１５０６の走行中、無線基地局１５０５がブロードキャスト送信する基地局アドバタイズメント情報を車１５０６が受信すると、乱数を生成し、無線基地局１５０５に対して該乱数を送信する。車１５０６にて認証サーバ１５０１より配布された車１５０６の識別情報と前記乱数を用いて暗号鍵を生成し、記憶装置に格納される。

また前記乱数を受信した無線基地局１５０５では、配布された車１５０６の識別情報と該乱数を用いて暗号鍵を生成し、該無線基地局内の記憶装置に格納するともに、車１５０６の進行方向前方のある指定された大きさの範囲の領域に存在する1つ以上の無線基地局１５０５に生成した乱数を転送する。乱数を受信した車１５０６の進行方向前方のある指定された大きさの範囲の領域に存在する無線基地局１５０５においても、車１５０６の識別情報と該乱数を用いて暗号鍵を生成し、該無線基地局内の記憶装置に格納する。
ここである指定された大きさの範囲の領域に存在する1つ以上の無線基地局に暗号鍵を転送することで、車１５０６が走行中にどの道路を通っても、その道路沿いの無線基地局には車１５０６が接近する前に暗号鍵が配布されており、暗号鍵が無いために通信が中断されることを回避している。またカーナビ等による経路情報を参照して暗号鍵を転送する無線基地局１５０５を限定することも可能である。

車１５０６の走行中、車１５０６へのコンテンツ配信やインターネットアクセス等のための通信を行うために、車１５０６と道路を管理する行政機関、地方自治体またはサービス提供会社等の通信網１５０３に接続しており、道路沿いに連続的に配置されている無線基地局１５０５との間で無線通信が行われる。
該無線通信には前述の車１５０６及び無線基地局１５０５にて生成された暗号鍵が常に使用され、通信データが道路周辺等の外部に漏洩することを防止している。なお車１５０６の走行に伴い、車１５０６は無線基地局１５０５からブロードキャスト送信される基地局アドバタイズメント情報を受信する毎に無線基地局１５０５に接近したとみなして、該無線基地局との無線通信に用いる暗号鍵へ切り替えを実施する。

また無線基地局１５０５では車１５０６から送信される通信データのヘッダを参照して、該データの暗号化に使用している暗号鍵に関する情報を抽出して、該当する暗号鍵を記憶領域から抽出して、それまでに使用していた暗号鍵と切り替え、該受信データの復号化に用いる。また以降は該無線基地局１５０５から車１５０６に対して送信するデータの暗号化には切り替え後の暗号鍵を使用する。
なお無線基地局１５０５では車１５０６の通過後、該車との無線通信に使用した暗号鍵を削除する。また車１５０６においても次の無線基地局とのデータの送受信が成立すると前の無線基地局との無線通信に使用した暗号鍵は削除する。

−−−多種の無線媒体を含む場合の暗号鍵更新システム−−−
なお、本発明の暗号鍵更新方法として、無線通信手段を備えた移動体０１０６と、当該移動体０１０６の通信対象たるシステムへのアクセスポイントとなる無線基地局０１０５との間での無線通信において、少なくとも一対の無線基地局間では異なる無線媒体が使用されており（例：無線ＬＡＮとデジタル列車無線システムとが混在している環境）、各無線基地局０１０５の通信可能エリアの関係が包含または互いに重複している状況に対応すべく、以下のような手法を採用するとしてもよい。この場合、前記移動体０１０６が、前記システムとの通信に際して複数の乱数を生成し、前記無線基地局０１０５へ前記複数乱数を送信する無線通信を行うステップを実行し、前記無線基地局０１０５が、前記移動体０１０６より送信された前記複数乱数を受信し、当該複数乱数と前記認証サーバ０１０１より配信されている前記移動体０１０６の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、他の無線基地局が前記移動体０１０６より受信し当該移動体０１０６の走行に連動して転送してきた前記複数乱数を受信し、当該複数乱数と前記認証サーバ０１０１より配信されている前記移動体０１０６の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、前記移動体０１０６との無線通信における通信データの暗・復号処理に用いるべく、前記移動体０１０６の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を実行する。

また、上記のような手法を用いる場合、前記無線基地局０１０５が、前記移動体０１０６より受信した複数乱数を、当該移動体０１０６の進行方向前方にある他の無線基地局へと移動体０１０６の走行に先行して転送することとすれば好適である。

また、前記無線基地局０１０５が、前記移動体０１０６の走行に先行した他の無線基地局への前記複数乱数の転送を、移動体０１０６の進行方向前方で所定範囲の領域に存在する無線基地局に対し実行することとすれば好適である。

また、前記無線基地局０１０５が、前記移動体０１０６の走行に先行した他の無線基地局への前記複数乱数の転送を、移動体０１０６の進行方向前方に連なって配置されている複数の無線基地局に対して実行することとすれば好適である。

また、前記無線基地局０１０５が、前記複数乱数を前記移動体０１０６の走行に先行して他の無線基地局に転送するにあたり、前記複数乱数を転送する他の無線基地局の所定範囲または数を、前記移動体０１０６の移動速度の高低または無線基地局間の間隔の大小に応じて増減することとすれば好適である。

また、前記移動体０１０６が、自身で生成した前記複数乱数と前記認証サーバ０１０１より配信されている当該移動体０１０６の識別情報とに基づいて複数の暗号鍵を生成し、所定の記憶領域に格納するステップと、前記無線基地局０１０５との無線通信における通信データの暗・復号処理に用いるべく、当該移動体０１０６の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、を実行するものとすれば好適である。
この場合、前記移動体０１０６が、前記記憶領域よりの所定の無線基地局０１０５との通信に用いる暗号鍵の選択を、当該移動体０１０６の該無線基地局０１０５への接近を検知して実行することとすれば好適である。

更に、前記移動体０１０６が、前記記憶領域よりの暗号鍵の選択を、当該移動体０１０６の所定の無線基地局０１０５への接近を検知して実行するにあたり、当該移動体０１０６が以前に無線通信を行ったことのある無線基地局０１０５を再度検知した場合、前記記憶領域よりの該無線基地局０１０５との通信に用いる暗号鍵の選択にあたり、以前に無線通信を行った時とは異なる暗号鍵を選択することとすれば好適である。

また、前記移動体０１０６が、前記記憶領域よりの暗号鍵の選択を、当該移動体０１０６の所定の無線基地局０１０５への接近を検知して実行するにあたり、当該移動体０１０６が該無線基地局０１０５との通信に用いる暗号鍵のうち未使用の鍵の残数を確認し、該未使用の暗号鍵の数が所定数以下である場合、該移動体０１０６にて乱数を生成し、該乱数を前記接近を検知した無線基地局０１０５に送信し、前記乱数と前記認証サーバ０１０１より配信されている当該移動体０１０６の識別情報とに基づいて暗号鍵を生成し、該移動体０１０６の所定の記憶領域に格納することとすれば好適である。

また、前記接近を検知された無線基地局０１０５が、前記移動体０１０６より受信した乱数と前記認証サーバ０１０１より配信されている前記移動体０１０６の識別情報とに基づいて暗号鍵を生成し、所定に記憶領域に格納することとすれば好適である。

また、前記移動体０１０６または無線基地局０１０５が、当該移動体０１０６と当該無線基地局０１０５との無線通信が終了してから一定時間経過後、該通信用の使用済み及び未使用の暗号鍵全てを当該移動体０１０６及び当該無線基地局０１０５の記憶領域より削除することとすれば好適である。

−−−多種の無線媒体を含む場合の暗号鍵更新システムの具体例−−−
図１６は、本発明における分散環境における暗号鍵更新方法を、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間での無線通信において、無線基地局毎に異なる多種の無線媒体が用いられている通信システムに適用する場合の概要を示す図である。

この図に示すシステムの主な構成要素として、移動体０１０６、移動体０１０６の経路上に設置されてアクセスポイントとなる無線基地局Ａ１６０１、無線基地局Ｂ１６０２、無線基地局Ｃ１６０３、無線基地局Ｄ１６０４等がある。

ここで移動体０１０６と無線基地局Ａ１６０１との通信可能エリアは１６１１、同じく無線基地局Ｂ１６０２との通信可能エリアは１６１２、同じく無線基地局Ｃ１６０３との通信可能エリアは１６１３、同じく無線基地局Ｄ１６０４との通信可能エリアは１６１４に示す。移動体０１０６と前記無線基地局Ａ１６０１との通信可能エリア１６１１には、移動体０１０６と無線基地局Ｂとの通信可能エリア１６１２、移動体０１０６と無線基地局Ｃ１６０３との通信可能エリア１６１３、移動体０１０６と無線基地局Ｄとの通信可能エリア１６１４が包含されている。

ここで移動体０１０６は、無線の電波強度、通信容量等に応じて各無線基地局の通信可能エリアに入る度に通信相手の無線基地局を切り替える場合もあれば、複数の基地局と並行して通信を行う場合もある。また図１７には、移動体０１０６が、無線基地局との通信に備えて複数乱数を発生させ、この複数乱数の各々と自身の識別情報とに基づき生成した、暗号鍵のリストを示している。この暗号鍵リスト１６０５は、無線基地局側が、前記移動体０１０６より受信した複数乱数と、移動体０１０６の識別情報とに基づいて生成し、同様に備えているとする。

また、前記移動体０１０６から複数乱数を送信する範囲、つまり無線基地局の範囲については、例えば、移動体０１０６の進行方向前方にある無線基地局、移動体０１０６の進行方向前方で所定範囲の領域に存在する無線基地局、移動体０１０６の進行方向前方に連なって配置されている複数の無線基地局の少なくともいずれかを想定できる。

このように移動体０１０６が保有する暗号鍵リスト１６０５の中で、カラム１６２１には当該移動体０１０６が無線基地局Ａ１６０１との通信に用いる暗号鍵と該暗号鍵に関する情報及び状態を示し、カラム１６２２には当該移動体０１０６が無線基地局Ｂ１６０２との通信に用いる暗号鍵と該暗号鍵に関する情報及び状態を示し、カラム１６２３には当該移動体０１０６が無線基地局Ｃ１６０３との通信に用いる暗号鍵と該暗号鍵に関する情報及び状態を示している。

ここで鍵情報とは、各暗号鍵のアルゴリズム、バージョン情報等であり、状態とは"未使用"、"使用中"、"使用済"のいずれかとなる。なお移動体０１０６が無線基地局との通信に用いる暗号鍵の中で、状態が"使用中"になるのは常に１つだけであり、状態が"未使用"、"使用済"である暗号鍵は通信に用いることができない。また一度状態が"使用済"になった暗号鍵は再び"未使用"や"使用中"になることは無い。

図１６では、無線基地局毎に通信事業者が異なる場合等で、各無線基地局の通信可能エリアへの移動体０１０６の進入を検知する度に、移動体０１０６と無線基地局との間の無線通信に使用する暗号鍵の切り替えを実施する場合についてその実施概要を示す。移動体０１０６が最初に無線基地局Ａ１６０１との通信可能エリア１６１１に入ると、この移動体０１０６は、前記暗号鍵リスト１６０５中の暗号鍵ＫｅｙＡ＿１を用いて無線基地局Ａ１６０１と通信を行う。そして次にこの移動体０１０６は、無線基地局Ｂ１６０２との通信エリア１６１２に入ると、前記暗号鍵リスト１６０５中の暗号鍵ＫｅｙＢ＿１を用いて無線基地局Ｂ１６０２と通信を行う。こうした暗号鍵の選択使用は、例えば、前記暗号鍵リスト１６０５中において未使用のもののうち最先登録の暗号鍵を優先するといったルールで実行する。

ここで移動体０１０６の保有する暗号鍵リスト１６０５では、無線基地局Ａ１６０１との通信に用いる暗号鍵の情報１６２１の中で、暗号鍵ＫｅｙＡ＿１の状態が"使用中"から"使用済"に変更され、無線基地局Ｂ１６０２との通信に用いる暗号鍵の情報１６２２の中で、暗号鍵ＫｅｙＢ＿１の状態が"未使用"から"使用中"に変更される。

次に移動体０１０６が、無線基地局Ｂ１６０２との通信可能エリア１６１２を出て再び無線基地局Ａ１６０１との通信可能エリア１６０１に入るとする。この場合、当該移動体０１０６は、暗号鍵リスト１６０５中の暗号鍵ＫｅｙＡ＿２を用いて無線基地局Ａ１６０１と通信を行う。この時移動体０１０６の保有する暗号鍵リスト１６０５では、無線基地局Ａ１６０１との通信に用いる暗号鍵の情報１６２１の中で、暗号鍵ＫｅｙＡ＿２の状態が"未使用"から"使用中"に変更され、無線基地局Ｂ１６０２との通信に用いる暗号鍵の情報１６２２の中で、暗号鍵ＫｅｙＢ＿１の状態が"使用中"から"使用済"に変更される。なお、図１７で先に示した暗号鍵リスト１６０５は、上記状態での移動体０１０６が保有する暗号鍵リストを表している。

この後、移動体０１０６が無線基地局Ｃ１６０３との通信可能エリア１６１３に入ると、この移動体０１０６は、暗号鍵リスト１６０５中の暗号鍵ＫｅｙＣ＿１を用いて無線基地局Ｃ１６０３と通信を行う。また、通信可能エリア１６１３を出て、再度無線基地局Ａ１６０１との通信可能エリア１６１１に入った移動体０１０６は、前記暗号鍵リスト１６０５中の暗号鍵ＫｅｙＡ＿３を用いて無線基地局Ａ１６０１と通信を行う。

この移動体０１０６は、その後、無線基地局Ｄ１６０４との通信可能エリア１６１４に入ると、前記暗号鍵リスト１６０５中の暗号鍵ＫｅｙＤ＿１を用いて無線基地局Ｄ１６０４と通信を行う。また、通信可能エリア１６１４を出て再度無線基地局Ａ１６０１との通信可能エリア１６１１に入った移動体０１０６は、前記暗号鍵リスト１６０５中の暗号鍵ＫｅｙＡ＿４を用いて無線基地局Ａ１６０１と通信を行う。また各場合には前述のように移動体０１０６の保有する暗号鍵リスト１６０５の更新も行われる。

移動体０１０６が無線基地局よりデータを受信した場合、受信データの通信ヘッダに格納されている、無線基地局での暗号化に用いた暗号鍵に関する情報を抽出する。そして、該移動体の保有する暗号鍵リスト１６０５から、状態が"使用中"である暗号鍵の鍵情報を参照し、前記受信データより抽出した暗号化に用いた暗号鍵に関する情報と比較して合致するか否かの判定を行う。

ここで前記鍵情報が前記暗号鍵に関する情報と合致する場合、該移動体０１０６の保有する暗号鍵リスト１６０５より、前記の状態が"使用中"である暗号鍵を抽出して、前記受信データの復号化に用いる。一方、鍵情報が前記暗号鍵に関する情報と合致しない場合、前記受信データは削除する。

一方、各無線基地局では、移動体０１０６から受信したデータの通信ヘッダに格納されている、該移動体０１０６での暗号化に用いた暗号鍵に関する情報を抽出、参照する。無線基地局は、この暗号鍵に関する情報に基づき、当該無線基地局の記憶領域より該当する暗号鍵を取り出し、受信データの復号化に用いる。なお、前記無線基地局は、前記該当する暗号鍵を保有していない場合、前記受信データを削除する。

また、各無線基地局において、保有する各暗号鍵を用いた初回のみ、周囲の無線基地局に対してマルチキャスト通信により該暗号鍵の使用開始の通知を行う。前記通知を受信した無線基地局の中で、それまで該移動体０１０６と無線通信を行っていた無線基地局は、該通知を受信したことで該移動体０１０６との無線通信の終了と判定する。

また、図１８に示す例では、移動体０１０６と無線基地局Ｅ１６０６との通信可能エリア１６１６の中に、移動体０１０６と無線基地局Ｆ１６０７との通信可能エリア１６１７及び移動体０１０６と無線基地局Ｈ１６０９との通信可能エリア１６１９が包含されている。さらに、移動体０１０６と無線基地局Ｆ１６０７との通信可能エリア１６１７には、移動体０１０６と無線基地局Ｇ１６０８との通信可能エリア１６１８が包含されている。このような場合も、図１６に示した場合と同様に、移動体０１０６による、各無線基地局の通信可能エリアへの進入を検知する度に、暗号鍵の切り替えを実施することとできる。

上述のようにして、多種の無線媒体による通信エリアが混在している場合でも、移動体０１０６の走行に連動して、暗号鍵の切り替えを行い、通信の連続性とセキュリティを保証する。

−−−暗号鍵の追加処理−−−
図１９は、本発明における分散環境における暗号鍵更新方法を、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間での無線通信において、無線基地局毎に異なる多種の無線媒体を用いている通信システムに適用する場合の、移動体における無線通信に用いる暗号鍵の追加処理及び削除処理の流れを示すフローチャートである。

この場合、移動体０１０６は、当該移動体０１０６が現時点で最後に検出した無線基地局と最後に通信を実施してからの経過時間を計測する（ステップ１７０１）。ステップ１７０１における計測時間が一定時間（閾値）以上経過していた場合（ステップ１７０２：Ｙｅｓ）、前記移動体０１０６は、該無線基地局との通信可能エリアからは離脱したとみなして、該無線基地局との通信用の暗号鍵を全て削除する（ステップ１７０８）。

ここで、前記最後の通信終了後の経過時間に関する閾値（一定時間）は、移動体０１０６の進行速度、無線基地局の設置間隔等に応じてシステム構築時に設定しておく。例えば、移動体０１０６の進行速度が所定値以上であるか、無線基地局の設置間隔が所定間隔以下であれば、前記閾値を所定値より小さくする。逆に、例えば、移動体０１０６の進行速度が所定値以下であるか、無線基地局の設置間隔が所定間隔以上であれば、前記閾値を所定値より大きくする。

他方、前記計測時間が一定時間以上経過していないと判定した場合（ステップ１７０２：Ｎｏ）、移動体０１０６は、当該移動体０１０６が保有する該無線基地局との通信用の暗号鍵で未使用のものの残数を確認する（ステップ１７０３）。ここで確認した未使用の暗号鍵の残数が所定数、例えば１つでは無い場合（ステップ１７０４：Ｎｏ）、処理を終了する。他方、前記ステップ１７０３で確認した未使用の暗号鍵の残数が所定数、例えば１つである場合（ステップ１７０４：Ｙｅｓ）、移動体０１０６は、乱数を１つ生成する（ステップ１７０５）。

移動体０１０６は、ステップ１７０５にて生成した乱数を、現在通信中の無線基地局に送信する（ステップ１７０６）。また、移動体０１０６は、当該移動体０１０６の識別情報と前記ステップ１７０５にて生成した乱数とを用いて、新たに暗号鍵を生成し、当該移動体０１０６の記憶領域に格納する（ステップ１７０７）。また一方で、前記移動体０１０６より送信された乱数を受信した無線基地局においても、同様に暗号鍵を生成し、該無線基地局の記憶領域に格納しているものとする。

上述のようにして、移動体０１０６と無線基地局との通信に用いる暗号鍵は、移動体０１０６が該無線基地局の通信可能エリアから離脱するまで、絶えず保有されることとなる。よって同一の無線基地局の通信可能エリアに移動体０１０６が複数回出入りしても、暗号化通信は正しく実施される。

本発明によれば、複数の情報処理装置が通信網を介して接続しているシステムの内部に設置した各種サーバに対して、外部の走行中の移動体からの無線通信による接続が発生し、またアクセスポイントとなる無線基地局の着脱が発生し、無線基地局間または無線基地局と各種サーバとの間のネットワークが可変であるシステムにおいて、移動体無線通信のリアルタイム性を保証したまま、通信データのセキュリティ強度も高く維持する。またセキュリティ強度を維持するための暗号鍵更新のスケジュール管理、移動体の運行・位置管理等に伴うシステムの処理負荷を軽減する。さらに無線基地局の着脱に伴うシステムの再構築の負荷を軽減し、システム構築の柔軟性、拡張性を増す。
したがって、通信の処理効率およびセキュリティ性を良好に維持すると共に、システムの負荷軽減やシステム構築の柔軟性を図れることとなる。

以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

本発明の適用先である、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間で無線通信を行う通信システムの概要を示す図である。 本発明における、複数の情報処理装置が通信網を介して接続しているシステムに対して、マルチキャストによる無線通信によりアクセスポイントを介して接続する移動体側のモジュール構成を示す図である。 本発明における、複数の情報処理装置が通信網を介して接続しているシステム側のアクセスポイントとなる、移動体とのマルチキャストによる無線通信を行う無線基地局側のモジュール構成を示す図である。 本発明における、マルチキャストによる無線通信に使用する暗号鍵の生成及び切り替えの方法の概要を示す図である。 本発明における、移動体毎に割り当てる識別情報の生成及び配布を行う処理の流れを示すシーケンス図である。 本発明における、移動体における暗号鍵作成に用いる乱数の生成、移動体及び無線基地局における暗号鍵の生成、また無線基地局間での暗号鍵の転送を行う処理の流れを示すシーケンス図である。 本発明における、移動体において移動体の走行中に生成した、無線通信に使用する暗号鍵を格納する暗号鍵管理テーブル、及び無線基地局において生成した、無線通信に使用する暗号鍵を格納する暗号鍵管理テーブルを示す図である。 本発明における、移動体が走行中に行う暗号鍵の切り替え処理及びデータ送信時の処理の流れを示すフローチャートである。 本発明における、移動体からの無線による送信データを受信した無線基地局における、受信データに応じた復号用の暗号鍵の切り替え及び受信データの復号化の処理の流れを示すフローチャートである。 本発明における、移動体において、無線通信に用いる暗号鍵で使用済みの鍵を削除する処理の流れを示すフローチャートである。 本発明における、無線基地局において、無線通信に用いる暗号鍵で使用済みの鍵を削除する処理の流れを示すシーケンス図である。 本発明における、移動体がある場所に長期間停止している場合の、移動体及び無線基地局における暗号鍵の生成及び切り替えの処理の流れを示すフローチャートである。 本発明における、同一の暗号鍵を保有することでデータを共有する、移動体と複数の無線基地局により構成され、移動体の走行に伴ってグループメンバを変更していくセキュアなグループの概要を示す図である。 本発明における分散環境における暗号鍵更新方法を、走行する列車と線路沿いに設置された無線局の間で無線通信を行う車上−地上間通信システムに適用した場合の実施例を示す図である。 本発明における分散環境における暗号鍵更新方法を、道路上を走行する車と路上に設置された無線局との間で無線通信を行う路車間通信システムに適用する場合の実施例を示す図である。 本発明における分散環境における暗号鍵更新方法を、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間での無線通信において無線基地局毎に異なる多種の無線媒体を用いている通信システムに適用する場合の実施概要１を示す図である。 本発明における暗号鍵リストの例を示す図である。 本発明における分散環境における暗号鍵更新方法を、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間での無線通信において無線基地局毎に異なる多種の無線媒体を用いている通信システムに適用する場合の実施概要２を示す図である。 本発明における分散環境における暗号鍵更新方法を、走行する移動体と、移動体の経路上に設置した、複数の情報処理装置が通信網を介して接続しているシステムへのアクセスポイントとなる無線基地局との間での無線通信において無線基地局毎に異なる多種の無線媒体を用いている通信システムに適用する場合の、移動体における無線通信に用いる暗号鍵の追加処理及び削除処理の流れを示すフローチャートである。

符号の説明

１００ 分散環境における暗号鍵更新システム、システム
０１０１ 認証サーバ
０１０３ 通信網
０１０４ 経路上ネットワーク
０１０５ 無線基地局
０１０６ 移動体
０１１１、０１２１ 記憶装置
０１１２、０１２２ 処理装置
０１１３、０１２３ 通信装置
０３０１ アプリケーション
０３０２、０４０１ ミドルウェア
０３０３、０４０２ 通信媒体
０３１１ 乱数生成部
０３１２、０４１１ 暗号鍵生成部
０３１３、０４１２ 暗号・復号化部
０３１４、０４１４ データ通信部
０３１５ 通信管理部
０３１６、０４１５ 識別情報格納バッファ
０３１７、０４１６ 暗号鍵格納バッファ
０４１１ 暗号鍵生成部
０４１３ 通信データ作成部

Claims (17)

1. 無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新方法であって、
   前記移動体とネットワークで結ばれ、当該移動体の事前認証を行う認証サーバが、
   前記移動体の認証要求に応じて当該移動体の事前認証処理を行うステップと、
   前記移動体の事前認証が成立した場合、当該移動体の識別情報を生成し、当該移動体及び当該移動体と通信を行う１以上の無線基地局に対して当該移動体の識別情報を配布するステップと、
   前記移動体が、
   前記システムとの通信に際して乱数を生成し、前記無線基地局へ前記乱数を送信する無線通信を行うステップと、
   前記無線基地局が、
   前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、
   他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、
   前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、
   を含むことを特徴とする分散環境における暗号鍵更新方法。
2. 請求項１において、
   前記認証サーバが、認証成立した移動体に対して生成した識別情報の無線基地局への配布を、前記移動体の進行方向前方にある無線基地局に移動体の走行に先行して実行するステップを含むことを特徴とする、分散環境における暗号鍵更新方法。
3. 請求項１において、
   前記無線基地局が、前記移動体より受信した乱数を、当該移動体の進行方向前方にある他の無線基地局へと移動体の走行に先行して転送することを特徴とする、分散環境における暗号鍵更新方法。
4. 請求項３において、
   前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記乱数の転送を、移動体の進行方向前方で所定範囲の領域に存在する無線基地局に対し実行することを特徴とする、分散環境における暗号鍵更新方法。
5. 請求項３または４において、
   前記無線基地局が、前記移動体の走行に先行した他の無線基地局への前記乱数の転送を、移動体の進行方向前方に連なって配置されている複数の無線基地局に対して実行することを特徴とする、分散環境における暗号鍵更新方法。
6. 請求項４または５において、
   前記無線基地局が、前記乱数を前記移動体の走行に先行して他の無線基地局に転送するにあたり、前記乱数を転送する他の無線基地局の所定範囲または数を、前記移動体の移動速度の高低または無線基地局間の間隔の大小に応じて増減することを特徴とする、分散環境における暗号鍵更新方法。
7. 請求項１において、
   前記無線基地局が、前記記憶領域よりの暗号鍵の選択を、移動体より受信した通信データのヘッダに含まれている当該通信データの暗号化に使用した暗号鍵に関する情報を参照し当該暗号鍵に関する情報に対応する暗号鍵を前記記憶領域より選択することで実行することを特徴とする、分散環境における暗号鍵更新方法。
8. 請求項１において、
   前記移動体が、前記システムとの通信に際した乱数の生成を、所定の無線基地局への接近を検知して実行することを特徴とする、分散環境における暗号鍵更新方法。
9. 請求項１において、
   前記移動体が、前記システムとの通信に際した乱数の生成を、所定の時間間隔の到来を検知して実行することを特徴とする、分散環境における暗号鍵更新方法。
10. 請求項１において、
    前記移動体が、
    自身で生成した前記乱数と前記認証サーバより配信されている当該移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納するステップと、
    前記無線基地局との無線通信における通信データの暗・復号処理に用いるべく、当該移動体の走行に連動して前記記憶領域内の暗号鍵を選択するステップと、
    を含むことを特徴とする、分散環境における暗号鍵更新方法。
11. 請求項１０において、
    前記移動体が、前記記憶領域よりの暗号鍵の選択を、当該移動体の所定の無線基地局への接近を検知して実行することを特徴とする、分散環境における暗号鍵更新方法。
12. 請求項１０において
    前記移動体が、前記記憶領域よりの暗号鍵の選択を、所定の時間間隔の到来を検知して実行することを特徴とする、分散環境における暗号鍵更新方法。
13. 請求項１において、
    移動体または無線基地局が、無線通信での使用が終了した暗号鍵を当該移動体及び当該無線基地局の記憶領域より削除することを特徴とする、分散環境における暗号鍵更新方法。
14. 請求項１３において、
    移動体または無線基地局が、前記暗号鍵の記憶領域からの削除を、当該移動体と当該無線基地局との無線通信に使用する暗号鍵の切替えが実行され、当該切替えの実行後の暗号鍵を用いた当該移動体と当該無線基地局との無線通信が成立したことを検知し実行することを特徴とする、分散環境における暗号鍵更新方法。
15. 請求項１３において、
    移動体または無線基地局が、前記暗号鍵の記憶領域からの削除を、当該移動体の進行方向前方に位置する無線基地局から、前記切替えの実行後の暗号鍵を用いた当該移動体との無線通信開始の通知を受信した時に実行することを特徴とする、分散環境における暗号鍵更新方法。
16. 無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新を行うシステムであって、
    前記移動体の認証要求に応じて当該移動体の事前認証処理を行う事前認証部と、
    前記移動体の事前認証が成立した場合、当該移動体の識別情報を生成し、当該移動体及び当該移動体と通信を行う１以上の無線基地局に対して当該移動体の識別情報を配布する識別情報配布部と、を備えて前記移動体とネットワークで結ばれる認証サーバと、
    前記システムとの通信に際して乱数を生成し、前記無線基地局へ前記乱数を送信する無線通信を行う乱数生成部を備えた移動体と、
    前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第１生成部と、
    他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第２生成部と、
    前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択する暗号鍵選択部とを備えた無線基地局と、
    を備えることを特徴とする分散環境における暗号鍵更新システム。
17. 無線通信手段を備えた移動体と、当該移動体の通信対象たるシステムへのアクセスポイントとなる無線基地局との間での無線通信に用いる暗号鍵の更新を行うシステムを構成する、前記無線基地局であって、
    前記移動体より送信された前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第１生成部と、
    他の無線基地局が前記移動体より受信し当該移動体の走行に連動して転送してきた前記乱数を受信し、当該乱数と前記認証サーバより配信されている前記移動体の識別情報とに基づいて暗号鍵を生成し、所定の記憶領域に格納する暗号鍵第２生成部と、
    前記移動体との無線通信における通信データの暗・復号処理に用いるべく、前記移動体の走行に連動して前記記憶領域内の暗号鍵を選択する暗号鍵選択部と、
    を備えることを特徴とする無線基地局。

Images