個人認証システム
【課題】可搬媒体紛失時にも問題のない生体情報を活用した個人認証システムを作る。
【解決手段】サーバは、個人管理番号と利用者の情報と特定区域への入退場を示す第１のフラグとを関連付けて記憶する第１記憶手段、端末からの生体情報を復号化する手段、端末から受信した情報及び復号化した生体情報を第２記憶手段に一時格納する手段、受信した情報に含まれる個人管理番号と第１記憶手段に基づき利用者が特定区域への入場又は退場の可否を判定する手段、入場可又は退場可と判定した場合に受信した各情報に含まれる生体情報と復号化した生体情報に基づき利用者の認証を行う手段、認証された場合に判定手段の結果に基づき第１の記憶手段の第１のフラグを更新する手段、更新後の第１のフラグを前記ネットワークを介して端末に送信する手段と、端末から可搬媒体の第１のフラグの更新完了通知を受信し、第２記憶手段に一時格納した各情報を削除する手段とを有する。
【解決手段】サーバは、個人管理番号と利用者の情報と特定区域への入退場を示す第１のフラグとを関連付けて記憶する第１記憶手段、端末からの生体情報を復号化する手段、端末から受信した情報及び復号化した生体情報を第２記憶手段に一時格納する手段、受信した情報に含まれる個人管理番号と第１記憶手段に基づき利用者が特定区域への入場又は退場の可否を判定する手段、入場可又は退場可と判定した場合に受信した各情報に含まれる生体情報と復号化した生体情報に基づき利用者の認証を行う手段、認証された場合に判定手段の結果に基づき第１の記憶手段の第１のフラグを更新する手段、更新後の第１のフラグを前記ネットワークを介して端末に送信する手段と、端末から可搬媒体の第１のフラグの更新完了通知を受信し、第２記憶手段に一時格納した各情報を削除する手段とを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、高セキュリティを求められる特定の区域への入退場において、生体情報を利用し、管理を行う技術に関する。
【背景技術】
【０００２】
国際空港等の公共性の高い、特定の建物、会場、複数部屋等の区域への入退場に行う個人認証システムでは、身分事項情報、生体情報をデータベースへ格納し、入退場時の個人認証を行う技術がある。
【０００３】
しかしながら、データベース内へ生体情報を格納した場合、悪意を持つ第三者等への生体情報漏洩時には、生体情報は生涯変更不可能な情報であり、身分事項情報との関連付けから個人の特定も容易であることから、生体情報管理者は常に甚大なリスクを背負う必要がある。
【０００４】
【特許文献１】特開２００１−７６２７０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来の個人認証システムでは、当該利用者が入場している間等の一時的な期間でも、データベース内で身分事項情報及び生体情報を管理しているために、個人情報の漏洩や悪用に対する一般利用者の不安が大きく、生体情報の登録においては、嫌悪感を示す利用者がいる。
【０００６】
一方、特定区域への入退場管理者側としては、成りすましによる不正入場等の脅威を回避するために、情報漏洩等のリスクはあるものの、生体情報を有効に活用することは必須事項であると考えている。
【０００７】
更に、従来の個人認証システムでは、入退場管理者は、入退場時の生体認証によるセキュリティの確保を行うことはできたが、出勤、退勤等の勤務時間管理については実現しておらず、個人認証システムは更なる利便性向上の余地を残していると言える。
【０００８】
また、従来の個人認証システムでは、深夜帯等の明らかに利用を行っていない時間帯においても、該当のセキュリティエリアに入場する権限があれば、いつでも利用が可能であるため、入退場管理者は、常に全てのセキュリティエリアの監視を行う必要があり、負担は小さくないものとなっている。
【０００９】
更に、特定区域への入退場管理者側には、入退場におけるセキュリティの向上や処理に必要な物の軽減等による、一般利用者に対する安心感・効率性の向上も実現したいという思いがある。
【００１０】
また、従来の個人認証システムでは、可搬媒体の紛失時には、可搬媒体内に身分事項情報及び生体情報が両方とも登載されていることもあり、可搬媒体を紛失した場合には、個人情報漏えいのリスクもある。
【００１１】
そこで、本発明では、データベース内に生体情報を保持させずに、個人情報として生体情報のみを格納する可搬媒体を使用することで、生体情報を利用することによる利便性と高セキュリティを確保することを課題とする。
【００１２】
更に、本発明では、可搬媒体内に身分事項情報を格納しないことで、可搬媒体から身分事項情報と生体情報の関連付けを第三者が行えないようにし、可搬媒体紛失時においても、個人の特定を不可能とすることを課題とする。
【課題を解決するための手段】
【００１３】
生体情報を暗号化の上、利用者側が所持する可搬媒体に格納し、可搬媒体内の個人情報を利用した個人認証システムを構築することで、情報漏洩のリスク分散を実現し、また、利用者側にて個人情報の管理が可能となるため、利用者の知らないところで情報漏洩が行われる等の危険性を低減する。
【００１４】
前記可搬媒体内の個人情報に基づいた個人認証では、個人認証時に、可搬媒体内の生体情報と、生体情報読取装置にて取得した利用者の生体情報を照合することで、可搬媒体所持者が、成りすましによる不正入場を試みていないかの検知を行うことを可能とし、高セキュリティを実現可能とする。
【００１５】
入退場時の生体認証によるセキュリティの確保に加え、利用者単位もしくは組織単位での勤務時間管理を併せて行うことが可能とすることで、管理者に対して、入退場管理だけではなく、更なる付加価値を加えることができる。
【００１６】
深夜帯等の明らかに利用を行っていない時間帯においては、入退場の制限を行うことで、管理者が常に全てのセキュリティエリアを監視する負担から開放され、また、入場権限を有する利用者であっても、他の利用者がいない時間帯に侵入し、機密情報を持ち出す等の組織内不正の試みを防止することも可能となる。
【００１７】
前記の入退場管理を、利用者が容易に持ち運び可能な可搬媒体のみで実現し、また、第一区域入場時等の各セキュリティエリアを経由する際に可搬媒体に格納される、ステータスフラグ等の入場や退場した旨判別可能な情報を利用することで、各セキュリティエリアへの入退場をより厳格なものとする。
【００１８】
可搬媒体内の個人情報は、暗号化された生体情報のみを格納し、仮に利用者が可搬媒体を紛失した場合でも、身分事項情報が含まれていないことから、個人を特定することは不可能なものとする。
【発明の効果】
【００１９】
本発明によれば、個人管理番号、生体情報及びステータスフラグが格納された可搬媒体のみを利用者が所持することで、大規模な身分事項及び生体情報等の個人情報情報漏洩のリスク軽減、ステータスフラグを利用した厳格な入退場手続き、可搬媒体内の生体情報と生体認証装置から読み取った生体情報を照合することによる成りすましの防止、データベース内に保持される利用者の入退場時間及びグループコードを利用した個人単位もしくは組織単位での勤務時間管理、セキュリティエリアの利用可能時間制限を行うことによる管理者の負担軽減を実現することが可能である。
【発明を実施するための最良の形態】
【００２０】
以下に、本発明の実施の形態を説明する。
【実施例１】
【００２１】
以下、本発明の個人認証システム実施形態を、図面に基づいて説明する。ただし、この実施形態に記載される構成要素、種類、組み合わせは、説明例であり、本発明はこれらの記載に限定されるものではない。
【００２２】
図１は、本実施形態における個人認証システムの構成を示す図である。個人認証システムは、認証システムサーバ１０、申請登録用装置１６０、生体認証装置２００、生体認証装置２２０及び生体認証装置３００によって構成される。認証システムサーバ１０では、申請登録用装置１６０、生体認証装置２００、生体認証装置２２０、生体認証装置３００より、個人管理番号や生体情報を取得し、入退場の管理を行うことが可能である。
【００２３】
認証システムサーバ１０は、メモリ等の記憶装置２０とデータベース１００によって構成され、通信制御部４０により、申請登録用装置１６０、生体認証装置２００及び生体認証装置２２０との通信を相互に可能としている。
【００２４】
記憶装置２０では、データベース１００に生体情報を保管することなく個人認証システムを実現するため、一時的に生体情報を含む個人情報を、個人情報等保管領域３０に保管し、入退場管理を実現可能としている。なお、個人情報等保管領域３０に保管された情報は、各入退場処理が終了時に、即時削除される。
【００２５】
認証制御部５０では、生体認証６０、不正利用者チェック７０、利用者登録８０等を含めた、入退場管理に必要とされる機能を実現可能とする。なお、データベース制御部９０を用いて、データベース１００から、上記機能を実現する上で必要となる情報を取得可能である。
【００２６】
データベース１００は、個人管理番号情報データベース１１０、不正利用者情報データベース１２０、グループコード情報データベース１３０、入退履歴管理情報データベース１４０及びセキュリティゾーン情報データベース１５０によって構成される。
【００２７】
申請登録用装置１６０は、申請登録端末１７０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、申請登録端末１７０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、身分事項情報及び生体情報等の個人情報は、申請登録端末１７０を介して認証システムサーバ１０へ送信される。
【００２８】
生体認証装置２００は、入場審査端末２１０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、入場審査端末２１０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、入場審査端末２１０を介して認証システムサーバ１０へ送信される。
【００２９】
生体認証装置２２０は、退場審査端末２９０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、退場審査端末２９０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、退場審査端末２３０を介して認証システムサーバ１０へ送信される。
【００３０】
生体認証装置３００は、内部認証端末２３０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、内部認証端末２３０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、内部認証端末２３０を介して認証システムサーバ１０へ送信される。
【００３１】
図２は、本実施形態における個人認証システムにおいて使用される機器が、どのように配置されるのか、一例を示したものであり、申請ゾーン２５０とセキュリティゾーン２６０により構成される。なお、図２に明示されていないが、認証システムサーバ１０は、システム管理者以外が容易に使用することを困難とする、セキュリティが十分に確保された場所に設置されているものとする。
【００３２】
申請ゾーン２５０は、本発明における、個人認証システムの申請窓口であり、申請者２７０より個人認証システムの登録、登録内容変更又は登録解除の依頼を受けたシステム管理者２６０が、登録、登録内容変更又は登録解除業務を実施する。登録申請時には、システム管理者２６０が、申請者２７０の身分事項情報及び生体情報を、申請登録用装置１６０を用いて、可搬媒体２４０へと登録を行い、申請者２７０へ交付する。登録解除時には、システム管理者２６０が、可搬媒体２４０に登録されている申請者２７０の身分事項情報及び生体情報を削除し、可搬媒体２４０の回収を行う。また、管理者は、利用者からFAXやE-Mail等の電子的な通信手段にてデータベース内に登録された身分事項情報の変更を依頼された場合には、利用者から公開管理番号を取得の上、登録内容変更作業を行う。利用者が直接申請ゾーン２５０に訪れた場合には、公開管理番号もしくは可搬媒体読取装置１８０にて利用者の可搬媒体２４０から読み取った管理番号を使用し、登録内容変更作業を行うことが可能である。
【００３３】
セキュリティゾーン２６０は、登録申請を済ませた個人認証システム利用者が利用する、入退場の制限された区域である。セキュリティゾーン２６０内には、第一区域２７０と第二区域２８０の二つの区域がある。第一区域２７０は、個人認証システムに登録された利用者であれば、誰でも制限無く入場が可能な区域である。第一区域２７０への入場は、生体認証装置２００にて、可搬媒体２４０内の個人管理番号とデータベース内の個人管理番号の照合及び可搬媒体２４０内の生体情報と生体認証装置２００にて取得した利用者の生体情報の照合を行い、問題が無ければ入場可能となる。また、その際、第一区域２７０へ入場した旨、可搬媒体２４０及びデータベースへステータスフラグが設定される。第二区域２８０は、複数のセキュリティレベル（システム管理者、関係者、一般利用者等）毎に分かれた区域で構成されており、システム上に登録されたセキュリティレベルに応じた区域のみに入場が制限される。第二区域２８０への入場は、生体認証装置３００にて、可搬媒体２４０内のステータスフラグとデータベース内のステータスフラグが一致しているかの照合及び可搬媒体２４０内の生体情報と生体認証装置３００にて取得した利用者の生体情報の照合を行い、問題が無ければ入場可能となる。また、第一区域からの退場時には、生体認証装置２２０にて、可搬媒体２４０内のステータスフラグとデータベース内のステータスフラグが一致しているかの照合及び可搬媒体２４０内の生体情報と生体認証装置２２０にて取得した利用者の生体情報の照合を行い、問題がなければ、可搬媒体２４０及びデータベース１００の記憶情報からステータスフラグを削除の上、退場が可能となる。
【００３４】
ここで、図１に示す各データベース（１１０、１２０、１３０、１４０、１５０）に記憶されている情報と、可搬媒体２４０に記憶されている情報を、図１３〜図１８を参照し説明する。
【００３５】
図１３は、個人管理番号情報データベース１１０に記憶されている情報を示すものであり、本個人認証システム利用者に関する情報が格納されている。個人管理番号１１１は、本個人認証システムへの登録申請時に利用者に対して付与されるユニークな番号であり、本個人認証システムにおける利用者情報の検索処理を実施する際にキーとなる情報である。公開管理番号１１２は、一般的に公開可能な管理番号であり、管理者は本情報を元にデータベース内の登録情報の変更を行うことが可能である。身分事項情報１１３は、利用者の性別、名前、住所等の個人情報である。グループコード１１４は、利用者が所属する組織等を示したコードである。ステータスフラグ１１５は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用した際に設定される情報であり、「入場」、「退場」及び「内部認証」等、利用者が最後に行った操作が判別可能である。無効フラグ１１６は、利用者が過去に不正な行為を働いた場合等に、本個人認証システムの利用を無効にするためのフラグである。公開鍵１１７及び秘密鍵１１８は、可搬媒体２４０内に生体情報を格納する場合及び可搬媒体２４０から読み取った暗号化された生体情報を復号化する際に使用する情報である。登録年月日時分秒１１９は、利用者が登録可能となった、年月日時分秒を示す情報である。登録訂正年月日時分秒１１Ａは、登録されている利用者の登録情報を訂正した年月日時分秒を示す情報である。
【００３６】
図１４は、不正利用者情報データベース１２０に記憶されている情報を示すものであり、本個人認証システムにおける、不正利用者に関する情報が格納されている。不正利用者管理番号１２１には、不正利用者の個人管理番号１１１が格納されており、利用者の本個人認証システム登録申請時に、身分事項情報１２２記載の身分事項情報と登録申請時に提出された身分事項情報の照合を行い、不正利用者でないかの確認を行う。グループコード１２３は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号である。
【００３７】
図１５は、グループコード情報データベース１３０に記憶されている情報を示すものであり、本個人認証システムに登録されている組織等に関する情報が格納されている。グループコード１３１は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号である。組織情報１３２は、組織等の組織名、住所、電話番号等の組織情報である。セキュリティレベル１３３は、グループ毎に付与され、第二区域２８０内の各セキュリティレベルゾーンへの入退場可否を判別するために使用される権限情報である。例えば、セキュリティレベル１３３がＡである場合には、第二区域２８０内のセキュリティレベルゾーン３、５に入退場可能である等の設定が可能である。
【００３８】
図１６は、入退履歴管理情報１４０に記憶されている情報を示すものであり、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用したタイミングの時間等の履歴情報が格納されている。個人管理番号１４１には、生体認証装置２００、生体認証装置２２０及び生体認証装置３００を利用者が使用した際に、個人管理番号１１１が格納される。通番１４２は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用する度に１から順に番号が増加され，各操作毎の情報を保持するために使用される。ステータスフラグ１４３には、生体認証装置２００、生体認証装置２２０及び生体認証装置３００において、どのような操作を行ったかという情報を格納されている。年月日時分秒１４４は、各操作を行った際の年月日時分秒である。セキュリティゾーン番号１４５は、第二区域２８０内において、セキュリティレベル１３３に応じて設けられる複数のゾーンに対して付与されるユニークな番号であり、ここでは、利用者がどのゾーンに入退場を行ったかの情報を示している。グループコード１４６は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号であり、本コードを使用することで、グループ単位での入退場管理を行うことが可能である。
【００３９】
図１７は、セキュリティゾーン情報データベース１３０に記憶されている情報を示すものであり、本個人認証システムの第二区域２８０内のセキュリティゾーンに関する情報が格納されている。セキュリティゾーン番号１５１は、各セキュリティゾーンに付与されるユニークな番号である。セキュリティゾーン名１５２は、セキュリティゾーン番号１５１に対応する名称である。セキュリティレベル１５３は、該当のセキュリティゾーン１５１へのセキュリティのレベルを表すレベルである。利用可能曜日１５４は、セキュリティゾーン１５１が利用可能な曜日である。利用可能開始時刻（時分秒）１５５及び利用可能終了時刻（時分秒）１５６には、該当のセキュリティゾーン１５１が利用可能となる開始時刻及び利用不可となる終了時刻が格納されている。
【００４０】
図１８は、可搬媒体２４０内の情報を示すものである。個人管理番号２４１は、生体認証装置２００、生体認証装置２２０及び生体認証装置３００において読み取られる情報であり、本情報を用いて、データベース内の利用者情報の検索を行う。ステータスフラグ２４２は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用した際に設定される情報であり、「入場」、「退場」及び「内部認証」等、利用者が最後に行った操作が格納される。生体情報（暗号化）２４３には、利用者の生体情報が暗号化された上で格納されており、生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用時に、利用者の生体情報と可搬媒体２４０内の生体情報（暗号化）２４３が一致するか照合を行う際に使用する。
【００４１】
次に、第一実施形態による個人認証システムの動作について、図３〜図８に示すシーケンスを参照し説明する。
【００４２】
図３は、個人認証システム管理者が申請登録用装置１６０を用いて、新規利用者の身分事項情報及び発行された個人管理番号をデータベースに格納させ、また、可搬媒体２４０には、利用者より取得する生体情報を登載するシーケンスを示す図である。同図において、申請者２７０は生体情報読取装置１９０より生体情報を読み取った後（ステップＳ１９０１）、申請登録端末１６０から身分事項情報を入力（ステップＳ１７０１）し、取得した生体情報及び入力された身分事項情報は申請登録端末１６０から認証システムサーバ１０へと送信される（ステップＳ１７０２）。認証システムサーバ１０は受信した身分事項情報及び生体情報をメモリに格納（ステップＳ１０１）した後、生体情報が正常に登録されたことを確認するため、生体情報再取得処理を開始する（ステップＳ１０２）。申請登録端末１６０は、生体情報取得要求を生体情報読取装置１９０へと伝え（ステップＳ１７０３）、生体情報読取装置１９０は利用者から再度生体情報を取得し（ステップＳ１９０２）、その生体情報を認証システムサーバ１０へと送信する（ステップＳ１７０４）。認証システムサーバ１０では、メモリに格納した生体情報と再度取得した生体情報を照合（ステップＳ１０３）し、問題が無ければ、身分事項情報を用いて、データベース内の不正利用者に該当しないかのチェックを行う（ステップＳ１０４）。チェックにおいて、不正利用者に該当しないことが確認できた場合は、個人管理番号情報データベース１１０に身分事項情報を登録（ステップＳ１０５）し、公開鍵１１７を用いて暗号化した生体情報（ステップＳ１０６）と新規に発行された個人管理番号を申請登録端末１６０へ送信（ステップＳ１０７）し、申請登録端末１６０から可搬媒体２４０への暗号化された生体情報と個人管理番号の書き込み要求が可搬媒体読取装置１８０に送信される（ステップＳ１７０５）。なお、ステップＳ１０６において、暗号化する生体情報はステップＳ１７０２で受信した生体情報又はステップ１７０４で受信した生体情報の何れを用いても良い。
可搬媒体読取装置は受信した暗号化された生体情報と個人管理番号を可搬媒体２４０に書き込み、書き込みが完了した旨を申請登録端末１６０へ通知する（ステップＳ１８０１。登録申請端末１６０は、可搬媒体２４０への書き込み完了通知を認証システムサーバ１０に送信（ステップＳ１７０６）し、その通知を受けた認証システムサーバ１０はメモリに格納されている身分事項情報及び生体情報を削除（ステップＳ１０８）し、登録処理を終了する。なお、ステップＳ１０３又はステップＳ１０４において、問題が検知された場合には、メモリに格納されている身分事項情報及び生体情報を削除し、登録処理を終了する。
【００４３】
図４は、個人認証システムの利用者が生体認証装置２００を用いて、セキュリティゾーン２６０内の第一区域２７０へ入場を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８１１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９１１）、入場審査端末２１０にその情報を送信する。入場審査端末２１０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２１１１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１１１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１１２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１１３）、個人管理番号が存在する、無効フラグがたっていない、ステータスフラグが適切及び利用可能時間帯であるかをチェックし、該当利用者の第一区域２７０への入場可否を判断する（ステップＳ１１４）。具体的には、認証システムサーバ１０は、認証ステップ２１１１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第一区域２７０への入場可否を判断する。個人管理番号１１１が個人管理番号情報１１０にない、あるいはステータスフラグ１１５が不適切、あるいは無効フラグ１１６が立っている場合には、認証システムサーバ１０は、この利用者は第一区域２７０へは入場不可と判断する。入場可と判断された場合は、認証システムサーバ１０は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が入場しようとしていないかを判別する（ステップＳ１１５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「入場」と判断可能な状態に更新（ステップＳ１１６）し、入退履歴管理情報データベース１４０に入場を示す情報とともに入場した年月日時分秒を登録する（ステップＳ１１７）。次に、認証システムサーバ１０より入場審査端末２１０に対して、更新したステータスフラグを送信（ステップＳ１１８）し、入場審査端末２１０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１１２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８１２）を行ったのち、入場審査端末２１０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、入場審査端末２１０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１１３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１１９）し、入場処理を終了する。なお、ステップＳ１１４又はステップＳ１１５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、入場処理を終了する。
【００４４】
図５は、個人認証システムの利用者が生体認証装置３００を用いて、セキュリティゾーン２６０内の第二区域２８０へ内部認証を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８２１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９２１）、内部認証端末２３０にその情報を送信する。内部認証端末２３０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２３２１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１２１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１２２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１２３）、無効フラグがたっていない、ステータスフラグが適切、利用者のセキュリティレベルにて第二区域への入場が可能及び利用可能時間帯であるかをチェックし、該当利用者の第二区域２８０への入場可否を判断する（ステップＳ１２４）。
具体的には、具体的には、認証システムサーバ１０は、認証ステップ２３２１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第二区域２８０への入場可否を判断する。入場可と判断された場合は、認証システムサーバ１０は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が入場しようとしていないかを判別する（ステップＳ１２５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「内部認証」と判断可能な状態に更新（ステップＳ１２６）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１２７）。次に、認証システムサーバ１０より内部認証端末２３０に対して、更新したステータスフラグを送信（ステップＳ１２８）し、内部認証端末２３０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２３２２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８２２）を行ったのち、内部認証端末２３０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、内部認証端末２３０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２３２３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１２９）し、内部認証処理を終了する。なお、ステップＳ１２４又はステップＳ１２５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、内部認証処理を終了する。
【００４５】
図６は、個人認証システムの利用者が生体認証装置２２０を用いて、セキュリティゾーン２６０内の第一区域２７０から退場を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８３１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９３１）、退場審査端末２９０にその情報を送信する。退場審査端末２９０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２１３１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１３１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１３２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１３３）、個人管理番号か存在する、無効フラグがたっていない及びステータスフラグが適切であるかをチェックし、該当利用者の第一区域２７０からの退場可否を判断する（ステップＳ１３４）。具体的には、認証システムサーバ１０は、認証ステップ２１３１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第一区域２７０からの退場可否を判断する。退場可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が退場しようとしていないかを判別する（ステップＳ１３５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「退場」と判断可能な状態に更新（ステップＳ１３６）し、入退履歴管理情報データベースに退場した年月日時分秒を登録する（ステップＳ１３７）。次に、認証システムサーバ１０より退場審査端末２９０に対して、更新したステータスフラグを送信（ステップＳ１３８）し、退場審査端末２９０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１３２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８３２）を行ったのち、退場審査端末２９０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、退場審査端末２９０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１３３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１３９）し、退場処理を終了する。なお、ステップＳ１３４又はステップＳ１３５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、退場処理を終了する。
【００４６】
図７は、個人認証システム管理者が申請登録用装置１６０を用いて、登録解除の申請を行っている申請者の登録解除を行う際のシーケンスを示す図である。管理者は、登録解除申請を行っている利用者の可搬媒体２４０内の暗号化された生体情報及び個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８４１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９４１）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、受信した暗号化された生体情報、個人管理番号及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ１７４１）。認証システムサーバ１０では、まず、暗号化されている生体情報の復号（ステップＳ１４１）を行い、復号した生体情報、個人管理番号及び取得した生体情報をメモリに格納する（ステップＳ１４２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１４３）、個人管理番号か存在するかをチェックし、該当利用者の登録解除可否を判断する（ステップＳ１４４）。登録解除可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が登録解除しようとしていないかを判別する（ステップＳ１４５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０の該当個人管理番号レコードを削除する（ステップＳ１４６）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、該当個人管理番号レコードを削除した旨送信（ステップＳ１４７）し、申請登録用装置１６０から可搬媒体読取装置１８０に対して、可搬媒体２４０へ可搬媒体２４０上の全情報削除の要求を送信する（ステップＳ１７４２）。全情報削除要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０から全情報の削除（ステップＳ１８４２）を行ったのち、申請登録用装置１６０へ可搬媒体２４０の全情報削除が完了した旨通知を行い、申請登録用装置１６０から認証システムサーバ１０へ同様に、削除完了通知を送信する（ステップＳ１７４３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報及び個人管理番号を削除（ステップＳ１４８）し、登録解除処理を終了する。なお、ステップＳ１４４又はステップＳ１４５において、問題が検知された場合には、メモリに格納されている生体情報及び個人管理番号を削除し、登録解除処理を終了する。
【００４７】
図８は、個人認証システム管理者が申請登録用装置１６０を用いて、登録内容修正の申請を行っている申請者の登録内容修正を行う際のシーケンスを示す図である。管理者は、登録内容修正申請を行っている利用者の可搬媒体２４０内の暗号化された生体情報及び個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８５１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９５１）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、受信した暗号化された生体情報、個人管理番号及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ１７５１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１５１）を行い、復号した生体情報、個人管理番号及び取得した生体情報をメモリに格納する（ステップＳ１５２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１５３）、個人管理番号か存在するか、無効フラグがたっていないをチェックし、該当利用者の登録内容修正可否を判断する（ステップＳ１５４）。登録内容修正可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が登録内容修正しようとしていないかを判別する（ステップＳ１５５）。照合の結果、同一人物であると判断されると、認証システムサーバ１０から身分事項情報を申請登録用装置１６０に送信し（ステップＳ１５６）、管理者は申請登録用装置１６０から身分事項情報を修正（ステップＳ１７５２）の上、認証システムサーバ１０に修正情報を送信する（ステップＳ１７５３）。次に、認証システムサーバ１０では、受信した身分事項情報（修正情報）をメモリに格納（ステップＳ１５７）し、管理者に対して確認を行ってもらうべく、身分事項情報（修正情報）を申請登録用装置１６０に送信する（ステップＳ１５８）。管理者は、身分事項情報（修正情報）を申請登録用装置１６０にて確認（ステップＳ１７５４）する。身分事項情報（修正情報）に問題が無ければ、認証システムサーバ１０にて、個人管理番号情報データベース１１０の身分事項情報を修正する（ステップＳ１５９）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、身分事項情報を修正した旨送信（ステップＳ１５Ａ）し、メモリに格納された身分事項情報、生体情報及び個人管理番号を削除し、登録内容修正処理を終了する。なお、ステップＳ１５４又はステップＳ１５５において、問題が検知された場合には、メモリに格納されている身分事項情報、生体情報及び個人管理番号を削除し、登録内容修正処理を終了する。
【実施例２】
【００４８】
図１０は、個人認証システムの利用者が生体認証装置２００を用いて、セキュリティゾーン２６０内の第一区域２７０へ入場を行う際のシーケンスを示す図である。但し、図１０のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置２００内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の暗号化された個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８７１）、入場審査端末２１０にその情報を送信する。入場審査端末２１０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２１７１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１７２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１７３）、個人管理番号が存在する、無効フラグがたっていない、ステータスフラグが適切及び利用可能時間帯であるかをチェックし、該当利用者の第一区域２７０への入場可否を判断する（ステップＳ１７３）。入場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「入場」と判断可能な状態に更新（ステップＳ１７４）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１７５）。次に、認証システムサーバ１０より入場審査端末２１０に対して、更新したステータスフラグを送信（ステップＳ１７６）し、入場審査端末２１０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１７２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８７２）を行ったのち、入場審査端末２１０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、入場審査端末２１０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１７３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１７７）し、入場処理を終了する。なお、ステップＳ１７３において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、入場処理を終了する。
【００４９】
図１１は、個人認証システムの利用者が生体認証装置３００を用いて、セキュリティゾーン２６０内の第二区域２８０へ内部認証を行う際のシーケンスを示す図である。但し、図１１のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置３００内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の暗号化された個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８８１）、内部認証端末２３０にその情報を送信する。内部認証端末２３０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２３８１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１８２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１８３）、無効フラグがたっていない、ステータスフラグが適切、利用者のセキュリティレベルにて第二区域への入場が可能及び利用可能時間帯であるかをチェックし、該当利用者の第二区域２８０への入場可否を判断する（ステップＳ１８４）。入場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「内部認証」と判断可能な状態に更新（ステップＳ１８５）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１８６）。次に、認証システムサーバ１０より内部認証端末２３０に対して、更新したステータスフラグを送信（ステップＳ１８７）し、内部認証端末２３０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２３８２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８８２）を行ったのち、内部認証端末２３０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、内部認証端末２３０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２３８３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１８８）し、内部認証処理を終了する。なお、ステップＳ１８４において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、内部認証処理を終了する。
【００５０】
図１２は、個人認証システムの利用者が生体認証装置２２０を用いて、セキュリティゾーン２６０内の第一区域２７０から退場を行う際のシーケンスを示す図である。但し、図１１のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置２２０内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８９１）、退場審査端末２９０にその情報を送信する。退場審査端末２９０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２１９１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１９１）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１９２）、個人管理番号か存在する、無効フラグがたっていない及びステータスフラグが適切であるかをチェックし、該当利用者の第一区域２７０からの退場可否を判断する（ステップＳ１９３）。退場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「退場」と判断可能な状態に更新（ステップＳ１９４）し、入退履歴管理情報データベースに退場した年月日時分秒を登録する（ステップＳ１９５）。次に、認証システムサーバ１０より退場審査端末２９０に対して、更新したステータスフラグを送信（ステップＳ１９６）し、退場審査端末２９０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１９２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８９２）を行ったのち、退場審査端末２９０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、退場審査端末２９０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１９３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１９７）し、退場処理を終了する。なお、ステップＳ１９３において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、退場処理を終了する。
【実施例３】
【００５１】
図９は、個人認証システム管理者が申請登録用装置１６０を用いて、組織情報に関する登録内容修正の申請を行っている複数申請者の登録内容修正を行う際のシーケンスを示す図である。本実施けたいでは管理者は、登録内容修正申請を行っている複数利用者の可搬媒体２４０内の個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８６１、ステップＳ１８６２）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、個人管理番号を認証システムサーバ１０に送信する（ステップＳ１７６１）。認証システムサーバ１０では、まず、個人管理番号をメモリに格納する（ステップＳ１６１）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１６２）、個人管理番号か存在するか、無効フラグがたっていないをチェックし、該当複数利用者の登録内容修正可否を判断する（ステップＳ１６３）。登録内容修正可と判断された場合は、認証システムサーバ１０から複数利用者の組織情報を申請登録用装置１６０に送信し（ステップＳ１６４）、管理者は申請登録用装置１６０から組織情報を修正（ステップＳ１７６２）の上、認証システムサーバ１０に修正情報を送信する（ステップＳ１７６３）。次に、認証システムサーバ１０では、受信した組織情報（修正情報）をメモリに格納（ステップＳ１６５）し、管理者に対して確認を行ってもらうべく、身分事項情報（修正情報）を申請登録用装置１６０に送信する（ステップＳ１６６）。管理者は、身分事項情報（修正情報）を申請登録用装置１６０にて確認（ステップＳ１７６４）する。身分事項情報（修正情報）に問題が無ければ、認証システムサーバ１０にて、グループコード情報データベース１３０の組織情報を修正する（ステップＳ１６７）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、組織情報を修正した旨送信（ステップＳ１６８）し、メモリに格納された個人管理番号を削除し、組織情報に関する登録内容修正処理を終了する。なお、ステップＳ１６３において、問題が検知された場合には、メモリに格納されている個人管理番号を削除し、組織情報に関する登録内容修正処理を終了する。
【００５２】
認証システムサーバ１０は、組織情報と入退場した時間情報に基づいて前記利用者が属する組織単位での勤務時間を集計することができる。
【図面の簡単な説明】
【００５３】
【図１】第一実施形態による個人認証システムの構成を示す図である。
【図２】第一実施形態による個人認証システム装置の配置図である。
【図３】第一実施形態による個人認証システムの登録処理を示すシーケンスである。
【図４】第一実施形態による個人認証システムの入場処理を示すシーケンスである。
【図５】第一実施形態による個人認証システムの内部認証処理を示すシーケンスである。
【図６】第一実施形態による個人認証システムの退場処理を示すシーケンスである。
【図７】第一実施形態による個人認証システムの登録解除処理を示すシーケンスである。
【図８】第一実施形態による個人認証システムの登録内容修正処理を示すシーケンスである。
【図９】第三実施形態による個人認証システムの登録内容修正処理（一括処理）を示すシーケンスである。
【図１０】第二実施形態による個人認証システムの入場処理（生体情報無し）を示すシーケンスである。
【図１１】第二実施形態による個人認証システムの内部認証処理（生体情報無し）を示すシーケンスである。
【図１２】第二実施形態による個人認証システムの退場処理（生体情報無し）を示すシーケンスである。
【図１３】個人管理番号情報データベース１１０に記憶されている情報の一例を示す図である。
【図１４】不正利用者情報データベース１２０に記憶されている情報の一例を示す図である。
【図１５】グループコード情報データベース１３０に記憶されている情報の一例を示す図である。
【図１６】入退履歴管理情報データベース１４０に記憶されている情報の一例を示す図である。
【図１７】セキュリティゾーン情報データベース１５０に記憶されている情報の一例を示す図である。
【図１８】可搬媒体２４０に登録されている情報の一例を示す図である。
【符号の説明】
【００５４】
１０・・・認証システムサーバ、２０・・・記憶装置、４０・・・通信制御部、５０・・・認証制御部、９０・・・データベース制御部、１００・・・データベース、１１０・・・個人管理番号情報データベース、１２０・・・不正利用者情報データベース、１３０・・・グループコード情報データベース、１４０・・・入退履歴管理情報データベース、１６０・・・申請登録用装置、１７０・・・申請登録端末、１８０・・・可搬媒体読取装置、１９０・・・生体情報読取装置、２００・・・生体認証装置、２１０・・・入場審査端末、２２０・・・生体認証装置、２３０・・・内部認証端末、２４０・・・可搬媒体、２９０・・・退場認証端末、３００・・・生体認証装置。
【技術分野】
【０００１】
本発明は、高セキュリティを求められる特定の区域への入退場において、生体情報を利用し、管理を行う技術に関する。
【背景技術】
【０００２】
国際空港等の公共性の高い、特定の建物、会場、複数部屋等の区域への入退場に行う個人認証システムでは、身分事項情報、生体情報をデータベースへ格納し、入退場時の個人認証を行う技術がある。
【０００３】
しかしながら、データベース内へ生体情報を格納した場合、悪意を持つ第三者等への生体情報漏洩時には、生体情報は生涯変更不可能な情報であり、身分事項情報との関連付けから個人の特定も容易であることから、生体情報管理者は常に甚大なリスクを背負う必要がある。
【０００４】
【特許文献１】特開２００１−７６２７０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来の個人認証システムでは、当該利用者が入場している間等の一時的な期間でも、データベース内で身分事項情報及び生体情報を管理しているために、個人情報の漏洩や悪用に対する一般利用者の不安が大きく、生体情報の登録においては、嫌悪感を示す利用者がいる。
【０００６】
一方、特定区域への入退場管理者側としては、成りすましによる不正入場等の脅威を回避するために、情報漏洩等のリスクはあるものの、生体情報を有効に活用することは必須事項であると考えている。
【０００７】
更に、従来の個人認証システムでは、入退場管理者は、入退場時の生体認証によるセキュリティの確保を行うことはできたが、出勤、退勤等の勤務時間管理については実現しておらず、個人認証システムは更なる利便性向上の余地を残していると言える。
【０００８】
また、従来の個人認証システムでは、深夜帯等の明らかに利用を行っていない時間帯においても、該当のセキュリティエリアに入場する権限があれば、いつでも利用が可能であるため、入退場管理者は、常に全てのセキュリティエリアの監視を行う必要があり、負担は小さくないものとなっている。
【０００９】
更に、特定区域への入退場管理者側には、入退場におけるセキュリティの向上や処理に必要な物の軽減等による、一般利用者に対する安心感・効率性の向上も実現したいという思いがある。
【００１０】
また、従来の個人認証システムでは、可搬媒体の紛失時には、可搬媒体内に身分事項情報及び生体情報が両方とも登載されていることもあり、可搬媒体を紛失した場合には、個人情報漏えいのリスクもある。
【００１１】
そこで、本発明では、データベース内に生体情報を保持させずに、個人情報として生体情報のみを格納する可搬媒体を使用することで、生体情報を利用することによる利便性と高セキュリティを確保することを課題とする。
【００１２】
更に、本発明では、可搬媒体内に身分事項情報を格納しないことで、可搬媒体から身分事項情報と生体情報の関連付けを第三者が行えないようにし、可搬媒体紛失時においても、個人の特定を不可能とすることを課題とする。
【課題を解決するための手段】
【００１３】
生体情報を暗号化の上、利用者側が所持する可搬媒体に格納し、可搬媒体内の個人情報を利用した個人認証システムを構築することで、情報漏洩のリスク分散を実現し、また、利用者側にて個人情報の管理が可能となるため、利用者の知らないところで情報漏洩が行われる等の危険性を低減する。
【００１４】
前記可搬媒体内の個人情報に基づいた個人認証では、個人認証時に、可搬媒体内の生体情報と、生体情報読取装置にて取得した利用者の生体情報を照合することで、可搬媒体所持者が、成りすましによる不正入場を試みていないかの検知を行うことを可能とし、高セキュリティを実現可能とする。
【００１５】
入退場時の生体認証によるセキュリティの確保に加え、利用者単位もしくは組織単位での勤務時間管理を併せて行うことが可能とすることで、管理者に対して、入退場管理だけではなく、更なる付加価値を加えることができる。
【００１６】
深夜帯等の明らかに利用を行っていない時間帯においては、入退場の制限を行うことで、管理者が常に全てのセキュリティエリアを監視する負担から開放され、また、入場権限を有する利用者であっても、他の利用者がいない時間帯に侵入し、機密情報を持ち出す等の組織内不正の試みを防止することも可能となる。
【００１７】
前記の入退場管理を、利用者が容易に持ち運び可能な可搬媒体のみで実現し、また、第一区域入場時等の各セキュリティエリアを経由する際に可搬媒体に格納される、ステータスフラグ等の入場や退場した旨判別可能な情報を利用することで、各セキュリティエリアへの入退場をより厳格なものとする。
【００１８】
可搬媒体内の個人情報は、暗号化された生体情報のみを格納し、仮に利用者が可搬媒体を紛失した場合でも、身分事項情報が含まれていないことから、個人を特定することは不可能なものとする。
【発明の効果】
【００１９】
本発明によれば、個人管理番号、生体情報及びステータスフラグが格納された可搬媒体のみを利用者が所持することで、大規模な身分事項及び生体情報等の個人情報情報漏洩のリスク軽減、ステータスフラグを利用した厳格な入退場手続き、可搬媒体内の生体情報と生体認証装置から読み取った生体情報を照合することによる成りすましの防止、データベース内に保持される利用者の入退場時間及びグループコードを利用した個人単位もしくは組織単位での勤務時間管理、セキュリティエリアの利用可能時間制限を行うことによる管理者の負担軽減を実現することが可能である。
【発明を実施するための最良の形態】
【００２０】
以下に、本発明の実施の形態を説明する。
【実施例１】
【００２１】
以下、本発明の個人認証システム実施形態を、図面に基づいて説明する。ただし、この実施形態に記載される構成要素、種類、組み合わせは、説明例であり、本発明はこれらの記載に限定されるものではない。
【００２２】
図１は、本実施形態における個人認証システムの構成を示す図である。個人認証システムは、認証システムサーバ１０、申請登録用装置１６０、生体認証装置２００、生体認証装置２２０及び生体認証装置３００によって構成される。認証システムサーバ１０では、申請登録用装置１６０、生体認証装置２００、生体認証装置２２０、生体認証装置３００より、個人管理番号や生体情報を取得し、入退場の管理を行うことが可能である。
【００２３】
認証システムサーバ１０は、メモリ等の記憶装置２０とデータベース１００によって構成され、通信制御部４０により、申請登録用装置１６０、生体認証装置２００及び生体認証装置２２０との通信を相互に可能としている。
【００２４】
記憶装置２０では、データベース１００に生体情報を保管することなく個人認証システムを実現するため、一時的に生体情報を含む個人情報を、個人情報等保管領域３０に保管し、入退場管理を実現可能としている。なお、個人情報等保管領域３０に保管された情報は、各入退場処理が終了時に、即時削除される。
【００２５】
認証制御部５０では、生体認証６０、不正利用者チェック７０、利用者登録８０等を含めた、入退場管理に必要とされる機能を実現可能とする。なお、データベース制御部９０を用いて、データベース１００から、上記機能を実現する上で必要となる情報を取得可能である。
【００２６】
データベース１００は、個人管理番号情報データベース１１０、不正利用者情報データベース１２０、グループコード情報データベース１３０、入退履歴管理情報データベース１４０及びセキュリティゾーン情報データベース１５０によって構成される。
【００２７】
申請登録用装置１６０は、申請登録端末１７０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、申請登録端末１７０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、身分事項情報及び生体情報等の個人情報は、申請登録端末１７０を介して認証システムサーバ１０へ送信される。
【００２８】
生体認証装置２００は、入場審査端末２１０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、入場審査端末２１０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、入場審査端末２１０を介して認証システムサーバ１０へ送信される。
【００２９】
生体認証装置２２０は、退場審査端末２９０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、退場審査端末２９０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、退場審査端末２３０を介して認証システムサーバ１０へ送信される。
【００３０】
生体認証装置３００は、内部認証端末２３０、可搬媒体読取装置１８０及び生体情報読取装置１９０によって構成される。なお、内部認証端末２３０では、可搬媒体読取装置１８０と生体情報読取装置１９０との通信・読取制御部が可能であり、可搬媒体読取装置１８０と生体情報読取装置１９０にて取得した、個人管理番号及び生体情報等の個人情報は、内部認証端末２３０を介して認証システムサーバ１０へ送信される。
【００３１】
図２は、本実施形態における個人認証システムにおいて使用される機器が、どのように配置されるのか、一例を示したものであり、申請ゾーン２５０とセキュリティゾーン２６０により構成される。なお、図２に明示されていないが、認証システムサーバ１０は、システム管理者以外が容易に使用することを困難とする、セキュリティが十分に確保された場所に設置されているものとする。
【００３２】
申請ゾーン２５０は、本発明における、個人認証システムの申請窓口であり、申請者２７０より個人認証システムの登録、登録内容変更又は登録解除の依頼を受けたシステム管理者２６０が、登録、登録内容変更又は登録解除業務を実施する。登録申請時には、システム管理者２６０が、申請者２７０の身分事項情報及び生体情報を、申請登録用装置１６０を用いて、可搬媒体２４０へと登録を行い、申請者２７０へ交付する。登録解除時には、システム管理者２６０が、可搬媒体２４０に登録されている申請者２７０の身分事項情報及び生体情報を削除し、可搬媒体２４０の回収を行う。また、管理者は、利用者からFAXやE-Mail等の電子的な通信手段にてデータベース内に登録された身分事項情報の変更を依頼された場合には、利用者から公開管理番号を取得の上、登録内容変更作業を行う。利用者が直接申請ゾーン２５０に訪れた場合には、公開管理番号もしくは可搬媒体読取装置１８０にて利用者の可搬媒体２４０から読み取った管理番号を使用し、登録内容変更作業を行うことが可能である。
【００３３】
セキュリティゾーン２６０は、登録申請を済ませた個人認証システム利用者が利用する、入退場の制限された区域である。セキュリティゾーン２６０内には、第一区域２７０と第二区域２８０の二つの区域がある。第一区域２７０は、個人認証システムに登録された利用者であれば、誰でも制限無く入場が可能な区域である。第一区域２７０への入場は、生体認証装置２００にて、可搬媒体２４０内の個人管理番号とデータベース内の個人管理番号の照合及び可搬媒体２４０内の生体情報と生体認証装置２００にて取得した利用者の生体情報の照合を行い、問題が無ければ入場可能となる。また、その際、第一区域２７０へ入場した旨、可搬媒体２４０及びデータベースへステータスフラグが設定される。第二区域２８０は、複数のセキュリティレベル（システム管理者、関係者、一般利用者等）毎に分かれた区域で構成されており、システム上に登録されたセキュリティレベルに応じた区域のみに入場が制限される。第二区域２８０への入場は、生体認証装置３００にて、可搬媒体２４０内のステータスフラグとデータベース内のステータスフラグが一致しているかの照合及び可搬媒体２４０内の生体情報と生体認証装置３００にて取得した利用者の生体情報の照合を行い、問題が無ければ入場可能となる。また、第一区域からの退場時には、生体認証装置２２０にて、可搬媒体２４０内のステータスフラグとデータベース内のステータスフラグが一致しているかの照合及び可搬媒体２４０内の生体情報と生体認証装置２２０にて取得した利用者の生体情報の照合を行い、問題がなければ、可搬媒体２４０及びデータベース１００の記憶情報からステータスフラグを削除の上、退場が可能となる。
【００３４】
ここで、図１に示す各データベース（１１０、１２０、１３０、１４０、１５０）に記憶されている情報と、可搬媒体２４０に記憶されている情報を、図１３〜図１８を参照し説明する。
【００３５】
図１３は、個人管理番号情報データベース１１０に記憶されている情報を示すものであり、本個人認証システム利用者に関する情報が格納されている。個人管理番号１１１は、本個人認証システムへの登録申請時に利用者に対して付与されるユニークな番号であり、本個人認証システムにおける利用者情報の検索処理を実施する際にキーとなる情報である。公開管理番号１１２は、一般的に公開可能な管理番号であり、管理者は本情報を元にデータベース内の登録情報の変更を行うことが可能である。身分事項情報１１３は、利用者の性別、名前、住所等の個人情報である。グループコード１１４は、利用者が所属する組織等を示したコードである。ステータスフラグ１１５は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用した際に設定される情報であり、「入場」、「退場」及び「内部認証」等、利用者が最後に行った操作が判別可能である。無効フラグ１１６は、利用者が過去に不正な行為を働いた場合等に、本個人認証システムの利用を無効にするためのフラグである。公開鍵１１７及び秘密鍵１１８は、可搬媒体２４０内に生体情報を格納する場合及び可搬媒体２４０から読み取った暗号化された生体情報を復号化する際に使用する情報である。登録年月日時分秒１１９は、利用者が登録可能となった、年月日時分秒を示す情報である。登録訂正年月日時分秒１１Ａは、登録されている利用者の登録情報を訂正した年月日時分秒を示す情報である。
【００３６】
図１４は、不正利用者情報データベース１２０に記憶されている情報を示すものであり、本個人認証システムにおける、不正利用者に関する情報が格納されている。不正利用者管理番号１２１には、不正利用者の個人管理番号１１１が格納されており、利用者の本個人認証システム登録申請時に、身分事項情報１２２記載の身分事項情報と登録申請時に提出された身分事項情報の照合を行い、不正利用者でないかの確認を行う。グループコード１２３は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号である。
【００３７】
図１５は、グループコード情報データベース１３０に記憶されている情報を示すものであり、本個人認証システムに登録されている組織等に関する情報が格納されている。グループコード１３１は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号である。組織情報１３２は、組織等の組織名、住所、電話番号等の組織情報である。セキュリティレベル１３３は、グループ毎に付与され、第二区域２８０内の各セキュリティレベルゾーンへの入退場可否を判別するために使用される権限情報である。例えば、セキュリティレベル１３３がＡである場合には、第二区域２８０内のセキュリティレベルゾーン３、５に入退場可能である等の設定が可能である。
【００３８】
図１６は、入退履歴管理情報１４０に記憶されている情報を示すものであり、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用したタイミングの時間等の履歴情報が格納されている。個人管理番号１４１には、生体認証装置２００、生体認証装置２２０及び生体認証装置３００を利用者が使用した際に、個人管理番号１１１が格納される。通番１４２は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用する度に１から順に番号が増加され，各操作毎の情報を保持するために使用される。ステータスフラグ１４３には、生体認証装置２００、生体認証装置２２０及び生体認証装置３００において、どのような操作を行ったかという情報を格納されている。年月日時分秒１４４は、各操作を行った際の年月日時分秒である。セキュリティゾーン番号１４５は、第二区域２８０内において、セキュリティレベル１３３に応じて設けられる複数のゾーンに対して付与されるユニークな番号であり、ここでは、利用者がどのゾーンに入退場を行ったかの情報を示している。グループコード１４６は、本個人認証システムへの登録申請時に組織等に対して付与されるユニークな番号であり、本コードを使用することで、グループ単位での入退場管理を行うことが可能である。
【００３９】
図１７は、セキュリティゾーン情報データベース１３０に記憶されている情報を示すものであり、本個人認証システムの第二区域２８０内のセキュリティゾーンに関する情報が格納されている。セキュリティゾーン番号１５１は、各セキュリティゾーンに付与されるユニークな番号である。セキュリティゾーン名１５２は、セキュリティゾーン番号１５１に対応する名称である。セキュリティレベル１５３は、該当のセキュリティゾーン１５１へのセキュリティのレベルを表すレベルである。利用可能曜日１５４は、セキュリティゾーン１５１が利用可能な曜日である。利用可能開始時刻（時分秒）１５５及び利用可能終了時刻（時分秒）１５６には、該当のセキュリティゾーン１５１が利用可能となる開始時刻及び利用不可となる終了時刻が格納されている。
【００４０】
図１８は、可搬媒体２４０内の情報を示すものである。個人管理番号２４１は、生体認証装置２００、生体認証装置２２０及び生体認証装置３００において読み取られる情報であり、本情報を用いて、データベース内の利用者情報の検索を行う。ステータスフラグ２４２は、利用者が生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用した際に設定される情報であり、「入場」、「退場」及び「内部認証」等、利用者が最後に行った操作が格納される。生体情報（暗号化）２４３には、利用者の生体情報が暗号化された上で格納されており、生体認証装置２００、生体認証装置２２０及び生体認証装置３００を使用時に、利用者の生体情報と可搬媒体２４０内の生体情報（暗号化）２４３が一致するか照合を行う際に使用する。
【００４１】
次に、第一実施形態による個人認証システムの動作について、図３〜図８に示すシーケンスを参照し説明する。
【００４２】
図３は、個人認証システム管理者が申請登録用装置１６０を用いて、新規利用者の身分事項情報及び発行された個人管理番号をデータベースに格納させ、また、可搬媒体２４０には、利用者より取得する生体情報を登載するシーケンスを示す図である。同図において、申請者２７０は生体情報読取装置１９０より生体情報を読み取った後（ステップＳ１９０１）、申請登録端末１６０から身分事項情報を入力（ステップＳ１７０１）し、取得した生体情報及び入力された身分事項情報は申請登録端末１６０から認証システムサーバ１０へと送信される（ステップＳ１７０２）。認証システムサーバ１０は受信した身分事項情報及び生体情報をメモリに格納（ステップＳ１０１）した後、生体情報が正常に登録されたことを確認するため、生体情報再取得処理を開始する（ステップＳ１０２）。申請登録端末１６０は、生体情報取得要求を生体情報読取装置１９０へと伝え（ステップＳ１７０３）、生体情報読取装置１９０は利用者から再度生体情報を取得し（ステップＳ１９０２）、その生体情報を認証システムサーバ１０へと送信する（ステップＳ１７０４）。認証システムサーバ１０では、メモリに格納した生体情報と再度取得した生体情報を照合（ステップＳ１０３）し、問題が無ければ、身分事項情報を用いて、データベース内の不正利用者に該当しないかのチェックを行う（ステップＳ１０４）。チェックにおいて、不正利用者に該当しないことが確認できた場合は、個人管理番号情報データベース１１０に身分事項情報を登録（ステップＳ１０５）し、公開鍵１１７を用いて暗号化した生体情報（ステップＳ１０６）と新規に発行された個人管理番号を申請登録端末１６０へ送信（ステップＳ１０７）し、申請登録端末１６０から可搬媒体２４０への暗号化された生体情報と個人管理番号の書き込み要求が可搬媒体読取装置１８０に送信される（ステップＳ１７０５）。なお、ステップＳ１０６において、暗号化する生体情報はステップＳ１７０２で受信した生体情報又はステップ１７０４で受信した生体情報の何れを用いても良い。
可搬媒体読取装置は受信した暗号化された生体情報と個人管理番号を可搬媒体２４０に書き込み、書き込みが完了した旨を申請登録端末１６０へ通知する（ステップＳ１８０１。登録申請端末１６０は、可搬媒体２４０への書き込み完了通知を認証システムサーバ１０に送信（ステップＳ１７０６）し、その通知を受けた認証システムサーバ１０はメモリに格納されている身分事項情報及び生体情報を削除（ステップＳ１０８）し、登録処理を終了する。なお、ステップＳ１０３又はステップＳ１０４において、問題が検知された場合には、メモリに格納されている身分事項情報及び生体情報を削除し、登録処理を終了する。
【００４３】
図４は、個人認証システムの利用者が生体認証装置２００を用いて、セキュリティゾーン２６０内の第一区域２７０へ入場を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８１１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９１１）、入場審査端末２１０にその情報を送信する。入場審査端末２１０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２１１１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１１１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１１２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１１３）、個人管理番号が存在する、無効フラグがたっていない、ステータスフラグが適切及び利用可能時間帯であるかをチェックし、該当利用者の第一区域２７０への入場可否を判断する（ステップＳ１１４）。具体的には、認証システムサーバ１０は、認証ステップ２１１１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第一区域２７０への入場可否を判断する。個人管理番号１１１が個人管理番号情報１１０にない、あるいはステータスフラグ１１５が不適切、あるいは無効フラグ１１６が立っている場合には、認証システムサーバ１０は、この利用者は第一区域２７０へは入場不可と判断する。入場可と判断された場合は、認証システムサーバ１０は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が入場しようとしていないかを判別する（ステップＳ１１５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「入場」と判断可能な状態に更新（ステップＳ１１６）し、入退履歴管理情報データベース１４０に入場を示す情報とともに入場した年月日時分秒を登録する（ステップＳ１１７）。次に、認証システムサーバ１０より入場審査端末２１０に対して、更新したステータスフラグを送信（ステップＳ１１８）し、入場審査端末２１０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１１２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８１２）を行ったのち、入場審査端末２１０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、入場審査端末２１０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１１３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１１９）し、入場処理を終了する。なお、ステップＳ１１４又はステップＳ１１５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、入場処理を終了する。
【００４４】
図５は、個人認証システムの利用者が生体認証装置３００を用いて、セキュリティゾーン２６０内の第二区域２８０へ内部認証を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８２１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９２１）、内部認証端末２３０にその情報を送信する。内部認証端末２３０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２３２１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１２１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１２２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１２３）、無効フラグがたっていない、ステータスフラグが適切、利用者のセキュリティレベルにて第二区域への入場が可能及び利用可能時間帯であるかをチェックし、該当利用者の第二区域２８０への入場可否を判断する（ステップＳ１２４）。
具体的には、具体的には、認証システムサーバ１０は、認証ステップ２３２１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第二区域２８０への入場可否を判断する。入場可と判断された場合は、認証システムサーバ１０は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が入場しようとしていないかを判別する（ステップＳ１２５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「内部認証」と判断可能な状態に更新（ステップＳ１２６）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１２７）。次に、認証システムサーバ１０より内部認証端末２３０に対して、更新したステータスフラグを送信（ステップＳ１２８）し、内部認証端末２３０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２３２２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８２２）を行ったのち、内部認証端末２３０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、内部認証端末２３０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２３２３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１２９）し、内部認証処理を終了する。なお、ステップＳ１２４又はステップＳ１２５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、内部認証処理を終了する。
【００４５】
図６は、個人認証システムの利用者が生体認証装置２２０を用いて、セキュリティゾーン２６０内の第一区域２７０から退場を行う際のシーケンスを示す図である。利用者は、可搬媒体２４０内の暗号化された生体情報、個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８３１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９３１）、退場審査端末２９０にその情報を送信する。退場審査端末２９０では、受信した暗号化された生体情報、個人管理番号、ステータスフラグ及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ２１３１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１３１）を行い、復号した生体情報、個人管理番号、ステータスフラグ及び取得した生体情報をメモリに格納する（ステップＳ１３２）。次に、個人管理番号を用いて、関連データベースを検索し（ステップＳ１３３）、個人管理番号か存在する、無効フラグがたっていない及びステータスフラグが適切であるかをチェックし、該当利用者の第一区域２７０からの退場可否を判断する（ステップＳ１３４）。具体的には、認証システムサーバ１０は、認証ステップ２１３１で受信した個人管理番号に基づき個人管理番号情報データベース１１０を検索し、該当個人管理番号の有無をチェックし、該当個人管理番号１１１が有る場合、ステータスフラグ１１５が適切、かつ無効フラグ１１６が立っていない場合、予め定められている第一区域２７０の利用可能日時情報と現在日時情報とから当該利用者の第一区域２７０からの退場可否を判断する。退場可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が退場しようとしていないかを判別する（ステップＳ１３５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０のステータスフラグを「退場」と判断可能な状態に更新（ステップＳ１３６）し、入退履歴管理情報データベースに退場した年月日時分秒を登録する（ステップＳ１３７）。次に、認証システムサーバ１０より退場審査端末２９０に対して、更新したステータスフラグを送信（ステップＳ１３８）し、退場審査端末２９０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１３２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８３２）を行ったのち、退場審査端末２９０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、退場審査端末２９０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１３３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報、個人管理番号及びステータスフラグを削除（ステップＳ１３９）し、退場処理を終了する。なお、ステップＳ１３４又はステップＳ１３５において、問題が検知された場合には、メモリに格納されている生体情報、個人管理番号及びステータスフラグを削除し、退場処理を終了する。
【００４６】
図７は、個人認証システム管理者が申請登録用装置１６０を用いて、登録解除の申請を行っている申請者の登録解除を行う際のシーケンスを示す図である。管理者は、登録解除申請を行っている利用者の可搬媒体２４０内の暗号化された生体情報及び個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８４１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９４１）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、受信した暗号化された生体情報、個人管理番号及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ１７４１）。認証システムサーバ１０では、まず、暗号化されている生体情報の復号（ステップＳ１４１）を行い、復号した生体情報、個人管理番号及び取得した生体情報をメモリに格納する（ステップＳ１４２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１４３）、個人管理番号か存在するかをチェックし、該当利用者の登録解除可否を判断する（ステップＳ１４４）。登録解除可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が登録解除しようとしていないかを判別する（ステップＳ１４５）。照合の結果、同一人物であると判断されると、個人管理番号情報データベース１１０の該当個人管理番号レコードを削除する（ステップＳ１４６）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、該当個人管理番号レコードを削除した旨送信（ステップＳ１４７）し、申請登録用装置１６０から可搬媒体読取装置１８０に対して、可搬媒体２４０へ可搬媒体２４０上の全情報削除の要求を送信する（ステップＳ１７４２）。全情報削除要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０から全情報の削除（ステップＳ１８４２）を行ったのち、申請登録用装置１６０へ可搬媒体２４０の全情報削除が完了した旨通知を行い、申請登録用装置１６０から認証システムサーバ１０へ同様に、削除完了通知を送信する（ステップＳ１７４３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された生体情報及び個人管理番号を削除（ステップＳ１４８）し、登録解除処理を終了する。なお、ステップＳ１４４又はステップＳ１４５において、問題が検知された場合には、メモリに格納されている生体情報及び個人管理番号を削除し、登録解除処理を終了する。
【００４７】
図８は、個人認証システム管理者が申請登録用装置１６０を用いて、登録内容修正の申請を行っている申請者の登録内容修正を行う際のシーケンスを示す図である。管理者は、登録内容修正申請を行っている利用者の可搬媒体２４０内の暗号化された生体情報及び個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８５１）、更に生体情報読取装置１９０より利用者の生体情報を読み取らせ（ステップＳ１９５１）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、受信した暗号化された生体情報、個人管理番号及び生体情報読取装置１９０より取得した生体情報を認証システムサーバ１０に送信する（ステップＳ１７５１）。認証システムサーバ１０では、まず、秘密鍵１１８を用いて、暗号化されている生体情報の復号（ステップＳ１５１）を行い、復号した生体情報、個人管理番号及び取得した生体情報をメモリに格納する（ステップＳ１５２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１５３）、個人管理番号か存在するか、無効フラグがたっていないをチェックし、該当利用者の登録内容修正可否を判断する（ステップＳ１５４）。登録内容修正可と判断された場合は、復号化した生体情報と生体情報読取装置１９０より取得した生体情報を照合し、可搬媒体２４０所持者と異なる人物が登録内容修正しようとしていないかを判別する（ステップＳ１５５）。照合の結果、同一人物であると判断されると、認証システムサーバ１０から身分事項情報を申請登録用装置１６０に送信し（ステップＳ１５６）、管理者は申請登録用装置１６０から身分事項情報を修正（ステップＳ１７５２）の上、認証システムサーバ１０に修正情報を送信する（ステップＳ１７５３）。次に、認証システムサーバ１０では、受信した身分事項情報（修正情報）をメモリに格納（ステップＳ１５７）し、管理者に対して確認を行ってもらうべく、身分事項情報（修正情報）を申請登録用装置１６０に送信する（ステップＳ１５８）。管理者は、身分事項情報（修正情報）を申請登録用装置１６０にて確認（ステップＳ１７５４）する。身分事項情報（修正情報）に問題が無ければ、認証システムサーバ１０にて、個人管理番号情報データベース１１０の身分事項情報を修正する（ステップＳ１５９）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、身分事項情報を修正した旨送信（ステップＳ１５Ａ）し、メモリに格納された身分事項情報、生体情報及び個人管理番号を削除し、登録内容修正処理を終了する。なお、ステップＳ１５４又はステップＳ１５５において、問題が検知された場合には、メモリに格納されている身分事項情報、生体情報及び個人管理番号を削除し、登録内容修正処理を終了する。
【実施例２】
【００４８】
図１０は、個人認証システムの利用者が生体認証装置２００を用いて、セキュリティゾーン２６０内の第一区域２７０へ入場を行う際のシーケンスを示す図である。但し、図１０のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置２００内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の暗号化された個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８７１）、入場審査端末２１０にその情報を送信する。入場審査端末２１０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２１７１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１７２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１７３）、個人管理番号が存在する、無効フラグがたっていない、ステータスフラグが適切及び利用可能時間帯であるかをチェックし、該当利用者の第一区域２７０への入場可否を判断する（ステップＳ１７３）。入場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「入場」と判断可能な状態に更新（ステップＳ１７４）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１７５）。次に、認証システムサーバ１０より入場審査端末２１０に対して、更新したステータスフラグを送信（ステップＳ１７６）し、入場審査端末２１０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１７２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８７２）を行ったのち、入場審査端末２１０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、入場審査端末２１０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１７３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１７７）し、入場処理を終了する。なお、ステップＳ１７３において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、入場処理を終了する。
【００４９】
図１１は、個人認証システムの利用者が生体認証装置３００を用いて、セキュリティゾーン２６０内の第二区域２８０へ内部認証を行う際のシーケンスを示す図である。但し、図１１のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置３００内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の暗号化された個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８８１）、内部認証端末２３０にその情報を送信する。内部認証端末２３０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２３８１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１８２）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１８３）、無効フラグがたっていない、ステータスフラグが適切、利用者のセキュリティレベルにて第二区域への入場が可能及び利用可能時間帯であるかをチェックし、該当利用者の第二区域２８０への入場可否を判断する（ステップＳ１８４）。入場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「内部認証」と判断可能な状態に更新（ステップＳ１８５）し、入退履歴管理情報データベースに入場した年月日時分秒を登録する（ステップＳ１８６）。次に、認証システムサーバ１０より内部認証端末２３０に対して、更新したステータスフラグを送信（ステップＳ１８７）し、内部認証端末２３０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２３８２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８８２）を行ったのち、内部認証端末２３０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、内部認証端末２３０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２３８３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１８８）し、内部認証処理を終了する。なお、ステップＳ１８４において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、内部認証処理を終了する。
【００５０】
図１２は、個人認証システムの利用者が生体認証装置２２０を用いて、セキュリティゾーン２６０内の第一区域２７０から退場を行う際のシーケンスを示す図である。但し、図１１のフローは、本個人認証システム導入者からコスト低減の要望があった場合に対応可能するために、生体認証装置２２０内における生体情報読取装置１９０の設置を行わない場合のフロー図である。利用者は、可搬媒体２４０内の個人管理番号及びステータスフラグを、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８９１）、退場審査端末２９０にその情報を送信する。退場審査端末２９０では、受信した個人管理番号及びステータスフラグを認証システムサーバ１０に送信する（ステップＳ２１９１）。認証システムサーバ１０では、まず、個人管理番号及びステータスフラグをメモリに格納する（ステップＳ１９１）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１９２）、個人管理番号か存在する、無効フラグがたっていない及びステータスフラグが適切であるかをチェックし、該当利用者の第一区域２７０からの退場可否を判断する（ステップＳ１９３）。退場可と判断された場合は、個人管理番号情報データベース１１０のステータスフラグを「退場」と判断可能な状態に更新（ステップＳ１９４）し、入退履歴管理情報データベースに退場した年月日時分秒を登録する（ステップＳ１９５）。次に、認証システムサーバ１０より退場審査端末２９０に対して、更新したステータスフラグを送信（ステップＳ１９６）し、退場審査端末２９０から可搬媒体読取装置１８０に対して、可搬媒体２４０へのステータスフラグ書き込み要求が送信される（ステップＳ２１９２）。書き込み要求を受信した可搬媒体読取装置１８０は、可搬媒体２４０へステータスフラグの書き込み（ステップＳ１８９２）を行ったのち、退場審査端末２９０へ可搬媒体２４０へのステータスフラグ書き込みが完了した旨通知を行い、退場審査端末２９０から認証システムサーバ１０へ同様に、書き込み完了通知を送信する（ステップＳ２１９３）。完了通知を受信した認証システムサーバ１０は、メモリに格納された個人管理番号及びステータスフラグを削除（ステップＳ１９７）し、退場処理を終了する。なお、ステップＳ１９３において、問題が検知された場合には、メモリに格納されている個人管理番号及びステータスフラグを削除し、退場処理を終了する。
【実施例３】
【００５１】
図９は、個人認証システム管理者が申請登録用装置１６０を用いて、組織情報に関する登録内容修正の申請を行っている複数申請者の登録内容修正を行う際のシーケンスを示す図である。本実施けたいでは管理者は、登録内容修正申請を行っている複数利用者の可搬媒体２４０内の個人管理番号を、可搬媒体読取装置１８０により読み取らせ（ステップＳ１８６１、ステップＳ１８６２）、申請登録用装置１６０にその情報を送信する。申請登録用装置１６０では、個人管理番号を認証システムサーバ１０に送信する（ステップＳ１７６１）。認証システムサーバ１０では、まず、個人管理番号をメモリに格納する（ステップＳ１６１）。次に、個人管理番号を用いて、システム上を検索し（ステップＳ１６２）、個人管理番号か存在するか、無効フラグがたっていないをチェックし、該当複数利用者の登録内容修正可否を判断する（ステップＳ１６３）。登録内容修正可と判断された場合は、認証システムサーバ１０から複数利用者の組織情報を申請登録用装置１６０に送信し（ステップＳ１６４）、管理者は申請登録用装置１６０から組織情報を修正（ステップＳ１７６２）の上、認証システムサーバ１０に修正情報を送信する（ステップＳ１７６３）。次に、認証システムサーバ１０では、受信した組織情報（修正情報）をメモリに格納（ステップＳ１６５）し、管理者に対して確認を行ってもらうべく、身分事項情報（修正情報）を申請登録用装置１６０に送信する（ステップＳ１６６）。管理者は、身分事項情報（修正情報）を申請登録用装置１６０にて確認（ステップＳ１７６４）する。身分事項情報（修正情報）に問題が無ければ、認証システムサーバ１０にて、グループコード情報データベース１３０の組織情報を修正する（ステップＳ１６７）。次に、認証システムサーバ１０より申請登録用装置１６０に対して、組織情報を修正した旨送信（ステップＳ１６８）し、メモリに格納された個人管理番号を削除し、組織情報に関する登録内容修正処理を終了する。なお、ステップＳ１６３において、問題が検知された場合には、メモリに格納されている個人管理番号を削除し、組織情報に関する登録内容修正処理を終了する。
【００５２】
認証システムサーバ１０は、組織情報と入退場した時間情報に基づいて前記利用者が属する組織単位での勤務時間を集計することができる。
【図面の簡単な説明】
【００５３】
【図１】第一実施形態による個人認証システムの構成を示す図である。
【図２】第一実施形態による個人認証システム装置の配置図である。
【図３】第一実施形態による個人認証システムの登録処理を示すシーケンスである。
【図４】第一実施形態による個人認証システムの入場処理を示すシーケンスである。
【図５】第一実施形態による個人認証システムの内部認証処理を示すシーケンスである。
【図６】第一実施形態による個人認証システムの退場処理を示すシーケンスである。
【図７】第一実施形態による個人認証システムの登録解除処理を示すシーケンスである。
【図８】第一実施形態による個人認証システムの登録内容修正処理を示すシーケンスである。
【図９】第三実施形態による個人認証システムの登録内容修正処理（一括処理）を示すシーケンスである。
【図１０】第二実施形態による個人認証システムの入場処理（生体情報無し）を示すシーケンスである。
【図１１】第二実施形態による個人認証システムの内部認証処理（生体情報無し）を示すシーケンスである。
【図１２】第二実施形態による個人認証システムの退場処理（生体情報無し）を示すシーケンスである。
【図１３】個人管理番号情報データベース１１０に記憶されている情報の一例を示す図である。
【図１４】不正利用者情報データベース１２０に記憶されている情報の一例を示す図である。
【図１５】グループコード情報データベース１３０に記憶されている情報の一例を示す図である。
【図１６】入退履歴管理情報データベース１４０に記憶されている情報の一例を示す図である。
【図１７】セキュリティゾーン情報データベース１５０に記憶されている情報の一例を示す図である。
【図１８】可搬媒体２４０に登録されている情報の一例を示す図である。
【符号の説明】
【００５４】
１０・・・認証システムサーバ、２０・・・記憶装置、４０・・・通信制御部、５０・・・認証制御部、９０・・・データベース制御部、１００・・・データベース、１１０・・・個人管理番号情報データベース、１２０・・・不正利用者情報データベース、１３０・・・グループコード情報データベース、１４０・・・入退履歴管理情報データベース、１６０・・・申請登録用装置、１７０・・・申請登録端末、１８０・・・可搬媒体読取装置、１９０・・・生体情報読取装置、２００・・・生体認証装置、２１０・・・入場審査端末、２２０・・・生体認証装置、２３０・・・内部認証端末、２４０・・・可搬媒体、２９０・・・退場認証端末、３００・・・生体認証装置。
【特許請求の範囲】
【請求項１】
端末と、該端末と接続される生体情報読取装置及び可搬媒体読取装置と、前記端末とネットワークを介して接続されるサーバと、から構成される個人認証システムであって、
前記可搬媒体読取装置は、利用者の可搬媒体から、暗号化された生体情報、個人管理番号及び複数の特定区域への入退場を示す第１のフラグを読み取り、前記端末に送信する手段を有し、
前記生体情報読取装置は、前記利用者から生体情報を読み取り、前記端末に送信する手段を有し、
前記端末は、前記可搬媒体読取装置及び前記生体情報読取装置から送信された前記各情報を前記ネットワークを介して前記サーバに送信する手段と、前記サーバから前記第１のフラグを前記ネットワークを介して受信する手段と、前記可搬媒体読取装置に該第１のフラグの更新要求を前記可搬媒体読取装置に送信する手段と、前記可搬媒体読取装置から前記第１のフラグの更新完了通知を受信し、該通知を前記サーバに送信する手段とを有し、
前記サーバは、前記個人管理番号と該個人管理番号に関連する利用者の情報と前記第１のフラグとを関連付けて記憶する第１の記憶手段と、前記端末から前記可搬媒体読取装置及び前記生体情報読取装置から送信された前記各情報を前記ネットワークを介して受信する手段と、該受信した暗号化された生体情報を復号化する手段と、該受信した各情報及び該復号化した生体情報を第２の記憶手段に一時格納する手段と、前記受信した個人管理番号と前記第１の記憶手段に基づき前記利用者が前記特定区域への入場又は該特定区域からの退場が可能かどうかを判定する手段と、入場可又は退場可と判定した場合に、前記受信した生体情報と前記復号化した生体情報に基づき利用者の認証を行う手段と、該認証が成立した場合に、前記判定手段の結果に基づき前記第１の記憶手段の前記第１のフラグを更新する手段と、該更新後の第１のフラグを前記ネットワークを介して前記端末に送信する手段と、前記端末から前記可搬媒体の前記第１のフラグの更新完了通知を受信し、前記第２の記憶手段に一時格納した前記各情報を削除する手段とを有する
ことを特徴とする個人認証システム。
【請求項２】
前記第１の記憶手段には、さらに不正利用者に関する情報が記憶されており、
前記サーバは、前記端末からの個人管理番号と前記第１の記憶手段の情報に基づき前記利用者が不正利用者かどうかを判定する手段を更に有することを特徴とする請求項１に記載の個人認証システム。
【請求項３】
前記サーバは、前記利用者が前記特定区域に入退場した時間及び該特定区域を示す情報を前記第１の記憶手段に格納する手段と、
前記第１の記憶手段に記憶されている前記特定区域に入退場した時間及び該特定区域を示す情報情報と前記個人管理番号に基づいて、前記利用者がどの特定区域にいつ入退場したのかを特定する手段と、を更に有することを特徴とする請求項１又は請求項２に記載の個人認証システム。
【請求項４】
前記第１の記憶手段には、前記利用者が属する組織情報が記憶されており、
前記サーバは、前記組織情報と前記入退場した時間情報に基づいて前記利用者が属する組織単位での勤務時間を集計する手段を更に有することを特徴とする請求項３記載の個人認証システム。
【請求項５】
前記第１の記憶手段には、前記特定区域への利用可能曜日、利用可能開始時刻、利用可能終了時刻の情報が記憶されており、該記憶情報に基づいて、前記利用者の前記特定区域への利用を制限する手段を更に有することを特徴とする請求項４記載の個人認証システム。
【請求項６】
前記可搬媒体及び前記第１の記憶手段には、一般的に公開可能な公開管理番号が記憶されており、
前記サーバは、前記端末から前記可搬媒体に記憶されている前記公開管理番号を前記ネットワークを介して受信し、該公開管理番号に基づいて、前記第１の記憶手段に記憶されている前記情報を検索し、変更する手段を更に有することを特徴とする請求項１に記載の個人認証システム。
【請求項１】
端末と、該端末と接続される生体情報読取装置及び可搬媒体読取装置と、前記端末とネットワークを介して接続されるサーバと、から構成される個人認証システムであって、
前記可搬媒体読取装置は、利用者の可搬媒体から、暗号化された生体情報、個人管理番号及び複数の特定区域への入退場を示す第１のフラグを読み取り、前記端末に送信する手段を有し、
前記生体情報読取装置は、前記利用者から生体情報を読み取り、前記端末に送信する手段を有し、
前記端末は、前記可搬媒体読取装置及び前記生体情報読取装置から送信された前記各情報を前記ネットワークを介して前記サーバに送信する手段と、前記サーバから前記第１のフラグを前記ネットワークを介して受信する手段と、前記可搬媒体読取装置に該第１のフラグの更新要求を前記可搬媒体読取装置に送信する手段と、前記可搬媒体読取装置から前記第１のフラグの更新完了通知を受信し、該通知を前記サーバに送信する手段とを有し、
前記サーバは、前記個人管理番号と該個人管理番号に関連する利用者の情報と前記第１のフラグとを関連付けて記憶する第１の記憶手段と、前記端末から前記可搬媒体読取装置及び前記生体情報読取装置から送信された前記各情報を前記ネットワークを介して受信する手段と、該受信した暗号化された生体情報を復号化する手段と、該受信した各情報及び該復号化した生体情報を第２の記憶手段に一時格納する手段と、前記受信した個人管理番号と前記第１の記憶手段に基づき前記利用者が前記特定区域への入場又は該特定区域からの退場が可能かどうかを判定する手段と、入場可又は退場可と判定した場合に、前記受信した生体情報と前記復号化した生体情報に基づき利用者の認証を行う手段と、該認証が成立した場合に、前記判定手段の結果に基づき前記第１の記憶手段の前記第１のフラグを更新する手段と、該更新後の第１のフラグを前記ネットワークを介して前記端末に送信する手段と、前記端末から前記可搬媒体の前記第１のフラグの更新完了通知を受信し、前記第２の記憶手段に一時格納した前記各情報を削除する手段とを有する
ことを特徴とする個人認証システム。
【請求項２】
前記第１の記憶手段には、さらに不正利用者に関する情報が記憶されており、
前記サーバは、前記端末からの個人管理番号と前記第１の記憶手段の情報に基づき前記利用者が不正利用者かどうかを判定する手段を更に有することを特徴とする請求項１に記載の個人認証システム。
【請求項３】
前記サーバは、前記利用者が前記特定区域に入退場した時間及び該特定区域を示す情報を前記第１の記憶手段に格納する手段と、
前記第１の記憶手段に記憶されている前記特定区域に入退場した時間及び該特定区域を示す情報情報と前記個人管理番号に基づいて、前記利用者がどの特定区域にいつ入退場したのかを特定する手段と、を更に有することを特徴とする請求項１又は請求項２に記載の個人認証システム。
【請求項４】
前記第１の記憶手段には、前記利用者が属する組織情報が記憶されており、
前記サーバは、前記組織情報と前記入退場した時間情報に基づいて前記利用者が属する組織単位での勤務時間を集計する手段を更に有することを特徴とする請求項３記載の個人認証システム。
【請求項５】
前記第１の記憶手段には、前記特定区域への利用可能曜日、利用可能開始時刻、利用可能終了時刻の情報が記憶されており、該記憶情報に基づいて、前記利用者の前記特定区域への利用を制限する手段を更に有することを特徴とする請求項４記載の個人認証システム。
【請求項６】
前記可搬媒体及び前記第１の記憶手段には、一般的に公開可能な公開管理番号が記憶されており、
前記サーバは、前記端末から前記可搬媒体に記憶されている前記公開管理番号を前記ネットワークを介して受信し、該公開管理番号に基づいて、前記第１の記憶手段に記憶されている前記情報を検索し、変更する手段を更に有することを特徴とする請求項１に記載の個人認証システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公開番号】特開２００９−３０１０７６（Ｐ２００９−３０１０７６Ａ）
【公開日】平成２１年１２月２４日（２００９．１２．２４）
【国際特許分類】
【出願番号】特願２００８−１５１２２２（Ｐ２００８−１５１２２２）
【出願日】平成２０年６月１０日（２００８．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２１年１２月２４日（２００９．１２．２４）
【国際特許分類】
【出願日】平成２０年６月１０日（２００８．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]