JP2024100100A - 発行機およびその起動方法 - Google Patents

Abstract

【課題】 発行機自体に発行前媒体や消耗部材を保管し、発行機の開錠や操作を、認証されたユーザにのみ許可することによって、発行機に保管された発行前媒体や消耗部材の持ち出しや、これらを使った不正な発行操作を阻止すること。【解決手段】 実施形態によれば、発行機は、ユーザを認証するための認証部を備え、認証部は、認証部によって認証されたユーザに対して、発行機の操作を許可する。【選択図】図１

Description

本発明は、ユーザ認証機能を備えた、例えば、プリンタのような発行機、およびその起動方法に関する。

例えば、カードや冊子ページといった各種身分証である身分証表示体や、キャッシュカード、クレジットカード、デビットカード、プリペイドカード等の金融機関向けカードのように、個人情報や機密情報を含むセキュリティ性の高い表示体は、発行前の媒体（カード、用紙、冊子など）や、印字内容の残る消耗部材であるインキリボンの管理も重要になる。

従来は、これらを管理保管する場合、独立した保管庫に移して施錠保管するなどして管理していた。

しかし、それはユーザにとって、発行機（以下、「プリンタ」とも称する）と、保管庫などの関連機材を含めた設置スペースの必要性の問題や、管理の煩雑性の発生といった問題をもたらしていた。このため、発行前媒体や消耗部材をプリンタ本体に保管できるようにしたいとの要望があった。

この要望に応えて、プリンタのカセット等のカード挿入部に、シリンダー錠を設置し、プリンタ内に施錠保管する管理の手法も一部で採用されている。

特開2012-003513号公報 特開2000-145219号公報 特許第4317861号明細書

しかしながら、上述したような従来技術では、以下のような問題がある。

通常、プリンタは、導入部署内で１台を複数の管理者が共有で使用し、ユーザごとに異なった券種を発行する場合もある。ここで、「管理者」とはプリンタを操作し、印刷体を発行する権限を有する者を称し、以下「ユーザ」とも称する。

この場合、プリンタ内に発行前媒体が保管されていると、プリンタ内に保管されている券種の発行権限を持たない他のユーザでも、そのまま保管されている券種を発行できてしまう。

また、これを懸念して発行前のカードを絵柄から識別しようとすると、カメラが必要になり、カメラの費用も発生する。

シリンダー錠を設置しても、鍵の管理方法を定めたルールの設定や、管理場所のセキュリティ対策を講じる必要がある。また、鍵穴があれば、ピッキングなどで突破される恐れもあることに加え、鍵穴の存在は、ある意味、悪意のある者に狙う場所を示していることもなる。したがって、シリンダー錠の設置は、好ましくない。

本発明はこのような事情に鑑みてなされたものであり、シリンダー錠などを設けることなく、発行機自体に発行前媒体や消耗部材を保管し、発行機の開錠や操作を、認証されたユーザにのみ許可することによって、発行機に保管された発行前媒体や消耗部材の持ち出しや、これらを使った不正な発行操作を阻止することができる、発行機およびその起動方法を提供することを目的とする。

上記の目的を達成するために、本発明では、以下のような手段を講じる。

本発明の第１の態様は、ユーザを認証するための認証部と、データを処理するプロセッサとを備え、認証部またはプロセッサは、認証部によって認証されたユーザに対して、発行機の操作を許可する。

本発明の第２の態様は、認証部が、発行機の電源投入時に動作する、第１の態様の発行機である。

本発明の第３の態様は、認証部が、ユーザのユーザ情報に基づいてユーザを認証する、第１の態様の発行機である。

本発明の第４の態様は、ユーザ情報が記録された媒体または端末から、ユーザ情報を非接触通信で受信する非接触通信部をさらに備え、認証部が、ユーザのユーザ情報に基づいてユーザを認証するために、非接触通信部によって受信されたユーザ情報を取得する、第３の態様の発行機である。

本発明の第５の態様は、ユーザから、ユーザの生体情報を取得する生体情報取得部をさらに備え、認証部が、ユーザのユーザ情報に基づいてユーザを認証するために、生体情報取得部によって取得された生体情報から、ユーザ情報を取得する、第３の態様の発行機である。

本発明の第６の態様は、発行機の操作を許可されたユーザのユーザレコードを備えたユーザテーブルがメモリに格納された、第４または５の態様の発行機である。

本発明の第７の態様は、認証部が、取得されたユーザ情報を、ユーザテーブルに記録されたユーザ情報と照合することによって、ユーザを認証する、第６の態様の発行機である。

本発明の第８の態様は、ユーザテーブルに記録されたユーザ情報が、発行機のうち、ユーザの操作が許可されたエリアを指定する操作権限情報を含み、認証部またはプロセッサが、認証されたユーザに対して、操作権限情報で指定されたエリアの操作を許可する、第７の態様の発行機である。

本発明の第９の態様は、ユーザテーブルに記録された、ユーザ情報における操作権限情報の変更が、任意のタイミングで可能である、第８の態様の発行機である。

本発明の第１０の態様は、ユーザテーブルに記録されたユーザ情報が、ユーザが発行権限を有する発行物を指定する発行権限情報と、発行権限情報で指定された発行物の直近の発行日時を示す最終更新日と、発行権限情報で指定された発行物を直近に発行したユーザを示す更新者情報とを含む、第６の態様の発行機である。

本発明の第１１の態様は、発行機に対して直近の操作を実行したユーザのユーザ情報が記録された履歴テーブルをさらに備える、第４または５の態様の発行機である。

本発明の第１２の態様は、認証部が、取得されたユーザ情報を、履歴テーブルに記録されたユーザ情報と照合することによって、ユーザを認証する、第１１の態様の発行機である。

本発明の第１３の態様は、非接触通信部を、外観から特定できないように設けた、第４の態様の発行機である。

本発明の第１４の態様は、生体情報取得部を、外観から特定できないように設けた、第５の態様の発行機である。

本発明の第１５の態様は、データテーブルを、発行機の外部に記録した、第６の態様の発行機である。

本発明の第１６の態様は、発行機のプロセッサによって実施される、発行機の起動方法であって、プロセッサが、発行機の操作を許可されたユーザを認証するステップと、認証されたユーザに対して、発行機の操作を許可するステップとを含む、発行機の起動方法である。

本発明の発行機およびその起動方法によれば、認証されたユーザにのみ、発行機の開錠および操作を許可し、もって、発行機に保管された発行前媒体や消耗部材の持ち出しや、これらを使った不正な発行操作を阻止することができる。

図１は、第１の実施形態に係るプリンタの構成例を示すブロック図である。 図２は、メモリに格納されているユーザテーブルの一例を示すデータ構造図である。 図３は、プリンタのエリア区分の一例を示す図である。 図４は、プリンタによって実施される、本実施形態に係る起動方法の流れを示すフローチャートである。 図５は、権限を与えられた特定のオペレータによってなされる、データ情報の編集時の動作の流れを示すフローチャートである。 図６は、メモリに格納されている履歴テーブルの一例を示すデータ構造図である。 図７は、変形例のプリンタの構成例を示すブロック図である。

以下に、本発明の各実施形態について図面を参照して説明する。図面は模式的または概念的なものであり、各部分の厚みと幅との関係、部分間の大きさの比率などは、必ずしも現実のものと同一とは限らない。また、同じ部分を表す場合であっても、図面により互いの寸法や比率が異なって表される場合もある。本願明細書と各図において、既出の図に関して前述したものと同様の要素には同一の符号を付して詳細な説明は適宜省略する。

（第１の実施形態）
本発明の第１の実施形態に係る発行機およびその起動方法について説明する。

本実施形態では、発行機として、プリンタを例に説明する。

図１は、第１の実施形態に係るプリンタの構成例を示すブロック図である。

発行機の一例であるプリンタ１０は、筐体内に、画像や文字をカード、用紙、冊子に記録するプリントヘッド１２に加えて、本実施形態に係る起動方法を実現するための機能として、プロセッサ１４、認証部１６、非接触通信部１７、生体情報取得部１８、表示部１９、およびメモリ２０を備えている。カード、用紙、冊子には、セキュリティ印刷されたものを用いてもよい。

プリントヘッド１２の実例は、サーマルヘッド、インクジェットヘッド、レーザースキャナー、ＬＥＤアレイとできる。プロセッサ１４は単一のロジック半導体チップまたは複数のロジック半導体チップとできる。非接触通信部１７は、ＮＦＣのトランスポンダとできる。生体情報取得部１８は、カメラ、イメージセンサとできる。表示部１９はフラットパネルディプレイとできる。認証部１６は、プロセッサとＩＯインターフェイス、メモリを備えていてもよく、またＩＯインターフェイスだけを備え、認証の処理は、プロセッサ１４で行ってもよい。

プリンタ１０の筐体の材質には、プラスチック、金属など問わないが、破壊行為などの対策として金属とすることが望ましい。金属は、圧延板を用いることができる。また金属の材質は、アルミ合金、ステンレス、鋼鉄とできる。また、プリンタ１０の筐体は振動を検知するセンサを備えてもよい。

プロセッサ１４は、本実施形態に係る起動方法を実現するために、プリントヘッド１２、認証部１６、非接触通信部１７、生体情報取得部１８、表示部１９、およびメモリ２０を制御する。

プリンタ１０は、操作終了後は、電源がオフにされる。電源がオフにされると、プリンタ１０の各種開閉部は、施錠された状態となる。開閉部は筐体の一部として設けても良いし、筐体内に設けてもよい。開閉部は、片開き扉、両開き扉、スライド扉とできる。開閉部の錠は、電子錠とできる。電子錠の他に機械錠やキーロックを備えてもよい。開閉部は、異常検知器を有してもよい。

したがって、プリンタ１０の操作を希望するユーザは、プリンタ１０の電源を投入する必要がある。

プリンタ１０に電源が投入されると、プロセッサ１４、認証部１６、非接触通信部１７、生体情報取得部１８、および表示部１９が起動する。

認証部１６またはプロセッサはプリンタ１０の操作の許可のためのユーザの認証をする。非接触通信部１７はと、ユーザの認証に用いる認証データを認証部１６に出力する。生体情報取得部１８は、ユーザの認証に用いる生体情報の特徴量を認証部１６に出力する。

非接触通信部１７は、例えば社員証、入館証、会員証、学生証等のように、ユーザが常時身に着けている身分証明書など、ユーザ情報が記録された媒体や、例えば業務端末などのように、端末使用時に本人認証を行ってからでないと使用できない、すなわちアクティベートできない端末から、ユーザ情報を非接触通信で受信し、受信したユーザ情報を、認証部１６へ出力する。非接触通信は、ＮＦＣとでき、ＮＦＣは限定される訳ではなく、FeliCa（登録商標）、Mifare等の規格の公知技術を使って実現することができる。

生体情報取得部１８は、ユーザ本人の生体情報のデータを取得し、取得した生体情報のデータを、認証部１６へ出力する。この生体情報の具体例は、指紋、虹彩、静脈、顔、声である。これら生体情報の取得方法もまた、限定される訳ではなく、例えば、可視光撮影や赤外光撮影によって虹彩画像を取得したり、可視光のカメラによる可視光撮影での顔、指紋の特徴点抽出あるいは赤外線カメラによる赤外線での不可視特徴点抽出などにより顔の特徴量を取得したり、加えて、表情テストや動作による実像確認でなりすましを防止する処理を行ったり、キーワード方式、フリーワード方式、多段階方式などによって声のデータを取得したりする等、公知技術を使って実現することができる。

非接触通信部１７および生体情報取得部１８は、外観から特定できないように設置することができる。これによって、非接触通信部１７および生体情報取得部１８の設置場所を知っているユーザしか、プリンタ１０を操作できないため、機密性を高めることができる。もちろん、そのような機密性が必要でなければ、非接触通信部１７および生体情報取得部１８を、隠さずに、外観上明らかな場所に設置してもよい。

外観から特定できないような設置例について説明する。

例えば、虹彩や顔の認証を行う場合には生体情報取得部１８としてのカメラ、また、音声の認証を行う場合には生体情報取得部１８としてのマイクといったセンサがそれぞれ必要とされるが、これらセンサには、小型のものを用いることが好ましい。加えて、その設置場所は、プリンタ１０の既存の通気口や、ダミーで設けられた通気口とすることができる。これによりセンサを隠蔽でき、センサの設置自体やその接地場所を察知され難くできる。

一方、指紋や静脈の検出のためのセンサは、ユーザが接触する必要があるために、外観上隠蔽することが困難である。このような場合、センサのサイズを通常より大きめにしてカモフラージュしたり、センサを複数設け、その一部はダミーとして、正規のセンサに初手で触れる、もしくは複数のセンサを正しい順番で使用した場合にのみ有効とするといった手順を定めることによって、センサは隠蔽できない場合でも、正規のセンサを察知され難くできる。さらには、ダミーセンサと正規センサとを定期的または不定期に替えたり、複数のセンサを使用する順番を定期的または不定期に変更する運用の工夫によって、センサを隠蔽していない場合でも、機密性を高めることができる。

なお、プリンタ１０は、非接触通信部１７と生体情報取得部１８との両方を備えてもよく、また何れか一方を備えていてもよい。

メモリ２０は、例えばＳＳＤ（Solid State Drive）やＨＤＤ（Hard Disk Drive）等からなり、認証部１６によるユーザの認証のために使用されるデータテーブルを格納している。つまり、メモリ２０はストレージとすることができる。また、メモリ２０は、メモリカードとしてもよい。

図２は、メモリ２０に格納されているユーザテーブルＤＴ１の一例を示すデータ構造図である。

図２に例示されるユーザテーブルＤＴ１は、プリンタ１０の操作権限を有するユーザのユーザレコードＵ（図２では、例として、ユーザ情報Ｕ１、Ｕ２、Ｕ３、Ｕ４、・・・を示しているが、代表的に説明する場合、以下単に「ユーザ情報Ｕ」とする）を複数備えたテーブルである。各ユーザレコードＵは、番号ｄ１、ユーザ名ｄ２、ユーザＩＤｄ３、ユーザ認証情報ｄ４、発行権限ｄ５、操作権限ｄ６、最終更新日ｄ７、および更新者ｄ８を含むデータ項目を有している。ユーザテーブルＤＴ１、各ユーザレコードＵ、各データ項目は暗号化されていてもよい。またユーザテーブルＤＴ１、各ユーザレコードＵデータ項目は、ヘッダーを含んでいてもよい。

番号ｄ１は、ユーザテーブルＤＴ１において、各ユーザレコードＵに一意に付与されたシリアル番号である。

ユーザ名ｄ２は、ユーザの氏名である。

ユーザＩＤｄ３は、ユーザの識別番号であり、例えば、社員番号を使用することができる。

ユーザ認証情報ｄ４は、ユーザが、生体情報を用いて認証される場合、認証に使用される生体情報の種類を示す。

発行権限ｄ５は、ユーザが発行権限を有する発行物（例えば、〇〇銀行キャッシュカード、△△会員証、□□入館証など）を指定する情報である。

プリンタ１０内は、複数のエリアに区分できる。各エリアの間には仕切りを有すことができる。言い換えれば、各エリアは、仕切りまたは/及び筐体で区分できる。仕切りは、金属の圧延版やプラスチック板とできる。

操作権限ｄ６は、プリンタ１０において、ユーザに操作が許容されているエリアを指定する情報である。

このエリア区分の一例を、図３を用いて説明する。

図３は、プリンタ１０のエリアの区分の一例を示す図である。

図３に示す例では、プリンタ１０が３つのエリアＡ、Ｂ、Ｃに区分されている。なお、図３に示すエリア区分は、一例であって、本実施形態で適用されるエリア区分は、これに限定されない。

エリアＡは、プリンタ１０の全体に相当する。

エリアＢは、プリンタ１０のうち、発行前カードの入ったカセット部に相当する。

エリアＣは、プリンタ１０のうち、印字用リボンの入ったリボンカセット部に相当する。

エリアＡは、エリアＢとエリアＣとの両方に相当するともいえる。

このようなエリアの区分によって、各ユーザがプリンタ１０において開錠等の操作ができるエリアを、任意に設定することができる。

操作権限ｄ６として「Ａ」が指定されていることは、エリアＡの、すなわちプリンタ１０のすべての操作が許容されていることを意味する。この権限「Ａ」は、プリンタ１０のすべての作業ができるユーザや、プリンタ１０のすべての作業を行う必要があるユーザに付与される。

操作権限ｄ６として「Ｂ」が指定されていることは、エリアＢの、すなわち、発行前カードの入ったカードカセット部の操作が許容されていることを意味する。言い換えれば、操作権限ｄ６として「Ｂ」が指定されているユーザは、エリアＢの操作ができる。例えば、発行前のカードを持ち出して他のプリンタで発行されないように施錠する場合、エリアＢを開けないと他の券種を発行できない（共同利用できない）。このため、この権限「Ｂ」は、カード交換した際の保管や管理簿の記録について知るユーザに付与される。

操作権限ｄ６として「Ｃ」が指定されていることは、エリアＣの、すなわち、印字用リボンの入ったリボンカセット部の操作が許容されていることを意味する。言い換えれば、操作権限ｄ６として「Ｃ」が指定されているユーザは、エリアＣの操作ができる。例えば、特殊なリボンを使用していることによって、または個人情報がリボンの印字済み部分に残っているので施錠する場合、エリアＣを開けないとリボン交換できない。この場合、この操作権限「Ｃ」は、リボン廃棄を担当するユーザに付与される。

操作権限ｄ６はまた、発行権限ｄ５毎に個別設定することもでき、さらには、特定期間の作業状況によって任意に変更することもできる。

ユーザテーブルＤＴ１に記録されたこのような操作権限ｄ６の変更は、変更権限を与えられている特定のオペレータによって行われる。このオペレータは、表示部１９から、ユーザテーブルＤＴ１を閲覧することが許可されている。したがって、このオペレータは、この閲覧機能を使って、ユーザレコードＵを照会し、ユーザテーブルＤＴ１の不正な書き換え等があった場合、それを発見することができる。

オペレータは、必要な場合（例えば、ユーザレコードＵにおける不正な書き換え等を発見した場合）、ユーザテーブルＤＴ１に記録されたユーザレコードＵの内容を、任意のタイミングで変更することができる。変更の仕方は、限定されず、例えば、オペレータが、ユーザテーブルＤＴ１に記録されたユーザレコードＵを、表示部１９から表示しながら、表示部１９から、入力用のソフトキーボードも表示させ、このソフトキーボードから、変更内容を入力して、ユーザレコードＵの項目のデータを書き換え、ユーザテーブルＤＴ１を更新することによって行うことができる。

一方、すべてのオペレータに対して一律の権利を付与するのではなく、異なるオペレータ権限を規定し、オペレータ権限に応じて、異なる操作の許可を付与するようにすることもできる。複数のオペレータ権限としては、閲覧権限や編集権限がある。閲覧権限はユーザレコードＵの閲覧のみが許可される。編集権限では閲覧と編集（追加、削除、書換も含む）が許可される。

図２に戻って示すように、最終更新日ｄ７は、発行権限ｄ５で指定された発行物が、プリンタ１０によって直近に発行された日時を示す。

更新者ｄ８は、プリンタ１０を使って、発行権限ｄ５で指定された発行物を直近に発行したユーザを示す。

なお、ユーザテーブルＤＴ１に含まれるデータ項目は、図２に例示されるものに限定されず、これより多いデータ項目を有することもできる。例えば、ユーザの認証にエラーがあった場合の状況に関する情報を記録する「認証エラー記録」や、ユーザレコードＵの編集履歴を記録する「編集履歴記録」のようなデータ項目を設けることもできる。

認証部１６は、ユーザを認証する部位であって、非接触通信部１７から出力された認証データ、および／または、生体情報取得部１８から出力された生体情報から取得された特徴量を、ユーザテーブルＤＴ１のユーザレコードＵと照合することによって、ユーザの認証を行う。例えば、接触通信部１７から出力された認証データかその暗号文、および／または、生体情報取得部１８から出力された生体情報から取得される特徴量かその暗号文が、ユーザテーブルＤＴ１に記録されたユーザレコードＵ（例えば、ユーザ情報Ｕ１、Ｕ２、Ｕ３、Ｕ４・・・）に含まれているのであれば、正規のユーザとして、照合ＯＫと判定して、このユーザを、プリンタ１０の操作が許可されるユーザであると認証する。

一方、接触通信部１７から出力された認証データ、および／または、生体情報取得部１８から出力された生体情報から決定される特徴量が、ユーザテーブルＤＴ１に記録されたユーザレコードＵ（例えば、ユーザ情報Ｕ１、Ｕ２、Ｕ３、Ｕ４・・・）に含まれていないのであれば、不正なユーザとして、照合ＮＧと判定して、このユーザを、プリンタ１０の操作が許可されるユーザと認証しない。

認証部１６またはプロセッサはさらに、照合ＯＫと判定され、認証されたユーザに対して、当該ユーザのユーザ情報Ｕの操作権限ｄ６に記録されている権限に応じたエリア（エリアＡまたはエリアＢまたはエリアＣ）の操作を許可する信号を送信する。

このように、認証部１６またはプロセッサは、ユーザテーブルＤＴ１で管理されているユーザのユーザ認証情報ｄ４、発行権限ｄ５、発行権限ｄ５毎の操作権限ｄ６などにより、開錠等の操作が許可されたエリア（エリアＡまたはエリアＢまたはエリアＣ）を、ユーザ毎に決定できる。

これによって、操作権限ｄ６で指定されたエリアが開錠され、ユーザは開錠されたエリアの開閉部を開放し、発行権限ｄ５で指定された発行物を、プリンタ１０のプリントヘッド１２を使って発行することが可能となる。発行は、発行に必要なデータをメモリ２０またはその他のストレージから取得し、取得したデータをプロセッサで処理し、プリントヘッド１２でカード、用紙、冊子へ印字することで実現できる。

この発行は、開閉部が開放しているときには、インターロックがかかり実行されないようにしてもよい。ストレージは、筐体内または筐体外にあってもよい。ストレージ筐体外にある場合には、有線ＬＡＮ、無線ＬＡＮや接続していてもよいし、ＵＳＢ等のケーブルで接続していてもよい。またストレージはＰＣに接続し、ＰＣとプリンタ１０が接続していてもよい。

そして、使用後は、プリンタ１０のシャットダウン操作を行う。シャットダウン操作に応じて、プリンタ１０の開閉部の施錠と、プロセッサ１４によるユーザテーブルＤＴ１の最終更新日ｄ７の更新とがなされる。

次に、第１の実施形態に係る起動方法について説明する。

図４は、上述したプリンタ１０によって実施される、本実施形態に係る起動方法の流れを示すフローチャートである。

プリンタ１０の操作を希望するユーザは、プリンタ１０の電源を投入する（Ｓ１）。

プリンタ１０に電源が投入されると、プロセッサ１４、認証部１６、非接触通信部１７、生体情報取得部１８、および表示部１９が起動される（Ｓ２）。また必要に応じてメモリ２０にも電力が供給される。なお、前述したように、プリンタ１０には、非接触通信部１７および生体情報取得部１８のうち、双方または何れかが備えられている。

ステップＳ２における起動に応じて、ユーザは、非接触通信部１７および生体情報取得部１８のうちの一方または双方から、ユーザのデータを入力する。ユーザのデータは、身分証明書や業務端末からの認証データや特徴量である。

非接触通信部１７および生体情報取得部１８はともに、外観から特定できないように設置できる。したがって、設置場所を知っているユーザしか、非接触通信部１７および生体情報取得部１８からユーザのデータを入力できないことになる。ユーザのデータを入力できないと、このユーザは認証されることはないので、プリンタ１０を操作することはできない。したがって、これによって、不正なユーザによるプリンタ１０の操作を阻止することができる。

ユーザは、ユーザのデータの入力に非接触通信部１７を使用する場合、非接触通信部１７に、ユーザが所有する身分証明書など、ユーザの情報が記録された例えばFeliCa、Mifare対応の媒体や、本人認証済みの業務端末をかざす。これによって、この媒体や、業務端末との通信でデータが、非接触通信部１７によって受信され、認証部１６へ認証データが出力される。

一方、ユーザは、ユーザのデータの入力に生体情報取得部１８を使用する場合、ユーザ本人の、例えば指紋、虹彩、静脈、顔、音声などの生体情報を、生体情報取得部１８が取得する。例えば、ユーザは、生体情報取得部１８のカメラに、指、目、顔等を向けると、それらをカメラが撮像し、生体情報取得部１８は、その撮像結果から、指紋、虹彩、顔認証情報などの生体情報を取得し、認証部１６へ出力する。

また、ユーザは、生体情報取得部１８のマイクに向けて発声すると、マイクが音声を集音し、生体情報取得部１８は、マイクによって収音された音声から、声紋のデータを取得する。生体情報取得部１８は、この声紋のデータを、生体情報の特徴量として、認証部１６へ出力する。

認証部１６またはプロセッサでは、非接触通信部１７から出力された認証データ、あるいは、生体情報取得部１８から出力された生体情報の特徴量が、ユーザテーブルＤＴ１に記録されたユーザレコードＵと照合され、ユーザの認証が行われる（Ｓ３）。

例えば、非接触通信部１７あるいは生体情報取得部１８からの認証データや特徴量、またはその暗号文が、ユーザテーブルＤＴ１に記録されたユーザレコードＵ（例えば、ユーザ情報Ｕ１、Ｕ２、Ｕ３、Ｕ４・・・）に含まれているのであれば、認証部１６によって、照合ＯＫと判定され（Ｓ４：ＯＫ）、このユーザは、プリンタ１０の操作を許可されているユーザであると認証される。プリンタ１０の操作を許可されているユーザであると認証されると、操作権限ｄ６で指定されたエリアが開錠される。

このようにして認証されたユーザは、プリンタ１０を起動し（Ｓ５）、操作権限ｄ６で指定されたエリアの開閉部を開放し、発行権限ｄ５で指定された発行物の印刷のための印刷設定を、プリントヘッド１２に読み込ませ（Ｓ６）、発行権限ｄ５で指定された発行物を、プリントヘッド１２を使って印刷するための準備が完了する（Ｓ７）。

そして、印刷設定に特に変更がない場合（Ｓ７：続行）には、印刷を開始（Ｓ８）する。これに応じて、プリンタ１０のプリントヘッド１２によって、発行権限ｄ５で指定された発行物の印刷が実行され、予定数の印刷が完了した場合（Ｓ９：Ｙｅｓ）、印刷を終了し、ユーザは、表示部１９から表示される操作ボタンから、シャットダウンを指定することによって、プリンタ１０をシャットダウンさせ（Ｓ１３）、処理を終了する。シャットダウン時に、プリンタ１０の各種開閉部は施錠される。

一方、ステップＳ４のデータ照合において、認証データや特徴量が、ユーザテーブルＤＴ１に記録されたユーザレコードＵ（例えば、ユーザ情報Ｕ１、Ｕ２、Ｕ３、Ｕ４・・・）に含まれていないのであれば、認証部１６によって、照合ＮＧと判定され（Ｓ４：ＮＧ）、このユーザは、プリンタ１０の操作を許可されたユーザであるとは認証されない。そして、表示部１９からエラー表示がなされる（Ｓ１１）。

このエラー表示に応じて、ユーザが、ユーザ情報の入力をリトライする場合（Ｓ１１：リトライ）には、ユーザは、非接触通信部１７および生体情報取得部１８のうちの少なくとも一方から、ユーザ情報を再度入力し、その後、ステップＳ３の処理が再度行われる。一方、リトライしない場合（Ｓ１１：終了）、認証部１６によって、表示部１９からエラー記録が表示される（Ｓ１２）。なお、ユーザテーブルＤＴ１に「認証エラー記録」というデータ項目を設け、このデータ項目に、エラー記録の内容を書き込むようにしてもよい。

その後、ユーザは、表示部１９から表示される操作ボタンから、シャットダウンを指定することによって、プリンタ１０をシャットダウンさせ（Ｓ１３）、処理を終了する。シャットダウンに応じて、プリンタ１０の電源が落とされるとともに、各種開口部が施錠される。

また、ユーザテーブルＤＴ１に記録されたユーザ情報Ｕは、権限を与えられた特定のオペレータによって、任意のタイミングで、追加、削除、書換等の編集が行われる。以下では、この編集時の動作について説明する。

図５は、権限を与えられた特定のオペレータによってなされる、データ情報Ｕの編集時の動作の流れを示すフローチャートである。

権限を与えられた特定のオペレータは、ユーザ情報Ｕを編集する場合、プリンタ１０の電源を投入する（Ｓ２１）。

プリンタ１０に電源が投入されると、前述したステップＳ２と同様に、プロセッサ１４、認証部１６、非接触通信部１７、生体情報取得部１８、および表示部１９が起動される（Ｓ２２）。

次に、オペレータは、表示部１９から、ユーザテーブルＤＴ１の編集を要求するコマンドを入力する（Ｓ２３）とともに、前述したステップＳ３と同様に、非接触通信部１７および生体情報取得部１８のうちの少なくとも一方から、オペレータのユーザ情報（以下では、図２における「ユーザ情報」と区別するために、「オペレータ情報」と称する）を入力し、これに応じて、認証部１６では、オペレータの認証が行なわれる（Ｓ２４）。

なお、ステップＳ３では、認証部１６において、非接触通信部１７から出力された認証データ、あるいは、生体情報取得部１８から出力された生体情報の特徴量が、ユーザテーブルＤＴ１に記録されたユーザレコードＵと照合され、ユーザの認証が行われていた。オペレータの認証の場合も同様に、メモリ２０に、オペレータの名前、ＩＤ、認証情報、権限情報（例えば、「閲覧権限」や「編集権限」）等を含むオペレータ情報（図示せず）をデータとして記録しておき、認証部１６が、非接触通信部１７および生体情報取得部１８のうちの少なくとも一方からのオペレータの情報のデータを、メモリ２０に格納されたオペレータ情報のデータと照合することによって、オペレータの認証を行うことができる。

例えば、認証部１６に入力されたオペレータ情報のデータまたはその暗号文が、メモリ２０に格納されたオペレータ情報のデータまたはその復号したデータと同一であれば、認証部１６によって、照合ＯＫと判定される（Ｓ２５：ＯＫ）。照合ＯＫと判定されると、さらに、このオペレータ情報の権限情報に応じて、オペレータは、ユーザ情報Ｕに対して許可された処理（「閲覧のみ」、あるいは、「閲覧および編集」）を行うことができる。

本例では、権限情報として「編集権限」が指定されているものとする。この場合、オペレータは、ステップＳ２５において照合ＯＫと判定される（Ｓ２５：ＯＫ）と、ユーザテーブルＤＴ１に記録されているユーザ情報Ｕを編集できるようになる（Ｓ２６）。

これに応じて、オペレータは、ユーザテーブルＤＴ１に記録されたユーザ情報Ｕを、表示部１９から表示しながら、表示部１９から、入力用のソフトキーボードも表示し、このソフトキーボードから、変更内容を入力して、ユーザ情報Ｕの内容を変更して、ユーザテーブルＤＴ１を更新することができる。また、「編集権限」では、新規のユーザ情報Ｕを登録することもできる。なお、新規のユーザ情報Ｕを、ユーザテーブルＤＴ１に登録する場合、編集者であるオペレータと、被編集者である該当ユーザとの両者による再認証が必要となる（Ｓ２７）。

編集が完了した場合（Ｓ２８）、編集の履歴を記録することができる（Ｓ２９）。これは例えば、ユーザテーブルＤＴ１に、ユーザ情報Ｕの編集履歴を記録する「編集履歴記録」のようなデータ項目が設け、このユーザ情報Ｕの編集履歴に関する情報を、「編集履歴記録」に記録することによって実施される。

その後、オペレータは、表示部１９から表示される操作ボタンから、シャットダウンを指定することによって、プリンタ１０をシャットダウンさせ（Ｓ３０）、処理を終了する。シャットダウンに応じて、プリンタ１０の各種開閉部が施錠される。

一方、ステップＳ２５のデータ照合において、オペレータ情報が、メモリ２０に格納されたオペレータ情報に含まれていないのであれば、認証部１６によって、照合ＮＧと判定され（Ｓ２５：ＮＧ）、このオペレータは、ユーザ情報Ｕに対する処理権限を有するオペレータであるとは認証されない。そして、表示部１９からエラー表示がなされる（Ｓ３１）。

このエラー表示に応じて、オペレータが、オペレータ情報の入力をリトライする場合（Ｓ３１：リトライ）には、オペレータ情報を再度入力し、その後、ステップＳ２４の処理が再度行われる。一方、リトライしない場合（Ｓ３１：終了）、認証部１６によって、メモリ２０に、オペレータ認証エラーの内容を示す「認証エラー記録」が記憶される（Ｓ３２）。例えば、メモリ２０に格納されているオペレータ情報（図示せず）に「認証エラー記録」というデータ項目を設け、このデータ項目に、エラーの内容を書き込むことができる。

その後、オペレータは、表示部１９から表示される操作ボタンから、シャットダウンを指定することによって、プリンタ１０をシャットダウンさせ（Ｓ３０）、処理を終了する。シャットダウン時に、プリンタ１０の各種開口部が施錠される。

以上説明したように、本発明の第１の実施形態に係る発行機およびその起動方法によれば、発行機の開錠および操作は、認証されたユーザにしか許可されない。このため、認証されないユーザは、発行機に保管された発行前媒体や消耗部材の持ち出しや、これらを使った不正な発行操作を行うことができない。

これによって、例えば、キャッシュカードの印字後では、キャッシュカードの印字に使用された転写リボン等がプリンタ１０に残っている可能性があるので、キャッシュカードの発行権限ｄ５を有していないユーザに対しては、開錠せず、プリンタ１０の内部へのアクセスを拒否することが可能となる。

また、ユーザ認証のために、ユーザは、非接触通信部１７あるいは生体情報取得部１８から、ユーザ情報あるいは生体情報を入力する必要があるが、非接触通信部１７あるいは生体情報取得部１８は、発行機において、外観から特定できないように設置されている。このため、設置場所を知っているユーザしか、ユーザ情報あるいは生体情報を入力できないことになり、不特定なユーザによる認証要求自体がそもそもできないようになっている。

しかも、このユーザ認証には、ユーザ各人が常時携帯している身分証明書などの媒体に記録されている情報や、あらかじめセキュリティのかかっている業務端末に記録されている情報や、ユーザ各人の生体情報が使用され、シリンダー錠のような物理的な鍵は使用されず、鍵の保管管理も不要となる。すなわち、物理的な錠を使用しないことによって、不正ユーザに対して、発行前媒体や消耗部材の、発行機における保管場所に関する明確な手掛かりを与えずに済む。

また、メモリ２０には、ユーザ認証のために使用されるユーザレコードＵを備えたユーザテーブルＤＴ１が格納されているが、このユーザレコードＵは、権限を付与され、しかも正しく認証されたオペレータしか、編集することができない。このため、ユーザテーブルＤＴ１に記録されているユーザ情報Ｕが改竄されることはない。したがって、ユーザ情報Ｕの改竄による、不正なユーザ認証も防ぐことができる。

以上説明したように、本発明の第１の実施形態に係る発行機およびその起動方法によれば、極めて高いセキュリティを実現することができ、発行機に保管された発行前媒体や消耗部材の不正な持ち出しを阻止することができる。

（第２の実施形態）
本発明の第２の実施形態に係る発行機およびその起動方法について説明する。以下では、第１の実施形態と異なる点について説明する。

本実施形態でもまた、第１の実施形態と同様、発行機として、プリンタを例として説明する。

本実施形態に係る発行機の一例であるプリンタ１０もまた、図１を用いて説明したような構成をしているが、本実施形態では、メモリ２０に、ユーザテーブルＤＴ１に加えて、履歴テーブルＤＴ２（図６を用いて後述する）も格納している点が、第１の実施形態とは異なる。

図６は、メモリ２０に格納されている履歴テーブルＤＴ２の一例を示すデータ構造図である。

履歴テーブルＤＴ２は、プリンタ１０に対してなされた直近の操作の情報である操作履歴レコードＳを複数備えたテーブルである。

操作履歴レコードＳは、認証部１６によってユーザが認証される毎に生成される。

操作履歴レコードＳは、ユーザ名ｄ２、ユーザＩＤｄ３、ユーザ認証情報ｄ４、発行権限ｄ５、操作権限ｄ６、および最終利用日ｄ９からなるデータ項目を有している。これらのうち、ユーザ名ｄ２、ユーザＩＤｄ３、ユーザ認証情報ｄ４、発行権限ｄ５、および操作権限ｄ６は、図２に示すユーザテーブルＤＴ１のユーザ情報Ｕにおけるものと同じ項目である。このように、操作履歴レコードＳには、ユーザ情報Ｕの少なくとも一部が含まれている。

最終利用日ｄ９は、プリンタ１０に対する直近の操作がなされた日時を示す情報を含む。最終利用日ｄ９は、プリントヘッド１２の操作終了時に、プロセッサ１４によって記録される。

本実施形態では、認証部１６は、非接触通信部１７や生体情報取得部１８からのユーザ情報を、履歴テーブルＤＴ２に記録されている操作履歴レコードＳと照合する。そして、非接触通信部１７や生体情報取得部１８からの認証データや生体情報の特徴量、またはその暗号文が、履歴テーブルＤＴ２に含まれているのであれば、照合ＯＫと判定して、このユーザを、プリンタ１０の操作を許可されているユーザであると認証する。

一方、認証データや生体情報の特徴量、またはその暗号文が、履歴テーブルＤＴ２に記録された操作履歴レコードＳに含まれていないのであれば、第１の実施形態で説明したように、ユーザテーブルＤＴ１との照合を行うことによって、ユーザの認証が行なわれ、照合ＯＫまたは照合ＮＧの判定がなされる。

認証部１６またはプロセッサは、履歴テーブルＤＴ２を用いた照合であるか、あるいはユーザテーブルＤＴ１を用いた照合であるかに関わらず、照合ＯＫと判定され、認証されたユーザに対して、第１の実施形態で説明したように、当該ユーザの操作権限ｄ６に記録されている権限に応じたエリア（エリアＡまたはエリアＢまたはエリアＣ）の操作を許可する信号を出力する。開閉部で操作を許可する信号を受信すると、その当該ユーザの操作権限ｄ６に記録されている権限に応じたエリアが開錠される。

これによって、ユーザは、許可されたエリアの開閉部を開放し、発行権限ｄ５で指定された発行物を、プリンタ１０のプリントヘッド１２を使って発行することが可能となる。

そして、使用後は、プリンタ１０のシャットダウン操作を行う。シャットダウン操作に応じて自動的に、プリンタ１０の開閉部の施錠と、プロセッサ１４によるユーザテーブルＤＴ１の最終更新日ｄ７の更新と、プロセッサ１４による履歴テーブルＤＴ２の書換とがなされる。

一方、プリンタ１０の操作を要求してきたユーザが、プリンタ１０の直近の操作をしたユーザではない場合は、第１の実施形態で説明したように、ユーザテーブルＤＴ１を使って、照合を行い、ユーザの認証をする。

以上説明したように、本発明の第２の実施形態に係る発行機およびその起動方法によれば、先ず履歴テーブルＤＴ２を用いてユーザの認証がなされる。履歴テーブルＤＴ２は、直近の操作の情報である操作履歴レコードＳしか記録されていないので、データサイズは小さい。このため、データ照合は短時間で終了する。したがって、プリンタ１０の操作を要求してきたユーザが、直近にプリンタ１０を操作したユーザであれば、ユーザ認証に要する時間を短縮することができる。

また、プリンタ１０の操作を要求してきたユーザが、プリンタ１０の直近の操作をしたユーザではない場合は、第１の実施形態で説明したように、ユーザテーブルＤＴ１を使って、データ照合を行い、ユーザ認証できる。この場合さらに、認証されるユーザを、操作履歴レコードＳの発行権限ｄ５で指定されているものと同じ発行権限ｄ５が、ユーザ情報Ｕの発行権限ｄ５に指定されているユーザのみに限定し、さらに、ユーザ情報Ｕで指定されている操作権限ｄ６に応じて、他券種への変更の許可／不許可を行うようにしてもよい。つまり、ユーザ情報Ｕで指定されている操作権限ｄ６に応じて操作の許可を行うようにしてもよい。

これによって、プリンタ１０に保管された発行前媒体および消耗部材の発行権限を持たないユーザによる不正な発行や、部材の持ち出し等を防止することが可能となる。

例えば、履歴テーブルＤＴ２に、図６に示す操作履歴レコードＳが記録されており、図２のユーザテーブルＤＴ１におけるユーザＮｏ．４が、プリンタ１０の操作を要求してきた場合、ユーザＮｏ．４のユーザ情報は、操作履歴レコードＳに含まれているので、ユーザＮｏ．４は、履歴テーブルＤＴ２との照合により認証される。これによって、ユーザＮｏ．４は、発行権限ｄ５で指定されている「△△会員証」の発行処理を、操作権限ｄ６で指定されているエリア「Ｂ」を使って、直近の状況から再開することができる。

一方、履歴テーブルＤＴ２に、図６に示す操作履歴レコードＳが記録されており、図２に示すユーザＮｏ．１が、プリンタ１０の操作を要求してきた場合、ユーザＮｏ．１のユーザ情報は、操作履歴レコードＳに含まれていないので、ユーザＮｏ．１は、ユーザテーブルＤＴ１との照合により認証される。さらに、ユーザＮｏ．１は、ユーザ情報Ｕ１における発行権限ｄ５に、操作履歴レコードＳで指定されている「△△会員証」が指定されている。

よって、ユーザＮｏ．１は、プリンタ１０を操作することを許可され、「△△会員証」を発行することができるが、ユーザ情報Ｕ１では、操作権限ｄ６として、プリンタ１０の全エリアに対応する「Ａ」が指定されているので、ユーザＮｏ．１は、プリンタ１０のエリア「Ｂ」のみならず、エリア「Ｃ」をも操作することで、他の「会員証」券種への入れ替え作業もすることができる。

また、履歴テーブルＤＴ２に、図６に示す操作履歴レコードＳが記録されており、図２に示すユーザＮｏ．２が、プリンタ１０の操作を希望してきた場合、ユーザＮｏ．２のユーザの情報は、操作履歴レコードＳに含まれていないので、ユーザＮｏ．２は、ユーザテーブルＤＴ１との照合により認証される。さらに、ユーザＮｏ．２は、ユーザレコードＵ２における発行権限ｄ５に、操作履歴レコードＳで指定されている「△△会員証」が指定されていないので、ユーザＮｏ．２は、プリンタ１０を操作できない。そして、その旨の通知が、表示部１９から表示される。

また、履歴テーブルＤＴ２に、図６に示す操作履歴レコードＳが記録されており、図２に示すユーザＮｏ．３が、プリンタ１０の操作を要求してきた場合、ユーザＮｏ．３のユーザの情報は、操作履歴レコードＳに含まれていないので、ユーザＮｏ．３は、ユーザテーブルＤＴ１との照合により認証される。さらに、ユーザＮｏ．３は、ユーザ情報Ｕ３における発行権限ｄ５に、操作履歴レコードＳで指定されている「△△会員証」が指定されている。よって、ユーザＮｏ．３は、プリンタ１０を操作することを許可され、「△△会員証」を発行することができるが、ユーザ情報Ｕ３では、操作権限ｄ６として、エリア「Ｃ」が指定されているので、ユーザＮｏ．３は、プリンタ１０のエリア「Ｃ」しか操作することができず、他の「会員証」券種への入れ替え作業をすることはできない。

（変形例）
本発明の変形例の発行機について説明する。

本変形例でも、発行機として、プリンタを例に説明する。

図７は、本変形例のプリンタの構成例を示すブロック図である。

図７に示す本変形例のプリンタ１１は、図１に示すプリンタ１０からメモリ２０を排除し、プロセッサ１４において、外部のＰＣ３０と接続した構成をしている。そして、ＰＣ３０に、メモリ２０を備えている。

メモリ２０が、ユーザテーブルＤＴ１を記録している場合、図７に示す構成は、第１の実施形態の変形例となる。また、メモリ２０が、ユーザテーブルＤＴ１に加えてさらに履歴テーブルＤＴ２を記録している場合、図７に示す構成は、第２の実施形態の変形例となる。

図７に示すような本変形例によれば、万が一、プリンタ１１が盗み出されても、ＰＣ３０がなければ、ユーザの認証ができないので、プリンタ１１を起動することもできない。したがって、プリンタ１１を開錠することも、動作させることもできないので、保管された発行前媒体や消耗部材を持ち出すことも、それらを使って印刷することもできない。

このように、本変形例によれば、発行機の盗難に対する高いセキュリティ性を実現することができる。

以上、本発明を実施するための最良の形態について、添付図面を参照しながら説明したが、本発明はかかる構成に限定されない。特許請求の範囲の発明された技術的思想の範疇において、当業者であれば、各種の変更例及び修正例に想到し得るものであり、それら変更例及び修正例についても本発明の技術的範囲に属するものと了解される。

１０、１１・・プリンタ
１２・・プリントヘッド
１４・・プロセッサ
１６・・認証部
１７・・非接触通信部
１８・・生体情報取得部
１９・・表示部
２０・・メモリ
Ａ、Ｂ、Ｃ・・エリア

Claims (16)

1. 発行機であって、
   ユーザを認証する認証部と、データを処理するプロセッサとを備え、
   前記認証部またはプロセッサは、前記認証部によって認証されたユーザに対して、前記発行機の操作を許可する信号を送信する、発行機。
2. 前記認証部は、前記発行機の電源投入時に動作する、請求項１に記載の発行機。
3. 前記認証部は、前記ユーザの認証データおよび／または生体情報の特徴量に基づいて前記ユーザを認証する、請求項１に記載の発行機。
4. 前記ユーザの情報が記録された媒体または端末から、前記ユーザの認証データを非接触通信で受信する非接触通信部をさらに備え、
   前記認証部は、前記ユーザの認証データを取得する、請求項３に記載の発行機。
5. 前記ユーザから、前記ユーザの生体情報を取得する生体情報取得部をさらに備え、
   前記認証部は、前記ユーザのユーザ情報に基づいて前記ユーザを認証するために、前記生体情報取得部によって取得された生体情報から、特徴量を取得する、請求項３に記載の発行機。
6. 前記発行機の操作を許可されたユーザの情報が記録されたユーザレコードを備えたユーザテーブルがメモリに格納された、請求項４または５に記載の発行機。
7. 前記認証部は、前記取得された前記認証データまたは／および生体情報の特徴量を、前記ユーザテーブルと照合することによって、前記ユーザを認証する、請求項６に記載の発行機。
8. 前記ユーザテーブルに記録されたユーザレコードは、前記発行機のうち、前記ユーザの操作が許可されたエリアを指定する操作権限情報を含み、
   前記認証部またはプロセッサは、前記認証されたユーザに対して、前記操作権限情報で指定されたエリアの操作を許可する、請求項７に記載の発行機。
9. 前記ユーザテーブルに格納された、前記ユーザレコードにおける前記操作権限情報の変更は、任意のタイミングで可能である、請求項８に記載の発行機。
10. 前記ユーザテーブルに格納されたユーザレコードは、前記ユーザが発行権限を有する発行物を指定する発行権限情報と、前記発行権限情報で指定された発行物の直近の発行日時を示す最終更新日と、前記発行権限情報で指定された発行物を直近に発行したユーザを示す更新者情報とを含む、請求項６に記載の発行機。
11. 前記発行機に対して直近の操作を実行したユーザの情報が記録された履歴テーブルをさらに備える、請求項４または５に記載の発行機。
12. 前記認証部またはプロセッサは、前記取得された認証データおよび／または生体情報の特徴量を、前記履歴テーブルに格納された操作履歴レコードと照合することによって、前記ユーザを認証する、請求項１１に記載の発行機。
13. 前記非接触通信部を、外観から特定できないように設けた、請求項４に記載の発行機。
14. 生体情報取得部を、外観から特定できないように設けた、請求項５に記載の発行機。
15. 前記ユーザテーブルを、発行機の外部に記録した、請求項６に記載の発行機。
16. 発行機のプロセッサによって実施される、前記発行機の起動方法であって、
    前記プロセッサが、
    ユーザを認証するステップと、
    前記認証されたユーザに対して、前記発行機の操作を許可するステップと
    を含む、発行機の起動方法。