JP4757644B2

JP4757644B2 - アクセス制御システム及びアクセス制御方法

Info

Publication number: JP4757644B2
Application number: JP2006021319A
Authority: JP
Inventors: 学道下
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2006-01-30
Filing date: 2006-01-30
Publication date: 2011-08-24
Anticipated expiration: 2026-01-30
Also published as: JP2007206743A

Description

この発明は、遠隔操作において操作対象となる機器に対して利用権と利用権行使によるアクセス制御システム及び方法に関するものである。

データやサービスなどのコンピュータ資源に対するアクセス制御は、使用者・資源・アクセス種別などの組み合わせに対する可否を列挙することにより管理されている。一般には、１つのマトリクス表で管理するもの（例えば、ＳＱＬデータベースの権限表）、資源毎の表を資源に添付して管理するもの（例えば、ＡＣＬ）、使用者毎の表をカタログで管理し上記組み合わせを指すＩＤを使用者が提示するもの（例えば、ケーパビリティ）が知られている。

いずれの場合にも、使用を許諾する際に可否を列挙した表に該当する組み合わせを登録しておき、使用者による資源へのアクセスが発生した時点で可否を列挙した表に問い合わせを行うことで、アクセス可否判定を行っている。

アクセス制御における資源として遠隔制御の制御対象機器を適用対象とし、アクセス種別として遠隔操作を適用対象とする場合であっても、上記のアクセス制御実現方式における管理方法はコンピュータ資源の場合と同様である。但し、その実現においては、１つのマトリクス表もしくは使用者毎の表で管理している場合には、その表は複数の制御対象機器に跨って可否情報を格納するために、制御対象機器とは別個の装置に格納されており、遠隔操作の指示を受けた制御対象機器は表を格納した装置に可否を問い合わせることになる。また、ＡＣＬでは制御対象機器と１対１に表を管理しているので、表の格納装置を制御対象機器に内蔵することができるが、遠隔操作の指示を受ける度に表に可否を問い合わせることには違いがない。

制御対象機器は、その種類によって操作が多種多様に異なることが多い。例えば、エアコンであれば暖房開始／冷房開始／停止／温度設定などの種別の操作を備えているが、ＶＴＲであれば再生／録画／停止／予約設定などの種別の操作を備えている。これらに対する操作指示を電文として表現したコマンドにおいては、エアコンの設定温度やＶＴＲの予約録画時刻などパラメータのデータ型や表記方法はそれぞれ異なっている。これらを同一の表で管理することは困難で、個別のパラメータについては管理しないこともある。更に、使用を許諾する際にはこれらのコマンドを指定するだけではなくパラメータにも許容範囲を指定する必要があるけれども、同一の表で管理することは更に困難になる。

多様な保護対象物に対するアクセス制御が知られている（例えば、特許文献１参照）。これは保護対象となる資源（同文献ではドキュメント）の種類毎にＡＣＬのテンプレートを定めてワークフローのサーバ内に格納しておき、ワークフローで個別のドキュメントを新規作成する度に該当ドキュメント用のＡＣＬを生成するものである。個々のＡＣＬは資源・使用者などが異なったものになっているが、ワークフローに基づいて統一的なパターンのＡＣＬが生成される。そのため、アクセス種別は変わらず、固定的な操作しか許諾できない。

遠隔制御機能の利用例としては、機器製造業者や保守業者による遠隔保守業務がある。保守業務には機器の不調時にその稼動状態を診断することや、定期的に稼動状態を診断することが含まれる。これらの遠隔操作をアクセス制御の観点からみると、機器製造業者や保守業者に対して一時的にのみ使用を許諾したり、定期的な保守時間のみに使用を許諾したりする必要がある。しかし、上記のような表で使用の可否情報を管理している場合には、使用の直前に表中の該当項目を可とし、使用の直後に否としなければならないので、一時的な使用許諾の後に否に設定し忘れたり、定期的な使用の前に可に設定し忘れたりするなどの誤りを誘発しやすい。

表を用いないで資源使用の可否を制御する方法としては、デジタルコンテンツに対する利用権が知られている。これは許諾内容を示す電文で、予め利用者に渡しておき、デジタルコンテンツを視聴する際に利用者から提示され、その正当性を検証して合格ならば視聴を許可するものである。

利用権の正当性を検証しようとする先行技術が知られている（例えば、特許文献２参照）。これはＰＫＩを用いて利用権を証明書として発行し、証明書正当性検証を用いて利用権正当性検証を実現するものである。許諾内容をどの様に記述しどの様に操作の指示と照らし合わせてアクセス可否を判定するかについては特に指定されていないので、アクセス制御として適用するのに十分であるとは言えない。

また、パラメータの許容範囲を限定して許諾されていた場合、機器を使用する際の操作指示にはパラメータの具体値を特定して、機器に対して発行する必要がある。操作指示の電文を１つの電子文書としての観点でみると、不確定な要素を排除した確定した文書でなければ、指示として曖昧性を残してしまう。利用権の様に操作内容の許諾を示す電文は、操作指示を表わす電子文書としてはパラメータの許容範囲という不確定要素を含んでいるため不完全である。更にパラメータの許容範囲を含むか否かにかかわらず、利用権には「指示を出す」または「指示を出さない」という選択肢をも暗黙の内に含んでいるため、操作指示を示す電子文書としては曖昧性を持ち不完全である。

許諾された許容範囲を更に限定しようとする先行技術が知られている（例えば、特許文献３参照）。これはコンテンツ視聴のペアレンタルコントロールを利用権で実現するもので、親が購入した利用権に対して更に制限を追記して新たな利用権を作成し、実際に視聴する子供に授与するものである。許諾内容を限定するものではあるが特定できていないので、遠隔操作の指示の様に確定した電子文書を必要とする用途には適用することができない。

また、遠隔操作を行うにあたって、その通信路としてインターネットなどの公開された通信路を用いる場合には、操作指示は途中で改竄（かいざん）される危険性に曝されている。許諾内容を示す電文としての利用権は、不正な利用を試みる利用者自身によって改竄される危険性に曝されている。

操作指示に対する改竄を検出しようとする先行技術が知られている（例えば、特許文献４参照）。これは操作指示を表わす電文に電子署名を付与して機器に送り、操作指示を受け取った機器が署名検証により改竄を検出するものである。この技術には利用権もしくはアクセス制御一般との係わり合いについて何ら言及されておらず、利用権の改竄もしくは許諾内容の無視を招くおそれがある。

特開２００４−１３３８１６号公報特開２００４−３０２８３５号公報特開２００３−１３１７５１号公報特開平１１−１７５２０２号公報

従来のように使用者・資源・アクセス種別の組み合わせに対する可否情報を表に纏めて管理する方法では、機器の遠隔操作に対するアクセス制御を実現する場合に、必要となる多種多様なコマンドとそれぞれに異なるパラメータの指定方法と許諾毎に異なるパラメータ許容範囲について、同一の表に纏めることが困難であるため、ＡＣＬなどの表を用いる従来のアクセス制御技術では管理が困難であった。

また、ワークフロー用に個別ドキュメント毎のＡＣＬを生成する方法を機器の遠隔操作に流用しても、使用者に対して固定的な操作しか許諾しないので、使用者毎に別の操作を許諾したり、あるいは使用者毎に操作の許容範囲を設けてその範囲内での操作選択の自由度を与えることが困難であった。

また、遠隔制御を用いた機器の遠隔保守業務において機器不調時の保守などのような際に一時的に使用を許諾したり定期的な保守時間のみに使用を許諾したりする場合に、一時的な使用の後に使用の可否情報を否に設定し忘れたり、定期的な使用の前に使用の可否情報を可に設定し忘れたりする問題があった。

従来のように利用権に基づいてアクセス可否を判定する方法では、機器の遠隔操作に対するアクセス制御を実現する場合に、利用権が正当であることを検証するだけではなく、利用権内に記述された許諾内容に操作指示を照らし合わせる方法を、別途設けなければならないという問題があった。

また、利用権自体は操作指示を示す電子文書として不完全であるため、利用権を提示するだけでは機器の遠隔操作を行うには不十分だった。利用権に示された許諾された許容範囲を限定する方法があるとしても、その結果として得られた電子文書が利用権である限り使用者に選択肢を与えており、操作指示になり得なかった。

また、操作指示は通信路において改竄されるおそれがあり、利用権は利用者によって改竄されるおそれがあった。

この発明は、上述のような課題を解決するためになされたもので、第１の目的は、機器の遠隔操作において機器の使用の許諾内容として操作の許容範囲を設けた上で、使用者に操作選択の自由度を与えて操作指示を作成させることができる様にし、かつ使用者の作成した操作指示に対しては、許諾内容に基づいた検証を行うことによりアクセス可否を判定する、アクセス制御システム及び方法を得るものである。

また、第２の目的は、許諾内容の使用者による改竄もしくは操作指示の通信経路における改竄によって発生しうる不正使用を防ぐことができるアクセス制御システム及び方法を得るものである。

また、第３の目的は、機器操作に用いる多種多様なコマンドとそれぞれに異なるパラメータの指定方法と許諾毎に異なるパラメータ許容範囲について、管理を容易にしたアクセス制御システム及び方法を得るものである。

さらに、第４の目的は、許諾内容として使用者・資源・アクセス種別に加えて、使用可能な時間などを含む利用条件を加味できるアクセス制御システム及び方法を得るものである。

この発明に係るアクセス制御システムは、機器所有者が許諾の際に、利用権被付与者、制御対象機器、コマンド、パラメータ許容範囲、利用条件、及び機器所有者の署名を含む利用権を発行する利用権発行装置と、前記利用権発行装置から前記利用権を受け取って格納し、機器使用者が制御対象機器を操作する際に、前記利用権、パラメータ具体値、及び機器使用者の署名を含む利用権行使を発行する遠隔制御装置と、前記遠隔制御装置から前記利用権行使を受信し、前記利用権行使に含まれる全ての項目について正当性を検証し、全ての項目が合格したとき、前記利用権行使に関する検証結果が合格となりアクセス可と判定して、前記利用権行使からコマンドとパラメータ具体値を抽出し、全ての項目のうち１つでも不合格であれば、前記利用権行使に関する検証結果が不合格となりアクセス不可と判定して、制御対象機器の操作を拒絶する遠隔被制御装置と、コマンドとパラメータ具体値を実行する制御対象機器の操作入力装置とを設けたものである。

この発明に係るアクセス制御システムは、使用許諾内容を表記した利用権を制御指示である利用権行使に内包しているので、許諾内容を機器に保存しておく必要がないという効果がある。また、使用可否を列挙する表内に、機器毎に異なるコマンドのそれぞれで異なるパラメータ指定方法にもとづくパラメータ許容範囲を、纏めて管理する必要がないという効果がある。

実施の形態１．
この発明の実施の形態１に係るアクセス制御システムについて図１から図５までを参照しながら説明する。図１は、この発明の実施の形態１に係るアクセス制御システムの許諾フェーズにおける構成を示す図である。なお、以降では、各図中、同一符号は同一又は相当部分を示す。

図１において、この実施の形態１に係るアクセス制御システムの許諾フェーズには、利用権３を発行する機器所有者１の利用権発行装置２と、利用権３を受け取る機器使用者４の遠隔制御装置５とが設けられている。

機器所有者１は、許諾の際に、利用権発行装置２に許諾内容を入力し、利用権３を発行する。機器使用者４は、利用権３を遠隔制御装置５に格納する。利用権発行装置２によって発行された利用権３は、接続された通信路などによって遠隔制御装置５に直に送付されてもよい。あるいは、図に示していない記憶媒体に一旦格納され、その記憶媒体を機器所有者１から機器使用者４へ手渡し、機器使用者４がその記憶媒体から遠隔制御装置５に格納してもよい。

図２は、この発明の実施の形態１に係るアクセス制御システムの利用権の電文の構成を示す図である。

図２において、利用権３には、利用権被付与者３ａを指定する電文と、制御対象機器３ｂを指定する電文と、コマンド３ｃと、パラメータ許容範囲３ｄと、利用条件３ｅと、機器所有者１の署名３ｆとが設けられている。

利用権３は、許諾内容として電文３ａ〜３ｅを含み、署名３ｆが付与されている。機器所有者１の署名３ｆが付与されているので、利用権３が利用権発行装置２で発行されてから遠隔制御装置５に格納されるまでの間に改竄（かいざん）されていたとしても、遠隔制御装置５は署名３ｆを検証することによって検出することができる。また、利用権被付与者３ａが機器使用者４を指しているかどうかを検証することによって、他人用の利用権でないことを検出できる。

図３は、この発明の実施の形態１に係るアクセス制御システムの利用フェーズにおける構成を示す図である。

図３において、この実施の形態１に係るアクセス制御システムの許諾フェーズには、利用権行使６を発行する機器使用者４の遠隔制御装置５と、通信路７を経由して利用権行使６を受信し、利用権行使６からコマンドとパラメータ具体値９を抽出する遠隔被制御装置８と、コマンドとパラメータ具体値９を実行する制御対象機器の操作入力装置１０とが設けられている。

機器使用者４は、機器使用の際に遠隔制御装置５を操作して利用権行使６を発行し、制御指示として遠隔被制御装置８に向けて送信する。利用権行使６は、通信路７を経由して遠隔被制御装置８に受信され、その正当性を検証される。検証結果が合格ならばアクセス可と判定して、利用権行使６に内包されたコマンドとパラメータ具体値９を抽出し、制御対象機器の操作入力装置１０に伝え、該当コマンドを実行する。検証結果が不合格ならばアクセス不可と判定して、コマンドとパラメータ具体値９を抽出せず、操作を拒絶する。

なお、説明上、遠隔被制御装置８を制御対象機器の外部に持つかの様に記述したが、制御対象装置が遠隔被制御装置８を内蔵している場合であっても同様である。

図４は、この発明の実施の形態１に係るアクセス制御システムの利用権行使の電文の構成を示す図である。

図４において、利用権行使６には、利用権３と、パラメータ具体値６ｄと、機器使用者４の署名６ｆとが設けられている。

利用権行使６は、電文３と６ｄを含み、署名６ｆが付与されている。機器使用者４の署名６ｆが付与されているので、利用権行使６が遠隔制御装置５で発行されてから遠隔被制御装置８に到着するまでの間の通信路７等で改竄されていたとしても、遠隔被制御装置８は署名６ｆを検証することによって検出することができる。また、署名３ｆが利用権３に付与されたままなので、利用権３が利用権発行装置２で発行されてから遠隔被制御装置８に到着するまでの間の機器使用者４や遠隔制御装置５や通信路７などで改竄されていたとしても、遠隔被制御装置８は署名３ｆを検証することによって検出することができる。

よって、利用権行使６に内包された利用権被付与者３ａ、制御対象機器３ｂ、コマンド３ｃ、パラメータ許容範囲３ｄ、利用条件３ｅは、確かに機器所有者１によって許諾されたものであることを、遠隔被制御装置８は以後の判断処理の礎とすることができる。また、利用権３とパラメータ具体値６ｄの組み合わせは、確かに機器使用者４によって指示されたものであることを、遠隔被制御装置８は以後の判断処理の礎とすることができる。また、パラメータ許容範囲３ｄに基づいてパラメータ具体値６ｄを照らし合わせることにより、パラメータ具体値６ｄに関する機器所有者１の越権行為がないかどうかを検査することができる。また、利用条件３ｅを遠隔被制御装置８の環境状況に照らし合わせることにより、利用条件３ｅに関する機器所有者１の越権行為がないかどうかを検査することができる。これらの検査に全て合格したとき、利用権行使６に関する検証結果が合格となり、アクセス可能と判定されることになる。逆に１つでも不合格であったならば、利用権行使６に関する検証結果が不合格となり、アクセス不可と判定されることになる。

つぎに、この実施の形態１に係るアクセス制御システムの動作について図面を参照しながら説明する。図５は、この発明の実施の形態１に係るアクセス制御システムにおける正当行為と越権行為の相違を示す図である。

この図５は、実施の形態１をビル管理サービスでのエアコン遠隔制御に適用した例を示すものである。

ビルオーナー（機器所有者）１は、ビル内のエアコン（制御対象機器の操作入力装置）１０の遠隔制御をビル管理サービスの提供者（機器使用者）４に任せているが、度を越した操作を行わせないために、エアコン遠隔操作に関する利用権３を用いて、許諾する操作を限定している。

図５の上段の許諾フェーズでは、エアコンに対する冷房開始・停止・温度設定２７〜３０℃の３操作を、ビル管理サービス提供者４に許諾しており、それぞれに対応する利用権３をビル管理サービスの提供者４に渡している。ビル管理サービス提供者４は、利用権３を集中管理装置（遠隔制御装置）５に格納しておく。

図５の下段の利用フェーズでは、ビル管理サービス提供者４は、集中管理装置５を用いて利用権行使６を発行し、エアコン１０に対する制御指示として送る。このとき、温度設定２７〜３０℃の利用権３を内包する利用権行使６にパラメータ具体値２７℃を採用して発行した利用権行使６の場合には、エアコン１０に内蔵された遠隔被制御装置８でその正当性を検証され、合格となるので、エアコン１０は設定温度を２７℃にする。

しかし、温度設定２７〜３０℃の利用権３を内包する利用権行使６にパラメータ具体値２５℃を採用して発行したとしても、遠隔被制御装置８は、パラメータ具体値２５℃が越権行為であることを検出し、不合格となるので、エアコン１０は設定温度を変更しない。

実施の形態２．
この発明の実施の形態２に係るアクセス制御システムについて図６及び図７を参照しながら説明する。図６は、この発明の実施の形態２に係るアクセス制御システムの利用フェーズにおける構成を示す図である。

図６において、機器使用者４〜制御対象機器の操作入力装置１０は、図３と同様である。機器使用者４は、遠隔制御装置５を１台のみ保有しているものとする。遠隔制御装置５は、シーケンス番号カウンタ１１を制御対象機器の個数分保有している。また、遠隔被制御装置８は、最新シーケンス番号記録装置１２を機器使用者４の人数分保有している。

シーケンス番号カウンタ１１は、該当の制御対象機器に利用権行使６を発行するたびにシーケンス番号を増やす。この時、発行された利用権行使６は、新しいシーケンス番号を内包する。

最新シーケンス番号記録装置１２は、該当の機器使用者４からの利用権行使６を受信するたびに、利用権行使６に内包されたシーケンス番号を格納済みのシーケンス番号と比較する。利用権行使６に内包されたシーケンス番号の方が小さいかまたは等しいならば、検査不合格とし、大きいならば、シーケンス番号に関する検査は合格とする。利用権行使６の検証結果が合格であるとき、最新シーケンス番号記録装置１２に記録されていたシーケンス番号を、利用権行使６に内包されていたシーケンス番号で更新する。

図７は、この発明の実施の形態２に係るアクセス制御システムの利用権行使の電文の構成を示す図である。

図７において、利用権３、利用権被付与者３ａ〜機器所有者１の署名３ｆ、利用権行使６、パラメータ具体値６ｄ、機器使用者４の署名６ｆは、図４と同様である。シーケンス番号６ｇが追加されている。

利用権行使６は、シーケンス番号６ｇを内包したまま署名６ｆを付与されているので、通信路７においてシーケンス番号６ｇが改竄されたとしても遠隔被制御装置８で検出することができる。よって、通信路７において利用権行使６を盗聴・隠匿していた第三者が遠隔被制御装置８に対して再送を行ったり、正当な機器使用者４が発行する前にシーケンス番号６ｇを予測して偽造の利用権行使６を送信したとしても、遠隔被制御装置８で検出され制御指示は拒絶される。

また、再送・偽造は、通信路７において行われたものに限らず、例えば機器使用者４が事業体を表わして正規の担当者のみが正規のシーケンス番号６ｇの利用権行使６を持っており、不正担当者が過去のシーケンス番号６ｇの利用権行使６を隠匿している場合にも発生しうる。しかし、この場合でも、正規担当者による遠隔操作のみがアクセス許可となり、不正担当者による遠隔操作がアクセス不可となる

実施の形態３．
この発明の実施の形態３に係るアクセス制御システムについて図８を参照しながら説明する。図８は、この発明の実施の形態３に係るアクセス制御システムの利用権における利用条件の種類例を示す図である。

これらの利用条件は、図４の説明で示したように改竄を受けた場合に検出できるので、機器所有者１が許諾した内容であると、遠隔被制御装置８は判断処理の礎にすることができる。これらの利用条件と、遠隔被制御装置８が有する時計・カレンダーの値を照らし合わせることにより、利用条件に関する機器使用者４の越権行為がなかったかどうかを検査することができる。

また、利用条件については、日時に限らず、遠隔被制御装置８がセンサー等によって得ることのできる計測値に関する条件を利用権３に記載することも可能であり、この場合にも遠隔被制御装置８では越権行為がなかったかどうかを検査することができる。

すなわち、この発明に係るアクセス制御システム及び方法においては、機器所有者１が機器使用者４に使用を許諾する際には、許諾内容を表記した電文である利用権３を機器使用者４に付与する。利用権３に表記される許諾内容としては、許諾される利用者となる利用権被付与者３ａと、許諾される資源であるところの制御対象機器３ｂと、許諾されるアクセス種別であるところのコマンド３ｃと、そのコマンドに対するパラメータの許諾される許容範囲３ｄと、利用可能時間などの利用条件３ｅが記載される。機器使用者４が機器を使用する際には、利用権３に記載されたパラメータの許容範囲の中で、所望のパラメータ具体値を採用し、利用権３にパラメータ具体値６ｄを付記した電文である利用権行使６を作成し、制御指示として機器に送る。遠隔制御では、制御指示は機器使用者４と機器の間の通信路７を経由して送られる。利用権行使６に内包される利用権３に表記された利用権被付与者は、遠隔制御においては使用者として扱われ、利用権行使６に内包される利用権３に表記された機器は、遠隔制御においては制御対象機器として扱われ、利用権行使６に内包される利用権３に表記されたコマンドと利用権行使６に内包されるパラメータは、遠隔制御における制御対象機器への操作として扱われる。制御指示を受け取った機器は、遠隔制御における前述の使用者・制御対象機器・操作、および時刻などの環境状況を、制御指示である利用権行使６に内包される利用権３に表記されている許諾内容に照らし合わせることにより、利用権行使６の正当性を検証する。検証結果が合格ならばアクセス可と判定して、操作に従う。検証結果が不合格ならばアクセス不可と判定して、操作を拒絶する。

パラメータの許容範囲は、許諾された値を列挙することで示してもよいし、許諾された上限と下限の値を指定することで示してもよい。また、元来パラメータをとらないコマンドであっても、利用権と利用権行使が紛れずに区別され、利用権行使を制御指示として用いていればよい。

利用権３は、機器所有者１から機器使用者４へ渡される途中で第三者による改竄を受けないように、機器所有者１の署名を付与しておく。更に、機器使用者４から機器に送られる利用権行使６に内包される利用権３は、機器使用者４による改竄がないことを示すために、機器所有者１の署名を付与したままにしておく。また、利用権３とパラメータ具体値６ｄを内包する利用権行使６は、機器使用者４から機器へ送られる途中で第三者による改竄を受けないように、機器使用者４の署名を付与しておく。通信路７を経由して制御指示を受け取った機器は、利用権行使６に対する署名と署名者（＝機器使用者４）を検証し、利用権行使６に内包される利用権３の署名と署名者（＝機器所有者１）を検証し、パラメータの具体値６ｄを利用権３に表記されたパラメータの許容範囲に照らし合わせて検証することにより、制御指示が許諾内容に沿ったものであるか否かを判別し、許諾内容に沿ったものであるならばその制御指示を実行する。

なお、上記においては機器所有者１が許諾を行う場合を想定して手段を説明したものであるが、機器管理者が許諾を行う場合であっても同様である。

この発明に係るアクセス制御システムにおいては、遠隔制御装置５は、機器に対する指示として利用権行使６の電文を作成し送信し、遠隔被制御装置８は、利用権行使６の電文を受信し検証するので、操作可否を判定することができるという効果がある。

遠隔制御装置５は、機器使用者４の操作の際に利用権行使６の電文を作成し送信する場合には、制御指示を即時に送信しているので、機器使用者４の操作の後に利用権行使６の電文を保管しておく必要がないという効果がある。

遠隔制御装置５は、発行日の欄に発行予定日時を記入して予め作成しておいた利用権行使６の電文を、その発行予定日時に自動送信する。利用権行使６の発行時刻に先立って予め作成されていた利用権行使６の電文を、利用権行使６の発行時刻に自動送信する場合には、予め定めておいた時刻に制御指示を送っているので、遠隔操作をスケジュールすることができるという効果がある。

遠隔被制御装置８は、利用権３に付与された署名の検証のために公開鍵を保有し、利用権発行装置２は、利用権３に署名を付与するために秘密鍵を保有している。利用権発行装置２と遠隔被制御装置８を同一の筐体に格納する場合には、本来一対のものである公開鍵と秘密鍵を同一の筐体に格納することになるので、管理が容易になるという効果がある。

遠隔被制御装置８は、利用権３に付与された署名の検証のために公開鍵を保有し、利用権発行装置２は、利用権３に署名を付与するために秘密鍵を保有している。公開鍵と秘密鍵の格納先は必ずしも同一でなくてもよいので、遠隔被制御装置８を格納する筐体は利用権発行装置２を格納しない分だけ小さくすることができるという効果がある。なお、利用権発行装置２は、望ましくは、利用権３に記載される許諾内容を表示する手段と、許諾内容を入力する手段もしくは他所で作成された許諾内容に同意するか否かを入力する手段を備えるので、視認性確保と誤操作回避できる程度には大きさを備えていなければならないと想定される。

また、この発明に係るアクセス制御方法においては、使用許諾内容を表記した利用権３を制御指示である利用権行使６に内包しているので、許諾内容を機器に保存しておく必要がないという効果がある。また、使用可否を列挙する表内に、機器毎に異なるコマンドのそれぞれで異なるパラメータ指定方法にもとづくパラメータ許容範囲を、纏めて管理する必要がないという効果がある。

また、利用権行使６の電文に内包された利用権３の電文には、遠隔操作のコマンドのパラメータ許容範囲を表記しており、かつ利用権行使６の電文にはパラメータ具体値６ｄが内包されているので、制御指示として用いられている利用権行使６の電文のみで、パラメータ具体値６ｄを許容範囲に照らし合わせた検証を行うことができるという効果がある。また、利用権行使６にパラメータ許容範囲３ｄを表記することで、利用者に操作選択の自由度を与えることができるという効果がある。

特に、利用権３の電文に表記されたパラメータ許容範囲３ｄとして、許諾された値を列挙する場合には、機器使用者４は利用権行使６の電文を作成する際に、パラメータ具体値６ｄとして、許諾された離散値のいずれかを選択することができる。

また、利用権３の電文に表記されたパラメータ許容範囲３ｄとして、許諾された値の上限と下限を指定する場合には、機器使用者４は利用権行使６の電文を作成する際に、パラメータ具体値６ｄとして、許諾された連続値のいずれかを選択することができる。

また、利用権３の電文には機器所有者１による電子署名３ｆを付与しており、かつ制御指示である利用権行使６の電文には電子署名３ｆを付与したままの利用権３の電文を含んでいるので、機器使用者４による利用権改竄の有無を検証できるという効果がある。また、利用権行使６の電文には機器使用者４による電子署名６ｆを付与しているので、通信路７における利用権行使改竄の有無を検証できるという効果がある。それぞれの電子署名は一般に署名付与者を特定できることは言うまでもない。

また、利用権行使６の発行間隔よりも短い時刻精度で利用権行使６の発行時刻表記を定め、利用権行使６の電文に利用権行使の発行時刻を内包する場合には、利用権行使６の電文は機器使用の各々を特定する電文となっているので、同一電文の複数回受信が発生したとしてもそれらが重複であること検出できる。これは制御指示を通信路７上の第三者が取得し、再送攻撃を行っていたとしても、正しく１つの制御指示のみを実行できるという効果がある。

また、利用権行使６の電文に利用権行使のシーケンス番号６ｇを内包する場合には、利用権行使６の電文は機器使用の各々を特定する電文となっているので、同一電文の複数回受信が発生したとしてもそれらが重複であること検出できる。これは制御指示を通信路７上の第三者が取得し、再送攻撃を行っていたとしても、正しく１つの制御指示のみを実行できるという効果がある。

また、利用権３の電文に利用条件３ｅを内包する場合には、制御指示である利用権行使６の電文は利用権３電文を介して利用条件を内包しているので、制御指示は操作可否を判定される際に利用条件を供することができるという効果がある。

特に、利用権３の電文に内包された利用条件３ｅが、一時的な使用可能日、使用可能時間を表わす場合には、遠隔保守業務で機器の不調時の遠隔診断などの様な一時的な遠隔操作に対しても許諾を行うことができる。この許諾は、使用可能日・時間が過ぎれば自動的に遠隔操作不可となるので、殊更に撤回のためのアクセス制御管理操作を行う必要がないという効果がある。

また、利用権３の電文に内包された利用条件３ｅが、定期的な使用可能日、使用可能時間を表わす場合には、遠隔保守業務で機器の稼動状態の点検などの様な定期的な遠隔操作に対しても許諾を行うことができる。この許諾は、使用可能日・時間になれば自動的に遠隔操作可能となり、過ぎれば自動的に遠隔操作不可となるので、定期点検の度にアクセス制御管理操作を行う必要がないという効果がある。

また、利用権３の電文に内包された利用条件３ｅが、利用権行使６の発行回数の上限を表わし、制御指示を受信する装置に利用権毎の受信回数を記録する場合には、利用権行使６の受信回数と利用権３の電文に内包された発行回数の上限とを照らし合わせることにより、操作可否を判定することができるという効果がある。

また、利用権３の電文に内包された利用条件３ｅが、機器の内部もしくは外部のセンサの計測値に対する許容範囲を表わし、制御指示を受信する装置でそのセンサの計測値を得られる場合には、その計測値と利用権３の電文に内包された計測値の許容範囲とを照らし合わせることにより、操作可否を判定することができるという効果がある。

この発明は、主として遠隔制御における機器使用者４の不正使用を防ぐ目的と、通信路７上の第三者からの不正使用を防ぐ目的に適うものである。実施の形態に例示したビルエアコンやビル管理サービスや保守業務に限定されるものではなく、プラント・製造機械・家電機器・ＰＣ・ネットワーク機器などの他の機器類、省エネやサービス間連携などの他の役務にも利用可能である。

この発明の実施の形態１に係るアクセス制御システムの許諾フェーズにおける構成を示す図である。この発明の実施の形態１に係るアクセス制御システムの利用権の電文の構成を示す図である。この発明の実施の形態１に係るアクセス制御システムの利用フェーズにおける構成を示す図である。この発明の実施の形態１に係るアクセス制御システムの利用権行使の電文の構成を示す図である。この発明の実施の形態１に係るアクセス制御システムにおける正当行為と越権行為の相違を示す図である。この発明の実施の形態２に係るアクセス制御システムの利用フェーズにおける構成を示す図である。この発明の実施の形態２に係るアクセス制御システムの利用権行使の電文の構成を示す図である。この発明の実施の形態３に係るアクセス制御システムの利用権における利用条件の種類例を示す図である。

符号の説明

１機器所有者、２利用権発行装置、３利用権、４機器使用者、５遠隔制御装置、６利用権行使、７通信路、８遠隔被制御装置、９コマンドとパラメータ具体値、１０制御対象機器の操作入力装置、１１シーケンス番号カウンタ、１２最新シーケンス番号記録装置。

Claims

機器所有者が許諾の際に、利用権被付与者、制御対象機器、コマンド、パラメータ許容範囲、利用条件、及び機器所有者の署名を含む利用権を発行する利用権発行装置と、
前記利用権発行装置から前記利用権を受け取って格納し、機器使用者が制御対象機器を操作する際に、前記利用権、パラメータ具体値、及び機器使用者の署名を含む利用権行使を発行する遠隔制御装置と、
前記遠隔制御装置から前記利用権行使を受信し、前記利用権行使に含まれる全ての項目について正当性を検証し、全ての項目が合格したとき、前記利用権行使に関する検証結果が合格となりアクセス可と判定して、前記利用権行使からコマンドとパラメータ具体値を抽出し、全ての項目のうち１つでも不合格であれば、前記利用権行使に関する検証結果が不合格となりアクセス不可と判定して、制御対象機器の操作を拒絶する遠隔被制御装置と、
コマンドとパラメータ具体値を実行する制御対象機器の操作入力装置と
を備えたことを特徴とするアクセス制御システム。
前記遠隔制御装置は、機器使用者の手動操作の時点で前記利用権行使を作成し送信する
ことを特徴とする請求項１記載のアクセス制御システム。
前記遠隔制御装置は、発行日の欄に発行予定日時を記入して予め作成しておいた利用権行使を、前記発行予定日時に自動送信する
ことを特徴とする請求項１記載のアクセス制御システム。
前記利用権発行装置による利用権の署名付与処理には公開鍵暗号方式の秘密鍵による暗号化を含み、
前記遠隔被制御装置による利用権の署名検証処理には公開鍵暗号方式の公開鍵による暗号化を含み、
かつ前記利用権発行装置と前記遠隔被制御装置は、同一の筐体内に格納されている
ことを特徴とする請求項１から請求項３までのいずれかに記載のアクセス制御システム。
前記利用権発行装置による利用権の署名付与処理には公開鍵暗号方式の秘密鍵による暗号化を含み、
前記遠隔被制御装置による利用権の署名検証処理には公開鍵暗号方式の公開鍵による暗号化を含み、
かつ前記利用権発行装置と前記遠隔被制御装置は、異なる筐体内に格納されている
ことを特徴とする請求項１から請求項３までのいずれかに記載のアクセス制御システム。
利用権発行装置により、機器所有者が許諾の際に、利用権被付与者、制御対象機器、コマンド、パラメータ許容範囲、利用条件、及び機器所有者の署名を含む利用権を発行する使用許諾ステップと、
遠隔制御装置により、前記利用権発行装置から前記利用権を受け取って格納し、機器使用者が制御対象機器を操作する際に、前記利用権、パラメータ具体値、及び機器使用者の署名を含む利用権行使を発行する遠隔操作ステップと、
遠隔被制御装置により、前記遠隔制御装置から前記利用権行使を受信し、前記利用権行使に含まれる全ての項目について正当性を検証し、全ての項目が合格したとき、前記利用権行使に関する検証結果が合格となりアクセス可と判定して、前記利用権行使からコマンドとパラメータ具体値を抽出し、全ての項目のうち１つでも不合格であれば、前記利用権行使に関する検証結果が不合格となりアクセス不可と判定して、制御対象機器の操作を拒絶する操作可否判定ステップと、
制御対象機器の操作入力装置により、コマンドとパラメータ具体値を実行する実行ステップと
を含むことを特徴とするアクセス制御方法。
前記パラメータ許容範囲として、許諾された値を列挙した
ことを特徴とする請求項６記載のアクセス制御方法。
前記パラメータ許容範囲として、許諾された値の上限と下限を指定した
ことを特徴とする請求項６記載のアクセス制御方法。
前記制御対象機器の操作の各々を特定する電文として、前記利用権行使に行使の発行時刻を内包させた
ことを特徴とする請求項６記載のアクセス制御方法。
前記制御対象機器の操作の各々を特定する電文として、前記利用権行使にシーケンス番号を内包させた
ことを特徴とする請求項６記載のアクセス制御方法。
前記利用条件として、一時的な使用可能日、又は使用可能時間を表記した
ことを特徴とする請求項６記載のアクセス制御方法。
前記利用条件として、定期的な使用可能日、又は使用可能時間を表記した
ことを特徴とする請求項６記載のアクセス制御方法。
前記利用条件として、同一利用権を基にして利用権行使を発行する回数上限を表記した
ことを特徴とする請求項６記載のアクセス制御方法。
前記利用条件として、前記遠隔被制御装置の内部もしくは外部のセンサの計測値に対する許容範囲を表記した
ことを特徴とする請求項６記載のアクセス制御方法。