JP2007241371A - 認証システム - Google Patents

Abstract

【課題】使用者認証を行う認証システムにおいて、認証情報としての生体情報の漏洩を防止し、その保管・管理上の安全性を向上させる。
【解決手段】使用者から生体認証情報を取得する生体認証情報取得部と、この生体認証情報と予め登録された登録生体認証情報とを照合することにより使用者認証を行う認証部と、登録生体認証情報を記憶する記憶部と、を備える複数の端末装置が通信可能に接続されてなる認証システムであって、これら複数の端末装置のそれぞれに、登録生体認証情報を他の端末装置の記憶部に分散して格納するとともに、認証部により使用者認証を行う際に、他の端末装置の記憶部に分散して格納された登録生体認証情報の読み出しを行う制御部を備える。
【選択図】図２

Description

本発明は、認証システムに関し、特に、生体認証情報に基づいて使用制限を行う生体認証機能を有する複数の端末装置を通信可能に接続した認証システムに関する。

近年、情報通信技術の発達により、電気・電子機器に格納する情報の保守・管理が、ますます重要な課題となっている。例えば、特許文献１には、電気・電子機器に記録した情報を分散させる分散ファイル技術に関する発明が開示されている。即ち、データディスクドライブを有する複数のコンピュータを、夫々ネットワークを介して相互に接続させ、ＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙｓ ｏｆ Ｉｎｅｘｐｅｎｓｉｖｅ Ｄｉｓｋｓ）等のディスクアレイ技術をネットワークシステム上で実現させたものである。１つのデータを複数のコンピュータに分散して格納するため、地震や火災等でネットワーク上に接続されるコンピュータの一部が故障・停止してもデータの完全な消失を防止することができる。また、パリティ情報を備えることで、故障・停止した端末に格納されていたデータファイルを復元し、他の端末に分散されたデータファイルとともにデータを完全に復元することが可能となっている。

また、電気・電子機器の保守・管理の安全性に関する技術として認証技術が挙げられる。近年、電気・電子機器に使用者認証（いわゆる使用者認証）を行う認証機能を搭載することが一般化している。使用者認証技術としては、暗証番号等を設定するのが一般的であるが、近年では、使用者の身体における特徴的な部分を認証情報として利用する生体認証技術（いわゆるバイオメトリックス認証技術）が実用段階で普及している。生体認証技術としては、指紋、手指の静脈パターン、虹彩、声紋、キーストローク、ＤＮＡ、匂いあるいは使用者の歩き方などの動作的な特徴等、使用者固有の情報に基づいて認証を行う技術が知られており、暗証番号等に比して個人の特定性が格段に高い技術として種々の技術分野で応用されている。

使用者認証を行う装置は、認証処理を行う際に、入力装置から入力される認証情報と照合する基準となる認証情報を予め装置内あるいは外部の記憶装置に記憶しておくようになっている。即ち、認証処理時に入力装置を介して使用者から認証情報が入力されると、事前に記憶装置に記録（登録）された登録認証情報を読み出し、両者の比較照合を行い、その一致率に基づいて同一であるか否かの判定を行う構成となっている。
特開平５−３２４５７９号公報

ところで、認証情報の内でも特に生体認証情報は、暗証番号等とは異なる特有の性質を有する情報である。即ち、生体認証情報は個人の特定性に優れるという利点があるが、事後にその内容を変更することが困難であるという問題がある。

生体認証装置は、先ず、生体認証情報を記憶（設定）させ、使用者認証時に生体認証情報の入力を要求し、この入力された情報と予め記憶（設定）された登録生体認証情報との照合を行うという構成からなる。したがって、生体認証装置の記憶部には常に生体認証情報が保管されており、万が一、生体認証装置自体が盗難されると、生体認証情報が全て漏洩するという問題がある。
また、単なる数字や記号の配列である暗証番号等であれば、情報の漏洩後に暗証番号の変更を行うことができるが、生体情報は原則として変更することが困難である。例えば、指紋を例にすると、変更できるデータの数は概ね２０（手足の指の数）である。従って、万が一、生体情報が漏洩（例えば、記憶装置の盗難等）すると、その後、生体情報を新たに登録できなくなる虞がある。この場合、以後同一の生体認証装置を適用する機器やシステムを使用できなくなるという問題がある。

更に、生体認証情報は暗証番号等以上に個人のプライバシーに直結する情報である。そのため生体情報の保管・管理には従来からの暗証番号情報に対して施してきた種々の安全管理以上の注意が必要である。

本発明は、上記課題を解決するためになされたものであり、その目的とするところは、認証システムにおいて、認証情報の漏洩を防止し、その保管・管理上の安全性を向上させることにある。

上記課題を解決するため、請求項１に記載の発明は、使用者から認証情報を取得する認証情報取得部と、前記認証情報と予め登録された登録認証情報とを照合することにより使用者認証を行う認証部と、前記登録認証情報を記憶する記憶部と、を備える複数の端末装置が通信可能に接続されてなる認証システムであって、
前記複数の端末装置のそれぞれに、
前記登録認証情報を他の端末装置を含む少なくとも２以上の記憶部に分散して格納するとともに、前記認証部により使用者認証を行う際に、前記他の端末装置を含む他の端末装置の記憶部に分散して格納された前記登録認証情報の読み出しを行う制御部を備えることを特徴とする。

請求項２に記載の発明は、請求項１に記載の認証システムであって、
前記制御部は、前記登録認証情報を分割して分割ファイルを生成する分割部を備えることを特徴とする。

請求項３に記載の発明は、請求項２に記載の認証システムであって、
前記制御部は、前記分割ファイルのうち、少なくとも１つの分割ファイルを前記他の端末装置の記憶部に記録させる記録制御部を備えることを特徴とする。

請求項４に記載の発明は、請求項２又は３に記載の認証システムであって、
前記制御部は、前記他の端末装置の記憶部から前記分割ファイルを読み出す読み出し制御部を備えることを特徴とする。

請求項５に記載の発明は、請求項４に記載の認証システムであって、
前記制御部は、前記他の端末装置の記憶部から読み出した前記分割ファイルから前記登録認証情報を再生成する再生成部を備えることを特徴とする。

請求項６に記載の発明は、請求項３から５のいずれか一項に記載の認証システムであって、
前記制御部は、前記分割ファイルに基づいて前記分割ファイルのパリティファイルを生成するパリティファイル生成部を更に備え、
前記記録制御部は、前記分割ファイル及び前記パリティファイルのうち、少なくとも１つの分割ファイル及び／又はパリティファイルを前記他の端末装置の記憶部に記憶させることを特徴とする。

請求項７に記載の発明は、請求項６に記載の認証システムであって、
前記制御部は、前記再生成部で前記登録認証情報の再生成を行う際、前記分割ファイルの不足を検出する検出部を更に備え、
前記検出部により分割ファイルの不足が検出される場合、前記読み出し制御部は、前記パリティ情報を読み出し、
前記再生成部は、前記分割ファイル及び前記パリティファイルに基づいて、前記登録認証情報の再生成を行うことを特徴とする。

請求項８に記載の発明は、請求項３から７のいずれか一項に記載の認証システムであって、
前記制御部は、前記他の端末装置の記憶部に記録させる分割ファイル及び／又はパリティファイルの符号化並びに前記他の端末装置の記憶部から読み出した符号化された分割ファイル及び／又はパリティファイルの復号化を行う暗号化部を更に備えることを特徴とする。

請求項９に記載の発明は、請求項５から８のいずれか一項に記載の認証システムであって、
前記制御部は、前記再生成部により再生成された前記登録認証情報を、前記認証部が使用者認証を行った後に消去する消去部を更に備えることを特徴とする。

請求項１０に記載の発明は、請求項１から９のいずれか一項に記載の認証システムであって、前記認証情報は、生体認証情報であり、前記登録認証情報は、登録生体認証情報であることを特徴とする。

請求項１、２、３、４又は５に記載の発明によれば、記憶部に登録認証情報を記憶した複数の端末装置が通信可能に接続されているため、登録認証情報を複数の端末装置の記憶部に分散して格納することができる。このため１つの端末装置から認証情報が漏洩したとしても、登録認証情報の全てが漏洩する危険性を著しく低下させることができる。

請求項６に記載の発明によれば、パリティファイルも他の端末に格納することができる。

請求項７に記載の発明によれば、検出部を更に備えることで、分割ファイルの不足を検出することができ、検出部が分割ファイルの不足を検出すると、読み出し制御部がパリティ情報を読み出すことができ、この読み込んだパリティファイルと読み込んだ分割ファイルとに基づいて登録認証情報の再生成を行うことができる。従って、通信障害、一部の端末装置の故障や盗難により、分割ファイルの一部が欠損した場合でも、認証部が使用者認証を行うことができるという効果がある。

請求項８に記載の発明によれば、暗号化部を更に設けることで、分割ファイル及び／又はパリティファイルを他の端末装置の記憶部に記録させる場合にこれらファイルを符号化することができ、他の端末装置の記憶部から符号化された分割ファイル及び／又はパリティファイルを読み出す場合に、これらファイルを復号化することができる。これにより通信時における分割ファイル及び／又はパリティファイルが漏洩する危険性を低下させることができ、認証情報の保管・管理上の安全性が更に向上するという効果がある。

請求項９に記載の発明によれば、消去部を更に設けることで、認証部が使用者認証を行った後に再生成部で再生成した登録認証情報及び／又は認証情報取得部で取得した認証情報を消去するため、認証システム上に完全な認証情報が存在しなくなり、認証情報の全てが漏洩する危険性を更に低下させることができ、保管・管理上の安全性が更に向上するという効果がある。

請求項１０に記載の発明によれば、情報の漏洩等に対し、特に高度な安全性を必要とする生体情報を認証情報として利用する場合であっても、その保管・管理上の安全性をより高度に確保することができる。

次に、図を用いて本発明を実施するための最良の形態について説明する。本実施の形態では、図２に示すように、ネットワークＮを介してデータ通信を可能に接続された複数のＭＦＰ（Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｆｅｒａｌ）２ａ、２ｂ、２ｃ及び２ｄにより構成された画像形成システム１に適用した例を示す。図２において、ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄは、例えば電子写真プロセスにより印刷を行う画像形成機能、原稿画像を読取って画像データを取得するスキャン機能及びネットワークＩ／Ｆ（インターフェース）部１６を介して画像データの送受信を行う通信機能等を備えた多機能型複写機である。ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄは、ＵＳＢケーブル６を介してＰＣ５と接続され（図２では、ＭＦＰ２ａのみが接続されている状態を示している。）制御系をＰＣ５側に備える構成とすることも可能である。本実施の形態では、ＭＦＰ２ａ側に制御系を備える構成を適用する。

また、ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄは、使用者認証機能をする。使用者認証機能は、ＩＤ番号の入力を要求し予め登録された登録ＩＤ番号情報と一致するか否かを判定処理した後、生体認証情報の入力を要求し、予め登録された登録生体認証情報と一致するか否かの判定を行うものである。ＩＤ番号情報及び生体認証情報を用いて２段階の判定処理を行う構成とすることで、認証の信頼性を向上することができる。

更に、本実施形態における画像形成システム１は、登録生体認証情報を、システムを構成するＭＦＰ２ａ、２ｂ、２ｃ及び２ｄにそれぞれ備えられた記憶部に分散格納することを特徴とする。より具体的には、ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄに構築されたデータベース（ＤＢ）３ａ、３ｂ、３ｃ及び３ｄのそれぞれに、１つの登録生体認証情報を分割して格納するようになっている。図４に、各データベース３ａ、３ｂ、３ｃ及び３ｄと分散格納された登録生体認証情報との関係を模式的に示す。図４において、ある使用者の登録生体認証情報である登録生体認証情報２５は、分割ファイルａ、分割ファイルｂ及び分割ファイルｃの３つのデータに分割され、夫々分割ファイルａはデータベース３ａに、分割ファイルｂはデータベース３ｂに、分割ファイルｃはデータベース３ｃに格納される。また、データベース３ｄには、分割ファイルａ、ｂ及びｃから所定の演算により得ることのできるパリティを格納したパリティファイルＰ（ａ、ｂ、ｃ）が格納される。以下、同様に生体認証情報２６、２７、２８についても、分割により分割ファイル及びそのパリティファイルが生成され、その後、データベース３ａ、３ｂ、３ｃ及び３ｄに分散格納されるようになっている。

以下に、ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄの構成について説明するが、これらは原則として同一の構成を有する。よって、以下の説明では、簡単のために主にＭＦＰ２ａについて説明し、構成及び機能が共通する部分についてはＭＦＰ２ｂ、２ｃ及び２ｄの説明を省略する。

図１のブロック図に、ＭＦＰ２ａの構成を示す。ＭＦＰ２ａは、ＣＰＵ１０、ＲＯＭ１１、ＲＡＭ１２、ハードディスク等から構成される記憶部１３、使用者の指紋を読取り生体認証情報としての指紋画像データを取得する生体認証情報取得部４ａ、ＴＦＴ素子等から構成される表示モニタであり、ＭＦＰ２ａでの各種処理や使用者に対する案内情報を表示するとともに、タッチパネルを適用し各種の指示信号を入力する入力装置としての機能を兼ね備えた表示／操作入力部１５、ネットワークＮを介して他のＭＦＰ２ｂ、２ｃ、２ｄ及びＰＣ５等の外部機器とのデータ通信を行うネットワークＩ／Ｆ部１６、原稿画像を読取って画像データを取得するスキャナ部１７及び電子写真プロセスにより記録媒体上に画像を形成する画像形成部１８から構成される。

ＣＰＵ１０では、記憶部１３（又はＲＯＭ１１）に記憶されたオペレーションプログラム、生体認証情報の認証処理を行う「認証判定プログラム」及び生体認証情報の登録処理を行う「認証登録プログラム」を読み出し、ワークエリアとしてのＲＡＭ１２上にこれらプログラムを展開してＭＦＰ２ａの全体制御、「認証判定処理」及び「認証登録処理」が行われる。「認証判定処理」及び「認証登録処理」については後述する。

記憶部１３は、上述の各種プログラムとともに、登録ＩＤ番号情報と、分割された登録生体認証情報である分割ファイルのファイル番号とを対応付けて記憶するデータテーブル２０が記憶されている。図３にデータテーブル２０の例を示す。例えば、登録ＩＤ番号情報「１２３４」に対応する分割ファイルを格納するファイルのファイル番号は「００１−ａ」、「００１−ｂ」、「００１−ｃ」及び「００１−Ｐ」である。更に、登録ＩＤ番号情報「１２３４」に対応するこれら分割ファイルのファイル番号が、ＭＦＰ２ａ、２ｂ、２ｃ及び２ｄの何れに格納してあるかの対応付けがなされている。

従って、ＣＰＵ１０は、このデータテーブル２０を参照しながら、表示／操作入力部１５から入力されるＩＤ番号情報に対応する登録ＩＤ番号があるか否かの判断を行い、対応する登録ＩＤ番号がある場合、再びデータテーブル２０を参照しながら、登録ＩＤ番号情報に対応するファイル番号を検出する。次いで、この抽出したファイル番号に基づいて分割ファイルを読み出し、登録生体認証情報の再生成を行う。その後、生体認証情報取得部４ａから取得した使用者の生体認証情報と登録生体認証情報との比較を行い、一致する場合に、ＭＦＰ２ａのアクセス制限を解除するようになっている。

また、上述のように、記憶部１３に記憶された分割ファイルは、登録生体認証情報を分割することにより得られたものであるが、このような分割を行う手法は、例えばＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙｓ ｏｆ Ｉｎｄｅｐｅｎｄｅｎｔ（Ｉｎｅｘｐｅｎｓｉｖｅ） Ｄｉｓｋｓ）技術に用いられるような分散ファイル形式の処理により実現することができる。分散ファイル形式としては、例えば、ＲＡＩＤ０、３、４、５及び６等の何れの方式を応用することができ、各仕様に合わせて盗難等の情報漏洩の防止を行うことができる。以下に、各方式の特徴を述べる。

ＲＡＩＤ０はストライピングを行うだけであるが、１つのデータベースに記録される登録生体情報は元の情報より少なく（最大に格納したとしても元の情報の１／２）、登録生体情報の保管・管理上の安全性の向上に資する。

ＲＡＩＤ３及び４は、ストライピングによる分散ファイル化に加えてパリティファイルを生成し、このパリティファイル専用のデータベースを独立して構築するものであるが、登録生体情報保護の安全性と欠損したデータの再生成を行うことができる。

ＲＡＩＤ５は、生体認証情報更新時に更新するパリティが異なるディスクに配置されている。このためＲＡＩＤ３及びＲＡＩＤ４の効果に加えて、ライト処理が多重で発行された場合でも同時に実行することができ、より高速に更新処理を行うことができるというメリットがある。

ＲＡＩＤ６は、登録生体認証情報更新時に更新するパリティを２重に作成し、夫々別のディスクに格納するため、２台のＭＦＰに障害が発生しても、障害が発生した分のデータの再生を行うことができる。即ち、２重の障害に対応することができるというメリットがある。

生体認証情報取得部４ａは、使用者の指紋のパターンを読取る認証装置である。赤外線センサや静電容量センサ等から構成される。例えば、赤外線センサを適用する場合は、特定周波数の赤外線を生体認証情報取得部４ａにかざされた指先に照射し、反射光の強さの変化を赤外線センサで検出する。この検出された変化を２値画像データとして捉え、ＣＰＵ１０に送信する様になっている。生体認証情報取得部４ａは、使用上の利便性から、ＭＰＦ２ａの表示／操作入力部１５の近傍等に設けるのが好ましい。
なお、生体認証情報取得部４ａとして、使用者の手指の静脈パターン、虹彩、声紋、匂いあるいは使用者の歩き方などの動作的な特徴等、使用者固有の情報に基づいて認証を行う技術等の種々の技術を適用することも当然に可能である。

表示／操作入力部１５は、使用者の操作によりＭＦＰ２ａに各種指示信号を入力するユーザインターフェースである。後述する「認証判定処理」及び「認証登録処理」で入力するＩＤ番号は、表示／操作入力部１５に設けられたテンキーを介して行われる。なお、本実施の形態では、表示／操作入力部１５を介して、４桁の数字をＩＤ番号として使用者の手により直接入力する構成としているが、カードリーダ等を設け、予め使用者の登録ＩＤ番号情報が記録された磁気カードやＩＣカード等から登録ＩＤ情報を読み取る構成とする事も当然に可能である。

ネットワークＩ／Ｆ部１６は、図示しないメールサーバ及びＦＰＴサーバとの外部通信（ＭＦＰ２ａの操作指示信号の受信や読み込んだ画像データ等の送信）を行うものである。
ネットワークＮとしては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＭＡＮ（Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）及びインターネット等と接続されており、他のＭＦＰ２ｂ、２ｃ及び２ｄから送信された画像データを受信して複写や印刷を行うことができるようになっている。
特に、本実施の形態では、「認証登録処理」や「認証判定処理」において、使用者の生体認証情報である指紋画像データを分割した分割ファイル及びパリティファイルを送受信することができるようになっている。分割ファイル及びパリティファイルを送受信する際に、ＣＰＵ１０から送信される指示信号に基づいて、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）等の暗号化処理を施したデータを送受信するようになっており、ネットワークＮ上でのデータ通信の安全性及び信頼性を確保するよう構成されている。

スキャナ部１７は、読取り原稿に対し光を照射し、反射される光をＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）イメージセンサやＣＭＯＳ（Ｃｏｍｐｌｅｍｅｎｔａｒｙ Ｍｅｔａｌ−Ｏｘｉｄｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）イメージセンサ等の光電変換素子で捉え、捉えたアナログの電気信号から図示しないＡ／Ｄ変換器で多値のデジタル信号に変換しＣＰＵ１０に出力するものである。

画像形成部１８は、スキャナ部１７が取得した画像データあるいはＰＣ５から送信された画像データに基づいて電子写真プロセスにより記録媒体上に画像を形成するものである。記憶媒体上にインクを吐出するいわゆるインクジェット方式等の種々の画像形成機構を適用することも可能である。

次に、ＣＰＵ１０で行われる「認証判定処理」及び「認証登録処理」について、図５から図９に示すフロー図を用いて説明する。なお、以下の説明では、便宜上ＭＦＰ２ａをホスト端末、他のＭＦＰ２ｂ、２ｃ、２ｄをクライアント端末として「認証判定処理」及び「認証登録処理」を実行する例について述べるが、画像形成システム１は何れのＭＦＰから「認証判定処理」及び「認証登録処理」を行うことができ、この「認証判定処理」及び「認証登録処理」において、使用者からの操作入力を受けるＭＦＰがホストとして機能する。

先ず、「認証登録処理」について説明する。以下の説明では、ＭＦＰ２ａをホスト及びその制御部たるＣＰＵをホストＣＰＵ１０と呼ぶ。更に、分散ファイルデータ又はパリティファイルの送信を受けるＭＦＰ２ｂ、２ｃ、２ｄをクライアント及びこれらの制御部たるＣＰＵをクライアントＣＰＵ１０と呼ぶ。

図５のホスト側の処理手順を示すフロー図において、ステップＳ１０１で、ホストＣＰＵ１０は、使用者によって表示／操作入力部１５が操作され、認証登録処理モードに設定されることで、認証情報の登録を行う旨及びＩＤ番号の入力を指示する旨の案内表示を表示し、この案内表示に従い使用者からＩＤ番号の入力が行われることでＩＤ番号情報を取得し、ＲＡＭ１２に一時記憶を行う。

ステップＳ１０２で、ホストＣＰＵ１０は、表示／操作入力部１５に、生体認証情報取得部２ａに所定の指をかざすことを指示する旨の案内表示を表示し、この案内表示に従い生体認証情報取得部４ａにかざされた使用者の指から指紋画像データを取得し、ＲＡＭ１２に一時記憶する。

ステップＳ１０３で、ホストＣＰＵ１０は、指紋画像データを所定のデータ量を基準データ単位として分割し、分割ファイルａ、ｂ及びｃという３つのファイル（図４参照）を生成する分割処理を実行する。指紋画像データの分割は、指紋画像データの総データ量を、システムを構成する全てのＭＦＰの数：Ｎからパリティファイルデータを格納するＭＦＰの分の数：１を減じたＮ−１（本実施の形態では「３」）で除算して基準データ単位を求め、指紋画像データの先頭から順に、基準データ単位に基づいて分割を行う（指紋画像データの総量が１２０ｋｂｙｔｅであれば、分割ファイル１つあたりのデータ量は４０ｋｂｙｔｅ）。この分割処理により分割ファイルａ、ｂ及びｃを生成しＲＡＭ１２に一時記憶する。
なお、基準データ値の算出は、これ以外にも指紋画像データの総データ量を予め設定された所定の値で除算して求めてもよいし、基準データ値自体を予め設定する構成としてもよい。

ステップＳ１０４で、ホストＣＰＵ１０は、ステップＳ１０４で分割した分割ファイルａ、ｂ及びｃからＸＯＲ（排他的論理和）の演算によりパリティを求め、パリティファイルＰを生成しＲＡＭ１２に一時記憶する。

ステップＳ１０５で、ホストＣＰＵ１０は、ステップＳ１０１で取得したＩＤ番号情報と、ステップＳ１０３で生成した分割ファイルａ、ｂ、ｃ及びステップＳ１０４で生成したパリティファイルをファイル番号と対応付ける処理を行い、この対応関係をデータテーブル２０（図３）に記録する。

ステップＳ１０６で、ホストＣＰＵ１０は、ステップＳ１０５で対応付けを行った分割ファイルのうち１つの分割ファイル（ここでは分割ファイルａとする）を記憶部１３に記憶する。

ステップＳ１０７で、ホストＣＰＵ１０は、ネットワークＩ／Ｆ部１６を介してＭＦＰ２ｂ、２ｃ及び２ｄに、新規使用者に関するＩＤ番号情報及び指紋画像データの登録を要求する使用者新規登録要求信号を送信する。

図６のクライアント側の処理手順を示すフロー図において、ステップＳ２０１で、クライアントは、ホストから送信された使用者新規登録要求信号を受信する。この使用者新規登録要求信号の受信により、クライアントＣＰＵ１０は、使用者新規登録処理を開始する。

ステップＳ２０２で、クライアントＣＰＵ１０は、ステップＳ２０１で受信した使用者新規登録要求信号に対して使用者新規登録応答信号をホスト側に送信する。

図５に戻り、ステップＳ１０８で、ホストは、クライアント側から送信された使用者新規登録応答信号を受信し、ホストＣＰＵ１０は、この使用者新規登録応答信号の受信により、各クライアント（ＭＦＰ２ｂ、２ｃ及び２ｄ）とデータ通信が可能であることを確認し、ステップＳ１０９の処理に進む。

ステップＳ１０９で、ホストＣＰＵ１０は、分割ファイルｂ、ｃ及びパリティファイルＰにＳＳＬによる符号化を行う。
次いで、ステップＳ１１０で、ホストＣＰＵ１０は、各データファイルのヘッダ部にＩＤ番号情報及びファイル番号との対応関係を示すデータテーブル２０の情報を記録し、分割ファイルｂをＭＦＰ２ｂに、分割ファイルｃをＭＦＰ２ｃに、パリティファイルＰをＭＦＰ２ｄに夫々送信する。

図６において、ステップＳ２０３で、ホスト側から送信された分割ファイルｂ、ｃ又はパリティファイルとを夫々クライアントであるＭＦＰ２ｂ、２ｃ及び２ｄが受信する。

ステップＳ２０４で、クライアントＣＰＵ１０は、分割ファイル又はパリティファイルの復号化を行う。
次いで、ステップＳ２０５で、クライアントＣＰＵ１０は、分割ファイル又はパリティファイルの登録処理を開始する。この登録処理では、クライアントＣＰＵ１０が、ファイルヘッダに記憶させたＩＤ番号情報及びデータテーブル２０の情報（ファイル番号との対応関係を示す）を読み込み、クライアントに設けられているデータテーブル２０（図３参照）に記憶を行う。

ステップＳ２０６で、クライアントＣＰＵ１０は分割ファイルｂ、ｃ又はパリティファイルＰを夫々記憶部１３のハードディスクに記憶する。これにより、ＭＦＰ２ｂ、２ｃ及び２ｄのデータベース３ｂ、３ｃ及び３ｄに、分割ファイル又はパリティファイルが記憶され、画像形成システム１上で特定個人の指紋画像データが分散格納されたこととなる。

ステップＳ２０７で、クライアントＣＰＵ１０は、ホストに対し、使用者登録が完了した旨を示す使用者登録完了信号の送信を行う。

図５に戻り、ステップＳ１１１で、ホスト側は使用者登録完了信号を受信し、ホストＣＰＵ１０は、ステップＳ１１２の処理に進む。
ステップＳ１１２において、ホストＣＰＵ１０は、クライアントのＲＡＭ上に一時記憶されているＩＤ番号情報と、分割ファイル又はパリティファイルとの削除要求を示す削除要求信号をクライアント側に送信する。

図６において、ステップＳ２０８で、クライアントは削除要求信号を受信する。
次いで、ステップＳ２０９で、クライアントＣＰＵ１０は、ＲＡＭ１２に一時記憶したＩＤ番号情報と、分割ファイル又はパリティファイルとの削除を行う。これにより、クライアントには、認証情報として記憶部１３に記憶した登録ＩＤ番号情報と、各クライアントに分散格納された分割ファイルの何れか１つ又はパリティファイルしか存在しないこととなる（例えば、ＭＦＰ２ｂの記憶部１３には、登録ＩＤ番号情報、分割ファイルｂ及びデータテーブル２０の情報しか記憶されていない。）。

ステップＳ２１０で、クライアントＣＰＵ１０は、ＲＡＭ１２に一時記憶したＩＤ番号情報と、分割ファイル又はパリティファイルとの削除を完了した旨を示す削除完了信号をホストに送信する。

図５に戻り、ステップＳ１１３で、ホストは、クライアント側から送信された削除完了信号を受信する。
次いで、ステップＳ１１４で、ホストＣＰＵ１０は、全てのクライアント（即ち、ＭＦＰ２ｂ、２ｃ及び２ｄの全て）から削除完了信号を受信したか否かを判断し、全てのクライアントから受信したと判断する場合は、ステップＳ１１５に進む（ステップＳ１１３：ＹＥＳ）。逆に、ホストＣＰＵ１０は、全てのクライアントから受信していないと判断する場合は、受信するまで待機する（ステップＳ１１４：ＮＯ）。なお、このステップＳ１１４がＮＯである場合は、全てのクライアントから削除完了信号を受信するまで一定時間待機した後、ステップＳ１１５に進む処理としてもよい。

ステップＳ１１５で、ホストＣＰＵ１０は、ホストのＲＡＭ１２に一時記憶したＩＤ番号情報、指紋画像データ、分割ファイル及びパリティファイルを消去する処理を行う。ホストのＲＡＭ１２には、生体認証情報に関する全てのデータが一時記憶されているからである。これら情報をホストのＲＡＭ１２から削除することで、画像形成システム１上に使用者の生体認証情報を１００％の形で保管するデータベースが存在しないことになり、生体認証情報に対する安全性がより向上することとなる。
以上が「認証登録処理」である。これ以後、使用者は登録ＩＤ番号及び指紋画像データを入力し「認証判定処理」による照合処理を適正に通過することでＭＦＰ２ａ、２ｂ、２ｃ又は２ｄの何れをも使用することができるようになる。

次に、画像形成システム１における「認証判定処理」について、図７、図８及び図９のフロー図を用いて説明する。なお、「認証判定処理」においても、ＭＦＰ２ａをホスト及びその制御部であるＣＰＵ１０をホストＣＰＵ１０とする。又、分割ファイルを格納するＭＦＰをＭＦＰ２ｂ及びＭＦＰ２ｃとし、これらを分割側クライアント及びその制御部を分割側クライアントＣＰＵ１０と呼ぶ。更に、パリティファイルを格納するＭＦＰをＭＦＰ２ｄとし、これをパリティ側クライアント及びその制御部であるＣＰＵ１０をパリティ側クライアントＣＰＵ１０と呼ぶ。図７にホスト、図８に分割側クライアント及び図９にパリティ側クライアントの処理手順を夫々示す。

図７に示す、ホストの処理手順を示すフロー図において、ステップＳ３０１で、ホストＣＰＵ１０は、表示／操作入力部１５を介して入力される、使用者のＩＤ番号情報を取得する。
ステップＳ３０２で、ホストＣＰＵ１０は、データテーブル２０を参照し、取得したＩＤ番号情報の検索を行う。

ステップＳ３０３において、ホストＣＰＵ１０は、検索の結果、データテーブル２０に該当する登録ＩＤ番号情報がデータテーブル２０に登録（有る）されているか否かを判断する。ホストＣＰＵ１０は、登録されていると判断する場合、ステップＳ３０４に進む。逆に、ホストＣＰＵ１０は、登録されていないと判断する場合、ステップＳ３１７に進む。

ステップＳ３０４で、ホストＣＰＵ１０は、生体認証情報取得部４ａから使用者の指紋画像データを取得し、ＲＡＭ１２に一時記憶する。
ステップＳ３０５で、ホストＣＰＵ１０は、データテーブル２０を参照し、登録ＩＤ番号情報に対応する分割ファイルを格納する分割側クライアント（ＭＦＰ２ｂ及び２ｃ）を認識し、これら分割側クライアントに分割ファイルの送信要求信号を送信する。なお、このときホストＣＰＵ１０は、分割ファイルの送信要求信号とともに登録ＩＤ番号情報も送信する。

図８に示す分割側クライアントの処理手順を示すフロー図において、ステップＳ４０１で、分割側クライアントは分割ファイルの送信要求信号を受信する。
次いで、ステップＳ４０２で、分割側クライアントＣＰＵ１０は、ステップＳ４０１で受信した分割ファイルの送信要求信号の送信元を確認する処理を行う。具体的には、分割ファイルの送信要求信号に含まれる送信元のＭＡＣアドレスと、予め通信許可がなされた端末の一覧を記憶したテーブル（不図示）とを比較する。

ステップＳ４０３で、分割側クライアントＣＰＵ１０は、送信元が通信許可を与えられた端末であると判断する場合（送信元のＭＡＣアドレスが、上述のテーブルに記憶されている場合）、ステップＳ４０４に進む。逆に、分割側クライアントＣＰＵ１０は、送信元が通信許可を与えられていないと判断する場合（送信元のＭＡＣアドレスが、上述のテーブルに記憶されていない場合）、本フローを抜け処理を終了する。

ステップＳ４０４で、分割側クライアントＣＰＵ１０は、分割ファイルの送信要求信号とともに送信された登録ＩＤ番号情報に基づいて、データテーブル２０から対応するファイル番号を検出し、記憶部１３から分割ファイル３０ｂ又は３０ｃを読み出し、ＳＳＬにより符号化処理を実行する。
ステップＳ４０５で、分割側クライアントＣＰＵ１０は、符号化した分割ファイルをホストに送信する。
その後、ステップＳ４０６で、分割側クライアントのＲＡＭ１２に一時記憶されているヘッダ情報と、分割ファイルｂ又はｃを消去する処理を行う。

図７に戻り、ステップＳ３０６でホストは分割ファイルを受信する。
ステップＳ３０７で、ホストＣＰＵ１０は、クライアントに格納されている全ての分割ファイルｂ及びｃを受信したか否かを判断する。具体的には、データテーブル２０を参照し、クライアントに格納されている分割ファイルｂ及びｃを認識し、受信した分割ファイルのヘッダ情報と比較しこれら分割ファイルであるか否かを判断する。ホストＣＰＵ１０は、該当する全ての分割ファイルを受信したと判断する場合、ステップＳ３０８に進む（ステップＳ３０７：ＹＥＳ）。逆に、ホストＣＰＵ１０は、全ての分割ファイルを受信していない即ち未受信ファイルがあると判断する場合、ステップＳ３１３に進む（ステップＳ３０７：ＮＯ）。このステップＳ３１３の処理については、後述する。

ステップＳ３０８で、ホストＣＰＵ１０は、ステップＳ３０６で受信した符号化された分割ファイルの復号化を行う。
ステップＳ３０９で、ホストＣＰＵ１０は、ホストの記憶部１３に格納した分割ファイルａを読み出し、この分割ファイルａと、復号化した分割ファイルｂ及びｃとから指紋画像データの生成処理を行う。

ステップＳ３１０で、ホストＣＰＵ１０は、ステップＳ３０９で生成した指紋画像データと、ステップＳ３０４で生体認証情報取得部４ａから取得した指紋画像データとの照合処理を行う。照合処理では、ホストＣＰＵ１０は、ピクセル毎に両画像データの一致又は不一致を検出し、全画像データの一致率が所定の基準値以上であるか否かを判断する。
ステップＳ３１１で、ホストＣＰＵ１０は、両画像データが一致すると判断する場合、ステップＳ３１２に進む（ステップＳ３１１：ＹＥＳ）。逆に、ホストＣＰＵ１０は、両画像データが一致しない（不一致）と判断する場合、ステップＳ３１７の処理に進む（ステップＳ３１１：ＮＯ）。

ステップＳ３１２で、ホストＣＰＵ１０は、ホスト（ＭＦＰ２ａ）のアクセス制限を解除する処理を行う。これにより、使用者はＭＦＰ２ａの各種機能を使用することができるようになる。

次に、ステップＳ３０７の判断で、ホストＣＰＵ１０が、クライアントに格納した全ての分割ファイルを受信していない（未受信ファイルがある）と判断し、ステップＳ３１３の処理に進む場合について説明する。

ステップＳ３１３で、ホストＣＰＵ１０は、未受信ファイルの数が１つであるか否かを判断する。即ち、本実施の形態ではＲＡＩＤ５の技術を応用しているため、２以上の分割ファイルが消失した状態では、パリティファイルを使用して欠損ファイルを生成できないためである。
ホストＣＰＵ１０は、未受信ファイルが１つであると判断する場合、ステップＳ３１４に進む（ステップＳ３１３：ＹＥＳ）。ホストＣＰＵ１０は、未受信ファイル数が２以上である場合、ステップＳ３１７に進む（ステップＳ３１３：ＮＯ）。

ステップＳ３１４で、ホストＣＰＵ１０は、データテーブル２０を参照し、パリティファイルを格納するパリティ側クライアントを検出し、このパリティ側クライアントにパリティファイルの送信要求信号を送信する。このときホストＣＰＵ１０は、パリティファイルの送信要求信号とともに登録ＩＤ番号情報もパリティ側クライアントに送信する。
なお、ホストＣＰＵ１０は、パリティファイルがホストの記憶部１３に記憶されている場合、パリティファイルの送信要求信号の送信を行わずに、パリティファイルを記憶部１３から読み出し、ステップＳ３１６の処理に進む。

図９のパリティ側クライアントの処理手順を示すフロー図において、ステップＳ５０１で、パリティ側クライアントはパリティファイルの送信要求信号を受信する。
次いで、ステップＳ５０２で、パリティ側クライアントＣＰＵ１０は、ステップＳ５０１で受信したパリティファイルの送信要求信号の送信元を確認する処理を行う。即ち、パリティファイルの送信要求信号に含まれる送信元のＭＡＣアドレスと、予め通信許可がなされた端末の一覧を記憶したテーブル（不図示）とを比較する。

ステップＳ５０３で、パリティ側クライアントＣＰＵ１０は、送信元が通信許可を与えられた端末であると判断する場合（送信元のＭＡＣアドレスが、上述のテーブルに記憶されている場合）、ステップＳ５０４に進む（ステップＳ５０３：ＹＥＳ）。逆に、パリティ側クライアントＣＰＵ１０は、送信元が通信許可を与えられていないと判断する場合（送信元のＭＡＣアドレスが、上述のテーブルに記憶されていない場合）、本フローを抜け処理を終了する（ステップＳ５０３：ＮＯ）。

ステップＳ５０４で、パリティ側クライアントＣＰＵ１０は、パリティファイルの送信要求信号に含まれる登録ＩＤ番号情報に基づいて、データテーブル２０から対応するファイル番号を検出し、記憶部１３からパリティファイルを読み出し、ＳＳＬにより符号化処理を実行する。
ステップＳ５０５で、パリティ側クライアントＣＰＵ１０は、符号化した分割ファイルをホストに送信する。
その後、ステップＳ５０６で、パリティ側クライアントのＲＡＭ１２に一時記憶されているＩＤ番号情報及びパリティファイルを消去する処理を行う。

図７に戻り、ステップＳ３１５で、ホストＣＰＵ１０は、パリティファイルを受信する。
次いで、ステップＳ３１６で、ホストＣＰＵ１０は、パリティファイル及びステップＳ３０６で受信することができた分割ファイル（分割ファイルｂ又はｃ）に基づいて、未受信ファイルの生成処理を行う。

その後、ホストＣＰＵ１０はステップＳ３０９に進み、このステップでホストＣＰＵ１０は、ステップＳ３１６で生成した未受信ファイルと、ステップＳ３０６で分割側クライアントから受信した分割ファイルｂあるいはｃと、ホストの記憶部１３から読み出した分割ファイルａとに基づいて、指紋画像データを生成する処理を行う。以降の処理は上述のステップＳ３１０からステップＳ３１２と同様である。

最終ステップであるステップＳ３１７で、ホストＣＰＵ１０は、ＲＡＭ１２に一時記憶しているＩＤ番号情報、生体認証情報取得部４ａから取得した指紋画像データ、ステップＳ３０９で生成した指紋画像データ、ステップＳ３０６で受信した分割ファイルｂ及び／又はｃ、ステップＳ３１５で取得したパリティファイル、ステップＳ３１６でパリティファイルから生成した未受信データファイル等を消去する処理を行う。これにより、ホスト上から指紋画像データを削除することができ、生体認証情報を画像形成システム１で分散格納した状態に戻すことができる。

以上、本実施の形態における画像形成システム１によれば、生体認証情報である指紋画像データを分割して分割ファイルを生成し、ネットワーク上で接続された他のＭＦＰにこの分割ファイルを分散格納するため、万が一、（例えば、１つの）ＭＦＰが盗難され情報の漏洩が発生しても、指紋画像データの全体が漏洩することがなく、生体認証情報の保管・管理上の安全性が確実に向上するという効果がある。

特に、指紋等の生体認証情報は、内容の変更ができず、又、個人のプライバシーに大きく影響するという特有の事情を有する情報である。本実施の形態における画像形成システムによれば、このような特有の事情を有する情報の保管・管理上の安全性に優れ、生体情報による認証技術におけるデメリットを克服することができるという優れた効果がある。

また、上述の画像形成システム１では、ＩＤ番号情報と生体認証情報というの２段階の認証処理を行う構成としているが、生体認証情報のみに基づいて認証処理を行う構成とする事も当然にできる。この場合、ＩＤ番号情報にかえて各分割ファイルのファイル名に基づいて、ホスト―クライアント間の分割ファイル及びパリティファイルの送受信を行う構成とすればよい。

また、パリティファイルを生成することで、ネットワーク上の障害やＭＦＰの故障・盗難に起因して分割ファイルの一部が未受信となっても、正常に受信した分割ファイル及びパリティファイルに基づいて、この未受信の分割ファイルを再生成し指紋画像データを再生成することができるという効果がある。

また、画像形成システム１は、他のＭＦＰから受信した分割ファイルから指紋画像データを再生成し、ＲＡＭ１２上に一時記憶して使用者認証処理を行う構成としているが、この使用者認証処理が完了した後、ＲＡＭ１２上に一時記憶された指紋画像データ及び生体認証情報取得部２ａから取得した指紋画像データを消去する構成としている。このためＲＡＭ１２上に一時的に記憶されている再生成された指紋画像データ及び生体認証情報取得部２ａから取得した指紋画像データからの情報漏洩の虞もなく、生体認証情報の保管・管理の安全性を更に向上させるという効果がある。

以上、本発明を実施するための最良の形態について説明したが、本発明は上述した種々の例に限定されるものではない。

本発明を実施するための最良の形態における画像形成システムの機能構成を示したブロック図である。 図１に示すＭＦＰの外部接続環境の例を示した模式図である。 図１に示すＭＦＰに格納されるＩＤ番号、分割ファイル並びにパリティファイルのファイル番号及び分割ファイルを格納するＭＦＰの対応関係の例を示したデータテーブルの模式図である。 図１に示す複数のデータベースに格納される分割ファイル及びパリティファイルを格納する例を示した模式図である。 本発明を実施するための最良の形態における認証登録処理のホスト側の処理手順を示したフロー図である。 本発明を実施するための最良の形態における認証登録処理のクライアント側の処理手順を示したフロー図である。 本発明を実施するための最良の形態における認証判定処理のホスト側の処理手順を示したフロー図である。 本発明を実施するための最良の形態における認証判定処理の分割ファイル格納クライアント側の処理手順を示したフロー図である。 本発明を実施するための最良の形態における認証判定処理のパリティファイル格納クライアント側の処理手順を示したフロー図である。

符号の説明

１ 画像形成システム
２ａ、２ｂ、２ｃ、２ｄ ＭＦＰ
３ａ、３ｂ、３ｃ、３ｄ データベース
４ａ、４ｂ、４ｃ、４ｄ 生体認証情報取得部
５ ＰＣ
１０ ＣＰＵ
１１ ＲＯＭ
１２ ＲＡＭ
１３ 記憶部
１５ 表示／操作入力部
１６ ネットワークＩ／Ｆ部
１７ スキャナ部
１８ 画像形成部
２０ データテーブル
２５、２６、２７，２８ 登録生体認証情報
Ｎ ネットワーク

Claims (10)

1. 使用者から認証情報を取得する認証情報取得部と、前記認証情報と予め登録された登録認証情報とを照合することにより使用者認証を行う認証部と、前記登録認証情報を記憶する記憶部と、を備える複数の端末装置が通信可能に接続されてなる認証システムであって、
   前記複数の端末装置のそれぞれに、
   前記登録認証情報を他の端末装置を含む少なくとも２以上の記憶部に分散して格納するとともに、前記認証部により使用者認証を行う際に、前記他の端末装置を含む少なくとも２以上の記憶部に分散して格納された前記登録認証情報の読み出しを行う制御部を備えることを特徴とする認証システム。
2. 請求項１に記載の認証システムであって、
   前記制御部は、前記登録認証情報を分割して分割ファイルを生成する分割部を備えることを特徴とする認証システム。
3. 請求項２に記載の認証システムであって、
   前記制御部は、前記分割ファイルのうち、少なくとも１つの分割ファイルを前記他の端末装置の記憶部に記録させる記録制御部を備えることを特徴とする認証システム。
4. 請求項２又は３に記載の認証システムであって、
   前記制御部は、前記他の端末装置の記憶部から前記分割ファイルを読み出す読み出し制御部を備えることを特徴とする認証システム。
5. 請求項４に記載の認証システムであって、
   前記制御部は、前記他の端末装置の記憶部から読み出した前記分割ファイルから前記登録認証情報を再生成する再生成部を備えることを特徴とする認証システム。
6. 請求項３から５のいずれか一項に記載の認証システムであって、
   前記制御部は、前記分割ファイルに基づいて前記分割ファイルのパリティファイルを生成するパリティファイル生成部を更に備え、
   前記記録制御部は、前記分割ファイル及び前記パリティファイルのうち、少なくとも１つの分割ファイル及び／又はパリティファイルを前記他の端末装置の記憶部に記憶させることを特徴とする認証システム。
7. 請求項６に記載の認証システムであって、
   前記制御部は、前記再生成部で前記登録認証情報の再生成を行う際、前記分割ファイルの不足を検出する検出部を更に備え、
   前記検出部により分割ファイルの不足が検出される場合、前記読み出し制御部は、前記パリティ情報を読み出し、
   前記再生成部は、前記分割ファイル及び前記パリティファイルに基づいて、前記登録認証情報の再生成を行うことを特徴とする認証システム。
8. 請求項３から７のいずれか一項に記載の認証システムであって、
   前記制御部は、前記他の端末装置の記憶部に記録させる分割ファイル及び／又はパリティファイルの符号化並びに前記他の端末装置の記憶部から読み出した符号化された分割ファイル及び／又はパリティファイルの復号化を行う暗号化部を更に備えることを特徴とする認証システム。
9. 請求項５から８のいずれか一項に記載の認証システムであって、
   前記制御部は、前記再生成部により再生成された前記登録認証情報を、前記認証部が使用者認証を行った後に消去する消去部を更に備えることを特徴とする認証システム。
10. 請求項１から９のいずれか一項に記載の認証システムであって、
    前記認証情報は、生体認証情報であり、
    前記登録認証情報は、登録生体認証情報であることを特徴とする認証システム。

Images