実行制限装置及び利用制限装置
【課題】 ネットワークを介して、制御対象装置を遠隔操作する際、第三者による不正なアクセスや操作ミスによって、制御対象装置が許可されていないコマンドを実行してしまうことを防ぐ。
【解決手段】 制御装置２００に対し、あらかじめ許可できるコマンド（制御指令）、許可できる条件（実行条件）等の利用権を通知しておき、制御装置２００がその条件を満たすと判断した場合に、実行制限装置３００に対して、コマンド（選択コマンド）、利用権（選択利用権）を通知する。実行許可部３０１は、あらかじめ制御装置２００に通知したものと、制御装置２００から通知されたものが一致する場合に、制御装置２００を正当なものと認証し、制御対象装置１００に対してコマンドの実行を許可する。
【解決手段】 制御装置２００に対し、あらかじめ許可できるコマンド（制御指令）、許可できる条件（実行条件）等の利用権を通知しておき、制御装置２００がその条件を満たすと判断した場合に、実行制限装置３００に対して、コマンド（選択コマンド）、利用権（選択利用権）を通知する。実行許可部３０１は、あらかじめ制御装置２００に通知したものと、制御装置２００から通知されたものが一致する場合に、制御装置２００を正当なものと認証し、制御対象装置１００に対してコマンドの実行を許可する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク等を介した装置の遠隔操作に関する。更に詳しくは、ネットワーク等を介した装置の遠隔操作における認証及び制限に関する。
【背景技術】
【０００２】
従来の、宅外の機器からインターネットを介して宅内の機器を制御する際のアクセス制御には、以下のものがある。
例えば、特許文献１は、宅外の機器の公開鍵／秘密鍵と宅内機器の公開鍵／秘密鍵によって、認証情報を暗号化して通信を行い、それが互いに解けることによって、相互認証を行い、制御コマンドの実行を行う。
【特許文献１】特開平１０−２８９２０５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来のアクセス制御の方式では、相互認証されたあとは、どのような制御コマンドでも許可される、つまり、通信相手が認証されれば、故意／過失に関らず、許可されていないコマンドの実行も可能であるため、このようなコマンドの実行を防ぐという課題があった。
この発明は、例えば、上記のような課題を解決するためになされたもので、認証された相手からの故意・過失に関らず、許可されていないコマンドの実行を許可しないことを目的とする。
【課題を解決するための手段】
【０００４】
本発明の実行制限装置は、
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して実行を許可できる上記制御指令を記憶する制御指令記憶部と、
上記制御装置に対し、上記制御指令記憶部が記憶した制御指令を通知する制御指令通知部と、
上記制御対象装置に対する制御指令を取得する制御指令取得部と、
上記制御指令記憶部が記憶した制御指令と、上記制御指令取得部が取得した制御指令とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする。
【発明の効果】
【０００５】
本発明によれば、制御対象装置に対する遠隔制御を許可していない制御装置からの制御を禁止でき、更に、制御機器に許可していない制御指令を制御対象装置が実行することを禁止できるとの効果を奏する。
【発明を実施するための最良の形態】
【０００６】
実施の形態１．
実施の形態１を図１〜図８を用いて説明する。
【０００７】
図１は、この実施の形態における実行制限装置３００あるいは制御装置２００の外観の一例を示す図である。
図１において、実行制限装置３００は、システムユニット９１０を備えている。
さらに、実行制限装置３００は、ローカルエリアネットワーク（ＬＡＮ）９４２、ゲートウェイ９４１を介してインターネット９４０に接続されている。
【０００８】
図２は、この実施の形態における実行制限装置３００及び制御装置２００のハードウェア構成の一例を示す図である。
図３は、この実施の形態における制御対象装置１００のハードウェア構成の一例を示す図である。
図２及び図３において、実行制限装置３００及び制御装置２００及び制御対象装置１００は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、磁気ディスク装置９２０と接続されている。
また、制御対象装置１００は、制御装置２００からの制御指令に基づいて動作する動作部９５０を有している。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例であって、必ずしも全てが接続されている必要はない。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５は、ＬＡＮ９４２等に接続されている。
例えば、通信ボード９１５などは、入力部の一例である。
また、例えば、通信ボード９１５などは、出力部の一例である。
【０００９】
ここで、通信ボード９１５は、ＬＡＮ９４２に限らず、直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されていても構わない。直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続されている場合、実行制限装置３００は、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続され、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４等が記憶されている。しかし、磁気ディスク装置９２０が接続されていない場合には、これらをＲＯＭ９１３またはＲＡＭ９１４が記憶していてもよい。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。
【００１０】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明するものが、「〜ファイル」として記憶されている。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。
【００１１】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
【００１２】
また、以下に述べる実施の形態を実施するプログラムは、また、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体による記録装置を用いて記憶されても構わない。
【００１３】
図４は、この実施の形態におけるシステムの全体構成の一例を示す。
制御装置２００は、制御対象装置１００を遠隔操作するため、制御対象装置１００に対して制御指令を送る。
制御対象装置１００は、制御装置２００からの制御指令を実行する。
しかし、制御指令はインターネット９４０等の開かれたネットワークを介して送られるため、悪意の第三者９９９による盗聴・改変・なりすまし等を防ぐための認証が必要となる。
また、正規の制御指令であることが認証されたとしても、入力ミス等による誤動作を防ぐため、制御指令が実行を許可できるものかどうかを検証する必要がある。
そのため、実行制限装置３００は、制御装置２００からの制御指令を解釈し、実行を許可できるものだけを制御対象装置１００に通知する。
なお、制御対象装置１００と実行制限装置３００は、一体のものであってもよい。
【００１４】
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
【００１５】
図５は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
【００１６】
コマンド群記憶部３１２は、制御対象装置１００が実行可能な制御指令のうち、制御対象装置１００に対して実行を許可できるコマンドで、かつ、制御装置２００が実行を指令してもよいコマンドを記憶している。
【００１７】
図６は、この実施の形態において、コマンド群記憶部３１２が記憶するコマンド４００の一例を示す。
コマンド４００（制御指令の一例）は、例えば、コマンドを識別するコマンド識別子４０１、そのコマンドを実行する制御対象装置を示す実行機器情報４０２、制御コマンドのコード、コマンド名などおよびその引数からコマンド文字列４０３、そのコマンドの付加的説明であるコマンド説明４０４から構成される。また、コマンド４００は、このようにコマンド識別子４０１やコマンド説明４０４と紐付け管理された状態でなくてもよい。
すなわち、コマンド識別子４０１は、実行制限装置３００においてコマンドを識別するために用いる。
なお、コマンド識別子４０１は、一つのコマンドに対して、複数記憶しておいてもよい。あるいは、定期的に変更することとしておいてもよい。
コマンド文字列４０３は、そのコマンドの実行が許可された場合に、制御対象装置１００に通知するコマンドの内容である。制御対象装置１００はこれを解釈し、動作部９５０を動作させる。
コマンド説明４０４は、制御装置２００に表示して、そのコマンドが何をするものかを制御装置２００の操作者に知らせるためのものである。
【００１８】
コマンド情報発行部３１４は、コマンド群記憶部３１２が記憶しているコマンドから、コマンド情報を作成する（図５のＳ１１）。
【００１９】
図７は、この実施の形態において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す。
コマンド情報８００は、例えば、コマンド識別子８０１、コマンドを実行する機器を特定する実行機器情報８０２、コマンド識別子、実行機器情報等の改ざん防止のための電子署名である署名８０３、コマンド説明８０４から構成される。
実行機器情報８０２では、機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
すなわち、コマンド識別子８０１は、コマンド群記憶部３１２が記憶するコマンド識別子４０１と同一のものであり、実行制限装置３００においてコマンドを識別するために用いる。
実行機器情報８０２は、そのコマンドを実行する制御対象装置１００を示すものである。制御装置２００は、これを解釈することにより、そのコマンドを実行する制御対象装置１００を特定する。
これにより、間違って異なる装置に対してコマンドを送ることを防ぐ。
署名８０３は実行制限装置３００の電子署名であり、そのコマンド情報が実行制限装置３００の通知したものであることを保証するものである。これにより、第三者による改ざん、なりすましを防止できる。
コマンド説明８０４は、コマンド群記憶部３１２が記憶するコマンド説明４０４と同じものであり、そのコマンドが何をするものかを制御装置２００の操作者に知らせるためのものである。
【００２０】
制御対象装置１００に実行を許可できるコマンドが複数ある場合には、それぞれのコマンドについて、コマンド識別子８０１、実行機器情報８０２、署名８０３、コマンド説明８０４を作成する。
【００２１】
コマンド情報発行部３１４は、作成したコマンド情報８００を、制御装置２００に対し、暗号化して通知する（図５のＳ１２）。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
これにより、第三者９９９による盗聴、改ざんが防止できる。
【００２２】
制御装置２００は、コマンド情報８００を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、署名８０３を検証し、そのコマンド情報８００が確かに実行制限装置３００から通知されたものであることを確かめる。署名８０３が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００２３】
署名８０３の検証により、そのコマンド情報８００が実行制限装置３００の通知したものであることが確認できた場合には、コマンド説明４０４を表示する。
表示したコマンド説明４０４の中から操作者がコマンドを選択すると、制御装置２００は、選択したコマンドに対応する選択コマンド情報８１０を作成する。
【００２４】
図８は、この実施の形態において、制御装置２００が作成する選択コマンド情報８１０の一例を示す。
選択コマンド情報８１０は、例えば、コマンド識別子８１１、実行機器情報８１２、署名８１３から構成される。
選択コマンド情報８１０に含まれるコマンドは、制御対象装置に実行を許可できるコマンドのうち、実際に操作者が選択したコマンドであり、通常は１つのコマンドである。
コマンド識別子８１１は、コマンド情報８００に含まれていたコマンド識別子８０１のうち、選択したコマンドに対応するものである。
実行機器情報８１２は、コマンド情報８００に含まれていた実行機器情報８０２のうち、選択したコマンドに対応するものである。
署名８１３は、制御装置２００の電子署名であり、その選択コマンド情報が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざんやなりすましを防止できる。
【００２５】
制御装置２００は、このようにして作成した選択コマンド情報８１０を、実行制限装置３００に対し、暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、実行制限装置３００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【００２６】
実行制限装置３００の選択コマンド情報受信部３１１は、制御装置２００が通知した選択コマンド情報８１０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図５のＳ１３）。
【００２７】
実行許可部３０１は、署名８１３を検証し、その選択コマンド情報８１０が確かに制御装置２００の通知したものであることを確かめる。署名８１３が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、制御対象装置１００に対してコマンドを通知しない（図５のＳ１４）。
【００２８】
実行許可部３０１は、更に、コマンド識別子８１１及び実行機器情報８１２を検証する。この検証において、コマンド識別子８１１と一致するコマンド識別子４０１がコマンド群記憶部３１２に存在し、実行機器情報８１２が、制御対象装置１００あるいは実行制御装置２００が持つ機器情報と一致すれば、正しいコマンドであると判断する。
なお、一つのコマンドに対して複数のコマンド識別子４０１を記憶している場合には、その中で、コマンド情報発行部３１４が通知したコマンド情報８００に含まれるものと一致するかを判断する。
【００２９】
実行許可部３０１は、検証の結果、不正と判断した場合には、制御対象装置１００に対してコマンドの実行を許可しない（図５のＳ１５）。
【００３０】
実行許可部３０１は、正しいコマンドであると判断した場合、コマンド識別子８１１に対応して、コマンド群記憶部３１２が記憶するコマンド文字列４０３を制御対象装置１００に通知し、コマンドを実行させる（図５のＳ１６）。
【００３１】
これにより、選択コマンド情報８１０に含まれる署名８１３で制御装置２００を認証するだけでなく、コマンド情報８００を正しく復号できたことによっても制御装置２００を認証していることになるので、二重の認証を行うことになり、安全性が高まる。
また、制御装置２００を認証することでリモート制御を許可されていない装置からの制御を禁止できるだけでなく、その制御装置２００に対して許可していないコマンドの実行も禁止できる。
すなわち、許可していないコマンドは、コマンド情報８００において制御装置２００に通知されないので、制御装置２００からの選択コマンド情報８１０で実行を指示することはあり得ないからである。
そのうえ、制御装置の認証と、実行が許可されたコマンドかどうかの検証を同時に行うので、効率がよい。
【００３２】
なお、制御装置２００がひとたびコマンド情報８００を取得すると、コマンド識別子及び実行機器情報が分かるので、以後は何回でも同じコマンドの実行を指示できるようになる。
それが困る場合には、以下のような構成とすることで対応できる。
【００３３】
すなわち、コマンド群記憶部３１２が記憶するコマンド４００のコマンド識別子４０１を定期的に、あるいは、実行条件の変化に応じて、変更する。
そうすれば、制御装置２００が古いコマンド識別子４０１を知っていたとしても、それによってコマンドの実行を指示しても、同コマンド識別子がコマンド群記憶部３１２にないので、実行許可部３０１での検証で不正となり、実行することはできない。
制御装置２００がコマンドを実行させたい場合には、実行制限装置３００に対して、コマンド情報８００の通知を要求する。
これに対し、実行制限装置３００は、制御装置２００にコマンドの実行を許可する場合には、最新のコマンド情報８００を通知する。
これにより、制御装置２００はコマンド情報８００を取得し、最新のコマンド識別子を知るので、コマンドの実行を指示できるようになる。
【００３４】
実施の形態２．
実施の形態２を図１〜図３、図５、図６、図８〜図１２を用いて説明する。
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００３５】
図９は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、利用権発行部３４４（鍵通知部の一例）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、選択コマンド情報受信部３１１、実行許可部３０１の動作は、実施の形態１と同一なので、ここでは説明を省略する。
【００３６】
コマンド暗号処理部３１３は、コマンド群記憶部３１２が記憶するコマンドを暗号化する。このとき、暗号化の鍵にはコマンドごとに異なる鍵を用いる。鍵の選択はランダムに行ってよいし、何らかの規則にしたがってもよいが、外部からその規則性を知られてはならない。また、いくつかのコマンドについて、同一の鍵を用いてもよい。
【００３７】
鍵管理部３３２は、コマンド暗号処理部３１３が暗号化したコマンドを復号するための鍵を、鍵管理情報６００として記憶する。
【００３８】
図１０は、この実施の形態において、鍵管理部３３２が記憶する鍵管理情報６００の一例を示す。
鍵管理情報６００は、例えば、暗号化コマンド識別子６０１及び復号鍵６０２から構成される。
暗号化コマンド識別子６０１は、コマンド暗号処理部３１３が暗号化したコマンドを識別するために用いるものである。コマンド識別子４０１とは異なる任意の文字列を用いる。
復号鍵６０２は、コマンド暗号処理部３１３が暗号化した暗号化したコマンド識別子を復号するための鍵である。
【００３９】
コマンド情報発行部３１４は、コマンド情報８００を作成し、制御装置２００に対して通知する。このとき、コマンド情報８００は更に、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者９９９による盗聴、改ざんが防止できる。
【００４０】
図１１は、この実施の形態において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す。
コマンド情報８００は、例えば、暗号化されたコマンドを特定する暗号化コマンド識別子８０８、暗号化されたコマンド識別子８０９、実行機器情報８０２、署名８０３、コマンド説明８０４から構成される。
ここで、実行機器情報８０２、署名８０３、コマンド説明８０４は、実施の形態１で説明したものと同様なので、説明を省略する。
暗号化コマンド識別子８０８は、鍵管理部３３２が記憶する暗号化コマンド識別子６０１と同一のものである。暗号化されたコマンドを識別するために用いるものである。
暗号化されたコマンド識別子８０９は、コマンド群記憶部３１２が記憶するコマンド識別子４０１を、コマンド暗号処理部３１３が暗号化したものである。あるいは、コマンドコードやコマンド名やその引数を暗号化したものであってもよい。
【００４１】
なお、コマンド説明８０４等も、コマンド識別子と同様に暗号化してもよい。
また、暗号化されたコマンド情報８００は、このように暗号化コマンド識別子８０８やコマンド説明８０４などと紐付け管理された状態でなくてもよく、暗号化されたコマンド識別子８０９そのものでもよい。また、同一のコマンド文字列に対して、複数の異なる鍵で暗号されていてもよいし、また別の暗号化コマンド識別子が割り当ててあっても良い。例えば、同一の「電源をオンする」コマンドでも、制御機器２別に別々の鍵で暗号して、別の暗号化コマンド識別子８０８を割り振ってもよい。
【００４２】
この実施の形態では、コマンド情報にコマンド識別子８０１が含まれていないことに特徴がある。
すなわち、制御装置２００は、暗号化されたコマンド識別子８０９を復号するための鍵を知らないので、コマンド識別子８０１を得ることができない。
したがって、このままでは、制御装置２００がコマンドの実行を指示することはできない。
【００４３】
そこで、実行制限装置３００は、コマンド情報とは別に、制御装置２００に対して利用権８２０を通知する。
【００４４】
図１２は、この実施の形態において、利用権発行部３４４が通知する利用権８２０の一例を示す。
利用権８２０は、例えば、利用権識別子８２１、暗号化コマンド識別子８２２、復号鍵８２６、署名８２７から構成される。
利用権識別子８２１は、制御装置２００からのリモート制御を許可するコマンドを識別するために用いるものである。同一のコマンドについて、複数の条件を設定する場合があるので、コマンド識別子や暗号化コマンド識別子とは別に管理するものである。
この例では、利用権が１つしか通知されていないが、制御装置２００からのリモート制御を許可するコマンドが複数ある場合には、コマンドごとに複数通知する。
暗号化コマンド識別子８２２は、鍵管理部３３２が記憶する暗号化コマンド識別子６０１と同一であり、この利用権がどのコマンドについてのものであるかを示す。
復号鍵８２６は、暗号化されたコマンド識別子８０９を復号してコマンド識別子８０１を得るために用いる鍵であり、。鍵管理部３３２が記憶しているものである。
署名８２７は、実行制限装置３００の電子署名であり、その実行条件情報が実行制限装置３００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましを防止できる。
【００４５】
利用権発行部３４４は、利用権８２０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者９９９による盗聴、改ざんが防止できる。
【００４６】
制御装置２００は、通知された利用権８２０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、署名８２７を検証し、その利用権８２０が確かに実行制限装置３００の通知したものであることを確かめる。署名８２７が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００４７】
署名８２７が正しい場合には、復号鍵８２６を用いて、暗号化されたコマンド識別子８０９を復号し、コマンド識別子を得る。
【００４８】
この例において、コマンド情報８００においては、２つのコマンド（「電源をオンする」と「電源をオフする」）が通知されていた。しかし、利用権８２０においては、そのうち「電源をオンする」コマンドについての復号鍵しか通知されなかった。
したがって、制御装置２００は「電源をオンする」コマンドのコマンド識別子を知ることはできた。しかし、「電源をオフする」コマンドのコマンド識別子はわからない。
すなわち、制御装置２００は「電源をオンする」コマンドを指示することはできるが、「電源をオフする」コマンドを指示することはできない。
【００４９】
このように、制御装置２００は、コマンド情報８００と利用権８２０の両者が通知されなければ、そのコマンドを指示することができない。
仮に、第三者９９９がコマンド情報８００を盗聴したとする。しかし、その第三者９９９は、利用権８２０も盗聴しなければ、コマンド識別子が何であるか知ることはできない。逆に、利用権８２０を盗聴されても、コマンド情報８００が盗聴されなければ、やはりコマンド識別子を知ることができない。
コマンド識別子を知らなければ、第三者９９９が制御装置２００になりすましてコマンドを指示することはできないので、安全である。
【００５０】
なお、利用権８２０はコマンド情報８００と同時に通知することとしてもよいが、そうすると、両者を一度に盗聴されてしまう危険があるので、別々に通知するほうが好ましい。
【００５１】
また、利用権８２０は、実行制限装置３００が自主的に制御装置２００に通知することとしてもよいし、制御装置２００から利用権の発行要求がきたときに通知することとしてもよい。
【００５２】
実施の形態３．
実施の形態３を図１〜図３、図５、図６、図８、図１０、図１１、図１３〜図１５を用いて説明する。
【００５３】
この実施の形態は、リモート制御の可否のみを制御するだけでなく、リモート制御の条件をきめ細かく制御するものである。
【００５４】
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００５５】
図１３は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、実行条件記憶部３２２、利用権発行部３４４（鍵通知部３３４及びコマンド実行条件発行部３２４（実行条件通知部の一例）を含む）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、コマンド暗号処理部３１３、コマンド情報発行部３１４、選択コマンド情報受信部３１１、鍵管理部３３２の動作は、実施の形態２と同一なので、ここでは説明を省略する。
【００５６】
実行条件記憶部３２２は、制御対象装置１００が制御指令を実行する場合の様々な条件を実行条件として記憶する。
実行条件記憶部３２２が記憶する実行条件には、例えば、以下のようなものがある。
【００５７】
コマンドの実行を許可する制御装置についての情報（制御装置情報）。
コマンドの実行を許可する期間の情報（実行日時情報）。
コマンドの実行時に、操作者の確認が必要かどうかの情報（ユーザ確認要否情報）。すなわち、コマンドが認証された場合に、もう一度、操作者に確認を要求し、操作者による許可が出た場合にのみ、コマンドを制御対象装置１００に通知するものである。
コマンド情報を発行した機器あるいは発行者の情報（発行元情報）。例えば、発行者の公開鍵証明書、発行者のユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、発行機器の公開鍵証明書、発行機器のメーカ識別番号と機器のシリアル番号などからなる機器識別子などである。
コマンド情報の実行を指示する機器の情報（実行指示機器情報）。例えば、実行機器の公開鍵証明書、実行機器のメーカ識別番号と機器のシリアル番号などからなる機器識別子などである。
コマンド情報の実行を指示する指示者の情報（実行指示者情報）。例えば、指示者の公開鍵証明書、指示者のユーザＩＤなどである。
コマンド情報の実行をリモート制御する場合のネットワーク情報（実行ネットワーク情報）。例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスなどである。
コマンド情報を実行回数情報（実行回数情報）。
コマンド情報実行前に実行済であるべきコマンド情報（実行前コマンド履歴情報）。例えば、電源オンコマンド実行後などの条件である。すなわち、コマンドが認証された場合であっても、所定の条件を満たしていない場合には、コマンドを制御対象装置１００に通知しないものである。
コマンド情報実行前に実施したコマンド結果情報（実行前ステータス情報）、例えば、前のコマンドが成功した場合などの条件である。すなわち、コマンドが認証された場合であっても、所定の条件を満たしていない場合には、コマンドの実行を許可しないものである。
コマンド情報実行のトリガとなるイベント情報（実行イベント情報）。例えば、機器からエラーイベントがあがっている場合や、ユーザが機器に対してある種のコマンド実行し発生するイベントなど。すなわち、コマンドが認証された場合であっても、すぐにはコマンドの実行を許可せず、所定の条件を満たしたのちに、許可するものである。
当該のコマンドを即時に実行するか、あるいは他の条件が満たされた時点で実行するかを示すコマンド情報実行の即時・予約情報（予約情報）。すなわち、コマンドが認証された場合に、すぐにコマンドの実行を許可するか、それとも所定の条件を満たすまで待つかを決めるものである。
【００５８】
図１４は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、コマンド情報発行部３１４がコマンド情報の作成および通知をする（図５のＳ１１〜Ｓ１２）。
【００５９】
利用権発行部３４４は、鍵管理部３３２が記憶する鍵管理情報６００及び実行条件記憶部３２２が記憶する実行条件に基づいて、利用権８２０を作成し、制御装置２００に通知する（図１４のＳ２１〜Ｓ２２）。
【００６０】
図１５は、この実施の形態において、利用権発行部３４４が作成する利用権８２０の一例を示す。
利用権８２０は、例えば、利用権を識別する利用権識別子８２１、コマンドを識別する暗号化コマンド識別子８２２、実際にコマンドを実行する機器を特定するための実行機器情報８２３、利用権に含まれる実行条件の一つであるコマンドの実行が許可された期間の情報である実行日時情報８２４、コマンドの実行時にユーザの確認が必要かどうかを示すユーザ確認要否情報８２５、暗号化されたコマンド識別子を復号する鍵である復号鍵８２６、利用権の署名８２７から構成される。
このうち、利用権識別子８２１、暗号化コマンド識別子８２２、復号鍵８２６、署名８２７は実施の形態２で説明したものと同様なので、ここでは説明を省略する。
実行機器情報８２３は、コマンド情報８００に含まれる実行機器情報８２３と同一である。機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
実行日時情報８２４は、そのコマンドの実行を許可できる期間を示す。
ユーザ確認要否情報８２５は、そのコマンドが認証されたのち、もう一度操作者に確認を要求し、操作者の許可が出た場合にのみコマンドを実行するかどうかを示す。
これらの条件は、実行条件記憶部３２２が記憶しているものである。上述したように、実行条件記憶部３２２は、これ以外にも様々な実行条件を記憶してよく、それらの実行条件を通知してもよい。
【００６１】
利用権発行部３４４は、作成した利用権８２０を暗号化して、制御装置２００に通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者による盗聴、改ざんを防止できる。
【００６２】
なお、この例では、実行条件（８２４、８２５等）と復号鍵８２６とを一緒に通知しているが、別々に通知するほうが、更に安全性が高くなり好ましい。その代わり、通知の手順が１つ増えるので、手順の煩雑化を避けたいのであれば、この例のように一緒に通知するほうが好ましい。
【００６３】
制御装置２００は、通知された利用権８２０を取得し、共通鍵あるいは自らの秘密鍵で復号する。
次に、署名８２７を検証し、その利用権８２０が確かに実行制限装置３００の通知したものであることを確かめる。署名８２７が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００６４】
署名８２７が正しい場合には、復号鍵８２６を用いて、暗号化されたコマンド識別子８０９を復号し、コマンド識別子を得る。
【００６５】
制御装置２００は、利用権８２０により、コマンド識別子だけでなく、そのコマンドの実行条件も知ることとなる。そこで、制御装置２００は、操作者がコマンドを選択した際、それが実行を許可されないコマンドであるかを判断することができる。
あるいは、実行を許可されないコマンドははじめから表示しないこととして、操作者が選択できないようにしておいてもよい。
【００６６】
制御装置２００は、実行を許可されるコマンドを操作者が選択した場合のみ、選択コマンド情報８１０を作成する。
【００６７】
図８は、この実施の形態において、制御装置２００が作成する選択コマンド情報８１０の一例を示す。これは、実施の形態１で説明したものと同様であるから、ここでは説明を省略する。
【００６８】
選択コマンド情報受信部３１１が選択コマンド情報８１０を取得すると、実行許可部３０１は、制御対象装置１００に対して、そのコマンドの実行を許可してよいかどうかを判断する。
署名８１３の検証、コマンド識別子８１１の検証等は、実施の形態１で説明したのと同様であるから、ここでは説明を省略する（図１４のＳ１３〜Ｓ１５）。
更に、実行許可部３０１は、実行条件記憶部３２２が記憶したコマンドの実行条件を満たしているかを判断する（図１４のＳ２６）。
【００６９】
コマンドの実行条件はあらかじめ制御装置２００に通知してあり、制御装置２００はコマンドの実行条件を満たす場合にのみ選択コマンド情報８１０を通知してくるはずなので、本来なら、ここでコマンドの実行条件を満たすかどうかを判断する必要はない。
しかし、もし、第三者９９９が制御装置２００になりすまして選択コマンド情報８１０を通知してきたのであれば、コマンドの実行条件を知らずに、選択コマンド情報８１０を通知している可能性があるので、コマンドの実行条件を満たしているとは限らない。
【００７０】
したがって、ここでコマンドの実行条件を満たすかどうか判断することは、単純にコマンドの実行を許可してよいかを判断するだけでなく、同時に、そのコマンドを通知してきた者を認証することになる。
【００７１】
これにより、リモート制御の可否のみを制御するだけでなく、リモート制御の条件をきめ細かく制御することができる。それと同時に、事実上の認証の手順が１つ増えることとなるので、安全性が更に高まる。
【００７２】
実行許可部３０１は、コマンドの実行条件を満たしている場合に、コマンド識別子８１１に対応して、コマンド群記憶部３１２が記憶するコマンド文字列４０３を制御対象装置１００に通知し、コマンドを実行させる（図１４のＳ１６）。
【００７３】
一方、コマンドの実行条件を満たしていない場合には、制御対象装置１００に対してコマンドを通知しない。
しかし、上述のとおり、コマンドの実行条件を満たさない選択コマンド情報８１０の通知は、第三者９９９によるものである可能性があり、セキュリティが破られかけていることを示している。
【００７４】
そこで、単純にコマンドの実行を許可しないだけではなく、しばらくの間リモート制御を受け付けないで様子を見たり、コマンド識別子を変更して、制御装置２００に対して新たなコマンド情報を通知したり等の対策を講じることも可能である。
【００７５】
これにより、第三者９９９による不正アクセスを未然に防ぐだけでなく、必要な対策を講じることもできる。
【００７６】
実施の形態４．
実施の形態４を図１〜図３、図５、図６、図８、図１５〜図１９を用いて説明する。
【００７７】
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００７８】
図１６は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、実行条件記憶部３２２、利用権発行部３４４（鍵通知部３３４及びコマンド実行条件発行部３２４（実行条件通知部の一例）を含む）、選択コマンド情報受信部３１１（制御指令取得部の一例）、利用権処理部３２１（実行条件取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、コマンド暗号処理部３１３、コマンド情報発行部３１４、鍵管理部３３２、実行条件記憶部３２２、利用権発行部３４４、選択コマンド情報受信部３１１の動作は、実施の形態３と同一なので、ここでは説明を省略する。
【００７９】
実施の形態３では、選択コマンド情報８１０が通知されたときに、コマンドの実行条件を満たしているかどうかを判断することにより、事実上の認証を行っている。
しかし、第三者９９９が制御装置２００になりすまし、コマンドの実行条件を知らずに選択コマンド情報８１０を通知したとしても、偶然に、コマンドの実行条件を満たしている場合には、チェックすることができない。
【００８０】
そこで、この実施の形態では、制御装置２００がコマンドの実行条件を満たすと判断した根拠となった実行条件を、制御装置２００から取得することにより、認証の安全性を更に高めている。
【００８１】
すなわち、制御装置２００がコマンドの実行条件を満たすと判断して選択コマンド情報８１０を通知した場合には、それとは別に、その判断の根拠となった利用権（選択利用権）を実行制限装置３００に通知する。
【００８２】
図１７は、この実施の形態において、制御装置２００が通知する選択利用権８３０の一例を示す。
選択利用権８３０は、例えば、利用権識別子８３１、暗号化コマンド識別子８３２、実行機器情報８３３、実行日時情報８３４、ユーザ確認要否情報８３５、署名８３６から構成される。
このうち、利用権識別子８３１、暗号化コマンド識別子８３２、実行機器情報８３３、実行日時情報８３４、ユーザ確認要否情報８３５は、実行制限装置３００から通知された利用権８２０のうち、コマンドの実行条件を満たすと判断する根拠となった利用権の利用権識別子８２１、暗号化コマンド識別子８２２、実行機器情報８２３、実行日時情報８２４、ユーザ確認要否情報８２５である。これにより、利用権識別子８３１で識別される利用権に基づく実行権限が、制御装置２００にあることを示すものである。
署名８３６は、制御装置２００の電子署名であり、その利用権が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましが防止できる。
【００８３】
また、選択利用権８３０にも、復号鍵を含める構成としてもよい。この場合の復号鍵は、利用権で通知した復号鍵８２６と同じものであってもよいし、違うものであってもよい。利用権で通知した復号鍵８２６と違う復号鍵を含める場合には、他に暗号化した部分（例えば、暗号化コマンド識別子８３２）を設け、その復号鍵で復号できるかによって、その復号鍵が正しいかどうかを検証することにしてもよい。
【００８４】
図１８は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、これと並行して、コマンド情報の作成、通知、選択コマンド情報の取得、検証が行われる（図５のＳ１１〜Ｓ１５）。
【００８５】
制御装置２００は、実行制限装置３００に対し、選択利用権８３０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、実行制限装置３００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【００８６】
なお、選択利用権８３０は選択コマンド情報８１０と同時に通知することとしてもよいが、そうすると、両者を一度に盗聴されてしまう危険があるので、別々に通知するほうが好ましい。
【００８７】
実行制限装置３００の利用権処理部３２１は、制御装置２００が通知した選択利用権８３０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図１８のＳ２３）。
【００８８】
実行許可部３０１は、次に、署名８３６を検証し、その選択利用権８３０が確かに制御装置２００の通知したものであることを確かめる。署名８３６が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない（図１８のＳ２４）。
【００８９】
署名８３６が正しい場合には、利用権の検証に入る。すなわち、実行許可部３０１は、選択利用権８３０の利用権識別子８３１や実行日時情報８３４等が、利用権発行部３４４が通知した利用権と一致するかを判断する。一致しない場合には、制御装置２００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない（図１８のＳ２５）。
【００９０】
実行許可部３０１は、その後、コマンドの実行条件を満たすかを検証し（図１８のＳ２６）、満たす場合には、コマンドの実行を許可する（図１８のＳ２７）。
【００９１】
これにより、制御装置２００からコマンド実行の根拠となる利用権を通知してもらうことにより、実行制限装置３００が多数の利用権を管理している場合でも、そのすべてを検索する必要がなく、素早い判断が可能である。また同時に、正しい利用権を通知できるのは、その利用権を通知された制御装置２００だけであるから、制御装置２００を更に認証することとなり、安全性が高くなる。
【００９２】
なお、選択コマンド情報８１０と選択利用権８３０とは、両者が通知されてはじめて、コマンドの実行を許可するものであるから、以下のような使い方も可能となる。
【００９３】
すなわち、選択コマンド情報８１０を事前に通知しておき、実際にコマンドを実行させたいときに、選択利用権８３０を通知することにしてもよい。
この場合、実行許可部３０１は、選択コマンド情報８１０の通知を受けた段階では、コマンドの実行条件を満たすかどうかの判断はせず、それ以外の認証ができれば、正当な選択コマンド情報８１０を通知されたことを記憶しておく。
そして、正当な選択利用権８３０の通知を受けた時点で、コマンドの実行条件を満たすかどうか判断し、満たす場合には、制御対象装置１００に対して、コマンドの実行を許可する構成となる。
【００９４】
あるいは、同じコマンドを複数回実行させたい場合には、選択コマンド情報８１０を事前に通知しておき、選択利用権８３０を複数回通知することにしてもよい。
この場合、実行許可部３０１は、正しい選択コマンド情報８１０を通知されたことを記憶しておき、正しい選択利用権８３０を通知されて、コマンドの実行を許可した場合でも、それで終了とはせず、正しい選択コマンド情報８１０だけを通知された状態に戻ることになる。そして、正しい選択利用権８３０が通知されたら、それだけで条件を満たしたものとして、コマンドの実行を許可する構成となる。
その場合、そのような省略した手順を許す期間あるいは回数を決めておいてもよい。
【００９５】
また、選択コマンド情報８１０と選択利用権８３０のどちらか一方は、正当であるが、他方は不当だった場合には、その時点でいったん終了し、最初から手順をやり直す構成としてもよい。
あるいは、片方のみ有効である状態を一定期間保持し、その期間内に、正当なものが揃えば、条件を満たしたとして、コマンドの実行を許可する構成としてもよい。
あるいは、リトライの回数を決めておき、一定の回数以内に、正当なものが揃えば、条件を満たしたとして、コマンドの実行を許可する構成としてもよい。
【００９６】
更に、正当と認証された場合であっても、すぐに実行を許可せず、操作者に確認を要求する構成としてもよい。
図１９は、そのような構成とした場合の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、この前段階として、選択コマンド情報８１０及び選択利用権８３０の認証が行われる。
【００９７】
実行許可部３０１は、選択利用権８３０のユーザ確認要否情報８３５を見て、操作者に確認を要求する必要があるかを判断する（図１９のＳ１６１）。
操作者に確認を要求する必要がない場合には、すぐに制御対象装置１００に対してコマンドを通知する。
【００９８】
実行許可部３０１は、操作者に確認を要求する必要がある場合、制御装置２００に対して、確認要求を通知する（図１１のＳ１６２）。
【００９９】
実行許可部３０１は、次に、制御装置２００から通知された操作者による確認を取得する（図１１のＳ１６３）。
【０１００】
実行許可部３０１は、操作者による実行の許可が出なければ、コマンドを制御対象装置１００に通知せずに終了する（図１１のＳ１６４）。
【０１０１】
実行許可部３０１は、操作者による実行の許可が出た場合には、コマンドを制御対象装置１００に対して通知する（図１１のＳ１６）。
【０１０２】
なお、操作者による確認は、単に実行を許可するかどうかを入力させるだけでなく、操作者のパスワードを入力させる構成とし、登録されたパスワードと一致する場合にのみ、コマンドの通知を行う構成としてもよい。
【０１０３】
これにより、制御装置２００の認証だけでなく、その制御装置を操作している操作者も認証できるので、更に安全性が高まる。
【０１０４】
このように、選択コマンド情報８１０に含まれる署名８１３で制御装置２００を認証し、更に、選択コマンド情報８１０の内容でも認証し、また、選択利用権８３０に含まれる署名８３６でも認証し、そのうえ、選択利用権８３０の内容でも認証することになるので、非常に安全性が高まる。
また、制御装置２００に対して許可していないコマンドの実行を禁止できるだけでなく、許可する条件、禁止する条件を細かく設定することが可能となる。
そのうえ、制御装置の認証と、実行が許可されたコマンドかどうかの検証を同時に行うので、効率がよい。
【０１０５】
なお、上述した暗号化処理及び復号処理に秘密鍵を用いる場合には、耐タンパ性のあるセキュアチップ内に秘密鍵を保管して、平文あるいは暗号文をセキュアチップに入力すると、暗号文あるいは復号した平文を出力するようにしておけば、たとえ正規ユーザであっても外部から秘密鍵を見ることができないので、更に安全性が高まる。
あるいは、セキュアチップ内に利用権処理機能を格納し、検証が正しければ、セキュアチップ内に利用権８２０を格納することとしてもよい。
【０１０６】
また、コマンド実行は、制御装置２００からリモート制御されたときだけでなく、既に格納しているコマンドが、定期的な実行あるいは日時刻指定の実行の場合は、選択利用権８３０を受信したときには実行しない。その代わりに、何らかのイベントが発生した時点で、記憶しておいた選択利用権８３０をチェックする。
例えば、実行日時を指定したコマンド（録画予約等）や、条件にしたがって実行するコマンド（外が暗くなったら玄関の照明を点灯する等）の場合などがこれにあたる。実行制限装置３００のなかでこれらの条件を管理し、条件を満たした時点で、制御対象装置１００にコマンドを通知する構成とすれば、制御対象装置１００に予約機能等がなくても、このような機能を実現することができる。
【０１０７】
また、実行条件を満たさなくなるまで、選択利用権８３０を保持することとしてもよい。
【０１０８】
これにより、制御対象機器がリモート制御を許可していない制御機器からの制御や、制御機器において許可していないコマンドの実行を禁止することができる。
また、暗号処理での署名の付加によりコマンド情報の改ざん防止を行い、暗号化により情報の盗聴防止を行うことができる。
【０１０９】
実施の形態５．
実施の形態５を図１〜図３及び図２０〜図２６を用いて説明する。
【０１１０】
この実施の形態は、コマンドそのものの実行制限に関するものではなく、コマンドの実行結果の利用の制限に関するものである。
【０１１１】
この実施の形態における利用制限装置３５０のハードウェア構成は、実施の形態１における実行制限装置３００と同じである。また、制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【０１１２】
図２０は、この実施の形態におけるシステムの全体構成の一例を示す。
利用制限装置３５０は、例えば、コマンド結果暗号処理部３６３（実行結果暗号化部の一例）、実行結果通知部３６４、コマンド結果鍵管理部３８２（鍵記憶部の一例）、利用条件記憶部３７２、利用権発行部３４４（鍵通知部３３４及び利用条件通知部３７４を含む）、利用権処理部３７１（利用条件取得部の一例）、利用要求取得部３８１、利用許可部３５１を有する。
【０１１３】
コマンド結果暗号処理部３６３は、コマンドの処理結果データ（実行結果）を暗号化する。
コマンド結果鍵管理部３８２は、その暗号化データの識別情報とその復号鍵（コマンド結果鍵管理情報）を記憶する。
図２１は、この実施の形態において、コマンド結果鍵管理部３８２が記憶するコマンド結果鍵管理情報６１０の一例を示す。
実行結果識別子６１１は、暗号化された実行結果を識別するために用いる。
復号鍵６１２は、コマンド結果暗号処理部３６３が暗号化した実行結果を復号するための鍵である。
コマンド結果暗号処理部３６３が暗号化したコマンドの処理結果（実行結果）には、暗号化したコマンド結果データを識別する識別子等がつけてあっても良い。
実行結果通知部３６４は、コマンド結果暗号処理部３６３が暗号化した実行結果を、制御装置２００に対して通知する。
利用権発行部３４４は、暗号化した実行結果を復号するための復号鍵６１２や、復号して利用するための条件などからなる利用条件（利用権）を、制御装置２００に対して通知する。
【０１１４】
図２２は、この実施の形態において、利用権発行部３４４が通知する利用権８５０の一例を示す。
利用権８５０は、例えば、利用権を識別する利用権識別子８５１、実行結果を識別する実行結果識別子８５２、実際にコマンドを実行した機器を特定するための実行機器情報８５３、利用権に含まれる実行条件の一つである実行結果の利用が許可された期間の情報である利用日時情報８５４、実行結果の利用時にユーザの確認が必要かどうかを示すユーザ確認要否情報８５５、暗号化された実行結果を復号する鍵である復号鍵８５６、利用権の署名８５７から構成される。
利用権識別子８５１は、制御装置２００における実行結果の利用を許可する利用権を識別するために用いるものである。同一の実行結果について、複数の条件を設定する場合があるので、実行結果識別子とは別に管理するものである。
実行結果識別子８５２は、実行結果とともに実行結果通知部３６４から通知したもので、利用を許可する実行結果を識別するためのものである。
実行機器情報８５３は、その実行結果を作成した制御対象装置１００についての情報である。機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
利用日時情報８５４は、その実行結果の利用を許可する期間を示す。
ユーザ確認要否情報８５５は、その実行結果を利用する際、もう一度操作者に確認を要求し、操作者の認証ができた場合にのみ、実行結果の利用を許可するかどうかを示す。
復号鍵８５６は、その実行結果を復号して、利用できるようにするための鍵である。鍵管理部３３２が記憶しているものを通知する。
署名８５７は、利用制限装置３５０の電子署名であり、その利用条件情報が利用制限装置３５０から通知されたものであることを保証するものである。これにより、第三者による改ざん、なりすましを防止できる。
【０１１５】
また、利用権８５０は、以下のような利用条件を含んでいてもよい。
コマンド結果情報。すなわち、コマンドの実行結果を複数の部分に分割して、その一部を利用権８５０に含めることにより、別に通知した実行結果と両者が揃わなければ、実行結果を利用できないようにすることができる。
コマンド結果情報の発行元の情報（発行元情報）。すなわち、実行結果を作成した制御対象装置１００について情報である。
コマンド結果情報の利用する機器の情報（利用機器情報）。すなわち、実行結果を利用できる制御装置２００についての情報である。
コマンド結果情報の利用を指示する機器の情報（利用指示機器情報）。すなわち、実行結果の利用を指示できる制御装置２００についての情報である。
コマンド結果情報の利用を指示する指示者の情報（利用指示者情報）。すなわち、実行結果を利用できる制御装置２００を操作できる操作者についての情報である。
コマンド結果情報の発行機器と利用機器間とのネットワーク情報（利用ネットワーク情報）。すなわち、ネットワーク接続の状態によって利用を制限する場合（特定のサーバ経由の場合しか許可しないなど）における接続の状態についての情報である。
コマンド結果情報を利用する日時情報（利用日時情報）。すなわち、実行結果を利用できる期間についての情報である。
コマンド結果情報のデータの取り扱い（変更可否、印刷可否、映像のストップ、ポーズ、早送りなどのトリックプレイの可否、解像度の範囲、拡大、縮小の可否など）。すなわち、実行結果の利用態様についての情報である。
コマンド結果情報の復号結果を格納してよいかどうか（復号結果格納可否情報）。すなわち、一度利用した実行結果を記憶して、後に再度利用してもよいかについての情報である。
コマンド結果情報を利用回数情報（実行回数情報）。再度の利用を許可する場合に、利用できる回数についての情報である。
コマンド結果情報を利用する前に実行済であるべきコマンド情報（利用前コマンド履歴情報）。すなわち、他のコマンドを実行した後でなければ、実行結果を利用できない場合における条件についての情報である。
コマンド結果情報を利用実行前に実施したコマンド結果情報（実行前ステータス情報）。すなわち、他のコマンドの実行結果に基づいて、実行結果の利用を制限する場合における他のコマンドの実行結果についての情報である。
【０１１６】
利用権処理部３７１は、制御装置２００から通知される選択利用権８３０を取得する。
利用要求取得部３８１は、制御装置２００から通知される利用要求８４０を取得する。
利用許可部３５１は、認証機能を有し、利用権発行要求を発行した制御装置２００あるいはその制御装置２００を操作している操作者の認証等を行う。
【０１１７】
なお、認証の結果に応じて、利用の条件を変更することも考えられる。例えば、登録ユーザである場合は、利用条件をゆるく（例えば、一週間の利用可能など）、未登録ユーザの場合は、利用条件を厳しく（例えば、一日のみ利用可能など）してもよい。
また、課金処理を行ってもよい。
【０１１８】
制御装置２００は、実行結果を利用するための利用権の発行を依頼する利用権発行要求機能や、実行結果を利用するクライアント機能であるコマンド結果利用機能を有する。
【０１１９】
図２３は、この実施の形態における利用制限装置３５０の制御の流れの一例を示すフローチャート図である。
【０１２０】
まず、制御対象装置１００がコマンドを実行する。なお、コマンド実行に先だって、実施の形態１または実施の形態２に示した実行制限装置３００によって、コマンドの実行を制限してもよい。あるいは、利用制限装置３５０が、実行制限装置３００としての機能も有する構成としてもよい。
【０１２１】
コマンド結果暗号処理部３６３は、制御対象装置１００が生成した実行結果を暗号化する（図２３のＳ３１）。
このとき、暗号化の鍵には実行結果ごとに異なる鍵を用いる。鍵の選択はランダムに行ってよいし、何らかの規則にしたがってもよいが、外部からその規則性を知られてはならない。また、いくつかの実行結果について、同一の鍵を用いてもよい。
【０１２２】
実行結果通知部３６４は、コマンド結果暗号処理部３６３が暗号化した実行結果を、制御装置２００に対して通知する（図２３のＳ３２）。このとき、更に、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１２３】
なお、ここまでの処理は、制御対象装置１００で行い、制御対象装置１００から直接、制御装置２００に対して、暗号化した実行結果を通知することとしてもよい。
【０１２４】
制御装置２００は、実行結果通知部３６４が通知したコマンドの実行結果を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。しかし、更に復号しなければ利用できず、そのための鍵は不明である。
そこで、復号鍵を得るため、制御装置２００は利用要求８４０を、利用制限装置３５０に対して通知する。
【０１２５】
図２４は、この実施の形態において、制御装置２００が通知する利用要求８４０の一例を示す。
実行結果識別子８４１は、実行結果とともに実行結果通知部３６４が通知したもので、利用権を要求する実行結果を識別するためのものである。
署名８４２は、制御装置２００の電子署名であり、その利用権発行要求が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましが防止できる。
なお、利用要求８４０は、暗号化して通知する。別途取り決めた共通鍵を用いて暗号化してもよいし、利用制限装置３５０の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１２６】
利用制限装置３５０の利用要求取得部３８１は、制御装置２００が通知した利用要求を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図２３のＳ３３）。
【０１２７】
利用許可部３５１は、署名８４２を検証し、その利用要求が確かに制御装置２００の通知したものであることを確かめる。署名８４２が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、利用権を発行しない（図２３のＳ３４）。その場合、認証に失敗したことを制御装置２００に通知してもよい。
【０１２８】
利用許可部３５１が正しい署名８４２と判断した場合には、利用権発行部３４４が、制御装置２００に対し、利用権８５０を通知する（図１７のＳ３５）。
なお、利用権８５０は、暗号化して通知する。別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者による盗聴、改ざんを防止できる。
【０１２９】
制御装置２００は、利用権発行部３４４が通知した利用権８５０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、制御装置２００は、利用権８５０にある利用条件を満たすかどうかを判断する。
満たすと判断した場合には、復号鍵８５６を用いて実行結果を復号し、利用する。
【０１３０】
なお、利用権に、復号データの格納不可の条件があれば、復号したコマンド結果のデータを、制御装置２００上のどこにも格納できない仕組みである必要がある。
【０１３１】
以上のように、コマンドの実行結果を暗号化し、その利用には利用権が必要となるため、コマンドの実行のみならず、実行処理結果の利用に対しても、認証された機器上でしかできないため、安全になるという効果がある。
すなわち、実行結果を利用するための復号鍵は、利用要求が認証されなければ手に入れることができないので、実行結果が盗聴された場合であっても、第三者は利用することができず、安全である。
【０１３２】
あるいは、次のような認証手順を踏んでもよい。
【０１３３】
図２５は、この実施の形態において、利用制限装置３５０の制御の流れの別の例を示すフローチャート図である。
【０１３４】
Ｓ３１〜Ｓ３４は、図２３で説明したものと同一なので、ここでは説明を省略する。
【０１３５】
利用許可部３５１が正しい署名８４２と判断した場合には、利用権発行部３４４が、制御装置２００に対し、利用権８５０を通知する。ただし、この利用権８５０の復号鍵８５６は偽ものであり、これを用いてもコマンド結果暗号処理部が暗号化した実行結果を復号することはできない（図２５のＳ３５）。
あるいは、利用権８５０に、復号鍵８５６を含まない構成としてもよい。
【０１３６】
しかし、利用権８５０に含まれる実行結果の利用条件は本物なので、制御装置２００は、その実行結果を利用できる条件を知ることができる。
そこで、制御装置２００は、実行結果の利用条件を満たす場合には、利用制限装置３５０に対して、選択利用権８６０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、利用制限装置３５０の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１３７】
図２６は、この実施の形態において、制御装置２００が通知する選択利用権８６０の一例を示す。
【０１３８】
利用制限装置３５０の利用権処理部３７１は、制御装置が通知した選択利用権８６０を取得し、共通鍵あるいは自らの秘密鍵で復号する（図２５のＳ３６）。
【０１３９】
次に、利用許可部３５１は、選択利用権８６０を検証する。検証のポイントは、署名８６６、利用条件等が先に通知した利用権８５０のものと一致するか、及び、利用条件を満たすかどうかである。
これらすべての検証を通過した場合、利用許可部３５１は、制御装置２００の認証に成功したものとして、実行結果の利用を許可する（図２５のＳ３７）。
【０１４０】
利用許可部３５１が実行結果の利用を許可した場合には、利用権発行部３４４は、コマンド結果暗号処理部３６３が暗号化した実行結果を復号できる復号鍵８５６を含めた利用権８５０を暗号化して、制御装置２００に対して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
あるいは、復号鍵のみを暗号化して通知することとしてもよい。
【０１４１】
制御装置２００は、利用権発行部３４４が通知した利用権８５０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
制御装置２００は、復号鍵８５６を用いて、コマンド結果暗号処理部３６３が暗号化した実行結果を復号し、利用する。
【０１４２】
これにより、利用条件を満たす場合にのみ、制御装置２００に対して復号鍵８５６を通知するので、より細かい条件設定が可能となる。また、制御装置２００が利用条件を無視して、実行結果を利用してしまうのを防ぐことができる。
更に、その手順において、同時に制御装置２００の認証も行えるので、効率よく、第三者９９９によるなりすまし等を防止することができる。
【０１４３】
実施の形態６．
以上で説明した実施の形態において、実行制限装置３００または利用制限装置３５０と、制御対象装置１００との接続方法については、特に言及していなかった。
【０１４４】
これらの接続についても、制御装置２００との接続と同じように、インターネット等の開かれたネットワークを介して接続してもよい。
その場合には、実行制限装置３００または利用制限装置３５０と、制御対象装置１００との間の通信についても、第三者９９９による盗聴、改ざん、なりすまし等の危険があるので、電子署名の添付や、共通鍵あるいは秘密鍵を用いた暗号化等の措置を講ずる必要がある。
【０１４５】
これにより、暗号化コマンドの発行や利用権の発行など処理の重い処理や鍵の管理を、利用権管理サーバで行うため、制御対象装置側での実装が軽くなるばかりか、安全性も損なわれないという効果がある。更に、実行制限装置３００や利用制限装置３５０の設置場所についての制約がなくなるので、柔軟な設計が可能となる。
【０１４６】
あるいは、実行制限装置３００または利用制限装置３５０の機能を、制御装置２００が有する構成としてもよい。
【０１４７】
これにより、暗号化コマンドの発行を制御装置２００で行うため、制御装置２００が実行したいコマンドの登録を行うため、制御装置の操作手順が減るが、安全性は損なわれない。
【０１４８】
以上説明したように、この実行制限装置３００または利用制限装置３５０が行う利用権アクセス制御方式は、被制御機器をリモートの制御機器から制御するシステムにおいて、被制御機器上で実行可能なコマンドの集合から構成されるコマンド群と、当該機器上で実行するコマンドを特定する情報とその当該機器を特定する情報からなるコマンド情報を発行する被実行コマンド情報発行機能と、上記被実行コマンド情報発行機能で発行したコマンド情報であることを確認し、確認できたコマンド情報に含まれるコマンドのみを実行するコマンド実行機能とから構成されてもよい。
【０１４９】
また、それに加えて、コマンド情報として、コマンドを識別する情報（コマンド識別情報）、実行する機器を特定する機器識別子あるいは機器の公開鍵証明書等の情報（機器特定情報）、およびコマンド情報を発行する機器の秘密鍵を用いた電子署名から構成してもよい。
【０１５０】
もちろん、これらのコマンド情報を暗号化してもよい。
【０１５１】
あるいは、被制御機器をリモートの制御機器から制御するシステムにおいて、被制御機器上で実行可能なコマンドの集合から構成されるコマンド群と、当該機器上で実行するコマンドを特定する情報を発行する被実行コマンド情報発行機能と、上記コマンドが実行されてよい条件の情報（利用権）を発行するコマンド実行条件発行機能と、上記コマンド実行条件発行機能が発行したコマンド実行条件下においてのみ、上記被実行コマンド情報発行機能で発行したコマンド情報のみを実行するコマンド実行機能とから構成してもよい。
【０１５２】
また、それに加えて、コマンドの実行条件として、以下の条件のうち一つ以上を持った利用権を発行するコマンド実行条件発行機能を持っていてもよい。すなわち、コマンド情報、コマンド情報を発行元の情報（発行元情報）、コマンド情報を実行する機器の情報（実行機器情報）、コマンド情報の実行を指示する機器の情報（実行指示機器情報）、コマンド情報の実行を指示する指示者の情報（実行指示者情報）、コマンド情報の実行をリモート制御する場合のネットワーク情報（実行ネットワーク情報）、コマンド情報を実行する日時情報（実行日時情報）、コマンド情報を実行許可確認要否情報（実行確認要否情報）、コマンド情報を実行回数情報（実行回数情報）、コマンド情報実行結果の送付許可情報（実行結果送付可否情報）、コマンド情報実行前に実行済であるべきコマンド情報（実行前コマンド履歴情報）、コマンド情報実行前に実施したコマンド結果情報（実行前ステータス情報）、コマンド情報実行のトリガとなるイベント情報（実行イベント情報）、コマンド情報実行の即時・予約情報（予約情報）などの条件である。
【０１５３】
あるいは、コマンド群の各コマンドを暗号処理するコマンド暗号処理機能と、コマンド情報とコマンドの暗号化した鍵を管理する鍵管理機能と、当該の鍵を利用権に含めて発行する機能を付加したコマンド実行条件発行機能と、利用権から取り出した鍵で暗号化したコマンドを復号し、かつ、利用権に含まれるコマンド実行条件下においてのみ、コマンド情報を実行する機能を付加したコマンド実行機能とを持っていてもよい。
【０１５４】
もしくは、コマンドの情報として暗号済のコマンドである暗号済コマンド群の情報を用いた暗号済コマンド情報を持っていてもよい。
【０１５５】
更に、以下の一つ以上の機能を有する機能を持っていてもよい。すなわち、日時刻情報を持つタイマ機能、コマンドの実行回数を記録する記憶領域およびその記憶領域のデータをカウントアップあるいはクリアするなどの制御機能、機器上でのコマンドの実行許可の情報を設定するインタフェースとその結果を保持する記憶領域およびその記憶領域のデータをセットあるいはクリアするなどの制御機能、機器上で特定のコマンドの実行許可の情報を設定するインタフェースとその結果を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能、コマンドの実行前に、外部の機器あるいはユーザに実行の許可を確認するインタフェースとその確認結果を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能その記憶領域のデータをセットあるいはクリアするなどの制御機能、コマンド実行の履歴および実行ステータス情報を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能、電子署名の検証機能などである。
【０１５６】
また、利用権に、機器の秘密鍵を用いた電子署名をつけ、機器を特定する情報として、機器識別子あるいは機器の公開鍵証明書を用いてもよい。
【０１５７】
それに加えて、利用権を暗号化してもよい。
【０１５８】
あるいは、非制御機器と制御機器間の通信には、相互認証を行ったあと行ってもよい。
【０１５９】
もしくは、機器の認証は、機器のセキュアなチップに埋め込まれた公開鍵証明書・秘密鍵を用いて行ってもよい。
【０１６０】
更に、利用権を機器のセキュアなチップに格納し、利用権の処理をセキュアなチップ内で実行する利用権処理機能を有してもよい。
【０１６１】
また、コマンドの実行結果を暗号化するコマンド結果暗号処理機能と、その暗号化の鍵を管理するコマンド結果鍵管理機能と、コマンド結果を利用する際に、その利用の要求を受け付けて、当該コマンド結果に対応する複合鍵情報を含む利用権を発行する利用権発行機能をもっていてもよい。
【０１６２】
あるいは、制御機器利用の要求を受け付けた際、制御機器の機器の認証あるいは制御機器操作ユーザの認証を行ってもよい。
【０１６３】
それに加えて、暗号化されたコマンド結果を、利用する際、該当するコマンド結果の識別情報により、被制御機器に対して、コマンドの利用権（コマンド利用権）の発行要求を行う利用権発行要求機能と、利用権の利用条件をチェックし、利用条件を満たす場合のみ、コマンド結果を復号し、かつその復号結果を、制御機器のどの記憶媒体にも残す事ができなくするコマンド結果利用機能をもっていてもよい。
【０１６４】
更に、利用権を管理する鍵管理機能を、被制御機器および制御機器とは別の第三のサーバに取り出してもよい。
【０１６５】
あるいは、コマンド実行条件発行機能を、被制御機器および制御機器とは別の第三のサーバで実行させ、当該コマンド実行条件管理機能に対して、コマンド実行条件を指定するコマンド実行条件指示機能を有してもよい。
【０１６６】
もしくは、被実行コマンド情報発行機能を、制御機器で実行させてもよい。
【０１６７】
これにより、相互認証のあと、さらに宅内側が当該宅外機器に許可したコマンドであるかもチェックして、認証された相手からの故意／過失に関らず、許可されていないコマンドの実行を不許可とすることができる。
さらに、許可されたコマンドでも、その実行の条件をきめ細かく（例えば、実行可能日時など）制御可能となる。
【図面の簡単な説明】
【０１６８】
【図１】実施の形態１〜実施の形態４における実行制限装置３００の外観の一例を示す図。
【図２】実施の形態１〜実施の形態４における実行制限装置３００及び制御装置２００のハードウェア構成の一例を示す図。
【図３】実施の形態１〜実施の形態４における制御対象装置１００のハードウェア構成の一例を示す図。
【図４】実施の形態１におけるシステムの全体構成の一例を示す図。
【図５】実施の形態１〜実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図６】実施の形態１〜実施の形態４において、コマンド群記憶部３１２が記憶するコマンド４００の一例を示す図。
【図７】実施の形態１において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す図。
【図８】実施の形態１〜実施の形態４において、制御装置２００が作成する選択コマンド情報８１０の一例を示す図。
【図９】実施の形態２におけるシステムの全体構成の一例を示す図。
【図１０】実施の形態２〜実施の形態３において、鍵管理部３３２が記憶する鍵管理情報６００の一例を示す図。
【図１１】実施の形態２〜実施の形態３において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す図。
【図１２】実施の形態２において、利用権発行部３４４が通知する利用権８２０の一例を示す図。
【図１３】実施の形態３におけるシステムの全体構成の一例を示す図。
【図１４】実施の形態３における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図１５】実施の形態３〜実施の形態４において、利用権発行部３４４が作成する利用権８２０の一例を示す図。
【図１６】実施の形態４におけるシステムの全体構成の一例を示す図。
【図１７】実施の形態４において、制御装置２００が通知する選択利用権８３０の一例を示す図。
【図１８】実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図１９】実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図２０】実施の形態５におけるシステムの全体構成の一例を示す図。
【図２１】実施の形態５において、コマンド結果鍵管理部３８２が記憶するコマンド結果鍵管理情報６１０の一例を示す図。
【図２２】実施の形態５において、利用権発行部３４４が通知する利用権８５０の一例を示す図。
【図２３】実施の形態５における利用制限装置３５０の制御の流れの一例を示すフローチャート図。
【図２４】実施の形態５において、制御装置２００が通知する利用要求８４０の一例を示す図。
【図２５】実施の形態５において、利用制限装置３５０の制御の流れの別の例を示すフローチャート図。
【図２６】実施の形態５において、制御装置２００が通知する選択利用権８６０の一例を示す図。
【符号の説明】
【０１６９】
１００ 制御対象装置、２００ 制御装置、３００ 実行制限装置、３０１ 実行許可部、３１１ 選択コマンド情報受信部、３１２ コマンド群記憶部、３１３ コマンド暗号処理部、３１４ コマンド情報発行部、３２１ 利用権処理部、３２２ 実行条件記憶部、３２４ コマンド実行条件発行部、３３２ 鍵管理部、３３４ 鍵通知部、３４４ 利用権発行部、３５０ 利用制限装置、３５１ 利用許可部、３６３ コマンド結果暗号処理部、３６４ 実行結果通知部、３７１ 利用権処理部、３７２ 利用条件記憶部、３７４ 利用条件通知部、３８１ 利用要求取得部、３８２ コマンド結果鍵管理部、４００ コマンド、４０１ コマンド識別子、４０２ 実行機器情報、４０３ コマンド文字列、４０４ コマンド説明、６００ 鍵管理情報、６０１ 暗号化コマンド識別子、６０２ 復号鍵、６１０ コマンド結果鍵管理情報、６１１ 実行結果識別子、６１２ 復号鍵、８００ コマンド情報、８０１ コマンド識別子、８０２ 実行機器情報、８０３ 署名、８０４ コマンド説明、８０８ 暗号化コマンド識別子、８０９ 暗号化されたコマンド識別子、８１０ 選択コマンド情報、８１１ コマンド識別子、８１２ 実行機器情報、８１３ 署名、８２０ 利用権、８２１ 利用権識別子、８２２ 暗号化コマンド識別子、８２３ 実行機器情報、８２４ 実行日時情報、８２５ ユーザ確認要否情報、８２６ 復号鍵、８２７ 署名、８３０ 選択利用権、８３１ 利用権識別子、８３２ 暗号化コマンド識別子、８３３ 実行機器情報、８３４ 実行日時情報、８３５ ユーザ確認要否情報、８３６ 署名、８４０ 利用要求、８４１ 実行結果識別子、８４２ 署名、８５０ 利用権、８５１ 利用権識別子、８５２ 実行結果識別子、８５３ 実行機器情報、８５４ 利用日時情報、８５５ ユーザ確認要否情報、８５６ 復号鍵、８５７ 署名、８６０ 選択利用権、８６１ 利用権識別子、８６２ 実行結果識別子、８６３ 実行機器情報、８６４ 実行日時情報、８６５ ユーザ確認要否情報、８６６ 署名、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ、９５０ 動作部、９９９ 第三者。
【技術分野】
【０００１】
本発明は、ネットワーク等を介した装置の遠隔操作に関する。更に詳しくは、ネットワーク等を介した装置の遠隔操作における認証及び制限に関する。
【背景技術】
【０００２】
従来の、宅外の機器からインターネットを介して宅内の機器を制御する際のアクセス制御には、以下のものがある。
例えば、特許文献１は、宅外の機器の公開鍵／秘密鍵と宅内機器の公開鍵／秘密鍵によって、認証情報を暗号化して通信を行い、それが互いに解けることによって、相互認証を行い、制御コマンドの実行を行う。
【特許文献１】特開平１０−２８９２０５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来のアクセス制御の方式では、相互認証されたあとは、どのような制御コマンドでも許可される、つまり、通信相手が認証されれば、故意／過失に関らず、許可されていないコマンドの実行も可能であるため、このようなコマンドの実行を防ぐという課題があった。
この発明は、例えば、上記のような課題を解決するためになされたもので、認証された相手からの故意・過失に関らず、許可されていないコマンドの実行を許可しないことを目的とする。
【課題を解決するための手段】
【０００４】
本発明の実行制限装置は、
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して実行を許可できる上記制御指令を記憶する制御指令記憶部と、
上記制御装置に対し、上記制御指令記憶部が記憶した制御指令を通知する制御指令通知部と、
上記制御対象装置に対する制御指令を取得する制御指令取得部と、
上記制御指令記憶部が記憶した制御指令と、上記制御指令取得部が取得した制御指令とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする。
【発明の効果】
【０００５】
本発明によれば、制御対象装置に対する遠隔制御を許可していない制御装置からの制御を禁止でき、更に、制御機器に許可していない制御指令を制御対象装置が実行することを禁止できるとの効果を奏する。
【発明を実施するための最良の形態】
【０００６】
実施の形態１．
実施の形態１を図１〜図８を用いて説明する。
【０００７】
図１は、この実施の形態における実行制限装置３００あるいは制御装置２００の外観の一例を示す図である。
図１において、実行制限装置３００は、システムユニット９１０を備えている。
さらに、実行制限装置３００は、ローカルエリアネットワーク（ＬＡＮ）９４２、ゲートウェイ９４１を介してインターネット９４０に接続されている。
【０００８】
図２は、この実施の形態における実行制限装置３００及び制御装置２００のハードウェア構成の一例を示す図である。
図３は、この実施の形態における制御対象装置１００のハードウェア構成の一例を示す図である。
図２及び図３において、実行制限装置３００及び制御装置２００及び制御対象装置１００は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、磁気ディスク装置９２０と接続されている。
また、制御対象装置１００は、制御装置２００からの制御指令に基づいて動作する動作部９５０を有している。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例であって、必ずしも全てが接続されている必要はない。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５は、ＬＡＮ９４２等に接続されている。
例えば、通信ボード９１５などは、入力部の一例である。
また、例えば、通信ボード９１５などは、出力部の一例である。
【０００９】
ここで、通信ボード９１５は、ＬＡＮ９４２に限らず、直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されていても構わない。直接、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続されている場合、実行制限装置３００は、インターネット９４０、或いはＩＳＤＮ等のＷＡＮに接続され、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４等が記憶されている。しかし、磁気ディスク装置９２０が接続されていない場合には、これらをＲＯＭ９１３またはＲＡＭ９１４が記憶していてもよい。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。
【００１０】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明するものが、「〜ファイル」として記憶されている。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。
【００１１】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
【００１２】
また、以下に述べる実施の形態を実施するプログラムは、また、磁気ディスク装置９２０、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体による記録装置を用いて記憶されても構わない。
【００１３】
図４は、この実施の形態におけるシステムの全体構成の一例を示す。
制御装置２００は、制御対象装置１００を遠隔操作するため、制御対象装置１００に対して制御指令を送る。
制御対象装置１００は、制御装置２００からの制御指令を実行する。
しかし、制御指令はインターネット９４０等の開かれたネットワークを介して送られるため、悪意の第三者９９９による盗聴・改変・なりすまし等を防ぐための認証が必要となる。
また、正規の制御指令であることが認証されたとしても、入力ミス等による誤動作を防ぐため、制御指令が実行を許可できるものかどうかを検証する必要がある。
そのため、実行制限装置３００は、制御装置２００からの制御指令を解釈し、実行を許可できるものだけを制御対象装置１００に通知する。
なお、制御対象装置１００と実行制限装置３００は、一体のものであってもよい。
【００１４】
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
【００１５】
図５は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
【００１６】
コマンド群記憶部３１２は、制御対象装置１００が実行可能な制御指令のうち、制御対象装置１００に対して実行を許可できるコマンドで、かつ、制御装置２００が実行を指令してもよいコマンドを記憶している。
【００１７】
図６は、この実施の形態において、コマンド群記憶部３１２が記憶するコマンド４００の一例を示す。
コマンド４００（制御指令の一例）は、例えば、コマンドを識別するコマンド識別子４０１、そのコマンドを実行する制御対象装置を示す実行機器情報４０２、制御コマンドのコード、コマンド名などおよびその引数からコマンド文字列４０３、そのコマンドの付加的説明であるコマンド説明４０４から構成される。また、コマンド４００は、このようにコマンド識別子４０１やコマンド説明４０４と紐付け管理された状態でなくてもよい。
すなわち、コマンド識別子４０１は、実行制限装置３００においてコマンドを識別するために用いる。
なお、コマンド識別子４０１は、一つのコマンドに対して、複数記憶しておいてもよい。あるいは、定期的に変更することとしておいてもよい。
コマンド文字列４０３は、そのコマンドの実行が許可された場合に、制御対象装置１００に通知するコマンドの内容である。制御対象装置１００はこれを解釈し、動作部９５０を動作させる。
コマンド説明４０４は、制御装置２００に表示して、そのコマンドが何をするものかを制御装置２００の操作者に知らせるためのものである。
【００１８】
コマンド情報発行部３１４は、コマンド群記憶部３１２が記憶しているコマンドから、コマンド情報を作成する（図５のＳ１１）。
【００１９】
図７は、この実施の形態において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す。
コマンド情報８００は、例えば、コマンド識別子８０１、コマンドを実行する機器を特定する実行機器情報８０２、コマンド識別子、実行機器情報等の改ざん防止のための電子署名である署名８０３、コマンド説明８０４から構成される。
実行機器情報８０２では、機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
すなわち、コマンド識別子８０１は、コマンド群記憶部３１２が記憶するコマンド識別子４０１と同一のものであり、実行制限装置３００においてコマンドを識別するために用いる。
実行機器情報８０２は、そのコマンドを実行する制御対象装置１００を示すものである。制御装置２００は、これを解釈することにより、そのコマンドを実行する制御対象装置１００を特定する。
これにより、間違って異なる装置に対してコマンドを送ることを防ぐ。
署名８０３は実行制限装置３００の電子署名であり、そのコマンド情報が実行制限装置３００の通知したものであることを保証するものである。これにより、第三者による改ざん、なりすましを防止できる。
コマンド説明８０４は、コマンド群記憶部３１２が記憶するコマンド説明４０４と同じものであり、そのコマンドが何をするものかを制御装置２００の操作者に知らせるためのものである。
【００２０】
制御対象装置１００に実行を許可できるコマンドが複数ある場合には、それぞれのコマンドについて、コマンド識別子８０１、実行機器情報８０２、署名８０３、コマンド説明８０４を作成する。
【００２１】
コマンド情報発行部３１４は、作成したコマンド情報８００を、制御装置２００に対し、暗号化して通知する（図５のＳ１２）。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
これにより、第三者９９９による盗聴、改ざんが防止できる。
【００２２】
制御装置２００は、コマンド情報８００を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、署名８０３を検証し、そのコマンド情報８００が確かに実行制限装置３００から通知されたものであることを確かめる。署名８０３が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００２３】
署名８０３の検証により、そのコマンド情報８００が実行制限装置３００の通知したものであることが確認できた場合には、コマンド説明４０４を表示する。
表示したコマンド説明４０４の中から操作者がコマンドを選択すると、制御装置２００は、選択したコマンドに対応する選択コマンド情報８１０を作成する。
【００２４】
図８は、この実施の形態において、制御装置２００が作成する選択コマンド情報８１０の一例を示す。
選択コマンド情報８１０は、例えば、コマンド識別子８１１、実行機器情報８１２、署名８１３から構成される。
選択コマンド情報８１０に含まれるコマンドは、制御対象装置に実行を許可できるコマンドのうち、実際に操作者が選択したコマンドであり、通常は１つのコマンドである。
コマンド識別子８１１は、コマンド情報８００に含まれていたコマンド識別子８０１のうち、選択したコマンドに対応するものである。
実行機器情報８１２は、コマンド情報８００に含まれていた実行機器情報８０２のうち、選択したコマンドに対応するものである。
署名８１３は、制御装置２００の電子署名であり、その選択コマンド情報が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざんやなりすましを防止できる。
【００２５】
制御装置２００は、このようにして作成した選択コマンド情報８１０を、実行制限装置３００に対し、暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、実行制限装置３００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【００２６】
実行制限装置３００の選択コマンド情報受信部３１１は、制御装置２００が通知した選択コマンド情報８１０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図５のＳ１３）。
【００２７】
実行許可部３０１は、署名８１３を検証し、その選択コマンド情報８１０が確かに制御装置２００の通知したものであることを確かめる。署名８１３が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、制御対象装置１００に対してコマンドを通知しない（図５のＳ１４）。
【００２８】
実行許可部３０１は、更に、コマンド識別子８１１及び実行機器情報８１２を検証する。この検証において、コマンド識別子８１１と一致するコマンド識別子４０１がコマンド群記憶部３１２に存在し、実行機器情報８１２が、制御対象装置１００あるいは実行制御装置２００が持つ機器情報と一致すれば、正しいコマンドであると判断する。
なお、一つのコマンドに対して複数のコマンド識別子４０１を記憶している場合には、その中で、コマンド情報発行部３１４が通知したコマンド情報８００に含まれるものと一致するかを判断する。
【００２９】
実行許可部３０１は、検証の結果、不正と判断した場合には、制御対象装置１００に対してコマンドの実行を許可しない（図５のＳ１５）。
【００３０】
実行許可部３０１は、正しいコマンドであると判断した場合、コマンド識別子８１１に対応して、コマンド群記憶部３１２が記憶するコマンド文字列４０３を制御対象装置１００に通知し、コマンドを実行させる（図５のＳ１６）。
【００３１】
これにより、選択コマンド情報８１０に含まれる署名８１３で制御装置２００を認証するだけでなく、コマンド情報８００を正しく復号できたことによっても制御装置２００を認証していることになるので、二重の認証を行うことになり、安全性が高まる。
また、制御装置２００を認証することでリモート制御を許可されていない装置からの制御を禁止できるだけでなく、その制御装置２００に対して許可していないコマンドの実行も禁止できる。
すなわち、許可していないコマンドは、コマンド情報８００において制御装置２００に通知されないので、制御装置２００からの選択コマンド情報８１０で実行を指示することはあり得ないからである。
そのうえ、制御装置の認証と、実行が許可されたコマンドかどうかの検証を同時に行うので、効率がよい。
【００３２】
なお、制御装置２００がひとたびコマンド情報８００を取得すると、コマンド識別子及び実行機器情報が分かるので、以後は何回でも同じコマンドの実行を指示できるようになる。
それが困る場合には、以下のような構成とすることで対応できる。
【００３３】
すなわち、コマンド群記憶部３１２が記憶するコマンド４００のコマンド識別子４０１を定期的に、あるいは、実行条件の変化に応じて、変更する。
そうすれば、制御装置２００が古いコマンド識別子４０１を知っていたとしても、それによってコマンドの実行を指示しても、同コマンド識別子がコマンド群記憶部３１２にないので、実行許可部３０１での検証で不正となり、実行することはできない。
制御装置２００がコマンドを実行させたい場合には、実行制限装置３００に対して、コマンド情報８００の通知を要求する。
これに対し、実行制限装置３００は、制御装置２００にコマンドの実行を許可する場合には、最新のコマンド情報８００を通知する。
これにより、制御装置２００はコマンド情報８００を取得し、最新のコマンド識別子を知るので、コマンドの実行を指示できるようになる。
【００３４】
実施の形態２．
実施の形態２を図１〜図３、図５、図６、図８〜図１２を用いて説明する。
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００３５】
図９は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、利用権発行部３４４（鍵通知部の一例）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、選択コマンド情報受信部３１１、実行許可部３０１の動作は、実施の形態１と同一なので、ここでは説明を省略する。
【００３６】
コマンド暗号処理部３１３は、コマンド群記憶部３１２が記憶するコマンドを暗号化する。このとき、暗号化の鍵にはコマンドごとに異なる鍵を用いる。鍵の選択はランダムに行ってよいし、何らかの規則にしたがってもよいが、外部からその規則性を知られてはならない。また、いくつかのコマンドについて、同一の鍵を用いてもよい。
【００３７】
鍵管理部３３２は、コマンド暗号処理部３１３が暗号化したコマンドを復号するための鍵を、鍵管理情報６００として記憶する。
【００３８】
図１０は、この実施の形態において、鍵管理部３３２が記憶する鍵管理情報６００の一例を示す。
鍵管理情報６００は、例えば、暗号化コマンド識別子６０１及び復号鍵６０２から構成される。
暗号化コマンド識別子６０１は、コマンド暗号処理部３１３が暗号化したコマンドを識別するために用いるものである。コマンド識別子４０１とは異なる任意の文字列を用いる。
復号鍵６０２は、コマンド暗号処理部３１３が暗号化した暗号化したコマンド識別子を復号するための鍵である。
【００３９】
コマンド情報発行部３１４は、コマンド情報８００を作成し、制御装置２００に対して通知する。このとき、コマンド情報８００は更に、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者９９９による盗聴、改ざんが防止できる。
【００４０】
図１１は、この実施の形態において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す。
コマンド情報８００は、例えば、暗号化されたコマンドを特定する暗号化コマンド識別子８０８、暗号化されたコマンド識別子８０９、実行機器情報８０２、署名８０３、コマンド説明８０４から構成される。
ここで、実行機器情報８０２、署名８０３、コマンド説明８０４は、実施の形態１で説明したものと同様なので、説明を省略する。
暗号化コマンド識別子８０８は、鍵管理部３３２が記憶する暗号化コマンド識別子６０１と同一のものである。暗号化されたコマンドを識別するために用いるものである。
暗号化されたコマンド識別子８０９は、コマンド群記憶部３１２が記憶するコマンド識別子４０１を、コマンド暗号処理部３１３が暗号化したものである。あるいは、コマンドコードやコマンド名やその引数を暗号化したものであってもよい。
【００４１】
なお、コマンド説明８０４等も、コマンド識別子と同様に暗号化してもよい。
また、暗号化されたコマンド情報８００は、このように暗号化コマンド識別子８０８やコマンド説明８０４などと紐付け管理された状態でなくてもよく、暗号化されたコマンド識別子８０９そのものでもよい。また、同一のコマンド文字列に対して、複数の異なる鍵で暗号されていてもよいし、また別の暗号化コマンド識別子が割り当ててあっても良い。例えば、同一の「電源をオンする」コマンドでも、制御機器２別に別々の鍵で暗号して、別の暗号化コマンド識別子８０８を割り振ってもよい。
【００４２】
この実施の形態では、コマンド情報にコマンド識別子８０１が含まれていないことに特徴がある。
すなわち、制御装置２００は、暗号化されたコマンド識別子８０９を復号するための鍵を知らないので、コマンド識別子８０１を得ることができない。
したがって、このままでは、制御装置２００がコマンドの実行を指示することはできない。
【００４３】
そこで、実行制限装置３００は、コマンド情報とは別に、制御装置２００に対して利用権８２０を通知する。
【００４４】
図１２は、この実施の形態において、利用権発行部３４４が通知する利用権８２０の一例を示す。
利用権８２０は、例えば、利用権識別子８２１、暗号化コマンド識別子８２２、復号鍵８２６、署名８２７から構成される。
利用権識別子８２１は、制御装置２００からのリモート制御を許可するコマンドを識別するために用いるものである。同一のコマンドについて、複数の条件を設定する場合があるので、コマンド識別子や暗号化コマンド識別子とは別に管理するものである。
この例では、利用権が１つしか通知されていないが、制御装置２００からのリモート制御を許可するコマンドが複数ある場合には、コマンドごとに複数通知する。
暗号化コマンド識別子８２２は、鍵管理部３３２が記憶する暗号化コマンド識別子６０１と同一であり、この利用権がどのコマンドについてのものであるかを示す。
復号鍵８２６は、暗号化されたコマンド識別子８０９を復号してコマンド識別子８０１を得るために用いる鍵であり、。鍵管理部３３２が記憶しているものである。
署名８２７は、実行制限装置３００の電子署名であり、その実行条件情報が実行制限装置３００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましを防止できる。
【００４５】
利用権発行部３４４は、利用権８２０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者９９９による盗聴、改ざんが防止できる。
【００４６】
制御装置２００は、通知された利用権８２０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、署名８２７を検証し、その利用権８２０が確かに実行制限装置３００の通知したものであることを確かめる。署名８２７が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００４７】
署名８２７が正しい場合には、復号鍵８２６を用いて、暗号化されたコマンド識別子８０９を復号し、コマンド識別子を得る。
【００４８】
この例において、コマンド情報８００においては、２つのコマンド（「電源をオンする」と「電源をオフする」）が通知されていた。しかし、利用権８２０においては、そのうち「電源をオンする」コマンドについての復号鍵しか通知されなかった。
したがって、制御装置２００は「電源をオンする」コマンドのコマンド識別子を知ることはできた。しかし、「電源をオフする」コマンドのコマンド識別子はわからない。
すなわち、制御装置２００は「電源をオンする」コマンドを指示することはできるが、「電源をオフする」コマンドを指示することはできない。
【００４９】
このように、制御装置２００は、コマンド情報８００と利用権８２０の両者が通知されなければ、そのコマンドを指示することができない。
仮に、第三者９９９がコマンド情報８００を盗聴したとする。しかし、その第三者９９９は、利用権８２０も盗聴しなければ、コマンド識別子が何であるか知ることはできない。逆に、利用権８２０を盗聴されても、コマンド情報８００が盗聴されなければ、やはりコマンド識別子を知ることができない。
コマンド識別子を知らなければ、第三者９９９が制御装置２００になりすましてコマンドを指示することはできないので、安全である。
【００５０】
なお、利用権８２０はコマンド情報８００と同時に通知することとしてもよいが、そうすると、両者を一度に盗聴されてしまう危険があるので、別々に通知するほうが好ましい。
【００５１】
また、利用権８２０は、実行制限装置３００が自主的に制御装置２００に通知することとしてもよいし、制御装置２００から利用権の発行要求がきたときに通知することとしてもよい。
【００５２】
実施の形態３．
実施の形態３を図１〜図３、図５、図６、図８、図１０、図１１、図１３〜図１５を用いて説明する。
【００５３】
この実施の形態は、リモート制御の可否のみを制御するだけでなく、リモート制御の条件をきめ細かく制御するものである。
【００５４】
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００５５】
図１３は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、実行条件記憶部３２２、利用権発行部３４４（鍵通知部３３４及びコマンド実行条件発行部３２４（実行条件通知部の一例）を含む）、選択コマンド情報受信部３１１（制御指令取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、コマンド暗号処理部３１３、コマンド情報発行部３１４、選択コマンド情報受信部３１１、鍵管理部３３２の動作は、実施の形態２と同一なので、ここでは説明を省略する。
【００５６】
実行条件記憶部３２２は、制御対象装置１００が制御指令を実行する場合の様々な条件を実行条件として記憶する。
実行条件記憶部３２２が記憶する実行条件には、例えば、以下のようなものがある。
【００５７】
コマンドの実行を許可する制御装置についての情報（制御装置情報）。
コマンドの実行を許可する期間の情報（実行日時情報）。
コマンドの実行時に、操作者の確認が必要かどうかの情報（ユーザ確認要否情報）。すなわち、コマンドが認証された場合に、もう一度、操作者に確認を要求し、操作者による許可が出た場合にのみ、コマンドを制御対象装置１００に通知するものである。
コマンド情報を発行した機器あるいは発行者の情報（発行元情報）。例えば、発行者の公開鍵証明書、発行者のユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、発行機器の公開鍵証明書、発行機器のメーカ識別番号と機器のシリアル番号などからなる機器識別子などである。
コマンド情報の実行を指示する機器の情報（実行指示機器情報）。例えば、実行機器の公開鍵証明書、実行機器のメーカ識別番号と機器のシリアル番号などからなる機器識別子などである。
コマンド情報の実行を指示する指示者の情報（実行指示者情報）。例えば、指示者の公開鍵証明書、指示者のユーザＩＤなどである。
コマンド情報の実行をリモート制御する場合のネットワーク情報（実行ネットワーク情報）。例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスなどである。
コマンド情報を実行回数情報（実行回数情報）。
コマンド情報実行前に実行済であるべきコマンド情報（実行前コマンド履歴情報）。例えば、電源オンコマンド実行後などの条件である。すなわち、コマンドが認証された場合であっても、所定の条件を満たしていない場合には、コマンドを制御対象装置１００に通知しないものである。
コマンド情報実行前に実施したコマンド結果情報（実行前ステータス情報）、例えば、前のコマンドが成功した場合などの条件である。すなわち、コマンドが認証された場合であっても、所定の条件を満たしていない場合には、コマンドの実行を許可しないものである。
コマンド情報実行のトリガとなるイベント情報（実行イベント情報）。例えば、機器からエラーイベントがあがっている場合や、ユーザが機器に対してある種のコマンド実行し発生するイベントなど。すなわち、コマンドが認証された場合であっても、すぐにはコマンドの実行を許可せず、所定の条件を満たしたのちに、許可するものである。
当該のコマンドを即時に実行するか、あるいは他の条件が満たされた時点で実行するかを示すコマンド情報実行の即時・予約情報（予約情報）。すなわち、コマンドが認証された場合に、すぐにコマンドの実行を許可するか、それとも所定の条件を満たすまで待つかを決めるものである。
【００５８】
図１４は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、コマンド情報発行部３１４がコマンド情報の作成および通知をする（図５のＳ１１〜Ｓ１２）。
【００５９】
利用権発行部３４４は、鍵管理部３３２が記憶する鍵管理情報６００及び実行条件記憶部３２２が記憶する実行条件に基づいて、利用権８２０を作成し、制御装置２００に通知する（図１４のＳ２１〜Ｓ２２）。
【００６０】
図１５は、この実施の形態において、利用権発行部３４４が作成する利用権８２０の一例を示す。
利用権８２０は、例えば、利用権を識別する利用権識別子８２１、コマンドを識別する暗号化コマンド識別子８２２、実際にコマンドを実行する機器を特定するための実行機器情報８２３、利用権に含まれる実行条件の一つであるコマンドの実行が許可された期間の情報である実行日時情報８２４、コマンドの実行時にユーザの確認が必要かどうかを示すユーザ確認要否情報８２５、暗号化されたコマンド識別子を復号する鍵である復号鍵８２６、利用権の署名８２７から構成される。
このうち、利用権識別子８２１、暗号化コマンド識別子８２２、復号鍵８２６、署名８２７は実施の形態２で説明したものと同様なので、ここでは説明を省略する。
実行機器情報８２３は、コマンド情報８００に含まれる実行機器情報８２３と同一である。機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
実行日時情報８２４は、そのコマンドの実行を許可できる期間を示す。
ユーザ確認要否情報８２５は、そのコマンドが認証されたのち、もう一度操作者に確認を要求し、操作者の許可が出た場合にのみコマンドを実行するかどうかを示す。
これらの条件は、実行条件記憶部３２２が記憶しているものである。上述したように、実行条件記憶部３２２は、これ以外にも様々な実行条件を記憶してよく、それらの実行条件を通知してもよい。
【００６１】
利用権発行部３４４は、作成した利用権８２０を暗号化して、制御装置２００に通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者による盗聴、改ざんを防止できる。
【００６２】
なお、この例では、実行条件（８２４、８２５等）と復号鍵８２６とを一緒に通知しているが、別々に通知するほうが、更に安全性が高くなり好ましい。その代わり、通知の手順が１つ増えるので、手順の煩雑化を避けたいのであれば、この例のように一緒に通知するほうが好ましい。
【００６３】
制御装置２００は、通知された利用権８２０を取得し、共通鍵あるいは自らの秘密鍵で復号する。
次に、署名８２７を検証し、その利用権８２０が確かに実行制限装置３００の通知したものであることを確かめる。署名８２７が不正な場合は、実行制限装置３００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない。
【００６４】
署名８２７が正しい場合には、復号鍵８２６を用いて、暗号化されたコマンド識別子８０９を復号し、コマンド識別子を得る。
【００６５】
制御装置２００は、利用権８２０により、コマンド識別子だけでなく、そのコマンドの実行条件も知ることとなる。そこで、制御装置２００は、操作者がコマンドを選択した際、それが実行を許可されないコマンドであるかを判断することができる。
あるいは、実行を許可されないコマンドははじめから表示しないこととして、操作者が選択できないようにしておいてもよい。
【００６６】
制御装置２００は、実行を許可されるコマンドを操作者が選択した場合のみ、選択コマンド情報８１０を作成する。
【００６７】
図８は、この実施の形態において、制御装置２００が作成する選択コマンド情報８１０の一例を示す。これは、実施の形態１で説明したものと同様であるから、ここでは説明を省略する。
【００６８】
選択コマンド情報受信部３１１が選択コマンド情報８１０を取得すると、実行許可部３０１は、制御対象装置１００に対して、そのコマンドの実行を許可してよいかどうかを判断する。
署名８１３の検証、コマンド識別子８１１の検証等は、実施の形態１で説明したのと同様であるから、ここでは説明を省略する（図１４のＳ１３〜Ｓ１５）。
更に、実行許可部３０１は、実行条件記憶部３２２が記憶したコマンドの実行条件を満たしているかを判断する（図１４のＳ２６）。
【００６９】
コマンドの実行条件はあらかじめ制御装置２００に通知してあり、制御装置２００はコマンドの実行条件を満たす場合にのみ選択コマンド情報８１０を通知してくるはずなので、本来なら、ここでコマンドの実行条件を満たすかどうかを判断する必要はない。
しかし、もし、第三者９９９が制御装置２００になりすまして選択コマンド情報８１０を通知してきたのであれば、コマンドの実行条件を知らずに、選択コマンド情報８１０を通知している可能性があるので、コマンドの実行条件を満たしているとは限らない。
【００７０】
したがって、ここでコマンドの実行条件を満たすかどうか判断することは、単純にコマンドの実行を許可してよいかを判断するだけでなく、同時に、そのコマンドを通知してきた者を認証することになる。
【００７１】
これにより、リモート制御の可否のみを制御するだけでなく、リモート制御の条件をきめ細かく制御することができる。それと同時に、事実上の認証の手順が１つ増えることとなるので、安全性が更に高まる。
【００７２】
実行許可部３０１は、コマンドの実行条件を満たしている場合に、コマンド識別子８１１に対応して、コマンド群記憶部３１２が記憶するコマンド文字列４０３を制御対象装置１００に通知し、コマンドを実行させる（図１４のＳ１６）。
【００７３】
一方、コマンドの実行条件を満たしていない場合には、制御対象装置１００に対してコマンドを通知しない。
しかし、上述のとおり、コマンドの実行条件を満たさない選択コマンド情報８１０の通知は、第三者９９９によるものである可能性があり、セキュリティが破られかけていることを示している。
【００７４】
そこで、単純にコマンドの実行を許可しないだけではなく、しばらくの間リモート制御を受け付けないで様子を見たり、コマンド識別子を変更して、制御装置２００に対して新たなコマンド情報を通知したり等の対策を講じることも可能である。
【００７５】
これにより、第三者９９９による不正アクセスを未然に防ぐだけでなく、必要な対策を講じることもできる。
【００７６】
実施の形態４．
実施の形態４を図１〜図３、図５、図６、図８、図１５〜図１９を用いて説明する。
【００７７】
この実施の形態における実行制限装置３００及び制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【００７８】
図１６は、この実施の形態におけるシステムの全体構成の一例を示す。
実行制限装置３００は、例えば、コマンド群記憶部３１２（制御指令記憶部の一例）、コマンド暗号処理部３１３（制御指令暗号化部の一例）、コマンド情報発行部３１４（制御指令通知部の一例）、鍵管理部３３２（鍵記憶部の一例）、実行条件記憶部３２２、利用権発行部３４４（鍵通知部３３４及びコマンド実行条件発行部３２４（実行条件通知部の一例）を含む）、選択コマンド情報受信部３１１（制御指令取得部の一例）、利用権処理部３２１（実行条件取得部の一例）、実行許可部３０１を有する。
ここで、コマンド群記憶部３１２、コマンド暗号処理部３１３、コマンド情報発行部３１４、鍵管理部３３２、実行条件記憶部３２２、利用権発行部３４４、選択コマンド情報受信部３１１の動作は、実施の形態３と同一なので、ここでは説明を省略する。
【００７９】
実施の形態３では、選択コマンド情報８１０が通知されたときに、コマンドの実行条件を満たしているかどうかを判断することにより、事実上の認証を行っている。
しかし、第三者９９９が制御装置２００になりすまし、コマンドの実行条件を知らずに選択コマンド情報８１０を通知したとしても、偶然に、コマンドの実行条件を満たしている場合には、チェックすることができない。
【００８０】
そこで、この実施の形態では、制御装置２００がコマンドの実行条件を満たすと判断した根拠となった実行条件を、制御装置２００から取得することにより、認証の安全性を更に高めている。
【００８１】
すなわち、制御装置２００がコマンドの実行条件を満たすと判断して選択コマンド情報８１０を通知した場合には、それとは別に、その判断の根拠となった利用権（選択利用権）を実行制限装置３００に通知する。
【００８２】
図１７は、この実施の形態において、制御装置２００が通知する選択利用権８３０の一例を示す。
選択利用権８３０は、例えば、利用権識別子８３１、暗号化コマンド識別子８３２、実行機器情報８３３、実行日時情報８３４、ユーザ確認要否情報８３５、署名８３６から構成される。
このうち、利用権識別子８３１、暗号化コマンド識別子８３２、実行機器情報８３３、実行日時情報８３４、ユーザ確認要否情報８３５は、実行制限装置３００から通知された利用権８２０のうち、コマンドの実行条件を満たすと判断する根拠となった利用権の利用権識別子８２１、暗号化コマンド識別子８２２、実行機器情報８２３、実行日時情報８２４、ユーザ確認要否情報８２５である。これにより、利用権識別子８３１で識別される利用権に基づく実行権限が、制御装置２００にあることを示すものである。
署名８３６は、制御装置２００の電子署名であり、その利用権が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましが防止できる。
【００８３】
また、選択利用権８３０にも、復号鍵を含める構成としてもよい。この場合の復号鍵は、利用権で通知した復号鍵８２６と同じものであってもよいし、違うものであってもよい。利用権で通知した復号鍵８２６と違う復号鍵を含める場合には、他に暗号化した部分（例えば、暗号化コマンド識別子８３２）を設け、その復号鍵で復号できるかによって、その復号鍵が正しいかどうかを検証することにしてもよい。
【００８４】
図１８は、この実施の形態における実行制限装置３００の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、これと並行して、コマンド情報の作成、通知、選択コマンド情報の取得、検証が行われる（図５のＳ１１〜Ｓ１５）。
【００８５】
制御装置２００は、実行制限装置３００に対し、選択利用権８３０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、実行制限装置３００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【００８６】
なお、選択利用権８３０は選択コマンド情報８１０と同時に通知することとしてもよいが、そうすると、両者を一度に盗聴されてしまう危険があるので、別々に通知するほうが好ましい。
【００８７】
実行制限装置３００の利用権処理部３２１は、制御装置２００が通知した選択利用権８３０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図１８のＳ２３）。
【００８８】
実行許可部３０１は、次に、署名８３６を検証し、その選択利用権８３０が確かに制御装置２００の通知したものであることを確かめる。署名８３６が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない（図１８のＳ２４）。
【００８９】
署名８３６が正しい場合には、利用権の検証に入る。すなわち、実行許可部３０１は、選択利用権８３０の利用権識別子８３１や実行日時情報８３４等が、利用権発行部３４４が通知した利用権と一致するかを判断する。一致しない場合には、制御装置２００になりすました第三者９９９が通知したものと判断し、以後の処理を行わない（図１８のＳ２５）。
【００９０】
実行許可部３０１は、その後、コマンドの実行条件を満たすかを検証し（図１８のＳ２６）、満たす場合には、コマンドの実行を許可する（図１８のＳ２７）。
【００９１】
これにより、制御装置２００からコマンド実行の根拠となる利用権を通知してもらうことにより、実行制限装置３００が多数の利用権を管理している場合でも、そのすべてを検索する必要がなく、素早い判断が可能である。また同時に、正しい利用権を通知できるのは、その利用権を通知された制御装置２００だけであるから、制御装置２００を更に認証することとなり、安全性が高くなる。
【００９２】
なお、選択コマンド情報８１０と選択利用権８３０とは、両者が通知されてはじめて、コマンドの実行を許可するものであるから、以下のような使い方も可能となる。
【００９３】
すなわち、選択コマンド情報８１０を事前に通知しておき、実際にコマンドを実行させたいときに、選択利用権８３０を通知することにしてもよい。
この場合、実行許可部３０１は、選択コマンド情報８１０の通知を受けた段階では、コマンドの実行条件を満たすかどうかの判断はせず、それ以外の認証ができれば、正当な選択コマンド情報８１０を通知されたことを記憶しておく。
そして、正当な選択利用権８３０の通知を受けた時点で、コマンドの実行条件を満たすかどうか判断し、満たす場合には、制御対象装置１００に対して、コマンドの実行を許可する構成となる。
【００９４】
あるいは、同じコマンドを複数回実行させたい場合には、選択コマンド情報８１０を事前に通知しておき、選択利用権８３０を複数回通知することにしてもよい。
この場合、実行許可部３０１は、正しい選択コマンド情報８１０を通知されたことを記憶しておき、正しい選択利用権８３０を通知されて、コマンドの実行を許可した場合でも、それで終了とはせず、正しい選択コマンド情報８１０だけを通知された状態に戻ることになる。そして、正しい選択利用権８３０が通知されたら、それだけで条件を満たしたものとして、コマンドの実行を許可する構成となる。
その場合、そのような省略した手順を許す期間あるいは回数を決めておいてもよい。
【００９５】
また、選択コマンド情報８１０と選択利用権８３０のどちらか一方は、正当であるが、他方は不当だった場合には、その時点でいったん終了し、最初から手順をやり直す構成としてもよい。
あるいは、片方のみ有効である状態を一定期間保持し、その期間内に、正当なものが揃えば、条件を満たしたとして、コマンドの実行を許可する構成としてもよい。
あるいは、リトライの回数を決めておき、一定の回数以内に、正当なものが揃えば、条件を満たしたとして、コマンドの実行を許可する構成としてもよい。
【００９６】
更に、正当と認証された場合であっても、すぐに実行を許可せず、操作者に確認を要求する構成としてもよい。
図１９は、そのような構成とした場合の制御の流れの一例を示すフローチャート図である。
なお、この図には表示していないが、この前段階として、選択コマンド情報８１０及び選択利用権８３０の認証が行われる。
【００９７】
実行許可部３０１は、選択利用権８３０のユーザ確認要否情報８３５を見て、操作者に確認を要求する必要があるかを判断する（図１９のＳ１６１）。
操作者に確認を要求する必要がない場合には、すぐに制御対象装置１００に対してコマンドを通知する。
【００９８】
実行許可部３０１は、操作者に確認を要求する必要がある場合、制御装置２００に対して、確認要求を通知する（図１１のＳ１６２）。
【００９９】
実行許可部３０１は、次に、制御装置２００から通知された操作者による確認を取得する（図１１のＳ１６３）。
【０１００】
実行許可部３０１は、操作者による実行の許可が出なければ、コマンドを制御対象装置１００に通知せずに終了する（図１１のＳ１６４）。
【０１０１】
実行許可部３０１は、操作者による実行の許可が出た場合には、コマンドを制御対象装置１００に対して通知する（図１１のＳ１６）。
【０１０２】
なお、操作者による確認は、単に実行を許可するかどうかを入力させるだけでなく、操作者のパスワードを入力させる構成とし、登録されたパスワードと一致する場合にのみ、コマンドの通知を行う構成としてもよい。
【０１０３】
これにより、制御装置２００の認証だけでなく、その制御装置を操作している操作者も認証できるので、更に安全性が高まる。
【０１０４】
このように、選択コマンド情報８１０に含まれる署名８１３で制御装置２００を認証し、更に、選択コマンド情報８１０の内容でも認証し、また、選択利用権８３０に含まれる署名８３６でも認証し、そのうえ、選択利用権８３０の内容でも認証することになるので、非常に安全性が高まる。
また、制御装置２００に対して許可していないコマンドの実行を禁止できるだけでなく、許可する条件、禁止する条件を細かく設定することが可能となる。
そのうえ、制御装置の認証と、実行が許可されたコマンドかどうかの検証を同時に行うので、効率がよい。
【０１０５】
なお、上述した暗号化処理及び復号処理に秘密鍵を用いる場合には、耐タンパ性のあるセキュアチップ内に秘密鍵を保管して、平文あるいは暗号文をセキュアチップに入力すると、暗号文あるいは復号した平文を出力するようにしておけば、たとえ正規ユーザであっても外部から秘密鍵を見ることができないので、更に安全性が高まる。
あるいは、セキュアチップ内に利用権処理機能を格納し、検証が正しければ、セキュアチップ内に利用権８２０を格納することとしてもよい。
【０１０６】
また、コマンド実行は、制御装置２００からリモート制御されたときだけでなく、既に格納しているコマンドが、定期的な実行あるいは日時刻指定の実行の場合は、選択利用権８３０を受信したときには実行しない。その代わりに、何らかのイベントが発生した時点で、記憶しておいた選択利用権８３０をチェックする。
例えば、実行日時を指定したコマンド（録画予約等）や、条件にしたがって実行するコマンド（外が暗くなったら玄関の照明を点灯する等）の場合などがこれにあたる。実行制限装置３００のなかでこれらの条件を管理し、条件を満たした時点で、制御対象装置１００にコマンドを通知する構成とすれば、制御対象装置１００に予約機能等がなくても、このような機能を実現することができる。
【０１０７】
また、実行条件を満たさなくなるまで、選択利用権８３０を保持することとしてもよい。
【０１０８】
これにより、制御対象機器がリモート制御を許可していない制御機器からの制御や、制御機器において許可していないコマンドの実行を禁止することができる。
また、暗号処理での署名の付加によりコマンド情報の改ざん防止を行い、暗号化により情報の盗聴防止を行うことができる。
【０１０９】
実施の形態５．
実施の形態５を図１〜図３及び図２０〜図２６を用いて説明する。
【０１１０】
この実施の形態は、コマンドそのものの実行制限に関するものではなく、コマンドの実行結果の利用の制限に関するものである。
【０１１１】
この実施の形態における利用制限装置３５０のハードウェア構成は、実施の形態１における実行制限装置３００と同じである。また、制御装置２００及び制御対象装置１００のハードウェア構成は、実施の形態１と共通なので、ここでは説明を省略する。
【０１１２】
図２０は、この実施の形態におけるシステムの全体構成の一例を示す。
利用制限装置３５０は、例えば、コマンド結果暗号処理部３６３（実行結果暗号化部の一例）、実行結果通知部３６４、コマンド結果鍵管理部３８２（鍵記憶部の一例）、利用条件記憶部３７２、利用権発行部３４４（鍵通知部３３４及び利用条件通知部３７４を含む）、利用権処理部３７１（利用条件取得部の一例）、利用要求取得部３８１、利用許可部３５１を有する。
【０１１３】
コマンド結果暗号処理部３６３は、コマンドの処理結果データ（実行結果）を暗号化する。
コマンド結果鍵管理部３８２は、その暗号化データの識別情報とその復号鍵（コマンド結果鍵管理情報）を記憶する。
図２１は、この実施の形態において、コマンド結果鍵管理部３８２が記憶するコマンド結果鍵管理情報６１０の一例を示す。
実行結果識別子６１１は、暗号化された実行結果を識別するために用いる。
復号鍵６１２は、コマンド結果暗号処理部３６３が暗号化した実行結果を復号するための鍵である。
コマンド結果暗号処理部３６３が暗号化したコマンドの処理結果（実行結果）には、暗号化したコマンド結果データを識別する識別子等がつけてあっても良い。
実行結果通知部３６４は、コマンド結果暗号処理部３６３が暗号化した実行結果を、制御装置２００に対して通知する。
利用権発行部３４４は、暗号化した実行結果を復号するための復号鍵６１２や、復号して利用するための条件などからなる利用条件（利用権）を、制御装置２００に対して通知する。
【０１１４】
図２２は、この実施の形態において、利用権発行部３４４が通知する利用権８５０の一例を示す。
利用権８５０は、例えば、利用権を識別する利用権識別子８５１、実行結果を識別する実行結果識別子８５２、実際にコマンドを実行した機器を特定するための実行機器情報８５３、利用権に含まれる実行条件の一つである実行結果の利用が許可された期間の情報である利用日時情報８５４、実行結果の利用時にユーザの確認が必要かどうかを示すユーザ確認要否情報８５５、暗号化された実行結果を復号する鍵である復号鍵８５６、利用権の署名８５７から構成される。
利用権識別子８５１は、制御装置２００における実行結果の利用を許可する利用権を識別するために用いるものである。同一の実行結果について、複数の条件を設定する場合があるので、実行結果識別子とは別に管理するものである。
実行結果識別子８５２は、実行結果とともに実行結果通知部３６４から通知したもので、利用を許可する実行結果を識別するためのものである。
実行機器情報８５３は、その実行結果を作成した制御対象装置１００についての情報である。機器の製造番号など機器を特定する機器識別子や、被制御機器の公開鍵証明書などを利用してもよい。
利用日時情報８５４は、その実行結果の利用を許可する期間を示す。
ユーザ確認要否情報８５５は、その実行結果を利用する際、もう一度操作者に確認を要求し、操作者の認証ができた場合にのみ、実行結果の利用を許可するかどうかを示す。
復号鍵８５６は、その実行結果を復号して、利用できるようにするための鍵である。鍵管理部３３２が記憶しているものを通知する。
署名８５７は、利用制限装置３５０の電子署名であり、その利用条件情報が利用制限装置３５０から通知されたものであることを保証するものである。これにより、第三者による改ざん、なりすましを防止できる。
【０１１５】
また、利用権８５０は、以下のような利用条件を含んでいてもよい。
コマンド結果情報。すなわち、コマンドの実行結果を複数の部分に分割して、その一部を利用権８５０に含めることにより、別に通知した実行結果と両者が揃わなければ、実行結果を利用できないようにすることができる。
コマンド結果情報の発行元の情報（発行元情報）。すなわち、実行結果を作成した制御対象装置１００について情報である。
コマンド結果情報の利用する機器の情報（利用機器情報）。すなわち、実行結果を利用できる制御装置２００についての情報である。
コマンド結果情報の利用を指示する機器の情報（利用指示機器情報）。すなわち、実行結果の利用を指示できる制御装置２００についての情報である。
コマンド結果情報の利用を指示する指示者の情報（利用指示者情報）。すなわち、実行結果を利用できる制御装置２００を操作できる操作者についての情報である。
コマンド結果情報の発行機器と利用機器間とのネットワーク情報（利用ネットワーク情報）。すなわち、ネットワーク接続の状態によって利用を制限する場合（特定のサーバ経由の場合しか許可しないなど）における接続の状態についての情報である。
コマンド結果情報を利用する日時情報（利用日時情報）。すなわち、実行結果を利用できる期間についての情報である。
コマンド結果情報のデータの取り扱い（変更可否、印刷可否、映像のストップ、ポーズ、早送りなどのトリックプレイの可否、解像度の範囲、拡大、縮小の可否など）。すなわち、実行結果の利用態様についての情報である。
コマンド結果情報の復号結果を格納してよいかどうか（復号結果格納可否情報）。すなわち、一度利用した実行結果を記憶して、後に再度利用してもよいかについての情報である。
コマンド結果情報を利用回数情報（実行回数情報）。再度の利用を許可する場合に、利用できる回数についての情報である。
コマンド結果情報を利用する前に実行済であるべきコマンド情報（利用前コマンド履歴情報）。すなわち、他のコマンドを実行した後でなければ、実行結果を利用できない場合における条件についての情報である。
コマンド結果情報を利用実行前に実施したコマンド結果情報（実行前ステータス情報）。すなわち、他のコマンドの実行結果に基づいて、実行結果の利用を制限する場合における他のコマンドの実行結果についての情報である。
【０１１６】
利用権処理部３７１は、制御装置２００から通知される選択利用権８３０を取得する。
利用要求取得部３８１は、制御装置２００から通知される利用要求８４０を取得する。
利用許可部３５１は、認証機能を有し、利用権発行要求を発行した制御装置２００あるいはその制御装置２００を操作している操作者の認証等を行う。
【０１１７】
なお、認証の結果に応じて、利用の条件を変更することも考えられる。例えば、登録ユーザである場合は、利用条件をゆるく（例えば、一週間の利用可能など）、未登録ユーザの場合は、利用条件を厳しく（例えば、一日のみ利用可能など）してもよい。
また、課金処理を行ってもよい。
【０１１８】
制御装置２００は、実行結果を利用するための利用権の発行を依頼する利用権発行要求機能や、実行結果を利用するクライアント機能であるコマンド結果利用機能を有する。
【０１１９】
図２３は、この実施の形態における利用制限装置３５０の制御の流れの一例を示すフローチャート図である。
【０１２０】
まず、制御対象装置１００がコマンドを実行する。なお、コマンド実行に先だって、実施の形態１または実施の形態２に示した実行制限装置３００によって、コマンドの実行を制限してもよい。あるいは、利用制限装置３５０が、実行制限装置３００としての機能も有する構成としてもよい。
【０１２１】
コマンド結果暗号処理部３６３は、制御対象装置１００が生成した実行結果を暗号化する（図２３のＳ３１）。
このとき、暗号化の鍵には実行結果ごとに異なる鍵を用いる。鍵の選択はランダムに行ってよいし、何らかの規則にしたがってもよいが、外部からその規則性を知られてはならない。また、いくつかの実行結果について、同一の鍵を用いてもよい。
【０１２２】
実行結果通知部３６４は、コマンド結果暗号処理部３６３が暗号化した実行結果を、制御装置２００に対して通知する（図２３のＳ３２）。このとき、更に、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１２３】
なお、ここまでの処理は、制御対象装置１００で行い、制御対象装置１００から直接、制御装置２００に対して、暗号化した実行結果を通知することとしてもよい。
【０１２４】
制御装置２００は、実行結果通知部３６４が通知したコマンドの実行結果を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。しかし、更に復号しなければ利用できず、そのための鍵は不明である。
そこで、復号鍵を得るため、制御装置２００は利用要求８４０を、利用制限装置３５０に対して通知する。
【０１２５】
図２４は、この実施の形態において、制御装置２００が通知する利用要求８４０の一例を示す。
実行結果識別子８４１は、実行結果とともに実行結果通知部３６４が通知したもので、利用権を要求する実行結果を識別するためのものである。
署名８４２は、制御装置２００の電子署名であり、その利用権発行要求が制御装置２００の通知したものであることを保証するものである。これにより、第三者９９９による改ざん、なりすましが防止できる。
なお、利用要求８４０は、暗号化して通知する。別途取り決めた共通鍵を用いて暗号化してもよいし、利用制限装置３５０の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１２６】
利用制限装置３５０の利用要求取得部３８１は、制御装置２００が通知した利用要求を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する（図２３のＳ３３）。
【０１２７】
利用許可部３５１は、署名８４２を検証し、その利用要求が確かに制御装置２００の通知したものであることを確かめる。署名８４２が不正な場合は、制御装置２００になりすました第三者９９９が通知したものと判断し、利用権を発行しない（図２３のＳ３４）。その場合、認証に失敗したことを制御装置２００に通知してもよい。
【０１２８】
利用許可部３５１が正しい署名８４２と判断した場合には、利用権発行部３４４が、制御装置２００に対し、利用権８５０を通知する（図１７のＳ３５）。
なお、利用権８５０は、暗号化して通知する。別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。これにより、第三者による盗聴、改ざんを防止できる。
【０１２９】
制御装置２００は、利用権発行部３４４が通知した利用権８５０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
次に、制御装置２００は、利用権８５０にある利用条件を満たすかどうかを判断する。
満たすと判断した場合には、復号鍵８５６を用いて実行結果を復号し、利用する。
【０１３０】
なお、利用権に、復号データの格納不可の条件があれば、復号したコマンド結果のデータを、制御装置２００上のどこにも格納できない仕組みである必要がある。
【０１３１】
以上のように、コマンドの実行結果を暗号化し、その利用には利用権が必要となるため、コマンドの実行のみならず、実行処理結果の利用に対しても、認証された機器上でしかできないため、安全になるという効果がある。
すなわち、実行結果を利用するための復号鍵は、利用要求が認証されなければ手に入れることができないので、実行結果が盗聴された場合であっても、第三者は利用することができず、安全である。
【０１３２】
あるいは、次のような認証手順を踏んでもよい。
【０１３３】
図２５は、この実施の形態において、利用制限装置３５０の制御の流れの別の例を示すフローチャート図である。
【０１３４】
Ｓ３１〜Ｓ３４は、図２３で説明したものと同一なので、ここでは説明を省略する。
【０１３５】
利用許可部３５１が正しい署名８４２と判断した場合には、利用権発行部３４４が、制御装置２００に対し、利用権８５０を通知する。ただし、この利用権８５０の復号鍵８５６は偽ものであり、これを用いてもコマンド結果暗号処理部が暗号化した実行結果を復号することはできない（図２５のＳ３５）。
あるいは、利用権８５０に、復号鍵８５６を含まない構成としてもよい。
【０１３６】
しかし、利用権８５０に含まれる実行結果の利用条件は本物なので、制御装置２００は、その実行結果を利用できる条件を知ることができる。
そこで、制御装置２００は、実行結果の利用条件を満たす場合には、利用制限装置３５０に対して、選択利用権８６０を暗号化して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、利用制限装置３５０の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
【０１３７】
図２６は、この実施の形態において、制御装置２００が通知する選択利用権８６０の一例を示す。
【０１３８】
利用制限装置３５０の利用権処理部３７１は、制御装置が通知した選択利用権８６０を取得し、共通鍵あるいは自らの秘密鍵で復号する（図２５のＳ３６）。
【０１３９】
次に、利用許可部３５１は、選択利用権８６０を検証する。検証のポイントは、署名８６６、利用条件等が先に通知した利用権８５０のものと一致するか、及び、利用条件を満たすかどうかである。
これらすべての検証を通過した場合、利用許可部３５１は、制御装置２００の認証に成功したものとして、実行結果の利用を許可する（図２５のＳ３７）。
【０１４０】
利用許可部３５１が実行結果の利用を許可した場合には、利用権発行部３４４は、コマンド結果暗号処理部３６３が暗号化した実行結果を復号できる復号鍵８５６を含めた利用権８５０を暗号化して、制御装置２００に対して通知する。このとき、別途取り決めた共通鍵を用いて暗号化してもよいし、制御装置２００の公開鍵証明書にある公開鍵を用いて暗号化してもよい。
あるいは、復号鍵のみを暗号化して通知することとしてもよい。
【０１４１】
制御装置２００は、利用権発行部３４４が通知した利用権８５０を取得し、共通鍵あるいは自らの秘密鍵を用いて復号する。
制御装置２００は、復号鍵８５６を用いて、コマンド結果暗号処理部３６３が暗号化した実行結果を復号し、利用する。
【０１４２】
これにより、利用条件を満たす場合にのみ、制御装置２００に対して復号鍵８５６を通知するので、より細かい条件設定が可能となる。また、制御装置２００が利用条件を無視して、実行結果を利用してしまうのを防ぐことができる。
更に、その手順において、同時に制御装置２００の認証も行えるので、効率よく、第三者９９９によるなりすまし等を防止することができる。
【０１４３】
実施の形態６．
以上で説明した実施の形態において、実行制限装置３００または利用制限装置３５０と、制御対象装置１００との接続方法については、特に言及していなかった。
【０１４４】
これらの接続についても、制御装置２００との接続と同じように、インターネット等の開かれたネットワークを介して接続してもよい。
その場合には、実行制限装置３００または利用制限装置３５０と、制御対象装置１００との間の通信についても、第三者９９９による盗聴、改ざん、なりすまし等の危険があるので、電子署名の添付や、共通鍵あるいは秘密鍵を用いた暗号化等の措置を講ずる必要がある。
【０１４５】
これにより、暗号化コマンドの発行や利用権の発行など処理の重い処理や鍵の管理を、利用権管理サーバで行うため、制御対象装置側での実装が軽くなるばかりか、安全性も損なわれないという効果がある。更に、実行制限装置３００や利用制限装置３５０の設置場所についての制約がなくなるので、柔軟な設計が可能となる。
【０１４６】
あるいは、実行制限装置３００または利用制限装置３５０の機能を、制御装置２００が有する構成としてもよい。
【０１４７】
これにより、暗号化コマンドの発行を制御装置２００で行うため、制御装置２００が実行したいコマンドの登録を行うため、制御装置の操作手順が減るが、安全性は損なわれない。
【０１４８】
以上説明したように、この実行制限装置３００または利用制限装置３５０が行う利用権アクセス制御方式は、被制御機器をリモートの制御機器から制御するシステムにおいて、被制御機器上で実行可能なコマンドの集合から構成されるコマンド群と、当該機器上で実行するコマンドを特定する情報とその当該機器を特定する情報からなるコマンド情報を発行する被実行コマンド情報発行機能と、上記被実行コマンド情報発行機能で発行したコマンド情報であることを確認し、確認できたコマンド情報に含まれるコマンドのみを実行するコマンド実行機能とから構成されてもよい。
【０１４９】
また、それに加えて、コマンド情報として、コマンドを識別する情報（コマンド識別情報）、実行する機器を特定する機器識別子あるいは機器の公開鍵証明書等の情報（機器特定情報）、およびコマンド情報を発行する機器の秘密鍵を用いた電子署名から構成してもよい。
【０１５０】
もちろん、これらのコマンド情報を暗号化してもよい。
【０１５１】
あるいは、被制御機器をリモートの制御機器から制御するシステムにおいて、被制御機器上で実行可能なコマンドの集合から構成されるコマンド群と、当該機器上で実行するコマンドを特定する情報を発行する被実行コマンド情報発行機能と、上記コマンドが実行されてよい条件の情報（利用権）を発行するコマンド実行条件発行機能と、上記コマンド実行条件発行機能が発行したコマンド実行条件下においてのみ、上記被実行コマンド情報発行機能で発行したコマンド情報のみを実行するコマンド実行機能とから構成してもよい。
【０１５２】
また、それに加えて、コマンドの実行条件として、以下の条件のうち一つ以上を持った利用権を発行するコマンド実行条件発行機能を持っていてもよい。すなわち、コマンド情報、コマンド情報を発行元の情報（発行元情報）、コマンド情報を実行する機器の情報（実行機器情報）、コマンド情報の実行を指示する機器の情報（実行指示機器情報）、コマンド情報の実行を指示する指示者の情報（実行指示者情報）、コマンド情報の実行をリモート制御する場合のネットワーク情報（実行ネットワーク情報）、コマンド情報を実行する日時情報（実行日時情報）、コマンド情報を実行許可確認要否情報（実行確認要否情報）、コマンド情報を実行回数情報（実行回数情報）、コマンド情報実行結果の送付許可情報（実行結果送付可否情報）、コマンド情報実行前に実行済であるべきコマンド情報（実行前コマンド履歴情報）、コマンド情報実行前に実施したコマンド結果情報（実行前ステータス情報）、コマンド情報実行のトリガとなるイベント情報（実行イベント情報）、コマンド情報実行の即時・予約情報（予約情報）などの条件である。
【０１５３】
あるいは、コマンド群の各コマンドを暗号処理するコマンド暗号処理機能と、コマンド情報とコマンドの暗号化した鍵を管理する鍵管理機能と、当該の鍵を利用権に含めて発行する機能を付加したコマンド実行条件発行機能と、利用権から取り出した鍵で暗号化したコマンドを復号し、かつ、利用権に含まれるコマンド実行条件下においてのみ、コマンド情報を実行する機能を付加したコマンド実行機能とを持っていてもよい。
【０１５４】
もしくは、コマンドの情報として暗号済のコマンドである暗号済コマンド群の情報を用いた暗号済コマンド情報を持っていてもよい。
【０１５５】
更に、以下の一つ以上の機能を有する機能を持っていてもよい。すなわち、日時刻情報を持つタイマ機能、コマンドの実行回数を記録する記憶領域およびその記憶領域のデータをカウントアップあるいはクリアするなどの制御機能、機器上でのコマンドの実行許可の情報を設定するインタフェースとその結果を保持する記憶領域およびその記憶領域のデータをセットあるいはクリアするなどの制御機能、機器上で特定のコマンドの実行許可の情報を設定するインタフェースとその結果を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能、コマンドの実行前に、外部の機器あるいはユーザに実行の許可を確認するインタフェースとその確認結果を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能その記憶領域のデータをセットあるいはクリアするなどの制御機能、コマンド実行の履歴および実行ステータス情報を保持する記憶領域その記憶領域のデータをセットあるいはクリアするなどの制御機能、電子署名の検証機能などである。
【０１５６】
また、利用権に、機器の秘密鍵を用いた電子署名をつけ、機器を特定する情報として、機器識別子あるいは機器の公開鍵証明書を用いてもよい。
【０１５７】
それに加えて、利用権を暗号化してもよい。
【０１５８】
あるいは、非制御機器と制御機器間の通信には、相互認証を行ったあと行ってもよい。
【０１５９】
もしくは、機器の認証は、機器のセキュアなチップに埋め込まれた公開鍵証明書・秘密鍵を用いて行ってもよい。
【０１６０】
更に、利用権を機器のセキュアなチップに格納し、利用権の処理をセキュアなチップ内で実行する利用権処理機能を有してもよい。
【０１６１】
また、コマンドの実行結果を暗号化するコマンド結果暗号処理機能と、その暗号化の鍵を管理するコマンド結果鍵管理機能と、コマンド結果を利用する際に、その利用の要求を受け付けて、当該コマンド結果に対応する複合鍵情報を含む利用権を発行する利用権発行機能をもっていてもよい。
【０１６２】
あるいは、制御機器利用の要求を受け付けた際、制御機器の機器の認証あるいは制御機器操作ユーザの認証を行ってもよい。
【０１６３】
それに加えて、暗号化されたコマンド結果を、利用する際、該当するコマンド結果の識別情報により、被制御機器に対して、コマンドの利用権（コマンド利用権）の発行要求を行う利用権発行要求機能と、利用権の利用条件をチェックし、利用条件を満たす場合のみ、コマンド結果を復号し、かつその復号結果を、制御機器のどの記憶媒体にも残す事ができなくするコマンド結果利用機能をもっていてもよい。
【０１６４】
更に、利用権を管理する鍵管理機能を、被制御機器および制御機器とは別の第三のサーバに取り出してもよい。
【０１６５】
あるいは、コマンド実行条件発行機能を、被制御機器および制御機器とは別の第三のサーバで実行させ、当該コマンド実行条件管理機能に対して、コマンド実行条件を指定するコマンド実行条件指示機能を有してもよい。
【０１６６】
もしくは、被実行コマンド情報発行機能を、制御機器で実行させてもよい。
【０１６７】
これにより、相互認証のあと、さらに宅内側が当該宅外機器に許可したコマンドであるかもチェックして、認証された相手からの故意／過失に関らず、許可されていないコマンドの実行を不許可とすることができる。
さらに、許可されたコマンドでも、その実行の条件をきめ細かく（例えば、実行可能日時など）制御可能となる。
【図面の簡単な説明】
【０１６８】
【図１】実施の形態１〜実施の形態４における実行制限装置３００の外観の一例を示す図。
【図２】実施の形態１〜実施の形態４における実行制限装置３００及び制御装置２００のハードウェア構成の一例を示す図。
【図３】実施の形態１〜実施の形態４における制御対象装置１００のハードウェア構成の一例を示す図。
【図４】実施の形態１におけるシステムの全体構成の一例を示す図。
【図５】実施の形態１〜実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図６】実施の形態１〜実施の形態４において、コマンド群記憶部３１２が記憶するコマンド４００の一例を示す図。
【図７】実施の形態１において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す図。
【図８】実施の形態１〜実施の形態４において、制御装置２００が作成する選択コマンド情報８１０の一例を示す図。
【図９】実施の形態２におけるシステムの全体構成の一例を示す図。
【図１０】実施の形態２〜実施の形態３において、鍵管理部３３２が記憶する鍵管理情報６００の一例を示す図。
【図１１】実施の形態２〜実施の形態３において、コマンド情報発行部３１４が作成するコマンド情報８００の一例を示す図。
【図１２】実施の形態２において、利用権発行部３４４が通知する利用権８２０の一例を示す図。
【図１３】実施の形態３におけるシステムの全体構成の一例を示す図。
【図１４】実施の形態３における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図１５】実施の形態３〜実施の形態４において、利用権発行部３４４が作成する利用権８２０の一例を示す図。
【図１６】実施の形態４におけるシステムの全体構成の一例を示す図。
【図１７】実施の形態４において、制御装置２００が通知する選択利用権８３０の一例を示す図。
【図１８】実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図１９】実施の形態４における実行制限装置３００の制御の流れの一例を示すフローチャート図。
【図２０】実施の形態５におけるシステムの全体構成の一例を示す図。
【図２１】実施の形態５において、コマンド結果鍵管理部３８２が記憶するコマンド結果鍵管理情報６１０の一例を示す図。
【図２２】実施の形態５において、利用権発行部３４４が通知する利用権８５０の一例を示す図。
【図２３】実施の形態５における利用制限装置３５０の制御の流れの一例を示すフローチャート図。
【図２４】実施の形態５において、制御装置２００が通知する利用要求８４０の一例を示す図。
【図２５】実施の形態５において、利用制限装置３５０の制御の流れの別の例を示すフローチャート図。
【図２６】実施の形態５において、制御装置２００が通知する選択利用権８６０の一例を示す図。
【符号の説明】
【０１６９】
１００ 制御対象装置、２００ 制御装置、３００ 実行制限装置、３０１ 実行許可部、３１１ 選択コマンド情報受信部、３１２ コマンド群記憶部、３１３ コマンド暗号処理部、３１４ コマンド情報発行部、３２１ 利用権処理部、３２２ 実行条件記憶部、３２４ コマンド実行条件発行部、３３２ 鍵管理部、３３４ 鍵通知部、３４４ 利用権発行部、３５０ 利用制限装置、３５１ 利用許可部、３６３ コマンド結果暗号処理部、３６４ 実行結果通知部、３７１ 利用権処理部、３７２ 利用条件記憶部、３７４ 利用条件通知部、３８１ 利用要求取得部、３８２ コマンド結果鍵管理部、４００ コマンド、４０１ コマンド識別子、４０２ 実行機器情報、４０３ コマンド文字列、４０４ コマンド説明、６００ 鍵管理情報、６０１ 暗号化コマンド識別子、６０２ 復号鍵、６１０ コマンド結果鍵管理情報、６１１ 実行結果識別子、６１２ 復号鍵、８００ コマンド情報、８０１ コマンド識別子、８０２ 実行機器情報、８０３ 署名、８０４ コマンド説明、８０８ 暗号化コマンド識別子、８０９ 暗号化されたコマンド識別子、８１０ 選択コマンド情報、８１１ コマンド識別子、８１２ 実行機器情報、８１３ 署名、８２０ 利用権、８２１ 利用権識別子、８２２ 暗号化コマンド識別子、８２３ 実行機器情報、８２４ 実行日時情報、８２５ ユーザ確認要否情報、８２６ 復号鍵、８２７ 署名、８３０ 選択利用権、８３１ 利用権識別子、８３２ 暗号化コマンド識別子、８３３ 実行機器情報、８３４ 実行日時情報、８３５ ユーザ確認要否情報、８３６ 署名、８４０ 利用要求、８４１ 実行結果識別子、８４２ 署名、８５０ 利用権、８５１ 利用権識別子、８５２ 実行結果識別子、８５３ 実行機器情報、８５４ 利用日時情報、８５５ ユーザ確認要否情報、８５６ 復号鍵、８５７ 署名、８６０ 選択利用権、８６１ 利用権識別子、８６２ 実行結果識別子、８６３ 実行機器情報、８６４ 実行日時情報、８６５ ユーザ確認要否情報、８６６ 署名、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ、９５０ 動作部、９９９ 第三者。
【特許請求の範囲】
【請求項１】
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して実行を許可できる上記制御指令を記憶する制御指令記憶部と、
上記制御装置に対し、上記制御指令記憶部が記憶した制御指令を通知する制御指令通知部と、
上記制御対象装置に対する制御指令を取得する制御指令取得部と、
上記制御指令記憶部が記憶した制御指令と、上記制御指令取得部が取得した制御指令とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする実行制限装置。
【請求項２】
上記実行制限装置は、更に、
上記制御指令記憶部が記憶した制御指令を、所定の鍵を用いて暗号化する制御指令暗号化部と、
上記制御指令暗号化部が上記制御指令を暗号化するのに用いた鍵を記憶する鍵記憶部と、
上記制御装置に対し、上記鍵記憶部が記憶した鍵を通知する鍵通知部と、
を有し、
上記制御指令通知部は、
上記制御装置に対し、上記制御指令暗号化部が暗号化した制御指令を通知する
ことを特徴とする請求項１に記載の実行制限装置。
【請求項３】
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して上記制御指令の実行を許可できる条件を実行条件として記憶する実行条件記憶部と、
上記実行条件記憶部が記憶した実行条件を、上記制御装置に対して通知する実行条件通知部と、
上記実行条件通知部から通知された実行条件を満たすと上記制御装置が判断した場合に上記制御装置が通知する制御指令を取得する制御指令取得部と、
上記実行条件記憶部が記憶した実行条件を満たすか否かを判断し、満たすと判断した場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする実行制限装置。
【請求項４】
上記実行制限装置は、更に、
上記実行条件通知部から通知された実行条件を満たすと上記制御装置が判断した場合に上記制御装置が制御指令とともに通知する上記実行条件を取得する実行条件取得部
を有し、
上記実行許可部は、
上記実行条件取得部が取得した実行条件と、上記実行条件記憶部が記憶した実行条件とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する
ことを特徴とする請求項３に記載の実行制限装置。
【請求項５】
上記実行許可部は、
上記制御指令取得部が取得した制御指令の実行を許可する場合に、上記制御対象装置に対し、上記制御指令を通知する
ことを特徴とする請求項１乃至請求項４のいずれかに記載の実行制限装置。
【請求項６】
制御対象装置が生成した実行結果の利用を、制御装置に対して制限する利用制限装置において、
上記制御装置に対して上記実行結果の利用を許可できる条件を利用条件として記憶する利用条件記憶部と、
上記制御装置に対し、上記利用条件記憶部が記憶した利用条件を通知する利用条件通知部と、
上記利用条件通知部から通知された利用条件を満たすと上記制御装置が判断した場合に上記制御装置が通知する利用要求を取得する利用要求取得部と、
上記利用要求取得部が利用要求を取得した場合に、上記利用条件記憶部が記憶した利用条件を満たすか否かを判断し、満たすを判断した場合に、上記制御対象装置に対し、上記実行結果の利用を許可する利用許可部と、
を有することを特徴とする利用制限装置。
【請求項７】
上記利用制限装置は、更に、
上記利用条件通知部から通知された利用条件を満たすと上記制御装置が判断した場合に上記制御装置が利用要求とともに通知する上記利用条件を取得する利用条件取得部
を有し、
上記利用許可部は、
上記利用条件取得部が取得した利用条件と、上記利用条件記憶部が記憶した利用条件とが一致する場合に、上記制御装置に対し、上記実行結果の利用を許可する
ことを特徴とする請求項６に記載の利用制限装置。
【請求項８】
上記利用制限装置は、更に、
上記制御対象装置が生成した実行結果を、所定の鍵を用いて暗号化する実行結果暗号化部と、
上記制御装置に対し、上記実行結果暗号化部が暗号化した実行結果を通知する実行結果通知部と、
上記実行結果暗号化部が上記実行結果を暗号化するのに用いた鍵を記憶する鍵記憶部と、
上記制御装置に対して上記実行結果の利用を許可する場合に、上記制御装置に対し、上記鍵記憶部が記憶した鍵を通知する鍵通知部と、
を有することを特徴とする請求項６または請求項７に記載の利用制限装置。
【請求項１】
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して実行を許可できる上記制御指令を記憶する制御指令記憶部と、
上記制御装置に対し、上記制御指令記憶部が記憶した制御指令を通知する制御指令通知部と、
上記制御対象装置に対する制御指令を取得する制御指令取得部と、
上記制御指令記憶部が記憶した制御指令と、上記制御指令取得部が取得した制御指令とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする実行制限装置。
【請求項２】
上記実行制限装置は、更に、
上記制御指令記憶部が記憶した制御指令を、所定の鍵を用いて暗号化する制御指令暗号化部と、
上記制御指令暗号化部が上記制御指令を暗号化するのに用いた鍵を記憶する鍵記憶部と、
上記制御装置に対し、上記鍵記憶部が記憶した鍵を通知する鍵通知部と、
を有し、
上記制御指令通知部は、
上記制御装置に対し、上記制御指令暗号化部が暗号化した制御指令を通知する
ことを特徴とする請求項１に記載の実行制限装置。
【請求項３】
制御装置からの制御指令の実行を制御対象装置に対して制限する実行制限装置において、
上記制御対象装置に対して上記制御指令の実行を許可できる条件を実行条件として記憶する実行条件記憶部と、
上記実行条件記憶部が記憶した実行条件を、上記制御装置に対して通知する実行条件通知部と、
上記実行条件通知部から通知された実行条件を満たすと上記制御装置が判断した場合に上記制御装置が通知する制御指令を取得する制御指令取得部と、
上記実行条件記憶部が記憶した実行条件を満たすか否かを判断し、満たすと判断した場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する実行許可部と、
を有することを特徴とする実行制限装置。
【請求項４】
上記実行制限装置は、更に、
上記実行条件通知部から通知された実行条件を満たすと上記制御装置が判断した場合に上記制御装置が制御指令とともに通知する上記実行条件を取得する実行条件取得部
を有し、
上記実行許可部は、
上記実行条件取得部が取得した実行条件と、上記実行条件記憶部が記憶した実行条件とが一致する場合に、上記制御対象装置に対し、上記制御指令取得部が取得した制御指令の実行を許可する
ことを特徴とする請求項３に記載の実行制限装置。
【請求項５】
上記実行許可部は、
上記制御指令取得部が取得した制御指令の実行を許可する場合に、上記制御対象装置に対し、上記制御指令を通知する
ことを特徴とする請求項１乃至請求項４のいずれかに記載の実行制限装置。
【請求項６】
制御対象装置が生成した実行結果の利用を、制御装置に対して制限する利用制限装置において、
上記制御装置に対して上記実行結果の利用を許可できる条件を利用条件として記憶する利用条件記憶部と、
上記制御装置に対し、上記利用条件記憶部が記憶した利用条件を通知する利用条件通知部と、
上記利用条件通知部から通知された利用条件を満たすと上記制御装置が判断した場合に上記制御装置が通知する利用要求を取得する利用要求取得部と、
上記利用要求取得部が利用要求を取得した場合に、上記利用条件記憶部が記憶した利用条件を満たすか否かを判断し、満たすを判断した場合に、上記制御対象装置に対し、上記実行結果の利用を許可する利用許可部と、
を有することを特徴とする利用制限装置。
【請求項７】
上記利用制限装置は、更に、
上記利用条件通知部から通知された利用条件を満たすと上記制御装置が判断した場合に上記制御装置が利用要求とともに通知する上記利用条件を取得する利用条件取得部
を有し、
上記利用許可部は、
上記利用条件取得部が取得した利用条件と、上記利用条件記憶部が記憶した利用条件とが一致する場合に、上記制御装置に対し、上記実行結果の利用を許可する
ことを特徴とする請求項６に記載の利用制限装置。
【請求項８】
上記利用制限装置は、更に、
上記制御対象装置が生成した実行結果を、所定の鍵を用いて暗号化する実行結果暗号化部と、
上記制御装置に対し、上記実行結果暗号化部が暗号化した実行結果を通知する実行結果通知部と、
上記実行結果暗号化部が上記実行結果を暗号化するのに用いた鍵を記憶する鍵記憶部と、
上記制御装置に対して上記実行結果の利用を許可する場合に、上記制御装置に対し、上記鍵記憶部が記憶した鍵を通知する鍵通知部と、
を有することを特徴とする請求項６または請求項７に記載の利用制限装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【公開番号】特開２００６−２３６０５１（Ｐ２００６−２３６０５１Ａ）
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願番号】特願２００５−５０５１８（Ｐ２００５−５０５１８）
【出願日】平成１７年２月２５日（２００５．２．２５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願日】平成１７年２月２５日（２００５．２．２５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]