(57)【要約】      （修正有）【課題】機器のなりすましを防止することが可能な認証処理装置、ＩＣカード、認証処理方法及び認証処理プログラムを提供する。【解決手段】ライセンス確認装置は、ユーザ認証部、バイオメトリックセンサー、状態判定部、アルコールセンサー及び相互認証部を備える。ユーザ認証部は、バイオメトリックセンサーにより取得された生体情報を用いてユーザ認証を行う。状態判定部は、アルコールセンサーにより取得された状態情報を用いてユーザ状態判定を行う。相互認証部は、制御部２との間で相互認証を行う。ユーザ認証部による認証が成功し、且つ、状態判定部によりユーザの身体の状態が予め設定された基準を満たすと判定され、且つ、相互認証部による相互認証が成功した場合、ライセンス有効を示すデータと、相互認証で用いられた相互認証用データとに基づいて応答データを生成し、相互認証で用いられた鍵データにより応答データを暗号化して制御部２へ送信する。【選択図】図１
2019040323.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能な認証処理装置であって、
前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、
前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、
前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、
前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、
前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、
を備えることを特徴とする認証処理装置。
【請求項２】
前記生成手段により生成された応答データを、前記認証において用いられた前記鍵データにより暗号化する暗号化手段と、
前記暗号化手段により暗号化された前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、
を更に備えることを特徴とする請求項１に記載の認証処理装置。
【請求項３】
前記装置認証手段は、
前記制御装置により生成された第１の前記認証用データを前記制御装置から受信するステップと、
第２の前記認証用データを生成するステップと、
前記受信された第１の前記認証用データを前記不揮発性メモリに記憶された鍵データにより暗号化するステップと、
前記生成された第２の前記認証用データと、前記第１の前記認証用データが暗号化された第１の暗号化データとを前記制御装置へ送信するステップと、
前記制御装置により前記第１の暗号化データの検証が成功したことに応じて、当該制御装置により前記第２の前記認証用データが暗号化された第２の暗号化データを前記制御装置から受信するステップと、
前記受信された第２の暗号化データの検証を行って当該検証が成功した場合に、前記認証の成功を示す情報を前記制御装置へ送信するステップと、
前記認証の成功を示す情報に応じて前記制御装置から送信された動作許否判定結果要求を受信するステップと、
を実行し、
前記送信手段は、前記動作許否判定結果要求に応じて、前記暗号化手段により暗号化された前記応答データを前記制御装置へ送信することを特徴とする請求項２に記載の認証処理装置。
【請求項４】
ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なＩＣカードであって、
前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、
前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、
前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、
前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、  
前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、
を備えることを特徴とするＩＣカード。
【請求項５】
ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なコンピュータにより行われる認証処理方法であって、
前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証ステップと、
前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定ステップと、
前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証ステップと、
前記ユーザ認証ステップによる前記ユーザの認証が成功し、且つ、前記判定ステップにより前記基準を満たすと判定され、且つ、前記装置認証ステップによる前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成ステップと、
前記応答データを、前記認証が行われた前記制御装置へ送信する送信ステップと、
を含むことを特徴とする認証処理方法。
【請求項６】
ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なコンピュータを、
前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、
前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、
前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、
前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、
前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段として機能させることを特徴とする認証処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの生体情報を用いてユーザの認証（本人認証）を行い、且つ、当該ユーザの身体の状態が基準を満たすか否かを判定することが可能な認証処理装置の技術分野に関する。
【背景技術】
【０００２】
従来、例えば特許文献１に示すような飲酒運転防止装置が提案されている。この飲酒運転防止装置は、運転者が車輌のエンジンを始動するためにスタートスイッチの押下部を押下した場合に、ＥＣＵ３０（制御部３１）は、赤外線光源から運転者の指へ赤外線を照射し、この状態で当該指を撮像して得た血管パターンを用いて個人認証を行う。そして、ＥＣＵ３０は、個人認証に成功した場合、スタートスイッチに備えられたアルコールセンサーによりアルコール成分の検出を行い、アルコール成分が検出されない場合に、ステアリング制御部５１へロック解除命令を与えることにより車輌のステアリングのロックを解除し、シフトレバー制御部５５へロック解除命令を与えることにより車輌のシフトレバーのロックを解除し、エンジン制御部５３へ始動命令を与えることにより車輌のエンジンを始動するようになっている（段落００５４）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−３０８０３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１に開示された飲酒運転防止装置では、飲酒状態の運転者がアルコール成分の検出を回避するために、ＥＣＵ３０を不正の機器に付け替えたり、或いはＥＣＵ３０とエンジン制御部５３等とを接続するネットワークＮＷに不正の機器を接続するといった機器のなりすましが懸念される。このような機器のなりすましが行われると、例えば偽の始動命令等をエンジン制御部５３等へ与えることで、アルコール成分の検出如何に関わらず、車輌のエンジンを始動できてしまう。
【０００５】
そこで、本発明は、以上の点に鑑みてなされたものであり、機器のなりすましを防止することが可能な認証処理装置、ＩＣカード、認証処理方法、及び認証処理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、請求項１に記載の発明は、ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能な認証処理装置であって、前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、を備えることを特徴とする。
【０００７】
請求項２に記載の発明は、請求項１に記載の認証処理装置において、前記生成手段により生成された応答データを、前記認証において用いられた前記鍵データにより暗号化する暗号化手段と、前記暗号化手段により暗号化された前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、を備えることを特徴とする。
【０００８】
請求項３に記載の発明は、請求項２に記載の認証処理装置において、前記装置認証手段は、前記制御装置により生成された第１の前記認証用データを前記制御装置から受信するステップと、第２の前記認証用データを生成するステップと、前記受信された第１の前記認証用データを前記不揮発性メモリに記憶された鍵データにより暗号化するステップと、前記生成された第２の前記認証用データと、前記第１の前記認証用データが暗号化された第１の暗号化データとを前記制御装置へ送信するステップと、前記制御装置により前記第１の暗号化データの検証が成功したことに応じて、当該制御装置により前記第２の前記認証用データが暗号化された第２の暗号化データを前記制御装置から受信するステップと、前記受信された第２の暗号化データの検証を行って当該検証が成功した場合に、前記認証の成功を示す情報を前記制御装置へ送信するステップと、前記認証の成功を示す情報に応じて前記制御装置から送信された動作許否判定結果要求を受信するステップと、を実行し、前記送信手段は、前記動作許否判定結果要求に応じて、前記暗号化手段により暗号化された前記応答データを前記制御装置へ送信することを特徴とする。
【０００９】
請求項４に記載の発明は、ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なＩＣカードであって、前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段と、を備えることを特徴とする。
【００１０】
請求項５に記載の発明は、ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、前記ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なコンピュータにより行われる認証処理方法であって、前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証ステップと、前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定ステップと、前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証ステップと、前記ユーザ認証ステップによる前記ユーザの認証が成功し、且つ、前記判定ステップにより前記基準を満たすと判定され、且つ、前記装置認証ステップによる前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成ステップと、前記応答データを、前記認証が行われた前記制御装置へ送信する送信ステップと、を含むことを特徴とする。
【００１１】
請求項６に記載の発明は、ユーザの認証に用いるための生体情報を取得する生体情報取得センサーと、前記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーと、鍵データを記憶する不揮発性メモリとを備え、制御対象の動作を制御する制御装置との間で通信可能なコンピュータを、前記生体情報取得センサーにより取得された前記生体情報を用いて前記ユーザの認証を行うユーザ認証手段と、前記状態情報取得センサーにより取得された前記状態情報が示す前記身体の状態が予め設定された基準を満たすか否かを判定する判定手段と、前記不揮発性メモリに記憶された鍵データと、前記制御装置との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御装置との間で認証を行う装置認証手段と、前記ユーザ認証手段による前記ユーザの認証が成功し、且つ、前記判定手段により前記基準を満たすと判定され、且つ、前記装置認証手段による前記認証が成功した場合、前記制御対象に対する動作許可を示すデータと、当該認証において用いられた前記認証用データとに基づいて応答データを生成する生成手段と、前記応答データを、前記認証が行われた前記制御装置へ送信する送信手段として機能させる。
【発明の効果】
【００１２】
本発明によれば、ユーザの生体情報を用いてユーザの認証を行い、且つ、当該ユーザの身体の状態が基準を満たすか否かを判定する環境における機器のなりすましを効果的に防止することができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態に係るライセンス確認装置１の機能ブロックの一例を示す図である。
【図２】（Ａ）は、ライセンス確認装置１がＩＣカードである場合の内部構造の一例を示す平面図であり、（Ｂ）は、（Ａ）に示すＩＣカードの内部構造の一例を示す断面図である。
【図３】（Ａ），（Ｂ）は、バイオメトリックセンサー１１の接触面１１Ｘ、及びアルコールセンサー１２の接触面１２Ｘに、ユーザの指の腹が接触している状態を示す図である。
【図４】（Ａ）は、アルコールセンサー１２の内部構造の一例を示す平面図であり、（Ｂ），（Ｃ）は、アルコールセンサー１２の内部構造の一例を示す断面図（Ｘ−Ｘ部の断面図）である。
【図５】制御部１３６のハードウェア構成例を示す図である。
【図６】ライセンス確認処理が行われるときのライセンス確認装置１と制御部２との間のデータのやり取りを示すシーケンス図である。
【図７】ライセンス確認処理が行われるときのライセンス確認装置１と制御部２との間のデータのやり取りを示すシーケンス図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、制御対象に対する動作許否判定を実行するライセンス確認装置に対して本発明を適用した場合の実施の形態である。制御対象の例として、乗り物（車両、船舶、航空機、列車等や起重機等の駆動機構（例えば、エンジン）、扉の施開錠の駆動機構、警報出力回路等が挙げられる。
【００１５】
［１．ライセンス確認装置１の構成及び機能］
先ず、図１等を参照して、本実施形態に係るライセンス確認装置１の構成及び機能について説明する。ライセンス確認装置１は、本発明の認証処理装置の一例である。ライセンス確認装置１は、ユーザに所有されるＩＣカードであってもよい。なお、ＩＣカードは、免許証、社員カード、個人証明書等として使用される。図１は、本実施形態に係るライセンス確認装置１の機能ブロックの一例を示す図である。本実施形態に係るライセンス確認装置１は、図１に示すように、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３等を備え、制御対象３の動作を制御する制御部２（制御装置の一例）との間で有線または無線を介して通信可能になっている。例えば、ライセンス確認装置１が車両に搭載される場合、ライセンス確認装置１は、エンジンの動作を制御するエンジン制御部、ステアリングの動作を制御するステアリング制御部、及びシフトレバーの動作を制御するシフトレバー制御部と通信する。なお、エンジン制御部、ステアリング制御部、及びシフトレバー制御部は、ライセンス確認装置１との間のインターフェイスを担うゲートウェイ装置に接続されてもよい。
【００１６】
バイオメトリックセンサー１１は、ライセンス確認装置１を使用するユーザ（例えば、運転者や操縦者等）の認証（以下、「ユーザ認証」という）に用いるための生体情報を取得する生体情報取得センサーの一例である。本実施形態では、ユーザの身体の一部として、ユーザの指の腹を例にとり、生体情報として、ユーザの指紋（指の腹における紋）を例にとる。バイオメトリックセンサー１１は、例えば数万個の電極、及びユーザの指の腹が接触する接触面等を有する。この接触面にユーザの指の腹が接触することで、上記電極にはユーザの指の腹における凹凸（つまり、指紋を構成する凹凸）による当該接触面までの近さに応じた量の電荷がたまる。そして、バイオメトリックセンサー１１は、それぞれの電極にたまった電荷の量を検出（つまり、ユーザの指の腹に対する電気的な変化を検知）して数値（つまり、電荷の量に応じた数値）に変換することで指紋を示す生体情報（画像に対応する行列）を取得し、取得した生体情報を、図示しない配線を介してセキュアエレメント１３へ送信する。
【００１７】
アルコールセンサー１２は、上記ユーザの身体の状態を示す状態情報を取得する状態情報取得センサーの一例である。本実施形態では、状態情報として、アルコールの濃度を例にとる。アルコールセンサー１２は、ユーザの指の腹が接触する接触面等を有する。この接触面にユーザの指の腹が接触することにより、アルコールセンサー１２は、当該ユーザの汗に含まれるアルコール成分の濃度に応じた蛍光を検出して数値（蛍光の強度に応じた数値）に変換することで当該蛍光の強度を示す状態情報を取得し、取得した状態情報を、図示しない配線を介してセキュアエレメント１３へ送信する。
【００１８】
図２（Ａ）は、ライセンス確認装置１がＩＣカードである場合の内部構造の一例を示す平面図であり、図２（Ｂ）は、図２（Ａ）に示すＩＣカードの内部構造の一例を示す断面図（Ｘ−Ｘ部の断面図）である。ＩＣカードは、図２（Ｂ）に示すように、基材となる印刷シート２ｘ（図２（Ｂ）の例では、下側（裏側）の印刷シート）上に絶縁シート１ｘが積層され、絶縁シート１ｘ上に印刷シート３ｘ（図１（Ｂ）の例では、上側（表側）の印刷シート）が積層されてなる。つまり、絶縁シート１ｘは、２つの印刷シート２ｘ，３ｘ間に挟持されている。このような積層構造は、例えばスピンコートや塗布などの方法により形成される。絶縁シート１ｘは、例えば、厚み５０μｍ〜４００μｍ程度のポリイミド等からなる。印刷シート２ｘ，３ｘは、それぞれ、例えば、厚み１００μｍ程度のポリエチレンテレフタレート（ＰＥＴ）やＰＥＴ−Ｇ等からなる。なお、印刷シート２ｘには裏面印刷４ｘがなされ、印刷シート３ｘには表面印刷５ｘがなされる。
【００１９】
絶縁シート１ｘには、バイオメトリックセンサー１１、アルコールセンサー１２、セキュアエレメント１３、及びアンテナ１４が装着される。特に、バイオメトリックセンサー１１とアルコールセンサー１２とは印刷シート２ｘの厚み方向Ｙにおいて互いに重ならないように印刷シート２ｘ上に並べて配置されている。このように、印刷シート２ｘ上に、バイオメトリックセンサー１１とアルコールセンサー１２とを並べて配置することにより、ユーザが指を動かすことなく本人認証（ユーザ認証）とアルコール検知（アルコール成分の検出）を実施できるため、それぞれの処理を連続して実施すれば被験者たるユーザに与える煩わしさを軽減できる。なお、バイオメトリックセンサー１１の接触面１１Ｘ、及びアルコールセンサー１２の接触面１２Ｘには、それぞれ、ユーザの指の腹が、印刷シート３ｘに設けられた貫通孔１０１を通じて接触することができる。
【００２０】
また、図２（Ｂ）の例では、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３を印刷シート２ｘ上に固定的に配置するため、絶縁シート１ｘには、その表面から裏面にかけて貫通孔１０２が設けられている。この貫通孔１０２には、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３が組み込まれ（嵌め込まれ）、例えば接着される。バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３は、それぞれ、絶縁シート１ｘの厚み以下の厚みを有する。なお、セキュアエレメント１３の厚さは、通常５０μｍから２００μｍ程度の範囲となっている。バイオメトリックセンサー１１及びアルコールセンサー１２は、例えば、絶縁シート１ｘに形成された配線パターンを介してセキュアエレメント１３に電気的に接続される。
【００２１】
図３（Ａ），（Ｂ）は、バイオメトリックセンサー１１の接触面１１Ｘ、及びアルコールセンサー１２の接触面１２Ｘに、ユーザの指の腹が接触している状態を示す図である。バイオメトリックセンサー１１、及びアルコールセンサー１２は、図３（Ｂ）に示すように、ライセンス確認装置１としてのＩＣカード（つまり、印刷シート２ｘ）上に並べて配置されている。このように、バイオメトリックセンサー１１とアルコールセンサー１２とを並べて配置することにより、ユーザが指を動かすことなく本人認証（ユーザ認証）とアルコール検知（アルコール成分の検出）を実施できるため、それぞれの処理を連続して実施すれば被験者たるユーザに与える煩わしさを軽減できる。
【００２２】
なお、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３の配置方法の別の例として、絶縁シート１ｘの面（上側の面、または下側の面）上にバイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３が配置（例えば接着により配置）されるように構成してもよい。この場合、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３が突出する側にはスペーサシート等が積層され（つまり、絶縁シート１ｘと、印刷シート２ｘまたは３ｘとの間にスペーサシート等が設けられ）、且つ、スペーサシート等において、バイオメトリックセンサー１１、アルコールセンサー１２、及びセキュアエレメント１３が当接する部分には、これらの構成要素の高さを吸収できる貫通孔が設けられる。
【００２３】
アンテナ１４は、例えば、絶縁シート１ｘにラミネートしたアルミ箔等にレジストを形成し、フォトエッチング技術でコイル形状のみを残したものである。アンテナ１４は、絶縁シート１ｘ面において数ターン程度の巻きとなるように形成される。また、アンテナ１４を形成するコイルの両端は、例えば、絶縁シート１ｘに形成された配線パターンを介してセキュアエレメント１３に電気的に接続される。ＩＣカードがリーダライタＲＷに翳されると、リーダライタＲＷからの電磁波によりアンテナ１４のコイルで電力が発生し、当該電力がセキュアエレメント１３へ供給される。さらに、セキュアエレメント１３から配線パターンを介してアルコールセンサー１２及びバイオメトリックセンサー１１へ電力が供給される。なお、ＩＣカードは、バイオメトリックセンサー１１、アルコールセンサー１２、セキュアエレメント１３、及びアンテナ１４が装着された絶縁シート１ｘと、印刷シート２ｘ，３ｘとが積層された状態で、例えばプレスラミネートされることで生成される。
【００２４】
次に、図４を参照して、アルコールセンサー１２の構成及び機能の詳細について説明する。図４（Ａ）は、アルコールセンサー１２の内部構造の一例を示す平面図であり、図４（Ｂ），（Ｃ）は、アルコールセンサー１２の内部構造の一例を示す断面図（Ｘ−Ｘ部の断面図）である。アルコールセンサー１２は、図４（Ａ），（Ｂ）に示すように、絶縁樹脂材１２１、光透過性樹脂材１２２、脱水素酵素膜材１２３、紫外線発光ダイオード１２４、及びフォトセンサー１２５等を備える。また、アルコールセンサー１２は、絶縁樹脂材１２１上に光透過性樹脂材１２２及び脱水素酵素膜材１２３が積層されてなる。絶縁樹脂材１２１は、例えば、厚み４０μｍ〜２００μｍのポリイミド等からなる。光透過性樹脂材１２２及び脱水素酵素膜材１２３は、それぞれ、厚み１０μｍ〜２００μｍ程度であり、光透過性樹脂材１２２及び脱水素酵素膜材１２３の上面は、ユーザの指の腹が上記貫通孔１０１を通じて接触される接触面に相当する。なお、光透過性樹脂材１２２は、紫外線発光ダイオード１２４からの紫外線を透過する材料からなるが、必ずしもアルコールセンサー１２の構成要素として備えられなくてもよい。
【００２５】
絶縁樹脂材１２１には、紫外線発光ダイオード１２４、及びフォトセンサー１２５が装着される。図４（Ｂ）の例では、紫外線発光ダイオード１２４、及びフォトセンサー１２５は、印刷シート２ｘ上に設けられた同一の絶縁樹脂材１２１に組み込まれており、当該印刷シート２ｘの厚み方向Ｙにおいて、紫外線発光ダイオード１２４上に光透過性樹脂材１２２が配置され、フォトセンサー１２５上に脱水素酵素膜材１２３が配置されている。ただし、図４（Ｂ）の例では、紫外線発光ダイオード１２４の発光面１２４Ｘ、及びフォトセンサー１２５の検出面１２５Ｘは絶縁樹脂材１２１により覆われておらず、発光面１２４Ｘは光透過性樹脂材１２２に接し、検出面１２５Ｘは脱水素酵素膜材１２３に接している。図４（Ｂ）に示すアルコールセンサー１２の構造によれば、紫外線発光ダイオード１２４が絶縁樹脂材１２１及び光透過性樹脂層１２２により覆われ、フォトセンサー１２５が絶縁樹脂材１２１及び脱水素酵素膜材１２３により覆われるため、製品（ＩＣカード）の耐久性を向上することができる。さらに、図４（Ｂ）に示すアルコールセンサー１２の構造によれば、樹脂層とモジュール層に分離することによって２つのモジュールの表面をなだらかに整形しやすくなるため、カードの生産効率を向上することができる。一方、図４（Ｃ）の例では、紫外線発光ダイオード１２４は、絶縁樹脂材１２１上に例えば接着により配置され、フォトセンサー１２５は、その検出面１２５Ｘが絶縁樹脂材１２１により覆われないように絶縁樹脂材１２１に組み込まれており、基材の厚み方向Ｙにおいて、フォトセンサー１２５上に脱水素酵素膜材１２３が配置されている。図４（Ｃ）に示すアルコールセンサー１２の構造によれば、透過性樹脂を使用しないため、部材等の製造コストを安く抑えることができる。図４（Ｂ）と図４（Ｃ）の何れの場合も、紫外線発光ダイオード１２４とフォトセンサー１２５とは印刷シート２ｘの厚み方向において互いに重ならないように当該印刷シート２ｘ上に並べて配置される。
【００２６】
紫外線発光ダイオード１２４は、セキュアエレメント１３からの電力供給を受けて、３４０ｎｍ付近の波長（例えば３００〜３７０ｎｍ）の波長の紫外線を発光面１２４Ｘから発する。脱水素酵素膜材１２３には、紫外線発光ダイオード１２４からの紫外線が照射される。脱水素酵素膜材１２３は、例えば、脱水素酵素を担体に固定化することで生成される。担体には、脱水素酵素を固定する土台となり、化学的に安定した材料が用いられる。なお、担体を用いることなく、脱水素酵素自体を固化して脱水素酵素膜材を生成してもよい。
【００２７】
脱水素酵素は、補酵素の存在下においてアルコール（ＣＨ３ＣＨ２ＯＨ：エタノール）を酸化してアセトアルデヒド（ＣＨ３ＣＨＯ）にする反応を触媒する酵素である。脱水素酵素には、例えば、アルコールデヒドロゲナーゼ（EC.1.1.1.1, EC.1.1.1.2, EC.1.1.1.71）が用いられる。補酵素には、ＮＡＤ＋（ニコチンアミドアデニンジヌクレオチドの酸化型）、またはＮＡＤＰ＋（ニコチンアミドアデニンジヌクレオチドリン酸の酸化型）が用いられる。この補酵素は、例えば、脱水素酵素膜材の表面に設けられる。アルコールと、補酵素と、脱水素酵素との酵素反応により、下記（１）または（２）の化学式に示すように、アセトアルデヒドと、ＮＡＤＨ（ニコチンアミドアデニンジヌクレオチドの還元型）またはＮＡＤＰＨ（ニコチンアミドアデニンジヌクレオチドリン酸の還元型）が生成される。
【００２８】
ＣＨ３ＣＨ２ＯＨ ＋ ＮＡＤ＋ → ＣＨ３ＣＨＯ ＋ ＮＡＤＨ  ＋ Ｈ＋・・・（１）
【００２９】
ＣＨ３ＣＨ２ＯＨ ＋ ＮＡＤＰ＋ → ＣＨ３ＣＨＯ ＋ ＮＡＤＰＨ  ＋ Ｈ＋・・・（２）
【００３０】
ここで、ＮＡＤＨまたはＮＡＤＰＨは、ユーザの汗（例えば、ユーザの指の腹から発汗された汗）に含まれるアルコール成分により脱水素酵素膜材１２３において生成される物質であり、アルコールの濃度に依存する。ＮＡＤＨまたはＮＡＤＰＨは、紫外線発光ダイオード１２４から発せられた紫外線を吸収することで、励起された蛍光を発する。つまり、ＮＡＤＨまたはＮＡＤＰＨは、３４０ｎｍ付近の紫外線を吸収することで基底状態から励起状態になり蛍光を発する。
【００３１】
フォトセンサー１２５は、フォトダイオードを備えて構成され、ユーザの汗に含まれるアルコール成分により脱水素酵素膜材１２３において生成されたＮＡＤＨまたはＮＡＤＰＨが３４０ｎｍ付近の紫外線を吸収することで発した蛍光を検出面１２５Ｘを介して検出する。こうして検出された蛍光は、上述したように数値に変換され、状態情報として配線を介してセキュアエレメント１３へ送信される。なお、上述したように発せられた蛍光の波長は、４５０〜５１０ｎｍであるため、フォトセンサー１２５には、４５０〜５１０ｎｍの波長の蛍光を検出するものが採用される。
【００３２】
次に、セキュアエレメント１３の構成及び機能の詳細について説明する。セキュアエレメント１３は、プログラム記憶部１３１、データ記憶部１３２、送受信部１３３〜１３５、及び制御部１３６等を備え、有線または無線を介して制御部２との間で通信を行うと共に、バイオメトリックセンサー１１及びアルコールセンサー１２の動作を制御する。プログラム記憶部１３１及びデータ記憶部１３２は、例えばＲＯＭ（Read Only Memory）とＮＶＭ（Non Volatile Memory:不揮発性メモリ）の少なくとも何れか一方から構成される。プログラム記憶部１３１には、例えばＯＳ（オペレーティングシステム）及びアプリケーション等のプログラムが記憶される。データ記憶部１３２には、ユーザ認証に用いられる照合用の照合データ、及びユーザの身体の状態を判定するための判定基準（例えば閾値）を示す判定基準データ等が記憶される。ここで、照合データには、バイオメトリックセンサー１１により予め取得された生体情報が用いられる。このため、照合データは、ユーザの指の腹における指紋を示す。また、データ記憶部１３２には、鍵データ（例えば、ライセンス確認装置１の秘密鍵と公開鍵の組と制御部２の公開鍵、あるいは、ライセンス確認装置１と制御部２の共通鍵）が記憶される。なお、制御部２には、鍵データ（例えば、制御部２の秘密鍵と公開鍵の組とライセンス確認装置１と制御部２の公開鍵、あるいは、ライセンス確認装置１と制御部２の共通鍵）を記憶する不揮発性メモリが備えられている。
【００３３】
送受信部１３３は、制御部２との間で通信を行うためのインターフェイスを担う。送受信部１３４は、バイオメトリックセンサー１１からの配線に接続される接続端子を備え、バイオメトリックセンサー１１との間で通信を行うためのインターフェイスを担う。送受信部１３５は、アルコールセンサー１２からの配線に接続される接続端子を備え、アルコールセンサー１２との間で通信を行うためのインターフェイスを担う。
【００３４】
図５は、制御部１３６（コンピュータの一例）のハードウェア構成例を示す図である。制御部１３６は、図５に示すように、ＲＡＭ（Random Access Memory）１３６ａ、ＣＰＵ（Central Processing Unit）１３６ｂ、及び乱数生成器１３６ｃ等を備えて構成され、制御部１３６は、制御部２からの要求に応じて、プログラム記憶部１３１に記憶されたプログラムにしたがって、相互認証及びライセンス確認処理を実行する。相互認証及びライセンス確認処理は、ライセンス確認装置１が制御部２との間で相互認証を行い、制御対象３に対して動作許可を与えるか（言い換えれば、ライセンス付与するか）どうかを確認する（つまり、動作許否判定を行う）処理である。
【００３５】
この相互認証及びライセンス確認処理において、制御部１３６のＣＰＵ１３６ｂは、情報取得部１３６１、ユーザ認証部１３６２（ユーザ認証手段の一例）、状態判定部１３６３（判定手段の一例）、相互認証部１３６４（装置認証手段の一例）、応答データ生成部１３６５（生成手段の一例）、応答データ暗号化部１３６６（暗号化手段の一例）、及び情報送信部１３６７（送信手段の一例）等として機能する。
【００３６】
情報取得部１３６１は、送受信部１３４を介してバイオメトリックセンサー１１へ起動信号を送信することで、バイオメトリックセンサー１１を起動させる。この状態で、ユーザの指の腹がバイオメトリックセンサー１１の接触面に置かれると、バイオメトリックセンサー１１は、電極にたまった電荷の量を検出して指紋を示す生体情報を取得し、取得した生体情報を配線を介してセキュアエレメント１３へ送信する。これにより、情報取得部１３６１は、バイオメトリックセンサー１１により取得された生体情報を送受信部１３４を介して受信（取得）することになる。
【００３７】
また、情報取得部１３６１は、送受信部１３５を介してアルコールセンサー１２へ起動信号を送信することで、アルコールセンサー１２を起動させる。アルコールセンサー１２は、起動信号により起動すると、紫外線発光ダイオード１２４から紫外線を発光させる。この状態で、ユーザの指の腹がアルコールセンサー１２の接触面に置かれると、アルコールセンサー１２は、フォトセンサー１２５により検出された蛍光の強度を示す状態情報を取得し、取得した状態情報を配線を介してセキュアエレメント１３へ送信する。これにより、情報取得部１３６１は、アルコールセンサー１２により取得された状態情報を送受信部１３５を介して受信（取得）することになる。
【００３８】
ユーザ認証部１３６２は、バイオメトリックセンサー１１により取得された生体情報を用いてユーザ認証を行う。例えば、ユーザ認証部１３６２は、バイオメトリックセンサー１１により取得された生体情報が示す指紋と、データ記憶部１３２に記憶された照合データが示す指紋とを照合して双方の指紋における複数の特徴点（例えば、端点と分岐点）が所定数以上一致している場合、ユーザ認証成功と判定する。
【００３９】
状態判定部１３６３は、アルコールセンサー１２により取得された状態情報を用いてユーザ状態判定を行う。例えば、状態判定部１３６３は、状態情報が示す蛍光の強度（ユーザの身体の状態の一例）が判定基準未満であるか（言い換えれば、ユーザの身体の状態が予め設定された基準を満たすか）否かを判定（これを、ユーザ状態判定と称する）する。ここで、判定基準は、例えば、データ記憶部１３２に記憶された判定基準データが示す閾値であり、蛍光の強度が閾値以上であれば、アルコールの濃度が基準を超えるものと見做される。
【００４０】
相互認証部１３６４は、データ記憶部１３２に記憶された鍵データと、制御部２との間の１又は複数回のセッションにおいて１回の頻度で変化する相互認証用データ（認証用データの一例）とを用いて当該制御部２との間で相互認証を行う。なお、１回のセッションにおいて１回の頻度で変化する相互認証用データは、その場限りのセッションコードである。つまり、この場合、相互認証部１３６４は、データ記憶部１３２に記憶された鍵データと、制御部２との間のセッション毎（つまり、相互認証毎）に変化する相互認証用データとを用いて当該制御部２との間で相互認証を行うことになる。ここで、相互認証用データとして、乱数生成器１３６ｃにより生成される乱数を用いるとよいが、ワンタイムパスワードを用いてもよい。
【００４１】
応答データ生成部１３６５は、ユーザ認証部１３６２によるユーザ認証が成功し、且つ、状態判定部１３６３により上記状態情報が示す蛍光の強度が判定基準未満である（つまり、ユーザの身体の状態が予め設定された基準を満たす）と判定され、且つ、相互認証部１３６４による相互認証が成功した場合、ライセンス有効を示すデータ（つまり、制御対象３に対する動作許可を示すデータ）と、当該相互認証において用いられた相互認証用データとに基づいて応答データを生成する。一方、応答データ生成部１３６５は、相互認証部１３６４による相互認証が成功したが、ユーザ認証部１３６２による認証が失敗した、または、状態判定部１３６３により上記状態情報が示す蛍光の強度が判定基準未満でないと判定した場合、ライセンス無効を示すデータ（つまり、制御対象３に対する動作不許可を示すデータ）と、当該相互認証において用いられた相互認証用データとに基づいて応答データを生成する。
【００４２】
ここで、ライセンス有効を示すデータは、制御部２が、制御対象３に対する動作が許可されたことを認識することができるものであれば、どのようなデータであってもよいが、例えば“１１１１１”などのデータである。一方、ライセンス無効を示すデータは、ライセンス有効を示すデータと区別可能な例えば“０００００”などのデータである。なお、ライセンス有効を示すデータとライセンス無効を示すデータとは、ライセンス確認装置１と制御部２との間で共通情報として予め決められる。また、応答データは、例えば、ライセンス有効を示すデータと相互認証用データとを、制御部２と共有する所定の計算式に代入することで生成される。例えば、応答データは、ライセンス有効を示すデータと、相互認証用データとの排他的論理和（ＸＯＲ）として生成されるとよい。
【００４３】
応答データ暗号化部１３６６は、応答データ生成部１３６５により生成された応答データを、上記相互認証において用いられた鍵データにより暗号化する。そして、情報送信部１３６７は、応答データ暗号化部１３６６により暗号化された応答データを、上記相互認証が行われた制御部２へ送受信部１３３を介して送信（応答）する。なお、応答データは、鍵データにより暗号化される代わりに、ハッシュ関数等の不可逆関数によって生成されるコード等により難読化されて送信されてもよい。
【００４４】
［２．ライセンス確認装置１と制御部の動作］
次に、図６及び図７を参照して、相互認証及びライセンス確認処理が行われるときのライセンス確認装置１と制御部２との間のデータのやり取りについて説明する。図６及び図７は、ライセンス確認処理が行われるときのライセンス確認装置１と制御部２との間のデータのやり取りを示すシーケンス図である。
【００４５】
先ず、図６において、例えば電源ＯＮにより制御部２へ電力供給が開始されると、制御部２はリセット（信号）をライセンス確認装置１へ送信する（ステップＳ１）。ライセンス確認装置１の制御部１３６は、制御部２からのリセットを受信すると、リセット応答を送受信部１３３を介して制御部２へ送信する（ステップＳ２）。制御部２は、ライセンス確認装置１からのリセット応答を受信すると、乱数生成器（図示せず）により乱数Ａ（第１の相互認証用データの一例）を生成し（ステップＳ３）、生成された乱数Ａ及び認証要求をライセンス確認装置１の制御部１３６（相互認証部１３６４）へ送信する（ステップＳ４）。
【００４６】
ライセンス確認装置１の制御部１３６（相互認証部１３６４）は、制御部２からの乱数Ａ及び認証要求を受信すると、相互認証処理を開始する。相互認証処理が開始すると、制御部１３６（相互認証部１３６４）は、乱数生成器１３６ｃにより乱数Ｂ（第２の相互認証用データの一例）を生成する（ステップＳ５）。次いで、制御部１３６（相互認証部１３６４）は、受信された乱数Ａを、データ記憶部１３２に記憶された鍵データにより暗号化する（ステップＳ６）。暗号化には、例えばＤＳＡやＲＳＡ暗号方式等などが用いられる。例えば、ライセンス確認装置１と制御部２の共通鍵により乱数Ａが暗号化される。或いは、ライセンス確認装置１の秘密鍵により乱数Ａに対して署名がなされてもよい。なお、図６の例では、乱数Ｂの生成後に乱数Ａが暗号化されるように構成したが、乱数Ａの暗号化後に乱数Ｂが生成されるように構成してもよい。次いで、制御部１３６（相互認証部１３６４）は、ステップＳ５で生成された乱数Ｂと、ステップＳ６で暗号化された乱数Ａ（第１の暗号化データの一例、以下、「暗号化乱数Ａ」という）とを送受信部１３３を介して制御部２へ送信する（ステップＳ７）。
【００４７】
制御部２は、ライセンス確認装置１からの乱数Ｂと暗号化乱数Ａとを受信すると、受信された暗号化乱数Ａを、不揮発性メモリに記憶された鍵データにより復号する（ステップＳ８）。例えば、ライセンス確認装置１と制御部２の共通鍵により暗号化乱数Ａが復号される。或いは、ライセンス確認装置１の公開鍵により乱数Ａに対する署名検証がなされてもよい。なお、鍵データにより暗号化乱数Ａが復号できなかった場合、エラー処理が行われる。次いで、制御部２は、ステップＳ８で復号された値（復号値）と、ステップＳ４で送信した乱数Ａとが一致しているか否かを判定することで検証を行う（ステップＳ９）。ステップＳ８で復号された値と、ステップＳ４で送信した乱数Ａとが一致している場合、制御部２は、検証成功と判定し（ステップＳ９：成功）、受信された乱数Ｂを、不揮発性メモリに記憶された鍵データにより暗号化し（ステップＳ１０）、ステップＳ１１へ進む。例えば、ライセンス確認装置１と制御部２の共通鍵により乱数Ｂが暗号化される。或いは、制御部２の秘密鍵により乱数Ａに対して署名がなされてもよい。そして、ステップＳ１１では、制御部２は、ステップＳ１０で暗号化された乱数Ｂ（第２の暗号化データの一例、以下、「暗号化乱数Ｂ」という）をライセンス確認装置１の制御部１３６（相互認証部１３６４）へ送信する。一方、ステップＳ８で復号された値と、ステップＳ４で送信した乱数Ａとが一致していない場合、制御部２は、検証失敗と判定し（ステップＳ９：失敗）、エラー処理（例えば、相互認証の失敗を示す情報を送信し、処理停止）を行う（ステップＳ１２）。
【００４８】
制御部１３６（相互認証部１３６４）は、制御部２からの暗号化乱数Ｂを受信（つまり、暗号化乱数Ａの検証が成功したことに応じて制御部２から送信された暗号化乱数Ｂを受信）すると、受信された暗号化乱数Ｂを、データ記憶部１３２に記憶された鍵データにより復号する（ステップＳ１３）。例えば、ライセンス確認装置１と制御部２の共通鍵により暗号化乱数Ｂが復号される。或いは、制御部２の公開鍵により乱数Ｂに対する署名検証がなされてもよい。なお、鍵データにより暗号化乱数Ｂが復号できなかった場合、エラー処理が行われる。次いで、制御部１３６（相互認証部１３６４）は、ステップＳ１３で復号された値（復号値）と、ステップＳ７で送信した乱数Ｂとが一致しているか否かを判定することで検証を行う（ステップＳ１４）。ステップＳ１３で復号された値と、ステップＳ７で送信した乱数Ｂとが一致している場合、制御部１３６（相互認証部１３６４）は、検証成功と判定し（ステップＳ１４：成功）、相互認証の成功を示す情報（相互認証成功情報）を送受信部１３３を介して制御部２へ送信する（ステップＳ１５）。つまり、制御部１３６（相互認証部１３６４）は、暗号化乱数Ｂの検証を行って当該検証が成功した場合に、相互認証成功情報を制御部２へ送信する。一方、ステップＳ１３で復号された値と、ステップＳ７で送信した乱数Ｂとが一致していない場合、制御部１３６（相互認証部１３６４）は、検証失敗と判定し（ステップＳ１４：失敗）、エラー処理（例えば、相互認証の失敗を示す情報を送信し、処理停止）を行う（ステップＳ１４ｅ）。こうして、ライセンス確認装置１が制御部２との間の相互認証が完了する。
【００４９】
次に、図７において、制御部２は、ライセンス確認装置１からの相互認証の成功を示す情報を受信すると、ライセンス確認要求（つまり、制御対象３に対する動作許否判定の実行要求）をライセンス確認装置１の制御部１３６（ユーザ認証部１３６２）へ送信する（ステップＳ１６）。なお、相互認証が失敗した場合、ライセンス確認要求はライセンス確認装置１へ送信されない。ライセンス確認装置１の制御部１３６は、制御部２からのライセンス確認要求を受信すると、ライセンス確認処理を開始する。なお、図６及び図７の例では、相互認証処理の完了後にライセンス確認処理が開始されるように構成されているが、相互認証処理とライセンス確認処理とは、例えばＯＳのマルチタスクにより並列的に実行されるように構成してもよい。この場合、制御部２は、上記ステップＳ４において、認証要求とともに、ライセンス確認要求をライセンス確認装置１へ送信する。なお、ライセンス確認処理の完了後に相互認証処理が開始されるように構成してもよい。
【００５０】
ライセンス確認処理が開始すると、制御部１３６（ユーザ認証部１３６２等）は、ユーザ認証処理を実行する（ステップＳ１７）。ユーザ認証処理において、制御部１３６（情報取得部１３６１）は、送受信部１３４を介してバイオメトリックセンサー１１へ起動信号を送信することで、バイオメトリックセンサー１１を起動させ、ユーザの指の腹がバイオメトリックセンサー１１の接触面に置かれることでバイオメトリックセンサー１１により取得された生体情報を送受信部１３４を介して取得（受信）する。次いで、制御部１３６（ユーザ認証部１３６２）は、取得した生体情報を用いてユーザ認証を行う。例えば、制御部１３６（ユーザ認証部１３６２）は、取得した生体情報が示す指紋と、データ記憶部１３２に記憶された照合データが示す指紋とを照合して双方の指紋における複数の特徴点が所定数以上一致しているか否かを判定する。そして、双方の指紋における複数の特徴点が所定数以上一致している場合、制御部１３６（ユーザ認証部１３６２）は、ユーザ認証成功と判定し、ユーザ認証成功を示す情報を記憶（例えば、ユーザ認証成功を示すフラグをオン（１）に設定）する。一方、双方の指紋における複数の特徴点が所定数以上一致していない場合、制御部１３６（ユーザ認証部１３６２）は、ユーザ認証失敗と判定し、ユーザ認証失敗を示す情報を記憶（例えば、ユーザ認証成功を示すフラグをオフ（０）に設定）する。
【００５１】
次いで、制御部１３６（状態判定部１３６３）は、ユーザ状態判定処理を実行する（ステップＳ１８）。ユーザ状態判定処理において、制御部１３６（情報取得部１３６１）は、送受信部１３５を介してアルコールセンサー１２へ起動信号を送信することで、アルコールセンサー１２を起動させ、アルコールセンサー１２の接触面にユーザの指の腹が置かれた状態でアルコールセンサー１２により検出された蛍光の強度を示す状態情報を送受信部１３５を介して取得（受信）する。次いで、制御部１３６（状態判定部１３６３）は、取得した状態情報を用いてユーザ状態判定を行う。例えば、制御部１３６（状態判定部１３６３）は、取得した状態情報が示す蛍光の強度が判定基準未満であるか否かを判定する。そして、制御部１３６（状態判定部１３６３）は、蛍光の強度が判定基準未満であると判定（つまり、ユーザ状態良好と判定）した場合、ユーザ状態良好を示す情報を記憶（例えば、ユーザ状態良好を示すフラグをオン（１）に設定）する。一方、制御部１３６（状態判定部１３６３）は、蛍光の強度が判定基準未満でないと判定した場合、ユーザ状態不良を示す情報を記憶（例えば、ユーザ状態良好を示すフラグをオフ（０）に設定）する。なお、上記ユーザ状態判定処理は、ユーザ認証処理の直前に実行されてもよい。
【００５２】
次いで、制御部１３６は、ユーザ認証成功で、且つ、ユーザ状態良好であるか否かを判定する（ステップＳ１９）。ステップＳ１７でユーザ認証成功と判定され（つまり、ユーザ認証成功を示す情報を記憶された）、且つ、ステップＳ１８でユーザ状態良好と判定された（つまり、ユーザ状態良好を示す情報を記憶された）か否かが判定される。制御部１３６は、ユーザ認証成功で、且つ、ユーザ状態良好であると判定した場合（ステップＳ１９：ＹＥＳ）、ライセンス有効を示すデータを記憶（ライセンス有効記録）する（ステップＳ２０）。一方、制御部１３６は、ユーザ認証失敗、またはユーザ状態良好でないと判定した場合（ステップＳ２０：ＮＯ）、ライセンス無効を示すデータを記憶（ライセンス無効記録）する（ステップＳ２１）。
【００５３】
次いで、制御部１３６（応答データ生成部１３６５）は、ステップＳ２０で記憶されたライセンス有効を示すデータまたはステップＳ２１で記憶されたライセンス無効を示すデータと、上記相互認証において用いられた乱数Ａ及び乱数Ｂとを、制御部２と共有する所定の計算式に代入することで、応答データを生成する（ステップＳ２２）。例えば、ライセンス有効を示すデータと乱数Ａと乱数Ｂとの排他的論理和が応答データとして生成される。ここで、ライセンス有効を示すデータと乱数Ａ（または乱数Ｂ）との排他的論理和が応答データとして生成されてもよい。
【００５４】
なお、相互認証処理とライセンス確認処理とが並列的に実行される場合、制御部２は、ライセンス確認装置１からステップＳ１５で送信された相互認証の成功を示す情報を受信したときに、ライセンス確認結果要求（つまり、動作許否判定結果要求）をライセンス確認装置１へ送信することで、制御部１３６は、この要求に応じて、ステップＳ２２の処理を行うことになる。この場合において、ライセンス確認結果要求が受信された時に、まだ、ライセンス有効を示すデータまたはライセンス無効を示すデータが記憶されていない場合、制御部１３６（応答データ生成部１３６５）は、ライセンス確認結果要求の待ち状態になり、ライセンス有効を示すデータまたはライセンス無効を示すデータが記憶された際に上記応答データが生成される。
【００５５】
次いで、制御部１３６（応答データ暗号化部１３６６）は、ステップＳ２２で生成された応答データを、上記相互認証において用いられた鍵データにより暗号化する（ステップＳ２３）。例えば、ライセンス確認装置１と制御部２の共通鍵により応答データが暗号化される。或いは、制御部２の公開鍵により応答データに対する署名検証がなされてもよい。次いで、制御部１３６（情報送信部１３６７）は、ステップＳ２３で暗号化された応答データを、上記相互認証が行われた制御部２へ送受信部１３３を介して送信する（ステップＳ２４）。つまり、制御部１３６（情報送信部１３６７）は、ライセンス確認結果要求に応じて、ステップＳ２３で暗号化された応答データを制御部２へ送信する。
【００５６】
制御部２は、ライセンス確認装置１からの暗号化された応答データを受信すると、受信された応答データを、上記相互認証において用いられた鍵データにより復号する（ステップＳ２５）。例えば、ライセンス確認装置１と制御部２の共通鍵により応答データが復号される。或いは、制御部２の秘密鍵により応答データに対して署名がなされてもよい。次いで、制御部２は、ステップＳ２５で復号された応答データに基づいて、ライセンス確認結果がライセンス有効を示すか否かを判定する（ステップＳ２６）。例えば、制御部２は、ライセンス確認装置１との間で予め決められたライセンス有効を示すデータと、上記相互認証において用いられた乱数Ａ及び乱数Ｂとを、ライセンス確認装置１と共有する所定の計算式に代入することで、確認用データを生成する。例えば、ライセンス有効を示すデータと乱数Ａと乱数Ｂとの排他的論理和が確認用データとして生成される。
【００５７】
そして、制御部２は、当該生成された確認用データと、ステップＳ２５で復号された応答データとが一致しているか否かを判定し、確認用データと応答データとが一致している場合、ライセンス確認結果がライセンス有効を示すと判定する（ステップＳ２６：ＹＥＳ）。この場合、制御部２は、制御対象３に対して駆動信号（つまり、動作許可信号）を送信する（ステップＳ２７）ことで制御対象３の動作を開始させる。例えば制御部２がエンジン制御部である場合、制御対象３に対してエンジン始動を示す始動信号（駆動信号の一例）を送信することでエンジンを始動させる。一方、例えば制御部２がステアリング制御部またはシフトレバー制御部である場合、制御対象３に対してロック解除信号（駆動信号の一例）を送信することでステアリングまたはシフトレバーのロックを解除させる。一方、例えば制御部２がゲートウェイ装置である場合、エンジン制御部には駆動信号を送信し、ステアリング制御部及びシフトレバー制御部にはロック解除信号（駆動信号の一例）を送信する。一方、制御部２が扉の施開錠を制御する施開錠制御部である場合、制御対象３に対して開錠信号（駆動信号の一例）を送信することで扉を開錠させる。
【００５８】
一方、ステップＳ２６において、生成された確認用データと応答データとが一致していない場合、制御部２は、ライセンス確認結果がライセンス有効を示さない（つまり、ライセンス無効を示す）と判定する（ステップＳ２６：ＮＯ）。この場合、制御部２は、制御対象３に対してロック信号（つまり、動作不許可信号）またはエラー信号を送信する（ステップＳ２８）ことで制御対象３の動作をロックさせる。例えば制御部２がエンジン制御部である場合、制御対象３に対して駆動信号を送信しない。一方、例えば制御部２がステアリング制御部またはシフトレバー制御部である場合、制御対象３に対してロック信号を送信することでステアリングまたはシフトレバーをロックさせる。一方、例えば制御部２がゲートウェイ装置である場合、ステアリング制御部及びシフトレバー制御部にはロック信号を送信する。一方、制御部２が扉の施開錠を制御する施開錠制御部である場合、制御対象３に対して開錠信号を送信しない。なお、制御部２が警報出力回路を制御する制御部である場合、制御対象３に対してエラー信号を送信することで警報出力させる。
【００５９】
以上説明したように、上記実施形態によれば、ライセンス確認装置１は、ユーザ認証部１３６２によるユーザ認証が成功し、且つ、状態判定部１３６３によりユーザ状態良好と判定され、且つ、相互認証部１３６４による相互認証が成功した場合、ライセンス有効を示すデータと、当該相互認証において用いられた相互認証用データとに基づいて応答データを生成し、生成された応答データを、上記相互認証において用いられた鍵データにより暗号化して上記相互認証が行われた制御部２へ送信するように構成したので、ユーザ認証とユーザ状態判定とを行う環境における機器のなりすましを効果的に防止することができる。すなわち、応答データは、セッション毎に変化する相互認証用データに基づき生成されるため、たとえ、ライセンス確認装置１と制御部２との間の伝送ルートからプローブによりデータ（信号）が抽出された場合であっても、そのデータがライセンス有効を示すのか或いはライセン無効を示すのかの解析を困難にさせることができる。従って、例えばライセンス確認装置１と制御部２との間の伝送ルートに不正の機器を接続して偽の駆動信号を制御部２に送信することを防ぎ、機器のなりすましを防止することができる。また、例えば、ライセンス確認装置１をＩＣカードとして車両内に装着して、エンジンの動作を制御するエンジン制御部等と通信を行うように構成すれば、ユーザ認証に用いられる照合用の照合データ（生体情報）は、ＩＣカード（データ記憶部１３２）に記憶されるので、従来技術のように車両内に残されることがなくなるため、プライバシー保護とセキュリティー向上の双方を実現することができる。
【００６０】
なお、上記実施形態においては、アルコールセンサー１２は、酵素発光式センサーを用いてアルコールの濃度に応じた蛍光を示す状態情報を取得するように構成したが、例えば特開２００８−３０８０３７号公報に開示されるように酸化すずによる半導体式のガスセンサ（半導体式センサー）を用いることで、アルコールの濃度に応じた「酸化すずの抵抗値」を状態情報として取得するように構成してもよい。この場合、状態判定部１３６３は、アルコールセンサー１２により取得された状態情報が示す抵抗値が、データ記憶部１３２に予め記憶された判定基準データが示す閾値未満であれば、ユーザの身体の状態が予め設定された基準を満たすと判定（つまり、ユーザ状態良好と判定）する。また、アルコールセンサー１２として、酵素発光式センサーや半導体式センサー以外に、電気化学式センサーを用いることで、アルコールの濃度に応じた「電流値」を状態情報として取得するように構成してもよい。この電気化学式センサーは、プラチナ選択触媒電極を有し、この電極においてアルコールは電気化学的に酸化させられ電極電流が生じる。ユーザから生じるアルコールの濃度が多いと、電極電流値が大きくなる。電気化学式センサーは、酵素発光式センサーに比べて寿命が長く、高温耐性が高いこと、また、半導体式センサーに比べて検出対象となるガスの選別精度が高く、動作が安定するまでの運転時間が短いこと、などのメリットがある。電気化学式センサーを用いる場合、状態判定部１３６３は、アルコールセンサー１２の接触面１２Ｘへの接触が検知された指から得られた状態情報であって、アルコールセンサー１２により取得された状態情報が示す電極電流値が、データ記憶部１３２に予め記憶された判定基準データが示す閾値未満であれば、ユーザの身体の状態が予め設定された基準を満たすと判定（つまり、ユーザ状態良好と判定）する。
【００６１】
また、上記実施形態においては、ユーザの身体の状態を示す状態情報として、アルコール成分の濃度を例にとって説明したが、例えば特開２００９−１６８６７１号公報に開示される基質（脱水素酵素の基質）成分の濃度としてもよい。この場合、状態情報取得センサーは、当該成分の濃度を示す状態情報を取得し、当該状態情報をセキュアエレメント１３へ送信する。そして、状態判定部１３６３は、上記成分の濃度が、データ記憶部１３２に予め記憶された判定基準データが示す閾値未満であれば、ユーザの身体の状態が予め設定された基準を満たすと判定（つまり、ユーザ状態良好と判定）する。或いは、ユーザの身体の状態を示す状態情報の他の例としてユーザの脈拍数としてもよい。この場合、状態情報取得センサーは、ユーザの脈拍数を示す状態情報を取得し、当該状態情報をセキュアエレメント１３へ送信する。そして、状態判定部１３６３は、ユーザの脈拍数が、データ記憶部１３２に予め記憶された判定基準データが示す閾値未満であれば、ユーザの身体の状態が予め設定された基準を満たすと判定（つまり、ユーザ状態良好と判定）する。ユーザの身体の状態を示す状態情報は、ユーザの体温としてもよい。この場合、状態情報取得センサーは、ユーザの体温を示す状態情報を取得し、当該状態情報をセキュアエレメント１３へ送信する。そして、状態判定部１３６３は、上記体温が、データ記憶部１３２に予め記憶された判定基準データが示す閾値未満であれば、ユーザの身体の状態が予め設定された基準を満たすと判定（つまり、ユーザ状態良好と判定）する。
【００６２】
また、上記実施形態においては、バイオメトリックセンサー１１は、ユーザの指紋を生体情報として取得するように構成したが、当該ユーザの掌における紋（掌紋）を生体情報として取得するように構成してもよい。この場合、ユーザ認証部１３６２は、バイオメトリックセンサー１１により取得された生体情報が示す掌紋と、データ記憶部１３２に記憶された照合データが示す掌紋とを照合して双方の掌紋における複数の特徴点が所定数以上一致している場合、ユーザ認証成功と判定する。
【００６３】
或いは、バイオメトリックセンサー１１は、ユーザの掌または指における血管（静脈）パターン（画像）を生体情報として取得するように構成してもよい。この場合、バイオメトリックセンサー１１は、赤外線発光部及び血管撮像部を備え、赤外線発光部により赤外線が掌または指に照射された状態で当該指を撮像部により撮像することで血管パターン（画像）を生体情報として取得する。そして、ユーザ認証部１３６２は、バイオメトリックセンサー１１により取得された生体情報が示す血管パターンと、データ記憶部１３２に記憶された照合データが示す血管パターンとを照合して双方の血管パターンにおける複数の特徴点が所定数以上一致している場合、ユーザ認証成功と判定する。或いは、バイオメトリックセンサー１１は、ユーザの顔を撮影して生体情報として取得するように構成してもよい。そして、ユーザ認証部１３６２は、バイオメトリックセンサー１１により取得された生体情報が示す顔画像と、データ記憶部１３２に記憶された照合データが示す顔画像とを照合して双方の顔画像における複数の特徴点が所定数以上一致している場合、ユーザ認証成功と判定する。
【００６４】
また、上記実施形態においては、ライセンス確認装置１と制御部２との間で相互認証が行われるように構成したが、相互認証に代えて片側認証（つまり、ライセンス確認装置１と制御部２との何れか一方の認証）が行われるように構成してもよい。例えば、この場合、ライセンス確認装置１の装置認証手段は、データ記憶部１３２に記憶された鍵データと、制御部２との間の１又は複数回のセッションにおいて１回の頻度で変化する認証用データとを用いて当該制御部２との間で片側認証を行う。
【符号の説明】
【００６５】
１  ライセンス確認装置
２  制御部
３  制御対象
１１  バイオメトリックセンサー
１２  アルコールセンサー
１３  セキュアエレメント
１２１  絶縁樹脂材
１２２  光透過性樹脂材
１２３  脱水素酵素膜材
１２４  紫外線発光ダイオード
１２５  フォトセンサー
１３１  プログラム記憶部
１３２  データ記憶部
１３３〜１３５  送受信部
１３６  制御部
１３６１  情報取得部
１３６２  ユーザ認証部
１３６３  状態判定部
１３６４  相互認証部
１３６５  応答データ生成部
１３６６  応答データ暗号化部
１３６７  情報送信部
【図１】
2019040323.tif 000003
【図２】
2019040323.tif 000004
【図３】
2019040323.tif 000005
【図４】
2019040323.tif 000006
【図５】
2019040323.tif 000007
【図６】
2019040323.tif 000008
【図７】
2019040323.tif 000009