JP6708958B2 - 情報処理端末、情報処理システム、プログラム、および制御方法 - Google Patents

Description

この開示は、情報処理端末の制御に関し、より特定的には、無線通信を行なう情報処理端末の制御に関する。

近年のＩｏＴ（Internet of Things）化の影響を受け、無線通信機器の普及が促進されている。無線通信は、物理的なケーブルを用いずとも手軽にネットワークを構築することができる一方で、悪意の第三者から成りすまし行為を受ける可能性がある。

この成りすましを抑制する技術として、たとえば、特開２０１４−０８２７１６号公報（特許文献１）は、電池消耗を増加させるハード構成の変更を行なうことなく、成りすまし接続の危険性をより低減する構成を開示している。より具体的には、同技術は、第１のペアリング要求パケットに含まれる第１の識別機密情報（ＭＡＣ（Media Access Control）アドレス）と、第２のペアリング要求パケットに含まれる第２の識別機密情報とが予め決められた条件を満たした場合に、第２のペアリング要求パケットを無線送信した端末を、機密情報リンク層より上位層の機密情報を無線通信する端末として登録するものである。

また、機密情報を安全に複製する技術に関し、たとえば、特開２０１１−０７１５９３号公報（特許文献２）は、マスタとなる携帯情報端末のプログラムを、複製治具装置などを用いずに、他の携帯情報端末に複製する携帯情報端末システムを開示している。より具体的には、携帯情報端末システムは、電子証明書を用いて公開鍵暗号方式で認証してペアが特定された他の携帯情報端末と無線ＬＡＮ（Local Area Network）を介して互いに無線接続するとともに、公開鍵暗号方式で共通暗号鍵を配信して共通鍵暗号方式で通信を行なうものである。

さらに他のセキュリティ通信に関する技術として、互いに無線通信を行なう両端末に設けられたボタンを同時に押している間に認証を行い、認証を行ったペアとのみ通信を行なう方式も知られている。

特開２０１４−０８２７１６号公報 特開２０１１−０７１５９３号公報

しかしながら、特許文献１および２に開示される技術は、鍵情報／入力情報などの認証情報を盗まれた場合に、悪意の第三者による成りすまし行為を受ける危険性がある。また、認証情報は、通常、セキュリティ確保の観点から複雑に構成されるものであるため、ユーザーは当該情報を記憶することが困難である。そのため、ユーザーは認証情報をメモ等を用いて管理することになる。しかしながら、セキュリティの観点から、認証情報をメモ等に残すことは好ましくない。

また、互いに無線通信を行なう両端末に設けられたボタンを同時に押している間に認証を行なう方式についても、ボタンを押している間に機器から出力される無線電波に基づいて成りすまし行為を受ける可能性がある。

本開示は、上記のような問題を解決するためになされたものであって、ある局面における目的は、ユーザーの利便性を確保しつつ、成りすましを抑制することができる情報処理端末を提供することである。

一実施の形態に従うと、第１の種類の生体情報を測定する第１の生体センサーを含むセンサー端末と機密情報を通信するための情報処理端末が提供される。この情報処理端末は、センサー端末から第１の生体センサーの測定結果を受信するための受信部と、第１の種類の生体情報を測定するための第２の生体センサーと、第１の生体センサーの測定結果が、第２の生体センサーの測定結果に対して予め定められた条件を満たす場合に、センサー端末と機密情報を通信する第１のモードを有する制御部とを備える。制御部は、センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、第１のモードでセンサー端末との当該機密情報の通信を実行する。

好ましくは、制御部は、第１のモードと、第１の生体センサーの測定結果と第２の生体センサーの測定結果との比較を行なわずにセンサー端末と機密情報を通信する第２のモードとを切り替え可能に構成される。

さらに好ましくは、第２の生体センサーの測定結果を格納するための記憶装置をさらに備える。制御部は、センサー端末に送信する機密情報のセキュリティレベルが予め定められたレベル未満である場合に、当該機密情報を記憶装置に格納される所定の測定結果を用いて暗号化し、当該暗号化した機密情報を第２のモードでセンサー端末に送信する。

好ましくは、制御部は、センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、近距離無線通信を用いてセンサー端末との当該機密情報の通信を実行する。

さらに好ましくは、制御部は、センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル未満である場合に、近距離無線通信よりもビットレートが高い無線通信を用いてセンサー端末との当該機密情報の通信を実行する。

さらに好ましくは、制御部は、センサー端末に送信する機密情報のセキュリティレベルが予め定められたレベル未満である場合に、センサー端末と通信可能に構成される外部装置に当該機密情報が存在するか否かを検証する。制御部は、機密情報が外部装置に存在することを検証した場合、外部装置からセンサー端末へ機密情報を転送させる制御信号を、外部装置およびセンサー端末のいずれか一方に送信する。

さらに好ましくは、外部装置と通信可能に構成される。制御部は、センサー端末から機密情報を受信するにあたって、センサー端末から当該機密情報についてのセキュリティレベルを受信するとともに、当該機密情報のセキュリティレベルが予め定められたレベル未満である場合に、センサー端末から受信した機密情報を外部装置に転送するように構成される。

さらに好ましくは、記憶装置をさらに備える。制御部は、センサー端末から受信した機密情報を外部装置に転送した場合に、所定の情報を記憶装置に格納するように構成される。所定の情報は、外部装置への接続情報、外部装置における機密情報の記憶領域情報、および外部装置へのログインに使用した情報のうち少なくともいずれか１つの情報を含む。

好ましくは、制御部は、センサー端末に送信する機密情報のセキュリティレベルに関する情報をセンサー端末に送信する構成、およびセンサー端末から受信する機密情報のセキュリティレベルに関する情報をセンサー端末に要求する構成のうち少なくとも一方の構成を含む。

好ましくは、情報の入力を受け付けるための操作受付部をさらに備える。制御部は、操作受付部に入力される情報に基づいてセンサー端末と通信する機密情報のセキュリティレベルを設定する。

好ましくは、情報の入力を受け付けるための操作受付部をさらに備える。制御部は、センサー端末と通信する機密情報のセキュリティレベルを、当該機密情報が格納される記憶領域情報、当該機密情報に付加される第１のセキュリティ情報、および当該機密情報をセンサー端末と通信する際に操作受付部に入力される第２のセキュリティ情報のいずれか１つの情報に基づいて判断する。

好ましくは、第２の生体センサーの測定結果を格納するための記憶装置をさらに備える。制御部は、センサー端末に送信する機密情報を記憶装置に格納される所定の測定結果を用いて暗号化する構成、およびセンサー端末から受信する機密情報を所定の測定結果に基づいて復号化する構成のうち少なくとも一方の構成を含む。

さらに好ましくは、所定の測定結果は、記憶装置に格納される第２の生体センサーによる測定結果のうち、最新の測定結果を含む。

好ましくは、制御部は、近距離無線通信を用いて所定の測定結果をセンサー端末に送信する。

好ましくは、制御部は、所定期間における第１および第２の生体センサーの測定結果が一致する割合が所定値以上である場合に、第１の生体センサーの測定結果が予め定められた条件を満たすと判定するように構成されている。

好ましくは、情報の入力を受け付けるための操作受付部をさらに備える。制御部は、操作受付部に予め定められた情報が入力されたことに応じて、センサー端末に、第１の生体センサーによる第１の種類の生体情報の測定および当該生体情報の測定結果の送信を要求する要求信号を送信するように構成されている。

さらに好ましくは、制御部は、要求信号の送信に応じて送信された第１の生体センサーの測定結果が予め定められた条件を満たさないと判定された場合に、所定回数を上限として、センサー端末に要求信号を再び送信するように構成されている。

さらに好ましくは、制御部は、要求信号の送信に応じて送信された第１の生体センサーによる複数の測定結果の平均値である第１の平均値を算出し、前記第１の生体センサーによる複数の測定結果のそれぞれに対応する前記第２の生体センサーによる複数の測定結果の平均値である第２の平均値を算出し、第１の平均値が第２の平均値に対して予め定められた条件を満たすか否かを判定することにより、第１の生体センサーの測定結果が予め定められた条件を満たすか否かを判定するように構成されている。

さらに好ましくは、制御部は、第１の平均値が第２の平均値に対して予め定められた条件を満たさないと判定した場合に、第１の平均値と第２の平均値との差分に基づく補正を次回の第１の生体センサーの測定結果に対して行い、次回の第１の生体センサーの測定結果が予め定められた条件を満たすか否かを判定するように構成されている。

好ましくは、制御部は、センサー端末に、第１の生体センサーによる測定を行なうタイミングを指定する同期信号をさらに送信するように構成されている。第２の生体センサーは、同期信号に従うタイミングで第１の種類の生体情報を測定するように構成されている。

好ましくは、制御部は、第１の生体センサーの測定結果が予め定められた条件を満たさないと判定された場合に、エラーを通知するように構成されている。

好ましくは、制御部は、センサー端末に送信した機密情報と、センサー端末から返信された当該機密情報の少なくとも一部とを比較することによって、センサー端末への機密情報の送信が成功したか否かを検証するように構成されている。

さらに好ましくは、センサー端末へ送信される機密情報を格納するための記憶装置をさらに備える。制御部は、センサー端末への機密情報の送信が成功したことを検証した場合に、記憶装置においてセンサー端末へ送信された機密情報を消去するように構成されている。

さらに他の局面に従うと、情報処理システムは、第１および第２の情報処理端末を備える。第１の情報処理端末は、第１の種類の生体情報を測定する第１の生体センサーと、第１の生体センサーの測定結果を第２の情報処理端末に送信するための送信部とを含む。第２の情報処理端末は、第１の情報処理端末から第１の生体センサーの測定結果を受信するための受信部と、第１の種類の生体情報を測定するための第２の生体センサーと、第１の生体センサーの測定結果が、第２の生体センサーの測定結果に対する予め定められた条件を満たす場合に、第１の情報処理端末と機密情報を通信する第１のモードを有する制御部とを備える。制御部は、第１の情報処理端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、第１のモードで第１の情報処理端末との当該機密情報の通信を実行する。

さらに他の局面に従うと、プログラムは、第１の種類の生体情報を測定するための生体センサーを備える情報処理端末のコンピューターによって実行され、第１の種類の生体情報を測定するセンサー端末と機密情報を通信する。プログラムは、コンピューターに、センサー端末から第１の種類の生体情報の測定結果を受信するステップと、第１の種類の生体情報を測定するステップとを実行させる。コンピューターは、センサー端末から受信した測定結果が、測定するステップにおける生体情報の測定結果に対して予め定められた条件を満たす場合に、センサー端末と機密情報を通信する第１のモードを有する。プログラムは、コンピューターに、センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、第１のモードでセンサー端末との当該機密情報の通信を行なうステップをさらに実行させる。

さらに他の局面に従うと、制御方法は、第１の種類の生体情報を測定するための生体センサーを備える情報処理端末が、第１の種類の生体情報を測定するセンサー端末と機密情報を通信する。制御方法は、センサー端末から第１の種類の生体情報の測定結果を受信するステップと、第１の種類の生体情報を測定するステップとを含む。情報処理端末は、センサー端末から受信した測定結果が、測定するステップにおける生体情報の測定結果に対して予め定められた条件を満たす場合に、センサー端末と機密情報を通信する第１のモードを有する。制御方法は、センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、第１のモードでセンサー端末との当該機密情報の通信を行なうステップをさらに含む。

一実施形態に従う情報処理端末によれば、ユーザーの利便性を確保しつつ、成りすましを抑制することができる。

この発明の上記および他の目的、特徴、局面および利点は、添付の図面と関連して理解されるこの発明に関する次の詳細な説明から明らかとなるであろう。

実施形態に従う情報処理システムについての動作概要を説明する図である。 実施形態１に従う情報処理端末のハードウェア構成を説明するブロック図である。 実施形態１に従う情報処理端末の具体的態様の一例を表す図である。 実施形態１に従う情報処理端末が他の情報処理端末に機密情報を送信するための制御について説明するシーケンス図である。 実施形態１に従う情報処理端末における機密情報の通信制御について説明するフローチャートである。 実施形態１に従う機密情報の通信に関する情報を格納するためのテーブルについて説明する図である。 実施形態１に従う生体センサーの測定結果の比較について説明する図である。 上記一連の機密情報の通信処理を実行するための制御部の機能構成を説明する機能ブロック図である。 実施形態１に従う情報処理端末における機密情報の通信制御について説明するフローチャートである。 実施形態２に従う情報処理システムの構成例について説明する図である。 実施形態２に従う情報処理端末のハードウェア構成例を説明するブロック図である。 実施形態２に従う情報処理端末が他の情報処理端末に高機密情報を送信するための制御について説明するシーケンス図である。 実施形態２に従う情報処理端末が他の情報処理端末に低機密情報を送信するための制御について説明するシーケンス図である。 実施形態３に従う情報処理システムの構成例について説明する図である。 実施形態３に従う無人航空機に制御信号を送信するための制御について説明するシーケンス図である。

以下、この発明の実施形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付し、その説明は繰り返さない。

［Ａ．概要］
図１は、実施形態に従う情報処理システム１についての動作概要を説明する図である。図１を参照して、情報処理システム１は、情報処理端末１００Ａと、情報処理端末１００Ｂとを備える。情報処理端末１００Ａおよび１００Ｂはそれぞれ、生体情報を測定するための生体センサー１２０Ａ、１２０Ｂを含む。

以下、情報処理端末１００Ａが、情報処理端末１００Ｂと機密情報の通信を行なうための制御を説明する。

ステップＳ１において、ユーザーは、情報処理端末１００Ａに対して、機密情報を情報処理端末１００Ｂに送信するための指示を入力する。

ステップＳ２において、情報処理端末１００Ａは、ユーザーからの指示の入力に応じて情報処理端末１００Ｂに対して生体センサー１２０Ｂによる生体情報の測定を指示する信号を送信する。

ステップＳ３において、情報処理端末１００Ｂは、情報処理端末１００Ａから入力された信号に基づいて、生体センサー１２０Ｂによって、ユーザーの生体情報を測定し、当該測定結果を情報処理端末１００Ａに送信する。

ステップＳ４において、情報処理端末１００Ａは、生体センサー１２０Ａによって、ユーザーの生体情報を測定する。なお、生体センサー１２０Ａにより測定される生体情報の種類と、生体センサー１２０Ｂにより測定される生体情報の種類とは同じである。また、ステップＳ３および４において、生体センサー１２０Ａおよび１２０Ｂは、同一ユーザーの生体情報を測定する。

ステップＳ５において、情報処理端末１００Ａは、生体センサー１２０Ｂの測定結果が、生体センサー１２０Ａの測定結果に対する予め定められた条件（たとえば、両方の測定結果が一致するか）を満たすか否かを判定する。ステップＳ６において、情報処理端末１００Ａは、ステップＳ５において生体センサー１２０Ｂの測定結果が条件を満たしたと判定した場合、機密情報を情報処理端末１００Ｂに送信する。

上記によれば、ユーザーは、機密情報の通信を行なうにあたって、通信を行なう各々の情報処理端末に搭載された生体センサーを用いて自身の生体情報を測定するだけでよい。したがって、ユーザーは、複雑な認証情報（パスワード）を記憶する必要がなく、メモ等に当該認証情報を残す必要もない。その結果、実施形態に従う情報処理システムは、従来のシステムに比して高いセキュリティを有する。

また、実施形態に従う情報処理システムは、機密情報の通信を行なうにあたって、悪意の第三者にとって複製、取得が非常に困難な生体情報を用いて認証を行なう。その結果、実施形態に従う情報処理システムは、従来のシステムに比して、成りすましをより抑制することができる。以下、この情報処理システムについての詳細な構成および制御について説明を行なう。

［Ｂ．実施形態１］
（ｂ１．情報処理端末１００Ａ，１００Ｂのハードウェア構成）
図２は、実施形態１に従う情報処理端末１００Ａおよび１００Ｂのハードウェア構成を説明するブロック図である。図２を参照して、情報処理端末１００Ａは、主な構成要素として、操作受付部１１０Ａ、生体センサー１２０Ａ、報知部１３０Ａ、記憶装置１４０Ａ、ＲＴＣ（Real Time Clock）部１５０Ａ、通信部１６０Ａ、および制御部１７０Ａを備える。

操作受付部１１０Ａは、情報処理端末１００Ａに対するユーザーの操作を受け付ける。たとえば、操作受付部１１０Ａは、マウス、キーボード、ハードウェアボタン、タッチパネル、その他の入力デバイスによって実現される。

生体センサー１２０Ａは、ユーザーの生体情報を取得する。一例として、生体センサー１２０Ａは、脈波を測定するものとする。なお、生体センサー１２０Ａが測定する生体情報は、脈波に限られず、他の局面において、心拍数、血圧、体温、副交感神経活動、交感神経活動、活動量（加速度）、心電、体動、経皮的動脈血酸素飽和度（ＳｐＯ２）、脈波伝播時間などを測定可能に構成されてもよい。好ましくは、生体センサー１２０Ａが測定する生体情報は、経時変化を伴う情報であることが好ましい。悪意の第三者にとって、生体情報の取得がより困難になるためである。

報知部１３０Ａは、ユーザーに情報を報知するための構成であって、一例として、ディスプレイによって実現される。なお、他の局面において、報知部１３０Ａは、振動子による振動、またはスピーカーによる音声などによって、ユーザーに情報を報知する構成であってもよい。

記憶装置１４０Ａは、情報処理端末１００Ａの設定、生体センサー１２０Ａの測定結果などを記憶する。ＲＴＣ部１５０Ａは、時刻を計測するための構成であって、情報処理端末１００Ａへの電源供給を停止されたとしても、内蔵するバッテリーによって時刻を刻み続ける。

通信部１６０Ａは、情報処理端末１００Ｂと無線通信を用いて通信可能に構成される。一例として、通信部１６０Ａは、ＮＦＣ（Near Field Communication）の規格に従い情報処理端末１００Ｂと通信する。なお、他の局面において、通信部１６０Ａは、赤外線方式、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格、ＷｉＦｉ（Wireless Fidelity）規格、および非接触ＩＣ（Integrated Circuit）カードのような電磁誘導を利用した方式などの無線通信方式に従い、通信を行ってもよい。好ましくは、通信部１６０Ａは、通信範囲が比較的小さい（たとえば、１メートル〜数センチ）近距離無線通信の規格に従い通信を行なうことが望ましい。これにより、悪意の第三者による成りすましを抑制することができる。

制御部１７０Ａは、情報処理端末１００Ａの全体動作を司る。制御部１７０Ａは、たとえば、少なくとも１つの集積回路によって構成される。集積回路は、たとえば、少なくとも１つのＣＰＵ（Central Processing Unit）、少なくとも１つのＡＳＩＣ（Application Specific Integrated Circuit）、少なくとも１つのＦＰＧＡ（Field Programmable Gate Array）、またはそれらの組み合わせなどによって構成される。

情報処理端末１００Ａおよび１００Ｂの基本構成は、同じであるため、情報処理端末１００Ｂの説明については繰り返さない。なお、他の局面において、情報処理端末１００Ｂは、情報処理端末１００Ａと異なる構成であっても良く、少なくとも生体センサー１２０Ｂおよび通信部１６０Ｂを有する構成であればよい。換言すれば、ある局面において、情報処理端末１００Ｂは、生体センサー１２０Ｂによってユーザーの生体情報（脈波）を測定し、当該測定結果を情報処理端末１００Ａに送信するためのセンサー端末として機能する。以下、図３および４を用いて、情報処理端末１００Ａが情報処理端末１００Ｂと機密情報を通信するための制御について説明する。

（ｂ２．機密情報を通信するための制御）
図３は、実施形態１に従う情報処理端末１００Ａおよび１００Ｂの具体的態様の一例を表す図である。図３に示されるように、情報処理端末１００Ａおよび１００Ｂは、ユーザーに装着可能に構成されるリストバンド型のウェアラブル端末である。なお、他の局面において、情報処理端末１００Ａおよび１００Ｂは、モバイルコンピュータ、タブレットコンピュータ、モバイル装置（例えば、スマートフォンやＰＤＡ）、デスクトップコンピュータ、または、適切な処理能力、通信能力およびメモリを有する任意のその他の装置であり得る。

図３において、操作受付部１１０Ａおよび１１０Ｂは、少なくとも１つのハードウェアボタンから構成される。生体センサー１２０Ａおよび１２０Ｂは、一例として、リストバンド型端末の内周面に配置される光反射型センサーによって脈波の測定を実現する。

図４は、実施形態１に従う情報処理端末１００Ａが１００Ｂに機密情報を送信するための制御について説明するシーケンス図である。図４において、ユーザーは、情報処理端末１００Ａの記憶装置１４０Ａに格納される機密情報を、情報処理端末１００Ｂに送信する。状況としては、たとえば、情報処理端末１００Ａを駆動する電池（図示しない）が残り僅かであって、他の情報処理端末１００Ｂを用いるにあたって、情報処理端末１００Ａの測定結果などを情報処理端末１００Ｂに引き継ぎたい場合が考えられる。他の状況として、情報処理端末１００Ｂが情報処理端末１００Ａの後継機種であって、情報処理端末１００Ａの測定結果などを移し替えたい場合などが考えられる。記憶装置１４０Ａに格納される情報の他の例として、パスワードデータ、社会保障・税番号（マイナンバー）、従業員番号、アクセス権限のあるサーバー情報といった情報などが挙げられる。

シーケンスｓｑ１０において、ユーザーは、情報処理端末１００Ａの操作受付部１１０Ａに対して、記憶装置１４０Ａに格納される情報を情報処理端末１００Ｂに送信するための予め規定された操作を入力する。

シーケンスｓｑ１２において、情報処理端末１００Ａは、ユーザーが指定した機密情報のセキュリティレベルが、予め定められたレベル以上であるか否かを判定する。この処理についての詳細は後述される。図４に示される例において、情報処理端末１００Ａは、ユーザーが指定した機密情報のセキュリティレベルが、予め定められたレベル以上であると判定する。

シーケンスｓｑ１４において、情報処理端末１００Ａは、情報処理端末１００Ｂに対してバイタルデータ認証要求通知を送信する。

シーケンスｓｑ１６において、情報処理端末１００Ｂは、バイタルデータ認証要求通知を受信した旨を知らせるＡＣＫ（ACKnowledgement）信号を情報処理端末１００Ａに返信する。

シーケンスｓｑ１８において、情報処理端末１００Ｂは、生体センサー１２０Ｂによる生体情報（脈波）を測定するための準備を開始する。

シーケンスｓｑ２０において、情報処理端末１００Ａは、情報処理端末１００ＢからのＡＣＫ信号の受信に応じて、同期信号を情報処理端末１００Ｂに送信する。同期信号は、生体センサー１２０Ａおよび１２０Ｂによる生体情報（脈波）の測定タイミングを同期させる。一例として、情報処理端末１００Ａは、ＲＴＣ部１５０Ａの時刻を参照して、測定開始時刻、および測定間隔、および測定回数を含む同期信号を生成する。なお、他の局面において、情報処理端末１００Ａは、ＲＴＣ部１５０ＡとＲＴＣ部１５０Ｂの現在時刻の同期を行なうために、同期信号の中に、ＲＴＣ部１５０Ａの現在時刻を含めて送信する構成であってもよい。同期信号に含まれる測定間隔、測定回数は、後述するテーブルＴａ１に規定されているものとする。

シーケンスｓｑ２２において、情報処理端末１００Ｂは、情報処理端末１００Ａから入力された同期信号に従い、ユーザーの脈波の測定を開始する。また、シーケンスｓｑ２４において、情報処理端末１００Ａも、情報処理端末１００Ｂに送信した同期信号に従い、ユーザーの脈波の測定を開始する。

シーケンスｓｑ２６において、情報処理端末１００Ａは、脈波の測定を終了する。シーケンスｓｑ２８において、情報処理端末１００Ａは、情報処理端末１００Ｂに対して、生体センサー１２０Ｂの測定結果の送信を要求する要求信号を送信する。シーケンスｓｑ３０において、情報処理端末１００Ａは、生体センサー１２０Ａの測定結果を記憶装置１４０Ａに格納（保存）する。

シーケンスｓｑ３２において、情報処理端末１００Ｂは、情報処理端末１００Ａからの要求信号の入力に応じて、生体センサー１２０Ｂの測定結果を情報処理端末１００Ａに送信する。

シーケンスｓｑ３４において、情報処理端末１００Ａは、生体センサー１２０Ｂの測定結果が、生体センサー１２０Ａの測定結果に対する予め定められた条件を満たすか否かを判定する。この判定方法についての詳細は、後述される。

シーケンスｓｑ３６において、情報処理端末１００Ａは、シーケンスｓｑ３４における予め定められた条件が満たされた旨の判定結果を情報処理端末１００Ｂに送信する。

シーケンスｓｑ３８において、情報処理端末１００Ｂは、判定結果を受信したことを知らせるＡＣＫ信号を情報処理端末１００Ａに返信するとともに、情報処理端末１００Ａからのデータ受信準備を開始する。

シーケンスｓｑ４０において、情報処理端末１００Ａは、情報処理端末１００ＢからのＡＣＫ信号の受信に応じて、記憶装置１４０Ａに格納される機密情報を通信部１６０Ａを介して情報処理端末１００Ｂに送信する。なお、他の局面において、情報処理端末１００Ａおよび１００Ｂは、通信部１６０Ａ，１６０Ｂとは別に、通信部１６０Ａ，１６０Ｂよりもビットレートの高い他の通信インターフェイスを有する構成であってもよい。当該構成において、情報処理端末１００Ａは、シーケンスｓｑ４０における機密情報の送信を当該他の通信インターフェイスを用いる構成であってもよい。他の通信インターフェイスの一例として、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格が挙げられる。当該構成によれば、情報処理端末１００Ａおよび１００Ｂは、相互に認証するまでは、成りすましを防ぐために、ＮＦＣ規格などの通信範囲が小さい通信方式に従い、認証した後は、よりビットレートの高い通信方式を用いることで効率的に情報の送受信を行なうことができる。

シーケンスｓｑ４２において、情報処理端末１００Ｂは、情報処理端末１００Ａから受信する機密情報を記憶装置１４０Ｂに保存する。シーケンスｓｑ４４において、情報処理端末１００Ｂは、情報処理端末１００Ａから受信した情報の少なくとも一部を確認データとして情報処理端末１００Ａに返信する。なお、他の局面において、情報処理端末１００Ｂは、情報処理端末１００Ａから受信した情報に関するＣＲＣ（Cyclic Redundancy Check）信号を情報処理端末１００Ａに返信する構成であってもよい。

シーケンスｓｑ４６において、情報処理端末１００Ａは、情報処理端末１００Ｂから返信された確認データと情報処理端末１００Ｂに送信した情報とが一致するか否かを検証（ベリファイ）する。シーケンスｓｑ４８において、情報処理端末１００Ａは、情報処理端末１００Ｂから返信された確認データが情報処理端末１００Ｂに送信した情報と一致すると検証した場合に、情報処理端末１００Ｂにバックアップが成功したことを知らせる成功通知を送信する。

シーケンスｓｑ５０において、情報処理端末１００Ａは、検証の成功に応じて、情報処理端末１００Ｂに送信した、記憶装置１４０Ａに格納される機密情報を消去（フォーマット）する。これにより、情報処理システム１は、ユーザーが使用しなくなる可能性がある情報処理端末１００Ａに格納される情報を消去することができ、セキュリティを担保することができる。

シーケンスｓｑ５２において、情報処理端末１００Ａは、記憶装置１４０Ａに格納される情報の消去を含む、一連のデータ移行処理が終了したことを、報知部１３０Ａに表示する。

なお、上記一連のシーケンスは、必ずしも図４に示される順に実行される必要はない。たとえば、シーケンスｓｑ１６とシーケンスｓｑ１８とは、処理の順番を入れ替えてもよい。また、他の局面において、情報処理端末１００Ａに格納される機密情報を情報処理端末１００Ｂにバックアップ（複製）したい場合も考えられる。かかる場合、情報処理端末１００Ａは、シーケンスｓｑ５０を省略するように構成されてもよい。次に、上記一連の認証処理における、情報処理端末１００Ａおよび１００Ｂのそれぞれの端末での処理について説明する。

（ｂ３．情報処理端末１００Ａにおける処理）
図５は、実施形態１に従う情報処理端末１００Ａにおける機密情報の通信制御について説明するフローチャートである。図５に示される処理は、制御部１７０Ａが記憶装置１４０Ａに格納される制御プログラムを実行することにより実現される。他の局面において、処理の一部または全部が、回路素子その他のハードウェアによって実行されてもよい。

ステップＳ１００において、制御部１７０Ａは、データ送信要求イベントが発生したか否かを判断する。より具体的には、制御部１７０Ａは、操作受付部１１０Ａに入力された内容に基づいて、上記の判断を行なう。

制御部１７０Ａは、ユーザーからのデータ送信要求イベントが発生したと判断した場合（ステップＳ１００においてＹＥＳ）、処理をステップＳ１０２に進める。そうでない場合（ステップＳ１００においてＮＯ）、制御部１７０Ａは、処理をステップＳ１００に戻し、データ送信要求イベントの発生を待機する。

ステップＳ１０２において、制御部１７０Ａは、データ送信要求イベントの対象データが生体情報（バイタルデータ）による比較判定が必要なデータ（以下、「高機密情報」とも称する）であるか否かを判断する。より具体的には、制御部１７０Ａは、対象データのセキュリティレベルに基づいて、上記の判断を行なう。

高機密情報は、外部に漏れることによる影響が甚大な情報であって、一例として、パスワードデータ、社会保障・税番号（マイナンバー）、従業員番号、アクセス権限のあるサーバー情報、生体情報（生体センサー１２０Ａの測定結果）などが挙げられる。

制御部１７０Ａは、対象データのセキュリティレベルの判断を、対象データが格納される記憶領域（特定のフォルダに保存されているか否か、など）、対象データに付加されたセキュリティ情報、などに基づいて行なう。ユーザーは、操作受付部１１０Ａを操作することによって、対象データを含む記憶装置１４０Ａに格納される機密情報のセキュリティレベルを設定することができる。制御部１７０Ａは、対象データのセキュリティレベルを判断した後、図６に示されるテーブルＴａ１を参照して、対象データが生体情報による比較判定が必要な高機密情報であるか否かの判断を行なう。

図６は、実施形態１に従う機密情報の通信に関する情報を格納するためのテーブルＴａ１について説明する図である。テーブルＴａ１は、機密情報の送信方法、機密情報の同時送信端末数、機密情報の送信対象である端末の識別情報、生体情報（バイタルデータ）の測定に関する設定情報、生体情報の比較判定方法に関する情報を含み、記憶装置１４０Ａに格納されているものとする。

機密情報の送信方法は、セキュリティレベルの別に設定されている。図６に示される例において、制御部１７０Ａは、セキュリティレベル「高」の機密情報については、生体情報による比較を行った上で送信し、セキュリティレベル「中」および「低」の機密情報については、生体情報による比較を行なわずに送信するように設定されている。以下、生体情報による比較判定が不必要な機密情報を「低機密情報」とも称する。

なお、他の局面において、図６に示される情報は、それぞれ独立したテーブルとして存在していてもよい。また、図６に示される例において、＜ ＞が設けられた値については、ユーザー／管理者が操作受付部１１０Ａを操作することによって変更可能に構成される。ある局面において、情報処理端末１００Ａは、機密情報の送信方法として、生体情報の比較による判定方法以外に、従来のＳＳＰ（Secure Simple Pairing）に従う判定方法を有しており、ユーザーによっていずれかの判定方法を選択可能に構成されてもよい。

また、他の局面において、制御部１７０Ａは、送信要求イベントの発生に応じて、対象データのセキュリティレベル、または生体情報による比較判定が必要か否か、を報知部１３０Ａを介してユーザーに問い合わせる構成であってもよい。当該構成において、ユーザーは、報知部１３０Ａに表示される問い合わせ内容に、操作受付部１１０Ａを介して応答する。

制御部１７０Ａは、対象データが高機密情報であると判断した場合（ステップＳ１０２においてＹＥＳ）、処理をステップＳ１０４に進める。そうでない場合（ステップＳ１０２においてＮＯ）、制御部１７０Ａは、生体情報の比較による判定を行なわずに、情報処理端末１００Ｂに対象データを送信する（ステップＳ１３０）。

ステップＳ１０４において、制御部１７０Ａは、情報処理端末１００Ｂに、バイタルデータ認証要求通知を送信する。このバイタルデータ認証要求通知は、実質的に、情報処理端末１００Ｂに対して生体センサー１２０Ｂによるユーザーの生体情報（脈波）の測定を要求する信号として機能する。

なお、他の局面において、制御部１７０Ａは、バイタルデータ認証要求通知に代えて、対象データのセキュリティレベルに関する情報を情報処理端末１００Ｂに送信する構成であってもよい。かかる場合、情報処理端末１００ＢもテーブルＴａ１のうち、少なくとも機密情報の送信方法に関する情報を有する。情報処理端末１００Ｂは、受信したセキュリティレベルに関する情報に基づいて、生体センサー１２０Ｂによる生体情報の測定を行なう必要があるか否かを判断し、必要があると判断した場合に測定準備を実行する。

ステップＳ１０６において、制御部１７０Ａは、情報処理端末１００ＢからのＡＣＫ信号の受信に応じて、テーブルＴａ１を参照して、同期信号を生成し、当該同期信号を情報処理端末１００Ｂに送信する。図６に示される例において、制御部１７０Ａは、測定開始時刻、および、測定を６秒間隔で計１０回行なう旨を含む同期信号を情報処理端末１００Ｂに送信する。

ステップＳ１０７において、制御部１７０Ａは、情報処理端末１００Ｂに送信した同期信号と同じ条件に従い、生体センサー１２０Ａによる生体情報（脈波）を測定する。

ステップＳ１０８において、制御部１７０Ａは、生体センサー１２０Ａによる生体情報の測定を終了したか否かを判断する。図６に示される例において、制御部１７０Ａは、生体センサー１２０Ａによって、合計１０点の測定結果を取得した時点で、生体情報の測定を終了したと判断する。

制御部１７０Ａは、生体センサー１２０Ａによる生体情報の測定を終了したと判断した場合（ステップＳ１０８においてＹＥＳ）、処理をステップＳ１１０に進める。そうでない場合（ステップＳ１０８においてＮＯ）、制御部１７０Ａは、処理をステップＳ１０７に戻す。

ステップＳ１１０において、制御部１７０Ａは、生体センサー１２０Ｂの測定結果を要求する要求信号を情報処理端末１００Ｂに送信する。その後、情報処理端末１００Ａは、情報処理端末１００Ｂから送信された生体センサー１２０Ｂの測定結果を受信する。

ステップＳ１１２において、制御部１７０Ａは、情報処理端末１００Ｂから生体センサー１２０Ｂの測定結果の受信が完了したか否かを判断する。制御部１７０Ａは、当該受信が完了したと判断した場合（ステップＳ１１２においてＹＥＳ）、処理をステップＳ１１４に進める。そうでない場合（ステップＳ１１２においてＮＯ）、制御部１７０Ａは、生体センサー１２０Ｂの測定結果の受信が完了するまで待機する。

なお、他の局面において、制御部１７０Ａは、生体センサー１２０Ｂの測定結果を要求する要求信号を送信してから所定時間経過しても、情報処理端末１００Ｂから当該測定結果を受信できない場合、再度、上記要求する旨の信号を送信する構成、または報知部１３０Ａにエラーを通知する構成であってもよい。

ステップＳ１１４において、制御部１７０Ａは、情報処理端末１００Ｂから受信した生体センサー１２０Ｂの測定結果が、生体センサー１２０Ａの測定結果に対する予め定められた条件を満たすか否かの判定を行なう。より具体的には、制御部１７０Ａは、図６に示されるテーブルＴａ１に示される判定基準に従って、生体センサー１２０Ａおよび１２０Ｂの対応する測定結果が、それぞれ一致するか否かを判定する。

図７は、実施形態１に従う生体センサー１２０Ａおよび１２０Ｂの測定結果の比較について説明する図である。上記の例において、生体センサー１２０Ａおよび１２０Ｂは、ユーザーの脈波を測定する。なお、図７の例において、生体センサー１２０Ａおよび１２０Ｂの出力は、入射光に対する反射光の割合を示す電圧である。

生体センサー１２０Ａおよび１２０Ｂは、同期信号に従い時刻Ｔ０から脈波の測定を開始し、６秒経過するごとに、時刻Ｔ１，Ｔ２，Ｔ３・・・Ｔ９の合計１０点で脈波を測定する。

制御部１７０Ａは、図６に示される判定例において、生体センサー１２０Ａの各測定結果と、対応する生体センサー１２０Ｂの各測定結果とを比較する。制御部１７０Ａは、生体センサー１２０Ａの測定値と、対応する生体センサー１２０Ｂの測定値との差分が５％以内の場合、これらの測定結果が一致と判断する。たとえば、時刻Ｔ１における、生体センサー１２０Ａの測定値と１２０Ｂの測定値との差分が、生体センサー１２０Ａの測定値の３％であった場合、制御部１７０Ａは、時刻Ｔ１において対応する測定結果が一致すると判定する。

図５を再び参照して、ステップＳ１１６において、制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致しているか否かを判定する。図６に示される例において、生体センサー１２０Ａおよび１２０Ｂの対応する測定結果１０個のうち、一致する測定結果が７個以上ある場合に、制御部１７０Ａは、生体センサー１２０Ｂの測定結果が、生体センサー１２０Ａの測定結果に対する予め定められた条件を満たす、すなわち、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致する、と判定する。

制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致すると判定した場合（ステップＳ１１６においてＹＥＳ）、処理をステップＳ１１８に進める。そうでない場合（ステップＳ１１６においてＮＯ）、制御部１７０Ａは、処理をステップＳ１２０に進める。

ステップＳ１１８において、制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致したことを示すバイタルデータ一致通知を情報処理端末１００Ｂに送信する。その後、ステップＳ１３０において、制御部１７０Ａは、機密情報を情報処理端末１００Ｂに送信する。

ステップＳ１２０において、制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であるか否かを判定する。図６に示される例において、制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの対応する測定結果１０個のうち、一致する測定結果が３個未満の場合に、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であると判定する。

制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致である判定した場合（ステップＳ１２０においてＹＥＳ）、処理をステップＳ１２２に進める。そうでない場合（ステップＳ１２０においてＮＯ）、制御部１７０Ａは、処理をステップＳ１２４に進める。

ステップＳ１２２において、制御部１７０Ａは、報知部１３０Ａに、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であることを示すエラーを通知する。

ステップＳ１２４において、生体情報を再測定するための処理を実行する。ステップＳ１２６において、制御部１７０Ａは、情報処理端末１００Ｂに対して生体センサー１２０Ｂによるユーザーの生体情報の測定を要求する信号を送信する。すなわち、図６に示される例において、制御部１７０Ａは、生体センサー１２０Ａおよび１２０Ｂの対応する測定結果１０個のうち、一致する測定結果が３個以上７個未満である場合に、生体情報を新たに測定するとともに、当該新たな生体情報についての一致／不一致判定を再度実行する。

なお、上記の例において、制御部１７０Ａは、ステップＳ１２０からステップＳ１２４に進めるように処理を実行するが、これに限られない。他の局面において、制御部１７０Ａは、図６に示されるように、生体情報を再度測定する回数の上限を設けてもよい。この場合、制御部１７０Ａは、ステップＳ１２０からステップＳ１２４に移る前に、再測定の回数をカウントするとともに、当該カウント数が所定回数（図６の例によれば、３回）を超えると判断したときに、ステップＳ１２２の処理を実行する構成であってもよい。

また、他の局面において、制御部１７０Ａは、測定結果の一致／不一致を判定するにあって、上記のように所定期間における生体センサー１２０Ａおよび１２０Ｂの測定結果が一致する割合が所定値以上であるか否かを判定する構成ではなく、他の構成を用いてもよい。他の構成は、たとえば、生体センサー１２０Ａおよび１２０Ｂの測定結果における、振幅、周期、変曲点のタイミングなどから算出される類似度が、所定値以上であるかを判定する構成であってよい。

また、上記の例において、機密情報を送信する情報処理端末１００Ａにおいて、生体情報の一致／不一致を判定する構成であったが、これに限られない。他の局面において、機密情報を受信する情報処理端末１００Ｂにおいて、生体情報の一致／不一致の判定を行い、判定結果を情報処理端末１００Ａに送信する構成であってもよい。当該構成において、情報処理端末１００Ａは、生体情報が一致した旨の判定結果の受信を受けて、情報処理端末１００Ｂに機密情報を送信する構成であってもよい。

次に、生体センサー１２０Ａおよび１２０Ｂの測定結果の一致／不一致を判定するためのデータ補正について説明する。

生体センサー１２０Ａおよび１２０Ｂの測定結果は、センサーとユーザーとの密着度合などによってバラつきが生じ得る。そのため、ある局面において、制御部１７０Ａは、測定結果が一致しない場合に（ステップＳ１１６においてＮＯ）、生体センサー１２０Ａの測定結果の平均値（以下、「第１の平均値」とも称する。）と、生体センサー１２０Ｂの測定結果の平均値（以下、「第２の平均値」とも称する。）とを比較して、一致／不一致を判定する。

たとえば、測定結果の一致／不一致の判定が２回目である場合、制御部１７０Ａは、対応する１回目および２回目の生体センサー１２０Ａの測定結果の平均値と、対応する１回目および２回目の生体センサー１２０Ｂの測定結果の平均値とが一致するか否かを判定する。当該判定基準は、１回目と同様である。

上記によれば、制御部１７０Ａは、何らかの要因で測定結果にバラつきが生じる場合であっても、再測定の回数を重ねるごとに、バラつきを抑えた平均値どうしで一致／不一致を判定することができる。

他の局面において、制御部１７０Ａは、測定結果が一致しない場合に（ステップＳ１１６においてＮＯ）、第１の平均値と第２の平均値との差分に基づくオフセット補正を行なう構成であってもよい。たとえば、測定結果の一致／不一致の判定が３回目である場合、制御部１７０Ａは、１〜３回目の測定結果に基づいて第１の平均値と第２の平均値を算出するとともに、第２の平均値から第１の平均値を差し引いた差分値を計算する。次に、制御部１７０Ａは、３回目の生体センサー１２０Ａの測定結果に、当該差分値を加える補正を行なう。制御部１７０Ａは、当該補正後の生体センサー１２０Ａの測定結果と、３回目の生体センサー１２０Ｂの測定結果とを比較し、一致／不一致の判定を行なう。

上記によれば、制御部１７０Ａは、製造誤差、センサーとユーザーとの密着度合などに起因する測定誤差を抑制して、生体センサー１２０Ａおよび１２０Ｂの測定結果の一致／不一致を判定することができる。

ところで、生体情報は、測定部位によって、測定結果が異なることがある。たとえば、血圧は、測定部位が心臓より低い位置の場合、本来の値よりも高く測定される。したがって、さらに他の局面において、制御部１７０Ａは、測定結果が不一致である場合に（ステップＳ１２０においてＹＥＳ）、情報処理端末１００Ａおよび１００Ｂの装着位置を入れ替える指示を報知部１３０Ａに表示する構成であってもよい。当該構成においても、制御部１７０Ａは、測定結果の一致／不一致を再度判定するにあたって、測定位置を入れ替える前の測定結果と、入れ替えた後の測定結果の平均値を用いる。換言すれば、制御部１７０Ａは、情報処理端末１００Ａおよび１００Ｂの装着位置を入れ替える指示を報知部１３０Ａに表示する前後における測定結果の平均値を用いて、上記判定を行なう。

上記によれば、制御部１７０Ａは、測定部位による影響を抑えた測定結果の平均値に基づいて、一致／不一致を判定することができる。

（ｂ４．制御部１７０Ａの機能構成）
図８は、上記一連の機密情報の通信処理を実行するための制御部１７０Ａの機能構成を説明する機能ブロック図である。図８を参照して、制御部１７０Ａは、機密情報の通信処理に関する主な機能構成として、入力受付部２１０、セキュリティレベル判定部２１１、要求部２１２、同期信号生成部２１４、測定実行部２１６、生体情報受付部２２０、カウント部２２２、平均算出部２２４、判定部２２６、通知部２３０、データ送信部２４０、確認部２４２、および消去部２４４とを有する。

入力受付部２１０は、操作受付部１１０Ａを介してユーザーからデータ送信要求を受け付ける。入力受付部２１０は、データ送信要求イベントが発生したことを知らせる旨の信号をセキュリティレベル判定部２１１に送信する。

セキュリティレベル判定部２１１は、記憶装置１４０Ａにアクセスして対象データのセキュリティレベルを判定する。次に、セキュリティレベル判定部２１１は、判定したセキュリティレベルが生体情報の比較判定の対象であるか否かを、テーブルＴａ１を参照して検証する。

セキュリティレベル判定部２１１は、対象データが低機密情報であると判断した場合は、データ送信部２４０にその旨を知らせる信号を送信する。データ送信部２４０は、セキュリティレベル判定部２１１からの当該信号の受信に応じて、記憶装置１４０Ａにアクセスして、対象データを情報処理端末１００Ｂに送信する。

セキュリティレベル判定部２１１は、対象データが高機密情報であると判断した場合は、要求部２１２および同期信号生成部２１４にその旨を知らせる信号を送信する。

同期信号生成部２１４は、ＲＴＣ部１５０Ａが計時する時刻、および、テーブルＴａ１に格納される、測定回数と測定間隔とに基づいて同期信号を生成し、要求部２１２および測定実行部２１６に出力する。

要求部２１２は、同期信号生成部２１４から入力された同期信号３１２、および同期信号３１２に応じたタイミングでの生体センサー１２０Ｂの測定結果を要求する要求信号３１４を、適切なタイミングで情報処理端末１００Ｂに送信する。

測定実行部２１６は、同期信号生成部２１４から入力された同期信号３１２に基づいて、生体センサー１２０Ａによる生体情報を測定する。

生体情報受付部２２０は、生体センサー１２０Ａの測定結果（以下、「第１の測定結果」とも称する。）および、生体センサー１２０Ｂの測定結果（以下、「第２の測定結果」とも称する。）の入力を受け付け、これらの情報を平均算出部２２４に出力する。生体情報受付部２２０は、一連のデータ送信処理において、第１の測定結果または第２の測定結果の入力を受け付ける度に、カウント部２２２に信号を送信する。

カウント部２２２は、一連のデータ送信処理において、生体情報受付部２２０から信号の入力を受ける度に、カウントアップ回路に記憶される値をカウントアップする。

平均算出部２２４は、第１の測定結果の平均値である第１の平均値と、第２の測定結果の平均値である第２の平均値とを算出する。より具体的には、平均算出部２２４は、カウント部２２２を参照して、一連のデータ送信処理において、各生体センサーが何回生体情報の測定を行ったのかを認識する。また、平均算出部２２４は、一連のデータ送信処理における、第１および第２の測定結果の各々の累積値を、上記回数で除することで、第１および第２の平均値をそれぞれ算出する。平均算出部２２４は、算出した第１および第２の平均値を、判定部２２６に出力する。

判定部２２６は、記憶装置１４０Ａを参照して、テーブルＴａ１に格納される判定基準に基づいて、第１の平均値と第２の平均値とが一致しているか否かを判定する。判定部２２６は、第１の平均値と第２の平均値とが一致していると判定した場合、その旨をカウント部２２２、通知部２３０およびデータ送信部２４０に出力する。カウント部２２２は、判定部２２６からの入力に応じて、カウントアップ回路に記憶される値を初期化する。

データ送信部２４０は、判定部２２６からの入力に応じて、記憶装置１４０Ａに格納される機密情報３４０を、情報処理端末１００Ｂに送信する。確認部２４２は、情報処理端末１００Ｂから確認データ３４２を入力される。確認部２４２は、当該確認データ３４２と、情報処理端末１００Ｂに送信した機密情報３４０とに基づいて、情報処理端末１００Ｂへの機密情報３４０の送信が成功したかを検証する。確認部２４２は、情報処理端末１００Ｂへの機密情報３４０の送信が成功した旨を知らせる信号を消去部２４４に出力する。消去部２４４は、確認部２４２からの入力に応じて、記憶装置１４０Ａに格納される機密情報３４０を消去する。

判定部２２６は、第１の平均値と第２の平均値とが不一致であると判定した場合、通知部２３０にその旨を出力する。通知部２３０は、判定部２２６から、第１の平均値と第２の平均値とが不一致であるとする信号の入力を受け、記憶装置１４０Ａに格納されるエラー画像を読み出して、報知部１３０Ａに表示する。これにより、ユーザーは、情報処理端末１００Ａが、機密情報の送信先の端末との認証に失敗したことを認識できる。

判定部２２６は、第１の平均値と第２の平均値とが一致も不一致もしていないと判定した場合、カウント部２２２を参照し、一連の認証処理において、生体センサーによる生体情報の測定が予め定められた回数（たとえば、３回）以下であるか否かを判定する。

判定部２２６は、生体センサーによる生体情報の測定が予め定められた回数以下であると判定すると、要求部２１２にその旨を出力する。要求部２１２は、判定部２２６からの入力に応じて、同期信号生成部２１４に同期信号の生成を要求する。要求部２１２は、同期信号生成部２１４から入力される同期信号３１２、および要求信号３１４を適切なタイミングで情報処理端末１００Ｂに送信する。

判定部２２６は、生体センサーによる生体情報の測定が予め定められた回数を超えると判定すると、通知部２３０にその旨を出力する。通知部２３０は、判定部２２６からの入力に応じて、記憶装置１４０Ａに格納されるエラー画像を読み出して、報知部１３０Ａに表示する。次に、一連の認証処理における、情報処理端末１００Ｂの処理について説明する。

（ｂ５．情報処理端末１００Ｂにおける処理）
図９は、実施形態１に従う情報処理端末１００Ｂにおける機密情報の通信制御について説明するフローチャートである。図９に示される処理は、制御部１７０Ｂが記憶装置１４０Ｂに格納される制御プログラムを実行することにより実現される。他の局面において、処理の一部または全部が、回路素子その他のハードウェアによって実行されてもよい。

ステップＳ２００において、制御部１７０Ｂは、情報処理端末１００Ａからバイタルデータ認証要求通知を受信したか否か判断する。制御部１７０Ｂは、情報処理端末１００Ａからバイタルデータ認証要求通知を受信したと判断した場合（ステップＳ２００においてＹＥＳ）、処理をステップＳ２０２に進める。そうでない場合（ステップＳ２００においてＮＯ）、制御部１７０Ｂは、バイタルデータ認証要求通知の受信を待機する。

ステップＳ２０２において、制御部１７０Ｂは、生体センサー１２０Ｂによる生体情報（バイタルデータ）を測定するための準備を開始する。

ステップＳ２０４において、制御部１７０Ｂは、情報処理端末１００Ａから同期信号を受信したか否かを判断する。制御部１７０Ｂは、情報処理端末１００Ａから同期信号を受信したと判断した場合（ステップＳ２０４においてＹＥＳ）、処理をステップＳ２０６に進める。そうでない場合（ステップＳ２０４においてＮＯ）、制御部１７０Ｂは、同期信号の受信を待機する。

ステップＳ２０６において、制御部１７０Ｂは、入力された同期信号に従い、生体センサー１２０Ｂによる生体情報（脈波）の測定を実行する。ステップＳ２０８において、制御部１７０Ｂは、生体センサー１２０Ｂによる測定を、同期信号に規定される所定回数実行したか否かを判断する。制御部１７０Ｂは、所定回数の測定を完了したと判断した場合（ステップＳ２０８においてＹＥＳ）、処理をステップＳ２１０に進める。そうでない場合（ステップＳ２０８においてＮＯ）、制御部１７０Ｂは、所定回数の測定を完了するまで待機する。

ステップＳ２１０において、制御部１７０Ｂは、情報処理端末１００Ａから要求信号を受信したか否かを判断する。制御部１７０Ｂは、情報処理端末１００Ａから要求信号を受信したと判断した場合（ステップＳ２１０においてＹＥＳ）、処理をステップＳ２１２に進める。そうでない場合（ステップＳ２１０においてＮＯ）、制御部１７０Ｂは、要求信号の受信を待機する。

ステップＳ２１２において、制御部１７０Ｂは、生体センサー１２０Ｂの測定結果を情報処理端末１００Ａに送信する。ステップＳ２１４において、制御部１７０Ｂは、情報処理端末１００Ａへの測定結果の送信が完了したか否かを判断する。制御部１７０Ｂは、測定結果の送信が完了したと判断した場合（ステップＳ２１４においてＹＥＳ）、処理をステップＳ２１６に進める。そうでない場合（ステップＳ２１４においてＮＯ）、制御部１７０Ｂは、測定結果の送信が完了するまで待機する。

ステップＳ２１６において、制御部１７０Ｂは、情報処理端末１００Ａから生体センサー１２０Ａおよび１２０Ｂの測定結果が一致したことを示すバイタルデータ一致通知を受信したか否かを判断する。制御部１７０Ｂは、情報処理端末１００Ａからバイタルデータ一致通知を受信したと判断した場合（ステップＳ２１６においてＹＥＳ）、情報処理端末１００Ａからの機密情報の受信する受信処理を実行する（ステップＳ２１８）。そうでない場合（ステップＳ２１６においてＮＯ）、制御部１７０Ｂは、処理をステップＳ２２０に進める。

ステップＳ２２０において、制御部１７０Ｂは、情報処理端末１００Ａから、生体センサー１２０Ｂによる再度の測定を要求される要求信号（バイタルデータ再測定通知）を受信したか否かを判断する。制御部１７０Ｂは、バイタルデータ再測定通知を受信したと判断した場合（ステップＳ２２０においてＹＥＳ）、処理をステップＳ２２２に進める。そうでない場合（ステップＳ２２０においてＮＯ）、制御部１７０Ｂは、処理をステップＳ２２４に進める。

ステップＳ２２２において、制御部１７０Ｂは、生体センサー１２０Ｂによる再度の生体情報を測定するための準備を実行し、測定タイミングを知らせる同期信号の受信を待機する。

ステップＳ２２４において、制御部１７０Ｂは、情報処理端末１００Ａから生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であることを知らせるエラー通知を受信したか否かを判断する。制御部１７０Ｂは、情報処理端末１００Ａからエラー通知を受信したと判断した場合（ステップＳ２２４においてＹＥＳ）、処理をステップＳ２２６に進める。そうでない場合（ステップＳ２２４においてＮＯ）、処理をステップＳ２１６に戻す。

ステップＳ２２６において、制御部１７０Ｂは、情報処理端末１００Ａとの認証に失敗した旨を知らせる画像を、報知部１３０Ｂに表示する。

（ｂ６．まとめ）
上記によれば、ユーザーは、機密情報の通信を行なうにあたって、通信を行なう各々の情報処理端末に搭載された生体センサーを用いて自身の生体情報を測定するだけでよい。したがって、ユーザーは、複雑な認証情報（パスワード）を記憶する必要がなく、メモ等に当該認証情報を残す必要もない。その結果、実施形態に従う情報処理システム１は、従来のシステムに比して高いセキュリティを有する。

また、実施形態に従う情報処理システムは、機密情報の通信を行なうにあたって、悪意の第三者にとって複製、取得が非常に困難な生体情報を用いる。その結果、実施形態に従う情報処理システムは、従来のシステムに比して、成りすましをより抑制することができる。

［Ｃ．実施形態２］
（ｃ１．システム構成）
図１０は、実施形態２に従う情報処理システム２の構成例について説明する図である。実施形態１に従う情報処理端末１００Ａおよび１００Ｂは、ともにウェアラブル端末であった。一方、図１０に示される例において、実施形態２に従う情報処理システム２を構成する情報処理端末１００Ｂ２は、据え置き型の情報処理端末である。

図１０を参照して、情報処理システム２は、情報処理端末１００Ａと、情報処理端末１００Ｂ２と、外部装置としてのサーバー３００とを有する。情報処理端末１００Ｂ２と、サーバー３００とは、通信可能に構成される。

（ｃ２．情報処理端末１００Ｂ２の構成）
図１１は、実施形態２に従う情報処理端末１００Ｂ２のハードウェア構成例を説明するブロック図である。図１１を参照して、情報処理端末１００Ｂ２は、サーバー３００と通信を行なうための通信インターフェイス（Ｉ／Ｆ）１８０Ｂを有する点において、図２で説明した情報処理端末１００Ｂと異なる。一例として、通信インターフェイス１８０Ｂは、無線ＬＡＮ（Local Area Network）インターフェイスであるとする。情報処理端末１００Ｂ２は、通信インターフェイス１８０Ｂを介して、ＬＡＮまたはＷＡＮに接続されたサーバー３００と通信する。

実施形態２において、一例として、通信部１６０Ａおよび１６０ＢにはＮＦＣの規格に従うインターフェイスが搭載されているものとする。情報処理端末１００Ｂ２およびサーバー３００間の通信速度は、情報処理端末１００Ａおよび１００Ｂ２間の通信速度よりも速いものとする。

（ｃ３．生体情報の比較を伴う場合）
図１２は、実施形態２に従う情報処理端末１００Ａが１００Ｂ２に機密情報を送信するための制御（その１）について説明するシーケンス図である。図１２に示される例において、ユーザーは、セキュリティレベルが「高」であるデータ、すなわち、高機密情報を情報処理端末１００Ａから情報処理端末１００Ｂ２に転送する。なお、図４と同一符号を付している部分については同じであるため、その部分についての説明は繰り返さない。

シーケンスｓｑ１０２において、図１０に示されるように、情報処理端末１００Ａを装着したユーザーは、情報処理端末１００Ａの通信部１６０Ａを情報処理端末１００Ｂ２の通信部１６０Ｂにかざす。より具体的には、ユーザーは、ＮＦＣインターフェイスを搭載する通信部１６０Ａおよび１６０Ｂの距離を所定距離（たとえば、１０ｃｍ）以下に近づける。これにより、通信部１６０Ａおよび１６０Ｂは互いに通信を行なうことができる状態となる。

シーケンスｓｑ１０４において、情報処理端末１００Ｂ２は、通信部１６０Ｂを介して、情報処理端末１００Ａの記憶装置１４０Ａに格納される第１ログインデータを受信する。第１ログインデータは、たとえば、アカウント名と、パスワードとを含む。

シーケンスｓｑ１０６において、受信した第１ログインデータと、記憶装置１４０Ｂに格納されるログインデータとが一致するか否かを判定する。

シーケンスｓｑ１０８において、情報処理端末１００Ｂ２は、認証結果を情報処理端末１００Ａに返信する。図１２に示される例において、情報処理端末１００Ｂ２は、第１ログインデータに基づく認証が成功した旨の通知を情報処理端末１００Ａに行なうものとする。

シーケンスｓｑ１１０において、情報処理端末１００Ａは、認証成功通知の受信に応じて、情報処理端末１００Ｂ２に、送信データの候補を送信する。

シーケンスｓｑ１１２において、情報処理端末１００Ｂ２は、情報処理端末１００Ａから受信した送信データの候補を報知部１３０Ｂに表示し、ユーザーからの選択を受け付ける。ユーザーは、報知部１３０Ｂに表示された内容に基づいて、情報処理端末１００Ａから情報処理端末１００Ｂ２に転送するデータを選択する。図１２に示される例において、ユーザーは、高機密情報を選択する。

シーケンスｓｑ１１４において、情報処理端末１００Ｂ２は、ユーザーによる選択結果を情報処理端末１００Ａに送信する。シーケンスｓｑ１２において、情報処理端末１００Ａは、ユーザーにより選択されたデータのセキュリティレベルを判定するとともに、当該データが高機密情報であると判断する。

上記によれば、ウェアラブル端末と据え置き型の情報処理端末（たとえば、パソコン）との間でも、第三者の成りすましを抑制しつつ、機密情報の通信を行なうことができる。

なお、他の局面において、シーケンスｓｑ１１０〜１１４は省略されてもよい。すなわち、情報処理端末１００Ａは、情報処理端末１００Ｂ２からの認証成功通知の受信に応じて、一連の生体情報による比較判定の後、記憶装置１４０Ａに格納される予め定められた情報を、情報処理端末１００Ｂ２に送信する構成であってもよい。

（ｃ４．生体情報の比較を伴わない場合（その１））
図１２に示される例において、ユーザーが高機密情報を選択した場合について説明した。以下では、ユーザーが低機密情報を選択した場合についての制御について説明する。

情報処理端末１００Ａは、シーケンスｓｑ１２において、ユーザーが選択したデータが低機密情報であると判断する。これにより、情報処理端末１００Ａは、一連の生体情報による比較判定（シーケンスｓｑ１４〜シーケンスｓｑ３６）を実行する代わりに、情報処理端末１００Ｂ２に対して、ユーザーに選択された低機密情報を送信する旨の通知を送信する。

上記によれば、情報処理システム２は、低機密情報（外部に漏れても被害が大きくない機密情報）について、生体情報による比較判定を行なうことなく、迅速に通信することができる。また、ユーザーの負荷も低減することができる。

なお、上記の例において、情報処理端末１００Ｂ２は、情報処理端末１００Ａから受信した低機密情報を記憶装置１４０Ｂに格納する構成であるが、これに限られない。他の局面において、情報処理端末１００Ｂ２は、情報処理端末１００Ａから受信した低機密情報を、通信インターフェイス１８０Ｂを介してサーバー３００に転送する構成であってもよい。このとき、情報処理端末１００Ｂ２は、サーバー３００における低機密情報の記憶領域情報、サーバー３００への接続情報、サーバー３００へのログインに使用した認証情報（第２ログインデータ）などを、送信した低機密情報のメタデータ（たとえば、ファイル名）と関連付けて記憶装置１４０Ｂに保存する。当該構成によれば、情報処理端末１００Ｂ２は、外部に漏れても影響が大きくない低機密情報の管理を、情報処理端末１００Ｂ２に比して記憶容量の大きいサーバー３００で行なうことができる。

また、上記の例において、情報処理端末１００Ａは、情報処理端末１００Ｂ２に対して低機密情報をそのまま送信する構成であるが、これに限られない。情報処理端末１００Ａは、低機密情報を暗号化して情報処理端末１００Ｂ２に送信する構成であってもよい。一例として、情報処理端末１００Ａは、生体センサー１２０Ａの所定の測定結果を用いて、低機密情報を暗号化する。当該所定の測定結果の一例として、低機密情報の送信イベントが発生する度に新たに測定される生体センサー１２０Ａの測定結果が挙げられる。所定の測定結果の他の例として、記憶装置１４０Ａに格納される生体センサー１２０Ａの測定結果のうち最新の測定結果が挙げあれる。いずれの場合であっても、当該所定の測定結果は、情報処理端末１００Ａから情報処理端末１００Ｂ２に送信される。当該所定の測定結果の通信は、通信部１６０Ａおよび１６０Ｂ間での近距離無線通信によって実行される。これにより、第三者による成りすまし、および傍受を抑制することができる。

（ｃ５．生体情報の比較を伴わない場合（その２））
上記（生体情報の比較を伴わない場合（その１））において、情報処理端末１００Ａおよび情報処理端末１００Ｂ２は、ＮＦＣ規格に従う通信方法によって、データの通信を行なう。しかしながら、ＮＦＣによるデータ転送速度は１００ｋ〜４００ｋｂｉｔ／ｓ程度であって、対象となるデータのサイズが大きいと、データの転送に多くの時間を要する。また、データの転送を行っている間、情報処理端末１００Ａおよび情報処理端末１００Ｂ２を所定距離以下に保つ必要があるため、ユーザーは情報処理端末１００Ａを持って情報処理端末１００Ｂ２から離れることができない。

これらの問題を解決するために、他の局面において、情報処理端末１００Ａから情報処理端末１００Ｂ２に低機密情報を送信するのではなく、サーバー３００から情報処理端末１００Ｂ２に低機密情報を送信することが考えられる。以下、この通信制御について説明を行なう。

図１３は、実施形態２に従う情報処理端末１００Ａが１００Ｂ２に低機密情報を送信するための制御について説明するシーケンス図である。なお、図１２と同一符号を付している部分については同じであるため、その部分についての説明は繰り返さない。

シーケンスｓｑ１１２Ａにおいて、ユーザーは、低機密情報を選択する。これを受け、シーケンスｓｑ１２において、情報処理端末１００Ａは、情報処理端末１００Ｂ２に送信するデータが、低機密情報であると判断する。

シーケンスｓｑ１２０において、情報処理端末１００Ａは、ユーザーに選択されたデータが、情報処理端末１００Ｂ２と通信可能に構成されるサーバー３００に格納されているか否かを確認する。一例として、情報処理端末１００Ａは、ユーザーに選択されたデータに付加されたタグ／フラグ情報（メタデータ）に基づいて、当該データをサーバー３００に送信したか否かを判断する。情報処理端末１００Ａは、当該データを過去にサーバー３００に送信したと判断した場合、当該データがサーバー３００に格納されていると判断する。図１３に示される例において、情報処理端末１００Ａは、ユーザーに選択されたデータが、サーバー３００に格納されていると判断するものとする。

シーケンスｓｑ１２２において、情報処理端末１００Ａは、サーバー３００にアクセスするための第２ログインデータを暗号化する。第２ログインデータは、たとえば、アカウント名と、パスワードとを含む。一例として、情報処理端末１００Ａは、記憶装置１４０Ａに格納される所定の生体センサー１２０Ａの測定結果を用いて、第２ログインデータを暗号化する。具体例として、当該所定の測定結果は、記憶装置１４０Ａに格納される生体センサー１２０Ａの測定結果のうち、最新（測定日時が最も新しい）測定結果とする。さらに具体的には、情報処理端末１００Ａは、所定の測定結果（たとえば、図７に示される測定結果）からピークを算出するとともに、当該ピークのうち値が高い３点の値を用いて第２ログインデータを暗号化する。なお、サーバー３００にも、同じ暗号化条件が予め格納されているものとする。

シーケンスｓｑ１２４において、情報処理端末１００Ａは、ユーザーから選択されたデータを情報処理端末１００Ｂ２に転送する旨の転送指示、および暗号化した第２ログインデータを情報処理端末１００Ｂ２に送信する。シーケンスｓｑ１２６において、情報処理端末１００Ｂ２は、情報処理端末１００Ａから受信したこれらの情報を、通信インターフェイス１８０Ｂを介してサーバー３００に転送する。

シーケンスｓｑ１２８において、サーバー３００は、暗号化された第２ログインデータを復号化するための復号鍵を特定する。一例として、ユーザーは、生体センサー１２０Ａの測定結果を含む情報を、情報処理端末１００Ａから情報処理端末１００Ｂ２を経由してサーバー３００に定期的に送信するものとする。当該条件において、サーバー３００は、自身に格納される生体センサー１２０Ａの測定結果のうち、最新の測定結果からピークを算出するとともに、当該ピークのうち値が高い３点の値を、復号鍵として特定する。

他の局面において、情報処理端末１００Ａおよびサーバー３００は、生体センサー１２０Ａの測定結果のうち、予め定められた測定結果を暗号鍵／復号鍵として用いる構成であってもよい。

さらに他の局面において、情報処理端末１００Ａは、暗号化に用いた生体センサー１２０Ａの測定結果のメタデータ（たとえば、測定日時）を暗号化された第２ログインデータとともに送信する構成であってもよい。かかる場合、サーバー３００は、当該メタデータを用いて、第２ログインデータの復号化に用いる測定結果を特定する。

情報処理端末１００Ａは、これら暗号化／復号化に用いる生体センサー１２０Ａの測定結果を情報処理端末１００Ｂ２に送信するにあたって、通信範囲が比較的小さい（たとえば、１メートル〜数センチ）近距離無線通信の規格に従い送信することが望ましい。悪意の第三者に暗号鍵／復号鍵を傍受される可能性を抑制するためである。

シーケンスｓｑ１３０において、サーバー３００は、特定した復号鍵に基づいて、暗号化された第２ログインデータを復号する。

シーケンスｓｑ１３２において、サーバー３００は、復号した第２ログインデータと、自身に格納されるログインデータとが一致するか否かを判定する。図１３に示される例において、サーバー３００は、復号化した第２ログインデータと、自身に格納されるログインデータとが一致したと判定して、情報処理端末１００Ｂ２を認証する。

シーケンスｓｑ１３４において、サーバー３００は、認証した情報処理端末１００Ｂ２に対して、ユーザーから選択されたデータ（低機密情報）を送信する。

シーケンスｓｑ１３６において、情報処理端末１００Ｂ２は、サーバー３００から受信したデータを記憶装置１４０Ｂに保存する。

当該構成に従う情報処理システム２は、低機密情報の通信を行なうにあたって、サーバー３００から対象となる情報処理端末に低機密情報を転送することができる。その結果、情報処理システム２は、情報処理端末１００Ａおよび１００Ｂ間の通信速度よりも速い通信速度で、サーバー３００から対象となる情報処理端末に低機密情報を転送することができる。

また、情報処理システム２を使用するユーザーは、情報処理端末１００Ｂ２とサーバー３００とが低機密情報の通信を行っている間に、低機密情報の通信を行なわない情報処理端末１００Ａを装着して情報処理端末１００Ｂ２（通信部１６０Ｂ）から離れることができる。

また、情報処理システム２に従う情報処理端末１００Ａは、サーバー３００にアクセスするための第２ログインデータを、悪意の第三者にとって複製、取得が非常に困難な生体情報を用いて暗号化する。したがって、情報処理システム２は、低機密情報の通信を行なう場合であっても、悪意の第三者による成りすましを抑制することができる。

［Ｄ．実施形態３］
（ｄ１．概要）
近年、ドローン、などの無人航空機の普及が急速に進んでいる。これら無人航空機は、一般的に、予め定められたプログラムに従って動作を行なうか、外部装置からの遠隔操作によって動作を行なう。

この外部装置が悪意の第三者によって成りすましを受けた場合、無人航空機の制御権は、当該第三者に奪われる。たとえば、無人航空機が貨物を運搬している場合や、無人航空機が軍事用である場合などは、周囲の人々が危険にさらされる。

そこで、無人航空機を制御する外部装置において、成りすましを防ぐための構成および制御について以下説明を行なう。

（ｄ２．システム構成）
図１４は、実施形態３に従う情報処理システム３の構成例について説明する図である。情報処理システム３は、情報処理端末１００Ａ３と、情報処理端末１００Ｂと、無人航空機５００とを有する。一例として、情報処理端末１００Ａ３は、タブレット型端末であるとする。情報処理端末１００Ａ３のハードウェア構成は、図１１に示される情報処理端末１００Ｂ２と同じであるため、その説明は繰り返さない。

無人航空機５００は、外部からの制御指令に基づいて自律動作を行なう飛行体であって、一例として、マルチコプタ、ドローンなどが挙げられる。情報処理端末１００Ａ３は、無人航空機５００を操作するための端末であって、無人航空機５００の動作を制御するためのアプリケーション（以下、「制御アプリケーション」とも称する。）が記憶装置１４０Ａに格納されているものとする。

（ｄ３．無人航空機５００の制御方法）
情報処理システム３に従うユーザーは、情報処理端末１００Ｂを装着した状態で、情報処理端末１００Ａ３を操作することによって、無人航空機５００の動作を制御する。

まず、ユーザーは、操作受付部１１０Ａ（たとえば、タッチパネル）を操作して制御アプリケーションを起動する。制御アプリケーションは、ディスプレイとして機能する報知部１３０Ａに、無人航空機５００を操作するための操作画面を表示する。ユーザーは、報知部１３０Ａの表示に従い、操作受付部１１０Ａを操作する。

制御アプリケーションは、操作受付部１１０Ａの入力内容に従う制御信号を無人航空機５００に制御信号を送信する前に、当該制御信号が成りすましによる制御信号でないかの検証を行なう。

具体的には、制御アプリケーションは、生体センサー１２０Ｂの測定結果が、生体センサー１２０Ａの測定結果に対する予め定められた条件（たとえば、両方の測定結果が一致するか）を満たすか否かを判定し、条件を満たすと判定した場合にのみ、制御信号を無人航空機５００に送信する。無人航空機５００は、情報処理端末１００Ａ３から入力される制御信号に基づいて動作する。以下、図１５を用いて当該制御について説明する。

図１５は、実施形態３に従う無人航空機５００に制御信号を送信するための制御について説明するシーケンス図である。

シーケンスｓｑ２０１において、ユーザーは、情報処理端末１００Ａ３の操作受付部１１０Ａを操作して、制御アプリケーションを起動するとともに、無人航空機５００への制御指令を入力する。

シーケンスｓｑ２０２において、情報処理端末１００Ａ３は、ユーザーからの制御指令の入力を受け、情報処理端末１００Ｂに対してバイタルデータ認証要求通知を送信する。

シーケンスｓｑ２０３において、情報処理端末１００Ｂは、バイタルデータ認証要求通知を受信した旨を知らせるＡＣＫ信号を情報処理端末１００Ａ３に返信する。

シーケンスｓｑ２０４において、情報処理端末１００Ｂは、生体センサー１２０Ｂによる生体情報（脈波）を測定するための準備を開始する。シーケンスｓｑ２０５において、情報処理端末１００Ａ３は、情報処理端末１００ＢからのＡＣＫ信号の受信に応じて、同期信号を情報処理端末１００Ｂに送信する。

シーケンスｓｑ２０６において、情報処理端末１００Ｂは、情報処理端末１００Ａ３から入力された同期信号に従い、ユーザーの脈波の測定を開始する。また、シーケンスｓｑ２０８において、情報処理端末１００Ａ３も、情報処理端末１００Ｂに送信した同期信号に従い、ユーザーの脈波の測定を開始する。

シーケンスｓｑ２１０において、情報処理端末１００Ａ３は、生体情報の測定を終了する。シーケンスｓｑ２１２において、情報処理端末１００Ａ３は、情報処理端末１００Ｂに対して、生体センサー１２０Ｂの測定結果の送信を要求する要求信号を送信する。シーケンスｓｑ２１４において、情報処理端末１００Ａ３は、生体センサー１２０Ａの測定結果を記憶装置１４０Ａに格納（保存）する。

シーケンスｓｑ２１６において、情報処理端末１００Ｂは、情報処理端末１００Ａ３からの要求信号の入力に応じて、生体センサー１２０Ｂの測定結果を情報処理端末１００Ａ３に送信する。

シーケンスｓｑ２１８において、情報処理端末１００Ａ３は、生体センサー１２０Ａの測定結果が、生体センサー１２０Ｂの測定結果に対する予め定められた条件を満たすか否かを判定する。一例として、情報処理端末１００Ａ３は、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致するか否かを判定する。なお、当該判定方法は、テーブルＴａ１に示される条件を同じであるとする。図１５に示される例において、情報処理端末１００Ａ３は、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致したと判定する。

シーケンスｓｑ２２０において、情報処理端末１００Ａ３は、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致した旨を知らせる判定結果を情報処理端末１００Ｂに送信する。また、シーケンスｓｑ２２２において、情報処理端末１００Ａ３は、ユーザーの制御指令に基づく制御信号を、通信インターフェイス１８０Ａを介して無人航空機５００に送信する。通信インターフェイス１８０Ａは、一例として、無線ＬＡＮインターフェイスであるとする。

シーケンスｓｑ２２４において、無人航空機５００は、情報処理端末１００Ａ３からの制御信号を受信した旨を知らせるＡＣＫ信号を情報処理端末１００Ａ３に返信する。シーケンスｓｑ２２６において、無人航空機５００は、入力された制御信号に基づいて動作を行なう。

上記によれば、実施形態３に従う情報処理端末１００Ａ３は、無人航空機５００を操作する制御信号が、正当なユーザーによって入力された制御信号であるか否かの認証を、複製、取得が非常に困難な生体情報を用いて、判断することができる。したがって、実施形態３に従う情報処理端末１００Ａ３は、成りすましによる無人航空機５００の操作を抑制することができる。

なお、上記の例において、情報処理端末１００Ａ３は、制御指令の入力に応じて、生体情報による比較判定を行なう構成であったが、これに限られない。他の局面において、情報処理端末１００Ａ３には、図示しない加速度センサー、振動センサー、およびユーザーによる情報処理端末１００Ａ３の把持を検知する把持センサーの少なくとも１つのセンサーを搭載する。情報処理端末１００Ａ３は、これらのセンサーによってユーザーによる所定の操作を検知した場合に、生体情報による比較判定を行なう構成であってもよい。

（ｄ４．測定結果が一致しない場合の制御）
図１５に示される例において、生体センサー１２０Ａおよび１２０Ｂの測定結果が一致する場合について説明を行った。以下に、これら測定結果が一致しない場合の制御例について説明する。

シーケンスｓｑ２１８において、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であると判定された場合、情報処理端末１００Ａ３は、制御指令が成りすました第三者によって入力されたものであると判断し、無人航空機５００に対してエラーコマンドを送信する。

なお、他の局面において、情報処理端末１００Ａ３は、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であると判定された場合に、所定回数（たとえば、３回）を上限として、再度、生体センサー１２０Ａおよび１２０Ｂによる生体情報の測定および当該測定結果の比較を行なう構成であってもよい。当該構成において、情報処理端末１００Ａ３は、生体センサー１２０Ａおよび１２０Ｂの測定結果が不一致であると所定回数判定した場合に、無人航空機５００に対してエラーコマンドを送信する。

無人航空機５００は、エラーコマンドの受信に応じて、予め定められた動作を行なうように制御される。一例として、無人航空機５００は、エラーコマンドの受信に応じて、音や光などを用いて周囲に警告を行いながら、ゆっくりと降下し、地面に不時着する。

他の局面において、無人航空機５００は、エラーコマンドの受信に応じて、高度を上げ、所定のタイミング（たとえば、高度が１００ｍに達したタイミング）で、自爆してもよい。

さらに他の局面において、無人航空機５００は、エラーコマンドの受信に応じて、海などの周囲に建築物が存在しない広い場所を認識して、不時着してもよい。この場合、無人航空機５００は、カメラ、ＧＰＳ（Global Positioning System）などによって周囲に建築物が存在しない広い場所を認識する。

無人航空機５００は、エラーコマンドの受信に応じてこれら予め定められた動作を実行することによって、周囲の人および物への影響を最小限に抑えることができる。

なお、上記では、無人航空機を例にして説明を行ったが、これに限られない。上記の成りすましを抑制する制御は、無人車両、無人船舶、探査衛星など、外部からの制御指令に基づいて自律動作を行なう機械に適用することができる。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

［付記１］
第１の種類の生体情報を測定する第１の生体センサーを含むセンサー端末と機密情報を通信するための情報処理端末であって、
前記センサー端末から前記第１の生体センサーの測定結果を受信するための受信部と、
前記第１の種類の生体情報を測定するための第２の生体センサーと、
前記第１の生体センサーの測定結果が、前記第２の生体センサーの測定結果に対して予め定められた条件を満たす場合に、前記センサー端末との機密情報の通信を実行するように構成される制御部とを備える、情報処理端末。

［付記２］
前記制御部は、所定期間における前記第１および第２の生体センサーの測定結果が一致する割合が所定値以上である場合に、前記第１の生体センサーの測定結果が前記予め定められた条件を満たすと判定するように構成されている、付記１に記載の情報処理端末。

［付記３］
情報の入力を受け付けるための操作受付部をさらに備え、
前記制御部は、前記操作受付部に予め定められた情報が入力されたことに応じて、前記センサー端末に、前記第１の生体センサーによる前記第１の種類の生体情報の測定および当該生体情報の測定結果の送信を要求する要求信号を送信するように構成されている、付記１または２に記載の情報処理端末。

［付記４］
前記制御部は、前記要求信号の送信に応じて送信された前記第１の生体センサーの測定結果が前記予め定められた条件を満たさないと判定された場合に、所定回数を上限として、前記センサー端末に前記要求信号を再び送信するように構成されている、付記３に記載の情報処理端末。

［付記５］
前記制御部は、
前記要求信号の送信に応じて送信された前記第１の生体センサーによる複数の測定結果の平均値である第１の平均値を算出し、
前記第１の生体センサーによる複数の測定結果のそれぞれに対応する前記第２の生体センサーによる複数の測定結果の平均値である第２の平均値を算出し、
前記第１の平均値が前記第２の平均値に対して前記予め定められた条件を満たすか否かを判定することにより、前記第１の生体センサーの測定結果が前記予め定められた条件を満たすか否かを判定するように構成されている、付記４に記載の情報処理端末。

［付記６］
前記制御部は、
前記第１の平均値が前記第２の平均値に対して前記予め定められた条件を満たさないと判定した場合に、前記第１の平均値と前記第２の平均値との差分に基づく補正を次回の前記第１の生体センサーの測定結果に対して行い、次回の前記第１の生体センサーの測定結果が前記予め定められた条件を満たすか否かを判定するように構成されている、付記５に記載の情報処理端末。

［付記７］
前記制御部は、前記センサー端末に、前記第１の生体センサーによる測定を行なうタイミングを指定する同期信号をさらに送信するように構成されており、
前記第２の生体センサーは、前記同期信号に従うタイミングで前記第１の種類の生体情報を測定するように構成されている、付記１〜６のいずれかに記載の情報処理端末。

［付記８］
前記制御部は、前記第１の生体センサーの測定結果が前記予め定められた条件を満たさないと判定された場合に、エラーを通知するように構成されている、付記１〜７のいずれかに記載の情報処理端末。

［付記９］
前記制御部は、
前記センサー端末に送信した機密情報と、前記センサー端末から返信された当該機密情報の少なくとも一部とを比較することによって、前記センサー端末への機密情報の送信が成功したか否かを検証するように構成されている、付記１〜８のいずれかに記載の情報処理端末。

［付記１０］
前記センサー端末へ送信される機密情報を格納するための記憶装置をさらに備え、
前記制御部は、前記センサー端末への機密情報の送信が成功したことを検証した場合に、前記記憶装置において前記センサー端末へ送信された機密情報を消去するように構成されている、付記９に記載の情報処理端末。

１，２，３ 情報処理システム、１００Ａ，１００Ａ３，１００Ｂ，１００Ｂ２ 情報処理端末、１１０Ａ，１１０Ｂ 操作受付部、１２０Ａ，１２０Ｂ 生体センサー、１３０Ａ，１３０Ｂ 報知部、１４０Ａ，１４０Ｂ 記憶装置、１５０Ａ，１５０Ｂ ＲＴＣ部、１６０Ａ，１６０Ｂ 通信部、１７０Ａ，１７０Ｂ 制御部、１８０Ａ，１８０Ｂ 通信インターフェイス、３００ サーバー、５００ 無人航空機、Ｔａ１ テーブル。

Claims (17)

1. 第１の種類の生体情報を測定する第１の生体センサーを含むセンサー端末と機密情報を通信するための情報処理端末であって、
   前記センサー端末から前記第１の生体センサーの測定結果を受信するための受信部と、
   前記第１の種類の生体情報を測定するための第２の生体センサーと、
   前記第１の生体センサーの測定結果が、前記第２の生体センサーの測定結果に対して予め定められた条件を満たす場合に、前記センサー端末と機密情報を通信する第１のモードを有する制御部とを備え、
   前記制御部は、前記センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、前記第１のモードで前記センサー端末との当該機密情報の通信を実行する、情報処理端末。
2. 前記制御部は、前記第１のモードと、前記第１の生体センサーの測定結果と前記第２の生体センサーの測定結果との比較を行なわずに前記センサー端末と機密情報を通信する第２のモードとを切り替え可能に構成される、請求項１に記載の情報処理端末。
3. 前記第２の生体センサーの測定結果を格納するための記憶装置をさらに備え、
   前記制御部は、前記センサー端末に送信する機密情報のセキュリティレベルが前記予め定められたレベル未満である場合に、当該機密情報を前記記憶装置に格納される所定の測定結果を用いて暗号化し、当該暗号化した機密情報を前記第２のモードで前記センサー端末に送信する、請求項２に記載の情報処理端末。
4. 前記制御部は、前記センサー端末と通信する機密情報のセキュリティレベルが前記予め定められたレベル以上である場合に、近距離無線通信を用いて前記センサー端末との当該機密情報の通信を実行する、請求項２または３に記載の情報処理端末。
5. 前記制御部は、前記センサー端末と通信する機密情報のセキュリティレベルが前記予め定められたレベル未満である場合に、前記近距離無線通信よりもビットレートが高い無線通信を用いて前記センサー端末との当該機密情報の通信を実行する、請求項４に記載の情報処理端末。
6. 前記制御部は、
   前記センサー端末に送信する機密情報のセキュリティレベルが前記予め定められたレベル未満である場合に、前記センサー端末と通信可能に構成される外部装置に当該機密情報が存在するか否かを検証し、
   前記機密情報が前記外部装置に存在することを検証した場合、前記外部装置から前記センサー端末へ前記機密情報を転送させる制御信号を、前記外部装置および前記センサー端末のいずれか一方に送信する、請求項４に記載の情報処理端末。
7. 外部装置と通信可能に構成され、
   前記制御部は、
   前記センサー端末から機密情報を受信するにあたって、前記センサー端末から当該機密情報についてのセキュリティレベルを受信するとともに、
   当該機密情報のセキュリティレベルが前記予め定められたレベル未満である場合に、前記センサー端末から受信した機密情報を前記外部装置に転送するように構成される、請求項２に記載の情報処理端末。
8. 記憶装置をさらに備え、
   前記制御部は、前記センサー端末から受信した機密情報を前記外部装置に転送した場合に、所定の情報を前記記憶装置に格納するように構成され、
   前記所定の情報は、前記外部装置への接続情報、前記外部装置における前記機密情報の記憶領域情報、および前記外部装置へのログインに使用した情報のうち少なくともいずれか１つの情報を含む、請求項７に記載の情報処理端末。
9. 前記制御部は、前記センサー端末に送信する機密情報のセキュリティレベルに関する情報を前記センサー端末に送信する構成、および前記センサー端末から受信する機密情報のセキュリティレベルに関する情報を前記センサー端末に要求する構成のうち少なくとも一方の構成を含む、請求項２〜８のいずれか１項に記載の情報処理端末。
10. 情報の入力を受け付けるための操作受付部をさらに備え、
    前記制御部は、前記操作受付部に入力される情報に基づいて前記センサー端末と通信する機密情報のセキュリティレベルを設定する、請求項２〜９のいずれか１項に記載の情報処理端末。
11. 情報の入力を受け付けるための操作受付部をさらに備え、
    前記制御部は、前記センサー端末と通信する機密情報のセキュリティレベルを、当該機密情報が格納される記憶領域情報、当該機密情報に付加される第１のセキュリティ情報、および当該機密情報を前記センサー端末と通信する際に前記操作受付部に入力される第２のセキュリティ情報のいずれか１つの情報に基づいて判断する、請求項２〜１０のいずれか１項に記載の情報処理端末。
12. 前記制御部は、前記センサー端末に送信する機密情報を前記第２の生体センサーの所定の測定結果を用いて暗号化する構成、および前記センサー端末から受信する機密情報を前記所定の測定結果に基づいて復号化する構成のうち少なくとも一方の構成を含む、請求項１〜１１のいずれか１項に記載の情報処理端末。
13. 前記第２の生体センサーの測定結果を格納するための記憶装置をさらに備え、
    前記所定の測定結果は、前記センサー端末との機密情報の通信を実行する度に測定する前記第２の生体センサーの測定結果、および前記記憶装置に格納される前記第２の生体センサーの測定結果のうちの最新の測定結果のいずれか一方を含む、請求項１２に記載の情報処理端末。
14. 前記制御部は、近距離無線通信を用いて前記所定の測定結果を前記センサー端末に送信する、請求項１２または１３に記載の情報処理端末。
15. 第１および第２の情報処理端末を備える情報処理システムであって、
    前記第１の情報処理端末は、
    第１の種類の生体情報を測定する第１の生体センサーと、
    前記第１の生体センサーの測定結果を前記第２の情報処理端末に送信するための送信部とを含み、
    前記第２の情報処理端末は、
    前記第１の情報処理端末から前記第１の生体センサーの測定結果を受信するための受信部と、
    前記第１の種類の生体情報を測定するための第２の生体センサーと、
    前記第１の生体センサーの測定結果が、前記第２の生体センサーの測定結果に対する予め定められた条件を満たす場合に、前記第１の情報処理端末と機密情報を通信する第１のモードを有する制御部とを備え、
    前記制御部は、前記第１の情報処理端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、前記第１のモードで前記第１の情報処理端末との当該機密情報の通信を実行する、情報処理システム。
16. 第１の種類の生体情報を測定するための生体センサーを備える情報処理端末のコンピューターによって実行される、前記第１の種類の生体情報を測定するセンサー端末と機密情報を通信するためのプログラムであって、
    前記プログラムは、前記コンピューターに、
    前記センサー端末から前記第１の種類の生体情報の測定結果を受信するステップと、
    前記第１の種類の生体情報を測定するステップとを実行させ、
    前記コンピューターは、前記センサー端末から受信した測定結果が、前記測定するステップにおける生体情報の測定結果に対して予め定められた条件を満たす場合に、前記センサー端末と機密情報を通信する第１のモードを有し、
    前記プログラムは、前記コンピューターに、
    前記センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、前記第１のモードで前記センサー端末との当該機密情報の通信を行なうステップをさらに実行させる、プログラム。
17. 第１の種類の生体情報を測定するための生体センサーを備える情報処理端末が、前記第１の種類の生体情報を測定するセンサー端末と機密情報を通信するための制御方法であって、
    前記センサー端末から前記第１の種類の生体情報の測定結果を受信するステップと、
    前記第１の種類の生体情報を測定するステップとを含み、
    前記情報処理端末は、前記センサー端末から受信した測定結果が、前記測定するステップにおける生体情報の測定結果に対して予め定められた条件を満たす場合に、前記センサー端末と機密情報を通信する第１のモードを有し、
    前記制御方法は、前記センサー端末と通信する機密情報のセキュリティレベルが予め定められたレベル以上である場合に、前記第１のモードで前記センサー端末との当該機密情報の通信を行なうステップをさらに含む、制御方法。

Images