中継装置および中継装置を含む通信システム
【課題】 商品処理装置と管理サーバとの間の情報通信におけるセキュリティを中継装置により確保する。
【解決手段】 中継装置４０は、商品処理装置４１と、それらの管理を行う管理サーバ２０との間に配設され、情報の送受信を中継する。メモリに中継装置側証明書６６が記憶される。同様に、商品処理装置４１は処理装置側証明書６１を有し、管理サーバ２０はサーバ側証明書６８を有する。中継装置４０のＣＰＵは、商品処理装置４１から処理装置側証明書６１とともに管理サーバ２０宛ての情報を受信したときに、処理装置側証明書６１が適切なものか否かを判断するとともに、商品処理装置４１との接続を許可するかどうかを判断する。接続を許可した場合は、管理サーバ２０宛ての情報を受信し、さらに情報を管理サーバ２０に中継するため、管理サーバ２０との接続を開始する。
【解決手段】 中継装置４０は、商品処理装置４１と、それらの管理を行う管理サーバ２０との間に配設され、情報の送受信を中継する。メモリに中継装置側証明書６６が記憶される。同様に、商品処理装置４１は処理装置側証明書６１を有し、管理サーバ２０はサーバ側証明書６８を有する。中継装置４０のＣＰＵは、商品処理装置４１から処理装置側証明書６１とともに管理サーバ２０宛ての情報を受信したときに、処理装置側証明書６１が適切なものか否かを判断するとともに、商品処理装置４１との接続を許可するかどうかを判断する。接続を許可した場合は、管理サーバ２０宛ての情報を受信し、さらに情報を管理サーバ２０に中継するため、管理サーバ２０との接続を開始する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中継装置、特に、商品の生産に関する処理を行う商品処理装置と、その商品処理装置の管理を行う管理サーバとの間に配設され、商品処理装置と管理サーバとの間で情報の送受信を中継する中継装置、および同中継装置を含む通信システムに関する。
【背景技術】
【０００２】
従来から、商品の生産ラインに並ぶ商品処理装置を専用回線やインターネット等の公衆回線を介して遠隔から管理するシステムが提案されている。例えば、特許文献１に開示されている組合せ秤システムでは、秤制御部の通信装置がインターネットを介してサーバコンピュータに接続している。そして、この特許文献１のシステムでは、制御プログラムの入れ替えが必要になったときに、サーバコンピュータから制御プログラムをダウンロードさせている。
【特許文献１】特開２００１−２４３０７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１のように、インターネット等を介して商品処理装置を遠隔から管理するシステムが従来から提案されているが、インターネット上の通信は、盗聴、改ざん、なりすまし、ウイルス感染等の脅威に晒されている。
【０００４】
特に、商品の生産に用いる商品処理装置には、機密の情報が含まれることがある。また、商品処理装置は、悪意を持った第３者による動作パラメータ又は動作ソフトウェアの書き換え等不正なプログラムの配布により誤動作すると、人命への危険や生産の停止につながりかねず被害が大きい。
【０００５】
例えば、計量装置、包装装置、商品検査装置といった商品処理装置が連なる食品の生産ラインにおいては、生産量や生産ノウハウ等の経営機密情報が各装置に存在するとともに、検査パラメータ等が悪意を持った者の手により書き換えられると検査が適切に行われなくなってしまう恐れがある。
【０００６】
このような脅威に対する対策として、ＰＫＩ（公開鍵基盤）が広く利用されているが、ＰＫＩにおいては、証明書を有する個体の正当性を完全には保証することはできない。例えば、登録された証明書を有する商品処理装置自体が盗難にあった場合や廃棄された場合、その商品処理装置を利用して内部ネットワークにアクセスすることが可能となる。
【０００７】
したがって、このような商品の生産に関する処理を行う商品処理装置を遠隔から管理するシステムにおいては、ＰＫＩによる認証だけでなく、接続する個体の正当性をもっと保証し得る、より高度なセキュリティ対策を講じる必要がある。
【０００８】
本発明の課題は、商品処理装置と、それを遠隔から管理する管理サーバとの間の情報のやりとりのセキュリティを確保することができる中継装置および同中継装置を利用した通信システムを提供することにある。
【課題を解決するための手段】
【０００９】
第１発明に係る中継装置は、商品の生産に関する処理を行う商品処理装置と、その商品処理装置の管理を行う管理サーバとの間に配設されており、第１および第２中継部と、第１および第２照合部と、第１および第２判断部とを備える。第１中継部は、サーバ側証明書を有する管理サーバから商品処理装置への情報である第１情報の送信を中継する。第２中継部は、処理装置側証明書を有する商品処理装置から管理サーバへの情報である第２情報の送信を中継する。第１照合部は、第１情報の送信を中継する際にサーバ側証明書について照合処理を行う。第２照合部は、第２情報の送信を中継する際に処理装置側証明書について照合処理を行う。第１判断部は、第１照合部による照合処理の結果に基づき、管理サーバとの接続を許可するかどうかを判断する。第２判断部は、第２照合部による照合処理の結果に基づき、商品処理装置との接続を許可するかどうかを判断する。
【００１０】
この中継装置により、商品処理装置と管理サーバとが直接情報のやりとりを行うことはなく、商品処理装置から管理サーバへ要求コマンド等の情報を送る際、あるいは管理サーバから商品処理装置へ新バージョンの制御プログラム等の情報を送る際に、各装置の証明書の検証を行う。
【００１１】
証明書としては、例えばＰＫＩにおいて認証局により発行された証明書がある。この証明書を利用して、接続対象となる装置の個体認証を行う。
【００１２】
ここでは、ＰＫＩ等における認証局による証明書の正当性の証明に加え、たとえ共通の認証局から発行され正当と認められた証明書を有する装置であっても、接続すべきでない装置（例えば廃棄或いは盗難にあった装置等）からの接続を許可しない。よって、より高度な通信セキュリティを確保することができる。
【００１３】
すなわち、通信データの改ざん、中間傍受、通信におけるなりすましやウイルス感染等を未然に防ぐことができる。つまり、このような仕組みを採ることによって、例えば、商品処理装置の制御基板が盗難にあったり中継装置が盗難にあったりした場合にも、管理サーバになりすまして通信を傍受したり商品処理装置に偽の情報やウイルスを送ったりする不正アクセスによる被害を防ぐことができる。
【００１４】
なお、上記の管理サーバ宛ての情報としては、アップデイト要求のコマンド、稼働率等の装置情報等を例として挙げることができ、商品処理装置宛ての情報としては、新バージョンのプログラム、リモートメンテナンスのコマンド等を例として挙げることができる。
【００１５】
中継装置を介する全ての通信については暗号化を図ることがより好ましい。
【００１６】
また、サーバ側証明書および処理装置側証明書は、生成主体が同じであって、出荷のときに最初から各装置に組み込まれることにより、より確実に証明書自体の偽造を防ぐことができる。
【００１７】
第２発明に係る中継装置は、第１発明の中継装置であって、中継装置側証明書をさらに備える。中継装置側証明書は、管理サーバにおいて照合処理され、且つ前記商品処理装置において照合処理される。
【００１８】
ここでは、中継装置自らも証明書を有することにより、管理サーバおよび商品処理装置との相互認証を可能とする。
【００１９】
第３発明に係る中継装置は、第１発明の中継装置であって、処理装置側証明書は、商品処理装置を特定する処理装置固有番号を含む。中継装置の第２照合部は、処理装置固有番号について照合処理を行う。第２判断部は、処理装置固有番号について照合処理の結果に基づき商品処理装置との接続を許可するかどうかを判断する。
【００２０】
ここでは、商品処理装置の個体認証をより確実に行うことを可能とする。
【００２１】
例えばＳＳＬを利用する場合、証明書に一般名を記入する情報欄が設けてある。その情報欄の一部のフィールドに、ロッド番号等の商品処理装置の特定情報を含ませることにより、同証明書を受信した中継装置の第２判断部は、通信相手である商品処理装置が正当かどうかを判断できる。
【００２２】
第４発明に係る中継装置は、第１発明の中継装置であって、第１情報には署名が付されている。中継装置の第１照合部は、第１情報の署名について照合処理を行う。第１判断部は、第１情報の署名についての照合処理の結果に基づき、第１情報の送信を中継するかどうかを判断する。
【００２３】
ここでは、第１情報の署名と中継装置が有する署名情報が一致した場合は、第１情報を商品処理装置へ送信し、不一致の場合は破棄する。これにより、装置ごとの認証に加えて、送信される情報の正当性も確認でき、特に情報の改ざんやなりすましをより効果的に防止することを可能とする。
【００２４】
第５発明に係る中継装置は、第１発明の中継装置であって、第２情報には署名が付されている。中継装置の第２照合部は、第２情報の署名について照合処理を行う。第２判断部は、第２情報の署名についての照合処理の結果に基づき、第２情報の送信を中継するかどうかを判断する。
【００２５】
ここでは、第２情報の署名と中継装置が有する署名情報が一致した場合は、第２情報を管理サーバへ送信し、不一致の場合は破棄する。これにより、装置ごとの認証に加えて、送信される情報の正当性も確認でき、特に情報の改ざんやなりすましをより効果的に防止することを可能とする。
【００２６】
第６発明に係る中継装置は、第１発明の中継装置であって、第１情報はソフトウェアである。
【００２７】
ここでは、特に盗聴または改ざんされた場合に甚大な被害につながる情報を明示している。
【００２８】
第７発明に係る中継装置は、第１発明の中継装置であって、第２情報は商品処理装置に関する情報である。
【００２９】
ここでは、特に盗聴または改ざんされた場合に甚大な被害につながる情報を明示している。
【００３０】
第８発明に係る中継装置は、第１発明の中継装置であって、第１判断部は、処理装置側証明書の内容に応じて、中継する第１情報の範囲を制限する。
【００３１】
ここでは、各顧客のニーズに応じて、管理サーバから必要な情報のみフィルタリングして送信を行うことを可能とする。
【００３２】
第９発明に係る中継装置は、第１発明の中継装置であって、第２判断部は、処理装置側証明書の内容に応じて、中継する前記第２情報の範囲を制限する。
【００３３】
ここでは、各顧客のニーズに応じて、商品処理装置からの情報送信を必要最小限にとどめることを可能とする。
【００３４】
特に、商品処理装置の種類によっては、その装置の制御に必要なプログラムやパラメータが含まれていて管理サーバによるメンテナンス等が必要であるという性質が備わっている一方で、その装置の稼働実績や特殊でノウハウ的なパラメータ設定の情報が内包されるという性質が備わっている。このような商品処理装置の場合、商品処理装置の使用者は、管理サーバを扱う保守会社等の関連機関であったとしても、そこに商品処理装置の稼働実績やノウハウ的なパラメータ設定が情報漏洩してしまうことを望まないこともある。
【００３５】
第１０発明に係る通信システムは、第２から第９発明の中継装置と、一以上の商品処理装置と、管理サーバとを備える。管理サーバは一以上の中継装置に接続され、各中継装置は一以上の商品処理装置に接続される。
【００３６】
商品処理装置は、第３照合部と第３判断部とを有する。第３照合部は、第１情報を受信する際に中継装置側証明書について照合処理を行う。第３判断部は、第３照合部による照合処理の結果に基づき中継装置との接続を許可するかどうかを判断する。
【００３７】
管理サーバは、第４照合部と第４判断部とを有する。第４照合部は、第２情報を受信する際に中継装置側証明書について照合処理を行う。第４判断部は、第４照合部による照合処理の結果に基づき中継装置との接続を許可するかどうかを判断する。
【００３８】
ここでは、管理サーバ、中継装置および商品処理装置の三者が有する証明書を相互に検証する。これにより、従来のＰＫＩのみの通信システムに比して、よりセキュリティ効果の高い通信システムが実現できる。
【００３９】
一般的なＰＫＩでは証明書の正当性は確認できるものの、その証明書をもつ接続相手の正当性までを完全に保証することはできない。この通信システムによれば、工場毎等に設置された中継装置を介して商品処理装置と管理サーバとの間では２度の相互認証を行うため、例えば商品処理装置についての証明書が外部に漏洩しても、外部において直接管理サーバへ接続することができない。この通信システムにより、各装置間における階層的なセキュアな認証システムが実現できるとともに、通信経路の特定が容易になる。
【００４０】
第１１発明に係る通信システムは、第１０発明の通信システムであって、商品処理装置の第３判断部は、中継装置から開始する接続は許可しない。
【００４１】
ここでは、情報の送信は常に商品処理装置側からの要求に応じて行われることになり、外部ネットワークに近い中継装置を経由した不正アクセスをより効果的に防止できる。特に、商品処理装置の動作パラメータの不測の書き換えや制御プログラムの不測の変更といった事態を抑えることができるとともに、商品処理装置にある機密情報の漏洩も回避することができる。
【００４２】
第１２発明に係る通信システムは、第１０発明の通信システムであって、中継装置の第１判断部は、管理サーバから開始する接続は許可しない。
【００４３】
ここでは、情報の送信は常に中継装置側（顧客側）からの要求に応じて行われることになり、外部ネットワークからの不正アクセスをより効果的に防止できる。特に、商品処理装置の動作パラメータの不測の書き換えや制御プログラムの不測の変更といった事態を未然に防ぐことができるとともに、商品処理装置にある機密情報の漏洩も回避することができる。
【発明の効果】
【００４４】
本発明によれば、従来のＰＫＩによる認証に加え、管理サーバ、中継装置および商品処理装置の間でより確実な個体認証を行うことができるため、特になりすまし、改ざん等の不正アクセスやウイルス感染を効果的に防ぐことができ、商品処理装置と管理サーバとの間の情報のやりとりについて高度なセキュリティを確保することができる。
【発明を実施するための最良の形態】
【００４５】
本発明の一実施形態に係る中継装置に接続される商品生産ラインの商品処理装置４１，４２，４３，４４を、図１に示す。これらの商品処理装置４１，４２，４３，４４は、図２に示すように、中継装置４０を介して遠隔にある管理サーバ２０により遠隔監視や遠隔ソフトウェアアップデイトといった管理が為される。図２に示す管理サーバ２０，中継装置４０および商品処理装置４１，４２・・・から成る管理システムを、ここではセキュア通信システムと称する。
【００４６】
遠隔からの管理の対象となる商品処理装置４１，４２・・・は、袋詰めされる食品である商品を生産するラインにおいて、それぞれ、商品処理を行う。具体的には、図１に示す計量装置４１、製袋包装装置４２、シールチェック装置４３、重量チェック装置４４等が商品処理装置である。図１では省略しているが、商品処理装置には、その他、自動箱詰め装置、Ｘ線等による異物混入チェック装置等が含まれることもある。
【００４７】
図２に示すように、１つの物件（工場等）３１に設置される一連の商品処理装置４１，４２・・・は、それぞれ物件３１内に設置される１つの中継装置４０に接続される。そして、中継装置４０は、インターネット５０等の公衆回線あるいは専用回線を介して、物件３１から遠く離れた遠隔地にある集中管理センター１０内の管理サーバ２０に接続される。また、管理サーバ２０は、物件３１以外の物件３２，３３等に設置されている中継装置からの接続要求も受ける。
【００４８】
中継装置４０は、商品処理装置４１，４２・・・から管理サーバ２０に送信される診断用データや部品発注データの中継を行ったり、管理サーバ２０から商品処理装置４１，４２・・・に送信される新バージョンの商品処理用プログラムの中継を行ったりする。商品処理装置４１，４２・・・と管理サーバ２０とは直接つながることはなく、両者の間のデータ（情報）のやりとりは、必ず中継装置４０を介して行われる。
【００４９】
＜商品処理装置の詳細構成＞
商品処理装置４１，４２・・・について、ここでは計量装置４１を例にとって説明を行う。なお、製袋包装装置４２やシールチェック装置４３等他の商品処理装置においても、計量装置４１と同様の制御部の構成となっている。
【００５０】
計量装置４１は、主として、制御部４１ａと、操作パネル４１ｂと、制御部４１ａに接続される駆動部やセンサー４１ｃとから構成されている（図３参照）。駆動部やセンサー４１ｃには、計量物を搬送するための電磁石、計量物の重量を検出する重量センサー、計量ホッパの底面を開閉するためのモータ等が含まれる。操作パネル４１ｂは、計量に関する各種設定を入力するためのタッチパネル式の液晶画面であり、且つ、稼働状況等を表示する表示器である。この操作パネル４１ｂは、製袋包装装置４２の操作パネルを兼ねるとともに、後述する中継装置４０における商品処理装置４１，４２・・・の機物情報の登録を行う入力装置の役割も果たす。
【００５１】
計量装置４１の制御部４１ａは、図３に示すように、ＣＰＵ８１、ＲＡＭ８２、不揮発メモリ８３、通信インターフェース（以下、通信Ｉ／Ｆという。）８４等がバスによって接続されたものである。
【００５２】
ＣＰＵ８１は、中継装置４０の電子証明書６６について照合処理を行う処理装置照合部８１ａと、処理装置照合部８１ａの照合の結果に基づき判断処理を行う処理装置判断部８１ｂとを有する。
【００５３】
不揮発メモリ８３には、公開鍵を含む電子証明書６１、ＴＬＳ（ＳＳＬ）通信用秘密鍵５８、制御プログラム（図示せず）等が記憶される。電子証明書６１として、中継装置４０との間で接続の認証を行うために用いられる処理装置側接続認証用電子証明書６１ａとともに、中継装置４０を介して管理サーバ２０へと送られる情報のフィルタリングを中継装置４０に行わせるための処理装置側フィルタリング用電子証明書６１ｂが用意されている。ＴＬＳ通信用秘密鍵５８は、公開鍵暗号方式で使用される一対の鍵の組のうちの１つである。制御部４１ａは、中継装置４０から送られてきた暗号化されたデータ（情報）を、ＴＬＳ通信用秘密鍵５８を使って復号する。また、制御部４１ａは、中継装置４０に送るデータを公開鍵によって暗号化する。
【００５４】
次に説明する中継装置４０と計量装置４１とは、両者の通信Ｉ／Ｆ７４，８４を介して専用線によって接続される。なお、中継装置４０と計量装置４１との通信は、全てが暗号化される。
【００５５】
＜中継装置の詳細構成＞
中継装置４０は、物件３１内に設置されるセキュアプロキシであり、プログラミング機能を持っている。この中継装置４０は、ＣＰＵ７１、ＲＡＭ７２、不揮発メモリ７３、通信Ｉ／Ｆ７４、ネットワークインターフェース（以下、ネットワークＩ／Ｆという。）７５、ハードディスク（以下、ＨＤという。）７６等がバスによって接続されたものである。
【００５６】
中継装置４０の通信Ｉ／Ｆ７４は、商品処理装置４１，４２・・・からの情報を中継する中継部として機能し、同一の物件３１内にある商品処理装置４１，４２・・・の通信Ｉ／Ｆ８４に接続される。
【００５７】
中継装置４０のネットワークＩ／Ｆ７５は、管理サーバからの情報を中継する中継部として機能し、遠隔地にある管理サーバ２０のネットワークＩ／Ｆ９５にインターネット５０を介して接続される。なお、中継装置４０と管理サーバ２０との通信についても、全てが暗号化される。
【００５８】
上述のように、中継装置４０は、商品処理装置４１，４２・・・と管理サーバ２０との間でデータの中継を行うものであるが、その中継処理において、認証を行い、特定の経路しか受け付けない。
【００５９】
ＣＰＵ７１は、管理サーバ２０の電子証明書６８について照合処理を行う第１中継装置照合部７１ａａと、商品処理装置の電子証明書６１について照合処理を行う第２中継装置照合部７１ａｂと、第１中継装置照合部７１ａａの照合の結果に基づき判断処理を行う第１中継装置判断部７１ｂａと、第２中継装置照合部７１ａｂの照合の結果に基づき判断処理を行う第２中継装置判断部７１ｂｂとを有する。
【００６０】
不揮発メモリ７３には、公開鍵を含む電子証明書である中継装置側電子証明書６６、ＴＬＳ（ＳＳＬ）通信用秘密鍵５７、プログラム（図示せず）等が記憶される。中継装置４０は、商品処理装置４１，４２・・・や管理サーバ２０から送られてきた暗号化されたデータを、ＴＬＳ通信用秘密鍵５７を使って復号する。また、中継装置４０は、商品処理装置４１，４２・・・や管理サーバ２０に送るデータを公開鍵によって暗号化する。
【００６１】
また、不揮発メモリ７３では、商品処理装置４１，４２・・・のロッド番号がロッド番号データベース７３ａに記憶される。このロッド番号データベース７３ａに各ロッド番号を記憶させる登録作業は、本セキュア通信システムにおいては、計量装置４１の操作パネル４１ｂを用いて行われる。
【００６２】
＜管理サーバの詳細構成＞
管理サーバ２０は、上述のように物件３１から遠く離れた遠隔地にある集中管理センター１０に設置されており、商品処理装置４１，４２・・・から中継装置４０を介して為される接続要求を受け付ける。この管理サーバ２０は、各物件３１，３２，３３にある商品処理装置４１，４２・・・のメンテナンスをリモートで行う機能、最新の制御プログラムを要求に応じて配信する機能、各商品処理装置の動作状況等の情報を取得して管理する（例えば、監視したり報告書を作ったりする）機能等を有している。
【００６３】
管理サーバ２０は、ＣＰＵ９１、ＲＡＭ９２、不揮発メモリ９３、ネットワークＩ／Ｆ９５、ＨＤ９６等がバスによって接続されたものである。
【００６４】
ＣＰＵ９１は、中継装置４０の電子証明書６６について照合処理を行う管理サーバ照合部９１ａと、管理サーバ照合部９１ａの照合の結果に基づき判断処理を行う管理サーバ判断部９１ｂとを有する。
【００６５】
不揮発メモリ９３には、公開鍵を含む電子証明書であるサーバ側電子証明書６８、ＴＬＳ（ＳＳＬ）通信用秘密鍵５９、処理装置側電子証明書６１，６２，６３・・・および中継装置側電子証明書６６の有効期限を記憶する失効データベース９３ａ、管理プログラム（図示せず）等が記憶される。管理サーバ２０は、中継装置４０から送られてきた暗号化されたデータを、ＴＬＳ通信用秘密鍵５９を使って復号する。また、管理サーバ２０は、中継装置４０に送るデータを公開鍵によって暗号化する。
【００６６】
複数の中継装置４０から接続要求を受け付けるが、管理サーバ２０は、それらの中継装置４０を、中継装置側電子証明書６６によって認識・認証する。さらに、管理サーバ２０は、中継装置４０を介して送られてくる商品処理装置４１，４２・・・からのデータについて、その中に含まれる、ロッド番号等の商品処理装置を特定する情報も確認する。例えば、ロッド番号が管理サーバ２０側に登録されていないものであれば、そのデータの受信を拒否する。すなわち、中継装置４０を認識して通信路特定をし、中継装置側電子証明書６６の認証も終わり、通信セッションを開いた後であっても、送信されてきたデータ内にあるロッド番号が登録されていないものであれば受信拒否となる。これにより、中継装置４０が盗難にあった場合でも、それを使った悪意の通信セッションを管理サーバ２０との間で開けるものの、データの送受信は管理サーバ２０に拒否されることになり、管理サーバ２０からの機密データの漏洩が防止できる。
【００６７】
ＨＤ９６の中には、各商品処理装置４１，４２・・・の稼働情報やメンテナンス情報を記憶する処理装置情報データベース９６ａ、各物件３１からの部品のオンライン発注に関する情報を記憶する発注データベース９６ｂ、各商品処理装置４１，４２・・・の種々のバージョンの制御プログラムを記憶するアップデイト用データベース９６ｃ等が存在している。各データベースの利用については、後述する。
【００６８】
＜セキュア通信システムのＰＫＩモデル＞
本セキュア通信システムは、ＰＫＩを利用したシステムであり、図６はその一例を示す。
【００６９】
本ＰＫＩモデルは、ルートＣＡ証明書１０１を有するルートＣＡ１００と、中間ＣＡ証明書１１１を有する中間ＣＡと、各電子証明書を有する管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・とを備えた階層型モデルである。なお、図示は省略しているが、中間ＣＡは装置ごとに複数設けられている。
【００７０】
管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・の各電子証明書はそれぞれを管理する中間ＣＡに認証され、各中間ＣＡはルートＣＡに認証される。
【００７１】
また、本ＰＫＩモデルにおいては、コード署名局１２０が設けられている。コード署名局は、管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・間において送受信されるソフトウェア等の情報に付されるコード署名を管理する。情報に付されたコード署名が真正なものであることを確認するために、コード署名局は署名局証明書１２１を有し、同コード署名局を管理する中間ＣＡに認証され、その中間ＣＡはルートＣＡに認証される。
【００７２】
このようなしくみをとることにより、各電子証明書や署名が信頼された機関により発行又は保証されたものであることが確認できる。
【００７３】
＜セキュア通信システムの各モード＞
次に、不正経路接続防止機能を持った本セキュア通信システムの各モードについて、以下に説明する。
【００７４】
（１）設定モード
このモードは、中継装置４０に接続する商品処理装置４１，４２・・・の数が増減する場合に実行される。
【００７５】
通信セッション開始のトリガは全て商品処理装置４１，４２・・・側が有しており、通信経路を特定するためには、中継装置４０に商品処理装置４１，４２・・・に関する情報である機物情報を登録させておく。そのため、中継装置４０のモードを切り替えて機物情報（ここでは、ロッド番号）の登録作業を行なう。各商品処理装置４１，４２・・・のロッド番号は、図４に示すように、中継装置４０のロッド番号データベース７３ａに記憶される。
【００７６】
管理サーバ２０は、自ら商品処理装置４１，４２・・・に対する通信セッションを開くことはできず、商品処理装置４１，４２・・・がトリガを引いた通信セッションにおいてのみ、応答の形で商品処理装置４１，４２・・・にアクセスすることができる。
【００７７】
（２）通信モード
通信セッション開始の操作は、全て商品処理装置４１，４２・・・側から行う。
【００７８】
通信開始時の中継装置４０と商品処理装置４１，４２・・・との認証シーケンスについては、全てＴＬＳ技術を用いる。具体的には、公開鍵および秘密鍵、電子証明書、ハッシュ関数というセキュリティ技術を組み合わせて、認証シーケンスを行う。この際、商品処理装置４１，４２・・・は、上記の設定モードで登録された特定の中継装置４０を介さなければ、各種サービスを提供する管理サーバ２０に接続することができない。
【００７９】
ＴＬＳのハンドシェイク時に利用する処理装置側接続認証用電子証明書６１ａの内部の所定項目欄に商品処理装置４１，４２・・・の識別名とロッド番号とを埋め込み、ＴＬＳセッション開始時に、中継装置４０から商品処理装置４１，４２・・・側に要求して得られたロッド番号と比較することで、中継許可を行うかどうかを中継装置４０において判定する。
【００８０】
正しい相手である場合、中継装置４０は、同様の手順で、各種サービスを提供している管理サーバ２０に対して接続を要求する。この接続の過程でもＴＬＳ認証を用い、通信セッション確立時には本セキュア通信システムの全通信経路において暗号化および情報完全性を保証できるようにしている。したがって、インターネット５０を流れるデータは、全て、改ざん防止目的の電子署名が為されたものとなる。
【００８１】
通信セッションが確立された後、商品処理装置４１，４２・・・は、処理装置側接続認証用電子証明書６１ａとは別の証明書である処理装置側フィルタリング用電子証明書６１ｂを用いることで、送信情報のフィルタリングを行うことができる。このフィルタリングにより、情報（通信データ）を選択して暗号化送信することができる。このように、処理装置側フィルタリング用電子証明書６１ｂが設けられているため、商品処理装置４１，４２・・・を使う顧客は、外部（管理サーバ２０）に送信する必要がない機密情報をフィルタリングにより外すことができる。
【００８２】
上記のような手順を踏むため、商品処理装置４１，４２・・・は、特定の中継装置４０のみを経由してからでなければ、各種サービスを提供する管理サーバ２０への接続ができない。したがって、商品処理装置４１，４２・・・が廃棄されたり盗難にあったりした場合でも、双方（商品処理装置４１，４２・・・を使う顧客および管理サーバ２０により各種サービスを提供する者）が不正なアクセスを受けるといったセキュリティ上の懸念がなくなっている。
【００８３】
また、中継装置４０自身は、商品処理装置４１，４２・・・に対する通信セッションを開始するためのトリガ機能を有していない。このため、中継装置４０が廃棄や盗難等にあい商品処理装置４１，４２・・・に対する接続を試みられた場合でも、接続はできず情報漏洩等を防ぐことができる。よって、顧客にとってセキュリティ上の懸念がない。
【００８４】
また、商品処理装置４１，４２・・・と中継装置４０の電子証明書に関しては、その失効を接続要求毎に確認する機能が管理サーバ２０に搭載されており、商品処理装置４１，４２・・・が中継装置４０を通して管理サーバ２０へ接続することを個別に無効化することができる。失効手続きは、管理サーバ２０側で有効期限のチェックと無効化設定を行うことで、実現される。これにより、中継装置４０と商品処理装置４１，４２・・・の両方で、鍵や電子証明書の悪意の二次利用が防止できる。有効期限や無効化設定の有無等の情報は、管理サーバ２０の不揮発メモリ９３の失効データベース９３ａに格納される。このような電子証明書の失効確認を管理サーバ２０で行っているため、万が一、中継装置４０と商品処理装置４１，４２・・・の制御基板とがセットで持ち出されても、失効手続きを行うことで悪意の通信を管理サーバ２０側でプロテクトすることができる。
【００８５】
＜中継装置の各機能について＞
次に、中継装置４０に焦点を当てて、その各機能について整理した形で説明を行う。
【００８６】
（１）商品処理装置認証機能
本セキュア通信システムでは、例えばＰＫＩを利用して暗号化通信を確立する際に相互認証を行う。この際、否認防止目的のために、電子証明書の識別名および拡張領域項目を活用して、厳重なチェックを実施している。
【００８７】
管理サーバ２０に情報を送信するために商品処理装置４１，４２・・・から中継装置４０に情報が送られるときには、処理装置側接続認証用電子証明書６１ａが付けられ、その電子証明書６１ａの拡張領域項目には商品処理装置４１，４２・・・のロッド番号が入れられる。
【００８８】
中継装置４０の第２中継装置照合部７１ｂｂは、登録された商品処理装置４１，４２・・・のロット番号と、送られてきた電子証明書６１ａのロット番号とを照合する。ここでロッド番号が異なる場合には、中継装置４０の第２中継装置判断部７１ｂｂが、商品処理装置４１，４２・・・との接続を拒否する。
【００８９】
このような仕組みを採用しているため、例えば盗み出した商品処理装置４１，４２・・・の電子証明書６１ａをコンピュータに組み込んで別の中継装置４０に悪意の接続を試みようとしても、中継装置４０にはその盗まれた商品処理装置４１，４２・・・のロット番号が登録されていないため、通信セッションが開かれない。
【００９０】
（２）商品処理装置情報管理機能
自身の管理下にある商品処理装置４１，４２・・・にのみインターネット５０を介した管理サーバ２０への接続許可を出す役割を果たすため、中継装置４０では、セキュア通信システムの使用前に、商品処理装置４１，４２・・・の機物情報を登録しておく必要がある。このため、中継装置４０は、各商品処理装置４１，４２・・・の固有情報（ロッド番号等）を保存する機能を有している。例えば、上述のように、操作パネル４１ｂを用いた入力により、中継装置４０のロッド番号データベース７３ａに各商品処理装置４１，４２・・・のロッド番号が登録される。
【００９１】
（３）通信コンバータ機能
商品処理装置４１，４２・・・自身が直接インターネット５０を経由して管理サーバ２０等と通信を行うということがセキュリティの面から好ましくないため、中継装置４０は、商品処理装置４１，４２・・・の通信を仲介する役割を果たす。また、中継装置４０は、同時に複数の商品処理装置４１，４２・・・からの接続要求があったときに、それらを適切に処理する機能を有している。
【００９２】
（４）証明書失効情報提供機能
通常、証明書を利用した暗号化通信では、証明書の失効情報を自身で確認する。しかし、本セキュア通信システムでは、管理サーバ２０と商品処理装置４１，４２・・・とが直接つながることはなく、商品処理装置４１，４２・・・が証明書の失効情報を直接取得することはできない。したがって、中継装置４０に、商品処理装置４１，４２・・・の代理として必要な証明書失効情報を取得して提供する機能を備えさせている。
【００９３】
＜本発明に係る中継装置を含むセキュア通信システムの特徴＞
最近、インターネット技術の幅広い普及に伴い、商品処理装置をネットワーク対応型のものとし、インターネットによる通信接続を使って集中管理センターの管理サーバで遠隔地の商品処理装置をサポートするサービスが広まってきている。
【００９４】
しかし、商品処理装置で取り扱う情報には顧客の経営情報が含まれている場合がある。特に、計量や包装を行う商品生産ラインや食品加工工場では、各商品処理装置内部の情報の機密性が高い。また、食品といった商品を生産するラインにおいては、食の安全のための検査も行われており、この検査を行う装置について外部から不正なアクセスが為されると、商品の安全性が損なわれる恐れも出てくる。
【００９５】
したがって、管理サーバ等外部のネットワークを介して商品処理装置に通信接続を行ってデータを送受信するサービスを行おうとする場合には、通信データの改ざん、中間傍受、通信なりすまし、ウイルス感染等に対応するセキュリティ対策を万全に行って通信時の顧客情報の安全性確保を図ることが重要となる。
【００９６】
このような要望に対し、単に公開鍵暗号技術を利用することも考えられるが、鍵を記憶したメモリデバイスを含む商品処理装置や商品処理装置の制御基板が盗難される恐れも否定できない。また、偽の管理サーバを作られ、偽のプログラムを送りつけられたり商品処理装置側の極秘情報を吸い上げられたりする恐れもある。
【００９７】
もちろん、ＰＫＩを用いればある程度通信相手の正当性の保証は可能であるが、この技術では、意図しない経路での通信接続を検出して情報漏洩を防止する仕組みは備えていない。すなわち、商品処理装置自体が廃棄・盗難・交換されると、それを悪用して不正にネットワークに接続することが可能となる。これにより、通信当事者以外への情報漏洩の可能性が生まれてしまうことになる。
【００９８】
これに対し、本実施形態の中継装置４０を含むセキュア通信システムでは、不正経路接続防止機能を持つようになっており、以下のような各特徴がある。これにより、商品処理装置４１，４２・・・と管理サーバ２０との通信の安全等を図ることができるようになっている。
【００９９】
（１）
まず、中継装置４０を介した商品処理装置４１，４２・・・と管理サーバ２０との通信においては、完全な暗号化通信を図っている。具体的には、計量装置４１等の商品処理装置４１，４２・・・それぞれに、ＴＬＳ機能を持つモジュールを搭載している。ＴＬＳ通信用秘密鍵５８、電子証明書（公開鍵含む）６１は、商品処理装置４１，４２・・・の出荷時において制御基板の内部に組み込まれている。
【０１００】
その上で、商品処理装置４１，４２・・・にはインターネット５０への直接の接続をさせない構成を採っている。
【０１０１】
（２）
また、商品処理装置４１，４２・・・と管理サーバ２０とを介在するものとして、中継装置４０を物件３１に設置している。
【０１０２】
この中継装置４０は、商品処理装置４１，４２・・・と同様に、出荷時においてＴＬＳ通信用秘密鍵５７、電子証明書（公開鍵含む）６６が最初から組み込まれている。
【０１０３】
商品処理装置４１，４２・・・の証明書である処理装置側電子証明書６１と中継装置４０の証明書である中継装置側電子証明書６６とは、ともに出荷時に組み込まれている。
【０１０４】
さらに、管理サーバ２０のサーバ側電子証明書６８についても、処理装置側電子証明書６１および中継装置側電子証明書６６と同様に、出所が同じであって、最初から組み込まれている。
【０１０５】
これらの電子証明書は第三者機関である認証局によって発行されたものであり、公開鍵の真正性が証明されているものである。
【０１０６】
（３）
上記のような高度なセキュリティと不正経路接続防止機能を有したセキュア通信システムを用いることで、従来では安全性の面から実現が難しかった遠隔地の管理サーバ２０による遠隔サポートサービス、オンライン発注サービス、ソフトウェアアップデイトサービス等のインターネット５０を活用した各種サービスを顧客に安全に提供することができるようになっている。
【０１０７】
＜３−１：遠隔サポートサービス＞
従来から、商品処理装置が導入された製造現場では、日々の生産条件により商品処理装置の稼働率が変動する問題がある。これに対してノウハウを持ったサービスパーソン・営業・技術の各メンバーが都度、現地にて対応することで、サービスの提供を行っている。
【０１０８】
本セキュア通信システムを採用すれば、暗号化通信と経路特定を行った通信路を確立することで、安全なリモート診断サービスを提供できる。
【０１０９】
この時に、機物情報等テキストベースの文字データのみならず、商品処理装置に搭載されているカメラ映像の情報も同時に用いることが可能になるため、現場の状況を詳細に確認しながらの支援が可能となる。このため、問題発生から現地に赴く時間の無駄を解消するばかりでなく、従来よりも迅速なサービスの提供が可能となる。
【０１１０】
なお、この遠隔サポートサービスの実施のために、管理サーバ２０のＨＤ９６の処理装置情報データベース９６ａには、各商品処理装置４１，４２・・・の稼働情報やメンテナンス情報が集められる。
【０１１１】
＜３−２：オンライン発注サービス＞
従来、電話やＦＡＸ等で処理していたメンテナンス用部品の発注処理を、映像資料等の補足資料を添えて、安全に電子データとして処理することができるようになる。これにより、即時に在庫状況や納期のような情報を顧客側に提供することができる。
【０１１２】
なお、このオンライン発注サービスの実施のために、管理サーバ２０のＨＤ９６の発注データベース９６ｂには、部品発注に関する情報が集められる。
【０１１３】
＜３−３：ソフトウェアアップデイトサービス＞
従来、サービスパーソンが現地に出向いて商品処理装置の制御プログラムのバージョンアップ等の作業を行っているが、本セキュア通信システムを採用すれば、素早く低コストでソフトウェアのアップデートサービスを提供することができるようになる。但し、管理サーバ２０側から商品処理装置４１，４２・・・との通信セッションを開くことをセキュリティの観点から禁止しているため、管理サーバ２０は、商品処理装置４１，４２・・・側から要求があったときに限り、必要な制御プログラムを商品処理装置４１，４２・・・に送信することが可能である。
【０１１４】
なお、このソフトウェアアップデイトサービスの実施のために、管理サーバ２０のＨＤ９６のアップデイト用データベース９６ｃには、各種の商品処理装置それぞれについて古いバージョンから最新バージョンまでの制御プログラムが格納されている。
【０１１５】
（４）
本セキュア通信システムでは、通信の主体者として、商品処理装置４１，４２・・・、中継装置４０および管理サーバ２０の三者が登場し、それぞれが電子証明書を備えている。本セキュア通信システムは、情報漏洩防止をシステムの一機能として持たせるために、顧客側の主体者を認証して経路を特定する機能を有し、管理サーバ２０に対して通信のトリガを有する中継装置４０と、中継装置４０に対して通信のトリガを有する商品処理装置４１，４２・・・と、通信トリガを有しない管理サーバ２０とを備える。また、本セキュア通信システムでは、ＴＬＳ（ＳＳＬ）通信技術と中継装置４０等による相互認証機能とを融合させている。
【０１１６】
これにより、経路情報の特定および固定化が実現できるようになり、商品処理装置４１，４２・・・と中継装置４０とのいずれかの機物が盗難されるといった予期せぬ状態が発生しても、それを用いた不正アクセスを防ぐことができる。
【０１１７】
＜変形例＞
（１）
例えば、ＳＳＬを利用した認証の場合、一般名（ＣＮ）のフィールドを利用した認証が可能である。
【０１１８】
具体的には、ＳＳＬライブラリでの一般名フィールド（制限が６４バイト）に、識別記号欄と特定情報欄とを設ける。その特定情報欄に、中継装置４０や商品処理装置４１，４２・・・であれば、それらのロッド番号を記述する。
【０１１９】
このように既存の電子証明書の一部のフィールドを利用して認証をし、経路特定を行うことができる。
【０１２０】
（２）
上記のセキュア通信システムでは、管理サーバ２０側から商品処理装置４１，４２・・・との通信セッションを開くことをセキュリティの観点から禁止しているが、管理サーバ２０のサーバ側電子証明書６８の盗難の恐れが全くない等、セキュリティの確保が十分に可能である場合には、管理サーバ２０に通信のトリガを引く権限を与えることも考えられる。
【０１２１】
（３）
上記のセキュア通信システムでは、制御部４１ａの不揮発メモリ８３に処理装置側電子証明書６１やＴＬＳ通信用秘密鍵５８を入れているが、これらの暗号化通信のための主要機能を制御部４１ａから分離させて例えば計量装置に後付けする通信コンバータとして独立させることも考えられる。この場合、通信コンバータには、例えば、高速ＣＰＵ、各種インターフェース、制御プログラムや稼働情報のバックアップ部等をさらに備えさせ、既存の各種商品処理装置に対応可能にしておくことが望ましい。
【０１２２】
（４）
上記のセキュア通信システムでは、中継装置４０における商品処理装置４１，４２・・・の機物情報の登録を行う入力装置として、計量装置４１の操作パネル４１ｂを利用しているが、中継装置４０に専用の入力装置を設けてもよい。
【産業上の利用可能性】
【０１２３】
本発明に係る中継装置を採用する通信システムは、商品処理装置や中継装置が盗難にあった場合にも、管理サーバになりすまして通信を傍受したり商品処理装置に偽の情報を送ったりする不正アクセスによる被害を防ぐことができ、商品処理装置と管理サーバとの間の情報のやりとりのセキュリティを確保することができる。このため、本発明に係る中継装置は、商品処理装置とその商品処理装置の管理を行う管理サーバとの間で情報の中継を行う中継装置として、特に有用である。
【図面の簡単な説明】
【０１２４】
【図１】本発明の一実施形態に係る中継装置を介して管理サーバに管理される商品処理装置群の斜視図。
【図２】中継装置を含むセキュア通信システムの構成図。
【図３】商品処理装置の構成図。
【図４】中継装置の構成図。
【図５】管理サーバの構成図。
【図６】上記実施形態におけるＰＫＩモデルの図。
【符号の説明】
【０１２５】
２０ 管理サーバ
４０ 中継装置
４１ 計量装置（商品処理装置）
４２ 製袋包装装置（商品処理装置）
４３ シールチェック装置（商品処理装置）
４４ 重量チェック装置（商品処理装置）
６１，６２，６３ 処理装置側電子証明書
６１ａ 処理装置側接続認証用電子証明書
６１ｂ 処理装置側フィルタリング用電子証明書
６６ 中継装置側電子証明書
６８ サーバ側電子証明書
７１ ＣＰＵ
７１ａａ 第１中継装置照合部（第１照合部）
７１ａｂ 第２中継装置照合部（第２照合部）
７１ｂａ 第１中継装置判断部（第１判断部）
７１ａｂ 第２中継装置判断部（第２判断部）
７３ 不揮発メモリ
７４ Ｉ／Ｆ７４（第２中継部）
７５ ネットワークＩ／Ｆ（第１中継部）
８１ ＣＰＵ
８１ａ 処理装置照合部（第３照合部）
８１ｂ 処理装置判断部（第３判断部）
９１ ＣＰＵ
９１ａ 管理サーバ照合部（第４照合部）
９１ｂ 管理サーバ判断部（第４判断部）
１００ ルートＣＡ
１１０ 中間ＣＡ
１２０ コード署名局
【技術分野】
【０００１】
本発明は、中継装置、特に、商品の生産に関する処理を行う商品処理装置と、その商品処理装置の管理を行う管理サーバとの間に配設され、商品処理装置と管理サーバとの間で情報の送受信を中継する中継装置、および同中継装置を含む通信システムに関する。
【背景技術】
【０００２】
従来から、商品の生産ラインに並ぶ商品処理装置を専用回線やインターネット等の公衆回線を介して遠隔から管理するシステムが提案されている。例えば、特許文献１に開示されている組合せ秤システムでは、秤制御部の通信装置がインターネットを介してサーバコンピュータに接続している。そして、この特許文献１のシステムでは、制御プログラムの入れ替えが必要になったときに、サーバコンピュータから制御プログラムをダウンロードさせている。
【特許文献１】特開２００１−２４３０７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１のように、インターネット等を介して商品処理装置を遠隔から管理するシステムが従来から提案されているが、インターネット上の通信は、盗聴、改ざん、なりすまし、ウイルス感染等の脅威に晒されている。
【０００４】
特に、商品の生産に用いる商品処理装置には、機密の情報が含まれることがある。また、商品処理装置は、悪意を持った第３者による動作パラメータ又は動作ソフトウェアの書き換え等不正なプログラムの配布により誤動作すると、人命への危険や生産の停止につながりかねず被害が大きい。
【０００５】
例えば、計量装置、包装装置、商品検査装置といった商品処理装置が連なる食品の生産ラインにおいては、生産量や生産ノウハウ等の経営機密情報が各装置に存在するとともに、検査パラメータ等が悪意を持った者の手により書き換えられると検査が適切に行われなくなってしまう恐れがある。
【０００６】
このような脅威に対する対策として、ＰＫＩ（公開鍵基盤）が広く利用されているが、ＰＫＩにおいては、証明書を有する個体の正当性を完全には保証することはできない。例えば、登録された証明書を有する商品処理装置自体が盗難にあった場合や廃棄された場合、その商品処理装置を利用して内部ネットワークにアクセスすることが可能となる。
【０００７】
したがって、このような商品の生産に関する処理を行う商品処理装置を遠隔から管理するシステムにおいては、ＰＫＩによる認証だけでなく、接続する個体の正当性をもっと保証し得る、より高度なセキュリティ対策を講じる必要がある。
【０００８】
本発明の課題は、商品処理装置と、それを遠隔から管理する管理サーバとの間の情報のやりとりのセキュリティを確保することができる中継装置および同中継装置を利用した通信システムを提供することにある。
【課題を解決するための手段】
【０００９】
第１発明に係る中継装置は、商品の生産に関する処理を行う商品処理装置と、その商品処理装置の管理を行う管理サーバとの間に配設されており、第１および第２中継部と、第１および第２照合部と、第１および第２判断部とを備える。第１中継部は、サーバ側証明書を有する管理サーバから商品処理装置への情報である第１情報の送信を中継する。第２中継部は、処理装置側証明書を有する商品処理装置から管理サーバへの情報である第２情報の送信を中継する。第１照合部は、第１情報の送信を中継する際にサーバ側証明書について照合処理を行う。第２照合部は、第２情報の送信を中継する際に処理装置側証明書について照合処理を行う。第１判断部は、第１照合部による照合処理の結果に基づき、管理サーバとの接続を許可するかどうかを判断する。第２判断部は、第２照合部による照合処理の結果に基づき、商品処理装置との接続を許可するかどうかを判断する。
【００１０】
この中継装置により、商品処理装置と管理サーバとが直接情報のやりとりを行うことはなく、商品処理装置から管理サーバへ要求コマンド等の情報を送る際、あるいは管理サーバから商品処理装置へ新バージョンの制御プログラム等の情報を送る際に、各装置の証明書の検証を行う。
【００１１】
証明書としては、例えばＰＫＩにおいて認証局により発行された証明書がある。この証明書を利用して、接続対象となる装置の個体認証を行う。
【００１２】
ここでは、ＰＫＩ等における認証局による証明書の正当性の証明に加え、たとえ共通の認証局から発行され正当と認められた証明書を有する装置であっても、接続すべきでない装置（例えば廃棄或いは盗難にあった装置等）からの接続を許可しない。よって、より高度な通信セキュリティを確保することができる。
【００１３】
すなわち、通信データの改ざん、中間傍受、通信におけるなりすましやウイルス感染等を未然に防ぐことができる。つまり、このような仕組みを採ることによって、例えば、商品処理装置の制御基板が盗難にあったり中継装置が盗難にあったりした場合にも、管理サーバになりすまして通信を傍受したり商品処理装置に偽の情報やウイルスを送ったりする不正アクセスによる被害を防ぐことができる。
【００１４】
なお、上記の管理サーバ宛ての情報としては、アップデイト要求のコマンド、稼働率等の装置情報等を例として挙げることができ、商品処理装置宛ての情報としては、新バージョンのプログラム、リモートメンテナンスのコマンド等を例として挙げることができる。
【００１５】
中継装置を介する全ての通信については暗号化を図ることがより好ましい。
【００１６】
また、サーバ側証明書および処理装置側証明書は、生成主体が同じであって、出荷のときに最初から各装置に組み込まれることにより、より確実に証明書自体の偽造を防ぐことができる。
【００１７】
第２発明に係る中継装置は、第１発明の中継装置であって、中継装置側証明書をさらに備える。中継装置側証明書は、管理サーバにおいて照合処理され、且つ前記商品処理装置において照合処理される。
【００１８】
ここでは、中継装置自らも証明書を有することにより、管理サーバおよび商品処理装置との相互認証を可能とする。
【００１９】
第３発明に係る中継装置は、第１発明の中継装置であって、処理装置側証明書は、商品処理装置を特定する処理装置固有番号を含む。中継装置の第２照合部は、処理装置固有番号について照合処理を行う。第２判断部は、処理装置固有番号について照合処理の結果に基づき商品処理装置との接続を許可するかどうかを判断する。
【００２０】
ここでは、商品処理装置の個体認証をより確実に行うことを可能とする。
【００２１】
例えばＳＳＬを利用する場合、証明書に一般名を記入する情報欄が設けてある。その情報欄の一部のフィールドに、ロッド番号等の商品処理装置の特定情報を含ませることにより、同証明書を受信した中継装置の第２判断部は、通信相手である商品処理装置が正当かどうかを判断できる。
【００２２】
第４発明に係る中継装置は、第１発明の中継装置であって、第１情報には署名が付されている。中継装置の第１照合部は、第１情報の署名について照合処理を行う。第１判断部は、第１情報の署名についての照合処理の結果に基づき、第１情報の送信を中継するかどうかを判断する。
【００２３】
ここでは、第１情報の署名と中継装置が有する署名情報が一致した場合は、第１情報を商品処理装置へ送信し、不一致の場合は破棄する。これにより、装置ごとの認証に加えて、送信される情報の正当性も確認でき、特に情報の改ざんやなりすましをより効果的に防止することを可能とする。
【００２４】
第５発明に係る中継装置は、第１発明の中継装置であって、第２情報には署名が付されている。中継装置の第２照合部は、第２情報の署名について照合処理を行う。第２判断部は、第２情報の署名についての照合処理の結果に基づき、第２情報の送信を中継するかどうかを判断する。
【００２５】
ここでは、第２情報の署名と中継装置が有する署名情報が一致した場合は、第２情報を管理サーバへ送信し、不一致の場合は破棄する。これにより、装置ごとの認証に加えて、送信される情報の正当性も確認でき、特に情報の改ざんやなりすましをより効果的に防止することを可能とする。
【００２６】
第６発明に係る中継装置は、第１発明の中継装置であって、第１情報はソフトウェアである。
【００２７】
ここでは、特に盗聴または改ざんされた場合に甚大な被害につながる情報を明示している。
【００２８】
第７発明に係る中継装置は、第１発明の中継装置であって、第２情報は商品処理装置に関する情報である。
【００２９】
ここでは、特に盗聴または改ざんされた場合に甚大な被害につながる情報を明示している。
【００３０】
第８発明に係る中継装置は、第１発明の中継装置であって、第１判断部は、処理装置側証明書の内容に応じて、中継する第１情報の範囲を制限する。
【００３１】
ここでは、各顧客のニーズに応じて、管理サーバから必要な情報のみフィルタリングして送信を行うことを可能とする。
【００３２】
第９発明に係る中継装置は、第１発明の中継装置であって、第２判断部は、処理装置側証明書の内容に応じて、中継する前記第２情報の範囲を制限する。
【００３３】
ここでは、各顧客のニーズに応じて、商品処理装置からの情報送信を必要最小限にとどめることを可能とする。
【００３４】
特に、商品処理装置の種類によっては、その装置の制御に必要なプログラムやパラメータが含まれていて管理サーバによるメンテナンス等が必要であるという性質が備わっている一方で、その装置の稼働実績や特殊でノウハウ的なパラメータ設定の情報が内包されるという性質が備わっている。このような商品処理装置の場合、商品処理装置の使用者は、管理サーバを扱う保守会社等の関連機関であったとしても、そこに商品処理装置の稼働実績やノウハウ的なパラメータ設定が情報漏洩してしまうことを望まないこともある。
【００３５】
第１０発明に係る通信システムは、第２から第９発明の中継装置と、一以上の商品処理装置と、管理サーバとを備える。管理サーバは一以上の中継装置に接続され、各中継装置は一以上の商品処理装置に接続される。
【００３６】
商品処理装置は、第３照合部と第３判断部とを有する。第３照合部は、第１情報を受信する際に中継装置側証明書について照合処理を行う。第３判断部は、第３照合部による照合処理の結果に基づき中継装置との接続を許可するかどうかを判断する。
【００３７】
管理サーバは、第４照合部と第４判断部とを有する。第４照合部は、第２情報を受信する際に中継装置側証明書について照合処理を行う。第４判断部は、第４照合部による照合処理の結果に基づき中継装置との接続を許可するかどうかを判断する。
【００３８】
ここでは、管理サーバ、中継装置および商品処理装置の三者が有する証明書を相互に検証する。これにより、従来のＰＫＩのみの通信システムに比して、よりセキュリティ効果の高い通信システムが実現できる。
【００３９】
一般的なＰＫＩでは証明書の正当性は確認できるものの、その証明書をもつ接続相手の正当性までを完全に保証することはできない。この通信システムによれば、工場毎等に設置された中継装置を介して商品処理装置と管理サーバとの間では２度の相互認証を行うため、例えば商品処理装置についての証明書が外部に漏洩しても、外部において直接管理サーバへ接続することができない。この通信システムにより、各装置間における階層的なセキュアな認証システムが実現できるとともに、通信経路の特定が容易になる。
【００４０】
第１１発明に係る通信システムは、第１０発明の通信システムであって、商品処理装置の第３判断部は、中継装置から開始する接続は許可しない。
【００４１】
ここでは、情報の送信は常に商品処理装置側からの要求に応じて行われることになり、外部ネットワークに近い中継装置を経由した不正アクセスをより効果的に防止できる。特に、商品処理装置の動作パラメータの不測の書き換えや制御プログラムの不測の変更といった事態を抑えることができるとともに、商品処理装置にある機密情報の漏洩も回避することができる。
【００４２】
第１２発明に係る通信システムは、第１０発明の通信システムであって、中継装置の第１判断部は、管理サーバから開始する接続は許可しない。
【００４３】
ここでは、情報の送信は常に中継装置側（顧客側）からの要求に応じて行われることになり、外部ネットワークからの不正アクセスをより効果的に防止できる。特に、商品処理装置の動作パラメータの不測の書き換えや制御プログラムの不測の変更といった事態を未然に防ぐことができるとともに、商品処理装置にある機密情報の漏洩も回避することができる。
【発明の効果】
【００４４】
本発明によれば、従来のＰＫＩによる認証に加え、管理サーバ、中継装置および商品処理装置の間でより確実な個体認証を行うことができるため、特になりすまし、改ざん等の不正アクセスやウイルス感染を効果的に防ぐことができ、商品処理装置と管理サーバとの間の情報のやりとりについて高度なセキュリティを確保することができる。
【発明を実施するための最良の形態】
【００４５】
本発明の一実施形態に係る中継装置に接続される商品生産ラインの商品処理装置４１，４２，４３，４４を、図１に示す。これらの商品処理装置４１，４２，４３，４４は、図２に示すように、中継装置４０を介して遠隔にある管理サーバ２０により遠隔監視や遠隔ソフトウェアアップデイトといった管理が為される。図２に示す管理サーバ２０，中継装置４０および商品処理装置４１，４２・・・から成る管理システムを、ここではセキュア通信システムと称する。
【００４６】
遠隔からの管理の対象となる商品処理装置４１，４２・・・は、袋詰めされる食品である商品を生産するラインにおいて、それぞれ、商品処理を行う。具体的には、図１に示す計量装置４１、製袋包装装置４２、シールチェック装置４３、重量チェック装置４４等が商品処理装置である。図１では省略しているが、商品処理装置には、その他、自動箱詰め装置、Ｘ線等による異物混入チェック装置等が含まれることもある。
【００４７】
図２に示すように、１つの物件（工場等）３１に設置される一連の商品処理装置４１，４２・・・は、それぞれ物件３１内に設置される１つの中継装置４０に接続される。そして、中継装置４０は、インターネット５０等の公衆回線あるいは専用回線を介して、物件３１から遠く離れた遠隔地にある集中管理センター１０内の管理サーバ２０に接続される。また、管理サーバ２０は、物件３１以外の物件３２，３３等に設置されている中継装置からの接続要求も受ける。
【００４８】
中継装置４０は、商品処理装置４１，４２・・・から管理サーバ２０に送信される診断用データや部品発注データの中継を行ったり、管理サーバ２０から商品処理装置４１，４２・・・に送信される新バージョンの商品処理用プログラムの中継を行ったりする。商品処理装置４１，４２・・・と管理サーバ２０とは直接つながることはなく、両者の間のデータ（情報）のやりとりは、必ず中継装置４０を介して行われる。
【００４９】
＜商品処理装置の詳細構成＞
商品処理装置４１，４２・・・について、ここでは計量装置４１を例にとって説明を行う。なお、製袋包装装置４２やシールチェック装置４３等他の商品処理装置においても、計量装置４１と同様の制御部の構成となっている。
【００５０】
計量装置４１は、主として、制御部４１ａと、操作パネル４１ｂと、制御部４１ａに接続される駆動部やセンサー４１ｃとから構成されている（図３参照）。駆動部やセンサー４１ｃには、計量物を搬送するための電磁石、計量物の重量を検出する重量センサー、計量ホッパの底面を開閉するためのモータ等が含まれる。操作パネル４１ｂは、計量に関する各種設定を入力するためのタッチパネル式の液晶画面であり、且つ、稼働状況等を表示する表示器である。この操作パネル４１ｂは、製袋包装装置４２の操作パネルを兼ねるとともに、後述する中継装置４０における商品処理装置４１，４２・・・の機物情報の登録を行う入力装置の役割も果たす。
【００５１】
計量装置４１の制御部４１ａは、図３に示すように、ＣＰＵ８１、ＲＡＭ８２、不揮発メモリ８３、通信インターフェース（以下、通信Ｉ／Ｆという。）８４等がバスによって接続されたものである。
【００５２】
ＣＰＵ８１は、中継装置４０の電子証明書６６について照合処理を行う処理装置照合部８１ａと、処理装置照合部８１ａの照合の結果に基づき判断処理を行う処理装置判断部８１ｂとを有する。
【００５３】
不揮発メモリ８３には、公開鍵を含む電子証明書６１、ＴＬＳ（ＳＳＬ）通信用秘密鍵５８、制御プログラム（図示せず）等が記憶される。電子証明書６１として、中継装置４０との間で接続の認証を行うために用いられる処理装置側接続認証用電子証明書６１ａとともに、中継装置４０を介して管理サーバ２０へと送られる情報のフィルタリングを中継装置４０に行わせるための処理装置側フィルタリング用電子証明書６１ｂが用意されている。ＴＬＳ通信用秘密鍵５８は、公開鍵暗号方式で使用される一対の鍵の組のうちの１つである。制御部４１ａは、中継装置４０から送られてきた暗号化されたデータ（情報）を、ＴＬＳ通信用秘密鍵５８を使って復号する。また、制御部４１ａは、中継装置４０に送るデータを公開鍵によって暗号化する。
【００５４】
次に説明する中継装置４０と計量装置４１とは、両者の通信Ｉ／Ｆ７４，８４を介して専用線によって接続される。なお、中継装置４０と計量装置４１との通信は、全てが暗号化される。
【００５５】
＜中継装置の詳細構成＞
中継装置４０は、物件３１内に設置されるセキュアプロキシであり、プログラミング機能を持っている。この中継装置４０は、ＣＰＵ７１、ＲＡＭ７２、不揮発メモリ７３、通信Ｉ／Ｆ７４、ネットワークインターフェース（以下、ネットワークＩ／Ｆという。）７５、ハードディスク（以下、ＨＤという。）７６等がバスによって接続されたものである。
【００５６】
中継装置４０の通信Ｉ／Ｆ７４は、商品処理装置４１，４２・・・からの情報を中継する中継部として機能し、同一の物件３１内にある商品処理装置４１，４２・・・の通信Ｉ／Ｆ８４に接続される。
【００５７】
中継装置４０のネットワークＩ／Ｆ７５は、管理サーバからの情報を中継する中継部として機能し、遠隔地にある管理サーバ２０のネットワークＩ／Ｆ９５にインターネット５０を介して接続される。なお、中継装置４０と管理サーバ２０との通信についても、全てが暗号化される。
【００５８】
上述のように、中継装置４０は、商品処理装置４１，４２・・・と管理サーバ２０との間でデータの中継を行うものであるが、その中継処理において、認証を行い、特定の経路しか受け付けない。
【００５９】
ＣＰＵ７１は、管理サーバ２０の電子証明書６８について照合処理を行う第１中継装置照合部７１ａａと、商品処理装置の電子証明書６１について照合処理を行う第２中継装置照合部７１ａｂと、第１中継装置照合部７１ａａの照合の結果に基づき判断処理を行う第１中継装置判断部７１ｂａと、第２中継装置照合部７１ａｂの照合の結果に基づき判断処理を行う第２中継装置判断部７１ｂｂとを有する。
【００６０】
不揮発メモリ７３には、公開鍵を含む電子証明書である中継装置側電子証明書６６、ＴＬＳ（ＳＳＬ）通信用秘密鍵５７、プログラム（図示せず）等が記憶される。中継装置４０は、商品処理装置４１，４２・・・や管理サーバ２０から送られてきた暗号化されたデータを、ＴＬＳ通信用秘密鍵５７を使って復号する。また、中継装置４０は、商品処理装置４１，４２・・・や管理サーバ２０に送るデータを公開鍵によって暗号化する。
【００６１】
また、不揮発メモリ７３では、商品処理装置４１，４２・・・のロッド番号がロッド番号データベース７３ａに記憶される。このロッド番号データベース７３ａに各ロッド番号を記憶させる登録作業は、本セキュア通信システムにおいては、計量装置４１の操作パネル４１ｂを用いて行われる。
【００６２】
＜管理サーバの詳細構成＞
管理サーバ２０は、上述のように物件３１から遠く離れた遠隔地にある集中管理センター１０に設置されており、商品処理装置４１，４２・・・から中継装置４０を介して為される接続要求を受け付ける。この管理サーバ２０は、各物件３１，３２，３３にある商品処理装置４１，４２・・・のメンテナンスをリモートで行う機能、最新の制御プログラムを要求に応じて配信する機能、各商品処理装置の動作状況等の情報を取得して管理する（例えば、監視したり報告書を作ったりする）機能等を有している。
【００６３】
管理サーバ２０は、ＣＰＵ９１、ＲＡＭ９２、不揮発メモリ９３、ネットワークＩ／Ｆ９５、ＨＤ９６等がバスによって接続されたものである。
【００６４】
ＣＰＵ９１は、中継装置４０の電子証明書６６について照合処理を行う管理サーバ照合部９１ａと、管理サーバ照合部９１ａの照合の結果に基づき判断処理を行う管理サーバ判断部９１ｂとを有する。
【００６５】
不揮発メモリ９３には、公開鍵を含む電子証明書であるサーバ側電子証明書６８、ＴＬＳ（ＳＳＬ）通信用秘密鍵５９、処理装置側電子証明書６１，６２，６３・・・および中継装置側電子証明書６６の有効期限を記憶する失効データベース９３ａ、管理プログラム（図示せず）等が記憶される。管理サーバ２０は、中継装置４０から送られてきた暗号化されたデータを、ＴＬＳ通信用秘密鍵５９を使って復号する。また、管理サーバ２０は、中継装置４０に送るデータを公開鍵によって暗号化する。
【００６６】
複数の中継装置４０から接続要求を受け付けるが、管理サーバ２０は、それらの中継装置４０を、中継装置側電子証明書６６によって認識・認証する。さらに、管理サーバ２０は、中継装置４０を介して送られてくる商品処理装置４１，４２・・・からのデータについて、その中に含まれる、ロッド番号等の商品処理装置を特定する情報も確認する。例えば、ロッド番号が管理サーバ２０側に登録されていないものであれば、そのデータの受信を拒否する。すなわち、中継装置４０を認識して通信路特定をし、中継装置側電子証明書６６の認証も終わり、通信セッションを開いた後であっても、送信されてきたデータ内にあるロッド番号が登録されていないものであれば受信拒否となる。これにより、中継装置４０が盗難にあった場合でも、それを使った悪意の通信セッションを管理サーバ２０との間で開けるものの、データの送受信は管理サーバ２０に拒否されることになり、管理サーバ２０からの機密データの漏洩が防止できる。
【００６７】
ＨＤ９６の中には、各商品処理装置４１，４２・・・の稼働情報やメンテナンス情報を記憶する処理装置情報データベース９６ａ、各物件３１からの部品のオンライン発注に関する情報を記憶する発注データベース９６ｂ、各商品処理装置４１，４２・・・の種々のバージョンの制御プログラムを記憶するアップデイト用データベース９６ｃ等が存在している。各データベースの利用については、後述する。
【００６８】
＜セキュア通信システムのＰＫＩモデル＞
本セキュア通信システムは、ＰＫＩを利用したシステムであり、図６はその一例を示す。
【００６９】
本ＰＫＩモデルは、ルートＣＡ証明書１０１を有するルートＣＡ１００と、中間ＣＡ証明書１１１を有する中間ＣＡと、各電子証明書を有する管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・とを備えた階層型モデルである。なお、図示は省略しているが、中間ＣＡは装置ごとに複数設けられている。
【００７０】
管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・の各電子証明書はそれぞれを管理する中間ＣＡに認証され、各中間ＣＡはルートＣＡに認証される。
【００７１】
また、本ＰＫＩモデルにおいては、コード署名局１２０が設けられている。コード署名局は、管理サーバ２０、中継装置４０および商品処理装置４１，４２・・・間において送受信されるソフトウェア等の情報に付されるコード署名を管理する。情報に付されたコード署名が真正なものであることを確認するために、コード署名局は署名局証明書１２１を有し、同コード署名局を管理する中間ＣＡに認証され、その中間ＣＡはルートＣＡに認証される。
【００７２】
このようなしくみをとることにより、各電子証明書や署名が信頼された機関により発行又は保証されたものであることが確認できる。
【００７３】
＜セキュア通信システムの各モード＞
次に、不正経路接続防止機能を持った本セキュア通信システムの各モードについて、以下に説明する。
【００７４】
（１）設定モード
このモードは、中継装置４０に接続する商品処理装置４１，４２・・・の数が増減する場合に実行される。
【００７５】
通信セッション開始のトリガは全て商品処理装置４１，４２・・・側が有しており、通信経路を特定するためには、中継装置４０に商品処理装置４１，４２・・・に関する情報である機物情報を登録させておく。そのため、中継装置４０のモードを切り替えて機物情報（ここでは、ロッド番号）の登録作業を行なう。各商品処理装置４１，４２・・・のロッド番号は、図４に示すように、中継装置４０のロッド番号データベース７３ａに記憶される。
【００７６】
管理サーバ２０は、自ら商品処理装置４１，４２・・・に対する通信セッションを開くことはできず、商品処理装置４１，４２・・・がトリガを引いた通信セッションにおいてのみ、応答の形で商品処理装置４１，４２・・・にアクセスすることができる。
【００７７】
（２）通信モード
通信セッション開始の操作は、全て商品処理装置４１，４２・・・側から行う。
【００７８】
通信開始時の中継装置４０と商品処理装置４１，４２・・・との認証シーケンスについては、全てＴＬＳ技術を用いる。具体的には、公開鍵および秘密鍵、電子証明書、ハッシュ関数というセキュリティ技術を組み合わせて、認証シーケンスを行う。この際、商品処理装置４１，４２・・・は、上記の設定モードで登録された特定の中継装置４０を介さなければ、各種サービスを提供する管理サーバ２０に接続することができない。
【００７９】
ＴＬＳのハンドシェイク時に利用する処理装置側接続認証用電子証明書６１ａの内部の所定項目欄に商品処理装置４１，４２・・・の識別名とロッド番号とを埋め込み、ＴＬＳセッション開始時に、中継装置４０から商品処理装置４１，４２・・・側に要求して得られたロッド番号と比較することで、中継許可を行うかどうかを中継装置４０において判定する。
【００８０】
正しい相手である場合、中継装置４０は、同様の手順で、各種サービスを提供している管理サーバ２０に対して接続を要求する。この接続の過程でもＴＬＳ認証を用い、通信セッション確立時には本セキュア通信システムの全通信経路において暗号化および情報完全性を保証できるようにしている。したがって、インターネット５０を流れるデータは、全て、改ざん防止目的の電子署名が為されたものとなる。
【００８１】
通信セッションが確立された後、商品処理装置４１，４２・・・は、処理装置側接続認証用電子証明書６１ａとは別の証明書である処理装置側フィルタリング用電子証明書６１ｂを用いることで、送信情報のフィルタリングを行うことができる。このフィルタリングにより、情報（通信データ）を選択して暗号化送信することができる。このように、処理装置側フィルタリング用電子証明書６１ｂが設けられているため、商品処理装置４１，４２・・・を使う顧客は、外部（管理サーバ２０）に送信する必要がない機密情報をフィルタリングにより外すことができる。
【００８２】
上記のような手順を踏むため、商品処理装置４１，４２・・・は、特定の中継装置４０のみを経由してからでなければ、各種サービスを提供する管理サーバ２０への接続ができない。したがって、商品処理装置４１，４２・・・が廃棄されたり盗難にあったりした場合でも、双方（商品処理装置４１，４２・・・を使う顧客および管理サーバ２０により各種サービスを提供する者）が不正なアクセスを受けるといったセキュリティ上の懸念がなくなっている。
【００８３】
また、中継装置４０自身は、商品処理装置４１，４２・・・に対する通信セッションを開始するためのトリガ機能を有していない。このため、中継装置４０が廃棄や盗難等にあい商品処理装置４１，４２・・・に対する接続を試みられた場合でも、接続はできず情報漏洩等を防ぐことができる。よって、顧客にとってセキュリティ上の懸念がない。
【００８４】
また、商品処理装置４１，４２・・・と中継装置４０の電子証明書に関しては、その失効を接続要求毎に確認する機能が管理サーバ２０に搭載されており、商品処理装置４１，４２・・・が中継装置４０を通して管理サーバ２０へ接続することを個別に無効化することができる。失効手続きは、管理サーバ２０側で有効期限のチェックと無効化設定を行うことで、実現される。これにより、中継装置４０と商品処理装置４１，４２・・・の両方で、鍵や電子証明書の悪意の二次利用が防止できる。有効期限や無効化設定の有無等の情報は、管理サーバ２０の不揮発メモリ９３の失効データベース９３ａに格納される。このような電子証明書の失効確認を管理サーバ２０で行っているため、万が一、中継装置４０と商品処理装置４１，４２・・・の制御基板とがセットで持ち出されても、失効手続きを行うことで悪意の通信を管理サーバ２０側でプロテクトすることができる。
【００８５】
＜中継装置の各機能について＞
次に、中継装置４０に焦点を当てて、その各機能について整理した形で説明を行う。
【００８６】
（１）商品処理装置認証機能
本セキュア通信システムでは、例えばＰＫＩを利用して暗号化通信を確立する際に相互認証を行う。この際、否認防止目的のために、電子証明書の識別名および拡張領域項目を活用して、厳重なチェックを実施している。
【００８７】
管理サーバ２０に情報を送信するために商品処理装置４１，４２・・・から中継装置４０に情報が送られるときには、処理装置側接続認証用電子証明書６１ａが付けられ、その電子証明書６１ａの拡張領域項目には商品処理装置４１，４２・・・のロッド番号が入れられる。
【００８８】
中継装置４０の第２中継装置照合部７１ｂｂは、登録された商品処理装置４１，４２・・・のロット番号と、送られてきた電子証明書６１ａのロット番号とを照合する。ここでロッド番号が異なる場合には、中継装置４０の第２中継装置判断部７１ｂｂが、商品処理装置４１，４２・・・との接続を拒否する。
【００８９】
このような仕組みを採用しているため、例えば盗み出した商品処理装置４１，４２・・・の電子証明書６１ａをコンピュータに組み込んで別の中継装置４０に悪意の接続を試みようとしても、中継装置４０にはその盗まれた商品処理装置４１，４２・・・のロット番号が登録されていないため、通信セッションが開かれない。
【００９０】
（２）商品処理装置情報管理機能
自身の管理下にある商品処理装置４１，４２・・・にのみインターネット５０を介した管理サーバ２０への接続許可を出す役割を果たすため、中継装置４０では、セキュア通信システムの使用前に、商品処理装置４１，４２・・・の機物情報を登録しておく必要がある。このため、中継装置４０は、各商品処理装置４１，４２・・・の固有情報（ロッド番号等）を保存する機能を有している。例えば、上述のように、操作パネル４１ｂを用いた入力により、中継装置４０のロッド番号データベース７３ａに各商品処理装置４１，４２・・・のロッド番号が登録される。
【００９１】
（３）通信コンバータ機能
商品処理装置４１，４２・・・自身が直接インターネット５０を経由して管理サーバ２０等と通信を行うということがセキュリティの面から好ましくないため、中継装置４０は、商品処理装置４１，４２・・・の通信を仲介する役割を果たす。また、中継装置４０は、同時に複数の商品処理装置４１，４２・・・からの接続要求があったときに、それらを適切に処理する機能を有している。
【００９２】
（４）証明書失効情報提供機能
通常、証明書を利用した暗号化通信では、証明書の失効情報を自身で確認する。しかし、本セキュア通信システムでは、管理サーバ２０と商品処理装置４１，４２・・・とが直接つながることはなく、商品処理装置４１，４２・・・が証明書の失効情報を直接取得することはできない。したがって、中継装置４０に、商品処理装置４１，４２・・・の代理として必要な証明書失効情報を取得して提供する機能を備えさせている。
【００９３】
＜本発明に係る中継装置を含むセキュア通信システムの特徴＞
最近、インターネット技術の幅広い普及に伴い、商品処理装置をネットワーク対応型のものとし、インターネットによる通信接続を使って集中管理センターの管理サーバで遠隔地の商品処理装置をサポートするサービスが広まってきている。
【００９４】
しかし、商品処理装置で取り扱う情報には顧客の経営情報が含まれている場合がある。特に、計量や包装を行う商品生産ラインや食品加工工場では、各商品処理装置内部の情報の機密性が高い。また、食品といった商品を生産するラインにおいては、食の安全のための検査も行われており、この検査を行う装置について外部から不正なアクセスが為されると、商品の安全性が損なわれる恐れも出てくる。
【００９５】
したがって、管理サーバ等外部のネットワークを介して商品処理装置に通信接続を行ってデータを送受信するサービスを行おうとする場合には、通信データの改ざん、中間傍受、通信なりすまし、ウイルス感染等に対応するセキュリティ対策を万全に行って通信時の顧客情報の安全性確保を図ることが重要となる。
【００９６】
このような要望に対し、単に公開鍵暗号技術を利用することも考えられるが、鍵を記憶したメモリデバイスを含む商品処理装置や商品処理装置の制御基板が盗難される恐れも否定できない。また、偽の管理サーバを作られ、偽のプログラムを送りつけられたり商品処理装置側の極秘情報を吸い上げられたりする恐れもある。
【００９７】
もちろん、ＰＫＩを用いればある程度通信相手の正当性の保証は可能であるが、この技術では、意図しない経路での通信接続を検出して情報漏洩を防止する仕組みは備えていない。すなわち、商品処理装置自体が廃棄・盗難・交換されると、それを悪用して不正にネットワークに接続することが可能となる。これにより、通信当事者以外への情報漏洩の可能性が生まれてしまうことになる。
【００９８】
これに対し、本実施形態の中継装置４０を含むセキュア通信システムでは、不正経路接続防止機能を持つようになっており、以下のような各特徴がある。これにより、商品処理装置４１，４２・・・と管理サーバ２０との通信の安全等を図ることができるようになっている。
【００９９】
（１）
まず、中継装置４０を介した商品処理装置４１，４２・・・と管理サーバ２０との通信においては、完全な暗号化通信を図っている。具体的には、計量装置４１等の商品処理装置４１，４２・・・それぞれに、ＴＬＳ機能を持つモジュールを搭載している。ＴＬＳ通信用秘密鍵５８、電子証明書（公開鍵含む）６１は、商品処理装置４１，４２・・・の出荷時において制御基板の内部に組み込まれている。
【０１００】
その上で、商品処理装置４１，４２・・・にはインターネット５０への直接の接続をさせない構成を採っている。
【０１０１】
（２）
また、商品処理装置４１，４２・・・と管理サーバ２０とを介在するものとして、中継装置４０を物件３１に設置している。
【０１０２】
この中継装置４０は、商品処理装置４１，４２・・・と同様に、出荷時においてＴＬＳ通信用秘密鍵５７、電子証明書（公開鍵含む）６６が最初から組み込まれている。
【０１０３】
商品処理装置４１，４２・・・の証明書である処理装置側電子証明書６１と中継装置４０の証明書である中継装置側電子証明書６６とは、ともに出荷時に組み込まれている。
【０１０４】
さらに、管理サーバ２０のサーバ側電子証明書６８についても、処理装置側電子証明書６１および中継装置側電子証明書６６と同様に、出所が同じであって、最初から組み込まれている。
【０１０５】
これらの電子証明書は第三者機関である認証局によって発行されたものであり、公開鍵の真正性が証明されているものである。
【０１０６】
（３）
上記のような高度なセキュリティと不正経路接続防止機能を有したセキュア通信システムを用いることで、従来では安全性の面から実現が難しかった遠隔地の管理サーバ２０による遠隔サポートサービス、オンライン発注サービス、ソフトウェアアップデイトサービス等のインターネット５０を活用した各種サービスを顧客に安全に提供することができるようになっている。
【０１０７】
＜３−１：遠隔サポートサービス＞
従来から、商品処理装置が導入された製造現場では、日々の生産条件により商品処理装置の稼働率が変動する問題がある。これに対してノウハウを持ったサービスパーソン・営業・技術の各メンバーが都度、現地にて対応することで、サービスの提供を行っている。
【０１０８】
本セキュア通信システムを採用すれば、暗号化通信と経路特定を行った通信路を確立することで、安全なリモート診断サービスを提供できる。
【０１０９】
この時に、機物情報等テキストベースの文字データのみならず、商品処理装置に搭載されているカメラ映像の情報も同時に用いることが可能になるため、現場の状況を詳細に確認しながらの支援が可能となる。このため、問題発生から現地に赴く時間の無駄を解消するばかりでなく、従来よりも迅速なサービスの提供が可能となる。
【０１１０】
なお、この遠隔サポートサービスの実施のために、管理サーバ２０のＨＤ９６の処理装置情報データベース９６ａには、各商品処理装置４１，４２・・・の稼働情報やメンテナンス情報が集められる。
【０１１１】
＜３−２：オンライン発注サービス＞
従来、電話やＦＡＸ等で処理していたメンテナンス用部品の発注処理を、映像資料等の補足資料を添えて、安全に電子データとして処理することができるようになる。これにより、即時に在庫状況や納期のような情報を顧客側に提供することができる。
【０１１２】
なお、このオンライン発注サービスの実施のために、管理サーバ２０のＨＤ９６の発注データベース９６ｂには、部品発注に関する情報が集められる。
【０１１３】
＜３−３：ソフトウェアアップデイトサービス＞
従来、サービスパーソンが現地に出向いて商品処理装置の制御プログラムのバージョンアップ等の作業を行っているが、本セキュア通信システムを採用すれば、素早く低コストでソフトウェアのアップデートサービスを提供することができるようになる。但し、管理サーバ２０側から商品処理装置４１，４２・・・との通信セッションを開くことをセキュリティの観点から禁止しているため、管理サーバ２０は、商品処理装置４１，４２・・・側から要求があったときに限り、必要な制御プログラムを商品処理装置４１，４２・・・に送信することが可能である。
【０１１４】
なお、このソフトウェアアップデイトサービスの実施のために、管理サーバ２０のＨＤ９６のアップデイト用データベース９６ｃには、各種の商品処理装置それぞれについて古いバージョンから最新バージョンまでの制御プログラムが格納されている。
【０１１５】
（４）
本セキュア通信システムでは、通信の主体者として、商品処理装置４１，４２・・・、中継装置４０および管理サーバ２０の三者が登場し、それぞれが電子証明書を備えている。本セキュア通信システムは、情報漏洩防止をシステムの一機能として持たせるために、顧客側の主体者を認証して経路を特定する機能を有し、管理サーバ２０に対して通信のトリガを有する中継装置４０と、中継装置４０に対して通信のトリガを有する商品処理装置４１，４２・・・と、通信トリガを有しない管理サーバ２０とを備える。また、本セキュア通信システムでは、ＴＬＳ（ＳＳＬ）通信技術と中継装置４０等による相互認証機能とを融合させている。
【０１１６】
これにより、経路情報の特定および固定化が実現できるようになり、商品処理装置４１，４２・・・と中継装置４０とのいずれかの機物が盗難されるといった予期せぬ状態が発生しても、それを用いた不正アクセスを防ぐことができる。
【０１１７】
＜変形例＞
（１）
例えば、ＳＳＬを利用した認証の場合、一般名（ＣＮ）のフィールドを利用した認証が可能である。
【０１１８】
具体的には、ＳＳＬライブラリでの一般名フィールド（制限が６４バイト）に、識別記号欄と特定情報欄とを設ける。その特定情報欄に、中継装置４０や商品処理装置４１，４２・・・であれば、それらのロッド番号を記述する。
【０１１９】
このように既存の電子証明書の一部のフィールドを利用して認証をし、経路特定を行うことができる。
【０１２０】
（２）
上記のセキュア通信システムでは、管理サーバ２０側から商品処理装置４１，４２・・・との通信セッションを開くことをセキュリティの観点から禁止しているが、管理サーバ２０のサーバ側電子証明書６８の盗難の恐れが全くない等、セキュリティの確保が十分に可能である場合には、管理サーバ２０に通信のトリガを引く権限を与えることも考えられる。
【０１２１】
（３）
上記のセキュア通信システムでは、制御部４１ａの不揮発メモリ８３に処理装置側電子証明書６１やＴＬＳ通信用秘密鍵５８を入れているが、これらの暗号化通信のための主要機能を制御部４１ａから分離させて例えば計量装置に後付けする通信コンバータとして独立させることも考えられる。この場合、通信コンバータには、例えば、高速ＣＰＵ、各種インターフェース、制御プログラムや稼働情報のバックアップ部等をさらに備えさせ、既存の各種商品処理装置に対応可能にしておくことが望ましい。
【０１２２】
（４）
上記のセキュア通信システムでは、中継装置４０における商品処理装置４１，４２・・・の機物情報の登録を行う入力装置として、計量装置４１の操作パネル４１ｂを利用しているが、中継装置４０に専用の入力装置を設けてもよい。
【産業上の利用可能性】
【０１２３】
本発明に係る中継装置を採用する通信システムは、商品処理装置や中継装置が盗難にあった場合にも、管理サーバになりすまして通信を傍受したり商品処理装置に偽の情報を送ったりする不正アクセスによる被害を防ぐことができ、商品処理装置と管理サーバとの間の情報のやりとりのセキュリティを確保することができる。このため、本発明に係る中継装置は、商品処理装置とその商品処理装置の管理を行う管理サーバとの間で情報の中継を行う中継装置として、特に有用である。
【図面の簡単な説明】
【０１２４】
【図１】本発明の一実施形態に係る中継装置を介して管理サーバに管理される商品処理装置群の斜視図。
【図２】中継装置を含むセキュア通信システムの構成図。
【図３】商品処理装置の構成図。
【図４】中継装置の構成図。
【図５】管理サーバの構成図。
【図６】上記実施形態におけるＰＫＩモデルの図。
【符号の説明】
【０１２５】
２０ 管理サーバ
４０ 中継装置
４１ 計量装置（商品処理装置）
４２ 製袋包装装置（商品処理装置）
４３ シールチェック装置（商品処理装置）
４４ 重量チェック装置（商品処理装置）
６１，６２，６３ 処理装置側電子証明書
６１ａ 処理装置側接続認証用電子証明書
６１ｂ 処理装置側フィルタリング用電子証明書
６６ 中継装置側電子証明書
６８ サーバ側電子証明書
７１ ＣＰＵ
７１ａａ 第１中継装置照合部（第１照合部）
７１ａｂ 第２中継装置照合部（第２照合部）
７１ｂａ 第１中継装置判断部（第１判断部）
７１ａｂ 第２中継装置判断部（第２判断部）
７３ 不揮発メモリ
７４ Ｉ／Ｆ７４（第２中継部）
７５ ネットワークＩ／Ｆ（第１中継部）
８１ ＣＰＵ
８１ａ 処理装置照合部（第３照合部）
８１ｂ 処理装置判断部（第３判断部）
９１ ＣＰＵ
９１ａ 管理サーバ照合部（第４照合部）
９１ｂ 管理サーバ判断部（第４判断部）
１００ ルートＣＡ
１１０ 中間ＣＡ
１２０ コード署名局
【特許請求の範囲】
【請求項１】
商品の生産に関する処理を行う商品処理装置と、前記商品処理装置の管理を行う管理サーバとの間に配設される中継装置であって、
サーバ側証明書を有する前記管理サーバから前記商品処理装置への情報である第１情報の送信を中継する第１中継部と、
処理装置側証明書を有する前記商品処理装置から前記管理サーバへの情報である第２情報の送信を中継する第２中継部と、
前記第１情報の送信を中継する際に、前記サーバ側証明書について照合処理を行う第１照合部と、
前記第２情報の送信を中継する際に、前記処理装置側証明書について照合処理を行う第２照合部と、
前記第１照合部による照合処理の結果に基づき、前記管理サーバとの接続を許可するかどうかを判断する第１判断部と、
前記第２照合部による照合処理の結果に基づき、前記商品処理装置との接続を許可するかどうかを判断する第２判断部とを備える、
中継装置。
【請求項２】
前記管理サーバにおいて照合処理され、且つ前記商品処理装置において照合処理される、中継装置側証明書をさらに備えてなる、
請求項１記載の中継装置。
【請求項３】
前記処理装置側証明書は、前記商品処理装置を特定する処理装置固有番号を含み、
前記第２照合部は、前記処理装置固有番号について照合処理を行い、
前記第２判断部は、前記処理装置固有番号について照合処理の結果に基づき前記商品処理装置との接続を許可するかどうかを判断する、
請求項１記載の中継装置。
【請求項４】
前記第１情報には署名が付されており、
前記第１照合部は、前記第１情報の署名について照合処理を行い、
前記第１判断部は、前記第１情報の署名についての照合処理の結果に基づき、前記第１情報の送信を中継するかどうかを判断する、
請求項１記載の中継装置。
【請求項５】
前記第２情報には署名が付されており、
前記第２照合部は、前記第２情報の署名について照合処理を行い、
前記第２判断部は、前記第２情報の署名についての照合処理の結果に基づき、前記第２情報の送信を中継するかどうかを判断する、
請求項１記載の中継装置。
【請求項６】
前記第１情報はソフトウエアである、
請求項１記載の中継装置。
【請求項７】
前記第２情報は、商品処理装置に関する情報である、
請求項１記載の中継装置。
【請求項８】
前記第１判断部は、前記処理装置側証明書の内容に応じて、中継する前記第１情報の範囲を制限する、
請求項１記載の中継装置。
【請求項９】
前記第２判断部は、前記処理装置側証明書の内容に応じて、中継する前記第２情報の範囲を制限する、
請求項１記載の中継装置。
【請求項１０】
請求項２〜９のいずれかに記載の中継装置と、
前記中継装置に接続される一以上の前記商品処理装置と、
一以上の前記中継装置を介して、前記商品処理装置に接続される前記管理サーバと
を備え、
前記商品処理装置は、前記第１情報を受信する際に前記中継装置側証明書について照合処理を行う第３照合部と、前記第３照合部による照合処理の結果に基づき前記中継装置との接続を許可するかどうかを判断する第３判断部とを有し、
前記管理サーバは、前記第２情報を受信する際に前記中継装置側証明書について照合処理を行う第４照合部と、前記第４照合部による照合処理の結果に基づき前記中継装置との接続を許可するかどうかを判断する第４判断部とを有する、
通信システム。
【請求項１１】
前記商品処理装置の前記第３判断部は、前記中継装置から開始する接続は許可しない、
請求項１０記載の通信システム。
【請求項１２】
前記中継装置の前記第１判断部は、前記管理サーバから開始する接続は許可しない、
請求項１０記載の通信システム。
【請求項１】
商品の生産に関する処理を行う商品処理装置と、前記商品処理装置の管理を行う管理サーバとの間に配設される中継装置であって、
サーバ側証明書を有する前記管理サーバから前記商品処理装置への情報である第１情報の送信を中継する第１中継部と、
処理装置側証明書を有する前記商品処理装置から前記管理サーバへの情報である第２情報の送信を中継する第２中継部と、
前記第１情報の送信を中継する際に、前記サーバ側証明書について照合処理を行う第１照合部と、
前記第２情報の送信を中継する際に、前記処理装置側証明書について照合処理を行う第２照合部と、
前記第１照合部による照合処理の結果に基づき、前記管理サーバとの接続を許可するかどうかを判断する第１判断部と、
前記第２照合部による照合処理の結果に基づき、前記商品処理装置との接続を許可するかどうかを判断する第２判断部とを備える、
中継装置。
【請求項２】
前記管理サーバにおいて照合処理され、且つ前記商品処理装置において照合処理される、中継装置側証明書をさらに備えてなる、
請求項１記載の中継装置。
【請求項３】
前記処理装置側証明書は、前記商品処理装置を特定する処理装置固有番号を含み、
前記第２照合部は、前記処理装置固有番号について照合処理を行い、
前記第２判断部は、前記処理装置固有番号について照合処理の結果に基づき前記商品処理装置との接続を許可するかどうかを判断する、
請求項１記載の中継装置。
【請求項４】
前記第１情報には署名が付されており、
前記第１照合部は、前記第１情報の署名について照合処理を行い、
前記第１判断部は、前記第１情報の署名についての照合処理の結果に基づき、前記第１情報の送信を中継するかどうかを判断する、
請求項１記載の中継装置。
【請求項５】
前記第２情報には署名が付されており、
前記第２照合部は、前記第２情報の署名について照合処理を行い、
前記第２判断部は、前記第２情報の署名についての照合処理の結果に基づき、前記第２情報の送信を中継するかどうかを判断する、
請求項１記載の中継装置。
【請求項６】
前記第１情報はソフトウエアである、
請求項１記載の中継装置。
【請求項７】
前記第２情報は、商品処理装置に関する情報である、
請求項１記載の中継装置。
【請求項８】
前記第１判断部は、前記処理装置側証明書の内容に応じて、中継する前記第１情報の範囲を制限する、
請求項１記載の中継装置。
【請求項９】
前記第２判断部は、前記処理装置側証明書の内容に応じて、中継する前記第２情報の範囲を制限する、
請求項１記載の中継装置。
【請求項１０】
請求項２〜９のいずれかに記載の中継装置と、
前記中継装置に接続される一以上の前記商品処理装置と、
一以上の前記中継装置を介して、前記商品処理装置に接続される前記管理サーバと
を備え、
前記商品処理装置は、前記第１情報を受信する際に前記中継装置側証明書について照合処理を行う第３照合部と、前記第３照合部による照合処理の結果に基づき前記中継装置との接続を許可するかどうかを判断する第３判断部とを有し、
前記管理サーバは、前記第２情報を受信する際に前記中継装置側証明書について照合処理を行う第４照合部と、前記第４照合部による照合処理の結果に基づき前記中継装置との接続を許可するかどうかを判断する第４判断部とを有する、
通信システム。
【請求項１１】
前記商品処理装置の前記第３判断部は、前記中継装置から開始する接続は許可しない、
請求項１０記載の通信システム。
【請求項１２】
前記中継装置の前記第１判断部は、前記管理サーバから開始する接続は許可しない、
請求項１０記載の通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００７−８８５５６（Ｐ２００７−８８５５６Ａ）
【公開日】平成１９年４月５日（２００７．４．５）
【国際特許分類】
【出願番号】特願２００５−２７１７１５（Ｐ２００５−２７１７１５）
【出願日】平成１７年９月２０日（２００５．９．２０）
【出願人】（０００１４７８３３）株式会社イシダ (859)
【出願人】（３０１０２１５３３）独立行政法人産業技術総合研究所 (6,529)
【Ｆターム（参考）】
【公開日】平成１９年４月５日（２００７．４．５）
【国際特許分類】
【出願日】平成１７年９月２０日（２００５．９．２０）
【出願人】（０００１４７８３３）株式会社イシダ (859)
【出願人】（３０１０２１５３３）独立行政法人産業技術総合研究所 (6,529)
【Ｆターム（参考）】
[ Back to top ]