JP2018018324A - Ｉｃカードおよび携帯可能電子装置 - Google Patents

Abstract

【課題】 セキュリティ性が高い個人認証を実現できるＩＣカード及び携帯可能電子装置を提供する。
【解決手段】 実施形態によれば、ＩＣカードは、通信部と、記憶部と、制御部とを有する。通信部は、外部装置と通信する。記憶部は、複数種類の生体認証方式に対応する登録者の複数の生体認証データを記憶する。制御部は、前記外部装置から認証を要求するコマンドを受信した場合、前記複数種類の生体認証方式から少なくとも１つの生体認証方式をランダムに選出し、選出した生体認証方式を用いて生体認証を実行する。
【選択図】図１

Description

本発明の実施形態は、ＩＣカードおよび携帯可能電子装置に関する。

生体認証には、指紋、静脈、虹彩、声紋、顔、筆跡等の様々な方式が存在する。ＩＣカードには、何れかの方式の生体認証データを保持し、生体認証により個人認証を行うものがある。例えば、キャッシュカードなどのＩＣカードを用いて金融取引を行うＡＴＭでは、静脈認証を行うものもある。しかしながら、特定の生体情報による生体認証は、以下のようなリスクが考えられる。
（１）一時的なけがなどで、特定の生体認証方式による認証が不可となることがある。
（２）様々な複製の技術によって、本人がその場にいなくても複製データによって生体認証が成功してしまう事例がある。
（３）脅しなどによって本人の意思と関係なく認証させられ、本人にも危害がおよぶ可能性がある。
（４）生体情報は、各個人に固有な情報であるため、変更することができない。このため、一度でも不正に認証が成功した生体情報は再び不正利用される危険性が高くなる。
上述のようなリスクを軽減することによってセキュリティ性が高い生体認証を実現できるＩＣカードが望まれている。

特開２０１０−１１７９７１号公報

上記の課題を解決するために、本発明は、セキュリティ性が高い個人認証を実現できるＩＣカードおよび携帯可能電子装置を提供する。

実施形態によれば、ＩＣカードは、通信部と、記憶部と、制御部とを有する。通信部は、外部装置と通信する。記憶部は、複数種類の生体認証方式に対応する登録者の複数の生体認証データを記憶する。制御部は、前記外部装置から認証を要求するコマンドを受信した場合、前記複数種類の生体認証方式から少なくとも１つの生体認証方式をランダムに選出し、選出した生体認証方式を用いて生体認証を実行する。

図１は、実施形態に係るＩＣカードの第１の構成例を示す図である。 図２は、実施形態に係るＩＣカードの第２の構成例を示す図である。 図３は、実施形態に係るＩＣカード処理システムの構成例を示す図である。 図４は、実施形態に係るＩＣカードの不揮発性メモリに記憶するデータの例を示す図である。 図５は、実施形態に係るＩＣカードによる第１の認証手順を含む第１の取引処理を説明するためのフローチャートである。 図６は、実施形態に係るＩＣカードによる第１の認証手順を含む第１の取引処理を説明するためのフローチャートである。 図７は、実施形態に係るＩＣカードに対する外部装置としてのＡＴＭによる第１の取引処理を説明するためのフローチャートである。 図８は、実施形態に係るＩＣカードに対する外部装置としてのＡＴＭによる第１の取引処理を説明するためのフローチャートである。 図９は、実施形態に係るＩＣカード処理システムによる第１の取引処理における通常モードでの処理例としての第１の動作例を示すシーケンスである。 図１０は、実施形態に係るＩＣカードシステムによる第１の取引処理における制限モードでの処理例としての第２の動作例を示すシーケンスである。 図１１は、実施形態に係るＩＣカードによる第２の認証手順を含む第２の取引処理を説明するためのフローチャートである。 図１２は、実施形態に係るＩＣカードに対する外部装置としてのＡＴＭによる第２の取引処理を説明するためのフローチャートである。 図１３は、実施形態に係るＩＣカード処理システムによる第２の取引処理における通常モードでの処理例としての第３の動作例を示すシーケンスである。 図１４は、実施形態に係るＩＣカード処理システムによる第２の取引処理における制限モードでの処理例としての第４の動作例を示すシーケンスである。 図１５は、実施形態に係るＩＣカードによる第３の認証手順を含む第３の取引処理を説明するためのフローチャートである。 図１６は、実施形態に係るＩＣカードによる第３の認証手順を含む第３の取引処理を説明するためのフローチャートである。 図１７は、実施形態に係るＩＣカードに対する外部装置としてのＡＴＭによる第３の取引処理を説明するためのフローチャートである。 図１８は、実施形態に係るＩＣカードに対する外部装置としてのＡＴＭによる第３の取引処理を説明するためのフローチャートである。 図１９は、実施形態に係るＩＣカード処理システムによる第３の取引処理における緊急モードでの処理例としての第５の動作例を示すシーケンスである。

以下、実施形態について、図面を参照しつつ説明する。
図１は、実施形態に係るＩＣカード１の第１の構成例を概略的に示すブロック図である。
実施形態に係るＩＣカード（携帯可能電子装置）１は、ＩＣカード処理装置としての外部装置２と共にＩＣカード処理システムを構成する。外部装置２は、個人認証が必要な処理を行う装置である。ＩＣカード処理システムとしては、生体認証により個人認証を行うシステムであれば何でも良い。例えば、ＩＣカード処理システムは、現金の入出金や振り込みなどの金融取引を行う取引処理システムなどが想定される。本実施形態に係るＩＣカード処理システムが取引処理システムに適用される場合、ＩＣカード１は、キャッシュカード或はクレジットカードとして利用される携帯可能電子装置であり、外部装置２は、ＩＣカード１を用いて取引を行う自動取引装置（ＡＴＭ）であっても良い。また、本実施形態に係る処理システムは、入退出を管理する入退出管理システム、商品の購入代金を精算するためのＰＯＳシステム、車や建物などのキーを開閉する錠制御システムなどに適用するようにしても良い。

ＩＣカード１は、外部装置２から供給される電力により活性化する（動作可能な状態になる）携帯可能な電子機器である。ＩＣカード１は、スマートカードとも称される。ＩＣカード１は、大別すると、接触型のＩＣカードと非接触型のＩＣカードとがある。例えば、接触型のＩＣカード１は、通信インターフェースとしてのコンタクト部を介して外部装置２からの動作電源及び動作クロックの供給を受けて活性化する。非接触型のＩＣカード１は、通信インターフェースとしてのアンテナ及び変復調回路などを介して外部装置２からの電波を受信し、その電波から動作電源及び動作クロックを生成して活性化する。

図１に示すように、ＩＣカード１は、本体Ｃを有する。本体Ｃは、プラスチックなどによりカード状に形成される。ＩＣカード１は、本体Ｃ内にモジュールＭを有する。モジュールＭは、１つまたは複数のＩＣチップＣａと通信用の外部インターフェース（インターフェース）とが接続された状態で一体的に形成され、本体Ｃ内に埋設される。また、ＩＣカード１のモジュールＭは、図１に示すように、プロセッサ１１、ＲＯＭ１２、ＲＡＭ１３、不揮発性メモリ１４、通信制御部１５及びインターフェース１６などを有する。

プロセッサ１１は、種々の処理を実行する回路を含む。プロセッサ１１は、例えば、ＣＰＵ（Central Processing Unit）である。プロセッサ１１は、ＩＣカード１全体の制御を司る。プロセッサ１１は、ＲＯＭ１２あるいは不揮発性メモリ１４に記憶されているプログラムを実行することにより、種々の処理機能を実現する。ただし、後述するプロセッサ１１が実行する各種の機能のうちの一部又は全部は、ハードウエア回路により実現されるようにしても良い。

ＲＯＭ１２は、プログラムメモリとして機能する不揮発性のメモリである。ＲＯＭ１２は、予め制御用のプログラムおよび制御データなどが記憶される。ＲＯＭ１２は、製造段階で制御プログラムや制御データなどが記憶された状態でＩＣカード１内に組み込まれるものである。つまり、ＲＯＭ１２に記憶される制御プログラムや制御データは、予め当該ＩＣカード１の仕様に応じて組み込まれる。たとえば、ＲＯＭ１２には、外部装置２から受信するコマンドに応じた処理をプロセッサ１１が実行するためのプログラムが記憶される。

ＲＡＭ１３は、ワーキングメモリとして機能する揮発性のメモリである。また、ＲＡＭ１３は、プロセッサ１１が処理中のデータなどを一時保管するバッファとしても機能する。例えば、ＲＡＭ１３は、通信制御部１５及びインターフェース１６を介して外部装置２との間で送受信するデータを一時保管する通信バッファとして機能する。

不揮発性メモリ１４は、データの書き込み及び書換えが可能な不揮発性のメモリである。不揮発性メモリ１４は、例えば、ＥＥＰＲＯＭ（登録商標）（Electrically Erasable Programmable Read Only Memory）あるいはフラッシュＲＯＭなどで構成する。不揮発性メモリ１４には、当該ＩＣカード１の運用用途に応じたプログラムや種々のデータが書込まれる。不揮発性メモリ１４には、プログラムファイルあるいはデータファイルなどが定義され、それらのファイルに制御プログラムや種々のデータが書き込まれる。例えば、不揮発性メモリ１４は、各種の認証用のデータ、ユーザデータ、あるいは、認証処理用のプログラムなどのアプリケーションプログラムなどを記憶する。また、不揮発性メモリ１４は、外部のネットワークと通信するためのネットワーク認証用のデータなども記憶する。また、不揮発性メモリ１４は、一部または全部の領域が耐タンパー性を有し、セキュアにデータが格納できる。

通信制御部１５は、インターフェース１６に接続する。インターフェース１６は、外部装置に通信接続するためのインターフェースである。通信制御部１５及びインターフェース１６は、通信部を構成する。通信制御部１５及びインターフェース１６は、外部装置２のインターフェースに対応した通信方式による通信機能を実現する。また、通信制御部１５及びインターフェース１６は、複数の通信方式（例えば、接触通信と非接触通信）をサポートするものとして構成しても良い。

当該ＩＣカード１が接触型のＩＣカードとして実現される場合、通信制御部１５及びインターフェース１６は、外部装置２と接触して通信する通信部を構成する。この場合、インターフェース１６は、外部装置２のカードリーダライタに設けられたコンタクト部と物理的かつ電気的に接触するコンタクト部により構成され、通信制御部１５は、コンタクト部を介した信号の送受信を制御する回路などにより構成される。

また、当該ＩＣカード１が非接触型のＩＣカードとして実現される場合、通信制御部１５及びインターフェース１６は、外部装置２のカードリーダライタと非接触（無線）で通信する通信部を構成する。この場合、インターフェース１６は、電波の送受信を行うアンテナにより構成され、通信制御部１５は、送信する電波を生成するための変調回路及び受信した電波から信号を生成するための復調回路などにより構成される。

図２は、実施形態に係るＩＣカードの第２の構成例を概略的に示すブロック図である。
第２の構成例としてのＩＣカード（携帯可能電子装置）１´は、図１に示す第１の構成例のＩＣカード１に、人物の指紋を読み取るための指紋センサ１７をさらに設けたものである。指紋センサ１７は、ＩＣカードが実行可能な複数の生体認証のうちの１つの生体認証に用いる１つの生体情報としての指紋を読み取るものであり、生体情報を取得する生体情報取得部として機能する。

また、ＩＣカード１´のプロセッサ１１は、不揮発性メモリ１４に記憶するプログラムを実行することにより、指紋センサ１７が読み取った画像から指紋画像を取得する機能、指紋センサ１７が読み取った画像から取得した指紋画像により指紋認証を実行する機能も有する。
なお、ＩＣカード１´における指紋センサ１７以外の構成は、第１の構成例と同様なもので実現できるため、詳細な説明は省略する。また、本実施形態に係るＩＣカードは、図２に示すような指紋センサを具備するものに限定されるものではなく、指紋以外の生体情報を取得する生体情報取得部を具備するものであっても良い。

次に、ＩＣカード処理装置としての外部装置２の構成について説明する。
図３は、実施形態に係るＩＣカード処理装置としての外部装置２の構成例を概略的に示すブロック図である。
図３に示す構成例において、外部装置２は、制御部２１、表示部２２、操作部２３、処理部２４、カードリーダライタ２５、カメラ２６、指紋センサ２７、および静脈センサ２８などを有する。

制御部２１は、各種の処理及び制御を行うものであり、例えば、パーソナルコンピュータ（ＰＣ）で構成する。制御部２１には、表示部２２、操作部２３、処理部２４、カードリーダライタ２５、カメラ２６、指紋センサ２７、および静脈センサ２８などが接続される。図３に示す構成例において、制御部２１は、プロセッサ（ＣＰＵ）３１、ＲＯＭ３２、ＲＡＭ３３、不揮発性メモリ３４、通信部３５、Ｉ／Ｆ３６、およびＩ／Ｆ３７などにより構成される。

プロセッサ３１は、例えば、ＣＰＵである。プロセッサ３１は、プログラムを実行することにより種々の処理を実行する。ＲＯＭ３２は、プログラムや制御データなどを記憶する不揮発性のメモリである。ＲＡＭ３３は、データを一時的に保持するワーキングメモリとして機能する不揮発性メモリ３４は、書換え可能な不揮発性のメモリである。これらの構成によって、制御部２１は、プロセッサ３１が、ＲＡＭ３３を用いてＲＯＭ３２又は不揮発性メモリ３４が記憶するプログラムを実行することにより種々の処理を実現する。

また、通信部３５は、外部の機器と通信するための通信インターフェースである。Ｉ／Ｆ３６は、カードリーダライタ２５を接続するためのインターフェースである。Ｉ／Ｆ３７は、各種の生体情報を取得するための生体情報取得部を接続するためのインターフェースである。図３に示す例では、Ｉ／Ｆ３７には、カメラ２６、指紋センサ２７、および静脈センサ２８が接続される。

例えば、制御部２１は、カードリーダライタ２５によりＩＣカード１へコマンドを送信する機能、ＩＣカード１から受信したデータを基に種々の処理を行う機能などを有する。たとえば、制御部２１は、カードリーダライタ２５を介してＩＣカード１にデータの書き込みコマンドを送信することによりＩＣカード１内の不揮発性メモリにデータを書き込む制御を行う。また、制御部２１は、ＩＣカード１に読み取りコマンドを送信することによりＩＣカード１からデータを読み出す制御を行う。

また、制御部２１は、複数のアプリケーションを実行する機能を有する。制御部２１が実行するアプリケーションは、ＩＣカード１による認証が必要なものを含む。また、制御部２１は、通信部２９を介して通信可能な外部のネットワーク上の外部装置と通信する機能を有する。制御部２１は、外部装置からの要求に応じてＩＣカード１から取得する情報（例えば、後述する認証状態情報など）を通信部２９により送信する機能なども有する。

表示部２２は、制御部２１の制御により種々の情報を表示する表示装置である。操作部２３は、タッチパネル、キーボード、テンキー、ポインティングデバイスなどにより構成する。操作部２３は、操作者が操作指示を入力するためのものである。例えば、外部装置２がＡＴＭである場合、利用者は、操作部としてのタッチパネルにより表示部２２に表示された操作ボタン等への操作指示を入力する。処理部２４は、制御部２１による制御に応じて処理を実行する。例えば、外部装置２がＡＴＭである場合、処理部２４は、現金の入出金処理を行う入出金処理部としても良い。

カードリーダライタ２５は、ＩＣカード１との通信を行うためのインターフェース装置である。カードリーダライタ２５は、ＩＣカード１の通信方式に応じたインターフェースにより構成される。たとえば、ＩＣカード１が接触型のＩＣカードである場合、カードリーダライタ２５は、ＩＣカード１のコンタクト部と物理的かつ電気的に接続するための接触部などにより構成される。また、ＩＣカード１が非接触型のＩＣカードである場合、カードリーダライタ２５は、ＩＣカード１との無線通信を行うためのアンテナおよび通信制御などにより構成される。カードリーダライタ２５は、ＩＣカード１に対して、電源供給、クロック供給、リセット制御、データの送受信を行う。カードリーダライタ２５は、制御部２１による制御に基づいてＩＣカード１の活性化（起動）、種々のコマンドの送信、及び送信したコマンドに対する応答の受信などを行う。

カメラ２６、指紋センサ２７、および静脈センサ２８は、操作者（人物）から生体情報を取得するための生体情報取得部である。カメラ２６は、生体情報を含む画像を取得する。例えば、カメラ２６は、生体情報の１つとして、人物の顔画像を取得する顔画像取得部として機能する。また、カメラ２６は、生体情報の１つとして、人物の目における虹彩画像を取得する虹彩取得部としても機能する。指紋センサ２７は、生体情報の１つとして、人物の指における指紋画像を取得する指紋取得部として機能する。静脈センサ２８は、生体情報の１つとして、人物の掌における静脈パターンを取得する静脈パターン取得部として機能する。

なお、外部装置２が具備する生体情報取得部は、カメラ２６、指紋センサ２７、および静脈センサ２８に限定されるものではなく、生体認証として用いる生体情報を取得するものであれば良い。例えば、生体認証の１つとして声紋による生体認証を実行する場合、外部装置２は、利用者の声を取得するマイクなどが生体情報取得部として設けられる。また、図２に示す第２の構成例のように、ＩＣカード１´が指紋センサ（生体情報取得部）を有する構成を前提する場合、外部装置２は、指紋センサを具備しなくても良い。

次に、実施形態に係るＩＣカード１が保持する生体認証に用いるデータについて説明する。
図４は、ＩＣカード１の不揮発性メモリ１４に記憶する生体認証に用いるデータの例を示す図である。
図４に示すように、ＩＣカード１は、生体認証を実行するための制御コード（生体認証用プログラム）４１と、各種の生体認証に対応する生体認証データ（第１生体認証データ、第２生体認証データ、…）４２（４２ａ、４２ｂ、…）と、を不揮発性メモリ１４に記憶する。なお、制御コードは、更新が不要であれば、ＲＯＭ１２に記憶するようにしても良い。

制御コード４１は、プロセッサ１１が複数種類の生体情報を用いた生体認証処理を実行するための生体認証用プログラムである。制御コード４１は、各種の生体情報による各種の生体認証を行うプログラムを含む。さらに、制御コード４１は、乱数を生成する機能を実現するためのプログラム、乱数により生体認証方式を選定するためのプログラム、認証結果に応じた応答を外部装置２へ返すためのプログラムなどを含む。プロセッサ１１が制御コード４１としてのプログラムを実行することにより実現する生体認証処理などの機能については、後で詳細に説明する。

生体認証データ４２（４２ａ、４２ｂ、…）は、当該ＩＣカード１、１´の所有者が登録する照合用の生体認証データ（登録者の生体情報）である。本実施形態においては、複数種類の生体情報による生体認証が実行できることを前提としているため、ＩＣカード１の不揮発性メモリ１４には、生体認証データ４２として複数種類の生体認証データが登録される。

例えば、生体認証方式として、顔画像、指紋、虹彩、静脈パターンによる４種類の生体認証が実行できることを前提とする場合、第１生体認証データとして、所有者の照合用の指紋画像（又は指紋の特徴データ）が登録され、第２生体認証データとして、所有者の照合用の顔画像（又は顔の特徴データ）が登録され、第３生体認証データとして、所有者の照合用の虹彩パターン（又は虹彩パターンの特徴データ）が登録され、第４生体認証データとして、所有者の照合用の静脈パターン（又は静脈パターンの特徴データ）が登録されるようにしても良い。

また、１つの種類の生体情報であっても、１人の登録者に対して複数の生体認証データを登録しても良い。例えば、指紋の生体認証データとしては、１人の登録者に対して１０本の指ごとに指紋データ（例えば指紋画像）を登録して良い。また、虹彩の生体認証データとしては、１人の登録者に対して右目の虹彩データと左目の虹彩データとを登録しても良い。また、掌の静脈パターンの生体認証データとしては、１人の登録者に対して右手の静脈パターンデータと左手の静脈パターンデータとを登録しても良い。さらに、顔画像の生体認証データとしては、１人の登録者に対して複数種類の状態（片目を瞑る、両目を瞑る、口を開くなど）の顔画像データを登録しても良い。

次に、本実施形態に係るＩＣカード１における生体認証を用いた取引処理の例について説明する。
以下に説明する各取引処理においては、外部装置２は、ＩＣカード１を用いて入出金及び振込などの金融取引を行うＡＴＭであるものとする。また、ＩＣカード１は、ＡＴＭ（外部装置）２からの認証要求に対して複数の生体認証方式を用いた生体認証を実行するものとする。

まず、第１の認証手順を含む第１の取引処理について説明する。
図５及び図６は、ＩＣカード１における第１の認証手順を含む第１の取引処理の例を説明するためのフローチャートである。また、図６は、ＩＣカード１による第１の認証手順に対応したＡＴＭ（外部装置）２における第１の取引処理の例を説明するためのフローチャートである。
まず、ＩＣカード１は、外部装置２としてのＡＴＭからの電源供給を受けて起動する。起動したＩＣカード１のプロセッサ１１は、通信制御部１５及びインターフェース１６を介してＡＴＭ２からのコマンドを受信し、受信したコマンドに応じた処理を実行する。ここで、ＡＴＭ２から認証コマンドを受信すると（Ｓ１１１、ＹＥＳ）、プロセッサ１１は、受信した認証コマンドに応じた認証処理を行う。ここでは、ＩＣカード１のプロセッサ１１は、生体認証用プログラムを起動させて、認証コマンドに応じて生体認証を実行するものとする。

第１の取引処理における第１の認証手順として、ＩＣカード１のプロセッサ１１は、複数の生体認証方式のうち実行する生体認証方式（第１の生体認証方式）を選定する処理を行う。プロセッサ１１は、ランダムに１つの生体認証方式を選定するため、乱数を生成する（Ｓ１１２）。乱数を生成すると、プロセッサ１１は、生成した乱数に基づいて第１の生体認証方式を選定する（Ｓ１１３）。生体認証方式の選定は、ランダムに任意の生体認証方式を選定できるものであれば良い。

例えば、ＩＣカード１は、指紋、顔画像、虹彩、静脈パターンによる４つの生体認証方式による生体認証が実行できるものとする。これら４つの生体認証方式に識別番号として「０」〜「３」を設定する場合、プロセッサ１１は、生成した乱数を４で割った余りの数に基づいて生体認証方式を選定するようにしても良い。具体例として、生成した乱数を４で割った余りが０である場合、指紋が識別番号「０」に設定されていれば、プロセッサ１１は、生体認証方式として指紋による生体認証を選定する。なお、生体認証方式の選定は、上述の選定方法に限定されるものではない。

１つの生体認証方式を選定すると、プロセッサ１１は、認証コマンドに対する外部装置２へのレスポンスとして生体認証方式（第１の生体認証方式）の選定結果（又は第１の生体情報の要求）を送信する（Ｓ１１４）。第１の生体認証方式の選定結果を送信した後、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から第１の生体認証方式に対応する生体情報（第１の生体情報）を受信する（Ｓ１１５）。
例えば、第１の生体認証方式として「指紋」による生体認証を選定した場合、プロセッサ１１は、認証対象者の第１の生体情報としての指紋画像をＡＴＭ２へ要求する。ＡＴＭ２は、ＩＣカード１からの第１の生体認証方式の選定結果に応じて、認証対象者から第１の生体情報としての指紋画像を取得する。ＡＴＭ２は、認証対象者から取得した第１の生体情報としての指紋画像をＩＣカード１へ送信する。ＩＣカード１は、ＡＴＭ２からの第１の生体情報としての指紋画像を受信する。

なお、選定した生体認証方式に対応する生体情報をＩＣカード１自身が取得可能な構成である場合、プロセッサ１１は、Ｓ１１４及びＳ１１５の処理に替えて認証対象者から選定した生体認証方式に対応する生体情報を取得する処理を実行する。例えば、図２に示すような指紋センサ１７を有するＩＣカード１´であれば、プロセッサ１１は、「指紋」による生体認証方式を選定した場合には、指紋センサ１７により認証対象者の指紋画像を取得する処理を実行する。

第１の生体情報を受信（又は取得）すると、プロセッサ１１は、受信した第１の生体情報と不揮発性メモリ１４に記憶している第１の生体情報とを照合する第１の生体認証方式による認証処理を行う（Ｓ１１６）。第１の生体認証方式による認証に成功した場合（Ｓ１１７、ＹＥＳ）、プロセッサ１１は、第１の生体認証方式による認証が成功したことを外部装置２としてのＡＴＭへ通知する（Ｓ１１８）。認証が成功した場合、プロセッサ１１は、ＡＴＭ２における通常の動作モードによる取引処理に応じた処理を実行する（Ｓ１１９）。

また、第１の生体認証方式による認証に失敗した場合（Ｓ１１７、ＮＯ）、プロセッサ１１は、第１の生体認証方式による認証が失敗したことを外部装置２としてのＡＴＭへ通知する（Ｓ１２１）。認証が失敗した場合、プロセッサ１１は、ＡＴＭ２からの再度の認証要求（第２の認証要求）を受け付ける（Ｓ１２２）。ここで、ＡＴＭ２から第２の認証要求がない場合（Ｓ１２２、ＮＯ）、プロセッサ１１は、処理を終了する。

ＡＴＭ２から第２の認証要求を受信した場合（Ｓ１２２、ＹＥＳ）、プロセッサ１１は、再び乱数（第２の乱数）を生成する（Ｓ１２３）。第２の乱数を生成すると、プロセッサ１１は、生成した第２の乱数に基づいて第２の生体認証方式を選定する（Ｓ１２４）。第２の生体認証方式の選定は、特定の法則によって生体認証方式を選定するもので無ければよい。具体例として、指紋、顔画像、虹彩、静脈パターンの４つの生体認証方式に識別番号「０」〜「３」を設定する場合、プロセッサ１１は、第２の乱数を４で割った余りが２である場合、識別番号「２」の虹彩による生体認証を第２の生体認証方式として選定するようにしても良い。

なお、第２の生体認証方式の選定は、上述の選定方法に限定されるものではない。例えば、第２の生体認証方式の選定は、上述した第１の生体認証方式の選定と同様に、単純に選択可能な生体認証方式から１つの生体認証方式を選定するものであっても良いし、第１の生体認証方式を除く他の生体認証方式から第２の生体認証方式を選定するものであっても良い。ただし、後者の場合であっても、プロセッサ１１は、第２の乱数に基づいて第１の生体認証方式以外の生体認証方式からランダムに選定するものとする。

第２の生体認証方式を選定すると、プロセッサ１１は、認証コマンドに対する外部装置２へのレスポンスとして第２の生体認証方式の選定結果（又は第２の生体情報の要求）を送信する（Ｓ１２５）。第２の生体認証方式の選定結果を送信した後、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から第２の生体認証方式に対応する生体情報（第２の生体情報）を受信する（Ｓ１２６）。
例えば、第２の生体認証方式として「虹彩」による生体認証を選定した場合、プロセッサ１１は、認証対象者の第２の生体情報としての虹彩画像をＡＴＭ２へ要求する。ＡＴＭ２は、ＩＣカード１からの第２の生体認証方式の選定結果に応じて、認証対象者から第２の生体情報としての虹彩画像を取得する。ＡＴＭ２は、認証対象者から取得した第２の生体情報としての虹彩画像をＩＣカード１へ送信する。ＩＣカード１は、ＡＴＭ２からの第２の生体情報を受信する。

なお、選定した第２の生体認証方式に対応する第２の生体情報をＩＣカード１自身が取得可能な構成である場合、プロセッサ１１は、Ｓ１２５及びＳ１２６の処理に替えて認証対象者から第２の生体情報を取得する処理を実行する。例えば、図２に示すような指紋センサ１７を有するＩＣカード１´において、プロセッサ１１が、第２の生体認証方式として「指紋」による生体認証方式を選定した場合には、指紋センサ１７により認証対象者の指紋画像を取得する処理を実行する。

第２の生体情報を受信（又は取得）すると、プロセッサ１１は、受信した第２の生体情報と不揮発性メモリ１４に記憶している第２の生体情報とを照合する第２の生体認証方式による認証処理（第２の認証処理）を行う（Ｓ１２７）。第２の生体認証方式による第２の認証に失敗した場合（Ｓ１２８、ＮＯ）、プロセッサ１１は、第２の生体認証方式による第２の認証が失敗したことをＡＴＭ２へ通知する（Ｓ１２９）。第２の認証が失敗した場合、プロセッサ１１は、処理を終了する。

また、第２の生体認証方式による第２の認証に成功した場合（Ｓ１２８、ＹＥＳ）、プロセッサ１１は、第２の生体認証方式による第２の認証が成功したことを外部装置２としてのＡＴＭへ通知する（Ｓ１３０）。第１の生体認証方式による認証（第１の認証）に失敗した後に第２の認証が成功した場合、ＡＴＭ２は、所定の制限範囲内での取引を可能とする制限モードでの取引処理を実行するものとする。この場合、ＩＣカード１のプロセッサ１１は、ＡＴＭ２における制限モードによる取引処理に応じた処理を実行する（Ｓ１３１）。

次に、上述したＩＣカード１における第１の認証手順に対応したＡＴＭ２による第１の取引処理について説明する。
図７及び図８は、ＩＣカード１による第１の認証手順に対応したＡＴＭ（外部装置）２における第１の取引処理の例を説明するためのフローチャートである。
ＡＴＭ２は、利用者が所持する取引処理に用いるキャッシュカードなどのＩＣカードを受け付ける。利用者がＩＣカードをカードリーダライタ２５に提示すると、ＡＴＭ２の制御部２１は、カードリーダライタ２５を介してＩＣカードに電力を供給する。さらに、ＡＴＭ２の制御部２１は、操作部２３による利用者からの操作指示を受け付ける。利用者がＩＣカード１による認証が必要な取引処理の開始を操作部２３に指示した場合（Ｓ１５１、ＹＥＳ）、制御部２１は、利用者の認証を行うため、カードリーダライタ２５により認証コマンドをＩＣカード１へ送信する（Ｓ１５２）。

認証コマンドを受信したＩＣカード１では、上述いた第１の認証手順によって第１の生体認証方式を選定し、選定した第１の生体認証方式を示すレスポンス（又は第１の生体情報を要求するレスポンス）をＡＴＭ２へ送信する。これにより、ＡＴＭ２の制御部２１は、ＩＣカード１からの第１の生体認証方式を示すレスポンスを受信する（Ｓ１５３）。第１の生体認証方式を示すレスポンスを受信すると、制御部２１は、利用者に第１の生体情報の入力案内を行う。制御部２１は、第１の生体情報の入力案内と共に、第１の生体情報を取得する生体情報取得部を用いて、利用者（認証対象者）から第１の生体情報を取得する（Ｓ１５４）。第１の生体情報を取得すると、制御部２１は、取得した第１の生体情報（第１の生体情報を含む認証コマンド）をＩＣカード１へ送信する（Ｓ１５５）。

具体例として、第１の生体認証方式を「指紋」とする旨のレスポンスをＩＣカード１から受信した場合、ＡＴＭ２の制御部２１は、指紋の入力案内を表示部２２に表示するとともに指紋センサ２７を点滅させることにより、利用者に対して指紋の入力を案内する。指紋の入力案内を行うとともに、制御部２１は、指紋センサ２７による指紋の読み取りを実行する。指紋センサ２７により利用者の指紋画像を読み取ると、制御部２１は、読み取った指紋画像を含む指紋認証コマンドをＩＣカード１へ送信する。

なお、第１の生体情報をＩＣカード１自身が取得可能な構成である場合、ＩＣカード１において第１の生体情報の取得及び第１の生体情報による認証（第１の認証）が実行されるため、Ｓ１５３、Ｓ１５４及びＳ１５５の処理は省略される。例えば、図２に示すような指紋センサ１７を有するＩＣカード１´がＳ１５２で送信する認証コマンドに対して第１の認証による認証結果をレスポンスとして送信する場合、ＡＴＭ２の制御部２１は、Ｓ１５３、Ｓ１５４及びＳ１５５の処理を省略して第１の認証結果をＩＣカード１´から受信するようにして良い。

第１の生体情報を送信した後、制御部２１は、ＩＣカード１からの認証結果の受信待ちとなり、ＩＣカード１からの第１の生体情報による第１の認証の結果を示すレスポンスを受信する（Ｓ１５６）。ＩＣカード１からのレスポンスを受信すると、制御部２１は、受信したレスポンスに基づいてＩＣカード１における第１の認証が成功したか否かを判断する（Ｓ１５７）。ＩＣカード１から第１の認証が成功したことを示すレスポンスを受信した場合（Ｓ１５７、ＹＥＳ）、制御部２１は、第１の認証が成功した利用者に対する通常の取引モードによる取引処理を実行する（Ｓ１５８）。

また、ＩＣカード１から第１の認証が失敗したことを示すレスポンスを受信した場合（Ｓ１５７、ＮＯ）、制御部２１は、第２の生体認証方式による第２の認証を実行するか否かの案内を表示部２２に表示する（Ｓ１６０）。第２の認証を実行するか否かの案内を表示した場合、制御部２１は、利用者による操作部２３における第２の認証を実行するか否かの指示を受け付ける。第２の認証を実行する旨の指示が無かった場合（Ｓ１６１、ＮＯ）、制御部２１は、一連の取引処理を終了する。

また、第２の認証を実行する旨の指示があった場合（Ｓ１６１、ＹＥＳ）、制御部２１は、第２の認証を要求する認証コマンド（第２の認証コマンド）を送信する（Ｓ１６２）。第２の認証コマンドを受信したＩＣカード１では、上述した第１の認証手順によって第２の生体認証方式を選定し、選定した第２の生体認証方式を示すレスポンス（又は第２の生体情報を要求するレスポンス）をＡＴＭ２へ送信する。これにより、ＡＴＭ２の制御部２１は、ＩＣカード１からの第２の生体認証方式を示すレスポンスを受信する（Ｓ１６３）。

第２の生体認証方式を示すレスポンスを受信すると、制御部２１は、利用者に第２の生体情報を入力させるための案内を行う。制御部２１は、第２の生体情報の入力案内と共に、第２の生体情報を取得するための生体情報取得部を用いて、利用者（認証対象者）から第２の生体情報を取得する（Ｓ１６４）。第２の生体情報を取得すると、制御部２１は、取得した第２の生体情報（第２の生体情報を含む認証コマンド）をＩＣカード１へ送信する（Ｓ１６５）。

具体例として、ＩＣカード１から第２の生体認証方式を「虹彩」とする旨のレスポンスを受信した場合、ＡＴＭ２の制御部２１は、目をカメラ２６の撮影方向へ向けるようなガイダンスなどを表示部２２に表示し、利用者に虹彩の入力を案内する。虹彩の入力案内を行うとともに、制御部２１は、カメラ２６による利用者の虹彩の読み取りを実行する。カメラ２６による利用者の虹彩の読み取ると、制御部２１は、読み取った虹彩データを含む虹彩認証コマンドをＩＣカード１へ送信する。

なお、第２の生体情報をＩＣカード１自身が取得可能な構成である場合、ＩＣカード１において第２の生体情報の取得及び第２の生体情報による認証（第２の認証）が実行されるため、Ｓ１６３、Ｓ１６４及びＳ１６５の処理は省略される。例えば、図２に示すような指紋センサ１７を有するＩＣカード１´は、第２の認証が指紋による認証であれば、Ｓ１６２の認証コマンドに対するレスポンスとして第２認証の結果をＡＴＭ２へ送信する。この場合、ＡＴＭ２の制御部２１は、Ｓ１６３、Ｓ１６４及びＳ１６５の処理を省略して第２の認証の結果をＩＣカード１´から受信する。

第２の生体情報を送信した後、制御部２１は、ＩＣカード１からの認証結果の受信待ちとなり、ＩＣカード１からの第２の生体情報に対する第２の認証の結果を示すレスポンスを受信する（Ｓ１６６）。ＩＣカード１からのレスポンスを受信すると、制御部２１は、受信したレスポンスに基づいてＩＣカード１における第２の認証が成功したか否かを判断する（Ｓ１６７）。ＩＣカード１から第２の認証が失敗したことを示すレスポンスを受信した場合（Ｓ１６７、ＮＯ）、制御部２１は、取引不可である旨を表示部２２に表示し（Ｓ１６８）、一連の取引処理を終了する。

また、ＩＣカード１から第２の認証が成功したことを示すレスポンスを受信した場合（Ｓ１６７、ＹＥＳ）、制御部２１は、第２の認証が成功した利用者に対する制限モードによる取引処理を実行する（Ｓ１６９）。制限モードは、第１の認証に失敗した利用者を対象として所定の制限（例えば、取引限度額を通常モードよりも低く制限）内での取引を可能とするものである。これにより、第１の認証に失敗した場合であっても、第２の認証に成功すれば、利用者は、制限範囲内での取引処理が実行可能となる。
次に、ＩＣカード処理システムによる第１の取引処理の処理例について説明する。
図９は、ＩＣカード処理システムによる第１の取引処理における通常モードでの処理としての第１の動作例を示すシーケンスである。図９に示す処理例は、第１の取引処理において最初の生体認証が成功した場合の処理の流れを具体例として説明するものである。
利用者は、自身が所持するＩＣカード１を外部装置としてのＡＴＭ２に挿入する（Ａ１）。ＡＴＭ２の制御部２１は、利用者が挿入するＩＣカード１を受付けると、当該ＩＣカード１に対して認証要求を供給する（Ａ２）。
ＡＴＭ２からの認証要求を受けたＩＣカード１のプロセッサ１１は、乱数を生成し、生成した乱数に応じて生体認証方式（第１の生体認証方式）を選定する（Ａ３）。生体認証方式を選定すると、ＩＣカード１のプロセッサ１１は、選定した生体認証方式をＡＴＭ２に通知する（Ａ４）。例えば、ＩＣカード１のプロセッサ１１は、指紋認証を選定した場合、生体認証方式として指紋認証を選定した旨をＡＴＭ２へ通知する。
ＩＣカード１が選定した生体認証方式の通知を受けた場合、ＡＴＭ２の制御部２１は、ＩＣカード１が選定した生体認証方式に用いる生体情報の入力を利用者に対して案内する（Ａ５）。また、ＡＴＭ２の制御部２１は、生体情報の入力案内と共に、当該生体情報に応じた生体情報取得部（例えば、カメラ２６、指紋センサ２７、静脈センサ２８）による生体情報の入力を受付け、生体情報取得部によって生体情報を取得する（Ａ６）。ＡＴＭ２の制御部２１は、生体情報取得部によって利用者から生体情報を取得すると、取得した生体情報をＩＣカード１へ送信する（Ａ７）。
例えば、ＩＣカード１が選定した生体認証方式が指紋認証である場合、ＡＴＭ２の制御部２１は、指紋センサ２７に指を翳す旨の案内を表示部２２に表示し、指紋センサ２７での指紋の読取りを開始する。指紋センサ２７によって利用者の指紋を読み取ると、ＡＴＭ２の制御部２１は、読み取った指紋の情報（例えば、指紋画像）をＩＣカード１へ送信する。
ＩＣカード１のプロセッサ１１は、ＡＴＭ２から生体情報を受信すると、受信した生体情報による生体認証処理を実行する（Ａ８）。例えば、指紋認証を選択した場合、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から照合対象とする生体情報としての指紋の情報を受信する。ＡＴＭ２から利用者の指紋の情報を受信すると、ＩＣカード１のプロセッサ１１は、受信した指紋の情報とＩＣカード１内に記憶している指紋の情報（登録者の生体情報）との照合による生体認証処理を実行する。生体認証処理の結果が得られると、ＩＣカード１は、生体認証処理の結果をＡＴＭ２へ通知する。ここで、図９に示す処理例では、生体認証処理による認証が成功したものとする。生体認証処理による認証が成功した場合、ＩＣカード１のプロセッサ１１は、認証が成功した旨の通知をＡＴＭ２へ送信する（Ａ９）。
ＡＴＭ２の制御部２１は、ＩＣカード１から認証が成功した旨の通知を受信すると、当該ＩＣカード１による通常モードでの取引を許可する。通常モードでの取引を許可すると、ＡＴＭ２の制御部２１は、通常モードで実施可能な取引から実行する取引を選択するための通常取引メニューを表示部２２に表示する（Ａ１０）。通常取引メニューを表示部２２に表示した状態において、ＡＴＭ２の制御部２１は、操作部２３を用いた利用者からの取引内容の選択指示（取引指示）を受付ける（Ａ１１）。ＡＴＭ２が利用者からの取引指示を受付けた後、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、利用者が選択した取引（取引シーケンス）を実行する。
図１０は、ＩＣカード処理システムによる第１の取引処理における制限モードでの処理例としての第２の動作例を示すシーケンスである。図１０に示す処理例は、第１の取引処理において第１の生体情報による認証が失敗した後に第２の生体情報による認証が成功した場合の処理（制限モードでの取引処理）の流れを具体例として説明するものである。
図１０に示すシーケンスにおいて、利用者がＩＣカード１をＡＴＭ２に挿入してから認証処理を実行するまでの処理（Ｂ１−Ｂ８）は、図９に示すＡ１−Ａ８の処理と同様である。このため、Ｂ１〜Ｂ８の処理については詳細な説明を省略するものとする。ここで、ＩＣカード１が最初に選択した生体認証方式（第１の生成認証方式）による生体認証処理を第１の生体認証処理とする。また、図１０に示す処理例では、第１の生体認証処理による認証が失敗したものとする。第１の生体認証処理による認証が失敗した場合、ＩＣカード１のプロセッサ１１は、認証が失敗した旨の通知をＡＴＭ２へ送信する（Ｂ９）。
ＩＣカード１から第１の生体認証処理による認証が失敗した旨の通知を受信すると、ＡＴＭ２の制御部２１は、別の生体情報による認証（第２の生体認証処理）を実行するかを利用者に問い合わせる（Ｂ１０）。例えば、ＡＴＭ２の制御部２１は、第１の生体認証方式（図１０に示す例では、指紋）による認証が失敗したため、別の生体情報（第２の生体情報）での認証を行うか否かを利用者に選択させるための選択案内を表示部２２に表示する。さらに、ＡＴＭ２の制御部２１は、上述の選択案内と共に、第２の生体情報で認証できた場合であっても制限モードでの取引となる旨の案内（例えば、通常モードと比べて制限される取引内容を示す案内など）を表示部２２に表示するようにしても良い。
ＡＴＭ２の制御部２１は、選択案内を表示した状態において操作部２３による選択指示を受付ける。ここで、利用者が別の生体情報による認証（第２の生体認証処理）の実行を指示したものとする。利用者が第２の生体認証処理の実行を指示した場合（Ｂ１１）、ＡＴＭ２の制御部２１は、当該ＩＣカード１に対して第１の生体認証方式以外の生体認証方式（第２の生体認証方式）での認証要求を供給する（Ｂ１２）。
ＡＴＭ２から第２の生体認証方式での認証要求を受けた場合、ＩＣカード１のプロセッサ１１は、乱数を生成し、生成した乱数に応じて第１の生体認証方式以外の実施可能な生体認証方式の中から第２の生体認証方式を選定する（Ｂ１３）。第２の生体認証方式を選定すると、ＩＣカード１のプロセッサ１１は、選定した第２の生体認証方式をＡＴＭ２に通知する（Ｂ１４）。例えば、ＩＣカード１のプロセッサ１１は、第１の生体認証方式としての指紋以外の第２の生体認証方式として虹彩による認証を選定した場合、第２の生体認証方式として虹彩認証を選定した旨をＡＴＭ２へ通知する。
ＩＣカード１が選定した第２の生体認証方式の通知を受けた場合、ＡＴＭ２の制御部２１は、ＩＣカード１が選定した第２の生体認証方式に用いる生体情報（第２の生体情報）の入力を利用者に対して案内する（Ｂ１５）。また、ＡＴＭ２の制御部２１は、第２の生体情報の入力案内と共に、第２の生体情報に応じた生体情報取得部（例えば、虹彩である場合はカメラ２６）による生体情報の入力を受付ける（Ｂ１６）。ＡＴＭ２の制御部２１は、利用者から第２の生体情報を取得すると、取得した第２の生体情報をＩＣカード１へ送信する（Ｂ１７）。
例えば、ＩＣカード１が選定した第２の生体認証方式が虹彩認証である場合、ＡＴＭ２の制御部２１は、カメラ２６に目を読み取らせる旨の案内を表示し、カメラ２６での虹彩の読取りを実行する。カメラ２６により利用者の指紋を読み取ると、ＡＴＭ２の制御部２１は、読み取った虹彩の情報（虹彩画像）をＩＣカード１へ送信する。
ＩＣカード１のプロセッサ１１は、ＡＴＭ２から第２の生体情報を受信すると、受信した第２の生体情報による第２の生体認証処理を実行する（Ｂ１８）。例えば、第２の生体情報が虹彩である場合、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から照合対象とする生体情報としての虹彩の情報を受信する。ＡＴＭ２から利用者の虹彩の情報を受信すると、ＩＣカード１のプロセッサ１１は、受信した虹彩の情報とＩＣカード１内に記憶している虹彩の情報（登録者の生体情報）との照合による生体認証処理（第２の生体認証処理）を実行する。第２の生体認証処理による認証の結果が得られると、ＩＣカード１は、認証の結果をＡＴＭ２へ通知する。図１０に示す処理例では、第２の生体認証処理が成功したものとする。第２の生体認証処理が成功した場合、ＩＣカード１のプロセッサ１１は、認証が成功した旨の通知をＡＴＭ２へ送信する（Ｂ１９）。
ＡＴＭ２の制御部２１は、ＩＣカード１から第２の生体認証処理による認証が成功した旨の通知を受信すると、当該ＩＣカード１による制限モードでの取引を許可する。ＡＴＭ２の制御部２１は、制限モードでは通常モードで実施可能な取引のうち一部を実施不可とする。また、制限モードでは、取引額の上限を制限しても良い。制限モードでの取引において、ＡＴＭ２のフロセッサ３１は、制限モードで実施可能な取引から実行する取引を選択するための制限取引メニューを表示部２２に表示する（Ｂ２０）。制限取引メニューを表示部２２に表示した状態において、ＡＴＭ２の制御部２１は、操作部２３を用いた利用者からの取引内容の選択指示（取引指示）を受付ける（Ｂ２１）。ＡＴＭ２が利用者からの取引指示を受けると、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、利用者が選択した取引の処理（取引シーケンス）を実行する。

上記のように、第１の取引処理に係るＩＣカードは、複数種類の生体認証方式に対応する登録者の複数の生体認証データをメモリに記憶しておき、認証処理ごとに発生させる乱数に基づいてランダムに実行する生体認証方式を選出し、選出した生体認証方式による認証結果を外部装置へ通知する。外部装置では、ＩＣカードでのランダムに選出した生体認証方式による認証が成功すれば取引処理を実行する。

これにより、第１の取引処理によれば、認証に用いる生体認証方式がランダムに選出されるため、第３者が不正に認証できてしまうリスクを軽減できる。例えば、第３者が他者の生体認証データを複製して外部装置で取引処理を実行するには、ランダムに選出する可能性がある複数の生体認証方式に対応した複数の生体情報の複製データを用意する必要があるため、不正な第３者による認証による不正な取引のリスクが軽減できる。

また、上記した第１の取引処理に係るＩＣカードは、ランダムに選出した第１の生体認証方式による第１の認証に失敗した場合、再度ランダムに選出する第２の生体認証方式による第２の認証を行い、第２の認証の結果を外部装置へ通知する。外部装置では、ＩＣカードでの第１の認証に成功した場合には通常モードでの取引処理を実行し、ＩＣカードでの第１の認証に失敗して第２の認証に成功した場合には、制限モードでの取引処理を実行する。

このような第１の取引処理によれば、怪我などで本人であっても特定の生体認証方式では認証できない状態において、第１の生体認証方式での認証に失敗しても、第２の生体認証方式での認証に成功すれば制限モードでの取引処理を行える。この結果として、例えば、手を負傷している人物であっても、虹彩や顔などの手以外の部位での生体認証方式で生体認証に成功する可能性が高いため、制御モードでの取引処理ができる可能性が高く、利便性が高い。

次に、ＩＣカードによる第２の認証手順を含む第２の取引処理について説明する。
図１１は、ＩＣカード１における第２の認証手順を含む第２の取引処理の例を説明するためのフローチャートである。
まず、ＩＣカード１は、外部装置２からの電源供給を受けて起動する。外部装置２から認証コマンドを受信すると（Ｓ２１１、ＹＥＳ）、プロセッサ１１は、受信した認証コマンドに応じて第２の認証手順による認証処理を行う。ここでは、ＩＣカード１のプロセッサ１１は、生体認証用プログラムを起動させて、第２の認証手順による認証を実行するものとする。第２の認証手順において、ＩＣカード１のプロセッサ１１は、複数の生体認証方式のうち実行する複数の生体認証方式をランダムに選定する。ここでは、プロセッサ１１は、２種類の生体認証方式を選定するものとして説明する。

プロセッサ１１は、ランダムに２種類の生体認証方式を選定するため、乱数を生成する（Ｓ２１２）。乱数を生成すると、プロセッサ１１は、生成した乱数に基づいて２種類の生体認証方式を選定する（Ｓ２１３）。２種類の生体認証方式の選定は、ランダムに任意の生体認証方式を選定できるものであれば良い。例えば、４種類の認証方式から重複しない２種類を選ぶ組み合わせは、４Ｃ２＝６通りある。このため、実行可能な生体認証方式が４種類である場合、プロセッサ１１は、生成した乱数に基づいて６通りの組合せから１つの組合せを選定するようにしても良い。

具体例としては、６通りの組合せにそれぞれ識別番号「０」〜「５」を付与しておき、生成した乱数を６で割った余りの数に応じて１つの組合せを選定しても良い。例えば、第１の組合せ（識別番号「０」）は指紋と静脈、第２の組合せ（識別番号「１」）は指紋と虹彩、第３の組合せ（識別番号「２」）は指紋と顔照合、第４の組合せ（識別番号「３」）は静脈と虹彩、第５の組合せ（識別番号「４」）は静脈と顔照合、第６の組合せ（識別番号「５」）は虹彩と顔照合とする。この場合、生成した乱数を６で割った余りが０であれば、プロセッサ１１は、識別番号が「０」の第１の組合せ（指紋認証と静脈認証）を選定する。第１の組合せを選定した場合、プロセッサ１１は、認証コマンドに対するレスポンスに２種類の生体認証方式が「指紋認証」と「静脈認証」とであることを示す情報を付加してＡＴＭ２へ送信する。

２種類の生体認証方式を選定すると、プロセッサ１１は、認証コマンドに対するＡＴＭ２へのレスポンスとして２種類の生体認証方式（第１及び第２の生体認証方式）の選定結果（又は、第１及び第２の生体情報の要求）を送信する（Ｓ２１４）。２種類の生体認証方式の選定結果を送信した後、ＩＣカード１のプロセッサ１１は、認証対象者（利用者）から取得した第１の生体認証方式に対応する第１の生体情報と第２の生体認証方式に対応する第２の生体情報とをＡＴＭ２から受信する（Ｓ２１５）。例えば、ＩＣカード１は、第１の生体情報と第２の生体情報とを含む第１及び第２の生体認証方式による認証を要求する認証コマンドをＡＴＭ２から受信する。

第１の生体情報と第２の生体情報とを受信すると、プロセッサ１１は、第１の生体情報を用いた第１の生体認証方式による認証処理と第２の生体情報を用いた第２の生体認証方式による認証処理とをそれぞれ実行する（Ｓ２１６）。例えば、第１の生体情報としての「指紋」データと第２の生体情報としての「静脈」データとを受信した場合、プロセッサ１１は、指紋認証と静脈認証とを実行する。プロセッサ１１は、受信した認証対象者の指紋データと不揮発メモリ１４に記憶している登録者の指紋データを照合する。また、プロセッサ１１は、静脈認証として、ＡＴＭ２から受信した静脈データと不揮発性メモリ１４に記憶（登録）している登録者の静脈データを照合する。

第１及び第２の生体認証方式による認証処理を実行すると、プロセッサ１１は、第１の生体認証方式による認証結果と第２の生体認証方式による認証結果とを示すレスポンスをＡＴＭ２へ送信する。全ての認証（２種類の生体認証の両方）が成功した場合（Ｓ２１７、ＹＥＳ）、プロセッサ１１は、第１及び第２の生体認証方式による認証が共に成功したことをＡＴＭ２へ通知する（Ｓ２１８）。全ての認証が成功した場合、ＡＴＭ２は、利用者の認証が完全に成功したものとして、通常モードでの取引処理を実行する。これに対して、ＩＣカード１のプロセッサ１１は、ＡＴＭ２における通常モードによる取引処理に応じた処理を実行する（Ｓ２１９）。

また、一部の認証（一方の生体認証方式による認証）に成功し、その他の認証（他方の生体認証方式による認証）に失敗した場合（Ｓ２２０、ＹＥＳ）、プロセッサ１１は、一部の認証に成功した旨のレスポンスをＡＴＭ２へ送信する（Ｓ２２１）。一方の認証が成功し、他方の認証が失敗した場合、ＡＴＭ２は、利用者の認証が一部成功したものとして、制限モードでの取引処理を実行する。これに対して、ＩＣカード１のプロセッサ１１は、ＡＴＭ２における制限モードによる取引処理に応じた処理を実行する（Ｓ２２２）。

また、全ての認証（２種類の生体認証の両方）が失敗した場合（Ｓ２２０、ＮＯ）、プロセッサ１１は、第１及び第２の生体認証方式による認証が共に失敗したことをＡＴＭ２へ通知する（Ｓ２２３）。全ての認証が失敗した場合、ＡＴＭ２は、利用者の認証が完全に失敗したものとして取引処理を終了する。

次に、上述したＩＣカード１における第２の認証手順による認証処理に対応したＡＴＭ２での第２の取引処理について説明する。
図１２は、ＩＣカード１による第２の認証手順に対応したＡＴＭ（外部装置）２における第２の取引処理の例を説明するためのフローチャートである。
利用者がＩＣカード１をＡＴＭ２のカードリーダライタ２５に提示すると、ＡＴＭ２の制御部２１は、カードリーダライタ２５を介してＩＣカード１に電力を供給し、操作部２３による利用者からの操作指示を受け付ける。利用者がＩＣカード１による認証が必要な取引処理の開始を操作部２３にて指示した場合（Ｓ２５１、ＹＥＳ）、制御部２１は、利用者の認証を行うため、カードリーダライタ２５により利用者の認証を要求する認証コマンドをＩＣカード１へ送信する（Ｓ２５２）。

認証コマンドを受信したＩＣカード１では、上述した第２の認証手順によって２種類の生体認証方式（第１及び第２の生体認証方式）を選定し、選定した第１及び第２の生体認証方式を示すレスポンス（又は第１及び第２の生体情報を要求するレスポンス）をＡＴＭ２へ送信する。これにより、ＡＴＭ２の制御部２１は、ＩＣカード１からの第１及び第２の生体認証方式を示すレスポンスを受信する（Ｓ２５３）。

第１及び第２の生体認証方式を示すレスポンスを受信すると、制御部２１は、利用者に対して第１の生体情報と第２の生体情報の入力案内を行う。制御部２１は、第１の生体情報の入力を案内しつつ利用者（認証対象者）から第１の生体情報を取得し、第２の生体情報の入力を案内しつつ利用者から第２の生体情報を取得する（Ｓ２５４）。第１及び第２の生体情報を取得すると、制御部２１は、取得した第１及び第２の生体情報（第１及び第２の生体情報を含む認証コマンド）をＩＣカード１へ送信する（Ｓ２５５）
具体例として、第１の生体認証方式を「指紋」と第２の生体認証方式を「静脈パターン」とする旨のレスポンスをＩＣカード１から受信した場合、ＡＴＭ２の制御部２１は、利用者からの「指紋」の取得処理と「静脈パターン」の取得処理とを実行する。「指紋」の取得処理と「静脈パターン」の取得処理とは、所定の順序で実行するようにしても良いし、任意の順序で実行させるようにしても良い。

指紋の取得処理としては、制御部２１は、指紋の入力案内を表示部２２に表示する共に指紋センサ２７を点滅させることにより指紋入力を案内し、指紋の入力案内を行いつつ指紋センサ２７による利用者の指紋の読み取りを実行する。また、静脈パターンの取得処理としては、制御部２１は、静脈の入力案内を表示部２２に表示する共に静脈センサ２８を点滅させることにより静脈パターンの入力を案内し、静脈パターンの入力案内を行いつつ静脈センサ２８による静脈パターンの読み取りを実行する。指紋センサ２７及び静脈センサ２８により指紋画像及び静脈パターンを取得すると、制御部２１は、取得した指紋画像と静脈パターンとを含む認証コマンドをＩＣカード１へ送信する。

なお、何れかの生体情報をＩＣカード１自身が取得可能な構成である場合、ＩＣカード自身が取得可能な生体情報の取得は、ＡＴＭ２で実行する必要はない。すなわち、ＩＣカード１自身が取得可能な生体情報による生体認証方式を選定した場合、プロセッサ１１は、当該生体認証方式を外部装置へ通知することなく、ＩＣカード内で生体情報の取得と生体認証とを実行し、実行した認証結果を外部装置へ応答すれば良い。

利用者から取得した第１及び第２の生体情報をＩＣカード１へ送信した後、制御部２１は、ＩＣカード１からの認証結果の受信待ちとなり、ＩＣカード１からの第１及び第２の生体認証方式による認証の結果を示すレスポンスを受信する（Ｓ２５６）。ＩＣカード１からのレスポンスを受信すると、制御部２１は、受信したレスポンスに基づいてＩＣカード１における第１及び第２の生体認証方式による２つの認証の結果が、両方とも成功したか、片方のみ成功したか、両方とも失敗したかを判断する（Ｓ２５７、Ｓ２５９）。ＩＣカード１から両方の認証が成功したことを示すレスポンスを受信すると（Ｓ２５７、ＹＥＳ）、制御部２１は、両方の認証が成功した当該利用者に対する通常の取引モードによる取引処理を実行する（Ｓ２５８）。
また、ＩＣカード１から両方の生体認証が失敗したことを示すレスポンスを受信すると（Ｓ２５９、ＮＯ）、制御部２１は、取引処理が不可である旨を表示部２２に表示し（Ｓ２６１）、一連の取引処理を終了する。

また、ＩＣカード１から片方の生体認証が成功（一方の生体認証が成功し、他方の生体認証が失敗）したことを示すレスポンスを受信すると（Ｓ２５９、ＹＥＳ）、制御部２１は、片方の認証が成功した利用者に対する制限モードによる取引処理を実行する（Ｓ２６０）。制限モードは、片方の生体認証に成功した利用者を対象として所定の制限（例えば、取引限度額を通常モードよりも低く制限）内での取引を可能とするものである。これにより、一方の生体認証だけに成功した利用者であっても、制限範囲内での取引処理が実行可能となる。なお、運用形態によっては、何れか一方の生体認証が成功すれば、通常モードでの取引処理をできるようにしても良いし、両方の生体認証が成功しなければ、全ての取引をできないようにしても良い。
次に、ＩＣカード処理システムによる第２の取引処理の処理例について説明する。
図１３は、ＩＣカード処理システムによる第２の取引処理における通常モードでの処理例としての第３の動作例を示すシーケンスである。図１３に示す処理例は、第２の取引処理において、２種類の生体認証が共に成功した場合の処理の流れを具体例として説明するものである。
利用者は、自身が所持するＩＣカード１を外部装置としてのＡＴＭ２に挿入する（Ｃ１）。ＡＴＭ２の制御部２１は、利用者が挿入するＩＣカード１を受付けると、当該ＩＣカード１に対して認証要求を供給する（Ｃ２）。
ＡＴＭ２からの認証要求を受けたＩＣカード１のプロセッサ１１は、２種類の生体認証を実行するため、ランダムに２種類の生体認証方式を選定する。すなわち、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から認証要求を受信すると、乱数を生成し、生成した乱数に応じて２種類の生体認証方式（第１及び第２の生体認証方式）を選定する（Ｃ３）。２種類の生体認証方式を選定すると、ＩＣカード１のプロセッサ１１は、選定した２種類の生体認証方式（第１及び第２の生体認証方式）をＡＴＭ２に通知する（Ｃ４）。例えば、ＩＣカード１のプロセッサ１１は、指紋認証と静脈認証とを選定した場合、２種類の生体認証方式として指紋認証と静脈認証とを選定した旨をＡＴＭ２へ通知する。
ＩＣカード１が選定した２種類の生体認証方式の通知を受けた場合、ＡＴＭ２の制御部２１は、ＩＣカード１が選定した２種類の生体認証方式のうち第１の生体認証方式に用いる第１の生体情報の入力を利用者に対して案内する（Ｃ５）。この第１の生体情報の入力案内と共に、ＡＴＭ２の制御部２１は、第１の生体情報に応じた生体情報取得部による第１の生体情報の入力を受付けて、利用者から第１の生体情報を取得する（Ｃ６）。例えば、ＩＣカード１が選定した第１の生体認証方式が指紋認証である場合、ＡＴＭ２の制御部２１は、指紋センサ２７に指を翳す旨の案内を表示部２２に表示し、指紋センサ２７での指紋の読取りを開始する。これにより、ＡＴＭ２の制御部２１は、指紋センサ２７によって利用者の指紋を読み取る（第１の生体情報を取得する）。利用者から読み取った指紋の情報（例えば、指紋画像）は、一時的にＲＡＭ３３などに保持される。
第１の生体情報を取得すると、ＡＴＭ２の制御部２１は、ＩＣカード１が選定した第２の生体認証方式に用いる第２の生体情報の入力を利用者に対して案内する（Ｃ７）。この第２の生体情報の入力案内と共に、ＡＴＭ２の制御部２１は、第２の生体情報に応じた生体情報取得部による第２の生体情報の入力を受付けて、利用者から第２の生体情報を取得する（Ｃ８）。例えば、ＩＣカード１が選定した第２の生体認証方式が静脈認証である場合、ＡＴＭ２の制御部２１は、静脈センサ２８に掌を翳す旨の案内を表示部２２に表示し、静脈センサ２８による掌の静脈（静脈パターン）の読取りを開始する。これにより、ＡＴＭ２の制御部２１は、静脈センサ２８によって利用者の掌の静脈パターンを読み取る（第２の生体情報を取得する）。利用者から読み取った静脈パターンの情報は、一時的にＲＡＭ３３などに保持される。
第１及び第２の生体情報を取得すると、ＡＴＭ２の制御部２１は、取得した２種類の生体情報（第１及び第２の生体情報）をＩＣカード１へ送信する（Ｃ９）。なお、ＡＴＭ２の制御部２１は、第１の生体情報を取得する処理（Ｃ５及びＣ６の処理）と第２の生体情報を取得する処理（Ｃ７及びＣ８の処理）とは並行して実施しても良い。また、ＡＴＭ２の制御部２１は、第１の生体情報と第２の生体情報とをそれぞれ順番にＩＣカード１へ送信するようにしても良い。
ＡＴＭ２から２種類の生体情報を受信すると、ＩＣカード１のプロセッサ１１は、受信した２種類の生体情報による２種類の生体認証処理を実行する（Ｃ１０）。例えば、指紋認証と静脈認証とを選定した場合、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から受信する照合対象とする指紋の情報（第１の生体情報）とＩＣカード１内に記憶している登録者の指紋の情報（登録情報）との照合による第１の生体認証処理を実行する。この第１の生体認証処理と共に、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から受信する照合対象とする静脈パターンの情報（第２の生体情報）とＩＣカード１内に記憶している登録者の静脈パターンの情報（登録情報）との照合による第２の生体認証処理を実行する。
第１及び第２の生体認証処理の結果が得られると、ＩＣカード１のプロセッサ１１は、第１及び第２の生体認証処理の結果をＡＴＭ２へ通知する。図１３に示す処理例では、第１及び第２の生体認証処理が両方とも成功したものとする。第１及び第２の生体認証処理による第１及び第２の認証が成功した場合、ＩＣカード１のプロセッサ１１は、第１及び第２の認証が成功した旨の通知をＡＴＭ２へ送信する（Ｃ１１）。
ＡＴＭ２の制御部２１は、ＩＣカード１から第１及び第２の認証が成功した旨の通知を受信すると、当該ＩＣカード１による通常モードでの取引を許可する。通常モードでの取引を許可すると、ＡＴＭ２の制御部２１は、通常モードで実施可能な取引から実行する取引を選択するための通常取引メニューを表示部２２に表示する（Ｃ１２）。通常取引メニューを表示部２２に表示した状態において、ＡＴＭ２の制御部２１は、操作部２３を用いた利用者からの取引内容の選択指示（取引指示）を受付ける（Ｃ１３）。ＡＴＭ２が利用者からの取引指示を受付けた後、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、利用者が選択した取引（取引シーケンス）を実行する。
図１４は、ＩＣカード処理システムによる第２の取引処理における制限モードでの処理例としての第４の動作例を示すシーケンスである。図１４に示す処理例は、第２の取引処理において、２種類の生体認証処理のうち一方での認証が成功し、他方での認証が失敗した場合の処理の流れを具体例として説明するものである。
図１４に示すシーケンスにおいて、利用者がＩＣカード１をＡＴＭ２に挿入してから２種類の生体認証処理を実行するまでの処理（Ｄ１−Ｄ１０）は、図１３に示すＣ１−Ｃ１０の処理と同様である。このため、Ｄ１〜Ｄ１０の処理については詳細な説明を省略するものとする。ここで、図１４に示す処理例では、第１の生体認証処理（例えば、指紋による生体認証処理）による第１の認証が成功し、かつ、第２の生体認証処理（例えば、静脈による生体認証処理）による第２の認証が失敗したものとする。この場合、ＩＣカード１のプロセッサ１１は、第１の認証が成功し、かつ、第２の認証が失敗した旨の通知をＡＴＭ２へ送信する（Ｄ１１）。例えば、指紋認証が成功し、静脈認証が失敗した場合、ＩＣカード１のプロセッサ１１は、指紋認証が成功し、かつ、静脈認証が失敗した旨の通知をＡＴＭ２へ送信する。
ＡＴＭ２の制御部２１は、ＩＣカード１から第１の認証が成功し、かつ、第２の認証が失敗した旨の通知を受信すると、当該ＩＣカード１による制限モードでの取引を許可する。ＡＴＭ２の制御部２１は、制限モードでは通常モードで実施可能な取引のうち一部を実施不可としたり、取引額の上限を制限したりする。制限モードでの取引において、ＡＴＭ２のフロセッサ３１は、制限モードで実施可能な取引から実行する取引を選択するための制限取引メニューを表示部２２に表示する（Ｄ１２）。制限取引メニューを表示部２２に表示した状態において、ＡＴＭ２の制御部２１は、操作部２３を用いた利用者からの取引内容の選択指示（取引指示）を受付ける（Ｄ１３）。ＡＴＭ２が利用者からの取引指示を受けると、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、利用者が選択した取引の処理（取引シーケンス）を実行する。

上記のように、第２の取引処理に係るＩＣカードは、複数種類（３種類以上）の生体認証方式に対応する登録者の複数の生体認証データをメモリに記憶しておき、認証処理ごとに発生させる乱数に基づいてランダムに実行する複数（２種類）の生体認証を選出し、選出した各生体認証方式による認証結果を外部装置へ通知する。外部装置は、ＩＣカードでの複数の生体認証方式による認証の結果に応じて取引処理の可否および動作モードを決定し、取引処理が可である場合には決定した動作モードでの取引処理を実行する。

これにより、第２の取引処理によれば、ランダムに選出される複数の生体認証方式での認証が必要となるため、第３者が不正に認証できてしまうリスクを軽減できる。例えば、第３者が他者の生体認証データを複製して外部装置で取引処理を実行するには、複数の生体認証方式に対応した複数の生体情報の複製データを用意する必要があるため、不正に現金を引き出されるリスクが軽減される。

また、ランダムに選出される複数の生体認証方式のうち一部の生体認証方式による認証に成功すれば、制限モードでの取引処理を可能とすることにより、怪我などで本人であっても特定の生体認証方式では認証できない状態であっても、一部の生体認証方式での認証に成功すれば制限モードでの取引処理を行える。例えば、手を負傷している人物であっても、虹彩や顔などの手以外の部位での生体認証方式で生体認証に成功する可能性が高いため、制御モードでの取引処理ができる可能性が高く、利便性が高い。

次に、ＩＣカード１における第３の認証手順を含む第３の取引処理について説明する。
第３の認証手順を実現するＩＣカード１では、複数種類の生体認証方式ごとに、登録者の異なる状態（各指、左右の目、左右の手、表情など）での複数種類の生体認証データを不揮発性メモリ１４に登録する。つまり、不揮発性メモリ１４は、各生体認証方式（第１の生体認証方式、第２の生体認証方式、…）に対応する各生体認証データ（第１の生体認証データ、第２の生体認証データ、…）として、登録者の異なる状態での複数種類の生体認証データを登録する。さらに、不揮発性メモリ１４に記憶する生体認証方式ごとの登録者の異なる状態での複数種類の生体認証データに対しては、それぞれセキュリティモードを設定（登録）する。

例えば、指紋データとして、右手の各指の指紋データと左手の各指の指紋データとを登録しておき、右手の指の指紋データに対してセキュリティモードを通常モードに設定し、左手の各指の指紋データに対してセキュリティモードを緊急モードに設定する。この場合、ＩＣカードは、認証（照合）が成功した指紋データが右手の指の指紋か左手の指の指紋かを判別し、左手の指の指紋である場合には認証成功と共に緊急モードである旨をＡＴＭ２へ通知するものである。このような緊急モードである旨の通知を受けたＡＴＭ２では、利用者との取引を開始するとともに、口座の残高を低く表示したり、警察に緊急通報を入れたりする緊急モードでの動作が可能となる。

また、同一人物であっても右目の虹彩と左目の虹彩とでは差異がある。このため、虹彩データについては、右目の虹彩データと左目の虹彩データとをそれぞれのセキュリティモードに対応づけて登録できる。また、掌の静脈パターンも、同一人物の右手と左手とで差異がある。このため、掌の静脈パターンについても、右手の静脈パターンデータと左手の静脈パターンデータとをそれぞれのセキュリティモードに対応づけて登録できる。さらに、顔画像については、顔の状態（両目を開く、片目を瞑る、口を開く、口を閉じる等）を変化させた複数の顔画像データをそれぞれのセキュリティモードに対応づけて登録できる。

図１５及び図１６は、ＩＣカード１における第３の認証手順を含む第３の取引処理の例を説明するためのフローチャートである。
図１５及び図１６に示す第３の取引処理は、図５乃至図６に示す第１の取引処理において、認証が成功した場合に緊急モードであるか否かを判断し、緊急モードであれば認証成功と共に緊急モードであることをＩＣカードから外部装置へ通知する処理を追加したものである。すなわち、図１５及び図１６に示す各処理において、Ｓ３１１−Ｓ３１９、Ｓ３２１−Ｓ３３１の処理は、図５及び図６に示すＳ１１１−Ｓ１１９、Ｓ１２１−Ｓ１３１と同様な処理で実現できるものである。このため、Ｓ３１１−Ｓ３１９、Ｓ３２１−Ｓ３３１の処理については、詳細な説明を省略する。

図１５及び図１６に示す処理において、第１の認証が成功したと判断した場合（Ｓ３１７、ＹＥＳ）、プロセッサ１１は、生体認証（照合）が成功した第１の生体情報に基づいて緊急モードであるか否かを判断する（Ｓ３４１）。また、図１５に示す処理において、第２の認証が成功したと判断した場合（Ｓ３２８、ＹＥＳ）も、プロセッサ１１は、生体認証（照合）が成功した第２の生体情報に基づいて緊急モードであるか否かを判断する（Ｓ３４２）。プロセッサ１１は、生体認証（照合）が成功した生体認証データに対応づけられているセキュリティモードが緊急モードであるか否かを判断する。

例えば、指紋認証であれば、プロセッサ１１は、セキュリティモードが緊急モードに設定されている指の指紋との照合に成功したかを判断する。また、虹彩認証であれば、プロセッサ１１は、左目又は右目の虹彩のうちセキュリティモードが緊急モードに設定されている方の目の虹彩との照合に成功したかを判断する。また、掌の静脈パターン認証であれば、プロセッサ１１は、左手又は右手の静脈パターンのうちセキュリティモードが緊急モードに設定されている方の掌の静脈パターンとの照合に成功したかを判断する。さらに、顔認証であれば、プロセッサ１１は、登録されている複数の状態の顔画像のうちセキュリティモードが緊急モードに設定されている状態の顔画像との照合に成功したかを判断する。

生体認証結果に基づいて緊急モードであると判断した場合（Ｓ３４１のＹＥＳ、又はＳ３４２のＹＥＳ）、プロセッサ１１は、第１又は第２の認証の結果と共に、緊急モードであることを示すレスポンスをＡＴＭ２へ送信する（Ｓ３４３）。緊急モードである事を示すレスポンスを受信したＡＴＭ２は、緊急モードでの取引処理を実行する。この場合、ＡＴＭ２は、緊急モードであることが、同行者や監視者などの第３者には悟られないように制御される。例えば、ＡＴＭ２は、第３者及び操作者自身などの人間の見た目には通常の取引と同様に処理を進めつつ、警察への通報などの処理を実行する。また、ＩＣカード１は、ＡＴＭ２による緊急モードでの取引処理に対応した処理を適宜実行する（Ｓ３４４）。

また、図１７及び図１８は、ＩＣカード１による第３の認証手順に対応したＡＴＭ（外部装置）２における第３の取引処理の例を説明するためのフローチャートである。
本実施形態に係るＡＴＭ２は、図１５及び図１６に示すＩＣカード１の処理に対して、図１７及び図１８に示す処理を実行する。すなわち、ＡＴＭ２の制御部２１は、ＩＣカード１から受信した第１の認証結果を示すレスポンスにより第１の認証が成功したと判断した場合（Ｓ３５７、ＹＥＳ）、さらに、当該レスポンスに基づいて緊急モードが通知されたか否かを判断する（Ｓ３７１）。また、制御部２１は、ＩＣカード１からのレスポンスにより第２の認証が成功したと判断した場合（Ｓ３６７、ＹＥＳ）も、当該レスポンスに基づいて緊急モードが通知されたか否かを判断する（Ｓ３４２）。

ＩＣカード１からのレスポンスに基づいて緊急モードであると判断した場合（Ｓ３７１のＹＥＳ、又はＳ３７２のＹＥＳ）、制御部２１は、緊急モードでの取引処理を実行する（Ｓ３７３）。上述したように、緊急モードでの取引処理は、同行者などの第３者には悟られないように実行される処理である。従って、ＡＴＭ２は、人間の見た目には通常取引と同様な処理を行うとともに、警察への通報などの処理を実行する。また、緊急モードでの取引処理において、制御部２１は、残高を低く表示するなどの当該利用者の口座情報を変更して表示しても良い。また、緊急モードでの取引処理では、制御部２１は、特殊な口座（ダミー口座、身代金保証会社の口座）での取引処理を行うようにしても良い。

なお、上述した第３の取引処理の例は、第１の取引処理に、緊急モードの判断及び緊急モードでの動作などの処理（Ｓ３４１−３４４、Ｓ３７１−３７３）を追加した例であるが、緊急モードの判断及び緊急モードでの動作などの処理は、第２の取引処理に追加しても良い。すなわち、ＩＣカードにおいて生体認証を実行する処理に対しては、緊急モードの判断及び緊急モードでの動作などの処理を追加することが可能である。
次に、ＩＣカード処理システムによる第３の取引処理の処理例について説明する。
図１９は、ＩＣカード処理システムによる第３の取引処理における緊急モードでの処理としての第５の動作例を示すシーケンスである。図１９に示す処理例は、第３の取引処理において緊急モードであることを判断する場合の処理の流れを具体例として説明するものである。
利用者は、自身が所持するＩＣカード１を外部装置としてのＡＴＭ２に挿入する（Ｅ１）。ＡＴＭ２の制御部２１は、利用者が挿入するＩＣカード１を受付けると、当該ＩＣカード１に対して認証要求を供給する（Ｅ２）。
ＡＴＭ２からの認証要求を受けたＩＣカード１のプロセッサ１１は、乱数を生成し、生成した乱数に応じて生体認証方式（第１の生体認証方式）を選定する（Ｅ３）。生体認証方式を選定すると、ＩＣカード１のプロセッサ１１は、選定した生体認証方式をＡＴＭ２に通知する（Ｅ４）。例えば、ＩＣカード１のプロセッサ１１は、指紋認証を選定した場合、生体認証方式として指紋認証を選定した旨をＡＴＭ２へ通知する。
ＩＣカード１が選定した生体認証方式の通知を受けた場合、ＡＴＭ２の制御部２１は、ＩＣカード１が選定した生体認証方式に用いる生体情報の入力を利用者に対して案内する（Ｅ５）。また、ＡＴＭ２の制御部２１は、生体情報の入力案内と共に、当該生体情報に応じた生体情報取得部による生体情報の入力を受付け、生体情報取得部により生体情報を取得する（Ｅ６）。ここで、緊急モードにしたい利用者は、選定された生体情報のうち緊急モードが設定されている部位の生体情報を生体情報取得部に取得させる。例えば、指紋認証が選定された場合、左手の人差し指の指紋を緊急モードに設定している利用者は、緊急モードにしたければ、左手の人差し指を指紋スキャナ２７に翳す。これにより、ＡＴＭ２の制御部２１は、緊急モードが設定されている生体情報を取得できる。すなわち、緊急モードが設定されている生体情報を取得した場合、ＡＴＭ２の制御部２１は、緊急モードが設定されている生体情報をＩＣカード１へ送信する（Ｅ７）。
ＩＣカード１のプロセッサ１１は、ＡＴＭ２から生体情報を受信すると、受信した生体情報による生体認証処理を実行する（Ｅ８）。ここで、第３の取引処理における生体認証処理において、ＩＣカード１のプロセッサ１１は、ＡＴＭ２から受信した生体情報とＩＣカード１に登録済みの生体情報との照合を行うと共に、ＡＴＭ２から受信した生体情報のセキュリティモードのチェック（緊急モードか否かのチェック）を実行する。
すなわち、ＩＣカード１のプロセッサ１１は、生体認証処理が成功した場合、ＡＴＭ２から受信した生体情報と一致した登録済みの生体情報が緊急モードに設定されているかをチェックする。これにより、緊急モードに設定されていると判断した場合、ＩＣカードのプロセッサ１１は、生体認証が成功した旨と緊急モードである旨とをＡＴＭ２へ送信する（Ｅ９）。
ＡＴＭ２の制御部２１は、ＩＣカード１から認証成功と緊急モードとの通知を受信した場合、緊急モードでの生体認証が行われた旨を外部装置（例えば、警察に緊急であることを通知するための装置）へ通知（緊急通知）する（Ｅ１０）。この緊急通知は、ＡＴＭ２の操作者およびＡＴＭ２の周辺にいる人間には気づかれないように行われる。また、緊急通知がＡＴＭ２の操作者等には気づかれないように、ＡＴＭ２の制御部２１は、当該ＩＣカード１による通常モードでの処理と同様な通常取引メニューを表示部２２に表示する（Ｅ１１）。
なお、ＩＣカード１から緊急モードの通知を受けた場合、ＡＴＭ２の制御部２１は、一見してはわからないような通常取引メニューとして表示部２２の表示内容を変更する。また、例えば、ＡＴＭ２の制御部２１は、ＩＣカード１から緊急モードの通知を受けた場合、当該利用者の口座の残額を少額で表示するようにしても良い。
このような通常取引メニューを表示部２２に表示する場合、ＡＴＭ２の制御部２１は、表示したメニューに対する利用者からの操作指示に応じて処理を実行する（Ｅ１２）。ＡＴＭ２が利用者からの取引指示を受付けた後、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、利用者が選択した取引（取引シーケンス）を実行する。緊急モードの通知を受けている場合、ＡＴＭ２及びＩＣカード１を含むＩＣカード処理システムは、緊急モードであることが操作者やＡＴＭ２の周囲にいる第３者に悟られないように、少なくとも見た目には通常の取引処理と同様な処理を実行する。

上記のような第３の取引処理に係るＩＣカードは、特定の状態で取得した登録者の生体認証データに緊急モードを対応づけて登録しておき、生体認証が成功した場合には生体認証（照合）が成功した生体認証データに緊急モードが対応付けられていれば、認証成功と共に緊急モードであることを外部装置へ通知する。

これにより、第３の取引処理によれば、第３者からの脅しなどによって、本人の意思とは関係なく取引をしなければならない状況などにおいては、緊急モードを設定した生体情報によって生体認証を行うことにより、見た目には通常取引を行いつつ、緊急通報などの動作を行うようにできる。すなわち、第３の取引処理によれば、本人の意思と関係なく認証させられた場合であっても、緊急モードでの取引処理によって本人や本人の資産に被害が及ぶリスクを軽減する。例えば、緊急モードに対応づけた指、目、手、或は表情で生体認証を行うことにより、通常の取引と共に緊急通報などを行うようにできる。

上述した実施形態に係るＩＣカードでは、実行可能な複数種類の生体認証方式からランダムに１又は複数の生体認証方式を選出し、ランダムに選出した生体認証方式を用いて生体認証を実行する。これにより、本実施形態に係るＩＣカードによれば、ランダムに選出した生体認証方式によって認証を行うため、特定の方式で認証を行う処理よりもセキュリティ性を高くできる。

また、本実施形態に係る取引処理システムでは、ＩＣカードがランダムに選出する生体認証方式による生体認証を外部装置よりもセキュリティが高いとされるＩＣカード内で実行する。また、本実施形態に係るＩＣカードと外部装置とからなる処理システムでは、ＩＣカード内で生体認証を実行するため、ＩＣカードに記憶（登録）している登録者の生体認証データが外部へ出力されることがない。これらにより、本実施形態に係る処理システムでは、高いセキュリティ性を確保できる。

また、本実施形態に係るＩＣカードは、外部装置からの認証コマンドに対してランダムに選出した生体認証方式を示す情報を応答した後、選出した生体認証方式に用いる認証対象者の生体情報を含む認証コマンドを外部装置から取得し、外部装置から取得した認証対象者の生体情報と不揮発性メモリに記憶している登録者の生体情報とにより生体認証（照合）を行う。これにより、本実施形態に係るＩＣカードは、ＩＣカード自身が複数種類の生体認証方式から選出した生体認証方式による生体認証を通常の認証コマンドとレスポンスとのやり取りにより実現できる。

なお、本実施形態に係るＩＣカード１は、複数種類の生体認証方式のうち特定の生体認証方式による認証を無効とするようにしても良い。例えば、不正に利用される可能性が高いと考えられる生体認証データがあれば、当該生体認証データによる生体認証方式を無効とするようにしても良い。特定の生体認証方式を無効とした場合、プロセッサ１１は、各取引処理において、生体認証方式を選定する際に、無効に設定された生体認証方式を除く生体認証方式から実行する生体認証方式を選定するようにすれば良い。

上述の各実施形態で説明した機能は、ハードウエアを用いて構成するに留まらず、ソフトウエアを用いて各機能を記載したプログラムをコンピュータに読み込ませて実現することもできる。また、各機能は、適宜ソフトウエア、ハードウエアのいずれかを選択して構成するものであっても良い。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…ＩＣカード（携帯可能電子装置）、Ｃ…本体、Ｃａ…ＩＣチップ、Ｍ…モジュール、２…外部装置（ＡＴＭ）、１１…プロセッサ、１２…ＲＯＭ、１３…ＲＡＭ、１４…不揮発性メモリ、１５…通信制御部、１６…インターフェース、１７…指紋センサ、２１…制御部、２５…カードリーダライタ、２６…カメラ、２７…指紋センサ、２８…静脈センサ。

Claims (10)

1. 外部装置と通信する通信部と、
   複数種類の生体認証方式に対応する登録者の複数の生体認証データを記憶する記憶部と、
   前記外部装置から認証を要求するコマンドを受信した場合、前記複数種類の生体認証方式から少なくとも１つの生体認証方式をランダムに選出し、選出した生体認証方式を用いて生体認証を実行する制御部と、
   を有するＩＣカード。
2. 前記制御部は、前記外部装置からの認証を要求するコマンドに対して前記選出した生体認証方式を示す情報を応答した後、前記選出した生体認証方式による生体認証に用いる認証対象者の生体情報を前記外部装置から受信し、受信した認証対象者の生体情報と前記記憶部に記憶している登録者の生体認証データとにより生体認証を実行する、
   請求項１に記載のＩＣカード。
3. 前記制御部は、前記選出した生体認証方式による生体認証が失敗した場合、さらに、前記複数種類の生体認証方式から第２の認証に用いる第２の生体認証方式をランダムに選出し、前記選出した第２の生体認証方式による第２の生体認証を行う、
   請求項１又は２の何れかに記載のＩＣカード。
4. 前記制御部は、前記第２の生体認証方式による第２の認証が成功した場合、前記外部装置における通常モードとは異なる制限モードでの処理に対応する処理を実行する、
   請求項３に記載のＩＣカード。
5. 前記記憶部は、前記複数種類の生体認証方式として３種類以上の生体認証方式に対応する登録者の複数の生体認証データを記憶し、
   前記制御部は、前記複数種類の生体認証方式から実行する複数の生体認証方式をランダムに選出し、選出した複数の生体認証方式による生体認証を実行し、各生体認証方式による生体認証の結果を外部装置へ送信する、
   請求項１又は２の何れかに記載のＩＣカード。
6. 前記制御部は、複数の生体認証方式による生体認証を実行した場合、一部の生体認証方式による生体認証が成功し、他の生体認証方式による生体認証が失敗した場合、前記外部装置における通常モードとは異なる制限モードでの処理に対応する処理を実行する、
   請求項５に記載のＩＣカード。
7. 前記記憶部は、各種の生体認証方式ごとに登録者の異なる状態での複数種類の生体認証データを記憶し、さらに、生体認証方式ごとの各生体認証データに対応付けてセキュリティモードを示す情報を記憶し、
   前記制御部は、生体認証が成功した場合、認証対象者の生体情報との照合が成功した生体認証データに対応付けられているセキュリティモードが緊急モードであれば、緊急モードであることを前記外部装置へ通知する、
   請求項１乃至６の何れか１項に記載のＩＣカード。
8. さらに、認証対象者の指紋データを読み取る指紋センサを有し、
   前記制御部は、選出した生体認証方式が指紋認証である場合、前記指紋センサが読み取る指紋データと前記記憶部が記憶する登録者の生体認証データとしての登録者の指紋データとを照合することにより生体認証を実行する、
   請求項１乃至７の何れか１項に記載のＩＣカード。
9. 前記通信部と、前記記憶部と、前記制御部と、を有するモジュールと、
   前記モジュールを有する本体と、を有する、
   請求項１乃至８の何れか１項に記載のＩＣカード。
10. 外部装置と通信する通信部と、
    複数種類の生体認証方式に対応する登録者の複数の生体認証データを記憶する記憶部と、
    前記外部装置から認証を要求するコマンドを受信した場合、前記複数種類の生体認証方式から少なくとも１つの生体認証方式をランダムに選出し、選出した生体認証方式を用いて生体認証を実行する制御部と、
    を有する携帯可能電子装置。