JP7262964B2 - 情報処理装置、及び情報処理システム - Google Patents

Description

本発明の実施形態は、情報処理装置、及び情報処理システムに関する。

近年、ＩｏＴ（Internet of Things）の普及により様々な装置（例えば、ＩｏＴ機器）がインターネットに接続されるようになり、セキュリティの確保が重要になってきている。従来の情報処理システムでは、ＩｏＴ機器とネットワークとの間に情報処理装置を挿入して、情報処理装置がネットワーク上の通信経路の機密性を担保することで、様々な装置に対してセキュリティを付加する技術が知られている。しかしながら、このような従来の情報処理システムでは、例えば、情報処理装置が故障した場合に、システムの運用が継続できずに可用性が低下する場合があった。

特開２００９－１１７８８７号公報

本発明が解決しようとする課題は、セキュリティを確保しつつ、可用性を向上させることができる情報処理装置、及び情報処理システムを提供することである。

実施形態の情報処理装置は、第１通信部と、第２通信部と、情報処理部と、切替部とを持つ。第１通信部は、ネットワークに接続される末端の装置である末端装置に接続し、前記末端装置との間で通信可能である。第２通信部は、ネットワークに接続し、前記ネットワークを介して前記ネットワークに接続された装置と通信可能である。情報処理部は、少なくとも前記第１通信部が前記末端装置から情報を受信した場合に、受信した情報を暗号化して前記第２通信部を介して前記ネットワークに送信し、少なくとも前記第２通信部が前記ネットワークから暗号化された情報を受信した場合に、受信した情報を復号して前記第１通信部を介して前記末端装置に送信する。切替部は、前記情報処理部が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、前記第１通信部の前記末端装置との通信線と、前記第２通信部の前記ネットワークとの通信線とを直接接続し、前記末端装置と前記ネットワークとの間で、前記情報処理部を介さずに直接通信するパススルーモードに切り替える。情報処理部は、前記ネットワークを介して前記末端装置が通信する相手先の前記末端装置である相手先末端装置と前記ネットワークとの間に接続され、前記第１通信部、前記第２通信部、前記情報処理部、及び前記切替部を備える相手先の情報処理装置が、前記パススルーモードになった場合に、前記相手先の情報処理装置との通信状態に基づいて、所定の期間、前記相手先末端装置との通信を許容し、前記所定の期間の経過後に、前記相手先末端装置との通信を制限する。

第１の実施形態の情報処理システムの一例を示すブロック図。 第１の実施形態の情報処理装置の一例を示すブロック図。 第１の実施形態の通信リスク記憶部のデータ例を示す図。 第１の実施形態の通信情報記憶部のデータ例を示す図。 第１の実施形態の通信実績記憶部のデータ例を示す図。 第１の実施形態の許容期間記憶部のデータ例を示す図。 第１の実施形態のパススルー許容期間の決定例を示す図。 第１の実施形態の情報処理システムの機密通信動作の一例を示す図。 第１の実施形態の情報処理装置の縮退機能の動作の一例を示す図。 第１の実施形態の情報処理装置の動作の一例を示すフローチャート。 第２の実施形態の情報処理システムの一例を示すブロック図。 第２の実施形態の情報処理装置の一例を示すブロック図。 第２の実施形態の通信リスク記憶部のデータ例を示す図。 第２の実施形態の許容期間記憶部のデータ例を示す図。 第３の実施形態の情報処理システムの一例を示すブロック図。 第３の実施形態の情報処理装置の一例を示すブロック図。 第３の実施形態のＩＣカード４０のハードウェア構成例を示す図。 第３の実施形態のＩＣカード４０の機能構成例を示すブロック図。 第３の実施形態の情報処理システムの機密通信動作の一例を示す図。

以下、実施形態の情報処理装置、及び情報処理システムを、図面を参照して説明する。

（第１の実施形態）
図１は、第１の実施形態の情報処理システム１の一例を示すブロック図である。
図１に示すように、情報処理システム１は、情報処理装置（１０－１、１０－２、１０－３、・・・）と、ＩｏＴ機器（２１－１、２１－２、・・・）と、上位装置２２とを備える。

本実施形態において、情報処理装置１０－１と、情報処理装置１０－２と、情報処理装置１０－３とのそれぞれは、同一の構成であり、単に情報処理システム１が備える情報処理装置を示す場合、又は、区別しない場合には、情報処理装置１０として説明する。
また、ＩｏＴ機器２１－１と、ＩｏＴ機器２１－２と、上位装置２２とのそれぞれは、ネットワークＮＷ１に接続される末端の装置であるエンドポイントであり、末端装置２０の一例である。

ネットワークＮＷ１は、例えば、インターネット通信網や、ＬＡＮ（Local Area Network）などの情報通信網である。情報処理装置（１０－１、１０－２、１０－３、・・・）は、ネットワークＮＷ１に接続されており、ネットワークＮＷ１を介して相互に通信可能である。

ＩｏＴ機器２１－１、ＩｏＴ機器２１－２、・・・は、例えば、パーソナルコンピュータ（ＰＣ）等のコンピュータ装置、電化製品、監視カメラ、自動車、工作機械、医療機器などのネットワークＮＷ１に接続可能な各種機器である。ＩｏＴ機器２１－１は、情報処理装置１０－１を介してネットワークＮＷ１に接続され、ＩｏＴ機器２１－２は、情報処理装置１０－２を介してネットワークＮＷ１に接続される。
上位装置２２は、例えば、サーバ装置やＰＣなどのコンピュータ装置であり、情報処理装置１０－２を介してネットワークＮＷ１に接続されている。

情報処理装置１０は、末端装置２０とネットワークＮＷ１との間に接続される通信制御装置である。情報処理装置１０は、末端装置２０とネットワークＮＷ１との間の通信において、セキュリティを付加してデータ通信を中継する。情報処理装置１０は、例えば、末端装置２０から受信したデータを暗号化し、暗号化したデータをネットワークＮＷ１に送信する。また、情報処理装置１０は、例えば、ネットワークＮＷ１から受信したデータを復号し、復号したデータを末端装置２０に送信する。

なお、図１に示すように、情報処理装置１０－１は、ＩｏＴ機器２１－１とネットワークＮＷ１との間に接続され、情報処理装置１０－３は、ＩｏＴ機器２１－２とネットワークＮＷ１との間に接続されている。また、情報処理装置１０－２は、上位装置２２とネットワークＮＷ１との間に接続されている。

次に、図２を参照して、本実施形態の情報処理装置１０の構成について説明する。
図２は、本実施形態の情報処理装置１０の一例を示すブロック図である。
図２に示すように、情報処理装置１０は、通信Ｉ／Ｆ（Interface）部１１と、通信Ｉ／Ｆ部１２と、フォトリレースイッチ１３と、記憶部１４と、情報処理部１５とを備える。

通信Ｉ／Ｆ部１１（第１通信部の一例）は、末端装置２０に接続し、末端装置２０との間で通信可能なインタフェースである。また、通信Ｉ／Ｆ部１２（第２通信部の一例）は、ネットワークＮＷ１を介して同ネットワークＮＷ１に接続されたサーバや他の装置と通信可能なインタフェースである。

フォトリレースイッチ１３（切替部の一例）は、例えば、ノーマリクローズのスイッチであり、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線との間に接続されている。フォトリレースイッチ１３は、内部にフォトダイオード（発光ダイオード）を有し、フォトダイオードを発光させることにより、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線とを導通状態にする。

なお、フォトリレースイッチ１３は、電源（電力）が供給されることで、フォトダイオードが発光して、オン状態（導通状態）になり、電源（電力）が供給されていない状態において、オフ状態（非導通状態）になる。フォトリレースイッチ１３は、後述する情報処理部１５が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線とを接続し、パススルーモードに切り替える。ここで、パススルーモードとは、例えば、末端装置２０とネットワークＮＷ１との間で、情報処理部１５を介さずに直接通信するモードのことである。本実施形態では、当該パススルーモードを縮退モードということがあり、この縮退モード（パススルーモード）に切り替える機能を縮退機能という。

記憶部１４は、情報処理装置１０の各種処理において利用される各種情報を記憶する。記憶部１４は、通信リスク記憶部１４１と、通信情報記憶部１４２と、通信実績記憶部１４３と、許容期間記憶部１４４とを備える。

通信リスク記憶部１４１は、相手先の情報処理装置１０の通信状態に関するパラメータに対する通信リスクの一覧を記憶する。通信リスク記憶部１４１は、例えば、パラメータの値と、通信リスクとを対応付けて記憶する。ここで、図３を参照して、通信リスク記憶部１４１が記憶するデータ例について説明する。

図３は、本実施形態の通信リスク記憶部１４１のデータ例を示す図である。
図３に示すように、通信リスク記憶部１４１は、「パラメータ名」と、「パラメータ値」と、「通信リスク」とを対応付けて記憶する。ここで、「パラメータ名」は、上述した相手先の情報処理装置１０の通信状態に関するパラメータの項目を示す。なお、パラメータには、例えば、「通信実績」が含まれ、「通信実績」には、例えば、「認証回数」、「通信データ量」、及び「連続通信期間」などが含まれる。

「認証回数」は、自装置（情報処理装置１０）と、相手先の情報処理装置１０との間において、例えば、相互認証などの認証処理が実行された回数を示し、「通信データ量」は、自装置と、相手先の情報処理装置１０との間の通信データ量を示している。また、「連続通信期間」は、自装置と、相手先の情報処理装置１０との間の連続して通信した期間（例えば、日にち）を示している。

また、パラメータには、例えば、「環境パラメータ」が含まれ、「環境パラメータ」には、例えば、「復旧見込み期間」、及び「ネットワーク環境」などが含まれる。
「復旧見込み期間」は、相手先の情報処理装置１０が、故障してパススルーモードになった場合に、情報処理部１５を用いた通常の通信を行う通常モードに復旧するまでに見込まれる期間を示している。また、「ネットワーク環境」は、例えば、ネットワークＮＷ１の設置環境を示しており、例えば、インターネットなどの公衆通信網や、社内ＬＡＮなどのローカルなネットワークなどのネットワークの環境を示している。ここで、ネットワークＮＷ１の設置環境は、ネットワークＮＷ１における攻撃の容易性を示す攻撃容易性情報の一例である。

また、「通信リスク」は、相手先の情報処理装置１０が、パススルーモードである場合に、セキュリティが担保されていない状態で通信を行う場合のリスクを示している。本実施形態では、「通信リスク」は、“高”（高リスク）、“中”（中程度のリスク）、及び“低”（低リスク）により示される。

図３に示す例では、「認証回数」の「パラメータ値」が、“１００回未満”の場合に、「通信リスク」が“高”であり、“１００回以上５０００回未満”の場合に、「通信リスク」が“中”であることを示している。また、「認証回数」の「パラメータ値」が、“５０００回以上”の場合に、「通信リスク」が“低”であることを示している。

なお、図３に示す例では、例えば、「認証回数」は、多い程、「通信リスク」が低く、少ない程、「通信リスク」が高く設定されている。また、「通信データ量」は、多い程、「通信リスク」が高く、少ない程、「通信リスク」が低く設定されている。また、「連続通信期間」は、長い程、「通信リスク」が低く、短い程、「通信リスク」が高く設定されている。また、「復旧見込み期間」は、長い程、「通信リスク」が高く、短い程、「通信リスク」が低く設定されている。また、「ネットワーク環境」は、範囲が狭い程、「通信リスク」が低く、範囲が広い程、「通信リスク」が高く設定されている。

図２の説明に戻り、通信情報記憶部１４２は、相手先の情報処理装置１０ごとの通信情報を記憶する。ここで、図４を参照して、通信情報記憶部１４２が記憶するデータ例について説明する。

図４は、本実施形態の通信情報記憶部１４２のデータ例を示す図である。
図４に示すように、通信情報記憶部１４２は、「装置ＩＤ」と、「通信情報」とを対応付けて記憶する。ここで、「装置ＩＤ」は、相手先の情報処理装置１０を識別する識別情報である。また、「通信情報」には、「通信方式」、「認証方式」、「デバイス情報」、「復旧見込み時間」、「ネットワーク環境」などが含まれる。また、「デバイス情報」は、例えば、ＭＡＣアドレス値やＩＰアドレスなどであり、相手先の識別情報の一例である。

図４に示す例では、「装置ＩＤ」が“Ｍ０００１”である情報処理装置１０と自装置との間の通信における「通信情報」は、「通信方式」が“ＳＳＬ”（Secure Sockets Layer）であり、「認証方式」が“ＨＴＴＰ／ＦＴＰ”であることを示している。また、相手先の情報処理装置１０の「デバイス情報」は、“ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ：ＸＸ”であることを示している。また、相手先の情報処理装置１０の「復旧見込み時間」が、“２０分”であり、「ネットワーク環境」が“社内ＬＡＮ”であることを示している。
このように、通信情報記憶部１４２は、「通信情報」を相手先の情報処理装置１０ごとに記憶する。

再び、図２の説明に戻り、通信実績記憶部１４３は、相手先の情報処理装置１０との通信実績情報を記憶する。ここで、図５を参照して、通信実績記憶部１４３のデータ例について説明する。

図５は、本実施形態の通信実績記憶部１４３のデータ例を示す図である。
図５に示すように、通信実績記憶部１４３は、「装置ＩＤ」と、「通信実績情報」とを対応付けて記憶する。ここで、「通信実績情報」は、自装置と相手先の情報処理装置１０との間の通信実績を示す情報であり、例えば、上述した「認証回数」、「通信データ量」、及び「連続通信期間」などである。

図５に示す例では、「装置ＩＤ」が“Ｍ０００１”である相手先の情報処理装置１０との間の「通信実績情報」において、「認証回数」が“２００回”であり、「通信データ量」が“５００ＭＢ”（ここで、ＭＢは、メガバイト）であり、「連続通信期間」が“３０日であることを示している。
このように、通信実績記憶部１４３は、通信実績情報を相手先の情報処理装置１０ごとに記憶する。

再び、図２の説明に戻り、許容期間記憶部１４４は、通信リスクと、パススルー許容期間（所定の期間の一例）とを対応付けて記憶する。ここで、図６を参照して、許容期間記憶部１４４のデータ例について説明する。

図６は、本実施形態の許容期間記憶部１４４のデータ例を示す図である。
図６に示すように、許容期間記憶部１４４は、「通信リスク」と、「パススルー許容期間」とを対応付けて記憶する。ここで、「パススルー許容期間」は、自装置と相手先の情報処理装置１０との間の通信において、パススルーモードの通信が許容される期間を示している。

図６に示す例では、「通信リスク」が“高”（高リスク）である場合に、「パススルー許容期間」が“０分”であることを示している。また、「通信リスク」が“中”（中程度リスク）である場合に、「パススルー許容期間」が“２０分”であることを示している。また、「通信リスク」が“低”（低リスク）である場合に、「パススルー許容期間」が“６０分”であることを示している。
このように、本実施形態では、「通信リスク」が高い程、「パススルー許容期間」が短くなるように設定されている。

再び、図２の説明に戻り、情報処理部１５は、例えば、ＣＰＵ（Central Processing Unit）などを含むプロセッサであり、情報処理装置１０を統括的に制御する。情報処理部１５は、例えば、末端装置２０とネットワークＮＷ１を介した相手先の情報処理装置１０との間の通信を制御する処理を実行する。情報処理部１５は、例えば、通信Ｉ／Ｆ部１１が末端装置２０から情報（データ）を受信した場合に、受信した情報（データ）を暗号化して通信Ｉ／Ｆ部１２を介してネットワークＮＷ１に送信する。また、情報処理部１５は、例えば、通信Ｉ／Ｆ部１２がネットワークＮＷ１から情報（データ）を受信した場合に、受信した情報（データ）を復号して通信Ｉ／Ｆ部１１を介して末端装置２０に送信する。
また、情報処理部１５は、認証処理部１５１と、暗号処理部１５２と、通信制御部１５３とを備える。

認証処理部１５１は、例えば、自装置と相手先の情報処理装置１０との間で相互に正当性を確認する相互認証などの認証処理を実行する。
暗号処理部１５２は、例えば、ＲＳＡ暗号などの公開鍵暗号や、共通鍵暗号による暗号化処理、及び復号処理を実行する。暗号処理部１５２は、認証処理や暗号データによる機密通信における暗号化処理、及び復号処理を実行する。

通信制御部１５３は、末端装置２０（例えば、ＩｏＴ機器２１－１、上位装置２２など）及び相手先の情報処理装置１０と、自装置との間の通信を制御する。通信制御部１５３は、例えば、自装置と相手先の情報処理装置１０との間でセッションキーを生成する。通信制御部１５３は、例えば、通信Ｉ／Ｆ部１１が末端装置２０からデータ（平文データ）を受信した場合に、受信したデータをセッションキーで、暗号処理部１５２に暗号化させる。通信制御部１５３は、暗号化されたデータ（暗号データ）を、通信Ｉ／Ｆ部１２及びネットワークＮＷ１を介して相手先の情報処理装置１０に送信する。

また、通信制御部１５３は、例えば、ネットワークＮＷ１及び通信Ｉ／Ｆ部１２を介して、相手先の情報処理装置１０からデータ（暗号データ）を受信した場合に、受信したデータをセッションキーで、暗号処理部１５２に復号させる。通信制御部１５３は、復号されたデータ（平文データ）を、通信Ｉ／Ｆ部１１を介して末端装置２０に送信する。
通信制御部１５３は、このような相手先の情報処理装置１０との通信における通信情報を、例えば、図４に示すように、通信情報記憶部１４２に記憶させる。また、通信制御部１５３は、このような相手先の情報処理装置１０との通信における通信実績を、図５に示すように、通信実績記憶部１４３に記憶させる。

また、通信制御部１５３は、相手先の情報処理装置１０が、パススルーモードになった場合に、相手先の情報処理装置１０との通信状態に関するパラメータに基づいて、所定の期間（例えば、パススルー許容期間）、相手先の末端装置２０（例えば、上位装置２２）との通信を許容（許可）する。また、通信制御部１５３は、所定の期間の経過後に、相手先の末端装置２０との通信を制限（禁止）する。

ここで、相手先の末端装置２０は、ネットワークＮＷ１を介して末端装置２０が通信する相手先末端装置であり、例えば、上位装置２２である。また、相手先の情報処理装置１０は、相手先末端装置（上位装置２２）とネットワークＮＷ１との間に接続され、自装置（情報処理装置１０－１）と同一の構成である情報処理装置１０－２である。すなわち、情報処理装置１０－２は、情報処理装置１０－１と同様に、通信Ｉ／Ｆ部１１、通信Ｉ／Ｆ部１２、情報処理部１５、及びフォトリレースイッチ１３備える。

なお、上述したパラメータには、相手先の情報処理装置１０との通信実績（例えば、認証回数、通信データ量、及び連続通信期間など）が含まれ、通信制御部１５３は、通信実績に基づいて、パススルー許容期間を決定する。また、パラメータには、相手先の情報処理装置１０におけるパススルーモードが解除されるまでの復旧見込み時間が含まれ、通信制御部１５３は、復旧見込み時間に基づいて、パススルー許容期間を決定する。また、パラメータには、ネットワークＮＷ１における攻撃の容易性を示す攻撃容易性情報が含まれ、通信制御部１５３は、攻撃容易性情報（例えば、ネットワーク環境）に基づいて、パススルー許容期間を決定する。

通信制御部１５３は、例えば、通信リスク記憶部１４１から、相手先の情報処理装置１０に対応するパラメータの値に基づいて取得した、相手先末端装置（上位装置２２）に対する通信リスクに基づいて、パススルー許容期間を決定する。具体的に、通信制御部１５３は、通信情報記憶部１４２が記憶する相手先の情報処理装置１０に対応する環境パラメータ（例えば、復旧見込み時間及びネットワーク環境）を取得し、当該環境パラメータに対応する通信リスクを、通信リスク記憶部１４１から取得する。また、通信制御部１５３は、通信実績記憶部１４３が記憶する相手先の情報処理装置１０に対応する通信実績（例えば、認証回数、通信データ量、及び連続通信期間）を取得し、当該通信実績に対応する通信リスクを、通信リスク記憶部１４１から取得する。

図７は、本実施形態のパススルー許容期間の決定例を示す図である。
図７に示す例は、相手先末端装置が“機器Ａ”である場合の一例である。通信制御部１５３は、機器Ａ”が接続されている相手先の情報処理装置１０に対応する通信実績及び環境パラメータにより、通信リスク記憶部１４１から、図７に示すように通信リスクを取得する。図７に示す例では、通信リスクが全項目“中”であるため、通信制御部１５３は、全体リスク（全体の通信リスク）を“中”と判定し、許容期間記憶部１４４から通信リスクが“中”に対応するパススルー許容期間（“２０分”）を取得し、パススルー許容期間を決定する。

なお、図７に示すように、複数のパラメータの項目に対応する通信リスクを用いて、パススルー許容期間を決定する場合には、通信制御部１５３は、例えば、当該複数の通信リスクの多数決で全体の通信リスクを決定してもよいし、最も高い通信リスクに決定してもよい。

また、通信制御部１５３は、相手先の情報処理装置１０との通信における通信方式、認証方式、及び相手先の識別情報のうちの少なくとも１つに基づいて、相手先の情報処理装置１０がパススルーモードになったか否かを検出する。通信制御部１５３は、例えば、通信情報記憶部１４２が記憶する通信情報に基づいて、相手先の情報処理装置１０がパススルーモードになったか否かを検出する。すなわち、通信制御部１５３は、通信情報記憶部１４２が記憶する通信情報と、現在の通信における通信情報とを比較して、変化が生じた場合に、相手先の情報処理装置１０がパススルーモードになったと判定する。

次に、図面を参照して、本実施形態の情報処理システム１の動作について説明する。
図８は、本実施形態の情報処理システム１の機密通信動作の一例を示す図である。この図では、ＩｏＴ機器２１－１と上位装置２２との間の通信を、情報処理装置１０－１及び情報処理装置１０－２を用いて機密通信にする場合の一例について説明する。なお、情報処理装置１０－１と情報処理装置１０－２との間の認証処理、及びセッションキーの生成処理は、完了しているものとする。

図８において、まず、ＩｏＴ機器２１－１が、データ（平文）を情報処理装置１０－１に送信する（ステップＳ１０１）。情報処理装置１０－１の通信制御部１５３は、通信Ｉ／Ｆ部１１を介して、ＩｏＴ機器２１－１からのデータを受信する。

次に、情報処理装置１０－１は、暗号化処理を実行する（ステップＳ１０２）。情報処理装置１０－１の通信制御部１５３は、ＩｏＴ機器２１－１から受信したデータを、セッションキーにより暗号処理部１５２に暗号化させる。

次に、情報処理装置１０－１は、暗号データをネットワークＮＷ１を介して情報処理装置１０－２に送信する（ステップＳ１０３）。情報処理装置１０－１の通信制御部１５３は、暗号処理部１５２に暗号化させたデータである暗号データを、通信Ｉ／Ｆ部１２及びネットワークＮＷ１を介して情報処理装置１０－２に送信する。情報処理装置１０－２の通信制御部１５３は、通信Ｉ／Ｆ部１２を介して、情報処理装置１０－１からの暗号データを受信する。

次に、情報処理装置１０－２は、復号処理を実行する（ステップＳ１０４）。情報処理装置１０－２の通信制御部１５３は、受信した暗号データを、セッションキーにより暗号処理部１５２に復号させる。

次に、情報処理装置１０－２は、データ（平文）を上位装置２２に送信する（ステップＳ１０５）。情報処理装置１０－２の通信制御部１５３は、暗号処理部１５２に復号させたデータ（平文）を、通信Ｉ／Ｆ部１１を介して上位装置２２に送信する。

また、上位装置２２が、データ（平文）を情報処理装置１０－２に送信する（ステップＳ１０６）。情報処理装置１０－２の通信制御部１５３は、通信Ｉ／Ｆ部１１を介して、上位装置２２からのデータを受信する。

次に、情報処理装置１０－２は、暗号化処理を実行する（ステップＳ１０７）。情報処理装置１０－２の通信制御部１５３は、上位装置２２から受信したデータを、セッションキーにより暗号処理部１５２に暗号化させる。

次に、情報処理装置１０－２は、暗号データをネットワークＮＷ１を介して情報処理装置１０－１に送信する（ステップＳ１０８）。情報処理装置１０－２の通信制御部１５３は、暗号処理部１５２に暗号化させたデータである暗号データを、通信Ｉ／Ｆ部１２及びネットワークＮＷ１を介して情報処理装置１０－１に送信する。情報処理装置１０－１の通信制御部１５３は、通信Ｉ／Ｆ部１１を介して、情報処理装置１０－２からの暗号データを受信する。

次に、情報処理装置１０－１は、復号処理を実行する（ステップＳ１０９）。情報処理装置１０－１の通信制御部１５３は、受信した暗号データを、セッションキーにより暗号処理部１５２に復号させる。

次に、情報処理装置１０－１は、データ（平文）をＩｏＴ機器２１－１に送信する（ステップＳ１１０）。情報処理装置１０－１の通信制御部１５３は、暗号処理部１５２に復号させたデータ（平文）を、通信Ｉ／Ｆ部１１を介してＩｏＴ機器２１－１に送信する。
このように、本実施形態の情報処理システム１は、ＩｏＴ機器２１－１と上位装置２２との間に、情報処理装置１０－１及び情報処理装置１０－２を接続することで、機密通信を可能にする。

次に、図９を参照して、本実施形態の情報処理装置１０の縮退機能の動作について説明する。
図９は、本実施形態の情報処理装置１０の縮退機能の動作の一例を示す図である。
フォトリレースイッチ１３は、情報処理部１５が正常に動作している状態（通常モード）では、情報処理部１５から電源（電力）が供給されて、オフ状態になっている。

この通常モードにおいて、例えば、電源の供給停止などのよって、情報処理部１５からフォトリレースイッチ１３に電源（電力）の供給が停止されると、フォトリレースイッチ１３は、オン状態になり、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線とを接続する。これにより、情報処理装置１０は、パススルーモードになる。
このように、本実施形態の情報処理装置１０は、電源の供給停止などの情報処理部１５が動作不能になった場合に、パススルーモードにする縮退機能を備える。

次に、図１０を参照して、本実施形態の情報処理装置１０のパススルーモードの検出動作及びパススルー許容期間の決定動作について説明する。
図１０は、本実施形態の情報処理装置１０の動作の一例を示すフローチャートである。

図１０において、情報処理装置１０の情報処理部１５は、まず、相手先の情報処理装置１０がパススルーモードであるか否かを判定する（ステップＳ２０１）。情報処理部１５の通信制御部１５３は、例えば、通信情報記憶部１４２が記憶する通信情報を参照し、通信情報記憶部１４２が記憶する通信情報と、現在の通信における通信情報とを比較して、２つの通信情報が一致するか否かによって、相手先の情報処理装置１０がパススルーモードになったか否かを判定する。通信制御部１５３は、例えば、相手先の情報処理装置１０がパススルーモードである場合（ステップＳ２０１：ＹＥＳ）に、処理をステップＳ２０２に進める。また、通信制御部１５３は、例えば、相手先の情報処理装置１０がパススルーモードでない場合（ステップＳ２０１：ＮＯ）に、処理をステップＳ２０１に戻す。

ステップＳ２０２において、通信制御部１５３は、パススルー許容期間を設定する。すなわち、通信制御部１５３は、通信情報記憶部１４２が記憶する相手先の情報処理装置１０に対応する通信実績及び環境パラメータを、通信実績記憶部１４３及び通信情報記憶部１４２から取得し、通信実績及び環境パラメータに対応する通信リスクを、通信リスク記憶部１４１から取得する。通信制御部１５３は、例えば、図７に示すように、複数の通信リスクから全体の通信リスクを決定し、当該全体の通信リスクに対応するパススルー許容期間を許容期間記憶部１４４から取得する。

次に、通信制御部１５３は、相手先の情報処理装置１０の故障を管理装置（不図示）に通知する（ステップＳ２０３）。管理装置は、情報処理装置１０が故障した旨を、例えば、電子メールなどで保守担当者に連絡して、故障した情報処理装置１０の修理を手配する。

次に、通信制御部１５３は、パススルーモードの通信を許可する（ステップＳ２０４）。通信制御部１５３は、自装置（情報処理装置１０）と、相手先の情報処理装置１０に接続されている末端装置２０（例えば、上位装置２２など）との間のパススルーモードによる通信を行う。

次に、通信制御部１５３は、相手先の情報処理装置１０がパススルーモードから復旧したか否かを判定する（ステップＳ２０５）。通信制御部１５３は、パススルーモードの判定と同様に、例えば、通信情報記憶部１４２が記憶する通信情報を参照し、現在の通信における通信情報とを比較して、パススルーモードから復旧したか否かを判定する。通信制御部１５３は、相手先の情報処理装置１０がパススルーモードから復旧した場合（ステップＳ２０５：ＹＥＳ）に、処理をステップＳ２０９に進める。また、通信制御部１５３は、相手先の情報処理装置１０がパススルーモードから復旧していない場合（ステップＳ２０５：ＮＯ）に、処理をステップＳ２０６に進める。

ステップＳ２０６において、通信制御部１５３は、パススルー許容期間が完了したか否かを判定する。通信制御部１５３は、パススルーモードの通信の許可後に、パススルー許容期間が経過したか否かを判定する。通信制御部１５３は、パススルー許容期間が完了した場合（ステップＳ２０６：ＹＥＳ）に、処理をステップＳ２０７に進める。また、通信制御部１５３は、パススルー許容期間が完了していない場合（ステップＳ２０６：ＮＯ）に、処理をステップＳ２０５に戻す。

ステップＳ２０７において、通信制御部１５３は、パススルーモードの通信を禁止する。
次に、通信制御部１５３は、再び相手先の情報処理装置１０がパススルーモードから復旧したか否かを判定する（ステップＳ２０８）。通信制御部１５３は、相手先の情報処理装置１０がパススルーモードから復旧した場合（ステップＳ２０８：ＹＥＳ）に、処理をステップＳ２０９に進める。また、通信制御部１５３は、相手先の情報処理装置１０がパススルーモードから復旧していない場合（ステップＳ２０８：ＮＯ）に、処理をステップＳ２０８に戻す。

ステップＳ２０９において、通信制御部１５３は、通常モードの通信を開始する。通信制御部１５３は、ステップＳ２０９の処理後に、処理をステップＳ２０１に戻す。

以上説明したように、本実施形態による情報処理装置１０は、通信Ｉ／Ｆ部１１（第１通信部）と、通信Ｉ／Ｆ部１２（第２通信部）と、情報処理部１５と、フォトリレースイッチ１３（切替部）とを備える。通信Ｉ／Ｆ部１１は、ネットワークＮＷ１に接続される末端の装置である末端装置２０に接続し、末端装置２０との間で通信可能である。通信Ｉ／Ｆ部１２は、ネットワークＮＷ１に接続し、ネットワークＮＷ１を介してネットワークＮＷ１に接続された装置と通信可能である。情報処理部１５は、少なくとも通信Ｉ／Ｆ部１１が末端装置２０から情報を受信した場合に、受信した情報を暗号化して通信Ｉ／Ｆ部１２を介してネットワークＮＷ１に送信する。情報処理部１５は、少なくとも通信Ｉ／Ｆ部１２がネットワークＮＷ１から暗号化された情報を受信した場合に、受信した情報を復号して通信Ｉ／Ｆ部１１を介して末端装置２０に送信する。フォトリレースイッチ１３は、情報処理部１５が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線とを直接接続し、末端装置２０とネットワークＮＷ１との間で、情報処理部１５を介さずに直接通信するパススルーモードに切り替える。

これにより、本実施形態による情報処理装置１０は、例えば、情報処理部１５が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、パススルーモードに切り替えるため、通信を継続することができる。また、本実施形態による情報処理装置１０は、情報処理部１５によって、ネットワークＮＷ１上を暗号化された情報を送信するようにするため、セキュリティを確保することができる。よって、本実施形態による情報処理装置１０は、セキュリティを確保しつつ、可用性を向上させることができる。

また、情報処理装置１０は、末端装置２０とネットワークＮＷ１との間に挿入することで、末端装置２０に手を加えずに、機密通信が可能になるため、既存のシステムに対して容易にセキュリティを付加及び向上させることができる。

また、本実施形態では、情報処理部１５は、相手先の情報処理装置１０が、パススルーモードになった場合に、相手先の情報処理装置１０との通信状態に関するパラメータに基づいて、所定の期間（例えば、パススルー許容期間）、相手先末端装置（例えば、上位装置２２）との通信を許容（例えば、許可）し、所定の期間の経過後に、上位装置２２との通信を制限（例えば、禁止）する。ここで、相手先の情報処理装置１０は、ネットワークＮＷ１を介して末端装置２０が通信する相手先の末端装置２０である相手先末端装置（例えば、上位装置２２）とネットワークＮＷ１との間に接続され、上述した通信Ｉ／Ｆ部１１、通信Ｉ／Ｆ部１２、情報処理部１５、及びフォトリレースイッチ１３を備える。

これにより、本実施形態による情報処理装置１０は、通信状態に関するパラメータに基づいて、例えば、パススルーモードの通信を許可する期間を制限するため、さらに、セキュリティを確保しつつ、可用性を向上させることができる。

また、本実施形態では、情報処理部１５は、通信状態に関するパラメータの値と、通信リスクとを対応付けて記憶する通信リスク記憶部１４１から、相手先の情報処理装置１０に対応するパラメータの値に基づいて取得した、相手先末端装置に対する通信リスクに基づいて、パススルー許容期間を決定する。
これにより、本実施形態による情報処理装置１０は、通信リスクに応じて、適切にパススルー許容期間を決定することができる。

また、本実施形態では、通信状態に関するパラメータには、相手先の情報処理装置１０との通信実績（例えば、認証回数、通信データ量、及び連続通信期間など）が含まれ、情報処理部１５は、通信実績に基づいて、パススルー許容期間を決定する。
これにより、本実施形態による情報処理装置１０は、相手先の情報処理装置１０との通信実績に応じて、適切にパススルー許容期間を決定することができる。

また、本実施形態では、通信状態に関するパラメータには、相手先の情報処理装置１０におけるパススルーモードが解除されるまでの復旧見込み時間が含まれ、情報処理部１５は、復旧見込み時間に基づいて、パススルー許容期間を決定する。
これにより、本実施形態による情報処理装置１０は、相手先の情報処理装置１０及び情報処理システム１の復旧するまでの期間を考慮して、適切にパススルー許容期間を決定することができる。

また、本実施形態では、通信状態に関するパラメータには、ネットワークＮＷ１における攻撃の容易性を示す攻撃容易性情報が含まれ、情報処理部１５は、攻撃容易性情報（例えば、ネットワーク環境）に基づいて、パススルー許容期間を決定する。
これにより、本実施形態による情報処理装置１０は、情報処理システム１に対する攻撃容易性情報を考慮して、適切にパススルー許容期間を決定することができる。

また、本実施形態では、情報処理部１５は、相手先の情報処理装置１０との通信における通信方式、認証方式、及び相手先の識別情報（例えば、ＭＡＣアドレスなど）のうちの少なくとも１つに基づいて、相手先の情報処理装置１０がパススルーモードになったか否かを検出する。
これにより、本実施形態による情報処理装置１０は、パススルーモードになったか否かを高精度で検出することができる。

また、本実施形態による情報処理装置１０は、相手先の情報処理装置１０との通信における通信方式、認証方式、及び相手先の識別情報のうちの少なくとも１つを含む通信情報を記憶する通信情報記憶部１４２を備える。情報処理部１５は、通信情報記憶部１４２が記憶する通信情報に基づいて、相手先の情報処理装置１０がパススルーモードになったか否かを検出する。
これにより、本実施形態による情報処理装置１０は、簡易な手法により、パススルーモードになったか否かを高精度で検出することができる。

また、本実施形態による情報処理システム１は、複数の末端装置２０と、上述した情報処理装置１０であって、複数の末端装置２０のそれぞれとネットワークＮＷ１との間にそれぞれが接続される複数の情報処理装置１０とを備える。
これにより、本実施形態による情報処理システム１は、上述した情報処理装置１０と同様の効果を奏し、セキュリティを確保しつつ、可用性を向上させることができる。

（第２の実施形態）
次に、図面を参照して、第２の実施形態の情報処理装置１０ａ及び情報処理システム１ａについて説明する。
本実施形態では、情報処理システム１ａは、管理装置３０を備え、第１の実施形態の情報処理装置１０が備える記憶部１４の一部を管理装置３０が記憶する場合の一例について説明する。

図１１は、第２の実施形態の情報処理システム１ａの一例を示すブロック図である。
図１１に示すように、情報処理システム１ａは、情報処理装置（１０ａ－１、１０ａ－２、１０ａ－３、・・・）と、ＩｏＴ機器（２１－１、２１－２、・・・）と、上位装置２２と、管理装置３０とを備える。
なお、この図において、図１と同一の構成には、同一の符号を付与して、ここではその説明を省略する。

また、本実施形態において、情報処理装置１０ａ－１と、情報処理装置１０ａ－２と、情報処理装置１０ａ－３とのそれぞれは、同一の構成であり、単に情報処理システム１ａが備える情報処理装置を示す場合、又は、区別しない場合には、情報処理装置１０ａとして説明する。

情報処理装置１０ａは、末端装置２０とネットワークＮＷ１との間に接続される通信制御装置である。情報処理装置１０ａは、末端装置２０とネットワークＮＷ１との間の通信において、セキュリティを付加してデータ通信を中継する。
なお、図１１に示すように、情報処理装置１０ａ－１は、ＩｏＴ機器２１－１とネットワークＮＷ１との間に接続され、情報処理装置１０ａ－３は、ＩｏＴ機器２１－２とネットワークＮＷ１との間に接続されている。また、情報処理装置１０ａ－２は、上位装置２２とネットワークＮＷ１との間に接続されている。

図１２は、本実施形態の情報処理装置１０ａの一例を示すブロック図である。
図１２に示すように、情報処理装置１０ａは、通信Ｉ／Ｆ部１１と、通信Ｉ／Ｆ部１２と、フォトリレースイッチ１３と、記憶部１４ａと、情報処理部１５ａとを備える。
なお、図１２において、図２と同一の構成には、同一の符号を付与して、ここではその説明を省略する。

記憶部１４ａは、情報処理装置１０ａの各種処理において利用される各種情報を記憶する。記憶部１４ａは、通信情報記憶部１４２と、通信実績記憶部１４３とを備える。記憶部１４ａは、通信リスク記憶部１４１と、許容期間記憶部１４４とを備えない点が第１の実施形態と異なる。

情報処理部１５ａは、例えば、ＣＰＵなどを含むプロセッサであり、情報処理装置１０ａを統括的に制御する。情報処理部１５ａは、認証処理部１５１と、暗号処理部１５２と、通信制御部１５３ａとを備える。
なお、情報処理部１５ａの基本的な機能は、第１の実施形態の情報処理部１５と同様である。本実施形態では、記憶部１４ａが、通信リスク記憶部１４１と、許容期間記憶部１４４とを備えないため、情報処理部１５ａは、通信リスク記憶部１４１及び許容期間記憶部１４４が記憶する情報を、後述する管理装置３０が備える通信リスク記憶部３２１及び許容期間記憶部３２２から取得する点が、第１の実施形態と異なる。

図１１の説明に戻り、管理装置３０は、例えば、サーバ装置などのコンピュータ装置である。管理装置３０は、情報処理システム１ａを管理する。管理装置３０は、管理処理部３１と、管理記憶部３２とを備える。

管理処理部３１は、例えば、ＣＰＵなどを含むプロセッサであり、管理装置３０を統括的に制御する。管理処理部３１は、例えば、情報処理装置１０ａの要求に応じて、管理記憶部３２が記憶する各種情報を読み出して、要求元の情報処理装置１０ａに送信する。また、管理処理部３１は、例えば、情報処理装置１０ａの更新情報や更新プログラムを、情報処理装置１０ａに送信する。また、管理処理部３１は、情報処理装置１０ａが故障した場合に、例えば、電子メールなどで保守担当者に連絡して、故障した情報処理装置１０ａの修理を手配する。

管理記憶部３２は、通信リスク記憶部３２１と、許容期間記憶部３２２とを備える。
通信リスク記憶部３２１は、相手先の情報処理装置１０の通信状態に関するパラメータに対する通信リスクの一覧を記憶する。通信リスク記憶部３２１は、例えば、パラメータの値と、通信リスクとを対応付けて相手先の情報処理装置１０ａごとに記憶する。ここで、図１３を参照して、通信リスク記憶部３２１が記憶するデータ例について説明する。

図１３は、本実施形態の通信リスク記憶部３２１のデータ例を示す図である。
図１３に示すように、通信リスク記憶部３２１は、「装置ＩＤ」と、「末端ＩＤ」と、「パラメータ名」と、「パラメータ値」と、「通信リスク」とを対応付けて記憶する。ここで、「装置ＩＤ」は、情報処理装置１０ａを識別する識別情報であり、「末端ＩＤ」は、情報処理装置１０ａが接続されている末端装置２０を識別する識別情報である。その他の情報は、上述した図３に示す通信リスク記憶部１４１と同様である。本実施形態の通信リスク記憶部３２１は、相手先の情報処理装置１０ａごとに通信リスク情報を記憶する点が、第１の実施形態の通信リスク記憶部１４１と異なる。

再び、図１２の説明に戻り、許容期間記憶部３２２は、通信リスクと、パススルー許容期間（所定の期間の一例）とを対応付けて、相手先の情報処理装置１０ａごとに記憶する。ここで、図１４を参照して、許容期間記憶部３２２のデータ例について説明する。

図１４は、本実施形態の許容期間記憶部３２２のデータ例を示す図である。
図１４に示すように、許容期間記憶部３２２は、「装置ＩＤ」と、「通信リスク」と、「パススルー許容期間」とを対応付けて記憶する。本実施形態の許容期間記憶部３２２は、「装置ＩＤ」（相手先の情報処理装置１０ａの識別情報）ごとに、「パススルー許容期間」が設定されている点以外は、上述した図６に示す第１の実施形態の許容期間記憶部１４４と同様である。本実施形態の許容期間記憶部３２２は、相手先の情報処理装置１０ａごとにパススルー許容期間を記憶する点が、第１の実施形態の許容期間記憶部１４４と異なる。

本実施形態における情報処理部１５ａの通信制御部１５３ａは、例えば、管理記憶部３２の通信リスク記憶部３２１から、相手先の情報処理装置１０ａに対応するパラメータの値に基づいて通信リスクを取得する。通信制御部１５３ａは、取得した通信リスクに基づいて、管理装置３０の許容期間記憶部３２２から相手先の情報処理装置１０ａに対応するパススルー許容期間を取得して、パススルー許容期間を決定する。また、情報処理部１５ａのその他の処理は、上述した第１の実施形態と同様であるため、ここではその説明を省略する。

以上説明したように、本実施形態による情報処理装置１０ａでは、情報処理部１５ａは、外部に備えられた管理装置３０の通信リスク記憶部３２１から、相手先の情報処理装置１０に対応するパラメータの値に基づいて取得した、相手先末端装置に対する通信リスクに基づいて、パススルー許容期間を決定する。
これにより、本実施形態による情報処理装置１０ａは、第１の実施形態と同様に、通信リスクに応じて、適切にパススルー許容期間を決定することができる。

また、本実施形態では、通信リスク記憶部３２１は、相手先の情報処理装置１０ａの識別情報と、通信状態に関するパラメータの値と、通信リスクとを対応付けて記憶する。
これにより、本実施形態による情報処理装置１０ａは、相手先の情報処理装置１０ａごとに、通信リスクの設定を変更することができる。

また、本実施形態では、許容期間記憶部３２２は、相手先の情報処理装置１０ａの識別情報と、通信リスクと、パススルー許容期間とを対応付けて記憶する。
これにより、本実施形態による情報処理装置１０ａは、相手先の情報処理装置１０ａごとに、パススルー許容期間を変更することができる。

なお、上述した本実施形態では、情報処理装置１０ａが、通信リスク記憶部１４１及び許容期間記憶部１４４を備えない例を説明したが、情報処理装置１０ａが、通信リスク記憶部１４１及び許容期間記憶部１４４を備えるようにしてもよい。この場合、情報処理部１５ａは、管理装置３０の通信リスク記憶部３２１及び許容期間記憶部３２２が記憶する情報を、定期的に通信リスク記憶部１４１及び許容期間記憶部１４４に記憶させて使用するようにしてもよい。

これにより、本実施形態による情報処理装置１０ａは、最新の情報に基づいて、適切に情報通信を行うことができる。また、情報処理システム１ａは、管理装置３０により通信リスク及びパススルー許容期間を一元管理することができ、利便性を向上させることができる。

（第３の実施形態）
次に、図面を参照して、第３の実施形態の情報処理装置１０ｂ及び情報処理システム１ｂについて説明する。
本実施形態では、情報処理システム１ｂは、管理装置３０ａを備えるとともに、情報処理装置１０ｂが暗号処理部１５２の代わりにＩＣカード４０を備える場合の変形例について説明する。

図１５は、第３の実施形態の情報処理システム１ｂの一例を示すブロック図である。
図１５に示すように、情報処理システム１ｂは、情報処理装置（１０ｂ－１、１０ｂ－２、１０ｂ－３、・・・）と、ＩｏＴ機器（２１－１、２１－２、・・・）と、上位装置２２と、管理装置３０ａとを備える。
なお、この図において、図１及び図１１と同一の構成には、同一の符号を付与して、ここではその説明を省略する。

また、本実施形態において、情報処理装置１０ｂ－１と、情報処理装置１０ｂ－２と、情報処理装置１０ｂ－３とのそれぞれは、同一の構成であり、単に情報処理システム１ｂが備える情報処理装置を示す場合、又は、区別しない場合には、情報処理装置１０ｂとして説明する。

情報処理装置１０ｂは、末端装置２０とネットワークＮＷ１との間に接続される通信制御装置である。情報処理装置１０ｂは、末端装置２０とネットワークＮＷ１との間の通信において、セキュリティを付加してデータ通信を中継する。
なお、図１５に示すように、情報処理装置１０ｂ－１は、ＩｏＴ機器２１－１とネットワークＮＷ１との間に接続され、情報処理装置１０ｂ－３は、ＩｏＴ機器２１－２とネットワークＮＷ１との間に接続されている。また、情報処理装置１０ｂ－２は、上位装置２２とネットワークＮＷ１との間に接続されている。

また、本実施形態では、ＩｏＴ機器２１－１をクライアント装置とし、上位装置２２をサーバ装置として、クライアント装置から撮像データをサーバ装置に送付する一例について説明する。また、本実施形態では、情報処理装置１０ｂ－１をクライアント側通信制御装置とし、情報処理装置１０ｂ－２をサーバ側通信制御装置とする。本実施形態において、ＩｏＴ機器２１－１（クライアント装置）とネットワークＮＷ１との間に接続された情報処理装置１０ｂ－１（クライアント側通信制御装置）が、ＩｏＴ機器２１－１（クライアント装置）が送信するデータを暗号化してネットワークＮＷ１に出力する。また、上位装置２２（サーバ装置）とネットワークＮＷ１との間に接続された情報処理装置１０ｂ－２（サーバ側通信制御装置）が、上位装置２２（サーバ装置）が送信する制御データを暗号化してネットワークＮＷ１に出力する。これにより、ＩｏＴ機器２１－１（クライアント装置）、及び上位装置２２（サーバ装置）を変更することなく、ネットワークＮＷ１を流れる撮像データの安全性を向上させる。

また、情報処理装置１０ｂ－１（クライアント側通信制御装置）は、上位装置２２（サーバ装置）に対してデータを送信する際に、ＩｏＴ機器２１－１（クライアント装置）から取得したデータを暗号化し、暗号化したデータを上位装置２２（サーバ装置）に対して送信する。
また、情報処理装置１０ｂ－１（クライアント側通信制御装置）は、ＩｏＴ機器２１－１（クライアント装置）にデータを出力する際に、上位装置２２（サーバ装置）から情報処理装置１０ｂ－２（サーバ側通信制御装置）を介して取得したデータを復号し、復号したデータを情報処理装置１０ｂ－１（クライアント側通信制御装置）に出力する。

情報処理装置１０ｂ－２（サーバ側通信制御装置）は、ＩｏＴ機器２１－１（クライアント装置）に対してデータを送信する際に、上位装置２２（サーバ装置）から取得したデータを暗号化し、暗号化したデータをＩｏＴ機器２１－１（クライアント装置）に対して送信する。
また、情報処理装置１０ｂ－２（サーバ側通信制御装置）は、上位装置２２（サーバ装置）にデータを出力する際に、ＩｏＴ機器２１－１（クライアント装置）から情報処理装置１０ｂ－１（クライアント側通信制御装置）を介して取得したデータを復号し、復号したデータを上位装置２２（サーバ装置）に出力する。

本実施形態において、情報処理装置１０ｂ－１及び情報処理装置１０ｂ－２が行うデータの暗号化には、例えば、ＳＳＬ／ＴＬＳ（Transport Layer Security）のプロトコルによる暗号化が行われる。情報処理装置１０ｂ－１及び情報処理装置１０ｂ－２は、例えば、ＳＳＬ／ＴＬＳプロトコルを、ＨＴＴＰと組み合わせることで、ＨＴＴＰに含まれるデータを暗号化し、安全性を向上させたＨＴＴＰＳ（HTTP Secure）に置き換える。

また、情報処理装置１０ｂ－１及び情報処理装置１０ｂ－２は、ＳＳＬ／ＴＬＳプロトコルを種々の通信プロトコルと組み合わせることにより、安全性を向上させたセキュアな通信プロトコルに置き換えてもよい。例えば、情報処理装置１０ｂ－１及び情報処理装置１０ｂ－２は、ＦＴＰ（File Transfer Protocol）をＦＴＰＳ（FTP Secure）に置き換えてもよい。

図１６は、本実施形態の情報処理装置１０ｂの一例を示すブロック図である。
図１６に示すように、情報処理装置１０ｂは、通信Ｉ／Ｆ部１１と、通信Ｉ／Ｆ部１２と、フォトリレースイッチ１３と、記憶部１４と、情報処理部１５ｂと、リーダライタ３５と、ＩＣカード４０とを備える。
なお、図１６において、図２と同一の構成には、同一の符号を付与して、ここではその説明を省略する。

情報処理部１５ｂは、例えば、ＣＰＵなどを含むプロセッサであり、情報処理装置１０ｂを統括的に制御する。情報処理部１５ｂは、認証処理部１５１と、通信制御部１５３とを備える。情報処理部１５ｂの基本的な機能は、第１の実施形態の情報処理部１５と同様であるが、暗号処理部１５２を備えず、ＩＣカード４０がその機能を代用する。

本実施形態における認証処理部１５１は、例えば、自装置と相手先の情報処理装置１０との間で相互に正当性を確認する相互認証などの認証処理を実行する際に、リーダライタ３５を介してＩＣカード４０と通信して、認証処理を実行する。
また、本実施形態における通信制御部１５３は、例えば、通信Ｉ／Ｆ部１１が末端装置２０からデータ（平文データ）を受信した場合に、受信したデータをセッションキーで、ＩＣカード４０に暗号化させる。通信制御部１５３は、暗号化されたデータ（暗号データ）を、通信Ｉ／Ｆ部１２及びネットワークＮＷ１を介して相手先の情報処理装置１０に送信する。

また、通信制御部１５３は、例えば、ネットワークＮＷ１及び通信Ｉ／Ｆ部１２を介して、相手先の情報処理装置１０からデータ（暗号データ）を受信した場合に、受信したデータをセッションキーで、ＩＣカード４０に復号させる。通信制御部１５３は、復号されたデータ（平文データ）を、通信Ｉ／Ｆ部１１を介して末端装置２０に送信する。

リーダライタ３５は、ＩＣカード４０のコンタクト部３６を介して、ＩＣカード４０の間の通信を行う。
ＩＣカード４０（認証部の一例）は、例えば、プラスチックのカード基材に、ＩＣモジュール４１を実装して形成されている。すなわち、ＩＣカード４０は、ＩＣモジュール４１と、ＩＣモジュール４１が埋め込まれたカード基材とを備える。また、ＩＣカード４０は、情報処理装置１０ｂに着脱可能に装着され、コンタクト部３６及びリーダライタ３５を介して情報処理装置１０ｂと通信可能である。

ＩＣカード４０は、例えば、情報処理装置１０ｂがリーダライタ３５を介して送信したコマンド（処理要求）を、コンタクト部３６を介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＩＣカード４０は、コマンド処理の実行結果であるレスポンス（処理応答）をコンタクト部３６及びリーダライタ３５を介して情報処理装置１０ｂに送信する。

ＩＣモジュール４１は、コンタクト部３６と、ＩＣチップ４２とを備える。コンタクト部３６は、ＩＣカード４０が動作するために必要な各種信号の端子を有している。ここで、各種信号の端子は、電源電圧、クロック信号、リセット信号などをリーダライタ３５から供給を受ける端子、及び、リーダライタ３５と通信するためのシリアルデ―タ入出力端子（ＳＩＯ端子）を有する。ＩＣチップ４２は、例えば、１チップのマイクロプロセッサなどのＬＳＩ（Large Scale Integration）である。

ここでは、ＩＣカード４０のハードウェア構成について図１７を用いて説明する。図１７は、本実施形態のＩＣカード４０のハードウェア構成例を示す図である。

ＩＣカード４０は、コンタクト部３６と、ＩＣチップ４２とを備えたＩＣモジュール４１を備えている。そして、ＩＣチップ４２は、ＵＡＲＴ（Universal Asynchronous Receiver Transmitter）４３と、ＣＰＵ４４と、ＲＯＭ（Read Only Memory）４５と、ＲＡＭ（Random Access Memory）４６と、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）４７とを備える。また、各構成（４３から４７）は、内部バスＢＳを介して接続されている。

ＵＡＲＴ４３は、上述したＳＩＯ端子を介して、リーダライタ３５とシリアルデータ通信を行う。ＵＡＲＴ４３は、ＳＩＯ端子を介して受信したシリアルデータ信号をパラレル変換したデータ（例えば、１バイトのデータ）を内部バスＢＳに出力する。また、ＵＡＲＴ４３は、内部バスＢＳを介して取得したデータをシリアル変換して、ＳＩＯ端子を介してリーダライタ３５に出力する。ＵＡＲＴ４３は、例えば、ＳＩＯ端子を介してコマンドをリーダライタ３５から受信する。また、ＵＡＲＴ４３は、ＳＩＯ端子を介してレスポンスをリーダライタ３５に送信する。

ＣＰＵ４４は、ＲＯＭ４５又はＥＥＰＲＯＭ４７に記憶されているプログラムを実行して、ＩＣカード４０の各種処理を行う。ＣＰＵ４４は、例えば、コンタクト部３６を介して、ＵＡＲＴ４３が受信したコマンドに応じたコマンド処理を実行する。

ＲＯＭ４５は、例えば、マスクＲＯＭなどの不揮発性メモリであり、ＩＣカード４０の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。ＲＡＭ４６は、例えば、ＳＲＡＭ（Static RAM）などの揮発性メモリであり、ＩＣカード４０の各種処理を行う際に利用されるデータを一時記憶する。ＥＥＰＲＯＭ４７は、例えば、電気的に書き換え可能な不揮発性メモリである。ＥＥＰＲＯＭ４７は、ＩＣカード４０が利用する各種データを記憶する。ＥＥＰＲＯＭ４７は、例えば、ＩＣカード４０を利用した各種サービス（アプリケーション）に使用される情報を記憶する。

次に、ＩＣカード４０の構成について、図１８を用いて説明する。図１８は、本実施形態のＩＣカード４０の機能構成例を示すブロック図である。ＩＣカード４０は、通信部４００と、制御部４０１と、記憶部４０４とを備える。ここで、図１８に示されるＩＣカード４０の各部は、図１７に示されるＩＣカード４０のハードウェアを用いて実現される。

通信部４００は、例えば、ＵＡＲＴ４３と、ＣＰＵ４４と、ＲＯＭ４５に記憶されているプログラムとにより実現され、コンタクト部３６を介して、例えば、リーダライタ３５との間でコマンド及びレスポンスの送受信を行う。すなわち、通信部４００は、所定の処理を要求するコマンド（処理要求）をリーダライタ３５から受信するとともに、コマンドに対するレスポンス（処理応答）をリーダライタ３５に送信する。通信部４００は、ＵＡＲＴ４３を介してリーダライタ３５から受信した受信データをＲＡＭ４６に記憶させる。また、通信部４００は、ＲＡＭ４６に記憶されている送信データを、ＵＡＲＴ４３を介してリーダライタ３５に送信する。

制御部４０１は、例えば、ＣＰＵ４４と、ＲＡＭ４５と、ＲＯＭ４６又はＥＥＰＲＯＭ４７とにより実現され、ＩＣカード４０を統括的に制御する。制御部４０１は、コマンド処理部４０２と、暗号化復号部４０３とを備える。

ここで、コマンド処理部４０２が行う処理は、「認証処理」の一例である。また、暗号化復号部４０３が行う処理は、「暗号化復号処理」の一例である。

コマンド処理部４０２は、各種コマンド処理を実行する。コマンド処理部４０２は、例えば、後述するＨＴＴＰＳリクエストを要求するコマンド処理として、ＳＳＬ／ＴＬＳハンドシェイクを行う。ＳＳＬ／ＴＬＳハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、及び通信先の装置との相互認証を行う。ここで、相互認証とは、例えば、図１５に示すＩｏＴ機器２１－１（クライアント装置）に接続された情報処理装置１０ｂ－１（クライアント側通信制御装置）と、上位装置２２（サーバ装置）に接続された情報処理装置１０ｂ－２（サーバ側通信制御装置）とが、通信を行う前に、互いに正当に認証された装置であることを相互に確認する認証処理である。

暗号化復号部４０３は、データを暗号化する処理、及び暗号化されたデータを復号する処理を実行する。暗号化復号部４０３は、通信部４００を介して取得した装置（ＩｏＴ機器２１－１、又は上位装置２２）により出力されたデータを暗号化する。また、暗号化復号部４０３は、通信部４００を介して取得したネットワークＮＷ１からの暗号化されたデータを復号する。

記憶部４０４は、例えば、ＥＥＰＲＯＭ４７により構成された記憶部であり、証明書情報記憶部４０５と、秘密情報記憶部４０６とを備える。証明書情報記憶部４０５は、管理装置３０ａが発行した装置（ＩｏＴ機器２１－１、又は上位装置２２）に対する証明書を記憶する。具体的には、ＩｏＴ機器２１－１（クライアント装置）が接続されている情報処理装置１０ｂ－１に装着されるＩＣカード４０の証明書情報記憶部４０５には、クライアント証明書を示す情報が記憶される。また、上位装置２２（サーバ装置）に接続された情報処理装置１０ｂ－２に装着されるＩＣカード４０の証明書情報記憶部４０５には、サーバ証明書を示す情報が記憶される。

秘密情報記憶部４０６は、管理装置３０が発行した装置（ＩｏＴ機器２１－１、又は上位装置２２）に対する秘密鍵を記憶する。具体的には、ＩｏＴ機器２１－１（クライアント装置）が接続されている情報処理装置１０ｂ－１に装着されるＩＣカード４０の秘密情報記憶部４０６には、情報処理装置１０ｂ－１（クライアント側通信制御装置）に対して発行された秘密鍵を示す情報が記憶される。また、上位装置２２（サーバ装置）に接続された情報処理装置１０ｂ－２に装着されるＩＣカード４０の秘密情報記憶部４０６には、情報処理装置１０ｂ－２（サーバ側通信制御装置）に対して発行された秘密鍵を示す情報が記憶される。

図１５の説明に戻り、管理装置３０ａは、例えば、サーバ装置などのコンピュータ装置であり、情報処理システム１ｂを管理する。管理装置３０ａは、情報処理装置１０ｂ－１に対し、クライアント証明書、及び秘密鍵を発行する。例えば、管理装置３０ａは、クライアント証明書、及び秘密鍵を記憶させたＩＣカード４０を発行する。また、管理装置３０ａは、ＩＣカード４０が装着された情報処理装置１０ｂ－１に対し、ＩＣカード４０に記憶させるクライアント証明書、及び秘密鍵を、ネットワークＮＷ１を介して送信する。

また、管理装置３０ａは、情報処理装置１０ｂ－２に対し、サーバ証明書、及び秘密鍵を発行する。例えば、管理装置３０ａは、サーバ証明書、及び秘密鍵を記憶させたＩＣカードを発行する。また、管理装置３０ａは、ＩＣカード４０が装着された情報処理装置１０ｂ－２に対し、ＩＣカード４０に記憶させるサーバ証明書、及び秘密鍵を、ネットワークＮＷ１を介して送信する。クライアント証明書、サーバ証明書、及び秘密鍵のそれぞれは、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２とが暗号化通信を行う場合に用いる共通鍵（セッションキー）を決定するために必要な情報である。

また、管理装置３０ａは、例えば、管理処理部３１ｂと、管理記憶部３２ａとを備える。
管理処理部３１ｂは、例えば、ＣＰＵなどを含むプロセッサであり、管理装置３０ａを統括的に制御する。管理処理部３１ｂは、主に情報処理装置１０ｂ（１０ｂ－１、１０ｂ－２、・・・）の正当性を認めるプライベート認証局として機能する。管理処理部３１ｂは、鍵作成部３１１と、証明書発行部３１２と、証明書更新部３１３と、証明書管理部３１４と、管理部３１５とを備える。

鍵作成部３１１は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）からの認証申請に基づいて、後述する証明書に含まれる公開鍵に対応する秘密鍵の発行を行う。
証明書発行部３１２は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）からの認証申請に基づいて、情報処理装置１０ｂ－１（１０ｂ－２）の正当性を認める証明書の発行を行う。証明書には、公開鍵と、情報処理装置１０ｂ－１（１０ｂ－２）の所有者を示す情報が含まれる。

証明書更新部３１３は、有効期限が渡過した証明書に対して新たな有効期限を設定することにより、証明書の更新を行う。証明書更新部３１３は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）からの更新申請に基づいて、当該情報処理装置１０ｂ－１（１０ｂ－２）に対して発行した証明書の有効期限を延長させた証明書を発行し、発行した証明書を情報処理装置１０ｂ－１（１０ｂ－２）に対して送信する。発行した証明書を示す情報が情報処理装置１０ｂ－１（１０ｂ－２）により受信され、情報処理装置１０ｂ－１（１０ｂ－２）のＩＣカード４０の証明書情報記憶部４０５に記憶されることで、情報処理装置１０ｂ－１（１０ｂ－２）の証明書の有効期限が延長される。

証明書管理部３１４は、既に発行済みの証明書に対する管理を行う。証明書管理部３１４は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）に装着されたＩＣカード４０の改ざん、又は盗難等により相互認証において互いの正当性が証明されない場合に、情報処理装置１０ｂ－１（１０ｂ－２）に対して発行した証明書を無効化する処理を行う。また、証明書管理部３１４は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）からの問い合わせに基づいて、情報処理装置１０ｂ－１（１０ｂ－２）、及び他の通信装置に対して発行した証明書が証明書管理部３１４により発行されたものか否か応答するようにしてもよい。また、証明書管理部３１４は、定期的に、発行済みの証明書が正当な情報処理装置１０ｂ－１（１０ｂ－２）に使用されているかを確認するようにしてもよい。

管理部３１５は、情報処理装置１０ｂ（１０ｂ－１、１０ｂ－２、・・・）を管理する。例えば、管理部５０９は、例えば、情報処理装置１０ｂ－１（１０ｂ－２）が行う相互認証を、ネットワークＮＷ１を介して遠隔制御する。

管理記憶部３２ａは、例えば、鍵情報記憶部３２３と、証明書情報記憶部３２４とを備える。鍵情報記憶部３２３は、例えば、既に発行済みの公開鍵や、秘密鍵を示す情報を記憶する。証明書情報記憶部３２４は、例えば、既に発行済みの証明書を示す情報を記憶する。
鍵情報記憶部３２３と、証明書情報記憶部３２４とは、例えば、鍵作成部３１１が秘密鍵を発行する際、証明書発行部３１２が証明書を発行する際などに参照される。また、鍵情報記憶部３２３には、鍵作成部３１１が発行した秘密鍵を示す情報が記憶される。また、証明書情報記憶部３２４には、証明書発行部３１２が発行した証明書を示す情報が記憶される。

次に、図面を参照して、本実施形態の情報処理システム１の動作について説明する。
図１９は、本実施形態の情報処理システム１ｂの機密通信動作の一例を示す図である。この図では、ＩｏＴ機器２１－１（クライアント装置）と上位装置２２（サーバ装置）との間の通信を、情報処理装置１０ｂ－１（クライアント側通信制御装置）及び情報処理装置１０ｂ－２（サーバ側通信制御装置）を用いて機密通信にする場合の一例について説明する。

図１９において、ＩｏＴ機器２１－１（クライアント装置）は、撮像データを上位装置２２（サーバ装置）に送信する場合、まず、上位装置２２に対するＨＴＴＰリクエストを送信する（ステップＳ３０１）。ＩｏＴ機器２１－１が送信したＨＴＴＰリクエストは、情報処理装置１０ｂ－１（クライアント側通信制御装置）により取得される（ステップＳ３０２）。

情報処理装置１０ｂ－１は、ＩｏＴ機器２１－１により送信されたＨＴＴＰリクエストを取得すると、情報処理装置１０ｂ－２（サーバ側通信制御装置）に対して、ＨＴＴＰＳのリクエスト（ClientHello）を送信する（ステップＳ３０３）。これにより、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２との間のハンドシェイクが開始される（ステップＳ３０４）。

具体的には、情報処理装置１０ｂ－１が送信するClientHelloには、例えば、ＴＬＳのバージョン、及び通信に用いる暗号方式やアルゴリズムのリストを示す情報が含まれる。情報処理装置１０ｂ－２は、ClientHelloに対する応答として、情報処理装置１０ｂ－１に対しＨＴＴＰＳのレスポンス（ServerHello）を送信する。情報処理装置１０ｂ－２が送信するServerHelloには、例えば、ClientHelloで提示された選択肢の中で上位装置２２が選択した情報が含まれる。換言すると、情報処理装置１０ｂ－１からの提示に対し、情報処理装置１０ｂ－２が選択を行うことで、通信における具体的な暗号化アルゴリズムが決定される。

そして、情報処理装置１０ｂ－２は、暗号化通信に用いる共通鍵に必要な情報を送る。共通鍵に必要な情報には、例えば、上位装置２２に対して発行された公開鍵とその証明書を示す情報、及びＩｏＴ機器２１－１の公開鍵とその証明書を送ることを要求する情報が含まれる。情報処理装置１０ｂ－１は、情報処理装置１０ｂ－２に対して、自装置に対して発行された公開鍵とその証明書、及び暗号化通信に用いる共通鍵に必要な情報を送る。

情報処理装置１０ｂ－１と情報処理装置１０ｂ－２との間の相互認証は、例えば次のように行われる。情報処理装置１０ｂ－１は、今までに受信したServerHello等から署名を生成し、情報処理装置１０ｂ－２に送信する。情報処理装置１０ｂ－２は、情報処理装置１０ｂ－１から受信した署名を、情報処理装置１０ｂ－１から受信した証明書に基づいて検証する。情報処理装置１０ｂ－２は、検証が成功すると、その証明書が間違いなく情報処理装置１０ｂ－１のものであると判定する。また、情報処理装置１０ｂ－２は、今までに受信したClientHello等から署名を生成し、情報処理装置１０ｂ－１に送信する。情報処理装置１０ｂ－１は、情報処理装置１０ｂ－２から受信した署名を、情報処理装置１０ｂ－２から受信した証明書に基づいて検証する。情報処理装置１０ｂ－１は、検証が成功すると、その証明書が間違いなく情報処理装置１０ｂ－２のものであると判定する。
情報処理装置１０ｂ－１と情報処理装置１０ｂ－２との間の相互認証が正しく行われると、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２とは、それぞれ暗号化に用いる共通鍵を生成して交換する。

情報処理装置１０ｂ－２から送付された上位装置２２に対して発行された公開鍵とその証明書が、情報処理装置１０ｂ－１に許容される証明書であれば、
情報処理装置１０ｂ－２は、情報処理装置１０ｂ－１から送付された公開鍵とその証明書が、情報処理装置１０ｂ－２に許容される証明書であれば、ハンドシェイクを終了する。

情報処理装置１０ｂ－２は、情報処理装置１０ｂ－１とのハンドシェイクが確立されると、上位装置２２に対し、ＨＴＴＰリクエストを送信する（ステップＳ３０５）。ＨＴＴＰリクエストは、ステップＳ３０１においてＩｏＴ機器２１－１から送信されるＨＴＴＰリクエストである。

情報処理装置１０ｂ－２により送信されたＨＴＴＰリクエストは、上位装置２２により受信される（ステップＳ３０６）。このとき、上位装置２２は、ＩｏＴ機器２１－１からＨＴＴＰリクエストが要求されたと認識する。このため、上位装置２２は、ＩｏＴ機器２１－１に対しするＨＴＴＰレスポンスを応答する（ステップＳ３０７）。上位装置２２が送信したＨＴＴＰレスポンスは、情報処理装置１０ｂ－２により取得される（ステップＳ３０８）。

情報処理装置１０ｂ－２は、取得した上位装置２２からのＨＴＴＰレスポンスを、ステップＳ３０４のハンドシェイクにおいて決定された共通鍵を用いて暗号化する（ステップＳ３０９）。情報処理装置１０ｂ－２により暗号化されたＨＴＴＰレスポンスは、ネットワークＮＷ１を介して情報処理装置１０ｂ－１に受信される（ステップＳ３１０）。情報処理装置１０ｂ－１は、受信したＨＴＴＰレスポンスを、共通鍵を用いて復号する（ステップＳ３１１）。情報処理装置１０ｂ－１により復号されたＨＴＴＰレスポンスは、ＩｏＴ機器２１－１に取得される（ステップＳ３１２）。ＩｏＴ機器２１－１は、復号されたＨＴＴＰレスポンスを受信する（ステップＳ３１３）。このとき、ＩｏＴ機器２１－１は、上位装置２２からＨＴＴＰレスポンスが応答されたと認識する。このため、ＩｏＴ機器２１－１は、上位装置２２に対し、撮像データを送信する（ステップＳ３１４）。

ＩｏＴ機器２１－１が送信した撮像データは、情報処理装置１０ｂ－１により取得される（ステップＳ３１５）。情報処理装置１０ｂ－１は、ＩｏＴ機器２１－１により送信された撮像データを、共通鍵を用いて暗号化する（ステップＳ３１６）。情報処理装置１０ｂ－１により暗号化された撮像データは、ネットワークＮＷ１を介して情報処理装置１０ｂ－２に受信される（ステップＳ３１７）。

情報処理装置１０ｂ－２は、受信した撮像データを、共通鍵を用いて復号する（ステップＳ３１８）。情報処理装置１０ｂ－２により復号された撮像データは、上位装置２２にとり取得される（ステップＳ３１９）。上位装置２２は、復号された撮像データを受信する（ステップＳ３２０）。このとき、上位装置２２は、ＩｏＴ機器２１－１からの撮像データを受信したと認識する。

なお、上記フローチャートのステップＳ３０４において、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２との間の相互認証が正しく行われなかった場合、情報処理装置１０ｂ－１は、通信先との通信を許可しない。具体的には、情報処理装置１０ｂ－１は、通信先から送信された情報をＩｏＴ機器２１－１に出力しない。相互認証が正しく行われなかった場合、通信先が情報処理装置１０ｂ－２に見せかけた不正な通信装置である可能性があるためである。この場合、情報処理装置１０ｂ－１は、例えば、相互認証が正しく行われなかった場合の通信記録を管理装置３０ａに送信するようにしてもよい。これより、管理装置３０ａは、相互認証が正しく行われなかった場合の通信記録を取得することができ、管理下にある情報処理装置１０ｂ－１に対する不正な通信のパターンや頻度を把握することで、ネットワークＮＷ１の異常を監視することができる。

また、情報処理装置１０ｂ－１は、上記図１９に示すステップＳ３０４において行われるハンドシェイクにおいて相互認証の代わりにＩｏＴ機器２１－１に対する通信を許可する通信機器の情報を示す送信先リストに基づいて、通信先との通信を許可するか否かを判定するようにしてもよい。送信先リストに示される通信機器の情報は、例えばＵＲＬ（Uniform Resource Locator）である。情報処理装置１０ｂ－１の情報処理部１５ｂは、通信先のＵＲＬが送信先リストに登録されているＵＲＬである場合に当該通信先との通信を許可し、送信先リストに登録されていない場合には通信を許可しない。

また、情報処理部１５ｂは、送信先リストを更新するようにしてもよい。情報処理部１５ｂは、例えば、一定期間にＩｏＴ機器２１－１に対する通信を許可された通信先のＵＲＬ、及び許可されなかった通信先ＵＲＬを記憶させる。そして、情報処理部１５ｂは、例えば、送信先リストに登録されたＵＲＬのうち、一定期間に通信が行われた通信先のＵＲＬを再度登録する等することにより送信先リストを更新する。あるいは、情報処理装置１０ｂ－１は、一定期間に通信を許可された通信先ＵＲＬ、及び許可されなかった通信先ＵＲＬを管理装置３０ａに送信するようにしてもよい。この場合、例えば、管理装置３０ａは、情報処理装置１０ｂ－１と通信を行った通信先ＵＲＬに基づいて、送信先リストを更新するようにしてもよい。管理装置３０ａにより送信先リストが更新されることで、管理装置３０ａが管理下にある情報処理装置１０ｂ－１と通信する通信機器を一括して管理することができる。

また、情報処理装置１０ｂ－１は、上記図１９に示すステップＳ３０４において行われるハンドシェイクが確立した後にＩｏＴ機器２１－１に対して送信された情報（例えば、ファームウェアの更新プログラム）の内容が正しいか否かの検証を行うようにしてもよい。例えば、情報処理装置１０ｂ－１の情報処理部１５ｂは、ネットワークＮＷ１を介してＩｏＴ機器２１－１のファームウェアの更新プログラムが送信された場合、検証用の鍵（検証鍵）を用いて検証する。この場合、管理装置３０ａは、例えば、情報処理装置１０ｂ－１及び情報処理装置１０ｂ－２それぞれに検証鍵を送信するようにしてもよい。

例えば、情報処理装置１０ｂ－２は、ＩｏＴ機器２１－１へ送信する情報（平文）からハッシュ値を生成し、生成したハッシュ値を検証鍵で暗号化する。そして、情報処理装置１０ｂ－２は、平文と暗号化したハッシュ値をさらに秘密鍵で暗号してＩｏＴ機器２１－１へ送信する。また、情報処理装置１０ｂ－１は共通鍵を用いて情報を復号化し、平文と暗号化されたハッシュ値とを取得する。

また、情報処理装置１０ｂ－１は、取得した平文からハッシュ値を生成するとともに、暗号化されたハッシュ値を検証鍵で復号する。情報処理装置１０ｂ－１は、平文から生成したハッシュ値と、復号化したハッシュ値とが等しい値である場合、ＩｏＴ機器２１－１に対して送信された情報は正しい内容であると判定する。この場合、情報処理装置１０ｂ－１は、復号した情報（平文）をＩｏＴ機器２１－１に出力する。一方、情報処理装置１０ｂ－１は、平文から生成したハッシュ値と復号化したハッシュ値が等しい値でない場合、ＩｏＴ機器２１－１に対して送信された情報は、上位装置２２又は情報処理装置１０ｂ－２に見せかけた不正な通信装置から送信された不正な情報である可能性があると判定する。この場合、情報処理装置１０ｂ－１は、復号した情報（平文）をＩｏＴ機器２１－１に出力しない。

これにより、ＩｏＴ機器２１－１は、検証済みである正しい内容であることが検証された情報のみを受け取ることができる。また、通常、ＩｏＴ機器２１－１がファームウェアを更新する際の更新プログラムの内容が正しいか否かの判定を行うと考えられるが、ＩｏＴ機器２１－１に代わり情報処理装置１０ｂ－２がＩｏＴ機器２１－１に対して送信された情報の内容を検証することにより、ＩｏＴ機器２１－１の処理負担を軽減させることが可能となる。
なお、本実施形態における情報処理装置１０ｂの縮退機能の動作については、上述した第１の実施形態と同様であるため、ここではその説明えお省略する。

以上説明したように、本実施形態による情報処理システム１ｂは、ＩｏＴ機器２１－１とネットワークＮＷ１との間に接続される情報処理装置１０ｂ－１と、ＩｏＴ機器２１－１とネットワークＮＷ１との間に接続される情報処理装置１０ｂ－２と、を備える。情報処理装置１０ｂ－１は、ＩＣカード４０と、情報処理部１５ｂを有する。情報処理部１５ｂは、ＩＣカード４０に、相互認証と暗号化復号処理とのうち少なくとも一方の処理を依頼し、暗号化された情報を情報処理装置１０ｂ－２に送信し、復号された情報をＩｏＴ機器２１－１に送信する。情報処理装置１０ｂ－２は、ＩＣカード４０と、情報処理部１５ｂを有する。情報処理部１５ｂは、ＩＣカード４０に、相互認証と暗号化復号処理とのうち少なくとも一方の処理を依頼し、暗号化された情報を情報処理装置１０ｂ－２に送信し、復号された情報を上位装置２２に送信する。この場合、情報処理装置１０ｂの情報処理部１５ｂは、ＩＣカード４０に相互認証の処理のみをさせてもよいし、暗号化復号処理のみをさせてもよいし、相互認証と暗号化復号処理との両方の処理をさせてもよい。

これにより、本実施形態による情報処理システム１ｂは、例えば、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる。情報処理装置１０ｂ－１から上位装置２２に対して送信されたＨＴＴＰプロトコルの撮像データ（いわゆる平文）が、情報処理装置１０ｂ－１により、例えば、ＳＳＬ／ＴＬＳプロトコルと組み合わされて、安全性が向上されたＨＴＴＰＳに置き換えられるためである。また、上位装置２２からＩｏＴ機器２１－１に対して送信された制御データは、暗号化されるが、情報処理装置１０ｂ－１により復号されて、ＩｏＴ機器２１－１に受信されるため、ＩｏＴ機器２１－１に復号させる処理を行わせる必要がなく、既存の装置を変更することなくそのまま利用することができる。

また、本実施形態による情報処理システム１ｂでは、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２とが相互認証を行うため、いずれか一方方向のみの認証を行う場合よりも安全性を向上させることができる。一般的なクライアント端末とサーバ端末においては、サーバ端末に対して不特定多数のクライアント端末が通信を行うため、当該不特定多数のクライアント端末に対して正当なクライアント証明書を発行して管理し続けることは現実的ではない。しかしながら、社会インフラシステムにおいては、ＩｏＴ機器２１－１と上位装置２２との関係は明確に特定されている。このため、情報処理装置１０ｂ－１と情報処理装置１０ｂ－２とが相互認証を行うことが可能であり、安全性を向上させることができる。

また、本実施形態において、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。また、ＩｏＴ機器２１－１（クライアント装置）と上位装置２２（サーバ装置）との間における双方向の通信のうち一方の方向の通信のみをＳＳＬ／ＴＬＳプロトコルを用いた通信としてもよい。また、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。

また、ＳＳＬ／ＴＬＳプロトコルを用いた通信を常時行うようにすることで、情報処理装置１０ｂにより認証された正当な情報処理装置１０ｂとは異なる装置からの通信を遮断することができる。このため、ＩｏＴ機器２１－１（クライアント装置）や上位装置２２（サーバ装置）に対する不正なアクセスや、ＩｏＴ機器２１－１（クライアント装置）や上位装置２２（サーバ装置）がマルウェアに感染することを抑止することができる。

また、本実施形態の情報処理システム１ｂにおいて、情報処理装置１０ｂは、定期的に、自装置が接続されているＩｏＴ機器２１－１（クライアント装置）又は上位装置２２（サーバ装置）との接続が維持されているか否かを確認するようにしてもよい。この場合、管理装置３０ａに接続状態を示す情報が送信されるようにしてもよい。管理装置３０ａは、情報処理装置１０ｂから接続状態を示す情報が受信できない場合などには、情報処理装置１０ｂがＩｏＴ機器２１－１（クライアント装置）又は上位装置２２（サーバ装置）から切り離された判断し、当該切り離された情報処理装置１０ｂを無効とする。こうすることで管理装置３０ａは、切り離された情報処理装置１０ｂが不正な装置に接続されてなりすましに悪用されることを抑制する。

また、本実施形態の情報処理システム１ｂにおいて、上位装置２２（サーバ装置）や管理装置３０ａ等から、情報処理装置１０ｂを介して、ＩｏＴ機器２１－１（クライアント装置）のプログラムを更新させるようにしてもよい。情報処理装置１０ｂを介してプログラムの更新（ファームウェアのアップデート）が行われることにより、安全にＩｏＴ機器２１－１（クライアント装置）の機能を更新させることができる。このように上位装置２２（サーバ装置）からＩｏＴ機器２１－１（クライアント装置）に対してファームウェアが送信される場合、上位装置２２（サーバ装置）から送信されるファームウェアには、例えば情報処理装置１０ｂ－２（サーバ側通信制御装置）により暗号化された上位装置２２（サーバ装置）の署名が付与される。

この場合、ＩｏＴ機器２１－１（クライアント装置）では、情報処理装置１０ｂ－１（クライアント側通信制御装置）により署名が復号されることにより、送信されたファームウェアが間違いなく上位装置２２（サーバ装置）から送信されたファームウェアであると判定することができる。これにより、あたかも上位装置２２（サーバ装置）であるかのように装う不正な端末から、不正なファームウェアがＩｏＴ機器２１－１（クライアント装置）に送信されてしまった場合であっても、ＩｏＴ機器２１－１（クライアント装置）に対し不正なファームウェアに基づく誤った更新がなされてしまうことを排除することができる。

また、本実施形態の情報処理システム１ｂにおいて、上位装置２２（サーバ装置）や管理装置３０ａ等から、情報処理装置１０ｂを介して、ＩｏＴ機器２１－１（クライアント装置）の起動や停止を行ってもよい。情報処理装置１０ｂを介して起動や停止（リモートアクティベーション）が行われることにより、安全にＩｏＴ機器２１－１（クライアント装置）の機能を更新させることができ、セキュアな遠隔制御を実現させることができる。

また、本実施形態の情報処理システム１ｂにおいては、ＩｏＴ機器２１－１（クライアント装置）、及び上位装置２２（サーバ装置）が有線により通信する場合を例に説明したが、これに限定されることはない。ＩｏＴ機器２１－１（クライアント装置）、及び上位装置２２（サーバ装置）のうち少なくともいずれかが無線ＬＡＮ等により無線通信を行う装置であってもよい。例えば、ＩｏＴ機器２１－１（クライアント装置）が無線通信により上位装置２２（サーバ装置）と通信を行う場合、情報処理装置１０ｂ－１は、無線による通信機能を有し、ＩｏＴ機器２１－１（クライアント装置）により送信されるデータを暗号化し、暗号化したデータを、無線通信により上位装置２２（サーバ装置）に送信する。

また、本実施形態の情報処理システム１ｂにおいて、情報処理装置１０ｂ－１が情報処理装置１０ｂ－２と通信を行う例を説明したが、情報処理装置１０ｂ－１の通信先はこれに限定されることはない。例えば、情報処理装置１０ｂ－１は、情報処理装置１０ｂ－３と通信を行ってもよい。情報処理装置１０ｂ－１は、情報処理装置１０ｂ－３から通信開始の合図を受信した場合、まず情報処理装置１０ｂ－３との間で相互認証を行い、情報処理装置１０ｂ－３が正当な通信端末であることを確認する。そして、相互認証が正しく行われた場合、情報処理装置１０ｂ－１は、情報処理装置１０ｂ－３から受信した情報をＩｏＴ機器２１－１に出力する。暗号を使用して送信データに認証子が付与されることにより、通信情報の改ざんの検出及び送信者の特定が可能となる。このため、本実施形態の情報処理システム１ｂでは、情報処理装置１０ｂ同士の通信において、「正しい相手から」、「改ざんされていないデータを受け取る」ことを確実にすることができる。

なお、上記の各実施形態において、暗号処理部１５２は、ＨＳＭ（Hardware Security Module）、ＳＡＭ（Secure Application Module）、上述したＩＣカード４０などを使用するようにしてもよい。例えば、暗号処理部１５２は、ＩＣカード４０などを使用して着脱可能に構成されてもよい。

また、上記の各実施形態において、一例として、ＩｏＴ機器２１－１と上位装置２２との間の通信に、情報処理装置１０（１０ａ、１０ｂ）を適用する例を説明したが、これに限定されるものではない。情報処理装置１０（１０ａ、１０ｂ）は、例えば、ＩｏＴ機器２１－１とＩｏＴ機器２１－２との間の通信に、情報処理装置１０（１０ａ、１０ｂ）に適用してもよいし、他の末端装置２０間の通信に適用してもよい。

また、上記の各実施形態において、情報処理部１５（１５ａ、１５ｂ）は、通信情報記憶部１４２が記憶する相手先の情報処理装置１０（１０ａ、１０ｂ）との通信情報に基づいて、パススルーモードであるか否かを検出する例を説明したが、これに限定されるものではない。例えば、通信情報記憶部１４２が、相手先の情報処理装置１０（１０ａ、１０ｂ）が接続されている末端装置２０との通信情報を記憶し、情報処理部１５（１５ａ、１５ｂ）は、末端装置２０との通信情報に基づいて、パススルーモードであるか否かを検出するようにしてもよい。すなわち、情報処理部１５（１５ａ、１５ｂ）は、現在の通信における通信情報が、末端装置２０との通信情報に一致した場合に、相手先の情報処理装置１０（１０ａ、１０ｂ）がパススルーモードになったと判定するようにしてもよい。

また、情報処理部１５（１５ａ、１５ｂ）は、通信情報記憶部１４２が記憶する通信情報を利用して、例えば、第三者からのなりすましや改ざんなどの攻撃、マルウェアやウイルスの感染、等の異常を検出するようにしてもよい。

また、上記の各実施形態において、複数のパラメータに対応する通信リスクを用いる場合に、情報処理部１５（１５ａ、１５ｂ）が、多数決、又は最も高い通信リスクを全体リスクとして決定する例を説明したが、これに限定されるものではない。情報処理部１５（１５ａ）は、例えば、通信リスクの平均値に基づいて全体リスクを決定してもよいし、重み付けを付加した合計値又は平均値から全体リスクを決定してもよい。

また、上記の各実施形態において、切替部の一例として、フォトリレースイッチ１３を用いる例を説明したが、ノーマリクローズの接続であり、電源の供給が停止した場合に、オン状態を維持できるスイッチであれば、他のスイッチであってもよい。
また、上記の第３の実施形態は、第１の実施形態の情報処理システム１に適用する例を説明したが、第２の実施形態に適用するようにしてもよい。

以上説明した少なくともひとつの実施形態によれば、少なくとも通信Ｉ／Ｆ部１１が末端装置２０から情報を受信した場合に、受信した情報を暗号化して通信Ｉ／Ｆ部１２を介してネットワークＮＷ１に送信し、少なくとも通信Ｉ／Ｆ部１２がネットワークＮＷ１から情報を受信した場合に、受信した情報を復号して通信Ｉ／Ｆ部１１を介して末端装置２０に送信する情報処理部１５と、情報処理部１５が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、通信Ｉ／Ｆ部１１の末端装置２０との通信線と、通信Ｉ／Ｆ部１２のネットワークＮＷ１との通信線とを直接接続し、末端装置２０とネットワークＮＷ１との間で、情報処理部１５を介さずに直接通信するパススルーモードに切り替えるフォトリレースイッチ１３（切替部）とを持つことにより、セキュリティを確保しつつ、可用性を向上させることができる。

上記実施形態は、以下のように表現することができる。
ネットワークに接続される末端の装置である末端装置に接続し、前記末端装置との間で通信可能な第１通信部と、
ネットワークに接続し、前記ネットワークを介して前記ネットワークに接続された装置と通信可能な第２通信部と、
少なくともコンピュータが実行可能なプログラムを記憶する記憶部と、
前記記憶部に記憶されたプログラムを実行するハードウェアプロセッサと、
前記ハードウェアプロセッサが、少なくとも電源の供給停止を含む動作不能な状態になった場合に、前記第１通信部の前記末端装置との通信線と、前記第２通信部の前記ネットワークとの通信線とを直接接続し、前記末端装置と前記ネットワークとの間で、前記情報処理部を介さずに直接通信するパススルーモードに切り替えるスイッチと、を備え、
前記ハードウェアプロセッサは、前記プログラムを実行することにより、
少なくとも前記第１通信部が前記末端装置から情報を受信した場合に、受信した情報を暗号化して前記第２通信部を介して前記ネットワークに送信し、少なくとも前記第２通信部が前記ネットワークから暗号化された情報を受信した場合に、受信した情報を復号して前記第１通信部を介して前記末端装置に送信する処理を行う
ように構成されている、情報処理装置。

なお、実施形態における情報処理システム１（１ａ）及び情報処理装置１０（１０ａ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述した情報処理システム１（１ａ）及び情報処理装置１０（１０ａ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１，１ａ…情報処理システム、１０，１０－１，１０－２，１０－３，１０ａ，１０ａ－１，１０ａ－２，１０ａ－３，１０ｂ，１０b－１，１０b－２，１０b－３…情報処理装置、１１，１２…通信Ｉ／Ｆ部、１３…フォトリレースイッチ、１４，１４ａ，４０４…記憶部、１５，１５ａ…情報処理部、２０…末端装置、２１－１，２１－２…ＩｏＴ機器、２２…上位装置、３０，３０ａ…管理装置、３１，３１ａ…管理処理部、３２，３２ａ…管理記憶部、３５…リーダライタ、３６…コンタクト部、４０…ＩＣカード、４１…ＩＣモジュール、４２…ＩＣチップ、４３…ＵＡＲＴ、４４…ＣＰＵ、４５…ＲＯＭ、４６…ＲＡＭ、４７…ＥＥＰＲＯＭ、１４１，３２１…通信リスク記憶部、１４２…通信情報記憶部、１４３…通信実績記憶部、１４４，３２２…許容期間記憶部、１５１…認証処理部、１５２…暗号処理部、１５３，１５３ａ…通信制御部、３１１…鍵作成部、３１２…証明書発行部、３１３…証明書更新部、３１４…証明書管理部、３１５…管理部、３２３…鍵情報記憶部、３２４…証明書情報記憶部、４００…通信部、４０１…制御部、４０２…コマンド処理部、４０３…暗号化復号部、４０５…証明書情報記憶部、４０６…秘密情報記憶部、ＮＷ１…ネットワーク

Claims (8)

1. ネットワークに接続される末端の装置である末端装置に接続し、前記末端装置との間で通信可能な第１通信部と、
   ネットワークに接続し、前記ネットワークを介して前記ネットワークに接続された装置と通信可能な第２通信部と、
   少なくとも前記第１通信部が前記末端装置から情報を受信した場合に、受信した情報を暗号化して前記第２通信部を介して前記ネットワークに送信し、少なくとも前記第２通信部が前記ネットワークから暗号化された情報を受信した場合に、受信した情報を復号して前記第１通信部を介して前記末端装置に送信する情報処理部と、
   前記情報処理部が、少なくとも電源の供給停止を含む動作不能な状態になった場合に、前記第１通信部の前記末端装置との通信線と、前記第２通信部の前記ネットワークとの通信線とを直接接続し、前記末端装置と前記ネットワークとの間で、前記情報処理部を介さずに直接通信するパススルーモードに切り替える切替部と、
   備え、
   前記情報処理部は、
   前記ネットワークを介して前記末端装置が通信する相手先の前記末端装置である相手先末端装置と前記ネットワークとの間に接続され、前記第１通信部、前記第２通信部、前記情報処理部、及び前記切替部を備える相手先の情報処理装置が、前記パススルーモードになった場合に、前記相手先の情報処理装置との通信状態に基づいて、所定の期間、前記相手先末端装置との通信を許容し、前記所定の期間の経過後に、前記相手先末端装置との通信を制限する
   情報処理装置。
2. 前記情報処理部は、
   前記通信状態と、通信リスクとを対応付けて記憶する通信リスク記憶部から、前記相手先の情報処理装置に対応する前記通信状態に基づいて取得した、前記相手先末端装置に対する前記通信リスクに基づいて、前記所定の期間を決定する
   請求項１に記載の情報処理装置。
3. 前記通信状態には、前記相手先の情報処理装置との通信実績が含まれ、
   前記情報処理部は、前記通信実績に基づいて、前記所定の期間を決定する
   請求項１又は請求項２に記載の情報処理装置。
4. 前記通信状態には、前記相手先の情報処理装置における前記パススルーモードが解除されるまでの復旧見込み時間が含まれ、
   前記情報処理部は、前記復旧見込み時間に基づいて、前記所定の期間を決定する
   請求項１から請求項３のいずれか一項に記載の情報処理装置。
5. 前記通信状態には、前記ネットワークにおける攻撃の容易性を示す攻撃容易性情報が含まれ、
   前記情報処理部は、前記攻撃容易性情報に基づいて、前記所定の期間を決定する
   請求項１から請求項４のいずれか一項に記載の情報処理装置。
6. 前記情報処理部は、前記相手先の情報処理装置との通信における通信方式、認証方式、及び前記相手先の識別情報のうちの少なくとも１つに基づいて、前記相手先の情報処理装置が前記パススルーモードになったか否かを検出する
   請求項１から請求項５のいずれか一項に記載の情報処理装置。
7. 前記相手先の情報処理装置との通信における通信方式、認証方式、及び前記相手先の識別情報のうちの少なくとも１つを含む通信情報を記憶する通信情報記憶部を備え、
   前記情報処理部は、前記通信情報記憶部が記憶する前記通信情報に基づいて、前記相手先の情報処理装置が前記パススルーモードになったか否かを検出する
   請求項６に記載の情報処理装置。
8. 複数の末端装置と、
   請求項１から請求項７のいずれか一項に記載の情報処理装置であって、前記複数の末端装置のそれぞれと前記ネットワークとの間にそれぞれが接続される複数の情報処理装置と
   を備える情報処理システム。

Images