JP5323971B1 - 認証装置及びこれを備えた認証システム - Google Patents

Abstract

【課題】認証に用いられる情報の流出を防止すると共に、認証における成り済ましを防止することを可能とする認証装置を提供する。
【解決手段】秘匿情報が記憶されたＩＣカード運転免許証Ｌと通信可能に設けられ、暗唱番号（ＰＩＮ１、ＰＩＮ２）を用いて秘匿情報を読み出すタブレット２が、運転者の顔画像を照合するための照合用顔画像と暗唱番号とを分散した分散情報の一部である内部分散データを格納する分散データ格納部３３を有し、分散情報において内部分散データとは異なる外部分散データを運行管理サーバ５から取得することにより、それら内部および外部分散データから照合用顔画像および暗唱番号を復元する構成とする。
【選択図】図２

Description

本発明は、認証装置及びこれを備えた認証システムに関し、特に、遠隔地における認証対象の正当性を確認するのに適した認証装置及びこれを備えた認証システムに関する。

従来、この種の認証システムとして、例えば、飲酒運転を防止するためのアルコール検査システムであって、運転者の呼気中のアルコール濃度を測定するアルコール測定器と、運転者の運転免許証の画像を読み込む免許証リーダと、その運転免許証の画像から認識した免許証番号が事前に登録されたものであるか否かを判定するＰＣとを備え、アルコール測定器は、運転免許証の画像から取得された免許証番号が正規の番号であるとＰＣによって判断された後に、アルコール濃度の測定を開始するようにしたものが知られている（特許文献１参照）。

特開２００５−１５７５９９号公報

上記特許文献１に記載された従来技術は、運転者のＩＤ入力等の代わりに運転免許証の画像から読み取った免許証番号を用いることで、免許証の不携帯や失効の確認と、飲酒点検とを同時に行うことを可能とするものである。

しかしながら、上記従来技術では、遠隔地においてアルコール濃度を測定する場合、免許証番号等の個人情報が不特定の利用者によって共有されるネットワーク上を流れるため、この個人情報が悪意の第三者に入手されると、本人への成り済まし等の犯罪に用いられる可能性があるという問題があった。

また、上記従来技術では、遠隔地においてアルコール濃度を測定する場合に、正規の運転者でない他人であっても、正規の免許証を入手できれば、その券面に印刷された顔写真やその他の免許証本人の顔写真を入手し認識させて本人に成り済ますことが可能となるという問題もあった。つまり、上記従来技術では、飲酒した運転者の代わりに、飲酒していない他人がアルコール検査を行うこと等の不正行為を防止できなかった。

本発明は、このような従来技術の課題を鑑みて案出されたものであり、認証に用いられる情報の流出を防止すると共に、認証における成り済ましを防止することを可能とした認証装置及びこれを備えた認証システムを提供することを主目的とする。

本発明の認証装置は、秘匿情報が記憶された記憶媒体と通信可能に設けられ、所定の鍵情報を用いて前記秘匿情報を読み出す認証装置であって、認証対象者の生体情報を照合するための照合用生体情報と前記鍵情報とを含む認証用情報を秘密分散法に基づき分散した分散情報の一部である第１の分散データを格納する分散データ格納部と、前記分散情報から前記第１の分散データを除いた第２の分散データを外部から取得し、前記第１および第２の分散データから前記照合用生体情報および前記鍵情報を復元する分散情報復元部とを備えたことを特徴とする。

このように本発明によれば、認証に用いられる情報の流出を防止すると共に、認証における成り済ましを防止することが可能となるという優れた効果を奏する。

第１実施形態に係るアルコール検査システムの全体構成図 図１に示したアルコール検査システムの機能ブロック図 図１に示したアルコール検査システムによる処理手順の流れを示すフロー図 図３中のＳＴ１０１におけるタブレットの事前登録動作を示すフロー図 図３中のＳＴ１０１における管理サーバの事前登録動作を示すフロー図 図３中のＳＴ１０２におけるタブレットのログイン動作（出発地）を示すフロー図 図３中のＳＴ１０３におけるタブレットのログイン動作（遠隔地）を示すフロー図 図３中のＳＴ１０５におけるタブレットのアルコール検査結果の登録動作を示すフロー図 図３中のＳＴ１０５におけるタコグラフのアルコール検査結果の登録動作を示すフロー図 第２実施形態に係るタブレットのログイン動作（出発地）を示すフロー図 第２実施形態に係るタブレットのログイン動作（遠隔地）を示すフロー図 第２実施形態に係るタブレットのアルコール検査結果の登録動作を示すフロー図 第２実施形態に係るタコグラフのアルコール検査結果の登録動作を示すフロー図

上記課題を解決するためになされた第１の発明は、秘匿情報が記憶された記憶媒体と通信可能に設けられ、所定の鍵情報を用いて前記秘匿情報を読み出す認証装置であって、認証対象者の生体情報を照合するための照合用生体情報と前記鍵情報とを含む認証用情報を分散した分散情報の一部である第１の分散データを格納する分散データ格納部と、前記分散情報において前記第１の分散データとは異なる第２の分散データを外部から取得し、前記第１および第２の分散データから前記照合用生体情報および前記鍵情報を復元する分散情報復元部とを備えたことを特徴とする。

この第１の発明に係る認証装置は、認証装置内に格納された第１の分散データと、外部から取得された第２の分散データとから認証に用いられる照合用生体情報および鍵情報を復元するため、それら認証用情報が通信ネットワークを介して流出することを防止できると共に、認証における成り済ましを防止することができる。また、認証対象者は、生体情報（例えば、その場で取得できる顔画像、指紋、虹彩等の情報）と、復元された鍵情報とを認証に用いることができるため、暗証番号等の識別情報を記憶しておく必要はなく、認証操作の利便性が向上するという利点もある。

また、第２の発明は、上記第１の発明において、前記認証対象者の生体情報を取得する生体情報取得部と、復元された前記照合用生体情報と前記生体情報とを照合する生体情報照合部とを更に備え、前記生体情報照合部によって前記照合用生体情報と前記生体情報とが一致すると判定された場合にのみ、前記鍵情報を用いて前記秘匿情報を読み出し可能となる構成とする。

この第２の発明に係る認証装置は、記憶媒体や認証装置を他人が不正に取得した場合でも、秘匿情報の取得を防止できると共に、本人への成り済ましをより確実に防止することができる。

また、第３の発明は、上記第１または第２の発明において、前記分散情報復元部によって前記秘匿情報が読み出された後に、前記第２の分散データが消去される構成とする。

この第３の発明に係る認証装置は、使用後の第２の分散データの流出を防止し、認証装置の安全性および信頼性が向上する。

また、第４の発明は、上記第１から第３の発明のいずれかに係る認証装置と、前記第２の分散データを前記認証装置に提供する認証管理装置とを備えたことを特徴とする認証システムである。

また、第５の発明は、上記第４の発明において、前記記憶媒体には、前記鍵情報を必要とすることなく取得可能な公開情報が記憶され、前記認証装置は、前記記憶媒体から読み出した前記公開情報を前記認証管理装置に送信し、前記認証管理装置は、前記認証装置から取得した前記公開情報に対応する前記第２の分散データを前記認証装置に送信する構成とする。

この第５の発明に係る認証システムは、公開情報に対応する第２の分散データを確実に取得することが可能となる。

また、第６の発明は、上記第４または第５の発明において、前記認証対象者の身体の状態を測定する身体状態測定装置と、前記身体状態の測定結果を記録する記録装置とを更に備え、前記記録装置は、前記秘匿情報と前記身体状態の測定結果とを対応させて記録する構成とする。

この第６の発明に係る認証システムは、秘匿情報に基づき身体状態の測定結果の正当性を確認することができる。

また、第７の発明は、上記第６の発明において、前記秘匿情報とこれに対応する前記身体状態の測定結果とを前記記録装置に送信する構成とする。

この第７の発明に係る認証システムは、秘匿情報と身体状態の測定結果とを容易に対応させて記録することができる。

以下、本発明の実施の形態について図面を参照しながら説明する。

＜第１実施形態＞
図１は本発明の第１実施形態に係る認証システムとしてのアルコール検査システムを示す全体構成図である。このアルコール検査システム１は、運送会社における運送トラックの運転者（認証対象）に対する遠隔地でのアルコール検査の正当性を確認するためのものであり、運転者に携帯され、アルコール検査における検査対象の認証処理に用いられるタブレット（認証装置）２と、運送トラック内に設置され、アルコール検査およびその検査結果の記録にそれぞれ用いられる携帯型のアルコール検査器（身体状態測定装置）３およびデジタルタコグラフ（記録装置）４と、運送会社内に設置され、タブレット２と協働して認証処理を行う運行管理サーバ（認証管理装置）５とを備える。

タブレット２は、タッチパネルを備えた携帯型のパーソナルコンピュータからなる。タブレット２は、運行会社内に構築されたＬＡＮ（Local Area Network）１２またはそれを介して接続されるインターネット（広域ネットワーク）１３経由の通信により、或いは近距離無線通信等により、他の外部機器（デジタルタコグラフ４や運行管理サーバ５等）との間でデータ等の送受信を行うことが可能である。また、タブレット２は、運転者が所有する記憶媒体である非接触式のＩＣカード運転免許証（以下、免許証という。）Ｌに記録された情報（以下、免許証情報という。）を読み取り可能な読み取り装置としても機能する。なお、タブレット２は、図示しない３Ｇ回線やＬＴＥ等のモバイルネットワークを介してインターネット１３に接続することも可能である。

アルコール検査器３は、検査対象の呼気中のアルコール濃度を測定するための周知の構成を有している。また、アルコール検査器３を接続するデジタルタコグラフ（以下、タコグラフという。）４は、運送トラックの運行情報（運行時間や走行速度等）を電気的に記録するためのものであり、ここでは、アルコール検査器３からアルコール検査結果（測定されたアルコール濃度の情報）を取得して運行情報の一部として記録する。タコグラフ４は、タブレット２と同様に、インターネット１３や近距離無線通信等により他の外部機器と通信を行うことが可能である。

運行管理サーバ５は、汎用コンピュータからなり、運送トラックの運行情報の管理を行う。また、運行管理サーバ５は、ＬＡＮ１２またはインターネット１３を介してタブレット２と通信を行うことにより、タブレット２の要求に応じて認証処理用の各種データやプログラム等を提供することが可能である。

図２は図１に示したアルコール検査システムの機能ブロック図である。タブレット２は、所定の通信規格（IEEE 802.11b/g/a等）に準拠して無線ＬＡＮ通信を行うための無線通信モジュールを有するネットワーク通信部２１と、タッチパネルにより構成され、運転者に対して認証処理等に必要な種々の情報を表示する一方、運転者が認証処理等のための操作入力を行う表示・入力部２２と、運転者の顔画像（ここでは、静止画）等を撮影するためのカメラを有する撮影部（生体情報取得部）２３と、所定の通信規格（Bluetooth（登録商標）等）に準拠して近距離無線通信を行うための無線通信モジュールを有する近距離通信部２４と、免許証Ｌに対して非接触で電力伝送を行うことにより、免許証Ｌ内のＩＣチップに記録された情報を読み取るＩＣカードリーダ２５とを備えている。

また、タブレット２には、認証処理を含む種々の処理を実行するためのアプリケーションプログラムを格納するプログラムメモリ３１と、アプリケーションプログラムを実行するための作業領域として用いられるワークメモリ３２と、後に詳述する分散情報を格納するメモリである分散データ格納部３３と、各種プログラムの実行により、タブレット２の動作を統括的に制御するＣＰＵ（制御部）３４とを備えている。

タブレット２では、プログラムメモリ３１に格納されたアプリケーションプログラムによって、秘密分散法に基づく分散情報を用いて認証用情報を復元する分散情報復元部４１と、撮影部２３によって撮影された運転者の顔画像を照合する顔画像照合部（生体情報照合部）４２と、運転者が運行管理サーバ５に対してユーザ登録を行うためのユーザ登録部４３と、運転者のアルコール検査に関する処理を実行するアルコール検査部（身体状態情報処理部）４４とが実現される。

なお、秘密分散法としては、少なくとも認証用情報を分散化（複数に分割）し、その分散化された情報の一部によっては元の認証用情報を推測できないようにすることが可能な限りにおいて、種々の方法を用いることができる。例えば、多項式補間を利用する手法としてA.Shamir:"How to Share a Secret"、Communicaions of the ACM、November 1979、Volume 22、Number 11が知られている。

さらに、分散情報復元部４１によって認証用情報が復元されるための分散情報は、上述の秘密分散法に基づくものでなくてもよい。本発明における分散情報は、元の認証用情報より複数生成され、それぞれ単独によっては元の認証用情報を復元または推測できないものである。そして、分散情報は、生成された複数の分散データの全て、またはその一部の組が揃った時に、初めて元の認証用情報を復元できるものである。そのような分散情報を生成できる手法であれば、秘密分散法に限らず、いかなる手法を用いてもよい。

免許証Ｌは、タブレット２のＩＣカードリーダ２５との間で電力やデータの送受を行うアンテナを有する通信部５１と、図示しないＩＣチップ内に設けられたＩＣ制御部５２およびメモリ５３とを有している。ＩＣ制御部５２は、ＩＣチップにおけるデータの送受信や記憶等の動作を統括的に制御する制御回路の他、整流回路、変調回路、復調回路等を有している。また、メモリ５３は、ＥＥＰＲＯＭ等の不揮発性メモリからなり、免許証情報として、免許証Ｌの交付年月日および有効期限の情報を含む公開情報５５と、第１の暗唱番号であるＰＩＮ１によって保護された運転者の氏名、生年月日、免許の種類、免許証番号等の情報を含むＰＩＮ１秘匿情報５６と、第２の暗唱番号であるＰＩＮ２によって保護された運転者の免許証顔画像の情報を含むＰＩＮ２秘匿情報５７とを格納している。ＰＩＮ１およびＰＩＮ２は、免許証Ｌから秘匿情報を取得するための鍵情報であり、ここでは、運転者が予め設定した複数桁の数等により構成される。

なお、公開情報については、暗唱番号を必要とすることなくＩＣカードリーダによって読み出すことが可能である。また、ここで用いる「秘匿情報」は、公になっていない秘密の情報を必ずしも意味するものではなく、暗唱番号等の鍵情報で保護されることにより、第三者が免許証Ｌから読み出し不能な情報であることを意味する。

タコグラフ４は、上述のタブレット２におけるネットワーク通信部２１、表示・入力部２２、及び近距離通信部２４とそれぞれ同様の機能を有するネットワーク通信部６１、表示部６２・入力部６３、及び近距離通信部６４を備えている。また、タコグラフ４は、アルコール検査結果の登録（保存）等を実行するためのアプリケーションプログラムを格納するプログラムメモリ７１と、アプリケーションプログラムを実行するための作業領域として用いられるワークメモリ７２と、アルコール検査結果等の情報を記憶するストレージ７３と、各種プログラムの実行により、タコグラフ４の動作を統括的に制御するＣＰＵ７４と、アルコール検査器３が接続されるインタフェースである検査器Ｉ／Ｆ７５とを備える。

運行管理サーバ５は、上述のタブレット２におけるネットワーク通信部２１、表示・入力部２２、プログラムメモリ３１、ワークメモリ３２、及びＣＰＵ３４とそれぞれ同様の機能を有するネットワーク通信部８１、表示部８２・入力部８３、プログラムメモリ８４、ワークメモリ８５、及びＣＰＵ８６を備えている。

後に詳述するように、運行管理サーバ５では、プログラムメモリ８４に格納されたアプリケーションプログラムによって、タブレット２から受信した公開情報等を照合する管理情報照合部９１と、タブレット２での認証処理に用いられる認証用情報を秘密分散法に基づき分散することにより、分散情報を生成する分散データ生成部９２と、運転者がタブレット２のユーザ登録を行うためのユーザ登録部９３とが実現される。運行管理サーバ５のストレージ９５には、タブレット２との間で送受される認証処理に必要な情報が適宜格納される。

ここでは、認証用情報として、各運転者に固有の顔の画像（生体情報）を照合するための照合用顔画像情報（照合用生体情報）と、ＰＩＮ１およびＰＩＮ２とが用いられる。また、分散データ生成部９２によって生成される分散情報は、以下に述べる２種類の分散データからなる。その一つは、後に図３のＳＴ１０２および図６を用いて詳述する出発地でのタブレット２の持ち出し登録において、タブレット２に保存される内部分散データ（第１の分散データ）である。もう一つは、出発地においてタブレット２には保存されず、後に図３のＳＴ１０３および図７を用いて詳述する遠隔地でのタブレット２へのログインにおいて、タブレット２に送信される外部分散データ（第２の分散データ）である。

図３は図１に示したアルコール検査システムによる処理手順の流れを示すフロー図である。まず、運送トラックの運転者は、運送会社内において、システム管理者から受け取ったタブレット２の使用を開始するためのユーザ登録（以下、事前登録という。）を行う（ＳＴ１０１）。この事前登録では、運転者がタブレット２を用いて運行管理サーバ５と通信することにより、タブレット２から運行管理サーバ５に対して認証用情報および公開情報が提供されると共に、運行管理サーバ５において認証用情報から分散情報（内部分散データおよび外部分散データ）が生成される。

次に、運転者は、出発地（ここでは、運送会社内）において、タブレット２へのログインを実行することにより、ＳＴ１０１において生成された分散情報の一部である内部分散データを取得する（ＳＴ１０２）。タブレット２を使用する運転者は、日によって異なる場合が多い。したがって、このＳＴ１０２により、タブレット２は、ログインした運転者による持ち出し登録が行われたことになる。なお、ここでは、運行管理サーバ５には、外部分散データおよび内部分散データの両方とも保持されている。

次に、運転者は、遠隔地（例えば、運送トラックの荷物の運搬先）において運送トラックの運転を開始する際に、タブレット２へのログイン（認証処理）を実行することにより、アルコール検査の認証を行う（ＳＴ１０３）。このタブレット２へのログインは、タブレット２に保存された内部分散データと、運行管理サーバ５に保存された外部分散データとから復元された認証用情報を用いて実施される。

ＳＴ１０３におけるログインが正常に完了すると、運転者は、アルコール検査を実施する（より詳細には、アルコール検査結果をタコグラフ４に登録する）ためのアルコール検査部（プログラム）４４を起動することが可能となる。一方、タブレット２へのログインに失敗すると、運転者はアルコール検査を実施することができない（より詳細には、アルコール検査結果をタコグラフ４に登録できない。）。

続いて、運転者は、タブレット２において、アルコール検査とその結果の登録を実施するためのアプリケーションプログラムを起動し、アルコール検査器３を使用してアルコール検査を実施する（ＳＴ１０４）。このアルコール検査では、周知の方法により、運転者の呼気中のアルコール濃度の測定が行われる。なお、アルコール検査の実施は、ＳＴ１０３におけるタブレット２のログイン（遠隔地）の実行と前後してもよい。また、本実施形態では、アルコール検査を実施する例を示すが、アルコール検査の代わりに運転者の身体の状態または健康状態（例えば血圧、脈拍、体温、心電図、顔色など）を確認するための他の検査を実施してもよい。

その後、運転者は、タブレット２において、ＳＴ１０４のアルコール検査の結果をタコグラフ４に登録する（ＳＴ１０５）。

なお、本実施形態では、タブレット２へのログインをアルコール検査のための認証処理として用いているが、これに限らず、タブレット２において実行可能な他の機能（例えば、Ｗｅｂアクセス機能）のための認証処理として用いることも可能である。

図４および図５は、それぞれ図３中のＳＴ１０１におけるタブレットおよび運行管理サーバの事前登録動作を示すフロー図である。これらの事前登録動作が行われるのは、例えば、雇用したばかりの運転者に業務を行わせる場合と、免許証の更新や髪型の大幅な変更など、ログインに支障をきたす事態が生じたときに、改めて登録しなおす場合である。

図４に示すように、タブレット２は、運転者の事前登録が完了していない場合には、ユーザ登録部（プログラム）４３を起動し、運転者に対してＰＩＮ１の入力を要求するための画面を表示・入力部２２に表示する（ＳＴ２０１）。そこで、タブレット２は、運転者によりＰＩＮ１（ここでは、４桁の数字）が入力されると（ＳＴ２０２：Ｙｅｓ）、続いて、運転者に対してＰＩＮ２の入力を要求するための画面を表示・入力部２２に表示する（ＳＴ２０３）。そこで、タブレット２は、運転者によりＰＩＮ２（ここでは、４桁の数字）が入力されると（ＳＴ２０４：Ｙｅｓ）、運転者に対して免許証Ｌの読み取りを要求するための画面を表示・入力部２２に表示する（ＳＴ２０５）。ＳＴ２０１およびＳＴ２０３の要求画面に応じて運転者が入力したＰＩＮ１およびＰＩＮ２は、タブレット２のワークメモリ３２に保存される。

次に、運転者が免許証ＬをＩＣカードリーダ２５と交信可能な位置までタブレット２に近づけると、タブレット２は、免許証Ｌから公開情報を取得すると共に、ＳＴ２０２およびＳＴ２０４で取得したＰＩＮ１、ＰＩＮ２を用いて免許証ＬからＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７を取得する。そこで、運転者の免許証顔画像（ＰＩＮ２秘匿情報５７）の取得が成功すると（ＳＴ２０６：Ｙｅｓ）、続いて、タブレット２は、運転者に対して現在の顔の撮影を要求するための画面を表示・入力部２２に表示する（ＳＴ２０７）。

その後、タブレット２は、撮影部２３のカメラによる運転者の顔の撮影が終了すると（ＳＴ２０８：Ｙｅｓ）、撮影により取得した顔画像（以下、撮影顔画像という。）をワークメモリ３２に保存する。続いて、タブレット２は、顔画像照合部（プログラム）４２を起動し、ＳＴ２０８の撮影顔画像と、ＳＴ２０６で取得した免許証顔画像とを照合する（ＳＴ２０９）。このＳＴ２０９における顔画像の照合では、タブレット２は、周知の方法により、両顔画像における特徴部分（例えば、顔を構成する各パーツ）に着目してマッチングを実施することにより、両顔画像が一致するか否かを判定する。

ＳＴ２０９において両顔画像が一致したと判定されると（Ｙｅｓ）、タブレット２は、上述のステップで取得したＰＩＮ１、ＰＩＮ２、公開情報、及び撮影顔画像（以下、事前登録情報という。）を運行管理サーバ５に対して送信する（ＳＴ２１０）。そして、タブレット２は、ＳＴ２１０で送信した事前登録情報の登録が完了した旨の通知を運行管理サーバ５から受信すると（ＳＴ２１１：Ｙｅｓ）、事前処理が正常に終了したと判断し、上述のステップで取得したワークメモリ３２内の事前登録情報及び免許証顔画像を消去する（ＳＴ２１２）。これにより、それら事前登録情報及び免許証顔画像が、後にタブレット２から流出する等のトラブルを回避し、認証の安全性および信頼性が向上する。その後、タブレット２は、運転者に対して事前登録が完了したことを知らせる画面を表示・入力部２２に表示する（ＳＴ２１３）。

一方、上述のＳＴ２０６において運転者の免許証顔画像の取得に失敗した場合（Ｎｏ）、ＳＴ２０９において撮影顔画像と免許証顔画像とが一致しないと判定された場合（Ｎｏ）、或いは、ＳＴ２１１において運行管理サーバ５から事前登録情報の登録が失敗した旨の通知を受信した（または、登録完了の通知を規定時間内に受信できなかった）場合（Ｎｏ）、タブレット２は、事前処理に失敗したと判断し、上述のＳＴ２１２と同様に、ワークメモリ３２内の事前登録情報及び免許証顔画像を消去する（ＳＴ２１４）。その後、タブレット２は、運転者に対して事前登録が失敗したことを知らせる画面を表示・入力部２２に表示する（ＳＴ２１５）。

次に、図５を参照して、運行管理サーバ５の事前登録動作について説明する。事前登録の際には、運行管理サーバ５はタブレット２からの事前登録情報の受信待ちの状態となる（ＳＴ３０１）。そして、運行管理サーバ５は、タブレット２からの事前登録情報（図４中のＳＴ２１０参照）を受信すると（ＳＴ３０２：Ｙｅｓ）、ユーザ登録部（プログラム）９３を起動し、その受信した事前登録情報に含まれる公開情報に基づき、運転者のアカウントを作成する（ＳＴ３０３）。

続いて、運行管理サーバ５は、分散データ生成部（プログラム）９２を起動し、事前登録情報に含まれる認証用情報としてのＰＩＮ１、ＰＩＮ２、及び撮影顔画像から秘密分散法に基づき分散情報（内部分散データ、外部分散データ）を生成する（ＳＴ３０４）。ここで、生成された内部分散データおよび外部分散データは、ＳＴ３０３で作成されたアカウントに対応づけられ、ストレージ９５に格納される。

なお、後に詳述するが、ここでの認証用情報に含まれる撮影顔画像は、図３中のＳＴ１０３におけるタブレット２へのログイン等の処理において、各運転者によって撮影される顔画像を照合するための照合用顔画像情報として用いられる。また、ＳＴ３０４では、分散情報の生成後に、ＰＩＮ１、ＰＩＮ２、及び撮影顔画像が運行管理サーバ５から消去される。これにより、それらＰＩＮ１、ＰＩＮ２、及び撮影顔画像が、後に運行管理サーバ５から流出する等のトラブルを回避し、認証の安全性および信頼性が向上する。

その後、運行管理サーバ５は、ＳＴ３０４において生成された内部分散データおよび外部分散データをＳＴ３０３で作成したアカウントに対して登録し（ＳＴ３０５）、さらに、事前登録情報の登録が完了した旨の通知をタブレット２に対して送信する（ＳＴ３０６）。

一方、上述のＳＴ３０２において、タブレット２からの事前登録情報を受信できずに（Ｎｏ）、規定時間が経過した場合（ＳＴ３０７：Ｙｅｓ）、運行管理サーバ５は、事前登録情報の登録が失敗した旨の通知をタブレット２に対して送信する（ＳＴ３０８）。

図６は、図３中のＳＴ１０２におけるタブレットのログイン動作（出発地）を示すフロー図である。これは、図３中のＳＴ１０１の事前登録が完了した状態で、例えば運転者が運送会社（出発地）を出発する際に、毎回行われる。タブレット２は、出発地におけるログイン手続きを開始し、図４中のＳＴ２０５と同様に、運転者に対して免許証Ｌの読み取りを要求するための画面を表示する（ＳＴ４０１）。そこで、タブレット２は、免許証Ｌから免許証情報を読み取って公開情報を取得すると（ＳＴ４０２：Ｙｅｓ）、その公開情報を運行管理サーバ５にＬＡＮ１２経由で送信する（ＳＴ４０３）。

このとき、運行管理サーバ５は、社内に存在するタブレット２からアクセスを受けたことを認識し、続いて、管理情報照合部（プログラム）９１を起動して、タブレット２から受信した公開情報を照合し、その公開情報に対応づけられた内部分散データおよび外部分散データをタブレット２に対して送信する。

次に、タブレット２は、運行管理サーバ５から内部分散データおよび外部分散データを受信すると（ＳＴ４０４：Ｙｅｓ）、それら内部分散データおよび外部分散データを分散データ格納部３３に格納する。そして、タブレット２は、それら分散データを用いて認証用情報を復元（すなわち、ＰＩＮ１、ＰＩＮ２、照合用顔画像を取得）する（ＳＴ４０５）。続いて、タブレット２は、図４中のＳＴ２０７と同様に、運転者に対して顔の撮影を要求するための画面を表示し（ＳＴ４０６）、運転者の顔の撮影が終了すると（ＳＴ４０７：Ｙｅｓ）、顔画像照合部（プログラム）４２を起動し、図４中のＳＴ２０９と同様に、ＳＴ４０７の撮影顔画像と、ＳＴ４０５で取得した照合用顔画像とを照合する（ＳＴ４０８）。

ＳＴ４０８において両顔画像が一致したと判定されると（Ｙｅｓ）、タブレット２は、上記ＳＴ４０１と同様に、再び運転者に対して免許証Ｌの読み取りを要求し（ＳＴ４０９）、そこで、ＰＩＮ１、ＰＩＮ２を用いてＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７にアクセスする（ＳＴ４１０）。このように、タブレット２では、運転者の撮影顔画像と照合用顔画像とが一致すると判定された場合にのみ、ＰＩＮ１、ＰＩＮ２を用いて免許証Ｌ中の秘匿情報を読み出し可能となるため、免許証Ｌやタブレット２を他人が不正に取得した場合でも、免許証Ｌの秘匿情報の取得を防止できると共に、本人への成り済ましをより確実に防止することができる。

その後、タブレット２は、ＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７を免許証Ｌから取得することに成功すると（ＳＴ４１１：Ｙｅｓ）、運転者によるログインが成功したと判断し、ワークメモリ３２内の外部分散データ、撮影顔画像、及び照合用顔画像を消去する（ＳＴ４１２）。これにより、分散データ格納部３３には、内部分散データのみが保持され、認証用情報を分散した分散情報が運行管理サーバ５とタブレット２に分散されて保持された状態となる。その後、タブレット２は、運転者に対してログインが完了したことを知らせる画面を表示・入力部２２に表示する（ＳＴ４１３）。

一方、上述のＳＴ４０４において内部分散データおよび外部分散データを規定時間内に受信できなかった場合（Ｎｏ）、ＳＴ４０８において撮影顔画像と照合用顔画像とが一致しないと判定された場合（Ｎｏ）、或いは、ＳＴ４１１において免許証ＬからＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７を取得することに失敗した場合（Ｎｏ）、タブレット２は、運転者によるログインが失敗したと判断し、上述のＳＴ４１２と同様に、ワークメモリ３２内の外部分散データおよび内部分散データを消去（既に取得されている場合には撮影顔画像及び照合用顔画像も消去）する（ＳＴ４１４）。その後、タブレット２は、運転者に対してログインが失敗したことを知らせる画面を表示・入力部２２に表示する（ＳＴ４１５）。

なお、タブレット２では、ログイン前（すなわち、秘匿情報の読み出し前）には、認証に関する処理（運転者のログイン操作）以外の処理は制限され、ログイン後（すなわち、秘匿情報の読み出し後）に、認証に関する処理以外の情報処理（例えば、Ｗｅｂアクセス）が可能となる。

図７は、図３中のＳＴ１０３におけるタブレットのログイン動作（遠隔地）を示すフロー図である。運転者が遠隔地においてタブレット２を起動すると、タブレット２は遠隔地におけるログイン手続きを開始する。

まず、タブレット２は、図６中のＳＴ４０１〜ＳＴ４０３とそれぞれ同様のＳＴ５０１〜ＳＴ５０３を実施する。ＳＴ５０３では、運行管理サーバ５は、社外に存在するタブレット２からアクセスを受けたことを認識し、続いて、管理情報照合部（プログラム）９１を起動して、タブレット２から受信した公開情報を照合し、その公開情報に対応づけられた外部分散データをタブレット２に対して送信する。

次に、タブレット２は、運行管理サーバ５から外部分散データを受信すると（ＳＴ５０４：Ｙｅｓ）、その外部分散データを分散データ格納部３３に格納する。そして、タブレット２は、運行管理サーバ５から取得した外部分散データと、上述のＳＴ１０２において分散データ格納部３３に格納された内部分散データとを用いて認証用情報を復元（すなわち、ＰＩＮ１、ＰＩＮ２、照合用顔画像を取得）する（ＳＴ５０５）。その後、タブレット２は、図６中のＳＴ４０６〜ＳＴ４１５とそれぞれ同様のＳＴ５０６〜ＳＴ５１５を実施する。なお、ＳＴ５１４では、分散データ格納部３３から外部分散データのみが消去され（既に取得されている場合には撮影顔画像及び照合用顔画像も消去）、内部分散データは次回のログインのために保持される。

図８および図９は、それぞれ図３中のＳＴ１０５におけるタブレットおよびタコグラフのアルコール検査結果の登録動作を示すフロー図である。

図８に示すように、タブレット２では、ログインが完了してアルコール検査部（プログラム）４４が起動されると、アルコール検査結果待ちの状態となる（ＳＴ６０１）。そこで、タブレット２は、タコグラフ４からアルコール検査結果を取得すると（ＳＴ６０２：Ｙｅｓ）、そのアルコール検査結果を表示・入力部２２に表示する（ＳＴ６０３）。また、このとき、表示・入力部２２には、運転者に対してアルコール検査結果を登録中であることを知らせる画面が表示される。

次に、タブレット２は、アルコール検査結果（アルコール濃度の測定データ）と、ログイン時（図７中のＳＴ５０２およびＳＴ５１１参照）に取得した免許証情報の少なくとも一部（ここでは、免許証番号）とを所定のデータ形式で組み合わせ、その免許証情報が付加されたアルコール検査結果（以下、認証済みアルコール検査結果という。）をタコグラフ４に送信する（ＳＴ６０４）。このように、アルコール検査結果を免許証情報と組み合わせることにより、アルコール検査結果の正当性を確認することが可能となる。この場合、アルコール検査結果と組み合わせる情報として秘匿情報（ＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７）のいずれかを含むことがより好ましい。アルコール検査結果と組み合わせる免許証情報のうち、秘匿情報としては、免許証番号のほか、運転が許可されている車種、免許証保持者の氏名、住所などがある。また、公開情報としては公布年月日と有効期限がある。

その後、タブレット２は、ＳＴ６０４で送信したアルコール検査結果の登録が完了した旨の通知をタコグラフ４から受信すると（ＳＴ６０５：Ｙｅｓ）、運転者に対してアルコール検査結果の登録が完了したことを知らせる画面を表示・入力部２２に表示し（ＳＴ６０６）、さらに、認証済みアルコール検査結果を消去する（ＳＴ６０７）。これにより、それらアルコール検査結果や免許証情報が、後にタブレット２から流出する等のトラブルを回避し、認証済みアルコール検査結果の安全性および信頼性が向上する。

一方、上述のＳＴ６０５においてタコグラフ４からアルコール検査結果の登録が完了した旨の通知を受信できずに（Ｎｏ）、規定時間が経過した場合（ＳＴ６０８：Ｙｅｓ）、タブレット２は、アルコール検査結果の登録が失敗したことを知らせる画面を表示・入力部２２に表示する（ＳＴ６０９）。

次に、図９を参照して、タコグラフのアルコール検査結果の登録動作について説明する。アルコール検査の際に運転者がタコグラフ４の検査開始ボタンを押下すると、タコグラフ４は、アルコール検査器３の検査待ちの状態となり（ＳＴ７０１）、運転者に対する検査待ちである旨のメッセージが表示部５２に表示される。その後、アルコール検査器３によるアルコール検査が終了すると、タコグラフ４はアルコール検査器３からアルコール検査結果を受信する（ＳＴ７０２：Ｙｅｓ）。続いて、タコグラフ４は、そのアルコール検査結果をタブレット２に送信する。

次に、タコグラフ４は、タブレット２から送信された認証済みアルコール検査結果（図８中のＳＴ６０４参照）を受信すると（ＳＴ７０４：Ｙｅｓ）、その認証済みアルコール検査結果をストレージ７３に保存し（ＳＴ７０５）、アルコール検査結果の登録が完了した旨のメッセージを表示部６２に表示すると共に、その旨をタブレット２に対して通知する（ＳＴ７０６）。なお、ここでは、タコグラフ４がタブレット２から認証済みアルコール検査結果を取得する構成としたが、タコグラフ４が、タブレット２から免許証情報を取得し、上述のタブレット２と同様の認証済みアルコール検査結果を生成する構成としてもよい。

一方、上述のＳＴ７０４においてタブレット２から認証済みアルコール検査結果を受信できずに（Ｎｏ）、規定時間が経過した場合（ＳＴ７０７：Ｙｅｓ）、タコグラフ４、アルコール検査結果の登録が失敗した旨のメッセージを表示部６２に表示する（ＳＴ７０８）。

＜第２実施形態＞
次に、本発明の第２実施形態に係るアルコール検査システムについて図１０〜図１３を参照して説明する。第２実施形態に関して以下で特に言及しない事項については、上述の第１実施形態の場合と同様とする。

図１０は、第２実施形態に係るタブレットのログイン動作（出発地）を示すフロー図であり、第１実施形態における図６に対応するものである。

タブレット２は、事前登録（図３中のＳＴ１０１参照）が完了した状態で、出発地におけるログイン手続きを開始し、図６中のＳＴ４０６およびＳＴ４０７と同様のＳＴ８０１およびＳＴ８０２を実行する。その後、タブレット２は、図６中のＳＴ４０１〜ＳＴ４０５とそれぞれ同様のＳＴ８０３〜ＳＴ８０７を実施し、さらに、図６中のＳＴ４０８〜ＳＴ４１５とそれぞれ同様のＳＴ８０８〜ＳＴ８１５を実施する。なお、図６中のＳＴ４１２およびＳＴ４１４の場合とは異なり、ＳＴ８１２およびＳＴ８１４では、免許証情報についても消去される。これにより、免許証情報が、後にタブレット２から流出する等のトラブルを回避し、認証の安全性および信頼性が向上する。

図１１は、第２実施形態に係るタブレットのログイン動作（遠隔地）を示すフロー図であり、第１実施形態における図７に対応するものである。

運転者が遠隔地においてタブレット２を起動すると、タブレット２は遠隔地におけるログイン手続きを開始し、図７中のＳ５０６およびＳＴ５０７と同様のＳＴ９０１およびＳＴ９０２を実行する。その後、タブレット２は、図７中のＳＴ５０１〜ＳＴ５０５とそれぞれ同様のＳＴ９０３〜ＳＴ９０７を実施し、さらに、図６中のＳＴ５０８〜ＳＴ５１５とそれぞれ同様のＳＴ９０８〜ＳＴ９１５を実施する。なお、図６中のＳＴ５１２およびＳＴ５１４の場合とは異なり、ＳＴ９１２およびＳＴ９１４では、免許証情報についても消去される。これにより、免許証情報が、後にタブレット２から流出する等のトラブルを回避し、認証の安全性および信頼性が向上する。

ちなみに、この第２実施形態において、運転者の顔の撮影は、図１０におけるＳＴ８０１〜ＳＴ８０２および図１１におけるＳＴ９０１〜ＳＴ９０２である。そして、免許証Ｌの２回にわたる読み取り動作は、図１０におけるＳＴ８０３およびＳＴ８０９、図１１におけるＳＴ９０３およびＳＴ９０９である。すなわち、運転者の顔の撮影と、免許証Ｌの２回にわたる読み取り動作とが分かれている。運転者は、最初にタブレット２のみを用いて自分の顔を撮影し、その後で免許証Ｌをポケットかカバンから取り出してタブレット２に２回かざせばよい。先に示す第１の実施形態のように、免許証Ｌの読み取り動作の間に顔の撮影動作が入ることはない。これにより、顔の撮影動作の前に、それまで持っていた免許証Ｌを車内のどこかへ置き、顔の撮影動作の後で免許証Ｌを再び持つことがない。それに加えて、タブレット２を持ち替える回数が減少する。したがって、よりスムーズなログイン手順を行うことができる。また、ログイン手順の途中で免許証Ｌを車内の床に落として、拾い上げるのに時間を要したり、免許証Ｌの券面を汚損したり、免許証Ｌをどこかに置き忘れて、探し出すのに時間を要したりすることも少なくできる。これらにより、利便性は向上する。

なお、免許証Ｌの最初の読取要求（図１０におけるＳＴ８０３、図１１におけるＳＴ９０３）から顔画像の照合（図１０におけるＳＴ８０８、図１１におけるＳＴ９０８）までの処理には、現状では時間を要する。顔画像の照合がＯＫになって、初めてタブレット２はＰＩＮ１、ＰＩＮ２を使うことができる。しかしながら、それらＰＩＮ１、ＰＩＮ２が使えるようになる頃には、タブレット２へのログインを試みる運転者が、免許証Ｌをタブレット２から離してしまう可能性がある。したがって、免許証Ｌより秘匿情報５６または秘匿情報５７を確実に取得するために、免許証Ｌの読取要求がもう一度表示されるようになっている（図１０におけるＳＴ８０９、図１１におけるＳＴ９０９）。このとき、運転者が最初の読取要求から十分に長い時間、免許証Ｌをタブレット２にかざしていたとする。そうすれば、タブレット２は即座に、免許証Ｌからの秘匿情報を取得する（図１０におけるＳＴ８１０〜ＳＴ８１１、図１１におけるＳＴ９１０〜ＳＴ９１１）手順へと移るはずである。したがって、このような場合には、運転者にとって、免許証Ｌが有する免許証情報の読取が、あたかも１回で終了したように見える。この点においても、利便性はさらに向上する。

また、将来的に、免許証Ｌの最初の読取要求（図１０におけるＳＴ８０３、図１１におけるＳＴ９０３）から秘匿情報の取得までの処理が高速になれば、２回目の免許証Ｌの読取要求を行わないようにしてもよい。ここで「秘匿情報の取得」とは、図１０におけるＳＴ８１１、図１１におけるＳＴ９１１であり、「２回目の免許証Ｌの読取要求」とは図１０におけるＳＴ８０９、図１１におけるＳＴ９０９である。

図１２は、第２実施形態に係るタブレットのアルコール検査結果の登録動作を示すフロー図であり、第１実施形態における図８に対応するものである。

タブレット２では、ログインが完了してアルコール検査部（プログラム）４４が起動されると、運転者に対して免許証Ｌの読み取りを要求するための画面を表示し（ＳＴ１００１）、ＰＩＮ１、ＰＩＮ２を用いて免許証Ｌにアクセスする（ＳＴ１００２）。これは、先の図１１におけるログイン後に、タブレット２から免許証情報が削除されており、アルコール検査の終了後にその結果と組み合わせる免許証情報を再び取得するために必要なものである。そして、タブレット２は、公開情報とＰＩＮ１秘匿情報５６およびＰＩＮ２秘匿情報５７とを免許証Ｌから取得することに成功すると（ＳＴ１００３：Ｙｅｓ）、タブレット２は、図８中のＳ６０１〜ＳＴ６０３と同様のＳＴ１００４〜ＳＴ１００６を実行する。

次に、タブレット２は、運行管理サーバ５の分散データ生成部（プログラム）９２と同様の処理により、アルコール検査結果および免許証情報（少なくとも一部）からなる情報を分散した複数の分散データを生成する（ＳＴ１００７）。そして、タブレット２は、ＳＴ１００７で生成した検査結果に関する分散データの一部をタコグラフ４に対して送信する（ＳＴ１００８）。タコグラフ４に送信しなかった残りの分散データは、タブレット２の分散データ格納部３３に保持される。あるいは、その一部または全てを、運行管理サーバ５に送信してもよい。つまり、図８に示した第１実施形態では、ＳＴ６０４において、アルコール検査結果と、免許証Ｌの秘匿情報とを単に組み合わせたものをタコグラフ４に送信したが、分散データを用いることにより、認証済みアルコール検査結果の安全性が高まる。すなわち、タブレット２、タコグラフ４、運行管理サーバ５のうちいずれか複数にそれぞれ分散されて保持される分散データのいずれかが第三者に流出したとしても、アルコール検査結果と免許証情報は復元できない。

その後、タブレット２は、ＳＴ１００８で送信したアルコール検査結果（分散データ）の登録が完了した旨の通知をタコグラフ４から受信すると（ＳＴ１００９：Ｙｅｓ）、アルコール検査結果の登録が完了したことを知らせる画面を表示・入力部２２に表示し（ＳＴ１０１０）、さらに、アルコール検査結果、免許証情報およびタコグラフ４に送信した分散データを消去する（ＳＴ１０１１）。これにより、それらアルコール検査結果および免許情報が、後にタブレット２から流出する等のトラブルを回避し、認証済みアルコール検査結果の安全性および信頼性が向上する。

一方、上述のＳＴ１００９においてタコグラフ４からアルコール検査結果の登録が完了した旨の通知を受信できずに（Ｎｏ）、タコグラフ４からアルコール検査結果の登録が失敗した旨の通知を受けた場合（ＳＴ１０１２：Ｙｅｓ）、或いは、タコグラフ４からアルコール検査結果の登録が失敗した旨の通知を受けることなく（ＳＴ１０１２：Ｎｏ）、規定時間が経過した場合（ＳＴ１０１３：Ｙｅｓ）、タブレット２は、運転者に対してアルコール検査結果（分散データ）の登録が失敗したことを知らせる画面を表示・入力部２２に表示する（ＳＴ１０１４）。それと同時に、アルコール検査および免許証情報より作成された分散データのうち、タコグラフ４に送信した分散データは消去される（ＳＴ１０１１）。もしくは、分散データ全てが消去されるようにしてもよい。これにより、それらアルコール検査結果および免許情報が、後にタブレット２から流出する等のトラブルを回避し、認証済みアルコール検査結果の安全性および信頼性が向上する。

図１３は、第２実施形態に係るタコグラフのアルコール検査結果の登録動作を示すフロー図であり、第１実施形態における図９に対応するものである。

アルコール検査の際に運転者がタコグラフ４の検査開始ボタンを押下すると、タコグラフ４は、図９のＳＴ７０１〜ＳＴ７０３と同様のＳＴ１１０１〜ＳＴ１１０３を実行する。

その後、タコグラフ４は、タブレット２から送信された認証済みアルコール検査結果に相当する分散データ（図１２中のＳＴ１００８参照）を受信すると（ＳＴ１１０４：Ｙｅｓ）、その分散データをストレージ７３に保存し（ＳＴ１１０５）、アルコール検査結果の登録が完了した旨のメッセージを表示部６２に表示すると共に、その旨をタブレット２に対して通知する（ＳＴ１１０６）。

一方、上述のＳＴ１１０４においてタブレット２から分散データを受信できずに（Ｎｏ）、規定時間が経過した場合（ＳＴ１１０７：Ｙｅｓ）、タコグラフ４は、アルコール検査結果の登録が失敗した旨のメッセージを表示部６２に表示すると共に、その旨をタブレット２に対して通知する（ＳＴ１１０８）。

このようにして、遠隔地におけるアルコール検査結果および免許証情報は、単体では元の情報が復元できない複数の異なる分散データとなる。そしてそれら複数の異なる分散データは、タコグラフ４、タブレット２、運行管理サーバ５のうちいずれか複数にそれぞれ登録される。そして、運転者が運送会社に帰着したときに、これらの分散データは、運行管理サーバ５へと回収され、運行記録の一部として保管される。

このような分散データがタコグラフ４とタブレット２に登録されている場合、例えば運転者は、まずタコグラフ４の分散データをタブレット２に引き上げ、そのタブレット２を運送会社の社内に持ち込む。そして、運転者は、タブレット２の内部に保持されているそれらの分散データを運行管理サーバ５へと転送する。そうすれば、データのハンドリングが容易になり利便性が向上する。

または、運行管理サーバ５が、タコグラフ４とタブレット２にそれぞれ登録されている分散データを、それぞれ少なくとも一部が異なる通信経路を介して回収するようにしてもよい。例えば、図１において、運行管理サーバ５は、タブレット２が保持する分散データを、ＬＡＮ１２を介して回収し、タコグラフ４が保持する分散データを、ＬＡＮ１２およびインターネット１３を介して回収するようにしてもよい（さらには図示しない３ＧやＬＴＥなどの携帯電話回線を介してもよい）。そうすれば、運送会社を出発してから戻るまでの間、タブレット２やタコグラフ４には、複数の分散データのうちの一つだけが常に保持されるため、認証済みアルコール検査結果の安全性および信頼性がさらに向上する。そしてこのことは、分散データが、タコグラフ４、タブレット２、運行管理サーバ５の３つにそれぞれ登録されている場合においても同様である。

また、分散データがタコグラフ４と運行管理サーバ５に登録される場合、タコグラフ４が保持する分散データは、運行管理サーバ５が直接回収してもよい。この場合、運行管理サーバ５は、先程と同様に、タコグラフ４が保持する分散データを、ＬＡＮ１２およびインターネット１３を介して回収するようにしてもよい（さらには図示しない３ＧやＬＴＥなどの携帯電話回線を介してもよい）。または、次のようにしてもよい。すなわち、運転者が、例えばタブレット２の近距離通信部２４とタコグラフ４の近距離通信部６４とを用いて、タコグラフ４に保持されている分散データをタブレット２に回収し、運送会社の社内に持ち込む。そして運転者は、タブレット２の内部に保持されているそれらの分散データを運行管理サーバ５へと転送する。そうすれば、運送会社を出発してから戻るまでの間、タコグラフ４には、複数の分散データのうちの一つだけが常に保持されるため、認証済みアルコール検査結果の安全性および信頼性がさらに向上する。また、タブレット２には、タコグラフ４に保持される分散データを運行管理サーバ５に回収する際に、その分散データが一時的に保持されるだけなので、認証済みアルコール検査結果の安全性および信頼性がさらに向上する。

なお、上述の第２実施形態における上述の第１実施形態との相違部分については、その相違部分の一部のみを本発明の範囲を逸脱しない範囲で第１実施形態に適用することも可能である。

このように、アルコール検査システム１におけるタブレット２によれば、分散データ格納部３３に格納された内部分散データと、外部の運行管理サーバ５から取得された外部分散データとから認証に用いられる照合用顔画像およびＰＩＮ１、ＰＩＮ２（鍵情報）を復元するため、それら認証用情報がインターネット１３等の通信ネットワークを介して流出することを防止できると共に、認証における成り済ましを防止することができる。また、運転者は、その場で撮影した顔画像と、復元された鍵情報と、自身が携帯する免許証とを認証に用いるため、免許証のＰＩＮ１、ＰＩＮ２のような暗証番号や、ドライバーズコード、社員コード等の識別情報を記憶しておく必要はなく、認証操作の利便性が向上するという利点もある。タブレット２へのログイン時において運転者に求められるのは、免許証Ｌをタブレット２に内蔵されるＩＣカードリーダ２５にかざすことと、自身の顔画像をタブレット２により撮影することのみである。

本発明を特定の実施形態に基づいて説明したが、これらの実施形態はあくまでも例示であって、本発明はこれらの実施形態によって限定されるものではない。例えば、本発明に係る認証システムを構成する認証装置や認証管理装置等の各装置間で通信を行うための手段や方法は、少なくとも必要なデータ等を送受信可能な限りにおいて、実施形態に示したものに限らず他の周知の手段や方法に変更することが可能である。また、本発明に用いる生体情報としては、顔画像に限らず、指紋、虹彩、声紋、静脈、耳の形状など周知の生体認証に用いられる他の情報でもよい。生態情報を変更した場合、それを取得する手段としてカメラ以外のもの（例えば、指紋読み取り装置）を用いることができる。また、本発明に用いる記憶媒体としては、ＩＣカード運転免許証に限らず、周知のＲＦタグを備えたカード等の他の記憶媒体でもよい。また、外部分散データ（内部分散データを除いた残りの分散データ）については、上述の運行管理サーバ５に限らず、認証装置と通信可能な複数の情報処理装置に保持させる（すなわち、認証装置が複数の情報処理装置から外部分散データを取得する）構成も可能である。

図３のＳＴ１０１および図４、図５に示す運行管理サーバ５への事前登録は、運行管理サーバ５とタブレット２の両方を用いるのではなく、運行管理サーバ５のみで行うようにしてもよい。この場合、運行管理サーバ５は、タブレット２が備える撮影部２３、ＩＣカードリーダ２５、顔画像照合部４２およびユーザ登録部４３のそれぞれに相当するものを備えればよい。また、図４のＳＴ２０１〜ＳＴ２０４におけるＰＩＮ１およびＰＩＮ２の入力は、入力部８３を用いて行えばよい。

しかしながら、図３のＳＴ１０１および図４、図５に示すように、運行管理サーバ５とタブレット２の両方を用いて事前登録を行ったほうが、より好ましい。この場合は、事前登録時における顔画像の撮影と、出発地または遠隔地におけるタブレット２へのログイン時での顔画像の撮影が、同じタブレット２の撮影部２３によってなされる。使用するタブレット２が、事前登録時とログイン時とで異なったとしても、撮影部２３の仕様は同じである。したがって、事前登録時とログイン時との間で、画素数や色味などに大きな相違の無い顔画像が得られるため、認証の成功率も高くなる。

図３のＳＴ１０２および図６に示す出発地でのタブレット２の持ち出し登録後において、図１および図２に示す運行管理サーバ５には、外部分散データおよび内部分散データの両方とも保持されている。このとき、運行管理サーバ５のストレージ７３を複数用意し、外部分散データと内部分散データとを異なるストレージに分けて保持するようにしてもよい。

これとは別に、運行管理サーバ５には外部分散データのみが保持されるようにしてもよい。その場合は、タブレット２が出発地に戻ってきたときに、内部分散データを運行管理サーバ５に戻せばよい。いずれにしても、運行管理サーバ５には、認証用情報そのものを保持させるよりも、その認証用情報に基いて生成された分散データの形で保持させるほうが、ハッキングなどに対して、より高度なセキュリティを実現することができる。

そして、運行管理サーバ５は、外部分散データおよび内部分散データから認証用情報を復元し、復元する前とは異なる外部分散データおよび内部分散データを生成する処理を、適宜行うようにしてもよい。すなわち、分散データの更新を行うようにしてもよい。その場合、内部分散データがタブレット２に保持されていない状態で行うことが望ましい。そうすれば、運行管理サーバ５は、タブレット２との情報のやり取りに支障をきたすことなく、ハッキングなどに対して、より高度なセキュリティを実現することができる。

さらに、この出発地でのタブレット２の持ち出し登録時において、運行管理サーバ５またはそれと通信可能な図示しない情報端末と、タブレット２とにより、アルコール検査などの健康状態の検査が行われてもよい。その場合、運行管理サーバ５またはそれと通信可能な情報端末には、別のアルコール検査器などの身体状態を測定し検査する装置が接続され、その装置と通信し制御可能なプログラムが備えられていればよい。ここでいう「身体状態または健康状態を測定し検査する」とは、先にも述べたように、例えば血圧、脈拍、体温、心電図、顔色などを測定し検査することを指す。そして、運行管理サーバ５は、この出発時における検査の結果がＯＫの時にのみ、分散情報をタブレット２に渡し、ＮＧの時には分散情報をタブレット２に渡さないようにしてもよい。このようにすれば、その日の運転資格の無い者がタブレット２を不正に持ち出して出発するのを防ぐことができる。

これまで記載してきた実施形態は、いずれも、タブレット２が複数の運転者によって日替わりで使われる場合を想定している。しかしながら、タブレット２が一人の運転者の専用端末として使用される場合、内部分散データは、事前登録完了直後にタブレット２へ転送し、それ以降はタブレット２上で保持するようにしてもよい。この場合、顔画像の特徴不一致時または免許証の秘匿情報取得失敗時に、その内部分散データは消去されない。

内部分散データは、分散データ格納部のほか、ワークメモリや、プログラムメモリに保持されてもよい。また、第２の実施形態における分散データの残りは、分散データ格納部のほか、ワークメモリや、プログラムメモリに保持されてもよい。

そのほか、上記実施形態に示した本発明に係る認証装置及びこれを備えた認証システムの各構成要素は、必ずしも全てが必須ではなく、少なくとも本発明の範囲を逸脱しない限りにおいて適宜取捨選択することが可能である。

本発明に係る認証装置及びこれを備えた認証システムは、認証に用いられる情報の流出を防止すると共に、認証における成り済ましを防止することを可能とし、特に、遠隔地における認証対象の正当性を確認するのに適した認証装置及びこれを備えた認証システムなどとして有用である。

１ アルコール検査システム（認証システム）
２ タブレット（認証装置）
３ アルコール検査器（身体状態測定装置）
４ デジタルタコグラフ（記録装置）
５ 運行管理サーバ（認証管理装置）
２２ 表示・入力部
２３ 撮影部（生体情報取得部）
３３ 分散データ格納部
３４ ＣＰＵ（制御部）
４１ 分散情報復元部（分散情報復元部）
４２ 顔画像照合部（生体情報照合部）
４４ アルコール検査部（身体状態情報処理部）
Ｌ ＩＣカード運転免許証（記憶媒体）

Claims (7)

1. 秘匿情報が記憶された記憶媒体と通信可能に設けられ、所定の鍵情報を用いて前記秘匿情報を読み出す認証装置であって、
   認証対象者の生体情報を照合するための照合用生体情報と前記鍵情報とを含む認証用情報を分散した分散情報の一部である第１の分散データを格納する分散データ格納部と、
   前記分散情報において前記第１の分散データとは異なる第２の分散データを外部から取得し、前記第１および第２の分散データから前記照合用生体情報および前記鍵情報を復元する分散情報復元部と
   を備えたことを特徴とする認証装置。
2. 前記認証対象者の生体情報を取得する生体情報取得部と、
   復元された前記照合用生体情報と前記生体情報とを照合する生体情報照合部と
   を更に備え、
   前記生体情報照合部によって前記照合用生体情報と前記生体情報とが一致すると判定された場合にのみ、前記鍵情報を用いて前記秘匿情報を読み出し可能となることを特徴とする請求項１に記載の認証装置。
3. 前記分散情報復元部によって前記秘匿情報が読み出された後に、前記第２の分散データが消去されることを特徴とする請求項１または請求項２のいずれかに記載の認証装置。
4. 請求項１から請求項３のいずれかに記載の認証装置と、前記第２の分散データを前記認証装置に提供する認証管理装置とを備えたことを特徴とする認証システム。
5. 前記記憶媒体には、前記鍵情報を必要とすることなく取得可能な公開情報が記憶され、
   前記認証装置は、前記記憶媒体から読み出した前記公開情報を前記認証管理装置に送信し、
   前記認証管理装置は、前記認証装置から取得した前記公開情報に対応する前記第２の分散データを前記認証装置に送信することを特徴とする請求項４に記載の認証システム。
6. 前記認証対象者の身体の状態を測定する身体状態測定装置と、前記身体状態の測定結果を記録する記録装置とを更に備え、
   前記記録装置は、前記秘匿情報と前記身体状態の測定結果とを対応させて記録することを特徴とする請求項４または請求項５に記載の認証システム。
7. 前記認証装置は、前記秘匿情報とこれに対応する前記身体状態の測定結果とを前記記録装置に送信することを特徴とする請求項６に記載の認証システム。

Images