JP7170212B2

JP7170212B2 - 通信装置、通信方法およびコンピュータプログラム

Info

Publication number: JP7170212B2
Application number: JP2019018116A
Authority: JP
Inventors: 洋一増田; 智樹高添
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2019-02-04
Filing date: 2019-02-04
Publication date: 2022-11-14
Anticipated expiration: 2039-02-04
Also published as: US11290442B2; US20200252390A1; JP2020126428A

Description

本開示は通信技術に関し、特に通信装置、通信方法およびコンピュータプログラムに関する。

近年、家庭で使用されるエネルギーを管理するＨＥＭＳ（Home Energy Management System）の普及が見込まれている。ＨＥＭＳを管理するＨＥＭＳコントローラは、ＨＥＭＳへの登録を要求する機器を認証し、機器の認証が成功した場合、その機器をＨＥＭＳに受け入れることを許可する（例えば特許文献１参照）。また、所定の条件が成立するまでは、１台の機器との接続設定が終了しても、接続受付不可状態へ遷移することなく、新たな接続受付を開始するＨＥＭＳも提案されている（例えば特許文献２参照）。

特開２０１４－１０７６３７号公報国際公開第２０１７／２０８２９７号

複数の機器から登録要求を連続して受け付ける場合に、信頼度が高い機器と信頼度が低い機器とを同列に扱って両方の機器を連続して登録することは、セキュリティ上好ましくない。

本開示はこうした状況に鑑みてなされたものであり、１つの目的は、複数の機器から連続して登録要求を受け付ける場合のセキュリティの低下を抑制することにある。

上記課題を解決するために、本発明のある態様の通信装置は、所定のシステムを管理する通信装置であって、システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける受付部と、複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとにシステムへの登録を許可するか否かを決定する認証部と、を備える。

本発明の別の態様は、通信方法である。この方法は、所定のシステムを管理する通信装置が、システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付けるステップと、複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとにシステムへの登録を許可するか否かを決定するステップと、を実行する。

なお、以上の構成要素の任意の組合せ、本開示の表現を、システム、コンピュータプログラム、コンピュータプログラムを記録した記録媒体などの間で変換したものもまた、本開示の態様として有効である。

本開示によれば、複数の機器から連続して登録要求を受け付ける場合のセキュリティの低下を抑制することができる。

第１実施例の通信システムの構成を示す図である。第１実施例のＨＥＭＳコントローラの機能ブロックを示すブロック図である。電子証明書の例を示す図である。第１実施例の通信システムの動作を示すフローチャートである。第１実施例の通信システムの動作を示すフローチャートである。第２実施例のＨＥＭＳコントローラの機能ブロックを示すブロック図である。第２実施例の通信システムの動作を示すフローチャートである。

本開示における装置または方法の主体は、コンピュータを備えている。このコンピュータがプログラムを実行することによって、本開示における装置または方法の主体の機能が実現される。コンピュータは、プログラムにしたがって動作するプロセッサを主なハードウェア構成として備える。プロセッサは、プログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（IC）、またはＬＳＩ（large scale integration）を含む１つまたは複数の電子回路で構成される。ここではＩＣやＬＳＩと呼んでいるが、集積の度合いによって呼び方が変わり、システムＬＳＩ、ＶＬＳＩ（very large scale integration）もしくはＵＳＬＩ（ultra large scale integration）と呼ばれるものであってもよい。ＬＳＩの製造後にプログラムされる、フィールド・プログラマブル・ゲート・アレイ（FPGA）、又はＬＳＩ内部の接合関係の再構成又はＬＳＩ内部の回路区画のセットアップができる再構成可能な論理デバイスも同じ目的で使うことができる。複数の電子回路は、１つのチップに集積されてもよいし、複数のチップに設けられてもよい。複数のチップは１つの装置に集約されていてもよいし、複数の装置に備えられていてもよい。プログラムは、コンピュータが読み取り可能なＲＯＭ、光ディスク、ハードディスクドライブなどの非一時的記録媒体に記録される。プログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。

（第１実施例）
図１は、第１実施例の通信システム１０の構成を示す。通信システム１０は、ユーザの住宅内に構築されたホームネットワーク１２を備える。ホームネットワーク１２は、有線通信と無線通信の一方または組合せであってもよく、例えばＷｉＦｉ（登録商標）を含んでもよい。ＨＥＭＳコントローラ１４は、ユーザの住宅内のＨＥＭＳを管理する通信装置（言い換えれば情報処理装置）である。図１には不図示だが、ＨＥＭＳコントローラ１４は、インターネット等を介して住宅外部に設けられた装置（種々の情報を提供するサーバ等）とも接続される。

ＨＥＭＳに登録される（言い換えればＨＥＭＳに参加する）機器は、電気設備、家電機器、情報機器、センサーを含む。例えば、照明、給湯器、蓄電池、エアコン、スマートメータ等を含む。住宅内の各機器が、ホームネットワーク１２を介してＨＥＭＳコントローラ１４に接続され、ＨＥＭＳネットワークが形成される。ＨＥＭＳネットワークでは、ＨＥＭＳコントローラ１４と機器との間で、認証時に共有された通信鍵を使用してセキュアな通信が実行される。

ＨＥＭＳでは、例えば、電気やガスなどの使用量がユーザのスマートフォンの画面等において見える化され、また、家電機器の自動制御や遠隔制御が実現される。図１の機器１６および機器１８は、後述するようにＨＥＭＳへの登録（言い換えれば参加）を要求する機器であり、例えばエアコンやスマートフォン等である。

実施例のＨＥＭＳコントローラ１４は、機器をＨＥＭＳに登録する際の動作モードとして、複数の機器を連続して登録可能な連続登録モードを備える。連続登録モードでは、開始から一定期間、複数の機器を順次認証する。

ここで、ＨＥＭＳの柔軟な運用を実現するため、ＨＥＭＳへの登録を要求する機器の電子証明書として、認証局等の第三者機関により発行された電子証明書に限らず、機器のメーカや機器自身により発行された電子証明書が用いられることが想定される。この場合に、連続登録モードにおいて、信頼度が高い機器と、信頼度が低い機器とを同列に扱ってＨＥＭＳへ連続登録することはセキュリティ上好ましくない。そこで、実施例のＨＥＭＳコントローラ１４は、各機器の電子証明書が示す属性をもとに、機器ごとにＨＥＭＳへの登録を許可するか否かを決定する。

図２は、第１実施例のＨＥＭＳコントローラ１４の機能ブロックを示すブロック図である。本開示のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

ＨＥＭＳコントローラ１４は、制御部２０、記憶部２２、通信部２４を備える。制御部２０は、ＨＥＭＳのグループマネージャとしての各種データ処理を実行する。記憶部２２は、制御部２０により参照または更新されるデータを記憶する。通信部２４は、所定の通信プロトコルにしたがって外部装置と通信する。例えば、制御部２０は、通信部２４を介して、機器１６および機器１８とデータを送受信する。

記憶部２２は、署名者情報記憶部２６を含む。署名者情報記憶部２６は、電子証明書（公開鍵証明書とも呼ばれる。）の属性の１つである署名者の信頼度に関する情報を記憶する。署名者は、電子署名を行った主体（認証局、メーカー、機器等）であり、電子証明書の発行者とも言える。実施例では、署名者情報記憶部２６は、信頼度が高いことが認められた１つまたは複数の署名者を示すリストであり、言い換えれば、ＨＥＭＳへの登録（言い換えれば参加）が許可される１つまたは複数の署名者を示すリスト（言わばホワイトリスト）を記憶する。

制御部２０は、操作検出部３０、受付部３２、認証部３４、鍵交換部３６を含む。これら複数の機能ブロックの機能が実装されたコンピュータプログラム（例えばグループマネージャプログラム）が、記録媒体に格納され、その記録媒体を介してＨＥＭＳコントローラ１４の記憶部２２にインストールされてもよい。または、上記のコンピュータプログラムが、通信網を介して記憶部２２にインストールされてもよい。ＨＥＭＳコントローラ１４のＣＰＵは、上記のコンピュータプログラムをメインメモリに読み出して実行することにより、各機能ブロックの機能を発揮してもよい。

操作検出部３０は、ＨＥＭＳコントローラ１４に設けられた操作部（ボタン等）に対して入力されたユーザの操作を検出する。操作検出部３０は、ユーザのスマートフォン等から通信により入力されたユーザの操作（すなわち遠隔操作）を検出してもよい。

受付部３２は、動作モードが連続登録モードである場合に、ＨＥＭＳへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける。図３は、電子証明書の例を示す。電子証明書５０は、属性情報５２と電子署名５４を含む。属性情報５２は、電子証明書が付与された機器または電子証明書そのものに関する種々の属性を示す。属性情報５２は、機器のメーカ名、機種名、公開鍵、署名者（言い換えれば電子証明書５０の発行者）を示すデータを含む。電子署名５４は、署名者の秘密鍵によるデジタル署名のデータである。

図２に戻り、認証部３４は、複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとにＨＥＭＳへの登録を許可するか否かを決定する。実施例では、認証部３４は、機器の電子証明書が示す署名者の信頼度に応じて、ＨＥＭＳへの登録を許可するか否かを決定する。変形例として、認証部３４は、署名者とは異なる属性（例えばメーカ名や機種名等）をもとに、または、上記異なる属性と署名者との組合せをもとに、ＨＥＭＳへの登録を許可するか否かを決定してもよい。

また、認証部３４は、予め定められた期間内であれば、第１の機器の電子証明書が示す属性をもとに第１の機器をＨＥＭＳへ登録することを許可した場合と、第１の機器をＨＥＭＳへ登録することを拒否した場合のいずれにおいても連続登録モードを継続する。すなわち、第１の機器の登録を許可し、または拒否した後、第１の機器とは異なる第２の機器の電子証明書が示す属性をもとに第２の機器をＨＥＭＳへ登録するか否かを決定する。

また、認証部３４は、連続登録モードにおいて、複数の機器それぞれの電子証明書が示す署名者の信頼度に応じて、機器ごとに前記システムへの登録を許可するか否かを決定する。実施例では、認証部３４は、機器の電子証明書が示す署名者が、署名者情報記憶部２６に記憶された署名者のリストに含まれる場合、当該署名者の信頼度（言い換えれば電子証明書の信頼度）が高いと判定し、当該機器をＨＥＭＳに登録することを許可する。一方、認証部３４は、機器の電子証明書が示す署名者が、署名者情報記憶部２６に記憶された署名者のリストに含まれない場合、当該署名者の信頼度（言い換えれば電子証明書の信頼度）が低いと判定し、当該機器をＨＥＭＳに登録することを拒否する。

鍵交換部３６は、認証部３４によりＨＥＭＳへの登録が許可された機器との間で、同じ通信鍵（セッション鍵とも言える。）を共有するための処理を実行する。例えば、認証部３４および鍵交換部３６は、公知のＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）、ＥＣＤＨ（Elliptic Curve Diffie?Hellman key exchange）等の暗号アルゴリズムを用いて、相互認証と鍵共有を行ってもよい。または、鍵交換部３６は、特定の機器との通信用の通信鍵を生成し、その通信鍵を特定の機器の公開鍵により暗号化して、その暗号化データを特定の機器へ送信してもよい。特定の機器は、自機器の秘密鍵を用いて暗号化データを復号することで通信鍵を取得してもよい。

以上の構成による通信システム１０の動作を説明する。
図４は、第１実施例の通信システム１０の動作を示すフローチャートである。同図に示すグループマネージャ１５の動作は、実施例では、ＨＥＭＳコントローラ１４にインストールされたグループマネージャプログラムが実行されることにより実現される。したがって、グループマネージャ１５の動作は、ＨＥＭＳコントローラ１４の動作とも言える。また、同図に示すグループマネージャ１５の動作は、連続登録モードにおける動作を示している。

ユーザは、グループマネージャ１５（ＨＥＭＳコントローラ１４）に対して、連続登録モードでの認証開始のトリガとなる操作（所定のボタンの押下等）を入力する。グループマネージャ１５（ＨＥＭＳコントローラ１４）の操作検出部３０は、上記のユーザ操作を検出する（Ｓ１０）。グループマネージャ１５の受付部３２は、上記ユーザ操作が入力されると、ノードの発見を要求する信号（以下「発見要求信号」とも呼ぶ。）の受け付け待ちの状態となる。

ユーザは、第１の部屋に設置された機器１６（例えばエアコン）に対して、認証開始のトリガとなる操作（所定のボタンの押下等）を入力する。機器１６は、上記のユーザ操作を検出する（Ｓ１２）。機器１６は、発見要求信号をグループマネージャ１５へ送信する（Ｓ１４）。グループマネージャ１５の受付部３２は、発見要求信号を受け付けると、ノードを発見したことを応答する信号（以下「発見応答信号」とも呼ぶ。）を機器１６へ送信する（Ｓ１６）。

機器１６は、発見応答信号を受信すると、予め記憶された自機の電子証明書をグループマネージャ１５へ送信する（Ｓ１８）。グループマネージャ１５の受付部３２は、機器１６から送信された電子証明書を受け付け、また、予め記憶された自機（ＨＥＭＳコントローラ１４）の電子証明書を機器１６へ送信する（Ｓ２０）。グループマネージャ１５と機器１６は、他方から送信された電子証明書を検証することにより相互認証を実行する。実施例では、グループマネージャ１５の認証部３４は、機器１６の電子証明書が示す署名者が、署名者情報記憶部２６に記憶された信頼度が高い署名者のリストに含まれるか否かを確認することにより、機器１６の信頼度を判定する（Ｓ２２）。

ここでは、機器１６の信頼度が高いと判定され、すなわち、機器１６をＨＥＭＳへ登録することが許可されたこととする。グループマネージャ１５と機器１６は、公知の方法にて通信鍵を共有する（Ｓ２４、Ｓ２６）。これにより、ＨＥＭＳコントローラ１４と機器１６とのセキュアな通信が可能になり、すなわち機器１６は、ＨＥＭＳネットワークに参加する。グループマネージャ１５は、発見要求信号の受け付け待ちの状態に戻る。

次に、ユーザは、第１の部屋から第２の部屋に移動し、第２の部屋に設置された機器１８（例えば冷蔵庫）に対して、認証開始のトリガとなる操作（所定のボタンの押下等）を入力する。機器１６は、上記のユーザ操作を検出し（Ｓ２８）、発見要求信号をグループマネージャ１５へ送信する（Ｓ３０）。グループマネージャ１５の受付部３２は、発見応答信号を機器１８へ送信する（Ｓ３２）。

機器１８は、発見応答信号を受信すると、予め記憶された自機の電子証明書をグループマネージャ１５へ送信する（Ｓ３４）。グループマネージャ１５の受付部３２は、機器１８から送信された電子証明書を受け付け、また、予め記憶された自機の電子証明書を機器１８へ送信する（Ｓ３６）。グループマネージャ１５と機器１８は、他方から送信された電子証明書を検証することにより相互認証を実行する。グループマネージャ１５の認証部３４は、機器１８の電子証明書が示す署名者が、署名者情報記憶部２６に記憶された信頼度が高い署名者のリストに含まれるか否かを確認することにより、機器１８の信頼度を判定する（Ｓ３８）。

ここでは、機器１８の信頼度が高いと判定され、すなわち、機器１８をＨＥＭＳへ登録することが許可されたこととする。グループマネージャ１５と機器１８は、公知の方法にて通信鍵を共有する（Ｓ４０、Ｓ４２）。これにより、ＨＥＭＳコントローラ１４と機器１８とのセキュアな通信が可能になり、すなわち機器１８は、ＨＥＭＳネットワークに参加する。グループマネージャ１５は、発見要求信号の受け付け待ちの状態に戻る。

このように、グループマネージャ１５は、連続登録モードの場合、予め定められた期間中であれば、複数の機器（機器１６、機器１８等）を連続してＨＥＭＳに登録することが可能である。ユーザ（例えば住宅の施工業者や住人）は、住宅の各部屋を回りながら各部屋に設置された機器のそれぞれに認証開始トリガを入力していくことで、複数の機器を一括してＨＥＭＳに登録することができる。

図５も、第１実施例の通信システム１０の動作を示すフローチャートである。図５のＳ５０～Ｓ６２の処理は、図４のＳ１０～Ｓ２２の処理と同じであるため説明を省略する。ここでは、機器１６の電子証明書の署名者は、署名者情報記憶部２６に記憶された信頼度が高い署名者のリストに含まれないこととする。グループマネージャ１５の認証部３４は、機器１６の信頼度が低いと判定し、機器１６をＨＥＭＳへ登録することを拒否する（Ｓ６４）。この場合、鍵交換部３６による通信鍵の共有処理はスキップされる。

グループマネージャ１５は、機器１６をＨＥＭＳへ登録することを拒否した場合でも、連続登録モードを継続し、発見要求信号の受け付け待ちの状態に戻る。図５のＳ６６～Ｓ８０の処理は、図４のＳ２８～Ｓ４２の処理と同じであるため説明を省略する。すなわち、１回の連続登録モードの中で、機器１６がＨＥＭＳへ登録されるか否かに関わらず、機器１８の信頼度が高く判定されれば、機器１８はＨＥＭＳへ登録される。

第１実施例のＨＥＭＳコントローラ１４（グループマネージャ１５）によると、連続登録モードにおいて、信頼度が異なる複数の機器から登録要求を受け付けた場合でも、安全かつ連続して登録可能な認証システムを実現することができる。例えば１回の連続登録モードの中で、信頼度が低い自己発行の自己署名証明書を使用する機器をＨＥＭＳから排除しつつ、信頼度が高い認証局発行の証明書を使用する機器をＨＥＭＳに登録することができる。

（第２実施例）
第２実施例の通信システム１０の構成は、第１実施例と同様である。以下、第１実施例と異なる点を主に説明し、第１実施例に置いて説明済みの内容は再度の説明を適宜省略する。

図６は、第２実施例のＨＥＭＳコントローラ１４の機能ブロックを示すブロック図である。第２実施例のＨＥＭＳコントローラ１４は、第１実施例の機能ブロックに加えて、表示部２８と確認部３８をさらに備える。

表示部２８は、例えば、ＨＥＭＳコントローラ１４の筐体に設けられた液晶ディスプレイである。表示部２８は、表示機能および操作機能を有するタッチパネル式画面であってもよい。確認部３８は、或る機器の電子証明書が示す属性の信頼度が低いと認証部３４により判断された場合、表示部２８を介して、その機器の登録を許可するか否かをユーザに確認する。

図７は、第２実施例の通信システム１０の動作を示すフローチャートである。同図に示す動作は、図５に示す動作に対応し、機器１６の信頼度が低く、機器１８の信頼度が高い場合の動作を示している。図７のＳ９０～Ｓ１０２の処理は、図４のＳ１０～Ｓ２２の処理と同じであるため説明を省略する。

グループマネージャ１５の確認部３８は、認証部３４により機器１６の信頼度が低いと判定されると、機器１６の登録可否をユーザに確認するための確認画面のデータを生成し、確認画面を表示部２８に表示させる（Ｓ１０４）。確認画面は、（１）「信頼度の低い機器と接続しようとしています。接続してもよいですか？」等のメッセージを含み、また、接続（ＨＥＭＳへの登録）の承認を示す操作、または拒否を示す操作の入力を促す内容を含んでもよい。

また、確認画面は、（２）信頼度の低い機器（言い換えれば確認対象機器）の情報として、当該機器の電子証明書に関する属性情報（図３に示す属性情報５２であり、例えば機器のシリアル番号や型番、署名者等）を含んでもよい。また、確認部３８は、信頼度の低い機器の電子証明書等の情報に基づいて、外部のサーバ（当該機器のメーカのウェブサイト等）から当該機器の詳細情報やメーカの情報等を取得してもよい。この場合、確認画面は、（３）信頼度の低い機器の情報として、外部のサーバから取得された当該機器の詳細情報やメーカの情報を含んでもよい。

グループマネージャ１５の操作検出部３０は、確認画面に対して入力されたユーザ操作であり、ＨＥＭＳへの機器１６の登録を承認または拒否することを示すユーザ操作を受け付ける。図７の例では、承認を示すユーザ操作を受け付ける（Ｓ１０６）。この場合、グループマネージャ１５の認証部３４は、ＨＥＭＳへの機器１６の登録を許可し、グループマネージャ１５（鍵交換部３６）と機器１６は、通信鍵を共有する（Ｓ１０８、Ｓ１１０）。一方、拒否を示すユーザ操作が受け付けられた場合、グループマネージャ１５の認証部３４は、機器１６をＨＥＭＳへ登録することを拒否する。この場合、鍵交換部３６による通信鍵の共有処理はスキップされる。

図７のＳ１１２～Ｓ１２６の処理は、図４のＳ２８～Ｓ４２の処理と同じであるため説明を省略する。すなわち、１回の連続登録モードの中で、機器１６がＨＥＭＳへ登録されるか否かに関わらず、機器１８の信頼度が高く判定されれば、機器１８はＨＥＭＳへ登録される。

第２実施例のＨＥＭＳコントローラ１４（グループマネージャ１５）によると、連続登録モードにおいて、信頼度が異なる複数の機器から登録要求を受け付けた場合でも、安全かつ連続して登録可能な認証システムを実現することができる。また、第２実施例のＨＥＭＳコントローラ１４では、電子証明書をもとに信頼度が低いと判定された機器であってもユーザが承認すればＨＥＭＳに登録されるため、ＨＥＭＳの一層柔軟な運用を実現できる。

以上、本開示を第１実施例と第２実施例をもとに説明した。これらの実施例は例示であり、各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

第１変形例を説明する。ＨＥＭＳコントローラ１４の認証部３４は、或る機器の電子証明書が示す属性をもとに当該機器をＨＥＭＳへ登録することを拒否した場合、連続登録モードを終了してもよい。例えば、認証部３４は、図５のＳ６４に示すように機器１６の登録を拒否した場合、Ｓ５０の認証開始トリガを契機に開始した連続登録モードを終了させてもよい。この場合、受付部３２は、機器１８からの発見要求信号の受け付けを拒否してもよく、発見応答信号の送信を抑制してもよい。この変形例によると、信頼度が低い機器が存在する場合に連続登録モードを終了させることで、信頼度が低い機器をユーザに認知させやすくなり、また、ＨＥＭＳのセキュリティを一層高めることができる。

第２変形例を説明する。上記の実施例では言及していないが、ＨＥＭＳコントローラ１４（グループマネージャ１５）は、ＨＥＭＳへの機器の登録をおこなう動作モードとして、連続登録モードに加えて個別登録モードを備えてもよい。個別登録モードは、一台の機器のみをＨＥＭＳへ登録可能な動作モードである。ＨＥＭＳコントローラ１４の確認部３８は、認証部３４により機器（ここでは「対象機器」と呼ぶ。）の信頼度が低いと判定されると、個別登録モードにおいて対象機器の登録を試行するよう促す内容を含む確認画面を表示させてもよい。

個別登録モードにおいて対象機器の登録を試行することをユーザが承認した旨の操作が入力された場合、認証部３４は、連続登録モードを終了させてもよい。以降、ユーザは、ＨＥＭＳコントローラ１４を個別登録モードで動作させ、対象機器の登録を試行する。または、個別登録モードにおいて対象機器の登録を試行することをユーザが承認した旨の操作が入力された場合、認証部３４は、通信鍵の共有処理をスキップして、対象機器の登録処理を終了する一方、連続登録モードを継続してもよい。この場合、ユーザは、別の機器の登録を行うことができる。

第３変形例を説明する。上記の実施例では言及していないが、ＨＥＭＳコントローラ１４（グループマネージャ１５）は、ＨＥＭＳに登録された機器の状態を参照および変更する機器制御部をさらに備えてもよい。機器の状態を参照する機能は、機器の設定や動作状態を機器から取得し、ユーザ（ユーザのスマートフォン等）に通知する機能を含む。また、機器の状態を変更する機能は、ユーザ（ユーザのスマートフォン等）から入力された操作に応じて、機器の設定や動作状態を変更する機能（例えばエアコンや照明をオンに切り替える機能等）を含む。

認証部３４により機器（ここでは「対象機器」と呼ぶ。）の信頼度が低いと判定され、かつ、ユーザが確認画面にて対象機器の登録を承認した場合、認証部３４は、対象機器について機能制限を設けてもよい。言い換えれば、認証部３４は、機能制限付きで対象機器をＨＥＭＳに登録してもよい。この場合、機器制御部は、対象機器の状態を参照することを許可するが、対象機器の状態を変更することを拒否してもよい。例えば、機器制御部は、ユーザから対象機器の状態を変更することを指示する操作が入力された場合、対象機器の信頼度が低いため機能制限中であること、すなわち、対象機器の状態を変更できないことをユーザに通知してもよい。なお、ＨＥＭＳコントローラ１４（例えば認証部３４や機器制御部）は、機能制限付きで対象機器をＨＥＭＳに登録した場合、対象機器がＨＥＭＳコントローラ１４の状態を参照することと、変更することの一方または両方を拒否してもよい。

第３変形例によると、ＨＥＭＳにおける信頼度が低い機器の機能を制限することにより、ＨＥＭＳの安全性を一層高めることができる。また、信頼度が低い機器であっても、安全性が損なわれる可能性が低い情報参照を許可することにより、ユーザの利便性の低下も抑制できる。なお、第３変形例において、確認部３８は、信頼度が低いと判定された対象機器について、（１）機能無制限の登録（すなわち通常の登録）を許可する、（２）機能制限付きの登録を許可する、（３）登録を拒否する、のうちいずれかをユーザに選択させる選択画面を表示させてもよい。

第４変形例を説明する。上記の実施例では言及していないが、ＨＥＭＳコントローラ１４は、各家庭のＨＥＭＳを管理するサーバから送信された、信頼度が高いことが認められた１つまたは複数の署名者を示すリストを受け付けて署名者情報記憶部２６に格納する署名者情報更新部をさらに備えてもよい。また、署名者情報更新部は、サーバから提供されたリスト更新情報に応じて、署名者情報記憶部２６に記憶された、信頼度が高いことが認められた１つまたは複数の署名者を示すリストを最新の状態に更新してもよい。この変形例によると、信頼度が高いことが認められた署名者に関する最新情報をもとに、機器の登録可否を判断することができる。

上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
所定のシステムを管理する通信装置（１４）であって、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける受付部（３２）と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する認証部（３４）と、
を備える通信装置（１４）。
［項目２］
前記認証部（３４）は、第１の機器の電子証明書が示す属性をもとに前記第１の機器を前記システムへ登録することを拒否した場合、前記連続登録モードを継続し、前記第１の機器とは異なる第２の機器の電子証明書が示す属性をもとに前記第２の機器を前記システムへ登録するか否かを決定する、
項目１に記載の通信装置（１４）。
［項目３］
前記認証部（３４）は、或る機器の電子証明書が示す属性をもとに当該機器を前記システムへ登録することを拒否した場合、前記連続登録モードを終了する、
項目１に記載の通信装置（１４）。
［項目４］
前記認証部（３４）は、各機器の電子証明書が示す署名者の信頼度に応じて、機器ごとに前記システムへの登録を許可するか否かを決定する、
項目１から３のいずれかに記載の通信装置（１４）。
［項目５］
或る機器の電子証明書が示す属性の信頼度が低いと前記認証部（３４）により判断された場合、その機器の登録を許可するか否かをユーザに確認する確認部（３８）をさらに備える、
項目１から４のいずれかに記載の通信装置（１４）。
［項目６］
所定のシステムを管理する通信装置（１４）が、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付けるステップと、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定するステップと、
を実行する通信方法。
［項目７］
所定のシステムを管理する通信装置（１４）に、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける機能と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する機能と、
を実現させるためのコンピュータプログラム。

１０通信システム、１４ＨＥＭＳコントローラ、２６署名者情報記憶部、３０操作検出部、３２受付部、３４認証部、３６鍵交換部、３８確認部。

Claims

所定のシステムを管理する通信装置であって、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける受付部と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する認証部と、
を備え、
前記認証部は、各機器の電子証明書が示す署名者の信頼度に応じて、機器ごとに前記システムへの登録を許可するか否かを決定する、
通信装置。
所定のシステムを管理する通信装置であって、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける受付部と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する認証部と、
或る機器の電子証明書が示す属性の信頼度が低いと前記認証部により判断された場合、その機器の登録を許可するか否かをユーザに確認する確認部と、
を備える通信装置。
前記認証部は、第１の機器の電子証明書が示す属性をもとに前記第１の機器を前記システムへ登録することを拒否した場合、前記連続登録モードを継続し、前記第１の機器とは異なる第２の機器の電子証明書が示す属性をもとに前記第２の機器を前記システムへ登録するか否かを決定する、
請求項１または２に記載の通信装置。
前記認証部は、或る機器の電子証明書が示す属性をもとに当該機器を前記システムへ登録することを拒否した場合、前記連続登録モードを終了する、
請求項１または２に記載の通信装置。
所定のシステムを管理する通信装置が、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付けるステップと、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定するステップと、
を実行し、
前記決定するステップは、各機器の電子証明書が示す署名者の信頼度に応じて、機器ごとに前記システムへの登録を許可するか否かを決定する、
通信方法。
所定のシステムを管理する通信装置が、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付けるステップと、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定するステップと、
或る機器の電子証明書が示す属性の信頼度が低いと前記決定するステップで判断された場合、その機器の登録を許可するか否かをユーザに確認するステップと、
を実行する通信方法。
所定のシステムを管理する通信装置に、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける機能と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する機能と、
を実現させ、
前記決定する機能は、各機器の電子証明書が示す署名者の信頼度に応じて、機器ごとに前記システムへの登録を許可するか否かを決定する、
コンピュータプログラム。
所定のシステムを管理する通信装置に、
前記システムに対して複数の機器を連続して登録可能な連続登録モードにおいて、前記システムへの登録を要求する複数の機器のそれぞれから、当該機器の電子証明書を受け付ける機能と、
前記複数の機器それぞれの電子証明書が示す属性をもとに、機器ごとに前記システムへの登録を許可するか否かを決定する機能と、
或る機器の電子証明書が示す属性の信頼度が低いと前記決定する機能により判断された場合、その機器の登録を許可するか否かをユーザに確認する機能と、
を実現させるためのコンピュータプログラム。