JP7341447B2 - 実行装置、指示装置、それらで実行される方法、コンピュータプログラム - Google Patents

Description

本発明は、例えば、電子錠前に応用することができる認証技術に関する。

認証技術が、例えば、電子錠前に応用されており、また、電子錠前は様々な対象、例えば、自動車の鍵に応用されている。
自動車に用いられている電子錠前は、次のようなものである。
自動車用の電子錠前は、自動車側に設けられた錠装置と、ユーザが保持する鍵装置とからなる。鍵装置は、一般的な錠前における鍵に相当する鍵データを生成することが可能となっている。また、鍵装置は、その鍵データを錠装置に例えば無線で送信することができるようになっている。錠装置は鍵装置から鍵データを受取り、鍵データが真正なものであるか判定する。かかる判定は「認証」の処理であると把握することも可能であるが、いずれにせよ鍵データが真正なものであると判定されたのであれば、錠装置は、自動車の扉の錠を解錠する。
電子錠前が登場した頃は、鍵装置が生成する（或いは、鍵装置に保存された）鍵データは１種類のみであった。したがって、そのような電子錠前においては、常に同一の鍵データが鍵装置から錠装置に引渡され、その鍵データの真正性の判定（例えば、鍵装置から錠装置に提供された鍵データと、錠装置が当初から持っていた鍵データとが一致した場合には、鍵装置から錠装置に提供された鍵データが真正なものであると判定する。）によって自動車の扉の錠の解錠がなされていた。もちろん、鍵データが常に同一であれば、悪意の第三者が鍵データを知得すること、及び鍵データを送信することのできる鍵装置を複製することが容易であるから、そのような複製された鍵装置を使用して不正に自動車の扉の錠が解錠されることによる自動車の盗難の問題が生じていた。

そのような問題を防止するため、鍵装置の中に多数の鍵データを予め保存しておき、多数の鍵データの中の一つを自動車の扉の錠の解錠が必要となる度に鍵装置から錠装置へと送信する技術が後に開発されたが、それなりに多数であるとはいえ鍵装置に予め記録された鍵データの数が有限である以上、鍵装置に記録された鍵データのすべてを悪意の第三者に盗まれた場合にはやはり、自動車の盗難の問題が生じた。
更には、鍵装置に鍵データを保存しておくということを行わず、鍵装置の中に、異なる鍵データを次々と生成する鍵データ生成装置を内蔵させておくとともに、自動車の扉の錠の解錠が必要となる度に、鍵データ生成装置で新たに生成した鍵データを、鍵装置から錠装置に送信するという技術も既に実用化されている。
この場合の鍵データは、それが鍵装置の中で発生させられてから例えばしばらくの間しか使用できないワンタイムパスワードの如きものである。このような鍵データを用いる場合には、仮に悪意の第三者にそれを盗難されたとしても、その鍵データはすぐに有効でなくなるので、盗難された鍵データを利用して悪意の第三者が自動車を盗難できる可能性は殆ど無い。少なくとも従来はそう信じられていた。特に、このような鍵データを用いる場合には、鍵装置に上述した如き鍵データ生成装置を内蔵させるとともに、錠装置側にも、鍵装置に内蔵された鍵データ生成装置で生成されるのと同じ鍵データを次々に生成することのできる上述のものとは異なる鍵データ生成装置を設けることが必要となるが、鍵装置と、錠装置とにそれぞれ含まれた鍵データ生成装置で鍵データを生成するために用いられる方法を複雑化することにより、悪意のある第三者が次に使用される鍵データを事実上知得することができなくなるから、これにより、不正な鍵データによって自動車の扉の錠が解錠されることによる自動車の盗難は理論上発生しないはず、と信じられていた。

ところが、上述のワンタイムパスワードの如き鍵データを用いることとしても、不正に自動車の扉の錠が解錠され、自動車を盗難されるという事態が生じている。それは、以下のように極めて簡単な方法によって行われている。
例えば、自動車から離れた場所に鍵装置が存在するとする。悪意の第三者は、その鍵装置を操作すること等によって、それに内蔵された鍵データ生成装置に鍵データを生成させ、例えば電波に乗って鍵装置から発信された鍵データをそのまま入手する。
そして、その鍵データの乗った電波を適当な装置を用いて、目的となる自動車の傍で発信する。そうすると、その電波を受信することにより鍵データを受け取った自動車に搭載の錠装置は、その鍵データを真正なものと判定して、自動車の扉に設けられた錠を解錠してしまう。これにより自動車が盗難されるのである。
この自動車の窃盗方法の特徴的なことは、悪意ある第三者は、正規の鍵装置で正規に作られた鍵データを丸々盗むことにより、鍵データの内容をまったく知らなくとも自動車を盗むことができる、という点である。つまり、この窃盗方法を実行する悪意の第三者は、鍵データの内容も知る必要がないし、鍵データがどのように生成されるのかということも知る必要がない。そればかりか、鍵装置から錠装置に引渡される鍵データが仮に暗号化されていたとしても、そしてその暗号化に用いる処理が高度であり悪意の第三者がそれを復号化できなかったとしても、悪意の第三者が自動車を窃盗できるという結論には影響がない。

このような、正規の装置で正規に作られた正規の認証用のデータを丸々盗むことにより悪事を働く方法を一般に中間者攻撃（man in the middle attack : MITM）という。
中間者攻撃は、認証におけるなりすましを可能とするための手法であり、一般に、認証する側、及び認証される側で実行される処理、例えば、上述した鍵データを生成する際の処理をどれだけ複雑にしても、また、認証する側から認証される側に認証のために渡されるデータをどれだけ高度に暗号化しても防ぐことができない、という極めて厄介な性質を持つ。
もちろん、中間者攻撃は、自動車の電子錠前に固有の問題ではない。例えば、近年のビルディングにおいては、ＩＣチップが埋め込まれた入館証を用いたセキュリティチェックをその入口で行うのが一般的になっている。典型的な例では、ビルディングの入口に、入館証のＩＣチップを読取るカードリーダを備えた認証装置と、カードリーダで読取ったデータが真正なものであったときにそれが開かれるゲートとが対の状態で設けられている。このようなセキュリティチェックの仕組みでは、真正な入館証がカードリーダにかざされ、入館証のＩＣチップからカードリーダに渡された認証用のデータが真正なものであると認証装置が判定したらゲートが開いて入館証の所有者がゲートを通過することができるようになる。しかしながら、入館証が例えば盗難により悪意の第三者の手に渡った場合においては、ＩＣチップに記録された、或いはＩＣチップ内で発生させられる認証用のデータにどれほど工夫を凝らしても、カードリーダを備えた認証装置にどれほど工夫を凝らしても、また、入館証のＩＣチップから認証装置のカードリーダに認証用のデータを送る際にどれほど高度な暗号技術を用いても、悪意の第三者はゲートを通過することができる。

実際のところ、中間者攻撃に対応する術は無い。セキュリティの専門家の間でも、中間者攻撃は防ぐことができない攻撃であるとして、無視をする、或いはその可能性について口を閉ざすというのが暗黙の了解となっている。

本願発明は、ある特定の場合についてではあるが、中間者攻撃を防御することのできる技術を提供することをその課題とする。

かかる課題を解決するため、本願発明者は、以下に説明する発明を提案する。
本願発明は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置である。
そして、かかる実行装置と組合せて用いられる前記指示装置は、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを暗号化して暗号化条件データを生成するとともに、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなすようになっている。
他方、前記実行装置は、前記暗号化条件データを受取る受取手段と、前記暗号化条件データを復号化して前記条件データに戻す復号化手段と、前記条件データによって特定される前記条件が充足されたか否かを判定する判定手段と、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行手段と、を有する。

本願発明者の考察によれば、実行装置がこのような１種類の動作しか行わないものである場合は特に、中間者攻撃を防ぐことは殆ど不可能である。
１種類の動作というのは例えば、実行装置が指示装置からの指示によって行う動作が、「認証により真正と認める」、「錠を解錠する」といったものであり、複数種類のなかから１種類の動作を選択するようなものではない動作である。
例えば、インターネットバンキングにおいて、ユーザが、自らの銀行口座から、他人の銀行口座に、支払いを行う場合を考える。この場合、ユーザは、自らのユーザ端末（例えば、スマートフォンであり、これは本願発明でいう指示装置に相当する。）によって、決済を行う銀行サーバ（これは本願発明でいう実行装置に相当する。）に対して指示を送る。この場合、銀行サーバの行う処理はもちろん１通りではない。もっといえば、ユーザ端末からの指示によって銀行サーバが行う処理は、上述の如き支払いに限らず、残高の照会や、明細履歴の照会等があるから、銀行サーバが行う処理はより多岐にわたる。話を戻す。支払いのために銀行サーバの行う処理は、少なくとも支払元、支払先、及び支払額について、様々なバリエーションがある。つまり、この場合には、支払を依頼するユーザ或いは支払元となるそのユーザの銀行口座が既に特定されていると仮定しても、ユーザ端末から銀行へと送られる指示には、少なくとも支払先を特定する情報と、支払金額を特定する情報が含まれる。これら２つの情報によって銀行サーバが行う処理が変化するのであるから、この例では、実行装置の一例たる銀行サーバが行う動作は１種類には限られない。
ところで、このような処理においては、中間者攻撃を防ぐことが場合によっては可能となる。それは、上記指示が完全に（破ることが不可能に）暗号化されている場合である。悪意の第三者がインターネット上を送信される上記指示のデータを盗み取り悪用しようとする場合には、少なくとも、上記指示に含まれる支払先を特定する情報を自分に都合の良い支払先に書換える必要があり、上記指示に含まれる支払額の金額をもジムンに都合の良い金額に書換えられればより好ましい。しかしながら、悪意ある第三者が、上記指示に含まれる支払先を特定する情報を自分に都合の良い支払先に書換えてから、ユーザ端末と銀行サーバとの間で使用されている暗号手法にのっとって暗号化することは、その暗号化が完全なのであれば、不可能である。このように、実行装置で実行される動作にバリエーションが存在する場合には、暗号技術の高度化によって中間者攻撃を排除できる可能性がある。言葉を変えれば、実行装置で実行される動作にバリエーションが存在し、指示装置が実行装置に動作を行わせるための指示の中に、動作のバリエーションの中から実行装置が実行すべき動作を特定するための情報が含まれている場合には、悪意の第三者がその指示についてのデータを盗んでそれを実行装置にそのまま渡しただけでは、悪意の第三者が望む動作を実行装置に行わせることができないことが多い。上述したように、中間者攻撃は盗んだ情報をそのまま用いるものであるから防御が難しいのであって、盗んだ情報をそのまま用いることができない、実行装置で実行される動作にバリエーションが存在するような場合には、まだ防げる可能性があるのである。
他方、指示装置の指示により実行装置が実行する動作が１種類のみの場合には、指示装置から実行装置に渡されるデータに何か含まれていたとしても、そのデータを悪意の第三者に盗まれ、且つそのデータを悪意の第三者が実行装置に引き渡した場合に実行装置が実行する動作は必ず、予定されていた１種類の動作となる。データの書換えが不要なこのような場合には、一般的に、中間者攻撃を防御する術はない。
しかしながら、本願発明の実行装置によれば、このような中間者攻撃を防止することが可能となる。

上述したように、本願発明による実行装置は指示装置から指示を受けたときに動作を行う装置であり、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられる。実行装置と指示装置とはそれぞれ、これには限られないが、例えていうなら、背景技術で述べた錠装置と鍵装置とにそれぞれ対応するものである。
実行装置と組合せて用いられる指示装置は、指示が実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを暗号化して暗号化条件データを生成するとともに、暗号化条件データを実行装置に渡すことにより指示をなすようになっている。
実行装置は、暗号化条件データをその受取手段で受取るようになっている。そして受取った暗号化条件データをその復号化手段で復号化して前記条件データに戻すようになっている。条件データは、指示が実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである。実行装置は、条件データによって特定された条件が、指示が実行装置に送られるとき、或いはその前後において満たされたか判定する。そしてその結果、実行手段が、第１動作を実行する。そして、指示装置からの指示により実行される動作である、かかる実行手段が実行する第１動作は、予め定められた１種類のみの動作である。
本願発明の実行装置は、指示装置から受取った暗号化条件データを復号化する。暗号化条件データに暗号化して又は平文のまま付された他の認証用データにより暗号化条件データの真正性の判定をしてももちろん構わないが、この実行装置は、暗号化条件データの真正性の判定を暗号化条件データを復号化できたか否かにより行うことができる。加えて、この実行装置は、暗号化条件データを復号化することにより得られた条件データによって特定される条件が充足されたか否かを判定するようになっている。ここで、条件データによって特定される条件は、指示が実行装置に送られるとき、或いはその前後に満たされるべき条件である。したがって、仮に、悪意の第三者が、指示装置から実行装置に渡される暗号化条件データを盗み、それを実行装置に渡すことにより、実行装置に予め決められている１つの動作を行わせようとしたとしても、条件データによって特定される上述の条件を悪意の第三者が充足させない限り、悪意の第三者は実行装置に予め決められている１つの動作を行わせることができない。これにより、本願発明の実行装置によれば、実行装置が実行する動作が１種類のみである場合であっても、中間者攻撃を防ぐことができることになる。
しかも、本願発明では、暗号化した状態の条件データを指示装置から実行装置へと送ることとしている。この場合、指示装置側で、条件データの内容を変化させることも可能である。例えば、各ユーザが所有する指示装置ごとに、条件データで特定される条件を異ならせることも可能であるし、あるユーザが所有する指示装置で用いられる条件データの内容を、例えば所定の時間経過毎に変化させることも可能である。そうすると、悪意の第三者は、盗み取った暗号化条件データを実行装置に渡して実行装置に動作を行わせようとするときに、暗号化条件データを復号化できない限り、実行装置に動作を行わせることが難しくなる。
仮に、条件データで特定される条件が２種類のみであったとする。その場合、条件データで特定される条件が上述の２種類のいずれであるかを悪意の第三者が知らなかったとすれば、悪意の第三者は暗号化条件データを用いて実行装置に動作を行わせようとする場合に、確率１／２の賭けを強いられることになる。
１／２の確率であれば賭けても良いと思う悪意の第三者は存在するかもしれないが、例えば、条件データで特定可能な条件の種類が更に増えて悪意の第三者が賭けに勝つ確率がより小さくなった場合、或いは条件データで特定される条件が満足されなかったときに、実行装置がその履歴を残したり、或いは警報を鳴らすようになっている場合には、その分の悪い賭けにチャレンジする悪意の第三者は事実上存在しなくなると考えられる。

実行装置が実行する第１動作は１種類のみの動作であればどのようなものでもよい。言葉を変えれば、実行装置が応用される製品はどのようなものでもよい。以下、応用例を示す。
例えば、前記指示装置が前記実行装置に渡す前記暗号化条件データが鍵であってもよい。この場合、前記実行装置は、錠であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、解錠であってもよい。実行装置が錠（例えば電子錠）に応用される場合である。
また、前記指示装置が前記実行装置に渡す前記暗号化条件データが認証データであってもよい。この場合、前記実行装置は、認証装置であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、前記認証データが真正なものと認証することであってもよい。実行装置が認証装置に応用される場合である。この場合の１種類の動作というのは、認証データが真正なものと判定することであるが、その判定の結果、背景技術で説明したゲートの開放や、音声や光などによる認証成功のユーザ等に対する通知等の動作が、認証装置或いは他の装置によって実行されても構わない。
また、前記指示装置が前記実行装置に渡す前記暗号化条件データが認証データであってもよい。この場合、前記実行装置は、所定の動力装置を始動させるための始動装置であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、前記動力装置を始動させることであってもよい。これは、実行装置が始動装置、例えば自動車のエンジンの点火装置に応用される場合である。

本願発明では、指示装置から実行装置へ暗号化条件データが渡される。指示装置から実行装置へどのようにして暗号化条件データを渡すかは自由である。
暗号化条件データの受け渡しは例えば、有線によるデータの伝送によって行うことも可能である。また、前記指示装置は、無線で前記暗号化条件データを送信する送信装置を備えており、前記受取手段は、前記暗号化条件データを無線で受信する受信装置であってもよく、この場合には、暗号化条件データの受け渡しは、無線によるデータの伝送によって行われることになる。
また、暗号化条件データの受け渡しは、インターネットその他のネットワークを介したものであっても良い。
前記指示装置は、前記暗号化条件データを特定することが可能な画像である暗号化画像を表示することのできるディスプレイを備えており、前記受取手段は、前記ディスプレイに表示された前記暗号化画像を撮像することのできる撮像手段であり、前記実行装置は前記暗号化画像を撮像手段である前記受取手段で撮像することにより、前記指示装置から前記暗号化条件データを受取るようになっていてもよい。この場合には、指示装置から実行装置へと暗号化条件データが伝送されることはないが、指示装置に表示された画像である暗号化画像を実行装置が撮像することにより、暗号化画像を介して、指示装置が実行装置へ暗号化条件データを引き渡すことが可能となる。

前記実行手段は、前記条件が充足されないと前記判定手段が判定した場合に、前記１種類のみの動作とは異なる動作である第２動作を行うようになっていてもよい。
上述のように判定手段は、条件データによって特定される条件が充足されているか否かの判定を行う。かかる条件が充足されると判定された場合には、実行手段が第１動作を実行する。
条件が充足されないと判定された場合には、実行手段は、何らの動作を行わなくても良い。他方、前記実行手段は、前記条件が充足されないと前記判定手段が判定した場合に、前記１種類のみの動作とは異なる動作である第２動作を行うようになっていてもよい。条件データで特定される条件が充足されないということは、悪意の第三者が暗号化条件データを盗み、それを実行装置に渡すことによって実行装置に第１動作を行わせようとしている可能性が高い。したがって、判定手段で、条件が充足されないと判定された場合に実行手段が第１動作とは異なる動作である第２動作を行うようにすることで、悪意の第三者を牽制することが可能となる。かかる動作は、例えば、条件が充足されないと判定されたこと、或いは当該判定のきっかけとなった暗号化条件データが実行装置に渡されたときの日時、状況等を所定の記録媒体に記録すること、警報を鳴らすこと等である。
前記第２動作は、前記第１動作に前記第１動作とは異なる動作が追加されたものであってもよい。第２動作が第１動作に第１動作に加えて更に他の動作を追加したものである場合、実行手段はまず第１動作を実行する。第２動作が実行される場合とはつまり、悪意の第三者が中間者攻撃を行おうとしている可能性の高いときであるが、実行手段がまず第１動作を実行したことで、悪意の第三者に中間者攻撃が成功したとの誤解、或いは油断を生じさせることができる。特に、第２動作が、悪意の第三者にとって不利益なこと、例えば悪意の第三者の写真を撮像する等の悪意の第三者の身元を明らかにするための処理であったりとか、第三者の身柄を確保するための処理であったりすれば、油断の生じた第三者を追って拘束することも可能であろう。例えば、実行装置が錠である場合、第１動作として一度解錠を行った後第三者がその錠で仕切られた扉の内側の空間に入った頃合い（例えば、１０秒後。或いは何らかのセンサにより扉の内側の空間に悪意の第三者が入ったことを確認した後でも良い。）に、第１動作に続く追加の動作として錠を施錠するという動作を実行装置が自動的に行い、且つ悪意の第三者の知り得ない所定の手続を踏まないと錠が再び解錠されないとするのであれば、扉の内側の空間（例えば、扉が部屋の扉であれば室内であり、扉が自動車の扉であれば自動車内）に悪意の第三者を閉じ込めることが可能となる。悪意の第三者を扉の内側の空間に閉じ込めることの是非はともかく、そこにある実行装置にそのような仕組みが存在しているということが周知されていれば、悪意の第三者は、そのような実行装置に対して中間者攻撃を行うリスクを取ることを当然避ける。これは、中間者攻撃を未然に防ぐ確率を上げる点で意義が大きい。

本願発明者は、実行装置で実行される方法をも本願発明の一態様として提案する。その効果は、本願発明による実行装置による効果と等しい。それは例えば、以下のようなものである。
その方法は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置で実行される方法である。
前記指示装置は、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを暗号化して暗号化条件データを生成するとともに、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなすようになっている。
そして、その方法は、前記実行装置が実行する、前記暗号化条件データを受取る受取過程と、前記暗号化条件データを復号化して前記条件データに戻す復号化過程と、前記条件データによって特定される前記条件が充足されたか否かを判定する判定過程と、前記判定過程で前記条件データによって特定される前記条件が充足されたと判定されたときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行過程と、を含む。
本願発明者は、本願発明の実行装置として、例えば汎用のコンピュータを機能させるためのコンピュータプログラムをも、本願発明の一態様として提案する。それは例えば、以下のようなものである。
そのコンピュータプログラムは、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置として所定のコンピュータを機能させるためのコンピュータプログラムである。
前記指示装置は、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを暗号化して暗号化条件データを生成するとともに、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなすようになっている。
そして、そのコンピュータプログラムは、前記コンピュータに、前記暗号化条件データを受取る受取過程と、前記暗号化条件データを復号化して前記条件データに戻す復号化過程と、前記条件データによって特定される前記条件が充足されたか否かを判定する判定過程と、前記判定過程で前記条件データによって特定される前記条件が充足されたと判定されたときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行過程と、を実行させるためのコンピュータプログラムである。

本願発明者は、本願発明による実行装置と組合せて用いられる指示装置をも本願発明の一態様として提案する。指示装置による効果は、本願発明による実行装置による効果と同じである。
一例となる指示装置は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるものであって、前記指示装置は、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを生成する条件データ生成手段と、前記条件データを暗号化して暗号化条件データを生成する暗号化手段と、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示手段と、を備えている指示装置である。
なお、本願における、条件データ生成手段は、新たな条件データを生成する機能を有する場合のみならず、所定の記録媒体に記録されていた条件データを単に読み出すものであっても、条件データを生成する機能を有すると解するものとする。
もちろん、条件データ生成手段は、新たな条件データを生成する機能を有していても良い。その場合指示装置は、前記条件データを生成するためのデータの入力を行うための入力手段を備えており、前記条件データ生成手段は、前記入力手段からの入力に応じて前記条件データを生成できるようになっていても良い。

本願発明者は、指示装置で実行される方法をも本願発明の一態様として提案する。その効果は、本願発明による指示装置による効果と等しい。それは例えば、以下のようなものである。
その方法は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるもので実行される方法である。
そして、その方法は、前記指示装置が実行する、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを生成する条件データ生成過程と、前記条件データを暗号化して暗号化条件データを生成する暗号化過程と、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示過程と、を含む。
本願発明者は、本願発明の指示装置として、例えば汎用のコンピュータを機能させるためのコンピュータプログラムをも、本願発明の一態様として提案する。それは例えば、以下のようなものである。
そのコンピュータプログラムは、動作を行うきっかけとなる指示を送ることのできる装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるものとして所定のコンピュータを機能させるためのコンピュータプログラムである。
そして、そのコンピュータプログラムは、前記コンピュータに、前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを生成する条件データ生成過程と、前記条件データを暗号化して暗号化条件データを生成する暗号化過程と、前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示過程と、を実行させるためのコンピュータプログラムである。

第１実施形態によるセキュリティゲートシステムの全体構成を示す図。 図１に示したセキュリティゲートシステムにおける入館証に含まれるＩＣチップのハードウェア構成を示す図。 図１に示したセキュリティゲートシステムに含まれる入館証の内部に生成される機能ブロックを示すブロック図。 図１に示したセキュリティゲートシステムに含まれるセキュリティゲート装置の外観を示す図。 図１に示したセキュリティゲートシステムのセキュリティゲート装置に含まれるゲートコンピュータのハードウェア構成を示す図。 図１に示したセキュリティゲートシステムのセキュリティゲート装置に含まれるゲートコンピュータの内部に生成される機能ブロックを示すブロック図。 図１に示したセキュリティゲートシステムでユーザがセキュリティゲート装置を通過する際に実行される処理の流れを示す図。 第２実施形態による電子錠前システムに含まれる鍵装置たるスマートフォンの外観を示す斜視図。 第２実施形態による電子錠前システムに含まれる錠装置の概略的構成を示すブロック図。 図８に示したスマートフォンのディスプレイに表示される画像の一例を示す図。

以下、本発明の第１～第３実施形態について説明する。各実施形態、変形例の説明で同じ対象には同一の符号を付すものとし、重複する説明は場合により省略するものとする。

≪第１実施形態≫
図１に、第１実施形態によるセキュリティゲートシステムの全体構成を概略で示す。
この実施形態におけるセキュリティゲートシステムは、多数の入館証１００－１～１００－Ｎ（以後、単に、「入館証１００」と記載する場合もある。）と、セキュリティゲート装置２００を含んで構成されている。
入館証１００は、本願発明の指示装置の一例であり、セキュリティゲート装置２００は本願発明の実行装置の一例をその内部に含む。セキュリティゲートシステムは、真正な入館証１００を所持する、セキュリティゲート装置２００を通過する資格を有する者のみがセキュリティゲート装置２００を通過できるようにするためのシステムである。セキュリティゲート装置２００は、例えば、ビルディングの出入口や、敷地への出入口に設置して用いられる。本願では、セキュリティゲート装置２００はビルディングの出入口に配されるものとし、入館証１００はそのビルディングへの入館を許可されたものが所持するものとする。
一般的なセキュリティゲートシステムは、入館証を盗難された場合には、入館証を不正に入手した者がセキュリティゲート装置を不正に通過することを防止できない。以下に説明するセキュリティゲートシステムによれば、一般的なセキュリティゲートシステムでは防ぐことのできない上記の如き中間者攻撃を防ぐことができるのである。

入館証１００は各ユーザが所持する。入館証１００は、セキュリティゲートシステム乃至セキュリティゲート装置２００の管理者が発行し、セキュリティゲート装置２００が設置されたビルディングに入管可能な者それぞれが所持する。

次に、入館証１００の構成を説明する。各入館証１００－１～１００－Ｎの構成は、本願発明との関連でいえば同じである。
入館証１００は、図示を省略するが、公知或いは周知のＩＣカードである。
ＩＣカードは、接触タイプでも非接触タイプでも構わないが、この実施形態では接触タイプであるものとする。

ＩＣカードである入館証１００には、ＩＣチップが埋め込まれている。公知、或いは周知のもので構わないが、一応そのハードウェア構成を、図２に示す。
ハードウェアには、ＣＰＵ（central processing unit）１１１、ＲＯＭ（read only memory）１１２、ＲＡＭ（random access memory）１１３、インターフェイス１１４が含まれており、これらはバス１１６によって相互に接続されている。
ＣＰＵ１１１は、演算を行う演算装置である。
ＣＰＵ１１１は、例えば、ＲＯＭ１１２に記録されたコンピュータプログラムを実行することにより、後述する処理を実行する。なお、ここでいうコンピュータプログラムには、本願発明の指示装置としてこの入館証１００を機能させるためのコンピュータプログラムが少なくとも含まれる。このコンピュータプログラムは、一般的に入館証１００にプリインストールされているものであるが、可能なのであれば事後的にインストールされたものであっても良い。
ＲＯＭ１１２は、ＣＰＵ１１１が後述する処理を実行するために必要なコンピュータプログラムやデータを記録している。
ＲＡＭ１１３は、ＣＰＵ１１１が処理を行うために必要なワーク領域を提供する。
ＲＡＭ１１３には後述するユーザＩＤ、条件データ等のデータが記録されている。
インターフェイス１１４は、バス１１６で接続されたＣＰＵ１１１やＲＡＭ１１３等と外部との間でデータのやり取りを行うものである。図示を省略するが、インターフェイス１１４には入館証１００の表面に露出した公知或いは周知の入館証電極が接続されている。セキュリティゲート装置２００から入館証電極に送られた後述のデータは、インターフェイス１１４に送られ、インターフェイス１１４からバス１１６を介してＣＰＵ１１１等に送られるようになっている。また、ＣＰＵ１１１等からインターフェイス１１４に送られた後述のデータはインターフェイス１１４から入館証電極に送られ、入館証電極からセキュリティゲート装置２００に送られるようになっている。

ＣＰＵ１１１がコンピュータプログラムを実行することにより、入館証１００内部には、図３で示されたような機能ブロックが生成される。なお、以下の機能ブロックは、入館証１００を本願発明の指示装置として機能させるための上述のコンピュータプログラム単体の機能により生成されていても良いが、上述のコンピュータプログラムと、入館証１００にインストールされたＯＳその他のコンピュータプログラムとの協働により生成されても良い。
入館証１００内には、本願発明の機能との関係で、以下のような制御部１２０が生成される。制御部１２０には、主制御部１２１、データ入出力部１２２、第１記録部１２３、暗号化部１２４が存在する。

制御部１２０は、以下に説明するような情報処理を実行する。
主制御部１２１は、制御部１２０内の全体的な制御を行う。例えば、主制御部１２１は、追って詳述するデータ入出力部１２２から受取った開始データに基づいて、後述する認証処理を実行するべく他の機能ブロックを制御する。
例えば、主制御部１２１は、図外のリーダライタから、上述の入館証電極経由で入手された後述する条件データを、インターフェイス１１４、データ出入力部１２２を介して受取る場合がある。主制御部１２１は、その条件データを第１記録部１２３に記録するようになっている。
また、主制御部１２１は、開始データを受付けたことを契機に、第１記録部１２３から、後述するユーザＩＤと条件データとを読み出して認証用データを生成し、生成した認証用データを暗号化部１２４に送るようになっている。
また、主制御部１２１は、暗号化部１２４から後述する暗号化認証用データを受取る場合があり、それを受取った場合にはそれに平文のユーザＩＤを付してから、ユーザＩＤの付された暗号化認証用データをデータ入出力部１２２に送るようになっている。

データ入出力部１２２は、制御部１２０へのデータの入出力を行うものである。
具体的には、データ入出力部１２２は、インターフェイス１１４を介して、上述の入館証電極を通じてセキュリティゲート装置２００から入力された認証処理の開始を指示する後述の開始データが入力される場合がある。それが入力された場合には、データ入出力部１２２は、開始データを主制御部１２１に送るようになっている。
また、データ入出力部１２２には、主制御部１２１からユーザＩＤの付された暗号化認証用データが送られてくることがある。これを受取ったデータ入出力部１２２は、それを、インターフェイス１１４を介して入館証電極に送るようになっている。

第１記録部１２３は、データを記録するものである。第１記録部１２３には、上述したように、主制御部１２１によって条件データが記録される。後述するように、条件データは必要に応じて書換えられる場合がある。条件データは、入館証１００からセキュリティゲート装置２００に対して暗号化認証用データが受渡されるとき、或いはその前後に充足されるべき条件を特定するためのデータである。条件データの内容については追って詳述する。
また、第１記録部１２３には、ユーザＩＤが記録されている。ユーザＩＤは、入館証１００のそれぞれについてユニークな識別子であり、結果的に各ユーザを識別するためのものである。それにより、かかるセキュリティゲートシステムでは、ビルディングへの入館を試みたユーザ、或いはビルディングへの入館をユーザが試みたときに使用された入館証１００を区別することができるようになっている。どのユーザがビルディングへの入館を試みたか、或いはどの入館証１００がビルディングへの入館を試みる際に使用されたかを区別する必要がない場合には、かかるユーザＩＤは不要である。ユーザＩＤは、例えば、入館証１００発行時から第１記録部１２３に記録されている。
これには限られないが、第１記録部１２３は、ハードウェアとして捉えた場合、ＲＡＭ１１３の一部により構成されている。
また、第１記録部１２３に記録されているユーザＩＤ及び条件データは、後述するようなタイミングで主制御部１２１により読み出される。

暗号化部１２４は、主制御部１２１から認証用データを受取る場合があり、認証用データを受取った場合に、それを暗号化して、暗号化認証用データを生成するものである。暗号化部１２４が行う暗号化は、各入館証１００毎に異なるものであっても良いし、そうでなくとも良い。これには限られないがこの実施形態では、各入館証１００における暗号化部１２４で行われる暗号化は異なるものとされているとする。より具体的には、この実施形態では、各入館証１００における暗号化部１２４で行われる暗号化は、同じアルゴリズムを用いるものの、鍵が異なるものとする。
暗号化部１２４は、生成した暗号化認証用データを主制御部１２１に送るようになっている。

次に、セキュリティゲート装置２００について説明する。
セキュリティゲート装置２００のハードウェア構成は、従来からのものと同じでよく、公知或いは周知のものである。その構成を簡単に説明する。
セキュリティゲート装置２００は、いずれも板状の本体部２０１と、補助部２０２とを備えて構成されている。本体部２０１と、補助部２０２とは互いに平行に配されており、その高さは成人の腰の高さ程度である。本体部２０１と補助部２０２とはゲートを構成し、ユーザはそれらの間を通過することになる。本体部２０１には、ゲート板２０３が接続されている。ゲート板２０３は、図４中で実線で示された閉位置と、二点鎖線で示された開位置との間で回動することのできる板である。ゲート板２０３が開位置にあるときにはユーザは本体部２０１と補助部２０２とにより構成されたゲートの間を通過できるが、ゲート板２０３が閉位置にあるときにはユーザはゲートの間を通過できないようになっている。
セキュリティゲート装置２００の適当な部分、これには限られないがこの実施形態では、本体部２０１の上面には、ゲート電極２０４が設けられている。ゲート電極２０４は、入館証１００との間で後述するデータをやり取りするための電極である。
セキュリティゲート装置２００の適当な部分、これには限られないがこの実施形態では、本体部２０１の内部には、コンピュータにより構成されたゲートコンピュータ２０５が設けられている。ゲートコンピュータ２０５は、導線２０５Ａによってゲート電極２０４と接続されている。ゲートコンピュータ２０５は、後述するようなハードウェアを備えており、後述するような認証処理をゲート電極２０４から入力されたデータにしたがって実行するものである。
セキュリティゲート装置２００の適当な部分、これには限られないがこの実施形態では、本体部２０１の内部には、駆動装置２０６が設けられている。駆動装置２０６は、ゲート板２０３を回転させるための動力を発生させるものであり、図示せぬ、公知或いは周知の伝達機構を介してゲート板２０３と接続されている。駆動装置２０６は、導線２０５Ｂによってゲートコンピュータ２０５と接続されている。ゲートコンピュータ２０５から後述する開放データが送られてきた場合、駆動装置２０６は、通常は閉位置にあるゲート板２０３を、ユーザがゲートの間を通過するのに足る予め定められた時間だけ開位置に位置させるようになっている。予め定められた上記時間が経過したら、駆動装置２０６はゲート板２０３を元の閉位置に戻すようになっている。

ゲートコンピュータ２０５は一般的なコンピュータである。ハードウェア構成としては、従来のセキュリティゲート装置２００に含まれていたコンピュータに含まれていたものと同等のもので良い。
ゲートコンピュータ２０５のハードウェア構成を、図５に示す。
ハードウェアには、ＣＰＵ２１１、ＲＯＭ２１２、ＲＡＭ２１３、インターフェイス２１４、この実施形態ではＨＤＤ（hard disk drive）２１５である大容量記録媒体が含まれており、これらはバス２１６によって相互に接続されている。

ＣＰＵ２１１は、演算を行う演算装置である。
ＣＰＵ２１１は、例えば、ＲＯＭ２１２に記録されたコンピュータプログラムを実行することにより、後述する処理を実行する。なお、ここでいうコンピュータプログラムには、本願発明の実行装置（認証装置）としてこのゲートコンピュータ２０５を機能させるためのコンピュータプログラムが少なくとも含まれる。このコンピュータプログラムは、ゲートコンピュータ２０５にプリインストールされていたものであっても良いし、事後的にインストールされたものであっても良い。このコンピュータプログラムのゲートコンピュータ２０５へのインストールは、メモリカード等の所定の記録媒体を介して行なわれても良いし、インターネットなどのネットワークを介して行なわれても構わない。
ＲＯＭ２１２は、ＣＰＵ２１１が後述する処理を実行するために必要なコンピュータプログラムやデータを記録している。
ＲＯＭ２１２に記録されたコンピュータプログラムは、これに限られず、他の必要なコンピュータプログラムが記録されていても良い。
ＲＡＭ２１３は、ＣＰＵ２１１が処理を行うために必要なワーク領域を提供する。
インターフェイス２１４は、バス２１６で接続されたＣＰＵ２１１やＲＡＭ２１３等と外部との間でデータのやり取りを行うものである。インターフェイス２１４は、少なくともゲート電極２０４、及び駆動装置２０６と接続されている。ゲート電極２０４が入館証１００から受取った後述のデータは、インターフェイス２１４により受取られるようになっており、ＣＰＵ２１１やＲＡＭ２１３等へと送られるようになっている。また、これには限られないがこの実施形態では、後述する図示を省略のカメラが存在することがあり、それが存在する場合にはカメラからの画像データもインターフェイス２１４に入力され、インターフェイス２１４からＣＰＵ２１１やＲＡＭ２１３等へと送られるようになっている。また、インターフェイス２１４は、ＣＰＵ２１１やＲＡＭ２１３等から後述のデータを受取る場合があり、インターフェイス２１４が受取ったそれらデータは、ゲート電極２０４、又は駆動装置２０６へと送られるようになっている。
ＨＤＤ２１５は上述のように大容量記録媒体であり、データを記録する。
ＣＰＵ２１１が後述する処理を実行するために必要なコンピュータプログラムやデータの少なくとも一部は、ＲＯＭ２１２でなくＨＤＤ２１５に記録されていてもよいし、その大部分がＨＤＤ２１５に記録されている方が実際的であろう。

ＣＰＵ２１１がコンピュータプログラムを実行することにより、ゲートコンピュータ２０５には、図６で示されたような機能ブロックが生成される。なお、以下の機能ブロックは、ゲートコンピュータ２０５を本願発明の実行装置（認証装置）として機能させるための上述のコンピュータプログラム単体の機能により生成されていても良いが、上述のコンピュータプログラムと、ゲートコンピュータ２０５にインストールされたＯＳその他のコンピュータプログラムとの協働により生成されても良い。
ゲートコンピュータ２０５内には、本願発明の機能との関係で、以下のような制御部２２０が生成される。制御部２２０内には、データ入出力部２２１、主制御部２２２、復号化部２２３、判定部２２４、第２記録部２２５が生成される。

データ入出力部２２１は、制御部２２０へのデータの入出力を行うものである。
例えば、データ入出力部２２１は、主制御部２２２から後述する開始データを受付けるようになっている。これを受付けると、データ入出力部２２１は、開始データをインターフェイス２１４に送るようになっている。開始データは、インターフェイス２１４からゲート電極２０４へと送られ、ゲート電極２０４から入館証１００へと送られる。
また、データ入出力部２２１は、ゲート電極２０４からユーザＩＤの付された暗号化認証用データを受取る場合がある。これを受付けたデータ入出力部２２１は、ユーザＩＤと暗号化認証用データを主制御部２２２へと送るようになっている。また、データ入出力部２２１は、カメラから画像データを受付ける場合があり、これを受付けたデータ入出力部２２１は、画像データを主制御部２２２へと送るようになっている。

主制御部２２２は、制御部２２０内の全体的な制御を行う。
例えば、主制御部２２２は、後述するように、ゲート電極２０４に対して入館証１００の入館証電極が接触した場合に、それをインターフェイス２１４、及びデータ入出力部２２２を介して検知し、開始データを生成するようになっている。開始データは主制御部２２２からデータ入出力部２２１へと送られるようになっている。
また、主制御部２２２には、データ入出力部２２１からユーザＩＤの付された暗号化認証用データが入力される場合がある。それを受取った主制御部２２２は、ユーザＩＤの付された暗号化認証用データを復号化部２２３へと送るようになっている。主制御部２２２には、また、カメラで撮像された画像データがデータ入出力部２２１から入力される場合がある。これを受取ったら主制御部２２２は画像データを判定部２２４に送るようになっている。
また、主制御部２２２は、上述した判定部２２４から後述する判定データを受取る場合がある。判定データは後述のように２種類存在するが、後述する肯定的な判定データを受取った場合、主制御部２２２はそれに基いて、追って詳述する開放データを生成するようになっている。主制御部２２２は、また、その種類によらず判定データを受取った場合には、後述する内容の履歴データを第２記録部２２５に記録するようになっている。

復号化部２２３は、主制御部２２２からユーザＩＤの付された暗号化認証用データを受取った場合に暗号化認証用データを復号化する機能を有している。復号化部２２３には、多数の入館証１００から暗号化認証用データが送られてくる。多数の入館証１００から送られてくる暗号化認証用データは、それを暗号化する際に用いられたアルゴリズムは同じであるが、上述したように暗号化に用いられた鍵が異なる。それを復号化するために、復号化部２２３は、すべての入館証１００の第１記録部１２３に記録されたユーザＩＤと、それらユーザＩＤが付された入館証１００において暗号化部１２４で用いられる鍵とを互いに紐付けた状態で記録している。復号化部２２３がどのようにして暗号化認証用データを復号化するかについては後述するが、復号化部２２３が復号化を行う場合には、互いに紐付けたユーザＩＤと、鍵のデータが利用される。
復号化部２２３が暗号化認証用データを復号化すると暗号化認証用データは、認証用データに戻る。上述したように、認証用データはユーザＩＤと、条件データとが含まれている。これらユーザＩＤ、及び条件データは、暗号化認証用データに付されていたユーザＩＤとともに判定部２２４へと送られるようになっている。

判定部２２４は、入館証１００からゲートコンピュータ２０５に送られてきた暗号化認証用データが真正なものか否か、つまり暗号化認証用データを送ってきた入館証１００を所持していたユーザがゲートを通過して良いか否かについての判定を行うものである。この判定を認証判定と称することにする。
判定部２２４には上述のように、復号化部２２３から、暗号化認証用データに由来するユーザＩＤ、及び条件データと、暗号化認証用データに付されていたユーザＩＤとが送られてくるとともに、主制御部２２２から画像データが送られてくる。これらを用いて判定部２２４は、認証判定を行う。
判定部２２４が実行する認証判定の詳細については後述することとするが、判定部２２４は、入館証１００からゲートコンピュータ２０５に送られてきた暗号化認証用データが真正であるという肯定的な判定か、入館証１００からゲートコンピュータ２０５に送られてきた暗号化認証用データが真正でないという否定的な判定のいずれかを行う。その結果に基いて、判定部２２４は肯定的な、或いは否定的な判定データを生成し、いずれにせよ生成した判定データを主制御部２２２に送るようになっている。

第２記録部２２５は、履歴データを記録するものである。履歴データの内容については後述するが、履歴データは主制御部２２２によって第２記録部２２５に記録されるようになっている。

次に以上のようなセキュリティゲートシステムの使用方法、及び動作について図７を参照しながら説明する。

かかるセキュリティゲートシステムを使用する場合、その下準備として、各セキュリティゲート装置２００が配されるビルディングに入館する資格のある者である多数のユーザのそれぞれに入館証１００を配布する。
各入館証１００の第１記録部１２３には入館証１００毎にユニークなユーザＩＤを予め記録しておくとともに、例えばその暗号化部１２４に各入館証１００毎にユニークな鍵を持たせておく。また、各入館証１００の第１記録部１２３に、条件データを記録しておく。条件データによって特定される条件は、各入館証１００毎に異なるものであっても良いし、すべての或いは一部の入館証１００については同じものであっても構わない。また、例えば所定の期間経過毎に、入館証１００の第１記録部１２３に記録されている条件データの内容を書換えるようにしても良い。条件データの内容は、各入館証１００を所持するユーザが決定しても良いし、セキュリティゲートシステムの管理者等が決定して各ユーザに通知するようにしても良い。
条件データの第１記録部１２３への記録は、例えば、図外のリーダライタから入館証１００へ条件データを書き込むことにより行う。条件データは、リーダライタから入館証電極へと送られ、更にはインターフェイス１１４、データ入出力部１２２を介して主制御部１２１へと送られる。主制御部１２１が第１記録部１２３へと条件データを記録することにより、条件データは第１記録部１２３に記録されることになる。条件データの変更乃至更新も同様にして行えば良い。

ユーザがセキュリティゲート装置２００の配されたビルディングに入ろうとしたとする。なお、セキュリティゲート装置２００は複数でも良い。その場合、各セキュリティゲート装置２００はすべて同じものとすることができる。
セキュリティゲート装置２００を通過しようとするユーザは、入館証１００をセキュリティゲート装置２００の本体部２０１の上面に設けられたゲート電極２０４の上に、入館証１００の入館証電極がゲート電極２０４に接触するようにして置く（Ｓ９０１）。これにより、ゲート電極２０４と入館証電極とが導通する。
ゲート電極２０４と入館証電極とが導通すると、入館証電極はゲート電極２０４から電力の供給を受ける。これにより、公知或いは周知のように、入館証１００のハードウェアは起動し、また制御部１２０は稼働できるようになる。
ゲート電極２０４に対して入館証１００の入館証電極が接触すると、主制御部２２２は、それをインターフェイス２１４、及びデータ入出力部２２１を介して検知する。かかる検知を行うと主制御部２２２は、開始データを生成する（Ｓ９０２）。開始データは、認証の処理の開始を入館証１００に促すデータである。
開始データは、主制御部２２２から、データ入出力部２２１に送られ、更にはインターフェイス２１４に送られる。更に、開始データは、インターフェイス２１４から、インターフェイス２１４に接続されているゲート電極２０４に送られ、ゲート電極２０４からそれに接触している入館証電極へと送られる（Ｓ９０３）。

入館証１００は、その入館証電極で開始データを受取る（Ｓ８０１）。
開始データは、入館証電極からインターフェイス１１４を介してデータ入出力部１２２へと送られ、更には主制御部１２１へと送られる。開始データを受取った主制御部１２１は、認証用データを生成する（Ｓ８０２）。
開始データを受取ると主制御部１２１は、第１記録部１２３から、ユーザＩＤと条件データとを読み出す。これらを単に結合させたものが、この実施形態における認証用データであるものとするが、認証用データに必須なのは条件データのみであり、また認証用データに上記した以外の他のデータが付加されていても一向に構わない。
主制御部１２１は、生成した認証用データを暗号化部１２４に送る。

暗号化部１２４は、主制御部１２１から認証用データを受取ったら、それを暗号化して、暗号化認証用データとする（Ｓ８０３）。各入館証１００の暗号化部１２４には各々異なる鍵が記録されている。暗号化部１２４は、各入館証１００において共通のアルゴリズムを用い、且つ各入館証１００の暗号化部１２４に記録されている鍵を用いて、かかる暗号化を行う。
暗号化部１２４は、生成した暗号化認証用データを主制御部１２１に送る。

主制御部１２１は、暗号化部１２４から暗号化認証用データを受取る。主制御部１２１は、暗号化認証用データを受取ったら、暗号化認証用データに平文のユーザＩＤを付してから、ユーザＩＤの付された暗号化認証用データをデータ入出力部１２２に送る。
データ入出力部１２２は、主制御部１２１から受取ったユーザＩＤの付された暗号化認証用データを、インターフェイス１１４を介して入館証電極に送る。ユーザＩＤの付された暗号化認証用データは、入館証電極からゲートコンピュータ２０５へと送られる（Ｓ８０４）。

ゲートコンピュータ２０５は、入館証電極と接触しているゲート電極２０４によりそのデータを受取る（Ｓ９０４）。ユーザＩＤの付された暗号化認証用データは、ゲート電極２０４からインターフェイス２１４を経て、制御部２２０のデータ入出力部２２１へと送られ、更には主制御部２２２へと送られる。
主制御部２２２は、データ入出力部２２１からユーザＩＤの付された暗号化認証用データを受取ると、ユーザＩＤの付された暗号化認証用データを復号化部２２３へと送る。

復号化部２２３は、主制御部２２２からユーザＩＤの付された暗号化認証用データを受取った場合に暗号化認証用データを復号化する（Ｓ９０５）。復号化部２２３には、多数の入館証１００から暗号化認証用データが送られてくる。
上述したように、復号化部２２３には、すべての入館証１００の第１記録部１２３に記録されたユーザＩＤと、それらユーザＩＤが付された入館証１００において暗号化部１２４で用いられる鍵とが互いに紐付けた状態で記録されている。復号化部２２３は、それらのうち、暗号化認証用データに付されて主制御部２２２から送られてきた平文のユーザＩＤと同一のユーザＩＤに紐付けられていた鍵を、復号化に用いる。復号化部２２３は、入館証１００の暗号化部１２４で用いられたのと同一のアルゴリズムを用いるとともに、上述のようにユーザＩＤによって特定された鍵を用いることで、多数の入館証１００から送られてくる、異なる鍵によって暗号化された暗号化認証用データを復号化することができる。
なお、この実施形態では、１つの入館証１００の暗号化部１２４で暗号化が行われる場合に用いられる手法は常に同一であり（例えば、１つの入館証１００の暗号化部１２４で暗号化が行われる場合に用いられる鍵は常に同一であり）、また、１つの入館証１００から送られてきた暗号化認証用データの復号化が復号化部２２３で行われる場合に用いられる手法は常に同一である（例えば、１つの入館証１００から送られてきた暗号化認証用データの復号化が復号化部２２３で行われる場合に用いられる鍵は常に同一である）ものとして説明を行った。しかしながら、１つの入館証１００の暗号化部１２４で暗号化が行われる場合に用いられる鍵が変化するものであり、また、１つの入館証１００から送られてきた暗号化認証用データの復号化が復号化部２２３で行われる場合に用いられる鍵もそれに応じて変化させることも可能である。そのような技術は公知又は周知であるので、そうする場合には、公知又は周知技術を応用すれば良い。
復号化部２２３が暗号化認証用データを復号化すると暗号化認証用データは、認証用データに戻る。上述したように、認証用データはユーザＩＤと、条件データとが含まれている。これらユーザＩＤ、及び条件データは、暗号化認証用データに付されていたユーザＩＤとともに、復号化部２２３から判定部２２４へと送られる。

復号化部２２３から、暗号化認証用データに付されていたユーザＩＤとともに認証用データであるユーザＩＤ、及び条件データを受取った判定部２２４は、認証判定を行う（Ｓ９０６）。認証判定は上述のように、入館証１００からゲートコンピュータ２０５に送られてきた暗号化認証用データが真正なものか否か、つまり暗号化認証用データを送ってきた入館証１００を所持していたユーザがゲートを通過して良いか否かについての判定である。
これには限られないが、この実施形態では、以下の２項目により判定を行う。
まず第１項目である。第１項目においては、暗号化認証用データに付されていたユーザＩＤと、認証用データの一部であるユーザＩＤとが一致するか否かの判定を行う。これにより、認証用データを暗号化して暗号化認証用データとする過程、及び暗号化認証用データを復号化して認証用データとする過程に不正がなかったか確認することができる。第１項目についての判定では、両者が一致すれば肯定的、両者が一致しなければ否定的判定がなされる。
次に、第２項目である。第２項目では、認証用データに含まれていた条件データによって特定される条件が充足されているか否かの判定を行う。第２項目についての判定では、条件が充足されれば肯定的、条件が充足されないのであれば否定的判定がなされる。
かかる条件は、暗号化認証用データが本願の実行装置たるゲートコンピュータ２０５に送られるとき、或いはその前後に満たされるべき条件を特定するものである。そして、この条件データによって特定される条件は、仮に暗号化認証用データが悪意の第三者に盗まれており、悪意の第三者の手でゲートコンピュータ２０５に提供されていたとしても、悪意の第三者が暗号化認証用データの復号化を行えなければ知ることができないものであり、暗号化認証用データがゲートコンピュータ２０５に送られるとき、或いはその前後においても充足させるのが不可能なものである。したがって、仮に悪意の第三者が暗号化認証用データを盗んで中間者攻撃を実行しようとしても、第２項目で肯定的な判定がなされることがないから、中間者攻撃を成功させることができない。
条件データで特定される条件は、例えば、「入館証電極とゲート電極２０４とが接触させられた後に入館証１００をユーザから見て特定の方向（例えば、この例では手前側とする。）にずらす」というものとすることができる。この条件が満足されているか否かを、判定部２２４は判定する。かかる判定を行うには、例えば、上述のカメラを用いることができる。カメラは、ゲート電極２０４の周囲の動画を例えば、入館証電極とゲート電極２０４とが導通した瞬間から撮像する。それによりカメラにより生成された画像データは、インターフェイス２１４、データ入出力部２２１、主制御部２２２を経て、判定部２２４へと送られる。判定部２２４はその画像データに対して公知、或いは周知の画像処理を施して、入館証電極とゲート電極２０４とが接触させられた入館証１００をユーザがその後どちらにずらしたか判定する。ユーザが、本体部２０１の上側の面に沿って入館証１００を手前側にずらしたのであれば、判定部２２４は、条件データで特定される条件が満足されたとして、肯定的な判定を、入館証１００が他の方向にずらされたのであれば、判定部２２４は、条件データで特定される条件が満足されなかったとして、否定的な判定を行う。
条件データで特定される条件は上記に関わらず、例えば、「入館証１００をユーザから見て特定の方向にずらして入館証電極とゲート電極２０４とを接触させる」、「一度入館証１００を表裏逆向きにゲート電極２０４においた後に入館証電極をゲート電極２０４に接触させる」、「入館証電極とゲート電極２０４とを接触させる時間を５秒以上とする」、「入館証電極とゲート電極２０４とを、２回連続して接触させる」といったものとすることができる。これら条件が充足されたかはいずれも、カメラによって生成された画像データにより、或いはゲート電極２０４から入力される情報により、判定可能である。必要であれば、カメラは常時撮像を行い、入館証電極とゲート電極２０４とが接触したか否かに関わらず、動画の画像データを生成し続けるように、そして判定部２２４には画像データが常時入力されるようになっていても構わない。もっとも、カメラからの画像データが判定部２２４に入力されるというのは例示であって、判定部２２４には上述の判定をなすために必要なデータが入力され、それにより判定部２２４が条件データで特定される条件が満足されたか否かの判定を行うことができるようにすることが必要である。なお、以上の例のうち、「入館証電極とゲート電極２０４とが接触させられた後に入館証１００をユーザから見て特定の方向にずらす」というのは、暗号化認証用データがゲートコンピュータ２０５に送られた後に満足されるべき条件であり、「入館証１００をユーザから見て特定の方向にずらして入館証電極とゲート電極２０４とを接触させる」と、「一度入館証１００を表裏逆向きにゲート電極２０４においた後に入館証電極をゲート電極２０４に接触させる」というのは、暗号化認証用データがゲートコンピュータ２０５に送られる前に満足されるべき条件であり、「入館証電極とゲート電極２０４とを接触させる時間を５秒以上とする」と、「入館証電極とゲート電極２０４とを、２回連続して接触させる」というのは、暗号化認証用データがゲートコンピュータ２０５に送られるときに満足されるべき条件である。
この実施形態では、上述の第１項目と第２項目の双方が肯定的であったときのみ肯定的な判定データが生成され、第１項目と第２項目の少なくとも一方が否定的であったときは否定的な判定データが生成される。なお、判定部２２４は、第２項目のみによって判定をなすようになっていてもよい。復号化部２２３で暗号化認証用データの復号化を行えたという事実そのものが、認証用データを暗号化して暗号化認証用データとする過程、及び暗号化認証用データを復号化して認証用データとする過程に不正がなかったことを裏付けるものであり、これにより暗号化認証用データが正規のものであることの確認は取れている（但し、この段階では中間者攻撃を受けている可能性は排除できない。）ので、第１項目を省略しても判定部２２４が行う判定の信頼性に大きな問題は生じない。なお、上記第１項目、第２項目以外の判定を判定部２２４が判定を行うための基準として採用することはもちろん可能である。
以上で認証判定が終了する。
いずれにせよ、生成された判定データは、判定部２２４から主制御部２２２へと送られる。

主制御部２２２は、判定部２２４から判定データを受取る。そして、認証判定の結果生成された判定データにしたがった以下のような処理を実行する。
判定データが肯定的なものであった場合、主制御部２２２は開放データを生成する。開放データはゲート板２０３を閉位置から開位置に移動させ所定の時間だけその状態を保ち、その後ゲート板２０３を元の位置に戻すように駆動装置２０６に指示する情報である。主制御部２２２は生成した開放データを、データ入出力部２２１、インターフェイス２１４を介して、駆動装置２０６に送る。これにより、駆動装置２０６はゲート板２０３を一時的に閉位置から開位置に移動させる（Ｓ９０７）。ゲート板２０３が開位置にある間にユーザはセキュリティゲート装置２００を通過することができる。
暗号化認証用データの復号化部２２３での復号化をできなかった場合もそうであるが、判定データが否定的である場合には、主制御部２２２は開放データを生成しない。
したがって、ゲート板２０３は開放されないからユーザはセキュリティゲート装置２００を通過できない。セキュリティゲート装置２００は、暗号化認証用データを復号化できなかった場合、或いは判定データが否定的なものである場合において、警報を鳴らすとか、所定のランプを点滅させるとかの中間者攻撃等による不正があったことを周辺に知らせるための構成を備えていても構わない。例えば警報を鳴らすのであれば、そのような指示を警報機に行うためのデータを主制御部２２２が生成して、警報機にそのデータがデータ入出力部２２１、インターフェイス２１４を介して送られるようにすれば良い。ランプを点滅させる場合も同様である。
判定データが肯定的である場合も、否定的である場合も、主制御部２２２は、判定データが肯定的であったか否定的であったかという判定データの内容と、その判定データが例えば主制御部２２２に送られてきた日時とを先に受付けたユーザＩＤとともに第２記録部２２５に記録する。これにより、どのユーザがいつ入館したか、或いはいつ不正な入館が試みられようとしたかという記録が、第２記録部２２５に残されることになる。

≪第２実施形態≫
第２実施形態では、電子錠前システムについて説明する。
電子錠前システムは、例えば建物の玄関の扉の錠前、或いは建物の部屋の扉の錠前、自動車の扉の錠前等として用いることもできるが、この実施形態では、ホテルの部屋の扉の錠前であるものとして以下の説明を行う。
電子錠前システムは、鍵装置と、錠装置とから構成されている。
鍵装置は、第１実施形態における入館証１００と同様の位置づけであり、錠装置は第１実施形態におけるセキュリティゲート装置２００と同様の位置づけである。

鍵装置は、ユーザが持ち運ぶことのできる可搬の機器であり、専用機であっても構わないが、この実施形態では、市販されている汎用のコンピュータにより構成されているものとする。より具体的には、この実施形態では、鍵装置は、スマートフォン、タブレット等により構成することができる。スマートフォンは例えば、Ａｐｐｌｅ Ｊａｐａｎ合同会社が製造、販売を行うｉＰｈｏｎｅ（商標）シリーズの製品である。タブレットの例はＡｐｐｌｅ Ｊａｐａｎ合同会社が製造、販売を行うｉＰａｄ（商標）シリーズの製品である。これには限られないがこの実施形態における鍵装置はスマートフォンによって構成されていることとして以下話を進める。

鍵装置１００Ａの外観の一例を図８に示す。
鍵装置１００Ａは、ディスプレイ１０１を備えている。ディスプレイ１０１は、静止画又は動画を表示するためのものであり、公知、或いは周知のものを用いることができる。ディスプレイ１０１は例えば、液晶ディスプレイである。鍵装置１００Ａは、また入力装置１０２を備えている。入力装置１０２は、ユーザが所望の入力を鍵装置１００Ａに対して行うためのものである。入力装置１０２は、公知或いは周知のものを用いることができる。この実施形態における鍵装置１００Ａの入力装置１０２はボタン式のものとなっているが、これには限られず、テンキー等を用いることも可能である。また、ディスプレイ１０１がタッチパネルである場合、ディスプレイ１０１は入力装置１０２の機能を兼ねることになり、この実施形態ではそうされている。
入力装置１０２から入力されるデータは、例えば、条件データである。

鍵装置１００Ａのハードウェア構成は、図２に示された通りであるから図示を省略するが、第１実施形態における入館証１００のＩＣチップにおけるそれと同じである。
ハードウェアには、ＣＰＵ、ＲＯＭ、ＲＡＭ、インターフェイスが含まれており、これらはバスによって相互に接続されている。
ＣＰＵ、ＲＯＭ、ＲＡＭ、インターフェイス、バスの機能は基本的に第１実施形態の入館証１００のＩＣチップにおけるそれらの機能と同じである。
ただし、第１実施形態におけるインターフェイス１１４は、入館証電極と接続されていたが、第２実施形態における鍵装置１００Ａのインターフェイスは、ディスプレイ１０１と、入力装置１０２とに接続されており、また、無線通信を行う図示を省略の第１通信機構に接続されている。インターフェイスは、ＣＰＵ等からのデータをディスプレイ１０１又は第１通信機構に出力するようになっており、また、入力装置１０２からのデータをＣＰＵ等に送るようになっている。
なお、ＲＯＭには、鍵装置１００Ａとしてスマートフォンを機能させるためのコンピュータプログラムに加えて、スマートフォンをスマートフォンとして機能させるための電話による通信を行うことや、インターネットを介してのホームページ閲覧を行うためのブラウザ等が記録されている。

ＣＰＵがコンピュータプログラムを実行することにより、鍵装置１００Ａたるスマートフォンの内部には、図示を省略するが、第１実施形態の入館証１００内部に生成されたのと同様の、図３で示されたような機能ブロックが生成される。かかる機能ブロックが、スマートフォンを鍵装置１００Ａとして機能させるための上述のコンピュータプログラム単体により生成されても、他のコンピュータプログラムとの協働により生成されても良いことも第１実施形態の場合と同様である。
入館証１００内に生成されたのと同様に、鍵装置１００Ａの内部には、本願発明の機能との関係で、以下のような制御部１２０（以下、図３の符号を引用する。）が生成される。制御部１２０には、主制御部１２１、データ入出力部１２２、第１記録部１２３、暗号化部１２４が存在する。

制御部１２０の機能、或いは制御部１２０に含まれる、主制御部１２１、データ入出力部１２２、第１記録部１２３、暗号化部１２４の機能は第１実施形態におけるそれらと基本的に同じであるが、特に主制御部１２１については、第１実施形態における主制御部１２１とその機能が一部異なる。この点については、後述する。

次に、錠装置について説明する。
錠装置２００Ａの概略的な構成を、図９に示す。
錠装置２００Ａは、例えば扉に取付けられており、また、セキュリティゲート装置２００におけるゲートコンピュータ２０５と同様の機能を有するコンピュータ２０５Ａを備えている。コンピュータ２０５Ａは、第２通信機構２０４Ａ、及びカメラ２０７Ａと接続されており、また、駆動装置２０６Ａとも接続されている。
錠装置２００Ａにおけるコンピュータ２０５Ａは、第１実施形態におけるセキュリティゲート装置２００におけるゲートコンピュータ２０５が駆動装置２０６の駆動を制御するものであったのと同様に、駆動装置２０６Ａの駆動を制御するものとなっている。駆動装置２０６Ａは、扉の鍵を解錠するものである。なお、これには限られないが、この実施形態における錠装置２００Ａにおける錠は、いわゆる公知又は周知のオートロック機構を採用している。したがって、錠による扉の施錠は扉を閉めたときに自動的になされる。
カメラ２０７Ａは、例えば扉に埋め込まれており、扉の前の所定範囲を動画で撮像して動画データを生成するようになっている。第２通信機構２０４Ａは、第１通信機構との間で無線通信を行うためのものとなっている。無線通信はどのようなものでも構わず、光、電波、音のいずれによっても構わないが、例えば、Ｂｌｕｅｔｏｏｔｈ（商標）の規格に則ったものであってもよく、これには限られないがこの実施形態ではそうされている。

コンピュータ２０５Ａのハードウェア構成は、図５に示された通りであるから図示を省略するが、第１実施形態におけるゲートコンピュータ２０５におけるそれと同じである。
ハードウェアには、ＣＰＵ、ＲＯＭ、ＲＡＭ、インターフェイスが含まれており、これらはバスによって相互に接続されている。
ＣＰＵ、ＲＯＭ、ＲＡＭ、インターフェイス、バスの機能は基本的に第２実施形態のゲートコンピュータ２０５におけるそれらの機能と同じである。
第１実施形態におけるインターフェイス２１４は、ゲート電極２０４、駆動装置２０６と接続されていたが、第２実施形態におけるコンピュータ２０５Ａのインターフェイスは、第２通信機構２０４Ａ、カメラ２０７Ａ、及び駆動装置２０６Ａと接続されている。インターフェイスは、ＣＰＵ等からのデータを駆動装置２０６Ａに出力するようになっており、また、カメラ２０７Ａ、及び第２通信機構２０４ＡからのデータをＣＰＵ等に送るようになっている。
なお、ＲＯＭ、ＨＤＤ等には、コンピュータ２０５Ａに、以下に説明する処理を実行させるためのコンピュータプログラム、つまり、コンピュータ２０５Ａを錠装置２００Ａの一部として機能させるためのコンピュータプログラムが記録されている。

ＣＰＵがコンピュータプログラムを実行することにより、コンピュータ２０５Ａの内部には、図示を省略するが、第１実施形態のゲートコンピュータ２０５内部に生成されたのと同様の、図６で示されたような機能ブロックが生成される。かかる機能ブロックが、上述のコンピュータプログラム単体により生成されても、他のコンピュータプログラムとの協働により生成されても良いことも第２実施形態の場合と同様である。
ゲートコンピュータ２０５内に生成されたのと同様に、錠装置２００Ａの内部には、本願発明の機能との関係で、以下のような制御部２２０（以下、図６の符号を引用する。）が生成される。制御部２２０内には、データ入出力部２２１、主制御部２２２、復号化部２２３、判定部２２４、第２記録部２２５が生成される。
制御部２２０の機能、或いは制御部２２０に含まれる、データ入出力部２２１、主制御部２２２、復号化部２２３、判定部２２４、第２記録部２２５の機能は第１実施形態におけるそれらと基本的に同じであるが、特に主制御部２２２については、第１実施形態における主制御部２２２とその機能が一部異なる。この点については、後述する。

第２実施形態における電子錠前システムの使用方法と動作について説明する。もっとも、その使用方法及び動作は、第１実施形態におけるセキュリティゲートシステムの使用方法及び動作と概ね同じである。

電子錠前システムの鍵装置１００Ａの第１記録部１２３には鍵装置１００Ａ毎にユニークなユーザＩＤが記録されている。また、例えばその暗号化部１２４には、鍵装置１００Ａ毎にユニークな鍵が記録されている。これらの記録は、例えば、上述のコンピュータプログラムをインストールしたときに自動的になされる。
また、ユーザは、自らが所有する鍵装置１００Ａとしてのスマートフォンの第１記録部１２３に、条件データを記録する。条件データの生成と記録は、錠装置２００Ａを解錠させる際に行っても良いが、予め行っておく方が便利である。条件データによって特定される条件は、ユーザが入力装置１０２を操作することにより行う。ユーザが入力装置１０２を操作すると、条件データは、入力装置１０２からインターフェイスを経てデータ入出力部１２２に送られ、更には主制御部１２１へと送られる。主制御部１２１が第１記録部１２３へ条件データを記録する。これにより、条件データは第１記録部１２３に記録されることになる。
ユーザは自分の好むタイミングで条件データの変更乃至更新を行うことも可能である。その場合にも入力装置１０２の操作によって、条件データの変更乃至更新を行うことができる。

ユーザがホテルの部屋の扉に取付けられた錠装置２００Ａを解錠する場合について説明する。錠装置２００Ａの施錠は、この実施形態では、上述のように自動的になされる。

ユーザが錠装置２００Ａを解錠させようとする場合、ユーザは、鍵装置１００Ａたるスマートフォンの入力装置１０２を操作して、上述のコンピュータプログラムを起動させ、解錠の操作を行う。そうすると、その操作内容は、インターフェイスからデータ入出力部１２２へと送られ、主制御部１２１に送られる。
これを受取った主制御部１２１は、認証用データを生成する。これは、第１実施形態におけるＳ８０２の処理に相当する。つまり、第２実施形態では、第１実施形態におけるＳ８０１の処理と、Ｓ９０１～Ｓ９０３の処理が省略される。
認証用データを生成する場合、主制御部１２１は、第１記録部１２３から、ユーザＩＤと条件データとを読み出す。これらを単に結合させたものが、この実施形態における認証用データであるものとするが、認証用データに必須なのは条件データのみであり、また認証用データに上記した以外の他のデータが付加されていても一向に構わない。以上は第１実施形態と同じである。
主制御部１２１は、生成した認証用データを暗号化部１２４に送る。

暗号化部１２４は、主制御部１２１から認証用データを受取ったら、それを暗号化して、暗号化認証用データとする。これは、第１実施形態におけるＳ８０３の処理に相当する。
各鍵装置１００Ａの暗号化部１２４には各々異なる鍵が記録されている。暗号化部１２４は、各鍵装置１００Ａにおいて共通のアルゴリズムを用い、且つ各鍵装置１００Ａの暗号化部１２４に記録されている鍵を用いて、かかる暗号化を行う。
暗号化部１２４は、生成した暗号化認証用データを主制御部１２１に送る。

主制御部１２１は、暗号化部１２４から暗号化認証用データを受取る。主制御部１２１は、暗号化認証用データを受取ったら、それをデータ入出力部１２２に送る。ただし、第２実施形態の場合には、暗号化認証用データに平文のユーザＩＤを付す必要はない。
データ入出力部１２２は、主制御部１２１から受取った暗号化認証用データを、インターフェイス１１４を介して第１通信機構に送る。暗号化認証用データは、第１通信機構から、扉等に内蔵されている第２通信機構２０４Ａへと送られる。これは第１実施形態におけるＳ８０４の処理に相当する。

コンピュータ２０５Ａは、第２通信機構２０４Ａによりそのデータを受取る。これは、第１実施形態におけるＳ９０４の処理に相当する。暗号化認証用データは、ゲート電極２０４からインターフェイス２１４を経て、制御部２２０のデータ入出力部２２１へと送られ、更には主制御部２２２へと送られる。
主制御部２２２は、データ入出力部２２１から暗号化認証用データを受取ると、暗号化認証用データを復号化部２２３へと送る。

復号化部２２３は、主制御部２２２から暗号化認証用データを受取った場合に暗号化認証用データを復号化する。これは第１実施形態におけるＳ９０５の処理に相当する。
第１実施形態の復号化部２２３には、多数の入館証１００から暗号化認証用データが送られてくることが予定されていたが、第２実施形態の復号化部２２３には、その錠装置２００Ａと対になった鍵装置１００Ａからの暗号化認証用データが送られてくることしか予定されていない。
したがって、復号化部２２３は、第１実施形態の場合とは異なり、暗号化認証用データの復号化を行う際に用いる鍵を、多数の鍵から選択する必要はない。第２実施形態の復号化部２２３は、１つの鍵を持っており、その鍵を用いて復号化の処理を行う。
復号化部２２３が暗号化認証用データを復号化すると暗号化認証用データは、認証用データに戻る。上述したように、認証用データにはユーザＩＤと、条件データとが含まれている。これらユーザＩＤ、及び条件データは、復号化部２２３から判定部２２４へと送られる。

復号化部２２３から、ユーザＩＤとともに認証用データであるユーザＩＤ、及び条件データを受取った判定部２２４は、認証判定を行う。これは、第１実施形態におけるＳ９０６の処理に相当する。認証判定は、鍵装置１００Ａから錠装置２００Ａにおけるコンピュータ２０５Ａに送られてきた暗号化認証用データが真正なものか否か、つまり錠装置２００Ａにおける駆動装置２０６Ａに解錠の処理をさせて良いか否かについての判定である。
これには限られないが、この実施形態では、以下の２項目により判定を行う。
まず第１項目である。第１項目においては、錠装置２００Ａが保持していたユーザＩＤと、認証用データの一部であるユーザＩＤとが一致するか否かの判定を行う。それを可能とするため、各錠装置２００Ａの例えば判定部２２４は、その錠装置２００Ａと対になった鍵装置１００Ａの第１記録部１２３に記録されていたのと同じユーザＩＤを保持している。第１項目についての判定では、両者が一致すれば肯定的、両者が一致しなければ否定的判定がなされる。
次に、第２項目である。第２項目の判定は、第１実施形態の場合と同様に、認証用データに含まれていた条件データによって特定される条件が充足されているか否かの判定を行う。第２項目についての判定では、条件が充足されれば肯定的、条件が充足されないのであれば否定的判定がなされる。
かかる条件は、第１実施形態の場合と同じく、暗号化認証用データが本願の実行装置たる錠装置２００Ａに送られるとき、或いはその前後に満たされるべき条件を特定するものである。
条件データで特定される条件は、例えば、「鍵装置１００Ａから錠装置２００Ａに暗号化認証用データを送信した後に鍵装置１００Ａとしてのスマートフォンをユーザから見て特定の方向（例えば、この例では手前側とする。）に動かす、或いは裏返す」というものとすることができる。この条件が満足されているか否かを、判定部２２４は判定する。かかる判定を行うには、例えば、上述のカメラ２０７Ａからの画像データを用いることができる。カメラ２０７Ａは、扉の前に立ったユーザの手元周辺の動画を例えば、常時、或いは人感センサ等により扉の傍に人が近づいて来たことが検知された瞬間から撮像する。それによりカメラ２０７Ａにより生成された画像データは、インターフェイス２１４、データ入出力部２２１、主制御部２２２を経て、判定部２２４へと送られる。判定部２２４はその画像データに対して公知、或いは周知の画像処理を施して、上述の条件が充足されているか判定する。
条件データで特定される条件は上記に関わらず、例えば、「一度カメラ２０７Ａに鍵装置１００Ａたるスマートフォンの裏側を見せてから鍵装置１００Ａから錠装置２００Ａへの暗号化認証用データの送信を行う」、「暗号化認証用データを続けて２回送信する」といったものとすることができる。これら条件が充足されたかはいずれも、カメラ２０７Ａによって生成された画像データにより、或いは第２通信機構２０４Ａから入力される情報により、判定可能である。もっとも、カメラ２０７Ａからの画像データが判定部２２４に入力されるというのは例示であって、判定部２２４には上述の判定をなすために必要なデータが入力され、それにより判定部２２４が条件データで特定される条件が満足されたか否かの判定を行うことができるようにすることが必要である。例えば、「暗号化認証用データの送信がされる際、又はその前２秒以内、或いはその後２秒以内に、ドアノブを開ける方向に移動させる動作をユーザが行う」といった条件を設定することを予定するのであれば、ドアノブにそのような動作を検知するセンサを設けておき、そのセンサからコンピュータ２０５Ａに対してドアノブの動作に関するデータを入力させる必要がある。
この実施形態では、上述の第１項目と第２項目の双方が肯定的であったときのみ肯定的な判定データが生成され、第１項目と第２項目の少なくとも一方が否定的であったときは否定的な判定データが生成される。なお、判定部２２４は、第２項目のみによって判定をなすようになっていてもよい。
以上で認証判定が終了する。
いずれにせよ、生成された判定データは、判定部２２４から主制御部２２２へと送られる。

主制御部２２２は、判定部２２４から判定データを受取る。そして、認証判定の結果生成された判定データにしたがった以下のような処理を実行する。
判定データが肯定的なものであった場合、主制御部２２２は、例えば暗号化認証用データに付されていた解錠の指示に基いて駆動データを生成する。駆動データは、駆動装置２０６Ａに扉の錠を解錠させるためのデータである。駆動データは、データ入出力部２２１、インターフェイス２１４を介して、駆動装置２０６Ａに送られる。これを受付けた駆動装置２０６Ａは、それまで施錠されていた自扉の鍵を解錠する。これは、第１実施形態におけるＳ９０７の処理に相当する。扉における鍵が解錠されたら、ユーザは、ホテルの当該錠装置２００Ａが設けられていた扉を有する部屋に入室することができる。
暗号化認証用データの復号化部２２３での復号化をできなかった場合もそうであるが、判定データが否定的である場合には、主制御部２２２は解錠データを生成しない。したがって、結果として扉の錠は解錠されないから、暗号化認証用データを錠装置２００Ａに送った者はその部屋に入室することができない。錠装置２００Ａは、暗号化認証用データを復号化できなかった、或いは判定データが否定的なものである場合において、第１実施形態の場合と同様に、警報を鳴らすとか、所定のランプを点滅させるとかの中間者攻撃等による不正があったことを周辺に知らせるための構成を備えていても構わない。また、第２実施形態における主制御部２２２は、一旦上述の如き駆動データを生成してそれを駆動装置２０６Ａに送った後、更に異なるデータを生成してそれを駆動装置２０６Ａに送ることにより、駆動装置２０６Ａが、扉の錠を施錠し以後、例えばホテルの従業員により所定の処理がなされるまで扉の錠を解錠させないようにすることができる。この場合、扉の錠が解錠されてから施錠されるまでの時間は、例えば１５秒程度とすることができる。この時間は、中間者攻撃を行うことによって不正にホテルの部屋に侵入しようとした者が部屋に入るのに十分であり、且つその者がその部屋から再び出るには不十分な時間である。そのようなタイミングでいわばホテルの部屋の扉をロックすることによって、不正にホテルの部屋に侵入しようとした者をその部屋の内部に閉じ込めることができる。

なお、上述の例において、暗号化認証用データが正当な処理により鍵装置１００Ａから錠装置２００Ａに送られた場合に、つまり肯定的な判定データが生成された場合において主制御部２２２で生成される駆動データは、駆動装置２０６Ａに錠を解錠させるものであった。他方、駆動データは、駆動装置２０６Ａに錠の状態を変化させる、例えば、それまで錠が施錠されていたのであれば解錠し、それまで錠が開放されていたのであれば施錠する、ものとすることができる。両動作を駆動装置２０６Ａに行わせる駆動データは同じものであって良い。
この場合、扉に設けられている錠はいわゆるオートロック機構を備えないものとするのが自然である。ユーザは自分の意志で、暗号化認証用データを鍵装置１００Ａから錠装置２００Ａに送る度に、交互に、錠の施錠と解錠とを切換えることができるようになる。

また、鍵装置１００Ａから錠装置２００Ａに送られる暗号化認証用データに、暗号化されていてもいなくても良いが、その暗号化認証用データを受取った錠装置２００Ａにおける駆動装置２０６Ａが、扉の錠を解錠することを指示するデータである解錠データ、又はその暗号化認証用データを受取った錠装置２００Ａにおける駆動装置２０６Ａが、扉の錠を施錠することを指示するデータである施錠データを付すことも可能である。
例えば、ユーザが解錠データを暗号化認証用データに付加して鍵装置１００Ａから錠装置２００Ａへと暗号化認証用データを送ることを選択したとする。かかる選択は、入力装置１０２の操作によって行うことができ、かかる操作によって入力されたデータに基づき主制御部１２１は解錠データを生成する。その場合、解錠データと暗号化認証用データは、第２通信機構２０４Ａ、インターフェイス、データ入出力部２２１を介して錠装置２００Ａの主制御部２２２に送られる。主制御部２２２が暗号化認証用データを復号化部２２３に送った後の処理は上述した通りである。主制御部２２２は、肯定的な判定データを判定部２２４から受取った場合には解錠データに基づき、駆動データを、それを受取った駆動装置２０６Ａが錠を解錠させるものとして生成する。そして、それを受取った駆動装置２０６Ａは、その直前の状態で錠が解錠されていたか施錠されていたかによらず、錠を解錠させるように駆動する。
他方、ユーザが施錠データを暗号化認証用データに付加して鍵装置１００Ａから錠装置２００Ａへと暗号化認証用データを送ることを選択したとする。上述の場合と同様にして施錠データは主制御部１２１によって生成される。その場合、施錠データと暗号化認証用データは、第２通信機構２０４Ａ、インターフェイス、データ入出力部２２１を介して錠装置２００Ａの主制御部２２２に送られる。主制御部２２２が暗号化認証用データを復号化部２２３に送った後の処理は上述した通りである。主制御部２２２は、肯定的な判定データを判定部２２４から受取った場合には施錠データに基づき、駆動データを、それを受取った駆動装置２０６Ａが錠を施錠させるものとして生成する。そして、それを受取った駆動装置２０６Ａは、その直前の状態で錠が解錠されていたか施錠されていたかによらず、錠を施錠させるように駆動する。
このように、本願発明の実行装置は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられるものであり、指示装置から指示を受けたときに複数の動作のうちの１つを選択して実行する実行装置とすることができる。この場合、指示装置は、指示が実行装置に送られるとき、或いはその前後に満たされるべき条件を特定するデータである平文の条件データを暗号化して暗号化条件データを生成するとともに、暗号化条件データを、複数の動作から実行すべき動作を指定する情報である動作選択情報（上述の例における解錠データ、又は施錠データがこれに当たる。解錠データ、又は施錠データは必ずしも平文である必要はなく暗号化されていてもよく、また、暗号化された状態で暗号化条件データに含まれていても良い。）とともに実行装置に渡すことにより指示をなすようにすることができる。この場合の実行装置は、暗号化条件データを受取る受取手段と、暗号化条件データを復号化して条件データに戻す復号化手段と、条件データによって特定される条件が充足されたか否かを判定する判定手段と、判定手段が条件データによって特定される条件が充足されたと判定したときに、動作選択情報（動作選択情報が暗号化されていた場合は、復号化された後の動作選択情報）により選択された動作を実行する実行手段と、を有するものとすることができる。

判定データが肯定的である場合も、否定的である場合も、主制御部２２２は、判定データが肯定的であったか否定的であったかという判定データの内容と、その判定データが例えば主制御部２２２に送られてきた日時とを、第２記録部２２５に記録する。なお、ここではユーザＩＤの記録は第１実施形態と異なり不要である。第２実施形態では、主制御部２２２で行われるこの処理を省略しても良い。

他方、この実施形態の電子錠前システムは、上述の如き解錠データ又は施錠データを用いずとも、その直前の状態で錠が解錠されていたか施錠されていたかによらず、錠を解錠させるように、或いはその直前の状態で錠が解錠されていたか施錠されていたかによらず、錠を施錠させるように、駆動装置２０６Ａを駆動させることも可能である。
それは以下のようにして実現可能である。
この場合における条件データは、暗号化条件データが鍵装置１００Ａから錠装置２００Ａに送られるとき、或いはその前後に満たされるべき条件を特定する平文のデータであるが、その内容は、錠の解錠が選択されるときに満たされるべき条件と、錠の施錠が選択されるときに満たされるべき条件の２通りの条件を特定するものとなっている。つまり、この場合の条件データには、複数の条件に加え、それら条件が満足されたときに錠装置２００Ａが実行すべき動作が、互いに紐付けられた状態で記述される。この場合、複数の条件データによって特定される条件は互いに異なるものとされ、それら条件にそれぞれ紐付けられた錠装置２００Ａが実行すべき動作は互いに異なるものとされる。例えば、「解錠を行う場合には、暗号化条件データが送信された後に鍵装置１００Ａを左右に動かす」という内容と、「施錠を行う場合には、暗号化条件データが送信された後に鍵装置１００Ａを上下に動かす」という内容とが、条件データで特定される内容となるようにして、条件データは生成される。前者の場合、錠装置２００Ａが実行すべき動作は解錠であり、後者の場合、錠装置２００Ａすべき動作は施錠である。
このような条件データを、インターフェイス、データ入出力部２２１、主制御部２２２を介して受取った復号化部２２３は、既に述べた通りその暗号化条件データを復号化する。そうすると、暗号化条件データは、平文の条件データに戻る。復号化部２２３は条件データを判定部２２４に送る。判定部２２４は、例えば、上述のようにして主制御部２２２から送られてくるカメラ２０７Ａからの入力に基いて、条件データで特定される上述の２つの条件のいずれが満足されるか、或いはいずれも満足されないかの判定を行う。この場合においては、これが上述の第２項目についての判定となる。いずれかの条件が満足された場合、判定部２２４は、第２項目についての判定を肯定的なものとする。
判定部２２４は、上述の第１項目と、第２項目の双方が肯定的な結果となった場合にのみ、肯定的な判定データを生成してそれを主制御部２２２に送る。それ以外の場合には、判定部２２４は、否定的な判定データを生成して主制御部２２２に送る。なお、肯定的な判定データには、第２項目において満足された条件と紐付けられていた、錠装置２００Ａが実行すべき動作についてのデータが付加される。
否定的な判定データを受取った場合の主制御部２２２の処理、及び以降の処理は既に述べた場合と同じで良い。他方、肯定的な判定データを主制御部２２２が受取った場合には、主制御部２２２は、判定データに付加されていた動作を駆動装置２０６Ａに実行させるための駆動データを生成する。例えば、判定部２２４で第２項目の判定で、「暗号化条件データが送信された後に鍵装置１００Ａを左右に動かす」という条件が満足されたとする。その場合、その条件と対応付けられていた動作は、解錠である。したがって、主制御部２２２が生成する駆動データは、駆動装置２０６Ａに錠を解錠させるものとなる。かかる駆動データは、主制御部２２２から、データ入出力部２２１、インターフェイスを経て駆動装置２０６Ａに送られる。これを受取った駆動装置２０６Ａはその駆動データにしたがって、錠を解錠させる。
このようにすれば、暗号化条件データに動作を選択するための情報を付加しなくとも、錠装置２００Ａが選択しうる複数の動作のうちの１つを、任意に選択して錠装置２００Ａに実行させることができる。
このように、本願発明の実行装置は、動作を行うきっかけとなる指示を送ることのできる装置である指示装置と組合せて用いられるものであり、指示装置から指示を受けたときに複数の動作のうちの１つを選択して実行する実行装置とすることができる。この場合、指示装置は、指示が実行装置に送られるとき、或いはその前後に満たされるべきそれぞれ異なる条件を特定するデータである平文の条件データ複数であって、各条件データのそれぞれに、当該条件データで特定される条件が満足されたときに実行装置が実行すべそれぞれ異なる動作を特定する情報である動作選択情報が一対一対応で紐付けられているものを暗号化して暗号化条件データを生成するとともに、暗号化条件データを実行装置に渡すことにより指示をなすようになっている。この場合における実行装置は、暗号化条件データを受取る受取手段と、暗号化条件データを復号化して条件データに戻す復号化手段と、条件データによって特定される条件のいずれかが充足されたか否かを判定する判定手段と、判定手段が条件データによって特定される条件が充足されたと判定したときに、動作として、判定手段で充足されたと判定された条件データと紐付けられていた動作選択情報によって特定される動作を実行する実行手段と、を有する。

＜変形例＞
変形例による電子錠前システムは第２実施形態における電子錠前システムと殆ど同じである。
第２実施形態の電子錠前システムでは、鍵装置１００Ａから錠装置２００Ａへの暗号化認証用データの受け渡しは、鍵装置１００Ａの第１通信機構と錠装置２００Ａの第２通信機構２０４Ａとの間の無線通信によって実現された。これに代えて、以下のように画像によって、その受け渡しを行うという点でのみ、変形例の電子錠前システムは第２実施形態の電子錠前システムと異なる。

第２実施形態における電子錠前システムでは、暗号化部１２４から暗号化認証用データを受取った鍵装置１００Ａにおける主制御部１２１は、それをデータ入出力部１２２からインターフェイス、第１通信機構を介して、錠装置２００Ａの第２通信機構２０４Ａに送るようにしていた。
これに対して、変形例では、暗号化部１２４から暗号化認証用データを受取った鍵装置１００Ａにおける主制御部１２１は、暗号化認証用データに基いて、暗号化認証用データを特定することのできる画像である暗号化画像についてのデータである暗号化画像データを生成する。暗号化画像は、所定の規則に従って暗号化画像から暗号化認証用データを特定することができる画像であればどのようなものでもよく、例えば、二次元バーコードとすることができる。主制御部１２１は、かかる暗号化画像データを、データ入出力部１２２、インターフェイスを介してディスプレイ１０１に送る。ディスプレイ１０１には、例えば、図１０に示したようにして、暗号化画像１０１Ｘが表示される。
ユーザは、鍵装置１００Ａたるスマートフォンのディスプレイ１０１を錠装置２００Ａのカメラ２０７Ａに向け、ディスプレイ１０１に表示された暗号化画像１０１Ｘを、カメラ２０７Ａに撮像させる。
暗号化画像を含む画像についての画像データがカメラ２０７Ｘで生成され、インターフェイス、データ入出力部２２１を介して錠装置２００Ａの主制御部２２２に入力される。変形例における錠装置２００Ａの主制御部２２２は、暗号化画像から暗号化認証用データを生成する機能を有している。主制御部２２２は、暗号化画像から暗号化認証用データを生成する、或いは取出す。
かかる暗号化認証用データを主制御部２２２から復号化部２２３に送る処理以降は、第２実施形態と同様である。
このように、変形例によれば、第１通信機構と第２通信機構２０４Ａとを用いずとも、暗号化認証用データを鍵装置１００Ａから錠装置２００Ａへと受け渡すことができる。

≪第３実施形態≫
第３実施形態は、イグニッションシステムに関する。
もっとも、第３実施形態は、第２実施形態と殆ど同じである。
第３実施形態によるイグニッションシステムは、鍵装置と、イグニッション装置とを備えて構成される。
第３実施形態による鍵装置は第２実施形態における鍵装置１００Ａに相当するものであり、もっと言えば第２実施形態における鍵装置１００Ａと同じものとすることができ、これには限られないがこの実施形態ではそうされている。
第３実施形態によるイグニッション装置は、第２実施形態における錠装置２００Ａと殆ど同じものであり、図９に示されたように構成されており、その駆動装置の機能が第２実施形態における錠装置２００Ａの駆動装置２０６Ａと異なる点を除き、第２実施形態における錠装置２００Ａと同じである。第３実施形態によるイグニッション装置は、所定の動力装置を始動させるための装置であり、例えば自動車に搭載された、動力装置としての自動車のエンジンを始動させるための装置である。その場合当然にイグニッション装置は、動力装置が搭載された自動車に搭載される。
第２実施形態における駆動装置２０６Ａは、最も基本的な例では、肯定的な判定データを受取った主制御部２２２が生成した駆動データを主制御部２２２から受取った場合に錠を解錠するものとなっていたが、第３実施形態における駆動装置は、肯定的な判定データを受取った主制御部２２２が生成した駆動データを主制御部から受取った場合に、動力装置、例えば、自動車のエンジンを駆動させるようになっている。
自動車の場合であれば、判定手段でその充足性が判定されることになる、条件データによって特定される条件に、例えば、「鍵装置１００Ａからイグニッション装置へと暗号化認証用データが送られた後にブレーキペダルを２回踏む」とか、「ブレーキペダルを踏みながら鍵装置１００Ａからイグニッション装置へと暗号化認証用データを送る」とか、「鍵装置１００Ａからイグニッション装置へと暗号化認証用データが送られる前にアクセルペダルを１回踏む」といったものとすることができる。これらの条件が設定された場合には、ブレーキペダルやアクセルペダルから判定部２２４に、ブレーキペダルやアクセルペダルにどのような操作がなされたかを示すデータが入力されるようにすれば良い。ブレーキペダルやアクセルペダルに限らず、自動車の室内には操作可能な部材が多数あるから、それらの操作を条件データで特定される条件に含めることが可能である。

１００ 入館証
１２０ 制御部
１２１ 主制御部
１２２ データ入出力部
１２３ 第１記録部
１２４ 暗号化部
２００ セキュリティゲート装置
２０１ 本体部
２０３ ゲート板
２０４ ゲート電極
２０５ ゲートコンピュータ
２２０ 制御部
２２１ データ入出力部
２２２ 主制御部
２２３ 復号化部
２２４ 判定部
２２５ 第２記録部

Claims (14)

1. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置であり、
   前記実行装置は、
   前記指示が前記指示装置から送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データを前記指示装置が暗号化することにより生成した暗号化条件データを前記指示として受取る受取手段と、
   前記暗号化条件データを復号化して前記条件データに戻す復号化手段と、
   前記条件データによって特定される前記条件が充足されたか否かを判定する判定手段と、
   前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行手段と、
   を有する、
   実行装置。
2. 前記指示装置が前記実行装置に渡す前記暗号化条件データが鍵であり、
   前記実行装置は、錠であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、解錠である、
   請求項１記載の実行装置。
3. 前記指示装置が前記実行装置に渡す前記暗号化条件データが認証データであり、
   前記実行装置は、認証装置であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、前記認証データが真正なものと認証することである、
   請求項１記載の実行装置。
4. 前記指示装置が前記実行装置に渡す前記暗号化条件データが認証データであり、
   前記実行装置は、所定の動力装置を始動させるための始動装置であり、前記判定手段が前記条件データによって特定される前記条件が充足されたと判定したときに前記実行手段が行う前記第１動作が、前記動力装置を始動させることである、
   請求項１記載の実行装置。
5. 前記指示装置は、前記暗号化条件データを特定することが可能な画像である暗号化画像を表示することのできるディスプレイを備えており、
   前記受取手段は、前記ディスプレイに表示された前記暗号化画像を撮像することのできる撮像手段であり、
   前記実行装置は前記暗号化画像を撮像手段である前記受取手段で撮像することにより、前記指示装置から前記暗号化条件データを受取るようになっている、
   請求項１記載の実行装置。
6. 前記指示装置は、無線で前記暗号化条件データを送信する送信装置を備えており、
   前記受取手段は、前記暗号化条件データを無線で受信する受信装置である、
   請求項１記載の実行装置。
7. 前記実行手段は、前記条件が充足されないと前記判定手段が判定した場合に、前記１種類のみの動作とは異なる動作である第２動作を行うようになっている、
   請求項１記載の実行装置。
8. 前記第２動作は、前記第１動作に前記第１動作とは異なる動作が追加されたものである、
   請求項７記載の実行装置。
9. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置で実行される方法であって、
   前記実行装置が実行する、
   前記指示が前記指示装置から送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データを前記指示装置が暗号化することにより生成した暗号化条件データを前記指示として受取る受取過程と、
   前記暗号化条件データを復号化して前記条件データに戻す復号化過程と、
   前記条件データによって特定される前記条件が充足されたか否かを判定する判定過程と、
   前記判定過程で前記条件データによって特定される前記条件が充足されたと判定されたときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行過程と、
   を含む、
   方法。
10. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置と組合せて用いられるものであり、前記指示装置から指示を受けたときに動作を行う実行装置として所定のコンピュータを機能させるためのコンピュータプログラムであって、
    前記コンピュータに、
    前記指示が前記指示装置から送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データを前記指示装置が暗号化することにより生成した暗号化条件データを前記指示として受取る受取過程と、
    前記暗号化条件データを復号化して前記条件データに戻す復号化過程と、
    前記条件データによって特定される前記条件が充足されたか否かを判定する判定過程と、
    前記判定過程で前記条件データによって特定される前記条件が充足されたと判定されたときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行する実行過程と、
    を実行させるためのコンピュータプログラム。
11. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるものであって、
    前記指示装置は、
    前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データであって、前記実行装置が前記条件データによって特定される前記条件が充足されたと判定したときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行するために、前記実行装置によって前記条件が充足されたか否かが判定される前記条件データを生成する条件データ生成手段と、
    前記条件データを暗号化した暗号化条件データであって、前記実行装置によって復号化されて前記条件データに戻される前記暗号化条件データを生成する暗号化手段と、
    前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示手段と、
    を備えている指示装置。
12. 前記条件データを生成するためのデータの入力を行うための入力手段を備えており、
    前記条件データ生成手段は、前記入力手段からの入力に応じて前記条件データを生成できるようになっている、
    請求項１１記載の指示装置。
13. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるもので実行される方法であって、
    前記指示装置が実行する、
    前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データであって、前記実行装置が前記条件データによって特定される前記条件が充足されたと判定したときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行するために、前記実行装置によって前記条件が充足されたか否かが判定される前記条件データを生成する条件データ生成過程と、
    前記条件データを暗号化した暗号化条件データであって、前記実行装置によって復号化されて前記条件データに戻される前記暗号化条件データを生成する暗号化過程と、
    前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示過程と、
    を含んでいる方法。
14. 動作を行うきっかけとなる指示を送ることのできる、ユーザが保持する可搬の装置である指示装置であり、前記指示装置から指示を受けたときに動作を行う実行装置と組合せて用いられるものとして所定のコンピュータを機能させるためのコンピュータプログラムであって、
    前記コンピュータに、
    前記指示が前記実行装置に送られるとき、或いはその前後に満たされるべき、経時的であり選択可能なユーザの行為についての条件を特定するデータである平文の条件データであって、前記実行装置が前記条件データによって特定される前記条件が充足されたと判定したときに、前記動作として、予め定められた１種類のみの動作である第１動作を実行するために、前記実行装置によって前記条件が充足されたか否かが判定される前記条件データを生成する条件データ生成過程と、
    前記条件データを暗号化した暗号化条件データであって、前記実行装置によって復号化されて前記条件データに戻される前記暗号化条件データを生成する暗号化過程と、
    前記暗号化条件データを前記実行装置に渡すことにより前記指示をなす指示過程と、
    を実行させるためのコンピュータプログラム。

Images