JP2007304792A - 認証システムを構成する処理装置及び認証システム及びその動作方法 - Google Patents

Abstract

【課題】認証システムにおいて、不正な手段による本人確認を抑制又は防止することを目的とする。
【解決手段】認証データの一部であって、他の装置に記憶されている第１の部分認証データの残余である第２の部分認証データと、入力データと認証データとの照合処理の際に使用される処理データの一部であって、他の装置に記憶されている第１の部分処理データの残余である第２の部分処理データとを記憶する記憶手段と、第１の部分認証データと第１の部分処理データとを受信する受信手段と、第１の部分認証データ及び第２の部分認証データから認証データを生成し、第１の部分処理データ及び第２の部分処理データから処理データを生成するデータ結合手段と、入力データと認証データとを照合する処理を実行して認証を行う認証手段とを備える。
【選択図】図１

Description

本発明は、制御装置と端末装置により、本人確認を実施する認証システムに関する。

制御装置と認証端末装置とからなる認証システムにおいては、認証端末装置に入力される入力データと、あらかじめ用意してある認証データとを照合して認証を行う。ここで、制御装置内あるいは認証端末装置のいずれか一方に全ての認証データを記憶していると、認証データが解読され、不正に認証される恐れがある。そこで、従来の認証システムでは、電子割符を用いて認証データを分割し、制御装置と認証端末装置のそれぞれで、分割された認証データを保有し、認証データが解読されないようにする技術が存在していた（特許文献１）。従来技術によれば、例えば、一方の装置が盗難されても、両方の装置が盗難されなければ、認証データの復元は困難であった。

特開２００４−２３４６３３号公報

しかし、従来技術では、認証データは制御装置及び認証端末装置に分割して記憶されているが、入力データと認証データを照合する際に用いられる処理データは制御装置又は認証端末装置の一方に記憶されていた。ここで処理データとは、入力データと認証データを照合する場合に使用されるアルゴリズム等をデータ化したものであり、例えば、暗号キー、関数、認証プログラム、ライブラリなどをデータ化したものである。処理データが記憶されている制御装置あるいは認証端末装置が盗難された場合には、処理データが解析されることにより、認証データが偽造され、本人確認が実施されてしまう可能性がある。また、処理データが制御装置に記憶されている場合に、認証端末装置がすり替えられると、すり替えられた認証端末装置から制御装置へのアクセスにより、処理データが盗聴され、解析され、認証データが偽造され、本人確認が実施されてしまう可能性がある

また、制御装置と認証端末装置の両方が盗難された場合には、認証データ、処理データの解析が容易となり、認証データ偽造により本人確認が実施されてしまう可能性が高くなる。

本発明の目的は、上記課題の少なくとも一部を解決するためになされたものであり、不正な手段による本人確認を抑制又は防止することを目的とする。

上記課題を解決するために、本発明に係る処理装置は、認証システムを構成する処理装置であって、認証端末装置を介して入力される入力データと照合するためにあらかじめ用意されている認証データの一部であって、認証システムを構成する他の装置の記憶手段に記憶されている第１の部分認証データの残余である第２の部分認証データと、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データの一部であって、前記他の装置の記憶手段に記憶されている第１の部分処理データの残余である第２の部分処理データを記憶する記憶手段と、前記他の装置から前記第１の部分認証データと前記第１の部分処理データとを受信する受信手段と、前記第１の部分認証データ及び前記第２の部分認証データから前記認証データを生成する第１のデータ結合手段と、前記第１の部分処理データ及び前記第２の部分処理データから前記処理データを生成する第２のデータ結合手段と、前記処理データに基づいて、前記入力データと前記認証データとを照合する処理を実行して認証を行う認証手段とを備える。

本発明によれば、処理装置には、認証データだけでなく処理データについても、その一部しか記憶されていない。したがって、例えば処理装置の盗難、盗聴などの不正な手段により部分処理データが第三者に知られても処理データ全体を復元することは困難である。処理データが復元されなければ、識別データの解析、偽造は困難なので、不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置はさらに、前記他の装置が正当なものであるか確認するための装置確認データを有し前記装置確認データが所定の条件を満たす場合に、前記第１の結合手段は前記第１の部分認証データ及び前記第２の部分認証データから前記認証データを生成し、前記第２の結合手段は前記第１の部分処理データ及び前記第２の部分処理データから前記処理データを生成し、前記認証手段は前記処理データに基づいて前記入力データと前記認証データとを照合する処理を実行して認証を行う。

本発明によれば、処理装置は、他の装置が正規な装置であることを確認し、確認した後に、認証データ及び処理データを生成／復元する。したがって、他の装置が正規な装置であることを確認できない場合には、認証データ及び処理データの復元がされないので、認証データ、処理データが読み出されることはなく、不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置は、前記装置確認データが所定の条件を満たさない場合には、前記第２の部分認証データ及び前記第２の部分処理データのうち少なくとも一方のデータを記憶手段から削除する。

本発明によれば、処理装置は、他の装置が正規な装置であると確認できなかった場合には、第２の部分認証データ及び第２の部分処理データのうち少なくとも一方のデータを記憶手段から削除するので認証データ又は処理データを復元できない。この結果、不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置は、電池電源を備える。

本発明によれば、例えば、電池電源を備える処理装置は、盗難された場合でも、電池電源からから電力が供給されるため一定時間動作を続ける。しかし、処理装置は、その間は他方の装置を確認することはできない。処理装置は、記憶手段から、第２の部分認証データ及び第２の部分処理データの少なくとも一方のデータを削除するので認証データ又は処理データの復元はできなくなる。その結果、不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置は、認証システムの制御装置であり、前記認証データを２つの部分認証データに分割する第１のデータ分割手段と、前記処理データを２つの部分処理データに分割する第２のデータ分割手段と、前記２つの部分認証データの一方と前記２つの部分処理データの一方とを前記他の装置に送信する送信手段とを備える。

本発明によれば、処理装置は、データ分割手段を装置内に備えているので、例えば、他のサーバー装置を用いて認証データ、処理データを分割する必要がない。したがって、他のサーバー装置から認証データ、処理データが流出する恐れがない。その結果、流失した認証データ、処理データを用いる不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置は、前記第１の分割手段は、前記第１の部分認証データ及び前記第２の部分認証データとは異なる２つの部分認証データを生成し、前記第２の分割手段は、前記第１の部分処理データ及び前記第２の部分処理データとは異なる２つの部分処理データを生成し、前記送信手段は、前記生成した２つの部分認証データの一方と前記生成した部分処理データの一方とを他の装置に送信し、前記記憶手段は、前記生成した２つの部分認証データの他方と前記生成した２つの部分認証データの他方とを記憶する。

本発明によれば、処理装置の分割手段が分割して生成する部分認証データと、部分処理データは毎回異なるので、ある時の部分認証データと部分処理データが盗聴等されても、認証データと処理データの再分割が行われれば、盗聴された部分認証データと部分処理データから認証データ及び処理データは復元されない。したがって、データ盗聴に対する安全性が高まり、不正な手段による本人確認を抑制、防止することができる。

本発明に係る処理装置は、認証システムの認証端末装置であり、入力データを取得する入力データ取得手段と、認証システムの制御手段が分割した２つの部分認証データの一方と前記制御装置が分割した２つの部分処理データの一方とを受信する受信手段とを備える。本発明によれば、認証端末装置は、部分認証データの１つと部分処理データの１つしか保有していないので、例えば、認証端末装置に記憶されている部分認証データ、部分処理データが盗聴等されても、認証データ、処理データの復元は困難であり、不正な手段による本人確認を抑制、防止することができる。

本発明に係る認証システムは、認証端末装置と制御装置とからなる認証システムであって、前記認証端末装置は、入力データを取得する入力データ取得手段と、前記入力データと照合するためにあらかじめ用意されている認証データの一部である第１の部分認証データと、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データの一部である第１の部分処理データとを記憶する記憶手段とを備え、前記制御装置は、前記第１の部分認証データの残余である第２の部分認証データと、前記第１の部分処理データの残余である第２の部分処理データとを記憶する記憶手段と、前記第１の部分認証データ及び前記第２の部分認証データから前記認証データを生成する第１のデータ結合手段と、前記第１の部分処理データ及び前記第２の部分処理データから前記処理データを生成する第２のデータ結合手段と、前記処理データに基づいて、前記入力データと前記認証データとを照合する処理を実行して認証を行う認証手段と、前記認証データを２つの部分認証データに分割する第１のデータ分割手段と、前記処理データを２つの部分処理データに分割する第２のデータ分割手段と、前記２つの部分認証データの一方と２つの部分処理データの一方とを前記認証端末装置と送受信する通信手段とを備える。

本発明によれば、認証システムは、認証データと処理データとを認証端末装置と制御装置とで分割保有する。一方の装置からは一方の部分認証データと一方の部分処理データしか得ることができない。一方の部分認証データと一方の部分処理データとから認証データと処理データを復元することは困難であるので、不正な手段による本人確認を抑制、防止することができる。

本発明に係る認証システムの動作方法は、認証端末装置と制御装置とからなる認証システムのデータ管理方法であって、前記制御装置は、認証端末装置に入力データと照合するためにあらかじめ用意されている認証データを２つの部分認証データに分割し、前記制御装置は、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データを２つの部分処理データに分割し、前記認証端末装置は、前記分割した２つの部分認証データの一方を第１の部分認証データとして認証端末装置の記憶手段に記憶し、前記分割した２つの部分処理データの一方を第１の部分処理データとして認証端末装置の記憶手段に記憶し、前記制御装置は、前記分割した２つの部分認証データの他方を第２の部分認証データとして制御装置の記憶手段に記憶し、前記分割した２つの部分処理データの他方を第２の部分処理データとして制御装置の記憶手段に記憶し、所定の時間に、前記制御装置は、認証端末装置確認データにより認証端末装置の認証を行い、前記端末認証装置は制御装置確認データにより前記制御装置の認証を行い、前記制御装置が前記端末認証装置を認証でき、前記認証端末装置が前記制御装置を認証できた場合には、前記制御装置は、前記第１の部分認証データと前記第２の部分認証データを結合して認証データを復元し、前記第１の部分処理データと前記第２の部分処理データとを結合して処理データを復元し、前記復元した認証データを前記第１の部分認証データと前記第２の部分認証データと異なる２つの部分認証データに分割し、前記復元した処理データを前記第１の部分処理データと前記第２の部分処理データと異なる２つの部分処理データに分割し、前記認証端末装置は、前記分割した２つの部分認証データの一方を第１の部分認証データとして前記制御装置から受信して認証端末装置の記憶手段に記憶し、前記分割した部分処理データの一方を第１の部分処理データとして前記制御装置から受信して認証端末装置の記憶手段に記憶し、前記制御装置は、前記分割した部分認証データの他方を第２の部分認証データとして制御装置の記憶手段に記憶し、前記分割した部分処理データの他方を第２の部分処理データとして制御装置の記憶手段に記憶し、前記認証端末装置が前記制御装置を認証できなかった場合には、前記認証端末装置は、前記第１の部分認証データ又は前記第１の部分処理データの少なくとも一方を削除し、前記制御装置が前記認証端末装置を認証できなかった場合には、前記制御装置は、前記第２の部分認証データ又は前記第２の部分処理データの少なくとも一方を削除する。

なお、本発明は、種々の態様で実現することが可能であり、処理装置、認証システムの他、認証システムのデータ管理方法など様々の態様で実現することができる。

Ａ．本実施例に係る認証システム１００の制御装置２００の構成：
図１を参照して、本実施例に係る認証システム１００を構成する制御装置２００について説明する。図１は、認証システム１００を構成する制御装置２００の構成を示す説明図である。本実施例では、認証システム１００は、非セキュリティエリア（例えば、屋外）からセキュリティエリア（例えば、屋内あるいは入室者が制限されている室内）への入退出を管理するために使用され、制御装置２００は、セキュリティエリア内に設置されている。

制御装置２００は、ＣＰＵ２０１とＲＯＭ２０２とハードディスク２０３とＲＡＭ２０４とＣＤ−ＲＯＭ２０５と入力インターフェース２０６と出力インターフェース２０７と認証端末インターフェース２０８とを備えている。

ＣＰＵ２０１は、制御装置２００の中枢であり、制御装置２００全体の動作を制御するほか、各種演算を行い、演算結果をハードディスク２０３に格納したり、出力インターフェース２０７を介してディスプレイ２０９に表示させたり、認証端末インターフェース２０８を介して認証端末装置３００と通信を行う。

ＲＯＭ２０２は、制御装置２００に接続されたハードディスク２０３や入力インターフェース２０６を介して接続されたキーボード２１０、マウス２１１などの周辺機器を制御するＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）を記憶し、通常、書き換え可能な不揮発性メモリであるフラッシュメモリが用いられる。

ハードディスク２０３は、ＯＳとデータとアプリケーションとを記憶する記憶装置である。例えば、部分認証データ、部分処理データ、認証端末装置確認データがデータとして記憶され、認証プログラム、分割プログラム、結合プログラム、認証端末装置確認プログラムがアプリケーションとして記憶されている。

ＲＡＭ２０４は、書き換え可能な揮発性メモリであり、ハードディスク２０３に記憶されている制御装置２００のオペレーティングシステム（以下、「ＯＳ」という。）やアプリケーションは、ＲＡＭ２０４上にコピーされ、ＲＡＭ２０４上で実行される。ＲＡＭ２０４は、ＣＰＵ２０１が演算した結果あるいは演算中のデータを一時記憶する。

認証データは、認証端末装置を介して入力される入力データと照合して認証を行うためにあらかじめ用意してあるデータである。本実施例においては、認証データは、指静脈の血管パターンをデータ化したものが使われている。部分認証データは、認証データの一部のデータである。

処理データは、入力データと認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データである。すなわち、入力データと認証データを照合する場合に使用されるアルゴリズム等をデータ化したものであり、例えば、暗号キー、関数、認証プログラム、ライブラリなどをデータ化したものである。部分処理データは、処理データの一部のデータである。

認証端末装置確認データは、制御装置２００に接続される認証端末装置３００が正当な装置であるかを確認するためのデータである。例えば、認証端末装置３００の識別番号などを用いてもよい。認証端末装置３００の識別番号の偽造を防止するため、暗号化処理をしたものであってもよい。ＣＰＵ２０１は、認証端末装置３００から受信する認証端末装置データと認証端末装置確認データとを照合して認証端末装置３００が正当な装置であることを確認する。

認証プログラムは、認証端末入力からの入力データとあらかじめ用意されている認証データとを照合して認証を行うプログラムである。

分割プログラムは、認証データを制御装置２００のハードディスク２０３に記憶する第１の部分認証データと認証端末装置３００に記憶する第２の部分認証データとに分割するプログラムである。また、分割プログラムは、処理データを制御装置２００のハードディスク２０３に記憶する第１の部分処理データと認証端末装置３００に記憶する第２の部分処理データとに分割する。なお、分割プログラムは、認証データ、処理データを、毎回異なる部分認証データ、部分処理データに分割する。この結果、新たな分割が行われると、以前に分割された部分認証データ、部分処理データを用から認証データ、処理データの復元することができなくなる。

結合プログラムは、制御装置２００のハードディスク２０３に記憶された第１の部分認証データと認証端末装置３００に記憶された第２の部分認証データを結合して認証データを生成するプログラムである。また、結合プログラムは、制御装置２００のハードディスク２０３に記憶された第１の部分処理データと認証端末装置３００に記憶された第２の部分処理データを結合して認証データを生成する。

認証装置確認プログラムは、認証端末装置が正規な装置であるか判断するプログラムである。

ＣＤ−ＲＯＭ装置２０５は、コンパクトディスク（以下、「ＣＤ」という。）を使ったコンピュータ用の読み出し専用記憶装置である。例えば、制御装置２００にプログラムをインストールし、削除した認証データ、処理データを再入力する場合に用いられる。なお、他の装置での読み出しを困難にするため、認証データ、処理データは暗号化してＣＤ−ＲＯＭに記録されている。

入力インターフェース２０６は、例えば、キーボード２１０とマウス２１１などの入力装置と制御装置２００の間を接続する。出力インターフェース２０７は、制御装置２００とディスプレイ２０９とを接続し、例えば認証結果をディスプレイ２０９に出力する。認証端末インターフェース２０８は、制御装置２００と認証端末装置３００とを接続する。

Ｂ．本実施例に係る認証システム１００の認証端末装置３００の構成：
図２を参照して、本実施例に係る認証システム１００の認証端末装置３００の構成について説明する。図２は、認証システム１００の認証端末装置３００の構成を示す説明図である。認証端末装置３００は、例えば、セキュリティエリアと非セキュリティエリアの両方に設置されている。

認証端末装置３００は、ＣＰＵ３０１とフラッシュメモリ３０２とＲＡＭ３０３と静脈測定部３０４と制御装置用インターフェース３０５と電池３０６とドア制御部３０７を備えている。

ＣＰＵ３０１は、認証端末装置３００の中枢であり、認証端末装置３００の全体の動作を制御する。

フラッシュメモリ３０２は、ＯＳとデータとアプリケーションとを記憶する書き換え可能な不揮発メモリである。例えば、部分認証データ、部分処理データ、制御装置確認データがデータとして記憶され、例えば、静脈測定部制御プログラム、画像処理プログラム、制御装置確認プログラムがアプリケーションとして記憶されている。

フラッシュメモリ３０２には、認証データのうち、制御装置２００のハードディスク２０３に記憶されていない第２の部分認証データが記憶される。また、フラッシュメモリ３０２には、処理データのうち、制御装置２００のハードディスク２０３に記憶されていない第２の部分処理データが記憶される。

制御装置確認データは、認証端末装置３００に接続される制御装置２００が正当な装置であるかを確認するためのデータであり、例えば、制御装置２００の識別番号などである。なお、制御装置２００の識別番号の偽造を防止するため、暗号化処理をしたものであってもよい。

静脈測定部制御プログラムは、指静脈の血管パターンを測定する静脈測定部３０４を制御するプログラムである。画像処理プログラムは、静脈測定部３０４で測定した指静脈の血管パターンの画像をデジタル信号に変換し、入力データを生成するプログラムである。制御装置確認プログラムは、制御装置２００が正規な装置であるか判断するプログラムである。

ＲＡＭ３０３は、書き換え可能な揮発性メモリであり、フラッシュメモリ３０２に記憶された認証端末装置３００のオペレーティングシステム（以下、「ＯＳ」という。）やアプリケーションはＲＡＭ３０３上にコピーされ、ＲＡＭ３０３上で実行される。ＲＡＭ３０３は、ＣＰＵ３０１が演算した結果あるいは演算中のデータを一時記憶する。

静脈測定部３０４は、測定台（図示せず）の上に指を置き、測定台の奥にあるスイッチ３１１が指先で押されることにより、測定台の上部に設置してある近赤外光源３０８から近赤外線を指に照射し、透過光を測定台の下部に設置してあるカメラ３０９で撮影し、指の静脈パターンを測定する。

制御装置用インターフェース３０５は、認証端末装置３００と制御装置２００とを接続する。電池３０６は、認証端末装置３００のＡＣ電源が切られても一定時間認証端末装置３００を動作させるための補助電源である。

ドア制御部３０７は、認証端末装置３００に接続されたセキュリティドア３１０の鍵の開閉を制御する。

Ｃ．本実施例に係る認証システム１００の認証時の動作：
図３から図１１を参照して、本実施例に係る認証システム１００の認証時の動作及び認証データと処理データの記憶状態について説明する。図３は、本実施例に係る認証システム１００の装置確認までのフローチャートを示す説明図である。図４は、制御装置が認証端末装置を確認する処理のフローチャートを示す説明図である。図５は、認証端末装置が制御装置を確認する処理のフローチャートを示す説明図である。図６は、本実施例に係る認証システム１００の装置確認から認証までのフローチャートを示す説明図である。図７は、本発明に係る認証システム１００の認証データ及び処理データの再分割処理のフローチャートを示す説明図である。なお、図３から図７において、左側のフローは制御装置の動作フローであり、右側のフローは認証端末装置の動作フローである。

図８は、制御装置あるいは認証端末装置のいずれもが盗難されていない時の認証データ及び処理データの記憶状態の概念的な説明図である。図９は、認証端末装置が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図である。図１０は、制御装置が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図である。図１１は、制御装置及び認証端末装置の両方が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図である。

まず、図３及び図８から図１１を用いて装置確認までの動作について説明する。
認証システムを立ち上げた状態では、図８（ａ）から図１１（ａ）及び図８（ｂ）から図１１（ｂ）に示すように、認証データは第１の部分認証データと第２の部分認証データに分割され、処理データは第１の部分処理データと第２の部分処理データに分割されている。分割は、例えば、認証データを一列に並べ、乱数によりデータ列を前後に２分することにより行われる。分割はデータ列を前後に２分されるだけなので、認証データの結合／復元は容易に実行される。第１の部分認証データと第１の部分処理データは制御装置２００のハードディスク２０３に記憶され、第２に部分認証データと第２の部分処理データは認証端末装置３００のフラッシュメモリ３０２に記憶されている。

認証端末装置３００のＣＰＵ３０１は、静脈測定部３０４のスイッチ３１１が押され（ステップＳ４１０、Ｙｅｓ）、認証動作が開始されるまで待機する（ステップＳ４００）。ＣＰＵ３０１は、認証動作が開始されると、あらかじめ用意されている認証データと照合して本人確認をするための認証用入力データを取得する（ステップＳ４２０）。

測定台（図示せず）の上に指が置かれ、測定台の奥にあるスイッチ３１１が指先で押されると、測定台の上部に設置してある近赤外光源３０８から近赤外線が指に照射される。静脈中の赤血球の還元ヘモグロビンは近赤外線の波長の光を吸収する。透過光を測定台の下部に設置してあるカメラ３０９で撮影すると、静脈部分だけが黒く映る。これにより、指静脈の血管パターンが測定される。ＣＰＵ３０１は、測定した指静脈の血管パターンを、画像処理プログラムを用いて処理し、認証用入力データを作成し、制御装置２００に認証用入力データを送る（ステップＳ４３０）。

制御装置２００のＣＰＵ２０１は、認証端末装置３００から認証用入力データを受信するまで（ステップＳ４５０、Ｙｅｓ）が送信されるまで待機する（ステップＳ４４０）。

ＣＰＵ３０１は、静脈測定部３０４のスイッチ３１１が押されなくても（ステップＳ４１０、Ｎｏ）、所定の時間が経過したときは（ステップＳ４６０、Ｙｅｓ）、制御装置２００の確認を行う（ステップＳ４７０）。一方、ＣＰＵ２０１は、入力データを受信しなくても（ステップＳ４５０、Ｎｏ）、所定の時間が経過したときは（ステップＳ４８０、Ｙｅｓ）、認証端末装置３００の確認を行う（ステップＳ４９０）。所定の時間は、一定時間ごとでもよいし、ランダムな時間でもよい。

次に、図４及び図８から図９を用いて制御装置２００が認証端末装置３００を確認する処理について説明する。
制御装置２００のＣＰＵ２０１は、認証端末装置３００に対して、認証端末装置識別データを要求する（ステップＳ５００）。認証端末装置３００のＣＰＵ３０１は、認証端末装置識別データの要求を受けると、認証端末装置識別データを制御装置２００に送信する（ステップＳ５１０）。

ＣＰＵ２０１は、認証端末装置識別データを受信し（ステップＳ５２０）、認証端末装置３００の確認を行う（ステップＳ５３０）。ＣＰＵ２０１は、受信した認証端末装置識別データとハードディスク２０３に記憶されている認証端末装置確認データとを比較し、認証端末装置３００が正規な装置か判断する。ＣＰＵ２０１は、認証端末装置３００が正規な装置であることを確認できなかった場合には（ステップＳ５３０、Ｎｏ）、図９（ｃ）に示すようにハードディスク２０３に記憶している第１の部分認証データ、第１の部分処理データを削除する（ステップＳ５４０）。図９（ｄ）に示すように、第１の部分認証データ、第１の部分処理データが削除された場合には、認証データ、処理データは復元されない。

ＣＰＵ２０１は、認証端末装置３００が正規な装置であることを確認できた場合（ステップＳ５３０、Ｙｅｓ）には、認証端末装置３００に対して、第２の部分認証データと第２の部分処理データを要求する（ステップＳ５５０）。

認証端末装置３００のＣＰＵ３０１は、制御装置２００から第２の部分認証データと第２の部分処理データの要求を受けると、第２の部分認証データと第２の部分処理データをフラッシュメモリ３０２から読み出し、制御装置２００に送信する（ステップＳ５６０）。

ＣＰＵ２０１は、第２の部分認証データと第２の部分処理データを受信する（ステップＳ５７０）。ＣＰＵ２０１は、図８（ｃ）に示すように、ハードディスク２０３から第１の部分認証データを読み出し、受信した第２の部分認証データと結合して認証データを復元し、ハードディスク２０３から第１の部分処理データを読み出し、受信した第２の部分処理データと結合して処理データを復元する（ステップＳ５８０）。復元は、例えば、第１の部分認証データと第２の部分認証データを単純に結合し、第１の部分処理データと第２の部分処理データを単純に結合することにより行われる。

第２の部分認証データと第１の部分認証データを単純に結合する場合には、例えば、制御装置２００は公開鍵Ａと秘密鍵Ｂを保有し、認証制御装置３００は公開鍵Ｃと秘密鍵Ｄを保有するようにするとよい。認証端末装置３００のＣＰＵ３０１は、第２の部分認証データ及び第２の部分処理データを制御装置２００に送る場合は、公開鍵Ａで暗号化して送る。制御装置２００のＣＰＵ２０１は、暗号化された第２の部分認証データと第２の部分処理データを受信する。ＣＰＵ２０１は、第２の部分認証データと第２の部分処理データとを復号する。ＣＰＵ２０１は、第１の部分認証データと第２の部分認証データを単純に結合し、第１の部分処理データと第２の部分処理データを単純に結合することにより、認証データと処理データの復元を実行できる。なお、暗号化された状態では、第２の部分認証データは第１の部分認証データと単純に結合しても認証データは復元されない。また、通信中の第２の部分認証データ、第２の部分処理データを盗聴されても、第２の部分認証データ、第２の部分処理データを復号することは困難である。

ＣＰＵ２０１は、第２の部分認証データと第２の部分処理データを受信できない場合（ステップＳ５７０、Ｎｏ）、あるいは、第２の部分認証データ、第２の部分処理データに異常があり、認証データ、処理データを復元できない場合（ステップＳ５８０、Ｎｏ）には、図９（ｃ）に示すように、ハードディスク２０３から第１の部分認証データ、第２の部分処理データを削除する（ステップＳ５４０）。第２の部分認証データに異常がある場合とは、例えば、第２の部分認証データのチェックサムが合っていない場合である。認証データを復元できない場合とは、例えば、第２の部分認証データが秘密鍵Ｂで復号できない場合、秘密鍵Ｂで復号した第２の認証データのチェックサムが合っていない場合、復元した認証データのチェックサムが合っていない場合である。なお、処理データの場合も同様である。ＣＰＵ２０１は、ディスプレイ２０９に認証端末装置３００が異常である旨を表示し、制御装置２００の動作を終了する。

ＣＰＵ２０１は、認証データ、処理データの復元ができた場合には（ステップＳ５８０、Ｙｅｓ）、入力データと認証データの照合、あるいは、認証データ、処理データの再分割処理を行う。ＣＰＵ３０１は、入力データと認証データの照合結果を待つ、あるいは、認証データ、処理データを再分割した部分認証データ、部分処理データが送信されるのを待つ。

図５及び図８、図１０、図１１を用いて認証端末装置３００が制御装置２００を確認する処理について説明する。
認証端末装置３００のＣＰＵ３０１は、制御装置２００に対して、制御装置識別データを要求する（ステップＳ６００）。制御装置２００のＣＰＵ２０１は、制御装置識別データの要求を受けると、制御装置識別データを認証端末装置３００に送信する（ステップＳ６１０）。

ＣＰＵ３０１は、制御装置識別データを受信し（ステップＳ６２０）、制御装置２００の確認を行う（ステップＳ６３０）。ＣＰＵ３０１は、受信した制御装置識別データとフラッシュメモリ３０２に記憶されている制御装置確認データとを比較し、制御装置２００が正規な装置か判断する。ＣＰＵ３０１は、制御装置２００が正規な装置であることを確認できなかった場合には（ステップＳ６３０、Ｎｏ）、図１０（ｃ）に示すように、フラッシュメモリ３０２に記憶している第２の部分認証データ、第２の部分処理データを削除する（ステップＳ６４０）。第２の部分認証データ、第２の部分処理データが削除された場合には、図１０（ｄ）に示すように、認証データ、処理データは復元されない。

なお、認証端末装置３００、制御装置２００がともに盗難された場合には、認証端末装置３００は電池３０６により動作するが、制御装置２００は電源が断たれるので動作しない。したがって、認証端末装置３００のＣＰＵ３０１は、制御装置２００を確認できないので、図１１（ｃ）に示すように、第２の部分認証データ、第２の部分処理データを削除する）。なお、制御装置２００の電源が回復した場合には、認証端末装置３００から第２の部分認証データ、第２の部分処理データが削除されているので、ＣＰＵ２０１は、認証端末装置３００から第２の部分認証データ及び第２の部分処理データを受信できない。その結果、ＣＰＵ２０１は、図１１（ｄ）に示すように、第１の部分認証データ、第１の部分処理データを削除する。いずれの場合も、図１１（ｅ）に示すように認証データ、処理データの復元はできない。

ＣＰＵ３０１は、制御装置２００が正規な装置であることを確認できた場合（ステップＳ６３０、Ｙｅｓ）には、制御装置２００に対して、第１の部分認証データと第１の部分処理データを要求する（ステップＳ６５０）。

制御装置２００のＣＰＵ２０１は、認証端末装置３００から第１の部分認証データと第１の部分処理データの要求を受けると、第１の部分認証データと第１の部分処理データをハードディスク２０３から読み出し、認証端末装置３００に送信する（ステップＳ６６０）。

ＣＰＵ３０１は、第１の部分認証データと第１の部分処理データを受信する（ステップＳ６７０）。ＣＰＵ３０１は、図８（ｃ）に示すように、フラッシュメモリ３０２から第２の部分認証データを読み出し、受信した第１の部分認証データと結合して認証データを復元し、フラッシュメモリ３０２から第２の部分処理データを読み出し、受信した第１の部分処理データと結合して処理データを復元する（ステップＳ６８０）。復元は、例えば、第１の部分認証データと第２の部分認証データを単純に結合し、第１の部分処理データと第２の部分処理データを単純に結合することにより行われる。

制御装置２００のＣＰＵ２０１は、第１の部分認証データ及び第１の部分処理データを認証端末装置３００に送る場合には、例えば、公開鍵Ｃで暗号化して送る。認証端末装置３００のＣＰＵ３０１は、暗号化された第１の部分認証データと第１の部分処理データを受信する。ＣＰＵ３０１は、第１の部分認証データと第１の部分処理データを復号する。ＣＰＵ３０１は、第１の部分認証データと第２の部分認証データを単純に結合し、第１の部分処理データと第２の部分処理データを単純に結合することにより、認証データと処理データの復元を実行できる。なお、暗号化された状態では、第１の部分認証データは第２の部分認証データと単純に結合しても認証データは復元されない。

ＣＰＵ３０１は、第１の部分認証データと第１の部分処理データを受信できない場合（ステップＳ６７０、Ｎｏ）、あるいは、第１の部分認証データ、第１の部分処理データに異常があり、認証データ、処理データを復元できない場合（ステップＳ６８０、Ｎｏ）には、図１０（ｃ）に示すように、フラッシュメモリ３０２から第２の部分認証データ、第２の部分処理データを削除する（ステップＳ６４０）。第１の部分認証データに異常がある場合とは、例えば、第１の部分認証データのチェックサムが合っていない場合である。認証データを復元できない場合とは、例えば、第１の部分認証データが秘密鍵Ｄで復号できない場合、秘密鍵Ｄで復号した第１の認証データのチェックサムが合っていない場合、復元した認証データのチェックサムが合っていない場合である。なお、処理データの場合も同様である。

ＣＰＵ３０１は、入力データと認証データの照合結果を待つ、あるいは、認証データ、処理データを再分割した部分認証データ、部分処理データが送信されるのを待つ。

図６を用いて、装置確認から認証までの処理について説明する。
制御装置２００のＣＰＵ２０１は、認証用入力データの受信をしていた場合には（ステップＳ７００、Ｙｅｓ）、認証用入力データと復元した認証データを照合する（ステップＳ７１０）。ＣＰＵ２０１は、照合結果を端末制御装置３００に送信する（ステップＳ７２０）。

認証端末装置３００のＣＰＵ３０１は、静脈測定部３０４のスイッチ３１１が押されていた場合には（ステップＳ７３０、Ｙｅｓ）、照合結果を受信し（ステップＳ７４０）入室許可できるか否か判断する（ステップＳ７５０）。ＣＰＵ３０１は、入室許可と判断した場合（ステップＳ７５０、Ｙｅｓ）、セキュリティドア３１０のロックを解除する（ステップＳ７６０）。一方、ＣＰＵ３０１は、入室不許可と判断した場合（ステップＳ７５０、Ｎｏ）、セキュリティドア３１０のロックを維持する（ステップＳ７７０）。

図７及び図８を用いて、認証データ、処理データの再分割処理について説明する。
制御装置２００のＣＰＵ２０１は、認証データ及び処理データを再分割し、第３の部分認証データと第４の部分認証データ及び第３の部分処理データ及び第４の部分処理データを生成する（ステップＳ８００）。ＣＰＵ２０１は、図８（ｄ）に示すように、このとき第３の部分認証データ及び第４の部分認証データを、それぞれ第１の部分認証データ及び第２の部分認証データと異なるように分割し、第３の部分処理データ及び第４の部分処理データを、それぞれ第１の部分処理データ及び第２の部分処理データと異なるように分割する。ＣＰＵ２０１は、例えば、乱数を用いることにより、認証データを前後に２分する。乱数により２分されるので、できる２つの部分認証データは毎回異なる。また、認証データは前後に２分されているだけなので、単純に結合することにより容易に復元できる。

ＣＰＵ２０１は、第４の部分認証データ及び第４の部分処理データを認証端末装置３００に送信し（ステップＳ８１０）、第３の部分認証データ及び第３の部分処理データをハードディスク２０３に格納する（ステップＳ８４０）。このとき、ＣＰＵ２０１は、第４の部分認証データ及び第４の部分処理データを公開鍵Ｃで暗号化して認証端末装置３００に送ると良い。ＣＰＵ２０１は、ＲＡＭ２０４上から復元した認証データ及び処理データを削除する（ステップＳ８５０）。

認証端末装置３００のＣＰＵ３０１は、制御装置２００から、第４の部分認証データ及び第４の部分処理データを受信すると（ステップＳ８２０）、第４の部分認証データ及び第４の部分処理データをフラッシュメモリ３０２に格納する（ステップＳ８３０）。このとき、ＣＰＵ３０１は、第４の部分認証データ及び第４の部分処理データが暗号化されている場合には、秘密鍵Ｄを用いて復号し、復号した第４の部分認証データ及び第４の部分処理データをフラッシュメモリ３０２に格納する。ＣＰＵ３０１はステップＳ４００に戻り、静脈認証部３０４のスイッチ３１１が押されるのを待つ。

ＣＰＵ３０１は、静脈認証装置３０４のスイッチ３１１が押される（ステップＳ４１０）まで待機する（ステップＳ４００）。ＣＰＵ２０１は、ステップＳ４４０に戻り、認証端末装置３００から認証用入力データを受信するまで（ステップＳ４５０）待機する（ステップＳ４４０）。静脈認証部３０４のスイッチ３１１が押された場合、あるいは所定に時間に、上述した内容が再び繰り返され、図８（ｅ）に示すように認証データ、処理データが復元される）。

以後、静脈認証部３０４のスイッチ３１１が押されるごとに、あるいは所定の時間ごとに同様の処理が繰り返えされる。

以上説明したように、本実施例によれば、入力データと照合するためにあらかじめ用意されている認証データだけでなく、入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データが制御装置と認証端末装置に分割して記憶されている。一方の装置の部分処理データから処理データを復元することは困難である。すなわち、部分処理データは認証アルゴリズム等をデータ化したものの一部であるので、部分処理データから全体の処理データを類推／復元することは困難である。処理データを復元できなければ、識別データを解析できない。したがって、識別データの偽造は困難であり、不正な手段による本人確認を抑制、防止することができる。

本実施例によれば、例えば、制御装置２００は、認証端末装置識別データと認証端末確認データにより認証端末装置３００が正規な装置であることを確認した後に、認証データ及び処理データを生成／復元するので、制御装置２００が、認証端末装置３００を確認するまでは、認証データ、処理データは復元されていない。したがって、この間は、制御装置２００から認証データ及び処理データを読み出すことは困難である。その結果、不正な手段による本人確認を抑制、防止することができる。

本実施例によれば、復元した認証データ、処理データそのものは、ハードディスク２０３、フラッシュメモリ３０２には格納されない。例えば、認証データ及び処理データが復元された直後に制御装置２００が盗難された場合には、ＡＣ電源が切れるので、復元された認証データ、処理データが消去される。したがって、制御装置が盗難された場合でも認証データ、処理データが解析されることを防止、抑制できる。

本実施例によれば、制御装置は定期的に認証端末装置が正規な認証端末装置であることを確認し、確認できなかった場合には、第１の部分認証データ及び第１の部分処理データを削除し、認証端末装置は定期的に制御装置が正規な制御装置であることを確認し、確認できなかった場合には、第２の部分認証データ及び第２の部分処理データを削除する。したがって、例えば、認証端末装置、あるいは、制御装置が一時的にすり替えられた場合のように他の装置を確認できない場合には、部分認証データ及び部分処理データが削除される。その結果、すり替えられた制御装置、認証端末装置を元に戻しても、認証データ及び処理データの復元はできない。その結果、認証データを解析、偽造することは困難となり、不正な手段による本人確認を抑制、防止することができる。

なお、制御装置、認証端末装置いずれかの部分認証データ、部分処理データが削除されても、認証データ及び処理データを、例えば、ＣＤ−ＲＯＭに記録してあれば、ＣＤ−ＲＯＭから認証データ及び処理データを読み込むことにより、認証データ及び処理データの回復は可能である。

本実施例によれば、制御装置と認証端末装置の両方が盗難された場合には、制御装置はＡＣ電源で動作しているため、盗難時には、電源がオフになる。一方、認証端末装置は内部に電池３０６を備えているため、ＡＣ電源がなくとも一定時間動作ができる。その間に認証端末装置が制御装置の確認処理を行えば、制御装置を確認できないため第２の部分認証データ及び第２の部分処理データを削除する。したがって、制御装置の電源を復帰させても、認証データ、処理データは復元されない。さらに、認証端末装置の第２の部分認証データ及び第２の部分処理データが存在しないので、第１の部分認証データ及び第１の部分処理データも削除される。その結果、制御装置と認証端末装置の両方を盗難されても、認証データ、処理データの復元は困難であり、不正な手段による本人確認を抑制、防止することができる。

本実施例によれば、制御装置はデータ分割手段を備えているので、他のサーバー装置で認証データ、処理データを分割する必要がない。したがって、他のサーバー装置から認証データ、処理データが流出する危険性がない。その結果、不正な手段による本人確認を抑制、防止することができる。

本実施例によれば、認証データと、処理データの分割パターンは毎回異なる。例えば、ある時の部分認証データと部分処理データが盗聴されても、認証データと処理データの再分割が行われれば、その盗聴された部分認証データと部分処理データは利用できない。その結果、その盗聴された部分認証データと部分処理データを記憶した装置にすり替えられた場合には、認証データ、処理データの復元はされない。不正な手段による本人確認を抑制、防止することができる。

Ｄ．変形例：
（１）本実施例では認証データ、処理データの分割は、制御装置が行っているが、認証端末装置が行ってもよい。

（２）本実施例では、ＣＰＵ２０１は、認証データを第１の部分認証データと第２の部分認証データは異なるように分割するが、その時一部重複するように分割してもよい。また、処理データについても、第１の部分処理データと第２の部分処理データが一部重複するように分割しても良い。また、データ一部重複させるか否か、重複させる場合の重複する部分のデータの大きさを乱数で決めても良い。

（３）本実施例では、制御装置識別データ、認証端末装置識別データ、制御装置確認データ、認証端末装置確認データについて、データを分割していなかったが、制御装置識別データ、認証端末装置識別データ、制御装置確認データ、認証端末装置確認データを制御装置と識別装置でデータを分割して記憶させてもよい。

（４）起動後一定時間は対応する認証端末装置、制御装置の確認を行わないようにしてもよい。制御装置あるいは認証端末装置を起動した直後は、対応する認証端末装置、制御装置が起動していない場合があるからである。

（５）本実施例では、認証端末装置３００のＣＰＵ３０１が制御装置２００を確認する場合に、部分認証データ、部分処理データを要求しているが、部分認証データ、部分処理データを要求せず、制御装置識別データのみで制御装置２００を確認してもよい。

（６）本実施例では、認証端末装置に電池を備えているが、制御装置に電池を備えるようにしてもよい。また、制御装置及び認証端末装置の両方に電池を備え、電池の持続時間を変えるようにしてもよい。一方が先に停止すれば、動作している装置から部分認証データ、部分処理データを削除できるからである。

（７）本実施例では、部分認証データ、部分処理データを送受信する場合に公開鍵暗号を用いて暗号化しているが、共通鍵暗号を用いて暗号化してもよい。また、暗号を使わなくても良い。

（８）本実施例では、認証システムを入退出管理に用いているが、例えば、ＡＴＭ、電子申請、機密データへのアクセス管理など本人確認を必要とするものであれば用いることができる。

（９）本実施例では、本人確認手段として、指静脈の血管パターンを用いているが、例えば、顔の形状、手の掌の形状、指紋、網膜の血管パターン、声紋などの生体情報のほか、ＩＣカード、暗証番号、パスワード、パスフレーズなどを用いることができる。

以上、いくつかの実施例に基づいて本発明の実施の形態について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得るとともに、本発明にはその等価物が含まれることはもちろんである。

認証システムの制御装置の構成を示す説明図。 認証システムの認証端末装置の構成を示す説明図。 本実施例に係る認証システムの認証時に実行される動作（装置確認まで）のフローチャートを示す説明図。 制御装置が認証端末装置を確認する処理のフローチャートを示す説明図。 認証端末装置が制御装置を確認する処理のフローチャートを示す説明図。 本実施例に係る認証システムの認証時に実行される動作（装置確認から認証まで）のフローチャートを示す説明図 本実施例に係る認証システムの認証時に実行される動作（認証データ、処理データの再分割処理）のフローチャートを示す説明図。 制御装置あるいは認証端末装置のいずれもが盗難されていない時の認証データ及び処理データの記憶状態の概念的な説明図。 認証端末装置が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図。 制御装置が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図。 制御装置及び認証端末装置の両方が盗難された時の認証データ及び処理データの記憶状態の概念的な説明図。

符号の説明

１００…認証システム
２００…制御装置
２０１…ＣＰＵ
２０２…ＲＯＭ
２０３…ハードディスク
２０４…ＲＡＭ
２０５…ＣＤ−ＲＯＭ
２０６…入力インターフェース
２０７…出力インターフェース
２０８…認証端末装置インターフェース
２０９…ディスプレイ
２１０…キーボード
２１１…マウス
３００…認証端末装置
３０１…ＣＰＵ
３０２…フラッシュメモリ
３０３…ＲＡＭ
３０４…指静脈測定部
３０５…制御装置用インターフェース
３０６…電池
３０７…ドア制御部
３０８…近赤外光源
３０９…カメラ
３１０…セキュリティドア
３１１…スイッチ

Claims (9)

1. 認証システムを構成する処理装置であって、
   入力される入力データと照合するためにあらかじめ用意されている認証データの一部であって、認証システムを構成する他の装置の記憶手段に記憶されている第１の部分認証データの残余である第２の部分認証データと、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データの一部であって、前記他の装置の記憶手段に記憶されている第１の部分処理データの残余である第２の部分処理データとを記憶する記憶手段と、
   前記他の装置から前記第１の部分認証データと前記第１の部分処理データとを受信する受信手段と、
   前記第１の部分認証データ及び前記第２の部分認証データから前記認証データを生成する第１のデータ結合手段と、
   前記第１の部分処理データ及び前記第２の部分処理データから前記処理データを生成する第２のデータ結合手段と、
   前記処理データに基づいて、前記入力データと前記認証データとを照合する処理を実行して認証を行う認証手段とを備える、処理装置。
2. 請求項１に記載の処理装置において、
   前記処理装置は、さらに、前記他の装置が正当なものであるか確認するための装置確認データを有し、
   前記装置確認データが所定の条件を満たす場合に、前記第１の結合手段は前記第１の部分認証データと前記第２の部分認証データとから前記認証データを生成し、前記第２の結合手段は前記第１の部分処理データと前記第２の部分処理データとから前記処理データを生成し、前記認証手段は前記処理データに基づいて前記入力データと前記認証データとを照合する処理を実行して認証を行う、処理装置。
3. 請求項２に記載の処理装置において、
   前記装置確認データが所定の条件を満たさない場合には、前記第２の部分認証データ及び前記第２の部分処理データのうち少なくとも一方のデータを記憶手段から削除する、処理装置。
4. 請求項３に記載の処理装置において、
   さらに、電池電源を備える、処理装置。
5. 請求項１から４のいずれか一項に記載の処理装置において、
   前記処理装置は、認証システムの制御装置であり、
   前記認証データを第２つの部分認証データに分割する第１のデータ分割手段と、
   前記処理データを第２つの部分処理データに分割する第２のデータ分割手段と、
   前記２つの部分認証データの一方と前記２つの部分処理データの一方とを前記他の装置に送信する送信手段とを備える処理装置。
6. 請求項５に記載の処理装置において、
   前記第１の分割手段は、前記第１の部分認証データ及び前記第２の部分認証データとは異なる２つの部分認証データを生成し、
   前記第２の分割手段は、前記第１の部分処理データ及び前記第２の部分処理データとは異なる２つの部分処理データを生成し、
   前記送信手段は、前記生成した２つの部分認証データの一方と前記生成した２つの部分処理データの一方とを他の装置に送信し、
   前記記憶手段は、前記生成した２つの部分認証データの他方と前記生成した２つの部分処理データの他方とを記憶する、処理装置。
7. 請求項１から４に記載の処理装置において、
   前記処理装置は、認証システムの認証端末装置であり、
   入力データを取得する入力データ取得手段と、
   認証システムの制御装置が分割した２つの部分認証データの一方と前記制御装置が分割した２つの部分処理データの一方とを受信する受信手段と、
   を備える、処理装置
8. 認証端末装置と制御装置とからなる認証システムであって、
   前記認証端末装置は、
   入力データを取得する入力データ取得手段と、
   前記入力データと照合するためにあらかじめ用意されている認証データの一部である第１の部分認証データと、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データの一部である第１の部分処理データとを記憶する記憶手段とを備え、
   前記制御装置は、
   前記第１の部分認証データの残余である第２の部分認証データと、前記第１の部分処理データの残余である第２の部分処理データとを記憶する記憶手段と、
   前記第１の部分認証データ及び前記第２の部分認証データから前記認証データを生成する第１のデータ結合手段と、
   前記第１の部分処理データ及び前記第２の部分処理データから前記処理データを生成する第２のデータ結合手段と、
   前記処理データに基づいて、前記入力データと前記認証データとを照合する処理を実行して認証を行う認証手段と、
   前記認証データを２つの部分認証データに分割する第１のデータ分割手段と、
   前記処理データを２つの部分処理データに分割する第２のデータ分割手段と、
   前記２つの部分認証データの一方と２つの部分処理データの一方とを前記認証端末装置と送受信する通信手段とを備える、
   認証システム。
9. 認証端末装置と制御装置とからなる認証システムのデータ管理方法であって、
   前記制御装置は、認証端末装置に入力データと照合するためにあらかじめ用意されている認証データを２つの部分認証データに分割し、
   前記制御装置は、前記入力データと前記認証データとを照合する処理の少なくとも一部を実行する際に使用される処理データを２つの部分処理データに分割し、
   前記認証端末装置は、前記分割した２つの部分認証データの一方を第１の部分認証データとして認証端末装置の記憶手段に記憶し、
   前記分割した２つの部分処理データの一方を第１の部分処理データとして認証端末装置の記憶手段に記憶し、
   前記制御装置は、前記分割した２つの部分認証データの他方を第２の部分認証データとして制御装置の記憶手段に記憶し、
   前記分割した２つの部分処理データの他方を第２の部分処理データとして制御装置の記憶手段に記憶し、
   所定の時間に、前記制御装置は、認証端末装置確認データにより前記認証装置の認証を行い、前記認証端末装置は制御装置確認データにより前記制御装置の認証を行い、
   前記制御装置が前記端末認証装置を認証でき、前記認証端末装置が前記制御装置を認証できた場合には、前記制御装置は、前記第１の部分認証データと前記第２の部分認証データを結合して認証データを復元し、前記第１の部分処理データと前記第２の部分処理データとを結合して処理データを復元し、前記復元した認証データを前記第１の部分認証データと前記第２の部分認証データとは異なる２つの部分認証データに分割し、前記復元した処理データを前記第１の部分処理データと前記第２の部分処理データとは異なる２つの部分処理データに分割し、前記認証端末装置は、前記分割した２つの部分認証データの一方を第１の部分認証データとして前記制御装置から受信して認証端末装置の記憶手段に記憶し、前記分割した部分処理データの一方を第１の部分処理データとして前記制御装置から受信して認証端末装置の記憶手段に記憶し、前記制御装置は、前記分割した部分認証データの他方を第２の部分認証データとして制御装置の記憶手段に記憶し、前記分割した部分処理データの他方を第２の部分処理データとして制御装置の記憶手段に記憶し、
   前記認証端末装置が前記制御装置を認証できなかった場合には、前記認証端末装置は、前記第１の部分認証データ又は前記第１の部分処理データの少なくとも一方を削除し、
   前記制御装置が前記認証端末装置を認証できなかった場合には、前記制御装置は、前記第２の部分認証データ又は前記第２の部分処理データの少なくとも一方を削除する、
   認証システムのデータ管理方法。

Images