JP5094440B2 - システム管理装置、およびセキュリティシステム - Google Patents

Description

本発明は、システムの利用者を制限するシステム管理装置、および、このシステム管理装置を適用したセキュリティシステムに関する。

従来、利用者に対する本人認証には、ＩＤ、パスワード等の暗証情報による認証や、指紋、指静脈、掌等の生体情報による認証がある。この本人認証にかかる技術は、例えば、管理区域に入退室する利用者について本人認証を行い、利用者本人であることを確認した場合に、入退室を許可するシステムや、サーバ等に保存されている情報にアクセスする利用者について本人認証を行い、利用者本人であることを確認した場合に、アクセスを許可するシステムで利用されている。また、一般に、生体情報による認証は、暗証情報による認証に比べて、「なりすまし」に対するセキュリティが高いと言われている。

また、利用者を生体情報で認証するシステムには、例えば特許文献１、２に記載されたものがある。特許文献１に記載のシステムでは、利用者が生体認証における照合の基準となるテンプレート（照合用生体情報）を登録したＩＣカード等の媒体を保持している。このテンプレートは、利用者から読み取った指紋、指静脈、掌等の生体情報を基に、予め定められた手順（アルゴリズム）で生成したものであり、その特徴量が含まれている。このシステムは、警備区画内における利用者のアクセス管理を行う。具体的には、利用者が、警備区画内に入場する際に提示した媒体の正当性をシステムで検証し、媒体が正当なものであると認められた場合には媒体内のテンプレートを一時テンプレートとしてシステムに登録する。そして、警備区画内では、この警備区画内で分割されている内部区画の入退室時や、端末のアクセス時等、必要に応じて、利用者から生体情報を読み取り、記憶している一時テンプレートとを照合して、利用者の認証を行っている。

また、特許文献２に記載のシステムでは、あらかじめテンプレートを初期認証システムに登録しておき、初回アクセス時に、利用者から読み取った生体情報と、記憶しているテンプレートとを照合し、利用者の認証を行う。ここで、利用者が認証できると、利用者から読み取った生体情報を一時テンプレートとして任意時点認証システムに登録する。そして、システム利用中の利用者に対して、必要に応じて、利用者の認証を行う。この認証は、利用者から読み取った生体情報と、任意時点認証システムに登録している一時テンプレートと、の照合により行われる。
特開２００１− ７６２７０号公報 特開２００６−１６３４５３号公報

しかしながら、特許文献１に記載のシステムは、利用者がシステムを利用するときに、その利用者のＩＣカード等の媒体に記憶しているテンプレートを一時テンプレートとして登録するものであった。このため、利用者は、システムの利用時に登録される一時テンプレートが、常に同じであった。

また、特許文献２に記載のシステムは、利用者がシステムを利用するときに、その利用者から読み取った生体情報を基に一時テンプレートを生成し、これを登録する構成であるが、一時テンプレートを生成する手順が同じであった。このため、利用者は、システムの利用時に登録される一時テンプレートが、殆ど同じであった。

したがって、システムに登録された利用者の一時テンプレートが漏洩すると、この一時テンプレートを利用したシステムの不正利用に対するセキュリティが低下するという問題があった。

この発明の目的は、システムの利用に先立って登録された利用者の生体情報が漏洩しても、システムの不正利用に対するセキュリティの低下が抑えられる管理装置、および、この管理装置を適用したセキュリティシステムを提供することにある。

この発明のシステム管理装置は、上記課題を解決し、その目的を達するために、以下のように構成している。

このシステム管理装置では、生成手順変更手段が、センサで読み取った利用者の生体部位の読取情報を基に生成される照合用生体情報の生成手順を予め定めたタイミングで変更する。照合用生体情報とは、利用者の認証に用いるテンプレートである。また、照合用生体情報の生成手順とは、センサで読み取った利用者の生体部位の読取情報から、どのような特徴量を抽出し、その特徴量をどのように変換（例えば、暗号化）するかを定めたものである。また、この生成手順は、例えば日付が変わる午前０時や、オペレータ等によって変更入力がなされたときに変更すればよい。照合用生体情報記憶手段が、利用者における前記システムの利用開始に先立って、その利用者の生体部位をセンサで読み取った読取情報を基に、その時点で、前記生成手順変更手段が決めている生成手順で生成した照合用生体情報を一時的に記憶する。また、認証手段が、利用者における前記システムの利用開始にあたって、その利用者の生体部位をセンサで読み取った読取情報を基に、その時点で、前記生成手順変更手段が決めている生成手順で生成された認証用生体情報と、前記照合用生体情報記憶手段が記憶している照合用生体情報と、を照合する生体認証で、この利用者に対する前記システムの使用可否を判定する。生体認証では、利用者から読み取った生体部位の読取情報を基に生成した認証用生体情報と、利用者について記憶している照合用生体情報と、を照合し、その一致度で利用者を認証する。さらに、削除手段が前記システムの利用が終了した利用者について、前記照合用生体情報記憶手段に一時的に記憶した照合用生体情報を削除する。

このため、照合用生体情報記憶手段が記憶する利用者の照合用生体情報は、その利用者について照合用生体情報を記憶したタイミングで変化する。したがって、照合用生体情報記憶手段が記憶している照合用生体情報が漏洩しても照合用生体情報の作成手順が適当なタイミングで変更されているので、この漏洩した照合用生体情報を利用したシステムの不正利用に対するセキュリティの低下が抑えられる。

また、照合用生体情報記憶手段が記憶する利用者の照合用生体情報は、利用者の生体部位をセンサで読み取る生体情報読取装置に作成させてもよいし、システム管理装置側で作成してもよい。生体情報読取装置で作成する場合には、照合用生体情報の生成手順を変更する毎に、変更した生成手順をシステム管理装置から生体情報読取装置に通知すればよい。また、システム管理装置で作成する場合には、照合用生体情報の生成手順を生体情報読取装置に通知する必要はなく、生体情報読取装置から利用者の生体部位をセンサで読み取った読取情報をシステム管理装置に通知すればよい。

また、このシステム管理装置と、管理区域における利用者の入退室を管理する入退室管理装置と、で管理区域内でのシステムの利用者を制限するセキュリティシステムを構築することもできる。

この場合には、入退室管理装置が、管理区域への利用者の入室を許可するときに、この利用者についての照合用生体情報を照合用生体情報記憶手段に記憶させ、管理区域からの利用者の退室を許可するときに、照合用生体情報記憶手段に記憶されている、この利用者についての照合用生体情報を削除すればよい。

また、入退室管理装置で、管理区域への入退室を希望する利用者に対して、暗証情報や、生体情報により認証を行うことで、セキュリティの一層の向上が図れる。

この発明によれば、システムの利用に先立って登録された利用者の生体情報が漏洩しても、システムの不正利用に対するセキュリティの低下が抑えられる。

以下、この発明の実施形態にかかるセキュリティシステムについて説明する。

図１は、このセキュリティシステムの構成を示す概略図である。このセキュリティシステムは、システム管理装置１と、入退室管理装置２と、情報サーバ３と、アクセス用端末４と、を備えている。このセキュリティシステムは、本システムの利用者を制限することにより、情報サーバ３で管理している重要情報に対する不正なアクセスを防止する。具体的には、情報サーバ３で管理している重要情報にアクセスすることができるアクセス用端末４を管理区域内に設置している。言い換えれば、管理区域外の装置から情報サーバ３で管理している重要情報にアクセスすることはできないように構成している。情報サーバ３には、ＬＡＮ等のネットワークを介して複数のアクセス用端末４がデータ通信可能に接続されている。また、システム管理装置１や入退室管理装置２も、情報サーバ３やアクセス用端末４とデータ通信可能に接続されている。情報サーバ３は、管理区域外に設置してもよいが、管理区域内に設置するのが好ましい。また、入退室管理装置２が、管理区域に入退室する利用者を認証し、認証できなかった利用者の入退室を拒否する。すなわち、管理区域に入室する権限を有していない利用者については、入退室管理装置２が管理区域への入室を阻止する。さらに、システム管理装置１は、管理区域に入室した利用者がアクセス用端末４の使用開始するときに、この利用者を認証し、認証できた利用者に対してアクセス用端末４の使用を許可する。すなわち、システム管理装置１は、認証できた利用者に対して、情報サーバ３が記憶する重要情報に対するアクセスを許可する。したがって、何らかの方法で管理区域に不正に入室できたとしても、この不正入室者は、アクセス用端末４の使用が許可されず、情報サーバ３で管理している重要情報にアクセスすることができない。

このように、このセキュリティシステムでは、管理区域に入室し、且つアクセス用端末４の使用が許可された利用者が、情報サーバ３で管理されている重要情報にアクセスすることができる。

入退室管理装置２は、図２に示すように、制御部２１と、扉開閉部２２と、通信部２３と、ＩＣカード処理ユニット２４と、生体情報読取ユニット２５と、を備えている。ここでは、入退室管理装置２は、ＩＣカード処理ユニット２４、および生体情報読取ユニット２５をそれぞれ２つずつ備えている。制御部２１は、入退室管理装置２本体各部の動作を制御する。扉開閉部２２は、管理区域の出入口に設けられた扉（不図示）を開閉する。この扉を開することにより、管理区域における利用者の入退室を許可し、この扉を閉することにより、管理区域における利用者の入退室を拒否する。通信部２３は、システム管理装置１との間におけるデータ通信を制御する。ＩＣカード処理ユニット２４は、利用者が所有するＩＣカード５に記録されているカード情報を読み出す。カード情報には、利用者を識別する利用者ＩＤや、この利用者の生体認証に用いるマスタテンプレートが含まれている（図３参照）。マスタテンプレートは、ＩＣカード５の発行時等に、利用者から読み取った指紋、指静脈、掌等のセンサの読取信号を基に、特定の生成手順で作成されたものである。このマスタテンプレートを生成する手順は、デフォルトのアルゴリズムによって規定されている。このデフォルトのアルゴリズムについては後述する。生体情報読取ユニット２５は、利用者の生体情報を読み取るセンサ部２５ａや、デフォルトのアルゴリズムやシステム管理装置１に登録する一時テンプレートの生成手順を規定する一時テンプレート用アルゴリズムを記憶するメモリ２５ｂを有している。

ＩＣカード処理ユニット２４、および生体情報読取ユニット２５は、少なくとも、管理区域の出入口の外側に設けてあればよい。これにより、管理区域に入室する利用者に対する認証が行える。この場合、管理区域から退室する利用者に対する認証が行えないので、ＩＣカード処理ユニット２４、および生体情報読取ユニット２５は、管理区域の出入口の両側に設けるのが好ましい。このため、このセキュリティシステムでは、上述したように、入退室管理装置２は、ＩＣカード処理ユニット２４、および生体情報読取ユニット２５をそれぞれ２つずつ備えている。また、入退室管理装置２は、ＩＣカード処理ユニット２４、および生体情報読取ユニット２５を内蔵した構成であってもよいし、これらをデータ通信ラインで接続した構成であってもよい。

システム管理装置１は、図４に示すように、制御部１１と、利用者情報管理部１２と、アルゴリズム管理部１３と、セキュリティ情報管理部１４と、通信部１５と、を備えている。制御部１１は、システム管理装置１本体各部の動作を制御する。利用者情報管理部１２は、利用者毎に、その利用者を識別する利用者ＩＤ、その利用者のセキュリティレベル、その利用者の認証に用いる一時テンプレートを対応付けた利用者情報を記憶している（図５参照）。利用者情報管理部１２が利用者ＩＤを記憶している利用者が、このシステムを利用することができる登録者である。セキュリティレベルは、Ａ、Ｂ、Ｃの順に低くなる。一時テンプレートは、その時点で管理区域内にいる利用者について記憶しているが、その時点で管理区域内にいない利用者については記憶していない。

アルゴリズム管理部１３は、利用者から読み取った指紋、指静脈、掌等のセンサの読取信号を基に生成するマスタテンプレートの生成手順を示すデフォルトのアルゴリズム、および、利用者から読み取った指紋、指静脈、掌等のセンサの読取信号を基に生成する一時テンプレートの生成手順を示す一時テンプレート用アルゴリズムを記憶している（図６参照）。生体情報読取ユニット２５のメモリ２５ｂに記憶しているデフォルトのアルゴリズムおよび一時テンプレート用アルゴリズムと、アルゴリズム管理部１３に記憶しているデフォルトのアルゴリズムおよび一時テンプレート用アルゴリズムと、は一致するように管理されている。すなわち、アルゴリズム管理部１３が記憶しているデフォルトのアルゴリズムは、ＩＣカード５に記憶しているマスタテンプレートの作成手順を示すアルゴリズムである。また、一時テンプレート用アルゴリズムは、予め定めたタイミングで変更される。このタイミングは、例えば、日付の変わる午前０時や、セキュリティシステムの起動時や、管理区域内に利用者が１人もいないときや、オペレータ等によって変更入力がなされたとき、にすればよい。また、セキュリティ情報管理部１４は、アクセス用端末４毎に、その端末を識別する端末ＩＤと、その端末のセキュリティレベルと、を対応付けて記憶している（図７参照）。ここでは、セキュリティレベルは、Ａ、Ｂ、Ｃの順に低くなる。

情報サーバ３で管理している重要情報にはセキュリティレベルが設定されている。情報サーバ３は、アクセス用端末４から管理している重要情報に対するアクセスの要求があると、このアクセス用端末４のセキュリティレベルと、アクセスが要求された重要情報のセキュリティレベルと、を比較し、今回の重要情報に対するアクセスを許可するかどうかを判定する。具体的には、情報サーバ３は、アクセス用端末４のセキュリティレベルが重要情報のセキュリティレベル未満であれば、重要情報に対するアクセスを拒否する。言い換えれば、情報サーバ３は、アクセス用端末４のセキュリティレベルが重要情報のセキュリティレベル以上であれば、重要情報に対するアクセスを拒否する。例えば、セキュリティレベルがＢのアクセス用端末４から重要情報に対するアクセスの要求があれば、セキュリティレベルがＢ、Ｃの重要情報についてはアクセスを許可するが、セキュリティレベルがＡの重要情報についてはアクセスを拒否をする。

アクセス用端末４は、一般的なパーソナルコンピュータであるので、その構成についての詳細な説明は省略するが、自端末を識別する端末ＩＤ、および自端末のセキュリティレベルをメモリに記憶している。また、このアクセス用端末４には、上述した生体情報読取ユニット２５が接続されている。生体情報読取ユニット２５は、アクセス用端末４に内蔵されていてもよい。

次に、このセキュリティシステムの各機器の動作について説明する。まず、このセキュリティシステムの動作の概要について説明する。

システム管理装置１は、予め定められたタイミングで一時テンプレート用アルゴリズムを変更する。入退室管理装置２は、管理区域に入室する利用者を認証し、認証できた利用者については管理区域への入室を許可する。このとき、管理区域に入室を許可した利用者については、その時点における一時テンプレート用アルゴリズムで一時テンプレートを生成し、システム管理装置１に登録する。システム管理装置１は、管理区域に入室した利用者がアクセス用端末４の使用を開始するとき、この利用者について一時テンプレートを用いた生体認証を行う。また、システム管理装置１は、この一時テンプレートを用いた生体認証で認証された利用者について、この利用者のセキュリティレベルと、この利用者が使用するアクセス用端末４のセキュリティレベルと、を比較し、アクセス用端末４の使用可否を判定する。利用者のセキュリティレベルが、アクセス用端末４のセキュリティレベル以上であれば使用可と判定し、反対に、利用者のセキュリティレベルが、アクセス用端末４のセキュリティレベル未満であれば使用不可と判定する。利用者が、使用が許可されたアクセス用端末４を操作して、情報サーバ３で管理している重要情報に対してアクセスを行うと、情報サーバ３はアクセスの要求があった重要情報のセキュリティレベルと、アクセス用端末４のセキュリティレベルと、を比較し、この重要情報に対するアクセスの可否を判定する。アクセス用端末４を操作している利用者は、情報サーバ３によって重要情報に対するアクセスが許可されると、その重要情報にアクセスすることができる。反対に、利用者は、情報サーバ３によって重要情報に対するアクセスが拒否されると、その重要情報にアクセスすることができない。さらに、入退室管理装置２は、管理区域外に退室する利用者を認証し、認証できた利用者については管理区域外への退室を許可する。また、この退室を許可した利用者については、システム管理装置１に登録されている一時テンプレートを削除する。

このように、利用者は、管理区域に入室するときに、一時テンプレートがシステム管理装置１に登録される。すなわち、利用者は、アクセス用端末４を操作して情報サーバ３で管理している重要情報にアクセスするシステムの利用に先立って、一時テンプレートがシステム管理装置１に登録される。この一時テンプレート用アルゴリズムは、上述したように、予め定められたタイミングで変更される。このため、システム管理装置１に登録されている一時テンプレートが漏洩しても、適当なタイミングで一時テンプレート用アルゴリズムが変更されるので、この漏洩した一時テンプレートを利用して、情報サーバ３が管理する重要情報に対する不正なアクセスが要求されても、これを拒否することができる。したがって、不正なアクセスに対するセキュリティの低下が抑えられる。

以下、このセキュリティシステムの各機器の動作について詳細に説明する。最初に、一時テンプレート用アルゴリズムの変更にかかる処理について説明する。図８は、この一時テンプレート用アルゴリズムの変更にかかるシステム管理装置の処理を示すフローチャートである。また、図９は、この一時テンプレート用アルゴリズムの変更にかかる入退室管理装置、およびアクセス用端末の処理を示すフローチャートである。システム管理装置１は、予め定められている一時テンプレート用アルゴリズムの変更タイミングになると（ｓ１）、接続されている全ての入退室管理装置２、およびアクセス用端末４に対して、一時テンプレート用アルゴリズムの変更開始を通知する（ｓ２）。入退室管理装置２、およびアクセス用端末４は、システム管理装置１から一時テンプレート用アルゴリズムの変更開始にかかる通知を受信すると（ｓ１１）、一時テンプレート用アルゴリズムの変更準備完了をシステム管理装置１に返信する（ｓ１２）。このとき、入退室管理装置２、およびアクセス用端末４は、他の処理（例えば、情報サーバ３で管理している重要情報にアクセスする処理）を一時的に停止する構成としてもよい。

この一時テンプレート用アルゴリズムの変更タイミングは、利用者が管理区域内にいないタイミングであるのが望ましい。すなわち、一時テンプレート用アルゴリズムが変更されたときに、管理区域内に利用者がいると、この管理区域内にいる利用者は、今回の変更前の一時テンプレート用アルゴリズムで生成された一時テンプレートがシステム管理装置１に登録されていることになる。一方、管理区域内にいる利用者の認証は、その時点で設定されている一時テンプレート用アルゴリズムが使用される。このため、一時テンプレート用アルゴリズムが変更されたときに、管理区域内にいる利用者については認証できない状態になる。また、後述するように、一時テンプレートは、利用者が管理区域に入室するときに、システム管理装置１に登録されるので、結果的に、一時テンプレート用アルゴリズムが変更されたときに、管理区域内にいる利用者は、一旦管理区域外に退室し、再度管理区域内に入室することになり、利用者に面倒な作業をさせることにもなる。

したがって、一時テンプレート用アルゴリズムの変更タイミングは、利用者が管理区域内にいない状態になる時間帯、例えば日付が変わる午前０時、に行うのが望ましい。また、システム管理装置１では、一時テンプレートが登録されている利用者の有無によって、管理区域内における利用者の有無を判断することができるので、利用者が管理区域内にいないと判断できたタイミングを、一時テンプレート用アルゴリズムの変更タイミングとしてもよい。さらには、オペレータ等による、一時テンプレート用アルゴリズムの変更指示にかかる入力があったタイミングで、一時テンプレート用アルゴリズムを変更するようにしてもよい。

システム管理装置１は、入退室管理装置２、およびアクセス用端末４から、一時テンプレート用アルゴリズムの変更準備完了にかかる返信を受信すると（ｓ３）、変更する一時テンプレート用アルゴリズムを作成する（ｓ４）。ｓ３では、接続されている全ての入退室管理装置２、およびアクセス用端末４からの返信受信を判断している。また、ｓ４では、例えば乱数を発生させ、この乱数を用いて一時テンプレート用アルゴリズムを作成する。システム管理装置１は、アルゴリズム管理部１３に記憶している一時テンプレート用アルゴリズムを、今回作成した一時テンプレート用アルゴリズムに更新する（ｓ５）。また、今回作成した一時テンプレート用アルゴリズムを接続されている全ての入退室管理装置２、およびアクセス用端末４に通知する（ｓ６）。

入退室管理装置２、およびアクセス用端末４は、システム管理装置１から更新する一時テンプレート用アルゴリズムを受信すると（ｓ１３）、生体情報読取ユニット２５のメモリ２５ｂに記憶している一時テンプレート用アルゴリズムを、今回受信した一時テンプレート用アルゴリズムに書き換えて更新する（ｓ１４）。入退室管理装置２、およびアクセス用端末４は、一時テンプレート用アルゴリズムの更新完了をシステム管理装置１に通知する（ｓ１５）。

システム管理装置１は、接続されている全ての入退室管理装置２、およびアクセス用端末４から更新完了を受信すると（ｓ７）、接続されている全ての入退室管理装置２、およびアクセス用端末４に対して、一時テンプレート用アルゴリズムの変更終了を通知し（ｓ８）、本処理を終了する。入退室管理装置２、およびアクセス用端末４は、システム管理装置１から一時テンプレート用アルゴリズムの変更終了を受信すると（ｓ１６）、本処理を終了する。このとき、入退室管理装置２、およびアクセス用端末４は、他の処理（例えば、情報サーバ３で管理している重要情報にアクセスする処理）を一時的に停止していれば、これらの処理の停止を解除する。

次に、利用者が管理区域に入室するときの動作について説明する。図１０は、管理区域への利用者の入室にかかる入退室管理装置の処理を示すフローチャートである。また、図１１は、管理区域への利用者の入室にかかるシステム管理装置の処理を示すフローチャートである。入退室管理装置２は、ＩＣカード処理ユニット２４で、管理区域に入室する利用者が所持しているＩＣカード５を受け付け、このＩＣカード５に記録されているカード情報を読み取る（ｓ２１）。上述したように、カード情報には、利用者ＩＤやマスタテンプレートが含まれている。入退室管理装置２は、ｓ２１で読み取った利用者ＩＤを含む登録者確認要求をシステム管理装置１に送信する（ｓ２２）。

システム管理装置１は、入退室管理装置２から登録者確認要求を受信すると（ｓ４１）、この登録者確認要求に含まれている利用者ＩＤが利用者情報管理部１２に登録されているかどうかを判定する（ｓ４２）。ｓ４２では、。入退室管理装置２が受け付けたＩＣカード５を所持している利用者が、登録者であるかどうかを判定している。システム管理装置１は、ｓ４２にかかる判定結果を入退室管理装置２に通知する（ｓ４３、ｓ４４）。また、システム管理装置１は、ｓ４４で未登録者であることを通知すると、本処理を終了する。

入退室管理装置１は、システム管理装置１から未登録者である旨の通知を受信すると（ｓ２３）、本処理を終了する。すなわち、未登録者については、管理区域への入室を拒否する。入退室管理装置１は、システム管理装置１から登録者である旨の通知を受信すると、生体情報読取ユニット２５のセンサ部２５ａで利用者の生体情報を読み取る（ｓ２４）。生体情報読取ユニット２５は、読み取った利用者の生体情報の読取信号を基に、メモリ２５ｂに記憶しているデフォルトのアルゴリズムで認証用の生体情報を生成する（ｓ２５）。入退室管理装置１は、ｓ２５で生成した認証用の生体情報と、ｓ２１でＩＣカード５から読み取ったマスタテンプレートと、を照合し、利用者が登録者本人であるかどうかを認証する（ｓ２６）。

なお、ここでは、入退室管理装置１が利用者が登録者本人であるかどうかを認証するとしたが、ｓ２５で生成した認証用の生体情報をＩＣカード５に入力し、ＩＣカード５側でこの認証を行い、その結果を入退室管理装置１に通知する構成としてもよい。この場合には、ＩＣカード５を、上記認証が行える構成にする必要があるが、この場合には、マスタテンプレートをＩＣカード５から読み出し禁止にすることができ、マスタテンプレートの漏洩に対するセキュリティを向上させることができる。

入退室管理装置１は、利用者が登録者本人でないと判定すると、その旨をシステム管理装置１に通知し（ｓ２７、ｓ２８）、本処理を終了する。一方、入退室管理装置１は、利用者が登録者本人であると判定すると、メモリ２５ｂに記憶している一時テンプレート用アルゴリズムで一時テンプレートを生成する（ｓ２７、ｓ２９）。ｓ２９では、利用者の生体情報を再度読み取ってもよいが、ｓ２４で読み取った利用者の生体情報を用いたほうが利用者の操作が煩雑にならず、好ましい。入退室管理装置１は、ｓ２９で生成した一時テンプレートをシステム管理装置１に通知する（ｓ３０）。

システム管理装置１は、入退室管理装置１から、利用者が登録者本人でない旨の通知を受信すると（ｓ４５）、本処理を終了する。また、システム管理装置１は、入退室管理装置１から、利用者の一時テンプレートを受信すると（ｓ４６）、利用者情報管理部１２における該当する利用者の利用者ＩＤに通知された一時テンプレートを対応付けて記憶する（ｓ４７）。そして、一時テンプレートの登録完了を入退室管理装置１に通知し（ｓ４８）、本処理を終了する。

入退室管理装置１は、システム管理装置１から一時テンプレートの登録完了にかかる通知を受信すると（ｓ３１）、扉開閉部２２により、管理区域の出入口に設けた扉を開し（ｓ３２）、利用者が管理区域に入室するのを許可する。入退室管理装置１は、利用者が管理区域に入室すると（ｓ３３）、扉開閉部２２により、管理区域の出入口に設けた扉を閉し（ｓ３４）、本処理を終了する。

このように、利用者が管理区域に入室するときに、システム管理装置１が利用者情報管理部１２における該当する利用者の利用者ＩＤに通知された一時テンプレートを対応付けて記憶する。また、この一時テンプレートは、この時点で決められている一時テンプレート用アルゴリズムで生成されたものであり、この一時テンプレート用アルゴリズムは、上述したように、予め定められたタイミングで変更されている。また、上記説明からも明らかなように、管理区域にともづれで入室した利用者については、システム管理装置１に一時テンプレートが登録されない。

次に、管理区域に入室した利用者がアクセス用端末４を操作して、情報サーバ３で管理している重要情報にアクセスするために、アクセス用端末４を起動する処理について説明する。図１２は、アクセス用端末の起動処理を示すフローチャートである。図１３は、このときのシステム管理装置の処理を示すフローチャートである。アクセス用端末４は、通常スタンバイ状態であり、使用する際に利用者が起動する。利用者は、アクセス用端末４の使用を開始するとき、このアクセス用端末４に接続されている生体情報読取ユニット２５のセンサ部２５ａに生体情報を読み取らせる。アクセス用端末４では、生体情報読取ユニット２５がセンサ部２５ａで利用者の生体情報を読み取ると（ｓ５１）、読み取った利用者の生体情報の読取信号を基に、メモリ２５ｂに記憶している一時テンプレート用アルゴリズムで認証用の生体情報を生成する（ｓ５２）。アクセス用端末４は、生体情報読取ユニット２５で生成された認証用の生体情報、自端末を識別する端末ＩＤ、および自端末のセキュリティレベル、を含む認証要求をシステム管理装置１に送信する（ｓ５３）。

システム管理装置１は、アクセス用端末４から認証要求を受信すると（ｓ６１）、利用者情報管理部１２に記憶している一時テンプレート毎に、この認証要求に含まれている認証用の生体情報を照合し、利用者を特定する（ｓ６２）。システム管理装置１は、ｓ６２で利用者が特定できなかった場合（ｓ６３）、アクセス用端末４に対して使用不可を通知し（ｓ６４）、本処理を終了する。アクセス用端末４は、システム管理装置１から使用不可の通知があると（ｓ５４）、利用者による使用を拒否し（ｓ５５）、本処理を終了する。ｓ５５では、例えば、アクセス用端末４は、その状態をスタンバイ状態で保持し、起動しない。

システム管理装置１は、アクセス用端末４の利用者が特定できると、この利用者のセキュリティレベルと、この利用者が使用するアクセス用端末４のセキュリティレベルと、を比較し、アクセス用端末４の使用可否を判定する（ｓ６５）。すなわち、ｓ６５ではセキュリティレベルによりアクセス用端末４の使用可否を判定している。システム管理装置１は、ｓ６５の判定結果が使用不可であれば（ｓ６６）、ｓ６４でアクセス用端末４に対して使用不可を通知し、本処理を終了する。一方、システム管理装置１は、ｓ６５の判定結果が使用可であれば（ｓ６６）、その旨をアクセス用端末４に通知する（ｓ６７）。

アクセス用端末４は、システム管理装置１から使用可の通知があると、利用者による使用を許可する（ｓ５６）。ｓ５６では、例えば、アクセス用端末４は、スタンバイ状態を終了し、本体を起動する。これにより、利用者は、アクセス用端末４を操作して、情報サーバ３で管理している重要情報にアクセスすることができる。利用者は、アクセス用端末４の使用を終了するとき、このアクセス用端末４をスタンバイ状態に移行させる。

なお、情報サーバ３は、上述したように、アクセス用端末４から重要情報に対するアクセスの要求があると、アクセスの要求があった重要情報のセキュリティレベルと、アクセス用端末４のセキュリティレベルと、を比較し、この重要情報に対するアクセスの可否を判定する。したがって、情報サーバ３で管理している重要情報を、セキュリティレベルに応じて、アクセスすることができるアクセス用端末４、すなわち利用者、を制限することができる。

また、ここでは、情報サーバ３で管理している重要情報を、セキュリティレベルで分けて管理するシステムで説明したが、重要情報をセキュリティレベルで分けていないシステムであってもよい。この場合には、上述したセキュリティレベルによる判定にかかる処理を無くせばよい。

また、上述したように、ともづれで管理区域に入室した利用者は、一時テンプレートがシステム管理装置１に登録されていないので、アクセス用端末４の使用が許可されることはない。また、一時テンプレートが漏洩したとしても、この一時テンプレートを利用して管理区域に入室したり、アクセス用端末４を使用したりすることはできない。したがって、システムへの不正なアクセスに対するセキュリティの低下が抑えられる。

また、このアクセス用端末４の使用可否にかかる利用者の認証については、アクセス用端末４の使用開始時だけでなく、使用中にも適当なタイミングで行うようにしてもよい。このようにすれば、利用者が途中で入れ替わった場合等に対するセキュリティの低下も抑えられる。

次に、利用者が管理区域から退室するときの動作について説明する。図１４は、管理区域への利用者の退室処理にかかる入退室管理装置のフローチャートである。図１５は、管理区域への利用者の退室処理にかかるシステム管理装置のフローチャートである。入退室管理装置２は、ＩＣカード処理ユニット２４で、管理区域から退室する利用者が所持しているＩＣカード５を受け付け、このＩＣカード５に記録されているカード情報を読み取る（ｓ７１）。また、入退室管理装置１は、生体情報読取ユニット２５のセンサ部２５ａで利用者の生体情報を読み取る（ｓ７２）。生体情報読取ユニット２５は、読み取った利用者の生体情報の読取信号を基に、メモリ２５ｂに記憶しているデフォルトのアルゴリズムで認証用の生体情報を生成する（ｓ７３）。入退室管理装置１は、ｓ７３で生成した認証用の生体情報と、ｓ７１でＩＣカード５から読み取ったマスタテンプレートと、を照合し、利用者が登録者本人であるかどうかを認証する（ｓ７４）。

なお、ここでも、入退室管理装置１が利用者が登録者本人であるかどうかを認証するとしたが、ｓ７３で生成した認証用の生体情報をＩＣカード５に入力し、ＩＣカード５側でこの認証を行い、その結果を入退室管理装置１に通知する構成としてもよい。

入退室管理装置１は、利用者が登録者本人でないと判定すると、不審者の検知を警備員等に通知する報知処理を行い（ｓ７５、ｓ７６）、本処理を終了する。これにより、管理区域に不正に入室した未登録者をとらえることができる。一方、入退室管理装置１は、利用者が登録者本人であると判定すると、利用者の退室をシステム管理装置１に通知する（ｓ７５、ｓ７７）。このとき、入退室管理装置１は、管理区域から退室する利用者の利用者ＩＤもシステム管理装置１に通知する。

システム管理装置１は、入退室管理装置１から、利用者の退室が通知されると（ｓ９１）、利用者情報管理部１２において該当する利用者ＩＤに対応付けて記憶している一時テンプレートを削除する（ｓ９２）。そして、一時テンプレートの削除完了を入退室管理装置１に通知し（ｓ９３）、本処理を終了する。

入退室管理装置１は、システム管理装置１から一時テンプレートの削除完了にかかる通知を受信すると（ｓ７８）、扉開閉部２２により、管理区域の出入口に設けた扉を開し（ｓ７９）、利用者が管理区域から退室するのを許可する。入退室管理装置１は、利用者が管理区域から退室すると（ｓ８０）、扉開閉部２２により、管理区域の出入口に設けた扉を閉し（ｓ８１）、本処理を終了する。

このように、管理区域から退室した利用者については、利用者情報管理部１２に記憶している一時テンプレートが削除される。すなわち、一時テンプレートを利用者情報管理部１２に記憶している利用者は、管理区域内にいる利用者である。また、管理区域内にいる利用者についてのみ一時テンプレートを記憶しているので、上述したｓ６２における利用者の特定時に、照合する一時テンプレートの総数を抑えることができ、システム管理装置１の負荷が抑えられる。

また、上記のセキュリティシステムでは、管理区域に入退室する利用者について、生体情報による認証を行うとしたが、ＩＤやパスワードによる認証に置き換えてもよい。また、上記実施形態では、情報サーバ３で管理している重要情報に対するアクセスを制限するセキュリティを例にして説明したが、管理区域内が複数の部屋に分割されており、いずれかの部屋に入退室する利用者を制限するセキュリティシステムや、アプリケーション単位のサービスに対して適用するセキュリティシステムであってもよい。

また、一時テンプレートの変更は、一時テンプレートの漏洩や不正アクセスを管理者、あるいはセキュリティシステムが検知した場合に、実行できるようにしてもよい。

また、システム管理装置１、入退室管理装置２、およびアクセス用端末４のそれぞれに、上述した一時テンプレート用アルゴリズムを作成する機能を設け、これの装置が、日付等を用いて同一の一時テンプレート用アルゴリズムを作成する構成としてもよい。このようにすれば、システム管理装置１から、一時テンプレート用アルゴリズムを入退室管理装置２、およびアクセス用端末４に送信する必要がないので、送信時に一時テンプレート用アルゴリズムが漏洩するという問題も生じない。

さらに、上記の説明では、ともづれで管理区域に入室した利用者については、一時テンプレートが登録されないとしたが、ともづれした利用者の認証で、一時テンプレートがシステム管理装置１に登録できる構成としてもよい。また、この場合、システム管理装置１では、ともづれで入室した利用者と、登録者と、を区別して管理するのが好ましい。

また、入室する利用者の一時テンプレートを、入退室管理装置２で生成するとしたが、これをシステム管理装置１で生成するようにしてもよい。この場合、入室する利用者から読み取った生体情報の読取信号を、入退室管理装置２からシステム管理装置１に送信すればよい。また、このときには、入退室管理装置２に対して一時テンプレート用アルゴリズムを通知しなくてもよい。アクセス用端末４についても、利用者の認証時に一時テンプレート用アルゴリズムで認証用の生体情報を生成するとしたが、利用者から読み取った生体情報の読取信号をシステム管理装置１に通知する構成としてもよい。この場合も、アクセス用端末４に一時テンプレート用アルゴリズムを通知しなくてもよい。したがって、一時テンプレート用アルゴリズムの変更が、システム管理装置１単独で行えるようになる。

セキュリティシステムの構成を示す概略図である。 入退室管理装置の主要部の構成を示す図である。 カード情報を示す図である。 システム管理装置の主要部の構成を示す図である。 利用者情報を示す図である。 アルゴリズム管理部が管理する情報を示す図である。 セキュリティ情報管理部が管理する情報を示す図である。 一時テンプレート用アルゴリズムの変更にかかるシステム管理装置の処理を示すフローチャートである。 一時テンプレート用アルゴリズムの変更にかかる入退室管理装置、およびアクセス用端末のフローチャートである。 管理区域への利用者の入室処理にかかる入退室管理装置のフローチャートである。 管理区域への利用者の入室処理にかかるシステム管理装置のフローチャートである。 アクセス用端末の起動処理を示すフローチャートである。 アクセス用端末の起動にかかるシステム管理装置の処理を示すフローチャートである。 管理区域への利用者の退室処理にかかる入退室管理装置のフローチャートである。 管理区域への利用者の退室処理にかかるシステム管理装置のフローチャートである。

符号の説明

１−システム管理装置
２−入退室管理装置
３−情報サーバ
４−アクセス用端末
５−ＩＣカード
１１−制御部
１２−利用者情報管理部
１３−アルゴリズム管理部
１４−セキュリティ情報管理部
１５−通信部
２１−制御部
２２−扉開閉部
２３−通信部
２４−ＩＣカード処理ユニット
２５−生体情報読取ユニット

Claims (6)

1. システムの利用者を制限するシステム管理装置において、
   センサで読み取った利用者の生体部位の読取情報を基に生成される照合用生体情報の生成手順を予め定めたタイミングで変更する生成手順変更手段と、
   利用者における前記システムの利用開始に先立って、その利用者の生体部位をセンサで読み取った読取情報を基に、その時点で、前記生成手順変更手段が決めている生成手順で生成された照合用生体情報を一時的に記憶する照合用生体情報記憶手段と、
   利用者における前記システムの利用開始にあたって、その利用者の生体部位をセンサで読み取った読取情報を基に、その時点で、前記生成手順変更手段が決めている生成手順で生成された認証用生体情報と、前記照合用生体情報記憶手段が記憶している照合用生体情報と、を照合する生体認証で、この利用者に対する前記システムの使用可否を判定する認証手段と、
   前記システムの利用が終了した利用者について、前記照合用生体情報記憶手段に一時的に記憶した照合用生体情報を削除する削除手段と、を備えたシステム管理装置。
2. 前記生成手順変更手段が照合用生体情報の生成手順を変更する毎に、変更された生成手順を、利用者の生体部位をセンサで読み取る生体情報読取装置に通知し、この生体情報読取装置から、前記照合用生体情報記憶手段に記憶する利用者の照合用生体情報を取得する照合用生体情報取得手段を備えた請求項１に記載のシステム管理装置。
3. 管理区域における利用者の入退室を管理する入退室管理装置と、
   前記管理区域内でのシステムの利用者を制限するシステム管理装置と、を有するセキュリティシステムにおいて、
   前記システム管理装置は、
   センサで読み取った利用者の生体部位の読取情報を基に生成される照合用生体情報の生成手順を予め定めたタイミングで変更する生成手順変更手段と、
   前記生成手順変更手段が照合用生体情報の生成手順を変更する毎に、変更した生成手順を前記入退室管理装置に通知する生成手順通知手段と、を備え、
   前記入退室管理装置は、
   前記システム管理装置から通知された生成手順を記憶する生成手順記憶手段と、
   前記管理区域における利用者の入室時に、その利用者の生体部位をセンサで読み取った読取情報を基に、前記生成手順記憶手段が記憶している生成手順で照合用生体情報を生成する照合用生体情報生成手段と、
   前記照合用生体情報生成手段が生成した利用者の照合用生体情報を、前記システム管理装置に通知する照合用生体情報通知手段と、
   前記管理区域における利用者の退室時に、その利用者の退室を前記システム管理装置に通知する退室通知手段と、を備え、
   さらに、前記システム管理装置は、
   前記入退室管理装置から通知された利用者の照合用生体情報を一時的に記憶する照合用生体情報記憶手段と、
   利用者における前記管理区域内での前記システムの利用開始にあたって、その利用者の生体部位をセンサで読み取った読取情報を基に、その時点で、前記生成手順変更手段が決めている生成手順で生成された認証用生体情報と、前記照合用生体情報記憶手段が記憶している照合用生体情報と、を照合する生体認証で、この利用者に対する前記システムの使用可否を判定する認証手段と、
   前記入退室管理装置から退室が通知された利用者について、前記照合用生体情報記憶手段に一時的に記憶した照合用生体情報を削除する削除手段と、を備えている、
   セキュリティシステム。
4. 前記入退室管理装置は、
   前記管理区域における利用者の入退室時に、その利用者について入退室の可否を認証する認証手段を備えている、
   請求項３に記載のセキュリティシステム。
5. 前記入退室管理装置は、
   前記照合用生体情報生成手段が、前記認証手段により前記管理区域への入室が許可された利用者について照合用生体情報を生成する手段である、
   請求項４に記載のセキュリティシステム。
6. 前記入退室管理装置は、
   前記認証手段が、入力されたパスワードを用いて、利用者を認証する手段である、
   請求項４または５に記載のセキュリティシステム。

Images