JP2002133384A - Ｉｃカード、登録装置、及びサービス提供システム - Google Patents

Abstract

(57)【要約】 【課題】 複数のサービスから、ＩＣカード内の本人認
証機能を共有し、サービス利用者自身が複数の本人認証
方法を、安全性を損なわない範囲で選択できるＩＣカー
ド、登録装置、及びサービス提供システムを提供する。 【解決手段】 本人認証機能部１４は、ＥＥＰＲＯＭ３
に記録された認証方法を用いて、ＥＥＰＲＯＭ３に記録
された本人を特定する認証用テンプレートと、コマンド
実行管理部１３がアプリケーションプログラムの処理を
実行する際に外部より入力された情報とを比較して、ア
プリケーションプログラムが指定する認証方法によるＩ
Ｃカード使用者の認証を行う。ＩＣカード上で実行され
るアプリケーションプログラムは、アプリケーション追
加・削除機能部１１により管理され、アプリケーション
プログラムが要求する認証方法や認証用テンプレート等
を含む認証情報の登録はデータ読み・書き処理部１２に
より管理される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、人間の生体情報
による認証を含む、複数の認証方法を利用するＩＣカー
ド、登録装置、及びサービス提供システムに関する。

【０００２】

【従来の技術】従来、本人の生体的特徴を利用して、本
人を電子的に認証する技術の一つにバイオメトリクス技
術がある。認証方法は、主に以下のように行う。 （１）あらかじめ本人の生体的特徴（経年変化が少な
く、個人毎に特有の特徴があるもの）をディジタル化し
登録する。 （２）照合時に認証する人の生体的特徴をスキャナなど
で取り込みディジタル化し、あらかじめ登録したデータ
との類似度を計算し、類似度が一定以上の場合、本人と
する。 このようなバイオメトリクス技術をシステムに導入する
際には、個人の生体情報を安全に管理する仕組みが必要
である。なぜなら個人の生体情報は、プライバシー性の
高い情報であり、変更ができないという特性を持ってい
るからである。この問題を補完する一つの方法にＩＣカ
ードなどの個人の携帯型機器と組み合わせる方法があ
る。すなわち、個人毎のＩＣカードに生体情報を格納
し、管理させることで、プライバシーを守ることを可能
とする。またＩＣカードに生体情報を格納し、小型の照
合装置を組み合わせて使用することにより、認証サーバ
を利用せずにローカルで比較的安全な認証を可能とする
技術も提案されている。これらの技術は、比較的少人数
の場合であれば、小型の照合装置に複数人の生体情報を
管理させる方法でシステム構築可能である。しかし、多
人数で複数の照合装置を利用する場合、生体情報を一括
管理することは難しい。そのため、個人毎のＩＣカード
に生体情報を格納し、管理させる方法が提案されてい
る。

【０００３】

【発明が解決しようとする課題】このような個人が所有
する携帯機器の利用や、機器を用いて行う認証行為に対
して、本人であるかを認証する方法には、パスワードを
生体情報と組み合わせて利用するものがある。しかし、
パスワードは、忘失による問題や盗難によるなりすまし
の危険性があるという問題があった。また、生体情報を
利用する場合、怪我等の使用する部位の状態、体調、更
には指紋認証を例に取ると、生まれつき指紋が薄くて認
証には適さない等、生まれながらの特性により完全な本
人認証ができない場合があるという問題があった。更
に、これらの欠点を補完するためには複数の認証方法を
組み合わせる必要がある。しかし、一般的に本人認証方
法は、サービス提供者毎に固定的に決められている。そ
のため、本人認証をサービス毎に繰り返す必要があり、
無駄が多いという問題があった。

【０００４】本発明は、上記問題点に鑑みてなされたも
ので、サービス提供者毎に別々の本人認証方法を用いる
のではなく、複数のサービスから、ＩＣカード内の本人
認証機能を共有することで、本人認証機能の無駄を省く
ことを可能とし、かつ、サービス利用者自身が複数の本
人認証方法を、安全性を損なわない範囲で選択できる仕
組みにより、本人認証に必要な情報の登録及び変更を容
易に実現することを可能とするＩＣカード、登録装置、
及びサービス提供システムを提供することを目的とす
る。

【０００５】

【課題を解決するための手段】上記問題点を解決するた
めに、本発明は、ＩＣカード上に記録されたアプリケー
ションプログラムによりサービスを提供するＩＣカード
であって、ＩＣカードで実行される複数のアプリケーシ
ョンプログラム、及びアプリケーションプログラムを実
行するための認証方法と認証データを含む認証情報を記
録する記録手段と、記録手段に記録された認証方法を用
いて、記録手段に記録された本人を特定する認証用デー
タと、記録手段に記録されたいずれかのアプリケーショ
ンプログラムの処理を実行する際に外部より入力された
情報とを比較することによりＩＣカード使用者の認証を
行う本人認証手段と、本人認証手段において認証が行わ
れることにより記録手段に記録された実行対象となるア
プリケーションプログラムの処理を実行するコマンド実
行手段とを設けたことを特徴とする。以上の構成によ
り、ＩＣカードで実行するアプリケーションプログラ
ム、及びアプリケーションプログラムが要求する本人認
証に必要な情報の登録及び変更を容易に実現することを
可能とする。

【０００６】本発明は、上記ＩＣカードにおいて、本人
認証手段は、認証方法の実行結果を予め設定された点数
により取得する手段（例えば実施の形態のステップＳ１
０２）と、予め設定された優先順位に従い実行される複
数の認証方法の実行結果として出力された点数を加算す
る手段（例えば実施の形態のステップＳ１０６）と、加
算された点数とアプリケーションプログラムの指定する
所定の点数とを比較する手段（例えば実施の形態のステ
ップＳ１０３またはステップＳ１０７）とを更に含み、
アプリケーションプログラムの指定する所定の点数を満
たした時点で、アプリケーションに認証の正常終了を通
知することを特徴とする。以上の構成により、ＩＣカー
ドで実行されるアプリケーションプログラムの内容に関
わらず、複数の認証方法を利用者が指定する優先順位に
より選択して実行することを可能とする。

【０００７】本発明は、上記ＩＣカードにおいて、本人
認証手段は、認証方法の実行結果を予め設定された点数
により取得する手段（例えば実施の形態のステップＳ１
２３）と、認証方法の実行結果として出力された現在の
点数と次に実行するアプリケーションプログラムの指定
する所定の点数とを比較する手段（例えば実施の形態の
ステップＳ１２８からステップＳ１３０）と、比較の結
果、アプリケーションプログラムの指定する所定の点数
が現在の点数より大きい場合、アプリケーションプログ
ラムに指定された認証方法を実行し、該認証方法による
点数を新しい現在の点数として記録・更新する手段（例
えば実施の形態のステップＳ１３１）とを更に含み、認
証結果による現在の点数が、アプリケーションプログラ
ムの指定する所定の点数を満たしていた場合、該アプリ
ケーションプログラムの指定する認証方法の実行を省略
することを特徴とする。以上の構成により、ＩＣカード
で実行される複数のアプリケーションプログラムが認証
方法の結果を共有することを可能とする。

【０００８】本発明は、上記ＩＣカードにおいて、本人
認証手段は、認証に使用する認証用データが複数記録さ
れている場合、予め設定された優先順位により認証方法
に用いる認証用データを選択することを特徴とする。以
上の構成により、怪我をして指紋認証ができない場合等
に、認証方法の実行順序を変更することを可能とする。

【０００９】本発明は、上記ＩＣカードにおいて、本人
認証手段は、認証の失敗により、認証データが使用停止
となっても、他の認証データを用いた本人認証により本
人を確認できる場合、使用停止となった該認証データを
復元する手段（例えば実施の形態のステップＳ１４１か
らステップＳ１５３）を更に含むことを特徴とする。以
上の構成により、利用者や管理者が安全かつ容易にＩＣ
カードの管理を行い、ＩＣカードを継続利用することを
可能とする。

【００１０】本発明は、上記ＩＣカードに、認証データ
を含む認証情報を登録する認証情報登録装置であって、
ＩＣカードが認証情報登録装置を正当な接続先であると
確認するための登録認証を実行する登録認証手段（例え
ば実施の形態のステップＳ２）と、登録認証が正常な場
合、登録可能な認証方法を表示し、利用者に希望する認
証方法を選択させる選択手段（例えば実施の形態のステ
ップＳ５からステップＳ６）と、選択された認証方法と
認証情報をＩＣカードへ登録する登録手段（例えば実施
の形態のステップＳ７）とを設けたことを特徴とする。
以上の構成により、利用者がＩＣカードに希望する認証
方法を安全かつ容易に登録することを可能とする。

【００１１】本発明は、上記ＩＣカードに、ＩＣカード
で実行するアプリケーションプログラムを登録するアプ
リケーションプログラム登録装置であって、アプリケー
ション用鍵によりアプリケーションプログラムの認証を
実行する認証手段（例えば実施の形態のステップＳ４
３）と、アプリケーション鍵による認証が正常な場合、
ＩＣカードに登録された認証方法により本人認証を行わ
せる確認手段（例えば実施の形態のステップＳ４５）
と、ＩＣカードが実行した本人認証が正常な場合、追加
可能なアプリケーションプログラムを表示して、利用者
に希望するするアプリケーションプログラムを選択させ
る選択手段（例えば実施の形態のステップＳ４８からス
テップＳ４９）と、選択されたアプリケーションプログ
ラムを登録・削除する登録・削除手段（例えば実施の形
態のステップＳ５０）とを設けたことを特徴とする。以
上の構成により、利用者がＩＣカードに希望するアプリ
ケーションプログラムを安全かつ容易に登録することを
可能とする。

【００１２】本発明は、上記ＩＣカードを用いたサービ
ス提供システムであって、ＩＣカードの発行と利用者の
管理を行う顧客管理サーバ（例えば実施の形態の顧客管
理サーバ１０１）と、利用者がＩＣカードを利用するた
めの、自宅、あるいは店舗に用意されたクライアント端
末（例えば実施の形態のクライアント端末１０３）とを
設けたことを特徴とする。以上の構成により、利用者が
クライアント端末からの操作でＩＣカードの発行やＩＣ
カードの利用を行うことを可能とする。

【００１３】本発明は、上記サービス提供システムにお
いて、利用者が街頭でＩＣカードを入手するためのＩＣ
カード自動販売機（例えば実施の形態のＩＣカード自動
販売機１０５）と、ＩＣカード自動販売機の販売履歴と
利用者を管理するＩＣカード販売管理サーバ（例えば実
施の形態のＩＣカード販売管理サーバ１０６）とを更に
設けたことを特徴とする。以上の構成により、利用者が
街頭の端末からＩＣカードを入手することを可能とす
る。

【００１４】本発明は、ＩＣカード上に記録されたアプ
リケーションプログラムによりサービスを提供するＩＣ
カードにおけるＩＣカード使用者の認証方法であって、
ＩＣカードで実行される複数のアプリケーションプログ
ラム、及びアプリケーションプログラムを実行するため
の認証方法と認証データを含む認証情報を記録するＩＣ
カード上の記録手段に記録された認証方法を用いて、記
録手段に記録された本人を特定する認証用データと、記
録手段に記録されたいずれかのアプリケーションプログ
ラムの処理を実行する際に外部より入力された情報とを
比較することによりＩＣカード使用者の認証を行う本人
認証処理と、本人認証処理において認証が行われること
により記録手段に記録された実行対象となるアプリケー
ションプログラムの処理を実行するコマンド実行処理と
を含むことを特徴とする。

【００１５】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態について説明する。図１は、本実施の形態のＩ
Ｃカード上に構成される機能ブロックを説明するブロッ
ク図である。図１において、符号１は、本実施の形態の
ＩＣカードの動作を制御する制御処理部を示す。符号２
は、制御処理部１とＩＣカードの情報を読み書きするＩ
ＣカードのＲ／Ｗ（Read/Write）装置を接続する入出力
制御部を示す。符号３は、ＩＣカード上で実行するアプ
リケーションプログラムや認証方法、及び認証用テンプ
レート（パスワードや認証用生体データ等のデータ）等
を含む認証情報を記録するためのＥＥＰＲＯＭ（Electr
icaly Erasable and Programmable ROM ：電気的書き換
え可能な不揮発性メモリ）を示す。符号４は、制御処理
部１で実行される本実施の形態のＩＣカードの制御プロ
グラムを予め記録してあるＲＯＭ（Read Only Memory）
を示す。符号５は、制御処理部１で扱われる一時的なデ
ータを記録するためのＲＡＭ（Random Access Memory）
を示す。なお、本実施の形態のＩＣカードとＩＣカード
のＲ／Ｗ装置とのインターフェースは接触型のみでな
く、無線等を用いた非接触型により実現することも可能
であり、この場合、入出力制御部２は無線系の回路を含
むものとする。また、ＥＥＰＲＯＭ３は、フラッシュメ
モリ（Flash Memory：電気的書き換え可能な半導体不揮
発性メモリ）を用いても良い。

【００１６】また、制御処理部１は、アプリケーション
追加・削除機能部１１と、データ読み・書き処理部１２
と、コマンド実行管理部１３と、本人認証機能部１４と
から構成されている。アプリケーション追加・削除機能
部１１は、ＥＥＰＲＯＭ３に記録されるアプリケーショ
ンプログラムの追加、及び削除を管理する。データ読み
・書き処理部１２は、ＥＥＰＲＯＭ３に記録される認証
方法や認証用テンプレート（パスワードや認証用生体デ
ータ等のデータ）等を含む認証情報の登録、及びメンテ
ナンスを行う。コマンド実行管理部１３は、アプリケー
ション追加・削除機能部１１によりＩＣカード上に記録
されたアプリケーションプログラムの処理を実行する。
本人認証機能部１４は、ＥＥＰＲＯＭ３に記録された認
証方法を用いて、ＥＥＰＲＯＭ３に記録された本人を特
定する認証用テンプレート（パスワードや認証用生体デ
ータ等のデータ）と、コマンド実行管理部１３がアプリ
ケーションプログラムの処理を実行する際に外部より入
力された情報とを比較することによりＩＣカード使用者
の認証を行う。

【００１７】次に、図２、及び図３を用いてＥＥＰＲＯ
Ｍ３に記録される情報の構成を説明する。図２、及び図
３は、本発明の実施の形態のＩＣカード上のＥＥＰＲＯ
Ｍ３に記録される情報の構成を説明する模式図である。
図２、及び図３において、ＥＥＰＲＯＭ３に記録される
情報の種類は大別すると次のように分類される。 （１）アプリケーションプログラム （２）認証方法に関する情報 （３）鍵データ （４）その他情報 それぞれについて更に詳細に説明すると、（１）アプリ
ケーションプログラムとしては、”アプリケーションプ
ログラム１〜Ｎ”と、アプリケーションプログラムそれ
ぞれについて、アプリケーションプログラムが本人認証
機能部１４による認証機能を使用するか否かを示した”
ａ．本人認証機能使用フラグ”と、アプリケーションプ
ログラムが必要な本人認証のレベルを意味する”ｂ．本
人確認レベル”が記録可能である。なお、”本人確認レ
ベル”についての詳細は後述する。また、（２）認証方
法に関する情報としては、認証方法１〜Ｎのそれぞれに
ついて、Ｍ個の”本人認証用テンプレート（パスワード
や認証用生体データ等のデータ）”と、認証方法のパラ
メータとして、”しきい値、テンプレート優先順位、各
テンプレートのロック・アンロック再試行回数、アンロ
ック回数上限値、ロック回数上限値、組み合わせパラメ
ータ”等が記録可能である。ここで、”しきい値”は、
本人認証の際に入力されたテンプレートと、あらかじめ
カード内に設定したテンプレートとの類似度を算出し、
その値がある値以上か否かにより、本人か否かを判断す
る時に利用する基準値である。”テンプレート優先順
位”は、各々の本人認証方法で利用するテンプレート
を、複数ＩＣカード内に格納する場合に、どのテンプレ
ートを優先的に使用するかというパラメータである。な
お、当該テンプレートは、１人のものを複数入れるだけ
でなく、複数人のテンプレートを入れてもよい。”組み
合わせパラメータ”は、一度に複数のテンプレートを本
人認証の際に使用する場合、その組み合わせ方法を示す
パラメータである。

【００１８】更に、入力されたテンプレートと登録され
ているテンプレートを比較し、認証が失敗した回数をカ
ード内に記録する。”ロック回数上限値”を越えて認証
が失敗すると、当該テンプレートをロックし、当該テン
プレートを使用できない状態にする。また”ロック再試
行回数”は、”ロック回数上限値”から認証が失敗した
数を引いた残り回数を示し、ロックまでの再試行可能回
数を表す。なお、ロックをしない設定にするには、「ロ
ック回数上限値」をゼロにすることにより可能とする。
また、生体状態の変化により、仮に一つのテンプレート
が「ロック回数上限値」を超えて、ロックした場合で
も、他のテンプレートで本人認証がＯＫになった場合、
当該テンプレートをアンロックし、再度使用可能にする
ことができることとする。”アンロック回数上限値”
は、アンロックが可能な上限回数を示し、一度アンロッ
クをすると、”アンロック再試行回数”を１ずつ減少
し、０になった段階でアンロックを実行不可能とする。
また（３）鍵データとしては、アプリケーションプログ
ラムを追加する際に使用する”アプリケーション追加用
鍵データ”と、アプリケーションプログラムを削除する
際に使用する”アプリケーション削除用鍵データ”と、
ＩＣカード発行者がＩＣカード内のメンテナンスを行う
際に使用する”発行者用鍵データ”と、ＩＣカード管理
者がＩＣカード内のメンテナンスを行う際に使用する”
メンテナンス用鍵データ”等が記録可能である。また、
（４）その他情報としては、アプリケーションプログラ
ムが実行した本人認証の結果である”カード側本人確認
レベル”と、ＩＣカード内に設定している複数の認証方
法の一覧を示す”カード側認証方法リスト”と、複数の
認証方法が設定されている場合に、複数の認証方法を行
う順番を示した”認証方法優先順位”とＩＣカードの有
効期限を示す”カード有効期限”等が記録可能である。
なお、カード側本人確認レベル”は本人認証が成功した
段階でセットされ、ＩＣカードをリセットした段階でク
リアされる。

【００１９】次に、図面を用いて、本実施の形態の動作
を説明する。まず、図４のフローチャートを用いて、専
用の登録端末によるＩＣカードへの本人認証機能の登録
動作を説明する。図４において、まずユーザのＩＣカー
ド入手意志を確認する（ステップＳ１）。ステップＳ１
において、ユーザにＩＣカード入手の意志がある場合
（ステップＳ１のＹＥＳ）、ＩＣカードに個人の認証デ
ータ（パスワードや生体情報など）を登録するためのＩ
Ｃカードの登録認証を実行する（ステップＳ２）。登録
認証は、ＩＣカードが登録端末を正当な接続先であると
確認するために行い、カードへの書き込みは、認証が成
功した段階で可能となる。なお、認証動作の詳細は後述
する。次に、ＩＣカードの登録認証が正常に終了したか
否かを判定する（ステップＳ３）。ステップＳ３におい
て、ＩＣカードの登録認証が正常に終了していた場合
（ステップＳ３のＹＥＳ）、認証方法の登録を開始する
（ステップＳ４）。そして、ユーザ自身が複数の認証方
法の中から、適当な認証方法を選択できるように、登録
可能な認証方法を表示する（ステップＳ５）。例えば、
複数のスキャナやカメラなどがついている登録端末の場
合、複数の認証方法をユーザ自身が選択することができ
る。次に、ユーザに希望の認証方法があるか否かを判断
させる（ステップＳ６）。ステップＳ６において、ユー
ザが希望の認証方法があると判断した場合（ステップＳ
６のＹＥＳ）、認証情報を登録する（ステップＳ７）。
認証情報は、スキャナやカメラなどを用いて得た情報か
ら特徴情報を抽出し、特徴情報の品質が良いと判断した
段階で成功とし、当該データをＩＣカードヘ書き込む。
そして、認証情報の登録が成功したか否かを判定し（ス
テップＳ８）、登録が成功していたた場合（ステップＳ
８のＹＥＳ）、カード内の認証方法リストを書き換え、
ＩＣカードを排出して（ステップＳ９）、ＩＣカードへ
の本人認証機能の登録動作を終了する。

【００２０】一方、ステップＳ３において、ＩＣカード
の登録認証が正常に終了していなかった場合（ステップ
Ｓ３のＮＯ）、ＩＣカードは偽造されていると判断し、
システムを停止してカード発行動作を停止する（ステッ
プＳ１０）。また、ステップＳ７において、認証情報の
登録が成功していなかった場合（ステップＳ８のＮ
Ｏ）、再度登録するか否かをユーザに入力させる（ステ
ップＳ１１）。ステップＳ１１において、再度登録する
とユーザが入力した場合（ステップＳ１１のＹＥＳ）、
ステップＳ５へ戻り、上述の動作を繰り返す。ステップ
Ｓ１１において、再度登録しないとユーザが入力した場
合（ステップＳ１１のＮＯ）、ＩＣカードへの本人認証
機能の登録動作を終了する。上述のように、登録の際に
は複数回の中から良い状態のものを選択して登録する。
登録が失敗する場合は、ステップＳ５へ戻り、登録可能
な認証方法を選択する。ここでは、認証方法の詳細を設
定することも可能である。たとえば複数の認証方法を使
う場合の順番や方法の組み合わせ方、テンプレートの順
番や組み合わせ方である。また、使用したい認証方法の
優先順位も設定できる。更に、上述の方法では、カード
入手時に認証方法が設定されていないが、入手時点であ
らかじめ既に認証方法が設定されていても良い。その場
合ＩＣカードヘの登録認証の前に、設定された認証方法
による照合を行い、認証が成功した段階で認証方法の追
加・削除・優先順位の変更を可能とする。認証が失敗し
た場合はカードを排出する。

【００２１】次に、図５のシーケンス図を用いて、本人
認証機能の登録時のＩＣカードへの登録認証動作の一例
を説明する。登録認証動作は、まず登録端末からＩＣカ
ードへ乱数生成要求を送信する（ステップＳ２１）。乱
数生成要求を受信したＩＣカードは乱数を生成し（ステ
ップＳ２２）、生成した乱数Ａを登録端末へ送信する
（ステップＳ２３）。登録端末では乱数Ａを秘密鍵で暗
号化し（ステップＳ２４）、ＩＣカードへ送信する（ス
テップＳ２５）。ＩＣカードでは、受信した暗号文を復
号化し（ステップＳ２６）、復号化した乱数を生成した
乱数Ａと比較する（ステップＳ２７）。比較の結果、乱
数が一致した場合、登録フラグを立てて（ステップＳ２
８）、登録端末へ正常終了を返信する（ステップＳ２
９）。また、比較の結果、乱数が一致しない場合、登録
端末へエラーを返信する（ステップＳ３０）。

【００２２】次に、図６のフローチャートを用いて、専
用のアプリケーション登録・削除端末によるＩＣカード
へのアプリケーションプログラムの登録・削除動作を説
明する。図６において、まずアプリケーション登録・削
除端末にＩＣカードを挿入させる（ステップＳ４１）。
次に、挿入されたＩＣカードの有効期限が期限内か否か
を判定する（ステップＳ４２）。ステップＳ４２におい
て、ＩＣカードが有効期限内であった場合（ステップＳ
４２のＹＥＳ）、アプリケーション鍵による認証を行う
（ステップＳ４３）。なお、アプリケーション鍵による
認証の詳細は後述する。そして、認証が成功したか否か
を判定し（ステップＳ４４）、認証が成功していれば
（ステップＳ４４のＹＥＳ）、ＩＣカードに、図４に示
した本人認証機能の登録により登録した本人認証を実行
させる（ステップＳ４５）。次に、本人認証が成功した
か否かを判定し（ステップＳ４６）、認証が成功してい
れば（ステップＳ４６のＹＥＳ）、ＩＣカード内に登録
されている現在のアプリケーションプログラムの登録状
況を表示する（ステップＳ４７）。また、追加可能なア
プリケーションプログラムの一覧を表示する（ステップ
Ｓ４８）。次に、ユーザにアプリケーションプログラム
の登録・削除を行うか否かを入力させ（ステップＳ４
９）、ユーザがアプリケーションプログラムの登録・削
除を行うと入力した場合（ステップＳ４９のＹＥＳ）、
アプリケーションプログラムの登録・削除を行う（ステ
ップＳ５０）。そして、アプリケーションプログラムの
登録・削除が成功したか否かを判定し（ステップＳ５
１）、成功していれば（ステップＳ５１のＹＥＳ）、ス
テップＳ４９へ戻り、更に、ユーザにアプリケーション
プログラムの登録・削除を行うか否かを入力させる。

【００２３】一方、ステップＳ４２において、ＩＣカー
ドが有効期限内でなかった場合（ステップＳ４２のＮ
Ｏ）、ＩＣカード内に登録してあるアプリケーション情
報をセンタに送信し（ステップＳ５２）、再度ＩＣカー
ドを入手する際に使用する。また、期限切れのＩＣカー
ドは、カード内の本人確認用データを削除し、ソフトウ
ェア的または、ハードウェア的にカードを再度使用でき
ない状態にして廃棄する（ステップＳ５３）。

【００２４】また、ステップＳ４４においてアプリケー
ション鍵による認証が失敗であると判定した場合（ステ
ップＳ４４のＮＯ）、ＩＣカード側またはシステム側の
問題であるため、カード内のアプリケーション情報を読
み出し、不正カード情報をセンタヘ送信する（ステップ
Ｓ５４）。そして、カード内の登録や削除の鍵をロック
させ（ステップＳ５５）、ＩＣカードの排出を行う（ス
テップＳ５６）。更に、ステップＳ４９において、ユー
ザがアプリケーションプログラムの登録・削除を行わな
いと入力した場合（ステップＳ４９のＮＯ）、あるい
は、ステップＳ５１において、アプリケーションプログ
ラムの登録・削除が失敗したと判定した場合（ステップ
Ｓ５１のＮＯ）、ＩＣカードの排出を行う（ステップＳ
５６）。なお、アプリケーションプログラムを追加する
時点で、当該アプリケーションプログラム内にセットさ
れている本人確認レベルが、カード側認証方法リストに
ない場合は、アプリケーションプログラムをダウンロー
ドした直後にＩＣカードより、「ない」という意味のレ
スポンスをアプリケーション登録・削除端末に出しても
良い。

【００２５】次に、図７と図８のシーケンス図を用い
て、アプリケーションの登録・削除時のアプリケーショ
ン鍵による認証動作の一例を説明する。図７において、
まず、アプリケーション登録・削除端末からＩＣカード
へアプリケーションＩＤを送信する（ステップＳ６
１）。次に、アプリケーションＩＤのチェックコードに
より、ＩＣカード内に記録されているアプリケーション
ＩＤとの重複をチェックする（ステップＳ６２）。も
し、チェックがＯＫの場合、ＩＣカード内にフラグを立
てて（ステップＳ６３）、アプリケーション登録・削除
端末へ正常終了を返信する（ステップＳ６４）。もし、
チェックがＮＧの場合、アプリケーション登録・削除端
末へエラーを返信する（ステップＳ６５）。次に、アプ
リケーション登録・削除端末からＩＣカードへ乱数生成
要求を送信する（ステップＳ６６）。乱数生成要求を受
信したＩＣカードは、乱数を生成し（ステップＳ６
７）、生成した乱数Ｂをアプリケーション登録・削除端
末へ送信する（ステップＳ６８）。

【００２６】乱数Ｂを受信したアプリケーション登録・
削除端末は、乱数Ｂとアプリケーションプログラムのハ
ッシュ値を秘密鍵で暗号化する（ステップＳ６９）。次
に、暗号文とアプリケーションプログラム自身（アプリ
ケーションプログラムの登録時のみ、削除時は暗号文の
み）をＩＣカードへ送信する（ステップＳ７０）。暗号
文を受信したＩＣカードは、受信した暗号文を復号化し
（ステップＳ７１）、復号化した乱数を生成した乱数Ｂ
と比較する（ステップＳ７２）。次に、図８において、
アプリケーションプログラム登録時は、復号化したハッ
シュ値と送信されたアプリケーションプログラムのハッ
シュ値とを比較する（ステップＳ７３）。アプリケーシ
ョンプログラム削除時は、復号化したハッシュ値とＩＣ
カード内に記録されたアプリケーションプログラムのハ
ッシュ値とを比較する（ステップＳ７４）。そして、比
較の結果、乱数Ｂ及びハッシュ値が一致する場合、アプ
リケーションプログラムの登録、または削除を実行する
（ステップＳ７５）。比較の結果、乱数Ｂ及びハッシュ
値が一致しない場合、アプリケーション登録・削除端末
へエラーを返信する（ステップＳ７６）。

【００２７】次に、表１を用いて、本実施の形態のＩＣ
カード上で実行される認証方法毎の本人確認レベルの一
例を説明する。”本人確認レベル”は、アプリケーショ
ンプログラムが必要とする本人認証のセキュリティレベ
ルを意味する。

【表１】 表１には、認証方法の種類と、それぞれについての本人
確認レベルが１対１で記録されている。例を挙げて説明
すると、指紋照合による認証方法において、スコアが６
０％以上で指紋が一致するのは非常に厳しい条件となる
ので、その本人確認レベルは１３ポイントとして高く設
定されている。また、生年月日のような情報は簡単に他
人に知られてしまうので、生年月日の入力は本人確認レ
ベルが１ポイントとして低く設定されている。このよう
に本人確認レベルは、難易度で分類された認証方法毎に
アプリケーションプログラムが必要とする本人認証のセ
キュリティレベルをポイントで表し、難易度が高い程、
そのポイントも高く設定されている。

【００２８】以上を踏まえて、次に、図９のフローチャ
ートを用いて、本実施の形態のＩＣカードで実行される
アプリケーションが１つの認証方法を実行する場合の動
作を説明する。図９において、まず、アプリケーション
が本人認証を要求する（ステップＳ８１）。次に、アプ
リケーションが要求する本人確認レベルをカード側本人
確認機能へ送信し（ステップＳ８２）、カード内の認証
方法が要求された本人確認レベルを満足するか否かを判
定する（ステップＳ８３）。ステップＳ８３において、
カード内の認証方法が要求された本人確認レベルを満足
する場合（ステップＳ８３のＹＥＳ）、優先順位の高い
認証方法を選択し（ステップＳ８４）、選択された認証
方法が実行可能であるか否かを判定する（ステップＳ８
５）。ステップＳ８５において、選択された認証方法が
実行可能である場合（ステップＳ８５のＹＥＳ）、指定
された認証方法を実行する（ステップＳ８６）。そし
て、認証が成功したか否かを判定する（ステップＳ８
７）。ステップＳ８７において、指定された認証が成功
していた場合（ステップＳ８７のＹＥＳ）、アプリケー
ションに結果を返信する（ステップＳ８８）。一方、ス
テップＳ８３において、カード内の認証方法が要求され
た本人確認レベルを満足しない場合（ステップＳ８３の
ＮＯ）、あるいは、ステップＳ８５において、選択され
た認証方法が実行不可能である場合（ステップＳ８５の
ＮＯ）、アプリケーションにエラーを返信し（ステップ
Ｓ８９）、アプリケーション利用サービスを終了する。
また、ステップＳ８７において、指定された認証が成功
していなかった場合（ステップＳ８７のＮＯ）、失敗を
記録して（ステップＳ９０）、アプリケーションに結果
を返信する（ステップＳ８８）。

【００２９】次に、図１０のフローチャートを用いて、
本実施の形態のＩＣカードで実行されるアプリケーショ
ンが複数の認証方法を優先順位により選択して実行する
場合の動作を説明する。図１０において、アプリケーシ
ョンが本人認証を要求すると、優先順位１の認証方法を
実行する（ステップＳ１０１）。次に、実行した認証方
法の認証結果の本人確認レベルを求め、カード側本人確
認レベルへ記録する（ステップＳ１０２）。次に、カー
ド側本人確認レベルが、アプリケーションで要求された
本人確認レベルを満たすか否かを判定する（ステップＳ
１０３）。ステップＳ１０３において、求められた本人
確認レベルがアプリケーションで要求された本人確認レ
ベルを満たさないと判定した場合（ステップＳ１０３の
ＮＯ）、優先順位に従い、本人確認レベルを満たす最適
な認証方法を探索する（ステップＳ１０４）。次に、探
索回数が予め設定された上限値を超えたか否か判定し
（ステップＳ１０５）、探索回数が上限値を超えていな
い場合（ステップＳ１０５のＮＯ）、探索した認証方法
を実行して認証結果の本人確認レベルを算出し、カード
側本人確認レベルへ加算する（ステップＳ１０６）。そ
して、加算されたカード側本人確認レベルが、アプリケ
ーションで要求された本人確認レベルを満たすか否かを
判定する（ステップＳ１０７）。

【００３０】ステップＳ１０７において、求められた本
人確認レベルがアプリケーションで要求された本人確認
レベルを満たさないと判定した場合（ステップＳ１０７
のＮＯ）、ステップＳ１０４へ戻り、上述の動作を繰り
返して本人確認レベルを加算して積み重ねる。一方、ス
テップＳ１０５において、探索回数が予め設定された上
限値を超えていた場合（ステップＳ１０５のＹＥＳ）、
アプリケーションに認証エラーを通知して（ステップＳ
１０８）終了する。また、ステップＳ１０３において、
求められた本人確認レベルがアプリケーションで要求さ
れた本人確認レベルを満たすと判定した場合（ステップ
Ｓ１０３のＹＥＳ）、あるいは、ステップＳ１０７にお
いて、求められた本人確認レベルがアプリケーションで
要求された本人確認レベルを満たすと判定した場合（ス
テップＳ１０７のＹＥＳ）、ＩＣカード内に現在の本人
確認レベルを設定して（ステップＳ１０９）アプリケー
ションの実行を行う。なお、上述の説明では、ステップ
Ｓ１０４において、優先順位に従って本人確認レベルを
満たす最適な認証方法を探索する場合、探索回数を予め
設定し、探索回数が設定された上限値を超えたか否か
を、探索を続けるか否かの判定基準としたが、探索回数
と同様に探索時間を設定し、探索時間が設定された上限
時間を超えたか否かを、探索を続けるか否かの判定基準
としても良い。

【００３１】次に、図１１のフローチャートを用いて、
本実施の形態のＩＣカードで実行される複数のアプリケ
ーションが認証結果を共有する場合の動作を説明する。
ここでは、複数のアプリケーションプログラムの中でユ
ーザが最初に実行させるアプリケーションプログラム
を”アプリケーション１”として説明を行う。図１１に
おいて、まず、ユーザにアプリケーション１を選択させ
る（ステップＳ１２１）。次に、アプリケーション１が
要求するカード側本人認証機能により本人認証を行い
（ステップＳ１２２）、認証結果をカード側本人確認レ
ベルへ記録する（ステップＳ１２３）。認証結果を記録
したら、アプリケーション１を実行する（ステップＳ１
２４）。 次に、ユーザに続けて他のアプリケーション
を実行するか否かを入力させる（ステップＳ１２５）。
ステップＳ１２５において、ユーザが続けて他のアプリ
ケーションを実行するとした場合（ステップＳ１２５の
ＹＥＳ）、他のアプリケーションを選択させる（ステッ
プＳ１２６）。他のアプリケーションが選択されたら、
他のアプリケーションが要求する認証方法を確認する
（ステップＳ１２７）。次に、現在のカード側本人確認
レベルを取得する（ステップＳ１２８）。現在のカード
側本人確認レベルを取得したら、カード側本人確認レベ
ルと他のアプリケーションに要求された本人確認レベル
を比較し（ステップＳ１２９）、要求された本人確認レ
ベルの方が大きいか否かを判定する（ステップＳ１３
０）。

【００３２】ステップＳ１３０において、要求された本
人確認レベルの方が大きい場合（ステップＳ１３０のＹ
ＥＳ）、要求された認証方法による本人認証を行い、カ
ード側本人確認レベルを更新する（ステップＳ１３
１）。ここで、カード側本人確認レベルの更新は、”本
人確認レベル（更新後）＝本人確認レベル（更新前）＋
他のアプリケーションの認証結果による本人確認レベ
ル”とする。また、ここでは単純に加算をした例を示し
ているが、利用環境によって予め設定されている重み付
け因子を掛け合わせた値を加算しても良い。本人確認レ
ベルが更新されたら、他のアプリケーションを実行し
（ステップＳ１３２）、ステップＳ１２５に戻って、ユ
ーザに更なる他のアプリケーションを実行するか否かを
入力させる。一方、ステップＳ１２５において、ユーザ
が続けて他のアプリケーションを実行しないとした場合
（ステップＳ１２５のＮＯ）、カード側本人確認レベル
をクリアし（ステップＳ１３３）、アプリケーション利
用サービスを終了する（ステップＳ１３４）。また、ス
テップＳ１３０において、要求された本人確認レベルの
方が小さい場合（ステップＳ１３０のＮＯ）、要求され
た認証方法による本人認証は行わず、他のアプリケーシ
ョンを実行する（ステップＳ１３２）。

【００３３】また、カード内の本人認証機能を使う場
合、認証の失敗によりテンプレートがロックする場合が
ある。そこで、テンプレートがロックした場合において
も、ユーザがカードを継続して利用できるよう、図１
２、及び図１３のフローチャートを用いて、専用のメン
テナンス装置によるＩＣカードのカード所持者が行う本
人認証機能のメンテナンス動作を説明する。図１２にお
いて、まず、メンテナンス装置へＩＣカードを挿入させ
る（ステップＳ１４１）。次に、ＩＣカードメンテナン
ス認証を行う（ステップＳ１４２）。メンテナンス認証
の方法は、図５で説明した認証方法をメンテナンス鍵に
より行うことが違うのみであるので、ここでは説明を省
略する。メンテナンス認証を行ったら、認証が成功した
か否かを判定する（ステップＳ１４３）。ステップＳ１
４３において、メンテナンス認証が成功していた場合
（ステップＳ１４３のＹＥＳ）、ＩＣカードに、ロック
していないテンプレートで本人認証を行わせる（ステッ
プＳ１４４）。次に、本人認証が成功したか否かを判定
する（ステップＳ１４５）。ステップＳ１４５におい
て、本人認証が成功していた場合（ステップＳ１４５の
ＹＥＳ）、現在ロックしているテンプレートの一覧を表
示する（ステップＳ１４６）。

【００３４】ロックしているテンプレートの一覧を取得
したら、アンロック可能なテンプレートがあるか否かを
判定する（ステップＳ１４７）。ステップＳ１４７にお
いて、アンロック可能なテンプレートがある場合（ステ
ップＳ１４７のＹＥＳ）、図１３に示すようにロックを
解除する（ステップＳ１４８）。次に、ロックの解除が
成功したか否かを判定する（ステップＳ１４９）。ステ
ップＳ１４９において、ロックの解除が成功していた場
合（ステップＳ１４９のＹＥＳ）、テンプレートの再登
録を実行する（ステップＳ１５０）。テンプレートの再
登録を実行したら、テンプレートの再登録が成功したか
否かを判定し（ステップＳ１５１）、成功していた場合
（ステップＳ１５１のＹＥＳ）、現在の登録状況を表示
する（ステップＳ１５２）。そして、ＩＣカードのテン
プレートの登録状況を表示したら、ＩＣカードを排出す
る（ステップＳ１５３）。

【００３５】一方、ステップＳ１４３において、メンテ
ナンス認証が成功していなかった場合（ステップＳ１４
３のＮＯ）、ＩＣカードを取り込み、システムを停止し
て終了する（ステップＳ１５４）。また、ステップＳ１
４５において、本人認証が成功していなかった場合（ス
テップＳ１４５のＮＯ）、再度確認するか否かを確かめ
（ステップＳ１５５）、再度確認する場合（ステップＳ
１５５のＹＥＳ）、ステップＳ１４４へ戻り、本人認証
を再実行させる。ステップＳ１５５において、本人認証
を再度確認しない場合（ステップＳ１５５のＮＯ）、あ
るいは、ステップＳ１４７において、アンロック可能な
テンプレートがない場合（ステップＳ１４７のＮＯ）、
ステップＳ１５３へ進み、ＩＣカードを排出する。ま
た、ステップＳ１５１において、テンプレートの再登録
が成功していなかった場合（ステップＳ１５１のＮ
Ｏ）、再度、再登録するか否かを確認する（ステップＳ
１５６）。ステップＳ１５６において、再登録を行う場
合（ステップＳ１５６のＹＥＳ）、ステップＳ１５０へ
戻り、上述の動作を繰り返す。ステップＳ１５６におい
て、再登録を行なわない場合（ステップＳ１５６のＮ
Ｏ）、現在の登録状況を表示し（ステップＳ１５２）、
ＩＣカードを排出する（ステップＳ１５３）。

【００３６】次に、図１４のフローチャートを用いて、
専用のメンテナンス装置によるＩＣカードのシステム管
理者が行う本人認証機能のメンテナンス動作を説明す
る。図１４において、まず、メンテナンス装置へ管理者
ＩＣカードを挿入させる（ステップＳ１６１）。次に、
ＩＣカードに、ロックしていないテンプレートで本人認
証を行わせ（ステップＳ１６２）、本人認証が成功した
か否かを判定する（ステップＳ１６３）。ステップＳ１
６３において、本人認証が成功していた場合（ステップ
Ｓ１６３のＹＥＳ）、メンテナンス用の鍵を読み出す
（ステップＳ１６４）。メンテナンス用鍵を取得した
ら、管理者ＩＣカードを排出し（ステップＳ１６５）、
ユーザ用のＩＣカードを挿入させる（ステップＳ１６
６）。そして、図１２に示したステップＳ１４２に進
み、ステップＳ１４２からステップＳ１５６までの上述
の動作を行う。一方、ステップＳ１６３において、本人
認証が成功していなかった場合（ステップＳ１６３のＮ
Ｏ）、再度確認するか否かを確かめ（ステップＳ１６
７）、再度確認する場合（ステップＳ１６７のＹＥ
Ｓ）、ステップＳ１６２へ戻り、本人認証を再実行させ
る。ステップＳ１６７において、本人認証を再度確認し
ない場合（ステップＳ１６７のＮＯ）、ＩＣカードを排
出する（ステップＳ１６８）。

【００３７】（実施例の説明）次に、本発明の実施例を
図面を参照して説明する。図１５は、本発明の実施例の
システム構成を説明するブロック図である。本実施例
は、ＩＣカードを郵送や街角の自動販売機から入手する
例を示す。図１５において、符号１０１は、ＩＣカード
の発行とＩＣカードのユーザ管理を行う顧客管理サーバ
を示す。符号１０２は、認証データを登録してＩＣカー
ドを発行する顧客管理サーバ１０１に接続された認証デ
ータ登録ＩＣカード発行機を示す。符号１０３は、ＩＣ
カードのユーザが顧客管理サーバへアクセスするための
クライアント端末を示す。符号１０４は、指紋情報等の
認証用の情報を取得するためにクライアント端末１０３
に接続されたスキャナまたは照合装置を示す。符号１０
５は、現金の支払い機能の他に、カメラや指紋照合装
置、暗証番号入力用の操作部等を備えたＩＣカード自動
販売機を示す。ＩＣカード自動販売機では、個人がカー
ドを購入する時には、必ずなんらかの認証方法を選択し
なければＩＣカードは購入できないものとする。符号１
０６は、ＩＣカード自動販売機で販売されたＩＣカード
の情報を管理するＩＣカード販売管理サーバを示す。符
号１０７は、顧客管理サーバ１０１と、クライアント端
末１０３と、ＩＣカード自動販売機１０５と、ＩＣカー
ド販売管理サーバ１０６との間を接続するコンピュータ
ネットワークを示す。なお、クライアント端末１０３
は、スキャナ、または照合装置が接続できればＰＣ等の
他、携帯端末でも良い。

【００３８】次に、図１６に示すシーケンス図を用い
て、図１５に示すシステムにおける認証データ登録ＩＣ
カード発行機１０２によるＩＣカード発行動作を説明す
る。図１６において、まず、個人の自宅のパソコン（ク
ライアント端末１０３）からダイアルアップでプロバイ
ダなどに接続し、インターネット上の顧客管理サーバ１
０１が立ち上げているホームページに接続する。そし
て、認証機能登録のセッションを要求する（ステップＳ
１８１）。セッションを要求された顧客管理サーバ１０
１は、認証情報の入力をクライアント端末１０３を操作
するユーザへ求める（ステップＳ１８２）。認証情報の
入力を要求されたユーザは、クライアント端末１０３か
らＩＤ番号やパスワード等を送信する（ステップＳ１８
３）。顧客管理サーバ１０１では、送信された認証情報
によりユーザの認証を行い（ステップＳ１８４）、結果
をクライアント端末１０３へ通知する（ステップＳ１８
５）。認証結果を受けて、ユーザは次にクライアント端
末１０３から、自分の氏名、電話番号の他、メールアド
レス、ＩＣカードの登録に必要な暗証番号などのパスワ
ード等のＩＣカードへの記録情報、本人が確認できる画
像データ（運転免許証や保険証のコピー）や電子証明書
等を送信する（ステップＳ１８６）。このときに、登録
するＩＣカードの種類や、価格、絵柄、メモリ容量を選
択できるようにしても良い。また、ＩＣチップとカード
が分離できる場合は、バラバラに購入し、使用時に組み
合わせても良い。

【００３９】ＩＣカードへの記録情報を受信した顧客管
理サーバ１０１は、発信者番号通知により取得した電話
番号や氏名と、入力された電話番号や氏名が一致するこ
とを確認してユーザを確認する（ステップＳ１８７）。
ユーザが確認できたら、顧客管理サーバ１０１は、認証
データ登録ＩＣカード発行機１０２へ、顧客管理サーバ
１０１で受信した本人が確認できる情報や画像、更にパ
スワード等のＩＣカードへの記録情報を送信する（ステ
ップＳ１８８）。次に、クライアント端末へ認証情報の
登録の確認として、登録応答を送信する（ステップＳ１
８９）。一方、認証データ登録ＩＣカード発行機１０２
は、顧客管理サーバ１０１から送信された認証情報等の
データを記録したＩＣカードを発行し、顧客管理サーバ
１０１に履歴を登録する（ステップＳ１９０）。その
後、発行されたＩＣカードは郵送等によりクライアント
端末１０３を操作するユーザの元へ届けられ（ステップ
Ｓ１９１）、ユーザは必要に応じて本人認証データの再
登録を行う（ステップＳ１９２）。送付されたＩＣカー
ドは、指定した暗証番号や、画像データが登録されてい
るので、それらを用いて本人認証した後に、個人が選択
する認証方法で、再登録することができる。例えば、自
宅のパソコンに接続した本人認証装置から取り込んだ指
紋データをＩＣカードに再登録することで、指紋による
カード所持者確認も可能となる。なお、再登録の手続き
は、個人が選択できる認証方法を一度しか変更できない
設定にさせても良い。また、クライアントサーバ間でや
り取りを行うデータは暗号化されていても良い。

【００４０】次に、図１７に示すシーケンス図を用い
て、図１５に示すシステムにおけるＩＣカード自販機に
よるＩＣカード入手動作を説明する。図１７において、
まず、ユーザが街角にあるＩＣカード自動販売機１０５
に行き、ＩＣカードの購入を要求する（ステップＳ２０
１）。ユーザにＩＣカードの購入を要求されたＩＣカー
ド自動販売機１０５は、ＩＣカード販売管理サーバ１０
６へカード登録のセッションを要求する（ステップＳ２
０２）。カード登録のセッションを要求されたＩＣカー
ド販売管理サーバ１０６は、ＩＣカード自動販売機１０
５へセッションの要求応答を送信する（ステップＳ２０
３）。ＩＣカード販売管理サーバ１０６のセッション要
求応答を受信したＩＣカード自動販売機１０５は、ユー
ザへＩＣカード購入要求の応答を表示する（ステップＳ
２０４）。次に、ユーザはＩＣカードに設定する認証方
法を選択し（ステップＳ２０５）、必要な認証データ等
のＩＣカードへの記録情報を入力する（ステップＳ２０
６）。ＩＣカードへの記録情報を受信したＩＣカード自
動販売機１０５は、ＩＣカードの発行・登録を行い（ス
テップＳ２０７）、発行したＩＣカード情報をＩＣカー
ド販売管理サーバ１０６へ送信する（ステップＳ２０
８）。ＩＣカードの発行・登録情報を受信したＩＣカー
ド販売管理サーバ１０６は、ＩＣカード自動販売機１０
５へカード登録のセッション終了を送信する（ステップ
Ｓ２０９）。そして、ＩＣカード自動販売機１０５は、
作成されたＩＣカードを排出して（ステップＳ２１０）
ＩＣカード販売の動作を終了する。

【００４１】次に、このようにして入手したＩＣカード
の使用例を図面を用いて説明する。本使用例は、病気を
患っているユーザが、遠い病院に薬をとりに行く手間は
非常に大変であるので、病院が患者の住んでいる場所の
近くのコンビニエンスストアに、当該患者の薬を運ぶサ
ービスを行う例である。ＩＣカード内には、ＩＣカード
にキャッシュカードアプリケーションが既に入ってお
り、上記サービスを受けたい利用者は、病院等で病院の
ＩＤカードアプリケーションを入手し、近くのコンビニ
ヘ薬を取りにいく。まず、図１８から図２１にＩＣカー
ド内のデータ構成の例を示す。図１８は、本発明の実施
例のＩＣカード内アプリケーション構成例を説明する模
式図である。図１８において、ＩＣカード内には、
（１）アプリケーションプログラムとして、”キャッシ
ュカードアプリケーション”と後からダウンロードされ
た”病院用ＩＤカードアプリケーション”が記録されて
いる。それぞれのアプリケーションには、”ａ．本人認
証機能使用フラグ”と、”ｂ．本人確認レベル”が設定
されており、病院用ＩＤカードアプリケーションには、
更に”ｃ．薬情報”が記録されている。

【００４２】また、（２）認証方法に関する情報とし
て、認証方法１を順位１、認証方法３を順位２、認証方
法２を順位３とする”認証方法優先順位”と、認証方法
１をパスワード、認証方法２を指紋照合、認証方法３を
音声照合とする”カード側認証方法リスト”と、認証方
法１のテンプレート及びパラメータと、認証方法２のテ
ンプレート及びパラメータと、認証方法３のテンプレー
ト及びパラメータが記録されている。図１９は、図１８
におけるＩＣカード内のパスワードによる認証方法リス
トの詳細を説明する模式図である。図２０は、図１８に
おけるＩＣカード内の指紋照合による認証方法リストの
詳細を説明する模式図である。図２１は、図１８におけ
るＩＣカード内の音声照合による認証方法リストの詳細
を説明する模式図である。各図において、それぞれの認
証方法は、”ａ．認証方法用テンプレート”と、更に”
ｂ．認証方法パラメータ”として、”しきい値”、”テ
ンプレート優先順位”、”ロック再試行回数”、”アン
ロック再試行回数”、”アンロック回数上限値”、”ロ
ック回数上限値”、”組み合わせパラメータ”の各パラ
メータが設定されている。上述の例では、ユーザが手を
怪我しており指紋認証ができないの状況が生じたため、
指紋認証の順位を一番後ろになるように設定されてい
る。

【００４３】以上を前提に、本実施例の実施方法を示
す。図２２、及び図２３は、ＩＣカードに記録された病
院用ＩＤカードアプリケーションの動作を説明するシー
ケンス図である。図２２において、まず、ユーザは自宅
に用意されたクライアント端末１０３により、病院のホ
ームページへアクセスし、ＩＣカードを挿入して病院用
アプリケーション（病院のホームページ）に薬購入のセ
ッションを要求する（ステップＳ２２１）。病院用アプ
リケーションは、セッション要求に応答してＩＣカード
（病院用ＩＤカードアプリケーション）に相互認証を要
求する（ステップＳ２２２）。次に、ＩＣカードと病院
用アプリケーションは相互認証を行う（ステップＳ２２
３）。なお、相互認証の詳細は後述する。相互認証が終
了したら、病院用ＩＤカードアプリケーションによる本
人認証を行う（ステップＳ２２４）。ここでは、病院用
ＩＤカードアプリケーションが要求する本人確認レベル
が、指紋認証、または音声認証とパスワードの併用のど
ちらか一方が必要であるため、上述のようにＩＣカード
内の優先順位の高い、パスワードと音声認証の併用を本
人認証方法として選択する。当該認証方法にて本人確認
を行い、認証が成功した段階で、病院内のホームページ
にログインができ、必要な薬の購入を病院のホームペー
ジから注文する（ステップＳ２２５）。

【００４４】次に、病院用アプリケーションは、薬の在
庫チェックを行い（ステップＳ２２６）、在庫が確認で
きれば購入代金の支払いを要求する（ステップＳ２２
７）。購入代金の支払いを要求されたユーザは、キャッ
シュカードアプリケーションによる支払処理を行う（ス
テップＳ２２８）。なお、キャッシュカードアプリケー
ションによる支払処理の詳細は後述する。キャッシュカ
ードアプリケーションによる支払処理後、ユーザは支払
要求に対する応答を行い（ステップＳ２２９）、病院用
アプリケーションは、ＩＣカードに薬の予約情報を書き
込む（ステップＳ２３０）。ＩＣカードから予約情報書
き込みに対する応答が送信されると（ステップＳ２３
１）、病院用ＩＤカードアプリケーションは、指定の店
舗への薬の配送を行う（ステップＳ２３２）。

【００４５】後日、ユーザは指定の店舗へ行き、店舗に
用意されたクライアント端末１０３に対して薬購入のセ
ッションを要求する（ステップＳ２３３）。店舗端末
（店舗用のアプリケーション）は、セッション要求に応
答してＩＣカードに相互認証を要求する（ステップＳ２
３４）。次にＩＣカードと店舗端末は相互認証を行う
（ステップＳ２３５）。なお、相互認証の詳細は後述す
る。相互認証が終了したら、図２３に示すように、薬の
受け取りに必要な本人認証を行う（ステップＳ２３
６）。ここでは、薬の受け取りに必要な本人確認レベル
は、低く設定されているため、カードを持っていること
によって本人認証がなされる。次に、店舗端末は薬の予
約情報をＩＣカードへ送信し（ステップＳ２３７）、Ｉ
Ｃカードは、カード側に登録されている薬情報と、届け
られている薬との整合性を確認する（ステップＳ２３
８）。そして、確認結果を店舗端末へ通知する（ステッ
プＳ２３９）と同時に、店舗はカード所有者に当該の薬
を手渡す（ステップＳ２４０）。なお、カード側に登録
されている薬情報と、届けられている薬との整合性を確
認できたら、ＩＣカードは予約情報は削除する。

【００４６】次に、図２４、及び図２５のシーケンス図
を用いて、ＩＣカードと病院または店舗用のアプリケー
ションとの相互認証動作の一例を説明する。図２４にお
いて、まず、病院または店舗用のアプリケーションが、
アプリケーション鍵を発行者鍵により暗号化し（ステッ
プＳ２４１）、ＩＣカードへ送信する（ステップＳ２４
２）。ＩＣカードは受信した暗号文を復号化し、アプリ
ケーション鍵をＩＣカードにセットする（ステップＳ２
４３）。次に、病院または店舗用のアプリケーションは
乱数Ｃを発生し（ステップＳ２４４）、ＩＣカードへ生
成した乱数Ｃを送信する（ステップＳ２４５）。乱数Ｃ
を受信したＩＣカードは、アプリケーション鍵で乱数Ｃ
を暗号化し（ステップＳ２４６）、病院または店舗用の
アプリケーションへ送信する（ステップＳ２４７）。病
院または店舗用のアプリケーションは、受信した暗号文
を復号化し（ステップＳ２４８）、復号化した乱数を生
成した乱数Ｃと比較する（ステップＳ２４９）。ステッ
プＳ２４９において、比較した乱数が一致した場合、病
院または店舗用のアプリケーションは、アプリケーショ
ン鍵はＩＣカードにセットされたと判断する（ステップ
Ｓ２５０）。ステップＳ２４９において、比較した乱数
が一致しない場合、病院または店舗用のアプリケーショ
ンは、アプリケーション鍵はＩＣカードにセットされな
いと判断する（ステップＳ２５１）。アプリケーション
鍵がＩＣカードにセットされない場合、ＩＣカードは偽
造である可能性がある。

【００４７】次に、図２５に示すように、ＩＣカード
が、カード鍵を発行者鍵により暗号化し（ステップＳ２
５２）、病院または店舗用のアプリケーションへ送信す
る（ステップＳ２５３）。病院または店舗用のアプリケ
ーションは受信した暗号文を復号化し、カード鍵を病院
または店舗用のアプリケーションにセットする（ステッ
プＳ２５４）。次に、ＩＣカードは乱数Ｄを発生し（ス
テップＳ２５５）、病院または店舗用のアプリケーショ
ンへ生成した乱数Ｄを送信する（ステップＳ２５６）。
乱数Ｄを受信した病院または店舗用のアプリケーション
は、カード鍵で乱数Ｄを暗号化し（ステップＳ２５
７）、ＩＣカードへ送信する（ステップＳ２５８）。Ｉ
Ｃカードは、受信した暗号文を復号化し（ステップＳ２
５９）、復号化した乱数を生成した乱数Ｄと比較する
（ステップＳ２６０）。ステップＳ２６０において、比
較した乱数が一致した場合、ＩＣカードは、カード鍵は
病院または店舗用のアプリケーションにセットされたと
判断する（ステップＳ２６１）。ステップＳ２６０にお
いて、比較した乱数が一致しない場合、ＩＣカードは、
カード鍵は病院または店舗用のアプリケーションにセッ
トされないと判断する（ステップＳ２６２）。カード鍵
が病院または店舗用のアプリケーションにセットされな
い場合、病院または店舗用のアプリケーションは盗聴や
改竄がされている可能性がある。

【００４８】次に、図２６のシーケンス図を用いて、本
実施例のＩＣカードのキャッシュカードアプリケーショ
ンの動作を説明する。図２６において、、まず、ユーザ
は自宅に用意されたクライアント端末１０３により、銀
行用アプリケーションを起動し、ＩＣカードを挿入して
キャッシュカードアプリケーションによる銀行決済のセ
ッションを要求する（ステップＳ２８１）。銀行用アプ
リケーションは、セッション要求に応答してＩＣカード
に本人認証を要求する（ステップＳ２８２）。ただし、
ここでの本人確認は、既に病院用ＩＤカードアプリケー
ションでの本人確認結果がカード内に存在しているた
め、図１１のステップＳ１３０の手順に従えば、ここで
の本人確認は省略が可能である。ＩＣカードは正常に認
証されたら、銀行用アプリケーションにステータスを送
信する（ステップＳ２８３）。次に、銀行用アプリケー
ションはＩＣカードの情報読み出しを行う（ステップＳ
２８４）。ＩＣカードは情報の読み出しに応答して、ユ
ーザの口座情報や信用情報を銀行端末へ送信する（ステ
ップＳ２８５）。この時、送信する情報は暗号化しても
良い。次に、銀行用アプリケーションは、銀行端末へ振
込先情報を送信する（ステップＳ２８６）。ユーザの情
報と振込先情報を受信した銀行端末は、口座振替処理を
行い（ステップＳ２８７）、振替結果をＩＣカードへ通
知する（ステップＳ２８８）。口座振替通知を受信した
ＩＣカードは、口座振替結果を記録し（ステップＳ２８
９）、銀行用アプリケーションへステータスを送信して
（ステップ２９０）、ＩＣカードのキャッシュカードア
プリケーションを終了する。

【００４９】次に、図２７のフローチャートを用いて、
本実施例のようにＩＣカード内に２つのテンプレートが
存在する場合のテンプレート選択動作を説明する。図２
７において、まず、第１テンプレートを用いて本人認証
を行う（ステップＳ３０１）。次に、認証が成功したか
否かを判定する（ステップＳ３０２）。ステップＳ３０
２において、認証が成功していなかった場合（ステップ
Ｓ３０２のＮＯ）、第１のテンプレートによる認証回数
を示すカウンタがＮ以上か否かを判定する（ステップＳ
３０３）。ステップＳ３０３において、カウンタがＮ未
満であった場合（ステップＳ３０３のＮＯ）、ステップ
Ｓ３０１へ戻り、上述の第１テンプレートによる本人認
証を繰り返す。ステップＳ３０３において、カウンタが
Ｎ以上であった場合（ステップＳ３０３のＹＥＳ）、次
のテンプレートによる認証を行うか否かをユーザに入力
させる（ステップＳ３０４）。ステップＳ３０４におい
て、ユーザが次のテンプレートによる認証を行うとした
場合（ステップＳ３０４のＹＥＳ）、第２テンプレート
を用いて本人認証を行う（ステップＳ３０５）。次に、
認証が成功したか否かを判定する（ステップＳ３０
６）。ステップＳ３０６において、認証が成功していな
かった場合（ステップＳ３０６のＮＯ）、第２のテンプ
レートによる認証回数を示すカウンタがＮ以上か否かを
判定する（ステップＳ３０７）。ステップＳ３０７にお
いて、カウンタがＮ未満であった場合（ステップＳ３０
７のＮＯ）、ステップＳ３０５へ戻り、上述の第２テン
プレートによる本人認証を繰り返す。ステップＳ３０７
において、カウンタがＮ以上であった場合（ステップＳ
３０７のＹＥＳ）、本人認証の失敗を記録し（ステップ
Ｓ３０８）、アプリケーションに結果を返す（ステップ
Ｓ３０９）。一方、ステップＳ３０２において、認証が
成功していた場合（ステップＳ３０２のＹＥＳ）、ステ
ップＳ３０８へ進み、アプリケーションに結果を返す。
また、ステップＳ３０６において、認証が成功していた
場合も（ステップＳ３０６のＹＥＳ）、ステップＳ３０
８へ進み、アプリケーションに結果を返す。

【００５０】

【発明の効果】以上の如く本発明によれば、サービス提
供者毎に別々の本人認証方法を用いるのではなく、複数
のサービスから、ＩＣカード内の本人認証機能を共有す
ることで、本人認証機能の無駄を省くことが可能とな
り、かつ、サービス利用者自身が複数の本人認証方法
を、安全性を損なわない範囲で選択できる仕組みによ
り、本人認証に必要な情報の登録及び変更を容易に実現
することが可能となる。従って、認証に対するなりすま
しの危険性を回避し、また、生体情報を利用する場合、
怪我等の使用する部位の状態、体調、更には指紋認証を
例に取ると、生まれつき指紋が薄くて認証には適さない
等、生まれながらの特性により完全な本人認証ができな
い場合に対応するＩＣカード、登録装置、及びサービス
提供システムを実現できるという効果が得られる。

【図面の簡単な説明】

【図１】 本発明の実施の形態のＩＣカード上に構成さ
れる機能ブロックを説明するブロック図である。

【図２】 同実施の形態のＩＣカード上のＥＥＰＲＯＭ
に記録される情報の構成を説明する模式図である。

【図３】 同実施の形態のＩＣカード上のＥＥＰＲＯＭ
に記録される情報の構成を説明する模式図である。

【図４】 同実施の形態のＩＣカードへの本人認証機能
の登録動作を説明するフローチャートである。

【図５】 本人認証機能の登録時のＩＣカードへの登録
認証動作の一例を説明するシーケンス図である。

【図６】 同実施の形態のＩＣカードへのアプリケーシ
ョンプログラムの登録・削除動作を説明するフローチャ
ートである。

【図７】 アプリケーションの登録・削除時のアプリケ
ーション鍵による認証動作の一例を説明するシーケンス
図である。

【図８】 アプリケーションの登録・削除時のアプリケ
ーション鍵による認証動作の一例を説明するシーケンス
図である。

【図９】 同実施の形態のＩＣカードで実行されるアプ
リケーションが１つの認証方法を実行する場合の動作を
説明するフローチャートである。

【図１０】 同実施の形態のＩＣカードで実行されるア
プリケーションが複数の認証方法を優先順位により選択
して実行する場合の動作を説明するフローチャートであ
る。

【図１１】 同実施の形態のＩＣカードで実行される複
数のアプリケーションが認証結果を共有する場合の動作
を説明するフローチャートである。

【図１２】 同実施の形態のＩＣカードのカード所持者
による本人認証機能のメンテナンス動作を説明するフロ
ーチャートである。

【図１３】 同実施の形態のＩＣカードのカード所持者
による本人認証機能のメンテナンス動作を説明するフロ
ーチャートである。

【図１４】 同実施の形態のＩＣカードのシステム管理
者による本人認証機能のメンテナンス動作を説明するフ
ローチャートである。

【図１５】 本発明の実施例のシステム構成を説明する
ブロック図である。

【図１６】 本発明の実施例の認証データ登録ＩＣカー
ド発行機によるＩＣカード発行動作を説明するシーケン
ス図である。

【図１７】 本発明の実施例のＩＣカード自販機による
ＩＣカード入手動作を説明するシーケンス図である。

【図１８】 本発明の実施例のＩＣカード内アプリケー
ション構成例を説明する模式図である。

【図１９】 本発明の実施例のＩＣカード内のパスワー
ドによる認証方法リストの詳細を説明する模式図であ
る。

【図２０】 本発明の実施例のＩＣカード内の指紋照合
による認証方法リストの詳細を説明する模式図である。

【図２１】 本発明の実施例のＩＣカード内の音声照合
による認証方法リストの詳細を説明する模式図である。

【図２２】 本発明の実施例の病院用ＩＤカードアプリ
ケーションの動作を説明するシーケンス図である。

【図２３】 本発明の実施例の病院用ＩＤカードアプリ
ケーションの動作を説明するシーケンス図である。

【図２４】 ＩＣカードと病院または店舗用のアプリケ
ーションとの相互認証動作の一例を説明するシーケンス
図である。

【図２５】 ＩＣカードと病院または店舗用のアプリケ
ーションとの相互認証動作の一例を説明するシーケンス
図である。

【図２６】 本発明の実施例のキャッシュカードアプリ
ケーションの動作を説明するシーケンス図である。

【図２７】 本発明の実施例のＩＣカード内に２つのテ
ンプレートが存在する場合のテンプレート選択動作を説
明するフローチャートである。

【符号の説明】

１ 制御処理部 ２ 入出力制御部 ３ ＥＥＰＲＯＭ ４ ＲＯＭ ５ ＲＡＭ １１ アプリケーション追加・削除機能部 １２ データ読み・書き処理部 １３ コマンド実行管理部 １４ 本人認証機能部 １０１ 顧客管理サーバ １０２ 認証データ登録ＩＣカード発行機 １０３ クライアント端末 １０４ スキャナまたは照合装置 １０５ ＩＣカード自動販売機 １０６ ＩＣカード販売管理サーバ １０７ コンピュータネットワーク

フロントページの続き Ｆターム(参考） 2C005 MA04 SA11 5B035 AA14 BB09 BC01 CA38 5B055 BB10 EE03 HA01 HA14 KK05 KK13 KK14 5B076 FB05 5B085 AE12

Claims (10)

【特許請求の範囲】
1. 【請求項１】 ＩＣカード上に記録されたアプリケーシ
   ョンプログラムによりサービスを提供するＩＣカードで
   あって、 前記ＩＣカードで実行される複数の前記アプリケーショ
   ンプログラム、及び前記アプリケーションプログラムを
   実行するための認証方法と認証データを含む認証情報を
   記録する記録手段と、 前記記録手段に記録された認証方法を用いて、前記記録
   手段に記録された本人を特定する認証用データと、前記
   記録手段に記録されたいずれかのアプリケーションプロ
   グラムの処理を実行する際に外部より入力された情報と
   を比較することによりＩＣカード使用者の認証を行う本
   人認証手段と、 前記本人認証手段において認証が行われることにより前
   記記録手段に記録された実行対象となるアプリケーショ
   ンプログラムの処理を実行するコマンド実行手段と、 を設けたことを特徴とするＩＣカード。
2. 【請求項２】 前記本人認証手段は、 前記認証方法の実行結果を予め設定された点数により取
   得する手段と、 予め設定された優先順位に従い実行される複数の前記認
   証方法の実行結果として出力された前記点数を加算する
   手段と、 加算された前記点数とアプリケーションプログラムの指
   定する所定の点数とを比較する手段と、 を更に含み、 前記アプリケーションプログラムの指定する所定の点数
   を満たした時点で、前記アプリケーションに認証の正常
   終了を通知することを特徴とする請求項１に記載のＩＣ
   カード。
3. 【請求項３】 前記本人認証手段は、 前記認証方法の実行結果を予め設定された点数により取
   得する手段と、 前記認証方法の実行結果として出力された現在の点数と
   次に実行するアプリケーションプログラムの指定する所
   定の点数とを比較する手段と、 比較の結果、前記アプリケーションプログラムの指定す
   る所定の点数が前記現在の点数より大きい場合、前記ア
   プリケーションプログラムに指定された認証方法を実行
   し、該認証方法による点数を新しい現在の点数として記
   録・更新する手段と、 を更に含み、 認証結果による現在の点数が、前記アプリケーションプ
   ログラムの指定する所定の点数を満たしていた場合、該
   アプリケーションプログラムの指定する認証方法の実行
   を省略することを特徴とする請求項１に記載のＩＣカー
   ド。
4. 【請求項４】 前記本人認証手段は、 認証に使用する前記認証用データが複数記録されている
   場合、予め設定された優先順位により前記認証方法に用
   いる認証用データを選択することを特徴とする請求項１
   から請求項３のいずれかに記載のＩＣカード。
5. 【請求項５】 前記本人認証手段は、 認証の失敗により、前記認証データが使用停止となって
   も、他の認証データを用いた本人認証により本人を確認
   できる場合、使用停止となった該認証データを復元する
   手段を更に含むことを特徴とする請求項１から請求項４
   のいずれかに記載のＩＣカード。
6. 【請求項６】 請求項１から請求項５のいずれかに記載
   のＩＣカードに、認証データを含む認証情報を登録する
   認証情報登録装置であって、 ＩＣカードが認証情報登録装置を正当な接続先であると
   確認するための登録認証を実行する登録認証手段と、 前記登録認証が正常な場合、登録可能な認証方法を表示
   し、利用者に希望する前記認証方法を選択させる選択手
   段と、 選択された前記認証方法と前記認証情報を前記ＩＣカー
   ドへ登録する登録手段と、 を設けたことを特徴とする認証情報登録装置。
7. 【請求項７】 請求項１から請求項５のいずれかに記載
   のＩＣカードに、ＩＣカードで実行するアプリケーショ
   ンプログラムを登録するアプリケーションプログラム登
   録装置であって、 アプリケーション用鍵によりアプリケーションプログラ
   ムの認証を実行する認証手段と、 前記アプリケーション鍵による認証が正常な場合、ＩＣ
   カードに登録された認証方法により本人認証を行わせる
   確認手段と、 ＩＣカードが実行した本人認証が正常な場合、追加可能
   なアプリケーションプログラムを表示して、利用者に希
   望するするアプリケーションプログラムを選択させる選
   択手段と、 選択されたアプリケーションプログラムを登録・削除す
   る登録・削除手段と、 を設けたことを特徴とするアプリケーションプログラム
   登録装置。
8. 【請求項８】 請求項１から請求項５のいずれかに記載
   のＩＣカードを用いたサービス提供システムであって、 ＩＣカードの発行と利用者の管理を行う顧客管理サーバ
   と、 利用者がＩＣカードを利用するための、自宅、あるいは
   店舗に用意されたクライアント端末と、 を設けたことを特徴とするサービス提供システム。
9. 【請求項９】 利用者が街頭でＩＣカードを入手するた
   めのＩＣカード自動販売機と、 ＩＣカード自動販売機の販売履歴と利用者を管理するＩ
   Ｃカード販売管理サーバと、 を更に設けたことを特徴とする請求項８に記載のサービ
   ス提供システム。
10. 【請求項１０】 ＩＣカード上に記録されたアプリケー
    ションプログラムによりサービスを提供するＩＣカード
    におけるＩＣカード使用者の認証方法であって、 前記ＩＣカードで実行される複数の前記アプリケーショ
    ンプログラム、及び前記アプリケーションプログラムを
    実行するための認証方法と認証データを含む認証情報を
    記録するＩＣカード上の記録手段に記録された認証方法
    を用いて、前記記録手段に記録された本人を特定する認
    証用データと、前記記録手段に記録されたいずれかのア
    プリケーションプログラムの処理を実行する際に外部よ
    り入力された情報とを比較することによりＩＣカード使
    用者の認証を行う本人認証処理と、 前記本人認証処理において認証が行われることにより前
    記記録手段に記録された実行対象となるアプリケーショ
    ンプログラムの処理を実行するコマンド実行処理と、 を含むことを特徴とするＩＣカード使用者の認証方法。