通信装置、通信システムおよび通信方法
【課題】遠隔操作のセキュリティを向上させること。
【解決手段】通信装置１１０の判定部１１１は、所定の動作を実行させるコマンドを保守対象の通信装置１２０へ送信する場合に、通信装置１１０と通信装置１２０との間にセキュリティ経路１０１が確立されているか否かを判定する。取得部１１２は、通信装置１２０が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する。送信部１１３は、セキュリティ経路１０１が確立されていないと判定部１１１によって判定された場合に、取得部１１２によって取得された送信側鍵情報と、コマンドと、を含むパケットを通信装置１２０へ送信する。
【解決手段】通信装置１１０の判定部１１１は、所定の動作を実行させるコマンドを保守対象の通信装置１２０へ送信する場合に、通信装置１１０と通信装置１２０との間にセキュリティ経路１０１が確立されているか否かを判定する。取得部１１２は、通信装置１２０が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する。送信部１１３は、セキュリティ経路１０１が確立されていないと判定部１１１によって判定された場合に、取得部１１２によって取得された送信側鍵情報と、コマンドと、を含むパケットを通信装置１２０へ送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置、通信システムおよび通信方法に関する。
【背景技術】
【０００２】
移動通信システムは、社会基盤を支えるインフラとなっている。このため、移動通信システムにおいては、たとえばセキュリティの確保や、障害発生時の迅速なサービスの復旧などが求められている。たとえば、移動局と無線通信を行う基地局であるｅＮＢ（ｅｖｏｌｕｔｉｏｎａｌ Ｎｏｄｅ Ｂ）は、たとえばビルの屋上やトンネル、山頂などに設置され、一般網を使用して接続されることがある。
【０００３】
このため、ｅＮＢとの通信には、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）などのセキュリティ経路を確保した通信が求められる。また、たとえばｅＮＢに障害が発生した場合に、サービスの復旧のためには、たとえば作業員が現地へ出向いて復旧操作を行うことになる。この場合は、障害からの復旧までに時間がかかり、サービスに影響を与えてしまう。
【０００４】
これに対して、移動通信システムが安定したサービスを提供し続けるために、外部から送信する緊急パケットによってリスタートを実行させるなど、障害の要因を遠隔操作によって取り除く仕組みが求められている（たとえば、下記特許文献１，２参照。）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１３０７４６号公報
【特許文献２】特開平１１−２７４９９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来技術では、操作対象の通信装置との間のセキュリティ経路が確立されていないと、緊急パケットの送信による遠隔操作を、セキュリティを確保しつつ行うことができないという問題がある。たとえば、セキュリティ経路が確立されていない状態での緊急パケットの疎通を許容すると、悪意のある第三者が緊急パケットを送信することで、通信装置が不正に遠隔操作されることが考えられる。
【０００７】
本発明は、上述した従来技術による問題点を解消するため、遠隔操作のセキュリティを向上させることができる通信装置、通信システムおよび通信方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明の一側面によれば、第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する通信装置、通信システムおよび通信方法が提案される。
【発明の効果】
【０００９】
本発明の一側面によれば、遠隔操作のセキュリティを向上させることができるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態にかかる通信システムの構成例を示す図である。
【図２】図２は、図１に示した通信システムの適用例である。
【図３】図３は、図２に示した通信システムの動作例１を示すシーケンス図である。
【図４−１】図４−１は、ｅＮＢのハードウェア構成の一例を示す図である。
【図４−２】図４−２は、ＯＰＥのハードウェア構成の一例を示す図である。
【図４−３】図４−３は、ＭＭＥのハードウェア構成の一例を示す図である。
【図５−１】図５−１は、ｅＮＢの機能的構成の一例を示す図である。
【図５−２】図５−２は、ＯＰＥの機能的構成の一例を示す図である。
【図５−３】図５−３は、ＭＭＥの機能的構成の一例を示す図である。
【図６】図６は、セキュリティ経路の確立時における緊急パケットの一例を示す図である。
【図７】図７は、セキュリティ経路の非確立時における緊急パケットの一例を示す図である。
【図８】図８は、緊急鍵交換パケットの一例を示す図である。
【図９】図９は、緊急鍵交換パケットの他の例を示す図である。
【図１０】図１０は、鍵管理情報の一例を示す図である。
【図１１−１】図１１−１は、図２に示した通信システムの動作例２を示すシーケンス図（その１）である。
【図１１−２】図１１−２は、図２に示した通信システムの動作例２を示すシーケンス図（その２）である。
【図１２】図１２は、鍵情報の管理処理の一例を示すフローチャートである。
【図１３−１】図１３−１は、緊急パケットの受信時の処理の一例を示すフローチャート（その１）である。
【図１３−２】図１３−２は、緊急パケットの受信時の処理の一例を示すフローチャート（その２）である。
【図１４】図１４は、緊急パケットの送信時の処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に添付図面を参照して、本発明にかかる通信装置、通信システムおよび通信方法の実施の形態を詳細に説明する。
【００１２】
（実施の形態）
（通信システムの構成）
図１は、実施の形態にかかる通信システムの構成例を示す図である。図１に示すように、実施の形態にかかる通信システム１００は、通信装置１１０（第一通信装置）と、通信装置１２０（第二通信装置）と、を含んでいる。通信装置１２０は、通信装置１１０による遠隔操作の対象の通信装置である。通信装置１２０には、たとえば、移動局と無線通信を行う基地局などを適用することができる。基地局としては、たとえばＬＴＥなどに規定されるｅＮＢ（ｅｖｏｌｕｔｉｏｎａｌ Ｎｏｄｅ Ｂ）などがあげられる。
【００１３】
通信装置１１０には、たとえば、ＬＴＥに規定されるＯＰＥ（Ｏｐｅｒａｔｉｏｎ Ｅｑｕｉｐｍｅｎｔ）やＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ：移動性管理エンティティ）などを適用することができる。
【００１４】
通信装置１１０と通信装置１２０との間の区間にはセキュリティ経路１０１が確立される。セキュリティ経路１０１は、たとえば、パケットが暗号化されて伝送される、セキュリティが確保された経路である。たとえば、セキュリティ経路１０１は、ＩＰｓｅｃによって確立されるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）である。
【００１５】
セキュリティ経路１０１は、たとえば通信装置１２０における障害などによって切断される場合もある。また、セキュリティ経路１０１は、通信装置１１０と通信装置１２０の間の全区間において確立されていなくてもよい。たとえば、通信装置１１０と通信装置１２０との間にセキュリティＧＷ（ＧａｔｅＷａｙ）が設けられており、セキュリティＧＷと通信装置１２０との間においてセキュリティ経路１０１が確立されていてもよい。
【００１６】
セキュリティＧＷと通信装置１２０との間においてセキュリティ経路１０１が確立されている場合は、通信装置１１０は、セキュリティＧＷを経由することで、セキュリティ経路１０１を用いて通信装置１２０と通信を行うことができる。また、この場合は、通信装置１１０とセキュリティＧＷとの間の区間の経路は、専用線になっているなど、セキュリティが確保されていることが望ましい。
【００１７】
＜操作側の通信装置について＞
通信装置１１０は、所定の動作を実行させるコマンドを含むパケットを通信装置１２０へ送信することで通信装置１２０を遠隔操作する。通信装置１１０から通信装置１２０へのパケットは、たとえば、通信装置１２０の障害発生時などの緊急時に送信される。以下、通信装置１１０が通信装置１２０へ送信するパケットを緊急パケットと称する。
【００１８】
緊急パケットに含まれるコマンドが指示する所定の動作は、たとえば、リスタート（再起動）、上位装置（たとえば通信装置１１０）からのデータのダウンロード、上位装置へのデータのアップロード、または迂回経路による通信の開始などである。上位装置からのデータのダウンロードは、たとえば、上位装置からのプログラムや設定値の修正データ（パッチ）などのダウンロードである。上位装置へのデータのアップロードは、たとえば、通信装置１２０の状態を示す情報のアップロードである。
【００１９】
具体的には、通信装置１１０は、判定部１１１と、取得部１１２と、送信部１１３と、を備えている。また、通信装置１１０は、設定部１１４を備えていてもよい。
【００２０】
判定部１１１は、通信装置１１０が通信装置１２０への緊急パケット（コマンド）を送信する場合に、通信装置１１０（自装置）と通信装置１２０との間にセキュリティ経路１０１が確立されているか否かを判定する。セキュリティ経路１０１が確立されているか否かの判定は、たとえば、セキュリティ経路１０１を用いた通信装置１２０との通信の成否確認や、通信装置１２０やセキュリティＧＷからの通知信号に基づいて行うことができる。判定部１１１は、判定結果を送信部１１３へ通知する。
【００２１】
取得部１１２は、送信側鍵情報を取得する。送信側鍵情報は、通信装置１２０が取得する受信側鍵情報と所定の対応関係を有する鍵情報である。すなわち、送信側鍵情報は、通信装置１２０において通信装置１１０を認証可能な鍵情報である。たとえば、送信側鍵情報は、受信側鍵情報と同一の鍵情報である。または、送信側鍵情報は、所定の演算により送信側鍵情報との対応が確認可能な鍵情報である。たとえば、送信側鍵情報は、所定のアルゴリズムにより算出されるハッシュ値が送信側鍵情報と同一の情報などである。
【００２２】
たとえば、送信側鍵情報は通信装置１１０のメモリ（たとえば不揮発メモリ）に記憶されており、取得部１１２は通信装置１１０のメモリから送信側鍵情報を取得する。または、通信装置１１０のメモリには送信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部１１２は、通信装置１１０のメモリに記憶された関数やパラメータなどによって送信側鍵情報を算出することで送信側鍵情報を取得してもよい。取得部１１２は、取得した送信側鍵情報を送信部１１３へ出力する。
【００２３】
送信部１１３は、たとえば通信装置１２０の障害発生時などの緊急時に緊急パケットを送信する。たとえば、通信装置１１０は、通信装置１２０の障害を検出する検出部を備え、送信部１１３は、検出部によって通信装置１２０の障害が検出された場合に緊急パケットを送信する。または、判定部１１１は、たとえば通信装置１１０の操作者による操作、または他の通信装置からのコマンド受信などによって緊急パケットを送信してもよい。
【００２４】
また、送信部１１３は、セキュリティ経路１０１が確立されていない旨の判定結果が判定部１１１から通知された場合に、取得部１１２から出力された送信側鍵情報と、所定の動作を実行させるコマンドと、を含む緊急パケットを通信装置１２０へ送信する。この場合は、セキュリティ経路１０１が確立されていないため、緊急パケットは暗号化されずに通信装置１２０へ送信される。
【００２５】
また、送信部１１３は、セキュリティ経路１０１が確立されている旨の判定結果が判定部１１１から通知されている場合には、コマンドを含む緊急パケットを通信装置１２０へ送信する。この場合は、セキュリティ経路１０１が確立されているため、緊急パケットは暗号化されて通信装置１２０へ送信される。
【００２６】
設定部１１４は、通信装置１２０の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部１１２によって取得される送信側鍵情報として設定する。設定部１１４による送信側鍵情報の設定は、たとえばセキュリティ経路１０１を用いた通信装置１２０との通信によって行う。たとえば、設定部１１４は、送信側鍵情報を通信装置１１０のメモリに記憶させる。または、設定部１１４は、送信側鍵情報を算出するための関数やパラメータなどを通信装置１１０のメモリに記憶させる。
【００２７】
たとえば、設定部１１４は、通信装置１１０に送信側鍵情報を設定するとともに、設定する送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１２０へ送信する。または、設定部１１４は、通信装置１２０に設定された受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１２０から受信する。そして、設定部１１４は、受信した信号に基づいて送信側鍵情報を設定する。これにより、設定部１１４は、通信装置１２０の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部１１２によって取得される送信側鍵情報として設定することができる。
【００２８】
＜被操作側の通信装置について＞
通信装置１２０は、通信装置１１０による遠隔操作の対象の通信装置である。通信装置１２０は、通信装置１１０から送信された緊急パケットに含まれるコマンドに基づく所定の動作を実行する。具体的には、通信装置１２０は、受信部１２１と、取得部１２２と、判定部１２３と、実行部１２４と、を備えている。また、通信装置１２０は、設定部１２５を備えていてもよい。
【００２９】
受信部１２１は、たとえば通信装置１１０から、所定の動作を実行させるコマンドおよび鍵情報を含む緊急パケットを受信する。また、受信部１２１は、通信装置１１０とは異なる他の通信装置からの緊急パケットも受信してもよい。受信部１２１は、受信した緊急パケットに含まれる鍵情報を判定部１２３へ出力する。また、受信部１２１は、受信した緊急パケットに含まれるコマンドを実行部１２４へ出力する。
【００３０】
取得部１２２は、通信装置１１０が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する。たとえば、受信側鍵情報は通信装置１２０のメモリ（たとえば不揮発メモリ）に記憶されており、取得部１２２は通信装置１２０のメモリから受信側鍵情報を取得する。または、通信装置１２０のメモリには受信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部１２２は、通信装置１２０のメモリに記憶された関数やパラメータなどによって受信側鍵情報を算出することで受信側鍵情報を取得してもよい。取得部１２２は、取得した受信側鍵情報を判定部１２３へ出力する。
【００３１】
判定部１２３は、受信部１２１から出力された鍵情報と、取得部１２２から出力された受信側鍵情報と、が所定の対応関係を有するか否かを判定する。これにより、受信部１２１によって受信された緊急パケットが、通信装置１１０から送信されたものか否かを判定することができる。判定部１２３は、判定結果を実行部１２４へ通知する。
【００３２】
実行部１２４は、各鍵情報が所定の対応関係を有する旨の判定結果が判定部１２３から通知された場合に、受信部１２１から出力されたコマンドに基づく動作を実行する。たとえば、リスタートを実行させるコマンドが受信部１２１から出力された場合は、実行部１２４は、通信装置１２０をリスタートさせる。
【００３３】
これにより、受信した緊急パケットが通信装置１１０から送信されたものである場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行することができる。このため、セキュリティ経路１０１が確立されていない状態であっても、安全に緊急パケットの疎通を行い、緊急パケットにより通信装置１２０を操作することができる。したがって、たとえば通信装置１２０の障害からの復旧などを行うことができる。
【００３４】
また、実行部１２４は、各鍵情報が所定の対応関係を有していない旨の判定結果が判定部１２３から通知された場合は、受信部１２１から出力されたコマンドに基づく動作を実行しない。これにより、受信した緊急パケットが通信装置１１０から送信されたものでない場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行しないようにすることができる。このため、たとえば、通信装置１１０とは異なる通信装置から悪意により送信された緊急パケット（たとえば外部からのリスタート攻撃）により通信装置１２０が操作されることを回避することができる。
【００３５】
設定部１２５は、通信装置１１０の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部１２２によって取得される受信側鍵情報として設定する。設定部１２５による受信側鍵情報の設定は、たとえばセキュリティ経路１０１を用いた通信装置１１０との通信によって行う。たとえば、設定部１２５は、受信側鍵情報を通信装置１２０のメモリに記憶させる。または、設定部１２５は、受信側鍵情報を算出するための関数やパラメータなどを通信装置１２０のメモリに記憶させる。
【００３６】
たとえば、設定部１２５は、通信装置１２０に受信側鍵情報を設定するとともに、設定する受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１１０へ送信する。または、設定部１２５は、通信装置１１０に設定された送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１１０から受信する。そして、設定部１２５は、受信した信号に基づいて受信側鍵情報を設定する。これにより、設定部１２５は、通信装置１１０の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部１２２によって取得される受信側鍵情報として設定することができる。
【００３７】
また、セキュリティ経路１０１を用いた通信装置１１０および通信装置１２０における鍵情報の設定には、たとえばＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ ｐｒｏｔｏｃｏｌ）などの鍵交換プロトコルを用いることができる。
【００３８】
＜各通信装置について＞
また、通信装置１１０の取得部１１２および通信装置１２０の取得部１２２は、通信装置１１０から通信装置１２０へ緊急パケットを送信するごとに異なる送信側鍵情報および受信側鍵情報を取得するようにしてもよい。たとえば、通信装置１１０および通信装置１２０のそれぞれのメモリに、所定の対応関係を有する送信側鍵情報および受信側鍵情報を複数組記憶しておく。
【００３９】
そして、取得部１１２，１２２は、緊急パケットの送信ごとに異なる送信側鍵情報および受信側鍵情報をメモリから取得する。これにより、たとえば通信装置１１０から通信装置１２０へ送信された緊急パケットを盗まれても、盗まれた緊急パケットでは通信装置１２０を動作させることができないため、セキュリティを向上させることができる。
【００４０】
また、取得部１１２，１２２は、それぞれ設定部１１４，１２５によって設定されてから一定の期間が経過した送信側鍵情報および受信側鍵情報は取得しないようにしてもよい。これにより、たとえば通信装置１１０または通信装置１２０から送信側鍵情報または受信側鍵情報が盗まれたり、通信装置１１０から通信装置１２０へ送信された緊急パケットを盗まれたりしても、盗まれた鍵情報は一定時間後に使用できなくなる。このため、セキュリティを向上させることができる。
【００４１】
また、通信装置１１０は、取得部１１２によって取得された送信側鍵情報を暗号化する暗号化部を備えていてもよい。送信部１１３は、暗号化部によって暗号化された送信側鍵情報を含むパケットを送信する。この場合は、通信装置１２０は、受信部１２１によって受信した緊急パケットに含まれ、暗号化された送信側鍵情報を復号する復号部を備える。判定部１２３は、復号部によって復号された送信側鍵情報に基づく判定を行う。
【００４２】
これにより、たとえば、通信装置１１０または通信装置１２０から送信側鍵情報または受信側鍵情報が盗まれても、盗まれた受信側鍵情報は、暗号化のアルゴリズムや暗号鍵などがなければ使用できない。このため、セキュリティを向上させることができる。暗号化および復号には、たとえば、ＡＥＳ、ＤＥＳなどの共通鍵方式や、ＲＳＡなどの公開鍵方式など、各種のアルゴリズムを用いることができる。
【００４３】
また、通信装置１２０の再起動を指示するコマンドを含むパケットを通信装置１１０から通信装置１２０へ送信する場合について説明する。この場合において、通信装置１２０の実行部１２４は、自装置の再起動（通信装置１１０からのコマンドに基づくものも含む）を行ってから一定の時間が経過するまでの期間を抑止期間としてもよい。
【００４４】
そして、抑止期間においては、実行部１２４は、通信装置１１０からのコマンドに基づく再起動を実行しないようにする。これにより、たとえば通信装置１１０とは異なる通信装置から緊急パケットを連続して送信するリスタート攻撃を受けても、再起動を繰り返すことを回避することができる。このため、通信装置１２０の復旧ができなくなることを回避し、セキュリティを向上させることができる。
【００４５】
図２は、図１に示した通信システムの適用例である。図２に示す通信システム２００は、図１に示した通信システム１００を適用した通信システムである。通信システム２００は、ＯＰＥ２１０と、ＭＭＥ２２０と、セキュリティＧＷ２３１，２３２と、ｅＮＢ２４１〜２４３と、ＵＥ２５１〜２５３と、コアネットワーク２６０と、を含んでいる。
【００４６】
図１に示した通信装置１１０は、たとえばＯＰＥ２１０やＭＭＥ２２０に適用することができる。また、図１に示した通信装置１２０は、たとえばｅＮＢ２４１〜２４３に適用することができる。ＯＰＥ２１０は、セキュリティＧＷ２３１を介してｅＮＢ２４１〜２４３に接続されている。ＯＰＥ２１０は、ｅＮＢ２４１〜２４３の保守を行う。
【００４７】
セキュリティＧＷ２３１は、ＯＰＥ２１０とｅＮＢ２４１〜２４３との間に設けられるゲートウェイである。セキュリティＧＷ２３１は、ｅＮＢ２４１〜２４３との間でセキュリティ経路を確立する。セキュリティＧＷ２３２は、ＭＭＥ２２０とｅＮＢ２４１〜２４３との間に設けられるゲートウェイである。セキュリティＧＷ２３２は、ｅＮＢ２４１〜２４３との間でセキュリティ経路を確立する。
【００４８】
ＭＭＥ２２０は、セキュリティＧＷ２３２を介してｅＮＢ２４１〜２４３に接続されている。また、ＭＭＥ２２０は、コアネットワーク２６０に接続されている。ＭＭＥ２２０は、ｅＮＢ２４１〜２４３とＵＥ２５１〜２５３との間のネットワークに制御のＣ−ｐｌａｎｅ（制御信号系）を収容する。たとえば、ＭＭＥ２２０は、ＵＥ２５１〜２５３の位置登録や、呼び出し、ハンドオーバなどのモビリティ管理を行う。また、ＭＭＥ２２０は、ｅＮＢ２４１〜２４３の保守を行ってもよい。
【００４９】
ｅＮＢ２４１〜２４３は、それぞれＵＥ２５１〜２５３との間で無線通信を行うことで、それぞれＵＥ２５１〜２５３とコアネットワーク２６０との間の通信を中継する。ＵＥ２５１〜２５３（Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ：ユーザ端末）は、それぞれｅＮＢ２４１〜２４３のセルに在圏している移動局である。ＵＥ２５１〜２５３は、それぞれｅＮＢ２４１〜２４３の中継によりコアネットワーク２６０との間で通信を行う。
【００５０】
区間２０１は、ＯＰＥ２１０とセキュリティＧＷ２３１の間の区間、あるいはＭＭＥ２２０とセキュリティＧＷ２３２の間の区間を示している。区間２０１は、パケットが暗号化されずに伝送される非暗号通信区間となる。区間２０２は、セキュリティＧＷ２３１，２３２と、ｅＮＢ２４１〜２４３と、の間の区間を示している。区間２０２は、セキュリティ経路が確立されるため、パケットが暗号化されて伝送される暗号通信区間となる。
【００５１】
（通信システムの動作）
図３は、図２に示した通信システムの動作例１を示すシーケンス図である。図３においては、ＯＰＥ２１０がｅＮＢ２４１を保守する場合の、ＯＰＥ２１０、セキュリティＧＷ２３１およびｅＮＢ２４１の動作について説明する。鍵状態３０１〜３０３は、ＯＰＥ２１０およびｅＮＢ２４１に設定された鍵情報の状態を示している。
【００５２】
鍵状態３０１に示すように、たとえば工場出荷時の初期設定により、ＯＰＥ２１０およびｅＮＢ２４１には、鍵情報＃１，＃２，＃３が設定されているとする。鍵情報＃１，＃２，＃３の状態（たとえば図１０参照）は「初期設定」となる。また、ＯＰＥ２１０およびｅＮＢ２４１には、鍵情報が３つずつ設定されるとする。
【００５３】
＜初期設定後の鍵更新＞
たとえばｅＮＢ２４１の電源投入（起動）時に、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ３０１）。つぎに、セキュリティＧＷ２３１が、ステップＳ３０１によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ３０２）。
【００５４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ３０３）。つぎに、セキュリティＧＷ２３１が、ステップＳ３０３によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ３０４）。ステップＳ３０１〜Ｓ３０４により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路３１１が確立される。
【００５５】
つぎに、ｅＮＢ２４１が、鍵状態３０１が示す各鍵情報の状態が「初期設定」であるため、新たな鍵情報＃４，＃５，＃６を自身に設定する。そして、ｅＮＢ２４１は、ステップＳ３０１〜Ｓ３０４によって確立されたセキュリティ経路３１１を用いて、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ３０５）。
【００５６】
つぎに、ＯＰＥ２１０が、ステップＳ３０５によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身に設定する。そして、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６を設定したことを示す緊急鍵交換パケットを、セキュリティ経路３１１を用いてｅＮＢ２４１へ送信する（ステップＳ３０６）。
【００５７】
ステップＳ３０５〜Ｓ３０６により、鍵状態３０２に示すように、ＯＰＥ２１０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃４，＃５，＃６となる。また、鍵情報＃４，＃５，＃６の各状態は「更新」となる。
【００５８】
＜セキュリティ経路確立状態の緊急パケット発行＞
セキュリティ経路３１１が確立された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ３０７）。ｅＮＢ２４１の障害の検出は、たとえば、ｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【００５９】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ３０８）。ステップＳ３０８において、ＯＰＥ２１０は、セキュリティ経路３１１が確立されているため、鍵情報を緊急パケットに付加しなくてもよい。つぎに、ｅＮＢ２４１が、ステップＳ３０８によって送信された緊急パケットに基づいてリスタートを行う（ステップＳ３０９）。
【００６０】
つぎに、ｅＮＢ２４１が、ステップＳ３０９によってリスタートしたため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ３１０）。つぎに、セキュリティＧＷ２３１が、ステップＳ３１０によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ３１１）。
【００６１】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ３１２）。つぎに、セキュリティＧＷ２３１が、ステップＳ３１２によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ３１３）。ステップＳ３１０〜Ｓ３１３により、ｅＮＢ２４１とセキュリティＧＷ２３１の間で新たなＩＫＥのセキュリティ経路３１２が確立される。
【００６２】
つぎに、ステップＳ３１０〜Ｓ３１３によって確立されたセキュリティ経路３１１に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路３１１の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ３１４）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ３１５）。ステップＳ３１４，Ｓ３１５によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路３１２が切断される。
【００６３】
＜セキュリティ経路切断状態の緊急パケット発行＞
セキュリティ経路３１２が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ３１６）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【００６４】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ３１７）。ステップＳ３１７において、ＯＰＥ２１０は、セキュリティ経路３１２が切断されているため、自身に設定されている鍵情報＃４，＃５，＃６のうちの鍵番号が最も小さい鍵情報＃４を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃４を所定の方式によって暗号化し、暗号化した鍵情報＃４を緊急パケットに付加してもよい。また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃４を自身の設定から削除する。
【００６５】
つぎに、ｅＮＢ２４１が、ステップＳ３１７によって送信された緊急パケットに含まれる鍵情報＃４が、自身に設定された鍵情報＃４と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ３１８）。また、ｅＮＢ２４１は、鍵情報＃４を含む緊急パケットを受信したため、自身に設定された鍵情報＃４を削除する。
【００６６】
これにより、鍵状態３０３に示すように、ＯＰＥ２１０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃５，＃６となる。また、ＯＰＥ２１０およびｅＮＢ２４１に設定される各鍵情報のうちの１つの状態は「未設定」となる。図３に示したように、ＯＰＥ２１０およびｅＮＢ２４１は、ＩＫＥを用いて緊急鍵交換パケットを送受信することで、鍵情報を交換することができる。このように、汎用的な鍵交換プロトコルを利用することで、各装置において鍵交換のための機能を容易に実現することができる。
【００６７】
（ハードウェア構成）
図４−１は、ｅＮＢのハードウェア構成の一例を示す図である。ここではｅＮＢ２４１について説明するが、ｅＮＢ２４２，２４３にも同様の構成を適用することができる。図４−１に示すように、ｅＮＢ２４１は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、受信インタフェース４０７と、送信インタフェース４０８と、物理インタフェース４０９と、無線制御部４１０と、フラッシュメモリ４１２と、リアルタイムクロック４１４と、を備えている。
【００６８】
ＣＰＵ４０１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）は、ｅＮＢ２４１の全体の制御を司るホストプロセッサ（Ｈｏｓｔ Ｐｒｏｃｅｓｓｏｒ）である。メモリコントローラ４０２（Ｍｅｍｏｒｙ Ｃｏｎｔｒｏｌｌｅｒ）は、ＣＰＵ４０１およびメモリコントローラ４０２からの制御に基づいて、メモリ４０３へのデータの書き込みおよびメモリ４０３からのデータの読み出しを制御する。
【００６９】
メモリ４０３（Ｍｅｍｏｒｙ）は、ローカルメモリ（Ｌｏｃａｌ Ｍｅｍｏｒｙ）である。ＰＣＩ４０４は、リアルタイムクロック４１４やフラッシュメモリ４１２などが接続される外部インタフェースである。ＰＣＩ４０４は、たとえばＣＰＵ４０１によって制御される。また、ＰＣＩ４０４は、ＣＰＵ４０１を介してＮＷＰ４０５によって制御されてもよい。
【００７０】
ＮＷＰ４０５は、ＣＰＵ４０１からの制御に基づいてｅＮＢ２４１の通信を制御するネットワークプロセッサ（Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）である。ＮＷＰ４０５は、ＩＰＳｅｃの終端処理、ＩＫＥの処理、プロトコルの終端処理、鍵情報の生成処理、暗号化および復号の処理などを行う。ＮＷＰ４０５は、たとえばＣＰＵ４０１によって実行されるプログラムによってソフトウェアとして実現してもよい。
【００７１】
受信インタフェース４０７（Ｒｅｃｅｉｖｅｒ）は、ＮＷＰ４０５からの制御に基づいて、物理インタフェース４０９を介してデータの受信を行うインタフェースである。送信インタフェース４０８（Ｔｒａｎｓｍｉｔｔｅｒ）は、ＮＷＰ４０５からの制御に基づいて、物理インタフェース４０９を介してデータの送信を行うインタフェースである。物理インタフェース４０９（ＰＨＹ）は、ネットワークに接続される通信インタフェースである。たとえば、物理インタフェース４０９は、セキュリティＧＷ２３１，２３２と有線通信を行う物理インタフェースと、ＵＥ２５１との間で無線通信を行う物理インタフェースと、を含む。
【００７２】
無線制御部４１０（Ｒａｄｉｏ Ｃｏｎｔｒｏｌｌｅｒ）は、ＮＷＰ４０５からの制御に基づいて無線通信の制御を行う。たとえば、無線制御部４１０は、ＮＷＰ４０５を介して受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９を制御することで、ｅＮＢ２４１とＵＥ２５１との間の無線通信を制御する。
【００７３】
フラッシュメモリ４１２（ＦＬＡＳＨ Ｍｅｍｏｒｙ）は、ＰＣＩ４０４に接続された不揮発メモリである。リアルタイムクロック４１４（ＲＴＣ：Ｒｅａｌ Ｔｉｍｅ Ｃｌｏｃｋ）は、現在時刻を出力する時計回路であり、ＰＣＩ４０４に接続されている。
【００７４】
図１に示した受信部１２１は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した取得部１２２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した判定部１２３は、たとえばＣＰＵ４０１およびＮＷＰ４０５によって実現することができる。図１に示した実行部１２４は、たとえばＣＰＵ４０１によって実現することができる。図１に示した設定部１２５は、たとえばメモリコントローラ４０２およびＮＷＰ４０５によって実現することができる。
【００７５】
図４−２は、ＯＰＥのハードウェア構成の一例を示す図である。図４−２において、図４−１に示した部分と同様の部分については同一の符号を付して説明を省略する。図４−２に示すように、ＯＰＥ２１０は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、受信インタフェース４０７と、送信インタフェース４０８と、物理インタフェース４０９と、無線制御部４１０と、フラッシュメモリ４１２と、ユーザインタフェース４１３と、リアルタイムクロック４１４と、を備えている。
【００７６】
ＯＰＥ２１０の物理インタフェース４０９は、たとえば、セキュリティＧＷ２３１を介してｅＮＢ２４１〜２４３と有線通信を行う物理インタフェースを含む。ユーザインタフェース４１３（Ｉ／Ｏ：Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）は、ｅＮＢ２４１とユーザとの間のインタフェースであり、ＰＣＩ４０４に接続されている。ユーザインタフェース４１３は、たとえばディスプレイやキーボードなどである。ＯＰＥ２１０のユーザインタフェース４１３は、たとえば、ＯＰＥ２１０に対して緊急パケットの送信を指示する操作をユーザから受け付ける。また、ユーザインタフェース４１３は、ＯＰＥ２１０による緊急パケットの送信結果などをユーザへ通知してもよい。
【００７７】
図１に示した判定部１１１は、たとえばＮＷＰ４０５によって実現することができる。図１に示した取得部１１２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した送信部１１３は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した設定部１１４は、たとえばメモリコントローラ４０２、メモリ４０３およびＮＷＰ４０５によって実現することができる。
【００７８】
図４−３は、ＭＭＥのハードウェア構成の一例を示す図である。図４−３において、図４−１または図４−２に示した部分と同様の部分については同一の符号を付して説明を省略する。図４−３に示すように、ＭＭＥ２２０は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、コアネットワーク制御部４１１と、フラッシュメモリ４１２と、リアルタイムクロック４１４と、を備えている。ＭＭＥ２２０のコアネットワーク制御部４１１（Ｃｏｒｅ Ｃｏｎｔｒｏｌｌｅｒ）は、ＮＷＰ４０５からの制御に基づいて、コアネットワーク２６０との間の通信を制御する。
【００７９】
図１に示した判定部１１１は、たとえばＮＷＰ４０５によって実現することができる。図１に示した取得部１１２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した送信部１１３は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した設定部１１４は、たとえばメモリコントローラ４０２、メモリ４０３およびＮＷＰ４０５によって実現することができる。
【００８０】
（機能的構成）
図５−１は、ｅＮＢの機能的構成の一例を示す図である。ここではｅＮＢ２４１について説明するが、ｅＮＢ２４２，２４３にも同様の構成を適用することができる。図５−１に示すように、ｅＮＢ２４１は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、無線制御部５０６と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、装置制御部５１２と、を備えている。
【００８１】
信号インタフェース５０１は、装置間のパケット送受信を行う。たとえば、信号インタフェース５０１は、送信時は外部装置へパケット送信を行う。また、信号インタフェース５０１は、受信時は受信パケットのプロトコル解析を行い、対応する終端機能部へ通知する。ｅＮＢ２４１の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３１との間で通信を行う。信号インタフェース５０１は、たとえば図４−１に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。
【００８２】
ＩＫＥ終端部５０２は、ＩＫＥパケットを終端する。具体的には、ＩＫＥ終端部５０２は、ＩＰｓｅｃに関するＩＫＥ＿ＳＡ、ＣＨＩＬＤ＿ＳＡなどのＩＫＥパケットを、信号インタフェース５０１を介して送受信する。また、ＩＫＥ終端部５０２は、鍵情報を含むＳＡの生成、更新、削除などを行う。ＩＫＥ終端部５０２は、ＩＫＥによる鍵交換の結果を鍵管理部５０８へ出力する。ＩＫＥ終端部５０２は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８３】
ＩＰｓｅｃ終端部５０３は、ＩＰｓｅｃパケットを終端する。具体的には、ＩＰｓｅｃ終端部５０３は、平文パケットを暗号化し、暗号化した平分パケットを、信号インタフェース５０１を介して外部装置に送信する。また、ＩＰｓｅｃ終端部５０３は、信号インタフェース５０１を介して受信した暗号パケットを復号して各機能部に出力する。また、ＩＰｓｅｃ終端部５０３は、ＩＰｓｅｃが確立されていない場合は平文の緊急パケットを緊急パケット鍵交換部５０４に出力する。ＩＰｓｅｃ終端部５０３は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８４】
緊急パケット鍵交換部５０４は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を介して、緊急パケット用の鍵交換パケットを終端する。具体的には、信号インタフェース５０１は、緊急鍵交換パケットを外部装置へ送信する。また、信号インタフェース５０１は、緊急鍵交換パケットを受信し、受信した緊急鍵交換パケットを鍵管理部５０８へ出力する。緊急パケット鍵交換部５０４は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８５】
パケット送受信部５０５は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を介して、緊急パケットの送受信を行う。ｅＮＢ２４１のパケット送受信部５０５は、緊急パケットを受信して、受信した緊急パケットに含まれるコマンドを装置制御部５１２へ出力する。パケット送受信部５０５は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８６】
無線制御部５０６は、ＵＥ２５１との間の無線通信の制御を行う。たとえば、無線制御部５０６は、無線リソース管理、ＵＥ２５１における基地局間のハンドオーバ、無線プロトコル変換などを行う。無線制御部５０６は、たとえば図４−１に示した無線制御部４１０などによって実現することができる。
【００８７】
鍵管理部５０８は、鍵情報および鍵情報に関する情報を含む鍵管理情報（たとえば図１０参照）を管理することにより、緊急パケット用の鍵生成、更新、削除などを行う。具体的には、鍵管理部５０８は、鍵交渉に用いる鍵データを生成し、生成した鍵データを緊急パケット鍵交換部５０４（またはＩＫＥ終端部５０２）へ出力する。また、鍵管理部５０８は、受信した鍵データに基づいて鍵情報を生成し、生成した鍵情報を不揮発メモリに登録する。鍵管理部５０８は、たとえば図４−１に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【００８８】
タイマ５０９は、時刻情報の通知を行う。たとえば鍵管理部５０８から指定された時刻に対して、現在時刻の超過の有無などを通知する。タイマ５０９は、たとえば図４−１に示したリアルタイムクロック４１４などによって実現することができる。ｅＮＢ２４１の鍵暗号部５１０は、緊急パケットの鍵情報の復号を行う。鍵暗号部５１０は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８９】
装置制御部５１２は、自装置の制御を行う。たとえば、装置制御部５１２は、パケット送受信部５０５から出力されたコマンドに基づいて、リスタート、ダウンロード、アップロードなどの復旧動作を行う。装置制御部５１２は、たとえば図４−１に示したＣＰＵ４０１などによって実現することができる。
【００９０】
図５−２は、ＯＰＥの機能的構成の一例を示す図である。図５−２において、図５−１に示した部分と同様の部分については同一の符号を付して説明を省略する。図５−２に示すように、ＯＰＥ２１０は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、隣接装置制御部５１１と、装置制御部５１２と、を備えている。
【００９１】
ＯＰＥ２１０の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３１との間で通信を行う。ＯＰＥ２１０のパケット送受信部５０５は、たとえば隣接装置制御部５１１の制御により、ＩＰｓｅｃ終端部５０３および信号インタフェース５０１を介して緊急パケットを送信する。
【００９２】
ＯＰＥ２１０の鍵暗号部５１０は、パケット送受信部５０５によって送信する緊急パケットの鍵情報の暗号化を行う。隣接装置制御部５１１は、たとえばｅＮＢ２４１などの隣接装置の制御を行う。たとえば、隣接装置制御部５１１は、ｅＮＢ２４１の障害の検出を行う。また、隣接装置制御部５１１は、たとえばパケット送受信部５０５を介してｅＮＢ２４１へ緊急パケットを送信し、ｅＮＢ２４１をリスタートさせる。隣接装置制御部５１１は、たとえば図４−２に示した無線制御部４１０などによって実現することができる。
【００９３】
信号インタフェース５０１は、たとえば図４−２に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。ＩＫＥ終端部５０２は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。ＩＰｓｅｃ終端部５０３は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。
【００９４】
緊急パケット鍵交換部５０４は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。パケット送受信部５０５は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。鍵管理部５０８は、たとえば図４−２に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【００９５】
タイマ５０９は、たとえば図４−２に示したリアルタイムクロック４１４などによって実現することができる。鍵暗号部５１０は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。装置制御部５１２は、たとえば図４−２に示したＣＰＵ４０１などによって実現することができる。
【００９６】
図５−３は、ＭＭＥの機能的構成の一例を示す図である。図５−３において、図５−１または図５−２に示した部分と同様の部分については同一の符号を付して説明を省略する。図５−３に示すように、ＭＭＥ２２０は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、コア制御部５０７と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、隣接装置制御部５１１と、装置制御部５１２と、を備えている。
【００９７】
ＭＭＥ２２０の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３２およびコアネットワーク２６０との間で通信を行う。ＭＭＥ２２０のパケット送受信部５０５は、たとえば隣接装置制御部５１１の制御により、ＩＰｓｅｃ終端部５０３および信号インタフェース５０１を介して緊急パケットを送信する。
【００９８】
ＭＭＥ２２０の鍵暗号部５１０は、パケット送受信部５０５によって送信する緊急パケットの鍵情報の暗号化を行う。コア制御部５０７は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を用いたコアネットワーク２６０との間の通信を制御する。コア制御部５０７は、たとえば図４−３に示したコアネットワーク制御部４１１によって実現することができる。
【００９９】
信号インタフェース５０１は、たとえば図４−３に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。ＩＫＥ終端部５０２は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。ＩＰｓｅｃ終端部５０３は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。
【０１００】
緊急パケット鍵交換部５０４は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。パケット送受信部５０５は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。鍵管理部５０８は、たとえば図４−３に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【０１０１】
タイマ５０９は、たとえば図４−３に示したリアルタイムクロック４１４などによって実現することができる。鍵暗号部５１０は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。隣接装置制御部５１１は、たとえば図４−３に示した無線制御部４１０などによって実現することができる。装置制御部５１２は、たとえば図４−３に示したＣＰＵ４０１などによって実現することができる。
【０１０２】
（緊急パケットの例）
図６は、セキュリティ経路の確立時における緊急パケットの一例を示す図である。図６に示す緊急パケット６００は、たとえばセキュリティＧＷ２３１とｅＮＢ２４１との間でセキュリティ経路が確立されている場合にＯＰＥ２１０からｅＮＢ２４１へ送信される緊急パケットの一例である。緊急パケット６００の「ＩＣＭＰヘッダ」に含まれる「Ｔｙｐｅ」は、緊急パケット６００の種類を示している。たとえば「Ｔｙｐｅ」が「ｌ」である場合は、緊急パケット６００が鍵情報を含まない緊急パケットであることを示す。
【０１０３】
「Ｔｙｐｅ」が「ｍ」である場合は、緊急パケット６００が鍵情報を含む緊急パケットであることを示す。「Ｔｙｐｅ」が「ｎ」である場合は、緊急パケット６００が、暗号化された鍵情報を含む緊急パケットであることを示す。セキュリティ経路の確立時に送信される緊急パケット６００は鍵情報を含まないため、緊急パケット６００の「Ｔｙｐｅ」は「ｌ」となる。
【０１０４】
「ＩＣＭＰヘッダ」に含まれる「Ｃｏｄｅ」は、緊急パケット６００の送信先（たとえばｅＮＢ２４１）に指示する動作の種類を示すコマンドである。たとえば「Ｃｏｄｅ」が「ｓ」である場合は、緊急パケット６００の送信先に対するリスタートの指示を示す。「Ｃｏｄｅ」が「ｔ」である場合は、緊急パケット６００の送信先に対する上位装置からのダウンロード転送の指示を示す。「Ｃｏｄｅ」が「ｕ」である場合は、緊急パケット６００の送信先に対する上位装置からのダウンロード書込の指示を示す。
【０１０５】
「Ｃｏｄｅ」が「ｖ」である場合は、緊急パケット６００の送信先に対する上位装置へのアップロード転送の指示を示す。「Ｃｏｄｅ」が「ｗ」である場合は、緊急パケット６００の送信先に対する上位装置へのアップロード書込の指示を示す。「Ｃｏｄｅ」が「ｘ」である場合は、緊急パケット６００の送信先に対する上位装置への状態通知の指示を示す。「ＩＣＭＰデータ」に含まれる「ペイロード」は、たとえば「Ｃｏｄｅ」が「ｔ」や「ｕ」である場合のダウンロードデータなどを含むデータである。
【０１０６】
図７は、セキュリティ経路の非確立時における緊急パケットの一例を示す図である。図７において、図６に示した部分と同様の部分については説明を省略する。図７に示す緊急パケット７００は、たとえばセキュリティＧＷ２３１とｅＮＢ２４１との間でセキュリティ経路が確立されていない場合に、ＯＰＥ２１０からｅＮＢ２４１へ送信される緊急パケットの一例である。セキュリティ経路の確立時に送信される緊急パケット７００は鍵情報を含むため、緊急パケット７００の「Ｔｙｐｅ」は「ｍ」または「ｎ」となる。
【０１０７】
「鍵情報」は、ＯＰＥ２１０とｅＮＢ２４１との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれかの鍵情報である。「鍵情報」は、暗号化されていてもよい。「鍵番号」は、「鍵情報」が示す鍵情報が、ＯＰＥ２１０とｅＮＢ２４１との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれの鍵情報であるかを示す情報である。
【０１０８】
（緊急鍵交換パケットの例）
図８は、緊急鍵交換パケットの一例を示す図である。図８に示す緊急鍵交換パケット８００は、たとえばＯＰＥ２１０からｅＮＢ２４１へ送信される緊急鍵交換パケットの一例である。ただし、ｅＮＢ２４１からＯＰＥ２１０へ送信される緊急鍵交換パケットや、ＯＰＥ２１０とＭＭＥ２２０との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット８００と同様である。
【０１０９】
「ＩＣＭＰヘッダ」に含まれる「Ｔｙｐｅ」は、パケットの種類を示している。たとえば「Ｔｙｐｅ」が「ｍ」である場合は、緊急鍵交換パケット８００が、「ＩＣＭＰデータ」に含まれる鍵情報の追加を指示する緊急鍵交換パケットであることを示す。「Ｔｙｐｅ」が「ｎ」である場合は、緊急鍵交換パケット８００が、「ＩＣＭＰデータ」に含まれる鍵情報の削除を指示する緊急鍵交換パケットであることを示す。
【０１１０】
「ＩＣＭＰデータ」には「鍵情報」および「鍵番号」の組が含まれる。また、緊急鍵交換パケット８００のように、「ＩＣＭＰデータ」には「鍵情報」および「鍵番号」の組が複数含まれていてもよい。この場合は、「鍵情報」および「鍵番号」の各組における「鍵番号」はそれぞれ異なる番号になる。
【０１１１】
図９は、緊急鍵交換パケットの他の例を示す図である。図９に示す緊急鍵交換パケット９００は、たとえばＯＰＥ２１０からｅＮＢ２４１へ送信される緊急鍵交換パケットの一例である。ただし、ｅＮＢ２４１からＯＰＥ２１０へ送信される緊急鍵交換パケットや、ＯＰＥ２１０とＭＭＥ２２０との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット９００と同様である。
【０１１２】
緊急鍵交換パケット９００は、ＩＫＥ＿ＳＡ＿ＩＮＩＴを用いた緊急鍵交換パケットである。たとえば、「ＩＫＥヘッダ」に含まれる「ＩＫＥ＿ＳＡ＿ＳＰＩ」に鍵番号を格納することができる。また、「ＩＫＥペイロード」に含まれる「鍵交換データ」に鍵情報を格納することができる。
【０１１３】
（鍵管理情報の例）
図１０は、鍵管理情報の一例を示す図である。図１０に示す鍵管理情報１０００は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８によって管理される鍵管理情報の一例である。鍵管理情報１０００には、「鍵情報１」〜「鍵情報３」と、「抑止期間」と、が含まれている。「鍵情報１」〜「鍵情報３」のそれぞれは、たとえばＯＰＥ２１０とｅＮＢ２４１との間で共有された鍵情報である。
【０１１４】
「鍵情報１」〜「鍵情報３」のそれぞれには、「番号」と、「状態」と、「鍵データ」と、「更新時間」と、が含まれている。「番号」は、「鍵情報１」〜「鍵情報３」を互いに識別する情報である。「状態」は、鍵情報の設定状態を示している。「状態」は、たとえば、鍵情報が初期値であることを示す「初期設定」、鍵情報が緊急鍵交換パケットによって更新された鍵情報であることを示す「更新」、鍵情報が設定されていない（空である）ことを示す「未設定」などの値をとる。
【０１１５】
「鍵データ」は、鍵情報同士を照合するためのデータである。「鍵データ」には、たとえば、照合対象のデータ、鍵長、照合のためのアルゴリズム（たとえばハッシュ値の算出方法）などの情報が含まれる。「更新時間」は、鍵情報が緊急鍵交換パケットによって更新された時間（時刻）を示す情報である。また、「鍵情報１」〜「鍵情報３」には有効期間がある。「鍵情報１」〜「鍵情報３」の有効期間は、たとえば「更新時間」から一定の時間が経過するまでの期間である。
【０１１６】
「抑止期間」は、ｅＮＢ２４１が緊急パケットに基づく動作（たとえばリスタート）を実行してから、一定の時間が経過するまでの期間である。「抑止期間」が示す期間においては、ｅＮＢ２４１は、緊急パケットを受信しても、受信した緊急パケットに基づく動作を実行しない。これにより、たとえば、ｅＮＢ２４１が緊急パケットに基づいてリスタートし、ＩＰｓｅｃが確立するまでに再度緊急パケットを受信しても、再度のリスタートを回避することができる。これにより、たとえばリスタート攻撃を回避することができる。
【０１１７】
（通信システムの動作例）
図１１−１は、図２に示した通信システムの動作例２を示すシーケンス図（その１）である。鍵状態１１０１〜１１１２は、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８に設定された鍵情報の状態を示している。ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８（たとえば図４に示したフラッシュメモリ４１２）に、それぞれ対となる鍵情報を複数組記憶しておく。鍵状態１１０１に示すように、初期設定により、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１には、鍵情報＃１，＃２，＃３が設定されているとする。
【０１１８】
＜初期設定後の鍵更新＞
たとえばｅＮＢ２４１の電源投入（起動）時に、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１０１）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１０１によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１０２）。
【０１１９】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１０３）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１０３によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１０４）。ステップＳ１１０１〜Ｓ１１０４により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２１が確立される。
【０１２０】
つぎに、ｅＮＢ２４１が、鍵状態１１０１が示す各鍵情報の状態が「初期設定」であるため、新たな鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、ステップＳ１１０１〜Ｓ１１０４によって確立されたセキュリティ経路１１２１を用いて、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１０５）。
【０１２１】
つぎに、ＯＰＥ２１０が、ステップＳ１１０５によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２１を用いてｅＮＢ２４１へ送信する（ステップＳ１１０６）。
【０１２２】
また、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１０７）。これに対して、ＭＭＥ２２０は、ステップＳ１１０７によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃４，＃５，＃６を複写することができる。
【０１２３】
ステップＳ１１０５〜Ｓ１１０７により、鍵状態１１０２に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃４，＃５，＃６となる。また、鍵情報＃４，＃５，＃６の各状態は「更新」となる。
【０１２４】
＜セキュリティ経路切断状態の緊急パケット発行＞
つぎに、セキュリティ経路１１２１に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２１の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１０８）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１０９）。ステップＳ１１０８，Ｓ１１０９によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２１が切断される。
【０１２５】
セキュリティ経路１１２１が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ１１１０）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【０１２６】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１１１）。ステップＳ１１１１において、ＯＰＥ２１０は、セキュリティ経路１１２１が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃４，＃５，＃６のうちの鍵番号が最も小さい鍵情報＃４を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃４を所定の方式によって暗号化し、暗号化した鍵情報＃４を緊急パケットに付加してもよい。
【０１２７】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃４を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃４の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１１２）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃４を削除する。
【０１２８】
つぎに、ｅＮＢ２４１が、ステップＳ１１１１によって送信された緊急パケットに含まれる鍵情報＃４が、自身の鍵管理部５０８に設定された鍵情報＃４と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ１１１３）。また、ｅＮＢ２４１は、鍵情報＃４を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃４を削除する。これにより、鍵状態１１０３に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃５，＃６となる。
【０１２９】
また、ステップＳ１１１３において、ｅＮＢ２４１は、鍵情報＃４のライフタイムが有効であるか否かを判定し、ライフタイムが有効である場合にリスタートを行うようにしてもよい。また、ステップＳ１１１３において、ｅＮＢ２４１は、抑止期間を経過しているか否かを判定し、抑止期間を経過している場合にリスタートを行うようにしてもよい。また、ステップＳ１１１３の後に、ｅＮＢ２４１は、連続緊急パケット抑止のための抑止期間を設定してもよい。
【０１３０】
つぎに、ｅＮＢ２４１が設定した抑止期間内に、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信したとする（ステップＳ１１１４）。ステップＳ１１１４において、ＯＰＥ２１０は、セキュリティ経路１１２１が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃５，＃６のうちの鍵番号が最も小さい鍵情報＃５を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃５を所定の方式によって暗号化し、暗号化した鍵情報＃５を緊急パケットに付加してもよい。
【０１３１】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃５を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃５の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１１５）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃５を削除する。
【０１３２】
また、ｅＮＢ２４１は、鍵情報＃５を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃５を削除する。これにより、鍵状態１１０４に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃６となる。つぎに、ｅＮＢ２４１は、ステップＳ１１１４による緊急パケットの送信は抑止期間内であるため、ステップＳ１１１４によって送信された緊急パケットを破棄する（ステップＳ１１１６）。
【０１３３】
つぎに、ｅＮＢ２４１が、ステップＳ１１１３によってリスタートしたため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１１７）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１１７によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１１８）。
【０１３４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１１９）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１１９によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１２０）。ステップＳ１１１７〜Ｓ１１２０により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２２が確立される。
【０１３５】
つぎに、ｅＮＢ２４１が、鍵状態１１０４が示す各鍵情報のうちの２つの鍵情報が「未設定」であるため、新たな鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、ステップＳ１１１７〜Ｓ１１２０によって確立されたセキュリティ経路１１２２を用いて、鍵情報＃７，＃８の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１２１）。
【０１３６】
つぎに、ＯＰＥ２１０が、ステップＳ１１２１によって送信された緊急鍵交換パケットに基づいて鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃７，＃８を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２２を用いてｅＮＢ２４１へ送信する（ステップＳ１１２２）。
【０１３７】
また、ＯＰＥ２１０は、鍵情報＃７，＃８の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１２３）。これに対して、ＭＭＥ２２０は、ステップＳ１１２３によって送信された緊急鍵交換パケットに基づいて鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃７，＃８を複写することができる。ステップＳ１１２１〜Ｓ１１２３により、鍵状態１１０５に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃６，＃７，＃８となる。また、鍵情報＃６，＃７，＃８の各状態は「更新」となる。
【０１３８】
＜時間経過等による緊急鍵の更新＞
また、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１は、鍵情報を更新してからの時間を監視し、一定の有効期間を超過した鍵については削除し、新たな鍵情報を設定する。たとえば、鍵状態１１０５に示した鍵情報＃６の有効期限が経過したとする。この場合は、鍵状態１１０６に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１は、鍵情報＃６の設定を削除する。
【０１３９】
そして、ｅＮＢ２４１が、新たな鍵情報＃９を自身の鍵管理部５０８に設定する。つぎに、ｅＮＢ２４１は、セキュリティ経路１１２２を用いて、鍵情報＃９の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１２４）。
【０１４０】
つぎに、ＯＰＥ２１０が、ステップＳ１１２４によって送信された緊急鍵交換パケットに基づいて鍵情報＃９を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃９を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２２を用いてｅＮＢ２４１へ送信する（ステップＳ１１２５）。
【０１４１】
また、ＯＰＥ２１０は、鍵情報＃９の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１２６）。これに対して、ＭＭＥ２２０は、ステップＳ１１２６によって送信された緊急鍵交換パケットに基づいて鍵情報＃９を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃９を複写することができる。
【０１４２】
ステップＳ１１２４〜Ｓ１１２６により、鍵状態１１０７に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃７，＃８，＃９となる。また、鍵情報＃７，＃８，＃９の各状態は「更新」となる。
【０１４３】
図１１−２は、図２に示した通信システムの動作例２を示すシーケンス図（その２）である。図１１−１に示した動作例の後に、セキュリティ経路１１２２に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２２の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１２７）。
【０１４４】
つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１２８）。ステップＳ１１２７，Ｓ１１２８によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２２が切断される。
【０１４５】
＜セキュリティ経路切断状態のダウンロード等の復旧動作＞
セキュリティ経路１１２２が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ１１２９）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。ここでは、プログラムやシステム設定値をｅＮＢ２４１にダウンロードさせることでｅＮＢ２４１の復旧を行うとする。
【０１４６】
つぎに、ＯＰＥ２１０が、ダウンロードデータを含み、ダウンロード転送を指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１３０）。ステップＳ１１３０において、ＯＰＥ２１０は、セキュリティ経路１１２２が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃７，＃８，＃９のうちの鍵番号が最も小さい鍵情報＃７を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃７を所定の方式によって暗号化し、暗号化した鍵情報＃７を緊急パケットに付加してもよい。
【０１４７】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃７を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃７の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１３１）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃７を削除する。
【０１４８】
つぎに、ｅＮＢ２４１が、ステップＳ１１３０によって送信された緊急パケットに含まれる鍵情報＃７が、自身の鍵管理部５０８に設定された鍵情報＃７と一致するため、緊急パケットに基づいてダウンロード転送を行う（ステップＳ１１３２）。具体的には、ｅＮＢ２４１は、受信した緊急パケットに含まれるダウンロードデータをメモリ４０３などの揮発メモリに格納する。また、ＭＭＥ２２０は、鍵情報＃７の削除を指示する緊急鍵交換パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃７を削除する。これにより、鍵状態１１０８に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃８，＃９となる。
【０１４９】
つぎに、ＯＰＥ２１０が、ダウンロード書込を指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１３３）。ステップＳ１１３３において、ＯＰＥ２１０は、セキュリティ経路１１２２が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃８，＃９のうちの鍵番号が最も小さい鍵情報＃８を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃８を所定の方式によって暗号化し、暗号化した鍵情報＃８を緊急パケットに付加してもよい。
【０１５０】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃８を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃８の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１３４）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃８を削除する。
【０１５１】
つぎに、ｅＮＢ２４１が、ステップＳ１１３３によって送信された緊急パケットに含まれる鍵情報＃８が、自身の鍵管理部５０８に設定された鍵情報＃８と一致するため、緊急パケットに基づいてダウンロード書込を行う（ステップＳ１１３５）。具体的には、ｅＮＢ２４１は、ステップＳ１１３２においてメモリ４０３などに格納したダウンロードデータをフラッシュメモリ４１２などの不揮発メモリに書き込む。また、ｅＮＢ２４１は、鍵情報＃８を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃８を削除する。これにより、鍵状態１１０９に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃９となる。
【０１５２】
なお、ステップＳ１１３５とステップＳ１１３６との間に、ｅＮＢ２４１はリスタートを行ってもよい。つぎに、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１３６）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１３６によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１３７）。
【０１５３】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１３８）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１３８によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１３９）。ステップＳ１１３６〜Ｓ１１３９により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２３が確立される。
【０１５４】
つぎに、ｅＮＢ２４１が、鍵状態１１０９が示す各鍵情報のうちの２つの鍵情報が「未設定」であるため、新たな鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、セキュリティ経路１１２３を用いて、鍵情報＃１０，＃１１の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１４０）。
【０１５５】
つぎに、ＯＰＥ２１０が、ステップＳ１１４０によって送信された緊急鍵交換パケットに基づいて鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃１０，＃１１を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２３を用いてｅＮＢ２４１へ送信する（ステップＳ１１４１）。
【０１５６】
また、ＯＰＥ２１０は、鍵情報＃１０，＃１１の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１４２）。これに対して、ＭＭＥ２２０は、ステップＳ１１４２によって送信された緊急鍵交換パケットに基づいて鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃１０，＃１１を複写することができる。
【０１５７】
ステップＳ１１４０〜Ｓ１１４２により、鍵状態１１１０に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃９，＃１０，＃１１となる。また、鍵情報＃９，＃１０，＃１１の各状態は「更新」となる。
【０１５８】
＜セキュリティ経路切断状態のＭＭＥリスタート＞
つぎに、セキュリティ経路１１２３に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２３の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１４３）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１４４）。ステップＳ１１４３，Ｓ１１４４によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２３が切断される。
【０１５９】
セキュリティ経路１１２３が切断された状態において、ＭＭＥ２２０によるｅＮＢ２４１のリスタートを行うとする。ＭＭＥ２２０によるｅＮＢ２４１のリスタートは、たとえばＭＭＥ２２０のリスタートに伴って行われる。まず、ＭＭＥ２２０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１４５）。
【０１６０】
ステップＳ１１４５において、ＭＭＥ２２０は、セキュリティ経路１１２３が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃９，＃１０，＃１１のうちの鍵番号が最も小さい鍵情報＃９を緊急パケットに付加する。また、ＭＭＥ２２０は、鍵情報＃９を所定の方式によって暗号化し、暗号化した鍵情報＃９を緊急パケットに付加してもよい。
【０１６１】
また、ＭＭＥ２２０は、緊急パケットに付加した鍵情報＃９を自身の鍵管理部５０８の設定から削除する。また、ＭＭＥ２２０は、鍵情報＃９の削除を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１４６）。これに対して、ＯＰＥ２１０は、自身の鍵管理部５０８に設定された鍵情報＃９を削除する。
【０１６２】
つぎに、ｅＮＢ２４１が、ステップＳ１１４５によって送信された緊急パケットに含まれる鍵情報＃９が、自身の鍵管理部５０８に設定された鍵情報＃９と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ１１４７）。また、ｅＮＢ２４１は、鍵情報＃９を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃９を削除する。これにより、鍵状態１１１１に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃１０，＃１１となる。
【０１６３】
つぎに、ｅＮＢ２４１が、ステップＳ１１４７によってリスタートを行ったため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１４８）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１４８によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１４９）。
【０１６４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１５０）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１５０によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１５１）。ステップＳ１１４８〜Ｓ１１５１により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２４が確立される。
【０１６５】
つぎに、ｅＮＢ２４１が、鍵状態１１１１が示す各鍵情報のうちの１つの鍵情報が「未設定」であるため、新たな鍵情報＃１２を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、セキュリティ経路１１２４を用いて、鍵情報＃１２の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１５２）。
【０１６６】
つぎに、ＯＰＥ２１０が、ステップＳ１１５２によって送信された緊急鍵交換パケットに基づいて鍵情報＃１２を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃１２を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２４を用いてｅＮＢ２４１へ送信する（ステップＳ１１５３）。
【０１６７】
また、ＯＰＥ２１０は、鍵情報＃１２の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１５４）。これに対して、ＭＭＥ２２０は、ステップＳ１１５４によって送信された緊急鍵交換パケットに基づいて鍵情報＃１２を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃１２を複写することができる。
【０１６８】
ステップＳ１１５２〜Ｓ１１５４により、鍵状態１１１２に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃１０，＃１１，＃１２となる。また、鍵情報＃１０，＃１１，＃１２の各状態は「更新」となる。
【０１６９】
図１１−１，図１１−２に示した動作において、要求信号、応答信号およびＩＫＥパケットの送受信は、たとえばセキュリティＧＷ２３１およびｅＮＢ２４１のそれぞれの信号インタフェース５０１およびＩＫＥ終端部５０２によって行われる。また、緊急鍵交換パケットの送受信は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１のそれぞれの信号インタフェース５０１、緊急パケット鍵交換部５０４、鍵管理部５０８、タイマ５０９および鍵暗号部５１０によって行われる。
【０１７０】
また、緊急パケットの送受信は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１のそれぞれの信号インタフェース５０１、パケット送受信部５０５、鍵管理部５０８、タイマ５０９および鍵暗号部５１０によって行われる。また、ｅＮＢ２４１のリスタートやダウンロードは、たとえばｅＮＢ２４１の装置制御部５１２によって行われる。
【０１７１】
（鍵情報の管理処理）
図１２は、鍵情報の管理処理の一例を示すフローチャートである。ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の少なくともいずれかの鍵管理部５０８は、たとえば図１１に示す各ステップを繰り返し実行することによって鍵情報を管理する。ここではＯＰＥ２１０による管理処理について説明する。まず、ＯＰＥ２１０は、自身に設定されているすべての鍵情報の状態が「更新」であるか否かを判断する（ステップＳ１２０１）。
【０１７２】
ステップＳ１２０１において、すべての鍵情報の状態が「更新」である場合（ステップＳ１２０１：Ｙｅｓ）は、ＯＰＥ２１０は、ステップＳ１２０３へ移行する。少なくともいずれかの鍵情報の状態が「更新」でない場合（ステップＳ１２０１：Ｎｏ）は、ＯＰＥ２１０は、鍵交換処理を実行する（ステップＳ１２０２）。具体的には、ＯＰＥ２１０は、ｅＮＢ２４１やＭＭＥ２２０との間で緊急鍵交換パケットを送受信することによって、自身に設定されている鍵情報のうちの状態が「更新」でない鍵情報を更新する。
【０１７３】
つぎに、ＯＰＥ２１０は、自身に設定されているすべての鍵情報が有効期限内か否かを判断する（ステップＳ１２０３）。鍵情報の有効期限は、たとえば図１０に示した「更新時間」から一定の時間が経過する時間である。すべての鍵情報が有効期限内である場合（ステップＳ１２０３：Ｙｅｓ）は、ＯＰＥ２１０は、ステップＳ１２０５へ移行する。少なくともいずれかの鍵情報が有効期限内でない場合（ステップＳ１２０３：Ｎｏ）は、ＯＰＥ２１０は、有効期限を過ぎた鍵情報を自身から削除する（ステップＳ１２０４）。
【０１７４】
つぎに、ＯＰＥ２１０は、他の通信装置（たとえばｅＮＢ２４１）から緊急鍵交換パケットを受信したか否かを判断する（ステップＳ１２０５）。緊急鍵交換パケットを受信していない場合（ステップＳ１２０５：Ｎｏ）は、ＯＰＥ２１０は、一連の処理を終了する。緊急鍵交換パケットを受信した場合（ステップＳ１２０５：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の追加を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２０６）。
【０１７５】
ステップＳ１２０６において、鍵情報の追加を指示する緊急鍵交換パケットである場合（ステップＳ１２０６：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定に追加する（ステップＳ１２０７）。つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２０８）、一連の処理を終了する。具体的には、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を追加すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。
【０１７６】
ステップＳ１２０６において、鍵情報の追加を指示する緊急鍵交換パケットでない場合（ステップＳ１２０６：Ｎｏ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の削除を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２０９）。鍵情報の削除を指示する緊急鍵交換パケットである場合（ステップＳ１２０９：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定から削除する（ステップＳ１２１０）。
【０１７７】
つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２１１）、一連の処理を終了する。具体的には、ＯＰＥ２１０は、受信した緊急鍵交換パケットに含まれる鍵情報を削除すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。
【０１７８】
ステップＳ１２０９において、削除を指示する緊急鍵交換パケットでない場合（ステップＳ１２０９：Ｎｏ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の複写を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２１２）。鍵情報の複写を指示する緊急鍵交換パケットである場合（ステップＳ１２１２：Ｙｅｓ）は、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２１３）、一連の処理を終了する。
【０１７９】
ステップＳ１２１２において、鍵情報の複写を指示する緊急鍵交換パケットでない場合（ステップＳ１２１２：Ｎｏ）は、ＯＰＥ２１０は、一連の処理を終了する。以上の各ステップにより、ＯＰＥ２１０は、ｅＮＢ２４１との間で鍵情報を共有することができる。また、ＯＰＥ２１０は、ＭＭＥ２２０に対して自身の鍵情報を複写することができる。
【０１８０】
図１３−１は、緊急パケットの受信時の処理の一例を示すフローチャート（その１）である。図１３−２は、緊急パケットの受信時の処理の一例を示すフローチャート（その２）である。ｅＮＢ２４１は、緊急パケットの受信時に、たとえば以下の各ステップを実行する。まず、ｅＮＢ２４１は、緊急パケットを受信すると（ステップＳ１３０１）、受信した緊急パケットが暗号化されているか否かを判断する（ステップＳ１３０２）。
【０１８１】
ステップＳ１３０２において、緊急パケットが暗号化されている場合（ステップＳ１３０２：Ｙｅｓ）は、ｅＮＢ２４１は、受信した緊急パケットを復号する（ステップＳ１３０３）。つぎに、ｅＮＢ２４１は、緊急パケットがリスタートを指示するコマンドを含む緊急パケットである場合はリスタートを行う（ステップＳ１３０４）。ただし、緊急パケットが指示する動作はリスタートに限らない。
【０１８２】
ステップＳ１３０２において、緊急パケットが暗号化されていない場合（ステップＳ１３０２：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットに含まれている鍵情報が暗号化されているか否かを判断する（ステップＳ１３０５）。鍵情報が暗号化されていない場合（ステップＳ１３０５：Ｎｏ）は、ｅＮＢ２４１は、ステップＳ１３０７へ移行する。
【０１８３】
ステップＳ１３０５において、鍵情報が暗号化されている場合（ステップＳ１３０５：Ｙｅｓ）は、ｅＮＢ２４１は、緊急パケットに含まれている鍵情報を復号する（ステップＳ１３０６）。つぎに、ｅＮＢ２４１は、緊急パケットに含まれている鍵情報が、自身に設定されている鍵情報と一致しているか否かを判断する（ステップＳ１３０７）。
【０１８４】
ステップＳ１３０７において、鍵情報が一致していない場合（ステップＳ１３０７：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。鍵情報が一致している場合（ステップＳ１３０７：Ｙｅｓ）は、ｅＮＢ２４１は、自身に設定された鍵情報のうちの、受信した緊急パケットに含まれている鍵情報を削除する（ステップＳ１３０８）。
【０１８５】
つぎに、ｅＮＢ２４１は、図１３−２に示す各ステップへ移行する。すなわち、ｅＮＢ２４１は、ステップＳ１３０８によって削除した鍵情報が有効期限内であったか否かを判断する（ステップＳ１３０９）。鍵情報が有効期限内でなかった場合（ステップＳ１３０９：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。
【０１８６】
ステップＳ１３０９において、鍵情報が有効期限内であった場合（ステップＳ１３０９：Ｙｅｓ）は、ｅＮＢ２４１は、セキュリティＧＷ２３１との間でセキュリティ経路が確立されているか否かを判断する（ステップＳ１３１０）。セキュリティ経路が確立されている場合（ステップＳ１３１０：Ｙｅｓ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。
【０１８７】
ステップＳ１３１０において、セキュリティ経路が確立されていない場合（ステップＳ１３１０：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがリスタートを指示するコマンドを含む緊急パケットか否かを判断する（ステップＳ１３１１）。リスタートを指示するコマンドを含む場合（ステップＳ１３１１：Ｙｅｓ）は、ｅＮＢ２４１は、現在時刻が、自身の鍵管理情報１０００（図１０参照）に設定された抑止期間中か否かを判断する（ステップＳ１３１２）。
【０１８８】
ステップＳ１３１２において、抑止期間中である場合（ステップＳ１３１２：Ｙｅｓ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。抑止期間中でない場合（ステップＳ１３１２：Ｎｏ）は、ｅＮＢ２４１は、自身の鍵管理情報１０００に抑止期間を設定する（ステップＳ１３１３）。具体的には、ｅＮＢ２４１は、現在時刻から一定の時間が経過するまでの期間を抑止期間として設定する。つぎに、ｅＮＢ２４１は、リスタートを実行し（ステップＳ１３１４）、一連の処理を終了する。
【０１８９】
ステップＳ１３１１において、リスタートを指示するコマンドを含まない場合（ステップＳ１３１１：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがダウンロード転送を指示するコマンドを含むか否かを判断する（ステップＳ１３１５）。ダウンロード転送を指示するコマンドを含む場合（ステップＳ１３１５：Ｙｅｓ）は、ｅＮＢ２４１は、緊急パケットに含まれるダウンロードデータを受信し（ステップＳ１３１６）、一連の処理を終了する。ステップＳ１３１６において、ｅＮＢ２４１は、たとえば、ダウンロードデータをメモリ４０３に格納する。
【０１９０】
ステップＳ１３１５において、ダウンロード転送を指示するコマンドを含まない場合（ステップＳ１３１５：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがダウンロード書込を指示するコマンドを含むか否かを判断する（ステップＳ１３１７）。ダウンロード書込を指示するコマンドを含む場合（ステップＳ１３１７：Ｙｅｓ）は、ｅＮＢ２４１は、メモリ４０３に記憶したダウンロードデータをフラッシュメモリ４１２に書き込み（ステップＳ１３１８）、一連の処理を終了する。
【０１９１】
ステップＳ１３１７において、ダウンロード書込を指示するコマンドを含まない場合（ステップＳ１３１７：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。以上の各ステップにより、ｅＮＢ２４１は、受信した緊急パケットがＯＰＥ２１０から送信されたか否かを鍵情報に基づいて確認し、緊急パケットに基づく動作を行うことができる。
【０１９２】
図１４は、緊急パケットの送信時の処理の一例を示すフローチャートである。たとえばＯＰＥ２１０は、ｅＮＢ２４１への緊急パケットの送信時に、たとえば以下の各ステップを実行する。図１４に示すように、まず、ＯＰＥ２１０は、緊急パケットを送信する場合に、セキュリティＧＷ２３１とｅＮＢ２４１との間にセキュリティ経路が確立されているか否かを判断する（ステップＳ１４０１）。
【０１９３】
ステップＳ１４０１において、セキュリティ経路が確立されている場合（ステップＳ１４０１：Ｙｅｓ）は、ＯＰＥ２１０は、緊急パケットを作成する（ステップＳ１４０２）。つぎに、ＯＰＥ２１０は、ステップＳ１４０２によって作成された緊急パケットを暗号化する（ステップＳ１４０３）。つぎに、ＯＰＥ２１０は、ステップＳ１４０３によって暗号化された緊急パケットをｅＮＢ２４１へ送信し（ステップＳ１４０４）、一連の処理を終了する。これにより、セキュリティ経路を用いて、セキュリティを確保しつつ緊急パケットを送信することができる。
【０１９４】
ステップＳ１４０１において、セキュリティ経路が確立されていない場合（ステップＳ１４０１：Ｎｏ）は、ＯＰＥ２１０は、緊急パケットに格納する鍵情報を暗号化するか否かを判断する（ステップＳ１４０５）。ステップＳ１４０５の判断は、たとえば事前の設定に基づいて行う。鍵情報を暗号化しない場合（ステップＳ１４０５：Ｎｏ）は、ＯＰＥ２１０は、ステップＳ１４０７へ移行する。
【０１９５】
ステップＳ１４０５において、鍵情報を暗号化する場合（ステップＳ１４０５：Ｙｅｓ）は、ＯＰＥ２１０は、鍵情報を暗号化する（ステップＳ１４０６）。つぎに、ＯＰＥ２１０は、鍵情報を含む緊急パケットを作成する（ステップＳ１４０７）。つぎに、ＯＰＥ２１０は、ステップＳ１４０７によって作成された緊急パケットに含まれる鍵情報を、自身の設定から削除する（ステップＳ１４０８）。
【０１９６】
つぎに、ＯＰＥ２１０は、ステップＳ１４０７によって作成された緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１４０９）。これにより、セキュリティ経路が確立されていなくても、セキュリティを確保しつつ緊急パケットを送信することができる。つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（ＭＭＥ２２０）へ複写し（ステップＳ１４１０）、一連の処理を終了する。
【０１９７】
このように、実施の形態にかかる通信システム１００においては、被操作装置（通信装置１２０）の鍵情報と対になる鍵情報および動作コマンドを含むパケットを通信装置１１０から被操作装置へ送信する。これにより、セキュリティ経路１０１が確立されていなくても、セキュリティを確保しつつ被操作装置を遠隔操作することができる。
【０１９８】
たとえば、プログラムやシステム設定値の誤りに起因するｅＮＢ２４１の障害が発生した場合に、ｅＮＢ２４１へ入局しなくても、遠隔操作によってリスタートやダウンロードなどを実行させることで復旧が可能となる。また、遠隔操作によってアップロードを実行させることでｅＮＢ２４１の状態を確認することができる。このため、稼働率の向上および保守コストの低減を図ることができる。
【０１９９】
また、コマンドを暗号化せずに平文のまま送信することができる。したがって、たとえば、セキュリティ経路１０１が確立されていない場合のためのコマンドの暗号化機能を通信装置１１０が有していなくてもよい。また、セキュリティ経路１０１が確立されていない場合のためのコマンドの復号機能を通信装置１２０が有していなくてもよい。このため、セキュリティ経路１０１が確立されていない場合においてセキュリティを確保しつつコマンドを送信する機能を簡単な構成によって実現することができる。
【０２００】
以上説明したように、通信装置、通信システムおよび通信方法によれば、セキュリティ経路が確立されていなくても、遠隔操作のセキュリティを向上させることができる。なお、上述した実施の形態においては、通信装置１２０を遠隔操作することによってシステムの復旧などを図る場合について説明した。ただし、通信システム１００は、システムの復旧を図る場合などに限らず、通信装置１２０を遠隔操作する構成に対して適用することができる。
【０２０１】
上述した実施の形態に関し、さらに以下の付記を開示する。
【０２０２】
（付記１）所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、
前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、
前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、
を備えることを特徴とする通信装置。
【０２０３】
（付記２）前記セキュリティ経路は、パケットが暗号化されて伝送される経路であることを特徴とする付記１に記載の通信装置。
【０２０４】
（付記３）前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする付記１または２に記載の通信装置。
【０２０５】
（付記４）前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする付記１〜３のいずれか一つに記載の通信装置。
【０２０６】
（付記５）前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記４に記載の通信装置。
【０２０７】
（付記６）前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、
前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする付記１〜５のいずれか一つに記載の通信装置。
【０２０８】
（付記７）鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、
所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、
前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、
前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、
を備えることを特徴とする通信装置。
【０２０９】
（付記８）前記取得部は、前記受信部による前記コマンドの受信ごとに異なる前記受信側鍵情報を取得することを特徴とする付記７に記載の通信装置。
【０２１０】
（付記９）前記所定の通信装置との間で確立されたセキュリティ経路を用いた前記所定の通信装置との通信によって前記受信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された受信側鍵情報を取得することを特徴とする付記７または８に記載の通信装置。
【０２１１】
（付記１０）前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記９に記載の通信装置。
【０２１２】
（付記１１）前記受信部によって受信されたパケットに含まれ、暗号化された前記鍵情報を復号する復号部を備え、
前記判定部は、前記復号部によって復号された鍵情報と前記受信側鍵情報とが前記所定の対応関係を有するか否かを判定することを特徴とする付記７〜１０のいずれか一つに記載の通信装置。
【０２１３】
（付記１２）前記所定の動作には自装置の再起動が含まれ、
前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする付記７〜１１のいずれか一つに記載の通信装置。
【０２１４】
（付記１３）自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、
を含むことを特徴とする通信システム。
【０２１５】
（付記１４）第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、
前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、
ことを特徴とする通信方法。
【符号の説明】
【０２１６】
１００，２００ 通信システム
１０１，３１１，３１２，１１２１〜１１２４ セキュリティ経路
３０１〜３０３，１１０１〜１１１２ 鍵状態
６００，７００ 緊急パケット
８００，９００ 緊急鍵交換パケット
１０００ 鍵管理情報
【技術分野】
【０００１】
本発明は、通信装置、通信システムおよび通信方法に関する。
【背景技術】
【０００２】
移動通信システムは、社会基盤を支えるインフラとなっている。このため、移動通信システムにおいては、たとえばセキュリティの確保や、障害発生時の迅速なサービスの復旧などが求められている。たとえば、移動局と無線通信を行う基地局であるｅＮＢ（ｅｖｏｌｕｔｉｏｎａｌ Ｎｏｄｅ Ｂ）は、たとえばビルの屋上やトンネル、山頂などに設置され、一般網を使用して接続されることがある。
【０００３】
このため、ｅＮＢとの通信には、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）などのセキュリティ経路を確保した通信が求められる。また、たとえばｅＮＢに障害が発生した場合に、サービスの復旧のためには、たとえば作業員が現地へ出向いて復旧操作を行うことになる。この場合は、障害からの復旧までに時間がかかり、サービスに影響を与えてしまう。
【０００４】
これに対して、移動通信システムが安定したサービスを提供し続けるために、外部から送信する緊急パケットによってリスタートを実行させるなど、障害の要因を遠隔操作によって取り除く仕組みが求められている（たとえば、下記特許文献１，２参照。）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１３０７４６号公報
【特許文献２】特開平１１−２７４９９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来技術では、操作対象の通信装置との間のセキュリティ経路が確立されていないと、緊急パケットの送信による遠隔操作を、セキュリティを確保しつつ行うことができないという問題がある。たとえば、セキュリティ経路が確立されていない状態での緊急パケットの疎通を許容すると、悪意のある第三者が緊急パケットを送信することで、通信装置が不正に遠隔操作されることが考えられる。
【０００７】
本発明は、上述した従来技術による問題点を解消するため、遠隔操作のセキュリティを向上させることができる通信装置、通信システムおよび通信方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明の一側面によれば、第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する通信装置、通信システムおよび通信方法が提案される。
【発明の効果】
【０００９】
本発明の一側面によれば、遠隔操作のセキュリティを向上させることができるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態にかかる通信システムの構成例を示す図である。
【図２】図２は、図１に示した通信システムの適用例である。
【図３】図３は、図２に示した通信システムの動作例１を示すシーケンス図である。
【図４−１】図４−１は、ｅＮＢのハードウェア構成の一例を示す図である。
【図４−２】図４−２は、ＯＰＥのハードウェア構成の一例を示す図である。
【図４−３】図４−３は、ＭＭＥのハードウェア構成の一例を示す図である。
【図５−１】図５−１は、ｅＮＢの機能的構成の一例を示す図である。
【図５−２】図５−２は、ＯＰＥの機能的構成の一例を示す図である。
【図５−３】図５−３は、ＭＭＥの機能的構成の一例を示す図である。
【図６】図６は、セキュリティ経路の確立時における緊急パケットの一例を示す図である。
【図７】図７は、セキュリティ経路の非確立時における緊急パケットの一例を示す図である。
【図８】図８は、緊急鍵交換パケットの一例を示す図である。
【図９】図９は、緊急鍵交換パケットの他の例を示す図である。
【図１０】図１０は、鍵管理情報の一例を示す図である。
【図１１−１】図１１−１は、図２に示した通信システムの動作例２を示すシーケンス図（その１）である。
【図１１−２】図１１−２は、図２に示した通信システムの動作例２を示すシーケンス図（その２）である。
【図１２】図１２は、鍵情報の管理処理の一例を示すフローチャートである。
【図１３−１】図１３−１は、緊急パケットの受信時の処理の一例を示すフローチャート（その１）である。
【図１３−２】図１３−２は、緊急パケットの受信時の処理の一例を示すフローチャート（その２）である。
【図１４】図１４は、緊急パケットの送信時の処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に添付図面を参照して、本発明にかかる通信装置、通信システムおよび通信方法の実施の形態を詳細に説明する。
【００１２】
（実施の形態）
（通信システムの構成）
図１は、実施の形態にかかる通信システムの構成例を示す図である。図１に示すように、実施の形態にかかる通信システム１００は、通信装置１１０（第一通信装置）と、通信装置１２０（第二通信装置）と、を含んでいる。通信装置１２０は、通信装置１１０による遠隔操作の対象の通信装置である。通信装置１２０には、たとえば、移動局と無線通信を行う基地局などを適用することができる。基地局としては、たとえばＬＴＥなどに規定されるｅＮＢ（ｅｖｏｌｕｔｉｏｎａｌ Ｎｏｄｅ Ｂ）などがあげられる。
【００１３】
通信装置１１０には、たとえば、ＬＴＥに規定されるＯＰＥ（Ｏｐｅｒａｔｉｏｎ Ｅｑｕｉｐｍｅｎｔ）やＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ：移動性管理エンティティ）などを適用することができる。
【００１４】
通信装置１１０と通信装置１２０との間の区間にはセキュリティ経路１０１が確立される。セキュリティ経路１０１は、たとえば、パケットが暗号化されて伝送される、セキュリティが確保された経路である。たとえば、セキュリティ経路１０１は、ＩＰｓｅｃによって確立されるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）である。
【００１５】
セキュリティ経路１０１は、たとえば通信装置１２０における障害などによって切断される場合もある。また、セキュリティ経路１０１は、通信装置１１０と通信装置１２０の間の全区間において確立されていなくてもよい。たとえば、通信装置１１０と通信装置１２０との間にセキュリティＧＷ（ＧａｔｅＷａｙ）が設けられており、セキュリティＧＷと通信装置１２０との間においてセキュリティ経路１０１が確立されていてもよい。
【００１６】
セキュリティＧＷと通信装置１２０との間においてセキュリティ経路１０１が確立されている場合は、通信装置１１０は、セキュリティＧＷを経由することで、セキュリティ経路１０１を用いて通信装置１２０と通信を行うことができる。また、この場合は、通信装置１１０とセキュリティＧＷとの間の区間の経路は、専用線になっているなど、セキュリティが確保されていることが望ましい。
【００１７】
＜操作側の通信装置について＞
通信装置１１０は、所定の動作を実行させるコマンドを含むパケットを通信装置１２０へ送信することで通信装置１２０を遠隔操作する。通信装置１１０から通信装置１２０へのパケットは、たとえば、通信装置１２０の障害発生時などの緊急時に送信される。以下、通信装置１１０が通信装置１２０へ送信するパケットを緊急パケットと称する。
【００１８】
緊急パケットに含まれるコマンドが指示する所定の動作は、たとえば、リスタート（再起動）、上位装置（たとえば通信装置１１０）からのデータのダウンロード、上位装置へのデータのアップロード、または迂回経路による通信の開始などである。上位装置からのデータのダウンロードは、たとえば、上位装置からのプログラムや設定値の修正データ（パッチ）などのダウンロードである。上位装置へのデータのアップロードは、たとえば、通信装置１２０の状態を示す情報のアップロードである。
【００１９】
具体的には、通信装置１１０は、判定部１１１と、取得部１１２と、送信部１１３と、を備えている。また、通信装置１１０は、設定部１１４を備えていてもよい。
【００２０】
判定部１１１は、通信装置１１０が通信装置１２０への緊急パケット（コマンド）を送信する場合に、通信装置１１０（自装置）と通信装置１２０との間にセキュリティ経路１０１が確立されているか否かを判定する。セキュリティ経路１０１が確立されているか否かの判定は、たとえば、セキュリティ経路１０１を用いた通信装置１２０との通信の成否確認や、通信装置１２０やセキュリティＧＷからの通知信号に基づいて行うことができる。判定部１１１は、判定結果を送信部１１３へ通知する。
【００２１】
取得部１１２は、送信側鍵情報を取得する。送信側鍵情報は、通信装置１２０が取得する受信側鍵情報と所定の対応関係を有する鍵情報である。すなわち、送信側鍵情報は、通信装置１２０において通信装置１１０を認証可能な鍵情報である。たとえば、送信側鍵情報は、受信側鍵情報と同一の鍵情報である。または、送信側鍵情報は、所定の演算により送信側鍵情報との対応が確認可能な鍵情報である。たとえば、送信側鍵情報は、所定のアルゴリズムにより算出されるハッシュ値が送信側鍵情報と同一の情報などである。
【００２２】
たとえば、送信側鍵情報は通信装置１１０のメモリ（たとえば不揮発メモリ）に記憶されており、取得部１１２は通信装置１１０のメモリから送信側鍵情報を取得する。または、通信装置１１０のメモリには送信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部１１２は、通信装置１１０のメモリに記憶された関数やパラメータなどによって送信側鍵情報を算出することで送信側鍵情報を取得してもよい。取得部１１２は、取得した送信側鍵情報を送信部１１３へ出力する。
【００２３】
送信部１１３は、たとえば通信装置１２０の障害発生時などの緊急時に緊急パケットを送信する。たとえば、通信装置１１０は、通信装置１２０の障害を検出する検出部を備え、送信部１１３は、検出部によって通信装置１２０の障害が検出された場合に緊急パケットを送信する。または、判定部１１１は、たとえば通信装置１１０の操作者による操作、または他の通信装置からのコマンド受信などによって緊急パケットを送信してもよい。
【００２４】
また、送信部１１３は、セキュリティ経路１０１が確立されていない旨の判定結果が判定部１１１から通知された場合に、取得部１１２から出力された送信側鍵情報と、所定の動作を実行させるコマンドと、を含む緊急パケットを通信装置１２０へ送信する。この場合は、セキュリティ経路１０１が確立されていないため、緊急パケットは暗号化されずに通信装置１２０へ送信される。
【００２５】
また、送信部１１３は、セキュリティ経路１０１が確立されている旨の判定結果が判定部１１１から通知されている場合には、コマンドを含む緊急パケットを通信装置１２０へ送信する。この場合は、セキュリティ経路１０１が確立されているため、緊急パケットは暗号化されて通信装置１２０へ送信される。
【００２６】
設定部１１４は、通信装置１２０の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部１１２によって取得される送信側鍵情報として設定する。設定部１１４による送信側鍵情報の設定は、たとえばセキュリティ経路１０１を用いた通信装置１２０との通信によって行う。たとえば、設定部１１４は、送信側鍵情報を通信装置１１０のメモリに記憶させる。または、設定部１１４は、送信側鍵情報を算出するための関数やパラメータなどを通信装置１１０のメモリに記憶させる。
【００２７】
たとえば、設定部１１４は、通信装置１１０に送信側鍵情報を設定するとともに、設定する送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１２０へ送信する。または、設定部１１４は、通信装置１２０に設定された受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１２０から受信する。そして、設定部１１４は、受信した信号に基づいて送信側鍵情報を設定する。これにより、設定部１１４は、通信装置１２０の受信側鍵情報と所定の対応関係を有する鍵情報を、取得部１１２によって取得される送信側鍵情報として設定することができる。
【００２８】
＜被操作側の通信装置について＞
通信装置１２０は、通信装置１１０による遠隔操作の対象の通信装置である。通信装置１２０は、通信装置１１０から送信された緊急パケットに含まれるコマンドに基づく所定の動作を実行する。具体的には、通信装置１２０は、受信部１２１と、取得部１２２と、判定部１２３と、実行部１２４と、を備えている。また、通信装置１２０は、設定部１２５を備えていてもよい。
【００２９】
受信部１２１は、たとえば通信装置１１０から、所定の動作を実行させるコマンドおよび鍵情報を含む緊急パケットを受信する。また、受信部１２１は、通信装置１１０とは異なる他の通信装置からの緊急パケットも受信してもよい。受信部１２１は、受信した緊急パケットに含まれる鍵情報を判定部１２３へ出力する。また、受信部１２１は、受信した緊急パケットに含まれるコマンドを実行部１２４へ出力する。
【００３０】
取得部１２２は、通信装置１１０が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する。たとえば、受信側鍵情報は通信装置１２０のメモリ（たとえば不揮発メモリ）に記憶されており、取得部１２２は通信装置１２０のメモリから受信側鍵情報を取得する。または、通信装置１２０のメモリには受信側鍵情報を算出する関数やパラメータなどが記憶されており、取得部１２２は、通信装置１２０のメモリに記憶された関数やパラメータなどによって受信側鍵情報を算出することで受信側鍵情報を取得してもよい。取得部１２２は、取得した受信側鍵情報を判定部１２３へ出力する。
【００３１】
判定部１２３は、受信部１２１から出力された鍵情報と、取得部１２２から出力された受信側鍵情報と、が所定の対応関係を有するか否かを判定する。これにより、受信部１２１によって受信された緊急パケットが、通信装置１１０から送信されたものか否かを判定することができる。判定部１２３は、判定結果を実行部１２４へ通知する。
【００３２】
実行部１２４は、各鍵情報が所定の対応関係を有する旨の判定結果が判定部１２３から通知された場合に、受信部１２１から出力されたコマンドに基づく動作を実行する。たとえば、リスタートを実行させるコマンドが受信部１２１から出力された場合は、実行部１２４は、通信装置１２０をリスタートさせる。
【００３３】
これにより、受信した緊急パケットが通信装置１１０から送信されたものである場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行することができる。このため、セキュリティ経路１０１が確立されていない状態であっても、安全に緊急パケットの疎通を行い、緊急パケットにより通信装置１２０を操作することができる。したがって、たとえば通信装置１２０の障害からの復旧などを行うことができる。
【００３４】
また、実行部１２４は、各鍵情報が所定の対応関係を有していない旨の判定結果が判定部１２３から通知された場合は、受信部１２１から出力されたコマンドに基づく動作を実行しない。これにより、受信した緊急パケットが通信装置１１０から送信されたものでない場合は、受信した緊急パケットに含まれるコマンドに基づく動作を実行しないようにすることができる。このため、たとえば、通信装置１１０とは異なる通信装置から悪意により送信された緊急パケット（たとえば外部からのリスタート攻撃）により通信装置１２０が操作されることを回避することができる。
【００３５】
設定部１２５は、通信装置１１０の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部１２２によって取得される受信側鍵情報として設定する。設定部１２５による受信側鍵情報の設定は、たとえばセキュリティ経路１０１を用いた通信装置１１０との通信によって行う。たとえば、設定部１２５は、受信側鍵情報を通信装置１２０のメモリに記憶させる。または、設定部１２５は、受信側鍵情報を算出するための関数やパラメータなどを通信装置１２０のメモリに記憶させる。
【００３６】
たとえば、設定部１２５は、通信装置１２０に受信側鍵情報を設定するとともに、設定する受信側鍵情報と所定の対応関係を有する送信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１１０へ送信する。または、設定部１２５は、通信装置１１０に設定された送信側鍵情報と所定の対応関係を有する受信側鍵情報を設定することを指示する信号を、セキュリティ経路１０１を用いて通信装置１１０から受信する。そして、設定部１２５は、受信した信号に基づいて受信側鍵情報を設定する。これにより、設定部１２５は、通信装置１１０の送信側鍵情報と所定の対応関係を有する鍵情報を、取得部１２２によって取得される受信側鍵情報として設定することができる。
【００３７】
また、セキュリティ経路１０１を用いた通信装置１１０および通信装置１２０における鍵情報の設定には、たとえばＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ ｐｒｏｔｏｃｏｌ）などの鍵交換プロトコルを用いることができる。
【００３８】
＜各通信装置について＞
また、通信装置１１０の取得部１１２および通信装置１２０の取得部１２２は、通信装置１１０から通信装置１２０へ緊急パケットを送信するごとに異なる送信側鍵情報および受信側鍵情報を取得するようにしてもよい。たとえば、通信装置１１０および通信装置１２０のそれぞれのメモリに、所定の対応関係を有する送信側鍵情報および受信側鍵情報を複数組記憶しておく。
【００３９】
そして、取得部１１２，１２２は、緊急パケットの送信ごとに異なる送信側鍵情報および受信側鍵情報をメモリから取得する。これにより、たとえば通信装置１１０から通信装置１２０へ送信された緊急パケットを盗まれても、盗まれた緊急パケットでは通信装置１２０を動作させることができないため、セキュリティを向上させることができる。
【００４０】
また、取得部１１２，１２２は、それぞれ設定部１１４，１２５によって設定されてから一定の期間が経過した送信側鍵情報および受信側鍵情報は取得しないようにしてもよい。これにより、たとえば通信装置１１０または通信装置１２０から送信側鍵情報または受信側鍵情報が盗まれたり、通信装置１１０から通信装置１２０へ送信された緊急パケットを盗まれたりしても、盗まれた鍵情報は一定時間後に使用できなくなる。このため、セキュリティを向上させることができる。
【００４１】
また、通信装置１１０は、取得部１１２によって取得された送信側鍵情報を暗号化する暗号化部を備えていてもよい。送信部１１３は、暗号化部によって暗号化された送信側鍵情報を含むパケットを送信する。この場合は、通信装置１２０は、受信部１２１によって受信した緊急パケットに含まれ、暗号化された送信側鍵情報を復号する復号部を備える。判定部１２３は、復号部によって復号された送信側鍵情報に基づく判定を行う。
【００４２】
これにより、たとえば、通信装置１１０または通信装置１２０から送信側鍵情報または受信側鍵情報が盗まれても、盗まれた受信側鍵情報は、暗号化のアルゴリズムや暗号鍵などがなければ使用できない。このため、セキュリティを向上させることができる。暗号化および復号には、たとえば、ＡＥＳ、ＤＥＳなどの共通鍵方式や、ＲＳＡなどの公開鍵方式など、各種のアルゴリズムを用いることができる。
【００４３】
また、通信装置１２０の再起動を指示するコマンドを含むパケットを通信装置１１０から通信装置１２０へ送信する場合について説明する。この場合において、通信装置１２０の実行部１２４は、自装置の再起動（通信装置１１０からのコマンドに基づくものも含む）を行ってから一定の時間が経過するまでの期間を抑止期間としてもよい。
【００４４】
そして、抑止期間においては、実行部１２４は、通信装置１１０からのコマンドに基づく再起動を実行しないようにする。これにより、たとえば通信装置１１０とは異なる通信装置から緊急パケットを連続して送信するリスタート攻撃を受けても、再起動を繰り返すことを回避することができる。このため、通信装置１２０の復旧ができなくなることを回避し、セキュリティを向上させることができる。
【００４５】
図２は、図１に示した通信システムの適用例である。図２に示す通信システム２００は、図１に示した通信システム１００を適用した通信システムである。通信システム２００は、ＯＰＥ２１０と、ＭＭＥ２２０と、セキュリティＧＷ２３１，２３２と、ｅＮＢ２４１〜２４３と、ＵＥ２５１〜２５３と、コアネットワーク２６０と、を含んでいる。
【００４６】
図１に示した通信装置１１０は、たとえばＯＰＥ２１０やＭＭＥ２２０に適用することができる。また、図１に示した通信装置１２０は、たとえばｅＮＢ２４１〜２４３に適用することができる。ＯＰＥ２１０は、セキュリティＧＷ２３１を介してｅＮＢ２４１〜２４３に接続されている。ＯＰＥ２１０は、ｅＮＢ２４１〜２４３の保守を行う。
【００４７】
セキュリティＧＷ２３１は、ＯＰＥ２１０とｅＮＢ２４１〜２４３との間に設けられるゲートウェイである。セキュリティＧＷ２３１は、ｅＮＢ２４１〜２４３との間でセキュリティ経路を確立する。セキュリティＧＷ２３２は、ＭＭＥ２２０とｅＮＢ２４１〜２４３との間に設けられるゲートウェイである。セキュリティＧＷ２３２は、ｅＮＢ２４１〜２４３との間でセキュリティ経路を確立する。
【００４８】
ＭＭＥ２２０は、セキュリティＧＷ２３２を介してｅＮＢ２４１〜２４３に接続されている。また、ＭＭＥ２２０は、コアネットワーク２６０に接続されている。ＭＭＥ２２０は、ｅＮＢ２４１〜２４３とＵＥ２５１〜２５３との間のネットワークに制御のＣ−ｐｌａｎｅ（制御信号系）を収容する。たとえば、ＭＭＥ２２０は、ＵＥ２５１〜２５３の位置登録や、呼び出し、ハンドオーバなどのモビリティ管理を行う。また、ＭＭＥ２２０は、ｅＮＢ２４１〜２４３の保守を行ってもよい。
【００４９】
ｅＮＢ２４１〜２４３は、それぞれＵＥ２５１〜２５３との間で無線通信を行うことで、それぞれＵＥ２５１〜２５３とコアネットワーク２６０との間の通信を中継する。ＵＥ２５１〜２５３（Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ：ユーザ端末）は、それぞれｅＮＢ２４１〜２４３のセルに在圏している移動局である。ＵＥ２５１〜２５３は、それぞれｅＮＢ２４１〜２４３の中継によりコアネットワーク２６０との間で通信を行う。
【００５０】
区間２０１は、ＯＰＥ２１０とセキュリティＧＷ２３１の間の区間、あるいはＭＭＥ２２０とセキュリティＧＷ２３２の間の区間を示している。区間２０１は、パケットが暗号化されずに伝送される非暗号通信区間となる。区間２０２は、セキュリティＧＷ２３１，２３２と、ｅＮＢ２４１〜２４３と、の間の区間を示している。区間２０２は、セキュリティ経路が確立されるため、パケットが暗号化されて伝送される暗号通信区間となる。
【００５１】
（通信システムの動作）
図３は、図２に示した通信システムの動作例１を示すシーケンス図である。図３においては、ＯＰＥ２１０がｅＮＢ２４１を保守する場合の、ＯＰＥ２１０、セキュリティＧＷ２３１およびｅＮＢ２４１の動作について説明する。鍵状態３０１〜３０３は、ＯＰＥ２１０およびｅＮＢ２４１に設定された鍵情報の状態を示している。
【００５２】
鍵状態３０１に示すように、たとえば工場出荷時の初期設定により、ＯＰＥ２１０およびｅＮＢ２４１には、鍵情報＃１，＃２，＃３が設定されているとする。鍵情報＃１，＃２，＃３の状態（たとえば図１０参照）は「初期設定」となる。また、ＯＰＥ２１０およびｅＮＢ２４１には、鍵情報が３つずつ設定されるとする。
【００５３】
＜初期設定後の鍵更新＞
たとえばｅＮＢ２４１の電源投入（起動）時に、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ３０１）。つぎに、セキュリティＧＷ２３１が、ステップＳ３０１によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ３０２）。
【００５４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ３０３）。つぎに、セキュリティＧＷ２３１が、ステップＳ３０３によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ３０４）。ステップＳ３０１〜Ｓ３０４により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路３１１が確立される。
【００５５】
つぎに、ｅＮＢ２４１が、鍵状態３０１が示す各鍵情報の状態が「初期設定」であるため、新たな鍵情報＃４，＃５，＃６を自身に設定する。そして、ｅＮＢ２４１は、ステップＳ３０１〜Ｓ３０４によって確立されたセキュリティ経路３１１を用いて、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ３０５）。
【００５６】
つぎに、ＯＰＥ２１０が、ステップＳ３０５によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身に設定する。そして、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６を設定したことを示す緊急鍵交換パケットを、セキュリティ経路３１１を用いてｅＮＢ２４１へ送信する（ステップＳ３０６）。
【００５７】
ステップＳ３０５〜Ｓ３０６により、鍵状態３０２に示すように、ＯＰＥ２１０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃４，＃５，＃６となる。また、鍵情報＃４，＃５，＃６の各状態は「更新」となる。
【００５８】
＜セキュリティ経路確立状態の緊急パケット発行＞
セキュリティ経路３１１が確立された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ３０７）。ｅＮＢ２４１の障害の検出は、たとえば、ｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【００５９】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ３０８）。ステップＳ３０８において、ＯＰＥ２１０は、セキュリティ経路３１１が確立されているため、鍵情報を緊急パケットに付加しなくてもよい。つぎに、ｅＮＢ２４１が、ステップＳ３０８によって送信された緊急パケットに基づいてリスタートを行う（ステップＳ３０９）。
【００６０】
つぎに、ｅＮＢ２４１が、ステップＳ３０９によってリスタートしたため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ３１０）。つぎに、セキュリティＧＷ２３１が、ステップＳ３１０によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ３１１）。
【００６１】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ３１２）。つぎに、セキュリティＧＷ２３１が、ステップＳ３１２によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ３１３）。ステップＳ３１０〜Ｓ３１３により、ｅＮＢ２４１とセキュリティＧＷ２３１の間で新たなＩＫＥのセキュリティ経路３１２が確立される。
【００６２】
つぎに、ステップＳ３１０〜Ｓ３１３によって確立されたセキュリティ経路３１１に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路３１１の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ３１４）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ３１５）。ステップＳ３１４，Ｓ３１５によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路３１２が切断される。
【００６３】
＜セキュリティ経路切断状態の緊急パケット発行＞
セキュリティ経路３１２が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ３１６）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【００６４】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ３１７）。ステップＳ３１７において、ＯＰＥ２１０は、セキュリティ経路３１２が切断されているため、自身に設定されている鍵情報＃４，＃５，＃６のうちの鍵番号が最も小さい鍵情報＃４を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃４を所定の方式によって暗号化し、暗号化した鍵情報＃４を緊急パケットに付加してもよい。また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃４を自身の設定から削除する。
【００６５】
つぎに、ｅＮＢ２４１が、ステップＳ３１７によって送信された緊急パケットに含まれる鍵情報＃４が、自身に設定された鍵情報＃４と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ３１８）。また、ｅＮＢ２４１は、鍵情報＃４を含む緊急パケットを受信したため、自身に設定された鍵情報＃４を削除する。
【００６６】
これにより、鍵状態３０３に示すように、ＯＰＥ２１０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃５，＃６となる。また、ＯＰＥ２１０およびｅＮＢ２４１に設定される各鍵情報のうちの１つの状態は「未設定」となる。図３に示したように、ＯＰＥ２１０およびｅＮＢ２４１は、ＩＫＥを用いて緊急鍵交換パケットを送受信することで、鍵情報を交換することができる。このように、汎用的な鍵交換プロトコルを利用することで、各装置において鍵交換のための機能を容易に実現することができる。
【００６７】
（ハードウェア構成）
図４−１は、ｅＮＢのハードウェア構成の一例を示す図である。ここではｅＮＢ２４１について説明するが、ｅＮＢ２４２，２４３にも同様の構成を適用することができる。図４−１に示すように、ｅＮＢ２４１は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、受信インタフェース４０７と、送信インタフェース４０８と、物理インタフェース４０９と、無線制御部４１０と、フラッシュメモリ４１２と、リアルタイムクロック４１４と、を備えている。
【００６８】
ＣＰＵ４０１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）は、ｅＮＢ２４１の全体の制御を司るホストプロセッサ（Ｈｏｓｔ Ｐｒｏｃｅｓｓｏｒ）である。メモリコントローラ４０２（Ｍｅｍｏｒｙ Ｃｏｎｔｒｏｌｌｅｒ）は、ＣＰＵ４０１およびメモリコントローラ４０２からの制御に基づいて、メモリ４０３へのデータの書き込みおよびメモリ４０３からのデータの読み出しを制御する。
【００６９】
メモリ４０３（Ｍｅｍｏｒｙ）は、ローカルメモリ（Ｌｏｃａｌ Ｍｅｍｏｒｙ）である。ＰＣＩ４０４は、リアルタイムクロック４１４やフラッシュメモリ４１２などが接続される外部インタフェースである。ＰＣＩ４０４は、たとえばＣＰＵ４０１によって制御される。また、ＰＣＩ４０４は、ＣＰＵ４０１を介してＮＷＰ４０５によって制御されてもよい。
【００７０】
ＮＷＰ４０５は、ＣＰＵ４０１からの制御に基づいてｅＮＢ２４１の通信を制御するネットワークプロセッサ（Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）である。ＮＷＰ４０５は、ＩＰＳｅｃの終端処理、ＩＫＥの処理、プロトコルの終端処理、鍵情報の生成処理、暗号化および復号の処理などを行う。ＮＷＰ４０５は、たとえばＣＰＵ４０１によって実行されるプログラムによってソフトウェアとして実現してもよい。
【００７１】
受信インタフェース４０７（Ｒｅｃｅｉｖｅｒ）は、ＮＷＰ４０５からの制御に基づいて、物理インタフェース４０９を介してデータの受信を行うインタフェースである。送信インタフェース４０８（Ｔｒａｎｓｍｉｔｔｅｒ）は、ＮＷＰ４０５からの制御に基づいて、物理インタフェース４０９を介してデータの送信を行うインタフェースである。物理インタフェース４０９（ＰＨＹ）は、ネットワークに接続される通信インタフェースである。たとえば、物理インタフェース４０９は、セキュリティＧＷ２３１，２３２と有線通信を行う物理インタフェースと、ＵＥ２５１との間で無線通信を行う物理インタフェースと、を含む。
【００７２】
無線制御部４１０（Ｒａｄｉｏ Ｃｏｎｔｒｏｌｌｅｒ）は、ＮＷＰ４０５からの制御に基づいて無線通信の制御を行う。たとえば、無線制御部４１０は、ＮＷＰ４０５を介して受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９を制御することで、ｅＮＢ２４１とＵＥ２５１との間の無線通信を制御する。
【００７３】
フラッシュメモリ４１２（ＦＬＡＳＨ Ｍｅｍｏｒｙ）は、ＰＣＩ４０４に接続された不揮発メモリである。リアルタイムクロック４１４（ＲＴＣ：Ｒｅａｌ Ｔｉｍｅ Ｃｌｏｃｋ）は、現在時刻を出力する時計回路であり、ＰＣＩ４０４に接続されている。
【００７４】
図１に示した受信部１２１は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した取得部１２２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した判定部１２３は、たとえばＣＰＵ４０１およびＮＷＰ４０５によって実現することができる。図１に示した実行部１２４は、たとえばＣＰＵ４０１によって実現することができる。図１に示した設定部１２５は、たとえばメモリコントローラ４０２およびＮＷＰ４０５によって実現することができる。
【００７５】
図４−２は、ＯＰＥのハードウェア構成の一例を示す図である。図４−２において、図４−１に示した部分と同様の部分については同一の符号を付して説明を省略する。図４−２に示すように、ＯＰＥ２１０は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、受信インタフェース４０７と、送信インタフェース４０８と、物理インタフェース４０９と、無線制御部４１０と、フラッシュメモリ４１２と、ユーザインタフェース４１３と、リアルタイムクロック４１４と、を備えている。
【００７６】
ＯＰＥ２１０の物理インタフェース４０９は、たとえば、セキュリティＧＷ２３１を介してｅＮＢ２４１〜２４３と有線通信を行う物理インタフェースを含む。ユーザインタフェース４１３（Ｉ／Ｏ：Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）は、ｅＮＢ２４１とユーザとの間のインタフェースであり、ＰＣＩ４０４に接続されている。ユーザインタフェース４１３は、たとえばディスプレイやキーボードなどである。ＯＰＥ２１０のユーザインタフェース４１３は、たとえば、ＯＰＥ２１０に対して緊急パケットの送信を指示する操作をユーザから受け付ける。また、ユーザインタフェース４１３は、ＯＰＥ２１０による緊急パケットの送信結果などをユーザへ通知してもよい。
【００７７】
図１に示した判定部１１１は、たとえばＮＷＰ４０５によって実現することができる。図１に示した取得部１１２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した送信部１１３は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した設定部１１４は、たとえばメモリコントローラ４０２、メモリ４０３およびＮＷＰ４０５によって実現することができる。
【００７８】
図４−３は、ＭＭＥのハードウェア構成の一例を示す図である。図４−３において、図４−１または図４−２に示した部分と同様の部分については同一の符号を付して説明を省略する。図４−３に示すように、ＭＭＥ２２０は、たとえば、ＣＰＵ４０１と、メモリコントローラ４０２と、メモリ４０３と、ＰＣＩ４０４と、ＮＷＰ４０５と、コアネットワーク制御部４１１と、フラッシュメモリ４１２と、リアルタイムクロック４１４と、を備えている。ＭＭＥ２２０のコアネットワーク制御部４１１（Ｃｏｒｅ Ｃｏｎｔｒｏｌｌｅｒ）は、ＮＷＰ４０５からの制御に基づいて、コアネットワーク２６０との間の通信を制御する。
【００７９】
図１に示した判定部１１１は、たとえばＮＷＰ４０５によって実現することができる。図１に示した取得部１１２は、たとえばメモリコントローラ４０２およびメモリ４０３によって実現することができる。図１に示した送信部１１３は、たとえばＮＷＰ４０５、送信インタフェース４０８および物理インタフェース４０９によって実現することができる。図１に示した設定部１１４は、たとえばメモリコントローラ４０２、メモリ４０３およびＮＷＰ４０５によって実現することができる。
【００８０】
（機能的構成）
図５−１は、ｅＮＢの機能的構成の一例を示す図である。ここではｅＮＢ２４１について説明するが、ｅＮＢ２４２，２４３にも同様の構成を適用することができる。図５−１に示すように、ｅＮＢ２４１は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、無線制御部５０６と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、装置制御部５１２と、を備えている。
【００８１】
信号インタフェース５０１は、装置間のパケット送受信を行う。たとえば、信号インタフェース５０１は、送信時は外部装置へパケット送信を行う。また、信号インタフェース５０１は、受信時は受信パケットのプロトコル解析を行い、対応する終端機能部へ通知する。ｅＮＢ２４１の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３１との間で通信を行う。信号インタフェース５０１は、たとえば図４−１に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。
【００８２】
ＩＫＥ終端部５０２は、ＩＫＥパケットを終端する。具体的には、ＩＫＥ終端部５０２は、ＩＰｓｅｃに関するＩＫＥ＿ＳＡ、ＣＨＩＬＤ＿ＳＡなどのＩＫＥパケットを、信号インタフェース５０１を介して送受信する。また、ＩＫＥ終端部５０２は、鍵情報を含むＳＡの生成、更新、削除などを行う。ＩＫＥ終端部５０２は、ＩＫＥによる鍵交換の結果を鍵管理部５０８へ出力する。ＩＫＥ終端部５０２は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８３】
ＩＰｓｅｃ終端部５０３は、ＩＰｓｅｃパケットを終端する。具体的には、ＩＰｓｅｃ終端部５０３は、平文パケットを暗号化し、暗号化した平分パケットを、信号インタフェース５０１を介して外部装置に送信する。また、ＩＰｓｅｃ終端部５０３は、信号インタフェース５０１を介して受信した暗号パケットを復号して各機能部に出力する。また、ＩＰｓｅｃ終端部５０３は、ＩＰｓｅｃが確立されていない場合は平文の緊急パケットを緊急パケット鍵交換部５０４に出力する。ＩＰｓｅｃ終端部５０３は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８４】
緊急パケット鍵交換部５０４は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を介して、緊急パケット用の鍵交換パケットを終端する。具体的には、信号インタフェース５０１は、緊急鍵交換パケットを外部装置へ送信する。また、信号インタフェース５０１は、緊急鍵交換パケットを受信し、受信した緊急鍵交換パケットを鍵管理部５０８へ出力する。緊急パケット鍵交換部５０４は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８５】
パケット送受信部５０５は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を介して、緊急パケットの送受信を行う。ｅＮＢ２４１のパケット送受信部５０５は、緊急パケットを受信して、受信した緊急パケットに含まれるコマンドを装置制御部５１２へ出力する。パケット送受信部５０５は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８６】
無線制御部５０６は、ＵＥ２５１との間の無線通信の制御を行う。たとえば、無線制御部５０６は、無線リソース管理、ＵＥ２５１における基地局間のハンドオーバ、無線プロトコル変換などを行う。無線制御部５０６は、たとえば図４−１に示した無線制御部４１０などによって実現することができる。
【００８７】
鍵管理部５０８は、鍵情報および鍵情報に関する情報を含む鍵管理情報（たとえば図１０参照）を管理することにより、緊急パケット用の鍵生成、更新、削除などを行う。具体的には、鍵管理部５０８は、鍵交渉に用いる鍵データを生成し、生成した鍵データを緊急パケット鍵交換部５０４（またはＩＫＥ終端部５０２）へ出力する。また、鍵管理部５０８は、受信した鍵データに基づいて鍵情報を生成し、生成した鍵情報を不揮発メモリに登録する。鍵管理部５０８は、たとえば図４−１に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【００８８】
タイマ５０９は、時刻情報の通知を行う。たとえば鍵管理部５０８から指定された時刻に対して、現在時刻の超過の有無などを通知する。タイマ５０９は、たとえば図４−１に示したリアルタイムクロック４１４などによって実現することができる。ｅＮＢ２４１の鍵暗号部５１０は、緊急パケットの鍵情報の復号を行う。鍵暗号部５１０は、たとえば図４−１に示したＮＷＰ４０５などによって実現することができる。
【００８９】
装置制御部５１２は、自装置の制御を行う。たとえば、装置制御部５１２は、パケット送受信部５０５から出力されたコマンドに基づいて、リスタート、ダウンロード、アップロードなどの復旧動作を行う。装置制御部５１２は、たとえば図４−１に示したＣＰＵ４０１などによって実現することができる。
【００９０】
図５−２は、ＯＰＥの機能的構成の一例を示す図である。図５−２において、図５−１に示した部分と同様の部分については同一の符号を付して説明を省略する。図５−２に示すように、ＯＰＥ２１０は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、隣接装置制御部５１１と、装置制御部５１２と、を備えている。
【００９１】
ＯＰＥ２１０の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３１との間で通信を行う。ＯＰＥ２１０のパケット送受信部５０５は、たとえば隣接装置制御部５１１の制御により、ＩＰｓｅｃ終端部５０３および信号インタフェース５０１を介して緊急パケットを送信する。
【００９２】
ＯＰＥ２１０の鍵暗号部５１０は、パケット送受信部５０５によって送信する緊急パケットの鍵情報の暗号化を行う。隣接装置制御部５１１は、たとえばｅＮＢ２４１などの隣接装置の制御を行う。たとえば、隣接装置制御部５１１は、ｅＮＢ２４１の障害の検出を行う。また、隣接装置制御部５１１は、たとえばパケット送受信部５０５を介してｅＮＢ２４１へ緊急パケットを送信し、ｅＮＢ２４１をリスタートさせる。隣接装置制御部５１１は、たとえば図４−２に示した無線制御部４１０などによって実現することができる。
【００９３】
信号インタフェース５０１は、たとえば図４−２に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。ＩＫＥ終端部５０２は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。ＩＰｓｅｃ終端部５０３は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。
【００９４】
緊急パケット鍵交換部５０４は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。パケット送受信部５０５は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。鍵管理部５０８は、たとえば図４−２に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【００９５】
タイマ５０９は、たとえば図４−２に示したリアルタイムクロック４１４などによって実現することができる。鍵暗号部５１０は、たとえば図４−２に示したＮＷＰ４０５などによって実現することができる。装置制御部５１２は、たとえば図４−２に示したＣＰＵ４０１などによって実現することができる。
【００９６】
図５−３は、ＭＭＥの機能的構成の一例を示す図である。図５−３において、図５−１または図５−２に示した部分と同様の部分については同一の符号を付して説明を省略する。図５−３に示すように、ＭＭＥ２２０は、たとえば、信号インタフェース５０１と、ＩＫＥ終端部５０２と、ＩＰｓｅｃ終端部５０３と、緊急パケット鍵交換部５０４と、パケット送受信部５０５と、コア制御部５０７と、鍵管理部５０８と、タイマ５０９と、鍵暗号部５１０と、隣接装置制御部５１１と、装置制御部５１２と、を備えている。
【００９７】
ＭＭＥ２２０の信号インタフェース５０１は、たとえば、セキュリティＧＷ２３２およびコアネットワーク２６０との間で通信を行う。ＭＭＥ２２０のパケット送受信部５０５は、たとえば隣接装置制御部５１１の制御により、ＩＰｓｅｃ終端部５０３および信号インタフェース５０１を介して緊急パケットを送信する。
【００９８】
ＭＭＥ２２０の鍵暗号部５１０は、パケット送受信部５０５によって送信する緊急パケットの鍵情報の暗号化を行う。コア制御部５０７は、信号インタフェース５０１およびＩＰｓｅｃ終端部５０３を用いたコアネットワーク２６０との間の通信を制御する。コア制御部５０７は、たとえば図４−３に示したコアネットワーク制御部４１１によって実現することができる。
【００９９】
信号インタフェース５０１は、たとえば図４−３に示した受信インタフェース４０７、送信インタフェース４０８および物理インタフェース４０９などによって実現することができる。ＩＫＥ終端部５０２は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。ＩＰｓｅｃ終端部５０３は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。
【０１００】
緊急パケット鍵交換部５０４は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。パケット送受信部５０５は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。鍵管理部５０８は、たとえば図４−３に示したＮＷＰ４０５およびフラッシュメモリ４１２などによって実現することができる。
【０１０１】
タイマ５０９は、たとえば図４−３に示したリアルタイムクロック４１４などによって実現することができる。鍵暗号部５１０は、たとえば図４−３に示したＮＷＰ４０５などによって実現することができる。隣接装置制御部５１１は、たとえば図４−３に示した無線制御部４１０などによって実現することができる。装置制御部５１２は、たとえば図４−３に示したＣＰＵ４０１などによって実現することができる。
【０１０２】
（緊急パケットの例）
図６は、セキュリティ経路の確立時における緊急パケットの一例を示す図である。図６に示す緊急パケット６００は、たとえばセキュリティＧＷ２３１とｅＮＢ２４１との間でセキュリティ経路が確立されている場合にＯＰＥ２１０からｅＮＢ２４１へ送信される緊急パケットの一例である。緊急パケット６００の「ＩＣＭＰヘッダ」に含まれる「Ｔｙｐｅ」は、緊急パケット６００の種類を示している。たとえば「Ｔｙｐｅ」が「ｌ」である場合は、緊急パケット６００が鍵情報を含まない緊急パケットであることを示す。
【０１０３】
「Ｔｙｐｅ」が「ｍ」である場合は、緊急パケット６００が鍵情報を含む緊急パケットであることを示す。「Ｔｙｐｅ」が「ｎ」である場合は、緊急パケット６００が、暗号化された鍵情報を含む緊急パケットであることを示す。セキュリティ経路の確立時に送信される緊急パケット６００は鍵情報を含まないため、緊急パケット６００の「Ｔｙｐｅ」は「ｌ」となる。
【０１０４】
「ＩＣＭＰヘッダ」に含まれる「Ｃｏｄｅ」は、緊急パケット６００の送信先（たとえばｅＮＢ２４１）に指示する動作の種類を示すコマンドである。たとえば「Ｃｏｄｅ」が「ｓ」である場合は、緊急パケット６００の送信先に対するリスタートの指示を示す。「Ｃｏｄｅ」が「ｔ」である場合は、緊急パケット６００の送信先に対する上位装置からのダウンロード転送の指示を示す。「Ｃｏｄｅ」が「ｕ」である場合は、緊急パケット６００の送信先に対する上位装置からのダウンロード書込の指示を示す。
【０１０５】
「Ｃｏｄｅ」が「ｖ」である場合は、緊急パケット６００の送信先に対する上位装置へのアップロード転送の指示を示す。「Ｃｏｄｅ」が「ｗ」である場合は、緊急パケット６００の送信先に対する上位装置へのアップロード書込の指示を示す。「Ｃｏｄｅ」が「ｘ」である場合は、緊急パケット６００の送信先に対する上位装置への状態通知の指示を示す。「ＩＣＭＰデータ」に含まれる「ペイロード」は、たとえば「Ｃｏｄｅ」が「ｔ」や「ｕ」である場合のダウンロードデータなどを含むデータである。
【０１０６】
図７は、セキュリティ経路の非確立時における緊急パケットの一例を示す図である。図７において、図６に示した部分と同様の部分については説明を省略する。図７に示す緊急パケット７００は、たとえばセキュリティＧＷ２３１とｅＮＢ２４１との間でセキュリティ経路が確立されていない場合に、ＯＰＥ２１０からｅＮＢ２４１へ送信される緊急パケットの一例である。セキュリティ経路の確立時に送信される緊急パケット７００は鍵情報を含むため、緊急パケット７００の「Ｔｙｐｅ」は「ｍ」または「ｎ」となる。
【０１０７】
「鍵情報」は、ＯＰＥ２１０とｅＮＢ２４１との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれかの鍵情報である。「鍵情報」は、暗号化されていてもよい。「鍵番号」は、「鍵情報」が示す鍵情報が、ＯＰＥ２１０とｅＮＢ２４１との間であらかじめ緊急鍵交換パケットによって交換した鍵情報のうちのいずれの鍵情報であるかを示す情報である。
【０１０８】
（緊急鍵交換パケットの例）
図８は、緊急鍵交換パケットの一例を示す図である。図８に示す緊急鍵交換パケット８００は、たとえばＯＰＥ２１０からｅＮＢ２４１へ送信される緊急鍵交換パケットの一例である。ただし、ｅＮＢ２４１からＯＰＥ２１０へ送信される緊急鍵交換パケットや、ＯＰＥ２１０とＭＭＥ２２０との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット８００と同様である。
【０１０９】
「ＩＣＭＰヘッダ」に含まれる「Ｔｙｐｅ」は、パケットの種類を示している。たとえば「Ｔｙｐｅ」が「ｍ」である場合は、緊急鍵交換パケット８００が、「ＩＣＭＰデータ」に含まれる鍵情報の追加を指示する緊急鍵交換パケットであることを示す。「Ｔｙｐｅ」が「ｎ」である場合は、緊急鍵交換パケット８００が、「ＩＣＭＰデータ」に含まれる鍵情報の削除を指示する緊急鍵交換パケットであることを示す。
【０１１０】
「ＩＣＭＰデータ」には「鍵情報」および「鍵番号」の組が含まれる。また、緊急鍵交換パケット８００のように、「ＩＣＭＰデータ」には「鍵情報」および「鍵番号」の組が複数含まれていてもよい。この場合は、「鍵情報」および「鍵番号」の各組における「鍵番号」はそれぞれ異なる番号になる。
【０１１１】
図９は、緊急鍵交換パケットの他の例を示す図である。図９に示す緊急鍵交換パケット９００は、たとえばＯＰＥ２１０からｅＮＢ２４１へ送信される緊急鍵交換パケットの一例である。ただし、ｅＮＢ２４１からＯＰＥ２１０へ送信される緊急鍵交換パケットや、ＯＰＥ２１０とＭＭＥ２２０との間で送受信される緊急鍵交換パケットなども緊急鍵交換パケット９００と同様である。
【０１１２】
緊急鍵交換パケット９００は、ＩＫＥ＿ＳＡ＿ＩＮＩＴを用いた緊急鍵交換パケットである。たとえば、「ＩＫＥヘッダ」に含まれる「ＩＫＥ＿ＳＡ＿ＳＰＩ」に鍵番号を格納することができる。また、「ＩＫＥペイロード」に含まれる「鍵交換データ」に鍵情報を格納することができる。
【０１１３】
（鍵管理情報の例）
図１０は、鍵管理情報の一例を示す図である。図１０に示す鍵管理情報１０００は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８によって管理される鍵管理情報の一例である。鍵管理情報１０００には、「鍵情報１」〜「鍵情報３」と、「抑止期間」と、が含まれている。「鍵情報１」〜「鍵情報３」のそれぞれは、たとえばＯＰＥ２１０とｅＮＢ２４１との間で共有された鍵情報である。
【０１１４】
「鍵情報１」〜「鍵情報３」のそれぞれには、「番号」と、「状態」と、「鍵データ」と、「更新時間」と、が含まれている。「番号」は、「鍵情報１」〜「鍵情報３」を互いに識別する情報である。「状態」は、鍵情報の設定状態を示している。「状態」は、たとえば、鍵情報が初期値であることを示す「初期設定」、鍵情報が緊急鍵交換パケットによって更新された鍵情報であることを示す「更新」、鍵情報が設定されていない（空である）ことを示す「未設定」などの値をとる。
【０１１５】
「鍵データ」は、鍵情報同士を照合するためのデータである。「鍵データ」には、たとえば、照合対象のデータ、鍵長、照合のためのアルゴリズム（たとえばハッシュ値の算出方法）などの情報が含まれる。「更新時間」は、鍵情報が緊急鍵交換パケットによって更新された時間（時刻）を示す情報である。また、「鍵情報１」〜「鍵情報３」には有効期間がある。「鍵情報１」〜「鍵情報３」の有効期間は、たとえば「更新時間」から一定の時間が経過するまでの期間である。
【０１１６】
「抑止期間」は、ｅＮＢ２４１が緊急パケットに基づく動作（たとえばリスタート）を実行してから、一定の時間が経過するまでの期間である。「抑止期間」が示す期間においては、ｅＮＢ２４１は、緊急パケットを受信しても、受信した緊急パケットに基づく動作を実行しない。これにより、たとえば、ｅＮＢ２４１が緊急パケットに基づいてリスタートし、ＩＰｓｅｃが確立するまでに再度緊急パケットを受信しても、再度のリスタートを回避することができる。これにより、たとえばリスタート攻撃を回避することができる。
【０１１７】
（通信システムの動作例）
図１１−１は、図２に示した通信システムの動作例２を示すシーケンス図（その１）である。鍵状態１１０１〜１１１２は、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８に設定された鍵情報の状態を示している。ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の鍵管理部５０８（たとえば図４に示したフラッシュメモリ４１２）に、それぞれ対となる鍵情報を複数組記憶しておく。鍵状態１１０１に示すように、初期設定により、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１には、鍵情報＃１，＃２，＃３が設定されているとする。
【０１１８】
＜初期設定後の鍵更新＞
たとえばｅＮＢ２４１の電源投入（起動）時に、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１０１）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１０１によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１０２）。
【０１１９】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１０３）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１０３によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１０４）。ステップＳ１１０１〜Ｓ１１０４により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２１が確立される。
【０１２０】
つぎに、ｅＮＢ２４１が、鍵状態１１０１が示す各鍵情報の状態が「初期設定」であるため、新たな鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、ステップＳ１１０１〜Ｓ１１０４によって確立されたセキュリティ経路１１２１を用いて、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１０５）。
【０１２１】
つぎに、ＯＰＥ２１０が、ステップＳ１１０５によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２１を用いてｅＮＢ２４１へ送信する（ステップＳ１１０６）。
【０１２２】
また、ＯＰＥ２１０は、鍵情報＃４，＃５，＃６の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１０７）。これに対して、ＭＭＥ２２０は、ステップＳ１１０７によって送信された緊急鍵交換パケットに基づいて鍵情報＃４，＃５，＃６を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃４，＃５，＃６を複写することができる。
【０１２３】
ステップＳ１１０５〜Ｓ１１０７により、鍵状態１１０２に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃４，＃５，＃６となる。また、鍵情報＃４，＃５，＃６の各状態は「更新」となる。
【０１２４】
＜セキュリティ経路切断状態の緊急パケット発行＞
つぎに、セキュリティ経路１１２１に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２１の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１０８）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１０９）。ステップＳ１１０８，Ｓ１１０９によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２１が切断される。
【０１２５】
セキュリティ経路１１２１が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ１１１０）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。
【０１２６】
つぎに、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１１１）。ステップＳ１１１１において、ＯＰＥ２１０は、セキュリティ経路１１２１が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃４，＃５，＃６のうちの鍵番号が最も小さい鍵情報＃４を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃４を所定の方式によって暗号化し、暗号化した鍵情報＃４を緊急パケットに付加してもよい。
【０１２７】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃４を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃４の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１１２）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃４を削除する。
【０１２８】
つぎに、ｅＮＢ２４１が、ステップＳ１１１１によって送信された緊急パケットに含まれる鍵情報＃４が、自身の鍵管理部５０８に設定された鍵情報＃４と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ１１１３）。また、ｅＮＢ２４１は、鍵情報＃４を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃４を削除する。これにより、鍵状態１１０３に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃５，＃６となる。
【０１２９】
また、ステップＳ１１１３において、ｅＮＢ２４１は、鍵情報＃４のライフタイムが有効であるか否かを判定し、ライフタイムが有効である場合にリスタートを行うようにしてもよい。また、ステップＳ１１１３において、ｅＮＢ２４１は、抑止期間を経過しているか否かを判定し、抑止期間を経過している場合にリスタートを行うようにしてもよい。また、ステップＳ１１１３の後に、ｅＮＢ２４１は、連続緊急パケット抑止のための抑止期間を設定してもよい。
【０１３０】
つぎに、ｅＮＢ２４１が設定した抑止期間内に、ＯＰＥ２１０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信したとする（ステップＳ１１１４）。ステップＳ１１１４において、ＯＰＥ２１０は、セキュリティ経路１１２１が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃５，＃６のうちの鍵番号が最も小さい鍵情報＃５を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃５を所定の方式によって暗号化し、暗号化した鍵情報＃５を緊急パケットに付加してもよい。
【０１３１】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃５を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃５の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１１５）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃５を削除する。
【０１３２】
また、ｅＮＢ２４１は、鍵情報＃５を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃５を削除する。これにより、鍵状態１１０４に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃６となる。つぎに、ｅＮＢ２４１は、ステップＳ１１１４による緊急パケットの送信は抑止期間内であるため、ステップＳ１１１４によって送信された緊急パケットを破棄する（ステップＳ１１１６）。
【０１３３】
つぎに、ｅＮＢ２４１が、ステップＳ１１１３によってリスタートしたため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１１７）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１１７によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１１８）。
【０１３４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１１９）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１１９によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１２０）。ステップＳ１１１７〜Ｓ１１２０により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２２が確立される。
【０１３５】
つぎに、ｅＮＢ２４１が、鍵状態１１０４が示す各鍵情報のうちの２つの鍵情報が「未設定」であるため、新たな鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、ステップＳ１１１７〜Ｓ１１２０によって確立されたセキュリティ経路１１２２を用いて、鍵情報＃７，＃８の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１２１）。
【０１３６】
つぎに、ＯＰＥ２１０が、ステップＳ１１２１によって送信された緊急鍵交換パケットに基づいて鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃７，＃８を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２２を用いてｅＮＢ２４１へ送信する（ステップＳ１１２２）。
【０１３７】
また、ＯＰＥ２１０は、鍵情報＃７，＃８の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１２３）。これに対して、ＭＭＥ２２０は、ステップＳ１１２３によって送信された緊急鍵交換パケットに基づいて鍵情報＃７，＃８を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃７，＃８を複写することができる。ステップＳ１１２１〜Ｓ１１２３により、鍵状態１１０５に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃６，＃７，＃８となる。また、鍵情報＃６，＃７，＃８の各状態は「更新」となる。
【０１３８】
＜時間経過等による緊急鍵の更新＞
また、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１は、鍵情報を更新してからの時間を監視し、一定の有効期間を超過した鍵については削除し、新たな鍵情報を設定する。たとえば、鍵状態１１０５に示した鍵情報＃６の有効期限が経過したとする。この場合は、鍵状態１１０６に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１は、鍵情報＃６の設定を削除する。
【０１３９】
そして、ｅＮＢ２４１が、新たな鍵情報＃９を自身の鍵管理部５０８に設定する。つぎに、ｅＮＢ２４１は、セキュリティ経路１１２２を用いて、鍵情報＃９の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１２４）。
【０１４０】
つぎに、ＯＰＥ２１０が、ステップＳ１１２４によって送信された緊急鍵交換パケットに基づいて鍵情報＃９を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃９を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２２を用いてｅＮＢ２４１へ送信する（ステップＳ１１２５）。
【０１４１】
また、ＯＰＥ２１０は、鍵情報＃９の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１２６）。これに対して、ＭＭＥ２２０は、ステップＳ１１２６によって送信された緊急鍵交換パケットに基づいて鍵情報＃９を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃９を複写することができる。
【０１４２】
ステップＳ１１２４〜Ｓ１１２６により、鍵状態１１０７に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃７，＃８，＃９となる。また、鍵情報＃７，＃８，＃９の各状態は「更新」となる。
【０１４３】
図１１−２は、図２に示した通信システムの動作例２を示すシーケンス図（その２）である。図１１−１に示した動作例の後に、セキュリティ経路１１２２に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２２の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１２７）。
【０１４４】
つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１２８）。ステップＳ１１２７，Ｓ１１２８によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２２が切断される。
【０１４５】
＜セキュリティ経路切断状態のダウンロード等の復旧動作＞
セキュリティ経路１１２２が切断された状態において、ｅＮＢ２４１に障害が発生したとする。つぎに、ＯＰＥ２１０が、ｅＮＢ２４１の障害を検出する（ステップＳ１１２９）。ｅＮＢ２４１の障害の検出は、たとえばｅＮＢ２４１との疎通確認やｅＮＢ２４１からの通知信号に基づいて行うことができる。ここでは、プログラムやシステム設定値をｅＮＢ２４１にダウンロードさせることでｅＮＢ２４１の復旧を行うとする。
【０１４６】
つぎに、ＯＰＥ２１０が、ダウンロードデータを含み、ダウンロード転送を指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１３０）。ステップＳ１１３０において、ＯＰＥ２１０は、セキュリティ経路１１２２が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃７，＃８，＃９のうちの鍵番号が最も小さい鍵情報＃７を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃７を所定の方式によって暗号化し、暗号化した鍵情報＃７を緊急パケットに付加してもよい。
【０１４７】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃７を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃７の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１３１）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃７を削除する。
【０１４８】
つぎに、ｅＮＢ２４１が、ステップＳ１１３０によって送信された緊急パケットに含まれる鍵情報＃７が、自身の鍵管理部５０８に設定された鍵情報＃７と一致するため、緊急パケットに基づいてダウンロード転送を行う（ステップＳ１１３２）。具体的には、ｅＮＢ２４１は、受信した緊急パケットに含まれるダウンロードデータをメモリ４０３などの揮発メモリに格納する。また、ＭＭＥ２２０は、鍵情報＃７の削除を指示する緊急鍵交換パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃７を削除する。これにより、鍵状態１１０８に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃８，＃９となる。
【０１４９】
つぎに、ＯＰＥ２１０が、ダウンロード書込を指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１３３）。ステップＳ１１３３において、ＯＰＥ２１０は、セキュリティ経路１１２２が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃８，＃９のうちの鍵番号が最も小さい鍵情報＃８を緊急パケットに付加する。また、ＯＰＥ２１０は、鍵情報＃８を所定の方式によって暗号化し、暗号化した鍵情報＃８を緊急パケットに付加してもよい。
【０１５０】
また、ＯＰＥ２１０は、緊急パケットに付加した鍵情報＃８を自身の鍵管理部５０８の設定から削除する。また、ＯＰＥ２１０は、鍵情報＃８の削除を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１３４）。これに対して、ＭＭＥ２２０は、自身の鍵管理部５０８に設定された鍵情報＃８を削除する。
【０１５１】
つぎに、ｅＮＢ２４１が、ステップＳ１１３３によって送信された緊急パケットに含まれる鍵情報＃８が、自身の鍵管理部５０８に設定された鍵情報＃８と一致するため、緊急パケットに基づいてダウンロード書込を行う（ステップＳ１１３５）。具体的には、ｅＮＢ２４１は、ステップＳ１１３２においてメモリ４０３などに格納したダウンロードデータをフラッシュメモリ４１２などの不揮発メモリに書き込む。また、ｅＮＢ２４１は、鍵情報＃８を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃８を削除する。これにより、鍵状態１１０９に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃９となる。
【０１５２】
なお、ステップＳ１１３５とステップＳ１１３６との間に、ｅＮＢ２４１はリスタートを行ってもよい。つぎに、ｅＮＢ２４１が、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１３６）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１３６によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１３７）。
【０１５３】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１３８）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１３８によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１３９）。ステップＳ１１３６〜Ｓ１１３９により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２３が確立される。
【０１５４】
つぎに、ｅＮＢ２４１が、鍵状態１１０９が示す各鍵情報のうちの２つの鍵情報が「未設定」であるため、新たな鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、セキュリティ経路１１２３を用いて、鍵情報＃１０，＃１１の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１４０）。
【０１５５】
つぎに、ＯＰＥ２１０が、ステップＳ１１４０によって送信された緊急鍵交換パケットに基づいて鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃１０，＃１１を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２３を用いてｅＮＢ２４１へ送信する（ステップＳ１１４１）。
【０１５６】
また、ＯＰＥ２１０は、鍵情報＃１０，＃１１の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１４２）。これに対して、ＭＭＥ２２０は、ステップＳ１１４２によって送信された緊急鍵交換パケットに基づいて鍵情報＃１０，＃１１を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃１０，＃１１を複写することができる。
【０１５７】
ステップＳ１１４０〜Ｓ１１４２により、鍵状態１１１０に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃９，＃１０，＃１１となる。また、鍵情報＃９，＃１０，＃１１の各状態は「更新」となる。
【０１５８】
＜セキュリティ経路切断状態のＭＭＥリスタート＞
つぎに、セキュリティ経路１１２３に異常が発生したとする。ｅＮＢ２４１は、セキュリティ経路１１２３の異常を検出すると、ＩＫＥパケットをセキュリティＧＷ２３１へ送信する（ステップＳ１１４３）。つぎに、セキュリティＧＷ２３１が、ＩＫＥパケットをｅＮＢ２４１へ送信する（ステップＳ１１４４）。ステップＳ１１４３，Ｓ１１４４によって送信されるＩＫＥパケットは、たとえばＩＫＥ＿ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ）である。これにより、セキュリティ経路１１２３が切断される。
【０１５９】
セキュリティ経路１１２３が切断された状態において、ＭＭＥ２２０によるｅＮＢ２４１のリスタートを行うとする。ＭＭＥ２２０によるｅＮＢ２４１のリスタートは、たとえばＭＭＥ２２０のリスタートに伴って行われる。まず、ＭＭＥ２２０が、リスタートを指示するコマンドを含む緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１１４５）。
【０１６０】
ステップＳ１１４５において、ＭＭＥ２２０は、セキュリティ経路１１２３が切断されているため、自身の鍵管理部５０８に設定されている鍵情報＃９，＃１０，＃１１のうちの鍵番号が最も小さい鍵情報＃９を緊急パケットに付加する。また、ＭＭＥ２２０は、鍵情報＃９を所定の方式によって暗号化し、暗号化した鍵情報＃９を緊急パケットに付加してもよい。
【０１６１】
また、ＭＭＥ２２０は、緊急パケットに付加した鍵情報＃９を自身の鍵管理部５０８の設定から削除する。また、ＭＭＥ２２０は、鍵情報＃９の削除を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１４６）。これに対して、ＯＰＥ２１０は、自身の鍵管理部５０８に設定された鍵情報＃９を削除する。
【０１６２】
つぎに、ｅＮＢ２４１が、ステップＳ１１４５によって送信された緊急パケットに含まれる鍵情報＃９が、自身の鍵管理部５０８に設定された鍵情報＃９と一致するため、緊急パケットに基づいてリスタートを行う（ステップＳ１１４７）。また、ｅＮＢ２４１は、鍵情報＃９を含む緊急パケットを受信したため、自身の鍵管理部５０８に設定された鍵情報＃９を削除する。これにより、鍵状態１１１１に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報は鍵情報＃１０，＃１１となる。
【０１６３】
つぎに、ｅＮＢ２４１が、ステップＳ１１４７によってリスタートを行ったため、セキュリティ経路を確立するための要求信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１４８）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１４８によって送信された要求信号に対する応答信号（ＩＫＥ＿ＳＡ＿ＩＮＩＴ）をｅＮＢ２４１へ送信する（ステップＳ１１４９）。
【０１６４】
つぎに、ｅＮＢ２４１が、要求信号（ＩＫＥ＿ＡＵＴＨ）をセキュリティＧＷ２３１へ送信する（ステップＳ１１５０）。つぎに、セキュリティＧＷ２３１が、ステップＳ１１５０によって送信された要求信号に対する応答信号（ＩＫＥ＿ＡＵＴＨ）をｅＮＢ２４１へ送信する（ステップＳ１１５１）。ステップＳ１１４８〜Ｓ１１５１により、ｅＮＢ２４１とセキュリティＧＷ２３１の間でセキュリティ経路１１２４が確立される。
【０１６５】
つぎに、ｅＮＢ２４１が、鍵状態１１１１が示す各鍵情報のうちの１つの鍵情報が「未設定」であるため、新たな鍵情報＃１２を自身の鍵管理部５０８に設定する。そして、ｅＮＢ２４１は、セキュリティ経路１１２４を用いて、鍵情報＃１２の追加を指示する緊急鍵交換パケットをＯＰＥ２１０へ送信する（ステップＳ１１５２）。
【０１６６】
つぎに、ＯＰＥ２１０が、ステップＳ１１５２によって送信された緊急鍵交換パケットに基づいて鍵情報＃１２を自身の鍵管理部５０８に設定する。そして、ＯＰＥ２１０は、鍵情報＃１２を設定したことを示す緊急鍵交換パケットを、セキュリティ経路１１２４を用いてｅＮＢ２４１へ送信する（ステップＳ１１５３）。
【０１６７】
また、ＯＰＥ２１０は、鍵情報＃１２の追加を指示する緊急鍵交換パケットをＭＭＥ２２０へ送信する（ステップＳ１１５４）。これに対して、ＭＭＥ２２０は、ステップＳ１１５４によって送信された緊急鍵交換パケットに基づいて鍵情報＃１２を自身の鍵管理部５０８に設定する。これにより、ＭＭＥ２２０に鍵情報＃１２を複写することができる。
【０１６８】
ステップＳ１１５２〜Ｓ１１５４により、鍵状態１１１２に示すように、ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１に設定される鍵情報が更新されて鍵情報＃１０，＃１１，＃１２となる。また、鍵情報＃１０，＃１１，＃１２の各状態は「更新」となる。
【０１６９】
図１１−１，図１１−２に示した動作において、要求信号、応答信号およびＩＫＥパケットの送受信は、たとえばセキュリティＧＷ２３１およびｅＮＢ２４１のそれぞれの信号インタフェース５０１およびＩＫＥ終端部５０２によって行われる。また、緊急鍵交換パケットの送受信は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１のそれぞれの信号インタフェース５０１、緊急パケット鍵交換部５０４、鍵管理部５０８、タイマ５０９および鍵暗号部５１０によって行われる。
【０１７０】
また、緊急パケットの送受信は、たとえばＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１のそれぞれの信号インタフェース５０１、パケット送受信部５０５、鍵管理部５０８、タイマ５０９および鍵暗号部５１０によって行われる。また、ｅＮＢ２４１のリスタートやダウンロードは、たとえばｅＮＢ２４１の装置制御部５１２によって行われる。
【０１７１】
（鍵情報の管理処理）
図１２は、鍵情報の管理処理の一例を示すフローチャートである。ＯＰＥ２１０、ＭＭＥ２２０およびｅＮＢ２４１の少なくともいずれかの鍵管理部５０８は、たとえば図１１に示す各ステップを繰り返し実行することによって鍵情報を管理する。ここではＯＰＥ２１０による管理処理について説明する。まず、ＯＰＥ２１０は、自身に設定されているすべての鍵情報の状態が「更新」であるか否かを判断する（ステップＳ１２０１）。
【０１７２】
ステップＳ１２０１において、すべての鍵情報の状態が「更新」である場合（ステップＳ１２０１：Ｙｅｓ）は、ＯＰＥ２１０は、ステップＳ１２０３へ移行する。少なくともいずれかの鍵情報の状態が「更新」でない場合（ステップＳ１２０１：Ｎｏ）は、ＯＰＥ２１０は、鍵交換処理を実行する（ステップＳ１２０２）。具体的には、ＯＰＥ２１０は、ｅＮＢ２４１やＭＭＥ２２０との間で緊急鍵交換パケットを送受信することによって、自身に設定されている鍵情報のうちの状態が「更新」でない鍵情報を更新する。
【０１７３】
つぎに、ＯＰＥ２１０は、自身に設定されているすべての鍵情報が有効期限内か否かを判断する（ステップＳ１２０３）。鍵情報の有効期限は、たとえば図１０に示した「更新時間」から一定の時間が経過する時間である。すべての鍵情報が有効期限内である場合（ステップＳ１２０３：Ｙｅｓ）は、ＯＰＥ２１０は、ステップＳ１２０５へ移行する。少なくともいずれかの鍵情報が有効期限内でない場合（ステップＳ１２０３：Ｎｏ）は、ＯＰＥ２１０は、有効期限を過ぎた鍵情報を自身から削除する（ステップＳ１２０４）。
【０１７４】
つぎに、ＯＰＥ２１０は、他の通信装置（たとえばｅＮＢ２４１）から緊急鍵交換パケットを受信したか否かを判断する（ステップＳ１２０５）。緊急鍵交換パケットを受信していない場合（ステップＳ１２０５：Ｎｏ）は、ＯＰＥ２１０は、一連の処理を終了する。緊急鍵交換パケットを受信した場合（ステップＳ１２０５：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の追加を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２０６）。
【０１７５】
ステップＳ１２０６において、鍵情報の追加を指示する緊急鍵交換パケットである場合（ステップＳ１２０６：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定に追加する（ステップＳ１２０７）。つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２０８）、一連の処理を終了する。具体的には、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を追加すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。
【０１７６】
ステップＳ１２０６において、鍵情報の追加を指示する緊急鍵交換パケットでない場合（ステップＳ１２０６：Ｎｏ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の削除を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２０９）。鍵情報の削除を指示する緊急鍵交換パケットである場合（ステップＳ１２０９：Ｙｅｓ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットに基づいて鍵情報を自身の設定から削除する（ステップＳ１２１０）。
【０１７７】
つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２１１）、一連の処理を終了する。具体的には、ＯＰＥ２１０は、受信した緊急鍵交換パケットに含まれる鍵情報を削除すべき旨の緊急鍵交換パケットを他の通信装置へ送信することで鍵情報を複写する。
【０１７８】
ステップＳ１２０９において、削除を指示する緊急鍵交換パケットでない場合（ステップＳ１２０９：Ｎｏ）は、ＯＰＥ２１０は、受信した緊急鍵交換パケットが、鍵情報の複写を指示する緊急鍵交換パケットであるか否かを判断する（ステップＳ１２１２）。鍵情報の複写を指示する緊急鍵交換パケットである場合（ステップＳ１２１２：Ｙｅｓ）は、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（たとえばＭＭＥ２２０）に複写し（ステップＳ１２１３）、一連の処理を終了する。
【０１７９】
ステップＳ１２１２において、鍵情報の複写を指示する緊急鍵交換パケットでない場合（ステップＳ１２１２：Ｎｏ）は、ＯＰＥ２１０は、一連の処理を終了する。以上の各ステップにより、ＯＰＥ２１０は、ｅＮＢ２４１との間で鍵情報を共有することができる。また、ＯＰＥ２１０は、ＭＭＥ２２０に対して自身の鍵情報を複写することができる。
【０１８０】
図１３−１は、緊急パケットの受信時の処理の一例を示すフローチャート（その１）である。図１３−２は、緊急パケットの受信時の処理の一例を示すフローチャート（その２）である。ｅＮＢ２４１は、緊急パケットの受信時に、たとえば以下の各ステップを実行する。まず、ｅＮＢ２４１は、緊急パケットを受信すると（ステップＳ１３０１）、受信した緊急パケットが暗号化されているか否かを判断する（ステップＳ１３０２）。
【０１８１】
ステップＳ１３０２において、緊急パケットが暗号化されている場合（ステップＳ１３０２：Ｙｅｓ）は、ｅＮＢ２４１は、受信した緊急パケットを復号する（ステップＳ１３０３）。つぎに、ｅＮＢ２４１は、緊急パケットがリスタートを指示するコマンドを含む緊急パケットである場合はリスタートを行う（ステップＳ１３０４）。ただし、緊急パケットが指示する動作はリスタートに限らない。
【０１８２】
ステップＳ１３０２において、緊急パケットが暗号化されていない場合（ステップＳ１３０２：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットに含まれている鍵情報が暗号化されているか否かを判断する（ステップＳ１３０５）。鍵情報が暗号化されていない場合（ステップＳ１３０５：Ｎｏ）は、ｅＮＢ２４１は、ステップＳ１３０７へ移行する。
【０１８３】
ステップＳ１３０５において、鍵情報が暗号化されている場合（ステップＳ１３０５：Ｙｅｓ）は、ｅＮＢ２４１は、緊急パケットに含まれている鍵情報を復号する（ステップＳ１３０６）。つぎに、ｅＮＢ２４１は、緊急パケットに含まれている鍵情報が、自身に設定されている鍵情報と一致しているか否かを判断する（ステップＳ１３０７）。
【０１８４】
ステップＳ１３０７において、鍵情報が一致していない場合（ステップＳ１３０７：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。鍵情報が一致している場合（ステップＳ１３０７：Ｙｅｓ）は、ｅＮＢ２４１は、自身に設定された鍵情報のうちの、受信した緊急パケットに含まれている鍵情報を削除する（ステップＳ１３０８）。
【０１８５】
つぎに、ｅＮＢ２４１は、図１３−２に示す各ステップへ移行する。すなわち、ｅＮＢ２４１は、ステップＳ１３０８によって削除した鍵情報が有効期限内であったか否かを判断する（ステップＳ１３０９）。鍵情報が有効期限内でなかった場合（ステップＳ１３０９：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。
【０１８６】
ステップＳ１３０９において、鍵情報が有効期限内であった場合（ステップＳ１３０９：Ｙｅｓ）は、ｅＮＢ２４１は、セキュリティＧＷ２３１との間でセキュリティ経路が確立されているか否かを判断する（ステップＳ１３１０）。セキュリティ経路が確立されている場合（ステップＳ１３１０：Ｙｅｓ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。
【０１８７】
ステップＳ１３１０において、セキュリティ経路が確立されていない場合（ステップＳ１３１０：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがリスタートを指示するコマンドを含む緊急パケットか否かを判断する（ステップＳ１３１１）。リスタートを指示するコマンドを含む場合（ステップＳ１３１１：Ｙｅｓ）は、ｅＮＢ２４１は、現在時刻が、自身の鍵管理情報１０００（図１０参照）に設定された抑止期間中か否かを判断する（ステップＳ１３１２）。
【０１８８】
ステップＳ１３１２において、抑止期間中である場合（ステップＳ１３１２：Ｙｅｓ）は、ｅＮＢ２４１は、一連の処理を終了する。この場合は、ｅＮＢ２４１は、受信した緊急パケットを破棄してもよい。抑止期間中でない場合（ステップＳ１３１２：Ｎｏ）は、ｅＮＢ２４１は、自身の鍵管理情報１０００に抑止期間を設定する（ステップＳ１３１３）。具体的には、ｅＮＢ２４１は、現在時刻から一定の時間が経過するまでの期間を抑止期間として設定する。つぎに、ｅＮＢ２４１は、リスタートを実行し（ステップＳ１３１４）、一連の処理を終了する。
【０１８９】
ステップＳ１３１１において、リスタートを指示するコマンドを含まない場合（ステップＳ１３１１：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがダウンロード転送を指示するコマンドを含むか否かを判断する（ステップＳ１３１５）。ダウンロード転送を指示するコマンドを含む場合（ステップＳ１３１５：Ｙｅｓ）は、ｅＮＢ２４１は、緊急パケットに含まれるダウンロードデータを受信し（ステップＳ１３１６）、一連の処理を終了する。ステップＳ１３１６において、ｅＮＢ２４１は、たとえば、ダウンロードデータをメモリ４０３に格納する。
【０１９０】
ステップＳ１３１５において、ダウンロード転送を指示するコマンドを含まない場合（ステップＳ１３１５：Ｎｏ）は、ｅＮＢ２４１は、受信した緊急パケットがダウンロード書込を指示するコマンドを含むか否かを判断する（ステップＳ１３１７）。ダウンロード書込を指示するコマンドを含む場合（ステップＳ１３１７：Ｙｅｓ）は、ｅＮＢ２４１は、メモリ４０３に記憶したダウンロードデータをフラッシュメモリ４１２に書き込み（ステップＳ１３１８）、一連の処理を終了する。
【０１９１】
ステップＳ１３１７において、ダウンロード書込を指示するコマンドを含まない場合（ステップＳ１３１７：Ｎｏ）は、ｅＮＢ２４１は、一連の処理を終了する。以上の各ステップにより、ｅＮＢ２４１は、受信した緊急パケットがＯＰＥ２１０から送信されたか否かを鍵情報に基づいて確認し、緊急パケットに基づく動作を行うことができる。
【０１９２】
図１４は、緊急パケットの送信時の処理の一例を示すフローチャートである。たとえばＯＰＥ２１０は、ｅＮＢ２４１への緊急パケットの送信時に、たとえば以下の各ステップを実行する。図１４に示すように、まず、ＯＰＥ２１０は、緊急パケットを送信する場合に、セキュリティＧＷ２３１とｅＮＢ２４１との間にセキュリティ経路が確立されているか否かを判断する（ステップＳ１４０１）。
【０１９３】
ステップＳ１４０１において、セキュリティ経路が確立されている場合（ステップＳ１４０１：Ｙｅｓ）は、ＯＰＥ２１０は、緊急パケットを作成する（ステップＳ１４０２）。つぎに、ＯＰＥ２１０は、ステップＳ１４０２によって作成された緊急パケットを暗号化する（ステップＳ１４０３）。つぎに、ＯＰＥ２１０は、ステップＳ１４０３によって暗号化された緊急パケットをｅＮＢ２４１へ送信し（ステップＳ１４０４）、一連の処理を終了する。これにより、セキュリティ経路を用いて、セキュリティを確保しつつ緊急パケットを送信することができる。
【０１９４】
ステップＳ１４０１において、セキュリティ経路が確立されていない場合（ステップＳ１４０１：Ｎｏ）は、ＯＰＥ２１０は、緊急パケットに格納する鍵情報を暗号化するか否かを判断する（ステップＳ１４０５）。ステップＳ１４０５の判断は、たとえば事前の設定に基づいて行う。鍵情報を暗号化しない場合（ステップＳ１４０５：Ｎｏ）は、ＯＰＥ２１０は、ステップＳ１４０７へ移行する。
【０１９５】
ステップＳ１４０５において、鍵情報を暗号化する場合（ステップＳ１４０５：Ｙｅｓ）は、ＯＰＥ２１０は、鍵情報を暗号化する（ステップＳ１４０６）。つぎに、ＯＰＥ２１０は、鍵情報を含む緊急パケットを作成する（ステップＳ１４０７）。つぎに、ＯＰＥ２１０は、ステップＳ１４０７によって作成された緊急パケットに含まれる鍵情報を、自身の設定から削除する（ステップＳ１４０８）。
【０１９６】
つぎに、ＯＰＥ２１０は、ステップＳ１４０７によって作成された緊急パケットをｅＮＢ２４１へ送信する（ステップＳ１４０９）。これにより、セキュリティ経路が確立されていなくても、セキュリティを確保しつつ緊急パケットを送信することができる。つぎに、ＯＰＥ２１０は、自身に設定された鍵情報を他の通信装置（ＭＭＥ２２０）へ複写し（ステップＳ１４１０）、一連の処理を終了する。
【０１９７】
このように、実施の形態にかかる通信システム１００においては、被操作装置（通信装置１２０）の鍵情報と対になる鍵情報および動作コマンドを含むパケットを通信装置１１０から被操作装置へ送信する。これにより、セキュリティ経路１０１が確立されていなくても、セキュリティを確保しつつ被操作装置を遠隔操作することができる。
【０１９８】
たとえば、プログラムやシステム設定値の誤りに起因するｅＮＢ２４１の障害が発生した場合に、ｅＮＢ２４１へ入局しなくても、遠隔操作によってリスタートやダウンロードなどを実行させることで復旧が可能となる。また、遠隔操作によってアップロードを実行させることでｅＮＢ２４１の状態を確認することができる。このため、稼働率の向上および保守コストの低減を図ることができる。
【０１９９】
また、コマンドを暗号化せずに平文のまま送信することができる。したがって、たとえば、セキュリティ経路１０１が確立されていない場合のためのコマンドの暗号化機能を通信装置１１０が有していなくてもよい。また、セキュリティ経路１０１が確立されていない場合のためのコマンドの復号機能を通信装置１２０が有していなくてもよい。このため、セキュリティ経路１０１が確立されていない場合においてセキュリティを確保しつつコマンドを送信する機能を簡単な構成によって実現することができる。
【０２００】
以上説明したように、通信装置、通信システムおよび通信方法によれば、セキュリティ経路が確立されていなくても、遠隔操作のセキュリティを向上させることができる。なお、上述した実施の形態においては、通信装置１２０を遠隔操作することによってシステムの復旧などを図る場合について説明した。ただし、通信システム１００は、システムの復旧を図る場合などに限らず、通信装置１２０を遠隔操作する構成に対して適用することができる。
【０２０１】
上述した実施の形態に関し、さらに以下の付記を開示する。
【０２０２】
（付記１）所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、
前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、
前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、
を備えることを特徴とする通信装置。
【０２０３】
（付記２）前記セキュリティ経路は、パケットが暗号化されて伝送される経路であることを特徴とする付記１に記載の通信装置。
【０２０４】
（付記３）前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする付記１または２に記載の通信装置。
【０２０５】
（付記４）前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする付記１〜３のいずれか一つに記載の通信装置。
【０２０６】
（付記５）前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記４に記載の通信装置。
【０２０７】
（付記６）前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、
前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする付記１〜５のいずれか一つに記載の通信装置。
【０２０８】
（付記７）鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、
所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、
前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、
前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、
を備えることを特徴とする通信装置。
【０２０９】
（付記８）前記取得部は、前記受信部による前記コマンドの受信ごとに異なる前記受信側鍵情報を取得することを特徴とする付記７に記載の通信装置。
【０２１０】
（付記９）前記所定の通信装置との間で確立されたセキュリティ経路を用いた前記所定の通信装置との通信によって前記受信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された受信側鍵情報を取得することを特徴とする付記７または８に記載の通信装置。
【０２１１】
（付記１０）前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする付記９に記載の通信装置。
【０２１２】
（付記１１）前記受信部によって受信されたパケットに含まれ、暗号化された前記鍵情報を復号する復号部を備え、
前記判定部は、前記復号部によって復号された鍵情報と前記受信側鍵情報とが前記所定の対応関係を有するか否かを判定することを特徴とする付記７〜１０のいずれか一つに記載の通信装置。
【０２１３】
（付記１２）前記所定の動作には自装置の再起動が含まれ、
前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする付記７〜１１のいずれか一つに記載の通信装置。
【０２１４】
（付記１３）自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、
を含むことを特徴とする通信システム。
【０２１５】
（付記１４）第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、
前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、
ことを特徴とする通信方法。
【符号の説明】
【０２１６】
１００，２００ 通信システム
１０１，３１１，３１２，１１２１〜１１２４ セキュリティ経路
３０１〜３０３，１１０１〜１１１２ 鍵状態
６００，７００ 緊急パケット
８００，９００ 緊急鍵交換パケット
１０００ 鍵管理情報
【特許請求の範囲】
【請求項１】
所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、
前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、
前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、
を備えることを特徴とする通信装置。
【請求項２】
前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする請求項１または２に記載の通信装置。
【請求項４】
前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする請求項３に記載の通信装置。
【請求項５】
前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、
前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする請求項１〜４のいずれか一つに記載の通信装置。
【請求項６】
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、
所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、
前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、
前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、
を備えることを特徴とする通信装置。
【請求項７】
前記所定の動作には自装置の再起動が含まれ、
前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする請求項６に記載の通信装置。
【請求項８】
自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、
を含むことを特徴とする通信システム。
【請求項９】
第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、
前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、
ことを特徴とする通信方法。
【請求項１】
所定の動作を実行させるコマンドを他の通信装置へ送信する場合に、自装置と前記他の通信装置との間にセキュリティ経路が確立されているか否かを判定する判定部と、
前記他の通信装置が取得する受信側鍵情報と所定の対応関係を有する送信側鍵情報を取得する取得部と、
前記セキュリティ経路が確立されていないと前記判定部によって判定された場合に、前記取得部によって取得された送信側鍵情報と、前記コマンドと、を含むパケットを前記他の通信装置へ送信する送信部と、
を備えることを特徴とする通信装置。
【請求項２】
前記取得部は、前記送信部による前記コマンドの送信ごとに異なる前記送信側鍵情報を取得することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記セキュリティ経路を用いた前記他の通信装置との通信によって前記送信側鍵情報を設定する設定部を備え、
前記取得部は、前記設定部によって設定された送信側鍵情報を取得することを特徴とする請求項１または２に記載の通信装置。
【請求項４】
前記取得部は、前記設定部によって設定されてから一定の期間が経過した前記送信側鍵情報は取得しないことを特徴とする請求項３に記載の通信装置。
【請求項５】
前記取得部によって取得された送信側鍵情報を暗号化する暗号化部を備え、
前記送信部は、前記暗号化部によって暗号化された送信側鍵情報を含む前記パケットを送信することを特徴とする請求項１〜４のいずれか一つに記載の通信装置。
【請求項６】
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信する受信部と、
所定の通信装置が取得する送信側鍵情報と所定の対応関係を有する受信側鍵情報を取得する取得部と、
前記受信部によって受信されたパケットに含まれる鍵情報と、前記取得部によって取得された受信側鍵情報と、が前記所定の対応関係を有するか否かを判定する判定部と、
前記判定部によって前記所定の対応関係を有すると判定された場合に、前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する実行部と、
を備えることを特徴とする通信装置。
【請求項７】
前記所定の動作には自装置の再起動が含まれ、
前記実行部は、自装置の再起動を行ってから一定の時間が経過するまでの期間は前記コマンドに基づく再起動を実行しないことを特徴とする請求項６に記載の通信装置。
【請求項８】
自装置と他の通信装置との間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信する第一通信装置と、
鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する第二通信装置と、
を含むことを特徴とする通信システム。
【請求項９】
第一通信装置によって、前記第一通信装置と、前記第一通信装置と異なる第二通信装置と、の間にセキュリティ経路が確立されていない場合に、所定の送信側鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを送信し、
前記第二通信装置によって、鍵情報と、所定の動作を実行させるコマンドと、を含むパケットを受信し、受信したパケットに含まれる鍵情報と、前記送信側鍵情報と所定の対応関係を有する受信側鍵情報と、が前記所定の対応関係を有する場合に前記パケットに含まれるコマンドに基づいて前記所定の動作を実行する、
ことを特徴とする通信方法。
【図１】
【図２】
【図３】
【図４−１】
【図４−２】
【図４−３】
【図５−１】
【図５−２】
【図５−３】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１−１】
【図１１−２】
【図１２】
【図１３−１】
【図１３−２】
【図１４】
【図２】
【図３】
【図４−１】
【図４−２】
【図４−３】
【図５−１】
【図５−２】
【図５−３】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１−１】
【図１１−２】
【図１２】
【図１３−１】
【図１３−２】
【図１４】
【公開番号】特開２０１２−２２２４１０（Ｐ２０１２−２２２４１０Ａ）
【公開日】平成２４年１１月１２日（２０１２．１１．１２）
【国際特許分類】
【出願番号】特願２０１１−８３１４４（Ｐ２０１１−８３１４４）
【出願日】平成２３年４月４日（２０１１．４．４）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２４年１１月１２日（２０１２．１１．１２）
【国際特許分類】
【出願日】平成２３年４月４日（２０１１．４．４）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]