JP2023056205A

JP2023056205A - 情報処理システム、設置装置及びプログラム

Info

Publication number: JP2023056205A
Application number: JP2021165400A
Authority: JP
Inventors: 俊夫伊藤; Toshio Ito
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2021-10-07
Filing date: 2021-10-07
Publication date: 2023-04-19
Also published as: US12231422B2; US20230116684A1

Abstract

【課題】デバイスの数が増えても、初期登録作業を効率よく安全に実施できるようにする。
【解決手段】実施形態の情報処理システムは、設置装置と、ＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）デバイスとを備える。前記設置装置は、検出部と決定部と第１の通信部とを備える。検出部は、第１のＣＰＳサーバ装置が接続されている第１のネットワークの通信状態を検出する。決定部は、前記通信状態に基づいて、前記第１のＣＰＳサーバ装置又は第２のＣＰＳサーバ装置を、初期登録先に決定する。第１の通信部は、前記初期登録先を示す通知を、前記ＣＰＳデバイスに送信する。前記ＣＰＳデバイスは、記憶制御部と登録処理部とを備える。記憶制御部は、前記設置装置から前記通知を受信すると、前記通知に含まれる前記初期登録先を記憶部に記憶する。登録処理部は、前記初期登録先に接続し、前記ＣＰＳデバイスの初期登録を行う。
【選択図】図１

Description

本発明の実施形態は情報処理システム、設置装置及びプログラムに関する。

センサーなどのＣＰＳデバイスと、データセンターなどに構築されたＣＰＳサーバと、が連携するＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）によって様々なサービスが実現されるようになっている。ＣＰＳを安全に運用するために、サーバとデバイスとが相互に認証したうえで通信が行われる。そのためには、接続を許可するデバイスをサーバに登録する初期登録作業が必要である。

特開２０１５－１０９６７４号公報

ＦＩＤＯＤｅｖｉｃｅＯｎｂｏａｒｄＳｐｅｃｉｆｉｃａｔｉｏｎ、［ｏｎｌｉｎｅ］、［令和３年９月１７日検索］、インターネット〈ＵＲＬ：ｈｔｔｐｓ：／／ｆｉｄｏａｌｌｉａｎｃｅ．ｏｒｇ／ｓｐｅｃｓ／ＦＤＯ／ｆｉｄｏ－ｄｅｖｉｃｅ－ｏｎｂｏａｒｄ－ｖ１．０－ｐｓ－２０２１０３２３／〉

しかしながら、従来の技術では、デバイスの数が増えるほど、初期登録作業を効率よく安全に実施することが難しかった。

実施形態の情報処理システムは、設置装置と、ＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）デバイスとを備える。前記設置装置は、検出部と決定部と第１の通信部とを備える。検出部は、第１のＣＰＳサーバ装置が接続されている第１のネットワークの通信状態を検出する。決定部は、前記通信状態に基づいて、前記第１のＣＰＳサーバ装置又は第２のＣＰＳサーバ装置を、初期登録先に決定する。第１の通信部は、前記初期登録先を示す通知を、前記ＣＰＳデバイスに送信する。前記ＣＰＳデバイスは、記憶制御部と登録処理部とを備える。記憶制御部は、前記設置装置から前記通知を受信すると、前記通知に含まれる前記初期登録先を記憶部に記憶する。登録処理部は、前記初期登録先に接続し、前記ＣＰＳデバイスの初期登録を行う。

第１実施形態の情報処理システムの装置構成の例を示す図。第１実施形態のＣＰＳデバイスの機能構成の例を示す図。第１実施形態のリモートＣＰＳサーバ装置の機能構成の例を示す図。第１実施形態のローカルＣＰＳサーバ装置の機能構成の例を示す図。第１実施形態の設置装置の機能構成の例を示す図。第１実施形態のデバイス初期化装置の機能構成の例を示す図。第１実施形態の設置装置管理サーバ装置の機能構成の例を示す図。第１実施形態の所有証明書管理サーバ装置の機能構成の例を示す図。第１実施形態の初期登録処理の例（正常時）を示すシーケンス図。第１実施形態の正常時から異常時に移行する処理の例を示すシーケンス図。第１実施形態の初期登録処理の例（異常時）を示すシーケンス図。第１実施形態の異常時から正常時に移行する処理の例を示すシーケンス図。第２実施形態の情報処理システムの装置構成の例を示す図。第２実施形態の設置装置の機能構成の例を示す図。第２実施形態の販売装置の機能構成の例を示す図。第２実施形態の販売装置管理サーバ装置の機能構成の例を示す図。第２実施形態の初期登録処理の例（正常時）を示すシーケンス図。第２実施形態の初期登録処理の例（異常時）を示すシーケンス図。第１及び第２実施形態の各装置のハードウェア構成の例を示す図。

以下に添付図面を参照して、情報処理システム、設置装置８０及びプログラムの実施形態を詳細に説明する。

ＣＰＳの耐障害性を高めるために、サーバが異なる場所に複数存在する構成が考えられる。例えば、インターネット上とＬＡＮ上とにそれぞれサーバが設置される。平常時はインターネット上のサーバでデバイスを管理する。災害などでインターネットとの接続が断たれた異常時は、ＬＡＮ上のサーバでデバイスを管理する。これにより、異常時でもサービスを継続できる。

デバイスの初期登録作業を自動化する技術として、ＦＩＤＯＤｅｖｉｃｅＯｎｂｏａｒｄという規格が知られている（非特許文献１）。本規格では、ランデブーサーバというサーバが仲介者となる。ＣＰＳデバイスには予めランデブーサーバのアドレスが書き込まれて出荷される。ＣＰＳサーバは、自身がそのデバイスの所有者であることをランデブーサーバに登録する。ＣＰＳデバイスは起動するとランデブーサーバに接続し、自身が接続すべきＣＰＳサーバのアドレスをランデブーサーバから取得する。その後、ＣＰＳデバイスは自らＣＰＳサーバに接続して初期登録作業を行う。しかしこの方式では、ランデブーサーバがインターネット上にある場合、異常時にはデバイスはランデブーサーバに接続できない。ランデブーサーバがＬＡＮ上にある場合、そのアドレスやホスト名はサーバ設置先のＬＡＮによって異なることが一般的であるため、予めＣＰＳデバイスに書き込んでおくことができない。

（第１実施形態）
はじめに、第１実施形態の情報処理システム２００の装置構成の例について説明する。

［装置構成の例］
図１は第１実施形態の情報処理システム２００の装置構成の例を示す図である。

第１実施形態では、デバイス販売者がＣＰＳデバイス１０をデバイス購入者に販売する場合について説明する。

デバイス購入者は購入したＣＰＳデバイス１０を、自身の管理するリモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０に初期登録する。初期登録が完了した後は、ＣＰＳデバイス１０と、リモートＣＰＳサーバ装置６０又はローカルＣＰＳサーバ装置５０が相互に通信し、システムとして期待される機能を果たす。

図１の情報処理システム２００は、デバイス販売者が所有（管理）する装置と、デバイス購入者が所有する装置とを含む。

第１実施形態の情報処理システム２００は、ＣＰＳデバイス１０、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）２０、ゲートウェイ３０、リモートＣＰＳサーバ装置４０、ローカルＣＰＳサーバ装置５０、リモートＲＶ（Ｒｅｎｄｅｚｖｏｕｓ）サーバ装置６０、ローカルＲＶサーバ装置７０、設置装置８０、デバイス初期化装置９０、設置装置管理サーバ装置１００、所有証明書管理サーバ装置１１０及びインターネット１２０を備える。

ＣＰＳデバイス１０、ゲートウェイ３０、ローカルＣＰＳサーバ装置５０、ローカルＲＶサーバ装置７０（第２のランデブーサーバ装置）及び設置装置８０は、ＬＡＮ２０（第２のネットワーク）を介して接続されている。

リモートＣＰＳサーバ装置４０、リモートＲＶサーバ装置６０（第１のランデブーサーバ装置）、デバイス初期化装置９０、設置装置管理サーバ装置１００及び所有証明書管理サーバ装置１１０は、インターネット１２０（第１のネットワーク）を介して接続されている。

なお、インターネット１２０は、リモートＲＶサーバ装置６０、デバイス初期化装置９０、設置装置管理サーバ装置１００及び所有証明書管理サーバ装置１１０が接続されるネットワークの一例である。リモートＲＶサーバ装置６０、デバイス初期化装置９０、設置装置管理サーバ装置１００及び所有証明書管理サーバ装置１１０は、インターネット１２０以外の任意のネットワークに接続されていてもよい。

以下に各装置について説明する。

ＣＰＳデバイス１０は、ＣＰＳを構成するデバイス（例えばＩｏＴ（ＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ）デバイス）である。当初はデバイス販売者がＣＰＳデバイス１０を所有するが、売買契約を通じてデバイス購入者へその所有権が渡る。デバイス購入者はＣＰＳデバイス１０を所望の場所に設置し、ＬＡＮ２０に接続する。ＣＰＳデバイス１０は、ローカルＣＰＳサーバ装置５０又はリモートＣＰＳサーバ装置６０で管理する。

ＬＡＮ２０は、デバイス購入者が利用可能なローカルエリアネットワークである。ＬＡＮ２０は、有線でも無線でもよいし、有線及び無線の両方を組み合わせて実現されていてもよい。

ゲートウェイ３０は、ＬＡＮ２０からインターネット１２０へ接続するための装置である。デバイス購入者が所有するデバイス（例えばＣＰＳデバイス１０等）は、ゲートウェイ３０を介してインターネットに接続される。

リモートＣＰＳサーバ装置４０は、デバイス購入者により管理されるサーバ装置である。リモートＣＰＳサーバ装置４０はインターネット１２０を通じてＣＰＳデバイス１０と通信し、所定の機能を果たす。

ローカルＣＰＳサーバ装置５０は、デバイス購入者により管理されるサーバ装置である。ローカルＣＰＳサーバ装置５０はＬＡＮ２０に接続されている。ローカルＣＰＳサーバ装置５０はリモートＣＰＳサーバ装置４０と同様のサービスを提供したり、リモートＣＰＳサーバ装置４０の機能を補完したりする。特に、ＬＡＮ２０からインターネット１２０への通信が絶たれた異常時においては、ローカルＣＰＳサーバ装置５０はリモートＣＰＳサーバ装置４０に代わってＣＰＳデバイス１０と通信し、所定の機能を果たす。

リモートＲＶサーバ装置６０は、インターネット１２０上に設置されるランデブーサーバ装置である。リモートＲＶサーバ装置６０は、デバイス販売者又はデバイス購入者により管理されてもよいし、第三者により管理されてもよい。リモートＲＶサーバ装置６０はリモートＣＰＳサーバ装置４０及びＣＰＳデバイス１０とそれぞれ通信する。ＣＰＳデバイス１０は、リモートＲＶサーバ装置６０から、初期登録を行うリモートＣＰＳサーバ装置４０のアドレスを取得する。

ローカルＲＶサーバ装置７０は、ＬＡＮ２０上に設置されるランデブーサーバ装置である。ローカルＲＶサーバ装置７０はデバイス購入者により管理される。ローカルＲＶサーバ装置７０の役割は基本的にリモートＲＶサーバ装置６０と同じだが、ローカルＲＶサーバ装置７０はローカルＣＰＳサーバ装置５０及びＣＰＳデバイス１０と通信する。

設置装置８０は、デバイス購入者がＣＰＳデバイスを設置して初期登録作業を行う際に、初期登録作業を支援する装置である。設置装置８０は例えば、デバイス購入者の所有するスマートフォン上で動作するアプリケーションである。設置装置８０はＬＡＮ２０に接続される。設置装置８０には、デバイス購入者によってＬＡＮ２０上のローカルＣＰＳサーバ装置５０及びローカルＲＶサーバ装置７０等のアドレス情報が設定される。設置装置８０はＬＡＮ２０を介してインターネット１２０にする。また、設置装置８０はＣＰＳデバイス１０と直接接続して通信する機能を持つ。

デバイス初期化装置９０は、ＣＰＳデバイス１０を初期化する装置である。デバイス初期化装置９０は、デバイス販売者により管理される。デバイス販売者はＣＰＳデバイス１０を出荷する前にデバイス初期化装置９０にてＣＰＳデバイス１０を初期化する。

設置装置管理サーバ装置１００は、インターネット１２０を介して設置装置８０を管理するサーバ装置である。設置装置管理サーバ装置１００は、デバイス販売者によって管理される。

所有証明書管理サーバ装置１１０は、ＣＰＳデバイス１０の所有者を証明するデジタル文書である所有証明書（ＯｗｎｅｒｓｈｉｐＶｏｕｃｈｅｒ）を管理するサーバ装置である。所有証明書管理サーバ装置１１０は、デバイス販売者により管理される。

ここでまず、所有証明書について説明しておく。所有証明書は、ＣＰＳデバイス１０の正当な所有者を示すデジタル文書である。所有証明書はまずデバイス初期化装置９０によって発行される。発行直後の所有証明書は以下の情報を含む。

・当該ＣＰＳデバイス１０の識別子
・当該ＣＰＳデバイス１０のＸ．５０９証明書のハッシュ値
・所有証明書管理サーバ装置１１０の公開鍵
・上記の情報（識別子、ハッシュ値及び公開鍵）に対してＣＰＳデバイス１０が付与したメッセージ認証コード（ＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ；ＭＡＣ）
・当該ＣＰＳデバイス１０のＸ．５０９証明書

当該ＣＰＳデバイス１０がデバイス販売者から、デバイス購入者へ売り渡されると、その事実を証明するための所有証明書が発行される。具体的には、所有証明書管理サーバ装置１１０が、上記の所有証明書に対して少なくとも以下の情報を加えた所有証明書を発行する。

・デバイス購入者のＣＰＳサーバの公開鍵
・上記公開鍵に対して所有証明書管理サーバ装置１１０が施した電子署名

このようにして発行された所有証明書は、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０に記憶される。

所有証明書は、ＣＰＳデバイス１０が、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０に、当該ＣＰＳデバイス１０を初期登録する際の相互認証に用いられる。

リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０は、ＣＰＳデバイス１０に所有証明書を提示して、当該リモートＣＰＳサーバ装置４０又は当該ローカルＣＰＳサーバ装置５０が当該ＣＰＳデバイスの正当な所有者であることを示す。

ＣＰＳデバイス１０は所有証明書のメッセージ認証コードと電子署名とをそれぞれ検証することで、所有証明書の正当性を検証する。ＣＰＳデバイス１０は、検証ののち、所有証明書から、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０の公開鍵を取得し、当該公開鍵によって、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０を認証する。一方、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０は、所有証明書に含まれるＸ．５０９証明書を用いてＣＰＳデバイス１０を認証する。

以上のようにして、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０と、ＣＰＳデバイス１０とは、初期登録処理を開始する前に相互認証を実施する。

［各装置の機能構成の例］
図２は第１実施形態のＣＰＳデバイス１０の機能構成の例を示す図である。第１実施形態のＣＰＳデバイス１０は、通信部２０１、初期化処理部２０２、ランデブー処理部２０３、登録処理部２０４、記憶制御部２０５及び記憶部２０６を備える。

通信部２０１は、有線ＬＡＮ、無線ＬＡＮ及び近距離無線通信規格等を利用して、他の装置と通信する。例えば、通信部２０１は、ＬＡＮ２０を介して他の装置と通信する。また例えば、通信部２０１は、設置装置８０と通信する。設置装置８０との通信方法は任意でよい。また例えば、通信部２０１は、ＣＰＳデバイス１０の初期化時に、デバイス初期化装置９０と通信する。なお、ＣＰＳデバイス１０の初期化は、例えばデバイス販売者によってＣＰＳデバイス１０を出荷する前に実施される。デバイス初期化装置９０との通信方法は任意でよい。

初期化処理部２０２は、通信部２０１を介してデバイス初期化装置９０と通信し、初期化処理を行う。

ランデブー処理部２０３は、設置装置８０に、初期登録先を問い合わせる初期登録先リクエストを送信し、当該設置装置８０から初期登録先情報を取得する。そして、ランデブー処理部２０３は、記憶制御部２０５を介して記憶部２０６に当該初期登録先情報を記憶する。

登録処理部２０４は、記憶部２０６に記憶された初期登録先情報を読み出し、当該初期登録先情報に基づいて初期登録先（リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０）に接続し、初期登録を実施する。

記憶制御部２０５は、記憶部２０６に記憶された情報の記憶制御を行う。

記憶部２０６は情報を記憶する。例えば、記憶部２０６は、署名用の鍵ペア（署名鍵及び公開鍵）を記憶する。この鍵ペアの公開鍵がＸ．５０９証明書の形式で所有証明書に含まれる。また例えば、記憶部２０６は、所有証明書に付与されるメッセージ認証コードを生成するための秘密鍵を記憶する。この秘密鍵は、デバイス初期化時に新たに生成される。また例えば、記憶部２０６は、ＣＰＳデバイス１０の固有識別子を記憶する。この固有識別子は、デバイス初期化時にＣＰＳデバイス１０に書き込まれる。また例えば、記憶部２０６は、ＣＰＳデバイス１０が接続するランデブーサーバのアドレスを記憶する。第１実施形態では、このアドレスは、設置装置８０のアドレスであり、当該設置装置８０のアドレスがデバイス初期化時に書き込まれる。また例えば、記憶部２０６は、設置装置８０から受信された情報（例えば、ＬＡＮ２０の認証情報、及び、初期登録先情報）を記憶する。また例えば、記憶部２０６は、ＣＰＳデバイス１０が、初期登録済みのＣＰＳサーバへ接続する際の認証に用いるＣＰＳ鍵を記憶する。また例えば、記憶部２０６は、初期登録済みのＣＰＳサーバ（リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０）のアドレス、及び、当該ＣＰＳサーバのサーバ証明書などの情報を記憶する。記憶部２０６は、ＣＰＳサーバから代替ＣＰＳサーバの通知を受けた場合、代替ＣＰＳサーバについても、当該ＣＰＳサーバの情報と同様の情報を記憶する。

図３は第１実施形態のリモートＣＰＳサーバ装置４０の機能構成の例を示す図である。第１実施形態のリモートＣＰＳサーバ装置４０は、通信部２１１、受付部２１２、ランデブー処理部２１３、登録処理部２１４、同期処理部２１５、サービス処理部２１６、通知処理部２１７、記憶制御部２１８及び記憶部２１９を備える。

通信部２１１は、インターネット１２０又はＬＡＮ２０を介して、他の装置と通信する。例えば、通信部２１１は、リモートＣＰＳサーバ装置４０の代替のＣＰＳサーバの情報として、ローカルＣＰＳサーバ装置５０のアドレスをＣＰＳデバイス１０に送信する。

受付部２１２は、所有証明書管理サーバ装置１１０及び設置装置８０等に署名用公開鍵を提示し、所有証明書管理サーバ装置１１０及び設置装置８０等から、所有証明書の発行を受ける。所有証明書は記憶部２１９に記憶される。

ランデブー処理部２１３は、リモートＲＶサーバ装置６０またはローカルＲＶサーバ装置７０に、初期登録先情報を登録する。

登録処理部２１４は、通信部２１１を介してＣＰＳデバイス１０と通信し、当該ＣＰＳデバイス１０の初期登録を実施する。

同期処理部２１５は、記憶部２１９に記憶されたＣＰＳデバイス１０の情報（初期登録されたＣＰＳデバイス１０の情報）を、ローカルＣＰＳサーバ装置５０と同期する。

サービス処理部２１６は、初期登録済みのＣＰＳデバイス１０と通信し、ＣＰＳとしてのサービスを実施する。例えば、サービス処理部２１６は、ＣＰＳデバイス１０からアップロードされたセンサーデータ等を、記憶制御部２１８を介して記憶部２１８に保存したり、ＣＰＳデバイス１０に制御命令を送信したりする。

通知処理部２１７は、代替となるローカルＣＰＳサーバ装置５０へアクセスするためのアドレス情報をＣＰＳデバイス１０に通知する。

記憶制御部２１８は、記憶部２１９に記憶された情報の記憶制御を行う。

記憶部２１９は情報を記憶する。例えば、記憶部２１９は、署名用の鍵ペアを記憶する。この鍵ペアの公開鍵が所有証明書に記載される。また例えば、記憶部２１９は、所有証明書を記憶する。また例えば、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０に初期登録が完了したＣＰＳデバイス１０の情報（例えば、ＣＰＳデバイス１０の識別子、及び、当該識別子に対応するＣＰＳ鍵の公開鍵等）を記憶する。

図４は第１実施形態のローカルＣＰＳサーバ装置５０の機能構成の例を示す図である。第１実施形態のローカルＣＰＳサーバ装置５０は、通信部２３１、受付部２３２、ランデブー処理部２３３、登録処理部２３４、同期処理部２３５、サービス処理部２３６、通知処理部２３７、記憶制御部２３８及び記憶部２３９を備える。

受付部２３２、ランデブー処理部２３３、登録処理部２３４、サービス処理部２３６、通知処理部２３７、記憶制御部２３８及び記憶部２３９の動作は、受付部２１２、ランデブー処理部２１３、登録処理部２１４、サービス処理部２１６、通知処理部２１７、記憶制御部２１８及び記憶部２１９（図３参照）と同様なので、説明を省略する。

通信部２３１は、インターネット１２０又はＬＡＮ２０を介して、他の装置と通信する。例えば、通信部２３１は、ローカルＣＰＳサーバ装置５０の代替のＣＰＳサーバの情報として、リモートＣＰＳサーバ装置４０のアドレスをＣＰＳデバイス１０に送信する。

同期処理部２３５は、記憶部２３９に記憶されたＣＰＳデバイス１０の情報（初期登録されたＣＰＳデバイス１０の情報）を、インターネット１２０への接続が復旧次第、リモートＣＰＳサーバ装置４０と同期する。

図５は第１実施形態の設置装置８０の機能構成の例を示す図である。第１実施形態の設置装置８０は、ＵＩ（ＵｓｅｒＩｎｔｅｒｆａｃｅ）部２５１、通信部２５２、設定部２５３、検出部２５４、ＲＶ転送部２５５、決定部２５６、通知処理部２５７、署名鍵管理部２５８、読取部２５９、発行部２６０、記憶制御部２６１及び記憶部２６２を備える。

ＵＩ部２５１は、ユーザから操作を受け付け、当該操作に応じて情報を提示する。例えば、設置装置８０が、スマートフォン等のスマートデバイスの場合、ＵＩ部２５１はタッチスクリーンなどである。

通信部２５２は、有線ＬＡＮ、無線ＬＡＮ及び近距離無線通信規格等を利用して、他の装置と通信する。例えば、通信部２５２は、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０のアドレスを含む通知を、ＣＰＳデバイス１０に送信する。また例えば、通信部２５２は、上述の所有証明書を用いて、ＣＰＳデバイス１０と上述の相互認証を実施する。

設定部２５３は、通信部２５２を介してＣＰＳデバイス１０と通信し、ＬＡＮ２０の認証情報を設定する。具体的には、設定部２５３は、ＣＰＳデバイス１０との相互認証が成功した場合、ＣＰＳデバイス１０をＬＡＮ２０に接続するための認証情報を、ＣＰＳデバイス１０に設定する。

検出部２５４は、ＬＡＮ２０及びインターネット１２０の通信状態を検出する。インターネット１２０の通信状態は、例えばリモートＲＶサーバ装置６０に接続可能か否かの判定に使用される。

ＲＶ転送部２５５は、ＣＰＳデバイス１０から、初期登録先リクエストを受け付けると、当該初期登録先リクエストをリモートＲＶサーバ装置６０又はローカルＲＶサーバ装置７０に転送する。転送先は、検出部２５４による通信状態の検出結果に応じて適切に選択される。

決定部２５６は、初期登録先リクエストの応答に基づいて、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０のアドレスを特定し、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０への接続を決定する。第１実施形態では、決定部２５６は、インターネット１２０への通信障害が発生していない場合、リモートＣＰＳサーバ装置４０を、初期登録先に決定し、インターネット１２０への通信障害が発生している場合、ローカルＣＰＳサーバ装置５０を、初期登録先に決定する。

通知処理部２５７は、リモートＲＶサーバ装置６０又はローカルＲＶサーバ装置７０から受信された初期登録先情報を、ＣＰＳデバイス１０に転送する。

署名鍵管理部２５８は、設置装置管理サーバ装置１００と通信し、署名鍵のアップロード、ダウンロード及び更新などの処理を行うことによって、署名鍵の管理を行う。

読取部２５９は、物理メディアから所有証明書を読み出す。物理メディアは、例えばｍｉｃｒｏＳＤカード及びＱＲコード（登録商標）等である。

発行部２６０は、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０と通信し、ＣＰＳデバイスの所有権がリモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０に移管されたことを示す所有証明書を発行する。

記憶制御部２６１は、記憶部２６２に記憶された情報の記憶制御を行う。

記憶部２６２は情報を記憶する。例えば、記憶部２６２は、ＬＡＮ２０の認証情報を記憶する。ＬＡＮ２０の認証情報は、例えばＵＩ部２５１を介したユーザの操作入力によって受け付けられる。また例えば、記憶部２６２は、リモートＲＶサーバ装置６０及びローカルＲＶサーバ装置７０のアドレスを記憶する。これらのアドレスは、例えばＵＩ部２５１を介したユーザの操作入力によって受け付けられる。また例えば、記憶部２６２は、署名用の鍵ペアを記憶する。なお、この鍵ペアの公開鍵は設置装置管理サーバ装置１００で集中管理され、所有証明書に記載される。また例えば、記憶部２６２は、読取部２５９によって読み取られた所有証明書を記憶する。

図６は第１実施形態のデバイス初期化装置９０の機能構成の例を示す図である。第１実施形態のデバイス初期化装置９０は、通信部２７１、受付部２７２、初期化処理部２７３、送信制御部２７４、記憶制御部２７５及び記憶部２７６を備える。

通信部２７１は、初期化対象のＣＰＳデバイス１０と通信する。

受付部２７２は、所有証明書管理サーバ装置１１０と通信部２７１を介して通信し、所有証明書管理サーバ装置１１０から、署名鍵の公開鍵を受け付ける。

初期化処理部２７３は、ＣＰＳデバイス１０を初期化し、所有証明書管理サーバ装置１１０に、そのＣＰＳデバイス１０の所有権を与える所有証明書を発行する。

送信制御部２７４は、初期化処理部２７３により発行された所有証明書を所有証明書管理サーバ装置１１０に送信する。

記憶制御部２７５は、記憶部２７６に記憶された情報の記憶制御を行う。

記憶部２７６は情報を記憶する。例えば、記憶部２７６は、所有証明書管理サーバ装置１１０から受け付けた公開鍵を記憶する。

図７は第１実施形態の設置装置管理サーバ装置１００の機能構成の例を示す図である。第１実施形態の設置装置管理サーバ装置１００は、通信部２８１、受付部２８２、提供部２８３、更新制御部２８４、記憶制御部２８５及び記憶部２８６を備える。

通信部２８１は、インターネット１２０などのネットワークを介して、他の装置と通信する。

受付部２８２は、設置装置８０から、当該設置装置８０の公開鍵を、通信部２８１を介して受け付けると、当該公開鍵を、記憶制御部２８５を介して記憶部２８６に記憶する。

提供部２８３は、所有証明書管理サーバ装置１１０に、設置装置８０の公開鍵を提供する。

更新制御部２８４は、設置装置８０の署名鍵の更新処理を制御する。

記憶制御部２８５は、記憶部２８６に記憶された情報の記憶制御を行う。

記憶部２８６は情報を記憶する。例えば、記憶部２８６は、設置装置８０の識別子、及び、当該識別子に対応する公開鍵等の情報を記憶する。

図８は第１実施形態の所有証明書管理サーバ装置１１０の機能構成の例を示す図である。第１実施形態の所有証明書管理サーバ装置１１０は、通信部２９１、受付部２９２、発行部２９３、書き出し部２９４、記憶制御部２９５及び記憶部２９６を備える。

通信部２９１は、インターネット１２０などのネットワークを介して、他の装置と通信する。

受付部２９２は、デバイス初期化装置９０により発行された所有証明書を、通信部２９１を介して受け付けると、記憶部２９６に記憶する。

発行部２９３は、リモートＣＰＳサーバ装置４０と通信し、当該リモートＣＰＳサーバ装置４０にＣＰＳデバイス１０の所有権を移管する所有証明書を発行する。また、発行部２９３は、設置装置管理サーバ装置１００と通信し、設置装置８０にＣＰＳデバイス１０の所有権が移管されたことを示す所有証明書を発行する。

書き出し部２９４は、所有証明書を物理メディアに書き出す。物理メディアは、例えばｍｉｃｒｏＳＤカード及びＱＲコード（登録商標）等である。

記憶制御部２９５は、記憶部２９６に記憶された情報の記憶制御を行う。

記憶部２９６は情報を記憶する。例えば、記憶部２９６は、署名用の鍵ペアを記憶する。この鍵ペアの公開鍵はデバイス初期化装置９０に提供されるとともに、所有証明書に記載される。また例えば、記憶部２９６は、デバイス初期化装置９０により初期化されたＣＰＳデバイス１０の所有証明書を記憶する。

［初期登録処理の例］
図９は第１実施形態の初期登録処理の例（正常時）を示すシーケンス図である。図９は、インターネット１２０との通信が滞りなく可能な正常時に、ＣＰＳデバイス１０の初期登録が行われる場合のフローの例を示す。本フローの開始時点において、ＣＰＳデバイス１０はデバイス販売者が所有しているものとする。

はじめに、デバイス初期化装置９０が、デバイス販売者の操作入力に応じて、ＣＰＳデバイス１０を初期化する（ステップＳ１）。ステップＳ１の処理により、ＣＰＳデバイス１０には固有のデバイス識別子が書き込まれる。また、ＣＰＳデバイス１０が接続すべきランデブーサーバとして、設置装置８０のアドレスが書き込まれる。後述のように、設置装置８０とＣＰＳデバイス１０とは直接接続して通信するため、設置先のＬＡＮ２０によらない固定のアドレスを、設置装置８０のアドレスとして書き込むことができる。また、この初期化処理では、デバイス初期化装置９０は前述の所有証明書を発行する。

次に、デバイス初期化装置９０が、ステップＳ１の初期化処理で発行された所有証明書を、所有証明書管理サーバ装置１１０に転送する（ステップＳ２）。所有証明書管理サーバ装置１１０は、当該所有証明書を記憶する。

次に、デバイス販売者がデバイス購入者に当該ＣＰＳデバイス１０を販売することによって、当該ＣＰＳデバイス１０が、デバイス購入者に引き渡される（ステップＳ３）。この時、デバイス購入者はリモートＣＰＳサーバ装置４０のアドレスと公開鍵とをデバイス販売者に伝える。

次に、所有証明書管理サーバ装置１１０は、デバイス販売者から、リモートＣＰＳサーバ装置４０のアドレスと公開鍵とを示す入力を受け付ける。所有証明書管理サーバ装置１１０は、当該入力に基づいて、リモートＣＰＳサーバ装置４０と通信し、当該公開鍵がリモートＣＰＳサーバ装置４０のものであることを確認する。確認が取れたら、所有証明書管理サーバ装置１１０は、当該ＣＰＳデバイス１０をリモートＣＰＳサーバ装置４０に移管することを示す所有証明書を発行し（ステップＳ４）、当該所有証明書をリモートＣＰＳサーバ装置４０に送信する。リモートＣＰＳサーバ装置４０は、所有証明書管理サーバ装置１１０から受け取った所有証明書を記憶する。

次に、ＣＰＳデバイス１０が、デバイス購入者により設置され（ステップＳ５）、デバイス購入者によりＣＰＳデバイス１０の電源が入れられる。

次に、リモートＣＰＳサーバ装置４０が、リモートＲＶサーバ装置６０に初期登録先情報を登録する（ステップＳ６）。具体的には、リモートＣＰＳサーバ装置４０は、当該ＣＰＳデバイスのデバイス識別子、及び、リモートＣＰＳサーバ装置４０のアドレスの組をリモートＲＶサーバ装置６０に送信する。そして、リモートＲＶサーバ装置６０が、当該ＣＰＳデバイスのデバイス識別子、及び、リモートＣＰＳサーバ装置４０のアドレスの組を記憶する。

次に、設置装置８０が、デバイス購入者の操作に応じて、当該ＣＰＳデバイス１０と設置装置８０との間の接続を確立する（ステップＳ７）。ステップＳ７の処理では、例えば、無線ＬＡＮ及びＢｌｕｅｔｏｏｔｈ（登録商標）等によって、接続が確立される。接続処理を開始する装置は、ＣＰＳデバイス１０でもよいし、設置装置８０でもよい。

次に、設置装置８０はＣＰＳデバイス１０に、ＬＡＮ２０の認証情報を入力する（ステップＳ８）。ＬＡＮ２０の認証情報とは、ＣＰＳデバイス１０がＬＡＮ２０にアクセスするために使用される情報である。例えば、ＬＡＮ２０が無線ＬＡＮの場合、ＬＡＮ２０の認証情報は無線ＬＡＮ２０のＳＳＩＤ及びパスワードの組である。また例えば、ＷｉＦｉＥａｓｙＣｏｎｎｅｃｔ規格に従ってＬＡＮ２０の認証情報が入力されてもよい。その場合は設置装置８０がＣｏｎｆｉｇｕｒａｔｏｒ、ＣＰＳデバイス１０がＥｎｒｏｌｌｅｅの役割を果たす。

次に、ＣＰＳデバイス１０は設置装置８０をランデブーサーバとみなし、初期登録先となるＣＰＳサーバ（リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０）のアドレスを問い合わせる（ステップＳ９）。その際、ＣＰＳデバイス１０は自身のデバイス識別子を、問合せのリクエストメッセージ（初期登録先リクエスト）に含める。

次に、設置装置８０は、ＣＰＳデバイス１０から問合せ（初期登録先リクエスト）を受け付けると、通信状態に応じて適切なランデブーサーバに、当該初期登録先リクエストを転送する（ステップＳ１０）。なお、設置装置８０には、例えばデバイス購入者によって、リモートＲＶサーバ装置６０及びローカルＲＶサーバ装置７０のアドレスが予め設定されている。正常時であれば、設置装置８０は問合せ（初期登録先リクエスト）をリモートＲＶサーバ装置６０に転送する。

次に、リモートＲＶサーバ装置６０は初期登録先リクエストを受け付けると、当該初期登録先リクエストに含まれるデバイス識別子に対応する初期登録先アドレスを検索し、検索結果を返信する。設置装置８０は、当該検索結果に基づいて、初期登録先をＣＰＳデバイス１０に回答する（ステップＳ１１）。

次に、ＣＰＳデバイス１０は、初期登録先を示すアドレスを受信すると、ＬＡＮ２０及びインターネット１２０を介して、当該アドレス（図９の例では、リモートＣＰＳサーバ装置４０のアドレス）に接続し、初期登録処理を実施する（ステップＳ１２）。

前述のように、初期登録処理ではまず、所有証明書を介してＣＰＳデバイス１０と、ＣＰＳサーバ（図９の例では、リモートＣＰＳサーバ装置４０）の相互認証が行われる。相互認証が完了すると、ＣＰＳデバイス１０はこのＣＰＳに固有の鍵ペアであるＣＰＳ鍵を生成し、その公開鍵をＣＰＳサーバに送る。ＣＰＳサーバはこの公開鍵を記憶する。また、ＣＰＳサーバは自身のアドレス及びＸ．５０９証明書などの情報をＣＰＳデバイス１０に送り、ＣＰＳデバイス１０は、当該情報を記憶する。この初期登録により、以降はＣＰＳ鍵を用いてＣＰＳサーバはＣＰＳデバイス１０を認証できるようになる。

次に、リモートＣＰＳサーバ装置４０は、ステップＳ１２で新たに記憶されたＣＰＳデバイス１０に関するデバイス情報（特にＣＰＳ鍵の公開鍵）をローカルＣＰＳサーバ装置５０に転送する。このようにして、初期登録済みＣＰＳデバイス１０のデバイス情報が、リモートＣＰＳサーバ装置４０とローカルＣＰＳサーバ装置５０との間で同期される（ステップＳ１３）。

次に、リモートＣＰＳサーバ装置４０はＣＰＳデバイス１０にローカルＣＰＳサーバ装置５０の情報（アドレスなど）を通知する（ステップＳ１４）。ＣＰＳデバイス１０は、当該情報を記憶する。

以上のフローにより、ＣＰＳデバイス１０は、リモートＣＰＳサーバ装置４０に初期登録される。

図１０は第１実施形態の正常時から異常時に移行する処理の例を示すシーケンス図である。図１０は、正常時に初期登録を完了した後に、インターネット１２０との通信が途絶えた場合に実施される処理フローの例を示す。

はじめに、ＣＰＳデバイス１０はＣＰＳの機能の一環としてリモートＣＰＳサーバ装置４０と定常的に通信処理を行うが、この通信処理の失敗によって、インターネット１２０との通信が途絶えたことを検出する（ステップＳ２１）。

次に、ＣＰＳデバイス１０は、図９の初期登録フローのステップＳ１４の処理で通知されたローカルＣＰＳサーバ装置４０のアドレスに、接続先を切り替え、通信を継続する（ステップＳ２２）。

図１１は第１実施形態の初期登録処理の例（異常時）を示すシーケンス図である。図１１は、インターネット１２０との通信が寸断された異常時におけるＣＰＳデバイス１０の初期登録のフローの例を示す。

なお、前提として設置装置８０は署名用の鍵ペアを保持するものとする。また、正常時において、設置装置管理サーバ装置１００はインターネット１２０を介して設置装置８０と適宜通信し、設置装置８０の公開鍵を集中管理する。設置装置８０の署名用鍵ペアは、設置装置８０それぞれについて固有の鍵（個別鍵）でもよいし、全ての設置装置８０が共有する鍵（統一鍵）でもよいし、特定の設置装置８０グループごとに固有の鍵（グループ鍵）でもよい。以降のフローでは、基本的に署名用鍵ペアが統一鍵である場合を想定して説明する。

ステップＳ３１及びＳ３２の処理は、正常時のステップＳ１及びＳ２の処理（図９参照）と同様である。

なお、ステップＳ３１及びＳ３２の処理は異常時にも実施できるが、正常時に前もって実施しておいてもよい。例えば、デバイス販売者がサプライチェーンの上流（例えばデバイスの製造業者及び卸売業者等）からＣＰＳデバイス１０を仕入れた時点で、ステップＳ３１及びＳ３２の処理が実施されていてもよい。

次に、設置装置管理サーバ装置１００が、設置装置８０の公開鍵を所有証明書管理サーバ装置１１０に送信する（ステップＳ３３）。

次に、所有証明書管理サーバ装置１１０が、ステップＳ３３で、設置装置管理サーバ装置１００から受信された公開鍵に対して、当該ＣＰＳデバイス１０を移管する所有証明書を発行する（ステップＳ３４）。

また、所有証明書管理サーバ装置１１０は当該所有証明書を物理メディアに書き出す。物理メディアは、例えば、ｍｉｃｒｏＳＤカード、ＵＳＢメモリ、ＲＦＩＤタグ及びＱＲコード（登録商標）などである。なお、ＱＲコード（登録商標）は、例えばシール、及び、ＣＰＳデバイス１０のパッケージ等に、物理的に表示される。

次に、デバイス販売者は、物理メディアに書き出された所有証明書とＣＰＳデバイス１０との組を、デバイス購入者に販売し、当該所有証明書とＣＰＳデバイス１０との組が、デバイス販売者からデバイス購入者に引き渡される（ステップＳ３５）。

次に、設置装置８０が、デバイス購入者の操作入力に応じて、物理メディアから所有証明書を読み出す（ステップＳ３６）。前述のように、この所有証明書は設置装置８０にＣＰＳデバイス１０の所有権を与える。

次に、設置装置８０はＬＡＮ２０を介してローカルＣＰＳサーバ装置５０と通信し、ローカルＣＰＳサーバ装置５０に対して当該ＣＰＳデバイス１０の所有権を移管する所有証明書を発行する（ステップＳ３７）。この所有証明書は、ＣＰＳデバイス１０の所有権が、ローカルＣＰＳサーバ装置５０に更に移管されたことを示す情報を、ステップＳ３６の処理で読み出された所有証明書に付加することによって発行される。具体的には、ステップＳ３７で発行される所有証明書は以下の情報を含む。

・当該ＣＰＳデバイス１０の識別子
・当該ＣＰＳデバイス１０のＸ．５０９証明書のハッシュ値
・所有証明書管理サーバ装置１１０の公開鍵
・上記の情報（識別子、ハッシュ値及び公開鍵）に対してＣＰＳデバイス１０が付与したメッセージ認証コード
・当該ＣＰＳデバイスのＸ．５０９証明書
・設置装置８０の公開鍵
・設置装置８０の公開鍵に対して所有証明書管理サーバ装置１１０が施した電子署名
・ローカルＣＰＳサーバ装置５０の公開鍵
・ローカルＣＰＳサーバ装置５０の公開鍵に対して設置装置８０が施した電子署名

次に、ＣＰＳデバイス１０が、デバイス購入者により設置され（ステップＳ３８）、デバイス購入者によりＣＰＳデバイス１０の電源が入れられる。

次に、ローカルＣＰＳサーバ装置５０が、ローカルＲＶサーバ装置７０に初期登録先情報を登録する（ステップＳ３９）。具体的には、ローカルＣＰＳサーバ装置５０は、当該ＣＰＳデバイスのデバイス識別子、及び、ローカルＣＰＳサーバ装置５０のアドレスの組をローカルＲＶサーバ装置７０に記憶させる。

次に、設置装置８０が、デバイス購入者の操作に応じて、当該ＣＰＳデバイスと設置装置８０との間の接続を確立する（ステップＳ４０）。ステップＳ４０は、正常時のステップＳ７（図９参照）と同様であるが、本フローでは設置装置８０の所有証明書を用いて、ＣＰＳデバイス１０と設置装置８０とが相互認証を実施する。具体的には、設置装置８０はＣＰＳデバイス１０に接続する際に所有証明書を提示する。ＣＰＳデバイス１０は所有証明書を検証するとともに、所有証明書に記載される公開鍵が設置装置８０のものであることを確認し、設置装置８０を認証する。また、設置装置８０は所有証明書に記載されるＣＰＳデバイス１０のＸ．５０９証明書を用いてＣＰＳデバイス１０を認証する。これにより、ＣＰＳデバイス１０と設置装置８０の相互認証が実現される。

ステップＳ４１及びＳ４２の処理は、正常時のステップＳ８及びＳ９の処理（図９参照）と同様である。

次に、設置装置８０はＣＰＳデバイス１０から受け付けた問合せ（初期登録先リクエスト）を転送する（ステップＳ４３）。異常時の場合、設置装置８０はリモートＲＶサーバ装置６０にアクセスできないため、ローカルＲＶサーバ装置７０に問合せ（初期登録先リクエスト）を転送する。

次に、ローカルＲＶサーバ装置７０は設置装置８０から初期登録先リクエストを受け付けると、初期登録先に対応するアドレス、図１１ではローカルＣＰＳサーバ装置５０のアドレスを返信する。設置装置８０は、このアドレスを、初期登録先として、ＣＰＳデバイス１０に回答する（ステップＳ４４）。

次に、ＣＰＳデバイス１０は、初期登録先を示すアドレスを受信すると、当該アドレスにアクセスし、初期登録を実施する（ステップＳ４５）。ステップＳ４５の処理は、正常時のステップＳ１４の処理と同様であるが、異常時の場合はローカルＣＰＳサーバ装置５０にアクセスし、初期登録が行われる。

図１２は第１実施形態の異常時から正常時に移行する処理の例を示すシーケンス図である。図１２は、異常時に初期登録を完了した後に、インターネット１２０との通信が復旧した場合に実施される処理フローの例を示す。

はじめに、ローカルＣＰＳサーバ装置５０がリモートＣＰＳサーバ装置４０にアクセスし、ＣＰＳデバイス１０のデバイス情報を同期する（ステップＳ５１）。つまり、ステップＳ５１の同期処理によって、ローカルＣＰＳサーバ装置５０に新たに登録されたＣＰＳデバイス１０のデバイス情報が、リモートＣＰＳサーバ装置４０へ転送される。これにより、リモートＣＰＳサーバ装置４０が当該ＣＰＳデバイス１０を認証できるようになる。

次に、ローカルＣＰＳサーバ装置５０は、ＣＰＳデバイス１０にリモートＣＰＳサーバ装置４０の情報（アドレスなど）を通知する（ステップＳ５２）。

次に、ＣＰＳデバイス１０は接続先をリモートＣＰＳサーバ装置４０に切り替え、通信を継続する（ステップＳ５３）。

図９および図１１で示した初期登録フローによれば、ＣＰＳデバイス１０は異常時でも正常時と同様の動作で初期登録を実施できる。つまり、ＣＰＳデバイス１０は設置装置８０に対して初期登録先アドレスを問い合わせ、取得した初期登録先にアクセスして初期登録を実施する。設置装置８０は正常時であればリモートＲＶサーバ装置６０に、異常時であればローカルＲＶサーバ装置７０に問い合わせて初期登録先アドレスを取得し、ＣＰＳデバイス１０に回答する。

初期登録を行うためには、所有証明書管理サーバ装置１１０が、ＣＰＳサーバ（リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０）に所有証明書を発行しなければならない。正常時では、デバイス販売者とデバイス購入者とが連絡を取り合うことで、所有証明書管理サーバ装置１１０が、直接、リモートＣＰＳサーバ装置４０に対して所有証明書を発行する。

しかし、異常時にはデバイス販売者とデバイス購入者との間のきめ細かな連絡や契約手続きが実施できない可能性がある。そこで、異常時にはデバイス販売者はまず、物理メディアに記録した所有証明書と、ＣＰＳデバイス１０とを組にして、デバイス購入者へ販売する。そして、設置装置８０が、デバイス購入者の操作入力に応じて、物理メディアから所有証明書を読み出すことによって、まず設置装置８０に対して、ＣＰＳデバイス１０の所有権が与えられる（所有証明書が、まず設置装置８０に対して発行される）。

このようにすれば、設置装置８０を持つ者であれば誰でも所有証明書とＣＰＳデバイスとを購入し、自身が持つＣＰＳサーバに、設置装置８０から所有証明書を発行できる。その際、デバイス販売者はデバイス購入者から情報を受け取る必要がないため、ＣＰＳデバイス１０を簡単に流通・販売することができる。

なお、図１１は異常時における初期登録フローとして説明したが、正常時においても図１１と同様のフローを実施してもよい。その場合、ローカルＲＶサーバ装置７０及びローカルＣＰＳサーバ装置５０のかわりに、それぞれリモートＲＶサーバ装置６０及びリモートＣＰＳサーバ装置４０が用いられる。所有証明書はまず設置装置８０に対して発行され、設置装置８０がリモートＣＰＳサーバ装置４０に対してさらに所有証明書を発行する。

図１１では、設置装置８０の署名鍵は全ての設置装置８０について共通である統一鍵であるとした。設置装置８０の署名鍵が、個別鍵及びグループ鍵等の場合、設置装置管理サーバ装置１００が設置装置８０の公開鍵を所有証明書管理サーバ装置１１０に転送する際に、どの鍵を転送するのかを指定する必要がある。そのためには、デバイス販売者はデバイス購入者を事前に特定する必要がある。その上で、デバイス販売者はデバイス購入者の持つ設置装置８０を識別する識別情報をデバイス購入者から入手し、設置装置管理サーバ装置１００から、当該識別情報により識別された設置装置８０の公開鍵を取得し、所有証明書を発行する。

第１実施形態では様々な装置が署名鍵（秘密鍵）を保有する。第１実施形態で署名鍵を保有する装置は、ＣＰＳデバイス１０、所有証明書管理サーバ装置１１０、リモートＣＰＳサーバ装置４０、ローカルＣＰＳサーバ装置５０及び設置装置８０である。ＣＰＳデバイス１０、所有証明書管理サーバ装置１１０、リモートＣＰＳサーバ装置４０及びローカルＣＰＳサーバ装置５０の署名鍵は、基本的にその公開鍵が所有証明書に含まれて流通するため、それぞれが独自のタイミングで鍵を更新できる。ただし、署名鍵を更新した後も、古い公開鍵を含む所有証明書が流通している間は古い署名鍵を保持しておく必要がある。これは所有証明書に含まれる公開鍵が、自身の署名鍵に対応する公開鍵であるか否かを判断するためである。

一方、設置装置８０の署名鍵は、設置装置管理サーバ装置１００で、その署名鍵に対応する公開鍵を管理するため、更新に注意を要する。設置装置８０の署名鍵が個別鍵の場合、各設置装置８０が独自のタイミングで鍵を更新してよい。各設置装置８０は、正常時において新しい公開鍵を設置装置管理サーバ装置１００に送信し、設置装置管理サーバ装置１００は当該公開鍵を記憶する。設置装置８０の署名鍵が統一鍵の場合、設置装置管理サーバ装置１００が新しい統一鍵を生成し、正常時においてこれを全ての設置装置８０に配信する。ただし、設置装置８０の数が非常に多い場合や、鍵の配信の途中でインターネット１２０との接続が断たれる場合は、古い統一鍵を持つ設置装置８０と新しい統一鍵を持つ設置装置８０とが混在する状況が発生しうる。そのような場合、図１１のフローにおいて所有証明書管理サーバ装置１１０は、古い統一鍵及び新しい統一鍵のそれぞれに対して所有証明書を発行し、それら２つの所有証明書を物理メディアに書き込んでよい。設置装置８０はこれらの所有証明書を読み込み、自身の署名鍵に対応する公開鍵を含む所有証明書を選択して使う。設置装置８０の署名鍵がグループ鍵の場合は統一鍵の場合と同様に、設置装置管理サーバ装置１００が鍵の更新を実施する。

第１実施形態では、設置装置８０は予めリモートＲＶサーバ装置６０へ接続できるかどうかを検出したうえで、ＣＰＳデバイス１０からの初期登録先リクエストをランデブーサーバ（リモートＲＶサーバ装置６０またはローカルＲＶサーバ装置７０）に転送していた。このリクエスト転送にはほかにも様々なやり方が考えられる。

例えば、設置装置８０はＣＰＳデバイス１０から受け取った初期登録先リクエストをまずリモートＲＶサーバ装置６０へ転送し、それに失敗した場合にローカルＲＶサーバ装置７０に転送するとしてもよい。

また例えば、設置装置８０がランデブーサーバのミラーサーバとなるようにしてもよい。この場合、設置装置８０は予め定期的にリモートＲＶサーバ装置６０及びローカルＲＶサーバ装置７０と通信し、初期登録先の候補データを取得して記憶する。設置装置８０は、ＣＰＳデバイスから初期登録先リクエストを受信すると、当該候補データを検索して適切な初期登録先を見つけ出し、ＣＰＳデバイス１０に返信する。

いずれの場合でも、設置装置８０はインターネット１２０との通信状態に応じた適切な初期登録先をＣＰＳデバイス１０に回答できる。

以上説明したように、第１実施形態の情報処理システム２００は、設置装置と、ＣＰＳデバイス１０とを備える。設置装置８０では、検出部２５４が、リモートＣＰＳサーバ装置４０（第１のＣＰＳサーバ装置）が接続されているインターネット１２０（第１のネットワーク）の通信状態を検出する。決定部２５６が、当該通信状態に基づいて、リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０（第２のＣＰＳサーバ装置）を、初期登録先に決定する。そして、通信部２５２（第１の通信部）が、当該初期登録先を示す通知を、ＣＰＳデバイス１０に送信する。ＣＰＳデバイス１０では、記憶制御部２０５が、設置装置８０から当該通知を受信すると、当該通知に含まれる初期登録先を記憶部２０６に記憶する。そして、登録処理部２０４が、当該初期登録先に接続し、ＣＰＳデバイス１０の初期登録を行う。

これにより第１実施形態の情報処理システム２００によれば、デバイスの数が増えても、初期登録作業を効率よく安全に実施できる。例えば、ＣＰＳデバイス１０をＣＰＳサーバに初期登録する際に、ＣＰＳサーバが異なる位置に複数ある構成であっても、平常時・異常時ともに初期登録処理を効率よく安全に実施することができる。

（第２実施形態）
次に第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第１実施形態では、ＣＰＳデバイス１０はローカルＲＶサーバ装置７０及びリモートＲＶサーバ装置６０を介して初期登録先を取得していたが、第２実施形態では、設置装置８０－２（図１３参照）が直接ＣＰＳデバイス１０に対して初期登録先を通知する。

また、第１実施形態では、設置装置管理サーバ装置１００が設置装置８０の公開鍵を集中管理していた。第１実施形態では、設置装置８０の署名鍵が全ての設置装置８０について共通である統一鍵である場合は比較的運用が容易であった。一方、署名鍵が設置装置８０ごとに異なる個別鍵である場合、鍵の更新管理、及び、所有証明書の発行先の特定などの運用に手間がかかる。そこで、第２実施形態では、設置装置８０－２の署名鍵が個別鍵の場合には、新たに「販売装置」を介在させる。これにより異常時におけるＣＰＳデバイス１０の流通をより容易に行うことができるようになる。

［装置構成の例］
図１３は第２実施形態の情報処理システム２００－２の装置構成の例を示す図である。図１３の例では、第１実施形態（図１参照）と比べ、リモートＲＶサーバ装置６０、ローカルＲＶサーバ装置７０及び設置装置管理サーバ装置１００がなくなり、販売装置１３０及び販売装置管理サーバ装置１４０が加わっている。

販売装置１３０は、デバイス販売者がＣＰＳデバイス１０を販売する際に用いる装置である。例えば、販売装置１３０は、スマートフォン上で動作するアプリケーションとして実現される。販売装置１３０はユーザ認証機能を備えており、デバイス販売者及びデバイス販売者に委託を受けた者のみが操作できる。販売装置１３０は自身の署名鍵を持つが、この署名鍵は全ての販売装置１３０に共通の統一鍵である。また、販売装置１３０は近隣の設置装置８０－２と、例えばＢｌｕｅｔｏｏｔｈ（登録商標）及び無線ＬＡＮなどによって、直接通信する通信機能を有する。

販売装置管理サーバ装置１４０は、販売装置１３０の署名鍵を管理するサーバ装置である。販売装置管理サーバ装置１４０は、デバイス販売者により管理される。販売装置管理サーバ装置１４０は、販売装置１３０の公開鍵を記憶して所有証明書管理サーバ装置１１０に提供するとともに、販売装置１３０の鍵の更新処理を管理する。

［各装置の機能構成の例］
以下、第２実施形態の装置の機能構成について述べる。多くの装置については第１実施形態と同様であるため、第１実施形態と比べて特筆すべき変更のある装置の機能構成について説明する。

図１４は第２実施形態の設置装置８０－２の機能構成の例を示す図である。第２実施形態の設置装置８０－２は、ＵＩ部２５１、通信部２５２、設定部２５３、検出部２５４、通知処理部２５７、署名鍵管理部２５８、発行部２６０、記憶制御部２６１、記憶部２６２及び受付部２６３を備える。第２実施形態では、ＲＶ転送部２５５及び読取部２５９がなくなり、受付部２６３が加わっている。

ＵＩ部２５１、設定部２５３、検出部２５４、発行部２６０及び記憶制御部２６１は、第１実施形態と同様である。

通信部２５２は、更に、販売装置１３０と通信する。

通知処理部２５７は、検出部２５４で検出された通信状態に応じて適切なＣＰＳサーバ（リモートＣＰＳサーバ装置４０又はローカルＣＰＳサーバ装置５０）のアドレスをＣＰＳデバイス１０に通知する。

署名鍵管理部２５８は、署名鍵の更新管理を行う。設置装置８０－２の署名鍵は個別鍵であり、署名鍵管理部２５８によって任意のタイミングで更新される。

記憶部２６２は、更に、リモートＣＰＳサーバ装置４０及びローカルＣＰＳサーバ装置５０のアドレスを記憶する。

受付部２６３は、通信部１５２を介して販売装置１３０と通信し、当該販売装置１３０から所有証明書の発行を受け付ける。

図１５は第２実施形態の販売装置１３０の機能構成の例を示す図である。第２実施形態の販売装置１３０は、ＵＩ部３０１、認証部３０２、通信部３０３、署名鍵管理部３０４、読取部３０５、発行部３０６、記憶制御部３０７及び記憶部３０８を備える。

ＵＩ部３０１は、ユーザから操作を受け付け、当該操作に応じて情報を提示する。例えば、販売装置１３０が、スマートフォン等のスマートデバイスの場合、ＵＩ部３０１はタッチスクリーンなどである。

認証部３０２は、ユーザ認証を行う。例えば、認証部３０２は、ユーザに対してユーザ名及びパスワードの入力を促し、正しい入力がされた場合にのみ、ユーザが販売装置１３０を操作することを許可する。

通信部３０３は、有線ＬＡＮ、無線ＬＡＮ及び近距離無線通信規格等を利用して、他の装置と通信する。例えば、通信部３０３は、ＬＡＮ２０及びインターネット１２０を介して他の装置と通信する。また例えば、通信部３０３は、設置装置８０－２に接続して通信する。

署名鍵管理部３０４は、通信部３０３を介して、販売装置管理サーバ装置１４０と通信し、署名鍵の管理を行う。

読取部３０５は、物理メディアから所有証明書を読み出す。物理メディアは、例えばｍｉｃｒｏＳＤカード及びＱＲコード（登録商標）等である。

発行部３０６は、通信部３０３を介して、設置装置８０－２と通信し、当該設置装置８０－２にＣＰＳデバイス１０の所有権を移管する所有証明書を発行する。

記憶制御部３０７は、記憶部３０８に記憶された情報の記憶制御を行う。

記憶部３０８は情報を記憶する。例えば、記憶部３０８は、署名用の鍵ペアを記憶する。この鍵ペアの公開鍵が所有証明書に記載される。また例えば、記憶部３０８は、読取部３０５によって読み取られた所有証明書を記憶する。

図１６は第２実施形態の販売装置管理サーバ装置１４０の機能構成の例を示す図である。第２実施形態の販売装置管理サーバ装置１４０は、通信部３２１、提供部３２２、更新制御部３２３、記憶制御部３２４及び記憶部３２５を備える。

通信部３２１は、インターネット１２０などのネットワークを介して他の装置と通信する。

提供部３２２は、所有証明書管理サーバ装置１１０に、販売装置１３０の公開鍵を提供する。

更新制御部３２３は、販売装置１３０の署名鍵の更新処理を制御する。

記憶制御部３２４は、記憶部３２５に記憶された情報の記憶制御を行う。

記憶部３２５は情報を記憶する。例えば、記憶部３２５は、販売装置１３０の識別子及び署名鍵などの情報を記憶する。

［初期登録処理の例］
図１７は第２実施形態の初期登録処理の例（正常時）を示すシーケンス図である。図１７は、第２実施形態の正常時における初期登録処理のフローの例を示す。

ステップＳ６１～Ｓ６７の処理は、第１実施形態のステップＳ１～Ｓ５、Ｓ７及びＳ８の処理（図９参照）と同様である。

次に、設置装置８０－２がリモートＣＰＳサーバ装置４０と通信可能であることを確認する（ステップＳ６８）。なお、設置装置８０－２には、例えばデバイス購入者によって、リモートＲＶサーバ装置６０及びローカルＲＶサーバ装置７０のアドレスが予め設定されている。

次に、設置装置８０－２がＣＰＳデバイス１０に初期登録先を通知する（ステップＳ６９）。図１７の例では、設置装置８０－２は、リモートＣＰＳサーバ装置４０のアドレスをＣＰＳデバイス１０に通知する。

ステップＳ７０～Ｓ７２の処理は、第１実施形態のステップＳ１２～Ｓ１４の処理（図９参照）と同様である。

第２実施形態によれば、設置装置８０－２にリモートＣＰＳサーバ装置４０及びローカルＣＰＳサーバ装置５０の情報が入力済みであれば、ランデブーサーバ（リモートＲＶサーバ装置６０又はローカルＲＶサーバ装置７０）を用いずに、ＣＰＳデバイス１０に初期登録先を通知できる。

図１８は第２実施形態の初期登録処理の例（異常時）を示すシーケンス図である。図１８は、第２実施形態の異常時における初期登録処理のフローの例を示す。

ステップＳ８１及びＳ８２の処理は、第１実施形態のステップＳ３１及びＳ３２の処理（図１１参照）と同様である。

次に、販売装置管理サーバ装置１４０が、販売装置１３０の公開鍵を所有証明書管理サーバ装置１１０に送信する（ステップＳ８３）。

次に、所有証明書管理サーバ装置１１０（発行部２９３）が、販売装置１３０に、ＣＰＳデバイス１０の所有権が移管されたことを示す所有証明書を発行する（ステップＳ８４）。所有証明書は、所有証明書管理サーバ装置１１０（書き出し部２９４）によって物理メディアに書き出される。

次に、デバイス販売者が、ＣＰＳデバイス１０をデバイス購入者に販売し、ＣＰＳデバイス１０をデバイス購入者に引き渡す（ステップＳ８５）。この時、デバイス販売者はＣＰＳデバイス１０と、ステップＳ８４で物理メディアに書き出した所有証明書と、販売装置とを持つとし、デバイス購入者は設置装置８０－２を持つとする。

次に、販売装置１３０（読取部３０５）が、デバイス販売者の操作入力に応じて、物理メディアから所有証明書を読み取る（ステップＳ８６）。

次に、デバイス販売者が持つ販売装置１３０と、デバイス購入者が持つ設置装置８０－２とが通信し、販売装置１３０（発行部３０６）が、販売装置１３０から設置装置８０－２へＣＰＳデバイス１０の所有権を移管する所有証明書を発行する（ステップＳ８７）。具体的には、発行部３０６が、認証部３０２により認証されたユーザの操作に応じて設置装置８０－２と通信し、ＣＰＳデバイス１０の所有権が、設置装置８０－２に更に移管されたことを示す情報を、ステップＳ８６の処理により読み取られた所有証明書に付加することによって、所有証明書を発行する。

次に、設置装置８０－２が、ＬＡＮ２０に接続し、ローカルＣＰＳサーバ装置に所有証明書を発行する（ステップＳ８８）。

ステップＳ８９～Ｓ９１の処理は、第１実施形態のステップＳ３８～Ｓ４１の処理（図１１参照）と同様である。

次に、設置装置８０－２がＣＰＳデバイス１０に初期登録先を通知する（ステップＳ９２）。ここでは、設置装置８０－２は既にリモートＣＰＳサーバ装置４０と通信できないことを検出済みとし、ローカルＣＰＳサーバ装置５０のアドレスをＣＰＳデバイス１０に通知する。

ステップＳ９３の処理は、第１実施形態のステップＳ４５の処理（図１１参照）と同様である。

このように、第２実施形態では統一鍵を持つ販売装置１３０と、個別鍵を持つ設置装置８０－２とを介してローカルＣＰＳサーバ装置５０へ所有証明書が発行される。販売装置１３０の署名鍵は統一鍵であるが、ユーザ認証によって販売装置１３０を操作できる者は制限されている。一方、設置装置８０－２は誰でも所有し、操作できるが、その署名鍵は個別鍵である。

具体的には、設置装置８０－２の署名鍵管理部２５８は、設置装置８０－２毎に異なる署名鍵を管理する。販売装置１３０の署名鍵管理部３０４は、販売装置１３０の署名鍵を管理する。所有証明書管理サーバ装置１１０の発行部２９３は、署名鍵管理部３０４の署名鍵に対応する公開鍵を含む所有証明書を発行する。販売装置１３０の発行部３０６は、署名鍵管理部２５８の署名鍵に対応する公開鍵を含む所有証明書を発行する。

第２実施形態では、販売装置１３０から設置装置８０－２に所有証明書を発行する処理（ステップＳ８７）の前に、デバイス販売者とデバイス購入者とが対面し、ＣＰＳデバイス１０を受け渡し（ステップＳ８５）、所有証明書の読み取り処理（ステップＳ８６）が行われる。このようにすれば、正規のデバイス購入者以外のものが不正に所有証明書の発行を受けることを防ぐと同時に、設置装置８０－２及び販売装置１３０の署名鍵の管理を簡略化できる。

最後に、第１及び第２実施形態の各装置のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図１９は第１及び第２実施形態の各装置（ＣＰＳデバイス１０、リモートＣＰＳサーバ装置４０、ローカルＣＰＳサーバ装置５０、リモートＲＶサーバ装置６０、ローカルＲＶサーバ装置７０、設置装置８０（８０－２）、デバイス初期化装置９０、設置装置管理サーバ装置１００、所有証明書管理サーバ装置１１０、販売装置１３０及び販売装置管理サーバ装置１４０）のハードウェア構成の例を示す図である。

各装置は、制御装置４０１、主記憶装置４０２、補助記憶装置４０３、表示装置４０４、入力装置４０５及び通信装置４０６を備える。制御装置４０１、主記憶装置４０２、補助記憶装置４０３、表示装置４０４、入力装置４０５及び通信装置４０６は、バス４１０を介して接続されている。

制御装置４０１は、補助記憶装置４０３から主記憶装置４０２に読み出されたプログラムを実行する。主記憶装置４０２は、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、及び、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等のメモリである。補助記憶装置４０３は、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）、及び、メモリカード等である。

表示装置４０４は表示情報を表示する。表示装置４０４は、例えば液晶ディスプレイ等である。入力装置４０５は、情報の入力を受け付けるためのインタフェースである。入力装置４０５は、例えばキーボードやマウス等である。装置がスマートフォン及びタブレット型端末等のスマートデバイスの場合、表示装置４０４及び入力装置４０５は、例えばタッチパネルである。なお、表示装置４０４及び入力装置４０５を備えずに、通信装置４０６を介して接続された外部装置の表示機能及び入力機能が利用されてもよい。通信装置４０６は、他の装置と通信するためのインタフェースである。

各装置で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｃ）等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

また各装置で実行されるプログラムを、インターネット１２０等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また各装置で実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

また各装置で実行されるプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

各装置で実行されるプログラムは、各装置の機能構成（機能ブロック）のうち、プログラムによっても実現可能な機能ブロックを含むモジュール構成となっている。当該各機能ブロックは、実際のハードウェアとしては、制御装置４０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置４０２上にロードされる。すなわち上記各機能ブロックは主記憶装置４０２上に生成される。

なお上述した各機能ブロックの一部又は全部をソフトウェアにより実現せずに、ＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能ブロックを実現する場合、各プロセッサは、各機能ブロックのうち１つを実現してもよいし、各機能ブロックのうち２つ以上を実現してもよい。

また各装置を実現するコンピュータの動作形態は任意でよい。例えば、リモートＣＰＳサーバ装置４０、リモートＲＶサーバ装置６０、設置装置管理サーバ装置１００、所有証明書管理サーバ装置１１０、販売装置１３０及び販売装置管理サーバ装置１４０は、インターネット１２０等のネットワーク上のクラウドシステムとして動作させてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０ＣＰＳデバイス
２０ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）
３０ゲートウェイ
４０リモートＣＰＳサーバ装置
５０ローカルＣＰＳサーバ装置
６０リモートＲＶ（Ｒｅｎｄｅｚｖｏｕｓ）サーバ装置
７０ローカルＲＶサーバ装置
８０設置装置
９０デバイス初期化装置
１００設置装置管理サーバ装置
１１０所有証明書管理サーバ装置
１２０インターネット
１３０販売装置
１４０販売装置管理サーバ装置
２００情報処理システム
２０１通信部
２０２初期化処理部
２０３ランデブー処理部
２０４登録処理部
２０５記憶制御部
２０６記憶部
２１１通信部
２１２受付部
２１３ランデブー処理部
２１４登録処理部
２１５同期処理部
２１６サービス処理部
２１７通知処理部
２１８記憶制御部
２１９記憶部
２３１通信部
２３２受付部
２３３ランデブー処理部
２３４登録処理部
２３５同期処理部
２３６サービス処理部
２３７通知処理部
２３８記憶制御部
２３９記憶部
２５１ＵＩ（ＵｓｅｒＩｎｔｅｒｆａｃｅ）部
２５２通信部
２５３設定部
２５４検出部
２５５ＲＶ転送部
２５６決定部
２５７通知処理部
２５８署名鍵管理部
２５９読取部
２６０発行部
２６１記憶制御部
２６２記憶部
２６３受付部
２７１通信部
２７２受付部
２７３初期化処理部
２７４送信制御部
２７５記憶制御部
２７６記憶部
２８１通信部
２８２受付部
２８３提供部
２８４更新制御部
２８５記憶制御部
２８６記憶部
２９１通信部
２９２受付部
２９３発行部
２９４書き出し部
２９５記憶制御部
２９６記憶部
３０１ＵＩ部
３０２認証部
３０３通信部
３０４署名鍵管理部
３０５読取部
３０６発行部
３０７記憶制御部
３０８記憶部
３２１通信部
３２２提供部
３２３更新制御部
３２４記憶制御部
３２５記憶部
４０１制御装置
４０２主記憶装置
４０３補助記憶装置
４０４表示装置
４０５入力装置
４０６通信装置
４１０バス

Claims

設置装置と、ＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）デバイスとを備え、
前記設置装置は、
第１のＣＰＳサーバ装置が接続されている第１のネットワークの通信状態を検出する検出部と、
前記通信状態に基づいて、前記第１のＣＰＳサーバ装置又は第２のＣＰＳサーバ装置を、初期登録先に決定する決定部と、
前記初期登録先を示す通知を、前記ＣＰＳデバイスに送信する第１の通信部と、を備え、
前記ＣＰＳデバイスは、
前記設置装置から前記通知を受信すると、前記通知に含まれる前記初期登録先を記憶部に記憶する記憶制御部と、
前記初期登録先に接続し、前記ＣＰＳデバイスの初期登録を行う登録処理部と、
を備える情報処理システム。
前記第１のネットワークには、第１のランデブーサーバ装置が更に接続され、
前記ＣＰＳデバイスは、初期登録先を問い合わせる初期登録先リクエストを前記設置装置に送信するランデブー処理部を更に備え、
前記設置装置は、
前記初期登録先リクエストを受信すると、前記通信状態に基づいて、前記第１のランデブーサーバ装置又は第２のランデブーサーバ装置に、前記初期登録先リクエストを転送するランデブー転送部を更に備え、
前記決定部は、前記初期登録先リクエストの応答に基づいて、前記第１又は第２のＣＰＳサーバ装置のアドレスを特定し、
前記第１の通信部は、前記第１又は第２のＣＰＳサーバ装置のアドレスを含む前記通知を、前記ＣＰＳデバイスに送信する、
請求項１に記載の情報処理システム。
前記情報処理システムは、所有証明書管理サーバ装置を更に備え、
前記所有証明書管理サーバ装置は、
前記設置装置に、前記ＣＰＳデバイスの所有権が移管されたことを示す第１の所有証明書を発行する第１の発行部と、
前記第１の所有証明書を物理メディアに書き出す書き出し部と、を備え、
前記設置装置は、
前記物理メディアから前記第１の所有証明書を読み出す第１の読取部と、
前記ＣＰＳデバイスの所有権が、前記第１又は第２のＣＰＳサーバ装置に更に移管されたことを示す情報を、前記第１の所有証明書に付加することによって、第２の所有証明書を発行する第２の発行部と、を更に備え、
前記第１又は第２のＣＰＳサーバ装置は、
前記ＣＰＳデバイスからの接続を受け付けたとき、前記ＣＰＳデバイスの初期登録を行う前に、前記第２の所有証明書を用いて、前記ＣＰＳデバイスとの相互認証を実施する、
請求項１又は２に記載の情報処理システム。
前記第１の通信部は、前記第１の所有証明書を用いて、前記ＣＰＳデバイスとの相互認証を実施し、
前記相互認証が成功した場合、前記ＣＰＳデバイスを第２のネットワークに接続するための認証情報を、前記ＣＰＳデバイスに設定する設定部、
を更に備える請求項３に記載の情報処理システム。
前記情報処理システムは、所有証明書管理サーバ装置と販売装置とを更に備え、
前記所有証明書管理サーバ装置は、
前記販売装置に、前記ＣＰＳデバイスの所有権が移管されたことを示す第３の所有証明書を発行する第１の発行部と、
前記第３の所有証明書を物理メディアに書き出す書き出し部と、を備え、
前記販売装置は、
前記物理メディアから前記第３の所有証明書を読み出す第２の読取部と、
ユーザの認証を行う認証部と、
前記認証部により認証された前記ユーザの操作に応じて前記設置装置と通信し、前記ＣＰＳデバイスの所有権が、前記設置装置に更に移管されたことを示す情報を、前記第３の所有証明書に付加することによって、第４の所有証明書を発行する第３の発行部と、
を備える請求項１に記載の情報処理システム。
前記設置装置は、
前記設置装置毎に異なる第１の署名鍵を管理する第１の署名鍵管理部、を更に備え、
前記販売装置は、
前記販売装置の第２の署名鍵を管理する第２の署名鍵管理部、を更に備え、
前記第１の発行部は、前記第２の署名鍵に対応する公開鍵を含む前記第３の所有証明書を発行し、
前記第３の発行部は、前記第１の署名鍵に対応する公開鍵を含む前記第４の所有証明書を発行する、
請求項５に記載の情報処理システム。
前記第１のＣＰＳサーバ装置は、
前記第１のＣＰＳサーバ装置に初期登録された前記ＣＰＳデバイスの情報を、前記第２のＣＰＳサーバ装置に同期する第１の同期処理部を更に備え、
前記第１の通信部は、前記第１のＣＰＳサーバ装置の代替のＣＰＳサーバの情報として、前記第２のＣＰＳサーバ装置のアドレスを前記ＣＰＳデバイスに送信し、
前記第２のＣＰＳサーバ装置は、
前記第２のＣＰＳサーバ装置に初期登録された前記ＣＰＳデバイスの情報を、前記第１のネットワークへの接続が復旧次第、前記第１のＣＰＳサーバ装置に同期する第２の同期処理部と、
前記第２のＣＰＳサーバ装置の代替のＣＰＳサーバの情報として、前記第１のＣＰＳサーバ装置のアドレスを前記ＣＰＳデバイスに送信する第２の通信部と、
を備える請求項１乃至６のいずれか１項に記載の情報処理システム。
前記決定部は、前記第１のネットワークへの通信障害が発生していない場合、前記第１のＣＰＳサーバ装置を、初期登録先に決定し、前記第１のネットワークへの通信障害が発生している場合、前記第２のＣＰＳサーバ装置を、初期登録先に決定する、
請求項１乃至７のいずれか１項に記載の情報処理システム。
第１のＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）サーバ装置が接続されているネットワークの通信状態を検出する検出部と、
前記通信状態に基づいて、前記第１のＣＰＳサーバ装置又は第２のＣＰＳサーバ装置を、初期登録先に決定する決定部と、
前記初期登録先を示す通知を、ＣＰＳデバイスに送信する通信部と、
を備える設置装置。
コンピュータを、
第１のＣＰＳ（ＣｙｂｅｒＰｈｙｓｉｃａｌＳｙｓｔｅｍｓ）サーバ装置が接続されているネットワークの通信状態を検出する検出部と、
前記通信状態に基づいて、前記第１のＣＰＳサーバ装置又は第２のＣＰＳサーバ装置を、初期登録先に決定する決定部と、
前記初期登録先を示す通知を、ＣＰＳデバイスに送信する通信部、
として機能させるためのプログラム。