JP4778361B2 - 認証装置及び認証システム及び認証装置の装置確認方法 - Google Patents

Description

本発明は、複数の認証装置から構成される認証システムに関する。

従来、複数の認証装置から構成される認証システムでは、不正な装置が接続されていないか確認するために、各装置間で相互にセッション鍵を作成し、認証装置を相互に認証することにより、不正な装置が接続されていないか確認していた（特許文献１）。

特開平９−２８２５０６号公報

しかし、従来の技術では、セッション鍵が解析され、そのセッション鍵を生成できる不正な認証装置にすり替えられた場合には、不正な認証装置にすり替えられたことを検知できない恐れがある。

また、セッション鍵による認証を終えなければ認証装置は起動しないが、認証データ自体は認証装置に記憶されているので、認証装置を解析されると、認証データも解析される。その結果、認証データを偽造され、不正な認証が実行される恐れがある。

本発明の目的は、上記課題の少なくとも一部を解決するためになされたものであり、認証装置がすり替えられた場合であってもその事実を検知し、あるいは、認証データの解析を困難にし、不正な手段による認証を抑制、防止することを目的とする。

上記課題を解決するために、本発明に係る認証装置は、複数の認証装置を含む認証システムにおける認証装置であって、認証装置に入力される入力データと照合して認証を実行するためにあらかじめ用意されている認証データを複数に分割して得られる複数の分割データの一つを記憶する不揮発性記憶手段と、他の認証装置に記憶されている分割データを受信する受信手段と、前記不揮発性記憶手段に記憶されている分割データと前記受信された分割データとを結合して前記認証データを復元する復元手段と、復元された前記認証データを記憶する揮発性記憶手段と、前記復元された認証データと認証時に認証装置に入力される入力データとを照合して認証を実行する認証手段とを備える。

本発明に係る認証装置によれば、一つの認証装置の分割データが解析されても、分割データは認証データを複数に分割した分割データうち一つにすぎないので、認証データの解析を妨げることができる。その結果、不正な手段による認証を抑制、防止することができる。

本発明に係る認証装置は、さらに、第１の時間に前記復元手段が復元し、前記揮発性記憶手段が記憶した第１の認証データと、第１の時間以後の第２の時間に前記復元手段が復元する第２の認証データとを照合する照合手段と、前記第１の認証データと第２の認証データとが不一致の場合に異常を知らせる警報手段とを備える。

本発明に係る認証装置によれば、認証データを装置の相互確認に使用し、異なる２つの時間における認証データを照合する。その２つの時間の間に認証装置がすり替えられた場合には、認証装置の同一性を確認できないため認証装置がすり替えられた事実を検出できる。したがって、不正な手段による認証を抑制、防止できる。

本発明に係る認証装置において、前記所定の第１の時間は、認証装置の起動時である。本発明に係る認証装置によれば、第１の時間を起動時とすることにより、起動時からの認証装置のすり替えを検知できる。したがって、起動時からの認証装置すり替えによる不正な認証を抑制、防止できる。

本発明に係る認証装置は、さらに、前記復元した認証データを、復元前の分割データとは異なる分割データに、再分割する分割手段と、前記再分割された分割データを他の認証装置に配布する配布手段とを備える。本発明に係る認証装置によれば、毎回異なる分割データが配布されるため、ある時の分割データが盗難／傍受されても、その後に認証データの再分割／再配布が行われた場合には、盗難／傍受された分割データを記憶させた認証装置は正規な装置とは確認されない。したがって、分割データを盗難／傍受された場合でも、認証装置のすり替えを検知でき、不正な手段による認証を抑制、防止できる。

本発明に係る認証装置は、さらに、認証データの分割及び分割データの配布を実行する他の認証装置を他の複数の認証装置の中から指定する分割配布装置指定手段と、指定された認証装置示す符号を他の認証装置に送信する送信手段とを備える。本発明に係る認証装置によれば、認証装置は、認証データの分割及び分割データの配布を行う分割配布装置を複数の認証装置の中から指定するので、分割配布装置を毎回異ならせることができる。したがって、分割配布装置を狙うハッキングが困難になる。その結果、認証データの解析が困難になり、不正な手段による認証を抑制、防止できる。

本発明に係る認証システムは、複数の認証装置を含む認証システムであって、各認証装置は、認証装置に入力される入力データと照合して認証を実行するためにあらかじめ用意されている認証データを複数に分割して得られる複数の分割データの一つ部を記憶する不揮発性記憶手段と、他の認証装置に記憶されている前記複数の分割データを受信する受信手段と、前記不揮発性記憶手段に記憶されている分割データと前記受信された分割データとを結合して前記認証データを復元する復元手段と、復元された前記認証データを記憶する揮発性記憶手段と、認証時に前記入力データと前記揮発性記憶手段に記憶された前記認証データとを照合して認証を実行する認証手段と、所定の第１の時間に復元され揮発性記憶手段に記憶される第１の認証データと、第１の時間以後の所定の第２の時間に復元される第２の認証データとを照合する照合手段と、前記第１の認証データと第２の認証データとが不一致の場合に警報を発する警報手段とを備え、前記複数の認証装置のうちの１の認証装置は、さらに、前記復元した認証データを受信した分割データとは異なる分割データに分割する分割手段と、前記分割された分割データを他の認証装置に配布する配布手段と、認証データの分割及び分割データの配布を実行する他の認証装置を他の複数の認証装置の中から指定する分割配布装置指定手段と、指定された認証装置を示す符号を他の認証装置に送信する送信連絡手段とを備える。

本発明に係る認証システムによれば、一つの認証装置の分割データが解析されても、分割データは認証データを複数に分割した分割データうち一つにすぎないので、認証データの解析を妨げることができる。その結果、不正な手段による認証を抑制、防止することができる。

本発明に係る認証システムの動作方法は、認証装置における装置確認方法であって、起動時に、他の認証装置の不揮発性記憶部に格納されている複数の分割データを受信し、自己の不揮発性記憶手段に格納されている分割データと前記受信した分割データとを結合して第１の認証データを復元し、前記復元した第１の認証データを揮発性記憶手段に格納し、所定の時間経過後、他の認証装置の不揮発性記憶部に格納されている複数の分割データを受信し、自己の不揮発性記憶手段に格納されている分割データと前記受信した分割データとを結合して第２の認証データを復元し、前記第１の認証データと第２の認証データを照合して、他の認証装置が正規な装置か判断し、他の認証装置が正規な装置の場合には、複数の認証装置のうちの１の認証装置は、前記第２の認証データを複数の分割データに再分割し、前記第２の認証データを再分割した分割データを複数の認証装置の不揮発性記憶手段に格納し、所定の時間ごとに、分割データから認証データを復元し、復元した認証データと第１の認証データとを照合して他の認証装置が正規な装置か判断し、他の認証装置が正規な装置の場合には、前記１の認証装置とは異なる認証装置が、前記第１の認証データと照合した認証データを複数の分割データに分割し、他の認証装置の不揮発性記憶手段に格納することを繰り返すことにより他の認証装置が正規な装置であることを確認する。

本発明に係る認証装置における装置確認方法によれば、所定に時間ごとに認証データを相互に確認することにより、認証装置の確認を行うので、所定の時間の間に認証装置がすり替えられた場合には、認証装置がすり替えられた事実を検出できる。したがって、不正な手段による認証を抑制、防止できる。

なお、本発明は、種々の態様で実現することが可能であり、認証装置のほか、認証装置を複数含む認証システム、認証システムの動作方法等の態様で実現することができる。

Ａ．本実施例に係る認証システム１０の構成：
図１を用いて、本実施例に係る認証システム１０を説明する。図１は、本実施例に係る認証システム１０を示す説明図である。認証システム１０は４つの認証装置１００、２００、３００、４００で構成されている。各認証装置１００、２００、３００、４００はネットワーク２０に接続されている。各認証装置１００、２００、３００、４００には、それぞれセキュリティドア１０５、２０５、３０５、４０５が接続されている。セキュリティドア１０５、２０５、３０５、４０５は、セキュリティエリア外（例えば屋外）とセキュリティエリア内（例えば屋内）を仕切るドアである。例えば、認証装置１００で認証処理が実行され、入室が許可されると、セキュリティドア１０５の鍵のロックが解除され、セキュリティエリア内への入室が可能となる。セキュリティドア１０５、２０５、３０５、４０５には、それぞれ警報ランプ１０６、２０６、３０６、４０６が接続されている。認証装置に異常が発生した場合には、警報ランプが点灯し、異常発生を知らせる。

Ｂ．本実施例に係る認証システム１０の認証装置１００の構成：
図２を用いて、本実施例に係る認証システム１０の認証装置１００の構成について説明する。図２は、認証システム１０の認証装置１００の構成を示す説明図である。

認証システム１０には、４つの認証装置１００、２００、３００、４００が含まれる。認証装置は、他の認証装置にデータを配布する配布装置と、配布を受けとるその他の認証装置に分けられる。配布装置は特定の認証装置に固定されず、４つの認証装置から任意の１つの認証装置がランダムに指定され、残りの認証装置がその他の認証装置となる。したがって、配布装置とその他の認証装置の構成は同じである。そこで、以下の説明では、認証装置１００を代表にとり説明する。

認証装置１００は、ＣＰＵ１１０とハードディスク１２０とＲＡＭ１３０と生態情報取得部１４０とネットワークインターフェース１５０とドアインターフェース１６０とを備える。

ＣＰＵ１１０は、認証装置１００の中枢であり、認証装置１００全体の動作を制御するほか、各種演算、認証動作を行い、認証結果に基づいてドアインターフェース１６０を制御し、セキュリティドア１０５の鍵を開閉させる。また、ＣＰＵ１１０は、ネットワークインターフェース１５０を介して他の認証装置２００、３００、４００と通信を行い、それぞれのハードディスク２２０、３２０、４２０に記憶された分割データ２２５、３２５、４２５を受信する。

ハードディスク１２０は、ＯＳ（図示せず）の他、データとアプリケーションとを記憶する固体記憶装置である。データとして、分割データと分割データ配布管理情報ファイルが記憶される。分割データとは、認証装置に入力される入力データと照合して認証を実行するための認証データを複数に分割したものである。ハードディスク１２０には、そのうち一つの分割データ１２５が記憶される。なお、残りの分割データ２２５、３２５、４２５は、それぞれ、認証装置２００、３００、４００のハードディスク２２０、３２０、４２０に記憶される。認証データには、指静脈の血管パターンをデータ化したパターンデータと、パターンデータと入力データとを照合するために用いられるアルゴリズム、ライブラリ等をデータ化した処理データとが含まれる。

図３を参照して、分割データ配布管理情報ファイルについて説明する。図３は、分割データ配布管理情報ファイルを示す説明図である。分割データ配布管理情報ファイルは、分割データの配布を管理するためのファイルであり、配布装置番号、認証装置配布状態（「済」又は「未」）、認証装置結合状態（「済」又は「未」）が記録されている。認証装置配布状態は、配布を実行した配布装置のＣＰＵが、認証装置に分割データを配布すると、「未」から「済」に書き換える。したがって、配布装置以外の認証装置では、配布状態は「未」のままである。認証装置結合状態は、各認証装置で配布された分割データの結合が実行され、認証データが復元されると、認証装置からその旨の通知を受け、ＣＰＵ１１０が「未」から「済」に書き換える。

ハードディスク１２０に記憶されているアプリケーションとして、他の認証装置２００、３００、４００に記憶されている分割データを回収するための分割データ回収プログラム、回収した分割データを結合するための分割データ結合プログラム、認証装置が配布装置になったときに結合した分割データを再分割して他の認証装置２００、３００、４００に配布するための分割データ配布プログラムがある。

ＲＡＭ１３０は、書き換え可能な揮発性メモリであり、ハードディスク１２０に記憶されている認証装置２００のＯＳやアプリケーションは、ＲＡＭ１３０上にコピーされ、ＲＡＭ１３０上で実行される。また、ＲＡＭ１３０は、認証装置１００の他の認証装置２００、３００，４００ら回収された分割データが結合、復元された結合データを一時記憶する。結合データには、認証装置１００の起動時に分割データが結合されてできる初期結合データと、起動時以後の認証装置確認時に分割データが結合されてできる装置確認時結合データとがある。

生態情報取得部１４０は、カメラ１４１と画像処理ＩＣ１４２により指静脈の血管パターン情報を取得する。例えば、認証を求める人が、測定台（図示せず）に指を置くことにより、測定台の上部に設置された近赤外光源（図示せず）から近赤外線（約７６０ｎｍ）が指に照射される。静脈中の赤血球の還元ヘモグロビンは近赤外線の波長の光を吸収する。透過光がカメラ１４１により撮影すると、静脈部分が黒く映る。ＣＰＵ１１０は、これにより、指静脈の血管パターンの画像を取得する。取得された指静脈の血管パターンの画像は画像処理ＩＣ１４２により画像処理が行われ、認証用入力データが生成される。

ネットワークインターフェース１５０は、他の認証装置２００、３００、４００と通信を行うためのインターフェースである。ドアインターフェース１６０は、セキュリティドア１０５の鍵の開閉を制御する。

他の認証装置２００、３００、４００は、認証装置１００と同様にそれぞれＣＰＵ２１０、３１０、４１０及びハードディスク２２０、３２０、４２０を備える。ここで、ハードディスク２２０、３２０、４２０に記憶されている分割データは、分割データ２２５、３２５、４２５であり、それぞれ、認証装置１００のハードディスク１２０に記憶されている分割データ１２５と異なる分割データである。分割データ１２５、２２５、３２５、４２５が結合すると認証データになる。また、分割データ配布管理情報ファイルは、ハードディスク１２０の他、ハードディスク２２０、３２０、４２０にも設けられている。

Ｃ．本実施例に係る認証システム１０の動作：
図４から図７を参照して、本実施例における認証システム１０の認証装置１００の動作について説明する。図４は、認証装置１００が起動してから実行される処理を示すフローチャートである。図５は、認証装置１００が実行する相互確認処理を示すフローチャートである。図６は、認証装置１００が実行するデータの分割、配布処理を示すフローチャートである。図７は、認証動作の各段階におけるハードディスク及びＲＡＭに記憶されている分割データ、結合データの概要を示す説明図である。なお、図４から図６に示すフローについては、認証装置１００を代表にとり説明するが、他の認証装置２００、３００、４００についても、図４〜図６に示すフローがそれぞれ実行される。

スイッチが入れられると、認証装置１００は、起動する（ステップＳ４００）。認証装置１００のＣＰＵ１１０は、ハードディスク１２０から分割データ回収プログラムをＲＡＭ１３０上にコピーし、分割データ回収プログラムを実行し（ステップＳ４１０）、他の認証装置２００、３００、４００のハードディスク２２０、３２０、４２０から分割データを回収する（ステップＳ４２０）。図７において、分割データＡ、Ｂ、Ｃ、Ｄが認証装置１００のＲＡＭ上に一時的に記憶される。

ＣＰＵ１１０は、全ての認証装置から分割データを回収できたか判断する（ステップＳ４３０）。例えば、ＣＰＵ１１０は、回収プログラム実行前に認証装置ごとのフラグを立て、認証装置から分割データを回収できた時にはその認証装置のフラグを降ろす。ＣＰＵ１１０は、所定の時間内に全てのフラグが降りなかった場合には、分割データを回収できなかったと判断できる。ＣＰＵ１１０は、分割データを回収できなかったときは（ステップＳ４３０、Ｎｏ）、認証装置に異常が発生したものとして警報を発する（ステップＳ４４０）。

ＣＰＵ１１０は、回収した分割データを結合する（ステップＳ４５０）。分割データは、２次元のデータ列であり、それぞれデータ列の形状が異なっている。分割データは形状を定める形状パラメータを持っており、形状パラメータに基づいて分割データＡ、Ｂ、Ｃ、Ｄの位置関係が決定され、図７に示すように、分割データＡ，Ｂ、Ｃ、Ｄが結合される。ＣＰＵ１１０は、結合データが正常か、判断する（ステップＳ４６０）、ＣＰＵ１１０は、例えば、結合データのチェックサムを用いることにより、結合データが正常か判断できる。また、ＣＰＵ１１０は、結合データのハッシュ値と、最初に認証システムに認証データを登録したときのハッシュ値と比較することによっても、結合データが正常か判断することができる。ＣＰＵ１１０は、結合データが正常でない場合には（ステップＳ４６０、Ｎｏ）、いずれかの認証装置に異常が発生したものとして警報を発する（ステップＳ４４０）。

ＣＰＵ１１０は、結合データが正常な場合には（ステップＳ４６０、Ｙｅｓ）、結合データを初期結合データとしてＲＡＭ１３０に格納する（ステップＳ４７０）。初期結合データは、認証装置の相互確認のための初期データ、あるいは、認証時の入力データと照合される認証データとして用いられる。ＣＰＵ１１０は、認証装置の相互確認サブルーチンを実行する（ステップＳ４８０）。以下、図５を参照して、認証装置の相互確認サブルーチン（ステップＳ４８０）について詳細に説明する。

認証装置の相互確認サブルーチンは、ＣＰＵ１１０が初期結合データをＲＡＭ１３０に格納した後、所定の時間経過後に実行される処理である。

ＣＰＵ１１０は、回収プログラムを実行して、他の認証装置２００、３００、４００から分割データを回収する（ステップＳ５００）。ＣＰＵ１１０は、他の認証装置２００、３００、４００から全ての分割データを回収できたか判断する（ステップＳ５１０）。上述したように、ＣＰＵ１１０は、回収プログラム実行前に認証装置ごとのフラグを立て、認証装置から分割データを回収できた時にはその認証装置のフラグを降ろす。ＣＰＵ１１０は、所定の時間内に全てのフラグが降りなかった場合には、分割データを回収できなかったと判断できる。ＣＰＵ１１０は、分割データを回収できなかった場合には（ステップＳ５１０、Ｎｏ）、認証装置に異常が発生したものとして警報を発する（ステップＳ５２０）。

ＣＰＵ１１０は、全ての分割データを回収できた場合には（ステップＳ５１０、Ｙｅｓ）、
分割データを結合し、認証データを復元する（ステップＳ５３０）。具体的には、図７に示すように、分割データＡ，Ｂ、Ｃ、Ｄが結合される。ＣＰＵ１１０は、結合データが正常か、判断する（ステップＳ５４０）、ＣＰＵ１１０は、例えば、データのチェックサムを用いることにより、結合データが正常か判断できる。また、ＣＰＵ１１０は、結合データのハッシュ値と、最初に認証システムに認証データを登録したときのハッシュ値と比較することによっても、結合データが正常か判断することができる。ＣＰＵ１１０は、結合データが正常でない場合には（ステップＳ５４０、Ｎｏ）、いずれかの認証装置に異常が発生したものとして警報を発する（ステップＳ５２０）。

ＣＰＵ１１０は、結合データが正常な場合には（ステップＳ５４０、Ｙｅｓ）、結合データを装置確認時結合データとし、初期結合データと照合を行う（ステップＳ５５０）。ＣＰＵ１１０は、照合した結果、初期結合データと装置確認時結合データとが一致しなかった場合には（ステップＳ５６０、Ｎｏ）、いずれかの認証装置に異常が発生したものとして警報を発する（ステップＳ５２０）。認証装置のすり替え等が発生していなければ、初期結合データと装置確認時結合データとは一致する。

ＣＰＵ１１０は、初期結合データと装置確認時結合データとが一致した場合には、（ステップＳ５６０、Ｙｅｓ）分割データ配布管理情報ファイルの「認証装置１００の結合状態」欄を「済」に書き換える（ステップＳ５７０）。

また、ＣＰＵ１１０は、「認証装置１００の結合状態」を「済」に書き換えた場合は、その旨を他の認証装置２００、３００、４００に送信する（ステップＳ５８０）。したがって、例えば認証装置２００のＣＰＵ２１０が、ハードディスク２２０の分割データ配布管理情報ファイルの「認証装置２００の結合状態」の欄を、「済」に書き換えた場合には、認証装置２００のＣＰＵ２１０がハードディスク２２０の分割データ配布管理情報ファイルの「認証装置２００の結合状態」の欄を、「済」に書き換えた旨が認証装置１００に送信される。ＣＰＵ１１０は、認証装置２００のＣＰＵ２１０がハードディスク２２０の分割データ配布管理情報ファイルの「認証装置２００の結合状態」の欄を、「済」に書き換えた旨を受信すると、認証装置１００のハードディスク１２０の分割データ配布管理情報ファイルの「認証装置２００の結合状態」の欄を「済」に書き換える。

ＣＰＵ１１０は、認証装置の相互確認サブルーチン（ステップＳ４８０）を完了し、データ分割配布サブルーチンを実行する（ステップＳ４９０）。以下、図６を参照して、データ分割配布サブルーチン（ステップＳ４９０）について詳細に説明する。

ＣＰＵ１１０は、まず、認証装置１００が配布担当装置であるか判断する（ステップＳ６００）。配布担当装置か否かにより、その後の処理が異なるからである。配布担当装置かどうかは、分割データ配布管理情報ファイルの「配布装置番号」欄に記録されている配布装置番号により判断される。すなわち、ＣＰＵ１１０は、「配布装置番号」欄に記録されている配布装置番号が、自己の認証装置１００の装置番号の時は、配布担当装置であると判断し、他に認証装置、例えば認証装置２００の装置番号の時は、配布担当装置でないと判断する。

ＣＰＵ１１０は、認証装置１００が配布担当装置の場合には（ステップＳ６００、Ｙｅｓ）、分割データが回収済みか判断する（ステップＳ６１０）。ＣＰＵ１１０は、例えば、ＲＡＭ１３０上に装置確認時結合データが存在しているかどうかで、分割データが回収済みかどうかを判断する。ＣＰＵ１１０は、分割データ配布管理情報ファイルの「認証装置１００の結合状態」の欄が「済」になっているかどうかで判断してもよい。ＣＰＵ１１０は、分割データが回収済みでない場合には（ステップＳ６１０、Ｎｏ）、認証装置相互確認（ステップＳ４８０）に戻る。

ＣＰＵ１１０は、分割データが回収済みの場合には（ステップＳ６１０、Ｙｅｓ）、装置確認時結合データを再分割する（ステップＳ６２０）。このときＣＰＵ１１０は、図７に示すように、回収した分割データ（分割データＡ、Ｂ、Ｃ、Ｄ）とは異なる分割データ（分割データＥ、Ｆ、Ｇ、Ｈ）に分割する。ＣＰＵ１１０は、例えば、装置確認時結合データを２次元に並べ、乱数により４分割する。ＣＰＵ１１０は、分割データ（分割データＦ、Ｇ、Ｈ）を他の認証装置２００、３００、４００に配布する（ステップＳ６３０）。なお、ＣＰＵ１１０は、分割データのうち一つ（分割データＥ）は、他に認証装置２００、３００、４００に配布せず、ハードディスク１２０に格納する。他の認証装置２００、３００、４００のＣＰＵ２１０、３１０、４１０は、分割データの配布を受けると、それぞれハードディスク２２０、３２０、４２０に分割データを格納する（ステップＳ６４０）。

ＣＰＵ１１０は、分割データを配布すると、分割データ配布管理情報ファイルの「認証装置配布状態」の欄を「未」から「済」に書き換える（ステップＳ６５０）。例えば、ＣＰＵ１１０は、認証装置２００に分割データを配布した場合には、「認証装置２００配布状態」の欄を「未」から「済」に書き換える。ＣＰＵ１１０は全ての認証装置に分割データを配布するまで、分割データの配布（ステップＳ６３０）、分割データ配布管理情報ファイルの「認証装置配布状態」の欄の「未」から「済」への書き換え（ステップＳ６５０）を繰り返す（ステップＳ６６０、Ｎｏ）。

ＣＰＵ１１０は、全ての「認証装置配布状態」の欄を「済」に書き換えると認証装置への分割データ配布を終了し（ステップＳ６６０、Ｙｅｓ）、配布担当装置の変更を実行する（ステップＳ６７０）。すなわち、ＣＰＵ１１０は全ての認証装置の中から次回配布を実行する配布担当装置を選択する。次回配布を実行する配布担当装置は、例えば、乱数により選択される。したがって、同じ認証装置が連続して配布装置を担当することもあり得る。なお、図７に示す例では、最初の配布担当装置は認証装置１００であるが、２回目の配布担当装置は認証装置２００である。

ＣＰＵ１１０は、次回配布を実行する配布担当装置を選択した場合には、その装置番号を配布担当装置番号として他の認証装置に送信し（ステップＳ６８０）、分割データ配布管理情報ファイルの全ての「認証装置配布状態」、「認証装置結合状態」欄を「済」から「未」に書き換える（ステップＳ６８５）。

他の認証装置２００、３００、４００のＣＰＵ２１０、３１０、４１０は、配布担当装置番号を受信すると（ステップＳ６９０）、分割データ配布管理情報ファイルの「配布装置番号」欄を書き換えるとともに、分割データ配布管理情報ファイルの「認証装置配布状態」、「認証装置結合状態」欄を「済」から「未」に書き換える（ステップＳ６９５）。

以後、ＣＰＵ１１０は、認証装置相互確認サブルーチン（ステップＳ４８０）及びデータ分割配布サブルーチン（ステップＳ４９０）を繰り返して実行する。ここで、装置確認時結合データが再分割される場合は（ステップＳ６２０）、毎回異なる分割データに分割される。例えば図７に示す例では、装置確認時データは、１回目の再分割では、分割データＥ、Ｆ、Ｇ、Ｈに再分割され、２回目の再分割では、分割データは分割データＩ、Ｊ、Ｋ、Ｌに再分割されている。ＣＰＵは、上述したように、例えば、装置確認時データを２次元に並べ、乱数により４分割することにより、毎回異なる分割データに再分割できる。再分割／配布が行われた後、ある認証装置から回収された分割データが再分割前の分割データであった場合には、ＣＰＵが分割データを結合しても、結合データのチェックサムは合わない。したがって、ＣＰＵは、いずれかの認証装置に異常が発生したことを検知できる。

本実施例では、認証装置の確認サブルーチン（ステップＳ４８０）を実行してからデータ分割配布サブルーチン（ステップＳ４９０）を実行するまでの時間については特に定めていないが、認証装置の確認サブルーチンを実行した直後にデータ分割配布サブルーチンを実行する。ＣＰＵ１１０は、認証装置の確認サブルーチンで分割データから装置確認時結合データを生成するが、装置確認時結合データを直後のデータ分割配布サブルーチンで使用できる。また、認証装置の確認サブルーチンからデータ分割配布サブルーチンを実行するまでの時間が長いと、その間に認証装置の装置すり替えが起こる場合がある。その場合には、すり替えた装置に再分割された分割データが送信されることになるので、次の認証装置の確認サブルーチンで回収される分割データは正しい分割データである。その結果、認証装置のすり替えを検知できない恐れがある。したがって、認証装置の確認サブルーチンを実行してからデータ分割配布サブルーチンを実行するまでの時間はできる限り短くする。

図８を参照して認証を実行する場合の動作について説明する。図８は認証を実行する処理を示すフローチャートである。

認証を求める人の指が、測定台（図示せず）に置かれ、センサ（図示せず）により指が置かれたことが検知されると（ステップS８００）を押すと、測定台の上部に設置された近赤外光源（図示せず）から近赤外線（波長約７６０ｎｍ）が指に照射される（ステップS８１０）。静脈中の赤血球の還元ヘモグロビンは近赤外線の波長の光を吸収する。ＣＰＵ１１０は、透過光をカメラ１４１で撮影すると、静脈部分が黒く映る。ＣＰＵ１１０は、これにより指静脈の血管パターンの画像を測定する（ステップS８２０）。ＣＰＵ１１０は、画像処理ＩＣ１４２を用いて、測定した指静脈の血管パターンの画像の画像処理を実行し、認証用入力データを生成する（ステップS８３０）。

次に、ＣＰＵ１１０は、生成した認証用入力データとＲＡＭ１３０上の初期結合データとを照合し、認証を実行する（ステップＳ８４０）。初期結合データは上述したように、認証装置１００の起動時に結合し、復元されたものである。ＣＰＵ１１０は、認証動作を実行するときでも、認証装置の確認及びデータの分割配布動作を実行するときでも、初期結合データについては、読むだけで書き換えたりしない。したがって、ＣＰＵ１１０は、認証動作と上述した認証装置の確認及びデータの分割配布の処理動作とを同時に実行しなければならない状況でも認証動作と上述した認証装置の確認及びデータの分割配布の処理動作とを独立して実行できる。なお、認証装置の確認サブルーチン（ステップＳ４９０）において認証装置に異常があった場合は、ＣＰＵ１１０は、警報が発するが、同時に認証動作を停止してもよい。

ＣＰＵ１１０は、生成した認証用入力データとＲＡＭ１３０上の初期結合データが一致する場合には（ステップＳ８４０、Ｙｅｓ）、セキュリティドア１０５のロックを解除し入室を許可する。一方、生成した認証用入力データとＲＡＭ１３０上の初期結合データが一致しない場合には（ステップＳ８４０、Ｎｏ）、セキュリティドア１０５のロックを維持する。

以上説明したように、本実施例によれば、認証装置１００のハードディスクには認証データを複数に分割した分割データうち一つ（例えば分割データＡ）しか記憶していない。したがって、例えば認証装置１００が盗難されても、認証データ（結合データ）を復元することは困難である。

本実施例によれば、復元した認証データは揮発性記憶手段に記憶されている。認証装置１００の電源が切れと復元された認証データも消える。例えば、認証装置が盗難された場合には、認証データが消えるので、認証データは復元が困難である。したがって、認証データ偽造による不正な認証を抑制、防止できる。

本実施例によれば、異なる２つの時間における結合データを照合している。その２つの時間の間に認証装置がすり替えられた場合には、結合データは一致しない。したがって、認証装置のすり替えなどの認証装置の異常を検知し、警報を発することができる。すなわち、認証装置すり替えによる不正な認証を抑制、防止できる。

本実施例によれば、結合データは認証装置の起動時の初期結合データを使用するので、認証装置の起動時以降に発生した認証装置のすり替えを検知できる。したがって、起動時からの認証装置すり替えによる不正な認証を抑制、防止できる。

本実施例によれば、結合データは毎回異なる分割データに分割され配布されるため、認証装置が配布担当装置である認証装置から受信する分割データは毎回異なる。したがって、ある時の分割データが盗難／傍受されても、その後に認証データの再分割／再配布が行われた場合には、その分割データは認証データの再分割／再配布後は、盗難／傍受された分割データを用いて結合データを復元することはできない。したがって、分割データを盗難／傍受された場合でも、認証装置のすり替えを検知でき、認証装置すり替えによる不正な認証を抑制、防止できる。

本実施例によれば、認証データの分割及び分割データの配布を行う配布担当装置は、毎回異なるので、認証データの分割及び分割データの配布を行う配布担当装置を狙うハッキングが困難になる。

本発明によれば、入力データ、あるいは、装置確認時結合データと照合する初期結合データは起動時に生成された後は書き換わらない。したがって、ＣＰＵ１１０は、認証動作と認証装置の確認動作を独立して実行することができる。

Ｄ．変形例：
（１）本実施例では、認証装置を例にとり説明したが、本発明は、種々の態様で実現することが可能であり、認証装置の他、認証装置を複数含む認証システム等の態様で実現することができる。

（２）本実施例では、配布担当装置の変更は、結合データを分割配布後、分割データを回収、認証装置の確認前に実行しているが、分割データを回収、認証装置の確認後、結合データを分割配布前に実行してもよい。

（３）本実施例では、配布担当装置のＣＰＵは、結合データを毎回異なる分割データに分割するが、その時分割データ間で一部データが重複するように分割してもよい。

（４）本実施例では、起動時に分割データの回収を実行しているが、起動後、一定時間経過した後に最初の分割データの回収を実行してもよい。他の認証装置が起動していない場合があるからである。

（５）認証装置の確認処理において、例えば、認証装置のすり替え等により認証装置が確認されなかった場合には、警報を発するだけでなく、認証システムが停止するようにしてもよい。

（６）本実施例では、認証装置間で分割データを送受信する場合には、そのまま分割データを送受信しているが、分割データを暗号化して送受信してもよい。例えば、公開鍵暗号方式あるいは秘密鍵暗号方式を用いることができる。

（７）本実施例では、分割データは２次元のデータ列としているが、１次元のデータ列でもよい。１次元のデータ列であれば、ＣＰＵは、分割データの並び順に分割データを並べて単純に結合することができる。

以上、いくつかの実施例に基づいて本発明の実施の形態について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得るとともに、本発明にはその等価物が含まれることはもちろんである。

本実施例に係る認証システムを示す説明図。 認証システムの認証装置の構成を示す説明図。 分割データ配布管理情報ファイルを示す説明図。 認証装置が起動してからの処理を示すフローチャート。 認証装置が実行する相互確認処理を示すフローチャート。 認証装置が実行するデータの分割、配布処理を示すフローチャート。 認証動作の各段階におけるハードディスク及びＲＡＭに記憶されている分割データ、結合データの概要を示す説明図。 認証を実行する処理を示すフローチャート。

符号の説明

１０…認証システム
２０…ネットワーク
１００…認証装置
１０５…セキュリティドア
１０６…警報ランプ
１１０…ＣＰＵ
１２０…ハードディスク
１２５…分割データ
１３０…ＲＡＭ
１４０…生態情報取得部
１４１…ＣＣＤカメラ
１４２…画像処理ＩＣ
１５０…ネットワークインターフェース
１６０…ドアインターフェース
２００…認証装置
２０５…セキュリティドア
２０６…警報ランプ
２１０…ＣＰＵ
２２０…ハードディスク
２２５…分割データ
３００…認証装置
３０５…セキュリティドア
３０６…警報ランプ
３１０…ＣＰＵ
３２０…ハードディスク
３２５…分割データ
４００…認証装置
４０５…セキュリティドア
４０６…警報ランプ
４１０…ＣＰＵ
４２０…ハードディスク
４２５…分割データ

Claims (6)

1. 複数の認証装置を含む認証システムにおける認証装置であって、
   認証装置に入力される入力データと照合して認証を実行するためにあらかじめ用意されている認証データを複数に分割して得られる複数の分割データの一つを記憶する不揮発性記憶手段と、
   他の認証装置に記憶されている分割データを受信する受信手段と、
   前記不揮発性記憶手段に記憶されている分割データと前記受信された分割データとを結合して前記認証データを復元する復元手段と、
   復元された前記認証データを記憶する揮発性記憶手段と、
   前記復元された認証データと認証時に認証装置に入力される入力データとを照合して認証を実行する認証手段と、
   第１の時間に前記復元手段が復元し、前記揮発性記憶手段が記憶している第１の認証データと、第１の時間以後の第２の時間に前記復元手段が復元する第２の認証データとを照合する照合手段と、
   前記第１の認証データと第２の認証データとが不一致の場合に異常を知らせる警報手段と、
   を備える認証装置。
2. 請求項１に記載の認証装置において、
   前記所定の第１の時間は、認証装置の起動時である、認証装置。
3. 請求項１または請求項２に記載の認証装置はさらに、
   前記復元した認証データを、復元前の分割データとは異なる分割データに、再分割する分割手段と、
   前記再分割された分割データを他の認証装置に配布する配布手段と、
   を備える、認証装置。
4. 請求項３に記載の認証装置において、
   さらに、認証データの分割及び分割データの配布を実行する他の認証装置を他の複数の認証装置の中から指定する分割配布装置指定手段と、
   指定された認証装置示す符号を他の認証装置に送信する送信手段と、
   を備える、認証装置。
5. 複数の認証装置を含む認証システムであって、
   各認証装置は、
   認証装置に入力される入力データと照合して認証を実行するためにあらかじめ用意されている認証データを複数に分割して得られる複数の分割データの一つ部を記憶する不揮発性記憶手段と、
   他の認証装置に記憶されている前記複数の分割データを受信する受信手段と、
   前記不揮発性記憶手段に記憶されている分割データと前記受信された分割データとを結合して前記認証データを復元する復元手段と、
   復元された前記認証データを記憶する揮発性記憶手段と、
   認証時に前記入力データと前記揮発性記憶手段に記憶された前記認証データとを照合して認証を実行する認証手段と、
   所定の第１の時間に復元され揮発性記憶手段に記憶される第１の認証データと、第１の時間以後の所定の第２の時間に復元される第２の認証データとを照合する照合手段と、
   前記第１の認証データと第２の認証データとが不一致の場合に警報を発する警報手段とを備え、
   前記複数の認証装置のうちの１の認証装置は、さらに、
   前記復元した認証データを受信した分割データとは異なる分割データに分割する分割手段と、
   前記分割された分割データを他の認証装置に配布する配布手段と、
   認証データの分割及び分割データの配布を実行する他の認証装置を他の複数の認証装置の中から指定する分割配布装置指定手段と、
   指定された認証装置を示す符号を他の認証装置に送信する送信手段と、
   を備える認証システム。
6. 認証装置における装置確認方法であって、
   起動時に、他の認証装置の不揮発性記憶部に格納されている複数の分割データを受信し、
   自己の不揮発性記憶手段に格納されている分割データと前記受信した分割データとを結合して第１の認証データを復元し、
   前記復元した第１の認証データを揮発性記憶手段に格納し、
   所定の時間経過後、他の認証装置の不揮発性記憶部に格納されている複数の分割データを受信し、
   自己の不揮発性記憶手段に格納されている分割データと前記受信した分割データとを結合して第２の認証データを復元し、
   前記第１の認証データと第２の認証データを照合して、他の認証装置が正規な装置か判断し、
   他の認証装置が正規な装置の場合には、複数の認証装置のうちの１の認証装置は、前記第２の認証データを複数の分割データに再分割し、
   前記第２の認証データを再分割した分割データを複数の認証装置の不揮発性記憶手段に格納し、
   所定の時間ごとに、分割データから認証データを復元し、復元した認証データと第１の認証データとを照合して他の認証装置が正規な装置か判断し、他の認証装置が正規な装置の場合には、前記１の認証装置とは異なる認証装置が、前記第１の認証データと照合した認証データを複数の分割データに再分割し、複数認証装置の不揮発性記憶手段に格納することを繰り返すことにより他の認証装置が正規な装置であることを確認する、
   認証装置の装置確認方法。

Images