JP4199156B2 - 管理システム及び管理方法 - Google Patents

Description

本発明は、携帯型情報記憶媒体を用いて所定のエリアに設置されている設備を利用する利用者を管理する管理システム及び管理方法に関するものである。

電子データの暗号方式の一つに公開鍵暗号（ＰＫＩ）がある。公開鍵暗号とは、対になる２つの鍵（特定の者が秘密に保持する秘密鍵、公開する公開鍵）を用いて、データの暗号化、復号を行う暗号方式である。公開鍵で情報を暗号化した場合には、復号できる者を、秘密鍵を保持する者に限定する。従って、秘密鍵で情報を暗号化した場合には、公開鍵を有する者は、公開鍵で復号することによって当該暗号化を行った者が秘密鍵を保持する者であることを認識することができる。
この公開鍵暗号は、ＩＣカードなどの携帯型情報記憶媒体に、正当使用者の秘密鍵を格納し、使用者を認証するために利用されている。携帯型情報記憶媒体とは、ＩＣカード、ＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）、ＵＩＭ（Ｕｓｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）、ＩＣタグ、磁気カード、バーコードを有するカードなど、情報処理装置などの外部装置から読み出すことができる情報を記憶する携帯型の物体である。
例えば、非接触ＩＣカードに正当使用者の秘密鍵を格納し、携帯電話機がサーバと通信を行い、この秘密鍵による電子署名を検証することによって、携帯電話機の使用者を認証している（例えば、特許文献１参照。）。

また、公開鍵暗号は、企業における社員管理にも利用されている。例えば、公開鍵暗号の演算装置を装備している高価な接触型ＩＣカードや非接触ＩＣカードに、公開鍵証明書と署名用秘密鍵を格納したＩＣカードを社員に配布する。入退室ゲート端末などの所定のエリアからの入退室を管理する管理装置は、このＩＣカードから公開鍵証明書と、ＩＣカード内部で秘密鍵を使用して生成した電子署名とを読み出して、公開鍵証明書の正当性を検証し、その公開鍵で電子署名を検証することによってカード使用者（各社員）を認証することができ、社員の入退室管理や勤怠管理、社内ネットワークへのアクセス制御やセキュリティ通信が可能となる。なお、公開鍵証明書は、公開鍵と、公開鍵の所有者の識別情報とを含むデータであって、信頼性を有する第三者（認証局）が公開鍵の所有者を証明する証明書である。電子署名とは、署名を電子的手段で代替したものであって、例えば、署名対象のデータを一定サイズの小さいデータであるハッシュ値に不可逆の変換をして要約（ダイジェスト）を生成し、公開鍵暗号方式に従って、秘密鍵でこの要約を暗号化して生成したデータである。
特開２００３−３２７４２号公報

しかし、公開鍵証明書や秘密鍵など公開鍵暗号で必要なデータ要素のサイズが大きいため、比較的容量の大きいメモリを備える高価なＩＣチップを使用する必要があり、製造コストがかかるという問題があった。
また、秘密鍵を格納したＩＣカードを通行証として持ち歩くため、紛失した場合には、秘密鍵による電子署名の悪用、不正ログインや不正アクセスの危険性などのリスクが高いという問題があった。

本発明の課題は、携帯型情報記憶媒体の製造コストの低減及びセキュリティの向上を図ることが可能な管理システム及び管理方法を提供することである。

本発明は、以下のような解決手段により、前記課題を解決する。なお、理解を容易にするために、本発明の実施例に対応する符号を付して説明するが、これに限定されるものではない。すなわち、請求項１の発明は、携帯型情報記憶媒体を用いて所定のエリアに設置されている設備を利用する利用者を管理する管理システムであって、前記所定のエリア内において利用者に携帯され、秘密鍵（ＳＫｉｃ）を記憶する第１の携帯型情報記憶媒体（１０、１０−２）と、前記所定のエリア外において前記利用者に携帯され、前記秘密鍵に対応する公開鍵（ＰＫｉｃ）を記憶する第２の携帯型情報記憶媒体（２０、２０−２）と、前記所定のエリアに入場する利用者の前記第２の携帯型情報記憶媒体から公開鍵を読み出す公開鍵読み出し手段（３１１）と、前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出し手段によって読み出された公開鍵とに基づいて、前記利用者を認証する認証手段（４１１，Ｓ４２０、６１１，Ｓ６３０）とを備えること、を特徴とする管理システム（１、１−２）である。

請求項２の発明は、請求項１に記載の管理システムにおいて、前記第２の携帯型情報記憶媒体は、公開鍵証明書（ＰＫＣ）を記憶し、前記公開鍵読み出し手段は、前記第２の携帯型情報記憶媒体から公開鍵証明書を読み出し、前記公開鍵読み出し手段によって読み出された公開鍵証明書の正当性を判定する証明書正当性判定手段（４１１，Ｓ２２０）と、前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するエリア利用者電子署名取得手段（５１１，５１２）とを備え、前記認証手段は、前記エリア利用者電子署名取得手段によって取得された電子署名と、この電子署名に対応する、前記証明書正当性判定手段によって正当と判定された公開鍵証明書とに基づいて、前記利用者の認証を行うこと、を特徴とする管理システム（１、１−２）である。

請求項３の発明は、請求項２に記載の管理システムにおいて、前記エリア利用者電子署名取得手段は、前記所定のエリアにおいて、所定の情報処理システムにログオンする利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するシステムログオン者電子署名取得手段（５１１，５１２）を有すること、を特徴とする管理システム（１、１−２）である。

請求項４の発明は、請求項２又は請求項３に記載の管理システムにおいて、前記エリア利用者電子署名取得手段は、前記第１の携帯型情報記憶媒体から秘密鍵を読み出す秘密鍵読み出し手段（５１１）と、前記秘密鍵読み出し手段によって読み出された秘密鍵を用いて電子署名を生成する電子署名生成手段（５１２）とを有すること、を特徴とする管理システム（１、１−２）である。

請求項５の発明は、請求項１から請求項４までのいずれか１項に記載の管理システムにおいて、前記認証手段は、前記所定のエリアから退場する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出し手段によって読み出された公開鍵とに基づいて、前記利用者を認証すること、を特徴とする管理システム（１、１−２）である。

請求項６の発明は、請求項１から請求項５までのいずれか１項に記載の管理システムにおいて、前記第１及び／又は第２の携帯型情報記憶媒体は、正当所有者を視認するための正当所有者視認情報を表示する正当所有者視認情報表示手段（１１，２１）を備えること、を特徴とする管理システム（１）である。

請求項７の発明は、請求項１から請求項６までのいずれか１項に記載の管理システムにおいて、前記第２の携帯型情報記憶媒体に、記憶している公開鍵に対応する秘密鍵を書き込む書き込み手段（３０−２）を備え、前記第１の携帯型情報記憶媒体は、前記書き込み手段によって書き込みが行われることによって前記第２の携帯型情報記憶媒体から生成されること、を特徴とする管理システム（１−２）である。

請求項８の発明は、所定のエリア内において利用者に携帯され、秘密鍵を記憶する第１の携帯型情報記憶媒体（１０、１０−２）と、前記所定のエリア外において前記利用者に携帯され、前記秘密鍵に対応する公開鍵を記憶する第２の携帯型情報記憶媒体（２０、２０−２）とを用いて、所定のエリアに設置されている設備を利用する利用者を管理する管理方法であって、前記所定のエリアに入場する利用者の前記第２の携帯型情報記憶媒体から公開鍵を読み出す公開鍵読み出しステップ（Ｓ１２０）と、前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出しステップにおいて読み出した公開鍵とに基づいて、前記利用者を認証する認証ステップ（Ｓ４２０、Ｓ６３０）とを備えること、を特徴とする管理方法である。

請求項９の発明は、請求項８に記載の管理方法において、前記第２の携帯型情報記憶媒体は、公開鍵証明書を記憶し、前記公開鍵読み出しステップは、前記第２の携帯型情報記憶媒体から公開鍵証明書を読み出し、前記公開鍵読み出しステップにおいて読み出した公開鍵証明書の正当性を判定する証明書正当性判定ステップ（Ｓ２２０）と、前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するエリア利用者電子署名取得ステップ（Ｓ３２０，Ｓ３３０）とを備え、前記認証ステップは、前記エリア利用者電子署名取得ステップにおいて取得した電子署名と、この電子署名に対応する、前記証明書正当性判定ステップにおいて正当と判定した公開鍵証明書とに基づいて、前記利用者の認証を行うこと、を特徴とする管理方法である。

請求項１０の発明は、請求項８又は請求項９に記載の管理方法において、前記所定のエリアに入場する利用者が携帯する前記第２の携帯型情報記憶媒体に、記憶している公開鍵に対応する秘密鍵を書き込み、前記第１の携帯型情報記憶媒体を生成する第１の携帯型情報記憶媒体生成ステップを備えること、を特徴とする管理方法である。

本発明による管理システム及び管理方法によれば、以下の効果を得ることが可能となる。
（１）所定のエリア内、エリア外において利用者が携帯する第１、第２の携帯型情報記憶媒体にそれぞれ、秘密鍵、公開鍵を分けて記憶することによって、エリア外における紛失、盗難などによる利用者の秘密鍵の漏洩、悪用を防止する。また、携帯型情報記憶媒体に必要な記憶容量を抑制し、第１及び第２の携帯型情報記憶媒体の製造コストを低減する。特に、第２の携帯型情報記憶媒体に秘匿性の低い公開鍵を記憶させ、第２の携帯型情報記憶媒体の製造コストを低減する。
（２）所定のエリアにおいて、所定の情報処理システムにログオンする利用者を認証することによって、情報処理システムにログオンする者を制限し、セキュリティを向上する。
（３）第１の携帯型情報記憶媒体から秘密鍵を読み出し、電子署名を生成することによって、第１の携帯型情報記憶媒体が公開鍵暗号の演算装置など、高価な装置を備える必要がなくなり、第１の携帯型情報記憶媒体の製造コストを低減する。
（４）退場する利用者を認証することによってセキュリティを向上する。
（５）第１及び／又は第２の携帯型情報記憶媒体が正当所有者視認情報を表示することによって、正当所有者を視認することができ、セキュリティを向上する。
（６）第２の携帯型情報記憶媒体に秘密鍵を書き込み、第１の携帯型情報記憶媒体を生成し、物理的に同一のカードを利用することによって、携帯型情報記憶媒体の管理を容易化するとともに、製造コストを低減する。

本発明は、携帯型情報記憶媒体の製造コストの低減及びセキュリティの向上を図るという目的を、携帯型情報記憶媒体を用いて所定のエリアに設置されている設備を利用する利用者を管理する管理システムであって、所定のエリア内において利用者に携帯され、秘密鍵を記憶する第１の携帯型情報記憶媒体と、所定のエリア外において利用者に携帯され、秘密鍵に対応する公開鍵を記憶する第２の携帯型情報記憶媒体と、所定のエリアに入場する利用者の第２の携帯型情報記憶媒体から公開鍵を読み出す公開鍵読み出し装置と、所定のエリアにおいて設備利用を要求する利用者の第１の携帯型情報記憶媒体が記憶している秘密鍵と、公開鍵読み出し装置によって読み出された公開鍵とに基づいて、この利用者を認証する認証装置とを備えることによって実現する。

以下、図面などを参照して、本発明の実施例をあげて、さらに詳しく説明する。
図１は、本発明による管理システムの実施例１における構成を示すブロック図である。
図１に示すように、管理システム１は、所定のエリアである会社に設置されている設備を利用する利用者である社員を管理するシステムである。また、管理システム１は、アクセスカード１０、通行証カード２０、入退室ゲート端末３０、勤怠サーバ４０、ＰＣ５０、アクセスサーバ６０などを備えている。入退室ゲート端末３０及び勤怠サーバ４０間、ＰＣ５０及びアクセスサーバ６０間、勤怠サーバ４０及びアクセスサーバ６０間は、電話回線、光ケーブルその他の有線、又は赤外線その他の無線の通信回線（図示しない。）を介して接続され、通信を行うことが可能である。

図２は、アクセスカード１０及び通行証カード２０を説明するための説明図である。
図１及び図２に示すように、アクセスカード１０及び通行証カード２０は、セットで社員に付与され、各社員が携帯する社員証であって、社員は、社内では、アクセスカード１０を携帯し、社外では、通行証カード２０を携帯する。カードの切り替えは、入退室ゲートにて行われる。アクセスカード１０及び通行証カード２０は、携帯型情報記憶媒体であって、カード識別情報を記憶し、アクセスカード１０は、社員の秘密鍵ＳＫｉｃ、通行証カード２０は、この秘密鍵ＳＫｉｃに対応する公開鍵ＰＫｉｃなどを含む公開鍵証明書ＰＫＣを記憶している。

従って、アクセスカード１０には、ＩＣカード、ＳＩＭ、ＵＩＭ、ＩＣタグなど、ＩＣと、外部装置及びＩＣ間の通信を媒介する通信部及びインターフェイスなどとを備え、このＩＣの内部のデータにアクセスするために、このＩＣによって外部装置が認証されることが前提となるなど、所定の外部装置のＣＰＵによるコマンド（処理要求）の送信などの所定の処理が必要な、耐タンパ性の高い携帯型情報記憶媒体を用いることが望ましい。耐タンパ性とは、内部情報の改竄、無許可な変更、外部への漏洩など、外部から内部情報への攻撃に対する耐性である。一方、通行証カード２０は、アクセスカード１０と同一種の携帯型情報記憶媒体である必要はなく、秘匿性の低い公開鍵証明書ＰＫＣを記憶しているため、耐タンパ性の低い携帯型情報記憶媒体であってもよい。また、カード識別情報とは、少なくとも同一種のカードから一のカードを識別する情報であって、このカード識別情報によって、対応するアクセスカード１０及び通行証カード２０が関連づけられる。
また、アクセスカード１０及び通行証カード２０の表面には、正当所有者を視認するための正当所有者視認情報である正当所有者の社員の顔写真１１、２１が印刷されている。

図２に示すように、公開鍵暗号の鍵ペアＳＫｉｃ、ＰＫｉｃを生成し、この公開鍵ＰＫｉｃ及び所有者の識別情報などを含むデータを認証局の秘密鍵（証明書の生成鍵）ＳＫａｄで暗号化し、電子署名をつけ、公開鍵ＰＫｉｃについての公開鍵証明書ＰＫＣを発行する。生成された秘密鍵ＳＫｉｃをアクセスカード１０、発行された公開鍵証明書ＰＫＣを通行証カード２０にそれぞれ格納し、アクセスカード１０及び通行証カード２０は、発行される。発行されたペアのアクセスカード１０及び通行証カード２０は、同一の社員の社員証として使用される。また、生成された秘密鍵ＳＫｉｃ、アクセスカード１０のカード識別情報、発行された公開鍵証明書ＰＫＣ、通行証カード２０のカード識別情報は、関連づけられて勤怠サーバ４０の証明書ＤＢ４２１に格納される。

図３は、入退室ゲート端末３０、勤怠サーバ４０の構成を示すブロック図である。
図３（ａ）に示すように、入退室ゲート端末３０は、会社の入退室ゲートに設けられ、会社へ入る入場者を制限し、管理するとともに、アクセスカード１０及び通行証カード２０の使用範囲（携帯範囲）を管理する情報処理装置である。入室する者は、通行証カード２０を入退室ゲート端末３０へ挿入し、代わりに対応するアクセスカード１０を受け取り、退室する者は、アクセスカード１０を入退室ゲート端末３０へ挿入し、対応する通行証カード２０を受け取る。
入退室ゲート端末３０は、制御部３１、記憶部３２、通信部３３、Ｒ／Ｗ３４、入力部３５、搬送部３６、カード保管部３７などを備え、入退室ゲート端末３０の情報処理を統括制御する制御部３１にバスなどを介して各部３１，３２，３３，３４，３５，３６が接続されている。通信部３３は、通信回線に接続され、通信回線を介した勤怠サーバ４０などとの通信を実現する。

Ｒ／Ｗ３４は、アクセスカード１０用のリーダライタ、通行証カード２０用のリーダライタを備え、入退室ゲート端末３０に挿入されたアクセスカード１０、通行証カード２０と接続され、挿入されたカードとの通信を実現する。アクセスカード１０及び通行証カード２０の規格が同一など、カード種が同一である場合には、同一のリーダライタで兼用してもよい。
入力部３５は、キーボードなどの操作者の操作に応じて、指示や情報を入力する入力装置である。入力部３５は、入退室ゲートの管理者が入室者又は退室者を通行証カード２０又はアクセスカード１０の顔写真１１で不正所有者と判断した場合に、不正所有者判断情報を入力する。
搬送部３６は、アクセスカード１０、通行証カード２０の入退室ゲート端末３０内での搬送を制御部２１の指示に従って行う。搬送部３６は、カード挿入口、排出口と、Ｒ／Ｗ３４と通信可能な所定の位置との間、Ｒ／Ｗ３４と通信可能な所定の位置と、カード保管部３７の所定の位置との間において、アクセスカード１０、通行証カード２０の搬送を行う。

カード保管部３７は、搬送部３６によってそれぞれ所定の位置に搬送されるアクセスカード１０、通行証カード２０を保管する。保管されている各カードがいずれの位置に保管されているかを示す保管情報は、記憶部３２に記憶される。
制御部３１は、ＣＰＵを備え、ＣＰＵが記憶部１２に記憶されているプログラムを実行することによって、カード情報読み出し部３１１、電子署名生成部３１２などを実現する。各部の詳細については、図５及び図６を用いて後述する。
記憶部３２は、ＣＰＵの処理のワークエリアとして使用されるＲＡＭ、プログラム及びプログラムの処理に必要なデータを記憶するＲＯＭ、ハードディスクなどを備える記憶装置である。記憶部３２は、各アクセスカード１０、各通行証カード２０がカード保管部３７のいずれの位置に保管されているかを示す保管情報などを記憶している。

図３（ｂ）に示すように、勤怠サーバ４０は、社員の入退室を管理するサーバコンピュータであって、制御部４１と、制御部４１にバスなどを介して接続されている記憶部４２、通信部４３などを備えている。
通信部４３は、通信回線に接続され、通信回線を介した入退室ゲート端末３０、アクセスサーバ６０などとの通信を実現する。制御部４１は、ＣＰＵを備え、ＣＰＵが記憶部４２にＳ記憶されているプログラムを実行することによって、検証部４１１などを実現し、記憶部４２の証明書ＤＢ４２１及び勤怠ＤＢ４２２についての情報の書き込み、読み出し、検索など、証明書ＤＢ４２１、勤怠ＤＢ４２２の管理を行う。検証部４１１については、図５及び図６を用いて後述する。

記憶部４２は、ＲＡＭ、ＲＯＭ、ハードディスクなどを備える記憶装置であって、証明書ＤＢ４２１、勤怠ＤＢ４２２を備えている。証明書ＤＢ４２１は、発行したアクセスカード１０及び通行証カード２０について、アクセスカード１０のカード識別情報と、このアクセスカード１０が記憶している秘密鍵ＳＫｉｃ、このアクセスカード１０に対応する通行証カード２０のカード識別情報及び通行証カード２０に記憶されている公開鍵証明書ＰＫＣなどを関連づけて記憶している。証明書ＤＢ４２１は、発行済みのアクセスカード１０及び通行証カード２０を管理するデータベースである（図２参照。）。勤怠ＤＢ４２２は、社員の識別情報、この社員のアクセスカード１０及び通行証カード２０の識別情報、入室時刻、退室時刻などを関連づけて記憶し、社員の勤怠を管理するデータベースである。
また、記憶部４２は、公開鍵証明書ＰＫＣの発行において用いた認証局の秘密鍵ＳＫａｄに対応する公開鍵ＰＫａｄを記憶している。

図４は、ＰＣ５０及びアクセスサーバ６０の構成を示すブロック図である。
図４（ａ）に示すように、ＰＣ５０は、制御部５１と、制御部５１にバスなどを介して接続されている記憶部５２、通信部５３、Ｒ／Ｗ５４、キーボード、マウスなどの入力部５５、ディスプレイなどの表示部５６などを備えている。
通信部５３は、通信回線に接続され、通信回線を介したアクセスサーバ６０などとの通信を実現する。Ｒ／Ｗ５４は、挿入されたアクセスカード１０と接続され、アクセスカード１０との通信を実現するリーダライタである。
制御部５１は、ＣＰＵを備え、ＣＰＵが記憶部５２に記憶されているプログラムを実行することによって、秘密鍵読み出し部５１１、電子署名生成部５１２などを実現する。秘密鍵読み出し部５１１は、Ｒ／Ｗ５４に接続されているアクセスカード１０から秘密鍵ＳＫｉｃを読み出す。電子署名生成部５１２は、この読み出した秘密鍵を用いて電子署名を生成する。
記憶部５２は、ＲＡＭ、ＲＯＭ、ハードディスクなどを備える記憶装置である。

図４（ｂ）に示すように、アクセスサーバ６０は、社内システムなどの所定の情報処理システムへのＰＣ６０によるログオン（アクセス）を制限するサーバコンピュータであって、制御部６１と、制御部６１にバスなどを介して接続されている記憶部６２、通信部６３などを備えている。
通信部６３は、通信回線に接続され、通信回線を介した勤怠サーバ４０、ＰＣ５０などとの通信を実現する。制御部６１は、ＣＰＵを備え、ＣＰＵが記憶部６２に記憶されているプログラムを実行することによって、電子署名検証部６１１などを実現する。電子署名検証部６１１については、図７を用いて後述する。記憶部６２は、ＲＡＭ、ＲＯＭ、ハードディスクなどを備える記憶装置であって、システム管理ＤＢ６２１を備えている。システム管理ＤＢ６２１は、社内システムにアクセス可能な社員のログオン名、ログオン時刻、ログオフ時刻などを関連づけて記憶し、社内システムへのアクセスを管理するデータベースである。

図５は、本発明による管理システムの動作及び管理方法を示すフローチャートであって、社員が入室する場合に、入退場ゲート端末３０、勤怠サーバ４０が行う処理を示している。以下、入退場ゲート端末３０の制御部３１、勤怠サーバ４０の制御部４１が行う処理を中心に説明する。
図５に示すように、ステップ１１０において、入退室ゲート端末３０は、入室する社員が通行証カード２０を挿入したことを検出し、処理を開始する。入退室ゲート端末３０のカード情報読み出し部３１１は、通行証カード２０から公開鍵証明書ＰＫＣ及びカード識別情報を読み出し（Ｓ１２０）、入退室ゲート端末３０は、これらを勤怠サーバ４０に送信し、通行証カード２０の正当性、通行証カード２０の所有者についての入室権限について問い合わせを行う（Ｓ１３０）。勤怠サーバ４０は、この問い合わせを受け（Ｓ２１０）、検証部４１１は、公開鍵ＰＫｉｃ及び公開鍵ＰＫｉｃの所有者の識別情報を含む公開鍵証明書ＰＫＣを認証局の公開鍵ＰＫａｄを用いて復号し、公開鍵証明書ＰＫＣの正当性を検証する。また、勤怠ＤＢ４２２を参照し、所有者が入室する権限を有する者であるかを検証する（Ｓ２２０）。

勤怠サーバ４０は、公開鍵証明書ＰＫＣが正当なものであって、所有者が入室する権限を有する者であることを検証できた場合（所有者を認証した場合）には、入室時刻を勤怠ＤＢ４２２に登録し、検証できない場合には、その旨を示す検証結果を勤怠ＤＢ４２２に登録する（Ｓ２３０）。
勤怠サーバ４０は、検証できた場合には、その旨を示す検証結果と、Ｓ１１０で挿入された通行証カード２０に対応するアクセスカード１０のカード識別情報とを入退室ゲート端末３０に送信し、検証できない場合には、検証結果を入退室ゲート端末３０に送信し（Ｓ２４０）、処理を終了する（Ｓ２５０）。

入退室ゲート端末３０は、検証結果などを受信し（Ｓ１４０）、入室権限を有すると検証できた場合であって、入力部３５から不正所有者判断情報を入力しないときには、受信したカード識別情報が示すアクセスカード１０をカード保管部３７から外部へ排出し（Ｓ１５０，Ｓ１６０，Ｓ１７０）、処理を終了する（Ｓ１８０）。一方、入室権限を有すると検証できない場合又は不正所有者判断情報を入力した場合には、アクセスカード１０を排出せずに（入室を許可せずに）処理を終了する（Ｓ１８０）。
社員は、通行証カード２０に代えて排出されたアクセスカード１０を携帯して入室する。なお、入退室ゲート端末３０は、検証結果に応じてゲートの開閉を行うなど、ゲートの開閉を制御してもよい（後述する図６において同様。）。

図６は、本発明による管理システムの動作及び管理方法を示すフローチャートであって、社員が退室する場合に、入退室ゲート端末３０、勤怠サーバ４０が行う処理を示している。以下、入退場ゲート端末３０の制御部３１、勤怠サーバ４０の制御部４１が行う処理を中心に説明する。
図６に示すように、Ｓ３１０において、入退室ゲート端末３０は、退室する社員がアクセスカード１０を挿入したことを検出し、処理を開始する。入退室ゲート端末３０は、アクセスカード１０から秘密鍵ＳＫｉｃ及びカード識別情報を読み出し（Ｓ３２０）、電子署名生成部３１２は、この秘密鍵ＳＫｉｃを用いて電子署名を生成する（Ｓ３３０）。入退室ゲート端末３０は、生成した電子署名と、カード識別情報とを勤怠サーバ４０へ送信し、アクセスカード１０の正当性、アクセスカード１０の所有者についての退室権限について問い合わせを行う（Ｓ３４０）。勤怠サーバ４０は、この問い合わせを受け（Ｓ４１０）、検証部４１１は、カード識別情報をキーに、証明書ＤＢ４２１から公開鍵ＰＫｉｃを読み出す。検証部４１１は、この公開鍵ＰＫｉｃを用いて電子署名の正当性を検証するとともに、勤怠ＤＢ４２２を参照し、所有者が退室する権限を有するものであるかを検証する（Ｓ４２０）。

勤怠サーバ４０は、電子署名が正当なものであって、所有者が退室する権限を有する者であることを検証できた場合（所有者を認証した場合）には、退室時刻を勤怠ＤＢ４２２に登録し、検証できない場合には、その旨を示す検証結果を勤怠ＤＢ４２２に登録する（Ｓ４３０）。
勤怠サーバ４０は、検証できた場合には、その旨を示す検証結果と、Ｓ３１０で挿入されたアクセスカード１０に対応する通行証カード２０のカード識別情報とを入退室ゲート端末３０に送信し、検証できない場合には、検証結果を入退室ゲート端末３０に送信し（Ｓ４４０）、処理を終了する（Ｓ４５０）。

入退室ゲート端末３０は、検証結果などを受信し（Ｓ３５０）、退室権限を有すると検証できた場合であって、入力部３５から不正所有者判断情報を入力しないときには、受信したカード識別情報が示す通行証カード２０をカード保管部３７から外部へ排出し（Ｓ３６０，Ｓ３７０，Ｓ３８０）、処理を終了する（Ｓ３９０）。一方、退室権限を有すると検証できない場合又は不正所有者判断情報を入力した場合には、通行証カード２０を排出せずに（退室を許可せずに）処理を終了する（Ｓ３９０）。社員は、アクセスカード１０に代えて排出された通行証カード２０を携帯して退室する。

図７は、本発明による管理システムの動作及び管理方法を示すフローチャートであって、社員が入室した後に、ＰＣ５０を使用して社内システムにログオンするためにＰＣ５０、アクセスサーバ６０が行う処理を示している。以下、ＰＣ５０の制御部５１、アクセスサーバ６０の制御部６１が行う処理を中心に説明する。
図７に示すように、Ｓ５１０において、入室した社員は、携帯するアクセスカード１０をＰＣ５０のＲ／Ｗ５４に挿入し、入力部５５を操作し、ＰＣ５０は、社員のログオン名（社員名などの識別情報）を含む、社内システムへのログオン要求を入力部５５から入力し、処理を開始する。ＰＣ５０は、アクセスカード１０から秘密鍵ＳＫｉｃを読み出し（Ｓ５２０）、電子署名生成部５１２は、この秘密鍵ＳＫｉｃを用いて電子署名を生成する（Ｓ５３０）。

ＰＣ５０は、電子署名及びログオン名をアクセスサーバ６０へ送信し、ログオン要求を行う（Ｓ５４０）。アクセスサーバ６０は、要求を受信し（Ｓ６１０）、勤怠サーバ４０と通信を行うことによってログオン名に対応する公開鍵ＰＫｉｃを取得する（Ｓ６２０）。アクセスサーバ６０は、取得した公開鍵ＰＫｉｃを用いて電子署名の正当性を検証するとともに、システム管理ＤＢ６２１を参照し、アクセスカード１０の所有者がログオンする権限を有するかを検証する（Ｓ６３０）。
アクセスサーバ６０は、電子署名が正当なものであって、所有者がログオンする権限を有する者であることを検証できた場合（所有者を認証した場合）には、ログオン時刻をシステム管理ＤＢ６２１に登録し（Ｓ６４０）、検証結果をＰＣ５０へ送信し（Ｓ６５０）、ＰＣ５０による社内システムへのログオンを許可する（Ｓ６６０，Ｓ６７０）。一方、検証できない場合には、アクセスサーバ６０は、その旨を示す検証結果をシステム管理ＤＢ６２１に登録し（Ｓ６４０）、ＰＣ５０へ送信し（Ｓ６５０）、ログオンを許可せずに処理を終了する（Ｓ６８０，Ｓ６９０）。
ＰＣ５０は、検証結果を受信し（Ｓ５５０）、ログオンする権限を有すると検証された場合にのみ、社内システムにログオンすることが可能となる（Ｓ５６０，Ｓ５７０，Ｓ５８０）。

このように本実施例によれば、管理システム１は、秘密鍵ＳＫｉｃをアクセスカード１０に、公開鍵証明書ＰＫＣを通行証カード２０にそれぞれ格納するため、例えば、比較的容量の小さい安価なメモリを備えるＩＣチップをアクセスカード１０に使用することができ、通行証カード２０には、磁気カードを使用することができるなど、各カードの用途、格納する情報量、情報の秘匿性に応じて、カードを生成することができ、カードの製造コストを低減することが可能となった。
また、ＰＣ５０は、会社外部に比べて安全な会社内部において、秘密鍵ＳＫｉｃを読み出して電子署名を生成するため、アクセスカード１０に公開鍵暗号の演算装置を装備しない安価なＩＣチップを使用することができ、製造コストを低減することが可能となった。
更に、通行証カード２０を社外で携帯するため、紛失しても秘密鍵ＳＫｉｃが含まれず、不正ログインや不正アクセスなど、秘密鍵ＳＫｉｃの悪用を防止することが可能となった。

図８は、本発明による管理システムの実施例２における構成を示すブロック図である。なお、前述した実施例と同様な機能を果たす部分には、同一の符号又は末尾に統一した符号を付して、重複する説明や図面を適宜省略する。
図８に示すように、管理システム１−２は、所定のエリアである展示会場に入場し、場内に設置されているＰＣ５０などの設備を利用する入場者を管理するシステムである。また、管理システム１−２は、場内カード１０−２、場外カード２０−２、入退場ゲート端末３０−２、ＰＣ５０、入退場管理サーバ４０−２、アクセスサーバ６０などの実施例１と略同様の構成を備えている。入退場ゲート端末３０−２及び入退場管理サーバ４０−２間、ＰＣ５０及びアクセスサーバ６０間、入退場管理サーバ４０−２及びアクセスサーバ６０間は、通信回線（図示しない。）を介して接続され、通信を行うことが可能である。
管理システム１−２において、場内カード１０−２、場外カード２０−２、ＰＣ５０、入退場管理サーバ４０−２及びアクセスサーバ６０は、それぞれ、実施例１における通行証カード２０、アクセスカード１０、ＰＣ５０、勤怠サーバ４０、アクセスサーバ６０と同様の構成を備えている。

場外カード２０−２は、実施例１における通行証カード２０と同様に発行され、展示場開催者側から郵送などで、招待者である入場者に送付される。
場内カード１０−２は、場外カード２０−２に記憶されている情報が入退場ゲート端末３０−２によって書き換えられることによって、発行される。
入退場ゲート端末３０−２は、実施例１における入退室ゲート端末３０と略同様の構成を備えている。入退場ゲート端末３０−２は、記憶されている情報を書き換え、入場者によって挿入された場外カード２０−２を場内カード１０−２へ変えて排出する。また、入退場ゲート端末３０−２は、退場する者によって挿入された場内カード１０−２をカード保管部３７に保管する。

管理システム１−２は、入場者が入場する場合において、略同様の処理を行い（図５参照。）、入退室ゲート端末３０が、入場者によって挿入された場外カード２０−２に替えて場内カード１０−２を排出する（Ｓ１７０）。
また、管理システム１−２は、入場者がＰＣ５０を利用する場合において、実施例１における管理システム１と略同様の処理を行う（図７参照）。
更に、管理システム１−２は、入場者が退場する場合には、入退場ゲート端末３０−２が退場する者によって挿入された場内カード１０−２をカード保管部３７に保管し、入退場管理サーバ４０−２に退場時刻などを登録し、処理を終了する。なお、入退場ゲート端末３０−２は、退場者の検証を実施例１と同様に行ってもよい。

このように本実施例によれば、展示場の入場者の管理について、実施例１と同様の効果を得ることが可能となった。
また、管理システム１−２は、場外カード２０−２に記憶されている情報を書き換えて、場内カード１０−２とすることができ、入退場ゲートを複数設けた場合であっても、容易に入場者を管理することが可能となった。また、場内カード１０−２及び場外カード２０−２に物理的に同一のカードを用いるため、カード管理を容易化するとともに、製造コストを低減することが可能となった。

（変形例）
以上説明した実施例に限定されることなく、種々の変形や変更が可能であって、それらも本発明の均等の範囲内である。例えば、各実施例において、携帯型情報記憶媒体としてカード型のアクセスカード１０、通行証カード２０、場外カード２０−２、場内カード１０−２を示したが、携帯型情報記憶媒体の形態はこれに限定されず、ＳＩＭ、ＵＩＭ、ＩＣタグ、腕輪型、首飾り型などの他の形態の携帯型情報記憶媒体であってもよい。また、これらのカード１０，１０−２，２０，２０−２は、Ｒ／Ｗ３４，５４と接触式の通信を行うが、非接触式でもよく、通信方式は限定されない。

各実施例において、ＰＣ５０は、アクセスカード１０から秘密鍵ＳＫｉｃを読み出して、電子署名を生成するが、電子署名の生成方法は、限定されない。
また、アクセスカード１０内、場内カード１０−２内で電子署名を生成してもよい。

各実施例において、所定のエリア内に設置され、利用者が利用する設備について、ＰＣ５０を例示しているが、エリア内のゲート、遊技施設などであってもよく、ＰＣ５０に限定されない。

各実施例において、入退室ゲート端末３０、入退場ゲート端末３０−２をゲート端末として記載しているが、これらの端末は、入室ゲート端末、退室ゲート端末のように複数の端末から構成していてもよい。
同様に、管理システム１，１−２は、勤怠サーバ４０、入退場管理サーバ４０−２、アクセスサーバ６０の各情報処理装置を複数の端末で構成してもよく、どのようにこれらの情報処理装置を設けるかは限定されない。

各実施例において、勤怠サーバ４０、入退場管理サーバ４０−２は、利用者の秘密鍵ＳＫｉｃを証明書ＤＢ４２１に格納し、記憶しているが、少なくとも公開鍵証明書ＰＫＣ及び公開鍵証明書ＰＫＣを検証するための公開鍵ＰＫａｄを記憶していればよく、秘密鍵ＳＫｉｃを記憶していなくともよい。

実施例１において社員、実施例２において展示場への入退場者を管理するシステムを管理システムの例として記載したが、所定のエリアに設置されている設備を利用する利用者を管理する管理システムであれば、システムが利用される形態は、これらに限定されない。

各実施例において、管理システム１，１−２は、通行証カード２０、場外カード２０−２から読み出した公開鍵証明書ＰＫＣに基づいて、アクセスカード１０、場内カード１０−２から読み出した秘密鍵ＳＫｉｃを用いて生成した電子署名を検証している、つまり、所有者の認証を行っているが、通行証カード２０などに公開鍵ＰＫｉｃを記憶し、アクセスカード１０などから読み出した秘密鍵ＳＫｉｃを検証することによって所有者の認証を行ってもよい。

各実施例において、管理システム１，１−２は、公開鍵証明書ＰＫＣを、認証局の秘密鍵ＳＫａｄを用いて生成しているが、会社の秘密鍵、展示場開催者の秘密鍵など、会社、展示場開催者（管理システム１，１−２の管理者）が信頼を有する者の秘密鍵であれば、公開鍵証明書ＰＫＣを生成するために用いる秘密鍵は、限定されない。

実施例１において、入退室ゲート端末３０は、アクセスカード１０及び通行証カード２０の交換を行うが、入退室ゲート端末３０でカードからの情報の読み取りを行い、入退室ゲートの管理者が、カードの保管を管理し、カード交換を行ってもよい。

本発明による管理システムの構成を示すブロック図である。（実施例１） アクセスカード１０及び通行証カード２０を説明するための説明図である。（実施例１） 入退室ゲート端末３０、勤怠サーバ４０の構成を示すブロック図である。（実施例１） ＰＣ５０及びアクセスサーバ６０の構成を示すブロック図である。（実施例１） 本発明による管理システムの動作及び管理方法を示すフローチャートである。（実施例１） 本発明による管理システムの動作及び管理方法を示すフローチャートである。（実施例１） 本発明による管理システムの動作及び管理方法を示すフローチャートである。（実施例１） 本発明による管理システムの構成を示すブロック図である。（実施例２）

符号の説明

１ 管理システム
１０ アクセスカード
２０ 通行証カード
２１ 顔写真
３０ 入退室ゲート端末
３１ 制御部
４０ 勤怠サーバ
４１ 制御部
５０ ＰＣ
５１ 制御部
６０ アクセスサーバ
６１ 制御部
ＳＫｉｃ 利用者秘密鍵
ＰＫｉｃ 利用者公開鍵
ＳＫａｄ 認証局秘密鍵
ＰＫａｄ 認証局公開鍵
ＰＫＣ 公開鍵証明書

Claims (10)

1. 携帯型情報記憶媒体を用いて所定のエリアに設置されている設備を利用する利用者を管理する管理システムであって、
   前記所定のエリア内において利用者に携帯され、秘密鍵を記憶する第１の携帯型情報記憶媒体と、
   前記所定のエリア外において前記利用者に携帯され、前記秘密鍵に対応する公開鍵を記憶する第２の携帯型情報記憶媒体と、
   前記所定のエリアに入場する利用者の前記第２の携帯型情報記憶媒体から公開鍵を読み出す公開鍵読み出し手段と、
   前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出し手段によって読み出された公開鍵とに基づいて、前記利用者を認証する認証手段とを備えること、
   を特徴とする管理システム。
2. 請求項１に記載の管理システムにおいて、
   前記第２の携帯型情報記憶媒体は、公開鍵証明書を記憶し、
   前記公開鍵読み出し手段は、前記第２の携帯型情報記憶媒体から公開鍵証明書を読み出し、
   前記公開鍵読み出し手段によって読み出された公開鍵証明書の正当性を判定する証明書正当性判定手段と、
   前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するエリア利用者電子署名取得手段とを備え、
   前記認証手段は、前記エリア利用者電子署名取得手段によって取得された電子署名と、この電子署名に対応する、前記証明書正当性判定手段によって正当と判定された公開鍵証明書とに基づいて、前記利用者の認証を行うこと、
   を特徴とする管理システム。
3. 請求項２に記載の管理システムにおいて、
   前記エリア利用者電子署名取得手段は、前記所定のエリアにおいて、所定の情報処理システムにログオンする利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するシステムログオン者電子署名取得手段を有すること、
   を特徴とする管理システム。
4. 請求項２又は請求項３に記載の管理システムにおいて、
   前記エリア利用者電子署名取得手段は、前記第１の携帯型情報記憶媒体から秘密鍵を読み出す秘密鍵読み出し手段と、前記秘密鍵読み出し手段によって読み出された秘密鍵を用いて電子署名を生成する電子署名生成手段とを有すること、
   を特徴とする管理システム。
5. 請求項１から請求項４までのいずれか１項に記載の管理システムにおいて、
   前記認証手段は、前記所定のエリアから退場する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出し手段によって読み出された公開鍵とに基づいて、前記利用者を認証すること、
   を特徴とする管理システム。
6. 請求項１から請求項５までのいずれか１項に記載の管理システムにおいて、
   前記第１及び／又は第２の携帯型情報記憶媒体は、正当所有者を視認するための正当所有者視認情報を表示する正当所有者視認情報表示手段を備えること、
   を特徴とする管理システム。
7. 請求項１から請求項６までのいずれか１項に記載の管理システムにおいて、
   前記第２の携帯型情報記憶媒体に、記憶している公開鍵に対応する秘密鍵を書き込む書き込み手段を備え、
   前記第１の携帯型情報記憶媒体は、前記書き込み手段によって書き込みが行われることによって前記第２の携帯型情報記憶媒体から生成されること、
   を特徴とする管理システム。
8. 所定のエリア内において利用者に携帯され、秘密鍵を記憶する第１の携帯型情報記憶媒体と、前記所定のエリア外において前記利用者に携帯され、前記秘密鍵に対応する公開鍵を記憶する第２の携帯型情報記憶媒体とを用いて、所定のエリアに設置されている設備を利用する利用者を管理する管理方法であって、
   前記所定のエリアに入場する利用者の前記第２の携帯型情報記憶媒体から公開鍵を読み出す公開鍵読み出しステップと、
   前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵と、前記公開鍵読み出しステップにおいて読み出した公開鍵とに基づいて、前記利用者を認証する認証ステップとを備えること、
   を特徴とする管理方法。
9. 請求項８に記載の管理方法において、
   前記第２の携帯型情報記憶媒体は、公開鍵証明書を記憶し、
   前記公開鍵読み出しステップは、前記第２の携帯型情報記憶媒体から公開鍵証明書を読み出し、
   前記公開鍵読み出しステップにおいて読み出した公開鍵証明書の正当性を判定する証明書正当性判定ステップと、
   前記所定のエリアにおいて、設備利用を要求する利用者の前記第１の携帯型情報記憶媒体が記憶している秘密鍵による電子署名を取得するエリア利用者電子署名取得ステップとを備え、
   前記認証ステップは、前記エリア利用者電子署名取得ステップにおいて取得した電子署名と、この電子署名に対応する、前記証明書正当性判定ステップにおいて正当と判定した公開鍵証明書とに基づいて、前記利用者の認証を行うこと、
   を特徴とする管理方法。
10. 請求項８又は請求項９に記載の管理方法において、
    前記所定のエリアに入場する利用者が携帯する前記第２の携帯型情報記憶媒体に、記憶している公開鍵に対応する秘密鍵を書き込み、前記第１の携帯型情報記憶媒体を生成する第１の携帯型情報記憶媒体生成ステップを備えること、
    を特徴とする管理方法。
    
    

Images