JP6079905B2 - 識別情報送信装置、通信システム及び通信方法 - Google Patents

Description

本発明は、識別情報送信装置、通信システム及び通信方法に係り、更に詳しくは、人または物を識別するための識別情報を暗号化し、暗号化された識別情報を送信する識別情報送信装置、当該識別情報送信装置を含む通信システム、及び暗号化された識別情報を送信する通信方法に関する。

従来、識別情報（以下、単に「ＩＤ」と称する場合がある）を暗号化し、暗号化されたＩＤを送信する無線タグを備える認証システムが知られている（例えば特許文献１参照）。

本発明の目的は、識別情報送信装置を保持する人や識別情報送信装置を備えた物の所在が第三者によって継続して特定されることを防止し得る識別情報送信装置を提供することである。

本発明の一側面によれば、識別情報送信装置は、人または物を識別するための識別情報を、暗号化キーを用いて暗号化する暗号化部と、暗号化された識別情報を送信する送信部と、識別情報の暗号化に用いる一の暗号化キーとは異なる別の暗号化キーを受信する受信部とを有し、暗号化部は、別の暗号化キーを受信した以後、識別情報の暗号化に用いる暗号化キーを一の暗号化キーから別の暗号化キーに変更する。

本発明によれば、識別情報送信装置を保持する人や識別情報送信装置を備える物の所在が第三者によって継続して特定されることを防止し得る。

本発明の一実施形態に係る通信システムの概略的構成の例を示すブロック図である。 図１に示されているアクティブタグの動作の例を説明するためのフローチャートである。 図１に示されているアクティブサーバの動作の例を説明するためのフローチャートである。 図１に示されているパッシブサーバの動作の例を説明するためのフローチャートである。 図１に示されているＲＷ装置の動作の例を説明するためのフローチャートである。 図１に示されているアクティブタグの使用方法の例を説明するための図である。

以下、本発明の一実施形態を図１〜図６に基づいて説明する。
図１には、一実施形態に係る通信システム１００が示されている。

通信システム１００は、一例として、建物内における人の位置情報の管理に用いられ、アクティブタグ１０、ＲＷ装置（リーダライタ）２０、アクティブサーバ３０、パッシブサーバ４０、アクティブ通信機５０などを含む。

アクティブタグ１０は、一例として、ユーザ（人）によって携帯（保持）される。アクティブタグ１０は、アクティブ型のＩＣタグ（無線タグ）であり、電力が供給されている間、暗号化されたＩＤを送信する（図２とともに後述する）。

アクティブタグ１０は、制御部１０ａ、アクティブ送信部１０ｂ、ＲＦＩＤタグチップ１０ｃ、加速度センサ１０ｄ、メモリ１０ｅなどを備えている。メモリ１０ｅには、例えばアクティブタグ１０を携帯するユーザのＩＤ、当該ＩＤを暗号化するための暗号化キー及びユーザ情報が格納されている。ここで、「暗号化キー」は、暗号化ソフトウェアを実行する際に必要となる「実行キー」に限られず、暗号化処理の実行に伴って必要となる情報であれば他の情報であっても良い。

制御部１０ａは、メモリ１０ｅに格納されたＩＤ、暗号化キー及びユーザ情報を読み出し、暗号化キーを用いてＩＤを暗号化し、暗号化されたＩＤ及びユーザ情報をアクティブ送信部１０ｂに出力する。なお、メモリ１０ｅには、当初（予め）、デフォルト（すなわち初期設定）の暗号化キーが格納されている。

制御部１０ａは、加速度センサ１０ｄから割り込み信号（図１では「Wake up割り込み信号」）とともに送信される加速度データを受信し、アクティブ送信部１０ｂに出力する。なお、上記加速度データは、アクティブタグ１０自体の加速度を示すデータである。

アクティブ送信部１０ｂは、制御部１０ａからの暗号化されたＩＤ及び加速度データをアクティブ通信機５０に無線で送信する。

アクティブ通信機５０は、ネットワーク部６０を介しアクティブサーバ３０との間が通信によって接続され、アクティブタグ１０のアクティブ送信部１０ｂから送信された暗号化されたＩＤ及び加速度データをアクティブサーバ３０に送信する。

アクティブサーバ３０は、アクティブ通信機５０から送信された暗号化されたＩＤを復号するとともに、アクティブ通信機５０から送信された加速度データに基づいてアクティブタグ１０の移動頻度数（すなわちアクティブタグ１０を携帯する人の移動頻度数）を監視（すなわちカウント）する。すなわち、アクティブサーバ３０は、人の所在管理を行う。なお、移動頻度数（すなわち移動回数）の監視では、例えばアクティブタグ１０の加速度が０から立ち上って再び０に戻るまでを「１回」とカウントする。

ＲＦＩＤタグチップ１０ｃは、一例として、ＲＷ装置２０との間で近接無線通信（ＮＦＣ：Near Field Communication）が可能なパッシブ型のＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）タグのチップである。ＲＦＩＤタグチップ１０ｃは、電波によってデータを書き込み可能なメモリ（例えばＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ））を有する。この電波によって書き込まれるデータの一部が、ＩＤの暗号化に用いる暗号化キー（すなわちキー情報）である。

ＲＷ装置２０は、例えば建物においてセキュリティが厳重な部屋の出入口に設けられる扉やその脇（例えば壁）に設置される。当該扉は、セキュリティがオン状態で施錠され、セキュリティがオフ状態で開錠される扉である。ここで、アクティブタグ１０がＲＷ装置２０に翳され、ＲＦＩＤタグチップ１０ｃとＲＷ装置２０との間が通信によって接続されると、ＲＦＩＤタグチップ１０ｃから暗号化されたＩＤがＲＷ装置２０に送信される。その結果ＩＤによる認証動作が行われ、認証が成功するとセキュリティが解除されてオフ状態となり、扉が解錠される。

なお、例えば建物のセキュリティが厳重でない部屋の出入口に設けられた扉やその脇（例えば壁）にアクティブ通信機５０が設置されても良い。その場合、アクティブタグ１０とアクティブサーバ３０とがアクティブ通信機５０及びネットワーク部６０を介した通信によって接続されたときにセキュリティが解除されてオフ状態となり、扉が解錠されるようにしても良い。この場合、ユーザは扉を解錠するためにアクティブタグ１０をアクティブ通信機５０に翳す必要がなく、入退室をスムーズに行うことができる。

ＲＷ装置２０は、ネットワーク部７０を介してパッシブサーバ４０との間が通信によって接続される。そしてＲＷ装置２０はＲＦＩＤタグチップ１０ｃから暗号化されたＩＤを読み出し、読み出した暗号化されＩＤ及び当該ＩＤによる認証要求をパッシブサーバ４０に送る。

パッシブサーバ４０は、ＲＷ装置２０から送信された暗号化されたＩＤ及びＩＤによる認証要求に応じて、暗号化されたＩＤによる認証動作を行う。認証が成功した場合、セキュリティを解除（すなわちオフ）し、扉の開錠を行う。すなわち、パッシブサーバ４０は、人の入退室管理を行う。また、パッシブサーバ４０は、アクティブサーバ３０との間が通信によって接続され、暗号化されたＩＤを用いて認証を行う際、アクティブサーバ３０によって復号されたＩＤを参照して認証を行う。この場合、一例として、パッシブサーバ４０は、ＲＷ装置２０から送信された暗号化されたＩＤと、アクティブサーバ３０によって復号されたＩＤの、当該復号前の暗号化されたＩＤとを比較する。比較の結果両者が一致した場合、当該復号されたＩＤを、ＲＷ装置２０から送信された暗号化されたＩＤが復号されたＩＤと判断する。そして当該復号されたＩＤを用いて認証動作を行う。

ところで、一般に、アクティブタグは、人や物の位置の把握、アクセスコントロール、セキュリティ等の用途で使用される。アクティブタグには、電波を一方的に送信する片方向の通信を行う方式のもの（以下、単に「片方向通信型のアクティブタグ」と称する）と双方向の通信を行う方式のもの（以下、単に「双方向通信型のアクティブタグ」と称する）とがある。一般に双方向通信型のアクティブタグは高度な通信手順を有し、通信の傍受に対する備えとしての暗号化方式等についても複雑なものを有する。他方、片方向通信型のアクティブタグの場合、格納するＩＤを暗号化キーにより暗号化するが、当該ＩＤとアクティブタグを保持する人や物との関係が特定されてしまう可能性が考えられる。すなわち、電波として通信されるＩＤとアクティブタグを保持する人や物とを観察して両者を紐付けることにより両者の関係を特定できてしまう可能性が考えられる。

そこで、本実施形態では、アクティブサーバ３０は、暗号化キーを変更する必要がある場合に、新たな暗号化キーを生成し、暗号化キーの変更要求フラグを立てる（図３とともに後述する）。

アクティブサーバ３０が暗号化キーの変更要求フラグを立てる（図３のステップＳ１５）と、パッシブサーバ４０は、アクティブサーバ３０から当該新たな暗号化キーを取得し（後述する図４のステップＳ２５）、ＲＷ装置２０に送信する（ステップＳ２６）。

ＲＷ装置２０は、アクティブタグ１０との間が通信により接続されたときに、パッシブサーバ４０から送信された新たな暗号化キーをアクティブタグ１０に送信する（後述する図５のステップＳ３３）。

次に上記したアクティブタグ１０の動作の詳細につき、図２のフローチャートを参照して説明する。アクティブタグ１０は、アクティブタグ１０に電池（バッテリー）がセットされたときに図２に示される一連の動作を開始する。或いは、アクティブタグ１０に電源スイッチが設けられている場合には、当該電源スイッチがオンになったときに図２に示される一連の動作を開始する。

最初のステップＳ１では、アクティブタグ１０は、変数「ｎ」に「１」をセットする。

次のステップＳ２では、アクティブタグ１０は、メモリ１０ｅに格納された第ｎ暗号化キー（ここでは、第１暗号化キー、すなわちデフォルトの暗号化キー）を用いてＩＤを暗号化する。

次のステップＳ３では、アクティブタグ１０は、ステップＳ２にて第ｎ暗号化キーを用いて暗号化されたＩＤを、アクティブ通信機５０を介してアクティブサーバ３０へ送信する。

次のステップＳ４では、アクティブタグ１０は、第ｎ＋１暗号化キーを受信したか否か、すなわちＲＷ装置２０によって第ｎ＋１暗号化キーが書き込まれた（後述する図５のステップＳ３３）か否かを判断する。ステップＳ４での判断が肯定される（「ＹＥＳ」）と、アクティブタグ１０はステップＳ５を実行する。一方、ステップＳ４での判断が否定される（「ＮＯ」）と、アクティブタグ１０はステップＳ４を再び実行する。すなわちアクティブタグ１０は同じ判断を再び行う。

ステップＳ５では、アクティブタグ１０は変数「ｎ」を「１」だけインクリメントする。ステップＳ５の実行後、アクティブタグ１０はステップＳ２に戻る。

以上のように、アクティブタグ１０は、第ｎ＋１暗号化キーを受信する（ステップＳ４のＹＥＳ）と、元の暗号化キーである第ｎ暗号化キーに代えて、受信した第ｎ＋１暗号化キーを用いてＩＤを暗号化し、アクティブサーバ３０へ送信する（ステップＳ２〜Ｓ３）。なお、アクティブタグ１０は第ｎ＋１暗号化キーを受信後も、第ｎ暗号化キーを履歴情報としてメモリ１０ｅに保存しておくことが好ましい。履歴情報は、ステップＳ５を実行する回数として少なくとも３、４回分は、消さずに残しておくことが好ましい。

このように暗号化キーの履歴を残すことで、仮に悪意のある第三者により暗号化キーが書き換えられた場合であっても、何時書き換えられたかにつき、当該履歴を参照することで随時確認することができる。

なお、アクティブタグ１０とＲＷ装置２０との通信は、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）等の暗号化や、パスワードの使用等により保護するこが好ましい。すなわち悪意のある第三者がアクティブタグ１０とＲＷ装置２０との通信を用いてＩＤを簡単に書き換えたり、読み取ったりすることを効果的に防止することが好ましい。

次に、アクティブサーバ３０の動作を、図３のフローチャートを参照して説明する。アクティブサーバ３０は、アクティブタグ１０のアクティブ送信部１０ｂからアクティブ通信機５０を介して送信された（図２のステップＳ３）、第ｎ暗号化キーで暗号化されたＩＤを受信したときに図３に示される一連の動作を開始する。

最初のステップＳ１１では、アクティブサーバ３０は、アクティブタグ１０から送信された、第ｎ暗号化キーで暗号化されたＩＤを復号する。なお、この第ｎ暗号化キーは、後述するステップＳ１４で自らが生成した第ｎ＋１暗号化キーが、パッシブサーバ４０により取得されてＲＷ装置２０に送信され（後述する図４のステップＳ２５〜Ｓ２６）、ＲＷ装置２０によってアクティブタグ１０に書き込まれた（後述する図５のステップＳ３３）ものと同一の暗号化キーである。なお、図２のステップＳ５で変数「ｎ」が「１」だけインクリメントされた結果、「第ｎ＋１暗号化キー」が「第ｎ暗号化キー」へと、その名称が変化している。従ってアクティブサーバ３０は当該第ｎ暗号化キーを認識しており、上記の如く、第ｎ暗号化キーで暗号化されたＩＤを復号することが可能である。

次のステップＳ１２では、アクティブサーバ３０は、第ｎ暗号化キーの使用を開始してから所定時間（例えば３０分、１時間、２時間等）が経過したか否かを判断する。アクティブサーバ３０は、この場合の経時動作を、例えばアクティブサーバ３０が内蔵するタイマによって行う。ステップＳ１２での判断が肯定される（「ＹＥＳ」）と、アクティブサーバ３０はステップＳ１４を実行する。一方、ステップＳ１２での判断が否定される（「ＮＯ」）と、アクティブサーバ３０はステップＳ１３を実行する。

ステップＳ１３では、アクティブサーバ３０は、アクティブタグ１０の移動頻度数、すなわちアクティブタグ１０を携帯するユーザの移動頻度数が所定回数（例えば１００回、２００回、３００回等）以上であるか否かを判断する。ステップＳ１３での判断が肯定される（「ＹＥＳ」）と、アクティブサーバ３０はステップＳ１４を実行する。一方、ステップＳ１３での判断が否定される（「ＮＯ」）と、アクティブサーバ３０は当該フローの動作を終了する。

ステップＳ１４では、アクティブサーバ３０は第ｎ＋１暗号化キーを生成する。なお、第ｎ＋１暗号化キーは、第ｎ暗号化キーとは異なる（別の）暗号化キーである。

次のステップＳ１５では、アクティブサーバ３０は、暗号化キーの変更要求フラグを立てる。アクティブサーバ３０はステップＳ１５の実行後、当該フローの動作を終了する。

以上のように、アクティブサーバ３０は、アクティブタグ１０からアクティブ通信機５０を介して暗号化されたＩＤを受信すると、暗号化キーを変更する必要がある場合（すなわち、ステップＳ１２のＹＥＳまたはステップＳ１３のＹＥＳ）に、新たな暗号化キーを生成し、暗号化キーの変更要求フラグを立てる。

なお、アクティブサーバ３０が第ｎ＋１暗号化キーの生成後に暗号化キーの変更要求フラグを立てるタイミング（すなわち、第ｎ＋１暗号化キーの生成から暗号化キーの変更要求フラグを立てる迄の待ち時間）を、要求されるセキュリティレベルに応じてユーザが任意に設定可能とすることが好ましい。すなわち、暗号化キーを前回変更した時刻、アクティブタグ１０によるＲＷ装置２０へのアクセス頻度数、アクティブタグ１０の移動頻度数等、暗号化キーの変更に関わるパラメータの閾値をＩＤごとにアクティブサーバ３０にて記憶し、当該閾値を任意に設定可能とすることが好ましい。

更に、第三者によるなりすましを防ぐために以下の構成を設けても良い。すなわち、ＲＷ装置２０にアクセス（すなわち翳された）後のアクティブタグ１０が、ＲＷ装置２０とは異なる別のＲＷ装置にアクセスした記録（形跡）があるか否かを、アクティブサーバ３０に問い合わせることを可能な構成を設けても良い。

また、更なるセキュリティの強化が要される場合、ＲＷ装置２０にアクセス後のアクティブタグ１０がＲＷ装置２０とは異なる別のＲＷ装置にアクセスした記録があるときには、ＲＷ装置２０から暗号化キーを強制的に変更する設定を行っても良い。この場合の暗号化キーの強制的な変更は、ＲＷ装置２０に代えて、例えばスマートフォン等でアクティブサーバ３０及びパッシブサーバ４０にアクセスして実施するようにしても良い。

次に、パッシブサーバ４０の動作を、図４のフローチャートを参照して説明する。パッシブサーバ４０は、ＲＷ装置２０からアクティブタグ１０による認証要求（後述する図５のステップＳ３１）を受信すると、図４に示される一連の動作を開始する。

最初のステップＳ２１では、パッシブサーバ４０はＩＤによる認証動作（図４では「ＩＤ認証動作」）を行う。具体的には、パッシブサーバ４０は、アクティブサーバ３０で復号されたＩＤを参照し、当該ＩＤと、入室が許可されている登録済みのＩＤとを照合し、両者が一致すれば、認証が成功したと判断する。

次のステップＳ２２では、パッシブサーバ４０は、ＩＤによる認証が成功したか否かを判断する。ステップＳ２２での判断が肯定される（「ＹＥＳ」）と、パッシブサーバ４０はステップＳ２３を実行する。一方、ステップＳ２２での判断が否定される（「ＮＯ」）と、パッシブサーバ４０は当該フローの動作を終了する。

ステップＳ２３では、パッシブサーバ４０はセキュリティを解除（オフ）、すなわち、例えば部屋の扉を開錠する。なお、開錠され一旦開けられた扉が閉められると再びセキュリティがオンとなり、当該扉が施錠される。

次のステップＳ２４では、パッシブサーバ４０は暗号化キーの変更要求フラグが立っているか否かを判断する。すなわち、パッシブサーバ４０は、アクティブサーバ３０において暗号化キーの変更要求フラグが立っている（図３のステップＳ１５）か否かを判定する。ステップＳ２４での判断が肯定される（「ＹＥＳ」）と、パッシブサーバ４０はステップＳ２５を実行する。一方、ステップＳ２４での判断が否定される（「ＮＯ」）と、パッシブサーバ４０は当該フローの動作を終了する。

ステップＳ２５では、パッシブサーバ４０は、アクティブサーバ３０から第ｎ＋１暗号化キー（図３のステップＳ１４で生成されたもの）を取得する。

ステップＳ２６では、パッシブサーバ４０は、ステップＳ２５で取得した第ｎ＋１暗号化キーをＲＷ装置２０に送信する。パッシブサーバ４０は、ステップＳ２６を実行後、当該フローの動作を終了する。

以上の説明から分かるように、パッシブサーバ４０は、アクティブタグ１０のＩＤによる認証を行う（図４のステップＳ２１）とともに、アクティブサーバ３０から取得した第ｎ＋１暗号化キーをＲＷ装置２０に転送する（ステップＳ２５〜Ｓ２６）。

次に、ＲＷ装置２０の動作を、図５のフローチャートを参照して説明する。ＲＷ装置２０は、ユーザによってアクティブタグ１０がＲＷ装置２０に翳されることによってＲＷ装置２０がアクティブタグ１０から送信された暗号化されたＩＤを受信すると、図５に示される一連の動作を開始する。なお、このようにＲＷ装置２０がアクティブタグ１０から送信された暗号化されたＩＤを受信することは、ＲＷ装置２０がアクティブタグ１０から暗号化されたＩＤを読み込むことでもある。

最初のステップＳ３１では、ＲＷ装置２０は、ＩＤによる認証要求をパッシブサーバ４０に送信する。ＩＤによる認証要求とは、アクティブタグ１０から送信された（読み込んだ）暗号化されたＩＤを用いた認証動作の要求である。

次のステップＳ３２では、ＲＷ装置２０は、第ｎ＋１暗号化キー（図４のステップＳ２６でパッシブサーバ４０から送信されたもの）を受信したか否かを判断する。ステップＳ３２での判断が肯定される（「ＹＥＳ」）と、ＲＷ装置２０はステップＳ３３を実行する。一方、ステップＳ３２での判断が否定される（「ＮＯ」）と、ＲＷ装置２０は当該フローの動作を終了する。

ステップＳ３３では、ＲＷ装置２０は、アクティブタグ１０のメモリ１０ｅに、ステップＳ３２で受信した第ｎ＋１暗号化キーを書き込む。ＲＷ装置２０はステップＳ３３を実行後、当該フローの動作を終了する。

このように、ＲＷ装置２０は、アクティブタグ１０がＲＷ装置２０に翳されたときにアクティブタグ１０から暗号化されたＩＤを読み込み、読み込んだＩＤにつき、パッシブサーバ４０に照会を行う（ステップＳ３１）。そして、暗号化キーを変更する必要がある場合（図２のステップＳ１２のＹＥＳまたはステップＳ１３のＹＥＳ）、アクティブサーバ３０によって、新たな暗号化キー（変更キー）が生成される（図２のステップＳ１４）。生成された新たな暗号化キー（変更キー）はパッシブサーバ４０、ＲＷ装置２０を介してＲＦＩＤタグチップ１０ｃに送られる（図４のステップＳ２５〜Ｓ２６→図５のステップＳ３２のＹＥＳ→ステップＳ３３）。当該新たな暗号化キー（変更キー）は、該ＲＦＩＤタグチップ１０ｃによって（制御部１０ａを経由した）信号（図１において「Active信号」）を通じてメモリ１０ｅに書き込まれる（ステップＳ３３）。

制御部１０ａは、このようにしてＲＦＩＤタグチップ１０ｃにより新たな暗号化キーがメモリ１０ｅに書き込まれたことを、メモリ１０ｅのフラグにより知り、新しい暗号化キーがある場合（図２のステップＳ４のＹＥＳ）、それを用いてＩＤの暗号化を行う（図２のステップＳ２）。その結果、アクティブタグ１０のＲＦＩＤタグチップ１０ｃ及びアクティブ送信部１０ｂのそれぞれから電波として発信される信号は、同じＩＤを示す信号であるにもかかわらず変化する。したがって、たとえこれらの電波が傍受され、悪意ある第三者により当該アクティブタグ１０を保持する人が一時的に特定されたとしても、当該電波を傍受し続けることにより当該人の所在を長時間追跡することはできない。すなわち、暗号化されたＩＤを示す信号を傍受して当該信号を当該人に一時的に紐付けられたとしても、その後上記の如く当該信号が変化するため、変化後の信号が当該人に係る信号であることを特定することはできないからである。なお、制御部１０ａとＲＦＩＤタグチップ１０ｃとの間は、例えばシリアル通信によって接続される。

以上説明した本実施形態のアクティブタグ１０は、ＩＤ（人を識別するための識別情報）を、暗号化キーを用いて暗号化し、暗号化されたＩＤを送信する識別情報送信装置としてのＩＣタグ（無線タグ）である。そしてアクティブタグ１０は、ＩＤの暗号化に用いている一の暗号化キー（第ｎ暗号化キー）とは異なる別の暗号化キー（第ｎ＋１暗号化キー）を受信可能であり、当該別の暗号化キーを受信したとき、ＩＤの暗号化に用いる暗号化キーを元の一の暗号化キーから当該別の暗号化キーに変更する。

このようにして、ＩＤの暗号化に用いる暗号化キーを変更できるため、暗号化されたＩＤが第三者によって傍受されてアクティブタグ１０を保持する人の所在が特定されたとしても、当該人の所在が特定される時間を短くすることができる。

結果として、アクティブタグ１０を保持する人の所在が第三者によって継続して特定されるのことを防止し得る。その結果、アクティブタグ１０を保持する
人の所在が追跡されることを防止でき、セキュリティを向上させることができる。

以下にアクティブタグ１０の実際の使用方法の具体例について説明する。図６に示されるように、位置Ｐ１にいるユーザが保持するアクティブタグ１０から送信される電波が不審者に傍受される（ステップＳ５１）と、当該不審者（例えばストーカー）によりユーザの所在が特定される可能性がある。もしこのようにしてユーザの所在がステップＳ５１で傍受された電波により特定された場合、不審者は当該電波を選択的に受信することによりユーザの所在を追跡することができてしまう。

ここで、ユーザが、例えばセキュリティがかけられた建物や部屋に入るために位置Ｐ１から位置Ｐ２に移動したとする（ステップＳ５２）。そしてユーザがアクティブタグ１０をＲＷ装置２０に翳す（ステップＳ５３）と、結果的にアクティブタグ１０が使用する暗号化キーが変更される（図５のステップＳ３１→図４のステップＳ２１〜Ｓ２６→図５のステップＳ３２〜Ｓ３３）。

その結果、位置Ｐ２から建物や部屋に入った（ステップＳ５４）ユーザが保持するアクティブタグ１０から送信される電波は、ステップＳ５１で傍受された電波と異なったものとなっている（図２のステップＳ４のＹＥＳ→ステップＳ２〜Ｓ３）。その結果、不審者は、上記の如く一旦ユーザを特定した電波によっては、ユーザの所在（例えば位置Ｐ４）を特定できなくなる。

或いは、上記の如く、位置Ｐ１にて電波が傍受される（ステップＳ５１）ことによって不審者によって所在が特定されたユーザが、例えば位置Ｐ３に移動し（ステップＳ６１）、ユーザが保持するスマートフォンに搭載された「暗号化キー変更用アプリケーション」を起動したとする。その結果、アクティブタグ１０が使用する暗号化キーが変更され、以後、不審者は、移動した（ステップＳ６２）ユーザの所在（例えば位置Ｐ４）を特定できなくなる。

また、アクティブタグ１０は、送信された暗号化キーを受信可能（図２のステップＳ４）である。その結果、新たな暗号化キーを随時取得できる。従ってアクティブタグ１０に暗号化キーが予め保存されていなくても良いし、アクティブタグ１０は暗号化キーを保存できなくても良い。その結果、仮にアクティブタグ１０に複数の暗号化キーを保存し、当該複数の暗号化キーからＩＤの暗号化に用いる暗号化キーを時系列で選択して更新する場合に比べて、アクティブタグ１０の構成及び制御を簡素化できる。

また、アクティブタグ１０は、複数の暗号化キーを保存可能であるため、既に使用した暗号化キーを履歴情報として残すことができる。

また、図１の通信システム１００は、アクティブタグ１０と、該アクティブタグ１０との間が通信により接続されたときに該アクティブタグ１０に暗号化キーを送信（図５のステップＳ３３）可能なＲＷ装置２０とを備えている。その結果、システムのセキュリティレベルを向上できる。

ＲＷ装置２０は、また、別の暗号化キー（第ｎ＋１暗号化キー）を受信した（図５のステップＳ３２のＹＥＳ）とき、すなわち暗号化キーを変更する必要がある場合に、アクティブタグ１０に当該別の暗号化キーを送信する（ステップＳ３３）。その結果、暗号化キーをむやみに変更する必要がなく、システムに掛かる負荷を軽減できる。

また、アクティブサーバ３０は、直近に使用された一の暗号化キー（第ｎ暗号化キー）の使用開始時からの経過時間が所定時間（例えば３０分、１時間、２時間等）以上の場合（図３のステップＳ１２のＹＥＳ）に別の暗号化キー（第ｎ＋１暗号化キー）を生成する（ステップＳ１４）。生成された別の暗号化キー（第ｎ＋１暗号化キー）はパッシブサーバ４０経由でＲＷ装置２０に送信される（図２６のステップＳ２５〜Ｓ２６）。ＲＷ装置２０は当該別の暗号化キー（第ｎ＋１暗号化キー）を受信したとき、これをアクティブタグ１０に送信する（図５のステップＳ３２のＹＥＳ→ステップＳ３３）。このように、直近に使用された一の暗号化キー（第ｎ暗号化キー）の使用開始時からの経過時間が所定時間（例えば３０分、１時間、２時間等）以上の場合に別の暗号化キー（第ｎ＋１暗号化キー）がアクティブタグ１０に送信される（図５のステップＳ３３）。アクティブタグ１０は当該別の暗号化キー（第ｎ＋１暗号化キー）を受信し（図２のステップＳ４のＹＥＳ）、これを用いてＩＤを暗号化して送信する（ステップＳ２〜Ｓ３）ので、同じＩＤを送信する信号が変化する。従って、仮にアクティブタグ１０を保持する人の所在が第三者によって特定されてしまったとしても、上記信号の変化によって第三者はアクティブタグ１０を保持する人の所在を特定できなくなる。その結果、アクティブタグ１０を保持する人の所在が特定される時間を上記所定時間未満にすることができる。

また、アクティブサーバ３０は、アクティブタグ１０の移動頻度数が所定回数（例えば１００回）以上の場合（図３のステップＳ１３のＹＥＳ）に別の暗号化キー（第ｎ＋１暗号化キー）を生成する（ステップＳ１４）。生成された別の暗号化キー（第ｎ＋１暗号化キー）はパッシブサーバ４０経由でＲＷ装置２０に送信される（図２６のステップＳ２５→Ｓ２６）。ＲＷ装置２０は当該別の暗号化キー（第ｎ＋１暗号化キー）を受信したとき、これをアクティブタグ１０に送信する（図５のステップＳ３２のＹＥＳ→ステップＳ３３）。このように、アクティブタグ１０の移動頻度数が所定回数（例えば１００回）以上の場合に別の暗号化キー（第ｎ＋１暗号化キー）がアクティブタグ１０に送信される（図５のステップＳ３３）。アクティブタグ１０は当該別の暗号化キー（第ｎ＋１暗号化キー）を受信し（図２のステップＳ４のＹＥＳ）、これを用いてＩＤを暗号化して送信する（ステップＳ２〜Ｓ３）ので、同じＩＤを送信する信号が変化する。従って、仮にアクティブタグ１０を保持する人の所在が第三者によって特定されてしまったとしても、上記信号の変化によって第三者はアクティブタグ１０を保持する人の所在を特定できなくなる。その結果、アクティブタグ１０を保持する人の所在が特定される機会を低減することができる。

また、ＲＷ装置２０は、アクティブタグ１０が翳されることによってアクティブタグ１０との間が通信により接続されたときに、アクティブタグ１０から送信される暗号化されたＩＤを受信して、パッシブサーバ４０にＩＤによる認証要求（図５では「ＩＤ認証要求」）を送信する（図５のステップＳ３１）。従ってパッシブサーバ４０は暗号化されたＩＤの認証（図４のステップＳ２１）等を行うことができる。

以上の説明から分かるように、例えばユーザがアクセス認証のためにアクティブタグ１０をＲＷ装置２０に翳す行為により、暗号化キーの更新が可能となる（図５のステップＳ３１〜Ｓ３３）。従って運用にかかわる仕事が軽減できる。更に、必要な場所に暗号化キーを変更するポイントを設ける（すなわちＲＷ装置２０を設置する）ことにより、電波の傍受によって人のＩＤが特定されてしまうというリスク（すなわち特定される時間や機会）を大幅に低減できる。

要するに、パッシブ方式の近接無線通信用のＲＦＩＤタグチップ１０ｃのリーダライタであるＲＷ装置２０にアクティブタグ１０が翳されると、ＲＷ装置２０がネットワークを介してパッシブサーバ４０に接続される（図５のステップＳ３１）。そして必要に応じて暗号化キーがアクティブタグ１０のメモリ１０ｅに書き込まれる（ステップＳ３２のＹＥＳ→ステップＳ３３）。そして、書き込まれた暗号化キーを制御部１０ａがメモリ１０ｅから取得し、取得した暗号化キーにより、送信するＩＤを暗号化する（図２のステップＳ２〜Ｓ３）。その結果、電波として発信される信号は、ある一定期間で変化する（図３のステップＳ１２またはＳ１３のＹＥＳ→ステップＳ１４〜Ｓ１５→図４のステップＳ２４のＹＥＳ→ステップＳ２５〜Ｓ２６→図５のステップＳ３２〜Ｓ３３→図２のステップＳ４のＹＥＳ→ステップＳ２〜Ｓ３）。このため、電波の傍受により、人のＩＤを特定すること、それにより人の所在を特定、追跡することは、非常に困難となり、セキュリティを向上させることができる。

なお、上記実施形態においては、暗号化キーを変更する必要がある場合を、直近に使用された一の暗号化キー（第ｎ暗号化キー）の使用開始時からの経過時間が所定時間以上の場合（図３のステップＳ１２のＹＥＳ）及びアクティブタグ１０の移動頻度数が所定回数以上の場合（図３のステップＳ１３のＹＥＳ）とした。しかしながらこれらに限られず、日付、ＲＷ装置２０の設置箇所、アクティブタグ１０の移動距離（ユーザの移動距離）、アクティブタグ１０の位置（ユーザの位置）等に基づいて暗号化キーを変更する必要がある場合を決定しても良い。アクティブタグ１０の移動距離は、例えばアクティブタグ１０とアクティブ通信機５０との間の無線電波の感度（減衰率等）に基づいて測定しても良い。

例えば、アクティブタグ１０とＲＷ装置２０との通信頻度数（アクセス回数：アクティブタグ１０をＲＷ装置２０に翳す回数）が所定回数（例えば、５回、１０回、１５回等）以上であるときに、暗号化キーを変更する必要があると判断し、新たに暗号化キーを生成してアクティブタグ１０に送信するようにしても良い。

また、上記実施形態では、必要に応じて暗号化キーが変更され（図３のステップＳ１２またはＳ１３のＹＥＳ→ステップＳ１４〜Ｓ１５）、その結果、アクティブタグ１０がＲＷ装置２０から暗号化キーを受信したときに、暗号化キーを変更する（図４のステップＳ２４〜Ｓ２６→図５のステップＳ３２のＹＥＳ→ステップＳ３３→図２のステップＳ４のＹＥＳ→ステップＳ５→ステップＳ２〜Ｓ３）こととしているが、これに限られない。

また、上記実施形態では、アクティブタグ１０に予めデフォルトの暗号化キーが保存されているが、保存されていなくても良い。この場合、アクティブタグ１０は、当初から、受信した暗号化キーを用いてＩＤを暗号化すればよい。

また、上記実施形態では、アクティブタグ１０と近接無線通信する装置としてＲＷ装置２０を用いているが、これに代えて、または加えて、例えばスマートフォン、いわゆる「ガラケー」（すなわち、スマートフォンが普及する前の、日本独自の携帯電話機）、タブレット等の携帯端末を用いても良い。この場合、ユーザは、アクティブタグ１０及び携帯端末を保持（携帯）することで、特定の場所（例えばＲＷ装置が設置されている場所）に行かなくても、アクティブタグ１０が使用する暗号化キーを変更することができる。この場合、携帯端末のアプリケーションを起動させておいて暗号化キーの変更を自動的に行っても良いし、ユーザが携帯端末を操作して暗号化キーの変更をマニュアルで行っても良い。

また、上記実施形態では、アクティブタグ１０は人によって保持されているが、これに限られず、物によって保持されても良い（すなわち、物が備えても良い）。この場合、アクティブタグ１０を備えた物の所在が第三者によって継続して特定されるのを抑制できる。具体的には、例えば製品や商品（物）を識別するための識別情報であるシリアルナンバーや商品コードを暗号化し、アクティブタグ１０に送信しても（すなわち書き込んでも）良い。結果として、アクティブタグ１０を備えた製品や商品の所在が追跡されることを防止でき、セキュリティを向上させることができる。

また、上記実施形態では、ＲＷ装置２０は、部屋の扉、または該扉の脇（例えば壁）に設置されているが、これに限られず、例えば建物のゲート等に設けられても良い。

また、上記実施形態では、パッシブサーバ４０は、暗号化されたＩＤの認証の際、アクティブサーバ３０で復号されたＩＤを参照して認証を行っているが、これに代えて、ＲＷ装置２０が、アクティブタグ１０から読み込んだ、暗号化されたＩＤを自ら復号して認証を行っても良い。

また、上記実施形態では、パッシブサーバ４０は、アクティブサーバ３０に暗号化キーの変更要求フラグが立っているか否かを判定している（図４のステップＳ２４）が、これ代えて、アクティブサーバ３０からパッシブサーバ４０に暗号化キーの変更要求を送信しても良い。この場合、図４のステップＳ２４において、パッシブサーバ４０はアクティブサーバ３０から変更要求が受信されたか否かを判断し、受信された場合にステップＳ２５を実行する。

また、上記実施形態では、アクティブタグ１０は、複数の暗号化キーを保存可能であるが、要は、少なくとも１つの暗号化キーを保存可能であれば良いし、上記の如く、保存できなくても良い（受信した暗号化キーを使用すればよい）。

また、上記実施形態では、暗号化キーの変更が必要である場合（図３のステップＳ１２またはＳ１３のＹＥＳ）にアクティブタグ１０に暗号化キーを送信している（ステップＳ３３）が、実施形態はこれに限られない。例えば、アクティブタグ１０と、ＲＷ装置２０または携帯端末との通信時に毎回、ＲＷ装置２０または携帯端末からアクティブタグ１０に暗号化キーを送信して更新するようにしても良い。

また、本発明のアクティブタグ１０の構成は、上記実施形態で説明したものに限られず、適宜変更可能である。例えば、アクティブタグ１０の移動頻度数を考慮する必要がない場合、加速度センサ１０ｄは、設けられなくても良い。

また、図３のフローチャートのステップＳ１２及びＳ１３の一方を省略しても良い。ステップＳ１２を省略する場合は、ステップＳ１１の次にステップＳ１３を行えば良い。ステップＳ１３を省略する場合は、ステップＳ１２での判断が否定されたときにフローを終了させれば良い。

また、アクティブタグ１０において、アクティブ送信部１０ｂに代えて、パッシブ送信部（すなわちパッシブ型のＩＣタグ）を採用しても良い。

また、上記実施形態では、アクティブタグ１０がＩＤの暗号化に用いる暗号化キーを第ｎ暗号化キー（一の暗号化キー）から第ｎ＋１暗号化キー（別の暗号化キー）に変更するタイミングは、第ｎ＋１暗号化キーを受信したとき（図２のステップＳ５のＹＥＳ）とされているが、これに限られず、要は、第ｎ＋１暗号化キーを受信した以後であれば良い。

また、上記実施形態では、アクティブ送信部１０ｂ等による無線通信及びＲＦＩＤタグチップ１０ｃ等による近接無線通信を用いて、暗号化キーや暗号化されたＩＤを伝送することとしているが、これに限られず、他の通信経路、通信方式にて暗号化キーや暗号化されたＩＤを伝送することとしても良い。例えば、アクティブタグ１０は、複数の異なる周波数の電波で通信可能な無線タグであれば良い。この場合、アクティブタグ１０は、複数の異なる周波数の電波のいずれかを用いた通信によって新たな暗号化キーを受信することができる。

また、例えば建物のセキュリティが厳重でない部屋の出入口に設けられた扉やその脇（例えば壁）にアクティブ通信機５０を設置する場合に、アクティブタグ１０とアクティブサーバ３０とが通信により接続されたときに、扉の開閉を行うとともに、必要に応じてアクティブサーバ３０からアクティブタグ１０に暗号化キーを送信しＩＤの暗号化に用いる暗号化キーを変更するようにしても良い。

また、上記実施形態ではＩＣタグ（無線タグ）を用いた通信方法について説明したが、これに限られず、要は、本発明は、人または物を識別するための識別情報を、一の暗号化キーを用いて暗号化し、この暗号化されたＩＤを送信するステップと、一の暗号化キーとは異なる別の暗号化キーを受信するステップと、受信された別の暗号化キーを用いて識別情報を暗号化し、この暗号化されたＩＤを送信するステップと、を含む通信方法全般に適用可能である。

なお、アクティブタグ１０は識別情報送信装置の一例である。また、ＲＷ装置２０は通信装置の一例である。また、制御部１０ａは暗号化部の一例である。また、ＲＦＩＤタグチップ１０ｃは送信部の一例であるとともに受信部の一例でもある。更にアクティブ送信部１０ｂも送信部の一例である。また、アクティブサーバ３０は第１のサーバの一例である。また、パッシブサーバ４０は第２のサーバの一例である。

本国際出願は２０１４年１月２８日に出願した日本国特許出願２０１４−０１２８９６号に基づく優先権を主張するものであり、日本国特許出願２０１４−０１２８９６号の全内容を本国際出願に援用する。

１０ アクティブタグ（ＩＣタグ）
２０ ＲＷ装置（通信装置）
１００ 通信システム

特許第４７７９７３６号

Claims (10)

1. 通信装置は、識別情報送信装置との間が通信により接続されたときに、識別情報送信装置に別の暗号化キーを送信可能である、請求項１０に記載の通信システム。
2. 暗号化キーを変更する必要があるときに、通信装置から識別情報送信装置に別の暗号化キーを送信する、請求項２又は１０に記載の通信システム。
3. 一の暗号化キーの使用開始時からの経過時間が所定時間以上のときに、通信装置から識別情報送信装置に別の暗号化キーを送信する、請求項３に記載の通信システム。
4. 識別情報送信装置の移動頻度数が所定回数以上のときに、通信装置から識別情報送信装置に別の暗号化キーを送信する、請求項３に記載の通信システム。
5. 識別情報送信装置と通信装置との通信頻度数が所定回数以上であるときに、通信装置から識別情報送信装置に別の暗号化キーを送信する、請求項３に記載の通信システム。
6. 通信装置は、識別情報送信装置との間が通信により接続されたときに、識別情報送信装置から送信される暗号化された識別情報を受信する、請求項２〜６及び１０のいずれか一項に記載の通信システム。
7. 通信装置は、所定箇所に設置される、請求項２〜７及び１０のいずれか一項に記載の通信システム。
8. 通信装置は、携帯用の端末である、請求項２〜８及び１０のいずれか一項に記載の通信システム。
9. 人または物を識別するための識別情報を、暗号化キーを用いて暗号化する暗号化部と、
   暗号化された識別情報を送信する送信部と、
   識別情報の暗号化に用いる一の暗号化キーとは異なる別の暗号化キーを受信する受信部とを有し、
   暗号化部は、別の暗号化キーを受信した以後、識別情報の暗号化に用いる暗号化キーを一の暗号化キーから別の暗号化キーに変更する、識別情報送信装置と、
   識別情報送信装置から暗号化された識別情報を受信し、暗号化キーを変更する必要があるか否かを判断し、暗号化キーを変更する必要があるときには別の暗号化キーを生成する第１のサーバと、
   通信装置が識別情報送信装置から受信した識別情報を用いて認証動作を行い、認証が成功したときに第１のサーバから別の暗号化キーを取得して通信装置に送信する第２のサーバと、
   第２のサーバから別の暗号化キーを受信すると、当該別の暗号化キーを識別情報送信装置に送信する通信装置と、を有する通信システム。
10. 識別情報送信装置が、人または物を識別するための識別情報を、一の暗号化キーを用いて暗号化し、この暗号化された識別情報を送信するステップと、
    識別情報送信装置が、一の暗号化キーとは異なる別の暗号化キーを受信するステップと、
    識別情報送信装置が、受信された別の暗号化キーを用いて識別情報を暗号化し、この暗号化された識別情報を送信するステップと、
    第１のサーバが、識別情報送信装置から暗号化された識別情報を受信し、暗号化キーを変更する必要があるか否かを判断し、暗号化キーを変更する必要があるときには別の暗号化キーを生成するステップと、
    第２のサーバが、通信装置が識別情報送信装置から受信した識別情報を用いて認証動作を行い、認証が成功したときに第１のサーバから別の暗号化キーを取得して通信装置に送信するステップと、
    通信装置が、第２のサーバから別の暗号化キーを受信すると、当該別の暗号化キーを識別情報送信装置に送信するステップと、を含む通信方法。

Images