JP2021184151A - 認証方法、情報処理装置、及び認証プログラム - Google Patents

Abstract

【課題】生体認証におけるユーザ負担を軽減できる認証方法、情報処理装置及び認証プログラムを提供する。【解決手段】認証方法では、認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、認証対象の生体情報との比較結果に基づいて、複数のユーザのうち、比較結果が基準を満たすユーザを特定し、比較結果が基準を満たす複数のユーザが特定された場合に、特定された複数のユーザの登録情報に基づいて、認証対象のユーザへの質問情報を生成し、生成した質問情報を認証対象のユーザに提示し、認証対象のユーザから質問情報に対する回答情報を受け付けると、回答情報に基づいて認証対象のユーザの照合を行う。【選択図】図５

Description

本開示は、認証方法、情報処理装置、及び認証プログラムに関する。

認証方式の１つとして、多数の人の中から特定の個人を特定する１対Ｎ認証が知られている。１対Ｎ認証は、ユーザの指紋や静脈等の生体情報を本人認証に用いる生体認証にも適用されている。

例えば、生体認証のマッチングスコアに応じて、ユーザにＰＩＮ（Personal Identification Number）コードの入力を求める技術がある。マッチングスコアが高い場合、ＰＩＮコード入力を不要とし、マッチングスコアが中程度の場合、ＰＩＮコードの４桁を入力させ、マッチングスコアが低い場合、１１桁全てのＰＩＮコードを入力させる。

特開２００９−２０５５４２号公報 特開２０１０−１１７９７１号公報

しかしながら、上記の技術では、ＰＩＮコード等の記憶をユーザに課すものであるので、ユーザにとって負担となる一面がある。

１つの側面では、本発明は、生体認証におけるユーザ負担を軽減できる認証方法、情報処理装置、及び認証プログラムを提供することにある。

認証方法では、認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定し、前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザの登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示し、前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う処理をコンピュータが実行する。

生体認証におけるユーザ負担を軽減できる。

図１は、実施例１の認証システムのハードウェア構成の一例を示す図である。 図２は、実施例１のクライアント端末および生体認証サーバの機能構成の一例を示すブロック図である。 図３は、実施例１の生体認証サーバが保有する生体情報および属性情報の一例を示す図である。 図４は、実施例１の生体認証サーバによる認証機能の一例を示す図である。 図５は、実施例１の生体認証サーバによる認証機能の他の例を示す図である。 図６は、実施例１の生体認証サーバの質問生成機能の一例を詳細に示す図である。 図７は、実施例１の生体認証サーバによる認証処理の手順の一例を示すフロー図である。 図８は、変形例１の生体認証サーバの質問生成機能の一例を示す図である。 図９は、変形例２の生体認証サーバが生成するダミーの質問情報の一例を示す図である。 図１０は、実施例２のクライアント端末および生体認証サーバの機能構成の一例を示すブロック図である。 図１１は、実施例２の生体認証サーバによる認証機能の一例を示す図である。 図１２は、実施例２の生体認証サーバによる認証処理の手順の一例を示すフロー図である。

以下、図面に基づいて、本願の開示する認証方法、情報処理装置、及び認証プログラムの実施例を詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下の実施例は、矛盾しない範囲で適宜組みあわせてもよい。

［実施例１］
実施例１について図面を用いて説明する。

（生体認証システムの構成例）
図１は、実施例１の生体認証システム１のハードウェア構成の一例を示す図である。図１に示すように、生体認証システム１は、クライアント端末１０及び生体認証サーバ２０を備える。クライアント端末１０と生体認証サーバ２０とは、インターネット等のネットワークＮＴにより接続されている。

生体認証システム１は、生体認証システム１のクライアントによって所定の場所に設置されたクライアント端末１０から、認証サービスを受けようとするユーザの生体情報を受け取って照合する。生体認証システム１は、照合によって、そのユーザが認証された場合には、そのユーザに対し、所定の店舗での決済、セキュリティ管理下の場所への入退場等の所定のサービスの提供を許可する。

端末装置としてのクライアント端末１０は、ＣＰＵ（Central Processing Unit）１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３、生体センサ１０５、入力装置１０６、及び表示装置１０７を備える。クライアント端末１０は、例えば、演算機能、記憶機能、入出力機能等を備えたＰＣ（Personal Computer）等である。

ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、入力装置１０６、及び表示装置１０７は、例えば互いに内部バス等により接続されている。生体センサ１０５は、ＣＰＵ１０１等の他の構成と、例えばＵＳＢ（Universal Serial Bus）等のシリアルバス規格にしたがって接続されていてよい。

このように、クライアント端末１０は、例えば生体センサ１０５、入力装置１０６、及び表示装置１０７等の少なくともいずれかが、外部機器としてＣＰＵ１０１に接続される構成であってもよく、全ての構成が一体に構成されていてもよい。

ＣＰＵ１０１は、例えばＲＯＭ１０２に記憶されるプログラムを読み出して実行するプロセッサ等である。ＲＯＭ１０２は、ＣＰＵ１０１により実行されるプログラム等の各種情報を記憶する。ＲＡＭ１０３は、ＣＰＵ１０１がプログラムを実行して各種の演算処理を実行する際に用いる各種データを一時的に記憶する。

生体センサ１０５は、クライアント端末１０のユーザの指紋または静脈等の生体情報を検出可能である。クライアント端末１０は、生体センサ１０５により検出される生体情報を、クライアント端末１０が有するＣＰＵ１０１により各種処理を実行可能なデータ形式に変換した上で取り込む。

ただし、生体認証システム１で用いられる生体情報は、目、鼻、口などの顔の特徴点の位置、顔領域の位置、大きさ等の他の身体的特徴、または、キータップ、キーストローク等の手指動作等による行動的特徴等、上記以外の生体情報であってもよい。

入力装置１０６は、キーボードまたはタッチパネル等であり、各種情報を入力可能である。表示装置１０７は、液晶ディスプレイまたは有機ディスプレイ等であり、各種情報を表示可能である。

情報処理装置としての生体認証サーバ２０は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、及び記憶装置２０４を備える。生体認証サーバ２０は、例えば、演算機能、記憶機能、入出力機能、及びクライアント端末１０のユーザの生体情報を記憶可能なストレージ等を備えたサーバである。

ただし、生体認証サーバ２０は、例えば記憶装置２０４が外部機器としてＣＰＵ２０１に有線または無線で接続される構成であってもよく、全ての構成が一体に構成されていてもよい。

ＣＰＵ２０１は、例えばＲＯＭ２０２または記憶装置２０４等に記憶される認証プログラム等のプログラムを読み出して実行するプロセッサ等である。ＲＯＭ２０２は、ＣＰＵ２０１により実行されるプログラム等の各種情報を記憶する。ＲＡＭ２０３は、ＣＰＵ２０１がプログラムを実行して各種の演算処理を実行する際に用いる各種データを一時的に記憶する。

記憶装置２０４は、ＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）等であり、ＣＰＵ２０１により実行されるプログラム、クライアント端末１０のユーザの生体情報の認証に用いる各種情報等を記憶する。

図２は、実施例１のクライアント端末１０及び生体認証サーバ２０の機能構成の一例を示すブロック図である。

図２に示すように、クライアント端末１０は、生体情報取得部１１、生体情報送信部１２、質問取得部１３、回答送信部１４、結果取得部１５、及びインタフェース（Ｉ／Ｆ）部１６を備える。Ｉ／Ｆ部１６は、生体情報入力部１６ａ及び入出力部１６ｂを備える。

生体情報取得部１１は、生体情報入力部１６ａから入力された、認証対象者であるユーザの生体情報をコンピュータによる各種処理を実行可能なデータ形式で取り込む。生体情報送信部１２は、生体情報取得部１１が取得した認証対象者の生体情報を、例えばそのクライアント端末１０に関するクライアント端末情報とともに生体認証サーバ２０へと送信する。クライアント端末情報には、例えば生体情報が入力された時刻および場所等の情報が含まれる。

後述するように、所定の条件下で、生体認証サーバ２０は認証対象者に対する質問を含む質問情報を生成する。質問取得部１３は、生体認証サーバ２０が生成した質問情報を取得する。また、質問取得部１３は、質問情報を入出力部１６ｂに出力させることによって、質問の内容を認証対象者に提示する。

質問情報を提示された認証対象者が、入出力部１６ｂに回答を入力すると、回答送信部１４は、入力された回答を含む回答情報を生成する。また、回答送信部１４は、生成した回答情報を生体認証サーバ２０へと送信する。

結果取得部１５は、生体認証サーバ２０によって認証対象者の照合が行われると、その結果を生体認証サーバ２０から取得する。また、結果取得部１５は、照合結果を入出力部１６ｂに出力させて、認証対象者に提示する。

なお、生体情報取得部１１、生体情報送信部１２、質問取得部１３、質問送信部１４、及び結果取得部１５等の機能構成は、例えばＣＰＵ１０１がＲＯＭ１０２等に記憶されるプログラムを実行することにより実現される。

生体情報入力部１６ａには、認証対象者であるユーザが手のひらをかざすなどして自身の生体情報を入力することができる。このような生体情報入力部１６ａの機能は、ＲＯＭ１０２等に記憶されるプログラムを実行中のＣＰＵ１０１の制御下にある生体センサ１０５により実現される。

入出力部１６ｂは、質問取得部１３が生体認証サーバ２０から取得した質問情報を認証対象者に提示する。また、入出力部１６ｂは、認証対象者が質問情報に対する回答を入力すると、それを受け付ける。また、入出力部１６ｂは、結果取得部１５が生体認証サーバ２０から取得した照合結果を、認証対象者に提示する。

このような入出力部１６ｂの機能は、ＲＯＭ１０２等に記憶されるプログラムを実行中のＣＰＵ１０１の制御下にある入力装置１０６及び表示装置１０７により実現される。

生体認証サーバ２０は、照合部２１、属性取得部２２、質問生成部２３、特定部２４、及び記憶部２５を備える。記憶部２５には、生体情報データベース２５ａ及び属性情報データベース２５ｂが格納されている。

照合部２１は、認証対象者が生体情報入力部１６ａから入力した生体情報をクライアント端末１０から取得する。また、照合部２１は、記憶部２５の生体情報データベース２５ａを参照して、生体情報データベース２５ａに登録されている複数のユーザのそれぞれの生体情報と、クライアント端末１０から取得した認証対象者の生体情報とを比較して照合する。

また、照合部２１は、登録された複数のユーザのうち、認証対象者の生体情報との比較結果が基準を満たすユーザを特定する。このとき、照合部２１は、登録された複数のユーザのそれぞれの生体情報と、認証対象者の生体情報との類似度を表す照合スコアを算出する。そして、照合部２１は、算出した照合スコアが、基準となる所定の閾値以上であったユーザを、比較結果が基準を満たすユーザとして特定する。

属性取得部２２は、比較結果が基準を満たす複数のユーザを照合部２１が特定した場合には、特定された複数のユーザの属性情報を属性情報データベース２５ｂから取得する。

登録情報としての属性情報は、生体情報が登録されているそれぞれのユーザ自身に関する情報であって、これらのユーザについて複数の項目が登録されている。属性情報としては、例えばユーザの名前、性別、生年月日、出身地、現住地、及び上記のクライアント端末１０を介した認証サービスの利用履歴等、ユーザ自身が当然に知っているはずの項目が含まれる。

質問生成部２３は、属性取得部２２が取得した複数のユーザの属性情報に基づいて、生体情報入力部１６ａから生体情報の入力を行った認証対象者に対する質問を含む質問情報を生成する。質問生成部２３は、生成した質問情報をクライアント端末１０に送信する。

質問情報を生成する際、質問生成部２３は、それぞれのユーザの属性情報に含まれる複数の項目の中から、これらのユーザ間で回答が重複することのない項目であって、かつ、それ自体からは個人が特定されない項目を選別する。そして、質問生成部２３は、選別した項目に関する質問を含む質問情報を生成する。

特定部２４は、認証対象者が入出力部１６ｂから入力した回答を含む回答情報を、クライアント端末１０から取得する。また、特定部２４は、照合部２１が特定した複数のユーザのそれぞれの属性情報を参照し、取得した回答情報と一致する属性情報を有するユーザを特定する。

ここで、質問情報は、特定された複数のユーザ間で回答が重複しないよう生成されている。したがって、取得した回答情報と属性情報が一致するユーザは１名に特定されるはずである。特定部２４は、照合部２１が特定した複数のユーザの中から１名のユーザが特定された場合には、特定された１名のユーザとして認証対象者を認証する。

特定部２４は、照合部２１が、生体情報の比較結果が基準を満たすユーザをとして、１名のユーザを特定した場合には、生体情報入力部１６ａから生体情報を入力した認証対象者を、照合部２１により特定されたユーザとして認証する。

特定部２４は、生体情報と回答情報とに基づく認証対象者の認証結果、または生体情報に基づく認証対象者の認証結果をクライアント端末１０に送信する。

なお、照合部２１、属性取得部２２、質問生成部２３、及び特定部２４等の機能構成は、例えばＣＰＵ２０１がＲＯＭ２０２等に記憶される認証プログラムを実行することにより実現される。

生体情報データベース２５ａには、生体認証システム１を利用する複数のユーザの生体情報が登録されている。

属性情報データベース２５ｂには、例えば生体情報データベース２５ａに生体情報が登録された複数のユーザの属性情報が登録されている。

このような記憶部２５の機能は、ＲＯＭ２０２等に記憶される認証プログラムを実行中のＣＰＵ２０１の制御下にある記憶装置２０４により実現される。

（生体認証サーバの詳細機能例）
次に、図３〜図６を用いて、実施例１の生体認証サーバ２０の機能の詳細例について説明する。

図３は、実施例１の生体認証サーバ２０が保有する生体情報２６ａ〜２６ｃ及び属性情報２７ａ〜２７ｃの一例を示す図である。生体認証システム１による認証サービスを受けようとするユーザは、予め、生体情報および属性情報の登録を行う。

図３に示すように、生体認証サーバ２０の記憶部２５に格納される生体情報データベース２５ａには、例えばＡ子さんの生体情報２６ａ、Ｂ男さんの生体情報２６ｂ、及びＣ子さんの生体情報２６ｃを含む複数のユーザの生体情報が登録されている。

また、生体認証サーバ２０の記憶部２５に格納される属性情報データベース２５ｂには、例えばＡ子さんの属性情報２７ａ、Ｂ男さんの属性情報２７ｂ、及びＣ子さんの属性情報２７ｃを含む複数のユーザの属性情報が登録されている。

図４は、実施例１の生体認証サーバ２０による認証機能の一例を示す図である。

図４に示すように、例えばＡ子さんが、クライアント端末１０の生体情報入力部１６ａを通して、自身の生体情報２６ａを入力したとする。

生体認証サーバ２０の照合部２１は、入力されたＡ子さんの生体情報２６ａをクライアント端末１０から取得する。また、照合部２１は、生体情報データベース２５ａに登録されている複数のユーザのそれぞれの生体情報と、入力されたＡ子さんの生体情報２６ａとを比較する。

生体情報を比較する際、照合部２１は、複数のユーザのそれぞれの生体情報について、入力されたＡ子さんの生体情報２６ａとの類似度を示す照合スコアを算出する。そして、照合部２１は、ユーザの名前等の個々のユーザを表すユーザ名と、個々のユーザについて算出した照合スコアとを紐づけた比較結果３１ａを生成する。

照合部２１が算出する照合スコアについては、例えば所定の閾値が設定されている。照合部２１は、この閾値以上の照合スコアが得られたユーザを、比較結果３１ａが基準を満たすユーザとして特定する。図４の例では、生体情報データベース２５ａに生体情報が登録されている複数のユーザのうち、閾値以上の照合スコアが得られ、比較結果３１ａが基準を満たすユーザとして、Ａ子さん１名のみが特定されたとする。

特定されたユーザがＡ子さん１名のみであった場合、特定部２４は、照合部２１が生成した比較結果３１ａに基づいて、生体情報入力部１６ａから生体情報２６ａを入力した認証対象者はＡ子さんであると認証する。

クライアント端末１０の結果取得部１５は、生体認証サーバ２０から、特定部２４による認証結果３５を取得し、入出力部１６ｂを通じて、認証対象者であるＡ子さんに提示する。

図５は、実施例１の生体認証サーバ２０による認証機能の他の例を示す図である。

図５に示すように、本例でも、Ａ子さんが、生体情報入力部１６ａを通して生体情報２６ａを入力したとする。

入力されたＡ子さんの生体情報２６ａを取得した照合部２１は、生体情報データベース２５ａに登録されている複数のユーザのそれぞれの生体情報との照合を行う。そして、照合部２１は、複数のユーザのそれぞれの生体情報について照合スコアを算出し、個々のユーザのユーザ名と紐づけた比較結果３１ｂを生成する。

図５の例では、照合を行った複数のユーザのうち、閾値以上の照合スコアが得られ、比較結果３１ｂが基準を満たすユーザとして、Ａ子さん、Ｂ男さん、及びＣ子さんの３名が特定されたとする。

このように、照合部２１によって複数のユーザが特定された場合、属性情報取得部２２は、特定された複数のユーザであるＡ子さん、Ｂ男さん、及びＣ子さんの属性情報２７ａ，２７ｂ，２７ｃを、属性情報データベース２５ｂから取得する。

質問生成部２３は、属性情報取得部２２が取得した属性情報２７ａ〜２７ｃに含まれる複数の項目のうち、Ａ子さん、Ｂ男さん、及びＣ子さんの回答が重複しない項目を抽出する。このとき、質問生成部２３は、それ自体からは個人が特定されない項目を抽出する。

例えば、属性情報２７ａ〜２７ｃの各項目のうち、Ａ子さん、Ｂ男さん、及びＣ子さんの名前、生年月日、出身地、及び市区まで含めた現住地は、それぞれ異なっている。しかし、例えば各人の名前からは個人を特定できてしまうので、質問生成部２３は名前の項目を抽出しない。また、例えば生年月日からも個人が特定されてしまう可能性がある。そこで、質問生成部２３は、それぞれの生年月日の項目に基づき、認証対象者の年代を問う質問候補３２ａを抽出する。

一方で、出身地および現住地からは個人が特定されてしまう可能性が低い。このため、質問生成部２３は、それぞれの出身地の項目に基づき、認証対象者の出身県を問う質問候補３２ｂを抽出し、また、それぞれの現住地の項目に基づき、認証対象者の現住地を問う質問候補３２ｃを抽出する。

このように、質問生成部２３は、特定された複数のユーザ間で回答が重複しない項目が複数ある場合には、例えば複数の質問候補３２ａ〜３２ｃを抽出する。一方で、照合部２１が特定したユーザの数が多すぎる場合には、これらのユーザ間で回答が重複しない項目が１つも存在しないことも起こり得る。したがって、照合部２１が特定するユーザ数は、多くとも数名程度であることが好ましく、一例としては３名以下などとすることができる。

質問生成部２３は、抽出した質問候補３２ａ〜３２ｃの中から１つを選択して質問情報３３を生成し、クライアント端末１０へと送信する。質問情報３３は、例えば複数の選択肢を含む選択式の質問を含んでいる。

クライアント端末１０の質問取得部１３は、生体認証サーバ２０から質問情報３３を取得し、入出力部１６ｂを通じて認証対象者であるＡ子さんに提示する。

上述のように、質問情報３３は、認証対象者であるユーザが当然に知っているはずの項目を含む属性情報から生成されるので、例えば暗証番号等のように認証対象者が意識的に暗記する必要がなく、ユーザ負担が軽減する。

また、上述のように、質問情報３３は、属性情報のうち、それ自体からは個人が特定されない項目から生成されるので、ユーザのプライバシーが守られる。

また、上述のように、質問情報３３は例えば選択式となっているので、質問情報３３に対する回答の入力が容易である、したがって、認証対象者の負担が軽減し、生体認証システム１の利便性が向上する。

例えば出身県を問う質問情報３３を提示されたＡ子さんは、入出力部１６ｂを通じて、自分の出身県である「島根県」を選択する。回答送信部１４は、Ａ子さんからの回答を回答情報３４として取得して、生体認証サーバ２０へと送信する。

生体認証サーバ２０の特定部２４は、クライアント端末１０から回答情報３４を取得する。そして、特定部２４は、属性情報取得部２２が属性情報データベース２５ｂから取得した属性情報２７ａ〜２７ｃを参照して、クライアント端末１０から取得した回答情報３４と一致する項目を含むものがあるか否かを判定する。

図５の例では、Ａ子さんの属性情報２７ａが回答情報３４と一致する項目を含んでいる。このため、特定部２４は、生体情報入力部１６ａから生体情報２６ａを入力した認証対象者はＡ子さんであると認証する。

クライアント端末１０の結果取得部１５は、特定部２４による認証結果３５を取得し、認証対象者であるＡ子さんに提示する。

ところで、質問生成部２３は、上述のように選択式の質問情報３３を生成するにあたり、例えば照合部２１によって特定された複数のユーザのいずれにも該当しない選択肢を挿入する。これにより、個人が特定される可能性等がいっそう低減する。

図６は、実施例１の生体認証サーバ２０の質問生成機能の一例を詳細に示す図である。

図６に示すように、生体認証サーバ２０の質問生成部２３は、例えば照合部２１により特定されたＡ子さん、Ｂ男さん、及びＣ子さんの属性情報２７ａ〜２７ｃから、各人の回答が重複しない質問候補３２ａ〜３２ｃを抽出する。また、質問生成部２３は、抽出した質問候補３２ａ〜３２ｃの中から、例えば出身地を問う質問候補３２ｂを選択する。

質問生成部２３は、選択した質問候補３２ｂに基づいて、例えば２つの質問情報３３ａ，３３ｂを生成する。質問情報３３ａ，３３ｂは、２段階に構成された相互に関連する質問情報である。

第１の質問情報としての１つ目の質問情報３３ａは、認証対象者に最初に提示される質問情報である。質問情報３３ａは、照合部２１により特定されたＡ子さん、Ｂ男さん、及びＣ子さんの中で、例えば照合スコアが最も高かったＡ子さんに該当する選択肢「島根県」を含む。

また、質問情報３３ａは、Ａ子さん、Ｂ男さん、及びＣ子さんの中で、照合スコアがＡ子さんよりも低かったＢ男さん及びＣ子さん向けの選択肢「それ以外」を含む。また、質問情報３３ａは、Ａ子さん、Ｂ男さん、及びＣ子さんのいずれにも該当しないダミーの選択肢「大阪府」及び「宮城県」を含む。ダミーの選択肢の内容は、質問情報３３ａによってランダムに生成される。

第２の質問情報としての２つ目の質問情報３３ｂは、認証対象者が、質問情報３３ａにおいて選択肢「それ以外」を選択した場合に提示される質問情報である、質問情報３３ｂは、照合部２１により特定されたＡ子さん、Ｂ男さん、及びＣ子さんの中で、２番目に照合スコアの高かったＢ男さんに該当する選択肢「熊本県」を含む。

また、質問情報３３ｂは、Ａ子さん、Ｂ男さん、及びＣ子さんの中で、照合スコアが最も低かったＣ子さん向けの選択肢「それ以外」を含む。また、質問情報３３ｂは、Ａ子さん、Ｂ男さん、及びＣ子さんのいずれにも該当しないダミーの選択肢「青森県」及び「兵庫県」を含む。

このように、２段階に分けて質問情報３３ａ，３３ｂを提示することで、照合部２１により特定された複数のユーザ間で、互いの情報が秘匿されやすくなる。

図６の例では、質問情報３３ａに自身に該当する選択肢が含まれるＡ子さんは、基本的には、質問情報３３ｂを目にすることはなく、Ｂ男さんの情報はＡ子さんに対して秘匿される。また、質問情報３３ａ，３３ｂのいずれにもＣ子さんに該当する選択肢は含まれておらず、Ｃ子さんの情報は、Ａ子さん及びＢ男さんに対して秘匿される。

また、質問情報３３ａ，３３ｂが、それぞれダミーの選択肢を含んでいることで、照合部２１により特定された複数のユーザ間で、他のユーザの情報を推測し難くなり、互いの情報がいっそう秘匿されやすくなる。また、もし仮に、認証対象者が悪意を持って他のユーザに該当する選択肢を選択し、他のユーザになりすまそうとしても、ダミーの選択肢を選択してしまう可能性があるので、このようななりすまし行為の抑制につながる。

一方で、認証対象者は、照合部２１により特定された複数のユーザの中で最も照合スコアが高かったＡ子さんである可能性が高い。最も照合スコアが高かったＡ子さんに該当する選択肢を１つ目の質問情報３３ａに含めることで、２つ目の質問情報３３ｂが認証対象者の目に触れる可能性がより少なくなって、いっそう情報の秘匿性を高めることができる。また、認証対象者が１回の質問に答えれば認証される可能性が高まって、利便性が向上する。

なお、上記に挙げた質問情報３３ａ，３３ｂの構成はあくまでも一例である。例えば、照合スコアが最も低かったＣ子さんに該当する選択肢を質問情報３３ｂに含めるなどしてもよい。また、質問情報を３つ以上の複数の質問情報から構成してもよい。これらの例以外にも、質問情報に含める個々のユーザの情報、及び質問情報の構成等は、生体認証システム１に要求されるセキュリティレベル、及び生体情報システム１を利用するユーザに対する利便性等に鑑みて、様々に設定することが可能である。

（生体認証サーバの認証処理例）
次に、図７を用いて、実施例１の生体認証サーバ２０による認証処理の例について説明する。図７は、実施例１の生体認証サーバ２０による認証処理の手順の一例を示すフロー図である。

図７に示す処理を開始するにあたり、生体認証サーバ２０の記憶部２５に格納される生体情報データベース２５ａには、予め、複数のユーザの生体情報が登録されているものとする。また、記憶部２５に格納される属性情報データベース２５ｂには、予め、複数のユーザの属性情報が登録されているものとする。

また、上述のように、生体認証サーバ２０の照合部２１により特定されるユーザ数は、多くとも数名程度であることが好ましい。このため、本例の照合部２１には、例えば、比較結果が基準を満たすとして特定されるユーザの上限数が、例えば「３名」と設定されているものとする。

図７に示すように、照合部２１は、クライアント端末１０から認証対象の生体情報を取得すると（ステップＳ１０１）、取得した認証対象の生体情報を、生体情報データベース２５ａに登録されている複数のユーザの生体情報と照合する（ステップＳ１０２）。

照合部２１は、照合スコアが所定の閾値以上であった認証候補のユーザの照合スコアを、例えばそのユーザのユーザ名と紐づけて比較結果を生成する（ステップＳ１０３）。照合部２１は、このように特定された認証候補のユーザの数を、例えば「認証候補ユーザ数ｎ」として設定する（ステップＳ１０４）。

照合部２１は、予め設定された「認証候補ユーザの上限数Ｋ」を参照しつつ（ステップＳ１０５）、「認証候補ユーザ数ｎ」についての判定を順次実行する（ステップＳ１０６，Ｓ１０８，Ｓ１１０）。上述のとおり、本例では「Ｋ＝３」と設定されている。

照合部２１は、「ｎ＝１」であるか否かを判定する（ステップＳ１０６）。「ｎ＝１」である場合（ステップＳ１０６：Ｙｅｓ）、照合部２１は生体情報の比較結果を特定部２４へと受け渡し、特定部２４は、認証されたユーザのユーザ名等の情報とともに認証に成功したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０７）。

「ｎ＝１」でない場合（ステップＳ１０６：Ｎｏ）、照合部２１は、「ｎ＝０」であるか否かを判定する（ステップＳ１０８）。「ｎ＝０」である場合（ステップＳ１０８：Ｙｅｓ）、該当するユーザが１名もいないことになる。照合部２１は生体情報の比較結果を特定部２４へと受け渡し、特定部２４は、認証に失敗したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０９）。

「ｎ＝０」でない場合（ステップＳ１０８：Ｎｏ）、照合部２１は、「ｎ＞Ｋ」であるか否かを判定する（ステップＳ１１０）。「ｎ＞Ｋ」である場合（ステップＳ１１０：Ｙｅｓ）、「認証候補ユーザ数ｎ」が「認証候補ユーザの上限数Ｋ」を超えている。照合部２１は生体情報の比較結果を特定部２４へと受け渡し、特定部２４は、認証に失敗したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０９）。

「ｎ＞Ｋ」でない場合（ステップＳ１１０：Ｎｏ）、照合部２１は生体情報の比較結果を特定部２４へと受け渡し、属性情報取得部２２は、属性情報データベース２５ｂから認証候補のユーザの属性情報を取得する（ステップＳ１１１）。

質問情報生成部２３は、属性情報取得部２２が取得した認証候補のユーザの属性情報から、ユーザを識別可能な質問情報を生成可能か否か判定する（ステップＳ１１２）。つまり、質問情報生成部２３は、照合部２１が特定した複数のユーザの回答が重複しない項目が属性情報に存在するか否かを判定する。

属性情報のすべての項目において、特定されたユーザのいずれか同士で同じ回答となる場合、ユーザを識別可能な質問情報を生成することができない（ステップＳ１１２：Ｎｏ）。質問情報生成部２３は、特定部２４にその旨を通知する。特定部２４は、認証に失敗したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０９）。

ユーザを識別可能な質問情報を生成することが可能である場合（ステップＳ１１２：Ｙｅｓ）、質問情報生成部２３は、照合部２１が特定した複数のユーザの回答が重複しない項目に基づいて、ユーザを識別可能な質問情報を生成する（ステップＳ１１３）。

質問情報生成部２３は、生成した質問情報をクライアント端末１０に送信し、認証対象の生体情報を入力してきたユーザに提示する。特定部２４は、ユーザからの回答情報をクライアント端末１０から取得する（ステップＳ１１４）。

特定部２４は、取得した回答情報に基づいて、照合部２１が特定した複数のユーザの中から１名のユーザを特定可能か否か判定する（ステップＳ１１５）。１名のユーザを特定可能な場合とは、ユーザからの回答情報が、照合部２１が特定した複数のユーザの中の１名の属性情報と一致した場合である。１名のユーザを特定できない場合とは、例えばユーザからの回答情報がダミーの選択肢を選択するものであるなど、照合部２１が特定した複数のユーザのいずれの属性情報とも回答情報が一致しなかった場合等である。

１名のユーザを特定可能であった場合（ステップＳ１１５：Ｙｅｓ）、特定部２４は、認証されたユーザのユーザ名等の情報とともに認証に成功したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０７）。

１名のユーザを特定できなかった場合（ステップＳ１１５：Ｎｏ）、特定部２４は、認証に失敗したことを示す認証結果をクライアント端末１０へと出力する（ステップＳ１０９）。

以上により、実施例１の生体認証サーバ２０による認証処理が終了する。

（概括）
手のひらの静脈、顔、行動的特徴等の生体情報を用い、複数のユーザから１名のユーザを特定する１：Ｎ認証が知られている。１：Ｎ認証においては、生体情報が類似するユーザが存在する場合に、複数のユーザが認証候補として抽出される場合がある。

近年では、１つのシステムにおける認証サービスの対象ユーザは増加傾向にある。例えば、単一の生体情報のモーダルでは、１万人の識別が限界である。このため、ユーザの登録数がそれ以上に増加する場合、例えば数十万人以上の規模に増加する場合、生体認証だけでは１人のユーザを識別するのが困難であるといった側面がある。

そこで、例えば認証のための生体情報を入力する際、ユーザに検索キーの入力も求める技術がある。また、例えば生体情報と１１桁のピンコードとを登録しておく技術がある。照合時には、マッチングスコアが高い場合はピンコード入力を不要とし、マッチングスコアが中程度の場合はピンコードの４桁を入力させ、マッチングスコアが低い場合は１１桁全てのピンコードを入力させる。

しかしながら、上記技術では、ユーザが検索キー等を入力しなければならず、ユーザに対する利便性が低下してしまう。また、ユーザは検索キー等を意識的に記憶しておかなければならず、ユーザに負担を強いることとなる。電話番号または生年月日等のような覚えやすい検索キーを使用した場合には、情報漏洩のリスクがある。

検索キー等に代えて、出身県または年齢等の個人が特定されにくい情報を入力させることも考えられるが、その場合、複数のユーザ間で回答が重複してしまうことが予想される。回答が重複するユーザの中に生体情報が類似するユーザがいた場合には、ユーザの識別が困難となってしまう。

実施例１の生体認証サーバ２０によれば、生体情報に基づいて複数のユーザが特定された場合、特定されたユーザの属性情報に基づいて質問情報を生成し、質問情報に対する回答情報に基づいてユーザの照合を行う。このように、生体認証でユーザを絞り込んでから絞り込まれたユーザを対象に属性情報等の登録情報から質問を生成するので、絞込前に質問が生成される場合よりもユーザ間で回答が重複する質問が生成される可能性を低減できる。さらに、属性情報等の登録情報から質問を生成するので、真の登録者であれば回答を連想しやすい質問を提示できる結果、ＰＩＮコード等のユーザ検索に用いる情報の記憶を不要化できる。

また、生体情報に基づいてユーザの絞り込みを行った後に質問情報を生成するので、それ自体からは個人が特定されない質問内容であっても、絞り込まれたユーザ間で回答が重複しない質問情報を生成することが可能となる。また、情報漏洩のリスクを低減して、ユーザのプライバシーを守ることが容易となる。

また、生体情報に基づいてユーザの絞り込みを行った後に、生体情報が類似するユーザを識別するために質問情報を生成するので、より確実にユーザの識別を行うことができる。

また、生体情報によって複数のユーザが特定された場合に質問情報を生成するので、頻繁に回答を要求される可能性は低く、ユーザに対する利便性を向上させることができる。

実施例１の生体認証サーバ２０によれば、個々のユーザ自身に関する属性情報の中から質問情報を生成する。このように、ユーザが当然に知っているはずの情報から質問情報が生成されるので、ユーザが意識的に回答内容を暗記しておく必要がなく、ユーザ負担を軽減することができる。

実施例１の生体認証サーバ２０によれば、複数の選択肢を含む質問情報を生成する。これにより、回答の入力が容易となり、ユーザ負担を軽減して、生体認証システム１の利便性を向上させることができる。

実施例１の生体認証サーバ２０によれば、複数の選択肢の中に、特定された複数のユーザのいずれの属性情報とも異なるダミーの選択肢を含める。これにより、特定されたユーザ間で他のユーザの情報を推測し難くなるので、互いの情報の秘匿性を向上させることができる。また、なりすまし行為を抑制することができる。

実施例１の生体認証サーバ２０によれば、認証対象のユーザに最初に提示される質問情報３３ａと、質問情報３３ａで「それ以外」の選択肢が選択された場合に提示される質問情報３３ｂとを生成する。このように、２段階に分けて質問情報３３ａ，３３ｂを提示することで、特定されたユーザ間での情報の秘匿性をより高めることができる。

実施例１の生体認証サーバ２０によれば、特定された複数のユーザのうち、照合スコアが最も高かったユーザの回答に対応する選択肢を質問情報３３ａに含め、照合スコアが低かったユーザの回答に対応する選択肢を質問情報３３ｂに含める。

このように、認証対象のユーザ本人である可能性が高いユーザ順に選択肢を提示するので、例えば１つ目の質問情報３３ａに回答するだけで認証される可能性が高い。このため、ユーザに対する利便性をいっそう高めることができる。また、ユーザが２つ目の質問情報３３ｂを目にする可能性が減って、情報の秘匿性をよりいっそう高めることができる。

なお、上述の実施例１では、個々のユーザの照合スコアが所定の閾値以上であるか否かに基づいて認証候補のユーザを特定することとした。しかし、閾値に加えて、あるいは閾値に替えて、例えば照合スコアの差が所定範囲内にある複数のユーザを認証候補のユーザとして特定してもよい。また、上記以外にも、他の様々な条件を用いて認証候補のユーザを特定してもよい。

（変形例１）
次に、図８を用いて、実施例１の変形例１の生体認証サーバについて説明する。変形例１の生体認証サーバでは、質問情報の生成手順が上述の実施例１の構成とは異なる。

図８は、変形例１の生体認証サーバの質問生成機能の一例を示す図である。図８に示すように、変形例１の生体認証サーバは、質問情報を生成するたびに異なる質問情報３３ｘ，３３ｙ，３３ｚを生成する。その場合、いくつかの手法が考えられる。

例えば、複数のユーザが特定された場合において、これらのユーザ間で回答が重複しない属性情報の項目が複数存在する場合には、変形例１の質問生成部は、複数の項目に基づいて複数の質問候補を抽出する。

そして、変形例１の質問生成部は、複数の質問候補の中から１つの質問候補をランダムに選択し、それに基づいて質問情報を生成する。これにより、質問情報が生成されるたびに、属性情報の異なる項目に基づいて、異なる内容の質問情報が生成されやすくなる。

また例えば、変形例１の質問生成部は、特定された複数のユーザの中に、以前、そのユーザの属性情報に基づいて質問情報を生成したユーザが存在する場合には、前回選択した項目とは異なる項目に基づいて質問情報を生成する。これにより、同じユーザに対して質問情報が生成されるたびに、異なる内容の質問情報が生成されやすくなる。

図８の例は、上述のＡ子さんに対して複数回、質問情報３３ｘ，３３ｙ，３３ｚが提示される場合を示している。

質問情報３３ｘは、認証対象者の出身県を問うものである。質問情報３３ｘには、Ａ子さんに該当する選択肢「島根県」、それ以外のユーザに向けた選択肢「それ以外」、並びにダミーの選択肢「大阪府」及び「宮城県」が含まれる。

質問情報３３ｙは、認証対象者の年代を問うものである。質問情報３３ｙには、Ａ子さんに該当する選択肢「４０歳代」、それ以外のユーザに向けた選択肢「それ以外」、並びにダミーの選択肢「３０歳代」及び「５０歳代」が含まれる。

質問情報３３ｚは、認証対象者の現住地を問うものである。質問情報３３ｚには、Ａ子さんに該当する選択肢「川崎市」、それ以外のユーザに向けた選択肢「それ以外」、並びにダミーの選択肢「久喜市」及び「横浜市」が含まれる。

このように、Ａ子さんに対して、」新たに質問情報が生成されるたびに、Ａ子さんには異なる内容の質問情報３３ｘ，３３ｙ，３３ｚが提示されることとなる。

ただし、変形例１の生体認証サーバは、同じユーザに対して何度も質問が繰り返されることを想定するものではない。生体情報が互いに類似するユーザは、それほど多くないと考えられ、複数のユーザが特定されたことにより質問を受けるケースは、頻繁には起こらないと期待される。

変形例１の生体認証サーバによれば、質問情報を生成するごとに、属性情報の中の異なる項目に基づいて質問情報を生成する。これにより、特定されたユーザ間で他のユーザの情報を推測し難くなるので、互いの情報の秘匿性をよりいっそう向上させることができる。

（変形例２）
次に、図９を用いて、実施例１の変形例２の生体認証サーバについて説明する。変形例２の生体認証サーバでは、ダミーの質問情報が生成される点が上述の実施例１の構成とは異なる。図９は、変形例２の生体認証サーバが生成するダミーの質問情報３３ｄの一例を示す図である。

図９に示すように、変形例２の質問生成部は、生体情報により１名のユーザが特定された場合でも、所定のタイミングでダミーの質問情報３３ｄを生成する。生体情報によりユーザが１名に特定できているので、質問情報３３ｄは、本来であれば不要な質問情報であり、それ自体がダミーの質問情報である。

図９の例は上述のＡ子さんに対して質問情報３３ｄが提示される場合を示しており、質問情報３３ｄは認証対象者の出身県を問うている。質問情報３３ｄに含まれる選択肢のうち、選択肢「島根県」だけがＡ子さんに該当する選択肢であり、それ以外の選択肢「神奈川県」、「福井県」、及び「それ以外」は全てダミーの選択肢である。

変形例２の質問生成部が、ダミーの質問情報３３ｄを生成するタイミングとしては、いくつかの例が考えられる。

例えば、変形例２の質問生成部は、生体情報によりユーザが１名に特定できた場合のうち、例えば１００回に１回などの所定の確率で、ダミーの質問情報３３ｄを生成することができる。

また例えば、変形例２の質問生成部は、以前に複数の認証候補の中から絞り込みを行うために質問情報を提示したユーザが認証対象者である場合に、ダミーの質問情報３３ｄを生成する確率を高めてもよい。この場合、そのユーザに対して以前に質問情報を提示した回数および頻度の少なくともいずれかに基づいて、ダミーの質問情報３３ｄを生成する確率を変化させてもよい。

また例えば、変形例２の質問生成部は、以前に複数の認証候補の中から絞り込みを行うために質問情報を提示したユーザが認証対象者である場合に限って、所定の確率でダミーの質問情報３３ｄを生成してもよい。この場合にも、そのユーザに対して以前に質問情報を提示した回数および頻度の少なくともいずれかに基づいて、ダミーの質問情報３３ｄを生成する確率を変化させてもよい。

いずれの例においても、ダミーの質問情報３３ｄを生成する確率は、例えば生体認証システム１に要求されるセキュリティレベル、及び生体情報システム１を利用するユーザに対する利便性等に鑑みて、様々に設定することが可能である。

変形例２の生体認証サーバによれば、生体情報により１名のユーザが特定された場合であっても、所定のタイミングでダミーの質問情報３３ｄを生成する。これにより、質問情報を提示されたユーザが他のユーザの情報を推測し難くなり、情報の秘匿性をよりいっそう向上させることができる。

［実施例２］
実施例２について図面を用いて説明する。実施例２の生体認証サーバは、ユーザに通知を送る機能を有する点が、上述の実施例１の構成とは異なる。

（生体認証システムの構成例）
図１０は、実施例２のクライアント端末１０及び生体認証サーバ１２０の機能構成の一例を示すブロック図である。

図１０に示すように、実施例２の生体認証システム２は、クライアント端末１０及び生体認証サーバ１２０を備える。実施例２のクライアント端末１０は、上述の実施例１のクライアント端末１０と同じものである。

実施例２の生体認証サーバ１２０は、上述の実施例１と同様に構成される照合部２１、属性取得部２２、質問生成部２３、及び特定部２４に加えて、通知部１２８及び記憶部１２５を備える。記憶部１２５には、上述の実施例１と同様に構成される生体情報データベース２５ａ及び属性情報データベース２５ｂに加えて、ユーザ端末情報データベース１２５ｃが格納されている。

通知部１２８は、特定部２４が認証結果を生成すると、照合部２１による生体情報の比較結果および特定部２４による認証結果を取得する。また、通知部１２８は、照合部２１が複数のユーザを特定した場合であって、特定部２４が認証に成功していた場合には、比較結果に含まれる複数のユーザのユーザ端末情報を、ユーザ端末情報データベース１２５ｃから取得する。また、通知部１２８は、取得したユーザ端末情報を用いて、比較結果に含まれる複数のユーザのうち、所定のユーザに通知を送信する。また、ユーザが通知に対して応答すると、通知部１２８はユーザからの応答を取得する。

ユーザ端末情報データベース１２５ｃには、例えば生体情報データベース２５ａ及び属性情報データベース２５ｂに情報が登録されている複数のユーザの通知先情報としてのユーザ端末情報が登録されている。ユーザ端末情報には、例えば複数のユーザが個々に所有するユーザ端末の情報であって、そのユーザ端末で受信可能なメールのメールアドレス等の情報が含まれる。複数のユーザは、生体情報および属性情報の登録に加えて、ユーザ端末情報の登録を事前に行う。

ただし、ユーザ端末情報は、ユーザ端末情報データベース１２５ｃではなく属性情報データベース２５ｂに、属性情報の項目の１つとして格納されてもよい。

実施例２の生体認証サーバ１２０は、上述の実施例１の生体認証サーバ２０と同様、例えばＣＰＵ、ＲＯＭ、ＲＡＭ、及び記憶装置を備えるサーバとして構成される。生体認証サーバ１２０の上記機能構成は、例えばＲＯＭに記憶される認証プログラムを読み出して実行するＣＰＵ及びそのほかのハードウェアにより実現される。

ユーザ端末１４０は、例えば所定のユーザが所有する携帯電話、スマートフォン、パーソナルコンピュータ、またはタブレット等であり、例えば通知アプリ１４１を有している。通知アプリ１４１は、生体認証サーバ１２０からの通知を受信する機能を備えるアプリケーションである。

（生体認証サーバの詳細機能例）
次に、図１１を用いて、実施例２の生体認証サーバ１２０の機能の詳細例について説明する。図１１は、実施例２の生体認証サーバ１２０による認証機能の一例を示す図である。

図１１に示すように、例えばＢ男さんが、クライアント端末１０の生体情報入力部１６ａを通して、自身の生体情報２６ｂを入力したとする。また、照合部２１が照合を行った複数のユーザのうち、比較結果３１ｂが基準を満たすユーザとして、Ａ子さん、Ｂ男さん、及びＣ子さんの３名が特定されたとする。

質問生成部２３がダミーの選択肢を入れて生成した質問情報がＢ男さんに提示され、Ｂ男さんは偶然にＡ子さんに該当する選択肢を選択し、Ａ子さんの属性情報と一致する回答情報３４ｂが、特定部２４に送信されたものとする。この場合、特定部２４は、Ｂ男さんをＡ子さんとして認証してしまう。

ただし、生体認証サーバ１２０の通知部１２８は、認証に成功したユーザがＡ子さん本人であるかを確認する通知機能を有する。

そのための手順として、生体認証サーバ１２０の通知部１２８は、生体情報の比較結果３１ｂ及び特定部２４による認証結果を特定部２４から取得する。また、通知部１２８は、生体情報の比較結果３１ｂを参照して、複数のユーザが特定されていたか否かを判定する。また、通知部１２８は、特定部２４による認証結果を参照して、ユーザの認証に成功したか否かを判定する。

図１１の例では、Ａ子さん、Ｂ男さん、及びＣ子さんの複数のユーザが、認証候補として特定されている。また、これらの認証候補ユーザのうち、Ｂ男さんをＡ子さんとする認証に成功している。このような場合、通知部１２８は、特定部２４によって認証されたユーザのユーザ名の情報を認証結果から取得する。図１１の例では、Ｂ男さんがＡ子さんとして認証されているので、特定部２４によって認証されたユーザはＡ子さんということになる。

また、通知部１２８は、比較結果３１ｂを参照して、照合部２１によって認証候補として特定されたＡ子さん、Ｂ男さん、及びＣ子さんのユーザ名の情報を得る。この情報に基づいて、通知部１２８は、ユーザ端末情報データベース１２５ｃに登録されている複数のユーザ端末情報のうち、Ａ子さん、Ｂ男さん、及びＣ子さんのユーザ端末情報を取得する。

そして、通知部１２８は、Ａ子さんのユーザ端末情報を参照し、特定部２４により認証されたユーザであるＡ子さんのユーザ端末１４０ａに、今回、認証に成功したユーザがＡ子さん自身であるかを確認する通知１２８ｍを送信する。

通知１２８ｍは、例えば認証が行われた時刻および場所等のクライアント端末情報、認証が行われたことを伝える伝達文、本人確認のための質問文、並びに質問文に対する応答ボタン等を含む。応答ボタンには、例えば質問文の内容を肯定するためのボタンと、質問文の内容を否定するためのボタンとが含まれる。

図１１の例では、実際に認証に成功したユーザはＡ子さんではなくＢ男さんであり、Ａ子さんには、認証が行われたことに心当たりがないはずである。そこで、Ａ子さんが、質問文の内容を否定する応答ボタンを押下して応答したとする。これにより、Ａ子さんの応答を含む応答情報が、Ａ子さんのユーザ端末１４０ａから生体認証サーバ１２０へと送信される。

Ａ子さんのユーザ端末１４０ａからの応答情報が、質問文の内容を肯定する内容であった場合、認証に成功したユーザがＡ子さん自身であるという確認が得られたことになる。このため、通知部１２８は処理を終了する。

しかし、上記の例では、Ａ子さんのユーザ端末１４０ａからの応答情報は、質問文の内容を否定する内容であり、認証に成功したユーザはＡ子さんではないことになる。このため、通知部１２８は、照合部２１によって認証候補として特定された他のユーザに、同じ内容の通知１２８ｍを送信する。図１１は、Ｂ男さんのユーザ端末１４０ｂに通知１２８ｍが送信された様子を示している。

このように、通知部１２８は、Ａ子さん、Ｂ男さん、またはＣ子さんのいずれかのユーザから質問文の内容を肯定する応答情報が得られるまで、あるいは、照合部２１によって特定されたＡ子さん、Ｂ男さん、及びＣ子さんの全員への通知１２８ｍの送信を完了するまで処理を継続する。

これにより、例えばＡ子さんは、自分に覚えのない認証が行われていたことを早期に知ることができ、それに対して適切な措置をとることができる。

また、質問文の内容を肯定する応答情報が得られなければ、他の認証候補者にも通知１２８ｍが送信されるため、いずれは実際に認証に成功したＢ男さんにも通知１２８ｍが届くこととなる。

例えばＢ男さんが、うっかりミスなどにより誤った回答を入力していた場合には、通知１２８ｍが届くことで、Ｂ男さんが自分のミスに気が付くことができる。

例えばＢ男さんが、自分に該当しない回答を故意に入力した場合であっても、通知１２８ｍが届くことで、なりすましが発覚したことをＢ男さんに知らせることができる。生体認証サーバ１２０が、このような機能を備えていることで、そもそも、なりすまし行為自体が起きるのを抑制することができる。

（生体認証サーバの認証処理例）
次に、図１２を用いて、実施例２の生体認証サーバ１２０による認証処理の例について説明する。図１２は、実施例２の生体認証サーバ１２０による認証処理の手順の一例を示すフロー図である。

図１２に示す処理を開始するにあたり、生体認証サーバ１２０の記憶部１２５に格納されるユーザ端末情報データベース１２５ｃには、予め、複数のユーザのユーザ端末情報が登録されているものとする。

図１２に示すように、ステップＳ１０１〜Ｓ１１５までの処理は、上述の実施例１で説明した図７のステップＳ１０１〜Ｓ１１５までの処理と同じである。

すなわち、実施例２の生体認証サーバ１２０は、生体情報によって認証候補ユーザが１名に特定された場合（ｎ＝１）には、実施例１の生体認証サーバ２０と同様に、認証に成功したものとする（ステップＳ１０７）。

また、実施例２の生体認証サーバ１２０は、生体情報によって特定された認証候補ユーザが０名であった場合（ｎ＝０）には、実施例１の生体認証サーバ２０と同様に、認証に失敗したものとする（ステップＳ１０９）。

また、実施例２の生体認証サーバ１２０は、生体情報によって特定された認証候補ユーザが「認証候補ユーザの上限数Ｋ」を超えていた場合（ｎ＞Ｋ）にも、実施例１の生体認証サーバ２０と同様に、認証に失敗したものとする（ステップＳ１０９）。

また、実施例２の生体認証サーバ１２０は、生体情報によって特定された認証候補ユーザが「認証候補ユーザの上限数Ｋ」以内だった場合（ｎ≦Ｋ）、実施例１の生体認証サーバ２０と同様に、ステップＳ１１５までの処理を実行する。

そして、実施例２の生体認証サーバ１２０は、生体情報によって特定された認証候補ユーザを１名に特定できなかった場合（ステップＳ１１５：Ｎｏ）には、実施例１の生体認証サーバ２０と同様に、認証に失敗したものとする（ステップＳ１０９）。

一方で、生体情報によって特定された認証候補ユーザを１名に特定できた場合（ステップＳ１１５：Ｙｅｓ）には、実施例１の生体認証サーバ２０と同様に、認証に成功したものとする（ステップＳ１０７）。

このとき、特定部２４は、認証されたユーザのユーザ名等の情報と共に認証に成功したという認証結果をクライアント端末１０に出力する。なお、ユーザを１名に特定可能な場合とは、例えばステップＳ１１４の処理で取得した回答情報が、照合部２１が特定した複数のユーザの中の１名の属性情報と一致したような場合である。

通知部１２８は、特定部２４が認証結果を生成すると、照合部２１による比較結果を参照して、認証候補として特定されたユーザが複数であったか否かを判定する（ステップＳ２０１）。認証候補として特定されたユーザが複数でなければ（ステップＳ２０１：Ｎｏ）、通知部１２８は処理を終了する。

認証候補として特定されたユーザが複数であれば（ステップＳ２０１：Ｙｅｓ）、通知部１２８は、特定部２４による認証結果を参照して、認証に成功したか否かを判定する（ステップＳ２０２）。認証に失敗していた場合（ステップＳ２０２：Ｎｏ）、通知部１２８は処理を終了する。

認証に成功していた場合（ステップＳ２０２：Ｙｅｓ）、通知部１２８は、照合部２１によって特定された複数のユーザのユーザ端末情報を、ユーザ端末情報データベース１２５ｃから取得する（ステップＳ２０３）。

通知部１２８は、特定部２４による認証結果を参照して、特定部２４によって認証されたユーザのユーザ端末情報に基づいて、認証ユーザのユーザ端末に通知を送信する（ステップＳ２０４）。

通知部１２８は、認証ユーザからの応答情報を受信すると、質問文を肯定する応答情報であるか否かを判定する（ステップＳ２０５）。質問文を肯定する応答情報であった場合（ステップＳ２０５：Ｙｅｓ）、通知部１２８は処理を終了する。

質問文を否定する応答情報であった場合（ステップＳ２０５：Ｎｏ）、通知部１２８は、照合部２１によって特定された複数のユーザのうち、他のユーザのユーザ端末情報に基づいて、他のユーザのユーザ端末に通知を送信する（ステップＳ２０６）。

通知部１２８は、他のユーザからの応答情報を受信すると、質問文を肯定する応答情報であるか否かを判定する（ステップＳ２０７）。質問文を肯定する応答情報であった場合（ステップＳ２０７：Ｙｅｓ）、通知部１２８は処理を終了する。

質問文を否定する応答情報であった場合（ステップＳ２０７：Ｎｏ）、通知部１２８は、照合部２１によって特定された複数のユーザのうち、まだ通知を送信していないユーザが存在するか否かを判定する（ステップＳ２０８）。通知が未送信のユーザが存在しない場合（ステップＳ２０８：Ｎｏ）、通知部１２８は処理を終了する。

通知が未送信のユーザが存在する場合（ステップＳ２０８：Ｙｅｓ）、通知部１２８は、通知が未送信のユーザがいなくなるまでステップＳ２０６からの処理を繰り返す。

以上により、実施例２の生体認証サーバ１２０による認証処理が終了する。

（概括）
実施例２の生体認証サーバ１２０によれば、認証対象のユーザが、特定された複数のユーザのいずれかと一致することが認証された場合に、認証対象のユーザと一致したユーザに、認証対象のユーザ自身であるか否かを確認する通知を送信する。

これにより、誤認またはなりすまし行為等によって、自分以外のユーザが認証に成功したことを、認証対象のユーザと一致したユーザに報せることができる、したがって、そのユーザは、適切な措置を講じることができる。

実施例２の生体認証サーバ１２０によれば、特定された複数のユーザのうち、認証対象のユーザと一致したユーザ以外にも通知を送信する。これにより、誤認またはなりすまし行為等によって認証に成功したユーザにも通知を送信することができる。

認証に成功したユーザが誤認していた場合には、そのユーザは、自分の誤認に気が付くことができる。認証に成功したユーザがなりすまし行為をしていた場合には、そのユーザに、なりすまし行為が露見したことを報せることができる。したがって、なりすまし行為を抑制することができる。

なお、生体認証サーバは、生体情報によって１名のユーザが特定されて、認証に成功した場合にも、例えば認証が行われた時刻および場所等のクライアント端末情報、及び認証が行われたことを伝える伝達文等を含む通知を、そのユーザに送信してもよい。このような機能を付加することによって、ユーザに対するサービスが向上し、利便性を高めることができる。

［その他の実施例］
上述の実施例１，２の生体認証サーバ２０，１２０等は、例えばＲＯＭに記憶される認証プログラムをＣＰＵが実行することによって、上述の各種機能が実現されることとした。

この場合、認証プログラムは、例えばコンピュータが読み取り可能な記憶媒体に記憶されて提供され、生体認証サーバ２０，１２０等にインストールされてよい。記録媒体としては、例えばＣＤ−ＲＯＭ、ＤＶＤ（Digital Versatile Disc）、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ＨＤＤ等がある。

また、認証プログラムは、公衆回線、インターネット、ＬＡＮ等のネットワークを介して提供され、生体認証サーバ２０，１２０等にインストールされてもよい。

また、認証プログラムは、必ずしも生体認証サーバ２０，１２０等にインストールされる必要はなく、ＣＰＵが、記録媒体またはネットワーク上から読み出して実行してもよい。

また、生体認証サーバ２０，１２０等の機能が、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されてもよい。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定し、
前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザの登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示し、
前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う、
処理をコンピュータが実行する認証方法。

（付記２）前記提示する処理は、前記登録情報に含まれる複数の項目の中から、特定された前記複数のユーザの回答が重複しない項目に基づいて、前記質問情報を生成する処理を含む付記１に記載の認証方法。

（付記３）前記登録情報は個々のユーザ自身に関する属性情報を含み、
前記提示する処理は、前記属性情報に含まれる複数の項目のうち、個人が特定されない項目に基づいて、前記質問情報を生成する処理を含む付記２に記載の認証方法。

（付記４）前記提示する処理は、前記質問情報を生成するごとに、前記登録情報の中の異なる項目に基づいて前記質問情報を生成する処理を含む付記２に記載の認証方法。

（付記５）前記提示する処理は、複数の第１の選択肢を含む前記質問情報を生成し、前記複数の第１の選択肢の中に、特定された前記複数のユーザのいずれの登録情報とも異なるダミーの選択肢を含める処理を含む付記１に記載の認証方法。

（付記６）前記提示する処理は、前記複数の第１の選択肢と、前記複数の第１の選択肢のいずれにも前記認証対象のユーザの回答が該当しないことを示す第２の選択肢とを前記質問情報に含める処理を含む付記５に記載の認証方法。

（付記７）前記提示する処理は、前記複数の第１の選択肢および前記第２の選択肢を含む第１の質問情報と、前記第２の選択肢が選択された場合に前記第１の質問情報から遷移する第２の質問情報であって前記第１の質問情報に含まれない第１の選択肢を含む第２の質問情報とを生成する処理を含む付記６に記載の認証方法。

（付記８）前記提示する処理は、特定された前記複数のユーザのうち、前記基準を満たす度合いが最も高いユーザの回答に対応する第１の選択肢を前記第１の質問情報に含め、前記基準を満たす度合いが低いユーザの回答に対応する第１の選択肢を前記第２の質問情報に含める処理を含む付記７に記載の認証方法。

（付記９）前記回答情報に基づいて、前記認証対象のユーザが、特定された前記複数のユーザのいずれかと一致することが認証された場合に、特定された前記複数のユーザのうち、前記認証対象のユーザと一致したユーザに、前記認証対象のユーザ自身であるか否かを確認する通知を送信する処理を前記コンピュータがさらに実行する付記１に記載の認証方法。

（付記１０）前記送信する処理は、特定された前記複数のユーザのうち、前記認証対象のユーザと一致したユーザ以外にも前記通知を送信する処理を含む付記９に記載の認証方法。

（付記１１）認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定する照合部と、
前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザについて、それぞれ登録された登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示する質問生成部と、
前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う特定部と、
を有する情報処理装置。

（付記１２）前記質問生成部は、前記登録情報に含まれる複数の項目の中から、特定された前記複数のユーザの回答が重複しない項目に基づいて、前記質問情報を生成する付記１１に記載の情報処理装置。

（付記１３）前記登録情報は個々のユーザ自身に関する属性情報を含み、
前記質問生成部は、前記属性情報に含まれる複数の項目のうち、個人が特定されない項目に基づいて、前記質問情報を生成する付記１２に記載の情報処理装置。

（付記１４）前記質問生成部は、前記質問情報を生成するごとに、前記登録情報の中の異なる項目に基づいて前記質問情報を生成する付記１２に記載の情報処理装置。

（付記１５）前記質問生成部は、複数の第１の選択肢を含む前記質問情報を生成し、前記複数の第１の選択肢の中に、特定された前記複数のユーザのいずれの登録情報とも異なるダミーの選択肢を含める付記１１に記載の情報処理装置。

（付記１６）前記質問生成部は、前記複数の第１の選択肢と、前記複数の第１の選択肢のいずれにも前記認証対象のユーザの回答が該当しないことを示す第２の選択肢とを前記質問情報に含める付記１５に記載の情報処理装置。

（付記１７）前記質問生成部は、前記複数の第１の選択肢および前記第２の選択肢を含む第１の質問情報と、前記第２の選択肢が選択された場合に前記第１の質問情報から遷移する第２の質問情報であって前記第１の質問情報に含まれない第１の選択肢を含む第２の質問情報とを生成する付記１６に記載の情報処理装置。

（付記１８）前記質問生成部は、特定された前記複数のユーザのうち、前記基準を満たす度合いが最も高いユーザの回答に対応する第１の選択肢を前記第１の質問情報に含め、前記基準を満たす度合いが低いユーザの回答に対応する第１の選択肢を前記第２の質問情報に含める付記１７に記載の情報処理装置。

（付記１９）前記回答情報に基づいて、前記認証対象のユーザが、特定された前記複数のユーザのいずれかと一致することが認証された場合に、特定された前記複数のユーザのうち、前記認証対象のユーザと一致したユーザに、前記認証対象のユーザ自身であるか否かを確認する通知を送信する通知部をさらに有する付記１１に記載の情報処理装置。

（付記２０）認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定し、
前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザについて、それぞれ登録された登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示し、
前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う、
処理をコンピュータに実行させる認証プログラム。

１，２ 生体認証システム
１０ クライアント端末
２０，１２０ 生体認証サーバ
２１ 照合部
２２ 属性情報取得部
２３ 質問情報生成部
２４ 特定部
２５ 記憶部
２５ａ 生体情報データベース
２５ｂ 属性情報データベース
１２５ｃ ユーザ端末情報データベース
１２８ 通知部
１４０ ユーザ端末

Claims (12)

1. 認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定し、
   前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザの登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示し、
   前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う、
   処理をコンピュータが実行する認証方法。
2. 前記提示する処理は、前記登録情報に含まれる複数の項目の中から、特定された前記複数のユーザの回答が重複しない項目に基づいて、前記質問情報を生成する処理を含む請求項１に記載の認証方法。
3. 前記登録情報は個々のユーザ自身に関する属性情報を含み、
   前記提示する処理は、前記属性情報に含まれる複数の項目のうち、個人が特定されない項目に基づいて、前記質問情報を生成する処理を含む請求項２に記載の認証方法。
4. 前記提示する処理は、前記質問情報を生成するごとに、前記登録情報の中の異なる項目に基づいて前記質問情報を生成する処理を含む請求項２または請求項３に記載の認証方法。
5. 前記提示する処理は、複数の第１の選択肢を含む前記質問情報を生成し、前記複数の第１の選択肢の中に、特定された前記複数のユーザのいずれの登録情報とも異なるダミーの選択肢を含める処理を含む請求項１乃至請求項４のいずれか１項に記載の認証方法。
6. 前記提示する処理は、前記複数の第１の選択肢と、前記複数の第１の選択肢のいずれにも前記認証対象のユーザの回答が該当しないことを示す第２の選択肢とを前記質問情報に含める処理を含む請求項５に記載の認証方法。
7. 前記提示する処理は、前記複数の第１の選択肢および前記第２の選択肢を含む第１の質問情報と、前記第２の選択肢が選択された場合に前記第１の質問情報から遷移する第２の質問情報であって前記第１の質問情報に含まれない第１の選択肢を含む第２の質問情報とを生成する処理を含む請求項６に記載の認証方法。
8. 前記提示する処理は、特定された前記複数のユーザのうち、前記基準を満たす度合いが最も高いユーザの回答に対応する第１の選択肢を前記第１の質問情報に含め、前記基準を満たす度合いが低いユーザの回答に対応する第１の選択肢を前記第２の質問情報に含める処理を含む請求項７に記載の認証方法。
9. 前記回答情報に基づいて、前記認証対象のユーザが、特定された前記複数のユーザのいずれかと一致することが認証された場合に、特定された前記複数のユーザのうち、前記認証対象のユーザと一致したユーザに、前記認証対象のユーザ自身であるか否かを確認する通知を送信する処理を前記コンピュータがさらに実行する請求項１乃至請求項８のいずれか１項に記載の認証方法。
10. 前記送信する処理は、特定された前記複数のユーザのうち、前記認証対象のユーザと一致したユーザ以外にも前記通知を送信する処理を含む請求項９に記載の認証方法。
11. 認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定する照合部と、
    前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザについて、それぞれ登録された登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示する質問生成部と、
    前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う特定部と、
    を有する情報処理装置。
12. 認証対象のユーザから生体情報を受け付けると、登録された複数のユーザのそれぞれの生体情報と、前記認証対象の生体情報との比較結果に基づいて、前記複数のユーザのうち、比較結果が基準を満たすユーザを特定し、
    前記比較結果が前記基準を満たす複数のユーザが特定された場合に、特定された前記複数のユーザについて、それぞれ登録された登録情報に基づいて、前記認証対象のユーザへの質問情報を生成し、生成した前記質問情報を前記認証対象のユーザに提示し、
    前記認証対象のユーザから前記質問情報に対する回答情報を受け付けると、前記回答情報に基づいて前記認証対象のユーザの照合を行う、
    処理をコンピュータに実行させる認証プログラム。

Images