JP4752642B2 - 情報記録媒体を用いた認証に基づくセキュリティシステム - Google Patents

Description

本発明は、情報記録媒体を用いた認証に基づくセキュリティシステムに関し、特に、複数の電子機器について、それぞれ利用時に情報記録媒体内に格納された認証用情報を用いた認証を行うシステムに関する。

オフィスや家庭に様々な電子機器が普及した今日では、特定の権限を有する者のみが特定の電子機器を利用できるようにするシステムを設け、十分なセキュリティを確保することが重要である。このようなセキュリティシステムとして、ＩＣカードなどの情報記録媒体を用いた認証を行うシステムが普及している。たとえば、企業用のセキュリティシステムとして、個々の社員にＩＣカードからなる社員証を発行しておき、パソコンやプリンタなどの電子機器を利用する際に、この社員証を用いた認証を要求するシステムは既に実用化されている。具体的には、たとえば社員証として機能する個々のＩＣカード内に所定の認証用情報を格納しておき、パソコンやプリンタなどの電子機器に認証機能をもたせ、正しい認証用情報を格納したＩＣカードの提示があった場合にのみ、当該電子機器の利用が許可されるようなシステムが構築されている。

また、最近は、電子錠を備えた扉やゲートも普及してきており、社員証として機能するＩＣカードを利用して、電子錠の開閉を行うシステムも利用されている。このシステムでは、社員証が電子鍵としての働きを行い、扉やゲートに設けられた電子錠に社員証を挿入したり（接触型ＩＣカードの場合）、近接させたり（非接触型ＩＣカードの場合）することにより、電子錠を解錠して通行することが可能になる。たとえば、下記の特許文献１には、社員証などのＩＣカードを利用した通行管理装置が開示されている。
特開２００５−１０００３３号公報

上述したように、ＩＣカードなどの情報記録媒体を用いた認証に基づくセキュリティシステムは、今後も益々普及してゆくものと期待されている。しかしながら、従来提案されているシステムには、個々のメンバーに配布した情報記録媒体による電子機器の利用権限の失効処理を確実に行うことができない、という問題がある。

たとえば、ある企業が、個々の従業員にＩＣカードを発行し、これを当人に配布し、このＩＣカードを用いた認証を行うことにより、特定のパソコンへのログオンや特定の扉に取り付けられた電子錠の解錠などが可能になるシステムを導入したとしよう。この場合、ある従業員が退職する際に、当該従業員に配布したＩＣカードを確実に回収することができれば、セキュリティ上の大きな問題は生じない。しかし現実的には、雇用形態の多様化に伴い、退職日にＩＣカードを確実に回収することができないケースも少なくない。特に、パートやアルバイト従業員、外注先関連企業の従業員などの場合、定時出勤を行うわけではなく、権限を失効させるべき時点で、配布したＩＣカードを直ちに回収することは困難である。

このような問題に対処するために利用権限を管理する第１のアプローチとして、ＩＣカード発行時に、予め有効期限を書き込んでおく方法がある。個々のＩＣカードにそれぞれの有効期限が予め書き込まれていれば、電子機器を利用する際の認証時に、有効期限切れを確認することができるので、有効期限満了時に自動的に利用権限を失効させることができる。しかしながら、クレジットカードなどの場合であれば、発行時に予め有効期限を書き込んでおくことが可能であるが、パートやアルバイト従業員、外注先関連企業の従業員などに発行するＩＣカードの場合、不定期な退職時を予め設定しておくことは困難である。

利用権限を管理する第２のアプローチは、データサーバなどに用意されている従業員データベースに、各従業員に配布したＩＣカードの有効性を示す情報を記録しておき、電子機器を利用する際の認証時に、毎回、当該従業員データベースを参照して有効性を確認する方法がある。しかしながら、この方法は、電子機器を利用する際の認証時に、リアルタイムで従業員データベースにアクセスできる環境が備わっていることを前提としているため、そのような環境が整っていないシステムに適用することはできない。たとえば、従業員用ロッカーの扉に取り付けられた電子錠などの多くは、いわゆるスタンドアロン型の電子機器であり、データサーバなどには接続されていない。このようなスタンドアロン型の電子機器では、従業員データベースを参照して有効性を確認することはできない。

このように、第１のアプローチをとった場合も、第２のアプローチをとった場合も、利用権限の失効処理を確実に行うことはできない。たとえば、アルバイト従業員から上司に対して、「今月末をもって退職したい」旨の電話連絡が入ったような場合を考えてみる。この場合、当該上司が、自己のパソコンなどから従業員データベースにアクセスして、当該従業員のＩＣカードが月末で失効する旨の登録を即座に行ったとしても、退職したアルバイト社員は、配布されたＩＣカードを返却しない限り、依然として従業員用ロッカーを利用し続けることができる。

そこで本発明は、認証機能をもった情報記録媒体に対する失効処理の確実性を向上させることができるセキュリティシステムを提供することを目的とする。

(1) 本発明の第１の態様は、複数の電子機器について、それぞれ利用時に情報記録媒体を用いた認証を行うためのセキュリティシステムにおいて、
個々のメンバーに関する個人情報と、これら個々のメンバーに付与したＩＤコードと、を格納したサーバコンピュータからなるメンバー情報格納部と、
このサーバコンピュータにアクセス可能なコンピュータからなり、特定のＩＤコードを特定時点で失効させることを示す失効情報を入力し、これをメンバー情報格納部に登録する失効情報登録部と、
特定のメンバーに付与されたＩＤコードが記録されたＩＤコード記録部と、失効情報を記録するための失効情報記録部と、外部と交信するための交信部と、を有し、認証用情報が格納されている複数の情報記録媒体と、
情報記録媒体に格納されている認証用情報に基づく認証を行うことにより、特定の電子機器に対して利用許可信号を与える複数の認証装置と、
を設け、複数の認証装置のうちの一部は、上記サーバコンピュータとオンライン接続する機能をもったオンライン認証装置を構成し、他の一部は、上記サーバコンピュータとオンライン接続する機能をもたないオフライン認証装置を構成するようにし、
オンライン認証装置は、
所定の交信範囲内に位置する情報記録媒体と交信することにより、情報記録媒体に対する情報の読み書きを行う交信部と、
情報記録媒体内の認証用情報に基づく認証を行う認証部と、
メンバー情報格納部内の情報を照会し、交信中の情報記録媒体から読み出したＩＤコードについて失効情報が登録されていた場合には、当該失効情報を交信中の情報記録媒体内の失効情報記録部に書き込む失効情報書込部と、
情報記録媒体内の失効情報記録部から失効情報を読み出し、失効状態か否かを判定する失効判定部と、
認証部が正しい認証を行い、かつ、失効判定部が失効状態でない旨の判定を行っている場合に、特定の電子機器に対して利用許可信号を与える利用許可部と、
を有し、
オフライン認証装置は、
所定の交信範囲内に位置する情報記録媒体と交信することにより、情報記録媒体に対する情報の読み書きを行う交信部と、
情報記録媒体内の認証用情報に基づく認証を行う認証部と、
情報記録媒体内の失効情報記録部から失効情報を読み出し、失効状態か否かを判定する失効判定部と、
認証部が正しい認証を行い、かつ、失効判定部が失効状態でない旨の判定を行っている場合に、特定の電子機器に対して利用許可信号を与える利用許可部と、
を有し、
各情報記録媒体は、内蔵する不揮発性メモリの一領域に無効化フラグが設定されており、この無効化フラグがオン状態に書き換えられた後は、一切の機能が利用できなくなるように構成され、
オンライン認証装置の失効判定部およびオフライン認証装置の失効判定部は、交信中の情報記録媒体について失効状態である旨の判定を行った場合に、当該交信中の情報記録媒体の無効化フラグをオン状態に書き換える無効化処理を実行するようにしたものである。

(2) 本発明の第２の態様は、上述の第１の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
オンライン認証装置の認証部が、オンライン接続された外部装置へ問い合わせを行うことにより認証を行い、
オフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うようにしたものである。

(3) 本発明の第３の態様は、上述の第１の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
一部のオンライン認証装置の認証部が、オンライン接続された外部装置へ問い合わせを行うことにより認証を行い、
残りのオンライン認証装置およびオフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うようにしたものである。

(4) 本発明の第４の態様は、上述の第１の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
オンライン認証装置の認証部およびオフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うようにしたものである。

(5) 本発明の第５の態様は、上述の第１〜第４の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
複数のメンバー情報格納部と、これら複数のメンバー情報格納部に失効情報を入力するための複数の失効情報登録部と、を設置し、
失効情報書込部が、複数のメンバー情報格納部の少なくとも１つに対して失効情報に関する照会を行う機能を有するようにしたものである。

(6) 本発明の第６の態様は、上述の第１〜第５の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
ＩＤコード記録部内に記録されたＩＤコード自身が認証用情報としての機能を兼ねるようにしたものである。

(7) 本発明の第７の態様は、上述の第２または第３の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
ＩＤコード記録部内に記録されたＩＤコード自身が認証用情報としての機能を兼ね、
認証部が、メンバー情報格納部を構成するサーバコンピュータにオンライン接続し、メンバー情報格納部へ問い合わせを行うことにより認証を行うようにしたものである。

(8) 本発明の第８の態様は、上述の第１〜第７の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
交信中の情報記録媒体から読み出したＩＤコードについて、メンバー情報格納部内に既に失効時点が経過した失効情報が登録されていた場合には、失効判定部が、当該交信中の情報記録媒体から失効情報を読み出すことなしに、失効状態である旨の判定を行うようにしたものである。

(9) 本発明の第９の態様は、上述の第１〜第８の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
情報記録媒体が、所定の通信経路を介した通信機能をもつ装置に装着するためのインターフェイス部を有し、当該通信機能を利用して外部から送信されてきた無効化指示に基づいて、自分自身の無効化フラグをオン状態に書き換える無効化処理を実行する機能をもち、
メンバー情報格納部が、失効情報の登録が行われたＩＤコードが格納されている情報記録媒体に対して、失効時点経過後に所定の通信経路を介して無効化指示を送信するようにしたものである。

(10) 本発明の第１０の態様は、上述の第１〜第９の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
失効判定部が、交信中の情報記録媒体について失効状態である旨の判定を行った場合に、表示もしくは音声による警報を発するようにしたものである。

(11) 本発明の第１１の態様は、上述の第１〜第１０の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
認証装置が利用許可信号を与える電子機器として、コンピュータ、プリンタ、複写機、その他の事務用什器・備品、もしくは電子錠を用いるようにしたものである。

(12) 本発明の第１２の態様は、上述の第１〜第１１の態様に係る情報記録媒体を用いた認証に基づくセキュリティシステムにおいて、
失効情報として、ＩＤコードが有効な最終日の日付もしくはＩＤコードが失効する初日の日付を用いるようにしたものである。

本発明に係るセキュリティシステムでは、失効情報が登録されたメンバーが特定の電子機器を利用するための認証を試みた場合、当該特定の電子機器により情報記録媒体に対する失効情報の書き込みが行われる。したがって、失効時点が経過した後は、どの電子機器についても（外部に対する失効情報の照会機能をもたない電子機器や、タイムラグによって失効情報の取得に遅延が生じる電子機器についても）、当該情報記録媒体を利用することができなくなる。よって、認証機能をもった情報記録媒体に対する失効処理の確実性を向上させることができる。

以下、本発明を図示する実施形態に基づいて説明する。

＜＜＜ §１．基本的実施形態 ＞＞＞
図１は、本発明の基本的実施形態に係るセキュリティシステムの構成を示すブロック図である。図示のとおり、このセキュリティシステムは、情報記録媒体１０，メンバー情報格納部１００，失効情報登録部１１０，認証装置２１０という各構成要素からなり、電子機器３１０の利用時に、情報記録媒体１０を用いた認証を行う機能を有している。なお、図１には、各構成要素がそれぞれ１つずつしか示されていないが、本発明では、図示の構成要素のうち、少なくとも情報記録媒体，認証装置，電子機器はいずれも複数台設置されることが前提となる。後述する図２以降に示す実施形態では、複数の認証装置を２１０，２２０，２３０，....のように２００番台の符号で示し、複数の電子機器を３１０，３２０，３３０，....のように３００番台の符号で示してある。

情報記録媒体１０は、後述する種々の情報を格納することが可能であり、外部と交信する機能をもち、かつ、携帯可能な媒体であれば、どのような記録媒体で構成してもかまわない。ただ、実用上は、ＩＣカードを用いるのが好ましい。この情報記録媒体１０は、認証装置２１０における認証に利用される認証用情報を格納する機能を有しているが、ＩＣカードにより情報記録媒体１０を構成しておけば、認証用情報を十分なセキュリティをもって格納することが可能になる。現在、ＩＣカードを用いた社員証や各種カードが普及しつつあるので、このような既存のＩＣカードをそのまま情報記録媒体１０として流用すれば、本発明を導入する際に、専用の情報記録媒体１０を用意する必要はない。

ここでは、説明の便宜上、ある企業の従業員（パートやアルバイト従業員なども含む）に社員証として配布されたＩＣカードによって、情報記録媒体１０を構成した例を説明する。したがって、図示の情報記録媒体１０は、個々の従業員ごとに、それぞれ１枚ずつ発行されていることになる。なお、ＩＣカードは、接触式（リーダライタ装置と電気的接触を行うことにより交信するタイプ）のものでも、非接触式（リーダライタ装置と非接触の状態で無線交信するタイプ）のものでもかまわない。

一方、電子機器３１０は、コンピュータ、プリンタ、複写機、その他の事務用什器・備品（たとえば、プリンタ、ファクシミリ、複写機など複数の機能を備えた複合機、電子式のロッカーやキャビネットなどのオフィス機器）、電子錠など、電子的動作が可能な機器であれば任意の装置でかまわないが、認証装置２１０から利用許可信号が与えられた場合にのみ、利用が可能になるような仕組が備わっている必要がある。

後述するように、情報記録媒体１０内には、認証装置２１０による認証に必要な認証用情報（図示の例の場合、ＩＤコード「ＣＣ１００２」）が格納されている。認証装置２１０は、情報記録媒体１０内に格納されている認証用情報に基づく認証を行い、正しい認証結果が得られた場合にのみ、電子機器３１０に対して利用許可信号を与える。すなわち、認証装置２１０は、交信中の情報記録媒体１０内に、正しい認証用情報が格納されていることが確認できた場合に、当該情報記録媒体１０を正しい媒体と認証し、電子機器３１０に対して利用許可信号を与える処理を行う。

なお、ここでは、説明の便宜上、電子機器３１０と認証装置２１０とを別の構成要素として示しているが、実際には、認証装置２１０は、電子機器３１０の一部に組み込まれ、両者が一体となって１つの装置が構成されるケースが一般的である。たとえば、電子機器３１０がパソコンによって構成されている場合、このパソコンに所定のプログラムや周辺機器を組み込むことにより、認証装置２１０をこのパソコンの一部によって実現することが可能である。

具体的には、汎用のパソコンに、情報記録媒体１０（ＩＣカード）と交信するためのリーダライタ装置と、専用のプログラムを組み込めば、そのようなパソコンは、電子機器３１０と認証装置２１０との双方の構成要素として機能することになる。従業員が、このパソコン（電子機器３１０としてのパソコン）を利用する際には、社員証として配布されている情報記録媒体１０をパソコンに接続されたリーダライタ装置に挿入してログオン作業を行えばよい。このログオン作業の過程において、情報記録媒体１０を用いた認証が行われ、電子機器３１０としてのパソコンの本来の利用が可能になる。この場合、認証装置２１０としての役割を果たすパソコンの機能部分から、電子機器３１０としての役割を果たすパソコンの機能部分に対して、内部的に利用許可信号（ログオン成功を示す信号）が送られることになる。

また、電子機器３１０が電子錠であった場合には、通常、認証装置２１０もこの電子錠の一部に組み込まれた構成要素になる。情報記録媒体１０は、この電子錠に対する電子鍵として機能し、内部に格納されている認証用情報（図示の例の場合、ＩＤコード「ＣＣ１００２」）は、秘密鍵コードということになる。情報記録媒体１０として、非接触型ＩＣカードを用いている場合、従業員は、電子鍵としての情報記録媒体１０を、電子錠の一部として機能する認証装置２１０にかざすことにより、両者間の交信が行われ、認証が行われ、電子錠の錠前部分として機能する電子機器３１０の利用が許可される（この場合は、解錠操作が許可される）ことになる。

このように、ここに示すセキュリティシステムは、複数の電子機器について、それぞれ利用時に情報記録媒体を用いた認証を必要とする運用を行うものであり、そのような運用により、所定の利用権限が与えられた情報記録媒体を所持している者に対してのみ、個々の電子機器の利用が許可されることになる。たとえば、図示の電子機器３１０を利用する際には、情報記録媒体１０を認証装置２１０と交信させて認証を行う必要がある。もちろん、情報記録媒体１０の所持者には、必ずしもすべての電子機器に対する利用が許可されるわけではない。個々の従業員には、予め、特定の電子機器に対する利用権限のみが与えられ、当該特定の電子機器に接続された認証装置による認証が可能な認証用情報が格納された情報記録媒体が、それぞれの従業員に配布される。

情報記録媒体１０は、図１に示すとおり、交信部１１，ＩＤコード記録部１２，失効情報記録部１３なる構成要素を有している。交信部１１は、外部の認証装置と交信するための構成要素であり、図示の例の場合、認証装置２１０内の交信部２１１と交信している状態が示されている。非接触型ＩＣカードを情報記録媒体１０として用いた場合には、両者間での無線交信が行われることになり、接触型ＩＣカードを情報記録媒体１０として用いた場合には、両者間で接触電極を介した交信が行われることになる。

ＩＤコード記録部１２は、特定のメンバーに付与されたＩＤコードを記録する機能を有する構成要素であり、失効情報記録部１３は、後述する失効情報を記録する機能を有する構成要素である。ＩＣカードを情報記録媒体１０として用いた場合であれば、このＩＣカードに内蔵されている不揮発性メモリ（ＥＥＰＲＯＭなど）の記憶領域によって、ＩＤコード記録部１２および失効情報記録部１３を構成すればよい。図示の例では、ＩＤコード記録部１２に、「ＣＣ１００２」なるＩＤコードが記録されている状態が示されている。このＩＤコード「ＣＣ１００２」は、特定のメンバー（この例では、「佐藤××」なる従業員）に付与されたユニークな識別コードであり、この情報記録媒体１０は、当該メンバー「佐藤××」に社員証として配布される。

一方、図示の例では、失効情報記録部１３には、まだ何ら情報の記録が行われていないが、後述するように、この「佐藤××」が退職することになった場合、ここに所定の失効情報（ＩＤコード「ＣＣ１００２」を特定時点で失効させることを示す情報）が書き込まれる。なお、上述したとおり、ここに示す実施形態の場合、ＩＤコード記録部１２に記録されているＩＤコード「ＣＣ１００２」は、認証装置２１０における認証処理に利用される認証用情報として機能する。

メンバー情報格納部１００は、個々のメンバーに関する個人情報と、これら個々のメンバーに付与したＩＤコードと、を対応づけて格納する構成要素である。図１に示す例では、３名の従業員について、それぞれの個人情報（この例では、氏名のみであるが、必要に応じて、所属、住所、入社年などの情報を入れてもよい）と、各人に付与されたＩＤコードとが格納された状態が示されている。このメンバー情報格納部１００に格納されているＩＤコードは、各人に配布された情報記録媒体１０内のＩＤコード記録部１２に記録されているＩＤコードと一致する。したがって、たとえば、「鈴木○○」の社員証として配布された情報記録媒体内には、「ＣＣ１００１」なるＩＤコードが記録されていることになる。

図示のとおり、このメンバー情報格納部１００には、個々のＩＤコードに対応づけて、失効情報を登録することができる。ここで、失効情報とは、特定のＩＤコードを特定時点で失効させることを示す情報であり、特定のＩＤコードの失効時点を示す情報ということができる。失効情報登録部１１０は、オペレータの指示に基づいて失効情報を入力し、これをメンバー情報格納部１００に登録する機能を果たす構成要素である。図示の例では、ＩＤコード「ＣＣ１００２」について、「２００６年３月３１日」という失効情報が登録された状態が示されているが、これは、ＩＤコード「ＣＣ１００２」が、「２００６年３月３１日」まで有効であることを示しており、当該コードは、「２００６年４月１日」から失効することになる。

もちろん、必要に応じて、「２００６年３月３１日１５時３０分」のように時分（あるいは時分秒）までも含む失効情報を登録し、より正確な失効時点を示すようにすることも可能である。ただ、実用上は、「２００６年３月３１日」のようにＩＤコードが有効な最終日の日付、もしくは「２００６年４月１日」のようにＩＤコードが失効する初日の日付を失効情報として用いれば十分であるケースが多いであろう。

なお、図１に示す例では、ＩＤコード「ＣＣ１００２」についてのみ「２００６年３月３１日」という失効情報が登録され、他のＩＤコードについては何ら失効情報の登録はなされていないが、これは現時点では、ＩＤコード「ＣＣ１００２」が付与された「佐藤××」のみが退職などの理由で、利用権限の失効時点が決定していることを示している。他のメンバーについても、退職などの事由が発生した場合には、適宜、失効情報登録部１１０からメンバー情報格納部１００に対して、所定の失効時点を示す失効情報の登録が行われる。

ここに示す実施形態では、メンバー情報格納部１００は、人事部に設置されたデータサーバ内の１つの記憶領域によって構成されており、失効情報登録部１１０は、このデータサーバにアクセス可能なパソコンによって構成されている。もちろん、このような構成の場合、複数の失効情報登録部１１０が設けられるのが一般的である。たとえば、各部門の人事担当者が使用するパソコンにより失効情報登録部１１０を構成するようにすれば、各部門の特定のメンバー（従業員）が退職する予定になった場合、当該部門の人事担当者は、自己のパソコン（失効情報登録部１１０）を用いて、人事部に設置されたデータサーバ（メンバー情報格納部１００）をアクセスし、当該特定のメンバーについてのＩＤコードを特定時点で失効させることを示す失効情報を登録することができる。

続いて、図１に示す認証装置２１０の構成を説明する。上述したとおり、この認証装置２１０は、交信中の情報記録媒体１０に格納されている認証用情報（図示の例の場合、ＩＤコード「ＣＣ１００２」）に基づく認証を行うことにより、特定の電子機器３１０に対して利用許可信号を与える機能を果たす。図示のとおり、この認証装置２１０は、交信部２１１，認証部２１２，失効判定部２１３，利用許可部２１４，失効情報書込部２１５なる各構成要素を有しており、更に、メンバー情報格納部１００に対してオンライン接続されている。なお、本願にいう「オンライン接続」とは、何らかの情報伝達経路が用意されている状態を広く意味しており、認証装置２１０とメンバー情報格納部１００とは、社内ＬＡＮのみならず、インターネットなどを利用したＩＰ接続によって接続されていてもかまわない。また、図１には、両者が１本の線で接続されたブロック図が示されているが、もちろん、両者を接続するための通信経路は、単純な１本の通信線に限定されるものではなく、様々な通信経路を経て両者を接続するものであってかまわない。

交信部２１１は、所定の交信範囲内に位置する情報記録媒体１０と交信することにより、情報記録媒体１０に対する情報の読み書きを行う構成要素であり、情報記録媒体１０としてＩＣカードを用いた場合には、このＩＣカードに対するデータの読み書きを行うリーダライタ装置によって交信部２１１を構成することができる。情報記録媒体１０として非接触型ＩＣカードを用いた場合、交信部２１１は所定の無線交信範囲内に位置するＩＣカードと交信を行うことができ、情報記録媒体１０として接触型ＩＣカードを用いた場合、交信部２１１は電極が物理的に接触しているＩＣカードと交信を行うことができる。

認証部２１２は、交信中の情報記録媒体１０内の認証用情報に基づいて、当該情報記録媒体１０の認証を行う構成要素である。図示の例の場合、交信中の情報記録媒体１０の所持者（すわなち、ＩＤコード「ＣＣ１００２」で特定されるメンバー「佐藤××」）が、電子機器３１０の利用権限を有する正規のメンバーであるか否かの認証が行われることになる。ここに示す実施形態の場合、ＩＤコード記録部１２内に格納されているＩＤコードをそのまま認証用情報として読み出し、これが正しい認証用情報であるか否かを認証部２１２で判定することになる。具体的には、図示の例の場合、ＩＤコード記録部１２内のＩＤコード「ＣＣ１００２」が、交信部１１および交信部２１１を介して認証部２１２内へと読み出され、ここで、当該ＩＤコード「ＣＣ１００２」が、電子機器３１０の利用権限が与えられた正しいＩＤコードであるか否かの認証が行われることになる。

このような認証を行うための１つの方法は、認証部２１２が、オンライン接続された外部装置へ問い合わせを行うことである。具体的には、図示の例の場合、認証部２１２が、メンバー情報格納部１００に対して問い合わせを行うことにより、情報記録媒体１０から読み出したＩＤコード「ＣＣ１００２」が、電子機器３１０の利用権限を有する正規のコードであることを確認することができる。たとえば、メンバー情報格納部１００に格納されているＩＤコードに、すべての電子機器の利用権限を与えるような単純な運用を採る場合であれば、読み出したＩＤコード「ＣＣ１００２」が、メンバー情報格納部１００に格納されているいずれかのＩＤコードに一致すれば、認証に成功することになる。もちろん、個々のＩＤコードごとに個別の利用権限を設定することも可能である。たとえば、ＩＤコード「ＣＣ１００２」について、電子機器３１０，３２０，３３０についての利用権限を設定する旨の登録を、メンバー情報格納部１００内に行っておけば、認証部２１２は、ＩＤコード「ＣＣ１００２」と電子機器３１０との組合わせに関する設定登録がなされているか否かを問い合わせることにより認証を行うことができる。

もっとも、認証部２１２による認証を行う際に、必ずしも外部装置へ問い合わせを行う必要はない。予め、認証部２１２内に、認証用情報が正しいか否かを判定する所定のアルゴリズムを用意しておけば、このアルゴリズムに基づく判定処理を実行することにより、認証部２１２単独で認証を行うことも可能である。たとえば、電子機器３１０に対する利用権限をもったＩＤコードは、先頭２文字が必ず「ＣＣ」で始まる、というような約束事を決めておいた場合、認証部２１２には、判定対象となるＩＤコードの先頭２文字を抜き出し、これが文字列「ＣＣ」に一致するか否かを判定するアルゴリズムを用意しておけばよい。情報記録媒体１０側から読み出したＩＤコード「ＣＣ１００２」に対して、この判定アルゴリズムを適用すれば、「一致」なる判定結果が得られ、認証に成功することになる。

以上、認証部２１２による認証方法の例を示したが、このような認証方法としては、既に様々な方法が知られており、本発明を実施するにあたっては、どのような認証方法を採ってもかまわない。要するに、認証部２１２が、情報記録媒体１０内に格納されている認証用情報に基づいて、当該認証用情報が特定の電子機器３１０（認証装置２１０による認証を必要とする電子機器）の利用権限を与える正規の認証用情報であることを確認することができれば、どのような認証方法を採ってもかまわない。

さて、従来の一般的な認証装置の場合、認証部２１２による認証に成功すれば、電子機器３１０に対する利用許可信号が与えられることになる。これに対して、本発明に係る認証装置２１０の場合、電子機器３１０に対して利用許可信号を与えるためには、もうひとつの条件を満たす必要がある。すなわち、失効判定部２１３により、「失効状態でない旨」の判定結果が得られる必要がある。失効判定部２１３は、情報記録媒体１０内の失効情報記録部１３から失効情報を読み出し、失効状態か否かを判定する構成要素である。図１に示す例のように、失効情報記録部１３に何ら失効情報が記録されていない場合には、失効判定部２１３は、常に「失効状態でない旨」の判定結果を与えることになる。これに対して、後述するように、失効情報記録部１３に何らかの失効情報が記録されていた場合には、失効判定部２１３は、現在の日時（必要に応じて時分秒）を参照して、この失効情報によって示されている失効時点が経過していたら「失効状態」、経過していなければ「失効状態でない旨」の判定結果を与える。

前述したとおり、失効情報とは「特定のＩＤコードを特定時点で失効させることを示す情報」であり、失効情報記録部１３に記録される失効情報は、「ＩＤコード記録部１２に記録されているＩＤコードを特定時点で失効させることを示す情報」ということになる。ここに示す実施形態では、このような失効情報として、「２００６年３月３１日」のような「当該ＩＤコードが有効な最終日の日付」を用いている。したがって、図１に示す例において、もし、失効情報記録部１３内に、「２００６年３月３１日」なる失効情報（ＩＤコード「ＣＣ１００２」の失効時点）が記録されていた場合、失効判定部２１３は、当該失効情報を読み出し、現在の日時を参照して、「２００６年３月３１日」なる失効時点が経過しているか否かを判定する処理を行うことになる。

このように、失効判定部２１３には、現在の日時を参照する機能が必要になるが、この機能は、電子機器３１０の日付機能や時計機能を利用して実現するようにしてかまわない。たとえば、パソコンなどの一般的な電子機器には、通常、日付や時刻の計時機能が備わっているので、失効判定部２１３は、電子機器３１０のこの機能を利用して、現在の日時を認識することができる。あるいは、メンバー情報格納部１００などの外部機器に日時の問い合わせを行うようにしてもかまわない。もちろん、失効判定部２１３自身に計時機能をもたせておいてもよい。

なお、図１に示す例のように、失効情報記録部１３に何ら失効情報が記録されていない場合であっても、実際には、この失効情報記録部１３を構成するメモリ領域には、何らかのデータ（たとえば、１６進数で「ＦＦ」なる数バイトからなる初期データ）が格納されていることになる。したがって、実用上は、失効判定部２１３は、この失効情報記録部１３を構成するメモリ領域のデータを読み出し、当該データが初期データであった場合には、失効情報が記録されていないと判断し、「失効状態でない旨」の判定結果を与えるようにし、初期データでなかった場合には、当該データが示す日時と、現在の日時とを比較し、失効時点が経過しているか否かの判定を行うようにすればよい。

利用許可部２１４は、認証部２１２による認証結果と失効判定部２１３による判定結果との双方を考慮して、電子機器３１０に対して、利用許可信号を与える機能を果たす構成要素である。具体的には、利用許可部２１４は、認証部２１２が正しい認証を行い、かつ、失効判定部２１３が「失効状態でない旨」の判定を行っている場合に、電子機器３１０に対して利用許可信号を与えることになる。すなわち、本発明に係る認証装置２１０では、「交信中の情報記録媒体１０について正しい認証結果が得られる」という条件だけでなく、更に、「交信中の情報記録媒体１０について失効状態でない旨の判定結果が得られる」という条件をも満たした場合のみ、利用許可信号が出力されることになる。これが本発明に係る認証装置２１０のもつ特徴の１つである。

認証装置２１０のもう１つの特徴は、失効情報書込部２１５の存在である。この失効情報書込部２１５は、メンバー情報格納部１００内の情報を照会し、現在交信中の情報記録媒体１０から読み出したＩＤコード（図示の例の場合「ＣＣ１００２」）について失効情報が登録されていた場合には、当該失効情報を交信中の情報記録媒体１０内の失効情報記録部１３に書き込む処理を行う構成要素である。図１に示す状態は、失効情報記録部１３への書込処理が行われる前の状態である。

まず、失効情報書込部２１５は、ＩＤコード記録部１２から読み出したＩＤコード「ＣＣ１００２」について、メンバー情報格納部１００への照会を行う。その結果、図示の例の場合、ＩＤコード「ＣＣ１００２」について、「２００６年３月３１日」なる失効情報が登録されていることが認識できるので、失効情報書込部２１５は、失効情報記録部１３に対して、「２００６年３月３１日」なる失効情報を書き込む処理を実行することになる。

＜＜＜ §２．本発明のメリット ＞＞＞
上述した§１では、図１を参照しながら、本発明の基本的実施形態に係るセキュリティシステムの構成を説明した。このようなシステムを用いれば、認証機能をもった情報記録媒体１０に対する失効処理の確実性を向上させることができる。以下、実例を挙げて、その理由を示そう。

たとえば、「佐藤××」が、２００６年３月３１日をもって退職することになった場合、人事担当者は、失効情報登録部１１０から、メンバー情報格納部１００に対して、「佐藤××」の利用権限の失効時点を２００６年３月３１日とする失効情報を登録する作業を行えばよい。図１のメンバー情報格納部１００には、このような登録を行った時点の状態が示されている。

続いて、たとえば、２００６年３月２０日の時点（退職前の時点）で、「佐藤××」が、電子機器３１０を利用するために、社員証として配布された情報記録媒体１０を認証装置２１０と交信させ、認証操作を行った場合を考える。この場合、認証部２１２は、ＩＤコード記録部１２に記録されているＩＤコード「ＣＣ１００２」を読み出し、正しい権限が付与されているコードであることを認証する。一方、失効判定部２１３は、失効情報記録部１３には何ら失効情報が記録されていないことを確認し、「失効状態でない」旨の判定を行う。その結果、利用許可部２１４から電子機器３１０に対して利用許可信号が与えられ、「佐藤××」は、電子機器３１０を利用することが可能になる。

また、このとき、失効情報書込部２１５が、メンバー情報格納部１００に対して、ＩＤコード「ＣＣ１００２」についての照会を行うと、「２００６年３月３１日」なる失効情報が登録されていることが認識できるので、失効情報書込部２１５は、失効情報記録部１３に対して、「２００６年３月３１日」なる失効情報を書き込む処理を実行する。なお、失効判定部２１３による判定よりも、失効情報書込部２１５による書込処理が先に行われたとしても、利用許可信号が与えられる点に変わりはない。なぜなら、失効判定部２１３が、「２００６年３月３１日」なる失効情報を読み出したとしても、現在の日時が２００６年３月２０日である限り、失効判定部２１３が「失効状態でない」旨の判定を行うことに変わりないからである。

したがって、失効情報記録部１３に対して、「２００６年３月３１日」なる失効情報が書き込まれた後も、失効時点「２００６年３月３１日」が経過するまでは、「佐藤××」は今までどおり、利用権限が付与された電子機器を自由に利用することが可能である。しかしながら、失効時点「２００６年３月３１日」が経過した後は、情報記録媒体１０をそのまま所持していたとしても、電子機器の利用はできなくなる。これは、失効判定部２１３が、「２００６年３月３１日」なる失効情報を読み出し、現在の日時と比較した結果、「失効状態」との判定を行うことになるからである。たとえ認証部２１２が正しい認証を行ったとしても、失効判定部２１３が「失効状態」との判定を行うと、利用許可部２１４から利用許可信号は出力されないことになる。

ここで重要な点は、認証装置２１０は、メンバー情報格納部１００に対する照会を行うことなしに、現在交信中の情報記録媒体１０が「失効状態」であることを認識できる点である。たしかに、認証装置２１０が常にメンバー情報格納部１００内の失効情報を参照できる環境が確保されていれば、情報記録媒体１０内に失効情報記録部１３を設けておかなくても、情報記録媒体１０が失効状態か否かの判定を行うことは可能である。しかしながら、実用上、すべての認証装置が常にメンバー情報格納部１００内の失効情報を参照できる環境にあるとは限らない。たとえば、通信回線の不調時には、認証装置２１０は、メンバー情報格納部１００へのアクセスができず、失効情報を照会することができない。あるいは、もともとメンバー情報格納部１００へのアクセス手段をもたず、いわゆるスタンドアロン型の認証装置が用いられることもある。また、メンバー情報格納部１００へのアクセスにタイムラグが生じる認証装置が用いられることもある。本発明に係るシステムでは、このような場合においても、認証装置は、情報記録媒体１０内に書き込まれた失効情報に基づいて、「失効状態」との判定を行うことが可能である。

このように、本発明に係るセキュリティシステムでは、メンバー情報格納部１００内に失効情報が登録された後に、情報記録媒体１０を、メンバー情報格納部１００へのアクセス機能をもったいずれかの認証装置に対して１回でも交信させると、情報記録媒体１０内に失効情報が書き込まれることになる。したがって、その後は、外部に対する失効情報の照会機能をもたない認証装置や、タイムラグによって失効情報の取得に遅延が生じる認証装置があったとしても、当該情報記録媒体１０についての失効情報を、当該情報記録媒体１０自身から読み出すことにより入手することが可能になる。よって、失効時点が経過した後は、どの電子機器についても利用を阻止することが可能になり、失効処理の確実性を向上させることができる。

以下、より実用的な実施形態を説明しながら、このメリットを具体的に説明しよう。図２は、本発明の実用的実施形態に係るセキュリティシステムの構成を示すブロック図である。ここで、メンバー情報格納部１００および失効情報登録部１１０は、図１に示す対応する構成要素と全く同じである。また、電子機器３１０〜３６０は、それぞれ利用時に認証を必要とする固有の電子機器であり、認証装置２１０〜２６０は、各電子機器３１０〜３６０に対して利用許可信号を与える認証装置である。なお、認証装置と電子機器とは、必ずしも１対１に対応している必要はない。たとえば、図示の例では、認証装置２４０は、電子機器３４０と電子機器３４５との双方に対して利用許可信号を与える認証装置であり、認証装置２４０に対する認証が成功すると、電子機器３４０と電子機器３４５との双方が利用可能になる。

この図２に示す実施形態の場合、認証装置は２つのグループに分けられる。第１のグループは、上段に示された認証装置２１０，２２０，２３０，２４０であり、これらの認証装置は、いずれもメンバー情報格納部１００にオンライン接続する機能（前述したとおり、何らかの通信経路を介してメンバー情報格納部１００にアクセスできる機能であればよい）を有している。ここでは、これらの認証装置を、「オンライン認証装置」と呼ぶことにする。第２のグループは、下段に示された認証装置２５０，２６０であり、これらの認証装置は、いずれもメンバー情報格納部１００にアクセスする機能を有していない。ここでは、これらの認証装置を、「オフライン認証装置」と呼ぶことにする。

このように、この図２に示すシステムの特徴は、複数の認証装置のうちの一部が、メンバー情報格納部１００とオンライン接続する機能をもったオンライン認証装置（２１０，２２０，２３０，２４０）を構成し、他の一部は、メンバー情報格納部１００とオンライン接続する機能をもたないオフライン認証装置（２５０，２６０）を構成している点である。いずれの認証装置も、情報記録媒体１０（図２では図示省略）に格納されている認証用情報に基づく認証を行うことにより、特定の電子機器に対して利用許可信号を与える機能を有する、という点では同じである。

既に述べたとおり、本発明における電子機器とは、コンピュータ、プリンタ、複写機、その他の事務用什器・備品、電子錠など、多岐にわたっており、実用上、図２に示す例のように、その一部についてはオンライン認証装置が設けられ、別な一部についてはオフライン認証装置が設けられるのが一般的である。たとえば、パソコンからなる電子機器の場合、パソコン自身がＬＡＮやインターネットへの接続環境を備えているため、そのパソコンの一部の機能として具現化される認証装置は、通常、オンライン認証装置として機能することになる。これに対して、たとえば、従業員用ロッカーの扉に取り付けられた電子錠などの多くは、いわゆるスタンドアロン型の電子機器であるため、認証装置もスタンドアロン型のオフライン認証装置となるのが一般的である。

そこで、ここでは便宜上、図２に示す電子機器３１０〜３４０はパソコン、電子機器３４５はプリンタ、電子機器３５０，３６０はロッカー用電子錠であるものとして、以下の説明を行うことにする。パソコンやプリンタの利用時の認証を行う認証装置２１０〜２４０は、メンバー情報格納部１００にオンライン接続する機能をもったオンライン認証装置であり、電子錠の利用時（解錠時）の認証を行う認証装置２５０，２６０は、メンバー情報格納部１００にオンライン接続する機能をもたないオフライン認証装置ということになる。

さて、この図２に示すようなシステムにおいて、前述したように、「佐藤××」が、２００６年３月３１日をもって退職することになった場合を考えてみよう。この場合、人事担当者が、失効情報登録部１１０から、メンバー情報格納部１００に対して、「佐藤××」の利用権限の失効時点を２００６年３月３１日とする失効情報を登録する作業を行うと、図１のメンバー情報格納部１００に示されているとおり、「２００６年３月３１日」なる失効情報が登録されることになる。

このように、失効情報が登録されたとしても、実際に、当該失効情報によって示される失効時点が経過するまでは、「佐藤××」は、利用権限が与えられている電子機器を自由に利用することが可能である。ただ、当該失効情報が登録された後、「佐藤××」がオンライン認証装置に対する認証を行ったとすると、その時点で、情報記録媒体１０内に失効情報が書き込まれることになる。たとえば、電子機器３３０を利用するために、情報記録媒体１０を認証装置２３０と交信させ、認証操作を行ったとすると、認証装置２３０は、情報記録媒体１０内に記録されているＩＤコード「ＣＣ１００２」を読み出し、認証処理を行うとともに、メンバー情報格納部１００に対する照会処理を行うことになる。その結果、登録されていた「２００６年３月３１日」なる失効情報が、失効情報記録部１３へと書き込まれる。

こうして、失効情報が情報記録媒体１０内に書き込まれた後は、いずれの認証装置においても、当該失効情報に基づく失効判定が実行されることになる。たとえば、電子機器３５０を利用するために（ロッカー用電子錠を解錠するために）、情報記録媒体１０を認証装置２５０と交信させ、認証操作（解錠操作）を行ったとすると、認証装置２５０は、情報記録媒体１０内に記録されているＩＤコード「ＣＣ１００２」を読み出し、認証処理を行うとともに、同じく情報記録媒体１０内に記録されている失効情報を読み出し、失効判定を行うことになる。そして、認証に成功し、かつ、「失効状態にない」旨の判定結果が得られた場合のみ、認証装置２５０から電子機器３５０に対して利用許可信号（解錠動作信号）が与えられることになる。

結局、いずれの電子機器についても、その利用時が失効時点より前であれば、読み出された失効情報「２００６年３月３１日」が示す日時がまだ経過していないため、「失効状態にない」旨の判定結果が得られ、利用許可信号が与えられることになるが、失効時点後であれば、読み出された失効情報「２００６年３月３１日」が示す日時が経過しているため、「失効状態」との判定結果が得られ、利用許可信号は与えられないことになる。

このように、オフライン認証装置２５０，２６０は、メンバー情報格納部１００に対する照会を行う機能を有していないが、情報記録媒体１０から読み出した失効情報に基づいて、当該情報記録媒体１０が「失効状態」であることを認識することができる。もちろん、オンライン認証装置２１０〜２４０も、メンバー情報格納部１００に対する照会を行うことなしに、情報記録媒体１０から読み出した失効情報に基づいて、当該情報記録媒体１０が「失効状態」であることを認識することができる。したがって、「佐藤××」が、退職後に情報記録媒体１０を返却せずに所持し続けたとしても、オンライン認証装置に接続された電子機器（パソコンやプリンタ）のみならず、オフライン認証装置に接続された電子機器（ロッカー用電子錠）を利用することもできなくなる。

なお、図２に示すオンライン認証装置２１０〜２４０の構成は、図１の認証装置２１０の構成と同様である。すなわち、オンライン認証装置２１０〜２４０は、いずれも、所定の交信範囲内に位置する情報記録媒体１０と交信することにより、情報記録媒体１０に対する情報の読み書きを行う交信部２１１と、この情報記録媒体１０内の認証用情報（この例では、ＩＤコード）に基づく認証を行う認証部２１２と、メンバー情報格納部１００内の情報を照会し、交信中の情報記録媒体１０から読み出したＩＤコードについて失効情報が登録されていた場合には、当該失効情報を交信中の情報記録媒体１０内の失効情報記録部１３に書き込む失効情報書込部２１５と、情報記録媒体１０内の失効情報記録部１３から失効情報を読み出し、失効状態か否かを判定する失効判定部２１３と、認証部２１２が正しい認証を行い、かつ、失効判定部２１３が失効状態でない旨の判定を行っている場合に、特定の電子機器に対して利用許可信号を与える利用許可部２１４と、を有している。

これに対して、図２に示すオフライン認証装置２５０，２６０の構成は、より簡略化することができる。すなわち、オフライン認証装置２５０，２６０は、メンバー情報格納部１００へのアクセス機能を有していないので、失効情報書込部２１５を設ける必要はない。

なお、図２に示すオンライン認証装置２１０〜２４０内の認証部２１２は、オンライン接続された外部装置へ問い合わせを行うことにより認証（以下、オンライン認証という）を行うことも可能であるし、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理（以下、オフライン認証という）を実行することも可能であるが、オフライン認証装置２５０，２６０内の認証部２１２は、オンライン認証を行うことができないので、オフライン認証を行わざるを得ない。

結局、図２に示すシステムにおける認証方式としては、次の３態様が考えられる。第１の態様は、オンライン認証装置２１０〜２４０にはオンライン認証を行わせ、オフライン認証装置２５０，２６０にはオフライン認証を行わせる方式である。第２の態様は、オンライン認証装置２１０〜２４０のうちの一部についてはオンライン認証を行わせ、オンライン認証装置２１０〜２４０のうちの残りの一部およびオフライン認証装置２５０，２６０にはオフライン認証を行わせる方式である。そして、第３の態様は、すべての認証装置２１０〜２６０についてオフライン認証を行わせる方式である。もちろん、いずれの態様を採ってもかまわない。

続いて、もうひとつの別な実施形態を参照して、本発明の具体的なメリットを説明する。図３は、本発明の別な実用的実施形態に係るセキュリティシステムの構成を示すブロック図である。このシステムの特徴は、図の上半分に示した東京本社に設置された構成要素と、図の下半分に示した大阪支社に設置された構成要素と、の２グループの構成要素を有する点である（この他、図示されていない複数の情報記録媒体が用いられる）。

このシステムには、２つのメンバー情報格納部１００，１５０と、２つの失効情報登録部１１０，１６０とが備わっている。図３に示すメンバー情報格納部１００，１５０の構成および機能は、図１に示すメンバー情報格納部１００の構成および機能と同じであり、また、図３に示す失効情報登録部１１０，１６０の構成および機能は、図１に示す失効情報登録部１１０の構成および機能と同じである。しかしながら、一方は東京本社、他方は大阪支社に設置されており、管轄する認証装置も地区によって異なっている。すなわち、東京本社に設置された電子機器３１０〜３４５の認証を行うための認証装置２１０〜２４０は、いずれもメンバー情報格納部１００にオンライン接続されたオンライン認証装置であるのに対し、大阪支社に設置された電子機器３７０〜３９０の認証を行うための認証装置２７０〜２９０は、いずれもメンバー情報格納部１５０にオンライン接続されたオンライン認証装置となっている。

この図３に示すシステムのように、複数のメンバー情報格納部と、これら複数のメンバー情報格納部に失効情報を入力するための複数の失効情報登録部と、を備え、失効情報書込部が、複数のメンバー情報格納部の少なくとも１つに対して失効情報に関する照会を行う機能を有するシステムでは、タイムラグによって失効情報の取得に遅延が生じる可能性がある。

たとえば、東京本社の人事担当者が、失効情報登録部１１０を用いて、メンバー情報格納部１００に対して、所定のメンバーに対する失効情報の登録を行ったとしよう。この場合、東京本社のメンバー情報格納部１００の登録内容を、大阪支社のメンバー情報格納部１５０の登録内容に反映させ、また、その逆を行うためには、両者の情報を同期させる処理が必要になる。具体的には、東京本社のメンバー情報格納部１００の新規登録内容を大阪支社のメンバー情報格納部１５０へコピーし、逆に、大阪支社のメンバー情報格納部１５０の新規登録内容を東京本社のメンバー情報格納部１００へコピーする作業が必要になる。

このような同期処理は、本来であれば、タイムラグが生じることのないように瞬時に行うのが理想的であるが、現実的には、毎週末のメンテナンス時に行うとか、１０日ごとにまとめて行うといった運用が採られることが少なくない。このため、両者間の同期を常に完全な状態に維持することはできず、失効情報にタイムラグが生じることになる。本発明は、このようなタイムラグが生じるシステムに適用した場合にも、顕著な効果を奏することができる。

たとえば、東京本社のメンバー情報格納部１００に、「佐藤××」に関して「２００６年３月３１日」なる失効情報が登録されたとして、当該失効情報に関する同期がとられたのが４月５日だったとしよう。この場合、４月１日〜４日の期間は、大阪支社のメンバー情報格納部１５０には、当該失効情報はまだ登録されていないことになるので、認証装置２７０〜２９０が、メンバー情報格納部１５０へ照会を行ったとしても、「佐藤××」に関する失効情報を入手することはできない。このため、退職した「佐藤××」が、返却せずに所持していた情報記録媒体１０を用いて、大阪支社で電子機器３７０〜３９０を利用できる可能性が生じる。しかしながら、本発明に係るシステムでは、そのような可能性を低減させる効果が得られる。

すなわち、東京本社のメンバー情報格納部１００に、「佐藤××」に関して「２００６年３月３１日」なる失効情報が登録された後、２００６年３月３１日に退職するまでの期間内に、「佐藤××」が、東京本社の電子機器３１０〜３４５のいずれかを使用したとすれば、「佐藤××」の情報記録媒体１０には、「２００６年３月３１日」なる失効情報が書き込まれることになる。したがって、たとえば、４月１日の時点で、退職した「佐藤××」が、返却せずに所持していた情報記録媒体１０を用いて、大阪支社で電子機器３７０〜３９０を利用しようとしても、情報記録媒体１０から読み出された失効情報に基づいて、そのような利用は許可されないことになる。

もちろん、「佐藤××」に関して「２００６年３月３１日」なる失効情報が登録された後、退職するまでの期間内に、「佐藤××」が、東京本社の電子機器３１０〜３４５のいずれも利用しなかった場合には、情報記録媒体１０に対して当該失効情報が書き込まれることはないので、退職後、大阪支社のメンバー情報格納部１５０に当該失効情報が登録されるまでの期間は、「佐藤××」による電子機器３７０〜３９０の利用を阻止することはできない。しかしながら、東京本社のメンバー情報格納部１００への失効情報の登録を比較的早めに行っておけば、「佐藤××」は退職までは通常どおりの勤務を行うものと考えられるので、情報記録媒体１０に対して失効情報の書き込みが行われる可能性は高い。よって、このようなタイムラグが生じるシステムにおいても、本発明に係るシステムは十分な効果が期待できる。

＜＜＜ §３．いくつかの変形例 ＞＞＞
（１） 認証用情報の態様
これまで述べた実施形態では、情報記録媒体１０のＩＤコード記録部１２内に記録されたＩＤコード自身が認証用情報としての機能を兼ねる例を述べた。たとえば、図１に示す例において、ＩＤコード記録部１２内に記録されたＩＤコード「ＣＣ１００２」は、本発明に関して２通りの役割を兼ねている。

第１の役割は、メンバー情報格納部１００に対して、失効情報が登録されているか否かを照会する際のインデックスとしての役割である。既に述べたとおり、失効情報書込部２１５は、ＩＤコード「ＣＣ１００２」についての失効情報が登録されているか否かを、メンバー情報格納部１００に対して照会することになる。

そして、第２の役割は、認証部２１２による認証処理に利用される認証用情報としての役割である。前述したように、認証部２１２は、オンライン接続したメンバー情報格納部１００内に、ＩＤコード「ＣＣ１００２」が存在するか否かを問い合わせ、存在すれば認証成功とする処理を行うこともできるし、ＩＤコード「ＣＣ１００２」に対して所定のアルゴリズムに基づく判定処理（たとえば、先頭の２文字が文字列「ＣＣ」に一致するか否か）を実行することにより、認証部２１２単独で認証を行うことも可能である。

ただ、認証部２１２が認証に利用する認証用情報は、必ずしもＩＤコード自身にする必要はなく、ＩＤコードとは別に設けられた認証用コードを利用してもかまわない。たとえば、情報記録媒体１０内に、更に、認証用情報記録部１４なる新たな構成要素を設け、ここに認証専用のコードを記録しておき、これを認証用情報として利用することも可能である。あるいは、ＩＤコードの一部分のみを認証用情報として利用することも可能であるし、ＩＤコードに別なコードを付加した合成コードを認証用情報として利用することも可能である。要するに、本発明において、認証部２１２の認証対象となる認証用情報は、情報記録媒体１０内に何らかの態様で記録されていれば足りる。

また、認証用情報は必ずしも１つのコードである必要はなく、複数の認証用コードを情報記録媒体１０内に記録しておき、個々の認証装置ごとに、特定の認証用コードを選択して利用するような形態も可能である。

なお、上述した実施形態では、認証部２１２が認証を行う場合に、情報記録媒体１０内に記録されている認証用情報（上掲の例では、ＩＤコード「ＣＣ１００２」）を、認証装置２１０側に読み出して認証を行っていたが、認証部２１２による認証は、認証用情報を、認証装置２１０側に読み出すことを必須とするものではない。要するに、情報記録媒体１０に格納されている認証用情報に基づいて、当該認証用情報が正しいものであることが確認できれば、どのような方法で認証を行ってもかまわない。

たとえば、認証装置２１０から情報記録媒体１０へ乱数Ｒを送信し、情報記録媒体１０内において、この乱数Ｒを「認証用情報を利用した所定のアルゴリズム」に基づいて暗号化し、暗号化されたデータを認証装置２１０側へ返すような処理を行うようにすれば、認証用情報自体を読み出すことなしに認証が可能である。すなわち、認証装置２１０側でも、同じ乱数Ｒに対して同じ認証用情報を利用した同じアルゴリズムに基づく暗号化を行い、情報記録媒体１０側から返されてきた暗号化データと、認証装置２１０側で作成した暗号化データとが一致すれば、正しい認証が行われたことになる。

（２） 失効判定の方法
これまで述べてきた実施形態では、失効判定部２１３は、情報記録媒体１０の失効情報記録部１３に記録されている失効情報を読み出し、この読み出した失効情報に基づいて失効判定を行っていたが、その代わりに、メンバー情報格納部１００への照会によって得られた失効情報に基づいて失効判定を行ってもかまわない。すなわち、交信中の情報記録媒体１０から読み出したＩＤコードについて、メンバー情報格納部１００内に既に失効時点が経過した失効情報が登録されていた場合には、失効判定部２１３は、当該交信中の情報記録媒体１０から失効情報を読み出すことなしに、失効状態である旨の判定を行うことができる。

たとえば、図１に示す例において、２００６年４月１日以降に、情報記録媒体１０と認証装置２１０との交信が行われた場合、交信中の情報記録媒体１０から読み出したＩＤコード「ＣＣ１００２」について、メンバー情報格納部１００に対する照会を行うと、既に失効時点が経過した失効情報「２００６年３月３１日」が登録されていることが認識できる。この場合、失効判定部２１３は、当該交信中の情報記録媒体１０から失効情報を読み出すことなしに、失効状態である旨の判定を行うことができる。

（３） 無効化処理
本発明に係るシステムにおいて、セキュリティを更に向上させるために、認証装置に情報記録媒体の無効化処理機能をもたせておくことができる。すなわち、図１に示す例において、失効判定部２１３が、交信中の情報記録媒体１０について失効状態である旨の判定を行った場合に、当該交信中の情報記録媒体１０に対する無効化処理を実行するようにしておけば、失効後の情報記録媒体１０のすべての機能を無効化させることが可能になり、よりセキュリティを向上させることが可能である。

一般に、ＩＣカードの場合、内蔵するＥＥＰＲＯＭなどの不揮発性メモリの一領域に、無効化フラグが設定されている。通常、この無効化フラグはオフの状態になっているが、セキュリティ上の支障が発見された場合には、この無効化フラグをオン状態に書き換える運用が採られる。たとえば、ＩＣカードの特定の機能を利用するためのパスワードが設定されている場合に、連続して５回以上、誤ったパスワードが入力されたときには、無効化フラグをオン状態に書き換えるような処置がとられる。このように、無効化フラグがオン状態になると、通常の方法では、当該ＩＣカードに対するあらゆるアクセスが不可能となり、一切の機能が利用できなくなる。

上述した実施形態の場合、失効した情報記録媒体については、特定の電子機器を利用する際の認証機能を失わせる措置がとられることになるが、失効判定部２１３が、失効状態である旨の判定を行った場合に、情報記録媒体１０に対する無効化処理（無効化フラグをオン状態に書き換える処理）を実行するようにしておけば、本来は返却しなければならない情報記録媒体１０のすべての機能を無効化することができるので、セキュリティを更に向上させることができる。

あるいは、情報記録媒体１０側に何らかの計時機能をもたせておけば、失効情報記録部１３に記録されている失効情報が示す失効時点が経過した時点で、情報記録媒体１０が自分自身を無効化するような処理を行うことも可能である。

なお、最近は、携帯電話やＰＤＡ装置など、所定の通信経路を介した通信機能をもつ装置が普及してきており、ＩＣカードを、このような通信機能をもつ装置に装着して利用する形態も増えてきている。このように、所定の通信経路を介した通信機能をもつ装置に装着するためのインターフェイス部を有するＩＣカードなどを、本発明における情報記録媒体１０として利用する場合には、当該通信機能を利用して外部から送信されてきた無効化指示に基づいて、自分自身を無効化する機能を当該情報記録媒体１０にもたせておき、メンバー情報格納部１００が、失効情報の登録が行われたＩＤコードが格納されている情報記録媒体１０に対して、失効時点経過後に上記所定の通信経路を介して無効化指示を送信するようにすることも可能である。

たとえば、情報記録媒体１０が、携帯電話に装着可能なインターフェイス部を有するＩＣカードであった場合、この携帯電話用の通信経路を利用して、たとえば、電子メールの形式で送信されてきた無効化指示に基づいて自分自身を無効化する機能をもたせておくようにする。一方、メンバー情報格納部１００には、失効情報の登録が行われたＩＤコードが格納されている情報記録媒体１０に対して、失効時点経過後に携帯電話用の通信経路を利用して電子メールの形式で無効化指示を送信する機能をもたせておく。そうすれば、たとえば、図１に示す例の場合、「２００６年３月３１日」が経過した時点で、「佐藤××」の所持する情報記録媒体１０（携帯電話に装着されている）に対して、メンバー情報格納部１００から、携帯電話用の通信経路を利用して、電子メールの形式で無効化指示が送信されることになり、これを受信した情報記録媒体１０は、自分自身を無効化する処理（たとえば、無効化フラグをオンにする処理）を実行することになる。

（４） 発報処理
失効後の情報記録媒体１０の不正利用を防止する上では、失効判定部２１３が、交信中の情報記録媒体１０について失効状態である旨の判定を行った場合に、表示もしくは音声による警報を発するようにしておくとよい。たとえば、図１に示す例において、情報記録媒体１０の失効情報記録部１３に「２００６年３月３１日」なる失効情報が記録されている状態で、この情報記録媒体１０と認証装置２１０とを４月１日以降に交信させると、失効判定部２１３による失効状態である旨の判定が行われ、利用許可信号は出力されないことになる。

しかし、「利用許可信号を出力しない」という消極的な対応では、不正利用を抑止する効果は少ない。そこで、このような場合、認証装置２１０が表示もしくは音声による警報を発するようにしておくとよい。たとえば、ディスプレイ画面上に「この社員証は失効しています。直ちに返却してください」のような警告文を提示してもよい。あるいは、重度のセキュリティ確保が必要な認証装置の場合には、赤色灯とサイレンを設けておき、失効判定部２１３により失効状態である旨の判定が行われたときには、赤色灯の点灯とサイレンの鳴動による警報を発するようにするとよい。

本発明の基本的実施形態に係るセキュリティシステムの構成を示すブロック図である。 本発明の実用的実施形態に係るセキュリティシステムの構成を示すブロック図である。 本発明の別な実用的実施形態に係るセキュリティシステムの構成を示すブロック図である。

符号の説明

１０：情報記録媒体
１１：交信部
１２：ＩＤコード記録部
１３：失効情報記録部
１００：メンバー情報格納部
１１０：失効情報登録部
１５０：メンバー情報格納部
１６０：失効情報登録部
２１０：認証装置（オンライン認証装置）
２１１：交信部
２１２：認証部
２１３：失効判定部
２１４：利用許可部
２１５：失効情報書込部
２２０〜２４０：認証装置（オンライン認証装置）
２５０，２６０：認証装置（オフライン認証装置）
２７０〜２９０：認証装置（オンライン認証装置）
３１０〜３９０：電子機器

Claims (12)

1. 複数の電子機器について、それぞれ利用時に情報記録媒体を用いた認証を行うためのセキュリティシステムであって、
   個々のメンバーに関する個人情報と、これら個々のメンバーに付与したＩＤコードと、を格納したサーバコンピュータからなるメンバー情報格納部と、
   前記サーバコンピュータにアクセス可能なコンピュータからなり、特定のＩＤコードを特定時点で失効させることを示す失効情報を入力し、これを前記メンバー情報格納部に登録する失効情報登録部と、
   特定のメンバーに付与されたＩＤコードが記録されたＩＤコード記録部と、前記失効情報を記録するための失効情報記録部と、外部と交信するための交信部と、を有し、認証用情報が格納されている複数の情報記録媒体と、
   前記情報記録媒体に格納されている認証用情報に基づく認証を行うことにより、特定の電子機器に対して利用許可信号を与える複数の認証装置と、
   を備え、前記複数の認証装置のうちの一部は、前記サーバコンピュータとオンライン接続する機能をもったオンライン認証装置を構成し、他の一部は、前記サーバコンピュータとオンライン接続する機能をもたないオフライン認証装置を構成し、
   前記オンライン認証装置は、
   所定の交信範囲内に位置する前記情報記録媒体と交信することにより、前記情報記録媒体に対する情報の読み書きを行う交信部と、
   前記情報記録媒体内の前記認証用情報に基づく認証を行う認証部と、
   前記メンバー情報格納部内の情報を照会し、交信中の情報記録媒体から読み出したＩＤコードについて失効情報が登録されていた場合には、当該失効情報を交信中の情報記録媒体内の失効情報記録部に書き込む失効情報書込部と、
   前記情報記録媒体内の前記失効情報記録部から失効情報を読み出し、失効状態か否かを判定する失効判定部と、
   前記認証部が正しい認証を行い、かつ、前記失効判定部が失効状態でない旨の判定を行っている場合に、前記特定の電子機器に対して前記利用許可信号を与える利用許可部と、
   を有し、
   前記オフライン認証装置は、
   所定の交信範囲内に位置する前記情報記録媒体と交信することにより、前記情報記録媒体に対する情報の読み書きを行う交信部と、
   前記情報記録媒体内の前記認証用情報に基づく認証を行う認証部と、
   前記情報記録媒体内の前記失効情報記録部から失効情報を読み出し、失効状態か否かを判定する失効判定部と、
   前記認証部が正しい認証を行い、かつ、前記失効判定部が失効状態でない旨の判定を行っている場合に、前記特定の電子機器に対して前記利用許可信号を与える利用許可部と、
   を有し、
   前記各情報記録媒体は、内蔵する不揮発性メモリの一領域に無効化フラグが設定されており、この無効化フラグがオン状態に書き換えられた後は、一切の機能が利用できなくなるように構成され、
   前記オンライン認証装置の失効判定部および前記オフライン認証装置の失効判定部は、交信中の情報記録媒体について失効状態である旨の判定を行った場合に、当該交信中の情報記録媒体の無効化フラグをオン状態に書き換える無効化処理を実行することを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
2. 請求項１に記載のセキュリティシステムにおいて、
   オンライン認証装置の認証部が、オンライン接続された外部装置へ問い合わせを行うことにより認証を行い、
   オフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うことを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
3. 請求項１に記載のセキュリティシステムにおいて、
   一部のオンライン認証装置の認証部が、オンライン接続された外部装置へ問い合わせを行うことにより認証を行い、
   残りのオンライン認証装置およびオフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うことを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
4. 請求項１に記載のセキュリティシステムにおいて、
   オンライン認証装置の認証部およびオフライン認証装置の認証部が、認証用情報が正しいか否かを判定する所定のアルゴリズムに基づく判定処理を実行することにより認証を行うことを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
5. 請求項１〜４のいずれかに記載のセキュリティシステムにおいて、
   複数のメンバー情報格納部と、これら複数のメンバー情報格納部に失効情報を入力するための複数の失効情報登録部と、を備えており、
   失効情報書込部は、前記複数のメンバー情報格納部の少なくとも１つに対して失効情報に関する照会を行う機能を有することを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
6. 請求項１〜５のいずれかに記載のセキュリティシステムにおいて、
   ＩＤコード記録部内に記録されたＩＤコード自身が認証用情報としての機能を兼ねることを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
7. 請求項２または３に記載のセキュリティシステムにおいて、
   ＩＤコード記録部内に記録されたＩＤコード自身が認証用情報としての機能を兼ね、
   認証部が、メンバー情報格納部を構成するサーバコンピュータにオンライン接続し、メンバー情報格納部へ問い合わせを行うことにより認証を行うことを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
8. 請求項１〜７のいずれかに記載のセキュリティシステムにおいて、
   交信中の情報記録媒体から読み出したＩＤコードについて、メンバー情報格納部内に既に失効時点が経過した失効情報が登録されていた場合には、失効判定部が、当該交信中の情報記録媒体から失効情報を読み出すことなしに、失効状態である旨の判定を行うことを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
9. 請求項１〜８のいずれかに記載のセキュリティシステムにおいて、
   情報記録媒体が、所定の通信経路を介した通信機能をもつ装置に装着するためのインターフェイス部を有し、当該通信機能を利用して外部から送信されてきた無効化指示に基づいて、自分自身の無効化フラグをオン状態に書き換える無効化処理を実行する機能をもち、
   メンバー情報格納部が、失効情報の登録が行われたＩＤコードが格納されている情報記録媒体に対して、失効時点経過後に前記所定の通信経路を介して無効化指示を送信することを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
10. 請求項１〜９のいずれかに記載のセキュリティシステムにおいて、
    失効判定部が、交信中の情報記録媒体について失効状態である旨の判定を行った場合に、表示もしくは音声による警報を発することを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
11. 請求項１〜１０のいずれかに記載のセキュリティシステムにおいて、
    認証装置が利用許可信号を与える電子機器として、コンピュータ、プリンタ、複写機、その他の事務用什器・備品、もしくは電子錠を用いることを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。
12. 請求項１〜１１のいずれかに記載のセキュリティシステムにおいて、
    失効情報として、ＩＤコードが有効な最終日の日付もしくはＩＤコードが失効する初日の日付を用いることを特徴とする情報記録媒体を用いた認証に基づくセキュリティシステム。