JP6779416B2 - 電子錠システム、電子錠管理方法、および電子錠管理プログラム - Google Patents

Description

本発明は、電子錠システム、電子錠管理方法、および電子錠管理プログラムに関する。

特許文献１には、電気錠を備えた複数の物品収受ボックスにおける電子錠の開閉制御について記載されている。特許文献１では、複数の物品収受ボックスが制御部に接続されており、制御部はネットワーク経由でセンタサーバに接続されている。そして、開錠のための処理はセンタサーバと制御部との間で行われる。

特開２０１５−０４８２３６号公報

特許文献１では、開錠の判定時にセンタサーバと制御部が通信する構成となっている。特許文献１の技術を大規模ビル内の複数の扉のセキュリティ管理に応用すると、扉の鍵開閉装置が個別にセンタサーバと通信することになる。このため、扉を通過するユーザ数が多いビルでは通信量が増大する。また、情報セキュリティの観点から管理すべき外部ネットワークとの接続点が扉の数に比例して増大する。

本発明は、通信量を増大させることなく、安全に電子錠の開錠判定を行う電子錠システムを提供することを目的とする。

本発明に係る電子錠システムは、
電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムにおいて、
前記サーバ装置は、
秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部と、
前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する生成部と、
前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信するサーバ通信部と
を備え、
前記開閉システムは、
前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証部と、
前記検証部により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠部とを備えた。

本発明に係る電子錠システムでは、サーバ装置がユーザ権限情報と秘密鍵とを用いて、ユーザの開錠権限の正当性を認証するための認証済情報を生成する。また、サーバ装置は、秘密鍵に対応する公開鍵の証明書を検証情報として開閉システムに送信する。開閉システムでは、ユーザから近距離無線により認証済情報を取得すると、認証済情報と検証情報とを用いてユーザの開錠権限の正当性を検証する。よって、本発明に係る電子錠システムによれば、サーバ装置との通信量を増大させることなく、安全に電子錠の開錠判定を行うことができる。

実施の形態１に係る電子錠システムの機能構成図。 実施の形態１に係るサーバ装置のハードウェア構成図。 実施の形態１に係る端末装置のハードウェア構成図。 実施の形態１に係る管理装置のハードウェア構成図。 実施の形態１に係る鍵開閉装置のハードウェア構成図。 実施の形態１に係る秘密情報記憶処理の動作フロー図。 実施の形態１に係る秘密情報の例を示す図。 実施の形態１に係る検証情報配送処理の動作フロー図。 実施の形態１に係るユーザ権限情報の例を示す図。 実施の形態１に係る認証情報生成処理の動作フロー図。 実施の形態１に係る開錠権限データおよび認証済情報の例を示す図。 実施の形態１に係る認証済情報配送処理の動作フロー図。 実施の形態１に係る開錠処理の動作フロー図。 実施の形態２に係る電子錠システムの構成例。 実施の形態２に係る検証情報配送処理の動作フロー図。 実施の形態２に係る開錠処理の動作フロー図。 実施の形態３に係る電子錠システムの機能構成図。 実施の形態３に係る認証済情報配送処理の動作フロー図。 実施の形態３に係る開錠処理の動作フロー図。 実施の形態４に係る電子錠システムの機能構成図。 実施の形態４に係る開錠処理の動作フロー図。 実施の形態４に係る開錠ログの例を示す図。 実施の形態５に係る電子錠システムの機能構成図。 実施の形態５に係る認証情報生成処理の動作フロー図。 実施の形態５に係る開錠権限記憶部の構成例。 実施の形態５に係る失効情報の例を示す図。 実施の形態５に係る失効情報記憶部の構成例。 実施の形態５に係る秘密情報記憶処理の動作フロー図。 実施の形態５に係る失効情報記憶処理の動作フロー図。 実施の形態５に係る開錠処理の動作フロー図。 実施の形態６に係る電子錠システムの機能構成図。 実施の形態６に係る認証情報生成処理の動作フロー図。 実施の形態６に係る失効情報記憶部の構成を示す図。 実施の形態６に係る失効情報記憶処理の動作フロー図。 実施の形態６に係る失効情報転送処理の動作フロー図。 実施の形態６に係る失効情報記憶処理の動作フロー図。 実施の形態７に係るユーザ権限情報の構成例。 実施の形態７に係るユーザ権限情報の構成例。 実施の形態７に係る開錠権限データの構成例。 実施の形態７に係る開錠権限データの構成例。 実施の形態７に係る認証情報生成処理の動作フロー図。 実施の形態７に係る認証済情報配送処理の動作フロー図。 実施の形態８に係る電子錠システムの機能構成図。 実施の形態８に係る管理端末記憶部の構成を示す図。 実施の形態８に係る管理装置記憶部の構成を示す図。 実施の形態８に係る秘密情報記憶処理の動作フロー図。 実施の形態８に係る検証情報一時記憶処理の動作フロー図。 実施の形態８に係る検証情報転送処理の動作フロー図。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１から図５を用いて、本実施の形態に係る電子錠システム５００の構成について説明する。図１は、本実施の形態に係る電子錠システム５００の機能構成図である。図２は、本実施の形態に係るサーバ装置１００のハードウェア構成図である。図３は、本実施の形態に係る端末装置２００のハードウェア構成図である。図４は、本実施の形態に係る管理装置３００のハードウェア構成図である。図５は、本実施の形態に係る鍵開閉装置４００のハードウェア構成図である。

電子錠システム５００は、サーバ装置１００、端末装置２００、および開閉システム６００を備える。開閉システム６００は、管理装置３００および鍵開閉装置４００を備える。すなわち、電子錠システム５００は、サーバ装置１００、端末装置２００、管理装置３００、および鍵開閉装置４００を備える。
開閉システム６００は、電子錠４０２を備えた設備４０１を有する。設備４０１は、具体的には、扉である。すなわち、電子錠システム５００は、ビルといった建物内の扉に備えられた電子錠の開閉制御を行う。端末装置２００は、開閉システム６００と近距離無線により通信する。サーバ装置１００は、開閉システム６００と端末装置２００との各々と通信ネットワーク６１０を介して通信する。

サーバ装置１００と端末装置２００と管理装置３００は、通信ネットワーク６１０を介して通信する。通信ネットワーク６１０は、インターネットといった公衆網であり、外部ネットワークともいう。管理装置３００と鍵開閉装置４００は、ビル内に設けられた設備ネットワーク６２０を介して通信する。設備ネットワーク６２０は、ビル内に設けられたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）あるいはＷｉ−ｆｉ（登録商標）といった内部ネットワークである。端末装置２００と鍵開閉装置４００は、近距離無線ネットワーク６３０により通信する。近距離無線ネットワーク６３０は、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）である。

サーバ装置１００は、サーバ型のコンピュータである。端末装置２００は、建物を利用するユーザにより携帯される携帯端末である。端末装置２００は、例えば、スマートフォン、タブレット、あるいはその他の携帯端末である。管理装置３００は、サーバ型のコンピュータである。管理装置３００は、サーバ装置１００と通信ネットワーク６１０を介して通信する。また、管理装置３００は、ビルといった建物内の鍵開閉装置４００を管理する。
鍵開閉装置４００は、管理装置３００と通信するとともに、電子錠４０２の開閉を制御する。鍵開閉装置４００は、建物内の扉といった設備４０１に設置され、扉の電子錠４０２の開閉制御を行う。

サーバ装置１００、端末装置２００、管理装置３００、および鍵開閉装置４００の各装置は、コンピュータである。以下、サーバ装置１００、端末装置２００、管理装置３００、および鍵開閉装置４００の各装置を電子錠システム５００の各装置という場合がある。
サーバ装置１００は、プロセッサ９１０を備えるとともに、メモリ９２１、ストレージ９２２、および通信インタフェース９５０といった他のハードウェアを備える。
端末装置２００は、プロセッサ９１０を備えるとともに、メモリ９２１、ストレージ９２２、入力インタフェース９３０、出力インタフェース９４０、通信インタフェース９５０、および近距離無線インタフェース９５１といった他のハードウェアを備える。
管理装置３００は、プロセッサ９１０を備えるとともに、メモリ９２１、ストレージ９２２、および通信インタフェース９５０といった他のハードウェアを備える。
鍵開閉装置４００は、プロセッサ９１０を備えるとともに、メモリ９２１、ストレージ９２２、通信インタフェース９５０、近距離無線インタフェース９５１、および扉開閉信号インタフェース９５２といった他のハードウェアを備える。
なお、説明を簡単にするために、電子錠システム５００の各装置に共通のハードウェアには同一の符号を付しているが、実際には各装置が個別にハードウェアを備えている。
電子錠システム５００の各装置において、プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

サーバ装置１００は、機能要素として、サーバ通信部１１０、開錠権限生成部１２０、認証情報生成部１３０、秘密情報記憶部１４０、および入力部１５０を備える。
端末装置２００は、機能要素として、端末通信部２１０、認証済情報記憶部２２０、および近距離通信部２３０を備える。
管理装置３００は、機能要素として、管理通信部３１０を備える。
鍵開閉装置４００は、機能要素として、装置通信部４１０、検証情報記憶部４２０、近距離通信部４３０、検証部４４０、および開錠部４５０を備える。

サーバ装置１００において、開錠権限生成部１２０および認証情報生成部１３０の機能は、ソフトウェアにより実現される。サーバ通信部１１０は、通信インタフェース９５０に備えられる。秘密情報記憶部１４０は、メモリ９２１あるいはストレージ９２２に備えられる。入力部１５０は、入力インタフェース９３０に備えられる。サーバ装置１００の機能を実現するプログラムをサーバプログラムという。

端末装置２００において、端末通信部２１０は、通信インタフェース９５０に備えられる。認証済情報記憶部２２０は、メモリ９２１あるいはストレージ９２２に備えられる。近距近距離通信部２３０は、近距離無線インタフェース９５１に備えられる。端末装置２００の機能を実現するプログラムを端末プログラムという。

管理装置３００において、管理通信部３１０は、通信インタフェース９５０に備えられる。管理装置３００の機能を実現するプログラムを管理プログラムという。

鍵開閉装置４００において、装置通信部４１０は、通信インタフェース９５０に備えられる。検証部４４０および開錠部４５０の機能は、ソフトウェアにより実現される。装置通信部４１０は、通信インタフェース９５０に備えられる。検証情報記憶部４２０は、メモリ９２１あるいはストレージ９２２に備えられる。近距離通信部４３０は、近距離無線インタフェース９５１に備えられる。鍵開閉装置４００の機能を実現するプログラムを鍵開閉プログラムという。
以下において、サーバプログラム、端末プログラム、管理プログラム、および鍵開閉プログラムを、電子錠管理プログラムあるいは各装置のプログラムという場合がある。また、電子錠システム５００の各装置において、ソフトウェアで実現される機能要素を、電子錠システム５００の各装置の各部という場合がある。

プロセッサ９１０は、各装置のプログラムを実行する装置である。
プロセッサ９１０は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９１０の具体例は、ＣＰＵ（）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
ストレージ９２２は、データを保管する記憶装置である。ストレージ９２２の具体例は、ＨＤＤである。また、ストレージ９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。なお、入力インタフェース９３０は、ＬＡＮと接続されるポートであってもよい。
出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。

通信インタフェース９５０は、レシーバとトランスミッタに接続される。通信インタフェース９５０は、無線で、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信インタフェース９５０は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である

各装置のプログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、各装置のプログラムだけでなく、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、各装置のプログラムを実行する。各装置のプログラムおよびＯＳは、ストレージ９２２に記憶されていてもよい。ストレージ９２２に記憶されている各装置のプログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、各装置のプログラムの一部または全部がＯＳに組み込まれていてもよい。

各装置は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、各装置のプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、各装置のプログラムを実行する装置である。

各装置のプログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、ストレージ９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

各装置の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えてもよい。また各装置の各部の「部」を「処理」に読み替えた各処理の「処理」を「プログラム」、「プログラムプロダクト」または「プログラムを記録したコンピュータ読取可能な記憶媒体」に読み替えてもよい。
各装置のプログラムは、上記の各装置の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えた各処理、各手順あるいは各工程を、コンピュータに実行させる。また、電子錠管理方法は、電子錠システム５００が電子錠管理プログラムを実行することにより行われる方法である。
電子錠管理プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、電子錠管理プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
次に、図６から図１３を用いて、本実施の形態に係る電子錠システム５００の動作について説明する。

＜秘密情報記憶処理Ｓ１００＞
図６を用いて、本実施の形態に係る秘密情報記憶処理Ｓ１００の動作について説明する。秘密情報記憶処理Ｓ１００は、サーバ装置１００により実行される。秘密情報記憶処理Ｓ１００では、秘密情報記憶部１４０は、秘密鍵と秘密鍵に対応する公開鍵の証明書とを秘密情報３１としてメモリ９２１に記憶する。

ステップＳ１０１において、サーバ装置１００の入力部１５０は、秘密鍵と、秘密鍵に対応する公開鍵のデジタル証明書を取得する。具体的には、入力部１５０は、ＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を用いたデジタル署名の秘密鍵と公開鍵、すなわちデジタル証明書の組を取得する。
ステップＳ１０２において、サーバ装置１００の秘密情報記憶部１４０は、秘密鍵と証明書の組を秘密情報３１として記憶する。デジタル署名は、例えば、ＲＳＡ（登録商標）署名、ＤＳＡ、あるいはＥＣＤＳＡを用いた署名である。

＜検証情報配送処理Ｓ１１０＞
図７を用いて、本実施の形態に係る秘密情報３１の例について説明する。秘密情報３１は、ビルＩＤ（ＩＤｅｎｔｉｆｉｅｒ）３１１と、秘密鍵３１２と、証明書３１３から構成される。ビルＩＤ３１１は、管理装置３００が管理するビルを識別する識別子である。すなわち、秘密鍵３１２と証明書３１３の組は、ビルごとに取得される。

図８を用いて、本実施の形態に係る検証情報配送処理Ｓ１１０の動作について説明する。
ステップＳ１１１において、サーバ装置１００のサーバ通信部１１０は、証明書３１３を検証情報４１として開閉システム６００に送信する。サーバ通信部１１０は、証明書３１３を検証情報４１として開閉システム６００の管理装置３００に送信する。
ステップＳ１１２において、管理装置３００の管理通信部３１０は、サーバ装置１００から通信ネットワーク６１０を介して検証情報４１を受信する。管理通信部３１０は、検証情報４１を鍵開閉装置４００に設備ネットワーク６２０を介して送信する。すなわち、管理装置３００は、管理対象の全ての鍵開閉装置４００に検証情報４１を配布する。
ステップＳ１１３において、鍵開閉装置４００の検証情報記憶部４２０は、管理通信部３１０から受信した検証情報４１をメモリ９２１に記憶する。

なお、検証情報配送処理Ｓ１１０は、サーバ装置１００に新しい秘密鍵と証明書の組が入力されたときに実施される。

＜生成処理Ｓ２０＞
次に、本実施の形態に係る生成処理Ｓ２０について説明する。生成処理Ｓ２０は、後述する認証情報生成処理Ｓ１２０と認証済情報配送処理Ｓ１３０を有する。
生成処理Ｓ２０において、生成部１６０は、ユーザ権限情報３２を取得し、ユーザ権限情報３２と秘密鍵３１２とを用いて、ユーザの開錠権限の正当性を認証するための認証済情報を生成する。ユーザ権限情報３２は、設備４０１を利用するユーザを識別するユーザ識別子と、ユーザによる開錠が許可されている設備４０１を識別する設備識別子とが対応付けられた情報である。

図９は、本実施の形態に係るユーザ権限情報３２の例を示す図である。
ユーザ権限情報３２は、ビルＩＤ３２１と、ユーザＩＤ３２２と、扉ＩＤ３２３を備え。ビルＩＤ３２１は、管理装置３００が管理するビルを識別する識別子である。ユーザＩＤ３２２は、ユーザを識別するユーザ識別子である。扉ＩＤ３２３は、設備４０１である扉を識別する設備識別子である。

図１０を用いて、本実施の形態に係る認証情報生成処理Ｓ１２０の動作について説明する。
ステップＳ１２１において、入力部１５０は、ユーザ権限情報３２を取得する。ユーザ権限情報３２は、ビルを識別するビルＩＤと、ユーザを識別するユーザＩＤと、そのユーザが通過可能な扉を識別する扉ＩＤの組み合わせである。入力部１５０は、例えば、ｃｓｖ（ｃｏｍｍａ−ｓｅｐａｒａｔｅｄ ｖａｌｕｅｓ）形式のファイルあるいはその他の形式でユーザ権限情報３２の入力を受け付ける。
ステップＳ１２２において、サーバ装置１００の開錠権限生成部１２０は、ユーザＩＤと扉ＩＤとを用いて開錠権限を表す開錠権限データ３３を生成する。具体的には、開錠権限生成部１２０は、ユーザＩＤと、そのユーザが通過可能な扉ＩＤを連結した文字列を開錠権限データ３３として生成する。なお、開錠権限生成部１２０は、開錠権限データ３３の生成後、入力部１５０により受け付けたデータを記憶していなくてもよい。

図１１は、本実施の形態に係る開錠権限データ３３および認証済情報３５の例を示す図である。
図１１に示すように、開錠権限データ３３は、ユーザＩＤと扉ＩＤが明確に識別可能な文字列あるいはバイナリ列として表現されたデータ列である。図１１は、ＸＭＬ形式の例を示している。その他、ｃｓｖ形式、ｊｓｏｎ形式、あるいは適当な区切り文字で区切った文字列といった形式でもよい。

ステップＳ１２３において、サーバ装置１００の認証情報生成部１３０は、開錠権限データ３３と秘密鍵３１２とを用いて、開錠権限データ３３を認証する署名を認証情報３４として生成する。そして、認証情報生成部１３０は、認証情報３４が付加された開錠権限データ３３を認証済情報３５として出力する。このように、認証情報生成部１３０は、開錠権限データ３３に対して秘密鍵３１２を用いてデジタル署名を生成し、生成された署名を認証情報３４とする。
図１１に示すように、認証情報生成部１３０は、開錠権限データ３３と秘密鍵３１２とを用いて、開錠権限データ３３を認証するデジタル署名を生成し、認証情報３４とする。そして、認証情報生成部１３０は、開錠権限データ３３と認証情報３４との組を認証済情報３５として、サーバ通信部１１０に出力する。

図１２を用いて、本実施の形態に係る認証済情報配送処理Ｓ１３０の動作について説明する。
ステップＳ１３１において、サーバ装置１００のサーバ通信部１１０は、認証済情報３５を端末装置２００に送信する。
ステップＳ１３２において、端末装置２００の端末通信部２１０は、認証済情報３５を受信する。
ステップＳ１３３において、端末装置２００の認証済情報記憶部２２０は、端末通信部２１０により受信された認証済情報３５をメモリ９２１に記憶する。

以上のように、サーバ装置１００は、開錠権限データ３３と認証情報３４を端末装置２００に送信し、記憶させる。通信の開始はサーバ装置１００によるプッシュ通信でも端末装置２００によるプル通信でもよい。なお、認証済情報配送処理Ｓ１３０は、サーバ装置１００に新しい秘密鍵と証明書の組が入力されたときに実施される。

図１３を用いて、本実施の形態に係る開錠処理Ｓ１４０の動作について説明する。
ステップＳ１４１において、鍵開閉装置４００の近距離通信部４３０は、端末装置２００から近距離無線により認証済情報３５を受信する。具体的には、設備４０１である扉を利用したいユーザの端末装置２００が、扉近傍に設置された鍵開閉装置４００にかざされる。そして、近距離通信部４３０は、端末装置２００の近距離通信部２３０から、近距離無線ネットワーク６３０を介して認証済情報３５を受信する。

ステップＳ１４２において、鍵開閉装置４００の検証部４４０は、端末装置２００から近距離無線により認証済情報３５を受信すると、認証済情報３５と検証情報記憶部４２０に記憶された検証情報４１とを用いて、開錠権限の正当性を検証する。
ステップＳ１４３において、検証部４４０は、認証済情報３５に含まれる開錠権限データ３３が正当であるかを検証する。検証部４４０は、検証用の公開鍵を含むデジタル証明書である検証情報４１を用いて、認証済情報３５に含まれるデジタル署名である認証情報３４を検証し、開錠権限データ３３が正当であるかを検証する。具体的には、検証部４４０は、開錠権限データ３３とデジタル署名の組と、検証用の公開鍵を含むデジタル証明書とから、デジタル署名の署名検証アルゴリズムを用いて開錠権限データ３３が改ざんされていないことを確認する。開錠権限データ３３が正当である場合、ステップＳ１４４に進む。開錠権限データ３３が正当でない場合、処理を終了する。
ステップＳ１４４において、検証部４４０は、開錠権限データ３３に含まれる設備識別子である扉ＩＤが正当であるかを検証する。具体的には、検証部４４０は、開錠権限データ３３に鍵開閉装置４００に対応する設備４０１の設備識別子が扉ＩＤとして含まれているかを検証する。扉ＩＤが正当である場合、ステップＳ１４５に進む。扉ＩＤが正当でない場合、処理を終了する。

ステップＳ１４５において、鍵開閉装置４００の開錠部４５０は、検証部４４０により開錠権限の正当性が検証されると、電子錠４０２を開錠する。開錠部４５０は、開錠権限データ３３の正当性が確認され、かつ、開錠権限データ３３に含まれる扉ＩＤの正当性が確認された場合に、開錠権限が正当であると判定する。開錠部４５０は、開錠権限データ３３の正当性、および、開錠権限データ３３に含まれる扉ＩＤの正当性のうち、いずれかあるいはいずれも確認できない場合は、開錠権限が正当でないと判定し、電子錠４０２を開錠せずに処理を終了する。

＊＊＊他の構成＊＊＊
本実施の形態では、電子錠システム５００の各装置の各部の機能がソフトウェアで実現される。変形例として、電子錠システム５００の各装置の各部の機能がハードウェアで実現されてもよい。この場合、電子錠システム５００の各装置は、プロセッサ９１０に替えて電子回路を備える。

電子回路は、電子錠システム５００の各装置の各部の機能を実現する専用の電子回路である。
電子回路は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。
電子錠システム５００の各装置の各部の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。
別の変形例として、電子錠システム５００の各装置の各部の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、電子錠システム５００の各装置において、電子錠システム５００の各装置の各部の機能は、プロセッシングサーキットリにより実現される。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００では、開錠権限の正当性、すなわち、開錠権限データが改ざんされておらず、かつ内容が正しいことをデジタル署名によって保護する。また、鍵開閉装置が、署名の検証に必要な公開鍵証明書を保持する。よって、本実施の形態に係る電子錠システム５００によれば、鍵開閉装置は、サーバ装置との通信なしに開錠を判定することができる。

本実施の形態に係る電子錠システム５００では、開錠権限の正当性を検証する際に鍵開閉装置が管理装置と通信せずに開錠権限の正当性を検証可能とすることで、開錠の判定に必要な通信量を削減できる。また、サーバ装置と、複数ある鍵開閉装置が個別に通信する必要がなくなるため、外部ネットワークとビル内ネットワークが接する接続口を制限することで、情報セキュリティ上の管理対象増加を抑制することができる。また、さらに、副次的な効果としてサーバ装置はユーザと開錠可能な扉の組み合わせを記憶しておく必要がない。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点について説明する。なお、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図１４を用いて、本実施の形態に係る電子錠システム５００ａの構成について説明する。本実施の形態に係る電子錠システム５００ａにおいて、実施の形態１と異なる点は、鍵開閉装置４００ａが検証情報記憶部４２０および検証部４４０を備えていない点である。また、管理装置３００ａが、検証情報記憶部４２０および検証部４４０と同様の機能を有する検証情報記憶部３２０および検証部３４０を備える。

＊＊＊動作の説明＊＊＊
図１５を用いて、本実施の形態に係る検証情報配送処理Ｓ１１０ａの動作について説明する。
ステップＳ１１１において、サーバ通信部１１０は、証明書３１３を検証情報４１として管理装置３００ａに送信する。ステップＳ１１１の処理は、実施の形態１で説明した図８のステップＳ１１１と同様である。
ステップＳ１１４ａにおいて、管理装置３００ａの検証情報記憶部３２０は、サーバ装置１００から受信した検証情報４１をメモリ９２１に記憶する。

図１６を用いて、本実施の形態に係る開錠処理Ｓ１４０ａの動作について説明する。
ステップＳ１４１において、鍵開閉装置４００ａの近距離通信部４３０は、端末装置２００から近距離無線により認証済情報３５を受信する。ステップＳ１４１の処理は、実施の形態１で説明した図１３のステップＳ１４１と同様である。

ステップＳ１４６ａにおいて、鍵開閉装置４００ａの装置通信部４１０は、近距離通信部４３０により受信された認証済情報３５を、管理装置３００ａに送信する。装置通信部４１０は、設備ネットワーク６２０を介して、認証済情報３５を管理装置３００ａに転送する。

次に、ステップＳ１４３ａにおいて、管理装置３００ａの検証部３４０は、装置通信部４１０から送信された認証済情報３５に含まれる開錠権限データ３３が正当であるかを検証する。開錠権限データ３３が正当である場合、ステップＳ１４４ａに進む。開錠権限データ３３が正当でない場合、処理を終了する。
ステップＳ１４４ａにおいて、検証部３４０は、開錠権限データ３３に含まれる設備識別子である扉ＩＤが正当であるかを検証する。扉ＩＤが正当である場合、ステップＳ１４７ａに進む。扉ＩＤが正当でない場合、処理を終了する。
ステップＳ１４３ａとステップＳ１４４ａの検証部３４０の処理は、実施の形態１で説明した図１３のステップＳ１４３とステップＳ１４４の処理と同様である。ただし、本実施の形態では、検証部３４０の処理は管理装置３００ａで行われる。

ステップＳ１４７ａにおいて、検証部３４０は、開錠権限データ３３の正当性が確認され、かつ、開錠権限データ３３に含まれる扉ＩＤの正当性が確認された場合に、開錠権限が正当であると判定する。検証部３４０は、開錠権限の正当性が検証されると、管理通信部３１０を介して、電子錠４０２の開錠を指令する開錠指令を鍵開閉装置４００ａに送信する。
ステップＳ１４５ａにおいて、鍵開閉装置４００ａの開錠部４５０は、検証部３４０から開錠指令を受信すると、電子錠４０２を開錠する。

なお、秘密情報記憶処理、認証情報生成処理、および認証済情報配送処理については、実施の形態１と同様である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ａでは、開錠権限の正当性の検証に必要な記憶容量および計算能力を管理装置に集約する。よって、本実施の形態に係る電子錠システム５００ａによれば、鍵開閉装置の構成を簡素化することができる。さらに、ビル内に複数存在する鍵開閉装置の構成を簡素化することで、より本実施の形態に係る電子錠管理処理の実施が容易になる。

実施の形態３．
本実施の形態では、主に、実施の形態２と異なる点について説明する。なお、実施の形態１，２と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図１７を用いて、本実施の形態に係る電子錠システム５００ｂの構成について説明する。
本実施の形態のサーバ装置１００ｂは、実施の形態１，２のサーバ装置１００に加え、サーバ暗号化部１６１を備える。また、本実施の形態の端末装置２００ｂは、実施の形態２の端末装置２００に加え、端末暗号化部２４０と端末復号部２５０を備える。また、本実施の形態の鍵開閉装置４００ｂは、実施の形態２の鍵開閉装置４００ａに加え、装置復号部４６０を備える。

本実施の形態に係る電子錠システム５００ａでは、サーバ装置１００ｂは、認証済情報を暗号化するサーバ暗号化部１６１を備える。また、サーバ通信部１１０は、暗号化された認証済情報を端末装置２００ｂに送信する。
端末装置２００ｂの端末通信部２１０は、サーバ通信部１１０から暗号化された認証済情報を受信する。端末復号部２５０は、端末通信部２１０により受信された、暗号化された認証済情報を復号する。認証済情報記憶部２２０は、暗号化された認証済情報を復号することにより得られた認証済情報を記憶する。端末暗号化部２４０は、認証済情報記憶部２２０に記憶された認証済情報を暗号化する。端末装置２００ｂの近距離通信部２３０は、端末暗号化部２４０により暗号化された認証済情報を鍵開閉装置４００ｂに送信する。
鍵開閉装置４００ｂの装置復号部４６０は、端末暗号化部２４０により暗号化された認証済情報を復号する。

＊＊＊動作の説明＊＊＊
図１８を用いて、本実施の形態に係る認証済情報配送処理Ｓ１３０ｂの動作について説明する。
ステップＳ１３４ｂにおいて、サーバ暗号化部１６１は、開錠権限データ３３と認証情報３４の組である認証済情報３５を暗号化する。具体的には、サーバ暗号化部１６１は、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）を利用して暗号化する。このように、通信時に認証済情報を暗号化することにより、認証済情報は盗聴から保護される。
ステップＳ１３１ｂにおいて、サーバ通信部１１０は、暗号化された認証済情報を端末装置２００ｂに送信する。
ステップＳ１３２ｂにおいて、端末通信部２１０は、暗号化された認証済情報を受信する。
ステップＳ１３５ｂにおいて、端末復号部２５０は、暗号化された認証済情報を復号し、認証済情報３５を得る。
ステップＳ１３３ｂにおいて、認証済情報記憶部２２０は、復号により得られた認証済情報３５をメモリ９２１に記憶する。

図１９を用いて、本実施の形態に係る開錠処理Ｓ１４０ｂの動作について説明する。
ステップＳ１４８ｂにおいて、端末装置２００ｂの端末暗号化部２４０は、認証済情報記憶部２２０に記憶された認証済情報３５を暗号化する。具体的には、端末暗号化部２４０は、Ｂｌｕｅｔｏｏｔｈ（登録商標）のペアリング時の暗号化を利用して暗号化してもよい。あるいは、端末暗号化部２４０は、その他の暗号化方式によって独自に暗号化してもよい。このように、通信時に認証済情報を暗号化することにより、認証済情報は盗聴から保護される。
ステップＳ１４１ｂにおいて、近距離通信部４３０は、端末装置２００ｂから近距離無線により、端末暗号化部２４０により暗号化された認証済情報を受信する。
ステップＳ１４９ｂにおいて、鍵開閉装置４００ｂの装置復号部４６０は、端末装置２００ｂから受信した、端末暗号化部２４０により暗号化された認証済情報を復号し、認証済情報３５を得る。
ステップＳ１４６ａｂにおいて、装置通信部４１０は、復号により得られた認証済情報３５を、管理装置３００ａに送信する。

ステップＳ１４３ａ以降の処理は、実施の形態２で説明した図１６のステップＳ１４３ａ以降の処理と同様である。

なお、秘密情報記憶処理、検証情報配送処理、および認証情報生成処理については、実施の形態２と同様である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ｂでは、通信路上で開錠権限データと認証情報を暗号化することで外部から秘匿する。本実施の形態に係る電子錠システム５００ｂによれば、開錠権限を持たない部外者が正当なユーザの開錠権限と認証情報を詐取し、それらを再送することで不正に開錠すること、すなわちリプレイ攻撃を防ぎ、セキュリティを向上させる。

実施の形態４．
本実施の形態では、主に、実施の形態２と異なる点について説明する。なお、実施の形態１から３と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図２０を用いて、本実施の形態に係る電子錠システム５００ｃの構成について説明する。本実施の形態の管理装置３００ｃは、実施の形態２の管理装置３００ａに加え、ログ収集部３５０を備える。

＊＊＊動作の説明＊＊＊
図２１を用いて、本実施の形態に係る開錠処理Ｓ１４０ｃの動作について説明する。
本実施の形態に係る開錠処理Ｓ１４０ｃにおいて、実施の形態２に係る開錠処理Ｓ１４０ａと異なる点は、処理が終了する前にログ収集部３５０により開錠ログ３５１が収集される点である。
開錠処理Ｓ１４０ｃでは、扉を開錠する処理（ステップＳ１４５ａ）の後に、ログ収集部３５０が開錠ログを記録する。また、ステップＳ１４３ａあるいはステップＳ１４４ａにおいて、開錠権限データ３３が正当でない、あるいは、扉ＩＤが正当でない場合に、ログ収集部３５０が開錠ログを記録する。その他のステップＳ１４１からステップＳ１４５ａまでの処理は、実施の形態２の図１６と同様である。

ステップＳ４５１において、ログ収集部３５０は、開錠部４５０により電子錠４０２が開錠されると、電子錠４０２が開錠された時刻と、ユーザ識別子であるユーザＩＤと、設備識別子である扉ＩＤと、開錠の結果とを含むログを、開錠ログ３５１として収集する。ログ収集部３５０は、電子錠４０２が開錠されたことを報告する開錠報告を鍵開閉装置４００ａから受け取る。ログ収集部３５０は、例えば、この開錠報告を受信した時刻を電子錠４０２が開錠された時刻として開錠ログ３５１に設定する。
また、ログ収集部３５０は、検証部３４０による開錠権限の正当性の検証が失敗すると、開錠権限の正当性の検証が失敗した時刻と、ユーザＩＤと、扉ＩＤと、検証の結果とを含むログを、開錠ログ３５１として収集する。

図２２は、本実施の形態に係る開錠ログ３５１の例を示す図である。
図２２の開錠ログ３５１では、ユーザＩＤと、扉ＩＤと、開錠権限データと、認証情報と、結果と、時刻が設定されている。
このように、使われた開錠権限データと認証情報を含めることによって、不正な開錠権限が使われたことを記録することができる。なお、正常な通過のみを確認したい場合は、ユーザＩＤ、扉ＩＤ、結果、時刻のみを記録すればよい。開錠権限データと認証情報は、省略してもよい。

なお、秘密情報記憶処理、検証情報配送処理、認証情報生成処理、および認証済情報配送処理については、実施の形態２と同様である。

＊＊＊他の構成＊＊＊
＜変形例１＞
鍵開閉装置が、現在時刻を取得する時刻取得部を備えていてもよい。装置通信部は、開錠部により電子錠が開錠された時刻を時刻取得部により取得し、電子錠が開錠されたことを報告する開錠報告に、この時刻を含めて管理装置に送信する。鍵開閉装置が時刻取得部を備えることにより、電子錠が開錠された時刻をより正確に開錠ログに設定することができる。

＜変形例２＞
鍵開閉装置は、開錠指示を管理装置から受信した際の時刻を時刻取得部により取得し、開錠報告に含めて管理装置に送信してもよい。また、開錠した場合だけ記録する場合は、ステップＳ１４３ａおよびステップＳ１４４ａにおいてＮＯの場合は、ログの記録をせずに処理を終了してもよい。また、その場合は、開錠ログに残るのは全て開錠に成功した場合のみのため、開錠の結果の保存を省いてもよい。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ｃでは、開錠を試みたユーザと開錠時刻を改ざん困難なログとして記録する。よって、本実施の形態に係る電子錠システム５００ｃによれば、開錠したユーザが事後に開錠した事実を否認することを阻止することができる。また、本実施の形態に係る電子錠システム５００ｃによれば、本来ユーザがビル内に存在しない時刻に、ユーザの開錠権限が使われたことを確認することによって、ユーザの開錠権限が不正利用されたことを検知できる。また、偽造された開錠権限によって開錠が試みられたことを検知できる。

実施の形態５．
本実施の形態では、主に、実施の形態２と異なる点について説明する。なお、実施の形態１から４と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図２３を用いて、本実施の形態に係る電子錠システム５００ｄの構成について説明する。本実施の形態のサーバ装置１００ｄは、実施の形態１，２のサーバ装置１００に加え、開錠権限記憶部１７０と失効情報生成部１８０を備える。また、本実施の形態の管理装置３００ｄは、実施の形態２の管理装置３００ａに加え、失効情報記憶部３６０を備える。

＊＊＊動作の説明＊＊＊
図２４を用いて、本実施の形態に係る認証情報生成処理Ｓ１２０ｄの動作について説明する。
ステップＳ１２１からステップＳ１２３の処理は、実施の形態１で説明した図１０のステップＳ１２１からステップＳ１２３の処理と同様である。

ステップＳ１２４ｄにおいて、開錠権限生成部１２０は、ユーザ権限情報３２を取得すると、取得したユーザ権限情報３２から生成された開錠権限データ３３のハッシュ値を計算する。
ステップＳ１２５ｄにおいて、開錠権限生成部１２０は、開錠権限生成部１２０により計算されたハッシュ値が開錠権限記憶部１７０に記憶されているか否かを判定する。ハッシュ値が記憶されている場合、ステップＳ１２６ｄに進む。ハッシュ値が記憶されていない場合、ステップＳ１２７ｄに進む。

図２５は、本実施の形態に係る開錠権限記憶部１７０の構成を示す図である。
開錠権限記憶部１７０は、開錠権限データ３３のハッシュ値とユーザ識別子とを記憶する。具体的には、ビルＩＤと、ユーザ識別子であるユーザＩＤと、開錠権限データ３３のハッシュ値である開錠権限ＩＤとが対応付けられて記憶される。ハッシュ値は高速に計算可能なハッシュ関数に開錠権限データ３３を入力して得られる文字列ないしバイナリ列である。高速に計算可能なハッシュ関数の具体例は、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）あるいはｍｄ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ Ａｌｇｏｒｉｔｈｍ ５）といった関数である。

ステップＳ１２６ｄにおいて、失効情報生成部１８０は、開錠権限生成部１２０により計算されたハッシュ値が開錠権限記憶部１７０に記憶されている場合に、開錠権限記憶部１７０に記憶されているハッシュ値から失効情報１８１を生成する。そして、失効情報生成部１８０は、サーバ通信部１１０を介して、失効情報１８１を管理装置３００ｄに送信する。
ステップＳ１２７ｄにおいて、開錠権限記憶部１７０は、開錠権限生成部１２０により生成された開錠権限データ３３のハッシュ値をメモリ９２１に記憶する。具体的には、開錠権限記憶部１７０は、ビルＩＤと、ユーザ識別子であるユーザＩＤと、開錠権限データ３３のハッシュ値である開錠権限ＩＤとを対応付けて記憶する。

以上のように、サーバ装置１００ｄは、開錠権限データ３３および認証情報３４を生成する際、開錠権限データ３３のハッシュ値を計算しておく。そして、サーバ装置１００ｄは、開錠権限記憶部１７０にビルＩＤ、ユーザＩＤ、および開錠権限データ３３のハッシュ値を対応付けて記憶する。サーバ装置１００ｄでは、対象ユーザが既に開錠権限を持っている、すなわち開錠権限記憶部１７０にレコードが存在する場合は、記憶されていた開錠権限を失効情報１８１として管理装置３００ｄに送信する。

図２６は、本実施の形態に係る失効情報１８１の例を示す図である。
失効情報１８１は、ユーザＩＤと開錠権限データ３３のハッシュ値を示す文字列ないしバイナリ列からなるデータ列として構成できる。必要な場合、管理装置３００ｄは失効情報１８１に対してデジタル署名を生成し、失効情報１８１の正当性が確認できた場合にのみ失効情報１８１を受理する構成にしてもよい。

図２８を用いて、本実施の形態に係る秘密情報記憶処理Ｓ１００ｄの動作について説明する。
ステップＳ１０１とステップＳ１０２の処理は、実施の形態１で説明した図６と同様である。

入力部１５０が秘密情報３１を取得すると（ステップＳ１０１）、ステップＳ１０３ｄにおいて、入力部１５０は、秘密情報３１が秘密情報記憶部１４０に記憶されているか否かを判定する。秘密情報３１が記憶されている場合、ステップＳ１０４ｄに進む。秘密情報３１が記憶されていない場合、ステップＳ１０２に進む。
ステップＳ１０４ｄにおいて、入力部１５０は、開錠権限記憶部１７０に記憶されている開錠権限データ３３のハッシュ値とユーザ識別子とを初期化する。そして、秘密情報記憶部１４０が、秘密情報３１を記憶する（ステップＳ１０２）。

以上のように、対象ビルの秘密鍵および公開鍵が既に秘密情報記憶部に記憶されている状態で、新たにシステムを再構築する、すなわち新たに秘密鍵および公開鍵を登録する場合がある。このとき、サーバ装置１００ｄは、開錠権限記憶部１７０に記憶されているこれまでの開錠権限データ３３のハッシュ値を全て消去することにより初期化する。

図２９を用いて、本実施の形態に係る失効情報記憶処理Ｓ１０１ｄの動作について説明する。
ステップＳ１０５ｄにおいて、管理装置３００ｄは、サーバ装置１００ｄから送信された失効情報１８１を受信する。
ステップＳ１０６ｄにおいて、失効情報記憶部３６０は、サーバ装置１００ｄから送信された失効情報１８１を記憶する。

図２７は、本実施の形態に係る失効情報記憶部３６０の構成を示す図である。
失効情報記憶部３６０は、ユーザ識別子であるユーザＩＤと、開錠権限データ３３のハッシュ値である失効情報ＩＤとが対応付けられて記憶されている。なお、失効情報ＩＤは、サーバ装置１００ｄの開錠権限記憶部１７０における開錠権限ＩＤと同じ、すなわち開錠権限データ３３のハッシュ値である。

図３０は、本実施の形態に係る開錠処理Ｓ１４０ｄの動作について説明する。
ステップＳ１４１とステップＳ１４６ａの処理は、実施の形態２で説明した図１６と同様である。
管理装置３００ｄは、鍵開閉装置４００ａから認証済情報３５を受信する（ステップＳ１４６ａ）。
ステップＳ４５２ｄにおいて、検証部３４０は、認証済情報３５に含まれる開錠権限データ３３のハッシュ値を計算する。
そして、ステップＳ４５３ｄにおいて、検証部３４０は、計算した開錠権限データ３３のハッシュ値が前記失効情報記憶部に記憶されているか否かを判定する。計算されたハッシュ値が記憶されている場合、計算されたハッシュ値は失効情報であることを意味するので、開錠権限の正当性を検証する処理を終了する。秘密情報３１が記憶されていない場合、ステップＳ１４３ａに進む。
その後、ステップＳ１４３ａからステップＳ１４５ａにおいて、開錠権限の正当性を検証する処理が行われる。なお、ステップＳ１４３ａからステップＳ１４５ａの処理は、実施の形態２で説明した図１６と同様である。

以上のように、開錠権限の正当性を検証する処理の前に開錠権限のハッシュ値を計算し、ユーザＩＤとハッシュ値の組が失効権限記憶部に記憶されているか確認する。記憶済みであった場合、無効化された開錠権限と見なして開錠しない。そうでない場合は実施の形態２の構成と同様に開錠権限の正当性を検証する。

なお、検証情報配送処理および認証済情報配送処理については、実施の形態２と同様である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ｄでは、ユーザの開錠権限を更新する際、サーバ装置が特定のユーザの認証情報を無効化する失効情報を管理装置に配送する。ユーザの開錠権限を変更する場合、サーバ装置から新たな開錠権限が端末装置に付与される。ところが一度発行された認証情報は検証情報が変更されない限り有効であるため、過去の開錠権限を用いてその時点では通行が許可されていない扉を開錠するリスクがある。本実施の形態に係る電子錠システム５００ｄでは、開錠権限を更新する際に過去の開錠権限を失効情報により無効化することでセキュリティ低下を抑制する。本実施の形態に係る電子錠システム５００ｄよれば、多くのユーザの開錠権限が変更となる場合、サーバ装置のデジタル署名の秘密鍵および公開鍵を更新することでシステム全体を再セットアップすることもできる。本実施の形態は、逐次的な開錠権限の更新の際に有効である。

実施の形態６．
本実施の形態では、主に、実施の形態５と異なる点について説明する。なお、実施の形態１から５と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図３１を用いて、本実施の形態に係る電子錠システム５００ｅの構成について説明する。
本実施の形態に係る電子錠システム５００ｅでは、開閉システム６００の管理装置３００ｄは、通信ネットワーク６１０と異なるネットワークであるビル内ネットワーク６４０を介して、端末装置２００ｅと通信する。すなわち、本実施の形態のサーバ装置１００ｅは、管理装置３００ｄと通信ネットワーク６１０を介して通信できない。
また、本実施の形態のサーバ装置１００ｅは、実施の形態５の図２３のサーバ装置１００ｄに加え、時刻取得部１９０を備える。また、本実施の形態の端末装置２００ｅは、実施の形態５の図２３の端末装置２００に加え、失効情報記憶部２６０を備える。

＊＊＊動作の説明＊＊＊
図３２を用いて、本実施の形態に係る認証情報生成処理Ｓ１２０ｅの動作について説明する。
ステップＳ１２１からステップＳ１２５ｄ、およびステップＳ１２７ｄの処理は、実施の形態５の図２４と同様である。
ステップＳ１２８ｅにおいて、時刻取得部１９０は、現在時刻を時刻として取得する。
ステップＳ１２６ｅにおいて、失効情報生成部１８０は、開錠権限記憶部１７０に記憶されているハッシュ値から失効情報１８１を生成する。失効情報生成部１８０は、失効情報１８１と時刻の組を対象ビルの全ての端末装置２００ｅに送信する。
以上のように、サーバ装置１００ｅは、ステップＳ１２５ｄの後、失効情報１８１を送信する際に時刻取得部１９０で時刻を取得し、失効情報１８１と時刻を対応付けて全ての端末装置２００ｅにブロードキャストする。

図３３は、本実施の形態に係る失効情報記憶部２６０の構成を示す図である。
本実施の形態では、端末装置２００ｅは、ユーザＩＤおよび失効情報ＩＤを、失効情報１８１が生成された時刻と対応付けて記憶する失効情報記憶部２６０に記憶する。

図３４を用いて、本実施の形態に係る失効情報記憶処理Ｓ１０２ｅの動作について説明する。
ステップＳ１１ｅにおいて、端末装置２００ｅは、サーバ装置１００ｅから送信された失効情報１８１と時刻の組を受信する。
ステップＳ１２ｅにおいて、失効情報記憶部２６０は、サーバ装置１００ｅから送信された失効情報１８１と時刻の組を記憶する。
このように、失効情報１８１を送信された全ての端末装置２００ｅは自身の失効情報記憶部２６０に失効情報１８１を一時保管する。

図３５を用いて、本実施の形態に係る失効情報転送処理Ｓ１０３ｅの動作について説明する。
ステップＳ１３ｅにおいて、端末装置２００ｅと管理装置３００ｄ間の通信路が確立されたとき、管理装置３００ｄは、失効情報記憶部３６０に保持する失効情報１８１と対応付けられた時刻のうちの最新時刻を端末装置２００ｅに送信する。
端末装置２００ｅは、管理装置３００ｄから送信された時刻よりも新しい時刻に生成された失効情報１８１のみを管理装置３００ｄに送信する（ステップＳ１４ｅ，ステップＳ１５ｅ）。その後、ステップＳ１６ｅにおいて、端末装置２００ｅは、失効情報記憶部２６０に記憶していた全ての失効情報１８１を削除する。
なお、ユーザが開錠する際、端末装置２００ｅは鍵開閉装置４００ａに失効情報１８１を送信し、鍵開閉装置４００ａを介して失効情報１８１を管理装置３００ｄに送信してもよい。

図３６を用いて、本実施の形態に係る失効情報記憶処理Ｓ１０１ｄの動作について説明する。
ステップＳ１７ｅにおいて、管理装置３００ｄは、端末装置２００ｅから送信された失効情報１８１と時刻の組を受信する。
ステップＳ１８ｅにおいて、失効情報記憶部３６０は、端末装置２００ｅから送信された失効情報１８１と時刻の組を記憶するとともに、失効情報１８１の最新時刻を更新する。
このように、管理装置３００ｄは、端末装置２００ｅから受信した失効情報１８１を失効情報記憶部３６０で記憶する。その後、受信した失効情報１８１に対応付けられた時刻のうちで最新のものを、次回に端末装置２００ｅに送信する最新時刻として記憶する。

なお、検証情報配送処理および認証済情報配送処理については、実施の形態２と同様である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ｅでは、失効情報の配送を端末装置が中継する。実施の形態５と同様に、過去の開錠権限を用いた不正を試みる不正なユーザがいる場合でも、その他正規のユーザが失効情報を管理装置に配送するため、不正が可能なタイミングを限定できる。また、本実施の形態に係る電子錠システム５００ｅでは、サーバ装置と管理装置間にネットワークが存在しない場合も、セキュリティの低下を抑制しつつ失効情報を用いたユーザの開錠権限の変更が可能になる。
また、開錠権限の失効と、失効情報の登録との間にタイムラグがある場合がある。本実施の形態に係る電子錠システム５００ｅでは、失効情報を生成した際の時刻を失効情報と対応付けて記憶しているので、タイムラグの間に不正に通過した者がいるかを判定することができる。また、本実施の形態に係る電子錠システム５００ｅは、人事異動で開錠権限が変化した際にも利用できる。

実施の形態７．
本実施の形態では、主に、実施の形態２と異なる点について説明する。なお、実施の形態１から６と同様の構成には同一の符号を付し、その説明を省略する場合がある。

本実施の形態では、複数の開錠権限に対して１つの認証情報を生成する態様について説明する。企業では同じ所属、すなわち同じユーザグループのユーザが同一の開錠権限を付与される場合がある。本実施の形態では、このようなユーザグループに対して開錠権限を付与する。

ユーザ権限情報３２は、複数のユーザＩＤと、複数のユーザＩＤにより識別される複数のユーザが属するユーザグループを識別するユーザグループ識別子と、設備識別子である扉ＩＤとが対応付けられている。ユーザグループ識別子はユーザグループＩＤともいう。開錠権限生成部１２０は、複数のユーザＩＤとユーザグループＩＤと扉ＩＤとを用いて、ユーザグループの開錠権限を表す開錠権限データ３３を生成する。認証情報生成部１３０は、開錠権限データ３３と秘密鍵とを用いて、開錠権限データを認証する認証情報３４を生成し、複数のユーザに対応する端末装置２００に送信する。

図３７および図３８を用いて、本実施の形態に係るユーザ権限情報３２について説明する。
本実施の形態に係るユーザ権限情報３２は、複数のユーザＩＤと、複数のユーザＩＤにより識別される複数のユーザが属するユーザグループを識別するユーザグループＩＤと、扉ＩＤとが対応付けられている。実施の形態２では、ユーザ権限情報３２は、ビルＩＤ、ユーザＩＤ、および扉ＩＤの組であった。本実施の形態では、ユーザ権限情報３２にユーザグループＩＤを追加する。そして、扉ＩＤにはユーザグループＩＤが対応付けられる。これにより、同じユーザグループＩＤに属するユーザは、同じ扉を開錠できる。

図３９および図４０を用いて、本実施の形態に係る開錠権限データ３３について説明する。
図３９の開錠権限データ３３は、ユーザグループＩＤとユーザＩＤと扉ＩＤが明確に識別可能な文字列あるいはバイナリ列として表現されたデータ列である。実施の形態４で説明した開錠ログを収集する場合、図４０に示すように、先頭行に自身のユーザＩＤを追加してもよい。このとき、正当性の検証の際は先頭行を読み飛ばして開錠権限とみなす。

図４１を用いて、本実施の形態に係る認証情報生成処理Ｓ１２０ｇの動作について説明する。
ステップＳ２１ｇにおいて、入力部１５０は、図３７に示すように、ユーザＩＤとユーザグループＩＤの組から成るユーザ権限情報３２を取得する。
ステップＳ２２ｇにおいて、入力部１５０は、図３８に示すように、ユーザグループＩＤと扉ＩＤの組から成るユーザ権限情報３２を取得する。
ステップＳ１２２ｇにおいて、開錠権限生成部１２０は、複数のユーザＩＤとユーザグループＩＤと扉ＩＤとを用いて、ユーザグループの開錠権限を表す開錠権限データ３３を生成する。
ステップＳ１２３ｇにおいて、認証情報生成部１３０は、開錠権限データ３３と秘密鍵とを用いて、開錠権限データ３３を認証する認証情報３４を生成する。
以上のように、サーバ装置１００は、ユーザグループ毎に生成された開錠権限データ３３に対して１つの認証情報３４を生成する。そして、認証情報生成部１３０は、開錠権限データ３３に認証情報３４を付加した認証済情報３５を出力する。

図４２を用いて、本実施の形態に係る認証済情報配送処理Ｓ１３０ｇの動作について説明する。
ステップＳ１３１ｇにおいて、サーバ通信部１１０は、認証済情報３５を対象のユーザグループに属する全てのユーザの端末装置２００に送信する。
ステップＳ１３２からステップＳ１３３の処理は、実施の形態１の図１２と同様である。
このように、本実施の形態では、同じユーザグループに属するユーザは同一の認証済情報３５を保持する。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システムでは、複数の開錠権限に対して一つの認証情報を生成する。企業では同じ所属のユーザが同一の通行権限を付与される場合があるため、そうしたユーザグループに対して開錠権限を付与した方が開錠権限および認証情報の生成回数を削減でき、サーバ装置の計算量を低減できる。

実施の形態８．
本実施の形態では、主に、実施の形態５と異なる点について説明する。なお、実施の形態１から５と同様の構成には同一の符号を付し、その説明を省略する場合がある。

＊＊＊構成の説明＊＊＊
図４３を用いて、本実施の形態に係る電子錠システム５００ｆの構成について説明する。
本実施の形態に係る電子錠システム５００ｆでは、開閉システム６００ｆは、管理装置３００ｆと通信する端末装置を管理端末２００ｆとして備える。
管理端末２００ｆは、実施の形態２の構成に加え、管理端末記憶部３７０と検証情報記憶部２８０を備える。検証情報記憶部２８０は、サーバ装置１００から検証情報４１を受信すると、検証情報４１を一時的に記憶する。管理装置記憶部２７０は、管理装置３００ｆを識別する管理装置識別子と、管理端末２００ｆと管理装置３００ｆとの間で生成された秘密データ４３２とを対応付けて記憶する。
また、管理装置３００ｆは、実施の形態２の構成に加え、近距離通信部３８０と管理端末記憶部３７０を備える。管理端末記憶部３７０は、秘密データ４３２と管理端末２００ｆを識別する管理端末識別子とを対応付けて記憶する。検証情報記憶部３２０は、管理端末２００ｆから検証情報４１の更新を要求する更新要求を受信すると、更新要求の要求元の管理端末が管理端末記憶部３７０に記憶されている場合に、検証情報４１を更新する。

図４４は、本実施の形態に係る管理端末記憶部３７０の構成を示す図である。
管理端末記憶部３７０は、管理端末２００ｆを識別するため管理端末ＩＤ４３１と、管理端末２００ｆと共有した秘密データ４３２を記憶する。秘密データ４３２の具体例は、管理端末２００ｆと管理装置３００ｆがＢｌｕｅｔｏｏｔｈ（登録商標）のペアリングによって共有したリンクキーである。秘密データ４３２がライフタイムに沿って更新された場合は管理端末記憶部３７０の情報も都度更新される。

図４５は、本実施の形態に係る管理装置記憶部２７０の構成を示す図である。
管理装置記憶部２７０の構成は、管理端末記憶部３７０と同一の構成である。異なる点は管理端末ＩＤ４３１でなく管理装置３００ｆを識別する管理装置ＩＤ４３３を記憶する点である。

図４６は、本実施の形態に係る秘密情報記憶処理Ｓ２１０の構成を示す図である。
近距離通信部２３０と近距離通信部３８０とにより管理端末２００ｆと管理装置３００ｆが通信し、秘密データ４３２を共有する（ステップＳ２１１，ステップＳ２１２）。管理装置３００ｆは、検証情報４１の更新要求を、秘密データ４３２を共有した端末装置、すなわち管理端末２００ｆからのみ受け付ける。具体的にはＢｌｕｅｔｏｏｔｈ（登録商標）のペアリングを実行し、リンクキーを共有する。別の認証方法、具体的には、クライアント認証あるいはパスワード認証で管理端末、あるいは管理端末を持つ管理者を認証し、近距離通信部を省いてもよい。

図４７は、本実施の形態に係る検証情報一時記憶処理Ｓ２２０の構成を示す図である。
サーバ装置１００は検証情報４１を管理装置３００ｆに送る代わりに管理端末２００ｆに送る（ステップＳ２２１）。管理者の端末装置、すなわち管理端末２００ｆは、検証情報４１を記憶する（ステップＳ２２２）。このように、管理端末２００ｆが検証情報４１を記憶しておけばよいので、管理端末２００ｆから検証情報４１の取得をリクエストするプル型通信が好適である。

図４８は、本実施の形態に係る検証情報転送処理Ｓ２３０の構成を示す図である。
管理端末２００ｆが管理装置３００ｆに検証情報４１の更新を要求する更新要求を送信すると（ステップＳ２３１）、管理装置３００ｆは、管理端末記憶部３７０に記憶されている管理端末２００ｆかを判定する（ステップＳ２３２）。管理装置３００ｆは、通信相手が正当な管理端末２００ｆであることを検証し、正当な場合のみ検証情報４１の更新を受け付け、メモリに記憶する（ステップＳ２３３，ステップＳ２３４）。
管理端末２００ｆの認証のためのみに近距離通信部による通信を用い、検証情報４１の送信は別の通信方式、例えばＷｉ−Ｆｉ（登録商標）を用いてもよい。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る電子錠システム５００ｆでは、サーバ装置と管理装置間のネットワークが存在しない場合、管理装置は管理用の特別な端末装置、すなわち管理端末からのみ検証情報の更新を受理する。よって、本実施の形態に係る電子錠システム５００ｆでは、サーバ装置と管理装置間にネットワークが存在しない場合でも電子錠システムを実施可能にする。同時に検証情報を更新可能な端末装置を制限することで、不正者が偽造された検証情報でシステムを更新し、この偽造された検証情報によって正当と判断される不正な開錠権限によって不正に開錠されないようセキュリティを保つことができる。

以上の実施の形態１から８では、電子錠システムの各装置の各部を独立した機能ブロックとして説明した。しかし、電子錠システムの各装置の構成は、上述した実施の形態のような構成でなくてもよい。電子錠システムの各装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、電子錠システムの各装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１から８のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から８では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

３１ 秘密情報、３２ ユーザ権限情報、３３ 開錠権限データ、３４ 認証情報、３５ 認証済情報、４１ 検証情報、１００，１００ｂ，１００ｄ，１００ｅ サーバ装置、１１０ サーバ通信部、１２０ 開錠権限生成部、１３０ 認証情報生成部、１４０ 秘密情報記憶部、１５０ 入力部、１６０ 生成部、１６１ サーバ暗号化部、１７０ 開錠権限記憶部、１８０ 失効情報生成部、１８１ 失効情報、１９０ 時刻取得部、２００，２００ｂ，２００ｅ 端末装置、２００ｆ 管理端末、２１０ 端末通信部、２２０ 認証済情報記憶部、２３０ 近距離通信部、２４０ 端末暗号化部、２５０ 端末復号部、２７０ 管理装置記憶部、３００，３００ａ，３００ｃ，３００ｄ，３００ｆ 管理装置、３１０ 管理通信部、３１１，３２１ ビルＩＤ、３１２ 秘密鍵、３１３ 証明書、３２０，２８０ 検証情報記憶部、３４０ 検証部、３２２ ユーザＩＤ、３２３ 扉ＩＤ、３５０ ログ収集部、３５１ 開錠ログ、２６０，３６０ 失効情報記憶部、３７０ 管理端末記憶部、４００，４００ａ，４００ｂ 鍵開閉装置、４０１ 設備、４０２ 電子錠、４１０ 装置通信部、４２０ 検証情報記憶部、３８０，４３０ 近距離通信部、４３１ 管理端末ＩＤ、４３２ 秘密データ、４３３ 管理装置ＩＤ、４４０ 検証部、４５０ 開錠部、４６０ 装置復号部、５００，５００ａ，５００ｂ，５００ｃ，５００ｄ，５００ｅ，５００ｆ 電子錠システム、６００，６００ｆ 開閉システム、６１０ 通信ネットワーク、６２０ 設備ネットワーク、６３０ 近距離無線ネットワーク、６４０ ビル内ネットワーク、９１０ プロセッサ、９２１ メモリ、９２２ ストレージ、９３０ 入力インタフェース、９４０ 出力インタフェース、９５０ 通信インタフェース、９５１ 近距離無線インタフェース、９５２ 扉開閉信号インタフェース、Ｓ１００，Ｓ１００ｄ 秘密情報記憶処理、Ｓ１０１ｄ，Ｓ１０１ｅ 失効情報記憶処理、Ｓ１０２ｅ 端末失効情報記憶処理、Ｓ１０３ｅ 失効情報転送処理、Ｓ１１０，Ｓ１１０ａ 検証情報配送処理、Ｓ１２０，Ｓ１２０ｄ，Ｓ１２０ｅ，Ｓ１２０ｇ 認証情報生成処理、Ｓ１３０，Ｓ１３０ｂ，Ｓ１３０ｇ 認証済情報配送処理、Ｓ１４０，Ｓ１４０ａ，Ｓ１４０ｂ，Ｓ１４０ｃ，Ｓ１４０ｄ 開錠処理、Ｓ２１０ 秘密データ記憶処理、Ｓ２２０ 検証情報一時記憶処理、Ｓ２３０ 検証情報転送処理。

Claims (18)

1. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムにおいて、
   前記サーバ装置は、
   秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部と、
   前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する生成部であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成部と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成部とを備えた生成部と、
   前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信するサーバ通信部と
   を備え、
   前記開閉システムは、
   前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、
   前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置と
   を備え、
   前記管理装置は、
   前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証部を備え、
   前記鍵開閉装置は、
   前記検証部により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠部を備え、
   前記サーバ装置は、
   前記開錠権限データを識別する識別情報であって前記開錠権限データを用いて算出される識別情報と、前記ユーザ識別子とを記憶する開錠権限記憶部を備え、
   前記開錠権限生成部は、
   前記ユーザ権限情報を取得すると、取得した前記ユーザ権限情報から生成された前記開錠権限データの識別情報を計算し、計算された識別情報が前記開錠権限記憶部に記憶されていない場合、前記計算された識別情報を前記開錠権限記憶部に記憶し、
   前記サーバ装置は、
   前記計算された識別情報が前記開錠権限記憶部に記憶されている場合に、前記開錠権限記憶部に記憶されている識別情報から失効情報を生成し、前記失効情報を前記管理装置に送信する失効情報生成部を備え、
   前記管理装置は、
   前記サーバ装置から送信された前記失効情報を記憶する失効情報記憶部を備えた電子錠システム。
2. 前記サーバ装置は、
   前記秘密情報を取得する入力部であって、前記秘密情報が前記秘密情報記憶部に記憶されていると、前記開錠権限記憶部に記憶されている前記開錠権限データの識別情報と前記ユーザ識別子とを初期化する入力部を備えた請求項１に記載の電子錠システム。
3. 前記検証部は、
   前記認証済情報に含まれる前記開錠権限データの識別情報を計算し、前記開錠権限データの識別情報が前記失効情報記憶部に記憶されている場合に、前記開錠権限の正当性を検証する処理を終了する請求項２に記載の電子錠システム。
4. 前記ユーザ権限情報は、複数のユーザ識別子と、前記複数のユーザ識別子により識別される複数のユーザが属するユーザグループを識別するユーザグループ識別子と、前記設備識別子とが対応付けられており、
   前記開錠権限生成部は、
   前記複数のユーザ識別子と前記ユーザグループ識別子と前記設備識別子とを用いて前記ユーザグループの開錠権限を表す前記開錠権限データを生成し、
   前記認証情報生成部は、
   前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する前記認証情報を生成する請求項１から請求項３のいずれか１項に記載の電子錠システム。
5. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムにおいて、
   前記サーバ装置は、
   秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部と、
   前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する生成部であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成部と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成部とを備えた生成部と、
   前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信するサーバ通信部と
   を備え、
   前記開閉システムは、
   前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、
   前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置と
   を備え、
   前記管理装置は、
   前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証部を備え、
   前記鍵開閉装置は、
   前記検証部により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠部を備え、
   前記開閉システムは、
   前記管理装置と通信する端末装置を管理端末として備え、
   前記管理端末は、
   前記サーバ装置から前記検証情報を受信し、前記検証情報を記憶する第１の検証情報記憶部と、
   前記管理装置を識別する管理装置識別子と、前記管理端末と前記管理装置との間で生成された秘密データとを対応付けて記憶する管理装置記憶部と
   を備え、
   前記管理装置は、
   前記秘密データと前記管理端末を識別する管理端末識別子とを対応付けて記憶する管理端末記憶部と、
   前記管理端末から前記検証情報の更新を要求する更新要求を受信すると、前記更新要求の要求元の前記管理端末が前記管理端末記憶部に記憶されている場合に、前記検証情報を更新する第２の検証情報記憶部と
   を備えた電子錠システム。
6. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムにおいて、
   前記サーバ装置は、
   秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部と、
   前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する生成部であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成部と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成部とを備えた生成部と、
   前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信するサーバ通信部と
   を備え、
   前記開閉システムは、
   前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証部と、
   前記検証部により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠部と、
   前記通信ネットワークと異なるネットワークを介して、前記端末装置と通信する管理装置と、
   前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置と
   を備え、
   前記サーバ装置は、前記開錠権限データが失効したことを表す失効情報を前記端末装置に送信し、
   前記端末装置は、
   前記通信ネットワークと異なるネットワークを介して、前記管理装置に前記失効情報を送信し、
   前記鍵開閉装置は、
   前記端末装置から近距離無線により前記認証済情報を受信する近距離通信部と、前記開錠部とを備え、
   前記管理装置は、前記検証部を備え、
   前記検証部は、
   前記近距離通信部により受信された前記認証済情報を取得し、前記認証済情報に含まれる前記開錠権限データが前記失効情報に含まれていない場合に、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する電子錠システム。
7. 前記鍵開閉装置は、
   前記端末装置から近距離無線により前記認証済情報を受信する近距離通信部を備え、
   前記検証部は、
   前記近距離通信部により受信された前記認証済情報を取得し、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する請求項１から請求項６のいずれか１項に記載の電子錠システム。
8. 前記検証部は、
   前記認証済情報に含まれる前記開錠権限データが正当であるとともに、前記開錠権限データに含まれる前記設備識別子が正当である場合に、前記開錠権限が正当であると検証する請求項１から請求項７のいずれか１項に記載の電子錠システム。
9. 前記サーバ装置は、
   前記認証済情報を暗号化するサーバ暗号化部を備え、
   前記サーバ通信部は、
   暗号化された認証済情報を前記端末装置に送信し、
   前記端末装置は、
   前記サーバ通信部から前記暗号化された認証済情報を受信する端末通信部と、
   前記端末通信部により受信された前記暗号化された認証済情報を復号する端末復号部と、
   前記暗号化された認証済情報を復号することにより得られた前記認証済情報を記憶する認証済情報記憶部と、
   前記認証済情報記憶部に記憶された前記認証済情報を暗号化する端末暗号化部と
   を備え、
   前記端末装置は、
   前記端末暗号化部により暗号化された認証済情報を前記鍵開閉装置に送信し、
   前記鍵開閉装置は、
   前記端末暗号化部により暗号化された認証済情報を復号する装置復号部を備えた請求項１から請求項８のいずれか１項に記載の電子錠システム。
10. 前記管理装置は、
    前記開錠部により前記電子錠が開錠されると、前記電子錠が開錠された時刻と前記ユーザ識別子と前記設備識別子と前記開錠の結果とを含むログを開錠ログとして収集するログ収集部を備えた請求項１から請求項９のいずれか１項に記載の電子錠システム。
11. 前記ログ収集部は、
    前記検証部による前記開錠権限の正当性の検証が失敗すると、前記開錠権限の正当性の検証が失敗した時刻と前記ユーザ識別子と前記設備識別子と前記検証の結果とを含むログを前記開錠ログとして収集する請求項１０に記載の電子錠システム。
12. 前記鍵開閉装置は、
    現在時刻を取得する時刻取得部を備え、
    前記装置通信部は、
    前記開錠部により前記電子錠が開錠された時刻を前記時刻取得部により取得し、前記電子錠が開錠されたことを報告する開錠報告に、前記時刻を含めて前記管理装置に送信する請求項１０または請求項１１に記載の電子錠システム。
13. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置とを備える電子錠システムの電子錠管理方法において、
    前記サーバ装置は、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部を備え、
    前記サーバ装置の生成部が、前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成し、
    前記生成部の開錠権限生成部が、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成し、
    前記生成部の認証情報生成部が、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力し、
    前記サーバ装置のサーバ通信部が、前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信し、
    前記管理装置の検証部が、前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証し、
    前記鍵開閉装置の開錠部が、前記開錠権限の正当性が検証されると、前記電子錠を開錠し、
    前記サーバ装置は、
    前記開錠権限データを識別する識別情報であって前記開錠権限データを用いて算出される識別情報と、前記ユーザ識別子とを記憶する開錠権限記憶部を備え、
    前記開錠権限生成部が、前記ユーザ権限情報を取得すると、取得した前記ユーザ権限情報から生成された前記開錠権限データの識別情報を計算し、計算された識別情報が前記開錠権限記憶部に記憶されていない場合、前記計算された識別情報を前記開錠権限記憶部に記憶し、
    前記サーバ装置の失効情報生成部が、前記計算された識別情報が前記開錠権限記憶部に記憶されている場合に、前記開錠権限記憶部に記憶されている識別情報から失効情報を生成し、前記失効情報を前記管理装置に送信し、
    前記管理装置の失効情報記憶部が、前記サーバ装置から送信された前記失効情報を記憶する電子錠管理方法。
14. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置とを備える電子錠システムの電子錠管理方法において、
    前記サーバ装置は、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部を備え、
    前記サーバ装置の生成部が、前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成し、
    前記生成部の開錠権限生成部が、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成し、
    前記生成部の認証情報生成部が、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力し、
    前記サーバ装置のサーバ通信部が、前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信し、
    前記管理装置の検証部が、前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証し、
    前記鍵開閉装置の開錠部が、前記開錠権限の正当性が検証されると、前記電子錠を開錠し、
    前記開閉システムは、
    前記管理装置と通信する端末装置を管理端末として備え、
    前記管理端末の第１の検証情報記憶部が、前記サーバ装置から前記検証情報を受信し、前記検証情報を記憶し、
    前記管理端末の管理装置記憶部が、前記管理装置を識別する管理装置識別子と、前記管理端末と前記管理装置との間で生成された秘密データとを対応付けて記憶し、
    前記管理装置の管理端末記憶部が、前記秘密データと前記管理端末を識別する管理端末識別子とを対応付けて記憶し、
    前記管理装置の第２の検証情報記憶部が、前記管理端末から前記検証情報の更新を要求する更新要求を受信すると、前記更新要求の要求元の前記管理端末が前記管理端末記憶部に記憶されている場合に、前記検証情報を更新する電子錠管理方法。
15. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記通信ネットワークと異なるネットワークを介して、前記端末装置と通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置とを備える電子錠システムの電子錠管理方法において、
    前記サーバ装置は、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として記憶する秘密情報記憶部を備え、
    前記サーバ装置の生成部が、前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成し、
    前記生成部の開錠権限生成部が、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成し、
    前記生成部の認証情報生成部が、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力し、
    前記サーバ装置のサーバ通信部が、前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記端末装置に送信し、
    前記管理装置の検証部が、前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証し、
    前記鍵開閉装置の開錠部が、前記開錠権限の正当性が検証されると、前記電子錠を開錠し、
    前記サーバ装置は、前記開錠権限データが失効したことを表す失効情報を前記端末装置に送信し、
    前記端末装置は、前記通信ネットワークと異なるネットワークを介して、前記管理装置に前記失効情報を送信し、
    前記鍵開閉装置の近距離通信部は、前記端末装置から近距離無線により前記認証済情報を受信し、
    前記検証部は、前記認証済情報に含まれる前記開錠権限データが前記失効情報に含まれていない場合に、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する電子錠管理方法。
16. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置とを備える電子錠システムの電子錠管理プログラムにおいて、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として前記サーバ装置に記憶する秘密情報記憶処理と、
    前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する前記サーバ装置における生成処理であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成処理と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成処理とを備えた生成処理と、
    前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記サーバ装置から前記端末装置に送信するサーバ通信処理と、
    前記管理装置における検証処理であって前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証処理と、
    前記鍵開閉装置における開錠処理であって前記検証処理により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠処理と
    をコンピュータに実行させ、
    前記サーバ装置は、
    前記開錠権限データを識別する識別情報であって前記開錠権限データを用いて算出される識別情報と、前記ユーザ識別子とを記憶する開錠権限記憶部を備え、
    前記電子錠管理プログラムは、さらに、
    前記ユーザ権限情報を取得すると、取得した前記ユーザ権限情報から生成された前記開錠権限データの識別情報を計算し、計算された識別情報が前記開錠権限記憶部に記憶されていない場合、前記計算された識別情報を前記開錠権限記憶部に記憶する処理と、
    前記計算された識別情報が前記開錠権限記憶部に記憶されている場合に、前記開錠権限記憶部に記憶されている識別情報から失効情報を生成し、前記失効情報を前記管理装置に送信する失効情報生成処理と、
    前記サーバ装置から前記管理装置に送信された前記失効情報を記憶する失効情報記憶処理とをコンピュータに実行させる電子錠管理プログラム。
17. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記サーバ装置と前記通信ネットワークを介して通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置と、前記管理装置と通信する端末装置を管理端末として備える電子錠システムの電子錠管理プログラムにおいて、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として前記サーバ装置に記憶する秘密情報記憶処理と、
    前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する前記サーバ装置による生成処理であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成処理と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成処理とを備えた生成処理と、
    前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記サーバ装置から前記端末装置に送信するサーバ通信処理と、
    前記管理装置における検証処理であって前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証処理と、
    前記鍵開閉装置における開錠処理であって前記検証処理により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠処理と
    をコンピュータに実行させ、
    前記電子錠管理プログラムは、さらに、
    前記サーバ装置から前記検証情報を受信し、前記検証情報を前記管理端末に記憶する第１の検証情報記憶処理と、
    前記管理装置を識別する管理装置識別子と、前記管理端末と前記管理装置との間で生成された秘密データとを対応付けて前記管理端末に記憶する管理装置記憶処理と、
    前記秘密データと前記管理端末を識別する管理端末識別子とを対応付けて前記管理装置に記憶する管理端末記憶処理と、
    前記管理端末から前記検証情報の更新を要求する更新要求を受信すると、前記更新要求の要求元の前記管理端末が前記管理装置に記憶されている場合に、前記検証情報を更新する第２の検証情報記憶処理と
    をコンピュータに実行させる電子錠管理プログラム。
18. 電子錠を備えた設備を有する開閉システムと、前記開閉システムと近距離無線により通信する端末装置と、前記開閉システムと前記端末装置との各々と通信ネットワークを介して通信するサーバ装置とを有する電子錠システムであって、前記開閉システムは、前記通信ネットワークと異なるネットワークを介して、前記端末装置と通信する管理装置と、前記管理装置と通信するとともに、前記電子錠の開閉を制御する鍵開閉装置とを備える電子錠システムの電子錠管理プログラムにおいて、
    秘密鍵と前記秘密鍵に対応する公開鍵の証明書とを秘密情報として前記サーバ装置に記憶する秘密情報記憶処理と、
    前記設備を利用するユーザを識別するユーザ識別子と、前記ユーザによる開錠が許可されている設備を識別する設備識別子とが対応付けられたユーザ権限情報を取得し、前記ユーザ権限情報と前記秘密鍵とを用いて、前記ユーザの開錠権限の正当性を認証するための認証済情報を生成する前記サーバ装置における生成処理であって、前記ユーザ識別子と前記設備識別子とを用いて前記開錠権限を表す開錠権限データを生成する開錠権限生成処理と、前記開錠権限データと前記秘密鍵とを用いて、前記開錠権限データを認証する署名を認証情報として生成し、前記認証情報が付加された前記開錠権限データを前記認証済情報として出力する認証情報生成処理とを備えた生成処理と、
    前記証明書を検証情報として前記開閉システムに送信するとともに、前記認証済情報を前記サーバ装置から前記端末装置に送信するサーバ通信処理と、
    前記管理装置における検証処理であって、前記端末装置から近距離無線により前記認証済情報を受信すると、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する検証処理と、
    前記鍵開閉装置における開錠処理であって、前記検証処理により前記開錠権限の正当性が検証されると、前記電子錠を開錠する開錠処理と
    をコンピュータに実行させ、
    前記電子錠管理プログラムは、さらに、
    前記開錠権限データが失効したことを表す失効情報を前記サーバ装置から前記端末装置に送信する処理と、
    前記通信ネットワークと異なるネットワークを介して、前記端末装置から前記管理装置に前記失効情報を送信する処理と
    をコンピュータに実行させ、
    前記検証処理は、前記端末装置から近距離無線により受信した前記認証済情報を取得し、前記認証済情報に含まれる前記開錠権限データが前記失効情報に含まれていない場合に、前記認証済情報と前記検証情報とを用いて前記開錠権限の正当性を検証する電子錠管理プログラム。

Images