特開 2024-168368 ＩｏＴデバイス、および、セキュアエレメントの交換方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024168368

(43)【公開日】2024-12-05

(54)【発明の名称】ＩｏＴデバイス、および、セキュアエレメントの交換方法

(51)【国際特許分類】

   H04L 9/10 20060101AFI20241128BHJP

   H04L 9/14 20060101ALI20241128BHJP

【ＦＩ】

H04L9/10 A

H04L9/14

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023084970

(22)【出願日】2023-05-23

(71)【出願人】

【識別番号】000002897

【氏名又は名称】大日本印刷株式会社

(74)【代理人】

【識別番号】100122529

【弁理士】

【氏名又は名称】藤枡 裕実

(74)【代理人】

【識別番号】100135954

【弁理士】

【氏名又は名称】深町 圭子

(74)【代理人】

【識別番号】100119057

【弁理士】

【氏名又は名称】伊藤 英生

(74)【代理人】

【識別番号】100131369

【弁理士】

【氏名又は名称】後藤 直樹

(74)【代理人】

【識別番号】100171859

【弁理士】

【氏名又は名称】立石 英之

(72)【発明者】

【氏名】高田 憲一

(72)【発明者】

【氏名】木下 靖夫

(72)【発明者】

【氏名】平野 晋健

(72)【発明者】

【氏名】福永 正剛

(72)【発明者】

【氏名】高橋 憲介

(72)【発明者】

【氏名】嘉瀬 悠太

(57)【要約】

【課題】セキュアエレメントを交換可能なＩｏＴデバイスを提供する。
【解決手段】ＩＯＴデバイスであるスマートメーター２は、セキュアエレメント３（ＳＥ３）を装着する２つのスロット２０１と、空きスロットになっている一方のスロット２０１（第２スロット２０１ｂ）に新規のＳＥ３（対策後ＳＥ３ｂ）が装着されたことを検知すると、もう一方のスロット２０１（第１スロット２０１ａ）に装着されている既存のＳＥ３（危殆化ＳＥ３ａ）を無効にしてＳＥ３を切替える切替え処理を実行するＭＣＵ２００を備えている。
【選択図】図４

【特許請求の範囲】

【請求項1】

セキュアエレメントを装着する２つのスロットと、
空きスロットになっている一方の前記スロットに新規のセキュアエレメントが装着されたことを検出すると、使用するセキュアエレメントを、もう一方の前記スロットに装着されている既存のセキュアエレメントから前記新規のセキュアエレメントに切替える切替え処理を実行するＭＣＵ（Micro Controller Unit）を、
備えたＩｏＴデバイス。

【請求項2】

前記切替え処理を実行する前に、前記新規のセキュアエレメントと前記既存のセキュアエレメントを互いに認証させる認証処理を実行し、前記認証処理が成功した場合のみ、前記切替え処理を実行する前記ＭＣＵを備えた、
請求項１に記載したＩｏＴデバイス。

【請求項3】

前記認証処理が成功した後、前記既存のセキュアエレメントが記憶している秘密情報を取得して前記新規のセキュアエレメントに書き込む秘密情報移行処理を実行してから、前記切替え処理を実行する前記ＭＣＵを備えた、
請求項２に記載したＩｏＴデバイス。

【請求項4】

暗号アルゴリズムが危殆化したセキュアエレメントを前記既存のセキュアエレメントとし、暗号アルゴリズムの危殆化に対策を施したセキュアエレメントを前記新規のセキュアエレメントとした、
請求項１から３のいずれか一つに記載したＩｏＴデバイス。

【請求項5】

セキュアエレメントを装着する２つのスロットを備えたＩｏＴデバイスのＭＣＵ（Micro Controller Unit）が、空きスロットになっている一方の前記スロットに新規のセキュアエレメントが装着されたことを検出するステップａ、
前記ＭＣＵが、使用するセキュアエレメントを、もう一方の前記スロットに装着されている既存のセキュアエレメントから前記新規のセキュアエレメントに切替える切替え処理を実行するステップｂ、
を含むセキュアエレメントの交換方法。

【請求項6】

前記ＭＣＵが、前記新規のセキュアエレメントと前記既存のセキュアエレメントを互いに認証させる認証処理を実行するステップｃをさらに含み、
前記ＭＣＵは、前記ステップａを実行した後に前記ステップｃを実行し、前記ステップｃにおいて前記認証処理が成功した場合のみ、前記ステップｂを実行する、
請求項５に記載したセキュアエレメントの交換方法。

【請求項7】

前記ＭＣＵが、前記既存のセキュアエレメントが記憶している秘密情報を取得して前記新規のセキュアエレメントに書き込む秘密情報移行処理を実行するステップｄをさらに含み、
前記ＭＣＵは、前記ステップｃを実行してから前記ステップｄを実行する、
請求項６に記載したセキュアエレメントの交換方法。

【発明の詳細な説明】

【技術分野】

【0001】

本願で開示する発明は、ＩｏＴデバイスに関する。

【背景技術】

【0002】

物理的オブジェクトであるモノによりネットワークを構成するＩｏＴ（Internet of Things）が普及している。ＩｏＴを構成するモノとなるデバイスは、ＩｏＴデバイスと呼ばれている。ＩｏＴデバイスは、ＩｏＴネットワークを介して、リモートサーバとネットワーク通信する。

【0003】

ＩｏＴデバイスは、屋外に設置されることが多い。例えば、ＩｏＴデバイスの１つであるスマートメーターは、スマートメーターに表示される指示数を目視で確認し易い建屋の位置に設置される。このため、ＩｏＴデバイスでは、ＩｏＴデバイスとリモートサーバの間でやり取りするデータの改ざんリスクおよび漏洩リスクが高くなる。そこで、ＩｏＴデバイスとリモートサーバの間でやり取りするデータを暗号化することが推奨されている。

【0004】

外部からのサイバー攻撃に対するＩｏＴデバイスの耐タンパー性が低いと、データの暗号化に用いる秘密情報（例えば、暗号鍵）の漏洩リスクが高くなる。このため、外部からのサイバー攻撃に対する耐タンパー性が高いセキュアエレメントをＩｏＴデバイスに実装し、ＩｏＴデバイスとリモートサーバの間でやり取りするデータの暗号化に係る処理を、このセキュアエレメントに行わせている（例えば、特許文献１）。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１２－１１３６７０号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ＩｏＴデバイスとリモートサーバの間でやり取りするデータの暗号化で使用する暗号アルゴリズムに脆弱性が見つかり、この暗号アルゴリズムが非推奨になった場合、非推奨になった暗号アルゴリズムを非推奨になっていない暗号アルゴリズムに更新する必要がある。

【0007】

暗号アルゴリズムを更新する手法としては、セキュアエレメントに実装されたファームウェアを更新する手法もあるが、この手法は、セキュアエレメントのファームウェアが電気的に書き換え可能な不揮発性メモリに記憶されている場合に限定される。セキュアエレメントのファームウェアが電気的に書き換え不可能な不揮発性メモリに記憶されている場合、暗号アルゴリズムを更新するためには、セキュアエレメントの交換が必要になる。

【0008】

本願では、セキュアエレメントを交換可能なＩｏＴデバイスを提供する。

【課題を解決するための手段】

【0009】

本願で開示する第１発明は、セキュアエレメントを装着する２つのスロットと、空きスロットになっている一方の前記スロットに新規のセキュアエレメントが装着されたことを検出すると、使用するセキュアエレメントを、もう一方の前記スロットに装着されている既存のセキュアエレメントから前記新規のセキュアエレメントに切替える切替え処理を実行するＭＣＵ（Micro Controller Unit）を備えたＩｏＴデバイスである。
第１発明に係るＩｏＴデバイスでは、セキュアエレメントを装着する２つのスロットが設けられる。このため、第１発明に係るＩｏＴデバイスは、前記既存のセキュアエレメントに加え、前記新規のセキュアエレメントを装着するための空きスロットを備えることになる。空きスロットになっている前記スロットに前記新規のセキュアエレメントが装着されると、前記既存のセキュアエレメントと前記新規のセキュアエレメントが共に有効になる。第１発明に係るＩｏＴデバイスでは、前記新規のセキュアエレメントが装着された後、前記ＭＣＵが、前記既存のセキュアエレメントのみを無効にすることで、サービスに係る処理を中断することなく、本願に係るＩｏＴデバイスが使用するセキュアエレメントを切替えられる。
第１発明において、不正なセキュアエレメントが装着されていないことを確認できるように、前記ＭＣＵは、前記切替え処理を実行する前に、前記新規のセキュアエレメントと前記既存のセキュアエレメントを互いに認証させる認証処理を実行し、前記認証処理が成功した場合のみ、前記切替え処理を実行することが望ましい。
また、第１発明において、前記既存のセキュアエレメントが記憶している秘密情報を前記新規のセキュアエレメントに移行できるように、前記ＭＣＵは、前記認証処理が成功した後、前記既存のセキュアエレメントが記憶している秘密情報を取得して前記新規のセキュアエレメントに書き込む秘密情報移行処理を実行してから、前記切替え処理を実行することが好適である。
なお、第１発明では、暗号アルゴリズムが危殆化したセキュアエレメントを前記既存のセキュアエレメントとし、暗号アルゴリズムの危殆化に対策を施したセキュアエレメントを前記新規のセキュアエレメントとすることが好適である。

【0010】

本願で開示する第２発明は、セキュアエレメントを装着する２つのスロットを備えたＩｏＴデバイスのＭＣＵ（Micro Controller Unit）が、空きスロットになっている一方の前記スロットに新規のセキュアエレメントが装着されたことを検出するステップａ、前記ＭＣＵが、使用するセキュアエレメントを、もう一方の前記スロットに装着されている既存のセキュアエレメントから前記新規のセキュアエレメントに切替える切替え処理を実行するステップｂを含むセキュアエレメントの交換方法である。
第２発明では、不正なセキュアエレメントが装着されていないことを確認できるように、前記ＭＣＵが、前記新規のセキュアエレメントと前記既存のセキュアエレメントを互いに認証させる認証処理を実行するステップｃを含ませ、前記ＭＣＵは、前記ステップａを実行した後に前記ステップｃを実行し、前記ステップｃにおいて前記認証処理が成功した場合のみ、前記ステップｂを実行することが好適である。
また、第２発明では、前記既存のセキュアエレメントが記憶している秘密情報を前記新規のセキュアエレメントに移行できるように、前記ＭＣＵが、前記既存のセキュアエレメントが記憶している秘密情報を取得して前記新規のセキュアエレメントに書き込む秘密情報移行処理を実行するステップｄを含ませ、前記ＭＣＵは、前記ステップｃを実行してから前記ステップｄを実行することが好適である。

【発明の効果】

【0011】

本願で開示する発明では、セキュアエレメントを装着する２つのスロットを一つのＩｏＴデバイスに設け、使用するセキュアエレメントを切替えられるようにＩｏＴデバイスを構成している。

【図面の簡単な説明】

【0012】

【図1】スマートメーターシステムを説明する図。

【図2】スマートメーターの構造を示した図。

【図3】セキュアエレメント（ＳＥ）のブロック図。

【図4】スマートメーターのブロック図。

【図5】セキュアエレメント（ＳＥ）を切替える手順を説明する図。

【図6】スマートメーターのＭＣＵが実行する処理を説明する第１図。

【図7】スマートメーターのＭＣＵが実行する処理を説明する第２図。

【発明を実施するための形態】

【0013】

ここから，本発明に係る実施形態について記載する。本実施形態は、本願で開示する発明の理解を容易にするためのものである。本願で開示する発明は、本実施形態に限定されるものではない。また、特に断りのない限り、図面は、本願で開示する発明の理解を容易にするために描かれた模式的な図である。

【0014】

本実施形態では、本願で開示する発明を適用するＩｏＴデバイスをスマートメーターとしている。これは、現時点において、スマートメーターは、世の中で普及しているＩｏＴデバイスの１つだからである。当然のことながら、本願で開示する発明を適用するＩｏＴデバイスは、スマートメーターに限定されない。本願で開示する発明は、自動車分野、ホームセキュリティ分野、医療分野などにおいて利用される様々なＩｏＴデバイスに適用可能である。

【0015】

図１は、スマートメーター２を利用するスマートメーターシステム１を説明する図である。図１で図示したスマートメーターシステム１は、家庭などの電力使用量をデジタルで計量する機能を備えたスマートメーター２と、スマートメーター２ごとに電力使用量の計量データを管理するリモートサーバ４を含んでいる。

【0016】

リモートサーバ４はＷＡＮ６（Wide Area Network）と接続している。スマートメーター２がＷＡＮ６に接続する態様は一つではない。図１で図示したスマートメーター２ａは、ＦＡＮ５（Field Area Network）を介してＷＡＮ６と接続している。また、スマートメーター２ｂは、ＦＡＮ５を介さずにＷＡＮ６と接続している。

【0017】

ＦＡＮ５とは、ＦＡＮ５と接続しているスマートメーター２ａの計量データを、コンセントレータとも呼ばれる集約装置５ａで収集してリモートサーバ４へ送信するように構築された自営網である。ＦＡＮ５に接続するスマートメーター２ａは、無線マルチホップ方式で計量データを集約装置５ａへ送信する。無線マルチホップ方式とは、他の機器（ここでは、スマートメーター２ａ）を中継器として利用する通信方式である。ＦＡＮ５を介さずにＷＡＮ６と接続しているスマートメーター２ｂの通信方式は、１：Ｎ無線通信（例えば、５Ｇ）やＰＬＣ（Power Line Communication）になる。

【0018】

このように、スマートメーター２が計量した電力使用量に係る計量データは、公衆網であるＷＡＮ６を介してリモートサーバ４へ届く。ＦＡＮ５に接続しているスマートメーター２ａの場合、スマートメーター２ａの計量データは、他のスマートメーター２ａを経由して集約装置５ａへ届き、集約装置５ａを経由してリモートサーバ４へ届く。このため、スマートメーター２の分野では、スマートメーター２がリモートサーバ４へ送信する計量データを、スマートメーター２で固有な鍵で暗号化することが推奨されている。

【0019】

図２では、本願で開示する発明を適用するＩｏＴデバイスとなるスマートメーター２の構造を示している。図２で図示した通り、スマートメーター２は、計量部２０、端子部２１および通信部２２を備えている。計量部２０と端子部２１を分離することで、計量部２０を交換するスマートメーター２の近辺を停電させることなく、計量部２０の交換工事を行える。計量部２０と通信部２２を分離することで、スマートメーター２の設置場所に合わせて通信方式を変えられる。

【0020】

スマートメーター２の計量部２０は、単位時間当たり（例えば、３０分）の電力使用量を計測する機能を有している。スマートメーター２の計量部２０には、電力使用量に係る計量データを表示するディスプレイ２０３が設けられている。通信部２２には、スマートメーター２がリモートサーバ４とデータのやりとり行うための通信回路が実装される。

【0021】

上述した通り、スマートメーター２では、リモートサーバ４へ送信する計量データを、スマートメーター２で固有な鍵で暗号化することが推奨されている。本実施形態では、スマートメーター２のセキュリティを高めるために、外部からのサイバー攻撃に対する耐タンパー性を有し、計量データを暗号化する機能を備えたセキュアエレメント３（以下、ＳＥと記す。ＳＥは、Secure Elementの略）をスマートメーター２に実装している。本実施形態において、リモートサーバ４に送信する計量データの暗号化に用いる暗号鍵などの秘密情報はＳＥ３に記憶される。

【0022】

図３は、本実施形態に係るＳＥ３のブロック図である。図３で示したごとく、ＳＥ３は、ＣＰＵ３０（Central Processing Unit）、ＲＯＭ３１（Read Only Memory)、ＲＡＭ３２（Random Access Memory）、ＮＶＭ３３ (Non-volatile memory)、コプロセッサ３４、および、周辺機能３５を備えている。ＣＰＵ３０は、ＳＥ３を制御する演算装置である。ＲＯＭ３１は、電気的に書き換え不可能な不揮発性メモリである。ＲＡＭ３２は、電気的に書き換え可能な揮発性メモリである。ＮＶＭ３３は、電気的に書き換え可能な不揮発性メモリである。コプロセッサ３４は、暗号演算に特化した演算装置である。周辺機能３５は、ＳＥ３の動作に必要な様々な図外の回路を意味している。例えば、周辺機能３５は、ＳＥ３の通信回路を含む。

【0023】

ＳＥ３が備えるＮＶＭ３３には、リモートサーバ４に送信するデータの暗号化に用いる暗号鍵などの秘密情報が記憶される。ＳＥ３のＲＡＭ３２には、端末から受信した情報などが一時的に記憶される。ＳＥ３のＲＯＭ３１には、リモートサーバ４に送信するデータの暗号化処理など、スマートメーター２に必要な処理をＣＰＵ３０に行わせるためのコンピュータプログラムが実装される。コンピュータプログラムをＲＯＭ３１に実装することで、コンピュータプログラムの改ざんを防止できる。ただし、リモートサーバ４に送信するデータの暗号化処理に用いる暗号アルゴリズムに脆弱性が見つかり、この暗号アルゴリズムが危殆化して、暗号アルゴリズムの更新が必要になると、ＳＥ３の交換が必要になる。

【0024】

本実施形態では、リモートサーバ４へ送信するデータの暗号化処理に用いる暗号アルゴリズムの危殆化に備えて、スマートメーター２に実装するＳＥ３を交換できようにする。ＳＥ３の交換を容易にするため、図３で図示したＳＥ３は、ＳＩＭカード形状のカード媒体３６に実装されている。ＳＥ３は、樹脂モールドされた状態で、接点端子３７の裏面に実装されている。

【0025】

図４は、本実施形態に係るスマートメーター２のブロック図である。図４では示していないが、スマートメーター２の端子部２１は、電力事業者の電線と接続する端子と、計量部２０と接続する端子を有する。端子部２１を介して、計量部２０と通信部２２に電力が供給される。通信部２２は、スマートメーター２が対応した通信方式を行うための回路である。例えば、通信部２２は、無線マルチホップにより通信するための回路である。

【0026】

計量部２０は、スマートメーター２が設置された場所（例えば、建屋）に係る電力使用量を計量する機能を有している。図４で図示した通り、計量部２０は、ＭＣＵ２００（Micro Controller Unit）、電力センサ２０２、ディスプレイ２０３を備えている。図４において、電力センサ２０２およびディスプレイ２０３それぞれはＭＣＵ２００と接続している。

【0027】

電力センサ２０２は、端子部２１を利用して電線に接続し、電線に流れる電流と電線の間の電圧を計測するセンサである。

【0028】

ディスプレイ２０３は、電力使用量に係る計量データなどを表示するメーターである。ディスプレイ２０３には、液晶ディスプレイが利用されている。ディスプレイ２０３に表示する値は、単位時間当たり（例えば、３０分）の計量データではなく、過去に計量した計量データの積算値である。

【0029】

本実施形態に係るスマートメーター２の計量部２０は、ＳＥ３を装着するスロット２０１を備える。図４では、スロット２０１の詳細を示していないが、スロット２０１は、接点端子３７に含まれる端子それぞれと接触するピン端子を備えている。

【0030】

本実施形態では、スマートメーター２に実装するＳＥ３を交換できようにする。このため、本実施形態に係るスマートメーター２は、ＳＥ３を装着するスロット２０１を２つ備えている。ＳＥ３を装着する２つのスロット２０１の構造は同じである。本実施形態では、便宜的に、２つのスロット２０１の１つを第１スロット２０１ａ（図４では左側）と呼び、もう１つを第２スロット２０１ｂ（図４では右側）と呼んでいる。第１スロット２０１ａおよび第２スロット２０１ｂそれぞれはＭＣＵ２００と接続している。

【0031】

２つのスロット２０１のうちの一方は空きスロットになる。空きスロットとは、ＳＥ３が装着されていないスロット２０１を意味している。本実施形態では、便宜的に、暗号アルゴリズムが危殆化したＳＥ３を危殆化ＳＥ３ａと呼び、暗号アルゴリズムの危殆化に対策を施したＳＥ３を対策後ＳＥ３ｂと呼んでいる。図４において、危殆化ＳＥ３ａは、空きスロットになっていないもう一方の第１スロット２０１ａに装着されている。危殆化ＳＥ３ａを対策後ＳＥ３ｂに切替える際、対策後ＳＥ３ｂは、空きスロットになっている第２スロット２０１ｂに装着される。

【0032】

ＭＣＵ２００は、マイクロプロセッサとメモリなどを一つに集積したチップである。ＭＣＵ２００は、コンピュータプログラムによって実現される機能として、電力センサ２０２を利用して単位時間あたり（例えば、３０分）の電力使用量を計量する機能と、通信部２２を利用して、リモートサーバ４と通信する機能を備えている。更に、本実施形態において、ＭＣＵ２００は、コンピュータプログラムによって実現される機能として、ＳＥ３の切替えに係る処理を実行する機能を備える。

【0033】

図５は、ＳＥ３を交換する手順を説明する図である。スマートメーター２で使用するＳＥ３を交換する際、作業者の操作によって、新規のＳＥ３が空きスロットになっているスロット２０１に装着される（ステップＳ１）。新規のＳＥ３が、空きスロットになっているスロット２０１に装着されると、スマートメーター２は、空きスロットになっているスロット２０１に装着された新規のＳＥ３を検出する（ステップＳ２）。空きスロットに装着された新規のＳＥ３を検出すると、スマートメーター２は、使用するセキュアエレメントを、もう一方の前記スロットに装着されている既存のセキュアエレメントから前記新規のセキュアエレメントに切替える切替え処理を実行する（ステップＳ３）。スマートメーター２は、ＳＥ３を切替える切替え処理において、既存のＳＥ３を無効にする。切替え処理を実行すると、スマートメーター２は、既存のＳＥ３の取り外しを指示し（ステップＳ４）、作業者によって、既存のＳＥ３がスマートメーター２から取り外される（ステップＳ５）。既存のＳＥ３がスマートメーター２から取り外されることによって、既存のＳＥ３が装着されていたスロット２０１が空きスロットになる（ステップＳ６）。

【0034】

ＭＣＵ２００は、ＳＥ３の交換に係る処理として、図５を用いて説明した手順を実施する処理を実行する。図６は、スマートメーター２のＭＣＵ２００が実行する処理を説明する第１図である。図７は、スマートメーター２のＭＣＵ２００が実行する処理を説明する第２図である。図６，図７の説明は、本願に係るセキュアエレメントの交換方法の説明も兼ねている。なお、図６，図７において、既存のＳＥ３は、暗号アルゴリズムが危殆化した危殆化ＳＥ３ａで、新規のＳＥ３は、暗号アルゴリズムの危殆化に対策を施した対策後ＳＥ３ｂである。また、対策後ＳＥ３ｂをスマートメーター２に装着させる前、第２スロット２０１ｂが空きスロットになっている。

【0035】

ＭＣＵ２００は、新規のＳＥ３となる対策後ＳＥ３ｂが空きスロットになっている第２スロット２０１ｂに装着されたことを検出すると（ステップＳ１０）、第２スロット２０１ｂに装着された対策後ＳＥ３ｂをリセットし（ステップＳ１１）、対策後ＳＥ３ｂは、リセット応答をＭＣＵ２００に返信する（ステップＳ１２）。ＭＣＵ２００は、対策後ＳＥ３ｂからリセット応答を受信することで、空きスロットに装着された対策後ＳＥ３ｂを検出する。対策後ＳＥ３ｂが第２スロット２０１ｂに装着されたことを検出する手法は任意である。センサを用いて、対策後ＳＥ３ｂが第２スロット２０１ｂに装着されたことを検出してもよい。また、接点端子３７にスロット２０１のピン端子が接触していることを電気的に検出してもよい。

【0036】

第２スロット２０１ｂに装着された対策後ＳＥ３ｂを検出すると、ＭＣＵ２００は、図６のステップＳ２１に処理を進め、スマートメーター２で使用するＳＥ３を切替える切替え処理を実行してもよい。本実施形態では、ＳＥ３の切替えに係るセキュリティを高めるために、ＭＣＵ２００は、危殆化ＳＥ３ａと対策後ＳＥ３ｂを互に認証させる認証処理を実行し、不正なＳＥ３がスマートメーター２に装着されていないか確認する。なお、危殆化ＳＥ３ａと対策後ＳＥ３ｂを互に認証させる認証処理を実行する際、危殆化ＳＥ３ａと対策後ＳＥ３ｂとの間にセキュアチャネルを構築することが望ましい、

【0037】

危殆化ＳＥ３ａと対策後ＳＥ３ｂを相互に認証させる際、スマートメーター２のＭＣＵ２００は、認証コマンドメッセージの送信を危殆化ＳＥ３ａに要求し（ステップＳ１３）、危殆化ＳＥ３ａは、危殆化ＳＥ３ａの認証コマンドメッセージをＭＣＵ２００に返信する（ステップＳ１４）。認証コマンドメッセージの送信をＳＥ３に要求する方法としては、認証コマンドメッセージをデータとしてＳＥ３に記憶させ、読取りコマンドによりこのデータを読み取る方法が考えられる。また、コマンドメッセージの送信を要求する特別なコマンドをＳＥ３に実装させる方法も考えられる。

【0038】

危殆化ＳＥ３ａの認証コマンドメッセージを取得すると、ＭＣＵ２００は、危殆化ＳＥ３ａの認証コマンドメッセージを対策後ＳＥ３ｂに送信する（ステップＳ１５）。危殆化ＳＥ３ａの認証コマンドメッセージは、危殆化ＳＥ３ａの認証情報を含む。公開鍵暗号方式を用いる場合、例えば、危殆化ＳＥ３ａの認証情報を、危殆化ＳＥ３ａの公開鍵証明書と、危殆化ＳＥ３ａの秘密鍵を用いて生成した公開鍵証明書の電子署名にできる。共通鍵暗号方式を用いる場合、例えば、危殆化ＳＥ３ａの認証情報を、共通鍵のすべてまたは一部を共通鍵で暗号化した乱数の暗号文にできる。

【0039】

対策後ＳＥ３ｂは、危殆化ＳＥ３ａの認証コマンドメッセージをＭＣＵ２００から受信すると、危殆化ＳＥ３ａの認証コマンドメッセージに含まれる危殆化ＳＥ３ａの認証情報を認証し、危殆化ＳＥ３ａの認証コマンドメッセージの実行結果をＭＣＵ２００に返信する（ステップＳ１６）。

【0040】

危殆化ＳＥ３ａの認証コマンドメッセージの実行結果によって認証成功が示される場合、ＭＣＵ２００は、認証コマンドメッセージの送信を対策後ＳＥ３ｂに要求し（ステップＳ１７）、対策後ＳＥ３ｂは、対策後ＳＥ３ｂの認証コマンドメッセージをＭＣＵ２００に返信する（ステップＳ１８）。なお、本実施形態では、認証コマンドメッセージの送信を対策後ＳＥ３ｂに要求しているが、危殆化ＳＥ３ａの認証コマンドメッセージの実行結果に対策後ＳＥ３ｂの認証コマンドメッセージを含ませてもよい。

【0041】

対策後ＳＥ３ｂの認証コマンドメッセージを取得すると、ＭＣＵ２００は、対策後ＳＥ３ｂの認証コマンドメッセージを危殆化ＳＥ３ａに送信する（ステップＳ１９）。危殆化ＳＥ３ａの認証コマンドメッセージと同様に、対策後ＳＥ３ｂの認証コマンドメッセージは、対策後ＳＥ３ｂの認証情報を含んでいる。危殆化ＳＥ３ａは、対策後ＳＥ３ｂの認証コマンドメッセージをＭＣＵ２００から受信すると、対策後ＳＥ３ｂの認証コマンドメッセージに含まれる対策後ＳＥ３ｂの認証情報を認証し、対策後ＳＥ３ｂの認証コマンドメッセージの実行結果をＭＣＵ２００に返信する（ステップＳ２０）。図６のステップＳ１３からステップ２０が、ＭＣＵ２００が実行する認証処理の詳細な説明になる。

【0042】

対策後ＳＥ３ｂの認証コマンドメッセージの実行結果によって認証成功が示される場合、ＭＣＵ２００は、スマートメーター２で使用するＳＥ３を危殆化ＳＥ３ａから対策後ＳＥ３ｂに切り替える切替え処理を実行する（ステップＳ２１）。切替え処理において、ＭＣＵ２００は、既存のＳＥ３となる危殆化ＳＥ３ａを無効にする。危殆化ＳＥ３ａを無効にする手法は任意である。スマートメーター２のＭＵＣが使用するスロット２０１を、危殆化ＳＥ３ａが装着されている第１スロット２０１ａから対策後ＳＥ３ｂが装着された第２スロット２０１ｂに変更することで、危殆化ＳＥ３ａを無効にできる。また、危殆化ＳＥ３ａへの電力供給を止めることで、危殆化ＳＥ３ａを無効にできる。さらに、ＳＥ３の識別番号を用いてＳＥ３にアクセスする場合、ＭＣＵ２００が記憶している危殆化ＳＥ３ａの識別番号を削除することで、危殆化ＳＥ３ａを無効にできる。

【0043】

スマートメーター２で使用するＳＥ３を危殆化ＳＥ３ａから対策後ＳＥ３ｂに切り替えると、ＭＣＵ２００は、危殆化ＳＥ３ａの取り外し指示をディスプレイに表示し（ステップＳ２２）、作業を行う作業者によって、危殆化ＳＥ３ａが取り外される。次に、ＭＣＵ２００は、危殆化ＳＥ３ａが実装されていた第１スロット２０１ａが空きスロットになっているか判定する（ステップＳ２３）。例えば、第１スロット２０１ａのピン端子がＳＥ３の接触端子３８と接触していないか電気的に判定することで、第１スロット２０１ａが空きスロットになったと判定できる。ＭＣＵ２００は、第１スロット２０１ａが空きスロットになっていると判定すると、ＳＥ３を切替えたことをリモートサーバ４へ送信して（ステップＳ２４）、図６の手順は終了する。

【0044】

リモートサーバ４との通信に用いる暗号鍵などの秘密情報がＳＥ３に保存されることがある。危殆化ＳＥ３ａから対策後ＳＥ３ｂに切替えた場合、危殆化ＳＥ３ａの秘密情報を対策後ＳＥ３ｂに自動的に移行できることが望まれる。図７のステップＳ３０からステップＳ３３が、図６から追加したステップになり、秘密情報移行処理に係るステップになる。ここでは、図７で追加したステップについてのみ説明する。

【0045】

図６のステップＳ２０において、対策後ＳＥ３ｂの認証コマンドメッセージの実行結果によって認証成功が示される場合、ＭＣＵ２００は、秘密情報設定コマンドメッセージの送信を危殆化ＳＥ３ａに要求し（ステップＳ３０）、危殆化ＳＥ３ａは、危殆化ＳＥ３ａの秘密情報設定コマンドメッセージをＭＣＵ２００に返信する（ステップＳ３１）。秘密情報設定コマンドメッセージは、危殆化ＳＥ３ａのＮＶＭ３３に保存されている秘密情報を含む。秘密情報設定コマンドメッセージは、ＳＥ３のＮＶＭ３３に情報を書き込むコマンドになる。

【0046】

危殆化ＳＥ３ａから秘密情報設定コマンドメッセージを取得すると、ＭＣＵ２００は、危殆化ＳＥ３ａから得た秘密情報設定コマンドメッセージを対策後ＳＥ３ｂに送信する（ステップＳ３２）。対策後ＳＥ３ｂは、秘密情報設定コマンドメッセージに含まれる秘密情報を対策後ＳＥ３ｂのＮＶＭ３３に保存した後、秘密情報設定コマンドメッセージの実行結果をＭＣＵ２００に返信する（ステップＳ３３）。秘密情報設定コマンドメッセージの実行結果によって成功が示さる場合のみ、ＭＣＵ２００は、スマートメーター２で使用するＳＥ３を危殆化ＳＥ３ａから対策後ＳＥ３ｂに切り替える（ステップＳ２１）。

【符号の説明】

【0047】

１ スマートメーターシステム
２ スマートメーター
２００ ＭＣＵ
３ セキュアエレメント（ＳＥ）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】