JP2007335962A - センサノードのデータ保護方法、センサノードを配布するための計算機システム及びセンサノード - Google Patents

Abstract

【課題】センサノードと基地局間の秘密情報共有方法及び相互認証方法の確立、並びに、センサノードに搭載されているデータを物理的な攻撃から保護する。
【解決手段】耐タンパデバイス１２１を有するセンサノード１０６に対してセンサノード発行処理を行う。センサノード発行処理とは、センサノードの製造からセンサノードを運用するシステムまでの間に、センサノードの耐タンパデバイスに情報と機能を無効化して搭載する処理である。無効化された情報と機能を有効化するためには有効化情報を用いる。この有効化情報を発行処理の各段階において情報管理システムを用いて共有化する。これによりセンサノードと基地局間の秘密情報共有及び相互認証、並びに、センサノードに搭載されているデータの物理的な攻撃からの保護を実現する。
【選択図】図１

Description

本発明はセンサノードを用いた通信技術に係わり、特にセンサノードと基地局間の秘密情報と機能の共有及び、センサノードに搭載されているデータ保護を行うための技術に関する。

近年、多数のセンサノードが近距離無線通信によって接続されるセンサネットが普及している。このセンサネットでは、無線通信で情報をブロードキャストすることにより、盗聴、改ざん、なりすまし、など、またセンサノードを管理者の居ない場所に配置することが多いため、センサノードから物理的な手段によるセンサノードに搭載されている情報の略奪などのセキュリティリスクが問題となっている。

非特許文献１では、センサノードに与えられている暗号鍵などの秘密情報を利用することによりセンサノード間の無線通信をセキュリティリスクから保護している。

また特許文献１、特許文献２及び特許文献３は秘密情報の搭載と、この秘密情報を用いて基地局がセンサノードを認証することにより、セキュリティリスクからの保護を実現する。
特開２００３−８７２４２号公報 特開２００４−３１８８８１号公報 特開２００４−２４１９７６号公報 Security Services Specification Revision 13, Version 1.00（ZigBee Alliance、December 14、2004）

本発明の課題は、電力などリソースに制限のあるセンサノードにおいて、センサノード及びセンサノードと無線通信を行う基地局間の通信を盗聴、改ざんなどのセキュリティリスクから保護すること、及びセンサノードに搭載されている情報を物理的に略奪する攻撃から保護すること、である。なお、センサノードに対する攻撃は、例えば、情報を格納したＩＣに対して高電圧をかけたり、レーザ光を照射することでＩＣを誤動作させて情報を不正に取得することを指す。

非特許文献１では、セキュリティリスクからの保護のためにセンサノードが共有する秘密情報を利用するが、秘密情報共有方法についての記述はない。

特許文献１、特許文献２及び特許文献３は秘密情報の搭載と、基地局によるセンサノードの認証を全てのセンサノードに対して一様に行う。このため、運用時には無線通信可能な範囲に存在し、秘密情報を知る全ての計算機システムがセンサノードを利用可能になる。しかしセンサノードは基地局の認証を行わないため、センサノードが基地局の正当性を判定し、正当な基地局にのみ読解可能な形態でデータを送信することができない、という問題があった。

また、センサノードの利用形態から、センサノードの盗難を防ぐことは難しいと考えられる。したがって、盗難後、センサノードに搭載されている情報の物理的に略奪する攻撃によって、システム全体に被害が及ぶ場合があり得るため、これに対する防御策が必要であった。

したがって、本発明はセンサノードと基地局間の秘密情報共有方法及び相互認証方法の確立、並びに、センサノードに搭載されているデータを物理的な攻撃から保護する方法の確立を目的とする。特に、センサノードを製造してからセンサノードの使用を開始するまでの期間のセンサノードに格納された情報の保護を目的とする。

本発明は、基地局または第１の計算機システムあるいは第２の計算機システムと通信を行う無線通信部と、情報を保持する記憶部と、を備えたセンサノードに固有の情報を設定し、当該固有の情報を保護するセンサノードのデータ保護方法であって、前記第１の計算機システムが、第１の鍵と第２の鍵とを生成し、前記第１の計算機システムが、前記第１の鍵で前記固有の情報を無効化し、前記センサノードの記憶部へ当該無効化した固有の情報を格納し、前記第１の計算機システムが、前記センサノードの記憶部に前記第２の鍵を格納し、さらに、前記第１の計算機システムが、前記第１の鍵と第２の鍵とを予め設定した計算機システムに格納する。そして、前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第２の計算機システムが前記予め設定した計算機システムから前記第１の鍵と第２の鍵を取得し、前記第２の計算機システムが取得した第２の鍵と、前記センサノードの記憶部に格納した第２の鍵で認証を行う。

また、前記第１の計算機システムは、前記センサノードに機能を設定するための計算機システムであって、前記第２の計算機システムは、前記センサノードと通信を行うセンサネットシステムの基地局であり、前記認証が成功した場合には、前記基地局が前記センサノードへ通信に用いる鍵を送信する。

また、前記認証が成功した場合には、前記第２の計算機システムが前記無効化した固有の情報を前記センサノードの記憶部から読み込んで、前記取得した第１の鍵で当該無効化した固有の情報を有効化する。

本発明によれば、センサノードと基地局や第２の計算機システムとの間で相互認証を行うことにより通信可能な通信先を限定し、センサノードと通信先の計算機システム間の安全な通信を実現することが可能となる。また、センサノードに搭載されている固有の情報へのアクセス制御を実現し、センサノードを安全に運用することが可能となる。

以下、図面を用いて本発明を実施するための最良の形態を説明する。本発明を適用する計算機システムの基本構成を図１に示す。

図１は本発明の第１の実施形態を示す計算機システムのブロック図であり、センサノード１０６を製造してから、使用を開始するまでにセンサノード１０６と通信を行う計算機システムの一例を示している。

センサノード１０６は、センサノード製造システム１０７で製造された後、基地局１０５を含むセンサネットシステムでセンサノード１０６を運用する際に必要となる基本的な情報を運用機能搭載システム１０８でセンサノード１０６に設定し、センサノード１０６を運用するためのより詳細な情報を配置管理システム１１０でセンサノード１０６に設定した後、センサノード１０６を実際に運用するセンサネットシステム１３０に移動して運用を開始する。すなわち、図１の例では、センサノード製造システム１０７は、センサノード１０６のハードウェアを製造するメーカＡを示し、運用機能搭載システム１０８は、センサネットシステム１３０のソフトウェアを製造するメーカＢを示し、配置管理システム１１０は、センサネットシステム１３０の運用を行う会社（または組織）Ｃを示し、センサネットシステム１３０は、メーカＡ、Ｂ、会社Ｃの顧客（センサネットシステム１３０の使用者）である会社（または組織）Ｄである。なお、本実施形態では、製造したセンサノード１０６をセンサノード製造システム１０７から配置管理システム１１０まで輸送するものとし、配置管理システム１１０では輸送されたセンサノード１０６に所定の設定を行ってから、センサネットシステム１３０に組み込む例を示す。

なお、ソフトウェアの製造メーカＢと、センサネットシステム１３０の運用を委託された会社Ｃが同一であっても良く、この場合は、運用機能搭載システム１０８と配置管理システム１１０を統合するようにしてもよい。

本実施形態では、センサノード製造システム１０７で製造されたセンサノード１０６が、運用機能搭載システム１０８へ輸送されて運用のための基本的な情報を設定され、その後、センサノード１０６が、配置管理システム１１０へ輸送されて運用のための詳細な情報を設定され、最後にセンサノード１０６が実際に運用を行うセンサネットシステム１３０に輸送される例を示す。そして、各システム間でセンサノード１０６を輸送している間に、センサノード１０６に格納された情報を、情報管理システム１０９を解して保護する例を示す。

図１では、センサノード１０６を製造するセンサノード製造システム１０７と、センサノード１０６に基本的な情報・機能を搭載する運用機能搭載システム１０８と、センサノード１０６に詳細な情報を設定する配置管理システム１１０と、実際に運用を行うセンサネットシステム１３０の基地局１０５と、センサノード１０６に格納された情報を各システム間での輸送中に保護する情報管理システム１０９と、を備えた例を示している。

センサノード製造システム１０７は、センサノード１０６の製造時にセンサノード１０６に初期情報１０と初期機能１１を搭載（設定）する製造管理処理部１１２を有する。センサノード製造システム１０７は、センサノード製造者１０１によって管理され、製造管理処理部１１２は例えば、計算機で構成される。また、センサノード製造システム１０７は、製造したセンサノード１０６と通信を行うための通信装置（図示省略）を備えている。

運用機能搭載システム１０８は、センサネットシステム１３０でセンサノード１０６を運用する際に必要な基本的な情報を搭載するもので、運用機能搭載システム１０８は搭載管理処理部１１３を介してセンサノード１０６に情報を設定する。なお、運用機能搭載システム１０８は、運用機能搭載者１０２によって管理される。また、運用機能搭載システム１０８は、製造したセンサノード１０６と通信を行うための通信装置（図示省略）を備えている。

情報管理システム１０９はセンサノード１０６に搭載する情報などを管理する。情報管理システム１０９は、各システムからの情報の登録要求及び返戻要求に対して適切な処理を行う情報管理処理部１１４と、情報を保持する情報管理データベース１１５と、を有する。なお、情報管理処理部１１４と情報管理データベース１１５は計算機で構成される。また、情報管理システム１０９は情報管理者１０３によって管理される。

配置管理システム１１０はセンサノード１０６の運用時に必要な詳細設定を行う配置管理処理部１１６を有する。基地局１０５はセンサノード１０６と通信を行うデータ送受信システム１１１を有する。また、データ送受信システム１１１は、ネットワーク１２２を介して他の計算機システムと通信可能となっている。データ送受信システム１１１はセンサノード１０６と安全な通信を行うための処理を行うデータ送受信処理部１１７を有する。また、配置管理システム１１０は配置管理１０４によって管理される。また、配置管理システム１１０は、製造したセンサノード１０６と通信を行うための通信装置（図示省略）を備えている。

センサノード１０６は、無線通信を行う無線通信部１１８と各種情報を観測するセンサ１１９と、センサノードの制御を行う端末制御部１２０と、データを保存し、保存されたデータの安全性を保つ耐タンパデバイス１２１と、を有する。

センサネットシステム１３０は、センサノード１０６と通信を行って、センサ１１９からの情報（センシングデータ）を取得する基地局１０５と、基地局１０５が収集したセンシングデータを格納し、図示しないクライアント計算機などにセンシングデータに基づくサービスを提供するセンサネットサーバ１３１と、基地局１０５とセンサネットサーバ１３１を接続するネットワーク１３２を備える。図示しないクライアント計算機もネットワーク１３２に接続される。なお、基地局１０５は無線ネットワーク１３３を介して複数のセンサノード１０６と接続可能となっている
センサネットサーバ１３１は、基地局１０５から収集したセンシングデータに意味づけを行って格納し、予め設定されたサービスを提供する。この意味付けは、例えば、センサノード１０６のセンサ１１９が温度センサの場合、バイナリ形式のセンシングデータを、摂氏または華氏などの意味を付加して格納する。なお、この意味付けは、基地局１０５で行っても良い。

なお、図１において、センサノード１０６は、各システムと無線通信によって順次接続する。

図１では、センサノード製造システム１０７は一つのセンサノード１０６のみを扱っているが、当然センサノード製造システム１０７は複数のセンサノードを製造する。

センサノード製造システム１０７、運用機能搭載システム１０８、情報管理システム１０９、配置管理システム１１０、データ送受信システム１１１間は、基本的にはネットワーク１２２を通して接続され、情報のやり取りはオンライン上で伝聞メッセージの送受信により実現されている。しかし、運用事業者の方針によりフロッピー（登録商標）ディスクなどの情報記録媒体の郵送・手渡しや、書面の郵送・手渡しなどにより情報のやり取りを実現することも可能である。

本発明では、（i）センサノード１０６の耐タンパデバイス１２１を安全に運用するための処理と、（ii）センサノード１０６と通信可能な基地局１０５を限定し、安全な通信を可能とするための処理を行う。これら２つの処理を合わせて発行処理と呼ぶ。図２は発行処理の概要を示すブロック図である。

耐タンパデバイス１２１の安全な運用を実現するための処理では、センサノード製造システム１０７で製造されたセンサノード１０６を運用機能搭載システム１０８へ輸送する際（図中１５０）や、運用機能搭載システム１０８から配置管理システム１１０へ輸送する際（図中１５１）には、各システムが輸送を開始する前にセンサノード１０６の耐タンパデバイス１２１に搭載する情報を無効化して搭載する（図中１５３、１５４、１５５）。ここで、情報の無効化とは、後述する鍵などを用いて情報を暗号化し、第３者が容易に情報を抽出することを防ぐ処理を意味する。なお、以下ではソフトウェアの鍵を用いて情報を暗号化することを無効化として開示するが、これに限定されるものではなく、各システム毎に認証を行って、認証が成功した場合にセンサノード１０６に格納された情報をアクセスできればよい。

上記各システムが無効化したセンサノード１０６の情報を有効化するためには、情報管理システム１０９のシステムの有効化情報を用いる。上記有効化情報を他のシステムに安全に渡すために、前記各システムは情報管理システム１０９に該有効化情報を登録する。ここで、情報の有効化とは、暗号化などにより無効化された情報を、所定の鍵などによって復号化した情報を意味する。

センサノード１０６と基地局１０５間の安全な通信確立を実現するための処理では、配置管理システム１１０は、センサノード１０６と基地局１０５間で秘密情報を共有させる１５５。

前記発行処理では、センサノード１０６は、前記各システムから無効化された情報の搭載を受けるために輸送などによって移動する１５０、１５１、１５２。

図２では、表記の簡便のためセンサノード１０６と通信可能な基地局１０５は唯一となっているが、該センサノード１０６の利用方針によっては複数の基地局と通信可能となっても構わない。

図３は、耐タンパデバイス１２１を備えたセンサノード１０６の一例を示すブロック図である。

端末制御部１２０は、演算処理を行うＣＰＵ１２０１と、予め設定されたプログラムを保持する不揮発性メモリ（図中ＥＥＰＲＯＭ）１２０３と、一時的に情報を格納するメモリ（図中ＲＡＭ）１２０２と、を備えている。なお、不揮発性メモリ１２０３は、ＥＥＰＲＯＭの他にフラッシュメモリなどで構成することができる。また、メモリ１２０２は、書き込み回数に制限のないＤＲＡＭ等で構成することができる。そして、ＣＰＵ１２０１は、不揮発性メモリ１２０３に予め格納されたプログラムをメモリ１２０２に読み出して実行することで所定の処理を行う。

耐タンパデバイス１２１には、演算処理を行うＣＰＵ１２１１と、予め設定された識別子などの情報やプログラムを保持する不揮発性メモリ（図中ＥＥＰＲＯＭ）１２１３と、一時的に情報を格納するメモリ（図中ＲＡＭ）１２１２と、を備えている。なお、不揮発性メモリ１２１３は、ＥＥＰＲＯＭの他にフラッシュメモリなどで構成することができる。また、メモリ１２１２は、書き込み回数に制限のないＤＲＡＭ等で構成することができる。そして、ＣＰＵ１２１１は、端末制御部１２０のＣＰＵ１２０１と通信を行って、不揮発性メモリ１２１３に予め格納されたプログラムをメモリ１２１２に読み出して所定の処理を行ったり、不揮発性メモリ１２１３に格納された識別子などの情報を読み書きする。この耐タンパデバイス１２１は、例えば、特開２００６−１０７３０５号に開示されるように、ＩＣカード用ＬＳＩのようなセキュリティモジュールであり、例えば、電流値や電磁波を読み取ってそれを測定するなどの物理的な手法を用いても内部のデータを読みとることが困難なように、内部が暗号化されているなどの耐タンパ技術が施されたデバイスである。

図４は、センサノード製造システム１０７がセンサノード１０６に初期機能１１を搭載し、また、無効化した初期情報１０を搭載し、情報管理システム１０９に有効化した製造者鍵１と初期鍵２を登録する処理の手順を示すタイムチャートである。この処理は、製造したセンサノード１０６を、次に処理を行う運用機能搭載システム１０８へ輸送する以前に実施する。

図４において、まず、センサノード製造システム１０７の製造管理処理部１１２は製造者鍵１と初期鍵２を生成する。製造管理処理部１１２は、予め設定（または製造管理処理部１１２で生成）したセンサノード１０６の初期情報１０を、製造者鍵１で無効化する（２００）。初期情報１０とは、センサノード１０６を特定することが可能な固有の情報であり、識別子などを含む情報で構成される。また、初期機能１１は、他のセンサノードや基地局を特定するために用いる機能（例えば、基本的な通信機能）など、主に実際の運用時に用いる機能を含む。

製造者鍵１は、センサノード製造システム１０７が上述のように生成する鍵である。製造者鍵１は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つの鍵を生成する場合がある。

次に、製造管理処理部１１２は、センサノード１０６の端末制御部１２０を通して耐タンパデバイス１２１に初期鍵２と無効化済の初期情報１０を搭載（格納）する（２０１、２０２）。また、初期情報１０は、例えば、耐タンパデバイス１２１の不揮発性メモリ１２１３に格納する。

ここで、初期鍵２とは、センサノード製造システム１０７が上述のように生成する鍵であり、センサノードと各システム間の認証などに用いる鍵である。初期鍵２は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つの鍵を生成する場合がある。

次に、製造管理処理部１１２はセンサノード１０６の端末制御部１２０を通して耐タンパデバイス１２１に初期機能１１を搭載する（２０３、２０４）。また、初期機能１１も、例えば、耐タンパデバイス１２１の不揮発性メモリ１２１３に格納する。

初期機能１１は、センサノード製造システム１０７がセンサノード１０６に搭載する基本的な機能（基本的な送受信プログラム）であり、初期鍵２を用いて各システムの認証処理を行う機能などの、主に発行処理で用いる情報・機能が含まれる。初期機能１１は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つを生成する場合がある。

次に、製造管理処理部１１２は情報管理処理部１１４を通して情報管理システム１０９の情報管理データベース１１５にセンサノード１０６を特定する符号（識別子）、初期鍵２及び、製造者鍵１を登録する（２０５、２０６）。なお、センサノード１０６を特定する初期情報１０に含まれる符号（識別子）は、例えば、ＭＡＣアドレスなどのグローバルユニークなＩＤや、予め設定したノードＩＤなどを用いることができ、センサノード１０６の個体を特定可能な情報であればよい。

図５に、センサノード製造システム１０７の処理が終了時点において、センサノード１０６の耐タンパデバイス１２１が保持するデータの内容を示す。上記図４の処理が完了した時点では、耐タンパデバイス１２１の不揮発性メモリ１２１３には、初期鍵２と、初期情報１０と初期機能１１が格納され、初期情報１０は、製造者鍵１で無効化される。また、図６に上記図４の処理が終了した時点での情報管理データベース１１５が保持する当該センサノード１０６のデータを示す。すなわち、情報管理システム１０９の情報管理データベース１１５には、センサノード製造システム１０７が生成した製造者鍵１と初期鍵２が当該センサノード１０６の情報として格納される。

以上の処理が完了した後に、センサノード１０６は運用機能搭載システム１０８へ輸送される。輸送中に悪意のある者が、耐タンパデバイス１２１の不揮発性メモリ１２１３から初期情報１０を抽出したとしても、製造者鍵１で無効化されているため、容易に初期情報１０を解読することはできない。

図７は、運用機能搭載システム１０８は、輸送されてきたセンサノード１０６に無効化した運用機能情報１２と活性化機能１３を搭載し、情報管理システム１０９に有効化した活性化鍵３と搭載者鍵４を登録する処理の手順を示すタイムチャートである。

運用機能搭載システム１０８の搭載管理処理部１１３は輸送などによって受け取ったセンサノード１０６の耐タンパデバイス１２１に搭載されている無効化済の初期情報１０を有効化するために、情報管理処理部１１４を通して情報管理データベース１１５から初期鍵２と製造者鍵１を受け取る（２０７、２０８、２０９、２１０）。

次に、搭載管理処理部１１３とセンサノード１０６の端末制御部１２０は、初期鍵２を用いて相互認証を行う（２１１、２１２）。この認証は、例えば、運用機能搭載システム１０８が情報管理システム１０９から取得した初期鍵２と、センサノード１０６の耐タンパデバイス１２１から読み出した有効化された初期鍵２が一致すれば認証は成功する。双方の初期鍵２が一致しなければ、センサノード１０６は輸送中に改竄された可能性があるとして、認証されない。

相互の認証に成功した場合、端末制御部１２０は耐タンパデバイス１２１から無効化済の初期情報１０を抽出し（２１３、２１４）、搭載管理処理部１１３に送付する（２１５）。

搭載管理処理部１１３は、情報管理システム１０９から取得した製造者鍵１を用いて無効化済の初期情報１０を有効化する（２１６）。次に、運用機能搭載システム１０８は、活性化鍵３と、搭載者鍵４を発行する。そして、初期鍵２を用いて活性化鍵３を無効化し、運用機能情報１２と上記２１６で有効化した初期情報１０を搭載者鍵４で無効化する（２１７）。

活性化鍵３とは、運用機能搭載システム１０８が生成する鍵であり、センサノード１０６と各システム間の認証などに用いる鍵である。活性化鍵３は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つの鍵を生成する場合がある。

運用機能情報１２とは、送受信したデータの完全性や信頼性を保証する機能など、主に実際の運用時に用いる汎用的な機能が含まれる。この運用機能情報１２は、運用機能搭載システム１０８で予め生成されたものである。

搭載者鍵４とは、運用機能搭載システム１０８が生成する鍵である。搭載者鍵４は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つの鍵を生成する場合がある。

搭載管理処理部１１３は無効化済の活性化鍵３と、無効化済の初期情報１０と無効化済の運用機能情報１２の搭載要求を端末制御部１２０を通して耐タンパデバイス１２１に送付する（２１８、２１９）。

つまり、輸送元のセンサノード製造システム１０７（前段のシステム）が発行した鍵（初期鍵２）で、現在センサノード１０６に処理を加えるシステム（運用機能搭載システム１０８）が発行した鍵（活性化鍵３）を無効化（暗号化）しておく。また、現在センサノード１０６に処理を加えるシステム（運用機能搭載システム１０８）が発行した鍵（活性化鍵３）で、センサノード１０６に格納する情報を無効化しておく。そして、搭載管理処理部１１３はセンサノード１０６と通信を行って、異なる鍵で無効化した情報を送信する。

センサノード１０６の端末制御部１２０は耐タンパデバイス１２１上で初期鍵２を用いて無効化済の活性化鍵３を有効化する（２２０）。すなわち、耐タンパデバイス１２１のＣＰＵ１２１１で活性化鍵３の復号を実行する。

次に、搭載管理処理部１１３は、端末制御部１２０を通して耐タンパデバイス１２１に有効化した活性化機能１３を搭載する（２２１、２２２）。活性化機能１３とは、運用機能搭載システム１０８がセンサノード１０６に搭載する機能であり、主に発行処理で用いる情報・機能が含まれる。活性化機能１３は、例えば、センサノード１０６にセンサ１１９の種類などに応じた測定手順や、使用するセンサネットシステム１３０毎の通信プロトコルに対応した通信手順などの情報で構成される。この活性化機能１３も運用機能搭載システム１０８で予め生成されたものである。活性化機能１３は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つを生成する場合がある。

搭載管理処理部１１３は情報管理処理部１１４を通して情報管理データベース１１５にセンサノード１０６を特定する符号（識別子）、活性化鍵３及び、搭載者鍵４を登録する（２２３、２２４）。

図８は、上記図７の処理が終了した時点で、耐タンパデバイス１２１の不揮発性メモリ１２１３が保持するデータを示す。運用機能搭載システム１０８では、耐タンパデバイス１２１の不揮発性メモリ１２１３に運用機能情報１２と活性化鍵３及び活性化機能１３が加えられる。

図９は、上記図７の処理が終了した時点で、情報管理データベース１１５が保持する当該センサノード１０６のデータを示す。運用機能搭載システム１０８では、情報管理データベース１１５の当該センサノード１０６の欄に、活性化鍵３と搭載者鍵４が加えられる。

以上の処理が完了した後に、センサノード１０６は運用機能搭載システム１０８から配置管理システム１１０へ輸送される。輸送中に悪意のある者が、耐タンパデバイス１２１の不揮発性メモリ１２１３から初期情報１０、運用機能情報１２、活性化機能１３を抽出したとしても、搭載者鍵４で無効化されているため、容易に初期情報１０、運用機能情報１２、活性化機能１３を解読することはできない。

図１０は配置管理システム１１０が、輸送されてきたセンサノード１０６に無効化した配置情報を搭載し、情報管理システム１０９に有効化した配置鍵５を登録する処理の手順を示すタイムチャートである。

配置管理システム１１０の配置管理処理部１１６は、輸送などによって受け取ったセンサノード１０６の耐タンパデバイス１２１に搭載されている無効化済の初期情報１０及び無効化済の運用機能情報１２を有効化するために、情報管理システム１０９の情報管理処理部１１４を通して情報管理データベース１１５から活性化鍵３と搭載者鍵４を取得する（２２５、２２６、２２７、２２８）。

次に、配置管理処理部１１６とセンサノード１０６の端末制御部１２０は、活性化鍵３を用いて相互認証を行う（２２９、２３０）。この認証は、上記２１１，２１２と同様に、配置管理処理部１１６が取得した活性化鍵３と、耐タンパデバイス１２１の不揮発性メモリ１２１３に格納されている有効化された活性化鍵３が一致すれば認証は成功する。双方の活性化鍵３が一致しなければ、センサノード１０６は輸送中に改竄された可能性があるとして、認証されない。

配置管理処理部１１６とセンサノード１０６の端末制御部１２０で相互の認証に成功した場合、端末制御部１２０は耐タンパデバイス１２１から無効化済の初期情報１０及び無効化済の運用機能情報１２を抽出し（２３１、２３２）、配置管理処理部１１６に送付する（２３３）。

配置管理処理部１１６は、情報管理システム１０９から取得した搭載者鍵４を用いて無効化済の初期情報１０及び無効化済の運用機能情報１２を有効化する（２３４）。

ここで、配置管理システム１１０は、配置鍵５を生成する。次に、配置管理処理部１１６は、活性化鍵３を用いて配置鍵５を無効化し、配置情報１４と上記２３４で有効化した初期情報１０及び運用機能情報１２を配置鍵５で無効化する（２３５）。

配置鍵５とは、配置管理システム１１０が生成した鍵であり、センサノード１０６と各システム間の認証などに用いる鍵である。配置鍵５は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つの鍵を生成する場合がある。

配置情報１４とは、センサノード１０６と通信を行う基地局１０５の情報など、主に実際の実運用時の運用方針などを決定付けるセンサノード１０６専用の情報・機能が含まれる。配置情報１４はセンサノード毎に異なる場合が多いが、幾つかの組で同一の配置情報１４を用いる場合もある。なお、この配置情報１４は、配置管理システム１１０で予め生成したものである。

次に、配置管理処理部１１６は無効化済の配置鍵５と、無効化済の初期情報１０と、無効化済の運用機能情報１２と無効化済の配置情報１４の搭載要求を端末制御部１２０を通して耐タンパデバイス１２１に送付する（２３６、２３７）。

つまり、輸送元の運用機能搭載システム１０８（前段のシステム）が発行した鍵（搭載者鍵４）で、現在センサノード１０６に処理を加えるシステム（配置管理システム１１０）が発行した鍵（配置鍵５）を無効化（暗号化）しておく。また、現在センサノード１０６に処理を加えるシステム（配置管理システム１１０）が発行した鍵（配置鍵５）で、センサノード１０６に格納する情報を無効化しておく。そして、配置管理処理部１１６はセンサノード１０６と通信を行って、異なる鍵で無効化した情報を送信する。

端末制御部１２０は、耐タンパデバイス１２１上で活性化鍵３を用いて無効化済の配置鍵５を有効化し（２３８）、有効化した配置鍵５を用いて無効化済の初期情報１０と、無効化済の運用機能情報１２及び無効化済の配置情報１４を有効化する（２３９）。

つまり、輸送元の運用機能搭載システム１０８（前段のシステム）が発行した鍵（活性化鍵３）で、現在センサノード１０６に処理を加えるシステム（配置管理システム１１０）が発行した鍵（配置鍵５）を有効化（復号化）しておく。そして、配置鍵５で、センサノード１０６に格納した情報を有効化しておき、基地局１０５と通信可能な状態にする。そして、センサノード１０６は実際に運用を行う位置に配置または配布される。

次に、配置管理処理部１１６は端末制御部１２０を通して耐タンパデバイス１２１に配置機能１５を搭載する（２４０、２４１）。配置機能１５とは、配置管理システム１１０がセンサノード１０６に搭載する機能であり、主に発行処理で用いる情報・機能が含まれる。配置機能１５は各センサノード毎に生成する場合と幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して一つを生成する場合がある。

配置管理処理部１１６は情報管理処理部１１４を通して情報管理データベース１１５にセンサノード１０６を特定する符号及び配置鍵５を登録する（２４２、２４３）。

図１１は、上記図９の処理が終了した時点で、耐タンパデバイス１２１の不揮発性メモリ１２１３が保持するデータを示す。配置管理システム１１０では、耐タンパデバイス１２１の不揮発性メモリ１２１３に配置鍵５と配置情報１４及び配置機能１５が加えられる。

図１２は、上記図９の処理が終了した時点で情報管理データベース１１５が保持する当該センサノード１０６のデータを示す。配置管理システム１１０では、情報管理データベース１１５の当該センサノード１０６の欄に、配置鍵５が加えられる。

図１３は基地局１０５が、センサノード１０６と安全な通信を行う処理の手順を示すタイムチャートである。

基地局１０５の送受信処理部１１７は輸送などによって受け取ったセンサノード１０６と安全な通信を行うために、情報管理処理部１１４を通して情報管理データベース１１５から配置鍵５を受け取る（２４４、２４５、２４６、２４７）。

次に、送受信処理部１１７とセンサノード１０６の端末制御部１２０は、情報管理システム１０９から取得した配置鍵５と、耐タンパデバイス１２１の不揮発性メモリ１２１３に格納されている有効化された配置鍵５を用いて相互認証を行う（２４８、２４９）。相互認証に成功した場合、送受信処理部１１７と端末制御部１２０は通信に用いる通信鍵６を交換する（２５２、２５３）。通信に用いる通信鍵６は、基地局１０５が各センサノード毎に生成する場合と、基地局１０５が幾つかのセンサノードの組に対して生成する場合と製造する全てのセンサノードに対して共通の鍵を生成する場合がある。すなわち、基地局１０５は生成した通信鍵６を、認証が成功したセンサノード１０６に配信し、以降、センサノード１０６と基地局１０５は共通の通信鍵６で通信内容を暗号化して通信を行う。

以上のように、センサノード１０６を製造してからセンサネットシステム１３０の使用者（上記では配置管理システム１１０）に届くまで、センサノード１０６に設定された固有の識別子を含む初期情報１０は、輸送中は必ず鍵により無効化されている。したがって、輸送中に不正な攻撃などにより耐タンパデバイス１２１の不揮発性メモリ１２１３から初期情報１０を抽出したとしても、初期情報１０は鍵により無効化されているので、容易に解読することはできない。これにより、センサノードを製造してからセンサノードの使用を開始するまでの期間の初期情報１０を保護することが可能となる。

すなわち、センサノード１０６を製造するセンサノード製造システム１０７からセンサネットシステム１３０までの各システムは、ネットワーク１２２を介して情報管理システム１０９に接続されており、各システムが発行した鍵を情報管理システム１０９で管理しておく。

一方、センサノード１０６の輸送元になるシステム（第１の計算機システム）は、第１の鍵（製造者鍵１）と第２の鍵（初期鍵２）を生成し、第１の鍵で初期情報１０を無効化しておき、第１の鍵と第２の鍵を情報管理システム１０９（第３のシステム）に送っておく。そして、輸送元のシステムでは、無効化した初期情報１０と第２の鍵をセンサノード１０６の耐タンパデバイス１２１の不揮発性メモリ１２１３に格納してから、次のシステムに輸送する。

次のシステム（第２のシステム）では、輸送元のシステムが発行した第２の鍵を第３のシステムから取得して、輸送されてきたセンサノード１０６の耐タンパデバイス１２１に格納されている第２の鍵と照合し、正当なセンサノード１０６であるか否かを判定できる。

第２のシステム（運用機能搭載システム１０８）は、第３のシステム（情報管理システム１０９）から輸送元の第１のシステム（センサノード製造システム１０７）が発行した第１の鍵と第２の鍵を取得して、耐タンパデバイス１２１の不揮発性メモリ１２１３に格納された初期情報１０等を有効化する。

そして、第２のシステム（運用機能搭載システム１０８）では、輸送元のシステムと同様に第１の鍵（搭載者鍵４）と第２の鍵（活性化鍵３）を生成する。第２のシステムは、センサノード１０６の耐タンパデバイス１２１に新たな情報を付与し、この情報と初期情報１０を第１の鍵で無効化しておき、第１の鍵を情報管理システム１０９に送っておく。そして、輸送元のシステムでは、無効化した初期情報１０と第２の鍵をセンサノード１０６の耐タンパデバイス１２１の不揮発性メモリ１２１３に格納してから、次のシステムに輸送する。

このように、センサノード１０６の輸送元のシステムが、第１の鍵と第２の鍵の２つの鍵を生成して、情報管理システム１０９に送信しておき、第１の鍵を初期情報１０の無効化するために使用し、第２の鍵はセンサノード１０６の耐タンパデバイス１２１に格納し、輸送先のシステムにセンサノード１０６を輸送する。

初期情報１０を無効化した第１の鍵は、耐タンパデバイス１２１に格納されることなく、ネットワーク１２２を介して各システム間で流通する。一方、耐タンパデバイス１２１の不揮発性メモリ１２１３には、センサノード１０６の認証を行うための第２の鍵が格納されているが、この第２の鍵では無効化された初期情報１０を有効化することはできない。このため、センサノード１０６の輸送中に、耐タンパデバイス１２１へ物理的な攻撃を加えて内部の情報を不正に取得したとしても、無効化された初期情報１０を容易に有効化することはできず、センサノード１０６の初期情報１０を保護することが可能となり、初期情報１０の流出などによるセンサネットシステム１３０の不正な利用を抑制でき、センサネットシステム１３０の安全性を高めることができる。そして、センサノード１０６を受け取った輸送先のシステムでは、第２の鍵で輸送元のシステムと認証を行った上で、第１の鍵を情報管理システム１０９から取得することで、耐タンパデバイス１２１の無効化された初期情報１０を有効化して利用することができる。

さらに、輸送元のシステムが代わる度に、第１の鍵と第２の鍵が代わるため、輸送中の初期情報１０等をより高度に保護することができる。すなわち、輸送元のシステムが、センサノード１０６のハードウェアを製造するセンサノード製造システム１０７から、運用機能搭載システム１０８、配置管理システム１１０と順次輸送される度に、センサノード１０６に格納される第２の鍵が代わるため、輸送中の安全性を確保できる。

なお、上記では初期情報１０等を耐タンパデバイス１２１に格納したが、センサノード１０６に耐タンパデバイス１２１が無い場合には、端末制御部１２０の不揮発性メモリ１２０３に初期情報１０等を無効化して格納しておくことができる。この場合、不揮発性メモリ１２０３は、不正なアクセスによって格納していた無効化された初期情報１０や有効化された第２の鍵を抽出される可能性がある。しかしながら、無効化された初期情報１０は、第２の鍵では有効化することができないため、無効化された初期情報１０を解読することは容易に実現できない。したがって、本発明によれば、耐タンパデバイス１２１のないセンサノード１０６であっても有効に機能するのである。

＜第２実施形態＞
本発明の第２の実施形態について以下に説明する。

前記第１の実施形態では、端末制御部１２０は耐タンパデバイス１２１から無効化済の初期情報１０と、無効化済の運用機能情報１２を搭載管理処理部１１３や配置管理処理部１１６に送付し、各処理部が無効化済の初期情報１０及び運用機能情報１２を有効化していた（２１３〜２２０、２３１〜２３９）。これに対し、第２の実施形態では、耐タンパデバイス１２１の内部で上記有効化を行う例を示す。

図１４は、運用機能搭載システム１０８が、センサノード１０６に無効化した情報を搭載し、無効化した情報の有効化はセンサノード１０６の耐タンパデバイス１２１上で行う処理の手順を説明するためのタイムチャートである。

図１４の処理（２０７〜２１２）は、前記第１実施形態の図７と同様に運用機能搭載システム１０８の搭載管理処理部１１３と端末制御部１２０の相互認証を行う。相互認証に成功した場合、搭載管理処理部１１３は製造者鍵１と搭載者鍵４を初期鍵２で無効化し（３０１）、端末制御部１２０を通して耐タンパデバイス１２１に送付する（３０２、３０３）。

耐タンパデバイス１２１は耐タンパデバイス１２１の不揮発性メモリ１２１３に記憶されている有効化された初期鍵２を用いて、無効化済の製造者鍵１と無効化済みの搭載者鍵４を有効化し（３０４）、有効化した製造者鍵１を用いて無効化済の初期情報１０を有効化する（３０５）。これにより、運用機能搭載システム１０８は、センサノード製造システム１０７で無効化された初期情報１０を参照することが可能となる。

次に、搭載管理処理部１１３は、初期情報１０を搭載者鍵４で無効化し（３０６）、無効化に用いた搭載者鍵４を削除する（３０７）。これにより、センサノード製造システム１０７において製造者鍵１で無効化された初期情報１０は、現在センサノード１０６に機能を付加する運用機能搭載システム１０８が生成した搭載者鍵４により再度無効化される。すなわち、初期情報１０を無効化する鍵が変更され、センサノード製造システム１０７が保有する情報では、現在の初期情報１０を有効化することはできない。

搭載管理処理部１１３は、活性化鍵３を初期鍵２で無効化し、運用機能情報１２を搭載者鍵４で無効化する（３０８）。搭載管理処理部１１３は端末制御部１２０を通して耐タンパデバイス１２１に無効化済の活性化鍵３と無効化済の運用機能情報１２の搭載要求を送付する（３０９、３１０）。耐タンパデバイス１２１は、端末制御部１２０を介して受け付けた無効化済みの活性化鍵３と無効化済の運用機能情報１２を不揮発性メモリ１２１３に格納する。

耐タンパデバイス１２１は初期鍵２で無効化済の活性化鍵３を有効化し、不揮発性メモリ１２１３に格納する（３１１）。図１４の処理２２１〜２２４は、前記第１実施形態の図７と同様である。

図１５は、上記図１４の処理が終了した時点で耐タンパデバイス１２１が保持するデータを示す。運用機能搭載システム１０８では、耐タンパデバイス１２１の不揮発性メモリ１２１３に活性化鍵３及び活性化機能１３と無効化した運用機能情報１２が加えられ、鍵を搭載者鍵４に変更した無効化済みの初期情報１０が更新される。なお、上記図１４の処理が終了した時点で、情報管理データベース１１５が保持する当該センサノード１０６のデータは図９と同様である。

図１６は、配置管理システム１１０がセンサノード１０６に無効化した情報を搭載し、無効化した情報の有効化をセンサノード１０６の耐タンパデバイス１２１上で行う処理の手順を説明するためのタイムチャートである。

図１６の処理２２５〜２３０は、前記第１実施形態の図１０と同様に配置管理処理部１１６と端末制御部１２０の相互認証を行う。相互認証に成功した場合、配置管理処理部１１６は搭載者鍵４を活性化鍵３で無効化し（３１２）、端末制御部１２０を通して耐タンパデバイス１２１に送付する（３１３、３１４）。

耐タンパデバイス１２１は活性化鍵３を用いて無効化済の搭載者鍵４を有効化し（３１５）、有効化した搭載者鍵４を用いて無効化された初期情報１０と、無効化済の運用機能情報１２を有効化する（３１６）。これにより、耐タンパデバイス１２１の初期情報１０と運用機能情報１２は配置管理システム１１０から参照可能となり、以降のセンサネットシステム１３１での利用を可能にする。

次に配置管理処理部１１６は、配置情報１４を配置鍵５で無効化し、配置鍵５を活性化鍵３で無効化する（３１７）。配置管理処理部１１６は端末制御部１２０を通して耐タンパデバイス１２１に無効化済の配置鍵５と無効化済の配置情報１４の搭載要求を送付する（３１８、３１９）。

端末制御部１２０は耐タンパデバイス１２１上で活性化鍵３を用いて無効化済の配置鍵５を有効化し、不揮発性メモリ１２１３に搭載する（３２０）。端末制御部１２０は耐タンパデバイス１２１上で配置鍵５を用いて無効化済の配置情報１４を有効化し、不揮発性メモリ１２１３に搭載する（３２１）。なお、図１６に示す処理２４０〜２４３は、図１０と同様である。

図１７は、上記図１６の処理が終了した時点で耐タンパデバイス１２１が保持するデータを示す。配置管理システム１１０では、耐タンパデバイス１２１の不揮発性メモリ１２１３に配置鍵５と配置情報１４と配置機能１５が加えられ、初期情報１０と各鍵は有効化されて利用可能となる。

以上のように、耐タンパデバイス１２１のＣＰＵ１２１１を機能させて無効化と有効化を行うことで、各システムの鍵が外部のシステムに漏れることを抑制できる。

＜第３実施形態＞
本発明の第３の実施形態について説明する。

前記第１の実施形態では図１、図１３において、基地局１０５の送受信処理部１１７は配置鍵５を情報管理システム１０９の情報管理処理部１１４を通して情報管理データベース１１５から受け取っていた（２４４〜２４７）。これに対し、第３の実施形態では、基地局１０５の送受信部１１７は配置管理システム１１０の配置管理処理部１１６から配置鍵５を受け取る例を示す。このため、配置管理システム１１０は、前記第１実施形態の図１０において、情報管理システム１０９の情報管理データベース１１５に配置鍵５を登録する処理（２４２、２４３）を省略し、配置管理システム１１０が自ら当該センサノード１０６の配置鍵５を保持する。

図１８は、基地局１０５がセンサノード１０６と安全な通信を行うために配置管理システム１１０から配置鍵５を受け取る処理の手順を示すタイムチャートである。

基地局１０５のデータ送受信システム１１１の送受信処理部１１７は、配置管理システム１１０の配置管理処理部１１６からセンサノード１０６に対応する配置鍵５を受け取る（３２０、３２１）。なお、図１８の処理２４８〜２５３は、前記第１実施形態の図１３と同様であり基地局１０５の送受信処理部１１７と、耐タンパデバイス１２１がそれぞれの配置鍵５で相互に認証を行い、認証が成功すると通信鍵６を交換する。

以上の処理により、センサネットシステム１３１の運用時に、ネットワーク１２２に情報管理システム１０９が存在しない場合でも、配置管理システム１１０とセンサネットシステム１３１により基地局１０５とセンサノード１０６の認証を行って、正当なセンサノード１０６のみをセンサネットシステム１３１に参加させることができるのである。

前記第１実施形態の図５、図８、図１１や、第２実施形態の図１５、図１７では、例えば活性化鍵１３など、発行処理に係わったデータが耐タンパデバイス１２１に搭載されているが、これらは適当な時期に必要に応じて削除しても構わない。

また、前記第１実施形態の図６、図９、図１２では情報管理データベース１１５は一つのセンサノードのデータのみを保持しているが、実際には複数のセンサノードのデータを管理する。

以上のように第１〜第３実施形態により、配置管理システム１１０がセンサノードと基地局１０５間の秘密情報共有処理を行い、センサノード１０６と基地局１０５で相互認証を行うことにより、センサノード１０６と通信可能な基地局１０５を限定し、センサノード１０６と基地局１０５間の安全な通信を実現することが可能となる。また、センサノード１０６に搭載する情報を各システムが無効化してセンサノード１０６の耐タンパデバイス１２１に搭載し、情報管理システム１０９が各システムの有効化情報を管理することにより、センサノードに搭載されているデータへのアクセス制御を実現し、センサノードを安全に運用することが可能となる。すなわち、センサノード１０６が保持する配置鍵５と、基地局１０５が情報管理システム１０９または配置管理システム１１０から取得した配置鍵５が一致したときのみ認証が成功し、センサノード１０６のセンシングデータを基地局１０５で収集することができ、内部の情報を改竄された不正なセンサノード１０６がセンサネットシステム１３１に参加するのを防ぐことができる。

以上、本発明を実施するための最良の形態について説明したが、本発明のセンサノード発行管理方式及びシステムは、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。

また、各処理部における処理はコンピュータにプログラムを読み込むことで実現することができる。

以上のように、本発明はセンサノードを製造するシステムや、センサノードに搭載するソフトウェアを製造するシステムや、センサノードを運用するシステムや、センサネットシステム及びセンサノードに適用することができる。

本発明を適用する計算機システムの構成を示すブロック図。 センサノードの発行処理の概要を示すブロック図。 センサノードの構成を示すブロック図。 センサノード製造システムで実行される処理の一例を示すタイムチャート。 センサノード製造システムにおける処理により、センサノードの耐タンパデバイスに格納されたデータの一例を示す説明図。 センサノード製造システムにおける処理により、情報管理データベースに格納されたデータの一例を示す説明図。 運用機能搭載システムで実行される処理の一例を示すタイムチャート。 運用機能搭載システムにおける処理により、センサノードの耐タンパデバイスに格納されたデータの一例を示す説明図。 運用機能搭載システムにおける処理により、情報管理データベースに格納されたデータの一例を示す説明図。 配置管理システムで実行される処理の一例を示すタイムチャート。 配置管理システムにおける処理により、センサノードの耐タンパデバイスに格納されたデータの一例を示す説明図。 配置管理システムにおける処理により、情報管理データベースに格納されたデータの一例を示す説明図。 基地局で実行される処理の一例を示すタイムチャート。 第２の実施形態を示し、運用機能搭載システムで実行される処理の一例を示すタイムチャート。 第２の実施形態を示し、運用機能搭載システムにおける処理により、センサノードの耐タンパデバイスに格納されたデータの一例を示す説明図。 第２の実施形態を示し、配置管理システムで実行される処理の一例を示すタイムチャート。 第２の実施形態を示し、配置管理システムにおける処理により、センサノードの耐タンパデバイスに格納されたデータの一例を示す説明図。 第３の実施形態を示し、基地局で実行される処理の一例を示すタイムチャート。

符号の説明

１０５ 基地局
１０６ センサノード
１０７ センサノード製造システム
１０８ 運用機能搭載システム
１０９ 情報管理システム
１１０ 配置管理システム
１１１ データ送受信システム
１１２ 製造管理処理部
１１３ 搭載管理処理部
１１４ 情報管理処理部
１１５ 情報管理データベース
１１６ 配置管理処理部
１１７ 送受信処理部
１２０ 端末制御部
１２１ 耐タンパデバイス
１２２ ネットワーク

Claims (20)

1. 基地局または第１の計算機システムあるいは第２の計算機システムと通信を行う無線通信部と、情報を保持する記憶部と、を備えたセンサノードに固有の情報を設定し、当該固有の情報を保護するセンサノードのデータ保護方法であって、
   前記第１の計算機システムが、第１の鍵と第２の鍵とを生成する手順と、
   前記第１の計算機システムが、前記第１の鍵で前記固有の情報を無効化し、前記センサノードの記憶部へ当該無効化した固有の情報を格納する手順と、
   前記第１の計算機システムが、前記センサノードの記憶部に前記第２の鍵を格納する手順と、
   前記第１の計算機システムが、前記第１の鍵と第２の鍵とを予め設定した計算機システムに格納する手順と、
   前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第２の計算機システムが前記予め設定した計算機システムから前記第１の鍵と第２の鍵を取得する手順と、
   前記第２の計算機システムが取得した第２の鍵と、前記センサノードの記憶部に格納した第２の鍵で認証を行う手順と、
   を含むことを特徴とするセンサノードのデータ保護方法。
2. 前記予め設定した計算機システムは、前記第１の計算機システム及び第２の計算機システムに接続された第３の計算機システムであって、
   前記第１の鍵と第２の鍵とを予め設定した計算機システムに格納する手順は、
   と、
   前記第１の計算機システムが、前記第１の鍵と第２の鍵とを前記第３の計算機システムに格納し、
   前記予め設定した計算機システムから前記第１の鍵と第２の鍵を取得する手順は、
   前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第２の計算機システムが前記第３の計算機システムから前記第１の鍵と第２の鍵を取得することを特徴とする請求項１に記載のセンサノードのデータ保護方法。
3. 前記予め設定した計算機システムは、前記第１の計算機システムであって、
   前記第１の鍵と第２の鍵とを予め設定した計算機システムに格納する手順は、
   と、
   前記第１の計算機システムが、前記第１の鍵と第２の鍵とを自らに格納し、
   前記予め設定した計算機システムから前記第１の鍵と第２の鍵を取得する手順は、
   前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第２の計算機システムが前記第１の計算機システムから前記第１の鍵と第２の鍵を取得することを特徴とする請求項１に記載のセンサノードのデータ保護方法。
4. 前記第１の計算機システムは、前記センサノードを製造するための計算機システムであって、前記第２の計算機システムは、前記センサノードに機能を設定するための計算機システムであって、前記第３の計算機システムは、前記第１の計算機システムが生成した第１の鍵と第２の鍵を格納することを特徴とする請求項２に記載のセンサノードのデータ保護方法。
5. 前記第１の計算機システムは、前記センサノードに機能を設定するための計算機システムであって、前記第２の計算機システムは、前記センサノードと通信を行うセンサネットシステムの基地局であることを特徴とする請求項３に記載のセンサノードのデータ保護方法。
6. 前記認証が成功した場合には、
   前記第２の計算機システムが前記無効化した固有の情報を前記センサノードの記憶部から読み込んで、前記取得した第１の鍵で当該無効化した固有の情報を有効化する手順を含むことを特徴とする請求項１に記載のセンサノードのデータ保護方法。
7. 前記認証が成功した場合には、
   前記センサノードが前記第２の計算機システムから前記第１の鍵を取得する手順と、
   前記センサノードが、前記取得した第１の鍵で当該無効化した固有の情報を有効化する手順と、
   を含むことを特徴とする請求項１に記載のセンサノードのデータ保護方法。
8. 前記認証が成功した場合には、
   前記基地局が前記センサノードへ通信に用いる鍵を送信する手順を含むことを特徴とする請求項５に記載のセンサノードのデータ保護方法。
9. 所定の情報を測定するセンサと、通信を行う無線通信部と、情報を保持する記憶部と、を備えたセンサノードと、
   前記センサノードに情報を設定する第１の計算機システムと、
   前記センサノードに運用のための機能または情報を設定する第２の計算機システムと、
   前記第１の計算機システムと第２の計算機システムを接続するネットワークと、
   を備えたセンサノードを配布するための計算機システムにおいて、
   前記第１の計算機システムは、
   前記センサノードの記憶部に格納する当該センサノードに固有の情報を無効化するための第１の鍵と、センサノードと第１または第２の計算機システムの間で認証を行うための第２の鍵とを生成する鍵生成部と、
   前記第１の鍵で前記固有の情報を無効化して、当該無効化した固有の情報を前記センサノードの記憶部に格納する暗号化部と、
   前記第２の鍵を、前記センサノードの記憶部に格納する鍵格納部と、
   前記生成した第１の鍵と第２の鍵とを予め設定した計算機システムに送信する鍵送信部と、を備え、
   前記第２の計算機システムは、
   前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記予め設定した計算機システムから前記第１の鍵と第２の鍵を取得する鍵取得部と、
   前記取得した第２の鍵と、前記センサノードの記憶部に格納した第２の鍵とで認証を行う認証部と、
   を備えたことを特徴とするセンサノードを配布するための計算機システム。
10. 前記予め設定した計算機システムは、前記第１の計算機システム及び第２の計算機システムに接続された第３の計算機システムであって、
    前記第１の計算機システムの鍵送信部は、前記第１の鍵と第２の鍵とを前記第３の計算機システムに格納し、
    前記第２の計算機システムの鍵取得部は、前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第３の計算機システムから前記第１の鍵と第２の鍵を取得することを特徴とする請求項９に記載のセンサノードを配布するための計算機システム。
11. 前記予め設定した計算機システムは、前記第１の計算機システムであって、
    前記第１の鍵と第２の鍵とを予め設定した計算機システムに格納する手順は、
    と、
    前記第１の計算機システムの鍵送信部は、前記第１の鍵と第２の鍵とを自らに格納し、
    前記第２の計算機システムの鍵取得部は、前記センサノードが第１の計算機システムから第２の計算機システムへ到着した後に、前記第１の計算機システムから前記第１の鍵と第２の鍵を取得することを特徴とする請求項９に記載のセンサノードを配布するための計算機システム。
12. 前記第１の計算機システムは、前記センサノードを製造するための計算機システムであって、前記第２の計算機システムは、前記センサノードに機能を設定するための計算機システムであって、前記第３の計算機システムは、前記第１の計算機システムが生成した第１の鍵と第２の鍵を格納することを特徴とする請求項１０に記載のセンサノードを配布するための計算機システム。
13. 前記第１の計算機システムは、前記センサノードに機能を設定するための計算機システムであって、前記第２の計算機システムは、前記センサノードと通信を行うセンサネットシステムの基地局であることを特徴とする請求項１１に記載のセンサノードを配布するための計算機システム。
14. 前記第２の計算機システムは、
    前記認証部で認証が成功した場合に、前記第２の計算機システムが前記無効化した固有の情報を前記センサノードの記憶部から読み込んで、前記取得した第１の鍵で当該無効化した固有の情報を有効化する情報有効化部を有することを特徴とする請求項９に記載のセンサノードを配布するための計算機システム。
15. 前記センサノードは、
    前記認証が成功した場合に、前記センサノードが前記第２の計算機システムから前記第１の鍵を取得し、前記取得した第１の鍵で当該無効化した固有の情報を有効化する有効化部を有することを特徴とする請求項９に記載のセンサノードを配布するための計算機システム。
16. 前記基地局は、
    前記認証が成功した場合に、前記センサノードへ通信に用いる鍵を送信する通信鍵送信部を有することを特徴とする請求項１３に記載のセンサノードを配布するための計算機システム。
17. 所定の情報を測定するセンサと、通信を行う無線通信部と、情報を保持する記憶部と、前記センサと無線通信部及び記憶部を制御する制御部と、備えたセンサノードにおいて、
    前記制御部は、
    予め第１の鍵で無効化された当該センサノードに固有の情報を前記記憶部に格納し、前記無線通信部を介して認証の要求があったときには、前記記憶部に予め格納された第２の鍵によって、前記認証の応答を行う認証部を有することを特徴とするセンサノード。
18. 前記制御部は、
    前記認証部で認証が成功したときには、前記無線通信部で通信鍵を受信し、当該受信した通信鍵を用いて以降の通信内容を暗号化する暗号化部を有することを特徴とする請求項１７に記載のセンサノード。
19. 前記制御部は、
    前記認証部で認証が成功したときには、前記無線通信部で前記第１の鍵を受信し、当該受信した第１の鍵を用いて記憶部に格納される無効化された固有の情報を有効化する有効化部を有することを特徴とする請求項１７に記載のセンサノード。
20. 前記記憶部は、耐タンパデバイスで構成されたことを特徴とする請求項１７に記載のセンサノード。

Images