JP2003348072A - 自律分散網における暗号鍵の管理方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 複数の自律分散網を接続するシステムにおい
て、異なる自律分散網の間の通信における暗号通信を実
現し、セキュリティを高める。 【解決手段】自律分散網１０９，１１１を自律分散網同
士を接続する上位自律分散網１０８に接続するときに、
各自律分散網の鍵管理装置１０１，１０２，１０３同士
で認証を行い、鍵配布用の鍵を共有する方法（６０８）
と、ローカル自律分散網１１１において暗号鍵を発行す
るときに、他の自律分散網１０９の鍵管理装置１０１に
該当する暗号鍵があるかあらかじめ問い合わせ（６０
５）、鍵が存在する場合にはその鍵を発行し（６１
０）、鍵が存在しない場合には（６１８）、問い合わせ
た鍵管理装置１０３が鍵を生成して発行する方法（６１
７）と、鍵を発行した装置が定期的に鍵の更新を行い、
そのときに、他の自律分散網の鍵管理装置にも鍵更新要
求を送信する方法を有する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ブロードキャスト
通信を基本とする自律分散システム、および、複数の自
律分散網を結合することにより構成されるシステムにお
いて、通信のセキュリティを保持するための自律分散網
における暗号鍵の管理方法および装置に関する。

【０００２】

【従来の技術】ネットワーク全体に対して、一斉にメッ
セージの送信を行うブロードキャストは、イーサネット
（登録商標）の第２層で行われる場合、およびＩＰ（Ｉ
ｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のような第３層で
行われる場合などがある。そして、通常は、ブロードキ
ャストを行うための特別な宛先アドレスが指定されて、
送信される。ブロードキャストの利用例としては、ＤＨ
ＣＰ（ＤｙｎａｍｉｃＨｏｓｔ Ｃｏｎｆｉｇｕｒａｔ
ｉｏｎ Ｐｒｏｔｏｃｏｌ）などがあり、これを利用し
てＴＣＰ／ＩＰパラメータの割り当てを受けるクライア
ントは、最初にブロードキャストを実行してＤＨＣＰサ
ーバを探索する。

【０００３】ブロードキャストが多発すると、それがネ
ットワークのトラヒックの多くを占めるため、全体の伝
送効率が低下する。そこで、ある程度大規模なネットワ
ークでは、ルータを用いてネットワークを複数のブロー
ドキャスト・ドメインに分割することが行われる。ルー
タはブロードキャストを中継しないので、ブロードキャ
スト・ドメインを分割するために利用される。

【０００４】自律分散システム（ＡＤＳ：Ａｕｔｏｍｏ
ｕｓ ＤｅｃｅｎｔｒａｌｉｚｅｄＳｙｓｔｅｍ）は、
送る側からデータのみを添付して、アドレスを添付せず
ブロードキャスト送信することで、受ける側が自分のデ
ータであるか否かを判断して、そうであれば受信処理を
行い、関係なければ廃棄する通信システムである。

【０００５】実際には、光ファイバーを使用した加入者
系システムで用いられている。すなわち、加入者線収容
局から個々のユーザ宅までそれぞれ個別に光ファイバー
を設置するのではなく、光ファイバーを途中で光分岐装
置（ＲＴ）でスター型に分配する。このため、加入者線
収容局と光分岐装置の間では、通信が多重される。加入
者線収容局と光分岐装置で二段階のスター構造をとって
いるので、ダブルスターの名称が付けられている。

【０００６】このような自律分散網においては、送信側
に接続される全てのユーザーが送信データを受信するこ
とができるため、セキュリティ技術が重要な問題とな
る。自律分散網におけるセキュリティ技術は、例えば、
石田：“Ｓｔｕｄｙ ｏｆＳｅｃｕｒｉｔｙ Ｔｅｃｈ
ｎｉｑｕｅｓ ｉｎ ｔｈｅ Ｖｅｈｉｃｌｅ−Ｒｏａ
ｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ”，
８ｔｈ Ｗｏｒｌｄ Ｃｏｎｇｒｅｓｓ ｏｎ Ｉｎｔ
ｅｌｌｉｇｅｎｔ ＴｒａｎｓｐｏｒｔＳｙｓｔｅｍ
ｓ,2001.10（以下、前提案と記す）の中に記載されてい
る。

【０００７】

【発明が解決しようとする課題】前記提案のシステム
は、単一の自律分散網によって構成されるシステムか、
あるいは複数の自律分散網が接続したシステム全体で１
台の鍵管理用の装置を設置するようなシステムを想定し
ている。このため、それぞれに鍵管理用の装置をもち、
別々の自律分散網を接続するシステムにおける暗号鍵の
配布方法や更新方法は規定していない。

【０００８】そこで、本発明の目的は、このような従来
の課題を解決し、それぞれに鍵管理用の装置をもつ別々
の自律分散網を接続するシステムにおいて、別々の自律
分散網をまたがる通信において暗号通信を実現するため
に、別々の自律分散網間で同じ暗号鍵の共有を可能とす
る鍵の配布方法と更新方法、さらに、それらの実現の前
提となる認証方法や暗号通信方法を実現する自律分散網
における暗号鍵の管理方法および装置を提供することで
ある。

【０００９】

【課題を解決するための手段】上記目的を達成するた
め、本発明の自律分散網における暗号鍵の管理方法は、
複数の自律分散網を接続する自律分散網において、自律
分散網間で同じ暗号鍵の共有を実現するためために、ロ
ーカル自律分散網で鍵を発行するとき、他のローカル自
律分散網の鍵を管理する装置に暗号鍵がすでに登録され
ているかを問い合わせ、暗号鍵が存在しない場合にのみ
暗号鍵を新たに生成し、暗号鍵を生成した装置が該当す
る鍵に関して鍵の更新を行う管理装置になるものであ
る。以降、簡単のため、複数の自律分散網を接続する自
律分散網を上位自律分散網、上位自律分散網によって接
続されるそれぞれの自律分散網をローカル自律分散網と
呼ぶ。

【００１０】上位自律分散網に接続するローカル自律分
散網の鍵の管理装置は、上位自律分散網にに接続してい
る他のローカル自律分散網の鍵管理装置に対して乱数を
配布し、認証を行い、認証の結果で正当と判断した鍵管
理装置の鍵配布用鍵を登録する。逆に、上位自律分散網
に接続している他のローカル自律分散網の鍵管理装置
も、上位自律分散網に接続するローカル自律分散網の鍵
管理装置に対して乱数を配布し、認証を行い、認証の結
果で正当と判断した鍵管理装置の鍵配布鍵を登録する。
以上の方法により、上位自律分散網に接続する鍵管理装
置は互いの鍵配布用の鍵を共有することができる。

【００１１】鍵配布装置が管理するローカル自律分散網
内の装置が暗号鍵を必要とする場合、ローカル自律分散
網内の装置は、鍵管理装置に暗号鍵を問い合わせる。暗
号鍵の問い合わせを受けた鍵管理装置は、すでに該当す
る暗号鍵を持っている場合には、その暗号鍵を配布し、
該当する暗号鍵がない場合には、他のローカル自律分散
網の鍵管理装置に対応する鍵があるか問い合わせを行
い、対応する鍵がない場合にのみ暗号鍵を新たに生成し
て発行する。鍵を発行した鍵管理装置は、以降該当する
鍵に対して定期的な鍵更新を行う装置となり、該当する
鍵を更新するときには、他のローカル自律分散網の鍵管
理装置に対しても鍵の更新通知を送信する。

【００１２】以上の方法により、上位自律分散網によっ
て接続される複数の自律分散網で同じ暗号鍵を共有する
ことが可能となり、異なる自律分散網の間の通信におけ
る暗号通信が可能となる。

【００１３】

【発明の実施の形態】以下、本発明の実施例を、図面に
より詳細に説明する。図１は、本発明の一実施例を示す
複数の自律分散網が相互接続しているネットワークの構
成図である。本実施例では、走行する車両と無線通信を
行う基地局１０４，１０５，１０６を自律分散網で接続
するシステムを想定している。なお、図１では、ローカ
ル路側網１１０には、何も記載がないが、他と同じよう
に基地局などが接続されている。基地局を接続する自律
分散網を路側網と呼ぶこととする。すなわち、ＩＴＳ
（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙ
ｓｔｅｍ）では、道路の側に通信網を配線していること
から、路側網と呼ばれる。

【００１４】基地局１０４，１０５，１０６は、数台か
ら数十台ごとにローカル路側網１０９，１１０，１１１
を構成し、複数のローカル路側網１０９，１１０，１１
１を上位路側網１０８が接続している構成となってい
る．ローカル路側網１０９，１１０，１１１には、ゲー
トウェイ１０１，１０２，１０３と基地局１０４，１０
５，１０６とローカルサーバ１０７が接続している。ロ
ーカル路側網と上位路側網は自律分散網（ＡＤＳ）とな
っており、各路側網内の通信はブロードキャストされ、
受信側が受信するかしないかを判断する．

【００１５】以降、路側網内にデータを送信するという
記載は、基本的に路側網内にブロードキャストされるこ
とを意味する。ゲートウェイはローカル路側網と上位路
側網の両方に接続しており、各路側網の橋渡しを行う。
本実施例では、ゲートウェイ１０１は上位路側網１０８
とローカル路側網１０９を接続し、ゲートウェイ１０２
は上位路側網１０８とローカル路側網１１０を接続し、
ゲートウェイ１０３は上位路側網１０８とローカル路側
網１１１と接続している。ローカルサーバは、鍵管理の
面から基地局と同じ扱いとなるので、以降の説明からは
省略する。自律分散網において、鍵管理用の装置を設定
し、自律分散網に新規の装置を接続するときには、鍵管
理用の装置と新規に接続する装置の間で認証を行い、鍵
管理用の装置が必要な暗号鍵の配布と、暗号鍵の定期的
な更新を管理している。

【００１６】図２は、図１におけるゲートウェイ装置の
概略構成図である。図２に示すように、本実施例のゲー
トウェイ装置は、ＣＰＵ２０１と、入力装置２０２と、
出力装置２０３と、通信装置２０４と、メモリ２０５と
を有している。ＣＰＵ２０１は、ゲートウェイ装置全体
の動作を制御する装置である。メモリ２０５は、ゲート
ウェイ装置全体の動作を制御する際に、そのための各種
プログラムやデータをロードする記憶装置である。入力
装置２０２は、ゲートウェイ装置に対して鍵など設定情
報の入力や、鍵更新実行など路側網管理用コマンドの入
力を行う装置である。

【００１７】出力装置２０３は、ゲートウェイや路側網
の状態など、管理に伴う各種出力を行う装置である。通
信装置２０４は上位路側網やローカル路側網、あるいは
その他に接続するネットワークを介して他の処理装置と
の通信を行う装置である。図２では、上位路側網への接
続ａ、ローカル路側網への接続ｂ、その他の処理装置へ
の接続ｃのそれぞれが設けられる。また、ゲートウェイ
装置は、認証を行う認証処理部２０６と、暗号化を行う
暗号化処理部２０７と、鍵を発行する鍵発行処理部２０
８と、鍵の更新を行う鍵更新処理部２０９と、テーブル
から鍵を検索する鍵検索処理部２１０とを有している。
これらは、いずれもプログラムにより処理が行われる。

【００１８】また、自分の通信に使用する暗号鍵を格納
する暗号鍵テーブル２１１と、鍵送信用に用いる他の基
地局やゲートウェイの鍵配布用公開鍵を格納する鍵送信
用鍵テーブル２１２と、自ローカル路側網内の基地局な
どに配布した鍵の情報を格納する鍵配布用鍵テーブル２
１３とを有している。

【００１９】図３は、上位路側網に接続する装置が他の
装置を認証する処理のシーケンスチャートである。ここ
では、ゲートウェイ１０３を上位路側網１０８に新規接
続したときに，ゲートウェイ１０３が上位路側網に接続
している他のゲートウェイ１０１，１０２を認証する処
理を示している。図３の上方の枠はゲートウェイ１０１
による署名と署名鍵と鍵配布鍵の送信およびゲートウェ
イ１０３による登録処理であり、下方の枠はゲートウェ
イ１０２による署名、署名鍵、鍵配布鍵の送信およびゲ
ートウェイ１０３による登録処理である。

【００２０】上位路側網１０８にゲートウェイが新規接
続すると(３０１)、ゲートウェイ１０３は乱数を生成し
(３０２)、上位路側網１０８に送信する(３０３)。既に
述べたが、路側網内の通信はブロードキャストであるた
め、上位路側網のすべてのゲートウェイに乱数が送信さ
れる。乱数を受け取ったゲートウェイ１０１は、ゲート
ウェイの署名用秘密鍵を用いて乱数に対して署名を作成
し(３０４)、作成した署名，署名用公開鍵と鍵配布用公
開鍵を送信する(３０５)。上位路側網１０８に新規接続
したゲートウェイ１０３は、署名を受け取り、署名用公
開鍵を用いて、署名の検証を行う(３０６)。

【００２１】ゲートウェイ１０１から送信される署名用
公開鍵には証明書が添付されているものとし、受信した
ゲートウェイ１０３は証明書の検証を行うものとする。
署名の検証に成功した場合は、署名を作成したゲートウ
ェイ１０１の鍵配布用公開鍵を登録する(３０７)。一
方、ゲートウェイ１０２から送信される鍵配布用公開鍵
にも証明書が添付されているものとし、受信したゲート
ウェイ１０３は証明書の検証を行うものとする。路側網
に接続する他のゲートウェイも、乱数に対して同様の処
理を行う(３０８〜３１１)。以上により、上位路側網１
０８に新規接続したゲートウェイ１０３が、路側網の他
のゲートウェイ１０１，１０２の正当性を確認し、他の
ゲートウェイに暗号鍵を配布するための鍵を取得するこ
とができた。乱数に対する署名を行う際に、公開鍵も含
めて署名対象とすることで、公開鍵の差し替えを防止す
る方式も考えられる。

【００２２】図４は、上位路側網に接続する装置が他の
装置から認証される処理のシーケンスチャートである。
ここでは、ゲートウェイ１０３を上位路側網１０８に新
規接続したときに、ゲートウェイ１０３が上位路側網１
０８に接続している他のゲートウェイ１０１，１０２か
ら認証される処理を示している。なお、新規接続したゲ
ートウェイ１０３から乱数要求を同報送信するが、ゲー
トウェイ１０１の処理は破線で示すように上の枠で示さ
れ、ゲートウェイ１０２の処理は破線で示すように下の
枠で示されている。勿論、同時に行われる場合もあり、
上下逆の順序で行われる場合もある。上位路側網にゲー
トウェイが新規接続すると(４０１)、上位路側網に新規
接続したゲートウェイ１０３は、上位路側網１０８に乱
数要求を送信する(４０２)。乱数要求を受け取ったゲー
トウェイ１０１は、乱数を生成し(４０３)、生成した乱
数を上位路側網１０８に送信する(４０４)。上位路側網
１０８に新規接続したゲートウェイ１０３は、乱数を受
信し、ゲートウェイ１０３の署名用秘密鍵を用いて乱数
に対して署名を作成し(４０５)、上位路側網１０８に乱
数と、作成した署名と、ゲートウェイ１０３の署名用公
開鍵と鍵配布用公開鍵を送信する(４０６)。なお、乱数
も送信するのは、この署名はどのゲートウェイが作成し
た乱数を用いて作成したかを示すためである。

【００２３】乱数を送信したゲートウェイ１０１は、署
名を受信し、乱数が自分が発行した乱数である場合に
は、署名用公開鍵を用いて受け取った署名を検証する
(４０７)。送信される署名用公開鍵には証明書が添付さ
れているものとし、受信したゲートウェイ１０１は証明
書の検証を行うものとする。署名の検証に成功した場合
には、署名を作成したゲートウェイ１０３の鍵配布用公
開鍵を登録する(４０８)。送信される鍵配布用公開鍵に
は、証明書が添付されているものとし、受信したゲート
ウェイは証明書の検証を行うものとする。

【００２４】他のゲートウェイが作成した乱数に対する
署名を受信したゲートウェイ１０２は、署名の検証を任
意で行ってよい(４０９)。ただし、署名の検証に失敗し
た場合に該当するゲートウェイの接続を禁止してもよい
が、他のゲートウェイが作成した乱数に対する署名の検
証に成功しても、該当するゲートウェイを登録してはい
けない。乱数要求は上位路側網１０８にブロードキャス
トされるので、上位路側網１０８の他のゲートウェイも
乱数を生成して送信し、ゲートウェイごとに同様の処理
が実行される（４１０〜４１６）。乱数に対する署名を
行う際に、公開鍵も含めて署名対象とすることで、公開
鍵の差し替えを防止する方式も考えられる。

【００２５】図５は、上位路側網を介して暗号通信を行
う処理のシーケンスチャートである。ゲートウェイが転
送を行うためには、ゲートウェイが接続するローカル路
側網に接続する基地局から、その基地局が受信するＳＩ
Ｄを登録されている必要がある。図５の例では、基地局
１０４がゲートウェイ１０１に受信するＳＩＤ（Ｓｅｒ
ｖｉｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を既に登録済みであ
るとする(５０１)。データを送信する基地局１０６は、
送信するデータのＳＩＤに対応する暗号鍵でデータを暗
号化し(５０２)、ローカル路側網１１１に送信する(５
０３)。ローカル路側網１１１に接続する各装置は通常
の受信処理を行うが、同時にゲートウェイ１０３は受信
したデータのＳＩＤから転送判定を行い(５０４)、上位
路側網１０８にデータを送信する(５０５)。なお、ゲー
トウェイは、転送判定を行わずにすべての送信データを
転送する方針としてもよい。

【００２６】上位路側網１０８の他のゲートウェイ１０
１は、受信したデータのＳＩＤから転送判定を行い(５
０６)、該当するＳＩＤがローカル路側網１０９の基地
局１０４からあらかじめ登録されているものと一致する
場合には、該当データをローカル路側網１０９側に送信
する。ローカル路側網１０９に接続している基地局１０
４は、ＳＩＤで受信判定を行い、受信したデータをＳＩ
Ｄに対応する暗号鍵で復号する(５０８)。本実施例で
は、ローカル路側網１０９，１１１と上位路側網１０８
が同じＳＩＤと暗号鍵を共有している場合を想定してい
るので、ゲートウェイ１０１，１０３は一方の路側網か
ら受信したデータをそのままもう一方の路側網へ転送で
きる。ローカル路側網１０９，１１１と上位路側網１０
８が異なるＳＩＤか暗号鍵、あるいはその両方を用いて
いる場合は、転送時にゲートウェイ１０１，１０３がＳ
ＩＤの書き換えや、暗号のかけなおしを行うことで、転
送が可能となる。

【００２７】図６は、ローカル路側網において、暗号鍵
を発行する処理のシーケンスチャートである。図６で
は、基地局１０６がＳＩＤに対応する暗号鍵を要求する
場合の手順を例にしている。上方の枠（６０８）は、ゲ
ートウェイ１０１であった場合に暗号化した暗号鍵の配
布手順を示し、また下方の枠（６１７）は、ゲートウェ
イ１０１，１０２においてＳＩＤに対応する暗号鍵がな
いときの鍵の配布手順を示している。なお、ＳＩＤに対
応する暗号鍵は、（イ）その暗号鍵で装置が送受信する
か否か、（ロ）その暗号鍵でデータを暗号化するか否
か、を判断する判断基準となっている。従って、各基地
局、各ゲートウェイは、ＳＩＤに対応する暗号鍵を持っ
ていなければならない。

【００２８】図６の手順により、ローカル路側網１０
９，１１１と上位路側網１０８が同じ暗号鍵を共有する
ことを実現している。基地局１０６は、ローカル路側網
１１１に接続したとき(６０１)に、ゲートウェイ１０３
との間で認証を行い(６０２)、基地局１０６の鍵配布用
公開鍵が既にゲートウェイ１０３に登録されているもの
とする。なお、ローカル路側網１１１内で行う認証は、
前に配布されている暗号鍵で行われる。ＳＩＤに対応す
る暗号鍵を要求する基地局１０６は、ＳＩＤを指定して
鍵の問い合わせをローカル路側網１１１に送信する(６
０３)。鍵の問い合わせを受け取ったゲートウェイ１０
３は、受け取ったＳＩＤに対応する暗号鍵が登録されて
いるか検索を行い(６０４)、暗号鍵がある場合には、該
当する基地局１０６の鍵配布用公開鍵で暗号化してロー
カル路側網１１１に送信する（図６では、経路は省
略）。

【００２９】該当する暗号鍵が登録されていない場合に
は、ゲートウェイ１０３は上位路側網１０８に鍵の問い
合わせを送信する(６０５)。鍵の問い合わせを受け取っ
た上位路側網のゲートウェイ１０１，１０２は、ＳＩＤ
に対応する暗号鍵が登録されているか否かの検索を行う
(６０６，６０７)。対応する暗号鍵が上位路側網１０８
上のゲートウェイ１０１に登録されている場合の処理を
(６０８)に示す。ＳＩＤに対応する暗号鍵を持つゲート
ウェイ１０１は、暗号鍵を要求元のゲートウェイ１０３
の鍵配布用公開鍵で暗号化し(６０９)、上位路側網１０
８にＳＩＤと暗号鍵を送信する(６１０)。このとき、暗
号鍵を送信するゲートウェイ１０１は、自身の秘密鍵を
用いて署名を作成して一緒に送信することで、不正な鍵
の送信を防止することもできる。暗号鍵の問い合わせを
行ったゲートウェイ１０３は、返答を受け取り、自身の
鍵配布用秘密鍵を用いて暗号鍵を復号し(６１１)、登録
する(６１２)。

【００３０】このとき，暗号鍵に署名を付加する方式を
採用している場合には、署名の検証を行い、署名が正当
な場合だけ暗号鍵を登録する。そして、ゲートウェイ１
０３は暗号鍵を、鍵の問い合わせ元の基地局１０６の鍵
配布用公開鍵を用いて暗号化し(６１３)、ＳＩＤと暗号
鍵をローカル路側網１１１に送信する(６１４)。このと
き、同様に署名を生成して付加することで、不正な鍵の
送信を防止することができる。暗号鍵の問い合わせを行
った基地局１０６は、データを受け取り、自身の鍵配布
用秘密鍵を用いて暗号鍵を復号し(６１５)、登録する
(６１６)。

【００３１】ＳＩＤに対応する暗号鍵が存在しない場合
の処理を（６１７）に示す。上位路側網１０８のすべて
のゲートウェイ１０１，１０２から対応する鍵がないと
いう応答が帰ってきた場合(６１８，６１９)、または、
規定時間内に応答がない場合、暗号鍵を要求したゲート
ウェイ１０３が暗号鍵を新たに生成し(６２０)、鍵を自
身に登録する(６２１)。ゲートウェイ１０３は暗号鍵を
問い合わせた基地局１０６の鍵配布用公開鍵を用いて暗
号鍵を暗号化し(６２２)、ＳＩＤと暗号鍵をローカル路
側網１１１に送信する(６２３)。このとき、ゲートウェ
イが署名を作成して付加する方式も考えられる。暗号鍵
を問い合わせた基地局１０６はデータを受け取り、自身
の鍵配布用秘密鍵を用いて暗号鍵を復号し(６２４)、登
録する(６２５)。このとき署名を付加する方式の場合
は、署名の検証を行い、署名が正当な場合にのみ暗号鍵
を登録する。

【００３２】図７は、暗号鍵を発行した装置以外の装置
が、暗号鍵を更新する手順を示すシーケンスチャートで
ある。本実施例では、暗号鍵ごとに、暗号鍵を発行した
ゲートウェイ１０３が、別々に更新処理を行う。ゲート
ウェイ１０３は一定時間ごとに、または指定された条件
を満たしたときに鍵更新処理を実行する。まず、ゲート
ウェイ１０３は新しい暗号鍵を生成し(７０１)、生成し
た暗号鍵を更新前の暗号鍵を用いて暗号化して(７０
２)、上位路側網１０８に暗号鍵の更新要求を送信する
(７０３)。上位路側網１０８に接続しているゲートウェ
イ１０１，１０２は、暗号鍵の更新要求を受け取り、指
定のＳＩＤに対応する暗号鍵を持たないゲートウェイ１
０２は更新を行わない（７０４）。

【００３３】指定のＳＩＤに対応する暗号鍵を持つゲー
トウェイ１０１は、受信した暗号鍵を、更新前の暗号鍵
で復号し(７０５)、暗号鍵を復号した鍵に更新する(７
０６)。ゲートウェイ１０１は、新しい暗号鍵を更新前
の暗号鍵で暗号化して(７０７)、ローカル路側網１０９
に暗号鍵の更新要求を送信する。ローカル路側網１０９
に接続している基地局１０４は、暗号鍵の更新要求を受
信し、指定のＳＩＤに対応する暗号鍵をもつ場合には、
暗号鍵を復号して(７０９)、鍵を更新する(７１０)。暗
号鍵の更新を要求したゲートウェイ１０３は、自身が接
続するローカル路側網１１１への鍵更新要求を行う。

【００３４】ゲートウェイ１０３は、更新する暗号鍵を
更新前の暗号鍵を用いて暗号化し(７１１)、暗号鍵の更
新要求をローカル路側網１１１に送信する(７１２)。ロ
ーカル路側網１１１に接続している基地局１０５，１０
６は暗号鍵の更新要求を受信し、指定のＳＩＤに対応す
る暗号鍵を持たない基地局１０５は、鍵の更新を行わず
(７１３)、指定のＳＩＤに対応する暗号鍵を持つ基地局
１０６は、受信した暗号鍵を更新前の暗号鍵を用いて復
号し(７１４)、暗号鍵を更新する(７１５)。本実施例で
は、簡単のために、鍵の更新を一回で行う方式で説明し
ているが、前提案と同様の方法で、段階に分けて鍵の更
新を行う方式も本発明に適用できる。

【００３５】図８は、鍵を生成した装置が切断している
場合などの鍵更新手順を示すシーケンスチャートであ
る。暗号鍵を生成したゲートウェイが上位路側網１０８
から切断している場合など、鍵を生成したゲートウェイ
による鍵更新ができない場合には、該当する暗号鍵を発
行したゲートウェイ以外で、該当する暗号鍵を持つがゲ
ートウェイはタイマなどにより更新間隔を測定し、通常
の更新間隔以上のあらかじめ規定された時間が経過して
も鍵更新が行われない場合に、残ったゲートウェイの間
で１台のゲートウェイを選出する(８０１)。選出方法と
しては、あらかじめ優先順位を決定していく方法や、乱
数などによりランダムに設定する方法がある。選出され
たゲートウェイ１０１は、通常の鍵更新と同じ手順で暗
号鍵の更新を行う。

【００３６】すなわち、選出されたゲートウェイ１０１
は鍵を作成し（８０２）、この鍵を用いて暗号化して
（８０３）、上位路側網１０８に鍵更新要求を送信する
（８０４）。ゲートウェイ１０２は、ＳＩＤに対応する
鍵を使用しないため更新しない（８０５）。ゲートウェ
イ１０３は、鍵更新要求に従って、受信した暗号鍵を更
新前の暗号鍵で復号化し（８０６）、鍵を更新する（８
０７）。ゲートウェイ１０１と１０３は、更新した鍵を
用いて暗号化し、下位路側網１０９，１１１内の基地局
１０４または１０５，１０６などに鍵更新要求を行う
（８１４，８０９）。ＳＩＤに対応する鍵を登録してい
る基地局１０４，１０６は、更新前の鍵で受信した暗号
鍵を復号化し（８１５，８１１）、鍵を更新する（８１
６，８１２）。また、基地局１０５は、ＳＩＤに対応す
る鍵を登録していないため、更新しない（８１０）。こ
の場合、更新元となるゲートウェイが異なる以外は、図
７の手順と同じである。

【００３７】

【発明の効果】以上説明したように、本発明によれば、
上位自律分散網に接続する複数の自律分散網の間で同じ
暗号鍵を共有することができるので、複数の自律分散網
を接続して構成されるシステムにおける暗号通信と鍵管
理を実現でき、通信におけるセキュリティを高めること
ができる。

【図面の簡単な説明】

【図１】本発明の一実施例を示す自律分散システムの概
略構成図である。

【図２】図１におけるゲートウェイ装置の概略構成を示
す図である。

【図３】本発明において、上位路側網に接続する装置が
他の装置を認証する処理のシーケンスチャートである。

【図４】本発明において、上位路側網に接続する装置が
他の装置から認証される処理のシーケンスチャートであ
る。

【図５】本発明において、ローカル路側網に接続する装
置が送信するデータを他のローカル路側網に接続する装
置が受信する際の処理のシーケンスチャートである。

【図６】本発明のローカル路側網において、暗号鍵を発
行する処理のシーケンスチャートである。

【図７】本発明において、発行した暗号鍵の更新を行う
処理のシーケンスチャートである。

【図８】本発明において、暗号鍵を発行した装置以外の
装置が、暗号鍵の更新を行う処理のシーケンスチャート
である。

【符号の説明】

１０１，１０２，１０３…ゲートウェイ、１０４，１０
５，１０６…基地局、１０７…ローカルサーバ、１０８
…上位路側網、１０９，１１０，１１１…ローカル路側
網、２０１…ＣＰＵ、２０２…入力装置、２０３…出力
装置、２０４…通信装置、２０６…認証処理部、２０７
…暗号化処理部、２０８…鍵発行処理部、２０９…鍵更
新処理部、２１０…鍵検索処理部、２１１…暗号鍵テー
ブル、２１２…鍵送信用鍵テーブル、２１３…鍵配布用
鍵テーブル、３０４，３０８…署名作成、３０５，３０
９…署名、署名鍵、鍵配布鍵送信、３０６，３１０…署
名検証、３０７，３１１…鍵配布鍵登録、４０１…新規
接続、４０２…乱数要求、４０３，４１０…乱数作成、
４０４，４１１…乱数送信、４０７，７１５…署名検
証、４０６，４１３…乱数、署名、署名鍵、鍵配布鍵の
送信、４０７，４１５，４１４…署名検証、４０８，４
１６…鍵配布鍵登録、５０２…暗号化、５０３，５０５
…送信、５０４，５０６…転送判定、５０８…復号、６
０１…新規接続、６０２…接続時の認証、６０３，６０
５…鍵問い合わせ、６０４，６０６…鍵の検索、６０
９，６２２…暗号化、６１０…応答（ＳＩＤ，暗号
鍵）、６１８，６１９…ＳＩＤ，鍵なし、６２０…鍵生
成、６１１…復号、６１２，６２１…鍵の登録、６２３
…ＳＩＤ，暗号鍵、６１５，６２４…復号、６１６，６
１５…鍵の登録、７０１…鍵作成、７０２，７１１…暗
号化、７０３…鍵更新(ＳＩＤ，暗号鍵)、７０５，７０
７，７１４…復号化、７０６，７１０，７１５…鍵の更
新、７０４，７１３…更新なし、８０１…鍵生成装置の
決定、８０２…鍵の作成、８０３，８０８，８１３…暗
号化、８１５，８１１…復号化、８０６，８１２…鍵の
更新、８０４，８１４，８１９…鍵更新要求。

Claims (5)

【特許請求の範囲】
1. 【請求項１】 ブロードキャストにより通信を行うネッ
   トワークの暗号鍵の管理方法において、 該ネットワークに接続する装置が他の装置に対して乱数
   を送信し、 該ネットワークに接続している他の装置がその乱数に対
   してそれぞれ署名を作成して、暗号通信用の鍵を添付し
   て送信し、 前記乱数を送信した装置が、それぞれの装置から受信し
   た署名を検証して正当性を確認した後に、暗号通信用の
   鍵を登録することにより、該ネットワークに接続する装
   置が該ネットワークに接続している他の装置の暗号通信
   用の鍵を取得することを特徴とする自律分散網における
   暗号鍵の管理方法。
2. 【請求項２】 ブロードキャストにより通信を行うネッ
   トワークにおいて、 該ネットワークに接続する装置が、他の装置に対して乱
   数を要求し、 該乱数の要求を受け取った装置はそれぞれ乱数を送信
   し、 前記乱数を要求した装置が、それぞれの乱数に対して署
   名を作成して暗号通信用の鍵と元の乱数を添付して送信
   し、 前記乱数を送信した装置が、前記乱数を要求した装置か
   ら受信した署名を検証して正当性を確認した後に、暗号
   通信用の鍵を登録することにより、該ネットワークに接
   続する装置の暗号通信用の鍵を該ネットワークに接続し
   ている他の装置が取得することを特徴とする自律分散網
   における暗号鍵の管理方法。
3. 【請求項３】 １以上の基地局を接続するローカル自律
   分散網を、ゲートウェイを介して上位の自律分散網に接
   続したネットワーク装置であって、 各自律分散網の相互間で認証を行い、鍵配布用の鍵を各
   自律分散網で共有し、 ローカル自律分散網において暗号鍵を発行するときに、
   他の自律分散網に該当する暗号鍵があるか否かを予め問
   い合わせ、該暗号鍵が存在する場合には該暗号鍵を発行
   し、該暗号鍵が存在しない場合には、自分で該暗号鍵を
   生成して発行し、また定期的に鍵の更新を行う鍵管理装
   置と、 該鍵管理装置から暗号鍵あるいは更新鍵の配布を受け
   て、それぞれ登録し、１以上のローカル自律分散網を介
   して暗号通信を行い、自網内の移動車と無線通信を行う
   基地局と、 前記ローカル自律分散網内で、通信を集中して管理する
   ローカルサーバとを有することを特徴としたブロードキ
   ャストにより通信を行うネットワーク装置。
4. 【請求項４】 複数の自律分散網が相互に接続している
   ネットワークの暗号鍵の管理方法において、 二つの自律分散網に接続している装置が、第１の自律分
   散網で送信されたデータを第２の自律分散網に転送し、
   かつ転送の際にデータ送信側の自律分散網の暗号鍵で復
   号し、データ送信先の自律分散網の暗号鍵で暗号化する
   処理を行い、 一方、複数の自律分散網で同じ暗号鍵を共有することに
   より、二つの自律分散網に接続している装置が、第１の
   自律分散網で送信されたデータを第２の自律分散網に転
   送するときには、上記処理を不要とすることを特徴とす
   る複数の自律分散網間での暗号通信を行う通信方法。
5. 【請求項５】 複数の自律分散網を１つの自律分散網で
   結合しているシステムの暗号鍵管理方法において、 ある自律分散網で新しい暗号鍵を生成するときに、該当
   する自律分散網と自律分散網同士を結合している自律分
   散網の両方に接続している装置が、自律分散網同士を結
   合している自律分散網に対して、該当する自律分散網以
   外の自律分散網に対応する暗号鍵が既にあるか否かの問
   い合わせを行い、 対応する暗号鍵がある場合には、該暗号鍵を該当する自
   律分散網の暗号鍵として設定し、対応する暗号鍵がない
   場合には、該当する自律分散網と自律分散網同士を結合
   している自律分散網の両方に接続している装置が暗号鍵
   を生成し、 該暗号鍵を生成した装置が鍵の更新処理を定期的に実行
   し、該当する装置が接続する自律分散網と自律分散網同
   士を接続している自律分散網に鍵の更新要求を送信し、 指定した期間中に鍵の更新が行われない場合には、鍵を
   生成した以外の装置の間で１台の装置を選択し、選択さ
   れた装置が鍵の更新処理を実行することを特徴とする自
   律分散網における暗号鍵の管理方法。