JP6978358B2

JP6978358B2 - 中継装置切り替えシステム

Info

Publication number: JP6978358B2
Application number: JP2018053954A
Authority: JP
Inventors: 英男名取; 正之加藤
Original assignee: Mitsubishi Electric Information Network Corp
Current assignee: Mitsubishi Electric Information Network Corp
Priority date: 2018-03-22
Filing date: 2018-03-22
Publication date: 2021-12-08
Anticipated expiration: 2038-03-22
Also published as: JP2019169763A

Description

この本発明は、ＩｏＴデバイスと、ＩｏＴデバイスが接続するＩｏＴゲートウェイとを備えるシステムのセキュリティに関する。

近年、センサ、デバイスのような機器に通信機能を搭載し、様々な「モノ」がインターネット経由で相互に情報交換可能となるＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ（ＩｏＴ）技術が普及しつつある。通信機能を搭載したセンサ、デバイスのような機器は、ＩｏＴデバイスまたはＩｏＴ端末と呼ばれる。ＩｏＴデバイスには高速通信は要求されず、一方、低消費電力及び低コストが求められる場合が多い。このため、ＩｏＴデバイスでは、高いセキュリティを確保できる高性能なハードウェア構成は取り難い場合が多い。

そのため、ＩｏＴデバイスは、ＩｏＴゲートウェイなどと呼ばれる中継装置を介してインターネットに接続され、ＩｏＴゲートウェイのセキュリティ機能により、セキュリティが確保されることが多い。ＩｏＴゲートウェイは、セキュリティを確保するための高性能なハードウェア構成が取られることが多い。一方、ＩｏＴゲートウェイには多数のＩｏＴデバイスが帰属しているため、インターネット上の悪意の攻撃者がＩｏＴゲートウェイの乗っ取りに成功した場合には、システムに与え得る影響が大きい。この理由により、ＩｏＴゲートウェイは攻撃ターゲットとなり易く、現実に、マルウェアによる被害が発生している。
マルウェアによりＩｏＴゲートウェイを乗っ取られると、
（１）大量のＩｏＴデバイスデータの盗み出し、
（２）大量のＩｏＴデバイスデータの改ざん、
（３）ＩｏＴゲートウェイが踏み台にされての内部及び外部攻撃、
（４）ＩｏＴゲートウェイが踏み台にされての内部の他の機器の乗っ取り、
（５）ＩｏＴデバイスの乗っ取り、
のような被害が生じ得る。

特許文献１では、ＩｏＴゲートウェイがセンサ動作ログとパケットヘッダの情報とを監視し、監視の結果、異常があると判定した場合は、センサと外部ネットワークとを遮断するアイデアが開示されている。しかし、特許文献１では、ＩｏＴゲートウェイが攻撃者からのっとられた場合には対応できず、その際の影響範囲は、のっとられたＩｏＴゲートウェイと、ＩｏＴゲートウェイに接続するセンサとの全体に影響する。

特開２０１７−０８４２９６号公報

本発明は、ＩｏＴデバイスと、ＩｏＴデバイスが接続するＩｏＴゲートウェイとを備えるシステムのセキュリティを向上させることを目的とする。

この発明の中継装置切り替えシステムは、
データ中継のための接続要求である帰属要求を送信する複数の端末装置と、
前記帰属要求に対する応答である帰属要求応答が許可されている応答許可の状態のときに前記帰属要求を受信すると、前記帰属要求の送信元の前記端末装置へ前記帰属要求応答を送信することで送信元の前記端末装置との接続を確立し、送信元の前記端末装置のデータを中継する複数の中継装置と、
前記帰属要求応答を許可する中継装置を、時間の経過とともに切り替える管理装置と、備える。

本発明により、ＩｏＴデバイスにセキュリティ向上のためのハードウェアを設けることなく、ＩｏＴネットワークのセキュリティを向上できる。

実施の形態１の図で、中継装置切り替えシステム１０００の構成図。実施の形態１の図で、ＩｏＴデバイス１００のハードウェア構成図。実施の形態１の図で、ＩｏＴゲートウェイ装置２００のハードウェア構成図。実施の形態１の図で、ゲートウェイ管理装置３００のハードウェア構成図。実施の形態１の図で、ＩｏＴゲートウェイ装置２００の監視する際の監視項目３１２ｃを示す図。実施の形態１の図で、切替テーブル３３０ａを示す図。実施の形態１の図で、ＩｏＴデバイス１００の動作のフローチャート。実施の形態１の図で、ＩｏＴゲートウェイ装置２００の帰属要求応答の許可フラグの制御のフローチャート。実施の形態１の図で、ＩｏＴゲートウェイ装置２００の測定データ受信制御のフローチャート。実施の形態１の図で、ＩｏＴゲートウェイ装置２００のＩｏＴデバイス１００の帰属制御のフローチャート。実施の形態１の図で、ゲートウェイ管理装置３００によるＩｏＴゲートウェイ装置２００の異常を検出するフローチャート。実施の形態１の図で、ゲートウェイ管理装置３００によるＩｏＴゲートウェイ装置２００への帰属要求応答の許可制御のフローチャート。実施の形態１の図で、ゲートウェイ管理装置３００によるＩｏＴゲートウェイ装置２００への帰属要求応答の禁止制御のフローチャート。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。なお以下の実施の形態１ではインタフェース部をＩＦ部と表記している。

実施の形態１．
図１から図１３を参照して、実施の形態１の中継装置切り替えシステム１０００を説明する。

図１は、実施の形態１の中継装置切り替えシステム１０００の構成を示す。図１に示すように、中継装置切り替えシステム１０００は、ＩｏＴデバイス１００ａ，１００ｂ，１００ｃと、ＩｏＴゲートウェイ装置２００ａ，２００ｂ，２００ｃと、ゲートウェイ管理装置３００とを備えている。ＩｏＴゲートウェイ装置２００ａ，２００ｂ，２００ｃは、ＩｏＴデバイス１００ａ，１００ｂ及び１００ｃのデータを中継する中継装置である。図１では攻撃者６０１が攻撃者端末装置６００で、ＩｏＴゲートウェイ装置の乗っ取りを試みる場合を示している。

以下では、ＩｏＴデバイス１００ａ，１００ｂ，１００ｃは、端末装置１００ａ，１００ｂ，１００ｃと表記する。また、以下では、ＩｏＴゲートウェイ装置２００ａ，２００ｂ，２００ｃは、ＧＷ装置２００ａ，２００ｂ，２００ｃと表記する。また、以下では、ゲートウェイ管理装置３００は管理装置３００と表記する。
端末装置１００ａ，１００ｂ，１００ｃの区別の必要がない場合は、端末装置１００と表記する。ＧＷ装置２００ａ，２００ｂ，２００ｃの区別の必要ない場合も、ＧＷ装置２００と表記する。
図１では、３台の端末装置１００及び３台のＧＷ装置２００を示しているが、これらの台数は例示である。端末装置１００及びＧＷ装置２００の台数は問わない。

端末装置１００ａ，１００ｂ，１００ｃは、ＧＷ装置２００ａ，２００ｂ，２００ｃを介して、インターネット４００上のサーバ５００と通信を行う。各端末装置１００と各ＧＷ装置２００との間は、無線インタフェースまたは有線インタフェースで接続される。

ＧＷ装置２００は、各ＧＷ装置２００を管理する管理装置３００により状態監視される。各ＧＷ装置２００と管理装置３００との間は、Ｅｔｈｅｒｎｅｔ（登録商標）を利用したＩＰ通信もしくはＵＡＲＴ／ＵＳＢなどにより接続される。

＊＊＊構成の説明＊＊＊
図２は、端末装置１００のハードウェア構成図である。図２を参照して、端末装置１００の構成を説明する。
端末装置１００は、コンピュータである。端末装置１００は、プロセッサ１１０を備えるとともに、主記憶装置１２０、補助記憶装置１３０、入出力インタフェース装置１４０及びセンサ１５０といった他のハードウェアを備える。プロセッサ１１０は、信号線１０１を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

端末装置１００は、機能要素として、ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４を備えている。
ゲートウェイＩＦ部１１１は、端末側通信制御部である。また帰属制御部１１２はタイマである帰属タイマ１１２ａを備えている。
ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４の機能は、プログラムにより実現される。

プロセッサ１１０は、プログラムを実行する装置である。プログラムは、ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４の機能を実現する。プロセッサ１１０は、演算処理を行うＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）である。プロセッサ１１０の具体例は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、ＤＳＰ（ＤｉｇｉｔａｌＳｉｇｎａｌＰｒｏｃｅｓｓｏｒ）、ＧＰＵ（ＧｒａｐｈｉｃｓＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）である。プロセッサ１１０は、プロセッシングサーキットリとも呼ばれることがある。

主記憶装置１２０は、データを一時的に記憶する記憶装置である。主記憶装置１２０の具体例は、ＳＲＡＭ（ＳｔａｔｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＤＲＡＭ（ＤｙｎａｍｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。主記憶装置１２０は、プロセッサ１１０の演算結果を保持する。

補助記憶装置１３０は、データを不揮発的に保管する記憶装置である。補助記憶装置１３０は、ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４の機能を実現するプログラムを格納している。補助記憶装置１３０の具体例は、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）である。また、補助記憶装置１３０は、ＳＤ（登録商標）（ＳｅｃｕｒｅＤｉｇｉｔａｌ）メモリカード、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）といった可搬記録媒体であってもよい。補助記憶装置１３０には帰属パラメータ１３０ａが格納されている。

入出力インタフェース装置１４０は、プロセッサ１１０と外部の機器とを接続する。図２に示すように、入出力インタフェース装置１４０には、センサ１５０が接続されている。また後述のように、端末装置１００は帰属が確定したＧＷ装置２００と、入出力インタフェース装置１４０を介して接続する。

なお、補助記憶装置１３０に記憶されているプログラムは、主記憶装置１２０にロードされ、プロセッサ１１０によって実行される。

端末装置１００は、プロセッサ１１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１０と同じように、プログラムを実行する装置である。

ゲートウェイＩＦ部１１１、帰属制御部１１２、データ送信部１１３及び送信データ生成部１１４を実現するプログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
図２を参照して、端末装置１００の動作の概要を説明する。
（１）センサ１５０は、温度、照度のようなデータを測定する。
（２）センサ１５０による測定データは、入出力インタフェース装置１４０を介して、送信データ生成部１１４へ転送される。送信データ生成部１１４によって測定データはインターネット４００上のサーバ５００用に整形された後、データ送信部１１３でデータ送信待ちに入る。
（３）無帰属状態時、帰属制御部１１２は、ゲートウェイＩＦ部１１１を介して、各ＧＷ装置２００に対し順番に帰属要求を送信する。帰属要求は、データ中継のための接続要求である。
（４）更に、帰属制御部１１２は、各ＧＷ装置２００からの帰属要求応答の有無を検出し、帰属する
ＧＷ装置２００を選択し、帰属パラメータ１３０ａを用いて、帰属処理を実行する。帰属パラメータ１３０ａとは、ＧＷ装置２００のアドレス及びＧＷ装置２００の認証情報である。認証情報は、鍵、ＩＤ及びパスワードのような情報である。
（５）帰属処理が完了し、帰属状態となった時点で、帰属制御部１１２は帰属タイマ１１２ａを起動し、データ送信部１１３で送信待ちしていた測定データを、帰属先のＧＷ装置２００を介して、インターネット４００上のサーバ５００に送信する。
（６）帰属制御部１１２は，帰属タイマ１１２ａが満了した場合、帰属先のＧＷ装置２００に対して離脱処理を実行し、無帰属状態に移行する。

以上のように、複数の端末装置１００の各々は、タイマである帰属タイマ１１２ａを有する。帰属制御部１１２は、いずれかのＧＷ装置２００と接続している場合、帰属タイマ１１２ａの示す時間の経過に基づいて、ＧＷ装置２００との接続の終了を要求する離脱要求を、ゲートウェイＩＦ部１１１及び入出力インタフェース装置１４０を介して、接続しているＧＷ装置２００に送信する。

＊＊＊構成の説明＊＊＊
図３は、ＧＷ装置２００のハードウェア構成図である。図３を参照して、ＧＷ装置２００の構成を説明する。ＧＷ装置２００は、端末装置１００と同様のハードウェア構成を有するコンピュータである。ＧＷ装置２００の構成については、端末装置１００との相違を主に説明する。

ＧＷ装置２００は、プロセッサ２１０を備えるとともに、主記憶装置２２０、補助記憶装置２３０及び入出力インタフェース装置２４０といった他のハードウェアを備える。プロセッサ２１０は、信号線２０１を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

補助記憶装置２３０には、帰属リスト２３０ａ及び帰属パラメータ２３０ｂが格納されている。

ＧＷ装置２００は、機能要素として、ネットワークＩＦ部２１１、データ送信部２１２、送信データ生成部２１３、帰属応答部２１４、デバイスＩＦ部２１５及び管理装置ＩＦ部２１６を備える。ネットワークＩＦ部２１１、データ送信部２１２、送信データ生成部２１３、帰属応答部２１４、デバイスＩＦ部２１５及び管理装置ＩＦ部２１６の機能を実現するプログラムは、補助記憶装置２３０に格納されている。このプログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

ネットワークＩＦ部２１１、デバイスＩＦ部２１５及び管理装置ＩＦ部２１６は、中継側通信制御部である。

入出力インタフェース装置２４０は、プロセッサ２１０と外部の機器とを接続する。図３に示すように、入出力インタフェース装置２４０には、インターネット４００、管理装置３００が接続されている。また後述のように、ＧＷ装置２００は帰属が確定した端末装置１００と、入出力インタフェース装置２４０を介して接続する。

＊＊＊動作の説明＊＊＊
図３を参照して、ＧＷ装置２００の動作の概要を説明する。
（１）帰属応答部２１４は「帰属要求応答の許可待ち状態（帰属要求応答の許可フラグ＝ｄｉｓａｂｌｅ）」で、管理装置ＩＦ部２１６を介して、管理装置３００からの帰属要求応答の許可を受信した場合、「帰属要求待ち状態（帰属要求応答許可フラグ＝ｅｎａｂｌｅ）」に移行する。帰属要求応答の許可フラグは、帰属応答部２１４が持っている。
（２）帰属応答部２１４は、「帰属要求待ち状態（帰属要求応答の許可フラグ＝ｅｎａｂｌｅ）」で、管理装置ＩＦ部２１６を介して、管理装置３００からの帰属要求応答の禁止指示の受信した場合、「帰属要求応答の許可待ち状態（帰属要求応答の許可フラグ＝ｄｉｓａｂｌｅ）」に移行する。
（３）帰属応答部２１４は、「帰属要求待ち状態」でデバイスＩＦ部２１５を介して端末装置１００からの帰属要求を受信した場合、その端末装置１００に対し、デバイスＩＦ部２１５を介して帰属要求応答を送信する。そして、帰属応答部２１４は、その端末装置１００との間で、帰属パラメータ２３０ｂに従い帰属処理を実行する。
（４）帰属応答部２１４は、帰属処理が完了した時点で、端末装置１００を帰属リスト２３０ａに登録する。
（５）帰属応答部２１４は、帰属要求応答の許可待ち状態（帰属要求応答の許可フラグ＝ｄｉｓａｂｌｅ）の間に端末装置１００から帰属要求を受信した場合は帰属要求応答を送信せず、帰属処理を行わない。
（６）帰属応答部２１４は、帰属リスト２３０ａに登録された端末装置１００から、デバイスＩＦ部２１５を介して測定データを受信した場合は、測定データを送信データ生成部２１３へ転送する。データ送信部２１２は、送信データ生成部２１３から測定データを受け取り、ネットワークＩＦ部２１１を介して、測定データをインターネット４００上のサーバ５００に送信する。
（７）帰属応答部２１４は、デバイスＩＦ部２１５を介して帰属リスト２３０ａに登録された端末装置１００からの離脱要求を受信した場合、離脱処理を実行する。帰属応答部２１４は、離脱処理が完了した時点で、端末装置１００を帰属リスト２３０ａから削除する。また、帰属応答部２１４は、エージングタイマを有している。エージングタイマの計測によって、帰属応答部２１４は、一定期間、測定データの送受信が無い端末装置１００を、帰属リスト２３０ａから削除してもよい。
（８）管理装置ＩＦ部２１６は、インターネットプロトコルを適用しても良いが、ＧＷ装置２００を踏み台とした管理装置３００への攻撃を防止するため、ＵＡＲＴ／ＵＳＢを使用するなど、インターネットプロトコルを使用しない構成が望ましい。

以上のように、複数のＧＷ装置２００の各ＧＷ装置２００は、帰属要求に対する応答である帰属要求応答が許可されている応答許可の状態のときに帰属要求を端末装置１００から受信すると、帰属要求の送信元の端末装置１００へ帰属要求応答を送信することで送信元の端末装置１００との接続を確立する。そしてＧＷ装置２００は、送信元の端末装置１００の測定データを中継する。測定データは中継データである。

＊＊＊構成の説明＊＊＊
図４は、管理装置３００のハードウェア構成図である。図４を参照して、管理装置３００の構成を説明する。管理装置３００は、端末装置１００と同様のハードウェア構成を有するコンピュータである。管理装置３００の構成については、端末装置１００との相違を主に説明する。

管理装置３００は、プロセッサ３１０を備えるとともに、主記憶装置３２０、補助記憶装置３３０及び入出力インタフェース装置３４０といった他のハードウェアを備える。プロセッサ３１０は、信号線３０１を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

補助記憶装置３３０には、切替テーブル３３０ａが格納されている。

管理装置３００は、機能要素として、ゲートウェイＩＦ部３１１、帰属許可部３１２を有する。帰属許可部３１２は、装置管理部３１２ａ及び時計３１２ｂを有する。ゲートウェイＩＦ部３１１は管理側通信制御部である。ゲートウェイＩＦ部３１１は、管理装置３００とＧＷ装置２００との通信を制御する。ゲートウェイＩＦ部３１１及び帰属許可部３１２の機能を実現するプログラムは、補助記憶装置３３０に格納されている。このプログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

入出力インタフェース装置３４０は、プロセッサ３１０と外部の機器とを接続する。図４に示すように、入出力インタフェース装置３４０には、ＧＷ装置２００ａ，２００ｂ，２００ｃが接続されている。装置管理部３１２ａは、ゲートウェイＩＦ部３１１及び入出力インタフェース装置３４０を介して、ＧＷ装置２００ａ，２００ｂ，２００ｃの状態を監視する。

＊＊＊動作の説明＊＊＊
図４、図５を参照して、管理装置３００の動作の概要を説明する。
図５は、装置管理部３１２ａが各ＧＷ装置２００の監視する際の監視項目３１２ｃを示す。装置管理部３１２ａは監視項目３１２ｃを有する。装置管理部３１２ａは、ゲートウェイＩＦ部３１１及び入出力インタフェース装置３４０を介して、各ＧＷ装置２００の図５の番号１から番号５に示すような項目を周期監視することで、ＧＷ装置２００の異常を検知する。
番号１は、ネットワーク通信継続時間である。装置管理部３１２ａは、通信継続時間が閾値を超過した場合、そのＧＷ装置２００を異常と判定する。
番号２は、ネットワーク通信間隔である。装置管理部３１２ａは、ＧＷ装置２００のネットワーク通信間隔が閾値を超過した場合に、そのＧＷ装置２００を異常と判定する。
番号３は、プログラム動作状況である。装置管理部３１２ａは、動作が禁止されている禁止プログラムの動作を検出した場合、そのＧＷ装置２００を異常と判定する。
番号４は、ファイアウォール設定状態である。装置管理部３１２ａは、ファイアウォールの設定状態の変更を検出した場合、そのＧＷ装置２００を異常と判定する。
番号５は、ネットワーク接続先である。装置管理部３１２ａは、ＧＷ装置２００の接続先がブラックリストに掲載されている場合、そのＧＷ装置２００を異常と判定する。装置管理部３１２ａはブラックリストを有する。

帰属許可部３１２は、時計３１２ｂと、切替情報である切替テーブル３３０ａとに基づいて、「各ＧＷ装置２００が端末装置１００に帰属要求応答を開始する時刻」を検出する。
図６は、切替テーブル３３０ａを示す。切替テーブル３３０ａでは、ＧＷ装置２００と、時刻とが対応付けられている。図６では、各ＧＷ装置２００ａに、応答許可時刻と応答禁止時刻の組が対応付けられている。例えば「Ｔ１、Ｔ２」が組である。帰属許可部３１２は、この時刻を検出したときに、切替テーブル３３０ａにおいて応答許可時刻が到来した対象のＧＷ装置２００について装置管理部３１２ａによって異常が検知されていなければ、そのＧＷ装置２００に、ゲートウェイＩＦ部３１１を介して帰属要求応答の許可指示を送信する。対象のＧＷ装置２００で異常が検知されている場合は、応答許可時刻であっても帰属許可部３１２は、帰属要求応答の許可指示を送信しない。
帰属許可部３１２は複数のＧＷ装置２００を監視し、監視の結果、異常を有するＧＷ装置２００を検出した場合、異常を有するＧＷ装置２００に帰属要求応答を許可しない。
帰属許可部３１２は、ＧＷ装置２００デバイスへの応答禁止時刻を検出した場合、ゲートウェイＩＦ部３１１を介して、該当するＧＷ装置２００に対して帰属要求応答を禁止する指示を送信する。

管理装置３００は、端末装置１００の送信する帰属要求に対して帰属要求応答するＧＷ装置２００は１台のみとする。つまり、切替テーブル３３０ａにおいて、各ＧＷ装置２００では、応答許可時刻と応答禁止時刻との組の示す期間に重複部分はない。また、切替テーブル３３０ａにおける時刻設定による各ＧＷ装置２００の帰属要求応答が許可される期間の長さにより、各ＧＷ装置２００に帰属する端末装置１００の数を調整することができる。各ＧＷ装置２００の帰属要求応答の可能な期間を均等にすれば、各ＧＷ装置２００に帰属する端末装置１００の数を均等化できる。
なお、切替テーブル３３０ａでは、各ＧＷ装置２００には、応答許可時刻と応答禁止時刻との組の示す期間に重複部分はないとしたが、複数のＧＷ装置２００に含まれる部分的な複数のＧＷ装置２００は、部分的に応答許可時刻と応答禁止時刻との組の示す期間が重複する構成をとることもできる。
あるいは、複数のＧＷ装置２００に含まれる部分的な複数のＧＷ装置２００は、応答許可時刻と応答禁止時刻との組の示す期間が全部重複する構成をとることもできる。

以上のように、管理装置３００の帰属許可部３１２は、帰属要求応答を許可するＧＷ装置２００を、時間の経過とともに切り替える。具体的には、管理装置３００は、ＧＷ装置２００ごとに、切り替える時刻が記載された切替情報である図６に示す、切替テーブル３３０ａを有する。ここで切り替える時刻とは応答許可時刻と応答禁止時刻との組である。そして、帰属許可部３１２は、切替テーブル３３０ａを参照して、ＧＷ装置２００を時間の経過とともに切り替える

図７は、端末装置１００の動作のフローチャートである。図７を参照して端末装置１００の動作を説明する。図７では、ＧＷ装置２００ａ，２００ｂ，２００ｃを、ＧＷ＃１、ＧＷ＃２、ＧＷ＃３と表記している。

ステップＳ１１において、端末装置１００が起動する。ステップＳ１２において、帰属制御部１１２は、ＧＷ装置２００ａに帰属要求を送信する。ＧＷ装置２００ａから帰属要求応答がない場合、ステップＳ１４において、帰属制御部１１２はＧＷ装置２００ｂに帰属要求を送信する。ＧＷ装置２００ｂから帰属要求応答がない場合、ステップＳ１６において、帰属制御部１１２はＧＷ装置２００ｃに帰属要求を送信する。起動後に最初に帰属要求応答を受信した場合、帰属制御部１１２は、その帰属要求応答を送信したＧＷ装置２００との間で帰属処理を行う（ステップＳ１３、Ｓ１５、Ｓ１７）。

ステップＳ１８において、帰属制御部１１２は帰属するべきＧＷ装置２００、つまり帰属要求応答を送信したＧＷ装置２００を選択し、このＧＷ装置２００との間で帰属処理を行う（ステップＳ１９）。帰属制御部１１２は帰属処理が完了した時点で帰属タイマ１１２ａを起動する（ステップＳ２０、Ｓ２１）。帰属制御部１１２は、帰属タイマ１１２ａが満了した時点で、帰属しているＧＷ装置２００からの離脱処理を開始する（ステップＳ２２、Ｓ２３）。帰属制御部１１２は、離脱処理が完了した場合（ステップＳ２４）、ステップＳ１２にもどる。

図８は、ＧＷ装置２００の帰属要求応答の許可フラグの制御のフローチャートである。ステップＳ３１において、ＧＷ装置２００が起動する。ステップＳ３２において、帰属応答部２１４は、帰属要求応答の許可フラグを「ｄｉｓａｂｌｅ」にする。ステップＳ３３において、帰属応答部２１４は、管理装置３００が送信する帰属要求応答の許可指示が検出されたか判定する。帰属要求応答の許可指示が検出された場合、帰属応答部２１４は、帰属要求応答の許可フラグを「ｅｎａｂｌｅ」にする（ステップＳ３４）。次に、帰属応答部２１４は、管理装置３００が送信する帰属要求応答の禁止指示が検出されるまで待つ（ステップＳ３５）。帰属要求応答の禁止指示が検出され場合、処理はステップＳ３２に戻る。

図９は、ＧＷ装置２００の測定データの受信制御を示すフローチャートである。ステップＳ４１において、ＧＷ装置２００が起動する。ステップＳ４２において、ＧＷ装置２００は測定データの受信待ちとなる。ステップＳ４３において、帰属応答部２１４はデバイスＩＦ部２１５から測定データを受信し、測定データを送信データ生成部２１３へ転送する。ステップＳ４４において、帰属応答部２１４は、帰属リスト２３０ａを参照する。帰属リスト２３０ａには現在、帰属している端末装置１００が登録されている。
端末装置１００が登録されていれば処理はステップＳ４５に進み、登録されていなければ処理はステップＳ４２に進む。ステップＳ４５において、帰属応答部２１４は、データバッファの状態を確認し、空きがある場合は送信データ生成部２１３に測定データを成型させて、データバッファに格納させる（ステップＳ４６）。データバッファに空きがない場合、処理はステップＳ４２に進む。

図１０は、ＧＷ装置２００の端末装置１００の帰属制御のフローチャートである。ステップＳ５１において、ＧＷ装置２００が起動する。ステップＳ５２において、帰属応答部２１４は、帰属要求応答の許可待ちになる。ステップＳ５３において、帰属応答部２１４は帰属要求応答の許可フラグをチェックする。
帰属要求応答の許可フラグが「ｄｉｓａｂｌｅ」の場合、帰属応答部２１４は帰属要求応答の許可指示を待つ。帰属要求応答の許可フラグが「ｅｎａｂｌｅ」の場合、処理はステップＳ５４に進み、
帰属応答部２１４は、帰属要求を待つ。帰属応答部２１４は帰属要求を検出した場合、帰属要求応答を返信し、帰属要求を送信した端末装置１００との間で帰属処理を実施する（ステップＳ５５、Ｓ５６、Ｓ５７）。帰属処理が完了した場合、帰属応答部２１４は、帰属処理を実施した端末装置１００を帰属リスト２３０ａに登録する（ステップＳ５８）。登録した端末装置１００は端末装置１００ａとする。ステップＳ５９において、帰属応答部２１４は、エージングタイマを起動する。ステップＳ６０では端末装置１００ａは帰属リスト２３０ａに登録されており帰属状態である。帰属リスト２３０ａに登録されていることが、つまり帰属状態である。帰属応答部２１４は端末装置１００ａから送信された離脱要求を受信した場合（ステップＳ６１で検出）、端末装置１００ａの離脱処理を行い、帰属リスト２３０ａから端末装置１００ａを削除する（ステップＳ６２、Ｓ６３）。

帰属応答部２１４がステップＳ６１で離脱要求を検出しない場合、処理はステップＳ６４、Ｓ６４に進む。帰属応答部２１４は、測定データの送受信が未検出、かつ、エージングタイマが満了している端末装置１００を、帰属リスト２３０ａから削除する（ステップＳ６４、Ｓ６５）。帰属応答部２１４は、測定データの送受信が検出、または、エージングタイマが満了していない端末装置１００については、その端末装置１００のエージングタイマをクリアする。

図１１は、管理装置３００によるＧＷ装置２００の異常を検出するフローチャートである。装置管理部３１２ａは、ステップＳ７０で起動する。装置管理部３１２ａは図５に示す番号１から番号５までを判定する（ステップＳ７１、Ｓ７２、Ｓ７３、Ｓ７４、Ｓ７５、Ｓ７６）

図１２は、管理装置３００によるＧＷ装置２００への帰属要求応答の許可制御のフローチャートである。図１２においてＧＷ＃１、ＧＷ＃２、ＧＷ＃３は、ＧＷ装置２００ａ、ＧＷ装置２００ｂ、ＧＷ装置２００ｃを示す。ステップＳ８１からＳ８４はＧＷ装置２００ａに対する制御、ステップＳ８５からＳ８８はＧＷ装置２００ｂに対する制御、ステップＳ８９からＳ９２はＧＷ装置２００ｃに対する制御である。ＧＷ装置２００ａに対する制御、ＧＷ装置２００ｂに対する制御及びＧＷ装置２００ｃに対する制御は、同様であるので、ＧＷ装置２００ａに対する制御を説明する。

ステップＳ８１において、帰属許可部３１２は、ＧＷ装置２００ａの異常検出フラグをチェックする。異常が検出された場合、ＧＷ装置２００ｂの処理（ステップＳ８５）に進む。異常が検出されない場合、帰属許可部３１２は、図６の切替テーブル３３０ａでＧＷ装置２００ａの応答許可時刻を検出する（ステップＳ８２）。ＧＷ装置２００ａの応答許可時刻が検出された場合、処理はステップＳ８３に進む。
ステップＳ８３において、帰属許可部３１２は、ＧＷ装置２００ａが帰属要求応答を禁止されているか確認する。これは帰属許可部３１２が、各ＧＷ装置２００に対する許可または禁止の状態を記憶しているのでわかる。ＧＷ装置２００ａが帰属要求応答を禁止されている場合、帰属許可部３１２は、ＧＷ装置２００ａに帰属要求応答の許可指示を送信する（ステップＳ８４）。

図１３は、管理装置３００によるＧＷ装置２００への帰属要求応答の禁止制御のフローチャートである。図１３においてＧＷ＃１、ＧＷ＃２、ＧＷ＃３は、ＧＷ装置２００ａ、ＧＷ装置２００ｂ、ＧＷ装置２００ｃを示す。ステップＳ１０１からＳ１０３はＧＷ装置２００ａに対する制御、ステップＳ１０４からＳ１０６はＧＷ装置２００ｂに対する制御、ステップＳ１０７からＳ１０９はＧＷ装置２００ｃに対する制御である。ＧＷ装置２００ａに対する制御、ＧＷ装置２００ｂに対する制御及びＧＷ装置２００ｃに対する制御は、同様であるので、ＧＷ装置２００ａに対する制御を説明する。

ステップＳ１０１において、帰属許可部３１２は、ＧＷ装置２００ａの帰属要求応答の禁止時刻を検出する。検出された場合、処理はステップＳ１０２に進む。ステップＳ１０２において、帰属許可部３１２は、ＧＷ装置２００ａの帰属要求応答の許可状態を確認する。許可中の場合、処理はステップＳ１０３進む。ステップＳ１０３において、帰属許可部３１２はＧＷ装置２００ａに帰属要求応答の禁止の指示を送信する。以上の処理は、ＧＷ装置２００ｂ、ＧＷ装置２００ｃについても同様である。

＊＊＊実施の形態１の効果＊＊＊
（１）端末装置１００、ＧＷ装置２００及び管理装置３００が上記のとおり動作することで、悪意の攻撃者により、ＩｏＴゲートウェイが乗っ取られた場合も、影響を受けるＩｏＴデバイスを分散させることができる。
（２）また、装置管理部３１２ａによってＧＷ装置２００の異常を検出するので、端末装置１００は、一定時間後にその他のＧＷ装置２００に帰属することができる。よって中継装置切り替えシステム１０００では、端末装置１００の帰属状態を自動復旧できる。

＜変形例１＞
以上では、端末装置１００は帰属タイマ１１２ａの満了に伴い、離脱処理、帰属処理を実行している。しかし端末装置１００は、測定データの送信完了するごとに離脱処理、帰属処理を実行し、毎回測定データを送信するＧＷ装置２００を変更してもよい。
つまり、複数の端末装置の各々の帰属制御部は、いずれかの中継装置と接続している場合、中継を求める測定データを、接続している中継装置送信した後に、中継装置との接続の終了を要求する離脱要求を接続している中継装置に送信する構成でもよい。

＜変形例２＞
以上では、端末装置１００は帰属要求に応答したＧＷ装置２００に受動的に帰属している。しかし、複数のＧＷ装置２００から応答があった場合、前回の帰属要求から連続して応答したＧＷ装置２００は異常応答として能動的に帰属先から外し、セキュリティを向上させてもよい。
つまり、複数の端末装置の各々の帰属制御部は、同一の中継装置から、連続して帰属要求応答を受信した場合、同一の中継装置との接続を確立しない構成でもよい。

＜変形例３＞
以上では、管理装置３００が異常検知したＧＷ装置２００に対し、帰属要求応答の許可指示を出さないことで、異常が検出されたＧＷ装置２００を端末装置１００の帰属候補から外している。
しかし、異常が検出されたＧＷ装置２００については、管理装置３００からハードウェア的に直接、ＧＷ装置２００の電源ＯＦＦ、またはデバイスＩＦ部２１５をｄｉｓａｂｌｅ可能な構成とするこの構成によって、攻撃によりＧＷ装置２００が、管理装置３００の指示に従わなくなった場合に対応できる。
つまり管理装置の帰属許可部３１２は、複数のＧＷ装置を監視し、監視の結果、異常を有するＧＷ装置を検出した場合、検出したＧＷ装置に対して、電源をオフにする処理と、送信を中止する処理とのいずれかの処理を実行する。

＜変形例４＞
以上では、管理装置３００は時計３１２ｂの時刻により、各ＧＷ装置２００の帰属要求応答の期間を管理している。しかし、時計ではなく、タイマまたは、ＧＷ装置に帰属中の端末装置の数により管理してもよい。
つまり後者については、帰属許可部は、接続している端末装置の個数を中継装置ごとに監視し、接続している端末装置の個数に基づいて、中継装置であるＧＷ装置を、時間の経過とともに切り替える構成としてもよい。

＜変形例５＞
以上では、コンピュータである複数台のＧＷ装置２００でシステム構成している。しかし、Ｈｙｐｅｒｖｉｓｏｒなどにより複数のＯＳを動作させ、仮想化したＩｏＴゲートウェイファームウェアを複数動作させる構成とし、ハードウェアのコストダウンを図ってもよい。
つまり、中継装置である複数のＧＷ装置は、仮想マシンによって実現されてもよい。

以上、実施の形態１について説明したが、実施の形態１において、２つ以上を組み合わせて実施しても構わない。あるいは、実施の形態１のうち、１つを部分的に実施しても構わない。なお、本発明は、実施の形態１に限定されるものではなく、必要に応じて種々の変更が可能である。

１００，１００ａ，１００ｂ，１００ｃ端末装置、１１０プロセッサ、１１１ゲートウェイＩＦ部、１１２帰属制御部、１１２ａ帰属タイマ、１１３データ送信部、１１４送信データ生成部、１２０主記憶装置、１３０補助記憶装置、１３０ａ帰属パラメータ、１４０入出力インタフェース装置、１５０センサ、２００，２００ａ，２００ｂ，２００ｃＧＷ装置、２１０プロセッサ、２１１ネットワークＩＦ部、２１２データ送信部、２１３送信データ生成部、２１４帰属応答部、２１５デバイスＩＦ部、２１６管理装置ＩＦ部、２２０主記憶装置、２３０補助記憶装置、２３０ａ帰属リスト、２３０ｂ帰属パラメータ、２４０入出力インタフェース装置、３００管理装置、３１０プロセッサ、３１１ゲートウェイＩＦ部、３１２帰属許可部、３１２ａ装置管理部、３１２ｂ時計、３２０主記憶装置、３３０補助記憶装置、３３０ａ切替テーブル、３４０入出力インタフェース装置、４００インターネット、５００サーバ、６００攻撃者端末装置、６０１攻撃者、１０００中継装置切り替えシステム。

Claims

データ中継のための接続要求である帰属要求を送信する複数の端末装置と、
前記帰属要求に対する応答である帰属要求応答が許可されている応答許可の状態のときに前記帰属要求を受信すると、前記帰属要求の送信元の前記端末装置へ前記帰属要求応答を送信することで送信元の前記端末装置との接続を確立し、送信元の前記端末装置のデータを中継する複数の中継装置と、
前記帰属要求応答を許可する中継装置を、時間の経過とともに切り替える管理装置と、を備え、
前記管理装置は、
接続している前記端末装置の個数を中継装置ごとに監視しており、前記中継装置に接続中の前記端末装置の個数に基づいて前記中継装置の前記帰属要求応答の期間を管理することで、前記帰属要求応答を許可する中継装置を時間の経過とともに切り替える中継装置切り替えシステム。
前記管理装置は、
前記複数の中継装置を監視し、監視の結果、異常を有する前記中継装置を検出した場合、異常を有する前記中継装置に前記帰属要求応答を許可しない請求項１に記載の中継装置切り替えシステム。
前記管理装置は、
前記複数の中継装置を監視し、監視の結果、異常を有する前記中継装置を検出した場合、検出した前記中継装置に対して、電源をオフする処理と、送信を中止する処理とのいずれかの処理を実行する請求項１に記載の中継装置切り替えシステム。
複数の端末装置の各端末装置は、
タイマを有するとともに、いずれかの前記中継装置と接続している場合、前記タイマの示す時間の経過に基づいて、前記中継装置との接続の終了を要求する離脱要求を、接続している前記中継装置に送信する請求項１に記載の中継装置切り替えシステム。
複数の端末装置の各端末装置は、
いずれかの前記中継装置と接続している場合、中継を求める前記データを、接続している前記中継装置に送信した後に、前記中継装置との接続の終了を要求する離脱要求を接続している前記中継装置に送信する請求項１に記載の中継装置切り替えシステム。
複数の端末装置の各端末装置は、
同一の中継装置から、連続して前記帰属要求応答を受信した場合、前記同一の中継装置との接続を確立しない請求項１に記載の中継装置切り替えシステム。
前記複数の中継装置は、
仮想マシンによって実現される請求項１から請求項６のいずれか一項に記載の中継装置切り替えシステム。