JP4574335B2 - セキュリティシステム、認証サーバ、認証方法、およびプログラム - Google Patents

Description

本発明は、セキュリティシステムの技術に関し、特に特にオフィス、病院、および集合住宅等における入退室の際の本人認証やコンピュータが提供するサービスを利用する際に行なわれる本人認証の技術に関する。

コンピュータによる本人認証の技術は、様々な用途で利用されている。例えば、本人認証の技術は、オフィスビル、マンション等の入退室管理やパソコン（ＰＣ）を用いたサービスを利用する際のユーザ認証に利用されている。

オフィスビルやマンション等では、建物や部屋の出入口に設置した認証装置を用いた入退室管理が行なわれている。認証装置を用いた入退室管理では、予め認証装置に利用者を認証するための認証情報を保持させておく。認証装置は、利用者が入力する認証情報を受け付け、受け付けた認証情報と、自身が保持している認証情報とを比較することで認証を行なうようにしている。ここでの認証の手段には、パスコード、ＩＣカード、生体認証等が利用されている。

パソコン（ＰＣ）を用いたサービスを利用する際の認証では、ＰＣ内やサービスを提供するサーバマシン内に、サービス毎に設定された認証情報を登録しておく。そして、ＰＣやサーバマシンは、サービス毎に設定された認証情報と、利用者が入力した情報とを比較することで認証を行っている。ここでの認証手段としては、ユーザ名およびパスワードの組や、ＰＣに接続された周辺機器を利用したＩＣカードや生体認証が利用されている。

また、最近では、ネットワーク技術の発展に伴い、これらの認証装置をネットワークに相互に接続して、集中管理を行うことが可能となってきている。集中管理を行うようにすれば、各認証装置での認証の履歴を保存し、後から不正を発見することが可能となる。

従来から、ひとつの認証装置に複数の認証手段を設けておいて、利用者の選択する認証手段により認証を行なう技術が知られている（例えば、特許文献１）。特許文献１では、利用者に選択された認証手段が行なった認証の結果が所定の認証精度を満たしているか否かを判定するようにしている。そして、所定の認証精度を満たす場合にその利用者を認証する。

また、従来から、利用者に提供するサービスに応じて認証の精度を変更させる技術が知られている（例えば、特許文献２）。特許文献２では、機密性が高い情報へのアクセスや高額の商品を購入する際の認証精度を高い値に設定する。また、特許文献２では、機密性が低い情報へのアクセスや低額の商品を購入する際の認証精度を低い値に設定する。

特開２００３−１３２０２３号公報 特開２００３−２４８６６１号公報

ところで、オフィスビルや工場等の施設では、時間帯により、同時に多くの人が出入口に来ることがある。また、利用者が認証に失敗して、繰り返し認証をリトライすることがある。このような場合、所定のセキュリティレベルを確保しようとすれば、認証処理のために一定の時間がかかり、結果的に出入口（ドア等）付近に認証を待つ人の停滞が発生して利便性が損なわれることがある。また、オフィスビルや工場等の施設では、セキュリティを確保する必要があるエリア（部屋や場所等）が複数存在することがある。このような施設には、建物の出入口だけではなく、各エリアの出入口にも本人を認証するための認証装置が設けられていることがある。なお、同じ施設内にセキュリティを確保する必要があるエリアが複数ある場合においても、求められるセキュリティレベルは、認証処理が行なわれるエリアや時間帯により異なることが多い。

また、マンション等の集合住宅において、セキュリティを確保するために、各階毎に出入口を設けるようにすることも考えられる。この場合、建物のエントランス（出入口）だけでなく、他の場所（例えば各階毎に設けた出入口）にも本人を認証するための認証装置を設けるようにすればセキュリティが強化される。なお、マンション等に複数の認証処理装置を設け、所定のセキュリティレベルを確保しようとすれば、マンションの住人の認証処理の負担をかけてしまう。

特許文献１は、利用者に選択された認証手段により認証を行なう。特許文献２は、提供するサービス毎に認証処理の精度を定めている。しかしながら、特許文献１および２に記載の技術は、利用者の認証処理の負担を軽減し、かつ所定の認証レベルを確保することについて特に考慮されていない。特許文献１は、複数の認証手段を利用者に提供しているが、その認証レベルは固定されている。特許文献２は、提供するサービス毎にその認証レベルが設定されている。さらに、特許文献１および２に記載の技術は、複数の場所で認証処理が行なわれる場合の認証時間を短縮させることについて特に考慮されていない。

そこで、本発明の目的は、本人認証を行なうシステムにおいて、利用者の認証処理の負担を軽減し、かつ所定の認証レベルを確保することにある。

上記課題を解決するため、本発明の一態様は、複数の認証装置と、該認証装置にネットワークを介して接続されている認証サーバとを有するセキュリティリティシステムに適用される。

そして、前記認証装置は、利用者を認証するための認証情報毎に該利用者を識別する個人識別情報を対応付けた個人情報と、自身を識別する機器識別情報とを予め記憶していて、利用者からの認証情報の入力を受付ける認証情報受付手段と、前記記憶している個人情報を用いて前記受付けた認証情報に対応付けられている個人識別情報を特定する手段と、前記特定した個人識別情報および前記記憶している機器識別情報を前記認証サーバに送信する送信手段と、前記送信した個人識別情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信する手段と、前記受付けた認証情報、前記個人情報、および前記受信した認証基準を用いて該利用者に対する認証処理を行なう認証手段と、を有する。

また、前記認証サーバは、前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証処理の認証結果を対応付けた認証履歴情報と、を記憶する手段と、前記認証装置から送信された個人識別情報および機器識別情報を受信する手段と、前記受信した個人識別情報および機器識別情報と、前記記憶している機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出する算出手段と、前記算出した認証基準を前記個人識別情報および機器識別情報を送信した認証装置に送信する手段と、を有し、前記認証結果には、認証処理が行なわれた日付および時刻を示す情報が含まれていて、前記算出手段は、前記機器情報を用いて前記受信した機器識別情報に対応付けられている位置情報を特定し、前記認証情報を用いて該特定した位置情報が示すエリアに定められている認証処理の精度を特定し、前記カレンダ情報を用いて現在の日付および時間帯に対応付けられている認証処理の精度を特定し、該位置情報が示すエリアに定められている認証処理の精度および該日付および時間帯に対応付けられている認証処理の精度を用いて前記認証基準を求め、前記記憶している認証履歴の中に前記受信した個人識別情報に対応付けられている認証結果が在る場合、該認証結果に含まれる認証処理が行なわれた日付および時刻を示す情報と現在の日付および時刻との時間差を求め、該時間差が所定時間より大きい場合、前記求めた認証基準の値を増加する補正を行う。

本発明によれば、認証処理を行なう際、認証を行なうエリアに対応付けた認証処理の精度と、日付および時間帯に対応付けた認証処理の精度と、利用者の認証履歴とを用いて認証処理の精度を示す認証基準を求めるようにしている。すなわち、本発明では、日付、時刻、エリア、および認証履歴に応じて認証基準の精度を増減させることができる。そのため、営業状況や生活状況に応じた認証処理を行なうことや、一度認証されている利用者の認証処理の負担を軽減することができる。また、目的地に至るまでに複数の認証装置による認証処理を受ける必要がある場合に利用者が目的地へ至る途中で不正を行っていた場合でも、最終的に確実に認証が行われるようにすることができる。

以下、本発明の一実施形態が適用された利用者の入退室管理および端末のアクセス管理を行うセキュリティシステムについて図面を用いて説明する。なお、以下の説明では、本実施形態のセキュリティシステムをビル内のオフィスに適用した場合を例にするが、特にこれに限定するものではない。例えば、本実施形態をマンションや病院等の施設の入退室管理に利用することも可能である。

図１は、本発明の実施形態が適用されたセキュリティシステムの機能ブロック図である。

図示するように、セキュリティシステムは、認証サーバ１００と、認証装置１２０−ａおよび１２０−ｂと、を有する。認証サーバ１００と各認証装置１２０−ａ〜１２０−ｂとは、各々、相互にネットワーク１１０を介して接続されている。なお、図示する説明では、認証装置１２０−ａおよび１２０−ｂ（以下、「認証装置１２０」ということもある）が２台の場合を例にしているがこれは例示に過ぎない。本実施形態では、認証装置１２０の数を特に限定しない。

認証サーバ１００は、個人認証を行なうために必要な情報を管理する。認証サーバ１００は、認証装置１２０からの「個人認証を行なうために必要な情報」の送信要求を受付け、要求元の認証装置１２０に要求された「個人認証を行なうために必要な情報」を送信する。また、認証サーバ１００は、認証装置１２０が送信した認証結果を受信して、記憶する。

認証装置１２０は、暗証番号等の認証情報の入力を受付け、利用者に対する認証を行なう。具体的には、認証装置１２０は、認証サーバから「個人認証を行なうために必要な情報」を取得して、取得した「個人認証を行なうために必要な情報」と入力された「認証情報」とを用いて個人認証処理を行う。認証装置１２０は、認証結果を認証サーバ１００に送信する。

ネットワーク１１０は、ビル（もしくはマンション）やオフィス等の施設内に設けられたネットワークである。ネットワーク１１０には、例えば、Ｅｔｈｅｒネットワーク等を用いることができる。なお、ネットワーク１１０は、施設内に閉じたネットワークではなく、インターネット等の施設外部のネットワークを介して接続されていてもよい。

続いて、認証サーバ１００および認証装置１２０の機能構成を説明する。

認証サーバ１００は、個人管理データベース（以下、「個人管理ＤＢ」という）１０１、設備管理データベース（以下、「設備管理ＤＢ」という）１０２、認証管理データベース（以下、「認証管理ＤＢ」という）１０３、データベース管理部（ＤＢ管理部）１０５、登録部１０７、および認証管理部１０６を有する。

個人管理ＤＢ１０１は、後述する利用者に関する情報を記憶する。個人管理ＤＢ１０１は、個人認証情報テーブル１６００（図９）、および個人部署情報テーブル１７００（図１０）を保持する。そして、利用者に関する情報は、個人認証情報テーブル１６００、および個人部署情報テーブル１７００に格納される。個人認証情報テーブル１６００、および個人部署情報テーブル１７００のデータ構成は、後段で詳細に説明する。

設備管理ＤＢ１０２は、後述する認証を行なう認証装置１２０のアドレスや認証を行なう場所等の設備に関する情報を記憶する。設備管理ＤＢ１０２は、場所テーブル１１００（図４）、機器テーブル１２００（図５）、および端末テーブル１３００（図６）を保持する。そして、設備に関する情報は、場所テーブル１１００、機器テーブル１２００、および端末テーブル１３００に格納される。場所テーブル１１００、機器テーブル１２００、および端末テーブル１３００のデータ構成は、後段で詳細に説明する。

認証管理ＤＢ１０３は、後述する認証に関する情報および認証の履歴を記憶する。認証管理ＤＢ１０３は、認証テーブル１４００（図７）、部署テーブル１５００（図８）、業務カレンダーテーブル１８００（図１１）、および認証履歴テーブル１９００（図１２）を保持する。そして、認証に関する情報は、認証テーブル１４００、部署テーブル１５００、および業務カレンダーテーブル１８００に格納される。認証の履歴は、認証履歴テーブル１９００に格納される。認証テーブル１４００、部署テーブル１５００、業務カレンダーテーブル１８００、および認証履歴テーブル１９００のデータ構成は、後段で詳細に説明する。

なお、本実施形態では、上記各テーブル（個人認証情報テーブル１６００、個人部署情報テーブル１７００、場所テーブル１１００、機器テーブル１２００、端末テーブル１３００、認証テーブル１４００、部署テーブル１５００、業務カレンダーテーブル１８００、および認証履歴テーブル１９００）を、個人管理ＤＢ１０１、設備管理ＤＢ１０２、および設備管理ＤＢ１０３の３つのデータベースにそれぞれ分類して記憶するようにしたが、特にこれに限定されるものではない。例えば、上記各テーブルを１つのデータベースに記憶するようにしてもよい。また、実際にはこれらのテーブルはどのデータベースに記憶されていても良いし、データベースの数も３つに限定するものではない。

ＤＢ管理部１０５は、個人管理ＤＢ１０１、設備管理ＤＢ１０２、および認証管理ＤＢ１０３のそれぞれに記憶されているデータの入出力を制御する。具体的には、ＤＢ管理部１０５は、ＳＱＬのクエリを発行して、ＳＱＬのクエリに応じて各データベースの持つデータを取得し、或いは、各データベースの更新を行なう。ＳＱＬのクエリは、ネットワークを介して発行されてもよいし、各データベースの提供する関数ＡＰＩを利用して発行されてもよい。また、これらのデータベースは、認証サーバ１００上ではなく、別のサーバ上に搭載される構成も可能である。

認証管理部１０６は、認証装置１２０との通信、および通信内容の解釈・処理・応答を行う。また認証管理部１０６は、必要に応じてＤＢ管理部１０５に対して情報の取得・登録を要求する。この際、認証管理部１０６は、ＤＢ管理部１０５を利用せずに、直接各データベースへクエリを発行することも可能である。

登録部１０７は、利用者が各データベース（個人管理ＤＢ１０１、設備管理ＤＢ１０２、および認証管理ＤＢ１０３）を更新する際のユーザインターフェースを提供する。利用者は、このユーザインターフェースを利用して、新たな機器が設置された場合や、利用者が増えた場合、ビル内の機器構成が変化した場合等の更新データを入力する。登録部１０７は、利用者が入力した更新データを受付け、その受付けた更新データを用いて、ＤＢ管理部１０５を介して各データベースを更新する。

続いて、認証装置１２０の機能構成を説明する。認証装置１２０は、認証操作部１２１および認証部１２２を有する。認証操作部１２１は、認証部１２２の管理、及び認証サーバ１００との通信処理を行う。認証部１２２は、利用者が入力する情報を受付けてその利用者に対する認証処理を行なう。認証部１２２には、複数の認証デバイス（例えば生体認証装置）が接続されていて、それぞれの認証デバイスを利用して利用者の認証を行なう。

続いて、本実施形態のハードウェア構成を説明する。

図２は、本実施形態のセキュリティシステムのハードウェア構成を示すブロック図である。

最初に認証装置１２０のハードウェア構成を説明する。

認証装置１２０は、ＥＰＲＯＭ２０１、ＣＰＵ２０２、メインメモリ２０３、バス２０４、周辺制御装置２０５、不揮発性記憶装置２０６、ＬＡＮインタフェース(以下、「ＬＡＮＩ／Ｆ」という)２０７、カードリーダインタフェース（以下、「カードリーダＩ／Ｆ」という）２０８、生体認証インタフェース（以下、「生体認証Ｉ／Ｆ」という）２０９、電子錠インタフェース（以下、「電子錠Ｉ／Ｆ」という）２１０、カードリーダ２１１、生体認証装置２１２、電子錠２１３、およびリアルタイムクロック（以下、「ＲＴＣ」という）２１４を有する。

ＲＴＣ２１４は、認証装置１２０が現在時刻を取得する際に利用される。ＬＡＮＩ／Ｆ２０７は、ネットワーク１１０を介して行なうデータの送受信（例えば、認証サーバ１００との間で行うデータの送受信）を制御する。ＥＰＲＯＭ２０１、ＣＰＵ２０２、メインメモリ２０３、周辺制御装置２０５は、バス２０４を介して相互に接続されている。不揮発性記憶装置２０６、ＬＡＮＩ／Ｆ２０７、カードリーダＩ／Ｆ２０８、生体認証Ｉ／Ｆ２０９、電子錠Ｉ／Ｆ２１０、ＲＴＣ２１４は、それぞれ、周辺制御装置２０５に接続される。なお、不揮発性記憶装置２０６は、磁気ディスク装置、フラッシュＲＯＭ等から構成される。

カードリーダＩ／Ｆ２０８、生体認証Ｉ／Ｆ２０９、電子錠Ｉ／Ｆ２１０にはそれぞれ、カードリーダ２１１、生体認証装置２１２、電子錠２１３が接続される。

ＥＰＲＯＭ２０１には、ブートプログラムが保存されている。不揮発性記憶装置２０６には、上述した認証操作部１２１および認証部１２２の機能を実現するためのプログラム（認証プログラム）が保存されている。そして、認証装置１２０が起動するとこのブートプログラムに応じてＣＰＵ２０２が動作する。ＣＰＵ２０２は、ブートプログラムにより、不揮発性記憶装置２０６から認証プログラムをメインメモリ２０３へロードし、この認証プログラムを開始する。ＣＰＵ２０２は、認証プログラムを実行することにより、周辺制御装置２０５を介して、カードリーダＩ／Ｆ２０８、生体認証装置Ｉ／Ｆ２０９、電子錠Ｉ／Ｆ２１０への信号の送受信を行い、カードリーダ２１１、生体認証装置２１２、および電子錠２１３の制御を行う。また、ＣＰＵ２０２は、認証プログラムを実行することにより、後述する認証処理を行なう。

なお、ここでは、生体認証装置として指紋認証装置、静脈認証装置、虹彩認証装置等を想定しているが、これらの認証装置に限定されるものではない。また、インタフェースとして、カードリーダＩ／Ｆ２０８、生体認証装置Ｉ／Ｆ２０９、および電子錠Ｉ／Ｆ２１０の３つを記載しているが、インタフェースの数はこれらに限定されるものではなく、認証デバイスや制御対象デバイスの数に応じて増減するものである。

続いて、認証サーバ１００のハードウェア構造を説明する。

認証サーバ１００には、ＥＰＲＯＭ２２０、ＣＰＵ２３０、メインメモリ２４０、バス２５０、周辺制御装置２６０、不揮発性記憶装置２８０、およびＬＡＮインタフェース(以下、「ＬＡＮＩ／Ｆ」という)２７０を有するコンピュータを用いることができる。

ＥＰＲＯＭ２２０、ＣＰＵ２３０、メインメモリ２４０、周辺制御装置２６０は、バス２５０を介して相互に接続されている。不揮発性記憶装置２８０、およびＬＡＮＩ／Ｆ２７０は、それぞれ、周辺制御装置２６０に接続されている。不揮発性記憶装置２８０は、磁気ディスク装置、フラッシュＲＯＭ等から構成される。ＬＡＮＩ／Ｆ２７０は、ネットワーク１１０を介して行なうデータの送受信（例えば、認証装置１２０との間で行うデータの送受信）を制御する。

ＥＰＲＯＭ２２０には、ブートプログラムが保存されている。不揮発性記憶装置２８０には、上述したＤＢ管理部１０５、認証管理部１０６、および登録部１０７の機能を実現するための各プログラム（ＤＢ管理プログラム、認証管理プログラム、および登録プログラム）が保存されている。そして、認証サーバ１００が起動するとこのブートプログラムに応じてＣＰＵ２３０が動作する。ＣＰＵ２３０は、ブートプログラムにより、不揮発性記憶装置２８０から上記各プログラムをメインメモリ２４０へロードする。ＣＰＵ２３０は、メインメモリ２４０にロードされた各プログラム（ＤＢ管理プログラム、認証管理プログラム、および登録プログラム）を実行することにより、上述したＤＢ管理部１０５、認証管理部１０６、および登録部１０７の機能を実現する。また、上述した個人管理ＤＢ１０１、設備管理ＤＢ１０２、および認証管理ＤＢ１０３は、メインメモリ２４０および不揮発性記憶装置２８０に格納される。

続いて、本実施形態のセキュリティシステムが行なう認証処理の概略について、図３を用いて説明する。

図３は、本実施形態のセキュリティシステムが行なう認証処理の概略を説明するための図である。図３には、セキュリティシステムの各ＤＢ、各部、および利用者の相互の関係を示している。なお、３０１、３０２は利用者を示している。

個人管理ＤＢ１０１、設備管理ＤＢ１０２、および認証管理ＤＢ１０３は、ＤＢ管理部１０５からＳＱＬのクエリ（Ａ３００１〜Ａ３００３）が発行されるとその内容を処理する。そして、個人管理ＤＢ１０１、設備管理ＤＢ１０２、および認証管理ＤＢ１０３は、それぞれ、処理結果（Ａ３０１１〜Ａ３０１３）をＤＢ管理部１０５へ返信する。

ＤＢ管理部１０５は、ＴＣＰ／ＩＰ上でのＨＴＴＰプロトコル等を利用して、認証管理部１０６からの機器ＩＤや個人ＩＤをキーとしたデータの取得要求（Ａ３０２１）、および認証結果登録要求（Ａ３０２２）を受付ける。また、ＤＢ管理部１０５は、登録部１０７からのＤＢ更新要求（Ａ３０２３）を受付ける。

ＤＢ管理部１０５は、各要求（Ａ３０２１〜Ａ３０２３）を受付けると、これをＳＱＬのクエリへ変換し各ＤＢへクエリ（Ａ３００１〜３００３）を発行する。また、ＤＢ管理部１０５は、各ＤＢからの応答（Ａ３０１１〜Ａ３０１３）を受けると、これらの応答のデータ形式の変換を行い、認証管理部１０６、もしくは登録部１０７へ返答する。

認証管理部１０６は、認証装置１２０の認証レベルを管理する。ここで認証レベルとは認証の強度を示す値であり、認証レベルが高いほうがより厳重な認証が行われる。認証管理部１０６は、各認証装置１２０の認証操作部１２１からの個人ＩＤおよび機器ＩＤ（Ａ３０３１）を受信すると、ＤＢ管理部１０５を介し各ＤＢへアクセスし、各機器の個人に応じた認証レベルを決定するために必要な情報を取得し、認証レベル決定の後、認証レベル（Ａ３０３２）を認証操作部１２１へ返答する。また、認証管理部１０６は、認証操作部１２１からの認証結果（Ａ３０３３）を受信すると、ＤＢ管理部１０５を介して認証結果を認証管理ＤＢ１０３へ登録する。登録部１０７は利用者３０２の操作により、更新データが入力されると、ＤＢ管理手段１０５を介してＤＢの更新を行う。

認証装置１２０−ａおよび認証装置１２０−ｂのそれぞれの認証操作部１２１は、認証部１２２に対して認証パラメータ（Ａ３０４２）の設定を行う。認証パラメータは、認証レベルに応じて設定されるパラメータである。認証パラメータとは、例えば指紋認証においては一致すべき特徴点の数のような認証の精度を決定する値や、指紋認証装置に利用者が入力する指紋情報との比較対象である認証用のテンプレートのことをいう。

また、認証操作部１２１は、認証部１２２から認証データもしくは認証結果を受信する（Ａ３０４０〜３０４１）。認証データは、利用者が認証デバイスに入力した値である。例えば認証デバイスがカードリーダのリーダーの場合、カードに記録されているカードＩＤがこれに相当する。認証結果は、認証部１２２で行われた認証の結果である。認証操作部１２１は、認証部１２２から受信した認証結果を認証管理部１０６に送信する（Ａ３０３３）。また、認証操作部１２１は、他の認証装置の認証操作部１３１に受信した認証結果を送信する（Ａ３０５０）。

認証部１２２は、利用者３０１からの認証データの入力を受け付け、認証操作部１２１により設定された認証パラメータを元に、認証データの処理を行う。認証部１２２は、認証の処理を行える場合、認証結果を認証操作部１２１へ送信する。一方、認証部１２２は、認証の処理を行えない場合、利用者の入力した認証データを認証操作部１２１へ送信する。この場合は認証操作部１２１で認証処理を行う。

続いて、本実施形態の認証サーバの各ＤＢに保存されるテーブルのデータ構成について、図４〜１２を用いて説明する。

図４は、本実施形態の場所テーブル１１００のデータ構成を模擬的に示した図である。

図示するように、場所テーブル１１００は、「場所ＩＤ」を登録するためのフィールド１１０１と、「場所名」を登録するためのフィールド１１０２と、「認証レベル」を登録するためのフィールド１１０３と、「隣接場所」を登録するためのフィールド１１０４と、を備えて１つのレコードが構成される。「場所ＩＤ」は、オフィスやマンション内の部屋や通路等の各場所（エリア）に対して一意に決められる数値である。「場所名」は、その場所の名称を示す。「認証レベル」は、その場所における認証の強度である数値を示す。「隣接場所」は、その場所とドアや認証装置を挟んで隣接する場所の場所ＩＤを示す。

図５は、本実施形態の機器テーブル１２００のデータ構成を模擬的に示した図である。機器テーブル１２００は、本実施形態の認証装置１２０の設置場所やアドレス等の情報を登録するためのテーブルである。

さて、図示するように、機器テーブル１２００は、「機器ＩＤ」を登録するためのフィールド１２０１と、「機器名」を登録するためのフィールド１２０２、「認証タイプ」を登録するためのフィールド１２０３と、「設置場所」を登録するためのフィールド１２０４と、「隣接先」を登録するためのフィールド１２０５と、「アドレス」を登録するためのフィールド１２０６と、を備えて１つのレコードが構成される。「機器ＩＤ」は、オフィスやマンションに設置されているそれぞれの認証装置にたいして一意に決められる数値である。「機器名」は、それぞれの認証装置の名称である。「認証タイプ」は、それぞれの認証装置１２０に設けられている認証部２２０の認証手段を識別する認証ＩＤを示す。「設置場所」は、それぞれの認証装置が設置されている場所の場所ＩＤを示す。「隣接先」は、それぞれの認証装置が入場を許可する場所の場所ＩＤを示す。「アドレス」は、それぞれの認証装置のＩＰアドレスを示す。

図６は、本実施形態の端末テーブル１３００のデータ構成を模擬的に示した図である。ここに示す端末（図示しない）とは、利用者３０１が業務で利用するコンピュータ（ＰＣ）などの端末を示し、認証装置１２０とは異なる。なお、端末は、ネットワーク１１０に接続されていて、認証装置１２０が有する認証操作部１２１および認証部１２２を有している。

図示するように、端末テーブル１３００は、「端末ＩＤ」を登録するためのフィールド１３０１と、「端末名」を登録するためのフィールド１３０２、「場所」を登録するためのフィールド１３０３と、「認証タイプ」を登録するためのフィールド１３０４と、「アドレス」を登録するためのフィールド１３０５と、を備えて１つのレコードが構成される。

「端末ＩＤ」は、それぞれの端末に一意に割り当てられた数値である。「端末名」は、それぞれの端末の名称である。「場所」は、それぞれ端末が設置されている場所の場所ＩＤを示す。「認証タイプ」は、それぞれの端末に設けられている認証部１２２の認証手段を識別する認証ＩＤを示す。「アドレス」は、その端末のＩＰアドレスである。ここでは、端末と認証装置との区別を明確にするため、テーブルを分けているが、機器テーブル１２００および端末テーブル１３００を一つのテーブルとして構成することも可能である。この場合は、端末ＩＤを機器ＩＤに置き換え、数値が重複しないようにする。

図７は、本実施形態の認証テーブル１４００のデータ構成を模擬的に示した図である。

図示するように、認証テーブル１４００は、「認証ＩＤ」を登録するためのフィールド１４０１と、「認証名」を登録するためのフィールド１４０２と、「信頼レベル」を登録するためのフィールド１４０３と、を備えて１つのレコードが構成される。「認証ＩＤ」は、それぞれの認証部２２０に対して一意に決められた数値である。「認証名」は、それぞれの認証部２２０の名称である。「信頼レベル」は、それぞれの認証部２２０で認証に成功したときに、認証レベルにおけるどの数値に相当するものかを示す。

図８は、本実施形態の部署テーブル１５００のデータ構成を模擬的に示した図である。

図示するように、部署テーブル１５００は、「部署ＩＤ」を登録するためのフィールド１５０１と、「部署名」を登録するためのフィールド１５０２と、「使用場所」を登録するためのフィールド１５０３と、を備えて１つのレコードが構成される。「部署ＩＤ」は、オフィス内に存在する部署に対して一意に決められた数値である。なお、本実施形態をマンションに適用する場合は、部署の単位は居室に相当する。「部署名」は、それぞれの部署の名称である。「使用場所」は、それぞれの部署が利用できる場所を識別する場所ＩＤを示す。

図９は、本実施形態の個人認証情報テーブル１６００のデータ構成を模擬的に示した図である。

図示するように、個人認証情報テーブル１６００は、「個人ＩＤ」を登録するためのフィールド１６０１と、「カードＩＤ」を登録するためのフィールド１６０２と、「ユーザ名」を登録するためのフィールド１６０３と、「パスワード」を登録するためのフィールド１６０４と、「指紋情報」を登録するためのフィールド１６０５と、「静脈情報」を登録するためのフィールド１６０６と、「顔情報」を登録するためのフィールド１６０７と、を備えて１つのレコードが構成される。「個人ＩＤ」は、利用者３０１を識別するために、利用者ごとに一意に決められた数値である。「カードＩＤ」は、利用者に配布されたカードに与えられた固有の番号である。「ユーザ名」は、利用者が端末を利用する際のログイン名を示す。「パスワード」は、利用者が端末を使用する際のパスワードを示す。「指紋情報」、「静脈情報」、および「顔情報」は、それぞれ利用者の生体情報を示す。ここでは、生体情報として３つ挙げているが、認証手段が増えた場合には、対応する生体認証情報が付加される。また、各生体情報の欄には文字列を記載しているが、実際にはバイナリデータであったり、認証情報を含むファイル名であったり、認証情報にアクセスするためのアドレスであることも可能である。

図１０は、本実施形態の個人部署情報テーブル１７００のデータ構成を模擬的に示した図である。

図示するように、個人部署情報テーブル１７００は、「個人ＩＤ」を登録するためのフィールド１７０１と、「部署」を登録するためのフィールド１７０２と、「利用端末」を登録するためのフィールド１７０３と、「利用場所」を登録するためのフィールド１７０４と、を備えて１つのレコードが構成される。「個人ＩＤ」は、上述した個人認証情報テーブル１６００の個人ＩＤと同じである。「部署」は、利用者が所属する部署を識別するための部署ＩＤを示す。「利用端末」は、利用者が使用する端末の端末ＩＤを示す。「利用場所」は、利用者が利用端末を使用できる場所の場所ＩＤを示す。ここで、「利用場所」に利用者が所属する部署で使用する場所だけでなく、関連する部署の場所も登録しておくこととする。このようにするのは、利用者が他の部署へ出入するのを容易にするためである。

図１１は、本実施形態の業務カレンダーテーブル１８００のデータ構成を模擬的に示した図である。業務カレンダーテーブル１８００は、オフィスやビル、マンション毎に設置されるテーブルである。

図示するように、業務カレンダーテーブル１８００は、「日付」を登録するためのフィールド１８０１と、「時間帯」を登録するためのフィールド１８０２と、「状態」を登録するためのフィールド１８０３と、「認証モード」を登録するためのフィールド１８０４と、を備えて１つのレコードが構成される。

「日付」は、以下で示す「状態」および「認証モード」を適用する日付を示す。「時間帯」は、以下で示す「状態」および「認証モード」を適用する開始時刻と終了時刻を示す。「状態」は、オフィスやビルの営業状態を示す。なお、本実施形態をマンションに適用する場合は、フィールド１８０３がない場合がある。「認証モード」は、認証を行う際の際のモード（認証処理の強弱のレベル）を示す。本実施形態では、「認証モード」として、「通常」、「警戒」、「厳重」、および「開放」の４種類のモードが設けられている場合を例にする。そして、本実施形態のセキュリティシステムは、認証テーブル１９００に登録されている「認証モード」に応じて認証処理の際の認証レベルを増加或いは減少させる。例えば、認証モードが「厳重」の場合は、常に認証レベルが最大となるようにし、認証モードが「警戒」の場合は、通常より認証レベルを一定値アップさせる。認証モードが「通常」の場合は、デフォルト値として定められた認証レベルとする。認証モードが「開放」の場合は、通常より認証レベルを一定値ダウンさせる。日付と時刻に応じて認証レベルを増減させることにより、営業状況や生活状況に応じた認証レベルが設定可能となる。

図１２は、本実施形態の認証履歴テーブル１９００のデータ構成を模擬的に示した図である。

図示するように、認証履歴テーブル１９００は、「個人ＩＤ」を登録するためのフィールド１９０１と、「認証機器（認証装置１２０および端末）」を登録するためのフィールド１９０２と、「認証時刻」を登録するためのフィールド１９０３と、「認証結果」を登録するためのフィールド１９０４と、「場所判定」を登録するためのフィールド１９０５と、を備えて１つのレコードが構成される。「個人ＩＤ」は、認証対象となった利用者の個人ＩＤを示す。「認証機器」は、認証を行った機器の機器ＩＤあるいは端末ＩＤを示す。「認証時刻」は、認証を行った時刻を示す。「認証結果」は、認証の成功か失敗かを示す情報と、認証の際の認証レベルを示す。「場所判定」は、認証を行う際に経路情報に不整合が無かったかどうかの判定結果を示す（経路情報については、後段で説明する）。

続いて、本実施形態のセキュリティシステムが行なう認証処理の流れを説明する。なお、以下では、セキュリティシステムが複数の認証装置１２０−ａおよび１２０−ｂを有する場合を例に説明する。また、認証装置１２０−ａおよび１２０−ｂは、それぞれ、同じ施設の異なる場所に設置されていることとする。そして、認証装置１２０−ａがある利用者の認証処理を行なった後、続けて、認証装置１２０−ｂが同じ利用者に対する認証処理を行なう場合を例にする。

図１３は、本実施形態のセキュリティシステムが行なう認証処理のシーケンス図である。

最初に、認証装置１２０−ａは、利用者３０１が入力する認証情報を受付ける（Ｓ４０００）。具体的には、利用者３０１は、カードリーダ２１１にＩＣカードを接触もしくは近接させたり、指を指紋認証装置や静脈認証装置等の生体認証装置２１２に接触させたりすることで認証情報を認証装置１２０−ａに入力する。認証装置１２０−ａは、カードリーダ２１１や生体認証装置２１２を介して認証情報を受信する。なお、ここでは、利用者３０１がカードＩＤを記憶したＩＣカードをカードリーダ２１１に近接させ、カードＩＤがカードリーダ２１１により読み出されることを想定する。

続いて、認証装置１２０−ａは、カードＩＤを受信すると、受信したカードＩＤから個人ＩＤを特定する（Ｓ４００１）。なお、後述するが、認証装置１２０−ａ、ｂには、カードＩＤ等の認証情報に個人ＩＤを対応付けたテーブル（以下「個人ＩＤテーブル」という）が登録さている。認証装置１２０−ａは、個人ＩＤテーブルを参照して、受信したカードＩＤに対応付けられている個人ＩＤを特定する。その後、認証装置１２０−ａは、特定した個人ＩＤおよび認証装置１２０毎に予め設定されている機器ＩＤを認証サーバ１００の認証管理部１０６へ送信する（Ｓ４００２）。

認証管理部１０６は、個人ＩＤおよび機器ＩＤを受信すると、個人ＩＤと機器ＩＤをキーとしてデータベースにアクセスして情報を取得する（Ｓ４００３〜４００４）。ここで取得される情報は、機器テーブル１２００（図５）の機器ＩＤに対応付けられた「設置場所」および「隣接先」と、場所テーブル１１００（図４）の設置場所に対応付けられた「認証レベル」と、認証履歴テーブル１９００（図１２）の個人ＩＤに関連した項目（以下「履歴情報ともいう」）と、業務カレンダーテーブル１８００（図１１）の日付及び時間帯に関連付けられた項目（以下「カレンダー情報」ともいう）である。

より、具体的には、認証管理部１０６は、機器テーブル１２００（図５）に登録されているレコードの中から、フィールド１２０１に受信した「機器ＩＤ」が登録されているレコードを検索する。認証管理部１０６は、検索されたレコードの「設置場所」を示す場所ＩＤおよび「隣接先」を示す場所ＩＤを取得する。また、認証管理部１０６は、場所テーブル１１００（図４）に登録されているレコードの中から、フィールド１１０１に取得した「隣接先」を示す場所ＩＤが登録されているレコードを検索する。認証管理部１０６は、検索されたレコードの「認証レベル」を取得する。また、認証管理部１０６は、認証履歴テーブル１９００（図１２）に登録されているレコードの中から、Ｓ４００２で受信した「個人ＩＤ」が登録されているレコードを検索して、検索されたレコードを取得する。さらに、認証管理部１０６は、ＲＴＣ２１４から日付及び時間帯を取得する。認証管理部１０６は、業務カレンダーテーブル１８００（図１１）に登録されているレコードの中から、取得した日付及び時間帯が登録されているレコードを検索する。認証管理部１０６は、検索されたレコードを取得する。

続いて、認証管理部１０６は、取得した情報を元に認証レベルの計算を行う（Ｓ４００５）。なお、認証レベルの具体的な計算方法については後述する。認証レベルが決定されると、認証管理部１０６は、認証装置１２０−ａに認証レベルを送信する（Ｓ４００６）。

認証装置１２０−ａは、認証レベルを受信すると、この認証レベルに応じた認証処理を行い、利用者３０１に対して、ドアを開ける等の許可を与える（Ｓ４００７〜４００８）。なお、認証処理の詳細は後で述べる。また、認証装置１２０−ａは、利用者の認証後に、認証結果情報を認証サーバ１００の認証管理部１０６へ送信する（Ｓ４００９）。認証結果情報には、認証可否と認証結果レベルの組である認証結果、認証を行った時間、個人ＩＤ、機器ＩＤが含まれる。

認証管理部１０６は、認証結果情報を受信すると、その内容をＤＢ管理部１１０５に送信し、ＤＢ内の認証履歴テーブル１９００の更新を行う（Ｓ４０１０）。

その後、利用者は、認証装置１２０−ａで認証されると移動して、次に認証装置１２０−ｂで認証を受ける。認証装置１２０−ｂで行なわれる認証手順は、上述した認証装置１２０−ａでの手順と同様である。すなわち、認証装置１２０−ｂは、上述したＳ４００１〜４００２と同様の処理を行い、利用者からの認証情報（カードＩＤ）を受付けて、個人ＩＤを特定する。認証装置１２０−ｂは、特定した個人ＩＤと、予め認証装置１２０−ｂに登録されている機器ＩＤとを認証サーバ１００に送信する（Ｓ４１００〜４１０２）。また、認証サーバ１００は、上述したＳ４００３〜４００６と同様に認証レベルを決定して、認証装置１２０−ｂに決定した認証レベルを送信する（Ｓ４１０２〜４１０６）。そして、認証装置１２０−ｂは、上述したＳ４００７〜４０１０と同様の認証処理を行なう（Ｓ４１０７〜４１０１０）。

但し、Ｓ４１００〜Ｓ４１０９の処理が行なわれる際、認証サーバ１００の認証履歴ＴＢ１９００には、認証装置１２０−ａで行なわれた認証結果が登録されている。また、認証装置１２０−ｂの設置場所も認証装置１２０−ａと異なるため、認証レベルの値が認証装置１２０−ａでの認証の場合と異なる。例えば、認証機器１２０−ａでの認証に失敗していた場合は、認証レベルが高くなり、認証に成功していた場合は認証レベルが低くなる。ここで、認証機器１２０−ａでの認証に失敗していながら、認証装置１２０−ｂで認証を行なう場合とは以下のような場合がある。例えば、利用者自身は、認証装置１２０−ａでの認証処理に失敗したとする。この場合、失敗された認証処理の履歴が認証サーバ１００に登録される。その後、利用者は、認証処理を成功した他の利用者が入場する際に友連れで認証装置１２０−ｂが設置されているエリアに入場してしまうことがある。

このように、本実施形態では、利用者の過去の認証結果を用いて認証レベルを変更するようにしているため、利用者が目的地へ至る途中で不正を行っていた場合でも、最終的には確実に認証が行われるようにすることが可能である。また、利用者の過去の認証結果を用いて認証レベルを変更するため、例えば、管理部のエリアへの認証を成功した利用者がその後、開発部のエリアに入ろうとした場合、認証レベルを下げることにより、利用者の認証処理の負担を軽減することができる。

また、本実施形態では、認証装置１２０が設置されている場所に対応付けて認証レベルを定めておいて、その認証レベルを日付および時間により変更するようにしている。すなわち、本実施形態によれば、認証装置１２０が設置されている場所および日時によりセキュリティレベルを設定できる。そのため、例えば、出入口に設置した認証装置１２０について、平日の通勤時間帯の認証レベルを下げ、通勤時間帯を過ぎた場合には認証レベルを上げるようにして、通勤時間帯の混雑を低減させることができる。また、人通りが少ない休日については、認証レベルを上げてセキュリティの強化を図ることができる。

続いて、図１３で説明した本実施形態の認証処理の変形例について、図１４を用いて説明する。本変形例も、上記同様に認証装置１２０−ａがある利用者３０１の認証処理を行なった後、続けて、同じ利用者３０１を認証装置１２０−ｂが認証処理を行なう場合を例にする。

図１４は、本実施形態のセキュリティシステムが行なう認証処理の変形例のシーケンス図である。

さて、本変形例では、認証装置１２０−ａは、認証処理を行なう際に、認証サーバ１００からその利用者３０１のこれから通過する可能性がある経路にある認証装置１２０に関する経路情報を取得する。認証装置１２０−ａは、経路情報に含まれている認証装置１２０（以下の例では、認証装置１２０−ｂ）に対して、自身が行なった認証結果と、経路情報とを送信する。そして、認証装置１２０−ｂは、上記の送信された認証結果および経路情報を受信し、その受信した認証結果および経路情報を用いて認証レベルを算出する。このように構成することで、認証装置１２０−ｂが認証レベル取得のために認証サーバ１００の認証管理部１０６に毎回アクセスすることがなくなるため、通信トラフィックの軽減が図られる。また、認証レベルの計算を認証サーバの認証管理部１０６ではなく、各認証装置１２０で行うことで、計算の負荷の分散を図ることができる。以下において、この処理の流れについて説明する。

最初に、認証装置１２０−ａは、図１３で説明したＳ４０００〜４００１と同様の処理を行い、利用者３０１からの認証データを取得して、取得した認証データから個人ＩＤを特定する（Ｓ５０００〜５００１）。

その後、認証装置１２０−ａは、特定した個人ＩＤに関連付けられた後述する経路情報を保持しているか否かを判定する（Ｓ５２００）。経路情報とは、利用者３０１の個人ＩＤ毎にその利用者３０１が以前に行なった認証結果と、認証に必要な情報とを関連付けたデータである（経路情報は後述する）。なお、ここでは、認証装置１２０−ａにおいて、利用者３０１が初めて認証される場合を例にする。すなわち、認証装置１２０−ａは、Ｓ５０００で受付けた利用者３０１の経路情報を保持していない。そのため、認証装置１２０−ａは、経路情報を保持していないと判定し、Ｓ５００２の処理に進む。

Ｓ５００２では、図１３で説明したＳ４００２と同様に、個人ＩＤおよび認証装置１２０毎に設定されている機器ＩＤを認証サーバ１００の認証管理部１０６に送信する。

認証管理部１０６は、個人ＩＤおよび機器ＩＤを受信すると、図１３のＳ４００３〜４００４と同様の情報（「設置場所」、「隣接先」、「認証レベル」、「履歴情報」、および「カレンダー情報」）をＤＢ管理部１０５から取得する。なお、「設置場所」、「隣接先」、「認証レベル」、「履歴情報」、および「カレンダー情報」を取得する処理は、Ｓ４００３〜４００４と同様であるため、ここでの説明は省略する。さらに、認証管理部１０６は、取得した「隣接先」を用いて、機器テーブル１２００から取得した「隣接先」が「設置場所」となっているレコードを特定する。認証管理部１０６は、特定したレコードの機器ＩＤを取得する。そして、認証管理部１０６は、取得した「機器ＩＤ」に対応付けられている「設置場所」、「隣接先」、「アドレス」、および「認証レベル」を取得する（Ｓ５００３〜Ｓ５００４）。

具体的には、認証管理部１０６は、機器テーブル１２００（図５）に登録されているレコードの中から、取得した「隣接先」の場所ＩＤが登録されているフィールド１２０４を持つレコードを検索する。認証管理部１０６は、検索の結果、「隣接先」の場所ＩＤが登録されているフィールド１２０４を持つレコードを見つけた場合、検索されたレコードの「設置場所」、「隣接先」、「アドレス」を取得する。さらに、認証管理部１０６は、場所テーブル１１００（図４）に登録されているレコードの中から、フィールド１１０１に取得した「隣接先」が登録されているレコードを検索する。そして、認証管理部１０６は、検索されたレコードの「認証レベル」を取得する。認証管理部１０６は、受信した「個人ＩＤ」に、取得した「機器ＩＤ」、「設置場所」、「隣接先」、「認証レベル」、および「アドレス」を対応付けた隣接先情報を生成する。認証管理部１０６は、さらに、生成した隣接先情報中に含まれる「隣接先」から上記と同様の手順により再帰的に隣接先情報を生成する。認証管理部１０６は、これら複数の隣接先情報を集めて経路情報とする。

このように、機器テーブル１２００を利用して隣接先に設置されている認証装置１２０の「機器ＩＤ」、「設置場所」、「隣接先」、「認証レベル」、「アドレス」を調べることで、利用者が通過する可能性のある場所に設置されていて、利用者により操作される可能性がある認証装置１２０の情報を作成することができる。

さらに、認証管理部１０６は、再帰的に隣接先情報を生成する際、個人部署情報テーブル１７００から個人ＩＤに対応する部署を取得し、その部署に対応する使用場所を部署テーブル１５００から取得し、隣接先が使用場所に無い場合には、再帰的な隣接先情報の生成を終了するようにしてもよい。また、隣接先情報を生成する際、隣接先が既に経路情報に登録されている場合、隣接先情報の生成を終了するようにしてもよい。隣接先情報を生成する回数を一定回数に定めるようにしてもよい。また、個人部署情報テーブル１７００の個人ＩＤに対応した利用場所と隣接先が一致する場合を隣接先情報生成の終了条件としてもよい。

なお、個人ＩＤに対応した利用場所での判定は、利用者３０１が一度端末での認定を完了した場合にだけ利用できるようにしてもよい。このように構成することにより、利用者が自分の所属する部署に入場した場合にだけ他の部署に入場できるようになる。

認証管理部１０６は、これらの情報を元に認証レベルの計算を行う（Ｓ５００５）。計算方法の詳細は、後で述べる。認証レベルが決定されると、認証管理部１０６は、認証装置１２０−ａに認証レベルと経路情報を送信する（Ｓ５００６）。

認証装置１２０−ａは、認証レベルと経路情報を受信すると、図１３のＳ４００７と同様に、この認証レベルに応じた認証処理を行い（Ｓ５００７）、利用者３０１に対してドアを開ける等の許可を与える（Ｓ５００８）。認証処理の詳細は後で述べる。認証装置１２０は、利用者の認証後に、認証結果を認証管理部１０６へ送信する（Ｓ５００９）。この認証結果には、認証の可否、認証を行った時間、個人ＩＤ、機器ＩＤ、経路の判定結果が含まれる。

認証管理部１０６は、認証結果を受信すると、その内容をＤＢ管理部１０５に送信し、ＤＢ内の認証履歴テーブル１９００の更新を行う（Ｓ５０１０）。

また、認証装置１２０−ａは、認証管理部１０６への認証結果を送信した後、Ｓ５００６で受信した経路情報から自身の機器ＩＤに対応した隣接先情報から隣接先に設置されている認証装置１２０を特定する。なお、ここでは、隣接先に設置されている装置として、認証装置１２０−ｂを特定したこととする。認証装置１２０−ａは、特定した隣接先の認証装置１２０−ｂのアドレスに対して認証結果と経路情報を送信する（Ｓ５０１１）。認証装置１２０−ｂは、認証結果と経路情報を取得すると、これを自身に保存する。

利用者３０１は、認証装置１２０−ａで認証されると移動し次に認証装置１２０−ｂでの認証を行う。以下、認証装置１２０−ｂで行なわれる認証処理を説明する。

認証装置１２０−ｂは、上記のＳ５０００〜Ｓ５００１と同様、利用者３０１から認証データを取得して、その認証データにより個人ＩＤを決定する（Ｓ５１００〜５１０１）。また、認証装置１２０−ｂは、上記と同様に、特定した個人ＩＤに関連付けられた後述する経路情報があるか否かの判定を行う（Ｓ５２００）。なお、ここでは、認証装置１２０−ｂは、経路情報を保持しているため、その経路情報を用いて認証レベルを算出する（Ｓ５２０１）。具体的には、認証装置１２０−ｂは、保持している経路情報の中から、Ｓ５１０１で特定した個人ＩＤと認証装置１２０−ｂの機器ＩＤに対応した隣接地情報を取得する。また、認証装置１２０−ｂは、隣接先と、個人ＩＤに対応した認証結果情報を用いて、認証レベルを算出する。

認証装置１２０−ｂは、Ｓ５２０１で算出した認証レベルにしたがい利用者３０１の認証を行う（Ｓ５１０７）。その後、認証装置１２０−ｂは、認証結果を認証管理部１０６へ送信する。また、認証装置１２０−ｂは、経路情報いよび認証結果を隣接する認証装置１２０へ送信する。隣接する認証装置１２０の判断手順は認証装置１２０−ａの場合と同様である。

続いて、本実施形態のセキュリティシステムの各部が行なう処理について詳細に説明する。

最初に認証サーバ１００の認証管理部１０６が行なう利用者および認証機器に応じた認証レベルを決定する処理について図１５を用いて説明する。

図１５は、本実施形態の認証サーバ１００の認証管理部１０６が利用者および認証機器に応じた認証レベルを決定する処理のフローを説明するための図である。

まず、認証管理部１０６は、認証装置１２０が出力する「個人ＩＤ」および「機器ＩＤ」の組、もしくは端末が出力する「個人ＩＤ」と「端末ＩＤ」の組を受信して（Ｓ６０１）、Ｓ６０２の処理に進む。

Ｓ６０２では、認証管理部１０６は、「場所ＩＤ」を取得する処理を行なう。具体的には、認証管理部１０６は、Ｓ６０１において「機器ＩＤ」を受信した場合、機器テーブル１２００（図５）から受信した「機器ＩＤ」をもつレコードを特定する。認証管理部１０６は、機器テーブル１２００から特定したレコードのフィールド１２０４に登録されている「場所ＩＤ」を取得する。また、認証管理部１０６は、Ｓ６０１において「端末ＩＤ」を受信した場合、端末テーブル１３００（図６）から受信した「端末ＩＤ」をもつレコードを特定する。認証管理部１０６は、端末テーブル１３００から特定したレコードのフィールド１３０３に登録されている「場所ＩＤ」を取得する。認証管理部１０６は、「場所ＩＤ」を取得後、Ｓ６０３の処理に進む。

Ｓ６０３では、認証管理部１０６は、Ｓ６０１で受信した「個人ＩＤ」を用いて、認証履歴テーブル１９００からその「個人ＩＤ」に対応する認証履歴を取得する。具体的には、認証管理部１０６は、認証履歴テーブル１９００からＳ６０１で受信した「個人ＩＤ」をもつレコードを取得する。なお、「個人ＩＤ」に対応した認証履歴が複数ある場合は、フィールド１９０３の登録されている「認証時刻」が最新のものを取得する。

次にＳ６０４では、認証管理部１０６は、Ｓ６０１で「機器ＩＤ」を受信している場合、機器テーブル１２００から「隣接先（その認証装置１２０が入場を許可する場所）」を示す「場所ＩＤ」を取得する。具体的には、認証管理部１０６は、機器テーブル１２００に登録されているレコードの中から、Ｓ６０２で取得した「場所ＩＤ」に対応する「隣接先」を登録するためのフィールド１２０５から「場所ＩＤ」を取得する。なお、Ｓ６０１において認証管理部１０６が端末ＩＤを受信した場合には、Ｓ６０２で得られた「場所ＩＤ」を隣接先の「場所ＩＤ」とする。このようにしたのは、端末は、利用者の入場を許可するか否かを判断する装置ではないためである。すなわち、端末には「隣接先（入場を許可する場所）」に相当する場所がない。したがって、端末テーブル１３００には、「隣接先」を登録するためのフィールドが設けられていない。

さらに、本ステップにおいて、認証管理部１０６は、利用者が権限のない場所に入場することを防ぐために以下の処理を行なうようにしてもよい（図示せず）。具体的には、認証管理部１０６は、個人部署情報テーブル１７００（図１０）からＳ６０１で取得した「個人ＩＤ」に対応する利用場所を取得する。認証管理部１０６は、個人部署情報テーブル１７００から取得した「利用場所」の中にＳ６０２で取得した「場所ＩＤ」が含まれなかった場合、認証レベルを「−１」に設定する。そして、認証管理部１０６は、Ｓ６０１において情報を送信した認証装置１２０（或いは端末）の認証操作部１２１に上記の設定した認証レベルを送信して認証レベルの計算処理を終了する。このようにするのは、利用者が利用できない場所に入ることを防ぐためである。一方、認証管理部１０６は、個人部署情報テーブル１７００から取得した「利用場所」の中にＳ６０２で取得した「場所ＩＤ」が含まれていた場合、Ｓ６０５の処理に進む。

Ｓ６０５では、認証管理部１０６は、場所テーブル１１００（図４）からＳ６０４で取得した「場所ＩＤ」に対応する認証レベルを取得する。具体的には、認証管理部１０６は、場所テーブル１１００を参照して、Ｓ６０４で取得した「場所ＩＤ」を持つレコードを特定する。認証管理部１０６は、特定したレコードのフィールド１１０３に登録されている「認証レベル」の数値を取得する。その後、認証管理部１０６は、業務カレンダーテーブル１８００から現在時刻に対応した認証モードを取得する。認証管理部１０６は、取得した「認証レベル」および認証モードを用いて認証レベルを算出する。より具体的には、認証管理部１０５は、認証モードが「開放」だった場合、上記の取得した「認証レベル」を低下させる。認証管理部１０６は、認証モードが「警戒」だった場合、「認証レベル」を上昇させる。認証管理部１０６は、認証モードが「厳重」だった場合、「認証レベル」を最大値まで上昇させる。

認証管理部１０６は、以降のＳ６０６〜Ｓ６１４において、利用者の経路、認証履歴等を用いて上記の算出した認証レベルを修正する処理を行なう。

Ｓ６０６では、認証管理部１０６は、利用者の経路の確認を行なう。具体的には、認証管理部１０６は、Ｓ６０３で得られた認証履歴の認証機器の機器ＩＤを取得し、機器ＩＤに対応する隣接先の場所ＩＤを機器テーブル１２００から取得する。ここで得られた「場所ＩＤ」とＳ６０２で得られた「場所ＩＤ」が一致する場合、経路が正しいと判断して、一致しない場合、経路が正しくないと判断する。そして、認証管理部１０６は、経路が正しいと判断した場合にＳ６０９の処理に進む。一方、認証管理部１０６は、経路が正しくないと判断した場合にはＳ６０７の処理に進む。

経路が正しくないと判断した場合に進むＳ６０７では、認証管理部１０６は、エラー処理を行う。エラー処理は、システム管理者への警告発信やログへの保存を行う。また、データベースに不整合がある場合の修正を試みる。例えば、Ｓ６０１で「端末ＩＤ」を受信し、Ｓ６０２で「場所ＩＤ」を取得した場合において、その取得した「場所ＩＤ」が場所テーブル１１００に存在しない値であったとする。このような場合、認証管理部１０６は、Ｓ６０３で取得した認証履歴のフィールド１９０５が「ＯＫ」であることを確認し、これまでの経路が正しいと判断した後、フィールド１９０２から「機器ＩＤ」を取得する。認証処理部１０６は、機器テーブル１２００から「機器ＩＤ」に対応するレコードを特定し、そのレコードのフィールド１２０５から隣接先の「場所ＩＤ」を取得する。この隣接先の「場所ＩＤ」が端末の存在している場所を示す。認証管理部１０６は、端末テーブル１３００からＳ６０１で受信した「端末ＩＤ」を持つレコードを特定する。認証管理部１０６は、端末テーブル１３００の中の特定したレコードのフィールド１３０３の値を隣接先の「場所ＩＤ」で更新する。

これにより、利用者が登録部１０７を介して端末テーブル１３００の場所ＩＤを登録するフィールド１３０１に無効な値を入れた後に、利用者が端末を利用することで、自動的に端末の場所を設定することが可能となる。認証管理部１０６は、エラー処理を終了した後、Ｓ６０８の処理に進む。

Ｓ６０８では、認証管理部１０６は、Ｓ６０５で算出した「認証レベル」を一定値上昇させる。ここで上昇させる値は、特定の値であったり、別のテーブルに保存されている値を引き出したものであったりしてもよい。その際の、テーブルは経路判断や認証時刻判断等と認証場所、認証機器、認証装置等の判断条件と値の組みからなるテーブルである。

続いて、Ｓ６０６において、経路が正しいと判断した場合に進むＳ６０９の処理を説明する。

Ｓ６０９では、認証管理部１０６は、現在時刻、及びＳ６０３で得られた認証履歴から認証時刻を確認する。次に認証管理部１０６は、現在時刻と認証時刻とを比較し、一定時間以上経過していた場合、利用者の行動が正しくないと判断してＳ６１０に進む。一方、認証管理部１０６は、一定時間以上経過していない場合、利用者の行動が正しいと判断してＳ６１２の処理に進む。これは、利用者３０１が経路途中の場所に必要以上に滞在していないかどうか確認するために行う。

Ｓ６１０では、認証管理部１０６は、エラー処理を行ない、Ｓ６１１の処理に進む。なお、エラー処理の内容は、上述したＳ６０７と同様である。Ｓ６１１では、認証管理部１０６は、認証レベルを上昇させる。上昇させる値は、Ｓ６１０と同様の手順により決定する。

続いて、Ｓ６０９において、利用者の行動が正しいと判断に進むＳ６１２の処理について説明する。

Ｓ６１２では、認証管理部１０６は、前回の認証の結果の確認を行う。認証管理部Ｓ６１２は、Ｓ６０３で取得した認証履歴を示すレコードのフィールド１９０４および１９０５に登録された「認証結果」及び「場所判定」を取得する。そして、認証管理部１０６は、「認証結果」が「ＯＫ」であり、かつ「場所判定」が「ＯＫ」の場合、Ｓ６１４に進む。Ｓ６１４では、認証管理部１０６は、認証レベルを減少させる処理を行い、Ｓ６１５に進む。

一方、Ｓ６１２において、上記の「認証結果」および「場所判定」のどちらかがＮＧであった場合、認証管理部１０６は、Ｓ６１３に進む。Ｓ６１３では、認証管理部１０５は、「認証結果」および「場所判定」の状態に応じて認証レベルを上昇させる。

以上で認証レベルが決定され、Ｓ６１５において認証管理部１０６は、認証装置１２０（或いは端末）へ認証レベルを送信する。なお、図１４で示した経路情報を利用する場合には、認証管理部１０６は、認証レベルと共に経路情報を送信する。認証管理部１０６は、認証レベル及び経路情報を送信後、認証履歴テーブル１９００に個人ＩＤと機器ＩＤと場所判定として経路の判断結果（Ｓ６０６での判断結果）を登録する。この場合、認証結果の項は空欄となり、認証処理終了後に埋められる。

続いて、認証装置１２０の認証操作部１２１が利用者の認証を行なう場合の処理について図１６を用いて説明する。

図１６は、本実施形態の認証装置の認証操作部１２１が行なう利用者を認証する処理のフローを説明するための図である。

まず、認証操作部１２１は、認証部リストを取得する。認証部リストとは、認証装置１２０で利用可能な認証部１２２を示すリストであり、認証装置１２０に予め登録されている。認証部リストは、例えば、認証装置１２０の不揮発性記憶装置２０６（図２参照）の所定の領域に格納されている。認証部リストは、各認証部を識別する「認証ＩＤ」と、認証部を利用するためのライブラリの関数の「インタフェース」とからなる。「インタフェース」は、関数へのポインタであったり、関数名であったりする。「認証ＩＤ」は、認証テーブル１４００の認証ＩＤに対応し、リスト内の認証部の数は、機器テーブル１２００の認証タイプに対応する。認証操作部１２１は、認証部リストを取得した後、認証結果レベルを「０」に設定する。

次にＳ７０２〜Ｓ７１１で示すループにおいて、認証操作部１２１は、Ｓ７０１で得られた認証部リストにあるそれぞれの認証部についての認証処理を実行する。

Ｓ７０３において、認証操作部１２１は、認証装置１２０内に、利用者３０１の個人ＩＤが設定されているかどうかを判定する。具体的には、認証装置１２０の不揮発性記憶装置２０６の所定の領域には、利用者の「個人ＩＤ」に認証情報を対応付けた個人ＩＤテーブルが格納されている。認証操作部１２１は、利用者から受付けた認証情報（例えばカードＩＤ）に対応付けられている個人ＩＤを個人ＩＤテーブルから検索する。認証操作部１２１は、検索の結果、受付けた認証情報に対応付けられている個人ＩＤを検出できた場合には、「個人ＩＤ」が登録されていると判定する。一方、認証操作部１２１は、上記の受付けた「個人ＩＤ」を検出できなかった場合は、「個人ＩＤ」が登録されていないと判定する。認証操作部１２１は、利用者３０１の個人ＩＤが設定されていないと判定した場合にＳ７０５に進み、設定されていると判定した場合にＳ７０４の処理に進む。

Ｓ７０５では、認証操作部１２１は、デフォルトの認証レベルを設定してＳ７０７の処理に進む。デフォルトの認証レベルは、予め認証装置１２０に登録されているものとする。登録されている認証レベルは、機器テーブル１２００および場所テーブル１１０１に登録されている認証装置１２０が設置されている設置場所の認証レベルに対応しているものとする。なお、デフォルトの認証レベルの設定は、認証装置１２０を設置する際に予め設定されていても良いし、認証装置１２０がネットワークに接続された場合に認証管理部１０６により設定されても良い。また、この値は場所テーブル１１００や機器テーブル１２００に変更があった場合には認証管理部１０６により更新される。

続いて、Ｓ７０３において、利用者の個人ＩＤが設定されていると判定した場合に進むＳ７０４の処理に進む。

Ｓ７０４では、認証操作部１２１は、認証レベルを取得済みであるか否かの判定を行う。認証操作部１２０は、認証レベルを取得済みである場合、Ｓ７０７の処理に進む。認証操作部１２０は、認証レベルが取得していない場合、Ｓ７０６の処理に進む。

Ｓ７０６では、認証操作部１２０は、認証レベルを取得する。なお、認証操作部１２０が行なう認証レベルの取得処理は、図１３に示した経路情報を利用しない場合と、図１４に示した経路情報を利用する場合とで異なる。

経路情報を利用しない場合、認証操作部１２０は、図１３のＳ４００２およびＳ４００６と同様の処理を行い、認証サーバ１００の認証管理部１０６から認証レベルを取得する。具体的には、認証操作部１２０は、設定されている個人ＩＤと自身の機器ＩＤ（もしくは端末ＩＤ）との組を認証管理部１０６へ送信する。認証管理部１０６は、認証レベルを計算して、その認証レベルを認証操作部１２０に送信する。認証操作部１０６は、認証管理部１０６が送信した認証レベルを受信する。

経路情報を利用する例では、認証操作部１２０は、自身が経路情報を保持しているか否かを確認する（図１４のＳ５２００）。認証サーバ１００は、経路情報を保持していない場合には、図１４のＳ５００２およびＳ５００６と同様の処理を行い、認証サーバ１００の認証管理部１０６から認証レベルを取得する。

一方、認証操作部１２１は、経路情報を保持している場合、図１４のＳ５２０１と同様の処理を行い認証レベルを算出する。具体的には、認証操作部１２１は、経路情報を保持している場合、他の認証装置１２０から受信した設定されていた個人ＩＤに対応した認証結果を用いて、経路情報から自身の機器ＩＤおよび個人ＩＤに対応した隣接先情報と個人ＩＤに対応した認証結果を取得する。認証操作部１２０は、隣接先情報から隣接先と認証レベルを、認証結果から認証時刻、認証結果、場所判定を取得する。これらの情報を用いて、認証操作部１２１は、図１４で示したＳ６０６からＳ６１４と同様に認証レベルの計算を行い、認証レベルを設定する。ここで認証レベルが「−１」だった場合には、認証失敗とし、Ｓ７１０の処理へ移る。

なお、認証操作部１２１は、他の認証装置１２１から上記の個人ＩＤに対応した認証結果を受信していない場合、図１４のＳ５００２およびＳ５００６と同様の処理を行い、認証サーバ１００の認証管理部１０６から認証レベルを取得する。

Ｓ７０７において認証操作部１２１は、認証部リストが示す認証部１２２を用いて認証を行い、ここで機器認証結果レベルが設定される。機器認証結果レベルは、認証結果を数値で表したものであり、認証レベルの数値に対応する。認証処理の詳細に関しては後で述べる。

次に、Ｓ７０８において、認証操作部１２１は、認証結果の判定を行い、認証された場合に、認証結果を設定する。この処理の内容は、後述する図１７において述べる。

Ｓ７０９において、認証操作部１２１は、認証結果が設定されているかどうかの確認を行う。認証結果が設定されていた場合、認証操作部１２１は、認証部１２２により正しく認証されたと判断してＳ７１０に進む。一方、認証操作部１２１は、認証結果が設定されていない場合、認証部１２２により認証されていないと判断してＳ７１１に進む。

Ｓ７１０では、認証操作部１２１は、認証完了処理を行なう。認証完了処理を行なう際、Ｓ７０１で得られた認証部リストの全ての認証部１２２を利用しないで認証が完了することもありえる。この場合は、利用されなかった認証部１２２で必要となる認証情報を認証サーバ１００の認証管理ＤＢ１０３から取得する必要がなくなるため通信量の軽減が図られる。

Ｓ７１０で行う認証完了処理は、例えば、認証装置１２０の場合であって、かつドアに付属して設置されている場合には、ドアのオープンを行う。認証装置１２０単体で設置されている場合は、特に何もしない。これは、認証のみを行う機器であり、ここでの認証結果が、次に利用者３０１が別の認証装置１２０で認証する場合の認証レベルに反映される。これを利用して、認証部１２２の機能を持たない機器の代わりに認証を行うことが可能となる。認証を行った機器が端末だった場合には、端末へのログインや、特定のサーバへのアクセス等、適切なサービスが利用者に提供される。

Ｓ７１１では、認証操作部１２１は、Ｓ７０１で得られた認証部リストにある全ての認証部１２１による認証処理が終了しているか否かを判定し、まだ認証処理を行なっていない認証部１２２が在る場合には、Ｓ７０２に戻り、認証処理を行なっていない認証部１２２に認証処理を行なわせる。一方、認証操作部１２１は、Ｓ７０１で得られた認証部リストにある全ての認証部１２１による認証処理が終了している場合（すなわち、全ての認証部１２０の実行の後に認証されなかった場合）、Ｓ７１２の処理に進む。

Ｓ７１２では、認証操作部１２１は、Ｓ７１０或いはＳ７１１による認証結果情報を認証管理部１０６に送信する。また、経路情報が存在する場合は、経路情報から自身の機器ＩＤに対応した隣接先情報を取得し、その隣接先に対して経路情報と認証結果情報を送信する。認証管理部１０６は、認証結果情報を受信すると、認証履歴テーブル１９００から個人ＩＤと認証機器の項の機器ＩＤに対応した欄の確認を行い、認証結果が空欄の場合に、この欄の更新を行う。

続いて、認証操作部１２１が行なう上述のＳ７０８の処理について図１７を用いて説明する。

図１７は、本実施形態の認証操作部１２１が行なう認証結果判定処理のフローを説明するための図である。

先ず、認証操作部１２１は、認証部１２１が設定した機器認証設定レベルを取得して（Ｓ８０１）、Ｓ８０２の処理に進む。Ｓ８０２では、認証操作部１２１は、保存されている認証結果レベルを取得し、Ｓ８０３に進む。

Ｓ８０３では、認証操作部１２１は、Ｓ８０１およびＳ８０２において取得した機器認証設定レベルおよび認証結果レベルを用いて、新たに認証結果レベルを計算する。新たに計算する認証結果レベルの計算手順については、特に限定しない。ここでは、認証部１２２の認証ＩＤに対応する信頼レベルとＳ８０２で得られた機器認証結果レベルを乗じ、Ｓ８０２で得られた認証結果レベルに加算するものとする。

信頼レベルは、認証テーブル１４００の機器ＩＤに対応した欄の値に相当する。この値は、認証装置１２０の設置の際に予め設定されていても良いし、認証装置１２０がネットワークに接続された場合に認証管理部１０６により設定されても良い。また、認証テーブル１４００に変更があった場合には認証管理部１０６により更新される。

次に、Ｓ８０４において、認証操作部１２１は、Ｓ８０３で計算された認証結果レベルを認証装置１２０に保存し（メインメモリ２０３および不揮発性記憶装置２０６の所定に領域に格納する）、Ｓ８０５の処理に進む。

Ｓ８０５では、認証操作部１２１は、Ｓ８０４で保存された認証結果レベルがＳ７０５（図１６）或いはＳ７０６で設定された認証レベルより大きいか否かを判定する。認証操作部１２１は、Ｓ８０４で保存された認証結果レベルがＳ７０５で設定された認証レベルより大きい場合、或いは、上記の認証結果レベルがＳ７０６で設定された認証レベルより大きい場合に認証が成功したと判断し、Ｓ８０６の処理に進む。一方、認証操作部１２１は、保存された認証結果レベルがＳ７０５で設定された認証レベルより小さい場合、或いは、上記の認証結果レベルがＳ７０６で設定された認証レベルより小さい場合に認証が失敗したと判断し、処理を終了する。

認証が成功したと判断した場合に進むＳ８０６では、認証操作部１２１は、認証結果を設定する。

なお、認証操作部１２１は、Ｓ８０５において、認証に失敗したと判断した場合であっても、Ｓ８０４で保存された認証結果レベルとＳ７０５またはＳ７０６で設定された認証レベルとの差が一定値以内の場合には認証結果を設定する。この場合認証結果に「ＮＧ」が入るが、認証操作部１２１は、認証完了処理を行うことになる。この場合は、次の認証の際に認証レベルが上昇することになる。但し、認証が端末での処理の場合、或いは、マンションに適用した場合で認証装置１２０の隣接先が居室内であった場合には、この処理は行わない。これは、この認証より先に認証装置が設置されていない事が考えられるため、その場合に後で代理の認証を行えないためである。

続いて、本実施形態の認証装置１２０が行なう認証処理の処理について、カード認証を行なう場合と、生体認証を行なう場合とを例に挙げて説明する。

最初にカード認証を行なう場合の例を図１８を用いて説明する。

図１８は、本実施形態の認証装置１２０がカード認証を行なう際の認証部１２２の処理のフローを説明するための図である。ここで、認証部１２２は、カード（例えばＩＣカード）に記憶されている情報を読み出すカードリーダ２１１（図２参照）に接続されていることとする。また、カードには、カードを識別するために一意に割り当てられているカードＩＤが記憶されている。なお、本実施形態では、カードリーダ２１１の具体的な構成について特に限定しない。例えば、カードリーダ２１１は、非接触タイプのものでもいいし、接触タイプのものでもいい。

まず、認証部１２２は、カードがカードリーダ２１１に近接されるか、或いは、カードリーダに挿入されるのを待つ（Ｓ９０１）。カードリーダ２１１にカードが近接もしくは挿入されると、認証部１２２は、カードリーダ２１１を介して、カードに記憶されているカードＩＤを読込む（Ｓ９０２）。具体的には、カードリーダ２１１がカードに記憶されたカードＩＤを読み出し、認証部１２２に送信する。認証部１２２は、カードリーダ２１１が送信したカードＩＤを受信する。

続いて、認証部１２２は、Ｓ９０２でのカードＩＤの読み込み処理が成功したかどうかの判定を行なう。認証部１２２は、読み込みに失敗していた場合にＳ９０７に進み、読み込みに成功していた場合にＳ９０４の処理に進む（Ｓ９０３）。

Ｓ９０７では、認証部１２２は、機器認証結果レベルを「０．３」に設定して処理を終了する。なお、ここでは、機器認証結果レベルを「０」から「１」の範囲の値とする場合を例にする。認証部１２２は、この機器認証結果レベルと認証部１２２に予め設定されている「信頼レベル」とを乗ずることにより、どれくらいの認証レベルに相当するかを判断する。また、機器認証結果レベルは、特定の値を設定しているが、この値は別に保存されているテーブルから取得してもよい。このテーブルは、認証サーバ１００の認証管理部１０６により書き換え可能とすることにより、機器認証結果レベルを後から変更することができる。

続いて、Ｓ９０３において、カードＩＤの読み込みに成功した場合に進むＳ９０４の処理を説明する。Ｓ９０４では、認証部１２２は、読み込んだカードＩＤに対応した個人ＩＤの検索を行う。具体的には、認証部１２２は、上述した個人ＩＤテーブルから読み込んだカードＩＤに対応付けられている個人ＩＤを検索する。検索の結果、読み込んだカードＩＤに対応付けられている「個人ＩＤ」が存在しなかった場合、認証部１２２は、認証管理部１０６にカードＩＤと自身の認証ＩＤの組を送信し個人ＩＤを問い合わせる。認証管理部１０６は、認証部１２２からの問い合わせを受けると、認証テーブル１４００（図７）の認証ＩＤに対応する認証名を取得する。認証管理部１０６は、個人認証情報テーブル１６００（図９）に登録されているレコードに中から受信したカードＩＤを持つレコードを特定して、その特定したレコードの認証名と個人ＩＤに対応する情報を取得する。例えば、認証管理部１２２は、上記の取得した認証名が「パスワード」の場合、特定したレコードの個人ＩＤおよびパスワードを示す情報を取得する。認証管理部１０６は、取得した上記の特定したレコードの認証名と個人ＩＤに対応する情報を認証部１２２に送信する。

認証部１２２は、個人ＩＤを取得すると、個人ＩＤとカードＩＤの組を認証装置１２０の不揮発性記憶装置２０６の個人ＩＤテーブルに保存する。なお、認証管理部１０６は、送信されたカードＩＤおよび認証ＩＤから認証名と個人ＩＤに対応する情報を検索できなかった場合には、その旨を認証部１２２に送信する。

Ｓ９０５において、認証部１２２は、個人ＩＤが取得できたかどうかの判定を行い、発見できなかった場合にはＳ９０８において機器認証結果レベルを「０．６」に設定する。個人ＩＤを発見できた場合には、個人ＩＤを認証装置１２０に設定し、認証結果レベルを「１．０」に設定する。

このように、本実施形態では、カード（ＩＣカード）からのデータの読み込みに失敗した場合や、カードから読み込んだカードＩＤでは認証ができなかった場合においてもその段階で認証処理の失敗と判定しないで所定の認証結果レベルを与えるようにしている（Ｓ９０７、Ｓ９０８）。そのため、認証装置１２０の設置された場所（エリア）、認証処理を行なった時間等によっては、「カードＩＤの読み込みに失敗した」場合や「個人ＩＤを発見できなかった」場合であっても利用者を認証することもある。このようにしておくことで、例えば、通勤時間帯のように同時に多くの人が認証処理を行なう場合において、認証処理の失敗により生じる混雑を低減させることができる。この場合においても、高いセキュリティレベルが要求される場所（エリア）への入場に対する認証処理に際し、認証レベルを高く設定することにより、所定のセキュリティレベルを確保することができる。

続いて、生体認証を行なう場合の例を図１９を用いて説明する。

図１９は、本実施形態の認証装置１２０が生体認証を行なう際の認証部１２２の処理のフローを説明するための図である。ここで、認証部１２２は、生体認証装置２１２に接続されているものとする。

先ず、認証部１２２は、認証パラメータを設定する処理を行う（Ｓ１００１）。なお、認証パラメータは、図１６で示したＳ７０５或いはＳ７０６設定された認証レベルの小数点の部分の値から認証部１２２にあわせて変換される。

Ｓ１００２では、認証部１２２は、個人ＩＤが設定されているか否かの判定を行う。認証部１２２は、個人ＩＤが設定されていた場合、Ｓ１００３以降の処理を行なう。Ｓ１００３以降の処理では、認証装置１２２は、個人ＩＤに対応した認証情報を元に認証処理を行う。一方、認証部１２２は、個人ＩＤが設定されていない場合、Ｓ１０１１以降の処理を行なう。Ｓ１０１１以降の処理では、認証部１２２は、認証装置１２０に保存されている認証情報を用いて認証処理を行う。以下、Ｓ１００３以降の処理と、Ｓ１０１１以降の処理とを分けて説明する。

Ｓ１００３以降の処理では、まずＳ１００３において、認証部１２２は、生体認証の際の認証情報であるテンプレートを検索する。テンプレートの検索は、まず認証装置１２０内に保存されている個人ＩＤとテンプレートの対応するテーブルから検索する。認証部１２２は、認証装置１２０内にテンプレートが存在しなかった場合には認証管理部１０６に個人ＩＤと自身の認証ＩＤの組を送信しテンプレートを問い合わせる。認証管理部１０６は、認証部１２２からの問い合わせを受けると、認証テーブル１４００の認証ＩＤに対応する認証名を取得する。認証管理部１０６は、受信した個人ＩＤおよび取得した認証名を用いて、個人認証情報テーブル１６００から認証名と個人ＩＤに対応する情報を取得する。具体的には、認証管理部１０６は、個人認証情報テーブル１６００（図９）に登録されているレコードに中から受信した「個人ＩＤ」を持つレコードを特定し、その特定したレコードの「認証名」に対応する情報を取得する。例えば、認証管理部１２２は、上記の取得した認証名が「指紋」の場合、特定したレコードの指紋情報を示すテンプレートを取得する。認証管理部１０６は、取得した上記の特定したレコードの認証名と個人ＩＤに対応する情報を認証部１２２に返信する。

認証部１２２は、認証名と個人ＩＤに対応する情報（テンプレート）を受信して、個人ＩＤとテンプレートの組を認証装置１２０に保存する。例えば、認証装置１２０のメインメモリ２０３および不揮発性記憶装置２０６の所定領域に格納する。

Ｓ１００４では、認証部１２２は、テンプレートが発見されたか否かの判定を行う。認証部１２２は、テンプレートを発見していない場合にＳ１００７に進む。Ｓ１００７では、認証部１２２は、機器認証結果レベルを「０．２」に設定して処理を終了する。一方、認証部１２２は、テンプレートを発見した場合Ｓ１００５に進む。

Ｓ１００５では、認証部１２２は、利用者３０１から得られた情報とテンプレートのマッチングを行う。このマッチングの際にはＳ１００１で設定された認証パラメータが反映される。

Ｓ１００６では、認証部１２２は、マッチングが成功したかどうかの判定を行行なう。認証部１２２は、マッチングに失敗したと判定した場合Ｓ１００８に進み、成功したと判定した場合にはＳ１００９の処理に進む。

Ｓ１００８では、認証部１２２は、機器認証結果レベルを「０．８」に設定して処理を終了する。一方、マッチングが成功したと判定した場合に進むＳ１００９では、認証部１２２は、機器認証結果レベルを「１．０」に設定して処理を終了する。

続いて、Ｓ１００２において、個人ＩＤが設定済みではないと判定された場合に進むＳ１０１１以降の処理について説明する。

Ｓ１０１１では、認証部１２２は、認証装置１２０に保存されているテンプレートをリストとして取得する。次にＳ１０１２で認証部１２２は、認証レベルが上昇するように認証パラメータの変更を行う。これは、認証レベルが低い場合に他人のテンプレートとマッチングすることを減らすためである。

次に認証部１２２は、リストのテンプレートそれぞれについて、Ｓ１０１３〜Ｓ１０１５、Ｓ１０１８で示すループの処理を行う。

Ｓ１０１４において、利用者から得られた情報とテンプレートのマッチングを行う。ここでのマッチング処理の際、Ｓ１０１２で設定された認証パラメータが反映される。次にＳ１０１５においてマッチングが成功したかどうかの判定を行う。マッチングに成功した場合は、Ｓ１０１６において機器認証結果レベルを「０．８」に設定する。マッチングに失敗した場合は、Ｓ１０１３〜Ｓ１０１５、Ｓ１０１８のループの処理を続ける。Ｓ１０１３のループの処理終了までにマッチングが成功しなかった場合には、Ｓ１０１７において機器認証結果レベルを「０．４」に設定する。

なお、端末におけるパスワード認証の場合は、認証部１２２は、利用者がキーボード等の入力装置を介して入力する「ユーザ名」および「パスワード」を受信する。認証部１２２は、その受信した「ユーザ名」および「パスワード」の組が個人認証テーブル１６００から認証管理部１０６を介して取得されたユーザ名およびパスワードに一致する場合か、もしくは認証部１２２に保存されているユーザ名およびパスワードの組みに一致する場合に、認証成功と判断し機器認証結果レベルを「１．０」に設定する。失敗した場合は認証結果レベル「０・０」に設定する。

以上、カード認証の場合と、生体認証の場合とパスワード認証の場合の処理を説明したが、顔認証や虹彩認証等のその他の認証手段においても同様の処理を行う。

なお、本発明は、以上で説明した実施形態に限定されるものではなく、本発明の要旨の範囲内において種々の変形が可能である。例えば、認証装置１２０は、利用者が認証処理を失敗と判定した場合についてもその利用者に対して入場を許可するようにしてもよい。そして、その利用者が施設内の他の認証装置１２０で認証を行なう場合に認証レベルを厳しく設定するようにする。このように構成することで、通勤時間帯のように一時に利用者が集中するような施設の出入口（玄関部）等において、利用者が認証処理を繰り返すことで生じる混雑を緩和させることができる。また、その利用者は、次の認証処理を行なう場合には、厳しい認証レベルで認証処理が行なわれるためセキュリティを確保することができる。

また、認証装置１２０の設置場所には、他の認証装置１２０により入場を許可されないと入れないエリアも在る。このようなエリアに認証装置１２０が設置されている場合、認証レベルを設定する際に、利用者の認証履歴を確認して、認証履歴が存在しない場合には、認証レベルを高い値に設定するようにしてもよい。

本発明の実施形態が適用されたセキュリティシステムの機能ブロック図である。 本発明の実施形態のセキュリティシステムのハードウェア構成を示すブロック図である。 本発明の実施形態のセキュリティシステムが行なう認証処理の概略を説明するための図である。 本発明の実施形態の場所テーブル１１００のデータ構成を模擬的に示した図である。 本発明の実施形態の機器テーブル１２００のデータ構成を模擬的に示した図である。 本発明の実施形態の端末テーブル１３００のデータ構成を模擬的に示した図である。 本発明の実施形態の認証テーブル１４００のデータ構成を模擬的に示した図である。 本発明の実施形態の部署テーブル１５００のデータ構成を模擬的に示した図である。 本発明の実施形態の個人認証情報テーブル１６００のデータ構成を模擬的に示した図である。 本発明の実施形態の個人部署情報テーブル１７００のデータ構成を模擬的に示した図である。 本発明の実施形態の業務カレンダーテーブル１８００のデータ構成を模擬的に示した図である。 本発明の実施形態の認証履歴テーブル１９００のデータ構成を模擬的に示した図である。 本発明の実施形態のセキュリティシステムが行なう認証処理のシーケンス図である。 本発明の実施形態のキュリティシステムが行なう認証処理の変形例のシーケンス図である。 本発明の実施形態の認証サーバ１００の認証管理部１０６が利用者および認証機器に応じた認証レベルを決定する処理のフローを説明するための図である。 本発明の実施形態の認証装置の認証操作部１２１が行なう利用者を認証する処理のフローを説明するための図である。 本発明の実施形態の認証操作部１２１が行なう認証結果判定処理のフローを説明するための図である。 本発明の実施形態の認証装置１２０がカード認証を行なう際の認証部１２２の処理のフローを説明するための図である。 本発明の実施形態の認証装置１２０が生体認証を行なう際の認証部１２２の処理のフローを説明するための図である

符号の説明

１００…認証サーバ、１０１…個人管理ＤＢ、１０２…設備管理ＤＢ、１０３…認証管理ＤＢ、１０５…ＤＢ管理部、１０６…認証管理部、１０７…登録部、１１０…ネットワーク、１２０…認証装置、１２１…認証操作部、１２２…認証部、２０１…ＥＥＰＲＯＭ、２０２…ＣＰＵ、２０３…メインメモリ、２０４…バス、２０５…周辺制御装置、２０６…不揮発性記憶装置、２０７…ＬＡＮＩ／Ｆ、２０８…カードリーダＩ／Ｆ、２０９…生体認証Ｉ／Ｆ、２１０…電子錠Ｉ／Ｆ、２１１…カードリーダ、２１２…生体認証装置、２１３…電子錠、２２０…ＥＥＰＲＯＭ、２３０…ＣＰＵ、２４０…メインメモリ、２５０…バス、２６０…周辺制御装置、２７０…ＬＡＮＩ／Ｆ、２８０…不揮発性記憶装置

Claims (7)

1. 複数の認証装置と、該認証装置にネットワークを介して接続されている認証サーバとを有するセキュリティリティシステムであって、
   前記認証装置は、
   利用者を認証するための認証情報毎に該利用者を識別する個人識別情報を対応付けた個人情報と、自身を識別する機器識別情報とを予め記憶していて、
   利用者からの認証情報の入力を受付ける認証情報受付手段と、
   前記記憶している個人情報を用いて前記受付けた認証情報に対応付けられている個人識別情報を特定する手段と、
   前記特定した個人識別情報および前記記憶している機器識別情報を前記認証サーバに送信する送信手段と、
   前記送信した個人識別情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信する手段と、
   前記受付けた認証情報、前記個人情報、および前記受信した認証基準を用いて該利用者に対する認証処理を行なう認証手段と、を有し、
   前記認証サーバは、
   前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証処理の認証結果を対応付けた認証履歴情報と、を記憶する手段と、
   前記認証装置から送信された個人識別情報および機器識別情報を受信する手段と、
   前記受信した個人識別情報および機器識別情報と、前記記憶している機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出する算出手段と、
   前記算出した認証基準を前記個人識別情報および機器識別情報を送信した認証装置に送信する手段と、を有し、
   前記認証結果には、認証処理が行なわれた日付および時刻を示す情報が含まれていて、
   前記算出手段は、
   前記機器情報を用いて前記受信した機器識別情報に対応付けられている位置情報を特定し、前記認証情報を用いて該特定した位置情報が示すエリアに定められている認証処理の精度を特定し、前記カレンダ情報を用いて現在の日付および時間帯に対応付けられている認証処理の精度を特定し、該位置情報が示すエリアに定められている認証処理の精度および該日付および時間帯に対応付けられている認証処理の精度を用いて前記認証基準を求め、
   前記記憶している認証履歴の中に前記受信した個人識別情報に対応付けられている認証結果が在る場合、該認証結果に含まれる認証処理が行なわれた日付および時刻を示す情報と現在の日付および時刻との時間差を求め、該時間差が所定時間より大きい場合、前記求めた認証基準の値を増加する補正を行うこと
   を特徴とするセキュリティシステム。
2. 請求項１に記載のセキュリティシステムであって、
   前記認証結果には、認証処理が成功したか否かを示す情報が含まれていて、
   前記算出手段は、
   前記認証結果に認証処理が成功したことを示す情報が含まれている場合に前記求めた認証基準の値を減少する補正を行い、該認証処理が失敗したことを示す情報が含まれている場合に前記求めた認証基準の値を増加する補正を行うこと
   を特徴とするセキュリティシステム。
3. 請求項１又は２に記載のセキュリティシステムであって、
   前記認証装置は、
   前記認証手段が行なった認証処理の認証結果に前記特定した個人識別情報に対応付けた認証履歴を前記認証サーバに送信する手段を有し、
   前記認証サーバは、
   前記認証装置が送信する認証履歴を受信し、該受信した認証履歴を用いて前記記憶している認証履歴情報を更新する手段を有すること
   を特徴とするセキュリティシステム。
4. 複数の認証装置と、該認証装置にネットワークを介して接続されている認証サーバとを有するセキュリティリティシステムであって、
   前記認証装置は、
   利用者を認証するための認証情報毎に該利用者を識別する個人識別情報を対応付けた個人情報と、自身を識別する機器識別情報とを予め記憶していて、
   利用者からの認証情報の入力を受付ける認証情報受付手段と、
   前記記憶している個人情報を用いて前記受付けた認証情報に対応付けられている個人識別情報を特定する手段と、
   前記特定した個人識別情報および前記記憶している機器識別情報を前記認証サーバに送信する送信手段と、
   前記送信した個人識別情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信する手段と、
   前記受付けた認証情報、前記個人情報、および前記受信した認証基準を用いて該利用者に対する認証処理を行なう認証手段と、を有し、
   前記認証サーバは、
   前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証処理の認証結果を対応付けた認証履歴情報と、を記憶する手段と、
   前記認証装置から送信された個人識別情報および機器識別情報を受信する手段と、
   前記受信した個人識別情報および機器識別情報と、前記記憶している機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出する算出手段と、
   前記算出した認証基準を前記個人識別情報および機器識別情報を送信した認証装置に送信する手段と、を有し、
   前記認証装置の認証手段は、
   前記認証情報受付手段による前記認証情報の受付け処理が成功したか否かを判定し、
   前記認証情報の受付け処理が失敗したと判定された場合に認証処理の成否を判定する値として第１の値を設定し、
   前記認証情報の受付け処理が成功したと判定した場合、さらに、前記個人情報の中に前記受付けた認証情報に対応付けられている個人識別情報が在るか否かを判定し、前記判定の結果、前記受付けた認証情報に対応付けられている個人識別情報がない場合、認証処理の成否を判定する値として前記第１の値より高い第２の値を設定し、前記個人識別情報が在る場合に認証処理の成否を判定する値として前記第２の値より高い第３の値に設定し、
   前記受信した認証基準と前記設定した認証処理の成否を判定する値とを比較し、認証処理が成功したか否かを判定すること
   を特徴とするセキュリティシステム。
5. 複数の認証装置と、該認証装置にネットワークを介して接続されている認証サーバであって、
   前記認証装置は、自身を識別する機器識別情報および利用者を識別する個人識別情報を前記認証サーバに送信し、前記送信した個人識別情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信し、該受信した認証基準を用いて該利用者に対する認証処理を行ない、
   前記認証サーバは、
   前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証処理の認証結果を対応付けた認証履歴情報と、を記憶する手段と、
   前記認証装置から送信された個人識別情報および機器識別情報を受信する手段と、
   前記受信した個人識別情報および機器識別情報と、前記記憶している機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出する算出手段と、
   前記算出した認証基準を前記個人識別情報および機器識別情報を送信した認証装置に送信する手段と、を有し、
   前記認証結果には、認証処理が行なわれた日付および時刻を示す情報が含まれていて、
   前記算出手段は、
   前記機器情報を用いて前記受信した機器識別情報に対応付けられている位置情報を特定し、前記認証情報を用いて該特定した位置情報が示すエリアに定められている認証処理の精度を特定し、前記カレンダ情報を用いて現在の日付および時間帯に対応付けられている認証処理の精度を特定し、該位置情報が示すエリアに定められている認証処理の精度および該日付および時間帯に対応付けられている認証処理の精度を用いて前記認証基準を求め、
   前記記憶している認証履歴の中に前記受信した個人識別情報に対応付けられている認証結果が在る場合、該認証結果に含まれる認証処理が行なわれた日付および時刻を示す情報と現在の日付および時刻との時間差を求め、該時間差が所定時間より大きい場合、前記求めた認証基準の値を増加する補正を行うこと
   を特徴とする認証サーバ。
6. 複数の認証装置にネットワークを介して接続されている認証サーバが行なう認証方法であって、
   前記認証装置は、自身を識別する機器識別情報および利用者を識別する個人識別情報を前記認証サーバに送信し、前記送信した個人情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信し、該受信した認証基準を用いて該利用者に対する認証処理を行ない、
   前記認証サーバは、
   前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証処理の認証結果を対応付けた認証履歴情報と、を記憶する手段を有していて、
   前記認証装置が送信した個人識別情報および機器識別情報を受信するステップと、
   前記受信した個人識別情報および機器識別情報と、前記記憶している機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出する算出ステップと、
   前記算出した認証基準を前記個人識別情報および機器識別情報を送信した認証装置に送信するステップと、を行ない、
   前記認証結果には、認証処理が行なわれた日付および時刻を示す情報が含まれていて、
   前記算出ステップは、
   前記機器情報を用いて前記受信した機器識別情報に対応付けられている位置情報を特定し、前記認証情報を用いて該特定した位置情報が示すエリアに定められている認証処理の精度を特定し、前記カレンダ情報を用いて現在の日付および時間帯に対応付けられている認証処理の精度を特定し、該位置情報が示すエリアに定められている認証処理の精度および該日付および時間帯に対応付けられている認証処理の精度を用いて前記認証基準を求め、
   前記記憶している認証履歴の中に前記受信した個人識別情報に対応付けられている認証結果が在る場合、該認証結果に含まれる認証処理が行なわれた日付および時刻を示す情報と現在の日付および時刻との時間差を求め、該時間差が所定時間より大きい場合、前記求めた認証基準の値を増加する補正を行うこと
   を特徴とする認証方法。
7. 利用者の認証処理を行なう複数の認証装置にネットワークを介して接続されている計算機において、前記認証装置が用いる認証の精度を示す認証基準を算出する処理を前記計算機に実行させるプログラムであって、
   前記認証装置は、自身を識別する機器識別情報および利用者を識別する個人識別情報を前記認証サーバに送信し、前記送信した個人識別情報および機器識別情報に応答して、前記認証サーバが送信する認証処理の精度を示す認証基準を受信し、該受信した認証基準を用いて該利用者に対する認証処理を行ない、
   前記計算機は、
   前記機器識別情報毎に該機器識別情報が示す認証装置の設置されたエリア或いは前記認証装置が利用者に対する入場を許可するエリアを示す位置情報を対応付けた機器情報と、前記位置情報毎に前記位置情報が示すエリアに定められている認証処理の精度を対応付けた認証情報と、日付および時間帯毎に認証処理の精度を対応付けたカレンダ情報と、前記個人識別情報毎に該個人識別情報が示す利用者に対する過去の認証結果を対応付けた認証履歴情報と、を記憶する記憶手段を有していて、
   前記プログラムは、
   前記認証装置が送信した個人識別情報および機器識別情報を受信するステップと、
   前記受信した個人識別情報および機器識別情報と、前記記憶手段に記憶されている機器情報、前記認証情報、前記カレンダ情報、および前記認証履歴情報とを用いて認証基準を算出するステップと、
   前記個人識別情報および機器識別情報を送信した認証装置に前記算出した認証基準を送信するステップと、を前記計算機に実行させ、
   前記認証結果には、認証処理が行なわれた日付および時刻を示す情報が含まれていて、
   前記算出するステップは、
   前記機器情報を用いて前記受信した機器識別情報に対応付けられている位置情報を特定し、前記認証情報を用いて該特定した位置情報が示すエリアに定められている認証処理の精度を特定し、前記カレンダ情報を用いて現在の日付および時間帯に対応付けられている認証処理の精度を特定し、該位置情報が示すエリアに定められている認証処理の精度および該日付および時間帯に対応付けられている認証処理の精度を用いて前記認証基準を求めるステップと、
   前記記憶している認証履歴の中に前記受信した個人識別情報に対応付けられている認証結果が在る場合、該認証結果に含まれる認証処理が行なわれた日付および時刻を示す情報と現在の日付および時刻との時間差を求め、該時間差が所定時間より大きい場合、前記求めた認証基準の値を増加する補正を行うステップと、を有すること
   を特徴とするプログラム。

Images