特許 6676029 中継装置及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6676029

(24)【登録日】2020年3月13日

(45)【発行日】2020年4月8日

(54)【発明の名称】中継装置及びシステム

(51)【国際特許分類】

   G06F 21/31 20130101AFI20200330BHJP

   G09C 1/00 20060101ALI20200330BHJP

   H04L 9/32 20060101ALI20200330BHJP

   G06F 21/60 20130101ALI20200330BHJP

【ＦＩ】

   G06F21/31

   G09C1/00 640E

   H04L9/00 675Z

   G06F21/60 360

【請求項の数】3

【全頁数】17

(21)【出願番号】特願2017-221503(P2017-221503)

(22)【出願日】2017年11月17日

(62)【分割の表示】特願2017-554917(P2017-554917)の分割

【原出願日】2017年6月12日

(65)【公開番号】特開2019-3600(P2019-3600A)

(43)【公開日】2019年1月10日

【審査請求日】2019年9月6日

【早期審査対象出願】

【前置審査】

(73)【特許権者】

【識別番号】509288585

【氏名又は名称】ＱＵＡＤＲＡＣ株式会社

(74)【代理人】

【識別番号】100097102

【弁理士】

【氏名又は名称】吉澤 敬夫

(74)【代理人】

【識別番号】100119301

【弁理士】

【氏名又は名称】蟹田 昌之

(72)【発明者】

【氏名】三露 学

(72)【発明者】

【氏名】日下部 進

【審査官】 青木 重徳

(56)【参考文献】

【文献】 特開２００５−１９８２０５（ＪＰ，Ａ）

【文献】 特開２００３−１４１４６０（ＪＰ，Ａ）

【文献】 特開２０１１−１７６３９５（ＪＰ，Ａ）

【文献】 特開２００９−０５９０６５（ＪＰ，Ａ）

【文献】 国際公開第２０１４／０９１５３５（ＷＯ，Ａ１）

【文献】 米国特許出願公開第２０１６／０１５５１２３（ＵＳ，Ａ１）

【文献】 欧州特許出願公開第０２４３７１９３（ＥＰ，Ａ１）

【文献】 北御門 靖宏 ほか，ＭＯＢＩＫＥを応用したＩＰｓｅｃＧＷ冗長化方式の提案，電子情報通信学会２００９年通信ソサイエティ大会講演論文集２，日本，社団法人電子情報通信学会，２００９年 ９月 １日，Ｂ−６−２７，ｐ．２７

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／３１

Ｇ０６Ｆ ２１／６０

Ｇ０９Ｃ １／００

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

中継装置と、前記中継装置に接続される第１ＳＡＭ及び第２ＳＡＭと、前記中継装置に前記第１ＳＡＭ又は前記第２ＳＡＭを介することなくネットワークを介して接続されるリーダ・ライタと、前記リーダ・ライタとの間で通信を行うユーザ装置と、を備えたシステムにおける前記中継装置であって、
前記第１ＳＡＭから、前記第２ＳＡＭが保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を受信し、
前記リーダ・ライタからレスポンスを受信した場合であって、前記第１ＳＡＭが前記レスポンスを処理できない場合に、前記暗号鍵を用いて暗号化された認証情報と前記レスポンスとを前記第２ＳＡＭに送信する中継装置。

【請求項2】

中継装置と、前記中継装置に接続される第１ＳＡＭ及び第２ＳＡＭと、前記中継装置にネットワークを介して接続されるリーダ・ライタと、前記リーダ・ライタとの間で通信を行うユーザ装置と、を備えたシステムであって、
前記中継装置は、
前記第１ＳＡＭから、前記第２ＳＡＭが保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を受信し、
前記リーダ・ライタからレスポンスを受信した場合であって、前記第１ＳＡＭが前記レスポンスを処理できない場合に、前記暗号鍵を用いて暗号化された認証情報と前記レスポンスとを前記第２ＳＡＭに送信するシステム。

【請求項3】

第１ＳＡＭ及び第２ＳＡＭと、
リーダ・ライタと、
前記リーダ・ライタとの間で通信を行うユーザ装置と、
前記第１ＳＡＭに接続されるとともに、前記リーダ・ライタに前記第１ＳＡＭを介することなくネットワークを介して接続される第１中継装置と、
前記第２ＳＡＭに接続されるとともに、前記リーダ・ライタと前記第１中継装置とに前記第２ＳＡＭを介することなくネットワークを介して接続される第２中継装置と、を備えたシステムであって、
前記第１中継装置は、
前記第２ＳＡＭが保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を前記第１ＳＡＭから受信し、
前記受信した認証情報を前記第２中継装置に送信し、
前記第２中継装置は、
前記第１中継装置に障害が発生している場合に、前記リーダ・ライタからレスポンスを受信し、前記受信したレスポンスと前記第１中継装置から受信した認証情報とを前記第２ＳＡＭに送信するシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は中継装置及びシステムに関する。

【背景技術】

【0002】

障害発生前にＳＡＭユニットの設定をバックアップしておき、障害発生後に代替のＳＡＭユニットにリストアする装置が提案されている（特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００３−１４０９７４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

従来の装置では、一のＳＡＭユニットや一のサーバの障害発生時に、一のＳＡＭユニットや一のサーバから他のＳＡＭユニットや他のサーバへ処理を直ちに切り替えることができないため、処理が遅延する虞がある。

【課題を解決するための手段】

【0005】

上記の課題は、例えば、次の手段により解決することができる。

【0006】

第１ＳＡＭ及び第２ＳＡＭに接続されるとともに、リーダ・ライタにネットワークを介して接続される中継装置であって、前記第１ＳＡＭから、前記第２ＳＡＭが保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を受信し、前記リーダ・ライタからレスポンスを受信した場合であって、前記第１ＳＡＭが前記レスポンスを処理できない場合に、前記暗号鍵を用いて暗号化された認証情報と前記レスポンスとを前記第２ＳＡＭに送信する中継装置。

【0007】

第１ＳＡＭ及び第２ＳＡＭに接続されるとともに、リーダ・ライタにネットワークを介して接続される中継装置であって、前記第１ＳＡＭ及び第２ＳＡＭそれぞれとの相互認証により第１セッション鍵及び第２セッション鍵をそれぞれ生成し、前記第１セッション鍵を用いて暗号化された認証情報を前記第１ＳＡＭから受信し、前記リーダ・ライタからレスポンスを受信した場合であって、前記第１ＳＡＭが前記レスポンスを処理できない場合に、前記第１ＳＡＭから受信した認証情報を前記第１セッション鍵を用いて復号し、前記復号された認証情報を前記第２セッション鍵を用いて暗号化し、前記第２セッション鍵を用いて暗号化した認証情報と前記レスポンスとを前記第２ＳＡＭに送信する中継装置。

【0008】

上記の中継装置と、前記中継装置に接続される第１ＳＡＭ及び第２ＳＡＭと、前記中継装置にネットワークを介して接続されるリーダ・ライタと、前記リーダ・ライタとの間で通信を行うユーザ装置と、を備えたシステム。

【0009】

第１ＳＡＭに接続されるとともに、リーダ・ライタにネットワークを介して接続される第１中継装置と、第２ＳＡＭに接続されるとともに、前記リーダ・ライタと前記第１中継装置とにネットワークを介して接続される第２中継装置と、を備えたシステムであって、前記第１中継装置は、前記第２ＳＡＭが保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を前記第１ＳＡＭから受信し、前記受信した認証情報を前記第２中継装置に送信し、前記第２中継装置は、前記第１中継装置に障害が発生している場合に、前記リーダ・ライタからレスポンスを受信し、前記受信したレスポンスと前記第１中継装置から受信した認証情報とを前記第２ＳＡＭに送信する中継装置。

【0010】

第１ＳＡＭに接続されるとともに、リーダ・ライタにネットワークを介して接続される第１中継装置と、第２ＳＡＭに接続されるとともに、前記リーダ・ライタと前記第１中継装置とにネットワークを介して接続される第２中継装置と、を備えたシステムであって、前記第１中継装置は、前記第１ＳＡＭとの相互認証により第１セッション鍵を生成し、前記生成した第１セッション鍵を第２中継装置に送信し、前記第１セッション鍵を用いて暗号化された認証情報を前記第１ＳＡＭから受信して、これを前記第２中継装置に送信し、前記第２中継装置は、前記第２ＳＡＭとの相互認証により第２セッション鍵を生成し、前記第１中継装置に障害が発生した場合に、前記リーダ・ライタからレスポンスを受信し、前記第１中継装置から受信した第１セッション鍵で認証情報を復号し、前記復号した認証情報を前記第２セッション鍵で暗号化し、前記第２セッション鍵で暗号化した認証情報と前記レスポンスとを前記第２ＳＡＭに送信する中継装置。

【発明の効果】

【0011】

上記中継装置及びシステムによれば、一のＳＡＭユニットや一のサーバの障害発生時に、一のＳＡＭユニットや一のサーバから他のＳＡＭユニットや他のサーバへ処理を直ちに切り替えることができる。したがって、処理が遅延することを抑制できる。

【図面の簡単な説明】

【0012】

【図1】実施形態１に係るシステム１の模式図である。

【図2】実施形態１に係るシステム１の動作例を示すシーケンス図である。

【図3】実施形態１に係るシステム１の他の動作例を示すシーケンス図である。

【図4】実施形態２に係るシステム２の模式図である。

【図5】実施形態２に係るシステム２の動作例を示すシーケンス図である。

【図6A】実施形態２に係るシステム２の他の動作例を示すシーケンス図である。

【図6B】実施形態２に係るシステム２の他の動作例を示すシーケンス図である。

【発明を実施するための形態】

【0013】

［実施形態１に係るシステム１］
図１は実施形態１に係るシステム１の模式図である。図１に示すように、実施形態１に係るシステム１は、中継装置３２と、中継装置３２に接続される第１ＳＡＭ４２及び第２ＳＡＭ４４と、中継装置３２にネットワーク５０を介して接続されるリーダ・ライタ２２と、リーダ・ライタ２２との間で通信を行うユーザ装置１２と、を備えている。以下、詳細に説明する。

【0014】

（ユーザ装置１２）
ユーザ装置１２には、例えば、ＩＣカードやＩＣカード機能が内蔵されたスマートフォンなどを用いることができる。ユーザ装置１２には、バリューの残高や、ユーザ装置１２と第１ＳＡＭ４２との相互認証により取得された認証情報などが記憶される。バリューの残高には電子マネーの残高やポイントの残高などを用いることができる。相互認証とは２つの装置が互いの正当性を確認する処理をいう。正当性の確認は、例えば、２つの装置にあらかじめ同じ秘密鍵を所持させておき、２つの装置それぞれにおいて、相手装置が自装置と同じ秘密鍵を有しているかどうかを確認することにより行うことができる。相互認証に成功すると、２つの装置それぞれにおいて同一の認証情報が取得され、これが両装置の間で共有される。認証情報は、２つの装置との間で送受信されるデータの暗号化・復号などに用いられる。認証情報にはセッション鍵やトランザクションＩＤなどを用いることができる。第３者の装置は、認証情報を有していないため、２つの装置の間で送受信されるデータを、暗号化や復号することができず、また適切に処理することができない。

【0015】

ユーザ装置１２は、第１ＳＡＭ４２からリーダ・ライタ２２を介してコマンドを受信すると、第１ＳＡＭ４２との相互認証により取得された認証情報を用いてこれを復号などし、コマンドに従う処理を実行する。コマンドとは特定の処理の実行を命じる情報である。コマンドにはバリューの残高の増額、減額、照会などを用いることができる。

【0016】

ユーザ装置１２は、コマンドに従う処理の実行後、第１ＳＡＭ４２との相互認証により取得された認証情報を用いてレスポンスを暗号化などし、リーダ・ライタ２２を介してこれを第１ＳＡＭ４２に送信する。レスポンスとはコマンドに従う処理の実行結果に応じた情報である。レスポンスには、コマンドに従う処理が正常終了、もしくは異常終了したことを示す情報、バリューの残高などを用いることができる。

【0017】

（リーダ・ライタ２２）
リーダ・ライタ２２は、例えば、スーパーマーケットのレジ装置や駅の改札機などである。

【0018】

リーダ・ライタ２２とユーザ装置１２との間の通信は、無線且つ近距離で行なわれる。近距離とは例えば０ｃｍ以上２０ｃｍ以下の距離をいう。リーダ・ライタ２２とユーザ装置１２との間の通信は、近距離無線通信方式（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）などに従って非接触で行なわれてもよいし、ＩＳＯ７８１６などに従って接触して行なわれてもよい。

【0019】

リーダ・ライタ２２と中継装置３２との間の通信は、例えば、パケットを用いて行なわれる。上記したコマンドやレスポンスなどは例えばパケットのペイロードに収容される。

【0020】

（中継装置３２）
中継装置３２には例えばＷｅｂサーバが用いられる。中継装置３２は、第１ＳＡＭ４２及び第２ＳＡＭ４４に接続されるとともに、リーダ・ライタ２２にネットワーク５０を介して接続される。

【0021】

中継装置３２は、第１ＳＡＭ４２から、ユーザ装置１２と第１ＳＡＭ４２との相互認証により取得された認証情報を受信する。この認証情報は、第１ＳＡＭ４２により、第２ＳＡＭ４４が保持する暗号鍵と同一の暗号鍵を用いて暗号化されている。中継装置３２は、リーダ・ライタ２２からレスポンスを受信した場合であって、第１ＳＡＭ４２がレスポンスを処理できない場合に、このリーダ・ライタ２２から受信したレスポンスと、第１ＳＡＭ４２から受信した暗号化されている認証情報と、を第２ＳＡＭ４４に送信する。

【0022】

（第１ＳＡＭ４２）
第１ＳＡＭ４２にはＳＡＭを用いることができる。ＳＡＭとは、Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅの略である。第１ＳＡＭ４２は、ユーザ装置１２との相互認証により認証情報を取得し、これを自装置内に記憶する。また、第１ＳＡＭ４２は、第２ＳＡＭ４４に記憶されている暗号鍵と同じ暗号鍵を自装置内に記憶している。暗号鍵には、Ｔｒｉｐｌｅ−ＤＥＳの秘密鍵、ＡＥＳの秘密鍵、または公開鍵方式のＲＳＡの鍵などを用いることができる。

【0023】

（第２ＳＡＭ４４）
第２ＳＡＭ４４には第１ＳＡＭ４２と同じ種別のＳＡＭを用いることができる。同じ種別のＳＡＭとは、データを処理するアルゴリズムが同じであるＳＡＭをいう。アルゴリズムが同じであるかどうかは、データの処理手順やデータの処理に関するプロトコルが同じであるかどうかにより定めることができる。第２ＳＡＭ４４は、第１ＳＡＭ４２に記憶されている暗号鍵と同じ暗号鍵を自装置内に記憶している。

【0024】

（実施形態１に係るシステム１の動作例）
図２は実施形態１に係るシステム１の動作例を示すシーケンス図である。以下、図２を参照しつつ、実施形態１に係るシステム１の動作例を説明する。

【0025】

（ステップＡ１からＡ３）
まず、ユーザ装置１２と第１ＳＡＭ４２との間で相互認証が行われる（ステップＡ１）。相互認証により、ユーザ装置１２と第１ＳＡＭ４２は認証情報を取得する。取得された認証情報は、ユーザ装置１２と第１ＳＡＭ４２それぞれにおいて記憶される（ステップＡ２、Ａ３）。

【0026】

（ステップＡ４、Ａ５）
次に、第１ＳＡＭ４２は、ユーザ装置１２との相互認証により取得された認証情報を第１ＳＡＭ４２内に記憶される暗号鍵を用いて暗号化し（ステップＡ４）、これを中継装置３２に送信する（ステップＡ５）。第１ＳＡＭ４２は、第２ＳＡＭ４４が用いる暗号鍵と同じ暗号鍵を第１ＳＡＭ４２内に記憶している。

【0027】

（ステップＡ６からＡ８）
次に、第１ＳＡＭ４２は、認証情報を用いてコマンド１を暗号化し、これを中継装置３２に送信する（ステップＡ６）。中継装置３２は第１ＳＡＭ４２から受信した暗号化されているコマンド１をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＡ７、Ａ８）。

【0028】

（ステップＡ９、Ａ１０）
次に、ユーザ装置１２は、ステップＡ３で記憶した認証情報を用いてコマンド１を復号し（ステップＡ９）、コマンド１に従う処理を実行する（ステップＡ１０）。

【0029】

（ステップＡ１１、Ａ１２）
次に、ユーザ装置１２は、コマンド１の実行結果に応じたレスポンス１を、ユーザ装置１２内に記憶されている認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して中継装置３２に送信する（ステップＡ１１、Ａ１２）。

【0030】

（ステップＡ１３、Ａ１４）
次に、中継装置３２はリーダ・ライタ２２から暗号化されているレスポンス１を受信し、これを第１ＳＡＭ４２に送信する（ステップＡ１３）。ここで、第１ＳＡＭ４２には障害が発生しており、例えば、この送信はエラーになる、あるいは、送信はエラーにはならないが、第１ＳＡＭ４２からは何も応答がないものとする。これにより、中継装置３２は、第１ＳＡＭ４２に障害が発生していることを検知し、ステップＡ５で第１ＳＡＭ４２から受信した、暗号鍵を用いて暗号化されている認証情報と、ステップＡ１２でリーダ・ライタ２２から受信した暗号化されているレスポンス１と、を第２ＳＡＭ４４に送信する（ステップＡ１４）。

【0031】

（ステップＡ１５、Ａ１６）
次に、第２ＳＡＭ４４は、中継装置３２から受信した暗号化されている認証情報を第２ＳＡＭ４４内に記憶されている暗号鍵を用いて復号する（ステップＡ１５）。第２ＳＡＭ４４は、復号した認証情報を第２ＳＡＭ４４内に記憶する（ステップＡ１６）。

【0032】

（ステップＡ１７、Ａ１８）
次に、第２ＳＡＭ４４は、第２ＳＡＭ４４内に記憶されている認証情報を用いてユーザ装置１２に関する処理を継続する。具体的には、第２ＳＡＭ４４内に記憶されている認証情報を用いて、ステップＡ１４で中継装置３２から受信した暗号化されているレスポンス１を復号し（ステップＡ１７）、復号したレスポンス１に応じて特定の処理を実行する（ステップＡ１８）。

【0033】

（ステップＡ１９からＡ２６）
以降、第２ＳＡＭ４４は、例えば、コマンド１に続くコマンド２を、第２ＳＡＭ４４内に記憶されている認証情報を用いて暗号化し、中継装置３２に送信してもよい（ステップＡ１９）。

【0034】

この場合、中継装置３２は、第２ＳＡＭ４４から受信した暗号化されているコマンド２をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＡ２０、Ａ２１）。

【0035】

ユーザ装置１２は、ユーザ装置１２内に記憶されている認証情報を用いて、受信した暗号化されているコマンド２を復号し（ステップＡ２２）、復号したコマンド２に従う処理を実行する（ステップＡ２３）。

【0036】

ユーザ装置１２は、コマンド２に従う処理の実行結果に応じたレスポンス２を、ユーザ装置１２内に記憶されている認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して中継装置３２に送信する（ステップＡ２４、Ａ２５）。

【0037】

中継装置３２は受信した暗号化されているレスポンス２を第２ＳＡＭ４４に送信する（ステップＡ２６）。

【0038】

以上説明した実施形態１によれば、第１ＳＡＭ４２の障害発生時に、第１ＳＡＭ４２から第２ＳＡＭユニット４４へ処理を直ちに切り替えることができる。したがって、ユーザ装置１２に関する処理が遅延することを抑制できる。自動的な切り替えであるため、復旧作業などは不要である。

【0039】

前記のとおり、第１ＳＡＭ４２と第２ＳＡＭユニット４４は同じ暗号鍵を保持しており、この同じ暗号鍵を用いて認証情報を暗号化・復号するが、この暗号化・復号は、暗号鍵のみを用いて行なわれてもよいし、暗号鍵に加えて、他の情報を用いて行なわれてもよい。例えば、カード番号などのカード識別情報はそのような他の情報の一例であり、認証情報は、暗号鍵そのものではなく、暗号鍵とカード識別情報とを用いて作成される一時的な暗号鍵により暗号化・復号されてもよい。この場合は、カード識別情報がユーザ装置１２から第１ＳＡＭ４２へ送信され、これが第１ＳＡＭ４２から中継装置３２を介して第２ＳＡＭ４４に送信される。第２ＳＡＭ４４は、第１ＳＡＭ４２から中継装置３２を介して受信したカード識別情報と第２ＳＡＭ４４内に記憶されている暗号鍵を用いて第１ＳＡＭ４２が作成していた一時的な暗号鍵と同一の一時的な暗号鍵を作成し、これを用いて、第１ＳＡＭ４２から中継装置３２を介して受信した暗号化されている認証情報を復号することができる。このように、暗号鍵に加えて、他の情報を用いて暗号化・復号を行うものとすれば、一時的な暗号鍵が流出したとしても、復号できるのは特定のカード識別情報に紐づいたデータのみで、他のデータを復号することはできないため、セキュリティを高めることができる。

【0040】

（実施形態１に係るシステム１の他の動作例）
図３は実施形態１に係るシステム１の他の動作例を示すシーケンス図である。図３に示すように、他の動作例では、中継装置３２は、第１ＳＡＭ４２及び第２ＳＡＭ４４それぞれとの相互認証により第１セッション鍵及び第２セッション鍵をそれぞれ生成し、第１セッション鍵を用いて暗号化された認証情報を第１ＳＡＭ４２から受信する。また、中継装置３２は、リーダ・ライタ２２からレスポンスを受信した場合であって、第１ＳＡＭ４２がレスポンスを処理できない場合に、第１ＳＡＭ４２から受信した認証情報を第１セッション鍵を用いて復号し、復号された認証情報を第２セッション鍵を用いて暗号化し、第２セッション鍵を用いて暗号化した認証情報とレスポンスとを第２ＳＡＭ４４に送信する。以下、詳細に説明する。

【0041】

（ステップＢ１からＢ３）
まず、中継装置３２と第１ＳＡＭ４２との間で相互認証が行われる（ステップＢ１）。相互認証により、中継装置３２と第１ＳＡＭ４２は第１セッション鍵を取得する。取得された第１セッション鍵は、中継装置３２と第１ＳＡＭ４２それぞれにおいて記憶される（ステップＢ２、Ｂ３）。

【0042】

（ステップＢ４からＢ６）
次に、中継装置３２と第２ＳＡＭ４４との間で相互認証が行われる（ステップＢ４）。相互認証により、中継装置３２と第２ＳＡＭ４４は第２セッション鍵を取得する。取得された第２セッション鍵は、中継装置３２と第２ＳＡＭ４４それぞれにおいて記憶される（ステップＢ５、Ｂ６）。

【0043】

（ステップＢ７からＢ９）
次に、ユーザ装置１２と第１ＳＡＭ４２との間で相互認証が行われる（ステップＢ７）。相互認証により、ユーザ装置１２と第１ＳＡＭ４２は認証情報を取得する。取得された認証情報は、ユーザ装置１２と第１ＳＡＭ４２それぞれにおいて記憶される（ステップＢ８、Ｂ９）。

【0044】

（ステップＢ１０、Ｂ１１）
次に、第１ＳＡＭ４２は、ユーザ装置１２との間の相互認証により取得された認証情報を第１ＳＡＭ４２内に記憶される第１セッション鍵を用いて暗号化し（ステップＢ１０）、これを中継装置３２に送信する（ステップＢ１１）。

【0045】

（ステップＢ１２からＢ１４）
次に、第１ＳＡＭ４２は、ステップＢ８で記憶した認証情報を用いてコマンド１を暗号化し、これを中継装置３２に送信する（ステップＢ１２）。中継装置３２は第１ＳＡＭ４２から受信した暗号化されているコマンド１をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＢ１３、Ｂ１４）。

【0046】

（ステップＢ１５、Ｂ１６）
次に、ユーザ装置１２は、ステップＢ９で記憶した認証情報を用いて、暗号化されているコマンド１を復号し（ステップＢ１５）、コマンド１に従う処理を実行する（ステップＢ１６）。

【0047】

（ステップＢ１７、Ｂ１８）
次に、ユーザ装置１２は、コマンド１の実行結果に応じたレスポンス１を、ステップＢ９で記憶した認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して中継装置３２に送信する（ステップＢ１７、Ｂ１８）。

【0048】

（ステップＢ１９からＢ２２）
次に、中継装置３２はリーダ・ライタ２２から暗号化されているレスポンスを受信し、これを第１ＳＡＭ４２に送信する（ステップＢ１９）。ここで、第１ＳＡＭ４２には障害が発生しており、例えば、この送信はエラーになる、あるいは、送信はエラーにはならないが、第１ＳＡＭ４２からは何も応答がないものとする。これにより、中継装置３２は、第１ＳＡＭ４２に障害が発生していることを検知し、ステップＢ１１で第１ＳＡＭ４２から受信した第１セッション鍵を用いて暗号化されている認証情報を、ステップＢ３で記憶した第１セッション鍵を用いて復号する（ステップＢ２０）。そして、復号した認証情報を、ステップＢ６で記憶した第２セッション鍵を用いて暗号化し（ステップＢ２１）、暗号化されているレスポンス１と共に、これを第２ＳＡＭ４４に送信する（ステップＢ２２）。

【0049】

（ステップＢ２３、Ｂ２４）
次に、第２ＳＡＭ４４は、中継装置３２から受信した暗号化されている認証情報を、ステップＢ５で記憶した第２セッション鍵を用いて復号し（ステップＢ２３）、これを第２ＳＡＭ４４内に記憶する（ステップＢ２４）。

【0050】

（ステップＢ２５、Ｂ２５）
次に、第２ＳＡＭ４４は、ステップＢ２４で記憶した認証情報を用いてユーザ装置１２に関する処理を継続する。具体的には、ステップＢ２４で記憶した認証情報を用いて、ステップＢ２２で中継装置３２から受信した暗号化されているレスポンス１を復号し（ステップＢ２５）、復号したレスポンス１に応じて特定の処理を実行する（ステップＢ２６）。

【0051】

（ステップＢ２７からＢ３４）
以降、第２ＳＡＭ４４は、例えば、コマンド１に続くコマンド２を、ステップＢ２４で記憶した認証情報を用いて暗号化し、これを中継装置３２に送信してもよい（ステップＢ２７）。この場合、中継装置３２は、暗号化されているコマンド２をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＢ２８、Ｂ２９）。

【0052】

ユーザ装置１２は、ステップＢ９で記憶した認証情報を用いて、暗号化されているコマンド２を復号し（ステップＢ３０）、復号したコマンド２に従う処理を実行する（ステップＢ３１）。

【0053】

ユーザ装置１２は、コマンド２に従う処理の実行結果に応じたレスポンス２を、ステップＢ９で記憶した認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して中継装置３２に送信する（ステップＢ３２、Ｂ３３）。

【0054】

中継装置３２は受信した暗号化されているレスポンス２を第２ＳＡＭ４４に送信する（ステップＢ３４）。

【0055】

以上説明した他の動作例によっても、先に説明した動作例の場合と同様に、第１ＳＡＭ４２の障害発生時に、第１ＳＡＭ４２から第２ＳＡＭユニット４４へ処理を直ちに切り替えることができる。したがって、ユーザ装置１２に関する処理が遅延することを抑制できる。また、他の動作例による切り替えも自動的に行なわれるため、復旧作業などは不要である。

【0056】

さらに、他の動作例によれば、第１ＳＡＭ４２と中継装置３２の間で送受信される認証情報が第１セッション鍵により暗号化され、第２ＳＡＭ４４と中継装置３２の間で送受信される認証情報が第２セッション鍵により暗号化される。したがって、たとえ第１セッション鍵が第三者に流出したとしても第２ＳＡＭ４４と中継装置３２の間で送受信される認証情報が当該第三者により復号されることはない。同様に、たとえ第２セッション鍵が第三者に流出したとしても第１ＳＡＭ４２と中継装置３２の間で送受信される認証情報が当該第三者により復号されることはない。

【0057】

また、第１セッション鍵や第２セッション鍵はセッションごとに作成される暗号鍵である。したがって、あるセッションの第１セッション鍵や第２セッション鍵が第三者に流出しても、他のセッションにおいて認証情報が当該第三者により復号されることはない。

【0058】

なお、セッションは２装置間の相互認証ごとに設定される時間間隔であり、第１ＳＡＭ４２とユーザ装置１２との間、第２ＳＡＭ４４とユーザ装置１２との間、第１ＳＡＭ４２と中継装置３２との間、第２ＳＡＭ４４と中継装置３２との間、それぞれに存在する。各セッションは、例えば、所定の処理が完了した際に終了するほか、所定の時間（例：６０秒あるいは６０秒以上の所定の時間）が経過した後に終了する。一のセッションが終了すると、２装置間で取得されたセッション鍵などの認証情報は無効になる。第１ＳＡＭ４２や第２ＳＡＭ４４は、一のセッションが終了すると、中継装置３２との間で再び相互認証を行って、新たなセッション鍵などの認証情報を作成し、新たなセッションを開始する。

【0059】

［実施形態２に係るシステム２］
図４は実施形態２に係るシステム２の模式図である。図４に示すように、実施形態２に係るシステム２は、第１ＳＡＭ４２に接続される第１中継装置３４と、第２ＳＡＭ４４に接続される第２中継装置３６と、を備えるとともに、第１中継装置３４がリーダ・ライタ２２にネットワーク５０を介して接続され、第２中継装置３６が、リーダ・ライタ２２と第１中継装置３４とにネットワーク５０を介して接続される点で、実施形態１に係るシステム１と相違する。また、実施形態２に係るシステム２は、第１中継装置３４が、第２ＳＡＭ４４が保持する暗号鍵と同一の暗号鍵を用いて暗号化された認証情報を第１ＳＡＭ４２から受信し、受信した認証情報を第２中継装置３６に送信し、第２中継装置３６が、第１中継装置３４に障害が発生している場合に、リーダ・ライタ２２からレスポンスを受信し、受信したレスポンスと第１中継装置３４から受信した認証情報とを第２ＳＡＭ４４に送信する点で、実施形態１に係るシステム１と相違する。その他の点では実施形態１と同じ構成を有する。

【0060】

（実施形態２に係るシステム２の動作例）
図５は実施形態２に係るシステム２の動作例を示すシーケンス図である。以下、図５を参照しつつ、実施形態２に係るシステム２の動作例を説明する。

【0061】

（ステップＣ１からＣ３）
まず、ユーザ装置１２と第１ＳＡＭ４２との間で相互認証が行われる（ステップＣ１）。相互認証により、ユーザ装置１２と第１ＳＡＭ４２は認証情報を取得する。取得された認証情報は、ユーザ装置１２と第１ＳＡＭ４２それぞれにおいて記憶される（ステップＣ２、Ｃ３）。

【0062】

（ステップＣ４からＣ７）
次に、第１ＳＡＭ４２は、ユーザ装置１２との間で相互認証により取得された認証情報を第１ＳＡＭ４２内に記憶される暗号鍵を用いて暗号化し（ステップＣ４）、これを第１中継装置３４に送信する（ステップＣ５）。第１中継装置３４は第１ＳＡＭ４２から受信した暗号化されている認証情報を第２中継装置３６に送信し（ステップＣ６）、第２中継装置３６が受信した暗号化されている認証情報を記憶する（ステップＣ７）。第１ＳＡＭ４２は、第２ＳＡＭ４４が用いる暗号鍵と同じ暗号鍵を第１ＳＡＭ４２内に記憶しているものとする。

【0063】

（ステップＣ８からＣ１０）
次に、第１ＳＡＭ４２は、認証情報を用いてコマンド１を暗号化し、これを中継装置３２に送信する（ステップＣ８）。中継装置３２は第１ＳＡＭ４２から受信した暗号化されているコマンド１をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＣ９、Ｃ１０）。

【0064】

（ステップＣ１１、Ｃ１２）
次に、ユーザ装置１２は、ステップＣ３で記憶した認証情報を用いてコマンド１を復号し（ステップＣ１１）、コマンド１に従う処理を実行する（ステップＣ１２）。

【0065】

（ステップＣ１３−Ｃ１６）
次に、ユーザ装置１２は、コマンド１の実行結果に応じたレスポンス１を、ユーザ装置１２内に記憶されている認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して中継装置３４に送信する（ステップＣ１３、Ｃ１４）。ここで、第１中継装置３４には障害が発生しており、例えば、この送信はエラーになる、あるいは、送信はエラーにはならないが、第１中継装置３４からは何も応答がないものとする。これにより、リーダ・ライタ２２は、第１中継装置３４に障害が発生していることを検知し、ステップＣ１３でユーザ装置１２から受信した暗号化されているレスポンス１を第２中継装置３６に送信する（ステップＣ１５）。第２中継装置３６は受信した暗号化されているレスポンス１とステップＣ７で記憶した暗号化されている認証情報を第２ＳＡＭ４４に送信する（ステップＣ１６）。

【0066】

（ステップＣ１７、Ｃ１８）
次に、第２ＳＡＭ４４は、第２中継装置３６から受信した暗号化されている認証情報を第２ＳＡＭ４４内に記憶されている暗号鍵を用いて復号する（ステップＣ１７）。第２ＳＡＭ４４は、復号した認証情報を第２ＳＡＭ４４内に記憶する（ステップＣ１８）。

【0067】

（ステップＣ１９、Ｃ２０）
次に、第２ＳＡＭ４４は、第２ＳＡＭ４４内に記憶されている認証情報を用いてユーザ装置１２に関する処理を継続する。具体的には、第２ＳＡＭ４４内に記憶されている認証情報を用いて、ステップＣ１６で第２中継装置３６から受信した暗号化されているレスポンス１を復号し（ステップＣ１９）、復号したレスポンス１に応じて特定の処理を実行する（ステップＣ２０）。

【0068】

（ステップＣ２１からＣ２８）
以降、第２ＳＡＭ４４は、例えば、コマンド１に続くコマンド２を、第２ＳＡＭ４４内に記憶されている認証情報を用いて暗号化し、第２中継装置３６に送信してもよい（ステップＣ２１）。この場合、第２中継装置３６は、第２ＳＡＭ４４から受信した暗号化されているコマンド２をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＣ２２、Ｃ２３）。

【0069】

ユーザ装置１２は、ユーザ装置１２内に記憶されている認証情報を用いて、受信した暗号化されているコマンド２を復号し（ステップＣ２４）、復号したコマンド２に従う処理を実行する（ステップＣ２５）。

【0070】

ユーザ装置１２は、コマンド２に従う処理の実行結果に応じたレスポンス２を、ユーザ装置１２内に記憶されている認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して第２中継装置３６に送信する（ステップＣ２６、Ｃ２７）。

【0071】

第２中継装置３６は受信した暗号化されているレスポンス２を第２ＳＡＭ４４に送信する（ステップＣ２８）。

【0072】

以上説明した実施形態２によれば、第１中継装置３４の障害発生時に、第１中継装置３４から第２中継装置３６へ処理を直ちに切り替えることができる。したがって、ユーザ装置１２に関する処理が遅延することを抑制できる。自動的な切り替えであるため、復旧作業などは不要である。

【0073】

なお、実施形態１で説明したのと同様に、暗号鍵を用いた認証情報の暗号化・復号は、暗号鍵のみを用いて行なわれてもよいし、暗号鍵に加えて、他の情報を用いて行なわれてもよい。この場合は、カード識別情報などの他の情報がユーザ装置１２から第１ＳＡＭ４２へ送信され、これが第１ＳＡＭ４２から第１中継装置３４、第２中継装置３６を介して第２ＳＡＭ４４に送信される。第２ＳＡＭ４４は、第１ＳＡＭ４２から第１中継装置３４と第２中継装置を介して受信した他の情報と第２ＳＡＭ４４内に記憶されている暗号鍵を用いて第１ＳＡＭ４２が作成していた一時的な暗号鍵と同一の一時的な暗号鍵を作成し、これを用いて、第１ＳＡＭ４２から第１中継装置３４と第２中継装置３６を介して受信した暗号化されている認証情報を復号することができる。

【0074】

（実施形態２に係るシステム２の他の動作例）
図６Ａと図６Ｂは実施形態２に係るシステム２の他の動作例を示すシーケンス図である。図６Ａ、図６Ｂに示すように、他の動作例では、第１中継装置３４が、第１ＳＡＭ４２との相互認証により第１セッション鍵を生成し、生成した第１セッション鍵を第２中継装置３６に送信し、第１セッション鍵を用いて暗号化された認証情報を第１ＳＡＭ４２から受信して、これを第２中継装置３６に送信する。また、第２中継装置３６が第２ＳＡＭ４４との相互認証により第２セッション鍵を生成し、第１中継装置３４に障害が発生した場合に、リーダ・ライタ２２からレスポンスを受信し、第１中継装置３４から受信した第１セッション鍵で認証情報を復号し、復号した認証情報を第２セッション鍵で暗号化し、第２セッション鍵で暗号化した認証情報とレスポンスとを第２ＳＡＭ４４に送信する。以下、詳細に説明する。

【0075】

（ステップＤ１からＤ５）
まず、第１中継装置３４と第１ＳＡＭ４２との間で相互認証が行われる（ステップＤ１）。相互認証により、第１中継装置３４と第１ＳＡＭ４２は第１セッション鍵を取得する。取得された第１セッション鍵は、第１中継装置３４と第１ＳＡＭ４２それぞれにおいて記憶されるとともに（ステップＤ２、Ｄ３）、第１中継装置３４から第２中継装置３６に送信され（ステップＤ４）、第２中継装置３６にて記憶される（ステップＤ５）。

【0076】

（ステップＤ６からＤ１０）
次に、第２中継装置３６と第２ＳＡＭ４４との間で相互認証が行われる（ステップＤ６）。相互認証により、第２中継装置３６と第２ＳＡＭ４４は第２セッション鍵を取得する。取得された第２セッション鍵は、第２中継装置３６と第２ＳＡＭ４４それぞれにおいて記憶されるとともに（ステップＤ７、Ｄ８）、第２中継装置３６から第１中継装置３４に送信され（ステップＤ９）、第１中継装置３４にて記憶される（ステップＤ１０）。

【0077】

（ステップＤ１１からＤ１３）
次に、ユーザ装置１２と第１ＳＡＭ４２との間で相互認証が行われる（ステップＤ１１）。相互認証により、ユーザ装置１２と第１ＳＡＭ４２は認証情報を取得する。取得された認証情報は、ユーザ装置１２と第１ＳＡＭ４２それぞれにおいて記憶される（ステップＤ１２、Ｄ１３）。

【0078】

（ステップＤ１４からＤ１７）
次に、第１ＳＡＭ４２は、ユーザ装置１２との間の相互認証により取得された認証情報を第１ＳＡＭ４２内に記憶される第１セッション鍵を用いて暗号化し（ステップＤ１４）、これを第１中継装置３４に送信する（ステップＤ１５）。第１中継装置３４は受信した暗号化されている認証情報を第２中継装置３６に送信し（ステップＤ１６）、第２中継装置３６は受信した暗号化されている認証情報を第２中継装置３６内に記憶する（ステップＤ１７）。

【0079】

（ステップＤ１８からＤ２０）
次に、第１ＳＡＭ４２は、コマンド１をステップＤ１２で記憶した認証情報を用いて暗号化し、これを第１中継装置３４に送信する（ステップＤ１８）。第１中継装置３４は第１ＳＡＭ４２から受信した暗号化されているコマンド１をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＤ１９、Ｄ２０）。

【0080】

（ステップＤ２１、Ｄ２２）
次に、ユーザ装置１２は、ステップＤ１３で記憶した認証情報を用いて、暗号化されているコマンド１を復号し（ステップＤ２１）、コマンド１に従う処理を実行する（ステップＤ２２）。

【0081】

（ステップＤ２３からＤ２５）
次に、ユーザ装置１２は、コマンド１の実行結果に応じたレスポンス１を、ステップＤ１３で記憶した認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して第１中継装置３４に送信する（ステップＤ２３、Ｄ２４）。ここで、第１中継装置３４には障害が発生しており、例えば、この送信はエラーになる、あるいは、送信はエラーにはならないが、第１中継装置３４からは何も応答がないものとする。これにより、リーダ・ライタ２２は、第１中継装置３４に障害が発生していることを検知し、暗号化されているレスポンス１を第２中継装置３６に送信する（ステップＤ２５）。

【0082】

（ステップＤ２６からＤ２８）
次に、第２中継装置３６は、ステップＤ１７で記憶した暗号化されている認証情報を、ステップＤ５で記憶した第１セッション鍵で復号する。また、第２中継装置３６は復号した認証情報をステップＤ８で記憶した第２セッション鍵で暗号化する（ステップＤ２７）。第２中継装置３６は、第２セッション鍵で暗号化された認証情報と、リーダ・ライタ２２から受信した暗号化されているレスポンス１を第２ＳＡＭ４４に送信する（ステップＤ２８）。

【0083】

（ステップＤ２９からＤ３０）
次に、第２ＳＡＭ４４は、第２中継装置３６から受信した暗号化されている認証情報を、ステップＤ７で記憶した第２セッション鍵を用いて復号し（ステップＤ２９）、これを第２ＳＡＭ４４内に記憶する（ステップＤ３０）。

【0084】

（ステップＤ３１、Ｄ３２）
次に、第２ＳＡＭ４４は、ステップＤ３０で記憶した認証情報を用いてユーザ装置１２に関する処理を継続する。具体的には、ステップＤ３０で記憶した認証情報を用いて、ステップＤ２８で第２中継装置３６から受信した暗号化されているレスポンス１を復号し（ステップＤ３１）、復号したレスポンス１に応じて特定の処理を実行する（ステップＤ３２）。

【0085】

（ステップＤ３３からＤ４０）
以降、第２ＳＡＭ４４は、例えば、コマンド１に続くコマンド２を、ステップＤ３０で記憶した認証情報を用いて暗号化し、これを第２中継装置３６に送信してもよい（ステップＤ３３）。この場合、第２中継装置３６は、暗号化されているコマンド２をリーダ・ライタ２２を介してユーザ装置１２に送信する（ステップＤ３４、Ｄ３５）。

【0086】

ユーザ装置１２は、ステップＤ１３で記憶した認証情報を用いて、暗号化されているコマンド２を復号し（ステップＤ３６）、復号したコマンド２に従う処理を実行する（ステップＤ３７）。

【0087】

ユーザ装置１２は、コマンド２に従う処理の実行結果に応じたレスポンス２を、ステップＤ１３で記憶した認証情報を用いて暗号化し、これをリーダ・ライタ２２を介して第２中継装置３６に送信する（ステップＤ３８、Ｄ３９）。

【0088】

第２中継装置３６は受信した暗号化されているレスポンス２を第２ＳＡＭ４４に送信する（ステップＤ４０）。

【0089】

以上説明した他の動作例によっても、先に説明した動作例の場合と同様に、第１中継装置４４の障害発生時に、第１中継装置４４から第２中継装置４６へ処理を直ちに切り替えることができる。したがって、ユーザ装置１２に関する処理が遅延することを抑制できる。また、他の動作例による切り替えも自動的に行なわれるため、復旧作業などは不要である。

【0090】

さらに、他の動作例によれば、第１ＳＡＭ４２と第１中継装置３４の間で送受信される認証情報が第１セッション鍵により暗号化され、第２ＳＡＭ４４と第２中継装置３６の間で送受信される認証情報が第２セッション鍵により暗号化される。したがって、たとえ第１セッション鍵が第三者に流出したとしても第２ＳＡＭ４４と第２中継装置３６の間で送受信される認証情報が当該第三者により復号されることはない。同様に、たとえ第２セッション鍵が第三者に流出したとしても第１ＳＡＭ４２と第１中継装置３４の間で送受信される認証情報が当該第三者により復号されることはない。

【0091】

また、第１セッション鍵や第２セッション鍵はセッションごとに作成される暗号鍵である。したがって、あるセッションの第１セッション鍵や第２セッション鍵が第三者に流出しても、他のセッションにおいて認証情報が当該第三者により復号されることはない。

【0092】

なお、セッションは２装置間の相互認証ごとに設定される時間間隔であり、第１ＳＡＭ４２とユーザ装置１２との間、第２ＳＡＭ４４とユーザ装置１２との間、第１ＳＡＭ４２と第１中継装置３４との間、第２ＳＡＭ４４と第２中継装置３６との間、それぞれに存在する。各セッションは、例えば、所定の処理が完了した際に終了するほか、所定の時間（例：６０秒あるいは６０秒以上の所定の時間）が経過した後に終了する。一のセッションが終了すると、２装置間で取得されたセッション鍵などの認証情報は無効になる。第１ＳＡＭ４２や第２ＳＡＭ４４は、一のセッションが終了すると、第１中継装置３４や第２中継装置３６との間で再び相互認証を行って、新たなセッション鍵などの認証情報を作成し、新たなセッションを開始する。

【0093】

なお、上記したコマンドやレスポンスなどの情報は１つのデータからなるものであってもよいし、複数のデータからなるものであってもよい。また、上記したコマンドやレスポンスなどの情報の送信は１回の送信で送信されてもよいし、複数の送信に分けて送信されてもよい。同様に、上記したコマンドやレスポンスなどの情報の受信は１回の受信で受信されてもよいし、複数の受信に分けて受信されてもよい。また、上記したコマンドやレスポンスなどの情報は単独で送受信されてもよいし、他の情報とともに送信されてもよい。例えば、上記したコマンドやレスポンスなどの情報にヘッダなどの情報を付加して１つまたは複数のパケットを構成し、この１つまたは複数のパケットを送受信することにより、上記したコマンドやレスポンスなどの情報を送受信することとしてもよい。

【0094】

上記のとおり、暗号化や復号は、認証情報や鍵情報や識別情報などの情報を用いて行なわれるが、暗号化や復号のアルゴリズムは特に限定されない。例えば、認証情報を用いたコマンドやレスポンスの暗号化とは、例えば、コマンドやレスポンスに認証情報を乗算するこというが、暗号化のアルゴリズムは乗算に限られるものではない。

【0095】

上記の説明では、システム１、２が第１ＳＡＭ４２と第２ＳＡＭ４４を備えるものとしたが、システム１、２は、第１ＳＡＭ４２と第２ＳＡＭ４４に加えて、第１ＳＡＭ４２や第２ＳＡＭ４４と同様の機能を備える他のＳＡＭなどをさらに備えていてもよい。

【0096】

以上、実施形態について説明したが、これらの説明によって特許請求の範囲に記載された構成は何ら限定されるものではない。

【符号の説明】

【0097】

１、２ システム
１２ ユーザ装置
２２ リーダ・ライタ
３２ 中継装置
３４ 第１中継装置
３６ 第２中継装置
４２ 第１ＳＡＭ
４４ 第２ＳＡＭ
５０ ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6A】

【図6B】