(57)【要約】【課題】携帯電話等の通信端末装置を利用して改札を行う際に、通信端末装置の不正改造等を効率よく検知する通行制御システムを提供する。【解決手段】通行制御システムは、通信端末装置２０と交信し、電子改札処理を行い、通信端末装置へインテグリティの測定を要求する第１の改札装置１０と、第１の改札装置１０からインテグリティ測定の要求を受信して、インテグリティ測定を行う通信端末装置２０と、通信端末装置２０と交信し、電子改札処理を行い、インテグリティ測定の結果を受信する第２の改札装置３０とを備える。【選択図】図１
2006127426.tif 000002
【特許請求の範囲】
【請求項１】
通信端末装置と交信し、電子改札処理を行う電子改札処理手段と、
前記通信端末装置へインテグリティの測定を要求するインテグリティ測定要求手段とを備え、
前記通信端末装置が送信する前記インテグリティの測定結果は他の改札装置が受信することを特徴とする改札装置。
【請求項２】
前記インテグリティ測定要求手段は、任意の通信端末装置に対してインテグリティの測定を要求することを特徴とする請求項１に記載の改札装置。
【請求項３】
前記インテグリティ測定要求手段は、改札装置の利用頻度に応じて、インテグリティ測定要求をする通信端末装置の数を制御することを特徴とする請求項１又は２に記載の改札装置。
【請求項４】
前記インテグリティ測定要求手段は、複数回のインテグリティ測定を要求することを特徴とする請求項１〜３のいずれか１項に記載の改札装置。
【請求項５】
通信端末装置と交信し、電子改札処理を行う電子改札処理手段と、
他の改札装置からのインテグリティ測定要求によって、前記通信端末装置がインテグリティ測定を行い、該インテグリティ測定の結果を受信するインテグリティ測定結果受信手段と
を備えることを特徴とする改札装置。
【請求項６】
インテグリティの測定を要求された通信端末装置を識別するインテグリティ測定対象識別手段を更に備えることを特徴とする請求項５に記載の改札装置。
【請求項７】
前記インテグリティ測定結果受信手段は、改札装置の利用頻度に応じて、インテグリティ測定結果を受信する通信端末装置の数を制御することを特徴とする請求項５又は６に記載の改札装置。
【請求項８】
第１の改札装置及び第２の改札装置と交信し、電子改札処理を行う電子改札処理手段と、
前記第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行うインテグリティ測定手段と、
該インテグリティ測定の結果を前記第２の改札装置へ送信するインテグリティ測定結果送信手段と
を備えることを特徴とする通信端末装置。
【請求項９】
通信端末装置と交信し、電子改札処理を行い、前記通信端末装置へインテグリティの測定を要求する第１の改札装置と、
前記第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行う通信端末装置と、
前記通信端末装置と交信し、電子改札処理を行い、前記インテグリティ測定の結果を受信する第２の改札装置と
を備えることを特徴とする通行制御システム。
【請求項１０】
第１の改札装置及び第２の改札装置から情報を受信するサーバ装置を更に備えることを特徴とする通行制御システム。
【請求項１１】
通信端末装置と交信し、前記通信端末装置へインテグリティの測定を要求するインテグリティ測定要求装置と、
前記インテグリティ測定要求装置からインテグリティ測定の要求を受信して、インテグリティ測定を行う通信端末装置と、
前記通信端末装置と交信し、電子改札処理を行い、前記インテグリティ測定の結果を受信する改札装置と
を備えることを特徴とする通行制御システム。
【請求項１２】
改札装置に、
通信端末装置と交信し、電子改札処理を行う電子改札処理手順と、
前記通信端末装置へインテグリティの測定を要求するインテグリティ測定要求手順とを実行させ、
前記通信端末装置が送信する前記インテグリティの測定結果は他の改札装置が受信することを特徴とする改札装置の制御プログラム。
【請求項１３】
改札装置に、
通信端末装置と交信し、電子改札処理を行う電子改札処理手順と、
他の改札装置からのインテグリティ測定要求によって、前記通信端末装置がインテグリティ測定を行い、該インテグリティ測定の結果を受信するインテグリティ測定結果受信手順と
を実行させることを特徴とする改札装置の制御プログラム。
【請求項１４】
通信端末装置に、
第１の改札装置及び第２の改札装置と交信し、電子改札処理を行う電子改札処理手順と、
前記第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行うインテグリティ測定手順と、
該インテグリティ測定の結果を前記第２の改札装置へ送信するインテグリティ測定結果送信手順と
を実行させることを特徴とする通信端末装置の制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、改札装置、通信端末装置、通行制御システム、改札装置の制御プログラム及び通信端末装置の制御プログラムに関する。
【背景技術】
【０００２】
駅の改札では、自動改札機が設置され、これに紙やプラスチックに磁気的に金額などが記録されたチケット（切符）が挿入されて改札を行うようになっている。又、ユーザーの利便性向上のために、プリペイド方式で任意の金額（上限あり）を電子価値として充填可能な無線付ＩＣカードも実用化されている。無線付ＩＣカードは、ＩＣチップとしてカード内に内蔵されているＣＰＵから、認証に必要な暗証番号などを無線により送信し、認証や課金を行うものである（例えば、特許文献１参照）。更に、最近では、多数の人々が利用している携帯電話を用いる方法が検討されている。
【０００３】
無線付ＩＣカードは機能や通信先が限られているため、単純な構成を採用することができる。この単純な構成をカードに封印することで強固な耐タンパー性を実現できているので、安全な自動改札基盤として広く利用されている。一方、携帯電話は改札の用途以外に多数の機能が備わっており、又、通信先も多様なので、構成が複雑になる。そのため、耐タンパー性がＩＣカードよりも弱くなることは避けられない。携帯電話を駅の改札で使用する場合、悪意のあるユーザーが携帯電話を不正に改造したり、不正なプログラムをインストールしたりすることで、乗車区間データや電子価値の残額書換えを行うことが考えられる。
【０００４】
このような不正改造等を検出する技術として、Trusted Platform Module（ＴＰＭ）を用いて計算機のインテグリティを測定する手法が開発されている（例えば、非特許文献１参照。）。携帯電話にＴＰＭを組み込むことで、改札を通過する際に、自動改札機が携帯電話にインテグリティ測定結果を求め、測定結果により不正改造の可能性があれば、改札通過を認めないという運用は可能である。
【特許文献１】特開２００４−１１８８６６号公報
【非特許文献１】Compaq Computer Corporation, Hewlett-Packard Company, IBM Corporation, Intel Corporation, Microsoft Corporation、「Trusted Computing Platform Alliance (TCPA) Main Specification Version 1.1b」、22 February 2002、  ｈｔｔｐ：／／ｗｗｗ．ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇ．ｏｒｇ／ｄｏｃｓ／ｍａｉｎ％２０ｖ１＿１ｂ．ｐｄｆ
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、非特許文献１に開示された方法では、認証と課金情報のやり取りに加えて、インテグリティ測定結果の送信要求とその返答が必要になり、自動改札機と携帯電話間の交信時間が長くなってしまう。即ち、改札時のインテグリティ測定を求めると、その測定時間に加え、携帯電話やＴＰＭのベンダ証明書の検証時間も加算される。その結果、改札において、大勢の乗客を効率よく通過させることができなくなるという課題がある。
【０００６】
そこで、本発明は、上記の課題に鑑み、携帯電話等の通信端末装置を利用して改札を行う際に、通信端末装置の不正改造等を効率よく検知する改札装置、通信端末装置、通行制御システム、改札装置の制御プログラム及び通信端末装置の制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の第１の特徴は、（ａ）通信端末装置と交信し、電子改札処理を行う電子改札処理手段と、（ｂ）通信端末装置へインテグリティの測定を要求するインテグリティ測定要求手段とを備え、通信端末装置が送信するインテグリティの測定結果は他の改札装置が受信する改札装置であることを要旨とする。
【０００８】
第１の特徴に係る改札装置によると、駅への入場時などにインテグリティ測定を要求し、退場時などに他の改札装置がインテグリティ測定結果を受信するため、処理に時間のかかるインテグリティ測定を、乗客が列車を待っている時間や列車内にいる時間に行うことができるので、通信端末装置の不正改造等を効率よく検知することができる。
【０００９】
又、第１の特徴に係る改札装置のインテグリティ測定要求手段は、任意の通信端末装置に対してインテグリティの測定を要求してもよい。
【００１０】
この改札装置によると、インテグリティ測定対象数を削減することができ、より迅速なゲート通過が可能となり、改札処理時の混雑が緩和されるという有利性が得られる。
【００１１】
又、第１の特徴に係る改札装置のインテグリティ測定要求手段は、改札装置の利用頻度に応じて、インテグリティ測定要求をする通信端末装置の数を制御してもよい。
【００１２】
この改札装置によると、インテグリティ測定対象数を削減することができ、より迅速なゲート通過が可能となり、改札処理時の混雑が緩和されるという有利性が得られる。
【００１３】
又、第１の特徴に係る改札装置のインテグリティ測定要求手段は、複数回のインテグリティ測定を要求してもよい。
【００１４】
この改札装置によると、インテグリティ測定後に、測定結果は保存したまま、通信端末装置２０に不正改造が施されるという危険性が減少するという有利性が得られる。
【００１５】
本発明の第２の特徴は、（ａ）通信端末装置と交信し、電子改札処理を行う電子改札処理手段と、（ｂ）他の改札装置からのインテグリティ測定要求によって、通信端末装置がインテグリティ測定を行い、インテグリティ測定の結果を受信するインテグリティ測定結果受信手段とを備える改札装置であることを要旨とする。
【００１６】
第２の特徴に係る改札装置によると、駅への入場時などに他の改札装置がインテグリティ測定を要求し、退場時などにインテグリティ測定結果を受信するため、処理に時間のかかるインテグリティ測定を、乗客が列車を待っている時間や列車内にいる時間に行うことができるので、通信端末装置の不正改造等を効率よく検知することができる。
【００１７】
又、第２の特徴に係る改札装置は、インテグリティの測定を要求された通信端末装置を識別するインテグリティ測定対象識別手段を更に備えてもよい。
【００１８】
この改札装置によると、すべての通信端末装置がインテグリティ測定対象でない場合でも、混乱を起こすことなく改札処理を行うことが可能となる。
【００１９】
又、第２の特徴に係る改札装置のインテグリティ測定結果受信手段は、改札装置の利用頻度に応じて、インテグリティ測定結果を受信する通信端末装置の数を制御してもよい。
【００２０】
この改札装置によると、インテグリティ測定結果受信対象数を削減することにより、より迅速なゲート通過が可能となり、改札処理時の混雑が緩和されるという有利性が得られる。
【００２１】
本発明の第３の特徴は、（ａ）第１の改札装置及び第２の改札装置と交信し、電子改札処理を行う電子改札処理手段と、（ｂ）第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行うインテグリティ測定手段と、（ｃ）インテグリティ測定の結果を第２の改札装置へ送信するインテグリティ測定結果送信手段とを備える通信端末装置であることを要旨とする。
【００２２】
第３の特徴に係る通信端末装置によると、駅への入場時などに第１の改札装置がインテグリティ測定を要求し、退場時などに第２の改札装置がインテグリティ測定結果を受信するため、処理に時間のかかるインテグリティ測定を、乗客が列車を待っている時間や列車内にいる時間に行うことができるので、通信端末装置の不正改造等を効率よく検知することができる。
【００２３】
本発明の第４の特徴は、（ａ）通信端末装置と交信し、電子改札処理を行い、通信端末装置へインテグリティの測定を要求する第１の改札装置と、（ｂ）第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行う通信端末装置と、（ｃ）通信端末装置と交信し、電子改札処理を行い、インテグリティ測定の結果を受信する第２の改札装置とを備える通行制御システムであることを要旨とする。
【００２４】
第４の特徴に係る通行制御システムによると、駅への入場時などに第１の改札装置がインテグリティ測定を要求し、退場時などに第２の改札装置がインテグリティ測定結果を受信するため、処理に時間のかかるインテグリティ測定を、乗客が列車を待っている時間や列車内にいる時間に行うことができるので、通信端末装置の不正改造等を効率よく検知することができる。
【００２５】
又、第４の特徴に係る通信制御システムは、第１の改札装置及び第２の改札装置から情報を受信するサーバ装置を更に備えてもよい。
【００２６】
この通信制御システムによると、サーバ装置４０を管理する鉄道会社は、インテグリティ測定要求対象のすべての通信端末装置のインテグリティ測定結果送信（未送信）状況を把握することができ、長時間未送信状態が続いている通信端末装置に対して、不正乗車（正規のゲートを通過することなく駅から退場する等）の疑義をかけることができる。
【００２７】
本発明の第５の特徴は、（ａ）通信端末装置と交信し、通信端末装置へインテグリティの測定を要求するインテグリティ測定要求装置と、（ｂ）インテグリティ測定要求装置からインテグリティ測定の要求を受信して、インテグリティ測定を行う通信端末装置と、（ｃ）通信端末装置と交信し、電子改札処理を行い、インテグリティ測定の結果を受信する改札装置とを備える通行制御システムであることを要旨とする。
【００２８】
第５の特徴に係る通行制御システムによると、入場時など、任意のタイミングで効率よくインテグリティ測定結果を検証することができる。
【００２９】
本発明の第６の特徴は、改札装置に、（ａ）通信端末装置と交信し、電子改札処理を行う電子改札処理手順と、（ｂ）通信端末装置へインテグリティの測定を要求するインテグリティ測定要求手順とを実行させ、通信端末装置が送信するインテグリティの測定結果は他の改札装置が受信する改札装置の制御プログラムであることを要旨とする。
【００３０】
本発明の第６の特徴に係る制御プログラムを読み出すことにより、改札装置等に上記の手順を実行させることが可能となる。
【００３１】
本発明の第７の特徴は、改札装置に、（ａ）通信端末装置と交信し、電子改札処理を行う電子改札処理手順と、（ｂ）他の改札装置からのインテグリティ測定要求によって、通信端末装置がインテグリティ測定を行い、インテグリティ測定の結果を受信するインテグリティ測定結果受信手順とを実行させる改札装置の制御プログラムであることを要旨とする。
【００３２】
本発明の第７の特徴に係る制御プログラムを読み出すことにより、改札装置等に上記の手順を実行させることが可能となる。
【００３３】
本発明の第８の特徴は、通信端末装置に、（ａ）第１の改札装置及び第２の改札装置と交信し、電子改札処理を行う電子改札処理手順と、（ｂ）第１の改札装置からインテグリティ測定の要求を受信して、インテグリティ測定を行うインテグリティ測定手順と、（ｃ）インテグリティ測定の結果を第２の改札装置へ送信するインテグリティ測定結果送信手順とを実行させる通信端末装置の制御プログラムであることを要旨とする。
【００３４】
本発明の第８の特徴に係る制御プログラムを読み出すことにより、通信端末装置等に上記の手順を実行させることが可能となる。
【発明の効果】
【００３５】
本発明によると、携帯電話等の通信端末装置を利用して改札を行う際に、通信端末装置の不正改造等を効率よく検知する改札装置、通信端末装置、通行制御システム、改札装置の制御プログラム及び通信端末装置の制御プログラムを提供することができる。
【発明を実施するための最良の形態】
【００３６】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。
【００３７】
＜第１の実施の形態＞
（通行制御システム）
第１の実施の形態に係る通行制御システムは、図１に示すように、第１の改札装置１０と、通信端末装置２０と、第２の改札装置３０とを備える。第１の改札装置１０及び第２の改札装置３０は、鉄道の駅などに設置される自動改札装置である。
【００３８】
第１の実施の形態では、第１の改札装置１０は、通信端末装置２０を携帯する乗客が駅（プラットフォーム）に入場する際に通過するゲートに設置され、第２の改札装置３０は、通信端末装置２０を携帯する乗客が駅（プラットフォーム）から退場する際に通過するゲートに設置されるものとする。尚、第１の改札装置１０と第２の改札装置３０の両方の機能を有する改札装置を設置し、乗客の進行方向に応じて、第１の改札装置１０として機能するか第２の改札装置３０として機能するかを定めるようにしてもよい。
【００３９】
第１の改札装置１０は、電子改札処理手段１０１と、インテグリティ測定要求手段１０２とを備え、第２の改札装置３０は、電子改札処理手段３０１と、インテグリティ測定結果受信手段３０２とを備える。
【００４０】
電子改札処理手段１０１及び電子改札処理手段３０１は、近距離無線通信、又は、接触型通信により電子改札処理（電子乗車券や電子運賃価値実体の正当性判定、乗車区間特定、乗車区間からの運賃算出、電子乗車券や電子運賃価値実体の回収等）を行う。ここで、電子改札処理手段１０１と電子改札処理手段３０１は、後述する通信端末装置２０の電子改札処理手段２０１と連携して電子改札処理を行うが、その実現は既存の方法（例えば、特開２００１−２６６１７８号公報、特開２００２−２７９４５４号公報参照。）により可能である。
【００４１】
インテグリティ測定要求手段１０２は、通信端末装置２０のインテグリティ測定手段２０２へインテグリティ測定要求を送信する。
【００４２】
インテグリティ測定結果受信手段３０２は、通信端末装置２０のインテグリティ測定結果送信手段２０３から、インテグリティ測定結果を受信する。
【００４３】
通信端末装置２０は、通信機能付きＰＤＡや携帯電話やＰＨＳ等のような携帯型の無線通信機器を指す。通信端末装置２０は、電子改札処理手段２０１と、インテグリティ測定手段２０２と、インテグリティ測定結果送信手段２０３とを備える。
【００４４】
電子改札処理手段２０１は、少なくともデータ保存機能と改札装置１０、３０との間の認証機能と近距離通信機能を有するＩＣカード（非接触型でも接触型でもよい）が通信端末装置２０に内蔵される形で実現してもよいし、通信端末装置２０のアプリケーション用データ保存機能と認証機能と近距離通信機能とを利用する形で実現してもよい。
【００４５】
インテグリティ測定手段２０２は、第１の改札装置１０のインテグリティ測定要求手段１０２からの測定要求を受信して、通信端末装置２０のハードウエア（ＳＩＭやＵＩＭも含めてもよい）やソフトウエアの構成が改変されていないかを検証する。又、インテグリティ測定手段２０２は、既存の手法により実現でき、例えば、耐タンパー性を有するTrusted Platform Moduleを通信端末装置２０に内蔵させることで機能する（非特許文献１及びSiani Pearson, et al, 「Trusted Computing Platforms：TCPA technology in context」, Published July, 2002 by Prentice Hall PTR, ISBN 0-13-009220-7（以下において、「非特許文献２」という。）参照。）。
【００４６】
インテグリティ測定手段２０２が検証するハードウエアには、通信端末装置２０に内蔵されているＩＣカードがあればこれも含むこととし、検証するソフトウエアは、通信制御ソフトウエアやオペレーティングシステムやインターネットブラウザやデバイスドライバ等の基幹ソフトウエアを含み、ゲーム等の応用ソフトウエアは検査対象としてもよいし、しなくてもよい。又、本実施形態では、ソフトウエアのモジュール構成やバージョンも調べることとしてもよい。
【００４７】
インテグリティ測定結果送信手段２０３は、インテグリティ測定手段２０２による検証結果を第２の改札装置３０のインテグリティ測定結果受信手段３０２へ送信する。
【００４８】
又、第１の実施の形態に係る第１の改札装置１０、通信端末装置２０、第２の改札装置３０は、処理制御装置（ＣＰＵ）を有し、それぞれ上述した電子改札処理手段１０１、インテグリティ測定要求手段１０２、電子改札処理手段２０１、インテグリティ測定手段２０２、インテグリティ測定結果送信手段２０３、電子改札処理手段３０１、インテグリティ測定結果受信手段３０２などをモジュールとして、ＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。
【００４９】
又、図示していないが、第１の改札装置１０、通信端末装置２０、第２の改札装置３０は、それぞれ電子改札処理、インテグリティ測定要求処理、インテグリティ測定処理、インテグリティ測定結果送信処理、インテグリティ測定結果受信処理などをＣＰＵに実行させるための制御プログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、制御プログラムの蓄積、運搬、販売などを容易に行うことができる。
【００５０】
（通行制御方法）
次に、第１の実施の形態に係る通行制御方法について、図２を用いて説明する。図２は、通信端末装置２０のハードウエアやソフトウエアの不正改造を検知する処理の流れを示す。
【００５１】
まず、乗客は通信端末装置２０を携帯し、駅への入場のためのゲート通過時に第１の改札装置１０の所定の場所に、通信端末装置２０を近づける等の既存手法で相互通信を行い、電子価値実体の残額確認や電子乗車券の正当性確認や乗車駅情報を通信端末装置２０に書き込む等の電子改札処理を行う。このとき、ステップＳ１０１において、第１の改札装置１０のインテグリティ測定要求手段１０２は、通信端末装置２０のインテグリティ測定手段２０２へインテグリティ測定を要求する。その際、インテグリティ測定要求手段１０２は、要求者が第１の改札装置１０（又は、その管理者である鉄道会社）であるという情報を付加してもよい。
【００５２】
次に、ステップＳ１０２において、通信端末装置２０のインテグリティ測定手段２０２は、インテグリティ測定の要求を受信すると、インテグリティ測定を開始するが、その開始時期はゲート通過後でもよい。インテグリティ測定手段２０２では、インテグリティ測定要求者が改札装置１０（又は、その管理者である鉄道会社）であるという情報を受けた場合は、その情報が正しいことを確認してもよい。この確認は既存の認証局を用いる手法で実現でき、例えば、第１の改札装置１０（又は、その管理者である鉄道会社）であるという情報を電子証明書という形式で発行し、通信端末装置２０は公衆ネットワーク等を用いて所定の認証局（ネットワークオペレータが認証局を兼ねてもよい）に問い合わせて、その正当性を検証する。ここで、正当でないと認められた場合はインテグリティ測定を行わないというように本発明を変形してもよい。正当であればインテグリティ測定を行う。インテグリティ測定手段２０２は、まず、改札装置１０よりインテグリティ測定を要求されたという情報を通信端末装置２０のメモリー、又は、通信端末装置２０に内蔵されているＩＣカードがあればそのメモリーに書き込む。次に、インテグリティ測定手段２０２は、非特許文献１や非特許文献２に記載の方法で通信端末装置２０のインテグリティを測定し、その測定結果を耐タンパーメモリ（ＴＰＭのメモリーやＩＣカードのメモリー）に記録する。
【００５３】
次に、乗客は、駅を退場するためのゲート通過時に、第２の改札装置３０の所定の場所に、通信端末装置２０を近づける等の既存手法で相互通信を行い、電子改札処理を完了させる。このとき、ステップＳ１０３において、インテグリティ測定結果送信手段２０３により、第２の改札装置３０のインテグリティ測定結果受信手段３０２へインテグリティ測定結果を送信する。
【００５４】
次に、ステップＳ１０４において、第２の改札装置３０のインテグリティ測定結果受信手段３０２は、インテグリティ測定結果を受信する。本実施形態では、第２の改札装置３０がインテグリティ測定結果を検証し、通信端末装置２０のインテグリティが想定どおり（つまり、ハードウエアやソフトウエアが想定の構成から改変されていない状態である）であれば、電子改札処理を通常通りに進め、そうでなければ、電子改札処理をエラー状態で終了させることとする。エラー状態で終了した場合は、第２の改札装置３０の警報機が作動する等の方法で、駅員が不正乗車の可能性がある乗客と接触できるようにする。
【００５５】
（作用及び効果）
第１の実施の形態に係る通行制御システム及び通行制御方法によると、駅への入場時に第１の改札装置１０がインテグリティ測定を要求し、退場時に第２の改札装置３０がインテグリティ測定結果を受信するため、処理に時間のかかるインテグリティ測定を、乗客が列車を待っている時間や列車内にいる時間に行うことができるので、ゲート通過時にインテグリティ測定を行う従来方法に比べて、ゲート通過が迅速化するという点で有利となる。
【００５６】
（変形例）
本発明の変形例として、駅に入場するためのゲート通過時に通信端末装置２０が改札装置１０と通信（または相互認証）を行うことを契機として、図２のステップＳ１０２以降の処理を行うようにしてもよい。つまり、第１の改札装置１０からの要求が無くても、通信端末装置２０が自身のインテグリティを測定し、第２の改札装置３０にインテグリティ測定結果を送信する。この変形により、第１の改札装置１０からのインテグリティ測定要求を省略できるので改札に要する時間をさらに短縮できるようになる。
【００５７】
又、本発明の変形例として、インテグリティ測定をウイルス検査と置き換えてもよい。その際、第１の改札装置１０がウイルス定義ファイルのバージョンを指定するようにしてもよい。この変形により、非特許文献１や非特許文献２に記載の方法よりも簡易な方法（通信端末がＴＰＭを内蔵しなくてもよい）で、通信端末装置２０が不正な状態になっていることを検知できるようになる。但し、ハードウエアの構成改竄は検知できない。
【００５８】
又、本発明の変形例として、インテグリティ測定を電子改札処理の実行記録と置き換えてもよい。その際、第１の改札装置１０が任意の期間（通常は入場から退場までだが、前回の退場時を起点としてもよいし、特定の日時を起点としてもよいし、最後に電源を入れたときを起点としてもよいし、最後にブートしたときを起点としてもよいし、最後に電子改札処理ソフトウエアを更新したときを起点としてもよい）を指定するようにしてもよい。通信端末装置２０は、電子改札処理手段２０１における実行記録を、タイムスタンプをつけて保存しておき（保存場所はＴＰＭを用いた耐タンパーメモリでもよいし、内蔵ＩＣカード内の耐タンパーメモリでもよい）、駅から退場する際に第２の改札装置３０に実行記録（電子署名を付加してもよい）を送信する。この変形により、通信端末装置２０が不正な状態になっていることは検知できないが、簡易な方法で電子改札処理手段２０１が異常処理を行ったことを検知できる。
【００５９】
＜第２の実施の形態＞
第２の実施の形態では、第１の改札装置１０がインテグリティ測定を、すべてのゲート通過通信端末装置２０に要求するのではなく、任意の通信端末装置２０に限って要求する。
【００６０】
（通行制御システム）
第２の実施の形態に係る通行制御システムは、図１に示す第１の実施の形態に係る通行制御システムと同様である。
【００６１】
但し、第２の実施の形態では、第１の改札装置１０のインテグリティ測定要求手段１０２が、通過する通信端末装置２０がインテグリティ測定要求対象であるかどうかを判定し、測定要求対象である場合のみ、インテグリティ測定要求を送信する。
【００６２】
この機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【００６３】
（通行制御方法）
次に、第２の実施の形態に係る通行制御方法について、図３を用いて説明する。
【００６４】
ステップＳ２０１において、第１の改札装置１０のインテグリティ測定要求手段１０２は、第１の改札装置１０を通過する通信端末装置２０がインテグリティ測定要求対象であるかどうかを判定する。判定結果がＹＥＳであれば、ステップＳ２０２へ進み、ステップＳ２０３〜２０５、即ち図２のステップＳ１０２〜１０４の処理を行う。判定結果がＮＯであれば、処理を終了する。
【００６５】
ここで、要求対象は、特定機種（例えばセキュリティ上の脆弱性が判明しているもの）の通信端末装置２０に限定する（この場合、第１の改札装置１０と通信端末装置２０の相互認証時に通信端末装置２０が機種名に関する情報を送信する）、あるいは、ランダムにサンプリングする（例えば、１０機に１機）等の選び方により決定する。又、改札の込み具合に応じてインテグリティ測定を要求する対象を０％から１００％の間で任意に設定するように変形してもよい。込み具合の識別は経験的にわかっている知識（例えば午前７時から９時までは、通勤ラッシュ時間帯であり、込み方が著しい等）を利用してもよいし、改札口を監視している鉄道会社の駅員が込み具合を目視して適当に設定してもよいし、第１の改札装置１０が時間当たりの通過乗客数をカウントする機能を持つようにしてもよい。
【００６６】
（作用及び効果）
第２の実施の形態に係る通行制御システム及び通行制御方法によると、インテグリティ測定対象数を削減することができ、より迅速なゲート通過が可能となり、改札処理時の混雑が緩和されるという有利性が得られる。
【００６７】
＜第３の実施の形態＞
第３の実施の形態では、第１の改札装置１０が通信端末装置２０に対して複数回のインテグリティ測定を要求する。
【００６８】
（通行制御システム）
第３の実施の形態に係る通行制御システムは、図１に示す第１の実施の形態に係る通行制御システムと同様である。
【００６９】
但し、第３の実施の形態では、第１の改札装置１０のインテグリティ測定要求手段１０２が、通信端末装置２０に対して複数回のインテグリティ測定を要求する。又、通信端末装置２０のインテグリティ測定手段２０２は、複数回のインテグリティ測定を行う。更に、通信端末装置２０のインテグリティ測定結果送信手段２０３は、複数回、インテグリティ測定結果の送信を行い、第２の改札装置３０のインテグリティ測定結果受信手段３０２は、複数回、インテグリティ測定結果を受信する。
【００７０】
これらの機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【００７１】
（通行制御方法）
次に、第３の実施の形態に係る通行制御方法について、図２を用いて説明する。
【００７２】
ステップＳ１０１において、第１の改札装置１０のインテグリティ測定要求手段１０２は、通信端末装置２０に対して複数回のインテグリティ測定を要求する（測定の時間間隔を任意に指定するようにしてもよい）。このとき、通信端末装置２０のインテグリティ測定手段２０２は、ステップＳ１０２において、指定された回数のインテグリティ測定を行い、駅を退場する際に、ステップＳ１０３において、第２の改札装置３０に対して指定された回数分のインテグリティ測定結果を送信する。但し、退場時までに指定回数のインテグリティ測定が完了していなかったら、完了した測定結果のみを送信する。第２の改札装置３０は指定回数に満たないことへの合理性が認められた場合は、指定された回数に満たないことを認めてもよい。
【００７３】
（作用及び効果）
第３の実施の形態に係る通行制御システム及び通行制御方法によると、インテグリティ測定後に、測定結果は保存したまま、通信端末装置２０に不正改造が施されるという危険性が減少するという有利性が得られる。
【００７４】
更に、第１の改札装置１０によるインテグリティ測定指定回数は、共通秘密鍵を使用する等の方法で、第２の改札装置３０及び通信端末装置２０の耐タンパーなモジュール（例えば、内蔵ＩＣカードやＴＰＭ）だけが解読可能な暗号文として通信端末装置２０が保持するように変形してもよい。この変形例によると、通信端末装置２０への不正改造を試みる者は、最後のインテグリティ測定がいつ完了するのかわからないので、不正改造が施されるという危険性が減少する。
【００７５】
＜第４の実施の形態＞
第４の実施の形態では、第２の改札装置３０が、第１の改札装置１０によってインテグリティ測定対象として指定された通信端末装置２０を識別する。
【００７６】
（通行制御システム）
第４の実施の形態に係る通行制御システムは、図４に示すように、第１の改札装置１０と、通信端末装置２０と、第２の改札装置３０とを備える。第１の実施の形態と比較して、第２の改札装置３０にインテグリティ測定対象識別手段３０３が付加されている。
【００７７】
インテグリティ測定対象識別手段３０３は、前述の方法で通信端末装置２０が保持している「インテグリティ測定を要求されたという情報」を読み出すことで対象識別を行う。
【００７８】
又、インテグリティ測定結果受信手段３０２は、インテグリティ測定対象識別手段３０３によって、識別された通信端末装置２０のみから、インテグリティ測定結果を受信する。
【００７９】
これらの機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【００８０】
（通行制御方法）
次に、第４の実施の形態に係る通行制御方法について、図２を用いて説明する。
【００８１】
ステップＳ１０１〜１０３は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【００８２】
ステップＳ１０４において、インテグリティ測定対象識別手段３０３は、前述の方法で通信端末装置２０が保持している「インテグリティ測定を要求されたという情報」を読み出すことで対象識別を行う。そして、対象である場合のみ、インテグリティ測定結果受信手段３０２は、インテグリティ測定結果を受信する
又、変形例として、インテグリティ測定対象機種が限定されている場合には、第２の改札装置３０と通信端末装置２０間の相互認証時に機種情報を獲得することで、対象識別を行い、対象である場合のみ図２のステップＳ１０４以降の処理を行うこととしてもよい。
【００８３】
（作用及び効果）
第４の実施の形態に係る通行制御システム及び通行制御方法によると、第２の改札装置３０が、第１の改札装置１０によってインテグリティ測定対象として指定された通信端末装置２０を識別するための機能を有することで、すべての通信端末装置がインテグリティ測定対象でない場合でも、混乱を起こすことなく改札処理を行うことが可能となる。
【００８４】
＜第５の実施の形態＞
第５の実施の形態では、第２の改札装置３０が、インテグリティ測定結果の受信および受信後の処理を任意の通信端末装置２０に限る。
【００８５】
（通行制御システム）
第５の実施の形態に係る通行制御システムは、図１に示す第１の実施の形態に係る通行制御システムと同様である。
【００８６】
但し、第５の実施の形態では、第２の改札装置３０のインテグリティ測定結果受信手段３０２は、改札装置の利用頻度（乗客の混み具合）に応じて、インテグリティ測定結果を受信する通信端末装置の数を制御する。
【００８７】
この機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【００８８】
（通行制御方法）
次に、第５の実施の形態に係る通行制御方法について、図５を用いて説明する。
【００８９】
ステップＳ３０１〜３０３は、図２のステップＳ１０１〜１０３と同様であるので、ここでは説明を省略する。
【００９０】
ステップＳ３０４において、インテグリティ測定結果受信手段３０２は、第２の改札装置３０を通過する通信端末装置２０がインテグリティ測定結果受信対象であるかどうかを判定する。判定結果がＹＥＳであれば、ステップＳ３０５へ進み、図２のステップＳ１０４と同様の処理を行う。判定結果がＮＯであれば、処理を終了する。
【００９１】
ここで、インテグリティ測定結果受信対象は、改札の込み具合に応じて対象を０％から１００％の間で任意に設定できるようにする。込み具合の識別は経験的にわかっている知識（例えば午前７時から９時までは、通勤ラッシュ時間帯であり、込み方が著しい等）を利用してもよいし、改札口を監視している鉄道会社の駅員が込み具合を目視して適当に設定してもよいし、第２の改札装置３０が時間当たりの通過乗客数をカウントする機能を持つようにしてもよい。
【００９２】
（作用及び効果）
第５の実施の形態に係る通行制御システム及び通行制御方法によると、インテグリティ測定結果受信対象数を削減することにより、より迅速なゲート通過が可能となり、改札処理時の混雑が緩和されるという有利性が得られる。尚、乗客が駅に入場する際に降車駅を判定することはできないので、第１の改札装置１０によってインテグリティ測定対象を限定する方法よりも、退場ゲートの混雑緩和を効率よく行うことができる。
【００９３】
＜第６の実施の形態＞
第６の実施の形態では、複数の改札装置を管理するサーバ装置を備え、サーバ装置は、インテグリティ測定に関わる情報の一元管理を行う。
【００９４】
（通行制御システム）
第６の実施の形態に係る通行制御システムは、図６に示すように、第１の改札装置１０と、通信端末装置２０と、第２の改札装置３０と、インテグリティ測定に関わる情報の一元管理を行うサーバ装置４０とを備える。
【００９５】
第１の改札装置１０及び第２の改札装置３０は、通信路を介してサーバ装置４０に接続される。
【００９６】
サーバ装置４０は、受信手段４０１と、保持手段４０２と、送信手段４０３とを備える。
【００９７】
受信手段４０１は、第１の改札装置１０と交信して、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置の識別番号を受信する。又、受信手段４０１は、第２の改札装置３０と交信して、インテグリティ測定結果とインテグリティ測定結果受信時刻と識別番号とを受信する。
【００９８】
保持手段４０２は、第１の改札装置１０から受信した情報（例えば、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置の識別番号）を保持する。又、保持手段４０２は、第２の改札装置３０から受信した情報（例えば、インテグリティ測定結果とインテグリティ測定結果受信時刻と識別番号）を保持する。
【００９９】
送信手段４０３は、第１の改札装置１０から受信した情報（例えば、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置の識別番号）を第２の改札装置３０へ送信する。
【０１００】
又、第２の改札装置３０は、ゲートを通過する通信端末装置２０から通信端末装置２０の識別番号を獲得し、インテグリティ測定結果を受信すべき対象であるかどうかを判定する。更に、第２の改札装置３０は、インテグリティ測定結果とインテグリティ測定結果受信時刻と識別番号とをサーバ装置４０に送信する。
【０１０１】
これらの機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【０１０２】
（通行制御方法）
次に、第６の実施の形態に係る通行制御方法について、図７を用いてサーバ装置４０の処理の流れについて説明する。
【０１０３】
ステップＳ４０１において、受信手段４０１は、第１の改札装置１０から、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置２０の識別番号を受信する。又、保持手段４０２は、第１の改札装置１０から受信した情報（例えば、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置の識別番号）を保持する。
【０１０４】
次に、ステップＳ４０２において、送信手段４０３は、第１の改札装置１０から受信した情報（例えば、第１の改札装置１０がインテグリティ測定要求を行った時刻や対象通信端末装置の識別番号）を第２の改札装置３０へ送信する。第２の改札装置３０は、ゲートを通過する通信端末装置２０から通信端末装置２０の識別番号を獲得し、インテグリティ測定結果を受信すべき対象であるかどうかを判定する。
【０１０５】
次に、ステップＳ４０３において、受信手段４０１は、第２の改札装置３０と交信して、インテグリティ測定結果とインテグリティ測定結果受信時刻と識別番号とを受信する。そして、ステップＳ４０４において、保持手段４０２は、第２の改札装置３０から受信した情報を保持する。
【０１０６】
（作用及び効果）
第６の実施の形態に係る通行制御システム及び通行制御方法によると、サーバ装置４０を管理する鉄道会社は、インテグリティ測定要求対象のすべての通信端末装置２０のインテグリティ測定結果送信（未送信）状況を把握することができ、長時間未送信状態が続いている通信端末装置２０に対して、不正乗車（正規のゲートを通過することなく駅から退場する等）の疑義をかけることができる。又、未送信状態である通信端末装置２０が新たに駅に入場することを試みた場合には、第１の改札装置１０にゲート通過を認めないように指示することもできる。更に、インテグリティ測定結果が不正であったことが一度でもある通信端末装置２０の識別番号をブラックリスト上に保持して、通信端末装置２０が新たにゲートを通過する際は、通過時にリアルタイムでインテグリティ測定を要求する等の方法で、より厳重な警戒体制を敷けるようになる。
【０１０７】
＜第７の実施の形態＞
第７の実施の形態では、任意の近距離通信手法により、通信端末装置２０と通信できるインテグリティ測定要求装置５０を、駅のゲートへ向かう経路上に設置する。
【０１０８】
（通行制御システム）
第７の実施の形態に係る通行制御システムは、インテグリティ測定要求装置５０と、通信端末装置２０と、第２の改札装置３０とを備える。
【０１０９】
インテグリティ測定要求装置５０は、ゲート通過以前（入場時でも退場時でもよい）に、インテグリティ測定を要求するためのインテグリティ測定要求手段５０１を備える。インテグリティ測定要求手段５０１は、第１の実施の形態において説明した第１の改札装置１０のインテグリティ測定要求手段１０２と同様の方法で通信端末装置２０にインテグリティ測定を要求する。駅のゲートには、第２の改札装置３０が設置され改札処理を行うが、退場時の処理だけでなく、入場時の処理も行ってもよい。
【０１１０】
この機能以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。
【０１１１】
（通行制御方法）
次に、第７の実施の形態に係る通行制御方法について、図９を用いて説明する。
【０１１２】
まず、乗客は通信端末装置２０を携帯し、任意の場所に設置されたインテグリティ測定要求装置５０に通信端末装置２０を近づける等の既存手法で相互通信を行う。このとき、ステップＳ５０１において、インテグリティ測定要求装置５０のインテグリティ測定要求手段５０１は、通信端末装置２０のインテグリティ測定手段２０２へインテグリティ測定を要求する。
【０１１３】
ステップＳ５０２〜５０４の処理は、図２のステップＳ１０２〜１０４と同様であるので、ここでは説明を省略する。
【０１１４】
（作用及び効果）
第７の実施の形態に係る通行制御システム及び通行制御方法によると、入場時など、任意のタイミングで効率よくインテグリティ測定結果を検証することができる。
【０１１５】
＜その他の実施形態＞
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。
【０１１６】
例えば、第１〜第４の実施の形態において、第１の改札装置１０及び第２の改札装置３０は、鉄道の駅などに設置される自動改札装置として説明したが、鉄道における利用に限られるわけではなく、通信端末装置を用いた電子マネーを使用できる店舗や、企業におけるセキュリティゲート等に使用されてもよい。
【０１１７】
このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【０１１８】
【図１】第１〜第３及び第５の実施の形態に係る通行制御システムの構成ブロック図である。
【図２】第１及び第３〜第４の実施の形態に係る通行制御方法を示すフローチャートである。
【図３】第２の実施の形態に係る通行制御方法を示すフローチャートである。
【図４】第４の実施の形態に係る通行制御システムの構成ブロック図である。
【図５】第５の実施の形態に係る通行制御方法を示すフローチャートである。
【図６】第６の実施の形態に係る通行制御システムの構成ブロック図である。
【図７】第６の実施の形態に係る通行制御方法を示すフローチャートである。
【図８】第７の実施の形態に係る通行制御システムの構成ブロック図である。
【図９】第７の実施の形態に係る通行制御方法を示すフローチャートである。
【符号の説明】
【０１１９】
１０…第１の改札装置
１０１…電子改札処理手段
１０２…インテグリティ測定要求手段
２０…通信端末装置
２０１…電子改札処理手段
２０２…インテグリティ測定手段
２０３…インテグリティ測定結果送信手段
３０…第２の改札装置
３０１…電子改札処理手段
３０２…インテグリティ測定結果受信手段
３０３…インテグリティ測定対象識別手段
４０…サーバ装置
４０１…受信手段
４０２…保持手段
４０３…送信手段
５０…インテグリティ測定要求装置
５０１…インテグリティ測定要求手段
【図１】
2006127426.tif 000003
【図２】
2006127426.tif 000004
【図３】
2006127426.tif 000005
【図４】
2006127426.tif 000006
【図５】
2006127426.tif 000007
【図６】
2006127426.tif 000008
【図７】
2006127426.tif 000009
【図８】
2006127426.tif 000010
【図９】
2006127426.tif 000011