JP7204534B2 - 通信システム - Google Patents

Description

本発明の実施形態は、通信システムに関する。

通信システムは、取り扱うデータおよび機器の制御情報をマルウェア等の攻撃から防御される必要がある。例えば、社会インフラとして設置される監視カメラ等の機器は、通信するデータの安全性を確保することが必要である。しかしながら、監視カメラなどの社会インフラを構築する各機器は、一旦設置されると、頻繁に置換えることが難しいため、安全対策が不十分になってしまうという問題がある。

特開２００９－１１７８８７号公報

本発明が解決しようとする課題は、社会インフラシステムなどに用いる通信の安全性を向上させることができる通信システムを提供することである。

実施形態によれば、通信システムは、複数の第１の通信制御装置と第２の通信制御装置とを備える。第１の通信制御装置は、無線通信部とコントローラとを有する。無線通信部は、無線通信を行う。コントローラは、無線通信部により第１の装置から第２の装置へ送信するデータを受信する場合、データを受信する第１の通信制御装置からネットワーク通信網へデータを送出するためのメッシュネットワーク内の通信経路を決定し、通信経路およびネットワーク通信網を介して通信する第２の通信制御装置と相互認証した後にデータを暗号化したデータを第２の通信制御装置へ送信する。

図１は、実施形態に係る通信システムの構成例を示す図である。 図２は、実施形態に係るクライアント装置およびサーバ装置の構成例を示すブロック図である。 図３は、実施形態に係るクライアント側の通信制御装置およびサーバ側の通信制御装置の構成例を示すブロック図である。 図４は、実施形態に係る通信制御装置における認証部の構成例としてのＩＣカードのハードウェア構成例を示す図である。 図５は、実施形態に係る通信制御装置における認証部の構成例としてのＩＣカードにおける機能構成例を示すブロック図である。 図６は、実施形態に係る通信制御管理装置における機能構成例を示すブロック図である。 図７は、実施形態に係る通信システムにおけるクライアント装置からサーバ装置へのデータ送信処理の処理例を示すシーケンスである。 図８は、実施形態に係る通信システムにおけるサーバ装置からクライアント装置へのデータ送信処理の処理例を示すシーケンスである。

以下、各実施形態について、図面を参照して説明する。
まず、各実施形態に係る通信システムのペースとなる基本的な構成例および動作例について説明する。
図１は、各実施形態に係る通信システムのベースとなる構成を有する通信システム１の構成例を示す図である。
通信システム１は、クライアント装置（第１の装置の一例）１０（１０－１～１０－Ｎ）と、サーバ装置（第２の装置の一例）２０と、クライアント側の通信制御装置３０（３０－１～３０－Ｎ）（「第１の通信制御装置」の一例）と、サーバ側の通信制御装置３１（「第２の通信制御装置」の一例）と、通信制御管理装置５（「プライベート認証局」の一例）と、ネットワークＮＷと、を備える。

クライアント装置１０は、クライアント側の通信制御装置３０を介してネットワークＮＷと接続する。サーバ装置２０は、サーバ側の通信制御装置３１を介してネットワークＮＷと接続する。なお、クライアント装置１０、およびサーバ装置２０の構成の詳細については後述する。

クライアント装置１０は、クライアント側の通信制御装置３０と無線通信する。無線通信は、たとえば、Ｗｉ－Ｆｉ（登録商標）網、ブルートゥース（登録商標）などを利用した通信が含まれる。また、複数のクライアント側の通信制御装置３０は、互いに無線通信を行う。複数のクライアント側の通信制御装置３０は、無線通信で相互に接続することによりメッシュネットワーク８を構成する。メッシュネットワーク８は、単に広い空間でのネットワークに限らず、例えば、複数のクライアント装置が建屋内の複数の階が配置されていたり、遮蔽物が多い環境に設置されていたりするケースにおいて、各クライアント装置からのデータを確実に伝送するためのネットワークとして構成される。

メッシュネットワーク８は、各クライアント側の通信制御装置３０の無線通信エリア８－１，８－２，８－３でカバーされる通信エリアである。例えば、各クライアント側の通信制御装置３０は、ＩＥＥＥ ８０２．１１ｓなどに準拠するメッシュネットワークを実現する。メッシュネットワーク８は、制御対象とする全てのクライアント装置１０と無線通信が可能となるように構築される。クライアント側の通信制御装置３０は、メッシュネットワーク８内の他の通信制御装置３０との無線通信においてメッシュＩＥＥＥ ８０２．１１ｓなどのプロトコルが採用されることにより、可用性と秘匿性とが向上した無線セキュリティネットワークを実現できる。

また、クライアント側の通信制御装置３０は、ゲートウエイ／アクセスポイント（ＧＷ／ＡＰ）として動作する機能を有する。クライアント側の通信制御装置３０は、メッシュネットワーク内のクライアント装置１０に対応する鍵および証明書を保持する。これにより、各通信制御装置３０は、クライアント装置１０に対する認証を行う。また、各クライアント装置１０は、メッシュネットワークを構成する各通信制御装置３０と無線通信を行うための設定を保持する。例えば、各クライアント装置１０は、自身の識別情報としてのＳＳＩＤ、および、ＷＰＡ等の認証に用いるパスワードなどが設定される。

クライアント側の通信制御装置３０は、クライアント装置１０とネットワークＮＷとの間に接続されるメッシュネットワーク８によって、クライアント装置１０とサーバ装置２０との間の通信を仲介する。すなわち、メッシュネットワーク８を構成するクライアント側の通信制御装置３０は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。ここで、クライアント側の通信制御装置３０は、サーバ装置２０に対してデータを送信する際に、クライアント装置１０から取得したデータを暗号化し、暗号化したデータをサーバ装置２０に対して送信する。

また、メッシュネットワーク８を構成するクライアント側の通信制御装置３０は、サーバ装置２０によりクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して出力する。ここで、クライアント側の通信制御装置３０が取得するデータは暗号化されたデータである。クライアント側の通信制御装置３０は、クライアント装置１０にデータを出力する際に、サーバ装置２０からサーバ側の通信制御装置３１を介して取得したデータを復号し、復号したデータをクライアント装置１０に出力する。

なお、通信システム１において、複数のクライアント側の通信制御装置３０のうち１つは、有線通信でネットワークＮＷに接続される。図１に示す構成例では、通信制御装置３０－１が、ネットワークＮＷに接続され、ネットワークＮＷを介してサーバ側の通信制御装置３１と通信する。メッシュネットワーク８において、通信制御装置３０－１以外の通信制御装置３０－２、…、３０Ｎは、ネットワークＮＷに接続されるための通信部を持たなくても良く、他の通信制御装置３０とクライアント装置１０とに無線通信で接続するための通信部を具備するものであれば良い。

また、クライアント側の通信制御装置３０のうちの１つは、１つのクライアント装置１０との間をイーサケーブルなどの有線通信用のケーブルで接続するようにしても良い。１つのクライアント装置にクライアント側の通信制御装置３０のうちの１つを有線で繋ぐことによって、クライアント装置１０側の設定の変更を少なくでき、クライアント側の通信制御装置３０側の変更も少なくすることができる。

サーバ側の通信制御装置３１は、サーバ装置２０とネットワークＮＷとの間に接続され、クライアント装置１０とサーバ装置２０との間の通信を仲介する。サーバ側の通信制御装置３１は、サーバ装置２０からクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して送信する。ここで、サーバ側の通信制御装置３１は、クライアント装置１０に対してデータを送信する際に、サーバ装置２０から取得したデータを暗号化し、暗号化したデータをクライアント装置１０に対して送信する。

また、サーバ側の通信制御装置３１は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。ここで、サーバ側の通信制御装置３１が取得するデータは暗号化されたデータである。サーバ側の通信制御装置３１は、サーバ装置２０にデータを出力する際に、クライアント装置１０からメッシュネットワーク８を構成するクライアント側の通信制御装置３０を介して取得したデータを復号し、復号したデータをサーバ装置２０に出力する。

クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１が行うデータの暗号化には、例えば、ＳＳＬ（Secure Socket Layer）／ＴＬＳ（Trans port Layer Security）のプロトコルによる暗号化が行われる。クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、例えば、ＳＳＬ／ＴＬＳプロトコルを、ＨＴＴＰと組み合わせることで、ＨＴＴＰに含まれるデータを暗号化し、安全性を向上させたＨＴＴＰＳ（HTTP Secure）に置き換える。

なお、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１が行うデータの暗号化は、ＨＴＴＰをＨＴＴＰＳとすることに限定されない。クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、ＳＳＬ／ＴＬＳプロトコルを種々の通信プロトコルと組み合わせることにより、安全性を向上させたセキュアな通信プロトコルに置き換えてもよい。例えば、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、ＦＴＰ（File Transfer Protocol）をＦＴＰＳ（FTP Secure）に置き換えてもよい。

通信システム１において、クライアント側の通信制御装置３０、またはサーバ側の通信制御装置３１により暗号化されたデータがネットワークＮＷに出力される。換言すると、通信システム１におけるネットワークＮＷを流れるデータは、暗号化されたデータであり。このため、ネットワークＮＷで送受信されるデータに対し、外部から悪意をもってアクセスされデータが盗聴されてしまうような危険を回避し、安全性を向上させる。なお、ここでいうデータの盗聴とは、「データを盗み見る行為」または「データを抜き取る行為」をいう。

通信制御管理装置５は、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１を管理するためのデバイス管理サーバである。例えば、通信制御管理装置５は、クライアント側の通信制御装置３０に対し、クライアント証明書、および秘密鍵を発行する。図１に示す構成例において、通信制御管理装置５は、クライアント側の通信制御装置３０に装着するＩＣカードに記憶するクライアント証明書、および秘密鍵を発行する。また、通信制御管理装置５は、ＩＣカードが装着されたクライアント側の通信制御装置３０に対し、ＩＣカードに記憶させるクライアント証明書、および秘密鍵を、ネットワークＮＷを介して送信する。

また、通信制御管理装置５は、サーバ側の通信制御装置３１に対し、サーバ証明書、および秘密鍵を発行する。例えば、通信制御管理装置５は、ＩＣカードに記憶するサーバ証明書、および秘密鍵を発行する。また、通信制御管理装置５は、ＩＣカードが装着されたサーバ側の通信制御装置３１に対し、ＩＣカードに記憶させるサーバ証明書、および秘密鍵を、ネットワークＮＷを介して送信する。クライアント証明書、サーバ証明書、および秘密鍵のそれぞれは、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが暗号化通信を行う場合に用いる共通鍵（セッション鍵）を決定するために必要な情報である。

ここでは、クライアント装置１０、およびサーバ装置２０の構成について説明する。クライアント装置１０とサーバ装置２０とは、例えば、社会インフラシステムを構築する構成要素（コンポーネント）である。社会インフラとは、道路交通網、発電設備、配送電設備、水処理設備、又はガス配給設備等などの社会基盤を整えるために必要な設備である。社会インフラシステムとは、例えば、社会インフラを監視し、状況の変化を把握し、その変化に対応することにより、社会インフラを安定的に動作させる仕組みである。以下においては、クライアント装置１０とサーバ装置とは、道路や公共設備などを監視する監視システムのコンポーネントである場合を例に説明する。この場合、クライアント装置１０は、道路の状況等が撮像された撮像データを、ネットワークＮＷを介して送信する装置（ネットワーク監視カメラ）である。サーバ装置２０は、クライアント装置１０により送信された撮像データを、ネットワークＮＷを介して受信する装置である。

なお、クライアント装置１０とサーバ装置２０とは、監視システムのコンポーネントに限定されることはない。例えば、クライアント装置１０とサーバ装置とは、発電設備や配送電設備における電力状況をモニタリングするシステムのコンポーネントであってもよいし、物流センタにおける配送状況を取得するシステム、あるいは工場や研究機関における設備の稼働状況を取得するシステム等のコンポーネントであってもよい。

図２は、図１に示すクライアント装置１０、およびサーバ装置２０の機能構成例を示すブロック図である。
クライアント装置１０は、無線通信部１１と、クライアント制御部１２と、撮像部１３とを備える。無線通信部１１は、メッシュネットワーク８を構成するクライアント側の通信制御装置３０と無線通信するための通信インターフェースである。無線通信部１１は、例えば、Ｗｉ－Ｆｉあるいはブルートゥースなどの無線通信を実行するポートである。無線通信部１１は、クライアント側の通信制御装置３０と無線通信によって接続され、クライアント装置１０からサーバ装置２０に対して送信されるデータをクライアント側の通信制御装置３０に出力する。

クライアント制御部１２は、例えば、ＣＰＵなどを含むプロセッサであり、クライアント装置１０を統括的に制御する。クライアント制御部１２は、例えば、サーバ装置２０からの制御に従い、撮像部１３に撮像を開始または停止させたり、撮像部１３に対し撮像するカメラの方向や、撮像する際の倍率等の撮像条件を設定したりする。
撮像部１３は、クライアント制御部１２の指示に従い、所定箇所における風景を撮像する。撮像部１３は、撮像したデータ（撮像データ）を、クライアント制御部１２に出力する。

サーバ装置２０は、ＮＷ（ネットワーク）通信部２１と、サーバ制御部２２と、撮像データ記憶部２３とを備える。ＮＷ通信部２１は、例えば、サーバ装置２０のイーサネット（登録商標）のポートである。ＮＷ通信部２１は、サーバ側の通信制御装置３１に接続され、サーバ装置２０からクライアント装置１０に対して送信されるデータをサーバ側の通信制御装置３１に出力する。

サーバ制御部２２は、例えば、ＣＰＵなどを含むプロセッサであり、サーバ装置２０を統括的に制御する。サーバ制御部２２は、例えば、クライアント装置１０により撮像された撮像データを、撮像データ記憶部２３に記憶させる。撮像データ記憶部２３は、サーバ制御部２２の指示に従い、撮像データを記憶する。

クライアント装置１０とサーバ装置２０とが、互いのＮＷ通信部およびネットワークＮＷを介して接続された場合、クライアント装置とサーバ装置２０との間の通信には、ネットワーク監視カメラにおける一般的な通信プロトコルであるＨＴＴＰが用いられることがある。

この場合、クライアント装置１０、またはサーバ装置２０は、暗号化されていない情報（いわゆる、平文）が出力される。ネットワークに平文を伝送させると、外部から悪意をもつ第三者が平文のデータを取得することで、容易に撮像データが盗聴されたり、改ざんされたりする危険性がある。このような不正な攻撃に対する対策として、クライアント装置１０には撮像データを暗号化させてネットワークＮＷに出力させることが考えられる。

しかしながら、現在既に社会インフラに用いられている監視カメラなどのクライアント装置は、暗号化のための処理を行うだけの資源（リソース）を備えていないことが多い。クライアント装置は、監視カメラ等の社会インフラを構成するコンポーネントであるため、ハードウェア構成を変更したり置換えたりすることが容易にはできない。このため、本実施形態に係る通信システム１は、クライアント装置１０とネットワークＮＷとの間に配置されたクライアント側の通信制御装置３０が、クライアント装置１０が送信するデータを暗号化してネットワークＮＷに出力する。また、サーバ装置２０とネットワークＮＷとの間に接続されたサーバ側の通信制御装置３１は、サーバ装置２０が送信する制御データを暗号化してネットワークＮＷに出力する。これにより、クライアント装置１０、およびサーバ装置２０を変更することなく、ネットワークＮＷを流れる撮像データの安全性を向上させる。

次に、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１のハードウエア構成について説明する。
図３は、図１に示すクライアント側の通信制御装置３０およびサーバ側の通信制御装置３１のハードウエア構成例を示すブロック図である。クライアント側の通信制御装置３０がクライアント装置１０と無線通信するための無線通信部を有し、サーバ側の通信制御装置３１がサーバ装置２０と通信するための通信部を有する。これらの点以外は、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とは同様なハードウエア構成を具備するもので良い。また、サーバ側の通信制御装置３１が無線通信部を具備していても良いし、クライアント側の通信制御装置３０が有線による通信部を具備していても良いため、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とは同一のハードウエアで構成するようにしても良い。このため、以下では、クライアント側の通信制御装置３０のハードウエア構成について説明し、サーバ側の通信制御装置３１のハードウエア構成については説明を省略する。また、以下では、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とを区別しない場合には、単に、通信制御装置３０（３１）などと称する。

図３に示すように、通信制御装置３０（３１）は、ＮＷ（ネットワーク）通信部３２、コントローラ（制御部）３３、無線通信部３４、リーダライタ３５、ＩＣカード４０、電源３６、メモリＩ／Ｆ３７などを備える。
コントローラ３３は、通信制御装置３０（３１）を制御するものである。図３に示す構成例において、コントローラ３３は、ＭＰＵ１０１、ＲＡＭ１０２、ＳＡＭ１０３およびデータメモリ１０４などを有する。

ＭＰＵ１０１は、コントローラ３３の制御を司るプロセッサの一例である。ＭＰＵ１０１は、データメモリ１０４などに記憶したプログラムを実行することで種々の処理を実現する。例えば、コントローラ３３は、ＭＰＵ１０１がプログラムを実行することにより、通信制御、故障検知、通信障害の検知、自己診断、および、ログ情報の収集などの処理を実行する。

また、コントローラ３３は、ＭＰＵ１０１がプログラムを実行することにより、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との相互認証処理、クライアント装置１０からネットワークＮＷへ送出するデータの暗号化処理、ネットワークＮＷを経由してクライアント装置へ送信される暗号化されたデータの復号化処理などを行うようにしても良い。また、コントローラ３３は、リーダライタ１０５を介して接続するＩＣカード４０に対して、相互認証処理、暗号化処理および復号化処理の少なくとも何れか１つを依頼するようにしても良い。

ＲＡＭ１０２は、ランダムアクセスメモリである。ＲＡＭ１０２は、作業用のデータを保持するワーキングメモリとして機能する。ＳＡＭ１０３は、シリアルアクセスメモリである。データメモリ１０４は、書き換え可能な不揮発性のメモリである。
データメモリ１０４は、プログラムおよび設定情報などを記憶する。また、データメモリ１０４は、当該通信デバイスの動作状態を示すログ情報を記憶するようにしても良い。データメモリ１０４に蓄積したログ情報は、通信制御管理装置（デバイス管理サーバ）５へ送信されたり、自己診断処理に用いられたりする。

また、データメモリ１０４は、正当なシステムコンポーネントであることを示すホワイトリストを記憶する。ホワイトリストは、通信を許可するクライアント装置１０などを示す情報をリストとして保存するものである。例えば、クライアント側の通信制御装置３０がＭＡＣアドレスなどの機器固有情報によってクライアント装置１０を認証する運用とする場合、通信を許可するクライアント装置１０の機器固有情報をホワイトリストとしてデータメモリ１０４に保存する。例えば、コントローラ３３は、無線通信部３４により通信する装置が正当なシステムコンポーネント（クライアント装置）であるかをホワイトリストを参照して認証する。なお、コントローラ３３は、データメモリ１０４にあるホワイトリストを通信制御管理装置５からの指示に応じて書き換えるようにしても良い。

また、データメモリ１０４は、メッシュネットワーク８内に存在するすべてのシステムコンポーネント（例えば、各クライアント装置１０）に対応する鍵と証明書とを記憶する。例えば、データメモリ１０４に記憶するクライアント装置１０に対応する鍵と証明書とは、ＳＳＬ／ＴＬＳ通信における認証に用いられる。

また、データメモリ１０４は、メッシュネットワーク８を構築する各通信制御装置３０が正当であることを示すための鍵と証明書を記憶する。例えば、データメモリ１０４に記憶する各通信制御装置３０が正当であることを示すための鍵と証明書とは、メッシュネットワーク８内に設定される通信経路における各通信制御装置３０同士の相互認証に用いられる。

ＮＷ通信部３２は、通信制御装置３０（３１）におけるネットワークＮＷ側の通信を実行する。ただし、クライアント側の通信制御装置３０のうちネットワークＮＷと直接通信しない通信制御装置（例えば、図１に示す通信制御装置３０－２、３０－３）は、ＮＷ通信部３２の構成を省略しても良い。ＮＷ通信部３２は、通信回線を介してネットワークＮＷに接続するためのインターフェースを想定して説明するが、ＮＷ通信部３２についても、ネットワークＮＷと無線で通信するものであっても良い。

無線通信部３４は、クライアント装置１０および他の通信制御装置３０と無線通信する通信インターフェースである。ただし、サーバ側の通信制御装置３１は、サーバ装置２０と無線で通信するものでなければ、無線通信部３４に換えてサーバ装置２０と通信するサーバ通信部を有する。

電源３６は、外部電源に接続され、外部電源からの電力を通信制御装置３０（３１）内の各部へ供給する。メモリＩ／Ｆ３７は、メモリカードなどのメモリデバイス３８をセットするインターフェースである。例えば、メモリＩ／Ｆ３７には、初期設定情報などの当該通信制御装置３０（３１）に適用する情報を記憶したメモリデバイス３８がセットされる。メモリＩ／Ｆ３７にセットするメモリデバイス３８には、ログデータなどのデータを記憶するようにしても良い。

なお、ネットワークＮＷに接続するクライアント側の通信制御装置３０－１は、通信制御装置３０と同様な構成を有する複数の通信デバイスを並列に配置したシステムとして実現しても良い。このような通信制御装置３０－１は、一方の通信デバイスで通信処理を実行する運用とし、通信処理を実行中の通信デバイスで故障や通信障害が発生した場合に、他方の通信デバイスで通信処理を継続して実行する。これにより、ネットワークＮＷに接続する１つの通信制御装置３０－１が冗長化され、故障や障害が発生しても通信処理がと切れることがない可用性を向上できる。

また、ネットワークＮＷに接続するクライアント側の通信制御装置３０－１は、通信処理を実行するデバイスに故障や障害などが発生した場合あるいは電源３６に供給される電力が停止（停電）した場合に、データをそのまま通過されせるパススルーモードで動作するようにしても良い。さらに、通信制御装置３０－１がパススルーモードとなった場合、他のクライアント側の通信制御装置３０（３０－２又は３０－３）がネットワークＮＷに接続するクライアント側の通信制御装置として機能するようにしても良い。このような動作制御は、通信制御管理装置（デバイス管理サーバ）５が各通信制御装置３０の動作状態を監視し、各通信制御装置３０に対して動作モードなどを指示することで実現できる。

リーダライタ３５は、コンタクト部３５ａを介してＩＣカード４０に接続し、ＩＣカード４０との間の通信を行う。ここで、ＩＣカード４０は、後述する処理を実行する「認証部」の一例である。認証部は、リーダライタ３５およびＩＣカード４０で実現するものに限定されない。認証部は、制御部３３が実現しても良いし、認証処理用の処理回路で実現しても良い。

ＩＣカード４０は、例えば、プラスチックのカード基材に、コンタクト部４０ａを有するＩＣモジュール４１を実装して形成されている。すなわち、ＩＣカード４０は、ＩＣモジュール４１と、ＩＣモジュール４１が埋め込まれたカード基材とを備える。また、ＩＣカード４０は、通信制御装置３０（３１）に着脱可能に装着され、コンタクト部３５ａを介して通信制御装置３０（３１）と通信可能である。

ＩＣカード４０は、例えば、通信制御装置３０（３１）が送信したコマンド（処理要求）をコンタクト部３５ａおよびコンタクト部４０ａを介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＩＣカード４０は、コマンド処理の実行結果であるレスポンス（処理応答）を通信制御装置３０（３１）のコンタクト部３５ａにコンタクト部４０ａを介して送信する。

ＩＣモジュール４１は、コンタクト部４０ａとＩＣチップ４２とを備える。コンタクト部４０ａは、ＩＣカード４０が動作するために必要な各種信号の端子を有している。ここで、各種信号の端子は、電源電圧、クロック信号、リセット信号などを通信制御装置３０（３１）のコンタクト部３５ａから供給を受ける端子、及び、通信制御装置３０（３１）と通信するためのシリアルデ―タ入出力端子（ＳＩＯ端子）を有する。ＩＣチップ４２は、例えば、１チップのマイクロプロセッサなどのＬＳＩ（Large Scale Integration）である。

ここでは、ＩＣカード４０のハードウェア構成について図４を用いて説明する。図４は、図３に示すＩＣカード４０のハードウェア構成例を示す図である。
ＩＣカード４０は、コンタクト部４０ａと、ＩＣチップ４２とを備えたＩＣモジュール４１を備えている。そして、ＩＣチップ４２は、ＵＡＲＴ（Universal Asynchronous Recei ver Transmitter）４３と、ＣＰＵ４４と、ＲＯＭ（Read Only Memory）４５と、ＲＡＭ（Random Access Memory）４６と、ＥＥＰＲＯＭ（登録商標）（Electrically Erasable Programmable ROM）４７とを備える。また、各構成（４３から４７）は、内部バスＢＳを介して接続されている。

ＵＡＲＴ４３は、上述したＳＩＯ端子を介して、通信制御装置３０（３１）とシリアルデータ通信を行う。ＵＡＲＴ４３は、ＳＩＯ端子を介して受信したシリアルデータ信号をパラレル変換したデータ（例えば、１バイトのデータ）を内部バスＢＳに出力する。また、ＵＡＲＴ４３は、内部バスＢＳを介して取得したデータをシリアル変換して、ＳＩＯ端子を介して通信制御装置３０（３１）に出力する。ＵＡＲＴ４３は、例えば、ＳＩＯ端子を介してコマンドを通信制御装置３０（３１）から受信する。また、ＵＡＲＴ４３は、ＳＩＯ端子を介してレスポンスを通信制御装置３０（３１）に送信する。

ＣＰＵ４４は、ＲＯＭ４５又はＥＥＰＲＯＭ４７に記憶されているプログラムを実行して、ＩＣカード４０の各種処理を行う。ＣＰＵ４４は、例えば、コンタクト部４０ａを介して、ＵＡＲＴ４３が受信したコマンドに応じたコマンド処理を実行する。

ＲＯＭ４５は、例えば、マスクＲＯＭなどの不揮発性メモリであり、ＩＣカード４０の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。ＲＡＭ４６は、例えば、ＳＲＡＭ（Static RAM）などの揮発性メモリであり、ＩＣカード４０の各種処理を行う際に利用されるデータを一時記憶する。ＥＥＰＲＯＭ４７は、例えば、電気的に書き換え可能な不揮発性メモリである。ＥＥＰＲＯＭ４７は、ＩＣカード４０が利用する各種データを記憶する。ＥＥＰＲＯＭ４７は、例えば、ＩＣカード４０を利用した各種サービス（アプリケーション）に使用される情報を記憶する。

次に、ＩＣカード４０の構成について、図５を用いて説明する。図５は、図４に示すＩＣカード４０の機能構成例を示すブロック図である。ＩＣカード４０は、通信部５０と、制御部５１と、記憶部５４とを備える。ここで、図５に示されるＩＣカード４０の各部は、図４に示されるＩＣカード４０のハードウェアを用いて実現される。

通信部５０は、例えば、ＵＡＲＴ４３と、ＣＰＵ４４と、ＲＯＭ４５に記憶されているプログラムとにより実現され、コンタクト部４０ａを介して、例えば、通信制御装置３０（３１）との間でコマンド及びレスポンスの送受信を行う。すなわち、通信部５０は、所定の処理を要求するコマンド（処理要求）を通信制御装置３０（３１）から受信するとともに、コマンドに対するレスポンス（処理応答）を通信制御装置３０（３１）に送信する。通信部５０は、ＵＡＲＴ４３を介して通信制御装置３０（３１）から受信した受信データをＲＡＭ４６に記憶させる。また、通信部５０は、ＲＡＭ４６に記憶されている送信データを、ＵＡＲＴ４３を介して通信制御装置３０（３１）に送信する。

制御部５１は、例えば、ＣＰＵ４４と、ＲＡＭ４５と、ＲＯＭ４６又はＥＥＰＲＯＭ４７とにより実現され、ＩＣカード４０を統括的に制御する。制御部５１は、コマンド処理部５２と暗号化復号部５３とを備える。
ここで、コマンド処理部５２が行う処理は、「認証処理」の一例である。また、暗号化復号部５３が行う処理は、「暗号化復号処理」の一例である。

コマンド処理部５２は、各種コマンド処理を実行する。コマンド処理部５２は、例えば、後述するＨＴＴＰＳリクエストを要求するコマンド処理として、ＳＳＬ／ＴＬＳハンドシェイクを行う。ＳＳＬ／ＴＬＳハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、および通信先の装置との相互認証を行う。ここで、相互認証とは、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが、通信を行う前に、互いに正当に認証された装置であることを相互に確認する認証処理である。

暗号化復号部５３は、データを暗号化する処理、および暗号化されたデータを復号する処理を実行する。暗号化復号部５３は、通信部５０を介して取得した装置（クライアント装置１０、またはサーバ装置２０）により出力されたデータを暗号化する。また、暗号化復号部５３は、通信部５０を介して取得したネットワークＮＷからの暗号化されたデータを復号する。

記憶部５４は、例えば、ＥＥＰＲＯＭ４７により構成された記憶部であり、証明書情報記憶部５５と、秘密情報記憶部５６とを備える。証明書情報記憶部５５は、通信制御管理装置５が発行した装置（クライアント装置１０、またはサーバ装置２０）に対する証明書を記憶する。具体的には、クライアント側の通信制御装置３０に装着されるＩＣカード４０の証明書情報記憶部５５には、クライアント証明書を示す情報が記憶される
。また、サーバ側の通信制御装置３１に装着されるＩＣカード４０の証明書情報記憶部５５には、サーバ証明書を示す情報が記憶される。

秘密情報記憶部５６は、通信制御管理装置５が発行した装置（クライアント装置１０、またはサーバ装置２０）に対する秘密鍵を記憶する。具体的には、クライアント側の通信制御装置３０に装着されるＩＣカード４０の秘密情報記憶部５６には、クライアント側の通信制御装置３０に対して発行された秘密鍵を示す情報が記憶される。また、サーバ側の通信制御装置３１に装着されるＩＣカード４０の証明書情報記憶部５５には、サーバ側の通信制御装置３１に対して発行された秘密鍵を示す情報が記憶される。

なお、ＩＣカード４０は、通信制御装置３０（３１）が実行すべき処理の一部を実施するための処理部（認証部）の一例である。上述したＩＣカード４０が実現する処理は、コントローラ３３または別途設ける処理回路などで実現するようにしても良い。すなわち、通信制御装置３０（３１）は、認証部として機能するＩＣカード４０を具備するものに限定されるものでなく、コントローラ３３や処理回路などが相互認証処理および暗号化復号化処理などの処理を実現するものであっても良い。

ここでは、通信制御管理装置５の構成について、図６を用いて説明する。図６は、図１に示す通信制御管理装置５の構成例を示すブロック図である。通信制御管理装置５は、例えば、ＮＷ（ネットワーク）通信部６０と、制御部６１と、記憶部６６とを備える。
ＮＷ通信部６０は、ネットワークＮＷに接続され、ネットワークＮＷを介して、通信制御装置３０（３１）と通信を行う。

制御部６１は、例えば、ＣＰＵなどのプロセッサを含む。制御部６１は、プロセッサがプログラムを実行することにより種々の処理を実現する。制御部６１は、通信制御管理装置５を統括的に制御する。また、制御部６１は、主に通信制御装置３０（３１）の正当性を認めるプライベート認証局として動作する。図６に示す例では、制御部６１は、プロセッサがプログラムを実行することにより、鍵生成部６２、証明書発行部６３、証明書更新部６４、証明書管理部６５および管理部６９としての機能を実現するための処理を実行する。

鍵生成部６２は、例えば、通信制御装置３０（３１）からの認証申請に基づいて、後述する証明書に含まれる公開鍵に対応する秘密鍵の発行を行う。

証明書発行部６３は、例えば、通信制御装置３０（３１）からの認証申請に基づいて、通信制御装置３０（３１）の正当性を認める証明書の発行を行う。証明書には、公開鍵と、通信制御装置３０（３１）の所有者を示す情報が含まれる。

証明書更新部６４は、有効期限が渡過した証明書に対して新たな有効期限を設定することにより、証明書の更新を行う。証明書更新部６４は、例えば、通信制御装置３０（３１）からの更新申請に基づいて、当該通信制御装置３０（３１）に対して発行した証明書の有効期限を延長させた証明書を発行し、発行した証明書を通信制御装置３０（３１）に対して送信する。発行した証明書を示す情報が通信制御装置３０（３１）により受信され、通信制御装置３０（３１）のＩＣカード４０の証明書情報記憶部４０５に記憶されることで、通信制御装置３０（３１）の証明書の有効期限が延長される。

証明書管理部６５は、既に発行済みの証明書に対する管理を行う。証明書管理部６５は、例えば、通信制御装置３０（３１）に装着されたＩＣカード４０の改ざん、または盗難等により相互認証において互いの正当性が証明されない場合に、通信制御装置３０（３１）に対して発行した証明書を無効化する処理を行う。また、証明書管理部６５は、通信制御装置３０（３１）からの問い合わせに基づいて、通信制御装置３０（３１）、および他の通信装置に対して発行した証明書が証明書管理部６５により発行されたものか否か応答するようにしてもよい。また、証明書管理部６５は、定期的に、発行済みの証明書が正当な通信制御装置３０（３１）に使用されているかを確認するようにしてもよい。

管理部６９は、通信制御装置３０（３１）を管理する。例えば、管理部６９は、通信制御装置３０（３１）が行う相互認証を、ネットワークＮＷを介して遠隔制御する。
記憶部６６は、例えば、鍵情報記憶エリア６７と、証明書情報記憶エリア６８とを備える。鍵情報記憶エリア６７は、例えば既に発行済みの公開鍵や、秘密鍵を示す情報を記憶する。証明書情報記憶エリア６８は、例えば既に発行済みの証明書を示す情報を記憶する。鍵情報記憶エリア６７と、証明書情報記憶エリア６８とは、例えば、鍵生成部６２が秘密鍵を発行する際、証明書発行部６３が証明書を発行する際などに参照される。また、鍵情報記憶エリア６７には、鍵生成部６２が発行した秘密鍵を示す情報が記憶される。また、証明書情報記憶エリア６８には、証明書発行部６３が発行した証明書を示す情報が記憶される。

次に、実施形態に係る通信システム１においてクライアント装置１０からサーバ装置２０へデータを送信する場合の処理の流れについて説明する。
図７は、実施形態に係る通信システム１においてクライアント装置１０からサーバ装置２０へデータを送信する場合の処理の一例を示すシーケンスである。
クライアント装置１０は、撮像データなどのデータをサーバ装置２０に送信する場合、無線通信エリアにあるクライアント側の通信制御装置３０に対して自身の機器固有情報を送信する（ステップＳ１１）。例えば、クライアント装置１０は、ＷＰＡ２等のデータリンク層のプロトコルやＭＡＣアドレスなどの機器固有情報を送信することによりクライアント側の通信制御装置３０に認証を要求する。ここでは、図７に示すように、クライアント装置１０が、メッシュネットワーク８を形成する複数の通信制御装置３０のうち通信制御装置３０－３に機器固有情報としてＳＳＩＤとパスワード（ＰＷ）とを送信するものとする。クライアント装置１０が送信した機器固有情報は、クライアント側の通信制御装置３０－３により取得される。

クライアント側の通信制御装置３０－３のコントローラ３３は、クライアント装置１０からの機器固有情報を取得すると、受信した機器固有情報に基づいて正当な機器であるかを認証する（ステップＳ１２）。例えば、コントローラ３３は、データメモリ１０４に保持するホワイトリストにより受信した機器固有情報のクライアント装置１０が正当な機器であるかを認証する。

これにより、各クライアント側の通信制御装置３０は、正しいシステムコンポーネント（ホワイトリストが示す機器）以外の通信を破棄できる。正しいシステムコンポーネント以外の通信を破棄することによって、多数の機器との無線通信可能な通信制御装置３０であっても、不特定の機器からの多量通信による攻撃を防ぐことができる。また、メッシュネットワークを構成する各通信制御装置３０がそれぞれ認証処理を行うため、特定の通信制御装置だけが認証を行うシステムに比べて、不正な機器からの攻撃を分散でき、認証処理の負荷も下げることができる。

クライアント装置１０の認証が成功すると、コントローラ３３は、当該クライアント装置１０からサーバ装置２０へ送信するデータを受け付ける。クライアント装置１０は、相互認証に基づく暗号化を施していないデータ（ここでは、平文のデータと称する）を無線通信先の通信制御装置３０－３へ送信する。ただし、クライアント装置１０から通信制御装置３０－３へ送信されるデータは、ＷＰＡ２等のデータリンク層で保護される。

通信制御装置３０－３のコントローラ３３は、メッシュネットワーク内においてクライアント装置１０からサーバ装置２０へのデータを送信するルートを検索するルーティング検索を実行する（ステップＳ１４）。ルーティング検索は、当該通信制御装置３０－３からネットワークＮＷへ繋がる通信制御装置３０－１へデータを送信するための通信経路を検索する処理である。

ルーティングプロトコルとしては、ＲＭ－ＡＯＤＶなどの隣接するノード（通信制御装置）の無線伝送速度、トラフィック量、干渉量などから決定されるリアクティブなメトリクスを利用するプロトコルを採用する。ここで、無線伝送速度の中には、その時の処理負荷状況を含める。ルーティング検索は、通信が発生するごとに実施する。
データの送信要求を受けるごとにルーティング検索を実行することにより、同一のクライアント装置１０であっても、常に予め設定した固定の通信経路ではなく、都度検索する最適な（例えば最も高速な）経路でメッシュネットワーク内をデータ転送できる。また、都度ルーティング検索を実行することにより、メッシュネットワークを構成する通信制御装置の１つが、不正な攻撃や故障によってダウンした場合でも、メッシュネットワーク内の別の利用可能な通信制御装置を利用した通信経路の中でより良い経路を選択することができ、冗長化を実現できる。なお、ルーティング検索では、ＭＡＣアドレスなどで正当性が確認できる装置であれば、通信制御装置以外の装置を含む通信経路を検索するようにしても良い。

ルーティング検索によってメッシュネットワーク８内の通信経路が決まると、通信制御装置３０－３のコントローラ３３は、メッシュネットワーク内の通信経路を形成する各通信制御装置３０の認証を実行する（ステップＳ１５）。コントローラ３３は、各通信制御装置３０が保持している鍵と証明書を用いて、メッシュネットワーク内の通信経路を形成する通信制御装置３０間の相互認証を行う。これにより、メッシュネットワークにおいて正当性が確認できた通信制御装置群によって経路を作成することができ、メッシュネットワーク対応機器によるなりすましや中間者攻撃などによる乗っ取りを防ぐことができる。なお、メッシュネットワークにおける通信経路に通信制御装置以外の装置を含む場合、通信制御装置以外の装置については、ＭＡＣアドレスなどの別の認証方法を用いて認証するようにしても良い。

メッシュネットワーク内の通信経路における通信制御装置３０同士の相互認証が成功すると、通信制御装置３０－３のコントローラ３３は、ＳＬＬ／ＴＬＳにおける認証として、クライアント装置１０に対応する鍵と証明書とを利用してサーバ側の通信制御装置３１との相互認証を実行する（ステップＳ１６）。

例えば、クライアント側の通信制御装置３０－３は、ＴＬＳのバージョンおよび通信に用いる暗号方式やアルゴリズムのリストを示す情報を送信する。サーバ側の通信制御装置３１は、クライアント側の通信制御装置３０－３に対し、サーバ側の通信制御装置３１が暗号化アルゴリズムを決定する。サーバ側の通信制御装置３１は、暗号化通信に用いる共通鍵に必要な情報を送る。共通鍵に必要な情報には、例えば、サーバ装置２０に対して発行された公開鍵とその証明書を示す情報およびクライアント装置１０に対応する鍵とその証明書を送ることを要求する情報が含まれる。クライアント側の通信制御装置３０－３は、サーバ側の通信制御装置３１に対して、自装置に対して発行された公開鍵とその証明書、及び暗号化通信に用いる共通鍵に必要な情報を送る。

クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１との間の相互認証は、例えば次のように行われる。クライアント側の通信制御装置３０－３は、署名を生成し、サーバ側の通信制御装置３１に送信する。サーバ側の通信制御装置３１は、クライアント側の通信制御装置３０から受信した署名をクライアント側の通信制御装置３０から受信した証明書に基づいて検証する。サーバ側の通信制御装置３１は、検証が成功すると、その証明書がクライアント側の通信制御装置３０のものであると判定する。また、サーバ側の通信制御装置３１は、署名を生成し、クライアント側の通信制御装置３０に送信する。クライアント側の通信制御装置３０－３は、サーバ側の通信制御装置３１から受信した署名を、サーバ側の通信制御装置３１から受信した証明書に基づいて検証する。クライアント側の通信制御装置３０－３は、検証が成功すると、その証明書がサーバ側の通信制御装置３１のものであると判定する。

クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１との間の相互認証が正しく行われると、クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１とは、それぞれ暗号化および復号に用いる共通鍵を交換する。

通信制御装置３０－３とサーバ側の通信制御装置３１との相互認証が成功した後、通信制御装置３０－３のコントローラ３３は、クライアント装置１０からのデータをサーバ側の通信制御装置３１との相互認証結果に基づいて暗号化する（ステップＳ１７）。通信制御装置３０－３のコントローラ３３は、暗号化されたデータ（暗号文）をルーティング検索によって設定された通信経路に沿ってメッシュネットワーク８内を送信させる（ステップＳ１８、Ｓ１９）。

例えば、通信制御装置３０のコントローラ３３は、暗号化したデータにメッシュネットワーク８内における通信経路を示す情報を付加して通信経路上の次の通信制御装置へ送信する。図７に示す例では、通信制御装置３０－３のコントローラ３３は、暗号化したデータを通信制御装置３０－２へ送信し（ステップＳ１８）、通信制御装置３０－２のコントローラ３３は、通信制御装置３０－３からの暗号化されたデータを通信制御装置３０－１へ送信する（ステップＳ１９）。

メッシュネットワーク８における通信経路の終端となるネットワークＮＷに接続する通信制御装置３０－１のコントローラ３３は、メッシュネットワーク内の他の通信制御装置３０－１、３０－２をから転送されてくる暗号化されたデータをネットワークＮＷを介してサーバ側の通信制御装置３１へ送信する（ステップＳ２０）。サーバ側の通信制御装置３１のコントローラ３３は、クライアント側の通信制御装置３０から受信した暗号化されたデータをクライアント側の通信制御装置３０－３との相互認証結果に基づいて復号する（ステップＳ２１）。例えば、サーバ側の通信制御装置３１のコントローラ３３は、クライアント装置１０からの暗号化されたデータを相互認証で得られた公開鍵を用いて復号したデータをサーバ装置２０へ送信する（ステップＳ２２）。これにより、クライアント装置１０からサーバ装置２０までのデータ送信処理が完了する。

通信制御装置３０－３とサーバ側の通信制御装置３１とのメッシュネットワークおよびネットワークＮＷを介した相互認証が成功すると、相互認証に基づく暗号化を含む通信処理が実現できる。これにより、クライアント装置１０から送信されるデータは、データの送信元のクライアント装置１０の近傍（通信エリア内）にあるクライアント側の通信制御装置３－３まではＷＰＡ２等のデータリンク層による保護であるが、それ以降の通信経路（メッシュネットワーク内およびネットワークＮＷ内）においては、ＳＳＬ／ＴＬＳによる認証された秘匿通信となる。この結果、本実施形態に係る通信システムは、ネットワークＮＷにおけるセキュリティだけでなく、メッシュネットワークにおいて伝送されるデータのセキュリティも確保できる。

次に、実施形態に係る通信システム１においてサーバ装置からクライアント装置へデータを送信する場合の処理の流れについて説明する。
図８は、実施形態に係る通信システム１においてサーバ装置２０からクライアント装置１０へデータを送信する場合の処理の一例を示すシーケンスである。
サーバ装置２０は、クライアント装置１０へコマンドあるいはソフトウエアの更新データなどを送信することがある。サーバ装置２０は、クライアント装置１０へデータを送信する場合、送信先のクライアント装置１０を示す識別情報を付加して送信すべきデータをサーバ側の通信制御装置３１へ送信する（ステップＳ３１）。

サーバ側の通信制御装置３１のコントローラ３３は、サーバ装置２０からクライアント装置宛のデータを受信すると、サーバ装置２０に対応する鍵と証明書とに基づくＳＬＬ／ＴＬＳにおける認証の要求をクライアント側の通信制御装置３０－１へ送信する（ステップＳ３２）。

クライアント側の通信制御装置３０－１のコントローラ３３は、メッシュネットワーク内においてネットワークＮＷから宛先のクライアント装置１０へデータを送信するルートを検索するルーティング検索を実行する（ステップＳ３４）。ここで、通信制御装置３０－１がネットワークＮＷに接続し、宛先のクライアント装置１０と無線通信するのが通信制御装置３０－３であれば、クライアント側の通信制御装置３０－１のコントローラ３３は、メッシュネットワーク８におけるルーティング検索として、通信制御装置３０－１から通信制御装置３０－３へデータを送信するための通信経路を検索する。

ルーティング検索は、上述したようなルーティングプロトコルによって実施され、データの送信要求を受けるときの処理の負荷状況を踏まえて決定する。データの送信要求を受けるごとにルーティング検索を実行することにより、処理の負荷状況に応じた最適な（例えば最も高速な）通信経路を決定できる。また、都度ルーティング検索を実行することにより、１つの通信制御装置が不正な攻撃や故障によってダウンした場合でも、メッシュネットワーク内の別の利用可能な通信制御装置を利用した通信経路の中でより良い経路を選択することができ、冗長化を実現できる。なお、ルーティング検索では、正当性が確認できる装置であれば、通信制御装置３０以外の装置を含む通信経路を検索するようにしても良い。

ルーティング検索によってメッシュネットワーク８内の通信経路が決まると、通信制御装置３０－１のコントーローラ３３は、メッシュネットワーク内の通信経路を形成する各通信制御装置３０同時の認証を実行する（ステップＳ３５）。コントローラ３３は、各通信制御装置３０が保持している鍵と証明書を用いてメッシュネットワーク８内の通信経路を形成する通信制御装置３０間の相互認証を行う。これにより、メッシュネットワークにおいて正当性が確認できた通信制御装置群によって通信経路を作成することができ、メッシュネットワーク対応機器によるなりすましや中間者攻撃などによる乗っ取りを防ぐことができる。なお、メッシュネットワークにおける通信経路に通信制御装置以外の装置を含む場合、通信制御装置以外の装置については、ＭＡＣアドレスなどの別の認証方法を用いて認証するようにしても良い。

メッシュネットワーク内の通信経路における通信制御装置３０同士の相互認証が成功すると、通信経路の終端となる通信制御装置（宛先のクライアント装置１０と無線通信する通信制御装置）３０－３のコントローラ３３は、ＳＬＬ／ＴＬＳにおける認証としてサーバ側の通信制御装置３１との相互認証を実行する（ステップＳ３６）。クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１との間の相互認証は、上述したような手法で実施される。相互認証が正しく行われると、クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１とは、それぞれ暗号化および復号に用いる共通鍵を交換する。

通信制御装置３０－３とサーバ側の通信制御装置３１との相互認証が成功した後、サーバ側の通信制御装置３１のコントローラ３３は、サーバ装置２０からクライアント装置１０宛のデータを相互認証によって得られた共通鍵を用いて暗号化する（ステップＳ３７）。通信制御装置３１のコントローラ３３は、暗号化した暗号化データ（暗号文）をネットワークＮＷを介してクライアント側の通信制御装置３０－１へ送信する（ステップＳ３８）。

クライアント側の通信制御装置３０－１のコントローラ３３は、ネットワークＮＷを介してサーバ側の通信制御装置３１から取得する暗号化データにルーティング検索によって設定された通信経路に沿ってメッシュネットワーク８内を送信させる（ステップＳ３９、Ｓ４０）。ここで、クライアント側の通信制御装置３０－１のコントローラ３３は、通信経路の終端となる通信制御装置を明示するため、暗号化データにメッシュネットワーク８内における通信経路を示す情報（または通信経路の終端となる通信制御装置を示す情報）を付加して通信経路を伝送させる。

図８に示す例では、クライアント側の通信制御装置３０－１のコントローラ３３は、暗号化データ（暗号文）に通信経路を示す情報を付加したデータを通信制御装置３０－２へ送信し（ステップＳ３９）、通信制御装置３０－２のコントローラ３３は、通信制御装置３０－１からのデータを通信制御装置３０－３へ転送する（ステップＳ４０）。

メッシュネットワーク８における通信経路の終端となるクライアント装置１０と直接無線通信する通信制御装置３０－３のコントローラ３３は、メッシュネットワーク８内の他の通信制御装置３０－１、３０－２から転送されてくる暗号化データに付加されたデータから自身が通信経路の終端であることを判断し、受信した暗号化データをサーバ側の通信制御装置３１との相互認証で得られた共通鍵を用いて復号する（ステップＳ４１）。通信制御装置３０－３のコントローラ３３は、復号したデータを無線通信部によりクライアント装置１０へ送信する（ステップＳ４２）。これにより、サーバ装置２０からクライアント装置１０までのデータ送信処理が完了する。

以上の処理によれば、サーバ装置２０からクライアント装置１０へ送信するデータについても、ネットワークＮＷおよびメッシュネットワーク内を通信制御装置３０－３とサーバ側の通信制御装置３１との相互認証結果を用いて暗号化した状態でセキュアに伝送できる。この結果、本実施形態に通信システムは、クライアント装置１０とサーバ装置２０との間を伝送されるデータについて、ネットワークＮＷにおけるセキュリティだけでなく、メッシュネットワークにおいて伝送されるデータのセキュリティも確保できる。

なお、クライアント側の通信制御装置３０－３とサーバ側の通信制御装置３１との間の相互認証が正しく行われなかった場合、クライアント側の通信制御装置３０－３は、通信先との通信を許可しない。具体的には、クライアント側の通信制御装置３０－３は、通信先から送信された情報をクライアント装置１０に出力しない。相互認証が正しく行われなかった場合、通信先がサーバ側の通信制御装置３１に見せかけた不正な通信装置である可能性があるためである。この場合、クライアント側の通信制御装置３０－３は、例えば、相互認証が正しく行われなかった場合の通信記録を通信制御管理装置５に送信するようにしてもよい。これにより、通信制御管理装置５は相互認証が正しく行われなかった場合の通信記録を取得することができ、管理下にあるクライアント側の通信制御装置３０－３に対する不正な通信のパターンや頻度を把握することで、ネットワークの異常を監視することができる。

また、クライアント側の通信制御装置３０－３は、相互認証の代わりにクライアント装置１０に対する通信を許可する通信機器の情報を示す送信先リストに基づいて、通信先との通信を許可するか否かを判定するようにしてもよい。送信先リストに示される通信機器の情報は、例えばＵＲＬ（Uniform Resource Locator）である。クライアント側の通信制御装置３０のコントローラ３３は、通信先のＵＲＬが送信先リストに登録されているＵＲＬである場合に当該通信先との通信を許可し、送信先リストに登録されていない場合には通信を許可しない。

また、コントローラ３３は、送信先リストを更新するようにしてもよい。コントローラ３３は、例えば、一定期間にクライアント装置１０に対する通信を許可された通信先のＵＲＬ、および許可されなかった通信先ＵＲＬを記憶させる。そして、コントローラ３３は、例えば、送信先リストに登録されたＵＲＬのうち、一定期間に通信が行われた通信先のＵＲＬを再度登録する等することにより送信先リストを更新する。あるいは、クライアント側の通信制御装置３０は、一定期間に通信を許可された通信先ＵＲＬ、および許可されなかった通信先ＵＲＬを通信制御管理装置５に送信するようにしてもよい。この場合、例えば、通信制御管理装置５は、クライアント側の通信制御装置３０と通信を行った通信先ＵＲＬに基づいて、送信先リストを更新するようにしてもよい。通信制御管理装置５により送信先リストが更新されることで、通信制御管理装置５が管理下にあるクライアント側の通信制御装置３０と通信する通信機器を一括して管理することができる。

また、クライアント側の通信制御装置３０は、サーバ側の通信制御装置３１との相互認証が確立した後にクライアント装置１０に対して送信された情報（例えば、ファームウェアの更新プログラム）の内容が正しいか否かの検証を行うようにしてもよい。例えば、クライアント側の通信制御装置３０のコントローラ３３は、ネットワークＮＷを介してクライアント装置１０のファームウェアの更新プログラムが送信された場合、検証用の鍵（検証鍵）を用いて検証する。この場合、通信制御管理装置５は、例えば、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１それぞれに検証鍵を送信するようにしてもよい。

例えば、サーバ側の通信制御装置３１は、クライアント装置１０へ送信する情報（平文）からハッシュ値を生成し、生成したハッシュ値を検証鍵で暗号化する。そして、サーバ側の通信制御装置３１は、平文と暗号化したハッシュ値をさらに秘密鍵で暗号してクライアント装置１０へ送信する。また、クライアント側の通信制御装置３０は共通鍵を用いて情報を復号化し、平文と暗号化されたハッシュ値とを取得する。

また、クライアント側の通信制御装置３０は、取得した平文からハッシュ値を生成するとともに、暗号化されたハッシュ値を検証鍵で復号する。クライアント側の通信制御装置３０は、平文から生成したハッシュ値と、復号化したハッシュ値とが等しい値である場合、クライアント装置１０に対して送信された情報は正しい内容であると判定する。この場合、クライアント側の通信制御装置３０は、復号した情報（平文）をクライアント装置１０に出力する。一方、クライアント側の通信制御装置３０は、平文から生成したハッシュ値と復号化したハッシュ値が等しい値でない場合、クライアント装置１０に対して送信された情報は、サーバ装置２０またはサーバ側の通信制御装置３１に見せかけた不正な通信装置から送信された不正な情報である可能性があると判定する。この場合、クライアント側の通信制御装置３０は、復号した情報（平文）をクライアント装置１０に出力しない。

これにより、クライアント装置１０は、検証済みである正しい内容であることが検証された情報のみを受け取ることができる。また、通常、クライアント装置１０がファームウェアを更新する際の更新プログラムの内容が正しいか否かの判定を行うと考えられるが、クライアント装置１０に代わりサーバ側の通信制御装置３１がクライアント装置１０に対して送信された情報の内容を検証することにより、クライアント装置１０の処理負担を軽減させることが可能となる。

以上説明したように、通信システム１は、クライアント装置１０とネットワークＮＷとの間に接続されるメッシュネットワークを構成する複数のクライアント側の通信制御装置３０と、サーバ装置２０とネットワークＮＷとの間に接続されるサーバ側の通信制御装置３１と、を備える。クライアント装置１０と直接無線通信するクライアント側の通信制御装置３０－３は、メッシュネットワーク内の通信経路を決定し、クライアント装置１０からの情報を暗号化してメッシュネットワークの通信経路およびネットワークＮＷ経由でサーバ側の通信制御装置３１へ送信する。また、ネットワークＮＷからの情報（通信制御装置３１で暗号化されたサーバ装置２０からの情報）は、ネットワークＮＷに接続するクライアント側の通信制御装置３０－１が検索する通信経路でメッシュネットワークで伝送し、メッシュネットワーク内の通信経路の終端となる通信制御装置３０－３（クライアント装置１０と直接無線通信する通信制御装置３０－３）が復号してクライアント装置１０へ送信する。サーバ側の通信制御装置３１は、サーバ装置２０からの情報を暗号化してネットワークＮＷ経由でクライアント側の通信制御装置３０へ送信し、ネットワークＮＷからの情報（通信制御装置３０で暗号化されたクライアント装置からの情報）を復号してサーバ装置２０に送信する。

これにより、通信システム１は、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる。クライアント装置１０からサーバ装置２０に対して送信されたＨＴＴＰプロトコルの撮像データ（いわゆる平文）が、クライアント装置１０と直接無線通信するクライアント側の通信制御装置３０により、例えば、ＳＳＬ／ＴＬＳプロトコルと組み合わされて、安全性が向上されたＨＴＴＰＳに置き換えられるためである。また、サーバ装置２０からクライアント装置１０に対して送信された制御データは、暗号化されるが、クライアント側の通信制御装置３０により復号されて、クライアント装置１０に受信されるため、クライアント装置１０に復号させる処理を行わせる必要がなく、既存の装置を変更することなくそのまま利用することができる。

また、通信システム１では、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが相互認証を行うため、いずれか一方方向のみの認証を行う場合よりも安全性を向上させることができる。一般的なクライアント端末とサーバ装置とにおいては、サーバ装置に対して不特定多数のクライアント端末が通信を行うため、当該不特定多数のクライアント端末に対して正当なクライアント証明書を発行して管理し続けることは現実的ではない。しかしながら、通信システムを適用する社会インフラシステムなどにおいては、クライアント装置１０とサーバ装置２０との関係は明確に特定されている。このため、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが相互認証を行うことが可能であり、安全性を向上させることができる。

一般に、クライアント証明書を有していないクライアント端末では、サーバ装置と通信を行うために、サーバ装置が発行したＩＤやパスワードの入力を求められることがある。このようなパスワード認証においては、安全性を維持するために、パスワードに対し文字と数字を組合せた長文の文字列が要求されたり、定期的なパスワードの変更等が求められたりすることがある。しかしながら、覚えなければならないパスワードが増えると、管理が面倒になってしまい、パスワードをメモに残したり、ウェブブラウザに記録させたりするなど、かえってパスワードが漏洩してしまう場合があった。

これに対し、通信システム１では、クライアント側の通信制御装置３０がクライアント証明書を有することにより、サーバ装置２０との間で確実に相互認証を行うことができる。このため、パスワード認証が不要としても良い。この場合、パスワードを入力する手間や定期的に変更して管理する手間がなくなり、ユーザの利便性が向上する。つまり、ユーザに負担をかけることなく安全性を維持することができる。

また、クライアント証明書を有していないクライアント端末がＩＤやパスワードによる認証に基づいてサーバ装置と通信を行うシステムでは、ＩＤとパスワードが正しく入力できてしまえば、だれでもサーバ装置末と通信することができてしまう。このため、クライアント端末を不正に乗っ取り、サーバ装置へ不正にアクセスすることが可能となってしまう。例えば、不正に乗っ取られたサーバ装置によってクライアント端末の機能が制限され、解除するために身代金が要求されるといったランサムウェアに感染する可能性がある。

これに対し、上述した通信システム１では、クライアント装置１０とサーバ装置２０との間で、通信制御装置３０（３１）を介した相互認証が行われることにより、クライアント装置１０やサーバ装置２０が不正に乗っ取られることがない。つまり、通信システム１では、ランサムウェアに対する対策も可能となる。

また、例えば、ネットワーク内に管理者が不在の端末（野良デバイスともいう）がある場合、その端末が不正に乗っ取られることにより、その端末がマルウェア等の攻撃を行う不正な端末として利用されてしまう場合がある。これに対し、上述した通信システム１では、クライアント装置１０とサーバ装置２０との間で、通信制御装置３０（３１）を介した相互認証が行われることにより、ネットワークＮＷの内部にある管理者が不在の端末が不正に乗っ取られて攻撃に利用された場合であっても、マルウェア等に感染することを防止することができる。

また、上述した通信システム１では、サーバ装置２０がサーバ側の通信制御装置３１に接続されており、サーバ装置２０の内部で認証処理を行わない。このため、サーバ装置２０の内部で証明書等を保持する必要がなく、サーバ側の通信制御装置３１に接続されたサーバ装置２０が通信制御管理装置５の管理下であることが明確となる。サーバ装置２０がすでにサーバ側の通信制御装置３１に相当する機能部を有している場合には、必ずしもサーバ装置２０とネットワークＮＷとの間にサーバ側の通信制御装置３１が物理的に接続される必要はない。この場合、サーバ装置２０が元々有するサーバ側の通信制御装置３１に相当する機能部により、クライアント側の通信制御装置３０との間の認証処理が行われる。

また、通信システム１では、ＩＣカード４０の制御部５１において、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行わせる。このため、通信制御装置３０（３１）の装置コストを抑制することができる。

また、通信システム１においては、通信制御装置３０（３１）に装着されたＩＣカード４０が相互認証と暗号化復号処理とのうち少なくともいずれか一方の処理を行う例を説明したが、通信システム１は、相互認証および暗号化複合処理を行う構成がＩＣカードに限定されるものではない。また、上述したＩＣカード４０としては、秘密鍵およびクライアント証明書（あるいは、サーバ証明書）を記憶する記憶機能と、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行う処理機能を有している機能部であればよく、例えば、ＩＣチップが搭載されたＳＩＭカードであってもよいし、上記のようにカードの形態に限定されるものではない。

また、通信システム１においては、クライアント側の通信制御装置３０のＩＣカード４０は、クライアント側の通信制御装置３０に対して着脱可能に装着される。これにより、通信システム１においては、ＩＣカード４０とクライアント側の通信制御装置３０とが分離可能であるため、どちらか一方を交換する場合には、当該一方のデバイスを交換すればよい。例えば、ＩＣカード４０とクライアント側の通信制御装置３０とが一体化された場合には、ＩＣカード４０に相当する部分を交換する場合には、クライアント側の通信制御装置３０全体を交換しなければならないが、この場合と比較して、通信システム１では、クライアント側の通信制御装置３０が有するＩＣカード４０等の特定の部分を交換する場合のメンテナンスコストを抑制することができる。

また、通信システム１は、通信制御管理装置５を更に備え、通信制御管理装置５は、クライアント側の通信制御装置３０に装着されたＩＣカード４０に記憶させる秘密鍵、及びクライアント証明書をクライアント側の通信制御装置３０に送信し、サーバ側の通信制御装置３１に装着されたＩＣカード４０に記憶させる秘密鍵、及びサーバ証明書をサーバ側の通信制御装置３１に送信する。これにより、通信システム１は、通信制御管理装置５により発行された正当な秘密鍵、証明書を用いて、ハンドシェイクを行い、共通鍵を決定することができ、上述した効果を奏する他、社会インフラシステムの安全性を更に向上させることができる。

なお、通信システム１の構成は、上述した例に限定されない。例えば、通信制御装置３０（３１）は、処理の負荷に基づき、ハードウェアにより通信制御装置３０（３１）の機能を実現するＨＳＭ（Hardware Security Module）を用いてもよい。つまり、通信制御装置３０（３１）は、セキュアな処理が可能な限り、必ずしもＩＣカードを装着する構成に限らず、上記通信制御装置３０（３１）の機能を実現できるＩＣチップやＩＣモジュールを用いた構成としてもよい。

また、通信システム１においては、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。また、クライアント装置１０とサーバ装置２０との間における双方向の通信のうち一方の方向の通信のみをＳＳＬ／ＴＬＳプロトコルを用いた通信としてもよい。また、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。

ＳＳＬ／ＴＬＳプロトコルを用いた通信を常時行うようにすることで、通信制御装置３０（３１）により認証された正当な通信制御装置３０（３１）とは異なる装置からの通信を遮断することができる。このため、クライアント装置１０やサーバ装置２０に対する不正なアクセスや、クライアント装置１０やサーバ装置２０がマルウェアに感染することを抑止することができる。

また、通信システム１においては、ＳＳＬ／ＴＬＳプロトコルを用いた通信を常時行い、クライアント装置１０やサーバ装置２０に対する不正なアクセスを記憶するようにしてもよい。この場合、通信制御管理装置５に不正なアクセスの記録が送信されるようにしてもよい。通信制御管理装置５は、不正なアクセスの有無を認識することができ、システム全体に対する大規模攻撃が開始される前の予兆の段階を検出して対策することが可能となる。

また、通信システム１においては、通信制御装置３０（３１）は、定期的に、自装置が接続されているクライアント装置１０またはサーバ装置２０との接続が維持されているか否かを確認するようにしてもよい。この場合、通信制御管理装置５に接続状態を示す情報が送信されるようにしてもよい。通信制御管理装置５は、通信制御装置３０（３１）から接続状態を示す情報が受信できない場合などには、通信制御装置３０（３１）がクライアント装置１０またはサーバ装置２０から切り離された判断し、当該切り離された通信制御装置３０（３１）を無効とする。こうすることで通信制御管理装置５は、切り離された通信制御装置３０（３１）が不正な装置に接続されてなりすましに悪用されることを抑制する。

また、通信システム１においては、通信制御装置３０（３１）に装着するＩＣカード４０に、ＣＣ（Common Criteria/ISO15408）認証を取得したセキュアエレメントと呼ばれる耐タンパ性の高いチップを搭載してもよい。このチップを用いて、秘密鍵や公開鍵を含む証明書を記憶させることにより、非常に高い安全性を維持することができる。

また、通信システム１においては、サーバ装置２０や通信制御管理装置５等から、通信制御装置３０（３１）を介して、クライアント装置１０のプログラムを更新させるようにしてもよい。通信制御装置３０（３１）を介してプログラムの更新（ファームウェアのアップデート）が行われることにより、安全にクライアント装置１０の機能を更新させることができる。このようにサーバ装置２０からクライアント装置１０に対してファームウェアが送信される場合、サーバ装置２０から送信されるファームウェアには、例えばサーバ側の通信制御装置３１により暗号化されたサーバ装置２０の署名が付与される。この場合、クライアント装置１０では、クライアント側の通信制御装置３０により署名が復号されることにより、送信されたファームウェアが間違いなくサーバ装置２０から送信されたファームウェアであると判定することができる。これにより、あたかもサーバ装置２０であるかのように装う不正な端末から、不正なファームウェアがクライアント装置１０に送信されてしまった場合であっても、クライアント装置１０に対し不正なファームウェアに基づく誤った更新がなされてしまうことを排除することができる。

また、このように通信制御装置３０（３１）を介して通信が行われることにより、サーバ装置２０や通信制御管理装置５等からクライアント装置１０にファームウェアを安全に更新することができるため、作業員が複数のクライアント装置１０に対して物理的に各々のクライアント装置１０が設置されている場所まで移動してファームウェアのアップデート作業を行う場合と比較して、作業コストを低減させることも可能である。

また、通信システム１においては、サーバ装置２０や通信制御管理装置５等から、通信制御装置３０（３１）を介して、クライアント装置１０の起動や停止を行ってもよい。通信制御装置３０（３１）を介して起動や停止（リモートアクティベーション）が行われることにより、安全にクライアント装置１０の機能を更新させることができ、セキュアな遠隔制御を実現させることができる。

また、通信システム１においては、クライアント装置１０、およびサーバ装置２０が有線により通信する場合を例に説明したが、これに限定されることはない。クライアント装置１０、およびサーバ装置２０のうち少なくともいずれかが無線ＬＡＮ等により無線通信を行う装置であってもよい。例えば、クライアント装置１０が無線通信によりサーバ装置２０と通信を行う場合、クライアント側の通信制御装置３０は、無線による通信機能を有し、クライアント装置１０により送信されるデータを暗号化し、暗号化したデータを、無線通信によりサーバ装置２０に送信する。

なお、上述した通信システム１において、クライアント側の通信制御装置３０がサーバ側の通信制御装置３１と通信を行う例を説明したが、クライアント側の通信制御装置３０の通信先はこれに限定されることはない。例えば、クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２と通信を行ってもよい。クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２から通信開始の合図を受信した場合、まずクライアント側の通信制御装置３０－２との間で相互認証を行い、クライアント側の通信制御装置３０－２が正当な通信端末であることを確認する。そして、相互認証が正しく行われた場合、クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２から受信した情報をクライアント装置１０に出力する。暗号を使用して送信データに認証子が付与されることにより、通信情報の改ざんの検出及び送信者の特定が可能となる。このため、通信システム１においては、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との通信、及びクライアント側の通信制御装置３０同士の通信において、「正しい相手から」、「改ざんされていないデータを受け取る」ことを確実にすることができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…通信システム、５…通信制御管理装置（デバイス管理サーバ）、１０…クライアント装置（第１の装置）、２０…サーバ装置（第２の装置）、３０（３０－１、３０－２、３０－３）、３１…通信制御装置、３３…コントローラ、３４…無線通信部、１０４…データメモリ。

Claims (7)

1. 第１の装置とネットワーク通信網との間に接続されるメッシュネットワークを構成する複数の第１の通信制御装置と、
   第２の装置と前記ネットワーク通信網との間に接続される第２の通信制御装置と、を備え、
   前記第１の通信制御装置は、
   無線通信を行う無線通信部と、
   前記無線通信部により前記第１の装置から前記第２の装置へ送信するデータを受信する場合、前記データを受信する当該第１の通信制御装置から前記ネットワーク通信網へ前記データを送出するための前記メッシュネットワーク内の通信経路を決定し、前記通信経路および前記ネットワーク通信網を介して通信する前記第２の通信制御装置と相互認証した後に前記データを暗号化したデータを前記第２の通信制御装置へ送信するコントローラと、を有する、
   通信システム。
2. 前記第１の装置から前記データを取得した当該第１の通信制御装置のコントローラは、前記第１の装置から前記第２の装置へ送信するデータを前記第２の通信制御装置と相互認証によって決定された共通鍵を用いて暗号化する、
   請求項１に記載の通信システム。
3. 前記コントローラは、前記無線通信部により前記第１の装置から機器固有情報を取得し、前記機器固有情報による認証が成功した後、前記第１の装置から前記第２の装置へ送信するデータを受け付ける、
   請求項１に記載の通信システム。
4. 前記コントローラは、前記メッシュネットワーク内の通信経路を決定した場合に前記通信経路にある各第１の通信制御装置同士で相互認証し、前記通信経路にある各第１の通信制御装置同士の相互認証が成功した後、前記通信経路および前記ネットワーク通信網を介して前記第２の通信制御装置と通信する、
   請求項１乃至３の何れか１項に記載の通信システム。
5. 第１の装置とネットワーク通信網との間に接続されるメッシュネットワークを構成する複数の第１の通信制御装置と、
   第２の装置と前記ネットワーク通信網との間に接続される第２の通信制御装置と、を備え、
   前記第１の通信制御装置は、
   無線通信を行う無線通信部と、
   前記第２の装置から前記第１の装置へ送信するデータを暗号化した暗号化データを前記第２の通信制御装置から受信する場合、前記暗号化データを受信する当該第１の通信制御装置から前記第１の装置へ前記データを送出するための前記メッシュネットワーク内の通信経路を決定し、前記通信経路の終端となる第１の通信制御装置と前記第２の通信制御装置とが相互認証した後、前記ネットワーク通信網を介して前記第２の通信制御装置から取得する前記暗号化データを前記通信経路により前記通信経路の終端となる第１の通信制御装置へ送信するコントローラと、を有する、
   通信システム。
6. 前記通信経路の終端となる第１の通信制御装置のコントローラは、前記第２の通信制御装置と相互認証によって決定された共通鍵を用いて前記暗号化データを復号し、復号したデータを前記第１の装置へ送信する、
   請求項５に記載の通信システム。
7. 前記コントローラは、前記メッシュネットワーク内の通信経路を決定した場合に前記通信経路にある各第１の通信制御装置同士で相互認証し、前記通信経路にある各第１の通信制御装置同士の認証が成功した後、前記通信経路を介して通信する、
   請求項５又は６の何れか１項に記載の通信システム。

Images