特開 2024-116846 鍵管理方法、鍵管理システム及びコンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024116846

(43)【公開日】2024-08-28

(54)【発明の名称】鍵管理方法、鍵管理システム及びコンピュータプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20240821BHJP

【ＦＩ】

H04L9/08 B

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023022667

(22)【出願日】2023-02-16

(71)【出願人】

【識別番号】000002897

【氏名又は名称】大日本印刷株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】岡田 桂一

(72)【発明者】

【氏名】大野 毅

(57)【要約】

【課題】鍵を容易に管理できる鍵管理方法、鍵管理システム及びコンピュータプログラムを提供する。
【解決手段】鍵管理方法は、第１拠点にある第１管理装置は、第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、第２管理装置は、第２管理装置に接続された第２セキュアコンポーネントに対して、個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１拠点にある第１管理装置は、
前記第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、
記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、
前記第２管理装置は、
前記第２管理装置に接続された第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、
前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する、
鍵管理方法。

【請求項2】

前記第１管理装置に接続された第１セキュアコンポーネントは、
配送鍵で前記個別鍵生成用マスター鍵を暗号化し、
前記第１管理装置は、
前記配送鍵で暗号化した個別鍵生成用マスター鍵を前記第２管理装置へ送信する、
請求項１に記載の鍵管理方法。

【請求項3】

前記第１管理装置は、
配送鍵を生成するための鍵コンポーネントを前記第２管理装置と共有し、
前記第２管理装置に接続された第２セキュアコンポーネントは、
共有した鍵コンポーネントを用いて配送鍵を生成し、
前記第１管理装置が送信した、暗号化した個別鍵生成用マスター鍵を、生成した配送鍵で復号し、
前記第２管理装置は、
復号された個別鍵生成用マスター鍵を記憶する、
請求項２に記載の鍵管理方法。

【請求項4】

前記第１管理装置は、
前記第１管理装置に接続された第１セキュアコンポーネントに対して、前記第１管理装置が記憶したマスター鍵を用いて個別鍵生成用マスター鍵を生成する指示を出力し、
前記第１セキュアコンポーネントは、
生成した個別鍵生成用マスター鍵を前記第１管理装置へ出力する、
請求項１に記載の鍵管理方法。

【請求項5】

前記第１管理装置に接続された第１セキュアコンポーネントは、
前記第１管理装置からの指示に基づいてローカルマスター鍵を生成し、
前記第１管理装置は、
生成されたローカルマスター鍵を記憶する、
請求項１から請求項４のいずれか一項に記載の鍵管理方法。

【請求項6】

前記第１管理装置は、
前記第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵をローカルマスター鍵で暗号化した個別鍵生成用マスター鍵を記憶する、
請求項１から請求項４のいずれか一項に記載の鍵管理方法。

【請求項7】

前記第１管理装置に接続された第２セキュアコンポーネントは、
ローカルマスター鍵を記憶し
前記第２管理装置に接続された前記第２セキュアコンポーネントは、
記憶したローカルマスター鍵を前記第２管理装置へ出力し、
前記第２管理装置は、
出力されたローカルマスター鍵を記憶する、
請求項１から請求項４のいずれか一項に記載の鍵管理方法。

【請求項8】

前記第２管理装置に接続された第２セキュアコンポーネントは、前記第１管理装置から前記第２管理装置へ送信された個別鍵生成用マスター鍵を、前記第２管理装置が記憶するローカルマスター鍵で暗号化し、
前記第２管理装置は、
暗号化した個別鍵生成用マスター鍵を記憶する、
請求項１から請求項４のいずれか一項に記載の鍵管理方法。

【請求項9】

第１拠点にある第１管理装置と、第２拠点にある第２管理装置と、前記第１管理装置に接続された第１セキュアコンポーネントと、前記第２管理装置に接続された第２セキュアコンポーネントとを備え、
前記第１管理装置は、
前記第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、
記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、
前記第２管理装置は、
前記第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、
前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する、
鍵管理システム。

【請求項10】

第２拠点にある第２管理装置で動作するコンピュータプログラムであって、
第１拠点にある第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を受信し、
前記第２管理装置に接続された第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、
前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する、
処理をコンピュータに実行させるコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、鍵管理方法、鍵管理システム及びコンピュータプログラムに関する。

【背景技術】

【0002】

近年、自動車業界ではＣＡＳＥが注目されている。特にＣ（Ｃｏｎｎｅｃｔｅｄ：コネクテッド）及びＡ（Ａｕｔｏｎｏｍｕｓ：自動運転）において車両のセキュリティが重要になってきている。車両のセキュリティ対策の一環として、車両に搭載されているＥＣＵ（電子制御ユニット）に対して、ＥＣＵ自体のソフトウェアの更新の際の認証、あるいは同一車両に組み込まれたＥＣＵ同士の通信における認証が行われる。このような認証には暗号技術が用いられるため、ＥＣＵを製造するセキュア工場において個々のＥＣＵに暗号化のための鍵が書き込まれている。

【0003】

ＥＣＵなどのデバイスに書き込む鍵を鍵管理部門からセキュア工場に配布する場合、鍵管理部門内の鍵生成装置で大量に乱数を生成し、生成した乱数ごとに鍵生成を行い、生成した大量の鍵を鍵束（鍵ファイル）として、ネットワーク経由で別拠点のセキュア工場へ伝送する必要がある。特許文献１には、乱数生成手段で生成した乱数を用いて鍵を生成するシステムが開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０００－５６６８０号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、ＥＣＵなどのデバイス毎に固有の鍵を大量に生成し、生成した大量の鍵を鍵束として伝送すると、例えば、大量の鍵の中から個々のＥＣＵに必要な鍵の選択、あるいは大量の鍵を伝送するための処理などの手間がかかり鍵の管理が困難であった。

【0006】

本発明は、斯かる事情に鑑みてなされたものであり、鍵を容易に管理できる鍵管理方法、鍵管理システム及びコンピュータプログラムを提供することを目的とする。

【課題を解決するための手段】

【0007】

本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、鍵管理方法は、第１拠点にある第１管理装置は、前記第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、前記第２管理装置は、前記第２管理装置に接続された第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する。

【発明の効果】

【0008】

本発明によれば、鍵を容易に管理できる。

【図面の簡単な説明】

【0009】

【図1】鍵管理システムの構成の一例を示す図である。

【図2】第１管理装置の構成の一例を示す図である。

【図3】第２管理装置の構成の一例を示す図である。

【図4】ＩＣカードの構成の一例を示す図である。

【図5】本実施形態で使用する各種鍵情報の一例を示す図である。

【図6】ＬＭＫの生成・共有処理の第１例を示す図である。

【図7】ＬＭＫの生成・共有処理の第２例を示す図である。

【図8】ＬＭＫの生成・共有処理の第３例を示す図である。

【図9】マスター鍵の生成処理の一例を示す図である。

【図10】配送鍵の生成処理及び拠点間での共有処理の一例を示す図である。

【図11】個別鍵生成用マスター鍵の生成処理の一例を示す図である。

【図12】個別鍵生成用マスター鍵の共有処理の一例を示す図である。

【図13】個別鍵の生成処理の一例を示す図である。

【図14】鍵管理の第１例を示す図である。

【図15】鍵管理の第２例を示す図である。

【発明を実施するための形態】

【0010】

以下、本発明をその実施の形態を示す図面に基づいて説明する。図１は鍵管理システムの構成の一例を示す図である。鍵管理システムは、第１拠点にある第１管理装置１０、及び第２拠点にある第２管理装置２０を備える。第１管理装置１０には、リーダ（リーダ・ライタ）３１、３２が接続されている。リーダ３１には、ＩＣカード５１を装着し、リーダ３２には、ＩＣカード５２を装着してもよい。図１の例では、説明を容易にするため便宜上、第１管理装置１０に２台のリーダが接続されている構成を図示しているが、実際には、リーダは１台接続されていればよい（ＩＣカードを交互に装着する）。第２管理装置２０には、リーダ（リーダ・ライタ）４１が接続されている。リーダ４１には、ＩＣカード５２を装着してもよい。ＩＣカード５２は、第１拠点にあったＩＣカード５２が第２拠点に輸送されたものである。鍵管理システムは、ＩＣカード５１、５２を備えてもよい。ＩＣカードは接触型を想定しているが、非接触型でもよい。なお、本明細書では、セキュアコンポーネントとしてＩＣカードを例に挙げて説明するが、セキュアコンポーネントはＩＣカードに限定されるものではなく、ＨＳＭ（Hardware Security Module）などであってもよい。

【0011】

第１拠点における、ＩＣカード５１は、第１管理装置１０に接続された第１セキュアコンポーネントに相当し、ＩＣカード５２は、第１管理装置１０に接続された第２セキュアコンポーネントに相当する。また、第２拠点における、ＩＣカード５２は、第２管理装置２０に接続された第２セキュアコンポーネントに相当する。

【0012】

第１拠点は、例えば、鍵管理部門、設計・開発部門などの組織がある事業所であり、第１管理装置１０は、当該事業所内のセキュアエリア内に設置され、鍵管理部門、設計・開発部門における担当者によって操作される。第２拠点は、例えば、製造部門、品質保証部門などの組織があるセキュア工場であり、ＥＣＵ（電子制御ユニット）などのデバイスの製造ライン（量産ラインや量産試作ラインなど）が設置されている。第２管理装置２０は、製造部門、品質保証部門における担当者によって操作される。

【0013】

本実施形態では、第２拠点は、例えば、セキュア工場であり、外部の拠点（例えば、第１拠点）との間で専用線やＶＰＮ（Virtual Private Network）等のセキュリティ対策が採られておらず、第１拠点と第２拠点の間のイントラネットのネットワークセキュリティが十分に考慮されていないとするが、拠点間に専用の通信路があってもよい。第１拠点及び第２拠点は一例であって、これらに限定されない。なお、本明細書では、鍵を使用するデバイスとして車両に搭載されるＥＣＵを例に挙げて説明するが、本発明が適用可能なデバイスはＥＣＵに限定されるものではなく、ＩｏＴ（Internet of Things）デバイスなど鍵を使用するデバイスも含まれる。特に、インターネットなどの通信ネットワークへの接続が制限されたセキュア工場で製造されるデバイスにも本発明を適用できる。

【0014】

図２は第１管理装置１０の構成の一例を示す図である。第１管理装置１０は、例えば、パーソナルコンピュータ等で構成することができる。第１管理装置１０は、装置全体を制御する制御部１１、通信部１２、メモリ１３、インタフェース部１４、表示パネル１５、操作部１６、及び記憶部１７を備える。

【0015】

制御部１１は、ＩＣ（Integrated Circuit）チップ、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等が所要数組み込まれて構成されてもよい。また、制御部１１は、暗号プロセッサ、ＤＳＰ（Digital Signal Processors）、ＦＰＧＡ（Field-Programmable Gate Arrays）等を組み合わせて構成してもよい。

【0016】

通信部１２は、通信モジュールを備え、外部の装置との間で通信を行う機能を有する。なお、第１実施形態では、通信部１２は、第２拠点にある第２管理装置２０との間で通信を行うことは想定していない。

【0017】

記憶部１７は、例えば、ハードディスク又は半導体メモリ等で構成することができ、コンピュータプログラム１８（プログラム製品）、及び所要の情報（例えば、各種鍵情報など）を記憶する。

【0018】

コンピュータプログラム１８は、第１管理装置１０で動作するアプリケーションプログラム（鍵管理アプリ）であり、通信部１２を介して外部の装置からダウンロードして記憶部１７に記憶してもよい。また、記録媒体（例えば、ＣＤ－ＲＯＭ等の光学可読ディスク記憶媒体）に記録されたコンピュータプログラム１８を記録媒体読取部で読み取って記憶部１７に記憶してもよい。

【0019】

メモリ１３は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、フラッシュメモリ等の半導体メモリで構成することができる。コンピュータプログラム１８をメモリ１３に展開して、制御部１１がコンピュータプログラム１８を実行することができる。制御部１１は、コンピュータプログラム１８で定められた処理を実行することができる。すなわち、制御部１１による処理は、コンピュータプログラム１８による処理でもある。

【0020】

インタフェース部１４は、リーダ３１、３２、３３との間のインタフェース機能を有する。インタフェース部１４は、リーダ３１、３２、３３を介してＩＣカード５１、５２、５３との間で情報の授受を行うことができる。

【0021】

表示パネル１５は、液晶パネル又は有機ＥＬ（Electro Luminescence）ディスプレイ等で構成することができる。

【0022】

操作部１６は、例えば、キーボード、マウス等を含み、表示パネル１５に表示されたアイコンなどの操作、カーソルの移動や操作、文字等の入力などを行うことができる。

【0023】

図３は第２管理装置２０の構成の一例を示す図である。第２管理装置２０は、例えば、パーソナルコンピュータ等で構成することができる。第２管理装置２０は、第１管理装置１０の構成と同様に、装置全体を制御する制御部２１、通信部２２、メモリ２３、インタフェース部２４、表示パネル２５、操作部２６、及び記憶部２７を備える。

【0024】

制御部２１は、ＩＣ（Integrated Circuit）チップ、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等が所要数組み込まれて構成されてもよい。また、制御部２１は、暗号プロセッサ、ＤＳＰ（Digital Signal Processors）、ＦＰＧＡ（Field-Programmable Gate Arrays）等を組み合わせて構成してもよい。

【0025】

通信部２２は、通信モジュールを備え、外部の装置との間で通信を行う機能を有する。なお、第１実施形態では、通信部２２は、第１拠点にある第１管理装置１０との間で通信を行うことは想定していない。

【0026】

記憶部２７は、例えば、ハードディス又は半導体メモリ等で構成することができ、コンピュータプログラム２８（プログラム製品）、及び所要の情報（例えば、各種鍵情報など）を記憶する。

【0027】

コンピュータプログラム２８は、第２管理装置２０で動作するアプリケーションプログラム（生産設備アプリ）であり、通信部２２を介して外部の装置からダウンロードして記憶部２７に記憶してもよい。また、記録媒体（例えば、ＣＤ－ＲＯＭ等の光学可読ディスク記憶媒体）に記録されたコンピュータプログラム２８を記録媒体読取部で読み取って記憶部２７に記憶してもよい。

【0028】

メモリ２３は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、フラッシュメモリ等の半導体メモリで構成することができる。コンピュータプログラム２８をメモリ２３に展開して、制御部２１がコンピュータプログラム２８を実行することができる。制御部２１は、コンピュータプログラム２８で定められた処理を実行することができる。すなわち、制御部２１による処理は、コンピュータプログラム２８による処理でもある。

【0029】

インタフェース部２４は、リーダ４１、４２との間のインタフェース機能を有する。インタフェース部２４は、リーダ４１、４２を介してＩＣカード５３、６１との間で情報の授受を行うことができる。

【0030】

表示パネル２５は、液晶パネル又は有機ＥＬ（Electro Luminescence）ディスプレイ等で構成することができる。

【0031】

操作部２６は、例えば、キーボード、マウス等を含み、表示パネル２５に表示されたアイコンなどの操作、カーソルの移動や操作、文字等の入力などを行うことができる。

【0032】

図４はＩＣカード５０の構成の一例を示す図である。ＩＣカード５１、５２は同様の構成を有するので、便宜上ＩＣカード５１、５２をまとめてＩＣカード５０として説明する。ＩＣカード５０は、耐タンパ性を有するＩＣチップを備え、ＣＰＵ５０Ａ、インタフェース部５０Ｂ、ＲＡＭ５０Ｃ、ＲＯＭ５０Ｄ、及びセキュアメモリ５０Ｅを備える。

【0033】

ＣＰＵ５０Ａは、ＩＣカード５０の全ての処理を制御する。ＣＰＵ５０Ａは、例えば、ＲＳＡ暗号方式の演算を実行する専用の暗号プロセッサを備える。

【0034】

インタフェース部５０Ｂは、外部との通信制御を実行し、リーダ３１～３３を介して第１管理装置１０との間で、またリーダ４１～４２を介して第２管理装置２０との間で情報の授受を行う。

【0035】

ＲＡＭ５０Ｃは、一時的なデータを読み書きするための高速メモリである。

【0036】

ＲＯＭ５０Ｄは、プログラムを格納するために使用する読み出し専用のメモリである。

【0037】

セキュアメモリ５０Ｅは、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）で構成することができ、暗号化・復号のための各種鍵（例えば、共通鍵暗号方式の共通鍵、公開鍵暗号方式の秘密鍵と公開鍵の鍵ペア）、ＥＣＵの個別鍵を生成するために使用する鍵情報などを格納する書き込み可能なメモリである。

【0038】

図５は本実施形態で使用する各種鍵情報の一例を示す図である。管理用秘密鍵は、事前に同じ管理用秘密鍵を持つカードを使用してＬＭＫ（Local Master Key：ローカルマスター鍵）暗号化用鍵を管理することができる。

【0039】

ＬＭＫ暗号化用鍵は、ＬＭＫ（Local Master Key：ローカルマスター鍵）を暗号化、復号するための鍵であり、乱数を用いることができる。ＬＭＫ暗号化用鍵は、カード製造者しか知り得ない鍵である。

【0040】

ＬＭＫは、マスター鍵、個別鍵生成用マスター鍵、配送鍵、個別鍵を暗号化、復号するための鍵である。

【0041】

マスター鍵は、個別鍵生成用マスター鍵を生成するための鍵である。

【0042】

個別鍵生成用マスター鍵は、個別鍵を生成するための鍵であり、ＥＣＵ用の鍵管理という観点では、ＥＣＵの生産毎に生成してもよい。

【0043】

配送鍵は、個別鍵生成用マスター鍵の配送時に個別鍵生成用マスター鍵を暗号化、復号するための鍵である。

【0044】

個別鍵は、ＳＥＥＤとともに個別鍵生成用マスター鍵を用いて生成され、ＥＣＵに書き込まれる。

【0045】

次に、鍵管理のための処理について説明する。

【0046】

図６はＬＭＫの生成・共有処理の第１例を示す図である。ＩＣカード５１、５２は、第１管理装置１０に接続される。ＩＣカード５１、５２は、管理用秘密鍵を事前に共有する（Ｓ１１）。第１管理装置１０は、ＩＣカード５１に対して、ＬＭＫ＃１生成指示を出力する（Ｓ１２）。ＩＣカード５１は、ＬＭＫ＃１を生成する（Ｓ１３）。

【0047】

第１管理装置１０は、ＩＣカード５１に対して、ＬＭＫ＃１のエクスポート指示を出力する（Ｓ１４）。ＩＣカード５１は、ＬＭＫ暗号化用鍵（乱数）を生成し（Ｓ１５）、ＬＭＫ暗号化用鍵を管理用秘密鍵で暗号化する（Ｓ１６）。ＩＣカード５１は、ＬＭＫ＃１をＬＭＫ暗号化用鍵で暗号化する（Ｓ１７）。

【0048】

ＩＣカード５１は、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵を第１管理装置１０へエクスポートする（Ｓ１８）。第１管理装置１０は、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵を記憶部１７に記憶し（Ｓ１９）、処理を終了する。

【0049】

上述の処理により、第１拠点でＬＭＫ＃１を保持した状態となる。なお、図６に例示した処理は、第１拠点でのＬＭＫ＃１の生成フェーズであり、基本的に１回だけ実施される。なお、必要に応じて図６に例示した処理を複数回実施してもよい。

【0050】

図７はＬＭＫの生成・共有処理の第２例を示す図である。第１管理装置１０は、第１管理装置１０に接続されたＩＣカード５２に対して、ＬＭＫ＃２生成指示を出力する（Ｓ３１）。ＩＣカード５２は、ＬＭＫ＃２を生成する（Ｓ３２）。

【0051】

ＩＣカード５２は、ＬＭＫ暗号化用鍵（乱数）を生成し（Ｓ３３）、ＬＭＫ暗号化用鍵を管理用秘密鍵で暗号化する（Ｓ３４）。ＩＣカード５２は、ＬＭＫ＃２をＬＭＫ暗号化用鍵で暗号化する（Ｓ３５）。その後、ＩＣカード５２を第１拠点から第２拠点に移動する（Ｓ３６）。例えば、ＩＣカード５２をセキュアな管理状態下で輸送することができる。

【0052】

第２拠点に移動したＩＣカード５２は、第２管理装置２０に接続される。第２管理装置２０は、ＩＣカード５２に対して、ＬＭＫ＃２のエクスポートを指示する（Ｓ３７）。ＩＣカード５２は、第２管理装置２０に対して、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃２、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵をエクスポートする（Ｓ３８）。第２管理装置２０は、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃２、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵を記憶部２７に記憶し（Ｓ３９）、処理を終了する。

【0053】

上述の処理により、第２拠点でＬＭＫ＃２を保持した状態となる。なお、図７に例示した処理は、第２拠点用のＬＭＫ＃２を生成するフェーズであり、１回だけ実施される。

【0054】

図８はＬＭＫの生成・共有処理の第３例を示す図である。図８に示す第３例は、意図的に第２拠点でもＬＭＫ＃１を使用するケースであるが、セキュリティ面からすれば、図７に示す第２例の方が好ましい。第１管理装置１０は、第１管理装置１０に接続されたＩＣカード５２に対して、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵をエクスポートする（Ｓ２１）。ＩＣカード５２は、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵をセキュアメモリ５０Ｅに記憶する（Ｓ２２）。その後、ＩＣカード５２を第１拠点から第２拠点に移動する（Ｓ２３）。例えば、ＩＣカード５２をセキュアな管理状態下で輸送することができる。

【0055】

第２拠点に移動したＩＣカード５２は、第２管理装置２０に接続される。第２管理装置２０は、ＩＣカード５２に対して、ＬＭＫ＃１のエクスポートを指示する（Ｓ２４）。ＩＣカード５２は、第２管理装置２０に対して、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵をエクスポートする（Ｓ２５）。第２管理装置２０は、ＬＭＫ暗号化用鍵で暗号化した暗号化済ＬＭＫ＃１、及び管理用秘密鍵で暗号化した暗号化済ＬＭＫ暗号化用鍵を記憶部２７に記憶し（Ｓ２６）、処理を終了する。

【0056】

上述の処理により、第２拠点でＬＭＫ＃１を保持した状態となる。なお、図８に例示した処理は、第２拠点へＬＭＫ＃１を共有するフェーズであり、１回だけ実施される。

【0057】

図９はマスター鍵の生成処理の一例を示す図である。ＩＣカード５１は、第１管理装置１０に接続されている。第１管理装置１０は、ＩＣカード５１に対して、マスター鍵の生成指示を出力する（Ｓ４１）。ＩＣカード５１は、マスター鍵を生成し（Ｓ４２）、生成したマスター鍵をＬＭＫ＃１で暗号化する（Ｓ４３）。

【0058】

ＩＣカード５１は、ＬＭＫ＃１で暗号化した暗号化済マスター鍵を第１管理装置１０にエクスポートする（Ｓ４４）。第１管理装置１０は、ＬＭＫ＃１で暗号化した暗号化済マスター鍵を記憶部１７に記憶し（Ｓ４５）、処理を終了する。第１管理装置１０は、鍵管理用のセキュリティエリアの外部には持ち出さないというセキュリティポリシーで安全に保護・保管される。また、暗号化済マスター鍵をＩＣカード５１のセキュアメモリ５０Ｅに記憶してもよい。この場合もＩＣカード５１は、鍵管理用のセキュリティエリアの外部には持ち出さないというセキュリティポリシーで安全に保護・保管される。

【0059】

図９に例示した処理は、マスター鍵の生成フェーズであり、１回だけ実施される。

【0060】

図１０は配送鍵の生成処理及び拠点間での共有処理の一例を示す図である。ＩＣカード５１は、第１管理装置１０に接続され、ＩＣカード５２は、第２管理装置２０に接続されている。第１管理装置１０は、ＩＣカード５１に対して、鍵コンポーネントの生成指示を出力する（Ｓ５１）。ＩＣカード５１は、鍵コンポーネントを生成し（Ｓ５２）、生成した鍵コンポーネントを第１管理装置１０へ出力する（Ｓ５３）。なお、ステップＳ５１からＳ５３の処理は、複数回（例えば、３回など）実施してもよい。

【0061】

第１管理装置１０は、ＩＣカード５１に対して、鍵コンポーネントをインプットに配送鍵の生成指示を出力する（Ｓ５４）。ＩＣカード５１は、配送鍵を生成し（Ｓ５５）、生成した配送鍵をＬＭＫ＃１で暗号化する（Ｓ５６）。ＩＣカード５１は、ＬＭＫ＃１で暗号化した暗号化済配送鍵を第１管理装置１０へ出力する（Ｓ５７）。第１管理装置１０は、ＬＭＫ＃１で暗号化した暗号化済配送鍵を記憶部１７に記憶する（Ｓ５８）。

【0062】

第１管理装置１０は、鍵コンポーネントを第２管理装置２０と共有する（Ｓ５９）。ここでは、複数の鍵コンポーネント毎に第１拠点と第２拠点それぞれで複数の担当者を割り当て、各担当者は、自身が担当する鍵コンポーネント以外の鍵コンポーネントを知り得ない状態とすることができる。

【0063】

第２管理装置２０は、ＩＣカード５２に対して、鍵コンポーネントをインプットに配送鍵の生成指示を出力する（Ｓ６０）。ＩＣカード５２は、配送鍵を生成し（Ｓ６１）、生成した配送鍵をＬＭＫ＃１又はＬＭＫ＃２で暗号化する（Ｓ６２）。ＩＣカード５２は、ＬＭＫ＃１又はＬＭＫ＃２で暗号化した暗号化済配送鍵を第２管理装置２０へ出力する（Ｓ６３）。第２管理装置２０は、ＬＭＫ＃１又はＬＭＫ＃２で暗号化した暗号化済配送鍵を記憶部２７に記憶し（Ｓ６４）、処理を終了する。

【0064】

図１０のステップＳ５１からＳ５８までは、配送鍵の生成フェーズであり、１回だけ実施される。ステップＳ５９からＳ６４までは、配送鍵の共有フェーズであり、１回だけ実施される。

【0065】

図１１は個別鍵生成用マスター鍵の生成処理の一例を示す図である。ＩＣカード５１は、第１管理装置１０に接続されている。第１管理装置１０は、ＬＭＫ＃１で暗号化済のマスター鍵をインプットとして個別鍵生成用マスター鍵の生成指示をＩＣカード５１へ出力する（Ｓ７１）。ＩＣカード５１は、個別鍵生成用マスター鍵を生成し（Ｓ７２）、生成した個別鍵生成用マスター鍵をＬＭＫ＃１で暗号化する（Ｓ７３）。

【0066】

ＩＣカード５１は、第１管理装置１０に対して、ＬＭＫ＃１で暗号化した暗号化済個別鍵生成用マスター鍵をエクスポートする（Ｓ７４）。第１管理装置１０は、ＬＭＫ＃１で暗号化した暗号化済個別鍵生成用マスター鍵を記憶部１７に記憶し（Ｓ７５）、処理を終了する。

【0067】

図１１に例示した処理は、個別鍵生成用マスター鍵の生成フェーズであり、ＥＣＵ品番毎に１回実施される。個別鍵生成用マスター鍵は、ＥＣＵの個別鍵を生成するための鍵であり、ＥＣＵ用の鍵管理という観点では、ＥＣＵの生産毎に生成される。

【0068】

また、個別鍵生成用マスター鍵を生成する際には、所定の派生情報を用いることができる。派生情報は、例えば、１つの鍵Ａから１又は複数の個別の鍵Ｂ１、Ｂ２、Ｂ３、…を派生するための情報であり、シードと称されるランダムな数値、及び個別の鍵を派生するためのアルゴリズムを含む。ある特定のアルゴリズムを定めておき、異なるシードを入力することにより、異なる個別鍵生成用マスター鍵を生成できる。

【0069】

図１２は個別鍵生成用マスター鍵の共有処理の一例を示す図である。ＩＣカード５１は、第１管理装置１０に接続され、ＩＣカード５２は、第２管理装置２０に接続されている。第１管理装置１０は、ＩＣカード５１に対して、ＬＭＫ＃１で暗号化済の個別鍵生成用マスター鍵、及びＬＭＫ＃１で暗号化済の配送鍵をインプットに、個別鍵生成用マスター鍵を暗号化する鍵をＬＭＫ＃１から配送鍵への掛け替え指示を出力する（Ｓ８１）。ＩＣカード５１は、暗号化された個別鍵生成用マスター鍵をＬＭＫ＃１で復号後、配送鍵で暗号化し（Ｓ８２）、第１管理装置１０に対して、配送鍵で暗号化した個別鍵生成用マスター鍵をエクスポートする（Ｓ８３）。

【0070】

第１管理装置１０は、配送鍵で暗号化された個別鍵生成用マスター鍵を第２拠点にある第２管理装置２０へ配送する（Ｓ８４）。この場合、第１拠点と第２拠点との間には、秘匿通信路が接続されている。

【0071】

第２管理装置２０は、ＩＣカード５２に対して、配送鍵で暗号化済の個別鍵生成用マスター鍵、及びＬＭＫ＃１又はＬＭＫ＃２で暗号化済の配送鍵をインプットに、個別鍵生成用マスター鍵を暗号化する鍵を配送鍵からＬＭＫ＃１又はＬＭＫ＃２への掛け替え指示を出力する（Ｓ８５）。ＩＣカード５２は、暗号化された個別鍵生成用マスター鍵を配送鍵で復号後、ＬＭＫ＃１又はＬＭＫ＃２で暗号化し（Ｓ８６）、第２管理装置２０に対して、ＬＭＫ＃１又はＬＭＫ＃２で暗号化した個別鍵生成用マスター鍵をエクスポートする（Ｓ８７）。第２管理装置２０は、暗号化済個別鍵生成用マスター鍵を記憶部２７に記憶し（Ｓ８８）、処理を終了する。

【0072】

図１３は個別鍵の生成処理の一例を示す図である。ＩＣカード５２は、第２管理装置２０に接続されている。第２管理装置２０は、ＩＣカード５２に対して、ＬＭＫ＃１又はＬＭＫ＃２で暗号化済の個別鍵生成用マスター鍵と、ＳＥＥＤをインプットに、個別鍵生成指示を出力する（Ｓ９１）。ＩＣカード５２は、個別鍵を生成する（Ｓ９２）。ここで、例えば、１００種類の個別鍵を生成するには、１００種類のＳＥＥＤを用いればよい。また、同一の個別鍵を１０００個生成するには、１種類のＳＥＥＤを用いて個別鍵の生成を１０００回繰り返せばよい。

【0073】

後述のステップＳ９３からＳ９４までの処理と、ステップＳ９５からＳ９７までの処理は、どちらか一方を実施すればよい。

【0074】

ＩＣカード５２は、生成した個別鍵をＬＭＫ＃１又はＬＭＫ＃２で暗号化し、ＬＭＫ＃１又はＬＭＫ＃２で暗号化した個別鍵を第２管理装置２０へ出力する（Ｓ９３）。第２管理装置２０は、暗号化済の個別鍵を記憶部２７に記憶し（Ｓ９４）、処理を終了する。

【0075】

ＩＣカード５２は、生成した個別鍵を平文で第２管理装置２０へ出力する（Ｓ９５）。第２管理装置２０は、平文で個別鍵をＥＣＵへ出力し（Ｓ９６）、ＥＣＵは、個別鍵を書き込み（Ｓ９７）、処理を終了する。

【0076】

前述の図１１～図１３に示すように、第１拠点にある第１管理装置１０は、第１管理装置１０に接続されたＩＣカード５１（第１セキュアコンポーネント）が生成した個別鍵生成用マスター鍵を記憶し、記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置２０へ送信する。第２管理装置２０は、第２管理装置２０に接続されたＩＣカード５２（第２セキュアコンポーネント）に対して、個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、ＩＣカード５２（第２セキュアコンポーネント）が生成した個別鍵をＥＣＵ（外部装置）へ出力する。

【0077】

上述の構成により、個別鍵生成用マスター鍵のみを第１拠点から第２拠点に配送し、第２拠点において、個別鍵生成用マスター鍵から個別鍵を生成することで、拠点間で多数の個別鍵を伝送する必要がない。また、個別鍵生成用マスター鍵から必要に応じて個別鍵を生成することができるので、個別鍵の生成・管理・配布が容易になり、鍵を容易に管理できる。

【0078】

また、図１２に示すように、第１管理装置１０に接続されたＩＣカード５１（第１セキュアコンポーネント）は、配送鍵で個別鍵生成用マスター鍵を暗号化し、第１管理装置１０は、配送鍵で暗号化した個別鍵生成用マスター鍵を第２管理装置２０へ送信してもよい。

【0079】

上述の構成により、個別鍵生成用マスター鍵を第１拠点から第２拠点に配送する際のセキュリティを向上させることができる。

【0080】

また、図１０、図１２に示すように、第１管理装置１０は、配送鍵を生成するための鍵コンポーネントを第２管理装置２０と共有し、第２管理装置２０に接続されたＩＣカード５２（第２セキュアコンポーネント）は、共有した鍵コンポーネントを用いて配送鍵を生成し、第１管理装置１０が送信した、暗号化した個別鍵生成用マスター鍵を、生成した配送鍵で復号し、第２管理装置２０は、復号された個別鍵生成用マスター鍵を記憶部２７に記憶してもよい。

【0081】

上述の構成により、配送鍵を第１拠点と第２拠点との間で送受信する必要がなく、各拠点で配送鍵を生成することができるので、配送鍵が漏洩するリスクを低減できる。

【0082】

また、図９に示すように、第１管理装置１０は、第１管理装置１０に接続されたＩＣカード５１（第１セキュアコンポーネント）に対して、第１管理装置１０が記憶したマスター鍵を用いて個別鍵生成用マスター鍵を生成する指示を出力する。ＩＣカード５１（第１セキュアコンポーネント）は、生成した個別鍵生成用マスター鍵を第１管理装置１０へ出力してもよい。

【0083】

マスター鍵は、個別鍵生成用マスター鍵、及びＥＣＵに書き込まれる個別鍵を含む鍵群の最も上位の鍵である。上述の構成により、マスター鍵に基づいて、所要の個別鍵生成用マスター鍵を生成することができ、結果としてＥＣＵに書き込まれる個別鍵も生成することが可能となる。

【0084】

また、図６に示すように、第１管理装置１０に接続されたＩＣカード５１（第１セキュアコンポーネント）は、第１管理装置１０からの指示に基づいてＬＭＫ（ローカルマスター鍵）を生成し、第１管理装置は、生成されたＬＭＫを記憶してもよい。ＬＭＫは、マスター鍵、個別鍵生成用マスター鍵、配送鍵、個別鍵を暗号化、復号するための鍵として使用することができる。

【0085】

また、図１１に示すように、第１管理装置１０は、第１管理装置１０に接続されたＩＣカード５１（第１セキュアコンポーネント）が生成した個別鍵生成用マスター鍵をＬＭＫ（ローカルマスター鍵）で暗号化した個別鍵生成用マスター鍵を記憶部１７に記憶してもよい。これにより、個別鍵生成用マスター鍵を記憶する際のセキュリティを向上させることができる。

【0086】

また、図７、図８に示すように、第１管理装置１０に接続されたＩＣカード５２（第２セキュアコンポーネント）は、ＬＭＫ（ローカルマスター鍵）を記憶している。当該ＩＣカード５２は、例えば、第１拠点から第２拠点に移動（輸送）される。第２管理装置２０に接続されたＩＣカード５２（第１拠点から第２拠点に輸送されたカード：第２セキュアコンポーネント）は、記憶したＬＭＫ（ローカルマスター鍵）を第２管理装置２０へ出力し、第２管理装置２０は、出力されたＬＭＫ（ローカルマスター鍵）を記憶部２７に記憶してもよい。これにより、個別鍵生成用マスター鍵、配送鍵、個別鍵などを暗号化、復号するための鍵を拠点間で共有できる。

【0087】

また、図１２に示すように、第２管理装置２０に接続されたＩＣカード５２（第２セキュアコンポーネント）は、第１管理装置１０から第２管理装置２０へ送信された個別鍵生成用マスター鍵を、第２管理装置２０が記憶するＬＭＫ（ローカルマスター鍵）で暗号化し、第２管理装置２０は、暗号化した個別鍵生成用マスター鍵を記憶部２７に記憶してもよい。これにより、個別鍵生成用マスター鍵を記憶する際のセキュリティを向上させることができる。

【0088】

図１４は鍵管理の第１例を示す図である。個別鍵生成用マスター鍵は、例えば、ＥＣＵのバージョン（品番）毎に１回生成されて管理される。図１４には、ＥＣＵのバージョンに対応付けた個別鍵生成用マスター鍵を図示している。例えば、ＥＣＵのバージョンがＶ１の場合、個別鍵生成用マスター鍵ＭＫＤ１が使用される。また、ＥＣＵのバージョンがＶ２の場合、個別鍵生成用マスター鍵ＭＫＤ２が使用される。他のバージョンについても同様である。これにより、ＥＣＵのバージョンに対して有効な個別鍵生成用マスター鍵を容易に管理できる。

【0089】

図１５は鍵管理の第２例を示す図である。図１５はＥＣＵの個別鍵の管理を図示している。図１５Ａに示すように、車両の車種をＡＡＡ、ＢＢＢ、ＣＣＣ、ＤＤＤ、…で表し、車両に搭載されるＥＣＵをＥＣＵ１、ＥＣＵ２、ＥＣＵ３、ＥＣＵ４、…で表す。例えば、ＥＣＵ１で使用する個別鍵は、車種に関わらず（すなわち全車種で共通）ＩＫ１である。同様に、ＥＣＵ２で使用する個別鍵は、車種に関わらず（すなわち全車種で共通）ＩＫ２である。

【0090】

一方、ＥＣＵ３で使用する個別鍵は、車種毎に異なり、例えば、車種ＡではＡＡＡ－ＩＫ３であり、車種ＢではＢＢＢ－ＩＫ４であり、車種ＣではＣＣＣ－ＩＫ５であり、車種ＤではＤＤＤ－ＩＫ６である。ＥＣＵ４についても同様である。

【0091】

また、図１５Ｂに示すように、車両の車種をＡＡＡとし、車両の製造番号をＶＩＮ０１、ＶＩＮ０２、ＶＩＮ０３、…で表す。図１５Ｂは、車両の製造番号毎に、当該車両内の全ＥＣＵ共通のユニーク鍵を書き込む場合を示す。例えば、車両の製造番号がＶＩＮ０１の車両の全ＥＣＵ（ＥＣＵ１、ＥＣＵ２、ＥＣＵ３、ＥＣＵ４、…）には、個別鍵ＩＫ１１が書き込まれる。車両の製造番号がＶＩＮ０２の車両の全ＥＣＵ（ＥＣＵ１、ＥＣＵ２、ＥＣＵ３、ＥＣＵ４、…）には、個別鍵ＩＫ１２が書き込まれる。また、車両の製造番号がＶＩＮ０３の車両の全ＥＣＵ（ＥＣＵ１、ＥＣＵ２、ＥＣＵ３、ＥＣＵ４、…）には、個別鍵ＩＫ１３が書き込まれる。このように、本実施形態によれば、車両のＥＣＵの用途別の個別鍵の生成・管理・配布が容易になる。

【0092】

（付記１）鍵管理方法は、第１拠点にある第１管理装置は、前記第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、前記第２管理装置は、前記第２管理装置に接続された第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する。

【0093】

（付記２）鍵管理方法は、付記１において、前記第１管理装置に接続された第１セキュアコンポーネントは、配送鍵で前記個別鍵生成用マスター鍵を暗号化し、前記第１管理装置は、前記配送鍵で暗号化した個別鍵生成用マスター鍵を前記第２管理装置へ送信してもよい。

【0094】

（付記３）鍵管理方法は、付記１又は付記２において、前記第１管理装置は、配送鍵を生成するための鍵コンポーネントを前記第２管理装置と共有し、前記第２管理装置に接続された第２セキュアコンポーネントは、共有した鍵コンポーネントを用いて配送鍵を生成し、前記第１管理装置が送信した、暗号化した個別鍵生成用マスター鍵を、生成した配送鍵で復号し、前記第２管理装置は、復号された個別鍵生成用マスター鍵を記憶してもよい。

【0095】

（付記４）鍵管理方法は、付記１から付記３のいずれか一つにおいて、前記第１管理装置は、前記第１管理装置に接続された第１セキュアコンポーネントに対して、前記第１管理装置が記憶したマスター鍵を用いて個別鍵生成用マスター鍵を生成する指示を出力し、前記第１セキュアコンポーネントは、生成した個別鍵生成用マスター鍵を前記第１管理装置へ出力してもよい。

【0096】

（付記５）鍵管理方法は、付記１から付記４のいずれか一つにおいて、前記第１管理装置に接続された第１セキュアコンポーネントは、前記第１管理装置からの指示に基づいてローカルマスター鍵を生成し、前記第１管理装置は、生成されたローカルマスター鍵を記憶してもよい。

【0097】

（付記６）鍵管理方法は、付記１から付記５のいずれか一つにおいて、前記第１管理装置は、前記第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵をローカルマスター鍵で暗号化した個別鍵生成用マスター鍵を記憶してもよい。

【0098】

（付記７）鍵管理方法は、付記１から付記６のいずれか一つにおいて、前記第１管理装置に接続された第２セキュアコンポーネントは、ローカルマスター鍵を記憶し、前記第２管理装置に接続された前記第２セキュアコンポーネントは、記憶したローカルマスター鍵を前記第２管理装置へ出力し、前記第２管理装置は、出力されたローカルマスター鍵を記憶してもよい。

【0099】

（付記８）鍵管理方法は、付記１から付記７のいずれか一つにおいて、前記第２管理装置に接続された第２セキュアコンポーネントは、前記第１管理装置から前記第２管理装置へ送信された個別鍵生成用マスター鍵を、前記第２管理装置が記憶するローカルマスター鍵で暗号化し、前記第２管理装置は、暗号化した個別鍵生成用マスター鍵を記憶してもよい。

【0100】

（付記９）鍵管理システムは、第１拠点にある第１管理装置と、第２拠点にある第２管理装置と、前記第１管理装置に接続された第１セキュアコンポーネントと、前記第２管理装置に接続された第２セキュアコンポーネントとを備え、前記第１管理装置は、前記第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を記憶し、記憶した個別鍵生成用マスター鍵を第２拠点にある第２管理装置へ送信し、前記第２管理装置は、前記第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する。

【0101】

（付記１０）コンピュータプログラムは、第２拠点にある第２管理装置で動作するコンピュータプログラムであって、第１拠点にある第１管理装置に接続された第１セキュアコンポーネントが生成した個別鍵生成用マスター鍵を受信し、前記第２管理装置に接続された第２セキュアコンポーネントに対して、前記個別鍵生成用マスター鍵を用いて個別鍵を生成する指示を出力し、前記第２セキュアコンポーネントが生成した個別鍵を外部装置へ出力する、処理をコンピュータに実行させる。

【0102】

各実施形態に記載した事項は相互に組み合わせることが可能である。また、特許請求の範囲に記載した独立請求項及び従属請求項は、引用形式に関わらず全てのあらゆる組み合わせにおいて、相互に組み合わせることが可能である。さらに、特許請求の範囲には他の２以上のクレームを引用するクレームを記載する形式（マルチクレーム形式）を用いているが、これに限るものではない。マルチクレームを少なくとも一つ引用するマルチクレーム（マルチマルチクレーム）を記載する形式を用いて記載してもよい。

【符号の説明】

【0103】

１秘匿通信路
１０ 第１管理装置
１１ 制御部
１２ 通信部
１３ メモリ
１４ インタフェース部
１５ 表示パネル
１６ 操作部
１７ 記憶部
１８ コンピュータプログラム
２０ 第２管理装置
２１ 制御部
２２ 通信部
２３ メモリ
２４ インタフェース部
２５ 表示パネル
２６ 操作部
２７ 記憶部
２８ コンピュータプログラム
３１、３２、４１ リーダ
５０ ＩＣカード
５０Ａ ＣＰＵ
５０Ｂ インタフェース部
５０Ｃ ＲＡＭ
５０Ｄ ＲＯＭ
５０Ｅ セキュアメモリ
５１ ＩＣカード
５２ ＩＣカード

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】