JP7106965B2 - 情報処理装置、認証制御システム、及び認証制御プログラム - Google Patents

Description

本件は、情報処理装置、認証制御システム、及び認証制御プログラムに関する。

様々なモノがインターネットに接続するInternet Of Things（ＩｏＴ）が知られている。例えば、宅配ロッカーをインターネット上のサーバ装置に接続し、宅配ロッカーの鍵の解錠に要する利用者の認証をオンライン認証といったクラウドサービスとスマートフォンで実現する技術が提案されている。尚、オンライン認証のプロトコルとして、Fast IDentity Online（ＦＩＤＯ）認証が知られている（例えば、特許文献１参照）。

特開２０１８－０４９４１５号公報 米国特許出願公開第２０１４／０１８０９１４号明細書 特開２０１６－１１５０７９号公報

ここで、宅配ロッカーは特定の場所に設置されているため、宅配ロッカーがインターネット上のサーバ装置と通信して利用者を認証することは可能である。一方、ドローン装置といった移動可能な情報処理装置の場合には、情報処理装置がインターネット上のサーバ装置と通信して利用者を認証することが不可能な場合ある。

例えば、災害発生時にこのような情報処理装置により被災地に救援物資などの荷物を配送する場合、荷物を箱に格納して施錠し、荷物を依頼した正当な利用者以外の第三者に荷物が渡ることを回避することが求められる。この場合、荷物の受け取り時に利用者を認証してから鍵を解錠することが望ましいが、被災地では通信設備の故障や損壊などにより情報処理装置がサーバ装置と通信できず、利用者を認証できない可能性がある。

そこで、１つの側面では、サーバ装置との通信が不可能な通信状態で利用者を認証できる情報処理装置、認証制御システム、及び認証制御プログラムを提供することを目的とする。

１つの実施態様では、サーバ装置との通信状態が変化する情報処理装置であって、利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記情報処理装置が前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記情報処理装置に送信することにより、記憶する記憶部と、前記情報処理装置が前記サーバ装置と通信不可能な第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する処理を実行する処理部と、を有し、前記処理部は、前記第１の通信状態で、前記情報処理装置を識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置と異なる別のサーバ装置を介して送信し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記別の第２の識別情報を前記端末装置から受信し、前記第２の通信状態で受信した前記別の第２の識別情報と前記処理部が保持する前記第２の識別情報が共通することにより、前記端末装置が前記情報処理装置と対応すると判断する、ことを特徴とする。

サーバ装置との通信が不可能な通信状態で利用者を認証することができる。

図１は認証制御システムの一例である。 図２は認証制御システムの別の一例である。 図３は携帯端末のハードウェア構成の一例である。 図４はサービスサーバのハードウェア構成の一例である。 図５はドローン装置のハードウェア構成の一例である。 図６は認証制御システムのブロック図の一例である。 図７（ａ）は携帯端末のＩＤ記憶部の一例である。図７（ｂ）は秘密鍵記憶部の一例である。 図８（ａ）はユーザ情報記憶部の一例である。図８（ｂ）は公開鍵記憶部の一例である。 図９（ａ）は複製鍵記憶部の一例である。図９（ｂ）はドローン装置のＩＤ記憶部の一例である。 図１０（ａ）は接続部に設定される接続情報の一例である。図１０（ｂ）はルータ部に設定される接続情報の一例である。 図１１は搬送依頼時の処理の一例を示す処理シーケンス図（その１）である。 図１２は搬送依頼時の処理の一例を示す処理シーケンス図（その２）である。 図１３は搬送依頼時の処理の一例を示す処理シーケンス図（その３）である。 図１４（ａ）乃至（ｄ）は搬送依頼時の携帯端末に表示される画面の一例である。 図１５は利用者認証時の処理の一例を示す処理シーケンス図（その１）である。 図１６は利用者認証時の処理の一例を示す処理シーケンス図（その２）である。 図１７は利用者認証時の処理の一例を示す処理シーケンス図（その３）である。 図１８は利用者認証時の処理の一例を示す処理シーケンス図（その４）である。 図１９（ａ）乃至（ｄ）は利用者認証時の携帯端末に表示される画面の一例である。

以下、本件を実施するための形態について図面を参照して説明する。

図１は認証制御システムＳＴの一例である。図２は認証制御システムＳＴの別の一例である。図１及び図２に示すように、認証制御システムＳＴは、携帯端末１００とサービスサーバ２００と認証サーバ３００とドローン装置４００とを含んでいる。

携帯端末１００は端末装置の一例であって、例えばスマートフォンやタブレット端末、ウェアラブル端末などが該当する。生体認証センサを内蔵又は外付けしたノート型のPersonal Computer（ＰＣ）が端末装置であってもよい。サービスサーバ２００は荷物の搬送サービスを提供する第１事業者が管理するサーバ装置である。サービスサーバ２００は例えば第１事業者が管理するサービス基地ＳＢに設置される。サービス基地ＳＢとしては、例えば第１事業者が利用する施設の屋上や駐車場などが該当する。

認証サーバ３００はオンライン認証のクラウドサービスを提供する第２事業者が管理するサーバ装置である。したがって、認証サーバ３００はクラウドＣＬ上（具体的にはデータセンターＤＣ内）に設置される。このように、第１事業者と第２事業者は異なる事業者であるため、例えば第１事業者が管理するユーザ情報に第２事業者はアクセスすることができない。ドローン装置４００は移動可能な情報処理装置の一例である。ドローン装置４００はマルチコプタや無人航空機などと呼ばれることもある。尚、本実施形態において、移動可能な情報処理装置はドローン装置４００といった移動体に限定されず、例えば地面や水面を移動する移動体であってもよい。このような移動体としては、車両や船舶のほか、ロボットなどがある。また、生体認証機能を有するノート型のＰＣを車両、船舶又は飛行体に搭載して移動可能な情報処理装置としてもよい。

携帯端末１００とサービスサーバ２００と認証サーバ３００はいずれも通信ネットワークＮＷを介して接続されている。特に、携帯端末１００は携帯基地局ＢＳと通信ネットワークＮＷとを介してサービスサーバ２００及び認証サーバ３００と接続されている。したがって、携帯基地局ＢＳの通信可能領域ＡＲ内に携帯端末１００が含まれていれば、図１に示すように、携帯端末１００は携帯基地局ＢＳと無線通信ＷＬ１により通信することができる。これにより、搬送サービスの利用者１０がサービス基地ＳＢと所在地が異なる被災地ＤＡにいても、利用者１０の携帯端末１００はサービスサーバ２００及び認証サーバ３００と通信することができる。尚、通信ネットワークＮＷとしては、例えばインターネットがある。無線通信ＷＬ１としては、例えばLong Term Evolution（ＬＴＥ）といった広域無線通信などがある。

ここで、図１に示すように、携帯端末１００が利用者１０の操作に基づいてサービスサーバ２００に荷物の搬送を依頼すると、サービスサーバ２００はドローン装置４００に通信接続に関する各種の接続情報を設定する。より詳しくは、サービスサーバ２００はサービス基地ＳＢに設置されたアクセスポイントＡＰの無線通信ＷＬ２を利用して各種の接続情報を設定する。尚、無線通信ＷＬ２としてはＷｉ－Ｆｉ（登録商標）やBluetooth（登録商標）といった近距離無線通信がある。

また、図１に示すように、携帯端末１００がサービスサーバ２００に荷物の搬送を依頼すると、認証サーバ３００はサービスサーバ２００による制御に基づいてドローン装置４００に利用者１０の認証に関する各種の認証情報を登録する。認証サーバ３００も無線通信ＷＬ２を利用して各種の認証情報を登録する。

その他、詳細は後述するが、携帯端末１００とドローン装置４００は、互いのなりすましを防止するために、それぞれ識別情報を生成して交換する。接続情報の設定、認証情報の登録、及び識別情報の交換が完了すると、サービス基地ＳＢで作業する作業者は利用者１０が依頼した荷物をドローン装置４００が備える搬送箱４５０に格納して施錠する。作業者はドローン装置の操作画面（不図示）を介してサービスサーバ２００にアクセスし、利用者１０の位置情報を目的地に設定して飛行させる。これにより、ドローン装置４００はサービス基地ＳＢから被災地ＤＡに位置する利用者１０の元に移動する。尚、利用者１０の位置情報は荷物の搬送を依頼した際に携帯端末１００からサービスサーバ２００に送信される。

図２に示すように、ドローン装置４００が利用者１０の位置に到着すると、ドローン装置４００は利用者１０を認証する。具体的には、まず、利用者１０が携帯端末１００をドローン装置４００に近づけると、無線通信ＷＬ３により通信を開始し、ドローン装置４００との接続を要求する。無線通信ＷＬ３としては、Near Field Communication（ＮＦＣ）といった近接無線通信がある。その後、携帯端末１００とドローン装置４００はお互いに識別情報を相手に送信して、自身が保持する識別情報と一致するか否かを確認する。尚、ＮＦＣはＮＦＣコード（例えばＱＲコード（登録商標））とＮＦＣリーダ（例えばＱＲコード（登録商標）スキャナ））を利用する。携帯端末１００がＮＦＣコードを表示し、ドローン装置４００のＮＦＣリーダがＮＦＣコードを読み取れば、携帯端末１００はドローン装置４００との通信を開始する。

識別情報が一致した場合、携帯端末１００は自身の依頼に基づくドローン装置４００に対応すると判断でき、逆に、ドローン装置４００は自身を依頼した携帯端末１００に対応すると判断できる。このように、携帯端末１００及びドローン装置４００はお互いのなりすましを防止することができる。尚、識別情報が一致しなかった場合、ドローン装置４００は携帯端末１００との通信を切断する。

識別情報が一致すると、ドローン装置４００は携帯端末１００との接続を許可し、携帯端末１００との通信路を確立して維持する。ドローン装置４００はサービスサーバ２００から設定された接続情報を利用して、ドローン装置４００に登録された認証情報への経路を確立する。そして、ドローン装置４００はチャレンジを生成して携帯端末１００に送信し、携帯端末１００が自身の認証情報でチャレンジを暗号化して返信する。チャレンジは、文字、数字、記号の少なくとも１つを無作為（ランダム）に組み合わせた情報である。ドローン装置４００は暗号化されたチャレンジを自身の認証情報で復号し、自身が送信したチャレンジと照合して照合結果を検証する。

ドローン装置４００はチャレンジの一致を確認できた場合、正当な利用者１０であると判断し、搬送箱４５０を解錠する。これにより、利用者１０は搬送箱４５０から荷物を取り出すことができる。尚、荷物の種類は搬送箱４５０に格納でき、ドローン装置４００が飛行可能であれば、特に限定されない。以下では、荷物の一例として薬剤を説明するが、荷物は救援物資のほか、食料品や嗜好品などであってもよい。

以下、認証制御システムＳＴの詳細について説明する。

図３は携帯端末１００のハードウェア構成の一例である。図２に示すように、携帯端末１００は、ハードウェアプロセッサとしてのCentral Processing Unit（ＣＰＵ）１００Ａ、Random Access Memory（ＲＡＭ）１００Ｂ、Read Only Memory（ＲＯＭ）１００Ｃ、Non-Volatile Memory（ＮＶＭ）１００Ｄ、及び広域通信回路１００Ｅを含んでいる。広域通信回路１００Ｅは広域無線通信を実現するハードウェア回路である。広域通信回路１００Ｅにはアンテナ１００Ｅ´が接続されている。

また、携帯端末１００は、認証装置１００Ｆ、近接通信回路１００Ｇ、タッチパネル１００Ｈ、ディスプレイ１００Ｉ、及びGlobal Positioning System（ＧＰＳ）センサ１００Ｊを含んでいる。携帯端末１００はカメラ、スピーカ、マイクなどを含んでいてもよい。ここで、認証装置１００Ｆは生体認証センサと利用者１０本人を識別できる生体情報とを格納している。生体認証センサは認証対象として顔、指紋、虹彩を利用できるが、認証対象は特に限定されず、例えば静脈や手のひらなどであってもよい。近接通信回路１００Ｇは近接無線通信を実現するハードウェア回路である。ＧＰＳセンサ１００Ｊにより携帯端末１００を所持する利用者１０の位置を特定することができる。ＣＰＵ１００ＡからＧＰＳセンサ１００Ｊまでは、内部バス１００Ｋによって互いに接続されている。尚、ＣＰＵ１００Ａに代えてMicro Processing Unit（ＭＰＵ）をハードウェアプロセッサとして利用してもよい。

上述したＲＡＭ１００Ｂには、ＲＯＭ１００ＣやＮＶＭ１００Ｄに記憶されたプログラムがＣＰＵ１００Ａによって一時的に格納される。格納されたプログラムをＣＰＵ１００Ａが実行することにより、ＣＰＵ１００Ａは後述する各種の機能を実現し、後述する各種の処理を実行する。尚、プログラムは後述する処理シーケンス図に応じたものとすればよい。

図４はサービスサーバ２００のハードウェア構成の一例である。尚、上述した認証サーバ３００については基本的にサービスサーバ２００と同様のハードウェア構成であるため、説明を省略する。図４に示すように、サービスサーバ２００は、少なくともハードウェアプロセッサとしてのＣＰＵ２００Ａ、ＲＡＭ２００Ｂ、ＲＯＭ２００Ｃ及びネットワークＩ／Ｆ（インタフェース）２００Ｄを含んでいる。ＣＰＵ２００Ａに代えてＭＰＵをハードウェアプロセッサとして利用してもよい。サービスサーバ２００は、必要に応じて、Hard Disk Drive（ＨＤＤ）２００Ｅ、入力Ｉ／Ｆ２００Ｆ、出力Ｉ／Ｆ２００Ｇ、入出力Ｉ／Ｆ２００Ｈ、ドライブ装置２００Ｉの少なくとも１つを含んでいてもよい。ＣＰＵ２００Ａからドライブ装置２００Ｉまでは、内部バス２００Ｊによって互いに接続されている。

入力Ｉ／Ｆ２００Ｆには、入力装置７１０が接続される。入力装置７１０としては、例えばキーボードやマウスなどがある。出力Ｉ／Ｆ２００Ｇには、表示装置７２０が接続される。表示装置７２０としては、例えば液晶ディスプレイがある。入出力Ｉ／Ｆ２００Ｈには、半導体メモリ７３０が接続される。半導体メモリ７３０としては、例えばUniversal Serial Bus（ＵＳＢ）メモリやフラッシュメモリなどがある。入出力Ｉ／Ｆ２００Ｈは、半導体メモリ７３０に記憶されたプログラムやデータを読み取る。入力Ｉ／Ｆ２００Ｆ及び入出力Ｉ／Ｆ２００Ｈは、例えばＵＳＢポートを備えている。出力Ｉ／Ｆ２００Ｇは、例えばディスプレイポートを備えている。

ドライブ装置２００Ｉには、可搬型記録媒体７４０が挿入される。可搬型記録媒体７４０としては、例えばCompact Disc（ＣＤ）－ＲＯＭ、Digital Versatile Disc（ＤＶＤ）といったリムーバブルディスクがある。ドライブ装置２００Ｉは、可搬型記録媒体７４０に記録されたプログラムやデータを読み込む。ネットワークＩ／Ｆ２００Ｄは、例えばＬＡＮポートを備えている。ネットワークＩ／Ｆ２００Ｄは上述した通信ネットワークＮＷと接続される。

上述したＲＡＭ２００Ｂには、ＲＯＭ２００ＣやＨＤＤ２００Ｅに記憶されたプログラムがＣＰＵ２００Ａによって一時的に格納される。ＲＡＭ２００Ｂには、可搬型記録媒体７４０に記録されたプログラムがＣＰＵ２００Ａによって一時的に格納される。格納されたプログラムをＣＰＵ２００Ａが実行することにより、ＣＰＵ２００Ａは後述する各種の機能を実現し、また、後述する各種の処理を実行する。尚、プログラムは後述する処理シーケンス図に応じたものとすればよい。

図５はドローン装置４００のハードウェア構成の一例である。図５に示すように、ドローン装置４００は、組込回路４００Ａ、ＮＶＭ４００Ｂ、近距離通信回路４００Ｃ、近接通信回路４００Ｄ、及び開閉スイッチ４００Ｅを含んでいる。組込回路４００ＡはＣＰＵ、ＲＡＭ、ＲＯＭなどを含むハードウェア回路である。組込回路４００Ａはドローン装置４００から脱着することができる。近距離通信回路４００Ｃにはアンテナ４００Ｃ´が接続されている。開閉スイッチ４００Ｅは搬送箱４５０の電子ロック４００Ｅ´と接続されており、電子ロック４００Ｅ´を施錠したり解錠したりすることができる。開閉スイッチ４００Ｅはリレー回路などによって実現することができる。組込回路４００Ａから開閉スイッチ４００Ｅまでは、第１内部バス４００Ｆによって互いに接続されている。すなわち、ドローン装置４００はコンピュータによって実現することができる。

また、ドローン装置４００は、駆動回路４００Ｇ、ＧＰＳセンサ４００Ｈ、カメラ４００Ｉ、及び電源スイッチ４００Ｊを含んでいる。駆動回路４００Ｇから電源スイッチ４００Ｊまでは、第２内部バス４００Ｋによって互いに接続されている。ここで、駆動回路４００Ｇはプロペラ４００Ｇ´を駆動するハードウェア回路である。尚、駆動回路４００Ｇ及びプロペラ４００Ｇ´は駆動部の一例である。電源スイッチ４００Ｊはバッテリといった電源４００Ｊ´が供給する電力の供給先を切り替えるハードウェア回路である。電源スイッチ４００Ｊは駆動回路４００Ｇによるプロペラ４００Ｇ´の駆動停止を検出すると、電力の供給先を第２内部バス４００Ｋから第１内部バス４００Ｆに切り替える。これにより、電源４００Ｊ´の電力消費を抑制することができる。尚、電源スイッチ４００Ｊ及び電源４００Ｊ´は供給部の一例である。

尚、本実施形態に係るドローン装置４００は広域通信回路を含まないため、無線通信ＷＬ１を利用することができない。このため、ドローン装置４００はアクセスポイントＡＰの通信可能領域から離れると、インターネットを利用することができない。この結果、ドローン装置４００は認証サーバ３００にアクセスすることができず、認証サーバ３００を利用したオンライン認証を実行することができない。

図６は認証制御システムＳＴのブロック図の一例である。

まず、携帯端末１００について説明する。携帯端末１００は広域通信部１０１、表示制御部１０２、認証制御部１０３、認証部１０４、近接通信部１０５、ＩＤ記憶部１０６、及び秘密鍵記憶部１０７を含んでいる。尚、広域通信部１０１は上述した広域通信回路１００Ｅ及びアンテナ１００Ｅ´によって実現することができる。表示制御部１０２はサービスサーバ２００から配信されたアプリケーションプログラム（以下、サービスアプリという）を上述したＣＰＵ１００Ａが実行することによって実現することができる。認証制御部１０３はＦＩＤＯ認証に準拠したクライアント用アプリケーションプログラム（以下、認証クライアントという）を上述したＣＰＵ１００Ａによって実現することができる。認証部１０４は上述した認証装置１００Ｆによって実現することができる。近接通信部１０５は上述した近接通信回路１００Ｇによって実現することができる。ＩＤ記憶部１０６及び秘密鍵記憶部１０７はＲＡＭ１００Ｂ又はＮＶＭ１００Ｄによって実現することができる。

広域通信部１０１は携帯端末１００とサービスサーバ２００及び認証サーバ３００との広域無線通信を制御する。例えば、広域通信部１０１は表示制御部１０２から出力された種々の情報をサービスサーバ２００及び認証サーバ３００に送信する。また、広域通信部１０１はサービスサーバ２００及び認証サーバ３００から送信された種々の情報を受信して、表示制御部１０２に出力する。

表示制御部１０２はサービスサーバ２００が提供するサービスをディスプレイ１００Ｉ（図３参照）に表示する。例えば、タッチパネル１００Ｈ（図３参照）を利用者１０が操作すると、表示制御部１０２は、サービスの要求を受け付ける第１のサービス画面や薬剤を選択する第２のサービス画面など、種々の画面を表示する。また、表示制御部１０２は受け付けた操作に応じて、広域通信部１０１や認証制御部１０３に種々の指示情報（コマンド）を送信する。

認証制御部１０３は、表示制御部１０２と認証部１０４を仲介するなど、携帯端末１００の認証動作全体を制御する。認証制御部１０３は認証サーバ３００からの要求に従って、認証情報の登録を依頼する認証登録依頼を認証部１０４に送信する。また、認証制御部１０３は携帯端末１００を一時的に識別する第１識別情報を生成し、生成した第１識別情報をＩＤ記憶部１０６に保存するとともに、生成した第１識別情報と共通する（又は同一の）第１識別情報を認証部１０４に送信する。特に、認証制御部１０３は第１識別情報を保存する際、アプリＩＤ及びドローン装置４００を一時的に識別する第２識別情報と対応付けて第１識別情報を保存する。アプリＩＤはサービスアプリを配信するサービスサーバ２００のUniform Resource Locator（ＵＲＬ）である。これにより、図７（ａ）に示すように、ＩＤ記憶部１０６はアプリＩＤ及び第２識別情報と対応付けられた第１識別情報を記憶する。尚、第１識別情報及び第２識別情報はいずれも文字、数字、記号の少なくとも１つを無作為（ランダム）に組み合わせた情報である。第１識別情報、第２識別情報、及び上述したチャレンジは互いに相違する。

認証部１０４は認証制御部１０３から送信された認証登録依頼を受信すると、生体認証画面をディスプレイ１００Ｉ（図３参照）に表示する。また、認証部１０４は認証制御部１０３から送信された利用者１０本人を確認するための本人確認要求を受信すると、生体認証画面をディスプレイ１００Ｉ（図３参照）に表示する。例えば、虹彩認証の場合には、認証部１０４は虹彩認証を促すメッセージを含む生体認証画面を表示する。

認証部１０４は利用者１０の虹彩を生体情報として取得し、取得した生体情報と予め登録された生体情報とを照合し、利用者１０の本人確認を行う。認証部１０４は利用者１０の本人確認が成功すると、情報を暗号化するための認証鍵として有効期限が付与された秘密鍵と公開鍵のペアを生成し、秘密鍵を秘密鍵記憶部１０７に保存する。特に、認証部１０４は秘密鍵を保存する際、アプリＩＤと対応付けて秘密鍵を保存する。これにより、図７（ｂ）に示すように、秘密鍵記憶部１０７はアプリＩＤと対応付けられた秘密鍵を記憶する。

一方、認証部１０４は認証制御部１０３から送信された第１識別情報を秘密鍵で暗号化して電子署名を生成し、利用者１０を識別するユーザＩＤと公開鍵と電子署名とを認証サーバ３００に向けて送信する。ユーザＩＤと公開鍵と電子署名は認証部１０４から認証制御部１０３、表示制御部１０２、広域通信部１０１、携帯基地局ＢＳ、及び通信ネットワークＮＷを介して、サービスサーバ２００に到達する。サービスサーバ２００はユーザＩＤと公開鍵と電子署名とをドローン装置４００に送信する。一方、サービスサーバ２００は、電子署名を認証サーバ３００に送信せずに、ユーザＩＤと公開鍵とを認証サーバ３００に送信する。これにより、公開鍵は認証サーバ３００に到達する。尚、本実施形態では、公開鍵暗号方式を利用するが、共通鍵暗号方式であってもよい。

近接通信部１０５は後述するドローン装置４００の近接通信部４０８と通信し、ドローン装置４００が保持する第１識別情報を取得する。上述したように、第１識別情報は携帯端末１００を一時的に識別する情報である。また、近接通信部１０５は携帯端末１００が保持する第２識別情報をドローン装置４００に向けて送信する。上述したように、第２識別情報はドローン装置４００を一時的に識別する情報である。近接通信部１０５は第１識別情報を取得すると、取得した第１識別情報を認証制御部１０３に向けて送信する。これにより、認証制御部１０３はＩＤ記憶部１０６が記憶する第１識別情報と取得した第１識別情報とを照合し、照合結果を検証することができる。

次に、サービスサーバ２００について説明する。サービスサーバ２００は通信部２０１、サービス提供部２０２、ユーザ情報記憶部２０３、及び接続設定部２０４を含んでいる。尚、通信部２０１は上述したネットワークＩ／Ｆ２００Ｄによって実現することができる。サービス提供部２０２及び接続設定部２０４は搬送サービスを提供するアプリケーションプログラムを上述したＣＰＵ１００Ａが実行することによって実現することができる。ユーザ情報記憶部２０３はＲＡＭ２００Ｂ又はＨＤＤ２００Ｅによって実現することができる。

通信部２０１はサービスサーバ２００と携帯端末１００、認証サーバ３００、及びドローン装置４００との通信を制御する。例えば、通信部２０１は携帯端末１００、認証サーバ３００、及びドローン装置４００に向けて各種の情報を送信する。また、通信部２０１は携帯端末１００、認証サーバ３００、及びドローン装置４００から送信された各種の情報を受信する。

サービス提供部２０２はサービスアプリを管理し、通信部２０１がサービスアプリの配信を携帯端末１００から受け付けると、サービスアプリを携帯端末１００に配信する。また、サービス提供部２０２は薬剤の搬送サービスを受け付ける第１のＷｅｂページや薬剤を選択するための第２のＷｅｂページを管理する。通信部２０１が第１のＷｅｂページの閲覧要求を受け付けると、サービス提供部２０２は第１のＷｅｂページを配信し、第２のＷｅｂページの閲覧要求を受け付けると、サービス提供部２０２は第２のＷｅｂページを配信する。

ユーザ情報記憶部２０３はユーザ情報を記憶する。ユーザ情報は、図８（ａ）に示すように、ユーザＩＤ、利用者１０の氏名及び位置情報のほか、利用者１０の生年月日、性別、資格といった各種の属性を含んでいる。例えば、利用者１０が薬剤の搬送を依頼した場合、サービス提供部２０２はユーザ情報記憶部２０３を確認し、利用者１０が搬送対象の薬剤を取り扱える資格を有するものであるか否かを判断する。

接続設定部２０４はサービス提供部２０２から送信された搬送依頼を受け付けると、サービス提供部２０２による制御に基づいて、ドローン装置４００に対し、通信接続に関する各種の接続情報を設定する。より詳しくは、接続設定部２０４は接続情報を通信部２０１に出力し、通信部２０１が接続情報をドローン装置４００に向けて送信する。尚、詳細は後述するが、接続情報は、Service Set Identifier（ＳＳＩＤ）、パスコード（又はパスワード）、有効期限、サービスサーバ２００のＵＲＬ、Dynamic Host Configuration Protocol（ＤＨＣＰ）サーバのＩＰアドレス、デフォルトGateway（ＧＷ）のＩＰアドレス、Domain Name System（ＤＮＳ）サーバのＩＰアドレスなどを含んでいる。

次に、認証サーバ３００について説明する。認証サーバ３００は通信部３０１、検証部３０２、公開鍵記憶部３０３、及び複製鍵送信部３０４を含んでいる。尚、通信部２０１は上述したネットワークＩ／Ｆ２００Ｄによって実現することができる。検証部３０２及び複製鍵送信部３０４はオンライン認証サービスを提供するアプリケーションプログラムを上述したＣＰＵ１００Ａが実行することによって実現することができる。公開鍵記憶部３０３はＲＡＭ２００Ｂ又はＨＤＤ２００Ｅによって実現することができる。

通信部３０１は認証サーバ３００と携帯端末１００、サービスサーバ２００、及びドローン装置４００との通信を制御する。例えば、通信部３０１は携帯端末１００、サービスサーバ２００、及びドローン装置４００に向けて各種の情報を送信する。また、通信部３０１は携帯端末１００、サービスサーバ２００、及びドローン装置４００から送信された各種の情報を受信する。

検証部３０２は通信部３０１がサービスサーバ２００を経由した公開鍵を受信すると、公開鍵を公開鍵記憶部３０３に保存する。これにより、図８（ｂ）に示すように、公開鍵記憶部３０３は公開鍵を記憶する。特に、公開鍵は、ユーザＩＤと対応付けられるが、認証登録依頼に基づいているため、この時点ではチャレンジは対応付けられない。既に登録された公開鍵を用いて利用者１０の本人確認を行う場合、検証部３０２はチャレンジを生成し、生成したチャレンジをその公開鍵に対応付けて保存する。

複製鍵送信部３０４は、検証部３０２からの送信指示に基づいて、対象ユーザの公開鍵を公開鍵記憶部３０３から取得して複製し、複製した公開鍵を複製鍵としてドローン装置４００に向けて送信する。より詳しくは、複製鍵送信部３０４は、複製した公開鍵を通信部３０１に出力し、通信部３０１がドローン装置４００に向けて送信する。

次に、ドローン装置４００について説明する。ドローン装置４００は近距離通信部４０１、一時検証部４０２、エントリ部４０３、ドローン制御部４０４、及び複製鍵記憶部４０５を構成要素として含んでいる。特に、ドローン制御部４０４は利用者１０を認証する認証処理を実行する認証処理部と、認証処理以外の処理である非認証処理を実行する非認証処理部とを含んでいる。非認証処理は、開閉スイッチ４００Ｅや駆動回路４００Ｇの制御といった処理である。また、ドローン装置４００は接続部４０６、ルータ部４０７、近接通信部４０８、認証制御部４０９、及びＩＤ記憶部４１０を構成要素として含んでいる。尚、一時検証部４０２及びドローン制御部４０４は処理部の一例であるが、処理部に一時検証部４０２及びドローン制御部４０４以外の構成要素を含めてもよい。また、複製鍵記憶部４０５は記憶部の一例であるが、記憶部に複製鍵記憶部４０５以外の構成要素を含めてもよい。

尚、近距離通信部４０１は上述した近距離通信回路４００Ｃによって実現することができる。近接通信部４０８は上述した近接通信回路４００Ｄによって実現することができる。一時検証部４０２、エントリ部４０３、ドローン制御部４０４、複製鍵記憶部４０５、接続部４０６、ルータ部４０７、認証制御部４０９、及びＩＤ記憶部４１０は組込回路４００ＡとＮＶＭ４００Ｂによって実現することができる。

特に、ドローン制御部４０４の認証処理部は組込回路４００ＡのＲＯＭに記憶されたプログラムを組込回路４００ＡのＣＰＵが実行するによって実現することができる。一方、ドローン制御部４０４の非認証処理部はＮＶＭ４００Ｂに記憶されたプログラムを組込回路４００ＡのＣＰＵが実行するによって実現することができる。このように、ドローン制御部４０４の認証処理部はＲＯＭに記憶されたプログラムによって実現されるため、アクセス先の変更といったプログラムの内容の変更は困難である。

一方、ドローン制御部４０４の非認証処理部はＮＶＭ４００Ｂに記憶されたプログラムによって実現される。このため、ドローン装置４００がサービス基地ＳＢに滞在している状態で、ＮＶＭ４００Ｂがサービスに限定した制御プログラムをサービスサーバ２００から受信すれば、ドローン装置４００が有する機能を限定することができる。例えば、制御プログラムにより目的に応じてドローン装置４００の機能を変更したり、制御プログラムにより不必要な機能の使用を制限したりすることで、ドローン装置４００を安全に運用することができる。

近距離通信部４０１はドローン装置４００とサービスサーバ２００及び認証サーバ３００との通信を制御する。例えば、近距離通信部４０１は情報の種類に応じてサービスサーバ２００又は認証サーバ３００に各種の情報を送信する。近距離通信部４０１はサービスサーバ２００及び認証サーバ３００から送信された各種の情報を受信する。

一時検証部４０２は近距離通信部４０１がサービスサーバ２００から送信された公開鍵と電子署名を受信すると、公開鍵と電子署名を認証制御部４０９に向けて出力する。一方、一時検証部４０２は近距離通信部４０１が認証サーバ３００から送信されたユーザＩＤと複製鍵を受信すると、ユーザＩＤと複製鍵を複製鍵記憶部４０５に保存する。これにより、図９（ａ）に示すように、複製鍵記憶部４０５は、複製鍵を記憶する。尚、保存直後には、複製鍵にはチャレンジは対応付けられていない。利用者１０の本人確認を行う際に一時検証部４０２がチャレンジを生成し、生成したチャレンジを、複製鍵に対応付けて保存する。尚、基本的に、一時検証部４０２の機能は認証サーバ３００の検証部３０２の機能と共通する。

エントリ部４０３はドローン制御部４０４からの要求に基づいて、一時検証部４０２に利用者１０の本人確認を依頼したり、複製鍵の削除を依頼したりする。尚、基本的に、エントリ部４０３の機能はサービスサーバ２００の機能が共通する。

ドローン制御部４０４は利用者１０を認証する。例えば、ドローン制御部４０４は、エントリ部４０３への接続が接続部４０６から許可されると、接続部４０６及びルータ部４０７を介して、エントリ部４０３に各種の情報を送信する。また、ドローン制御部４０４は、エントリ部４０３への接続が接続部４０６から許可されると、エントリ部４０３から送信された各種の情報を、ルータ部４０７及び接続部４０６を介して、受信する。これら各種の情報の送受信によりドローン制御部４０４は利用者１０を認証する。尚、ドローン制御部４０４はドローン装置４００が飛行を停止すると、第２内部バス４００Ｋ（図５参照）から第１内部バス４００Ｆ（図５参照）に電源スイッチ４００Ｊ（図５参照）を切り替える。また、ドローン制御部４０４は利用者１０に認証が成功すると、開閉スイッチ４００Ｅ（図５参照）を解錠する。

ルータ部４０７は接続部４０６から参照されるアクセスポイントである。ルータ部４０７は近距離通信部４０１が接続情報を受信すると、受信した接続情報を取得して保持する。これにより、ルータ部４０７に接続情報が設定される。ルータ部４０７が保持する接続情報は、図１０（ａ）に示すように、ＳＳＩＤ、パスコード、有効期限、ＵＲＬ、ＤＨＣＰサーバのＩＰアドレス、デフォルトＧＷのＩＰアドレス、ＤＮＳサーバのＩＰアドレスを含んでいる。すなわち、接続情報は経路設定に要する種々の情報を含んでいる。

接続部４０６は近距離通信部４０１が接続情報を受信すると、受信した接続情報の一部を取得して保持する。これにより、接続部４０６に接続情報が設定される。例えば、近距離通信部４０１が受信した接続情報が、図１０（ｂ）に示すように、ルータ部４０７への接続を表す場合、接続部４０６は有線通信又は無線通信によりルータ部４０７に接続する。一方、近距離通信部４０１が受信した接続情報がアクセスポイントＡＰへの接続を表す場合、接続部４０６は近距離通信部４０１に接続する。これにより、サービス基地ＳＢのアクセスポイントＡＰとドローン装置４００が無線通信ＷＬ２により接続される。このように、接続部４０６は、接続情報に基づいて、アクセス先を変更して接続する。

近接通信部４０８は携帯端末１００の近接通信部１０５と通信し、携帯端末１００が保持する第２識別情報を取得する。また、近接通信部４０８はドローン装置４００が保持する第１識別情報を携帯端末１００に向けて送信する。近接通信部４０８は第２識別情報を取得すると、取得した第２識別情報を認証制御部４０９に向けて送信する。これにより、認証制御部４０９はＩＤ記憶部４１０が記憶する第２識別情報と取得した第２識別情報とを照合し、照合結果を検証することができる。

認証制御部４０９は、ドローン制御部４０４と近接通信部４０８を仲介するなど、ドローン装置４００の認証動作全体を制御する。また、認証制御部４０９は一時検証部４０２から送信された公開鍵と電子署名を受信すると、電子署名を公開鍵で復号して第１識別情報を復元し、その後、第２識別情報を生成する。認証制御部４０９は復元した第１識別情報と生成した第２識別情報を対応付けてＩＤ記憶部４１０に保存し、その後、生成した第２識別情報と共通する（又は同一の）第２識別情報をドローン制御部４０４に送信する。特に、認証制御部４０９は第２識別情報を保存する際、アプリＩＤと対応付けて第１識別情報及び第２識別情報を保存する。これにより、図９（ｂ）に示すように、ＩＤ記憶部４１０はアプリＩＤと対応付けられた第１識別情報及び第２識別情報を記憶する。

次に、認証制御システムＳＴの動作について説明する。

図１１は搬送依頼時の処理の一例を示す処理シーケンス図（その１）である。図１２は搬送依頼時の処理の一例を示す処理シーケンス図（その２）である。図１３は搬送依頼時の処理の一例を示す処理シーケンス図（その３）である。図１４（ａ）乃至（ｄ）は搬送依頼時の携帯端末１００に表示される画面の一例である。尚、図１１乃至図１３は対応する記号「Ａ１」などにより連続している。

まず、図１１に示すように、携帯端末１００の表示制御部１０２はサービスサーバ２００に搬送依頼を送信する（ステップＳ１０１）。より詳しくは、利用者１０がタッチパネル１００Ｈ（図３参照）に対してサービスアプリを起動する操作を行うと、表示制御部１０２は広域通信部１０１を介してサービスサーバ２００のサービス提供部２０２にアクセスする。そして、表示制御部１０２はサービス提供部２０２が管理する複数のＷｅｂページの中から薬剤搬送サービスを開始するための第１のＷｅｂページを、広域通信部１０１を介して取得し、第１のＷｅｂページに応じた第１のサービス画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１４（ａ）に示すように、携帯端末１００は第１のサービス画面を表示する。

利用者１０は、第１のサービス画面に対し、ユーザＩＤを入力し、依頼ボタンＢＴ１を押下する操作を行うと、表示制御部１０２は広域通信部１０１を介して入力されたユーザＩＤで再びサービスサーバ２００のサービス提供部２０２にアクセスする。そして、表示制御部１０２はサービス提供部２０２が管理する複数のＷｅｂページの中から薬剤を選択するための第２のＷｅｂページを、広域通信部１０１を介して取得し、第２のＷｅｂページに応じた第２のサービス画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１４（ｂ）に示すように、携帯端末１００は第２のサービス画面を表示する。

第２のサービス画面は第１のサービス画面に対して入力されたユーザＩＤ及び搬送対象の薬剤を選択する複数のチェックボックスＢＸ１，ＢＸ２，ＢＸ３を含んでいる。利用者１０は複数のチェックボックスＢＸ１，ＢＸ２，ＢＸ３の少なくとも１つをチェックする操作を行い、ＯＫボタンＢＴ２を押下する操作を行うと、表示制御部１０２は広域通信部１０１を介してサービスサーバ２００に搬送依頼を送信する。搬送依頼はユーザＩＤと選択した薬剤の名称を含んでいる。したがって、例えば、図１４（ｂ）に示すように、薬剤「薬Ａ２」及び薬剤「薬Ｃ３」が選択された場合、搬送依頼はユーザＩＤと薬Ａ２及び薬Ｃ３とを含んでいる。

ステップＳ１０１の処理が完了すると、次いで、サービスサーバ２００は認証サーバ３００に認証情報登録依頼を送信する（ステップＳ１０２）。より詳しくは、サービスサーバ２００のサービス提供部２０２は表示制御部１０２からの要求を受信するまで待機する。そして、サービス提供部２０２は受信した要求が搬送依頼である場合、搬送依頼に含まれるユーザＩＤに基づいてユーザ情報記憶部２０３を検索する。サービス提供部２０２は搬送依頼に含まれるユーザＩＤを含むユーザ情報を特定すると、特定したユーザ情報に搬送依頼に含まれる薬剤名を対応付けて保存する。サービス提供部２０２は薬剤名を保存した後、通信部２０１を介して、認証サーバ３００にユーザＩＤとサービスサーバ２００のＵＲＬを含む認証情報登録依頼を送信する。

ステップＳ１０２の処理が完了すると、次いで、認証サーバ３００は認証鍵をチェックし（ステップＳ１０３）、認証登録依頼をサービスサーバ２００に送信する（ステップＳ１０４）。より詳しくは、認証サーバ３００の検証部３０２はサービス提供部２０２からの要求を受信するまで待機する。そして、検証部３０２は受信した要求が認証情報登録依頼である場合、認証情報登録依頼からユーザＩＤを抽出し、抽出したユーザＩＤと共通するユーザＩＤを含む情報（以下、エントリという）が公開鍵記憶部３０３に存在するか否かにより認証鍵の有無をチェックする。検証部３０２は抽出したユーザＩＤと共通するユーザＩＤを含むエントリが存在しないと判断した場合、抽出したユーザＩＤを含むエントリを新たに生成して公開鍵記憶部３０３に保存する。その後、検証部３０２は、通信部３０１を介して、ユーザＩＤとサービスサーバ２００のＵＲＬで表されるアプリＩＤを含む認証登録依頼をサービスサーバ２００に送信する。

ステップＳ１０４の処理が完了すると、次いで、サービスサーバ２００は認証登録依頼を表示制御部１０２に送信する（ステップＳ１０５）。より詳しくは、サービスサーバ２００のサービス提供部２０２は自身が送信した認証情報登録依頼に対する応答を受信するまで待機し、応答が認証登録依頼である場合、認証登録依頼を、通信部２０１を介して、表示制御部１０２に送信する。

ステップＳ１０５の処理が完了すると、次いで、表示制御部１０２は認証登録依頼を認証制御部１０３に送信する（ステップＳ１０６）。より詳しくは、表示制御部１０２は自身が送信した搬送依頼に対する応答を受信するまで待機し、応答が認証登録依頼である場合、認証登録依頼を認証制御部１０３に送信する。尚、認証登録依頼が認証登録依頼の開始を利用者１０に通知する所定の画面を生成する情報を含む場合、認証登録依頼を認証制御部１０３に送信する前に、表示制御部１０２は当該情報に基づいて所定の画面をディスプレイ１００Ｉ（図３参照）に表示してもよい。

ステップＳ１０６の処理が完了すると、次いで、認証制御部１０３は第１識別情報を生成し、生成した第１識別情報をＩＤ記憶部１０６に保存する（ステップＳ１０７）。より詳しくは、認証制御部１０３は表示制御部１０２からの要求を受信するまで待機する。そして、認証制御部１０３は受信した要求が認証登録依頼である場合、第１識別情報を生成して認証登録依頼からアプリＩＤを抽出し、生成した第１識別情報と抽出したアプリＩＤとを対応付けてＩＤ記憶部１０６に保存する。これにより、ＩＤ記憶部１０６は第１識別情報とアプリＩＤの組み合わせを記憶する（図７（ａ）参照）。尚、この時点ではまだ、第１識別情報とアプリＩＤの組み合わせには第２識別情報と対応付けられていない。

ステップＳ１０７の処理が完了すると、次いで、認証制御部１０３は認証部１０４に認証登録依頼を送信する（ステップＳ１０８）。より詳しくは、認証制御部１０３は生成した第１識別情報とアプリＩＤとユーザＩＤとを含む認証登録依頼を送信する。認証制御部１０３は認証登録依頼を送信した後、認証部１０４からの応答を受信するまで待機する。

ステップＳ１０８の処理が完了すると、次いで、認証部１０４は生体認証画面を表示し、認証鍵を生成する（ステップＳ１０９）。より詳しくは、認証部１０４は要求を受信するまで待機する。そして、認証部１０４は受信した要求が認証登録依頼である場合、生体認証画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１４（ｃ）に示すように、携帯端末１００は生体認証画面を表示する。

ここで、利用者１０が自身の目を生体認証センサ（例えばカメラ）１００Ｆ－１に向けると、認証部１０４は、図１４（ｃ）に示すように、生体認証画面に利用者１０の目を携帯端末１００に表示し、利用者１０の虹彩を生体情報として取得する。認証部１０４は自身が記憶する生体情報と、取得した生体情報とを照合し、２つの生体情報を照合した結果、利用者１０本人であると判断できた場合、秘密鍵と公開鍵のペアを認証鍵として生成する。その後、認証部１０４は認証登録依頼に含まれるアプリＩＤを抽出し、生成した秘密鍵とアプリＩＤとを対応付けて秘密鍵記憶部１０７に保存する。これにより、秘密鍵記憶部１０７は秘密鍵をアプリＩＤと対応付けて記憶する（図７（ｂ）参照）。

図１２に移り、ステップＳ１０９の処理が完了すると、認証部１０４は認証登録結果を認証制御部１０３に送信する（ステップＳ１１０）。より詳しくは、認証部１０４は第１識別情報を秘密鍵で暗号化した電子署名を生成し、生成した電子署名と生成した公開鍵とユーザＩＤとを含む認証登録結果を送信する。認証部１０４は認証登録結果を送信すると、再び、要求を受信するまで待機する。

ステップＳ１１０の処理が完了すると、次いで、認証制御部１０３は認証登録結果を表示制御部１０２に送信する（ステップＳ１１１）。より詳しくは、認証制御部１０３は受信した応答が認証登録結果であるか否かを判断し、認証登録結果である場合、認証登録結果を送信する。認証制御部１０３は認証登録結果を送信すると、再び、要求を受信するまで待機する。

ステップＳ１１１の処理が完了すると、次いで、表示制御部１０２は認証登録結果をサービスサーバ２００に送信する（ステップＳ１１２）。より詳しくは、表示制御部１０２は受信した応答が認証登録結果であるか否かを判断し、認証登録結果である場合、広域通信部１０１を介して、認証登録結果を送信する。認証制御部１０３は認証登録結果を送信すると、サービスサーバ２００からの応答を受信するまで待機する。

ステップ１１２の処理が完了すると、次いで、サービスサーバ２００は認証登録結果を認証サーバ３００に送信する（ステップＳ１１３）。より詳しくは、サービスサーバ２００のサービス提供部２０２は受信した要求が認証登録結果である場合、通信部２０１を介して、認証登録結果を認証サーバ３００に送信し、認証サーバ３００からの応答を受信するまで待機する。

ステップＳ１１３の処理が完了すると、次いで、認証サーバ３００は認証鍵を保存する（ステップＳ１１４）。より詳しくは、認証サーバ３００の検証部３０２は受信した要求が認証登録結果である場合、認証登録結果に含まれるユーザＩＤと認証鍵の１つである公開鍵とを抽出する。そして、検証部３０２は抽出したユーザＩＤに基づいて公開鍵記憶部３０３を検索し、抽出したユーザＩＤを含むエントリに抽出した公開鍵を対応付けて公開鍵記憶部３０３に保存する。尚、抽出したユーザＩＤを含むエントリはステップＳ１０３の処理で生成されている。これにより、公開鍵記憶部３０３はユーザＩＤと公開鍵の組み合わせを含むエントリを記憶する（図８（ｂ）参照）。尚、この時点ではまだ、この組み合わせにチャレンジは対応付けられていない。

ステップＳ１１４の処理が完了すると、認証サーバ３００は認証登録結果を一時検証部４０２に送信する（ステップＳ１１５）。より詳しくは、認証サーバ３００の検証部３０２は認証鍵の１つである公開鍵を保存し終えると、複製鍵送信部３０４に公開鍵の送信指示を出力する。複製鍵送信部３０４は検証部３０２から送信指示が出力されると、認証登録結果に含まれるユーザＩＤと対応付けられた公開鍵を公開鍵記憶部３０３から抽出して複製する。複製鍵送信部３０４は公開鍵を複製すると、ユーザＩＤと複製鍵を含む認証登録結果をドローン装置４００の一時検証部４０２に通信部３０１を介して送信する。

ステップＳ１１５の処理が完了すると、次いで、一時検証部４０２は複製鍵を保存し（ステップＳ１１６）、保存し終えると、登録完了を認証サーバ３００に送信する（ステップＳ１１７）。より詳しくは、一時検証部４０２は近距離通信部４０１を介して認証登録結果を受信すると、認証登録結果に含まれるユーザＩＤと複製鍵とを抽出し、ユーザＩＤと複製鍵とを対応付けて複製鍵記憶部４０５に保存する。これにより、複製鍵記憶部４０５はユーザＩＤと複製鍵の組み合わせを記憶する（図９（ａ）参照）。尚、この時点ではまだ、この組み合わせにチャレンジは対応付けられていない。ステップＳ１１６の処理が完了すると、一時検証部４０２は認証登録結果に対する登録完了を認証サーバ３００に送信する。

ステップＳ１１７の処理が完了すると、次いで、認証サーバ３００は登録完了をサービスサーバ２００に送信する（ステップＳ１１８）。より詳しくは、認証サーバ３００の複製鍵送信部３０４は通信部３０１を介して登録完了を受信すると、通信部３０１を介して、認証登録結果に対する登録完了をサービス提供部２０２に送信する。

ステップＳ１１８の処理が完了すると、次いで、サービスサーバ２００は接続設定要求を接続部４０６に送信する（ステップＳ１１９）。より詳しくは、サービスサーバ２００のサービス提供部２０２は通信部２０１が登録完了を受信すると、接続情報を生成し、生成した接続情報を含む接続設定要求を、通信部２０１を介して接続部４０６に送信する。サービス提供部２０２は接続設定要求を送信すると、接続設定応答を受信するまで待機する。尚、接続情報は、ＳＳＩＤ、パスコード、有効期限、サービスサーバ２００のＵＲＬ、ＤＨＣＰサーバのＩＰアドレス、デフォルトＧＷのＩＰアドレス、及びＤＮＳサーバのＩＰアドレスを含んでいる。

ステップＳ１１９の処理が完了すると、次いで、接続部４０６は接続情報を設定する（ステップＳ１２０）。より詳しくは、図１０（ｂ）に示すように、接続部４０６は接続情報に含まれるＳＳＩＤとパスコードと有効期限とを保持する。これにより、接続部４０６に接続情報の設定が完了する。ステップＳ１２０の処理が完了すると、接続部４０６は接続設定応答をサービスサーバ２００に送信する（ステップＳ１２１）。

図１３に移り、ステップＳ１２１の処理が完了すると、次いで、サービスサーバ２００は接続設定要求をルータ部４０７に送信する（ステップＳ１２２）。より詳しくは、サービスサーバ２００のサービス提供部２０２は通信部２０１が１度目の接続設定応答を受信すると、ステップＳ１１９の処理で生成した接続情報を含む接続設定要求を、通信部２０１を介して送信する。サービス提供部２０２は接続設定要求を送信すると、２度目の接続設定応答を受信するまで待機する。

ステップＳ１２２の処理が完了すると、次いで、ルータ部４０７は接続情報を設定する（ステップＳ１２３）。より詳しくは、図１０（ａ）に示すように、ルータ部４０７は接続情報に含まれるＳＳＩＤやパスコード、サービスサーバ２００のＵＲＬなどを保持する。これにより、接続部４０６に接続情報の設定が完了する。ステップＳ１２３の処理が完了すると、接続部４０６は接続設定応答をサービスサーバ２００に送信する（ステップＳ１２４）。

ステップＳ１２４の処理が完了すると、次いで、サービスサーバ２００は認証登録結果を認証制御部４０９に送信する（ステップＳ１２５）。より詳しくは、サービスサーバ２００のサービス提供部２０２は、アプリＩＤと公開鍵と電子署名とを含む認証登録結果を、通信部２０１を介して、認証制御部４０９に送信する。認証登録結果に含まれる電子署名は暗号化された第１識別情報である。サービス提供部２０２は認証登録結果を送信すると、登録完了を受信するまで待機する。

ステップＳ１２５の処理が完了すると、次いで、認証制御部４０９は第１識別情報を保存し、第２識別情報を生成して保存する（ステップＳ１２６）。より詳しくは、認証制御部４０９は近距離通信部４０１が認証登録結果を受信すると、認証登録結果に含まれる電子署名と公開鍵とアプリＩＤとを抽出する。認証制御部４０９は電子署名と公開鍵とを抽出すると、電子署名を公開鍵で復号する。これにより、第１識別情報が復元する。第１識別情報が復元すると、認証制御部４０９は第２識別情報を生成し、生成した第２識別情報と復元した第１識別情報とアプリＩＤとを対応付けてＩＤ記憶部４１０に保存する。これにより、ＩＤ記憶部４１０はアプリＩＤと第１識別情報と第２識別情報の組み合わせを記憶する（図９（ｂ）参照）。

ステップＳ１２６の処理が完了すると、次いで、認証制御部４０９はサービスサーバ２００に登録完了を送信する（ステップＳ１２７）。より詳しくは、認証制御部４０９はアプリＩＤと生成した第２識別情報とを含む登録完了を送信する。

ステップＳ１２７の処理が完了すると、次いで、サービスサーバ２００は表示制御部１０２に認証情報登録応答を送信する（ステップＳ１２８）。より詳しくは、通信部２０１が登録完了を受信すると、サービスサーバ２００のサービス提供部２０２は登録完了に含まれるアプリＩＤと第２識別情報を抽出し、抽出したアプリＩＤと第２識別情報を含む認証情報登録応答を、通信部２０１を介して送信する。

ステップＳ１２８の処理が完了すると、次いで、表示制御部１０２は第２識別情報の保存依頼を認証制御部１０３に送信する（ステップＳ１２９）。より詳しくは、表示制御部１０２は広域通信部１０１が認証情報登録応答を受信すると、認証情報登録応答に含まれるアプリＩＤと第２識別情報を抽出し、抽出したアプリＩＤと第２識別情報とを含む保存依頼を送信する。

ステップＳ１２９の処理が完了すると、次いで、認証制御部１０３は第２識別情報を保存する（ステップＳ１３０）。より詳しくは、認証制御部１０３は保存依頼に含まれるアプリＩＤと第２識別情報を抽出し、抽出したアプリＩＤに基づいてＩＤ記憶部１０６を検索する。そして、認証制御部１０３は抽出したアプリＩＤと共通するアプリＩＤと対応付けられた第１識別情報に、抽出した第２識別情報を対応付けてＩＤ記憶部１０６に保存する。これにより、ＩＤ記憶部１０６はアプリＩＤと第１識別情報と第２識別情報の組み合わせを記憶する（図７（ａ）参照）。

ステップＳ１３０の処理が完了すると、次いで、認証制御部１０３は第２識別情報の保存応答を表示制御部１０２に送信する（ステップＳ１３１）。表示制御部１０２は保存応答を受信すると、受付完了画面をディスプレイ１００Ｉに表示する。これにより、図１４（ｄ）に示すように、携帯端末１００は受付完了画面を表示する。一方、ドローン装置４００には作業者による操作に基づいて利用者１０の位置情報が設定される。利用者１０の位置情報はサービスサーバ２００のユーザ情報記憶部２０３から取得すればよい。作業者はドローン装置４００に対して飛行指示を命令すると、ドローン装置４００は設定された位置情報を目的地として飛行を開始する。

図１５は利用者認証時の処理の一例を示す処理シーケンス図（その１）である。図１６は利用者認証時の処理の一例を示す処理シーケンス図（その２）である。図１７は利用者認証時の処理の一例を示す処理シーケンス図（その３）である。図１８は利用者認証時の処理の一例を示す処理シーケンス図（その４）である。図１９（ａ）乃至（ｄ）は利用者認証時の携帯端末１００に表示される画面の一例である。尚、図１５乃至図１８は対応する記号「Ａ５」などにより連続している。

まず、図１５に示すように、携帯端末１００の近接通信部１０５はドローン装置４００の近接通信部４０８に接続要求を送信する（ステップＳ２０１）。より詳しくは、ドローン装置４００は自身に設定された位置情報に基づいて目的地に到着したことを検知すると、降下を開始する。降下が完了すると、電力供給先が切り替わる。一方、サービス提供部２０２はドローン装置４００の到着予定時刻を予め算出し、現在時刻が到着予定時刻と一致すると、表示制御部１０２に向けて、ドローン装置４００の到着を通知する。この結果、表示制御部１０２はドローン装置４００の到着を通知する通知画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１９（ａ）に示すように、携帯端末１００は通知画面を表示する。

表示制御部１０２は通知画面を所定時間表示した後、携帯端末１００をドローン装置４００に近づけることを促す通信試行開始画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１９（ｂ）に示すように、携帯端末１００は通信試行開始画面を表示する。利用者１０が通信試行開始画面を確認し、携帯端末１００の近接通信部１０５とドローン装置４００の近接通信部４０８を近づけると、近接通信部１０５はユーザＩＤとアプリＩＤを含む接続要求をドローン装置４００の近接通信部４０８に送信し、通信路の確立を試行する。

ステップＳ２０１の処理が完了すると、次いで、近接通信部４０８は認証制御部４０９にＩＤ取得依頼を送信する（ステップＳ２０２）。より詳しくは、近接通信部４０８は接続要求を受信すると、接続要求からアプリＩＤを抽出し、抽出したアプリＩＤを含むＩＤ取得依頼を送信する。

ステップＳ２０２の処理が完了すると、次いで、認証制御部４０９は第１識別情報と第２識別情報を取得する（ステップＳ２０３）。より詳しくは、認証制御部４０９はＩＤ取得依頼を受信すると、ＩＤ取得依頼に含まれるアプリＩＤに基づいて、ＩＤ記憶部４１０を検索する。認証制御部４０９はＩＤ取得依頼に含まれるアプリＩＤと対応付けられた第１識別情報及び第２識別情報をＩＤ記憶部４１０から取得する。

ステップＳ２０３の処理が完了すると、次いで、認証制御部４０９はＩＤ１確認依頼を近接通信部４０８に送信する（ステップＳ２０４）。より詳しくは、認証制御部４０９はアプリＩＤと第１識別情報を含み、第２識別情報を含まないＩＤ１確認依頼を送信する。一方、認証制御部４０９は後述するＩＤ２確認依頼を受信するまで、第２識別情報を保持する。

ステップＳ２０４の処理が完了すると、次いで、近接通信部４０８は接続応答を近接通信部１０５に送信する（ステップＳ２０５）。より詳しくは、近接通信部４０８はＩＤ１確認依頼を受信すると、ＩＤ１確認依頼に含まれるアプリＩＤと第１識別情報を抽出し、抽出したアプリＩＤと第１識別情報を含む接続応答を送信する。尚、接続応答は近接通信部１０５が送信した接続要求に対する応答である。

ステップＳ２０５の処理が完了すると、次いで、近接通信部１０５はＩＤ１確認依頼を認証制御部１０３に送信する（ステップＳ２０６）。より詳しくは、近接通信部１０５は接続応答を受信すると、接続応答に含まれるアプリＩＤと第１識別情報を抽出し、抽出したアプリＩＤと第１識別情報を含むＩＤ１確認依頼を送信する。

ステップＳ２０６の処理が完了すると、次いで、認証制御部１０３は第１識別情報及び第２識別情報を取得し、第１識別情報の照合結果を検証する（ステップＳ２０７）。より詳しくは、認証制御部１０３はＩＤ１確認依頼を受信すると、ＩＤ１確認依頼に含まれるアプリＩＤと共通するアプリＩＤと対応付けられた第１識別情報及び第２識別情報をＩＤ記憶部１０６から取得する。そして、認証制御部１０３はＩＤ１確認依頼に含まれる第１識別情報と、ＩＤ記憶部１０６から取得した第１識別情報とを照合して、２つの第１識別情報同士の照合結果を検証する。

ステップＳ２０７の処理が完了すると、次いで、認証制御部１０３はＩＤ２確認依頼を近接通信部１０５に送信する（ステップＳ２０８）。より詳しくは、認証制御部１０３は検証した結果、２つの第１識別情報が一致する場合、アプリＩＤと取得した第２識別情報とを含むＩＤ２確認依頼を送信する。

ステップＳ２０８の処理が完了すると、次いで、近接通信部１０５はＩＤ２確認依頼を近接通信部４０８に送信する（ステップＳ２０９）。ステップＳ２０９の処理が完了すると、次いで、近接通信部４０８は認証制御部４０９にＩＤ２確認依頼を送信する（ステップＳ２１０）。

ステップＳ２１０の処理が完了すると、次いで、認証制御部４０９は第２識別情報の照合結果を検証する（ステップＳ２１１）。より詳しくは、認証制御部４０９はＩＤ２確認依頼を受信すると、ＩＤ２確認依頼に含まれる第２識別情報と、ステップＳ２０３の処理で保持した第２識別情報とを照合して、２つの第２識別情報同士の照合結果を検証する。

ステップＳ２１１の処理が完了すると、次いで、認証制御部４０９は近接通信部４０８にＩＤ２確認応答を送信する（ステップＳ２１２）。より詳しくは、認証制御部４０９は検証した結果、２つの第２識別情報同士が一致する場合、ＩＤ２確認応答を送信する。尚、ＩＤ２確認応答はＩＤ２確認依頼に対し、２つの第２識別情報同士が一致したことを表す応答である。

図１６に移り、ステップＳ２１２の処理が完了すると、次いで、近接通信部４０８は近接通信部１０５と近接接続を確立する（ステップＳ２１３）。これにより、近接通信部１０５と近接通信部４０８との間で通信路が確立し、お互いに相手に対し種々の情報を送信することができる。

ステップＳ２１３の処理が完了すると、次いで、近接通信部４０８は接続部４０６に接続依頼を送信する（ステップＳ２１４）。近接通信部４０８が接続部４０６に送信する接続依頼は、接続部４０６とルータ部４０７との接続試行に関する依頼である。ステップＳ２１４の処理が完了すると、次いで、接続部４０６はルータ部４０７に接続試行を送信する（ステップＳ２１５）。より詳しくは、接続部４０６は接続依頼を受信すると、自身に設定されたＳＳＩＤ及びパスコードを含む接続試行をルータ部４０７に送信する。

ステップＳ２１５の処理が完了すると、ルータ部４０７はＵＲＬを割り当てる（ステップＳ２１６）。より詳しくは、ルータ部４０７は接続試行を受信すると、受信した接続試行に含まれるＳＳＩＤ及びパスコードを抽出し、抽出したＳＳＩＤ及びパスコードの組み合わせと、自身に設定されたＳＳＩＤ及びパスコードの組み合わせとを照合する。ルータ部４０７は２つの組み合わせを照合した結果、一致すると判断した場合、自身に設定されたＵＲＬをエントリ部４０３に割り当てる。これにより、エントリ部４０３が疑似的にサービスサーバ２００として示される。

ステップＳ２１６の処理が完了すると、ルータ部４０７は接続応答を接続部４０６に送信する（ステップＳ２１７）。ルータ部４０７が接続部４０６に送信する接続応答は接続部４０６とルータ部４０７との接続が成功し、接続が完了したことを表す応答である。

ステップＳ２１７の処理が完了すると、次いで、接続部４０６は近接通信部４０８に接続応答を送信する（ステップＳ２１８）。ステップＳ２１８の処理が完了すると、次いで、近接通信部４０８は認証制御部４０９に認証依頼を送信する（ステップＳ２１９）。認証依頼はユーザＩＤとアプリＩＤを含んでいる。ステップＳ２１９の処理が完了すると、次いで、認証制御部４０９はドローン制御部４０４に認証依頼を送信する（ステップＳ２２０）。

ステップＳ２２０の処理が完了すると、次いで、ドローン制御部４０４はエントリ部４０３に認証依頼を送信する（ステップＳ２２１）。より詳しくは、ドローン制御部４０４は自身に組み込まれた接続先のＵＲＬを含む認証依頼を送信する。ここで、認証依頼に含まれるＵＲＬは、サービスサーバ２００とエントリ部４０３の両方を表すが、被災地ＤＡにおいてドローン装置４００は通信ネットワークＮＷと通信接続できないため、サービスサーバ２００と通信することができない。一方、ルータ部４０７は接続部４０６と通信接続できるため、ドローン制御部４０４は接続部４０６に認証依頼を送信すれば、エントリ部４０３に接続部４０６及びルータ部４０７を経由した認証依頼を受信することができる。このように、ドローン制御部４０４は認証依頼をエントリ部４０３に間接的に送信することができる。

ステップＳ２２１の処理が完了すると、次いで、エントリ部４０３は一時検証部４０２に認証依頼を送信する（ステップＳ２２２）。ステップＳ２２２の処理が完了すると、次いで、一時検証部４０２はチャレンジを生成する（ステップＳ２２３）。より詳しくは、一時検証部４０２は認証依頼を受信すると、チャレンジを生成して複製鍵記憶部４０５（図９（ａ）参照）に保存する。特に、複製鍵記憶部４０５はステップＳ１１６の処理で保存された複製鍵を記憶しているため、一時検証部４０２は複製鍵記憶部４０５が記憶する複製鍵と対応付けてチャレンジを保存する。

ステップＳ２２３の処理が完了すると、一時検証部４０２は本人確認要求をエントリ部４０３に送信する（ステップＳ２２４）。より詳しくは、一時検証部４０２は認証依頼に含まれるアプリＩＤを抽出し、抽出したアプリＩＤと生成したチャレンジを含む本人確認要求を送信する。ステップＳ２２４の処理が完了すると、エントリ部４０３はドローン制御部４０４に本人確認要求を送信する（ステップＳ２２５）。ルータ部４０７は接続部４０６と通信接続しているため、エントリ部４０３はルータ部４０７と接続部４０６との通信接続を利用してドローン制御部４０４に本人確認要求を間接的に送信することができる。ステップＳ２２５の処理が完了すると、次いで、ドローン制御部４０４は本人確認要求を認証制御部４０９に送信する（ステップＳ２２６）。

図１７に移り、ステップＳ２２６の処理が完了すると、認証制御部４０９は携帯端末１００の認証部１０４に本人確認要求を送信する（ステップＳ２２７）。認証制御部４０９から送信された本人確認要求は近接通信部４０８、携帯端末１００の近接通信部１０５、認証制御部１０３を経由して、認証部１０４に到達する。すなわち、認証制御部４０９は認証部１０４に本人確認要求を間接的に送信することができる。

ステップＳ２２７の処理が完了すると、次いで、認証部１０４は生体認証を実行する（ステップＳ２２８）。より詳しくは、認証部１０４は本人確認要求を受信すると、生体認証画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１９（ｃ）に示すように、携帯端末１００は生体認証画面を表示する。利用者１０が自身の目を生体認証センサ（例えばカメラ）１００Ｆ－１に向けると、認証部１０４は生体認証画面に利用者１０の目を携帯端末１００に表示し、利用者１０の虹彩を生体情報として取得する。認証部１０４は自身が記憶する生体情報と、取得した生体情報とを照合し、生体認証を実行する。

ステップＳ２２８の処理が完了すると、次いで、認証部１０４は本人確認結果をドローン装置４００の認証制御部４０９に送信する（ステップＳ２２９）。より詳しくは、認証部１０４は２つの生体情報を照合した結果、利用者１０本人である判断できた場合、本人確認要求に含まれるチャレンジを抽出し、本人確認要求に含まれるアプリＩＤに応じた秘密鍵を秘密鍵記憶部１０７から取得する。その後、認証部１０４はチャレンジを秘密鍵で暗号化して電子署名を生成する。認証部１０４は電子署名を生成すると、生成した電子署名を含む本人確認結果を認証制御部４０９に間接的に送信する。

ステップＳ２２９の処理が完了すると、次いで、認証制御部４０９はドローン制御部４０４に本人確認結果を送信する（ステップＳ２３０）。ステップＳ２３０の処理が完了すると、次いで、ドローン制御部４０４はエントリ部４０３に本人確認結果を送信する（ステップＳ２３１）。これにより、ドローン制御部４０４は利用者１０の認証を開始する。ステップＳ２３１の処理が完了すると、次いで、エントリ部４０３は一時検証部４０２に本人確認結果を送信する（ステップＳ２３２）。

ステップＳ２３２の処理が完了すると、次いで、一時検証部４０２は確認結果を検証する（ステップＳ２３３）。より詳しくは、一時検証部４０２は本人確認結果に含まれる電子署名を抽出し、複製鍵記憶部４０５から複製鍵とチャレンジとを取得する。そして、一時検証部４０２は電子署名を複製鍵で復号してチャレンジを復元し、取得したチャレンジと復元したチャレンジとを照合して、確認結果を照合する。尚、複製鍵は公開鍵を複製した鍵であるため、電子署名を復号することができる。

ステップＳ２３３の処理が完了すると、次いで、一時検証部４０２は本人確認応答をエントリ部４０３に送信する（ステップＳ２３４）。より詳しくは、一時検証部４０２は２つのチャレンジを照合した結果、利用者１０本人であると認証できた場合、本人確認応答をエントリ部４０３に間接的に送信する。本人確認応答は利用者１０の認証の成功を含んでいる。

ステップＳ２３４の処理が完了すると、次いで、エントリ部４０３は本人確認応答をドローン制御部４０４に送信する（ステップＳ２３５）。ステップＳ２３４の処理が完了すると、次いで、ドローン制御部４０４は電子ロック４００Ｅ´を解錠する（ステップＳ２３６）。より詳しくは、ドローン制御部４０４は本人確認応答を受信すると、利用者１０の認証を終了する。ドローン制御部４０４は電子ロック４００Ｅ´を解錠すると、表示制御部１０２に電子ロック４００Ｅ´の解錠完了を通知する案内通知を送信する。表示制御部１０２は案内通知を受信すると、案内画面をディスプレイ１００Ｉ（図３参照）に表示する。これにより、図１９（ｄ）に示すように、携帯端末１００は案内画面を表示する。したがって、利用者１０は案内画面を確認すれば、利用者１０は搬送箱４５０から薬剤を取り出すことができる。ステップＳ２３６の処理が完了すると、次いで、ドローン制御部４０４はエントリ部４０３に終了要求を送信する（ステップＳ２３７）。

図１８に移り、ステップＳ２３７の処理が完了すると、次いで、エントリ部４０３は一時検証部４０２に鍵削除要求を送信する（ステップＳ２３８）。ステップＳ２３８の処理が完了すると、次いで、一時検証部４０２は複製鍵を削除する（ステップＳ２３９）。より詳しくは、一時検証部４０２は複製鍵記憶部４０５が記憶する複製鍵及び複製鍵と対応付けられたユーザＩＤ、有効期限、及びチャレンジを削除する。これにより、ドローン装置４００から利用者１０に対する認証機能が消失する。

ステップＳ２３９の処理が完了すると、次いで、一時検証部４０２は鍵削除応答をエントリ部４０３に送信する（ステップＳ２４０）。ステップＳ２４０の処理が完了すると、次いで、エントリ部４０３は終了応答をドローン制御部４０４に送信する（ステップＳ２４１）。ステップＳ２４１の処理が完了すると、次いで、ドローン制御部４０４は終了要求を認証制御部４０９に送信する（ステップＳ２４２）。ステップＳ２４２の処理が完了すると、次いで、認証制御部４０９は終了要求を近接通信部４０８に送信する（ステップＳ２４３）。

ステップＳ２４３の処理が完了すると、次いで、近接通信部４０８は近接接続を解除する（ステップＳ２４４）。これにより、近接通信部４０８と近接通信部１０５との通信が切断される。ステップＳ２４４の処理が完了すると、次いで、近接通信部４０８は接続解除依頼を接続部４０６に送信する（ステップＳ２４５）。

ステップＳ２４５の処理が完了すると、次いで、接続部４０６は接続解除依頼をルータ部４０７に送信する（ステップＳ２４６）。接続部４０６は接続解除依頼を送信すると、ルータ部４０７との接続を停止する。ステップＳ２４６の処理が完了すると、次いで、ルータ部４０７は接続を解除する（ステップＳ２４７）。より詳しくは、ルータ部４０７は接続解除依頼を受信すると、接続部４０６との接続を解除する。

ステップＳ２４７の処理が完了すると、ドローン制御部４０４はドローン装置４００が備える完了ボタン（不図示）を押下不可能な状態から押下可能な状態に制御する。利用者１０が完了ボタンを押下すると、ドローン制御部４０４は電子ロック４００Ｅ´の施錠を確認した後、電力供給先を開閉スイッチ４００Ｅ側から駆動回路４００Ｇ側に切り替える。その後、ドローン装置４００は離陸してサービス基地ＳＢに引き返す。

以上、本実施形態によれば、ドローン装置４００は認証サーバ３００との通信状態が変化する。そして、このドローン装置４００は複製鍵記憶部４０５を含んでいる。複製鍵記憶部４０５は利用者１０の携帯端末１００が保持する秘密鍵に対応し、かつ、認証サーバ３００が保持する公開鍵を複製した複製鍵を、ドローン装置４００が認証サーバ３００と通信可能な第１の通信状態で、認証サーバ３００がドローン装置４００に送信することにより、記憶する。

また、このドローン装置４００は一時検証部４０２とドローン制御部４０４とを含んでいる。一時検証部４０２は、ドローン装置４００が認証サーバ３００と通信不可能な第２の通信状態でドローン装置４００と携帯端末１００が通信した場合、チャレンジを携帯端末１００に送信し、携帯端末１００が秘密鍵に基づいてチャレンジを暗号化して返信した電子署名を受信した場合、電子署名を複製鍵に基づいて復号する。ドローン制御部４０４は一時検証部４０２が電子署名を復号することにより、利用者１０を認証する。これにより、ドローン装置４００は認証サーバ３００との通信が不可能な通信状態でも利用者１０を認証することができる。

以上、本発明の好ましい実施形態について詳述したが、本発明に係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。例えば、生体認証に代えて、Personal Identification Number（ＰＩＮ）を利用してもよい。この場合、認証装置１００ＦはＰＩＮの入力装置とＰＩＮとを格納する。また、この場合、認証部１０４は生体認証画面に代えて、ＰＩＮ認証を促すメッセージを含む確認画面を表示する。

さらに、一時検証部４０２は、複製鍵記憶部４０５の複製鍵を削除した後、利用者１０を認証した後の認証結果を複製鍵記憶部４０５に格納し、被災地ＤＡからサービス基地ＳＢに戻った場合に、複製鍵記憶部４０５が記憶する認証結果を認証サーバ３００に保持させてもよい。これにより、ドローン装置４００の運用状況を監査することができる。尚、一時検証部４０２はドローン装置４００が公衆の無線通信ＷＬ２を利用できる状態になったタイミングで認証結果を認証サーバ３００に保持させてもよい。

なお、以上の説明に関して更に以下の付記を開示する。
（付記１）サーバ装置との通信状態が変化する情報処理装置であって、利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記情報処理装置が前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記情報処理装置に送信することにより、記憶する記憶部と、前記情報処理装置が前記サーバ装置と通信不可能な第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する処理を実行する処理部と、を有する情報処理装置。
（付記２）前記処理部は、前記第１の通信状態で、前記端末装置が生成して保持する前記端末装置を識別する第１の識別情報と共通する別の第１の識別情報を受信して保持し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記第１の識別情報を受信し、前記第１の通信状態で受信した前記別の第１の識別情報と前記第２の通信状態で受信した前記第１の識別情報が共通することにより、前記端末装置が前記情報処理装置と対応すると判断する、ことを特徴とする付記１に記載の情報処理装置。
（付記３）前記処理部は、前記第１の通信状態で、前記情報処理装置を識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置を介して送信し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記第２の識別情報を前記端末装置に送信し、前記端末装置は、前記第１の通信状態で受信した前記別の第２の識別情報と前記第２の通信状態で受信した前記第２の識別情報が共通することにより、前記情報処理装置が前記端末装置と対応すると判断する、ことを特徴とする付記１又は２に記載の情報処理装置。
（付記４）電力を供給する供給部と、前記情報処理装置の位置を動かす駆動部をさらに有し、前記供給部は、前記駆動部が停止した場合、前記処理部と前記記憶部に電力を供給する、ことを特徴とする付記１から３のいずれか１項に記載の情報処理装置。
（付記５）前記処理部は、前記利用者を認証した後の認証結果を前記記憶部に格納し、前記第２の通信状態から前記第１の通信状態に戻った場合に、前記認証結果を前記サーバ装置に保持させる、ことを特徴とする付記１から４のいずれか１項に記載の情報処理装置。
（付記６）前記処理部は、前記利用者を認証する認証処理を実行する認証処理部と、前記認証処理以外の処理である非認証処理を実行する非認証処理部と、を含み、前記非認証処理部は、前記第１の通信状態で、前記サーバ装置と異なるサーバ装置から前記非認証処理に応じた制御プログラムを受信する、ことを特徴とする付記１から５のいずれか１項に記載の情報処理装置。
（付記７）前記処理部は、前記利用者を認証する認証処理を実行する認証処理部と、前記認証処理以外の処理である非認証処理を実行する非認証処理部と、を含み、前記認証処理部は、前記情報処理装置から脱着可能である、ことを特徴とする付記１から６のいずれか１項に記載の情報処理装置。
（付記８）利用者の端末装置と、サーバ装置と、前記サーバ装置との通信状態が変化する情報処理装置と、を含む認証制御システムであって、前記情報処理装置は、利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記情報処理装置が前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記情報処理装置に送信することにより、記憶し、前記情報処理装置が前記サーバ装置と通信不可能な第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する、ことを特徴とする認証制御システム。
（付記９）サーバ装置との通信状態が変化するコンピュータに実行させる認証制御プログラムであって、利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記コンピュータが前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記コンピュータに送信することにより、記憶し、前記コンピュータが前記サーバ装置と通信不可能な第２の通信状態で前記コンピュータと前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する、処理を含むことを特徴とする認証制御プログラム。
（付記１０）前記処理は、前記第１の通信状態で、前記端末装置が生成して保持する前記端末装置を識別する第１の識別情報と共通する別の第１の識別情報を受信して保持し、前記第２の通信状態で前記コンピュータと前記端末装置が通信した場合、前記第１の識別情報を受信し、前記第１の通信状態で受信した前記別の第１の識別情報と前記第２の通信状態で受信した前記第１の識別情報が共通することにより、前記端末装置が前記コンピュータと対応すると判断する、ことを特徴とする付記９に記載の認証制御プログラム。
（付記１１）前記処理は、前記第１の通信状態で、前記コンピュータを識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置を介して送信し、前記第２の通信状態で前記コンピュータと前記端末装置が通信した場合、前記第２の識別情報を前記端末装置に送信し、前記端末装置は、前記第１の通信状態で受信した前記別の第２の識別情報と前記第２の通信状態で受信した前記第２の識別情報が共通することにより、前記コンピュータが前記端末装置と対応すると判断する、ことを特徴とする付記９又は１０に記載の認証制御プログラム。
（付記１２）前記コンピュータは電力を供給する供給部と、前記コンピュータの位置を動かす駆動部をさらに有し、前記供給部は、前記駆動部が停止した場合、前記電力の供給先を変更する、ことを特徴とする付記９から１１のいずれか１項に記載の認証制御プログラム。
（付記１３）前記処理は、前記利用者を認証した後の認証結果を記憶部に格納し、前記第２の通信状態から前記第１の通信状態に戻った場合に、前記認証結果を前記記憶部から前記サーバ装置に保持させる、ことを特徴とする付記９から１２のいずれか１項に記載の認証制御プログラム。
（付記１４）前記処理は、前記利用者を認証する認証処理と、前記認証処理以外の処理である非認証処理とを含み、前記非認証処理は、前記第１の通信状態で、前記サーバ装置と異なるサーバ装置から受信した制御プログラムに基づいて実行される、ことを特徴とする付記９から１３のいずれか１項に記載の認証制御プログラム。
（付記１５）前記処理は、前記利用者を認証する認証処理と、前記認証処理以外の処理である非認証処理とを含み、前記認証処理を実行する処理部は、前記コンピュータから脱着可能である、ことを特徴とする付記９から１４のいずれか１項に記載の認証制御プログラム。
（付記１６）前記情報処理装置は、広域通信を行う手段を含まない移動体である、ことを特徴とする付記１に記載の情報処理装置。

ＳＴ 認証制御システム
１００ 携帯端末
２００ サービスサーバ
３００ 認証サーバ
４００ ドローン装置
４０２ 一時検証部
４０４ ドローン制御部
４０５ 複製鍵記憶部

Claims (8)

1. サーバ装置との通信状態が変化する情報処理装置であって、
   利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記情報処理装置が前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記情報処理装置に送信することにより、記憶する記憶部と、
   前記情報処理装置が前記サーバ装置と通信不可能な第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する処理を実行する処理部と、を有 し、
   前記処理部は、前記第１の通信状態で、前記情報処理装置を識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置と異なる別のサーバ装置を介して送信し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記別の第２の識別情報を前記端末装置から受信し、
   前記第２の通信状態で受信した前記別の第２の識別情報と前記処理部が保持する前記第２の識別情報が共通することにより、前記端末装置が前記情報処理装置と対応すると判断する、
   ことを特徴とする 情報処理装置。
2. 前記処理部は、前記第１の通信状態で、前記端末装置が生成して保持する前記端末装置を識別する第１の識別情報と共通する別の第１の識別情報を受信して保持し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記別の第１の識別情報を前記端末装置に送信し、
   前記端末装置は、 前記第２の通信状態で受信した前記別の第１の識別情報と前記端末装置が保持する前記第１の識別情報が共通することにより、前記情報処理装置が前記端末装置と対応すると判断する、
   ことを特徴とする請求項１に記載の情報処理装置。
3. 電力を供給する供給部と、前記情報処理装置の位置を動かす駆動部をさらに有し、
   前記供給部は、前記駆動部が停止した場合、前記処理部と前記記憶部に電力を供給する、
   ことを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記処理部は、前記利用者を認証した後の認証結果を前記記憶部に格納し、前記第２の通信状態から前記第１の通信状態に戻った場合に、前記認証結果を前記サーバ装置に保持させる、
   ことを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
5. 前記処理部は、前記利用者を認証する認証処理を実行する認証処理部と、前記認証処理以外の処理である非認証処理を実行する非認証処理部と、を含み、
   前記非認証処理部は、前記第１の通信状態で、前記サーバ装置と異なる別のサーバ装置から前記非認証処理に応じた制御プログラムを受信する、
   ことを特徴とする請求項１から４のいずれか１項に記載の情報処理装置。
6. 前記処理部は、前記利用者を認証する認証処理を実行する認証処理部と、前記認証処理以外の処理である非認証処理を実行する非認証処理部と、を含み、
   前記認証処理部は、前記情報処理装置から脱着可能である、
   ことを特徴とする請求項１から５のいずれか１項に記載の情報処理装置。
7. 利用者の端末装置と、サーバ装置と、前記サーバ装置との通信状態が変化する情報処理装置と、を含む認証制御システムであって、
   前記情報処理装置は、
   利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記情報処理装置が前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記情報処理装置に送信することにより、記憶し、
   前記情報処理装置が前記サーバ装置と通信不可能な第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証 し、
   前記情報処理装置は、前記第１の通信状態で、前記情報処理装置を識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置と異なる別のサーバ装置を介して送信し、前記第２の通信状態で前記情報処理装置と前記端末装置が通信した場合、前記別の第２の識別情報を前記端末装置から受信し、
   前記第２の通信状態で受信した前記別の第２の識別情報と前記情報処理装置が保持する前記第２の識別情報が共通することにより、前記端末装置が前記情報処理装置と対応すると判断する、
   ことを特徴とする認証制御システム。
8. サーバ装置との通信状態が変化するコンピュータに実行させる認証制御プログラムであって、
   利用者の端末装置が保持する第１の認証鍵に対応し、かつ、前記サーバ装置が保持する第２の認証鍵の複製を、前記コンピュータが前記サーバ装置と通信可能な第１の通信状態で、前記サーバ装置が前記コンピュータに送信することにより、記憶し、
   前記コンピュータが前記サーバ装置と通信不可能な第２の通信状態で前記コンピュータと前記端末装置が通信した場合、第１の情報を前記端末装置に送信し、前記端末装置が前記第１の認証鍵に基づいて前記第１の情報を暗号化して返信した第２の情報を受信した場合、前記第２の情報を前記第２の認証鍵の複製に基づいて復号することにより、前記利用者を認証する処理を含 み、
   前記コンピュータは、前記第１の通信状態で、前記コンピュータを識別する第２の識別情報を生成して保持し、かつ、前記第２の識別情報と共通する別の第２の識別情報を前記端末装置に前記サーバ装置と異なる別のサーバ装置を介して送信し、前記第２の通信状態で前記コンピュータと前記端末装置が通信した場合、前記別の第２の識別情報を前記端末装置から受信し、
   前記第２の通信状態で受信した前記別の第２の識別情報と前記コンピュータが保持する前記第２の識別情報が共通することにより、前記端末装置が前記コンピュータと対応すると判断する、
   ことを特徴とする認証制御プログラム。

Images