加密系统的制作方法

专利名称：加密系统的制作方法
技术领域：
本发明涉及与通信网络中的加密通信有关的加密系统。
作为先有的加密通信系统，例如有社团法人电子信息通信学会发行的信息学技术学报OFS-38(1994-3)第7-12页《局域网(LAN)加密通信系统的安装及评价》中所示的、在通信终端和键管理工作站内设置加密通信板且与局域网(以下记作LAN)相连构成的系统。
图38是表示这样的先有加密通信系统的结构图。
在图中，10是LAN，210、220是通过该LAN中的加密装置410、420相连的通信终端，30是键管理装置。另外，虽然没有图示，但通常还连接有多个通信终端和加密装置。
通信终端210和220分别由应用2110和2210、通信控制装置2120和2220、加密通信控制装置2130和2230构成。键管理装置30由对话键产生装置310、对话键管理装置320、对话键加密装置340、对话键发送装置350和对话键询问接收装置360构成。加密装置410和420分别由对话键解密装置4110和4220、用户数据加密/解密装置4130和4230、用户数据收发装置4140和4240、对话键询问装置4160和4260构成。
图39是表示上述对话键询问装置4160的详细结构的结构图。4161是对话键存储装置，4162是对话键询问发送装置，4163是对话键接收装置。对话键询问装置4260具有相同的结构。
下面说明这样的先有加密通信系统中的数据通信的过程。
使用密码在终端间进行通信时，与通信终端相连的加密装置具有公共的对话键，利用该对话键进行数据的加密/解密。使与通信终端相连的加密装置具有公共的对话键的过程叫键发送。
在进行加密通信时需要键发送的过程和实际的用户数据收发过程。在先有的加密通信系统中，在执行同任意的通信对象进行实际的用户数据收发的过程时，每次执行该过程，都先于此执行键发送的过程。
这里，对通信终端210的应用2110和通过LAN10相连的通信终端220的应用2210进行通信时的键发送的过程进行说明。
在以下的说明中，通信终端210在开始进行通信时的地址是A，通信终端220的地址是B。
图40是表示在先有的加密系统中对话键的发送过程的时序图。
在通信终端210的应用2110和通过LAN10相连的通信终端220的应用2210进行通信时，首先，应用2210启动通信控制装置。然后，把通信对象的终端的通信终端220的地址B的信息送与通信控制装置2130。
通信控制装置在存储装置(未图示)中存储通信终端220的地址B，同时还把通信终端220即地址B的信息送给加密通信控制装置2130。
加密通信控制装置2130把含有地址B信息的通信开始请求命令送给加密装置410。把通信开始请求命令送给加密装置410的对话键询问装置4160的对话键询问发送装置4162。
对话键询问发送装置4162求取包含在上述通信开始请求命令中的地址B的信息，产生包含地址B的信息的键发送请求命令KEYREQ，并将其通过LAN10发送给键管理装置30(S13)。对话键存储装置4161存储来自对话键询问发送装置4162的地址B的信息。
然后，把由键管理装置接收的键发送请求命令KEYREQ送给对话键询问接收装置360。这里，求取键发送请求命令的发送源地址的地址A，将其作为键发送请求源地址。另外，通过键发送请求命令KEYREQ中所含的信息求取地址B，并将其作为通信目的地地址送给对话键管理装置320。
对话键管理装置320把键发送请求源地址的地址A和通信目的地地址B进行组合，存储在存储装置(未图示)中，同时，启动对话键生成单元310。
对话键生成装置310由对话键管理装置320启动后，产生随机数，并将此作为对话键传给对话键管理装置320。
对话键管理装置320把上述对话键与存储在存储装置中的键发送请求源地址的地址A和通信目的地地址的地址B的组合的相组合，存储在存储装置中，同时，将其送给对话键加密装置340。
对话键加密装置340利用对预先设定好的对话键进行加密的键-主键(键加密键)，对该对话键进行加密，把结果作为加密对话键，送到对话键管理装置320。
对话键管理装置320把加密对话键存储装置中存储的键发送请求源地址的地址A和通信目的地地址的地址B的组合送给对话键发送装置350。
对话键发送装置350产生包含加密对话键和通信目的地地址的地址B的信息的对话键发送命令KEYDIST，并将其发送给与键发送请求源地址-地址A的通信终端相连的加密装置410。
把利用加密装置410接收的对话键发送命令KEYDIST送给对话键询问装置4160的对话键接收装置4163。
对话键接收装置4163通过对话键发送命令KEYDIST求取加密对话键和通信目的地地址的地址B的信息，在存储装置中存储通信目的地地址的地址B的同时，把加密对话键送给对话键解密装置4110。
对话键解密装置4110利用预设定的主键对加密对话键解密，把结果作为对话键，送到对话键接收装置4163。
对话键接收装置4163把对话键送给对话键存储装置4161。并且，对键管理装置30发送对话键接收确认命令KEYDIST-ACK(S15)。对话键存储装置4161把存储装置中存储的通信目的地地址的地址B的信息和该对话键组合，存储起来。
由键管理装置30接收的对话键接收确认命令KEYDIST-ACK，送给对话键发送装置350，求取该命令的发送源地址的地址A，将其作为键发送请求源地址存储在存储装置的同时，还将其送到对话键管理装置320。
对话键管理装置320核对该键发送请求源地址和存储器中存储的键发送请求的源地址。并且，把与该键发送请求的源地址一致的源地址组合的通信目的地地址的地址B存储在存储装置，同时将该对话键送给对话键加密装置340。
对话键加密装置340使用预设定的主键对该对话键加密，把结果作为加密对话键，送到对话键管理装置320。
对话键管理装置320把该加密对话键和存储在存储装置中的通信目的地地址的地址B的组合送到对话键发送装置350。对话键发送装置350产生包含该加密对话键和存储在存储装置中的键发送请求的源地址的地址A的信息的对话键发送命令KEYDIST，将其发送给与通信目的地地址的地址B的通信终端相连的加密装置的加密装置420。
在加密装置420上进行和上述加密装置410相同的操作，对键管理装置30发送对话键接收确认命令KEYDIST-ACK(S17)。
把由键管理装置30接收的对话键接收确认命令KEYDIST-ACK送到对话键发送装置350，求取该命令的发送源地址的地址B，将其作为通信目的地地址存储在存储装置中，同时，还将其送给对话键管理装置320。
对话键管理装置320对该通信目的地地址和存储在存储装置中的通信目的地地址进行核对，并把与该通信目的地地址一致的目的地址组合的通信源地址的地址A送给对话键发送装置350。
对话键发送装置350产生包括存储在存储装置中的包括通信目的地地址的地址B的信息的通信开始命令START，将其送给与键发送请求源地址的地址A的通信终端相连的加密装置410。
把由加密装置410接收的通信开始命令START送到用户数据收发装置4140。用户数据收发装置4140利用通信开始命令START求取通信目的地地址的地址B的信息，并将其存储在存储装置中。进而，向通信终端210发送键发送确认命令。
键发送确认命令送到通信终端210的加密通信控制装置2130。加密通信控制装置2130求取包含在该键发送确认命令中的通信目的地地址的地址B的信息，将该信息作为通信对象的地址，在存储装置存储该通信对象地址和打开通信开始标置的信息的组。把包括该通信对象地址的信息的通信开始通知送给发送控制装置2120。
根据以上的过程，通过进行键发送，加密装置410和加密装置420可以具有公共的对话键。
下面详细说明通信终端210的应用2110和通过LAN10相连的通信终端220的应用2210进行通信时的用户数据的传送过程。
通信过程210的应用2110把用户数据和通信终端220的地址B的组送给通信控制装置2120。通信控制装置2120把该用户数据和通信终端220的地址B的组送给加密装置410。
该用户数据和通信终端220的地址B的组送到用户数据收发装置4140。用户数据收发装置4140把该用户数据和通信终端220的地址B的组送给用户数据加密/解密装置4130。
用户数据加密/解密装置4130根据通信终端的地址B核对存储在存储装置中的地址和对话键的组，用与该通信对象地址B组合在一起的对话键对该用户数据进行加密。把它作为加密的用户数据，把该加密的用户数据和通信对象地址的组送到用户数据收发装置4140。
用户数据收发装置4140根据该加密的用户数据和通信对象地址的组，把包含加密的用户数据的信息的用户数据发送命令送到加密装置420。
由加密装置420接收的用户数据发送命令送到用户数据收发装置4240。用户数据收发装置4240求取包含在该用户数据发送命令中的加密用户数据及通信对象地址A的信息，把该加密的用户数据和地址A的组送给用户数据加密/解除装置4230。
用户数据加密/解密装置4230利用通信对象的地址A来核对存储装置存储的地址和对话键的组，使用与地址A组合并存储的对话键对该用户数据进行解密。把它作为用户数据，把该用户数据和通信对象的地址的组合，送给用户数据收发装置4240。
用户数据收发装置4240把该用户数据和地址的组送给通信终端220。把送给通信终端220的该用户数据和通信对象地址的组合，送给应用2210。
如上，在先有的加密通信系统中，在执行和任意的通信对象进行实际的用户数据的收发的过程时，每当执行该过程，都需要先行进行键发送的过程。另外，有必要在每个对象中登记加密键的信息，而且，为使用密码，需要在通信终端添加加密通信控制装置等专用装置。
另外，在特开昭54-93937号公报中公开了多域数据通信网络中的“加密装置用公共操作键设定装置”。
如上所述，根据先有的加密数据通信的过程，通信终端在与各通信对象开始通信之前，向键管理装置请求在该通信中使用的对话键，与此相应，从键管理装置向通信终端发送对话键。因此，没有考虑与对同一处所的通信终端进行分组有关的情况。
产生了与密码装置相连的通信终端不能收发电子邮件等明码通信(未加密的通信)的问题。
另外，成为通信对象的通信终端不能设定应用在通信方向上是明码通信还是密码通信。也没有从多个键中选用某键进行加密的设定。
在多台通信终端与一台密码装置相连时，各通信终端不能在不同的条件下进行加密。
在特开昭54-93937号公报中，虽然叙述了为在多个域中对数据进行加密而设定公共的加密键的情况，但没有叙述使用公共的加密键来实现多重组的方式。
本发明系为解决上述问题而做，其目的在于提供一种加密系统，该加密系统可以用在一个网络内进行加密数据通信的通信装置，并且，能够形成多个物理组。
目的还在于提供一种能够在任意的密码装置中切换密码通信和明码通信的加密系统。
目的还在于提供能够在同一网络上或多个域中实现多重逻辑组的加密系统。
与本发明有关的加密系统包括分组的多台通信装置和多台密码装置，其中密码装置与上述多个通信装置的至少一个以上的通信装置对应而设置，包括对话键存储装置、密码处理单元和数据收发单元，其中，对话键存储单元至少存储一个对属于上述组的通信装置收发的通信数据进行加密或解码的对话键，密码处理单元利用上述对话键进行通信数据的加密或解码，数据收发单元收发上述密码处理单元处理的通信数据。
上述密码装置还包括在上述对话键存储单元中至少存储一个对话键、根据上述对话键设定是否对通信数据进行加密或解码的模式开关。
上述密码装置还包括存储与通信数据的加密有关的加密条件的加密条件存储单元和根据上述加密条件判定是否对通信数据加密或解码的条件判定单元。
上述加密条件由成为通信对象的一台以上的通信装置来确定。
上述密码装置在上述对话键存储装置中存储多个对话键，上述加密条件确定是否用某对话键加密，上述条件判定单元根据上述加密条件判定是否用某个对话键进行加密或解码。
上述加密系统还包括键管理装置，该键管理装置存储分组的通信装置的通信装置组存储单元和在上述通信装置组存储单元存储的各个存储的组中生成、输出个别的对话键的对话键生成装置。
上述键管理装置还包括在各个密码装置中设定表示上述密码装置中所含的上述模式开关的切换是有效还是无效的有效无效信息、把有效无效信息发送到对应的密码装置的有效无效设定单元，上述密码装置还包括根据上述模式开关的设定和发送的上述有效无效信息，判定对通信数据加密还是解码的有效无效判定单元。
上述键管理装置包括设定上述加密条件、并把上述加密条件发送给上述密码装置并存储在加密条件存储单元的加密条件设定单元。
上述键管理装置还包括对上述对话键生成单元生成的对话键进行加密的对话键加密单元和把上述加密的对话键发送到与上述通信装置组存储单元存储的组对应的密码装置的对话键发送单元，上述密码装置还包括接收键管理装置的对话键发送单元发送的加密对话键的对话键接收单元和对上述加密的对话键进行解码的解码单元。
包括多台键管理装置且由各键管理装置、一台以上的密码装置和一台以上的通信装置构成的密码管理域的加密系统中，上述多台键管理装置包括生成在各自的密码管理域中所用的对话键的对话键生成单元。上述多台键管理装置中的一台键管理装置的对话键生成单元还为其他键管理装置生成在多个密码管理域的密码通信中所用的公共键。
上述密码装置包括对话键存储单元、密码处理单元、数据收发单元、加密条件制定单元和条件判定单元，其中，对话键存储单元至少存储一个对通信装置收发的数据进行加密或解码的对话键，密码处理单元根据上述对话键对通信数据进行加密或解码，数据收发单元收发上述密码处理单元处理的通信数据，加密条件判定单元存储与通信数据的加密有关的加密条件，条件判定单元根据上述加密条件判断是否对通信数据进行加密或解码。
上述键管理装置还包括存储上述对话键生成单元生成的多个对话键的对话键表和把上述加密条件送给密码装置并在上述加密条件存储单元中存储的加密条件设定单元。
上述加密条件包括一个以上的特例路径和基本路径，特例路径设定与特定的通信有关的加密条件，基本路径对不符合上述特例路径的全部通信设定加密条件。
上述密码装置在上述对话键存储单元中存储多个对话键，上述加密条件确定是否用某对话键来进行加密。
上述密码装置包括与通信装置或键管理装置相连的1个以上的端口和在各个端口上作为端口条件存储上述基本路径和上述特例路径的端口条件存储单元。
上述键管理生成上述端口条件，并分配给各加密码装置的端口条件存储单元。


图1是本发明的实施方案1中的网络示意图；图2是本发明的实施方案1中的加密系统的框图；图3是表示图2的加密系统的对话键发送过程的时序图；图4是说明图2的加密系统的分组的图；图5是加密系统中的有效无效信息设定用画面的例子；图6是用KEYDIST命令设定的内容；图7是说明图2的有效无效判定单元的“与”的结果的图；图8是表示图4中的模式开关的切换和有效无效信息设定后的明码通信中的通信数据流的图；图9是表示图2的加密系统的其他结构的框图；图10是表示图2的加密系统的其他结构的框图；图11是本发明的实施方案2的加密系统的框图；图12是表示图11的加密系统的网络例的图；图13是表示图11的加密系统的网络例的图；图14是表示图11的加密系统的网络例的图；图15是表示图11的加密系统的网络例的图；图16是用于说明图11的加密系统的逻辑组的图；图17是表示图11的加密系统的其他结构例的框图；图18是表示图11的加密系统的其他结构例的框图；图19是表示本发明的实施方案3中的网络的图；图20是表示NODE型密码装置的图；图21是表示HUB型密码装置的图；图22是本发明的实施方案3的加密系统的框图；图23是表示存储在图22的加密条件存储单元中的加密条件的例子；图24是表示存储在图22的加密条件存储单元中的加密条件的例子；图25是说明图24所示的端口条件中的基本路径和特殊路径的关系的图；图26是表示在图19所示的网络中形成的新组的图27是表示使用HUB型装置的通信方案的图；图28是说明设定图27的通信终端22的端口条件的图；图29是与LAN相连的密码装置的图；图30是表示与LAN相连的密码装置的第一设置例的图；图31是表示与LAN相连的密码装置的第二设置例的图；图32是表示使用了与LAN相连的密码装置的通信状态的图；图33是说明图32所示的密码装置503中的密码条件的图；图34是表示本发明的实施方案4中的网络的网；图35是本发明的一个实施方案中的键管理装置的框图；图36是表示图35所示的对话键表的图；图37是表示图34所示的网络中的密码管理域之外的组的例子；图38是现有的密码通信系统的结构图；图39是表示图38的对话键询问单元的详细结构的图；图40是表示现有的密码通信系统中的对话键的发送顺序的时序图。
在实施方案1中，说明在各密码装置中存储1个对话键、能够进行密码通信和明码通信(未加密通信)之间切换的加密系统。
图1示出了本实施方案中的网络的一个例子。
两个局域网(LAN)是通过路由选择器/桥接器12与局域网/广域网(WAN)15相连的网络系统。键管理装置3通过密码装置49与LAN1相连。另外，通信终端(也称通信装置)21、22、23通过密码装置41、42、43与LAN1相连。另外，通信终端24、25不通过密码装置相连，也与网络管理装置13相连。
在图中，虽然密码装置49与键管理装置3相连，但这是假定键管理装置3和其他通信终端一起构成组的情况。因此，密码装置49可以不与键管理装置3相连。也可以是一台密码装置连接着多台通信终端。
密码装置41-43安置在LAN1和终端终端21～23之间，对通信数据的数据单元进行加密/解密，防止窃听流经LAN1的通信数据。用户数据的加密是通过高速的、隐密性高的、独自的代码键密码方式来进行。密码范围是从自密码装置发出到通信网络进入通信目的地的密码装置为止。
键管理装置3在向密码装置发送加密数据的对话键的同时，还长期地监视密码装置41～43的状态。
图2是本实施方案中的加密系统的框图。
在图2中，LAN1中连有键管理装置3与密码装置41、42…。输入输出装置5与键管理装置3相连。通信终端21、22…与密码装置41、42…相连。在图中，虽示出了密码装置41、42及通信终端21、22，但通常连有更多的密码装置和通信终端。另外，为简单说明起见，示出了键管理装置3没有与密码装置相连的例子。另外，图示的是对一台密码装置连接一台通信终端的例子。
通信终端21、22分别由应用211、221和通信控制单元212、222构成。
键管理装置3包括对话键生成单元31、对话键管理单元32、对话键发送开始检测单元33、对话键加密单元34、对话键发送单元35、通信装置组存储单元37和有效无效设定单元61。对话键生成单元31生成对数据进行加密的对话键。对话键加密单元34把由对话键生成单元31生成的对话键用键加密键进一步加密。对话键发送单元35把对话键发送到各密码装置。通信装置组存储单元37存储分组的通信装置。有效无效设定单元61在各密码装置中设定表示密码装置中含有的模式开关的切换是有效还是无效的有效无效信息。并且，把设定的有效无效信息发送到对应的密码装置。
密码装置41、42包括对话键解码单元411、421；对话键接收单元412、422；密码处理单元413、423；数据收发单元414、424；对话键存储单元711、721；模式开关712、722；有效无效判定单元713、723。对话键接收单元412、422接收键管理装置3发送的、加密的对话键，对话键解码单元411、421把对话键接收单元412、422接收到的加密对话键1用各密码装置用各自的键密码键解码。密码处理单元413、423通过对话键来对通信数据进行加密或解码。数据收发单元414、424收发密码处理单元413、423处理的通信数据。对话键存储单元711、721至少存储1个加密或解码通信数据的对话键。模式开关712、722是设定该密码装置中的通信数据是密码通信还是明码通信的开关。有效无效判定单元713、723根据密码装置中的模式开关712、722的设定和键管理装置3发送的有效无效信息来判定通信数据是密码通信还是明码通信。
说明对话键和键加密键。
对话键是对用户数据进行加密的键。与此不同，键加密键是对对话键进行加密的键。键加密键是为了在键管理装置3向各密码装置发送对话键时不让第三者知道。在键管理装置3的对话键加密单元34，使用键加密键来对对话键进行加密。在密码装置41、42的对话键解码单元411、421处，用键加密键来解码发送的、加密的对话键。不同密码装置的键加密键不同。
键加密键的设定方法不通过通信线路。
下面叙述键加密键的设定过程。
1.在键管理装置3，不同的加密装置制作不同的键加密键。
2.通过与加密装置相连的本地控制台来输入设定键加密键的命令，变成键输入模式。
3.通过密码装置的本地控制台输入键管理装置制作的键加密键。
4.开始变更密码装置。
对话键是为了加密/解码用户数据而使用。同一组的加密装置的对话键完全相同。但是，如下文所述的实施方案所述，如果有多个对话键，就可能在密码装置同造成多重逻辑组。
对话键的设定方法是在线设定。
下面叙述根据密码装置的请求设定对话键的过程的大致情况。
1.在键管理装置3制作对话键。
2.对不同的加密装置，使用不同的加密键来对制作的对话键进行加密。
3.一接通密码装置的电源，密码装置就自动地把希望收到对话键那样的请求命令送到键管理装置3。
4.键管理装置3把加密的对话键发送到请求的密码装置。
下面叙述作为其他方法、通过管理者的指示设定对话键的过程的大概情况。
1.在键管理装置3制作对话键。
2.对不同的加密装置，使用不同的加密键来对制作的对话键进行加密。
3.根据管理者的指示，决定发送新的对话键的密码装置的范围。该范围大致可分为下面四种
(1)在确认密码装置当前的状态时，电源接通的全部密码装置；(2)在确认密码装置当前的状态时，电源接通且预先指定的组中的全部密码装置；(3)指定的密码装置；(4)全部密码装置。
4.把加密的对话键发送到包括在确定的范围中的全部密码装置中。
另外，使用图2来详细叙述作为其他方法、在键管理装置3中包括定时器的、经过一定时间就自动地生成对话键并将其发送到同组的密码装置中的过程。
对与LAN1相连的同一组的各个密码装置，键管理装置每经一定时间就分配对话键，把到那时为止设定的对话键直接转换为分配的对话键的例子。
把通信终端21和通信终端22(即密码装置41和42)作为组1来分组，登记在通信装置组存储单元37中。
虽然在进行密码通信时，需要键发送的过程和实际的用户数据的收发过程，但键发送的过程和实际的用户数据的收发过程可以单独进行。
图3是表示对话键的发送过程的时序图。
S1是对话键发送命令KEYDIST，S2是对话键接收确认命令KEYDIST-ACK，S3是对话键发送命令KEYDIST，S4是对话键接收确认命令KEYDIST-ACK。
(过程1-1)在对应于键管理装置3的对话键发送开始检测单元33的组1的时间到时，就把对话键发送开始检测信号发给对话键管理单元32。
(过程1-2)对话键管理单元32接收该对话键发送开始检测信号，就启动对话键生成单元31。
(过程1-3)对话键生成单元31由对话键管理单元32来启动后，产生随机数，将随机数作为对话键送给对话键管理单元32。
(过程1-4)对话键管理单元32将该对话键作为组1的对话键，存储在存储装置中。对话键管理单元32从通信装置组存储单元37检索属于组1的密码装置，选择密码装置41。对话键管理单元32把该对话键送给对话键加密单元34，并通知对密码装置41进行键加密的意思。
(过程1-5)对话键加密单元34使用与加密装置41对应的键加密键来加密该对话键，其结果作为加密对话键送到对话键管理单元32。
(过程1-6)对话键管理单元32把该加密对话键和密码装置41的地址送到对话键发送单元35。
(过程1-7)对话键发送单元35生成包含该加密对话键的信息的对话键发送命令KEYDIST，将其存储在存储装置中。对话键发送装置35利用送给的地址，把该对话键发送命令KEYDIST发送给密码装置41(S1)。
(过程1-8)通过密码装置41的对话键接收单元412接收该对话键发送命令KEYDIST。
(过程1-9)对话键接收单元412从该对话键发送命令KEYDIST提取包含加密对话键的数据部分，并送给对话键解码单元411。
(过程1-10)对话键解码单元411根据预先由其他单元设定的密码装置41的键加密键，解码包含该加密对话键的数据部分。并且，把该结果作为对话键，送给对话键接收单元412。
(过程1-11)对话键接收单元412向键管理装置了发送对话键接收确认命令KEYDIST-ACK(S2)。
(过程1-12)把键管理装置3接收的、来自密码装置41的对话键接收确认命令KEYDIST-ACK送给对话键发送单元35。对话键发送单元35向对话键管理单元32通知密码装置41的对话键发送已结束。对话键管理单元32把组1的对话键送给对话键加密单元34，并通知是对密码装置42进行键加密的意思。
(过程1-13)与上面的(过程1-5)相同，对话键加密单元34制作与密码装置42对应的加密对话键。对话键发送单元35制作包括该加密对话键的信息的对话键发送命令KEYDIST，将其发送到密码装置42(S3)。
(过程1-14)密码装置42的对话键接收单元422接收该对话键发送命令。
(过程1-15)对话键接收单元422从该对话键发送命令提取加密对话键，并把该加密对话键送给对话键解码单元421。
(过程1-16)对话键解码单元421通过预先由其它装置设定的独自的键加密键解码该加密对话键。结果作为对话键、送给对话键接收单元422。
(过程1-17)对话键接收单元422向键管理装置3发送对话键接收确认命令KEYDIST-ACK(S4)。另外，将该对话键存储在键存储单元721中。
(过程1-18)把键管理装置接收的对话键接收确认命令KEYDIST-ACK送给对话键发送单元35。
(过程1-19)对话键发送单元35把键加密装置42的加密键的发送已结束的信息通知对话键管理单元32，因没有属于组1的其他密码装置，所以，对话键管理单元32判断对组1的键发送已经结束。
通过进行上面的键发送过程，属于同一组的密码装置41和密码装置42可以具有公共对话键。
之后，通信终端的应用211与通过LAN1相连的通信终端22的应用221进行通信。各密码装置41的密码处理单元413对应用211的用户数据加密，在密码装置42的密码处理单元423解码，送给应用221。
可以不根据定时器、而根据键管理装置3的管理者的手动输入操作输出上述对话键发送开始检测单元33的对话键发送开始检测信号。
也可以通过检测密码装置的上升状态输出上述对话键发送开始检测单元33的对话键发送开始检测信号。
虽然示出了向上述两台密码装置进行键发送的过程，但对属于同一组的任意多台的密码装置，也同样能够进行。
示出了与对话键的发送/接收同时进行对话键的改变的例子。但可以先停止通信后进行对话键改变为新的键，也可以在对话键的发送/接收后经过一定时间后改变。
下面说明本实施方案的要点，即密码通信和明码通信的切换。
图4是用于说明加密系统中的分组的图。
键管理装置3通过密码装置49与LAN1相连。通信终端20～22、25～29通过密码装置41～46与LAN1相连。通信终端21和22与同一密码装置42相连。通信终端28和29与同一密码装置46相连。另外，通信装置23和24与LAN1相连，而不通过密码装置。
键管理装置3和密码装置49构成组A。密码装置41～43和通信终端20～22、25构成组B。密码装置44～46和通信终端26～29构成组C。这里，例如在密码装置41对通信终端20发送的用户数据进行加密。可接收加密数据的通信终端是通信终端21、22、25。不通过密码装置的通信终端23、24和属于组C的通信终端26～29不能解码通信数据，因此不能接收。
这样，在密码通信中，在与同一密码组相连的通信终端间，能够如明码通信那样地进行通信。但是，在不同的密码组成不与密码装置相连的通信终端，即使接收到加密的通信内容，也不能够解码，所以不能窃听。即使密码装置被窃，在密码装置侧也不能辨别属于哪一个密码组，防止完全能窃听。
可是，在想与不同的密码组或没与密码装置相连的通信终端进行通信时，必须停止对通过密码装置存取的通信进行加密/解码。用密码装置41、42…具有的模式开关712、722…的通/断来实现该切换。模式开关712、722…接通时，是明码通信；模式开关打开时，是密码通信。然而，由于通信终端能够随意地操作，所以只用模式开关的通/断就能把密码通信改变为明码通信，但从安全上起见，最好不这样做。因此，在各个密码装置设定在键管理装置的模式开关的切换是有效还是无效的有效无效信息。这样，能够管理键管理装置可以切换明码通信和暗码通信的密码装置。
图5是表示在键管理装置3设定的有效无效信息及输入有效无效信息的画面。
输入新的数据时，从输入域输入。作为从输入域输入的数据，有组号(GN)、IP地址、备注和有效/无效信息等。画面上显示的组名在输入组号(GN)后，自动地输出到画面上。有效无效信息预设为“0”(无效)。想使其有效时，输入“1”。显示的数据按从上到下的顺序与图4所示的密码装置49、41～46对应。像密码装置41和46的有效无效信息成为有效。这里，所谓有效，是指该密码装置的模式开关的切换有效。所谓无效，是指在密码装置切换模式开关使其无效。
键管理装置3在用KEYDIST命令向各密码装置发送加密的对话键时，还添加发送有效无效信息。
图6示出了KEYDIST命令的内容。
在图6中，协议类型表示通信协议的类型。验证用数据是用于检查能否在收到发送的密码装置进行解码的固定模式，在密码装置解码的数据的一部分若与固定模式一致，则表示正确地进行了解码。最末位设置为有效无效信息。“1”表示有效，‘0’表示无效。
如上所述，KEYDIST命令的内容中，未设定数据的部分为0。并且，在键加密键对设定有对话键及有效无效信息等的KEYDIST命令的内容进行加密和发送。
键管理装置3中的有效无效设定单元61把输入画面设定的有效无效信息发送给生成对话键发送命令KEYDIST的对话键发送单元35。如图6所示，对话键发送单元35生成在最末位设置有效无效信息的KEYDIST命令。
下面，以密码装置41为例，对话键接收单元412接收KEYDIST命令，送给对话键解码单元411。对话键解码单元411进行解码，从解码的KEYDIST的内容中取出有效无效信息，送给有效无效判定单元713。有效无效判定单元713根据模式开关712的开关的通/断和有效无效信息的“与”来判断是密码通信还是明码通信。
图7以图表的形式示出了模式开关的信息和有效无效的信息的“与”。
开关“断”为(0)，“通”为(1)。有效无效信息，有效为(1)，无效为(0)。因此，求“与”时，只仅当模式开关为“通”且有效无效信息为有效时才为(1)，即用户数据才通过。此外的情况，不管如何设定模式开关，都进行加密。所谓通过是指进行明码通信。
图8是图4那样的、在分组的加密系统中采用明码通信的情况。
密码装置41、43、44、46的模式开关为导通。即，这些密码装置的模式开关切换成能进行明码通信。不过，如图5所示，键管理装置3的有效无效信息只有密码装置41和46才有效。因此，通信终端20发送的用户数据不在密码装置41进行加密，而是以明码进行发送。由于是明码，所以在没有密码装置的通信终端23和24能够接收。由于密码装置46的模式开关为通、有效无效信息为有效，所以不对来自通信终端20的通信数据进行解码。因此，通信终端28、29能够接收通信终端20发出的明码通信。密码装置43和44尽管模式开关为通，但由于有效无效信息为无效，所以不能接收明码通信。
密码装置41属于组B，但密码装置46属于组C。通过进行明码通信，即使是设有密码装置的通信终端或不同组的通信终端也能进行通信。
如上所述，通过使密码装置的对话键在组的单位中是相同的，本实施方案的加密系统能够禁止不同组间的通信。还能防止在网络上窃听。另外，能够在密码装置侧及设定健管理装置时，选择是密码通信还是明码通信，不同组的通信终端或没有密码装置的通信终端也能进行通信，能够形成更高一级的柔性加密系统。另外，能够通过密码装置的模式开关设定是密码通信还是明码通信，能够成批管理键管理装置的模式开关是有效还是无效，因此，能够进行更可靠的安全管理。
在图2的密码装置的框图中，也可以除去密码装置41、42的模式开关712、722。这时，可以决定在键管理装置3的有效无效设定单元61设定为有效的密码装置，可确定进行明码通信。在有效无效设定单元61设定为无效的密码装置，进行密码通信。在有效无效设定单元61设定的有效无效信息被从键管理装置发送到密码装置41、42的有效无效判定单元713、723，各密码装置的有效无效判定单元判定是密码通信还是明码通信。
在图2的加密系统的框图中，可以省去键管理装置3的有效无效单元61和密码装置41、42的有效无效判定单元713、723。此时，通过密码装置41、42的模式开关712、723的通/断，设定是密码通信还是明码通信。
图9示出了键管理装置3a没有发送对话键时的框图。
如图9所示，键管理装置3a省去了图2所示的对话键发送开始检测单元33、对话键加密单元34和对话键发送单元35。密码装置41a、42a省去了对话键解码单元411、421和对话键接收单元412、422。此时，在键管理装置3a中，在通信装置组存储单元37中存储的每个组中，通过对话键生成单元31生成对话键。在键管理装置3a生成的对话键存储在各密码装置的对话键存储单元中，而不通过使用网络的通信。其他操作与上述的说明相同。
图10示出了没有图2所示的加密系统的键管理装置的情况。
通信终端21、22通过密码装置41b、41a与LAN1相连。虽未图示，但密码装置及通信终端还与其他装置相连。密码装置41b、42b包括对话键存储单元711、721；密码处理单元413、423；数据收发单元414、424；模式开关712、722。通信终端21和22与图2相同。在和对话键生成单元具有相同的功能的处理装置中制作对话键，分别输入到密码装置41b、42b的对话键存储单元711、721进行存储。对话键相同的各个密码装置构成同一个组。通过模式开关712、722的开关的通/断，确定是密码通信还是明码通信。
实施方案2说明能够通过成为通信对象的通信装置、应用和通信方向来设定是密码通信还是明码通信和加密条件的加密系统。
另外，说明一台密码装置中储备多个对话键、根据通信对象、应用和通信方向来设定使用哪一个对话键、能够设定加密条件的加密系统。
图11是本实施方案中的加密系统的框图。
键管理装置6和密码装置81、82与LAN1相连。输入输出装置5与键管理装置6相连。通信终端21、22与密码装置81、82相连。键管理装置6包括对话键生成单元31、对话键管理单元32、对话键发送开始检测单元33、对话键加密单元34、对话键发送单元35、通信装置组存储单元37和加密条件设定单元62。密码装置81包括对话键解码单元411、对话键接收单元412、密码处理单元413、数据收发单元414、对话键存储单元711、加密条件存储单元811和条件判定单元812。密码装置82具有同样的结构。通信终端21和22与图2相同。密码装置的加密条件存储单元811、821存储与通信数据的加密有关的加密条件。作为加密条件，根据成为通信对象的通信装置、应用和通信方向来设定是密码通信还是明码通信。另外，密码装置具有多个对话键，根据通信对象、应用和通信方向设定使用哪一个对象键的加密条件。加密条件存储单元811、821存储这些加密条件。键管理装置6的管理者根据设定加密条件的、键管理装置6的加密条件设定装置62设定与各密码装置有关的条件，发送给各密码装置。或者，各密码装置的使用者也可以在省去键管理装置6的加密条件设定单元62的情况下，在加密条件存储单元811、821中设定加密条件。条件判定单元812和822根据在加密条件存储单元811和821中存储的加密条件、成为接收的通信数据的通信对象的通信装置、通信方向、应用来判断是明码通信还是密码通信。另外，有多个对话键时也判定使用什么对话键。
图12是本实施方案的、利用加密系统的网络系统的例子。
服务器91、广域网(WWW)代理服务器92、邮件服务器92通过路由选择器与互联网(Internet)16相连。另外，WWW93与互联网16相连。密码装置81、82与LAN1相连。密码装置812连接通信终端21、22，密码装置82连接通信装置23、24。虽然另外还有密码装置和通信终端与LAN1相连，但在图中省去图示。密码装置81和82属于组A。
在图12的网络例中，如下面那样地设定密码装置81的加密条件。
基本路径应用(全)，密码特殊例1IP地址(邮件服务器)&应用(邮件)&通信方向(发出)，透过特殊例2IP地址(WWW代理服务器)&应用(http)&通信方向(发出)，透过特殊例3IP地址(服务器)&应用(名称服务器)，透过上述加密条件有基本路径和特例路径，但特例路径中所示的条件优先顺序较高。通常的通信遵循基本路径中指定的加密条件。然而，在符合特例1、2、3中指定的加密条件的通信数据中，优选特例路径中所示的条件。使用图12进行说明，从通信终端21或22向组A中的通信终端23或24进行通信时，根据基本路径的加密条件来对全部应用的通信数据进行加密。在图中，该通信流用虚线示出。从通信终端21和22向邮件服务器发送邮件时，因满足特殊例1的加密条件而通过，即明码通信。
在从通信终端21、22向WWW代理服务器92发送应用(http)的用户数据时，满足特殊例2而成为明码通信。
在从通信终端21、22向服务器91收发应用(名称服务器)的通信数据时，成为满足特殊例3的明码通信。在特殊例3中，由于未指定通信方向，所以，在收发两个方向上的数据可以通过，即成为明码通信。密码装置82的加密条件可以与密码装置81的不同。在多个通信终端与密码装置相连时，可以对每个连接的终端设定不同的加密条件(特例路径)。
在后文的实施方案中，更详细地说明基本路径和特例路径。
这样，能够在一台密码装置中对组内的通信进行加密、用明码接收共同的邮件业务和WWW业务。
图13是本实施方案中的加密系统的其他网络的例子。
WWW服务器95和邮件服务器A96与网络16相连。通过路由选择器14，两条LAN1与网络10相连，另一方面，密码装置81与LAN1相连。通信终端21和内部邮件服务器91与密码装置81相连。密码装置82与另一LAN1相连。内部邮件服务器98和通信终端22与密码装置82相连。密码装置81和82、通信终端21和22、内部邮件服务器97和98都属于同一组。
在图13的网络例中，象下面那样地设定密码装置81的加密条件。
基本路径应用(邮件＋WWW)，通过特例1IP地址(全部内部密码装置的地址)&应用(全部)，密码如上所述设定加密条件，对通过密码装置81的全部内部的邮件和内部应用数据加密，与互联网16相连的公共邮件业务A96的邮件和与WWW服务器95进行的通信数据的交换成为通过即明码通信。
这样，即使是与互联网相连的通信装置，也可以通过介入密码装置、在同一公共内部形成一个组，通信数据交换就能够加密。因此，即使是通过互联网进行通信，也能够防止窃听。
图14是使用加密系统的其他网络的例子。
三条LAN1通过路由选择器14与LAN/WAN15相连。密码装置81～85与LAN1相连。通信终端21～29与密码装置相连。通信终端20与LAN1相连，但不通过密码装置，人事文件服务器99与密码装置83相连。
在图14的网络例中，如下设定密码装置84的加密条件。
基本路径应用(全部)，基于对话键A的密码特例1IP地址(人事文件服务器)&应用(全部)，基于对话键B的密码在图14中，组A是基于对话键A的组。例如是技术部的组。组B是基于对话键B的组。例如是人事部。在组B中有人事文件服务器99，想禁止通常的存取。如上所述，能够设定加密条件，使用来自通信终端27的对话键A，对组A的全部通信终端和全部应用收发通信数据。从通信终端27的、与使用对话键B与人事部即组B的人事文件服务器26及全部应用有关的通信数据。因此，通信终端27的用户是具有人事权的负责人员。
这样，在密码装置中有多个对话键，通过在加密条件中设定使用什么对话键，能够重复地制作各个组的组合。因此，通过使用对话键设定加密条件，能够防止窃听及进行存取控制，人事科和负责人员外的人不能存取的人事信息服务器等也能与内部LAN相连。
图15是使用加密系统的其他网络的例子。
WAN17通过路由选择器14与2条LAN1相连。各路由选择器14的LAN1一侧连接有密码装置81和82。这样，公司内部整体可以构成一个组，例如组A。密码装置83和84分别与3条LAN1相连。通信终端23、24、27、28与密码装置83和84相连。然而，也可以是有更多的通信终端分别与密码装置相连。另外，通信装置21、22、25、26不通过密码装置而与LAN1相连。但也可以是连接有更多的通信终端。由密码装置83、84及与密码装置相连的通信终端形成组B。组B例如是人事部。组B属于组A。但是，不能从没有通过密码装置83和84的、组A的通信终端21、22、25、26向组B的通信终端23、24、27、28进行通信数据的交换。
通信终端21、22、25、26虽然能够相互收发通信数据，但不能加密通信数据。加密的情况是例如在通信装置21想把通信数据收发到通信装置25时，在与通信装置21一侧的LAN1相连的密码装置中进行加密，通过WAN17，在密码装置82中，解码在密码装置82解码的通信数据明码通信，到达通信终端25。即，在通过WAN17那样的公众网时加密，能够防止窃听。
这样，通过配置密码装置，能够防止窃听，因此，现有必须用专用线来构造的系统可以利用公众网来替代。
图16是说明能够使用应用和对话键来确定加密条件、实现多重分组的图。
密码装置81～82与LAN1相连。在密码装置81中，执行应用1～4和应用6。在密码装置82中，执行应用1、3、5、6。在密码装置83中，指定应用1、2、4～6。在登记同一序号的应用的密码装置间，用同一对话键加密/解码通信数据。这样，在指定应用1和6的密码装置81～83形成组A。在指定应用2和4的密码装置81和83，形成组B。在指定应用3的密码装置81和82，形成组C。在指定应用5的密码装置82和83，形成组D。
这样，通过加密条件的指定方法，如上所述，对三台密码装置进行各种组合，能够形成多重组。在本例中，虽以应用为例，但也可以用通信协议的类型来分组。
在密码装置只能有一个对话键时，密码装置和对话键一一对应，所以，根据把对话键分配给哪个密码装置，可以进行密码装置的分组。这时，能够形成物理的网络组。
在密码装置中有多个对话键时，根据应用和通信协议等功能以及对话键的组合，一台密码装置可以属于多重组，这不是物理的网络组，而是能够形成所谓的逻辑的网络组。
图17示出了图11的键管理装置6a生成对话键、但不通过网络送给密码装置81a和82a时的框图。加密条件的设定和加密条件的判定，与上述相同。
图18是在图11中省略键管理装置时的框图。
各密码装置中储存的对话键是在与键管理装置6的对话键生成装置31具有同样的功能的处理装置中生成，并存储在密码装置81的对话键存储装置711中。在这种情况下，也可以制作多个对话键，存储在对话键存储单元711中。密码装置81b、82b包括对话键存储单元711、721；密码处理单元413、423；数据收发单元414、424；加密条件存储单元811、821；条件判定装置812、822。各密码装置的使用者在加密条件存储单元811、821中存储加密条件。基于加密条件的逻辑网络组的形成，与上述说明相同。
在上述实施方案中，在密码装置中也可以不包括所述的模式开关。此时，不管加密条件是怎样的，只要模式开关导通，就切换成明码通信。
如上所述，通过使用该加密系统，必须用专用线构造的防窃听系统可以利用公众网和互联网来构造。
在使用网络的信息业务中，能够谋求只有具有密码键的用户才能存取的分组。
另外，人事科和负责人员之外的人员不能存取的人事信息服务器等也能与内部LAN相连。此时，通过设定加密条件，一般用户不能窃听人事信息服务器，也不能进行存取。
另外，利用加密条件的功能(通信协议、应用)和对话键的指定方法，能够在同一网络上构造多重逻辑组。
实施方案3说明这样一种加密系统，在多台通信终端与一台通信装置相连时，该加密系统能够利用基本路径和特例路径，在与通信终端相连的端口中设定用于加密的条件。
图19示出了在该实施方案中使用的网络系统的图。
在图中，密码装置81～84是连接一台通信终端的NODE型密码装置。密码装置51、52是连接多台通信终端的HUB型密码装置，密码装置81、密码装置51、密码装置82及与这些密码装置相连的通信终端20～23、25一起形成组A。密码装置83、84、85及与其分别相连的通信终端26～29一起构成组B。键管理装置7生成与LAN1相连的对话键，用于密码装置81～84及密码装置51、52的加密/解码，分配给各密码装置。通信终端24是只进行明码通信的终端。
图20示出了一台密码装置与一台通信终端相连的NODE型密码装置81。
在密码装置81中有明码端口和密码端口，一台通信终端20与明码端口相连，在通信终端20和密码装置81之间流动的数据是未加密的明码。密码装置81的密码端口与LAN1相连。流过密码端口的数据有时是加密数据，有时是明码。作为NODE型密码装置的连接限制，在其明码端口侧只连接一台通信终端，并可以禁止与其他HUB和桥接器/路由选择器的连接。在加密条件中指定的通信方向定义为数据从明码端口流向密码端口的方向(发出)即发出方向。
图21示出了多台通信终端与一台密码装置相连的HUB型密码装置51。
通信终端21、22、23与密码装置51的明码端口相连。密码装置51的密码端口与LAN1相连。作为HUB型密码装置的连接限制，在明码端口侧包括多个端口，在一个端口中只连接一台终端，禁止其他HUB及桥接器/路由选择器的连接。如图所示，在加条件中使用的通信方向(发出)，是从明码端口流向密码端口的方向。
图22是本实施方案中使用的键管理装置7、密码装置81、密码装置51和通信终端20～23的框图。
键管理装置7是在上述实施方案中所述的、图11的键管理装置6上添加了端口条件设定单元的装置。密码装置51是连接了通信终端21～23的HUB型密码装置。密码装置51是把图11的密码装置82的加密条件存储单元821是换为端口条件存储单元921而成的装置。端口条件存储单元921在与通信终端相连的每个端口中把上述实施方案中所述的基本路径和特例路径作为端口条件进行存储。条件判定单元822对端口条件存储单元921中设定的端口条件同通信终端21～23输入的通信数据的条件(使用通信数据的应用、通信方向、通信对象构成的通信装置)进行比较，判定使用存储在端口条件存储装置中的基本路径和特例路径中的哪一个路径，确定用设定在基本路径或特例路径的对话键进行加密还是明码通信。密码装置81是连接一台通信终端20的NODE型密码装置。输入输出装置5、密码装置81和通信终端20～23与图11相同。
键管理装置7中的端口条件设定单元63把由键管理者设定HUB型密码装置的端口条件，发送给在成为对象的HUB型密码装置51…中的端口条件存储单元921。然而，若在密码装置51等中分别设定端口条件、存储在设定端口条件存储单元921，则可省去键管理装置7中的端口条件设定单元63。但是，在键管理装置7的端口条件设定单元63，通过设定密码装置的端口条件，可以进行成批管理。
对话键存储单元711、721存储键管理装置7的对话键生成单元31生成的键和加密条件存储单元811或端口条件存储单元921中设立的键的对应识别名称。例如，在加密条件存储单元811中存储的基本路径和特例路径中，记述了键A、键B和键C。在对话键存储单元711、721中，存储了对话键识别名称键A、键B、键C及与之对应的键管理装置9发送的对话键。
这样，设定加密条件和端口条件的键管理者不需要知道实际的对话键。为保证对话键的秘密性，在键管理装置7定期生成、改变对话键时，由于用加密条件和端口条件中的对话键标记符进行指定，所以，在对话键的更新时，不需要改变加密条件和端口条件。
图23示出在加密条件存储单元811中存储的加密条件。
下面记载了图23的加密条件。
基本路径应用(全)，键A特例路径0标记IP地址(全部)&应用(邮件)，通过特例路径1标记IP地址(通信终端26)&应用(AP11)&通信方向(发出)，键B这样，作为加密条件，能够存储基本路径和特例路径基本路径是作为缺省操作的路径，在不与特例路径一致的通信都按基本路径来操作。因此，不能进行标志IP地址的指定。
另一方面，特例路径必须设定标志IP地址，与在特例路径中设定的条件一致的通信使用该特例路径设定的对话键来加密。或者，在设定为通过时，不进行加密，从密码装置原样输出明码。
在基本路径和特例路径中，也可以不指定特定路径。即，加密条件必须至少设定基本路径。另外，基本路径和特例路径不一致的通信全部作废。
下面分别说明基本路径和特例路径的特征。
在NODE型密码装置中，因为有一个明码端口，所以可设定一条基本路径。在基本路径中，不能指定标志IP地址，但能够指定应用滤除器、通信方向滤除器和对话键。
应用滤除器可进行特定应用名称的指定，另外，可指定全部通过和全部作废。
另外，通过数据从密码装置的明码端口到密码端口是输出还是输入，能够设定通信方向滤除器。如图20、图21所示，通信方向是以数据从明码端口向密码端口流动的方向作为发出方向(发出)。相反地，数据从密码端口流向明码端口时，是引入方向(引入)。另外，可以进行发出方向和取入方向的双向指定。指定双向时，若在基本路径及特例路径中记载通信方向，则就进行双向的操作。
对话键用于对符合应用滤除器和通信方向滤除的各个条件的通信进行加密的情况。在基本路径时，对话键设定成密码装置所属的组的键。另外，也可以不指定对话键，设定为通过(明码通信)。
特例路径可设定多种，在本实施方案中，一台密码装置最多能够设定64种。在特例路径中，能够指定标记IP地址滤除器、应用滤除器、通信方向滤除器和对话键。
在特例路径中，必须指定标志IP地址。也要指定IP地址的有效位数。
加密条件的通信对象设定作为条件设定的IP地址和IP地址的有效位数两项。IP地址用小数点(.)隔开4位数字进行显示。各数值可以取0～255的范围。因为0～255的数值用2进制数表示，则用8位进行表示，所以，要在比有效位长(8位×4)还长的位数中指定原样使用到哪儿为止的位数。在有效位长之外的范围，认为位数为0。例如，在133.141.70.151的IP地址中，在有效位长为32位时，成为通信对象的通信装置只有一个，是具有IP地址为133.141.70.151的通信装置。然而，在同样的133.141.70.151的IP地址中，在有效位长为24时，具有133.141.70.0到133.141.70.255二百五十六个通用IP地址中任意IP地址的通信装置都成为通信对象。这样，基于IP地址的有效位长指定，通信对象的通信装置可以是一个，也可以是多个。
对于特例路径的应用滤除器与涉及通信方向滤除器来说，与基本路径相同。
对话键对符合标志IP地址滤除器、应用滤除器、通信方向滤除器等各个条件的通信进行加密。通过在对话键存储单元711中存储多个对话键，可以在从多个对话键中选择其一指定给特例路径。对每个特例路径中指定一个对话键。另外，也可以进行明码通信的通过设定。
在特例路径中，由于指定标志IP地址的特性，所以不能进行诸如IP广播地址的操作。即，使用广播等的应用在特例路径中不能进行，在基本路径中可以进行。
图24示出了存储在端口条件存储单元921中的端口条件的例子。
下面记载了图24中的端口条件。
端口1基本路径1应用(全部)，键A端口2基本路径2应用(邮件)，通过特例路径1标志IP地址(通信终端26)&应用(AP11)&通信方向(发出)，键B端口3基本路径3应用(AP22)&通信方向(引入)，键A特例路径1标志IP地址(通信终端26)&应用(AP11)&通信方向(发出)，键B特例路径2标志IP地址(通信终端28)&应用(SPDR)，键CHUB型的密码装置51包括多个端口，在图25的例子中，连接了三台通信终端21～23。因此，在端口1、端口2、端口3中分别存储端口条件。作为端口条件，能够指定基本路径和特例路径。
基本路径和特例路径的特征与上述的相同，但NODE型密码装置和HUB型密码装置中存在以下不同。
NODE型密码装置中，对每个装置只指定一个基本路径。在HUB型密码装置中，对每一个端口设定一个基本路径。在HUB型密码装置中，在多个端口中可以共有特例路径。
在基本路径和特例路径中，特例路径可以不指定。即，在每个端口中，端口条件必须至少设定基本路径。
特例路径和基本路径的优先顺序地特例路径优先。另外，在特例路径为多个时，能够对各特例路径提供预先确定的优先顺序。在本实施方案中，密码条件存储单元按照端口条件存储单元中存储的特例路径的顺序，提供优先顺序。
以图25、图24所示的端口条件为例，说明端口条件中基本路径和特例路径的关系。
在图25所示的模式图中，端口1只有基本路径。端口2有基本路径和特例路径1，端口3有基本路径和两个特例路径1、2。另外，示出了特例路径1为端口2和端口3共有。与在管道中间插入的椭圆形筛网相当的部分，表示各种选择处理。在图中椭圆形的()内所记内容为图24的端口条件。例如，以特例路径2为例，标志IP地址滤除器中的(28)表示通信终端28。应用滤除器(SPPR)表示应用SPPR。通信方向滤除器中的(双)表示通信方向以两个方向来进行。对话键(C)表示键C作为对话键的标识符。
在基本路径1、3中指定的对话键是密码装置所在组的对话键A，是固定的。在基本路径2中，设定为通过。
能够这样设定基本路径和特例路径，因此，利用加密使安全性加强，同时，考虑使用者的方便性，能够提供任意的选择性。例如，密码界用户希望用明码使用网络信息，对此，只在与信息服务器进行通信时，才例外地使用明码来进行。另外，能够使用特例路径来指定提供给组的对话键之外的对话键，因此，若把预先设定的组作为逻辑组，则可以属于该逻辑组，同时能够形成新的逻辑组。形成新的逻辑组的条件，能够根据标志IP地址、应用、通信方向及对话键等的组合来设定。
图26示出了新的逻辑组，它是在图19所示的网络系统中，通过在密码装置81、51中设定图23、图24所示的加密条件和端口条件来形成的。
属于组A的通信终端20、22、23为特定的应用(AP11)时，能够向通信终端26输出通信数据。通信终端20、22、23属于组A，但通过设定特例路径1，与组B的通信终端26形成了新的逻辑组1。逻辑组1是在通信终端20、22、23处理应用(AP11)时形成的组。而且是限于在通信方向从通信终端20、22、23向通信终端26输出时形成的组。
逻辑组2是利用在图24的端口3中的特例路径2中设定的条件来生成的。这时，逻辑组2是在通信终端23中执行应用(SPPR)时、在和通信终端28进行数据交换时生成的组。这样，通过设定特例路径，超出预定的组时，就可能形成新的逻辑组。
使用特例路径的设定方法，例如可以形成组A中的一个以上的子组。
即使在多台通信终端与一台密码装置相连时，通过在各端口设定端口条件，可以在各个端口不同的使用方法。例如，在图24的例子中，通信终端22只属于组A，基本上用作应用(邮件)的通信终端，可以用明码和其他进行应用(邮件)的通信终端进行和分组无关的数据交换。另外，在执行应用(AP11)时，成为从通信终端22向通信终端26发送数据的终端。
通信终端23在执行应用(AP22)时，作为接收其他通信终端传来的通信的终端，进行基本的操作。在执行应用(AP11)时，成为把数据发送到通信终端26的终端。另外，能够执行应用(SPPR)，能够和通信终端28进行通信的交换。
这样，即使各通信终端与一台密码装置相连，各终端也可以各自承担不同的任务。
图27示出了使用HUB型密码装置的通信形态的例子。
密码装置51有通信终端21、22相连，密码装置52有通信终端23和DB服务器904相连，根据对话键1形成组1。密码装置53有通信终端24、25相连，密码装置54有通信终端26和DB服务器905相连，根据对话键2形成组2。密码装置51～54是HUB型密码装置。与密码装置51的端口2相连的通信终端22和EOA服务器901、信息服务器902和WWW服务器进行明码通信，并且和DB服务器905进行通信。此外，在密码装置51中设定图28所示的端口条件(只记载端口2)。
基本路径应用(全部)，键1特例1标志IP地址(aaa)&应用(AP23)&通信方向(发出)，通过特例2标志IP地址(bbb)&应用(A119)&通信方向(发出)，通过特例3标志IP地址(ccc)&应用(T80)&通信方向(发出)，通过特例4标志IP地址(ddd)&应用(XP1523)&通信方向(发出)，键2这里，aaa是EOA服务器的IP地址，bbb是信息服务器的IP地址，ccc是WWW服务器的IP地址，ddd是DB服务器905的IP地址。基本路径定义为属于组1，意味着全部应用、对两个方向的通信用对话键1进行加密/解码。为和EOA服务器进行明码通信而设定特例路径1。为和信息服务器进行明码通信而设定特例路径2。为和WWW服务器进行明码通信而设定特例路径3。为利用DB服务器905和对话键2进行通信而设定特例路径4。
图29示出3和LAN相连的密码装置，与LAN相连的密码装置501对从明码端口输入的、未加密的数据进行加密，从密码端口输出。明码端口侧的连接没有限制。
图30和图31中表示了与LAN连接的密码装置的设置例。
在图30中，在路由选择器142和广域网连接的路由选择器141的一侧连有密码装置501的密码端口。路由选择器143和桥接器151与密码装置501的明码端口相连。从路由选择器143和桥接器151输入的、未加密的数据输入到密码装置501的明码端口，在密码装置501进行加密，并从密码端口输出。或者，加密的数据通过路由选择器141与广域网相通，发送给通信对象。加密的数据通过路由选择器142发送给通信对象。
图31是与LAN相连的密码装置501、502的第二设置例。
路由选择器141与广域网相连，以太网开关131、132与路由选择器141相连，与LAN相连的密码装置501的密码端口与以太网开关131的一个端口相连。密码装置501的明码接口与一般HUB121相连，对密码装置502也是如此。从一般HUB121或122输入的、未加密的数据被输入到密码装置501或502的明码端口，进行加密，从密码端口输出到以太网开关131或132。在密码装置501、502的密码端口侧，即通过以太网开关131、132和路由选择器141的广域网侧来讲，是加密的数据。
图32示出了使用与LAN相连的密码装置的通信例。
子公司A、子公司B和总部通过互联网16进行通信。子公司A的密码装置501与互联网16一侧的路由选择器143相连。子公司B的密码装置502与互联网16一侧的路由选择器144相连。总部的密码装置503与互联网16一侧的路由选择器145相连。这样，在总部、子公司A、子公司B间进行通信时，通过密码装置501、502、503在互联网的一侧对通信数据进行加密，所以，能够保证通信的安全性。
总部和子公司A使用对话键5进行通信。总部和子公司B使用对话键6，只存取WWW服务器。希望用明码来存取从总部到互联网16上的各种公开服务器906进行明码存取。在进行这样的通讯例时，总部的密码装置503中的加密条件如图33所示。
基本路径1应用(全部)，通过特例1IP地址(aaa)&应用(全部)，键5特例2IP地址(bbb)&应用(AP80)&通信方法(发出)，键6这里，aaa是设置在子公司A中的路由选择器141的IP地址，bbb是设置在子公司B中的路由选择器142的IP地址。
在与LAN相连的密码装置中只有一个明码端口，所以，存储的不是端口条件，而是加密条件。
如上所述，在本实施方案中说明了这样的加密系统一台密码装置包括多个端口，在各端口有多个通信终端相连时，在各端口中能够存储与加密有关的端口条件。这样，能够设定密码通信和明码通信，能够根据标志IP地址、应用、通信方向、对话键来设定每个端口的加密条件。因此，在预设定的通信装置构成的逻辑组的加密通信之外，能够根据标志IP地址、应用、通信方向和对话键，柔性地设定新的逻辑组。另外，即使有与同一密码装置相连的通信终端。也能够改变各个端口条件，因此，每台通信终端可以有不同的应用，能够提供用户使用简便的加密系统。
实施方案4说明了这样的加密系统由键管理装置、密码装置和通信终端形成密码装置域，通过在多个密码管理域间使用公共对话键，使在不同的密码管理域间进行加密通信成为可能。另外，说明了通过在加密条件中和端口条件中设定公共的对话键、形成由属于不同的密码管理域的通信终端构成的逻辑组的加密系统。
图34示出了本实施中的加密系统的网络系统。
密码管理域分成A、B、C，分别由一台键管理装置、多台密码装置和多台通信终端构成。在密码管理域间，通过路由选择器14和LAN/WAN15与互联网相联。
由于通常分别属于密码管理域A-C的键管理装置7173生成和管理对话键，所以不能在密码管理域间进行相互加密通信。因此，可以通过在多个密码管理域中共用公共对话键，在密码管理域间进行加密通信。
在本实施方案中，把多个键管理装置中的一台键管理装置作为主键管理装置、生成公共键并分配给其他键管理装置。这里，把密码管理域A的键管理装置71作为主键管理装置，生成公共对话键并进行发送。键管理装置72及键管理装置73成为接收来自键管理装置71的公共键的键管理装置。
对公共对话键而言，可以把在密码管理域中使用的对话键称作本地键。
图35表示键管理装置71、72的框图。
在键管理装置71和72，对图22所示的键管理装置7添加对话键表64。键管理装置71、72中的对话键生成单元31生成多个对话键，在对话键表64中进行存储。在本实施方案中，在键管理装置71～73中分别最多可生成32个对话键。
图36示出了对话键表64的例子。对话键表64是存储键编号、表示是否制作键的许可标记、生成的键及键的对应属性的表格。与键编号1到键编号32相对应，在键的表格中存储公共对话键和本地键。为提高安全性，每经过一定时间就生成并更新本地键。因为公共对话键不能更新，所以许可标记是“非制作”(在图中‘X’表示)。对公共对话键、为了存储是密码管理域A、B间的公共对话键，所以在属性柱中写入“公其(A，B)”。
键管理装置72是在图22的键管理装置7上添加对话键表64、对话键接收单元65和对话键解码单元66的装置。对话键接收单元65和对话键解码单元66对键管理装置71发送的、加密的公共键进行接收和解码。
键管理装置71～73的通信装置表存储单元37在各个密码管理域A～C存储键管理装置、密码装置和通信终端的地址。
其他构成单元与上述实施方案中所述的构成单元相同，省略其说明。NODE型密码装置81～88与HUB型密码装置51～54与图22中说明的框图相同，其说明从略。
在密码管理域A中，键管理装置71生成多个公共键和本地键，发送给属于密码管理域A的密码装置81～83和密码装置51。公共键发送给键管理装置71、72。另外，为提高安全性，键管理装置71定期地生成本地键，定期地更新各密码装置的本地键。
键管理装置71利用加密条件设定装置62，在密码装置81～83的加密条件存储单元811～831中设定加密条件。键管理装置71的端口条件设定单元63在密码装置51的端口条件存储单元921中设定端口条件。
在密码管理域B、C中，键管理装置72、73也同样定期地生成密码管理域中使用的本地键。公共对话键使用键管理装置71发送来的对话键。健管理装置72、73使用本地键和公共键，在所属的密码装置中设定加密条件和端口条件。
下面说明键管理装置71生成公共对话键并发送的过程。
首先，对在密码管理域A和密码管理域B间、决定键序号为5、8、32作为公共对话键的情况进行说明。
(1)键管理装置71的对话键生成单元31生成32个对话键。
(2)在对话键生成单元31生成32个对话键，对话键管理单元32向对话键表64中写入制作的对话键。对话键管理单元32把与对话键表64的键序号为5、8、32对应的许可标记为“非制作”(图中为‘X’)。另外，向与键序号为5、8、32对应的属性栏中写入表示是密码管理域A和密码管理域B间的公共键的“公共(A，B)”。
(3)对话键管理装置32为了发送在密码管理域B中生成的公共键1～3，在对话键加密单元34对公共键1～3进行加密，在对话键发送单元35，向密码管理域B的键管理装置72进行发送。
(4)密码管理域B的键管理装置72的对话键接收单元65接收从键管理装置71的对话键发送单元35发送的、加密的公共对话键。键管理装置中的对话键管理单元32把接收的、加密的公共对话键送给对话键解码单元66。对话键解码单元66对加密的公共对话键进行解码。键管理装置72中的对话键管理单元32把解码的公共对话键写入与对话键表64的键序号5、8、32对应的键的表格中，许可标志成为“非制作”。另外，向与对话键表64的键序号5、8、32对应的属性表格中写入表示是密码管理域A和密码管理域B间的公共键的“公共(A，B)”。在键管理装置72的对话键表64中，在键序号为5、8、32已写入公共对话键时，就对其覆盖。
(5)键管理装置72的对话键生成单元3生成用于自加密的管理域的本地键。对话键管理单元32把对话键生成单元31生成的对话键当作本地键，写入到对话键表64的许可标记为“制作”(在图中为0)的键序号。
键管理装置71、72的本地键以和上述实施方案相同的方法，发送到自密码管理域的密码装置中。
下面说明键管理装置71生成、发送公共对话键的其他过程。
在密码管理域A、B、C中，用于密码通信的公共键是公共键1。密码管理域A、B用于密码通信的公共对话键作为公共键2。密码管理域A、C用于密码通信的公共键作为公共键3。密码管理域B、C用于密码通信的公共对话键作为公共键4。此时，键管理装置71生成公共键1～4，将公共键1、2、4发送给密码管理域B的键管理装置72。将公共键1、3、4发送给密码管理域C的键管理装置73。
在最初所述的方法中，确定在键管理装置71和72间的键序号5、8、32作为登记公共对话键的键序号。但是，例如从键管理装置71生成的32个对话键中选出任意四个对话键，该许可标记成为“非制作”。键管理装置71在对话键表64的属性表格中写入是选择哪个密码管理域中的公共键。进而，键管理装置71向该键管理装置发送公共对话键和属性信息。在发送的键管理装置中，在存储对话键表64中的公共键的任意键序号的位置处，写入公共对话键，许可标记成为“非制作”，在属性中写入是与哪个密码管理域的公共对话键。在这样的方法中，可以向各密码管理域中发送管理公共对话键。
密码管理域B、C在分别接收需要的公共键1～4后，各键管理装置71～73如上述实施方案3所述，对自密码管理域内的密码装置，使用加密条件设定单元62和端口条件设定单元63来设定加密条件和端口条件。加密条件和端口条件中的基本路径和特例路径的设定，与上述实施方案相同，故省略其说明。
图37示出了在使用公共键1～4设定加密条件和端口条件时形成的密码管理域之外的逻辑组的例子。
通信终端2c、2d、2b、2k使用公共键1进行加密/解码的密码通信，形成逻辑组1。通信终端2a、2b、2f使用公共键2进行加密/解码的密码通信，形成逻辑组2。通信终端2d、2l、2m使用公共键3进行加密/解码的密码通信，形成逻辑组3。通信终端2e、2f、2j、2k使用公共键4进行加密/解码的密码通信，形成逻辑组4。这样，通过在分别具有自己的对话键的密码管理域间共有公共键，在通信终端间可以形成在密码管理域之外的新的逻辑组。
如上所述，在本实施方案中，有多个包括键管理装置、密码装置和通信终端的密码管理域，在各密码管理域中键管理装置生成和管理密码管理域内的本地键。在这些密码管理域间共有进行密码通信的公共对话键，并且，使用公共对话键设定密码条件和端口条件，这样，属于不同的密码管理域的通信终端能够进行用公共键加密的密码通信。在基本路径和特例路径的设定时，可以设定标志IP地址、应用、通信方向和对话键，因此，可以在不同密码管理域的通信终端间形成逻辑组。另外，可以根据标志IP地址、应用、通信方向的公共键设定密码通信，所以，能够提高用户的方便程度，也可以提高安全性。
如上，根据本发明，在分组的多个通信装置间，能够对数据进行加密或解密。
另外，根据本发明，通过设定模式开关，能够选择密码通信和明码通信之一。
另外，根据本发明，能够在每个密码装置中设定通信数据的加密条件，并且，能够利用加密条件判定是否对通信数据进行加密。
另外，根据本发明，能够根据通过通信对象的通信装置设定是否进行加密。
另外，根据本发明，能够在多个对话键中使用加密条件中确定的对话键来加密或解码。另外，能够形成与基于分组的通信装置的密码组并列的、基于该密码组有不同的对话键的组。
另外，根据本发明，在键管理装置的每个组中，能够生成个别的对话键。
另外，根据本发明，键管理装置能够管理密码装置中设定的模式开关是有效还是无效。
另外，根据本发明，可由键管理装置设定各密码装置的加密条件，所以可以成批管理键管理装置中的加密条件。
另外，根据本发明，能够对键管理装置中生成的对话键加密，发送到与组对应的密码装置，因此能够自动地进行对话键的设置。
另外，根据本发明，能够在多个密码管理域中进行密码通信。
另外，根据本发明，能够利用加密条件设定是否进行加密。
另外，根据本发明，能够使用特例路径和基本路径设定加密条件。
另外，根据本发明，能够用多个对话键中的任意对话键判定是否进行加密。
另外，根据本发明，能够对密码装置所含的、一个以上的端口设定基本路径和特例路径。因此，可以进行详尽的条件设定，能够提供随意使用性好的加密系统。
另外，根据本发明，键管理装置生成端口条件并分配给密码装置，因此能够用键管理装置进行端口条件的成批管理。
权利要求
1.一种加密系统，其特征在于，包括分组的多台通信装置和多台密码装置，其中密码装置与上述多个通信装置中的至少一个以上的通信装置对应而设置，包括对话键存储单元、密码处理单元和数据收发单元，其中，对话键存储单元至少存储一个对属于上述组的通信装置收发的通信数据进行加密或解码的对话键，密码处理单元利用上述对话键进行通信数据的加密或解码，数据收发单元收发上述密码处理单元处理的通信数据。
2.一种加密系统，其特征在于，包括分组的多台通信装置和多台密码装置，其中密码装置与上述多个通信装置的至少一个以上的通信装置对应而设置，包括对话键存储单元、密码处理单元、数据收发单元和模式开关，其中，对话键存储单元至少存储一个对属于上述组的通信装置收发的通信数据进行加密或解码的对话键，密码处理单元利用上述对话键进行通信数据的加密或解码，数据收发单元收发上述密码处理单元处理的通信数据，模式开关在上述对话键存储单元中至少存储一个对话键，根据上述对话键设定是否对通信数据进行加密或解码。
3.一种加密系统，其特征在于，包括分组的多台通信装置和多台密码装置，其中密码装置与上述多个通信装置的至少一个以上的通信装置对应而设置，包括对话键存储单元、密码处理单元、数据收发单元、加密条件存储单元和条件判定单元，其中，对话键存储单元至少存储一个对属于上述组的通信装置收发的通信数据进行加密或解码的对话键，密码处理单元利用上述对话键进行通信数据的加密和解码，数据收发单元收发上述密码处理单元处理的通信数据，加密条件存储单元存储与通信数据的加密有关的加密条件，条件判定单元根据上述加密条件判定是否对通信数据进行加密或解码。
4.权利请求3记载的加密系统，其特征在于，上述加密条件根据成为通信对象的1台以上的通信装置来确定。
5.权利请求3记载的加密系统，其特征在于，上述密码装置在上述对话键存储装置中存储多个对话键，上述加密条件确定是否用某对话键加密，上述条件判定单元根据上述加密条件判定是否用某对话键进行加密或解码。
6.权利请求1-3中任一项记载的加密系统，其特征在于，上述加密系统还包括键管理装置，该键管理装置存储分组的通信装置的通信装置组存储单元和在上述通信装置组存储单元存储的各个组中生成、输出个别的对话键的对话键生成装置。
7.权利请求6记载的加密系统，其特征在于，上述键管理装置还包括在各个密码装置中设定表示上述密码装置中所含的上述模式开关的切换是有效还是无效的有效无效信息、把有效无效信息发送到对应的码装置的有效无效设定单元，上述密码装置还包括根据上述模式开关的设定和发送的上述有效无效信息判定对通信数据加密还是解码的有效无效判定单元。
8.权利请求6记载的加密系统，其特征在于，上述键管理装置包括设定上述加密条件、把上述加密条件发送给上述密码装置并存储在加密条件存储单元的加密条件设定单元。
9.权利请求6记载的加密系统，其特征在于，上述键管理装置还包括对上述对话键生成单元生成的对话键进行加密的对话键加密单元和把上述加密的对话键发送到与上述通信装置组存储单元存储的组对应的密码装置的对话键发送单元，上述密码装置还包括接收键管理装置的对话键发送单元发送的加密对话键的对话键接收单元和对上述加密的对话键进行解码的解码单元。
10.包括多台键管理装置且由各键管理装置、一台以上的密码装置和一台以上的通信装置构成的密码管理域的加密系统，其特征在于，上述多台键管理装置包括生成在各自的密码管理域中所用的对话键的对话键生成单元，上述多台键管理装置中的一台键管理装置的对话键生成单元还为其他键管理装置生成用于多个密码管理域的密码通信中所用的公共键。
11.权利请求10记载的加密系统，其特征在于，上述密码装置包括对话键存储单元、密码处理单元、数据收发单元、加密条件判定单元和条件判定单元，其中，对话键存储单元至少存储一个对通信装置收发的数据进行加密或解码的对话键，密码处理单元根据上述对话键对通信数据进行加密或解码，数据收发单元收发上述密码处理单元处理的通信数据，加密条件判定单元存储与通信数据的加密有关的加密条件，条件判定单元根据上述加密条件判断是否对通信数据进行加密或解码。上述键管理装置还包括存储上述对话键生成单元生成的多个对话键的对话键表和把上述加密条件送给密码装置并在上述加密条件存储单元中存储的加密条件设定单元。
12.权利请求3或权利请求11记载的加密系统，其特征在于，上述加密条件包括一个以上的特例路径和基本路径，特例路径设定与特定的通信有关的加密条件，基本路径对不符合上述特例路径的全部通信设定加密条件。
13.权利请求11记载的加密系统，其特征在于，上述密码装置在上述对话键存储单元中存储多个对话键，上述加密条件确定是否用某对话键来进行加密。
14.权利请求12记载的加密系统，其特征在于，上述密码装置包括与通信装置或键管理装置相连的1个以上的端口和在各个端口上作为端口条件存储上述基本路径和上述特例路径的端口条件存储单元。
15.权利请求12记载的加密系统，其特征在于，上述键管理生成上述端口条件，并分配给各加密码装置的端口条件存储单元。
全文摘要
能够容易地将进行密码通信的通信终端和密码装置进行物理或逻辑地分组、能够切换密码装置中的密码通信和明码通信的加密系统。密码装置41、42包括模式开关712、722。键管理装置3向各密码装置发送各组特有的对话键和有效无效设定单元61设定的、表示密码装置的模式开关712和722的切换是否有效的有效无效信息。密码装置的有效无效判定单元713、723根据上述模式开关设定和接收的上述有效无效信息来判定通信数据是明码通信还是密码通信。
文档编号G09C1/00GK1161517SQ9710203
公开日1997年10月8日 申请日期1997年1月13日 优先权日1997年1月13日
发明者武田纪子, 篠田诚一, 长谷山寿生 申请人:三菱电机株式会社