通信認証用の電子証明書管理システム及び端末装置
【課題】更新用の新しい電子証明書の通信中にデータの破損が生じても通信が不能になるのを避けることができる電子証明書管理システムを提供する。
【解決手段】通信管理装置１１とＩＰ回線ユニット６３はセンタ端末間ＶＰＮ２１で接続され、ＶＰＮ接続時の認証に電子証明書が使われる。通信管理装置１１のアカウント管理サーバ４１は証明書管理装置に相当し、更新用の新しい電子証明書を端末装置へ送信する。ＩＰ回線ユニット６３は端末装置であり、その制御部１０１は、記憶部１０３に更新前の電子証明書を残しつつ、受信した新しい電子証明書をも記憶させる。制御部１０１は、通信接続部１０５に新しい電子証明書を用いた通信接続を指示する。通信接続部１０５が通信接続に失敗したときに、制御部１０１は、記憶部１０３に残された更新前の電子証明書を用いた通信接続を通信接続部１０５に指示する。
【解決手段】通信管理装置１１とＩＰ回線ユニット６３はセンタ端末間ＶＰＮ２１で接続され、ＶＰＮ接続時の認証に電子証明書が使われる。通信管理装置１１のアカウント管理サーバ４１は証明書管理装置に相当し、更新用の新しい電子証明書を端末装置へ送信する。ＩＰ回線ユニット６３は端末装置であり、その制御部１０１は、記憶部１０３に更新前の電子証明書を残しつつ、受信した新しい電子証明書をも記憶させる。制御部１０１は、通信接続部１０５に新しい電子証明書を用いた通信接続を指示する。通信接続部１０５が通信接続に失敗したときに、制御部１０１は、記憶部１０３に残された更新前の電子証明書を用いた通信接続を通信接続部１０５に指示する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムに関し、特に、電子証明書の更新処理に関する。
【背景技術】
【０００２】
従来、店舗、工場等の監視対象を遠隔の監視センタで監視するシステムにおいては、監視対象に設置された監視端末が監視センタと通信する。監視端末は、監視映像や、センサによって検出された警備関連の信号などを監視センタへと送信する。
【０００３】
近年、ネットワーク技術の発展を背景として、監視システムの通信回線としてブロードバンド回線を利用することが提案されている。ただし、送信されるデータが、監視映像や警備関連の信号といったように秘匿性の要求が高いデータであるため、通信のセキュリティについての要求レベルも高い。そこで、仮想的な専用線として機能するＶＰＮ（仮想プライベートネットワーク）を監視センタと監視端末の間に構築して、通信のセキュリティを確保することが提案されている（特許文献１）。
【０００４】
監視システムにＶＰＮを適用する場合、監視センタにＶＰＮサーバを備え、各監視端末をＶＰＮクライアントとして機能させることが考えられる。監視センタと各々の監視端末の間にＶＰＮトンネルが構築され、そして、監視情報のパケットがカプセル化され、ＶＰＮトンネルを通して監視センタと監視端末の間で通信される。このような構成により、監視センタは、複数の監視端末からＶＰＮを利用して監視情報を入手できる。
【０００５】
ＶＰＮトンネルを構築するときは、クライアントである監視端末の認証が行われる。この認証には、監視端末毎に割り振られた電子証明書が好適に利用される。監視端末から監視センタへ電子証明書を含むＶＰＮ接続要求が送信され、公開鍵認証が行われ、これにより、監視端末が正規の端末であることが証明される。
【０００６】
電子証明書には、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。このような電子証明書には通常有効期限が設定されている。そのため、電子証明書の期限切れが近くなると、自動的に新しい電子証明書を発行するシステムが提案されている（特許文献２）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−２０３３１３号公報
【特許文献２】特開２００２−２１５８２６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、電子証明書の自動更新を、上述のようなＶＰＮ利用型の監視システムに適用すると、新しい電子証明書のデータが監視センタから監視端末へ送信中に破損した場合に、ＶＰＮ接続ができなくなり、監視情報をＶＰＮで送信できなくなってしまうという問題があった。
【０００９】
より詳細に説明すると、ＶＰＮにおいては、ＶＰＮクライアントとＶＰＮサーバのうちで、ＶＰＮトンネル構築を要求する役割は、ＶＰＮクライアントが担っている。ＶＰＮクライアントがＶＰＮ接続要求をＶＰＮサーバへと送り、この要求に応えてＶＰＮトンネルが構築される。また、ＶＰＮの切断もＶＰＮクライアント側の処理によって行われる。
【００１０】
したがって、監視センタ及び監視端末がそれぞれＶＰＮサーバ及びＶＰＮクライアントである場合、監視端末がＶＰＮ接続要求をＶＰＮサーバに送ることにより、ＶＰＮ接続が確立され、ＶＰＮトンネルが構築される。このとき、電子証明書がＶＰＮ接続要求に付加されて、認証に利用される。また、ＶＰＮの切断も、監視端末側の処理によって行われる。
【００１１】
さて、このような監視システムにおいて、電子証明書の期限切れが近づき、監視センタから監視端末へ新しい電子証明書をダウンロードしたとする。上述したように、ＶＰＮの接続要求と切断は、監視端末側の役目である。そこで、監視端末は、新しい電子証明書を受信すると、ＶＰＮを一旦切断し、それから新しい電子証明書を用いたＶＰＮ接続要求を監視センタに送信し、再接続を試みる。
【００１２】
しかし、監視センタから監視端末へのダウンロード中に何らかの理由で電子証明書のデータが破損していたとする。監視端末は、新しい電子証明書の破損を検出できない。そのため、新しい電子証明書が破損しているにも拘わらず、監視端末は、ＶＰＮを切断してしまう。続いて監視端末は新しい電子証明書を含むＶＰＮ接続要求を監視センタに送り、通信接続を試みるが、電子証明書のデータが破損しているために、認証が成功せず、ＶＰＮトンネルが構築されない。監視端末は自らＶＰＮを切断してしまっているので、代わりの新しい電子証明書をＶＰＮ経由でダウンロードすることすらもできない。その結果、監視端末と監視センタのＶＰＮ通信が不可能になり、監視情報も送信できなくなる。
【００１３】
監視システムは、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高い。そのため、上記のような電子証明書の破損によって通信が不能になる事態を極力回避することが望まれる。
【００１４】
上記では、ＶＰＮ利用型の監視システムを取り上げて、本発明の背景について説明した。しかし、同様の問題は、監視システム以外でも生じ得るし、ＶＰＮ以外でも生じ得る。すなわち、通信の認証に電子証明書を用いるシステムにおいて、電子証明書の更新を通信で行う場合、上記の例と同様、新しい電子証明書のデータ破損によって、通信が不能になる事態が生じるという問題がある。
【００１５】
本発明は、上記背景の下でなされたもので、その目的は、通信接続時の認証に電子証明書を用いるシステムにおいて、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けられる技術を提供することにある。
【課題を解決するための手段】
【００１６】
本発明は、通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムであって、前記証明書管理装置は、前記端末装置に記憶してある更新前の電子証明書に代えて使用すべき新しい電子証明書を前記端末装置へ送信し、前記端末装置は、前記電子証明書を記憶する記憶部と、前記電子証明書を用いて通信接続を行う通信接続部と、前記通信接続部を制御し、前記更新前の電子証明書から前記新しい電子証明書への証明書更新のための処理を行う制御部とを有し、前記制御部は、前記証明書管理装置からの前記新しい電子証明書を受信すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示する。
【００１７】
上記のように、本発明によれば、端末装置は、新しい電子証明書を受信したときに、更新前の電子証明書を記憶部に残しつつ、新しい電子証明書を記憶部に記憶する。そして、新しい電子証明書を用いた通信接続に失敗したときに、記憶部に残された更新前の電子証明書を用いて通信接続を行う。したがって、更新用の新しい電子証明書を端末装置へ送信中に電子証明書のデータの破損が生じても通信が不能になるのを避けることができる。
【００１８】
さらに、本発明によれば、上記のように更新前の電子証明書を用いることによって通信可能な状態を確保しているので、再度、新しい電子証明書を端末装置に送信することができ、これにより電子証明書の更新を完了することもできる。
【００１９】
また、本発明の別の態様は、通信接続時の認証に電子証明書が必要な通信を行う端末装置であって、前記電子証明書を記憶する記憶部と、前記電子証明書を用いて通信接続を行う通信接続部と、前記記憶部に記憶した更新前の電子証明書に代えて使用すべき新しい電子証明書を通信により取得し、前記通信接続部を制御し、証明書更新のための処理を行う制御部とを有し、前記制御部は、前記新しい電子証明書を通信により取得すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示する。
【００２０】
この端末装置の態様によっても、新しい電子証明書を受信したときに、更新前の電子証明書を記憶部に残しておくことで、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けることができ、したがって、上述の電子証明書管理システムと同様の利点が得られる。
【００２１】
また、前記制御部は、前記新しい電子証明書を用いた通信接続が成功したときに、前記記憶部に残してある前記更新前の電子証明書を破棄してよく、前記新しい電子証明書を用いた通信接続が失敗したときに、前記記憶部から前記新しい電子証明書を破棄してよい。
【００２２】
この構成により、更新前の電子証明書と新しい電子証明書を記憶部に併存させた状態から、使用不能な電子証明書を破棄し、使用可能な電子証明書を記憶部に残し、以降に電子証明書を使用する処理に適切に対応できる。
【００２３】
また、前記通信接続部は、通信接続の処理として、前記電子証明書を含むＶＰＮ接続要求を送信するように構成されてよく、前記制御部は、前記新しい電子証明書を含むＶＰＮ接続要求によるＶＰＮ接続に失敗したときに、前記記憶部に残された更新前の電子証明書を含むＶＰＮ接続要求を前記通信接続部に送信させてよい。
【００２４】
この構成では、本発明がＶＰＮに適用され、そして、電子証明書を端末装置へ送信中に破損した場合でもＶＰＮ接続が不能になることを回避できる。この点に関し、ＶＰＮの端末装置は、新しい電子証明書を使うにあたり、まず、自ら現在のＶＰＮを一旦切断してしまい、それから新しい電子証明書を含むＶＰＮ接続要求をＶＰＮサーバに送る。しかし、電子証明書が破損していると、ＶＰＮサーバでの認証が失敗し、ＶＰＮが構築されない。このような場合でも、本発明によれば、更新前の電子証明書を使ってＶＰＮ接続を確保でき、そして、ＶＰＮを介して新しい電子証明書を再度端末装置に供給することができる。
【００２５】
また、前記端末装置が監視システムの監視対象に設けられてよく、前記証明書管理装置が遠隔の監視センタに設けられてよく、前記監視対象と前記監視センタが監視情報を通信してよい。
【００２６】
上記構成では、本発明が監視システムに適用され、より具体的には、監視センタと接続される監視装置（監視端末）に適用される。監視装置から監視センタへは監視情報が送信される。そして、監視装置への新しい電子証明書の送信中にデータの破損が生じても、通信が不能になる事態を避けることができる。監視システムは、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高く、このようなニーズに本発明は好適に応えられる。
【００２７】
本発明は、上記の電子証明書管理システム及び端末装置の態様に限定されない。本発明は、その他の装置又はシステムの態様で表現されてよく、また、本発明は、方法、プログラム、又は同プログラムを記録したコンピュータで読取可能な記録媒体のかたちで実現されてよい。
【発明の効果】
【００２８】
上記のように、本発明によれば、通信の認証に電子証明書を用いるシステムにおいて、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けることができる。
【図面の簡単な説明】
【００２９】
【図１】本実施の形態の監視システムの全体的な構成を示す図である。
【図２】監視システムの構成をより具体的に示すブロック図である。
【図３】監視システムに組み込まれた本発明の電子証明書管理システムに係る主要な構成を示すブロック図である。
【図４】アカウント管理サーバでの処理を示すフローチャートである。
【図５】ＩＰ回線ユニットでの処理を示すフローチャートである。
【図６】更新処理の動作例を示す図である。
【発明を実施するための形態】
【００３０】
以下、本発明の実施の形態について説明する。本実施の形態では、本発明の電子証明書管理システムが監視システムに適用される。監視システムでは、監視対象と監視センタとが監視情報を通信する。電子証明書管理システムは、端末装置と証明書管理装置で構成される。下記の実施の形態では、端末装置が監視対象の監視装置に設けられ、証明書管理装置が監視センタの通信管理装置に設けられる。ここではまず、監視システムの構成について説明する。
【００３１】
図１は、本発明の監視システムの全体的な構成を示している。図示のように、監視システム１では、監視センタ３、監視対象５及び利用者拠点７の間で通信が行われる。ここで利用者とは、監視システム１による監視対象５の監視サービスの利用者を意味する。本実施の形態の例では、監視対象５が店舗であり、利用者拠点７は店舗のオーナーの事務所である。
【００３２】
監視センタ３には、通信管理装置１１及び複数のセンタ装置１３が備えられており、これらは通信可能に接続されている。通信管理装置１１及び複数のセンタ装置１３は、地理的には離れた場所に配置されてよい。複数のセンタ装置１３は、複数の担当地域にそれぞれ配置されてよい。また、複数のセンタ装置１３は機能を分担してよい。例えば、あるセンタ装置１３が、警備関連の信号を処理する管制センタ装置として機能してよく、別のセンタ装置１３が、監視映像を主に処理する画像センタ装置として機能してよい。なお、本発明の範囲でセンタ装置１３が一つでもよい。
【００３３】
監視対象５及び利用者拠点７には、それぞれ、監視装置１５及び利用者装置１７が設けられている。監視装置１５及び利用者装置１７は本発明の端末に相当する。監視装置１５は、監視情報をセンタ装置１３及び利用者装置１７へ送る。監視情報は、例えば、監視カメラの画像であり、また、監視対象５にて検出された監視信号である。監視信号は、例えば異常発生を示す警備信号であり、警備信号は、監視対象５に設置されたセンサからの検出信号に基づいて生成され、あるいは、警報ボタン（スイッチ）が操作されたときに生成される。また、利用者装置１７は、監視装置１５へ制御信号や、音声信号を送る。このような利用者装置１７から監視装置１５への信号も、監視情報に含まれる。
【００３４】
図１では、１つの監視対象５及び１つの利用者拠点７が示されている。しかし、実際には、監視センタ３は複数の監視対象５及び複数の利用者拠点７と通信する。したがって、通信管理装置１１も、複数の監視装置１５及び複数の利用者装置１７と通信する。各々の監視装置１５は関連づけられた利用者装置１７（店舗のオーナーの端末）と通信する。
【００３５】
図１の監視システム１において、例えば、監視装置１５がセンサ信号等により異常を検出したとする。この場合、監視情報として警備信号が、監視対象５の映像と共に、監視センタ３へ送信される。監視センタ３では、オペレータがセンタ装置１３のモニタで警備信号や映像を確認し、警備員に必要な指示を出す。指示を受けた警備員が監視対象５に急行し、異常に対処する。
【００３６】
また例えば、監視装置１５は、監視対象５の映像等を定期的に、あるいはその他の設定に従って利用者装置１７へ送る。例えば、センサによって来客が検出されたときに、映像等が利用者装置１７へ送られる。また、利用者装置１７から映像等の送信が要求されることもある。オーナーは、映像等によって店舗の様子を把握できる。また、オーナーは、利用者装置１７から監視装置１５に音声等を送り、店員に必要事項を指示することができる。
【００３７】
次に、監視システム１の通信形態について説明する。通信管理装置１１、監視装置１５及び利用者装置１７は、インターネットに接続されている。
【００３８】
さらに、通信管理装置１１は、インターネット上でセンタ端末間ＶＰＮ（仮想プライベートネットワーク）２１によって監視装置１５及び利用者装置１７と接続される。センタ端末間ＶＰＮ２１を構築するために、通信管理装置１１にＶＰＮサーバ機能が備えられ、監視装置１５及び利用者装置１７にＶＰＮクライアント機能が備えられる。ＶＰＮでは、ＶＰＮトンネルが構築され、暗号化通信が行われ、高いセキュリティ性が実現される。
【００３９】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介してＳＩＰ通信２３を行う。ＳＩＰ通信２３は、上記のセンタ端末間ＶＰＮ２１を介して行われる。通信管理装置１１にはＳＩＰサーバ機能が備えられている。
【００４０】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介さずに、直接に端末間ＶＰＮ２５によって接続される。この端末間ＶＰＮ２５を構築するために、利用者装置１７にＶＰＮサーバ機能が備えられ、監視装置１５にＶＰＮクライアント機能が備えられる。
【００４１】
ここで、センタ端末間ＶＰＮ２１は、常時接続されＶＰＮトンネルが構築されており、センタ装置１３と監視装置１５及び利用者装置１７の間での通信に利用される。これに対して、端末間ＶＰＮ２５は、必要なときのみ構築される。
【００４２】
次に、図２を参照し、監視システム１の構成をより具体的に説明する。通信管理装置１１は、ファイアウォール３１、ＨＴＴＰサーバ３３、ＶＰＮサーバ３５、ＳＩＰサーバ３７、アカウント管理サーバ４１及びデータベース４３を備える。
【００４３】
ファイアウォール３１は、通信管理装置１１と監視装置１５及び利用者装置１７との間で使用される通信データ以外のデータを遮断する装置である。ＨＴＴＰサーバ３３はインターネット接続のための構成である。ＶＰＮサーバ３５は、ＶＰＮトンネル構築のための認証と暗号化を行うサーバである。
【００４４】
ＶＰＮサーバ３５は、センタ端末間ＶＰＮ２１を実現する構成であり、通信管理装置１１と監視装置１５の間にＶＰＮを構築し、また、通信管理装置１１と利用者装置１７の間にＶＰＮを構築する。監視装置１５からの信号は、ＶＰＮサーバ３５で復号化されて、センタ装置１３へ送信される。また、センタ装置１３からの信号は、ＶＰＮサーバ３５で暗号化されて、監視装置１５へ送信される。また、通信管理装置１１が監視装置１５に信号を送るときも、ＶＰＮサーバ３５で暗号化が行われる。通信管理装置１１と利用者装置１７の通信でも、ＶＰＮサーバ３５が同様に暗号化及び復号化を行う。
【００４５】
ＳＩＰサーバ３７は、ＳＩＰプロトコルに従ってシグナリングの処理を行い、監視装置１５と利用者装置１７を接続する。ＳＩＰサーバ３７は、利用者装置１７が監視装置１５に接続を要求する場合に、もしくは、監視装置１５が利用者装置１７に接続を要求する場合に、ＳＩＰの接続制御の機能を果たす。
【００４６】
ＳＩＰのシグナリングでは、メッセージが交換される。具体的には、ＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。このメッセージ交換を利用して、前述したように、ＶＰＮ接続確立のためにＩＰアドレス及び電子証明書が交換される。
【００４７】
アカウント管理サーバ４１は、認証等の各種の情報を管理するサーバである。管理される情報は、データベース４３に格納される。管理される情報は、ＩＰ回線のアカウント、ＶＰＮ接続（トンネル構築）のための電子証明書、鍵ペアの情報を含む。また、本実施の形態では、ＳＩＰのシグナリングの過程で、端末間の接続について認証及び認可が行われる。この処理のための情報も、データベース４３に保持され、アカウント管理サーバ４１に使用される。尚、端末間の接続についての認証及び認可はＳＩＰサーバ３７自身が行うようにすることもできる。
【００４８】
センタ装置１３は、監視卓５１と回線接続装置５３を備える。監視卓５１が回線接続装置５３を介して通信管理装置１１に接続される。例えば、センタ装置１３が画像センタである場合、監視映像が監視卓５１に供給され、監視卓５１にて管理される。また、センタ装置１３が管制センタである場合、警備関連の情報が監視卓５１に供給される。監視映像も管制センタのモニタに好適に表示される。監視映像等は、センタ装置同士の間でも通信されてよい。
【００４９】
次に、監視装置１５について説明する。監視装置１５は、コントローラ６１、ＩＰ回線ユニット６３、ルータ６５、周辺機器６７及び監視対象ＰＣ（パーソナルコンピュータ）７１で構成されている。
【００５０】
コントローラ６１はコンピュータで構成されており、周辺機器６７と連携して、監視機能を実現する。コントローラ６１は、監視センタ３とはＩＰ回線ユニット６３を介して接続される。また、コントローラ６１は、利用者装置１７とも、ＩＰ回線ユニット６３を介して接続される。
【００５１】
図２では、周辺機器６７として監視カメラ７３、センサ７５及び警報ボタン７７が例示されている。コントローラ６１は、監視映像に対して画像認識処理を施して異常を検出する。また、コントローラ６１は、センサ７５から入力される検出信号により、異常を検出する。警報ボタン７７が押されたときにも異常が検出される。その他の周辺機器が異常検出に用いられてよい。異常が発生すると、コントローラ６１はセンタ装置１３と通信し、警備信号と画像信号を送信する。監視カメラ７３と共にマイクが備えられており、音声信号も送信される。このようにして、コントローラ６１は監視対象５の警備機能を実現する。
【００５２】
また、監視映像及び音声は、センタ装置１３から要求されたときにも送信される。さらに、監視映像及び音声は、利用者装置１７にも送られる。利用者装置１７への送信は、例えば定期的に行われ、また、その他の設定に従って行われる。例えば、センサ７５により来客が検知されると、映像等が利用者装置１７に送られる。また、利用者装置１７から要求されたときも、監視装置１５は映像等を送信する。
【００５３】
ＩＰ回線ユニット６３は、コントローラ６１が通信管理装置１１と通信するためのＶＰＮトンネルを構築する。また、コントローラ６１が利用者装置１７と通信するためのＶＰＮトンネルを構築する。前者は、センタ端末間ＶＰＮ２１に対応し、後者は、端末間ＶＰＮ２５に対応する。これらの接続において、ＩＰ回線ユニット６３は、ＶＰＮクライアントの機能を実現する。
【００５４】
図２では、ＩＰ回線ユニット６３がコントローラ６１の内部構成として示されている。これは、物理的な配置を表現している。通信構成としては、ＩＰ回線ユニット６３は、コントローラ６１とルータ６５の間に配置されている。そして、ＩＰ回線ユニット６３は、コントローラ６１と、イーサネット（登録商標）でＬＡＮ接続されている。ルータ６５は、ブロードバンド回線用のルータである。
【００５５】
監視対象ＰＣ７１は、監視対象５に設置されるＰＣである。本実施の形態の例では、監視対象５が店舗である。したがって、監視対象ＰＣ７１は店舗用のＰＣでよい。
【００５６】
次に、利用者装置１７について説明する。利用者装置１７は、ＶＰＮ終端装置（以下、ＶＴＥ）８１、ルータ８３及び利用者ＰＣ（パーソナルコンピュータ）８５で構成されている。
【００５７】
ＶＴＥ８１は、ブロードバンド接続のための回線終端装置である。そして、ＶＴＥ８１は、通信管理装置１１のＶＰＮサーバ３５とＶＰＮトンネルを構築し、また、監視装置１５のＩＰ回線ユニット６３とＶＰＮトンネルを構築する。前者では、ＶＴＥ８１がＶＰＮクライアントとして機能し、後者では、ＶＴＥ８１がＶＰＮサーバとして機能する。ルータ８３は、ブロードバンド回線用のルータである。
【００５８】
ＶＴＥ８１は、利用者ＰＣ８５と接続される。ＶＴＥ８１は、監視装置１５のコントローラ６１から受信した映像、音声及び制御信号を利用者ＰＣ８５に転送する。また、ＶＴＥ８１は、利用者ＰＣ８５から受信した音声及び制御信号をコントローラ６１へ転送する。
【００５９】
本実施の形態では、利用者拠点７が、店舗のオーナーの事務所等である。したがって、利用者ＰＣ８５は、店舗のオーナーのＰＣでよい。
【００６０】
以上に、監視システム１の全体的な構成を説明した。次に、本発明の特徴に係る構成について説明する。
【００６１】
上述のように、本実施の形態では、監視装置１５と通信管理装置１１がセンタ端末間ＶＰＮ２１で接続される。ＶＰＮでは、端末装置の認証のために電子証明書が好適に利用される。そこで、図１の例では、電子証明書が監視装置１５毎、より具体的にはＩＰ回線ユニット６３毎に割り振られる。電子証明書は、ＶＰＮを構築するときの認証に用いられる。また、電子証明書は、ＶＰＮ構築後にも必要に応じて利用され、例えば、電子証明書の情報を定期的に確認するときに用いられる。
【００６２】
電子証明書は、既に述べたように、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。このような電子証明書には有効期限が設定されている。そのため、有効期限が近づくと、電子証明書を更新する必要がある。
【００６３】
本実施の形態は、このような電子証明書の更新を適切に行うように構成されている。特に、本実施の形態は、端末側のＩＰ回線ユニット６３へのダウンロード中に電子証明書のデータが破損した場合を想定し、このような電子証明書破損によって通信が不能になるのを回避でき、通信不能リスクを最低限に抑えられる技術を提供する。
【００６４】
以下の説明では、更新前の現在の電子証明書を、「現証明書」といい、更新後の新しい電子証明書を「新証明書」という。現証明書は、既存のセンタ端末間ＶＰＮ２１の構築時に使われた電子証明書であり、定期的な証明書の鍵情報の確認などにも使われている電子証明書である。新証明書は、現証明書に代わってＶＰＮ構築及びその後の処理に使われるべき電子証明書である。
【００６５】
図３は、監視システム１の一部であって、本発明の電子証明書の更新に関連する主要な構成を示している。図３において、図１及び図２で説明された要素には、同一の符号が付されている。
【００６６】
図３において、通信管理装置１１とＩＰ回線ユニット６３は、センタ端末間ＶＰＮ２１を介して接続されている。電子証明書の更新処理では、通信管理装置１１のアカウント管理サーバ４１が、ＩＰ回線ユニット６３と通信する。この通信は、ＶＰＮサーバ３５を介し、センタ端末間ＶＰＮ２１を利用して行われる。
【００６７】
通信管理装置１１において、アカウント管理サーバ４１は、各々のＩＰ回線ユニット６３に割り振られる電子証明書を管理する。アカウント管理サーバ４１は、ＩＰ回線ユニット６３毎の現証明書の有効期限も管理しており、更新時期をスケジュール化している。更新時期は、有効期限から所定期間前に設定されてよい。更新時期のスケジュールは、データベース４３に記憶されていてよい。アカウント管理サーバ４１は、データベース４３を参照し、更新時期が到来すると更新通知をＩＰ回線ユニット６３に送る。そして、アカウント管理サーバ４１は、ＩＰ回線ユニット６３からのダウンロードの要求に応え、新証明書をＩＰ回線ユニット６３に送信する。
【００６８】
また、アカウント管理サーバ４１は、ＶＰＮサーバ３５に対して、認証機能に新証明書を追加する指示を送る。ここでは、新証明書のコモンネームがＶＰＮサーバ３５に伝達される。これにより、ＶＰＮサーバ３５は、新証明書の認証処理を実行可能な状態になる。
【００６９】
また、ＶＰＮサーバ３５は、新証明書のコモンネームを受け付けても、現証明書のコモンネームをすぐには破棄せず、保持しつづける。これにより、ＶＰＮサーバ３５は、新証明書及び現証明書の両方の認証を実行可能な状態におかれる。ＶＰＮサーバ３５は、新証明書を受信して、その認証に成功すると、現証明書のコモンネームを破棄し、新証明書のみを有効にするように構成されている。
【００７０】
一方、ＩＰ回線ユニット６３は、制御部１０１、記憶部１０３及び通信接続部１０５を有する。
【００７１】
記憶部１０３は、ＩＰ回線ユニット７３で処理される各種の情報を記憶する。本実施の形態に関連して、記憶部１０３は、電子証明書を記憶する。新証明書がダウンロードされたとき、記憶部１０３は、制御部１０１の制御下で、現証明書を残しつつ、新証明書を記憶する。
【００７２】
通信接続部１０５は、制御部１０１の制御下で、ＶＰＮの接続と切断を行う端末側の構成である。通信接続部１０５は、通信接続時、電子証明書を付加したＶＰＮ接続要求を通信管理装置１１に送信する。通信管理装置１１のＶＰＮサーバ３５で、電子証明書の認証が成功すると、ＶＰＮ接続が確立し、ＶＰＮトンネルが構築される。
【００７３】
制御部１０１は、ＩＰ回線ユニット６３の全体を制御する構成である。制御部１０１は、ＩＰ回線ユニット６３の機能を実現するためのプログラムをコンピュータが実行することにより実現される。制御部１０１は、本実施の形態の証明書更新機能のプログラムも実行する。これにより、制御部１０１は、記憶部１０３及び通信接続部１０５を制御して、新証明書を取得し、現証明書から新証明書への証明書更新のための処理を行う。制御部１０１の処理については以下の説明で詳細に述べる。
【００７４】
次に、図４及び図５を参照し、アカウント管理サーバ４１及びＩＰ回線ユニット６３で行われる処理を説明する。
【００７５】
図４は、アカウント管理サーバ４１の処理を示すフローチャートである。アカウント管理サーバ４１は、前述のように、ＩＰ回線ユニット６３毎の電子証明書の更新時期をスケジュールとして管理している。更新時期が到来すると、図４の処理が開始する。
【００７６】
アカウント管理サーバ４１は、ＶＰＮサーバ３５に認証可能な電子証明書として新証明書を追加することを指示する（Ｓ１）。ここでは、アカウント管理サーバ４１は、認証処理に必要な新証明書のコモンネームをＶＰＮサーバ３５に伝達し、新証明書を認証可能な電子証明書に設定させる。
【００７７】
アカウント管理サーバ４１は、さらに、更新通知をＩＰ回線ユニット６３に送る（Ｓ３）。更新通知は、新証明書の更新時期が到来したことを知らせるものである。そして、アカウント管理サーバ４１は、新証明書のダウンロードの要求をＩＰ回線ユニット６３から受信し（Ｓ５）、新証明書をＩＰ回線ユニット６３に送信する（Ｓ７）。
【００７８】
アカウント管理サーバ４１は、新証明書をダウンロードした後、ＩＰ回線ユニット６３から端末側の更新完了通知を受信したか否かを判定する（Ｓ９）。更新完了通知は、新証明書を使ったＶＰＮ接続が成功し、端末側の証明書更新が完了したことを示す。更新完了通知を受信すると、アカウント管理サーバ４１は、更新完了をデータベース４３に記録して（Ｓ１１）、更新関連の処理を終了する。
【００７９】
ステップ９で、更新完了通知が受信されない場合、アカウント管理サーバ４１は、新証明書のダウンロード完了から所定の待ち時間が経過したか否かを判断する（Ｓ１３）。ステップＳ１３がＮｏの場合（待ち時間がまだ経過していない場合）、ステップＳ９に戻り、アカウント管理サーバ４１は、更新完了通知を待ち続ける。
【００８０】
待ち時間が経過し、ステップＳ１３がＹｅｓになると、アカウント管理サーバ４１は、ステップＳ１に戻る。したがって、アカウント管理サーバ４１は、再度更新通知を送信し、新証明書をＩＰ回線ユニット６３にダウンロードする。
【００８１】
上記の待ち時間は、更新所要時間に応じて設定されている。更新所要時間は、新証明書を使ったＶＰＮ接続に要する標準的な時間である。待ち時間は、更新所要時間に適当な余裕時間を加えた時間に好適に設定される。また、待ち時間は、更新時期から現証明書の有効期間満了までの時間よりも十分短く設定される。これにより、更新時期から有効期限満了までの間に、新証明書を複数回ダウンロードすることが可能であり、証明書失効前に更新を完了できる。
【００８２】
図５は、ＩＰ回線ユニット６３の制御部１０１により実行される電子証明書の更新関連の処理を示している。図５の処理は、通信管理装置１１から更新通知を受信すると開始する。
【００８３】
図５において、制御部１０１は、更新通知を受信すると、新証明書のダウンロードの要求をアカウント管理サーバ４１に送り（Ｓ２１）、新証明書をダウンロードする（Ｓ２３）。制御部１０１は、ダウンロードした新証明書を記憶部１０３に格納する（Ｓ２５）。このとき、制御部１０１は、現証明書を記憶部１０３に残しつつ、新証明書を記憶部１０３に追加する。
【００８４】
次に、制御部１０１は、通信接続部１０５に対して、ＶＰＮの切断を指示し（Ｓ２７）、続いて、新証明書を用いたＶＰＮ接続を通信接続部１０５に指示する（Ｓ２９）。ここでは、具体的には、新証明書を含むＶＰＮ接続要求の送信が指示される。このＶＰＮ接続の指示が、本発明における通信接続の指示に相当する。通信接続部１０５は、制御部１０１の指示に従い、センタ端末間ＶＰＮ２１を一旦切断し、そして、新証明書を含むＶＰＮ接続要求を通信管理装置１１のＶＰＮサーバ３５に送る。
【００８５】
次に、制御部１０１は、ＶＰＮ接続が成功したか否かを判断する（Ｓ３１）。この判断は、ＶＰＮサーバ３５からの通知に基づいて行われる。ＶＰＮサーバ３５は、新証明書を含むＶＰＮ接続要求を受信すると、コモンネームを用いて新証明書の認証を行う。認証に失敗すると、ＶＰＮ接続も失敗する。ＶＰＮサーバ３５は、ＶＰＮ接続が成功したか失敗したかの通知をＩＰ回線ユニット６３に送る。したがって、制御部１０１は、ＶＰＮサーバ３５からの通知により、ＶＰＮ接続に成功したか否かを判断できる。
【００８６】
ステップＳ３１の判断がＹｅｓの場合、制御部１０１は、記憶部１０３の現証明書を破棄する（Ｓ３３）。また、制御部１０１は、更新完了通知をアカウント管理サーバ４１に送信する（Ｓ３５）。更新完了通知は、前述したように、ＩＰ回線ユニット６３が新証明書を使ったＶＰＮ接続に成功したことを示す。
【００８７】
一方、ステップＳ３１の判断がＮｏの場合、制御部１０１は、記憶部１０３に残してある現証明書を用いたＶＰＮ接続を通信接続部１０５に指示する（Ｓ３７）。通信接続部１０５は、制御部１０１の指示に従い、現証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る。ＶＰＮサーバ３５は、新証明書だけでなく、現証明書も認証可能な状態にある。このために、ＶＰＮサーバ３５は、現証明書のコモンネームを保持している。したがって、認証が成功し、ＶＰＮ接続も成功する。制御部１０１は、使用不能であった新証明書を破棄し（Ｓ３９）、処理を終了する。
【００８８】
上記の処理において、ステップＳ２３で新証明書が正常にダウンロードされていたとする。この場合、ＶＰＮ接続が成功し、ステップＳ３１の判断がＹｅｓになり、ステップＳ３３、Ｓ３５を経て電子証明書の更新が無事に完了する。
【００８９】
一方、ステップＳ２３で新証明書が正常にダウンロードされず、何らかの原因で新証明書のデータが破損していたとする。制御部１０１は、新証明書の破損を判別できない。そのため、制御部１０１は、ステップＳ２７で通信接続部１０５にセンタ端末間ＶＰＮ２１の切断を指示し、更に、ステップＳ２９にて、破損した新証明書を用いたＶＰＮ接続を通信接続部１０５に指示してしまう。したがって、ＶＰＮ接続は失敗に終わり、ステップＳ３１の判断がＮｏになる。
【００９０】
この場合、制御部１０１は、ステップＳ３７にて現証明書を使ったＶＰＮ接続を通信接続部１０５に指示する。これにより、通信不能状態が避けられる。その後、図４のアカウント管理サーバ４１側の処理で、所定の待ち時間が経過し、ステップＳ１３の判断がＹｅｓになり、再度更新通知が送信される。その結果、制御部１０１は新証明書を入手することができる。
【００９１】
図６は、システム全体の動作の例を示している。この例では、最初の更新処理が失敗に終わる。そして、待ち時間経過後の再度の更新処理が成功する。図６において、アカウント管理サーバ４１とＩＰ回線ユニット６３の通信は、ＶＰＮサーバ３５を介して行われる。
【００９２】
図６において、アカウント管理サーバ４１は、認証可能な電子証明書として新証明書を追加する指示をＶＰＮサーバ３５に送り（Ｓ５１）、電子証明書の更新通知をＩＰ回線ユニット６３に送る（Ｓ５３）。ＩＰ回線ユニット６３は、新証明書のダウンロード要求をアカウント管理サーバ４１に送り（Ｓ５５）、新証明書がＩＰ回線ユニット６３にダウンロードされる（Ｓ５７）。
【００９３】
こうして、最初の新証明書がダウンロードされる。ただし、新証明書のデータは破損していたとする。
【００９４】
ＩＰ回線ユニット６３は、新証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る（Ｓ５９）。新証明書のデータが破損しているため、ＶＰＮサーバ３５での認証は失敗に終わり、ＶＰＮ接続も失敗に終わり、接続失敗がＩＰ回線ユニット６３に通知される（Ｓ６１）。
【００９５】
この場合、ＩＰ回線ユニット６３は、現証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る（Ｓ６３）。今度は認証が成功し、ＶＰＮ接続も成功し、接続成功がＩＰ回線ユニット６３に通知される（Ｓ６５）。
【００９６】
こうして、新証明書のデータが破損している場合、現証明書を使ってＶＰＮ接続が確保される。しかし、このままでは、現証明書の有効期限がいつかは切れてしまう。このような事態を避けるため、下記のように再度、更新処理が行われる。
【００９７】
図６に示すように、ステップＳ６５の後、時間が経過して、新証明書のダウンロードからの経過時間が、所定の待ち時間に達する（Ｓ６７）。アカウント管理サーバ４１は、待ち時間が経過すると、再度、認証可能な電子証明書として新証明書を追加する指示をＶＰＮサーバ３５に送り（Ｓ６９）、電子証明書の更新通知をＩＰ回線ユニット６３に送る（Ｓ７１）。最初の更新動作と同様、ＩＰ回線ユニット６３は、新証明書のダウンロード要求をアカウント管理サーバ４１に送り（Ｓ７３）、新証明書がＩＰ回線ユニット６３にダウンロードされる（Ｓ７５）。ＩＰ回線ユニット６３では、現証明書を記憶部１０３に記憶させつつ、再ダウンロードした新証明書を記憶する。
【００９８】
ここでは、アカウント管理サーバ４１は、前回の新証明書とは別の新証明書をＩＰ回線ユニット６３に供給する。また、ＶＰＮサーバ３５では、ステップＳ６９の指示に応答して、別の新証明書のコモンネームが、前回の新証明書のコモンネームに上書きされる。これにより、ＶＰＮサーバ３５は、現証明書と、前回の新証明書とは別の新証明書とを認証可能な状態になる。
【００９９】
ステップＳ７５でＩＰ回線ユニット６３に再度ダウンロードされた新証明書は、破損することなく、正常にダウンロードされたとする。この場合、ＩＰ回線ユニット６３が、新証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送り（Ｓ７７）、ＶＰＮ接続が成功し、成功通知がＩＰ回線ユニット６３に送信される（Ｓ７９）。また、ＶＰＮサーバ３５は、現証明書のコモンネームを破棄し、新証明書のみを有効にする。ＩＰ回線ユニット６３が、更新完了通知をアカウント管理サーバ４１に送り（Ｓ８１）、アカウント管理サーバ４１が更新完了を記録する。
【０１００】
以上のようにして、最初の更新に失敗しても、現証明書を使ってＶＰＮ接続が確保され、再度更新を行うことができ、有効期限内に更新を完了できる。
【０１０１】
以上に本発明の実施の形態に係る電子証明書管理システムについて説明した。本実施の形態では、ＩＰ回線ユニット６３が本発明の端末装置であり、アカウント管理サーバ４１が本発明の証明書管理装置であった。本実施の形態によれば、端末装置は、新証明書を受信したときに、更新前の現証明書を記憶部１０３に残しつつ、新証明書を記憶部１０３に記憶する。そして、端末装置は、新証明書を用いた通信接続に失敗したときに、記憶部１０３に残された更新前の電子証明書を用いて通信接続を行う。したがって、ダウンロード中に新証明書のデータの破損が生じても通信が不能になるのを避けることができ、通信不能リスクを最低限に抑えられる。
【０１０２】
さらに、本発明によれば、上記のように現証明書を用いることによって通信可能な状態を確保しているので、再度、新証明書を端末装置に送信することができ、これにより電子証明書の更新を完了することもできる。
【０１０３】
また、本実施の形態によれば、端末装置は、新しい電子証明書を用いた通信接続が成功したときに、記憶部１０３に残してある現証明書を破棄する。また、端末装置は、新証明書を用いた通信接続が失敗したときに、記憶部１０３から新証明書を破棄する。これにより、現証明書と新証明書を記憶部１０３に併存させた状態から、使用不能な電子証明書を破棄し、使用可能な電子証明書を記憶部に残し、以降に電子証明書を使用する処理に適切に対応できる。
【０１０４】
また、本実施の形態によれば、本発明がＶＰＮに適用される。ＶＰＮの端末装置は、新証明書を使うためには、まず、自らＶＰＮを一旦切断してしまい、それから新証明書を含むＶＰＮ接続要求をサーバに送る。しかし、電子証明書が破損していると、ＶＰＮサーバでの認証が失敗し、ＶＰＮが構築されない。このような場合でも、本発明によれば、現証明書を使ってＶＰＮ接続を確保でき、そして、ＶＰＮを介して新しい電子証明書を再度端末装置に供給することができる。
【０１０５】
また、本実施の形態では、本発明が監視システム１に適用される。そして、監視装置１５への新証明書の通信中にデータの破損が生じても、通信が不能になる事態を避けることができる。監視システム１は、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高く、このようなニーズに本発明は好適に応えられる。
【０１０６】
上記の実施の形態では、ＩＰ回線ユニット６３の電子証明書の更新に本発明が適用された。しかし、ＶＴＥ８１の電子証明書の更新にも本発明が適用されてよい。
【０１０７】
また、本発明の範囲内で、本発明が監視システム以外に適用されてよく、ＶＰＮ以外の通信に適用されてよい。しかし、監視システムでは上記のようにシステムの安全性の要求レベルが高い。また、ＶＰＮでは、電子証明書の更新時に端末装置が一旦ＶＰＮを切断する。そのため、本発明が適用されないと、ＶＰＮの再接続が不可能になる。したがって、本発明は、ＶＰＮ利用型の監視システムにおいて特に有用であるといえる。
【０１０８】
以上に本発明の好適な実施の形態を説明したが、本発明は上述の実施の形態に限定されず、当業者が本発明の範囲内で上述の実施の形態を変形可能なことはもちろんである。
【産業上の利用可能性】
【０１０９】
本発明にかかる電子証明書管理システムは、通信の認証に電子証明書を用いるシステムにおいて有用であり、例えば監視システムに好適に適用される。
【符号の説明】
【０１１０】
１ 監視システム
３ 監視センタ
５ 監視対象
７ 利用者拠点
１１ 通信管理装置
１３ センタ装置
１５ 監視装置
１７ 利用者装置
２１ センタ端末間ＶＰＮ
２３ ＳＩＰ通信
２５ 端末間ＶＰＮ
３３ ＨＴＴＰサーバ
３５ ＶＰＮサーバ
３７ ＳＩＰサーバ
４１ アカウント管理サーバ
４３ データベース
６１ コントローラ
６３ ＩＰ回線ユニット
６５、８３ ルータ
７３ 監視カメラ
８１ ＶＰＮ終端装置（ＶＴＥ）
８５ 利用者ＰＣ
１０１ 制御部
１０３ 記憶部
１０５ 通信接続部
【技術分野】
【０００１】
本発明は、通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムに関し、特に、電子証明書の更新処理に関する。
【背景技術】
【０００２】
従来、店舗、工場等の監視対象を遠隔の監視センタで監視するシステムにおいては、監視対象に設置された監視端末が監視センタと通信する。監視端末は、監視映像や、センサによって検出された警備関連の信号などを監視センタへと送信する。
【０００３】
近年、ネットワーク技術の発展を背景として、監視システムの通信回線としてブロードバンド回線を利用することが提案されている。ただし、送信されるデータが、監視映像や警備関連の信号といったように秘匿性の要求が高いデータであるため、通信のセキュリティについての要求レベルも高い。そこで、仮想的な専用線として機能するＶＰＮ（仮想プライベートネットワーク）を監視センタと監視端末の間に構築して、通信のセキュリティを確保することが提案されている（特許文献１）。
【０００４】
監視システムにＶＰＮを適用する場合、監視センタにＶＰＮサーバを備え、各監視端末をＶＰＮクライアントとして機能させることが考えられる。監視センタと各々の監視端末の間にＶＰＮトンネルが構築され、そして、監視情報のパケットがカプセル化され、ＶＰＮトンネルを通して監視センタと監視端末の間で通信される。このような構成により、監視センタは、複数の監視端末からＶＰＮを利用して監視情報を入手できる。
【０００５】
ＶＰＮトンネルを構築するときは、クライアントである監視端末の認証が行われる。この認証には、監視端末毎に割り振られた電子証明書が好適に利用される。監視端末から監視センタへ電子証明書を含むＶＰＮ接続要求が送信され、公開鍵認証が行われ、これにより、監視端末が正規の端末であることが証明される。
【０００６】
電子証明書には、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。このような電子証明書には通常有効期限が設定されている。そのため、電子証明書の期限切れが近くなると、自動的に新しい電子証明書を発行するシステムが提案されている（特許文献２）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−２０３３１３号公報
【特許文献２】特開２００２−２１５８２６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、電子証明書の自動更新を、上述のようなＶＰＮ利用型の監視システムに適用すると、新しい電子証明書のデータが監視センタから監視端末へ送信中に破損した場合に、ＶＰＮ接続ができなくなり、監視情報をＶＰＮで送信できなくなってしまうという問題があった。
【０００９】
より詳細に説明すると、ＶＰＮにおいては、ＶＰＮクライアントとＶＰＮサーバのうちで、ＶＰＮトンネル構築を要求する役割は、ＶＰＮクライアントが担っている。ＶＰＮクライアントがＶＰＮ接続要求をＶＰＮサーバへと送り、この要求に応えてＶＰＮトンネルが構築される。また、ＶＰＮの切断もＶＰＮクライアント側の処理によって行われる。
【００１０】
したがって、監視センタ及び監視端末がそれぞれＶＰＮサーバ及びＶＰＮクライアントである場合、監視端末がＶＰＮ接続要求をＶＰＮサーバに送ることにより、ＶＰＮ接続が確立され、ＶＰＮトンネルが構築される。このとき、電子証明書がＶＰＮ接続要求に付加されて、認証に利用される。また、ＶＰＮの切断も、監視端末側の処理によって行われる。
【００１１】
さて、このような監視システムにおいて、電子証明書の期限切れが近づき、監視センタから監視端末へ新しい電子証明書をダウンロードしたとする。上述したように、ＶＰＮの接続要求と切断は、監視端末側の役目である。そこで、監視端末は、新しい電子証明書を受信すると、ＶＰＮを一旦切断し、それから新しい電子証明書を用いたＶＰＮ接続要求を監視センタに送信し、再接続を試みる。
【００１２】
しかし、監視センタから監視端末へのダウンロード中に何らかの理由で電子証明書のデータが破損していたとする。監視端末は、新しい電子証明書の破損を検出できない。そのため、新しい電子証明書が破損しているにも拘わらず、監視端末は、ＶＰＮを切断してしまう。続いて監視端末は新しい電子証明書を含むＶＰＮ接続要求を監視センタに送り、通信接続を試みるが、電子証明書のデータが破損しているために、認証が成功せず、ＶＰＮトンネルが構築されない。監視端末は自らＶＰＮを切断してしまっているので、代わりの新しい電子証明書をＶＰＮ経由でダウンロードすることすらもできない。その結果、監視端末と監視センタのＶＰＮ通信が不可能になり、監視情報も送信できなくなる。
【００１３】
監視システムは、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高い。そのため、上記のような電子証明書の破損によって通信が不能になる事態を極力回避することが望まれる。
【００１４】
上記では、ＶＰＮ利用型の監視システムを取り上げて、本発明の背景について説明した。しかし、同様の問題は、監視システム以外でも生じ得るし、ＶＰＮ以外でも生じ得る。すなわち、通信の認証に電子証明書を用いるシステムにおいて、電子証明書の更新を通信で行う場合、上記の例と同様、新しい電子証明書のデータ破損によって、通信が不能になる事態が生じるという問題がある。
【００１５】
本発明は、上記背景の下でなされたもので、その目的は、通信接続時の認証に電子証明書を用いるシステムにおいて、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けられる技術を提供することにある。
【課題を解決するための手段】
【００１６】
本発明は、通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムであって、前記証明書管理装置は、前記端末装置に記憶してある更新前の電子証明書に代えて使用すべき新しい電子証明書を前記端末装置へ送信し、前記端末装置は、前記電子証明書を記憶する記憶部と、前記電子証明書を用いて通信接続を行う通信接続部と、前記通信接続部を制御し、前記更新前の電子証明書から前記新しい電子証明書への証明書更新のための処理を行う制御部とを有し、前記制御部は、前記証明書管理装置からの前記新しい電子証明書を受信すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示する。
【００１７】
上記のように、本発明によれば、端末装置は、新しい電子証明書を受信したときに、更新前の電子証明書を記憶部に残しつつ、新しい電子証明書を記憶部に記憶する。そして、新しい電子証明書を用いた通信接続に失敗したときに、記憶部に残された更新前の電子証明書を用いて通信接続を行う。したがって、更新用の新しい電子証明書を端末装置へ送信中に電子証明書のデータの破損が生じても通信が不能になるのを避けることができる。
【００１８】
さらに、本発明によれば、上記のように更新前の電子証明書を用いることによって通信可能な状態を確保しているので、再度、新しい電子証明書を端末装置に送信することができ、これにより電子証明書の更新を完了することもできる。
【００１９】
また、本発明の別の態様は、通信接続時の認証に電子証明書が必要な通信を行う端末装置であって、前記電子証明書を記憶する記憶部と、前記電子証明書を用いて通信接続を行う通信接続部と、前記記憶部に記憶した更新前の電子証明書に代えて使用すべき新しい電子証明書を通信により取得し、前記通信接続部を制御し、証明書更新のための処理を行う制御部とを有し、前記制御部は、前記新しい電子証明書を通信により取得すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示する。
【００２０】
この端末装置の態様によっても、新しい電子証明書を受信したときに、更新前の電子証明書を記憶部に残しておくことで、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けることができ、したがって、上述の電子証明書管理システムと同様の利点が得られる。
【００２１】
また、前記制御部は、前記新しい電子証明書を用いた通信接続が成功したときに、前記記憶部に残してある前記更新前の電子証明書を破棄してよく、前記新しい電子証明書を用いた通信接続が失敗したときに、前記記憶部から前記新しい電子証明書を破棄してよい。
【００２２】
この構成により、更新前の電子証明書と新しい電子証明書を記憶部に併存させた状態から、使用不能な電子証明書を破棄し、使用可能な電子証明書を記憶部に残し、以降に電子証明書を使用する処理に適切に対応できる。
【００２３】
また、前記通信接続部は、通信接続の処理として、前記電子証明書を含むＶＰＮ接続要求を送信するように構成されてよく、前記制御部は、前記新しい電子証明書を含むＶＰＮ接続要求によるＶＰＮ接続に失敗したときに、前記記憶部に残された更新前の電子証明書を含むＶＰＮ接続要求を前記通信接続部に送信させてよい。
【００２４】
この構成では、本発明がＶＰＮに適用され、そして、電子証明書を端末装置へ送信中に破損した場合でもＶＰＮ接続が不能になることを回避できる。この点に関し、ＶＰＮの端末装置は、新しい電子証明書を使うにあたり、まず、自ら現在のＶＰＮを一旦切断してしまい、それから新しい電子証明書を含むＶＰＮ接続要求をＶＰＮサーバに送る。しかし、電子証明書が破損していると、ＶＰＮサーバでの認証が失敗し、ＶＰＮが構築されない。このような場合でも、本発明によれば、更新前の電子証明書を使ってＶＰＮ接続を確保でき、そして、ＶＰＮを介して新しい電子証明書を再度端末装置に供給することができる。
【００２５】
また、前記端末装置が監視システムの監視対象に設けられてよく、前記証明書管理装置が遠隔の監視センタに設けられてよく、前記監視対象と前記監視センタが監視情報を通信してよい。
【００２６】
上記構成では、本発明が監視システムに適用され、より具体的には、監視センタと接続される監視装置（監視端末）に適用される。監視装置から監視センタへは監視情報が送信される。そして、監視装置への新しい電子証明書の送信中にデータの破損が生じても、通信が不能になる事態を避けることができる。監視システムは、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高く、このようなニーズに本発明は好適に応えられる。
【００２７】
本発明は、上記の電子証明書管理システム及び端末装置の態様に限定されない。本発明は、その他の装置又はシステムの態様で表現されてよく、また、本発明は、方法、プログラム、又は同プログラムを記録したコンピュータで読取可能な記録媒体のかたちで実現されてよい。
【発明の効果】
【００２８】
上記のように、本発明によれば、通信の認証に電子証明書を用いるシステムにおいて、更新用の新しい電子証明書を端末装置へ送信中にデータの破損が生じても通信が不能になるのを避けることができる。
【図面の簡単な説明】
【００２９】
【図１】本実施の形態の監視システムの全体的な構成を示す図である。
【図２】監視システムの構成をより具体的に示すブロック図である。
【図３】監視システムに組み込まれた本発明の電子証明書管理システムに係る主要な構成を示すブロック図である。
【図４】アカウント管理サーバでの処理を示すフローチャートである。
【図５】ＩＰ回線ユニットでの処理を示すフローチャートである。
【図６】更新処理の動作例を示す図である。
【発明を実施するための形態】
【００３０】
以下、本発明の実施の形態について説明する。本実施の形態では、本発明の電子証明書管理システムが監視システムに適用される。監視システムでは、監視対象と監視センタとが監視情報を通信する。電子証明書管理システムは、端末装置と証明書管理装置で構成される。下記の実施の形態では、端末装置が監視対象の監視装置に設けられ、証明書管理装置が監視センタの通信管理装置に設けられる。ここではまず、監視システムの構成について説明する。
【００３１】
図１は、本発明の監視システムの全体的な構成を示している。図示のように、監視システム１では、監視センタ３、監視対象５及び利用者拠点７の間で通信が行われる。ここで利用者とは、監視システム１による監視対象５の監視サービスの利用者を意味する。本実施の形態の例では、監視対象５が店舗であり、利用者拠点７は店舗のオーナーの事務所である。
【００３２】
監視センタ３には、通信管理装置１１及び複数のセンタ装置１３が備えられており、これらは通信可能に接続されている。通信管理装置１１及び複数のセンタ装置１３は、地理的には離れた場所に配置されてよい。複数のセンタ装置１３は、複数の担当地域にそれぞれ配置されてよい。また、複数のセンタ装置１３は機能を分担してよい。例えば、あるセンタ装置１３が、警備関連の信号を処理する管制センタ装置として機能してよく、別のセンタ装置１３が、監視映像を主に処理する画像センタ装置として機能してよい。なお、本発明の範囲でセンタ装置１３が一つでもよい。
【００３３】
監視対象５及び利用者拠点７には、それぞれ、監視装置１５及び利用者装置１７が設けられている。監視装置１５及び利用者装置１７は本発明の端末に相当する。監視装置１５は、監視情報をセンタ装置１３及び利用者装置１７へ送る。監視情報は、例えば、監視カメラの画像であり、また、監視対象５にて検出された監視信号である。監視信号は、例えば異常発生を示す警備信号であり、警備信号は、監視対象５に設置されたセンサからの検出信号に基づいて生成され、あるいは、警報ボタン（スイッチ）が操作されたときに生成される。また、利用者装置１７は、監視装置１５へ制御信号や、音声信号を送る。このような利用者装置１７から監視装置１５への信号も、監視情報に含まれる。
【００３４】
図１では、１つの監視対象５及び１つの利用者拠点７が示されている。しかし、実際には、監視センタ３は複数の監視対象５及び複数の利用者拠点７と通信する。したがって、通信管理装置１１も、複数の監視装置１５及び複数の利用者装置１７と通信する。各々の監視装置１５は関連づけられた利用者装置１７（店舗のオーナーの端末）と通信する。
【００３５】
図１の監視システム１において、例えば、監視装置１５がセンサ信号等により異常を検出したとする。この場合、監視情報として警備信号が、監視対象５の映像と共に、監視センタ３へ送信される。監視センタ３では、オペレータがセンタ装置１３のモニタで警備信号や映像を確認し、警備員に必要な指示を出す。指示を受けた警備員が監視対象５に急行し、異常に対処する。
【００３６】
また例えば、監視装置１５は、監視対象５の映像等を定期的に、あるいはその他の設定に従って利用者装置１７へ送る。例えば、センサによって来客が検出されたときに、映像等が利用者装置１７へ送られる。また、利用者装置１７から映像等の送信が要求されることもある。オーナーは、映像等によって店舗の様子を把握できる。また、オーナーは、利用者装置１７から監視装置１５に音声等を送り、店員に必要事項を指示することができる。
【００３７】
次に、監視システム１の通信形態について説明する。通信管理装置１１、監視装置１５及び利用者装置１７は、インターネットに接続されている。
【００３８】
さらに、通信管理装置１１は、インターネット上でセンタ端末間ＶＰＮ（仮想プライベートネットワーク）２１によって監視装置１５及び利用者装置１７と接続される。センタ端末間ＶＰＮ２１を構築するために、通信管理装置１１にＶＰＮサーバ機能が備えられ、監視装置１５及び利用者装置１７にＶＰＮクライアント機能が備えられる。ＶＰＮでは、ＶＰＮトンネルが構築され、暗号化通信が行われ、高いセキュリティ性が実現される。
【００３９】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介してＳＩＰ通信２３を行う。ＳＩＰ通信２３は、上記のセンタ端末間ＶＰＮ２１を介して行われる。通信管理装置１１にはＳＩＰサーバ機能が備えられている。
【００４０】
また、監視装置１５と利用者装置１７は、通信管理装置１１を介さずに、直接に端末間ＶＰＮ２５によって接続される。この端末間ＶＰＮ２５を構築するために、利用者装置１７にＶＰＮサーバ機能が備えられ、監視装置１５にＶＰＮクライアント機能が備えられる。
【００４１】
ここで、センタ端末間ＶＰＮ２１は、常時接続されＶＰＮトンネルが構築されており、センタ装置１３と監視装置１５及び利用者装置１７の間での通信に利用される。これに対して、端末間ＶＰＮ２５は、必要なときのみ構築される。
【００４２】
次に、図２を参照し、監視システム１の構成をより具体的に説明する。通信管理装置１１は、ファイアウォール３１、ＨＴＴＰサーバ３３、ＶＰＮサーバ３５、ＳＩＰサーバ３７、アカウント管理サーバ４１及びデータベース４３を備える。
【００４３】
ファイアウォール３１は、通信管理装置１１と監視装置１５及び利用者装置１７との間で使用される通信データ以外のデータを遮断する装置である。ＨＴＴＰサーバ３３はインターネット接続のための構成である。ＶＰＮサーバ３５は、ＶＰＮトンネル構築のための認証と暗号化を行うサーバである。
【００４４】
ＶＰＮサーバ３５は、センタ端末間ＶＰＮ２１を実現する構成であり、通信管理装置１１と監視装置１５の間にＶＰＮを構築し、また、通信管理装置１１と利用者装置１７の間にＶＰＮを構築する。監視装置１５からの信号は、ＶＰＮサーバ３５で復号化されて、センタ装置１３へ送信される。また、センタ装置１３からの信号は、ＶＰＮサーバ３５で暗号化されて、監視装置１５へ送信される。また、通信管理装置１１が監視装置１５に信号を送るときも、ＶＰＮサーバ３５で暗号化が行われる。通信管理装置１１と利用者装置１７の通信でも、ＶＰＮサーバ３５が同様に暗号化及び復号化を行う。
【００４５】
ＳＩＰサーバ３７は、ＳＩＰプロトコルに従ってシグナリングの処理を行い、監視装置１５と利用者装置１７を接続する。ＳＩＰサーバ３７は、利用者装置１７が監視装置１５に接続を要求する場合に、もしくは、監視装置１５が利用者装置１７に接続を要求する場合に、ＳＩＰの接続制御の機能を果たす。
【００４６】
ＳＩＰのシグナリングでは、メッセージが交換される。具体的には、ＩＮＶＩＴＥ（招待）メッセージとＯＫメッセージが交換される。このメッセージ交換を利用して、前述したように、ＶＰＮ接続確立のためにＩＰアドレス及び電子証明書が交換される。
【００４７】
アカウント管理サーバ４１は、認証等の各種の情報を管理するサーバである。管理される情報は、データベース４３に格納される。管理される情報は、ＩＰ回線のアカウント、ＶＰＮ接続（トンネル構築）のための電子証明書、鍵ペアの情報を含む。また、本実施の形態では、ＳＩＰのシグナリングの過程で、端末間の接続について認証及び認可が行われる。この処理のための情報も、データベース４３に保持され、アカウント管理サーバ４１に使用される。尚、端末間の接続についての認証及び認可はＳＩＰサーバ３７自身が行うようにすることもできる。
【００４８】
センタ装置１３は、監視卓５１と回線接続装置５３を備える。監視卓５１が回線接続装置５３を介して通信管理装置１１に接続される。例えば、センタ装置１３が画像センタである場合、監視映像が監視卓５１に供給され、監視卓５１にて管理される。また、センタ装置１３が管制センタである場合、警備関連の情報が監視卓５１に供給される。監視映像も管制センタのモニタに好適に表示される。監視映像等は、センタ装置同士の間でも通信されてよい。
【００４９】
次に、監視装置１５について説明する。監視装置１５は、コントローラ６１、ＩＰ回線ユニット６３、ルータ６５、周辺機器６７及び監視対象ＰＣ（パーソナルコンピュータ）７１で構成されている。
【００５０】
コントローラ６１はコンピュータで構成されており、周辺機器６７と連携して、監視機能を実現する。コントローラ６１は、監視センタ３とはＩＰ回線ユニット６３を介して接続される。また、コントローラ６１は、利用者装置１７とも、ＩＰ回線ユニット６３を介して接続される。
【００５１】
図２では、周辺機器６７として監視カメラ７３、センサ７５及び警報ボタン７７が例示されている。コントローラ６１は、監視映像に対して画像認識処理を施して異常を検出する。また、コントローラ６１は、センサ７５から入力される検出信号により、異常を検出する。警報ボタン７７が押されたときにも異常が検出される。その他の周辺機器が異常検出に用いられてよい。異常が発生すると、コントローラ６１はセンタ装置１３と通信し、警備信号と画像信号を送信する。監視カメラ７３と共にマイクが備えられており、音声信号も送信される。このようにして、コントローラ６１は監視対象５の警備機能を実現する。
【００５２】
また、監視映像及び音声は、センタ装置１３から要求されたときにも送信される。さらに、監視映像及び音声は、利用者装置１７にも送られる。利用者装置１７への送信は、例えば定期的に行われ、また、その他の設定に従って行われる。例えば、センサ７５により来客が検知されると、映像等が利用者装置１７に送られる。また、利用者装置１７から要求されたときも、監視装置１５は映像等を送信する。
【００５３】
ＩＰ回線ユニット６３は、コントローラ６１が通信管理装置１１と通信するためのＶＰＮトンネルを構築する。また、コントローラ６１が利用者装置１７と通信するためのＶＰＮトンネルを構築する。前者は、センタ端末間ＶＰＮ２１に対応し、後者は、端末間ＶＰＮ２５に対応する。これらの接続において、ＩＰ回線ユニット６３は、ＶＰＮクライアントの機能を実現する。
【００５４】
図２では、ＩＰ回線ユニット６３がコントローラ６１の内部構成として示されている。これは、物理的な配置を表現している。通信構成としては、ＩＰ回線ユニット６３は、コントローラ６１とルータ６５の間に配置されている。そして、ＩＰ回線ユニット６３は、コントローラ６１と、イーサネット（登録商標）でＬＡＮ接続されている。ルータ６５は、ブロードバンド回線用のルータである。
【００５５】
監視対象ＰＣ７１は、監視対象５に設置されるＰＣである。本実施の形態の例では、監視対象５が店舗である。したがって、監視対象ＰＣ７１は店舗用のＰＣでよい。
【００５６】
次に、利用者装置１７について説明する。利用者装置１７は、ＶＰＮ終端装置（以下、ＶＴＥ）８１、ルータ８３及び利用者ＰＣ（パーソナルコンピュータ）８５で構成されている。
【００５７】
ＶＴＥ８１は、ブロードバンド接続のための回線終端装置である。そして、ＶＴＥ８１は、通信管理装置１１のＶＰＮサーバ３５とＶＰＮトンネルを構築し、また、監視装置１５のＩＰ回線ユニット６３とＶＰＮトンネルを構築する。前者では、ＶＴＥ８１がＶＰＮクライアントとして機能し、後者では、ＶＴＥ８１がＶＰＮサーバとして機能する。ルータ８３は、ブロードバンド回線用のルータである。
【００５８】
ＶＴＥ８１は、利用者ＰＣ８５と接続される。ＶＴＥ８１は、監視装置１５のコントローラ６１から受信した映像、音声及び制御信号を利用者ＰＣ８５に転送する。また、ＶＴＥ８１は、利用者ＰＣ８５から受信した音声及び制御信号をコントローラ６１へ転送する。
【００５９】
本実施の形態では、利用者拠点７が、店舗のオーナーの事務所等である。したがって、利用者ＰＣ８５は、店舗のオーナーのＰＣでよい。
【００６０】
以上に、監視システム１の全体的な構成を説明した。次に、本発明の特徴に係る構成について説明する。
【００６１】
上述のように、本実施の形態では、監視装置１５と通信管理装置１１がセンタ端末間ＶＰＮ２１で接続される。ＶＰＮでは、端末装置の認証のために電子証明書が好適に利用される。そこで、図１の例では、電子証明書が監視装置１５毎、より具体的にはＩＰ回線ユニット６３毎に割り振られる。電子証明書は、ＶＰＮを構築するときの認証に用いられる。また、電子証明書は、ＶＰＮ構築後にも必要に応じて利用され、例えば、電子証明書の情報を定期的に確認するときに用いられる。
【００６２】
電子証明書は、既に述べたように、電子署名等の正当性を検証する際に利用され、信頼のある第三者機関から発行されるものを用いる。このような電子証明書には有効期限が設定されている。そのため、有効期限が近づくと、電子証明書を更新する必要がある。
【００６３】
本実施の形態は、このような電子証明書の更新を適切に行うように構成されている。特に、本実施の形態は、端末側のＩＰ回線ユニット６３へのダウンロード中に電子証明書のデータが破損した場合を想定し、このような電子証明書破損によって通信が不能になるのを回避でき、通信不能リスクを最低限に抑えられる技術を提供する。
【００６４】
以下の説明では、更新前の現在の電子証明書を、「現証明書」といい、更新後の新しい電子証明書を「新証明書」という。現証明書は、既存のセンタ端末間ＶＰＮ２１の構築時に使われた電子証明書であり、定期的な証明書の鍵情報の確認などにも使われている電子証明書である。新証明書は、現証明書に代わってＶＰＮ構築及びその後の処理に使われるべき電子証明書である。
【００６５】
図３は、監視システム１の一部であって、本発明の電子証明書の更新に関連する主要な構成を示している。図３において、図１及び図２で説明された要素には、同一の符号が付されている。
【００６６】
図３において、通信管理装置１１とＩＰ回線ユニット６３は、センタ端末間ＶＰＮ２１を介して接続されている。電子証明書の更新処理では、通信管理装置１１のアカウント管理サーバ４１が、ＩＰ回線ユニット６３と通信する。この通信は、ＶＰＮサーバ３５を介し、センタ端末間ＶＰＮ２１を利用して行われる。
【００６７】
通信管理装置１１において、アカウント管理サーバ４１は、各々のＩＰ回線ユニット６３に割り振られる電子証明書を管理する。アカウント管理サーバ４１は、ＩＰ回線ユニット６３毎の現証明書の有効期限も管理しており、更新時期をスケジュール化している。更新時期は、有効期限から所定期間前に設定されてよい。更新時期のスケジュールは、データベース４３に記憶されていてよい。アカウント管理サーバ４１は、データベース４３を参照し、更新時期が到来すると更新通知をＩＰ回線ユニット６３に送る。そして、アカウント管理サーバ４１は、ＩＰ回線ユニット６３からのダウンロードの要求に応え、新証明書をＩＰ回線ユニット６３に送信する。
【００６８】
また、アカウント管理サーバ４１は、ＶＰＮサーバ３５に対して、認証機能に新証明書を追加する指示を送る。ここでは、新証明書のコモンネームがＶＰＮサーバ３５に伝達される。これにより、ＶＰＮサーバ３５は、新証明書の認証処理を実行可能な状態になる。
【００６９】
また、ＶＰＮサーバ３５は、新証明書のコモンネームを受け付けても、現証明書のコモンネームをすぐには破棄せず、保持しつづける。これにより、ＶＰＮサーバ３５は、新証明書及び現証明書の両方の認証を実行可能な状態におかれる。ＶＰＮサーバ３５は、新証明書を受信して、その認証に成功すると、現証明書のコモンネームを破棄し、新証明書のみを有効にするように構成されている。
【００７０】
一方、ＩＰ回線ユニット６３は、制御部１０１、記憶部１０３及び通信接続部１０５を有する。
【００７１】
記憶部１０３は、ＩＰ回線ユニット７３で処理される各種の情報を記憶する。本実施の形態に関連して、記憶部１０３は、電子証明書を記憶する。新証明書がダウンロードされたとき、記憶部１０３は、制御部１０１の制御下で、現証明書を残しつつ、新証明書を記憶する。
【００７２】
通信接続部１０５は、制御部１０１の制御下で、ＶＰＮの接続と切断を行う端末側の構成である。通信接続部１０５は、通信接続時、電子証明書を付加したＶＰＮ接続要求を通信管理装置１１に送信する。通信管理装置１１のＶＰＮサーバ３５で、電子証明書の認証が成功すると、ＶＰＮ接続が確立し、ＶＰＮトンネルが構築される。
【００７３】
制御部１０１は、ＩＰ回線ユニット６３の全体を制御する構成である。制御部１０１は、ＩＰ回線ユニット６３の機能を実現するためのプログラムをコンピュータが実行することにより実現される。制御部１０１は、本実施の形態の証明書更新機能のプログラムも実行する。これにより、制御部１０１は、記憶部１０３及び通信接続部１０５を制御して、新証明書を取得し、現証明書から新証明書への証明書更新のための処理を行う。制御部１０１の処理については以下の説明で詳細に述べる。
【００７４】
次に、図４及び図５を参照し、アカウント管理サーバ４１及びＩＰ回線ユニット６３で行われる処理を説明する。
【００７５】
図４は、アカウント管理サーバ４１の処理を示すフローチャートである。アカウント管理サーバ４１は、前述のように、ＩＰ回線ユニット６３毎の電子証明書の更新時期をスケジュールとして管理している。更新時期が到来すると、図４の処理が開始する。
【００７６】
アカウント管理サーバ４１は、ＶＰＮサーバ３５に認証可能な電子証明書として新証明書を追加することを指示する（Ｓ１）。ここでは、アカウント管理サーバ４１は、認証処理に必要な新証明書のコモンネームをＶＰＮサーバ３５に伝達し、新証明書を認証可能な電子証明書に設定させる。
【００７７】
アカウント管理サーバ４１は、さらに、更新通知をＩＰ回線ユニット６３に送る（Ｓ３）。更新通知は、新証明書の更新時期が到来したことを知らせるものである。そして、アカウント管理サーバ４１は、新証明書のダウンロードの要求をＩＰ回線ユニット６３から受信し（Ｓ５）、新証明書をＩＰ回線ユニット６３に送信する（Ｓ７）。
【００７８】
アカウント管理サーバ４１は、新証明書をダウンロードした後、ＩＰ回線ユニット６３から端末側の更新完了通知を受信したか否かを判定する（Ｓ９）。更新完了通知は、新証明書を使ったＶＰＮ接続が成功し、端末側の証明書更新が完了したことを示す。更新完了通知を受信すると、アカウント管理サーバ４１は、更新完了をデータベース４３に記録して（Ｓ１１）、更新関連の処理を終了する。
【００７９】
ステップ９で、更新完了通知が受信されない場合、アカウント管理サーバ４１は、新証明書のダウンロード完了から所定の待ち時間が経過したか否かを判断する（Ｓ１３）。ステップＳ１３がＮｏの場合（待ち時間がまだ経過していない場合）、ステップＳ９に戻り、アカウント管理サーバ４１は、更新完了通知を待ち続ける。
【００８０】
待ち時間が経過し、ステップＳ１３がＹｅｓになると、アカウント管理サーバ４１は、ステップＳ１に戻る。したがって、アカウント管理サーバ４１は、再度更新通知を送信し、新証明書をＩＰ回線ユニット６３にダウンロードする。
【００８１】
上記の待ち時間は、更新所要時間に応じて設定されている。更新所要時間は、新証明書を使ったＶＰＮ接続に要する標準的な時間である。待ち時間は、更新所要時間に適当な余裕時間を加えた時間に好適に設定される。また、待ち時間は、更新時期から現証明書の有効期間満了までの時間よりも十分短く設定される。これにより、更新時期から有効期限満了までの間に、新証明書を複数回ダウンロードすることが可能であり、証明書失効前に更新を完了できる。
【００８２】
図５は、ＩＰ回線ユニット６３の制御部１０１により実行される電子証明書の更新関連の処理を示している。図５の処理は、通信管理装置１１から更新通知を受信すると開始する。
【００８３】
図５において、制御部１０１は、更新通知を受信すると、新証明書のダウンロードの要求をアカウント管理サーバ４１に送り（Ｓ２１）、新証明書をダウンロードする（Ｓ２３）。制御部１０１は、ダウンロードした新証明書を記憶部１０３に格納する（Ｓ２５）。このとき、制御部１０１は、現証明書を記憶部１０３に残しつつ、新証明書を記憶部１０３に追加する。
【００８４】
次に、制御部１０１は、通信接続部１０５に対して、ＶＰＮの切断を指示し（Ｓ２７）、続いて、新証明書を用いたＶＰＮ接続を通信接続部１０５に指示する（Ｓ２９）。ここでは、具体的には、新証明書を含むＶＰＮ接続要求の送信が指示される。このＶＰＮ接続の指示が、本発明における通信接続の指示に相当する。通信接続部１０５は、制御部１０１の指示に従い、センタ端末間ＶＰＮ２１を一旦切断し、そして、新証明書を含むＶＰＮ接続要求を通信管理装置１１のＶＰＮサーバ３５に送る。
【００８５】
次に、制御部１０１は、ＶＰＮ接続が成功したか否かを判断する（Ｓ３１）。この判断は、ＶＰＮサーバ３５からの通知に基づいて行われる。ＶＰＮサーバ３５は、新証明書を含むＶＰＮ接続要求を受信すると、コモンネームを用いて新証明書の認証を行う。認証に失敗すると、ＶＰＮ接続も失敗する。ＶＰＮサーバ３５は、ＶＰＮ接続が成功したか失敗したかの通知をＩＰ回線ユニット６３に送る。したがって、制御部１０１は、ＶＰＮサーバ３５からの通知により、ＶＰＮ接続に成功したか否かを判断できる。
【００８６】
ステップＳ３１の判断がＹｅｓの場合、制御部１０１は、記憶部１０３の現証明書を破棄する（Ｓ３３）。また、制御部１０１は、更新完了通知をアカウント管理サーバ４１に送信する（Ｓ３５）。更新完了通知は、前述したように、ＩＰ回線ユニット６３が新証明書を使ったＶＰＮ接続に成功したことを示す。
【００８７】
一方、ステップＳ３１の判断がＮｏの場合、制御部１０１は、記憶部１０３に残してある現証明書を用いたＶＰＮ接続を通信接続部１０５に指示する（Ｓ３７）。通信接続部１０５は、制御部１０１の指示に従い、現証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る。ＶＰＮサーバ３５は、新証明書だけでなく、現証明書も認証可能な状態にある。このために、ＶＰＮサーバ３５は、現証明書のコモンネームを保持している。したがって、認証が成功し、ＶＰＮ接続も成功する。制御部１０１は、使用不能であった新証明書を破棄し（Ｓ３９）、処理を終了する。
【００８８】
上記の処理において、ステップＳ２３で新証明書が正常にダウンロードされていたとする。この場合、ＶＰＮ接続が成功し、ステップＳ３１の判断がＹｅｓになり、ステップＳ３３、Ｓ３５を経て電子証明書の更新が無事に完了する。
【００８９】
一方、ステップＳ２３で新証明書が正常にダウンロードされず、何らかの原因で新証明書のデータが破損していたとする。制御部１０１は、新証明書の破損を判別できない。そのため、制御部１０１は、ステップＳ２７で通信接続部１０５にセンタ端末間ＶＰＮ２１の切断を指示し、更に、ステップＳ２９にて、破損した新証明書を用いたＶＰＮ接続を通信接続部１０５に指示してしまう。したがって、ＶＰＮ接続は失敗に終わり、ステップＳ３１の判断がＮｏになる。
【００９０】
この場合、制御部１０１は、ステップＳ３７にて現証明書を使ったＶＰＮ接続を通信接続部１０５に指示する。これにより、通信不能状態が避けられる。その後、図４のアカウント管理サーバ４１側の処理で、所定の待ち時間が経過し、ステップＳ１３の判断がＹｅｓになり、再度更新通知が送信される。その結果、制御部１０１は新証明書を入手することができる。
【００９１】
図６は、システム全体の動作の例を示している。この例では、最初の更新処理が失敗に終わる。そして、待ち時間経過後の再度の更新処理が成功する。図６において、アカウント管理サーバ４１とＩＰ回線ユニット６３の通信は、ＶＰＮサーバ３５を介して行われる。
【００９２】
図６において、アカウント管理サーバ４１は、認証可能な電子証明書として新証明書を追加する指示をＶＰＮサーバ３５に送り（Ｓ５１）、電子証明書の更新通知をＩＰ回線ユニット６３に送る（Ｓ５３）。ＩＰ回線ユニット６３は、新証明書のダウンロード要求をアカウント管理サーバ４１に送り（Ｓ５５）、新証明書がＩＰ回線ユニット６３にダウンロードされる（Ｓ５７）。
【００９３】
こうして、最初の新証明書がダウンロードされる。ただし、新証明書のデータは破損していたとする。
【００９４】
ＩＰ回線ユニット６３は、新証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る（Ｓ５９）。新証明書のデータが破損しているため、ＶＰＮサーバ３５での認証は失敗に終わり、ＶＰＮ接続も失敗に終わり、接続失敗がＩＰ回線ユニット６３に通知される（Ｓ６１）。
【００９５】
この場合、ＩＰ回線ユニット６３は、現証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送る（Ｓ６３）。今度は認証が成功し、ＶＰＮ接続も成功し、接続成功がＩＰ回線ユニット６３に通知される（Ｓ６５）。
【００９６】
こうして、新証明書のデータが破損している場合、現証明書を使ってＶＰＮ接続が確保される。しかし、このままでは、現証明書の有効期限がいつかは切れてしまう。このような事態を避けるため、下記のように再度、更新処理が行われる。
【００９７】
図６に示すように、ステップＳ６５の後、時間が経過して、新証明書のダウンロードからの経過時間が、所定の待ち時間に達する（Ｓ６７）。アカウント管理サーバ４１は、待ち時間が経過すると、再度、認証可能な電子証明書として新証明書を追加する指示をＶＰＮサーバ３５に送り（Ｓ６９）、電子証明書の更新通知をＩＰ回線ユニット６３に送る（Ｓ７１）。最初の更新動作と同様、ＩＰ回線ユニット６３は、新証明書のダウンロード要求をアカウント管理サーバ４１に送り（Ｓ７３）、新証明書がＩＰ回線ユニット６３にダウンロードされる（Ｓ７５）。ＩＰ回線ユニット６３では、現証明書を記憶部１０３に記憶させつつ、再ダウンロードした新証明書を記憶する。
【００９８】
ここでは、アカウント管理サーバ４１は、前回の新証明書とは別の新証明書をＩＰ回線ユニット６３に供給する。また、ＶＰＮサーバ３５では、ステップＳ６９の指示に応答して、別の新証明書のコモンネームが、前回の新証明書のコモンネームに上書きされる。これにより、ＶＰＮサーバ３５は、現証明書と、前回の新証明書とは別の新証明書とを認証可能な状態になる。
【００９９】
ステップＳ７５でＩＰ回線ユニット６３に再度ダウンロードされた新証明書は、破損することなく、正常にダウンロードされたとする。この場合、ＩＰ回線ユニット６３が、新証明書を含むＶＰＮ接続要求をＶＰＮサーバ３５に送り（Ｓ７７）、ＶＰＮ接続が成功し、成功通知がＩＰ回線ユニット６３に送信される（Ｓ７９）。また、ＶＰＮサーバ３５は、現証明書のコモンネームを破棄し、新証明書のみを有効にする。ＩＰ回線ユニット６３が、更新完了通知をアカウント管理サーバ４１に送り（Ｓ８１）、アカウント管理サーバ４１が更新完了を記録する。
【０１００】
以上のようにして、最初の更新に失敗しても、現証明書を使ってＶＰＮ接続が確保され、再度更新を行うことができ、有効期限内に更新を完了できる。
【０１０１】
以上に本発明の実施の形態に係る電子証明書管理システムについて説明した。本実施の形態では、ＩＰ回線ユニット６３が本発明の端末装置であり、アカウント管理サーバ４１が本発明の証明書管理装置であった。本実施の形態によれば、端末装置は、新証明書を受信したときに、更新前の現証明書を記憶部１０３に残しつつ、新証明書を記憶部１０３に記憶する。そして、端末装置は、新証明書を用いた通信接続に失敗したときに、記憶部１０３に残された更新前の電子証明書を用いて通信接続を行う。したがって、ダウンロード中に新証明書のデータの破損が生じても通信が不能になるのを避けることができ、通信不能リスクを最低限に抑えられる。
【０１０２】
さらに、本発明によれば、上記のように現証明書を用いることによって通信可能な状態を確保しているので、再度、新証明書を端末装置に送信することができ、これにより電子証明書の更新を完了することもできる。
【０１０３】
また、本実施の形態によれば、端末装置は、新しい電子証明書を用いた通信接続が成功したときに、記憶部１０３に残してある現証明書を破棄する。また、端末装置は、新証明書を用いた通信接続が失敗したときに、記憶部１０３から新証明書を破棄する。これにより、現証明書と新証明書を記憶部１０３に併存させた状態から、使用不能な電子証明書を破棄し、使用可能な電子証明書を記憶部に残し、以降に電子証明書を使用する処理に適切に対応できる。
【０１０４】
また、本実施の形態によれば、本発明がＶＰＮに適用される。ＶＰＮの端末装置は、新証明書を使うためには、まず、自らＶＰＮを一旦切断してしまい、それから新証明書を含むＶＰＮ接続要求をサーバに送る。しかし、電子証明書が破損していると、ＶＰＮサーバでの認証が失敗し、ＶＰＮが構築されない。このような場合でも、本発明によれば、現証明書を使ってＶＰＮ接続を確保でき、そして、ＶＰＮを介して新しい電子証明書を再度端末装置に供給することができる。
【０１０５】
また、本実施の形態では、本発明が監視システム１に適用される。そして、監視装置１５への新証明書の通信中にデータの破損が生じても、通信が不能になる事態を避けることができる。監視システム１は、警備等の役割も果たしており、システムの安全性や安定性に対する要求のレベルが高く、このようなニーズに本発明は好適に応えられる。
【０１０６】
上記の実施の形態では、ＩＰ回線ユニット６３の電子証明書の更新に本発明が適用された。しかし、ＶＴＥ８１の電子証明書の更新にも本発明が適用されてよい。
【０１０７】
また、本発明の範囲内で、本発明が監視システム以外に適用されてよく、ＶＰＮ以外の通信に適用されてよい。しかし、監視システムでは上記のようにシステムの安全性の要求レベルが高い。また、ＶＰＮでは、電子証明書の更新時に端末装置が一旦ＶＰＮを切断する。そのため、本発明が適用されないと、ＶＰＮの再接続が不可能になる。したがって、本発明は、ＶＰＮ利用型の監視システムにおいて特に有用であるといえる。
【０１０８】
以上に本発明の好適な実施の形態を説明したが、本発明は上述の実施の形態に限定されず、当業者が本発明の範囲内で上述の実施の形態を変形可能なことはもちろんである。
【産業上の利用可能性】
【０１０９】
本発明にかかる電子証明書管理システムは、通信の認証に電子証明書を用いるシステムにおいて有用であり、例えば監視システムに好適に適用される。
【符号の説明】
【０１１０】
１ 監視システム
３ 監視センタ
５ 監視対象
７ 利用者拠点
１１ 通信管理装置
１３ センタ装置
１５ 監視装置
１７ 利用者装置
２１ センタ端末間ＶＰＮ
２３ ＳＩＰ通信
２５ 端末間ＶＰＮ
３３ ＨＴＴＰサーバ
３５ ＶＰＮサーバ
３７ ＳＩＰサーバ
４１ アカウント管理サーバ
４３ データベース
６１ コントローラ
６３ ＩＰ回線ユニット
６５、８３ ルータ
７３ 監視カメラ
８１ ＶＰＮ終端装置（ＶＴＥ）
８５ 利用者ＰＣ
１０１ 制御部
１０３ 記憶部
１０５ 通信接続部
【特許請求の範囲】
【請求項１】
通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムであって、
前記証明書管理装置は、前記端末装置に記憶してある更新前の電子証明書に代えて使用すべき新しい電子証明書を前記端末装置へ送信し、
前記端末装置は、
前記電子証明書を記憶する記憶部と、
前記電子証明書を用いて通信接続を行う通信接続部と、
前記通信接続部を制御し、前記更新前の電子証明書から前記新しい電子証明書への証明書更新のための処理を行う制御部とを有し、
前記制御部は、前記証明書管理装置からの前記新しい電子証明書を受信すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示することを特徴とする通信認証用の電子証明書管理システム。
【請求項２】
通信接続時の認証に電子証明書が必要な通信を行う端末装置であって、
前記電子証明書を記憶する記憶部と、
前記電子証明書を用いて通信接続を行う通信接続部と、
前記記憶部に記憶した更新前の電子証明書に代えて使用すべき新しい電子証明書を通信により取得し、前記通信接続部を制御し、証明書更新のための処理を行う制御部とを有し、
前記制御部は、前記新しい電子証明書を通信により取得すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示することを特徴とする端末装置。
【請求項３】
前記制御部は、前記新しい電子証明書を用いた通信接続が成功したときに、前記記憶部に残してある前記更新前の電子証明書を破棄し、前記新しい電子証明書を用いた通信接続が失敗したときに、前記記憶部から前記新しい電子証明書を破棄することを特徴とする請求項２に記載の端末装置。
【請求項４】
前記通信接続部は、通信接続の処理として、前記電子証明書を含むＶＰＮ接続要求を送信するように構成され、
前記制御部は、前記新しい電子証明書を含むＶＰＮ接続要求によるＶＰＮ接続に失敗したときに、前記記憶部に残された更新前の電子証明書を含むＶＰＮ接続要求を前記通信接続部に送信させることを特徴とする請求項２又は３に記載の端末装置。
【請求項５】
前記端末装置が監視システムの監視対象に設けられ、前記証明書管理装置が遠隔の監視センタに設けられ、前記監視対象と前記監視センタが監視情報を通信することを特徴とする請求項２〜４のいずれかに記載の端末装置。
【請求項１】
通信接続時の認証のために端末装置に割り当てられた電子証明書を証明書管理装置で管理する通信認証用の電子証明書管理システムであって、
前記証明書管理装置は、前記端末装置に記憶してある更新前の電子証明書に代えて使用すべき新しい電子証明書を前記端末装置へ送信し、
前記端末装置は、
前記電子証明書を記憶する記憶部と、
前記電子証明書を用いて通信接続を行う通信接続部と、
前記通信接続部を制御し、前記更新前の電子証明書から前記新しい電子証明書への証明書更新のための処理を行う制御部とを有し、
前記制御部は、前記証明書管理装置からの前記新しい電子証明書を受信すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示することを特徴とする通信認証用の電子証明書管理システム。
【請求項２】
通信接続時の認証に電子証明書が必要な通信を行う端末装置であって、
前記電子証明書を記憶する記憶部と、
前記電子証明書を用いて通信接続を行う通信接続部と、
前記記憶部に記憶した更新前の電子証明書に代えて使用すべき新しい電子証明書を通信により取得し、前記通信接続部を制御し、証明書更新のための処理を行う制御部とを有し、
前記制御部は、前記新しい電子証明書を通信により取得すると、前記記憶部に前記更新前の電子証明書を残しつつ、前記新しい電子証明書を記憶させ、前記通信接続部に前記新しい電子証明書を用いた通信接続を指示し、前記新しい電子証明書を用いた通信接続に失敗したときに、前記記憶部に残された更新前の電子証明書を用いた通信接続を前記通信接続部に指示することを特徴とする端末装置。
【請求項３】
前記制御部は、前記新しい電子証明書を用いた通信接続が成功したときに、前記記憶部に残してある前記更新前の電子証明書を破棄し、前記新しい電子証明書を用いた通信接続が失敗したときに、前記記憶部から前記新しい電子証明書を破棄することを特徴とする請求項２に記載の端末装置。
【請求項４】
前記通信接続部は、通信接続の処理として、前記電子証明書を含むＶＰＮ接続要求を送信するように構成され、
前記制御部は、前記新しい電子証明書を含むＶＰＮ接続要求によるＶＰＮ接続に失敗したときに、前記記憶部に残された更新前の電子証明書を含むＶＰＮ接続要求を前記通信接続部に送信させることを特徴とする請求項２又は３に記載の端末装置。
【請求項５】
前記端末装置が監視システムの監視対象に設けられ、前記証明書管理装置が遠隔の監視センタに設けられ、前記監視対象と前記監視センタが監視情報を通信することを特徴とする請求項２〜４のいずれかに記載の端末装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１０−２５１９４５（Ｐ２０１０−２５１９４５Ａ）
【公開日】平成２２年１１月４日（２０１０．１１．４）
【国際特許分類】
【出願番号】特願２００９−９７７９３（Ｐ２００９−９７７９３）
【出願日】平成２１年４月１４日（２００９．４．１４）
【出願人】（０００１０８０８５）セコム株式会社 (596)
【Ｆターム（参考）】
【公開日】平成２２年１１月４日（２０１０．１１．４）
【国際特許分類】
【出願日】平成２１年４月１４日（２００９．４．１４）
【出願人】（０００１０８０８５）セコム株式会社 (596)
【Ｆターム（参考）】
[ Back to top ]