JP6704433B2 - 入退室管理サーバおよび入退室管理システム - Google Patents

Description

この発明は、入退室管理の認証方法に関する。

従来、入退室管理システムでは、非接触型ＩＣカードを利用したシステムが利用されてきた。
非接触ＩＣカードを利用する場合、ゲートを通過する際にカードを翳す動作が必要となり、手荷物がある場合は不便である。
特許文献１では、カードを翳す動作を必要としない自動ゲートシステムが開示されている。

特開２００３−３３１３２３号公報

しかし、特許文献１では、ＩＣカード内に保存された顔データと、カメラで撮像したデータとを判定することで通過許可を行っているが、本人確認を一度しか行っておらず、セキュリティが十分とは言えない。
セキュリティの向上を図る場合、新たな認証方法を追加することが考えられる。例えば、新たな認証方法のための鍵を用意することが考えられるが、この場合新たなリソースの管理が必要とする。

本発明は、上記の点を考慮してなされたものであり、利便性を確保した入退室管理システムにおいて、認証のための追加リソースを要することなく、セキュリティを向上させることを課題とする。

入退室管理サーバは、ネットワークを介してカメラと受信機とに接続される入退室管理サーバであって、前記カメラで撮像した利用者の画像から第１の認証情報および第２の認証情報とを抽出する特徴点抽出部と、前記受信機から、利用者を特定する暗号化された第３の認証情報を取得し、この第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行う認証部とを備える。

前記認証部は、前記第３の認証情報と前記第２の認証情報とが一致する場合は利用者の入退室を許可し、前記第３の認証情報と前記第２の認証情報とが不一致の場合は利用者の入退室を不許可とする。

前記特徴点抽出部は、利用者を撮像した画像から前記第３の認証情報と第４の認証情報を抽出し、前記第４の認証情報で暗号化された前記第３の認証情報を保管する携帯カードを作成する携帯カード発行部と、前記携帯カードが発する信号を前記受信機から取得する信号受信部とを備える。

前記利用者を撮像した画像から生体情報の位置関係を前記第１の認証情報と前記第２の認証情報として利用する。

前記信号受信部は、前記受信機から取得した暗号化された前記第３の認証情報を保存し、前記特徴点抽出部は、利用者の画像を撮像する毎に、利用者を撮像した画像から前記第１の認証情報と前記第２の認証情報とを抽出し、前記認証部は、前記特徴点抽出部によって撮像された前記第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行い、利用者の入退室の認証が未確認である前記第３の認証情報がある間、認証を繰り返す。

さらに、前記認証部は、前記利用者の入退室を許可すると判定したときは、前記入退室管理サーバと前記ネットワークを介して接続されるゲートに対して前記ゲートを開放するよう指示するか、あるいは前記利用者の入退室を不許可すると判定したときは、前記ゲートに対して前記ゲートを閉鎖するよう指示する。

入退室管理表示端末は、撮像した利用者の画像から第１の認証情報および第２の認証情報とを抽出する特徴点抽出部と、受信機から、利用者を特定する暗号化された第３の認証情報を取得し、この第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行う認証部とを備える入退室管理サーバにネットワークを介して接続される表示端末であって、利用者の入退室の認証結果を前記入退室管理サーバから受信し、入退室の認証結果を画面表示するアラート表示部を備える。

この発明では、利便性を確保しつつ、認証のための追加リソースを要せずにセキュリティの向上を図ることができる。

実施の形態１に係る入退室管理システム１の構成図。 実施の形態１に係る入退室管理サーバ１０の構成図。 実施の形態１に係る入退室管理登録端末７０の構成図。 実施の形態１に係る携帯カード作成処理の作成フロー図。 実施の形態１に係る携帯カード作成処理の作成フロー図。 実施の形態１に係る入退室管理処理の入退室管理フロー図。 実施の形態１に係る入退室管理処理の入退室管理フロー図。 実施の形態１に係る利用者テーブル１５１、契約内容テーブル１５２の説明図。 実施の形態１に係る第１の認証情報、第４の認証情報の説明図。 実施の形態１に係る第２の認証情報、第３の認証情報の説明図。 実施の形態１に係る特徴点テーブル１５３の説明図。 実施の形態１に係る携帯カードテーブル１５４の説明図。 実施の形態１に係る特徴点情報テーブル１５５の説明図。 実施の形態１に係る入退室管理システム１の構成図。 実施の形態２に係る入退室管理システム１の構成図。 実施の形態２に係る入退室管理表示端末８０の説明図。 実施の形態２に係る入退室管理処理の入退室管理フロー図。 実施の形態２に係る入退室管理処理の入退室管理フロー図。 実施の形態２に係る入退室管理処理の入退室管理フロー図。 実施の形態２に係る信号情報テーブル１５６の説明図。 実施の形態２に係る検査結果テーブル１５７，８５７の説明図。

実施の形態１．
実施の形態１では、鉄道会社の改札を入退場する利用者を管理する入退室管理システム１について説明する。
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る入退室管理システム１の構成を説明する。
入退室管理システム１は、入退室管理サーバ１０と、携帯カード２０と、カメラ３０と、受信機４０と、ゲート５０と、入退室管理登録端末７０とを備える。入退室管理サーバ１０と、カメラ３０と、受信機４０と、ゲート５０と、入退室管理登録端末７０とは、ネットワーク６０を介して接続されている。

入退室管理サーバ１０と入退室管理登録端末７０は、入退室管理サービスを提供するコンピュータである。入退室管理サーバ１０は、サービスを提供する会社、または、サービスを提供する会社が利用するデータセンターといった場所に通常は設置される。入退室管理登録端末７０は、サービスを提供する会社に設置されるが、カメラ３０、受信機４０と同じＬＡＮ内に設置されても構わない。
入退室管理登録端末７０は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）といった利用者が使用するコンピュータである。
携帯カード２０は、集積回路が組み込まれたカードである。利用者を特定できる情報が記録されており、受信機４０とは、所定のインタフェースでの通信が可能である。具体的にはビーコンカードである。受信機４０と通信可能なものであればよく、ＲＦＩＤカード等であってもよい。
カメラ３０は、利用者の映像を取得するための撮像装置である。
受信機４０は、携帯カード２０と所定のインタフェースでの通信が可能な装置である。 ゲート５０は、入退室管理サーバ１０とネットワーク６０を介して接続されており、入退室管理サーバ１０の指示によりゲート５０を開閉させることで、利用者の入退場を制限する装置である。
ネットワーク６０は、入退室管理サーバ１０とカメラ３０と受信機４０と入退室管理登録端末７０とを接続し、所定のインタフェースでの通信が可能とする伝送路である。

図２を参照して、実施の形態１に係る入退室管理サーバ１０の構成を説明する。
入退室管理サーバ１０は、プロセッサ１１を備えると共に、メモリ１３、補助記憶装置１４からなる記憶装置１２、および入出力インタフェース１６といった他のハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

入退室管理サーバ１０は、機能要素として、特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７とを備える。以下の説明では、特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能を、入退室管理サーバ１０の「部」の機能という。特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能は、ソフトウェアにより実現される。
記憶部１５は、記憶装置１２で実現される。記憶部１５には、利用者テーブル１５１と、契約内容テーブル１５２と、特徴点テーブル１５３と、携帯カードテーブル１５４と、特徴点情報テーブル１５５と、信号情報テーブル１５６と、検査結果テーブル１５７と、画像テーブル１５８とが記憶される。

図３を参照して、実施の形態１に係る入退室管理登録端末７０の構成を説明する。
入退室管理登録端末７０は、プロセッサ７１を備えると共に、メモリ７３と、補助記憶装置７４とからなる記憶装置７２、および入出力インタフェース７６といった他のハードウェアを備える。プロセッサ７１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

入退室管理登録端末７０は、機能要素として、本人情報入力部７１１と、カード発券部７１２と、アラート表示部７１３と、ファイル送受信部７１４とを備える。以下の説明では、本人情報入力部７１１と、カード発券部７１２と、アラート表示部７１３と、ファイル送受信部７１４との機能を、入退室管理登録端末７０の「部」の機能という。本人情報入力部７１１と、カード発券部７１２と、アラート表示部７１３と、ファイル送受信部７１４との機能は、ソフトウェアにより実現される。
記憶部７５は、記憶装置７２で実現される。記憶部７５には、利用者テーブル７５１と、契約内容テーブル７５２と、特徴点テーブル７５３と、携帯カードテーブル７５４と、検査結果テーブル７５７と、画像テーブル７５８とが記憶される。

図２および図３において、プロセッサ１１，７１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，７１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

記憶装置１２は、メモリ１３および補助記憶装置１４を含む。記憶部１５は、メモリ１３により実現される。なお、記憶部１５は、補助記憶装置１４により実現されていてもよいし、メモリ１３と補助記憶装置１４との両方により実現されてもよい。
記憶装置７２は、メモリ７３および補助記憶装置７４を含む。記憶部７５は、メモリ７３により実現される。なお、記憶部７５は、補助記憶装置７４により実現されていてもよいし、メモリ７３と補助記憶装置７４との両方により実現されてもよい。

メモリ１３，７３は、データを一時的に記憶する記憶装置である。メモリ１３，７３は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

補助記憶装置１４，７４は、データを保管する記憶装置である。補助記憶装置１４，７４は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、補助記憶装置１４，７４は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（登録商標，ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記憶媒体であってもよい。

補助記憶装置１４，７４は、「部」の機能を実現するプログラムが記憶されている。このプログラムは、メモリ１３，７３にロードされ、プロセッサ１１，７１に読み込まれ、プロセッサ１１，７１によって実行される。補助記憶装置１４，７４には、ＯＳ（Ｏｐｅｒａｔｉｎｇ・Ｓｙｓｔｅｍ）も記憶されている。ＯＳの少なくとも一部がメモリ１３，７３にロードされ、プロセッサ１１，７１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。

入出力インタフェース１６，７６は、外部の装置と通信するためのインタフェースである。入出力インタフェース１６，７６は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

図２の入退室管理サーバ１０では、プロセッサ１１は、１つだけ示されている。しかし、入退室管理サーバ１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、プロセッシングを行うＩＣである。

同様に、図３の入退室管理登録端末７０では、プロセッサ７１は、１つだけ示されている。しかし、入退室管理登録端末７０は、プロセッサ７１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、カード発券部７１２と、アラート表示部７１３と、ファイル送受信部７１４との機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ７１と同じように、プロセッシングを行うＩＣである。

＊＊＊動作の説明＊＊＊
図４から図７を参照して、実施の形態１に係る入退室管理システム１の動作を説明する。
実施の形態１に係る入退室管理システム１の動作は、実施の形態１に係る入退室管理方法に相当する。また、実施の形態１に係る入退室管理システム１の動作は、実施の形態１に係る入退室管理プログラムの処理に相当する。

入退室管理システム１について、入退室管理システム１で利用する携帯カード作成フローと入退室管理フローについてそれぞれ説明する。

最初に、図４と図５を参照して、携帯カード作成フローについて説明する。
実施の形態１に係る入退室管理システム１の利用者は事前に携帯カード２０を作成する必要がある。
入退室管理登録端末７０の本人情報入力部７１１は、利用者からの入力により利用者の本人情報を登録する（ステップＳ１）
利用者によって入力される利用者の情報は、図８の利用者テーブル７５１に示すように、氏名、年齢等の本人を示す情報である。入力された情報は、利用者ＩＤと共に登録される。利用者ＩＤは、入力された利用者の情報を識別する情報である。

次に、本人情報入力部７１１は、登録が必要となる利用者の顔画像を撮像する（ステップＳ２）。顔画像は２つの認証情報として利用するためのもので、本人を識別できる生体情報であれば、顔画像に限らず、容姿等の画像でも構わない。
なお、実施の形態１では認証を２段階で行っているが、多段階での認証を行う場合は、１つの顔画像から認証回数に応じた認証情報を抽出する。
撮像した顔画像は、画像テーブル７５８（図示せず）に保存される。

次に、本人情報入力部７１１は、利用者からの入力により利用者の契約情報を登録する（ステップＳ３）。
利用者によって入力される契約情報は図８の契約内容テーブル７５２に示すように、契約内容１、契約内容２、契約内容３といった情報が利用者ＩＤと共に登録される。

本人情報の登録が完了すると、ファイル送受信部７１４は、本人情報入力部７１１で入力された、本人情報と、顔画像と、契約情報とを携帯カード２０に保管する入力情報として、入退室管理サーバ１０に送付する（ステップＳ４）。

入退室管理サーバ１０のファイル送受信部１１７は、入退室管理登録端末７０から送付された入力情報を受信する（ステップＳ５）。

入退室管理サーバ１０の特徴点抽出部１１１は、入力情報に含まれる顔画像から第４の認証情報を抽出する（ステップＳ６）。第４の認証情報を抽出する例については後述する。

次に、入退室管理サーバ１０の特徴点抽出部１１１は、ステップＳ６で使用した同じ顔画像から第３の認証情報を抽出する（ステップＳ７）。

顔画像から第４の認証情報と第３の認証情報を抽出する方法を図９および図１０を参照して説明する。
第４の認証情報と第３の認証情報との違いは、認証に使用する項目の違いである。第４の認証情報より第３の認証情報が項目が多い。
図９の例では、第４の認証情報として、利用者の顔の特徴点のうち左目と右目の内側の長さ、目と鼻との長さ、口の両端の長さを人の認証情報として利用している。
図１０の例では、第３の認証情報として、利用者の顔の特徴点のうち左目と右目の内側の長さ、目と鼻との長さ、口の両端の長さに加えて、左眉と右眉の内側の長さ、左眉と右眉の外側の長さ、目と眉の長さ、目と口の両端との長さを認証情報として追加したものを利用している。

これらの特徴点の情報は、カメラ３０と被写体との距離や撮影する角度、またカメラ３０の精度、被写体の状況等の環境によって誤差が生じやすい。例えば、１メートルの距離から静止している利用者を撮影した場合、利用者の左目と右目の内側の長さが１．３４センチメートルだったとしても、３メールの距離から歩行している同じ歩行者を撮影した場合、利用者の左目と右目の内側の長さを１．３３センチメートルと認識するケースは十分あり得る。
そこで、環境による誤差を吸収するため、取得した情報を丸める処理を行い正しく本人と認識できるようにする。上記の例の場合、利用者の左目と右目の内側の長さを１．３４センチメートルではなく１．３センチメートルとして登録することにより、本人の特徴点の情報で本人と認識されないケースを防ぐことが可能となる。
一方、上記のように丸める処理を行うことは、誤認識してしまうケースを増やすことにつながる。しかし、一つ一つの特徴点の情報では誤認識するリスクがあっても、第３の認証情報が示すように認証する項目を増やすことで誤認識するリスクを少なくでき、利用者を誤認識することなく特定することが可能となる。このように利用者を撮像した顔画像から生体情報の位置関係を第３の認証情報と第４の認証情報として利用する。

上記の認証のアルゴリズム自体は限定するものではない。また、各特徴点の項目は完全一致する必要はなく、適合率により認証判断を行うようにしてもよい。
後述する第１の認証情報と第２の認証情報は、それぞれ第４の認証情報と第３の認証情報と同じ仕組みにより顔画像から抽出されるものである。

抽出した第３の認証情報および第４の認証情報は、図１１に示すように利用者ＩＤ、画像データと共に特徴点テーブル１５３に保存される。なお、利用者ＩＤは、撮影された画像の被写体である利用者を識別する情報である。
図１１の例では、利用者ＩＤが１００００００１、画像データが１００００００１．ｊｐｇ、第４の認証情報が、Ａｔｈｋｏｏ９８Ｌ３０ｋＬｈｉｌ、第３の認証情報が、ｍｃｈ９ｒｔｌｋＡｊｅｙ２ｗＧ＝で保存されている。
図１１の例では、保存する画像データの画像フォーマットはｊｐｇとしたが、ｐｎｇ，ｇｉｆ，ｂｍｐ等の画像フォーマットであってもよい。

携帯カード発行部１１２は、入退室管理登録端末７０から受信した利用者テーブル１５１と、契約内容テーブル１５２、およびステップＳ７で抽出された第３の認証情報との情報から携帯カード２０に保管する情報を作成する。
携帯カード２０内に保管する情報は第４の認証情報で暗号化する（ステップＳ８）。

携帯カード発行部１１２は、入力情報を元にして作成された携帯カード２０に保管する入力情報を保存する（ステップＳ９）。
携帯カード２０に保管される情報は、図１２の携帯カードテーブル１５４に示すように利用者ＩＤ、氏名、年齢、契約内容１、契約内容２と、第３の認証情報とが暗号化されて保存される。
なお、機密度が高くない情報については、図１２の携帯カードテーブル１５４の契約内容３のように暗号化せずに保存することとしてもよい。

ファイル送受信部１１７は、携帯カードテーブル１５４に保存された情報を入退室管理登録端末７０へ送信する（ステップＳ１０）。

入退室管理登録端末７０のファイル送受信部７１４は、入退室管理サーバ１０から送信された入力情報を受信する（ステップＳ１１）。

入退室管理登録端末７０のカード発券部７１２は、受信した入力情報を携帯カード２０へ書き込み、携帯カード２０を発券する（ステップＳ１２）。携帯カード２０の中には、図１２の携帯カードテーブル１５４が示す情報が保管される。第３の認証情報は、第４の認証情報で暗号化されて携帯カード２０に保管される。

次に、図６と図７を参照して、入退室管理システム１の入退室管理フローを説明する。
入退室管理システム１の入退室管理フローでは、駅の改札に設置されたカメラ３０によって、改札を通過しようとする利用者の顔画像を撮像する（ステップＳ２１）。カメラ３０によって撮像された顔画像は、入退室管理サーバ１０に送られる。

入退室管理サーバ１０の画像記録部１１６は、カメラ３０で撮像された顔画像を受信する（ステップＳ２２）。受信した顔画像は、画像テーブル１５８（図示せず）に保存される。

一方、受信機４０は、携帯カード２０が発する信号を取得する（ステップＳ２３）。

入退室管理サーバ１０の信号受信部１１５は、携帯カード２０が発する信号を受信機４０から受信する（ステップＳ２４）。

実施の形態１における鉄道会社の改札においては、利用者が保持する携帯カード２０が発する信号と、利用者を撮像した顔画像との対応付けは容易に行うことが可能である。
例えば、複数のゲート５０が設置されている場合でも、それぞれのゲート５０に限ると利用者は一人ずつゲート５０を通過することになる。よって、携帯カード２０が発する信号と信号を受信したゲートを通過する利用者の顔画像を順次対応付けることによって、対応付けを行うことができる。
入退室管理サーバ１０の認証部１１３は、画像記録部１１６で受信した顔画像と、信号受信部１１５で受信した信号を対応付けする（ステップＳ２５）。
対応付けができた場合は、ステップＳ２７に進む（ステップＳ２６でＹｅｓ）。対応付けができなかった場合はＳＴＡＲＴに戻る（ステップＳ２６でＮｏ）。ステップＳ２６でＮｏとなるケースは、例えば携帯カード２０を所持していない利用者がゲート５０を通過する場合である。

ステップＳ２５で顔画像と信号の対応付けが行えた場合は、特徴点抽出部１１１は、カメラ３０で撮像した利用者の顔画像から第１の認証情報を抽出する（ステップＳ２７）。
第１の認証情報の抽出方法は、ステップＳ６で説明した第４の認証情報の抽出方法と同じ方法による。抽出した第１の認証情報は、画像データと共に特徴点情報テーブル１５５に保存する。
図１３に特徴点情報テーブル１５５の例を示す。特徴点情報テーブル１５５は、画像Ｎｏと、画像データと、第１の認証情報と、第２の認証情報（ステップＳ３１で後述）とが保存される。画像Ｎｏは画像データを識別するための情報である。画像データは、カメラ３０によって撮像された顔画像である。第１の認証情報は、認証部１１３によって顔画像から抽出された第１の認証情報である。

認証部１１３は、抽出した第１の認証情報を使用して、ステップＳ２３で受信されステップＳ２５で顔画像と対応付けられた信号から利用者を特定する暗号化された第３の認証情報を復号する（ステップＳ２８）。なお、携帯カード２０から発信される信号は、第４の認証情報で暗号化されている。
携帯カード２０内に保管された第３の認証情報を暗号化した第４の認証情報と、ステップＳ２７で抽出された第１の認証情報とが同一である場合、携帯カード２０に保管された入力情報は第１の認証情報で復号される。一方、携帯カード２０内に保管された第３の認証情報を暗号化した第４の認証情報と、ステップＳ２７で抽出された第１の認証情報が同一でない場合、携帯カード２０に保管された入力情報の復号は失敗する。

復号に成功した場合は、ステップＳ３０へ進む（ステップＳ２９でＹｅｓ）。一方、復号に失敗した場合は、ゲート５０にゲート５０を閉鎖する指令を通知する（ステップＳ２９でＮｏ）。復号できないケースとは、例えば本来の利用者とは別の利用者が携帯カード２０を利用した場合である。

認証部１１３は、信号から入力情報を取り出す（ステップＳ３０）。入力情報は図１２に示すように、利用者が携帯カード２０を作成した時の入力情報である利用者ＩＤ、氏名、年齢、契約内容１、契約内容２等と、第３の認証情報とである。
契約内容１、契約内容２等といった情報とは、例えば利用開始日、利用終了日、残額といった情報である。

次に、特徴点抽出部１１１は、カメラ３０で撮像した利用者の顔画像から第２の認証情報を抽出する（ステップＳ３１）。
第２の認証情報の抽出方法は、ステップＳ７で説明した第３の認証情報の抽出方法と同一である。抽出した第２の認証情報は、特徴点情報テーブル１５５に対応する画像Ｎｏの第２の認証情報として保存する。

認証部１１３は、ステップＳ２８で復号した携帯カード２０内に保管されている第３の認証情報と、ステップＳ３１で抽出した第２の認証情報とを比較することで、本人認証を行う（ステップＳ３２）。
認証は、第３の認証情報と第２の認証情報とを比較し一致する場合は利用者の入退場を許可し、第３の認証情報と第２の認証情報とが不一致の場合は利用者の入退場を不許可とする。

次に、カード検査部１１４は、携帯カード２０の利用可否判定を行う（ステップＳ３３）。利用可否判定は所定の方法により行う。

カード検査部１１４は、ステップＳ３２とステップＳ３３を元に利用可否判定を行う（ステップＳ３４）。
ステップＳ３２での本人認証およびステップＳ３３の利用可否判定の結果、利用可能と判定した場合は、ゲート５０を開放する指示をゲート５０に通知する（ステップＳ３４でＹｅｓ）。ステップＳ３２での本人認証およびステップＳ３３の利用可否判定の結果、利用不可と判定した場合は、ゲート５０にゲート５０を閉鎖する指令を通知する（ステップＳ３４でＮｏ）。

入退室管理サーバ１０の認証部１１３からゲート５０の閉鎖指令を受けたゲート５０はゲート５０を閉鎖する（ステップＳ３５）。ゲート５０が閉鎖されるケースとは、例えば契約内容１、契約内容２といった情報を所定の方法でチェックした結果不可と判定されるケースである。

入退室管理サーバ１０の認証部１１３からゲート５０の開放指示を受けたゲート５０はゲート５０を開放する（ステップＳ３６）。

ゲート５０の開放および閉鎖は、ゲート５０を通過する利用者の撮像と利用者が保持する携帯カード２０が発する信号との時間差、利用者の移動する速さを考慮し、利用者がゲートを通過するタイミングと合わせて行われる。
また、ステップＳ３４は、ゲート５０の通常状態が閉鎖状態であれば、利用可能と判定した場合のみゲート５０を開放する指示をゲート５０に通知し、ゲート５０の通常状態が開放状態であれば、利用不可と判定した場合のみゲート５０にゲート５０を閉鎖する指令をゲート５０に通知するようにしてもよい。

入退室管理サーバ１０の認証部１１３は、利用者がゲート５０を通過する際、携帯カード２０に対して必要な更新を行うよう指示を行う（ステップＳ３７）。
必要な更新とは、例えば利用料金の精算である。
携帯カード２０を所持した利用者は、認証処理を完了しゲート５０を通過する。

＊＊＊実施の形態１の効果＊＊＊
実施の形態１では、鉄道会社における改札において入退場する利用者の認証を新たな鍵を追加することなく、１つの顔画像から複数の認証情報を抽出して利用することで、認証を複数回実施することが可能となり、セキュリティを向上することができる。

受信機に翳すことなく通信を行えるビーコンカード等を携帯カード２０として利用することにより、ゲートを通過する際にカードを翳す動作は不要となり利便性を確保しつつセキュリティを向上することができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、入退室管理サーバ１０の特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能はソフトウェアで実現された。しかし、変形例１として、入退室管理サーバ１０の特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７とはハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。

図１４を参照して、変形例１に係る入退室管理システム１の構成を説明する。
入退室管理サーバ１０の特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能がハードウェアで実現される場合、入退室管理サーバ１０は、プロセッサ１１と記憶装置１２とに代えて、処理回路１７を備える。
入退室管理サーバ１０の処理回路１７は、特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７の「部」の機能および記憶装置１２を実現する専用の電子回路である。

処理回路１７は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
入退室管理サーバ１０の特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能を１つの処理回路１７で実現してもよいし、特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能を複数の処理回路１７に分散させて実現してもよい。

＜変形例２＞
変形例２として、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。
つまり、入退室管理サーバ１０の特徴点抽出部１１１と、携帯カード発行部１１２と、認証部１１３と、カード検査部１１４と、信号受信部１１５と、画像記録部１１６と、ファイル送受信部１１７との機能のうち、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。

入退室管理サーバ１０のプロセッサ１１と記憶装置１２と処理回路１７とを、総称して「プロセッシングサーキットリー」という。
つまり、各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

実施の形態２．
実施の形態２では、実施の形態１の変形例として、施設内（会場等）における参加者を管理する入退室管理システム１について説明する。
実施の形態１では、改札を通過する利用者の顔画像と利用者が携帯する携帯カード２０とを用い、改札において入退室管理を行ったが、実施の形態２では、既に施設内に入場した利用者の顔画像と利用者が携帯する携帯カード２０とを用い、施設内において入退室管理を行うシステムについて説明する。
実施の形態１では、改札を通過する利用者を確認対象としたため、利用者の顔画像と利用者が保持する携帯カード２０とは、改札通過時に１対１に対応付けられたが、実施の形態２では、施設内に入場済の利用者を確認対象とするため、利用者の顔画像と利用者が携帯する携帯カード２０とを対応付ける新たな仕組みを必要とする点が実施の形態１と異なる。
また、実施の形態２では、認証した結果を施設内で確認するための端末装置である入退室管理表示端末８０を設けた。実施の形態２では、これらの異なる点を説明し、同一の点については説明を省略する。

＊＊＊構成の説明＊＊＊
図１５を参照して、実施の形態２に係る入退室管理システム１の構成を説明する。
入退室管理システム１は、入退室管理サーバ１０と、携帯カード２０と、カメラ３０と、受信機４０と、入退室管理登録端末７０と、入退室管理表示端末８０とを備える。入退室管理サーバ１０と、カメラ３０と、受信機４０と、入退室管理登録端末７０と、入退室管理表示端末８０とは、ネットワーク６０を介して接続されている。
入退室管理サーバ１０と、携帯カード２０と、カメラ３０と、受信機４０と、入退室管理登録端末７０とは、実施の形態１と同じである。入退室管理表示端末８０を備える点が図１に示す実施の形態１の入退室管理システム１と異なる。

入退室管理表示端末８０は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）といった利用者が使用するコンピュータである。

図１６を参照して、実施の形態２に係る入退室管理表示端末８０の構成を説明する。
入退室管理表示端末８０は、プロセッサ８１を備えると共に、メモリ８３と、補助記憶装置８４とからなる記憶装置８２、および入出力インタフェース８６といった他のハードウェアを備える。プロセッサ８１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

入退室管理表示端末８０は、機能要素として、アラート表示部８１３と、ファイル送受信部８１４とを備える。以下の説明では、アラート表示部８１３と、ファイル送受信部８１４との機能を、入退室管理表示端末８０の「部」の機能という。アラート表示部８１３と、ファイル送受信部８１４との機能は、ソフトウェアにより実現される。
記憶部８５は、記憶装置８２で実現される。記憶部８５には、利用者テーブル８５１と、契約内容テーブル８５２と、特徴点テーブル８５３と、携帯カードテーブル８５４と、特徴点情報テーブル８５５と、信号情報テーブル８５６と、検査結果テーブル８５７とが記憶される。

プロセッサ８１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ８１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

記憶装置８２は、メモリ８３および補助記憶装置８４を含む。記憶部８５は、メモリ８３により実現される。なお、記憶部８５は、補助記憶装置８４により実現されていてもよいし、メモリ８３と補助記憶装置８４との両方により実現されてもよい。

メモリ８３は、データを一時的に記憶する記憶装置である。メモリ８３は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

補助記憶装置８４は、データを保管する記憶装置である。補助記憶装置８４は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、補助記憶装置８４は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（登録商標，ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記憶媒体であってもよい。

補助記憶装置８４は、「部」の機能を実現するプログラムが記憶されている。このプログラムは、メモリ８３にロードされ、プロセッサ８１に読み込まれ、プロセッサ８１によって実行される。補助記憶装置８４には、ＯＳ（Ｏｐｅｒａｔｉｎｇ・Ｓｙｓｔｅｍ）も記憶されている。ＯＳの少なくとも一部がメモリ８３にロードされ、プロセッサ８１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。

入出力インタフェース８６は、外部の装置と通信するためのインタフェースである。入出力インタフェース８６は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

図１５の入退室管理表示端末８０では、プロセッサ８１は、１つだけ示されている。しかし、入退室管理表示端末８０は、プロセッサ８１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、アラート表示部８１３と、ファイル送受信部８１４との機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ８１と同じように、プロセッシングを行うＩＣである。

＊＊＊動作の説明＊＊＊
図１７〜図１９を参照して、実施の形態２に係る入退室管理システム１の動作を説明する。
実施の形態２に係る入退室管理システム１の動作は、実施の形態２に係る入退室管理方法に相当する。また、実施の形態２に係る入退室管理システム１の動作は、実施の形態２に係る入退室管理プログラムの処理に相当する。

実施の形態２の携帯カード２０の作成フローは実施の形態１と同様であるため省略する。実施の形態２の入退室管理フローについて図１７〜図１９で説明する。
実施の形態２の入退室管理フローでは、施設内に設置されている受信機４０は、利用者が所持する携帯カード２０が発する信号を取得する（ステップＳ４１）。

入退室管理サーバ１０の信号受信部１１５は、携帯カード２０が発する信号を受信機４０から取得する（ステップＳ４２）。

入退室管理サーバ１０の信号受信部１１５は、既に受信済の信号か未受信の新規の信号かを信号情報テーブル１５６を参照し、受信した信号が新規の信号か確認する（ステップＳ４３）。信号情報テーブル１５６について図２０を用いて説明する。
信号情報テーブル１５６は、信号Ｎｏと、信号データと、画像Ｎｏと、画像データとの情報を持ち、受信した信号と受信した信号に対応付けられる画像情報を持つテーブルである。信号Ｎｏは、受信した信号を識別するために採番される情報である。信号データは、受信された信号データである。
図２０に示す信号情報テーブル１５６の例では、信号ＮｏがＢ００００００１〜Ｂ０００００１０までの１０件の信号が受信済の信号として登録されていることを表している。

入退室管理サーバ１０の信号受信部１１５は、受信した信号が受信済ではない新規の信号の場合（ステップＳ４３でＹｅｓ）、すなわち信号情報テーブル１５６に信号が登録されていない場合は、信号を新規に登録する（ステップＳ４４）。
受信した信号が、既に登録されている場合は、何もせずＳＴＡＲＴに戻る（ステップＳ４３でＮｏ）。

携帯カード２０が発する信号の受信と並行して、施設内に設置されたカメラ３０は参加者の顔画像を撮像する（ステップＳ５１）。カメラ３０は施設内に複数設置されており、カメラ３０によって撮像された顔画像は、入退室管理サーバ１０に送られる。

入退室管理サーバ１０の画像記録部１１６は、カメラ３０で撮像された顔画像を受信する（ステップＳ５２）。受信した顔画像は、画像テーブル１５８（図示せず）に保存される。

入退室管理サーバ１０の特徴点抽出部１１１は、カメラ３０で撮像された顔画像から第１の認証情報を抽出する（ステップＳ５３）。第１の認証情報の抽出方法は、ステップＳ７で説明した第４の認証情報の抽出方法と同一である。

入退室管理サーバ１０の認証部１１３は、ステップＳ４４で登録された信号と、ステップＳ５２で受信した顔画像とを対応付けるため、信号情報テーブル１５６を参照し顔画像と対応付けられていない信号はあるか確認する（ステップＳ５４）。
図２０に示す信号情報テーブル１５６の例では、信号ＮｏがＢ００００００１〜Ｂ００００００３までの信号は、画像Ｎｏと画像データが入力されており、信号と顔画像との対応付けが完了していることを表している。一方、信号ＮｏがＢ００００００４〜Ｂ０００００１０までの信号は、画像Ｎｏと画像データが入力されておらず、信号と顔画像との対応付けが完了していないことを表している。

対応付けが完了していない信号がある場合（ステップＳ５４でＹｅｓ）、未対応の信号の一つについて、例えば図２０の信号情報テーブル１５６の例では、信号ＮｏがＢ００００００４の信号データについて、ステップＳ５３で抽出した第１の認証情報で復号をする（ステップＳ５５）。
具体的な復号の方法は、実施の形態１と同様である。
復号ができた場合（ステップＳ５６でＹｅｓ）は、認証部１１３は、信号と第１の認証情報の作成の元となった顔情報とを対応付けが行えたと判定し、信号情報テーブル１５６の信号ＮｏがＢ００００００４に対応する画像Ｎｏと画像データを更新し、ステップＳ５７に進む。
復号ができなかった場合（ステップＳ５６でＮｏ）は、ステップＳ５４に戻り、信号情報テーブル１５６に登録されている未対応の次の信号（信号ＮｏがＢ００００００５）について復号を試みる。

信号受信部１１５で受信された信号のいずれとも対応付けが行えない場合、又は未対応の信号がない場合はＳＴＡＲＴに戻る（ステップＳ５４でＮｏ）。

認証部１１３は、復号された信号から保管されている入力情報を取り出す（ステップＳ５７）。取り出される入力情報は、実施の形態１のステップＳ３０で取り出す入力情報と同一である。
取り出される入力情報の契約内容１、契約内容２等といった情報は、例えば利用開始時間、利用終了時間、発行・登録年月日といった情報である。

特徴点抽出部１１１は、カメラ３０で撮像した利用者の顔画像から第２の認証情報を抽出する（ステップＳ５８）。第２の認証情報の抽出方法は、ステップＳ７で説明した第３の認証情報の抽出方法と同一である。

認証部１１３は、ステップＳ５５で復号した携帯カード２０内に保管されている第３の認証情報と、ステップＳ５８で抽出した第２の認証情報とを比較することで、本人認証を行う（ステップＳ５９）。
本人認証の方法はステップＳ３２と同一である。

カード検査部１１４は、携帯カード２０が利用可能か判定する（ステップＳ６０）。
実施の形態１と同様、保管されている契約内容を所定の方法で点検することで、携帯カード２０の利用可否を判定する。
ステップＳ５９で行った認証結果とステップＳ６０で行った利用可否判定結果は図２１で示す検査結果テーブル１５７に保存される。

検査結果テーブル１５７，８５７の例を図２１に示す。
図２１の検査結果テーブル１５７，８５７は、信号Ｎｏと、画像データと、認証結果と、利用可否との情報を持つ。信号Ｎｏは、受信した信号を識別する情報、画像データは受信した信号Ｎｏと対応付けられた画像情報である。
入退室管理表示端末８０のアラート表示部８１３は、検査結果テーブル１５７の情報を入退室管理サーバ１０から受け取り、画面に表示する（ステップＳ６１）。
画面に表示された検査結果テーブル８５７の情報を参照することで、利用者の認証情報、利用可否判定結果を利用者の顔画像データと共に確認することができる。

カード検査部１１４は、利用可否を判定し、利用可能であると判定した場合は、ステップＳ６３に進む（ステップＳ６２でＹｅｓ）。利用不可と判定した場合は、ＥＮＤに進む（ステップＳ６２でＮｏ）。

携帯カード２０は、入退室管理サーバ１０の認証部１１３からの指示を受信機４０を介して受け取ると、携帯カード２０の情報を更新する（ステップＳ６３）。
携帯カード２０の情報を更新する例として、携帯カードテーブル１５４に認証確認時間の情報を持たせておき、認証完了した時に認証確認時間を更新するようにしてもよい。

＊＊＊実施の形態２の効果＊＊＊
実施の形態２では、施設内にいる利用者の認証を、入退室管理を行う会場の出入口に限定することなく、新たな鍵を追加することなく１つの顔画像から複数の認証情報を抽出して利用することで、認証を複数回実施することが可能となり、セキュリティを向上することができる。

入退室管理表示端末８０の画面に表示された検査結果テーブル８５７の情報を参照することで、利用者の認証情報、利用可否判定結果を利用者の顔画像データと共に確認することができる。

＊＊＊他の構成＊＊＊
＜変形例３＞
実施の形態２の構成ではゲート５０は不要としているが、ゲート５０を備え施設内とゲート５０との両方で入退室管理を行う構成とすることも可能である。

１ 入退室管理システム、１０ 入退室管理サーバ、２０ 携帯カード、３０ カメラ、４０ 受信機、６０ ネットワーク、８０ 入退室管理表示端末、１１１ 特徴点抽出部、１１２ 携帯カード発行部、１１３ 認証部、１１５ 信号受信部、８１３ アラート表示部。

Claims (7)

1. ネットワークを介してカメラと受信機とに接続される入退室管理サーバであって、前記カメラで撮像した利用者の画像から第１の認証情報および前記第１の認証情報より認証項目の数が多い第２の認証情報とを抽出する特徴点抽出部と、
   前記受信機から、利用者を特定する暗号化された第３の認証情報を取得し、この第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行う認証部と、
   を備える入退室管理サーバ。
2. 前記認証部は、前記第３の認証情報と前記第２の認証情報とが一致する場合は利用者の入退室を許可し、前記第３の認証情報と前記第２の認証情報とが不一致の場合は利用者の入退室を不許可とする
   請求項１記載の入退室管理サーバ。
3. 前記特徴点抽出部は、利用者を撮像した画像から前記第３の認証情報と第４の認証情報を抽出し、前記第４の認証情報で暗号化された前記第３の認証情報を保管する携帯カードを作成する携帯カード発行部と、
   前記携帯カードが発する信号を前記受信機から取得する信号受信部と、
   を備える請求項１又は２のいずれか１項に記載の入退室管理サーバ。
4. 前記利用者を撮像した画像から生体情報の位置関係を前記第１の認証情報と前記第２の認証情報として利用する請求項１から３のいずれか１項に記載の入退室管理サーバ。
5. 前記信号受信部は、前記受信機から取得した暗号化された前記第３の認証情報を保存し、前記特徴点抽出部は、利用者の画像を撮像する毎に、利用者を撮像した画像から前記第１の認証情報と前記第２の認証情報とを抽出し、前記認証部は、前記特徴点抽出部によって撮像された前記第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行い、利用者の入退室の認証が未確認である前記第３の認証情報がある間、認証を繰り返す
   請求項３に記載の入退室管理サーバ。
6. さらに、前記認証部は、前記利用者の入退室を許可すると判定したときは、前記入退室管理サーバと前記ネットワークを介して接続されるゲートに対して前記ゲートを開放するよう指示するか、あるいは前記利用者の入退室を不許可すると判定したときは、前記ゲートに対して前記ゲートを閉鎖するよう指示する
   請求項２記載の入退室管理サーバ。
7. 入退室管理サーバと、ネットワークを介してカメラと受信機とに接続される入退室管理表示端末とからなる入退室管理システムであって、
   前記カメラで撮像した利用者の画像から第１の認証情報および前記第１の認証情報より認証項目の数が多い第２の認証情報とを抽出する特徴点抽出部と、
   前記受信機から、利用者を特定する暗号化された第３の認証情報を取得し、この第３の認証情報を前記第１の認証情報で復号し、復号された前記第３の認証情報と前記第２の認証情報とを比較することで、利用者の入退室の認証を行う認証部と、
   を備え、
   入退室管理表示端末は、
   利用者の入退室の認証結果を前記入退室管理サーバから受信し、入退室の認証結果を画面表示するアラート表示部を備える
   ことを特徴とする入退室管理システム。

Images