JP4644900B2

JP4644900B2 - Service providing system, service providing method, service mediating apparatus, and program providing medium via communication means

Info

Publication number: JP4644900B2
Application number: JP2000062213A
Authority: JP
Inventors: 義人石橋; 智之浅野; 誠岡
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2000-03-07
Filing date: 2000-03-07
Publication date: 2011-03-09
Anticipated expiration: 2020-03-07
Also published as: JP2001249899A

Description

【０００１】
【発明の属する技術分野】
本発明は、通信手段を介したサービス提供システム、サービス提供方法、およびサービス仲介装置に関する。さらに詳細には、各種の電子機器、例えばテレビやビデオデッキ、エアコン、冷蔵庫、電子レンジなどの各種電子機器に対して、通信ネットワーク等の通信手段を介して各種の制御を実行したり、メンテナンス等のサービスを提供する構成において、個々の機器を小型で低コストの構成とすることを可能とするとともに、サービス提供時の制御情報、メンテナンス情報、課金情報等を十分なセキュリティを確保して転送可能とした通信手段を介したサービス提供システム、サービス提供方法、およびサービス仲介装置に関する。
【０００２】
【従来の技術】
近年、デジタル技術の発展に伴い、多くの電子機器がマイコン等による制御可能な構成となってきている。また複数のコンピュータを結ぶインターネット等の通信ネットワークにより広い地域をカバーするデジタルネットワークが構築されてきている。電子機器を通信ネットワークに接続することによって、電子機器をネットワークを介して遠隔地から制御したりメンテナンスを行なったり、あるいは電子機器ユーザに対してメンテナンス情報の提供を行なうなど、ネットワークを通じた情報伝達形態が盛んになってきている。
【０００３】
具体的には、各種電子機器に対する制御、メンテナンス等のサービスを提供するサービスセンタを設置し、サービスセンタとユーザの電子器間を電話回線、ケーブルテレビ回線、インターネット、無線回線、衛星回線などで接続して各種サービスを提供する構成が実施されている。また、これらのサービス提供システムにおいてユーザ情報、口座情報等の各種決済情報を登録することにより提供したサービスに対して課金処理を行う構成も普及しつつある。
【０００４】
【発明が解決しようとする課題】
しかし、このような、電子機器に対するネットワーク等の通信回線を介したサービス提供構成においては、サービス機関とユーザ機器との間をインターネット等の通信手段を介してデータをそのまま送受信することが多いため、例えば個人的な情報が漏洩したり改竄される可能性がある。たとえば、サービス料金に対する課金のためのユーザの銀行口座やクレジットカード番号などの情報は、不正に扱われると重大な被害をもたらす場合があり、インターネットのように複数のユーザが同じ回線を共有するモデルにおいての個人情報を含むデータの送受信は、情報の保護の観点から問題がある。
【０００５】
また、現在の通信手段を介したサービス提供システムでは、ネットワーク等を介したサービスを受けるために、サービスを受けるすべての機器がサービスセンタと外部ネットワーク等を経由して直接接続できる構成を持つ必要があった。すなわち、サービス通信手段としてのモデム、インタフェース等がユーザの機器に備わっていることが必要とされている。しかし、このようなサービスを受けるためにすべての機器に通信のためのモジュールを備えることは、コスト面、機器の小型化の点からも好ましいものではない。特に小型化が重要となる機器においてはこの問題は顕著となる。さらに同様の理由で、すべての機器に高度なセキュリティ機能モジュールを構成することも現実的ではなく、これらの問題点がネットワークを介するサービス提供システムの普及を阻む要因の１つとなっている。
【０００６】
本発明は、上述の問題点、すなわちサービスを受ける電子機器すべてに通信のためのモジュールを備えることを不要とし、また、機器に高度なセキュリティ機能モジュールを構成する必要性をなくすことを可能としたデータ通信システムおよびデータ通信方法を提供することを目的とする。
【０００７】
【課題を解決するための手段】
本発明の第１の側面は、
ローカルネットワークインタフェース手段、または情報記録媒体インタフェース手段の少なくともいずれかを有する制御対象機器と、
外部ネットワークに対するインタフェース手段と、該外部ネットワークを使用した転送データの暗号処理を実行する暗号処理手段とを有するとともに、前記制御対象機器のローカルネットワークインタフェース手段または情報記録媒体インタフェース手段のいずれかを介して前記制御対象機器に対してデータ転送可能な構成を有する上位機器とを有し、
前記上位機器は、前記外部ネットワークを介して前記制御対象機器に対する制御情報をサービスセンタから受信して、該受信制御情報をローカルネットワークまたは情報記録媒体を介して前記制御対象機器に転送する構成を有し、
前記サービスセンタは前記上位機器および制御対象機器の機器識別子を登録した機器情報データベースと、前記上位機器および制御対象機器の利用者識別子を登録した利用者情報データベースを有し、
前記機器情報データベースに登録された機器識別子と、前記上位機器または制御対象機器から受信する機器識別子との照合処理を実行することにより、機器正当性検証処理を実行し、
前記利用者情報データベースに登録された利用者識別データと、前記上位機器または制御対象機器から受信する利用者識別データとの照合処理を実行することにより、利用者正当性検証処理を実行することを特徴とする通信手段を介したサービス提供システムにある。
【０００８】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記サービスセンタおよび前記上位機器は認証処理手段を有し、前記サービスセンタおよび前記上位機器間のデータ送受信は、認証処理による認証が成立した場合にのみ実行する構成であることを特徴とする。
【０００９】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記上位機器および前記制御対象機器は認証処理手段を有し、前記上位機器および前記制御対象機器間のデータ送受信は、認証処理による認証が成立した場合にのみ実行する構成であることを特徴とする。
【００１０】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記上位機器および前記制御対象機器は認証処理手段を有し、前記上位機器および前記制御対象機器間における前記情報記録媒体を介したデータ転送は、前記上位機器および前記制御対象機器による前記情報記録媒体の認証処理による認証が成立した場合にのみ実行する構成であることを特徴とする。
【００１３】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記サービスセンタおよび前記上位機器間において送受信されるデータは、当該通信セッションでのみ有効なセッション鍵を用いて暗号化処理がなされたデータであることを特徴とする。
【００１４】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記上位機器および前記制御対象機器間において転送されるデータは、当該通信セッションでのみ有効なセッション鍵を用いて暗号化処理がなされたデータであることを特徴とする。
【００１５】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記サービスセンタは前記制御対象機器に対して、機器診断処理、機器修復処理、データバックアップ処理、データリストア処理、データ配信処理、ヘルプデータ提供処理、操作情報提供処理のいずれかのサービスを提供する構成であることを特徴とする。
【００１６】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記サービスセンタおよび前記上位機器間の認証処理は、公開鍵暗号方式によって実行し、前記上位機器および前記制御対象機器間の認証処理は、公開鍵暗号方式または共通鍵暗号方式のいずれかの方式によって実行する構成であることを特徴とする。
【００１７】
さらに、本発明の通信手段を介したサービス提供システムの一実施態様において、前記サービスセンタおよび前記上位機器間のデータ通信は、共通鍵暗号方式によって実行し、前記上位機器および前記制御対象機器間のデータ通信は、共通鍵暗号方式によって実行する構成であることを特徴とする。
【００３３】
本発明の第４の側面に係るプログラム提供媒体は、例えば、様々なプログラム・コードを実行可能な汎用コンピュータ・システムに対して、コンピュータ・プログラムをコンピュータ可読な形式で提供する媒体である。媒体は、ＣＤやＦＤ、ＭＯなどの記憶媒体、あるいは、ネットワークなどの伝送媒体など、その形態は特に限定されない。
【００３４】
このようなプログラム提供媒体は、コンピュータ・システム上で所定のコンピュータ・プログラムの機能を実現するための、コンピュータ・プログラムと提供媒体との構造上又は機能上の協働的関係を定義したものである。換言すれば、該提供媒体を介してコンピュータ・プログラムをコンピュータ・システムにインストールすることによって、コンピュータ・システム上では協働的作用が発揮され、本発明の他の側面と同様の作用効果を得ることができるのである。
【００３５】
【作用】
本発明の機器およびサービスセンタは相互に認証処理を実行し、通信相手の確認を実行するとともに、送信データの暗号化を行っているため、安全なデータ送受信が可能となる。さらに外部ネットワークに対する通信手段を持たず、サービスセンタに直接接続できない機器も、外部ネットワークと直接接続できる上位機器を介してサービスセンタとの通信を安全に行うことができる。
【００３６】
本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。
【００３７】
【発明の実施の形態】
［システム概要］
図1は本発明の通信手段を介したサービス提供システム、サービス提供方法、およびサービス仲介装置の概要を説明するブロック図である。本発明のシステムはユーザ機器に対するサービスを提供するサービスセンタ１０、サービスセンタ１０とのデータ送受信を実行するサービス仲介装置としての上位機器２０、上位機器２０を経由して、サービスセンタ１０からの制御等を受ける制御対象機器（下位機器）３０、サービスセンタ１０と上位機器２０とを結ぶ電話回線、ＣＡＴＶ回線、衛星、無線、インターネット等の外部ネットワーク通信手段、上位機器２０と制御対象機器（下位機器）３０との間を結ぶ、例えば、ＩＥＥＥ１３９４、ＵＳＢ等の通信インタフェースによって通信可能なローカルネットワークからなる。なお、上位機器２０自体がサービスセンタ１０からの制御、メンテナンス等を受ける制御対象機器となることも可能であり、図１の下側に示す上位機器２０は、この態様を示している。
【００３８】
図１に示した各構成要素について説明する。本発明のユーザ側の機器は上位機器２０と制御対象機器（下位機器）３０の２種類に大きく分けられる。以下、各機器およびサービスセンタの構成について説明する。
【００３９】
＜上位機器＞
サービス仲介装置としての上位機器２０は、サービスセンタ１０と電話回線を介した通信が可能なモデム、あるいは、ＣＡＴＶ回線、衛星、その他の無線回線等を介したデータ送受信が可能な通信手段を有する機器である。また、図１の上部に示すように、制御対象機器（下位機器）３０に対して、サービスセンタ１０からのデータを転送したり、制御対象機器（下位機器）３０からサービスセンタ１０への送信データを転送するための手段を有する。
【００４０】
図２に上位機器２０の構成を示す。上位機器２０は、サービスを受ける制御対象機器３０との接続用ローカルネットワークを構成するために用いられるＩＥＥＥ１３９４(アメリカ電気電子学会による接続規格)やＵＳＢ(Universal Serial Bus)等のインターフェース部としてのローカルインタフェース２０８を備え、他の機器とのデータ通信が可能である。上位機器２０とサービスセンタ１０との通信は電話回線、ケーブルテレビ回線、無線回線、衛星回線、インターネット接続などによって実行される構成とすればよく、これら各通信方法に従った外部インタフェース２０６を持つ。
【００４１】
上位機器２０は暗号化・認証や通信の制御を行う専用のＩＣとしての暗号化通信ＩＣ２０５を備える。この暗号化通信ＩＣ２０５は公開鍵暗号方式と共通鍵暗号方式を利用するために必要な演算が可能である。また、ＩＣには上位機器２０固有の識別子（機器ＩＤ）を格納する記憶手段を備えており、機器の認証の際にこのＩＤを利用する。暗号化・認証通信ＩＣ２０５は、外部からＩＤの書き換え等ができないようにＳＡＭ(Secure Application Module）として構成されることが好ましい。
【００４２】
暗号化通信ＩＣ２０５内に格納される機器ＩＤはサービスセンタ１０が発行し、サービスセンタのデータベースには発行済みのＩＤが登録される。なお、セキュリティを高めるために機器ＩＤに、例えば検証ビットを付加する等、冗長性を持たせたデータ構成とすることにより、サービスセンタ１０によるサービス実施時に機器ＩＤの検証ビットを用いた検証を実行するような構成としてもよい。このような構成とすることにより、サービスセンタ１０の発行した正規なＩＤ以外の不正なＩＤを持つ機器をサービス対象から排除することが可能となる。
【００４３】
公開鍵暗号方式を利用する上で必要となる、上位機器２０自身の公開鍵と秘密鍵の組およびその公開鍵に対応する公開鍵証明書は予め機器の暗号化通信ＩＣ２０５の記憶部に記録されている。公開鍵証明書は信頼できる証明書発行機関、いわゆる認証局（ＣＡ：Certificate Authority）が発行したものである。
【００４４】
本発明の通信手段を介したサービス提供システムにおいては、データ送信側とデータ受信側とが互いに正規なデータ送受信対象であることを確認した上で、必要な情報を転送する、すなわちセキュリティを考慮したデータ転送構成をとる。データ転送の際のセキュリティ構成を実現する１つの手法が、転送データの暗号化処理である。
【００４５】
暗号化データは、所定の手続きによる復号化処理によって利用可能な復号データに戻すことができる。暗号化鍵と復号化鍵を用いるデータ暗号化・復号化方法の態様には様々な種類あるが、代表的な例としては暗号化、復号化に共通の鍵を用いるいわゆる共通鍵暗号化方式と、暗号化、復号化に異なる鍵を用いる公開鍵暗号方式とがある。公開鍵暗号方式は、発信者と受信者の鍵を異なるものとして、一方の鍵を不特定のユーザが使用可能な公開鍵として、他方を秘密に保つ秘密鍵とするものである。例えば、データ暗号化鍵を公開鍵とし、復号鍵を秘密鍵とする。
【００４６】
暗号化、復号化に共通の鍵を用いるいわゆる共通鍵暗号方式と異なり、公開鍵暗号方式では秘密に保つ必要のある秘密鍵は、特定の１人が持てばよいため鍵の管理において有利である。ただし、公開鍵暗号方式は共通鍵暗号化方式に比較してデータ処理速度が遅く、秘密鍵の配送、ディジタル署名等のデータ量の少ない対象に多く用いられている。公開鍵暗号方式の代表的なものにはＲＳＡ（Rivest-Shamir-Adleman）暗号がある。これは非常に大きな２つの素数（例えば１５０桁）の積を用いるものであり、大きな２つの素数（例えば１５０桁）の積の素因数分解する処理の困難さを利用している。
【００４７】
公開鍵暗号方式では、不特定多数に公開鍵を使用可能とする構成であり、配布する公開鍵が正当なものであるか否かを証明する証明書、いわゆる公開鍵証明書を使用する方法が多く用いられている。例えば、利用者Ａが公開鍵、秘密鍵のペアを生成して、生成した公開鍵を認証局に対して送付して公開鍵証明書を認証局から入手する。利用者Ａは公開鍵証明書を一般に公開する。不特定のユーザは公開鍵証明書から所定の手続きを経て公開鍵を入手して文書等を暗号化して利用者Ａに送付する。利用者Ａは秘密鍵を用いて暗号化文書等を復号する等のシステムである。
【００４８】
公開鍵証明書は、公開鍵暗号方式における認証局（ＣＡ：Certificate Authority）が発行する証明書であり、ユーザが自己のＩＤ、公開鍵等を認証局に提出することにより、認証局側が認証局のＩＤや有効期限等の情報を付加し、さらに認証局による署名を付加して作成される証明書である。
【００４９】
公開鍵証明書は、証明書のバージョン番号、認証局（ＩＡ）が証明書利用者に対し割り付ける証明書の通し番号、電子署名に用いたアルゴリズムおよびパラメータ、認証局の名前、証明書の有効期限、証明書利用者の名前（ユーザＩＤ）、証明書利用者の公開鍵並びに電子署名を含む。
【００５０】
電子署名は、証明書のバージョン番号、認証局が証明書利用者に対し割り付ける証明書の通し番号、電子署名に用いたアルゴリズムおよびパラメータ、認証局の名前、証明書の有効期限、証明書利用者の名前並びに証明書利用者の公開鍵等の全体データに対しハッシュ関数を適用してハッシュ値を生成し、そのハッシュ値に対して認証局の秘密鍵を用いて生成したデータである。
【００５１】
認証局は、公開鍵証明書を発行するとともに、有効期限が切れた公開鍵証明書を更新し、不正を行った利用者の排斥を行うための不正者リストの作成、管理、配布（これをリボケーション：Revocationと呼ぶ）等の処理を行う。
【００５２】
一方、この公開鍵証明書を利用する際には、利用者は自己が保持する認証局の公開鍵を用い、当該公開鍵証明書の電子署名を検証し、電子署名の検証に成功した後に公開鍵証明書から公開鍵を取り出し、当該公開鍵を利用する。従って、公開鍵証明書を利用する全ての利用者は、共通の認証局の公開鍵を保持している必要がある。本発明の図２に示す上位機器２０では、認証局の公開鍵は暗号化通信ＩＣ２０５の内部メモリに格納されている。
【００５３】
なお、上位機器の公開鍵、秘密鍵は、サービスセンタ１０に対して機器登録を実行する際に新たに上位機器が生成、あるいはサービスセンタが生成してこれを受信して上位機器に格納する構成としてもよく、この場合、公開鍵証明書が必要であれば、別途認証局から取得する。
【００５４】
また、上位機器２０は、複数の鍵の組が格納可能であり、機器が接続するサービスセンタ毎もしくはサービス毎に鍵の組を変更することができる。上位機器２０には、様々な下位機器としての制御対象機器３０がローカル接続可能であり、例えば制御対象機器３０がＡメーカーのテレビであれば、Ａメーカのサービスセンタ接続用の鍵を用い、制御対象機器３０がＢメーカーのエアコンであれば、Ｂメーカのサービスセンタ接続用の鍵を用いる等の構成が可能となる。
【００５５】
上位機器２０は、さらに、暗号化通信ＩＣ２０５の処理制御、各インタフェースを介した通信制御、記憶装置２１０のデータアクセス制御等の各種処理を制御するためのＣＰＵ２０１、通信データの一時記憶、処理プログラムの格納部として機能するＲＡＭ、ＲＯＭ等によって構成されるメモリ２０２、機器を操作するユーザに対する指示データ等の表示を行なう表示部２０３、ユーザによる通信開始等の指示を可能とする操作部２０９、ハードディスク、ＣＤ、ＤＶＤ等によって構成される記憶装置２１０を備える。
【００５６】
さらに上位機器２０は、機器本来の機能を提供する機器固有部２０４を有する。機器固有部２０４は、機器がたとえばビデオデッキであれば受信データの処理回路や変復調回路、あるいは磁気ドラムやテープ駆動部等であり、例えば電子レンジ等であれば、電子レンジの処理機能を含む。さらに上位機器２０は、メモリースティック、ＦＤ、ＣＤ、ＤＶＤのような情報記録媒体２１１にデータを記録するように構成してもよい。その場合、情報記録媒体２１１とのインターフェース２０７を備える。
【００５７】
＜制御対象機器（下位機器）＞
制御対象機器（下位機器）３０は、外部ネットワークとの直接接続手段を持たない機器であり、上位機器２０にローカルネットワークを介して接続され、サービスセンタ１０からの制御、メンテナンス等各種サービスを受ける機器である。
【００５８】
図３、図４に制御対象機器（下位機器）３０の２つの構成例を示す。図３は、制御対象機器（下位機器）３０が、上位機器と接続するためのローカルネットワークインターフェース３０７を有する構成であり、このローカルネットワークインターフェース３０７を介して上位機器２０と接続され、上位機器２０を介して受領するサービスセンタ１０の制御を受ける。この態様をオンライン型下位機器と呼ぶ。
【００５９】
一方、図４に示す制御対象機器（下位機器）３０は、上位機器と接続するためのローカルネットワークインターフェースを持たない構成であり、メモリカード、ＣＤ、ＦＤ等の情報記録媒体３１０に格納された制御情報、メンテナンス情報に基づいて制御を受ける。サービスセンタ１０から受信した制御情報を前述の図２の上位機器の情報記録媒体２１１に格納し、これを制御対象機器（下位機器）３０に取り付けることによってサービスセンタ１０からの制御をオフライン制御として実行することを可能としたものである。
【００６０】
制御対象機器（下位機器）３０の構成について説明する。図３のオンライン型の場合、サービスを受ける制御対象機器（下位機器）３０は、上位機器２０との接続用ローカルネットワークを構成するためＩＥＥＥ１３９４やＵＳＢ(Universal Serial Bus)等のインターフェース部としてのローカルインタフェース３０７を備え、上位機器２０とのデータ通信が可能である。
【００６１】
制御対象機器（下位機器）３０は暗号化・認証や通信の制御を行う専用のＩＣとしての暗号化通信ＩＣ３０５を備える。この暗号化通信ＩＣ３０５は公開鍵暗号方式と共通鍵暗号方式を利用するために必要な演算が可能である。また、暗号化通信ＩＣ３０５は公開鍵暗号方式と共通鍵暗号方式を利用するために必要な演算が可能である。ただし公開鍵暗号方式を利用するためには高い演算能力が必要であることから、資源に制約のある機器においては共通鍵暗号方式のみを利用可能とする構成としてもよい。
【００６２】
公開鍵暗号方式を利用する上で必要となる、公開鍵と秘密鍵の組およびその公開鍵に対応する公開鍵証明書は予め制御対象機器（下位機器）３０の暗号化通信ＩＣ３０５の内部メモリに記録されている。公開鍵証明書は上述した上位機器２０の場合と同様、信頼できる証明書発行機関、いわゆる認証局（ＣＡ：Certificate Authority）が発行したものである。なお、制御対象機器（下位機器）３０の公開鍵、秘密鍵は、サービスセンタ１０に対して機器登録を実行する際に新たに生成、あるいはサービスセンタが生成してこれを受信して機器に格納する構成としてもよく、この場合、公開鍵証明書が必要であれば、別途認証局から取得する。また、制御対象機器（下位機器）３０は、複数の鍵の組を格納可能とした構成としてもよく、機器が接続するサービスセンタ毎もしくはサービス毎に鍵の組を変更することを可能とした構成としてもよい。なお、サービスセンタ１０の公開鍵は予め機器の暗号化通信ＩＣ３０５の内部メモリに記録されている。なお、共通鍵暗号方式のみを利用する構成とする場合には、共通鍵はサービスセンタ１０によって発行され、制御対象機器（下位機器）３０の暗号化通信ＩＣ３０５の内部メモリに格納する。なお、共通鍵は制御対象機器（下位機器）３０の識別子（ＩＤ）に対応してサービスセンタが保持してもよい。
【００６３】
制御対象機器（下位機器）３０は、さらに、暗号化通信ＩＣ３０５の処理制御、各インタフェースを介した通信制御、記憶装置３０９のデータアクセス制御等の各種処理を制御するためのＣＰＵ３０１、通信データの一時記憶、処理プログラムの格納部として機能するＲＡＭ、ＲＯＭ等によって構成されるメモリ３０２、機器を操作するユーザに対する指示データ等の表示を行なう表示部３０３、ユーザによる通信開始等の指示を可能とする操作部３０８、ハードディスク、ＣＤ、ＤＶＤ等によって構成される記憶装置３０９を備える。
【００６４】
さらに制御対象機器（下位機器）３０は、機器本来の機能を提供する機器固有部３０４を有する。さらに制御対象機器（下位機器）３０は、メモリースティック、ＦＤ、ＣＤ、ＤＶＤのような情報記録媒体３１０にデータを記録するように構成してもよい。その場合、情報記録媒体３１０とのインターフェース３０６を備える。図４のオフライン型の場合、この情報記録媒体３１０を介してサービスセンタ１０からの制御情報を受領する。図３のオンライン型構成では、ローカルネットワークを介するか、あるいは情報記録媒体３１０を介するか、いずれの方法も可能となる。
【００６５】
すなわち、図３のオンライン型では、制御対象機器（下位機器）３０はサービスを受ける際、ローカルネットワークインターフェース３０７を用いて上位機器２０に接続し、上位機器２０の外部インタフェース２０６の接続能力を利用してサービスセンタ１０と接続する。このとき通信制御は制御対象機器（下位機器）３０が独自に行う。また、図４のオフライン型では、上位機器２０が制御対象機器（下位機器）３０の代理としてセンタに接続してデータを送受信し、制御対象機器（下位機器）３０はそのデータを上位機器２０で情報記録媒体に記録し、その情報記録媒体を制御対象機器（下位機器）３０に移動し、制御対象機器（下位機器）３０はその情報記録媒体からデータを読み出す。
【００６６】
なお、上述した図３のオンライン型、図４のオフライン型の制御対象機器（下位機器）３０は、暗号化通信ＩＣ３０５を有しており、暗号化処理の可能な構成として説明したが、下位機器においては暗号化を行なわず通信を制御するＩＣだけを備えた構成としてもよく、この場合は通信回線を介してオンライン接続、または記憶媒体を介してオフライン接続した上位機器が通信内容の暗号化処理を代行することが可能である。この場合の制御対象機器（下位機器）３０と上位機器２０との認証には機器識別子（ＩＤ）による認証を実行する。
【００６７】
＜サービスセンタ＞
サービスセンタ１０の構成例を図５に示す。サービスセンタ１０は、外部ネットワークインタフェース１０５および暗号化通信ＩＣ１０４、サービス提供用データベース１０３、機器情報データベース１０６、利用者情報データベース１０７、ＣＰＵ１０１、メモリ１０２、さらにこれらを接続するデータバスで構成される。
【００６８】
暗号化通信ＩＣ１０４は上位機器２０との通信およびデータの暗号化、サービス提供対象機器の認証などの処理を行う。この暗号化通信ＩＣ１０４にはサービスセンタ固有のセンタ識別子（ＩＤ）が記録されており、これは通信相手となる各機器との相互認証の際に利用する。
【００６９】
サービスセンタ１０の暗号化通信ＩＣ１０４は公開鍵暗号方式および共通鍵暗号方式を利用するために必要な演算が可能である。機器情報データベース１０６には、通信対象、たまはサービス対象各機器の識別子（ＩＤ）や公開鍵などの情報が格納されている。データ通信において共通鍵暗号方式を利用する機器の場合には、あらかじめ機器ＩＤとそれに対応する共通鍵をこの機器情報データベース１０６に格納しておく。
【００７０】
利用者情報データベース１０７には、サービスセンタ１０からのサービスの提供を受ける機器を管理し、サービスの対価等の支払処理を行なうユーザ、すなわちサービス利用者の識別子（ＩＤ）や各利用者の決済情報などが格納されている。サービス提供用データベース１０３には、サービスを提供するために必要なデータが格納されている。ＣＰＵ１０１は、暗号化通信ＩＣ１０４の処理制御、各インタフェースを介した通信制御、各記憶装置のデータアクセス制御等の各種処理を制御を行ない、メモリ１０２は、通信データの一時記憶、処理プログラムの格納部として機能するＲＡＭ、ＲＯＭ等によって構成される。
【００７１】
［暗号化・認証レベル］
本発明の通信手段を介したサービス提供システムにおいて用いられる公開鍵暗号方式としてはＲＳＡ等、また共通鍵暗号方式としてはＤＥＳ等の暗号方式を用いることが可能であり、必要な強度等を勘案して適切な方式を用いて良い。
【００７２】
図6は本発明におけるサービスセンタ１０と上位機器２０、制御対象機器（下位機器）３０との間の接続形態と暗号化・認証レベルをまとめたものである。
【００７３】
サービスセンタ１０と上位機器２０とは外部ネットワークで接続されている。また暗号化・認証は公開鍵暗号方式を利用する。上位機器２０と制御対象機器（下位機器）３０との接続の形態には6種類ある。すなわち、（１）制御対象機器（下位機器）３０がローカルネットワークに接続可能で公開鍵暗号方式が利用できる場合、（２）制御対象機器（下位機器）３０がローカルネットワークに接続可能で共通鍵暗号方式のみが利用できる場合、（３）制御対象機器（下位機器）３０がローカルネットワークに接続可能で暗号が利用できない場合、（４）制御対象機器（下位機器）３０が記録媒体の移動によりデータ交換可能で公開鍵暗号方式が利用できる場合、（５）制御対象機器（下位機器）３０が記録媒体の移動によりデータ交換可能で共通鍵暗号方式のみが利用できる場合、（６）制御対象機器（下位機器）３０が記録媒体の移動によりデータ交換可能で暗号が利用できない場合である。なお、一台の上位機器には複数の下位機器を接続可能であり、上位機器２０は、複数の暗号方式に対応可能な構成とすることにより、様々なタイプの制御対象機器（下位機器）との通信が可能となる。なお、制御対象機器（下位機器）の機器ＩＤを参照することにより、上位機器は配下の下位機器を識別可能である。
【００７４】
［全体フロー］
本発明の通信手段を介したサービス提供システムにおける上位機器２０および制御対象機器（下位機器）３０のサービスセンタ１０を利用した遠隔サービスの提供処理について、以下説明する。
【００７５】
図７から図１０までの図はサービス開始から終了に至るまでの全体の処理の流れを簡潔に示したフロー図である。これらのフロー中に含まれる処理の詳細については、後段で説明する。まず、図７〜１０を用いて本発明のサービス提供システムの処理の流れの概要を説明する。
【００７６】
まず、図７のフローに示すように、上位機器２０をネットワークを介してサービスセンタ１０に対して初めて接続する場合には、ステップＳ７０１に示すサービスセンタ１０への機器登録を行う。初接続時の処理が終了している場合、もしくは機器登録が不要な処理、例えばフリーメンテナンス提供等の場合には、ステップＳ７０２に示す機器認証のステップに移る。機器認証処理フローを図７に示す。これは上位機器２０およびサービスセンタ１０が相互に通信相手の正当性を確認する手続きである。図に示す機器登録プロトコル、機器認証プロトコルについては後段で詳細に説明する。
【００７７】
図７に示す、認証プロトコルを実行することにより、不正な機器がサービスを受けたり、サービスセンタ１０と誤って通信を行うことを防ぐことができる。ステップＳ７０２の機器認証に失敗した場合には、エラー処理を行った後、処理を中止する。機器認証に成功した場合は、必要ならば利用者登録を行う。
【００７８】
図８に示す利用者登録手続きでは、サービスセンタ１０の利用者情報データベース（図５に示す１０７）に、機器の利用者情報、例えば氏名、サービス料金決済用のクレジットカード番号、あるいは銀行口座番号等の必要情報を登録（ステップＳ８０１）する。その後パスワード等の利用者認証に必要な情報登録（ステップＳ８０２）も行う。
【００７９】
図９は、上段が利用者情報、例えば氏名、クレジット番号等の利用者情報変更手続きを示す処理であり、下段が、パスワード等の利用者認証に必要な情報の変更手続きを示すフローである。利用者情報変更手続きでは最初に利用者認証（ステップＳ９０１）を行う。これは正当な利用者以外の者が不正に他人の利用者情報を変更することを防ぐためである。利用者認証に失敗した場合には、エラー処理を行った後、処理を中止する。利用者認証に成功した場合は、続いて利用者情報登録（ステップＳ９０２）を行う。
【００８０】
利用者情報の登録が完了すると、必要な場合に限り利用者認証に必要な情報、例えばパスワードの利用者認証情報変更手続きを行う。利用者認証情報変更手続きでは、最初に利用者認証を行う。これは正当な利用者以外の者が不正に他人のパスワード等の利用者認証情報を変更することを防ぐためである。利用者認証に失敗した場合には、エラー処理を行った後、処理を中止する。利用者認証に成功した場合は、続いて利用者認証情報の変更（ステップＳ９０３）を行う。以上の手続きが終了し、サービスを実施する場合にはサービス実施手続きを行う。
【００８１】
図１０に制御対象機器の制御、メンテナンス等のサービスの実行処理、すなわちサービス実施手続きフローを示す。サービス実施手続きでは、必要であれば最初に利用者認証を行う。これは正当な利用者以外の者が不正にサービスを受けることを防ぐためである。利用者認証を行うかどうかは、サービスによって異なる。利用者認証に失敗した場合には、エラー処理を行った後、処理を中止する。利用者認証に成功した場合は、続いてサービスを行う。サービスが完了した後、接続を終了しない場合は機器認証終了時以降の手続きを再度行う。
【００８２】
［各プロトコルについて］
（１）機器登録プロトコル
ａ．上位機器
まず、上位機器２０をサービスセンタ１０に対して登録するプロトコルについて説明する。このプロトコルは機器ＩＤ、機種名、機器公開鍵をセンタの機器情報データベースに登録するためのプロトコルである。
【００８３】
先の図６で説明したように上位機器２０とサービスセンタ１０との間では、公開鍵暗号方式によって相互認証、データ通信が実行される。公開鍵暗号方式を利用する上で必要となる、上位機器自身の公開鍵と秘密鍵の組があらかじめ上位機器２０の暗号化通信ＩＣ２０５の内部メモリに格納されている場合と、これらの鍵を暗号化通信ＩＣ２０５の内部メモリにあらかじめ格納せず、サービスセンタ１０との接続が必要になった時点でサービスセンタ１０に機器登録を行い、その際にそれぞれの鍵を生成する構成の２つの構成がある。前者の鍵格納済みの場合のプロトコルを図１１に示し、鍵を生成する場合のプロトコルを図１２に示す。
【００８４】
図１１、図１２の処理について説明する。機器登録を行う場合、上位機器２０はサービスセンタ１０に機器登録開始要求を送信する。サービスセンタ１０は要求に応えられる状態であれば、機器登録開始可能であることを機器に通知する。同時にサービスセンタ１０は自身のセンタ識別子（ＩＤ）を送信する。
【００８５】
上位機器２０はサービスセンタ１０から送られてきたサービスセンタ識別子（ＩＤ）によりセンタを確認し、サービスセンタ１０に自身の上位機器識別子（ＩＤ）、機種名および公開鍵証明書を送信する。上位機器２０の暗号化通信ＩＣ２０５にはサービスセンタ１０の公開鍵が格納されており、サービスセンタ１０への送信の際にはこの公開鍵を用いて送信データを暗号化する。
【００８６】
なお、図１２に示す例のように、上位機器２０自身が鍵の組を生成する場合には公開鍵証明書のかわりに上位機器２０が生成した公開鍵をセンタに送信する。
【００８７】
上位機器２０からサービスセンタ１０への送信データは、サービスセンタ１０の公開鍵で暗号化されているので、送信データに含まれる上位機器識別子（ＩＤ）、機種名等のデータが第三者に漏洩したり、改竄されたりする可能性を排除できる。
【００８８】
上位機器識別子（ＩＤ）等のデータを受信したセンタは、サービスセンタ１０自身の秘密鍵で上位機器から送られてきたデータを復号する。復号したデータ中の上位機器識別子（ＩＤ）の検証を行い、正当な識別子（ＩＤ）であれば、送信データ中の上位機器識別子（ＩＤ）、機種名および公開鍵証明書もしくは公開鍵を機器情報データベース１０６に登録する。データベースへの登録が正常に終了した場合には、サービスセンタ１０は上位機器２０に機器登録処理完了通知を返す。データの復号あるいは上位機器識別子（ＩＤ）の正当性検証、データベースへの登録が失敗した場合には、サービスセンタ１０は上位機器２０にエラー通知を返す。
【００８９】
ｂ．制御対象機器（下位機器）
次に、制御対象機器（下位機器）３０をサービスセンタ１０に対して登録するプロトコルについて説明する。
【００９０】
制御対象機器（下位機器）３０が機器登録を行う場合には、オンライン型下位機器とオフライン型下位機器で手順が異なる。さらに公開鍵暗号方式が利用できる機器とできない機器とでも異なる。なお、制御対象機器（下位機器）３０が接続する上位機器２０は、この手続きを行う前に上位機器２０とサービスセンタ１０間での機器認証プロトコルを実施しており、センタとの間で認証がなされているものとする。
【００９１】
ｂ−１．公開鍵暗号方式のオンライン型下位機器
最初にオンライン型下位機器を用いる場合の手順について図１３に示す。オンライン型下位機器で公開鍵が利用できる場合、公開鍵暗号方式を利用する上で必要となる、制御対象機器（下位機器）３０自身の公開鍵と秘密鍵の組があらかじめ制御対象機器（下位機器）３０の暗号化通信ＩＣ３０５の内部メモリに格納されている場合と、これらの鍵を暗号化通信ＩＣ３０５の内部メモリに格納せず、サービスセンタ１０との接続が必要になった時点でサービスセンタ１０に機器登録を行い、その際にそれぞれの鍵を生成する構成の２つの構成がある。前者の鍵格納済みの場合のプロトコルを図１３に示し、鍵を生成する場合のプロトコルを図１４に示す。
【００９２】
図１３、図１４の処理について説明する。機器登録を行う場合、最初に制御対象機器（下位機器）３０は上位機器２０に対して機器登録開始要求を発行する。これを受け取った上位機器２０はサービスセンタ１０に機器登録開始要求を中継する。サービスセンタ１０は要求に応えられる状態であれば、機器登録開始可能であることを上位機器２０に通知する。そして上位機器２０は機器登録開始が可能であることを制御対象機器（下位機器）３０に対して通知する。
【００９３】
この機器登録開始確認通知を受け取ると、制御対象機器（下位機器）３０は制御対象機器（下位機器）自身の機器ＩＤ、機種名、公開鍵証明書をセンタの公開鍵で暗号化し、上位機器に送信する。なお、図１４に示すように下位機器が鍵の組を生成する場合には、公開鍵証明書の代わりに自身の公開鍵を上位機器２０に送信する。これを受け取った上位機器２０は、これらの受信データをそのままサービスセンタに中継する。
【００９４】
制御対象機器（下位機器）３０から上位機器２０、サービスセンタ１０へ送信されるデータは、サービスセンタ１０の公開鍵で暗号化されているので、送信データに含まれる制御対象機器（下位機器）識別子（ＩＤ）、機種名等のデータが第三者に漏洩したり、改竄されたりする可能性を排除できる。
【００９５】
制御対象機器（下位機器）識別子（ＩＤ）等のデータを受信したセンタは、サービスセンタ１０自身の秘密鍵で上位機器から送られてきたデータを復号する。復号したデータ中の制御対象機器（下位機器）識別子（ＩＤ）の検証を行い、正当な識別子（ＩＤ）であれば、送信データ中の制御対象機器（下位機器）識別子（ＩＤ）、機種名および公開鍵証明書もしくは公開鍵を機器情報データベース１０６に登録する。データベースへの登録が正常に終了した場合には、サービスセンタ１０は上位機器２０に機器登録処理完了通知を返す。データの復号あるいは上位機器識別子（ＩＤ）の正当性検証、データベースへの登録が失敗した場合には、サービスセンタ１０は上位機器２０にエラー通知を返す。
【００９６】
上位機器２０はサービスセンタ１０から受信した処理完了通知もしくはエラー通知を制御対象機器（下位機器）３０に中継する。
【００９７】
ｂ−２．共通鍵暗号方式のオンライン型下位機器
公開鍵暗号方式が利用できず、共通鍵方式が利用可能もしくは暗号化機能がないオンライン型下位機器の機器登録手順について述べる。
【００９８】
この場合のプロトコルを図１５に示す。この場合も、上位機器２０は機器登録開始が可能であることを制御対象機器（下位機器）３０に対して通知するまでの処理は同一である。制御対象機器（下位機器）３０が機器登録開始確認通知を受け取ると、制御対象機器（下位機器）３０は自身の機器ＩＤ、機種名を上位機器２０に送信する。
【００９９】
この場合、上位機器２０に送信される機器ＩＤ、機種名情報は暗号化されていないが、ローカルネットワーク上であるので外部ネットワークに比べてセキュリティ上の問題は比較的少ないと考えられる。上位機器２０は制御対象機器（下位機器）３０から受け取った情報をサービスセンタ１０の公開鍵で暗号化する。すなわち、上位機器２０がデータの暗号化を代行する。この後の処理は公開鍵暗号方式が利用できる下位機器の場合の手順と同一であるので説明を省略する。
【０１００】
ｂ−３．公開鍵暗号方式のオフライン型下位機器
続いてオフライン型下位機器における機器登録手順について述べる。オフライン型下位機器で公開鍵暗号方式が利用できる場合、公開鍵暗号方式を利用する上で必要となる、制御対象機器（下位機器）３０自身の公開鍵と秘密鍵の組があらかじめ制御対象機器（下位機器）３０の暗号化通信ＩＣ３０５の内部メモリに格納されている場合と、これらの鍵を暗号化通信ＩＣ３０５の内部メモリに格納せず、サービスセンタ１０との接続が必要になった時点でサービスセンタ１０に機器登録を行い、その際にそれぞれの鍵を生成する構成の２つの構成がある。前者の鍵格納済みの場合のプロトコルを図１６に示し、鍵を生成する場合のプロトコルを図１７に示す。
【０１０１】
図１６、図１７の処理について説明する。制御対象機器（下位機器）３０は最初に情報記録媒体を認証する。情報記録媒体３１０は例えばメモリカードであり、メモリカードの識別子等を用いた認証処理が実行される。認証が成立すると、制御対象機器（下位機器）３０は自身の制御対象機器（下位機器）識別子（ＩＤ）、機種名および公開鍵証明書（図１６）もしくは公開鍵（図１７）をサービスセンタの公開鍵で暗号化し、情報記録媒体３１０に転送する。
【０１０２】
データ転送が完了した後、情報記録媒体３１０を制御対象機器（下位機器）３０下位機器から取り外し、上位機器２０に装着する。上位機器２０は情報記録媒体２１１（情報記録媒体３１０と同じ）が装着されると、情報記録媒体の認証を開始する。情報記録媒体認証が終了した後、上位機器２０は情報記録媒体からデータを転送（読み出し処理）する。転送終了後、上位機器２０はサービスセンタ１０に機器登録開始要求を制御対象機器（下位機器）３０の代理として行う。
【０１０３】
サービスセンタ１０は要求に応えられる状態であれば、機器登録開始可能であることを上位機器２０に通知する。そして上位機器２０は情報記録媒体２１１から転送したデータをそのままセンタに送信する。情報記録媒体２１１から読み出された制御対象機器（下位機器）識別子（ＩＤ）等のデータを受信したセンタは、自身の秘密鍵で上位機器２０が中継したデータを復号する。その後復号したデータ中の制御対象機器（下位機器）識別子（ＩＤ）の検証を行い、正当なＩＤであれば、受信した制御対象機器（下位機器）識別子（ＩＤ）、機種名および公開鍵証明書（図１６）もしくは公開鍵（図１７）を機器情報データベース１０６に登録する。データベースへの登録が正常に終了した場合には、サービスセンタ１０は上位機器２０に処理完了通知を返す。データの復号あるいは制御対象機器（下位機器）識別子（ＩＤ）の正当性検証、データベースへの登録が失敗した場合には、サービスセンタ１０は上位機器２０にエラー通知を返す。上位機器２０は情報記録媒体２１１に処理完了通知もしくはエラー通知を転送する。その後、情報記録媒体２１１を上位機器２０から制御対象機器（下位機器）３０に移動する。制御対象機器（下位機器）３０は情報記録媒体認証を行った後、サービスセンタ１０からの通知を情報記録媒体から転送する。通知内容がエラー通知であれば、再度機器登録を試みる。
【０１０４】
ｂ−４．共通鍵暗号方式のオフライン型下位機器
公開鍵暗号方式が利用できず、共通鍵方式が利用可能もしくは暗号化機能がないオフライン型下位機器の機器登録手順について述べる。この場合のプロトコルを図１８に示す。制御対象機器（下位機器）３０は最初に情報記録媒体３１０を認証する。その後、制御対象機器（下位機器）３０は自身の機器ＩＤ、機種名を情報記録媒体３１０に転送する。転送が完了した後、情報記録媒体３１０を制御対象機器（下位機器）３０から取り外し、上位機器２０に装着する。
【０１０５】
上位機器２０は情報記録媒体２１１（＝情報記録媒体３１０）が装着されると、情報記録媒体２１１の認証を開始する。情報記録媒体２１１の認証が終了した後、上位機器２０は情報記録媒体２１１からデータを転送する。転送終了後、上位機器２０はサービスセンタ１０に機器登録開始要求を送信する。サービスセンタ１０は要求に応えられる状態であれば、機器登録開始可能であることを上位機器２０に通知する。上位機器２０は情報記録媒体２１１から転送したデータをサービスセンタ１０の公開鍵で暗号化し、センタに送信する。情報記録媒体２１１から読み出された制御対象機器（下位機器）識別子（ＩＤ）等のデータを受信したセンタは、自身の秘密鍵で上位機器２０が中継したデータを復号する。その後復号したデータ中の制御対象機器（下位機器）識別子（ＩＤ）の検証を行い、正当なＩＤであれば、受信した制御対象機器（下位機器）識別子（ＩＤ）、機種名を機器情報データベース１０６に登録する。その後の処理完了通知などの処理は、公開鍵暗号方式が利用できるオフライン型下位機器を用いる場合と同様である。
【０１０６】
［機器認証プロトコル］
次に、サービスセンタ１０、上位機器２０、制御対象機器（下位機器）３０の相互において実行される機器認証プロトコルの詳細について説明する。機器認証プロトコルは、データ通信を行なう２者間で通信相手の正当性を確認するために実行されるプロセスである。相互認証処理時にセッション鍵の生成を実行して、生成したセッション鍵を共有鍵として暗号化処理を実行してデータ送信を行なう構成が１つの好ましいデータ転送方式である。以下、上位機器２０を中心として行われる機器認証プロトコルと、制御対象機器（下位機器）３０を中心として行われる機器認証プロトコルについて、それぞれ説明する。
【０１０７】
ａ．上位機器
まず、上位機器２０とサービスセンタ１０との間で実行される互いの正当性を確認する機器認証プロトコルについて説明する。
【０１０８】
図１９にサービスセンタ１０と上位機器２０とが機器認証を行う場合のプロトコルを示す。まず上位機器２０はサービスセンタ１０に機器認証開始要求を送信する。サービスセンタ１０は要求に応えられる状態であれば、機器認証開始可能であることを機器に通知する。この際、サービスセンタ１０は自身のセンタＩＤを送信する。
【０１０９】
上位機器２０はサービスセンタ１０から、認証開始可能の応答を受領すると、上位機器２０自身の機器ＩＤを送信する。その後、サービスセンタ１０と上位機器２０との間で相互認証を行う。相互認証の手続きとしては、たとえばＩＳＯ９７９８に示されている手続きを利用することができる。
【０１１０】
ＩＳＯ９７９８の相互認証手続きとして、公開鍵暗号方式である１６０ビット長の楕円曲線暗号を用いた相互認証方法を、図２０を用いて説明する。図２０において、公開鍵暗号方式としてＥＣＣを用いているが、同様な公開鍵暗号方式であればいずれでもよい。また、鍵サイズも１６０ビットでなくてもよい。図２０において、Ａ、Ｂの一方がサービスセンタ１０、他方が上位機器２０に相当する。
【０１１１】
まずＢが、６４ビットの乱数Ｒｂを生成し、Ａに送信する。これを受信したＡは、新たに６４ビットの乱数Ｒａおよび標数ｐより小さい乱数Ａｋを生成する。そして、ベースポイントＧをＡｋ倍した点Ａｖ＝Ａｋ×Ｇを求め、Ｒａ、Ｒｂ、Ａｖ（X座標とY座標）に対する電子署名Ａ．Ｓｉｇを生成し、Ａの公開鍵証明書とともにＢに返送する。ここで、ＲａおよびＲｂはそれぞれ６４ビット、ＡｖのＸ座標とＹ座標がそれぞれ１６０ビットであるので、合計４４８ビットに対する電子署名を生成する。
【０１１２】
公開鍵証明書を利用する際には、利用者は自己が保持する公開鍵証明書認証局（ＣＡ）の公開鍵を用い、当該公開鍵証明書の電子署名を検証し、電子署名の検証に成功した後に公開鍵証明書から公開鍵を取り出す。
【０１１３】
Ａの公開鍵証明書、Ｒａ、Ｒｂ、Ａｖ、電子署名Ａ．Ｓｉｇを受信したＢは、Ａが送信してきたＲｂが、Ｂが生成したものと一致するか検証する。その結果、一致していた場合には、Ａの公開鍵証明書内の電子署名を認証局の公開鍵で検証し、Ａの公開鍵を取り出す。そして、取り出したＡの公開鍵を用い電子署名Ａ．Ｓｉｇを検証する。電子署名の検証に成功した後、ＢはＡを正当なものとして認証する。
【０１１４】
次に、Ｂは、標数ｐより小さい乱数Ｂｋを生成する。そして、ベースポイントＧをＢｋ倍した点Ｂｖ＝Ｂｋ×Ｇを求め、Ｒｂ、Ｒａ、Ｂｖ（Ｘ座標とＹ座標）に対する電子署名Ｂ．Ｓｉｇを生成し、Ｂの公開鍵証明書とともにＡに返送する。
【０１１５】
Ｂの公開鍵証明書、Ｒｂ、Ｒａ、Ａｖ、電子署名Ｂ．Ｓｉｇを受信したＡは、Ｂが送信してきたＲａが、Ａが生成したものと一致するか検証する。その結果、一致していた場合には、Ｂの公開鍵証明書内の電子署名を認証局の公開鍵で検証し、Ｂの公開鍵を取り出す。そして、取り出したＢの公開鍵を用い電子署名Ｂ．Ｓｉｇを検証する。電子署名の検証に成功した後、ＡはＢを正当なものとして認証する。
【０１１６】
両者が認証に成功した場合には、ＢはＢｋ×Ａｖ（Ｂｋは乱数だが、Ａｖは楕円曲線上の点であるため、楕円曲線上の点のスカラー倍計算が必要）を計算し、ＡはＡｋ×Ｂｖを計算し、これら点のＸ座標の下位６４ビットをセッション鍵として以降の通信に使用する（共通鍵暗号を６４ビット鍵長の共通鍵暗号とした場合）。もちろん、Ｙ座標からセッション鍵を生成してもよいし、下位６４ビットでなくてもよい。なお、相互認証後の秘密通信においては、送信データはセッション鍵で暗号化されるだけでなく、電子署名も付されることがある。
【０１１７】
電子署名の検証や受信データの検証の際に、不正、不一致が見つかった場合には、相互認証が失敗したものとして処理を中断する。
【０１１８】
このような相互認証処理において生成したセッション鍵を用いて、送信データを暗号
化して、相互にデータ通信を実行することにより、第三者に対する通信データの漏洩が防止される。なお、データの暗号化に必要なセッション鍵の生成はサービスセンタ１０、上位機器２０のどちらが行ってもよい。相互認証やセッション鍵の交換が失敗した場合には、サービスセンタ１０は上位機器２０にエラーを返す。すべての処理が完了したならば、センタは上位機器に処理完了を通知する。
【０１１９】
ｂ−１．オンライン型下位機器
次にサービスセンタ１０とオンライン型の制御対象機器（下位機器）３０とが機器認証を行う場合について述べる。この場合のプロトコルを図２１に示す。
【０１２０】
まずオンライン型の制御対象機器（下位機器）３０は上位機器２０に機器認証開始要求を送信する。上位機器２０は要求に応えられる状態であれば、機器認証開始可能であることを制御対象機器（下位機器）３０に通知する。制御対象機器（下位機器）３０は上位機器２０に自身の機器ＩＤを送信する。そして上位機器２０と制御対象機器（下位機器）３０との間で相互認証を行う。
【０１２１】
なお、上位機器２０と制御対象機器（下位機器）３０との間での相互認証は、前述のサービスセンタ１０と上位機器２０との間の相互認証処理として説明した図２０の公開鍵暗号方式の認証処理として行なってもよいし、共通鍵暗号方式による相互認証を行なってもよい。
【０１２２】
共通鍵暗号方式を用いた相互認証方法を、図２２を用いて説明する。図２２は共通鍵暗号方式としてＤＥＳを用いた例であるが、同様な共通鍵暗号方式であればその他の方法も適用可能である。図２２において、Ａ、Ｂのいずれかが上位機器２０、他方が制御対象機器（下位機器）３０に対応する。
【０１２３】
まず、Ｂが６４ビットの乱数Ｒｂを生成し、Ｒｂおよび自己のＩＤであるＩＤ（ｂ）をＡに送信する。これを受信したＡは、新たに６４ビットの乱数Ｒａを生成し、Ｒａ、Ｒｂ、ＩＤ（ｂ）の順に、ＤＥＳのＣＢＣモードで鍵Ｋａｂを用いてデータを暗号化し、Ｂに返送する。
【０１２４】
これを受信したＢは、受信データを鍵Ｋａｂで復号化する。受信データの復号化方法は、まず、暗号文Ｅ１を鍵Ｋａｂで復号化し、乱数Ｒａを得る。次に、暗号文Ｅ２を鍵Ｋａｂで復号化し、その結果とＥ１を排他的論理和し、Ｒｂを得る。最後に、暗号文Ｅ３を鍵Ｋａｂで復号化し、その結果とＥ２を排他的論理和し、ＩＤ(ｂ)を得る。こうして得られたＲａ、Ｒｂ、ＩＤ(ｂ)の内、ＲｂおよびＩＤ(ｂ)が、Ｂが送信したものと一致するか検証する。この検証に通った場合、ＢはＡを正当なものとして認証する。
【０１２５】
次にＢは、認証後に使用するセッション鍵（Session Key（以下、Ｋｓｅｓとする））を生成する（生成方法は、乱数を用いる）。そして、Ｒｂ、Ｒａ、Ｋｓｅｓの順に、ＤＥＳのＣＢＣモードで鍵Ｋａｂを用いて暗号化し、Ａに返送する。
【０１２６】
これを受信したＡは、受信データを鍵Ｋａｂで復号化する。受信データの復号化方法は、Ｂの復号化処理と同様であるので、ここでは詳細を省略する。こうして得られたＲｂ、Ｒａ、Ｋｓｅｓの内、ＲｂおよびＲａが、Ａが送信したものと一致するか検証する。この検証に通った場合、ＡはＢを正当なものとして認証する。互いに相手を認証した後には、セッション鍵Ｋｓｅｓは、認証後の秘密通信のための共通鍵として利用される。
【０１２７】
なお、受信データの検証の際に、不正、不一致が見つかった場合には、相互認証が失敗したものとして処理を中断する。
【０１２８】
相互認証が成功すれば、上位機器２０はサービスセンタ１０に対して機器認証開始を制御対象機器（下位機器）３０の代理として要求する。サービスセンタ１０は要求に応えられる状態であれば、機器認証開始可能であることを上位機器２０に通知する。上位機器２０はサービスセンタ１０に制御対象機器（下位機器）３０の機器ＩＤを送信する。ここでサービスセンタ１０は下位機器の機器ＩＤの正当性を検証する。正当性の検証は、送付データ中に含まれる機器ＩＤがサービスセンタ１０の持つ機器情報データベース１０６に登録されているか否かをチェックする処理として実行される。機器ＩＤの正当性検証が正常に終了すると、上位機器２０は制御対象機器（下位機器）３０にサービスセンタ１０との直接通信の許可を与える。これ以後、上位機器２０はサービスセンタ１０と制御対象機器（下位機器）３０との間の通信内容には関与しない。
【０１２９】
サービスセンタ１０との直接通信許可を受けて、制御対象機器（下位機器）３０はセンタと直接通信して相互認証を行う。相互認証は、例えば前述の図２０、または図２２の例のいずれかを用いて実行される。相互認証が完了すると、以後の相互認証時に生成したセッション鍵（共通鍵）を用いてデータが暗号化されて送受信される。セッション鍵の生成はサービスセンタ１０、制御対象機器（下位機器）３０のどちらが行ってもよい。なお、ここではサービスセンタ１０と上位機器２０との間および上位機器２０と制御対象機器（下位機器）３０の間でそれぞれ相互認証が完了しているので、サービスセンタ１０と制御対象機器（下位機器）３０との直接の相互認証を省略することも可能である。相互認証やセッション鍵の交換が失敗した場合には、センタは下位機器にエラーを返す。すべての処理が完了したならば、サービスセンタ１０は制御対象機器（下位機器）３０に処理完了を通知する。セッション鍵が制御対象機器（下位機器）３０とサービスセンタ１０の間で共有できれば、オンライン型下位機器は以降で説明する各手続きにおいて上位機器２０と同様に扱うことができる。
【０１３０】
なお、暗号化機能を持たない制御対象機器（下位機器）３０の場合には、例えばワンタイムパスワードを用いた認証処理により制御対象機器（下位機器）３０の認証を実行する。この場合、サービスセンタ１０または、上位機器２０がセッション鍵を生成して保持し、外部ネットワークを介するサービスセンタ１０と上位機器２０間のデータ通信をセッション鍵を用いたデータ通信とする。この場合のプロトコルを図２３に示す。
【０１３１】
ｂ−２．オフライン型下位機器
次に、オフライン型下位機器の機器認証プロトコルについて説明する。この場合のプロトコルを図２４に示す。オフライン型の制御対象機器（下位機器）３０は、先に説明したようにメモリーカード等の情報記録媒体を介して制御情報を受け取る構成である。
【０１３２】
オフライン型の制御対象機器（下位機器）３０は、最初に情報記録媒体が下位機器に装着されていなければ装着する。その場合には記録媒体の認証を行なう。この認証処理は、制御対象機器（下位機器）３０と情報記録媒体の構成（暗号処理機能、鍵格納構成）に応じて、前述の対称鍵、非対称鍵、パスワードを用いた方法等により実行される。記録媒体認証が成功すると、制御対象機器（下位機器）３０は機器ＩＤなどの機器認証に必要なデータを情報記録媒体に転送する。転送が終了すると、情報記録媒体を上位機器２０に移動する。
【０１３３】
上位機器２０は情報記録媒体がセットされると、情報記録媒体の認証を行った後、媒体から機器認証に必要なデータを転送する。情報記録媒体の認証処理は、制御対象機器（下位機器）３０と情報記録媒体との認証処理と同様前述の対称鍵、非対称鍵、パスワードを用いた方法等により実行される。転送が終了すると上位機器２０と制御対象機器（下位機器）３０との相互認証が情報記録媒体の格納データに基づいて実行される。この間、情報記録媒体の上位機器２０と制御対象機器（下位機器）３０間での移動が必要であれば行う。相互認証が成功すれば、上位機器２０はサービスセンタ１０に機器認証開始を制御対象機器（下位機器）３０に代わって要求する。サービスセンタ１０は要求に応えられる状態であれば、機器認証開始可能であることを上位機器２０に通知する。
【０１３４】
次に、上位機器２０はサービスセンタ１０に制御対象機器（下位機器）３０の機器ＩＤを送信する。ここでサービスセンタ１０は制御対象機器（下位機器）３０の機器ＩＤの正当性を検証する。機器ＩＤの正当性検証が正常に終了すれば、制御対象機器（下位機器）３０はサービスセンタ２０と相互認証処理およびセッション鍵の交換を行う。しかし制御対象機器（下位機器）３０とサービスセンタ１０とは直接通信できないため、上位機器２０、および情報記録媒体が介在して行う。この間、必要に応じて情報記録媒体の上位機器２０と制御対象機器（下位機器）３０間での移動が行われる。相互認証が完了すると、以後のデータの暗号化に必要なセッション鍵（共通鍵）を生成する。セッション鍵の生成はサービスセンタ１０、制御対象機器（下位機器）３０のどちらが行ってもよい。なお、暗号化機能を持たない制御対象機器（下位機器）３０の場合には、例えばワンタイムパスワードを用いた認証処理により制御対象機器（下位機器）３０の認証を実行する。この場合、サービスセンタ１０または、上位機器２０がセッション鍵を生成して保持し、外部ネットワークを介するサービスセンタ１０と上位機器２０間のデータ通信をセッション鍵を用いたデータ通信とする。相互認証やセッション鍵の交換が失敗した場合には、サービスセンタ１０は上位機器２０にエラーを返す。すべての処理が完了したならば、サービスセンタ１０は上位機器２０に処理完了を通知する。上位機器２０は情報記録媒体に処理完了通知もしくはエラー通知を転送する。情報記録媒体が制御対象機器（下位機器）３０に移動されると、制御対象機器（下位機器）３０は情報記録媒体を認証し、記録媒体から処理完了通知もしくはエラー通知を転送（読み出し処理）する。
【０１３５】
［利用者登録、情報変更プロトコル］
次に、利用者名や決済情報などの利用者情報をサービスセンタ１０の利用者情報データベース１０７（図５参照）に登録するための利用者登録、情報変更プロトコルについて説明する。
【０１３６】
ａ．上位機器、オンライン型下位機器
まず上位機器２０およびオンライン型の制御対象機器（下位機器）３０の場合の処理について述べる。この場合のプロトコルを図２５に示す。上位機器２０およびオンライン型の制御対象機器（下位機器）３０は、「機器」と総称する。機器はサービスセンタ１０に対して利用者登録の開始要求を行う。サービスセンタ１０は利用者情報登録を行える状態であれば、機器に対して開始確認を通知する。機器は利用者が入力した利用者情報をセッション鍵で暗号化し、機器ＩＤとともに送信する。利用者情報は、氏名や住所、決済情報などである。決済情報は銀行口座、クレジットカード番号、プリペイドカード番号など、有償サービスの決済に必要な情報である。サービスセンタ１０は暗号化された利用者情報を、機器ＩＤに対応したセッション鍵で復号する。
【０１３７】
続いてサービスセンタ１０は当該利用者に利用者ＩＤを発行し、その利用者ＩＤおよび利用者情報、機器ＩＤをサービスセンタ１０は内の利用者情報データベース１０７に登録する。データベースへの利用者情報の登録後、サービスセンタ１０は利用者ＩＤをセッション鍵で暗号化し、機器に送信する。機器はこれを受け取ると、暗号化された利用者ＩＤをセッション鍵で復号する。そして利用者ＩＤを利用者に通知する。通知は、制御対象機器（下位機器）３０の例えば表示部３０３（図３参照）において実行される。なお、上位機器において表示することも可能である。ここで利用者が機器を利用するたびに利用者ＩＤを入力する手間を省くために、利用者ＩＤを機器に保存しておき、利用者が自分のＩＤを選択するという方法をとってもよい。最後にサービスセンタ１０は機器に対して、処理完了通知もしくはエラー通知を行う。
【０１３８】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず送受信し、上位機器２０がデータをセッション鍵で暗号化した後、サービスセンタ１０に送信する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、下位機器に送信する。この場合のプロトコルを図２６に示す。
【０１３９】
なお、すでにサービスセンタ１０内の利用者情報データベース１０７に利用者情報が登録されており、その情報を変更する場合には、登録手続きの中で利用者ＩＤを発行すること、および利用者ＩＤを上位機器に通知する処理が不要となる。また利用者を特定するための氏名等を入力する代わりに、発行された利用者ＩＤを入力してもよい。この時、サービスセンタ１０は、利用者が利用している機器の機器ＩＤが当該の利用者ＩＤと関連づけられていなければ、利用者情報データベース１０７に機器ＩＤを追加する処理を実行する。その他の部分は利用者情報登録の場合と同一である。この場合のプロトコルを図２７に示す。
【０１４０】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図２８に示す。
【０１４１】
ｂ．オフライン型下位機器
続いてオフライン型下位機器の場合について述べる。この場合のプロトコルを図２９に示す。記録媒体がオフライン型の制御対象機器（下位機器）３０に装着されていなければ装着する。その場合には記録媒体の認証が必要となる。制御対象機器（下位機器）３０は利用者が入力した利用者情報をセッション鍵で暗号化した後、機器ＩＤとともに情報記録媒体に転送する。転送が完了した後、情報記録媒体を制御対象機器（下位機器）３０から取り外し、上位機器２０に装着する。
【０１４２】
上位機器２０は情報記録媒体が装着されると、情報記録媒体の認証を開始する。情報記録媒体の認証が終了した後、上位機器２０は情報記録媒体からデータを転送（読み取り）する。転送終了後、上位機器２０はサービスセンタ１０に利用者登録開始要求を下位機器の代理として行う。サービスセンタ１０は利用者情報登録を行える状態であれば、上位機器２０に対して開始確認を通知する。
【０１４３】
上位機器２０は制御対象機器（下位機器）３０からのデータをそのままサービスセンタ１０に送信する。サービスセンタ１０は暗号化された利用者情報を機器ＩＤに対応したセッション鍵で復号する。続いて当該利用者に利用者ＩＤを発行し、その利用者ＩＤおよび利用者情報、機器ＩＤを利用者情報データベース１０７に登録する。
【０１４４】
サービスセンタ１０はデータベースへの利用者情報の登録後、利用者ＩＤを制御対象機器（下位機器）３０とのセッション鍵で暗号化し、上位機器２０に送信する。そしてサービスセンタ１０は上位機器２０に対して、処理完了通知もしくはエラー通知を行う。上位機器２０は、サービスセンタ１０から処理完了通知を受け取ると暗号化された利用者ＩＤを情報記録媒体に転送する。その後、情報記録媒体を上位機器２０から制御対象機器（下位機器）３０に移動する。情報記録媒体が制御対象機器（下位機器）３０に装着されると、制御対象機器（下位機器）３０は情報記録媒体の認証を行う。認証が成功すれば、制御対象機器（下位機器）３０は情報記録媒体内のデータを転送（データ読み取り）する。
【０１４５】
次に、制御対象機器（下位機器）３０は情報記録媒体から読み取った暗号化された利用者ＩＤをセッション鍵で復号する。そして利用者ＩＤを利用者に通知する。通知は、制御対象機器（下位機器）３０の例えば表示部３０３（図４参照）において実行される。ここで利用者が機器を利用するたびに利用者ＩＤを入力する手間を省くために、利用者ＩＤを機器に保存しておき、それを利用者が自分のＩＤを選択するという方法をとってもよい。
【０１４６】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図３０に示す。
【０１４７】
なお、すでにサービスセンタ１０内の利用者情報データベース１０７に利用者情報が登録されており、その情報を変更する場合には、登録手続きの中で利用者ＩＤを発行すること、および利用者ＩＤを上位機器に通知する処理が不要となる。また利用者を特定するための氏名等を入力する代わりに、発行された利用者ＩＤを入力してもよい。この時、サービスセンタ１０は、利用者が利用している機器の機器ＩＤが当該の利用者ＩＤと関連づけられていなければ、利用者情報データベース１０７に機器ＩＤを追加する処理を実行する。その他の部分は利用者情報登録の場合と同一である。この場合のプロトコルを図３１に示す。
【０１４８】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図３２に示す。
【０１４９】
［利用者認証情報登録プロトコル］
利用者を識別するためにはいくつかの方法が考えられるが、ここではパスワードを用いた方法とＩＤカードを用いた場合について説明する。ＩＤカードを用いる場合には、個人別のＩＤを埋め込んだカード、指紋などの生体情報を認識できる機構を備えたカード、あるいは利用者個人の公開鍵・秘密鍵の組を保存しているカードなどを用いることが可能である。ＩＤカードとしては磁気テープを有する接触型カードや、無線通信を行う非接触型カードのどちらを用いてもよい。また、利用者を識別するための利用者認証情報を保存し照合を行う場所としては、機器（上位機器・制御対象機器（下位機器））あるいはサービスセンタが考えられる。機器に保存する場合は機器における利用者の制限などの管理を個別に行うことが容易である。サービスセンタに登録する場合には複数の機器を利用する場合においても、機器ごとに登録作業を行う必要がない。まずパスワード等、認証のための情報を機器もしくはセンタに登録する手続きについて述べる。
【０１５０】
ａ．機器に保存
利用者のパスワード等の利用者認証情報を機器内部に保存して、サービスの提供等の際に利用者の入力した利用者認証情報と照合する方法である。この場合におけるパスワードの登録について説明する。この場合のプロトコルを図３３に示す。機器は利用者が入力した利用者ＩＤを受け取ると、利用者に対してパスワードの入力を促す。
【０１５１】
利用者がパスワードを操作部（上位機器の場合、操作部２０９、下位機器の場合操作部３０８）から入力すると、機器は利用者ＩＤと対応するパスワードの組を機器内部のメモリに保存する。この時、パスワードを平文のまま保存するのではなく暗号化を施してもよい。次に、サービスセンタ１０は機器に対して、処理完了もしくはエラーを通知する。
【０１５２】
次にＩＤカードを用いる利用者認証情報登録処理について説明する。この場合のプロトコルを図３４に示す。機器は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。機器は利用者ＩＤと対応する利用者認証情報を機器内部のメモリに保存する。次にサービスセンタ１０は機器に対して、処理完了もしくはエラーを通知する。
【０１５３】
ｂ．センタに保存（上位機器・オンライン型下位機器）
利用者認証情報をサービスセンタ１０に保存して、サービスの提供等の際に利用者の入力した利用者認証情報と照合する方法である。この場合におけるパスワードの登録について説明する。この場合のプロトコルを図３５に示す。
【０１５４】
まず上位機器およびオンライン型の制御対象機器（下位機器）を利用する場合は以下の通りである。機器はサービスセンタ１０に利用者認証情報の登録開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、登録開始可能であることを機器に通知する。機器は利用者が入力した利用者ＩＤを受け取ると、利用者に対してパスワードの入力を促す。利用者がパスワードを入力すると、機器は利用者ＩＤと対応するパスワードの組をセッション鍵で暗号化し、機器ＩＤとともにサービスセンタ１０に送信する。サービスセンタ１０は暗号化された利用者ＩＤとパスワードを機器ＩＤに対応したセッション鍵で復号する。続いて、パスワードを利用者情報データベース１０７に登録する。セッション鍵での復号やデータベースへの登録が失敗した場合には、サービスセンタ１０は機器にエラーを返す。すべての処理が完了したならば、サービスセンタ１０は機器に処理完了を通知する。
【０１５５】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図３６に示す。
【０１５６】
次に、ＩＤカードを用いる方法について説明する。この場合のプロトコルを図３７に示す。機器は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。機器はサービスセンタ１０に利用者認証情報の登録開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、登録開始可能であることを機器に通知する。その後、機器は利用者ＩＤと対応する利用者認証情報の組をセッション鍵で暗号化し、機器ＩＤとともにサービスセンタ１０に送信する。以下の処理はパスワードを用いる場合と同様である。
【０１５７】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図３８に示す。
【０１５８】
ｃ．オフライン型下位機器
次にオフライン型の制御対象機器（下位機器）の場合の利用者認証情報登録プロトコルについて述べる。まず、この場合におけるパスワードの登録について説明する。この場合のプロトコルを図３９に示す。
【０１５９】
オフライン型の制御対象機器（下位機器）３０は利用者に利用者ＩＤおよびパスワードの入力を促す。利用者ＩＤおよびパスワードが入力されると、制御対象機器（下位機器）３０はこれをセッション鍵で暗号化して機器ＩＤとともに情報記録媒体に転送する。情報記録媒体が下位機器から上位機器に移されると、上位機器２０は情報記録媒体の認証を行う。情報記録媒体の認証が成功すれば、上位機器２０は情報記録媒体からデータを転送する。その後、上位機器２０はサービスセンタ１０に利用者認証情報の登録開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、登録開始可能であることを上位機器２０に通知する。上位機器２０は情報記録媒体から転送（読み出し）したデータをそのままセンタに送信する。サービスセンタ１０は暗号化された利用者ＩＤとパスワードを機器ＩＤに対応したセッション鍵で復号する。続いて、パスワードを利用者情報データベース１０７に登録する。セッション鍵での復号やデータベースへの登録が失敗した場合には、サービスセンタ１０は上位機器２０にエラーを返す。すべての処理が完了したならば、サービスセンタ１０は上位機器２０に処理完了を通知する。サービスセンタ１０から上位機器２０に対するエラー通知、処理完了通知は情報記録媒体を介してオフライン型の制御対象機器（下位機器）３０に転送される。
【０１６０】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図４０に示す。
【０１６１】
次に、ＩＤカードを用いる利用者認証情報登録プロトコルについて説明する。この場合のプロトコルを図４１に示す。制御対象機器（下位機器）３０は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。以下の処理はパスワードを用いる場合と同様である。
【０１６２】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図４２に示す。
【０１６３】
［利用者認証プロトコル］
次に、利用者認証情報登録プロトコルで登録した利用者認証情報を用いて、利用者を認証する手続きについて述べる。
【０１６４】
ａ．機器に利用者認証情報を保存
利用者の利用者認証情報を機器に保存して、サービスの提供等の際に利用者の入力した利用者認証情報と照合する場合の利用者認証の方法について説明する。
【０１６５】
利用者認証情報としてパスワードを利用する場合のプロトコルを図４３に示す。機器は利用者が入力した利用者ＩＤを受け取ると、利用者に対してパスワードの入力を促す。利用者がパスワードを入力すると、機器はメモリに保存されている利用者ＩＤとパスワードの組の中から、利用者ＩＤに対応したパスワードを選び出し、これと入力されたパスワードとを照合する。照合に成功すれば利用者は正当な権限を有すると言え、サービス等を受けることが可能となる。照合に失敗した場合はエラー処理を行う。
【０１６６】
次にＩＤカードを用いる方法について説明する。この場合のプロトコルを図４４に示す。機器は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。この後、機器は内部のメモリに保存されている利用者ＩＤと利用者認証情報の組の中から、利用者ＩＤに対応した利用者認証情報を選び出し、ＩＤカードから転送した利用者認証情報を照合する。照合に成功すれば利用者は正当な権限を有すると言え、サービス等を受けることが可能となる。照合に失敗した場合はエラー処理を行う。
【０１６７】
ｂ．センタに利用者認証情報を保存
利用者のパスワードをサービスセンタ１０に保存して、サービスの提供等の際に利用者の入力したパスワードと照合する場合の利用者認証の方法について説明する。パスワードを利用する場合のプロトコルを図４５に示す。機器はサービスセンタ１０に利用者認証開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、認証開始可能であることを機器に通知する。機器は利用者が入力した利用者ＩＤを受け取ると、利用者に対してパスワードの入力を促す。利用者がパスワードを入力すると、機器は利用者ＩＤと対応するパスワードの組をセッション鍵で暗号化した上で機器ＩＤと共にセンタに送信する。センタは暗号化された利用者ＩＤとパスワードを機器ＩＤに対応したセッション鍵で復号する。サービスセンタ１０は機器・利用者情報データベース１０７に登録されたパスワードと、機器から送信されたパスワードとを照合する。サービスセンタ１０は照合結果を機器に送信する。照合に成功すれば利用者は正当な権限を有すると言え、サービス等を受けることが可能となる。利用者情報データベース１０７の当該利用者ＩＤのエントリに送信された機器ＩＤが含まれていない場合には追加する。このことにより利用者が複数の機器を利用する場合にも、利用者ＩＤと機器ＩＤとを関連づけることが可能である。照合に失敗した場合はエラー処理を行う。
【０１６８】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図４６に示す。
【０１６９】
次に、ＩＤカードを用いた利用者認証の方法について説明する。この場合のプロトコルを図４７に示す。機器は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。機器はサービスセンタ１０に利用者認証開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、認証開始可能であることを機器に通知する。機器は利用者ＩＤと対応する利用者認証情報の組をセッション鍵で暗号化した上で機器ＩＤと共にサービスセンタ１０に送信する。サービスセンタ１０は暗号化された利用者ＩＤと利用者認証情報を機器ＩＤに対応したセッション鍵で復号する。サービスセンタ１０は利用者情報データベース１０７に登録された利用者認証情報と、機器から送信された利用者認証情報とを照合する。さらに、サービスセンタ１０は照合結果を機器に送信する。照合に成功すれば利用者は正当な権限を有すると言え、サービス等を受けることが可能となる。利用者情報データベース１０７の当該利用者ＩＤのエントリに送信された機器ＩＤが含まれていない場合には追加する。照合に失敗した場合はエラー処理を行う。
【０１７０】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図４８に示す。
【０１７１】
ｃ．オフライン型の下位機器の場合
次にオフライン型の制御対象機器（下位機器）３０の場合の利用者認証の方法について説明する。パスワードを利用する場合のプロトコルを図４９に示す。オフライン型の制御対象機器（下位機器）３０は利用者に利用者ＩＤおよびパスワードの入力を促す。利用者ＩＤおよびパスワードが入力されれば、制御対象機器（下位機器）３０はこれをセッション鍵で暗号化して機器ＩＤとともに情報記録媒体に転送する。
【０１７２】
情報記録媒体が制御対象機器（下位機器）３０から上位機器２０に移されると、上位機器２０は情報記録媒体の認証を行う。情報記録媒体の認証が成功すれば、上位機器２０は情報記録媒体からデータを転送（読み取り）する。そして、上位機器２０はサービスセンタ１０に利用者認証開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、認証開始可能であることを上位機器２０に通知する。通知を受領すると上位機器２０は情報記録媒体から転送したデータをそのままサービスセンタ１０に送信する。サービスセンタ１０は暗号化された利用者ＩＤとパスワードを機器ＩＤに対応したセッション鍵で復号する。サービスセンタ１０は利用者情報データベース１０７に登録された利用者認証情報と、機器から送信された利用者認証情報とを照合する。サービスセンタ１０は照合結果を上位機器２０に送信する。照合に成功すれば利用者は正当な権限を有すると言え、サービス等を受けることが可能となる。利用者情報データベースの当該利用者ＩＤのエントリに送信された機器ＩＤが含まれていない場合には追加する。照合に失敗した場合はエラー処理を行う。認証結果を受け取った上位機器２０は、情報記録媒体にその結果を転送する。情報記録媒体が上位機器２０から制御対象機器（下位機器）３０に移されると、制御対象機器（下位機器）３０は情報記録媒体の認証を行う。記録媒体認証が成功すれば、下位機器は情報記録媒体からデータを転送（読み取り）する。制御対象機器（下位機器）３０は認証結果を利用者に、例えば表示部３０３を介して通知する。
【０１７３】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に情報記録媒体を介して送信する。この場合のプロトコルを図５０に示す。
【０１７４】
次にオフライン型の制御対象機器（下位機器）３０の場合におけるＩＤカードを用いた利用者認証の方法について説明する。この場合のプロトコルを図５１に示す。オフライン型の制御対象機器（下位機器）３０は利用者がＩＤカードをセットすると、ＩＤカードから利用者ＩＤおよび利用者認証情報を転送する。以下の処理はパスワードを用いる場合と同様である。
【０１７５】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に情報記録媒体を介して送信する。この場合のプロトコルを図５２に示す。
【０１７６】
［サービスプロトコル］
次に、サービスセンタ１０から上位機器２０を利用した遠隔サービスの提供処理について説明する。
【０１７７】
ａ．センタ−上位機器、センタ−上位機器−下位機器（オンライン）
まず、サービスセンタ１０と上位機器２０、オンライン型の制御対象機器（下位機器）３０を利用する場合のプロトコルを図５３に示す。ここでは、機器といった場合、上位機器２０と、オンライン型の制御対象機器（下位機器）３０とを含む総称である。
【０１７８】
最初に機器はサービスセンタ１０にサービス開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、サービス開始可能であることを機器に通知する。サービスはサービスセンタ１０と機器との間でデータを通信することにより実施される。サービスセンタ１０からサービス提供のためのデータが送信される場合について述べる。
【０１７９】
まずサービスセンタのＣＰＵ１０１の制御によりサービス提供用データベース１０３から、例えばメンテナンス情報のようなサービス用データが暗号化通信ＩＣ１０４に送られる。暗号化通信ＩＣ１０４は、そのデータを機器認証の際にサービスセンタと機器との間で交換したセッション鍵により暗号化を施した後、外部ネットワークインタフェース１０５を経由して外部ネットワークに送信する。
【０１８０】
上位機器２０側では、暗号化通信ＩＣ２０５が外部ネットワークインタフェース２０８経由で受信したデータをセッション鍵を用いて復号する。復号されたデータはデータバスを通じてメモリ２０２やディスク等の記録装置２１０に転送される。ＣＰＵ２０１はメモリ２０２やディスク等の記録装置２１０からデータを読み出して、機器固有部２０４の制御を行う。なお、オンライン型の制御対象機器（下位機器）３０の制御を行なう場合は、上位機器２０と制御対象機器（下位機器）３０間でデータが転送される。
【０１８１】
続いてオンライン型の制御対象機器（下位機器）３０からサービスセンタ１０にデータを送信する場合について述べる。まず、オンライン型の制御対象機器（下位機器）３０のＣＰＵ３０１の制御によりデータが暗号化通信ＩＣ３０５に送られる。暗号化通信ＩＣ３０５は、データのセッション鍵による暗号化を施した後、ローカルインタフェース３０７を介して上位機器２０に送信する。上位機器２０は制御対象機器（下位機器）３０からローカルインタフェース２０８を介して受信したデータを外部ネットワークインタフェース２０８を経由して外部ネットワークに送信する。
【０１８２】
サービスセンタ１０側では、暗号化通信ＩＣ１０４が外部ネットワークインタフェース１０５経由で受信したデータをセッション鍵を用いて復号する。復号されたデータはデータバスを通じて、メモリ１０２やサービス提供用データベース１０３、機器情報データベース１０６、利用者情報データベース１０７に転送される。サービスを提供している間、必要であればサービスセンタ１０のＣＰＵ１０１は課金情報をメモリ１０２もしくは利用者情報データベース１０７に記録する。課金情報とは有償サービスの利用回数や時間、送受信データ量などである。
【０１８３】
以上、説明したように、サービスの提供中にサービスセンタ１０と機器との間で行われるデータの通信は、セッション鍵を用いて暗号化されているので通信内容の保護が可能となる。サービスの提供が終了すれば、サービスセンタ１０のＣＰＵ１０１は利用者ＩＤを検索キーとして利用者データベースから利用者の決済情報を取得し、決済処理を行う。サービスの提供を終了する際には、終了処理を行う。
【０１８４】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に送信する。この場合のプロトコルを図５４に示す。
【０１８５】
２．センタ−上位機器−下位機器（オフライン）
次に、オフライン型下位機器に対する遠隔サービスの提供処理について説明する。この場合、サービスはサービスセンタ１０と上位機器２０との間で通信を行い、上位機器２０がオフライン型の制御対象機器（下位機器）３０の代わりにデータを受信して一度保存し、そのデータを情報記録媒体を用いてまとめて下位機器に転送することにより実施される。この場合のプロトコルを図５５に示す。
【０１８６】
最初に情報記録媒体が制御対象機器（下位機器）３０に装着されていなければ装着する。その場合には情報記録媒体の認証が必要となる。情報記録媒体の認証が成功すると、制御対象機器（下位機器）３０はサービス名やパラメータなど、サービス開始に必要なデータを媒体に転送する。転送が終了してから、情報記録媒体を上位機器２０に移動する。
【０１８７】
上位機器２０は情報記録媒体がセットされると、情報記録媒体認証を行った後、情報記録媒体からサービス開始に必要なデータを転送する。転送が終了すると上位機器２０はサービスセンタ１０にサービス開始を要求する。サービスセンタ１０は要求に応えられる状態であれば、サービス開始可能であることを上位機器２０に通知する。
【０１８８】
サービス提供中にデータを上位機器２０と制御対象機器（下位機器）３０との間でやりとりする場合について述べる。上位機器２０が情報記録媒体にデータを転送する場合、記録媒体認証が済んでいなければ、上位機器２０の暗号化通信ＩＣ２０５は情報記録媒体の認証を開始する。情報記録媒体が認証できれば、上位機器２０のＣＰＵ２０１はサービスセンタ１０から制御対象機器（下位機器）３０のために受信したデータを上位機器２０内部の記録装置２１０から読み出し、暗号化通信ＩＣ２０５に転送する。暗号化通信ＩＣ２０５に転送されたデータはそのまま記録媒体インタフェース２０７を経由して情報記録媒体２１１に転送（書き込み）される。
【０１８９】
制御対象機器（下位機器）３０が情報記録媒体にデータを転送する場合、記録媒体認証が済んでいなければ、制御対象機器（下位機器）３０の暗号化通信ＩＣ３０５は情報記録媒体の認証を開始する。情報記録媒体が認証できれば、制御対象機器（下位機器）３０のＣＰＵ３０１はメモリ３０２もしくは記録装置３０９からデータを読み出し、暗号化通信ＩＣ３０５に転送する。暗号化通信ＩＣ３０５は転送されたデータをセッション鍵で暗号化し、記録媒体インターフェース３０６経由で情報記録媒体３１０に転送する。
【０１９０】
またサービス提供中にデータをサービスセンタ１０と上位機器２０の間でやりとりする場合について述べる。サービスセンタ１０からサービス提供のためのデータが送信される場合について述べる。最初にサービスセンタ１０のＣＰＵ１０１の制御によりサービス提供用データベース１０３からデータが暗号化通信ＩＣ１０４に送られる。暗号化通信ＩＣ１０４は、そのデータを機器認証の際にサービスセンタ１０と制御対象機器（下位機器）３０との間で交換したセッション鍵により暗号化を施した後、外部ネットワークインタフェース１０５を経由して外部ネットワークに送信する。
【０１９１】
上位機器２０側では、暗号化通信ＩＣ２０５が外部ネットワークインタフェース２０８経由でデータを受信し、データバスを通じてメモリ２０２やディスク等の記録装置２１０に転送する。
【０１９２】
続いて上位機器２０からサービスセンタ１０にデータを送信する場合について述べる。
まず、上位機器２０のＣＰＵ２０１の制御により制御対象機器（下位機器）３０とサービスセンタ１０との間で交換されたセッション鍵で暗号化されたデータは、メモリ２０２もしくは記録装置２１０から読み出されて暗号化通信ＩＣ２０５に送られる。暗号化通信ＩＣ２０５はそのデータを外部ネットワークインタフェース２０６を経由して外部ネットワークに送信する。サービスセンタ１０側では、暗号化通信ＩＣ１０４が外部ネットワークインタフェース１０５経由で受信したデータをセッション鍵を用いて復号する。復号されたデータはデータバスを通じて、メモリ１０２やサービス提供用データベース１０３、機器情報データベース１０６、利用者情報データベース１０７に転送される。サービスを提供している間、必要であればサービスセンタ１０のＣＰＵ１０１は課金情報をメモリ１０２もしくは利用者情報データベース１０７に記録する。課金情報とは有償サービスの利用回数や時間、送受信データ量などである。
【０１９３】
以上のように、サービスの提供中にサービスセンタと機器との間で行われるデータの通信は、セッション鍵を用いて暗号化され通信内容を保護することができる。サービスの提供が終了すれば、サービスセンタ１０のＣＰＵ１０１は利用者ＩＤを検索キーとして利用者データベース１０７から利用者の決済情報を取得し、決済処理を行う。サービスの提供を終了する際には、終了処理を行う。
【０１９４】
なお、制御対象機器（下位機器）３０が暗号化機能を備えない場合は、下位機器と上位機器の間はデータを暗号化せず、上位機器２０がセッション鍵で暗号化した後、サービスセンタ１０にデータ送信を実行する。サービスセンタ１０からのデータは上位機器２０がセッション鍵で復号した後、制御対象機器（下位機器）３０に情報記録媒体を介して送信する。この場合のプロトコルを図５６に示す。
【０１９５】
［具体的処理例］
以下、本発明の通信手段を介したサービス提供システムおよびサービス提供方法の具体的なサービス提供例について説明する。
【０１９６】
＜リモートメンテナンス＞
まず、具体的なサービス提供例として、遠隔診断・修復システムについて述べる。この場合のプロトコルを図５７に示す。このシステムは、機器に障害が発生した場合に、障害個所の診断及び修復をサービスセンタ１０からの操作により行う例である。
【０１９７】
まず機器の状態を調べるために診断を行う。この診断は、機器のＣＰＵ（上位機器の場合はＣＰＵ２０１、下位機器の場合はＣＰＵ３０１）が機器内部の様々な部分に対して命令を発行してその応答を分析することによっておこなう。診断のためのプログラムは機器内部のメモリやディスク等に予め記録しておく。診断が終了すれば、その結果をサービスセンタ１０に送信する。あるいはセンタの助けを借りて診断を行う構成としてもよい。この場合、機器はサービスセンタ１０に対して診断依頼のメッセージを送信する。診断依頼のメッセージを受け取ったサービスセンタ１０は、該当機器の診断が可能であれば診断命令を発行し、機器に対して送信する。機器はサービスセンタ１０から診断命令を受け取るとその命令を実行し、結果をサービスセンタ１０に送信する。
【０１９８】
サービスセンタ１０は機器から送信された結果を分析し、それによって必要ならば再度診断命令を発行し、機器に送信する。サービスセンタ１０が診断が終了したと判断できるまで、上記診断命令の発行から分析の手順を繰り返す。以上のように遠隔診断を行って障害箇所および状態を特定でき、かつ遠隔修復が可能であれば修復の手続きに入る。遠隔修復は診断結果に基づき、サービスセンタ１０が機器の障害を復旧するために必要な修復命令を機器に送信することにより行われる。
【０１９９】
サービスセンタ１０のＣＰＵ１０１は診断結果を分析して、修復命令を発行する。この際サービス提供用データベース１０３に蓄積された該当機器あるいは同機種の過去の障害履歴を参照して、最適な命令を選択する。サービスセンタ１０はこの修復命令を機器に送信する。機器は受信した修復命令を機器内のＣＰＵの制御により実行してその結果をセンタに送信する。結果を受信したサービスセンタは、その結果や過去の履歴に基づいて分析を行い、必要ならば再度修復命令を発行し、機器に送信する。必要に応じて利用者へのメッセージを機器の表示部に表示する。そして修復の実行を続けるなどの入力を求める。
センタが修復が完了したと判断する、あるいは利用者が修復を終了するまで、上記修復命令の発行から分析の手順を繰り返す。修復を終了する際には、それまでの診断結果および修復内容を機器情報データベース１０６に登録する。データベースに登録された診断結果および修復内容は課金に利用したり、複数の機器のデータをまとめて機器メーカーへフィードバックして機器の改善に役立てたりすることが可能である。そしてセンタは機器に対して遠隔修復の終了を通知する。
【０２００】
＜バックアップ・リストア＞
本発明の別のサービス提供例として、機器に保存されているデータのバックアップおよびリストア処理をサービスセンタ１０が実行する処理構成について説明する。
【０２０１】
これは、機器に保存されている設定情報等のデータをあらかじめサービスセンタ１０の記憶手段にバックアップしておき、データが万一消失してもリストアすることで、その機器を以前の状態のまま利用できるようにするためのものである。最初にバックアップについて説明する。この場合のプロトコルを図５８に示す。
【０２０２】
機器はサービスセンタ１０に対してバックアップ開始要求を行う。この要求を受信したサービスセンタ１０は、サービス提供用データベース１０３上にバックアップのための領域の確保を行う。領域確保が成功し、かつバックアップを行える状態にあれば、サービスセンタ１０は機器に対してバックアップ開始確認通知を送信する。開始確認通知を受信した機器は、バックアップ対象のデータをサービスセンタ１０に送信する。サービスセンタ１０は受信したバックアップデータを確保した領域に保存する。保存が終了すると、機器情報データベース１０６にバックアップ日時や保存領域などのバックアップ情報を登録する。そしてサービスセンタ１０は機器に対してバックアップの終了を通知する。
【０２０３】
続いてリストアの手順について説明する。この場合のプロトコルを図５９に示す。機器はサービスセンタ１０に対してリストア開始要求を行う。この要求を受信したサービスセンタ１０は、機器ＩＤを検索キーとして機器情報データベース１０６からバックアップ情報を取得する。バックアップ情報の取得に成功し、かつリストアを行える状態にあれば、サービスセンタ１０は機器に対してリストア開始確認通知を送信する。そしてサービスセンタ１０は、バックアップ情報からバックアップデータが保存されているサービス提供用データベース１０３上の領域情報を取り出す。この情報に基づきサービス提供用データベース１０３上の領域からバックアップデータを読み出し、機器に送信する。
【０２０４】
機器は受信したバックアップデータをチェックした後、リストアを実行する。リストアが終了すると、機器はサービスセンタ１０に対してリストアの終了を通知する。リストア終了通知を受信したサービスセンタ１０は、機器情報データベース１０６にリストア履歴を登録する。そしてサービスセンタ１０は機器に対してリストアに関する処理の終了を通知する。
【０２０５】
＜データ配信(音楽、映像、文字情報など)＞
本発明のさらに別のサービス提供例として、データ配信について述べる。
【０２０６】
これは、音楽や映像、文字情報などのデータをサービスセンタ１０に蓄積し、利用者の要求に応じてサービスセンタ１０から機器に取り込んで利用できるものである。この場合のプロトコルを図６０に示す。データ配信機能を利用する場合には、まず利用者は機器に設けられた操作部（上位機器の場合は操作部２０９、下位機器の場合は操作部３０８）でデータ配信を開始する操作を行う。利用者からの入力を受け付けた機器はサービスセンタ１０に対してデータ配信開始要求を行う。サービスセンタ１０は、データ配信を行える状態にあれば、機器に対してデータ配信開始確認通知を送信する。開始確認通知を受信した機器は、表示部（上位機器の場合は表示部２０３、下位機器の場合は表示部３０３）にデータ配信開始のメッセージを表示する。さらにサービスセンタ１０は利用可能なデータに関する選択肢を含んだメニューを機器に送信する。機器はこのメニューを受信すると、表示部に出力する。
【０２０７】
利用者がメニューの中から必要なデータを選択して操作部に入力すると、機器は選択されたデータが何であるかという情報、たとえばデータ番号をサービスセンタ１０に送信する。サービスセンタ１０は、サービス提供用データベースから必要なデータを取得し、機器に送信する。機器はデータを受信したことを表示部に出力する。そして利用者はデータを再生するなどの操作を行う。利用者が引き続きデータ配信機能を利用する場合には、操作部から必要な入力を行えばよい。データ配信が終了すると、サービスセンタ１０は、必要であれば機器情報データベース１０６にデータ配信履歴を登録する。データベースに登録されたデータ配信履歴は課金に利用したり、複数の機器のデータをまとめて以後提供するデータの検討などのマーケティングに役立てたりすることが可能である。そしてサービスセンタ１０は機器に対してデータ配信の終了を通知する。
【０２０８】
＜ヘルプ・チュートリアル＞
さらに、本発明の別のサービス提供例として、機器の操作方法を解説するヘルプ機能を提供する例について述べる。これは、機器の操作方法を解説するヘルプデータをサービスセンタ１０に蓄積し、利用者の要求に応じて必要な部分を機器に取り込んで、利用者に提示するものである。この場合のプロトコルを図６１に示す。
【０２０９】
このヘルプ機能に関しては、機器にすべてのヘルプデータを保存しておくことも可能であるが、機器には保存のための領域が少ない場合があることや、常に新しいヘルプデータを保持することが困難なことから、全部あるいは一部のヘルプデータをサービスセンタ１０に置く形態とする例である。ヘルプ機能を利用する場合には、まず利用者は操作部（上位機器の場合は操作部２０９、下位機器の場合は操作部３０８）でヘルプを開始する操作を行う。利用者からの入力を受け付けた機器はサービスセンタ１０に対してヘルプ開始要求を行う。ヘルプデータの提供を行える状態にあれば、サービスセンタ１０は機器に対してヘルプ開始確認通知を送信する。
【０２１０】
開始確認通知を受信した機器は、ヘルプの必要な部分を指定するデータをサービスセンタ１０に送信する。これを受信したサービスセンタ１０は、サービス提供用データベース１０３から必要なヘルプデータを取得し、機器に送信する。機器は受信したヘルプデータを表示部（上位機器の場合は表示部２０３、下位機器の場合は表示部３０３）に表示する。利用者が引き続きヘルプ機能を利用する場合には、操作部から必要な入力を行えばよい。
ヘルプデータの提供が終了すると、機器情報データベースにヘルプ提供履歴を登録する。
そしてセンタは機器に対してヘルプの終了を通知する。
【０２１１】
また単純なヘルプだけではなく、チュートリアルを提供する、すなわち操作情報を提供する構成とすることも可能である。これは利用者が機器の利用方法を習得するための機能であり、機器の各部分を操作するとその状況に応じて、表示や操作形態が変化する。この場合のプロトコルを図６２に示す。チュートリアル機能を利用する場合には、まず利用者は操作部でチュートリアルを開始する操作を行う。利用者からの入力を受け付けた機器はセンタに対してチュートリアル開始要求を行う。チュートリアルを行える状態にあれば、センタは機器に対してチュートリアル開始確認通知を送信する。開始確認通知を受信した機器は、表示部にチュートリアル開始のメッセージを表示する。利用者が機器の操作を行うと、機器は操作内容と機器の内部状態をサービスセンタ１０に送信する。サービスセンタ１０はこれらの情報に基づいて、次に提供すべきデータを決定する。そして、サービス提供用データベースから必要なチュートリアルデータを取得し、機器に送信する。
【０２１２】
機器は受信したチュートリアルデータを表示部に表示する。利用者が引き続きチュートリアル機能を利用する場合には、操作部から必要な入力を行えばよい。チュートリアルデータの提供が終了すると、機器情報データベースにチュートリアル提供履歴を登録する。そしてセンタは機器に対してチュートリアルの終了を通知する。
【０２１３】
以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。
【０２１４】
【発明の効果】
以上説明してきたように、本発明の通信手段を介したサービス提供システム、サービス提供方法、およびサービス仲介装置、並びにプログラム提供媒体によれば、機器がサービスセンタと直接接続できない構成であった場合でも、通信手段を有する上位機器からローカルネットワークまたは情報記録媒体を介してサービスセンタからの情報を受け取ることが可能となり、制御、メンテナンス等の必要な制御対象機器（下位機器）のすべてに外部ネットワークに接続するための通信インタフェース等の通信手段を構成することが必要とならない。
【０２１５】
さらに、本発明の通信手段を介したサービス提供システム、サービス提供方法、およびサービス仲介装置、並びにプログラム提供媒体によれば、制御、メンテナンス等の必要な制御対象機器（下位機器）が暗号化機能を備えない構成であっても、制御対象機器（下位機器）とローカルネットワークまたは情報記録媒体を介して通信可能な上位機器がデータを暗号化した上でサービスセンタとの通信処理を実行するため、通信データの安全性が保証されていない公衆ネットワークを経由しても、制御情報、あるいは制御情報を提供するために必要となる個人情報などの重要な情報の漏洩が防止可能となる。
【図面の簡単な説明】
【図１】本発明の通信手段を介したサービス提供システムのシステム概要を示す図である。
【図２】本発明の通信手段を介したサービス提供システムを構成する上位機器の構成を示す図である。
【図３】本発明の通信手段を介したサービス提供システムを構成する下位機器（オンライン型）の構成を示す図である。
【図４】本発明の通信手段を介したサービス提供システムを構成する下位機器（オフライン型）の構成を示す図である。
【図５】本発明の通信手段を介したサービス提供システムを構成するサービスセンタの構成を示す図である。
【図６】本発明の通信手段を介したサービス提供システムにおけるデータ通信の暗号化・認証レベルを示す図である。
【図７】本発明の通信手段を介したサービス提供システムにおける処理全体を説明するフローチャート（その１）である。
【図８】本発明の通信手段を介したサービス提供システムにおける処理全体を説明するフローチャート（その２）である。
【図９】本発明の通信手段を介したサービス提供システムにおける処理全体を説明するフローチャート（その３）である。
【図１０】本発明の通信手段を介したサービス提供システムにおける処理全体を説明するフローチャート（その４）である。
【図１１】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その１）である。
【図１２】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その２）である。
【図１３】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その３）である。
【図１４】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その４）である。
【図１５】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その５）である。
【図１６】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その６）である。
【図１７】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その７）である。
【図１８】本発明の通信手段を介したサービス提供システムにおける機器登録プロトコルを説明する図（その８）である。
【図１９】本発明の通信手段を介したサービス提供システムにおける機器認証プロトコルを説明する図（その１）である。
【図２０】本発明の通信手段を介したサービス提供システムにおいて適用可能な相互認証処理を説明する図である。
【図２１】本発明の通信手段を介したサービス提供システムにおける機器認証プロトコルを説明する図（その２）である。
【図２２】本発明の通信手段を介したサービス提供システムにおいて適用可能な相互認証処理を説明する図である。
【図２３】本発明の通信手段を介したサービス提供システムにおける機器認証プロトコルを説明する図（その３）である。
【図２４】本発明の通信手段を介したサービス提供システムにおける機器認証プロトコルを説明する図（その４）である。
【図２５】本発明の通信手段を介したサービス提供システムにおける利用者登録プロトコルを説明する図（その１）である。
【図２６】本発明の通信手段を介したサービス提供システムにおける利用者登録プロトコルを説明する図（その２）である。
【図２７】本発明の通信手段を介したサービス提供システムにおける利用者情報変更プロトコルを説明する図（その１）である。
【図２８】本発明の通信手段を介したサービス提供システムにおける利用者情報変更プロトコルを説明する図（その２）である。
【図２９】本発明の通信手段を介したサービス提供システムにおける利用者登録プロトコルを説明する図（その３）である。
【図３０】本発明の通信手段を介したサービス提供システムにおける利用者登録プロトコルを説明する図（その４）である。
【図３１】本発明の通信手段を介したサービス提供システムにおける利用者情報変更プロトコルを説明する図（その３）である。
【図３２】本発明の通信手段を介したサービス提供システムにおける利用者情報変更プロトコルを説明する図（その４）である。
【図３３】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その１）である。
【図３４】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その２）である。
【図３５】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その３）である。
【図３６】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その４）である。
【図３７】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その５）である。
【図３８】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その６）である。
【図３９】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その７）である。
【図４０】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その８）である。
【図４１】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その９）である。
【図４２】本発明の通信手段を介したサービス提供システムにおける利用者認証情報登録プロトコルを説明する図（その１０）である。
【図４３】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その１）である。
【図４４】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その２）である。
【図４５】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その３）である。
【図４６】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その４）である。
【図４７】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その５）である。
【図４８】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その６）である。
【図４９】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その７）である。
【図５０】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その８）である。
【図５１】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その９）である。
【図５２】本発明の通信手段を介したサービス提供システムにおける利用者認証プロトコルを説明する図（その１０）である。
【図５３】本発明の通信手段を介したサービス提供システムにおけるサービスプロトコルを説明する図（その１）である。
【図５４】本発明の通信手段を介したサービス提供システムにおけるサービスプロトコルを説明する図（その２）である。
【図５５】本発明の通信手段を介したサービス提供システムにおけるサービスプロトコルを説明する図（その３）である。
【図５６】本発明の通信手段を介したサービス提供システムにおけるサービスプロトコルを説明する図（その４）である。
【図５７】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としての遠隔診断、修復処理を説明する図である。
【図５８】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としてのバックアップ処理を説明する図である。
【図５９】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としてのリストア処理を説明する図である。
【図６０】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としてのデータ配信処理を説明する図である。
【図６１】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としてのヘルプデータ提供処理を説明する図である。
【図６２】本発明の通信手段を介したサービス提供システムにおけるサービス提供例としてのチュートリアル処理を説明する図である。
【符号の説明】
１０サービスセンタ
２０上位機器
３０制御対象機器(下位機器)
１０１ＣＰＵ
１０２メモリ
１０３サービス提供用データベース
１０４暗号化通信ＩＣ
１０５外部インタフェース
１０６機器情報データベース
１０７利用者情報データベース
２０１ＣＰＵ
２０２メモリ
２０３表示部
２０４機器固有部
２０５暗号化通信ＩＣ
２０６外部インタフェース
２０７記録媒体インタフェース
２０８ローカルインタフェース
２０９操作部
２１０記録装置
２１１情報記録媒体
３０１ＣＰＵ
３０２メモリ
３０３表示部
３０４機器固有部
３０５暗号化通信ＩＣ
３０６記録媒体インタフェース
３０７ローカルインタフェース
３０８操作部
３０９記録装置
３１０情報記録媒体[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a service providing system, a service providing method, and a service mediating apparatus via communication means. More specifically, various types of electronic devices, such as televisions, video decks, air conditioners, refrigerators, microwave ovens, etc., are subjected to various controls via communication means such as communication networks, maintenance, etc. It is possible to make each device small and low-cost, and to transfer control information, maintenance information, billing information, etc. at the time of service provision with sufficient security. The present invention relates to a service providing system, a service providing method, and a service mediating apparatus via the communication means.
[0002]
[Prior art]
In recent years, with the development of digital technology, many electronic devices have become controllable by a microcomputer or the like. In addition, a digital network covering a wide area has been constructed by a communication network such as the Internet connecting a plurality of computers. An information transmission form through the network, such as controlling the electronic device from a remote location via the network, performing maintenance, or providing maintenance information to the electronic device user by connecting the electronic device to the communication network Is becoming popular.
[0003]
Specifically, a service center that provides services such as control and maintenance for various electronic devices is installed, and the service center and the user's electronic devices are connected by telephone line, cable TV line, Internet, wireless line, satellite line, etc. Thus, various services are provided. In addition, in these service providing systems, a configuration in which billing processing is performed for services provided by registering various payment information such as user information and account information is becoming widespread.
[0004]
[Problems to be solved by the invention]
However, in such a service providing configuration via a communication line such as a network for an electronic device, data is often transmitted and received as it is between a service organization and a user device via a communication means such as the Internet. For example, personal information may be leaked or tampered with. For example, information such as a user's bank account and credit card number for billing for service charges may cause serious damage if handled improperly, and a model in which multiple users share the same line as in the Internet The transmission / reception of data including personal information is problematic from the viewpoint of information protection.
[0005]
In addition, in the service providing system through the current communication means, in order to receive the service through the network or the like, it is necessary to have a configuration in which all the devices that receive the service can be directly connected to the service center through the external network or the like. there were. That is, it is necessary that a user's device has a modem, an interface, etc. as service communication means. However, it is not preferable to provide a communication module for all devices in order to receive such a service from the viewpoint of cost and downsizing of the devices. This problem is particularly noticeable in devices where downsizing is important. Furthermore, for the same reason, it is not realistic to configure advanced security function modules in all devices, and these problems are one of the factors that hinder the spread of service providing systems via networks.
[0006]
The present invention makes it unnecessary to provide a module for communication in all the above-described problems, that is, all electronic devices that receive services, and eliminates the need to configure a high-level security function module in the device. An object is to provide a data communication system and a data communication method.
[0007]
[Means for Solving the Problems]
  The first aspect of the present invention is:
  A control target device having at least one of a local network interface unit and an information recording medium interface unit;
  An interface means for an external network, and an encryption processing means for executing encryption processing of transfer data using the external network, and either via a local network interface means or an information recording medium interface means of the control target device A host device having a configuration capable of transferring data to the device to be controlled;
  The host device has a configuration in which control information for the control target device is received from a service center via the external network, and the reception control information is transferred to the control target device via a local network or an information recording medium.And
The service center has a device information database in which device identifiers of the higher-level device and control target device are registered, and a user information database in which user identifiers of the higher-level device and control target device are registered,
By executing a verification process between the device identifier registered in the device information database and the device identifier received from the higher-level device or the control target device, a device validity verification process is performed,
A user legitimacy verification process is executed by executing a collation process between the user identification data registered in the user information database and the user identification data received from the host device or control target device.This is in a service providing system via communication means.
[0008]
Furthermore, in an embodiment of the service providing system via the communication means of the present invention, the service center and the higher-level device have authentication processing means, and data transmission / reception between the service center and the higher-level device is performed by authentication processing. The configuration is such that it is executed only when authentication is established.
[0009]
Furthermore, in an embodiment of the service providing system via the communication means of the present invention, the host device and the control target device have authentication processing means, and data transmission / reception between the host device and the control target device is performed by authentication. The configuration is such that it is executed only when authentication by processing is established.
[0010]
Furthermore, in one embodiment of the service providing system via the communication means of the present invention, the upper device and the control target device have authentication processing means, and the information recording medium between the upper device and the control target device The data transfer via is performed only when authentication by the authentication processing of the information recording medium by the host device and the control target device is established.
[0013]
Furthermore, in an embodiment of the service providing system via the communication means of the present invention, data transmitted and received between the service center and the higher-level device is encrypted using a session key that is valid only in the communication session. It is characterized by being made data.
[0014]
Furthermore, in an embodiment of the service providing system via the communication means of the present invention, the data transferred between the higher-level device and the control target device is encrypted using a session key that is valid only in the communication session. It is the data which was made.
[0015]
Furthermore, in one embodiment of the service providing system via the communication means of the present invention, the service center performs device diagnosis processing, device repair processing, data backup processing, data restoration processing, data distribution processing on the control target device. The service data providing process and the operation information providing process are provided.
[0016]
Further, in an embodiment of the service providing system via the communication means of the present invention, the authentication process between the service center and the higher-level device is executed by a public key cryptosystem, and between the higher-level device and the control target device. The authentication process is characterized in that it is configured to be executed by either a public key cryptosystem or a common key cryptosystem.
[0017]
Furthermore, in one embodiment of the service providing system via the communication means of the present invention, data communication between the service center and the higher-level device is executed by a common key cryptosystem, and between the higher-level device and the control target device. The data communication is configured to be executed by a common key encryption method.
[0033]
The program providing medium according to the fourth aspect of the present invention is a medium that provides a computer program in a computer-readable format to, for example, a general-purpose computer system capable of executing various program codes. The form of the medium is not particularly limited, such as a storage medium such as a CD, FD, or MO, or a transmission medium such as a network.
[0034]
Such a program providing medium defines a structural or functional cooperative relationship between a computer program and a providing medium for realizing a function of a predetermined computer program on a computer system. . In other words, by installing a computer program in the computer system via the provided medium, a cooperative action is exhibited on the computer system, and the same effects as the other aspects of the present invention are obtained. Can do it.
[0035]
[Action]
Since the device and the service center of the present invention mutually perform authentication processing, check communication partners, and perform encryption of transmission data, secure data transmission / reception becomes possible. Furthermore, a device that does not have a communication means for an external network and cannot be directly connected to the service center can safely communicate with the service center via a host device that can be directly connected to the external network.
[0036]
Other objects, features, and advantages of the present invention will become apparent from a more detailed description based on embodiments of the present invention described later and the accompanying drawings.
[0037]
DETAILED DESCRIPTION OF THE INVENTION
[System Overview]
FIG. 1 is a block diagram illustrating an overview of a service providing system, a service providing method, and a service mediating apparatus via a communication unit of the present invention. The system of the present invention includes a service center 10 that provides services to user devices, a host device 20 as a service mediating device that executes data transmission / reception with the service center 10, and controls from the service center 10 via the host device 20. Control target device (subordinate device) 30, the telephone line connecting the service center 10 and the upper device 20, external network communication means such as CATV line, satellite, wireless, Internet, etc., the upper device 20 and the control target device (lower device) 30, for example, a local network that can communicate with a communication interface such as IEEE1394 or USB. Note that the host device 20 itself can be a control target device that receives control, maintenance, and the like from the service center 10, and the host device 20 shown in the lower side of FIG. 1 shows this mode.
[0038]
Each component shown in FIG. 1 will be described. The device on the user side of the present invention is roughly classified into two types, that is, the upper device 20 and the control target device (lower device) 30. The configuration of each device and service center will be described below.
[0039]
<Host device>
The host device 20 as a service mediating device has a modem capable of communicating with the service center 10 via a telephone line, or a device having a communication means capable of transmitting and receiving data via a CATV line, a satellite, other wireless lines, etc. It is. Further, as shown in the upper part of FIG. 1, data from the service center 10 is transferred to the control target device (lower device) 30, and transmission data from the control target device (lower device) 30 to the service center 10. Means for transferring.
[0040]
FIG. 2 shows the configuration of the host device 20. The host device 20 is a local interface as an interface unit such as IEEE1394 (connection standard by the Institute of Electrical and Electronics Engineers) or USB (Universal Serial Bus) used to configure a local network for connection with the control target device 30 receiving the service. 208, and data communication with other devices is possible. The communication between the host device 20 and the service center 10 may be executed by a telephone line, a cable TV line, a wireless line, a satellite line, an Internet connection, etc., and has an external interface 206 according to each of these communication methods.
[0041]
The host device 20 includes an encryption communication IC 205 as a dedicated IC for performing encryption / authentication and communication control. The encrypted communication IC 205 can perform operations necessary for using the public key cryptosystem and the common key cryptosystem. Further, the IC includes a storage unit that stores an identifier (device ID) unique to the host device 20, and this ID is used when the device is authenticated. The encryption / authentication communication IC 205 is preferably configured as a SAM (Secure Application Module) so that an ID cannot be rewritten from the outside.
[0042]
The device ID stored in the encrypted communication IC 205 is issued by the service center 10, and the issued ID is registered in the service center database. In order to improve security, verification is performed using the verification bit of the device ID when a service is performed by the service center 10 by providing a data structure with redundancy such as adding a verification bit to the device ID. It is good also as a structure which does. With such a configuration, it is possible to exclude a device having an unauthorized ID other than the regular ID issued by the service center 10 from the service target.
[0043]
The set of the public key and private key of the host device 20 and the public key certificate corresponding to the public key necessary for using the public key cryptosystem are recorded in advance in the storage unit of the encryption communication IC 205 of the device. ing. The public key certificate is issued by a trusted certificate issuing organization, a so-called certificate authority (CA).
[0044]
In the service providing system via the communication means of the present invention, after confirming that the data transmission side and the data reception side are regular data transmission / reception targets, necessary information is transferred, that is, security is taken into consideration. Take the data transfer configuration. One technique for realizing a security configuration at the time of data transfer is transfer data encryption processing.
[0045]
The encrypted data can be returned to the decrypted data that can be used by the decrypting process according to a predetermined procedure. There are various types of data encryption / decryption methods using an encryption key and a decryption key, but a typical example is a so-called common key encryption method using a common key for encryption and decryption. There are public key cryptosystems that use different keys for encryption and decryption. In the public key cryptosystem, a sender and a receiver have different keys, one key is a public key that can be used by an unspecified user, and the other is a secret key that keeps the secret secret. For example, the data encryption key is a public key and the decryption key is a secret key.
[0046]
Unlike the so-called common key cryptosystem that uses a common key for encryption and decryption, the public key cryptosystem is advantageous in key management because it requires a specific person to hold a secret key that must be kept secret. . However, the public key cryptosystem has a slower data processing speed than the common key cryptosystem, and is often used for objects with a small amount of data such as secret key distribution and digital signature. A typical public key cryptosystem is RSA (Rivest-Shamir-Adleman) cryptography. This uses a product of two very large prime numbers (for example, 150 digits), and utilizes the difficulty of the process of factoring the product of two large prime numbers (for example, 150 digits).
[0047]
In the public key cryptosystem, a public key can be used by an unspecified number of people, and there is a method of using a certificate that certifies whether or not a public key to be distributed is valid, a so-called public key certificate. Many are used. For example, the user A generates a public key / private key pair, sends the generated public key to the certificate authority, and obtains a public key certificate from the certificate authority. User A makes the public key certificate public. An unspecified user obtains a public key from a public key certificate through a predetermined procedure, encrypts a document or the like, and sends it to user A. User A is a system for decrypting an encrypted document or the like using a secret key.
[0048]
A public key certificate is a certificate issued by a CA (Certificate Authority) in public key cryptography. When a user submits his / her ID, public key, etc. to the certificate authority, the certificate authority side The certificate is created by adding information such as the ID and expiration date of the certificate, and further adding a signature by a certificate authority.
[0049]
The public key certificate includes the certificate version number, the certificate serial number assigned to the certificate user by the certificate authority (IA), the algorithm and parameters used for the electronic signature, the name of the certificate authority, the certificate expiration date, It includes the certificate user's name (user ID), the certificate user's public key, and an electronic signature.
[0050]
The electronic signature consists of the certificate version number, the certificate serial number assigned to the certificate user by the certificate authority, the algorithm and parameters used for the electronic signature, the name of the certificate authority, the certificate expiration date, the certificate user This is data generated by applying a hash function to the entire data such as the name and the public key of the certificate user to generate a hash value, and using the secret key of the certificate authority for the hash value.
[0051]
The certificate authority issues a public key certificate, updates the public key certificate that has expired, and creates, manages, and distributes an unauthorized person list for rejecting the unauthorized users. Revocation: Called Revocation).
[0052]
On the other hand, when using this public key certificate, the user verifies the electronic signature of the public key certificate using the public key of the certificate authority that he / she holds, and publishes it after successfully verifying the electronic signature. The public key is extracted from the key certificate and the public key is used. Therefore, all users who use the public key certificate need to hold a common certificate authority public key. In the host device 20 shown in FIG. 2 of the present invention, the public key of the certificate authority is stored in the internal memory of the encrypted communication IC 205.
[0053]
The public key and private key of the host device are newly generated by the host device when device registration is performed with respect to the service center 10, or the service center generates and receives this and stores it in the host device. In this case, if a public key certificate is necessary, it is obtained separately from a certificate authority.
[0054]
The host device 20 can store a plurality of key sets, and can change the key set for each service center or service to which the device is connected. The host device 20 can be locally connected to the control target device 30 as various subordinate devices. For example, if the control target device 30 is a TV of A manufacturer, the control device 30 can be controlled using a key for connecting the service center of the A manufacturer. If the target device 30 is an air conditioner of manufacturer B, a configuration such as using a key for connecting the service center of manufacturer B is possible.
[0055]
The host device 20 further includes a CPU 201 for controlling various processes such as processing control of the encrypted communication IC 205, communication control via each interface, data access control of the storage device 210, temporary storage of communication data, processing program RAM 202 functioning as a storage unit, a memory 202 configured by a ROM, a display unit 203 that displays instruction data and the like for a user who operates the device, an operation unit 209 that enables an instruction to start communication by the user, a hard disk, A storage device 210 composed of a CD, a DVD, or the like is provided.
[0056]
Furthermore, the host device 20 has a device specific unit 204 that provides the original functions of the device. The device specific unit 204 is a received data processing circuit, a modulation / demodulation circuit, a magnetic drum, a tape drive unit, or the like if the device is a video deck, for example. Further, the host device 20 may be configured to record data on an information recording medium 211 such as a memory stick, FD, CD, or DVD. In that case, an interface 207 with the information recording medium 211 is provided.
[0057]
<Controlled device (subordinate device)>
The control target device (lower device) 30 is a device that does not have a direct connection means with an external network, is connected to the upper device 20 via a local network, and receives various services such as control and maintenance from the service center 10. It is.
[0058]
3 and 4 show two configuration examples of the control target device (lower device) 30. FIG. 3 shows a configuration in which the control target device (lower device) 30 has a local network interface 307 for connecting to the host device, and is connected to the host device 20 via the local network interface 307. Control of the service center 10 is received through the service center 10. This mode is called an online subordinate device.
[0059]
On the other hand, the control target device (lower device) 30 shown in FIG. 4 does not have a local network interface for connecting to the upper device, and is stored in an information recording medium 310 such as a memory card, CD, or FD. Control based on information and maintenance information. Control information received from the service center 10 is stored in the information recording medium 211 of the host device shown in FIG. 2 and attached to the control target device (subordinate device) 30 to execute control from the service center 10 as offline control. It is possible to do.
[0060]
The configuration of the control target device (lower device) 30 will be described. In the case of the online type in FIG. 3, the control target device (lower device) 30 that receives the service has a local interface as an interface unit such as IEEE1394 or USB (Universal Serial Bus) in order to form a local network for connection with the upper device 20. 307 and data communication with the host device 20 is possible.
[0061]
The control target device (lower device) 30 includes an encryption communication IC 305 as a dedicated IC that performs encryption / authentication and communication control. The encrypted communication IC 305 can perform operations necessary for using the public key cryptosystem and the common key cryptosystem. The encrypted communication IC 305 can perform operations necessary for using the public key cryptosystem and the common key cryptosystem. However, since high computing power is required to use the public key cryptosystem, a configuration in which only the common key cryptosystem can be used in a resource-constrained device.
[0062]
A set of a public key and a private key and a public key certificate corresponding to the public key necessary for using the public key cryptosystem are stored in advance in the internal memory of the encryption communication IC 305 of the control target device (lower device) 30. It is recorded. The public key certificate is issued by a trusted certificate issuing organization, so-called certificate authority (CA), as in the case of the host device 20 described above. The public key and private key of the control target device (lower device) 30 are newly generated when device registration is executed with respect to the service center 10, or generated by the service center and received and stored in the device. In this case, if a public key certificate is required, it is obtained separately from a certificate authority. The control target device (lower device) 30 may be configured to be capable of storing a plurality of key sets, and may be configured to change the key set for each service center or service connected to the device. It is good. The public key of the service center 10 is recorded in advance in the internal memory of the encryption communication IC 305 of the device. If the configuration uses only the common key cryptosystem, the common key is issued by the service center 10 and stored in the internal memory of the encryption communication IC 305 of the control target device (lower device) 30. The common key may be held by the service center corresponding to the identifier (ID) of the control target device (lower device) 30.
[0063]
The control target device (lower device) 30 further includes a CPU 301 for controlling various processing such as processing control of the encrypted communication IC 305, communication control via each interface, and data access control of the storage device 309, and temporary communication data. Memory 302 configured as a storage unit for storing and processing programs, a memory 302 including a ROM, a display unit 303 for displaying instruction data and the like for a user who operates the device, and an operation for enabling an instruction to start communication by the user A storage device 309 including a unit 308, a hard disk, a CD, a DVD, and the like.
[0064]
Furthermore, the control target device (lower device) 30 includes a device specific unit 304 that provides a function inherent to the device. Furthermore, the control target device (lower device) 30 may be configured to record data on an information recording medium 310 such as a memory stick, FD, CD, or DVD. In that case, an interface 306 with the information recording medium 310 is provided. In the case of the offline type shown in FIG. 4, control information from the service center 10 is received via the information recording medium 310. In the online configuration of FIG. 3, either a local network or an information recording medium 310 can be used.
[0065]
That is, in the online type of FIG. 3, the control target device (lower device) 30 uses the local network interface 307 to connect to the upper device 20 and receives the service, and uses the connection capability of the external interface 206 of the upper device 20. To connect to the service center 10. At this time, communication control is independently performed by the control target device (lower device) 30. In the offline type of FIG. 4, the host device 20 connects to the center on behalf of the control target device (lower device) 30 to transmit / receive data, and the control target device (lower device) 30 transmits the data to the host device 20. Recording is performed on the information recording medium, the information recording medium is moved to the control target device (lower device) 30, and the control target device (lower device) 30 reads data from the information recording medium.
[0066]
The above-described online-type control target device (lower device) 30 in FIG. 3 and offline type in FIG. 4 has the encryption communication IC 305 and has been described as a configuration capable of encryption processing. However, in this case, it is possible to provide only an IC for controlling communication without encryption. In this case, the host device connected online via the communication line or offline connected via the storage medium encrypts the communication contents. Can be substituted. In this case, authentication by the device identifier (ID) is performed for authentication between the control target device (lower device) 30 and the upper device 20.
[0067]
<Service Center>
A configuration example of the service center 10 is shown in FIG. The service center 10 includes an external network interface 105, an encryption communication IC 104, a service providing database 103, a device information database 106, a user information database 107, a CPU 101, a memory 102, and a data bus connecting them.
[0068]
The encrypted communication IC 104 performs processing such as communication with the host device 20, data encryption, and authentication of the service provision target device. A center identifier (ID) unique to the service center is recorded in the encrypted communication IC 104, and this is used for mutual authentication with each device as a communication partner.
[0069]
The encrypted communication IC 104 of the service center 10 can perform calculations necessary for using the public key cryptosystem and the common key cryptosystem. The device information database 106 stores information such as an identifier (ID) and a public key of each communication target or service target device. In the case of a device that uses a common key cryptosystem in data communication, a device ID and a common key corresponding to the device ID are stored in advance in the device information database 106.
[0070]
The user information database 107 manages devices that receive service provided from the service center 10 and performs payment processing such as service consideration, that is, service user identifiers (IDs) and payment information of each user. Etc. are stored. The service providing database 103 stores data necessary for providing a service. The CPU 101 controls various processes such as processing control of the encrypted communication IC 104, communication control via each interface, and data access control of each storage device. The memory 102 temporarily stores communication data and stores a processing program. It is comprised by RAM, ROM, etc. which function as.
[0071]
[Encryption / Authentication Level]
The public key cryptosystem used in the service providing system via the communication means of the present invention can be RSA or the like, and the common key cryptosystem can be a cryptosystem such as DES. You can use an appropriate method.
[0072]
FIG. 6 summarizes the connection form and the encryption / authentication level between the service center 10 and the upper device 20 and the control target device (lower device) 30 in the present invention.
[0073]
The service center 10 and the host device 20 are connected via an external network. Encryption / authentication uses a public key cryptosystem. There are six types of connection forms between the upper device 20 and the control target device (lower device) 30. That is, (1) When the control target device (lower device) 30 can be connected to the local network and the public key cryptosystem can be used, (2) The control target device (lower device) 30 can be connected to the local network and the common key encryption When only the method can be used, (3) When the control target device (lower device) 30 can be connected to the local network and encryption cannot be used, (4) The control target device (lower device) 30 exchanges data by moving the recording medium When the public key cryptosystem can be used, (5) When the control target device (lower device) 30 can exchange data by moving the recording medium and only the common key cryptosystem can be used, (6) Control target device (subordinate device) (Device) 30 is a case where data can be exchanged by moving the recording medium and encryption cannot be used. A plurality of lower-level devices can be connected to one upper-level device, and the higher-level device 20 is configured to be compatible with a plurality of encryption schemes, so that various types of control target devices (lower-level devices) can be connected. Communication becomes possible. By referring to the device ID of the control target device (lower device), the upper device can identify the subordinate device under control.
[0074]
[Overall flow]
A remote service providing process using the service center 10 of the upper device 20 and the control target device (lower device) 30 in the service providing system via the communication means of the present invention will be described below.
[0075]
FIGS. 7 to 10 are flowcharts showing the overall processing flow from the start to the end of the service. Details of the processes included in these flows will be described later. First, the outline of the processing flow of the service providing system of the present invention will be described with reference to FIGS.
[0076]
First, as shown in the flow of FIG. 7, when the host device 20 is connected to the service center 10 through the network for the first time, device registration in the service center 10 shown in step S701 is performed. If the process at the time of the initial connection has been completed, or if the process does not require device registration, such as providing free maintenance, the process proceeds to the device authentication step shown in step S702. A device authentication process flow is shown in FIG. This is a procedure in which the host device 20 and the service center 10 mutually confirm the validity of the communication partner. The device registration protocol and device authentication protocol shown in the figure will be described in detail later.
[0077]
By executing the authentication protocol shown in FIG. 7, it is possible to prevent an unauthorized device from receiving a service or performing an erroneous communication with the service center 10. If the device authentication in step S702 fails, the error processing is performed, and then the processing is stopped. If device authentication is successful, user registration is performed if necessary.
[0078]
In the user registration procedure shown in FIG. 8, the user information database (107 shown in FIG. 5) of the service center 10 stores the user information of the device, such as name, credit card number for service charge settlement, or bank account number. Is registered (step S801). Thereafter, information necessary for user authentication such as a password is registered (step S802).
[0079]
FIG. 9 shows a process for changing user information such as a user name, for example, a name and a credit number, and a procedure for changing information necessary for user authentication such as a password. In the user information change procedure, user authentication (step S901) is first performed. This is to prevent a person other than a legitimate user from changing the user information of another person illegally. If user authentication fails, the error processing is performed and then the processing is stopped. If the user authentication is successful, user information registration (step S902) is subsequently performed.
[0080]
When registration of user information is completed, a procedure for changing user authentication information for information necessary for user authentication, for example, a password, is performed only when necessary. In the user authentication information change procedure, user authentication is first performed. This is to prevent a person other than a legitimate user from illegally changing user authentication information such as a password of another person. If user authentication fails, the error processing is performed and then the processing is stopped. If the user authentication is successful, the user authentication information is subsequently changed (step S903). When the above procedure is completed and the service is performed, the service execution procedure is performed.
[0081]
FIG. 10 shows an execution process of a service such as control and maintenance of a control target device, that is, a service execution procedure flow. In the service implementation procedure, user authentication is performed first if necessary. This is to prevent unauthorized persons from receiving services illegally. Whether or not to perform user authentication differs depending on the service. If user authentication fails, the error processing is performed and then the processing is stopped. If user authentication is successful, the service is subsequently performed. If the connection is not terminated after the service is completed, repeat the procedure after the end of device authentication.
[0082]
[About each protocol]
(1) Device registration protocol
a. Host device
First, a protocol for registering the upper device 20 with the service center 10 will be described. This protocol is a protocol for registering a device ID, a model name, and a device public key in the center device information database.
[0083]
As described above with reference to FIG. 6, mutual authentication and data communication are performed between the host device 20 and the service center 10 by the public key cryptosystem. A pair of a public key and a private key of the higher-level device itself necessary for using the public key cryptosystem is stored in the internal memory of the encryption communication IC 205 of the higher-level device 20, and these keys are encrypted. There are two configurations that are not stored in the internal memory of the integrated communication IC 205 in advance, and device registration is performed in the service center 10 when connection to the service center 10 becomes necessary, and each key is generated at that time. . FIG. 11 shows the protocol when the former key is already stored, and FIG. 12 shows the protocol when the key is generated.
[0084]
The processing of FIGS. 11 and 12 will be described. When performing device registration, the host device 20 transmits a device registration start request to the service center 10. If the service center 10 can respond to the request, the service center 10 notifies the device that device registration can be started. At the same time, the service center 10 transmits its own center identifier (ID).
[0085]
The host device 20 confirms the center based on the service center identifier (ID) sent from the service center 10 and transmits its host device identifier (ID), model name, and public key certificate to the service center 10. The public key of the service center 10 is stored in the encryption communication IC 205 of the host device 20, and when transmitting to the service center 10, transmission data is encrypted using this public key.
[0086]
Note that, as in the example shown in FIG. 12, when the host device 20 itself generates a key set, the public key generated by the host device 20 is transmitted to the center instead of the public key certificate.
[0087]
Since transmission data from the host device 20 to the service center 10 is encrypted with the public key of the service center 10, data such as a host device identifier (ID) and model name included in the transmission data is leaked to a third party. Or the possibility of tampering.
[0088]
The center that has received the data such as the upper device identifier (ID) decrypts the data sent from the upper device with the secret key of the service center 10 itself. The upper device identifier (ID) in the decrypted data is verified, and if it is a valid identifier (ID), the upper device identifier (ID), model name, and public key certificate or public key in the transmission data are obtained as device information. Register in the database 106. When the registration in the database is normally completed, the service center 10 returns a device registration process completion notification to the higher-level device 20. If the data decryption or the validity verification of the upper device identifier (ID) and the registration in the database have failed, the service center 10 returns an error notification to the upper device 20.
[0089]
b. Control target device (subordinate device)
Next, a protocol for registering the control target device (lower device) 30 in the service center 10 will be described.
[0090]
When the control target device (subordinate device) 30 performs device registration, the procedure differs between the online subordinate device and the offline subordinate device. Furthermore, there are differences between devices that can use public key cryptography and devices that cannot. Note that the host device 20 to which the control target device (lower device) 30 is connected performs a device authentication protocol between the host device 20 and the service center 10 before performing this procedure, and authentication is performed with the center. Shall be made.
[0091]
b-1. Public-key cryptography online subordinate device
FIG. 13 shows a procedure in the case of using an on-line type subordinate device for the first time. When a public key can be used in an online subordinate device, a set of the public key and secret key of the control target device (subordinate device) 30 itself, which is necessary for using the public key cryptosystem, is controlled in advance. ) When the service center 10 is stored in the internal memory of the 30 encrypted communication IC 305, or when these keys are not stored in the internal memory of the encrypted communication IC 305 and connection to the service center 10 becomes necessary. There are two configurations: device registration in which each key is generated. FIG. 13 shows the protocol when the former key has been stored, and FIG. 14 shows the protocol when the key is generated.
[0092]
The processing of FIGS. 13 and 14 will be described. When performing device registration, the control target device (lower device) 30 first issues a device registration start request to the higher device 20. The host device 20 that has received this relays a device registration start request to the service center 10. If the service center 10 is ready to respond to the request, it notifies the host device 20 that device registration can be started. Then, the upper device 20 notifies the control target device (lower device) 30 that device registration can be started.
[0093]
Upon receiving this device registration start confirmation notification, the control target device (lower device) 30 encrypts the device ID, model name, and public key certificate of the control target device (lower device) with the center's public key, and sends it to the upper device. Send. As shown in FIG. 14, when the lower device generates a key set, it transmits its own public key to the upper device 20 instead of the public key certificate. The host device 20 that has received this relays the received data as it is to the service center.
[0094]
Since the data transmitted from the control target device (lower device) 30 to the upper device 20 and the service center 10 is encrypted with the public key of the service center 10, the control target device (lower device) identifier included in the transmission data The possibility that data such as (ID) and model name is leaked to a third party or tampered with can be eliminated.
[0095]
The center that has received the data such as the control target device (lower device) identifier (ID) decrypts the data sent from the upper device with the secret key of the service center 10 itself. The control target device (lower device) identifier (ID) in the decrypted data is verified, and if it is a valid identifier (ID), the control target device (lower device) identifier (ID), model name, and A public key certificate or public key is registered in the device information database 106. When the registration in the database is normally completed, the service center 10 returns a device registration process completion notification to the higher-level device 20. If the data decryption or the validity verification of the higher-level device identifier (ID) and the registration in the database have failed, the service center 10 returns an error notification to the higher-level device 20.
[0096]
The upper device 20 relays the processing completion notification or error notification received from the service center 10 to the control target device (lower device) 30.
[0097]
b-2. Online subordinate device of common key cryptosystem
A device registration procedure for an online subordinate device that cannot use the public key encryption method, can use the common key method, or has no encryption function will be described.
[0098]
The protocol in this case is shown in FIG. In this case as well, the process up to notifying the control target device (lower device) 30 that the device 20 can start device registration is the same. When the control target device (lower device) 30 receives the device registration start confirmation notification, the control target device (lower device) 30 transmits its own device ID and model name to the upper device 20.
[0099]
In this case, the device ID and model name information transmitted to the higher-level device 20 are not encrypted, but since they are on the local network, it is considered that there are relatively few security problems compared to the external network. The upper device 20 encrypts the information received from the control target device (lower device) 30 with the public key of the service center 10. That is, the host device 20 performs data encryption. The subsequent processing is the same as the procedure in the case of a lower-level device that can use the public key cryptosystem, and the description thereof is omitted.
[0100]
b-3. Public key cryptography offline subordinate device
Next, a device registration procedure in the offline subordinate device will be described. When the public key cryptosystem can be used in the offline lower-level device, the combination of the public key and the secret key of the control target device (lower device) 30 necessary for using the public key cryptosystem is previously set in the control target device ( Service when the key is stored in the internal memory of the encryption communication IC 305 of the lower-level device 30 and when these keys are not stored in the internal memory of the encryption communication IC 305 and connection to the service center 10 becomes necessary. There are two configurations in which device registration is performed in the center 10 and each key is generated at that time. FIG. 16 shows the protocol when the former key is already stored, and FIG. 17 shows the protocol when the key is generated.
[0101]
The processing of FIGS. 16 and 17 will be described. The control target device (lower device) 30 first authenticates the information recording medium. The information recording medium 310 is a memory card, for example, and an authentication process using the memory card identifier or the like is executed. When the authentication is established, the control target device (subordinate device) 30 transmits its own control target device (subordinate device) identifier (ID), model name and public key certificate (FIG. 16) or public key (FIG. 17) to the service center. It is encrypted with the public key and transferred to the information recording medium 310.
[0102]
After the data transfer is completed, the information recording medium 310 is removed from the control target device (lower device) 30 and the lower device, and attached to the higher device 20. When the information recording medium 211 (same as the information recording medium 310) is loaded, the host device 20 starts authentication of the information recording medium. After the information recording medium authentication is completed, the upper device 20 transfers (reads out) data from the information recording medium. After the transfer is completed, the upper device 20 makes a device registration start request to the service center 10 on behalf of the control target device (lower device) 30.
[0103]
If the service center 10 is ready to respond to the request, it notifies the host device 20 that device registration can be started. The host device 20 transmits the data transferred from the information recording medium 211 to the center as it is. The center that has received the data such as the control target device (lower device) identifier (ID) read from the information recording medium 211 decrypts the data relayed by the higher device 20 with its own secret key. Thereafter, the control target device (lower device) identifier (ID) in the decrypted data is verified, and if it is a valid ID, the received control target device (lower device) identifier (ID), model name, and public key certificate (FIG. 16) or the public key (FIG. 17) is registered in the device information database 106. When the registration in the database is normally completed, the service center 10 returns a processing completion notification to the higher-level device 20. If the data decryption or the validity verification of the control target device (lower device) identifier (ID) and registration in the database have failed, the service center 10 returns an error notification to the upper device 20. The host device 20 transfers a processing completion notification or an error notification to the information recording medium 211. Thereafter, the information recording medium 211 is moved from the higher level device 20 to the control target device (lower level device) 30. The control target device (lower device) 30 performs authentication of the information recording medium, and then transfers a notification from the service center 10 from the information recording medium. If the notification content is an error notification, device registration is attempted again.
[0104]
b-4. Offline subordinate device of common key cryptosystem
A device registration procedure for an offline subordinate device that cannot use the public key encryption method, can use the common key method, or has no encryption function will be described. The protocol in this case is shown in FIG. The control target device (lower device) 30 first authenticates the information recording medium 310. Thereafter, the control target device (lower device) 30 transfers its own device ID and model name to the information recording medium 310. After the transfer is completed, the information recording medium 310 is removed from the control target device (lower device) 30 and mounted on the higher device 20.
[0105]
When the information recording medium 211 (= information recording medium 310) is loaded, the host device 20 starts authentication of the information recording medium 211. After the authentication of the information recording medium 211 is completed, the upper device 20 transfers data from the information recording medium 211. After the transfer is completed, the host device 20 transmits a device registration start request to the service center 10. If the service center 10 is ready to respond to the request, it notifies the host device 20 that device registration can be started. The host device 20 encrypts the data transferred from the information recording medium 211 with the public key of the service center 10 and transmits it to the center. The center that has received the data such as the control target device (lower device) identifier (ID) read from the information recording medium 211 decrypts the data relayed by the higher device 20 with its own secret key. Thereafter, the control target device (lower device) identifier (ID) in the decrypted data is verified, and if it is a valid ID, the received control target device (lower device) identifier (ID) and model name are stored in the device information database 106. Register with. Subsequent processing completion notifications and the like are the same as when an offline subordinate device that can use the public key cryptosystem is used.
[0106]
[Device Authentication Protocol]
Next, the details of the device authentication protocol executed between the service center 10, the upper device 20, and the control target device (lower device) 30 will be described. The device authentication protocol is a process executed to confirm the validity of a communication partner between two parties performing data communication. One preferred data transfer method is a configuration in which session key generation is performed during mutual authentication processing, and data transmission is performed by executing encryption processing using the generated session key as a shared key. Hereinafter, a device authentication protocol performed mainly with the host device 20 and a device authentication protocol performed mainly with the control target device (lower device) 30 will be described.
[0107]
a. Host device
First, a device authentication protocol that is executed between the host device 20 and the service center 10 to confirm each other's validity will be described.
[0108]
FIG. 19 shows a protocol used when the service center 10 and the host device 20 perform device authentication. First, the host device 20 transmits a device authentication start request to the service center 10. If the service center 10 can respond to the request, the service center 10 notifies the device that device authentication can be started. At this time, the service center 10 transmits its own center ID.
[0109]
When the host device 20 receives a response indicating that authentication can be started from the service center 10, the host device 20 transmits the device ID of the host device 20 itself. Thereafter, mutual authentication is performed between the service center 10 and the host device 20. As a procedure for mutual authentication, for example, a procedure shown in ISO 9798 can be used.
[0110]
As a mutual authentication procedure of ISO 9798, a mutual authentication method using a 160-bit long elliptic curve encryption which is a public key encryption method will be described with reference to FIG. In FIG. 20, ECC is used as the public key cryptosystem, but any public key cryptosystem may be used. Also, the key size need not be 160 bits. In FIG. 20, one of A and B corresponds to the service center 10 and the other corresponds to the host device 20.
[0111]
First, B generates a 64-bit random number Rb and transmits it to A. Upon receiving this, A newly generates a 64-bit random number Ra and a random number Ak smaller than the characteristic p. Then, a point Av = Ak × G obtained by multiplying the base point G by Ak is obtained, and an electronic signature A.R. Sig is generated and returned to B along with A's public key certificate. Here, Ra and Rb are 64 bits each, and the X coordinate and Y coordinate of Av are 160 bits each, so that an electronic signature for a total of 448 bits is generated.
[0112]
When using a public key certificate, the user uses the public key of the public key certificate authority (CA) held by the user, verifies the electronic signature of the public key certificate, and verifies the electronic signature. Extract the public key from the public key certificate after success.
[0113]
A's public key certificate, Ra, Rb, Av, electronic signature B that receives Sig verifies whether Rb transmitted by A matches that generated by B. As a result, if they match, the electronic signature in A's public key certificate is verified with the public key of the certificate authority, and A's public key is extracted. Then, the electronic signature A.A. Verify Sig. After successfully verifying the electronic signature, B authenticates A as legitimate.
[0114]
Next, B generates a random number Bk smaller than the characteristic p. Then, a point Bv = Bk × G obtained by multiplying the base point G by Bk is obtained, and an electronic signature B.Rb, Ra, Bv (X coordinate and Y coordinate) is obtained. Sig is generated and returned to A along with B's public key certificate.
[0115]
B's public key certificate, Rb, Ra, Av, digital signature A who receives Sig verifies whether Ra transmitted by B matches the one generated by A. As a result, if they match, the electronic signature in B's public key certificate is verified with the public key of the certificate authority, and B's public key is extracted. Then, using the B public key extracted, the electronic signature B.B. Verify Sig. After successfully verifying the electronic signature, A authenticates B as legitimate.
[0116]
If both are successfully authenticated, B is calculated as Bk × Av (Bk is a random number, but Av is a point on the elliptic curve, so a scalar multiplication of the points on the elliptic curve is required) and A is Ak × Bv is calculated, and the lower 64 bits of the X coordinate of these points are used as a session key for subsequent communications (when the common key encryption is a 64-bit key length common key encryption). Of course, the session key may be generated from the Y coordinate, or may not be the lower 64 bits. In secret communication after mutual authentication, transmission data is not only encrypted with a session key, but an electronic signature may be attached.
[0117]
If an illegality or a mismatch is found during the verification of the electronic signature or the received data, the processing is interrupted assuming that the mutual authentication has failed.
[0118]
Using the session key generated in such mutual authentication processing, the transmission data is encrypted.
By executing the mutual data communication, leakage of communication data to a third party is prevented. Note that either the service center 10 or the host device 20 may generate a session key necessary for data encryption. If mutual authentication or session key exchange fails, the service center 10 returns an error to the higher-level device 20. When all the processes are completed, the center notifies the upper apparatus of the process completion.
[0119]
b-1. Online subordinate equipment
Next, the case where the service center 10 and the online type control target device (lower device) 30 perform device authentication will be described. The protocol in this case is shown in FIG.
[0120]
First, the online-type control target device (lower device) 30 transmits a device authentication start request to the upper device 20. If the host device 20 is in a state that can respond to the request, it notifies the control target device (lower device) 30 that device authentication can be started. The control target device (lower device) 30 transmits its own device ID to the upper device 20. Then, mutual authentication is performed between the upper device 20 and the control target device (lower device) 30.
[0121]
Note that the mutual authentication between the upper device 20 and the control target device (lower device) 30 is based on the public key encryption method of FIG. 20 described as the mutual authentication process between the service center 10 and the upper device 20 described above. You may perform as an authentication process and may perform the mutual authentication by a common key encryption system.
[0122]
A mutual authentication method using the common key cryptosystem will be described with reference to FIG. FIG. 22 shows an example in which DES is used as the common key encryption method, but other methods can be applied as long as they are similar common key encryption methods. In FIG. 22, one of A and B corresponds to the upper device 20, and the other corresponds to the control target device (lower device) 30.
[0123]
First, B generates a 64-bit random number Rb, and sends Rb and its own ID (b) to A. Upon receiving this, A newly generates a 64-bit random number Ra, encrypts the data using the key Kab in the DES CBC mode in the order of Ra, Rb, and ID (b), and returns it to B.
[0124]
Upon receiving this, B decrypts the received data with the key Kab. As a method for decrypting received data, first, the ciphertext E1 is decrypted with the key Kab to obtain the random number Ra. Next, the ciphertext E2 is decrypted with the key Kab, and the result is exclusive-ORed with E1 to obtain Rb. Finally, the ciphertext E3 is decrypted with the key Kab, and the result and E2 are exclusive ORed to obtain ID (b). It is verified whether Rb and ID (b) of Ra, Rb, and ID (b) obtained in this way match those transmitted by B. If this verification is passed, B authenticates A as valid.
[0125]
Next, B generates a session key (Session Key (hereinafter referred to as Kses)) to be used after authentication (the generation method uses a random number). Then, encryption is performed using the key Kab in the DES CBC mode in the order of Rb, Ra, and Kses, and returned to A.
[0126]
Upon receiving this, A decrypts the received data with the key Kab. The method for decoding the received data is the same as the decoding process for B, so the details are omitted here. Of Rb, Ra, and Kses obtained in this way, it is verified whether Rb and Ra match those transmitted by A. If this verification is passed, A authenticates B as valid. After authenticating each other, the session key Kses is used as a common key for secret communication after authentication.
[0127]
In addition, when an illegality or a mismatch is found during the verification of the received data, the processing is interrupted on the assumption that mutual authentication has failed.
[0128]
If the mutual authentication is successful, the upper device 20 requests the service center 10 to start device authentication as a proxy for the control target device (lower device) 30. If the service center 10 can respond to the request, the service center 10 notifies the host device 20 that device authentication can be started. The upper device 20 transmits the device ID of the control target device (lower device) 30 to the service center 10. Here, the service center 10 verifies the validity of the device ID of the lower device. The validity verification is executed as a process of checking whether or not the device ID included in the transmission data is registered in the device information database 106 of the service center 10. When the validity verification of the device ID ends normally, the upper device 20 grants the control target device (lower device) 30 permission for direct communication with the service center 10. Thereafter, the host device 20 is not involved in the communication content between the service center 10 and the control target device (lower device) 30.
[0129]
Upon receiving direct communication permission with the service center 10, the control target device (lower device) 30 communicates directly with the center and performs mutual authentication. The mutual authentication is performed using, for example, either the above-described example of FIG. 20 or FIG. When the mutual authentication is completed, data is encrypted and transmitted / received using a session key (common key) generated during the subsequent mutual authentication. Either the service center 10 or the control target device (lower device) 30 may generate the session key. Here, since mutual authentication is completed between the service center 10 and the host device 20 and between the host device 20 and the control target device (lower device) 30, respectively, the service center 10 and the control target device (lower device). ) Direct mutual authentication with 30 can be omitted. If mutual authentication or session key exchange fails, the center returns an error to the lower device. If all the processes are completed, the service center 10 notifies the control target device (lower device) 30 of the completion of the processing. If the session key can be shared between the control target device (lower device) 30 and the service center 10, the online lower device can be handled in the same manner as the upper device 20 in each procedure described below.
[0130]
In the case of a control target device (lower device) 30 that does not have an encryption function, authentication of the control target device (lower device) 30 is executed by, for example, authentication processing using a one-time password. In this case, the service center 10 or the host device 20 generates and holds a session key, and data communication between the service center 10 and the host device 20 via the external network is data communication using the session key. The protocol in this case is shown in FIG.
[0131]
b-2. Offline subordinate equipment
Next, the device authentication protocol of the offline type lower device will be described. The protocol in this case is shown in FIG. The offline control target device (lower device) 30 is configured to receive control information via an information recording medium such as a memory card as described above.
[0132]
The offline type control target device (lower device) 30 is mounted if the information recording medium is not first mounted on the lower device. In that case, the recording medium is authenticated. This authentication process is executed by the above-described method using the symmetric key, asymmetric key, password, etc. according to the configuration of the control target device (lower device) 30 and the information recording medium (encryption processing function, key storage configuration). . When the recording medium authentication is successful, the control target device (lower device) 30 transfers data necessary for device authentication, such as a device ID, to the information recording medium. When the transfer is completed, the information recording medium is moved to the host device 20.
[0133]
When the information recording medium is set, the host device 20 authenticates the information recording medium and then transfers data necessary for device authentication from the medium. The authentication process of the information recording medium is executed by the above-described method using the symmetric key, asymmetric key, password, and the like, similar to the authentication process between the control target device (lower device) 30 and the information recording medium. When the transfer is completed, mutual authentication between the upper device 20 and the control target device (lower device) 30 is executed based on the stored data of the information recording medium. During this time, if the information recording medium needs to be moved between the higher level device 20 and the control target device (lower level device) 30, it is performed. If the mutual authentication is successful, the upper device 20 requests the service center 10 to start device authentication on behalf of the control target device (lower device) 30. If the service center 10 can respond to the request, the service center 10 notifies the host device 20 that device authentication can be started.
[0134]
Next, the upper device 20 transmits the device ID of the control target device (lower device) 30 to the service center 10. Here, the service center 10 verifies the validity of the device ID of the control target device (lower device) 30. If the validity verification of the device ID ends normally, the control target device (lower device) 30 performs mutual authentication processing and session key exchange with the service center 20. However, since the control target device (lower device) 30 and the service center 10 cannot directly communicate with each other, the upper device 20 and the information recording medium are interposed. During this time, the information recording medium is moved between the upper device 20 and the control target device (lower device) 30 as necessary. When mutual authentication is completed, a session key (common key) necessary for subsequent data encryption is generated. Either the service center 10 or the control target device (lower device) 30 may generate the session key. In the case of a control target device (lower device) 30 that does not have an encryption function, authentication of the control target device (lower device) 30 is executed by, for example, authentication processing using a one-time password. In this case, the service center 10 or the host device 20 generates and holds a session key, and data communication between the service center 10 and the host device 20 via the external network is data communication using the session key. If mutual authentication or session key exchange fails, the service center 10 returns an error to the higher-level device 20. If all the processes are completed, the service center 10 notifies the host device 20 of the process completion. The host device 20 transfers a processing completion notification or an error notification to the information recording medium. When the information recording medium is moved to the control target device (lower device) 30, the control target device (lower device) 30 authenticates the information recording medium and transfers (reads out) a processing completion notification or an error notification from the recording medium. .
[0135]
[User registration, information change protocol]
Next, a user registration and information change protocol for registering user information such as a user name and payment information in the user information database 107 (see FIG. 5) of the service center 10 will be described.
[0136]
a. Host device, online subordinate device
First, processing in the case of the host device 20 and the online-type control target device (lower device) 30 will be described. The protocol in this case is shown in FIG. The host device 20 and the online-type control target device (lower device) 30 are collectively referred to as “device”. The device requests the service center 10 to start user registration. If the service center 10 is ready for user information registration, the service center 10 notifies the device of the start confirmation. The device encrypts the user information input by the user with the session key and transmits it together with the device ID. User information includes a name, an address, payment information, and the like. The settlement information is information necessary for settlement of the paid service, such as a bank account, a credit card number, and a prepaid card number. The service center 10 decrypts the encrypted user information with a session key corresponding to the device ID.
[0137]
Subsequently, the service center 10 issues a user ID to the user, and the service center 10 registers the user ID, user information, and device ID in the user information database 107 therein. After registering the user information in the database, the service center 10 encrypts the user ID with the session key and transmits it to the device. Upon receiving this, the device decrypts the encrypted user ID with the session key. Then, the user ID is notified to the user. The notification is executed on, for example, the display unit 303 (see FIG. 3) of the control target device (lower device) 30. It is also possible to display on the host device. Here, in order to save the trouble of inputting the user ID each time the user uses the device, the user ID may be stored in the device, and the user may select his / her ID. Finally, the service center 10 sends a process completion notification or error notification to the device.
[0138]
When the control target device (lower device) 30 does not have an encryption function, data is transmitted and received without being encrypted between the lower device and the higher device, and after the higher device 20 encrypts the data with a session key. To the service center 10. Data from the service center 10 is transmitted to the lower device after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0139]
Note that user information has already been registered in the user information database 107 in the service center 10, and when the information is changed, a user ID is issued in the registration procedure, and the user ID is changed. The process of notifying the host device is not necessary. Further, instead of inputting a name or the like for specifying a user, an issued user ID may be input. At this time, if the device ID of the device used by the user is not associated with the user ID, the service center 10 executes a process of adding the device ID to the user information database 107. The other parts are the same as in the case of user information registration. The protocol in this case is shown in FIG.
[0140]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0141]
b. Offline subordinate equipment
Next, the case of an offline type subordinate device will be described. The protocol in this case is shown in FIG. If the recording medium is not attached to the offline control target device (lower device) 30, it is attached. In that case, authentication of the recording medium is required. The control target device (lower device) 30 encrypts the user information input by the user with the session key, and transfers it to the information recording medium together with the device ID. After the transfer is completed, the information recording medium is removed from the control target device (lower device) 30 and mounted on the higher device 20.
[0142]
The host device 20 starts authentication of the information recording medium when the information recording medium is loaded. After the authentication of the information recording medium is completed, the upper device 20 transfers (reads) data from the information recording medium. After the transfer is completed, the upper device 20 sends a user registration start request to the service center 10 as a proxy for the lower device. If the service center 10 is ready for user information registration, the service center 10 notifies the host device 20 of the start confirmation.
[0143]
The host device 20 transmits the data from the control target device (lower device) 30 to the service center 10 as it is. The service center 10 decrypts the encrypted user information with a session key corresponding to the device ID. Subsequently, a user ID is issued to the user, and the user ID, user information, and device ID are registered in the user information database 107.
[0144]
After registering the user information in the database, the service center 10 encrypts the user ID with the session key with the control target device (lower device) 30 and transmits it to the upper device 20. Then, the service center 10 sends a processing completion notification or an error notification to the higher-level device 20. When the host device 20 receives the processing completion notification from the service center 10, the host device 20 transfers the encrypted user ID to the information recording medium. Thereafter, the information recording medium is moved from the higher level device 20 to the control target device (lower level device) 30. When the information recording medium is mounted on the control target device (lower device) 30, the control target device (lower device) 30 authenticates the information recording medium. If the authentication is successful, the control target device (lower device) 30 transfers (reads data) data in the information recording medium.
[0145]
Next, the control target device (lower device) 30 decrypts the encrypted user ID read from the information recording medium with the session key. Then, the user ID is notified to the user. The notification is executed on, for example, the display unit 303 (see FIG. 4) of the control target device (lower device) 30. Here, in order to save the trouble of inputting the user ID every time the user uses the device, the user ID may be stored in the device, and the user may select his / her ID. .
[0146]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0147]
Note that user information has already been registered in the user information database 107 in the service center 10, and when the information is changed, a user ID is issued in the registration procedure, and the user ID is changed. The process of notifying the host device is not necessary. Further, instead of inputting a name or the like for specifying a user, an issued user ID may be input. At this time, if the device ID of the device used by the user is not associated with the user ID, the service center 10 executes a process of adding the device ID to the user information database 107. The other parts are the same as in the case of user information registration. The protocol in this case is shown in FIG.
[0148]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0149]
[User Authentication Information Registration Protocol]
Several methods can be considered to identify the user. Here, a method using a password and a case using an ID card will be described. When using an ID card, a card in which an individual ID is embedded, a card having a mechanism capable of recognizing biometric information such as a fingerprint, or a card storing a user's private / private key pair Can be used. As the ID card, either a contact type card having a magnetic tape or a non-contact type card that performs wireless communication may be used. Further, as a place where the user authentication information for identifying the user is stored and collated, a device (higher device / control target device (lower device)) or a service center can be considered. When storing in a device, it is easy to individually manage the user restrictions on the device. When registering at the service center, even when using a plurality of devices, there is no need to perform registration work for each device. First, a procedure for registering authentication information such as a password in a device or center will be described.
[0150]
a. Save to device
This is a method in which user authentication information such as a user password is stored inside the device and collated with the user authentication information input by the user when the service is provided. Password registration in this case will be described. The protocol in this case is shown in FIG. When the device receives the user ID entered by the user, the device prompts the user to enter a password.
[0151]
When the user inputs a password from the operation unit (the operation unit 209 in the case of a higher-level device, the operation unit 308 in the case of a lower-level device), the device stores a set of passwords corresponding to the user ID in a memory inside the device. At this time, the password may be encrypted instead of being stored in plain text. Next, the service center 10 notifies the device of processing completion or an error.
[0152]
Next, user authentication information registration processing using an ID card will be described. The protocol in this case is shown in FIG. When the user sets the ID card, the device transfers the user ID and user authentication information from the ID card. The device stores user authentication information corresponding to the user ID in a memory inside the device. Next, the service center 10 notifies the device of processing completion or an error.
[0153]
b. Save to the center
In this method, user authentication information is stored in the service center 10 and collated with the user authentication information input by the user at the time of service provision or the like. Password registration in this case will be described. The protocol in this case is shown in FIG.
[0154]
First, when using a host device and an online type control target device (subordinate device), it is as follows. The device requests the service center 10 to start registration of user authentication information. If the service center 10 can respond to the request, the service center 10 notifies the device that registration can be started. When the device receives the user ID entered by the user, the device prompts the user to enter a password. When the user inputs a password, the device encrypts a pair of passwords corresponding to the user ID with a session key, and transmits the encrypted information together with the device ID to the service center 10. The service center 10 decrypts the encrypted user ID and password with a session key corresponding to the device ID. Subsequently, the password is registered in the user information database 107. If decryption with the session key or registration in the database fails, the service center 10 returns an error to the device. When all the processes are completed, the service center 10 notifies the apparatus of the completion of the processes.
[0155]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0156]
Next, a method using an ID card will be described. The protocol in this case is shown in FIG. When the user sets the ID card, the device transfers the user ID and user authentication information from the ID card. The device requests the service center 10 to start registration of user authentication information. If the service center 10 can respond to the request, the service center 10 notifies the device that registration can be started. Thereafter, the device encrypts a set of user authentication information corresponding to the user ID with the session key, and transmits the encrypted information together with the device ID to the service center 10. The following processing is the same as when a password is used.
[0157]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0158]
c. Offline subordinate equipment
Next, a user authentication information registration protocol in the case of an offline type control target device (lower device) will be described. First, password registration in this case will be described. The protocol in this case is shown in FIG.
[0159]
The offline type control target device (lower device) 30 prompts the user to input a user ID and a password. When the user ID and password are input, the control target device (lower device) 30 encrypts it with the session key and transfers it to the information recording medium together with the device ID. When the information recording medium is moved from the lower apparatus to the upper apparatus, the upper apparatus 20 authenticates the information recording medium. If the authentication of the information recording medium is successful, the host device 20 transfers data from the information recording medium. Thereafter, the host device 20 requests the service center 10 to start registration of user authentication information. If the service center 10 can respond to the request, the service center 10 notifies the host device 20 that registration can be started. The host device 20 transmits the data transferred (read) from the information recording medium to the center as it is. The service center 10 decrypts the encrypted user ID and password with a session key corresponding to the device ID. Subsequently, the password is registered in the user information database 107. If the decryption with the session key or the registration in the database fails, the service center 10 returns an error to the higher-level device 20. If all the processes are completed, the service center 10 notifies the host device 20 of the process completion. An error notification and a processing completion notification from the service center 10 to the higher-level device 20 are transferred to the offline type control target device (lower-level device) 30 via the information recording medium.
[0160]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0161]
Next, a user authentication information registration protocol using an ID card will be described. The protocol in this case is shown in FIG. When the user sets an ID card, the control target device (lower device) 30 transfers the user ID and user authentication information from the ID card. The following processing is the same as when a password is used.
[0162]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0163]
[User Authentication Protocol]
Next, a procedure for authenticating a user using the user authentication information registered by the user authentication information registration protocol will be described.
[0164]
a. Store user authentication information on the device
A user authentication method in the case where the user authentication information of the user is stored in the device and compared with the user authentication information input by the user at the time of service provision or the like will be described.
[0165]
FIG. 43 shows a protocol when a password is used as user authentication information. When the device receives the user ID entered by the user, the device prompts the user to enter a password. When the user inputs a password, the device selects a password corresponding to the user ID from a set of user IDs and passwords stored in the memory, and collates this with the input password. If the verification is successful, it can be said that the user has a legitimate authority and can receive a service or the like. If verification fails, error processing is performed.
[0166]
Next, a method using an ID card will be described. The protocol in this case is shown in FIG. When the user sets the ID card, the device transfers the user ID and user authentication information from the ID card. Thereafter, the device selects user authentication information corresponding to the user ID from the set of user ID and user authentication information stored in the internal memory, and stores the user authentication information transferred from the ID card. Match. If the verification is successful, it can be said that the user has a legitimate authority and can receive a service or the like. If verification fails, error processing is performed.
[0167]
b. Store user authentication information in the center
A user authentication method in the case where the user password is stored in the service center 10 and collated with the password input by the user at the time of service provision or the like will be described. FIG. 45 shows a protocol when using a password. The device requests the service center 10 to start user authentication. If the service center 10 can respond to the request, the service center 10 notifies the device that authentication can be started. When the device receives the user ID entered by the user, the device prompts the user to enter a password. When the user inputs a password, the device encrypts a pair of passwords corresponding to the user ID with a session key, and transmits the encrypted information together with the device ID to the center. The center decrypts the encrypted user ID and password with a session key corresponding to the device ID. The service center 10 collates the password registered in the device / user information database 107 with the password transmitted from the device. The service center 10 transmits the verification result to the device. If the verification is successful, it can be said that the user has a legitimate authority and can receive a service or the like. If the transmitted device ID is not included in the user ID entry of the user information database 107, it is added. Accordingly, even when the user uses a plurality of devices, the user ID and the device ID can be associated with each other. If verification fails, error processing is performed.
[0168]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0169]
Next, a user authentication method using an ID card will be described. The protocol in this case is shown in FIG. When the user sets the ID card, the device transfers the user ID and user authentication information from the ID card. The device requests the service center 10 to start user authentication. If the service center 10 can respond to the request, the service center 10 notifies the device that authentication can be started. The device encrypts a set of user authentication information corresponding to the user ID with the session key, and transmits the encrypted information together with the device ID to the service center 10. The service center 10 decrypts the encrypted user ID and user authentication information with a session key corresponding to the device ID. The service center 10 collates the user authentication information registered in the user information database 107 with the user authentication information transmitted from the device. Furthermore, the service center 10 transmits the verification result to the device. If the verification is successful, it can be said that the user has a legitimate authority and can receive a service or the like. If the transmitted device ID is not included in the user ID entry of the user information database 107, it is added. If verification fails, error processing is performed.
[0170]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0171]
c. For offline subordinate devices
Next, a user authentication method in the case of the offline type control target device (lower device) 30 will be described. A protocol in the case of using a password is shown in FIG. The offline type control target device (lower device) 30 prompts the user to input a user ID and a password. When the user ID and password are input, the control target device (lower device) 30 encrypts it with the session key and transfers it to the information recording medium together with the device ID.
[0172]
When the information recording medium is moved from the control target device (lower device) 30 to the upper device 20, the upper device 20 authenticates the information recording medium. If the authentication of the information recording medium is successful, the upper device 20 transfers (reads) data from the information recording medium. Then, the host device 20 requests the service center 10 to start user authentication. If the service center 10 can respond to the request, the service center 10 notifies the host device 20 that authentication can be started. When receiving the notification, the host device 20 transmits the data transferred from the information recording medium to the service center 10 as it is. The service center 10 decrypts the encrypted user ID and password with a session key corresponding to the device ID. The service center 10 collates the user authentication information registered in the user information database 107 with the user authentication information transmitted from the device. The service center 10 transmits the verification result to the higher-level device 20. If the verification is successful, it can be said that the user has a legitimate authority and can receive a service or the like. If the transmitted device ID is not included in the entry of the user ID in the user information database, it is added. If verification fails, error processing is performed. The host device 20 that has received the authentication result transfers the result to the information recording medium. When the information recording medium is transferred from the higher level device 20 to the control target device (lower level device) 30, the control target device (lower level device) 30 authenticates the information recording medium. If the recording medium authentication is successful, the lower device transfers (reads) data from the information recording medium. The device to be controlled (lower device) 30 notifies the user of the authentication result via the display unit 303, for example.
[0173]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. The data from the service center 10 is transmitted to the control target device (lower device) 30 via the information recording medium after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0174]
Next, a user authentication method using an ID card in the case of the offline type control target device (lower device) 30 will be described. The protocol in this case is shown in FIG. When the user sets an ID card, the offline control target device (lower device) 30 transfers the user ID and the user authentication information from the ID card. The following processing is the same as when a password is used.
[0175]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. The data from the service center 10 is transmitted to the control target device (lower device) 30 via the information recording medium after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0176]
[Service Protocol]
Next, a remote service providing process using the host device 20 from the service center 10 will be described.
[0177]
a. Center-host device, center-host device-subordinate device (online)
First, FIG. 53 shows a protocol in the case of using the service center 10, the upper device 20, and the online type control target device (lower device) 30. Here, the term “device” is a generic term including the upper device 20 and the online-type control target device (lower device) 30.
[0178]
First, the device requests the service center 10 to start a service. If the service center 10 can respond to the request, the service center 10 notifies the device that the service can be started. The service is implemented by communicating data between the service center 10 and the device. A case where data for service provision is transmitted from the service center 10 will be described.
[0179]
First, service data such as maintenance information is sent from the service providing database 103 to the encrypted communication IC 104 under the control of the CPU 101 of the service center. The encrypted communication IC 104 encrypts the data with a session key exchanged between the service center and the device at the time of device authentication, and then transmits the data to the external network via the external network interface 105.
[0180]
On the host device 20 side, the encrypted communication IC 205 decrypts the data received via the external network interface 208 using the session key. The decrypted data is transferred to a recording device 210 such as a memory 202 or a disk through a data bus. The CPU 201 reads data from the recording device 210 such as the memory 202 or a disk, and controls the device specific unit 204. Note that when the online type control target device (lower level device) 30 is controlled, data is transferred between the higher level device 20 and the control target device (lower level device) 30.
[0181]
Next, a case where data is transmitted from the online-type control target device (lower device) 30 to the service center 10 will be described. First, data is sent to the encrypted communication IC 305 under the control of the CPU 301 of the online control target device (lower device) 30. The encrypted communication IC 305 encrypts the data with the session key, and then transmits the data to the host device 20 via the local interface 307. The host device 20 transmits data received from the control target device (lower device) 30 via the local interface 208 to the external network via the external network interface 208.
[0182]
On the service center 10 side, the encrypted communication IC 104 decrypts the data received via the external network interface 105 using the session key. The decrypted data is transferred to the memory 102, the service providing database 103, the device information database 106, and the user information database 107 through the data bus. While providing the service, the CPU 101 of the service center 10 records the billing information in the memory 102 or the user information database 107 if necessary. The billing information is the number of times the paid service is used, the time, the amount of data transmitted and received, and the like.
[0183]
As described above, the communication of data performed between the service center 10 and the device during the provision of the service is encrypted using the session key, so that the communication content can be protected. When the provision of the service is completed, the CPU 101 of the service center 10 acquires the payment information of the user from the user database using the user ID as a search key, and performs a payment process. When the service provision ends, a termination process is performed.
[0184]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. Data from the service center 10 is transmitted to the control target device (lower device) 30 after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0185]
2. Center-Host device-Subordinate device (offline)
Next, a remote service providing process for an offline subordinate device will be described. In this case, the service communicates between the service center 10 and the host device 20, and the host device 20 receives the data instead of the offline control target device (subordinate device) 30, stores it once, and stores the data. This is implemented by using an information recording medium and transferring the information to lower-order devices collectively. The protocol in this case is shown in FIG.
[0186]
First, if the information recording medium is not attached to the control target device (lower device) 30, it is attached. In that case, authentication of the information recording medium is required. When the authentication of the information recording medium is successful, the control target device (lower device) 30 transfers data necessary for starting the service, such as a service name and parameters, to the medium. After the transfer is completed, the information recording medium is moved to the host device 20.
[0187]
When the information recording medium is set, the host device 20 authenticates the information recording medium and then transfers data necessary for starting the service from the information recording medium. When the transfer is completed, the host device 20 requests the service center 10 to start the service. If the service center 10 can respond to the request, the service center 10 notifies the host device 20 that the service can be started.
[0188]
A case will be described in which data is exchanged between the host device 20 and the control target device (lower device) 30 during service provision. When the host device 20 transfers data to the information recording medium, if the recording medium authentication has not been completed, the encrypted communication IC 205 of the host device 20 starts authentication of the information recording medium. If the information recording medium can be authenticated, the CPU 201 of the higher level device 20 reads the data received from the service center 10 for the control target device (lower level device) 30 from the recording device 210 inside the higher level device 20 and transfers it to the encrypted communication IC 205. . The data transferred to the encryption communication IC 205 is transferred (written) to the information recording medium 211 via the recording medium interface 207 as it is.
[0189]
When the control target device (lower device) 30 transfers data to the information recording medium, if the recording medium authentication has not been completed, the encryption communication IC 305 of the control target device (lower device) 30 starts authentication of the information recording medium. To do. If the information recording medium can be authenticated, the CPU 301 of the control target device (lower device) 30 reads the data from the memory 302 or the recording device 309 and transfers it to the encrypted communication IC 305. The encrypted communication IC 305 encrypts the transferred data with the session key and transfers it to the information recording medium 310 via the recording medium interface 306.
[0190]
A case will be described in which data is exchanged between the service center 10 and the host device 20 during service provision. A case where data for service provision is transmitted from the service center 10 will be described. First, data is sent from the service providing database 103 to the encrypted communication IC 104 under the control of the CPU 101 of the service center 10. The encrypted communication IC 104 encrypts the data with a session key exchanged between the service center 10 and the control target device (lower device) 30 at the time of device authentication, and then passes through the external network interface 105. Send to external network.
[0191]
On the host device 20 side, the encrypted communication IC 205 receives the data via the external network interface 208 and transfers the data to the recording device 210 such as the memory 202 or disk via the data bus.
[0192]
Next, a case where data is transmitted from the host device 20 to the service center 10 will be described.
First, data encrypted with a session key exchanged between the control target device (lower device) 30 and the service center 10 under the control of the CPU 201 of the upper device 20 is read from the memory 202 or the recording device 210. It is sent to the encrypted communication IC 205. The encrypted communication IC 205 transmits the data to the external network via the external network interface 206. On the service center 10 side, the encrypted communication IC 104 decrypts the data received via the external network interface 105 using the session key. The decrypted data is transferred to the memory 102, the service providing database 103, the device information database 106, and the user information database 107 through the data bus. While providing the service, the CPU 101 of the service center 10 records the billing information in the memory 102 or the user information database 107 if necessary. The billing information is the number of times the paid service is used, the time, the amount of data transmitted and received, and the like.
[0193]
As described above, the data communication performed between the service center and the device during the provision of the service can be encrypted using the session key to protect the communication content. When the provision of the service is completed, the CPU 101 of the service center 10 acquires the payment information of the user from the user database 107 using the user ID as a search key, and performs a payment process. When the service provision ends, a termination process is performed.
[0194]
If the control target device (lower device) 30 does not have an encryption function, the service center 10 does not encrypt data between the lower device and the higher device, and the higher device 20 encrypts with the session key. Execute data transmission. The data from the service center 10 is transmitted to the control target device (lower device) 30 via the information recording medium after the upper device 20 decrypts it with the session key. The protocol in this case is shown in FIG.
[0195]
[Specific processing example]
Hereinafter, a specific service providing example of the service providing system and the service providing method via the communication means of the present invention will be described.
[0196]
<Remote maintenance>
First, a remote diagnosis / repair system will be described as a specific service provision example. The protocol in this case is shown in FIG. This system is an example in which a failure location is diagnosed and repaired by an operation from the service center 10 when a failure occurs in a device.
[0197]
First, a diagnosis is performed to check the status of the device. This diagnosis is performed by the CPU of the device (CPU 201 in the case of a host device and CPU 301 in the case of a lower device) issuing commands to various parts inside the device and analyzing the responses. A diagnostic program is recorded in advance in a memory or a disk in the device. When the diagnosis is completed, the result is transmitted to the service center 10. Or it is good also as a structure which diagnoses with the help of a center. In this case, the device transmits a diagnosis request message to the service center 10. Upon receiving the diagnosis request message, the service center 10 issues a diagnosis command and transmits it to the device if the corresponding device can be diagnosed. When the device receives the diagnosis command from the service center 10, the device executes the command and transmits the result to the service center 10.
[0198]
The service center 10 analyzes the result transmitted from the device, thereby issuing a diagnostic command again if necessary and transmitting it to the device. Until the service center 10 can determine that the diagnosis has been completed, the analysis procedure is repeated from the issue of the diagnosis command. As described above, remote diagnosis can be performed to identify the fault location and state, and if remote repair is possible, the repair procedure is started. The remote repair is performed based on the diagnosis result by the service center 10 transmitting a repair command necessary for recovering the failure of the device to the device.
[0199]
The CPU 101 of the service center 10 analyzes the diagnosis result and issues a repair command. At this time, an optimum command is selected by referring to the past failure history of the corresponding device or the same model stored in the service providing database 103. The service center 10 transmits this repair command to the device. The device executes the received repair command under the control of the CPU in the device and transmits the result to the center. The service center that has received the result analyzes based on the result and past history, issues a repair command again if necessary, and transmits it to the device. If necessary, display a message to the user on the display of the device. It then asks for input, such as continuing the repair run.
The analysis procedure is repeated from the issuance of the repair instruction until the center determines that the repair has been completed or until the user finishes the repair. When the repair is finished, the diagnosis result and the repair contents so far are registered in the device information database 106. The diagnosis results and repair contents registered in the database can be used for billing, or the data of a plurality of devices can be collected and fed back to the device manufacturer to help improve the device. The center then notifies the device of the end of remote repair.
[0200]
<Backup / Restore>
As another service provision example of the present invention, a processing configuration in which the service center 10 executes backup and restore processing of data stored in a device will be described.
[0201]
This is because data such as setting information stored in a device is backed up in advance in the storage means of the service center 10 and restored even if the data is lost, so that the device can be used in its previous state. It is for making it possible. First, backup will be described. The protocol in this case is shown in FIG.
[0202]
The device makes a backup start request to the service center 10. Upon receiving this request, the service center 10 secures an area for backup on the service providing database 103. If the area is successfully secured and the backup is ready, the service center 10 transmits a backup start confirmation notification to the device. The device that has received the start confirmation notification transmits the data to be backed up to the service center 10. The service center 10 stores the received backup data in the reserved area. When the storage is completed, the backup information such as the backup date and time and the storage area is registered in the device information database 106. Then, the service center 10 notifies the device of the end of backup.
[0203]
Next, the restoration procedure will be described. The protocol in this case is shown in FIG. The device makes a restore start request to the service center 10. Upon receiving this request, the service center 10 acquires backup information from the device information database 106 using the device ID as a search key. If acquisition of backup information is successful and restoration is possible, the service center 10 transmits a restore start confirmation notification to the device. Then, the service center 10 extracts area information on the service providing database 103 in which the backup data is stored from the backup information. Based on this information, the backup data is read from the area on the service providing database 103 and transmitted to the device.
[0204]
After checking the received backup data, the device executes restoration. When the restoration is completed, the device notifies the service center 10 of the completion of the restoration. The service center 10 that has received the restore end notification registers the restore history in the device information database 106. Then, the service center 10 notifies the device of the end of processing related to restoration.
[0205]
<Data distribution (music, video, text information, etc.)>
As another service providing example of the present invention, data distribution will be described.
[0206]
In this case, data such as music, video, and character information is stored in the service center 10 and can be used by being taken in from the service center 10 according to a user's request. The protocol in this case is shown in FIG. When using the data distribution function, first, the user performs an operation of starting data distribution using an operation unit provided in the device (the operation unit 209 in the case of a higher-level device and the operation unit 308 in the case of a lower-level device). The device that has received the input from the user makes a data distribution start request to the service center 10. If the service center 10 is ready for data distribution, the service center 10 transmits a data distribution start confirmation notification to the device. The device that has received the start confirmation notification displays a data distribution start message on the display unit (the display unit 203 in the case of a higher-level device and the display unit 303 in the case of a lower-level device). Further, the service center 10 transmits a menu including options relating to available data to the device. When the device receives this menu, it outputs it to the display unit.
[0207]
When the user selects necessary data from the menu and inputs it to the operation unit, the device transmits information indicating what the selected data is, such as a data number, to the service center 10. The service center 10 acquires necessary data from the service providing database and transmits it to the device. The device outputs that the data has been received to the display unit. Then, the user performs an operation such as reproducing data. When the user continues to use the data distribution function, necessary input may be performed from the operation unit. When the data distribution is completed, the service center 10 registers the data distribution history in the device information database 106 if necessary. The data distribution history registered in the database can be used for billing, or can be used for marketing such as reviewing data to be provided later by collecting data of a plurality of devices. Then, the service center 10 notifies the device of the end of data distribution.
[0208]
<Help tutorial>
Furthermore, as another service providing example of the present invention, an example of providing a help function for explaining a method of operating a device will be described. In this method, help data explaining the operation method of the device is stored in the service center 10, and necessary portions are taken into the device in response to a user's request and presented to the user. The protocol in this case is shown in FIG.
[0209]
With regard to this help function, it is possible to save all help data on the device, but the device may have less storage space and it is difficult to always keep new help data. Therefore, this is an example in which all or part of the help data is placed in the service center 10. When using the help function, first, the user performs an operation for starting help with the operation unit (the operation unit 209 in the case of a higher-level device and the operation unit 308 in the case of a lower-level device). The device that has received the input from the user makes a help start request to the service center 10. If it is in a state where help data can be provided, the service center 10 transmits a help start confirmation notification to the device.
[0210]
The device that has received the start confirmation notification transmits data designating a necessary part of the help to the service center 10. Upon receiving this, the service center 10 acquires necessary help data from the service providing database 103 and transmits it to the device. The device displays the received help data on the display unit (the display unit 203 for the higher-level device and the display unit 303 for the lower-level device). When the user continues to use the help function, the necessary input may be performed from the operation unit.
When the provision of help data is completed, the help provision history is registered in the device information database.
The center notifies the end of help to the device.
[0211]
Further, not only simple help but also a tutorial can be provided, that is, operation information can be provided. This is a function for the user to learn how to use the device. When each part of the device is operated, the display and operation mode change depending on the situation. The protocol in this case is shown in FIG. When using the tutorial function, the user first performs an operation for starting the tutorial in the operation unit. The device that has received the input from the user makes a tutorial start request to the center. If the tutorial is ready, the center sends a tutorial start confirmation notification to the device. The device that has received the start confirmation notification displays a tutorial start message on the display unit. When the user operates the device, the device transmits the operation content and the internal state of the device to the service center 10. Based on these pieces of information, the service center 10 determines data to be provided next. Then, necessary tutorial data is acquired from the service providing database and transmitted to the device.
[0212]
The device displays the received tutorial data on the display unit. When the user continues to use the tutorial function, the necessary input may be performed from the operation unit. When the provision of tutorial data ends, the tutorial provision history is registered in the device information database. The center notifies the device of the end of the tutorial.
[0213]
The present invention has been described in detail above with reference to specific embodiments. However, it is obvious that those skilled in the art can make modifications and substitutions of the embodiments without departing from the gist of the present invention. In other words, the present invention has been disclosed in the form of exemplification, and should not be interpreted in a limited manner. In order to determine the gist of the present invention, the claims section described at the beginning should be considered.
[0214]
【The invention's effect】
As described above, according to the service providing system, the service providing method, the service mediating apparatus, and the program providing medium via the communication means of the present invention, even when the device cannot be directly connected to the service center. , It is possible to receive information from the service center via a local network or information recording medium from a higher-level device having communication means, and connect to an external network for all control target devices (lower-level devices) required for control, maintenance, etc. Therefore, it is not necessary to configure communication means such as a communication interface.
[0215]
Furthermore, according to the service providing system, the service providing method, the service mediating apparatus, and the program providing medium via the communication means of the present invention, the control target device (lower device) required for control, maintenance, etc. has an encryption function. Even if the configuration is not provided, the host device that can communicate with the controlled device (lower device) via the local network or information recording medium encrypts the data and then executes communication processing with the service center. Even through a public network where the safety of data is not guaranteed, leakage of important information such as control information or personal information necessary for providing the control information can be prevented.
[Brief description of the drawings]
FIG. 1 is a diagram showing a system overview of a service providing system via communication means of the present invention.
FIG. 2 is a diagram showing a configuration of a host device constituting a service providing system via communication means of the present invention.
FIG. 3 is a diagram showing a configuration of a lower-level device (online type) constituting a service providing system via a communication unit of the present invention.
FIG. 4 is a diagram showing a configuration of a lower level device (offline type) constituting a service providing system via a communication unit of the present invention.
FIG. 5 is a diagram showing a configuration of a service center configuring a service providing system via a communication unit of the present invention.
FIG. 6 is a diagram showing an encryption / authentication level of data communication in the service providing system via the communication means of the present invention.
FIG. 7 is a flowchart (part 1) for explaining the entire processing in the service providing system via the communication means of the present invention.
FIG. 8 is a flowchart (part 2) for explaining the entire processing in the service providing system via the communication means of the present invention.
FIG. 9 is a flowchart (part 3) for explaining the entire processing in the service providing system via the communication means of the present invention.
FIG. 10 is a flowchart (part 4) for explaining the entire process in the service providing system via the communication means of the present invention.
FIG. 11 is a diagram (part 1) illustrating a device registration protocol in the service providing system via the communication unit of the present invention.
FIG. 12 is a diagram (part 2) for explaining the device registration protocol in the service providing system via the communication means of the present invention.
FIG. 13 is a diagram (No. 3) for explaining the device registration protocol in the service providing system via the communication means of the present invention.
FIG. 14 is a diagram (No. 4) for explaining the device registration protocol in the service providing system via the communication means of the present invention.
FIG. 15 is a diagram (No. 5) for explaining the device registration protocol in the service providing system via the communication means of the invention.
FIG. 16 is a diagram (No. 6) for explaining the device registration protocol in the service providing system via the communication means of the invention.
FIG. 17 is a diagram (No. 7) for explaining the device registration protocol in the service providing system via the communication means of the present invention.
FIG. 18 is a diagram (No. 8) for explaining the device registration protocol in the service providing system via the communication means of the invention.
FIG. 19 is a diagram (part 1) for explaining a device authentication protocol in a service providing system via a communication unit of the present invention.
FIG. 20 is a diagram for explaining mutual authentication processing applicable in the service providing system via the communication means of the present invention.
FIG. 21 is a diagram (part 2) illustrating the device authentication protocol in the service providing system via the communication unit of the present invention.
FIG. 22 is a diagram illustrating a mutual authentication process applicable in a service providing system via a communication unit of the present invention.
FIG. 23 is a diagram (No. 3) explaining the device authentication protocol in the service providing system via the communication means of the invention.
FIG. 24 is a diagram (No. 4) explaining the device authentication protocol in the service providing system via the communication means of the invention.
FIG. 25 is a diagram (part 1) illustrating a user registration protocol in the service providing system via the communication unit of the present invention.
FIG. 26 is a diagram (part 2) illustrating a user registration protocol in the service providing system via the communication unit of the present invention.
FIG. 27 is a diagram (part 1) illustrating a user information change protocol in a service providing system via a communication unit of the present invention.
FIG. 28 is a diagram (part 2) for explaining the user information change protocol in the service providing system via the communication means of the present invention;
FIG. 29 is a diagram (No. 3) for explaining the user registration protocol in the service providing system via the communication means of the invention.
FIG. 30 is a diagram (No. 4) explaining the user registration protocol in the service providing system via the communication means of the present invention.
FIG. 31 is a diagram (No. 3) explaining the user information change protocol in the service providing system via the communication unit of the invention.
FIG. 32 is a diagram (No. 4) explaining the user information change protocol in the service providing system via the communication means of the invention.
FIG. 33 is a diagram (part 1) illustrating a user authentication information registration protocol in a service providing system via a communication unit of the present invention.
FIG. 34 is a diagram (part 2) for explaining the user authentication information registration protocol in the service providing system via the communication means of the present invention.
FIG. 35 is a diagram (No. 3) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 36 is a diagram (No. 4) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 37 is a diagram (No. 5) for explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 38 is a diagram (No. 6) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 39 is a view (No. 7) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 40 is a view (No. 8) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 41 is a diagram (No. 9) explaining the user authentication information registration protocol in the service providing system via the communication unit of the invention.
FIG. 42 is a view (No. 10) explaining the user authentication information registration protocol in the service providing system via the communication means of the invention.
FIG. 43 is a diagram (part 1) illustrating a user authentication protocol in the service providing system via the communication unit of the present invention.
FIG. 44 is a diagram (part 2) illustrating a user authentication protocol in the service providing system via the communication unit of the present invention.
FIG. 45 is a diagram (No. 3) explaining the user authentication protocol in the service providing system via the communication means of the invention.
FIG. 46 is a diagram (No. 4) explaining the user authentication protocol in the service providing system via the communication means of the invention.
FIG. 47 is a diagram (No. 5) explaining the user authentication protocol in the service providing system via the communication means of the invention.
FIG. 48 is a diagram (No. 6) explaining the user authentication protocol in the service providing system via the communication means of the invention.
FIG. 49 is a view (No. 7) explaining the user authentication protocol in the service providing system via the communication means of the present invention.
FIG. 50 is a view (No. 8) explaining the user authentication protocol in the service providing system via the communication means of the present invention.
FIG. 51 is a diagram (No. 9) explaining the user authentication protocol in the service providing system via the communication unit of the invention.
FIG. 52 is a diagram (No. 10) explaining the user authentication protocol in the service providing system via the communication unit of the invention.
FIG. 53 is a diagram (part 1) illustrating a service protocol in a service providing system via a communication unit of the present invention.
FIG. 54 is a diagram (part 2) illustrating the service protocol in the service providing system via the communication unit of the present invention.
FIG. 55 is a diagram (No. 3) explaining the service protocol in the service providing system via the communication means of the present invention.
FIG. 56 is a diagram (No. 4) explaining the service protocol in the service providing system via the communication means of the present invention.
FIG. 57 is a diagram for explaining remote diagnosis and repair processing as an example of service provision in the service provision system via the communication means of the present invention.
FIG. 58 is a diagram for explaining backup processing as an example of service provision in the service provision system via the communication means of the present invention.
FIG. 59 is a diagram for explaining a restore process as an example of service provision in the service provision system via the communication means of the present invention.
FIG. 60 is a diagram for explaining data distribution processing as an example of service provision in the service provision system via the communication means of the present invention.
FIG. 61 is a diagram for explaining help data provision processing as a service provision example in the service provision system via the communication means of the present invention;
FIG. 62 is a diagram illustrating tutorial processing as an example of service provision in a service provision system via communication means of the present invention.
[Explanation of symbols]
10 Service Center
20 Host device
30 Controlled equipment (subordinate equipment)
101 CPU
102 memory
103 Service Providing Database
104 Encrypted communication IC
105 External interface
106 Device information database
107 User information database
201 CPU
202 memory
203 display
204 Equipment specific part
205 Encrypted communication IC
206 External interface
207 Recording medium interface
208 Local interface
209 Operation part
210 Recording device
211 Information recording medium
301 CPU
302 memory
303 Display
304 Device specific part
305 Encrypted communication IC
306 Recording medium interface
307 Local interface
308 Operation unit
309 recording device
310 Information recording medium

Claims

A control target device having at least one of a local network interface unit and an information recording medium interface unit;
An interface means for an external network, and an encryption processing means for executing encryption processing of transfer data using the external network, and either via a local network interface means or an information recording medium interface means of the control target device A host device having a configuration capable of transferring data to the device to be controlled;
The host device can connect a plurality of devices to be controlled, has a configuration capable of executing encryption processing according to a plurality of encryption methods, and sends control information for the devices to be controlled to the service center via the external network. The reception control information is transferred to the control target device by applying an executable encryption method and data transfer method of the control target device connected via a local network or an information recording medium,
The service center has a device information database in which device identifiers of the higher-level device and control target device are registered, and a user information database in which user identifiers of the higher-level device and control target device are registered,
By executing a verification process between the device identifier registered in the device information database and the device identifier received from the higher-level device or the control target device, a device validity verification process is performed,
A configuration in which a user legitimacy verification process is executed by executing a collation process between the user identification data registered in the user information database and the user identification data received from the host device or control target device. Yes,
The host device, upon execution of device validity verification processing by the service center,
If the control target device is an online device that can communicate, the device ID is received from the control target device, and mutual authentication is performed by communication processing between the host device and the control target device. Executing a proxy request for device authentication processing of the control target device to the service center on the condition that it is established, and executing processing for transmitting the device ID of the control target device to the service center;
When the control target device is an off-line device that cannot communicate, the device ID is input from the control target device via the information recording medium, and the information recording medium is connected between the host device and the control target device. Execute mutual authentication, execute a proxy request for device authentication processing of the control target device to the service center on the condition that mutual authentication is established, and execute processing to transmit the device ID of the control target device to the service center service providing system through the communication means, characterized by.

The service center and the host device have authentication processing means, and data transmission / reception between the service center and the host device is performed only when authentication by the authentication process is established. A service providing system via the communication means according to 1.

The host device and the control target device have authentication processing means, and data transmission / reception between the host device and the control target device is executed only when authentication by the authentication process is established. A service providing system via the communication means according to claim 1.

The host device and the control target device have authentication processing means, and data transfer between the host device and the control target device via the information recording medium is performed by the information recording medium by the host device and the control target device. The service providing system via communication means according to claim 1, wherein the system is executed only when authentication by the authentication process is established.

The communication means according to claim 1, wherein the data transmitted / received between the service center and the higher-level device is data that has been encrypted using a session key that is valid only in the communication session. Service provision system through.

The communication unit according to claim 1, wherein the data transferred between the higher-level device and the control target device is data that has been encrypted using a session key that is valid only in the communication session. Service provision system via

The service center is configured to provide any of the services of device diagnosis processing, device repair processing, data backup processing, data restoration processing, data distribution processing, help data provision processing, and operation information provision processing to the device to be controlled The service providing system via communication means according to claim 1.

Authentication processing between the service center and the higher-level device is executed by a public key encryption method, and authentication processing between the higher-level device and the control target device is performed by either a public key encryption method or a common key encryption method. The service providing system via communication means according to claim 1, wherein the service providing system is configured to execute.

Data communication between the service center and the host device is executed by a common key encryption method, and data communication between the host device and the control target device is executed by a common key encryption method. A service providing system via the communication means according to claim 1.