JP2023020957A - 認証装置、販売システム、通過システム、及び現金自動預け払いシステム - Google Patents

Abstract

【課題】本人確認体に表示される顔写真又はその記録顔データが改竄された場合であっても、本人確認体が誤って認証されることを抑制する認証装置、販売システム、通過システム及び現金自動預け払いシステムを提供する。【解決手段】販売システムにおいて、認証装置３０は、本人確認体の外面の画像を取得する確認体撮影部３４と、確認体撮影部３４により取得された画像から顔写真７０に対応する表示顔データを取得する表示顔データ取得部６１と、確認体撮影部３４により取得された画像から製造番号７６を取得する表示情報取得部６２と、本人確認体の記憶部から記録顔データを取得する読取部３６と、顔データベース５４を有するサーバ５０に製造番号７６を送信して、製造番号７６に関連付けられた保存顔データを要求する送受信部６４と、表示顔データ、記録顔データ、及び保存顔データに基づいて本人確認体を認証する認証部６３と、を備える。【選択図】図２

Description

本発明は、認証装置、販売システム、通過システム、及び現金自動預け払いシステムに関するものである。

特許文献１には、その請求項１に「ユーザの本人確認を行う本人認証装置であって、カメラによって前記ユーザを撮影し、第１の顔画像を取得する撮影画像取得部と、前記ユーザの本人確認書類に添付された顔写真を読み取り、第２の顔画像を取得する写真画像取得部と、前記本人確認書類に付与されたＩＣチップに記録された顔写真データを読み取り、第３の顔画像を取得する記録画像取得部と、前記第１の顔画像、前記第２の顔画像及び前記第３の顔画像を照合し、３つの顔画像の一致率が所定値以上の場合には、前記ユーザが本人であると判定する照合処理部とを備えた本人認証装置」が開示されている。

ここで、特許文献１の明細書の段落［００２４］、［００２９］等を参照すると、この照合処理部は、例えば、（１）前記第１の顔画像、前記第２の顔画像及び前記第３の顔画像のそれぞれから複数の特徴点を抽出したうえで、（２）これらの顔画像の複数の特徴点同士の比較を行い、（３）当該これらの画像で一致する特徴点の数が一定数以上存在する場合には、同一人物の顔画像であると判定する、と解される。

そして、特許文献１に開示されている上記の本人認証装置は、その明細書の段落［０００５］及び［０００６］を参照すると、「今後、様々な取引がＡＴＭなどのオンライン端末を介して行われるようになると予想され、犯罪収益移転防止法にも準拠した高い精度の本人認証を効率よく行えるようにすることが求められる」ことに伴い、「高精度の本人認証を効率よく行うことができる本人認証装置を提供することを目的」としている。

しかしながら、特許文献１に開示されている本人認証装置では、他人が本人確認書類に添付された顔写真又はＩＣチップに記録された顔写真データを改竄して、本人確認書類により特定される本人であると偽る場合には、顔画像に相違が生じにくいため、本人であると誤って認証してしまうおそれがある。

特許第６５１３８６６号明細書

本発明は、このような従来技術の問題点に鑑みてなされたもので、本人確認体に表示される顔写真又はその記録顔データが改竄された場合であっても、本人確認体が誤って認証されることを抑制することができる認証装置を提供することを目的とする。

本発明の第１の態様によれば、本人確認体に表示される顔写真又はその記録顔データが改竄された場合であっても、本人確認体が誤って認証されることを抑制することができる認証装置が提供される。この認証装置は、外面に表示される顔写真と、上記顔写真に対応して記憶部に記録される記録顔データとを含む本人確認体の認証を行うために使用される。上記認証装置は、上記本人確認体の上記外面の少なくとも一部の画像を取得する第１の画像取得部と、上記第１の画像取得部により取得された上記画像から上記顔写真に対応する表示顔データを取得する表示顔データ取得部と、上記第１の画像取得部により取得された上記画像又は上記本人確認体の上記記憶部から上記本人確認体を識別するための識別情報を取得する識別情報取得部と、上記本人確認体の上記記憶部から上記記録顔データを取得する記録顔データ取得部と、顔データベースを有するサーバに上記識別情報取得部により取得された上記識別情報を送信して、上記識別情報に関連付けられた保存顔データを要求するとともに、該要求に対する応答として上記サーバから上記顔データベースに保存された上記保存顔データ又は上記要求した保存顔データが上記顔データベースに存在しないことを示すデータを受信する送受信部と、上記表示顔データ取得部により取得された上記表示顔データと、上記記録顔データ取得部により取得された上記記録顔データと、上記送受信部により受信された上記サーバからの上記応答とに少なくとも基づいて、上記本人確認体を認証する認証部とを備える。

本発明の第２の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続され、商品を販売する販売装置とを備える販売システムが提供される。上記販売装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して、商品の販売を可能にするように構成される。

本発明の第３の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続され、一の領域と他の領域との連通路における使用者の通過の許可又は上記使用者の通過の監視をする通過装置とを備える通過システムが提供される。上記通過装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して上記使用者の上記連通路の通過を許可し、上記認証部が上記本人確認体の認証を否定した場合に、上記使用者の上記連通路の通過を不可能にする又は報知するように構成される。

本発明の第４の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続されている現金自動預け払い装置とを備える現金自動預け払いシステムが提供される。上記現金自動預け払い装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して、使用者に現金自動預け払い動作を可能にさせるように構成される。

図１は、本発明の第１の実施形態に係る認証装置を含む販売システムを示す概略図である。 図２は、図１に示される販売システムにおける販売装置及び認証装置の機能的構成を示すブロック図である。 図３は、図１に示される販売システムにおいて用いられる本人確認体の一例としてのマイナンバーカードを模式的に示す図である。 図４は、図１に示される販売システムの認証装置における動作のフローチャートである。 図５は、図１に示される販売システムのサーバにおける動作のフローチャートである。 図６は、本発明の第２の実施形態に係る認証装置における動作のフローチャートである。 図７は、本発明の第３の実施形態に係る認証装置を含む販売システムを示す概略図である。 図８は、図７に示される販売システムにおける販売装置及び認証装置の機能的構成を示すブロック図である。 図９は、図７に示される販売システムの認証装置における動作のフローチャートである。 図１０は、本発明に係る認証装置とともに利用可能な通過装置を示す概略図である。 図１１は、本発明に係る認証装置とともに利用可能な現金自動預け払い装置を示す概略図である。

以下、本発明に係る認証装置の実施形態について図１から図１１を参照して詳細に説明する。図１から図１１において、同一又は相当する構成要素には、同一の符号を付して重複した説明を省略する。また、図１から図１１においては、各構成要素の縮尺や寸法が誇張されて示されている場合や一部の構成要素が省略されている場合がある。以下の説明では、特に言及がない場合には、「第１」や「第２」などの用語は、構成要素を互いに区別するために使用されているだけであり、特定の順位や順番を表すものではない。

以下、本発明の第１の実施形態に係る認証装置を含む販売システムについて図面を参照しながら説明する。まず、本実施形態の販売システムの機能及び構成について説明する。次いで、本実施形態の販売システムの販売動作について説明する。次いで、本実施形態の販売システムの効果について説明する。

図１は、本発明の第１の実施形態に係る認証装置３０を含む販売システム１０を示す概略図である。図１に示すように、本実施形態の販売システム１０は、複数の場所に設置される複数の販売装置２０と、それぞれの販売装置２０に接続される認証装置３０と、複数の認証装置３０と例えばインターネットなどのネットワーク４０を介して接続されるサーバ５０とを備えている。図２は、販売装置２０及び認証装置３０の機能的構成を示すブロック図である。

〔販売装置２０〕
販売装置２０は、一例として、商品（図示省略）を販売するための自動販売機である。販売装置２０が販売する商品は、一例として、煙草、酒であるが、商品を購入するために購入者である販売装置２０の利用者の認証（年齢確認を含む）を必要とするものであれば、煙草、酒に限られない。

販売装置２０は一例として自動販売機である。本明細書ではその構成の詳細な説明を省略するが、販売装置２０は認証装置３０と通信可能に接続されている。具体的には、販売装置２０には販売装置２０の本体（制御部２２以外の制御可能な構成）を制御する制御部２２が備えられている。そして、制御部２２は、後述する肯定判断をした旨の情報を認証装置３０から受信することで、販売装置２０の本体に商品の販売を可能にするように構成されている。なお、販売装置２０は、図１に示されるように、一例として、販売する複数の商品のサンプルＳを展示する商品ディスプレイ２４と、使用者が購入した商品を取り出すための商品取り出し口２６とを備えている。

〔認証装置３０〕
認証装置３０は、例えばコンピュータなどにより構成され、図１に示すように、例えばカメラやスキャナにより構成される確認体撮影部３４と、ＲＯＭやＲＡＭ、フラッシュメモリなどを含む記憶部３５と、ＲＦＩＤ型の読取装置などにより構成される読取部３６と、ネットワーク４０に接続してサーバ５０とデータ通信を行うための通信部３７と、販売装置２０とデータ通信を行うための通信部３８と、各構成要素の動作を制御する制御部３９とを備えている。

記憶部３５には、ＯＳ（Operating System）や認証装置３０を制御するためのプログラム、本発明に係る認証を行うためのプログラム、その他各種データなどが格納されている。制御部３９は、プロセッサ（ＣＰＵ）、ＲＯＭ、ＲＡＭなどを備えており、記憶部３５に格納されたプログラムをＲＡＭにロードしてこれをプロセッサにより実行することにより様々な機能（図２に示す表示顔データ取得部６１、表示情報取得部６２、認証部６３、及び送受信部６４などの機能）を実現している。以下、認証装置３０の各部について説明するが、各部の説明において各部が有する機能は、制御部３９がプログラムＰに基づいて各部の動作を制御するようになっている。

認証装置３０は、本人確認体の認証を行う機能を有しており、通信部３８を介して販売装置２０の制御部２２と通信可能に接続されている。本明細書において、「通信可能に接続されている」とは、データの転送が可能にされていることを意味する。そのため、この接続の一例は、ケーブル等による有線接続であってもよく、赤外線、紫外線等の電磁波を利用した無線接続であってもよく、有線接続及び無線接続が組み合わされたものであってもよく、例えばインターネット接続であってもよい。

本人確認体は、一例として、運転免許証、マイナンバーカード、キャッシュカード、クレジットカード、社員証、乗車カード、電子マネーカード等であって、外面に顔写真、氏名や住所などの基本情報、及びその他の情報が表示され、内部に記憶部としての記録媒体が備えられているものである。以下の説明では、本人確認体としてマイナンバーカードを使用する例を主として説明するが、以下の説明は他の種類の本人確認体にも同様に適用できるものである。

図３は、本実施形態において用いられる本人確認体の一例としてのマイナンバーカードＭを模式的に示す図である。マイナンバーカードＭの外面には、マイナンバーカードＭの所有者の顔写真７０と、所有者の氏名７１と、所有者の住所７２と、所有者の性別７３と、所有者の生年月日７４と、マイナンバーカードＭの有効期限７５と、マイナンバーカードＭの製造番号７６と、セキュリティコード７７とが表示されている。これらの情報は、本人確認体の外面に貼付又は印刷され得る。

マイナンバーカードＭの外面に表示されている氏名７１、住所７２、性別７３、及び生年月日７４は、マイナンバーカードＭの所有者に関する基本情報の一部であり、ここでは「表示基本情報」ということとする。表示基本情報として使用される情報の種類はここに挙げた４つのものに限られるものではなく、これらの一部のみを表示基本情報として使用してもよく、あるいはこれらの情報に他の情報を加えたものを表示基本情報として使用してもよく、あるいはこれらの情報とは異なる情報を表示基本情報として使用してもよい。マイナンバーカードＭの製造番号７６は、マイナンバーカードごとに付与される番号であり、マイナンバーカードを識別するための識別情報として用いることができる。例えば、本人確認体が運転免許証である場合には免許証番号を識別情報として用いることができる。

本人確認体としてのマイナンバーカードＭの内部には記憶部としての記録媒体が備えられ、当該記録媒体には、外面に表示されている顔写真７０の画像データ（記録顔データ）が記憶されている。また、この記録媒体には、外面に表示されている表示基本情報の画像データ及びテキストデータが記録基本情報として記憶されている。さらに、この記録媒体には、上記の情報に加えて、暗証番号（ＰＩＮ）の入力により利用可能な電子証明書なども記憶されている。

本人確認体は、例えば、スマートフォン等の情報通信端末であってもよい。この場合、本人確認体に表示される顔写真及び基本情報は、本人確認体のディスプレイなどの出力装置に表示されるものであってもよい。また、本人確認体の記録媒体は、外部のデータベースと通信可能に構成され、当該記録媒体に当該外部のデータベースから受信した当該顔写真の画像データが記録顔データとして記憶されてもよい。

確認体撮影部３４は、使用者が使用しようとしている本人確認体を撮影し、本人確認体の外面の少なくとも一部の画像を取得する（第１の）画像取得部として機能する。この確認体撮影部３４は、撮影対象を撮影することが可能で、かつ、その画像データを取得することが可能なものであればよい。確認体撮影部３４は、一例として、撮影データの取得が可能なデジタルカメラである。ただし、前述の機能を発揮することができれば、確認体撮影部３４の一例はデジタルカメラでなくてもよく、例えば、スキャナであってもよい。

制御部３９のプログラムＰにより実現される表示顔データ取得部６１は、確認体撮影部３４により撮影された本人確認体の外面の画像データから顔写真７０（図３参照）が表示された部分を表示顔データとして取得する。

また、プログラムＰにより実現される表示情報取得部６２は、確認体撮影部３４により撮影された本人確認体の外面の画像からそれぞれの情報（氏名７１、住所７２、性別７３、生年月日７４、有効期限７５、製造番号７６、及びセキュリティコード７７）が表示された部分を抽出し、これらの部分に記載されている文字を認識してそのデータを取得する。したがって、この表示情報取得部６２は、確認体撮影部３４により取得された画像データから識別情報としての製造番号７６を取得する識別情報取得部及び確認体撮影部３４により取得された画像データから表示基本情報（氏名７１、住所７２、性別７３、及び生年月日７４）を取得する表示基本情報取得部として機能し得る。

読取部３６は、本人確認体の記録媒体に記憶されているデータを読み取って、読み取ったデータを記憶する機能を有する。すなわち、読取部３６は、本人確認体の記録媒体から顔写真７０の画像データ（記録顔データ）を読み取って取得する記録顔データ取得部及び本人確認体の記録媒体から記録基本情報を読み取って取得する記録基本情報取得部として機能し得る。例えば、本人確認体がカード等である場合であってデータがＲＦタグのメモリー（図示省略）に記憶されているときには、読取部３６は読み取ったデータを記憶可能なＲＦＩＤ型の読取装置であればよい。

なお、セキュリティ上の理由により、本人確認体の記録媒体に記憶されているデータに対するアクセスが制限されることがあるが、例えば、本人確認体がマイナンバーカードＭである場合には、表示情報取得部６２により取得された生年月日７４、有効期限７５、及びセキュリティコード７７を組み合わせた照合番号を入力することで、読取部３６により記録顔データ及び記録基本情報を読み出すことが可能である。

また、例えば、本人確認体がスマートフォン等の情報通信機器である場合には、読取部３６は、インターネット、赤外線等を利用した通信方法によるデータ転送により、本人確認体からデータ（例えば記録顔データや記録基本情報）を読み取って、読み取ったデータを記憶するものであってもよい。いずれの場合であっても、読取部３６は、本人確認体の種類に合う方法により、データの読み取りが可能であればよい。

制御部３９のプログラムＰにより実現される認証部６３は、後述するように取得された複数の顔データに基づいて、本人確認体が本物である（改竄されたものではない）との肯定判断又は本人確認体が偽物である（改竄されたものである）との否定判断をする。

複数の顔データに基づく本人確認体の認証の方法としては任意のものを使用することができる。例えば、認証部６３は、（１）対象とする顔データのそれぞれに対して特徴データを算出し、（２）（i）算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在する場合には、本人確認体が本物である（改竄されたものではない）との肯定判断をし、（ii）そうでない場合には本人確認体が偽物である（改竄されたものである）との否定判断をしてもよい。

あるいは、認証部６３は、（１）対象とする顔データのそれぞれにおける複数の特徴点を算出し、（２）これらの特徴点を比較して、（i）一致する特徴点の数が定められた数以上の場合には、本人確認体が本物である（改竄されたものではない）との肯定判断をし、（ii）そうでない場合には本人確認体が偽物である（改竄されたものである）との否定判断をしてもよい。

この「特徴データ」又は「特徴点」は、一例として、顔における両目を含む部分の画像から得られるデータである。より具体的には、例えば、（１）顔の骨格、（２）一方の目の外側端部と他方の目の外側端部との距離、（３）一方の目の内側端部と他方の目の内側端部との距離、（４）一方の目の外側端部と他方の目の外側端部とを結ぶ第１仮想直線に対する一方の目の内側端部と他方の目の内側端部とを結ぶ第２仮想直線の角度、（５）一方の目の眼球の中心と他方の目の眼球の中心との距離、（６）前記第１仮想直線に対する一方の目の眼球の中心と他方の目の眼球の中心と第３仮想直線の角度、（７）各目の最大幅、（８）各目の最大幅同士の比、（９）鼻の形状、（１０）両目に対する鼻の位置、（１１）両目に対する口の位置等の値の中のうち予め選ばれた１つ以上のデータである。

「算出したそれぞれの特徴データから得られる特徴値」とは、前述の予め定められた特徴データを用いて、制御部３９のプログラムＰに組み込まれている関数から算出される値を意味する。例えば、（２）、（４）及び（５）がパラメタとなっている関数によって算出される値であってもよく、（２）、（３）及び（６）がパラメタとなっている関数によって算出される値でもよい。また、これらの複数の値で構成されるｎ×ｍ行列（ｎ及びｍは１以上の整数）で表される値でもよい。

なお、本実施形態における上記関数は、本願の発明者らが多数の人間をサンプルとして、同一の人物の場合や異なる人物の場合に、前述の例示した顔に関する各パーツの位置、大きさ、角度等に関するパラメタを収集して導き出した関数である。また、前述の「予め定められた範囲」とは、その関数から算出される特徴値に対して、本願の発明者らが当該関数を導き出した際に調整して求めた範囲である。

制御部３９のプログラムＰにより実現される送受信部６４は、表示情報取得部６２により取得された識別情報（製造番号７６）を通信部３７を介してサーバ５０に送信するとともに、この識別情報に関連付けられた保存顔データをサーバ５０に要求する機能を有する。また、送受信部６４は、表示顔データ取得部６１により取得された表示顔データ又は読取部３６により取得された記録顔データをサーバ５０に送信する機能及び表示情報取得部６２により取得された製造番号７６以外の情報をサーバ５０に送信する機能も有する。送受信部６４は、通信部３７を介してサーバ５０からの応答を受信するように構成されている。

〔サーバ５０〕
図１に示すように、サーバ５０は、ＲＯＭやＲＡＭ、フラッシュメモリなどを含む記憶部５１と、ネットワーク４０に接続してデータ通信を行うための通信部５２と、各構成要素の動作を制御する制御部５３とを備えている。記憶部５１には、ＯＳやサーバ５０を制御するためのプログラム、後述する顔データベース５４、その他各種データなどが格納されている。制御部５３は、プロセッサ（ＣＰＵ）、ＲＯＭ、ＲＡＭなどを備えており、記憶部５１に格納されたプログラムをＲＡＭにロードしてこれをプロセッサにより実行することにより様々な機能を実現している。

サーバ５０の記憶部５１に格納されている顔データベース５４は、本人確認体の識別情報と、この識別情報に関連付けられた顔データ（保存顔データ）とを含むレコードを含んでいる。本実施形態では、この顔データベース５４に含まれる識別情報としてマイナンバーカードＭの外面に表示される製造番号７６が使用される。

サーバ５０は、通信部５２（及び認証装置３０の通信部３７）を介して上述した認証装置３０の制御部３９と通信可能に接続されている。サーバ５０は、認証装置３０から識別情報としての製造番号７６とともに送信された保存顔データの取得要求を通信部５２を介して受信し、受信した識別情報をキーとして顔データベース５４から対応するレコードを検索できるようになっている。サーバ５０は、このレコードの検索結果を通信部５２を介して認証装置３０に送信する。また、サーバ５０は、認証装置３０から送信された表示顔データ又は記録顔データを受信し、受信した製造番号７６と関連付けて保存顔データとして顔データベース５４に保存することもできる。

次に、本実施形態の販売システム１０の販売動作について主に図４及び図５を参照しながら説明する。図４は、本実施形態の販売システム１０の認証装置３０における動作のフローチャート、図５は、サーバ５０における動作のフローチャートである。なお、前述のとおり、認証装置３０の動作については制御部３９がプログラムＰに基づいて認証装置３０の各部の動作を制御し、販売装置２０の動作については制御部２２が販売装置２０の各部の動作を制御し、サーバ５０の動作については制御部５３がサーバ５０の各部の動作を制御するが、以下の説明ではこの点を前提として説明する。

まず、複数の販売装置２０のうち１つの販売装置２０から商品を購入しようとする者がその販売装置２０の前に位置すると、販売システム１０は確認体撮影部３４のカード挿入口に本人確認体（マイナンバーカードＭ）を挿入するように当該商品を購入しようとする者に指示をする。そして、商品の購入を希望する、販売装置２０の使用者は、この指示に従い、本人確認体（マイナンバーカードＭ）を当該カード挿入口に挿入する。そうすると、認証装置３０では図４に示される販売動作のフローが開始される。

まず、認証装置３０の確認体撮影部３４は、本人確認体（マイナンバーカードＭ）の外面を撮影して、撮影した画像を撮影データとして取得する（図４のステップＳ１０参照）。そして、表示顔データ取得部６１は、この撮影データから顔写真７０が表示された部分を抽出して表示顔データとして取得し、表示情報取得部６２は、撮影データからそれぞれの情報（氏名７１、住所７２、性別７３、生年月日７４、有効期限７５、製造番号７６、及びセキュリティコード７７）が表示された部分を抽出し、これらの部分に記載されている文字を認識してそのデータを取得する（図４のステップＳ１１参照）。

また、読取部３６は、本人確認体（マイナンバーカードＭ）の記録媒体に記憶されている記録顔データ及び記録基本情報を読み取って、読み取った記録顔データ及び記録基本情報を記憶する（図４のステップＳ１２参照）。このとき、本人確認体のセキュリティ上要求される場合には、記録顔データ及び記録基本情報の読取のために、表示情報取得部６２により取得された情報の一部又は全部がセキュリティキーとして本人確認体に入力される。

上述した動作の順番は入れ替えて行われるようにしてもよい。例えばステップＳ１２の後にステップＳ１０とステップＳ１１を行ってもよい。また、ステップＳ１０及びステップＳ１１の動作をステップＳ１２と並行して行ってもよい。いずれの場合であっても、ステップＳ１０～ステップＳ１２は、後述するステップＳ２０の前に終了していればよい。

次いで、認証装置３０の送受信部６４は、表示情報取得部６２で取得された情報のうち識別情報（マイナンバーカードＭの製造番号７６）をサーバ５０に送信するとともに、この識別情報に関連付けられた顔データ（保存顔データ）を顔データベース５４から取得する要求をサーバ５０に送信する（図４のステップＳ２０参照）。

サーバ５０の通信部５２が、認証装置３０から送信された識別情報及びデータ取得要求を受信すると（図５のステップＳ５０参照）、サーバ５０の制御部５３は、受信した識別情報（製造番号７６）をキーとして記憶部５１に格納されている顔データベース５４から対応するレコードを検索する（図５のステップＳ５１参照）。この検索により対応するレコードが見つかった場合には、サーバ５０の制御部５３は、該当するレコード中の保存顔データを通信部５２を介して認証装置３０に送信する（図５のステップＳ５２参照）。一方、対応するレコードが見つからなかった場合には、サーバ５０の制御部５３は、要求された保存顔データが顔データベース５４に存在しないことを示すデータを通信部５２を介して認証装置３０に送信する（図５のステップＳ５３参照）。

次いで、認証装置３０の送受信部６４は、サーバ５０からの応答を受信し（図４のステップＳ２１参照）、サーバ５０からの応答が保存顔データであるか否かを判断する（図４のステップＳ３０参照）。サーバ５０からの応答が保存顔データであった場合には、認証装置３０の認証部６３は、（１）ステップＳ１１で取得された表示顔データ、（２）ステップＳ１２で取得された記録顔データ、及び（３）ステップＳ２１で受信された保存顔データに基づいてマイナンバーカードＭの認証を行う。例えば、認証部６３は、表示顔データ、記録顔データ、及び保存顔データのそれぞれに対して特徴データを算出し（図４のステップＳ３１参照）、算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在するか否かの判断を行うことでマイナンバーカードＭの認証を行う（図４のステップＳ３２参照）。

認証部６３は、ステップＳ３２で肯定判断をすると、本人確認体が本物であるとみなす。次いで、認証装置３０の制御部３９はその旨の情報（本人確認体が本物である旨の情報）を販売装置２０の制御部２２に送信し、制御部２２は受信した当該情報を受信すると、使用者への商品の販売動作を開始する（図４のステップＳ４０参照）。そして、販売装置２０による使用者への商品の販売の終了に伴い、本実施形態の販売動作も終了する。

これに対して、認証部６３は、ステップＳ３２で否定判断をすると、本人確認体が本物ではないとみなす。次いで、認証装置３０の制御部３９はその旨の情報（本人確認体が本物ではない旨の情報）を販売装置２０の制御部２２に送信し、制御部２２は当該情報を受信すると、販売装置２０による使用者への商品の販売動作を行わないまま、本実施形態の販売動作を終了する。この場合、販売システム１０は、使用者に対して、その旨、すなわち、本人確認体の認証ができなかったため商品の販売ができない旨を、表示装置（図示省略）、スピーカー（図示省略）その他の報知手段を利用して、使用者に報知するようにしてもよい。

一方、ステップＳ３０でサーバ５０からの応答が保存顔データではないと判断された場合、すなわち要求した保存顔データがサーバ５０の顔データベース５４に存在しないことを示すデータをサーバ５０から受信した場合には、送受信部６４は、表示顔データ取得部６１により取得された表示顔データをサーバ５０の顔データベース５４に保存するためにサーバ５０に送信する（図４のステップＳ３３参照）。

サーバ５０の通信部５２が、上記ステップＳ３３で認証装置３０から送信された表示顔データを受信すると、サーバ５０の制御部５３は、この受信した表示顔データを上記ステップＳ５０で受信した識別情報（製造番号７６）に関連付けて顔データベース５４に保存する。ここで保存された表示顔データは、次回、同一の識別情報を用いて認証が行われる際に保存顔データとしてステップＳ３１で参照されることとなる。したがって、次回の認証までに例えば本人確認体の外面の顔写真７０が改竄された場合には、ステップＳ１１で取得される表示顔データ（改竄された顔写真７０の画像データ）とステップＳ２１で受信される保存顔データ（改竄前の顔写真７０の画像データ）とが一致しにくくなるため、ステップＳ３２で否定判断がされやすくなる。このため、本人確認体に表示される顔写真が改竄された場合においても、本人であると誤って認証されることを防止することが可能となる。これは、本人確認体の記録媒体に記憶されている記録顔データが改竄された場合も同様である。

上記のようにステップＳ３３において表示顔データがサーバ５０に送信され、顔データベース５４に保存された後、認証装置３０の認証部６３は、（１）ステップＳ１１で取得された表示顔データ及び（２）ステップＳ１２で取得された記録顔データに基づいてマイナンバーカードＭの認証を行う。例えば、認証部６３は、表示顔データ及び記録顔データのそれぞれに対して特徴データを算出し（図４のステップＳ３４参照）、算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在するか否かの判断を行うことでマイナンバーカードＭの認証を行う（図４のステップＳ３５参照）。

ステップＳ３５で認証部６３が肯定判断をすると、本人確認体が本物であるとみなす。次いで、認証装置３０の制御部３９はその旨の情報を販売装置２０の制御部２２に送信し、制御部２２は受信した当該情報を受信すると、使用者への商品の販売動作を開始する（図４のステップＳ４０参照）。そして、販売装置２０による使用者への商品の販売の終了に伴い、本実施形態の販売動作も終了する。

一方、認証部６３は、ステップＳ３５で否定判断をすると、使用者が本人確認体の所有者でないとみなす。次いで、認証装置３０の制御部３９はその旨の情報を販売装置２０の制御部２２に送信し、制御部２２は当該情報を受信すると、販売装置２０による使用者への商品の販売動作を行わないまま、本実施形態の販売動作を終了する。

例えば、特許文献１に開示されている本人認証装置（以下、比較形態という。）の場合、前述のとおり、（１）第１の顔画像（本人確認体に添付された顔画像）及び第２の顔画像（本人確認体の記録媒体に保存された顔画像）のそれぞれから複数の特徴点を抽出したうえで、（２）２つの顔画像のそれぞれが有する複数の特徴点同士の比較を行い、（３）当該２つの画像で一致する特徴点の数が一定数以上存在する場合には、同一人物の顔画像であると判定する。そのため、比較形態の場合、本人認証を行うために、少なくとも、上記（１）において２つの顔画像からそれぞれの複数の特徴点の抽出処理のための時間、及び、上記（２）において２つの顔画像の特徴点同士の比較処理のための時間を要することになる。

これに対して、例えば、認証部６３が、（１）表示顔データ、記録顔データ、及び保存顔データ、あるいは表示顔データ及び記録顔データのそれぞれに対して特徴データを算出し、（２）（i）算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在する場合には本人確認体が本物であるとの肯定判断をし、（ii）そうでない場合には本人確認体が本物ではないとの否定判断をするようにすれば、２つ以上の顔画像から複数の特徴点を抽出すること、さらに、各顔画像の複数の特徴点同士を比較することも行わずに、予め定められた特徴データに基づく特徴値の比較のみで認証を行うことができる。したがって、本実施形態の認証装置３０によれば、比較形態に比べて、認証の時間を短くすることができる。これに伴い、本実施形態の認証装置３０を備える販売システム１０は、比較形態の場合に比べて、使用者による動作の開始から商品の販売が終了するまでの時間を短くすることができる。また、本実施形態のプログラムＰによれば、比較形態の場合に比べて、認証の時間を短くすることができる。

なお、本実施形態の場合、特徴値の算出をするために、一例として、顔の一部である両目を含む部分の画像を用いている。そのため、正確な顔全体の画像がなくても認証を行うことができる点で有効である。例えば、本実施形態の場合、第１の顔画像（本人確認体に表示された表示顔データ）における認証のために使用される部分（本実施形態の場合は、顔の一部である両目を含む部分）以外の部分に何らかの原因により顔の一部をマスクする付着物が付着しているような場合であっても、認証を行うことが可能となる。この効果は、比較形態の場合には実現できないものといえる。

また、比較形態における本人認証装置では、上述したように、本人確認書類に添付された顔写真等が改竄された場合には、本人であると誤って認証してしまうおそれがあるが、本実施形態によれば、本人確認体に表示される顔写真に対応する表示顔データ及びこの顔写真に対応して記録された記録顔データに加えて、本人確認体を識別するための識別情報に関連付けられてサーバの顔データベースに保存された保存顔データを用いて認証を行うため、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データの両方が改竄されていても、改竄されていない保存顔データと表示顔データ及び記録顔データとが一致しにくくなるため、本人であると誤って認証されにくくなる。

図６は、本発明の第２の実施形態に係る認証装置における動作のフローチャートである。本実施形態は、第１の実施形態における認証判断ステップＳ３２又はＳ３５において肯定判断された場合に追加の認証判断ステップＳ１１１又はＳ１１２が行われる点で第１の実施形態と異なる。

より具体的には、認証部６３は、認証判断ステップＳ３２で肯定判断をした後、さらに、ステップＳ１１で表示情報取得部６２により取得された表示基本情報とステップＳ１２で読取部３６により取得された記録基本情報とがその一部（例えば、氏名７１及び生年月日７４）又は全部において一致するか否かを判断する（図６のステップＳ１１１参照）。表示基本情報と記録基本情報とが一致すると判断された場合には販売動作（ステップＳ４０）が行われ、一致しないと判断された場合には、認証部６３は本人確認体が改竄されたものであるとみなす。そして、本販売動作のフローは終了となる。

認証判断ステップＳ３５で肯定判断をした後にも同様に追加の認証判断ステップＳ１１２が行われ、表示基本情報と記録基本情報とが一致すると判断された場合には販売動作（ステップＳ４０）が行われ、一致しないと判断された場合には、認証部６３は本人確認体が改竄されたものであるとみなす。そして、本販売動作のフローは終了となる。

上述した第１の実施形態では、例えば、表示顔データと記録顔データとが別人の顔データであっても、２つの顔データから得られる特徴値が極めて同等である場合には（例えば、極めて類似する双子の場合が考えられる。）、すなわち２つの顔データの特徴値が予め定められた範囲内に存在する場合には、本人確認体が本物であると認証されることになる。しかしながら、本実施形態の場合には、認証判断ステップＳ３２又はステップＳ３５でいわゆる顔認証を行った後に、顔認証とは異なる視点での認証である、表示基本情報と記録基本情報とがその一部又は全部において一致するかを判断する（ステップＳ１１１又はステップＳ１１２）。したがって、本実施形態の場合、画像による認証で肯定判断がされた場合であっても、本人確認体が改竄されたものであるとの否定判断をすることができる。別の見方をすると、本実施形態によれば、顔画像による認証で見極めることができない、本人確認体の改竄を見破ることができる。

図７は、本発明の第３の実施形態に係る認証装置２３０を含む販売システム２１０を示す概略図、図８は、図７に示される販売装置２０及び認証装置２３０の機能的構成を示すブロック図である。本実施形態における認証装置２３０は、例えばカメラにより構成される使用者撮影部２３１と、制御部３９のプログラムＰにより実現される使用者顔データ取得部２６１とを有する点が上述した第１の実施形態における認証装置３０と異なっている。

使用者撮影部２３１は、販売装置２０の使用者を撮影し、使用者の顔の画像を取得する（第２の）画像取得部として機能する。この使用者撮影部２３１は、撮影対象を撮影することが可能で、かつ、その画像データを取得することが可能なものであればよい。使用者撮影部２３１は、一例として、撮影データの取得が可能なデジタルカメラである。ただし、前述の機能を発揮することができれば、使用者撮影部２３１の一例はデジタルカメラでなくてもよい。

制御部３９のプログラムＰにより実現される使用者顔データ取得部２６１は、使用者撮影部２３１により取得された画像から使用者の顔を撮影した使用者顔データを取得するように構成されている。

本実施形態における認証部６３は、第１の実施形態において使用された顔データに加えて、使用者顔データ取得部２６１により取得される使用者顔データを用いて本人確認体の認証を行うように構成されている。また、本実施形態における送受信部６４は、第１の実施形態で述べた機能に加えて、使用者顔データ取得部２６１により取得された使用者顔データをサーバ５０に送信する機能も有している。

図９は、本実施形態における認証装置２３０の動作のフローチャートである。認証装置２３０において販売動作のフローが開始されると、まず、販売装置２０の使用者撮影部２３１は、使用者を撮影して、撮影した画像を撮影データとして取得する（図９のステップＳ２１０参照）。そして、使用者顔データ取得部２６１は、この撮影データから使用者の顔を抽出して使用者顔データとして取得する（図９のステップＳ２１１参照）。

また、認証装置２３０の確認体撮影部３４は、本人確認体（マイナンバーカードＭ）の外面を撮影して、撮影した画像を撮影データとして取得する（図９のステップＳ１０参照）。そして、表示顔データ取得部６１は、この撮影データから顔写真７０が表示された部分を抽出して表示顔データとして取得し、表示情報取得部６２は、撮影データからそれぞれの情報（氏名７１、住所７２、性別７３、生年月日７４、有効期限７５、製造番号７６、及びセキュリティコード７７）が表示された部分を抽出し、これらの部分に記載されている文字を認識してそのデータを取得する（図９のステップＳ１１参照）。

また、読取部３６は、本人確認体（マイナンバーカードＭ）の記録媒体に記憶されている記録顔データ及び記録基本情報を読み取って、読み取った記録顔データ及び記録基本情報を記憶する（図９のステップＳ１２参照）。このとき、本人確認体のセキュリティ上要求される場合には、記録顔データ及び記録基本情報の読取のために、表示情報取得部６２により取得された情報の一部又は全部がセキュリティキーとして本人確認体に入力される。

これらの動作の順番は入れ替えて行われるようにしてもよい。例えばステップＳ１２の後にステップＳ１０とステップＳ１１を行い、その後ステップＳ２１０とステップＳ２１１を行ってもよい。また、ステップＳ２１０及びステップＳ２１１の動作とステップＳ１０及びステップＳ１１の動作とをステップＳ１２と並行して行ってもよい。いずれの場合であっても、ステップＳ２１０、ステップＳ２１１、ステップＳ１０～ステップＳ１２は、後述するステップＳ２０の前に終了していればよい。

次いで、認証装置３０の送受信部６４は、表示情報取得部６２で取得された情報のうち識別情報（マイナンバーカードＭの製造番号７６）をサーバ５０に送信するとともに、この識別情報に関連付けられた顔データ（保存顔データ）を顔データベース５４から取得する要求をサーバ５０に送信する（図９のステップＳ２０参照）。

第１の実施形態と同様に、サーバ５０の通信部５２が、認証装置３０から送信された識別情報及びデータ取得要求を受信すると、サーバ５０の制御部５３は、受信した識別情報（製造番号７６）をキーとして記憶部５１に格納されている顔データベース５４から対応するレコードを検索する。この検索により対応するレコードが見つかった場合には、サーバ５０の制御部５３は、該当するレコード中の保存顔データを通信部５２を介して認証装置３０に送信する。一方、対応するレコードが見つからなかった場合には、サーバ５０の制御部５３は、要求された保存顔データが顔データベース５４に存在しないことを示すデータを通信部５２を介して認証装置３０に送信する。

次いで、認証装置３０の送受信部６４は、サーバ５０からの応答を受信し（図９のステップＳ２１参照）、サーバ５０からの応答が保存顔データであるか否かを判断する（図９のステップＳ３０参照）。サーバ５０からの応答が保存顔データであった場合には、認証部６３は、（１）ステップＳ２１１で取得された使用者顔データ、（２）ステップＳ１１で取得された表示顔データ、（３）ステップＳ１２で取得された記録顔データ、及び（４）サーバ５０から送信された保存顔データに基づいてマイナンバーカードＭの認証を行う。例えば、認証部６３は、使用者顔データ、表示顔データ、記録顔データ、及び保存顔データのそれぞれに対して予め定められた特徴データを算出し（図９のステップＳ２３１参照）、算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在するか否かの判断を行うことでマイナンバーカードＭの認証を行う（図９のステップＳ３２参照）。

認証部６３は、判断ステップＳ３２で肯定判断をすると、本人確認体が本物であるとみなす。次いで、認証装置３０の制御部３９はその旨の情報（本人確認体が本物である旨の情報）を販売装置２０の制御部２２に送信し、制御部２２は受信した当該情報を受信すると、使用者への商品の販売動作を開始する（図９のステップＳ４０参照）。そして、販売装置２０による使用者への商品の販売の終了に伴い、本実施形態の販売動作も終了する。

これに対して、認証部６３は、ステップＳ３２で否定判断をすると、本人確認体が本物ではないとみなす。次いで、認証装置３０の制御部３９はその旨の情報（本人確認体が本物ではない旨の情報）を販売装置２０の制御部２２に送信し、制御部２２は当該情報を受信すると、販売装置２０による使用者への商品の販売動作を行わないまま、本実施形態の販売動作を終了する。

一方、ステップＳ３０でサーバ５０からの応答が保存顔データではないと判断された場合、すなわち要求した保存顔データがサーバ５０の顔データベース５４に存在しないことを示すデータをサーバ５０から受信した場合には、送受信部６４は、表示顔データ取得部６１により取得された表示顔データをサーバ５０の顔データベース５４に保存するためにサーバ５０に送信する（図９のステップＳ３３参照）。

サーバ５０の通信部５２が、上記ステップＳ３３で送受信部６４により送信された表示顔データを受信すると、サーバ５０の制御部５３は、この受信した表示顔データを受信した識別情報に関連付けて顔データベース５４に保存する。ここで保存された表示顔データは、次回、同一の識別情報を用いて認証が行われる際に保存顔データとして認証ステップＳ２３１で参照されることとなる。したがって、次回の認証までに例えば本人確認体の外面の顔写真７０が改竄された場合には、ステップＳ１１で取得される表示顔データ（改竄された顔写真７０の画像データ）とステップＳ２１で受信される保存顔データ（改竄前の顔写真７０の画像データ）とが一致しにくくなるため、判断ステップＳ３２で否定判断がされやすくなる。このため、本人確認体に表示される顔写真が改竄された場合においても、本人であると誤って認証されることを防止することが可能となる。これは、本人確認体の記録媒体に記憶されている記録顔データが改竄された場合も同様である。

上記のようにステップＳ３３において表示顔データがサーバ５０に送信され、顔データベース５４に保存された後、認証装置２３０の認証部６３は、（１）ステップＳ２１１で取得された使用者顔データ、（２）ステップＳ１１で取得された表示顔データ、及び（３）ステップＳ１２で取得された記録顔データに基づいてマイナンバーカードＭの認証を行う。例えば、認証部６３は、使用者顔データ、表示顔データ、及び記録顔データのそれぞれに対して予め定められた特徴データを算出し（図９のステップＳ３４参照）、算出したそれぞれの特徴データから得られる特徴値が予め定められた範囲に存在するか否かの判断を行うことでマイナンバーカードＭの認証を行う（図９のステップＳ３５参照）。

ステップＳ３５で認証部６３が肯定判断をすると、本人確認体が本物であるとみなす。次いで、認証装置３０の制御部３９はその旨の情報を販売装置２０の制御部２２に送信し、制御部２２は受信した当該情報を受信すると、使用者への商品の販売動作を開始する（図９のステップＳ４０参照）。そして、販売装置２０による使用者への商品の販売の終了に伴い、本実施形態の販売動作も終了する。

一方、認証部６３は、ステップＳ３５で否定判断をすると、使用者が本人確認体の所有者でないとみなす。次いで、認証装置３０の制御部３９はその旨の情報を販売装置２０の制御部２２に送信し、制御部２２は当該情報を受信すると、販売装置２０による使用者への商品の販売動作を行わないまま、本実施形態の販売動作を終了する。


このように、本実施形態によれば、本人確認体に表示される顔写真に対応する表示顔データ、この顔写真に対応して記録された記録顔データ、サーバの顔データベースに保存された保存顔データに加えて、販売装置２０の使用者の顔を撮影した使用者顔データを用いて認証を行うため、本人確認体の所有者と販売装置２０の使用者とが同一人であるか否かを認証することが可能となる。

本実施形態においても、第２の実施形態のように、認証部６３が、認証判断ステップＳ３２で肯定判断をした後、さらに、ステップＳ１１で表示情報取得部６２により取得された表示基本情報とステップＳ１２で読取部３６により取得された記録基本情報とがその一部又は全部において一致するか否かを判断し、一致すると判断された場合に販売動作（ステップＳ４０）を行い、一致しないと判断された場合に認証部６３は本人確認体が改竄されたものであるとみなしてもよい。そして、認証判断ステップＳ３５で肯定判断をした後にも同様に追加の認証判断ステップを行い、表示基本情報と記録基本情報とが一致すると判断された場合には販売動作を行い、一致しないと判断された場合には、認証部６３は本人確認体が改竄されたものであるとみなしてもよい。

上述した各実施形態では、認証装置３０が要求する保存顔データがサーバ５０の顔データベース５４に存在しなかった場合に、表示顔データ取得部６１により取得された表示顔データをサーバ５０の顔データベース５４に保存するために認証装置３０からサーバ５０に送信している（ステップＳ３３）が、この表示顔データに代えて又は表示顔データに加えて、読取部３６より取得された記録顔データ及び／又は第３の実施形態における使用者顔データ取得部２６１により取得された使用者顔データを認証装置３０からサーバ５０に送信し、保存顔データとして顔データベース５４に保存してもよい。

特に、販売装置２０の使用者を撮影した使用者顔データをサーバ５０の顔データベース５４に保存することとすれば、サーバ５０の顔データベース５４に保存される保存顔データが使用者の最近の顔を撮影したものとなるため、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データのいずれか一方が改竄された場合に、保存顔データが改竄された表示顔データ又は記録顔データと一致しにくくなる可能性が高くなる。したがって、本人確認体が改竄された場合に、本人であると誤って認証されることをより効果的に防止することが可能となる。

また、送受信部６４は、上述した機能に加えて、Ｓ１１で取得された表示基本情報又はＳ１２で取得された記録基本情報をサーバ５０の顔データベース５４に保存するためにサーバ５０に送信する機能を有していてもよい。サーバ５０は、この送受信部６４から送信された表示基本情報又は記録基本情報を通信部５２を介して受信し、識別番号としての製造番号７６と関連付けて顔データベース５４に保存してもよい。このような表示基本情報又は記録基本情報を顔データベース５４に保存しておけば、次回、同一の識別情報を用いて認証が行われる際に、本人確認体から取得される表示基本情報又は記録基本情報と顔データベース５４に保存されている表示基本情報又は記録基本情報とを照合することが可能になる。したがって、次回の認証までに本人確認体の外面に表示されている基本情報又は記録媒体に保存されている基本情報が改竄されたことを見破ることが可能になる。

本実施形態におけるステップＳ２３１又はＳ２３４では、（１）ステップＳ２１１で取得された使用者顔データ、（２）ステップＳ１１で取得された表示顔データ、及び（３）ステップＳ１２で取得された記録顔データを利用しているが、ステップＳ２３１又はＳ２３４において表示顔データ及び記録顔データの一方を利用せずに本人確認体の認証を行ってもよい。例えば、ステップＳ２３１において（１）使用者顔データ、（２）記録顔データ、及び（３）保存顔データに基づいて本人確認体の認証を行い、ステップＳ２３４において（１）使用者顔データ及び（２）記録顔データに基づいて本人確認体の認証を行ってもよい。この場合には、ステップＳ１０及びＳ１１は不要となる。あるいは、ステップＳ２３１において（１）使用者顔データ、（２）表示顔データ、及び（３）保存顔データに基づいて本人確認体の認証を行い、ステップＳ２３４において（１）使用者顔データ及び（２）表示顔データに基づいて本人確認体の認証を行ってもよい。この場合には、ステップＳ１２において記録顔データを取得する必要はない。

本実施形態における使用者撮影部２３１は、販売装置２０の使用者の顔を定められたフレームレートで撮影して、撮影した顔の複数の画像をフレームデータとして取得する機能を有していてもよい。すなわち、使用者撮影部２３１は、使用者の顔を定められた期間に撮影して、時間順で記録された複数の静止画の束である動画データとして取得する機能を有していてもよい。この場合には、使用者撮影部２３１は、撮影対象（この例の場合は使用者の顔）を連続的に撮影することが可能で、かつ、そのデータを取得することが可能であればよい。このような使用者撮影部２３１は、一例として、撮影データの取得が可能なデジタルカメラ又はデジタルビデオカメラである。ただし、前述の機能を発揮することができれば、使用者撮影部２３１の一例はデジタルカメラ又はデジタルビデオカメラでなくてもよい。なお、ここでいう「定められたフレームレート」は、一例として、０．０５秒、０．１秒等の一定の時間間隔であっても、異なる複数の時間間隔であってもよい。いずれにしても、使用者撮影部２３１は、使用者を撮影する期間、例えば２秒等の期間に、少なくとも２枚以上の顔の静止画を取得することができるものであり得る。

使用者撮影部２３１が使用者の顔を複数の画像（一例としてＮ枚の画像（Ｎは１以上の正の整数））からなるフレームデータとして取得する場合には、使用者顔データ取得部２６１は、使用者撮影部２３１により取得された複数のフレームデータのうち１枚のフレームデータから使用者顔データを取得してもよい。この場合、制御部３９は、認証判断ステップＳ３２又はＳ３５に先立って、自身が有するカウンタ（図示省略）を用いて、カウンタの初期設定を行う。このカウンタは、認証判断ステップＳ３２又はＳ３５において判断の対象となるフレームデータを特定するために使用される。カウンタの初期設定では、ステップＳ２１０において取得された複数のフレームデータのうちの１枚目（定められた期間に撮影された複数の画像のうち１番目に撮影された画像）がセットされることになる。そして、ステップＳ３２又はＳ３５で否定判断がなされた場合には、カウンタが１つ増やされ、使用者顔データ取得部２６１は、使用者撮影部２３１により取得された複数のフレームデータのうち別のフレームデータから使用者顔データを取得し、認証部６３がこの使用者顔データから特徴データを算出し、カウンタが所定値になるまで再度認証判断ステップＳ３２又はＳ３５を繰り返してもよい。最大Ｎ枚目のフレームデータまでこれを繰り返して本人確認体の認証を行うことができる。

認証部６３が、単一の撮影画像から取得される使用者顔データに基づいて認証を行う場合には、撮影時の顔の状態（例えば、目の開き加減等の顔の表情を変化させる筋肉の状態）によっては、認証を肯定すべきところ認証を肯定できない場合も考えられる。上述のように、使用者撮影部２３１で複数の画像からなるフレームデータを取得し、使用者顔データ取得部２６１でこれらのフレームデータから複数の使用者顔データを取得することで、撮影時の顔の状態によって認証が否定されるような場合においても認証を肯定することが可能となり得る。このように、本人確認体の認証を高精度に行ってより適切な販売動作を行うことが可能となる。

この場合において、認証装置２３０は、使用者撮影部２３１が定められたフレームレートで使用者の顔を撮影する期間、当該使用者がその表情を連続的に変化させるように当該使用者に示唆又は刺激を付与する機能を有する付与部を有していてもよい。このような付与部は、音声データに基づき音声を発生させるスピーカーであってもよい。この場合、当該スピーカーは、撮影される使用者に音声を発生させて、例えば、一方又は両方の目の開閉、口を開閉させる等の示唆を使用者に付与するようにしてもよい。また、例えば、付与部は、ディスプレイ等の表示装置により連続的に表情を変化させることを示唆する動画又は文章を表示するものであってもよい。さらに、ディスプレイ等の表示装置に表示される動画又は静止画により使用者の五感を刺激して連続的に表情を変化させることを示唆してもよい。このような連続的に変化する顔の状態を撮影した複数の顔画像のフレームデータを利用することで、認証をより高精度に行うことができる。

上述の各実施形態では、マイナンバーカードを識別するための識別情報としてマイナンバーカードの製造番号７６（図３）を用いた例を説明したが、マイナンバーカードを識別するための識別情報は製造番号に限られるものではなく、例えば表示情報取得部６２により取得される情報の一部（例えば、氏名７１及び生年月日７４を組み合わせたもの）を識別情報として用いることとしてもよい。あるいは、読取部３６によりマイナンバーカードＭの記録媒体から取得可能な基本情報（氏名、住所、性別、及び生年月日）を組み合わせたものや読取部３６によりマイナンバーカードＭの記録媒体から取得可能な個人番号を識別情報として用いてもよい。

上述の認証装置３０の認証部６３は、それぞれの顔データにおける顔全体のデータから特徴点を抽出しているが、顔の「一部」のデータから特徴点を抽出してもよい。このように顔の「一部」のデータから特徴点を抽出することとすれば、上述の実施形態に比べて、特徴点を抽出するために必要な時間が短くなり、認証の時間を短くすることができる。

このように顔の「一部」のデータから特徴点を抽出するようにした場合に、認証部６３が、顔の「一部」のデータから特徴点を抽出して否定判断に至った後に、顔の「他の一部」のデータから特徴点を抽出して再度認証を行ってもよい。例えば、認証部６３が、顔の「一部」として両目に基づいて認証を行った後、顔の「他の一部」として、鼻、両まつ毛、骨格その他の両目以外の部分に基づいて再認証を行ってもよい。また、顔の「他の一部」として、両目以外の部分と両目とを組み合わせた部分に基づいて再認証を行ってもよい。このような再認証を行うことにより、使用者が所有者であるにも関わらず認証部６３が肯定判断をしない場合であっても、より正確な認証を行うことができる。特に、先の判断ステップＳ３１又はステップＳ３４において肯定判断をしない場合に、異なる顔画像の一部として先の判断ステップＳ３１又はステップＳ３４の対象となった部分（上述の例では両目）を含む部分とすることで、より確実に肯定判断を行うことができる。

また、このような再認証を複数回行うようにしてもよい。この場合、２回目以降に行われる再認証は、過去にデータ化した「他の一部」と同一でない部分の顔画像をデータ化したものについて認証すればよい。

また、上述した各実施形態において、確認体撮影部３４により本人確認体の外面の顔写真７０を撮影する際に、確認体撮影部３４が、顔写真７０に照射する照射光の照射条件を変化させて複数枚の顔画像を撮影し、表示顔データ取得部６１が、そのうちの１枚の顔画像から表示顔データを取得するようにしてもよい。そして、ステップＳ３２又はＳ３５で否定判断がなされた場合に、表示顔データ取得部６１が、この認証に使用された顔画像とは異なる照射条件で撮影された顔画像から表示顔データを取得し、再度認証判断ステップＳ３２又はＳ３５を繰り返してもよい。このようにすれば、例えば、本人確認体の外面が汚れにより黒ずんでいるような場合に、例えば、認証が肯定されるべきところが顔画像のコントラストの問題で否定されるようなときでも、異なる照射条件で撮影された他の顔画像から取得される表示顔データに基づいて認証を行うことで、認証を肯定することが可能となり得る。すなわち、正しい認証を行う確率が高くなる。このような照射光の照射条件としては、照射光の光量（又は光強度）や波長又は波長分布が考えられる。

上述した各実施形態において、例えば、本人確認体（一例としてスマートフォン等の情報通信機器）と認証装置３０は、ネットワーク、例えばインターネットを介して互いに接続可能とされ、本人確認体は、アプリケーションを介して認証装置３０と通信可能とされていてもよい。この場合において、認証部６３は、本人確認体に対しアプリケーションを介して認証ＩＤ（例えば、パスワード等）を用いた１段階又は多段階の本人確認体認証が可能とされ、前記アプリケーションを介した本人確認体認証ができなかった場合には、肯定判断及び再度の肯定判断を行わずに、使用者がこの本人確認体の所有者でないとの否定判断をするようにしてもよい。

上述した各実施形態の説明では、販売装置２０と認証装置３０又は２３０とによって販売システム１０又は２１０を構成しているが、以下に述べるように、販売装置２０に代えて異なる装置と認証装置３０又は２３０を組み合わせてシステムを構築することもできる。

図１０は、上述した認証装置３０又は２３０とともに利用可能な通過装置３２０を示す概略図である。このような通過装置３２０と上述した認証装置３０又は２３０とにより通過システムを構成することができる。

通過装置３２０は、認証装置３０又は２３０と通信可能に接続され、一の領域と他の領域との連通路（図示省略）に配置されている開閉バー３２１を有している。この通過装置３２０は、認証装置３０又は２３０の認証部６３が本人確認体の認証を肯定した場合に、肯定判断をした旨の情報を認証装置３０又は２３０から受信して、開閉バー３２１を連通路の遮断位置から開放位置に移動させて使用者の通過を許可する機能を有する。

このような通過システムによれば、使用者による動作の開始から短時間で使用者が連通路を通過可能かを判断することができる。また、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データのいずれか一方が改竄された場合であっても、改竄された表示顔データ又は記録顔データが改竄されていない保存顔データと一致しにくくなるため、本人であると誤って通過の許可がされることが少なくなる。

図１０に示される例では、通過装置３２０は、開閉バー３２１を連通路の遮断位置から開放位置に移動させて使用者が連通路を通過することを許可する機能を有しているが、例えば、連通路を跨ぐように赤外線等の電磁波を照射可能として、肯定判断がなされた場合には赤外線をオフにして使用者の通過を許可し、否定判断がなされた場合には赤外線をオンにして使用者の通過により赤外線が分断されることで使用者の不正通過を報知するようにしてもよい。いずれの場合であっても肯定判断がなされた通過者の通過を許可し、否定判断がなされた通過者の通過を不可能にするか、不正通過の報知をするようにすればよい。この場合、不正通過の報知は、通過装置３２０が備える報知装置（不図示）によって行うようにすればよい。

図１１は、上述した認証装置３０又は２３０とともに利用可能な現金自動預け払い装置４２０を示す概略図である。このような現金自動預け払い装置４２０と上述した認証装置３０又は２３０とにより現金自動預け払いシステムを構成することができる。

現金自動預け払い装置４２０は、認証装置３０又は２３０と通信可能に接続されており、認証装置３０又は２３０の認証部６３が本人確認体の認証を肯定した場合に、肯定判断をした旨の情報を認証装置３０又は２３０から受信して、使用者に例えばモニター４２１をユーザーインターフェイスとして現金自動預け払い動作を可能にさせる機能を有する。

このような現金自動預け払いシステムによれば、使用者による動作の開始から短時間で使用者に現金自動預け払い動作が可能かを判断することができる。また、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データのいずれか一方が改竄された場合であっても、改竄された表示顔データ又は記録顔データが改竄されていない保存顔データと一致しにくくなるため、本人であると誤って現金自動預け払い動作の許可がされることが少なくなる。

本明細書では、各実施形態がそれぞれ異なる形態であるとして説明した。しかしながら、複数の実施形態のうちの一の実施形態の一部の構成要素を他の実施形態の構成要素と組み合わせることも可能である。

以上述べたように、本発明の第１の態様によれば、本人確認体に表示される顔写真又はその記録顔データが改竄された場合であっても、本人確認体が誤って認証されることを抑制することができる認証装置が提供される。具体的には、本発明に係る認証装置は、以下のような構成を採用することができる。

（構成１）
認証装置は、外面に表示される顔写真と、上記顔写真に対応して記憶部に記録される記録顔データとを含む本人確認体の認証を行うために使用される。上記認証装置は、上記本人確認体の上記外面の少なくとも一部の画像を取得する第１の画像取得部と、上記第１の画像取得部により取得された上記画像から上記顔写真に対応する表示顔データを取得する表示顔データ取得部と、上記第１の画像取得部により取得された上記画像又は上記本人確認体の上記記憶部から上記本人確認体を識別するための識別情報を取得する識別情報取得部と、上記本人確認体の上記記憶部から上記記録顔データを取得する記録顔データ取得部と、顔データベースを有するサーバに上記識別情報取得部により取得された上記識別情報を送信して、上記識別情報に関連付けられた保存顔データを要求するとともに、該要求に対する応答として上記サーバから上記顔データベースに保存された上記保存顔データ又は上記要求した保存顔データが上記顔データベースに存在しないことを示すデータを受信する送受信部と、上記表示顔データ取得部により取得された上記表示顔データと、上記記録顔データ取得部により取得された上記記録顔データと、上記送受信部により受信された上記サーバからの上記応答とに少なくとも基づいて、上記本人確認体を認証する認証部とを備える。

このような構成によれば、本人確認体に表示される顔写真に対応する表示顔データ及びこの顔写真に対応して記録された記録顔データに加えて、本人確認体を識別するための識別情報に関連付けられてサーバの顔データベースに保存された保存顔データを用いて認証を行うため、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データのいずれか一方が改竄された場合であっても、改竄された表示顔データ又は記録顔データが改竄されていない保存顔データと一致しにくくなるため、本人であると誤って認証されにくくなる。

（構成２）
上記構成１において、上記認証部は、上記送受信部が上記サーバから上記顔データベースに保存された上記保存顔データを受信した場合には、（１）上記表示顔データ取得部により取得された上記表示顔データ、（２）上記記録顔データ取得部により取得された上記記録顔データ、及び（３）上記送受信部により受信された上記保存顔データに基づいて上記本人確認体を認証し、上記送受信部が上記サーバから上記要求した保存顔データが上記顔データベースに存在しないことを示すデータを受信した場合には、（１）上記表示顔データ取得部により取得された上記表示顔データ及び（２）上記記録顔データ取得部により取得された上記記録顔データに基づいて上記本人確認体を認証するように構成され得る。

（構成３）
上記構成１又は２において、上記送受信部は、上記表示顔データ取得部により取得された上記表示顔データ及び上記記録顔データ取得部により取得された上記記録顔データの少なくとも一方を上記顔データベースに保存するためにさらに上記サーバに送信するように構成されていてもよい。

（構成４）
上記構成１又は２において、上記送受信部は、上記サーバから上記要求した保存顔データが上記顔データベースに存在しないことを示すデータを受信した場合に、上記表示顔データ取得部により取得された上記表示顔データ及び上記記録顔データ取得部により取得された上記記録顔データの少なくとも一方を上記顔データベースに保存するためにさらに上記サーバに送信するように構成されていてもよい。

（構成５）
上記構成１から４のいずれかにおいて、上記本人確認体は、上記本人確認体の所有者に関する基本情報として上記外面に表示される表示基本情報と、上記基本情報として上記記憶部に記録される記録基本情報とをさらに含んでいてもよい。上記認証装置は、上記第１の画像取得部により取得された上記画像から上記表示基本情報を取得する表示基本情報取得部と、上記本人確認体の上記記憶部から上記記録基本情報を取得する記録基本情報取得部とをさらに備えていてもよい。上記認証部は、上記本人確認体の認証を肯定した場合であって、上記表示基本情報取得部により取得された上記表示基本情報と上記記録基本情報取得部により取得された上記記録基本情報とがその一部又は全部において一致しない場合には、上記本人確認体の認証を否定するように構成されていてもよい。この構成によれば、顔画像による認証で見極めることができない、本人確認体の改竄を見破ることができる。

（構成６）
上記構成１から５のいずれかにおいて、上記送受信部は、上記表示基本情報又は上記記録基本情報を上記顔データベースに保存するためにさらに上記サーバに送信するように構成されていてもよい。

（構成７）
上記構成１から６のいずれかにおいて、上記認証装置は、使用者を撮影した画像を取得する第２の画像取得部と、上記第２の画像取得部により取得された上記画像から上記使用者の顔を撮影した使用者顔データを取得する使用者顔データ取得部とをさらに備えていてもよい。上記認証部は、上記表示顔データ、上記記録顔データ、及び上記サーバからの上記応答に加えて、上記使用者顔データ取得部により取得された上記使用者顔データに基づいて、上記本人確認体を認証するように構成され得る。

このような構成によれば、本人確認体に表示される顔写真に対応する表示顔データ、この顔写真に対応して記録された記録顔データ、サーバの顔データベースに保存された保存顔データに加えて、使用者の顔を撮影した使用者顔データを用いて認証を行うため、本人確認体の所有者と使用者とが同一人であるか否かを認証することが可能となる。

（構成８）
上記構成７において、上記認証部は、上記送受信部が上記サーバから上記顔データベースに保存された上記保存顔データを受信した場合には、（１）上記使用者顔データ取得部により取得された上記使用者顔データ、（２）上記表示顔データ取得部により取得された上記表示顔データ、（３）上記記録顔データ取得部により取得された上記記録顔データ、及び（４）上記送受信部により受信された上記保存顔データに基づいて上記本人確認体を認証し、上記送受信部が上記サーバから上記要求した保存顔データが上記顔データベースに存在しないことを示すデータを受信した場合には、（１）上記使用者顔データ取得部により取得された上記使用者顔データ、（２）上記表示顔データ取得部により取得された上記表示顔データ、及び（３）上記記録顔データ取得部により取得された上記記録顔データに基づいて上記本人確認体を認証するように構成され得る。

（構成９）
上記構成７又は８において、上記送受信部は、上記使用者顔データ取得部により取得された上記使用者顔データを上記顔データベースに保存するためにさらに上記サーバに送信するように構成され得る。このように、使用者の顔を撮影した使用者顔データをサーバの顔データベースに保存することとすれば、サーバの顔データベースに保存される保存顔データが使用者の最近の顔を撮影したものとなるため、本人確認体に表示される顔写真及びこの顔写真に対応して記録された記録顔データのいずれか一方が改竄された場合であっても、保存顔データが改竄された表示顔データ又は記録顔データと一致しにくくなる可能性が高くなる。したがって、本人確認体が改竄された場合に、本人であると誤って認証されることをより効果的に防止することが可能となる。

（構成１０）
本発明の第２の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続され、商品を販売する販売装置とを備える販売システムが提供される。上記販売装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して、商品の販売を可能にするように構成される。

（構成１１）
本発明の第３の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続され、一の領域と他の領域との連通路における使用者の通過の許可又は上記使用者の通過の監視をする通過装置とを備える通過システムが提供される。上記通過装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して上記使用者の上記連通路の通過を許可し、上記認証部が上記本人確認体の認証を否定した場合に、上記使用者の上記連通路の通過を不可能にする又は報知するように構成される。

（構成１２）
本発明の第４の態様によれば、上記構成１から９のいずれかの認証装置と、上記認証装置と通信可能に接続されている現金自動預け払い装置とを備える現金自動預け払いシステムが提供される。上記現金自動預け払い装置は、上記認証装置の上記認証部が上記本人確認体の認証を肯定した場合に、肯定した旨の情報を上記認証装置から受信して、使用者に現金自動預け払い動作を可能にさせるように構成される。

これまで本発明の好ましい実施形態について説明したが、本発明は上述の実施形態に限定されず、その技術的思想の範囲内において種々異なる形態にて実施されてよいことは言うまでもない。

１０，２１０ 販売システム
２０ 販売装置
２２ 制御部
２４ 商品ディスプレイ
２６ 商品取り出し口
３０，２３０ 認証装置
３４ 確認体撮影部
３５ 記憶部
３６ 読取部
３７，３８ 通信部
３９ 制御部
４０ ネットワーク
５０ サーバ
５１ 記憶部
５２ 通信部
５３ 制御部
５４ 顔データベース
６１ 表示顔データ取得部
６２ 表示情報取得部
６３ 認証部
６４ 送受信部
７０ 顔写真
２３１ 使用者撮影部
２６１ 使用者顔データ取得部
３２０ 通過装置
３２１ 開閉バー
４２０ 払い装置
４２１ モニター
Ｍ マイナンバーカード（本人確認体）
Ｐ プログラム
Ｓ サンプル

Claims (12)

1. 外面に表示される顔写真と、前記顔写真に対応して記憶部に記録される記録顔データとを含む本人確認体の認証を行う認証装置であって、
   前記本人確認体の前記外面の少なくとも一部の画像を取得する第１の画像取得部と、
   
   前記第１の画像取得部により取得された前記画像から前記顔写真に対応する表示顔データを取得する表示顔データ取得部と、
   前記第１の画像取得部により取得された前記画像又は前記本人確認体の前記記憶部から前記本人確認体を識別するための識別情報を取得する識別情報取得部と、
   前記本人確認体の前記記憶部から前記記録顔データを取得する記録顔データ取得部と、
   顔データベースを有するサーバに前記識別情報取得部により取得された前記識別情報を送信して、前記識別情報に関連付けられた保存顔データを要求するとともに、該要求に対する応答として前記サーバから前記顔データベースに保存された前記保存顔データ又は前記要求した保存顔データが前記顔データベースに存在しないことを示すデータを受信する送受信部と、
   前記表示顔データ取得部により取得された前記表示顔データと、前記記録顔データ取得部により取得された前記記録顔データと、前記送受信部により受信された前記サーバからの前記応答とに少なくとも基づいて、前記本人確認体を認証する認証部と
   を備える、認証装置。
2. 前記認証部は、
   前記送受信部が前記サーバから前記顔データベースに保存された前記保存顔データを受信した場合には、（１）前記表示顔データ取得部により取得された前記表示顔データ、（２）前記記録顔データ取得部により取得された前記記録顔データ、及び（３）前記送受信部により受信された前記保存顔データに基づいて前記本人確認体を認証し、
   前記送受信部が前記サーバから前記要求した保存顔データが前記顔データベースに存在しないことを示すデータを受信した場合には、（１）前記表示顔データ取得部により取得された前記表示顔データ及び（２）前記記録顔データ取得部により取得された前記記録顔データに基づいて前記本人確認体を認証する
   ように構成される、
   請求項１に記載の認証装置。
3. 前記送受信部は、前記表示顔データ取得部により取得された前記表示顔データ及び前記記録顔データ取得部により取得された前記記録顔データの少なくとも一方を前記顔データベースに保存するためにさらに前記サーバに送信するように構成される、請求項１に記載の認証装置。
4. 前記送受信部は、前記サーバから前記要求した保存顔データが前記顔データベースに存在しないことを示すデータを受信した場合に、前記表示顔データ取得部により取得された前記表示顔データ及び前記記録顔データ取得部により取得された前記記録顔データの少なくとも一方を前記顔データベースに保存するためにさらに前記サーバに送信するように構成される、請求項１に記載の認証装置。
5. 前記本人確認体は、
   前記本人確認体の所有者に関する基本情報として前記外面に表示される表示基本情報と、
   前記基本情報として前記記憶部に記録される記録基本情報と
   をさらに含み、
   前記第１の画像取得部により取得された前記画像から前記表示基本情報を取得する表示基本情報取得部と、
   前記本人確認体の前記記憶部から前記記録基本情報を取得する記録基本情報取得部と
   をさらに備え、
   前記認証部は、前記本人確認体の認証を肯定した場合であって、前記表示基本情報取得部により取得された前記表示基本情報と前記記録基本情報取得部により取得された前記記録基本情報とがその一部又は全部において一致しない場合には、前記本人確認体の認証を否定するように構成される、
   請求項１に記載の認証装置。
6. 前記送受信部は、前記表示基本情報又は前記記録基本情報を前記顔データベースに保存するためにさらに前記サーバに送信するように構成される、請求項５に記載の認証装置。
7. 使用者を撮影した画像を取得する第２の画像取得部と、
   前記第２の画像取得部により取得された前記画像から前記使用者の顔を撮影した使用者顔データを取得する使用者顔データ取得部と
   をさらに備え、
   前記認証部は、前記表示顔データ、前記記録顔データ、及び前記サーバからの前記応答に加えて、前記使用者顔データ取得部により取得された前記使用者顔データに基づいて、前記本人確認体を認証するように構成される、
   請求項１に記載の認証装置。
8. 前記認証部は、
   前記送受信部が前記サーバから前記顔データベースに保存された前記保存顔データを受信した場合には、（１）前記使用者顔データ取得部により取得された前記使用者顔データ、（２）前記表示顔データ取得部により取得された前記表示顔データ、（３）前記記録顔データ取得部により取得された前記記録顔データ、及び（４）前記送受信部により受信された前記保存顔データに基づいて前記本人確認体を認証し、
   前記送受信部が前記サーバから前記要求した保存顔データが前記顔データベースに存在しないことを示すデータを受信した場合には、（１）前記使用者顔データ取得部により取得された前記使用者顔データ、（２）前記表示顔データ取得部により取得された前記表示顔データ、及び（３）前記記録顔データ取得部により取得された前記記録顔データに基づいて前記本人確認体を認証する
   ように構成される、
   請求項７に記載の認証装置。
9. 前記送受信部は、前記使用者顔データ取得部により取得された前記使用者顔データを前記顔データベースに保存するためにさらに前記サーバに送信するように構成される、請求項７に記載の認証装置。
10. 請求項１から９のいずれか一項に記載の認証装置と、
    前記認証装置と通信可能に接続され、商品を販売する販売装置と
    を備え、
    前記販売装置は、前記認証装置の前記認証部が前記本人確認体の認証を肯定した場合に、肯定した旨の情報を前記認証装置から受信して、商品の販売を可能にするように構成される、
    販売システム。
11. 請求項１から９のいずれか一項に記載の認証装置と、
    前記認証装置と通信可能に接続され、一の領域と他の領域との連通路における使用者の通過の許可又は前記使用者の通過の監視をする通過装置と
    を備え、
    前記通過装置は、前記認証装置の前記認証部が前記本人確認体の認証を肯定した場合に、肯定した旨の情報を前記認証装置から受信して前記使用者の前記連通路の通過を許可し、前記認証部が前記本人確認体の認証を否定した場合に、前記使用者の前記連通路の通過を不可能にする又は報知するように構成される、
    通過システム。
12. 請求項１から９のいずれか一項に記載の認証装置と、
    前記認証装置と通信可能に接続されている現金自動預け払い装置と
    を備え、
    前記現金自動預け払い装置は、前記認証装置の前記認証部が前記本人確認体の認証を肯定した場合に、肯定した旨の情報を前記認証装置から受信して、使用者に現金自動預け払い動作を可能にさせるように構成される、
    現金自動預け払いシステム。

Images