JP5435778B2 - 自動販売機の管理システム - Google Patents

Description

本発明は、自動販売機の管理システム、特に物理鍵に合体させる認証端末を用いた合体鍵を担当者に貸し出して業務を行わせる方式により不正を防止する管理システムに関するものである。

従来、自動販売機の防犯に関しては、物理的な破壊行為による不正から自動販売機を守るために、筐体を強固なものとしたり、破壊行為を検知して通報するシステムが採用されている。このようなシステムにおいて、物理鍵を以て開錠する者を認証しようという方式は採用されていなかった。したがって、管理者の知らないところで正当な物理鍵のコピーやマスターキーの１つを盗難されてしまうと、不正な操作による金銭・商品の窃取や、故意あるいは不適切な鍵管理による被害を防ぐことは困難である。
自動販売機の鍵として、非接触カード（本願発明における認証端末に相当する）を近づけることにより鍵を解除し、非接触カードからＩＤデータを読み取って記録しておき、前扉を開けた人を確認できるようにする自動販売機が、特許文献1に開示されているが、本願発明に記載されているような物理鍵と組み合わせてセキュリティを高める管理を行うことまでは記載されていない。

特開２００３−６７１７

従来の自動販売機のメンテナンス業務においては、マスターキーを複数利用して業務を行わせたり、１つの鍵を複数の担当者が共用することがあり、先に示したようなコピーや鍵の盗難を防ぐことが難しいという問題があった。また、すでに自動販売機は、広く普及しているものであり、従来システムに追加的に導入することができれば、経済的でもある。さらには、不正が発生したとき正しい仕事を行っている担当者の疑いを晴らし、さらにはどこに不正が生じているのかを可視化することのできるシステムが求められている。本願発明はこうした問題の解決や要望を課題とする。特に盗難されたものであろうと、偽造されたものであろうと、つまり関係者でなくても、その物理鍵を所持してさえいれば不正が容易な従来の自動販売機管理システムに低コストで追加的に導入することができる管理システムを提供することを課題とする。

本発明は、上述課題を解決するため次の構成を採用する。
請求項1に記載の発明は、１）自動販売機に装着され、該自動販売機の物理鍵により開錠された扉体の開放を電子ロックする物理錠とは別系統の第2の扉ロック手段と、近距離無線通信機能と物理鍵に合体させる合体機能を備えた単数あるいは複数の認証端末の端末ＩＤと当該自動販売機を特定するＩＤとしての扉ＩＤを登録しておくローカル記憶手段と、該扉端末が備える近距離無線通信手段の読み取り位置に前記認証端末が近づくと近距離無線通信で端末ＩＤを受信し、該受信した端末ＩＤと前記ローカル記憶手段に記憶されている端末ＩＤを比較照合して、端末ＩＤが一致すれば、前記自動販売機の扉体の電子ロックの開錠動作を行う制御手段と、該開錠に係わる端末ＩＤおよび扉ＩＤを含む開錠情報を送信する前記近距離無線通信手段とは異なる第2の通信手段とを備えた扉端末、
２）鍵貸出先としての前記自動販売機の担当者の個人ＩＤと、貸し出す認証端末の端末ＩＤとを少なくとも記録する鍵貸出記録手段を備えた鍵管理センターから該記録された認証端末を物理鍵に合体させた形態で貸し出される合体鍵、
３）前記扉端末の第2の通信手段と通信し、情報の送受信を行う通信手段と、
鍵管理センターとの通信手段と、これら通信手段によって受信した情報から該情報をデータ項目に含む業務履歴データを作成するとともに、前記第2の通信により受信する開錠情報に含まれる前記読み取られた端末ＩＤおよび扉ＩＤを含む所定のデータ項目の値を
（ａ）データ項目毎に予め設定した許可する値もしくは値域である許可条件データ、
又は（ｂ）当該第二の通信の直前までに作成された業務履歴データと予め設定したパラメータと計算式から動的に演算して生成される許容範囲データ
を基準に監視動作を実行し、該基準を満たさない情報が受信された場合に所定の防犯動作を実行させる制御手段を備えたデータ管理センター
から構成されることを特徴とする自動販売機の管理システムである。

請求項２記載の発明は、請求項１項記載の管理システムにおいて、前記扉端末が備える近距離無線通信手段の読み取り位置は、前記物理鍵の差込位置を含むように設定され、物理鍵の開錠動作を行うと必然的に認証端末の端末ＩＤが前記近距離無線通信機能により送信される機構となっていること特徴とする。

請求項３記載の発明は、請求項１又は２に項記載の管理システムにおいて、鍵管理センターは、前記物理鍵と認証端末との合体・分離を記録する合体・分離記録手段を備え、合体鍵の作成時間もしくは分離時間、物理鍵ＩＤ、端末ＩＤ、そして鍵貸出先もしくは返却者としての担当者の個人ＩＤを含む情報を前記データ管理センターに送信し、
前記データ管理センターの制御手段は、
１）前記送信された情報のデータ項目、
２）該当する合体鍵が合体中はオンと返却され分離中はオフとして鍵の状態を示す合体フラグ、
３）前記自動販売機の開錠から施錠信号受信もしくは一定時間経過までオンとなる業務中フラグ、
および、４）前記施錠信号受信もしくは開錠から一定時間経過後において次の自動販売機からの端末ＩＤ受信までオンとなる移動中フラグ
をデータ項目に含む鍵管理データを作成し、前記監視動作もしくは管理者による監視の支援に利用されることを特徴とする。

請求項４記載の発明は、請求項1乃至３のいずれかに記載の管理システムにおいて、前記鍵管理センターもしくはデータ管理センターには、許可条件登録手段が設けられ、前記担当者が業務を許可された自動販売機を特定する扉ＩＤ、業務が許可された時間を特定する情報を含む業務条件情報を登録し、該登録した情報に基づいて許可条件データが担当者毎に作成され、前記基準の設定に利用されることを特徴とする。

請求項５記載の発明は、請求項1乃至４のいずれかに記載の管理システムにおいて、前記業務履歴データは、開錠時間、前記扉ＩＤ、前記端末ＩＤ、当該開錠に係わる自動販売機に対する業務に不正の恐れがあることを示す不正フラグをデータ項目に含むものであることを特徴とする。

請求項６記載の発明は、請求項1乃至５のいずれかに記載の管理システムにおいて、前記業務履歴データは、施錠時間を含むものであり、該施錠時間は前記扉端末に設けられた前記扉体の閉口動作を検知するセンサーの閉口信号を第2の通信を介して受信した時間であることを特徴とする。

請求項７記載の発明は、請求項1乃至６のいずれかに記載の管理システムにおいて、前記認証端末の記憶手段は、新たな情報の書き込みが可能であり、前記扉端末による端末ＩＤの読み取りと同時に、該読み取りに係わる自動販売機を特定する情報および時間を含む使用履歴データの書き込みを行い、前記前記業務履歴データの状態を確認することに利用されることを特徴とする。

請求項８記載の発明は、請求項4又は5記載の管理システムにおいて、前記データ管理センターは、さらに登録もしくは更新された前記許可条件情報から前記扉端末のローカル記憶手段に更新登録するローカル更新登録情報を作成し、前記扉端末の第2の通信手段に送信し、前記ローカル記憶手段に記憶した情報を更新するローカル情報更新手段を備えることを特徴とする。

請求項９記載の発明は、請求項1乃至8のいずれかに記載の管理システムにおいて、前記許可条件は、前記担当者毎に設定した業務対象自動販売機の扉ＩＤ群又は業務時間もしくは業務期間であり、前記データ管理センターにおける監視動作は、第2の通信による情報に含まれる端末ＩＤから貸出先としての担当者の個人ＩＤを特定し、当該第2の通信に係わる扉ＩＤと開錠時間が前記許可条件を満たしていない場合、当該第2の通信による情報によって作成される業務履歴データの不正フラグをオンとする動作であることを特徴とする。

請求項１０記載の発明は、請求項1乃至９のいずれかに記載の管理システムにおいて、前記許容範囲は、業務中フラグがオフである業務履歴データに係わる認証端末の端末ＩＤであり、前記演算は、業務中フラグがオンとなっている業務履歴データに係わる端末ＩＤの抽出であって、前記データ管理センターにおける監視は、当該抽出による端末ＩＤと第2の通信による情報に含まれる端末ＩＤと比較し一致した場合、当該第2の通信による情報によって作成される業務履歴データの不正フラグをオンとする動作であることを特徴とする。

請求項１１記載の発明は、請求項1乃至１０のいずれかに記載の管理システムにおいて、前記許容範囲は、前記データ管理センターに記録された当該認証端末による直前の開錠時間もしくは施錠時間と第2の通信の受信時間との時間差に応じて設定された当該自動販売機からの移動可能範囲とされた自動販売機群の扉ＩＤリストであり、前記データ管理センターにおける監視動作は、当該第2の通信に係わる扉ＩＤが該許容範囲の扉ＩＤリストにない場合、当該第2の通信による情報によって作成する業務履歴データの不正フラグをオンとする動作であることを特徴とする。

請求項１２記載の発明は、請求項３乃至１１のいずれかに記載の管理システムにおいて、前記許容範囲とは合体フラグがオンである鍵管理データに含まれる端末ＩＤリストであって、前記演算は第2の通信による開錠情報を受信した時点における前記鍵管理データから合体フラグがオンであるデータに係わる端末ＩＤのリストを生成することであり、当該リストにない端末ＩＤが第2の通信による開錠情報に係わる業務履歴データの不正フラグをオンとする動作であることを特徴とする。

請求項１３記載の発明は、請求項１乃至１２のいずれかに記載の管理システムにおいて、前記データ管理センターにおける防犯動作は、不正フラグがオンとなったこと検知し、それをトリガーに開始される動作であり、前記業務履歴データ、前記鍵管理データおよび前記許可条件データから、
１）前記不正フラグがオンとなった業務履歴データの端末ＩＤに係わるデータ項目の値又はデータ数、
２）前記不正フラグがオンとなった業務履歴データの扉ＩＤに係わるデータ項目の値又はデータ数、
３）前記不正フラグがオンとなった業務履歴データの開錠時間を含む所定の期間におけるデータ項目の値又はデータ数、
のいずれかを表示する業務確認画面を作成し、警告表示し、管理者が当該業務の状態を把握することを支援する動作であることを特徴とする。

請求項１４記載の発明は、請求項１３に記載の管理システムにおいて、前記業務確認画面は、さらに前記許可条件データを分析し、前記業務確認画面を構成する項目についての基準値を抽出し、許可条件のグラフを作成し、前記業務確認画面と同一画面に表示する比較手段を有することを特徴とする。

請求項１５記載の発明は、請求項１乃至１４のいずれかに記載の管理システムにおいて、前記データ管理センターにおける防犯動作とは、前記不正フラグがオンとなった業務履歴データに係わる端末ＩＤによる電子ロック解除を無効とするため、前記第2の通信により本システムが管理する自動販売機のローカル記憶手段の記憶情報を更新する動作であることを特徴とする。

既に運用中のメンテナンスシステムで使われている物理鍵に合体させる機能を有する認証端末と、導入対象の自動販売機の扉の錠前の構造に合わせた扉端末を後から追加的に導入し装着させることにより、認証端末に係わる物理鍵毎や担当者毎に業務のプロファイルを作成し、不正を見つけることができる。さらには通信によりデータ管理センターから扉端末のローカル記憶手段の情報を更新することにより、不正の恐れのある認証端末を無効化することができるので、通常の業務全体を止めることなく不正に関与している恐れのある認証端末や自動販売機に係わる業務に対してのみ制限を掛けるような不正の範囲や種類に応じた細やかな不正対応を行うことができる効果もある。

以下、本発明の具体例につき図面を用いて説明する。

（システムの概略構成）
図１は、本発明による自動販売機の管理システムの具体例を示すブロック図である。図示本発明システムは、１又は複数の、ここではそれぞれ扉端末を備えた自動販売機群１０１〜１０４、１又は複数の、ここでは２つの合体鍵１０５〜１０６、鍵管理センター１０７、データ管理センター１０８から構成されており、扉端末と鍵管理センターとデータ管理センターは通信線回線１０９を介して相互接続されてなる。ここで自動販売機の図は、Ａ、Ｂ、Ｃ、Ｄ各群が１台で代表する形で図示しているが、実際には各群数台から数十台以上におよぶ自動販売機からなる。

（自動販売機に設置する扉端末）
上記自動販売機ごとに設けられた扉端末は、図2に示すように各々制御部２０１、電子錠２０２、認証信号読取部２０３、第2の通信部２０４、ローカル記憶部２０５、センサー部２０６からなり、管理する対象となる自動販売機毎に設置されている。ここで認証信号読取部２０３としては、ＲＦＩＤリーダーを採用し、ＲＦＩＤタグを備えた認証端末が所定の読み取り範囲に入ると端末ＩＤを含む信号を受信するようになっている。ここではＲＦＩＤの方式を採用したが、本発明はこれに限られるものではなく、近距離無線の方式を適宜採用可能である。

第2の通信部２０４は、認証端末から読み取った端末ＩＤと扉ＩＤを含む開錠情報など業務記録情報をデータ管理センターに送信し、データ管理センターからのローカル記憶部のローカル記憶データを更新する更新情報を受信する。扉ＩＤは、業務対象としている自動販売機を特定するＩＤとして用いられ、扉端末に記憶されているユニークコードであり、当該扉端末のマックアドレス等を流用することが可能である。

図3は、送信する開錠情報である。開錠情報は、後で説明するようにデータ管理センターにおいて業務履歴データを形成するための一次情報である。ここでは、情報の種類３０１、端末ＩＤ３０２、扉ＩＤ３０３という構成を採用したが、本発明で採用可能な構成はこれに限られるものではない。例えば、ここで開錠時間を付加情報として加えても良い。

図4は、自動販売機の扉内側に設置された扉端末の一例を示したものである。自動販売機本体４０１から扉体４０２が開放された状態を示している。扉端末４０３が、扉体上部の内側部位に設置されており、電子錠は認証信号の受信により、扉端末の制御部２０１が受信した認証信号に含まれる端末ＩＤを抽出し、ローカル記憶部２０５に記憶した端末ＩＤと比較し、端末ＩＤが一致すれば電子ロックが開錠され、物理鍵による物理錠の開錠がなされた扉体の開口動作が可能となる。ここで認証信号の受信は、物理鍵差込部４０６に近接して設置してある認証信号読取部２０３により、受信範囲に近づいた認証端末の近距離無線波を検知することにより行われる。また、物理錠は扉体を閉めると、自動的にロックするオートロック方式であり、物理錠のロック部４０４に設けられたセンサー部２０６は、扉の施錠を検知するセンサーである。ここではオートロック時に物理錠のロックピン４０５が、自動販売機本体ロック部と触れるときの圧力を検知する圧力センサーを採用する。本発明のセンサー部は、圧力センサーに限られるものではなく、扉の施錠のショックを検知する加速度センサーなどであってもよい。

図5は、ローカル記憶部２０５に格納された情報のデータ構造を示した概念図である。扉ＩＤ５０１、許可端末ＩＤ５０２、該許可端末毎の許可についての有効フラグ５０３という構成である。ここで有効フラグがオフであると、該当する端末ＩＤでは電子ロックが開錠されない仕組みであり、データ管理センターからの通信により格納された情報を更新することができる。

（合体鍵）
図6は、本発明の実施例で用いられる合体鍵１０５〜１０６の構成をしめしたものである。物理鍵６０１と合体機能を備えた認証端末６０２とからなり、両者の合体部６０３は電子ロックされている。
ここで後に説明する鍵貸出センターにおいて個人認証をして、貸出時の合体および返却後の分離を貸出先としての担当者の個人ＩＤとともに記録しておけば、貸し出し中でない端末ＩＤによる開錠動作のような不正を検出することができ、セキュリティを高める効果がある。
認証端末は図7に示すように電子ロック機能を備えた合体部７０１、扉端末のＲＦＩＤリーダーと非接触通信をするＲＦＩＤタグによる近距離無線通信部７０２、記憶部７０３、物理鍵に合体させる合体機能と記憶部に記憶した端末ＩＤを含む情報を近距離無線通信により送信する機能とロック解除信号の入力を受けて合体の電子ロックが解き分離可能とする機能を制御する制御部７０４から構成されている。
ここで合体のロックに電子ロックを採用したが、これに限られるものではなく、物理鍵や番号合わせ方式の錠前等で合体をロックし、後述の鍵貸出センターで錠前の物理鍵や開錠番号を厳重に管理する方式でも良い。

合体鍵を使用するときに、記憶手段７０３に業務の記録として、時間、自動販売機の情報を記録すると、第2の通信で送信した読み取り情報に基づく業務履歴データに不正がなかったかを検証したり、不正フラグがオンとなった業務履歴データに係わる開錠は、正規の合体鍵によるものかどうかの判別に利用することができる。ここで時間の情報としては開錠時間、自動販売機の情報としては扉ＩＤが採用可能である。

（鍵管理センター）
図8は鍵管理センター１０７の構成を示したブロック図である。
鍵貸出記録部８０１、合体・分離記録部８０２、許可条件登録部８０３、個人認証部８０４という構成である。ここで８０１〜８０３は、鍵貸出記録画面、合体・分離記録画面、許可条件録画面を表示し、所定の入力欄に直接入力もしくは選択入力等の入力支援を行わせ、入力された情報を所定のデータ項目欄に格納し、所定のキー入力により呼び出し可能に記憶する動作を実行するプログラムを実装したキーボード等の入力デバイス、液晶等の表示装置を備え、通信回線に接続したパソコン・システムによって実現される。ここで、これら手段を実現するシステムは、上記パソコン・システムに限られるものではなく、ブラウザ機能を備えた通信端末とし、ブラウザ画面から情報の入力を行い通信回線を介して、データ管理センターに送信し、データ管理センターにおけるメインのコンピュータシステムにおいて情報を所定のデータ構造に格納し、所定のキー入力により呼び出し可能とする方式でもよい。

個人認証部８０４は、上記パソコン・システムに接続した生体情報センサーであり、認証は担当者の生体情報を該センサーによって読み取り、予め登録した本人の生体情報と比較する動作を行うプログラムを上記パソコン又はデータ管理センターのシステムに実行させることによって行われる。

ここで「生体情報」とは、生体、ここでは人の指紋，虹彩，手型，網膜パターン等の特徴をいう。これらは人それぞれ異なり、また長期にわたり変化がないことから、本人の個人認証に有効な情報である。生体が独自にもつ、また生体から分離されないものであることから、基本的には盗難，偽造あるいは漏洩等は生じない。したがって、このような生体情報を認証に用いれば高いセキュリティが得られることになる。

図9は、鍵管理センターにおける個人認証から始まる鍵貸出業務のフローとそれにともなう鍵貸出記録部８０１、合体・分離記録部８０２そして許可条件登録部８０３により、後で説明する鍵管理データの生成に必要な情報記録および登録のタイミングを示したフローチャートである。

Ｓ901は、自動販売機の担当者が業務の開始に当たって行う個人認証ステップである。ここでは、指に静脈の画像による認証方法を採用することとする。鍵貸出用に設けられたパソコン・システムに接続された専用の画像センサーに担当者が自らの登録した指をセットし、生体情報の取得を行う。ここで取得した画像データはコード化されて管理されている当該担当者の登録生体情報と比較し、一致された場合に鍵の貸出が許可される。尚、最初に業務に当たる場合、当該画像センサーで取得した画像から認証のための生体情報の登録を行う方式を採用する。
ここでＤ901の貸出先としての個人ＩＤの取得が行われる。取得されたＩＤは、通信回線を介してデータ管理センターに送信される。

Ｓ902は、許可条件登録ステップである。鍵貸出用に設けられたパソコンの動作によって表示された登録画面の入力欄にキーボード、マウス等の入力デバイスを以て入力する。図10は、許可条件登録画面の一例を示したものである。入力画面１００１には、入力欄の項目として、業務期間１００２、業務範囲１００３、担当者ＩＤ表示欄１００４、登録ボタン１００５という構成である。業務期間１００２は、始期と終期を入力する方式である。業務範囲１００３は、業務許可対象の自動販売機の範囲をグループ化したものがアイコンとして表示されたＡボタン、Ｂボタン、Ｃボタンのいずれかを選択してクリックすることによって設定される。本発明の登録は、ここで採用した方式に限られるものではなく、例えば業務範囲登録において、入力デバイスから自動販売機ＩＤを直接入力する方式を採用するなど適用する業務対象の状況に応じて適宜採用するべきものである。
ここで登録された情報は、データ管理センターに送信され、Ｄ902の許可条件生成に利用される。
ここでは許可条件登録を鍵管理センターにおいて鍵貸出のフローの中で行ったが、本願発明はこれに限られるものではなく、データ管理センター等に別途設けられた登録用の端末から上記登録画面と同様の画面から登録する方式も採用可能である。

図11は、Ｄ902で生成する許可条件データの構成を示したものである。担当者の個人ＩＤ１１０１、業務開始時間１１０２、業務終了時間１１０３、許可対象自動販売機１１０４というものである。ここで許可自動販売機は扉ＩＤで特定される。また、データの構成を明確にするため許可対象自動販売機は、通常は一担当者が複数の自動販売機を１つのマスターキーで管理するので、複数の扉ＩＤのリストとなっている。

Ｓ903は、物理鍵選択ステップである。ここで登録された許可条件に見合う鍵が鍵貸出センターの係員によって選ばれる。係員の鍵選択を支援するため鍵貸出用に設けられたパソコン・システムにより、選択すべき物理鍵を許可条件から検索し、物理鍵ＩＤ等の選択支援情報を出力する方式を採用すると、鍵貸出における人為的ミスを防ぐ効果がある。
ここでＤ903の物理鍵ＩＤ取得が行われる。取得されたＩＤは、通信回線を介してデータ管理センターに送信される。

Ｓ904は、認証端末選択ステップである。ここで登録された許可条件や選択された物理鍵に見合う認証端末が貸出センターの係員によって選ばれる。
ここでＤ904の端末ＩＤの取得が行われる。取得されたＩＤは、通信回線を介してデータ管理センターに送信される。

Ｓ905は、選択された物理鍵と認証端末の合体ステップである。ここでは、物理鍵に認証端末の合体部を操作して合体させる。
ここでＤ905の作成時間の取得が行われる。取得された作成時間は、端末ＩＤと関連づけられて通信回線を介してデータ管理センターに送信される。
なお、作成時間をデータ管理センターに端末ＩＤの送信があったときと定義して、データ管理センターにおいて作成時間を生成しても良い。

図12は、合体鍵の機能によって合体する態様を示した図である。１２０１は、合体前の合体部を示したものである。１２０２はロックピンであり、ピストン部１２０３が押し下げられるとピストン部の凹部にロックピンが食い込みロックされる機構である。ロックは電子制御で解除される。１２０４は物理鍵であり、空孔１２０５が設けられている。ロックの解除のために担当者の個人認証を必要とすると、鍵管理がより厳格なものとなる。
１２０６は、合体後の合体鍵の態様を示したものであり、二股状の合体部１２０１に物理鍵が挟み込まれ、空孔１２０５にピストン部１２０３が貫通されてロックしてある。１２０７は認証端末本体である。
ここで採用した合体鍵の方式に本発明が限られるものでなく、ワイヤー錠のワイヤーを空孔に通してロックする方式、カラビナ式の錠のフック部に空孔を通してロックするなど鍵の形状や大きさ、担当者の利便に応じて適宜採用可能である。

Ｓ906は、合体鍵貸出ステップである。作成された合体鍵が係員によって、認証された担当者に引き渡される。

貸出後担当者による所定の業務が終了又は所定の貸出期間が終了すると、担当者は鍵を返却するために、鍵貸出センターにいくことになる。Ｓ907は、その鍵返却ステップであり、係員に合体鍵を返却する。

Ｓ908は、返却者の個人認証である。貸出された合体鍵を分解などすることにより不正に利用されたりすることを防ぐため、不正が発生した場合に正規の貸出によって鍵を渡された者の身の潔白を証明するためなどに一定の効果がある。
ここでＤ908の返却者としての個人ＩＤの取得が行われる。取得されたＩＤは、通信回線を介してデータ管理センターに送信される。ここで貸出先として登録された個人ＩＤと異なる場合は検証が必要な不適な業務と評価することができる。必要であれば、不適フラグというデータ項目を鍵管理データに追加し、管理者が検証するまで不適フラグをオンとしてもよい。

Ｓ909は、合体鍵の分離ステップである。合体鍵は返却時に分離される。不正の流用の防止のためである。Ｄ909で合体フラグがオフに切り替えられ、その後自動販売機の開錠により、合体フラグがオフである認証端末の端末ＩＤがデータ管理センターに送信されると、不正として検知される。
ここで認証端末の記憶部に記録した使用記録を読み取り、データ管理センターに送られ、業務履歴データを検証するための使用記録データとして管理される。

Ｓ910は、返却の後、当該認証端末返却された合体鍵の認証端末を使用するための当該認証端末の選択ステップである。ここでの選択をする場合、通信回線を介して通知し、Ｄ910の合体フラグがオフからオンに切り替えられる。正規の貸出による合体鍵の使用が不正と誤認されないためである。

（鍵管理データの構造）
図13は、上記フローの中で取得・生成された情報を利用して構成される鍵管理データの構造を示したものである。端末ＩＤ１３０１、作成時間１３０２、物理鍵ＩＤ１３０３、鍵貸出先の個人ＩＤ１３０４、分離時間１３０５、返却者の個人ＩＤ１３０６、合体フラグ１３０７、業務中フラグ１３０８、移動中フラグ１３０９というデータ項目から構成される。
ここで業務中フラグおよび移動中フラグは、デフォルト値をオフとして生成され、その後の業務が通知される毎に切り替えられる当該鍵に係わる業務状態を示すデータ項目である。

（データ管理センターの構成）
図１４は、データ管理センター１０８の構成を示したものである。
制御部１４０１、データベース１４０２、一時記憶部１４０３、通信部１４０４、入力部１４０５、表示部１４０６という構成である。制御部１４０１は、後で説明するフローチャートで示されるように業務履歴データの生成・記憶、扉端末の第2の通信部からの情報を監視する動作を実行し、業務の不正を検知する動作などを行う。
また、以下の説明における各構成部の動作は、予め用意されたプログラムをモニター、キーボード、マウス等のインターフェースを備えたパーソナルコンピュータやワークステーション等のコンピュータで実行し、各種デバイスを制御することにより実現される。また、これらのプログラムは、たとえばハードディスク、ＵＳＢメモリー、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出され、システムのユーザが操作することによって実行される。

図15は、データベース１３０２の構成を示したブロック図である。
業務履歴データ１４０１、鍵管理データ１４０２、許可条件データ１４０３、基礎データ１４０４、生体情報データ１４０５、業務確認データ１４０６という構成からなる。

（データ管理センターの主要動作：業務履歴データの生成と監視）
図１６は、デ―タ管理センター１０８の制御部による、第2の通信からの開錠情報の受信にともなう業務履歴データ作成と監視を実行する動作を示したフローチャートである。ここでフローの各ステップで取得・生成されるデータ項目については、頭に「Ｄ」を付記したデータに係わるステップの概念ブロック図で表現した。

Ｓ1601は、第2の通信による開錠情報の受信ステップである。自動販売機に対して合体鍵が差し込まれると、扉端末の識別信号読み取り部であるＲＦＩＤリーダーが認証端末の端末ＩＤをＲＦＩＤタグから読み出し、この端末ＩＤと当該扉端末が記憶する扉ＩＤを含む情報を生成し、第2の通信で当該データ管理センターの通信部１３０４に送信するのである。この第2の通信は、有線、無線或いは両者の組合せである通信回線を利用することによって実現される。

Ｄ1601は、ここで取得・生成されるデータ項目が端末ＩＤ、扉ＩＤ、開錠時間であることを示す。端末ＩＤおよび扉ＩＤは、第2の通信により送信された情報に含まれたものを抽出して取得するが、開錠時間については、第2の通信に含まれるタイムスタンプを利用もしくは、データ管理センターに設けられたタイマー（図示しない）から時間を取得して生成することができる。

（動的に生成される許容範囲）
Ｓ1602は、許容範囲データの生成ステップである。
許容範囲データは、次に示す許容範囲データ生成プロセスを経て作成される。
図17は、許容範囲データの生成を示したフローチャートである。
１７０１は、移動時間設定ステップである。扉端末ＩＤごとに当該扉端末が装着された自動販売機から他の自動販売機までの移動時間を設定する。移動時間の設定は、各自動販売機のＧＰＳデータを取得し、その緯度経度から距離を演算し、距離に所定の係数を掛け合わせて決定する方式を採用するものとする。ここで移動時間の設定は、ここで説明する方式に限られるものではなく、担当者の経験や交通事情を勘案して個別に数値入力する方式を別途採用しても良い。

図18は、上記ステップで生成された移動時間テーブルの一例である。ここでは、管理対象とする全自動販売機を扉ＩＤ（Ａ１，Ｂ１，Ｃ１，Ｄ１，Ａ２）としたが、導入するシステムが管理する対象の自動販売機に応じて適宜採用すべきものであり、ここではすべての組合せについての移動時間を示したマトリクスとなっている。
このマトリクスデータは、本願のシステムの実装に先立って予め作成しておくべき許容範囲データの動的生成のための基礎データであり、データベース１３０２に格納される。

図17の説明に戻る。１７０２は、直前業務履歴抽出ステップである。ここで、当該第2の通信に係わる自動販売機の直前に業務した自動販売機に係わる業務履歴データの抽出は、移動フラグがオンとなっている業務履歴データから当該端末ＩＤに係わる業務履歴データを検索することによっておこなう。

１７０３は、移動時間算出ステップである。直前の業務履歴データの施錠時間と当該扉端末が端末ＩＤを受信した時間との差分を移動時間として算出する。
１７０４は、許容範囲扉ＩＤ抽出ステップである。前のステップで算出した移動時間テーブルを参照し到達可能な自動販売機の扉ＩＤを抽出することによって生成された扉端末ＩＤリストが、当該第2の通信に係わる許容範囲データである。
１７０５は、一時記憶ステップである。動的に生成された許容範囲データは、一時記憶部１４０３に記憶され、監視動作に利用される。

業務履歴データ作成と監視動作を実行する動作の説明に戻る。
Ｓ1603は、許容範囲の監視ステップである。データ管理センターの一時記憶部１４０３に格納した許容範囲データとしての扉ＩＤリストと当該作成に係わる第2の通信に含まれる扉ＩＤを比較し、当該扉ＩＤが先のリストにないかどうかの判別を行う。ここではリストにあれば「不正なし」、リストになければ「不正あり」とその開錠の状態を判別する
Ｄ1603は、ここでの監視によって判別された自動販売機の開錠の状態に基づいて不正フラグの値を切り替えることを示している。
なお、本願発明は、ここで示した許容範囲の監視動作に限られるものではなく、例えば、許容範囲を第2の通信を受信時点における業務中フラグがオフである扉ＩＤの範囲としてもよい。受信した端末ＩＤをキーに該当する鍵管理データを呼び出し、業務中フラグがオフとなっていれば、業務中フラグをオンに切り替える動作を行う。ここで業務中フラグがすでにオンであれば、同じ端末ＩＤが複数存在することになり、不正のおそれがあると評価されるので、当該業務履歴データの不正フラグをオンとするといった監視動作である。
あるいは、許容範囲とは合体フラグがオンである鍵管理データに含まれる端末ＩＤリストとして、許容範囲にない場合、当該業務履歴データの不正フラグをオンとする監視動作であってもよい。

Ｓ1604は、許可条件の呼び出しステップである。ここでは、図11で示した許可条件データから当該端末ＩＤに係わる担当者の許可条件を呼び出す。
Ｄ1604は、ここでの監視に必要な許可条件データがデータベースから検索されることを示している。ここでは、図13に示した鍵管理データを参照し、当該業務に係わる認証端末の貸出先担当者の個人ＩＤを呼び出し、この個人ＩＤから当該担当者の許可条件データを検索する動作を示している。

Ｓ1605は、許可条件データとの比較による監視ステップである。そこに格納された業務時間に当該第2の通信に係わる開錠時間が当てはまるか、さらには扉ＩＤが許可対象自動販売機の扉ＩＤに含まれているかを判別する。
Ｄ1605は、ここでの監視動作によって判定された自動販売機の開錠の状態に基づいて不正フラグの値を切り替えることを示している。
本願発明の許可条件による監視動作は、ここに記載された方式に限られるものではなく、業務の態様に応じて適当な許可条件を利用した方式を採用することが可能である。

Ｓ1606は、施錠のセンサー検知ステップである。
ここでは扉端末を構成するセンサーが施錠を検知する。当該自動販売機のへの商品補充等の業務を終えた担当者が扉体を閉じるときの圧力を検知する圧力センサーからの検知信号による。
Ｓ1607は、施錠信号の受信ステップである。
扉端末は、圧力センサーからの検知信号を受けて、施錠情報を送信する。施錠情報は、第2の通信により送信され、その情報は（情報の種類、扉ＩＤ）という形式であり、ここでの情報の種類は、「施錠」を示す数値、符号等である。
Ｄ1607は、このステップで施錠時間の生成、業務中フラグのオフへの切り替え、移動中フラグのオンへの切り替えが行われることを示している。施錠時間の生成は、第2の通信におけるタイムスタンプ、あるいはデータ管理センターのタイマー（図示しない）からの時間取得により行われる。

Ｓ1608は、次の自動販売機からの開錠情報受信ステップである。
Ｄ1607は、ここで先のステップでオンとなった移動中フラグをオフに切り替えることを示している。

（業務履歴データの構造）
図19は、業務履歴データの構造を示したものである。
端末ＩＤ１９０１、扉ＩＤ１９０２、開錠時間１９０３、施錠時間１９０４、不正フラグ１９０５というデータ項目から構成される。ここで不正フラグは、監視動作の結果として生成される業務状態を示すデータ項目である。

（警告動作：管理者への通知）
図20は、不正フラグの値を検知しての警告動作を示したフローチャートである。
２００１は、不正フラグの検知ステップである。データ管理センターの制御部のバックグランドで動作する検知プログラムが業務履歴データの不正フラグの値「オン」を検知する。

２００２は、警告メール送信ステップで、上記「オン」の検知をトリガーにメールプログラムを起動して予め設定した管理者等のアドレスに所定の不正発生通知メールを送信する。
２００３は、不正フラグに係わるデータの項目抽出ステップである。予め抽出すべき項目を当該端末ＩＤについて「合体鍵貸出先としての個人ＩＤ」「許可されている扉ＩＤ」「業務中フラグ」「移動中フラグ」というようにデータ項目を決めておき、トリガーの検知によりこれらのデータ項目値を抽出する動作を所定のプログラムに従って制御部が実行する。

２００４は、業務確認画面生成ステップである。上記抽出したデータ項目の値やデータ数を元に表示画面を生成するプログラムを実行することによって生成され、上記メールに張ったリンクのクリックなどの管理者からの表示指示によって、管理者の有する端末もしくはデータ監視センターを構成するパソコン・システム等の表示画面に表示する。

図21は、その業務確認画面である。不正フラグがオンとなった業務履歴データに係わる端末ＩＤおよび扉ＩＤに係わるデータ項目やデータ数を元に予め設定した手順を実行するプログラムにより必要な値を抽出し、データ数をカウントすることにより生成される。
ここでは、当該不正の恐れのある業務に係わる担当者を把握するための「鍵貸出先個人ＩＤの値」、当該不正の恐れのある認証端末で開錠が許可されている自動販売機を把握するための「扉ＩＤの値」、当該認証端末の「業務中フラグの値」「移動中フラグの値」、当該不正がなされた自動販売機に対する開錠回数を把握するために集計した「端末ＩＤ毎の業務履歴データ数」が表示項目として図示されているが、本願発明の業務確認画面の表示項目はこれらに限られるものではなく、管理者の必要やシステムが対象とする自動販売機群の特性に応じて適宜採用可能である。

（管理者のためのより高度な可視化）
図22は、業務状況を視覚的に表現することにより管理者の業務把握を効率化するためのグラフ化された業務確認画面である。このグラフも、不正フラグがオンとなった場合の警告動作として、所定の管理者アドレスにメール通知するとともに、管理者が業務の状況を把握するために生成されるものである。ここでは、不正フラグがオンになった時間が含まれる期間を「8月第1週」として、当該自動販売機と同じ群に属する自動販売機Ａ１、Ａ２、・・・・、Ａ7、Ａ８について開錠回数をグラフしており、Ａ5に対する開錠数が突出しており、業務の不正状況をより広い視野で把握する支援効果がある。

２００５は、扉端末のローカル記憶更新ステップである。
上記業務確認画面において、不正のおそれのある業務の状況を把握し、当該不正に係わる端末ＩＤによる開錠を無効化したい場合、当該業務に係わる範囲の扉端末のローカル記憶部に記憶した当該端末ＩＤの有効フラグを第2の通信によりオフに切り替えればよい。この切り替えは、業務確認画面に表示したローカル記憶更新ボタン２１０２（図21）又２２０２（図22）にアクションを加えることで、予め用意した更新プログラムを起動することにより実行される。

（効果）
不正の恐れを検知し、管理者に業務の状態を適切に把握するための通知・情報表示をおこなうことができる。また、不正の拡大を防ぐために、把握した範囲の扉ＩＤについてローカル記憶部の端末ＩＤを無効化することにより、不正可能性のある範囲の業務にのみ制限をかけるといった細やかな不正対策を講ずることができる。

本発明で開示した発明は、すでに設置済の自動販売機を含む管理システムに、追加的に扉端末を装着し、従来から使っていた物理鍵に認証端末を合体させることにより、容易に導入し、問題となっている不正を防いだり、不正が発生している業務の範囲を特定することができるので、これから新たに設置する自動販売機に限らず、柔軟に導入可能であり、自動販売機をメンテナンスする業者に幅広く利用されることが期待できる。

システムの概略構成 扉端末の構成 送信する開錠情報 自動販売機の扉内側に設置された扉端末 ローカル記憶部に格納された情報のデータ構造 合体鍵の構成 認証端末 鍵管理センターの構成 鍵貸出業務のフロー 許可条件登録画面 許可条件データの構成 合体する態様を示した図 鍵管理データの構造 データ管理センターの構成 データベースの構成 業務履歴データ作成と監視を実行する動作を示したフローチャート 許容範囲データの生成を示したフローチャート 移動時間テーブル 業務履歴データの構造 不正フラグの値を検知しての警告動作 業務確認画面 グラフ化された業務確認画面

１０１ 扉端末を備えた自動販売機群
１０５ 合体鍵
１０７ 鍵管理センター
１０８ データ管理センター
１０９ 通信回線

Claims (15)

1. １）自動販売機に装着され、該自動販売機の物理鍵により開錠された扉体の開放を電子ロックする物理錠とは別系統の第2の扉ロック手段と、近距離無線通信機能と物理鍵に合体させる合体機能を備えた単数あるいは複数の認証端末の端末ＩＤと当該自動販売機を特定するＩＤとしての扉ＩＤを登録しておくローカル記憶手段と、該扉端末が備える近距離無線通信手段の読み取り位置に前記認証端末が近づくと近距離無線通信で端末ＩＤを受信し、該受信した端末ＩＤと前記ローカル記憶手段に記憶されている端末ＩＤを比較照合して、端末ＩＤが一致すれば、前記自動販売機の扉体の電子ロックの開錠動作を行う制御手段と、該開錠に係わる端末ＩＤおよび扉ＩＤを含む開錠情報を送信する前記近距離無線通信手段とは異なる第2の通信手段とを備えた扉端末、
   ２）鍵貸出先としての前記自動販売機の担当者の個人ＩＤと、貸し出す認証端末の端末ＩＤとを少なくとも記録する鍵貸出記録手段を備えた鍵管理センターから該記録された認証端末を物理鍵に合体させた形態で貸し出される合体鍵、
   ３）前記扉端末の第2の通信手段と通信し、情報の送受信を行う通信手段と、
   鍵管理センターとの通信手段と、これら通信手段によって受信した情報から該情報をデータ項目に含む業務履歴データを作成するとともに、前記第2の通信により受信する開錠情報に含まれる前記読み取られた端末ＩＤおよび扉ＩＤを含む所定のデータ項目の値を
   （ａ）データ項目毎に予め設定した許可する値もしくは値域である許可条件データ、
   又は（ｂ）当該第二の通信の直前までに作成された業務履歴データと予め設定したパラメータと計算式から動的に演算して生成される許容範囲データ
   を基準に監視動作を実行し、該基準を満たさない情報が受信された場合に所定の防犯動作を実行させる制御手段を備えたデータ管理センター
   から構成されることを特徴とする自動販売機の管理システム。
2. 前記扉端末が備える近距離無線通信手段の読み取り位置は、前記物理鍵の差込位置を含むように設定され、物理鍵の開錠動作を行うと必然的に認証端末の端末ＩＤが前記近距離無線通信機能により送信される機構となっていること特徴とする請求項１に記載の自動販売機の管理システム。
3. 前記鍵管理センターは、前記物理鍵と認証端末との合体・分離を記録する合体・分離記録手段を備え、合体鍵の作成時間もしくは分離時間、物理鍵ＩＤ、端末ＩＤ、そして鍵貸出先もしくは返却者としての担当者の個人ＩＤを含む情報を前記データ管理センターに送信し、
   前記データ管理センターの制御手段は、
   １）前記送信された情報のデータ項目、
   ２）該当する合体鍵が合体中はオンと返却され分離中はオフとして鍵の状態を示す合体フラグ、
   ３）前記自動販売機の開錠から施錠信号受信もしくは一定時間経過までオンとなる業務中フラグ、
   および、４）前記施錠信号受信もしくは開錠から一定時間経過後において次の自動販売機からの端末ＩＤ受信までオンとなる移動中フラグ
   をデータ項目に含む鍵管理データを作成し、前記監視動作もしくは管理者による監視の支援に利用されることを特徴とする請求項１又は２に記載の自動販売機の管理システム。
4. 前記鍵管理センターもしくはデータ管理センターには、許可条件登録手段が設けられ、前記担当者が業務を許可された自動販売機を特定する扉ＩＤ、業務が許可された時間を特定する情報を含む業務条件情報を登録し、該登録した情報に基づいて許可条件データが担当者毎に作成され、前記基準の設定に利用されることを特徴とする請求項1乃至３のいずれかに記載の自動販売機の管理システム。
5. 前記業務履歴データは、開錠時間、前記扉ＩＤ、前記端末ＩＤ、当該開錠に係わる自動販売機に対する業務に不正の恐れがあることを示す不正フラグをデータ項目に含むものであることを特徴とする請求項1乃至４のいずれかに記載の自動販売機の管理システム。
6. 前記業務履歴データは、施錠時間を含むものであり、該施錠時間は前記扉端末に設けられた前記扉体の閉口動作を検知するセンサーの閉口信号を第2の通信を介して受信した時間であることを特徴とする請求項５に記載の自動販売機の管理システム。
7. 前記認証端末の記憶手段は、新たな情報の書き込みが可能であり、前記扉端末による端末ＩＤの読み取りと同時に、該読み取りに係わる自動販売機を特定する情報および時間を含む使用履歴データの書き込みを行い、前記前記業務履歴データの状態を確認することに利用されることを特徴とする請求項1乃至６のいずれかに記載の自動販売機の管理システム。
8. 前記データ管理センターは、さらに登録もしくは更新された前記許可条件情報から前記扉端末のローカル記憶手段に更新登録するローカル更新登録情報を作成し、前記扉端末の第2の通信手段に送信し、前記ローカル記憶手段に記憶した情報を更新するローカル情報更新手段を備えることを特徴とする請求項4又は5のいずれかに記載の自動販売機の管理システム。
9. 前記許可条件は、前記担当者毎に設定した業務対象自動販売機の扉ＩＤ群又は業務時間もしくは業務期間であり、前記データ管理センターにおける監視動作は、第2の通信による情報に含まれる端末ＩＤから貸出先としての担当者の個人ＩＤを特定し、当該第2の通信に係わる扉ＩＤと開錠時間が前記許可条件を満たしていない場合、当該第2の通信による情報によって作成される業務履歴データの不正フラグをオンとする動作であることを特徴とする請求項1乃至８のいずれかに記載の自動販売機の管理システム。
10. 前記許容範囲は、業務中フラグがオフである業務履歴データに係わる認証端末の端末ＩＤであり、前記演算は、業務中フラグがオンとなっている業務履歴データに係わる端末ＩＤの抽出であって、前記データ管理センターにおける監視は、当該抽出による端末ＩＤと第2の通信による情報に含まれる端末ＩＤと比較し一致した場合、当該第2の通信による情報によって作成される業務履歴データの不正フラグをオンとする動作であることを特徴とする請求項1乃至９のいずれかに記載の自動販売機の管理システム。
11. 前記許容範囲は、前記データ管理センターに記録された当該認証端末による直前の開錠時間もしくは施錠時間と第2の通信の受信時間との時間差に応じて設定された当該自動販売機からの移動可能範囲とされた自動販売機群の扉ＩＤリストであり、前記データ管理センターにおける監視動作は、当該第2の通信に係わる扉ＩＤが該許容範囲の扉ＩＤリストにない場合、当該第2の通信による情報によって作成する業務履歴データの不正フラグをオンとする動作であることを特徴とする請求項1乃至１０のいずれかに記載の自動販売機の管理システム。
12. 前記許容範囲とは合体フラグがオンである鍵管理データに含まれる端末ＩＤリストであって、前記演算は第2の通信による開錠情報を受信した時点における前記鍵管理データから合体フラグがオンであるデータに係わる端末ＩＤのリストを生成することであり、当該リストにない端末ＩＤが第2の通信による開錠情報に係わる業務履歴データの不正フラグをオンとする動作であることを特徴とする請求項３乃至１１のいずれかに記載の自動販売機の管理システム。
13. 前記データ管理センターにおける防犯動作は、不正フラグのオンをトリガーに開始される動作であり、前記業務履歴データ、前記鍵管理データおよび前記許可条件データから、
    １）前記不正フラグがオンとなった業務履歴データの端末ＩＤに係わるデータ項目の値又はデータ数、
    ２）前記不正フラグがオンとなった業務履歴データの扉ＩＤに係わるデータ項目の値又はデータ数、
    ３）前記不正フラグがオンとなった業務履歴データの開錠時間を含む所定の期間におけるデータ項目の値又はデータ数、
    のいずれかを表示する業務確認画面を作成し、警告表示し、管理者が当該業務の状態を把握することを支援する動作であることを特徴とする請求項1乃至１２のいずれかに記載の自動販売機の管理システム。
14. 前記業務確認画面は、さらに前記許可条件データを分析し、前記業務確認画面を構成する項目についての基準値を抽出し、許可条件のグラフを作成し、前記業務確認画面と同一画面に表示する比較手段を有することを特徴とする請求項１３に記載の自動販売機の管理システム。
    
15. 前記データ管理センターにおける防犯動作とは、前記不正フラグがオンとなった業務履歴データに係わる端末ＩＤによる電子ロック解除を無効とするため、前記第2の通信により本システムが管理する自動販売機のローカル記憶手段の記憶情報を更新する動作であることを特徴とする請求項１乃至１４のいずれかに記載の自動販売機の管理システム。

Images