特許 7594079 通信システム、遠隔端末装置及びその認証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-11-25

(45)【発行日】2024-12-03

(54)【発明の名称】通信システム、遠隔端末装置及びその認証方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20241126BHJP

   G06F 21/44 20130101ALI20241126BHJP

   G06F 21/64 20130101ALI20241126BHJP

【ＦＩ】

H04L9/32 200A

H04L9/32 200F

G06F21/44

G06F21/64

【請求項の数】 18

【外国語出願】

(21)【出願番号】P 2023204979

(22)【出願日】2023-12-04

【審査請求日】2024-01-02

(31)【優先権主張番号】112144033

(32)【優先日】2023-11-15

(33)【優先権主張国・地域又は機関】TW

(73)【特許権者】

【識別番号】506080739

【氏名又は名称】四零四科技股▲ふん▼有限公司

【氏名又は名称原語表記】Ｍｏｘａ Ｉｎｃ．

(74)【代理人】

【識別番号】100204490

【弁理士】

【氏名又は名称】三上 葉子

(72)【発明者】

【氏名】梁 昶▲ウェイ▼

(72)【発明者】

【氏名】趙 詣威

【審査官】▲柳▼谷 侑

(56)【参考文献】

【文献】特開２０１６－１４３３９６（ＪＰ，Ａ）

【文献】特開２０１６－０３２３００（ＪＰ，Ａ）

【文献】中国特許出願公開第１１１３３８６６３（ＣＮ，Ａ）

【文献】特開２００６－０８５７１４（ＪＰ，Ａ）

【文献】特開２０１１－２２２０１０（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／００－２１／８８

Ｇ０６Ｆ １３／２０－１３／４２

Ｇ０９Ｃ １／００－ ５／００

Ｈ０３Ｊ ９／００－ ９／０６

Ｈ０４Ｂ ７／２４－ ７／２６

Ｈ０４Ｋ １／００－ ３／００

Ｈ０４Ｌ ９／００－ ９／４０

Ｈ０４Ｑ ９／００－ ９／１６

Ｈ０４Ｗ ４／００－９９／００

(57)【特許請求の範囲】

【請求項1】

第１の処理部と、
前記第１の処理部に接続された第１の記憶部と、
を含む処理モジュールを備え、
トリガ部が有効になることに応答して、前記第１の処理部は、プロビジョニングモードで動作し、入出力モジュールと前記処理モジュールが信頼を確立できるようにし、
前記トリガ部が無効になることに応答して、前記第１の処理部は、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが前記処理モジュールに接続することを禁止し、
前記第１の処理部が前記プロビジョニングモードで動作することに応答して、前記第１の処理部は、前記処理モジュールと前記入出力モジュールが互いの証明書を取得するように、前記入出力モジュールに通知信号を送信する、
遠隔端末装置。

【請求項2】

前記第１の処理部は、リンク層検出プロトコル（ＬＬＤＰ）を介して、前記入出力モジュールに前記通知信号を送信する、請求項１に記載の遠隔端末装置。

【請求項3】

前記通知信号は、前記リンク層検出プロトコルの組織固有の情報を含む、請求項２に記載の遠隔端末装置。

【請求項4】

前記処理モジュールと前記入出力モジュールが互いの証明書を取得したことに応答して、
前記第１の処理部は、前記入出力モジュールに処理モジュール証明書を送信し、前記入出力モジュールから入出力モジュール証明書を受信し、前記第１の記憶部に前記入出力モジュール証明書を記憶し、
前記入出力モジュールの第２の処理部は、前記処理モジュールから前記処理モジュール証明書を受信し、前記入出力モジュールの第２の記憶部に前記処理モジュール証明書を記憶する、請求項１に記載の遠隔端末装置。

【請求項5】

前記第１の処理部が前記動作モードで動作することに応答して、
前記第１の処理部は、前記入出力モジュールに第１のハンドシェイクデータを送信し、前記入出力モジュールから第２のハンドシェイクデータを受信し、
前記第１の処理部は、前記第１の記憶部に記憶された第１の秘密鍵に従って前記第２のハンドシェイクデータを復号し、前記第１の記憶部に記憶された前記入出力モジュール証明書を検証し、前記入出力モジュールとの通信接続が確立されているかどうかを確認する、請求項４に記載の遠隔端末装置。

【請求項6】

前記入出力モジュールの前記第２の処理部は、前記第２の記憶部に記憶された第２の秘密鍵に従って前記第１のハンドシェイクデータを復号し、前記第２の記憶部に記憶された前記処理モジュール証明書を検証し、前記処理モジュールとの通信接続が確立されているかどうかを確認する、請求項５に記載の遠隔端末装置。

【請求項7】

前記処理モジュールと前記入出力モジュールは、相互トランスポート層セキュリティ通信プロトコルに基づいて互いの証明書を取得し、信頼を確立する、請求項１に記載の遠隔端末装置。

【請求項8】

前記トリガ部は物理的なボタンであり、前記処理モジュール内に配置される、請求項１に記載の遠隔端末装置。

【請求項9】

前記トリガ部は仮想ボタンであり、遠隔ネットワークインターフェース又はネットワーク管理ツールによって、遠隔操作されて有効又は無効にされる、請求項１に記載の遠隔端末装置。

【請求項10】

前記遠隔端末装置は、前記入出力モジュールをさらに備える、請求項１に記載の遠隔端末装置。

【請求項11】

前記入出力モジュールは、拡張装置内に配置される、請求項１に記載の遠隔端末装置。

【請求項12】

処理モジュールを備える遠隔端末装置の認証方法であって、
トリガ部が有効になることに応答して、前記処理モジュールの第１の処理部は、プロビジョニングモードで動作し、入出力モジュールと前記処理モジュールが信頼を確立できるようにする工程と、
前記トリガ部が無効になることに応答して、前記処理モジュールの前記第１の処理部は、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが前記処理モジュールに接続することを禁止する工程と、を含み、
前記処理モジュールの前記第１の処理部が前記プロビジョニングモードで動作する前記工程は、
前記第１の処理部が前記プロビジョニングモードで動作することに応答して、前記処理モジュールと前記入出力モジュールが互いの証明書を取得するように、前記第１の処理部によって前記入出力モジュールに通知信号を送信することを含む、認証方法。

【請求項13】

前記第１の処理部は、リンク層検出プロトコルを介して前記入出力モジュールに前記通知信号を送信する、請求項１２に記載の認証方法。

【請求項14】

前記通知信号は、前記リンク層検出プロトコルの組織固有の情報を含む、請求項１３に記載の認証方法。

【請求項15】

前記処理モジュールと前記入出力モジュールが互いの前記証明書を取得する前記工程は、
前記処理モジュールの前記第１の処理部によって、前記入出力モジュールに処理モジュール証明書を送信することと、
前記入出力モジュールの第２の処理部によって、前記処理モジュールによって送信された前記処理モジュール証明書を受信し、前記入出力モジュールの第２の記憶部に前記処理モジュール証明書を記憶することと、
前記入出力モジュールの前記第２の処理部によって、前記処理モジュールに入出力モジュール証明書を送信することと、
前記処理モジュールの前記第１の処理部によって、前記入出力モジュールによって送信された前記入出力モジュール証明書を受信し、前記処理モジュールの第１の記憶部に前記入出力モジュール証明書を記憶することと、を含む請求項１２に記載の認証方法。

【請求項16】

前記第１の処理部が前記動作モードで動作する工程に応答して、
前記認証方法は、
前記処理モジュールの前記第１の処理部によって、前記入出力モジュールに第１のハンドシェイクデータを送信し、前記入出力モジュールから第２のハンドシェイクデータを受信する工程と、
前記処理モジュールの前記第１の処理部によって、前記第１の記憶部に記憶された第１の秘密鍵に従って前記第２のハンドシェイクデータを復号し、前記第１の記憶部に記憶された前記入出力モジュール証明書を検証し、前記入出力モジュールとの通信接続が確立されているかどうかを確認する工程と、
前記入出力モジュールの前記第２の処理部によって、前記第２の記憶部に記憶された第２の秘密鍵に従って前記第１のハンドシェイクデータを復号し、前記第２の記憶部に記憶された前記処理モジュール証明書を検証し、前記処理モジュールとの通信接続が確立されているかどうかを確認する工程と、をさらに含む、請求項１５に記載の認証方法。

【請求項17】

前記処理モジュールと前記入出力モジュールは、相互トランスポート層セキュリティ通信プロトコルに基づいて互いの証明書を取得し、信頼を確立する、請求項１２に記載の認証方法。

【請求項18】

処理モジュールを含む遠隔端末装置と、
入出力モジュールを含み、前記遠隔端末装置に接続された拡張装置と、
を備え、
前記処理モジュールのトリガ部が有効になることに応答して、前記処理モジュールは、プロビジョニングモードで動作し、前記入出力モジュールと前記処理モジュールが信頼を確立できるようにし、
前記トリガ部が無効になることに応答して、前記処理モジュールは動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが前記処理モジュールに接続することを禁止し、
前記処理モジュールの第１の処理部が前記プロビジョニングモードで動作することに応答して、前記処理モジュールと前記入出力モジュールが互いの証明書を取得するように、前記第１の処理部は、前記入出力モジュールに通知信号を送信する、通信システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、装置に関し、特に通信システム、遠隔端末装置及びその認証方法に関する。

【背景技術】

【0002】

遠隔端末装置（ＲＴＵ）が悪意のあるプログラムによる攻撃やデータの盗難に遭うことを防ぐために、外部入出力モジュールが信頼できる装置であることをどのように保証するかが、現在この分野で重要な課題となっている。通信分野ではさまざまな通信セキュリティプロトコルが開発されているが、依然として装置間の有効な認証は実現できておらず、接続された装置が偽造されているかどうか、データが盗まれたり改ざんされているかどうかを有効に検証することができていない。

【発明の概要】

【発明が解決しようとする課題】

【0003】

本発明は、外部入出力モジュールが信頼できる装置であることを効果的に保証することのできる通信システム、遠隔端末装置、及びその認証方法を提供する。

【課題を解決するための手段】

【0004】

本発明の遠隔端末装置は、処理モジュールを含む。処理モジュールは、第１の処理部及び第１の記憶部を含む。第１の記憶部は、第１の処理部に接続される。トリガ部が有効になることに応答して、第１の処理部は、プロビジョニングモードで動作し、入出力モジュールと処理モジュールが信頼を確立できるようにする。トリガ部が無効になることに応答して、第１の処理部は、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが処理モジュールに接続することを禁止する。

【0005】

本発明の認証方法は、遠隔端末装置に適用される。遠隔端末装置は、処理モジュールを含む。認証方法は、以下の工程を含む。トリガ部が有効になることに応答して、処理モジュールの第１の処理部は、プロビジョニングモードで動作し、入出力モジュールと処理モジュールが信頼を確立できるようにする。トリガ部が無効になることに応答して、処理モジュールの第１の処理部は、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが処理モジュールに接続することを禁止する。

【0006】

本発明の通信システムは、遠隔端末装置及び拡張装置とを含む。遠隔端末装置は、処理モジュールを含む。拡張装置は、入出力モジュールを含み、遠隔端末装置に接続される。処理モジュールのトリガ部が有効になることに応答して、処理モジュールは、プロビジョニングモードで動作し、入出力モジュールと処理モジュールが信頼を確立できるようにする。トリガ部が無効になることに応答して、処理モジュールは、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが処理モジュールに接続することを禁止する。

【0007】

上記に基づいて、通信システム、遠隔端末装置、及びその認証方法は、入出力モジュールとの信頼関係を効果的に確立することができる。

【発明の効果】

【0008】

本発明の特徴及び利点をより理解しやすくするために、以下の特定の実施形態を図面と併せて詳細に説明する。

【図面の簡単な説明】

【0009】

【図1】本発明の一実施形態による通信システムの概略図である。

【図2】本発明の一実施形態による処理モジュール及び入出力モジュールの概略図である。

【図3】本発明の一実施形態による遠隔端末装置の認証方法のフローチャートである。

【図4】本発明の一実施形態による初期化の概略図である。

【図5】本発明の一実施形態によるプロビジョニングモードの概略図である。

【図6】本発明の一実施形態による互いの証明書を取得するフローチャートである。

【図7】本発明の一実施形態による動作モードの概略図である。

【図8】本発明の一実施形態によるハンドシェーク手順のフローチャートである。

【発明を実施するための形態】

【0010】

次に、本発明の例示的な実施形態を詳細に参照し、その例を図面に示す。可能な限り、図面及び説明では、同じ又は類似の部分を指すために同じ符号を使用する。

【0011】

図１は、本発明の一実施形態による通信システムの概略図である。図１を参照すると、通信システム１００は、遠隔端末装置１１０と、拡張装置１２０と、サーバ１３０と、を含む。遠隔端末装置１１０は、処理モジュール１１１及び複数の入出力（Ｉ／Ｏ）モジュール１１２＿１～１１２＿Ｍを含む。ここで、Ｍは正の整数である。遠隔端末装置１１０は、有線方式（例えば、ケーブル）を介して拡張装置１２０に接続されて良い。遠隔端末装置１１０及び拡張装置１２０はそれぞれ、異なるアプリケーション領域にかなりの距離を置いて配置することができるが、本発明はこれに限定されるものではない。拡張装置１２０は、他の入出力モジュール１２２＿１～１２２＿Ｎを含む。ここで、Ｎは正の整数である。拡張装置１２０は、別の遠隔端末装置であっても良い。遠隔端末装置１１０は、監視、制御、又はデータ収集の関連アプリケーションを実装するために使用されて良い。

【0012】

本実施形態において、処理モジュール１１１は、入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎを管理、制御、又は監視するために使用されて良く、有線又は無線方式を通じてサーバ１３０に接続される。処理モジュール１１１は、入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎによってそれぞれ提供される情報を収集したり、関連情報を入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎに送信したりすることができる。

【0013】

本実施形態において、処理モジュール１１１は、例えば、中央処理装置（ＣＰＵ）を含む関連する処理及び計算回路を含んで良いが、本発明はこれに限定されるものではない。入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎはそれぞれ、異なる種類のセンサ、ＩｏＴ（モノのインターネット）装置、バルブ部、制御部、及び同様の入出力部であっても良いが、本発明はこれに限定されるものではない。本実施形態において、入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎは、異なる使用状態に応じて、遠隔端末装置１１０（すなわち、処理モジュール１１１）が動作モードにあるときに、遠隔端末装置１１０又は拡張装置１２０に選択的に取り付けられるか、又は遠隔端末装置１１０又は拡張装置１２０から選択的に取り外されるように、ホットスワップ（ｈｏｔ ｓｗａｐｐｉｎｇ）機能を有していても良い。

【0014】

具体的には、入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎと処理モジュール１１１との間で信頼が確立されていないものと仮定した場合、入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎのいずれかを遠隔端末装置１１０又は拡張装置１２０に一時的に取り付けると、処理モジュール１１１は、それと信頼を確立することができる。また、ある入出力モジュールが遠隔端末装置１１０の処理モジュール１１１と信頼を確立した後、その入出力モジュールを遠隔端末装置１１０又は拡張装置１２０に随時取り付けると、その処理モジュール１１１は、入出力モジュールとの接続を自動的に確立することができる。対照的に、処理モジュール１１１と信頼関係が確立されていない入出力モジュールを遠隔端末装置１１０又は拡張装置１２０に取り付けると、処理モジュール１１１は、処理モジュール１１１との信頼を確立していない入出力モジュールの接続を直接拒否することを効果的かつ即座に識別することができる。

【0015】

図２は、本発明の一実施形態による処理モジュール及び入出力モジュールの概略図である。図２を参照すると、図１の処理モジュール１１１は、本実施形態の処理モジュール２１０として実装することができ、図１の入出力モジュール１１２＿１～１１２＿Ｍ及び１２２＿１～１２２＿Ｎのいずれかは、本実施形態の入出力モジュール２２０として実装することができる。本実施形態において、処理モジュール２１０は、第１の処理部２１１と、第１の記憶部２１２と、トリガ部２１３と、を含む。第１の処理部２１１は、第１の記憶部２１２及びトリガ部２１３に接続される。入出力モジュール２２０は、第２の処理部２２１と第２の記憶部２２２とを含む。

【0016】

本実施形態において、第１の処理装置２１１及び第２の処理装置２２１は、それぞれ、例えば、中央処理装置（ＣＰＵ）、グラフィックス処理装置（ＧＰＵ）、他のプログラム可能な汎用又は専用マイクロプロセッサ、デジタル信号プロセッサ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ，ＤＳＰ）、プログラマブルコントローラ、特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ，ＡＳＩＣ）、プログラマブルロジック装置（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ，ＰＬＤ）、他の同様の処理部、又はユニットの組み合わせであって良い。本実施形態において、第１の記憶部２１２及び第２の記憶部２２は、例えば、フラッシュメモリ、不揮発性ランダムアクセスメモリ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ，ＮＶＲＡＭ）を含んで良い。

【0017】

図３は、本発明の一実施形態による遠隔端末装置の認証方法のフローチャートである。図２及び図３を参照すると、処理モジュール２１０は、以下の工程Ｓ３１０～Ｓ３４０を実行することができる。工程Ｓ３１０では、トリガ部２１３が有効になり（又はトリガされ）得る。工程Ｓ３２０では、トリガ部２１３が有効になることに応答して、処理モジュール２１０の第１の処理部２１１は、プロビジョンモード（Ｐｒｏｖｉｓｉｏｎ ｍｏｄｅ）で動作し、入出力モジュール２２０と処理モジュール２１０が信頼を確立できるようにすることができる。工程Ｓ３３０では、トリガ部２１３が無効になり得る。工程Ｓ３４０では、トリガ部２１３が無効になることに応答して、処理モジュール２１０の第１の処理部２１１は、動作モード（Ｒｕｎｎｉｎｇ ｍｏｄｅ）で動作し、まだ信頼を確立していない別の入出力モジュールが処理モジュール２１０に接続することを禁止する。動作モードにおいて、処理モジュール２１０は、信頼を確立した入出力モジュール２２０と通信し、データを送信することができる。

【0018】

本実施形態において、トリガ部２１３は物理的なボタンであり、処理モジュール２１０内に配置される。ここで、図１に示される遠隔端末装置１１０は、例えば、セキュリティの高いサーバールームに配備することができる。あるいは、一実施形態において、トリガ部２１３は、外部配線を通じてセキュリティの高い施設内に物理的に配備し、セキュリティの高いサーバルームを通じて保護を強化することもできるが、本発明はこれに限定されるものではない。別の実施形態において、トリガ部２１３は、仮想ボタンであっても良く、例えば、遠隔ネットワークインターフェース又はネットワーク管理ツールによって、遠隔操作されて有効又は無効にされても良い。

【0019】

具体的には、図１に示すように、入出力モジュール２２０が遠隔端末装置１１０又は拡張装置１２０に取り付けられると、処理モジュール２１０と入出力モジュール２２０との間に信頼関係がまだ確立されていないため、処理モジュール２１０は、まず、入出力モジュール２２０が処理モジュール２１０に接続することを禁止する。次に、ユーザが（例えば、物理ボタンを手動でトリガするか、仮想ボタンを介して遠隔操作することによって）トリガ部２１３を有効にすると、処理モジュール２１０と入出力モジュール２２０は信頼の確立を開始する。このようにして、処理モジュール２１０は、セキュリティの高い通信保護メカニズムを実現することができ、入出力モジュール２２０がホットスワップされる場合には、ユーザの操作に応じて動的に信頼を確立することができる。さらに、処理モジュール２１０が信頼できる入出力モジュール２２０を確立する方法については、以下の実施形態で詳細に説明する。

【0020】

図４は、本発明の一実施形態による初期化の概略図である。図２及び図４を参照すると、装置の初期化段階において、処理モジュール２１０は、一意（ｕｎｉｑｕｅ）の処理モジュール秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）４１１及び一意の処理モジュール証明書４１２を確立し、処理モジュール秘密鍵４１１及び処理モジュール証明書４１２を第１の記憶部２１２に記憶することができる。入出力モジュール２２０は、一意の入出力モジュール秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）４２１及び一意の入出力モジュール証明書４２２を確立し、入出力モジュール秘密鍵４２１及び入出力モジュール証明書４２２を第２の記憶部２２２に記憶することができる。なお、処理モジュール２１０及び入出力モジュール２２０はそれぞれ、ランダムな秘密鍵及び証明書を確立することができるが、異なるモジュールによって確立される秘密鍵及び証明書はすべて一意である（すなわち、重複しない）ことに留意されたい。本実施形態において、処理モジュール２１０は、例えば、処理モジュール秘密鍵４１１を、メモリの特定領域又はハードウェアセキュリティモジュール（Ｈａｒｄｗａｒｅ ｓｅｃｕｒｉｔｙ ｍｏｄｕｌｅ，ＨＳＭ）などの第１の記憶部２１２の安全な記憶空間に記憶することができるが、本発明はこれに限定されるものではない。入出力モジュール２２０はまた、入出力モジュール秘密鍵４２１を第２の記憶部２２２の安全な記憶空間に記憶することもできる。

【0021】

図５は、本発明の一実施形態によるプロビジョニングモードの概略図である。図２及び図５を参照すると、装置の初期化後、トリガ部２１３が有効になると、処理モジュール２１０の第１の処理部２１１は、プロビジョニングモードで動作する。本実施形態において、第１の処理部２１１は、処理モジュール２１０と入出力モジュール２２０とが互いの証明書を取得できるように、入出力モジュール２２０に通知信号を送信することができる。第１の処理部２１１は、リンク層検出プロトコル（Ｌｉｎｋ Ｌａｙｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ，ＬＬＤＰ）を介して、入出力モジュール２２０に通知信号を送信することができる。ここで、通知信号は、リンク層検出プロトコルの組織固有の情報を含んで良い。

【0022】

例えば、第１の処理部２１１は、ＬＬＤＰタイプ１２７などのカスタムＬＬＤＰタイプを採用して、通知信号内の関連パラメータを構成することができる。つまり、通知信号のデータフォーマットは、ＬＬＤＰタイプ１２７に準拠することができる。ここで、データフォーマットは、宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ，ＤＡ）、送信元アドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ，ＳＡ）、イーサタイプ（Ｅｔｈｅｒ ｔｙｐｅ）、シャーシ識別子（Ｃｈａｓｓｉｓ ＩＤ）、ポート識別子（Ｐｏｒｔ ＩＤ）、生存時間（Ｔｉｍｅ ｔｏ ｌｉｖｅ，ＴＴＬ）、任意のＴＬＶ （ＯＰＴＩＯＮＡＬ ＴＬＶ） （種類、長さ、値）、及びＬＬＤＰデータユニットの終了ＴＬＶ（Ｅｎｄ ｏｆ ＬＬＤＰＤＵ ＴＬＶ）を含んで良い。ここで、シャーシ識別子、ポートＩＤ、生存時間、任意のＴＬＶ、及びＬＬＤＰＤＵの終了ＴＬＶは、可変のデータ長を有しても良く、第１の処理部２１１は、基本的なＴＬＶデータフォーマットに基づいて、プロビジョニングモードに関する関連データを上記のデータフィールドに暗号化することができる。このようにして、入出力モジュール２２０の第２の処理部２２１がデータフォーマットの通知信号を受信すると、第２の処理部２２１は、第１の処理部２１１がプロビジョニングモードで動作していることを確認し、同期してプロビジョニングモードを実行することができる。

【0023】

本実施形態において、処理モジュール２１０が入出力モジュール２２０にプロビジョニングモードに入るように通知した場合、処理モジュール２１０及び入出力モジュール２２０は、互いの証明書を取得することができる。ここで、処理モジュール２１０及び入出力モジュール２２０は、相互トランスポート層セキュリティ（Ｍｕｔｕａｌ Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ，ＭＴＬＳ）通信プロトコルに基づいて互いの証明書を取得し、信頼を確立することができるが、本発明はこれに限定されるものではない。処理モジュール２１０と入出力モジュール２２０が信頼を確立した後、通信接続４０１を確立することができる。プロビジョニングモードでは、処理モジュール２１０及び入出力モジュール２２０は、処理モジュール２１０と入出力モジュール２２０との間のハンドシェイク（ｈａｎｄｓｈａｋｅ）によって送信されたデータを信頼して良い。

【0024】

図６は、本発明の一実施形態による互いの証明書を取得するフローチャートである。図２、図５及び図６を参照すると、処理モジュール２１０及び入出力モジュール２２０は、以下の工程Ｓ６１０～Ｓ６４０を実行することができる。工程Ｓ６１０では、プロビジョニングモードにおいて、処理モジュール２１０の第１の処理部２１１は、処理モジュール証明書４１２を入出力モジュール２２０に送信して良い。工程Ｓ６２０において、入出力モジュール２２０の第２の処理部２２１は、処理モジュール２１０により送信された処理モジュール証明書４１２を受信し、処理モジュール証明書４１２を第２の記憶部２２２、すなわち、図５の処理モジュール証明書４２３に記憶して良い。工程Ｓ６３０において、入出力モジュール２２０の第２の処理部２２１は、入出力モジュール証明書４２２を処理モジュール２１０に送信して良い。工程Ｓ６４０において、処理モジュール２１０の第１の処理部２１１は、入出力モジュール２２０によって送信された入出力モジュール証明書４２２を受信し、入出力モジュール証明書４２２を第１の記憶部２１２、すなわち、図５の入出力モジュール証明書４１３に記憶して良い。

【0025】

なお、処理モジュール２１０は、異なる入出力モジュールからの複数の異なる入出力モジュール証明書を第２の記憶部２２２に記憶することもできることは注目に値する。また、処理モジュール２１０は、証明書を記録した入出力モジュールによって再度送信された新たな入出力モジュール証明書を受信した場合、その新たな入出力モジュール証明書を第１の記憶部２１２に複製して良い。

【0026】

図７は、本発明の一実施形態による動作モードの概略図である。図２及び図７を参照すると、トリガ部２１３が無効となると、処理モジュール２１０の第１の処理部２１１は、動作モードで動作する。本実施形態において、証明書の検証は、相互トランスポート層セキュリティプロトコルに基づいて、処理モジュール２１０と入出力モジュール２２０との間で実行され得る。ここで、処理モジュール２１０及び入出力モジュール２２０は、ハンドシェイクを実行して、互いの証明書及びそれぞれの事前保存された証明書が通信接続４０１を確立するための検証に合格するかどうかを検証する。本実施形態において、互いの証明書がそれぞれの事前に保存された証明書と同じであるかどうかを検証する方法は、例えば、非対称鍵認証（Ａｓｙｍｍｅｔｒｉｃ Ｋｅｙ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）を実行することによって行うことができる。

【0027】

図８は、本発明の一実施形態によるハンドシェーク手順のフローチャートである。図２、図５及び図６を参照すると、処理モジュール２１０及び入出力モジュール２２０は、以下の工程Ｓ８１０～Ｓ８３０を実行することができる。工程Ｓ８１０において、処理モジュール２１０の第１の処理部２１１は、第１のハンドシェイクデータ４１４を入出力モジュール２２０に送信し、入出力モジュール２２０から第２のハンドシェイクデータを受信する。第１のハンドシェイクデータ４１４は、処理モジュール証明書４１２を含んで良い。第２のハンドシェイクデータ４２４は、入出力モジュール証明書４２２を含んで良い。

【0028】

工程Ｓ８２０において、処理モジュール２１０の第１の処理部２１１は、第１の記憶部２１２に記憶された処理モジュール秘密鍵４１１に従って第２のハンドシェイクデータ４２４を復号し、入出力モジュール証明書４２２を取得し、第１の記憶部２１２に記憶された入出力モジュール証明書４２２及び入出力モジュール証明書４１３を検証して、入出力モジュール２２０との間で信頼が確立されているかどうかを確認することができる。処理モジュール２１０の第１の記憶部２１２は、異なる入出力モジュールに対応する複数の証明書を記憶しても良く、処理モジュール２１０の第１の処理部２１１は、入出力モジュール証明書４２２に従って証明書の検索及び検証動作を実行しても良い。ここで、入出力モジュール証明書４２２及び入出力モジュール証明書４１３が検証に合格した場合、第１の処理部２１１は、入出力モジュール２２０が信頼できる装置であることを確認し、通信接続４０１を確立することができる。対照的に、入出力モジュール証明書４２２及び入出力モジュール証明書４１３の検証に合格しなかった場合、第１の処理部２１１は、入出力モジュール２２０と処理モジュール２１０との接続を禁止（拒絶）する。

【0029】

工程Ｓ８３０において、入出力モジュール２２０の第２の処理部２２１は、第２の記憶部２２２に記憶されている入出力モジュール秘密鍵４２１に従って第１ハンドシェイクデータ４１４を復号し、処理モジュール証明書４１２を取得し、第２の記憶部２２２に記憶されている処理モジュール証明書４１２及び処理モジュール証明書４２３を検証して、処理モジュール２１０との間で信頼が確立されているかどうかを確認することができる。ここで、処理モジュール証明書４１２及び処理モジュール証明書４２３が検証に合格した場合、第２の処理部２２１は、処理モジュール２１０が信頼できる装置であることを確認し、通信接続４０１を確立することができる。このようにして、処理モジュール２１０は、以前のプロビジョニングモードで互いの証明書を正常に取得した状態で入出力モジュール２２０と通信することができ、互いの証明書を正常に取得していない他の入出力モジュールの接続を拒絶することができる。

【0030】

まとめると、本発明の通信システム、遠隔端末装置、及び認証方法は、トリガ部を高いセキュリティで動作させることにより、ホットスワップされた入出力モジュールとの信頼を確立するか否かを判断することができ、処理モジュールと通信する入出力モジュールが信頼できる装置であることを効果的に保証することができる。

【0031】

最後に、上記の実施形態は、専ら本発明の技術的解決策を説明するためにのみ使用され、限定するものではないことに留意されたい。上記の実施形態を参照して本発明を詳細に説明したが、当業者は、上記の実施形態で説明された技術的解決策がさらに変更され得ること、又はその技術的特徴の一部又は全部が等価に置き換えられ得ることを理解すべきである。しかしながら、修正又は置換は、対応する技術的解決策の本質を本発明の実施形態の技術的解決策の範囲から逸脱させるものではない。

【産業上の利用可能性】

【0032】

本発明の通信システム、遠隔端末装置及び認証方法は、遠隔制御システム及びその通信認証方法に適用することができる。

【符号の説明】

【0033】

１００：通信システム
１１０：遠隔端末装置
１１１、２１０：処理モジュール
１１２＿１～１１２＿Ｍ、１２２＿１～１２２＿Ｎ、２２０：入出力モジュール
１２０：拡張装置
１３０：サーバ
２１１：第１の処理部
２１２：第１の記憶部
２１３：トリガ部
２２１：第２の処理部
２２２：第２の記憶部
４０１：通信接続
４１１：処理モジュール秘密鍵
４１２、４２３：処理モジュール証明書
４１３、４２２：入出力モジュール証明書
４１４：第１のハンドシェイクデータ
４２１：入出力モジュール秘密鍵
４２４：第２のハンドシェイクデータ
Ｓ３１０～Ｓ３４０、Ｓ６１０～Ｓ６４０、Ｓ８１０～Ｓ８３０：工程

【要約】      （修正有）

【課題】外部入出力モジュールが信頼できる装置であることを効果的に保証する通信システム、遠隔端末装置、及びその認証方法を提供する。
【解決手段】遠隔端末装置は、処理モジュールを含む。処理モジュールは、第１の処理部及び第１の記憶部を含む。第１の記憶部は、第１の処理部に接続される。トリガ部が有効になることに応答して、第１の処理部は、プロビジョニングモードで動作し、入出力モジュールと処理モジュールが信頼を確立できるようにする。トリガ部が無効になることに応答して、第１の処理部は、動作モードで動作し、まだ信頼を確立していない別の入出力モジュールが処理モジュールに接続することを禁止する。
【選択図】図３

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】