CN101075358A - 认证装置、认证系统、以及认证装置的装置确认方法 - Google Patents

Abstract

反复如下处理步骤：在启动时，从其它认证装置接收分割数据，与自身的分割数据结合，复原第1认证数据，经过规定时间后，从其它认证装置再次接收分割数据，与自身的分割数据结合，复原第2认证数据，对照第1认证数据与第2认证数据，判断其它认证装置是否为正规装置，在其它认证装置为正规装置时，多个认证装置中的1认证装置，将所述第2认证数据再分割为多个分割数据、并再分发，在每一规定时间内，由分割数据复原认证数据，对照复原后的认证数据与第1认证数据，判断其它认证装置是否是正规装置。

Description

认证装置、认证系统、以及认证装置的装置确认方法

本申请基于先前在2006年5月19日递交的日本专利申请JP2006-139722，并享受其优先权的好处；其全部内容被纳入本申请中，以资参考。

技术领域

本发明涉及由多个认证装置构成的认证系统。

背景技术

一直以来，在由多个认证装置构成的认证系统中，为了确认是否连接有不正当的装置，而在各装置间相互生成会话密钥(Session Key)，相互认证认证装置，由此来确认是否连接有不正当的装置(特开平9-282506号公报)。

可是，在现有技术中，在解析会话密钥、偷换为可生成该会话密钥的不正当认证装置时，担心不能检测出已偷换为不正当的认证装置。

另外，如果不结束基于会话密钥的认证则认证装置不启动，且认证数据自身被存储在认证装置中，所以当解析认证装置时，认证数据也被解析。结果，担心会伪造认证数据、执行不正当的认证。

发明内容

本发明，是为了解决上述课题的至少一部分而形成的，，其目的是，即使在偷换了认证装置时也可以检测到该事实，或者使之难以进行认证数据的解析，抑制、防止通过不正当方法进行的认证。

为了解决上述课题，本发明的认证装置为含有多个认证装置的认证系统中的认证装置，具有：非易失性存储单元，其存储多个分割数据的一个，该多个分割数据是将为了与输入到认证装置的输入数据对照来执行认证而预先准备的认证数据分割为多个而得到的；接收单元，其接收存储到其它认证装置的分割数据；复原单元，其结合存储到所述非易失性存储单元的分割数据与所述接收到的分割数据，复原所述认证数据；易失性存储单元，其存储复原后的所述认证数据；和认证单元，其对照所述复原的认证数据与在认证时输入到认证装置的输入数据，执行认证。

根据本发明的认证装置，即使解析一个认证装置的分割数据，因为该分割数据只不过是将认证数据分割为多个的分割数据中的一个，所以也可以阻挠认证数据的解析。结果，可以抑制、防止通过不正当的方法进行认证。

本发明的认证装置，还具有：对照单元，其对照在第1时间内所述复原单元复原、所述易失性存储单元存储的第1认证数据、与在第1时间以后的第2时间内所述复原单元复原的第2认证数据；和警报单元，其在所述第1认证数据与第2认证数据不一致时通知异常。

根据本发明，在装置的相互确认中使用认证数据，对照不同的2个时间中的认证数据。在该2个时间之间偷换了认证装置时，因为不能确认认证装置的同一性所以可检测出偷换了认证装置的事实。因此，可以抑制、防止通过不正当的方法进行认证。

在本发明的认证装置中，所述规定的第1时间是认证装置启动时。根据本发明的认证装置，通过将第1时间设为启动时，可以检测出从启动时的认证装置的偷换。因此，可以抑制、防止从启动时的通过偷换认证装置而进行的不正当认证。

本发明的认证装置，还具有：分割单元，其将所述复原后的认证数据再分割为与复原前的分割数据不同的分割数据；和分发单元，其将所述再分割的分割数据分发到其它认证装置。根据本发明的认证装置，因为每次分发不同的分割数据，所以即使某时的分割数据被盗走/窃听，但在之后进行了认证数据的再分割/再分发时，存储了被盗走/窃听的分割数据的认证装置也不被确认为正规装置。因此，即使在分割数据被盗走/窃听的情况下，也可以检测出认证装置的偷换，可抑制、防止通过不正当的方法进行认证。

本发明的认证装置，还具有：分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和发送单元，其将表示指定后的认证装置的符号发送到其它认证装置。根据本发明的认证装置，因为认证装置从多个认证装置中指定进行认证数据的分割以及分割数据的分发的分割分发装置，所以可以使分割分发装置每次不同。因此，瞄准分割分发装置的黑客攻击(hacking)变得困难。其结果使认证数据的解析变得困难，可以抑制、防止通过不正当的方法进行认证。

本发明的认证系统，含有多个认证装置，各认证装置，具有：非易失性存储单元，其存储多个分割数据的一个，该多个分割数据，是将为了与输入到认证装置的输入数据对照来执行认证而预先准备的认证数据分割为多个而得到的；接收单元，其接收存储到其它认证装置的所述多个分割数据；复原单元，其结合存储到所述非易失性存储单元的分割数据与所述接收到的分割数据，复原所述认证数据；易失性存储单元，其存储复原后的所述认证数据；认证单元，其在认证时对照所述输入数据与存储在所述易失性存储单元的所述认证数据，执行认证；对照单元，其对照在规定的第1时间内复原并存储在易失性存储单元的第1认证数据、与在第1时间以后的规定的第2时间内复原的第2认证数据；和警报单元，其在所述第1认证数据与第2认证数据不一致时发出警报；所述多个认证装置中的1认证装置，还具有：分割单元，其将所述复原后的认证数据分割为与接收到的分割数据不同的分割数据；分发单元，其将所述分割后的分割数据分发到其它认证装置；分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和发送联络单元，其将表示指定后的认证装置的符号发送到其它认证装置。

根据本发明的认证系统，即使解析了一个认证装置的分割数据，也因为该分割数据只不过是将认证数据分割为多个分割的数据中的一个，所以可以阻挠认证数据的解析。其结果可以抑制、防止通过不正当的方法进行认证。

本发明的认证系统的动作方法为认证装置中的装置确认方法，通过反复如下步骤来确认其它认证装置为正规装置：在启动时，接收存储在其它认证装置的非易失性存储部中的多个分割数据，结合存储在自身的非易失性存储单元中的分割数据与所述接收到的分割数据，复原第1认证数据，将所述复原后的第1认证数据存储到易失性存储单元中，经过规定的时间后，接收在其它认证装置的非易失性存储部中存储的多个分割数据，结合存储在自身的非易失性存储单元中的分割数据与所述接收到的分割数据，复原第2认证数据，对照所述第1认证数据与第2认证数据，判断其它认证装置是否为正规装置，在其它认证装置为正规装置时，多个认证装置中的1认证装置，将所述第2认证数据再分割为多个分割数据，将再分割所述第2认证数据的分割数据存储在多个认证装置的非易失性存储单元，在每一规定时间内，由分割数据复原认证数据，对照复原后的认证数据与第1认证数据，判断其它认证装置是否是正规装置，在其它认证装置是正规装置时，与所述1认证装置不同的认证装置，将与所述第1认证数据对照的认证数据分割为多个分割数据，并存储到其它认证装置的非易失性存储单元中。

根据本发明认证装置中的装置确认方法，通过在每一规定时间内相互确认认证数据来进行认证装置的确认，所以在规定时间之间偷换了认证装置时，可以检测出偷换了认证装置的事实。因此，可以抑制、防止通过不正当的方法进行认证。

此外，本发明可以通过各种方式来实现，除了认证装置之外，还可以通过含有多个认证装置的认证系统、认证系统的动作方法等方式来实现。

附图说明

下面，结合附图对本发明的最佳实施方式进行说明，其中，

图1是表示本实施例中认证系统的说明图。

图2是表示认证系统的认证装置的结构说明图。

图3是表示分割数据分发管理信息文件的说明图。

图4是表示认证装置启动后的处理流程图。

图5是表示认证装置执行的相互确认处理的流程图。

图6是表示认证装置执行的数据的分割、分发处理的流程图。

图7表示在认证动作各阶段中的存储在硬盘以及RAM中的分割数据、结合数据的概要说明图。

图8是表示执行认证的处理流程图。

具体实施方式

以下，对本发明的最佳实施方式进行说明。

A.本实施例中认证系统10的结构：

采用图1对本实施例中认证系统10进行说明。图1是表示本实施例中认证系统10的说明图。认证系统10由4个认证装置100、200、300、400构成。各认证装置100、200、300、400连接着网络20。在各认证装置100、200、300、400上各自连接有安全门(security door)105、205、305、405。安全门105、205、305、405是将安全区域外(例如，屋外)和安全区域内(例如，屋内)隔开的门。例如，当通过认证装置100执行认证处理并许可入室时，可以解除安全门105密钥的锁，进入到安全区域内。在安全门105、205、305、405上各自连接有警报灯106、206、306、406。当在认证装置中发生异常时，警报灯点亮，通知出现异常。

B.本实施例中认证系统10的认证100的结构：

采用图2对本实施例中认证系统10的认证装置100的结构进行说明。图2是表示认证系统10的认证装置100的结构说明图。

认证系统10包含4个认证装置100、200、300、400。认证装置可分为：向其它认证装置分发数据的分发装置、和接收分发的其它认证装置。分发装置不被固定为特定的认证装置，而是从4个认证装置中指定任意1个认证装置，剩下的认证装置为其它认证装置。因而，分发装置与其它认证装置的结构相同。因此，在以下说明中，取认证装置100为代表进行说明。

认证装置100，具有：CPU110、硬盘120、RAM130、生态信息取得部140、网络接口150和门接口160。

CPU110，是认证装置100的核心，除了控制整体认证装置100的动作，还进行各种运算、认证动作，并根据认证结果控制门接口160，使安全门105的锁开/闭。另外，CPU110经由网络接口150与其它认证装置200、300、400进行通信，接收在各个硬盘220、320、420中存储的分割数据225、325、425。

硬盘120是除了存储OS(未图示)之外还存储数据和应用程序的固体存储装置。作为数据存储分割数据和分割数据分发管理信息文件。所谓分割数据是将用于与向认证装置输入的输入数据对照、来执行认证的认证数据分割为多个的数据。在硬盘120中存储其中之一的分割数据125。此外，剩下的分割数据225、325、425被分别存储到认证装置200、300、400的硬盘220、320、420中。认证数据中包含：使指静脉的血管图形数据化的图形数据，和将用于对照图形数据与输入数据的算法、库(library)等进行数据化的处理数据。

参照图3对分割数据分发管理信息文件进行说明。图3是表示分割数据分发管理信息文件的说明图。分割数据分发管理信息文件是用于管理分割数据分发的文件，记录有分发装置序号、认证装置分发状态(“完成”或者“未”)和认证装置结合状态(“完成”或者“未”)。认证装置分发状态，执行了分发的分发装置的CPU，当向认证装置分发分割数据时，从“未”改写为“完成”。因此，在分发装置以外的认证装置中，分发状态保持“未”的状态。认证装置结合状态，当执行在各认证装置中分发的分割数据的结合、复原认证数据时，从认证装置接收其旨意的通知，CPU110从“未”改写为“完成”。

作为存储在硬盘120中的应用软件，有如下程序：分割数据回收程序，用于回收在其它认证装置200、300、400中存储的分割数据；分割数据结合程序，用于结合回收的分割数据；分割数据分发程序，用于在认证装置成为了分发装置时将结合的分割数据进行再分割后，分发到其它认证装置200、300、400中。

RAM130是可改写的易失性存储器，在硬盘120中存储的认证装置200的OS或应用程序被复制到RAM130上，并在RAM130中执行。另外，RAM130临时存储结合、复原分割数据后的结合数据，该分割数据是从认证装置100之外的其它认证装置200、300、400回收的。在结合数据中有：初期结合数据，其是在认证装置100启动时结合分割数据而形成的；装置认证时结合数据，其是在启动后的认证装置确认时结合分割数据而形成的。

生态信息取得部140通过摄像机141和图像处理IC142来取得指静脉的血管图形。例如，通过要求认证的人将手指放在检测台(未图示)上，从设置在检测台上部的近红外光源(无图示)向手指照射近红外线(约760nm)。静脉中红血球的还原血红蛋白(hemoglobin)吸收近红外线波长的光。当透射光通过摄像机141进行摄影时，静脉部分映射为阴影。由此，CPU110取得指静脉的血管图形图像。已取得的指静脉的血管图形图像通过图像处理IC142进行图像处理，生成认证用输入数据。

网络接口150是用于与其它认证装置200、300、400进行通信的接口。门接口160控制安全门105中锁的开闭。

其它认证装置200、300、400与认证装置100相同，各自具有CPU210、310、410以及硬盘220、320、420。这里，在硬盘220、320、420中存储的分割数据，是分割数据225、325、425，是各自与在认证装置100的硬盘120中存储的分割数据125不同的分割数据。当分割数据125、225、325、425结合时成为认证数据。另外，分割数据分发管理信息文件，除了硬盘120之外还设置在硬盘220、320、420中。

C.本实施例中认证系统10的动作：

参照图4至图7，对本实施例中认证系统10的认证装置100的动作进行说明。图4是表示认证装置100启动之后执行的处理的流程图。图5是表示认证装置100执行的相互确认处理的流程图。图6是表示认证装置100执行的数据的分割、分发处理的流程图。图7是表示在认证动作各阶段中的存储在硬盘以及RAM中的分割数据、结合数据的概要说明图。此外，关于图4至图6所示的流程，取认证装置100为代表进行说明，不过对于其它认证装置200、300、400也分别执行图4～图6所示的流程。

当接通开关时，认证装置100启动(步骤S400)。认证装置100的CPU110，将分割数据回收程序从硬盘120复制到RAM130上，并执行分割数据回收程序(步骤S410)，由其它认证装置200、300、400的硬盘220、320、420回收分割数据(步骤S420)。在图7中，分割数据A、B、C、D被临时存储在认证装置100的RAM上。

CPU110判断是否可以从全部认证装置中回收分割数据(步骤S430)。例如，CPU110在回收程序执行前升起每个认证装置的标志，在由认证装置回收了分割数据时降下该认证装置的标志。CPU110当在规定时间内没有降下全部的标志时，可以判断为不能回收分割数据。CPU110在不能回收分割数据时(步骤S430，No)，作为在认证装置中发生了异常的状况，发出警报(步骤S440)。

CPU110结合已回收的分割数据(步骤S450)。分割数据是2维数据串，数据串的形状各不相同。分割数据具有确定形状的形状参数，根据形状参数决定分割数据A、B、C、D的位置关系，如图7所示，结合分割数据A、B、C、D。CPU110判断结合数据是否正常(步骤S460)，例如，CPU110可通过采用结合数据的检查和(check sum)，来判断结合数据是否正常。另外，CPU110还可以通过对结合数据的hash值与最初将认证数据登录到认证系统时的hash值进行比较，来判断结合数据是否正常。CPU110在结合数据不正常时(步骤S460，No)，作为在某个认证装置中发生了异常的状况，发出警报(步骤S440)。

CPU110在结合数据正常时(步骤S460，Yes)，将结合数据作为初期结合数据存储到RAM130中(步骤S470)。初期结合数据作为用于认证装置相互确认的初期数据、或者与认证时的输入数据对照的认证数据来使用。CPU110执行认证装置的相互确认子程序(步骤S480)。以下，参照图5对认证装置的相互确认子程序(步骤S480)进行详细地说明。

认证装置的相互认证子程序是在CPU110将初期结合数据存储到RAM130中之后，在经过规定的时间后执行的处理。

CPU110执行回收程序，由其它认证装置200、300、400回收分割数据(步骤S500)。CPU110判断是否可以由其它认证装置200、300、400来回收全部的分割数据(步骤S510)。如上所述，CPU110在回收程序执行前对每个认证装置升起标志，在由认证装置回收了分割数据时，降下该认证装置的标志。CPU110当在规定时间内没有降下全部的标志时，可以判断为不能回收分割数据。CPU110在不能回收分割数据时(步骤S510，No)，作为在认证装置中发生了异常的状况，发出警报(步骤S520)。

CPU110在回收了全部分割数据时(步骤S510、Yes)，结合分割数据，复原认证数据(步骤S530)。具体来说，如图7所示，结合分割数据A、B、C、D。CPU110判断结合数据是否正常(步骤S540)，例如，CPU110可通过采用数据的检查和(check sum)，来判断结合数据是否正常。另外，CPU110还可以通过对结合数据的hash值与最初将认证数据登录到认证系统时的hash值进行比较，来判断结合数据是否正常。CPU110在结合数据不正常时(步骤S540，No)，作为在某个认证装置中发生了异常的状况，发出警报(步骤S520)。

CPU110在结合数据正常时(步骤S540、Yes)，将结合数据作为装置确认时结合数据，与初期结合数据进行对照(步骤S550)。CPU110在对照的结果是初期结合数据与装置认证时结合数据不一致时(步骤S560、No)，作为在某个认证装置中发生了异常的状况，发出警报(步骤S520)。如果不发生认证装置的偷换等，则初期结合数据与装置认证时结合数据一致。

CPU110在初期结合数据与装置认证时结合数据一致时(步骤S560、Yes)，将分割数据分发管理信息文件的“认证装置100的结合状态”栏改写为“完成”(步骤S570)。

另外，CPU110在将“认证装置100的结合状态”改写为“完成”时，将其旨意发送到其它认证装置200、300、400(步骤S580)。因此，在例如认证装置200的CPU210将硬盘220的分割数据分发管理信息文件的“认证装置200的结合状态”栏改写成“完成”时，将如下旨意发送到认证装置100，该旨意为认证装置200的CPU210将硬盘220的分割数据分发管理信息文件的“认证装置200的结合状态”框改写成“完成”。CPU110当接收认证装置200的CPU210将硬盘220的分割数据分发管理信息文件的“认证装置200的结合状态”栏改写成“完成”的旨意时，将认证装置100的硬盘120的分割数据分发管理信息文件的“认证装置200的结合状态”栏改写成“完成”。

CPU110结束认证装置的相互确认子程序(步骤S480)，执行数据分割分发子程序(步骤S490)。以下，参照图6对数据分割分发子程序(步骤S490)进行详细地说明。

CPU110首先判断认证装置100是否是分发担当装置(步骤S600)。因为之后的处理根据是否是分发担当装置而不同。通过在分割数据分发管理信息文件的“分发装置号”栏中记录的分发装置号来判断是否是分发担当装置。即，CPU110在记录到“分发装置号”栏中的分发装置号是自己的认证装置100的装置号时，判断为是分发担当装置，在是其它认证装置例如认证装置200的装置号时，判断为不是分发担当装置。

CPU110，在认证装置100是分发担当装置时(步骤S600、Yes)，判断分割数据是否回收完成(步骤S610)。CPU110，例如通过在RAM130上是否存在装置确认时结合数据，来判断分割数据是否回收完成。CPU110也可以通过分割数据分发管理信息文件的“认证装置100的结合状态”栏是否为“完成”来进行判断。CPU110，在不是分割数据回收完成时(步骤S610、No)，返回到认证装置相互认证(步骤S480)。

CPU110在分割数据回收完成时(步骤S610、Yes)，对装置确认时结合数据进行再分割(步骤S620)。此时CPU110，如图7所示，分割为与回收的分割数据(分割数据A、B、C、D)不同的分割数据(分割数据E、F、G、H)。CPU110，例如对装置确认时结合数据进行2维排列，由随机数进行4分割。CPU110将分割数据(分割数据F、G、H)分发给其它认证装置200、300、400(步骤S630)。此外，CPU110将分割数据中的一个(分割数据E)不分发到其它认证装置200、300、400，而存储在硬盘120中。其它认证装置200、300、400的CPU210、310、410当接受分割数据的分发时，在各自的硬盘220、320、420中存储分割数据(步骤S640)。

CPU110当分发分割数据时，将分割数据分发管理信息文件的“认证装置分发状态”栏从“未”改写为“完成”(步骤S650)。例如，CPU110在将分割数据分发给认证装置200时，将“认证装置200分发装置”栏从“未”改写为“完成”。CPU110反复分割数据的分发(步骤S630)、分割数据分发管理信息文件的“认证装置分发状态”栏从“未”向“完成”的改写(步骤S650)，直至将分割数据分配到全部的认证装置中为止(步骤S660、No)。

CPU110当将全部的“认证装置分发状态”栏改写为“完成”时，结束向认证装置分发分割数据(步骤S660、Yes)，执行分发担当装置的变更(步骤S670)。即，CPU110从全部认证装置中选择执行下一分发的分发担当装置。执行下一分发的分发担当装置，例如由随机数进行选择。因此，有可能同一认证装置连续担当分发装置。此外，在图7所示的例子中，最初的分发担当装置是认证装置100，而第2次的分发担当装置是认证装置200。

CPU110在选择了执行下一分发的分发担当装置时，将其装置号作为分发担当装置号发送给其它的认证装置(步骤S680)，将分割数据分发管理信息文件的全部“认证装置分发状态”、“认证装置结合状态”栏从“完成”改写为“未”(步骤S685)。

其它认证装置200、300、400的CPU210、310、410当接收分发担当装置号时(步骤S690)，改写分割数据分发管理信息文件的“分发装置号”栏，并且将分割数据分发管理信息文件的“认证装置分发状态”、“认证装置结合状态”栏从“完成”改写为“未”(步骤S695)。

以后，CPU110反复执行认证装置相互确认子程序(步骤S480)以及数据分割分发子程序(步骤S490)。这里，在对装置确认时结合数据进行再分割时(步骤S620)，分割为每次不同的分割数据。例如在图7所示的例子中，装置确认时数据，在第一次再分割中再分割为分割数据E、F、G、H，在第二次再分割中，分割数据被再分割为分割数据I、J、K、L。如上所述，CPU例如可以通过将装置确认时数据进行2维排列并以随机数进行4分割，来再分割为每次不同的分割数据。在进行了再分割/分发后，在从某认证装置回收的分割数据是再分割前的分割数据时，CPU即使结合分割数据，结合数据的检查和也不一致。因此，CPU可检测出在某个认证装置中发生了异常。

在本实施例中，关于从执行认证装置的确认子程序(步骤S480)到执行数据分割分发子程序(步骤S490)的时间没有特别规定，但是在执行了认证装置的确认子程序之后紧接着执行数据分割分发子程序。CPU110，用认证装置的确认子程序由分割数据生成装置确认时结合数据，且在之后的数据分割分发子程序中可以使用装置确认时结合数据。另外，当从执行认证装置的确认子程序到执行数据分割分发子程序的时间较长时，在其间有发生认证装置的装置偷换的情况。在该情况下，因为变成向偷换的装置发送再分割后的分割数据，所以在下一认证装置的确认子程序中回收的分割数据是正确的分割数据。其结果是有可能不能检测出认证装置的偷换。因此，从执行认证装置的确认子程序到执行数据分割分发子程序的时间应该尽量短。

参照图8对执行认证时的动作进行说明。图8是表示执行认证的处理流程图。

当请求认证的人的手指放在检测台(未图示)上，并由传感器(未图示)检测出已放上了手指(步骤S800)时，按下手指，近红外线(波长约760nm)从设置在检测台上部的近红外光源(未图示)被照射到手指(步骤S810)。静脉中红血球的还原血红蛋白吸收近红外线波长的光。CPU110当用摄像机141对透射光进行摄影时，静脉部分映射为黑。由此，CPU110测定指静脉血管图形的图像(步骤S820)。CPU110采用图像处理IC142对测定的指静脉血管图形的图像执行图像处理，生成认证用输入数据(步骤S830)。

接着，CPU110对照生成的认证用输入数据和RAM130上的初期结合数据，执行认证(步骤S840)。如上所述，初期结合数据在认证装置100启动时进行了结合、复原。CPU110，无论是在执行认证动作时还是在执行认证装置的认证以及数据的分割分发动作时，对于初期结合数据来说，都仅仅是读而不改写。因此，CPU110即使在必须同时执行认证动作、和上述的确认认证装置以及分割分发数据的处理动作的状况下，也可独立执行认证动作、和上述的确认认证装置以及分割分发数据的处理动作。此外，在认证装置的确认子程序(步骤S490)中认证装置出现了异常时，CPU110可发出警报，并可同时停止认证动作。

CPU110在RAM130上的初期结合数据与生成的认证用输入数据一致时(步骤S840，Yes)，解除安全门105的锁，许可入室。另一方面，在RAM130上的初期结合数据与生成的认证用输入数据不一致时(步骤S840，No)，维持安全门105的锁。

如以上说明，根据本实施例，在认证装置100的硬盘中只存储将认证数据分割为多个的分割数据中的一个(例如，分割数据A)。因此，即使盗走认证装置100，也难以复原认证数据(结合数据)。

根据本实施例，复原的认证数据存储在易失性存储单元中。当认证装置100的电源切断时，复原的认证数据也消失。例如，在认证装置被盗时，因为认证数据消失，所以认证数据是难以复原的。因此，可抑制、防止通过伪造认证数据进行的不正当认证。

根据本实施例，对照了不同的2个时间中的结合数据。在该2个时间之间偷换了认证装置时，结合数据不一致。因此，可以检测出偷换认证装置等认证装置的异常，并发出警报。即，可抑制、防止通过认证装置偷换进行的不正当认证。

根据本实施例，因为结合数据使用认证装置启动时的初期结合数据，所以可检测出在认证装置启动之后发生的认证装置的偷换。因此，可以抑制、防止通过从启动时的认证装置偷换进行的不正当认证。

根据本实施例，因为结合数据被每次分割为不同的分割数据、并分发，所以从认证装置为分发担当装置的认证装置接收的分割数据每次不同。因此，即使某时的分割数据被盗走/窃听，但在之后进行了认证数据的再分割/再分发时，该分割数据在认证数据的再分割/再分发后采用盗走/窃听的分割数据不能复原结合数据。由此，即使在分割数据被盗走/窃听的情况下，也可以检测出认证装置的偷换，可抑制、防止通过认证装置偷换进行的不正当认证。

根据本实施例，因为进行认证数据的分割以及分割数据的分发的分发担当装置每次不同，所以瞄准进行认证数据的分割以及分割数据的分发的分发担当装置的黑客攻击变得困难。

根据本发明，输入数据、或者与装置确认时结合数据对照的初期结合数据，在启动时生成之后不改写。因此，CPU110可以独立执行认证动作和认证装置的确认动作。

D.变形例：

(1)在本发明例中，取认证装置为例进行了说明，不过本发明可以通过各种方式来实现，除认证装置之外，可以通过含有多个认证装置的认证系统等方式来实现。

(2)在本实施例中，分发担当装置的变更，可以在分割分发结合数据后，回收分割数据、确认认证装置之前来执行，不过也可以在回收分割数据、确认认证装置后，分割分发结合数据之前来进行。

(3)在本实施例中，分发担当装置的CPU将结合数据分割为每次不同的分割数据，不过此时也可以分割为在分割数据间一部分数据重复。

(4)在本实施例中，在启动时执行分割数据的回收，不过也可以在启动后，再经过一定时间后，执行最初分割数据的回收。原因是存在其它认证装置没有启动的情况。

(5)在认证装置的确认处理中，例如，在由于认证装置的偷换等而导致不能确认认证装置时，可以既发出警报，又停止认证系统。

(6)在本实施例中，在认证装置间收发分割数据时，原封不动地收发分割数据，不过也可以加密分割数据后再进行收发。例如，可以采用公钥加密方式或者私钥加密方式。

(7)在本实施例中，分割数据为2维数据串，不过也可以是1维数据串。如果是1维数据串，则CPU可以以分割数据的排列顺序来排列分割数据，进行简单地结合。

以上，根据几个实施例对本发明的实施方式进行了说明，不过上述发明的实施方式，只是为了易于理解本发明，而并不限定本发明。当然，本发明，在不脱离其宗旨和权利要求的范围的情况下，可以进行各种变更、改良，同时，在本发明中包含其等价物。

Claims (11)

1.一种认证装置，其为含有多个认证装置的认证系统中的认证装置，

具有：

非易失性存储单元，其存储多个分割数据的一个，该多个分割数据是将为了与输入到认证装置的输入数据对照来执行认证而预先准备的认证数据分割为多个而得到的；

接收单元，其接收存储到其它认证装置的分割数据；

复原单元，其结合存储到所述非易失性存储单元的分割数据与所述接收到的分割数据，复原所述认证数据；

易失性存储单元，其存储复原后的所述认证数据；和

认证单元，其对照所述复原的认证数据与在认证时输入到认证装置的输入数据，执行认证。

2.根据权利要求1所述的认证装置，

还具有：

对照单元，其对照在第1时间内所述复原单元复原、所述易失性存储单元存储的第1认证数据与在第1时间以后的第2时间内所述复原单元复原的第2认证数据；和

警报单元，其在所述第1认证数据与第2认证数据不一致时通知异常。

3.根据权利要求2所述的认证装置，其中，

所述规定的第1时间是认证装置启动时。

4.根据权利要求1所述的认证装置，

还具有：

分割单元，其将所述复原后的认证数据再分割为与复原前的分割数据不同的分割数据；和

分发单元，其将所述再分割的分割数据分发到其它认证装置。

5.根据权利要求2所述的认证装置，

还具有：

分割单元，其将所述复原后的认证数据再分割为与复原前的分割数据不同的分割数据；和

分发单元，其将所述再分割的分割数据分发到其它认证装置。

6.根据权利要求3所述的认证装置，

还具有：

分割单元，其将所述复原后的认证数据再分割为与复原前的分割数据不同的分割数据；和

分发单元，其将所述再分割的分割数据分发到其它认证装置。

7.根据权利要求4所述的认证装置，

还具有：

分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和

发送单元，其将表示被指定的认证装置的符号发送到其它认证装置。

8.根据权利要求5所述的认证装置，

还具有：

分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和

发送单元，其将表示被指定的认证装置的符号发送到其它认证装置。

9.根据权利要求6所述的认证装置，

还具有：

分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和

发送单元，其将表示被指定的认证装置的符号发送到其它认证装置。

10.一种认证系统，其含有多个认证装置，

各认证装置，具有：

非易失性存储单元，其存储多个分割数据的一个，该多个分割数据是将为了与输入到认证装置的输入数据对照来执行认证而预先准备的认证数据分割为多个而得到的；

接收单元，其接收存储到其它认证装置的所述多个分割数据；

复原单元，其结合存储到所述非易失性存储单元的分割数据与所述接收到的分割数据，复原所述认证数据；

易失性存储单元，其存储复原后的所述认证数据；

认证单元，其在认证时对照所述输入数据与存储在所述易失性存储单元的所述认证数据，执行认证；

对照单元，其对照在规定的第1时间内复原并存储在易失性存储单元的第1认证数据、与在第1时间以后的规定的第2时间内复原的第2认证数据；和

警报单元，其在所述第1认证数据与第2认证数据不一致时发出警报，

所述多个认证装置中的1个认证装置，还具有：

分割单元，其将所述复原后的认证数据分割为与接收到的分割数据不同的分割数据；

分发单元，其将所述分割后的分割数据分发到其它认证装置；

分割分发装置指定单元，其从其它多个认证装置中指定执行认证数据的分割以及分割数据的分发的其它认证装置；和

发送单元，其将表示被指定的认证装置的符号发送到其它认证装置。

11.一种认证装置的装置确认方法，其为在认证装置中的装置确认方法，

通过反复进行如下步骤来确认其它认证装置为正规装置：

在启动时，接收存储在其它认证装置的非易失性存储部中的多个分割数据；

结合存储在自身的非易失性存储单元中的分割数据与所述接收到的分割数据，来复原第1认证数据；

将所述复原后的第1认证数据存储到易失性存储单元中；

经过规定的时间后，接收在其它认证装置的非易失性存储部中存储的多个分割数据；

结合存储在自身的非易失性存储单元中的分割数据与所述接收到的分割数据，来复原第2认证数据；

对照所述第1认证数据与第2认证数据，判断其它认证装置是否为正规装置；

在其它认证装置为正规装置时，多个认证装置中的1个认证装置，将所述第2认证数据再分割为多个分割数据；

将对所述第2认证数据进行再分割后的分割数据存储在多个认证装置的非易失性存储单元；和

在每一规定时间内，从分割数据复原认证数据、并对照复原后的认证数据与第1认证数据，来判断其它认证装置是否是正规装置，在其它认证装置是正规装置时，与所述1认证装置不同的认证装置，将与所述第1认证数据对照过的认证数据再分割为多个分割数据，并存储到多个认证装置的非易失性存储单元中。

Images