JP6779700B2 - 制御機器の認証システム、制御機器の認証方法、及び制御機器のプログラム - Google Patents

Description

本発明は、主として、制御機器の認証システムに関する。

従来から、制御機器と、被制御機器と、の両方に、制御のためのプログラムを格納し、このプログラムを立ち上げた状態で制御機器を被制御機器にアクセスさせることにより、制御機器により被制御機器を制御（使用）することを可能とする認証システムが知られている。

しかし、上記の構成では、プログラムによる制御対象となる被制御機器やその機能に制限がなく、ライセンスの範囲内ではない被制御機器やその機能が、制御機器によって不正に使用されてしまうおそれがあった。また、仮にプログラムが不正取得等により外部に流出したら、ライセンスを有しない者により不正に制御機器及び被制御機器が使用されてしまうおそれもあった。

本発明は以上の事情に鑑みてされたものであり、その目的は、制御機器及び被制御機器の制御のためのプログラムの不正利用を確実に防止することにある。

課題を解決するための手段及び効果

本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。

本発明の第１の観点によれば、以下の構成の制御機器の認証システムが提供される。即ち、この制御機器の認証システムは、被制御機器と、制御機器と、を備える。前記制御機器は、自機の機器識別情報が条件を満たすか否かを確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する自機利用正当性検証部を有する。また、前記制御機器は、自機が機能を利用しようとする前記被制御機器が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認する接続対象機器／機能検証部を有する。前記被制御機器は、ルート証明書記憶部と、電子証明書受信部と、署名検証部と、を有する。前記ルート証明書記憶部は、信頼済の認証局のルート証明書を信頼済ルート証明書として記憶する。前記電子証明書受信部は、前記制御機器から電子証明書を受信する。前記署名検証部は、前記電子証明書受信部で受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを前記ルート証明書記憶部に記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認する。前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行する。前記制御機器は、デバイス認証ファイル記憶部と、機器許可情報取得部と、前記自機利用正当性検証部と、を有する。前記デバイス認証ファイル記憶部は、前記発行申請の内容に含まれる前記機器識別情報を記憶する。前記機器許可情報取得部は、当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得する。前記自機利用正当性検証部は、自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する。

本発明の第２の観点によれば、以下の制御機器の認証方法が提供される。即ち、この制御機器の認証方法においては、制御機器が、自機の機器識別情報が条件を満たすか否かを確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する。また、前記制御機器が、自機が機能を利用しようとする被制御機器が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認する。被制御機器が、信頼済の認証局のルート証明書を信頼済ルート証明書として記憶する。前記被制御機器が、前記制御機器から電子証明書を受信する。前記被制御機器が、受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを、記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認する。前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行する。前記制御機器は、前記発行申請の内容に含まれる前記機器識別情報を記憶する。前記制御機器は、当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得する。前記制御機器は、自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する。

本発明の第３の観点によれば、以下の構成の制御機器のプログラムが提供される。即ち、この制御機器のプログラムは、制御機器である自機の機器識別情報が条件を満たすか否かを確認することで、プログラムの利用に関する正当性を確認するステップと、自機に記憶した機器制限情報を確認することで、自機が機能を利用しようとする被制御機器が正当な範囲内であるか否かを確認するステップと、前記被制御機器に正当性を確認させるために、自機が記憶する電子証明書を当該被制御機器に送信するステップと、を含む。被制御機器が、信頼済の認証局のルート証明書を信頼済ルート証明書として記憶する。前記被制御機器が、前記制御機器から受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを、記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認する。前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行する。前記制御機器は、前記発行申請の内容に含まれる前記機器識別情報を記憶する。前記制御機器は、当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得する。前記制御機器は、自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する。

これにより、制御機器によって、自機にインストールされたプログラムの利用に関する正当性を確認するとともに、自機が利用しようとする被制御機器が正当な範囲内であるか否かを確認することができるので、プログラムの不正利用を確実に防止することができる。

本発明の第１実施形態に係る制御機器の認証システムの全体的な構成を示す模式図。 第１実施形態における制御機器の主要な構成を示すブロック図。 利用の正当性を確かめるために主として制御機器と被制御機器との間で行われる処理の流れを説明するシーケンス図。 図３の処理の続きを示すシーケンス図。 本発明の第２実施形態に係る制御機器の認証システムの全体的な構成を示す模式図。 第２実施形態における制御機器及び被制御機器の主要な構成を示すブロック図。 利用の正当性を確かめるために主として制御機器と被制御機器との間で行われる処理の流れを説明するシーケンス図。 図７の処理の続きを示すシーケンス図。

＜第１実施形態＞
初めに、図面を参照して本発明の第１実施形態を説明する。図１は、本発明の第１実施形態に係る制御機器の認証システム１の全体的な構成を示す模式図である。図２は、第１実施形態における制御機器の主要な構成を示すブロック図である。

本実施形態の制御機器の認証システム１は、船舶機器メーカと、ベンダーと、ベンダー製指示器（制御機器）２０と、レーダ装置（被制御機器）５０と、魚群探知機（被制御機器）６０と、を含む。ベンダー製指示器２０は、レーダ装置５０及び魚群探知機６０と、図示しないネットワーク（例えば、ＬＡＮ）によって接続されている。

レーダ装置５０は、レーダアンテナを水平面内で回転させながら電波の送受信を行うことにより、自機（レーダ装置５０）の周囲を探知するものである。レーダ装置５０は、船舶機器メーカにより製造される製品である。レーダ装置５０には、他の船舶用機器（制御機器）によって自機を制御可能とするための機能提供プログラムと、この機能提供プログラムが使用するライブラリ（プログラム）２と、が予めインストールされている。機能提供プログラム及びライブラリ２は、何れも、船舶機器メーカが作成したものである。

魚群探知機６０は、水中に向けて超音波を送信するとともに、当該超音波の反射波であるエコー信号を受信して魚群を探知するものである。魚群探知機６０は、船舶機器メーカにより製造される製品である。魚群探知機６０には、他の船舶用機器（制御機器）によって自機を制御可能とするための機能提供プログラムと、この機能提供プログラムが利用するライブラリ２と、が予めインストールされている。

ベンダー製指示器２０は、被制御機器（例えばレーダ装置５０、あるいは魚群探知機６０）の探知結果を表示画面に出力するとともに、被制御機器を制御するものである。本実施形態のベンダー製指示器２０は、船舶機器メーカとは異なるベンダー（製造元）により製造される船舶用機器である。ベンダー製指示器２０には、被制御機器の機能を使用するためにベンダーが作成した機能使用プログラムと、この機能使用プログラムが使用するライブラリ２と、がインストールされる。このライブラリ２は、船舶機器メーカとライセンス契約を締結したベンダーに船舶機器メーカが配布するものであって、レーダ装置５０及び魚群探知機６０にインストールされるものと同一である。

船舶機器メーカは、当該船舶機器メーカがライセンス契約を締結したベンダーの情報と、ライセンス契約の内容に関する情報と、を保有している。ライセンス契約の内容としては、ライブラリ２の使用が許可されるベンダー製指示器２０の台数の上限、機能を利用して良い被制御機器の種類及びモデル等の制限、被制御機器の機能のうち利用が許可される機能の制限等が挙げられるが、これに限定されない。

ベンダーは、自らが製造するベンダー製指示器２０が被制御機器（例えばレーダ装置５０、あるいは魚群探知機６０）を利用可能とするためのライセンス契約を船舶機器メーカとの間で結ぶ。

なお、以下では、ベンダー製指示器２０を製造及び販売するベンダーは、魚群探知機６０を利用するためのライセンスは有しておらず、レーダ装置５０の機能（しかも、全部の機能ではなくレーダ探知のみの機能）を利用するためのライセンスを有するものとして、説明を行う。

次に、機能使用プログラム及びライブラリ２がインストールされたベンダー製指示器２０の主要な構成について、図２を参照して詳細に説明する。ベンダー製指示器２０は、デバイス認証ファイル記憶部２２、機器機能制限ファイル記憶部２３、デバイス認証ファイル復号部２５、自機識別番号取得部２６、自機利用正当性検証部２７、機器機能制限ファイル復号部２８、及び接続対象機器／機能検証部２９を主として備える。

詳細には、ベンダー製指示器２０は、ＣＰＵからなる演算部と、ＲＯＭやＲＡＭ等を備える記憶部と、を有するコンピュータとして構成されている。記憶部には、上述の機能使用プログラムと、ライブラリ２と、が記憶されている。これらのソフトウェアとハードウェアの協働により、ベンダー製指示器２０を、デバイス認証ファイル記憶部２２、機器機能制限ファイル記憶部２３、デバイス認証ファイル復号部２５、自機識別番号取得部２６、自機利用正当性検証部２７、機器機能制限ファイル復号部２８、及び接続対象機器／機能検証部２９等として動作させることができる。

デバイス認証ファイル記憶部２２は、ベンダーの申請に対して発行された上記のデバイス認証ファイル７を記憶するものである。申請者としてのベンダーは、ベンダー製指示器２０で被制御機器を利用（制御）可能とするために、船舶機器メーカに対して、デバイス認証ファイル及び機器機能制限ファイルの発行を申請する。このとき、ベンダーは、機能を利用したい機器がレーダ装置５０であること、レーダ装置５０の機能のうちレーダ探知の機能だけを利用したいこと、及び、予め調べておいたベンダー製指示器２０の機器識別情報を、申請の内容に含める。上記の機器識別情報は、ベンダー製指示器２０のハードウェアを一意に識別できる情報であれば何でも良いが、本実施形態では、通信のためにベンダー製指示器２０が備えるＮＩＣに付与されたＭＡＣアドレスが用いられる。このデバイス認証ファイル７は、動作が許可されたベンダー製指示器２０のＭＡＣアドレス（機器許可情報）が適宜の方法で暗号化された形で記述されている。この暗号化の方法としては、対称鍵又は非対称鍵を用いること等が考えられる。ベンダーは、このデバイス認証ファイル７を所定のフォルダに保存することで、デバイス認証ファイル記憶部２２に記憶させる。

機器機能制限ファイル記憶部２３は、ベンダーの申請に対して発行された上記の機器機能制限ファイル８を記憶するものである。この機器機能制限ファイル８には、ベンダー製指示器２０による使用が許可された機器の情報（機器制限情報）、及び、当該機器の機能のうち使用が許可された機能の情報（機能制限情報）が、公知の方法で暗号化された形で記述されている。ここで、機器制限情報の例としては、ベンダー製指示器２０が使用できる被制御機器をレーダ装置５０に限定する旨の情報が考えられる。機能制限情報の例としては、ベンダー製指示器２０は、レーダ装置５０の機能のうちレーダ探知機能を使用することができるが、それ以外の機能（例えば、レーダ感度の調節機能）は使用できない旨の情報等が考えられる。ベンダーは、この機器機能制限ファイル８を所定のフォルダに保存することで、機器機能制限ファイル記憶部２３に記憶させる。

デバイス認証ファイル復号部２５は、デバイス認証ファイル７に含まれる機器許可情報を、ライブラリ２に格納されている秘密鍵で復号するものである。デバイス認証ファイル７の機器許可情報が復号されることで、動作が許可されたベンダー製指示器２０のＭＡＣアドレスを得ることができる。

自機識別番号取得部２６は、通信のために自機（ベンダー製指示器２０）が備えるネットワークインタフェースカード（ＮＩＣ）に付与されたＭＡＣアドレスを取得する。

自機利用正当性検証部２７は、デバイス認証ファイル復号部２５で得られたＭＡＣアドレスと、自機識別番号取得部２６で得られた自機のＭＡＣアドレスと、が一致するか否かを検証することにより、ベンダー製指示器２０が自機にインストールされたライブラリ２を利用することについての正当性を確認する。

機器機能制限ファイル復号部２８は、機器機能制限ファイル８に含まれる暗号化された機器制限情報及び機能制限情報を、適宜の方法で復号することにより、平文に戻す。

接続対象機器／機能検証部２９は、機器機能制限ファイル復号部２８で得られた平文を解析することにより、ベンダー製指示器２０が利用の正当性を有する接続対象機器及び利用可能な機能を取得し、正当な利用の範囲を超えていないかを検証する。

以下では、利用の正当性を確認するために、ベンダー製指示器２０で行われる認証について、図３及び図４を参照して詳細に説明する。

初めに、申請者としてのベンダーが、船舶機器メーカに対してデバイス認証ファイル７及び機器機能制限ファイル８の発行申請を行う（シーケンス番号１）。

船舶機器メーカは、行われた発行申請が所定の要件を満たすか否か、具体的には、船舶機器メーカがベンダーに許諾したライセンスの範囲内での利用の申請か否かを、ライセンス契約の内容等に基づいて確認する。要件を満たす場合には、船舶機器メーカは、デバイス認証ファイル７及び機器機能制限ファイル８を作成し、ベンダー側に適宜の方法で提供する（シーケンス番号２）。

デバイス認証ファイル７は、申請内容に対応したベンダー製指示器２０の自機識別番号（本実施形態では、ＭＡＣアドレス）を適宜暗号化した機器許可情報を含む。また、機器機能制限ファイル８は、申請内容に従い、接続対象の機器を制限するとともに当該機器における機能を一部の機能に制限する旨の情報を適宜の方法で暗号化したもの（即ち、機器制限情報及び機能制限情報）を含む。今回の例では、ベンダーの申請内容に基づいて、接続対象の機器はレーダ装置に制限し、かつ、利用可能な機能はレーダ探知機能に制限する旨の情報が機器機能制限ファイル８に記述されているものとする。

ベンダーは、受信したデバイス認証ファイル７及び機器機能制限ファイル８を、ベンダー製指示器２０に適宜の方法でインストールする（シーケンス番号３）。

デバイス認証ファイル７及び機器機能制限ファイル８がインストールされたベンダー製指示器２０は、デバイス認証ファイル７をデバイス認証ファイル記憶部２２に、機器機能制限ファイル８を機器機能制限ファイル記憶部２３に、それぞれ記憶する（シーケンス番号４）。その後、ベンダー製指示器２０がベンダーから出荷される。

このベンダー製指示器２０をユーザが使用し、例えばレーダ装置５０によるレーダ探知結果を表示する操作を行った場合を考える。これに伴って、ベンダー製指示器２０の機能使用プログラムがライブラリ２の機能を呼び出すことになるが、このとき、ベンダー製指示器２０のデバイス認証ファイル復号部２５は、デバイス認証ファイル７の機器許可情報を読み込み、復号して平文に戻す（シーケンス番号５）。これにより、動作が許可されたベンダー製指示器２０のＭＡＣアドレスが取得される。

続いて、ベンダー製指示器２０の自機識別番号取得部２６は、自機が備えるＮＩＣに付与されたＭＡＣアドレスを取得する（シーケンス番号６）。ＭＡＣアドレスは、ベンダー製指示器２０にインストールされている基本ソフトウェア（ＯＳ）が備えるアプリケーションプログラミングインタフェース（ＡＰＩ）を利用することにより、容易に取得することができる。

続いて、ベンダー製指示器２０の自機利用正当性検証部２７は、自機にインストールされたライブラリ２を利用するための正当性（ライブラリ２の利用に関する正当性）を自機が有しているか否かを検証する（シーケンス番号７）。具体的には、自機利用正当性検証部２７は、デバイス認証ファイル復号部２５で得られたＭＡＣアドレスと、自機識別番号取得部２６で得られた自機のＭＡＣアドレスと、の一致性を検証し、一致していれば正当性あり、不一致であれば正当性なしと判断する。正当性を有していないと自機利用正当性検証部２７が判断した場合は、不正な利用を防止するために、ライブラリ２は以後の処理を行わずに動作を停止する。

上記の検証の結果、ベンダー製指示器２０が自機にインストールされたライブラリ２を利用するための正当性を有していたら、続いて、ベンダー製指示器２０の機器機能制限ファイル復号部２８は、機器機能制限ファイル８に含まれる暗号化された機器制限情報及び機能制限情報を機器機能制限ファイル記憶部２３から読み出して適宜の方法で復号することにより、平文に戻す（シーケンス番号８）。

続いて、ベンダー製指示器２０の接続対象機器／機能検証部２９は、機器機能制限ファイル復号部２８で得られた平文を解析することにより、ベンダー製指示器２０が利用の正当性を有する（接続することがライセンスで許可されている）接続対象機器及び利用可能な機能を取得する（シーケンス番号９）。

そして、ベンダー製指示器２０は、ネットワークに接続されたそれぞれの被制御機器（本実施形態の場合は、レーダ装置５０及び魚群探知機６０）に接続し、当該被制御機器の種類に関する情報を要求する（図４のシーケンス番号１０）。被制御機器は、この要求に応じて、自機の種類の情報を提供する（シーケンス番号１１）。例えばレーダ装置５０は、自機がレーダ装置である旨の情報をベンダー製指示器２０に送信し、魚群探知機６０は、自機が魚群探知機である旨の情報をベンダー製指示器２０に送信する。

ベンダー製指示器２０の接続対象機器／機能検証部２９は、得られた情報に基づいて、それぞれの被制御機器が、上記のシーケンス番号９で取得した接続対象機器の範囲内であるか否かを判断する（シーケンス番号１２）。今回の例では、レーダ装置５０は、接続対象機器の範囲内である。

更に、接続対象機器／機能検証部２９は、利用しようとするレーダ装置５０の機能が、上記のシーケンス番号９で取得した利用可能な機能の範囲内であるか否かを判断する（シーケンス番号１３）。今回の例では、レーダ探知機能は、利用可能な機能の範囲内である。

従って、ベンダー製指示器２０は、接続対象機器の範囲内である被制御機器（この例では、当該レーダ装置５０）にアクセスし、ユーザの操作に応じた機能、具体的にはレーダ探知機能を要求する（シーケンス番号１４）。これに対し、レーダ装置５０は、要求された機能を提供する（シーケンス番号１５）。

以上の処理により、ベンダー製指示器２０で自機がライブラリ２を利用することについての正当性が確かめられるとともに、自機が利用しようとする被制御機器（本実施形態では、レーダ装置５０）及びその機能（レーダ探知機能）が正当な範囲内であるか否かが確かめられる。これにより、ベンダー製指示器２０及びレーダ装置５０の制御のためのプログラムの不正利用を確実に防止することができる。

なお、ライセンス契約の内容の変更等があった場合には、申請者としてのベンダーが、船舶機器メーカに対して機器機能制限ファイル８の更新申請を行う。その場合、ベンダーは、これに応じて、更新した機器機能制限ファイル８を作成し、ベンダー側に提供する。その場合、ベンダーは、この更新された機器機能制限ファイル８をベンダー製指示器２０にインストールし、古い機器機能制限ファイル８に対して上書き保存するものとすることができる。

＜第２実施形態＞
次に、図面を参照して本発明の第２実施形態を説明する。なお、以下の説明においては、第１実施形態に備えられる構成と同様の構成のものには同一の符号を付し、詳細な説明を省略する場合がある。図５は、本発明の第２実施形態に係る制御機器の認証システム１の全体的な構成を示す模式図である。図６は、第２実施形態における制御機器及び被制御機器の主要な構成を示すブロック図である。図７は、利用の正当性を確かめるために主として制御機器と被制御機器との間で行われる処理の流れを説明するシーケンス図である。図８は、図７の処理の続きを示すシーケンス図である。

本実施形態の制御機器の認証システム１は、図５に示すように、複数の認証局１１，１２と、ベンダー製指示器（制御機器）２０と、レーダ装置（被制御機器）５０と、魚群探知機（被制御機器）６０と、を含む。ベンダー製指示器２０は、レーダ装置５０及び魚群探知機６０と、図示しないネットワーク（例えば、ＬＡＮ）によって接続されている。

本実施形態において、船舶機器メーカはレーダ装置５０を販売するに際して、被制御機器の種類毎に構築された複数の認証局（ルート認証局）１１，１２のうち、レーダ装置５０に対応する認証局であるレーダ認証局１１にルート証明書を発行させる。レーダ装置５０は、レーダ認証局１１により発行されたルート証明書３がインストールされた状態で出荷される。同様に、船舶機器メーカは、魚群探知機６０を販売するに際して、被制御機器の種類毎に構築された複数の認証局（ルート認証局）１１，１２のうち、魚群探知機６０に対応する認証局である魚探認証局１２にルート証明書を発行させる。電子証明書６は、魚探認証局１２により発行されたルート証明書４がインストールされた状態で出荷される。

船舶機器メーカは、インターネットに公開されたＷｅｂサイトを運営しており、このＷｅｂサーバアプリケーションが動作するサーバコンピュータ３０に、ベンダー製指示器２０でライブラリ２が実質的に動作するのに必要なファイル等の発行を自動的に行うためのプログラムがインストールされている。また、サーバコンピュータ３０は図示しないデータベースを備えており、このデータベースには、船舶機器メーカがライセンス契約を締結したベンダーの情報と、ライセンス契約の内容と、が予め記憶されている。

上述のレーダ認証局１１及び魚探認証局１２は、船舶機器メーカによって運営されるプライベート認証局である。それぞれの認証局１１，１２は、サーバコンピュータ３０と電気的に接続されている図示しないコンピュータに構築されている。

次に、機能使用プログラム及びライブラリ２がインストールされたベンダー製指示器２０の主要な構成について、図６を参照して詳細に説明する。ベンダー製指示器２０は、電子証明書記憶部２１、デバイス認証ファイル記憶部２２、機器機能制限ファイル記憶部２３、デバイス認証ファイル復号部２５、自機識別番号取得部２６、自機利用正当性検証部２７、機器機能制限ファイル復号部２８、接続対象機器／機能検証部２９、及び電子証明書送信部３１を主として備える。

上記のうち、デバイス認証ファイル記憶部２２、機器機能制限ファイル記憶部２３、デバイス認証ファイル復号部２５、自機識別番号取得部２６、自機利用正当性検証部２７、機器機能制限ファイル復号部２８、及び接続対象機器／機能検証部２９については、上述の第１実施形態と同様であるので、説明を省略する。

電子証明書記憶部２１は、認証局１１から発行された電子証明書を記憶するものである。申請者としてのベンダーは、ベンダー製指示器２０で被制御機器を利用（制御）可能とするために、インターネットを介して上記のＷｅｂサイトにアクセスし、電子証明書、デバイス認証ファイル、及び機器機能制限ファイルの発行を申請する。このとき、ベンダーは、機能を利用したい機器がレーダ装置５０であること、レーダ装置５０の機能のうちレーダ探知の機能だけを利用したいこと、及び、予め調べておいたベンダー製指示器２０の機器識別情報（具体的には、ＭＡＣアドレス）を、申請の内容に含める。サーバコンピュータ３０（Ｗｅｂアプリケーション）は、Ｗｅｂサイトで行われた申請の内容が、船舶機器メーカと当該ベンダーとのライセンス契約の内容に適合するか否かを、上記のデータベースを参照することにより判断する。申請内容がライセンス契約に適合している場合、サーバコンピュータ３０は自動的に、申請内容に対応する認証局１１に電子証明書６のファイルを発行させてベンダーに送信するとともに、デバイス認証ファイル及び機器機能制限ファイルを作成してベンダーに送信する。ベンダーは、受信した電子証明書６のファイルを所定のフォルダに保存することで、電子証明書記憶部２１に記憶させる。

電子証明書送信部３１は、電子証明書記憶部２１に記憶されている電子証明書６を、レーダ装置５０等の被制御機器へ送信する。

次に、レーダ装置５０の主要な構成について、図６を参照して詳細に説明する。レーダ装置５０は、ルート証明書記憶部５１、電子証明書受信部５２、署名検証部５３、及び機能提供部５４を主として備える。

詳細には、レーダ装置５０は、ＣＰＵからなる演算部と、ＲＯＭやＲＡＭ等を備える記憶部と、を有するコンピュータとして構成されている。記憶部には、上述の機能提供プログラムと、ライブラリ２と、が記憶されている。これらのソフトウェアとハードウェアの協働により、レーダ装置５０を、ルート証明書記憶部５１、電子証明書受信部５２、署名検証部５３、及び機能提供部５４等として動作させることができる。

ルート証明書記憶部５１は、信頼済のルート証明書を記憶する。具体的には、船舶機器メーカは、認証局１１，１２のうち、当該被制御機器に対応する認証局（レーダ装置５０の場合は、レーダ認証局１１）が発行した自己証明書を、信頼済のルート証明書としてレーダ装置５０にインストールする。

電子証明書受信部５２は、ベンダー製指示器２０の電子証明書送信部３１から送られてきた電子証明書を受信する。

署名検証部５３は、電子証明書受信部５２で受信した電子証明書の署名を検証することで、ベンダー製指示器２０がレーダ装置５０（自機）の機能を利用する正当性を確認するものである。即ち、署名検証部５３は、ベンダー製指示器２０から受信した電子証明書６が、レーダ装置５０が信頼済の認証局が署名したものであるか否かを、信頼済のルート証明書３により検証する。具体的に説明すると、署名検証部５３は、ルート証明書記憶部５１に記憶されたルート証明書に含まれるレーダ認証局１１の公開鍵を使って、前記電子証明書６の署名を復号する。これにより、電子証明書６の内容のハッシュ値（ダイジェスト値）が得られる。これとは別に、署名検証部５３は、ハッシュ関数を用いて、電子証明書６に記述された内容（例えば、ベンダーの組織名、レーダ認証局１１の組織名、及び証明書の有効期限等）のハッシュ値を求め、この求めたハッシュ値と、前記復号することにより得られたハッシュ値と、が一致するか否かを検証することにより、ベンダー製指示器２０が自機の機能を利用する正当性を有するか否かを確認する。

機能提供部５４は、署名検証部５３でベンダー製指示器２０が自機の機能を利用する正当性を有すると判断された場合に限り、要求された機能をベンダー製指示器２０に対して提供するものである。機能提供部５４でレーダ装置５０の機能が提供されることにより、ベンダー製指示器２０でレーダ装置５０を使用（制御）することが可能となる。

なお、魚群探知機６０も、図略のルート証明書記憶部、電子証明書受信部、署名検証部、及び機能提供部を備えるが、これらは、レーダ装置５０のルート証明書記憶部５１、電子証明書受信部５２、署名検証部５３、及び機能提供部５４にそれぞれ相当するものであり、これらと同様の構成及び機能を有するので、詳細な説明は省略する。

以下では、利用の正当性を確認するために、ベンダー製指示器２０側で行われる認証と、レーダ装置５０側で行われる認証と、について、図７及び図８を参照して詳細に説明する。

初めに、申請者としてのベンダーが適宜のコンピュータを操作して申請用のＷｅｂサイトにアクセスし、ネットワーク経由で、電子証明書６、デバイス認証ファイル７、及び機器機能制限ファイル８の発行申請を行う（シーケンス番号２１）。

Ｗｅｂサイトのサーバコンピュータ３０で動作するＷｅｂアプリケーションは、行われた発行申請が所定の要件を満たすか否か、具体的には、船舶機器メーカがベンダーに許諾したライセンスの範囲内での利用の申請か否かを、自動で確認する。要件を満たす場合には、Ｗｅｂアプリケーションは、申請内容に対応する認証局（レーダ装置５０の機能を使用したい申請であれば、レーダ認証局１１）に電子証明書６をファイルの形で発行させるとともに、デバイス認証ファイル７及び機器機能制限ファイル８を作成し、電子証明書６のファイル、デバイス認証ファイル７及び機器機能制限ファイル８をベンダー側のコンピュータへネットワーク経由で自動的に送信する（シーケンス番号２２）。

レーダ認証局１１が発行する電子証明書６には、適宜の内容、例えば、許可を受けたベンダーの組織名、レーダ認証局１１の組織名、証明書の有効期限、公開鍵等を記述することができる。レーダ認証局１１は、ハッシュ関数を用いて、電子証明書６の内容のハッシュ値（ダイジェスト値）を計算し、このハッシュ値をレーダ認証局１１の秘密鍵で暗号化することにより得られた署名を、電子証明書６に付す。

ベンダーは、受信した電子証明書６、デバイス認証ファイル７、機器機能制限ファイル８を、ベンダー製指示器２０に適宜の方法でインストールする（シーケンス番号２３）。

電子証明書６、デバイス認証ファイル７、及び機器機能制限ファイル８がインストールされたベンダー製指示器２０は、電子証明書６を電子証明書記憶部２１に、デバイス認証ファイル７をデバイス認証ファイル記憶部２２に、機器機能制限ファイル８を機器機能制限ファイル記憶部２３に、それぞれ記憶する（シーケンス番号２４）。その後、ベンダー製指示器２０がベンダーから出荷される。

このベンダー製指示器２０をユーザが使用するのに伴って、機能使用プログラムがライブラリ２の機能を呼び出すことになるが、このときに行われる処理（シーケンス番号２５〜２９）は、第１実施形態（図３のシーケンス番号５〜９）と全く同様であるので、説明を省略する。

使用の正当性がベンダー製指示器２０側で確認できた場合には、ベンダー製指示器２０は、ネットワークに接続されたそれぞれの被制御機器（レーダ装置５０及び魚群探知機６０）にアクセスして、電子証明書記憶部２１に記憶していた電子証明書６を当該被制御機器へ送信するとともに、当該被制御機器の種類に関する情報を要求する（図８のシーケンス番号３０）。

ベンダー製指示器２０からの電子証明書６は、レーダ装置５０の電子証明書受信部５２で受信される。そして、レーダ装置５０は、ルート証明書記憶部５１に記憶していた信頼済みのルート証明書を利用して、受信した電子証明書の署名の正当性を検証する（シーケンス番号３１）。即ち、署名検証部５３は、ベンダー製指示器２０から受信した電子証明書６が、レーダ装置５０が信頼済の認証局が署名したものであるか否かを、信頼済のルート証明書３を用いて検証する。具体的には、署名検証部５３は、ルート証明書に付されているレーダ認証局１１の公開鍵を使って、前記電子証明書６の署名を復号する。これにより、電子証明書の内容のハッシュ値（ダイジェスト値）が得られる。これとは別に、署名検証部５３は、ハッシュ関数を用いて、電子証明書６に記述された内容のハッシュ値を求める。そして署名検証部５３は、この求めたハッシュ値と、前記復号することにより得られたハッシュ値と、の一致性を検証することにより、ベンダー製指示器２０が自機の機能を利用する正当性を有するか否かを確認する。即ち、ハッシュ値同士が一致していれば正当性ありと判断され、不一致であれば正当性なしと判断される。

レーダ装置５０は、ベンダー製指示器２０が利用の正当性を有すると署名検証部５３が判断した場合に限り、ベンダー製指示器２０の要求に応じて自機の情報を提供する（シーケンス番号３２）。一方、利用の正当性がないと判断された場合は、レーダ装置５０は、ベンダー製指示器２０への情報の提供を拒否する。なお、情報の提供が拒否された場合は、レーダ装置５０の機能提供部５４は、その後にベンダー製指示器２０から機能の提供の要求があっても応じないことは言うまでもない。

その後、接続対象機器及び利用する機能の正当性の確認がベンダー製指示器２０側で行われ、正当であればベンダー製指示器２０はレーダ装置５０に機能の提供を要求し、レーダ装置５０は要求された機能を提供する（シーケンス番号３３〜３６）。この処理は、前述の第１実施形態（図４のシーケンス番号１２〜１５）と同様であるので、説明を省略する。

以上の処理により、ベンダー製指示器２０側で自機がライブラリ２を利用することについての正当性が確かめられ、レーダ装置５０側でベンダー製指示器２０が自機（レーダ装置５０）の機能を利用する正当性を有するか否かが確かめられる。言い換えれば、２重の認証が行われる。そして、両方の認証に適合することにより、初めて、ベンダー製指示器２０を用いてレーダ装置５０を利用（制御）することが可能となる。このように、ベンダー製指示器２０とレーダ装置５０の両方で利用の正当性を確認することができるので、プログラムの不正利用を確実に防止することができる。

なお、上記の例の場合、機器機能制限ファイル８に含まれる機器制限情報の中には、ベンダー製指示器２０がレーダ装置５０についてのみ利用の正当性を有する旨が記述されている。従って、ベンダー製指示器２０のライブラリ２は、レーダ装置５０以外の被制御機器（例えば、魚群探知機６０）の機能を使用したいという機器使用プログラムからの要求があったとしても、不正な利用であるとして拒否する。よって、ベンダー製指示器２０を使用するユーザは、このベンダー製指示器２０を用いてレーダ装置５０を使用することはできるが、他の被制御機器を使用することはできない。また、ライブラリ２に不正な改ざん等がされるとともにベンダー製指示器２０が例えば魚群探知機６０にアクセスしたとしても、魚探認証局１２が発行した電子証明書がベンダー製指示器２０にインストールされていない限り、魚群探知機６０側での電子証明書の検証に失敗するので、魚群探知機６０がベンダー製指示器２０に機能を提供することはない。

また、機器機能制限ファイル８に含まれる機能制限情報の中には、ベンダー製指示器２０が、レーダ装置５０の機能のうちレーダ探知機能についてのみ利用の正当性を有する旨が記述されている。従って、ベンダー製指示器２０のライブラリ２は、レーダ探知機能以外の機能（例えば、レーダ感度の調節機能）を使用したいという機器使用プログラムからの要求があったとしても、不正な利用であるとして拒否する。よって、ベンダー製指示器２０を使用するユーザは、このベンダー製指示器２０を用いてレーダ装置５０のレーダ探知機能を使用することはできるが、他の機能を使用することはできない。

ベンダー製指示器２０には、１つだけではなく２つ以上の電子証明書をインストールすることもできる。例えば、船舶機器メーカの許諾を受けたベンダーが、レーダ認証局１１が発行した電子証明書と、魚探認証局１２が発行した電子証明書と、の両方をベンダー製指示器２０にインストールすることで、レーダ装置５０においても魚群探知機６０においても電子証明書の検証に適合させることができる。この場合、１台のベンダー製指示器２０がレーダ装置５０及び魚群探知機６０の機能を同時に利用することができる。

なお、ベンダーが船舶機器メーカから受けているライセンスの内容に変更があった場合等には、ベンダーが上記のＷｅｂサイトに再申請を行って、新しく発行された電子証明書のファイル、デバイス認証ファイル、及び機器機能制限ファイルを、電子証明書記憶部２１、デバイス認証ファイル記憶部２２、及び機器機能制限ファイル記憶部２３にそれぞれ例えば上書きして記憶することにより、電子証明書、機器制限情報、機能制限情報等を更新することができる。よって、ベンダー製指示器２０が被制御機器を利用可能な範囲を、ライセンス等の事情に基づいて適切かつ柔軟に制限することができる。

以上に説明したように、第１実施形態及び第２実施形態の認証システム１は、ベンダー製指示器（制御機器）２０と、レーダ装置（被制御機器）５０と、を備える。ベンダー製指示器２０は、自機機器識別情報（ＭＡＣアドレス）が条件を満たすか否かを確認することで、自機にインストールされたライブラリ（プログラム）２の利用に関する正当性を確認する自機利用正当性検証部２７を有する。また、ベンダー製指示器２０は、自機が機能を利用しようとするレーダ装置５０が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認する接続対象機器／機能検証部２９を有する。

これにより、ベンダー製指示器２０によって、自機にインストールされたライブラリ２の利用に関する正当性を確認するとともに、自機が利用しようとするレーダ装置５０が正当な範囲内であるか否かを確認することができるので、ライブラリ２の不正利用を確実に防止することができる。

また、第１実施形態及び第２実施形態の認証システム１は、ベンダー製指示器２０が記憶する機器制限情報を更新可能である。

これにより、ライセンスの変更等に容易に対応することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、ベンダー製指示器２０の接続対象機器／機能検証部２９は、自機が機能を利用しようとするレーダ装置５０が正当な範囲内であるか否かを、自機に記憶した機器機能制限ファイルに含まれる機器制限情報に基づいて確認する。

これにより、ベンダー製指示器２０が機能を利用可能な被制御機器を、ライセンス等の事情に基づいて適切に制限することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、ベンダー製指示器２０が記憶する機器制限情報を更新可能である。

これにより、ライセンスの変更等に容易に対応することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、ベンダー製指示器２０の前記接続対象機器／機能検証部２９は、自機が利用しようとする被制御機器の機能の範囲（上記の例の場合は、レーダ装置５０の探知機能）が正当な範囲内であるか否かを、自機に記憶した機器機能制限ファイルに含まれる機能制限情報に基づいて確認する。

これにより、ベンダー製指示器２０がレーダ装置５０の機能を利用可能な範囲を、ライセンス等の事情に基づいて適切に制限することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、ベンダー製指示器２０が記憶する機器機能制限ファイルに含まれる機能制限情報を更新可能である。

これにより、ライセンスの変更等に容易に対応することができる。

また、第２実施形態の認証システム１は、被制御機器は、電子証明書受信部５２と、署名検証部５３と、機能提供部５４と、を有する。電子証明書受信部５２は、ベンダー製指示器２０（制御機器）から電子証明書６を受信する。署名検証部５３は、電子証明書受信部５２で受信した電子証明書６の署名を検証することで、ベンダー製指示器（制御機器）２０が自機の機能を利用する正当性を確認する。機能提供部５４は、署名検証部５３での検証結果に応じてベンダー製指示器（制御機器）２０が要求する機能を提供する。

これにより、ベンダー製指示器２０とレーダ装置５０の両方で利用の正当性を確認することができるので、プログラムの不正利用を確実に防止することができる。

また、第２実施形態の認証システム１においては、ベンダー製指示器２０が記憶する電子証明書６を更新可能である。

これにより、ライセンスの変更等に容易に対応することができる。

また、第２実施形態の認証システム１は、以下の構成とされる。即ち、レーダ装置５０は、ルート証明書記憶部５１と、電子証明書受信部５２と、署名検証部５３と、を有する。ルート証明書記憶部５１には、信頼済のレーダ認証局（認証局）１１のルート証明書３が信頼済ルート証明書として記憶されている。電子証明書受信部５２は、ベンダー製指示器２０から電子証明書を受信する。署名検証部５３は、電子証明書受信部５２で受信した電子証明書６が、レーダ装置５０が信頼済のレーダ認証局１１が署名したものであるか否かをルート証明書記憶部５１に記憶した信頼済ルート証明書としてのルート証明書３により検証することで、ベンダー製指示器２０の正当性を確認する。

これにより、レーダ装置５０においてベンダー製指示器２０の正当性を確実に確認することができる。

また、第２実施形態の認証システム１においては、レーダ装置５０及び魚群探知機６０には、被制御機器の種類毎に構築された複数の認証局１１，１２のうち、レーダ装置５０及び魚群探知機６０のそれぞれが条件を満たす認証局１１，１２のルート証明書３，４がそれぞれ信頼済ルート証明書として記憶される。

これにより、被制御機器の種類（上記の例では、レーダ装置、又は魚群探知機）毎にライセンスが付与される場合でも、レーダ装置５０及び魚群探知機６０のそれぞれが、ベンダー製指示器２０の正当性を適切に確認することができる。

また、第２実施形態の認証システム１においては、例えばレーダ認証局１１は、電子証明書６の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、ベンダー（申請者）に対して電子証明書６を自動的に発行する。

これにより、認証局１１における電子証明書６の発行の手間を軽減することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、発行申請の内容には、ベンダー製指示器２０を識別する情報であるＭＡＣアドレスの条件が含まれる。申請者としてのベンダーは、当該発行申請が所定の要件を満たす場合には、ＭＡＣアドレスが暗号化された機器許可情報が含まれるデバイス認証ファイル７を取得する。ベンダー製指示器２０は、自機のＭＡＣアドレスが条件を満たすか否かを、自機が記憶するデバイス認証ファイル７の機器許可情報に基づいて確認することで、自機にインストールされたライブラリ２の利用に関する正当性を確認する。

これにより、ベンダー製指示器２０が、自機においてライブラリ２を利用する正当性を容易に確認することができる。また、利用が許可されたベンダー製指示器２０を識別するＭＡＣアドレスが暗号化されているので、改ざんによる不正利用を防止することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、機器識別情報にＭＡＣアドレスが含まれている。

これにより、制御機器（ベンダー製指示器２０）を確実に特定した上で正当性を確認することができる。

また、第１実施形態及び第２実施形態の認証システム１においては、制御機器（ベンダー製指示器２０）及び被制御機器（レーダ装置５０、魚群探知機６０）の何れも船舶用機器である。

これにより、船舶用機器の正当な利用を確保することができる。

また、第１実施形態及び第２実施形態では、以下のようにしてベンダー製指示器２０の認証が行われる。即ち、ベンダー製指示器（制御機器）２０が、自機の機器識別情報が条件を満たすか否かを確認することで、自機にインストールされたライブラリ（プログラム）２の利用に関する正当性を確認する。また、ベンダー製指示器（制御機器）２０が、自機が機能を利用しようとするレーダ装置（制御機器）５０が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認する。

これにより、ベンダー製指示器２０によって、自機にインストールされたライブラリ２の利用に関する正当性を確認するとともに、自機が利用しようとするレーダ装置５０が正当な範囲内であるか否かを確認することができるので、ライブラリ２の不正利用を確実に防止することができる。

また、第２実施形態では、以下のようにしてベンダー製指示器２０の認証が行われる。即ち、ベンダー製指示器（制御機器）２０が、自機のＭＡＣアドレスが条件を満たすか否かを確認することで、自機にインストールされたライブラリ（プログラム）２の利用に関する正当性を確認する。また、ベンダー製指示器２０が要求する機能を提供するレーダ装置（制御機器）５０が、レーダ装置５０から受信した電子証明書６の署名を検証することで、ベンダー製指示器２０が自機の機能を利用する正当性を確認する。

これにより、ベンダー製指示器２０とレーダ装置５０の両方で利用の正当性を確認することができるので、ライブラリ２の不正利用を確実に防止することができる。

また、第１実施形態及び第２実施形態において、ベンダー製指示器２０が実行するライブラリ２のプログラムは、制御機器である自機（ベンダー製指示器２０）の機器識別情報が条件を満たすか否かを確認することで、ライブラリ（プログラム）２の利用に関する正当性を確認するステップと、自機（ベンダー製指示器２０）に記憶した機器制限情報を確認することで、自機（ベンダー製指示器２０）が機能を利用しようとする被制御機器（レーダ装置５０）が正当な範囲内であるか否かを確認するステップと、を含む。

これにより、ベンダー製指示器２０によって、自機にインストールされたライブラリ２の利用に関する正当性を確認するとともに、自機が利用しようとするレーダ装置５０が正当な範囲内であるか否かを確認することができるので、ライブラリ２の不正利用を確実に防止することができる。

また、第２実施形態のベンダー製指示器２０が実行するライブラリ２のプログラムは、制御機器である自機（ベンダー製指示器２０）の機器識別情報（ＭＡＣアドレス）が条件を満たすか否かを確認することで、ライブラリ（プログラム）２の利用に関する正当性を確認するステップと、被制御機器（レーダ装置５０）に正当性を確認させるために、自機（ベンダー製指示器２０）が記憶する電子証明書６を被制御機器（レーダ装置５０）に送信するステップと、を含む。

これにより、ベンダー製指示器２０とレーダ装置５０の両方で利用の正当性を確認することができるので、ライブラリ２の不正利用を確実に防止することができる。

次に、制御機器に関する変形例を説明する。

レーダ装置５０等の機能を利用する制御機器は、ベンダー製指示器２０のような船舶用機器に代えて、他のデバイス、例えば、タブレットコンピュータ及びスマートフォン等の一般的な携帯端末として構成することができる。この変形例では、電子証明書６の発行申請は、ベンダーに代わって携帯端末のユーザが申請用Ｗｅｂサイトにアクセスして行うようにすることができる。

なお、上記の携帯端末の中には、ＯＳの制限等によってライブラリ２がＭＡＣアドレスを取得できないものもある。この場合は、ＭＡＣアドレスの代わりに、例えばベンダーＵＵＩＤ（ＵＵＩＤの一種）を機器識別情報として用いることで、ＭＡＣアドレスと実質的に同等の強度の認証を実現することができる。なお、ベンダーＵＵＩＤは、一部のＯＳのＡＰＩで取得することができる値であって、同一ベンダーのアプリケーションかつ同一デバイスである場合には同一の値となるＩＤを意味する。

次に、デバイス認証ファイル７に関する変形例を説明する。

上記の実施形態では、デバイス認証ファイル７には、１台分のベンダー製指示器２０のＭＡＣアドレスが記述されている。しかしながら、デバイス認証ファイル７に、例えば複数のＭＡＣアドレスを列挙して記述したり、ＭＡＣアドレスの範囲を記述したり、４８ビットあるＭＡＣアドレスのうち上位の一部のビットだけを照合する条件を記述したりすることで、複数台のベンダー製指示器２０のＭＡＣアドレスを許容する条件を定めるように構成することもできる。この場合、複数の制御機器（ベンダー製指示器２０及び携帯端末等）に一括してライセンスする場合でも、デバイス認証ファイル７を個々に作成しなくてよいので、手間を軽減することができる。

次に、機器機能制限ファイルに関する変形例、及び認証局に関する変形例を説明する。

機器機能制限ファイル８に記述されている機器制限情報には、被制御機器の種類（レーダ、魚群探知機、ソナー等）に代えて、被制御機器が有する機能（例えば、探知機能を有するか否か）、又は被制御機器のモデル（レーダＡ、レーダＢ、・・・等）の観点で、制御機器が利用可能な被制御機器が記述されてもよい。その場合、制御機器が利用可能な被制御機器を様々な観点で特定することができ、柔軟な認証を実現することができる。

また、被制御機器の種類（レーダ、魚群探知機、ソナー等）に代えて、被制御機器が有する機能毎に、又は被制御機器のモデル毎に、ルート証明書を発行する認証局が構築されるものとしてもよい。その場合、複数の認証局のうち、それぞれの被制御機器が条件を満たす認証局が発行したルート証明書を、当該被制御機器にインストールすれば良い。この場合、被制御機器が有する機能、又はモデル毎にライセンスが付与される場合でも、被制御機器が制御機器の正当性を適切に確認することができる。

以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。

上記の実施形態では、デバイス認証ファイル７及び機器機能制限ファイル８が、電子証明書６とは別のファイルであるものとしたが、これに限るものではなく、例えばこれに代えて、電子証明書６の内容に機器許可情報、機器制限情報、及び機能制限情報を記述するように構成して、デバイス認証ファイル７及び機器機能制限ファイル８を省略してもよい。その場合、ライセンスの内容が変更になった場合等には、それにあわせて電子証明書６を更新することとすればよい。また、電子証明書６に記述された機器許可情報等の内容が仮に不正に改ざんされた場合であっても、レーダ装置５０側での署名の検証に失敗して機能が使用できなくなるので、不正利用を防止することができる。

機器制限情報と、機能制限情報とは、上記の実施形態のように１つのファイル（機器機能制限ファイル８）に記述されても良いし、別々のファイルに記述されても良い。

ベンダー製指示器２０又は携帯端末がインターネットに接続可能である場合、電子証明書６のファイル、デバイス認証ファイル７及び機器機能制限ファイル８の更新を、インターネット経由で行うようにしても良い。

上記の実施形態では、ベンダー製指示器２０、レーダ装置５０及び魚群探知機６０の何れにも、共通のライブラリ２がインストールされている。しかしながら、制御機器と被制御機器とで別々のライブラリが用いられても良い。

被制御機器としては、上記のレーダ装置５０及び魚群探知機６０のほか、例えばＥＣＤＩＳ（電子海図表示システム）、ＡＩＳ（船舶自動識別装置）、及びＧＮＳＳ受信機等の様々なデバイスを用いることができる。

上記の実施形態では、制御機器は、船舶機器メーカとは異なるベンダー（製造元）により製造される船舶用機器であるものとしたが、必ずしもこれに限るものではない。例えば制御機器を、被制御機器と共通の製造元である船舶機器メーカにより製造されるものとしてもよい。

１ 認証システム（制御機器の認証システム）
２ ライブラリ（プログラム）
３ ルート証明書
４ ルート証明書
６ 電子証明書
７ デバイス認証ファイル
８ 機器機能制限ファイル
１１ 認証局（レーダ認証局）
１２ 認証局（魚探認証局）
２０ ベンダー製指示器（制御機器）
５０ レーダ装置（被制御機器）
６０ 魚群探知機（被制御機器）

Claims (14)

1. 被制御機器と、
   自機の機器識別情報が条件を満たすか否かを確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する自機利用正当性検証部と、
   自機が機能を利用しようとする前記被制御機器が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認する接続対象機器／機能検証部と、
   を有する制御機器と、
   を備え、
   前記被制御機器は、
   信頼済の認証局のルート証明書を信頼済ルート証明書として記憶するルート証明書記憶部と、
   前記制御機器から電子証明書を受信する電子証明書受信部と、
   前記電子証明書受信部で受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを前記ルート証明書記憶部に記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認する署名検証部と、
   を有し、
   前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行し、
   前記制御機器は、
   前記発行申請の内容に含まれる前記機器識別情報を記憶するデバイス認証ファイル記憶部と、
   当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得する機器許可情報取得部と、
   自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認する前記自機利用正当性検証部と、
   を有することを特徴とする制御機器の認証システム。
2. 請求項１に記載の制御機器の認証システムであって、
   前記制御機器が記憶する前記機器制限情報を更新可能であることを特徴とする制御機器の認証システム。
3. 請求項１又は２に記載の制御機器の認証システムであって、
   前記機器制限情報には、前記被制御機器が有する機能、前記被制御機器の種類、又は前記被制御機器のモデルの観点で、前記制御機器が利用可能な被制御機器が記述されていることを特徴とする制御機器の認証システム。
4. 請求項１から３までの何れか一項に記載の制御機器の認証システムであって、
   前記制御機器の前記接続対象機器／機能検証部は、自機が利用しようとする前記被制御機器の機能の範囲が正当な範囲内であるか否かを、自機に記憶した機能制限情報に基づいて確認することを特徴とする制御機器の認証システム。
5. 請求項４に記載の制御機器の認証システムであって、
   前記制御機器が記憶する前記機能制限情報を更新可能であることを特徴とする制御機器の認証システム。
6. 請求項１から５までの何れか一項に記載の制御機器の認証システムであって、
   前記被制御機器は、前記署名検証部での検証結果に応じて前記制御機器が要求する機能を提供する機能提供部を有することを特徴とする制御機器の認証システム。
7. 請求項１から６までの何れか一項に記載の制御機器の認証システムであって、
   前記制御機器が記憶する前記電子証明書を更新可能であることを特徴とする制御機器の認証システム。
8. 請求項１から７までの何れか一項に記載の制御機器の認証システムであって、
   前記被制御機器の前記ルート証明書記憶部には、被制御機器が有する機能毎に、被制御機器の種類毎に、又は被制御機器のモデル毎に構築された複数の認証局のうち、当該被制御機器が条件を満たす認証局のルート証明書が前記信頼済ルート証明書として記憶されることを特徴とする制御機器の認証システム。
9. 請求項１から８までの何れか一項に記載の制御機器の認証システムであって、
   前記機器許可情報は、複数台の制御機器の機器識別情報を許容する条件を記述可能に構成されていることを特徴とする制御機器の認証システム。
10. 請求項１から９までの何れか一項に記載の制御機器の認証システムであって、
    前記機器識別情報にＭＡＣアドレスが含まれることを特徴とする制御機器の認証システム。
11. 請求項１から１０までの何れか一項に記載の制御機器の認証システムであって、
    前記機器識別情報にＵＵＩＤが含まれることを特徴とする制御機器の認証システム。
12. 請求項１から１１までの何れか一項に記載の制御機器の認証システムであって、
    前記制御機器及び前記被制御機器のうちの少なくとも何れかが船舶用機器であることを特徴とする制御機器の認証システム。
13. 制御機器が、自機の機器識別情報が条件を満たすか否かを確認することで、自機にインストールされたプログラムの利用に関する正当性を確認し、
    前記制御機器が、自機が機能を利用しようとする被制御機器が正当な範囲内であるか否かを、自機に記憶した機器制限情報に基づいて確認し、
    被制御機器が、信頼済の認証局のルート証明書を信頼済ルート証明書として記憶し、
    前記被制御機器が、前記制御機器から電子証明書を受信し、
    前記被制御機器が、受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを、記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認し、
    前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行し、
    前記制御機器は、前記発行申請の内容に含まれる前記機器識別情報を記憶し、
    前記制御機器は、当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得し、
    前記制御機器は、自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認することを特徴とする制御機器の認証方法。
14. 制御機器である自機の機器識別情報が条件を満たすか否かを確認することで、プログラムの利用に関する正当性を確認するステップと、
    自機に記憶した機器制限情報を確認することで、自機が機能を利用しようとする被制御機器が正当な範囲内であるか否かを確認するステップと、
    前記被制御機器に正当性を確認させるために、自機が記憶する電子証明書を当該被制御機器に送信するステップと、
    を含み、
    被制御機器が、信頼済の認証局のルート証明書を信頼済ルート証明書として記憶し、
    前記被制御機器が、前記制御機器から受信した電子証明書が、当該被制御機器が信頼済の認証局が署名したものであるか否かを、記憶した前記信頼済ルート証明書により検証することで、前記制御機器の正当性を確認し、
    前記認証局は、前記電子証明書の発行申請がネットワーク経由で行われ、当該発行申請が所定の要件を満たす場合には、申請者に対して前記電子証明書を自動的に発行し、
    前記制御機器は、前記発行申請の内容に含まれる前記機器識別情報を記憶し、
    前記制御機器は、当該発行申請が所定の要件を満たす場合に前記申請者が取得する、機器識別情報の条件が暗号化された機器許可情報を取得し、
    前記制御機器は、自機の機器識別情報が条件を満たすか否かを、自機が記憶する前記機器許可情報に基づいて確認することで、自機にインストールされたプログラムの利用に関する正当性を確認することを特徴とする制御機器のプログラム。

Images