JP7413196B2 - 通信システム - Google Patents

Description

この発明は、通信システムおよび端末装置に関する。

特許文献１（国際公開２０１７／１１０９６９号）には、サーバが生成した共通鍵を用いて暗号化した情報を送信するビーコン装置と、当該情報を受信して、サーバが生成した共通鍵を用いて情報を復号する受信装置とを含む通信システムが開示されている。この通信システムにおいては、セキュリティを担保するために、サーバが所定のタイミングで新たに共通鍵を生成して、通信システムで用いられる共通鍵を更新する（特許文献１参照）。

国際公開２０１７／１１０９６９号

ここで、サーバが共通鍵を更新した場合において、ビーコン装置と受信装置とにおいて共通鍵の更新タイミングが異なる可能性がある。この場合、ビーコン装置と受信装置とが異なる共通鍵を有することになるので、ビーコン装置から受信した情報を受信装置が復号することができない。そのため、ビーコン装置と受信装置との両方の共通鍵が更新されるまでの間に、情報の欠落が生じる可能性がある。

たとえば、過去の共通鍵を削除させずに受信装置に複数の共通鍵を持たせておき、受信装置が複数の共通鍵を用いてビーコン装置から受信した情報の復号を試みることも考えられる。しかしながら、この場合には、データ処理の遅延が生じる可能性がある。

本発明は、上記課題を解決するためになされたものであり、その目的は、セキュリティを向上させつつ、データ処理の遅延を抑制することができる通信システムを提供することである。

本発明に係る通信システムは、共通鍵を用いて、送受信される情報の暗号化および復号を行なう通信システムである。この通信システムは、アドバタイズパケットを送信する第１装置と、アドバタイズパケットを受信する第２装置と、新たな共通鍵を生成して通信システムの共通鍵を更新する第３装置とを備える。アドバタイズパケットは、暗号化された情報が格納される暗号化領域と、暗号化されていない情報が格納される非暗号化領域とを含む。第１装置は、共通鍵を用いて所定の情報を暗号化し、当該暗号化した所定の情報をアドバタイズパケットの暗号化領域に格納し、かつ、所定の情報の暗号化に用いた当該共通鍵のバージョン情報をアドバタイズパケットの非暗号化領域に格納する。第２装置は、アドバタイズパケットを受信すると、受信したアドバタイズパケットに格納されたバージョン情報により特定される共通鍵を用いて、暗号化された所定の情報を復号する。

本発明によれば、セキュリティを向上させつつ、データ処理の遅延を抑制することができる。

実施の形態１に係る通信システムの全体構成を模式的に示す図である。 ビーコン装置および受信装置の共通鍵の更新を説明するための図である。 実施の形態１に係るビーコン装置の構成を示すブロック図である。 実施の形態１に係る受信装置の構成を示すブロック図である。 実施の形態１に係る第１管理装置の構成を示すブロック図である。 更新管理表の一例を説明するための図である。 生体情報の暗号化および復号の手順を示すフローチャートである。 受信装置および第１管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 ビーコン装置および第１管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 実施の形態２に係る通信システムの全体構成を模式的に示す図である。 ビーコン装置の共通鍵の更新を説明するための図である。 実施の形態２に係るビーコン装置の構成を示すブロック図である。 実施の形態２に係る受信装置の構成を示すブロック図である。 実施の形態２に係る第１管理装置の構成を示すブロック図である。 生体情報の暗号化および復号の手順を示すフローチャートである。 受信装置および第１管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 ビーコン装置、受信装置および第１管理装置で実行される共通鍵の更新の手順を示すフローチャートである。 変形例２に係るビーコン装置の共通鍵の更新を説明するための図である。

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分には同一符号を付してその説明は原則的には繰り返さないものとする。

［実施の形態１］
＜通信システムの全体構成＞
図１は、実施の形態１に係る通信システム１の全体構成を模式的に示す図である。以下では、一例として、実施の形態１に係る通信システム１が船舶に適用される場合を例にして説明する。

通信システム１は、船舶内における乗員の位置および乗員の状態を管理するためのシステムである。通信システム１は、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）と、複数の受信装置２０（受信装置２０－１，２０－２，…）と、第１管理装置３０と、第２管理装置４０と、通信ケーブル４５とを備える。

ビーコン装置１０－１，１０－２，…は、乗員（船員）２－１，２－２，…にそれぞれ携帯される。以下では、ビーコン装置１０－１，１０－２，…を特に区別しない場合、ビーコン装置１０－１，１０－２，…の各々を「ビーコン装置１０」とも称する。また、乗員２－１，２－２，…を特に区別しない場合、乗員２－１，２－２，…の各々を「乗員２」とも称する。

ビーコン装置１０は、乗員２に関する情報（実施の形態１においては、乗員２の生体情報）を電波６０によってブロードキャスト送信する装置である。実施の形態１に係るビーコン装置１０は、充電可能なバッテリを動力源とする携帯型のビーコン装置である。ビーコン装置１０は、単方向通信する第１モードと双方向通信する第２モードとの２つの通信モードを有する。ビーコン装置１０の通信モードは、第１モードがデフォルトとなっている。第１モードにおいてビーコン装置１０は、Ｂｌｕｅｔｏｏｔｈ（登録商標） Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）規格におけるアドバタイズパケット（ビーコン）を電波６０によってブロードキャスト送信する。第１モードにおいてビーコン装置１０は、アドバタイズパケットをブロードキャスト送信しながら、常時、接続待機状態となっており、外部から接続要求を受けることにより、通信モードを第２モードに切り替える。第２モードにおいてビーコン装置１０は、アドバタイズパケットのブロードキャスト送信を停止し、接続要求のあった機器との間で、ＢＬＥ規格に従う通信プロトコルによる通信（以下「ＢＬＥ通信」とも称する）を確立して双方向の通信を行なう。

受信装置２０－１，２０－２，…は、たとえば、船舶内の壁等によって区切られた区画毎に設置されている。受信装置２０－１，２０－２，…には、個々を識別するための受信装置ＩＤがそれぞれ割り振られている。以下では、受信装置２０－１，２０－２，…を特に区別しない場合、受信装置２０－１，２０－２，…の各々を「受信装置２０」とも称する。

受信装置２０－１，２０－２，…の各々は、第１管理装置３０と通信ケーブル４５を介して通信可能に接続されている。受信装置２０は、通信ケーブル４５を介して、第１管理装置３０から共通鍵を受信可能に構成される。また、受信装置２０は、ビーコン装置１０からブロードキャスト送信されるアドバタイズパケットを受信可能に構成される。

第１管理装置３０は、通信システム１で用いられる共通鍵を生成する。第１管理装置３０が生成した共通鍵は、ビーコン装置１０において、生体情報の暗号化に用いられ、受信装置２０において、暗号化された生体情報の復号に用いられる。乗員２の生体情報は乗員２の個人情報であるところ、ビーコン装置１０が生体情報を暗号化してアドバタイズパケットに格納することによって、仮にアドバタイズパケットが意図しない者に傍受されたとしても、生体情報の漏洩を抑制することができる。

後述するように、ビーコン装置１０は、乗員２の生体情報を検知する生体センサを含む。ビーコン装置１０は、生体センサによって検知された生体情報を、第１管理装置３０によって生成された共通鍵を用いて暗号化する。アドバタイズパケットのデータ領域は、暗号化領域と、非暗号化領域とを含む。ビーコン装置１０は、暗号化された生体情報をアドバタイズパケットの暗号化領域に格納する。また、ビーコン装置１０は、ビーコン装置１０を識別する装置ＩＤの情報をアドバタイズパケットの非暗号化領域に格納する。なお、ビーコン装置１０は、共通鍵を用いて装置ＩＤの情報を暗号化し、暗号化された装置ＩＤの情報をアドバタイズパケットの暗号化領域に格納してもよい。

アドバタイズパケットのフォーマットとしては、たとえば、Ｂｌｕｅｔｏｏｔｈ ＳＩＧ（Special Interest Group）が管理しているＢｌｕｅｔｏｏｔｈ（登録商標）仕様に基づくフォーマットを利用することができる。あるいは、Ａｐｐｌｅ（登録商標）社が公開している「ｉＢｅａｃｏｎ（登録商標）」、またはＧｏｏｇｌｅ（登録商標）社が公開している「Ｅｄｄｙｓｔｏｎｅ（登録商標）」等の汎用性の高いフォーマットを利用してもよい。なお、いずれのフォーマットが利用される場合においても、アドバタイズパケットに格納される情報は、生体情報に限られるものではなく、任意の情報を暗号化して格納することが可能である。

アドバタイズパケットを受信すると、受信装置２０は、第１管理装置３０によって生成された共通鍵を用いて、アドバタイズパケットに含まれる暗号化された生体情報を復号する。そして、受信装置２０は、復号した生体情報およびビーコン装置１０の装置ＩＤの情報に加えて、アドバタイズパケットの受信強度を示す受信強度情報と、受信時刻を示す受信時刻情報と、受信装置ＩＤの情報とを、無線通信により第２管理装置４０に送信する。なお、受信装置２０と第２管理装置４０とは、有線通信が可能に構成されてもよい。

第２管理装置４０は、受信装置２０から受けた受信強度情報、受信時刻情報、受信装置ＩＤの情報、ビーコン装置１０の装置ＩＤの情報および生体情報に基づいて、乗員２を管理する。具体的には、第２管理装置４０は、ビーコン装置１０の装置ＩＤの情報から乗員２を特定する。第２管理装置４０は、受信強度情報、受信時刻情報および受信装置ＩＤの情報から、乗員２の位置を推定する。また、第２管理装置４０は、乗員２の生体情報から乗員２の状態を推定する。すなわち、第２管理装置４０は、乗員２の位置および乗員２の状態を管理する。

さらに、第１管理装置３０は、通信システム１で用いられる共通鍵を更新する機能を有する。第１管理装置３０は、第１管理装置３０に対して共通鍵を更新するための更新操作（たとえば、共通鍵の更新コマンドの入力）が行なわれた場合に、当該更新操作に応じて新たな共通鍵を生成する。そして、第１管理装置３０は、生成した共通鍵を、通信システム１の現行（最新）の共通鍵として管理し、ビーコン装置１０および受信装置２０の共通鍵を更新する。更新操作は、たとえば、予め定められた更新周期毎に第１管理装置３０の管理者（図示せず）によって行なわれる。すなわち、定期的に通信システム１の共通鍵が更新される。これにより、仮に意図しない者に共通鍵が漏洩したとしても、セキュリティ上の問題を一時的なものとすることができ、通信システム１のセキュリティを担保することができる。なお、更新周期は、通信システム１が適用される対象に応じて適宜設定することが可能である。実施の形態１における更新周期は、たとえば、１週間または１ヶ月等に設定される。

以下においては、一例として、第１管理装置３０が新たな共通鍵５１を生成し、通信システム１の現行の共通鍵が共通鍵５０から共通鍵５１に更新されるケースを想定する。当該ケースにおける、ビーコン装置１０および受信装置２０の共通鍵の更新について説明する。

図２は、ビーコン装置１０および受信装置２０の共通鍵の更新を説明するための図である。

図１および図２を参照しながら、まず、受信装置２０の共通鍵の更新について説明する。受信装置２０の共通鍵は、通信ケーブル４５を介した有線通信により更新される。第１管理装置３０は、通信ケーブル４５を介して、複数の受信装置２０（受信装置２０－１，２０－２，…）に共通鍵５１を送信する。第１管理装置３０から共通鍵５１を受けた受信装置２０は、共通鍵５１を通信システム１の現行の共通鍵として記憶する。すなわち、通信ケーブル４５により第１管理装置３０と接続されている全台の受信装置２０（受信装置２０－１，２０－２，…）の共通鍵が一括して更新される。

次に、ビーコン装置１０の共通鍵の更新について説明する。ビーコン装置１０の共通鍵の更新は、第１管理装置３０とのＢＬＥ通信により行なわれる。乗員２は、更新周期が到来すると、自身が装着するビーコン装置１０を第１管理装置３０のところへ持って行き（第１管理装置３０とＢＬＥ通信が可能なところまで持って行き）、当該ビーコン装置１０と第１管理装置３０とのＢＬＥ通信を確立させて共通鍵を更新する。

より具体的に、ビーコン装置１０－１の共通鍵を更新する場合を想定する。ビーコン装置１０－１を装着する乗員２－１は、更新周期が到来すると、ビーコン装置１０－１を第１管理装置３０のところへ持って行く。そして、第１管理装置３０の管理者あるいは乗員２－１は、第１管理装置３０に対してビーコン装置１０－１の共通鍵を更新する操作（以下「更新対象の選択操作」とも称する）を行なう。たとえば、第１管理装置３０のディスプレに表示された複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）のうちから、第１管理装置３０の管理者がビーコン装置１０－１を選択する。更新対象の選択操作によって、第１管理装置３０からビーコン装置１０－１に接続要求が出力される。接続要求を受けると、ビーコン装置１０－１は、通信モードを第１モードから第２モードに切り替えて、第１管理装置３０に接続応答を送信する。これにより、ビーコン装置１０－１と第１管理装置３０との間でＢＬＥ通信が確立される。

そして、両者の間でＢＬＥ通信が確立されると、第１管理装置３０からビーコン装置１０－１に新たな共通鍵５１が送信される。ビーコン装置１０－１は、共通鍵５１を受信すると、それまでに記憶していた共通鍵５０を削除して、受信した共通鍵５１を記憶する。あるいは、ビーコン装置１０－１は、共通鍵５０に共通鍵５１を上書きしてもよい。

共通鍵の更新が完了すると、ビーコン装置１０－１は、通信モードを第２モードから第１モードに戻し、再びアドバタイズパケットをブロードキャスト送信する。共通鍵の更新が完了した以降は、ビーコン装置１０－１は、生体情報の暗号化に共通鍵５１を用いる。

なお、たとえば、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の各々と、第１管理装置３０とは、ＢＬＥ規格におけるペアリングを予め行なっておくことができる。予めペアリングを行なっておけば、ビーコン装置１０と第１管理装置３０とのＢＬＥ通信が確立される際に、ペアリングが行なわれた際に生成されたリンクキーによる相互認証が行なわれる。そして、ＢＬＥ通信において、リンクキーを用いた情報の暗号化および復号が行なわれる。これによって、ＢＬＥ通信において、セキュアな通信を行なうことができる。

上述したように、第１管理装置３０が新たな共通鍵を生成した場合、通信ケーブル４５に接続された複数の受信装置２０（受信装置２０－１，２０－２，…）の共通鍵は、一括して更新される。一方、ビーコン装置１０は、第１管理装置３０とのＢＬＥ通信を確立させて共通鍵が更新される。そのため、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵は、一括でなはなく、１台ずつ順次更新される。

そのため、受信装置２０の共通鍵が更新されてから、全台のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵の更新が完了するまでの間、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）には、共通鍵５０を有するものと、共通鍵５１を有するものとが混在する。受信装置２０が共通鍵の更新時に共通鍵５０を破棄あるいは共通鍵５０を共通鍵５１に上書きしていると、まだ更新が完了していないビーコン装置１０（共通鍵５０を有するビーコン装置１０）から受信したアドバタイズパケットに含まれる生体情報を復号することができない。それゆえに、全台のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵の更新が完了するまでの間に情報の欠落が生じる可能性がある。

そこで、実施の形態１においては、受信装置２０は、第１管理装置３０から共通鍵５１を受信した場合に、共通鍵５１を現行（最新のバージョン）の共通鍵として記憶しつつ、共通鍵５０を１つ前のバージョンの共通鍵として保持する。これにより、共通鍵５０，５１のいずれの共通鍵を有するビーコン装置１０からのアドバタイズパケットを受信した場合においても、当該アドバタイズパケットに含まれる生体情報を復号することができる。

さらに、実施の形態１においては、ビーコン装置１０は、生体情報の暗号化に使用した共通鍵のバージョン情報を、アドバタイズパケットの非暗号化領域に格納する。これによって、アドバタイズパケットを受信した受信装置２０は、アドバタイズパケットの非暗号化領域に含まれる共通鍵のバージョン情報に基づいて、アドバタイズパケットに含まれる生体情報がどの共通鍵を用いて暗号化されたかを認識することができる。たとえば、共通鍵５０および共通鍵５１の両方を用いてアドバタイズパケットに含まれる生体情報の復号を試みる場合には、データ処理の遅延を招く可能性がある。実施の形態１においては、生体情報の暗号化に用いた共通鍵のバージョン情報を認識することができるので、受信装置２０は、生体情報の復号に用いる共通鍵を特定することができる。ゆえに、共通鍵５０および共通鍵５１の両方を用いてアドバタイズパケットに含まれる生体情報の復号を試みる場合に比べ、データ処理の遅延を低減させることができる。

受信装置２０は、共通鍵５１を現行の共通鍵として記憶しつつ、共通鍵５０を１つ前のバージョンの共通鍵として保持している。アドバタイズパケットを受信すると、受信装置２０は、アドバタイズパケットの非暗号化領域に格納されている共通鍵のバージョン情報を読み出す。そして、受信装置２０は、読み出したバージョン情報に基づいて、共通鍵５０，５１のうちのいずれかを選択し、選択した共通鍵を用いて暗号化された生体情報を復号する。これにより、情報の欠落を抑制しつつ、データ処理の遅延の発生を抑制することができる。

なお、次の共通鍵の更新周期において、第１管理装置３０が新たな共通鍵５２を生成した場合、受信装置２０は、第１管理装置３０から共通鍵５２を受信すると、保持している共通鍵のうち古い方の共通鍵（すなわち共通鍵５０）を共通鍵５２に上書きする。そして、受信装置２０は、共通鍵５２を現行の共通鍵として記憶しつつ、共通鍵５１を１つ前のバージョンの共通鍵として保持する。

また、ビーコン装置１０－１，１０－２，…の各々は、本開示に係る「第１装置」の一例に相当する。また、受信装置２０－１，２０－２，…の各々は、本開示に係る「第２装置」の一例に相当する。また、第１管理装置３０は、本開示に係る「第３装置」の一例に相当する。

以下、通信システム１に含まれる、ビーコン装置１０、受信装置２０および第１管理装置３０の各構成の詳細について順に説明する。

＜ビーコン装置の構成＞
図３は、実施の形態１に係るビーコン装置１０の構成を示すブロック図である。図３を参照して、ビーコン装置１０は、ＣＰＵ（Central Processing Unit）１１と、記憶装置１２と、ＲＡＭ（Random Access Memory）１３と、通信装置１４と、生体センサ１５と、バッテリ１６とを含む。

記憶装置１２は、たとえばＲＯＭ（Read Only Memory）等の書き換え可能な不揮発性メモリを含む。記憶装置１２は、ハードディスクドライブおよびＳＳＤ（Solid State Drive）の少なくとも一方を含んでもよい。記憶装置１２は、ＣＰＵ１１で実行される各種プログラムを記憶する。ＣＰＵ１１により読み出された各種プログラムは、ＲＡＭ１３に展開される。ＲＡＭ１３は、ＣＰＵ１１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。また、記憶装置１２は、第１管理装置３０から受信した共通鍵を記憶する。

通信装置１４は、通信モードとして、単方向通信する第１モード、および双方向通信する第２モードを有する。通信装置１４は、ＣＰＵ１１からの指令に従って、第１モードおよび第２モードを切り替えるように構成される。

第１モードにおいて、通信装置１４は、ＣＰＵ１１からの指令に従って、アドバタイズパケットを設定された所定周期でブロードキャスト送信する。上記の所定周期は、ＢＬＥ規格で定められており、２０ｍｓ～１０．２４ｓの範囲で０．６２５ｍｓの整数倍である。通信装置１４は、たとえば約１ｓごとにアドバタイズパケットを送信する。

第２モードにおいて、通信装置１４は、アドバタイズパケットのブロードキャスト送信を停止し、接続要求を送信した装置（実施の形態１においては第１管理装置３０）とＢＬＥ通信を確立する。通信装置１４は、ＢＬＥ通信により、第１管理装置３０との間でデータの送受信を行なう。

生体センサ１５は、ビーコン装置１０が装着された乗員２の生体情報（たとえば脈拍、心拍、体温など）を出力する。生体センサ１５は、たとえば脈拍、心拍、体温などの値を計測し、計測した値を生体情報として出力してもよいし、計測した値に基づいて乗員２の状態を評価し、評価結果を生体情報として出力してもよい。

バッテリ１６は、動力源としてビーコン装置１０に搭載される。バッテリ１６は、たとえば、ニッケル水素電池、リチウムイオン電池等の二次電池である。たとえば、専用の充電器（図示せず）にビーコン装置１０を接続することにより、バッテリ１６を充電することができる。バッテリ１６の充電時には、たとえば、ＣＰＵ１１がバッテリ１６の充電状態を監視し、バッテリ１６のＳＯＣ（State Of Charge）が所定ＳＯＣに達すると、充電器に指令を送信して、給電を停止させる。

ＣＰＵ１１は、記憶装置１２に格納された各種プログラムを実行することでビーコン装置１０の各種の処理を制御する。具体的な一例としては、各種プログラムを実行することによりＣＰＵ１１は、通信制御部１１１、暗号化部１１２、生成部１１３および更新部１１４として機能する。

通信制御部１１１は、通信装置１４の通信モードを制御する。具体的には、通信制御部１１１は、デフォルトでは、通信装置１４の通信モードを第１モードに制御する。通信制御部１１１は、ビーコン装置１０の共通鍵を更新する場合に、通信装置１４の通信モードを第１モードから第２モードに切り替える。すなわち、ビーコン装置１０の「共通鍵を更新する場合」を条件として、条件が成立した際に、通信制御部１１１は、通信装置１４の通信モードを第１モードから第２モードに切り替える。実施の形態１に係る条件は、上述したとおり、外部の装置（実施の形態１においては第１管理装置３０）から接続要求を受信した場合である。通信制御部１１１は、外部の装置（実施の形態１においては第１管理装置３０）から接続要求を受信した場合に、通信装置１４の通信モードを第２モードに切り替える。なお、外部の装置との間でペアリングが行なわれている場合には、通信制御部１１１は、通信装置１４の通信モードを第２モードに切り替えて、外部の装置との間でリンクキーによる認証を行ない、リンクキーによる認証が成功した場合に、外部の装置との通信を確立させる。

通信制御部１１１は、共通鍵の更新が完了すると、通信装置１４の通信モードを第２モードから第１モードに切り替える。

暗号化部１１２は、記憶装置１２に記憶された共通鍵を用いて、生体センサ１５から出力された生体情報を暗号化する。

生成部１１３は、ＢＬＥ規格におけるアドバタイズパケットを生成する。アドバタイズパケットのデータ領域は、暗号化領域と、非暗号化領域とを含む。生成部１１３は、暗号化部１１２によって暗号化された生体情報をアドバタイズパケットの暗号化領域に格納する処理を行なう。また、生成部１１３は、生体情報の暗号化に用いられた共通鍵のバージョン情報をアドバタイズパケットの非暗号化領域に格納する処理を行なう。

更新部１１４は、通信装置１４を介して第１管理装置３０から共通鍵を受信すると、記憶装置１２に記憶されている共通鍵を更新する。具体的な一例として、第１管理装置３０から共通鍵５１を受信すると、更新部１１４は、記憶装置１２に記憶されている共通鍵５０を共通鍵５１に更新する。この場合において、更新部１１４は、共通鍵５０を削除するとともに、共通鍵５１を記憶する。あるいは、更新部１１４は、共通鍵５０を共通鍵５１に上書きしてもよい。

＜受信装置の構成＞
図４は、実施の形態１に係る受信装置２０の構成を示すブロック図である。図４を参照して、受信装置２０は、ＣＰＵ２１と、記憶装置２２と、ＲＡＭ２３と、第１通信装置２４と、第２通信装置２５と、第３通信装置２６とを含む。

記憶装置２２は、たとえばＲＯＭ等の書き換え可能な不揮発性メモリを含む。記憶装置２２は、ハードディスクドライブおよびＳＳＤの少なくとも一方を含んでもよい。記憶装置２２は、ＣＰＵ２１で実行される各種プログラムを記憶する。ＣＰＵ２１により読み出された各種プログラムは、ＲＡＭ２３に展開される。ＲＡＭ２３は、ＣＰＵ２１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。

また、記憶装置２２は、第１管理装置３０から受信した共通鍵を記憶する。記憶装置２２は、第１管理装置３０から共通鍵５１を受信した場合、受信した共通鍵５１を現行の共通鍵として記憶しつつ、現行の共通鍵として記憶していた共通鍵５０を１つ前のバージョンの共通鍵として保持する。さらに、次の更新周期が到来して第１管理装置３０により共通鍵５２が生成され、第１管理装置３０から共通鍵５２を受信した場合、記憶装置２２は、受信した共通鍵５２を現行の共通鍵として記憶しつつ、現行の共通鍵として記憶していた共通鍵５１を１つ前のバージョンの共通鍵として保持する。この場合、記憶装置２２は、１つ前のバージョンの共通鍵として保持してい共通鍵５０を削除する。つまり、記憶装置２２は、初期を除き、２つの共通鍵を記憶する。なお、共通鍵５０を削除せずに記憶装置２２に保持させることも可能であるが、使用可能な共通鍵を２つに限ることにより、セキュリティを向上させることができる。

第１通信装置２４には、通信ケーブル４５（図１参照）が接続されている。第１通信装置２４は、通信ケーブル４５を介して、第１管理装置３０との間でデータの送受信が可能に構成される。

第２通信装置２５は、ビーコン装置１０がブロードキャスト送信するアドバタイズパケットを受信可能に構成される。

第３通信装置２６は、第２管理装置４０との間での無線通信が可能に構成される。

ＣＰＵ２１は、記憶装置２２に格納された各種プログラムを実行することで受信装置２０の各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ２１は、特定部２１１、復号部２１２、更新部２１３、および送信部２１４として機能する。

特定部２１１は、受信したアドバタイズパケットに格納された生体情報の暗号化に用いられた共通鍵のバージョンを特定する。具体的には、特定部２１１は、受信したアドバタイズパケットの非暗号化領域に格納された共通鍵のバージョン情報を読み出す。特定部２１１は、読み出したバージョン情報に基づいて、生体情報の暗号化にいられた共通鍵を特定する。

復号部２１２は、特定部２１１が特定した共通鍵を記憶装置２２から読み出して、読み出した共通鍵を用いて、受信したアドバタイズパケットの暗号化領域に格納された生体情報を復号する。

更新部２１３は、第１通信装置２４を介して第１管理装置３０から共通鍵を受信すると、記憶装置２２に共通鍵を記憶させる。具体的な一例として、第１管理装置３０から共通鍵５１を受信すると、更新部２１３は、現行の共通鍵として共通鍵５１を記憶装置２２に記憶させるとともに、１つ前のバージョンの共通鍵として共通鍵５０を記憶装置２２に保持させる。次の更新周期において第１管理装置３０から共通鍵５２を受信すると、更新部２１３は、現行の共通鍵として共通鍵５２を記憶装置２２に記憶させるとともに、１つ前のバージョンの共通鍵として共通鍵５１を記憶装置２２に保持させる。この場合、更新部２１３は、記憶装置２２から共通鍵５０を削除する。

送信部２１４は、復号された生体情報、ビーコン装置１０の装置ＩＤ、受信強度情報、受信時刻情報、および受信装置ＩＤの情報を、第３通信装置２６を介して第２管理装置４０に送信する。

＜第１管理装置の構成＞
図５は、実施の形態１に係る第１管理装置３０の構成を示すブロック図である。図５を参照して、第１管理装置３０は、ＣＰＵ３１と、記憶装置３２と、ＲＡＭ３３と、ネットワーク通信装置３４と、通信装置３５と、通信インターフェース３６と、ディスプレイ３７とを含む。

記憶装置３２は、たとえばＲＯＭ等の書き換え可能な不揮発性メモリを含む。記憶装置３２は、ハードディスクドライブおよびＳＳＤの少なくとも一方を含んでもよい。記憶装置３２は、ＣＰＵ３１で実行される各種プログラムを記憶する。ＣＰＵ３１により読み出された各種プログラムは、ＲＡＭ３３に展開される。ＲＡＭ３３は、ＣＰＵ３１によって処理されるデータを一時的に記憶する作業用メモリとして機能する。

また、記憶装置３２は、ビーコン装置１０および受信装置２０の共通鍵の更新状況を示す管理情報を記憶する。管理情報の詳細については、後述する。

ネットワーク通信装置３４には、通信ケーブル４５（図１参照）が接続されている。ネットワーク通信装置３４は、通信ケーブル４５を介して、受信装置２０の各々との間でデータの送受信を行なう。

通信装置３５は、ＣＰＵ３１からの指令に従ってビーコン装置１０に接続要求を送信する。複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）のうちのいずれのビーコン装置１０に接続要求を送信するかは、たとえば第１管理装置３０に対して行なわれる更新対象の選択操作に従う。たとえば、第１管理装置３０の管理者が、これから共通鍵の更新を行なうビーコン装置１０をディスプレイ３７上で選択する。当該操作（更新対象の選択操作）によって、ＣＰＵ３１から通信装置３５へ、選択されたビーコン装置１０への接続要求の送信指令が出力される。通信装置３５は、ＣＰＵ３１からの指令に従ってビーコン装置１０に接続要求を送信する。

通信装置３５は、接続要求に対する接続応答をビーコン装置１０から受信する。接続応答を受信すると、通信装置３５は、ビーコン装置１０との間でＢＬＥ通信を確立させる。通信装置３５は、ＣＰＵ３１からの指令に従って、ＢＬＥ通信によりビーコン装置１０に新たな共通鍵を送信する。

通信インターフェース３６は、たとえば、ＵＳＢ（Universal Serial Bus）ポートまたはＮＦＣ（Near Field Communication）リーダライタ等で構成される。たとえば、通信インターフェース３６がＵＳＢポートである場合には、外部の装置をＵＳＢポートに接続することによって、第１管理装置３０と外部の装置との通信が可能となる。たとえば、通信インターフェース３６がＮＦＣリーダライタである場合には、外部の装置をＮＦＣリーダライタにかざすことにより、電磁誘導または電磁結合を用いて、ＮＦＣリーダライタと外部の装置との通信が可能となる。

ディスプレイ３７は、たとえば、液晶ディスプレイである。ディスプレイ３７は、種々の情報を表示する。たとえば、ディスプレイ３７は、現行の共通鍵のバージョン情報を表示したり、ビーコン装置１０および受信装置２０の共通鍵の更新状況等の各種の情報を表示したりする。

ＣＰＵ３１は、記憶装置３２に格納された各種プログラムを実行することで第１管理装置３０の各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ３１は、鍵生成部３１１、接続確立部３１２、送信部３１３および更新管理部３１４として機能する。

鍵生成部３１１は、第１管理装置３０に対して行なわれた更新操作（たとえば、共通鍵の更新コマンドの入力）に基づいて、新たな共通鍵を生成する。たとえば、第１管理装置３０の管理者が、更新周期毎に更新操作を行なう。更新周期は、たとえば、１週間や１ヶ月等に設定される。

接続確立部３１２は、第１管理装置３０に対して行なわれる更新対象の選択操作に従って、通信装置３５を介して、選択されたビーコン装置１０に接続要求を送信する。接続確立部３１２は、通信装置３５を介して、接続要求を送信したビーコン装置１０から接続応答を受信すると、当該ビーコン装置１０との間でＢＬＥ通信を確立させる。

送信部３１３は、新たな共通鍵が生成された場合に、ネットワーク通信装置３４を介して、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々に生成された共通鍵を送信する。共通鍵の送信には、たとえば、ＳＳＨ（Secure Shell）を用いたＳＦＴＰ（SSH File Transfer Protocol）通信、またはＳＣＰ（Secure Copy Protocol）通信が適用される。

また、送信部３１３は、ＢＬＥ通信が確立されたビーコン装置１０に、通信装置３５を介して、新たな共通鍵を送信する。

更新管理部３１４は、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の各々、および、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々の共通鍵の更新状況を管理する。更新管理部３１４は、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の各々、および、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々の共通鍵の更新状況を管理情報として管理し、たとえば、当該管理情報を更新管理表としてディスプレイ３７に表示させる。

図６は、更新管理表の一例を説明するための図である。図６を参照して、更新管理表には、ビーコン装置１０の装置ＩＤと、装置ＩＤを有するビーコン装置１０に記憶された共通鍵のバージョン情報とが示されている。具体的には、ビーコン装置１０－１（装置ＩＤ：１０－１）には共通鍵５１が記憶されており、ビーコン装置１０－２（装置ＩＤ：１０－２）には、共通鍵５０が記憶されていることが示されている。また、更新管理表には、受信装置２０の受信装置ＩＤと、受信装置ＩＤを有する受信装置２０に記憶された共通鍵のバージョン情報とが示されている。具体的には、受信装置２０－１（受信装置ＩＤ：２０－１）および受信装置２０－２（受信装置ＩＤ：２０－２）には、共通鍵５０および共通鍵５１が記憶されていることが示されている。

具体的な一例として、新たに生成された共通鍵５１が、送信部３１３によって複数の受信装置２０（受信装置２０－１，２０－２，…）の各々に送信されると、更新管理部３１４は、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々の管理情報を更新する。より具体的には、更新管理部３１４は、受信装置２０の各々が保持している共通鍵のバージョン情報を「共通鍵５０，５１」に更新する。なお、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々は、第１管理装置３０から新たな共通鍵を受信した場合において、新たな共通鍵を記憶すると、新たな共通鍵を記憶したことの応答を第１管理装置３０に送信するように構成されてもよい。この場合には、第１管理装置３０は、当該応答に基づいて、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々の管理情報を更新してもよい。

また、更新管理部３１４は、新たに生成された共通鍵５１が、送信部３１３によってビーコン装置１０に送信されると、更新管理部３１４は、当該ビーコン装置１０の管理情報を更新する。より具体的には、更新管理部３１４は、たとえば、新たに生成された共通鍵５１がビーコン装置１０－１に送信された場合には、ビーコン装置１０－１が保持している共通鍵のバージョン情報を「共通鍵５０」から「共通鍵５１」に更新する。なお、ビーコン装置１０は、第１管理装置３０から新たな共通鍵を受信した場合において、新たな共通鍵を記憶すると、新たな共通鍵を記憶したことの応答を第１管理装置３０に送信するように構成されてもよい。この場合には、第１管理装置３０は、当該応答に基づいて、ビーコン装置１０の管理情報を更新してもよい。

＜生体情報の暗号化および復号の手順＞
図７は、生体情報の暗号化および復号の手順を示すフローチャートである。図７に示すフローチャートの処理は、上述の所定周期毎にビーコン装置１０により開始される。ビーコン装置１０は、所定周期毎にアドバタイズパケットを生成して、生成されたアドバタイズパケットをブロードキャスト送信する。

所定周期が到来すると、ビーコン装置１０は、乗員２の生体情報を検知し、共通鍵を用いて、生体情報を暗号化する（ステップ１、以下ステップを「Ｓ」と略す）。

ビーコン装置１０は、Ｓ１において暗号化された生体情報を、アドバタイズパケットの暗号化領域に格納する（Ｓ３）。

ビーコン装置１０は、Ｓ１において生体情報の暗号化に用いた共通鍵のバージョン情報を、アドバタイズパケットの非暗号化領域に格納する（Ｓ５）。

Ｓ１～Ｓ５の処理を実行してアドバタイズパケットを生成すると、ビーコン装置１０は、アドバタイズパケットをブロードキャスト送信する（Ｓ７）。

受信装置２０は、アドバタイズパケットを受信するまで待機する（Ｓ１１においてＮＯ）。アドバタイズパケットを受信すると（Ｓ１１においてＹＥＳ）、受信装置２０は、アドバタイズパケットの受信強度を特定して受信強度情報として記憶する（Ｓ１３）。また、受信装置２０は、アドバタイズパケットの受信時刻を受信時刻情報として記憶する（Ｓ１３）。

次いで、受信装置２０は、受信したアドバタイズパケットの非暗号化領域から、生体情報の暗号化に用いられた共通鍵のバージョン情報を読み出す。そして、バージョン情報に基づいて、復号に用いる共通鍵を特定する（Ｓ１５）。

受信装置２０は、Ｓ１５で特定した共通鍵を記憶装置２２から読み出し、読み出した共通鍵を用いてアドバタイズパケットの暗号化領域に格納された、暗号化された生体情報を復号する（Ｓ１７）。また、受信装置２０は、アドバタイズパケットに格納されたビーコン装置１０の装置ＩＤを読み出す。

受信装置２０は、復号された生体情報、ビーコン装置１０の装置ＩＤ、受信強度情報、受信時刻情報、および受信装置ＩＤの情報を、第２管理装置４０に送信する（Ｓ１９）。

＜共通鍵の更新処理の手順＞
＜＜受信装置の共通鍵の更新＞＞
図８は、受信装置２０および第１管理装置３０で実行される共通鍵の更新の手順を示すフローチャートである。図８に示すフローチャートは、第１管理装置３０に対して更新操作が行なわれた場合に開始される。なお、上述のとおり、更新操作は、更新周期が到来した際に、たとえば、第１管理装置３０の管理者により行なわれる。

共通鍵の更新操作が行なわれると、第１管理装置３０は、新たな共通鍵を生成する（Ｓ２１）。具体的な一例としては、第１管理装置３０は、新たに共通鍵５１を生成する。そして、第１管理装置３０は、これまで現行の共通鍵として管理していた共通鍵５０に代えて、共通鍵５１を現行の共通鍵として管理する。

次いで、第１管理装置３０は、生成した共通鍵５１を受信装置２０に送信する（Ｓ２３）。生成した共通鍵５１を送信すると、第１管理装置３０は、共通鍵の管理情報（更新管理表として表示される情報）を更新する（Ｓ２５）。具体的には、第１管理装置３０は、管理情報における、受信装置２０に記憶されている共通鍵の情報を、共通鍵５０，５１に更新する。

受信装置２０は、共通鍵５１を受信すると、共通鍵５１を新たに記憶する（Ｓ３１）。具体的には、受信装置２０は、受信した共通鍵５１を現行の共通鍵として記憶する。また、受信装置２０は、現行の共通鍵として記憶していた共通鍵５０を１つ前のバージョンの共通鍵として保持する。

なお、受信装置２０は、共通鍵５１を記憶した場合に、共通鍵５１を記憶したことの応答を第１管理装置３０に送信するようにしてもよい。この場合には、第１管理装置３０は、受信装置２０から受けた応答に基づいて、Ｓ２５の処理を実行する。

＜＜ビーコン装置の共通鍵の更新＞＞
図９は、ビーコン装置１０および第１管理装置３０で実行される共通鍵の更新の手順を示すフローチャートである。図９に示すフローチャートは、第１管理装置３０に対して更新対象の選択操作が行なわれた場合、すなわち、第１管理装置３０に対して、特定のビーコン装置１０（たとえばビーコン装置１０－１）の共通鍵を更新するための操作が行なわれた場合に開始される。

第１管理装置３０に対して更新対象の選択操作（たとえばビーコン装置１０－１を選択）が行なわれると、第１管理装置３０は、ビーコン装置１０（ビーコン装置１０－１）に接続要求を送信する（Ｓ４１）。

ビーコン装置１０（ビーコン装置１０－１）は、接続要求を受けるまでは、通信モードを第１モードにして、アドバタイズパケットをブロードキャスト送信している（Ｓ５１）。接続要求を受信すると（Ｓ５２においてＹＥＳ）、ビーコン装置１０は、通信モードを第２モードにする（Ｓ５３）。

次いで、ビーコン装置１０と第１管理装置３０との間で、リンクキーによる相互認証が行なわれる（Ｓ４３，Ｓ５４）。相互認証が成功すると、ビーコン装置１０と第１管理装置３０との間でＢＬＥ通信が確立される。

第１管理装置３０は、ＢＬＥ通信により、新たな共通鍵をビーコン装置１０に送信する（Ｓ４５）。新たな共通鍵（共通鍵５１）をビーコン装置１０に送信すると、第１管理装置３０は、管理情報を更新する（Ｓ４７）。具体的には、ビーコン装置１０（ビーコン装置１０－１）が有する共通鍵のバージョン情報を更新する。

ビーコン装置１０は、第１管理装置３０から共通鍵を受信すると、自身が有している共通鍵を、受信した共通鍵に更新する（Ｓ５５）。共通鍵の更新が完了すると、ビーコン装置１０は、通信モードを第２モードから第１モードに切り替える（Ｓ５６）。以降においては、ビーコン装置１０は、ブロードキャスト送信するアドバタイズパケットの生成において、更新した共通鍵を用いて生体情報を暗号化する。

なお、ビーコン装置１０は、第１管理装置３０から受信した共通鍵を記憶した場合に、当該共通鍵を記憶したことの応答を第１管理装置３０に送信するようにしてもよい。この場合には、第１管理装置３０は、ビーコン装置１０から受けた応答に基づいて、Ｓ４７の処理を実行する。

＜利点＞
以上のように、実施の形態１に係る通信システム１において、受信装置２０は、現行の共通鍵に加えて、１つ前のバージョンの共通鍵を保持する。第１管理装置３０が共通鍵を更新した場合、通信ケーブル４５を介して全台の受信装置２０（受信装置２０－１，２０－２，…）の共通鍵が一括して更新される一方で、ビーコン装置１０は、ＢＬＥ通信により共通鍵を更新するため、１台ずつ共通鍵が更新される。そのため、受信装置２０の共通鍵が更新されてから、全台のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵の更新が完了するまでの間、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）には、現行（最新バージョン）の共通鍵を有するものと、１つ前のバージョンの共通鍵を有するものとが混在する。受信装置２０が上述の２つの共通鍵を保持することによって、いずれの共通鍵を有するビーコン装置１０からのアドバタイズパケットも復号することが可能となる。これにより、全台のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵の更新が完了するまでの間における情報の欠落を抑制することができる。

さらに、実施の形態１に係る通信システム１において、ビーコン装置１０は、ブロードキャスト送信するアドバタイズパケットに、生体情報の暗号化に用いた共通鍵のバージョン情報を含ませる。より具体的には、ビーコン装置１０は、共通鍵を用いて暗号化した生体情報をアドバタイズパケットの暗号化領域に格納し、暗号化に用いた共通鍵のバージョン情報をアドバタイズパケットの非暗号化領域に格納し、アドバタイズパケットをブロードキャスト送信する。アドバタイズパケットの非暗号化領域に暗号化に用いた共通鍵のバージョン情報が格納されていることにより、アドバタイズパケットを受信した受信装置２０は、生体情報の暗号化に用いられた共通鍵を特定することができる。すなわち、受信装置２０は、暗号化された生体情報の復号に用いるべき共通鍵を特定することができる。これにより、たとえば受信装置２０が複数の共通鍵を用いて暗号化された生体情報の復号を試みるような場合に比べ、データ処理の速度を向上させることができる。

また、実施の形態１に係る通信システム１において、更新周期毎に通信システム１で用いられる共通鍵が更新される。これにより、仮に意図しない者に共通鍵が漏洩したとしても、セキュリティ上の問題を一時的なものとすることができ、通信システム１のセキュリティを担保することができる。

さらに、受信装置２０は、共通鍵が次に更新されるまで２つの共通鍵を保持し続ける。たとえば、全台のビーコン装置１０（ビーコン装置１０－１，１０－２，…）の共通鍵の更新が完了したタイミングで、第１管理装置３０から受信装置２０に、１つ前のバージョンの共通鍵を削除する指令を送信することも可能である。しかしながら、実施の形態１に係る通信システム１においては、共通鍵が次に更新されるまで２つの共通鍵を保持し続けるようにすることによって、第１管理装置３０と受信装置２０との通信回数を削減し、情報漏洩等を抑制することができる。さらに、共通鍵の更新時に限り、第１管理装置３０を通信ケーブル４５に接続するようにすることもできる。共通鍵の更新時以外は、第１管理装置３０をネットワークから切り離しておくことができるので、通信システム１のセキュリティを高めることができる。

なお、実施の形態１に係る通信システム１において、ビーコン装置１０と第１管理装置３０との間の通信には、ＢＬＥ規格に従う通信プロトコルが用いられる例について説明したが、ＢＬＥ規格に従う通信プロトコルに代えて、他の通信プロトコルが用いられてもよい。

［変形例１］
実施の形態１においては、ビーコン装置１０の共通鍵の更新において、ＢＬＥ通信により第１管理装置３０からビーコン装置１０に共通鍵が送信される例について説明した。ビーコン装置１０の共通鍵の更新には、たとえば、第１管理装置３０の通信インターフェース３６が用いられてもよい。

たとえば、乗員２は、更新周期が到来すると、通信インターフェース３６を用いて、自身の有するビーコン装置１０を第１管理装置３０に接続する。そして、たとえば、当該乗員２あるいは第１管理装置３０の管理者の第１管理装置３０に対する操作によって、通信インターフェース３６を介して第１管理装置３０からビーコン装置１０に共通鍵が送信される。

このように、変形例１のような構成であっても、ビーコン装置１０の共通鍵を適切に更新することができる。

［実施の形態２］
実施の形態１においては、通信システム１の共通鍵の更新は、更新周期毎に第１管理装置３０の管理者が更新操作を行なうことにより開始された。また、ビーコン装置１０の共通鍵の更新においても、更新周期が到来した際に乗員２が第１管理装置３０のところ（第１管理装置３０とＢＬＥ通信可能なところ）までビーコン装置１０を持っていき、第１管理装置３０に対して更新対象の選択操作を行なうことにより開始された。しかしながら、一連の共通鍵の更新は自動で行なうことも可能である。

図１０は、実施の形態２に係る通信システム１Ａの全体構成を模式的に示す図である。通信システム１Ａは、複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）と、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）と、第１管理装置３０Ａと、第２管理装置４０と、通信ケーブル４５とを備える。実施の形態２に係る通信システム１Ａは、実施の形態１に係る通信システム１に対して、複数のビーコン装置１０（ビーコン装置１０－１，１０－２，…）を複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）に、複数の受信装置２０（受信装置２０－１，２０－２，…）を複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）に、第１管理装置３０を第１管理装置３０Ａにそれぞれ変更したものである。通信システム１Ａの第２管理装置４０および通信ケーブル４５については、通信システム１の第２管理装置４０および通信ケーブル４５と同様であるため、同じ番号を付し、その説明は繰り返さない。

通信システム１Ａにおいては、更新周期毎に共通鍵が自動で更新される。具体的には、第１管理装置３０Ａは、更新周期毎に新たな共通鍵を生成する。そして、第１管理装置３０Ａは、生成した共通鍵を通信ケーブル４５を介して複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）に送信する。複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々は、第１管理装置３０から共通鍵を受信すると、当該共通鍵を現行の共通鍵として記憶する。

ビーコン装置１０Ａは、実施の形態１に係るビーコン装置１０と同様、充電可能なバッテリを動力源とする携帯型のビーコン装置である。実施の形態２に係るビーコン装置１０Ａは、単方向通信する第３モードと双方向通信する第４モードとの２つの通信モードを有する。ビーコン装置１０Ａの通信モードは第３モードがデフォルトとなっている。第３モードにおいてビーコン装置１０Ａは、アドバタイズパケットを電波６０によってブロードキャスト送信する。ビーコン装置１０Ａは、共通鍵を用いて乗員２の生体情報を暗号化し、アドバタイズパケットの暗号化領域に格納する。また、ビーコン装置１０Ａは、生体情報の暗号化に用いた共通鍵のバージョン情報をアドバタイズパケットの非暗号化領域に格納する。また、ビーコン装置１０Ａは、ビーコン装置１０Ａを識別する装置ＩＤの情報をアドバタイズパケットの非暗号化領域に格納する。なお、ビーコン装置１０Ａは、共通鍵を用いて装置ＩＤの情報を暗号化し、暗号化された装置ＩＤの情報をアドバタイズパケットの暗号化領域に格納してもよい。

ビーコン装置１０Ａは、共通鍵を更新する場合に、通信モードを第４モードに切り替えて、受信装置２０Ａとの間で双方向通信し、電波６２（図１１）によって受信装置２０Ａから共通鍵を取得する。すなわち、実施の形態２に係るビーコン装置１０Ａは、受信装置２０Ａを介して、新たな共通鍵を受け取る。ビーコン装置１０Ａは、受信装置２０Ａから共通鍵を受け取ると、共通鍵を更新する。通信モードの切り替えが行なわれる上記の「共通鍵を更新する場合」とは、たとえば、ビーコン装置１０Ａが充電器８０（図１１）に接続された場合である。後述するように、ビーコン装置１０Ａは、充電器８０に接続された場合に、通信モードを第３モードから第４モードに切り替える。

受信装置２０Ａは、ビーコン装置１０からブロードキャスト送信されるアドバタイズパケットを受信可能に構成される。受信装置２０Ａは、実施の形態１に係る受信装置２０と同様に、２つの共通鍵（図１０に示す例においては共通鍵５０，５１）を保持する。アドバタイズパケットを受信すると、受信装置２０Ａは、アドバタイズパケットの非暗号化領域に含まれる共通鍵のバージョン情報に基づいて、生体情報の暗号化に用いられた共通鍵を特定する。受信装置２０Ａは、特定した共通鍵を用いて、暗号化された生体情報を復号する。そして、受信装置２０Ａは、復号された生体情報およびビーコン装置１０Ａの装置ＩＤの情報に加えて、アドバタイズパケットの受信強度を示す受信強度情報と、受信時刻を示す受信時刻情報と、受信装置ＩＤの情報とを、無線通信により第２管理装置４０に送信する。

第１管理装置３０Ａは、上述のとおり、更新周期毎に新たな共通鍵を生成する（たとえば図１０に示す共通鍵５１）。第１管理装置３０Ａは、生成した共通鍵５１を、通信ケーブル４５を介して複数の受信装置２０（受信装置２０－１，２０－２，…）に一括して送信する。これにより、全台の受信装置２０（受信装置２０－１，２０－２，…）の共通鍵が一括して更新される。具体的には、複数の受信装置２０（受信装置２０－１，２０－２，…）の各々が、共通鍵５１を現行の共通鍵として記憶するとともに、共通鍵５０を１つ前のバージョンの共通鍵として保持する。

図１１は、ビーコン装置１０Ａの共通鍵の更新を説明するための図である。ビーコン装置１０Ａは、充電器８０に接続されると、通信モードを第３モードから第４モードに切り替える。充電器８０は、ビーコン装置１０Ａのバッテリ１６Ａ（図１２）を充電するための充電器である。第４モードにおいてビーコン装置１０Ａは、受信装置２０Ａとの間で双方向通信し、電波６２によって受信装置２０Ａから共通鍵５１を取得する。これによって、ビーコン装置１０Ａの共通鍵が、共通鍵５０から共通鍵５１に更新される。

なお、複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）の各々と、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々とは、ＢＬＥ規格におけるペアリングを予め行なっておくことができる。予めペアリングを行なっておけば、ビーコン装置１０Ａと受信装置２０Ａとの双方向通信が確立される際に、ペアリングが行なわれた際に生成されたリンクキーによる相互認証が行なわれる。そして、双方向通信において、リンクキーを用いた情報の暗号化および復号が行なわれる。これによって、双方向通信において、セキュアな通信を行なうことができる。

なお、ビーコン装置１０Ａ－１，１０Ａ－２，…の各々は、本開示に係る「第１装置」の一例に相当する。また、受信装置２０Ａ－１，２０Ａ－２，…の各々は、本開示に係る「第２装置」の一例に相当する。また、第１管理装置３０Ａは、本開示に係る「第３装置」の一例に相当する。

以下、通信システム１Ａに含まれる、ビーコン装置１０Ａ、受信装置２０Ａおよび第１管理装置３０Ａの各構成の詳細について順に説明する。

＜ビーコン装置の構成＞
図１２は、実施の形態２に係るビーコン装置１０Ａの構成を示すブロック図である。図３を参照して、ビーコン装置１０Ａは、ＣＰＵ（Central Processing Unit）１１Ａと、記憶装置１２Ａと、ＲＡＭ１３Ａと、通信装置１４Ａと、生体センサ１５Ａと、バッテリ１６Ａとを含む。

記憶装置１２Ａ、ＲＡＭ１３Ａ、生体センサ１５Ａおよびバッテリ１６Ａについては、実施の形態１に係るビーコン装置１０の記憶装置１２、ＲＡＭ１３、生体センサ１５およびバッテリ１６とそれぞれ同様であるため、その説明は繰り返さない。

通信装置１４Ａは、通信モードとして、単方向通信する第３モード、および双方向通信する第４モードを有する。通信装置１４Ａは、ＣＰＵ１１Ａからの指令に従って、第３モードおよび第４モードを切り替えるように構成される。

第３モードにおいて通信装置１４Ａは、ＣＰＵ１１Ａからの指令に従って、アドバタイズパケットを設定された所定周期でブロードキャスト送信する。上記の所定周期は、ＢＬＥ規格で定められており、２０ｍｓ～１０．２４ｓの範囲で０．６２５ｍｓの整数倍である。通信装置１４Ａは、たとえば約１ｓごとにアドバタイズパケットを送信する。

アドバタイズパケットは、ビーコン装置１０Ａを識別する装置ＩＤの情報、および、コネクション可否を示す情報を含む。コネクション可否を示す情報が「コネクション可」に設定されていると、当該アドバタイズパケットを受信した受信装置２０Ａから接続要求が出力され、ビーコン装置１０Ａと受信装置２０Ａとの間で双方向通信が確立される。一方、コネクション可否を示す情報が「コネクション否」に設定されていると、当該アドバタイズパケットを受信した受信装置２０Ａから接続要求が出力されず、ビーコン装置１０Ａと受信装置２０Ａとの間で双方向通信は確立されない。通信モードが第３モードである場合には、通信装置１４Ａは、コネクション可否を示す情報を、「コネクション否」に設定する。

第４モードにおいて通信装置１４Ａは、第３モードと同様の所定周期でアドバタイズパケットをブロードキャスト送信する。通信モードが第４モードである場合には、通信装置１４Ａは、アドバタイズパケット中のコネクション可否を示す情報を、「コネクション可」に設定する。そして、受信装置２０Ａから接続要求を受信した場合には、通信装置１４Ａは、アドバタイズパケットの送信を停止して、当該受信装置２０Ａとの間で双方向通信（たとえばＢＬＥ通信）を確立する。双方向通信を確立した後には、通信装置１４Ａは、受信装置２０Ａとの間でデータの送受信を行なう。

ＣＰＵ１１Ａは、記憶装置１２Ａに格納された各種プログラムを実行することでビーコン装置１０Ａの各種の処理を制御する。具体的な一例としては、各種プログラムを実行することによりＣＰＵ１１Ａは、通信制御部１１１Ａ、暗号化部１１２Ａ、生成部１１３Ａおよび更新部１１４Ａとして機能する。なお、暗号化部１１２Ａ、生成部１１３Ａおよび更新部１１４Ａは、実施の形態１に係るＣＰＵ１１の暗号化部１１２、生成部１１３および更新部１１４と同様であるため、その説明は繰り返さない。

通信制御部１１１Ａは、通信装置１４Ａの通信モードを制御する。具体的には、通信制御部１１１Ａは、デフォルトでは、通信装置１４Ａの通信モードを第３モードに制御する。通信制御部１１１Ａは、ビーコン装置１０Ａの共通鍵を更新する場合に、通信装置１４Ａの通信モードを第３モードから第４モードに切り替える。すなわち、ビーコン装置１０Ａの「共通鍵を更新する場合」を条件として、条件が成立した際に、通信モードが第３モードから第４モードに切り替えられる。実施の形態２に係る条件は、上述したとおり、ビーコン装置１０Ａが充電器８０に接続されたことである。また、通信制御部１１１Ａは、ビーコン装置１０Ａの共通鍵の更新が完了すると、通信装置１４Ａの通信モードを第４モードから第３モードに切り替える。なお、条件は上記に限られるものではなく、たとえば、更新間隔を予め定めておき、ビーコン装置１０Ａの共通鍵が前回更新されてから、所定時間が経過したこと等であってもよい。条件は、通信システム１Ａが適用される対象に応じて適切に設定することができる。

＜受信装置の構成＞
図１３は、実施の形態２に係る受信装置２０Ａの構成を示すブロック図である。図１３を参照して、受信装置２０Ａは、ＣＰＵ２１Ａと、記憶装置２２Ａと、ＲＡＭ２３Ａと、第１通信装置２４Ａと、第２通信装置２５Ａと、第３通信装置２６Ａとを含む。記憶装置２２Ａ、ＲＡＭ２３Ａおよび第３通信装置２６Ａについては、実施の形態１に係る受信装置２０の記憶装置２２、ＲＡＭ２３および第３通信装置２６と同様であるため、繰り返し説明しない。

第１通信装置２４Ａには、通信ケーブル４５（図１０参照）が接続されている。第１通信装置２４Ａは、通信ケーブル４５を介して、第１管理装置３０Ａとの間でデータの送受信が可能に構成される。

第２通信装置２５Ａは、ビーコン装置１０がブロードキャスト送信するアドバタイズパケットを受信可能に構成される。第２通信装置２５Ａは、受信したアドバタイズパケット中のコネクション可否を示す情報がコネクション可に設定されている場合、アドバタイズパケットに含まれる装置ＩＤから特定されるビーコン装置１０Ａに対して、接続要求を送信する。

第２通信装置２５Ａは、ビーコン装置１０Ａとの間で双方向通信が確立されると、ビーコン装置１０Ａに共通鍵を送信可能に構成される。

ＣＰＵ２１Ａは、記憶装置２２Ａに格納された各種プログラムを実行することで受信装置２０Ａの各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ２１Ａは、特定部２１１Ａ、復号部２１２Ａ、更新部２１３Ａ、送信部２１４Ａおよび照合部２１５Ａとして機能する。なお、復号部２１２Ａおよび更新部２１３Ａについては、実施の形態１に係るＣＰＵ２１の復号部２１２および更新部２１３と同様であるため、繰り返し説明しない。

特定部２１１Ａは、受信したアドバタイズパケットに含まれている装置ＩＤからビーコン装置１０Ａを特定する。

また、特定部２１１Ａは、受信したアドバタイズパケットに格納された生体情報の暗号化に用いられた共通鍵のバージョンを特定する。具体的には、特定部２１１Ａは、受信したアドバタイズパケットの非暗号化領域から、共通鍵のバージョン情報を読み出す。特定部２１１Ａは、読み出したバージョン情報に基づいて、生体情報の暗号化に用いられた共通鍵を特定する。

照合部２１５Ａは、受信したアドバタイズパケットに含まれる共通鍵のバージョン情報が最新であるか否か（現行のものである否か）を照合する。具体的には、照合部２１５Ａは、受信したアドバタイズパケットの非暗号化領域に格納されたバージョン情報と、記憶装置２２Ａに記憶されている現行の共通鍵のバージョン情報とを照合させる。両者のバージョンが同じである場合には、照合部２１５Ａは、アドバタイズパケットを送信したビーコン装置１０Ａは現行（最新）の共通鍵を有していると判定する。一方、両者のバージョンが異なる場合には、照合部２１５Ａは、アドバタイズパケットを送信したビーコン装置１０Ａが現行（最新）の共通鍵を有していないと判定する。

送信部２１４Ａは、照合部２１５Ａによってアドバタイズパケットを送信したビーコン装置１０Ａの共通鍵が現行のものではないと判定された場合に、第２通信装置２５Ａを介して、ビーコン装置１０Ａに現行の共通鍵を送信する。

また、送信部２１４Ａは、ビーコン装置１０Ａに共通鍵を送信すると、ビーコン装置１０Ａの共通鍵を更新したことを示す情報を、第１通信装置２４Ａを介して、第１管理装置３０Ａに送信する。ビーコン装置１０Ａの共通鍵を更新したことを示す情報には、ビーコン装置１０Ａの装置ＩＤの情報、および当該ビーコン装置１０Ａに送信した共通鍵のバージョン情報が含まれる。なお、ビーコン装置１０Ａは、受信装置２０Ａから共通鍵を受信して共通鍵を更新すると、共通鍵を更新した旨の応答を受信装置２０Ａに送信するように構成されてもよい。この場合には、送信部２１４Ａは、当該応答に基づいて、ビーコン装置１０Ａの共通鍵を更新したことを示す情報を第１管理装置３０Ａに送信すればよい。

また、送信部２１４Ａは、復号された生体情報、ビーコン装置１０Ａの装置ＩＤ、受信強度情報、受信時刻情報、および受信装置ＩＤの情報を、第３通信装置２６Ａを介して第２管理装置４０に送信する。

＜第１管理装置の構成＞
図１４は、実施の形態２に係る第１管理装置３０Ａの構成を示すブロック図である。図１４を参照して、第１管理装置３０Ａは、ＣＰＵ３１Ａと、記憶装置３２Ａと、ＲＡＭ３３Ａと、ネットワーク通信装置３４Ａと、通信インターフェース３６Ａと、ディスプレイ３７Ａとを含む。記憶装置３２Ａ、ＲＡＭ３３Ａ、ネットワーク通信装置３４Ａ、通信インターフェース３６Ａおよびディスプレイ３７Ａについては、実施の形態１に係る第１管理装置３０Ａの記憶装置３２、ＲＡＭ３３、ネットワーク通信装置３４、通信インターフェース３６およびディスプレイ３７と同様であるため、繰り返し説明しない。

ＣＰＵ３１Ａは、記憶装置３２Ａに格納された各種プログラムを実行することで第１管理装置３０Ａの各種の処理を制御する。具体的な一例として、各種プログラムを実行することによりＣＰＵ３１Ａは、鍵生成部３１１Ａ、送信部３１３Ａおよび更新管理部３１４Ａとして機能する。

鍵生成部３１１Ａは、更新周期毎に新たな共通鍵を生成する。更新周期は、通信システム１Ａが適用される対象に応じて適宜設定することが可能である。実施の形態２における更新周期は、たとえば、１週間または１ヶ月等に設定される。また、更新周期は、ビーコン装置１０Ａのバッテリの連続駆動時間を考慮して定められてもよい。たとえば、更新周期は、ビーコン装置１０Ａを第３モードで連続使用した場合に、バッテリ１６ＡのＳＯＣが満充電（ＳＯＣ１００％）から閾ＳＯＣまで減少する時間よりも、短くなるように設定されてもよい。閾ＳＯＣは、バッテリ切れを起こさないように適宜設定することができる。また、更新周期を定めるにあたり演算に用いられる第３モードでのビーコン装置１０Ａの消費電力は、たとえば仕様上の消費電力を用いてもよいし、実験等における実測値を用いてもよい。

送信部３１３Ａは、新たな共通鍵が生成された場合に、ネットワーク通信装置３４Ａを介して、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々に生成された共通鍵を送信する。共通鍵の送信には、たとえば、ＳＳＨを用いたＳＦＴＰ通信、またはＳＣＰ通信が適用される。

更新管理部３１４Ａは、複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）の各々、および、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々の共通鍵の更新状況を管理する。更新管理部３１４Ａは、複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）の各々、および、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々の共通鍵の更新状況を管理情報として管理し、たとえば、当該管理情報を更新管理表（図６）としてディスプレイ３７Ａに表示させる。

更新管理部３１４Ａは、新たに生成された共通鍵が、送信部３１３Ａによって複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々に送信されると、複数の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の各々の管理情報を更新する。また、受信装置２０Ａからビーコン装置１０Ａの共通鍵を更新したことを示す情報を受信すると、更新管理部３１４Ａは、ビーコン装置１０Ａの管理情報を更新する。

＜生体情報の暗号化および復号の手順＞
図１５は、生体情報の暗号化および復号の手順を示すフローチャートである。図１５に示すフローチャートの処理は、所定周期毎にビーコン装置１０Ａにより開始される。図１５のフローチャートの処理は、図７のフローチャートの処理と同様である。具体的には、図１５のフローチャートのＳ６１からＳ６７の処理は、図７のフローチャートのＳ１からＳ７の処理とそれぞれ同様の処理である。また、図１５のフローチャートのＳ７１からＳ７９の処理は、図７のフローチャートのＳ１１からＳ１９の処理とそれぞれ同様の処理である。そのため、図１５のフローチャートの処理の詳細については、繰り返し説明しない。

＜共通鍵の更新処理の手順＞
＜＜受信装置の共通鍵の更新＞＞
図１６は、受信装置２０Ａおよび第１管理装置３０Ａで実行される共通鍵の更新の手順を示すフローチャートである。図１６に示すフローチャートは、第１管理装置３０Ａにより所定の制御周期毎に繰り返し実行される。

第１管理装置３０Ａは、共通鍵の更新周期が到来したか否かを判定する（Ｓ８１）。共通鍵の更新周期が到来していない場合には（Ｓ８１においてＮＯ）、第１管理装置３０Ａは、処理をリターンに移す。

共通鍵の更新周期が到来した場合には（Ｓ８１においてＹＥＳ）、第１管理装置３０Ａは、新たな共通鍵を生成する（Ｓ８３）。

そして、第１管理装置３０Ａは、生成された共通鍵を受信装置２０Ａに送信する（Ｓ８５）。生成された共通鍵を送信すると、第１管理装置３０Ａは、共通鍵の管理情報（更新管理表として表示される情報）を更新する（Ｓ８７）。

受信装置２０Ａは、共通鍵を受信すると、受信した共通鍵を記憶する（Ｓ９１）。具体的には、受信装置２０Ａは、受信した共通鍵を現行の共通鍵として記憶する。また、受信装置２０Ａは、現行の共通鍵として記憶していた共通鍵を１つ前のバージョンの共通鍵として保持する。

なお、受信装置２０Ａは、第１管理装置３０Ａから受信した共通鍵を記憶した場合に、当該共通鍵を記憶したことの応答を第１管理装置３０Ａに送信するようにしてもよい。この場合には、第１管理装置３０Ａは、受信装置２０Ａから受けた応答に基づいて、Ｓ８７の処理を実行する。

＜＜ビーコン装置の共通鍵の更新＞＞
図１７は、ビーコン装置１０Ａ、受信装置２０Ａおよび第１管理装置３０Ａで実行される共通鍵の更新の手順を示すフローチャートである。図１７のフローチャートは、ビーコン装置１０Ａが充電器８０に接続された場合に開始される。

充電器８０に接続されると、ビーコン装置１０Ａは、通信モードを第３モードから第４モードに切り替える（Ｓ１０１）。具体的には、ビーコン装置１０Ａは、通信モードを第４モードに切り替えて、アドバタイズパケット中のコネクション可否を示す情報を、コネクション可に変更する。そして、ビーコン装置１０Ａは、アドバタイズパケットを送信する（Ｓ１０２）。また、ビーコン装置１０Ａは、アドバタイズパケットを送信すると、内蔵のタイマをリセットし、新たなタイムカウントを開始する（Ｓ１０３）。

受信装置２０Ａは、アドバタイズパケットを受信したか否かを判定する（Ｓ１１１）。受信装置２０Ａは、アドバタイズパケットを受信すると（Ｓ１１１においてＹＥＳ）、アドバタイズパケット中のコネクション可否を示す情報がコネクション可に設定されているか否かを判定する（Ｓ１１２）。コネクション可否を示す情報がコネクション否に設定されている場合（Ｓ１１２においてＮＯ）、受信装置２０Ａは、当該処理を終了させる。なお、この場合においても、受信装置２０Ａは、図１５のフローチャートの処理を実行する。

コネクション可否を示す情報がコネクション可に設定されている場合（Ｓ１１２においてＹＥＳ）、受信装置２０Ａは、アドバタイズパケットの非暗号化領域に格納されている共通鍵のバージョン情報に基づいて、ビーコン装置１０Ａの共通鍵が現行の共通鍵であるか否かを判定する（Ｓ１１３）。具体的には、ビーコン装置１０Ａの共通鍵のバージョンと、記憶装置２２Ａに格納されている現行の共通鍵のバージョンとを比較する。

ビーコン装置１０Ａの共通鍵が現行の共通鍵である場合には（Ｓ１１３においてＹＥＳ）、受信装置２０Ａは、ビーコン装置１０Ａの共通鍵を更新する必要がないので、処理を終了させる。

一方、ビーコン装置１０Ａの共通鍵が現行の共通鍵でない場合には（Ｓ１１３においてＮＯ）、受信装置２０Ａは、アドバタイズパケットに含まれる端末ＩＤの情報に基づいて、ビーコン装置１０Ａを特定する。そして、受信装置２０Ａは、特定したビーコン装置１０Ａに接続要求を送信する（Ｓ１１４）。

ビーコン装置１０Ａは、受信装置２０Ａから接続要求を受けるのを待つ（Ｓ１０４，Ｓ１０５）。アドバタイズパケットを送信してから（新たなタイムカウントを開始してから）、接続要求を受けることなく予め定められた規定時間が経過した場合には（Ｓ１０４においてＹＥＳ）、ビーコン装置１０Ａは、タイムアウトと判定し、処理をＳ１０８に進める。

ビーコン装置１０Ａは、タイムアウトするまでに（Ｓ１０４においてＮＯ）、接続要求を受信すると（Ｓ１０５においてＹＥＳ）、受信装置２０Ａとの接続を確立させる（Ｓ１０６，Ｓ１１５）。すなわち、ビーコン装置１０Ａと受信装置２０Ａとの双方向通信が確立される。

ビーコン装置１０Ａと受信装置２０Ａとの双方向通信が確立されると、受信装置２０Ａは、記憶装置２２Ａに記憶されている現行の共通鍵をビーコン装置１０Ａに送信する（Ｓ１１６）。

受信装置２０Ａから共通鍵を受信すると、ビーコン装置１０Ａは、共通鍵を更新する（Ｓ１０７）。たとえば、受信装置２０Ａから共通鍵５１を受信すると、ビーコン装置１０Ａは、記憶装置１２Ａに記憶されている共通鍵５０を削除するとともに、共通鍵５１を記憶する。

ビーコン装置１０Ａは、共通鍵を更新すると、通信モードを第３モードに切り替えて、再びアドバタイズパケットをブロードキャスト送信する（Ｓ１０８）。なお、以降においてビーコン装置１０は、共通鍵５１を用いて暗号化した生体情報および共通鍵５１のバージョン情報をアドバタイズパケットに格納する。

ビーコン装置１０Ａに共通鍵を送信すると、受信装置２０Ａは、ビーコン装置１０Ａの共通鍵を更新したことを示す情報（更新情報）を第１管理装置３０Ａに送信する（Ｓ１１７）。更新情報には、ビーコン装置１０Ａの装置ＩＤの情報および共通鍵のバージョン情報が含まれる。なお、ビーコン装置１０Ａは、共通鍵を更新すると、共通鍵を更新した旨の応答を受信装置２０Ａに送信するように構成されてもよい。この場合には、受信装置２０Ａは、当該応答に基づいて、ビーコン装置１０Ａの共通鍵を更新したことを示す情報を第１管理装置３０Ａに送信すればよい。

第１管理装置３０Ａは、受信装置２０Ａからビーコン装置１０Ａの共通鍵を更新したことを示す情報（更新情報）を取得すると、取得した更新情報に基づいて、管理情報を更新する（Ｓ１２０）。第１管理装置３０Ａは、たとえば、更新した管理情報を、ディスプレイ３７Ａに更新管理表として表示させる。

なお、上述のＳ１１３の処理は省略することも可能である。この場合には、ビーコン装置１０Ａの共通鍵が現行の共通鍵であるか否かに関わらず、ビーコン装置１０Ａと受信装置２０Ａとの双方向通信が確立されて、受信装置２０Ａからビーコン装置１０Ａに共通鍵が送信される。

また、上記ではタイムアウトした場合に処理をＳ１０８に進めて、ビーコン装置１０Ａの通信モードを第４モードから第３モードに切り替えて処理を終了させたが、たとえば、タイムカウントは行なわずに、ビーコン装置１０Ａと充電器８０との接続が解除された際に、割り込み処理等により、通信モードを第４モードから第３モードに切り替えて処理を終了させるようにしてもよい。

＜利点＞
以上のように、実施の形態２に係る通信システム１Ａにおいて、受信装置２０Ａは、現行の共通鍵に加えて、１つ前のバージョンの共通鍵を保持する。第１管理装置３０Ａが共通鍵を更新した場合、通信ケーブル４５を介して全台の受信装置２０Ａ（受信装置２０Ａ－１，２０Ａ－２，…）の共通鍵が一括して更新される一方で、ビーコン装置１０Ａは、充電器８０に接続されたタイミングで共通鍵の更新が行なわれるため、複数のビーコン装置１０Ａの共通鍵の更新タイミングは、必ずしも一斉に行なわれるわけではない。つまり、複数のビーコン装置１０Ａの共通鍵の更新タイミングは、個々で異なることが想定される。そのため、受信装置２０Ａの共通鍵が更新されてから、全台のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）の共通鍵の更新が完了するまでの間、複数のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）には、現行（最新バージョン）の共通鍵を有するものと、１つ前のバージョンの共通鍵を有するものとが混在する。受信装置２０Ａが上述の２つの共通鍵を保持することによって、いずれの共通鍵を有するビーコン装置１０Ａからのアドバタイズパケットも復号することが可能となる。これにより、全台のビーコン装置１０Ａ（ビーコン装置１０Ａ－１，１０Ａ－２，…）の共通鍵の更新が完了するまでの間における情報の欠落を抑制することができる。

さらに、実施の形態２に係る通信システム１Ａにおいて、ビーコン装置１０Ａは、ブロードキャスト送信するアドバタイズパケットに、生体情報の暗号化に用いた共通鍵のバージョン情報を含ませる。より具体的には、ビーコン装置１０Ａは、共通鍵を用いて暗号化した生体情報をアドバタイズパケットの暗号化領域に格納し、暗号化に用いた共通鍵のバージョン情報をアドバタイズパケットの非暗号化領域に格納し、アドバタイズパケットをブロードキャスト送信する。アドバタイズパケットの非暗号化領域に暗号化に用いた共通鍵のバージョン情報が格納されていることにより、アドバタイズパケットを受信した受信装置２０Ａは、生体情報の暗号化に用いられた共通鍵を特定することができる。すなわち、受信装置２０Ａは、暗号化された生体情報の復号に用いるべき共通鍵を特定することができる。これにより、たとえば受信装置２０Ａが複数の共通鍵を用いて暗号化された生体情報の復号を試みるような場合に比べ、データ処理の速度を向上させることができる。

また、実施の形態２に係る通信システム１Ａにおいて、更新周期毎に通信システム１Ａで用いられる共通鍵が更新される。これにより、仮に意図しない者に共通鍵が漏洩したとしても、セキュリティ上の問題を一時的なものとすることができ、通信システム１Ａのセキュリティを担保することができる。

また、実施の形態２に係る通信システム１Ａにおいて、ビーコン装置１０Ａは、受信装置２０Ａを介して、第１管理装置３０Ａが生成した新たな共通鍵を受け取る。このような構成によって、通信システム１Ａにおいては、第１管理装置３０Ａの管理者あるいは乗員２の操作を要することなく、更新周期毎に自動で通信システム１Ａの共通鍵を更新させることができる。

［変形例２］
実施の形態２においては、ビーコン装置１０Ａは、受信装置２０Ａから共通鍵を取得する例について説明した。変形例２においては、ビーコン装置１０Ａは、充電器から共通鍵を取得する例について説明する。

図１８は、変形例２に係るビーコン装置１０Ａの共通鍵の更新を説明するための図である。図１８を参照して、充電器８１は、通信ケーブル４５に接続されている。すなわち、充電器８１は、通信ケーブル４５を介して、第１管理装置３０Ａとの通信が可能に構成されている。

第１管理装置３０Ａは、新たな共通鍵を生成した場合、生成された共通鍵を、通信ケーブル４５を介して、受信装置２０Ａおよび充電器８１に送信する。

充電器８１は、通信インターフェース８２を含む。通信インターフェース８２は、たとえば、ＵＳＢポートまたはＮＦＣリーダライタ等で構成される。たとえば、通信インターフェース８２がＵＳＢポートである場合には、ビーコン装置１０ＡをＵＳＢポートに接続することによって、ビーコン装置１０Ａの充電が開始されるとともに、ビーコン装置１０Ａと充電器８１との通信が可能となる。ビーコン装置１０Ａと充電器８１との通信が可能となると、充電器８１は、ビーコン装置１０Ａから装置ＩＤの情報を取得する。そして、充電器８１は、ビーコン装置１０Ａに共通鍵を送信する。これによって、ビーコン装置１０Ａは、共通鍵を更新することができる。

また、たとえば、通信インターフェース８２がＮＦＣリーダライタである場合には、ビーコン装置１０ＡをＮＦＣリーダライタに接触させることにより、ビーコン装置１０Ａから充電器８１に装置ＩＤの情報が送信されるとともに、充電器８１からビーコン装置１０Ａに共通鍵が送信される。たとえば、充電器８１は、充電端子とＮＦＣリーダライタとが近接するように構成される。ビーコン装置１０Ａを充電端子に接続すると、ビーコン装置１０ＡがＮＦＣリーダライタに近接あるいは接触する。つまり、ビーコン装置１０Ａが充電されるとともに、ビーコン装置１０Ａの共通鍵の更新が行なわれる。充電器８１が非接触式の充電器である場合には、ビーコン装置１０Ａを充電器８１に載置した際に、ビーコン装置１０ＡとＮＦＣリーダライタとが近接あるいは接触するように、ＮＦＣリーダライタが配置されればよい。

充電器８１は、ビーコン装置１０Ａに共通鍵を送信すると、ビーコン装置１０Ａの装置ＩＤの情報および共通鍵のバージョン情報を含めた更新情報を第１管理装置３０Ａに送信する。

充電器８１から更新情報を取得した第１管理装置３０Ａは、ビーコン装置１０Ａおよび受信装置２０Ａの共通鍵の管理情報を更新する。

以上のように、ビーコン装置１０Ａが充電器８１を介して共通鍵を取得することによっても、更新周期毎に共通鍵を更新してセキュリティを担保することができる。

今回開示された実施の形態がすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１Ａ 通信システム、２ 乗員、１０，１０Ａ ビーコン装置、１１，１１Ａ ＣＰＵ、１２，１２Ａ 記憶装置、１３，１３Ａ ＲＡＭ、１４，１４Ａ 通信装置、１５，１５Ａ 生体センサ、１６，１６Ａ バッテリ、２０，２０Ａ，ＩＤ 受信装置、２１，２１Ａ ＣＰＵ、２２，２２Ａ 記憶装置、２３，２３Ａ ＲＡＭ、２４，２４Ａ 第１通信装置、２５，２５Ａ 第２通信装置、２６，２６Ａ 第３通信装置、３０，３０Ａ 第１管理装置、３１，３１Ａ ＣＰＵ、３２，３２Ａ 記憶装置、３３，３３Ａ ＲＡＭ、３４，３４Ａ ネットワーク通信装置、３５ 通信装置、３６，３６Ａ 通信インターフェース、３７，３７Ａ ディスプレイ、４０ 第２管理装置、４５ 通信ケーブル、８０，８１ 充電器、８２ 通信インターフェース、１１１，１１１Ａ 通信制御部、１１２，１１２Ａ 暗号化部、１１３，１１３Ａ 生成部、１１４，１１４Ａ 更新部、２１１，２１１Ａ 特定部、２１２，２１２Ａ 復号部、２１３，２１３Ａ 更新部、２１４，２１４Ａ 送信部、２１５Ａ 照合部、３１１，３１１Ａ 鍵生成部、３１２ 接続確立部、３１３，３１３Ａ 送信部、３１４，３１４Ａ 更新管理部。

Claims (5)

1. 共通鍵を用いて、送受信される情報の暗号化および復号を行なう通信システムであって、
   アドバタイズパケットを送信する第１装置と、
   前記アドバタイズパケットを受信する第２装置と、
   新たな共通鍵を生成して前記通信システムの共通鍵を更新する第３装置とを備え、
   前記アドバタイズパケットは、暗号化された情報が格納される暗号化領域と、暗号化されていない情報が格納される非暗号化領域とを含み、
   前記第１装置は、共通鍵を用いて所定の情報を暗号化し、当該暗号化された所定の情報を前記暗号化領域に格納し、かつ、前記所定の情報の暗号化に用いた当該共通鍵のバージョン情報を前記非暗号化領域に格納し、
   前記第２装置は、前記アドバタイズパケットを受信すると、受信した前記アドバタイズパケットに格納された前記バージョン情報により特定される共通鍵を用いて、前記暗号化された所定の情報を復号し、
   前記第３装置は、新たな共通鍵を生成した場合、当該新たな共通鍵を前記第２装置に送信し、
   前記第２装置は、受信した新たな共通鍵を現行の共通鍵として保持するとともに、新たな共通鍵を受信する前に現行の共通鍵として保持していた共通鍵を前のバージョンの共通鍵として保持し、
   前記第１装置は、通信モードとして、前記アドバタイズパケットを単方向通信する第１モードと、前記第２装置との間で双方向通信する第２モードとを有し、
   前記第１装置は、前記第１モードをデフォルトの前記通信モードとし、共通鍵を更新する場合に前記通信モードを前記第２モードに切り替えて、前記第２装置から前記現行の共通鍵を取得して共通鍵を更新する、通信システム。
2. 前記第１装置は、充電可能に構成されたバッテリを動力源とし、前記バッテリを充電可能に構成された充電器に接続された場合に、前記通信モードを前記第１モードから前記第２モードに切り替える、請求項１に記載の通信システム。
3. 前記第１装置は、共通鍵を前回更新してから、所定時間経過した場合に、前記通信モードを前記第１モードから前記第２モードに切り替える、請求項１に記載の通信システム。
4. 前記第３装置は、所定の更新周期毎に新たな共通鍵を生成して前記第２装置に送信し、
   前記第１装置は、前記第２装置から前記新たな共通鍵を取得して共通鍵を更新する、請求項１から請求項３のいずれか１項に記載の通信システム。
5. 前記第２装置は、
   前記第１装置から前記アドバタイズパケットを受信すると、受信した前記アドバタイズパケットに格納された前記バージョン情報に基づいて、前記第１装置の共通鍵が現行の共通鍵であるか否かを判定し、
   前記第１装置の共通鍵が現行の共通鍵でないと判定された場合に、前記第１装置に接続要求を送信し、
   前記接続要求に従って前記第１装置と前記第２装置との双方向通信が確立されると、保持している現行の共通鍵を前記第１装置に送信する、請求項４に記載の通信システム。

Images