知財求人 - 知財ポータルサイト「IP Force」
▶ 株式会社東芝の特許一覧 ▶ 東芝電機サービス株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024135280
(43)【公開日】2024-10-04
(54)【発明の名称】生体認証システム、生体認証装置および生体認証方法
(51)【国際特許分類】
G06F 21/32 20130101AFI20240927BHJP
G06F 21/44 20130101ALI20240927BHJP
G06F 21/62 20130101ALI20240927BHJP
【ＦＩ】
G06F21/32
G06F21/44
G06F21/62
【審査請求】未請求
【請求項の数】15
【出願形態】ＯＬ
(21)【出願番号】P 2023045893
(22)【出願日】2023-03-22
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡ
(71)【出願人】
【識別番号】000003078
【氏名又は名称】株式会社東芝
(71)【出願人】
【識別番号】598076591
【氏名又は名称】東芝インフラシステムズ株式会社
(74)【代理人】
【識別番号】100120031
【弁理士】
【氏名又は名称】宮嶋 学
(74)【代理人】
【識別番号】100107582
【弁理士】
【氏名又は名称】関根 毅
(74)【代理人】
【識別番号】100118876
【弁理士】
【氏名又は名称】鈴木 順生
(72)【発明者】
【氏名】鈴木 伸明
(72)【発明者】
【氏名】駒野 雄一
(72)【発明者】
【氏名】福田 亜紀
(57)【要約】
【課題】互いに相手方のセキュリティレベルを考慮して相互認証を行うことができる、生体認証システムを提供する。
【解決手段】本実施の形態の生体認証システムは、生体認証装置および情報処理装置を含む。生体認証装置は、生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、生体情報に基づいてユーザを認証するとともに、第２のセキュリティレベルに基づいて情報処理装置を認証する第１の認証部とを備える。情報処理装置は、第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、第１のセキュリティレベルに基づいて、生体認証装置を認証する第２の認証部とを備える。
【選択図】図１
【解決手段】本実施の形態の生体認証システムは、生体認証装置および情報処理装置を含む。生体認証装置は、生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、生体情報に基づいてユーザを認証するとともに、第２のセキュリティレベルに基づいて情報処理装置を認証する第１の認証部とを備える。情報処理装置は、第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、第１のセキュリティレベルに基づいて、生体認証装置を認証する第２の認証部とを備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
生体認証装置および情報処理装置を含む生体認証システムであって、
前記生体認証装置は、
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを前記情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備え、
前記情報処理装置は、
第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、
前記第２のセキュアエレメントから前記第２のセキュリティレベルに係るデータを読み出し、該第２のセキュリティレベルに係るデータに基づいて、第２のセキュリティレベルを取得する第２のセキュリティレベル取得部と、
前記第２のセキュリティレベルを前記生体認証装置に送信するとともに、前記生体認証装置から前記第１のセキュリティレベルを受信する第２の通信部と、
前記第１のセキュリティレベルに基づいて、前記生体認証装置を認証する第２の認証部と
を備える、生体認証システム。
前記生体認証装置は、
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを前記情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備え、
前記情報処理装置は、
第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、
前記第２のセキュアエレメントから前記第２のセキュリティレベルに係るデータを読み出し、該第２のセキュリティレベルに係るデータに基づいて、第２のセキュリティレベルを取得する第２のセキュリティレベル取得部と、
前記第２のセキュリティレベルを前記生体認証装置に送信するとともに、前記生体認証装置から前記第１のセキュリティレベルを受信する第２の通信部と、
前記第１のセキュリティレベルに基づいて、前記生体認証装置を認証する第２の認証部と
を備える、生体認証システム。
【請求項2】
前記生体認証装置の前記第１の認証部は、前記第２のセキュリティレベルが所定の閾値以上である場合には、前記情報処理装置を許可し、前記第２のセキュリティレベルが前記所定の閾値未満である場合には、前記情報処理装置を拒絶する、請求項１に記載の生体認証システム。
【請求項3】
前記生体認証装置の前記第１の通信部は、前記情報処理装置の認証結果を前記情報処理装置に送信する、請求項２に記載の生体認証システム。
【請求項4】
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の動作設定を行う、請求項３に記載の生体認証システム。
【請求項5】
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の機能の一部またはすべてを制限する、請求項４に記載の生体認証システム。
【請求項6】
前記生体情報取得部、前記第１のセキュリティレベル取得部および前記第２のセキュリティレベル取得部は、ＡＰＩとして実装される、請求項１に記載の生体認証システム。
【請求項7】
前記生体認証装置は、前記第１のセキュアエレメントを差し替え可能に構成される、請求項１に記載の生体認証システム。
【請求項8】
前記生体認証装置は、
前記第１のセキュアエレメントに前記生体情報に係るデータを書き込む生体情報設定部と、
前記第１のセキュアエレメントに前記第１のセキュリティレベルに係るデータを書き込む第１のセキュリティレベル設定部と、
前記第１のセキュアエレメントに検証情報に係るデータを書き込む検証情報設定部と、
前記第１のセキュアエレメントから前記検証情報に係るデータを読み出し、該検証情報に係るデータに基づいて、検証情報を取得する検証情報取得部と、
前記検証情報を用いて前記生体認証装置の正当性を検証する検証部と
をさらに備える、請求項７に記載の生体認証システム。
前記第１のセキュアエレメントに前記生体情報に係るデータを書き込む生体情報設定部と、
前記第１のセキュアエレメントに前記第１のセキュリティレベルに係るデータを書き込む第１のセキュリティレベル設定部と、
前記第１のセキュアエレメントに検証情報に係るデータを書き込む検証情報設定部と、
前記第１のセキュアエレメントから前記検証情報に係るデータを読み出し、該検証情報に係るデータに基づいて、検証情報を取得する検証情報取得部と、
前記検証情報を用いて前記生体認証装置の正当性を検証する検証部と
をさらに備える、請求項７に記載の生体認証システム。
【請求項9】
前記生体認証装置の前記検証部は、前記生体認証装置の電源がオンされた際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、請求項８に記載の生体認証システム。
【請求項10】
前記生体認証装置の電源がオンである際に、前記第１のセキュアエレメントが差し替えられると、前記生体認証装置は初期化または再起動され、
前記生体認証装置の前記検証部は、前記生体認証装置が初期化または再起動された際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、請求項８に記載の生体認証システム。
前記生体認証装置の前記検証部は、前記生体認証装置が初期化または再起動された際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、請求項８に記載の生体認証システム。
【請求項11】
前記生体認証設定部、前記第１のセキュリティレベル設定部、前記検証情報設定部および前記検証情報取得部は、ＡＰＩとして実装される、請求項８に記載の生体認証システム。
【請求項12】
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記情報処理装置の前記第２の認証部は、
前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証するとともに、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、請求項１に記載の生体認証システム。
前記情報処理装置の前記第２の認証部は、
前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証するとともに、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、請求項１に記載の生体認証システム。
【請求項13】
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記第２の生体認証装置の前記第１の認証部は、前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証し、
前記情報処理装置の前記第２の認証部は、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、請求項１に記載の生体認証システム。
前記第２の生体認証装置の前記第１の認証部は、前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証し、
前記情報処理装置の前記第２の認証部は、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、請求項１に記載の生体認証システム。
【請求項14】
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備える、生体認証装置。
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備える、生体認証装置。
【請求項15】
第１のセキュアエレメントから生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得するステップと、
前記第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得するステップと、
前記第１のセキュリティレベルを情報処理装置に送信するステップと、
前記情報処理装置から第２のセキュリティレベルを受信するステップと、
前記生体情報に基づいてユーザを認証するステップと、
前記第２のセキュリティレベルに基づいて前記情報処理装置を認証するステップと
を含む、生体認証方法。
前記第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得するステップと、
前記第１のセキュリティレベルを情報処理装置に送信するステップと、
前記情報処理装置から第２のセキュリティレベルを受信するステップと、
前記生体情報に基づいてユーザを認証するステップと、
前記第２のセキュリティレベルに基づいて前記情報処理装置を認証するステップと
を含む、生体認証方法。
【発明の詳細な説明】
【技術分野】
【0001】
本実施の形態は、生体認証システム、生体認証装置および生体認証方法に関する。
【背景技術】
【0002】
指紋認証機能を有するスマートフォンやセキュリティカード等、生体認証機能を有する装置（生体認証装置）を各個人が常時所持する状況が一般化している。これにより、ユーザが何らかの情報処理装置を利用しようとする際に、当該情報処理装置とユーザの所持する生体認証装置との間で相互認証を行うことにより、正当な権限を有するユーザのみが情報処理装置を利用できるようになる。
【0003】
この際、生体認証装置と情報処理装置とは、相手方の装置が保証するセキュリティレベルが自己の要求する基準を満たしているか否かを相互に判定する必要がある。そのため、生体認証装置と情報処理装置とは、互いに相手方のセキュリティレベルを考慮して相互認証を行う必要がある。
【先行技術文献】
【非特許文献】
【0004】
【非特許文献1】Torsten Forder著："Standardizing a Generic Trust Anchor API for Industrial IoT Devices", January 2021, https://www.plattform-i40.de/IP/Redaktion/DE/Downloads/Publikation/2021_IT-Security-Conference_PPT_F%C3%B6rder.pdf?__blob=publicationFile&v=1
【非特許文献2】ISO/IEC TS 30168 ED1 "Internet of Things (IoT) - Generic Trust Anchor Application Programming Interface for Industrial IoT Devices", https://www.iec.ch/dyn/www/f?p=103:38:304858227790599::::FSP_ORG_ID,FSP_APEX_PAGE,FSP_PROJECT_ID:20486,23,104067
【非特許文献3】JTC1-SC41/142/NP, "Internet of Things (IoT) - Generic Trust Anchor Application Programming Interface for Industrial IoT Devices", https://standardsdevelopment.bsigroup.com/projects/9020-03871#/section
【発明の概要】
【発明が解決しようとする課題】
【0005】
本実施の形態は、互いに相手方のセキュリティレベルを考慮して相互認証を行うことができる、生体認証システム、生体認証装置および生体認証方法を提供することを目的とする。
【課題を解決するための手段】
【0006】
上記の課題を解決するために、本実施の形態に係る生体認証システムは、生体認証装置および情報処理装置を含む。生体認証装置は、生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、第１のセキュアエレメントから生体情報に係るデータを読み出し、当該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、当該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、第１のセキュリティレベルを情報処理装置に送信するとともに、情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、生体情報に基づいてユーザを認証するとともに、第２のセキュリティレベルに基づいて情報処理装置を認証する第１の認証部とを備える。情報処理装置は、第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、第２のセキュアエレメントから第２のセキュリティレベルに係るデータを読み出し、当該第２のセキュリティレベルに係るデータに基づいて、第２のセキュリティレベルを取得する第２のセキュリティレベル取得部と、第２のセキュリティレベルを生体認証装置に送信するとともに、生体認証装置から第１のセキュリティレベルを受信する第２の通信部と、第１のセキュリティレベルに基づいて、生体認証装置を認証する第２の認証部とを備える。
【0007】
また、本実施の形態に係る生体認証装置は、生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、第１のセキュアエレメントから生体情報に係るデータを読み出し、当該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、当該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、第１のセキュリティレベルを情報処理装置に送信するとともに、情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、生体情報に基づいてユーザを認証するとともに、第２のセキュリティレベルに基づいて情報処理装置を認証する第１の認証部とを備える。
【0008】
また、本実施の形態に係る生体認証方法は、第１のセキュアエレメントから生体情報に係るデータを読み出し、当該生体情報に係るデータに基づいて、生体情報を取得するステップと、第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、当該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得するステップと、第１のセキュリティレベルを情報処理装置に送信するステップと、情報処理装置から第２のセキュリティレベルを受信するステップと、生体情報に基づいてユーザを認証するステップと、第２のセキュリティレベルに基づいて情報処理装置を認証するステップとを含む。
【図面の簡単な説明】
【0009】
【図1】実施の形態１に係る生体認証システムの構成を示す図。
【図2】実施の形態１に係る生体認証システムの処理の詳細を説明するフローチャート。
【図3】実施の形態２に係る生体認証システムの構成を示す図。
【図4】実施の形態２に係る生体認証システムの処理の詳細を説明するフローチャート。
【図5】実施の形態２に係る生体認証システムの処理の詳細を説明するフローチャート。
【図6】実施の形態２に係る生体認証システムの処理の詳細を説明するフローチャート。
【図7】実施の形態３に係る生体認証システムの構成を示す図。
【図8】実施の形態３に係る生体認証システムの処理の詳細を説明するフローチャート。
【図9】実施の形態３に係る生体認証システムの処理の詳細を説明するフローチャート。
【図10】実施の形態４に係る生体認証システムの構成を示す図。
【図11】実施の形態４に係る生体認証システムの処理の詳細を説明するフローチャート。
【図12】実施の形態４に係る生体認証システムの処理の詳細を説明するフローチャート。
【図13】実施の形態４に係る生体認証システムの処理の詳細を説明するフローチャート。
【発明を実施するための形態】
【0010】
以下では、図面を参照しながら、本実施の形態について説明する。図面において同一または対応する要素には同じ参照符号を付して、詳細な説明は適宜省略する。
【0011】
［実施の形態１］
（生体認証システム）
図１は、実施の形態１に係る生体認証システム１の構成を示す図である。生体認証システム１は、生体認証装置２とＩｏＴ装置３とを備えている。生体認証装置２は、例えば、ユーザの生体情報を取得する機能を有するセキュリィカード、スマートフォン、あるいは専用デバイス等である。ユーザの生体情報とは、例えば、ユーザの指紋、顔、虹彩、静脈、または音声等から抽出される特徴データである。ＩｏＴ装置３は、例えば、工場内に設置される工作機械等である。ただし、本実施の形態１に係る技術の適用可能な範囲は、これらに限定されるものではない。
（生体認証システム）
図１は、実施の形態１に係る生体認証システム１の構成を示す図である。生体認証システム１は、生体認証装置２とＩｏＴ装置３とを備えている。生体認証装置２は、例えば、ユーザの生体情報を取得する機能を有するセキュリィカード、スマートフォン、あるいは専用デバイス等である。ユーザの生体情報とは、例えば、ユーザの指紋、顔、虹彩、静脈、または音声等から抽出される特徴データである。ＩｏＴ装置３は、例えば、工場内に設置される工作機械等である。ただし、本実施の形態１に係る技術の適用可能な範囲は、これらに限定されるものではない。
【0012】
（生体認証装置）
生体認証装置２は、セキュアエレメント（ＳＥ）１０と、ＡＰＩ（Application Programmable Interface）層２０と、アプリケーション（ＡＰＰ）層３０とを含んでいる。また、生体認証装置２は、図示しない通信インターフェースを含んでいる。通信インターフェースの通信方式は、例えば、有線ＬＡＮ、無線ＬＡＮ、ＷｉＦｉ（登録商標）、ＮＦＣ（Near Filed Communication）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、あるいはＺｉｇＢｅｅ（登録商標）等である。
生体認証装置２は、セキュアエレメント（ＳＥ）１０と、ＡＰＩ（Application Programmable Interface）層２０と、アプリケーション（ＡＰＰ）層３０とを含んでいる。また、生体認証装置２は、図示しない通信インターフェースを含んでいる。通信インターフェースの通信方式は、例えば、有線ＬＡＮ、無線ＬＡＮ、ＷｉＦｉ（登録商標）、ＮＦＣ（Near Filed Communication）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、あるいはＺｉｇＢｅｅ（登録商標）等である。
【0013】
ＳＥ１０は、重要情報をハードウェア的に暗号化して格納する機能を有するデバイスであり、例えば、スマートフォン等に搭載されるＴＰＭ（Trusted Platform Module）、あるいはＩＣカード等に搭載されるセキュリティチップ等である。ＳＥ１０は、すべてハードウェアによって構成されてもよいし、その一部がソフトウェアによって構成されてもよい。
【0014】
ＳＥ１０には、ユーザの生体情報、ユーザのロール、生体認証装置２の生体認証機能の種類、および生体認証装置２のセキュリティレベル等の各種の重要情報に係るデータが格納されている。上述したように、ユーザの生体情報とは、例えば、ユーザの指紋、顔、虹彩、静脈、または音声等から抽出される特徴データである。ユーザのロールとは、例えば、０：情報なし、１：一般ユーザ、２：管理ユーザ等である。生体認証機能の種類とは、例えば、０：生体認証機能なし、１：指紋認証、２：顔認証、３：虹彩証、４：静脈認証、５：音声認証等である。セキュリティレベルとは、例えば、０：非対応、１：Ｌｏｗ、２：Ｍｉｄｄｌｅ、３：Ｈｉｇｈ等である。
【0015】
例えば、生体情報の場合、ＳＥ１０には、ユーザの生体情報に係るデータがハードウェア的に暗号化されて格納されている。ここで、生体情報に係るデータとは、生体情報そのものであってもよいし、生体認証装置２内のＳＥ１０以外の場所に暗号化されて保管されている生体情報を復号するための秘密鍵であってもよい。
【0016】
同様に、セキュリティレベルの場合、ＳＥ１０には、生体認証装置２のセキュリティレベルに係るデータがハードウェア的に暗号化されて格納されている。セキュリティレベルに係るデータとは、セキュリティレベルそのものであってもよいし、生体認証装置２内のＳＥ１０以外の場所に暗号化されて格納されているセキュリティレベルを復号するための秘密鍵であってもよい。
【0017】
ＡＰＩ層２０は、生体情報取得部２１と、セキュリティレベル取得部２２と、データ一覧取得部２３とを含んでいる。これらのＡＰＩは、例えば、Ｊａｖａ、Ｏｂｊｅｃｔｉｖｅ－Ｃ、Ｃ＃、Ｃ＋＋、あるいはＣ等の一般的なプログラミング言語におけるメソッド、関数、あるいは手続き等として定義および実装されている。後述するＡＰＰ層３０の各モジュールは、これらのＡＰＩを呼び出して利用することができる。これらのＡＰＩは、すべてソフトウェアによって実装されてもよいし、その一部またはすべてがハードウェアによって実装されてもよい。
【0018】
生体情報取得部２１は、ＳＥ１０に格納されている生体情報に係るデータを読み出し、当該生体情報に係るデータに基づいて、ユーザの生体情報を取得する。例えば、生体情報に係るデータが生体情報そのものである場合には、生体情報取得部２１は、ＳＥ１０から読み出されたデータをそのまま、ユーザの生体情報として取得することができる。また、生体情報に係るデータが別の場所に格納されている暗号化された生体情報を復号するための秘密鍵である場合には、生体情報取得部２１は、ＳＥ１０から読み出された秘密鍵を用いて、暗号化された生体情報を復号することにより、ユーザの生体情報を取得することができる。
【0019】
セキュリティレベル取得部２２は、ＳＥ１０に格納されているセキュリティレベルに係るデータを読み出し、当該セキュリティレベルに係るデータに基づいて、生体認証装置２のセキュリティレベルを取得する。例えば、セキュリティレベルに係るデータがセキュリティレベルそのものである場合には、セキュリティレベル取得部２２は、ＳＥ１０から読み出されたデータをそのまま、生体認証装置３のセキュリティレベルとして取得することができる。また、セキュリティレベルに係るデータが別の場所に格納されている暗号化されたセキュリティレベルを復号するための秘密鍵である場合には、セキュリティレベル取得部２２は、ＳＥ１０から読み出された秘密鍵を用いて、暗号化されたセキュリティレベルを復号することにより、生体認証装置２のセキュリティレベルを取得することができる。
【0020】
データ一覧取得部２３は、ＳＥ１０に格納されているデータの一覧を取得する。
【0021】
ＡＰＰ層３０は、認証部３１と、通信部３２とを含んでいる。これらのモジュールは、一般的なプログラミング言語によって記述および実装されている。これらのモジュールは、ＡＰＩ層２０に含まれるＡＰＩを呼び出して利用することができる。これらのモジュールは、すべてソフトウェアによって実装されてもよいし、その一部またはすべてがハードウェアによって実装されてもよい。
【0022】
認証部３１は、生体情報に基づいてユーザを認証するとともに、ＩｏＴ装置３から受信されるセキュリティレベルに基づいて、ＩｏＴ装置３を認証する。通信部３２は、図示しない通信インターフェースを介して、ＩｏＴ装置３との間で各種のデータを送受信する。なお、本実施の形態１では、通信部３２はＡＰＰ層３０に含まれているが、代替的には、通信部３２はＡＰＩ層２０に含まれていてもよい。
【0023】
（ＩｏＴ装置）
ＩｏＴ装置３は、セキュアエレメント（ＳＥ）５０と、ＡＰＩ層６０と、ＡＰＰ層７０とを含んでいる。また、ＩｏＴ装置３は、図示しない通信インターフェースを含んでいる。通信インターフェースの通信方式は、上述した生体認証装置２の通信インターフェース０の通信方式に対応したものである。
ＩｏＴ装置３は、セキュアエレメント（ＳＥ）５０と、ＡＰＩ層６０と、ＡＰＰ層７０とを含んでいる。また、ＩｏＴ装置３は、図示しない通信インターフェースを含んでいる。通信インターフェースの通信方式は、上述した生体認証装置２の通信インターフェース０の通信方式に対応したものである。
【0024】
ＳＥ５０は、重要情報をハードウェア的に暗号化して格納する機能を有するデバイスであり、例えば、ＴＰＭあるいはセキュリティチップ等である。ＳＥ５０は、すべてハードウェアによって構成されてもよいし、その一部がソフトウェアによって構成されてもよい。ＩｏＴ装置３のＳＥ５０と生体認証装置２のＳＥ１０とは、同一の仕様を有するものであってもよいし、異なる仕様を有するものであってもよい。
【0025】
ＳＥ５０には、ＩｏＴ装置３のセキュリティレベルに係るデータがハードウェア的に暗号化されて格納されている。セキュリティレベルに係るデータは、セキュリティレベルそのものであってもよいし、ＩｏＴ装置３内のＳＥ５０以外の場所に暗号化されて格納されているセキュリティレベルを復号するための秘密鍵であってもよい。
【0026】
ＡＰＩ層６０は、セキュリティレベル取得部６１を含んでいる。セキュリティレベル取得部６１は、ＳＥ５０に格納されているセキュリティレベルに係るデータを読み出し、当該セキュリティレベルに係るデータに基づいて、ＩｏＴ装置３のセキュリティレベルを取得する。
【0027】
ＡＰＰ層７０は、認証部７１と、通信部７２とを含んでいる。これらのモジュールは、一般的なプログラミング言語によって記述および実装されている。これらのモジュールは、ＡＰＩ層６０に含まれるＡＰＩを呼び出して利用することができる。これらのモジュールは、すべてソフトウェアによって実装されてもよいし、その一部またはすべてがハードウェアによって実装されてもよい。
【0028】
認証部７１は、生体認証装置２から受信されるセキュリティレベルに基づいて、生体認証装置２を認証する。通信部７２は、図示しない通信インターフェースを介して、生体認証装置２との間で各種のデータを送受信する。なお、本実施の形態１では、通信部７２はＡＰＰ層７０に含まれているが、代替的には、通信部７２はＡＰＩ層６０に含まれていてもよい。
【0029】
次に、本実施の形態１に係る生体認証システム１による認証処理の詳細にいて、図２のフローチャートを参照して説明する。
【0030】
ステップＳ１０１において、ＩｏＴ装置３の認証部７１は、ＡＰＩ層６０のセキュリティレベル取得部６１を介して、ＳＥ５０によって保護されているＩｏＴ装置３のセキュリティレベルを取得する。
【0031】
ステップＳ１０２において、ＩｏＴ装置３の通信部７２は、上記のステップＳ１０１で取得されたＩｏＴ装置３のセキュリティレベルを生体認証装置２に送信する。
【0032】
ステップＳ１０３において、生体認証装置２の通信部３２は、上記のステップＳ１０２で送信されたＩｏＴ装置３のセキュリティレベルを受信する。
【0033】
ステップＳ１０４において、生体認証装置２の認証部３１は、ＡＰＩ層２０の生体情報取得部２１を介して、ＳＥ１０によって保護されているユーザの生体情報を取得する。
【0034】
ステップＳ１０５において、生体認証装置２の認証部３１は、上記のステップＳ１０４で取得された生体情報に基づいて、ユーザの生体認証を行う。例えば、生体認証装置２が生体情報の取得機能を有するスマートフォンである場合には、認証部３１は、スマートフォンによって取得されるユーザの生体情報と、上記のステップＳ１０４で取得された生体情報とを比較し、両者が一致するか否かを判定する。両者が一致する場合には、認証部３１は、次のステップＳ１０６の処理に進む。なお、図２には示されていないが、両者が一致しない場合には、認証部３１は、図２の認証処理を停止する。
【0035】
ステップＳ１０６において、生体認証装置２の認証部３１は、ＡＰＩ層２０に含まれるセキュリティレベル取得部２２を介して、ＳＥ１０によって保護されている生体認証装置２のセキュリティレベルを取得する。
【0036】
ステップＳ１０７において、生体認証装置２の通信部３２は、上記のステップＳ１０６で取得された生体認証装置２のセキュリティレベルをＩｏＴ装置３に送信する。
【0037】
ステップＳ１０８において、ＩｏＴ装置３の通信部７２は、上記のステップＳ１０７で送信された生体認証装置２のセキュリティレベルを受信する。
【0038】
ステップＳ１０９において、生体認証装置２の認証部３１は、上記のステップ１０３で受信されたＩｏＴ装置３のセキュリティレベルが、所定の閾値以上であるか否かを判定する。
【0039】
ＩｏＴ装置３のセキュリティレベルが所定の閾値以上である場合（Ｓ１０９＝ＹＥＳ）には、認証部３１は、ＩｏＴ装置３のセキュリティレベルが自己の要求する基準を満たすものと判断し、ＩｏＴ装置３を許可（Ａｃｃｅｐｔ）する（Ｓ１１０）。
【0040】
一方、ＩｏＴ装置３のセキュリティレベルが所定の閾値未満である場合（Ｓ１０９＝ＮＯ）には、認証部３１は、ＩｏＴ装置３のセキュリティレベルが自己の要求する基準を満たさないと判断し、ＩｏＴ装置３を拒絶（Ｒｅｊｅｃｔ）し、認証処理を停止する（Ｓ１１１）。
【0041】
ステップＳ１１２において、生体認証装置２の通信部３２は、許可または拒絶のいずれかの認証結果をＩｏＴ装置３に送信する。
【0042】
ステップＳ１１３において、ＩｏＴ装置３の通信部７２は、上記のステップＳ１１２で生体認証装置２から送信された認証結果を受信する。
【0043】
ステップＳ１１４において、ＩｏＴ装置３の認証部７１は、上記のステップＳ１１３で生体認証装置２から受信された認証結果を調べる。
【0044】
生体認証装置２から受信された認証結果が拒絶である場合には、認証部７１は、認証処理を停止する（Ｓ１１５）。
【0045】
一方、生体認証装置２から受信された認証結果が許可である場合には、認証部７１は、上記のステップＳ１０３で受信された生体認証装置２セキュリティレベルに基づいて、ＩｏＴ装置３の動作設定を行う（Ｓ１１６）。
【0046】
例えば、生体認証装置２のセキュリティレベルが３（Ｈｉｇｈ）である場合には、認証部７１は、ＩｏＴ装置３のすべての機能を使用できるように動作設定を行う。また、例えば、生体認証装置２のセキュリティレベルが１（Ｌｏｗ）である場合には、認証部７１は、ＩｏＴ装置３の一部の機能を制限する。また、例えば、生体情報装置２のセキュリティレベルが０（非対応）である場合には、認証部７１は、ＩｏＴ装置３のすべての機能を制限する。この場合、ユーザはＩｏＴ装置３を使用することができない。ＩｏＴ装置３の動作設定が完了すると、認証部７１は、認証処理を終了する（ＥＮＤ）。
【0047】
以上説明したように、本実施の形態１に係る生体認証システム１では、生体情報装置２は、ＳＥ１０によって保護されている生体情報に基づいてユーザを認証するとともに、ＩｏＴ装置３から受信されるセキュリティレベルに基づいて、ＩｏＴ装置３を認証する。ＩｏＴ装置３は、生体情報装置２から受信されるセキュリティレベルに基づいて、生体認証送致２を認証する。
【0048】
上記のような特徴により、本実施の形態１に係る生体認証システム１では、互いに相手方のセキュリティレベルを考慮して相互認証を行うことができる。
【0049】
また、ＩｏＴ装置３の認証部７１は、生体認証装置２のセキュリティレベルに基づいて、ＩｏＴ装置３の動作設定を行う。これにより、生体情報装置２のセキュリティレベルに応じて、ＩｏＴ装置３の機能の一部またはすべてを制限することができる。
【0050】
なお、図２のフローチャートにおいて、各処理は必ずしもこの順番で実行されなくてもよい。例えば、生体認証装置２のステップＳ１０３の受信処理は、ＳＴＡＲＴからステップＳ１０９までの任意のタイミングで実行することができる。同様に、ＩｏＴ装置３のステップ１０８の受信処理は、ＳＴＡＲＴからステップＳ１１４までの任意のタイミングで実行することができる。
【0051】
［実施の形態２］
図３は、実施の形態２に係る生体認証システム２０１の構成を示す図である。ただし、ＩｏＴ装置の構成は実施の形態１と同一であるため、この図では省略されている。
図３は、実施の形態２に係る生体認証システム２０１の構成を示す図である。ただし、ＩｏＴ装置の構成は実施の形態１と同一であるため、この図では省略されている。
【0052】
生体認証装置２０２は、ＳＥ２１０を物理的に差し替え可能な構成を有している。ＳＥ２１０の具体的な形態としては、例えば、ＳＩＭのような取り外し可能なチップ、あるいはＵＳＢ等によって生体情報装置２１０と通信可能な外付けデバイス等である。
【0053】
ＳＥ２１０には、生体情報に係るデータと、セキュリティレベルに係るデータと、検証情報に係るデータとがハードウェア的に暗号化されて格納されている。ＳＤ２１０によって保護される生体情報は、実施の形態１と同様にユーザの生体情報である。
【0054】
ＳＥ２１０によって保護されるセキュリティレベルは、ＳＥ２１０のセキュリティレベルである。すなわち、実施の形態１のＳＥ２０によって保護されるセキュリティレベルが生体認証装置２のセキュリティレベルであったのに対して、本実施の形態２のＳＥ２１０によって保護されるセキュリティレベルは、ＳＥ２１０それ自体のセキュリティレベルである。本実施の形態２では、生体認証送致２０２のセキュリティレベルは、例えば、生体認証装置２０２のＲＯＭに格納されている。
【0055】
検証情報は、生体認証装置２０２の起動時に、生体認証装置２０２の正当性を検証するための情報である。例えば、検証情報は、生体認証装置２０２のファームウェアが改竄されていないかを検証するための情報である。
【0056】
生体情報装置２０２のＡＰＩ層２２０は、実施の形態１のＡＰＩ層２０に含まれるＡＰＩに加えて、生体情報設定部２２４と、セキュリティレベル設定部２２５と、検証情報設定部２２６と、検証情報取得部２２７とを含んでいる。また、実施の形態１のセキュリティレベル取得部２２に代えて、セキュリティレベル取得部２２８を含んでいる。セキュリティレベル取得部２２８によって取得されるセキュリティレベルは、ＳＥ２１０のセキュリティレベルである。
【0057】
生体情報設定部２２４は、ＳＥ２１０に生体情報に係るデータを書き込む。セキュリティレベル設定部２２５は、ＳＥ２１０にセキュリティレベルに係るデータを書き込む。検証情報設定得部２２６は、ＳＥ２１０に検証情報に係るデータを書き込む。検証情報取得部２２７は、ＳＥ２１０に格納されている検証情報に係るデータを読み出し、当該検証情報に係るデータに基づいて、検証情報を取得する。
【0058】
生体認証装置２０２のＡＰＰ層２３０は、実施の形態１のアプリケーション層３０に含まれるモジュールに加えて、初期登録部２３３と、検証部２３４とを含んでいる。
【0059】
初期登録部２３３は、生体情報設定部２２４を介して、ＳＥ２１０にユーザの生体情報に係るデータを格納させる。初期登録部２３３は、セキュリティレベル設定部２２５を介して、ＳＥ２１０にＳＥ２１０のセキュリティレベルに係るデータを格納させる。初期登録部２３３は、検証情報設定部２２６を介して、ＳＥ２１０に検証情報に係るデータを格納させる。検証部２３４は、生体認証装置２０２の起動時、再起動時、および初期化時に、検証情報を用いて生体認証装置２０２の正当性を検証する。
【0060】
図４は、ＳＥ２１０の初期登録処理の詳細を説明するフローチャートである。このフローチャートの開始状態では、ＳＥ２１０にはデータが格納されていなくてもよい。
【0061】
ステップＳ２０１において、生体情報装置２０２にＳＥ２１０が物理的に取り付けられる。この処理はユーザ等によって手動で行われる。
【0062】
ステップＳ２０２において、生体認証装置２０２の初期登録部２３３は、ＡＰＩ層２２０の生体情報設定部２２４を介して、ＳＥ２１０にユーザの生体情報に係るデータを格納させる。この際、ＳＥ２１０に既にユーザの生体情報に係るデータが格納されている場合には、データが上書きされる。
【0063】
ステップＳ２０３において、生体認証装置２０２の初期登録部２３３は、ＡＰＩ層２２０のセキュリティレベル設定部２２５を介して、ＳＥ２１０にＳＥ２１０のセキュリティレベルに係るデータを格納させる。この際、ＳＥ２１０に既にセキュリティレベルに係るデータが格納されている場合には、データが上書きされる。
【0064】
ステップＳ２０４において、生体認証装置２０２の初期登録部２３３は、ＡＰＩ層２２０の検証情報設定部２２６を介して、ＳＥ２１０に検証情報に係るデータを格納させる。この際、ＳＥ２１０に既に検証情報に係るデータが格納されている場合には、データが上書きされる。
【0065】
ステップＳ２０５において、生体認証装置２０２からＳＥ２１０が物理的に取り外される。この処理もユーザ等によって手動で行われる。
【0066】
以上の処理によって、ＳＥ２１０の初期登録処理が完了する。
【0067】
図５は、生体認証装置２０１の電源オフ時にＳＥ２１０が差し替えられる場合の処理の詳細を説明するフローチャートである。このフローチャートの開始状態では、上記の図４の初期登録処理が完了しており、ＳＥ２１０には、生体情報に係るデータ、セキュリティレベルに係るデータ、および検証情報が既に格納されている。
【0068】
ステップＳ３０１において、生体認証装置２０２に既に取り付けられているＳＥ２１０を取り外し、新たに別のＳＥ２１０を取り付ける。この処理はユーザによって手動で行われる。
【0069】
ステップＳ３０２において、生体認証装置２０１の電源がオンにされる。この処理もユーザによって手動で行われる。
【0070】
ステップＳ３０３において、生体認証装置２０２の検証部２３４は、ＡＰＩ層２２０の検証情報取得部２２７を介して、ＳＥ２１０から検証情報を取得する。
【0071】
ステップＳ３０４において、生体認証装置２０２の検証部２３４は、上記のステップＳ３０３で取得された検証情報を用いて、生体認証装置２０２の正当性を検証する。例えば、検証部２３４は、検証情報を用いて、生体認証装置２０２のファームウェアが改竄されていないかを検証する。
【0072】
ステップＳ３０５において、生体認証装置２０２の認証部３１は、既に説明した実施の形態１の図２のフローチャートの処理を開始する。この際、図２のステップＳ１０７において、生体情報装置２０２のセキュリティレベルをＩｏＴ装置に送信する際には、生体情報装置２０２は、生体情報装置２０２のセキュリティレベルと、ＳＥ２１０のセキュリティレベルとを比較し、低い方のセキュリティレベルをＩｏＴ装置に送信する。
【0073】
図６は、生体認証装置２０１の電源オン時にＳＥ２１０が差し替えられる場合の処理の詳細を説明するフローチャートである。このフローチャートの開始状態では、上記の図４の初期設定処理が完了しており、ＳＥ２１０には、ＳＥ２１０には、生体情報に係るデータ、セキュリティレベルに係るデータ、および検証情報が既に格納されている。
【0074】
ステップＳ４０１において、生体認証装置２０２に既に取り付けられているＳＥ２１０を取り外し、新たに別のＳＥ２１０を取り付ける。この処理はユーザによって手動で行われる。
【0075】
ステップＳ４０２において、生体認証装置２０２は、ＳＥ２１０が差し替えられたことを検知すると、自身を初期化または再起動する。
【0076】
ステップＳ４０３において、生体認証装置２０２の検証部２３４は、ＡＰＩ層２２０の検証情報取得部２２７を介して、ＳＥ２１０から検証情報を取得する。
【0077】
ステップＳ４０４において、生体認証装置２０２の検証部２３４は、上記のステップＳ３０３で取得された検証情報を用いて、生体認証装置２０２の正当性を検証する。例えば、検証部２３４は、検証情報を用いて、生体認証装置２０２のファームウェアが改竄されていないかを検証する。
【0078】
ステップＳ４０５において、生体認証装置２０２の認証部３１は、既に説明した実施の形態１の図２のフローチャートの処理を開始する。この際、図２のステップＳ１０７において、生体情報装置２０２のセキュリティレベルをＩｏＴ装置に送信する際には、生体情報装置２０２は、生体情報装置２０２のセキュリティレベルと、ＳＥ２１０のセキュリティレベルとを比較し、低い方のセキュリティレベルをＩｏＴ装置に送信する。
【0079】
以上説明したように、本実施の形態２に係る生体認証装置２０２は、ＳＥ２１０を差し替え可能に構成されている。これにより、例えば、１つの生体情報装置２０２を複数のユーザで共用することができる。
【0080】
［実施の形態３］
図７は、本実施の形態３に係る生体認証システム３０１の構成を示す図である。生体認証システム３０１は、２つの生体認証装置３０２aおよび３０２ｂと、１つのＩｏＴ装置３０３とを備えている。
図７は、本実施の形態３に係る生体認証システム３０１の構成を示す図である。生体認証システム３０１は、２つの生体認証装置３０２aおよび３０２ｂと、１つのＩｏＴ装置３０３とを備えている。
【0081】
例えば、生体認証装置３０２ａは、ユーザが所持するセキュリティカードであり、生体認証装置３０２ｂは、ＩｏＴ装置３０３の周辺に設置されるカメラ付きの認証装置である。ユーザがＩｏＴ装置３０３を使用する際には、はじめに生体認証装置３０２ａとＩｏＴ装置３０３との間で相互認証が行われた後、生体認証装置３０２ｂとＩｏＴ装置３０３との間で相互認証が行われる。このような２段階の認証処理を行うことにより、セキュリティの強度を向上させることができる。
【0082】
【0083】
図８のステップＳ５０１において、生体認証装置３０２ａとＩｏＴ装置３０３との間で相互認証の処理が行われる。詳細には、図９に示される処理が生体認証装置３０２ａとＩｏＴ装置３０３との間で行われる。図９のステップＳ６０１～Ｓ６１３の処理は、既に説明した実施の形態１の図２のステップＳ１０１～Ｓ１１３の処理と同一である。
【0084】
【0085】
図８のステップ５０３において、ＩｏＴ装置３０３は、生体認証装置３０２ａから受信された認証結果と、生体認証装置３０２ｂから受信された認証結果とを調べ、両者がともに許可を示している場合にのみ、生体認証装置３０２ａまたは生体認証装置３０２ｂの各セキュリティレベルのうちの低い方のレベルに基づいて、自己の動作設定を行う。
【0086】
以上説明したように、本実施の形態３に係る生体認証システム３０１は、２つの生体認証装置３０２ａおよび３０２ｂを含んでいる。ＩｏＴ装置３０３は、生体認証装置３０２ａのセキュリティレベルに基づいて生体認証装置３０２ａを認証するとともに、生体認証装置３０２ｂのセキュリティレベルに基づいて、生体認証装置３０２ｂを認証する。この際、生体認証装置３０２ａとＩｏＴ装置３０３との間でセキュリティレベルのやり取りが行われるとともに、生体認証装置３０２ｂとＩｏＴ装置３０３との間でもセキュリティレベルのやり取りが行われる。
【0087】
上記のような特徴により、本実施の形態３に係る生体認証システム３０１では、１つの生体認証装置のみを用いる場合と比べて、セキュリティの強度が向上する。なお、当然のことながら、生体認証装置３０２の数は３つ以上であってもよい。
【0088】
［実施の形態４］
図１０は、本実施の形態４に係る生体認証システム４０１の構成を示す図である。生体認証システム４０１は、２つの生体認証装置４０２aおよび４０２ｂと、１つのＩｏＴ装置４０３とを備えている。
図１０は、本実施の形態４に係る生体認証システム４０１の構成を示す図である。生体認証システム４０１は、２つの生体認証装置４０２aおよび４０２ｂと、１つのＩｏＴ装置４０３とを備えている。
【0089】
例えば、生体認証装置４０２ａは、ユーザが所持するセキュリティカードであり、生体認証装置４０２ｂは、セキュリティカードの挿入口を有する認証装置である。ユーザがＩｏＴ装置４０３を使用する際には、はじめに生体認証装置４０２ａと生体認証装置４０２ｂとの間で相互認証の処理が行われた後、生体認証装置４０２ｂとＩｏＴ装置４０３との間で相互認証の処理が行われる。このような２段階の認証処理を行うことにより、セキュリティの強度を向上させることができる。
【0090】
図１１は、生体認証システム４０１の２段階の認証処理の詳細を説明するフローチャートである。
【0091】
【0092】
図１２のステップＳ８０１において、生体認証装置４０２ｂは、ＳＥによって保護されている生体認証装置４０２ｂのセキュリティレベルを取得する。
【0093】
ステップＳ８０２において、生体認証装置４０２ｂは、上記のステップＳ８０１で取得された生体認証装置４０２ｂのセキュリティレベルを生体認証装置４０２ａに送信する。
【0094】
ステップＳ８０３において、生体認証装置４０２aは、上記のステップＳ８０２で送信された生体認証装置４０２ｂのセキュリティレベルを受信する。
【0095】
ステップＳ８０４において、生体認証装置４０２ａは、ＳＥによって保護されているユーザの生体情報を取得する。
【0096】
ステップＳ８０５において、生体認証装置４０２ａは、上記のステップＳ８０４で取得された生体情報に基づいて、ユーザの生体認証を行う。
【0097】
ステップＳ８０６において、生体認証装置４０２ａは、ＳＥによって保護されている生体認証装置４０２ａのセキュリティレベルを取得する。
【0098】
ステップＳ８０７において、生体認証装置４０２ａは、上記のステップＳ８０６で取得された生体認証装置４０２ａのセキュリティレベルを生体認証装置４０２ｂに送信する。
【0099】
ステップＳ８０８において、生体認証装置４０２ｂは、上記のステップＳ８０７で送信された生体認証装置４０２ａのセキュリティレベルを受信する。
【0100】
ステップＳ８０９において、生体認証装置４０２aは、上記のステップＳ８０３で受信された生体認証装置４０２ｂのセキュリティレベルが、所定の閾値以上であるか否かを判定する。
【0101】
生体認証装置４０２ｂのセキュリティレベルが所定の閾値以上である場合（Ｓ８０９＝ＹＥＳ）には、生体認証装置４０２ａは、生体認証装置４０２ｂのセキュリティレベルが自己の要求する基準を満たすものと判断し、生体認証装置４０２ｂを許可する（Ｓ８１０）。
【0102】
一方、生体認証装置４０２ｂのセキュリティレベルが所定の閾値未満である場合（Ｓ８０９＝ＮＯ）には、生体認証装置４０２ａは、生体認証装置４０２ｂのセキュリティレベルが自己の要求する基準を満たさないと判断し、生体認証装置４０２ｂを拒絶し、認証処理を停止する（Ｓ８１１）。
【0103】
ステップＳ８１２において、生体認証装置４０２ａは、許可または拒絶のいずれかの認証結果を生体認証装置４０２ｂに送信する。
【0104】
ステップＳ８１３において、生体認証装置４０２ｂは、上記のステップＳ８１２で生体認証装置４０２ａから送信された認証結果を受信する。
【0105】
ステップＳ８１４において、生体認証装置４０２ｂは、上記のステップＳ８１３で生体認証装置４０２ａから受信された認証結果を調べる。
【0106】
生体認証装置４０２ａから受信された認証結果が拒絶である場合には、生体認証装置４０２ｂは、認証処理を停止する（Ｓ８１５）。
【0107】
一方、生体認証装置４０２ａから受信された認証結果が許可である場合には、生体認証装置４０２ｂは、図１１のステップＳ７０２に進む。
【0108】
【0109】
図１３のステップＳ９０１において、ＩｏＴ装置４０３は、ＳＥによって保護されているＩｏＴ装置４０３のセキュリティレベルを取得する。
【0110】
ステップＳ９０２において、ＩｏＴ装置４０３は、上記のステップＳ９０１で取得されたＩｏＴ装置４０３のセキュリティレベルを生体認証装置４０２ｂに送信する。
【0111】
ステップＳ９０３において、生体認証装置４０２ｂは、上記のステップＳ９０２で送信されたＩｏＴ装置４０３のセキュリティレベルを受信する。
【0112】
ステップＳ９０４において、生体認証装置４０２ｂは、ＳＥによって保護されているユーザの生体情報を取得する。
【0113】
ステップＳ９０５において、生体認証装置４０２ｂは、上記のステップＳ９０４で取得された生体情報に基づいて、ユーザの生体認証を行う。
【0114】
ステップＳ９０６において、生体認証装置４０２ｂは、ＳＥによって保護されている生体認証装置４０２ｂのセキュリティレベルを取得する。
【0115】
ステップＳ９０７において、生体認証装置４０２ｂは、上記のステップＳ９０６で取得された生体認証装置４０２ｂのセキュリティレベルをＩｏＴ装置４０３に送信する。
【0116】
ステップＳ９０８において、ＩｏＴ装置４０３は、上記のステップＳ９０７で送信された生体認証装置４０２ｂのセキュリティレベルを受信する。
【0117】
ステップＳ９０９において、生体認証装置４０２ｂは、上記のステップ９０３で受信されたＩｏＴ装置４０３のセキュリティレベルが、所定の閾値以上であるか否かを判定する。
【0118】
ＩｏＴ装置４０３のセキュリティレベルが所定の閾値以上である場合（Ｓ９０９＝ＹＥＳ）には、生体認証装置４０２ｂは、ＩｏＴ装置４０３のセキュリティレベルが自己の要求する基準を満たすものと判断し、ＩｏＴ装置４０３を許可する（Ｓ９１０）。
【0119】
一方、ＩｏＴ装置４０３のセキュリティレベルが所定の閾値未満である場合（Ｓ９０９＝ＮＯ）には、生体認証装置４０２ｂは、ＩｏＴ装置４０３のセキュリティレベルが自己の要求する基準を満たさないと判断し、ＩｏＴ装置４０３を拒絶し、認証処理を停止する（Ｓ９１１）。
【0120】
ステップＳ９１２において、生体認証装置４０２ｂは、許可または拒絶のいずれかの認証結果をＩｏＴ装置４０３に送信する。
【0121】
ステップＳ９１３において、ＩｏＴ装置４０３は、上記のステップＳ９１２で生体認証装置４０２ｂから送信された認証結果を受信する。
【0122】
ステップＳ９１４において、ＩｏＴ装置４０３は、上記のステップＳ９１３で生体認証装置４０２ｂから受信された認証結果を調べる。
【0123】
生体認証装置４０２ｂから受信された認証結果が拒絶である場合には、ＩｏＴ装置４０３は、認証処理を停止する（Ｓ９１５）。
【0124】
一方、生体認証装置４０２ｂから受信された認証結果が許可である場合には、ＩｏＴ装置４０３は、上記のステップＳ９０３で受信された生体認証装置４０２ｂのセキュリティレベルに基づいて、ＩｏＴ装置４０３の動作設定を行う（Ｓ９１６）。ＩｏＴ装置４０３の動作設定が完了すると、図１１に戻り、認証処理を終了する（ＥＮＤ）。
【0125】
以上説明したように、本実施の形態４に係る生体認証システム４０１は、２つの生体認証装置４０２ａおよび４０２ｂを含んでいる。生体認証装置４０３ｂは、生体認証装置４０２ａのセキュリティレベルに基づいて、生体認証装置４０２ａを認証する。ＩｏＴ装置４０３は、生体認証装置４０２ｂのセキュリティレベルに基づいて、生体認証装置４０２ｂを認証する。この際、生体認証装置４０２ａと生体認証４０２ｂとの間でセキュリティレベルのやり取りが行われるとともに、生体認証装置４０２ｂとＩｏＴ装置４０３との間でセキュリティレベルのやり取りが行われる。
【0126】
上記のような特徴により、本実施の形態４に係る生体認証システム４０１では、１つの生体認証装置のみを用いる場合と比べて、セキュリティの強度が向上する。なお、当然のことながら、生体認証装置４０２の数は３つ以上であってもよい。
【0127】
幾つかの実施の形態を説明したが、これらの実施の形態は例として提４０示したものであり、実施の形態の範囲を限定することは意図していない、これらの実施の形態は、その他の様々な形態で実施されることが可能であり、実施の形態の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組み合わせ等を行うことができる。これら実施の形態やその変形は、実施の形態の範囲や要旨に含まれると同様に、特許請求の範囲とその均等の範囲に含まれるものである。
【0128】
なお、本実施の形態は、以下のような構成を取ることもできる。
［項目１］（実１、実２、実３、実４）
生体認証装置および情報処理装置を含む生体認証システムであって、
前記生体認証装置は、
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを前記情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備え、
前記情報処理装置は、
第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、
前記第２のセキュアエレメントから前記第２のセキュリティレベルに係るデータを読み出し、該第２のセキュリティレベルに係るデータに基づいて、第２のセキュリティレベルを取得する第２のセキュリティレベル取得部と、
前記第２のセキュリティレベルを前記生体認証装置に送信するとともに、前記生体認証装置から前記第１のセキュリティレベルを受信する第２の通信部と、
前記第１のセキュリティレベルに基づいて、前記生体認証装置を認証する第２の認証部と
を備える、生体認証システム。
［項目２］（実１、実２、実３、実４）（生体認証装置の処理）
前記生体認証装置の前記第１の認証部は、前記第２のセキュリティレベルが所定の閾値以上である場合には、前記情報処理装置を許可し、前記第２のセキュリティレベルが前記所定の閾値未満である場合には、前記情報処理装置を拒絶する、項目１に記載の生体認証システム。
［項目３］（実１、実２、実３、実４）（生体認証装置の処理）
前記生体認証装置の前記第１の通信部は、前記情報処理装置の認証結果を前記情報処理装置に送信する、項目２に記載の生体認証システム。
［項目４］（実１、実２、実３、実４）（ＩｏＴ装置の処理）
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の動作設定を行う、項目３に記載の生体認証システム。
［項目５］（実１、実２、実３、実４）（ＩｏＴ装置の処理）
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の機能の一部またはすべてを制限する、項目４に記載の生体認証システム。
［項目６］（実１、実２、実３、実４）（ＡＰＩ）
前記生体情報取得部、前記第１のセキュリティレベル取得部および前記第２のセキュリティレベル取得部は、ＡＰＩとして実装される、項目１～５のいずれか一項に記載の生体認証システム。
［項目７］（実２）（ＳＥ差し替え）
前記生体認証装置は、前記第１のセキュアエレメントを差し替え可能に構成される、項目１～６のいずれか一項に記載の生体認証システム。
［項目８］（実２）（ＳＥ差し替え）
前記生体認証装置は、
前記第１のセキュアエレメントに前記生体情報に係るデータを書き込む生体情報設定部と、
前記第１のセキュアエレメントに前記第１のセキュリティレベルに係るデータを書き込む第１のセキュリティレベル設定部と、
前記第１のセキュアエレメントに検証情報に係るデータを書き込む検証情報設定部と、
前記第１のセキュアエレメントから前記検証情報に係るデータを読み出し、該検証情報に係るデータに基づいて、検証情報を取得する検証情報取得部と、
前記検証情報を用いて前記生体認証装置の正当性を検証する検証部と
をさらに備える、項目７に記載の生体認証システム。
［項目９］（実２）（電源オフ時のＳＥの差し替え）
前記生体認証装置の前記検証部は、前記生体認証装置の電源がオンされた際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、項目８に記載の生体認証システム。
［項目１０］（実２）（電源オン時のＳＥの差し替え）
前記生体認証装置の電源がオンである際に、前記第１のセキュアエレメントが差し替えられると、前記生体認証装置は初期化または再起動され、
前記生体認証装置の前記検証部は、前記生体認証装置が初期化または再起動された際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、項目８に記載の生体認証システム。
［項目１１］（実２）（ＳＥ差し替えＡＰＩ）
前記生体認証設定部、前記第１のセキュリティレベル設定部、前記検証情報設定部および前記検証情報取得部は、ＡＰＩとして実装される、項目８～１０のいずれか一項に記載の生体認証システム。
［項目１２］（実３）（複数の生体認証装置）
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記情報処理装置の前記第２の認証部は、
前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証するとともに、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、項目１～１１のいずれか一項に記載の生体認証システム。
［項目１３］（実４）（複数の生体認証装置）
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記第２の生体認証装置の前記第１の認証部は、前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証し、
前記情報処理装置の前記第２の認証部は、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、項目１～１１のいずれか一項に記載の生体認証システム。
［項目１４］（生体認証装置）
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備える、生体認証装置。
［項目１５］（生体認証方法）
第１のセキュアエレメントから生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得するステップと、
前記第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得するステップと、
前記第１のセキュリティレベルを情報処理装置に送信するステップと、
前記情報処理装置から第２のセキュリティレベルを受信するステップと、
前記生体情報に基づいてユーザを認証するステップと、
前記第２のセキュリティレベルに基づいて前記情報処理装置を認証するステップと
を含む、生体認証方法。
［項目１］（実１、実２、実３、実４）
生体認証装置および情報処理装置を含む生体認証システムであって、
前記生体認証装置は、
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを前記情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備え、
前記情報処理装置は、
第２のセキュリティレベルに係るデータを格納する第２のセキュアエレメントと、
前記第２のセキュアエレメントから前記第２のセキュリティレベルに係るデータを読み出し、該第２のセキュリティレベルに係るデータに基づいて、第２のセキュリティレベルを取得する第２のセキュリティレベル取得部と、
前記第２のセキュリティレベルを前記生体認証装置に送信するとともに、前記生体認証装置から前記第１のセキュリティレベルを受信する第２の通信部と、
前記第１のセキュリティレベルに基づいて、前記生体認証装置を認証する第２の認証部と
を備える、生体認証システム。
［項目２］（実１、実２、実３、実４）（生体認証装置の処理）
前記生体認証装置の前記第１の認証部は、前記第２のセキュリティレベルが所定の閾値以上である場合には、前記情報処理装置を許可し、前記第２のセキュリティレベルが前記所定の閾値未満である場合には、前記情報処理装置を拒絶する、項目１に記載の生体認証システム。
［項目３］（実１、実２、実３、実４）（生体認証装置の処理）
前記生体認証装置の前記第１の通信部は、前記情報処理装置の認証結果を前記情報処理装置に送信する、項目２に記載の生体認証システム。
［項目４］（実１、実２、実３、実４）（ＩｏＴ装置の処理）
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の動作設定を行う、項目３に記載の生体認証システム。
［項目５］（実１、実２、実３、実４）（ＩｏＴ装置の処理）
前記情報処理装置の前記第２の認証部は、前記第１のセキュリティレベルに基づいて、前記情報処理装置の機能の一部またはすべてを制限する、項目４に記載の生体認証システム。
［項目６］（実１、実２、実３、実４）（ＡＰＩ）
前記生体情報取得部、前記第１のセキュリティレベル取得部および前記第２のセキュリティレベル取得部は、ＡＰＩとして実装される、項目１～５のいずれか一項に記載の生体認証システム。
［項目７］（実２）（ＳＥ差し替え）
前記生体認証装置は、前記第１のセキュアエレメントを差し替え可能に構成される、項目１～６のいずれか一項に記載の生体認証システム。
［項目８］（実２）（ＳＥ差し替え）
前記生体認証装置は、
前記第１のセキュアエレメントに前記生体情報に係るデータを書き込む生体情報設定部と、
前記第１のセキュアエレメントに前記第１のセキュリティレベルに係るデータを書き込む第１のセキュリティレベル設定部と、
前記第１のセキュアエレメントに検証情報に係るデータを書き込む検証情報設定部と、
前記第１のセキュアエレメントから前記検証情報に係るデータを読み出し、該検証情報に係るデータに基づいて、検証情報を取得する検証情報取得部と、
前記検証情報を用いて前記生体認証装置の正当性を検証する検証部と
をさらに備える、項目７に記載の生体認証システム。
［項目９］（実２）（電源オフ時のＳＥの差し替え）
前記生体認証装置の前記検証部は、前記生体認証装置の電源がオンされた際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、項目８に記載の生体認証システム。
［項目１０］（実２）（電源オン時のＳＥの差し替え）
前記生体認証装置の電源がオンである際に、前記第１のセキュアエレメントが差し替えられると、前記生体認証装置は初期化または再起動され、
前記生体認証装置の前記検証部は、前記生体認証装置が初期化または再起動された際に、前記検証情報を用いて前記生体認証装置の正当性を検証する、項目８に記載の生体認証システム。
［項目１１］（実２）（ＳＥ差し替えＡＰＩ）
前記生体認証設定部、前記第１のセキュリティレベル設定部、前記検証情報設定部および前記検証情報取得部は、ＡＰＩとして実装される、項目８～１０のいずれか一項に記載の生体認証システム。
［項目１２］（実３）（複数の生体認証装置）
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記情報処理装置の前記第２の認証部は、
前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証するとともに、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、項目１～１１のいずれか一項に記載の生体認証システム。
［項目１３］（実４）（複数の生体認証装置）
前記生体認証装置は、第１の生体認証装置および第２の生体認証装置を含み、
前記第２の生体認証装置の前記第１の認証部は、前記第１の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第１の生体認証装置を認証し、
前記情報処理装置の前記第２の認証部は、前記第２の生体認証装置の前記第１のセキュリティレベルに基づいて、前記第２の生体認証装置を認証する、項目１～１１のいずれか一項に記載の生体認証システム。
［項目１４］（生体認証装置）
生体情報に係るデータおよび第１のセキュリティレベルに係るデータを格納する第１のセキュアエレメントと、
前記第１のセキュアエレメントから前記生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得する生体情報取得部と、
前記第１のセキュアエレメントから前記第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得する第１のセキュリティレベル取得部と、
前記第１のセキュリティレベルを情報処理装置に送信するとともに、前記情報処理装置から第２のセキュリティレベルを受信する第１の通信部と、
前記生体情報に基づいてユーザを認証するとともに、前記第２のセキュリティレベルに基づいて前記情報処理装置を認証する第１の認証部と
を備える、生体認証装置。
［項目１５］（生体認証方法）
第１のセキュアエレメントから生体情報に係るデータを読み出し、該生体情報に係るデータに基づいて、生体情報を取得するステップと、
前記第１のセキュアエレメントから第１のセキュリティレベルに係るデータを読み出し、該第１のセキュリティレベルに係るデータに基づいて、第１のセキュリティレベルを取得するステップと、
前記第１のセキュリティレベルを情報処理装置に送信するステップと、
前記情報処理装置から第２のセキュリティレベルを受信するステップと、
前記生体情報に基づいてユーザを認証するステップと、
前記第２のセキュリティレベルに基づいて前記情報処理装置を認証するステップと
を含む、生体認証方法。
【符号の説明】
【0129】
１ 生体認証システム
２ 生体認証装置
３ ＩｏＴ装置（情報処理装置）
１０ セキュアエレメント（第１のセキュアエレメント）
２０ ＡＰＩ層
２１ 生体情報取得部
２２ セキュリティレベル取得部（第１のセキュリティレベル取得部）
３０ ＡＰＰ層
３１ 認証部（第１の認証部）
３２ 通信部（第１の通信部）
５０ セキュアエレメント（第２のセキュアエレメント）
６０ ＡＰＩ層
６１ セキュリティレベル取得部（第２のセキュリティレベル取得部）
７０ ＡＰＰ層
７１ 認証部（第２の認証部）
７２ 通信部（第２の通信部）
２０１ 生体認証システム
２０２ 生体認証装置
２１０ セキュアエレメント（第１のセキュアエレメント）
２２０ ＡＰＩ層
２２４ 生体情報設定部
２２５ セキュリティレベル設定部（第１のセキュリティレベル設定部）
２２６ 検証情報設定部
２２７ 検証情報取得部
２２８ セキュリティレベル取得部（第１のセキュリティレベル取得部）
２３０ ＡＰＰ層
２３３ 初期登録部
２３４ 検証部
３０１ 生体認証システム
３０２ａ 生体認証装置（第１の生体認証装置）
３０２ｂ 生体認証装置（第２の生体認証装置）
３０３ ＩｏＴ装置（情報処理装置）
４０１ 生体認証システム
４０２ａ 生体認証装置（第１の生体認証装置）
４０２ｂ 生体認証装置（第２の生体認証装置）
４０３ ＩｏＴ装置（情報処理装置）
２ 生体認証装置
３ ＩｏＴ装置（情報処理装置）
１０ セキュアエレメント（第１のセキュアエレメント）
２０ ＡＰＩ層
２１ 生体情報取得部
２２ セキュリティレベル取得部（第１のセキュリティレベル取得部）
３０ ＡＰＰ層
３１ 認証部（第１の認証部）
３２ 通信部（第１の通信部）
５０ セキュアエレメント（第２のセキュアエレメント）
６０ ＡＰＩ層
６１ セキュリティレベル取得部（第２のセキュリティレベル取得部）
７０ ＡＰＰ層
７１ 認証部（第２の認証部）
７２ 通信部（第２の通信部）
２０１ 生体認証システム
２０２ 生体認証装置
２１０ セキュアエレメント（第１のセキュアエレメント）
２２０ ＡＰＩ層
２２４ 生体情報設定部
２２５ セキュリティレベル設定部（第１のセキュリティレベル設定部）
２２６ 検証情報設定部
２２７ 検証情報取得部
２２８ セキュリティレベル取得部（第１のセキュリティレベル取得部）
２３０ ＡＰＰ層
２３３ 初期登録部
２３４ 検証部
３０１ 生体認証システム
３０２ａ 生体認証装置（第１の生体認証装置）
３０２ｂ 生体認証装置（第２の生体認証装置）
３０３ ＩｏＴ装置（情報処理装置）
４０１ 生体認証システム
４０２ａ 生体認証装置（第１の生体認証装置）
４０２ｂ 生体認証装置（第２の生体認証装置）
４０３ ＩｏＴ装置（情報処理装置）
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
