JP2007158674A - セキュリティ性の高い生体情報認証技術 - Google Patents

Abstract

【課題】生体情報認証システムにおけるセキュリティを向上させる。
【解決手段】認証を行う施設内の各端末が、利用者による施設の利用内容に関する情報である利用者情報を取得し、さらに利用者の生体情報を取得し、生体情報と利用者情報との組み合わせに対して不可逆な演算を施すことによって、利用者認証情報を生成する。利用者認証情報を、ネットワークで接続されている管理サーバ内に予め準備された真正利用者認証情報と照合することによって、利用者の認証を行う。
【選択図】図１

Description

この発明は、施設の利用者の生体情報を利用して、利用者の認証を行い、施設の利用を管理する技術に関する。

個人を特定するための認証技術として、指紋や指静脈などの生体情報を利用する生体情報認証技術が普及している。その生体情報認証技術を、ホテルなどの施設における入室管理に応用する技術は、例えば特許文献１に開示されている。この技術によれば、生体情報を用いて、利便性を増した施設の利用・管理が可能である。

特開２０００−７６４５１号広報 特開２００１−７８０２号広報

個人情報の保護の要請が強い昨今において、生体情報も保護されるべき最たる個人情報である。上述の特許文献１の技術では、利用者の照合の際に、生体情報それ自体をシステム内で伝達しているため、利用者の生体情報が漏洩してしまう可能性がかなり高いという問題がある。

そこで本発明では、認証のために取得した生体情報の漏洩の可能性を低減することのできる技術を提供する。

上記目的の少なくとも一部を達成するために、本発明は、施設における利用者の認証を行う利用者認証方法であって、利用者による前記施設の利用内容に関する情報である利用者情報を取得する工程と、前記利用者の生体情報を取得する工程と、前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、利用者認証情報を生成する工程と、前記利用者認証情報を、予め準備された真正利用者認証情報と照合することによって、前記利用者の認証を行う工程とを備える。

この方法によれば、利用者認証情報は、不可逆な演算により生成されていることから、利用者認証情報が漏洩したとしても、利用者認証情報から生体情報を復元することは不可能である。従って、生体情報の漏洩の可能性を低減することが可能である。

この方法は、さらに、前記利用者認証情報の生成後に前記生体情報を破棄する工程を備えているとしても良い。

この方法によれば、生体情報自体をシステム内に残さないため、さらに、生体情報の漏洩の可能性を低減することが可能である。

また、前記利用者情報は、各施設ごとにユニークに設定された施設コードを含めてもよい。

この施設コードを含んだ利用者情報と生体情報とから生成される利用者認証情報は、当該施設固有のものとなるため、利用者認証情報が持ち出されたとしても、他の施設で不正に使用されることを防止できる。

さらに、前記利用者情報は、任意に変更可能な付加コードを含み、前記施設内における前記利用者認証情報が、不正使用と考えうる所定の条件下で使用されたことを検出する工程と、前記所定の条件下での利用者認証情報の使用が検出された時に、前記付加コードを異なる値に再設定する工程を備えるようにしても良い。

この方法によれば、施設が不正に使用されようとしていることが発見された場合に、前記付加コードが再設定される。すると、再設定後に被照合利用者認証情報を生成しても、登録されている真正利用者認証情報と照合しなくなり、真正利用者認証情報を再登録しない限りは、以後の施設の利用を禁ずることが出来る。

前記施設が、前記利用者ごとに個別に設定される利用期間だけ利用が許可される複数の個別施設を有しており、前記利用者情報が、前記利用者が利用可能である個別施設を示す個別施設コードと、前記利用者が利用可能である期間を示す利用期間とを含む、としても良い。

この方法によれば、利用者は利用期間のみ、個別施設を利用できることとなる。

本発明による認証情報生成ユニットは、施設における利用者の認証を行う利用者認証装置に用いられる認証情報生成ユニットであって、利用者による前記施設の利用内容に関する情報である利用者情報を取得する入力部と、前記利用者の生体情報を取得する生体情報読取部と、前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、利用者認証情報を生成する編集部とを備え、前記利用者認証装置から前記認証情報生成ユニットが取り外されたときに、前記編集部による前記不可逆な演算を実行不能とするタンパー機能を有することを特徴とする。

このユニットによって利用者認証情報を生成することが可能である。また仮に、利用者認証情報から生体情報を復元するために、ユニット内の不可逆な演算プログラムの解析をしようとする者が、ユニットを取り外し、分解したとしても、ユニットは、そのタンパー機能により、前記演算プログラムを消去するなどし、実行不能とする。そのため、利用者認証情報が漏洩しても、それを生成した不可逆な演算方法が解析されることはなく、生体情報が漏洩することを防げる。

本発明による管理システムは、利用者による前記施設の利用内容に関する情報である利用者情報と、前記施設の利用状況を管理する管理サーバと、前記管理サーバとネットワークを介して接続され、前記施設内における利用者の認証を行う施設端末とを備える。また、前記管理サーバは、利用者による前記施設の利用内容に関する情報である利用者情報を取得する入力部と、前記利用者の生体情報を取得する第一の生体情報読取部と、前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、真正利用者認証情報を生成する第一の編集部と、前記利用者情報と、前記真正利用者認証情報を格納するデータベース部とを備える。さらに、前記施設端末は、前記管理サーバから供給される前記利用者情報を登録できる記憶部と、前記利用者の生体情報を取得する第二の生体情報読取部と、前記生体情報と前記利用者情報との組み合わせに対して前記不可逆な演算を施すことによって、被照合利用者認証情報を生成する第二の編集部とを備える。なお、前記管理サーバと前記施設端末の少なくとも一方が、前記真正利用者認証情報と前記被照合利用者認証情報とを照合する照合部を備える。

なお、本発明は、種々の形態で実現することが可能であり、例えば、ホテルなどにおける入室管理や共用施設の利用管理方法及び装置、認証方法や認証システムを搭載する自動支払機や、ネットワークシステム、それらの方法または装置の機能を実現するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、そのコンピュータプログラムを含み搬送波内に具現化されたデータ信号、等の形態で実現することができる。

次に、本発明の実施の形態を実施例に基づいて以下の順序で説明する。
Ａ．実施例における認証システムの全体構成：
Ｂ．管理サーバ１０１の構成と、その処理手順：
Ｃ．客室端末１０３の構成と、その処理手順：
Ｄ．共用施設端末１０４の構成と、その処理手順：
Ｅ．施設の不正利用検出と、その処理手順：
Ｆ．変形例：

Ａ．実施例における認証システムの全体構成：
図１は本発明の一実施例として、ホテルなどの施設における利用者認証システムの構成を示すブロック図である。このシステムは、フロントなどの受付にある管理サーバ１０１と、個々の客室に備えられた客室端末１０３と、共用施設ごとに備えられている共用施設端末１０４とが、ネットワーク１０２によって接続されている。客室端末１０３と共用施設端末１０４は、１つあるいは複数あっても良いし、いずれかが無くても良い。なお、以下において単に「端末」と記述するときは、客室端末１０３と共用施設端末１０４の両方を含むものとする。

Ｂ．管理サーバ１０１の構成と、その処理手順：
図２は、図１における管理サーバ１０１の内部構成を示すブロック図である。管理サーバ１０１は、利用者登録情報ＣＤ（図４；詳細は後述）や真正利用者認証情報を格納するデータベース部２１０と、管理サーバ内のデータやデバイスの制御を行う制御部２２０と、真正利用者認証情報を生成する利用者認証情報生成ユニット２３０と、ネットワークからのデータを送受信できる送受信部２４１と、情報の入力ができるキーボード２４３と、管理サーバの状況やデータの内容を確認できる表示部２４５とを備えている。データベース部２１０は、電子財布プリペイド情報データベース２１１と、利用者認証情報データベース２１３と、利用者登録情報データベース２１５とを備えている。制御部２２０は、利用者認証情報照合部２２１と、利用者情報検索部２２３と、利用者情報登録部２２５と、利用者認証情報登録部２２７と、決済部２２９とを備えている。利用者認証情報生成ユニット２３０は、編集部２３１と、生体情報読取部２３３とを備えている。

図３は、実際に利用者が施設に訪れた際の管理サーバ１０１の処理を示す流れ図である。まず、利用者が施設に訪れた際、管理者もしくは担当者が、利用者登録情報ＣＤをキーボード２４３により、管理サーバ１０１に入力する（Ｓ３０１）。

図４は、利用者登録情報ＣＤを示す説明図である。利用者登録情報ＣＤは、利用者が実際利用することになる部屋の部屋番号である部屋情報４１１と、利用者が施設の利用を開始した日にちである利用開始日４１２と、利用者がその施設を利用する予定である期間を示す利用日数４１３と、指定コード４１４（詳細は後述）と、利用者の氏名４１５と、利用者の住所４１６、利用者の電話番号４１７と、利用者が利用に先立って予め施設に支払っておいた預入金額４１８とを含んでいる。この利用者登録情報ＣＤはこれ以外の情報を含んでいても良いし、いずれかの情報が無くても良い。ただし、利用者を特定できる情報を含んでいることが好ましい。

利用者登録情報ＣＤに含まれる指定コード４１４は、施設コードＡＡＡＡと付加コードＢＢＢＢとを含んでいる。施設コードＡＡＡＡは、施設固有のユニークなコードであり、施設を識別するのに用いられる。付加コードＢＢＢＢは、その施設で任意に設定できるコードであり、登録後の書換も可能である。施設コードＡＡＡＡと付加コードＢＢＢＢは分けられていても良いし、順番が逆であっても良い。

利用者情報ｃｄは、利用者登録情報ＣＤのうち、部屋情報４１１と、利用開始日４１２と、利用日数４１３と、指定コード４１４を含む。後述するように、利用者認証情報生成ユニット２３０は、この利用者情報ｃｄを、生体情報と組み合わせ、利用者認証情報を生成する。なお、利用者情報ｃｄは他の情報を含んでいても良い。

次に、入力された利用者登録情報ＣＤは、管理サーバ１０１のデータベース部２１０に格納される（Ｓ３０２）。その際、利用者登録情報ＣＤのうち、預入金額４１８以外の情報が、利用者登録情報データベース２１５に格納され、預入金額４１８は、電子財布プリペイド情報データベース２１１に格納される。また、預入金額４１８を検索する際のキーとして部屋情報４１１、氏名４１５、住所４１６、電話番号４１７も同じく、電子財布プリペイド情報データベース２１１に格納される。このキーとして格納される情報は前記以外の情報でも良く、利用者を特定できる情報やコードでも良い。また、さらに言えば、データベース部２１０はこのように分類して構成する必要はなく、全ての情報を一つのデータベースとして格納しても良いし、逆に、さらに細かく分類して格納しても良い。このデータベース部からのデータの検索は利用者情報検索部２２３で行われる。ステップＳ３０１およびステップＳ３０２は、利用者が施設に訪れた際に処理されるのではなく、利用者が電話などの通信手段を用いて、管理者に事前に利用者登録情報ＣＤを通知するなどし、予め行われていても良い。

次に、利用者情報登録部２２５が、利用者登録情報データベース２１５に格納された利用者登録情報ＣＤのうち、利用者情報ｃｄを、利用者認証情報生成ユニット２３０に設定する（Ｓ３０３）。

利用者は、生体情報読取部２３３に、対象となる生体情報をもつ自身の部位から、生体情報ＢＩを読み取らせる（Ｓ３０４）。同じ部屋を複数の利用者が利用する場合は、その利用者全員の生体情報ＢＩを取得することが好ましい。また、この生体情報ＢＩは指紋でも、指静脈でも、虹彩でも良く、個人を特定できるものであることが好ましい。また生体情報ＢＩの読み取り方式は、光学的に生体の画像を読み取る方式でも、半導体によりセンサと生体の接触部分の電荷を読み取る方式でも良い。また、読み取る生体情報ＢＩは１つに限らず、複数種類を取得して組み合わせても良いし、複数回取得しても良い。

読み取られた生体情報ＢＩは、編集部２３１へと供給される。編集部２３１は、ステップＳ３０３で利用者認証情報生成ユニット２３０に設定された利用者情報ｃｄと生体情報ＢＩを組み合わせ、不可逆な演算を実行し、生体情報ＢＩの復元が不可能な真正利用者認証情報ＢＤを生成する（Ｓ３０５）。この後、生体情報ＢＩは破棄されることが好ましい。

ステップ３０５で実行される不可逆な演算は、例えばＭＤ５のようなハッシュ関数を含むプログラムでも良いし、それ以外の不可逆な演算を行う関数を含むプログラムでも良い。利用者認証情報生成ユニット２３０は取り外されたり、分解されるなどすると、編集部２３１のもつ不可逆な演算プログラムを消去するなど、読み取り、解析を不可能にするタンパー機能を有することが好ましい。例えば不可逆な演算がプログラムとしてフラッシュメモリなどに記録されており、利用者認証情報生成ユニット２３０が取り外された時や、分解された時に、フラッシュメモリの内容が消去されるものとしても良い。あるいは、編集部２３１のチップ表面が空気にふれると記録内容が消滅するようにしても良い。

真正利用者認証情報ＢＤは、利用者認証情報登録部２２７により、利用者認証情報データベース２１３に格納される（Ｓ３０６）。真正利用者認証情報ＢＤを検索する際のキーとなる部屋情報４１１、氏名４１５、住所４１６、電話番号４１７も同じく、利用者認証情報データベース２１３に格納される。このキーデータとして格納される情報は前記以外の情報でも良く、利用者を特定できる情報やコードでよい。

管理サーバ１０１は、利用者情報ｃｄを送受信部２４１を通じてネットワーク１０２により、利用者の使用する客室の客室端末１０３と、共用施設の共用施設端末１０４に送信する（Ｓ３０７）。この処理は、利用者情報ｃｄが予め把握できているならば、利用者が実際に施設に訪れるまでに行っておいても良いし、指定時刻に毎回行われるとしてもよい。

Ｃ．客室端末１０３の構成と、その処理手順：
図５は、客室端末１０３の内部構成を示すブロック図である。客室端末１０３は、制御部５２０と、利用者認証情報生成ユニット５３０と、管理サーバ１０１から供給された利用者情報ｃｄを登録しておく客室利用登録情報５１０と、ネットワーク１０２とのデータの送受信を行う送受信部５０５を備える。制御部５２０は、サーバ情報処理部５２５と、利用者情報判定・入力部５２１と、カレンダ時計５２３とを備える。利用者認証情報生成ユニット５３０は、生体情報読取部５３３と、編集部５３１とを備え、管理サーバ１０１が持つ利用者認証情報生成ユニット２３０と同等の機能を持つ。サーバ情報処理部５２５は、利用者にメッセージを表示する表示部５０１と、客室のドアの解錠・施錠を行う鍵解錠部５０３と接続され、これらの制御を行う。生体情報読取部５３３は、客室のドアあるいは、その近辺において、表示部５０１と近接した位置に設置されていることが好ましい。

図６は、利用者の客室入室時に認証を行う際の、客室端末１０３の処理を示す流れ図である。管理サーバ１０１から利用者情報ｃｄが供給されると、利用者情報ｃｄは客室利用登録情報５１０に登録される。その際、その利用者情報ｃｄに含まれる、利用開始日４１２と、利用日数４１３と、制御部５２０のカレンダ時計５２３から得られる日にちを、利用者情報判定・入力部５２１が比較する（Ｓ６０１）。その結果、利用者の利用可能期間でない場合には、表示部５０１は、客室が利用できない旨を表示し、利用者に報せる（Ｓ６０９）。利用可能期間である場合には、表示部５０１に、生体情報の認証を促すメッセージを表示する。

利用者は入室手続きとして、生体情報ＢＩを生体情報読取部５３３に読み取らせる（Ｓ６０２）。同じ部屋を複数の利用客が利用している場合でも、生体情報ＢＩを取得するのは任意の一人で良い。

利用者情報判定・入力部５２１は、利用者情報ｃｄを、利用者認証情報生成ユニット５３０に設定する。編集部５３１は、利用者情報ｃｄと、生体情報読取部５３３で取得した生体情報ＢＩに対して、管理サーバ１０１の編集部２３１と同一の不可逆な演算を実行して、被照合利用者認証情報ＢＤ１を生成する（Ｓ６０３）。この後、生体情報ＢＩは、破棄されることが好ましい。

被照合利用者認証情報ＢＤ１は、送受信部５０５を経て、ネットワーク１０２を通じて管理サーバ１０１に該当客室端末の部屋情報４１１とともに送信される（Ｓ６０４）。また、この際、被照合利用者認証情報の作成時刻も送信されることが好ましい。なお、部屋情報４１１の代わりに、利用者情報ｃｄを送信しても良く、また、データベース部２１０から利用者を検索できるキーとなるデータであれば、他のデータを送信しても良い。その後、表示部５０１は、本人認証中である旨のメッセージを表示する（Ｓ６０５）。

被照合利用者認証情報ＢＤ１と部屋情報４１１を受け取った管理サーバ１０１は、部屋情報４１１の客室利用者の真正利用者認証情報ＢＤを、利用者認証情報データベース２１３から検索し、制御部２２０の利用者認証情報照合部２２１へ供給する。同室に複数の利用客がある場合は、その利用客全員の真正利用者認証情報ＢＤを供給する。利用者認証情報照合部２２１は、供給された被照合利用者認証情報ＢＤ１と真正利用者認証情報ＢＤの照合を行い、合致するデータの有無を客室端末１０３に送る。

客室端末１０３のサーバ情報処理部５２５は、管理サーバ１０１から受け取った結果の判定を行い（Ｓ６０６）、利用者が認証されなかったなら、表示部５０１に入室できない旨を表示する（Ｓ６０９）。認証されたのであれば、表示部５０１に入室できる旨を表示し（Ｓ６０７）、鍵解錠部５０３に解錠命令を発行し、鍵解錠部５０３は解錠し、利用者は入室可能となる（Ｓ６０８）。

このように、利用者にとって入室手続きは、鍵やそれに類するものを使用しなくても良く、簡便なものとなる。また、この実施例における認証処理では、ネットワーク内で生体情報自体が転送されず、利用者認証情報が転送されるだけなので、個人情報を管理する上でも安全である。

Ｄ．共用施設端末１０４の構成と、その処理手順：
図７は共用施設端末１０４の内部構成を示すブロック図である。共用施設端末１０４は、図５に示した客室端末１０３の構成要素に、送受信部７０１と、ＰＯＳ端末７０３と、キーボード７０５とを追加した構成を有している。サーバ情報処理部５２５は利用者が情報入力可能なキーボード７０５を備えており、また、ＰＯＳ端末７０３と送受信部７０１を介して接続される。表示部５０１と、キーボード７０５と、生体情報読取部５３３とは、利用者が利用しやすいように、それぞれが近接して、共用施設の入り口近辺や、受付カウンターなどに設置してあることが好ましい。キーボード７０５は表示部５０１と一体となったタッチパネルであっても良い。

図８は利用者が共用施設を利用開始する前の認証および取引決済をする際の、共用施設端末１０４の処理を示す流れ図である。客室利用登録情報５１０には予め、管理サーバ１０１から全利用者の利用者情報ｃｄが登録されている。利用者はキーボード７０５より、部屋情報４１１を入力し、取引内容を設定する（Ｓ８０１）。この際の入力方法は、施設内の全部屋情報を表示し、その中から該当する部屋情報を選択する方法でも良い。取引内容の設定も取引内容の一覧の中から選択する方法でも良い。また、現金による取引を選べるとしても良い。

サーバ情報処理部５２５は、入力された部屋情報４１１から、客室利用登録情報５１０にある利用者の利用者情報ｃｄを検索し、利用者情報判定・入力部５２１に設定する。利用者情報判定・入力部５２１は、同時にカレンダ時計５２３から現在の日時を受け取り、利用者情報ｃｄの利用開始日４１２と利用日数４１３と比較し、利用者の当該施設の利用可能期間であるかを判定する（Ｓ８０２）。利用可能期間でない場合には、表示部５０１は、利用できない旨を表示する（Ｓ８１１）利用可能期間でる場合には、表示部５０１に、生体認証を促すメッセージを表示する。

利用者は自身の生体情報を、生体情報読取部５３３に読み取らせる（Ｓ８０３）。利用者情報判定・入力部５２１は利用者情報ｃｄを利用者認証情報生成ユニット５３０に設定し、編集部５３１は利用者情報ｃｄと生体情報読取部５３３が取得した生体情報ＢＩから被照合利用者認証情報ＢＤ２を生成する（Ｓ８０４）。この後、生体情報ＢＩは、破棄されることが好ましい。

被照合利用者認証情報ＢＤ２は、送受信部５０５からネットワーク１０２を通じて管理サーバ１０１へと部屋情報４１１とともに送信される（Ｓ８０５）。また、この際、被照合利用者認証情報の生成時刻も送信されることが好ましい。なお、部屋情報４１１の代わりに、利用者情報ｃｄを送信しても良いし、また、データベース部２１０から利用者を検索できるキーとなるデータであれば、他のデータを送信しても良い。その後、表示部５０１は、本人認証中である旨を表示する（Ｓ８０６）。

被照合利用者認証情報ＢＤ２と部屋情報４１１を受け取った管理サーバ１０１は、部屋情報４１１を持つ客室利用者の真正利用者認証情報ＢＤを、利用者認証情報データベース２１３から検索し、制御部２２０の利用者認証情報照合部２２１へ供給する。もし、同室に複数の利用客がある場合は、その利用客全員の真正利用者認証情報ＢＤを供給する。利用者認証情報照合部２２１は、供給された被照合利用者認証情報ＢＤ２と真正利用者認証情報ＢＤの照合を行い、合致するデータがある場合は、合致する真正利用者認証情報ＢＤをもつ利用者の預入金額４１８を電子財布プリペイド情報データベース２１１から検索し、共用施設端末１０４へ送信する。合致しない場合は、認証不可の情報を共用施設端末１０４へ送信する。

共用施設端末１０４のサーバ情報処理部５２５は、管理サーバ１０１から受け取ったデータの判定を行う（Ｓ８０７）。受け取ったデータが認証不可のデータであったなら、表示部５０１に、共用施設を利用できない旨の表示をし（Ｓ８１１）、預入金額４１８を受け取ったなら、送受信部７０１よりＰＯＳ端末７０３に接続し、預入金額４１８を送信する（Ｓ８０８）。このとき、表示部５０１で利用者に預入金額４１８と取引内容の確認を促してもよい。

ステップＳ８０１で設定した取引内容に応じた利用金額が、預入金額４１８の残高内であるか否かの判定を行う（Ｓ８０９）。残高内である場合には取引が成立し、ＰＯＳ端末により明細票が発行され、預入金額４１８から利用金額を引き落とした金額が、管理サーバ１０１の電子財布プリペイド情報データベース２１１に格納される（Ｓ８１０）。一方、ステップＳ８０１で設定した取引内容に応じた利用金額が、預入金額４１８の残高内でないなら、取引は成立せず、表示部５０１に、金額が不足している旨を表示する（Ｓ８１２）。この場合、利用者は取引をキャンセルしても良く、あるいは、現金での支払いや、利用期間終了後の精算を選択できることとしても良い。同室を利用している複数の利用者がいる場合や、団体で施設を利用している場合などは、預入金額４１８を代表者のみに設定し、利用者全員で共用することができるものとしても良い。なお、ステップ８０９からステップ８１０における決済処理は、決済部２２９（図２）で行われる。

このように、入室手続きと同様に、利用者は、施設の利用を証明するカードやチケット、またそれらに類するものを用いることなく、共用施設での取引を簡便に開始することが出来る。また、この実施例によれば、利用者は取引の際に現金を用いる必要もなくなる。そしてこの場合も、認証処理は、ネットワーク内で生体情報自体が転送されず、利用者認証情報が転送されるだけなので、個人情報を管理する上でも安全である。

Ｅ．施設の不正利用検出と、その処理手順：
図９は管理サーバ１０１において、利用者認証情報の照合を行う際に、不正を検出する処理と、その対応処理を示す流れ図である。管理サーバ１０１は、客室端末１０３あるいは共用施設端末１０４から、被照合利用者認証情報ＢＤ１あるいはＢＤ２と被照合利用者認証情報の作成時刻（以下、「認証時刻」と呼ぶ）を受け取る（Ｓ９０１）。なお、認証時刻を端末から受け取る代わりに、管理サーバ１０１の制御部２２０にカレンダ時計の機能を持たせ、被照合利用者認証情報ＢＤ１あるいはＢＤ２を受け取った時刻を取得して、認証時刻として利用しても良い。続いて、利用者認証情報照合部２２３は、通常の利用者照合処理をする（Ｓ９０２）。この時、被照合利用者認証情報ＢＤ１あるいはＢＤ２と照合する真正利用者認証情報ＢＤが存在しない場合には、以下の不正を検出する処理は実行されない。

利用者認証情報データベース２１３は、過去の認証時刻と、認証に使用された端末を、利用者ごとに登録している。利用者認証情報照合部２２１は、ステップＳ９０１で受け取った認証時刻と、同一利用者による前回の認証時刻を比較し、その認証時間間隔を割り出す。また、前回認証が行われた端末と今回認証が行われた端末の距離と利用者の移動速度（例えば成人の平均歩行速度としてもよい）から、利用者の移動所用時間を割り出す。前記認証時間間隔がその移動所要時間より、明らかに短い場合（例えば５０％以下の場合）、管理サーバ１０１は利用者認証情報が不正利用されていると判断する（Ｓ９０３）。

不正利用と判断すると、管理サーバ１０１は、今回認証を行った利用者の利用者情報ｃｄをデータベース部２１０から検索し、指定コード４１４のうち付加コードＢＢＢＢを変更する（Ｓ９０４）。こうして指定コード４１４が変更された新しい利用者情報ｃｄ２は、速やかに施設内の各端末に送信され、登録される（Ｓ９０５）。不正利用が検出された端末には、不正利用が検出された旨と、管理サーバ１０１にて、真正利用者認証情報の再登録を要請する旨を表示部５０１に表示させ、利用者に報せる。利用者は管理サーバ１０１にて、真正利用者認証情報を生成し直し、再登録することとなる（Ｓ９０６）。なお、利用者情報ｃｄは利用者情報ｃｄ２に書き換えられているため、真正利用者認証情報を再登録しない限り、各端末で認証のため、利用者認証情報を生成しても、真正利用者認証情報ＢＤと一致することはない。

一方、ステップＳ９０２にて不正使用と判断されなかった場合、管理サーバ１０１は、ステップ９０２の照合結果を該当端末へ送信し（Ｓ９１１）、認証時刻と認証に使用された端末を、利用者ごとに登録する（Ｓ９１２）。

このように、この実施例における管理システムによれば、施設の管理者は、利用者認証情報の不正利用を即座に発見でき、その場合、指定コードＢＢＢＢを変更するという簡単な手続きのみで施設の不正利用を防ぐことが出来る。なお、利用者認証情報に不正使用のおそれがあるか否かの判断基準としては、上述した移動所用時間以外のものを使用しても良い。例えば、利用者の客室滞在中に、同一の利用者の利用者認証情報が共用施設端末１０４で作成された場合にも、不正使用と判断することが可能である。一般には、利用者認証情報が所定の条件下で使用されたときに、不正使用と判断することができる。

Ｆ．変形例：
なお、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。

Ｆ１．変形例１：
上記実施例において、利用者認証情報の照合処理は、管理サーバ１０１においてなされていたが、各端末に利用者認証情報照合部２２１をもたせ、各端末が認証の度、管理サーバ１０１から真正利用者認証情報ＢＤを受け取り、照合を行うこととしてもよい。なお、その際、不正検出の為に、認証時刻を管理サーバ１０１に送信することとして良い。

Ｆ２．変形例２：
上記実施例において、編集部２３１あるいは編集部５３１の不可逆な演算を施すプログラムは、不可逆な演算を施す回路として実現しても良い。その場合、その回路は、解析するためにプローブなどを取り付けると動作しなくなるようにして、タンパー機能を実現しても良い。

Ｆ３．変形例３：
上記実施例において、利用者登録情報ＣＤに対し、利用者ごとに重複しない連番を与えるなどし、利用者を識別するための利用者コードを含ませ、データベース部２１０における検索の際のキーデータとしても良い。また、その利用者コードを利用者情報ｃｄに含ませ、利用者コードを付加コードＢＢＢＢとして利用しても良い。

Ｆ４．変形例４：
上記実施例においては、ホテルを説明したが、本発明では、ホテル以外の任意の施設の利用の管理に適用することが可能である。また、本発明は、各端末をクライアントコンピュータに置き換えることで、生体情報によるユーザー認証を行うコンピュータネットワークシステムにも応用できる。

実施例における認証システム全体図 管理サーバ１０１の構成を示すブロック図 利用者登録の際の管理サーバ１０１の処理の流れ図 データベース部２１０に格納される利用者登録情報ＣＤ 客室端末１０３の構成を示すブロック図 利用者入室の際の客室端末１０３の認証処理を示す流れ図 共用施設端末１０４の構成を示すブロック図 利用者による共用施設利用開始に伴う、共用施設端末１０４の処理を示す流れ図 管理サーバ１０１の認証情報不正使用発見時の流れ図

符号の説明

１０１…管理サーバ
１０２…ネットワーク
１０３…客室端末
１０４…共用施設端末
２１０…データベース部
２１１…電子財布プリペイド情報データベース
２１３…利用者認証情報データベース
２１５…利用者登録情報データベース
２２０…制御部
２２１…利用者認証情報照合部
２２３…利用者情報検索部
２２５…利用者情報登録部
２２７…利用者認証情報登録部
２２９…決済部
２３０…利用者認証情報生成ユニット
２３１…編集部
２３３…生体情報読取部
２４１…送受信部
２４３…キーボード
２４５…表示部
４１１…部屋情報
４１２…利用開始日
４１３…利用日数
４１４…指定コード
４１５…氏名
４１６…住所
４１７…電話番号
４１８…預入金額
５０１…表示部
５０３…鍵解錠部
５０５…送受信部
５１０…客室利用登録情報
５２０…制御部
５２１…利用者情報判定・入力部
５２３…カレンダ時計
５２５…サーバ情報処理部
５３０…利用者認証情報生成ユニット
５３１…編集部
５３３…生体情報読取部
７０１…送受信部
７０３…ＰＯＳ端末
７０５…キーボード

Claims (9)

1. 施設における利用者の認証を行う利用者認証方法であって、
   利用者による前記施設の利用内容に関する情報である利用者情報を取得する工程と、
   前記利用者の生体情報を取得する工程と、
   前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、利用者認証情報を生成する工程と、
   前記利用者認証情報を、予め準備された真正利用者認証情報と照合することによって、前記利用者の認証を行う工程と、
   を備える利用者認証方法。
2. 請求項１記載の利用者認証方法であって、さらに、前記利用者認証情報の生成後に前記生体情報を破棄する工程を備える利用者認証方法。
3. 請求項１又は２記載の利用者認証方法であって、
   前記利用者情報は、各施設ごとにユニークに設定された施設コードを含む、利用者認証方法。
4. 請求項１ないし３のいずれかに記載の利用者認証方法であって、
   前記利用者情報は、任意に変更可能な付加コードを含み、
   前記施設内における前記利用者認証情報が、不正使用と考えうる所定の条件下で使用されたことを検出する工程と、
   前記所定の条件下での利用者認証情報の使用が検出された時に、前記付加コードを異なる値に再設定する工程と、
   を備える利用者認証方法。
5. 請求項１ないし４のいずれかに記載の利用者認証方法であって、
   前記施設が、前記利用者ごとに個別に設定される利用期間だけ利用が許可される複数の個別施設を有しており、
   前記利用者情報が、前記利用者が利用可能である個別施設を示す個別施設コードと、前記利用者が利用可能である期間を示す利用期間とを含む、利用者認証方法。
6. 施設における利用者の認証を行う利用者認証装置に用いられる認証情報生成ユニットであって、
   利用者による前記施設の利用内容に関する情報である利用者情報を取得する入力部と、
   前記利用者の生体情報を取得する生体情報読取部と、
   前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、利用者認証情報を生成する編集部とを備え、
   前記利用者認証装置から前記認証情報生成ユニットが取り外されたときに、前記編集部による前記不可逆な演算を実行不能とするタンパー機能を有することを特徴とする、認証情報生成ユニット。
7. 施設における利用者の認証を行う管理システムであって、
   利用者による前記施設の利用内容に関する情報である利用者情報と、前記施設の利用状況を管理する管理サーバと、
   前記管理サーバとネットワークを介して接続され、前記施設内における利用者の認証を行う施設端末と、
   を備え、
   前記管理サーバは、
   利用者による前記施設の利用内容に関する情報である利用者情報を取得する入力部と、
   前記利用者の生体情報を取得する第一の生体情報読取部と、
   前記生体情報と前記利用者情報との組み合わせに対して不可逆な演算を施すことによって、真正利用者認証情報を生成する第一の編集部と、
   前記利用者情報と、前記真正利用者認証情報を格納するデータベース部とを備え、
   前記施設端末は、
   前記管理サーバから供給される前記利用者情報を登録できる記憶部と、
   前記利用者の生体情報を取得する第二の生体情報読取部と、
   前記生体情報と前記利用者情報との組み合わせに対して前記不可逆な演算を施すことによって、被照合利用者認証情報を生成する第二の編集部とを備え、
   前記管理サーバと前記施設端末の少なくとも一方が、前記真正利用者認証情報と前記被照合利用者認証情報とを照合することによって前記利用者の認証を行う照合部を備える、管理システム。
8. 請求項７記載の管理システムであって、
   前記管理サーバと前記施設端末は、前記利用者認証情報の生成後及び前記被照合利用者認証情報の生成後に前記生体情報をそれぞれ破棄する、管理システム。
9. 請求項７又は８記載の管理システムであって、
   前記施設端末は、前記利用者の前記施設の利用に係る取引を行うＰＯＳ端末を含み、
   前記管理サーバは、前記取引における利用料金の決済を行う決済部を含む、管理システム。

Images