JP5486371B2 - 通信システム及びこの通信システムに用いる通信装置 - Google Patents

Description

本発明は、秘密情報を送信する通信システム及びこの通信システムに用いる通信装置に関する。

従来より、個人のプライバシーに関する個人報等のユーザの秘密情報を送信しても、当該情報から個人が特定されることを回避する技術として、下記の特許文献１，２等が知られている。このような情報は、喩え単一の情報だけでは価値がなくても、特定のユーザのＩＤ情報とその履歴情報が収集されることで、プライバシーの侵害が発生する恐れが高かった。

これに対し、特許文献１に記載された発明では、ＨＴＴＰプロトコルのクッキーの仕組みにより、ユーザの識別をしていた。具体的には、クッキーを変更することで、ポイントツーポイントの間でのみ特定のユーザのＩＤ情報とその履歴情報の紐つけを妨げることでユーザの特定をしにくくできた。また、特許文献２に記載された発明では、ユーザのＩＤ情報を暗号化し、別のＩＤ情報として通信を行うことにより、ユーザの特定をしにくくしていた。

特開平１０−２５７０４８号公報 特開２０００−２３１５４４号公報

上述した特許文献１，２等の技術では、各通信装置によってＩＤ情報と秘密情報との対応付けを困難としている。しかしながら、複数の通信装置から出力された複数の秘密情報を収集した場合に、当該秘密情報の集合が高い価値を有することがある。

例えば、機器Ａが有している秘密情報と、機器Ｂが有している秘密情報とが同一ユーザ又は同一グループ（住宅）に関するものであるとする。この場合、特許文献１，２等の技術によれば、個々の秘密情報からユーザを特定することは困難である。しかし、秘密情報の集約によって各秘密情報の関連が推定され、個々の秘密情報の価値よりも、プライバシーの侵害の脅威が高まる恐れがあった。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、複数の秘密情報が漏洩したときにおいても、当該秘密情報からユーザを特定することを困難とすることができる通信システム及びこの通信システムに用いる通信装置を提供することを目的とする。

上記の課題を解決する第１の態様に係る通信システムは、複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記秘密情報の種類に対応して設定された重み付けとに基づいて、前記代替識別情報の更新間隔を変更することを特徴とするものである。

第２の態様に係る通信システムは、複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記通信手段に接続された通信装置のうち前記所定の送信先装置に対して下流側に接続された通信装置の接続数とに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする。

第３の態様に係る通信システムは、複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記所定の送信先装置までのホップ数に基づいて、前記代替識別情報の更新間隔を設定することを特徴とする。

第４の態様に係る通信システムは、複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量に基づいて、前記代替識別情報を新たに生成する更新間隔を短くし、少なくとも前記秘密情報の情報量に基づいて生成した代替識別情報と、前記所定の送信先装置に対して下流側に接続された通信装置の代替識別情報との排他的論理和により得た値を、自己の代替識別情報に設定することを特徴とする。

第５の態様に係る通信装置は、所定の送信先装置に対して秘密情報を送信する通信装置において、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記秘密情報の種類に対応して設定された重み付けとに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする。

第６の態様に係る通信装置は、所定の送信先装置に対して秘密情報を送信する通信装置において、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記通信手段に接続された通信装置のうち前記所定の送信先装置に対して下流側に接続された通信装置の接続数とに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする。

第７の態様に係る通信装置は、所定の送信先装置に対して秘密情報を送信する通信装置において、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量と、前記所定の送信先装置までのホップ数に基づいて、前記代替識別情報の更新間隔を設定することを特徴とする。
第８の態様に係る通信装置は、所定の送信先装置に対して秘密情報を送信する通信装置において、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、前記代替識別情報生成手段は、前記秘密情報の情報量に基づいて、前記代替識別情報を新たに生成する更新間隔を短くし、少なくとも前記秘密情報の情報量に基づいて生成した代替識別情報と、前記所定の送信先装置に対して下流側に接続された通信装置の代替識別情報との排他的論理和により得た値を、自己の代替識別情報に設定することを特徴とする。

本発明によれば、秘密情報の情報量に基づいて、代替識別情報の更新間隔を短くすることができるので、多くの秘密情報が収集されることによりユーザが特定されやすくなる状況であっても、ユーザを特定することを困難とできる。

本発明の一実施形態として示す通信システムのブロック図である。 本発明の一実施形態として示す通信システムにおいて、サーバからセンサー機器に対するリクエストにより秘密情報を収集するときのシーケンス図である。 本発明の一実施形態として示す通信システムにおいて、サーバからセンサー機器に対するリクエストに応じて、センサー機器にてイベントが発生したときに、秘密情報を収集するときのシーケンス図である。 本発明の一実施形態として示す通信システムにおける通信装置のブロック図である。 本発明の一実施形態として示す通信システムにおける通信装置が本来のＩＤ情報をハッシュする回数と代替ＩＤ情報との関係を示す図である。 本発明の一実施形態として示す通信システムにおいて、秘密情報の情報量と秘密情報の種類に応じた重みと、ＩＤ情報の更新間隔との関係を示す図である。 本発明の一実施形態として示す通信システムにおいて、通信装置に接続された下位ノード数とＩＤ情報の更新間隔との関係を示す図である。 本発明の一実施形態として示す通信システムにおいて、通信装置がサーバまでのホップ数を取得するときのシーケンス図である。 本発明の一実施形態として示す通信システムにおいて、代替ＩＤ情報と誤り訂正／検出符号との排他的論理和により合成した値を、自己の代替ＩＤ情報にして秘密情報を収集するときのシーケンス図である。 本発明の一実施形態として示す通信システムにおいて、通信装置により秘密情報を送信するときのフローチャートである。 本発明の一実施形態として示す通信システムにおいて、通信装置によりサーバにＩＤ情報の更新間隔を送信するときのフローチャートである。

以下、本発明の実施の形態について図面を参照して説明する。

本発明の実施形態として示す通信システムについて、図１乃至図５を参照して説明する。この通信システムは、複数の秘密情報が漏洩したときにおいても、当該秘密情報からユーザを特定することを困難とすることができるものである。この秘密情報は、機微情報、個人情報を含む。機微情報は、個人情報保護の分野において、センシティブ情報と称される。この機微情報は、特に取り扱いに配慮が必要な個人情報である。機微情報は、例えば、銀行口座番号、クレジットカード番号、取引履歴、年間収入、顔写真など画像、電話や電子メールの通信記録、家族構成、現住所、メールアドレス、学歴、職歴、生年月日等を含む。すなわち、秘密情報としては、個人が特定できる個人情報に加え、個人が特定できなくてもユーザの個人に関する情報、複数の情報を組み合わせることにより個人が推定される情報も含む。

図１に示す通信システムは、サーバ１、中継装置２、複数のセンサー機器３，４を含む。この通信システムにおいて、中継装置２及びセンサー機器３，４は、双方間で通信可能に接続されている。中継装置２及びセンサー機器３，４は、それぞれが、所定の送信先装置であるサーバ１に対して秘密情報を送信するように構成されている。

センサー機器３，４は、例えば、住宅内に設置されたパーソナルコンピュータ、情報家電、人感センサ、テレビ受像機等である。このセンサー機器３，４は、サーバ１側（上流側）に、中継装置２及びサーバ１が接続されている。なお、この実施形態においては、センサー機器３，４は、サーバ１や他の装置からのリクエストを受信して又はイベント発生時、秘密情報を送信するものである。また、センサー機器３，４は、下流側に他の機器が接続されていないが、自らが秘密情報を検出し、且つ、他の機器の秘密情報を中継するものであっても良い。

中継装置２は、例えば、センサー機器３，４が設置された住宅内に設けられた情報送受信装置である。中継装置２は、少なくとも、センサー機器３，４からサーバ１への通信を中継するものである。中継装置２は、センサー機器３，４に対する上流側にサーバ１が接続され、サーバ１に対して下流側にセンサー機器３，４が接続されている。

センサー機器３は、自己の識別情報である本来のＩＤ情報が“Ｏ１”に設定されている。センサー機器４は、自己の識別情報である本来のＩＤ情報が“Ｏ２”に設定されている。中継装置２は、自己の識別情報である本来のＩＤ情報が“Ｏ３”に設定されている。各識別情報は、例えば、任意の符号数からなる符号列であっても良く、ＩＰアドレス、ＭＡＣアドレス等であっても良い。

このような通信システムは、例えば図２に示すように動作する。図２は、サーバ１からセンサー機器３，４により検出している秘密情報を取得するコマンドＣ１が発生したときのスロットＳ１における動作を示す。サーバ１から送信されたＩＤ情報（Ｏ３）を含むコマンドＣ１（Ｏ３）は、中継装置２に送信され、コマンドＣ２（Ｏ２）、コマンドＣ３（Ｏ３）として、中継装置２からセンサー機器３，４に送信される。これに応じ、センサー機器３は、秘密情報ｄ１及び自己のＩＤ情報Ｏ１を含むレスポンスＲ１（Ｏ１，ｄ１）を中継装置２に送信する。センサー機器４は、後述の中継装置２の代替ＩＤ情報の更新間隔Ｔ内に、秘密情報ｄ２及び自己のＩＤ情報Ｏ２を含むレスポンスＲ１（Ｏ２，ｄ２）を中継装置２に送信する。これに応じ、中継装置２ｈ、スロットＳ１内に、自己のＩＤ情報（Ｏ３）とセンサー機器３，４から受信した秘密情報ｄ１，ｄ２を含むレスポンスＲ３（Ｏ３，｛ｄ１，ｄ２｝）をサーバ１に送信する。これにより、サーバ１は、要求したセンサー機器３，４の秘密情報ｄ１，ｄ２を取得できる。なお、図２中のＴは、センサー機器３，４における代替ＩＤ情報の更新間隔であるが、この代替ＩＤ情報の更新間隔については後述する。

しかし、図２に示すシーケンスを行う通信システムでは、不正端末１０により、センサー機器３のＩＤ情報（Ｏ１）、センサー機器４のＩＤ情報（Ｏ２）及び中継装置２のＩＤ情報（Ｏ３）と秘密情報ｄ１，ｄ２とが関連付けられてしまう恐れがある。特に、中継装置２及びセンサー機器３，４が、継続して固定したＩＤ情報を使用していると、秘密情報ｄ１，ｄ２とＩＤ情報とが関連付けられやすい。したがって、本実施形態における通信システムは、例えば図３に示すように、中継装置２が、自己のＩＤ情報（Ｏ３）とは異なる代替ＩＤ情報である代替ＩＤ情報（Ｏ３’）を生成する。

図３に示すシーケンスは、サーバ１がセンサー機器３，４に対してイベント発生時に秘密情報ｄ１，ｄ２を送信するコマンドＣ１を送信し、中継装置２がコマンドＣ１を、コマンドＣ２，Ｃ３としてセンサー機器３，４に中継している。その後、イベント発生時に、センサー機器３，４が秘密情報ｄ１，ｄ２をサーバ１に対して送信する動作を示す。なお、図３中のＴは、中継装置２における代替ＩＤ情報の更新間隔であるが、この代替ＩＤ情報の更新間隔については後述する。

センサー機器４は、秘密情報ｄ２を送信するイベント（２）が発生すると、当該イベント（２）に応じた秘密情報ｄ２を含むレスポンスＲ２（Ｏ２，ｄ２）を中継装置２に送信する。これに応じ、中継装置２は、スロットＳ１において、自己のＩＤ情報に対する代替ＩＤ情報（Ｏ３’）を含むレスポンスＲ３（Ｏ３’，ｄ２）をサーバ１に送信する。

センサー機器３は、秘密情報ｄ１を送信するイベント（１）が発生すると、当該イベント（１）に応じた秘密情報ｄ１を含むレスポンスＲ１（Ｏ１，ｄ１）を中継装置２に送信する。これに応じ、中継装置２は、スロットＳ１において、自己のＩＤ情報に対する代替ＩＤ情報（Ｏ３’）を含むレスポンスＲ３（Ｏ３’，ｄ１）をサーバ１に送信する。

このように、通信システムは、図２に示したように自己のＩＤ情報（Ｏ３）を含むレスポンスＲを送信する状態から、図３に示したように自己のＩＤ情報（Ｏ３）に対する代替ＩＤ情報（Ｏ３’）を含むレスポンスＲを送信する状態に切り換えることができる。これにより、喩え中継装置２とサーバ１との間に不正端末１０が接続されていて、複数のレスポンスＲが盗聴されても、ＩＤ情報がＯ３とＯ３’とで異なるので、当該秘密情報ｄ１，ｄ２から、中継装置２やセンサー機器３，４のユーザを特定することを困難とすることができる。

以下、中継装置２により、ＩＤ情報を代替ＩＤ情報の更新できる構成について説明する。なお、以下の説明は、中継装置２が代替ＩＤ情報の更新ができる例について説明するが、センサー機器３，４も、代替ＩＤ情報の更新ができることは勿論である。すなわち、中継装置２における後述の送信情報作成部１３、代替ＩＤ情報生成部１５、ＩＤ情報記憶部１６、秘密情報解析部１７を備えていれば、センサー機器３，４であっても、代替ＩＤ情報の更新できる。

このような中継装置２は、例えば図４に示すような機能的な構成を有する。中継装置２は、センサ側通信Ｉ／Ｆ部１１、受信バッファ１２、送信情報作成部１３、サーバ側通信Ｉ／Ｆ部１４、代替ＩＤ情報生成部１５、ＩＤ情報記憶部１６、秘密情報解析部１７を有する。

センサ側通信Ｉ／Ｆ部１１は、センサー機器３，４から送信された秘密情報ｄ１，ｄ２を受信し、当該秘密情報ｄ１，ｄ２を受信バッファ１２に格納する。

秘密情報解析部１７は、受信バッファ１２に記憶された秘密情報ｄ１，ｄ２を読み出し、当該秘密情報ｄ１，ｄ２の情報量を解析する。このとき、秘密情報解析部１７は、予め設定された所定時間毎の秘密情報ｄ１，ｄ２の情報量を求める。この所定時間毎の秘密情報ｄ１，ｄ２の情報量は、ｄ１，ｄ２の合計の情報量である。しかし、ｄ１，ｄ２の一方の情報量であっても良い。

代替ＩＤ情報生成部１５は、ＩＤ情報記憶部１６に記憶された自己のＩＤ情報に基づいて、代替ＩＤ情報を生成する。また、代替ＩＤ情報生成部１５は、この代替ＩＤ情報を、代替ＩＤ情報の更新間隔Ｔごとに生成する。代替ＩＤ情報生成部１５は、代替ＩＤ情報の更新間隔を変更できる。

代替ＩＤ情報生成部１５は、秘密情報ｄ１，ｄ２の情報量に基づいて、代替ＩＤ情報を新たに生成する更新間隔を短くする。代替ＩＤ情報生成部１５は、中継装置２に供給される秘密情報ｄ１，ｄ２の情報量が多いほど、代替ＩＤ情報の更新間隔を短くする。代替ＩＤ情報生成部１５は、中継装置２に供給される秘密情報ｄ１，ｄ２の情報量が多くないほど、代替ＩＤ情報の更新間隔を長くする。

具体的には、代替ＩＤ情報生成部１５は、下記の式１に示す算出式に従った処理を行って、代替ＩＤ情報の更新間隔を変更する。

上記式１において、Ｔは代替ＩＤ情報の更新間隔、ｋは中継装置２からサーバ１までのホップ数、ｗは秘密情報ごとに設定される重み、ｗ_ｍａｘはｗの最大値、ｘは秘密情報ｄ１，ｄ２の個数（情報量）、ｍは中継装置２の下位に接続されたノード数、ｄ_ｘは秘密情報である。

したがって、代替ＩＤ情報生成部１５は、上記式１に従って代替ＩＤ情報の更新間隔Ｔを決定し、当該代替ＩＤ情報の更新間隔Ｔごとに新たな代替ＩＤ情報を生成できる。

また、代替ＩＤ情報生成部１５による代替ＩＤ情報を生成する算出式は、下記の式２，式３のようになる。

上記式２において、ｎ_ｘ，ｉはｉ番目の代替ＩＤ情報の更新タイミングにおけるハッシュ回数であり、ｎ_{ｘ，ｉ−１}はｉ−１番目の代替ＩＤ情報の更新タイミングにおけるハッシュ回数である。式３において、Ｏ_ｘは中継装置２の本来のＩＤ情報であり、Ｏ’_ｘは代替ＩＤ情報である。

代替ＩＤ情報生成部１５は、代替ＩＤ情報の更新間隔ごとに、式３に従って、所定のハッシュ関数ｈ（ｎ_ｘ，ｉ，（Ｏ_ｘ））を用いて、中継装置２の本来のＩＤ情報Ｏ_ｘを式２で示されるハッシュ回数ｎ_ｘ，ｉに亘りハッシュ化した値を得る。これにより、代替ＩＤ情報生成部１５は、当該ハッシュ化した値を、新たな代替ＩＤ情報Ｏ’_ｘに設定できる。その後、代替ＩＤ情報生成部１５は、式２に従って、今回に代替ＩＤ情報Ｏ’_ｘを求めるためのハッシュ回数ｎ_{ｘ，ｉ−１}を、デクリメントして、次の代替ＩＤ情報Ｏ’_ｘの更新間隔におけるハッシュ回数ｎ_ｘ，ｉを設定する。

これにより、代替ＩＤ情報生成部１５は、図５に示すように、初期のハッシュ回数ｎ_ｘ，０を１００とし、代替ＩＤ情報の更新間隔ごとにハッシュ回数をデクリメントすることにより、１００通りの代替ＩＤ情報Ｏ’_１〜Ｏ’_９９を生成できる。

送信情報作成部１３は、受信バッファ１２に格納されている秘密情報ｄ１，ｄ２を含む送信情報を作成する。送信情報作成部１３は、代替ＩＤ情報生成部１５から代替ＩＤ情報が供給される。送信情報作成部１３は、送信情報を作成する度に代替ＩＤ情報生成部１５から代替ＩＤ情報を取得する動作又は代替ＩＤ情報が更新される度に代替ＩＤ情報を取得する動作を行う。これにより、送信情報作成部１３は、送信情報を作成する時に代替ＩＤ情報生成部１５で作成された最新の代替ＩＤ情報を送信情報に含めることができる。

サーバ側通信Ｉ／Ｆ部１４は、送信情報作成部１３により作成された送信情報をサーバ１に対して送信する。

サーバ１は、中継装置２から送信された送信情報から秘密情報ｄ１，ｄ２を得ることができる。また、サーバ１は、中継装置２及びセンサー機器３，４から、それぞれが使用しているハッシュ関数、代替ＩＤ情報の更新間隔Ｔを得る。また、サーバ１は、代替ＩＤ情報の更新間隔Ｔ又は代替ＩＤ情報の履歴を得ても良い。これにより、サーバ１は、中継装置２及びセンサー機器３，４の代替ＩＤ情報と受信した秘密情報ｄ１，ｄ２との紐付を行うことができ、受信した秘密情報ｄ１，ｄ２がどのセンサー機器３，４から送信されたものであるかを認識して、秘密情報ｄ１，ｄ２を蓄積できる。

以上説明したように、本発明の実施形態として示した通信システムによれば、秘密情報の情報量ｃに基づいて、代替ＩＤ情報の更新間隔を短くすることができる。ここで、秘密情報の情報量ｃが多く、多くの秘密情報が収集されることにより不正端末１０にユーザが特定されやすくなる。しかし、この通信システムによれば、秘密情報の情報量ｃが多くなるほど、代替ＩＤ情報の更新間隔Ｔを短くして、代替ＩＤ情報の更新頻度を高くする。これにより、中継装置２は、多くの秘密情報ｄ１，ｄ２をサーバ１に対して送信しても、ユーザを特定することを困難とでき、秘密情報ｄ１，ｄ２の漏洩に対するセキュリティ性を向上させることができる。

また、この通信システムにおけるセンサー機器３，４は、中継装置２におけるサーバ側通信Ｉ／Ｆ部１４、秘密情報解析部１７、代替ＩＤ情報生成部１５、ＩＤ情報記憶部１６、送信情報作成部１３を備えることができる。これにより、センサー機器３，４も、中継装置２と同様に、代替ＩＤ情報を生成し、秘密情報の情報量ｃに基づいて代替ＩＤ情報の更新間隔を変更できる。これにより、センサー機器３，４は、多くの秘密情報ｄ１，ｄ２をサーバ１に対して送信しても、ユーザを特定することを困難とでき、秘密情報ｄ１，ｄ２の漏洩に対するセキュリティ性を向上させることができる。

なお、この通信システムにおいて、秘密情報の情報量ｃが多くなるほど代替ＩＤ情報の更新間隔Ｔを短くするためには、式１に示された全てのパラメータを演算する必要はないことは勿論である。すなわち、代替ＩＤ情報生成部１５は、例えば、式１を変形して
代替ＩＤ情報の更新間隔Ｔ＝１／秘密情報の情報量ｃ
なる演算式により、代替ＩＤ情報の更新間隔Ｔを求めても良い。

また、この通信システムにおいて、代替ＩＤ情報生成部１５は、式１に示したように、秘密情報の情報量ｃと、秘密情報ｄ１，ｄ２の種類に対応して設定された重み付けｗとに基づいて、代替ＩＤ情報の更新間隔Ｔを変更することができる。すなわち、式１に示したように、秘密情報ｄ１，ｄ２の情報量ｃ（ｄ）に対して、当該秘密情報ｄ１，ｄ２の種類に応じた重みｗ（ｄ）を乗算し、当該重みｗ（ｄ）を大きくするほど、代替ＩＤ情報の更新間隔Ｔを短くできる。具体的には、通信システムは、図６に示すように、秘密情報ｄ１，ｄ２が収集されるほど高くなる機微度が高い場合には、重みｗ（ｄ）を大きくして、代替ＩＤ情報の更新間隔Ｔを短くすることができる。

これにより、通信システムによれば、ユーザが特定されやすい秘密情報ｄ１，ｄ２ほど、当該秘密情報ｄ１，ｄ２の重みｗ（ｄ）を高くすることにより、秘密情報の情報量ｃと秘密情報の種類に応じた重みｗの乗算値を高くできる。したがって、この通信システムによれば、ユーザが特定されやすい秘密情報ｄ１，ｄ２が集まったときには、代替ＩＤ情報の更新間隔Ｔを短くすることによってユーザが特定されにくくし、更にセキュリティ性を高めることができる。

なお、この通信システムにおいて、秘密情報の情報量ｃ及び秘密情報ｄ１，ｄ２の種類に応じた重みｗに基づいて代替ＩＤ情報の更新間隔Ｔを短くするためには、式１に示された全てのパラメータを演算する必要はないことは勿論である。すなわち、代替ＩＤ情報生成部１５は、例えば、式１を変形して、
代替ＩＤ情報の更新間隔Ｔ＝１／秘密情報の情報量ｃ×秘密情報の種類に応じた重みｗ
なる演算式により、代替ＩＤ情報の更新間隔Ｔを求めても良い。

更に、この通信システムにおいて、代替ＩＤ情報生成部１５は、式１に示したように、センサ側通信Ｉ／Ｆ部１１に接続された通信装置のうち、サーバ１に対して下流側に接続されたセンサー機器３，４の接続数（下位ノード数ｍ）に基づいて、代替ＩＤ情報の更新間隔Ｔを変更することもできる。すなわち、式１に示したように、代替ＩＤ情報の更新間隔Ｔが下位ノード数ｍに反比例するようにする。また、式１に示したように、秘密情報の情報量ｃ及び秘密情報ｄ１，ｄ２の種類に応じた重みｗからなる値を下位ノード数ｍが多いほど高くしても良い。これにより、代替ＩＤ情報生成部１５は、図７に示すように、下位ノード数ｍが多いほど、代替ＩＤ情報の更新間隔Ｔを短くできる。

この通信システムによれば、中継装置２に接続される下位ノード数ｍが多くなるほど、秘密情報ｄ１，ｄ２が多く集まるので、当該中継装置２における代替ＩＤ情報の更新間隔Ｔを短くすることができる。したがって、この通信システムによれば、ユーザが特定されやすい秘密情報ｄ１，ｄ２が集まりやすい位置に中継装置２が配置されている場合には、代替ＩＤ情報の更新間隔Ｔを短くすることによってユーザが特定されにくくし、更にセキュリティ性を高めることができる。

なお、この通信システムにおいて、下位ノード数ｍが多いほど代替ＩＤ情報の更新間隔Ｔを短くするためには、式１に示された全てのパラメータを演算する必要はないことは勿論である。すなわち、代替ＩＤ情報生成部１５は、例えば、式１を変形して
代替ＩＤ情報の更新間隔Ｔ＝１／下位ノード数ｍ×秘密情報の情報量ｃ、又は、
代替ＩＤ情報の更新間隔Ｔ＝Σ秘密情報の種類に応じた重みｗ×秘密情報の情報量ｃ
なる演算式により、代替ＩＤ情報の更新間隔Ｔを求めても良い。なお、上記Σは、下位ノード数ｍだけ、秘密情報の種類に応じた重みｗ×秘密情報の情報量ｃの総和を取ることを意味する。

更にまた、通信システムにおいて、代替ＩＤ情報生成部１５は、式１に示したように、サーバ１までのホップ数ｋに基づいて、代替ＩＤ情報の更新間隔Ｔを設定することもできる。すなわち、式１に示したように、中継装置２からサーバ１までのホップ数ｋに反比例するようにする。これにより、代替ＩＤ情報生成部１５は、ホップ数ｋが少ないほど、代替ＩＤ情報の更新間隔Ｔを短くできる。

この通信システムによれば、ホップ数ｋが少なくなるほど、サーバ１に対して送信する秘密情報ｄ１，ｄ２が多く集まるので、当該中継装置２における代替ＩＤ情報の更新間隔Ｔを短くすることができる。したがって、この通信システムによれば、サーバ１に近い方が多くの秘密情報ｄ１，ｄ２を受信している可能性が高いので、代替ＩＤ情報の更新間隔Ｔを短くしてユーザが特定されにくくし、更にセキュリティ性を高めることができる。

なお、この通信システムにおいて、ホップ数ｋが少ないほど代替ＩＤ情報の更新間隔Ｔを短くするためには、式１に示された全てのパラメータを演算する必要はないことは勿論である。すなわち、代替ＩＤ情報生成部１５は、例えば、式１を変形して、
代替ＩＤ情報の更新間隔Ｔ＝ａｋ／秘密情報の情報量ｃを含む関数（ａ：任意の係数）
なる演算式により、代替ＩＤ情報の更新間隔Ｔを求めても良い。

具体的には、図１の構成において、中継装置２のホップ数ｋは「１」となる。しかし、センサー機器３，４については、ホップ数ｋは「２」となる。各通信装置がホップ数ｋを取得するためには、例えば、図８に示すようになる。

センサー機器３は、自己のホップ数ｋを取得する場合、先ず、ホップ数ｋ＝０を含むリクエストを中継装置２に送信する。すると、中継装置２は、当該リクエストにおけるホップ数ｋをインクリメントして、ｋ＝ｋ＋１＝１に更新して、当該ホップ数ｋ＝１を含むリクエストをサーバ１における上流側に転送する。サーバ１は、当該リクエストにおけるホップ数ｋをインクリメントして、ｋ＝ｋ＋１＝２に更新して、当該ホップ数ｋ＝２を含むレスポンスを下流側に転送する。中継装置２は、上流側（サーバ側通信Ｉ／Ｆ部１４）であるサーバ１からレスポンスを受信すると、当該レスポンスをそのまま下流（センサ側通信Ｉ／Ｆ部１１）に転送する。これにより、センサー機器３は、当該レスポンス内のホップ数ｋが「２」であるので、自己のホップ数ｋが「２」であることを認識できる。これにより、通信システムにおける通信装置は、自己のホップ数ｋを取得して、当該ホップ数ｋが少ないほど代替ＩＤ情報の更新間隔Ｔを短くできる。

以上のように、通信システムを構成する通信装置（中継装置２、センサー機器３，４）は、秘密情報の情報量ｃ、秘密情報ｄ１，ｄ２の種類に応じた重みｗ、下位ノード数ｍ、ホップ数ｋに基づいて、代替ＩＤ情報の更新間隔Ｔを設定できる。このような通信システムは、秘密情報の情報量ｃ、秘密情報ｄ１，ｄ２の種類に応じた重みｗ、下位ノード数ｍに反比例して、ホップ数ｋに対して比例して、代替ＩＤ情報の更新間隔Ｔを設定している。しかし、通信システムは、秘密情報ｄ１，ｄ２が集まるほど非線形に急峻に更新間隔を短くしても良い。すなわち、秘密情報の情報量ｃ、秘密情報ｄ１，ｄ２の種類に応じた重みｗ、下位ノード数ｍ、ホップ数ｋのうち、代替ＩＤ情報の更新間隔Ｔに指数関数的に寄与させたいパラメータがある場合には、当該パラメータが変化することに応じて、代替ＩＤ情報の更新間隔Ｔを急峻に更新できる。例えば、通信システムによれば、秘密情報ｄ１，ｄ２の種類によっては、ユーザが特定されやすいものがある場合に、当該秘密情報ｄ１，ｄ２の種類を通信装置を受信した場合には、当該通信装置の代替ＩＤ情報の更新間隔Ｔを急峻に短くできる。これにより、通信システムは、更にセキュリティ性を高めることができる。

更にまた、この通信システムにおける通信装置において、代替ＩＤ情報生成部１５は、少なくとも秘密情報の情報量ｃに基づいて生成した代替ＩＤ情報と、誤り訂正／検出符号との排他的論理和により得た値を、自己の代替ＩＤ情報に設定することもできる。

例えば図９に示すように、サーバ１から中継装置２、センサー機器３，４に対して、秘密情報ｄ１，ｄ２を送信するコマンドＣ１〜Ｃ３が供給されたことに応じて、中継装置２及びセンサー機器３，４は、レスポンスＲ１〜Ｒ３を返信する。

センサー機器３は、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ１’）とＣＲＣ（Ｏ１’）との排他的論理和を、自己の代替ＩＤ情報とする。ここで、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ１’）は、センサー機器３でのハッシュ回数ｎ_１と本来のＩＤ情報との関数ｈにより求められている。そして、センサー機器３は、当該代替ＩＤ情報（Ｏ１’ｘｏｒＣＲＣ（Ｏ１’））及び秘密情報ｄ１，ｄ２を含むレスポンスＲ１を中継装置２に送信する。

センサー機器４は、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ２’）とＣＲＣ（Ｏ２’）との排他的論理和を、自己の代替ＩＤ情報とする。ここで、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ２’）は、センサー機器４でのハッシュ回数ｎ_２と本来のＩＤ情報との関数ｈにより求められている。そして、センサー機器４は、当該代替ＩＤ情報（Ｏ２’ｘｏｒＣＲＣ（Ｏ２’））及び秘密情報を含むレスポンスＲ２を中継装置２に送信する。

この通信システムにおいて、ＣＲＣは、巡回冗長検査 (cyclic redundancy check：ＣＲＣ)符号である。ＣＲＣに限らず、センサー機器３，４において保持しているチェックサム情報等の誤り検出／訂正符号であれば良い。

このように、通信システムにおける通信装置（中継装置２，センサー機器３，４）によれば、誤り訂正／検出符号により排他的論理和を取ることによって、不正端末１０が代替ＩＤ情報を取得しても、当該代替ＩＤ情報からＩＤ情報が推定されることを抑制できる。また、誤り訂正／検出符号は、レスポンスＲに付加されるものであるので、追加される処理を少なくできる。

更にまた、通信システムにおいて、代替ＩＤ情報生成部１５は、少なくとも秘密情報の情報量ｃに基づいて生成した代替ＩＤ情報と、サーバ１に対して下流側に接続されたセンサー機器３，４の代替ＩＤ情報との排他的論理和により得た値を、自己の代替ＩＤ情報に設定することもできる。

中継装置２は、センサー機器３，４から送信されたレスポンスＲに含まれる代替ＩＤ情報（Ｏ１’）及び代替ＩＤ情報（Ｏ２’）を用いて、自己の代替ＩＤ情報（Ｏ３’）を生成する。

具体的には、中継装置２は、図９に示すように、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ１’）とＣＲＣ（Ｏ１’）と、代替ＩＤ情報（Ｏ１’）と、ＣＲＣ（Ｏ１’）と、代替ＩＤ情報（Ｏ２’）と、ＣＲＣ代替ＩＤ情報（Ｏ２’）と、の排他的論理和を、自己の代替ＩＤ情報とする。ここで、代替ＩＤ情報生成部１５により生成した代替ＩＤ情報（Ｏ３’）は、中継装置２でのハッシュ回数ｎ_３と本来のＩＤ情報との関数ｈにより求められている。そして、中継装置２は、当該代替ＩＤ情報（Ｏ３’ｘｏｒＣＲＣ（Ｏ３’）ｘｏｒＯ１’ｘｏｒＣＲＣ（Ｏ１’）ｘｏｒＯ２’ｘｏｒＣＲＣ（Ｏ２’））及び秘密情報を含むレスポンスＲ３をサーバ１に送信する。

このように、通信システムの通信装置（中継装置２，センサー機器３，４）によれば、少なくとも秘密情報の情報量ｃに基づいて生成した代替ＩＤ情報と、下位の通信装置の代替ＩＤ情報とを排他的論理和により合成した情報を、自己の代替ＩＤ情報にできる。これにより、通信システムによれば、不正端末１０が代替ＩＤ情報を取得しても、当該代替ＩＤ情報からＩＤ情報が推定されることを抑制できる。したがって、この通信システムによれば、代替ＩＤ情報が不正端末１０によって推定される可能性を更に低下させて、よりセキュリティ性を高めることができる。

このような通信システムにおける中継装置２は、例えば、図１０及び図１１に示す処理を行う。

中継装置２は、先ずステップＳ１において、ネットワーク情報としての下位ノード数ｍ、ホップ数ｋを取得する。

次に中継装置２は、ステップＳ２において、下位のノードとしてのセンサー機器３，４の秘密情報ｄ１，ｄ２を受信する。

次に中継装置２は、ステップＳ３において、ステップＳ２にて受信したセンサー機器３，４の秘密情報ｄ１，ｄ２に対して排他的論理和により合成した値を得る。このとき、代替ＩＤ情報生成部１５は、センサー機器３，４の秘密情報ｄ１，ｄ２に対して自己のＩＤ情報から得た代替ＩＤ情報の排他的論理和により合成しても良い。また、代替ＩＤ情報生成部１５は、センサー機器３，４の秘密情報ｄ１，ｄ２に対して誤り訂正／検出符号の排他的論理和により合成しても良い。

次に中継装置２は、ステップＳ４において、代替ＩＤ情報生成部１５により、少なくとも秘密情報の情報量ｃに基づいて、代替ＩＤ情報の更新間隔Ｔを算出する。

次に中継装置２は、ステップＳ５において、ステップＳ４にて演算した代替ＩＤ情報の更新間隔Ｔとなったことに応じ、ステップＳ２にて受信したセンサー機器３，４の秘密情報ｄ１，ｄ２と、ステップＳ３にて演算した自己の代替ＩＤ情報とを合成した送信情報を作成する。

次に中継装置２は、ステップＳ５にて作成した送信情報を、サーバ１に対して送信する。また、この中継装置２は、サーバ１に対して、代替ＩＤ情報の更新間隔Ｔを送信しても良い。

このとき、中継装置２は、図１１に示すように、ステップＳ１１において、ネットワーク情報としての下位ノード数ｍ、ホップ数ｋを取得し、ステップＳ１２において、代替ＩＤ情報を生成する。そして、中継装置２は、ステップＳ１３において、サーバ１に対して代替ＩＤ情報の更新間隔Ｔ（更新間隔）を送信する。これにより、サーバ１は、中継装置２の代替ＩＤ情報の更新間隔Ｔを得て、代替ＩＤ情報の更新間隔Ｔごとに代替ＩＤ情報が更新されたことを認識できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

１…サーバ
２…中継装置
３，４…センサー機器
１０…不正端末
１１…センサ側通信Ｉ／Ｆ部
１２…受信バッファ
１３…送信情報作成部
１４…サーバ側通信Ｉ／Ｆ部
１５…情報生成部
１６…ＩＤ情報記憶部
１７…秘密情報解析部

Claims (8)

1. 複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、
   前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記秘密情報の種類に対応して設定された重み付けとに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする通信システム。
2. 複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、
   前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記通信手段に接続された通信装置のうち前記所定の送信先装置に対して下流側に接続された通信装置の接続数とに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする通信システム。
3. 複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、
   前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記所定の送信先装置までのホップ数に基づいて、前記代替識別情報の更新間隔を設定することを特徴とする通信システム。
4. 複数の通信装置が通信可能に接続され、各通信装置が、所定の送信先装置に対して秘密情報を送信する通信システムにおいて、
   前記通信装置は、自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量に基づいて、前記代替識別情報を新たに生成する更新間隔を短くし、少なくとも前記秘密情報の情報量に基づいて生成した代替識別情報と、前記所定の送信先装置に対して下流側に接続された通信装置の代替識別情報との排他的論理和により得た値を、自己の代替識別情報に設定することを特徴とする通信システム。
5. 所定の送信先装置に対して秘密情報を送信する通信装置において、
   自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、
   前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記秘密情報の種類に対応して設定された重み付けとに基づいて、前記代替識別情報の更新間隔を変更すること
   を特徴とする通信装置。
6. 所定の送信先装置に対して秘密情報を送信する通信装置において、
   自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、
   前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記通信手段に接続された通信装置のうち前記所定の送信先装置に対して下流側に接続された通信装置の接続数とに基づいて、前記代替識別情報の更新間隔を変更することを特徴とする通信装置。
7. 所定の送信先装置に対して秘密情報を送信する通信装置において、
   自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、
   前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量と、前記所定の送信先装置までのホップ数に基づいて、前記代替識別情報の更新間隔を設定することを特徴とする通信装置。
8. 所定の送信先装置に対して秘密情報を送信する通信装置において、
   自己の識別情報に基づいて代替識別情報を生成する代替識別情報生成手段と、
   前記代替識別情報生成手段により生成された代替識別情報を、自己の識別情報として用いて他の通信装置と通信を行う通信手段とを備え、
   前記代替識別情報生成手段は、前記秘密情報の情報量に基づいて、前記代替識別情報を新たに生成する更新間隔を短くし、少なくとも前記秘密情報の情報量に基づいて生成した代替識別情報と、前記所定の送信先装置に対して下流側に接続された通信装置の代替識別情報との排他的論理和により得た値を、自己の代替識別情報に設定することを特徴とする通信装置。

Images