知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】6987571
(24)【登録日】2021年12月3日
(45)【発行日】2022年1月5日
(54)【発明の名称】制御装置
(51)【国際特許分類】
H04L 12/66 20060101AFI20211220BHJP
G06F 21/44 20130101ALI20211220BHJP
G09C 1/00 20060101ALI20211220BHJP
H04L 9/32 20060101ALI20211220BHJP
【ＦＩ】
H04L12/66 B
G06F21/44
G09C1/00 640E
H04L9/00 675A
【請求項の数】4
【全頁数】19
(21)【出願番号】特願2017-162722(P2017-162722)
(22)【出願日】2017年8月25日
(65)【公開番号】特開2019-41288(P2019-41288A)
(43)【公開日】2019年3月14日
【審査請求日】2020年5月22日
(73)【特許権者】
【識別番号】000003562
【氏名又は名称】東芝テック株式会社
(74)【代理人】
【識別番号】100108855
【弁理士】
【氏名又は名称】蔵田 昌俊
(74)【代理人】
【識別番号】100103034
【弁理士】
【氏名又は名称】野河 信久
(74)【代理人】
【識別番号】100075672
【弁理士】
【氏名又は名称】峰 隆司
(74)【代理人】
【識別番号】100153051
【弁理士】
【氏名又は名称】河野 直樹
(74)【代理人】
【識別番号】100179062
【弁理士】
【氏名又は名称】井上 正
(74)【代理人】
【識別番号】100189913
【弁理士】
【氏名又は名称】鵜飼 健
(72)【発明者】
【氏名】福島 孝文
【審査官】
平井 嗣人
(56)【参考文献】
【文献】
特開２０１０−２８３５５３（ＪＰ，Ａ）
(58)【調査した分野】（Int.Cl.，ＤＢ名）
Ｇ０６Ｆ ２１／４４
Ｇ０９Ｃ １／００
Ｈ０４Ｌ ９／３２
１２／２８
１２／４６
１２／６６
(57)【特許請求の範囲】
【請求項1】
ローカルエリアネットワーク内の第１の装置と通信する第１の通信部と、
前記ローカルエリアネットワーク外の第２の装置と通信する第２の通信部と、
前記第１の通信部を通じて前記第１の装置の真正性を確認し、
前記第１の通信部を通じて前記第１の装置が送信するデータを受信し、
前記第１の装置の真正性の確認に成功し前記データの宛先が前記第２の装置である場合、前記第２の通信部を通じて前記データを前記宛先に送信し、
前記第１の装置の真正性の確認に失敗し前記データの宛先が前記第２の装置である場合、前記第１の装置の通信を遮断する、
プロセッサと、
真正性の確認に失敗した第１の装置が所定の期間において送信するデータの、前記第２の装置の１つである宛先を格納する記憶部と、
を備え、
前記プロセッサは、
真正性の確認に失敗した前記第１の装置が送信するデータを受信し、
前記データの宛先が、前記記憶部が格納する宛先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
制御装置。
前記ローカルエリアネットワーク外の第２の装置と通信する第２の通信部と、
前記第１の通信部を通じて前記第１の装置の真正性を確認し、
前記第１の通信部を通じて前記第１の装置が送信するデータを受信し、
前記第１の装置の真正性の確認に成功し前記データの宛先が前記第２の装置である場合、前記第２の通信部を通じて前記データを前記宛先に送信し、
前記第１の装置の真正性の確認に失敗し前記データの宛先が前記第２の装置である場合、前記第１の装置の通信を遮断する、
プロセッサと、
真正性の確認に失敗した第１の装置が所定の期間において送信するデータの、前記第２の装置の１つである宛先を格納する記憶部と、
を備え、
前記プロセッサは、
真正性の確認に失敗した前記第１の装置が送信するデータを受信し、
前記データの宛先が、前記記憶部が格納する宛先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
制御装置。
【請求項2】
前記第１の通信部は、前記ローカルエリアネットワーク内にある複数の装置と通信し、 前記プロセッサは、
前記第１の装置が送信するデータの宛先が前記ローカルエリアネットワーク内の装置である場合、前記第１の通信部を通じて前記データを前記宛先に送信する、
前記請求項１に記載の制御装置。
前記第１の装置が送信するデータの宛先が前記ローカルエリアネットワーク内の装置である場合、前記第１の通信部を通じて前記データを前記宛先に送信する、
前記請求項１に記載の制御装置。
【請求項3】
前記記憶部は、真正性の確認に失敗した第１の装置が所定の期間においてデータを送信する宛先ポートをさらに格納し、
前記プロセッサは、
前記データの宛先及び宛先ポートが、前記記憶部が格納する宛先及び宛先ポートと一致する場合、前記第２の通信部を通じて前記宛先の前記宛先ポートに前記データを送信する、
前記請求項１に記載の制御装置。
前記プロセッサは、
前記データの宛先及び宛先ポートが、前記記憶部が格納する宛先及び宛先ポートと一致する場合、前記第２の通信部を通じて前記宛先の前記宛先ポートに前記データを送信する、
前記請求項１に記載の制御装置。
【請求項4】
前記記憶部は、前記第２の装置の１つである接続先を示すポリシー情報を格納し、
前記プロセッサは、
前記データの宛先が、前記ポリシー情報が格納する接続先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
前記請求項１乃至３の何れか１項に記載の制御装置。
前記プロセッサは、
前記データの宛先が、前記ポリシー情報が格納する接続先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
前記請求項１乃至３の何れか１項に記載の制御装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明の実施形態は、制御装置に関する。
【背景技術】
【0002】
近年、ネットワークに接続するセンサ、カメラ、照明又は空調（いわゆる、ＩｏＴ機器）が提供されている。ＩｏＴ機器は、コスト又は消費電力を抑制するため、強固なセキュリティ対策を行うことができないことがある。そのような場合、ＩｏＴ機器の通信を制御する制御装置は、通信許可リスト又は通信拒否リストを用いてＩｏＴ機器の通信を制御する。
【0003】
従来、制御装置は、オペレータなどの操作に従ってＩｏＴ機器に合わせた通信許可リスト又は通信拒否リストを予め格納する必要があるという課題がある。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２００２−７３５４８号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
上記の課題を解決するために、機器の通信を安全に管理する制御装置を提供する。
【課題を解決するための手段】
【0006】
実施形態によれば、制御装置は、第１の通信部と、第２の通信部と、プロセッサと、記憶部と、を備える。第１の通信部は、ローカルエリアネットワーク内の第１の装置と通信する。第２の通信部は、前記ローカルエリアネットワーク外の第２の装置と通信する。プロセッサは、前記第１の通信部を通じて前記第１の装置の真正性を確認し、前記第１の通信部を通じて前記第１の装置が送信するデータを受信し、前記第１の装置の真正性の確認に成功し前記データの宛先が前記第２の装置である場合、前記第２の通信部を通じて前記データを前記宛先に送信し、前記第１の装置の真正性の確認に失敗し前記データの宛先が前記第２の装置である場合、前記第１の装置の通信を遮断する。記憶部は、真正性の確認に失敗した第１の装置が所定の期間において送信するデータの、前記第２の装置の１つである宛先を格納する。前記プロセッサは、真正性の確認に失敗した前記第１の装置が送信するデータを受信し、前記データの宛先が、前記記憶部が格納する宛先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する。
【図面の簡単な説明】
【0007】
【発明を実施するための形態】
【0008】
以下、実施形態について、図面を参照して説明する。（第１の実施形態）
まず、第１の実施形態について説明する。
実施形態に係る制御システムは、ＩｏＴ機器の通信を制御する。制御システムは、ＩｏＴ機器が行う通信の内容を監視する。制御システムは、ＩｏＴ機器の通信動作が適切であるかをチェックする。制御システムは、ＩｏＴ機器の接続先が不適切である場合、当該ＩｏＴ機器の通信を遮断する。たとえば、制御システムは、商品を販売する店舗に設置される。なお、制御システムが設置させる場所は、特定の構成に限定されるものではない。
【0009】
図１は、実施形態に係る制御システム１の構成例を示すブロック図である。 図１が示すように、制御システム１は、制御装置１０、ＷＡＮ接続装置２０、サーバ３０、ネットワーク４０及び機器Ａ乃至Ｄ（ＩｏＴ機器）などを備える。制御装置１０は、機器Ａ乃至Ｄと互いに接続する。制御装置１０は、ＷＡＮ接続装置２０と互いに接続する。ＷＡＮ接続装置２０は、ネットワーク４０を介してサーバ３０と互いに接続する。
【0010】
制御装置１０は、機器Ａ乃至Ｄ間の通信を制御する。制御装置１０は、機器Ａ乃至Ｄ間でデータ通信を中継する。また、制御装置１０は、機器Ａ乃至Ｄとサーバ３０との間の通信を制御する。制御装置１０は、ＷＡＮ接続装置２０を介して、機器Ａ乃至Ｄとサーバ３０との間でのデータ通信を中継する。
【0011】
制御装置１０は、機器Ａ乃至Ｄとデータを送受信するためのネットワーク（ローカルエリアネットワーク（ＬＡＮ））を形成する。制御装置１０は、機器Ａ乃至Ｄとデータを送受信する。 ＷＡＮ接続装置２０は、ネットワーク４０への接続をサポートする。ＷＡＮ接続装置２０は、制御装置１０からのデータをネットワーク４０に転送する。また、ＷＡＮ接続装置２０は、ネットワーク４０からのデータを制御装置１０に転送する。
【0012】
ネットワーク４０は、制御装置１０とサーバ３０と間などでデータを送受信するための通信網である。たとえば、ネットワーク４０は、インターネットである。また、ネットワーク４０は、独自の通信網であってもよい。
【0013】
サーバ３０（第２の装置）は、制御装置１０が形成するＬＡＮの外部にあるサーバである。即ち、サーバ３０は、ネットワーク４０を介して機器Ａ乃至Ｄに接続する。サーバ３０は、機器Ａ乃至Ｄなどからのデータに基づいて機器Ａ乃至Ｄを管理するものであってもよい。たとえば、サーバ３０は、機器Ａ乃至Ｄなどの動作状態などを管理する。サーバ３０の動作及び目的は、特定の構成に限定されるものではない。
【0014】
機器Ａ乃至Ｄ（第１の装置）は、制御装置１０が形成するＬＡＮに接続する装置である。機器Ａ乃至Ｄは、当該ＬＡＮを介して互いに接続する。また、機器Ａ乃至Ｄは、制御装置１０を介してサーバ３０に互いに接続する。たとえば、機器Ａ乃至Ｄは、ＩｏＴ（Internet of Things）機器である。機器Ａ乃至Ｄは、たとえば、プリンタ、カメラ、マイク、各種センサ、ライト、ドローン又はＰＯＳ端末（point of sale端末）などである。また、機器Ａ乃至Ｄは、ディスクトップＰＣ、ノートＰＣ、タブレットＰＣ、スマートフォン又はウェアラブル端末などであってもよい。機器Ａ乃至Ｄの構成は、特定の構成に限定されるものではない。
【0015】
機器Ａは、ＴＰＭ１０１Ａ（Trusted Platform Module）を備える。 ＴＰＭ１０１Ａは、機器Ａのセキュリティに関する機能を実現するモジュールである。ここでは、ＴＰＭ１０１Ａは、機器Ａの改ざんを検知するために用いられる。たとえば、機器Ａは、起動時などにおいてＴＰＭ１０１Ａを用いて自身の改ざんをチェックする。
【0016】
また、ＴＰＭ１０１Ａは、機器Ａの真正性を証明する証明書を発行するために用いられる。たとえば、ＴＰＭ１０１Ａは、証明書のための暗号鍵などを生成する。機器Ａは、ＴＰＭ１０１Ａを用いて証明書を制御装置１０へ送信する。たとえば、機器Ａは、制御装置１０からのリクエストに対するレスポンスとして証明書を制御装置１０へ送信する。
【0017】
装置Ｂは、ＴＰＭ１０１Ｂを備える。ＴＰＭ１０１Ｂは、ＴＰＭ１０１Ａと同様の構成であるため説明を省略する。
【0018】
なお、制御システム１は、制御装置１０のＬＡＮに接続するＩｏＴ機器として他の機器を備えてもよいし所定の機器を除外してもよい。制御システム１の構成は、特定の構成に限定されるものではない。
【0019】
次に、制御装置１０について説明する。 図２は、制御装置１０の構成例を示すブロック図である。
図２が示すように、制御装置１０は、基本的な構成として、ＭＣＵ１１、ＴＰＭ１２、ＷＡＮ通信部１３、通信制御部１４、通信部１５乃至１８及びストレージ１９などを備える。これらの各部は、データバスを介して互いに接続される。なお、制御装置１０は、図２が示すような構成の他に必要に応じた構成を具備したり、特定の構成を除外したりしてもよい。
【0020】
ＭＣＵ１１（プロセッサ）（Micro Control Unit）は、制御装置１０全体の動作を制御する機能を有する。ＭＣＵ１１は、内部メモリ及び各種のインターフェースなどを備えてもよい。ＭＣＵ１１は、内部メモリ、ＲＯＭ１１１又はストレージ１９などが予め記憶するプログラムを実行することにより種々の処理を実現する。
【0021】
なお、ＭＣＵ１１がプログラムを実行することにより実現する各種の機能のうちの一部は、ハードウエア回路により実現されるものであっても良い。この場合、ＭＣＵ１１は、ハードウエア回路により実行される機能を制御する。
【0022】
ＭＣＵ１１は、ＲＯＭ１１１及びＲＡＭ１１２などを備える。 ＲＯＭ１１１は、予め制御用のプログラム及び制御データなどが記憶された不揮発性のメモリである。ＲＯＭ１１１に記憶される制御プログラム及び制御データは、予め制御装置１０の仕様に応じて組み込まれる。
【0023】
ＲＡＭ１１２は、揮発性のメモリである。ＲＡＭ１１２は、ＭＣＵ１１の処理中のデータなどを一時的に格納する。ＲＡＭ１１２は、ＭＣＵ１１からの命令に基づき種々のアプリケーションプログラムを格納する。また、ＲＡＭ１１２は、アプリケーションプログラムの実行に必要なデータ及びアプリケーションプログラムの実行結果などを格納してもよい。
【0024】
ＴＰＭ１２は、制御装置１０のセキュリティに関する機能を実現するモジュールである。ＴＰＭ１２は、制御装置１０の改ざんを検知するために用いられる。たとえば、制御装置１０は、起動時などにおいてＴＰＭ１２を用いて自身の改ざんをチェックする。
【0025】
また、ＴＰＭ１２は、ストレージ１９に格納するデータを暗号化するための暗号鍵及びストレージ１９に格納されるデータを復号化するための復号鍵を生成する。
【0026】
ＷＡＮ通信部１３（第２の通信部）は、ＷＡＮ接続装置２０とデータを送受信するためのインターフェースである。即ち、ＷＡＮ通信部１３は、ＷＡＮ接続装置２０を介してネットワーク４０（さらに、サーバ３０）に接続するためのインターフェースである。ＷＡＮ通信部１３は、ＭＣＵ１１からの信号に従って所定のデータをＷＡＮ接続装置２０へ送信する。また、ＷＡＮ通信部１３は、ＷＡＮ接続装置２０から受信したデータをＭＣＵ１１へ送信する。 ＷＡＮ通信部１３は、ＬＡＮ接続をサポートするものであってもよい。
【0027】
通信制御部１４は、通信部１５乃至１８とデータを送受信するためのインターフェースである。通信制御部１４は、通信部１５乃至１８からのデータをＭＣＵ１１へ送信する。通信制御部１４は、ＭＣＵ１１からのデータを通信部１５乃至１８へ送信する。
【0028】
通信部１５乃至１８（第１の通信部）は、複数の装置（ここでは、機器Ａ乃至Ｄ）とそれぞれデータを送受信するためのインターフェースである。通信部１５乃至１８は、それぞれ機器Ａ乃至Ｄからのデータを通信制御部１４へ送信する。通信部１５乃至１８は、通信制御部１４からのデータをそれぞれ機器Ａ乃至Ｄへ送信する。 通信部１５乃至１８は、ＬＡＮ接続をサポートするものであってもよい。
【0029】
ストレージ１９（記憶部）は、データの書き込み及び書き換えが可能な不揮発性のメモリである。ストレージ１９は、例えば、ハードディスク、ＳＳＤ、ＥＥＰＲＯＭ（登録商標）又はフラッシュメモリなどにより構成される。ストレージ１９は、制御装置１０の運用用途に応じてプログラム、アプリケーション、及び種々のデータを格納する。
【0030】
ストレージ１９は、暗号化されたデータを格納する。ストレージ１９は、ＴＰＭ１２が生成した暗号鍵などで暗号化されたデータを格納する。
【0031】
ストレージ１９は、真正性確認プログラムを格納する記憶領域１９ａ及び機器情報を格納する記憶領域１９ｂを備える。真正性確認プログラム及び機器情報については、後述する。
【0032】
なお、制御装置１０は、表示部又は操作部を備えてもよい。 制御装置１０は、たとえば、ルータなどであってもよい。また、制御装置１０は、汎用のＰＣであってもよい。汎用のＰＣである場合、制御装置１０は、後述する機能を実行するためのプログラムをインストールしたものであってもよい。
【0033】
また、通信部１５乃至１９は、一体的に形成されてもよい。たとえば、通信部１５乃至１９は、機器Ａ乃至Ｄと無線で通信する通信部であってもよい。
【0034】
次に、機器情報について説明する。 機器情報は、制御装置１０ＬＡＮに接続するＩｏＴ機器（たとえば、機器Ａ乃至Ｄ）のセキュリティに関する情報である。機器情報は、各ＩｏＴ機器に対して設定される。ＭＣＵ１１は、ＩｏＴ機器が通信部１５乃至１８のいずれかに接続すると、当該ＩｏＴ機器に対応する機器情報を生成し記憶領域１９ｂに格納する。
【0035】
機器情報は、ＩｏＴ機器の真正性を示す。即ち、機器情報は、対応するＩｏＴ機器から真正性を証明する証明書を受信したかを示す。
【0037】
機器情報は、「ＭＡＣアドレス」、「ＩＰアドレス」、「接続先」、「真正性」、「使用ポート番号」及び「設置日時」などから構成される。
【0038】
「ＭＡＣアドレス」は、対応するＩｏＴ機器のＭＡＣ（Media Access Control）アドレスを示す。
【0039】
「ＩＰアドレス」は、対応するＩｏＴ機器のＩＰ（Internet Protocol）アドレスを示す。
【0040】
「接続先」は、対応するＩｏＴ機器が接続可能なアドレスを示す。ここでは、「接続先」は、いずれも未設定である。
【0041】
「真正性」は、対応するＩｏＴ機器の真正性を示す。即ち、「真正性」は、ＩｏＴ機器から証明書を受信したかを示す。
【0042】
「使用ポート番号」は、対応するＩｏＴ機器が接続可能なポートを示す。ここでは、「使用ポート番号」は、いずれも未設定である。
【0043】
「設置日時」は、対応するＩｏＴ機器が制御装置１０に接続した日時を示す。
【0044】
なお、機器情報は、図３が示すような構成の他に必要に応じた構成を具備したり、特定の構成を除外したりしてもよい。
【0045】
次に、制御装置１０が実現する機能について説明する。以下の機能は、制御装置１０のＭＣＵ１１がストレージ１９などに格納されるプログラムを実行することで実現される。
【0046】
まず、ＭＣＵ１１は、真正性確認プログラムに従って、接続されたＩｏＴ機器の真正性を確認する機能を有する。 たとえば、ＭＣＵ１１は、起動時において割り込み処理を許可する。ＭＣＵ１１はＩｏＴ機器の接続又は取り外しがあると割り込み処理を開始する。ＭＣＵ１１は、割り込み処理として、ＩｏＴ機器の真正性をチェックする。たとえば、ＭＣＵ１１は、Ｉｏｔ機器が新たに接続されたと判定すると、当該機器の真正性をチェックする。
【0047】
たとえば、ＭＣＵ１１は、自身に新たにＩｏＴ機器が接続されると、当該ＩｏＴ機器に対して証明書を要求するリクエストを送信する。ＭＣＵ１１は、当該ＩｏＴ機器から証明書を受信する。ＭＣＵ１１は、証明書を受信すると、当該ＩｏＴ機器の真正性の確認に成功したと判定する。なお、ＭＣＵ１１は、証明書の検証を行い検証に成功した場合に、当該ＩｏＴ機器の真正性の確認に成功したと判定してもよい。
【0048】
ＭＣＵ１１は、当該ＩｏＴ機器の真正性の確認に成功した判定すると、当該ＩｏＴ機器に対応する機器情報に真正性を確認したことを示す情報を格納する。たとえば、ＭＣＵ１１は、機器情報の「真正性」に「ＯＫ」を格納する。
【0049】
ＭＣＵ１１は、当該ＩｏＴ機器から証明書を受信しない場合、当該ＩｏＴ機器の真正性の確認に失敗したと判定する。ＭＣＵ１１は、当該ＩｏＴ機器の真正性の確認に失敗したと判定すると、当該ＩｏＴ機器に対応する機器情報に真正性の確認に失敗したことを示す情報を格納する。たとえば、ＭＣＵ１１は、機器情報の「真正性」に「ＮＧ」を格納する。
【0050】
また、ＭＣＵ１１は、機器情報に基づいて各ＩｏＴ機器からのデータを管理する機能を有する。 ＭＣＵ１１は、機器情報の「真正性」が「ＯＫ」又は「ＮＧ」のいずれであっても、ＩｏＴ機器を自身が形成する内部ネットワーク（たとえば、ＬＡＮ）の内部の装置（たとえば、機器Ａ乃至Ｄ）に接続する。即ち、ＭＣＵ１１は、ＩｏＴ機器のデータの宛先が通信部１５乃至１８を通じて接続する装置（たとえば、機器Ａ乃至Ｄ）である場合、当該データを当該宛先に送信する。
【0051】
また、ＭＣＵ１１は、機器情報の「真正性」が「ＯＫ」であるＩｏＴ機器をネットワーク４０に接続する。即ち、ＭＣＵ１１は、ＷＡＮ通信部１３を通じて接続する装置（たとえば、サーバ３０）へ接続する。たとえば、ＭＣＵ１１は、当該ＩｏＴ機器のデータの宛先がサーバ３０である場合、当該データをＷＡＮ接続装置２０及びネットワーク４０を介してサーバ３０へ送信する。
【0052】
ＭＣＵ１１は、機器情報の「真正性」が「ＮＧ」であるＩｏＴ機器をネットワーク４０へ接続しない。ＭＣＵ１１は、当該ＩｏＴ機器のデータの宛先がサーバ３０である場合、当該ＩｏＴ機器からネットワーク４０への通信を遮断する。
【0053】
また、ＭＣＵ１１は、ＩｏＴ機器からネットワーク４０への通信を遮断した場合には、係員からの操作などを受け付けるまで、当該ＩｏＴ機器からのいずれの通信も遮断してもよい。また、ＭＣＵ１１は、当該ＩｏＴ機器を内部ネットワークの装置に接続してもよい。
【0054】
図３が示す例では、機器Ａに対応する機器情報の「真正性」は、「ＯＫ」である。また、機器Ｃに対応する機器情報の「真正性」は、「ＮＧ」である。従って、ＭＣＵ１１は、機器Ａをネットワーク４０に接続する。また、ＭＣＵ１１は、機器Ｃをネットワーク４０に接続しない。
【0056】
ここでは、機器Ａが制御装置１０の通信部１５に接続するものとする。その後、装備Ｃが制御装置１０の通信部１７に接続するものとする。
【0057】
まず、オペレータの操作などによって、機器Ａは、通信部１５に接続する（ＡＣＴ１１）。機器Ａが通信部１５に接続すると、制御装置１０のＭＣＵ１１は、通信部１５を通じて証明書を要求するリクエストを機器Ａに送信する（ＡＣＴ１２）。
【0058】
機器Ａは、当該リクエストを受信する。当該リクエストを受信すると、機器Ａは、ＴＰＭ１０１Ａを用いて証明書を生成し、制御装置１０へ送信する（ＡＣＴ１３）ＭＣＵ１１は、通信部１５を通じて証明書を受信する。証明書を受信すると、ＭＣＵ１１は、機器Ａに対応する機器情報の「真正性」に「ＯＫ」を格納する（ＡＣＴ１４）。
【0059】
機器Ａは、プログラムに従って動作する（ＡＣＴ１５）。機器Ａは、所定のタイミングでサーバ３０宛てのデータを制御装置１０へ送信する（ＡＣＴ１６）。ＭＣＵ１１は、通信部１５を通じて、当該データを受信する。
【0060】
当該データを受信すると、ＭＣＵ１１は、ＷＡＮ通信部１３を通じて当該データをＷＡＮ接続装置２０に送信する（ＡＣＴ１７）。ＷＡＮ接続装置２０は、当該データを受信する。ＷＡＮ接続装置２０は、ネットワーク４０を介して当該データをサーバ３０へ送信する（ＡＣＴ１８）。
【0061】
オペレータの操作などによって、機器Ｃは、通信部１７に接続する（ＡＣＴ１９）。機器Ｃが通信部１５に接続すると、制御装置１０のＭＣＵ１１は、通信部１７を通じて証明書を要求するリクエストを機器Ｃに送信する（ＡＣＴ２０）。
【0062】
ＭＣＵ１１は、所定の期間経過しても証明書を受信しないと、機器Ｃに対応する機器情報の「真正性」に「ＮＧ」を格納する（ＡＣＴ２１）。
【0063】
機器Ｃは、プログラムに従って動作する（ＡＣＴ２２）。機器Ｃは、所定のタイミングでデータを制御装置１０へ送信する（ＡＣＴ２３）。ＭＣＵ１１は、通信部１５を通じて、当該データを受信する。
【0064】
ＭＣＵ１１は、データの宛先が内部ネットワークの装置（機器Ａ、Ｂ又はＤ）であるか判定する（ＡＣＴ２４）。データの宛先が内部ネットワークの装置であると判定すると（ＡＣＴ２４、ＹＥＳ）、ＭＣＵ１１は、当該データを当該宛先に送信する（ＡＣＴ２５）。
【0065】
データの宛先が内部ネットワークの装置でないと判定すると（ＡＣＴ２４、ＮＯ）、ＭＣＵ１１は、機器Ｃとの通信を遮断する（ＡＣＴ２６）。
【0067】
まず、制御装置１０のＭＣＵ１１は、オペレータからの操作などに従ってＴＰＭ１２を用いて安全に起動する（ＡＣＴ３１）。起動に成功すると（ＡＣＴ３２、ＹＥＳ）、ＭＣＵ１１は、記憶領域１９ｂから機器情報を取得する（ＡＣＴ３３）。
【0068】
機器情報を取得すると、ＭＣＵ１１は、機器情報の「真正性」を取得する（ＡＣＴ３４）。機器情報の「真正性」を取得すると、ＭＣＵ１１は、「真正性」が「ＯＫ」である機器情報に対応する機器とネットワーク４０及び内部ネットワークとの接続を有効にする（ＡＣＴ３５）。
【0069】
ネットワーク４０及び内部ネットワークとの接続を有効にすると、ＭＣＵ１１は、「真正性」が「ＮＧ」である機器情報に対応する機器と内部ネットワークとの接続を有効にする（ＡＣＴ３６）。
【0070】
内部ネットワークとの接続を有効にすると、ＭＣＵ１１は、割り込み処理を許可する設定を行う（ＡＣＴ３７）。割り込み処理を許可する設定を行うと、ＭＣＵ１１は、割り込み（ＩｏＴ機器の接続又は取り外し）があるか判定する（ＡＣＴ３８）。
【0071】
割り込みがないと判定すると（ＡＣＴ３８、ＮＯ）、ＭＣＵ１１は、操作部などを通じて電源をＯＦＦにする操作を受け付けたか判定する（ＡＣＴ３９）。電源をＯＦＦにする操作を受け付けていないと判定すると（ＡＣＴ３９、ＮＯ）、ＭＣＵ１１は、ＡＣＴ３８に戻る。
【0072】
割り込みがあると判定すると（ＡＣＴ３８、ＹＥＳ）、ＭＣＵ１１は、割り込み処理を拒否する設定を行う（ＡＣＴ４０）。割り込み処理を拒否する設定を行うと、ＭＣＵ１１は、ＩｏＴ機器が接続されたか又は取り外されたか判定する（ＡＣＴ４１）。
【0073】
ＩｏＴ機器が接続されたと判定すると（ＡＣＴ４２、ＹＥＳ）、ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報を生成し、記憶領域１９ｂに格納する（ＡＣＴ４３）。機器情報を格納すると、ＭＣＵ１１は、当該ＩｏＴ機器の真正性を確認する（ＡＣＴ４４）。ＩｏＴ機器の真正性の確認に成功すると（ＡＣＴ４５、ＹＥＳ）、ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報の「真正性」に「ＯＫ」を格納する（ＡＣＴ４６）。
【0074】
ＩｏＴ機器の真正性の確認に失敗すると（ＡＣＴ４５、ＮＯ）、ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報の「真正性」に「ＮＧ」を格納する（ＡＣＴ４７）。
【0075】
ＩｏＴ機器が取り外されたと判定すると（ＡＣＴ４２、ＮＯ）、ＭＣＵ１１は、当該ＩｏＴ機器の機器情報をリセットする（ＡＣＴ４８）。たとえば、ＭＣＵ１１は、当該機器情報を記憶領域１９ｂから削除してもよい。
【0076】
機器情報の「真正性」に「ＯＫ」を格納した場合（ＡＣＴ４６）、機器情報の「真正性」に「ＮＧ」を格納した場合（ＡＣＴ４７）、又は、機器情報をリセットした場合（ＡＣＴ４８）、ＭＣＵ１１は、ＡＣＴ３４に戻る。
【0077】
起動に失敗した場合（ＡＣＴ３２、ＮＯ）、又は、電源をＯＦＦにする操作を受け付けたと判定した場合（ＡＣＴ３９、ＹＥＳ）、ＭＣＵ１１は、動作を終了する。
【0078】
なお、ＭＣＵ１１は、ＩｏＴ機器の真正性を確認した後に確認結果に基づいて機器情報を生成してもよい。 また、ＭＣＵ１１は、接続するＩｏＴ機器の真正性を定期的に確認することで機器情報の「真正性」を更新してもよい。
また、ストレージ１９は、暗号化されないデータを格納してもよい。
【0079】
以上のように構成された制御装置は、真正性の確認に成功したＩｏＴ機器を外部のネットワークに接続することができる。また、制御装置は、真正性の確認に失敗したＩｏＴ機器を外部のネットワークに接続させない。その結果、制御装置は、ＩｏＴ機器が不正な改ざんなどによって不適切なデータを送信しようとすることを防止することができる。
【0080】
また、制御装置は、セキュリティ用のサーバなどを新たに立てることなく、ＩｏＴ機器に関するセキュリティを確保することができる。
【0081】
また、制御装置は、真正性の確認に失敗したＩｏＴ機器を内部ネットワーク（たとえば、ＬＡＮ）に接続する。その結果、制御装置は、証明書を送信する機能を持たないＩｏＴ機器が内部ネットワークの機器へデータを送信することを阻害しない。そのため、制御装置は、内部ネットワーク内での通信を維持しつつ、外部ネットワークへの通信のセキュリティを確保することができる。（第２の実施形態）
次に、第２の実施形態について説明する。
第２の実施形態に係る制御装置は、ＩｏＴ機器の通信を監視して当該ＩｏＴ機器の接続を許可する装置を設定する点で第１の実施形態に係るそれと異なる。従って、その他の点については、同一の符号を付して詳細な説明を省略する。
【0084】
ストレージ１９’は、接続機器検査プログラムを格納する記憶領域１９ｃ及びポリシー情報を格納する記憶領域１９ｄなどを備える。
【0085】
ポリシー情報は、ＩｏＴ機器が外部ネットワークに接続する際のセキュリティに関する情報である。ポリシー情報は、ＩｏＴ機器の接続を許可する装置（サーバなど）又はポートなどを示す。
【0086】
たとえば、ポリシー情報は、証明書を送信する機能を有しないＩｏＴ機器（不真正なＩｏＴ機器）の接続を許可する装置又はポートなどを示す。
【0087】
図８は、ポリシー情報の構成例を示す。 図８が示すように、ポリシー情報は、「真正性」、「接続先制限」、「接続先許可リスト」、「接続先不許可リスト」、「ポート制限」、「許可ポートリスト」、「設置日時制限」、「制限日時（開始）」及び「制限日時（終了）」などから構成される。
【0088】
「真正性」は、ＩｏＴ機器のネットワーク４０への接続を許可するために当該ＩｏＴ機器の真正性を必須とするかを示す。ここでは、「真正性」は、真正性を必須としないものとする。
【0089】
「接続先制限」は、不真正なＩｏＴ機器の接続先を制限するかを示す。ここでは、「接続先制限」は、接続先を制限することを示すものとする。
【0090】
「接続先許可リスト」は、不真正なＩｏＴ機器の接続を許可する接続先を示す。ここでは、「接続先許可リスト」は、接続を許可するサーバのＵＲＬなどを示す。
【0091】
「接続先不許可リスト」は、不真正なＩｏＴ機器の接続を許可しない接続先を示す。ここでは、「接続先不許可リスト」は、接続を許可しないサーバのＵＲＬなどを示す。
【0092】
「ポート制限」は、不真正なＩｏＴ機器が接続するポートを制限するかを示す。ここでは、「ポート制限」は、ポートを制限することを示すものとする。
【0093】
「許可ポートリスト」は、不真正なＩｏＴ機器の接続を許可するポートを示す。ここでは、「許可ポートリスト」は、接続を許可するポート番号などを示す。
【0094】
「設置日時制限」は、ＩｏＴ機器の設置期間を制限するかを示す。「設置日時制限」が設置期間を制限することを示す場合、制御装置１０は、所定の設置期間においてＩｏＴ機器からのデータを内部ネットワーク又はネットワーク４０に送信する。制御装置１０は、設置期間以外では内部ネットワーク又はネットワーク４０への接続を許可しない。
【0095】
「制限日時（開始）」は、所定の設置期間の始期を示す。たとえば、「制限日時（開始）」は、日付及び時刻から構成される。
【0096】
「制限日時（終了）」は、所定の設置期間の終期を示す。たとえば、「制限日時（終了）」は、日付及び時刻から構成される。
【0097】
なお、ポリシー情報は、図８が示すような構成の他に必要に応じた構成を具備したり、特定の構成を除外したりしてもよい。
【0098】
次に、制御装置１０’が実現する機能について説明する。以下の機能は、制御装置１０’のＭＣＵ１１がストレージ１９’などに格納されるプログラムを実行することで実現される。制御装置１０’は、第１の実施形態に係る制御装置１０の機能に加えて以下の機能を実現する。
【0099】
制御装置１０’のＭＣＵ１１は、接続機器検査プログラムに従って不真正なＩｏＴ機器の機器情報の「接続先」及び「使用ポート番号」を生成する。
【0100】
まず、ＭＣＵ１１は、所定の期間、不真正なＩｏＴ機器の通信を監視する機能を有する。 ＭＣＵ１１は、ＩｏＴ機器が接続され不真正であると判定してから、所定の期間、当該ＩｏＴ機器の通信を監視する。たとえば、ＭＣＵ１１は、ＩｏＴ機器がセットアップされる期間において、当該ＩｏＴ機器の通信を監視する。
【0101】
ＭＣＵ１１は、当該ＩｏＴ機器がネットワーク４０を介してデータを送信する宛先及びポートを特定する。即ち、ＭＣＵ１１は、当該ＩｏＴ機器がネットワーク４０を介して接続する装置及びポートを特定する。
【0102】
なお、ＭＣＵ１１は、所定の期間においては、ＩｏＴ機器からのデータをネットワーク４０介して宛先の装置に送信する。
【0103】
ＭＣＵ１１は、所定の期間において、当該ＩｏＴ機器が接続した装置及びポートに基づいて機器情報を更新する機能を有する。 ＭＣＵ１１は、特定した装置及びポートを、ＩｏＴ機器の接続を許可する装置及びポートとして機器情報に格納する。たとえば、ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報の「接続先」に特定した装置（たとえば、装置のＵＲＬ）を格納する。また、ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報の「使用ポート番号」に特定したポート（たとえば、ポート番号）を格納する。
【0104】
なお、ＭＣＵ１１は、特定した装置がポリシー情報の「接続先不許可リスト」に含まれる場合には、当該装置を「接続先」に格納しなくともよい。
【0105】
また、ＭＣＵ１１は、ポリシー情報に基づいて、機器情報を更新する機能を有する。 ＭＣＵ１１は、ポリシー情報の「接続先許可リスト」の装置を機器情報の「接続先」に追加する。また、ＭＣＵ１１は、ポリシー情報の「許可ポートリスト」のポートを機器情報の「使用ポート番号」に追加する。
【0106】
図９は、第２の実施形態に係る機器情報の例を示す。ここでは、機器Ｃに対応する機器情報について説明する。
【0107】
機器情報の「接続先」は、「www.mainte.co.jp;www.service.co.jp;www.support.co.jp;」を格納する。ここでは、ＭＣＵ１１は、所定の期間において装置として「www.mainte.co.jp」を特定したものとする。また、ＭＣＵ１１は、ポリシー情報の「接続先許可リスト」から「www.service.co.jp;www.support.co.jp;」を取得して機器情報の「接続先」に追加したものとする。
【0108】
また、機器情報の「使用ポート番号」は、「８０；４４２；３７；」を格納する。ここでは、ＭＣＵ１１は、所定の期間においてポートとして「３７」を特定したものとする。また、ＭＣＵ１１は、ポリシー情報の「接続先許可リスト」から「８０；４４２」を取得して機器情報の「使用ポート番号」に追加したものとする。
【0109】
また、ＭＣＵ１１は、不真正なＩｏＴ機器がネットワーク４０に送信するデータの宛先及びポート（宛先ポート）を特定する機能を有する。 たとえば、ＭＣＵ１１は、ヘッダに基づいて宛先及び宛先ポートを特定する。ＭＣＵ１１は、ヘッダから送信先のサーバなどを示す情報を抽出することで、宛先及びポートを特定する。
【0110】
また、ＭＣＵ１１は、当該ＩｏＴ機器が接続を許可される接続先及びポート（許可ポート）を特定する機能を有する。 ＭＣＵ１１は、当該ＩｏＴ機器に対応する機器情報を参照して、ＩｏＴ機器が接続を許可される接続先及び許可ポートを特定する。即ち、ＭＣＵ１１は、機器情報から「接続先」及び「使用ポート番号」を取得する。
【0111】
また、ＭＣＵ１１は、データの宛先及び宛先ポートが特定した接続先及び許可ポートに含まれるか判定する機能を有する。 たとえば、ＭＣＵ１１は、データの宛先と一致する接続先及び宛先ポートと一致する許可ポートがあるか判定する。
【0112】
また、ＭＣＵ１１は、データの宛先及び宛先ポートが特定した接続先及び許可ポートに含まれると判定した場合、データを宛先の宛先ポートに送信する機能を有する。 ＭＣＵ１１は、ＩｏＴ機器からのデータを当該データの宛先及び宛先ポートに従って転送する。
【0113】
また、ＭＣＵ１１は、データの宛先及び宛先ポートが特定した接続先及び許可ポートに含まれないと判定した場合、ＩｏＴ機器からの通信を遮断する機能を有する。 ＭＣＵ１１は、ＩｏＴ機器からのデータを当該宛先へ送信しない。なお、ＭＣＵ１１は、ＩｏＴ機器からの通信を遮断した後に、当該ＩｏＴ機器から接続を許可される接続先及び許可ポートを宛先及び宛先ポートとするデータを受信した場合には、当該データを当該宛先の宛先ポートに送信してもよい。また、ＭＣＵ１１は、ＩｏＴ機器からの通信を遮断した場合には、係員からの操作などを受け付けるまで、通信の遮断を継続してもよい。
【0114】
また、ＭＣＵ１１は、ＩｏＴ機器からの通信を遮断した場合に、当該ＩｏＴ機器からの通信を遮断したことを通知してもよい。たとえば、ＭＣＵ１１は、表示部などに所定の警告メッセージを表示してもよい。また、ＭＣＵ１１は、スピーカなどを通じて警告音を発してもよい。また、ＭＣＵ１１は、外部装置へ所定の信号を送信してもよい。
【0116】
ここでは、機器Ａが制御装置１０’の通信部１５に接続するものとする。その後、装備Ｃが制御装置１０の通信部１７に接続するものとする。
【0117】
ＡＣＴ１１乃至１８、２２及び２３は、第１の実施形態のそれらと同様であるため説明を省略する。
【0118】
ＭＣＵ１１は、所定の期間経過しても証明書を受信しないと、機器Ｃからの通信を所定の期間監視して機器Ｃからのデータの宛先及び宛先ポートを特定する（ＡＣＴ５１）。宛先及び宛先ポートを特定すると、ＭＣＵ１１は、ポリシー情報の「接続先許可リスト」及び「許可ポートリスト」を取得する（ＡＣＴ５２）。
【0119】
ポリシー情報の「接続先許可リスト」及び「許可ポートリスト」を取得すると、ＭＣＵ１１は、特定した宛先及び宛先ポートと、「接続先許可リスト」及び「許可ポートリスト」とを機器Ｃに対応する機器情報に格納する（ＡＣＴ５３）。
【0120】
ＭＣＵ１１は、機器Ｃからネットワーク４０へのデータを受信すると、データの宛先及び宛先ポートが機器情報の「接続先」及び「使用ポート番号」に含まれるか判定する（ＡＣＴ３４）。データの宛先及び宛先ポートが「接続先」及び「使用ポート番号」に含まれると判定すると（ＡＣＴ５４、ＹＥＳ）、ＭＣＵ１１は、ＷＡＮ通信部１３を通じて当該データをＷＡＮ接続装置２０へ送信する（ＡＣＴ５５）。
【0121】
ＷＡＮ接続装置２０は、当該データを受信する。ＷＡＮ接続装置２０は、ネットワーク４０を介して当該データを宛先（たとえば、サーバ３０）へ送信する（ＡＣＴ５６）。
【0122】
データの宛先及び宛先ポートが「接続先」及び「使用ポート番号」に含まれないと判定すると（ＡＣＴ５４、ＮＯ）、ＭＣＵ１１は、機器Ｃとの通信を遮断する（ＡＣＴ５７）。
【0124】
ＡＣＴ３１乃至４８は、第１の実施形態のそれらと同様であるため説明を省略する。
【0125】
不真正な機器情報に対応するＩｏＴ機器と内部ネットワークとの接続を有効にすると（ＡＣＴ３６）、ＭＣＵ１１は、当該ＩｏＴ機器の機器情報に基づいて、当該ＩｏＴ機器の「接続先」及び「使用ポート番号」への接続を有効にする（ＡＣＴ６１）。
【0126】
当該機器の「接続先」及び「使用ポート番号」への接続を有効にすると、ＭＣＵ１１は、割り込み処理を許可する設定を行う（ＡＣＴ３７）。
【0127】
また、機器情報の「真正性」に「ＮＧ」を格納すると（ＡＣＴ４７）、ＭＣＵ１１は、当該機器の通信を所定の期間監視して、当該機器が送信するデータの宛先及び宛先ポートを特定する（ＡＣＴ６２）。宛先及び宛先ポートを特定すると、ＭＣＵ１１は、ポリシー情報の「接続先許可リスト」及び「許可ポートリスト」を取得する（ＡＣＴ６３）。
【0128】
ポリシー情報の「接続先許可リスト」及び「許可ポートリスト」を取得すると、ＭＣＵ１１は、特定した宛先及び宛先ポートと、「接続先許可リスト」及び「許可ポートリスト」とを機器Ｃに対応する機器情報に格納する（ＡＣＴ６５）。
【0129】
特定した宛先及び宛先ポートと、「接続先許可リスト」及び「許可ポートリスト」とを機器Ｃに対応する機器情報に格納すると、ＭＣＵ１１は、ＡＣＴ３４に戻る。
【0130】
なお、ストレージ１９’は、ポリシー情報を格納しなくともよい。ＭＣＵ１１は、ＩｏＴ機器の通信を監視して機器情報の「接続先」及び「使用ポート番号」を設定してもよい。
【0131】
以上のように構成された制御装置は、不真正なＩｏＴ機器の通信を監視して当該ＩｏＴ機器の接続を許可する接続先などを設定する。そのため、制御装置は、ＩｏＴ機器に不正な改ざんが行われ不正な装置に接続しようとした場合、当該ＩｏＴ機器の通信を遮断することができる。
【0132】
また、制御装置は、ポリシー情報にない接続先に接続するＩｏＴ機器に対して、接続を許可する接続先などを適切に設定することができる。
【0133】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。以下に本件出願当初の特許請求の範囲に記載された発明を付記する。
［Ｃ１］
ローカルエリアネットワーク内の第１の装置と通信する第１の通信部と、
前記ローカルエリアネットワーク外の第２の装置と通信する第２の通信部と、
前記第１の通信部を通じて前記第１の装置の真正性を確認し、
前記第１の通信部を通じて前記第１の装置が送信するデータを受信し、
前記第１の装置の真正性の確認に成功し前記データの宛先が前記第２の装置である場合、前記第２の通信部を通じて前記データを前記宛先に送信し、
前記第１の装置の真正性の確認に失敗し前記データの宛先が前記第２の装置である場合、前記第１の装置の通信を遮断する、
プロセッサと、
を備える制御装置。
［Ｃ２］
前記第１の通信部は、前記ローカルエリアネットワーク内にある複数の装置と通信し、 前記プロセッサは、
前記第１の装置が送信するデータの宛先が前記ローカルエリアネットワーク内の装置である場合、前記第１の通信部を通じて前記データを前記宛先に送信する、
前記Ｃ１に記載の制御装置。
［Ｃ３］
真正性の確認に失敗した第１の装置が所定の期間において送信するデータの、前記第２の装置の１つである宛先を格納する記憶部を備え、
前記プロセッサは、
真正性の確認に失敗した前記第１の装置が送信するデータを受信し、
前記データの宛先が、前記記憶部が格納する宛先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
前記Ｃ１又は２に記載の制御装置。
［Ｃ４］
前記記憶部は、真正性の確認に失敗した第１の装置が所定の期間においてデータを送信する宛先ポートをさらに格納し、
前記プロセッサは、
前記データの宛先及び宛先ポートが、前記記憶部が格納する宛先及び宛先ポートと一致する場合、前記第２の通信部を通じて前記宛先の前記宛先ポートに前記データを送信する、
前記Ｃ３に記載の制御装置。
［Ｃ５］
前記記憶部は、前記第２の装置の１つである接続先を示すポリシー情報を格納し、
前記プロセッサは、
前記データの宛先が、前記ポリシー情報が格納する接続先と一致する場合、前記第２の通信部を通じて前記宛先に前記データを送信する、
前記Ｃ３又は４の何れか１項に記載の制御装置。
【符号の説明】
【0134】
１及び１’…制御システム、１０及び１０’…制御装置、１１…ＭＣＵ、１２、１０１Ａ及び１０１Ｂ…ＴＰＭ、１３…ＷＡＮ通信部、１５乃至１８…通信部、１９…ストレージ、１９ａ乃至１９ｄ…記憶領域、２０…ＷＡＮ接続装置、３０…サーバ、４０…ネットワーク、Ａ乃至Ｄ…機器。