JP4625684B2 - センサと無線ネットワークを利用した個人認証システム、不正アクセス追跡システムおよび計算機セキュリティシステム - Google Patents

Description

本発明は、センサと無線ネットワークを利用して個人認証を行う個人認証システムに関する。

施設内のセキュリティを確保するため、利用者に予め個人認証を登録したＩＣ
（Integrated Circuit）カードを持たせ、施設の出入口にてそのＩＣカードをＩＣカードリーダに読ませることにより、入退出時に個人認証を行う方法がある。さらに、ＩＣカードの貸し借りによる不正を防ぐため、利用者の身体的特徴量（例えば、重量，身長，足の大きさ，肩幅等）が、ＩＣカード認証時に登録されている身体的特徴量に合致するか判定することにより、ＩＣカードの貸し借りによる不正を防ぐ方法が開示されている（例えば、特許文献１参照）。

特開２００４−１４５４３８号公報

より高度なセキュリティが要求される施設では、利用者が施設内に入った後の行動履歴（利用者が何時，何処にいたか）をより厳密に記録することが要求される。しかしながら、前記ＩＣカードによる個人認証は、部屋や施設といった閉ざされた空間の出入口で行う必要がある。換言すれば、前記ＩＣカードによる個人認証は、部屋や施設の内部の閉ざされていない空間（＝出入口のない空間）において、より狭い領域で個人認証を行うことはできないといった問題がある。なお、個人認証を行う必要のある領域を壁で覆うなどして閉ざされた空間＋認証を行う出入口を作れば、より狭い領域で個人認証を行うことは可能になるが、これではコストがかかり、現実的ではない。

さらに、利用者は個人認証のため、出入口を通る毎に、ＩＣカードをＩＣカードリーダに接触させる必要があり、利用者に煩わしさを感じさせてしまうという問題がある。

そこで、本発明は、前記問題に鑑み、施設内部において、利用者が何時，何処にいたかがわかる個人認証を行うことができる手段を提供することを課題とする。

さらに、個人認証を行うことが、利用者にとって煩わしさを感じさせることのない、ストレスフリーな手段を提供することを課題とする。

本発明による個人認証システムは、認証タグに相当するセンサノードと、施設内に１箇所あるいは複数箇所設置された無線局と、特徴抽出手段と個人特徴ＤＢ(data base) と特徴一致判定手段を有する個人認証装置より構成される個人認証システムである。

上記のうち、センサノードは、利用者に装着され、利用者の生体情報あるいは身体的特徴に起因する情報をセンシングするセンサと無線通信手段を搭載し、センシングした情報を、繰り返して（連続的または定期的または周期的または断続的に）無線通信にて発信する。

無線局は、センサノードが無線局の受信エリアにいる場合、無線通信により、センサノードと個人認証装置との間の通信データの送受信を仲介する。

さらに、個人認証装置においては、特徴抽出手段が無線局経由で繰り返して（連続的または定期的または周期的または断続的に）受信するセンシング情報から利用者の特徴をリアルタイムに抽出し、特徴一致判定手段が、このリアルタイムに抽出した利用者の特徴と、個人特徴ＤＢに保管されている利用者の特徴を比較して特徴が一致すれば個人認証をパスしたと判定する。

上記手段を用い、センサノードからの通信データを受信した無線局ＩＤならびに受信した時刻を個人認証結果と共に記録することにより、利用者の施設内での個人認証付き行動履歴（利用者が何時，何処にいたか）を記録することができる。

なお、本明細書における用語の定義として、「装着」は「身体につける」ことを意味する。

本発明によれば、個人認証システムが定期的に個人認証を行うことで、利用者がセンサを装着し、かつ、無線局の受信エリア内にいる間は、利用者が施設内に入った後の行動履歴（利用者が何時，何処にいたか）をより正確に記録することができ、より高度なセキュリティを実現できる。

さらに、生体情報あるいは身体的特徴に起因する情報を利用者に装着したセンサノードに搭載されるセンサが直接センシングすること、ならびに、無線通信により利用者が無線局の受信エリア内にいれば、センサノードと個人認証装置の間でデータ通信ができるため、個人認証のためにＩＣカードをＩＣカードリーダに接触させるといった行為が不要になり、利用者に煩わしさを感じさせることのない、ストレスフリーな個人認証が行われることになる。

以下、本発明の実施の形態について図面を参照して説明する。

≪基本システムの構成と動作≫
まず、センサと無線ネットワークを利用した個人認証システムの構成とその動作について説明する。

図１に示すように、個人認証システムは、センサノード１０，無線局２０，個人認証装置３より構成される。センサノード１０はセンサ１００１，マイクロプロセッサにより構成される処理手段１００２，無線通信手段１００３より構成される。個人認証装置３は、モニタリング手段３１，特徴抽出手段３２，特徴一致判定手段３３，登録手段３４，取出手段３５，個人特徴ＤＢ３６より構成される。なお、本例では、説明をわかりやすくするため、無線局は１台の構成としているが、無線局は複数台でもよい。無線局が複数台の場合は、後述の第２の実施の形態で説明する。

図１の個人認証システムの動作を図２４のデータ構成を用いて説明する。

センサノード１０は利用者４０に装着され、利用者４０の生体情報あるいは身体的特徴に起因する情報をセンサ１００１が連続してセンシングする。生体情報あるいは身体的特徴に起因する情報は、脈拍，血圧，体温，声紋，歩行動作などである。これらの情報は、それぞれ、振動センサ，圧力センサ，温度センサ，声紋センサ，加速度センサなどによってセンシング可能であり、バイオメトリクス（生体認証）技術の進歩により、より小型で高性能なセンサが実現されつつある。センサノード１０の実施の形態は、例えば腕時計に代表されるリストバンド，ネックレス，首輪，首からストラップで吊るしたり胸章として使用する名札等であり、常時装着することにより、上述の情報を直接かつ自動でセンシング可能である（即ち、個人認証のためにＩＣカードをＩＣカードリーダに接触させるといった行為が不要である）。これらのセンサノードは、装着時に利用者が違和感を感じない小型，軽量であることが望ましい。これらのセンサノードを駆動する電源として、ボタン電池のようなバッテリあるいはセンサノードに搭載される太陽電池が小型，軽量であり、望ましい。またこのようなセンサによりセンシングされた情報は処理手段１００２により通信用のデータ（通信データ）に変換され、無線通信手段１００３により、無線局２０に定期的に送信される。

センサノード１０より送信される通信データは、例えば図２４（１）の構成になる。即ち、センサノード１０より送信される通信データ９０は、個人識別ＩＤ(Identification)９０１とセンシング情報９０２より構成される。個人識別ＩＤ９０１はユニークな値であり、例えば図２３の例に示す通り、本ＩＤにて、センサノードとセンサノード利用者が管理される。

なお、センサノード１０と無線局２０の間の通信は無線ネットワークで実現される。

センサノード１０より送信される通信データ９０は、無線局２０を経由して、個人認証装置３に届けられる。無線局２０にて、通信データ９０は時刻９０３，無線局ＩＤ９０４が付加され、図２４（２）に示す無線ＩＤ・時刻付き通信データ９１が無線局２０より個人認証装置３に届けられる。通信データ個人認証装置３では、モニタリング手段３１が通信データ９１を逐次受信し、そこからセンシング情報９０２を逐次取り出す。次に特徴抽出手段３２にて、取り出したセンシング情報９０２より、個人の特徴を抽出する。

個人の特徴の抽出方法の具体例は、センサ１００１が加速度センサの場合にて後述する。

なお本実施例では、時刻９０３は無線局にて付加されるが、時刻９０３はセンサノード１０より送信される通信データ９０に最初から付加されていてもよい。ただし、この場合、センサノード１０は時計機能を内蔵する必要がある。

個人が最初にセンサノード１０を使用する場合には、個人認証装置３は、センサノード１０に対して、個人特徴情報登録モードとして動作する。例えば、利用者４０が最初にセンサノード１０を装着した時点で、個人認証装置３に対して、センサノード１０からのデータ受信に対して個人特徴情報登録モードで動作するよう指示する。利用者４０がセンサノード１０を装着後、センサノード１０から送られてくるセンシング情報９０２をもとに、上記のモニタリング手段３１，特徴抽出手段３２にて抽出した個人の特徴（以下、個人特徴情報）は、登録手段３４により個人特徴ＤＢ３６に個人識別ＩＤ９０１と共に登録される。図２４（３）に個人特徴ＤＢ３６に登録される個人特徴データ９２の構成例を示す。個人特徴データ９２は登録時刻９０５，個人識別ＩＤ９０１，個人特徴情報９０６より構成される。

利用者４０の個人特徴情報の登録後は、個人認証装置３は、センサノード１０に対して個人認証モードとして動作する。即ち、センサノード１０より無線局２０を経由して送られてくる通信データ９１に内包されるセンシング情報９０２をもとに、上記のモニタリング手段３１，特徴抽出手段３２にて個人特徴情報９０６を抽出する。一方で取出手段３５が、センサノード１０より無線局２０を経由して送られてくる通信データ９１に内包される個人識別ＩＤ９０１を用いて個人特徴ＤＢ３６に登録されている該当者の個人特徴情報を取り出す。特徴一致判定手段３３では、両者の特徴の一致判定結果（＝認証結果）を個人識別ＩＤ９０１と合わせ、例えば、図２４（４）の個人認証結果９３の構成にて出力する。個人認証結果９３は、時刻９０３，個人識別ＩＤ９０１，認証結果９０７より構成される。個人認証結果９０７は、一致する／しないの２値であったり、ある一致判定評価式が算出する一致度合い（例えばパーセント）であってもよい。本出力は個人認証装置３の出力に相当する。なお、個人認証装置３はセンサノード１０より定期的に送られてくる通信データを用いて、個人認証モードとしての動作を定期的に実行する。

特徴一致判定方法の具体例は、センサ１００１が加速度センサの場合にて後述する。

個人認証装置３は、パーソナルコンピュータやワークステーション等の汎用の情報系計算機にて実現可能であるが、専用の組み込みシステム上に実装することも可能である。

上述の個人認証システムが定期的に個人認証を行うことで、利用者がセンサを装着し、かつ、無線局の受信エリア内にいる間は、いつでもどこでも個人認証が行われることになる。

さらに、生体情報あるいは身体的特徴に起因する情報を利用者に装着したセンサノードに搭載されるセンサが直接センシングすること、ならびに、無線通信により利用者が無線局の受信エリア内にいれば、センサノードと個人認証装置の間でデータ通信ができるため、個人認証のためにＩＣカードをＩＣカードリーダに接触させるといった行為が不要になり、利用者に煩わしさを感じさせることのない、ストレスフリーな個人認証が行われることになる。

以下、利用者の歩行動作をセンシングする加速度センサが搭載される名札型センサノードの例を用いて実施の形態を説明するが、上述の他の生体情報あるいは身体的特徴に起因する情報、その情報をセンシングするセンサを搭載するセンサノードを用いた個人認証システムにおいても、同様の実施の形態を実施することが可能である。

≪第１の実施の形態≫
図１のセンサノード１０が名札型であり、センサが加速度センサの場合の実施の形態について説明する。

図２は、名札型センサノードの構成を示す図である。センサノード１１は、加速度センサ１１０１を搭載することにより、センサノード１１が移動する際の加速度情報を連続してセンシングする。加速度センサは３軸方向の加速度を求められるものが望ましい。処理手段１１０２では、センシングした加速度情報をセンシング情報９０２に変換して通信データ９０を作成する。例えば、送信周期内にセンシングした加速度情報を列挙したものがセンシング情報９０２となる。

また、ストラップ１１０４がセンサノード１１についており、センサノード１１は、図３に示すように、首から吊るすタイプの名札センサである。

名札型センサノード１１による個人認証システムの全体動作は上述のセンサノード１０による個人認証システムの全体動作と同じである。ここでは、特徴抽出手段３２による個人の特徴の抽出方法ならびに特徴一致判定手段３３による特徴一致判定方法を中心に説明する。

個人の体格や癖により、歩き方に個人の特徴が現れ、例えば、走行時の歩幅，上下移動，足の着地力，蹴力等は個人で異なる。これらの値あるいはそれらに類する値は加速度を連続してモニタすることにより求めることができるため、個人認証に応用可能である。ここでは、通常走行時における個人の特徴を抽出する場合を用いる。

図４は、名札型センサノード１１を用いた場合の、個人特徴情報登録モード、即ち、個人認証装置３内の特徴抽出手段３２による個人特徴情報の抽出ならびに個人情報ＤＢ３６への登録を示すフローチャートである。

ステップＳ１０１により、モニタリング手段３１は、加速度センサ１１０１からのセンシング情報９０２を取得する。ステップＳ１０２にて、特徴抽出手段３２が、１ステップあたりの歩幅，上下移動幅，左右移動幅，水平移動速度，着地力，蹴力を特徴として計算する。歩幅，上下移動幅，左右移動幅はそれぞれ、水平方向，上下方向，左右方向加速度の２階積分より求められる。水平移動速度は、水平方向の加速度の一階積分より求められる。着地力は負の加速度、蹴力は正の加速度で求まる。ここでは、それぞれの最大値を着地力，蹴力とする。ステップＳ１０３において、上記特徴を一定期間計測してそれぞれの平均値を列挙したものを個人特徴情報９０６とし、個人識別ＩＤ９０１，登録時刻９０５を付加して個人特徴データ９２を作成し、個人情報ＤＢ３６に登録する。

特徴抽出手段３２が計算する特徴のうち、１ステップあたりの歩幅，水平移動速度，着地力，蹴力の計算方法を図５のグラフを用いて説明する。各グラフの横軸は時間、縦軸は利用者４０の進行方向を表す。グラフ（１）は進行方向の加速度、グラフ（２）は進行方向の速度、グラフ（３）は進行方向の移動距離の例である。加速度計が測定しているのは、グラフ（１）である。グラフ（１）の１階積分でグラフ（２）が、２階積分でグラフ
（３）が求まる。蹴力，着地力はグラフ（１）の各周期における最大値，最小値の平均に相当する。水平移動速度はグラフ（２）の平均値に相当する。歩幅はグラフ（３）の各周期における移動距離の平均値に相当する。これらの値は、汎用計算機とその計算機上で動作する加速度情報群を入力とする計算プログラムにて求めることが可能である。なお、初速度がわからないと正確な速度はわからない。そこで、加速度センサの変異が微小な時を人が静止（＝速度０）と判定するか、他のセンサ等（例えば、ＧＰＳ、あるいは、監視カメラで撮影した映像を画像処理により、人の静止を判定）との組み合わせにより、静止状態を判定して、初速度を求めればよい。上下移動幅，左右移動幅に関しても基本的には、上記と同様の考え方で計算可能である。

なお、特徴抽出手段３２では、上記計算値のすべて、あるいはこれらのうちの一部を計算するのでもよい。あるいは、左右の足で特徴は異なるので、各足のステップ毎に特徴を求めてもよい。また、センサノード１１に水平センサを搭載することにより、方向の補正を行うようにしてもよい。

一方、階段の昇降，駆け足，着座等，通常走行時とかけ離れる行動時のセンシング情報を排除するため、あるしきい値を設定し、それを逸脱する加速度情報を上記計算より排除するしかけを実装してもよい。

図６は、名札型センサノード１１を用いた場合の、個人認証モードを示すフローチャートである。ステップＳ２０１，Ｓ２０２は図４のＳ１０１，Ｓ１０２と同じであり、これらのステップにて、上述の通り、個人特徴情報９０６を抽出する。Ｓ２０３において、取出手段３５が、センサノード１１より無線局２０を経由して送られてくる通信データ９１に内包される個人識別ＩＤ９０１を用いて、個人特徴ＤＢ３６に登録されている該当者の個人特徴情報を取り出す。

ステップＳ２０４にて、特徴一致判定手段３３が、両者の特徴が一致するか否か判定する。特徴一致判定方法は、例えば、過去Ｎ回連続して測定した特徴を用いて、以下の（式１）にて表される判定方法にて、個人特徴ＤＢ３６に登録されている本人の特徴と比較することで実現する（ただしＮは１以上の整数）：

一例として、α＝０.２ とすれば、過去Ｎ回分の測定された特徴の値と個人特徴ＤＢ36に登録されている該当者の特徴の値との偏差の絶対値の平均が、個人特徴ＤＢ３６に登録されている該当者の特徴の値の２０％未満であれば、両者の特徴が一致すると判定する。全特徴について、上記を満足していれば、特徴一致判定手段３３は、認証結果９０７を
ＯＫとして、登録時刻９０５，個人識別ＩＤ９０１を付加して個人認証結果９３を出力する（ＯＫならばステップ２０５、ＮＧならばステップ２０６を実行）。なお、本出力は個人認証装置３の出力に相当する。上記一連の処理が終了後、Ｓ２０１より処理を繰り返し、周期的に個人認証モードを実行する。

以上より、ある無線局で受信されたセンサノードの利用者が、逐次認証されることにより、利用者が本人であるか否かを連続かつ、より確実に保障することができるようになる。

なお、図６の個人認証モードにて、個人認証結果がＮＧとなった場合、個人特徴ＤＢ36内に登録されている他の個人特徴情報に対して、特徴一致判定を個人認証装置３に行わせてもよい。この場合、もしも他の個人特徴情報との間で（式１）による判定がＯＫになれば、その個人情報に登録されている個人識別ＩＤの登録者がセンサノードを装着していると判定する。これにより、センサノード１１を不正に使用している人間を特定することが可能になる。

≪第２の実施の形態≫
センサノード１０あるいは１１を装着している人の位置情報を監視するシステムの実施の形態について説明する。

図７は、位置情報付き個人認証システムの構成を示す図である。無線局２０，２１，
２２は、ネットワーク８４１を介して位置情報登録装置３０と通信する。利用者４０，
４１はそれぞれセンサノード１０１,１０２を装着している。センサノード１０１,１０２が発する通信データ９０は最寄の無線局によって受信される。図では、センサノード101が発する通信データ９０は無線局２０に、センサノード１０２が発する通信データは無線局２２によって受信される例を示している。

位置情報登録装置３０は、個人認証装置３，個人認証結果ＤＢ３７，認証情報追加手段
３８，個人認証付き位置データＤＢ３９より構成される。個人認証結果ＤＢ３７，個人認証付き位置データＤＢ３９は、例えばハードディスクのようなストレージ装置により構成され、それぞれ個人認証装置３，認証情報追加手段３８の出力を保存する。

位置情報登録装置３０の動作を図２４のデータ構成を用いて説明する。センサノード
１０１あるいは１０２が発する通信データ９０は最寄の無線局を経由して、無線ＩＤ・時刻付き通信データ９１に変換された通信データが位置情報登録装置３０に逐次送信される。位置情報登録装置３０では、受信した通信データ９１を用いて、図１で説明した個人認証装置３にて個人認証を行い、その個人認証結果９３を個人認証結果ＤＢ３７に登録する。一方、認証情報追加手段３８では、センサノード１０１あるいは１０２からの無線ＩＤ・時刻付き通信データ９１を逐次受信し、その受信データ９１に内包される個人識別ＩＤ９０１に対応する個人認証結果９３を個人認証結果ＤＢ３７より取り出し、受信データ
９１と組み合わせて図２４（５）の時刻９０３，無線局ＩＤ９０４，個人識別ＩＤ９０１，認証結果９０７より構成される個人認証付き位置データ９４を作成して、それを個人認証付き位置データＤＢ３９に登録する。

なお図では、センサノードは２個、無線局は３個であるが、より多数のセンサノード，無線局より構成されるシステムであっても、基本的な動作は同じである。

図８は、図７の構成における、個人認証付き位置データＤＢ３９内の履歴情報の一例である。個人認証付き位置データＤＢ３９内には、個人認証付き位置データ９４が逐次登録される。表内の項目「無線ＩＤ（エリア）」は各無線局の受信エリアに相当し、無線ＩＤと一対一に対応する。このようなログ情報をシステム管理者が容易に確認できるように、システム管理者の端末画面に表示してもよい。

図９は、図７の個人認証付き位置データＤＢ３９内の履歴情報より、各人のエリア（＝無線局ＩＤ）への入退時刻がわかるように変換した履歴情報の例である。ある無線局にて、初めてセンサノードが受信された時刻をエリアへの入場、それまで連続して受信していたセンサノードからの通信データが届かなくなった時点で、そのノードがエリアから退場したとすることで、図９のログ情報は作成できる。なお、図の例では、センサノードのデータ送信周期は３秒としてある。このようなログ情報をシステム管理者が容易に確認できるように、システム管理者の端末画面に表示してもよい。

図１０は、位置情報付き個人認証システムのエリア状況のリアルタイム表示画面を示す図である。図１０の画面は、各センサノードが逐次送信する通信データに基づき、個人認証付き位置データＤＢ３９に登録される個人認証付き位置データ９４を入力情報とし、最新の情報を表示することにより実現できる。このようにビジュアルな表示にすることにより、システム管理者がエリアにいる人物をリアルタイムにかつ容易に確認することができる。

以上より、位置情報付き個人認証システムでは、個人認証付き位置データにより、センサノードを装着した個人が何時何処にいたかを、より確実に保証することができる。

≪第３の実施の形態≫
センサノード１０あるいは１１を装着している人による、機密情報への不正アクセスを追跡するシステムの実施の形態について説明する。

図１１は、不正アクセス追跡システムを示す図である。無線局２０，２１，２２は、ネットワーク８４２を介して不正アクセス追跡装置７と通信する。利用者４０，４１，４２，４３はそれぞれセンサノード１０１，１０２，１０３，１０４を装着している。センサノード１０１，１０２，１０３，１０４それぞれが発する通信データ９０は最寄の無線局によって受信される。図では、センサノード１０１が発する通信データ９０は無線局２０に、センサノード１０２，１０３が発する通信データは無線局２１に、センサノード104が発する通信データ９０は無線局２２によって受信される例を示している。一方、端末装置６は無線局２０の受信エリアＡ内に置かれており、ネットワーク８４２を介して不正アクセス追跡装置７と接続される。ある人がこの端末装置６０を利用する場合、その人の持つセンサノード（図の例では、利用者４０が装着しているセンサノード１０１）が発する通信データ９０は、無線局２０に受信される。

図１２は、不正アクセス追跡システム構成を示す図である。利用者４０，４１，４２，４３，センサノード１０１，１０２，１０３，１０４，無線局２０，２１，２２，端末装置６，不正アクセス追跡装置７に関しては、図１１で説明しているので、ここでは説明を省略する。不正アクセス追跡装置７は、機密情報７１１と機密情報へのアクセスログ712を含む管理サーバ７１，個人認証付き位置データＤＢ３９を含む位置情報登録装置３０，不正アクセス特定手段７３，ＩＤ登録者突合せ手段７４より構成される。

管理サーバ７１はＰＣサーバマシン等の汎用計算機で構成される。機密情報７１１は例えば顧客情報や企業で研究・開発した最先端の技術情報といった、外部に漏洩すると問題になる情報である。アクセスログ７１２は機密情報７１１に対してアクセスした時間，端末名，機密情報７１１へのアクセスが許可されたユーザＩＤ等を含む履歴であり、管理サーバ７１が作成する。本情報は例えば、汎用計算機が有するアクセスログが相当する。

不正アクセス追跡システムの全体の動作を説明する。管理サーバ７１内の機密情報711へのアクセスはネットワーク８４２に接続された、１個または複数個の端末装置（端末装置６０含む）よりアクセスされる。図１１あるいは図１２の例では、センサノード１０１を有する利用者４０が、端末装置６より、機密情報７１１へのアクセスが許可されたユーザＩＤならびにパスワードを入力して情報システム側の認証にパスした後、機密情報711にアクセスしている。一方で、センサノード１０１，１０２，１０３，１０３より発せられる通信データ９０が最寄の無線局２０，２１あるいは２２を介して、個人認証付き位置データ９４として、逐次、位置情報登録装置３０内の個人認証付き位置データＤＢ３９に登録されている。

ここで、機密情報の漏洩が発覚すると、不正アクセス追跡装置７では、不正アクセス特定手段７３がアクセスログ７１２を解析し、漏洩した情報へのアクセスログを解析し、該当するログ情報を出力する。

ＩＤ登録者突合せ手段７４は、図１３のフローに示す通り、ステップＳ３０１にて、不正アクセス特定手段７３が出力するログ情報をひとつ取り出し、不正が行われた時間，端末，ユーザＩＤを入手する。ステップＳ３０２にて、不正を起こしたユーザＩＤの登録者が、不正が行われた時間に、不正が行われた端末装置が置かれているエリアにいたかどうか確認する。これは個人認証付き位置データＤＢ３９に対して、不正が行われた時間と、該当する登録者に対応する個人識別ＩＤで検索し、該当する個人認証付き位置データ内の無線局ＩＤ（エリア情報）を参照することで確認できる。

エリアにいた場合には、ステップＳ３０６にて、不正を起こしたユーザＩＤの登録者を第一登録者として出力する。さらに、ステップＳ３０７にて、不正が行われた時間に不正が行われた端末のエリアに他に人がいたか確認する。これは個人認証付き位置データＤＢ３９に対して、不正が行われた時間と、該当する無線局ＩＤ（エリア情報）で検索し、該当する個人認証付き位置データ内の個人識別ＩＤを参照することで確認できる。他に人がいた場合には、ステップＳ３０８にて、他にいた人を参考人として出力する。

ステップＳ３０２にて、ユーザＩＤの登録者がエリアにいなかった場合には、ステップＳ３０３にて、不正が行われた時間に不正が行われた端末のエリアに他に人がいたか確認する。確認方法は、ステップＳ３０７と同様である。他に人がいた場合には、ステップ
Ｓ３０５にて、いた人を容疑者として出力する（不正にユーザＩＤとパスワードを入手して、機密情報にアクセスした可能性があるため）。他に人がいない場合には、ステップ
Ｓ３０４にて不正者は不明とする。

上記処理を実行後、ステップＳ３０９にて、ログ情報をすべて解析したならば、終了。他に解析すべきログ情報が残っているならば、ステップＳ３０１に戻って上記一連の処理を繰り返し実行する。

なお、上記においてセンサノードによる個人認証に失敗している状態であれば、上記の不正アクセスの追跡はそのセンサノードに関しては無効とする。

図１１，図１２では、センサノードは４個、無線局は３個、端末装置は１個であるが、より多数のセンサノード，無線局，端末装置より構成されるシステムであっても、基本的な動作は同じである。

図１４は、図１１あるいは図１２の例における、個人認証付き位置データＤＢ３９の内容の例を各人の居場所の時間遷移のグラフにして示したものである。不正アクセス特定手段７３にて、不正が行われた時間が図１４に示した不正発生時間帯であり、不正が行われた端末装置が６で、不正を起こしたユーザＩＤの登録者が４０であったとする。そこで、個人認証付き位置データＤＢ３９に対して、不正が行われた時間と、該当する登録者４０に対応する個人識別ＩＤの１９９８０５１２（図２３の表参照）で検索すれば、図１４のグラフより、端末装置６が置かれている無線局２０の受信エリアＡにいたことになり、利用者４０が第一容疑者であると判定される。また、不正発生時間帯には、同エリアに他の人はいないので、参考人は無しとなる。

従来はユーザＩＤで不正者を追跡していたが、ユーザＩＤをなんらかの形で入手し、当人になりすまして不正が行われた場合に対しては、対処できなかった。しかし、上記の不正アクセス追跡システムでは、不正アクセス追跡装置７により、認証された個人の位置情報を用いれば、不正が行われていた場所に当人がいた／いなかったかがわかり、不正者の特定に有効である。また、なりすましが困難であることから、不正行為の抑止効果がある。

なお、別の実施形態として、利用者がアクセスする端末でのユーザＩＤによる認証と、位置情報登録装置３０に保管されている現在の個人認証付きの利用者の位置データが端末が設置されているエリアを示しており、かつ、個人認証が有効な間のみ、機密情報７１１にアクセス可能にする実施の形態も可能である。

あるいは、利用者がアクセスする端末でのユーザＩＤによる認証と、位置情報登録装置３０に保管されている現在の個人認証付きの利用者の位置データが端末が設置されているエリアを示しており、かつ、個人認証が有効な間のみ、端末装置をはじめとするＩＴ機器全般にアクセス可能にする実施の形態も可能である。

≪第４の実施の形態≫
センサノード１０あるいは１１を装着している人による、計算機室セキュリティシステムの実施の形態について説明する。

図１５は、計算機室セキュリティシステムを示す図である。計算機室８１において、無線局２０，２１，２２は、ネットワーク８４を介してセンタ・フロントエンド処理装置
８１１，センサネットＤＢサーバ８１３，監視カメラ８１４と通信する。これらの機器は、ルータ／ファイアウォール８１２〜インターネットに代表される公衆ネットワーク８３を介して遠隔地のデータ・センタ８０と通信する。利用者４２，４３はそれぞれセンサノード１０３，１０４を装着している。センサノード１０３，１０４それぞれが発する通信データ９０は最寄の無線局によって受信される。図では、センサノード１０３が発する通信データ９０は無線局２０に、センサノード１０４が発する通信データ９０は無線局２２によって受信される例を示している。また、温湿度センサ１９１，１９２,１９３,１９４，１９５，１９６は、それぞれがセンシングした温度情報，湿度情報を発信し、最寄の無線局によって受信される。図では、温湿度センサ１９１，１９２が発する通信データ９０は無線局２０に、温湿度センサ１９３，１９４が発する通信データ９０は無線局２２に、温湿度センサ１９５，１９６が発する通信データ９０は無線局２１によって受信される例を示している。また、計算機ラック８２は無線局２０の受信エリアＡ内に置かれており、ネットワーク８４と接続される。計算機ラック８２には電子錠８２１が装着されている。携帯電話８１５は、利用者４３が所持している。

一方、データ・センタ８０では、監視員４１１が計算機室８１の状況を監視するための表示装置８０８を監視している。

図１６は、計算機室セキュリティシステム構成を示す図である。計算機室８１，利用者４２，４３，監視員４１１，センサノード１０３，１０４，温湿度センサ１９１，１９２，１９３，１９４，１９５，１９６，無線局２０，２１，２２，センタ・フロントエンド処理装置８１１，ルータ／ファイアウォール８１２，センサネットＤＢサーバ８１３，監視カメラ８１４，携帯電話８１５，ネットワーク８４，インターネット８３，データ・センタ８０，表示装置８０８に関しては、図１５で説明しているので、ここでは説明を省略する。

無線局２０は、センサネットＡＰ２０１，コントローラ２０２より構成される。センサネットＡＰ２０１は、センサノードと無線通信を行うモジュールであり、センサノードあるいは温湿度センサからの通信データ９０を受信し、無線局ＩＤ９０４を付加して、コントローラ２０２に渡す。コントローラ２０２では、さらに時刻９０３を付加することにより、無線ＩＤ・時刻付き通信データ９１を作成し、センサネットＤＢサーバ８１３に送信する。コントローラ２０２は、プログラマブル・ロジック・コントローラの機能を有し、ユーザが作成したシーケンス制御プログラムを本コントローラ上で実行することができる。これにより、例えば、センサノードからのセンシング情報に基づき、ローカル制御を実行することが可能である。なお、無線局２１，２２に関しても、それぞれセンサネット
ＡＰ２１１，２２１，コントローラ２１２，２２２より構成され、無線局２０と同様に動作する。

計算機ラック８２は、電子錠８２１，温湿度センサ８２３，煙センサ８２４，火災検知装置８２２，コントローラ２８２より構成される。温湿度センサ８２３，煙センサ８２４によるセンシング情報は、火災検知装置８２２の入力情報となる。火災検知装置８２２では受信したセンシング情報に基づき、火災を検知し、警報を発し、コントローラ２８２に対し、火災警報を通知する。コントローラ２８２はデータ・センタ８０に対して、例えば電子メールを送信することにより、火災警報を通知する。さらに、コントローラ２８２は電子錠８２１の状態情報を受信し、データ・センタ８０に通知したり、データ・センタ
８０からの指示を受信して、電子錠のロック解除／施錠を行う。また、上記の火災検知時や、計算機ラックの不正な開錠等の異常事態をコントローラ２８２が検知すると、コントローラ２８２は監視カメラ８１４を起動し、データ・センタ８０に監視カメラ８１４の映像を送付させる。コントローラ２８２が有するプログラマブル・ロジック・コントローラの機能により、上述のコントローラ２８２が行う動作をシーケンス制御プログラムにて記述し、本コントローラ上で実行することにより実現可能である。

なお、コントローラ２０２，２１２，２２２，２８２に、例えばＷＥＢサーバを内蔵させれば、データ・センタ８０，センタ・フロントエンド処理装置８１１や、センサネットＤＢサーバ８１３からＷＥＢインタフェースでコントローラにアクセスすることが可能になる。

センサネットＤＢサーバ８１３は、計算機室８１内の全てのセンサノードの通信データを一元管理する計算機サーバである。本システム構成の例では、データ・センタ側の情報系計算機は、センサネットＤＢサーバ８１３にアクセスすることにより、全てのセンサノードの通信データにアクセスすることが可能になる。

センタ・フロントエンド処理装置８１１は、計算機室８１内に設置され、データ・センタ８０のエージェントサーバとして動作し、データ・センタ８０とセンサネットＤＢサーバ８１３の間のデータ通信を仲介する。

ルータ／ファイアウォール８１２は計算機室８１とデータ・センタ８０の間にＶＰＮ
（ヴァーチャル・プライベート・ネットワーク）を構築する等して、計算機室８１とデータ・センタ８０間でセキュアなデータ通信路を確保する。

データ・センタ８０は、位置情報登録装置３０と環境情報登録装置８０１１と警報受付装置８０１２を内包する監視装置８０１，位置情報・環境情報表示手段８０２，カメラ映像表示手段８０３，ログ情報表示手段８０４，アラーム表示手段８０５，電子錠開閉指示手段８０６，ラック異常通知手段８０７より構成される。

計算機室セキュリティシステムの全体動作を説明する。

センサノード１０３，１０４が周期的に発する通信データ９０は、最寄の無線局より、センサネットＤＢサーバ８１３，センタ・フロントエンド処理装置８１１，ルータ／ファイアウォール８１２を経由し、データ・センタ８０に送信される。データ・センタ８０では、監視装置８０１内の位置情報装置３０がセンサノードから送られてきたデータを受付け、個人認証付き位置データ９４として、位置情報装置３０内のＤＢに逐次保存する。

温湿度センサ１９１，１９２，１９３，１９４，１９５，１９６は、それぞれがセンシングした温度情報，湿度情報を周期的に発信し、最寄の無線局よりデータ・センタ８０に送信される。データ・センタ８０では、監視装置８０１内の環境情報登録装置８０１１が受信した温度情報，湿度情報を逐次保存する。

計算機ラック８２内のコントローラ２８２は、火災検知時や、計算機ラックの不正な開錠等の異常事態を検知すると、警報メールをデータ・センタ８０に送信する。データ・センタ８０では、監視装置８０１内の警報受付装置８０１２が受信した警報メールを保存する。

ラック異常通知手段８０７は、警報受付装置８０１２に警報メールが保存されると、その内容を確認し、位置情報登録装置３０より、計算機室内にいるシステム管理者を探し出し、異常を通知する。図１５，図１６の例では、センサノード１０４を装着した４３がシステム管理者であり、４３が所持する携帯電話８１５に電話をかけたり、電子メールを送信する。

電子錠開閉指示手段８０６には、計算機ラック８２へのアクセス権限を有する個人識別ＩＤのリストが予め登録されている。電子錠開閉指示手段８０６は、センサノードの位置情報登録装置３０内のＤＢを監視し、計算機ラック８２が置かれているエリアＡ（無線局２０の受信エリア）にリストに登録された個人識別ＩＤのセンサノードが入ったことを検出すれば、計算機ラック８２の電子錠８２１のロックを解除するよう、コントローラ282に指示する。これにより、計算機ラック８２へのアクセス権限を有する人が計算機ラックに近づくだけで、電子錠のロックが解除されるので、計算機ラック８２の鍵を持ち歩かなくてもよくなる。

位置情報・環境情報表示手段８０２は、位置情報登録装置３０に登録されている各人の位置情報、ならびに、環境情報登録装置８０１１より、各人がどこにいるか、各温湿度センサの設置箇所の温湿度がどれだけなのかを、また、警報受付装置８０１２に登録されている警報を確認することにより計算機ラック８２の状況を、それぞれリアルタイムに表示する。図１７は、位置情報・環境情報表示手段８０２による表示画面の一例８０２１を示したものである。図１７の例では、個人識別ＩＤ２００１０３１３は無線局２０の受信エリアであるエリアＡに存在し、個人識別ＩＤ１９６３０６２７は無線局２２の受信エリアであるエリアＢに存在する。個人識別ＩＤ２００１０３１３を表すアイコン４２上にカーソル５０２を移動すると、５０３の小ウィンドウ画面が開き、個人識別ＩＤ20010313の詳細情報を表示する。また、各温湿度センサの値がセンサを表すアイコンの隣に表示されている。計算機ラック８２に異常ある場合には、画面上の計算機ラックを点滅させる等する。

図１８は、表示装置８０８の表示画面の一例である。図では表示装置８０８は４面ディスプレイで構成される。図１７で説明した画面８０２１は左上の画面に表示されている。８０３１はカメラ映像表示手段８０３が表示する画面である。画面８０３１は監視カメラ８１４の画面である。

画面８０４１，８０４２はログ情報表示手段８０４が表示する画面である。画面8041は、ログ情報表示手段８０４が、位置情報登録装置３０に登録されている各人の位置情報ならびに警報受付装置８０１２に登録されている警報を時系列に表示したものであり、図
１９，図２０が各々の表示例に相当する。図１９は、計算機室セキュリティシステムの計算機ラックこじ開け発生時の履歴であり、図２０は、計算機室セキュリティシステムの煙検知発生時の履歴である。

一方、図１８の画面８０４２は、環境情報登録装置８０１１が保存した温度情報，湿度情報の履歴を温湿度経過グラフにして表示したものである。また、画面８０５１は警報画面であり、アラーム表示手段８０５が、警報受付装置８０１２に届いた新着の警報を表示したものである。

上記のように、計算機室８１内の各種状況をデータ・センタ８０が表示装置８０８に表示することにより、監視員４１１は、計算機室８１内の計算機ラック８２の状態や室内の環境情報（温湿度情報）を一元的に把握することが可能になる。

≪その他の実施の形態≫
図２１は、名札型センサノードの別の実施例の構成を示す図である。センサノード１２において、加速度センサと無線通信手段はセンサノード１１のものと同じである。センサノード１１との違いは、ストラップ１１０４のかわりにクリップ１２０４をつけたことであり、クリップ１２０４はスイッチをかねており、センサノード１２の装着を解除するためにクリップ１２０４を広げるとスイッチが入り、装着解除されたこと（＝取り外されたこと）を確実に知ることが可能になる。センサノード１２は、図２２に示すように、胸ポケット等の衣類に固定するタイプの名札センサである。

センサと無線ネットワークを利用した個人認証システムの構成を示す図である。 名札型センサノード（ストラップ吊下げ型）の構成を示す図である。 名札型センサノード（ストラップ吊下げ型）装着例を示す図である。 個人特徴情報の抽出ならびに個人情報ＤＢへの登録を示すフローチャートである。 加速度より、１ステップあたりの歩幅，水平移動速度，着地力，蹴力を求めるためのグラフである。 個人認証フローを示すフローチャートである。 位置情報付き個人認証システムの構成を示す図である。 位置情報付き個人認証システムにおける、個人認証付き位置データＤＢ内の履歴情報を示す図である。 位置情報付き個人認証システムの各人のエリア入退の履歴を示す図である。 位置情報付き個人認証システムのエリア状況表示画面を示す図である。 不正アクセス追跡システムを示す図である。 不正アクセス追跡システムの構成を示す図である。 ＩＤ登録者突合せ手段の動作を示すフローチャートである。 各人の居場所の時間遷移を示すグラフである。 計算機室セキュリティシステムを示す図である。 計算機室セキュリティシステムの構成を示す図である。 計算機室セキュリティシステムのビジュアルモニタ画面を示す図である。 計算機室セキュリティシステムの全体モニタ画面を示す図である。 計算機室セキュリティシステムの計算機ラックこじ開け発生時の履歴を示す図である。 計算機室セキュリティシステムの煙検知発生時の履歴を示す図である。 名札型センサノード（クリップ固定型）の構成を示す図である。 名札型センサノード（クリップ固定型）装着例を示す図である。 センサノード，ＩＤ，登録者一覧表である。 各種データ構成を示す図である。

符号の説明

１０，１１，１０１，１０２，１０３，１０４，１２…センサノード、１００１…センサ、１００２，１１０２，１２０２…処理手段、１００３…無線通信手段、１１０１…加速度センサ、１１０４…ストラップ、１２０４…クリップ、１９１，１９２，１９３，
１９４，１９５，１９６…温湿度センサ、２０，２１，２２…無線局、２０１，２１１，２２１…センサネットＡＰ、２０２，２１２，２２２，２８２…コントローラ、３…個人認証装置、３０…位置情報登録装置、３１…モニタリング手段、３２…特徴抽出手段、
３３…特徴一致判定手段、３４…登録手段、３５…取出手段、３６…個人特徴ＤＢ、３７…個人認証結果ＤＢ、３８…認証情報追加手段、３９…個人認証付き位置データＤＢ、
６…端末装置、７…不正アクセス追跡装置、７１…管理サーバ、７１１…機密情報、712…アクセスログ、７３…不正アクセス特定手段、７４…ＩＤ登録者突合せ手段、８０…データ・センタ、８０１…監視装置、８０１１…環境情報登録装置、８０１２…警報受付装置、８０２…位置情報・環境情報表示手段、８０３…カメラ映像表示手段、８０４…ログ情報表示手段、８０５…アラーム表示手段、８０６…電子錠開閉指示手段、８０７…ラック異常メール送信手段、８０８…表示装置、８１…計算機室、８１１…センタ・フロントエンド処理装置、８１２…ルータ／ファイアウォール、８１３…センサネットＤＢサーバ、８１４…監視カメラ、８１５…携帯電話、８２…計算機ラック、８２１…電子錠、822…火災検知装置、８２３…温湿度センサ、８２４…煙センサ、８３…インターネット、
９０…センサノードより送信される通信データ、９０１…個人識別ＩＤ、９０２…センシング情報、９０３…時刻、９０４…無線局ＩＤ、９０５…登録時刻、９０６…個人特徴情報、９０７…認証結果、９１…無線ＩＤ・時刻付き通信データ、９２…個人特徴データ、９３…個人認証結果、９４…個人認証付き位置データ。

Claims (11)

1. 施設内の設備を利用する利用者に装着され、利用者の生体情報あるいは身体的特徴に起因する情報をセンシングするセンサと、無線通信手段とを有し、個人識別ＩＤおよびセンシングしたセンシング情報を連続的または定期的に無線通信にて発信する認証タグと、
   施設内に１箇所あるいは複数箇所設置され、前記認証タグが発する情報を受信し、受信した情報を別の通信手段で送信する機能を有する無線局と、
   前記無線局経由で連続的または定期的に受信する前記認証タグによる前記センシング情報より、前記利用者の特徴を抽出する手段と、個人識別ＩＤと利用者の特徴とが対応付けて登録された個人特徴ＤＢと、抽出した前記利用者の特徴と前記個人特徴ＤＢに登録された受信した前記個人識別ＩＤに対応する利用者の特徴とを比較し、一致すれば個人認証をパスしたと判定する個人認証手段と、前記認証タグからの通信データを受信した無線局ＩＤと受信した時刻と前記個人識別ＩＤと前記個人認証手段による判定結果とを合わせた個人認証付きの利用者の位置データを記録する手段を有する位置情報登録装置とを有することを特徴とする個人認証システム。
2. 利用者が最初に前記認証タグを装着すると、前記認証タグから送られてくる前記センシング情報をもとに、前記利用者の特徴を抽出する手段にて抽出した個人の特徴を前記個人特徴ＤＢに前記個人識別ＩＤと共に登録することを特徴とする請求項１記載の個人認証システム。
3. 前記認証タグが有するセンサは加速度センサであって、前記認証タグを装着する利用者の歩行時の特徴をセンシングすることを特徴とする請求項１記載の個人認証システム。
4. 前記利用者の歩行時の特徴は、歩幅，上下移動幅，左右移動幅，水平移動速度，着地力，蹴力の特徴のすべて、またはこれらの特徴の一部より構成されることを特徴とする請求項３記載の個人認証システム。
5. 抽出した前記利用者の特徴と前記個人特徴ＤＢに登録された受信した前記個人識別ＩＤに対応する前記利用者の特徴とを比較し、一致しなかった場合、前記個人特徴ＤＢに登録された他の利用者の特徴と比較し、一致すれば、特徴が一致した前記他の利用者が前記認証タグを装着していると判断することを特徴とする請求項１記載の個人認証システム。
6. 請求項１記載の個人認証システムを有する不正アクセス追跡システムであって、
   機密情報ならびに機密情報へのアクセスログを有し、これらを管理する管理サーバと、前記機密情報の不正なアクセスが発覚した際、前記アクセスログの解析により、不正なアクセスがあった時間，ユーザＩＤ，端末を特定し、前記位置情報登録装置に登録された前記個人認証付きの利用者の位置データと突き合わせる手段とを有することを特徴とする不正アクセス追跡システム。
7. 機密情報ならびに機密情報へのアクセスログを管理する管理サーバを有し、前記機密情報にアクセスする端末でのユーザＩＤによる認証とともに、前記位置情報登録装置に登録された現在の個人認証付きの利用者の位置データが前記端末が設置されているエリアを示している間のみ、前記端末より前記機密情報にアクセスできることを特徴とする請求項１記載の個人認証システム。
8. 利用者がアクセスする端末でのユーザＩＤによる認証とともに、前記位置情報登録装置に登録された現在の個人認証付きの利用者の位置データが前記端末が設置されているエリアを示している間のみ、前記端末にアクセスできることを特徴とする請求項１記載の個人認証システム。
9. 請求項１記載の個人認証システムを有する計算機セキュリティシステムであって、
   前記認証タグは計算機室内に設置されている自動制御可能な電子錠を有する計算機ラックにアクセスする利用者に装着され、
   前記位置情報登録装置に登録された個人認証付きの利用者の位置データと、前記利用者の前記計算機ラックへのアクセス権限情報とを突き合わせ、前記計算機ラックへのアクセス権限を有する利用者が前記計算機に近づくと、前記計算機ラックの錠を自動制御することを特徴とする計算機セキュリティシステム。
10. 前記認証タグは、ストラップで首に吊下げる名札型の認証タグであることを特徴とする請求項１記載の個人認証システム。
11. 前記認証タグは、装着しているかがわかるスイッチ付きクリップを有し、胸ポケット等に装着する名札型の認証タグであることを特徴とする請求項１記載の個人認証システム。

Images