(57)【要約】【課題】  複数の認証装置を有する認証システムにおいて、認証に使用する生体情報の登録作業を容易にし、また、セキュリティの向上を図る。【解決手段】  認証システム１は、通信回線５１で接続された複数の認証装置１０ａ〜１０ｄを備える。利用者は、認証装置１０ａにおいて生体情報を入力する。入力された生体情報は、認証装置１０ａに登録されるとともに、認証装置１０ａから認証装置１０ｂ〜１０ｄへ転送される。転送された生体情報は、それぞれ認証装置１０ｂ〜１０ｄに登録される。認証装置１０ａ〜１０ｄは、利用者の本人確認を行う際には、その利用者により新たに入力される生体情報と、自装置内に登録されている生体情報とを照合する。【選択図】図４
2006099607.tif 000002
【特許請求の範囲】
【請求項１】
複数の認証装置を有する認証システムであって、
各認証装置は、それぞれ、
生体情報を取得する取得手段と、
上記取得手段により取得された生体情報を登録する登録手段と、
上記取得手段により取得された生体情報を他の認証装置に転送する転送手段と、
上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、を有する
ことを特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムであって、
認証装置ごと且つ利用者ごとにそれぞれ生体情報の登録の可否を設定する登録可否設定手段、をさらに備え、
上記転送手段は、各利用者の生体情報を上記登録可否設定手段により許可されている認証装置にのみ転送する。
【請求項３】
請求項１に記載の認証システムであって、
上記複数の認証装置を、第１のグループおよび第２のグループを含む複数のグループにグループ化するグループ化手段、をさらに備え、
上記第１のグループに属する認証装置の転送手段は、その認証装置の取得手段が生体情報を取得すると、その生体情報を即座に上記第１のグループに属する他の認証装置へ転送し、上記第２のグループに属する認証装置に対しては、所定の契機が発生したときにその生体情報を転送する。
【請求項４】
複数の認証装置を有する認証システムにおいて使用される認証装置であって、
生体情報を取得する取得手段と、
上記取得手段により取得された生体情報を登録する登録手段と、
上記取得手段により取得された生体情報を他の認証装置に転送する転送手段と、
上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、
を有することを特徴とする認証装置。
【請求項５】
複数の認証装置を有する認証システムにおいて各認証装置が使用する生体情報を登録する方法であって、
上記複数の認証装置の中の第１の認証装置に生体情報を登録する第１の工程と、
上記第１の認証装置に登録された生体情報をその第１の認証装置から上記複数の認証装置の中の第２の認証装置に転送する第２の工程と、
上記第２の認証装置にその生体情報を登録する第３の工程、を有し、
すべての認証装置または上記複数の認証装置の中の予め決められた特定の認証装置に上記生体情報が登録されるまで上記第２および第３の工程を繰り返し実行することを特徴とする生体情報登録方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、生体情報を用いる複数の認証装置を有する認証システムに係わる。
【背景技術】
【０００２】
従来より、個人の身体的特徴（例えば、指紋、瞳の虹彩、声紋、静脈パターンなど）を示す生体情報（生体パターン）を用いた認証装置が実用化されている。この種の認証装置は、例えば、ドアの開錠や、コンピュータあるいは携帯電話等のログインに際して個人を認証するために使用されている。
【０００３】
特許文献１には、ドア開閉システムにおいて、生体情報として指紋および声紋の双方を利用して個人を認証する技術が記載されている。
特許文献２には、指紋照合を利用する入退室管理システムにおいて、複数のゲートにそれぞれ指紋照合装置が設けられた構成が記載されている。ここで、指紋データを含む個人情報は、ホスト装置に登録されている。この構成により、利用頻度の高い最新の指紋データの効率的な管理を図っている。
【特許文献１】特開平３−２４１１８２号公報（明細書の第２ページ、図３）
【特許文献２】特開平９−１９８５０１号公報（明細書の段落０００９〜００１２、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
複数の認証装置を含む認証システムにおいては、従来は、上述の特許文献２に記載のように、認証装置とは別個の設けられたサーバに生体情報が登録されていた。しかし、この構成では、認証装置において認証処理を実行するごとにサーバからその認証装置へ生体情報をダウンロードする必要があるので、ネットワークの負荷が重くなると共に、情報漏洩の問題があった。また、この構成では、サーバに何らかの障害が発生すると、すべての認証装置の動作が停止してしまうおそれがあった。
【０００５】
本発明の目的は、生体情報を用いる複数の認証装置を有する認証システムにおいて、そのセキュリティを向上させることである。また、本発明の他の目的は、上記認証システムにおいて、生体情報の登録作業が容易にすることである。
【課題を解決するための手段】
【０００６】
本発明の認証システムは、複数の認証装置を有する。そして、各認証装置は、それぞれ生体情報を取得する取得手段と、上記取得手段により取得された生体情報を登録する登録手段と、上記取得手段により取得された生体情報を他の認証装置に転送する転送手段と、上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、を有する。
【０００７】
この発明によれば、ある認証装置において入力された生体情報は、その認証装置に登録されると共に、他の認証装置に転送される。これにより、各認証装置に利用者の生体情報を登録することができ、各認証装置は、自装置に登録されている生体情報を利用して利用者の本人確認を行うことができる。
【０００８】
上記認証システムにおいて、認証装置ごと且つ利用者ごとにそれぞれ生体情報の登録の可否を設定する登録可否設定手段をさらに設け、上記転送手段は、各利用者の生体情報を上記登録可否設定手段により許可されている認証装置にのみ転送するようにしてもよい。この構成によれば、所望の認証装置にのみ利用者の生体情報を登録することができる。
【０００９】
また、上記認証システムにおいて、上記複数の認証装置を第１のグループおよび第２のグループを含む複数のグループにグループ化するグループ化手段をさらに設け、上記第１のグループに属する認証装置の転送手段は、その認証装置の取得手段が生体情報を取得すると、その生体情報を即座に上記第１のグループに属する他の認証装置へ転送し、上記第２のグループに属する認証装置に対しては、所定の契機が発生したときにその生体情報を転送するようにしてもよい。この構成によれば、所定の認証装置（たとえば、登録作業を急ぐ必要のある認証装置）に対してのみ生体情報が即座に転送され、他の認証装置（たとえば、登録作業を急ぐ必要のない認証装置）に対しては生体情報は後で転送されることになる。よって、生体情報の転送に起因するシステムの輻輳を回避できる。
【発明の効果】
【００１０】
本発明によれば、登録に際して認証装置間で生体情報が転送されるが、利用者の本人確認に際しては生体情報は各認証装置に外部に出力されることはない。よって、複数の認証装置を有する認証システムのセキュリティが向上する。また、任意の認証装置から入力された生体情報が他の１または複数の認証装置に転送されるので、生体情報を管理するためのサーバは不要である。
【発明を実施するための最良の形態】
【００１１】
本発明の実施形態について図面を参照しながら説明する。以下では、本発明に係る認証システムがドアの開閉を制御する入退室システムに適用される形態について説明する。ただし、本発明は、この形態に限定されるものではなく、例えば、コンピュータあるいは携帯電話等のログインに際して個人を認証するために使用されてもよい。
【００１２】
図１は、本発明の実施形態の認証システムを示す図である。実施形態の認証システム１は、通信回線５１を介して互いに接続された複数の認証装置１０（図１に示す例では、認証装置１０ａ、１０ｂ）を備えている。通信回線５１は、特に限定されるものではなく、無線回線であってもよい。
【００１３】
各認証装置１０は、それぞれ、制御盤５２を介してドア５３の電気錠５４に接続され、電気錠５４の施錠／開錠を制御している。そして、認証装置１０は、ドア５３から入室又は退室しようとする者（以下、「利用者」と呼ぶことがある。）の本人確認を行い、利用者の本人確認に成功した場合は、認証装置１０から制御盤５２へ開錠指示が与えられ、制御盤５２は開錠指示に従って電気錠５４を開錠する。一方、利用者の本人確認に失敗した場合は、電気錠５４は開錠することはない。なお、当然、開錠後所定時間が経過すると、あるいは、ドア５３が開閉したことを検出すると、電気錠５４は施錠され、次の利用者の操作待ち状態となる。
【００１４】
認証装置１０は、それぞれデータベースを備えており、そのデータベースに利用者の生体情報を予め登録している。生体情報は、特に限定されるものではないが、個人の身体的特徴（例えば、指紋、瞳の虹彩、声紋、手のひら等の静脈パターンなど）を表す電子データである。また、生体情報は、複数の認証装置１０の中の任意の認証装置（図１に示す例では、認証装置１０ａ）から入力されて登録される。そして、任意の認証装置から入力された生体情報は、他の認証装置（図１に示す例では、認証装置１０ｂ）に転送される。これにより、利用者の生体情報が各認証装置１０に登録される。
【００１５】
利用者は、ドア５３から入室または退出する際には、認証装置１０において本人確認を行う。すなわち、利用者は、認証装置１０において自分の生体情報を入力する。そうすると、認証装置１０は、先に登録されている生体情報と新たに入力された生体情報とを照合する。そして、その結果に応じて電気錠５４の開錠が制御される。
【００１６】
このとき、認証装置１０は、自装置内に登録されている生体情報を使用して上記照合処理を行う。すなわち、照合処理に際して、利用者の生体情報が通信回線５１を介して伝送されることはない。したがって、情報漏洩の可能性が低くなり、セキュリティの向上が図れる。なお、ネットワーク上に設けられたサーバに生体情報が登録される構成では、照合処理を行う毎に対応する生体情報が通信回線を介して送受信されるので、情報漏洩の可能性が高くなり、セキュリティの低下のおそれがある。
【００１７】
図２は、認証装置１０の構成図である。生体情報入力部１１は、利用者の生体情報を検知するためのセンサである。例えば、生体情報として利用者の指紋または静脈パターンを登録する場合には、生体情報入力部１１は、光学的読取り装置を含んで構成される。生体情報入力部１１は、生体情報を登録する際、および利用者の本人確認を行う際に、利用者に生体情報を入力させる。
【００１８】
キー入力部１２は、利用者に数字または文字等を入力させるための操作パネルである。そして、キー入力部１２を介して入力された数字等は、制御部２０により処理される。表示部１３は、利用者に通知すべきメッセージを表示する。尚、表示されるメッセージは、制御部２０により作成される。また、表示部１３にメッセージを表示するかわりに音声ガイダンスを出力するようにしてもよい。
【００１９】
通信部１４は、通信回線５１に接続されており、制御部２０の指示に従って、他の認証装置との間でデータ（生体情報、制御データを含む）を送受信する。また、通信プロトコルの処理、パケットの組立て／分解処理等は、この通信部１４により実行される。なお、通信プロトコルは、特に限定されるものではないが、例えば、TCP/ICである。Ｉ／Ｏインタフェース１５は、制御盤５２との間で信号を送受信する。
【００２０】
記憶部１６は、書き換え可能な記録装置であり、生体情報が登録される、なお、生体情報は、暗号化／復号化部１８により暗号化された後に記憶部１６に登録される。認証部１７は、利用者の本人確認に際して、記憶部１６に登録されている生体情報と生体情報入力部１１を介して新たに入力された生体情報とを照合する。暗号化／復号化部１８は、生体情報の暗号化および復号化を行う。
【００２１】
耐タンパ部１９は、認証装置１０に対する不正なアクセス（特に、記憶部１６への不正なアクセス（生体情報の不正な読出し、不正な書込み、改ざん等））、または認証装置１０と連携して動作する装置（図１に示す例では、制御盤５２、電気錠５４）に対する不正なアクセスがあったときに、記憶部１６に登録されている生体情報を強制的に削除する。これにより、生体情報の漏洩が回避される。
【００２２】
制御部２０は、上記各ユニット１１〜１９を連携動作させることにより、認証装置１０の全体動作を制御する。
認証装置１０に生体情報を登録する際には、利用者は、表示部１３に表示されるガイダンスメッセージに従って、生体情報入力部１１を利用して自分の生体情報を入力する。このとき、利用者は、キー入力部１２を介して他の個人情報も合わせて入力する。なお、他の個人情報としては、予め各個人に付与されている登録番号（企業の従業員の場合は、例えば、社員番号）などを入力する。
【００２３】
入力された生体情報は、暗号化／復号化部１８により暗号化されて記憶部１６に格納される。このとき、この暗号化された生体情報は、図３に示すように、利用者の登録番号と対応づけて記憶部１６に構築される生体情報データベース３１に登録される。
【００２４】
上述のようにして登録された生体情報は、他の認証装置へ転送される。すなわち、通信部１４は、記憶部１６に格納されている各利用者の生体情報を、通信回線５１を介して１または複数の他の認証装置１０へ転送する。このとき、生体情報は、暗号化された状態で転送される。また、生体情報とともに対応する登録番号も合わせて転送される。
【００２５】
一方、通信部１４は、他の認証装置から送信された生体情報（および、対応する登録番号）を通信回線５１を介して受信することができる。そして、受信した生体情報は、記憶部１６に登録される。このように、記憶部１６には、生体情報入力１１を介して入力される生体情報だけでなく、他の認証装置において入力された生体情報も登録される。
【００２６】
利用者は、本人確認を行う際には、表示部１３に表示されるガイダンスメッセージに従って、キー入力部１２を介して登録番号を入力すると共に、生体情報入力部１１を利用して自分の生体情報を入力する。そうすると、制御部２０は、入力された生体情報を認証部１７へ送る。また、入力された登録番号を検索キーとして記憶部１６から対応する生体情報を抽出する。続いて、記憶部１６から抽出した生体情報は、暗号化／複合化部１８において複合されて認証部１７へ送られる。そして、認証部１７は、生体情報入力部１１から新たに入力された生体情報と記憶部１６から抽出した生体情報とを照合し、その結果を制御部２０に通知する。
【００２７】
上記照合により本人確認に成功した場合は、制御部２０は、Ｉ／Ｏインタフェース１５介して電気錠５４を開錠する指示を制御盤５２に送信する。これにより、利用者は、ドア５３から入室または退室できるようになる。なお、当然、開錠後所定時間が経過すると、あるいは、ドア５３が開閉したことを検出すると、電気錠５４は施錠され、次の利用者の操作待ち状態となる。一方、本人確認に失敗した場合は、制御部２０は、表示部１３にその旨を表示する。すなわち、電気錠５４は開錠されず、利用者はドア５３から入室または退室できない。
【００２８】
図４は、実施形態の認証システム１において生体情報を登録する手順の一例を示す図である。ここでは、４台の認証装置１０ａ〜１０ｄが通信回線５１を介して互いに接続されている。認証装置１０ａおよび１０ｃは、それぞれ、ドア５３ａの入室側および退室側に設置された認証装置１０であり、認証装置１０ｂおよび１０ｄは、それぞれ、ドア５３ｂの入室側および退室側に設置された認証装置１０である。
【００２９】
管理サーバ６１は、認証システム１の状態管理およびログ管理などを行う。すなわち、管理サーバ６１は、例えば、各認証装置１０ａ〜１０ｄからの通知を利用して、どのドアから誰が何時何分に入室または退室したのか、等を記録する。ただし、管理サーバ６１には、各利用者の生体情報は格納されていない。
【００３０】
上記構成の認証システム１において、ある利用者が認証装置１０ａを利用して自分の生体情報を登録するものとする。この場合、まず、認証装置１０ａを利用して入力される生体情報は、その認証装置１０ａが備える記憶部１６に登録される。続いて、認証装置１０ａは、その生体情報を通信回線５１を介して他の認証装置１０ｂ〜１０ｄへ転送する。認証装置１０ｂ〜１０ｄは、それぞれ受信した生体情報を自装置内の記憶部１６に登録し、さらに、登録完了フラグを認証装置１０ａに返送する。これにより、認証装置１０ａ〜１０ｄに同一の生体情報が登録されることになる。
【００３１】
図５は、登録管理テーブルの実施例である。登録管理テーブル３２は、認証装置ごとに各利用者の生体情報が登録されているか否かを管理する。ここでは、図６に示すように、登録番号００１２２により識別される利用者の生体情報（パターン１）が、認証装置１０ａ、１０ｂ、１０ｃ、１０ｄに登録されており、登録番号００１２３により識別される利用者の生体情報（パターン２）が、認証装置１０ａ、１０ｃに登録されており、登録番号００１２４により識別される利用者の生体情報（パターン３）が、認証装置１０ａに登録されているものとする。
【００３２】
登録管理テーブル３２において、「登録完」は、対応する認証装置に生体情報がすでに登録されていることを表示する。一方、「登録未」は、対応する認証装置に生体情報がまだ登録されていないことを表示する。したがって、「登録未」が設定されている認証装置には、その生体情報を登録する必要がある。図５に示す例では、登録番号００１２４により識別される利用者の生体情報（パターン３）は、認証装置１０ｂ、１０ｃ、１０ｄに登録する必要がある。よって、この場合、生体情報（パターン３）が登録されている認証装置１０ａは、それを認証装置１０ｂ、１０ｃ、１０ｄに転送する必要がある。
【００３３】
「登録不可」は、その利用者の生体情報をその認証装置に登録しない旨を表示する。図５に示す例では、登録番号００１２３により識別される利用者の生体情報（パターン２）を認証装置１０ｂ、１０ｄに登録することが禁止されている。この場合、この利用者の生体情報は認証装置１０ｂ、１０ｄに登録されないので、この利用者は、図４に示す入退室システムにおいて、ドア５３ｂから入室または退室することができなくなる。なお、「登録不可」は、たとえば、入退室システムの管理者により管理サーバ６１を介して設定される。
【００３４】
登録管理テーブル３２は、例えば、各認証装置１０にそれぞれ設けられる。この場合、登録管理テーブル３２は、記憶部１６に作成されるようにしてもよい。そして、各認証装置１０は、登録管理テーブル３２の内容を互いに同期させればよい。すなわち、ある認証装置１０において登録管理テーブル３２が更新されると、その更新内容が他の認証装置に通知される。これにより、各認証装置１０において登録管理テーブル３２の同期が確立できる。なお、登録管理テーブル３２は、管理サーバ６１に設けるようにしてもよい。この場合、認証装置間で登録管理テーブル３２を交換する必要がないが、各認証装置は、登録に際して新たに生体情報を入力するとき、生体情報を他の認証装置に転送するとき、生体情報の転送が完了したとき等に管理サーバ６１にアクセスする必要がある。
【００３５】
図７は、生体情報を登録する手順を示すフローチャートである。ここでは、図４に示す手順で生体情報が転送されるケースを示す。また、このフローチャートは、登録に際して生体情報が入力された認証装置の動作を示す。
【００３６】
ステップＳ１では、利用者に登録番号（ＩＤ）の入力を要求する。そして、利用者によりＩＤが入力されると、ステップＳ２において、そのＩＤが当該装置に登録可能なＩＤであるか調べる。登録不可能なＩＤが入力された場合（例えば、入退室システムが予定していないＩＤが入力された場合）は、ステップＳ１１において、ＩＤの再入力を要求する警告メッセージが表示される。
【００３７】
ステップＳ３では、入力されたＩＤが既に生体情報データベース３１に存在するか否かを調べる。そして、入力されたＩＤが既に存在する場合には、ステップＳ１１において、生体情報の登録が既に行われている旨の警告メッセージが表示される。
【００３８】
ステップ４では、利用者に生体情報の入力を要求する。これにより、利用者が自分の生体情報を入力するものとする。続いて、ステップＳ５では、ステップＳ１で取得したＩＤおよびステップＳ４で取得した生体情報を互いに対応づけて生体情報データベース３１に登録する。このとき、少なくとも生体情報は、暗号化／複合化部１８により暗号化された後に生体情報データベース３１に格納されるものとする。
【００３９】
ステップＳ６では、登録管理テーブル３２において、対応する登録完了フラグを設定する。例えば、図５に示す例は、登録番号００１２４により識別される利用者の生体情報が認証装置１０ａに登録された際に、対応する登録完了フラグが設定された状態を示している。
【００４０】
ステップＳ７〜Ｓ８では、登録管理テーブル３２を参照し、ステップＳ４で取得した生体情報を転送すべき認証装置を検索する。具体的には、新たに生成されたレコードにおいて「登録未」が設定されている認証装置を検索する。例えば、図５に示す例では、登録番号００１２４により識別される利用者の生体情報が認証装置１０ａに登録された際に、認証装置１０ｂ、１０ｃ、１０ｄが得られる。
【００４１】
生体情報を転送すべき認証装置が検索された場合は、ステップ９において、その中の１台に対してステップＳ１で取得したＩＤおよびステップＳ４で取得した生体情報を送信する。このとき、少なくとも生体情報は、暗号化／複合化部１８により暗号化されているものとする。これにより、送信先の認証装置において、利用者のＩＤおよび生体情報が互いに対応づけられて登録される。また、送信先の認証装置は、その認証装置の装置ＩＤと共に、登録完了フラグを返送するものとする。そうすると、ステップＳ１０において、生体情報の送信先認証装置の装置ＩＤおよび登録完了フラグを受信する。
【００４２】
ステップＳ１０で装置ＩＤおよび登録完了フラグを受信すると、ステップＳ６に戻り、それらの受信した情報に従って登録管理テーブル３２の対応する登録完了フラグを設定する。以下、生体情報を転送すべき認証装置がなくなるまで（すなわち、登録管理テーブル３２において「登録未」が設定されている認証装置がなくなるまで）、ステップＳ６〜Ｓ１０の処理が繰り返し実行される。
【００４３】
生体情報を転送すべき認証装置が存在しなくなると、ステップＳ１２において、ステップＳ６で更新された登録管理テーブル３２を他のすべての認証装置に配布する。ここで、「すべての認証装置」は、登録管理テーブル３２において「登録不可」が設定されている認証装置を含んでいる。これにより、すべての認証装置において登録管理テーブル３２の内容を互いに一致させることができる。なお、登録管理テーブル３２が管理サーバ６１に設けられる場合には、ステップＳ１２は実行されない。
【００４４】
図８は、図７に示す認証装置から生体情報を受信する認証装置の動作を示すフローチャートである。ステップＳ２１では、通信回線５１を介して利用者のＩＤおよび生体情報を受信する。続いて、ステップＳ２２では、受信したＩＤおよび生体情報を生体情報データベース３１に登録する。そして、ステップＳ２３において、自装置の装置ＩＤおよび登録完了フラグを生体情報の送信元に返送する。これにより、生体情報の送信元の認証装置において図７に示すステップＳ１０が実行される。
【００４５】
このように、認証システム１においては、利用者の生体情報が任意の認証装置に登録されると、その認証装置がその生体情報を他の１または複数の認証装置に転送する。このとき、生体情報は、他のすべての認証装置に転送されるようにしてもよいし、予め決められた所望の認証装置にのみ転送されるようにしてもよい。これにより、すべての或いは所望の認証装置に利用者の生体情報を登録することができる。
【００４６】
また、ある認証装置から他の認証装置へ転送される生体情報は、その認証装置に新たに登録された情報のみなので、送受信されるデータ量は少なく、通信回線に負担がかかることはない。
【００４７】
図９は、生体情報を登録する手順の他の実施例を示す図である。ここで、システム構成は、図４に示した認証システム１と同じである。
図４に示した手順では、任意の認証装置（１０ａ）から入力された生体情報が、その認証装置から他の１または複数の認証装置へ転送される。これに対して、図９に示す手順では、任意の認証装置（１０ａ）から入力された生体情報は、予め決められた認証装置（１０ｃ）へ転送される。以降、その生体情報は、予め決められた順番に従って後続の認証装置（１０ｂ、１０ｄ）へ順番に転送されていく。そして、各認証装置は、前段の認証装置から受信した生体情報を自装置の生体情報データベース３１に登録する。このとき、各認証装置は、それぞれ、最初に生体情報が入力された認証装置（図９においては、認証装置１０ａであり、以下では、「オリジナル認証装置」と呼ぶことがある。）に登録完了フラグを返送する。この手順によれば、オリジナル認証装置の負荷が軽くなる。
【００４８】
図１０は、図９に示す手順において生体情報が入力される認証装置（オリジナル認証装置）の動作を示すフローチャートである。尚、ステップＳ１〜Ｓ６、Ｓ１１、Ｓ１２は、図７を参照しながら説明した処理と同じである。すなわち、利用者のＩＤおよび生体情報が入力されると、それを生体情報データベース３１に登録する。
【００４９】
ステップ３１では、登録管理テーブル３２を参照し、次に生体情報を登録すべき認証装置を検索する。なお、この例では、生体情報を登録する順番（例えば、認証装置１０ａ→１０ｃ→１０ｂ→１０ｄ）が予め決められており、登録管理テーブル３２を参照することによってその順番を知ることができるものとする。そして、ステップＳ３２では、抽出された認証装置へステップＳ１で取得したＩＤおよびステップＳ４で取得した生体情報を送信する。
【００５０】
ステップＳ３３〜Ｓ３６では、すべての（あるいは、予め決められた所定の）認証装置において登録処理が終了したことを確認する。すなわち、他の認証装置から登録完了フラグを受信するごとに登録管理テーブル３２を更新し、すべての認証装置について登録完了フラグが設定された時点で処理を終了する。
【００５１】
図１１は、図９に示す手順において前段の認証装置から生体情報を受信する認証装置の動作を示すフローチャートである。ステップＳ２１〜Ｓ２２では、図８を参照しながら説明したように、通信回線５１を介して受信したＩＤおよび生体情報を生体情報データベース３１に登録する。そして、ステップＳ４１において、自装置の装置ＩＤおよび登録完了フラグをオリジナル認証装置へ送信する。これにより、オリジナル認証装置において図１０に示すステップＳ３５、Ｓ３６が実行される。
【００５２】
ステップ４２では、登録管理テーブル３２を参照し、次に生体情報を登録すべき認証装置を検索する。そして、ステップＳ４３において、生体情報データベース３１に格納したＩＤおよび生体情報を上記抽出された認証装置へ送信する。
【００５３】
このように、オリジナル認証装置以外の各認証装置は、前段の認証装置から受信した生体情報を自装置に登録すると共に、それを後段の認証装置に転送する。これにより、各認証装置に利用者の生体情報が登録される。
【００５４】
図１２は、耐タンパ処理と連携して実行される再登録処理のフローチャートである。なお、耐タンパ処理は、不正なアクセスから情報を保護する処理であって、耐タンパ部１９により実行される。
【００５５】
ステップＳ５１において不正アクセスが検出されると、ステップＳ５２〜Ｓ５５が実行される。ここで、不正アクセスとは、例えば、記憶部１６に格納されている生体情報についての不正な読出し、不正な書込み、改ざん等、または認証装置１０と連携して動作する制御盤５２、電気錠５４に対する不正なアクセスなどが相当する。
【００５６】
ステップＳ５２では、記憶部１６に格納されている生体情報が対タンパ部１９により強制的に削除される。ステップＳ５３では、他の認証装置に対して生体情報を要求する。このとき、いずれの認証装置に要求メッセージを送信するのかは特に限定されるものではないが、例えば、複数の認証装置の中から予めメイン認証装置を決めておき、その認証装置に要求メッセージを送信するようにしてもよい。また、この要求メッセージは、不正アクセスに対する復旧処理が終了した後に送信されることが望ましい。さらに、この要求メッセージが送信される前に、耐タンパ処理が実行された旨を全認証装置に通知するようにしてもよい。なお、上記要求メッセージを受信した認証装置は、対応する生体情報を返送するものとする。
【００５７】
ステップＳ５４では、他の認証装置から送られてくる生体情報を受信する。そして、ステップＳ５５において、その生体情報を記憶部１６に再登録する。
このように、この実施形態の認証システムにおいては、不正アクセスに起因して生体情報を削除すると、その後、他の認証装置から対応する生体情報を自動意的に取得して再登録を行うことができる。よって、システムのメンテナンスが容易である。
【００５８】
また、生体情報がサーバで一括管理されているシステムでは、そのサーバに対して不正アクセスがあると、認証システム全体の動作が停止してしまう。例えば、認証システムを入退室システムに適用した場合には、すべてのドアの開閉制御が出来なくなってしまう。これに対して、本発明の認証システム１では、不正アクセスがあった認証装置の動作のみが停止するだけであり、他の認証装置には影響が及ばない。すなわち、認証システムの利便性が向上する。
【００５９】
なお、上述の例では、耐タンパ処理が実行された後に他の認証装置に生体情報を要求する手順を示したが、本発明はこれに限定されるものではない。即ち、例えば、他の理由により生体情報を消去した後に他の認証装置に生体情報を要求するようにしてもよいし、あるいは生体情報の消去／削除とは無関係に定期的に要求するようにしてもよい。
【００６０】
ところで、上述の実施例では、ある認証装置に利用者の生体情報が登録されると、その生体情報は即座に他の認証装置へ転送される。しかし、本発明はこの方式に限定されるものではなく、例えば、認証システムに属する複数の認証装置を２以上のグループにグループ分けしておき、グループ毎に転送タイミングを変えるようにしてもよい。
【００６１】
図１３（ａ）に示す例では、認証システム１は、６台の認証装置１０ａ〜１０ｆを備えている。そして、認証装置１０ａ〜１０ｃはビルＡに設置されており、認証装置１０ｄ〜１０ｆはビルＢに設置されている。この場合、認証装置１０ａ〜１０ｆは、設置される場所に応じてグループ分けされ、図１３（ｂ）に示すグループ管理テーブル３３に登録される。
【００６２】
図１４は、グループ化を考慮して生体情報を転送する処理のフローチャートである。ステップＳ６１では、まず、利用者により入力された生体情報を登録する。なお、この処理は、例えば、図７に示すステップＳ１〜Ｓ６に相当する。ステップＳ６２では、同一のグループに属する他の認証装置へ生体情報を転送する。このとき、まず、図１３（ｂ）に示すグループ管理テーブル３３を参照して同一のグループに属する認証装置を検出する。そして、さらに、登録管理テーブル３２を参照し、「登録未」が設定されている認証装置に対して順番に生体情報を転送していく。例えば、図１３において認証装置１０ａに生体情報が入力された場合には、認証装置１０ａから認証装置１０ｂ、１０ｃへその生体情報が転送される。
【００６３】
ステップＳ６３〜Ｓ６４では、タイマを設定する。このタイマは、特に限定されるものではないが、認証システムの使用頻度に低い所定の日時（例えば、翌日の午前０時）をモニタするように設定される。そして、タイマが満了すると（すなわち、所定の日時が到来すると）、ステップＳ６５において、再びグループ管理テーブル３３を参照して他のグループに属する認証装置へ生体情報を転送する。
【００６４】
このように、上述の手順によれば、早期に使用される可能性の高い認証装置に対してのみ即座に生体情報を登録し、早期に使用される可能性の低い認証装置に対しては通信回線の利用率の低い時間帯に転送することができる。よって、利用者の利便性を低下させることなく、且つ、通信回線の輻輳を回避できる。
【００６５】
なお、上述の実施例では、複数の認証装置の中の任意の認証装置において入力された生体情報が他の認証装置へ転送されるが、本発明は必ずしもこの構成に限定されるものではない。すなわち、実施形態の認証システム１は、（１）利用者の生体情報はサーバにより一括管理されるのではなく各認証装置に登録され、（２）１回の入力操作で複数の認証装置に生体情報が登録され、（３）利用者の本人確認の際には生体情報は通信回線を流れない、ものである。したがって、本発明は、認証装置以外の装置において入力された生体情報がその登録時に複数の認証装置に転送される構成を排除するものではない。
【００６６】
（付記１）複数の認証装置を有する認証システムであって、
各認証装置は、それぞれ、
生体情報を取得する取得手段と、
上記取得手段により取得された生体情報を登録する登録手段と、
上記取得手段により取得された生体情報を他の認証装置に転送する転送手段と、
上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、を有する
ことを特徴とする認証システム。
【００６７】
（付記２）付記１に記載の認証システムであって、
上記取得手段は、当該認証装置が備える生体情報センサである。
（付記３）付記１に記載の認証システムであって、
上記取得手段は、他の認証装置から転送されてくる生体情報を受信する。
【００６８】
（付記４）付記１に記載の認証システムであって、
認証装置ごと且つ利用者ごとにそれぞれ生体情報の登録の可否を設定する登録可否設定手段、をさらに備え、
上記転送手段は、各利用者の生体情報を上記登録可否設定手段により許可されている認証装置にのみ転送する。
【００６９】
（付記５）付記１に記載の認証システムであって、
上記複数の認証装置を、第１のグループおよび第２のグループを含む複数のグループにグループ化するグループ化手段、をさらに備え、
上記第１のグループに属する認証装置の転送手段は、その認証装置の取得手段が生体情報を取得すると、その生体情報を即座に上記第１のグループに属する他の認証装置へ転送し、上記第２のグループに属する認証装置に対しては、所定の契機が発生したときにその生体情報を転送する。
【００７０】
（付記６）付記１に記載の認証システムであって、
各認証装置は、それぞれ、他の認証装置に対して生体情報を要求する要求手段、をさらに有する。
【００７１】
（付記７）付記１に記載の認証システムであって、
各認証装置は、それぞれ、
当該認証装置またはその認証装置と連携して動作する装置に対する不正なアクセスがあったときに、上記登録手段に登録されている生体情報を削除する耐タンパ手段と、
上記耐タンパ手段が上記登録手段に登録されていた生体情報を削除した後、他の認証装置に対して生体情報を要求する要求手段、をさらに有する。
【００７２】
（付記８）複数の認証装置を有する認証システムにおいて使用される認証装置であって、
生体情報を取得する取得手段と、
上記取得手段により取得された生体情報を登録する登録手段と、
上記取得手段により取得された生体情報を他の認証装置に転送する転送手段と、
上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、
を有することを特徴とする認証装置。
【００７３】
（付記９）複数の認証装置を有する認証システムにおいて使用される認証装置であって、
生体情報を入力する入力手段と、
上記入力手段により入力された生体情報を他の認証装置に転送する転送手段と、
他の認証装置において入力された生体情報を受信する受信手段と、
上記入力手段により入力された生体情報および上記受信手段により受信された生体情報を登録する登録手段と、
上記登録手段に登録されている生体情報を利用して個人を認証する認証手段、
を有することを特徴とする認証装置。
【００７４】
（付記１０）複数の認証装置を有する認証システムにおいて各認証装置が使用する生体情報を登録する方法であって、
上記複数の認証装置の中の第１の認証装置に生体情報を登録する第１の工程と、
上記第１の認証装置に登録された生体情報をその第１の認証装置から上記複数の認証装置の中の第２の認証装置に転送する第２の工程と、
上記第２の認証装置にその生体情報を登録する第３の工程、を有し、
すべての認証装置または上記複数の認証装置の中の予め決められた特定の認証装置に上記生体情報が登録されるまで上記第２および第３の工程を繰り返し実行することを特徴とする生体情報登録方法。
【図面の簡単な説明】
【００７５】
【図１】本発明の実施形態の認証システムを示す図である。
【図２】認証装置の構成図である。
【図３】生体情報データベースを模式的に示す図である。
【図４】実施形態の認証システムにおいて生体情報を登録する手順の一例を示す図である。
【図５】登録管理テーブルの実施例である。
【図６】各認証装置における生体情報の登録状態を示す図である。
【図７】生体情報を登録する手順を示すフローチャートである。
【図８】図７に示す認証装置から生体情報を受信する認証装置の動作を示すフローチャートである。
【図９】生体情報を登録する手順の他の実施例を示す図である。
【図１０】図９に示す手順において生体情報が入力される認証装置の動作を示すフローチャートである。
【図１１】図９に示す手順において前段の認証装置から生体情報を受信する認証装置の動作を示すフローチャートである。
【図１２】耐タンパ処理と連携して実行される再登録処理のフローチャートである。
【図１３】（ａ）は、認証システムの構成例を示す図であり、（ｂ）は、グループ管理テーブルの実施例である。
【図１４】グループ化を考慮して生体情報を転送する処理のフローチャートである。
【符号の説明】
【００７６】
１      認証システム
１０（１０ａ〜１０ｆ）  認証装置
１１    生体情報入力部
１２    キー入力部
１３    表示部
１４    通信部
１５    Ｉ／Ｏインタフェース
１６    記憶部
１７    認証部
１８    暗号化。復号化部
１９    耐タンパ部
２０    制御部
３１    生体情報データベース
３２    登録管理テーブル
３３    グループ管理テーブル
５１    通信回線
５２    制御盤
５３（５３ａ、５３ｂ）    ドア
５４    電気錠
６１    管理サーバ
【図１】
2006099607.tif 000003
【図２】
2006099607.tif 000004
【図３】
2006099607.tif 000005
【図４】
2006099607.tif 000006
【図５】
2006099607.tif 000007
【図６】
2006099607.tif 000008
【図７】
2006099607.tif 000009
【図８】
2006099607.tif 000010
【図９】
2006099607.tif 000011
【図１０】
2006099607.tif 000012
【図１１】
2006099607.tif 000013
【図１２】
2006099607.tif 000014
【図１３】
2006099607.tif 000015
【図１４】
2006099607.tif 000016