特許 7670177 情報通信システム、情報通信方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-04-21

(45)【発行日】2025-04-30

(54)【発明の名称】情報通信システム、情報通信方法、およびプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20250422BHJP

   G06F 21/44 20130101ALI20250422BHJP

【ＦＩ】

G06F21/57 350

G06F21/44

【請求項の数】 9

(21)【出願番号】P 2023578324

(86)(22)【出願日】2022-02-07

(86)【国際出願番号】 JP2022004590

(87)【国際公開番号】W WO2023148951

(87)【国際公開日】2023-08-10

【審査請求日】2024-07-16

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100178216

【弁理士】

【氏名又は名称】浜野 絢子

(74)【代理人】

【識別番号】100149618

【弁理士】

【氏名又は名称】北嶋 啓至

(72)【発明者】

【氏名】永田 篤志

【審査官】宮司 卓佳

(56)【参考文献】

【文献】特開２０１８－０８１３４９（ＪＰ，Ａ）

【文献】特開２０１６－１３９８８３（ＪＰ，Ａ）

【文献】特開２０１５－０１８４７７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ２１／４４

(57)【特許請求の範囲】

【請求項1】

通信機と、当該通信機の真正性を検証する検証装置を備える、情報通信システムであって、
前記通信機が管理する複数の機器それぞれの真正性を検証する検証手段と、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記検証装置に前記機器の異常報告を通知する通知手段を備え、
前記通信機と最上位検証装置の間に一又は複数の上位検証装置を備え、
前記上位検証装置は、前記上位検証装置の下位に存在する前記通信機又は上位検証装置の真正性を検証する検証手段と、前記真正性の検証結果に異常が検出された場合に、自身の上位に存在する上位検証装置又は最上位検証装置に異常報告を通知する通知手段を備える、
情報通信システム。

【請求項2】

前記最上位検証装置は、
前記最上位検証装置の下位に存在する通信機又は上位検証装置の真正性を検証する検証手段と、前記情報通信システムを構成する機器、通信機および上位検証装置のいずれかの検証結果を出力する出力手段と、を備える、請求項１に記載の情報通信システム。

【請求項3】

前記最上位検証装置における出力手段は、前記情報通信システムを構成する機器、通信機および上位検証装置の検証結果をドリルダウンにより表示する、請求項２に記載の情報通信システム。

【請求項4】

前記最上位検証装置は、真正性の異常が検出された機器を管理する通信機の動作を制御する制御手段を更に備える、請求項２又は３に記載の情報通信システム。

【請求項5】

前記制御手段は、前記通信機の属性証明書を書き換えることにより、前記通信機との通信を停止する、請求項４に記載の情報通信システム。

【請求項6】

異常が検出された機器に対する復旧用のＡＰＩを前記通信機と前記最上位検証装置との間に更に備え、
前記通信機の記憶手段には、復旧のためのプログラムが暗号化されて記憶されており、
前記制御手段は、前記通信機に対し、前記ＡＰＩを通じて前記異常が検出された機器のプログラムの復旧を指示する、請求項４に記載の情報通信システム。

【請求項7】

前記制御手段は、前記通信機又は前記上位検証装置の真正性の異常が検出された場合、更に、当該通信機又は当該上位検証装置に対する復旧動作を制御する、請求項４～６のいずれか一項に記載の情報通信システム。

【請求項8】

通信機が管理する複数の機器それぞれの真正性を検証し、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記通信機の上位に存在する検証装置に、前記機器の異常報告を通知し、
前記通信機と最上位検証装置の間に一又は複数の上位検証装置が備えられ、
前記上位検証装置において、前記上位検証装置の下位に存在する前記通信機又は上位検証装置の真正性を検証する検証手段と、前記真正性の検証結果に異常が検出された場合に、自身の上位に存在する上位検証装置又は最上位検証装置に異常報告を通知する、
情報通信方法。

【請求項9】

通信機が管理する複数の機器それぞれの真正性を検証し、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記通信機の上位に存在する検証装置に、前記機器の異常報告を通知する、ことをコンピュータに実行させ、
前記通信機と最上位検証装置の間に一又は複数の上位検証装置が備えられ、
前記上位検証装置において、前記上位検証装置の下位に存在する前記通信機又は上位検証装置の真正性を検証する検証手段と、前記真正性の検証結果に異常が検出された場合に、自身の上位に存在する上位検証装置又は最上位検証装置に異常報告を通知する、ことをさらにコンピュータに実行させる、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、情報通信システム、情報通信方法、および記録媒体に関する。

【背景技術】

【0002】

様々な業務の現場に設置される機器（エッジコンピュータ）に対するサイバー攻撃が現実的になってきている。例えば、システムベンダーが構築したシステムを顧客に引き渡す際に、悪意をもった第三者により、機器に対して不正な改ざんがなされ、システムが異常動作を起こす場合がある。不正な改ざんは、機器の輸送時や倉庫での保管時、又はシステム構築後の不法侵入等によりなされることがある。

【0003】

これに対し、システムの異常動作を実行させないために、システムを起動する前に機器の真正性を検証することが知られている。例えば、特許文献１には、機器とスマートメータとを備える通信システムにおいて、機器からスマートメータに対して認証要求を行い、認証処理を経た後に機器のデータを読み出す技術が開示されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１６－０３９５６４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１に記載された発明は、機器毎にそれぞれ認証処理を実行する。このため、例えば、検証対象のシステムの構成が階層化し、最下位層に位置する複数の機器が枝分かれした状態で配置されている場合に、どの装置の管理下に存在する機器の異常であるのか特定できない。

【0006】

本開示の目的の一例は、検証対象のシステムの構成が階層化しても、異常が検出された機器がどの装置の管理下であるかを特定可能な情報通信システムを提供することにある。

【課題を解決するための手段】

【0007】

本開示の一態様における情報通信システムは、通信機と、当該通信機の真正性を検証する検証装置を備える情報通信システムであって、通信機が管理する複数の機器それぞれの真正性を検証する検証手段と、複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、検証装置に機器の異常報告を通知する通知手段を備える。

【0008】

本開示の一態様における情報通信方法は、通信機が管理する複数の機器それぞれの真正性を検証し、複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、通信機の上位に存在する検証装置に、前記機器の異常報告を通知する。

【0009】

本開示の一態様における記録媒体は、通信機が管理する複数の機器それぞれの真正性を検証し、複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、通信機の上位に存在する検証装置に、機器の異常報告を通知する、ことをコンピュータに実行させるプログラムを格納する。

【発明の効果】

【0010】

本開示による効果の一例は、検証対象のシステムの構成が階層化しても、異常が検出された機器がどの装置の管理下であるかを特定可能な情報通信システムを提供できる。

【図面の簡単な説明】

【0011】

【図1】図１は、第一の実施形態における情報通信システムの構成を示す図である。

【図2】図２は、第一の実施形態における機器および通信機をコンピュータ装置とその周辺装置で実現したハードウェア構成を示す図である。

【図3】図３は、第一の実施形態における情報通信システムの動作を示すフローチャートである。

【図4】図４は、第二の実施形態における情報通信システムの構成を示す図である。

【図5】図５は、第二の実施形態における出力部による検証結果の出力例である。

【図6】図６は、第二の実施形態における出力部による検証結果の出力例である。

【図7】図７は、第二の実施形態における情報通信システムの動作を示すフローチャートである。

【図8】図８は、第三の実施形態における情報通信システムの構成を示す図である。

【図9】図９は、第三の実施形態における出力部による検証結果の出力例である。

【発明を実施するための形態】

【0012】

次に、実施形態について図面を参照して詳細に説明する。

【0013】

［第一の実施形態］
図１は、第一の実施形態における情報通信システム１０の構成を示す図である。図１を参照すると、情報通信システム１０は、複数の機器１００（１００ａ、１００ｂ）、通信機２００、上位検証装置３００および最上位検証装置４００を有する。内部システム２０は、複数の機器１００と通信機２００とからなる。第一の実施形態における情報通信システム１０は、最上位検証装置４００を頂点とした階層構造となっており、最上位検証装置４００が管理する複数の上位検証装置３００が存在し、各上位検証装置３００が管理する複数の内部システム２０（通信機２００）が存在する。複数の上位検証装置３００は、同じ階層に上位検証装置３００が複数存在する場合と、複数階層に上位検証装置３０が存在する場合とを含む。

【0014】

各機器１００の真正性は、各機器の起動時に生成された各機器１００の構成部品およびプログラムのハッシュ値に基づき、上位の検証装置である通信機２００が検証する。通信機２００は、各機器１００の電源投入等によって開始されるＯＳ等のプログラム起動までの一連の起動動作における真正性を検証する。通信機２００は、いずれかの機器１００の真正性が異常であることを検出すると、上位検証装置３００を介して最上位検証装置４００まで異常報告を通知する。情報通信システム１０は、例えば、機器１００の起動動作が開始される度に機器１００の真正性を検証する。なお、本実施形態において真正性とは、各機器１００において、テスト済みの既知の構成部品およびプログラムだけが動作しており、機器供給やシステム構築過程で不正な改ざんが行われていない状態を意味する。

【0015】

内部システム２０は、例えば、遠隔地に置かれたシステム等、データセンタとの衛星通信や無線通信等のネットワークが完全に遮断されるとクローズド環境となるシステムである。内部システム２０は、例えば、車両、船舶、航空機等の装備品をリアルタイムに制御する装備品システムである。情報通信システム１０において、通信機２００は、各機器１００の検証結果を集約し、衛星通信又は無線通信を使って、上位検証装置３００を介して最上位検証装置４００に送信する。また、通信機２００は、各機器１００の検証結果を同じ上位検証装置の管理下にある別の通信機２００を経由し、上位検証装置３００を介して最上位検証装置４００に送信してもよい。内部システム２０が情報通信システム１０から切り離され、クローズド環境となった場合、後述するように、通信機２００に備えられたランプ又はブザーにより、機器１００の検証結果の異常を報知しても構わない。また、内部システム２０が装備品システムの場合、検証結果は、無線通信により別の車両、船舶又は航空機内の通信機２００を経由し、上位検証装置を介して最上位検証装置４００まで送信されても構わない。その他の内部システム２０に該当するシステムとしては、例えば、コネクテッドカー又は工場内でのＯＴ（Operational Technology）で用いられるシステムが挙げられる。

【0016】

図２は、本開示の第一の実施形態における機器１００および通信機２００のそれぞれを、プロセッサを含むコンピュータ装置５００で実現したハードウェア構成の一例を示す図である。図２に示されるように、機器１００および通信機２００は、それぞれＣＰＵ(Central Processing Unit)５０１、ＲＯＭ（Read Only Memory）５０２、ＲＡＭ（Random Access Memory）５０３等のメモリ、プログラム５０４を格納するハードディスク等の記憶装置５０５、ネットワーク接続用の通信Ｉ／Ｆ（Interface）５０８、データの入出力を行う入出力インターフェース５１１を含む。

【0017】

ＣＰＵ５０１は、ＯＳを動作させて本発明の第一の実施の形態に係る機器１００、通信機２００、上位検証装置３００および最上位検証装置４００の全体を制御する。また、ＣＰＵ５０１は、例えばドライブ装置５０７などに装着された記録媒体５０６からメモリにプログラムやデータを読み出す。また、ＣＰＵ５０１は、第一の実施の形態における機器１００、通信機２００、上位検証装置３００および最上位検証装置４００が備える各部の実現手段およびこれらの一部として機能し、プログラムに基づいて後述する図３に示すフローチャートにおける処理または命令を実行する。

【0018】

記録媒体５０６は、例えば光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク、または半導体メモリ等である。記憶装置の一部の記録媒体は、不揮発性記憶装置であり、そこにプログラムを記録する。また、プログラムは、通信網に接続されている図示しない外部コンピュータからダウンロードされてもよい。

【0019】

入力装置５０９は、例えば、マウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力装置５０９は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネルでもよい。出力装置５１０は、例えばディスプレイで実現され、出力を確認するために用いられる。

【0020】

以上のように、図１に示す第一の実施形態は、図２に示されるコンピュータ・ハードウェアによって実現される。ただし、図１の機器１００、通信機２００、上位検証装置３００および最上位検証装置４００が備える各部の実現手段は、以上説明した構成に限定されない。

【0021】

＜機器１００＞
機器１００（１００ａ、１００ｂ）のそれぞれは、プログラム実行部１０１（１０１ａ、１０１ｂ）と、セキュリティ機能部１０２（１０２ａ、１０２ｂ）と、送信部１０３（１０３ａ、１０３ｂ）と、を備える。なお、図１に図示された複数の機器１００は、２台であるが、複数の機器１００の台数は２台に限られない。複数の機器１００の台数は、実際に内部システム２０内に存在する機器の台数に対応する。

【0022】

プログラム実行部１０１は、機器１００の起動プログラムを実行し、構成部品および起動プログラムのハッシュ値を生成する。プログラム実行部１０１は、例えば、機器１００の電源が投入されると、ブートローダ、ＢＩＯＳ（Basic Input Output System）又はＵＥＦＩ（Unified Extensible Firmware Interface）、ＯＳの順にプログラムを実行する。但し、実行するプログラムはこれに限らない。プログラムは、ブートローダだけが存在するプログラムであっても構わないし、ブートローダ自体が多段であるプログラムであっても構わない。プログラム実行部１０１は、各プログラムを実行しながらＣＰＵ等の構成部品のハッシュ値および各起動プログラムのハッシュ値を生成すると、生成したハッシュ値をセキュリティ機能部１０２に入力する。なお、ハッシュ値は、電子署名されてハッシュ値自体の真正性を確保してもよい。

【0023】

セキュリティ機能部１０２は、耐タンパー性を持った記憶領域を含む。セキュリティ機能部１０２は、悪意を持った第三者による改ざんが難しい領域である。セキュリティ機能部１０２は、プログラム実行部１０１から入力された各ハッシュ値を記憶するとともに、通信機２００に対してハッシュ値を安全に送信するための暗号化処理に必要とする暗号鍵を持ってもよいし、情報発信元を定義した属性証明書を持っていてもよい。セキュリティ機能部１０２は、例えば、ＴＰＭ（Trusted Platform Module）で構成されるが、耐タンパー性を実現できる構成であればこれに限らない。ＴＰＭは、ＯＳやハードウェア、外部からの物理ハッキングに対して改ざんが難しい特性をもつため、耐タンパー性が高い。

【0024】

送信部１０３は、セキュリティ機能部１０２内に格納されたハッシュ値を通信機２００に送信し、機器１００の真正性の検証を要求する。

【0025】

＜通信機２００＞
通信機２００は、送受信部２０１と、認証情報記憶部２０２と、検証部２０３と、通知部２０４と、を備える。なお、通信機２００は、１台で複数のサーバとして運用させる仮想化サーバにより構成されも構わない。

【0026】

送受信部２０１は、機器１００から送信されたデータを受信し、上位検証装置３００に送信する。送受信部２０１は、内部システム２０内のファイアーウォール機能を持っていてもよい。すなわち、送受信部２０１は、内部システム２０の外部とのネットワーク通信について、通信させるかどうかを判定し、許可又は拒否する。

【0027】

認証情報記憶部２０２は、各機器１００の構成部品および各プログラムのハッシュ期待値を記憶する。ハッシュ期待値とは、構成部品や起動プログラムの不正な改ざんがされていない場合に生成される正常時のハッシュ値である。認証情報記憶部２０２は、予め、各機器１００から送受信部２０１を介して受信したハッシュ期待値を記憶する。

【0028】

検証部２０３は、各機器１００の構成部品および各機器１００で実行された起動プログラムの真正性を検証する。検証部２０３は、例えば、真正性が担保されているか否かの２値で判定される。検証部２０３は、いずれかの機器１００から検証要求を受け取ると、起動プログラム実行時に生成されたハッシュ値と認証情報記憶部２０２に格納されたハッシュ期待値とを比較する。但し、検証部２０３による検証方法はこれに限らず、起動プログラム実行時のハッシュ値が正常時のハッシュ値であることを確認できる方法であればよい。

【0029】

検証部２０３は、起動時に取得したハッシュ値がハッシュ期待値と同一である場合、真正性があると判定し、検証結果を通知部２０４に出力する。検証部２０３は、取得されたハッシュ値がハッシュ期待値と異なる場合、真正性がないと判定し、検証結果を通知部２０４に出力する。検証部２０３は、機器１００のいずれかのプログラムのハッシュ値がハッシュ期待値と一致しない場合には、その時点で、真正性がないと判定し、検証結果を通知部２０４に出力しても構わない。

【0030】

通知部２０４は、通信機２００が管理する複数の機器のうち、いずれかの機器１００の真正性の異常が検出された場合に、上位検証装置３００に対して機器１００の異常報告を通知する。通知部２０４は、検証部２０３から真正性がないとの検証結果を受け取ったタイミングで上位検証装置３００に異常報告を通知しても構わない。また、通知部２０４は、最上位検証装置４００から上位検証装置３００経由で真正性の検証結果の送信要求があった場合に、上位検証装置３００に異常報告を通知しても構わない。また、通知部２０４は、ディスプレイ装置等の出力装置５１０に対して機器１００の異常報告を示す情報を表示するように制御しても構わない。また、通知部２０４は、真正性がないとの検証結果を受け取った場合は、通信機２００に備えられたランプ又はブザーにより、異常があることを報知しても構わない。この場合、内部システム２０が情報通信システム１０から切り離され、クローズド環境となった場合でも、機器１００の異常を報知できる。

【0031】

＜上位検証装置３００＞
上位検証装置３００は、送受信部３０１を備えており、通信機２００からの異常報告を受信すると、最上位検証装置４００に異常報告をそのまま通知する。

【0032】

＜最上位検証装置４００＞
最上位検証装置４００は、受信部４０１と、出力部４０２と、を備える。受信部４０１は、上位検証装置３００から異常報告を受信する。出力部４０２は、受信した異常報告を出力する。出力部４０２は、異常報告を受信したことを表示装置等の出力装置５１０に出力する。

【0033】

以上のように構成された情報通信システム１０の動作について、図３のフローチャートを参照して説明する。

【0034】

図３は、第一の実施形態における情報通信システム１０の動作の概要を示すフローチャートである。尚、このフローチャートによる処理は、前述したプロセッサによるプログラム制御に基づいて、実行されてもよい。

【0035】

図３に示すように、まず、機器１００のプログラム実行部１０１は、起動プログラムを実行し、構成部品および起動プログラムのハッシュ値を生成し（ステップＳ１０１）、生成したハッシュ値をセキュリティ機能部１０２に記憶する（ステップＳ１０２）。送信部１０３は、セキュリティ機能部１０２内に格納されたハッシュ値を通信機２００に送信する（ステップＳ１０３）。次いで、通信機２００の送受信部２０１は、生成されたハッシュ値を受信する（ステップＳ１０４）。次に、検証部２０３は、生成されたハッシュ値と認証情報記憶部２０２に格納されたハッシュ期待値とを比較する（ステップＳ１０５）。検証部２０３は、生成されたハッシュ値とハッシュ期待値とが一致する場合（Ｓ１０５；ＹＥＳ）、真正性があると判定し（ステップＳ１０６）、フローを終了する。一方、検証部２０３は、生成されたハッシュ値とハッシュ期待値とが一致しない場合（Ｓ１０５；ＮＯ）、真正性がないと判定し（ステップＳ１０７）、通知部２０４は、上位検証装置３００を介して最上位検証装置４００に異常報告を通知する（ステップＳ１０８）。以上で、情報通信システム１０は、情報通信の動作を終了する。

【0036】

第一の実施形態では、通信機２００が管理する機器１００のいずれかに真正性がないと判定された場合、通知部２０４が上位検証装置３００を介して最上位検証装置４００に異常報告を通知する。このため、最上位検証装置４００は、異常報告を受信した上位検証装置３００の管理下に存在する機器１００が異常であることを特定できる。よって、検証対象のシステムの構成が階層化しても、異常が検出された機器１００がどの装置の管理下にあるかを特定可能である。

【0037】

次に、本開示の第一の実施形態の変形例について説明する。第一の実施形態では、通信機２００が管理する機器１００のいずれかに真正性の異常が検出された場合、上位検証装置３００を介して最上位検証装置４００に異常報告を通知した。この場合、最上位検証装置４００は、異常報告を受信したタイミングで、上位検証装置３００に対し、異常報告を通知した通信機２００を特定する情報を送信するよう要求しても構わない。更に、最上位検証装置４００は、上位検証装置３００を介して、通信機２００に対し、真正性の異常が検出された機器１００を特定する情報を送信するよう要求しても構わない。これにより、最上位検証装置４００は、情報通信システム１０を管理する管理者に対して、異常が検出された機器１００又は当該機器１００を管理する通信機２００を特定する情報を通知することができる。

【0038】

次に、本開示の第二の実施形態について説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。本開示の各実施形態における各構成要素は、図２に示すコンピュータ装置と同様に、その機能をハードウェア的に実現することはもちろんプログラム制御に基づくコンピュータ装置、ソフトウェアで実現することができる。

【0039】

図４は、第二の実施形態における情報通信システム１１の構成を示す図である。第二の実施形態は、通信機２１０の通知部２１４の構成と、上位検証装置３１０および最上位検証装置４１０の構成が第一の実施形態の構成と異なる。上位検証装置３１０は、送受信部３１１と、認証情報記憶部３１２と、検証部３１３と、通知部３１４と、を備える。また、最上位検証装置４１０は、受信部４１１と、認証情報記憶部４１２と、検証部４１３、出力部４１４とを備える。

【0040】

＜通信機２１０＞
第二の実施形態において、通知部２１４は、検証部２１３から真正性がないとの検証結果を受け取ると、真正性がないと判定された機器１１０の情報を異常報告に含めて上位検証装置３１０に対して通知する。この場合、通知部２１４は、例えば、ＴＰＭ内の真正性の検証に用いないＰＣＲ（Platform Configuration Register）の番号に真正性がないと判定された機器１１０の識別子のハッシュ値を記憶し、記憶したハッシュ値を上位検証装置３１０に対して通知してもよい。

【0041】

＜上位検証装置３１０＞
送受信部３１１は、通信機２１０から受信した異常報告を受信すると、通知部３１４に異常報告を受信したことを出力する。

【0042】

認証情報記憶部３１２は、通信機２１０の構成部品および起動プログラムのハッシュ期待値を記憶する。

【0043】

検証部３１３は、通信機２１０が起動するタイミングで通信機２１０の真正性を検証する。検証部３１３は、通信機２１０の起動時に生成されたハッシュ値と認証情報記憶部３１２に記憶されたハッシュ期待値に基づいて、通信機２１０の真正性を検証する。検証部３１３が実行する真正性の検証方法は、第一の実施形態おける通信機２００による機器１００の真正性の検証方法と同様である。検証部３１３は、通信機２１０に真正性がないと判定した場合のみ、検証結果を通知部２１４に出力する。一方、検証部３１３は、通信機２１０に真正性があると判定した場合、検証結果を通知部２１４に出力しない。

【0044】

通知部３１４は、最上位検証装置４１０に対して異常報告を通知する。また、通知部３１４は、検証部３１３から入力された、通信機２１０の真正性の検証結果を保持している。通知部３１４は、送受信部３１１から異常報告が入力されると、通信機２１０の真正性の検証結果を反映して、最上位検証装置４１０に対して異常報告を通知する。すなわち、通知部３１４は、検証部３１３から通信機２１０の真正性の検証結果を受信している場合、機器１１０に対する異常報告に加え、通信機２１０に対する異常報告を通知する。一方、通知部３１４は、検証部３１３から通信機２１０の真正性の検証結果を受信していない場合、機器１１０に対する異常報告のみを通知する。

【0045】

通知部３１４は、真正性がないと判定された機器１１０に及び通信機２１０の情報を異常報告に含めて最上位検証装置４１０に対して通知する。この場合も、通知部３１４は、ＴＰＭ内の真正性の検証に用いないＰＣＲの番号に、真正性がないと判定された機器１１０や通信機２１０の識別子のハッシュ値を記憶し、記憶したハッシュ値を最上位検証装置４１０に対して通知してもよい。また、通知部３１４は、ディスプレイ装置等の出力装置５１０に対して機器１１０や通信機２１０の異常報告を示す情報を表示するように制御しても構わない。また、通知部３１４は、真正性がないとの検証結果を受け取った場合は、上位検証装置３１０に備えられたランプ又はブザーにより、異常があることを報知しても構わない。この場合、上位検証装置３１０と最上位検証装置４１０との間のネットワークが遮断された場合でも、上位検証装置３１０が通信機２１０の異常を報知できる。

【0046】

＜最上位検証装置４１０＞
最上位検証装置４１０は、受信部４１１と、認証情報記憶部４１２と、検証部４１３と、出力部４１４とを備える。

【0047】

受信部４１１は、上位検証装置３１０からハッシュ値を含む異常報告を受信すると、出力部４１４に異常報告を受信したことを出力する。

【0048】

認証情報記憶部４１２は、上位検証装置３１０の構成部品および起動プログラムのハッシュ期待値を記憶する。

【0049】

検証部４１３は、上位検証装置３１０が起動するタイミングで、上位検証装置３１０の真正性を検証する。検証部４１３は、上位検証装置３１０の起動時に生成されたハッシュ値と認証情報記憶部４１２に記憶されたハッシュ期待値に基づいて、上位検証装置３１０の真正性を検証する。検証部４１３による真正性の検証方法は、通信機２００による機器１００の真正性の検証方法と同様である。検証部４１３は、上位検証装置３１０の真正性がないと判定した場合、出力部４１４に検証結果を出力する。一方、検証部４１３は、上位検証装置３１０の真正性があると判定した場合、出力部４１４に検証結果を出力しない。

【0050】

出力部４１４は、情報通信システム１１を構成する機器１１０、通信機２１０および上位検証装置３１０の真正性の検証結果を出力する。また、出力部４１４は、検証部４１３から入力された、上位検証装置３１０の真正性の検証結果を保持している。出力部４１４は、上位検証装置３１０から異常報告を受信すると、異常報告に含まれるハッシュ値および検証部４１３から入力された検証結果に基づき、情報通信システム１１の各階層における構成の異常の有無を特定し、特定した異常の有無をディスプレイ装置等の出力装置５１０に対して表示する。この場合、出力部４１４は、異常報告に含まれるハッシュ値を復号化して、異常が検出された機器１１０及び通信機２１０を特定する。また、出力部４１４は、検証部４１３からの上位検証装置３１０の検証結果の受信の有無によって、上位検証装置３１０の異常の有無を特定する。すなわち、出力部４１４は、検証部４１３から上位検証装置３１０の検証結果を受信している場合、上位検証装置３１０が異常であると特定する。一方、出力部４１４は、検証部４１３から上位検証装置３１０の検証結果を受信していない場合、上位検証装置３１０が正常であると特定する。

【0051】

図５および図６は、出力部４１４による検証結果の出力例である。図５は、情報通信システム１１の構成を示し、図６は、通信機Ｘが管理する機器１１０の構成と検証結果を示す。例えば、出力部４１４は、図５における通信機Ｘが選択されたことを検知すると、図６に示すような通信機Ｘが管理する各機器１１０の異常の有無および検証時刻を表示する。また、出力部４１４は、図６に示すように、異常が検出された機器１１０を強調表示させても構わない。

【0052】

以上のように構成された情報通信システム１１の動作について、図７のフローチャートを参照して説明する。

【0053】

図７は、第二の実施形態における情報通信システム１１の動作の概要を示すフローチャートである。第二の実施形態における情報通信システム１１は、通信機２１０の検証部２１３が、機器１１０の真正性を検証し、いずれかの機器１１０の真正性がないと判定した場合に動作を開始する。尚、このフローチャートによる処理は、前述したプロセッサによるプログラム制御に基づいて、実行されてもよい。

【0054】

図７に示すように、まず、通信機２１０の検証部２１３がいずれかの機器の真正性がないと判定すると（ステップＳ２０１）、通知部２１４が、真正性がないと判定された機器１１０のハッシュ値を上位検証装置３１０に通知する（ステップＳ２０２）。次いで、上位検証装置３１０の送受信部３１１は、通信機２１０から受信したハッシュ値を受信する（ステップＳ２０３）。次いで、通知部３１４は、通信機２１０の真正性の検証結果を反映する（ステップＳ２０４）。次いで、通知部３１４は、真正性がないと判定された機器１１０および通信機のハッシュ値を含む異常報告を最上位検証装置４１０に通知する（ステップＳ２０５）。最上位検証装置４１０は、受信部４１１が、ハッシュ値を含む異常報告を受信すると（ステップＳ２０６）、出力部４１４が上位検証装置３１０の真正性の検証結果を反映する（ステップＳ２０７）。次いで、情報通信システム１１に含まれる構成（機器１１０、通信機２１０及び上位検証装置３１０）の真正性の検証結果を出力する（ステップＳ２０８）。以上で、情報通信システム１１は、情報通信の動作を終了する。

【0055】

本実施形態における情報通信システム１１は、通信機２１０、上位検証装置３１０および最上位検証装置４１０のそれぞれが、自身の下の階層に存在する機器又は装置（通信機）の真正性を検証し、真正性がないと判定した機器又は装置を特定した情報を含めて最上位検証装置４１０まで異常報告を通知する。また、最上位検証装置４１０の出力部４１４が情報通信システム１１に含まれる構成の真正性の検証結果を出力する。これにより、情報通信システム１１に含まれる構成の真正性を情報通信システム１１の管理者が把握することができる。

【0056】

第二の実施形態では、いずれかの機器１１０の真正性に異常が検知されたタイミングで、上位検証装置３１０および最上位検証装置４１０の各検証部が下位の通信機２１０および上位検証装置３１０の真正性をそれぞれ順に検証した。しかし、本実施形態の検証するタイミングは、これに限られない。例えば、通信機２１０および上位検証装置３１０が起動するタイミングで、通信機２１０および上位検証装置３１０がそれぞれの上位の装置に対して真正性の検証要求を行い、各上位の装置が通信機２１０又は上位検証装置３１０の真正性を検証しても構わない。この場合、第二実施形態と同様に、真正性がないと判定された通信機２１０又は上位検証装置３１０を特定するハッシュ値を含む異常報告を最上位検証装置４１０まで送信する。

【0057】

また、第二の実施形態の情報通信システム１１では、通信機２１０と最上位検証装置４１０との間に上位検証装置３１０のみが存在していたが、通信機２１０と最上位検証装置４１０との間に複数の上位検証装置３１０が存在しても構わない。この場合であっても、各上位検証装置３１０は、上位検証装置３１０自身の下位に存在する通信機２１０又は上位検証装置３１０の真正性を検証する検証部３１３と、真正性の検証結果に異常が検出された場合に、自身の上位に存在する上位検証装置３１０又は最上位検証装置４１０に異常報告を通知する通知部３１４を備える。

【0058】

［第三の実施形態］
次に、本開示の第三の実施形態について説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。本開示の各実施形態における各構成要素は、図２に示すコンピュータ装置と同様に、その機能をハードウェア的に実現することはもちろんプログラム制御に基づくコンピュータ装置、ソフトウェアで実現することができる。

【0059】

第三の実施形態は、第二の実施形態において、異常報告された機器１２０のプログラムの復旧を実行する。

【0060】

図８は、第一の実施形態における情報通信システム１２の構成を示す図である。図８に示すように、情報通信システム１２は、異常が検出された機器に対してプログラムの復旧用のＡＰＩ（Application Programming Interface）を通信機２２０と最上位検証装置４２０との間に備える。また、最上位検証装置４２０が制御部４２５を更に備える。また、通信機２２０において記憶装置５０５に復旧用のプログラムが暗号化されて記憶されている。

【0061】

最上位検証装置４２０は、受信部４２１と、認証情報記憶部４２２と、検証部４２３と、出力部４２４と、制御部４２５とを備える。

【0062】

制御部４２５は、検証部４２３により真正性の異常が検出された機器１２０を管理する通信機２２０を制御して機器１２０の復旧動作を実行する。制御部４２５は、内部システム２２に備えられた代替用の機器を起動させてもよい。この場合、制御部４２５は、異常が検出された機器１２０を物理的又は論理的にネットワークから切り離すると共に、遠隔実行により内部システム２２内の代替用の機器を起動する。また、制御部４２５は、当該通信機２２０に対し、ＡＰＩを通じて異常が検出された機器１２０のプログラムの復旧を指示しても構わない。通信機２２０は、制御部４２５からの指示を受けると、記憶装置５０５に記憶している復旧用のプログラムを復号化し、真正性の異常が検出された機器１２０に対してプログラムをインストールするように制御する。

【0063】

図９は、出力部４２４による真正性の検証結果の出力例である。図９に示すように、情報通信システム１２の各構成の検証結果がドリルダウンにより表示されている。図９の例は、図５および図６で示されたシステムの構成をドリルダウンにより表示したものである。図５で示されたシステムの各構成は、図９中のリスト５に該当し、図６で示されたシステムの各構成は、図９中のリスト６に該当する。また、図９で示されるシステムの構成では、衛星Ｃと衛星通信を行うシステムＣに該当することが示されている。出力部４２４は、図９に示すように、異常が検知された機器１２０、機器１２０を管理する通信機名、通信機が設置されているシステム名、システムが通信する衛星名の表示箇所に色が付けられて強調表示しても構わない。なお、情報通信システム１２の各構成の名称や表示方法は図９の例に限られない。例えば、図９におけるシステム名の代わりに、例えば、システムを利用する組織名やシステムが設置されている場所名を表示しても構わない。

【0064】

また、図９の出力例では、異常が検出された機器（機器Ｃ）の表示の横に、復旧ボタンが設けられている。制御部４２５は、この復旧ボタンがクリックされたことを検知すると、通信機２２０に対してプログラムの復旧を指示する。

【0065】

また、制御部４２５は、検証部４２３により真正性の異常が検出された機器を管理する通信機２２０（内部システム２２）との通信を、証明書情報を書き換えることにより停止させても構わない。例えば、制御部４２５は、ＲＦＣ５７５５の仕組みを使って、異常が検出された内部システム２２内の通信機２２０の属性証明書を書き換える。制御部４２５は、異常が検出された内部システム２２を除いて情報通信システム１０を再構成し、情報通信システム１２の縮退運転を実行するように制御しても構わない。

【0066】

第三の実施形態では、制御部４２５が、通信機２２０に対し、復旧用ＡＰＩを通じて異常が検出された機器１２０のプログラムの復旧を指示する。第三の実施形態のように、最上位検証装置４２０からの復旧用ＡＰＩを備えることで、内部システム２２が遠隔地にあり、すぐに現地に赴いて復旧対処することが難しい場合であっても、内部システム２２の機能を継続するための対処をすることができる。

【0067】

以上、各実施の形態を参照して本発明を説明したが、本発明は上記実施の形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しえる様々な変更をすることができる。

【0068】

例えば、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。また、第三の実施形態では、最上位検証装置４２０の制御部４２５が、通信機２２０に対し、復旧用ＡＰＩを通じて異常が検出された機器１２０のプログラムの復旧を指示した。しかし、通信機２２０は、自身が管理するいずれかの機器１２０の異常を検出した場合に、図示しない通信機２２０の制御部が記憶装置５０５に記憶された復旧プログラムを復号化し、真正性の異常が検出された機器１２０に対してプログラムをインストールするように制御しても構わない。この場合、通信機２２０により機器１２０の真正性の異常が検出された場合に、内部システム２２内で自動的に機能を継続するための対処をすることができる。

【0069】

また、第三の実施形態において、制御部４２５は、通信機２２０又は上位検証装置３２０の真正性の異常が検出された場合も同様に、異常が検出された通信機２２０又は上位検証装置３２０に対する復旧動作を制御してもよい。この場合、制御部４２５は、予め情報通信システム１２内に用意している代替機を起動させても構わないし、異常が検出された通信機２２０又は上位検証装置３２０との通信を停止しても構わない。また、制御部４２５は、上述のＡＰＩを通じて異常が検出された通信機２２０又は上位検証装置３２０のプログラムの復旧を指示しても構わない。各復旧用のプログラムは、通信機２２０及び上位検証装置３２０の記憶装置５０５にそれぞれ記憶されている。

【0070】

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

【0071】

（付記１）
通信機と、当該通信機の真正性を検証する検証装置を備える、情報通信システムであって、
通信機が管理する複数の機器それぞれの真正性を検証する検証手段と、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記検証装置に前記機器の異常報告を通知する通知手段を備える、情報通信システム。

【0072】

（付記２）
前記通信機と最上位検証装置の間に一又は複数の上位検証装置を備え、
前記上位検証装置は、前記上位検証装置の下位に存在する前記通信機又は上位検証装置の真正性を検証する検証手段と、前記真正性の検証結果に異常が検出された場合に、自身の上位に存在する上位検証装置又は最上位検証装置に異常報告を通知する通知手段を備える、付記１に記載の情報通信システム。

【0073】

（付記３）
前記異常報告は、前記異常が検出された機器、通信機又は上位検証装置を特定する情報を含む、付記１又は付記２に記載の情報通信システム。

【0074】

（付記４）
前記最上位検証装置は、
前記最上位検証装置の下位に存在する通信機又は上位検証装置の真正性を検証する検証手段と、前記情報通信システムを構成する機器、通信機および上位検証装置のいずれかの検証結果を出力する出力手段と、を備える、付記２に記載の情報通信システム。

【0075】

（付記５）
前記最上位検証装置における出力手段は、前記情報通信システムを構成する機器、通信機および上位検証装置の検証結果をドリルダウンにより表示する、付記４に記載の情報通信システム。

【0076】

（付記６）
前記最上位検証装置は、真正性の異常が検出された機器を管理する通信機の動作を制御する制御手段を更に備える、付記４又は付記５に記載の情報通信システム。

【0077】

（付記７）
前記制御手段は、前記通信機の属性証明書を書き換えることにより、前記通信機との通信を停止する、付記６に記載の情報通信システム。

【0078】

（付記８）
異常が検出された機器に対する復旧用のＡＰＩを前記通信機と前記最上位検証装置との間に更に備え、
前記通信機の記憶手段には、復旧のためのプログラムが暗号化されて記憶されており、
前記制御手段は、前記通信機に対し、前記ＡＰＩを通じて前記異常が検出された機器のプログラムの復旧を指示する、付記６に記載の情報通信システム。

【0079】

（付記９）
前記制御手段は、前記通信機又は前記上位検証装置の真正性の異常が検出された場合、更に、当該通信機又は当該上位検証装置に対する復旧動作を制御する、付記６～８のいずれかに記載の情報通信システム。

【0080】

（付記１０）
通信機が管理する複数の機器それぞれの真正性を検証し、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記通信機の上位に存在する検証装置に、前記機器の異常報告を通知する、情報通信方法。

【0081】

（付記１１）
通信機が管理する複数の機器それぞれの真正性を検証し、前記複数の機器のうち、いずれかの機器に真正性の異常が検出された場合に、前記通信機の上位に存在する検証装置に、前記複数の機器の異常報告を通知する、ことをコンピュータに実行させるプログラムを格納する記録媒体。

【符号の説明】

【0082】

１０、１１、１２ 情報通信システム
１００、１１０、１２０ 機器
１０１、１１１、１２１ プログラム実行部
１０２、１１２、１２２ セキュリティ機能部
１０３、１１３、１２３ 送信部
２００、２１０、２２０ 通信機
２０１、２１１、２２１ 送受信部
２０２、２１２、２２２ 認証情報記憶部
２０３、２１３、２２３ 検証部
２０４、２１４、２２４ 通知部
３００、３１０、３２０ 上位検証装置
３０１、３１１、３２１ 送受信部
３１２、３２２ 認証情報記憶部
３１３、３２３ 検証部
３１４、３２４ 通知部
４００、４１０、４２０ 最上位検証装置
４０１、４１１、４２１ 受信部
４０２、４１４、４２４ 出力部
４１２、４２２ 認証情報記憶部
４１３、４２３ 検証部
４２５ 制御部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】