JP2008305332A - セキュリティ管理システム - Google Patents

Abstract

【課題】
開錠の実際の時間を他者が知られることなく、かつ作業者の本人確認のための生体認証用データが極力短時間に限定されて端末機器に遠隔地点の管理センター等からダウンロードされる高度なセキュリュテー管理システムを得る。
【解決手段】
警備会社のコンピュータシステム１と、管理センターのコンピュータシステム２と、特定施設のコンピュータシステム（店舗のＡＴＭ５を開錠又は閉錠させるための施錠ユニット３００）とを通信ネットワークで接続し、管理センタのコンピュータシステム２は、特定施設のコンピュータシステムからの開錠要求があったとき、この開錠要求が予め作成した作業者個人の作業許可時間内のとき、この作業者の生体情報を送信して、入力された生体情報と登録されている生体情報とが一致したとき特定機器を開錠させるセキュリティ管理システムである。
【選択図】図９

Description

本発明は、扱う情報の機密性や人体，環境の安全性等の確保上、高度のセキュリティを必要とする施設への入室や退室（入退室）及びそのような施設内に設置された設備や機器の操作・使用を統合的に管理するセキュリティ管理システムに関する。

高度な機密を要求される施設、人体や環境に対し危険を伴う場所、金融機関や現金自動預け払い機（ＡＴＭ）など、特別に許可された本人（以下「本人」という）しか入室・退室を許可されない施設・場所においては鍵による照合で本人の入室・退室を認めている。

そして、高度なセキュリティを確保するために、開錠に使用する鍵を複雑にして不審者や侵入者（以下「非本人」という）の侵入を防御したり、鍵を複数にして侵入し難くしたりする方法などが提案されてきた。

物理錠は年々高度になり、電子ロック・電磁ロックなど外部侵入を極めて困難にし、施設に設置された物理錠を破壊して侵入することは難しい堅牢性を持つようになってきた。

しかし、物理錠を開錠するために本人が持参する鍵が盗難されたものであろうと、偽造されたものであろうと、つまり本人でなくても、それを所持してさえいれば個人認証が可能となり、特定領域の入退室やその内部の機器の使用が可能となってしまう。

暗号や暗証などのＰＩＮ（ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）コードにおいても、それが漏洩されたものであろうと、本人のＩＤや暗証番号等を知ってさえいれば、本人でなくても個人認証が可能となり、施錠された特定領域の入退室やその内部の機器の使用が可能となってしまう。特に暗証鍵の場合、ＩＤや暗証番号を記憶しやすくするため、誕生日や電話番号等、本人に属するデータを登録したり、それらをメモに残したりすることが多いため、そのデータが他人に漏洩する危険性は非常に高く、誤った個人認証がなされやすい。

従来のシステムにおいては、より高度なセキュリティとするために鍵の複雑化や２重、３重、４重の暗号、パスワード、暗証番号の利用などを行って、セキュリティの高度化をはかっていたが、複雑化により設定のリセットや本人が鍵を喪失したり、暗号認証番号などを忘れた場合、その回復に時間がかかったり回復できなかったりする状況が生じている。また、セキュリティシステムがより複雑になるため、コスト、維持費が高額になったり、設備などへの設置が複雑になったりなどの不都合が生じている。

これらを根本的に解決したのが本人の人体の特徴を認証照合に利用する生体認証である。これら生体認証は本人しか持ち得ない生体の一部を利用するため盗難や偽証がありえないし、また紛失することもない。

これら生体認証はあらかじめ本人の生体部分の情報を登録しておき、その登録された生体データと本人との照合を行うものである。この生体認証が提案され、極めて高度でセキュリティの高い本人認証が可能となってきている。

また、これら生体認証に他の暗号コードやＰＩＮ番号を組み合わせて、より高度な本人認証システムを構築する方法やシステムも提案されている。さらに、施設・場所への入室、退室にあわせその内部の施設機器の操作や使用を同時に管理する方法も種々提供されてきた。

しかし、生体認証が用いられるシステムにおいても、本人の不正アクセス、本人が間違って、または不作為に入室・退室または機器の操作をしたり、本人が生体認証を悪用して悪人化したり、他人から脅迫されてシステムを不本意に入室・退出することは防げないという問題があった。これらの状況は生体認証鍵や物理鍵の高度セキュリティ化の向上というより入室・退室のセキュリティ管理システム環境の問題としてとらえる必要がある。

また、生体認証を使用する場合、生体認証登録した個人データは個人情報として厳格に管理することが求められる。しかし、生体認証個人データが厳格に管理できる環境を備えた管理センターやデータセンターなどでは集中管理が行われ、個人データの流出、漏洩、不正利用などの問題が生じなくても、それらの個人データを都度利用する現場や移動環境においては管理が比較的おろそかになり問題が生じがちであった。

一般的に入室・退室や機器・システムへの操作を厳格に管理し、本人以外の非本人のアクセスを制限または拒否するセキュリティシステムには各施設の扉・ドアである入口・出口に錠が設けられ、内部への不正侵入を防いでいる。このようなセキュリティ管理が要求される施設や領域（以下「特定施設」という）としては、金銭、貴重品、機密情報、危険物、などを扱う施設や場所またはテロ防止を要求される施設である。一例として、金融会社のＡＴＭ設置場所、空港、計算センター、企業や大学の研究所、原子力発電所、疫学研究所、危険物管理施設等種々の施設や場所が挙げられる。

これら特定領域のセキュリティ管理システムとしては、個別の鍵により関係者以外の立ち入りを制限し、鍵のセキュリティレベルを向上させることで非本人の侵入や間違った施設内の機器操作などを防止することが行われている。

近年、セキュリティの高度化のため生体認証をセキュリティ手段として利用する環境が整い、予め本人の生体の一部を登録し生体認証を実行するシステムが増加している。また、そのようなセキュリティ専門管理会社や警備会社においては各特定領域をネット回線で結んで一括集中セキュリティ管理が行われるようになってきている。

ここで、生体認証とは、生体、つまり人の指紋，虹彩，声紋、顔、掌形、サイン、網膜パターン、指や手のひらおよび手の甲の静脈等の特徴を用いて個人を認証することをいう。これらは人それぞれ異なり、また長期にわたり変化がないことから、本人の特定（個人認証）に利用可能であり、これらの生体の特徴を利用して照合を行う認証のことである。この生体認証システムとしては、本人が固有に有する指紋，虹彩，網膜パターン、指や手のひらのおよび手の甲の静脈等の特徴を予め登録しておき、利用する際それらの生体としての特徴を照合することで本人を識別するものである。

この生体的特徴は、生体が独自にもつ、また生体から分離されないものであることから、基本的には盗難，偽造あるいは漏洩等は生じない。したがって、このような生体認証を開錠用鍵として用いれば高いセキュリティが得られることになり、特定領域への入室・退室のための個人認証に用いて極めて有効であると共に、常時本人に付帯している鍵であり、物理的な鍵のように置き忘れがなく、また盗難されたり、紛失したり、コピーされたりする可能性は極めて低い。さらに、暗号鍵やＰＩＮコードと比較しても盗まれたり、本人が忘れたり、間違ったりすることもありえない。つまり、生体認証によるセキュリティ管理システムにおいては鍵そのものとしてはかなり高度のセキュリティが確保できるようになってきている。

次に、特定領域に入室・退室するアクセスを許容された利用者としては、施設内の機器利用者（ユーザ）、施設や機器の管理者または保守点検業者、機器利用料などの金銭回収業者など種々の階層に亘ることがある。

銀行のＡＴＭシステムを例にとると、一般顧客であるユーザはＡＴＭの設置されている特定領域でＡＴＭ機器を利用して金銭の出し入れを行い、ＡＴＭの保守管理者は日常的に必要に応じてＡＴＭ機器の管理保守を行ったり備品などの補給をおこない、また金銭回収業者は各ＡＴＭ機器から金銭の回収を行ったりする。

また、アクセスを許容されない者としては、基本的に本人のなりすましを含め上記のアクセス許容された者以外が該当するが、アクセスを許容された者であっても本人が間違って機器を操作した場合、操作許容時間帯以外で操作する場合、第三者からの脅迫により開錠させられる場合、本人が許容された範囲を超えて機器の操作を行う場合、本人が悪人化する場合、などが考えられる。
特開２００６−５３８０８号公報

これら生体認証を用いた入室・退室の高度セキュリティシステムにおいて不正アクセスを防止し、かつ本人の錯誤や意図しないセキュリティ施設内の機器操作や利用を出来る限り防止し、本人自身の入室・退室であっても、脅迫による場合、錯誤や誤って入室・退室する場合など本人の意図に反する入室・退室を防止することが望ましい。

また、個人情報である生体認証登録用個人データの流出、漏洩、不正利用を利用する現場や移動環境において回避することが望ましい。

さらに、特許文献１は、サービス端末装置側での携帯無線端末機器に予め生体認証などを予め登録しておき、その生体認証などの識別情報に基づいてサービス端末装置の識別情報を取得し、同時に時刻情報を取得し、両方の情報を管理サーバに送り正当性判断を受け、管理サーバから鍵情報を取得する。

その後、この鍵情報と時刻情報に基づいて作業者の正当性判断をサービス端末装置において行い、真に正当な作業者のみによるサービス端末装置の保守作業を可能とするものである。

しかしながら、引用文献は、予め登録された生体認証データを格納した携帯と保守作業を行う決済端末のリーダー・ライターとの認証処理を一旦行った後で、識別情報や鍵情報と同時に時間情報(access time)を送付し、この時間情報が正当かどうかの判断をおこなうものであり、一旦開錠し操作が開始されるとその後の時間枠設定は行っていない。

つまり、この方式では開錠条件のみが満足されればサービス端末装置が操作可能となるだけである。

作業者の識別情報や時間情報により初期条件が満足され作業者の生体認証データが管理センタから端末装置へダウンロードされる場合、生体認証データはなるべく短時間に生体認証照合が実施される必要があり、また、何らかの事情により生体認証照合が実行されない時などは異常事態として一定時間内に照合が拒否されるか端末装置での操作が拒否される必要がある。

つまり生体認証データを端末装置への登録時間はセキュリティの観点から出来るだけ短時間に設定するのが望ましい。

本発明は、開錠の実際の時間を他者に知られることなく、かつ作業者の本人確認のための生体認証用データが極力短時間に限定されて端末機器に遠隔地点の管理センター等からダウンロードされる高度なセキュリュテー管理システムを得ることを目的とする。

本発明のセキュリティ管理システムは、作業者の生体認証登録用コンピュータシステムと、特定施設の特定機器を開錠する特定施設のコンピュータシステムとを通信ネットワークで接続し、前記特定施設のコンピュータシステムは、入力された生体情報と登録されている生体情報とが一致したとき前記特定機器を開錠させるセキュリティ管理システムである。

前記生体認証登録用コンピュータシステムは、
前記特定施設の特定機器の開錠を行う作業者の生体情報、該作業者の前記特定機器の開錠が可能な作業可能日時帯及び前記作業者並びに前記特定機器の識別情報を含んだ作業者スケジュール情報を記憶した第１の記憶手段と、
時間を計測する第１の計測手段と、
第１のコンピュータは、
前記特定施設のコンピュータシステムから前記特定機器を開錠するための作業者の開錠要求情報を受信したとき、前記第１の計測手段を起動させる手段と、
前記受信した開錠要求情報に含まれている前記識別情報を含む作業者スケジュール情報が前記第１の記憶手段に記憶されているかどうかを検索する手段と、
前記第１の計測手段の現在の計測時間が、この検索した前記作業者スケジュール情報の前記作業可能日時帯を満たしているときは、前記第１の記憶手段の生体情報を前記特定施設のコンピュータシステムに送信する手段と、
を備える。

前記特定施設のコンピュータシステムは、
第２の記憶手段と、
設定されている開錠時間を計測する第２の計測手段と、
当該特定施設の前記特定機器を開錠させるために前記識別情報を含む開錠要求情報を入力させるための入力手段と、
生体情報を取得するための生体情報取得手段と、
第２のコンピュータは、
前記入力手段からの開錠要求情報を前記第２の記憶手段に記憶すると共に、該開錠要求情報を前記管理センターのコンピュータシステムに送信する手段と、
前記開錠要求情報を送信した後に、前記管理センターのコンピュータシステムから前記生体情報を受信したとき、該生体情報を前記第２の記憶手段に記憶すると共に前記第２の計測手段を起動させる手段と、
前記生体情報取得手段からの生体情報と前記第２の記憶手段に記憶されている前記管理センターのコンピュータシステムからの生体情報とが一致したときに、当該特定施設の特定機器を開錠許可する手段と、
前記第２の計測手段が前記一定時刻を計測したとき、前記第２の記憶手段の生体情報及び開錠要求情報を削除する手段と
を備えたことを要旨とする。

以上のように本発明によれば、作業者が特定機器を開錠する開錠要求を入力したとき、この開錠要求情報が遠隔地点の生体認証登録用コンピュータシステム（管理センタ等）で管理している作業者固有の許可時間かどうかを判定し、許可時間内の場合に、遠隔地点にある管理センターから作業者の生体情報を特定機器の施錠ユニットに送信させて、生体認証目的に最小限必要な期間だけ店側の特定機器の施錠ユニットに生体認証データを保持させ、生体認証照合が完了すると照合に必要となるデータは消滅する。

このため、開錠の実際の時間を他者は知らないので、何等かの方法で他者が特定機器を開錠するための識別情報を得て、特定機器を開錠させようとしても、開錠を許可しないので、高度のセキュリティ管理ができる。

また、作業者の本人確認のための生体認証用データが極力短時間に限定されているので、個人情報に関連するデータの流出、流用、漏洩を効果的に防止することができる。

従来システムでは不都合であった、本人認証に用いられる物理鍵，暗号・暗証・ＰＩＮ番号などの数値鍵による特定施設への入退室やそのような施設内の機器使用に対して充分な管理を行い得ないという問題点と、生体認証を用いたシステムにおける本人の意図しない入室・退室および本人の悪人化の防止を出来るだけ配慮したシステムを構築し、生体認証登録における個人情報流出に配慮したシステムとするのが望ましい。

＜実施の形態１＞
図１は、本発明における特定施設への入退室、及び特定機器の操作を可能とする鍵を管理するセキュリティ管理システムの概要を示す図である。

本発明におけるセキュリティ管理システムは、鍵所有会社のコンピュータシステム１と管理センターのコンピュータシステム２と複数の店舗ＡＴＭ３とを通信ネットワーク４で接続したシステムである。

管理センターのコンピュータシステム２は、鍵の固有コードを記録する固有コードデータベース２２と、鍵の使用可能時間枠等のスケジュール情報を記録するスケジュール管理データベース２５を含む制御ユニット２００を具備する。

また、店舗ＡＴＭ３は、鍵の使用時に鍵の認証を行い開錠を行う特定機器３０７と、施錠ユニット３００等により構築されている。

また、鍵所有会社のコンピュータシステム１は、作業者の各種情報を入力する入力手段１５と、登録ユニット１４等で構成されている。

前述の鍵の固有コードとして、作業者１１、１２、１３のＰＩＮ番号、暗号、および暗証番号（パスワード）のいずれか、またはその組み合わせを用いるのが一般的である。

ここでは、固有コードにさらに生体認証コードを含めるものとし、登録ユニットおよび施錠ユニットにセンサを接続したセキュリティ管理システムを、図２を参照しながら説明する。

（鍵所有会社１の登録ユニット１４）
鍵所有会社１に設置された登録ユニット１４には、各自の生体認証登録を行うために、第１のセンサ１５が接続される。この第１のセンサ１５は、指紋，虹彩，網膜又は指や手のひらの静脈、手の甲の静脈等のパターンを検出するセンサであることが望ましい。

登録ユニット１４は、図２に示したように、第１のセンサ１５が接続された読み取り部１５１と、データ処理部１５２、コーディング部１５３、暗号化部１５５、及び第１の通信部１６等によって構成される。

このほかに、図示していないが、作業者１１、１２、１３のＰＩＮ番号、暗号、および暗証番号などの固有コードや氏名などの個人情報を入力するためのキーボードなどの入力部も含まれる。

読み取り部１５１は、第１のセンサー１５で撮影された生体の画像を、パターン画像信号に信号化する。パターン画像信号はデータ処理部１５２へ送られる。

データ処理部１５２は、取り込まれた情報（指紋、虹彩、手の静脈などの画像データ）のパターン画像信号を特徴点処理やフィルタリングを行い、生体認証に適した形態に正規化する。

コーディング部１５３は、生体認証に適した形態に正規化されたパターン画像信号をアルゴリズム処理し、さらにデジタル信号化し、コード化された生体認証データ１５４として出力する。

さらに、生体認証データ１５４に追加して、必要に応じてＰＩＮ番号、暗号、および暗証番号（パスワード）などの固有コードをまとめ、最終的な固有コードとすることもできる。そして、最終的な固有コードと共に作業者の名前などの付属情報、および勤務可能日程などを含めた生体認証データ付属情報２０とする。

この際に、ファイアーウォール・暗号部１５５において暗号化され、通信ネットワーク４での信号漏洩や情報流出を防ぐ工夫を施す。しかし、この暗号化プロセスは生体認証が高度セキュリティで保護されているため、高度なもしくは特別な暗号化が求められることは無く、通常の暗号化（スクランブル化など）で十分である。

第１の通信部１６は、生体認証データ付属情報２０を、ＶＰネットワークなどの通信ネットワーク４を介して管理センタ２に送信する。
（管理センタ２の制御ユニット２００）
管理センタ２の制御ユニット２００は、前述した鍵の固有コードを記録する固有コードデータベース２２と、鍵の使用可能時間枠等のスケジュール情報を記録するスケジュール管理データベース２５のほかに、デコーダ部２４、スケジュール構築部２６、時計枠設定部２７、照合部２０３、および記録・ログ部２０４を含む。さらに、制御ユニット２００はコンピュータ上に構築されるため、ＣＰＵ２０１、入力操作部２０２、および制御部２０５という一般的にコンピュータが具備する手段も有する。

また、制御ユニット２００は、鍵所有会社１の登録ユニット１４と通信するための第２の通信部２３と、特定地域３の施錠ユニット３００と通信するための第３の通信部２８を含む。

第２の通信部２３は、通信ネットワーク４を介して鍵所有会社１の登録ユニット１４から送信されてくる生体認証データ付属情報２０を受信すると、そのままデコーダ部２４に渡す。

デコーダ部２４は、ファイアーウォール機能を含み、鍵所有会社１の登録ユニット１４の暗号化部１５５にて暗号化された生体認証データ付属情報２０を復元する。

復元された生体認証データ付属情報２０のうちで、生体認証コード１５４および作業者１１、１２、１３に付随する固有コード（鍵の固有コード）などの情報は固有コードデータベース２２に格納される（図４参照）。

一方、作業者１１、１２、１３の勤務可能日程など作業者固有の付属情報で無い情報はスケジュール管理データベース２５に格納される（図４参照）。

これにより、各地域に存在する複数の鍵所有会社１から送られてくる、複数の作業者１１、１２、１３の固有コードおよび付属情報が、生体認証データベース２２およびスケジュール管理データベース２５内に格納され、管理センター２にて集中管理される。

スケジュール構築部２６は、各地の鍵所有会社１の作業者１１、１２、１３の鍵の使用スケジュール管理を行う。例えば、各店舗やＡＴＭの現金回収のスケジュールを独立して設定する。

具体的には、スケジュールに必要な所定のデータを入力操作部２０２より入力し、鍵所有会社１の登録ユニット１４から送信されてくる作業者１１、１２、１３の勤務加可能日程と各店舗やＡＴＭの運用状況などを勘案し、作業者の選定、各店舗やＡＴＭの巡回順番や作業日時をスケジュール管理データベース２５にプログラム設定する。

また同時に、時間枠設定部２７は、作業者１１、１２、１３が特定領域および特定機器にアクセス可能な時間枠をスケジュール管理データベース２５に設定する。

例えば、巡回すべき最初のＡＴＭの開錠・操作時間枠がプログラム設定されるが、この巡回プログラム設定は、作業者１１、１２、１３も、店舗も、巡回順も定常的に決められたものでなく、その都度、特定スケジュール設定者（責任者）により任意に行われるか、ランダム設定により行われる。

しかし、状況によっては、各鍵所有会社１からのスケジュール設定に基づき作業者や巡回店舗は特定されるものの、作業者の中で誰が開錠者となりうるか、店舗の巡回順、および巡回時間の詳細は管理センタ２のスケジュールプログラム設定に準拠する。

照合部２０３は、作業者１１、１２、１３が、実際に特定地域３に入室しようとする際や、特定機器を操作しようとする際に、そこに具備された、後に説明する施錠ユニット３００から作業者１１、１２、１３の入力によって通信ネットワーク４を介して送信され、第３の通信部２８で受信されるＰＩＮ番号２９ａ等の固有コード（以下施錠ユニットで入力された固有コード）と、予めスケジュール構築部２６によってスケジュール管理データベース２５に設定されたＰＩＮ番号等の固有コードに合致するかどうか照合する。

また、照合部２０３は、同時に、作業者１１、１２、１３がＰＩＮ番号を入力する際に、その時の時刻が施錠ユニット３００から通信ネットワーク４を介して送信され、第３の通信部２８で受信されるため、その時刻が予め時間枠設定部２７で設定された時間枠に合致するかどうかも照合する。

さらに認証データとして、特定地域を特定する場所認証コードと、特定機器を特定する機器認証コードを設定して、認証を行うことが好ましい。以下、場所認証コードと機器認証コードを含めて固有コードという。

記録・ログ部２０４は、施錠ユニット３００とのデータのやりとりを時刻とともにスケジュール管理データベース２５に記録していく。ただし、運用上、スケジュール管理データベース２５ではなく、別の記憶装置を接続して、記録しても構わない。

制御部２０５は、登録ユニット１４や施錠ユニット３００とのデータのやりとりのシーケンスを制御したり、データベースの作成や削除の際の整合性を確保するために制御したりする。

ＣＰＵ２０１は、一般的な中央処理と同様に各部の処理を実際に行うものである。

第３の通信部２８は、通信ネットワーク４を介して施錠ユニット３００と情報の送受信を行う。

図４に、固有コードデータベース２２とスケジュール管理データベース２５に含まれるデータを示す。

固有コードデータベース２２には、個人を特定する認証データとして、作業者氏名、生体認証コードおよびその他作業者に関連する情報などが記録される。

一方、スケジュール管理データベース２５には、作業者勤務可能日程、場所認証コード／機器認証コード（機器ＩＤ）、時間枠、店舗情報、回収日程表など、鍵を使用する場所や日時をスケジュールするために必要な情報が記録される。

ただし、図４に示した情報をすべて記録することを表すものではなく、これらの情報のうち必要な情報のみを記録すればよいし、さらに必要な情報がある場合は、追加して記録しても構わない。

（特定領域３の施錠ユニット３００）
特定領域（特定機器）３に具備される施錠ユニット３００は、管理センター２の制御ユニット２００と通信ネットワーク４を介して接続するための第４の通信部３０と、第４の通信部３０に接続された入力部３０６とデコーダ部３０１と、デコーダ部３０１に接続された生体認証コード抽出部３０２と、第２のセンサ３０７に接続された読み取り部３０８と、読み取り部３０８に接続されたデータ処理部３０９と、生体認証コード抽出部３０２とデータ処理部３０９に接続された生体認証照合部３０３とを含む。

さらに、デコーダ部３０１に接続された機器・時間データ抽出部３０４と、機器・時間データ抽出部３０４に接続されたタイマ３１１と機器ＩＤ照合部３０５をさらに含む。

生体認証照合部３０３、タイマ３１１、および機器ＩＤ照合部３０５は、電気錠３１０が接続される。

また、第４の通信部３０に接続されたデータ消去部３１２は、各照合用データを一時的に記憶している生体認証照合部３０３、タイマ３１１、および機器ＩＤ照合部３０５にも接続されている。

ここで、入力部３０６は、作業者１１、１２、１３がＰＩＮ番号２９ａなどを入力するためのテンキーなどである。

デコーダ部３０１は、制御ユニット２００から通信ネットワーク４を介して第４の通信部３０が受信する生体認証データと機器ＩＤと時間データの一括認証情報２９ｂを復号化する。

生体認証コード抽出部３０２は、デコーダ部３０１が復号した情報から生体認証データのみを抽出して、生体認証照合部３０３に渡す。

第２のセンサ３０７と、そこに接続された読み取り部３０８と、データ処理部３０９は、登録ユニット１４に接続された第１のセンサ１５と、その第１のセンサ１５に接続された読み取り部１５１と、データ処理部１５２と同様の処理を行い、データ処理部３０９で生成された生体認証データは、生体認証照合部３０３に渡させる。

生体認証照合部３０３は、生体認証コード抽出部３０２とデータ処理部３０９から入力されたそれぞれの生体認証データを照合する。

一方、機器ＩＤ・時間データ抽出部３０４は、デコーダ部３０１が復号した情報から機器ＩＤ（または地域ＩＤ）、および時間データを抽出し、それぞれ機器ＩＤ照合部３０５とタイマ３１１に渡す。

機器ＩＤ照合部３０５は、入力部３０６から作業者１１、１２、１３によって入力される機器ＩＤと、機器ＩＤ・時間データ抽出部３０４から入力された機器ＩＤを照合する。この機器ＩＤはＭＡＣアドレスやＧＬＯＢＡＬ ＩＰ アドレスなどを割当てて構築することが可能である。

タイマ３１１は、生体認証コードがダウンロードされるのと同時に、機器ＩＤ・時間データ抽出部３０４から時間計測トリガーデータを入力されると、時間枠のカウントを開始する。

このタイマ３１１による計測は、作業者が生体認証照合を実行できる時間枠を設定する。つまり、作業者が管理センタにより設定された時間枠内で生体認証照合を実行できない場合、アラートが出され生体認証照合が不可能となる。また、このタイマ３１１は生体認証照合時間を制限すると共に、開錠からの時間を計測し、作業者１１、１２、１３の操作時間枠を設定するようにすることもできる。この時間枠は、作業者１１、１２、１３が閉錠操作を忘れたり、何らかの理由により閉錠できなかったりした場合に、自動的に閉錠し、事故を防止するために設定される。

電気錠３１０に接続された生体認証照合部３０３、機器ＩＤ照合部３０５、およびタイマ３１１は、照合が正しくなかったり、異常が発生したりした場合に、電気錠３１０を自動的に閉錠し、事故を防止する。

また、図２では電気錠３１０を図示してあるが、電気錠３１０に代わって機器の操作パネルを接続し、操作パネルからの入力を可能にしたり、不可にしたりしてセキュリティを確保しても構わない。

作業が完了し、作業者１１、１２、１３が閉錠操作を入力部３０６から行い、電気錠３１０が閉錠すると同時に、第４の通信部３０を介して管理センタ２へ作業完了通知がされる。作業完了通知を受け、管理センタ２からは生体認証用データを含むダウンロードされたすべての照合用データを消去する指示が施錠ユニット３００に通知される。その指示により、データ消去部３１２は、生体認証照合部３０３、タイマ３１１、および機器ＩＤ照合部３０５が一時的に記憶しているすべての照合用データを消去し、施錠ユニット３００には一切の照合用データは蓄積されない。

さらに、図３は、本発明の実施の形態の具体例の１つとして、警備会社１ａによるＡＴＭ３ａ、３ｂ、３ｃの警備管理システムへの応用例を示す。

図３において、鍵所有会社１として警備会社１ａは各地域に分散しており、管理センター２がそれらを通信ネットワーク４を介して統括管理している。警備会社１ａは、特定領域（特定機器）３として、その管轄地域に分散する各店舗網５のＡＴＭ３ａ、３ｂ、３ｃを管理・操作する。管理センター２は各店舗網５と通信ネットワーク４で接続し、各店舗網５の開錠・閉錠、警備、記録（ログ）、セキュリティ管理が統括できるように構築されている。

警備会社１ａは、各ＡＴＭの設置場所である店舗網５の近くに位置し、作業者あるいは警備員が運用・作業を迅速に処理すると共に、非常時・緊急時に該当する店舗やＡＴＭに短時間で移動できることが重要である。

警備会社１ａにおいてＡＴＭの操作、金銭回収を行う作業者１１、１２、１３は、予め登録ユニット１４に接続された第１のセンサ１５を介して作業者個人の固有コードを登録しておく。ここで個人の固有コードとはＡＴＭ３ａ、３ｂ、３ｃにおける錠の開錠条件の一つとなるもので、作業者固有の暗号、暗証、ＰＩＮ番号などでもよいが、高度セキュリティシステムにおいては作業者本人の生体の一部を用いる生体認証照合システムとして構築するのが望ましい。

つまり、人の指紋，虹彩，網膜パターン、指や手のひら、手の甲の静脈等の個人固有の特徴を鍵の照合条件とするために登録しておく。これら作業者の個人固有コードは作業者本人のみに与えられた固有のものであり同一コードの登録はありえない。

個人固有コード登録機１４に登録されたデータはモデム１６などの手段により通信ネットワーク４を経由して管理センター２のデータベース２２に格納される。

通信ネットワーク４は、インターネット、電話回線、各種無線通信、有線、ＬＡＮ、ＷＡＮなど種々の手段で達成されるが、セキュリティの確保を厳格に行う必要がある。そのため各通信回線はセキュリティの確保されたクローズな通信データ回線網ＶＰＮなどが望ましい。

管理センター２に集約された作業者個人の固有コードは、管理センター２内の固有コードデータベース２２で集中管理される。これら作業者１１、１２、１３の固有コードは管理センター２によってのみ管理され、警備会社１ａにおいては作業者１１、１２、１３の固有コードデータを登録し、管理センター２に送信するのみで、警備会社１ａに固有コード自体は残らない。

管理センター２においては、各地域に分散している店舗網５に含まれるＡＴＭ３ａ、３ｂ、３ｃにおける施錠ユニット３００ａ、３００ｂ、３００ｃと通信ネットワーク４を介して操作可能なように接続されている。

通信ネットワーク４は、前述の警備会社１ａと管理センタ２との通信網と同様にいかなる通信形態でもよいが、出来るだけセキュリティが確保されるシステムであることを条件とする。

また、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃは、先に登録した警備会社１ａの作業者１１、１２、１３の個人固有コードと合致することを条件として開錠されるものであり、そのシステムが生体認証照合を採用している場合は、作業者が予め登録した、指紋，虹彩，網膜パターン、指や手のひら、手の甲の静脈等を示すパターン画像やそのデジタル信号の特徴点などがアルゴリズム処理されたコード、いわゆる生体認証コードとの照合が行われるシステムを備えている。

また、本発明において、管理センター２は特定領域におけるＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃの開錠条件を、通信ネットワーク４を介して種々設定できる権限を有しており、端末を設置している店舗側での開錠条件の設定は基本的には出来ない構成となっている。

管理センター２が設定する開錠条件は、特定領域の個別のＡＴＭ毎に個別設定が集中管理として可能であり、作業者１１、１２、１３の個人固有コード条件の他に、ＡＴＭ３ａ、３ｂ、３ｃの所在する特定領域の地域コード条件、開錠・施錠可能となる時間条件、店舗に設置している特定機器のＩＤ（識別コード）条件、および都度設定可能なオプション条件を追加することも出来る。このオプション条件とは、その時々に追加される暗号、暗証、ＰＩＮ番号などの固有コードであり、緊急時などに急遽設定することも可能な構成となっている。

特定領域の各ＡＴＭ３ａ、３ｂ、３ｃの金銭回収や運用・保守操作を行う場合、管理センター２から各店舗またはＡＴＭ３ａ、３ｂ、３ｃに設置された施錠ユニット３００ａ、３００ｂ、３００ｃに開錠条件の設定が個別に行われる。

例えば、作業者Ａ１１と作業者Ｂ１２とが２人でＡＴＭ−Ａ３ａ、ＡＴＭ−Ｂ３ｂ、ＡＴＭ−Ｃ３ｃで金銭回収する場合、その回収ルート、回収時間はそれぞれの到着時間や操作時間のスケジュールに沿って設定される。開錠作業者の個人固有コードの別（誰がどのＡＴＭを操作するか）、あるいは緊急事態での暗証、追加暗号などの条件が設定され、開錠条件を示す信号として通信ネットワーク４を介し各ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃに都度送られる。

つまり、特定領域における錠側には認証用の各種データが常時設定されているわけでなく、開錠が求められる必要な時点でのみ、その都度管理センター２側から各ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃ側に必要なデータが通信ネットワーク４を介して送られる。

警備会社１ａの作業者１１、１２、１３は、スケジュールに沿って各ＡＴＭ３ａ、３ｂ、３ｃを巡回し、まず最初のＡＴＭの施錠ユニットにその巡回日に割り当てられたＰＩＮ番号などの暗証を入力すると、管理センター２でＰＩＮ番号照合や設定時間枠照合が行われ、照合が完了するとＡＴＭ端末の施錠ユニット３００ａ、３００ｂ、３００ｃに個人認証用データがダウンロードされ、個人認証用データによる本人認証を行う（本人認証確認プロセス）。

次に機器ＩＤ（識別コード、または店舗コードなどの地域コード）を施錠ユニット３００ａ、３００ｂ、３００ｃに入力し、操作すべき機器である旨を確認すると共に、作業者の巡回する順番や地域の確認作業を行う（機器認証確認プロセス）。オプション暗証などが設定されている場合はオプションの暗証確認を行う。

もし、誤った作業者が操作したり、設定された作業者以外の者が操作しようとしたりした場合は個人固有コードの認証での本人確認が不可となり開錠はできない。もし、作業者が巡回ルートを間違えたり、特定された場所でなかったりした場合は、店舗コード、地域コードなどの機器ＩＤ確認により照合が不可となり、開錠できない。

さらに、開錠の条件として時間枠が管理センタ２側で設定されているため、所定の時間にならなければ開錠できないし、時間枠内以外の操作は無効となり、個人固有コードによる本人認証確認と、操作機器・ルート・場所・認証確認の条件が合致しても開錠することはない。

このことは、管理センター２以外にはこの開錠の時間条件がわからないため、設定時間枠以外の機器操作や不正利用を排除することが可能である。また、作業者１１、１２、１３が閉錠操作を忘れたり、何らかの理由により閉錠できなかったりした場合、所定時間枠が過ぎれば錠は強制的に閉錠する。

また、上記ルート設定に決められた所定のスケジュールに合致しない事故や不測の事態が生じた場合、本人以外の作業者が操作しようとした場合、脅迫などにより本人であっても開錠したくない場合など異常時操作または不正操作として開錠を不可能にする。

本人認証確認プロセス、機器認証確認プロセスが完了し、照合が合致すれば、ＡＴＭの錠（または扉）が開錠され、本人による機器の操作が可能となる。作業者１１、１２、１３はＡＴＭ３ａ、３ｂ、３ｃでの金銭回収、補充、機器保守・点検などを行う。

作業が完了すれば閉錠する。錠が閉錠すれば、管理センター２に通知され、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃにダウンロードされた作業者１１、１２、１３の個人の固有コードを含む各種照合用データはすべて消去される。

上記の手段に追加して、各店舗のＡＴＭ３ａ、３ｂ、３ｃには異常事態通知ボタンやテンキーと連動して異常事態通報手段、緊急連絡手段が設置されており、脅迫や異常事態を通報できるようになっている。

ここで、図２のブロック図をあてはめながら、図３の警備管理システムでの巡回中の認証手順を再度詳細に説明する。

なお、巡回中の認証手順の説明では、以下の説明に限らず、作業者１１、１２、１３とは、図示してある３名の作業者１１、１２、１３のいずれか１名を意味し、３名全員を示すものではない。また、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃとは、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃのいずれか１台の機器を意味し、図示してある３台のＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃと同時に情報のやりとりを行うものではない。

一旦、巡回プログラムが管理センタ２において設定されると、警備会社１に巡回開始時刻、作業者名、当日の暗証番号（またはＰＩＮ番号）、および巡回すべき店舗（ＡＴＭ）などの巡回情報２５ａが通知される。この時点で、各店舗やＡＴＭ側には何らの本人照合データや鍵情報は伝えられていない。

作業者１１、１２、１３が、所定の時刻に店舗やＡＴＭ設置場所に到着し、当日の指定されたＰＩＮ番号（暗証番号）２９ａがＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃにある入力部３０６に入力されると、ＰＩＮ番号２９ａは、第４の通信部３０を介して管理センター２の制御システム２００に照会用に送信される。管理センター２の制御システム２００の照合部２０３において、受信したＰＩＮ番号２９ａが予めスケジュール構築部２６で設定された当日のＰＩＮ番号に合致するかどうか照合される。また、同時に照合部２０３においては、予め時間枠設定部２７で設定された時間枠に合致するかどうか照合される。

ＰＩＮ番号照合および時間枠照合が完了し、それらの条件を満足すると、ＡＴＭ３ａ、３ｂ、３ｃの機器ＩＤ（識別）データ（または店舗などの場所コード）および登録された作業者１１、１２、１３の認証用個人固有データ（以下「開錠条件データ」）などの認証情報群２９ｂが、第３の通信部２８から通信ネットワーク４を経由して、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃへ送られる。

上記、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃへ送付される開錠条件データには、開錠時間を計測する時間枠データも同時に送信し、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃ側での時間枠を管理することも可能である。この時間枠データがＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃへ送付されない場合、管理センター２側で開錠時間枠を計測し、時間枠の設定管理することも可能である。

ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃ側では、第４の通信部３０で受信した信号をデコーダ部３０１で復号化し生体認証コード抽出部３０２で送付された信号から作業者の生体認証個人固有コードを抽出する。抽出された生体認証コードは生体認証照合部３０３へ送られる。

一方で、ＡＴＭ３ａ、３ｂ、３ｃの機器ＩＤ（または店舗などの地域）データおよび時間枠データは機器・時間データ抽出部３０４へ送られ、時間データと機器データが抽出される。抽出された時間データはタイマ部３０７へ送られ、時間枠をカウント開始すると共に、さらに抽出された機器ＩＤ（または地域）データは機器ＩＤ照合部３０５に送られる。

作業者１１、１２、１３は機器ＩＤ（または店舗番号）をテンキー入力部３０６から入力する。入力された場所コードは管理センターから端末コントローラにダウンロードされ、デコーダ部３０１で復号化され、機器・時間データ抽出部３０４において抽出された機器ＩＤデータと機器ＩＤ照合部３０５において照合される。

また、管理センターから送られた時間データによりタイマ３０９を起動し、開錠からの時間を計測し、作業者１１、１２、１３の操作時間枠を設定する。しかし、警備訓練された作業者１１、１２、１３の所定操作に要する操作時間を作業単位毎に設定しておき、当日必要な作業手順と作業時間を管理センター２で割り出してより詳細に設定することも可能である。この時間枠が店舗の扉またはＡＴＭ機器の操作可能時間帯である。

さらに、作業者１１、１２、１３は、生体センサー３０７にて作業者１１、１２、１３の生体を読み取らせその信号を読み取り部３０８へ入力する。入力された生体データは先の登録時の信号処理と同様な処理が行われる。つまり、データ処理部３０９にて取り込まれた情報（指紋、虹彩、手の静脈などの画像データ）が特徴点処理やフィルタリングなどを行い、アルゴリズム処理され、デジタル信号化され、コード化された信号として出力され、生体認証照合部３０３に送られる。

生体認証照合部３０３では、管理センタ２に登録されている生体認証コードと照合され、作業者１１、１２、１３が本人かどうかの確認を行う。

これら一連の確認・照合作業により、機器ＩＤコード（または店舗などの地域コード）、時間枠条件、生体認証による本人認証のすべてが照合され合致すれば電気錠３１０が開錠される。いずれかの照合が出来なかった場合は、当然電気錠は開錠しない。

作業が完了し、作業者１１、１２、１３が閉錠操作を入力部３０６より行うと、電気錠３１０が閉錠し、同時にネットワーク送受信部３０を介して管理センターへ通知される。管理センターからは生体認証用データを含むダウンロードされたすべての照合用データを消去する指示が通知され、端末には一切の照合用データは蓄積されない。

図５は、前述の実施例における警備会社１ａ、管理センタ２、店舗ＡＴＭ３ａ、３ｂ、３ｃ間の処理を示す図である。

警備会社１ａにある登録ユニット１４で作業者１１、１２、１３は生体認証登録（手の甲、指紋等）を行い、その固有コードは登録ユニット１４によって管理センタ２に送信され、制御ユニット２００によって固有コードデータベース２２に登録される（Ｓ４０１）。

管理センタ２の制御ユニット２００では、作業者１１、１２、１３の生体認証データと作業者スケジュールと関連させて固有コードデータベース２２とスケジュール管理ＤＢ２５に記憶して集中管理しており、制御ユニット２００は、この受信した固有コードに対応する作業者スケジュール（巡回日、作業者名、巡回先等）を警備会社１ａに通知する（Ｓ４０２）。

このステップでは、作業者１１、１２、１３に対し、巡回日当日のＰＩＮ番号が同時に通知される。

作業者１１、１２、１３は指定された最初のＡＴＭ３ａ、３ｂ、３ｃへ巡回を開始する（Ｓ４０３）。作業者１１、１２、１３は、まずＡＴＭ３ａ、３ｂ、３ｃにおいて当日指定されたＰＩＮ番号を入力する。その入力データは管理センター２へ通知される（Ｓ４０４）。管理センター２では通知されたＰＩＮ番号の照合を行う（Ｓ４０５）。ＰＩＮ照合が行われると、照合された旨の通知がＡＴＭ３ａ、３ｂ、３ｃ側へ通知される（Ｓ４０６）。ＰＩＮ照合が出来なかった場合、不照合として操作が終了する（Ｓ４０７）。

ＰＩＮ番号照合が完了すると、管理センター２では予め設定された時間枠にあるかどうかの時間条件の照合が行われる（Ｓ４０８）。時間条件に合致していればこの時点で生体認証データ、機器ＩＤデータがＡＴＭ３ａ、３ｂ、３ｃへ送付される（Ｓ４０９）。時間条件に合致しなければ、時間枠不照合として操作はその時点で終了する（Ｓ４１０）。

PIN番号照合および時間照合が実行されOKとなると、生体認証データおよび機器IDデータ（または店舗コードなどの場所データ）が店舗ATM側へ送信される。この場合、生体認証データは作業者本人の照合のために必須であるが、機器IDデータは付加的照合として送信されるものである。

ＰＩＮ照合通知を受けた作業者１１、１２、１３は、店舗の地域または機器ＩＤ（識別）番号を入力し、機器ＩＤ照合を行う（Ｓ４１１）。店舗ＩＤまたは機器ＩＤ照合が不照合となると機器不照合として操作は終了する（Ｓ４１２）。機器が照合されると、本人認証に移行する。

上記生体認証データが店舗ATM側へ送信されると同時にタイマによる計測が開始され、管理センタで設定された時間枠に生体認証を完了するように求められる(Ｓ４２１)。これは、ダウンロードされた生体認証用データの利用時間を出来るだけ制限しセキュリティを高めるためである。

本人認証は作業者１１、１２、１３自身の生体認証照合により行われる（Ｓ４１３）。生体認証照合が不照合である場合、本人不照合となりその旨管理センター２へ通知される（Ｓ４１４）。生体認証により作業者本人であると照合されると、ＡＴＭ３ａ、３ｂ、３ｃの錠は開錠され（Ｓ４１５）、管理センター２にも開錠通知がおこなわれる（Ｓ４１６）。

開錠によりＡＴＭ３ａ、３ｂ、３ｃでの現金回収、補充、確認作業が行われる（Ｓ４１７）。作業が完了すると錠は閉錠する（Ｓ４１８）。閉錠により閉錠通知が管理センター２へ送付される（Ｓ４１９）。

管理センタ２は閉錠通知を受け取るとＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃに生体認証用データおよび機器ＩＤデータの消去指示を行い、ＡＴＭ３ａ、３ｂ、３ｃにダウンロードされた認証用データは消去される（Ｓ４２０）。このＡＴＭ３ａ、３ｂ、３ｃでの作業が完了すると、次の巡回地のＡＴＭ３ａ、３ｂ、３ｃが作業準備状態とされる。

次に、図６において、セキュリティを考慮した本発明における作業者の登録選定、スケジュール管理プロセスの一例について説明する。このスケジュール管理は主に図２の管理センター２の制御ユニット２００のスケジュール構築部２６により構築される。

作業者１１、１２、１３の巡回あるいは金銭回収において、管理センター２では複数店舗情報５００から回収ルートをランダムに選定する。したがって、これらの回収ルートは都度異なっており、ルートの予測性や回収の利便性などの人為的な要素は排除される（回収ルートのランダム作成プロセス５０１）。

また、作業者１１、１２、１３のスケジュールとしては、回収日程表５０２と生体認証登録した作業者１１、１２、１３の登録者稼動スケジュール５０３とから回収日程に稼動できる登録者を選定する（登録者選定プロセス５０４）。登録者にはランダムに当日用のＰＩＮ番号を割り当てる（ＰＩＮ番号割当プロセス５０５）。

上記、ランダムに作成された回収ルートとランダムにＰＩＮ番号を割り当てられた回収作業者とを組み合わせ（回収ルートに登録者ランダム選定プロセス５０６）、回収日当日稼動できる登録者を選定するプロセス５０７が完了する。

このプロセスによれば各店舗の巡回・回収ルートがその時々にランダムに作成され、作業者に割り当てられるＰＩＮ暗証番号もランダム選定され、回収ルートにランダムに割り当てられた登録者がランダムに選定されるため、よりセキュリティの高い作業プロセスとなる。

図７において、本発明による時間枠条件につき各種照合プロセスと併せ説明する。

まずＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃ側において作業者１１、１２、１３はＰＩＮ番号を入力し、管理センター２とのＰＩＮ番号照合を通信ネットワーク４を介して実行する（ＰＩＮ番号入力プロセス６００）。

ＰＩＮ番号は、施錠ユニット３００ａ、３００ｂ、３００ｃにその照合コードを常時有しているものでなく、作業者１１、１２、１３がＰＩＮ番号を入力した時点で、その都度管理センター２から送られたコードとの照合により認証される。

また、このＰＩＮ番号は、前述したように、日によってまた巡回の都度ランダムに割り当てられ、かつランダムに設定された巡回・回収ルートに紐付けられているため、このＰＩＮ番号が合致することは、正しい巡回ルートにあることを示している。

したがって、ＰＩＮ番号照合６０１において、作業者１１、１２、１３は管理センター２から指示された所定のルートで、作業者１１、１２、１３がアクセスしているかどうか照合可能となる。

さらにＰＩＮ番号は特定の日毎または巡回の都度発行されるため大枠の日時照合が可能であり、もし日時が違っていた場合はアクセスできないこととなり、日時を誤ったアクセスを排除する（特定日時用のＰＩＮ番号照合６０２）。

上記照合が完了すると、対象ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃに本人認証用の生体認証固有コードが管理センター２から送付される（対象機器に認証データ送信６０３）。

生体認証用データ送付と同時に、タイマが働き、管理センター２で設定された時間枠（作業者の生体認証照合可能時間）が設定される。この時間枠は作業者が生体認証を実行できる時間帯であると共に、作業時間帯を限定するためにも利用できる。

もし、所定の生体認証用時間枠内で照合が完了しなかった場合は、生体認証装置などの不具合により生体認証が成功しない事態、本人以外が作業を行っている事態などが考えられ、異常事態としてアラームが発せられると共にその後適切な処置がされない場合は生体認証用データは消去される。

本人の認証が完了すると（認証成功プロセス６０４）、開錠信号が送られ、電気錠３１０が開錠する（開錠信号受信プロセス６０５）。作業が完了し、閉錠すると管理センター２に作業終了の合図が送られ、ＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃでは終了信号を受信する（終了信号受信６０７）。

終了信号を受信するとＡＴＭ３ａ、３ｂ、３ｃの施錠ユニット３００ａ、３００ｂ、３００ｃ側に蓄積されたあらゆる認証・照合用のデータはすべて削除され、回収作業前の状態にリセットされる（データ削除プロセス６０８）。この時点での作業終了が管理センター２で設定された時間枠内に収まる必要がある。もし、時間枠を超えるようであれば異常事態と判断しＡＴＭ３ａ、３ｂ、３ｃの錠は閉錠する。

作業が完了し、電気鍵３１０が閉錠すると、管理センター２では予め設定された回収ルートにより次の店舗またはＡＴＭへの指示が設定され（対象機器を次ぎの機器に設定６０９）、次に作業される機器が作業待ち態勢に移行する。

次に、図８により、巡回・回収ルートの設定に伴うアクセス許可または不許可の状態を説明する。

図６で説明したとおり、複数の店舗の回収ルートは都度ランダムに選定される。例えば、今回巡回・回収ルートが店舗Ｂ →Ａ →Ｃ と選定されたと仮定する。図８(1)の状態で、作業者１１、１２、１３はまず店舗Ｂから作業を開始することと成っており、照合が行われると店舗Ｂはアクセスを許可されている。しかし、店舗Ａおよび店舗Ｃはアクセスを許可されない（図８(1)の状態）。

店舗Ｂの作業が完了すると管理センター２から店舗Ｂのアクセスが不許可となり、次の作業予定の店舗Ａにアクセス許可が下りる。ここでアクセス許可とは作業者がＰＩＮ番号を入力しうる状態のことであり、鍵の開錠や照合を意味するものでない。店舗Ｃにおいてはアクセスが許可されていない（図８(2)の状態）。したがって、もし作業者が巡回・回収ルーを間違って店舗Ｂから店舗Ｃにアクセスしようとしても、管理センター２のプログラムしたルートと異なるため店舗Ｃへのアクセスは出来ない。

同様に、店舗Ａの作業が完了すると店舗Ａ（店舗Ｂと同様）はアクセス不可の状態となり、次の作業予定店舗Ｃがアクセスを許可される（図８(3)の状態）。

以上述べたように、管理センター２で設定した巡回・回収ルートを間違うとそれぞれの店舗でのＡＴＭへのアクセスは出来なくなり、巡回・回収ルートにおける異常事態対応や間違いの防止が可能となる。また、これらの巡回・回収ルートも管理センターで統括管理しているため、何らかの緊急事態や異常時には巡回・回収ルートを変更したり、取り消したり、また場合によってはあえてルート設定をしないことも可能である。

本発明においては、特定領域への入室・退室も、特定機器あるいは特定システムの操作開始・終了も、本人のアクセス開始・終了として同様に取り扱うものであることを強調しておく。

本実施例においては、鍵として最もセキュリティが確保できる生体認証システムへの応用例としてＡＴＭ金銭回収管理システムを例示的に説明したが、高度セキュリティを維持しうる固有コード鍵であれば、本発明の趣旨の範囲で入室・退室セキュリティ管理システムあるいは扉や機器の開錠・閉錠セキュリティ管理システムへの応用が可能となる。

また、上記説明では、入室・退室の鍵あるいは扉・ドアの管理システムとして説明したが、本発明はセキュリティを確保すべき機器あるいは許可された本人以外の操作ができないような機器やシステム操作において、本発明による鍵や管理システムを装備することで同様の効果が期待できる。

また、本発明の実施の形態を説明するために各図において示した構成や配置は、あくまでも例示であって、本発明の機能を実現するために限定したものでない。よって、本発明は、本発明の機能が実現可能な範囲において、考え得る種々の配置の組み合わせを含むものである。

＜実施の形態２＞
実施の形態２は上記実施の形態１をさらに具体的にして説明する。図９は実施の形態２のセキュリュティ管理システムの具体的な構成図である。

図９は警備会社のコンピュータシステム１と、管理センターのコンピュータシステム２とを備えている（総称して生体認証登録用コンピュータシステムという）。

また、店舗のＡＴＭ５を開錠又は閉錠させるための施錠ユニット３００と、店舗側のパソコン８と、店舗担当者の携帯電話機９と、警備会社の開錠作業者の携帯電話機１８とを通信ネットワーク４（携帯電話網、専用回線等）で接続したシステムである。

（警備会社のコンピュータシステム１：以下警備会社１という）
警備会社１の登録ユニット１４は、図９に示すように警備会社の開錠作業者（以下作業者という）の数値番号及び手の甲の静脈のコードとを出力（総称して作業者生体コードＢｉという）を出力する第１のセンサ１５と、作業者が携帯する携帯電話機１８と、警備会社の管理者端末１９と、作業者用のパソコン（図示せず）等に接続されている。

そして、警備会社１の登録ユニット１４は、図９に示すように、第１のセンサ１５からの作業者生体コードＢｉを取り込んで、データベース１４７に記憶するデータ処理手段１４６（実施の形態１の読取り部、データ処理部、コーディング部）とを備えると共に、店舗情報Ｈｉを記憶するデータベース１４８と、作業者情報Ｆｉを記憶するデータベース１４９とを備えている。

また、各データベースの内容を組合せた作業者セキュリティ情報Ｄｉ、店舗情報Ｈｉ等を管理センタのコンピュータシステム２（以下管理センタ２という）に送信する送信手段１５０等を備えている。前述の各データベースについては後述する。

（管理センターの構成）
管理センタ２は、図９に示すように、作業者セキュリティ情報Ｄｉ（実施の形態１の生体認証データ付属情報に対応する）を記憶するデータベース２２ａと、店舗情報Ｈｉを記憶するデータベース２２ｂ等を有する。これらは、固有コードデータベース２２に存在する。

また、後述する作業者スケジュール情報Ｋｉを記憶するデータベース２５等を備える。このデータベースはスケジュール管理ＤＢ２２に対応する。

さらに、作業スケジュール構築手段２３１と、実開錠時間判定手段２３５と、生体情報送信手段２３６と、作業者情報送信手段２３４等を備えている。

スケジュール構築手段２３１は、店舗情報Ｈｉの開錠許可時間帯ｈｃｉと作業者セキュリュティ情報Ｄｉの作業可能な店舗に対しての作業者の作業許可時間帯Ｃｉとから店舗の開錠許可時間帯ｈｃｉ（鍵の使用可能時間枠に対応する）を満足し、かつ作業者が可能な仮の回収日時帯ｋａｉを生成する。そして、これを作業者スケジュールＫｉとしてデータベース２５に記憶する。この作業者スケジュールＫｉは店舗毎に生成される。

作業者情報送信手段２３４は、作業者スケジュールＫｉ、作業者情報Ｆｉの作業者特徴情報Ｑｉをその店のパソコン８及び店の担当者の携帯電話機９（以下総称して店舗側端末という）にメールで送信する。

実開錠時間判定手段２３５は、店舗側から開錠要求情報（第２のセンサのキーボードから入力された作業者ＰＩＮコードａｂｉ、作業者コードａａｉ、ＡＴＭ番号ｈｂｉ等）とを受信したとき、内部のタイマ２９の現在時刻Ｔｉが作業者スケジュールＫｉのいずれかの時間帯に含まれている場合に生体情報送信手段２３６によって、後述する作業者コード・生体情報ＢＢｉ（第１の生体・暗証コード情報ＢＢｉともいう）と、ＡＴＭ５の開閉を許可する時間内作業判定許可信号を店舗側の施錠ユニット３００に送信する。

（店舗側）
店舗側の施錠ユニット３００は、図９に示すように店舗側で開錠作業を行う作業者の入力番号及び手の甲の静脈を認識しコード化（総称して店側作業者の生体コードｍｉという）して出力する第２のセンサと、店側のＡＴＭ５等に接続されている。

また、施錠ユニット３００は、データ処理手段３２０と、ＰＩＮコード読込手段３２１と、抽出手段３２３と、照合手段３２４と、開錠信号送信手段３３０と、開閉判定手段３２９と、作業時間判定手段３３１等を備えている。

さらに、第１タイマ３２７と、第２のタイマ３２８と、管理センタ２からの作業者コード・生体情報ＢＢｉが記憶されるデータベース３２５等を備えている。

データ処理手段３２０は、第２のセンサ３０７（キーボード付き）からの生体コードｍｉ、固有コード（作業者のＰＩＮコード及びＡＴＭ番号等）に対して所定の処理を施す。

抽出手段３２３は、第２のセンサ３０７からの生体コードｍｉ、固有コードを分離して抽出し、これを照合手段に送出する。

ＰＩＮコード読込手段３２１は、第２のセンサからの固有コードにＡＴＭ番号等を付加した開錠要求情報として管理センタ２に送信する。

照合手段３２４は、作業時間判定手段３３１によって作業許可と判定されたとき、第２のセンサ３０７からの開錠要求情報及び生体コードｍｉ（総称して第２の生体・暗証コード情報又は店側作業者入力コード・生体情報という）とデータベース３２５に記憶されている管理センタ２からの作業者コード・生体情報ＢＢｉとが一致するかどうかを判定し、この判定結果を開錠信号送信手段３３０に送信する。

開錠信号送信手段３３０は、照合手段３２４の判定結果が一致と判定されたとき、開錠許可信号をＡＴＭ５に送信する。

作業時間判定手段３３１は、管理センター２から時間内作業判定許可信号を受信し、かつデータベース３２５に作業者コード・生体情報ＢＢｉが記憶されたとき、第１タイマ３２７を起動させると共に照合手段３２４を起動させる。この第１タイマ３２７は一定時間（例えば、１０分、１５分、２０分）計測する。

開閉判定手段３２９は、開錠信号送信手段３３０が開錠許可信号をＡＴＭ５に送信したとき第１タイマ３２７が計測する一定時間Ｐｉ内にＡＴＭ５の錠が開かれたかどうかを判定し、一定時間Ｐｉ内に扉が開かれないときは、異常信号を警備会社１及び管理センタ２並びに店舗の端末装置に送信させる。

また、開閉判定手段３２９は、ＡＴＭ５が扉を開いたと判定したときは第２タイマ３２８を起動させ、規定時間内ｔｍ（Ｐｉ＞ｔｍ）に扉が閉じられないときに、警備会社１及び管理センタ２並びに店舗の端末装置に異常を知らせる。

（データベースの構成）
図１０は店舗情報Ｈｉ、作業者スケジュールＫｉを説明する説明図である。警備会社１のデータベース１４８及び管理センタ２のデータベース２２ｂに保存される店舗情報Ｈｉは図１０（ａ）に示すように、店コードｈａｉ（ｈａ１、ｈａ２・・）とＡＴＭ番号ｈｂｉ（ｈｂ１、ｈｂ２・・）と開錠許可日時帯ｈｃｉ（（ｈｃ１、ｈｃ２・・）と店側ＰＩＮコードｈｄｉ（（ｈｄ１、ｈｄ２・・）等からなる。

また、警備会社１のデータベース１４７に保存される作業者コード・生体情報ＢＢｉは、図１０（ｂ）に示すように、作業者コードａａｉと、作業者の暗証コード等の番号であるＰＩＮコードａｂｉ（以下作業者用ＰＩＮコードという）と、作業者の生体コードａｃｉと、入力日と、時間と、第１センサの入力端末番号ａｈｉと会社コードａｊｉ等からなる。

これらの作業者生体コードＢｉ（Ｂａ１、Ｂａ２・・）は、例えば１週間毎に入力させるのがセキュリュティの観点から好ましい。また、作業者情報Ｆｉのうちで、写真データｂａｉと性別と身長と体重と武道種類と携帯端末アドレスとを作業者特徴情報Ｑｉと称する。

作業者情報Ｆｉは、図１０（ｃ）に示すように作業者コードａａｉと入力した年月日、時間と、作業者の写真データｂａｉと性別と身長と体重と武道種と作業可能日時帯Ｃｉと会社コードと作業者の携帯端末アドレス（メールアドレス、電話番号）等からなる。

これらの作業者情報Ｆｉ（Ｆａ、Ｆｂ・・・）の写真データｂａｉは一週間、一月に一度或いは毎日でもよい。

作業者セキュリティ情報Ｄｉは、図１０（ｄ）に示すように、作業者コード・生体情報ＢＢｉと作業者情報Ｆｉ等からなる。

図１１は管理センタ２の店舗情報Ｈｉと作業者スケジュールＫｉとを説明する説明図である。

店舗情報Ｈｉは図１０（ａ）と同様なものであり、警備会社１から送信されてデータベース２２ｂに記憶される。

作業者スケジュールＫｉは、店コードｈａｉとＡＴＭ番号ｈｂｉと作業者コードａａｉと回収日時帯Ｌａｉと作業者特徴情報Ｑｉ等からなる。

回収日時帯Ｌａｉは、店舗側からの開錠許可日時帯ｈｃｉを満足している場合は、１つでもよいし、複数でもよい。

図１１（ｂ）の回収日時帯は２種類が作成されている。店コードｈａ１は、例えば４月１０日１３時２０分〜３５分と４月１０日１５時３５分〜５０分とが回収日時帯として記憶されており、いずれかの日時帯に作業者が開錠にいくことを示す。

（全体の動作説明）
上記のように構成されたセキュリティ管理システムの動作について以下に説明する。図１２、図１３及び図１４は本実施の形態２のセキュリティ管理システムの動作を説明するシーケンス図である。

警備会社１の作業者は、第１のセンサ１５のキーボードを操作して、作業者コードａａｉ、作業者用ＰＩＮコードａｂｉ等を入力して、手の甲の静脈を第１のセンサ１５によって撮影させる。

第１のセンサ１５は、手の甲の静脈の生体コードａｃｉを生成して登録ユニット１４に送信する（ｄ１）。

警備会社１の登録ユニット１４のデータ処理手段１４６は、この生体コードａｃｉに入力された作業者コードａａｉと作業者用ＰＩＮコードａｂｉと入力された年月日、時刻と入力端末番号と会社コード等を組合せ、これを作業者コード・生体情報ＢＢｉとしてデータベース１４７に記憶する（ｄ２）。

作業者スケジュールＫｉは、図１１に示すように店コードｈａｉとＡＴＭ番号ｈｂｉと作業者コードａａｉと回収日時帯Ｌａｉと作業者特徴情報Ｑｉ等からなる。

作業者コード・生体情報ＢＢｉは図１０（ｂ）に示すように、作業者コードａａｉと、作業者用ＰＩＮコードと、作業者の生体コードａｃｉと、入力日と、時間と、第１センサの入力端末番号ａｈｉと会社コードａｊｉ等からなる。

また、作業者は、携帯電話機１８又は作業者のカメラ付きのパソコン（図示せず）を操作して作業者情報Ｆｉを入力する。この作業者情報Ｆｉは登録ユニット１４のＣＰＵ（図示せず）によってデータベース１４９に保存される（ｄ３）。

作業者情報Ｆｉは図１０（ｃ）に示すように、作業者コードａａｉと入力した年月日、時間と、作業者の写真データｂａｉと性別と身長と体重と武道種と可能可能日時帯Ｃｉと会社コードと作業者の携帯端末アドレス（メールアドレス、電話番号）等からなる。

登録ユニット１４の送信手段１５０は、データベース１４７の作業者コード・生体情報ＢＢｉとデータベース１４９の作業者情報Ｆｉとを作業者セキュリティ情報Ｄｉとして管理センタ２に送信すると共に、データベース１４８の店舗情報Ｈｉを管理センタ２に送信する（ｄ４）。

前述の作業者情報Ｆｉの作業可能時間、写真データは作業者の携帯電話機１８（カメラ付き）又は作業者用のパソコンによって作業者毎に入力される。

そして、管理者は、管理者端末１９を操作して各作業者の作業可能時間及び作業者の位置等を考慮して該当の店舗を決めて、これを作業者情報Ｆｉとしている。

管理センタ２の作業スケジュール構築手段２３１は、データベース２２ｂの店舗情報Ｈｉの開錠許可日時帯ｈｃｉと作業者セキュリティ情報Ｄｉの作業可能日時帯Ｃｉとを読み出して（ｄ５、ｄ６）、店側に向かうときの作業者スケジュールＫｉを生成する。

このスケジュールＫｉは、以下のようにして生成している。

スケジュール構築手段２３１は、店コードを指定してデータベース２２ｂの店舗情報Ｈｉを読み、この店舗情報Ｈｉの店舗側の開錠許可日時帯ｈｃｉ内で作業できる担当者コードａａｉを有する作業者セキュリティ情報Ｄｉをデータベース２２ａから抽出する。

そして、図１１（ａ）の店コードｈａ１の開錠許可日時帯ｈｃｉが「１３時〜１４時」で作業者の作業可能日時帯Ｃｉの時間帯が「１１時〜１８時」の場合（月日は省略）は、例えば「１３時２０〜１３時３５分」と、「１３時３５分〜１３時５０分」を回収日時帯Ｌａｉとする。回収日時帯は、複数生成されるので、作業者ははじめの時間に間に合わない場合は、次の時間帯に店に行くことができる。

そして、これらの回収日時帯Ｌａｉに店コードｈａｉ、ＡＴＭ番号ｈｂｉ、作業者コードａａｉを付加した作業者スケジュールＫｉをデータベース２５に記憶する（ｄ８）。

管理センタ２は、作業者スケジュールＫｉを警備会社１に送信する（ｄ１０）。

警備会社１では担当者に管理センタ２からの回収日時帯を知らせる（例えば携帯電話機に）。

次に、回収日時帯Ｌａｉになると、警備会社１の作業者は店舗に向かい、施錠ユニット３に接続されている第２のセンサ３０７のキーボードを操作して、作業者コードａａｉ、作業者用ＰＩＮコードａｂｉ等の固有コードを入力して、手の甲の静脈を第２のセンサ３０７によって撮影させる（ｄ２０、ｄ２１）。

第２のセンサ３０７は、手の甲の静脈の生体コードａｃｉを生成して施錠ユニット３００に送信してメモリ（図示せず）に一時保存させる（ｄ２２）。

施錠ユニット３００のＰＩＮコード読込手段３２１は、キーボードから入力された作業者コードａａｉと作業者用ＰＩＮコードａｂｉと入力された年月日とＡＴＭ番号と店コード等を組合せ、これを開錠要求情報として管理センタ２に送信する（ｄ２３）。

管理センタ２の実開錠時間判定手段２３５は、店側の施錠ユニット３００からの開錠要求情報を受信したとき、この開錠要求信号に含まれる店コード及びＡＴＭ番号を有する作業者スケジュールＫｉをデータベース２５から引き当てる。そして、この作業者スケジュールＫｉの実回収日時帯Ｌａｉを読み込み、タイマ２９の現在の時刻が回収日時帯Ｌａｉの時間内かどうかを照合する（ｄ２４）。

この照合は、回収日時帯Ｌａｉが２個あるので、いずれかの日時帯に含まれるかどうかを判定する。この判定結果を実開錠時間判定手段２３５が警備会社１の管理端末及び店舗端末に送信する（ｄ２５、ｄ２６、ｄ２７）。

具体的には、照合結果がいずれかの日時帯に含まれていると判定したときは、開錠許可情報（作業者コード、店番号、ＡＴＭ番号を含む等）を警備会社１の管理端末及び店舗端末に送信する。照合結果がいずれかの日時帯にも含まれていないと判定したときは、開錠不許可情報（作業者コード、店番号、ＡＴＭ番号を含む等）を警備会社１の管理端末及び店舗端末に送信する。

そして、管理センタ２の開錠時間判定手段２３５が照合結果はいずれかの日時帯に含まれていると判定したときは作業許可を示す時間内作業判定許可信号を店側の施錠ユニット３００に送信すると共に、生体情報送信手段２３６が施錠ユニット３００から受信した作業者コードａａｉを有する作業者コード・生体情報ＢＢｉ（生体コードａｃｉ及び作業者ＰＩＮコードａｂｉ等）を施錠ユニット３００に送信する（ｄ２８）。

この作業者コード・生態情報ＢＢｉは店舗側の施錠ユニット３００のデータベース３２５に記憶される。

次に、施錠ユニット３００の作業時間判定手段３３１は、管理センタ２から時間内作業判定許可信号を受信すると、第１タイマ３２２を起動させて照合手段３２４を起動させる（ｄ２９）。この第１のタイマ３２２は一定時間Ｐｉを計測する（ｄ３０）。

照合手段３２４は、第２のセンサ３０７からの作業者入力コード・生体情報とデータベース３２５に記憶されている管理センタ２からの作業者コード・生体情報ＢＢｉとが一致するかどうかを照合し（ｄ３１）、この照合結果を開錠信号送信手段３２７に出力する（ｄ３４）。

開錠信号送信手段３２７は、照合結果が一致している場合に、ＡＴＭ５に対して開錠許可信号を送出する。

開閉判定手段３２９は、第１タイマ３２７の一定時間Ｐｉ内に錠が開けられたかどうかを判定する（ｄ３５）。

また、開閉判定手段３２９は、一定時間Ｐｉ内に錠が開けられないと判定したときは、データベース３２５の作業者コード・生体情報ＢＢｉを削除して（ｄ３７）、異常信号を店舗端末及び管理センタ２、警備会社管理端末に送信する（ｄ３８、ｄ３９、ｄ４０）。

また、開閉判定手段３２９が一定時間Ｐｉ内に扉が開かれたと判定したときは、直ちにデータベース３２５の作業者コード・生体情報ＢＢｉを削除する（ｄ４２）。

そして、第２タイマ３２８を起動させて規定時刻ｔｍを計測し（ｄ４３）、規定時刻ｔｍ内で扉閉信号がＡＴＭ５から送信されたかどうかを判定する（ｄ４４）。

規定時刻ｔｍ内に扉閉信号を受信しないときは、異常信号を店舗端末、管理センタ、警備会社の管理端末に送信する（ｄ４６、ｄ４７、ｄ４８、ｄ４９）。

次に、管理センタ３の動作を図１５のフローチャートを用いて更に詳細に説明する。管理センタ３は、作業者セキュリティ情報Ｄｉ、店舗情報Ｈｉ等をメモリに取り込む等の初期設定を行う（Ｓ１５０１）。

次に、複数の作業者セキュリティ情報Ｄｉの初めのレコードの作業者セキュリティ情報Ｄｉの作業者コードａａｉと、複数の店舗情報Ｈｉの初めのレコードの店舗情報のＡＴＭ番号ｈｂｉとを設定する（Ｓ１５０２）。

次に、作業者コードａａｉにリンク付けされている作業可能日時帯Ｃｉと店舗情報Ｈｉの開錠許可日時帯ｈｃｉとを比較し（Ｓ１５０３）、作業者ａａｉは開錠許可日時帯ｈｃｉ内で作業が可能かどうかを判定する（Ｓ１５０４）。

ステップＳ１５０４において、作業者ａａｉは開錠許可日時帯ｈｃｉ内で作業ができないと判定したときは、次の店舗情報Ｈｉに更新して処理をステップＳ１５０２に戻して、次の店舗情報ＨｉのＡＴＭを開錠作業できる作業者を検索させる（Ｓ１５０５）。

また、ステップＳ１５０４において、作業者ａａｉは開錠許可日時帯ｈｃｉ内で作業ができると判定したときは、作業可能になった店の店舗情報Ｈｉと作業者コードａａｉにリンク付けされている作業者特徴情報Ｑｉとを読み出して作業者コードａａｉにリンク付けする（Ｓ１５０６）。そして、リンク付けされた店舗情報Ｈｉから回収日時帯Ｌａｉを求める（Ｓ１５０７）。

回収日時帯Ｌａｉに、店舗情報Ｈｉの店コードｈａｉとＡＴＭ番号ｈｂｉと抽出した作業者セキュリュティ情報Ｄｉの作業者コードと作業者特徴情報Ｑｉとを組合せ、これをスケジュールＫｉとしてデータベース２５に記憶する（Ｓ１５０８）。次に、スケジュールＫｉを警備会社１に送信する（Ｓ１５０９）。

次に、実開錠時間判定手段２３５の動作を図１６のフローチャートを用いて以下に説明する。

実開錠時間判定手段２３５は、店側から開錠要求情報を受信したかどうかを監視している（Ｓ１６０１）。

ステップＳ１６０１において、開錠要求情報を受信したと判定したときは、この開錠要求情報に含まれる店コード及びＡＴＭ番号を有する作業者スケジュールＫｉをデータベース２５から引き当てる。そして、この作業者スケジュールＫｉの回収日時帯Ｌａｉを読み込み（Ｓ１６０２）、タイマ２９の現在時刻Ｔｉを読み込み、この現在時刻が回収日時帯Ｌａｉの時間内かどうかを判定する（Ｓ１６０４）。

この判定は、実回収日時帯Ｌａｉが２個あるので、いずれかの日時帯に含まれるかどうかを判定する。いずれかの日時帯に含まれていると判定したときは、時間内作業判定許可信号（作業者コード、店番号、ＡＴＭ番号を含む等）を警備会社１の管理端末及び店舗端末に送信する（Ｓ１６０５）。

また、照合結果がいずれかの日時帯にも含まれていないと判定したときは、不許可情報（作業者コード、店番号、ＡＴＭ番号を含む等）を警備会社１の管理端末及び店舗端末に送信する（Ｓ１６０６）。

次に、施錠ユニット３００の動作を図１７のフローチャートを用いて以下に説明する。

警備会社１の作業者は、施錠ユニット３００に接続されている第２のセンサ３０７のキーボードを操作して、作業者コードａａｉ、作業者用ＰＩＮコードａｂｉ等を入力して、手の甲の静脈を第２のセンサ３０７によって撮影させる。

第２のセンサ３０７は、手の甲の静脈の生体コードａｃｉを生成して施錠ユニット３００に送信する。

施錠ユニット３００のＰＩＮコード読込手段３２１は、キーボードから作業者用ＰＩＮコード、作業者コードａａｉ等の固有コードが入力したかどうかを監視している（Ｓ１７０１）。

ステップＳ１７０１において、キーボードから固有コードが入力した場合は、ＰＩＮコード入力手段３２１は開錠要求情報（作業者コードａａｉと作業者用ＰＩＮコードａｂｉと入力された年月日、時刻ＰｉとＡＴＭ番号と店コード等を含む）として管理センタ２に送信する（Ｓ１７０２）。

一方、管理センタ２の実開錠時間判定手段２３５は、開錠要求情報の受信時刻が作業者スケジュールＫｉの回収日時帯Ｌａｉ内であれば、時間内作業判定許可信号及び作業者コード生体情報ＢＢｉを施錠ユニット３００に送信する。

店舗側の作業時間判定手段３３１は、データベース３２５に、管理センタ３から時間内作業判定許可信号及び作業者コード・生体情報ＢＢｉの受信かどうかを監視している（Ｓ１７０３）。

ステップＳ１７０３において、作業時間判定手段３３１は時間内作業判定許可信号及び作業者コード・生体情報ＢＢｉが入力したと判定したときは、第１タイマ３２７を起動させて一定時間Ｐｉを計測させると共に、照合手段３２４を起動させる（Ｓ１７０４）。

照合手段３２４は、第２のセンサ３０７からの作業者コード・生体情報と管理センタ２からの作業者コード・生体情報ＢＢｉとが一致するかどうかを判断する（Ｓ１７０５）。

ステップＳ１７０５において、一致するかと判定しときは、開錠信号送信手段段３２９が開錠許可信号をＡＴＭ５に送出し（Ｓ１７０６）、データベース３２５に記憶されている管理センタ３からの作業者コード・生体情報ＢＢｉを削除する（Ｓ１７０７）。

また、不一致と判定されたときは、異常信号を送信して（Ｓ１７０８）、処理をステップＳ１７０７に戻して作業者コード・生体情報ＢＢｉを削除する。。

次に、開閉判定手段３２９の動作を図１８のフローチャートを用いて以下に説明する。開閉判定手段３２９は、開錠許可信号が出力されたときは第１タイマ３２７を起動させる（Ｓ１８０１）。

次に、扉オープン信号がＡＴＭ５から出力されたどうかで開錠されたかどうかを判定する（Ｓ１８０２）。ステップＳ１８０２において、扉オープン信号が出力されないときは、第１タイマ３２７が一定時間Ｐｉを計測したかどうかを判定する（Ｓ１８０３）。

ステップＳ１８０３において、扉が開かれないで一定時間Ｐｉを計測した判定したときは、開閉判定手段３２９が異常信号（店コード、ＡＴＭ番号）を店舗端末及び管理センタ２、警備会社管理端末に送信して（Ｓ１８０４）、データベース３２５の管理センタ３からの生体情報ＢＢｉを削除する（Ｓ１８０５）。

また、ステップＳ１８０２において、開錠されたと判定したときは、開錠を知らせると共に（Ｓ１８０６）、第２タイマ３２８を起動させる（Ｓ１８０７）。

そして、ＡＴＭ５の扉が閉じられたかどうかを判定する（Ｓ１８０８）。ステップＳ１８０８において、扉が開かれたと判定したときは、規定時間ｔｍ経過かどうかを判定する（Ｓ１８０９）。

ステップＳ１８０９において、扉が開かれた後に規定時間ｔｍ経過しても扉が閉じられないと判定したときは、異常信号を店舗端末、管理センタ、警備会社の管理端末に送信して（Ｓ１８１０）、ＢＢｉを削除する（Ｓ１８１１）。

なお、上記実施の形態では、第２のセンサからＡＴＭ番号、店番号を入力するとしたが入力端末が別に存在している場合は、その入力端末を用いてもよい。

＜実施の形態３＞
図１９は実施の形態３の概略構成図である。図１９において、図９と同一部分については説明を省略する。

本実施の形態３では、データベース２２ｂの店舗情報は、図２０に示すように、店コードｈａｉとＡＴＭ番号ｈｂｉと開錠許可日時帯びｈｃｉと店側ＰＩＮコードｈｄｉとの他に、開錠時間ｖａｉと閉錠時間Ｖｂｉとを対応させている。本実施の形態ではこれを店舗情報Ｈｉｐと称する。

また、図１９に示すように、管理センタ２には開閉錠時間送信手段２３８を備え、施錠ユニット３００には、作業時間判定・設定手段３３５を備えている。

開閉錠時間送信手段２３８は、店舗側から開錠要求情報から送信されると、この開錠要求情報の店番号、ＡＴＭ番号を有する店舗情報Ｈｉｐをデータベース２２ｂから検索し、検索した店舗情報Ｈｉｐの開錠時間Ｖａｉ及び開錠時間Ｖｂｉを読み込む。そして、検索した店舗情報Ｈｉｐの店コード、ＡＴＭ番号を付加して店舗の施錠ユニット３００に送信する。

店舗側の作業時間判定・設定手段３３５は、管理センタ２からの開錠時間Ｖａｉ及び開錠時間Ｖｂｉを受信し、開錠時間Ｖａｉを第１タイマ３２７に設定し、開錠時間Ｖａｉを第２タイマ３２８に設定する。

すなわち、店のＡＴＭの状況に応じて開錠、開閉時間を管理センタ２で変更することが可能となっている。

本発明のセキュリティ管理システムの概要構成図である。 図１のセキュリティ管理システムのブロック図である。 本発明の応用例の警備管理システムの構成図である。 固有コードデータベースとスケジュール管理データベースのデータ構成図である。 本発明の応用例の警備管理システムにおける処理手順を示すシーケンスチャートである。 本発明の応用例の警備管理システムにおける作業者選定および回収ルートに関連するフローチャートである 本発明の応用例の警備管理システムの時間枠条件および照合条件のプロセスを示すフローチャートである。 本発明の応用例の警備管理システムによる複数店舗での作業状況を示す説明図である。 実施の形態２のセキュリティ管理システムの概要構成図である。 各種情報を説明する説明図である。 各種情報を説明する説明図である。 実施の形態２を説明するシーケンス図である。 実施の形態２を説明するシーケンス図である。 実施の形態２を説明するシーケンス図である。 実施の形態２の管理センタ３の動作を説明するフローチャートである。 実施の形態２の実開錠時間判定手段２３５の動作を説明するフローチャートである。 実施の形態２の施錠ユニット３００の動作を説明するフローチャートである。 実施の形態２の開閉判定手段３２９の動作を説明するフローチャートである。 実施の形態３のセキュリティ管理システムの概要構成図である 実施の形態３の店舗情報を説明する説明図である。

符号の説明

１ 鍵所有会社
１ａ 警備会社
２ 管理センター
３ 特定領域（特定機器）
３ａ、３ｂ、３ｃ ＡＴＭ
４ 通信ネットワーク
５ 店舗網
１１、１２、１３ 作業者
１４ 登録ユニット
１５ 第１のセンサー
１６ 第１の通信部
２０ 生体認証データ付属情報
２２ 固有コードデータベース
２３ 第２の通信部
２４ デコーダ部
２５ スケジュール管理データベース
２６ スケジュール構築部
２７ 時間枠設定部
２８ 第３の通信部
２９ａ ＰＩＮ番号
２９ｂ 認証情報群
３０ 第４の通信部
１５１ 読み取り部
１５２ データ処理部
１５３ コーディング部
１５４ 生体認証データ
１５５ 暗号化部
２００ 制御ユニット
２０１ ＣＰＵ
２０２ 入力操作部
２０３ 照合部
２０４ 記録・ログ部
２０５ 制御部
３００ 施錠ユニット
３００ａ、３００ｂ、３００ｃ 施錠ユニット
３０１ デコーダ部
３０２ 生体認証コード抽出部
３０３ 生体認証照合部
３０４ 機器ＩＤ・時間データ抽出部
３０５ 機器ＩＤ照合部
３０６ 入力部
３０７ 第２のセンサー
３０８ 読み取り部
３０９ データ処理部
３１０ 電気錠
３１１ タイマー
３１２ データ消去部

Claims (3)

1. 作業者の生体認証登録用コンピュータシステムと、特定施設の特定機器を開錠する特定施設のコンピュータシステムとを通信ネットワークで接続し、前記特定施設のコンピュータシステムは、入力された生体情報と登録されている生体情報とが一致したとき前記特定機器を開錠させるセキュリティ管理システムであって、
   前記生体認証登録用コンピュータシステムは、
   前記特定施設の特定機器の開錠を行う作業者の生体情報、該作業者の前記特定機器の開錠が可能な作業可能日時帯及び前記作業者並びに前記特定機器の識別情報を含んだ作業者スケジュール情報を記憶した第１の記憶手段と、
   時間を計測する第１の計測手段と、
   第１のコンピュータは、
   前記特定施設のコンピュータシステムから前記特定機器を開錠するための作業者の開錠要求情報を受信したとき、前記第１の計測手段を起動させる手段と、
   前記受信した開錠要求情報に含まれている前記識別情報を含む作業者スケジュール情報が前記第１の記憶手段に記憶されているかどうかを検索する手段と、
   前記第１の計測手段の現在の計測時間が、この検索した前記作業者スケジュール情報の前記作業可能日時帯を満たしているときは、前記第１の記憶手段の生体情報を前記特定施設のコンピュータシステムに送信する手段と、
   を備え、
   前記特定施設のコンピュータシステムは、
   第２の記憶手段と、
   設定されている開錠時間を計測する第２の計測手段と、
   当該特定施設の前記特定機器を開錠させるために前記識別情報を含む開錠要求情報を入力させるための入力手段と、
   生体情報を取得するための生体情報取得手段と、
   第２のコンピュータは、
   前記入力手段からの開錠要求情報を前記第２の記憶手段に記憶すると共に、該開錠要求情報を前記管理センターのコンピュータシステムに送信する手段と、
   前記開錠要求情報を送信した後に、前記管理センターのコンピュータシステムから前記生体情報を受信したとき、該生体情報を前記第２の記憶手段に記憶すると共に前記第２の計測手段を起動させる手段と、
   前記生体情報取得手段からの生体情報と前記第２の記憶手段に記憶されている前記管理センターのコンピュータシステムからの生体情報とが一致したときに、当該特定施設の特定機器を開錠許可する手段と、
   前記第２の計測手段が前記一定時刻を計測したとき、前記第２の記憶手段の生体情報及び開錠要求情報を削除する手段と
   を有することを特徴とするセキュリティ管理システム。
2. 前記特定施設のコンピュータシステムは、
   第２のコンピュータに、
   前記第２の計測手段の前記一定時間内に、前記特定機器の開錠が行われないとき、或いは前記生体情報取得手段からの生体情報と前記第２の記憶手段に記憶されている生体情報とが一致しないときは、警告信号を生じさせる手段と
   を有することを特徴とする請求項１記載のセキュリティ管理システム。
3. 前記生体認証登録用コンピュータシステムは、
   前記特定施設毎の前記特定機器毎の開錠、閉錠時間を、この特定機器の識別情報に対応させて記憶した第３の記憶手段と、
   前記第１のコンピュータは、
   前記開錠要求情報を受信したとき、該開錠要求情報に含まれる前記識別情報に対応する前記開錠時間及び閉錠時間を読み出し、この開錠及び閉錠時間を前記第特定施設のコンピュータシステムに送信する手段とを備え、
   前記特定施設のコンピュータシステムは、
   設定された閉錠時間を計測するための第３の計測手段を備え、
   前記第２のコンピュータシステムに、
   前記生体認証登録用コンピュータシステムからの開錠時間、閉錠時間を受信し、開錠時間を前記第２の計測手段に設定し、閉錠時間を前記第３の計測手段に設定する手段と
   を有することを特徴とする請求項１又は２記載のセキュリティ管理システム。

Images