JP2010092442A - 本人認証のための方法、システム、判定装置、端末装置、サーバ装置、プログラムおよび記録媒体 - Google Patents

Abstract

【課題】 高い利便性と高い情報セキュリティとを兼ね備え、比較的低コストで実現可能な本人認証の技術を提供する。
【解決手段】 端末装置１１には、端末装置１１の正当な所有者である人物Ａの生体情報が、サーバ装置１３に記憶されている暗号鍵により暗号化された状態で記憶されている。判定装置１２は端末装置１１から端末識別情報と暗号化された生体情報を受信すると、受信した端末識別情報をサーバ装置１３に転送する。サーバ装置１３は判定装置１２から受信した端末識別情報に対応付けて記憶している暗号鍵を判定装置１２に送信する。判定装置１２はサーバ装置１３から受信した暗号鍵で端末装置１１から受信した生体情報を復号化する。判定装置１２は、復号化により得られた生体情報と、端末装置１１の所持者の写真データから生成した生体情報とを比較することにより、端末装置１１の所持者が人物Ａであるか否かを判定する。
【選択図】 図１

Description

本発明は、本人認証のための方法、システム、判定装置、端末装置、サーバ装置、プログラムおよび記録媒体に関する。

本人認証は、入退室管理やＡＴＭにおける入出金管理など、私たちの生活の様々な場面で必要となる。本人認証を装置により行う方法として、古くから、認証対象の人物ａが、人物Ａしか知らない筈のユーザ名とパスワードを正しく装置に入力できた場合、人物ａを人物Ａであると認証する方法が用いられてきた。また、近年では、認証対象の人物ａが、人物Ａ固有の生体情報を有すると判定された場合、人物ａを人物Ａであると認証する方法（いわゆる生体認証）も提案され、実用化されつつある。

生体認証を利用した本人認証の技術として、例えば特許文献１および２には、ＩＣカード等の携帯デバイスに参照用の生体情報を予め記憶させておき、携帯デバイスの正当な所有者から直接取得した生体情報と携帯デバイスに記憶されている参照用の生体情報とを比較した結果に基づき、携帯デバイスの所持者の本人認証を行うシステムが提案されている。
特開２００７−１４８４８０号公報 特開２００８−１８１２９５号公報

特許文献１や特許文献２において提案されている技術によれば、所持者が携帯するデバイスに参照用の生体情報が記憶されているため、例えば本人認証に際して、参照用の生体情報を遠隔地に配置されたサーバ装置から取得する場合と比較し、本人認証に要する時間の短縮が期待される等の利便性が得られる。その一方、特許文献１や特許文献２において提案されている技術による場合、サーバ装置等により参照用の生体情報が集中管理される場合と比較し、悪意ある所持者等により携帯デバイスに記憶されている参照用の生体情報が改ざんされてしまう危険性が高く、情報セキュリティが低くならざるを得ない。そのような改ざんを防止するため、携帯デバイスに高い耐タンパ性を持たせる等の対策を施す場合、携帯デバイスがコスト高となる。

本発明は、上記の状況に鑑み、高い利便性と高い情報セキュリティとを兼ね備え、比較的低コストで実現可能な本人認証の技術を提供することを目的とする。

上記課題を達成するために、本発明は、自機もしくは自機の正当な所有者を識別する識別情報と前記正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを記憶している端末装置が、前記識別情報と前記暗号化固有情報とを判定装置に送信する第１の送信ステップと、前記判定装置が、前記第１の送信ステップにおいて前記端末装置から送信された前記識別情報を、複数の識別情報の各々に対応付けて復号鍵を記憶しているサーバ装置に送信する第２の送信ステップと、前記サーバ装置が、自機が記憶している複数の復号鍵のうち前記第２の送信ステップにおいて前記判定装置から送信された前記識別情報に対応付けて記憶している復号鍵を前記判定装置に送信する第３の送信ステップと、前記判定装置が、前記第１の送信ステップにおいて前記端末装置から送信された前記暗号化固有情報を前記第３の送信ステップにおいて前記サーバ装置から送信された前記復号鍵を用いて復号化することにより参照用固有情報を生成する復号化ステップと、前記判定装置が、前記端末装置の所持者のみから取得可能な所持者に固有の情報である照合用固有情報を取得する取得ステップと、前記判定装置が、前記復号化ステップにおいて生成した前記参照用固有情報と前記取得ステップにおいて取得した前記照合用固有情報との比較結果に基づき、前記所持者が前記正当な所有者と同一人物であるか否かを判定する判定ステップとを備える本人認証のための方法を提供する。

上記方法によれば、判定装置において本人認証を行うに際し必要となる参照用固有情報が判定装置に通常近い位置にある端末装置に記憶されているため、判定装置が参照用固有情報を容易に取得でき利便性が高く、同時に端末装置に記憶されている参照用固有情報は暗号化されており、端末装置においては復号化することができないため、端末装置に耐タンパ等の高コストな対策を施すことなく、高い情報セキュリティを確保することが可能となる。

また、本発明は、上記方法を実行するためのシステム、判定装置、端末装置、サーバ装置、プログラムおよび記録媒体を提供する。

［１．実施形態］
［１．１．概要］
本発明にかかる一実施形態である本人認証システムの詳細な説明に先立ち、本発明にかかる本人認証システムの概要を説明する。図１は、本発明の実施形態にかかる本人認証システム１の基本構成を示した図である。本人認証システム１は、正当な所有者である人物Ａが携帯すべき端末装置１１と、端末装置１１を現在所持している人物ａが人物Ａであるか否かの判定を行う判定装置１２と、判定に用いられる固有情報の暗号化を解くための復号鍵を管理するサーバ装置１３とを備えている。

固有情報とは、ある人物のみから取得可能な当該人物に固有の情報であり、その具体例は、（１）当該人物のみが知っているべきパスワードや、（２）当該人物のみがその身体に有している情報、いわゆる生体情報である。本人認証のために利用可能な生体情報として、例えば、指紋、掌形、網膜の毛細血管の形状、虹彩の濃淡値のヒストグラム、顔／姿の形状、静脈の形状、声紋、耳形、DNA、筆跡、キーストロークの特徴、唇の動きの特徴、まばたきの特徴などがある。

本明細書において、端末装置を所持しているがその端末装置の正当な所有者であるか否かが不明である者を「所持者」と呼び、「正当な所有者」と区別する。

端末装置１１の備えるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１１１には、他の端末装置から端末装置１１を識別する端末識別情報が記憶されている。また、端末装置１１の備える不揮発性記憶部１１２には、人物Ａのみから取得可能な情報である固有情報が暗号化された状態で記憶されている。以下、暗号化された固有情報を「暗号化固有情報」と呼ぶ。

判定装置１２は、書き込み可能な不揮発性記憶部を有さないシンクライアントであり、無線通信により端末装置１１との間で通信可能であると同時に、インターネットを介してサーバ装置１３との間で通信可能である。判定装置１２とサーバ装置１３との間の通信は、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）により保護される。

サーバ装置１３の備える不揮発性記憶部１３１には、本人認証システム１の利用者全ての端末装置の各々に関し、当該端末装置の端末識別情報に対応付けて、当該端末装置に記憶されている暗号化固有情報を復号化するための復号鍵が記憶されている。復号鍵は端末装置ごとに異なる。サーバ装置１３に記憶されている復号鍵はサーバ装置１３により生成され、本人認証システム１の運用中にＶＰＮ通信を介して判定装置に送信され利用される他、外部に漏洩することがないように管理されている。

本人認証システム１により端末装置１１の所持者である人物ａが本人認証を受ける際、端末装置１１は端末識別情報と暗号化固有情報を判定装置１２に送信する。判定装置１２は、端末装置１１から受信した端末識別情報をサーバ装置１３に送信する。サーバ装置１３は、判定装置１２から受信した端末識別情報に対応付けて記憶されている復号鍵を不揮発性記憶部１３１から検索し、検索した復号鍵を判定装置１２に送信する。

判定装置１２は、サーバ装置１３から受信した復号鍵を用いて、端末装置１１から受信した暗号化固有情報を復号化し、暗号化されていない固有情報を生成する。以下、そのように生成される固有情報を「参照用固有情報」と呼ぶ。

判定装置１２は、上述した端末装置１１からの端末識別情報・暗号化固有情報の受信、サーバ装置１３への端末識別情報の送信、サーバ装置１３からの復号鍵の受信、そして復号鍵を用いた暗号化固有情報の復号化と並行して、判定装置１２が備える固有情報取得部１２１を用いて、端末装置１１の所持者である人物ａのみから取得可能な固有情報を取得する。以下、そのように取得される固有情報を「照合用固有情報」と呼ぶ。

判定装置１２は、参照用固有情報と照合用固有情報とを比較し、それらの類似度が所定の閾値以上である場合、端末装置１１の所持者である人物ａが端末装置１１の正当な所有者である人物Ａであると判定する。その場合、人物ａの本人認証が成功したことになる。一方、参照用固有情報と照合用固有情報との類似度が所定の閾値に満たない場合、人物ａの本人認証が失敗したことになる。

判定装置１２は、人物ａに関する上述した一連の本人認証処理を終えると、端末装置１１に関する復号鍵、暗号化固有情報、参照用固有情報の全てを揮発性記憶部１２２から消去する。なお、判定装置１２は端末装置１１に関するこれらの情報を、上述したサーバ装置１３との間の通信において送信する場合を除き、端末装置１１を含む他の装置に一切送信することはない。以上が本発明にかかる本人認証システムの概要説明である。

本発明にかかる本人認証システムによれば、端末装置１１に暗号化された参照用固有情報である暗号化固有情報が記憶されているため、判定装置１２は本人認証に際し参照用固有情報をサーバ装置１３から受信する必要がなく、本人認証を短時間で行うことができる。

また、端末装置１１に記憶されている参照用固有情報は暗号化されており、暗号化されている参照用固有情報を復号化するための復号鍵は、サーバ装置１３から判定装置１２に一時的に送信される以外、端末装置１１を含むいずれの装置に送信されることもない。従って、サーバ装置１３のオペレータ以外による参照用固有情報の改ざんや盗用は不可能である。それゆえ、例えば本発明にかかる本人認証システムを用いてサーバ装置１３のオペレータの本人認証を厳格に行うとともに、オペレータによる操作のログを記録する等の不正防止対策を施すことにより、本発明にかかる本人認証システムの情報セキュリティを高く保つことができる。

［１．２．基本登録システム］
以下に、本発明の実施形態として、固有情報として生体情報を採用した本人認証システムの構成・動作を説明する。なお、以下の説明において、固有情報として採用される生体情報は顔／姿の形状および手のひらの静脈の形状であるものとする。顔／姿の形状および手のひらの静脈の形状は本人認証に利用される生体情報の例であって、上述したように、指紋、網膜の毛細血管の形状、虹彩の濃淡値のヒストグラムなど、他のいずれの生体情報が本発明における固有情報として利用されてもよい。

本発明にかかる本人認証システムの運用には、事前に利用者は生体情報を参照用固有情報として登録しておく必要がある。参照用固有情報の初期登録は、高い信頼性の担保された登録専門機関により行われる。経年や怪我等により、登録専門機関により登録されている参照用固有情報と本人の現在の生体情報との間に一定程度以上の乖離が生じた場合には、登録専門機関において参照用固有情報の更新登録を行う必要がある。

登録専門機関における更新登録の頻度を低減するために、日々の本人認証において取得される生体情報を補助的な参照用固有情報として追加登録し次の本人認証に利用することで、本発明にかかる本人認証システムの利便性を高めることができる。以下、登録専門機関において登録される参照用固有情報を「基本参照用固有情報」と呼び、日々の本人認証に伴い補助的に追加登録される参照用固有情報を「追加参照用固有情報」と呼ぶ。なお、追加参照用固有情報の利用については、後述の第２実施例において説明する。

また、ある人物の本人認証に成功した場合、併せてその人物の氏名、住所等の個人情報が利用されることが多い。従って、予めそのような基本的な個人情報を登録しておくことで、本発明にかかる本人認証システムの利便性を高めることができる。基本的な個人情報は汎用性が高いため、高い信頼性が求められる。従って、基本的な個人情報の登録は、基本参照用固有情報の登録と同様に登録専門機関により行われることが望ましい。

一方、銀行口座番号のように特定のシステムにおいてのみ利用される個人情報に関しては、その特定のシステムを利用する人物についてのみ追加的に登録可能とすることで、本発明にかかる本人認証システムの利便性をさらに高めることができる。以下、登録専門機関において登録される基本的な個人情報を「基本個人情報」と呼び、特定のシステムにおいて追加登録される個人情報を「追加個人情報」と呼ぶ。なお、追加個人情報の利用についても、後述の第２実施例において説明する。

以下に、登録専門機関により管理され、基本参照用固有情報および基本個人情報の登録のためのシステムである基本登録システム２の構成および動作を説明する。

［１．２．１．構成］
図２は、基本登録システム２の構成を模式的に示した図である。基本登録システム２は、端末装置２１、登録用判定装置２２およびサーバ装置２３を備えている。基本登録システム２の端末装置２１およびサーバ装置２３は、それぞれ本人認証システム１の端末装置１１およびサーバ装置１３に相当する。

図３は端末装置２１の構成を模式的に示した図である。端末装置２１は、例えばＰＨＳ（Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ−ｐｈｏｎｅ Ｓｙｓｔｅｍ）の仕様に準拠した携帯通信デバイスであり、登録用判定装置２２との間で無線通信を行う。端末装置２１は、端末装置２１の各構成部の動作を制御する制御部２１１と、端末識別情報を記憶するＲＯＭ２１２と、制御部２１１がワークエリアとして使用する揮発性記憶部２１３と、暗号化された参照用固有情報（暗号化固有情報）および暗号化された個人情報（以下、「暗号化個人情報」と呼ぶ）を記憶可能な不揮発性記憶部２１４と、登録用判定装置２２に対しデータを送信する送信部２１５と、登録用判定装置２２からデータを受信する受信部２１６と、端末装置２１の利用者の操作に従い制御部２１１に所定の信号を出力する操作部２１７（例えば、キーパッド）と、制御部２１１の制御に従い図形や文字等により情報を表示する表示部２１８とを備えている。制御部２１１の処理を指示するプログラムは、例えばＲＯＭ２１２に記憶されている。

図４は、登録用判定装置２２の構成を模式的に示した図である。登録用判定装置２２は、登録用判定装置２２の各構成部の動作を制御する制御部２２１と、制御部２２１の処理を指示するプログラムを記憶するＲＯＭ２２２と、制御部２２１がワークエリアとして使用する揮発性記憶部２２３と、登録用判定装置２２のオペレータの操作に従い制御部２２１に所定の信号を出力する操作部２２４（例えば、キーボードやマウス）と、制御部２２１の制御に従い図形や文字等により情報を表示する表示部２２５とを備えている。

制御部２２１は、プログラムに従った処理を行うことにより、顔／姿に関する生体情報である顔／姿特徴情報を生成する顔／姿特徴情報生成部と、手のひらの静脈に関する生体情報である静脈特徴情報を生成する静脈特徴情報生成部と、暗号化固有情報および暗号化個人情報を復号化する復号化部と、生体情報を比較することにより登録される参照用固有情報が所定の精度を有するか否かを判定する判定部として機能する。

登録用判定装置２２は、さらに、端末装置２１との間で無線通信を行う対端末装置通信部２２６と、サーバ装置２３との間でインターネットを介した通信を行う対インターネット通信部２２７とを備えている。対端末装置通信部２２６および対インターネット通信部２２７は、それぞれ、通信相手の装置に対しデータを送信する送信部と、通信相手の装置からデータを受信する受信部とを備えている。

登録用判定装置２２は、さらに、登録対象の人物の生体情報を取得する手段として、顔／姿写真撮影部２２８および静脈写真撮影部２２９を備えている。顔／姿写真撮影部２２８は、被写体の顔／身体に所定の波長および強さの光を照射する照明部と、照明部により光を照射された被写体の顔／姿を様々な角度から撮影するカメラ群とを備えている。顔／姿写真撮影部２２８のカメラ群を構成するカメラは、例えば半径５メートルの球面を４分割した形状のカメラ設置台上の例えば仰角１０度、方位角１０度ごとの格子点に、１台ずつ配置されている。

図５は、顔／姿写真撮影部２２８のカメラ群が配置されるカメラ設置台の形状を模式的に示した図である。例えば、図５において、位置Ｐを基準点（方位角０度、仰角０度）とした場合、位置Ｃは（方位角３０度、仰角６０度）の格子点である。従って、被写体がカメラ設置台の球面の中心である位置Ｏに立ち、方位角９０度の方角を向いた状態で位置Ｃに配置されたカメラにより撮影された顔／姿写真は、被写体の顔／身体を左上方から撮影したものとなる。顔／姿写真撮影部２２８が備えるカメラ群の各カメラは、制御部２２１の制御の下で同時に被写体を撮影する。そのような撮影により、被写体を様々な角度から撮影した顔／姿写真の集まりである顔／姿写真群が得られる。

静脈写真撮影部２２９は、被写体の手のひらに所定の波長および強さの光を照射する照明部と、照明部により光を照射された被写体の手のひらの静脈を複数の角度から各々撮影するカメラ群とを備えている。静脈写真撮影部２２９の照明部とカメラ群は、被写体の手のひらを乗せるガラス台を挟んで互いに対向するように配置され、制御部２２１の制御の下で同時に被写体の手のひらの静脈を撮影する。そのような撮影により、被写体の手のひらの静脈を複数の角度から撮影した静脈写真の集まりである静脈写真群が得られる。

顔／姿写真撮影部２２８および静脈写真撮影部２２９は、制御部２２１がプログラムに従った処理により実現する顔／姿特徴情報生成部および静脈特徴情報生成部とともに固有情報生成部を構成する。

図６は、サーバ装置２３の構成を模式的に示した図である。サーバ装置２３は、サーバ装置２３の各構成部の動作を制御する制御部２３１と、制御部２３１がワークエリアとして使用する揮発性記憶部２３２と、制御部２３１の処理を指示するプログラムを記憶している不揮発性記憶部２３３と、登録用判定装置２２に対しデータを送信する送信部２３４と、登録用判定装置２２からデータを受信する受信部２３５とを備えている。不揮発性記憶部２３３は、さらに、端末装置ごとに端末識別情報、暗号化固有情報および暗号化個人情報、そして暗号化固有情報および暗号化個人情報の暗号化・復号化に用いられる鍵を記憶可能である。

制御部２３１は、プログラムに従った処理を行うことにより、暗号化・復号化に用いられる鍵を生成する鍵生成部と、参照用固有情報および個人情報を暗号化する暗号化部と、端末識別情報を検索キーとして特定の端末装置に関する復号鍵を検索する検索部として機能する。

［１．２．２．動作］
図７〜図９は、基本登録システム２の動作を示したフロー図である。登録用判定装置２２の対端末装置通信部２２６の送信部は、十分に短い所定の時間間隔で全ての端末装置に対する一斉呼出信号を送出している（ステップＳ１０１）。登録用判定装置２２が送出する一斉呼出信号は、例えば約０．５メートルの範囲まで到達するように、電波の強度が調整されている。登録専門機関のオペレータは、端末装置２１を対端末装置通信部２２６の送信部から０．５メートル以内の位置に置く。その結果、端末装置２１は一斉呼出信号を受信すると、ＲＯＭ２１２に記憶されている端末識別情報を登録用判定装置２２に送信する（ステップＳ１０２）。

登録用判定装置２２は、端末装置２１から端末識別情報を受信すると、個人情報の受信準備完了を示す信号を端末装置２１に送信する（ステップＳ１０３）。端末装置２１は、個人情報の受信準備完了を示す信号を受け取ると、表示部２１８に個人情報の入力を促す画面を表示する。基本登録システム２において登録される個人情報は基本個人情報であり、例えば端末装置２１の正当な所有者（以下、「人物Ａ」とする）の氏名、住所、生年月日、性別、国籍である。人物Ａは操作部２１７を操作して自分の基本個人情報を端末装置２１に入力し（ステップＳ１０４）、送信操作を行う。その送信操作に応じて、送信部２１５は入力された基本個人情報を登録用判定装置２２に送信する（ステップＳ１０５）。

登録用判定装置２２は端末装置２１から受信した基本個人情報を表示部２２５に表示し（ステップＳ１０６）、登録用判定装置２２のオペレータによる確認を促す。オペレータは、例えば人物Ａが所持する身分証明書等に記載の情報と、表示部２２５に表示された情報との整合性を確認した後、送信操作を行う。その送信操作に応じて、対インターネット通信部２２７の送信部は、ステップＳ１０２において受信した端末識別情報とステップＳ１０５において受信した基本個人情報とをサーバ装置２３に送信する（ステップＳ１０７）。なお、登録用判定装置２２とサーバ装置２３との間の通信は全てＶＰＮにより保護される。

サーバ装置２３は、登録用判定装置２２から端末識別情報および基本個人情報を受信すると、固有情報の受信準備完了を示す信号を登録用判定装置２２に送信する（ステップＳ１０８）。登録用判定装置２２は、固有情報の受信準備完了を示す信号を受け取ると、表示部２２５に顔／姿写真撮影を促す画面を表示する（ステップＳ１０９）。登録用判定装置２２のオペレータは、顔／姿写真撮影を促す画面の表示に応じて、人物Ａに位置Ｏ（図５参照）に立つよう指示し、人物Ａが位置Ｏに立ったことを確認の後、操作部２２４を操作して登録用判定装置２２に対し顔／姿写真撮影の指示を行う。この指示に応じて、顔／姿写真撮影部２２８は顔／姿写真撮影を行い、様々な角度から見た人物Ａの顔／姿を示す顔／姿データ群を生成する（ステップＳ１１０）。

続いて、制御部２２１はステップＳ１１０において生成された顔／姿データ群に含まれる各々の顔／姿データに関し、当該顔／姿データが示す顔／姿の特徴を示す顔／姿特徴情報を生成する（ステップＳ１１１）。顔／姿特徴情報とは、例えば目、鼻、口等の顔の部位の相対的な位置関係を示す情報や顔および身体の輪郭の形状を示す情報である。

続いて、登録用判定装置２２は、表示部２２５に静脈写真撮影を促す画面を表示する（ステップＳ１１２）。登録用判定装置２２のオペレータは、静脈写真撮影を促す画面の表示に応じて、人物Ａに静脈写真撮影部２２９のガラス台の上に手のひらを置くよう指示し、人物Ａが手のひらをガラス台の上に置いたことを確認の後、操作部２２４を操作して登録用判定装置２２に対し静脈写真撮影の指示を行う。この指示に応じて、静脈写真撮影部２２９は静脈写真撮影を行い、人物Ａの手のひらの静脈を示す静脈データ群を生成する（ステップＳ１１３）。

続いて、制御部２２１はステップＳ１１３において生成された静脈データ群に含まれる各々の静脈データに関し、当該静脈データが示す静脈の特徴を示す静脈特徴情報を生成する（ステップＳ１１４）。静脈特徴情報とは、例えば所定の閾値以上の太さの静脈の形状を示す情報である。登録用判定装置２２は、ステップＳ１１１で生成した顔／姿特徴情報群と、ステップＳ１１４で生成した静脈特徴情報群とを人物Ａの基本参照用固有情報としてサーバ装置２３に送信する（ステップＳ１１５）。

サーバ装置２３の制御部２３１は、基本参照用固有情報を受信すると、端末装置２１に固有の暗号化・復号化のための鍵を生成する（ステップＳ１１６）。現在、暗号化方式としては大きく共通鍵方式（対称鍵方式）および公開鍵方式（非対称鍵方式）が広く用いられている。本発明にかかる本人認証システムにおいてはいずれの暗号化方式が採用されてもよい。共通鍵方式を採用する場合、ステップＳ１１６において共通鍵が生成される。共通鍵は暗号化のための暗号鍵と復号化のための復号鍵を兼ねる１つの鍵である。一方、公開鍵方式を採用する場合、ステップＳ１１６において秘密鍵と公開鍵のペアが生成される。通常、公開鍵は暗号化のための暗号鍵として用いられ、秘密鍵は復号化のための復号鍵として用いられる。

制御部２３１は、生成した暗号鍵（共通鍵または公開鍵）を用いて、ステップＳ１０７において受信した基本個人情報と、ステップＳ１１５において受信した基本参照用固有情報とを各々暗号化する（ステップＳ１１７）。以下、暗号化された基本個人情報を「暗号化基本個人情報」、暗号化された基本参照用固有情報を「暗号化基本固有情報」と呼ぶ。送信部２３４は、暗号化基本個人情報および暗号化基本固有情報を登録用判定装置２２に送信する（ステップＳ１１８）。本発明にかかる本人認証システムが公開鍵方式を採用する場合、送信部２３４はステップＳ１１８において、ステップＳ１１６において生成した公開鍵を併せて送信する。

登録用判定装置２２は、ステップＳ１１８においてサーバ装置２３から受信した暗号化基本個人情報および暗号化基本固有情報（と公開鍵）を端末装置２１に送信する（ステップＳ１１９）。端末装置２１は、受信した暗号化基本個人情報および暗号化基本固有情報（と公開鍵）を不揮発性記憶部２１４に保存する（ステップＳ１２０）。

続いて、基本登録システム２は端末装置２１に保存された暗号化基本固有情報を用いた生体認証のテストを行う。端末装置２１は、ＲＯＭ２１２に記憶されている端末識別情報と、不揮発性記憶部２１４に保存した暗号化基本固有情報とを読み出し、それらを登録用判定装置２２に送信する（ステップＳ１２１）。登録用判定装置２２は、ステップＳ１２１において受信した端末識別情報をサーバ装置２３に送信する（ステップＳ１２２）。

サーバ装置２３は、ステップＳ１２２において端末識別情報を受信すると、ステップＳ１１６において生成した復号鍵（共通鍵または秘密鍵）を登録用判定装置２２に送信する（ステップＳ１２３）。登録用判定装置２２の制御部２２１は、ステップＳ１２１において受信した暗号化基本固有情報を、ステップＳ１２３において受信した復号鍵を用いて復号化し、暗号化されていない基本参照用固有情報を生成する（ステップＳ１２４）。

続いて、登録用判定装置２２は上述したステップＳ１０９〜ステップＳ１１４と同様の処理を繰り返す（ステップＳ１２５〜ステップＳ１３０）。ステップＳ１２５〜ステップＳ１３０の処理において生成される固有情報、より詳しくはステップＳ１２７において生成される顔／姿特徴情報群およびステップＳ１３０において生成される静脈特徴情報群は、先に述べた照合用固有情報となる。

続いて、登録用判定装置２２の制御部２２１は、ステップＳ１２４で生成した基本参照用固有情報とステップＳ１２７およびステップＳ１３０において生成した照合用固有情報との比較を行い、それらの類似度を算出する（ステップＳ１３１）。制御部２２１は、算出した類似度が所定の閾値以上であるか否かを判定し（ステップＳ１３２）、類似度が所定の閾値以上であると判定した場合（ステップＳ１３２；Ｙｅｓ）、テスト認証成功を示す通知をサーバ装置２３に送信する（ステップＳ１３３）。サーバ装置２３は、テスト認証成功を示す通知を受信すると、ステップＳ１０７において受信した端末識別情報に対応付けて、ステップＳ１１６において生成した鍵（共通鍵または秘密鍵と公開鍵のペア）と、ステップＳ１１７において生成した暗号化基本固有情報および暗号化基本個人情報とを、不揮発性記憶部２３３に保存する（ステップＳ１３４）。

サーバ装置２３は、端末装置２１に関し端末識別情報、鍵、暗号化基本固有情報および暗号化基本個人情報を新規に登録した旨を示すログを、ステップＳ１３４を実行した時刻情報とともに不揮発性記憶部２３３に保存する（ステップＳ１３５）。

一方、ステップＳ１３２において、固有情報の類似度が所定の閾値に満たないと判定した場合（ステップＳ１３２；Ｎｏ）、基本登録システム２は処理をステップＳ１０９に戻し、暗号化基本固有情報の生成および生体認証のテストをやり直す。以上が、基本登録システム２の初期登録に関する動作説明である。

基本登録システム２は、端末装置２１に保存されている暗号化基本固有情報が経年等により古くなった場合などに、その暗号化基本固有情報を更新するための登録（更新登録）にも利用される。更新登録時の基本登録システム２の動作は上述した初期登録時の動作とほぼ同様であるが、更新登録時には個人情報に関しては新規に登録を行う必要はなく、既に保存されている個人情報が維持される。また、古い基本固有情報に関しては、更新登録時に破棄されてもよいが、データの整合性の検証時に用いる等の利用価値がある場合には、追加固有情報の一種として端末装置２１およびサーバ装置２３に残すようにしてもよい。

［１．３．本人認証システムの第１実施例］
以下に、本発明にかかる本人認証システムの一実施例として、本発明にかかる本人認証システムを建物の開門の可否判定に利用した開門システム３の構成および動作を説明する。

［１．３．１．構成］
図１０は、開門システム３の構成を模式的に示した図である。開門システム３は、本人認証システム１の端末装置１１、判定装置１２およびサーバ装置１３（図１参照）にそれぞれ相当する端末装置３１、判定装置３２およびサーバ装置３３を備えている。ただし、開門システム３においては端末装置３１を所持した複数の所持者が次々と建物のゲートに接近してくる可能性があり、図１０においてはそれら複数の端末装置３１が端末装置３１ａ、端末装置３１ｂ、端末装置３１ｃとして例示されている。また、端末装置３１ａ、端末装置３１ｂ、端末装置３１ｃの所持者は、それぞれ人物ａ、人物ｂ、人物ｃである。

開門システム３は、さらに、建物を使用している会社により管理され建物への入館が許可されている人物の氏名および住所のリスト（以下、「入館許可人物リスト」と呼ぶ）を記憶している社内サーバ装置３４と、入館が許可されている人物が顔／姿写真による生体認証に成功した場合にゲート（以下、「メインゲート」と呼ぶ）を開放するメインゲート装置３５と、入館が許可されている人物が静脈写真による生体認証に成功した場合にゲート（以下、「サブゲート」と呼ぶ）を開くサブゲート装置３６を備えている。

開門システム３の端末装置３１およびサーバ装置３３の構成は、それぞれ基本登録システム２の端末装置２１およびサーバ装置２３の構成と同様である。なお、開門システム３において、端末装置３１およびサーバ装置３３は基本登録システム２による初期登録を完了している。

図１１は、判定装置３２の構成を模式的に示した図である。開門システム３において、判定装置３２は、制御部３２０、ＲＯＭ３２１、揮発性記憶部３２２、対インターネット通信部３２５を備えている。これらの構成部はそれぞれ、登録用判定装置２２が備える制御部２２１、ＲＯＭ２２２、揮発性記憶部２２３、対インターネット通信部２２７と同様のものである。ただし、対インターネット通信部３２５は、インターネットを介して、サーバ装置３３に加え、社内サーバ装置３４との間においても通信可能である。

判定装置３２はさらに、端末装置３１と通信する対端末装置通信部３２４を備える。対端末装置通信部３２４は登録用判定装置２２の対端末装置通信部２２６と類似しているが、対端末装置通信部３２４は第１送信部および第２送信部という２つの送信部を備えている。第１送信部はメインゲート付近に配置され、端末装置３１に対する通常のデータ送信に加え、例えば到達距離が約５メートル、約３メートル、約０．５メートルと電波強度が異なる一斉呼出信号を所定の時間間隔で順次送出することができる。また、第２送信部はサブケート付近に配置され、端末装置３１に対する通常のデータ送信に加え、例えば到達距離が約０．５メートルの電波強度の一斉呼出信号を所定の時間間隔で送出することができる。これらの一斉呼出信号のキャリアの周波数や信号の内容はいずれも登録用判定装置２２が送出する一斉呼出信号と同じものである。以下、到達距離が約５メートル、約３メートル、約０．５メートルの一斉呼出信号をそれぞれ、「一斉呼出信号（５ｍ）」、「一斉呼出信号（３ｍ）」、「一斉呼出信号（０．５ｍ）」と呼ぶ。

判定装置３２はさらに、顔／姿写真撮影部３２６を備える。顔／姿写真撮影部３２６はカメラ３２６１と、被写体までの距離を測定する距離センサ３２６２とを備えている。カメラ３２６１および距離センサ３２６２は、例えばメインゲートの上部中央に配置され、距離センサ３２６２の測定によりゲートから被写体までの距離が例えば５メートルとなった時点で、カメラ３２６１による被写体の顔／姿の撮影が行われる。

判定装置３２はさらに、静脈写真撮影部３２７を備える。静脈写真撮影部３２７はカメラ３２７１に加え、被写体の手のひらがガラス台に置かれたことを検出する赤外線センサ３２７２を備えている。赤外線センサ３２７２により被写体の手が検出された時点で、カメラ３２７１による手のひらの静脈の撮影が行われる。

判定装置３２はさらに、端末装置３１の所持者に対し音声メッセージを発音する発音部３２３と、メインゲート装置３５に対しメインゲートの開放指示を送信する対メインゲート装置送信部３２８と、サブゲート装置３６に対しサブゲートの開放指示を送信する対サブゲート装置送信部３２９とを備えている。

［１．３．２．動作］
図１２〜図１５は、開門システム３の動作を示したフロー図である。開門システム３においては、例として、共通鍵方式が採用されているものとする。まず、判定装置３２は、社内サーバ装置３４に対し入館許可人物リストの送信要求を送信する（ステップＳ２０１）。社内サーバ装置３４は、入館許可人物リストの送信要求を受信すると、判定装置３２に対し入館許可人物リストを送信する（ステップＳ２０２）。なお、判定装置３２と社内サーバ装置３４との間の通信はＶＰＮにより保護されている。

判定装置３２は、入館許可人物リストを受信すると、対端末装置通信部３２４の第１送信部を用いて、所定の時間間隔で、例えば一斉呼出信号（５ｍ）、一斉呼出信号（３ｍ）、一斉呼出信号（０．５ｍ）、一斉呼出信号（５ｍ）、・・・という具合に順次一斉呼出信号の送出を開始する。ここで、対端末装置通信部３２４の第１送信部が送出する一斉呼出信号はいずれも、例えば方位角約３０度の広がりをもつように電波の指向性が調整されている。また、対端末装置通信部３２４の第１送信部から送出される一斉呼出信号の時間間隔は、端末装置３１からの応答がどの一斉呼出信号に対する応答であるかが区別可能であるという条件を満たす範囲内で十分に短い時間間隔である。

今、人物ａがメインゲートに正面から近づいているものとする。人物ａが携帯する端末装置３１ａがメインゲートから約５メートル手前の位置に到達した時点で、端末装置３１ａは判定装置３２から送信された一斉呼出信号（５ｍ）（ステップＳ２０３）に応答して、ＲＯＭ２１２に記憶されている端末識別情報を判定装置３２に送信する（ステップＳ２０４）。

判定装置３２は一斉呼出信号（５ｍ）の応答として端末装置３１ａから送信されてきた端末識別情報を受信すると、受信した端末識別情報が既に受信済みのものか否かを判定し、未受信のものであれば、その端末識別情報をサーバ装置３３に送信する（ステップＳ２０５）。ステップＳ２０４において受信した端末識別情報が既に受信済みのものである場合、判定装置３２はその端末識別情報を既にサーバ装置３３に送信済みであるため、ステップＳ２０５の送信を繰り返すことはしない。

サーバ装置３３は、ステップＳ２０５において端末識別情報を受信すると、受信した端末識別情報に対応付けて記憶されている共通鍵を受信した端末識別情報とともに判定装置３２に送信する（ステップＳ２０６）。判定装置３２は、ステップＳ２０６においてサーバ装置３３から受信した共通鍵を端末識別情報に対応付けて揮発性記憶部３２２に一時的に記憶する（ステップＳ２０７）。一斉呼出信号（５ｍ）の到達する領域に複数の端末装置３１が同時に入った場合、判定装置３２の揮発性記憶部３２２には、それらの複数の端末装置３１の端末識別情報の各々に対応付けて異なる共通鍵が記憶されることになる。判定装置３２が揮発性記憶部３２２に一時記憶可能な端末識別情報と共通鍵のペアは、例えば３０ペアに限られており、判定装置３２がその数を超える端末識別情報と共通鍵のペアを受信した場合、最も先に受信したペアを破棄し、新たに受信したペアを一時記憶する。

人物ａがさらにメインゲートに近づき、端末装置３１ａがメインゲートから約３メートル手前の位置に到達した時点で、端末装置３１ａは判定装置３２から送信された一斉呼出信号（３ｍ）（ステップＳ２０８）に応答して、ＲＯＭ２１２に記憶されている端末識別情報を再び判定装置３２に送信する（ステップＳ２０９）。

判定装置３２は一斉呼出信号（３ｍ）の応答として端末装置３１ａから送信されてきた端末識別情報を受信すると、受信した端末識別情報が一斉呼出信号（３ｍ）の応答として既に受信済みのものか否かを判定し、未受信のものであれば、その端末識別情報の送信元の端末装置３１ａに対し、暗号化基本固有情報および暗号化基本個人情報の送信要求を送信する（ステップＳ２１０）。ステップＳ２０９において受信した端末識別情報が一斉呼出信号（３ｍ）の応答として既に受信済みのものである場合、判定装置３２はその端末識別情報の送信元の端末装置３１ａに対しを既に暗号化基本固有情報および暗号化基本個人情報の送信要求を送信済みであるため、ステップＳ２１０の送信を繰り返すことはしない。

端末装置３１ａはステップＳ２１０において送信要求を受信すると、端末識別情報とともに暗号化基本固有情報および暗号化基本個人情報を判定装置３２に送信する（ステップＳ２１１）。判定装置３２は、ステップＳ２０７において一時記憶した共通鍵の中から、ステップＳ２１１において受信した端末識別情報に対応付けられている共通鍵を検索し、検索した共通鍵を用いて、ステップＳ２１１において受信した暗号化基本固有情報および暗号化基本個人情報を復号化する（ステップＳ２１２）。ステップＳ２１２の復号化により、基本参照用固有情報および基本個人情報が生成される。

判定装置３２は、ステップＳ２１２において生成した基本参照用固有情報および基本個人情報を、ステップＳ２１１において受信した端末識別情報に対応付けて揮発性記憶部３２２に一時記憶する（ステップＳ２１３）。一斉呼出信号（３ｍ）の到達する領域に複数の端末装置３１が同時に入った場合、判定装置３２の揮発性記憶部３２２には、それらの複数の端末装置３１の端末識別情報の各々に対応付けて異なる基本参照用固有情報および基本個人情報が記憶されることになる。判定装置３２が揮発性記憶部３２２に一時記憶可能な端末識別情報と基本参照用固有情報および基本個人情報のペアは、例えば１０ペアに限られており、判定装置３２がその数を超える端末識別情報と基本参照用固有情報および基本個人情報のペアを受信した場合、最も先に受信したペアを破棄し、新たに受信したペアを一時記憶する。

メインゲート前両側には、例えば、メインゲートに向かう人を一列に整列させるガイドポールが設置されている。そのガイドポールに従って人物ａがさらにメインゲートに近づき、メインゲートに向かう人の列の先頭になり、端末装置３１ａがメインゲートから約０．５メートルの位置に到達した時点で、端末装置３１ａは判定装置３２から送信された一斉呼出信号（０．５ｍ）（ステップＳ２１４）に応答して、ＲＯＭ２１２に記憶されている端末識別情報を再び判定装置３２に送信する（ステップＳ２１５）。

判定装置３２は一斉呼出信号（０．５ｍ）の応答として端末装置３１ａから送信されてきた端末識別情報を受信すると、受信した端末識別情報が一斉呼出信号（０．５ｍ）の応答として既に受信済みのものか否かを判定し、未受信のものであれば、ステップＳ２１３において一時保存した基本参照用固有情報の中から、ステップＳ２１５において受信した端末識別情報を検索キーとして端末装置３１ａに対応する基本参照用固有情報を検索する（ステップＳ２１６）。ステップＳ２１５において受信した端末識別情報が一斉呼出信号（０．５ｍ）の応答として既に受信済みのものである場合、判定装置３２は既に端末装置３１ａに対応する基本参照用固有情報を検索済みであるため、ステップＳ２１６の処理を繰り返すことはしない。

上述したステップＳ２０３〜ステップＳ２１６の一連の処理は、メインゲート装置３５のゲート前に立つ人物が携帯する端末装置３１に記憶されている暗号化基本固有情報を復号化して得られる基本参照用固有情報を取得するための処理である。開門システム３は、基本参照用固有情報を取得するための一連の処理と並行して、メインゲート前に立つ人物の顔／姿特徴情報を取得するための処理を行う。顔特徴情報は、先に述べた照合用固有情報の一種である。

人物ａがメインゲートに近づき、端末装置３１ａがメインゲートから約５メートル手前の位置に到達した時点で、距離センサ３２６２の距離測定に基づき、カメラ３２６１が人物ａの顔／姿写真を撮影し、人物ａの顔／姿データを生成する（ステップＳ２２１）。判定装置３２の制御部２２１は、カメラ３２６１により生成された顔／姿データが示す顔／姿の特徴を示す顔／姿特徴情報を生成する（ステップＳ２２２）。

判定装置３２は、ステップＳ２２２において生成した顔／姿特徴情報を揮発性記憶部３２２に一時記憶する（ステップＳ２２３）。ステップＳ２２１〜ステップＳ２２３の処理は、メインゲートの手前約５メートルのラインを通過した全ての人物に関し行われる。判定装置３２がステップＳ２２３において揮発性記憶部３２２に一時記憶可能な顔／姿特徴情報は、例えば３０個に限られており、判定装置３２がその数を超える顔／姿特徴情報を生成した場合、最も先に生成した顔／姿特徴情報を破棄し、新たに生成した顔／姿特徴情報を保存する。以下、揮発性記憶部３２２に一時記憶されている顔／姿特徴情報を「照合用顔／姿特徴情報」と呼ぶ。ステップＳ２２１〜ステップＳ２２３の処理が、基本参照用固有情報の取得処理と並行して行われる顔／姿特徴情報の取得処理である。

判定装置３２は、ステップＳ２１６およびステップＳ２２３の処理を完了すると、揮発性記憶部３２２に一時記憶されている複数の照合用顔／姿特徴情報と、ステップＳ２１６において検索した基本参照用固有情報に含まれる複数の顔／姿特徴情報（以下、「参照用顔／姿特徴情報」と呼ぶ）とを各々比較し、所定の閾値以上の類似度を有する照合用顔／姿特徴情報と参照用顔／姿特徴情報との組み合わせを特定する（ステップＳ２３１）。

例えば、参照用顔／姿特徴情報群に１７２個の顔／姿特徴情報が含まれ、揮発性記憶部３２２に一時記憶されている照合用顔／姿特徴情報が３０個である場合、ステップＳ２３１の処理を行うには、１７２×３０＝５１６０組の顔／姿特徴情報の組み合わせに関し比較処理を行う必要がある。これらの比較処理を全体として短時間で行うため、例えば、判定装置３２は照合用顔／姿特徴情報に含まれる目および鼻の相対的な位置関係や身体の輪郭の形状等に基づき、まずその照合用顔／姿特徴情報の生成に用いられた顔／姿データが撮影された際の顔の方向を特定する。

例えば、３０個の照合用顔／姿特徴情報のうちの１番目の照合用顔／姿特徴情報に関し、その照合用顔／姿特徴情報の生成に用いられた顔／姿データの生成時に被写体が（方位角４０度、仰角２０度）を向いていたと特定された場合、続いて判定装置３２は参照用顔／姿特徴情報群のうち（方位角４０度、仰角２０度）の顔／姿データより生成された参照用顔／姿特徴情報を抽出する。判定装置３２はそのように抽出した参照用顔／姿特徴情報と、１番目の照合用顔／姿特徴情報との間に、所定の閾値以上の類似度が有るか否かを判定する。判定装置３２は、所定の閾値以上の類似度を有する顔／姿特徴情報の組が見つかるまで、２〜３０番目の照合用顔／姿特徴情報に関して方向の特定および参照用顔／姿特徴情報との比較の処理を繰り返す。

このようにすれば、判定装置３２は最大でも３０組の顔／姿特徴情報に関し比較処理を行うことで、ステップＳ２３１の処理を完了することができる。なお、顔が身体の方向と異なる方向を向いた状態で被写体の写真が撮影された場合にも対応するため、顔と身体全体の各々につき、個別に上記の比較処理を行うようにしてもよい。

判定装置３２は、ステップＳ２３１において、端末装置３１ａの参照用顔／姿特徴情報との間で所定の閾値以上の類似度を有する照合用顔／姿特徴情報の特定に成功した場合（ステップＳ２３２；Ｙｅｓ）、人物ａは端末装置３１ａの正当な所有者であると判断される。すなわち、人物ａの本人認証が成功したことになる。従って、判定装置３２は、ステップＳ２１３において一時記憶した基本個人情報の中から、ステップＳ２１５において受信した端末識別情報を検索キーとして人物ａの基本個人情報を検索した後、人物ａの基本個人情報に含まれる氏名・住所が、ステップＳ２０２において受信した入館許可人物リストに含まれるか否かを判定する（ステップＳ２３３）。

人物ａの氏名・住所が入館許可人物リストに含まれていた場合（ステップＳ２３３；Ｙｅｓ）、判定装置３２はメインゲート装置３５に対しメインゲートの開放指示を送信する（ステップＳ２３４）。この開放指示に応じてメインゲート装置３５はメインゲートを開放し、人物ａは建物に入ることができる。その場合、判定装置３２は、人物ａの氏名・住所とステップＳ２３４の処理を行った時刻情報とを入館許可情報として社内サーバ装置３４に送信する（ステップＳ２３５）。

一方、人物ａの氏名・住所が入館許可人物リストに含まれていなかった場合（ステップＳ２３３；Ｎｏ）、判定装置３２は発音部３２３を用いて、例えば「申し訳ございませんが入館が許可されておりません。本館にご用の方は係りの者にお尋ね下さい。」といった音声メッセージを発音する（ステップＳ２３６）。その場合、判定装置３２は、人物ａの氏名・住所とステップＳ２３６の処理を行った時刻情報とを入館拒否情報として社内サーバ装置３４に送信する（ステップＳ２３７）。なお、ステップＳ２３５もしくはステップＳ２３７で社内サーバ装置３４に送信される入館許可情報および入館拒否情報は、この建物の入館者管理に利用される。

ステップＳ２３１において、端末装置３１ａの参照用顔／姿特徴情報との間で所定の閾値以上の類似度を有する照合用顔／姿特徴情報の特定に失敗した場合、顔／姿写真に基づく人物ａの本人認証は失敗したことになる。ただし、顔／姿写真に基づく生体認証は服装等の影響を受けるため、その精度は必ずしも高くない。従って、判定装置３２は、ステップＳ２３１における判定に失敗した場合（ステップＳ２３２；Ｎｏ）、発音部３２３を用いて、例えば「申し訳ございませんが本人認証に失敗しました。お手数ですがサブゲート横のボックスに手を入れて下さい。」といった音声メッセージを発音し、人物ａに静脈写真に基づく本人認証を促す（ステップＳ２３８）。

人物ａがステップＳ２３８における音声メッセージに従いサブゲート横に配置された静脈写真撮影部３２７のガラス台の上に手のひらをのせると、赤外線センサ３２７２がそれを検出する。赤外線センサ３２７２の検出をトリガとしてカメラ３２７１が人物ａの手のひらの静脈写真を撮影し、人物ａの手のひらの静脈を示す静脈データを生成する（ステップＳ２３９）。判定装置３２の制御部２２１は、カメラ３２７１により生成された静脈データが示す静脈の特徴を示す静脈特徴情報を生成する（ステップＳ２４０）。このように生成される静脈特徴情報は、照合用固有情報の一種である。

ステップＳ２３９およびステップＳ２４０の処理と並行して、判定装置３２の対端末装置通信部３２４が備える第２送信部は十分短い所定の時間間隔で一斉呼出信号（０．５ｍ）を送出している（ステップＳ２５１）。人物ａがステップＳ２３８における音声メッセージに従いサブゲート横に配置された静脈写真撮影部３２７へ近づき、端末装置３１ａが第２送信部から約０．５メートルの範囲内に入ると、端末装置３１ａは一斉呼出信号（０．５ｍ）を受信し、その応答として端末識別情報を端末装置３１に送信する（ステップＳ２５２）。

判定装置３２は端末装置３１ａから受信した端末識別情報をサーバ装置３３に送信する（ステップＳ２５３）。サーバ装置３３は判定装置３２から受信した端末識別情報を検索キーとして端末装置３１ａに対応する共通鍵を検索し、検索した端末装置３１ａの共通鍵を判定装置３２に送信する（ステップＳ２５４）。続いて、判定装置３２は端末装置３１ａに暗号化基本個人情報および暗号化基本固有情報の送信要求を送信し（ステップＳ２５５）、端末装置３１ａはその送信要求に応じて暗号化基本固有情報および暗号化基本個人情報を判定装置３２に送信する（ステップＳ２５６）。

判定装置３２はステップＳ２５４において受信した共通鍵を用いて、ステップＳ２５６において受信した暗号化基本固有情報および暗号化基本個人情報を復号化し、参照用基本固有情報および基本個人情報を生成する（ステップＳ２５７）。判定装置３２は、ステップＳ２４０で生成した静脈特徴情報（照合用静脈特徴情報）と、ステップＳ２５７で生成した参照用基本固有情報に含まれる複数の静脈特徴情報（参照用静脈特徴情報）の各々とを比較し、それらの類似度が所定の閾値以上であるか否かを判定する（ステップＳ２６１）。

判定装置３２は、ステップＳ２６１において、複数の参照用静脈特徴情報の中に照合用静脈特徴情報との間で所定の閾値以上の類似度を有するものが有ると判定した場合（ステップＳ２６２；Ｙｅｓ）、人物ａは端末装置３１ａの正当な所有者であると判断される。すなわち、人物ａの本人認証が成功したことになる。従って、判定装置３２は、ステップＳ２５７において生成した人物ａの基本個人情報に含まれる氏名・住所が、ステップＳ２０２において受信した入館許可人物リストに含まれるか否かを判定する（ステップＳ２６３）。

人物ａの氏名・住所が入館許可人物リストに含まれていた場合（ステップＳ２６３；Ｙｅｓ）、判定装置３２はサブゲート装置３６に対しサブゲートの開放指示を送信する（ステップＳ２６４）。この開放指示に応じてメインゲート装置３５はメインゲートを開放し、人物ａは建物に入ることができる。その場合、判定装置３２は、人物ａの氏名・住所とステップＳ２６４の処理を行った時刻情報とを入館許可情報として社内サーバ装置３４に送信する（ステップＳ２６５）。

一方、人物ａの氏名・住所が入館許可人物リストに含まれていなかった場合（ステップＳ２６３；Ｎｏ）、判定装置３２は発音部３２３を用いて、例えば「申し訳ございませんが入館が許可されておりません。本館にご用の方は係りの者にお尋ね下さい。」といった音声メッセージを発音する（ステップＳ２６６）。その場合、判定装置３２は、人物ａの氏名・住所とステップＳ２６６の処理を行った時刻情報とを入館拒否情報として社内サーバ装置３４に送信する（ステップＳ２６７）。なお、ステップＳ２６５もしくはステップＳ２６７で社内サーバ装置３４に送信される入館許可情報および入館拒否情報は、この建物の入館者管理に利用される。

［１．４．本人認証システムの第２実施例］
以下に、本発明にかかる本人認証システムの他の一実施例として、本発明にかかる本人認証システムを入国審査に利用した入国審査システム５の構成および動作を説明する。

［１．４．１．構成］
図１６は入国審査システム５の全体構成を模式的に示した図である。入国審査システム５は入国審査を受ける人物が携帯する端末装置５１と、入国審査を受ける人物の本人認証を行うとともに本人認証に成功した場合にその人物の個人情報を入国審査官に閲覧可能とする判定装置５２と、あらゆる端末装置５１の各々に関し固有情報および個人情報を暗号化・復号化する鍵を生成・管理するサーバ装置５３と、入出国の履歴およびビザ（査証）の情報を管理する入出国管理サーバ装置５４と、入国希望者の通過を制御するためのゲート装置５５とを備えている。端末装置５１と判定装置５２は無線通信可能であり、判定装置５２とサーバ装置５３の間および判定装置５２と入出国管理サーバ装置５４の間は、インターネットを介して、ＶＰＮで保護された通信が可能である。

開門システム３においては、例として、公開鍵方式が採用されているものとする。開門システム３において、端末装置５１およびサーバ装置５３は基本登録システム２による初期登録を完了している。

端末装置５１の構成およびサーバ装置５３の構成は、基本登録システム２の端末装置２１の構成（図３参照）およびサーバ装置２３の構成（図６参照）と同様である。判定装置５２の構成は、開門システム３の判定装置３２の構成（図１１参照）とほぼ同じであるが、判定装置５２は判定装置３２が備える発音部３２３を備えていない。入国審査においては、入国審査官が必要なメッセージを口頭で伝えることができるため発音部３２３は必要ないためである。また、判定装置５２は判定装置３２が備える対メインゲート装置送信部３２８および対サブゲート装置送信部３２９に代えて、対ゲート装置送信部を備えている。入国審査においては入国者が通過するゲートは１つでよいためである。

また、判定装置５２は、プログラムに従った処理により、端末装置５１から受信した公開鍵を用いて追加個人情報および追加固有情報を暗号化する暗号部としても機能する。

［１．４．２．動作］
以下に入国審査システム５の動作を説明する。例として、端末装置５１Ｂを携帯する人物ｂがＸ国に入国予定であるものとする。人物ｂは、通常、予め自国内のＸ国大使館にてビザの発給を受けておく必要がある。Ｘ国大使館には、本発明にかかる本人認証システムを利用したビザ発給システムが設置されており、人物ｂは端末装置５１Ｂに記憶されている暗号化基本固有情報を用いた本人認証を受ける。

人物ｂが端末装置５１Ｂの正当な所有者である人物Ｂであることが確認された後、Ｘ国大使館のビザ発給官は所定の審査を行い、人物ＢのＸ国への入国に問題がないと判断すると、ビザ発給システムを用いて、端末装置５１Ｂに記憶されている暗号化基本個人情報より生成された人物Ｂの基本個人情報を、人物Ｂに対し発給するビザ番号とともに、入出国管理サーバ装置５４に送信する。

入出国管理サーバ装置５４に対するビザ番号の送信に伴い、ビザ発給システムは、端末装置５１Ｂに記憶されている公開鍵を用いて人物Ｂに発給したビザ番号を暗号化した後、端末装置５１Ｂおよびサーバ装置５３に送信する。端末装置５１Ｂおよびサーバ装置５３は、ビザ発給システムより受信した暗号化されたビザ番号を、端末装置５１Ｂに関する暗号化された追加個人情報として登録する。以下、暗号化された追加個人情報を「暗号化追加個人情報」と呼ぶ。また、追加個人情報の種類を区別するため、例えばビザ番号に関する追加個人情報を「追加個人情報（ビザ番号）」のように呼び、それらが暗号化されたものを、「暗号化追加個人情報（ビザ番号）」のように呼ぶ。

入国審査システム５においては、追加個人情報（ビザ番号）に加え、追加個人情報（犯罪歴）、追加個人情報（入出国履歴）が利用される。従って、端末装置５１Ｂには、暗号化基本個人情報およびＸ国大使館にて登録を受けた暗号化追加個人情報（ビザ番号）に加え、人物Ｂの犯罪歴を示す暗号化追加個人情報（犯罪歴）と、人物Ｂの入出国履歴を示す暗号化追加個人情報（入出国履歴）が記憶されているものとする。

人物Ｂは、Ｘ国大使館においてビザ発給を受けた後、Ｘ国に渡航し、Ｘ国の入国審査を受ける。人物Ｂが入国審査を受ける際の入国審査システム５の動作フローのうち、端末装置の所持者の本人認証に関する部分は、開門システム３に関し図１２〜図１５に示したフローのステップＳ２０３〜ステップＳ２３２およびステップＳ２３９〜ステップＳ２６２とほぼ同様である。入国審査システム５の本人認証の動作フローが、図１２〜図１５に示した動作フローと異なる点は、ステップＳ２１０〜ステップＳ２１３およびステップＳ２５５〜ステップＳ２５７において、暗号化基本個人情報に加え、暗号化追加個人情報（ビザ番号）、暗号化追加個人情報（犯罪歴）および暗号化追加個人情報（入出国履歴）が送受信・一時記憶される点のみである。

入国審査システム５による本人認証が失敗し、端末装置５１Ｂの所持者が端末装置５１Ｂの正当な所有者でないと判定された場合、端末装置５１Ｂの所持者は入国拒否をされるか、もしくは入国審査官等によりさらに詳しい調査を受けることになる。一方、入国審査システム５による本人認証が成功し、人物Ｂが端末装置５１Ｂの正当な所有者であると判定された場合、入国審査システム５は人物Ｂの個人情報の表示、追加個人情報（入出国履歴）の更新などの処理を行う。

図１７は人物Ｂの本人認証が成功した後の入国審査システム５の動作を示したフロー図である。判定装置５２は、人物Ｂの基本個人情報を入出国管理サーバ装置５４に送信する（ステップＳ５０１）。入出国管理サーバ装置５４は、受信した基本個人情報を検索キーとして人物Ｂに発給されているビザ番号を検索した後、検索したビザ番号を判定装置５２に送信する（ステップＳ５０２）。判定装置５２は入出国管理サーバ装置５４から受信したビザ番号と、端末装置５１Ｂから受信した暗号化追加個人情報（ビザ番号）を復号化して得られた追加個人情報（ビザ番号）により示されるビザ番号とを照合する（ステップＳ５０３）。

判定装置５２は、人物Ｂの基本個人情報、追加個人情報（ビザ番号）、追加個人情報（犯罪歴）、追加個人情報（入出国履歴）、およびステップＳ５０３の照合結果を表示部に表示する（ステップＳ５０４）。

入国審査官は判定装置５２の表示部に表示された情報に基づき、人物Ｂの入国を許可するか否かを判断する。入国審査官により人物Ｂの入国が拒否された場合（ステップＳ５０５；Ｎｏ）、判定装置５２は人物Ｂの基本個人情報と現在の時刻情報を含む入国拒否情報を入出国管理サーバ装置５４に送信する（ステップＳ５０６）。また、入国審査官により人物Ｂの入国が許可された場合（ステップＳ５０５；Ｙｅｓ）、判定装置５２は人物Ｂの基本個人情報と現在の時刻情報を含む入国許可情報を入出国管理サーバ装置５４に送信する（ステップＳ５０７）。入出国管理サーバ装置５４に送信された入国許可情報および入国拒否情報は、現在の入国者を把握するために利用される他、例えばビザ発給システムに送信され、将来のビザ発給時に利用される。

人物Ｂの入国が許可された場合、判定装置５２は追加個人情報（入出国履歴）にＸ国への入国を示す情報を追加することにより、追加個人情報（入出国履歴）を更新する（ステップＳ５０８）。続いて、判定装置５２は端末装置５１Ｂに対し、公開鍵の送信要求を送信する（ステップＳ５０９）。端末装置５１Ｂは、公開鍵の送信要求に応じて、公開鍵を判定装置５２に送信する（ステップＳ５１０）。判定装置５２は、端末装置５１Ｂから公開鍵を受信すると、ステップＳ５０９で更新した追加個人情報（入出国履歴）を受信した公開鍵で暗号化し、暗号化追加個人情報（入出国履歴）を生成する（ステップＳ５１１）。

さらに、判定装置５２は人物Ｂの本人認証時に生成した照合用固有情報、すなわち現在の人物Ｂを撮影して得られた顔／姿写真および静脈写真から生成した顔／姿特徴情報および静脈特徴情報を、ステップＳ５１０において受信した公開鍵で暗号化する（ステップＳ５１２）。ステップＳ５１２で暗号化される固有情報は、将来の本人認証において参照用固有情報として利用される追加固有情報である。以下、暗号化された追加固有情報を暗号化追加固有情報と呼ぶ。

追加固有情報は、登録専門機関以外の組織により管理されるシステムによって、本人認証の処理に伴い取得された生体情報であるため、基本固有情報と比べ信頼性が低いが、基本固有情報よりも新しい生体情報である。従って、例えば登録専門機関における登録時から経年により顔の輪郭等に変化が生じている場合など、本人であるのにしばしば顔／姿特徴情報に基づく本人認証に失敗するような場合に、追加固有情報を補助的に利用することで、そのような本人認証の失敗を低減することができる。

例えば、駅の改札に要する本人認証においては高い信頼性よりも速い処理速度が求められる。従って、頻繁に顔／姿特徴情報に基づく本人認証に失敗し、静脈特徴情報を用いた本人認証の必要が生じる本人認証システムは実用的でない。従って、基本固有情報に含まれる顔／姿特徴情報による本人認証に失敗した場合でも、追加固有情報に含まれる顔／姿特徴情報による本人認証に成功した場合には改札を開くようにすることで、本発明にかかる本人認証システムの実用性を高めることができる。一方、入出国審査のように本人認証に高い信頼性が求められる場合には、追加固有情報は用いないなど、求められるセキュリティレベルに応じて基本固有情報と追加固有情報の使い分けが行われることが望ましい。

判定装置５２は、ステップＳ５１１で生成した暗号化追加個人情報（入出国履歴）およびステップＳ５１２で生成した暗号化追加固有情報を端末装置５１Ｂに送信する（ステップＳ５１３）。端末装置５１Ｂは受信した暗号化追加個人情報（入出国履歴）および暗号化追加固有情報を不揮発性記憶部に保存する（ステップＳ５１４）。

また、判定装置５２は、ステップＳ５１１で生成した暗号化追加個人情報（入出国履歴）およびステップＳ５１２で生成した暗号化追加固有情報をサーバ装置５３に送信する（ステップＳ５１５）。サーバ装置５３は受信した暗号化追加個人情報（入出国履歴）および暗号化追加固有情報を端末装置５１Ｂの端末識別情報に対応付けて、不揮発性記憶部に保存する（ステップＳ５１６）。

以上の一連の処理が完了すると、入国審査官は判定装置５２の操作部を操作し、ゲートの開放を指示する。その操作に応じて、判定装置５２はゲート装置５５に対しゲートの開放指示を送信し（ステップＳ５１７）、ゲート装置５５は判定装置５２から受診した開放指示に従いゲートを開く。その結果、人物ＢはＸ国に入国することができる。

［１．５．端末装置の情報の修復］
本発明にかかる本人認証システムにおいて本人認証を行うためには、暗号化固有情報および暗号化個人情報、そして公開鍵方式が採用される場合の公開鍵は、各々の端末装置に保存されていればよく、サーバ装置においてその複製を保存しておく必要はない。しかしながら、上述した基本登録システム２、開門システム３および入国審査システム５において示したように、サーバ装置に端末装置に記憶されている情報の複製を保存しておくと、何らかの理由で端末装置に保存されていた情報が破損・消失した場合に、容易にその情報の修復を行うことができ、本発明にかかる本人認証システムの利便性を高めることができる。

［１．５．１．動作］
サーバ装置に保存されている情報を用いた端末装置の情報の修復は、登録専門機関において基本登録システム２を用いて実行可能である。ただし、情報修復に際して、サーバ装置２３は、プログラムに従った処理により、不揮発性記憶部２３３に保存されている暗号化固有情報および暗号化個人情報を復号化する復号部としても機能する。以下、人物ｃにより登録専門機関に持ち込まれた端末装置２１Ｃの情報修復が行われる場合の基本登録システム２の動作を説明する。

図１８〜図２０は、端末装置２１の情報を修復する際の基本登録システム２の動作を示したフロー図である。基本登録システム２のオペレータの操作に応じて、登録用判定装置２２は端末装置２１Ｃに対し、端末識別情報の送信要求を送信する（ステップＳ６０１）。端末装置２１Ｃは登録用判定装置２２からの送信要求に応じて、ＲＯＭ２１２に保存されている端末識別情報を登録用判定装置２２に送信する（ステップＳ６０２）。

登録用判定装置２２は、端末装置２１から端末識別情報の受信に成功したか否かを判定する（ステップＳ６０３）。例えば端末装置２１Ｃが落下等により故障し、端末識別情報の読み出し・送信が正しく行えない場合があるためである。端末装置２１Ｃが端末装置２１Ｃから端末識別情報の受信に失敗した場合（ステップＳ６０３；Ｎｏ）、登録用判定装置２２の表示部２２５は端末装置２１の所持者の氏名・住所の入力を促す画面を表示する（ステップＳ６０４）。オペレータはステップＳ６０４の表示に従い、人物ｃに氏名・住所を尋ね、人物ｃが答えた氏名・住所を登録用判定装置２２に入力した後、入力完了操作を行う（ステップＳ６０５）。入力完了操作に応じて、登録用判定装置２２は入力された氏名・住所をサーバ装置２３に送信する（ステップＳ６０６）。

端末装置２１Ｃが端末装置２１Ｃから端末識別情報の受信に成功した場合（ステップＳ６０３；Ｙｅｓ）、登録用判定装置２２は受信した端末識別情報をサーバ装置２３に送信する（ステップＳ６０７）。

サーバ装置２３は、既述のように、不揮発性記憶部２３３に複数の端末識別情報に対応付けて共通鍵もしくは秘密鍵・公開鍵のペアと、暗号化固有情報（暗号化基本固有情報と暗号化追加固有情報）と、暗号化個人情報（暗号化基本個人情報と暗号化追加個人情報）とを記憶している。以下、端末識別情報に対応付けて記憶されているこれらの情報の各々を「端末情報」と呼ぶ。

サーバ装置２３は、ステップＳ６０６もしくはステップＳ６０７で登録用判定装置２２から受信した情報が端末識別情報であるか否かを判定する（ステップＳ６０８）。登録用判定装置２２から受信した情報が端末識別情報であった場合（ステップＳ６０８；Ｙｅｓ）、サーバ装置２３は不揮発性記憶部２３３に保存されている複数の端末情報の中から、受信した端末識別情報に対応する端末情報を検索する（ステップＳ６０９）。続いて、サーバ装置２３は、ステップＳ６０９において検索した端末情報に含まれる暗号化基本固有情報を、同じく検索した端末情報に含まれる共通鍵または秘密鍵で復号化する（ステップＳ６１０）。ステップＳ６０９の復号化により、端末装置２１Ｃに対応する参照用基本固有情報が得られる。

一方、登録用判定装置２２から受信した情報が端末識別情報でなかった場合（ステップＳ６０８；Ｎｏ）、サーバ装置２３は不揮発性記憶部２３３に保存されている複数の端末情報の中から、例えば端末識別情報のアルファベット順の最初から順に１つ選択し、選択した端末情報に含まれる暗号化基本個人情報を、同じく選択した端末情報に含まれる秘密鍵で復号化する（ステップＳ６１１）。続いて、サーバ装置２３は、ステップＳ６１１の復号により得られた基本個人情報に含まれる氏名・住所と、ステップＳ６０６で受信した氏名・住所とが一致するか否かを判定する（ステップＳ６１２）。

ステップＳ６１２の判定で登録用判定装置２２から受信した氏名・住所と復号化により得られた氏名・住所とが一致しなかった場合（ステップＳ６１２；Ｎｏ）、サーバ装置２３は不揮発性記憶部２３３に保存されている複数の端末情報の中から次の端末情報を選択し、選択した端末情報に関しステップＳ６１１およびステップＳ６１２を繰り返す。

ステップＳ６１２の判定で登録用判定装置２２から受信した氏名・住所と復号化により得られた氏名・住所とが一致した場合（ステップＳ６１２；Ｙｅｓ）、その氏名・住所を含んでいた端末情報に含まれる暗号化基本固有情報を、同じくその端末情報に含まれる共通鍵もしくは秘密鍵で復号化する（ステップＳ６１３）。ステップＳ６１３の復号化により、人物ｃが述べた氏名・住所に対応する参照用基本固有情報が得られる。サーバ装置２３は、ステップＳ６１０もしくはステップＳ６１３で復号化により得られた参照用基本固有情報を登録用判定装置２２に送信する（ステップＳ６１４）。

登録用判定装置２２は、サーバ装置２３から参照用基本固有情報を受信すると、人物ｃの顔／姿写真群および静脈写真群を撮影し、人物ｃの照合用固有情報を取得する。この照合用固有情報の取得の処理（ステップＳ６１５〜ステップＳ６２０）は、図７〜図９を用いて示した基本登録システム２による登録処理におけるステップＳ１２５〜ステップＳ１３０（もしくは、ステップＳ１０９〜ステップＳ１１４）と同様である。

登録用判定装置２２は、ステップＳ６１４においてサーバ装置２３から受信した参照用基本固有情報と、ステップＳ６１７およびステップＳ６２０で生成した照合用固有情報（照合用の顔／姿特徴情報群と静脈特徴情報群）とを比較し、それらの情報間に所定の閾値以上の類似度が有るか否かを判定する（ステップＳ６２１）。

ステップＳ６２１の判定において固有情報の間に所定の閾値以上の類似度がないと判定された場合（ステップＳ６２１；Ｎｏ）、人物ｃは端末装置２１Ｃの正当な所有者ではないか、もしくは人物ｃが述べた氏名・住所に誤りがあることになり、基本登録システム２による情報の修復は行われない。一方、ステップＳ６２１の判定において固有情報の間に所定の閾値以上の類似度があると判定された場合（ステップＳ６２１；Ｙｅｓ）、人物ｃは端末装置２１Ｃの正当な所有者であるか、もしくは人物ｃが述べた氏名・住所に誤りがなかったことが確認されたことになる。従って、登録用判定装置２２は表示部２２５に本人認証成功を示す画面を表示する（ステップＳ６２２）。

先のステップＳ６０４において氏名・住所の入力を促す画面の表示がなされた場合、端末装置２１Ｃのハードウェアに何らかの故障があるため、登録用判定装置２２のオペレータは故障している端末装置２１Ｃを破棄し、それに変わる新しい端末装置２１Ｃを準備する。

端末装置２１Ｃの交換が行われなかった場合（ステップＳ６２３；Ｎｏ）、基本登録システム２のオペレータの所定の操作に応じて、登録用判定装置２２はステップＳ６０２で端末装置２１Ｃから受信した端末識別情報をサーバ装置２３に送信する（ステップＳ６２４）。

一方、端末装置２１Ｃの交換が行われた場合（ステップＳ６２３；Ｙｅｓ）、基本登録システム２のオペレータの所定の操作に応じて、登録用判定装置２２は新しい端末装置２１Ｃに対し端末識別情報の送信要求を送信し（ステップＳ６２５）、新しい端末装置２１Ｃはその送信要求に応じて、ＲＯＭ２１２に保存されている端末識別情報を登録用判定装置２２に送信する（ステップＳ６２６）。登録用判定装置２２はステップＳ６２６で新しい端末装置２１Ｃから受信した端末識別情報を、ステップＳ６０５で入力された氏名・住所とともにサーバ装置２３に送信する（ステップＳ６２７）。

サーバ装置２３は、ステップＳ６２４もしくはステップＳ６２７において登録用判定装置２２から受信した情報に氏名・住所が含まれるか否かを判定する（ステップＳ６２８）。ステップＳ６２８において氏名・住所が含まれないと判定した場合（ステップＳ６２８；Ｎｏ）、サーバ装置２３はステップＳ６０９において検索した端末情報の端末識別情報がステップＳ６２４において受信した端末識別情報と一致していることを確認した後、その端末情報に含まれる共通鍵もしくは秘密鍵を除く全ての情報を、登録用判定装置２２に送信する（ステップＳ６２９）。

一方、ステップＳ６２８において氏名・住所が含まれていると判定した場合（ステップＳ６２８；Ｙｅｓ）、サーバ装置２３はステップＳ６１２において氏名・住所の一致をみた端末情報に含まれる氏名・住所がステップＳ６２７において受信した氏名・住所と一致することを確認した後、当該端末情報が対応付けられている端末識別情報（すなわち、古い端末装置２１Ｃの端末識別情報）を、ステップＳ６２７において受信した端末識別情報（すなわち新しい端末装置２１Ｃの端末識別情報）に書き換える（ステップＳ６３０）。そして、サーバ装置２３は、書き換えた端末識別情報に対応付けられている端末情報に含まれる共通鍵もしくは秘密鍵を除く全ての情報を、登録用判定装置２２に送信する（ステップＳ６２９）。

登録用判定装置２２は、ステップＳ６２９においてサーバ装置２３から受信した情報を端末装置２１Ｃに送信し（ステップＳ６３１）、端末装置２１Ｃは登録用判定装置２２から受信した情報を不揮発性記憶部２１４に保存する（ステップＳ６３２）。以上により、端末装置２１Ｃの修復が完了する。

以上のように、端末装置が個々に保存している暗号化固有情報および暗号化個人情報の複製をサーバ装置にも保存しておくことにより、本発明にかかる本人認証システムの利用者は、端末装置が故障した場合には新しい端末装置に、また端末装置には故障がないが保存されていた情報に破損等が生じた場合にはそれまで使用していた端末装置に、いつでも自分に関する暗号化固有情報および暗号化個人情報を復元することができる。

［２．変形例］
上述した実施形態は、本発明の技術的思想の範囲で様々に変形することができる。また、上述した実施形態において用いられている具体的な数値は説明のための例示であって、それらの数値により本発明が限定的に解釈されるべきではない。以下に変形例を示す。

上述した実施形態における動作フローに含まれる多くのステップは、その時間的な前後関係を入れ替えても同様の結果を得ることができ、それらの変更は本発明の技術的思想の範囲内である。例えば、図１７のステップＳ５１３とステップＳ５１５はいずれが先であっても構わない。

上述した実施形態で採用されている暗号化方式は例示であって、本発明の実施においていずれの暗号化方式が採用されてもよい。例えば共通鍵方式と公開鍵方式とが組み合わせて用いられてもよいし、鍵をさらに他の鍵で暗号化してセキュリティを高める方式、多段階の暗号化・復号化を行う方式等が採用されてもよい。また、暗号化の強度を高めるために、定期的に鍵を入れ替えたり、情報の更新時に以前に用いた鍵と異なる鍵を用いて暗号化のやり直しを行ったりしてもよい。

上述した実施形態においては、１つの端末装置に関し用いられる共通鍵もしくは秘密鍵と公開鍵のペアは１つであるものとしたが、それに限られず、情報の種別に応じて異なる鍵または鍵ペアを用いるようにしてもよい。図２１は、本発明にかかる本人認証システムにおいて公開鍵方式を採用し、情報の種別ごとに鍵を異ならせる場合の端末装置６１およびサーバ装置６３に保存される情報を模式的に示した図である。本発明にかかる本人認証システムにおいて共通鍵方式を採用する場合には、図２１に示される端末装置６１は公開鍵を記憶せず、サーバ装置６３は秘密鍵・公開鍵のペアの代わりに共通鍵を記憶するように構成すればよい。

情報の種別ごとに異なる鍵が割り当てられる場合、端末装置６１およびサーバ装置６３において、各情報および鍵はそれらを他の情報および鍵から識別するための情報種別識別情報に対応付けられて保存されている。図２１の例において、例えば暗号化静脈特徴情報とその情報に割り当てられた公開鍵（もしくは秘密鍵・公開鍵のペア）は、情報種別識別情報「００２」により識別される。

情報の種別ごとに異なる鍵が割り当てられる場合、判定装置６２を、その判定装置６２の処理に必要最小限の種別の情報のみを端末装置６１から受信し、それらの情報を復号化するための鍵のみをサーバ装置６３から受信するように構成することで、不要な情報が不用意に判定装置６２において復号化される不都合を回避することができる。

例えば、判定装置６２が基本固有情報の顔／姿特徴情報のみを用いて本人認証を行い、個人情報として氏名、年齢、性別および既往歴の閲覧を必要とする場合、判定装置６２は端末装置６１およびサーバ装置６３に、情報種別識別情報として００１、００３、００５、００６、２０８を送信する。端末装置６１は判定装置６２から受信した情報種別識別情報を検索キーとして検索される情報を判定装置６２に送信する。サーバ装置６３は判定装置６２から受信した情報種別識別情報を検索キーとして検索される秘密鍵を判定装置６２に送信する。判定装置６２は端末装置６１から受信した情報をサーバ装置６３から受信した秘密鍵で復号化し、処理に必要な情報を得る。

なお、情報の種別ごとに異なる鍵が割り当てられる場合、新たな種別の追加個人情報の登録を要する場合や、新たに追加固有情報の登録を行う場合等において、それらの情報が判定装置６２において暗号化される場合、判定装置６２はサーバ装置６３に対し情報種別識別情報および鍵生成の要求を行う。サーバ装置６３はその要求に応じて、新たな情報種別識別情報および鍵（または鍵ペア）を生成し、生成した情報種別識別情報と暗号鍵（公開鍵もしくは共通鍵）を判定装置６２に送信する。公開鍵方式を採用したシステムにおいて、端末装置６１において追加個人情報等の暗号化が行われる場合においても、同様に、端末装置６１は判定装置６２を介してサーバ装置６３から情報種別識別情報と公開鍵を取得する。判定装置６２もしくは端末装置６１は、そのようにサーバ装置６３から取得した暗号鍵を用いて、追加個人情報等の暗号化を行う。以上が情報の種別ごとに異なる鍵の割り当てを行う本発明の実施形態の変形例の説明である。

さらに、他の変形例を示す。上述した実施形態における動作フローに含まれる一部のステップは、技術的な意義を失うことなく他の処理で代替可能であり、それらの変更もまた、本発明の技術的思想の範囲内である。

例えば、上述した実施形態においては、サーバ装置に記憶される固有情報および個人情報は暗号化された状態で保存されているものとして説明したが、暗号化されない状態で保存しておき、端末装置の情報修復等のために暗号化を要する際に暗号化するように構成してもよい。また、固有情報または個人情報が暗号化される場所は判定装置であってもサーバ装置であってもよい。さらに、公開鍵方式が採用される場合には、固有情報または個人情報が端末装置において公開鍵により暗号化されてもよい。その場合、端末装置の制御部は、プログラムに従った処理により、暗号化部としても機能する。また、固有情報または個人情報が復号化される場所は判定装置であってもサーバ装置であってもよい。また、端末装置とサーバ装置がともに公開鍵を保存している場合、判定装置はいずれの装置から公開鍵を取得してもよい。

本発明においては、端末装置に保存される個人情報を復号化可能な復号鍵を端末装置には一切渡さないことを原則としている。しかしながら、例えば端末装置の所有者の趣味情報など、第三者による確認を要さない個人情報については、仮に端末装置において復号化がなされても問題はない。従って、サーバ装置は個人情報の種類ごとに異なる共通鍵を生成し、第三者による確認を要さない個人情報については、サーバ装置から送信された共通鍵を用いて、端末装置がその個人情報を暗号化してもよい。そのように暗号化された個人情報は、サーバ装置に送信され保存される。

上述した実施形態においては、ある人物の鍵、固有情報、個人情報等を他の人物のそれらから識別するための識別情報として、端末装置のＲＯＭに予め記憶されている識別情報が利用されているが、本発明において利用可能な識別情報はそれに限られない。例えば、端末装置の本体に着脱可能に接続されるフラッシュメモリカード等の記録媒体に暗号化固有情報、暗号化個人情報等を記憶させるようにして、当該記録媒体に固有の識別情報を端末識別情報に代えて用いてもよい。

また、例えばサーバ装置が初期登録時に任意の識別情報を端末装置もしくは端末装置の所有者に割り当て、端末装置が割り当てられた識別情報を不揮発性記憶部に記憶し、端末識別情報に代えて用いてもよい。その場合、もしユーザ等により識別情報が書き換えられると、そのユーザは本発明にかかる本人認証システムを利用できなくなるが、固有情報や個人情報が他に漏洩することはなく、そのユーザでない者がそのユーザになりすますこともできないので、端末装置のＲＯＭ等に書き換え不可能な状態で記憶されている識別情報を用いる場合と比べ、セキュリティレベルが下がることはない。

上述した実施形態において、端末装置はＰＨＳの仕様に準拠した無線携帯端末であるものとしたが、それに限られない。例えば利便性が多少損なわれるが、端末装置を通信ケーブルにて判定装置に接続し、端末装置と判定装置との間で有線通信を行わせる構成としてもよい。また、判定装置とサーバ装置との間の通信方式もインターネットを介したものに限られない。例えば、それらの装置が専用線で通信接続されていてもよい。

上述した実施形態においては、複数の端末装置の中から本人認証の対象となる人物が所持している端末装置を特定する方法として、電波強度の異なる一斉呼出信号を用いる方法が採用されているが、それに限られない。例えば、ゲート前の最前列に立った者が自分の所持する端末装置を操作して、識別情報を判定装置に送信させるようにしてもよい。

本発明にかかる本人認証システムを構成する端末装置、判定装置およびサーバ装置は、各々の装置が有する制御部がプログラムに従った処理を行うことにより本発明にかかる本人認証システムの構成装置として機能するものとして説明したが、制御部により実現される機能構成部の各々をハードウェアにより各装置に実装させるようにしてもよい。

上述した実施形態においては、判定装置（または登録用判定装置）は顔／姿写真撮影部および静脈写真撮影部を構成要素として備えるものとしたが、本発明にかかる判定装置はそれらの手段を構成要素として備えず、外部の撮影装置から顔／姿データや静脈データといった情報を取得し、それらの取得した情報を用いて顔／姿特徴情報や静脈特徴情報といった固有情報を生成するようにしてもよいし、外部装置により生成された顔／姿特徴情報や静脈特徴情報といった固有情報を受信部により単に取得するようにしてもよい。

上述した実施形態においては、参照用固有情報と照合用固有情報との比較による本人認証に成功した場合、その人物の基本個人情報（氏名および住所）を用いてその後の処理（具体的にはゲートの開放）の是非判定を行うものとした。しかしながら、本人認証に成功した後の処理において必ずしも個人情報（基本個人情報を含む）が利用される必要はない。例えば第１実施例において、入館許可人物リストに入館の許可された人物の氏名・住所に代えて、それらの人物の端末識別情報を含めるようにし、本人認証に成功した人物の端末識別情報が入館許可人物リストに含まれるか否かによりゲートの開放の是非を判定する構成としてもよい。そのような構成とする場合、個人情報は不要となる。本人認証後の処理において個人情報を用いない場合、何らかの事故による個人情報の漏洩を防止することができる。

上述した実施形態においては、固有情報として生体情報が利用される例を示した。しかしながら、本発明において利用可能な固有情報は生体情報に限られず、例えば正当な所有者のみが知るパスワードを生体情報に代えて、もしくは生体情報に加えて、本発明において利用してもよい点は既述のとおりである。パスワードは生体情報と比較し漏洩すると他人のなりすましが可能であるが、生体情報を用いる場合よりも参照用固有情報および照合用固有情報の生成が容易、それらの情報のサイズが一般的に小さくて済む、それらの情報の比較が容易かつ正確に行える、といったメリットがある。従って、本人認証の精度が低くてもさほど問題とならない実施例においては、生体情報に代えてパスワードを固有情報として利用する方が望ましい場合がある。また、生体情報を用いた本人認証の精度の低さを補完するため、パスワードによる本人認証を併用する方が望ましい場合もある。

本発明においてパスワードを固有情報として用いる場合、予め端末装置に暗号化されて記憶されているパスワードと、端末装置の所持者が入力するパスワードとの一致が判定装置により判定され、その判定結果に基づき本人認証の成功・不成功が決することになる。端末装置の所持者がパスワードを入力するための操作手段は、例えば端末装置が備えるキーパッド等の操作部であってもよいし、判定装置に接続もしくは内蔵されているキーボード等の操作部であってもよい。

例えば、第１実施例において生体情報の代わりにパスワードを用いる場合の一例を説明する。端末装置の所持者は、例えばゲートに近づくかなり手前から、端末装置に対しパスワードを入力しておくことができる。所持者によるパスワードの入力があった場合、端末装置は入力されたパスワードを所定の期間（例えば３分間）、揮発性記憶部に一時的に記憶する。端末装置が例えばゲートの手前約５メートルの位置に達すると、端末装置は判定装置から送出される一斉呼出信号（５ｍ）に応答し、揮発性記憶部にパスワードが記憶されていれば、そのパスワードを判定装置に送信する。一方、揮発性記憶部にパスワードが記憶されていない場合、端末装置は表示部にパスワードの入力を促すメッセージを表示する。端末装置の所持者がそのメッセージに応じて端末装置にパスワードを入力すると、入力されたパスワードが端末装置から判定装置に送信される。判定装置はそのように端末装置から送信されたパスワードを取得し、照合用固有情報として利用する。

また、ゲート前には判定装置に接続されたキーボードが配置されている。端末装置の所持者は、上述したように端末装置へパスワードを入力する代わりに、ゲート前のキーボードにパスワードを入力することもできる。端末装置の所持者がゲート前のキーボードを用いて入力したパスワードは判定装置において照合用固有情報として利用される。このような構成とした場合、ユーザは端末装置にパスワードを入力して、スムーズにゲートを通過することもできるし、ゲート前のキーボードにパスワードを入力して、例えば鞄から端末装置を取り出す手間を省くこともできる。

本発明にかかる端末装置およびサーバ装置は通信機能を有する一般的なコンピュータにプログラムを実行させることにより実現されてもよい。また、本発明にかかる判定装置は、通信機能を有する一般的なコンピュータに顔／姿写真撮影部および静脈写真撮影部等の固有情報取得のための装置を接続し、そのコンピュータにプログラムを実行させることにより実現されてもよい。本発明は、そのようにコンピュータにより実行され、本発明にかかる端末装置、判定装置、サーバ装置を実現するためのプログラムも提供する。また、本発明は、そのようにコンピュータにより実行され、本発明にかかる端末装置、判定装置、サーバ装置を実現するためのプログラムをコンピュータに読み取り可能に記録した記録媒体も提供する。さらに、本発明は、上述した本人認証システムにより実行される本人認証のための方法も提供する。

［３．補足説明］
本発明は、端末装置の保持者と端末装置との組み合わせが正当であるか否かを、端末装置の正当な所有者の固有情報を用いて認証する技術に関する。従って、本発明において、ある人物の鍵、固有情報、個人情報等を他の人物のそれらから識別するための識別情報は、端末装置に固有の識別情報であると同時に端末装置の正当な保有者に固有の識別情報でもある。すなわち、本発明において、そのような識別情報を端末装置を識別する端末識別情報と捉えても、端末装置の所有者を識別するユーザ識別情報と捉えても、それらの間に技術的な差異はない。仮に一人のユーザが複数の端末装置を所有する場合、データの整合性を保つためにはそれら複数の端末装置に関する鍵、固有情報、個人情報等は同期される必要があり、それらの端末装置ごとに異なる端末識別情報が割り当てられ、それらが関連付けられていることと、同じユーザが所有する異なる端末装置に対し同じユーザ識別情報が割り当てられていることとは、等価である。

本発明の実施形態にかかる本人認証システムの基本構成を示した図である。 本発明の実施形態にかかる基本登録システムの構成を模式的に示した図である。 本発明の実施形態にかかる端末装置の構成を模式的に示した図である。 本発明の実施形態にかかる登録用判定装置の構成を模式的に示した図である。 本発明の実施形態にかかる顔／姿写真撮影部のカメラ群が配置されるカメラ設置台の形状を模式的に示した図である。 本発明の実施形態にかかるサーバ装置の構成を模式的に示した図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態にかかる開門システムの構成を模式的に示した図である。 本発明の実施形態にかかる判定装置の構成を模式的に示した図である。 本発明の実施形態にかかる開門システムの動作を示したフロー図である。 本発明の実施形態にかかる開門システムの動作を示したフロー図である。 本発明の実施形態にかかる開門システムの動作を示したフロー図である。 本発明の実施形態にかかる開門システムの動作を示したフロー図である。 本発明の実施形態にかかる入国審査システムの全体構成を模式的に示した図である。 本発明の実施形態にかかる入国審査システムの動作を示したフロー図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態にかかる基本登録システムの動作を示したフロー図である。 本発明の実施形態の一変形例において端末装置およびサーバ装置に保存される情報を模式的に示した図である。

符号の説明

１…本人認証システム、２…基本登録システム、３…開門システム、５…入国審査システム、１１…端末装置、１２…判定装置、１３…サーバ装置、２１…端末装置、２２…登録用判定装置、２３…サーバ装置、３１…端末装置、３２…判定装置、３３…サーバ装置、３４…社内サーバ装置、３５…メインゲート装置、３６…サブゲート装置、５１…端末装置、５２…判定装置、５３…サーバ装置、５４…入出国管理サーバ装置、５５…ゲート装置、６１…端末装置、６２…判定装置、６３…サーバ装置、１１１…ＲＯＭ、１１２…不揮発性記憶部、１２１…固有情報取得部、１２２…揮発性記憶部、１３１…不揮発性記憶部、２１１…制御部、２１２…ＲＯＭ、２１３…揮発性記憶部、２１４…不揮発性記憶部、２１５…送信部、２１６…受信部、２１７…操作部、２１８…表示部、２２１…制御部、２２２…ＲＯＭ、２２３…揮発性記憶部、２２４…操作部、２２５…表示部、２２６…対端末装置通信部、２２７…対インターネット通信部、２２８…顔／姿写真撮影部、２２９…静脈写真撮影部、２３１…制御部、２３２…揮発性記憶部、２３３…不揮発性記憶部、２３４…送信部、２３５…受信部、３２０…制御部、３２１…ＲＯＭ、３２２…揮発性記憶部、３２３…発音部、３２４…対端末装置通信部、３２５…対インターネット通信部、３２６…顔／姿写真撮影部、３２７…静脈写真撮影部、３２８…対メインゲート装置送信部、３２９…対サブゲート装置送信部、３２６１…カメラ、３２６２…距離センサ、３２７１…カメラ、３２７２…赤外線センサ。

Claims (14)

1. 自機もしくは自機の正当な所有者を識別する識別情報と前記正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを記憶している端末装置が、前記識別情報と前記暗号化固有情報とを判定装置に送信する第１の送信ステップと、
   前記判定装置が、前記第１の送信ステップにおいて前記端末装置から送信された前記識別情報を、複数の識別情報の各々に対応付けて復号鍵を記憶しているサーバ装置に送信する第２の送信ステップと、
   前記サーバ装置が、自機が記憶している複数の復号鍵のうち前記第２の送信ステップにおいて前記判定装置から送信された前記識別情報に対応付けて記憶している復号鍵を前記判定装置に送信する第３の送信ステップと、
   前記判定装置が、前記第１の送信ステップにおいて前記端末装置から送信された前記暗号化固有情報を前記第３の送信ステップにおいて前記サーバ装置から送信された前記復号鍵を用いて復号化することにより参照用固有情報を生成する復号化ステップと、
   前記判定装置が、前記端末装置の所持者のみから取得可能な所持者に固有の情報である照合用固有情報を取得する取得ステップと、
   前記判定装置が、前記復号化ステップにおいて生成した前記参照用固有情報と前記取得ステップにおいて取得した前記照合用固有情報との比較結果に基づき、前記所持者が前記正当な所有者と同一人物であるか否かを判定する判定ステップと
   を備える本人認証のための方法。
2. 複数の端末装置と、判定装置と、サーバ装置とを備え、
   前記複数の端末装置の各々は、自機もしくは自機の正当な所有者を識別する識別情報と自機の正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを記憶する記憶手段と、自機の前記記憶手段に記憶されている前記識別情報と前記暗号化固有情報とを前記判定装置に送信する送信手段とを備え、
   前記判定装置は、前記複数の端末装置のうちの一の端末装置から前記一の端末装置もしくは前記一の端末装置の正当な所有者を識別する識別情報と前記一の端末装置の正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを受信する対端末装置受信手段と、前記対端末装置受信手段により受信した前記識別情報を前記サーバ装置に送信する対サーバ装置送信手段と、前記対サーバ装置送信手段による前記識別情報の送信に応答して前記サーバ装置から送信される復号鍵を受信する対サーバ装置受信手段と、前記対サーバ装置受信手段により受信された前記復号鍵を用いて前記対端末装置受信手段により受信された前記暗号化固有情報を復号化することにより前記一の端末装置の正当な所有者のみから取得可能な所有者に固有の情報である前記参照用固有情報を生成する復号化手段と、前記一の端末装置の所持者のみから取得可能な所持者に固有の情報である照合用固有情報を取得する取得手段と、前記一の端末装置の正当な所有者のみから取得可能な所有者に固有の情報である前記参照用固有情報と前記照合用固有情報との比較結果に基づき前記所持者が前記一の端末装置の正当な所有者と同一人物であるか否かを判定する判定手段とを備え、
   前記サーバ装置は、前記複数の端末装置を各々識別する複数の識別情報の各々に対応付けて復号鍵を記憶する記憶手段と、前記判定装置から一の識別情報を受信する受信手段と、自機の前記記憶手段に記憶されている複数の復号鍵のうち前記一の識別情報に対応付けて記憶されている復号鍵を前記判定装置に送信する送信手段とを備える
   本人認証のためのシステム。
3. 端末装置から、前記端末装置もしくは前記端末装置の正当な所有者を識別する識別情報と、前記正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを受信する対端末装置受信手段と、
   前記識別情報をサーバ装置に送信する対サーバ装置送信手段と、
   前記対サーバ装置送信手段による前記識別情報の送信に応答して前記サーバ装置から送信される復号鍵を受信する対サーバ装置受信手段と、
   前記復号鍵を用いて前記暗号化固有情報を復号化することにより前記参照用固有情報を生成する復号化手段と、
   前記端末装置の所持者のみから取得可能な所持者に固有の情報である照合用固有情報を取得する取得手段と、
   前記参照用固有情報と前記照合用固有情報との比較結果に基づき前記所持者が前記正当な所有者と同一人物であるか否かを判定する判定手段と
   を備える判定装置。
4. 前記対端末装置受信手段は、前記端末装置から前記正当な所有者の個人情報を暗号化して得られる暗号化個人情報を受信し、
   前記復号化手段は、前記サーバ装置から送信され前記対サーバ装置受信手段により受信された復号鍵を用いて前記暗号化個人情報を復号化することにより前記個人情報を生成する
   請求項３に記載の判定装置。
5. 前記対サーバ装置送信手段による前記識別情報の送信に応答して前記サーバ装置から送信される前記復号鍵は公開鍵方式の秘密鍵であり、
   前記対端末装置受信手段は、前記端末装置から、前記秘密鍵と対をなす公開鍵を受信し、
   前記公開鍵を用いて情報を暗号化する暗号化手段を備える
   請求項３および４のいずれかに記載の判定装置。
6. 自機もしくは自機の正当な所有者を識別する識別情報と、前記正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを記憶する記憶手段と、
   前記識別情報と前記暗号化固有情報とを判定装置に送信する送信手段と
   を備える端末装置。
7. 前記記憶手段は、前記正当な所有者の個人情報を暗号化して得られる暗号化個人情報を記憶し、
   前記送信手段は、前記暗号化個人情報を前記判定装置に送信する
   請求項６に記載の端末装置。
8. 前記記憶手段は、前記参照用固有情報を暗号化して前記暗号化固有情報を生成する際に用いられた秘密鍵と対をなす公開鍵を記憶し、
   前記送信手段は、前記公開鍵を前記判定装置に送信する
   請求項６および７のいずれかに記載の端末装置。
9. 複数の識別情報と、前記複数の識別情報の各々に対応する共通鍵方式の共通鍵と、前記複数の識別情報の各々に関し当該識別情報により識別される端末装置の正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報もしくは当該参照用固有情報を当該識別情報に対応する前記共通鍵で暗号化して得られる暗号化固有情報とを対応付けて記憶する記憶手段と、
   判定装置から、一の識別情報を受信する受信手段と、
   前記記憶手段に記憶されている複数の共通鍵のうち前記一の識別情報に対応付けて記憶されている共通鍵を前記判定装置に送信する送信手段と
   を備えるサーバ装置。
10. 前記記憶手段は、前記複数の識別情報の各々に関し、当該識別情報により識別される端末装置の正当な所有者の個人情報もしくは当該個人情報を当該識別情報に対応する前記共通鍵で暗号化して得られる暗号化個人情報を、当該識別情報に対応付けて記憶する
    請求項９に記載のサーバ装置。
11. 複数の識別情報と、前記複数の識別情報の各々に対応する公開鍵方式の秘密鍵と、前記複数の識別情報の各々に関し当該識別情報により識別される端末装置の正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報もしくは当該参照用固有情報を当該識別情報に対応する前記秘密鍵と対をなす公開鍵で暗号化して得られる暗号化固有情報とを対応付けて記憶する記憶手段と、
    判定装置から、一の識別情報を受信する受信手段と、
    前記記憶手段に記憶されている複数の秘密鍵のうち前記一の識別情報に対応付けて記憶されている秘密鍵を前記判定装置に送信する送信手段と
    を備えるサーバ装置。
12. 前記記憶手段は、前記複数の識別情報の各々に関し、当該識別情報により識別される端末装置の正当な所有者の個人情報もしくは当該個人情報を当該識別情報に対応する前記秘密鍵と対をなす公開鍵で暗号化して得られる暗号化個人情報を、当該識別情報に対応付けて記憶する
    請求項１１に記載のサーバ装置。
13. 端末装置から、前記端末装置もしくは前記端末装置の正当な所有者を識別する識別情報と、前記正当な所有者のみから取得可能な所有者に固有の情報である参照用固有情報を暗号化して得られる暗号化固有情報とを受信する処理と、
    前記識別情報をサーバ装置に送信する処理と、
    前記サーバ装置に対する前記識別情報の送信に応答して前記サーバ装置から送信される復号鍵を受信する処理と、
    前記復号鍵を用いて前記暗号化固有情報を復号化することにより前記参照用固有情報を生成する処理と、
    前記端末装置の所持者のみから取得可能な所持者に固有の情報である照合用固有情報を取得する処理と、
    前記参照用固有情報と前記照合用固有情報との比較結果に基づき前記所持者が前記正当な所有者と同一人物であるか否かを判定する処理と
    をコンピュータに実行させるプログラム。
14. 請求項１３に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。

Images