JP2005285056A - 認証システム、データ管理方法、および電子鍵システム - Google Patents

Abstract

【課題】
モバイル端末と非接触ICカードを組合せた電子鍵システムにおいて、プライバシー情報保護が可能電子鍵システム、電子鍵制御装置、電子鍵管理方法を提供することにある。
【解決手段】
上記目的を達成するために、本発明では、データ管理方法として、非接触ＩＣカードと、対向する該非接触ＩＣカード制御装置との間において、両者の相互認証を行う段階と、相互認証に成功した後に、所定条件の判定に従い所定処理を行う段階と、該処理が終了した際に非接触ＩＣカード内のデータを消去する段階、とを備えたものである。
【選択図】 図８

Description

本発明は、認証システム等に関する。

従来の技術では、音声通話及びデータの送受信ができるだけでなく、ホテル、劇場や映画館等の予約が簡単にでき、ドアを開けて部屋を利用したり、劇場や映画館等に入場して公演や映画を楽機能、通信ネットワークを介したデータ通信機能及びデータ表示機能を有する携帯しむことができる入口規制システムを提供することを目的として、音声通話電話部、及び携帯電話部との間でデータを送受信するとともに、非接触式ＩＣカードを読み書きするアンテナを有するカード通信部が一体的に設けられた移動機と、移動機のカード通信部から非接触式ＩＣカードに書き込んだ入口通過に係るデータを非接触で読み取り、入口通過の条件を満たしているか否かを判断し入口部を制御する入口規制装置とを備えるようになっている。（特許文献１参照）
特開２００２−８３０８７号公報

非接触ＩＣカードを用いて入退室管理を行うものとして、上記のほかに、アンテナを内蔵する単体での非接触ICカードに書き込まれた電子鍵情報を用いて、入退室管理を行うシステムが広く普及している。一般にこれらのシステムでは、予め入口を通過するユーザをサーバに登録しておき、入口開閉を直接制御する装置などに備えられた電子鍵情報の判別手段が、前記登録ユーザに関わる情報を参照して入口通過条件を満たしているかどうかを判別し、入口通過の許可を与えるようになっている。

このようなシステムにおいては、電子鍵情報がユーザの個人情報と紐付けされていたり、個人情報そのものの場合がある。これは、昨今社会的に問題になっている個人情報の漏洩に繋がる恐れがある。また、個人がどこの入口をいつ何回通過したかなどの入口通過履歴が残る。こういった入口通過履歴をプライバシー情報と捉えると、これらの情報が他人に漏れる可能性があり、プライバシーの侵害に繋がる恐れがある。

一方で、交通系の改札通過に利用されている非接触ICカードの普及により、既に十分普及しているモバイル端末と非接触ICカードを組合せた電子鍵システムはさらに広まっていくと予想される。

本発明は、このような課題を解決し、プライバシー情報保護が可能な認証システム（特に電子鍵システム）を提供することを目的とする。

上記目的を達成するために、本発明では、データ管理方法として、非接触ＩＣカードと、対向する該非接触ＩＣカード制御装置との間において、両者の相互認証を行う段階と、相互認証に成功した後に、所定条件の判定に従い所定処理を行う段階と、該処理が終了した際に非接触ＩＣカード内のデータを消去する段階、とを備えたものである。

本発明によれば、プライバシー情報保護が可能な認証システム（特に電子鍵システム）を提供することができる。

以下に、本発明の実施の形態を説明する。

本発明の実施例１を、図１、図２、図３、図４、図５、図６、図７、図８、図１７を用いて説明する。図１は本実施例の電子鍵システムの構成図であり、モバイル端末1000と入口制御装置1100で構成されている。モバイル端末1000は、ＣＰＵ1001とメモリ1002、データ通信機能を担うデータ通信制御部1003、ユーザＩ／Ｆを担う表示部1004および入力部1005、ＩＣカード機能Ｉ／Ｆ1006で構成される。ＩＣカード機能Ｉ／Ｆ1006は、モバイル端末1000に内蔵もしくは着脱可能なカード形状として備えられている非接触型ＩＣカード1007とのＩ／Ｆ機能である。ここで、非接触型ＩＣカード1007はカード形状をしたものと限定するわけではなく、ＩＣチップがモバイル端末1000に内蔵された形態も同様の構成として扱う。非接触ＩＣカード1007は、接続された非接触通信用アンテナ1008を介して、入口制御装置1100の非接触リーダライタ1101と非接触通信するようになっている。入口制御装置1100は、非接触リーダライタ1101と、非接触ＩＣカード1007が有する電子鍵情報を制御して入口の解錠許可を与える電子鍵制御装置1102と、入口の錠前を制御する錠前制御装置1111で構成される。電子鍵制御装置1102は、非接触リーダライタ1101を制御するリーダライタ制御部1103と、電子鍵情報の解析、判別、管理等を担う電子鍵情報管理部1107と、非接触ＩＣカード1007との相互認証を行う認証部1104と、入口制御装置1100で通過可能とされる電子鍵データを格納している電子鍵データ格納部1105と、電子鍵情報に付属する有効期限と有効回数を解析する有効期限解析部1108、有効回数解析部1106と、錠前制御装置1111に解錠許可を送信する錠前解錠許可送信部1109と、入口の動作状態を確認して受信する入口動作状態受信部1110で構成される。

図２は、図1に示す非接触ＩＣカード1007に書き込まれている電子鍵情報のフォーマットを示す。電子鍵情のフォーマット2000の項目は、電子鍵データ2001と、この電子鍵の有効期間の開始時刻2002と終了時刻2003、有効回数2004および状態フラグ2005である。状態フラグ2005は、この電子鍵情報2000が処理されていく過程で生じる様々なステータス情報を格納する領域である。また、有効回数2004は、有効期間の開始時刻2002と終了時刻2003の間に入口を通過できる回数である。図３は図１に示す非接触ＩＣカード1007に鍵管理サーバ3000から電子鍵情報をダウンロードするときのネットワーク構成である。図４は、非接触ＩＣカード1007の内部構造であり、不揮発性メモリ4000、ＣＰＵ4004、非接触I/F4005に加え、接触I/F4006も備えている。本発明では、モバイル端末1000に備えられたＩＣカードを、非接触ICカードと称しているが、接触I/Fと非接触I/F両者を備えたICカードを指している。接触I/Fはモバイル端末1000との通信機能を担うものである。不揮発性メモリ4000内には、電子鍵情報エリア4001が設けられており、該エリア内に図２に示すフォーマットに従う電子鍵情報4002が格納されるものである。また、電子鍵情報エリア4001は該エリアにアクセスしようとする相手と相互認証を行う認証部4003も備えている。図５〜図８は本実施例における電子鍵管理方法のフロー図である。図１７はモバイル端末1000の表示例である。以下、これらの図を用いて、本実施例の電子鍵システムにおける電子鍵管理方法を、マンションの共通玄関を例に説明する。

マンションのような集合住宅において、各住戸の玄関の外側に、外部からの共通玄関（入口）があり、その共通玄関の解錠は非接触ＩＣカード1007に書き込まれた電子鍵で運用されているものとする。共通玄関は入口制御装置1100で制御されており、例えばドアの脇に、非接触リーダライタ1101が取り付けられており、電子鍵情報2000をもつ非接触ICカード1007を備えたモバイル端末1000を翳すことで、入口が解錠され開くものである。図1においては、入口制御装置1100の非接触リーダライタ1101と、電子鍵制御装置1102が一体となっているが、非接触リーダライタ1101が入口制御装置1100の外部にあり、入口制御装置1100と接続されている構成でも本発明では同じとして扱う。図３の鍵管理サーバ3000は、マンション内に設置されているか、もしくは、マンションの管理業務を担う管理会社等に設置されているものとする。

例えば、マンションに住む住人が、友人を自宅に招く場合、鍵管理サーバ3000を介して友人にマンション共通玄関の電子鍵情報を配信する。具体的な手順としては、住人が鍵管理サーバ3000に友人を登録し、友人が鍵管理サーバ3000にアクセスして認証後に電子鍵情報をダウンロードするという方法がある。この際に、鍵管理サーバ3000に登録された友人の情報は暗号化して保存され、鍵管理サーバ3000の正当な管理者のみが非常時にのみ閲覧できるものとする。また、鍵管理サーバ3000を介さずに、予め住人のモバイル端末の非接触ICカードに共通玄関の電子鍵情報が保存されており、該電子鍵情報を友人のモバイル端末の非接触ICカードに直接送信するという方法もある。モバイル端末のデータ通信網を介して送信された電子鍵情報は、モバイル端末1000のデータ通信制御部1003からＩＣカード機能Ｉ／Ｆ1006を介して、非接触ICカード1007の接触I/F4006を介して不揮発性メモリ4000に書き込まれる。こうして電子鍵情報は友人のモバイル端末1000に付属する非接触ICカード1007に格納される。この電子鍵情報は、図２に示すフォーマットに従うものとし、有効期限と有効回数は、上記のような方法で住人が友人に電子鍵データを送信する際に、住人が設定できるようになっている。

図５は、前記モバイル端末1000を、非接触リーダライタ1101に翳したときからの、錠前制御装置1111と、電子鍵制御装置1102と、非接触ICカード1007間のトランザクションの処理フローである。友人が前記モバイル端末1000を非接触リーダライタ1101に翳すと、電子鍵制御装置1102のリーダライタ制御部1103が非接触ICカード1007を捉え、電子鍵情報管理部1107が認証部を用いて、非接触ICカード1007の電子鍵情報エリア 4001内の認証部4003と相互認証を行う（ステップS500）。相互認証に成功すると、電子鍵情報管理部1107は、電子鍵情報4002にアクセス可能となる。そこで、電子鍵情報管理部1107は非接触ICカード1007に対して電子鍵情報読み出し命令を送信する（ステップS501）。非接触ICカード1007は電子鍵情報4002を応答データとして送信する（ステップS502）。電子鍵情報管理部1107は電子鍵情報4002に含まれる電子鍵データ2000を抽出し、電子鍵データ格納部1105に格納されている電子鍵データと照合し、電子鍵データ2000の正否を判定する（ステップS503）。正当であるか否かは、データが合致するか否かを検証する方法、所定の手順に従い電子鍵データ2000を暗号化もしくは複合化した値と電子鍵データ格納部1105に格納されている電子鍵データが合致するか否かを検証する方法などが考えられる。電子鍵データが正当と判定された場合は、（ステップS504）に進む。不正データと判定された場合は、図６のフローに進む。ここでは、先に正当であると判定された場合について説明する。電子鍵データ2000の判定の次に、電子鍵制御装置1102の電子情報鍵管理部1107は電子鍵情報4002に含まれる有効期間の開始時刻2002と終了時刻2003を抽出し、有効期限解析部1008にて有効期間の判定を行う（ステップS504）。具体的には、電子鍵装置1102が備えている現在時刻情報を参照し、現在時刻が有効期間の開始時刻2002と終了時刻2003の間の時刻であるか否かを判定する。現在時刻が有効期間内である場合、ステップ(S505)に進む。現在時刻が有効期間内に無い場合、すなわち、該電子鍵情報が期限切れの場合、図７のフローに進む。ここでは、先に現在時刻が有効期間内にある場合について説明する。有効期間内であると判定された場合、次に電子鍵制御装置1102の電子情報鍵管理部1107は電子鍵情報4002に含まれる有効回数2004を抽出し、有効回数解析部1106を用いて有効回数の判定を行う（ステップS505）。本発明における有効回数は、あと何回解錠できるか、を示す数値であり、例えば有効回数が３回の場合、電子鍵情報ダウンロード時に有効回数の値は’３’となっている。後述のステップ(S508)で説明するように、該電子鍵情報4002を用いて解錠に成功した場合、この有効回数は’１’減算した値に更新されるようになっている。ステップ(S505)での判定内容は、このトランザクションが成功した場合に入口が解錠されることで、有効回数を使い果たすか否かであり、例えば現在の有効回数の値が’１’か否かを判定する。今回の解錠で有効回数を使い果たす場合は、図８のフローに進む。今回の解錠後も未だ有効回数が残る場合は、次のステップに進む。ここでは、先に、今回の解錠後も未だ有効回数が残る場合について説明する。有効回数の判定の後は、電子鍵制御装置1102の電子情報鍵管理部1107は、錠前制御装置1111に対して、錠前解錠許可を送信する（ステップS506）。ここで錠前制御装置1111は、共通玄関を解錠して入口を開ける処理を行い、その実行通知を電子鍵制御装置1102に送信する（ステップS507）。錠前制御装置1111は、入口を開ける処理を行ったことを通知するものであり、入口が完全に開いたことを通知するものではない。電子鍵制御装置1102は入口動作状態受信部1110を介して該通知を受信すると、電子情報鍵管理部1107が非接触ICカード1007に対して有効回数更新命令を送信する（ステップS5009）。具体的には、電子情報鍵管理部1107がステップ(S502)で得た電子鍵情報の有効回数の数値を’1’減算した値を非接触ICカード1007の電子鍵情報4002に書き込むことで、有効回数が更新される（ステップS509）。非接触ICカード1007は更新処理終了の応答を返し（ステップS510）、トランザクションが終了する。この時点でマンションの共通玄関は開かれた状態であり、友人は共通玄関を通過しマンションの中に入ることができる。本実施例によれば、マンションの共通玄関の通過方法として広く普及している、部屋番号を押してインターホンを通して住人と会話して解錠してもらうというシステムにおいて、部屋番号を忘れたり、知らなかったりして、解錠に手間取ることもなく、スムーズに共通玄関を通過できるという効果がある。

前記ステップS503で電子鍵データが不正データと判定された場合、図６のフローに示すように、そこでトランザクションを終了し、マンションの共通玄関は施錠されたままの状態で開かない。これは非接触ICカード1007内のデータが改ざんされた場合や非接触通信の異常時、またユーザが他のマンションで運用されている同様のシステムの電子鍵を利用しようとした場合などを想定しており、このような場合にはマンションの共通玄関は開かないため、セキュリティの高い電子鍵システムを実現することができる。

前記ステップS504で現在時刻が有効期間内に無いと判定された場合、すなわち、該電子鍵情報が期限切れの場合、図７のフローに示すように、電子情報鍵管理部1107が電子鍵情報消去命令を非接触ICカード1007に送信する（ステップS701）。具体的には、電子情報鍵管理部1107がステップ(S502)で得た電子鍵データのみ、もしくは電子鍵情報全体を、例えば０クリアするなどして無効にしたデータを、非接触ICカード1007の電子鍵情報4002に書き込むことで消去する（ステップS702）。非接触ICカード1007が消去処理の応答を返す（ステップS703）ことで、トランザクションが終了する。このとき、マンションの共通玄関は施錠されたままの状態で開かない。これは、有効期限が切れた電子鍵データを使用しようとした場合であり、ユーザがうっかり忘れていた場合や、悪意を持って不正使用した場合などが考えられる。このように定められた有効期限内しか電子鍵を使うことができず、セキュリティの高い電子鍵システムを実現できる。

前記ステップS505で、今回のトランザクション成功後の解錠で有効回数を使い果たすと判定された場合、図８に示すフローにおいて、錠前制御装置1111に対して、錠前解錠許可を送信する（ステップS801）。ここで錠前制御装置1111は、共通玄関を解錠して入口を開ける処理を行い、その実行通知を電子鍵制御装置1102に送信する（ステップS802）。ステップ(S802)で入口解錠の通知を得た後、電子情報鍵管理部1107が非接触ICカード1007に対して電子鍵消去命令を送信する（ステップS803）。このステップ以降の処理(ステップS804,S805)は、図７のステップS702、ステップS703に同じである。こうして、有効期限内に有効回数ほど解錠すると、自動的に電子鍵情報を消去することが可能であり、ユーザのモバイル端末に電子鍵情報が残らないため、悪用や不正使用の可能性を軽減することができ、セキュリティの高い電子鍵システムを実現することができる。また、例えば有効期限を長く設定し、かつ有効回数を１回に設定することで、ワンタイムの電子鍵として運用することが可能となる。

図１７は本発明のモバイル端末1000の表示例を示す。表示例1701は電子鍵データ不正の場合、表示例1702は有効期限切れの場合、表示例1703は有効回数が残っていない場合に前記のように解錠出来なかったとき、その理由をユーザに示すものである。これらの表示を実現する手段としては、解錠出来なかったときに、ユーザのボタン操作などのアクションで、非接触ＩＣカード1007内に残された電子鍵情報が解錠出来なかった理由を読み出し、それに対応した表示を行うものである。本発明では、前記のように解錠出来なかった場合に非接触ＩＣカード1007内の電子鍵情報4002を消去してまうため、モバイル端末1000に解錠できなかった理由を残すためには、非接触ＩＣカード1007の電子鍵情報消去の処理（ステップS701、S803）において、電子鍵情報フォーマット2000における電子鍵データ2001のみを消去して、有効期間、有効回数のデータを残しておくことが可能である。また、電子鍵情報消去の処理（ステップS701、S803）において電子鍵情報フォーマット2000における状態フラグに解錠できなかった理由を残し、他のデータを消去することも可能である。本実施例では、電子鍵情報エリア4001にアクセスするには、非接触ＩＣカード1007と電子鍵制御装置1100間で相互認証が必要であるとしたが、解錠できなかった理由に関わる情報については相互認証なしで読み出すことが可能なエリアに置くことで、モバイル端末1000からの読み出しは可能である。また、電子鍵情報消去の処理（ステップS701、S803）において、電子鍵情報4002とは別の、相互認証無しに読み出せる領域に解錠出来なかった理由を書き込んでおくことも可能である。

また、モバイル端末1000において、毎日の決まった時間に電子鍵情報2000の有効期間2002、2003を読み出して、モバイル端末1000に保存しておくことや、その際に電子鍵の有効期間と残回数を表示するという方法もある。その表示例を図１７の1704に示す。

また、本実施例に示す電子鍵システムで運用されている電子鍵をユーザが複数所有する場合、例えば、マンションＡの電子鍵情報と、マンションＢの電子鍵情報、会社ビルＣの電子鍵情報を所有する場合、これらの電子鍵のリストをモバイル端末1000で表示する手段を備えるものとする。その表示例を図１７の1705に示す。この場合、電子鍵フォーマット2000において、その電子鍵情報の使用先（例えばマンションＡ）の名前を格納する領域を設けるものとする。また、電子鍵の使用先と、有効期間、有効回数については、モバイル端末1000から相互認証なしに読み出しできる領域に格納することで実現可能である。上記のように非接触ＩＣカードが複数の電子鍵情報を格納している場合、電子鍵制御装置1100に、これら複数の電子鍵から自入口用の電子鍵情報を判定する手段を設けるものとする。

以上より、本発明によれば電子鍵情報が個人情報に関連した情報を含まず、また通過許可条件に個人情報と関連した情報を用いない匿名の電子鍵情報であるため、個人がどこの入口をいつ何回通過したかなどの入口通過履歴が残ることがなく、プライバシー情報を保護した電子鍵システムを提供できる。

また、不特定多数の人に物を貸し出すサービス、例えば、レンタルサービス等において、プライバシー情報を保護した電子鍵システムを提供できるとともに、ユーザが鍵の受け取り、返却といった手間が不要となり、ユーザもサービス提供側も鍵管理が簡易となる効果がある。

また、本実施例は、会社への訪問客に一時的な入室許可鍵を与えたい場合にも実施可能で、その効果は同様である。

また、非接触で読み取った電子鍵情報を、事前に登録された個人情報と関連付けて判別し入口通過の許可を与えるようなシステムにおいては、入口開閉を直接制御する装置が、個人情報が登録されたサーバと接続している必要があり、電子鍵システム構成は複雑になり、また電子鍵情報の管理も複雑になるという問題がある。本実施例によれば、入口制御装置1100は鍵管理サーバ3000と接続する必要はなく、システム構成および電子鍵管理方法が簡易でかつセキュリティレベルの高い電子鍵システムを実現できる。

また、電子鍵情報が入口通過条件を満たさず、解錠できなかった場合に、ユーザに
その理由を知らせることが可能であるため、ユーザにとって安心で使い勝手が良いという効果がある。また、モバイル端末内の非接触ＩＣカードが複数の電子鍵情報をもつ場合、ユーザにそのリストを表示することができるため、ユーザにとって使い勝手が良いという効果がある。

本発明の実施例２を、図９、図１０、図１１、図１２、図１３を用いて説明する。図９は図１に示す電子鍵システムにおける本実施例での非接触ICカードの内部構造である。図１０、図１１、図１２、図１３は本実施例における電子鍵管理方法のフロー図である。図９に示す非接触ICカード9000は、不揮発性メモリ9001、ＣＰＵ9005、非接触I/F9006に加え、接触I/F9007も備えている。不揮発性メモリ9001内には、電子鍵管理アプリケーションプログラム9002（以下、電子鍵管理プログラムとする）が格納されており、電子鍵管理プログラム9002は、電子鍵情報9003と、電子鍵制御装置1100と相互認証を行う認証部9004とを備えている。以下、これらの図を用いて、本実施例の電子鍵管理方法を説明する。

本実施例の非接触ICカード9000には、実施例１で説明したのと同様の方法で、図２に示すフォーマットに従う電子鍵情報がダウンロードされるものとする。電子鍵管理プログラム9002は、非接触ICカード9000発行時に格納されたプログラムであっても、非接触ICカード利用時にサーバからダウンロードしたプログラムであっても、また、実施例１で説明したのと同様の方法で電子鍵情報と一緒にダウンロードするプログラムであっても本実施例の電子鍵管理方法においてはその機能は同様である。

本実施例では、電子鍵情報9003の消去を保留にしていることを意味する鍵消去保留フラグと、電子鍵情報9003の消去を猶予される時間を用いて、電子鍵管理プログラム9002で電子鍵情報9003の管理を行う方法について説明する。鍵消去保留フラグは電子鍵フォーマット2000の状態フラグ2005に設定され、本実施例においては、鍵消去保留フラグがチェックされているときは状態フラグの値が1であり、チェックされていないときは状態フラグの値は0であるとする。鍵消去保留フラグは、後述の図13のステップ(S130)でセットされるものであり、電子鍵の有効回数を使い果たした時に、実施例1では電子鍵情報を消去していたが（ステップS804参照）、本実施例では、その時点で電子鍵情報を消去せずに、鍵消去保留フラグと電子鍵の消去を猶予する時間を設定するものである。電子鍵の消去の猶予時間は、電子鍵フォーマット2000の有効期間の開始時刻2002もしくは、終了時刻2003に書き込む。本実施例は、電子鍵で入口を解錠し、入口が開いたにもかかわらず、入口が開いている時間内にユーザが何らかの事情で入口通過できなかった場合を想定している。何らかの事情とは、例えば、入口より距離のある場所や足元に置いてある荷物を持ち運ぶのに手間取った場合や、複数の荷物を運び入れるのに再入場が必要となり、それを想定した有効回数を与えられていなかった場合や、入口通過の際に誰かに呼び止められたり、転ぶなどして通過できなかった場合などである。

図１０は、電子鍵情報9003が格納された非接触ICカード9000が付属するモバイル端末を、非接触リーダライタ1101に翳したときからの錠前制御装置1111と、電子鍵制御装置1102と、非接触ICカード9000間のトランザクションの処理フローである。前記モバイル端末を非接触リーダライタ1101に翳すと、電子鍵制御装置1102のリーダライタ制御部1103が非接触ICカード9000を捉え、電子鍵情報管理部1107が認証部を用いて、非接触ICカード9000の電子鍵管理プログラム9002の認証部9004と相互認証を行う（ステップS100）。本実施例においては、電子鍵データが正当なものであるか否かの認証は、この相互認証の段階で行われる。相互認証に成功すると、電子鍵制御装置1102は自らが有する現在時刻を非接触ICカード9000に送信する（ステップS101）。次に、電子鍵管理プログラム9002は電子鍵情報9003の状態フラグ2005に、鍵消去保留フラグがセットされているか否かをチェックする（ステップS102）。鍵消去プログラムがセットされている場合は後述する図1３のステップ（S130）で書き込まれた鍵消去の猶予時間をチェックする処理を行う。鍵消去保留フラグがセットされていない場合、次のステップに進む。本実施例では、鍵消去保留フラグをセットするのは、有効回数が残っていない場合なので、この段階で鍵消去保留フラグがセットされていないことは、有効回数内であることを示している。ここでは、先に鍵消去保留フラグがセットされていない場合について説明する。ステップ（S101）で送信された現在時刻を参照して電子鍵情報の有効期間をチェックする（ステップS103）。有効期間内の場合には次のステップに進む。有効期間外の場合には図１２の処理へ進む。図１２の処理では、電子鍵管理プログラム9002は、有効期間外であることを応答を電子鍵制御装置1102に返し(ステップS120)、電子鍵情報を消去する（ステップS121）。ステップ（S103）で有効期間内と判定された場合、電子鍵管理プログラム9002は、有効期間内であることを示す応答を返す（S104）。電子鍵制御装置1102は錠前解錠許可を錠前制御装置1111に送信し（ステップS105）、錠前制御装置1111は解錠して入口を開ける処理を行い、その処理実行の通知を電子鍵制御装置1102に送る（ステップS106）。錠前制御装置1111は、入口を開ける処理を行ったことを通知するものであり、入口が完全に開いたことを通知するものではない。次に、電子鍵制御装置1102は有効回数更新命令を非接触ICカードに送信する（ステップS107）。電子鍵管理プログラム9002は電子鍵情報9003の有効回数を1減算した値に更新し（ステップS108）、処理終了の応答を電子鍵制御装置1102に送信する（ステップS109）。次に電子鍵管理プログラム9002は、鍵消去保留フラグをチェックして、フラグがセットされていれば電子鍵を消去してトランザクションを終了し、セットされていなければ次のステップに進む（ステップS110）。鍵消去保留フラグがセットされていない場合、次に、有効回数の判定を行い、有効回数が残っている場合はトランザクションを終了し、残っていない場合は図1３の処理へ進む。図１３の処理は、電子鍵の消去を猶予する時間を与える処理で、具体的には、電子鍵管理プログラム9002が電子鍵情報9003の電子鍵フォーマット2000の状態フラグ2005に電子鍵消去保留フラグをセットし、有効期間の開始時刻2002もしくは終了時刻2003に消去を猶予する時間を書き込む。これは、例えば3分であったり、1時間であったりするが、この猶予時間は、予め電子鍵管理プログラム9002に設定しておくことも可能であり、また、ダウンロードする際に電子鍵情報の状態フラグ2005にセットしておき、ダウンロード直後に電子鍵管理プログラム9002がその情報を読み出して保存しておき、状態フラグ2005をクリアする方法も可能である。もしくは、鍵情報フォーマットを拡張して、猶予時間を設定する領域を設けておき、電子鍵管理プログラム9002が猶予時間を読み出して使用することも可能である。いずれにしても、この猶予時間は、電子鍵を与える側、もしくは電子鍵システムを運営管理する側が設定するものであり、電子鍵を与えられて使用するユーザが自在に設定できるものではない。ユーザに設定が許される場合は、モバイル端末から猶予時間を操作するために、電子鍵を与える側、もしくは電子鍵システムを運営管理する側から許可されたことを証明かつ認証する手段を別途設け、猶予時間を設定可能とするものとする。

次に、電子鍵消去時間が猶予された場合に、再度解錠を行う場合の処理について説明する。電子鍵情報9003に電子鍵消去の猶予時間が設定され、鍵消去保留フラグがセットされた状態の非接触ICカード9000を備えたモバイル端末を、非接触リーダライタ1101に翳した場合、図１０のステップS100、S101を経て、ステップS102にて、鍵消去保留フラグがチェックされていると判定される。電子鍵管理プログラム9002は、電子鍵が電子鍵制御装置トランザクションを行った時刻を毎回記憶しておき、ここで、鍵消去の猶予時間が、前回のトランザクションの時刻から、現在の時刻の間に入っているかどうかを判定する。例えば前回のトランザクションの時刻が10：00であり、猶予時間が3分、現在の時刻が10：02の場合、猶予時間内と判定する。この場合ステップ(S104)に進む。例えば現在の時刻が10:10の場合、猶予時間外と判定され図１１の処理に進む。図１１の処理では、有効回数が無くなり、猶予時間も切れたとして、電子鍵情報を消去する（ステップS114）。猶予時間内の場合、ステップ(S104)に進み、ステップS104〜S109の処理が行われる。このとき、入口は解錠されユーザは無事に入口を通過する。ステップ(S110)では鍵消去保留フラグをチェックし、フラグがセットされているので、電子鍵情報を消去してトランザクションは終了する。

本実施例において、ユーザに対する解錠できなかった場合の理由の表示例も図１７の表示例で実施するものとする。これらの表示を実現する手段としては、解錠出来なかったときに、ユーザのボタン操作などのアクションで、非接触ＩＣカード1007内に残された電子鍵情報が解錠出来なかった理由を読み出し、それに対応した表示を行うものである。本実施例においては、電子鍵管理プログラム9002が解錠出来なかった理由を管理し、モバイル端末1000からの要求でその情報を返すことで実施するものとする。また、電子鍵の有効期間や有効回数、消去猶予時間（3分など）、猶予時刻（猶予時間が有効な時刻）、電子鍵リストの表示についても、同様の方法で実施するものとする。図１７の1706は、電子鍵情報に消去猶予時間も含めた表示例である。また、猶予時刻の表示は、電子鍵情報リストの有効期間の終了時刻欄に猶予時刻を表示することで実施するものとする。上記のような方法で、実施例１と同様の表示機能を実施可能である。

以上より、本実施例によれば、電子鍵で入口を解錠し、入口が開いたにもかかわらず、入口が開いている時間内にユーザが何らかの事情で入口通過できなかった場合に、与えられた猶予時間内であれば、再度入場することができる。再入場は、電子鍵情報を再度ダウンロードすることでも可能であるが、本実施例は、ユーザの手間を省き、簡単に再入場をする方法を提供するものであり、ユーザにとって安心で使い勝手が良いという効果がある。
また、本実施例において、猶予時間を0分とすることで、実施手段は異なるもののユーザにとっての機能は同じであり、実施例1と同様の効果がある。

また、本実施例において、猶予時間を設けた場合でも、実施例1と同様の効果が得られる。

本発明の実施例３を図１４を用いて説明する。図１４は本発明の電子鍵システムに用いる非接触ICカードの内部構造を示す図であり、不揮発性メモリ1401に、図４と同様の電子鍵情報エリア1402と、図９と同様の電子鍵管理プログラム1405を備えた構成となっている。電子鍵情報エリア1402内の電子鍵情報1403と、電子鍵管理プログラム1405の格納方法については、実施例1、実施例2で説明した方法と同様である。電子鍵情報エリア1402に含まれる電子鍵情報1403は、実施例１で説明したものと同じであり、認証部1404は、電子鍵制御装置1102と相互認証を行うだけでなく、電子鍵管理プログラム1405に含まれる認証部1406とも相互認証を行うようになっている。また、電子鍵管理プログラム1405は電子鍵情報をもたず、電子鍵情報エリア1402内の電子鍵情報1403にアクセスし、管理を行うプログラムである。電子鍵管理プログラム1405の認証部1406と電子鍵エリア1402の認証部1404で相互認証を行うことで、電子鍵管理プログラム1405は、電子鍵情報1403にアクセス可能となる。

本実施例では、入口解錠に関する処理フローは実施例１に同じである。電子鍵管理プログラム1405は、有効回数を更新する手段、有効期限を更新する手段を持つ。また、ユーザに使用許可されていない電子鍵情報を含む、電子鍵情報が複数ダウンロードされているものとして、使用許可されていない電子鍵情報を有効にする手段を持つ。これらの手段は、モバイル端末1000での認証手段を経て、本実施例の電子鍵システムを用いたサービスの正当な正当なユーザと承認されたユーザからの制御を受け付けて、電子鍵情報1403を更新することを可能とするものである。例えば、特定のユーザのみに知らされたパスワードの入力で、有効回数を増やすことや、有効期限を延長することが可能である。また、使用許可されていない電子鍵情報を有効にすることが可能である。具体的な増加回数や延長時間は、予め電子鍵管理プログラムに1405に設定されており、ユーザはそれを実行するだけとすることで、ユーザが回数や延長時間を自在に設定することは出来ないものとする。

本実施例は、例えば不特定多数の人に物を貸し出すサービスの提供者、例えばレンタルサービス等において、ユーザに、そのユーザの使用が許されていない新たなサービスを体験してもらい新たな需要を広げたい場合や、ユーザへの特典としてパスワードを知らせて、特典サービスを提供する場合に有効である。また、予め設定された電子鍵情報の使用制限により、電子鍵が使えなくなった場合に、新に電子鍵をダウンロードできない状況にあるときに、一時的に電子鍵を有効にすることが出来る。

本実施例によれば、電子鍵情報の使用制限に拡張性を持たせることができ、サービス提供側の目的や、ユーザの目的に合わせた柔軟な電子鍵システムを提供することができる。

また、本実施例の構成において、本実施例の電子鍵管理プログラム1405が、実施例２に示す電子鍵管理プログラム9002と同じ処理を行うことで、実施例２と同様の効果が得られる。但し、その際には、電子鍵情報へのアクセスの方法が異なり、本実施例の電子鍵管理プログラム1405が電子鍵情報にアクセスするためには、電子鍵情報エリア1402の認証部1404との相互認証を行うものである。

また、本発明の実施例２の構成において、本実施例で示した電子鍵管理プログラムの処理を、実施例２に示す電子鍵管理プログラムで行うことにより、本実施例と同様の効果が得られる。但し、その際の電子鍵情報へのアクセスは、実施例２に示す電子鍵管理プログラムと電子鍵情報のアクセス方法に従うものとする。

本発明の実施例４を図１５、１６を用いて説明する。図１５は本実施例の電子鍵管理システムであり、図１に示す電子鍵システムの構成において、入口制御装置の電子鍵制御装置に電子鍵データリスト制御部1500と、ユーザ入力部1501と外部機器連携制御部1502を設けたものである。また、電子鍵格納部1105に代わり、電子鍵データリスト格納部1503を設けたものである。電子鍵データリスト格納部は、複数の電子鍵情報およびその属性を格納できるものである。図１６は、電子鍵データリストの例を示し、複数の住人がいる住戸において、個々の住人が自分専用鍵を持ち、また来客や外部者のための一時鍵も持つものである。各々の鍵には、有効／無効、有効期間、使用可能回数、ホームネットワークに接続されている他機器との連携機能などの属性が設定されている。また、電子鍵データリスト制御部1501は、ユーザ入力部1502を介したユーザ操作で、その属性を変更可能である。また、外部機器連携制御部1503は電子鍵の使用状態と連携して他機器と連携動作する機能を担うものである。

図１６に示す電子鍵データリストとその属性に従った処理を説明する。住人(a)が電子鍵で玄関を入ると、電子情報管理部1107が、住人(a)用鍵データの属性を解析し、外部機器連携制御部1502を介してエアコンをONするようになっている。また、住人(b)が電子鍵で玄関を入ると、属性としては、住人(a)のモバイル端末に電子メール等手段で通知するようになっているが、住人(b)の電子鍵は無効になっているため、電子情報管理部1107がその属性を解して、住人(b)用の電子鍵では解錠を許可しない。有効／無効の属性は、他の住人が制御可能な属性で、例えば住人(a)が有効状態に設定することで、住人(b)は電子鍵を用いて玄関を入ることが可能となる。住人(c)用の鍵で住人(c)が玄関を入ると、電子情報管理部1107が、住人(c)用鍵データの属性を解析し、外部機器連携制御部1502を介して住人(a)に対してモバイル端末のチャット機能などで、オンラインの通知wをするようになっている。

来客者用鍵データ(ｉ)は、例えば急にベビーシッターやヘルパーを頼む必要ができて、自宅に入室するための一時的な鍵を与えたい場合に利用するものである。来客者（ｉ）が電子鍵を用いて玄関を入ると、電子情報管理部1107がその属性を解して、外部機器連携制御部1502を介して、プライベートな部屋には自動的に鍵をかけ、入室許可させないといった制限がかかるようになっている。外部機器連携制御部1502はホームネットワークとの連携や、特定の機器との連携を想定しており、いずれにしても、連携するホームネットワークや特定機器の仕様に従った制御機能を有しているものとする。
また、本実施例においては、モバイル端末で生体認証手段等を用いて、ユーザの本人認証は為されるものとする。

以上より、本発明によれば、電子鍵データリストの属性により、電子鍵使用に付随する機能を自在に設定することができ、ユーザに使い勝手のよい、柔軟な電子鍵システムを提供することができる。

本発明の実施例１の電子鍵システムの構成図である。 本発明の実施例１の電子鍵情報のフォーマットである。 本発明の実施例１の電子鍵情報をダウンロードするネットワーク構成図である。 本発明の実施例１の非接触ＩＣカードの内部構造を示す図である。 本発明の実施例１の電子鍵管理方法のフロー図である。 本発明の実施例１の電子鍵管理方法のフロー図である。 本発明の実施例１の電子鍵管理方法のフロー図である。 本発明の実施例１の電子鍵管理方法のフロー図である。 本発明の実施例２の非接触ＩＣカードの内部構造を示す図である。 本発明の実施例２の電子鍵管理方法のフロー図である。 本発明の実施例２の電子鍵管理方法のフロー図である。 本発明の実施例２の電子鍵管理方法のフロー図である。 本発明の実施例２の電子鍵管理方法のフロー図である。 本発明の実施例３の非接触ＩＣカードの内部構造を示す図である。 本発明の実施例４の電子鍵システムの構成図である。 本発明の実施例４の電子鍵データリストである。 本発明の実施例1、２のモバイル端末の表示例である。

Claims (10)

1. ＩＣカードと認証装置とを備える認証システムであって、
   該ＩＣカードは、該認証装置で用いる認証情報および該認証情報を消去する条件の情報を記憶しており、
   該認証制御装置は、該ＩＣカードが記憶している該認証情報を用いて該ＩＣカードの認証をし、該ＩＣカードが記憶している該認証情報を消去する条件を該認証情報が満たすか否かを判定し、該条件を満たす場合該認証情報を消去すること、
   を特徴とする認証システム。
2. ＩＣカードと認証装置とを備える認証システムであって、
   該ＩＣカードは、該認証装置で用いる認証情報および該認証情報を消去する条件の情報を記憶しており、
   該認証制御装置は、該ＩＣカードが記憶している該認証情報を用いて該ＩＣカードの認証をし、該認証情報を消去する条件の判定に用いる情報をＩＣカードに送信し、
   該ＩＣカードは、該認証制御装置から受信した情報を用いて該認証情報を消去する条件を該認証情報が満たすか否かを判定し、該条件を満たす場合該認証情報を消去すること、
   を特徴とする認証システム。
3. 非接触ＩＣカードと、対向する該非接触ＩＣカード制御装置との間において、両者の相互認証を行う段階と、相互認証に成功した後に、所定条件の判定に従い所定処理を行う段階と、該処理が終了した際に非接触ＩＣカード内のデータを消去する段階、とを備えたことを特徴とするデータ管理方法。
4. 請求項３に記載のデータ管理方法において、該データが入口等の解錠許可条件となる電子鍵情報であることを特徴とする電子鍵管理方法。
5. 請求項４に記載の電子鍵管理方法において、相互認証に成功した後に行われる所定条件の判定と所定処理の方法として、非接触ＩＣカード制御装置が、自ら有する現在時刻が非接触ＩＣカードに格納された電子鍵情報に含まれる有効期間内であるかどうかを判定する段階と、該電子鍵情報に含まれる残りの使用可能回数の有無を判定する段階と、前記2段階の条件を満たせば解錠を行い、制御装置が非接触ＩＣカード内の電子鍵情報を消去する段階と、前記有効期間と有効回数条件のいずれかを満たさない場合に電子鍵情報を消去する段階、とを備えたことを特徴とする電子鍵管理方法。
6. 請求項４に記載の電子鍵管理方法において、相互認証に成功した後に行われる所定条件の判定と所定処理の方法として、非接触ＩＣカードに格納された電子鍵管理プログラムが、非接触ＩＣカード制御装置が有する現在時刻を含む情報を受信して、該時刻情報に基づき非接触ＩＣカードに格納された電子鍵情報に含まれる有効期間内であるかどうかを判定する段階と、該電子鍵情報に含まれる残りの使用可能回数の有無を判定する段階と、前記2段階の条件を満たせばその旨を前記制御装置に通知して該制御装置が解錠を行う段階と、前記有効期間と有効回数条件のいずれかを満たさない場合、もしくは前段階において解錠行った後に該電子鍵管理プログラムが前記電子鍵情報を消去する段階、とを備えたことを特徴とする電子鍵管理方法。
7. 請求項６に記載の電子鍵管理方法で、電子鍵情報に含まれる残りの使用可能回数が０になった場合に、該電子鍵情報に電子鍵消去の保留を意味するフラグをセットする段階と、電子鍵消去までの猶予時間を設定する段階と、前記電子鍵消去保留フラグを判定して、該フラグがセットされており且つ制御装置から受信した現在時刻が前記猶予時間内である場合に電子鍵の解錠を行う段階と、該フラグがセットされており且つ制御装置から受信した現在時刻が前記猶予時間外である場合に電子鍵情報の消去を行う段階と、該フラグがセットされており且つ制御装置から受信した現在時刻が前記猶予時間内である場合に電子鍵の解錠を行った後に電子鍵情報を消去する段階と、を備えたことを特徴とする電子鍵管理方法。
8. 請求項５に記載の電子鍵管理方法を実行することを特徴とした電子鍵制御装置。
9. 請求項４，５，６，または７に記載の電子鍵管理方法を実行することを特徴とした電子鍵管理システム。
10. 請求項３に記載の電子鍵制御装置に、複数の電子鍵データリストを格納する手段と、該電子鍵データリストが属性を持ち、該属性をユーザが操作する手段と、該電子鍵データを用いて解錠した場合に、外部の機器を連携して動作させるための手段とを備えたことを特徴とする電子鍵制御装置。
    

Images