JP7004953B2 - 認証システムおよび認証方法 - Google Patents

Description

本発明は、電子端末を用いた認証システムに関するものである。

金融機関において、新たに口座を開設する場合、一般的には、窓口において運転免許証等の身分証明書を提示し、本人確認を行う必要がある。近年では、コンピュータおよび通信ネットワーク技術の発展に伴い、携帯型端末を用いて口座の開設を行うことができるようになってきている（例えば、特許文献１参照）。

特開２０１４－２１７６５号公報

しかしながら、運転免許証等の身分証明書を偽造して口座を開設したり、正当に取得した口座を転売することにより、不正口座が存在しているのが現状である。これらの不正口座は、振込詐欺等の犯罪に用いられるおそれがあるため、不正口座を発見し、不正口座における取引を未然に防止することが望まれている。

そこで、本発明は、かかる課題に鑑み、銀行取引時に確実に本人確認を行い、ユーザ認証において所謂なりすましを効果的に防止し得る認証システムおよび認証方法を提供することを目的とする。

上記目的を達成するために、本発明の認証システムにおいては、デジタル式の電力量計と、前記電力量計に割り当てられた固有の電力量計識別情報を基に所定の関数式により固有の所在地コードを生成する所在地コード生成部、および、前記所在地コードを所定の通信方式により送信する通信処理部を有する所在地コード生成装置と、前記通信処理部により送信される前記所在地コードを受信した電子端末から前記所在地コードを受け取り、前記所在地コードに基づいて前記電子端末を認証する第１の認証サーバと、前記第１の認証サーバと一体または別体であり、前記所在地コードに関連させたユーザ情報を有し、当該ユーザ情報と銀行取引時に銀行サーバから受け取ったユーザ情報とが一致するか否かを判定し、取引情報を記録する第２の認証サーバと、を備えることを特徴とする。

本発明において、前記所在地コード生成部は、前記電力量計識別情報に加えて、当該所在地コード生成部に割り当てられた固有の所在地コード生成装置識別情報、および、前記第１の認証サーバから供給されたソルト情報を基に前記関数式により前記所在地コードを生成することを特徴とする。

本発明において、前記通信処理部は、超音波通信により前記所在地コードを前記電子端末へ送信することを特徴とする。

本発明において、前記電力量計と、前記所在地コード生成装置と、前記電子端末との間がアクティベイトされた状態において、前記所在地コード生成装置により生成されたアライブ信号が前記電力量計、前記所在地コード生成装置、および、前記電子端末の３者間で送受信されている場合、前記第１の認証サーバは前記アライブ信号の存在を確認できた場
合、ソルト情報を前記所在地コード生成装置へ送信することを特徴とする。

本発明において、前記第１の認証サーバは、前記アライブ信号、前記ユーザＩＤおよびパスワード、前記所在地コード、前記電子端末の固有のデバイス識別情報に基づいて前記電子端末を認証することを特徴とする。

本発明において、前記第２の認証サーバは、銀行取引時に前記銀行サーバから送金者および受金者のユーザ情報を受け取る場合、前記受金者の過去の所定期間内の取引情報を確認することを特徴とする。

本発明の認証方法においては、デジタル式の電力量計に割り当てられた固有の電力量計識別情報を基に所定の関数式により固有の所在地コードを所在地コード生成部により生成する所在地コード生成ステップと、前記所在地コードを通信処理部により所定の通信方式により送信する送信ステップと、前記通信処理部により送信される前記所在地コードを受信した電子端末から前記所在地コードを受け取り、前記所在地コードに基づいて前記電子端末を第１の認証サーバにより認証する認証ステップと、前記第１の認証サーバと一体または別体の第２の認証サーバにより、前記所在地コードに関連させたユーザ情報と、銀行取引時に銀行サーバから受け取ったユーザ情報と、が一致するか否かを判定し、取引情報を記録するステップと、を有することを特徴とする。

本発明の認証方法においては、前記第２の認証サーバにより、銀行取引時に前記銀行サーバから送金者および受金者のユーザ情報を受け取る場合、前記受金者の過去の所定期間内の取引情報を確認するステップを有することを特徴とする。

本発明によれば、銀行取引時に確実に本人確認を行い、ユーザ認証において所謂なりすましを効果的に防止することができる。

本発明の認証システムを用いた使用シナリオを説明するための図である。 本発明の認証システムを用いた使用シナリオにおける取引情報の一例を示す図である。 本発明の実施の形態に係る認証システムの全体構成を示す構成図である。 本発明の実施の形態に係る認証システムの全体構成に対するその他の例（１）を示す構成図である。 本発明の実施の形態に係る認証システムの全体構成に対するその他の例（２）を示す構成図である。 本発明の実施の形態に係るスマートメータの構成を示すブロック図である。 本発明の実施の形態に係るスマートメータおよび所在地コード生成装置がそれぞれ持つ固有の情報を示す略線図である。 本発明の実施の形態に係る所在地コード生成装置の構成を示すブロック図である。 本発明の実施の形態に係る所在地コード生成装置により生成されるソルトアンサー情報の説明に供する略線図である。 本発明の実施の形態に係るスマートメータ、所在地コード生成装置、電子端末の間で送受信されるアライブ信号の説明に供する略線図である。 本発明の実施の形態に係る所在地コード認証及びＩＤパスワード認証サーバの構成を示すブロック図である。 本発明の実施の形態に係る所在地コード生成装置により生成される所在地コードと、所在地コード認証及びＩＤパスワード認証サーバが所在地コード生成装置により生成されることを期待する所在地コードとの関係の説明に供する略線図である。 本発明の実施の形態に係るスマートメータ管理サーバ、スマートメータ、所在地コード生成装置、電子端末、所在地コード認証及びＩＤパスワード認証サーバとの間に構築されるネットワークトポロジーを示す略線図である。 本発明の実施の形態において、所在地コード認証及びＩＤパスワード認証サーバが認識している、ユーザＩＤおよびパスワードと紐付けられるスマートメータと所在地コード生成装置との対応関係の説明に供する略線図である。 本発明の実施の形態において、所在地コード生成装置と電子端末とのアクティベイト処理の説明に供する略線図である。 本発明の実施の形態において、所在地コード生成装置とスマートメータとのアクティベイト処理の説明に供する略線図である。 本発明の実施の形態において、所在地コード生成装置と２台目の電子端末とのアクティベイト処理の説明に供する略線図である。 本発明の実施の形態において、所在地コード生成装置と１台目および２台目の電子端末とのアクティベイト処理の手順を示すフローチャートである。 本発明の実施の形態において、所在地コード生成装置とスマートメータとのアクティベイト処理の手順を示すフローチャートである。 本発明の実施の形態に係る認証システムにおける認証処理および本人確認シーケンスを示すシーケンスチャートである。 本発明の実施の形態において、アライブ信号の生成からソルトアンサー情報の生成までの一連の流れの説明に供する略線図である。 本発明の実施の形態において、認証処理の４つの要素の説明に供する略線図である。 本発明の実施の形態において、所在地コード認証及びＩＤパスワード認証サーバにより認証処理手順を示すフローチャートである。 本発明の実施の形態において、最新のアライブ信号を取得できなかった場合にはログイン認証を認めない例の説明に供する略線図である。 本発明の実施の形態において、最新のアライブ信号を取得できず、ソルトアンサー情報が一致しない場合にはログイン認証を認めない例の説明に供する略線図である。 本発明の実施の形態において、最新のアライブ信号を取得できず、ソルトアンサー情報が一致せず、電子端末のデバイス識別情報も一致しない場合にはログイン認証を認めない例の説明に供する略線図である。 本発明の実施の形態において、最新のアライブ信号を取得できず、ソルトアンサー情報が一致せず、電子端末のデバイス識別情報も一致せず、ユーザＩＤ、パスワードも一致しない場合、および、スマートメータが盗難にあった場合、ログイン認証を認めない例の説明に供する略線図である。 本発明の実施の形態において、真贋判定処理手順を示すフローチャートである。 本発明の実施の形態において、取引情報を記録する手順を示すフローチャートである。 本発明の実施の形態において、ＡルートおよびＢルートの双方を用いた認証システムの全体構成（１）を示す構成図である。 本発明の実施の形態において、ＡルートおよびＢルートの双方を用いた認証システムの全体構成（２）を示す構成図である。 本発明の実施の形態において、ＡルートおよびＢルートの双方を用いた認証システムの全体構成（３）を示す構成図である。 本発明の実施の形態において、ＡルートおよびＢルートの双方を用いた認証システムによる認証処理の説明に供する略線図である。

＜本発明の実施の形態＞
以下、本発明の実施の形態について図面を参照しながら説明する。
図１は、本発明の認証システムを用いた使用シナリオを説明するための図である。各ユーザＵ１、Ｕ２、Ｕ３・・・は、家庭内に、スマートメータ２０、所在地コード生成装置４０および電子端末６０を有し、電子端末６０は、インターネット等のネットワークＮＴに接続されている。例えば、ユーザＵ１は、第１の銀行に口座を有し、第１の銀行の銀行サーバＢ１により取引（入出金、送受金、振込、振替等）を行い、ユーザＵ２、Ｕ３は、第２の銀行に口座を有し、第２の銀行の銀行サーバＢ２により取引を行うものとする。銀行サーバＢ１、Ｂ２は、それぞれ、第１の銀行および第２の銀行が管理する任意の外部サーバであり、オンラインでの取引を行うサーバである。

使用シナリオの第１の例として、ユーザＵ１がユーザＵ２に１０万円の振込をする場合を考える。
最初に、ユーザＵ１は、自身の電子端末６０を用いて銀行サーバＢ１に振込依頼をする。
次に、銀行サーバＢ１は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓと通信を行い、送金者であるユーザＵ１および受金者であるユーザＵ２の本人確認を行う。本人確認の方法については後述する。
本人確認が完了すると、銀行サーバＢ１は、銀行サーバＢ２のユーザＵ２に振込を実行する。ここで、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、ユーザＵ１、Ｕ２の取引があったという取引情報を記録する。例えば、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、図２に示すような取引情報を記録している。今回の取引によって、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、下線を引いた最後の２行を追加する。すなわち、ユーザＵ１に対しては「出金」が記録され、ユーザＵ２に対しては「入金」が記録される。
なお、取引情報とは、この実施の形態のように、必ずしも取引内容（入金／出金）および金額を含む情報を意味するわけではなく、取引があったことを示す情報も意味するものである。すなわち、取引情報は、図２の日付およびユーザのみを含む情報とすることもできる。
以下、ユーザＵ１の本人確認を行うための認証システムについて説明するが、ユーザＵ２、Ｕ３・・・も同様の認証システムによって本人確認が可能である。

＜認証システムの全体構成＞
図３に示すように、本発明の実施の形態における認証システム１は、ユーザＵ１のスマートメータ２０、スマートメータ管理サーバ３０、ユーザＵ１の所在地コード生成装置４０、ユーザＵ１の電子端末６０、および、所在地コード認証及びＩＤパスワード認証サーバ８０ｓ（第１の認証サーバおよび第２の認証サーバが一体の構成である）を備えている。

スマートメータ２０は、所謂Ａルートと呼ばれる通信ルートを介してスマートメータ管理サーバ３０と無線接続されるとともに、所謂Ｂルートと呼ばれる通信ルートを介して所在地コード生成装置４０と無線接続されている。

ここで、Ａルートとは、電力会社が用意しているスマートメータ管理サーバ３０に対してスマートメータ２０により計測された電力使用量に相当するデータ（以下、これを「電力使用量データ」ともいう。）を直接送信するアクセス系ネットワークの通信経路である。

なお、スマートメータ２０とスマートメータ管理サーバ３０とのＡルートを介した接続
においては、複数のスマートメータ２０が所謂バケツリレーをしながら図示しないコンセントレータ（集約装置）まで無線マルチホップ通信によりデータを送信し、当該コンセントレータからＷＡＮ(Wide Area Network)回線およびルータを介してスマートメータ管理
サーバ３０と接続されてもよい。

また、Ｂルートとは、建物内のＨＥＭＳ(Home Energy Management System)端末とスマ
ートメータ２０とが物理層として９２０ＭＨｚ帯（Wi-SUN）を用いた無線方式により接続され、当該スマートメータ２０の電力使用量データを当該ＨＥＭＳ端末へ送信する宅内通信ネットワークの通信経路である。したがって、スマートメータ２０は、建物内のＨＥＭＳ端末と接続されるＢルートを介して所在地コード生成装置４０と通信することが可能である。

なお、図４に示すように、スマートメータ２０Ａ、２０Ｂは、屋内のエアコン等の家電製品と接続される分電盤９０に接続されていてもよく、また、分電盤９０からスマートメータ２０Ｂ、スマートメータ２０Ａが直列に接続されていてもよい。また、スマートメータ２０Ａ、２０Ｂは、所在地コード生成装置４０と別体である必要は必ずしもなく、当該所在地コード生成装置４０を内蔵した一体構成であってもよい。

さらに、図５に示すように、スマートメータ２０は、当該スマートメータ２０から所在地コード生成装置４０Ｍ（親機）までの距離が長い場合、第１のＰＬＣ(Power Line Communication)装置Ｄ１および第２のＰＬＣ装置Ｄ２を介して所在地コード生成装置４０Ｍ（親機）と接続することが可能である。

この場合、スマートメータ２０が所在地コード生成装置４０Ｓ（子機）と無線接続されたうえ、当該所在地コード生成装置４０Ｓ（子機）と第１のＰＬＣ装置Ｄ１とが接続されている。所在地コード生成装置４０Ｍ（親機）は、第２のＰＬＣ装置Ｄ２と接続されている。

第１のＰＬＣ装置Ｄ１と第２のＰＬＣ装置Ｄ２とは、コンセントＣ１、Ｃ２を介して電力線と繋がっており、第１のＰＬＣ装置Ｄ１と、第２のＰＬＣ装置Ｄ２とは、電力線通信（例えばG3-PLC）により双方が接続されている。ただし、これに限るものではなく、第１のＰＬＣ装置Ｄ１と第２のＰＬＣ装置Ｄ２とは、分電盤９０（図４）を介して互いに接続されていてもよい。なお、スマートメータ２０は、第１のＰＬＣ装置Ｄ１と一体構造であってもよく、所在地コード生成装置４０が第２のＰＬＣ装置Ｄ２と一体構造であってもよい。

この場合、スマートメータ２０の設置場所の近隣にコンセントＣ１等の電源供給部が配置されており、そのコンセントＣ１からスマートメータ２０へ電力が供給される。

＜スマートメータ＞
スマートメータ２０は、一般的には、各家庭、各店舗等の電気料金を支払う需要家の最少単位毎に個別に取り付けられるデジタル式の電力量計である。スマートメータ２０は、その内部に演算処理機能および外部との通信を行う通信機能を有している。ただし、例えば、ビル等のように、フロア毎、店舗毎にスマートメータ２０が設けられており、当該ビルのオーナーが電気料金を支払う最少単位である場合、そのオーナーが複数のスマートメータ２０を所有することもある。

ただし、図４に示したように、スマートメータ２０Ａ、２０Ｂのように、スマートメータ２０Ａについては電気料金を支払う需要家が所有するものの、スマートメータ２０Ｂについては電気料金の支払いとは無関係であり、この認証システム１を構築するために新た
に個人的に設けることも可能である。つまり、スマートメータ２０は、電気料金の支払いとは無関係に、この認証システム１を構築するために電力会社とは別に私物として購入し設置することが可能である。

スマートメータ２０は、１個ずつ全て異なる固有の電力量計である。したがって、複数のスマートメータ２０は、それぞれが異なる固有（ユニーク）のスマートメータ識別情報（以下、これを「ＳＭ識別情報」ともいう。）を有している。なお、スマートメータ２０に割り当てられたＳＭ識別情報は書き換え不能な一意の情報である。

図６に示すように、スマートメータ２０は、電力使用量計量部２１、スマートメータ記憶部２２、および、通信処理部２５を有している。電力使用量計量部２１は、電力を使用したときの電力使用量を計量して保持する機能部であり、電流を計測する電流センサ、電圧を計測する電圧センサ等により計測された計測値に基づいて電力使用量データを算出する演算処理を行う。

電力使用量計量部２１は、例えば、ＣＰＵ(Central Processing Unit)、メモリ、イン
タフェースを含むＭＣＵ(Micro Control Unit)等によって構成される。なお、電力使用量計量部２１は、所在地コード生成装置４０とスマートメータ２０とがアクティベイトするためのアクティベイトＩＤおよび初期パスワードをスマートメータ記憶部２２に記憶している。ここで、アクティベイトとは、互いに接続する機器同士を有効化することを意味する。

スマートメータ記憶部２２は、スマートメータ２０に割り当てられている固有（ユニーク）のＳＭ識別情報を書き換え不能な状態で記憶している機能部である。スマートメータ記憶部２２は、例えばＲＯＭ(Read Only Memory)等からなる。すなわち、図７（Ａ）に示すように、スマートメータ２０は、ユニークで書き換え不能な固有のＳＭ識別情報を有している。

通信処理部２５は、電力使用量計量部２１から供給される電力使用量データを外部に送信する機能部であり、例えば、９２０ＭＨｚに対応した無線ＬＳＩ(Large-Scale Integration)等によって構成される。通信処理部２５は、Ａルートを介して電力使用量データを
例えば３０分間隔ごとにスマートメータ管理サーバ３０へ無線送信する。ただし、通信処理部２５は、電力使用量データをＡルート経由で有線送信するようにしてもよい。また、通信処理部２５は、例えば、スマートメータ記憶部２２に記憶しておいたスマートメータ２０のＳＭ識別情報に基づいて９２０ＭＨｚの搬送波を変調し、その結果得られる変調信号を電波として所在地コード生成装置４０へＢルート経由で無線送信する。

＜スマートメータ管理サーバ＞
スマートメータ管理サーバ３０（図３）は、ＣＰＵ、大容量ストレージ、ネットワークインタフェース等を有し、多数のスマートメータ２０を管理するサーバである。

スマートメータ管理サーバ３０は、スマートメータ２０が設置されている所在地（住所等）、当該スマートメータ２０のＳＭ識別情報、および、スマートメータ２０の契約者の個人情報等を一元管理している。このスマートメータ管理サーバ３０は、後述する所在地コード認証及びＩＤパスワード認証サーバ８０ｓとインターネット等のネットワークＮＴを介して接続されている。

スマートメータ管理サーバ３０は、スマートメータ２０との通信接続状態を常時維持しており、仮にスマートメータ２０が故障した場合や、盗難にあって取り外された場合には、当該スマートメータ２０との通信接続状態が維持されなくなったことを検出し得、異常
状態にあると判定することが可能である。この場合、スマートメータ管理サーバ３０は、スマートメータ２０が異常状態にあることを所在地コード認証及びＩＤパスワード認証サーバ８０ｓに対しインターネット等のネットワーク経由で通知することが可能である。

＜所在地コード生成装置＞
所在地コード生成装置４０は、スマートメータ２０および電子端末６０と無線接続され、特に電子端末６０に対しては超音波通信方式により通信接続される。ただし、これに限るものではなく、電子端末６０に対して赤外線通信、可視光通信等の指向性（直進性）の高い光通信方式や、Bluetooth（登録商標）、ＷＬＡＮ(Wireless Local Area Network)等の近距離無線通信方式により接続されてもよい。

図８に示すように、所在地コード生成装置４０は、記憶部４１、制御部４２、および、通信処理部４３を有している。

記憶部４１は、所在地コード生成装置４０に予め割り当てられた固有（ユニーク）の識別情報（以下、これを「ＬＣ識別情報」ともいう。）を記憶する機能部であり、書き換え可能なＲＯＭ(Read Only Memory)である例えばフラッシュメモリからなる。ただし、記憶部４１は、所在地コード生成装置４０とスマートメータ２０との接続関係が一意であるため、ＬＣ識別情報に加えてスマートメータ２０のＳＭ識別情報を予め記憶しておくことも可能であり、その場合には書き換え不能なＲＯＭ等からなることもある。

すなわち、図７（Ｂ）に示すように、所在地コード生成装置４０は、固有のＬＣ識別情報を予め有している。また、記憶部４１は、ＳＭ識別情報を予め記憶しておくのではなく、通信処理部４３を介してスマートメータ２０からＳＭ識別情報を受信し、そのＳＭ識別情報をＬＣ識別情報とともに記憶することも可能である。

なお、記憶部４１には、通信処理部４３と電子端末６０との間で超音波通信を行うためのアプリケーションプログラムの他、所在地コードを生成等するための専用のアプリケーションプログラムが予めインストールされており、通信処理部４３は、このアプリケーションプログラムに基づいて電子端末６０との間で超音波通信を行う。

制御部４２は、ＣＰＵ、メモリ、インタフェースを含むＭＣＵからなり、当該ＭＣＵとアプリケーションプログラムとが協働することにより、所在地コード生成部４２ａ、アクティベイト処理部４２ｂ、および、アライブ信号生成部４２ｃ等の各機能部を構築している。

所在地コード生成部４２ａは、スマートメータ２０および所在地コード生成装置４０が取り付けられた所在地に関連したコード（以下、これを「所在地コード」ともいう。）を生成する機能部である。具体的には、所在地コード生成部４２ａは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓから予め提供されている所定のソルトアンサー関数式を記憶部４１に記憶している。

すなわち、所在地コード生成部４２ａは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓから与えられたソルト情報（何らかの任意のデータ）、記憶部４１に記憶したＬＣ識別情報、ＳＭ識別情報を用いてソルトアンサー関数式によりソルトアンサー情報となる所在地コードを生成する。

ここで、ソルトアンサー関数式とは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓからソルト情報が与えられた場合に、例えば非可逆処理が行われるハッシュ関数等によりソルトアンサー情報（ハッシュ値等の暗号化データ）を生成するような関数式であ
る。ソルト情報とは、ソルトアンサー関数式に基づいてソルトアンサー情報を算出するための入力となるデータであるが、例えば、電力使用量データをソルト情報として用いることが可能である。ただし、電力使用量データに限るものではなく、素数の集合の値であったり、乱数値であったり、その他、種々の任意のデータを使用することが可能である。

このソルトアンサー関数式は、所在地コード生成装置４０毎に異なる固有（ユニーク）の関数式として所在地コード認証及びＩＤパスワード認証サーバ８０ｓから予め提供されている。つまり、図７（Ｃ）に示すように、所在地コード生成装置４０は、固有（ユニーク）のソルトアンサー関数式を保持している。所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、所在地コード生成装置４０とソルトアンサー関数式との対応関係を記憶している。

このように所在地コード生成部４２ａは、固有（ユニーク）のソルトアンサー関数式を記憶しており、ソルト情報、ＬＣ識別情報、および、ＳＭ識別情報を用いてソルトアンサー関数式によりシリアルデータからなる所在地コードをソルトアンサー情報として生成する。

ただし、所在地コード生成部４２ａは、ソルト情報、ＬＣ識別情報、および、ＳＭ識別情報を全て用いてソルトアンサー関数式により所在地コードを生成しなければならない訳ではなく、少なくともＳＭ識別情報を用いてソルトアンサー関数式により所在地コードを生成してもよく、また、ソルト情報、ＬＣ識別情報、ＳＭ識別情報を任意に組み合わせて所在地コードを生成してもよい。

図９に示すように、例えば、２台の所在地コード生成装置４０ａ、４０ｂがあり、所在地コード認証及びＩＤパスワード認証サーバ８０ｓから同一のソルト情報（例えば[XKH48269PIM]）が提供された場合でも、所在地コード生成装置４０ａ、４０ｂは、ソルトアン
サー関数式が双方共に異なり、かつ、ＬＣ識別情報(AA-BB-CC)、ＬＣ識別情報(ZZ-YY-XX)が異なり、かつ、ＳＭ識別情報も双方共に異なっている。

したがって、ソルト情報が同一であっても、所在地コード生成装置４０ａの所在地コード生成部４２ａは、固有の所在地コード（例えば[POPPNNJRFFSS]）をソルトアンサー情報として生成し、所在地コード生成装置４０ｂの所在地コード生成部４２ａは、固有の所在地コード（例えば[TPGVELNWPS])をソルトアンサー情報として生成する。

アクティベイト処理部４２ｂは、所在地コード生成装置４０と電子端末６０およびスマートメータ２０とのアクティベイト処理を行う機能部である。アクティベイト処理部４２ｂは、アクティベイトＩＤおよび初期パスワード等を内部に記憶しており、アクティベイトＩＤおよび初期パスワードを用いて所在地コード生成装置４０と電子端末６０とをアクティベイトさせ、所在地コード生成装置４０とスマートメータ２０とをアクティベイトさせる。

アライブ信号生成部４２ｃは、スマートメータ２０の通信処理部２５を介して３０分間隔毎に無線送信される電力使用料データを後述する通信処理部４３により受信すると、当該電力使用料データに基づいてアライブ信号を所定時間毎（例えば１秒間毎）に生成し、通信処理部４３を介して再度スマートメータ２０へ送信する機能部である。

ここで、図１０に示すように、アライブ信号ＡＬとは、所在地コード生成装置４０、スマートメータ２０、および、電子端末６０の３者が有効に接続されたアクティベイト状態において、当該所在地コード生成装置４０→スマートメータ２０→所在地コード生成装置４０→電子端末６０→所在地コード生成装置４０→スマートメータ２０→……のように、
３者間を巡回しながら途切れることなく送信されるものである。このアライブ信号ＡＬの存在は、正規の３者によるネットワークトポロジーが成立していることを意味する。

通信処理部４３は、記憶部４１のアプリケーションプログラムに従い、Ｂルートを介してスマートメータ２０との間で無線通信を確立（アクティベイト）し、当該スマートメータ２０から所在地コード生成装置４０のＳＭ識別情報を受信することが可能である。なお、通信処理部４３は、アライブ信号ＡＬをスマートメータ２０および電子端末６０との間でやりとりする。

また、通信処理部４３は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓからのソルト情報およびアライブ信号ＡＬを電子端末６０からの超音波としてマイクロフォン４６によって受信することが可能であり、所在地コード生成部４２ａにより生成された所在地コードを超音波としてスピーカ４５から電子端末６０へ発振することが可能である。

図８に示すように、通信処理部４３は、無線信号変換部４３ａ、超音波変換部４３ｂ、および、音響処理部４３ｃを備えている。無線信号変換部４３ａは、スマートメータ２０の通信処理部２５と同様の構成を有している。したがって、無線信号変換部４３ａは、スマートメータ２０から受信した電波を復調してＳＭ識別情報やアライブ信号ＡＬを復元し、スマートメータ２０へ無線送信すべきアライブ信号ＡＬを変調する等の変換処理を行うことが可能である。無線信号変換部４３ａは、スマートメータ２０から得られたＳＭ識別情報を記憶部４１に格納する。

なお、無線信号変換部４３ａは、所在地コード生成部４２ａによって生成された所在地コードをスマートメータ２０からスマートメータ管理サーバ３０へ所謂Ａルートで送信することも可能であり、その場合、例えば、所在地コードに基づいて搬送波を変調し、電波としてスマートメータ２０へ無線送信する。

超音波変換部４３ｂは、所在地コード生成部４２ａによって生成されたシリアルデータからなる所在地コードやアライブ信号ＡＬを無線信号変換部４３ａ経由で受け取ると、その所在地コードをスピーカ４５から超音波として出力するための超音波信号に変換する機能部である。

音響処理部４３ｃは、超音波変換部４３ｂから供給される超音波信号に応じた超音波音源を生成してスピーカ４５から出力させ、電子端末６０のスピーカから出力された超音波をマイクロフォン４６で受信し、超音波信号として超音波変換部４３ｂへ出力する機能部である。例えば、音響処理部４３ｃは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓから電子端末６０を介してソルト情報を超音波として受信したり、電子端末６０からアライブ信号ＡＬを超音波として受信すると、その超音波信号を、超音波変換部４３ｂおよび無線信号変換部４３ａを介して所在地コード生成部４２ａへ出力する。

ここで、所在地コード生成装置４０と電子端末６０との間で超音波通信を行う理由は、電波通信に比べて通信リンクの確立までに煩雑な処理を要することなく、所在地コード生成装置４０と電子端末６０との間の通信リンクの確立が容易であり、データ送信時の秘匿性が高いからである。超音波は、相手機器へ送る信号を超音波に変換してスピーカから発振し、それを相手機器のマイクロフォンで受信させるだけでよく、特別なハードウェア構成を必要とすることなく、ソフトウェアだけで容易に実現可能な通信方式である。

また、超音波は、電気や光に比べて伝達速度が１００万分の１と遅く、届く範囲も限られていて指向性も強いため、所在地コード生成装置４０と電子端末６０との設置間隔を短くすることになるので、設置間隔が長い場合に比べて漏洩のリスクが低減される。

＜電子端末＞
電子端末６０は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓとルータｒｔ１、ｒｔ２を介して有線接続（または無線接続）されている。ただし、電子端末６０と所在地コード認証及びＩＤパスワード認証サーバ８０ｓとは、ルータｒｔ１、ｒｔ２を介すことなく接続されていてもよいし、無線接続されていてもよい。ここで、電子端末６０は、例えば、スマートフォン、ノートパソコン、携帯電話機等の少なくとも超音波の送受信が可能なスピーカおよびマイクロフォンを備えた電子機器であることが好ましい。

電子端末６０は、ＣＰＵ、ＲＯＭ、ＲＡＭ、メモリ、スピーカ、マイクロフォン、カメラ等を有するコンピュータ機器である。この認証システム１において用いられる電子端末６０は、所在地コード生成装置４０との間で超音波通信や各種専用の処理等を行うための専用のアプリケーションプログラムが予めインストールされており、それ以外は通常のスマートフォンと同様である。

電子端末６０は、所在地コード生成装置４０との間で超音波通信を行う場合、アプリケーションプログラムに従い、自身のスピーカおよびマイクロフォンを介して超音波通信を行うことが可能である。具体的には、電子端末６０は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓからのソルト情報を所在地コード生成装置４０へ送信したり、所在地コード生成装置４０により生成されたソルトアンサー情報である所在地コードを超音波として受信し、所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ送信することが可能である。

なお、電子端末６０は、自身に割り当てられた固有のデバイス識別情報を予めメモリに記憶しており、所在地コード認証及びＩＤパスワード認証サーバ８０ｓに対するログイン認証要求時には、このデバイス識別情報についても、所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ無線送信する。なお、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、予め電子端末６０のデバイス識別情報についても記憶しているものとする。

＜所在地コード認証及びＩＤパスワード認証サーバ＞
所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、ＣＰＵ、大容量ストレージ、ネットワークインタフェース等を有するサーバであり、電子端末６０が例えばコンテンツサーバ等にアクセスする前に当該電子端末６０が正当なユーザであることを認証するものである。
なお、この実施の形態では、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、１台で、所在地コード認証およびＩＤパスワード認証の２つの機能を有し、第１の認証サーバおよび第２の認証サーバが一体の構成であるが、第１の認証サーバであるＩＤパスワード認証サーバと、第２の認証サーバである所在地コード認証サーバと、を別体の構成とすることもできる。

図１１に示すように、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、ネットワークインタフェースからなる通信処理部８０ａ、大容量ストレージからなる記憶部８０ｂ、および、ＣＰＵからなる認証処理部８０ｃを備えている。所在地コード認証及びＩＤパスワード認証サーバ８０ｓの通信処理部８０ａ、記憶部８０ｂ、および認証処理部８０ｃの各機能は、これらのハードウェア資源と記憶部８０ｂに格納されている所定の認証プログラムとが協働することによって実現される。

通信処理部８０ａは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓと電子端末６０との間でデータを無線により送受信する機能部である。記憶部８０ｂは、ソルト情
報、ソルトアンサー関数式、スマートメータ２０のＳＭ識別情報、所在地コード生成装置４０のＬＣ識別情報、電子端末６０のデバイス識別情報等を記憶する機能部である。

認証処理部８０ｃは、所在地コード生成装置４０から受け取るソルトアンサー情報（所在地コード）や、電子端末６０から受け取るアライブ信号ＡＬ、スマートメータ２０のＳＭ識別情報、電子端末６０からのユーザＩＤ、パスワード、および、デバイス識別情報等に基づいてログイン認証を行う機能部であり、詳細については後述する。

所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、通信処理部８０ａによりソルト情報を電子端末６０へ送信し、当該電子端末６０を介して当該ソルト情報を所在地コード生成装置４０へ超音波として送信可能である。また、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、所在地コード生成装置４０からのソルトアンサー情報(所在
地コード)、および、電子端末６０からのユーザＩＤ、パスワード、およびデバイス識別
情報を通信処理部８０ａにより受信可能である。

図１２に示すように、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、所在地コード生成装置４０へ送信したソルト情報([XKH48269PIM])、および、所在地コード生
成装置４０が保持しているのと同じソルトアンサー関数式を記憶部８０ｂに記憶している。このため、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、電子端末６０から受け取るソルトアンサー情報([POPPNNJRFFSS])すなわち所在地コードの正当性を認証処理部８０ｃにより判定することが可能である。なお、認証処理部８０ｃは、ソルトアンサー情報（所在地コード）だけではなく、アライブ信号ＡＬ、電子端末６０からのユーザＩＤ、パスワード、および、デバイス識別情報等を用いてログイン認証処理を行う。

＜スマートメータ、所在地コード生成装置、電子端末の相互の関係＞
図１３に示すように、認証システム１において、スマートメータ２０、所在地コード生成装置４０、電子端末６０は、それぞれ装置として物理的に固有のものであり、３者間をそれぞれ接続するネットワーク単体のトポロジーについても固有のものである。このため、認証システム１では、これら３者に加えて、スマートメータ管理サーバ３０、および、所在地コード認証及びＩＤパスワード認証サーバ８０ｓを含めた全体のネットワークトポロジーも固有のものとなり、スマートメータ管理サーバ３０から所在地コード認証及びＩＤパスワード認証サーバ８０ｓまでのネットワークにおいて信号の送受信が可能となる。すなわち、ネットワーク全体にパスが通じる。

したがって、認証システム１のスマートメータ管理サーバ３０と、所在地コード認証及びＩＤパスワード認証サーバ８０ｓとの間を構築するスマートメータ２０、所在地コード生成装置４０、および、電子端末６０の３者の固体の組み合わせに１台でも変化が生じた場合、ネットワークトポロジーについても変化が生じることになる。例えば、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、このネットワークトポロジーがアクティベイトされていて、トポロジー全体に対してルールに基づいたデータが送受信されない場合、電子端末６０からのユーザＩＤおよびパスワードによる認証を拒絶することが可能となる。

図１４に示すように、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、電子端末６０が当該所在地コード認証及びＩＤパスワード認証サーバ８０ｓに対してログインする際に用いられるユーザＩＤおよびパスワードと紐付けられる所在地コード生成装置４０とスマートメータ２０との対応関係を予め認識している。したがって、他のスマートメータ２０、他の所在地コード生成装置４０、他のユーザＩＤおよびパスワードの組み合わせでは上述した対応関係を構築し得ないため、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは３者を紐付けることができないようになっている。

所在地コード生成装置４０は、スマートメータ２０および電子端末６０とアクティベイトすることが可能であり、アクティベイトされると、スマートメータ２０および電子端末６０から送信されるデータを継続して受信することが可能となり、自身で生成した所在地コードやアライブ信号ＡＬをアクティベイト中のスマートメータ２０や電子端末６０へ送信可能となる。

また、所在地コード生成装置４０は、スマートメータ２０とのアクティベイトが解除されると、電子端末６０へ送信されるデータ（所在地コード）が制限され、再度アクティベイトされるまでその制限が続く。

アクティベイトされた所在地コード生成装置４０とスマートメータ２０との組み合わせは固有（ユニーク）なものであり、所在地コード生成装置４０は、一度スマートメータ２０とアクティベイトされた場合、そのスマートメータ２０に限って再アクティベイト可能となる。したがって、所在地コード生成装置４０は、最初にアクティベイトしたスマートメータ２０以外のスマートメータ２０とはアクティベイトすることができず、当該所在地コード生成装置４０は他のスマートメータ２０との接続に転用不可能となる。

所在地コード生成装置４０は、電子端末６０とのアクティベイトを複数台可能であるが、２台目以降の電子端末６０とのアクティベイトを行うには一定の条件が必要であり、その点については後述する。

＜所在地コード生成装置とスマートメータおよび電子端末とのアクティベイト＞
まず、所在地コード生成装置４０とスマートメータ２０とをアクティベイトする前に、所在地コード生成装置４０と電子端末６０とのアクティベイトを行う必要がある。その理由は、スマートメータ２０および所在地コード生成装置４０には、入力部（マウス、キーボード等）およびその入力結果を表示する表示部（液晶画面等）が存在していない場合もあり、両者間のアクティベイトを実行する術がないからである。

図１５に示すように、所在地コード生成装置４０と１台目の電子端末６０とをアクティベイトするに際し、電子端末６０は、所在地コード生成装置４０へアクティベイトするためのアクティベイトＩＤと初期パスワードを予め所在地コード認証及びＩＤパスワード認証サーバ８０ｓから受信して記憶しておく。

具体的には、所在地コード生成装置４０の正規ユーザは、認証システム１の正当な利用者であるとして所在地コード認証及びＩＤパスワード認証サーバ８０ｓからアクティベイトＩＤおよび初期パスワードが電子端末６０に通知されるため、当該電子端末６０にアクティベイトＩＤおよび初期パスワードを記憶しておくことができる。

電子端末６０は、ユーザの操作に応じてアクティベイトＩＤおよび初期パスワードを読み出し、これらを超音波通信により所在地コード生成装置４０へ送信する。所在地コード生成装置４０のアクティベイト処理部４２ｂは、電子端末６０からのアクティベイトＩＤおよび初期パスワードが正しいか否かを判定し、正しいと判定した場合に１台目の電子端末６０とのアクティベイト処理を実行する。なお、アクティベイト完了後においては、ユーザにより初期パスワードを任意の値に変更可能であるが、アクティベイトＩＤについては所在地コード生成装置４０と紐付いた固有のＩＤであるため変更はできない。

続いて、図１６に示すように、所在地コード生成装置４０とスマートメータ２０とをアクティベイトさせるに際し、電子端末６０は、所在地コード生成装置４０とアクティベイトする際に用いたアクティベイトＩＤおよび初期パスワードを当該所在地コード生成装置
４０を介してスマートメータ２０へ無線送信する。スマートメータ２０の電力使用量計量部２１は、アクティベイトＩＤおよび初期パスワードが正しいか否かを判定し、正しいと判定した場合に所在地コード生成装置４０とのアクティベイト処理を実行する。

次に、図１７に示すように、所在地コード生成装置４０と２台目の電子端末６０ｓとをアクティベイトさせる場合について説明する。所在地コード生成装置４０は、２台目の電子端末６０ｓとアクティベイトするには、スマートメータ２０および１台目の電子端末６０との間のアクティベイト処理が完了している必要がある。

この場合、所在地コード生成装置４０と１台目の電子端末６０との間でアクティベイト処理が完了していれば、たとえ１台目の電子端末６０が現在非アクティブ状態であっても、２台目の電子端末６０ｓと所在地コード生成装置４０との間でアクティベイト処理を行うことが可能である。

続いて、所在地コード生成装置４０が電子端末６０およびスマートメータ２０との間で上述したようなアクティベイト処理を行う際の手順について説明する。

図１８のメインルーチンＭＲＴ１に示すように、所在地コード生成装置４０の制御部４２は、ステップＳＰ１において、通信処理部４３を介して電子端末６０から受信したものがアクティベイト要求であるか否かをアクティベイト処理部４２ｂにより判定し、否定結果が得られると（ステップＳＰ１：ＮＯ）、次のステップＳＰ２へ移り、肯定結果が得られると（ステップＳＰ１：ＹＥＳ）、ステップＳＰ５へ移る。

ステップＳＰ２において制御部４２のアクティベイト処理部４２ｂは、通信処理部４３を介して受信したものがスマートメータ２０からのアクティベイト要求であるか否かをアクティベイト処理部４２ｂにより判定する。ここで、スマートメータ２０は入力部および表示部を有していないため、電子端末６０を介して当該スマートメータ２０から所在地コード生成装置４０へアクティベイト要求が行われる。

ステップＳＰ２において否定結果が得られると（ステップＳＰ２：ＮＯ）、このことは、アクティベイト要求が所在地コード生成装置４０に紐付けられている正規の電子端末６０およびスマートメータ２０からのものではないことを意味しており、この場合、アクティベイト処理部４２ｂは次のステップＳＰ３へ移る。一方、ステップＳＰ２において肯定結果が得られると（ステップＳＰ２：ＹＥＳ）、次のステップＳＰ４へ移り、後述するようなスマートメータ２０とのアクティベイト処理へ移行する。

ステップＳＰ３においてアクティベイト処理部４２ｂは、正規な電子端末６０および正規なスマートメータ２０からのアクティベイト要求ではないので、電子端末６０に対してエラー通知を行い、当該電子端末６０の表示画面にアクティベイトエラーを表示させ、アクティベイト処理を終了する。

ステップＳＰ５においてアクティベイト処理部４２ｂは、アクティベイト要求を受け付けた電子端末６０が１台目であるか否かを判定し、所在地コード生成装置４０が非アクティベイト状態であれば、当該電子端末６０が１台目であるため、肯定結果が得られ（ステップＳＰ５：ＹＥＳ）、次のステップＳＰ６へ移る。

ステップＳＰ６においてアクティベイト処理部４２ｂは、電子端末６０からアクティベイト用のアクティベイトＩＤ、および、アクティベイト用初期パスワードを受信し、次のステップＳＰ７へ移る。

ステップＳＰ７においてアクティベイト処理部４２ｂは、電子端末６０から受信したアクティベイトＩＤ、および、アクティベイト用初期パスワードの双方共に正しいか否かを判定する。ここで、正規の電子端末６０であれば、所在地コード認証及びＩＤパスワード認証サーバ８０ｓから予めアクティベイトＩＤ、および、アクティベイト用初期パスワードを貰い受けており、また、所在地コード生成装置４０のアクティベイト処理部４２ｂにおいても、電子端末６０に割り当てられたアクティベイトＩＤ、および、アクティベイト用初期パスワードを記憶している。

ステップＳＰ７において肯定結果が得られると（ステップＳＰ７：ＹＥＳ）、アクティベイト処理部４２ｂは、自身で記憶していたアクティベイトＩＤ、および、アクティベイト用初期パスワードと、電子端末６０から受信したアクティベイトＩＤ、および、アクティベイト用初期パスワードとが一致するので、正当な接続関係を有する正規の電子端末６０であると認識することができる。したがってアクティベイト処理部４２ｂは、次のステップＳＰ８へ移って、電子端末６０とのアクティベイト処理を行った後、再度ステップＳＰ１へ戻る。

これに対して、ステップＳＰ７において否定結果が得られると（ステップＳＰ７：ＮＯ）、アクティベイト処理部４２ｂは、アクティベイトＩＤ、および、アクティベイト用初期パスワードが一致せず、正当な接続関係を有する正規の電子端末６０ではないと認識し、次のステップＳＰ９へ移って、当該電子端末６０にアクティベイトエラーを表示させた後、再度ステップＳＰ１へ戻る。

ところで、ステップＳＰ５において否定結果が得られると（ステップＳＰ５：ＮＯ）、このことは、アクティベイト要求を受け付けた電子端末６０が１台目ではなく、２台目であることを意味しており、この場合、アクティベイト処理部４２ｂは、次のステップＳＰ１０へ移り、２台目の電子端末６０ｓに対するアクティベイト処理を行う。

ステップＳＰ１０においてアクティベイト処理部４２ｂは、１台目の電子端末６０と既にアクティベイト済みである場合に限り、２台目の電子端末６０ｓに対する仮パスワードを生成し、これを１台目の電子端末６０へ通信処理部４３による超音波通信によって送信し、次のステップＳＰ１１へ移る。

ステップＳＰ１１において、１台目の電子端末６０は、受信した仮パスワードを表示する。ステップＳＰ１２において、２台目の電子端末６０ｓから、仮パスワードおよび１台目の電子端末６０の場合と同じアクティベイトＩＤを入力する。ステップＳＰ１３において、アクティベイト処理部４２ｂは、アクティベイトＩＤおよび仮パスワードを受信し、次のステップＳＰ７～ステップＳＰ９の処理に移り、アクティベイトＩＤおよび仮パスワードに基づいて２台目の電子端末６０ｓのアクティベイト処理を実行する。因みに、２台目の電子端末６０ｓから１台目の電子端末６０の場合と同じアクティベイトＩＤを受信できるのは、１台目の電子端末６０および２台目の電子端末６０ｓの所有者が正規ユーザである以上は同一であり、正規の１台目の電子端末６０に続く正規の２台目の電子端末６０ｓといえるからである。

続いて、ステップＳＰ４における所在地コード生成装置４０とスマートメータ２０とのアクティベイト処理について詳細に説明する。図１９に示すように、ステップＳＰ４１において、所在地コード生成装置４０のアクティベイト処理部４２ｂは、当該所在地コード生成装置４０と１台目の電子端末６０とが既にアクティベイト済みであるか否かを判定し、否定結果が得られると（ステップＳＰ４１：ＮＯ）、ステップＳＰ１（図１７）に戻り、肯定結果が得られると（ステップＳＰ４１：ＹＥＳ）、次のステップＳＰ４２へ移る。

ステップＳＰ４２においてアクティベイト処理部４２ｂは、既にアクティベイト済みの電子端末６０からの要求に応じて、通信処理部４３によりスマートメータ２０と無線接続し、次のステップＳＰ４３へ移る。

ステップＳＰ４３においてアクティベイト処理部４２ｂは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓからスマートメータ２０に予め割り当てられていたアクティベイトＩＤ、および、アクティベイト用初期パスワードをアクティベイト済みの電子端末６０からスマートメータ２０に代わって受信したか否かを判定する。ここで、否定結果が得られると（ステップＳＰ４３：ＮＯ）、再度ステップＳＰ４３に戻り、アクティベイト処理部４２ｂは、電子端末６０からスマートメータ２０のアクティベイトＩＤ、および、アクティベイト用初期パスワードを受信するまで待ち受ける。

これに対して、ステップＳＰ４３において肯定結果が得られると（ステップＳＰ４３：ＹＥＳ）、アクティベイト処理部４２ｂは、次のステップＳＰ４４乃至ステップＳ４６へ移り、ステップＳＰ７乃至ステップＳＰ９と同様にスマートメータ２０に対するアクティベイト処理を実行する。

すなわち、アクティベイト処理部４２ｂは、アクティベイトＩＤ、および、アクティベイト用初期パスワードに基づいて所在地コード生成装置４０と正当な接続関係を有する正規のスマートメータ２０であると認識した場合（ステップＳＰ４４：ＹＥＳ）、ステップＳＰ４５において当該スマートメータ２０とのアクティベイト処理を行う。

一方、アクティベイト処理部４２ｂは、アクティベイトＩＤ、および、アクティベイト用初期パスワードに基づいて正当な接続関係を有することのない正規の電子端末６０ではないと認識した場合（ステップＳＰ４４：ＮＯ）、ステップＳＰ４６において、スマートメータ２０と所在地コード生成装置４０との間にアクティベイトエラーが生じたことをその電子端末６０に通知して表示させた後、スマートメータ２０とのアクティベイト処理を終了する。

＜認証処理シーケンス＞
次に、このような認証システム１において、スマートメータ２０、所在地コード生成装置４０、電子端末６０を用いた所在地コード認証及びＩＤパスワード認証サーバ８０ｓによるログイン処理時の認証処理シーケンス（ＳＫ１～ＳＫ１５）について、図２０のシーケンスチャートを用いて説明する。
なお、上述したように、この実施の形態では、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、１台で、所在地コード認証およびＩＤパスワード認証の２つの機能を有し、第１の認証サーバおよび第２の認証サーバが一体の構成であるが、ログイン処理時の認証処理シーケンス（ＳＫ１～ＳＫ１５）を行う第１の認証サーバと、本人確認処理シーケンス（ＳＫ１６～ＳＫ２０）を行う第２の認証サーバと、を別体の構成とすることもできる。

最初に、電子端末６０は、処理手順ＳＫ１において、アクティベイトＩＤおよびアクティベイト用初期パスワードを所在地コード生成装置４０とアクティベイトするための当該電子端末６０からの認証情報として当該所在地コード生成装置４０へ送信する。

所在地コード生成装置４０は、処理手順ＳＫ２において、電子端末６０の認証が成功すると当該電子端末６０とのアクティベイト処理を行い、アクティベイト済みである旨の通知を電子端末６０に行う。すなわち、所在地コード生成装置４０は、電子端末６０とのアクティベイト処理を最初に完了する。

その後、所在地コード生成装置４０は、処理手順ＳＫ３、ＳＫ４において、電子端末６０のアクティベイト処理（処理手順ＳＫ１、ＳＫ２）と同様に、スマートメータ２０とのアクティベイト処理を完了する。

所在地コード生成装置４０の制御部４２は、電子端末６０およびスマートメータ２０の双方とのアクティベイト処理が完了し、正規の３者によるトポロジーが成立したので、処理手順ＳＫ５において、アライブ信号生成部４２ｃによりアライブ信号ＡＬを生成し、これをスマートメータ２０へ送信する。

スマートメータ２０の通信処理部２５は、処理手順ＳＫ６において、所在地コード生成装置４０から送信されてくるアライブ信号ＡＬを受信すると、これを所在地コード生成装置４０へ返信する。

所在地コード生成装置４０は、処理手順ＳＫ７において、通信処理部４３によりスマートメータ２０からアライブ信号ＡＬを受信すると、当該通信処理部４３を介してこのアライブ信号ＡＬを超音波通信により電子端末６０へ送信する。

電子端末６０は、処理手順ＳＫ８において、アライブ信号ＡＬを受信すると、このアライブ信号ＡＬを超音波通信により直ちに所在地コード生成装置４０へ返信する。このように所在地コード生成装置４０は、図２１に示すように、これ以降、３者間でアライブ信号ＡＬを循環し続けさせる。ただし、アライブ信号ＡＬの循環の方向は、これとは逆向き、すなわち、所在地コード生成装置４０→電子端末６０→所在地コード生成装置４０→スマートメータ２０→所在地コード生成装置４０→……であってもよい。

電子端末６０は、処理手順ＳＫ９において、所在地コード生成装置４０およびスマートメータ２０との３者間で正規なトポロジーが成立し、アライブ信号ＡＬが循環できているので、アライブ信号ＡＬ、所望のサーバにログインするためのユーザＩＤおよびパスワード、当該電子端末６０に割り当てられている固有のデバイス識別情報からなる認証要求情報を所在地コード認証及びＩＤパスワード認証サーバ８０ｓに対して送信する。

所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、処理手順ＳＫ１０、ＳＫ１１において、ソルト情報を生成し、これを電子端末６０を介して所在地コード生成装置４０へ超音波通信により送信する。

所在地コード生成装置４０は、処理手順ＳＫ１２、ＳＫ１３において、ソルト情報を受信すると、スマートメータ２０のＳＭ識別情報、当該所在地コード生成装置４０のＬＣ識別情報、および、ソルト情報を用いて所定のソルトアンサー関数式により固有のソルトアンサー情報（所在地コード）を生成し、これを電子端末６０から所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ送信する。

所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、処理手順ＳＫ１４において電子端末６０からのログイン要求に対する真贋判定を行う。具体的には、図２２に示すように、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、スマートメータ２０、所在地コード生成装置４０および電子端末６０の３者が所在地コード認証及びＩＤパスワード認証サーバ８０ｓの認める正規かつ固有のネットワークトポロジーを構築しており、３者を循環する最新のアライブ信号ＡＬ、電子端末６０からのユーザＩＤ、パスワード、所在地コード生成装置４０により生成されるソルトアンサー情報（所在地コード）、および、電子端末６０の固有のデバイス識別情報の何れも全てが正しく揃っている場合に限り、電子端末６０からのログイン要求が真であると判定し、ログイン認証を認める。この所在地コード認証及びＩＤパスワード認証サーバ８０ｓによるログイン認証処理手順を、図
２３のフローチャートにより具体的に説明する。

図２３に示すように、所在地コード認証及びＩＤパスワード認証サーバ８０ｓの認証処理部８０ｃは、処理手順ＳＫ１４のステップＳＰ５１において、電子端末６０からアライブ信号ＡＬ、ユーザＩＤ、パスワード、電子端末６０のデバイス識別情報からなる認証要求情報を通信処理部８０ａにより受信したか否かを判定し、否定結果が得られると（ステップＳＰ５１：ＮＯ）、認証要求情報を受信するまで待ち受け、肯定結果が得られると（ステップＳＰ５１：ＹＥＳ）、次のステップＳＰ５２へ移る。

ステップＳＰ５２において認証処理部８０ｃは、電子端末６０から受信した認証要求情報に含まれるアライブ信号ＡＬの生成時刻に基づいて、最新のアライブ信号ＡＬであるか否かを判定する。上述したように、アライブ信号ＡＬは１秒毎に生成されているため、認証処理部８０ｃは、現在時刻と比較することにより最新のアライブ信号ＡＬであるか否かを判定可能である。例えば、アライブ信号ＡＬが生成された時刻と現在時刻との差が例えば２秒以内であれば、当該アライブ信号ＡＬが最新のアライブ信号であると判定してもよい。

ステップＳＰ５２において認証処理部８０ｃは、最新のアライブ信号ＡＬを正常に受信したか否かを判定する。ここで、否定結果が得られると（ステップＳＰ５２：ＮＯ）、このことは、スマートメータ２０、所在地コード生成装置４０および電子端末６０の３者が所在地コード認証及びＩＤパスワード認証サーバ８０ｓの認める正規かつ固有のネットワークトポロジーを構築しておらず、最新のアライブ信号ＡＬを受信できないことを表している。このとき認証処理部８０ｃは、ステップＳＰ５８へ移り、電子端末６０に「ＮＯＴ
ＴＲＵＥ」を表す非認証結果情報を送信して、当該電子端末６０に「ＮＯＴ ＴＲＵＥ」を表示させた後、ログイン認証処理手順を終了する。

これに対して、ステップＳＰ５２において肯定結果が得られると（ステップＳＰ５２：ＹＥＳ）、認証処理部８０ｃは、スマートメータ２０、所在地コード生成装置４０および電子端末６０の３者が所在地コード認証及びＩＤパスワード認証サーバ８０ｓの認める正規かつ固有のネットワークトポロジーを構築していると認識し、次のステップＳＰ５３に移って、ソルト情報を通信処理部８０ａにより電子端末６０へ送信する。

これにより電子端末６０は、ソルト情報を所在地コード生成装置４０へ送信する。所在地コード生成装置４０は、ソルト情報、ＳＭ識別情報、ＬＣ識別情報を用いてソルトアンサー関数式によりソルトアンサー情報（所在地コード）を生成し、これを電子端末６０から所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ送信する。

ステップＳＰ５４において認証処理部８０ｃは、所在地コード生成装置４０からのソルトアンサー情報（所在地コード）を受信し、次のステップＳＰ５５へ移る。ステップＳＰ５５において認証処理部８０ｃは、最新のアライブ信号ＡＬ、電子端末６０からのユーザＩＤおよびパスワード、所在地コード生成装置４０により生成されるソルトアンサー情報（所在地コード）、および、電子端末６０のデバイス識別情報の４つの要素が全て正しく揃っている場合に限り、肯定結果を得て（ステップＳＰ５５：ＹＥＳ）、次のステップＳＰ５６へ移る。

ステップＳＰ５６において認証処理部８０ｃは、電子端末６０に対するログイン処理を実行し、次のステップＳＰ５７において「ＴＲＵＥ」を表す認証結果情報を送信することにより、当該電子端末６０に「ＴＲＵＥ」を表示させた後、ログイン認証処理手順を終了する。

これに対してステップＳＰ５５において、否定結果が得られると（ステップＳＰ５５：ＮＯ）、このことは、４つの要素が全て揃っていないため認証処理部８０ｃはログインを認めることができないことを意味し、ステップＳＰ５８へ移り、上述したように、非認証結果情報を電子端末６０へ送信した後、ログイン認証処理手順を終了する。

ここでステップＳＰ５５において否定結果が得られる場合とは、例えば、図２４に示すように、最新のアライブ信号ＡＬだけが取得できない場合、図２５に示すように、最新のアライブ信号ＡＬおよびソルトアンサー情報（所在地コード）が取得できない場合、図２６に示すように、最新のアライブ信号ＡＬ、ソルトアンサー情報（所在地コード）およびデバイス識別情報が取得できない場合、および、図２７に示すように、４つの要素全てが取得できない場合等がある。

ただし、図２７に示したように、悪意の第三者がユーザＩＤ、パスワードを不正に入手し、電子端末６０を不正に入手し、所在地コード生成装置４０を不正に入手し、かつ、スマートメータ２０を不正に入手した場合、悪意の第三者によるなりすましができてしまう可能性があるとも考えられる。

しかしながら、スマートメータ２０が正規の所在地から撤去されて、他の場所に取り付けられた場合、スマートメータ管理サーバ３０とスマートメータ２０の両者間の通信が切断される。したがってスマートメータ管理サーバ３０は、本来の所在地にスマートメータ２０が設置されていないか、あるいは故障が生じた異常な状態であると判定し、異常である旨の異常情報をインターネット経由で所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ送信することが可能である。

これにより所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、たとえ、悪意の第三者がユーザＩＤ、パスワード、電子端末６０、所在地コード生成装置４０、および、スマートメータ２０を全て不正に取得した場合でも、不正なログイン認証を未然に防止し、悪意の第三者による不正なログイン認証を事実上無効化することができる。

このように認証システム１では、スマートメータ２０、所在地コード生成装置４０および電子端末６０の３者が所在地コード認証及びＩＤパスワード認証サーバ８０ｓの認める正規かつ固有のネットワークトポロジーを構築している場合に限り、ログイン認証処理を実行することができるので、悪意の第三者によるなりすましを従来に比して格段に防止し得、ネットワーク上のセキュリティの安全性を従来に比して一段と保証することができる。
以上の認証システム１では、ユーザＵ１のスマートメータ２０、ユーザＵ１の所在地コード生成装置４０およびユーザＵ１の電子端末６０の３者が正規かつ固有のネットワークトポロジーを構築し、ユーザＵ１の本人確認を行うものであるが、ユーザＵ２、Ｕ３・・・も同様の認証システムによって本人確認を行うことができる。

再び図１および図２０を参照し、ユーザの本人確認について説明する。
上述した場合と同様に、ユーザＵ１がユーザＵ２に１０万円の振込をする使用シナリオの第１の例を考える。
処理手順ＳＫ１６において、ユーザＵ１は、自身の電子端末６０を用いて銀行サーバＢ１に振込依頼をする。
処理手順ＳＫ１７において、銀行サーバＢ１は、送金者であるユーザＵ１および受金者であるユーザＵ２の本人確認を所在地コード認証及びＩＤパスワード認証サーバ８０ｓに依頼する。例えば、銀行サーバＢ１は、ユーザＵ１、Ｕ２の住所および氏名等のユーザ情報を所在地コード認証及びＩＤパスワード認証サーバ８０ｓに送信し、ユーザＵ１、Ｕ２のユーザ情報が正しいか否かを所在地コード認証及びＩＤパスワード認証サーバ８０ｓに
問い合わせる。

処理手順ＳＫ１８において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、銀行サーバＢ１から受け取ったユーザＵ１、Ｕ２のユーザ情報と、所在地コード認証及びＩＤパスワード認証サーバ８０ｓが有するユーザＵ１、Ｕ２のユーザ情報と、が一致しているか否かの真贋判定を行う。具体的には、処理手順ＳＫ１５において「ＴＲＵＥ」を送信している場合、上述したとおり、最新のアライブ信号ＡＬ、電子端末６０からのユーザＩＤおよびパスワード、所在地コード生成装置４０により生成されるソルトアンサー情報（所在地コード）、および、電子端末６０のデバイス識別情報の４つの要素が全て正しく揃っているため、ユーザＵ１、Ｕ２のそれぞれについて、正規のユーザが正規の電子端末６０を正規の所在地で使用しているとみなされている。ここで、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、正規のユーザについて、上述した４つの要素のうちの少なくとも所在地コードに関連させて、住所および氏名等のユーザ情報を有しており、当該ユーザ情報と、銀行サーバＢ１から受け取ったユーザ情報と、が一致しているか否かを判定する。言い換えると、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、多数の正規のユーザについて、少なくとも所在地コードに関連させて、住所および氏名等のユーザ情報のリストを有しており、当該リストに、ユーザＵ１、Ｕ２が含まれているか否かを判定する。

真贋判定処理を、図２８のフローチャートを用いて説明すると、ステップＳＰ６１において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、送金者であるユーザＵ１の４つの要素が全て正しく揃っているか否かを確認する。送金者の４つの要素が全て正しく揃っている場合（ＹＥＳ）、ステップＳＰ６２に進む。一方、送金者の４つの要素が全て正しく揃っていない場合（ＮＯ）、ステップＳＰ６５に進み、送金者の本人確認が未完了となる。
ステップＳＰ６２において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、受金者であるユーザＵ２の４つの要素が全て正しく揃っているか否かを確認する。受金者の４つの要素が全て正しく揃っている場合（ＹＥＳ）、ステップＳＰ６３に進み、送金者および受金者の本人確認が完了となる。一方、受金者の４つの要素が全て正しく揃っていない場合（ＮＯ）、ステップＳＰ６４に進む。

ステップＳＰ６４において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、受金者の電子端末６０が過去にアクティベイトされたことがあるか否かを確認する。上述したとおり、本人確認の際は、４つの要素が全て正しく揃っていることが要求される。しかしながら、受金者の場合は、正規のユーザではあるものの、所在地コード認証及びＩＤパスワード認証サーバ８０ｓが本人確認を行う際に、電子端末６０の電源が入っていないこともありうる。そのような場合に本人確認が未完了と結論付けるのは早急である。そこで、受金者の電子端末６０が過去に（例えば１週間以内に）アクティベイトされたことがあれば、受金者の本人確認が完了したものとみなすことができる。それゆえ、ステップＳＰ６４において、受金者の電子端末６０が過去にアクティベイトされたことが確認されると（ＹＥＳ）、ステップＳＰ６３に進み、送金者および受金者の本人確認が完了となる。一方、ステップＳＰ６４において、受金者の電子端末６０が過去にアクティベイトされたことが確認されないと（ＮＯ）、ステップＳＰ６５に進み、受金者の本人確認が未完了となる。

真贋判定の結果、銀行サーバＢ１から受け取ったユーザＵ１、Ｕ２のユーザ情報と、所在地コード認証及びＩＤパスワード認証サーバ８０ｓが有するユーザＵ１、Ｕ２のユーザ情報と、が一致して、ユーザＵ１、Ｕ２のそれぞれについて、正規のユーザであることが確認できれば、図２０の処理手順ＳＫ１９において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、「ＴＲＵＥ」を表す認証結果情報を銀行サーバＢ１に送信する。
一方、正規のユーザであることが確認できなければ、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、「ＦＡＬＳＥ」を表す非認証結果情報を銀行サーバＢ１に送信する。
その後、処理手順ＳＫ２０において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、ユーザＵ１、Ｕ２の取引があったという取引情報を記録する。

図示を省略するが、銀行サーバＢ１は、「ＴＲＵＥ」を受信した場合、ユーザＵ１、Ｕ２の本人確認が完了したため、銀行サーバＢ２のユーザＵ２に振込を実行し、一方、「ＦＡＬＳＥ」を受信した場合、ユーザＵ１、Ｕ２の少なくともいずれかの本人確認が完了しなかったため、振込手続を中止する。

本発明では、ユーザＵ１、Ｕ２が使用する電子端末が正当な所在地に存在しているか否かを、所在地コードを用いて判定することにより、銀行取引時に確実に送金者および受金者の本人確認を行うことができる。これにより、安心して銀行取引を行うことができる。

上述した送金者および受金者の本人確認に加えて、受金者の口座が不正口座ではないことを確認したいという要求が存在する。例えば、振り込め詐欺等に使用される口座では、入金のみが行われ、出金が行われないという特徴を有する。一方、一般的な正常の口座では、入金および出金がバランスよく行われるものである。そこで、取引情報から、入金のみが行われている口座を発見し、当該口座に対して振込等の取引を行う際に警告を行うシステムを提案する。

再び図２を参照し、本発明のさらなる実施の形態を説明する。
使用シナリオの第１の例において、１０万円が入金されたユーザＵ２の口座の過去５日間の取引情報に注目すると、２０１６／１２／２に電気料金の口座振替により出金され、２０１６／１２／３にガス料金の口座振替により出金され、２０１６／１２／５にユーザＵ８から入金されていることが分かる。このように、入金および出金がバランスよく行われていることから、ユーザＵ２の口座は正常であると判定することができる。
一方、使用シナリオの第２の例として、ユーザＵ３の口座の過去５日間の取引情報に注目すると、２０１６／１２／１に１回、２０１６／１２／２に２回、２０１６／１２／４に１回、２０１６／１２／５に１回、合計５回の入金が行われ、出金は行われていないことがわかる。このような口座は、振り込め詐欺等に使用される不正口座である可能性があるとして、次に取引を行う際に警告を行う。

図２９のフローチャートを用いて説明する。
ステップＳＰ７１において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、取引情報を記録する。例えば、使用シナリオの第２の例として、２０１６／１２／５にユーザＵ７がユーザＵ３に１００万円の振込をした場合を検討すると、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、ユーザＵ７に対して「出金」を記録し、ユーザＵ３に対して「入金」を記録する。
ステップＳＰ７２において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、受金者の過去の所定期間内の取引情報を確認する。すなわち、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、上述したように、ユーザＵ３の口座について、２０１６／１２／１に１回、２０１６／１２／２に２回、２０１６／１２／４に１回入金されていることを確認する。なお、この例では、過去５日間の取引情報を確認しているが、任意の日数を設定することができる。
ステップＳＰ７３において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、受金者であるユーザＵ３の過去取引に出金があったことを確認しないため（ＮＯ）、ステップＳＰ７４において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、受金者であるユーザＵ３の口座は不正口座の可能性があるとして、銀行サーバＢ１に警告を
送信する。

一方、ステップＳＰ７３において、所在地コード認証及びＩＤパスワード認証サーバ８０ｓが、受金者の過去取引に出金があったことを確認すると（ＹＥＳ）、処理は終了する。

この実施の形態では、出金の有無が、不正口座の可能性の判定基準に用いられているが、判定基準は適宜変更可能である。例えば、親の口座から子供の口座に定期的に仕送りが行われており、公共料金も親の口座から支払われているような場合は、子供の口座には入金のみが行われ、出金が行われていない。このような場合を考慮して、入金のみが行われている口座であっても、特定の送金者からの入金のみがあるような場合は不正口座の可能性は低いとみなすこともできる。また、入金のみが行われている口座であっても、入金の中に給与振込による入金があった場合は、不正口座の可能性は低いとみなすこともできる。また、所定額以上の入金が、所定頻度以上に発生している場合に不正口座の可能性があるとみなすこともできる。このように、不正口座の可能性の判定基準は、本発明のシステムが例えば銀行に適用された場合には、当該銀行によって適宜設定可能である。
上述した使用シナリオの第１の例および第２の例では、銀行取引が振込であったため、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、送金者（出金口座）および受金者（入金口座）について取引情報を記録するが、銀行取引が口座振替の場合は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、出金口座の取引情報のみを記録する。

本発明では、銀行取引時に、受金者の過去の取引を確認することにより、当該受金者の口座が不正口座の可能性があることを銀行に警告し、不正口座における取引を未然に防止することができる。

＜ＡルートおよびＢルートの双方を用いた認証システム＞
次に、ＡルートおよびＢルートの双方を用いた複数の認証システムについて説明する。図３との対応部分に同一符号を付した図３０に破線で示すように、認証システム１ａは、スマートメータ２０、所在地コード認証及びスマートメータ管理サーバ３０ｓ、所在地コード生成装置４０、電子端末６０、および、ＩＤパスワード認証サーバ８０を備えている。この認証システム１ａでは、特に、スマートメータ管理サーバ３０および所在地コード認証及びＩＤパスワード認証サーバ８０ｓの代わりに、所在地コード認証及びスマートメータ管理サーバ３０ｓおよびＩＤパスワード認証サーバ８０が設けられている点が異なる。この実施の形態では、第１の認証サーバとしてのＩＤパスワード認証サーバ８０と、第２の認証サーバとしての所在地コード認証及びスマートメータ管理サーバ３０ｓと、が別体である。
初めに、破線内に示す認証システム１ａについて説明し、次に、銀行サーバＢ１による本人確認について説明する。

所在地コード認証及びスマートメータ管理サーバ３０ｓは、所在地コード生成装置４０により生成された所在地コードを所謂Ａルートによりスマートメータ２０から受信することが可能となっている。

所在地コード生成装置４０は、これまで通り、所謂Ｂルートにより電子端末６０を介してＩＤパスワード認証サーバ８０へ所在地コードを送信しており、ＩＤパスワード認証サーバ８０はＢルート経由で受信した所在地コードをルータｒｔ３、インターネット、および、ルータｒｔ４を介して所在地コード認証及びスマートメータ管理サーバ３０ｓへ送信する。

所在地コード認証及びスマートメータ管理サーバ３０ｓは、所在地コード認証及びＩＤパスワード認証サーバ８０ｓの構成（図１１）と基本的には同一の構成を有し、図示しない認証処理部において、Ａルート経由で受信した所在地コードと、Ｂルート経由で受信した所在地コードとのマッチングを行う。

所在地コード認証及びスマートメータ管理サーバ３０ｓは、双方の所在地コードが一致した場合には正常なログイン認証として認め、「ＴＲＵＥ」を表す認証結果情報をＡルート経由でスマートメータ２０に送信し、さらにＢルート経由で所在地コード生成装置４０から電子端末６０へ送信するとともに、当該認証結果情報をインターネット経由でＩＤパスワード認証サーバ８０へ送信する。

これによりＩＤパスワード認証サーバ８０は、所在地コード認証及びスマートメータ管理サーバ３０ｓから受信した認証結果情報に基づいて電子端末６０によるユーザＩＤおよびパスワードを用いたログイン処理を実行することができる。

送金者であるユーザが、自身の電子端末６０から銀行サーバＢ１に振込依頼をすると、銀行サーバＢ１は、送金者および受金者のユーザ情報を所在地コード認証及びスマートメータ管理サーバ３０ｓに送信し、送金者および受金者の本人確認依頼を依頼する。

所在地コード認証及びスマートメータ管理サーバ３０ｓは、銀行サーバＢ１から受け取った送金者および受金者のユーザ情報と、所在地コード認証及びスマートメータ管理サーバ３０ｓが有するユーザ情報と、が一致しているか否かの真贋判定を行う。
真贋判定の結果、一致していれば、所在地コード認証及びスマートメータ管理サーバ３０ｓは、「ＴＲＵＥ」を表す認証結果情報を銀行サーバＢ１に送信する。一方、一致しなければ、所在地コード認証及びスマートメータ管理サーバ３０ｓは、「ＦＡＬＳＥ」を表す非認証結果情報を銀行サーバＢ１に送信する。

また、図３１に破線で示すように、認証システム１ｂは、スマートメータ２０、スマートメータ管理サーバ３０、所在地コード生成装置４０、電子端末６０、および、所在地コード認証及びＩＤパスワード認証サーバ８０ｓを備えている。この認証システム１ｂは、図３の認証システム１と同一の全体構成を有するが、特に、所在地コード認証及びＩＤパスワード認証サーバ８０ｓにおいてマッチングを行う点が異なる。

この場合、スマートメータ管理サーバ３０は、所在地コード生成装置４０により生成された所在地コードを所謂Ａルートによりスマートメータ２０から受信している。スマートメータ管理サーバ３０は、ルータｒｔ４、インターネット、ルータｒｔ３を介して所在地コードを所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ送信する。所在地コード生成装置４０は、これまで通り、所謂Ｂルートにより電子端末６０を介して所在地コード認証及びＩＤパスワード認証サーバ８０ｓへ所在地コードを送信している。

したがって、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、認証処理部８０ｃにおいて、Ａルート経由で受信した所在地コードと、Ｂルート経由で受信した所在地コードとのマッチングを行う。所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、双方の所在地コードが一致した場合には正常なログイン認証として認め、「ＴＲＵＥ」を表す認証結果情報を電子端末６０へ送信するとともに、電子端末６０によるログイン処理を実行する。ただし、これに限るものではなく、所在地コード認証及びＩＤパスワード認証サーバ８０ｓは、Ａルート経由でスマートメータ２０から所在地コード生成装置４０を介して電子端末６０へ認証結果情報を送信することも可能である。
銀行サーバＢ１による本人確認手続は、図２０の場合と同様であるため、説明を省略する。

さらに、図３との対応部分に同一符号を付した図３２に破線で示すように、認証システム１ｃは、スマートメータ２０、スマートメータ管理サーバ３０、所在地コード生成装置４０、電子端末６０、ＩＤパスワード認証サーバ８０に加えて、所在地コード認証サーバ１００を備えている。この認証システム１ｃでは、特に、所在地コード認証サーバ１００が新たに設けられている点が異なる。所在地コード認証サーバ１００は、所在地コード認証及びＩＤパスワード認証サーバ８０ｓの構成（図１１）と基本的には同一の構成を有する。
この実施の形態では、第１の認証サーバとしてのＩＤパスワード認証サーバ８０と、第２の認証サーバとしての所在地コード認証サーバ１００と、が別体である。

この場合、所在地コード認証サーバ１００が、所謂Ａルートによりスマートメータ管理サーバ３０からルータｒｔ４を介して受信した所在地コードと、所謂ＢルートによりＩＤパスワード認証サーバ８０からルータｒｔ３を介して受信した所在地コードとのマッチングを行う。所在地コード認証サーバ１００は、双方の所在地コードが一致した場合には正常なログイン認証として認め、「ＴＲＵＥ」を表す認証結果情報をＡルートまたはＢルートを介して電子端末６０へ送信する。

送金者であるユーザが、自身の電子端末６０から銀行サーバＢ１に振込依頼をすると、銀行サーバＢ１は、送金者および受金者のユーザ情報を所在地コード認証サーバ１００に送信し、送金者および受金者の本人確認依頼を依頼する。

所在地コード認証サーバ１００は、銀行サーバＢ１から受け取った送金者および受金者のユーザ情報と、所在地コード認証サーバ１００が有するユーザ情報と、が一致しているか否かの真贋判定を行う。
真贋判定の結果、一致していれば、所在地コード認証サーバ１００は、「ＴＲＵＥ」を表す認証結果情報を銀行サーバＢ１に送信する。一方、一致しなければ、所在地コード認証サーバ１００は、「ＦＡＬＳＥ」を表す非認証結果情報を銀行サーバＢ１に送信する。

以上より、図３３に示すように、認証システム１ａ～１ｃでは、所在地コード認証及びスマートメータ管理サーバ３０ｓ、所在地コード認証及びＩＤパスワード認証サーバ８０ｓ、または、所在地コード認証サーバ１００の何れかにおいて、ＡルートおよびＢルートの双方から受信した所在地コードをマッチングし、両方の所在地コードが一致した場合には正常なログイン認証として認める。なお、この場合も、所在地コードだけではなく、最新のアライブ信号ＡＬ、電子端末６０からのユーザＩＤ、パスワード、および、電子端末６０のデバイス識別情報を用いて認証を行っている。

これにより、所在地コード生成装置４０により生成された所在地コードがスマートメータ２０経由のＡルート、および電子端末６０経由のＢルートの何れかにおいて、正規なネットワークトポロジーが構築されていない場合には、所在地コードが一致しないので認証システム１ａ～１ｃでは、不正なログイン認証を事実上無効化し、ネットワーク上のセキュリティの安全性を保証することができる。

また、認証システム１ａ～１ｃでは、所在地コード認証及びスマートメータ管理サーバ３０ｓ、所在地コード認証及びＩＤパスワード認証サーバ８０ｓ、または、所在地コード認証サーバ１００の何れかにおいて、当該何れかが有するユーザ情報と、銀行サーバＢ１から受け取ったユーザ情報と、が一致しているか否かを判定することにより確実に本人確認を行うことができる。

＜他の実施の形態＞
以上、本発明の好適な実施の形態について説明したが、本発明は上記の実施の形態に係る認証システム１に限定されるものではなく、本発明の概念および特許請求の範囲に含まれるあらゆる態様を含む。また、上述した課題および効果の少なくとも一部を奏するように、各構成を適宜選択的に組み合わせてもよい。例えば、上記実施の形態における各構成要素の配置、組み合わせ等は、本発明の具体的使用態様によって適宜変更され得る。

１、１ａ、１ｂ、１ｃ……認証システム、２０……スマートメータ（電力量計）、２１……電力使用量計量部、２２……スマートメータ記憶部、２５……通信処理部、３０……スマートメータ管理サーバ、３０ｓ……所在地コード認証及びスマートメータ管理サーバ、４０……所在地コード生成装置、４０Ｍ……所在地コード生成装置（親機）、４０Ｓ……所在地コード生成装置（子機）、４１……記憶部、４２……制御部、４２ａ……所在地コード生成部、４２ｂ……アクティベイト処理部、４２ｃ……アライブ信号生成部、４３……通信処理部、４３ａ……無線信号変換部、４３ｂ……超音波変換部、４３ｃ……音響処理部、４５……スピーカ、４６……マイクロフォン、６０……電子端末（電子端末）、８０……ＩＤパスワード認証サーバ、８０ａ……通信処理部、８０ｂ……記憶部、８０ｃ……認証処理部、８０ｓ……所在地コード認証及びＩＤパスワード認証サーバ、９０……分電盤、１００……所在地コード認証サーバ、Ｂ１，Ｂ２……銀行サーバ、Ｄ１，Ｄ２……ＬＰＣ装置、ｒｔ１～ｒｔ４……ルータ。

Claims (8)

1. デジタル式の電力量計と、
   前記電力量計に割り当てられた固有の電力量計識別情報を基にハッシュ関数により固有の所在地コードを生成する所在地コード生成部、および、前記所在地コードを所定の通信方式により送信する通信処理部を有する所在地コード生成装置と、
   前記通信処理部により送信される前記所在地コードを受信した電子端末から前記所在地コードを受け取り、前記所在地コードに基づいて前記電子端末を認証する第１の認証サーバと、
   前記第１の認証サーバと一体または別体であり、前記所在地コードに関連させたユーザ情報を有し、当該ユーザ情報と銀行取引時に銀行サーバから受け取ったユーザ情報とが一致するか否かを判定し、取引情報を記録する第２の認証サーバと、
   を備えることを特徴とする認証システム。
2. 前記所在地コード生成部は、前記電力量計識別情報に加えて、当該所在地コード生成部に割り当てられた固有の所在地コード生成装置識別情報、および、前記第１の認証サーバから供給されたソルト情報を基に前記ハッシュ関数により前記所在地コードを生成する
   ことを特徴とする請求項１に記載の認証システム。
3. 前記通信処理部は、超音波通信により前記所在地コードを前記電子端末へ送信する
   ことを特徴とする請求項１または２に記載の認証システム。
4. 前記電力量計と、前記所在地コード生成装置と、前記電子端末との間がアクティベイトされた状態において、前記所在地コード生成装置により生成されたアライブ信号が前記電力量計、前記所在地コード生成装置、および、前記電子端末の３者間で送受信されている場合、前記第１の認証サーバは前記アライブ信号の存在を確認できた場合、ソルト情報を前記所在地コード生成装置へ送信する
   ことを特徴とする請求項２に記載の認証システム。
5. 前記第１の認証サーバは、前記アライブ信号、ユーザＩＤおよびパスワード、前記所在地コード、前記電子端末の固有のデバイス識別情報に基づいて前記電子端末を認証する
   ことを特徴とする請求項４に記載の認証システム。
6. 前記第２の認証サーバは、銀行取引時に前記銀行サーバから送金者および受金者のユーザ情報を受け取る場合、前記受金者の口座の過去の所定期間内の取引情報を確認し、前記取引情報に出金がなかった場合、前記受金者の前記口座が不正口座の可能性があると判定する
   ことを特徴とする請求項１から５のいずれかに記載の認証システム。
7. デジタル式の電力量計に割り当てられた固有の電力量計識別情報を基にハッシュ関数により固有の所在地コードを所在地コード生成部により生成する所在地コード生成ステップと、
   前記所在地コードを通信処理部により所定の通信方式により送信する送信ステップと、
   前記通信処理部により送信される前記所在地コードを受信した電子端末から前記所在地コードを受け取り、前記所在地コードに基づいて前記電子端末を第１の認証サーバにより認証する認証ステップと、
   前記第１の認証サーバと一体または別体の第２の認証サーバにより、前記所在地コードに関連させたユーザ情報と、銀行取引時に銀行サーバから受け取ったユーザ情報と、が一致するか否かを判定し、取引情報を記録するステップと、
   を有することを特徴とする認証方法。
8. 前記第２の認証サーバにより、銀行取引時に前記銀行サーバから送金者および受金者のユーザ情報を受け取る場合、前記受金者の口座の過去の所定期間内の取引情報を確認し、前記取引情報に出金がなかった場合、前記受金者の前記口座が不正口座の可能性があると判定するステップ
   を有することを特徴とする請求項７に記載の認証方法。

Images