JP2005346388A - 利用者の認証方法、セキュリティシステム、携帯型記憶媒体、及び認証装置 - Google Patents

Abstract

【課題】 管理対象の動作処理における、機密性（記憶媒体や管理対象の情報を不当に見せない）、安全性（記憶媒体や管理対象の情報を不当に改竄させない）のレベルを低下させることなく、安価に可用性（記憶媒体や管理対象の情報を不当に使用させない）を確保するシステムを実現しうる方法を提供することにある。
【解決手段】 生体情報を用いての本人認証（Ｓ１３）、カテゴライズしたカテゴリ秘密鍵とカテゴリ公開鍵とを用いた電子認証（Ｓ１７）、権限情報と権限条件とを用いた権限認証（権限判定、Ｓ２１）により、認証を行う。
【選択図】 図３

Description

本発明は、セキュリティシステムにおいて、生体情報による本人認証と公開鍵暗号方式による電子認証による利用者の認証（相互認証）を行う、利用者の認証方法、セキュリティシステム、携帯型記憶媒体、及び認証装置に関する。

従来、クレジットカードの利用や銀行預金の預け入れや引き出しや特定の部屋に入るための個人認証に際して、署名や暗証番号を本人確認の手段として用いるシステムがある。しかし、近年では、より安全性を考慮し、各個人単位でユニーク（Unique：唯一独自）である、バイオメトリクス（Biometrics：人間の肉体的特徴情報を用いた個人認証）が多く用いられ、中でも指紋照合がバイオメトリクスの認証手段において主流になっている。これは指紋による認証が、手軽で偽造がしにくいという点に着目したものであり、指紋に基づく個人認証装置は、すでに複数の企業から製品化、販売されている。これらの製品は、指紋を指紋センサ上に接触させることで指紋を読み取り、指紋の端点や分岐点の情報（：マニーシャ情報）を特徴点として認識し、登録されているマニーシャ情報と照合することにより個人認証を行っている。

また、同様に、虹彩、顔、音声、手の甲の静脈、更に赤外線の透過光を使った指静脈等に基づく認証方法等も存在する。また、インターネット等の通信網における、情報の安全性や信頼性が求められ、日本においては、ＰＫＩ（Public Key Infrastructure：公開鍵基盤）が整備されつつある。また、特許文献１には、耐タンパ性を有し記録情報の記憶された携帯装置と、耐タンパ性を有し前記携帯装置との間で通信が可能なとき、前記携帯装置内の登録情報と新規に入力される入力情報に基づいて、個人認証を実行可能な個人認証装置とを備え、携帯装置と個人認証装置間の情報が盗聴されても不正使用を防止するものが記載されている。
特開２０００−２４２７５０号公報

しかしながら、背景技術に示した署名や暗証番号は、見破られる可能性が高く、偽造されやすいという問題がある。また、バイオメトリクスによる各種個人認証について、指紋や静脈による認証は、比較的安価で認証率も高いが、これらの認証を単独で使用した場合の統計的データによる信頼性の保障がないという問題がある。また、ＰＫＩは、認証局、登録局、検証局等が必要となり、信頼性を検証するために認証局との間で電子的交渉処理が発生する等、システムが大規模化、複雑化する問題がある。更に秘密鍵を個人の責任において厳重に管理する必要があり、ＰＫＩの特性として、秘密鍵を登録した記憶媒体が盗難使用された場合でも、所有者の意思に関わらず証拠性、原本性が保障されてしまう問題がある。また、特許文献１に記載された方法では、ＩＣ（Integrated Circuit）カードとクライアント間のデータは暗号化されているので、盗聴されても不正使用防止可能とあるが、ＩＣカードから、秘密鍵や、生体データがクライアントに出て行くため、クライアントを改竄された場合、機密情報が漏洩する可能性がある。また、ＰＫＩと同様に、企業等多数の人員が同じ車両を使用する場合には、生体情報の登録及び管理が複雑になるという問題がある。

そこで、本発明は、例えばセキュリティの管理対象の動作処理時における、機密性（携帯型記憶媒体や認証装置の情報を不当に見せない）、安全性（携帯型記憶媒体や認証装置の情報を不当に改竄させない）のレベルを低下させることなく、安価に可用性（管理対象を不当に利用させない）を確保する利用者の認証方法等を提供することにある。

本発明に係る利用者の認証方法は、生体情報を用いての本人認証と、カテゴライズしたカテゴリ秘密鍵とカテゴリ公開鍵とを用いた電子認証と、必要に応じて、権限情報と権限条件とを用いた権限認証とにより認証を行うこととした。なお、どの認証を先にするか後にするかの手順は、特に問わない。
その他の解決手段については、後記する［発明を実施するための最良の形態］において明らかにする。

本発明によれば、機密性、安全性のレベルを低下させることなく、安価に可用性を確保する利用者の認証方法等を提供することができる。

以下、本発明の利用者の認証方法、セキュリティシステム、携帯型記憶媒体、及び認証装置（以下適宜「セキュリティシステム」という）の実施形態について、図を参照しつつ、詳細に説明する。

≪第１実施形態≫
本発明の第１実施形態を説明する。
図１は、第１実施形態のセキュリティシステムが適用される、ある企業の車両運行システムを模式的に示す図である。この図１に示すように、この企業は、本州に２つの営業拠点（東日本営業所と西日本営業所）を持ち、それぞれの営業拠点は、３台の車両（東西で計６台）とこの車両を運転して営業する３名の社員（東西で計６名）を有している。また、各社員は、ＩＣカードをそれぞれ貸与されて携帯している。
この第１実施形態では、カテゴリが、管理対象の車両を共同利用する営業所（グループ）ごとにカテゴライズされていると同時に、カテゴリが、管理対象の車両が利用される地域ごとにカテゴライズされている。なお、社員は、符号Ａ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆで示され、車両は、符号Ｕ，Ｖ，Ｗ，Ｘ，Ｙ，Ｚで示され、ＩＣカードは、符号１００ａ，１００ｂ，１００ｃ，１００ｄ，１００ｅ，１００ｆで示される。

第１実施形態では、携帯型記憶媒体を耐タンパ性のＩＣカード１００ａ〜１００ｆとし、予め正当な利用者（社員Ａ〜Ｆ）の生体情報テンプレートと、カテゴリ秘密鍵と、権限情報とが記憶されている。また、管理対象である車両Ｕ〜Ｚは、例えば運転席の運転ハンドルのグリップ部分に生体情報センサを具備し、予めカテゴリ公開鍵、権限条件等が登録されているものとする。また、生体情報としては指紋を用い、ＩＣカード１００ａ〜１００ｆと車両Ｕ〜Ｚの間の情報のやり取りは、ブルートゥース等の無線で行うものとする。なお、耐タンパ性とは、ＩＣカード１００ａ〜１００ｆが記憶しているデータ等の解析の困難さをいう。本実施形態では、さらにＩＣカード１００ａ〜１００ｆに記憶されているデータ（本実施形態ではカテゴリ秘密鍵）を暗号化して記憶している。さらに、後記するように、記憶されている情報がそのままの状態で外部にでていかないように、認証をＩＣカード１００ａ〜１００ｆの内部で行ったり、外部にでていく情報を暗号化したりする情報処理を行っている。ちなみに、本実施形態における本人認証は、特開２００１−３４４２１３号公報に記載された方法等を用いればよい。
なお、第１実施形態では、権限情報と権限条件による権限認証を行うこととして説明するが、この権限認証は必須のものではなく、省略することができる。ちなみに、権限情報とは、例えば、利用者が所有する免許情報等であり、具体的には普通自動車運転免許証、４級船舶免許証等を所有しているか否かの情報である。一方、権限条件とは、例えば、管理対象特有の条件である。権限情報と権限条件とにより、次の表１のような権限認証を行うことができる。

（セキュリティシステム）
図２は、第１実施形態のセキュリティシステムのシステム構成を示す図である。この図２に示すように、第１実施形態のセキュリティシステムは、携帯型記憶媒体であるＩＣカード１００と、認証装置２００と、生体情報センサである指紋センサ５００を備える。なお、セキュリティの管理対象は車両であり、セキュリティシステムにより利用者としての社員が認証された場合は、車両が備える図示しない電子燃料噴射装置用のコンピュータ（ＦＩ−ＥＣＵ；Fuel Injection-Electronic Control Unit）３００が作動許可され、運転可能になる。つまり、第１実施形態のセキュリティシステムは、車両のイモビライザ（Immobilizer）として機能する。

以下、図２に沿って、第１実施形態のセキュリティシステムの詳細を説明する。
図２から理解されるように、ＩＣカード１００は、本人認証と電子認証を行うように構成されている。認証装置２００は、電子認証と権限認証を行うように構成されている。また、認証装置２００は、指紋センサ５００と車両のＦＩ−ＥＣＵ３００に接続された構成をしている。指紋センサ５００は、利用者の指紋情報を入手し、前処理部２３０に指紋情報を送るように構成されている。ＦＩ−ＥＣＵ３００は、本人認証と、電子認証と、利用権限認証が許可されたとき、車両のエンジンの動作処理を行うように構成されている。つまり、３段階の認証が行われた結果、車両のエンジンが始動可能になるように構成されている。

［ＩＣカード］
ＩＣカード１００は、例えば車両を運転する社員ごとに携帯するものであり、生体情報テンプレート（以下「指紋情報テンプレート」という）を記憶する生体情報記憶部１１０と、カテゴリ秘密鍵を記憶するカテゴリ秘密鍵記憶部１２０と、権限情報を記憶する権限情報記憶部１３０とを備えている。さらに、このＩＣカード１００は、演算機能としての、本人認証部１４０と、電子認証部１５０と、暗号部１６０とを備えている。

生体情報記憶部１１０は、ＩＣカード１００の正当な利用者の指紋と対比するための指紋情報テンプレートを記憶している。カテゴリ秘密鍵記憶部１２０は、例えば、「東日本カテゴリ」、「西日本カテゴリ」といったＩＣカード１００の正当な利用者が利用できる営業所別（地域別・グループ別）のカテゴリ秘密鍵を暗号化された状態で記憶している。

本人認証部１４０は、結果判定部１４１を備え、認証装置２００の前処理部２３０で画像処理した利用者の指紋情報と、生体情報記憶部１１０に記憶された指紋情報テンプレートとを照合して本人認証を行い、その認証結果に基づく指示を電子認証部１５０と装置側の電子認証部２４０に送信する機能を備えている。

電子認証部１５０は、鍵解錠部１５１と、暗号部１５２と、復号部１５３と、結果判定部１５４とを備えて、認証装置２００（電子認証部２４０）と協働して電子認証を行うように構成されている（主として電子認証を行うのはＩＣカード１００（電子認証部１５０）である）。
鍵解錠部１５１は、カテゴリ秘密鍵記憶部１２０に暗号化して記憶されているカテゴリ秘密鍵の解錠（復号化）を行う機能を備えている。解錠されたカテゴリ秘密鍵は、（１）電子認証部１５０が認証装置２００（電子認証部２４０）と行う公開鍵暗号方式による電子認証と、（２）暗号部１６０における権限情報記憶部１３０に記憶された権限情報の暗号化に使用される。

暗号部１５２は、予め記憶されているＩＤやその都度生成されるチャレンジコード等（以下「チャレンジコード等」という）を、前記解錠したカテゴリ秘密鍵で暗号化し、暗号化情報（暗号化されたチャレンジコード等）を認証装置２００の電子認証部２４０（復号部２４２）に送信する機能を備えている。なお、暗号化は、ＩＤのみ、チャレンジコードのみ、或いは双方を行うようにしてもよく、特に限定されるものではない。

復号部１５３は、認証装置２００の電子認証部２４０から送られてきた暗号情報を、前記解錠したカテゴリ秘密鍵で復号化する機能を備えている。
結果判定部１５４は、暗号部１５２で暗号化する前のチャレンジコード等と、復号部１５３で復号化した後のチャレンジコード等の同一性を調べて電子認証を行う機能を備えている。
暗号部１６０は、結果判定部１５４の電子認証の結果がＯＫである場合に、権限情報記憶部１３０の権限情報を前記解錠したカテゴリ秘密鍵で暗号化して、認証装置２００の権限認証部２５０へ送信する機能を備えている。ちなみに、権限情報は、ＩＣカード１００の正当な利用者（利用権限認証者）が利用できる権限範囲情報等である（表１参照）。
なお、ＩＣカード１００における各種情報の送受信は、無線通信機能を備えた通信処理部１７０を介して行われる。

本実施形態では、本人認証及び電子認証はＩＣカード１００の中で行われるので、機密性に優れているといえる。

［認証装置］
認証装置２００は、例えば車両のインスツルメントパネル等に具備された認証手段であり、カテゴリ公開鍵を記憶するカテゴリ公開鍵記憶部２１０と、前記した権限情報に対応する権限条件を記憶した権限情報記憶部２２０とを備えている（これらは記憶部に相当する）。さらに、この認証装置２００は、前処理部２３０と、装置側の電子認証部２４０と、権限認証部２５０とを備えている（情報処理部に相当）。

前処理部２３０は、指紋センサ５００から取り込んだ指紋情報（指紋画像）を加工して、加工情報を本人認証部１４０へ送信する機能を備えている。カテゴリ公開鍵記憶部２１０は、例えば、「東日本カテゴリ」、「西日本カテゴリ」といった、前記したカテゴリ秘密鍵に対応したカテゴリ公開鍵を記憶している。

装置側の電子認証部２４０は、鍵解錠部２４１と、復号部２４２と、暗号部２４３とを備えている。
鍵解錠部２４１は、カテゴリ公開鍵記憶部２１０に暗号化して記憶されている（カテゴリ秘密鍵に対応する）公開鍵の検索及び選択とカテゴリ公開鍵の解錠（復号化）を行う機能を備えている。復号部２４２は、電子認証部１５０から送られてきたチャレンジコード等の暗号化情報を、鍵解錠部２４１で解錠したカテゴリ公開鍵で復号する機能を備えている。暗号部２４３は、復号化したチャレンジコード等を当該カテゴリ公開鍵で暗号化してＩＣカード１００の電子認証部１５０へ送信する機能を備えている。

権限認証部２５０は、復号部２５１と、権限判定部２５２とで構成し、復号部２５１は、暗号部１６０から送られてきた、権限情報の暗号化情報を当該カテゴリ公開鍵で復号化し、権限条件を満たしているか判定する。権限判定部２５２は、権限の判定結果がＯＫならば車両のＦＩ−ＥＣＵ３００へ作動指示を出力する機能を備えている。ちなみに、権限条件は、管理対象特有の情報等であり、例えば表１に示すようなマトリックスで表現されていてもよい。

（セキュリティシステムの動作）
次に、前記説明したセキュリティシステムの動作（利用者の認証方法）について説明する。

まず、図１に沿って、第１実施形態のセキュリティシステムの考え方について説明する。
図１に示すように、この会社の東日本営業所には、３名の社員Ａ，Ｂ，Ｃがいる。社員ＡはＩＣカード１００ａを、社員ＢはＩＣカード１００ｂを、社員ＣはＩＣカード１００ｃを携帯している。また、東日本営業所には、３台の車両Ｕ、Ｖ，Ｗがある。ここで、社員ＡのＩＣカード１００ａには、東日本という地域カテゴリ（営業所別カテゴリ）のカテゴリ秘密鍵が記憶されている。また、社員ＢのＩＣカード１００ｂにも、東日本という地域カテゴリのカテゴリ秘密鍵が記憶されている。また、社員ＣのＩＣカード１００ｃには、東日本及び西日本という２つの地域カテゴリのカテゴリ秘密鍵が記憶されている。
この点は、西日本営業所についても同様であるので、説明を省略する。

一方、東日本営業所の車両Ｕ，Ｖ，Ｗについて、車両Ｕは、東日本という地域カテゴリ（営業所別カテゴリ）のカテゴリ公開鍵（カテゴリ秘密鍵に対応したカテゴリ公開鍵）が記憶されている認証装置２００（図２参照）を搭載している。また、車両Ｖは、東日本及び西日本という２つの地域カテゴリのカテゴリ公開鍵が記憶されている認証装置２００（図２参照）を搭載している。また、車両Ｗも、東日本及び西日本という２つの地域カテゴリのカテゴリ公開鍵が記憶されている認証装置２００（図２参照）を搭載している。
この点は、西日本営業所についても同様であるので、説明を省略する。

一例を説明すると、ＩＣカード１００ａを携帯している社員Ａは、車両Ｕ，Ｖ，Ｗ，Ｚを運転することはできるが、車両Ｘ，Ｙを運転することはできない。これは、車両Ｘ，Ｙが東日本のカテゴリ公開鍵を記憶していないことから、イモビライザを解除することができずエンジンが始動しないからである。一方、ＩＣカード１００ｃを携帯している社員Ｃは、全ての車両Ｕ，Ｖ，Ｗ，Ｘ，Ｙ，Ｚを運転することができる。これは、社員Ｃが携帯しているＩＣカード１００ｃには、東日本及び西日本のカテゴリ秘密鍵が記憶されていることから、イモビライザを解除してエンジンを始動することができるからである。
この点は、他の社員Ｂ，Ｄ，Ｅ，Ｆについても同様であるので、説明を省略する。

以下、この点を踏まえて、適宜図１及び図２を参照しつつ、図３に沿って第１実施形態のセキュリティシステムの動作を説明する。図３は、第１実施形態のセキュリティシステムの動作を表したシーケンス図である。

社員Ａが車両Ｕを運転するため、車両Ｕに乗車する。なお、社員Ａが携帯しているＩＣカード１００ａには、自身の指紋情報が指紋情報テンプレートとして生体情報記憶部１１０に、自身の営業範囲である東日本のカテゴリ秘密鍵がカテゴリ秘密鍵記憶部１２０に、自身の権限情報が権限情報記憶部１３０に記録されている。一方、車両Ｕが搭載する認証装置２００ｕには、東日本のカテゴリ公開鍵がカテゴリ公開鍵記憶部２１０に、権限条件が権限条件記憶部２２０に記憶されている。

社員ＡがイグニッションスイッチをＯＮにすると、セキュリティシステムが起動する。社員Ａが運転席の操舵ハンドルを握ると、操舵ハンドルに具備された指紋センサ５００が社員Ａの指紋を検出する。前処理部２３０は、指紋センサ５００から指紋情報を入力する（取り込む）。前処理部２３０は、これを前処理（画像処理）する（Ｓ１１）。前処理した加工画像は、社員Ａが所持するＩＣカード１００ａへ無線で送信される（Ｓ１２）。なお、加工画像は暗号化されていてもよい。ＩＣカード１００ａの本人認証部１４０では、受信した指紋情報（加工画像）と生体情報記憶部１１０に記憶された指紋情報テンプレートとを照合して、本人認証を行う（Ｓ１３）。認証された場合は、認証ＯＫの情報が認証装置２００ｕに送信される（Ｓ１４）。この認証ＯＫにより、カテゴリ公開鍵記憶部２１０に暗号化して記憶されているカテゴリ公開鍵が鍵解錠部２４１で解錠される（Ｓ１５）。ちなみに、本人認証の結果が否の場合は、社員Ａの指紋情報を記憶して認証処理を終了する。
なお、本実施形態でのＩＣカード１００ａと認証装置２００ｕとの間の情報の送受信は、ＩＣカード１００ａの通信処理部１７０と認証装置２００ｕの通信処理部２７０との間で行われる。以後説明を省略するが情報の送受信は同様に行われる。

一方、ＩＣカード１００ａでも、認証ＯＫの場合は、カテゴリ秘密鍵記憶部１２０に記憶されたカテゴリ秘密鍵が鍵解錠部１５１で解錠される（Ｓ１６）。なお、本実施形態では、Ｓ１５及びＳ１６での鍵解錠は記憶されている全てのカテゴリ秘密鍵・カテゴリ公開鍵が解錠されるものとする。

ステップＳ１７では、解錠したカテゴリ秘密鍵とカテゴリ公開鍵とを用いた電子認証を行う（Ｓ１７）。ここでは、社員Ａ（ＩＣカード１００ａ）と車両Ｕ（認証装置２００ｕ）との組み合わせであるので、電子認証は成功する。ちなみに、社員Ａが、自身が携帯するＩＣカード１００ａで車両Ｘを運転しようとしても、車両ＸにはＩＣカード１００ａに記憶されている東日本のカテゴリ秘密鍵に対応するカテゴリ公開鍵が記憶されていないので、ステップＳ１７の電子認証は失敗に終わる。電子認証の結果が否（失敗）の場合は、社員Ａの指紋情報を認証装置２００ｕ内に記憶して認証処理を終了する。つまり、車両Ｕのエンジンを始動させない。

ステップＳ１７で電子認証が成功すると、ＩＣカード１００ａでは、暗号部１６０が権限情報記憶部１３０に記憶された権限情報を暗号化し（Ｓ１８）、暗号化情報を送信する（Ｓ１９）。

認証装置２００ｕに送信された権限情報に関する暗号情報は、権限認証部２５０の復号部２５１で、前記解錠されたカテゴリ公開鍵をもちいて解錠（復号化）される（Ｓ２０）。そして、復号化された権限情報は、権限判定部２５２で、権限条件記憶部２２０に記憶された権限条件と照合され、権限判定が行われる（Ｓ２１）。
権限判定が可の場合は、ＦＩ−ＥＣＵ３００の作動が許可され、エンジンの始動が可能になる（Ｓ２２、管理対象動作指示）。一方、権限判定が否の場合は、社員Ａの指紋情報を記憶して認証処理を終了する。つまり、車両Ｕのエンジンは始動しない。なお、権限判定が否になるのは、例えば、管理対象が大型車であるが、権限情報が普通免許のみの場合は、権限条件である大型を操作するには大型以上の免許が必要という条件を満たさない、といった場合である。

以上、ある企業の車両運行システムを例に、ＩＣカード１００ａを携帯した社員Ａが、生体情報センサとしての指紋センサ５００を備えた車両Ｕの動作処理を行うといった、本発明の一実施形態を説明した。本実施形態では、以上のような構成及び処理フローを実現することで、生体情報を用いて本人認証を実行し、本人認証がなされた場合に公開鍵暗号方式による電子認証を行い、電子認証がなされた場合に権限条件により権限認証をする。このように多重階層の認証処理を行うことにより、単独の認証システムに比べ機密性、安全性が向上し、不正利用者による管理対象の動作処理を禁止することが可能になる。また、カテゴリごとの秘密鍵公開鍵で鍵管理を行うことにより、一般的な公開暗号方式よりも管理する鍵の数が減少し、鍵管理運用が容易になり管理コストも抑えることが可能になる。
ちなみに、共通鍵暗号方式を用いた場合は、その特性から、社員の中の独りでも鍵情報を漏らした場合（漏れた場合）、全ての社員のＩＣカード及び全ての認証装置の鍵を破棄し、新たに鍵生成及び設定とＩＣカードの配布をしなければならない。また、鍵の配布時に情報が漏洩する危険がある。しかし、第１実施形態のように公開鍵暗号方式の場合、公開鍵情報は公表されてもよい前提であり、公開鍵から秘密鍵を解読することは不可能であり、セキュリティレベルが高いといえる。

さらに、管理対象（車両Ｕ〜Ｚ／それぞれ搭載される認証装置２００）は、カテゴリ公開鍵だけを管理するので、社員Ａ〜Ｆの増減や異動があっても、認証装置２００のカテゴリ公開鍵の対応処理を行う必要がないため、保守管理コストを抑えることが可能になる。また、管理対象で利用権限認証を行うことにより、車、船舶、飛行機等、免許内容等、管理対象特有の利用条件内容をＩＣカードに登録する必要がないため、限られたメモリの中で、前記認証処理を実行可能になると共に、制御対象の利用条件が法律の変更により変わったとしても、ＩＣカード１００の情報を変更する必要がないので、保守性にも優れる。例えば、自動車の大型免許を権限情報に入れるだけでなく、大型を持つことにより、普通免許、原付自転車も可能とか、船舶その他について全ての情報を入れなくてもよい。また、ＩＣカード１００と認証装置２００との間で認証を行うため、例えば、無線電話通信ネットワークを使用したセキュリティシステムのように、管理対象（車両Ｕ〜Ｚ）が電波の届かない場所へ移動した場合等の空間的制約問題がない。さらに、各認証が成功した場合は、利用者（社員Ａ〜Ｆ）と管理対象（車両Ｕ〜Ｚ）との正確な情報の関連付けが可能になり、関連データの正当性が保障される。これにより、本実施形態では、管理対象の動作処理時における、機密性、安全性のレベルを低下させることなく、利用権限認証判定の保全性に優れ、安価に可用性を確保するシステムを実現し提供することが可能になる。

ここで、第１実施形態では、耐タンパ性を有した演算機能つき携帯型記憶媒体をＩＣカード１００としたが、本発明は、ＩＣカードに限定するものではなく、マイクロチップ等を用いることでもよい。また、耐タンパ性について、データや情報の読出を困難にするのとは異なり、正規の手順や正規の装置以外からデータを読み出そうとすると、データや情報或いはＩＣカードのハードウェアが破壊されるような耐タンパ性でもよい。また、生体情報も指紋に限定するものではなく、他の生体情報、例えば、虹彩、声紋、顔形、ＤＮＡ（Deoxyribonucleic Acid：遺伝子情報）、掌形、網膜血管、耳介、掌静脈、匂い等個人を特定できる加工、暗号化、マニーシャ等の情報等でもよく、例えば、虹彩の情報をＩＣカード１００の生体情報１１０に記録し、指紋センサ５００をカメラとすることでもよい。また、指紋センサ５００を管理対象に具備させることも限定するものではなく、携帯型記憶媒体（ＩＣカード１００）に具備させることも可能である。この点、特許請求の範囲に「生体情報センサから直接的又は間接的に取り込んだ生体情報」と記載されているとおりである。また、ＩＣカード１００と認証装置２００との間の情報の送受信も無線に限ることではなく、ＩＣカードリーダライタを介して情報の送受をすることでもよい。
また、認証の順序を、適宜組み替えてもよい。

また、第１実施形態では、利用者を人間（社員Ａ〜Ｆ）とし、この人間がＩＣカード１００（ａ〜ｆ）を携帯する形を取ったが、コンピュータシステムにおける、ＩＣカード１００と同等の情報と機能を備えるエージェント（自立型のプログラム）等でもよい。また、利用権限の認証の際にデータが改竄されたか否かを診断し、改竄された場合は、管理対象の動作処理の禁止や制限をしてもよい。

また、管理対象は車両（Ｕ〜Ｚ）に限定されることはなく、自走機器制御（装置）、ＡＴＭ（Auto Teller Machine：自動現金支払機）、入退出制御（装置）等でもよいし、機器やサービスの利用でもよい。また、カテゴリは、会社、事業所、管轄地域等であってもよい。また、カテゴリを階層構造にして上位階層のカテゴリは、下位階層のカテゴリの利用権限を有することでもよい。また、認証時、又は認証後のセキュアレベル確保のために、特開２０００−２９８７５６号公報に記載の技術を使用することでもよい。

≪第２実施形態≫
次に、本発明の第２実施形態を説明する。
図４は、第２実施形態のセキュリティシステムが適用される、ある企業の車両運行システムを模式的に示す図である。
第２実施形態は、第１実施形態とは異なり、車両Ｕ〜Ｚの位置を加味した実施形態である。つまり、第１実施形態では、例えば地域カテゴリが東日本だけの車両Ｕに地域カテゴリが東日本だけのＩＣカード１００ａ，１００ｂを携帯する社員Ａ，Ｂのいずれかが乗車する場合、一旦乗車した後は、当該車両Ｕが西日本の領域に入ってもその運行を停止することはできなかった。この第２実施形態は、この点を加味して社員Ａ〜Ｆに対して決められた地域カテゴリ以外での車両Ｕ〜Ｚの運行を停止する（停止を促がす）実施形態である。即ち、第１実施形態では、３つの認証（本人認証、電子認証、権限認証）を行ったが、この第２実施形態では、さらに、地域認証を行う。なお、第１実施形態と共通する部分については、同一の符号を付してその説明を省略する。

（セキュリティシステム）
図５は、第２実施形態のセキュリティシステムのシステム構成を示す図である。図５に示すように、ＩＣカード１００は、地域認証部１８０を備えている。一方、認証装置２００は、地域判定部２８０と、地域判定ＤＢ２９０と、アラームＡとを備えている。認証装置２００は、位置検出手段６００からの位置情報（ここではカーナビゲーションシステムの緯度経度）を、地域判定部２８０に取り込むようになっている。なお、各認証は、所定の間隔（時間間隔、距離間隔等）ごとに繰り返して行われるようになっている。ちなみに、位置検出手段６００は、一般的な車載カーナビゲーションシステムでもよいし、道路等に設置され、位置情報を車両に送信するビーコン等でもよい。なお、地域判定ＤＢ２９０は、経度緯度の情報に対して回答を与えるものに限定されることはない。

（セキュリティシステムの動作）
以下、適宜図４及び図５を参照しつつ、図６に沿って第２実施形態のセキュリティシステムの動作を説明する。図６は、第２実施形態のセキュリティシステムの地域認証にかかる部分の動作を表したシーケンス図である。

社員Ａが車両Ｖを運転するため、車両Ｖに乗車する。なお、社員Ａが携帯しているＩＣカード１００ａには、自身の指紋情報が指紋情報テンプレートとして生体情報記憶部１１０に、自身の営業範囲である東日本のカテゴリ秘密鍵がカテゴリ秘密鍵記憶部１２０に、自身の権限情報が権限情報記憶部１３０に記録されている。一方、車両Ｖが搭載する認証装置２００ｖには、東日本及び西日本のカテゴリ公開鍵がカテゴリ公開鍵記憶部２１０に、権限条件が権限条件記憶部２２０に記憶されている。

社員ＡがイグニッションスイッチをＯＮにすると、第１実施形態と同様の認証が行われる。本実施形態では、さらに車両Ｖの地域認証が行われる。地域認証は次のように行われる。即ち、図６に示すように、位置検出手段６００から位置情報（緯度経度）が認証装置２００ｖに入力される。地域判定部２８０は、地域判定ＤＢ２９０を参照して、入力された位置情報が東日本を示すものか西日本を示すものかの地域判定を行う（Ｓ５１）。例えば、北緯３５度３９分２９秒２、東経１３９度４４分２８秒９は東京（麻布近傍）であり、東日本と地域判定される。

地域判定の結果である地域情報（ここでは東日本）が、ＩＣカード１００ａに送信される（Ｓ５２）。ＩＣカード１００ａはこれを受信して、地域認証部１８０で、解錠されたカテゴリ秘密鍵の地域属性と比較して地域認証を行う（Ｓ５３）。ここで、地域情報が東日本であり、カテゴリ秘密鍵が東日本のものであるので、地域認証は成功する。地域認証がなされると、ＯＫの地域認証結果が認証装置２００ｖに送信される（Ｓ５４）。認証装置２００では、地域判定部２８０が受信した地域認証結果がＯＫであるので、アラームＡを鳴らさない。

次に、社員Ａが車両Ｖを西に向けて運転しつづける。この間、所定の間隔で認証が繰り返される。やがて車両Ｖが静岡県以西に入ると、認証装置２００の地域判定部２８０で西日本と判定されるので、カテゴリ秘密鍵の地域属性の関係からＩＣカード１００ａの地域認証部１８０による地域認証結果がＮＧとなる。これにより、認証装置２００ｖの地域判定部２８０がアラームＡを鳴らす（Ｓ５５）。アラームＡの吹鳴により、社員Ａは、車両Ｖが西日本に入ったことを認識し車両Ｖを引き返す。引き返せば再度認証されて、問題なく走行できる。
ちなみに、社員Ｃが車両Ｖで西日本に入ってもアラームＡが鳴ることはない。社員Ｃが携帯するＩＣカード１００ｃには、西日本のカテゴリ秘密鍵が記憶されているからである。

このように、第２実施形態では、車両Ｕ〜Ｚを、社員Ａ〜Ｆの地域カテゴリに従って運行させることができる。
なお、本実施形態ではアラームＡが鳴って警告を発するのみとしたが、警告にもかかわらず、依然として西日本を走行し続ける場合は、第１実施形態で説明したＦＩ−ＥＣＵに対して、エンジンに供給する燃料を徐々に絞るように動作させる信号を送り、エンジンの出力を徐々に落とすようにしてもよい。また、音声（音声出力手段）や文字（文字表示手段）等により、このまま西日本を走行しつづけた場合は、所定時間（所定距離）後にエンジンを停止する旨を警告し、燃料をカットするようにしてもよい。これは、急にエンジンが停止しても困るからである。
これによれば、車両Ｕ〜Ｚの運行を禁止することができる。

なお、第２実施形態に関し、地域認証を、認証装置２００において、例えば地域判定部２８０でカテゴリ公開鍵の地域属性と地域情報とを対比することで行うようにすると、社員Ａ〜Ｆに、車両Ｕ〜Ｚの地域カテゴリに従って運転させることができる。この場合は、図５に示すＩＣカード１００の地域認証部１８０は不用である。

ちなみに、鉄道の場合、停車駅ごとに認証を行い、ある乗員区から別の乗員区へと乗員区が切り替わる際に、運転手が別の乗員区で運転できるカテゴリ秘密鍵を有したＩＣカードを携帯しているかや、鉄道車両（該鉄道車両に搭載された認証装置）が別の乗員区を走行できるカテゴリ公開鍵を有しているかをチェックする認証を行うようにするとよい。

≪その他≫
例えば、運転手たる社員（利用者）１００人で列車１０両を扱う会社において、本特許と同様の構成および手順に於いてカテゴリ秘密鍵とカテゴリ公開鍵を用いず、通常の公開鍵暗号方式を適用した場合、最低構成でも社員１００名＋列車１０両の秘密鍵公開鍵ペアが必要となるが、本発明を適用した場合の最低構成では１つの秘密鍵公開鍵ペアですむ。

また、前記と同じ条件で、社員の増減や異動が生じた場合を想定する。通常の公開鍵暗号方式では、車両１０台について、公開鍵の更新を行う必要がある。それに対し、本発明では、管理対象において鍵（公開鍵）の対応処理を行う必要がない。このように本発明は、保守性に優れ保守管理コストを抑えることが可能になる。また、無線ネットワークを使用したセキュリティシステムの場合、管理対象が電波の届かない場所へ移動したとき（車両が山奥に入り込んだとき）、認証ができない等の空間的制約問題が発生するが、本発明を用いれば、ＩＣカードと管理対象間で認証を行うため、空間的制約問題がない。さらに、各認証が成功した場合は、利用者と管理対象との正確な情報の関連付けが可能になり、関連データの正当性が保障される。

以上、本発明は、管理対象の動作処理における、機密性（携帯型記憶媒体や認証装置の情報を不当に見せない）、安全性（携帯型記憶媒体や認証装置の情報を不当に改竄させない）のレベルを低下させることなく、利認証判定の保全性に優れ、安価に可用性（管理対象を不当に利用させない）を確保するシステムを実現し提供することが可能になる。

以上説明した本発明は、前記した実施形態に限定されることなく、その技術思想の及ぶ範囲で幅広く変更実施することができる。例えば、企業に適用した例を説明したが、企業に限定されるものでもなく、管理対象も乗り物に限定されるものでもない。また、前記した実施形態では、地域カテゴリ間を移動するための権限制約を例として説明したが、企業・団体等特有の運用的制約（例えば、個人ごとに土日運転不可設定や企業規則として徹夜後２４時間以内は運転不可等）を権限情報として、登録する事も可能である。また、利用者に警告を行う手順、及び管理対象を制御する手順はどちらか一方を行っても、双方を行ってもよく、また、どちらか一方の手順を含めばさらに別の手順を含んでもよい。

本発明における第１実施形態のセキュリティシステムが適用される、ある企業の車両運行システムを模式的に示す図である。 本発明における第１実施形態のセキュリティシステムのシステム構成を示す図である。 図２のセキュリティシステムの動作を表したシーケンス図である。 本発明における第２実施形態のセキュリティシステムが適用される、ある企業の車両運行システムを模式的に示す図である。 本発明における第２実施形態のセキュリティシステムのシステム構成を示す図である。 図５のセキュリティシステムの動作を表したシーケンス図である。

符号の説明

１００‥ＩＣカード（携帯型記憶媒体）、１１０‥生体情報記憶部、１２０‥カテゴリ秘密鍵記憶部、１３０‥権限情報記憶部、１４０…本人認証部、１５０…電子認証部、１６０…暗号部、１７０…通信処理部
２００‥認証装置、２１０‥カテゴリ公開鍵記憶部、２２０‥権限条件記憶部、２４０…電子認証部（装置側の電子認証部）、２５０…権限認証部、２７０…通信処理部
５００…生体情報センサ
６００…位置検出手段

Claims (11)

1. セキュリティの管理対象を利用する利用者に携帯される演算機能つきの携帯型記憶媒体と、
   前記利用者から、認証に使う生体情報を検出する生体情報センサと、
   情報を記憶する記憶部と、情報の処理を行う情報処理部と、情報の通信を行う通信処理部とを備えて、前記管理対象の利用を認証する認証装置と
   を用いて前記管理対象の利用者の認証を行うセキュリティシステムにおける利用者の認証方法であって、
   前記情報処理部は、
   前記生体情報センサが検出した前記利用者の生体情報を取り込み、これを前記携帯型記憶媒体に送信する手順、
   前記携帯型記憶媒体が生体情報に基づき本人認証して送信する本人認証の結果を受信する手順、
   前記携帯型記憶媒体との間で、所定のカテゴリごとにカテゴライズされて前記携帯型記憶媒体に記憶されたカテゴリ秘密鍵と、前記カテゴリ秘密鍵に対応して前記記憶部に記憶されたカテゴリ公開鍵とを用いた公開鍵暗号方式による電子認証を行う手順、
   を実行すること、
   を特徴とする利用者の認証方法。
2. 前記情報処理部は、
   前記携帯型記憶媒体が暗号化して送信する当該携帯型記憶媒体に記憶された利用者の権限情報を受信する手順、
   前記受信した暗号化された権限情報を復号化して、前記記憶部に記憶された権限条件と照合して権限の認証を行う手順、
   をさらに実行すること、
   を特徴とする請求項１に記載の利用者の認証方法。
3. 前記認証の手順が、前記管理対象の利用開始時と利用中に行われること、
   を特徴とする請求項１又は請求項２に記載の利用者の認証方法。
4. 前記カテゴリが、前記管理対象を共同利用するグループごとにカテゴライズされていること、
   を特徴とする請求項１ないし請求項３のいずれか１項に記載の利用者の認証方法。
5. 前記カテゴリが、前記管理対象が利用される地域・区間ごとにカテゴライズされていること、
   を特徴とする請求項１ないし請求項３のいずれか１項に記載の利用者の認証方法。
6. 前記管理対象が移動体であり、前記カテゴリが地域ごとにカテゴライズされている場合において、
   前記情報処理部は、
   前記移動体の位置を検出する位置検出手段からの位置情報を取り込み、当該移動体の位置に基づいて地域判定を行い、この地域判定の結果を前記携帯型記憶媒体に送信する手順、
   地域ごとにカテゴライズして記憶しているカテゴリ秘密鍵の地域属性と前記情報処理部が送信した地域判定の結果に基づき前記携帯型記憶媒体が地域認証をして送信する地域認証の結果を、受信する手順、
   前記受信した地域認証の結果に基づき、利用者に警告を行う手順、及び前記管理対象を制御する手順の少なくとも一方の手順、
   をさらに実行すること、
   を特徴とする請求項５に記載の利用者の認証方法。
7. 前記管理対象が移動体であり、前記カテゴリが地域ごとにカテゴライズされている場合において、
   前記情報処理部は、
   前記移動体の位置を検出する位置検出手段からの位置情報を取り込み、当該移動体の位置に基づいて地域判定を行う手順、
   前記カテゴリ公開鍵の地域属性と前記地域判定の結果を比較して地域認証を行う手順、
   前記地域認証の結果に基づき、利用者に警告を行う手順、及び前記管理対象を制御する手順の少なくとも一方の手順、
   をさらに実行すること、
   を特徴とする請求項５に記載の利用者の認証方法。
8. セキュリティの管理対象を利用する利用者に携帯される演算機能つきの携帯型記憶媒体と、
   前記利用者から、認証に使う生体情報を検出する生体情報センサと、
   前記携帯型記憶媒体との間で通信を行う機能を有して、前記管理対象の利用を認証する認証装置と、
   を含んでなるセキュリティシステムにおいて、
   前記携帯型記憶媒体は、
   正当な利用者の認証用の生体情報テンプレートを記憶した生体情報テンプレート記憶部と、
   所定のカテゴリごとにカテゴライズされた１つ以上のカテゴリ秘密鍵を記憶したカテゴリ秘密鍵記憶部と、
   前記生体情報センサから直接的又は間接的に取り込んだ生体情報と前記生体情報テンプレートとを照合する本人認証部と、
   前記認証装置との間で前記カテゴリ秘密鍵を用いた公開鍵暗号方式による電子認証を行う媒体側の電子認証部と、
   前記認証装置との間の通信を行う装置側の通信部を備え、
   前記認証装置は、
   前記所定のカテゴリごとにカテゴライズされた１つ以上のカテゴリ公開鍵を記憶したカテゴリ公開鍵記憶部と、
   前記携帯型記憶媒体との間で前記カテゴリ公開鍵を用いた公開鍵暗号方式による電子認証を行う装置側の電子認証部と、
   前記携帯型記憶媒体との間の通信を行う媒体側の通信部とを備えたこと、
   を特徴とするセキュリティシステム。
9. 前記携帯型記憶媒体は、
   利用者の前記管理対象の利用に関する権限情報を記憶した権限情報記憶部と、
   前記権限情報を前記電子認証部の認証結果に基づいて暗号化する暗号部と、
   をさらに備え、
   前記認証装置は、
   前記権限情報と照合する権限条件を記憶する権限条件記憶部と、
   前記携帯型記憶媒体から送信される前記暗号化された権限情報を復号化して前記権限条件と照合して権限の認証を行う権限認証部と、
   をさらに備えること、
   を特徴とする請求項８に記載のセキュリティシステム。
10. 請求項８又は請求項９に記載のセキュリティシステムに用いられることを特徴とする携帯型記憶媒体。
11. 請求項８又は請求項９に記載のセキュリティシステムに用いられることを特徴とする認証装置。

Images