JP6021264B2 - 行動履歴に対応する画像を利用した本人認証システム、認証方法、及び認証プログラム - Google Patents

Description

本発明は、個人の認証を行うための本人認証システム、認証方法、及び認証プログラムに関し、特に、被認証者の行動履歴に対応した画像に基づいて、個人の認証を行う本人認証システム、認証方法、及び認証プログラムに関する。

近年、個人の認証を電子的に行うために、被認証者個人の行動履歴に基づいて認証を行う認証システムが提案されている。例えば、特許文献１には、ユーザ端末のカメラにより認証対象物を撮像した場合に、この操作をトリガとして、ユーザの現在位置情報、現在時刻情報及び対象物の画像データをサーバに送り、送られた画像データが予め登録しておいた位置条件、時間条件、画像条件と照合され、上記条件を満たすと判定された場合に認証ＩＤを発行する認証情報発行システムが開示されている。

また、特許文献２には、購買履歴、建物への入場、知人との合流、画像の撮影等の様々な行動履歴を組み合わせて認証情報を生成することで、行動履歴情報の偏りを防止し、他者による行動履歴情報の推測を困難にするための認証システムが開示されている。

特開２００９−１７５８８７ 特開２０１１−５９８３７

上記特許文献１、２に記載の認証システムは、パスワードの登録や生体情報の登録等の操作を被認証者に強いることなしに、認証情報を生成する認証システムの構築を目的としたものである。しかしながら、このような認証システムであっても、認証情報生成のためには、ユーザが認証に用いる対象物の画像を撮影する必要があったり（特許文献１）、行動履歴情報の偏りを防止するために、ユーザの様々な行動履歴がユーザが意識することなしにシステムに大量に収集されてしまうといったプライバシー上の課題があったりする（特許文献２）。

一方、従来からの文字列のパスワードによる認証方法は、多くのユーザにとって手軽で慣れ親しんだ方法ではあるが、文字列によるパスワードは漏洩されやすく、また、漏洩を防止するためパスワードの定期的な更新は、ユーザにとって煩わしい作業である。そのため、従来のパスワードのような手軽さは残しつつも、認証情報を自動的に生成し更新するような仕組みが望まれる。

したがって、本発明では、上記のような課題に鑑み、文字情報ではなく画像情報を用い、画像情報と行動履歴の情報とを組み合わせて、被認証者本人のみが記憶する被認証者の実際の行動に対応した画像の組み合わせをパスワードとし、このパスワードを自動的に生成かつ更新する本人認証システムを提供することを目的とする。

本発明の本人認証システムは、以下のような解決手段を提供する。

請求項１に記載の発明は、複数の画像により本人認証を行う本人認証システムであって、被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶する行動履歴記憶部と、前記行動履歴に対応する認証用画像を取得して記憶する認証用画像記憶部と、前記行動履歴記憶部に記憶された行動履歴に対応した複数の認証用画像の組み合わせを抽出し、前記認証用画像とは異なる複数の虚偽画像を前記認証用画像と同時に被認証者の端末の認証画面に表示させる認証用画像生成部と、前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定する本人認証部と、を備えることを特徴とする。

上記の構成によれば、被認証者の日々の行動を行動履歴記憶部に記録しておき、記録した行動それぞれに対応した画像を取得し、この取得した行動履歴に対応する画像と、行動履歴には対応しない虚偽画像をそれぞれ複数組み合わせて、認証画面に同時に表示する。被認証者が、この認証画面から、本人のみが知る自らの行動と合致する正しい画像の組み合わせを選択すると、本人認証がＯＫと判定される。このようにして、被認証者本人の行動履歴と画像を組み合わせた認証システムが実現できる。行動履歴に基づいた画像の組み合わせを認証パスワードとしているので、通常のパスワードのように文字列を記憶する必要がなく、かつパスワードを自分で登録／更新せずとも、被認証者の行動に応じて、認証パスワードとなる認証用画像も自動的に更新される。

請求項２に記載の発明は、請求項１に記載の発明において、前記本人認証部は、前記被認証者が前記認証画面において、前記行動履歴に記憶された前記被認証者の行動の順に対応する前記認証用画像を選択した場合に、本人認証完了と判定することを特徴とする。

上記の構成によれば、認証パスワードとしての画像を、その組み合わせを正しく選択しただけでは不十分で、その選択順序も考慮される。すなわち、被認証者が行動した順番に、それらの行動と対応する画像の順番も正しく選択したときのみに、本人認証がＯＫとなる。このようして、選択した画像の組み合わせが他人によって選択したものと偶然一致する確率を大幅に下げて、認証強度を高めることができる。

請求項３に記載の発明は、請求項２に記載の発明において、前記被認証者の携帯端末の現在位置を取得し、前記行動履歴記憶部に記憶する端末位置情報取得部と、前記端末位置情報取得部が取得した前記携帯端末の位置の画像である地点画像を取得する地点画像取得部と、を更に備え、前記認証用画像生成部は、前記取得された地点画像から、前記認証用画像の組み合わせを抽出することを特徴とする。

上記の構成によれば、行動履歴として、被認証者の携帯端末の位置情報を取得し、被認証者の移動した地点の画像を随時取得しておく。そして、複数の地点の画像の組み合わせ及びその順番を認証パスワードとして用いる。このようにすることで、被認証者の行動履歴を簡単に収集することができ、被認証者にとっては自分が訪れた場所の画像（写真等）が認証パスワードとして用いられるので記憶が蘇りやすく選択がしやすい。

請求項４に記載の発明は、請求項３の発明において、前記認証用画像生成部は、前記取得された地点画像のうち、前記被認証者の移動方向に相当する方向から撮られた写真画像から、前記認証用画像の組み合わせを抽出することを特徴とする。

上記の構成によれば、上記の地点画像は、被認証者が実際に移動した移動方向も考慮して抽出される。すなわち、同じ地点の複数の画像から、自らの移動方向に相当する画像（移動方向とほぼ同じ方向からみた画像）を正しく選択する必要がある。このようにすることで、認証強度を更に高めることができる。

請求項５に記載の発明は、請求項２に記載の発明において、前記被認証者のクレジットカード利用情報を取得し、前記行動履歴記憶部に記憶するクレジットカード利用情報取得部を更に備え、前記認証用画像生成部は、前記クレジットカード利用情報取得部が取得したクレジットカード利用情報に基づいて、クレジットカードを利用した店舗の画像から、前記認証用画像の組み合わせを抽出することを特徴とする。

上記の構成によれば、被認証者がクレジットカードの会員である場合、そのクレジットカードを使った購買履歴を行動履歴として利用し、利用した店舗（加盟店）の画像を取得する。このようにして得られた店舗画像を認証用画像として抽出する。このようすることで、被認証者が実際に買い物をした店舗の画像を認証用画像として利用できるので記憶に残りやすい。

請求項６に記載の発明は、請求項２に記載の発明において、前記被認証者のクレジットカード利用情報を取得し、前記行動履歴記憶部に記憶するクレジットカード利用情報取得部を更に備え、前記認証用画像生成部は、前記クレジットカード利用情報取得部が取得したクレジットカード利用情報に基づいて、クレジットカードで購入した商品の画像から、前記認証用画像の組み合わせを抽出することを特徴とする。

上記の構成によれば、上記の場合と同様に、被認証者がクレジットカードの会員である場合、そのクレジットカードを使った購買履歴を行動履歴として利用し、購入した商品の画像を取得する。このようにして得られた商品画像を認証用画像として抽出する。このようにすることで、被認証者が実際に買った商品の画像を認証用画像として利用できるのでより記憶に残りやすい。

請求項７に記載の発明は、請求項５又は６に記載の発明において、前記被認証者のクレジットカードの会員属性を取得し、前記会員属性に応じて、前記認証画面に表示される前記認証用画像の数又は前記虚偽画像の種類を変更することを特徴とする。

上記の構成によれば、被認証者がクレジットカードの会員である場合、登録された会員属性（年齢、性別、住所等）によって、認証画面に表示する認証用画像の数又は虚偽画像の種類を変化させる。例えば、被認証者が高齢者のような場合、認証用画像の数を比較的少なくして誤入力を減らすことができる。また、例えば、被認証者が女性の場合、虚偽画像として表示する商品画像も女性が購入する可能性の高い商品のみに限定することができる。また、虚偽画像としての店舗画像も被認証者が住む地域の店舗の画像を中心にして用いることができる。このようにすることで、被認証者に適した認証画面を構成することができる。

請求項８に記載の発明は、請求項２に記載の発明において、前記被認証者がウェブサイトに投稿した画像、又はウェブサイトからダウンロードした画像の情報を含むサイト閲覧情報取得部を更に備え、前記認証用画像生成部は、前記投稿又はダウンロードされた画像から、前記認証用画像の組み合わせを抽出することを特徴とする。

上記構成によれば、被認証者がアクセスしたウェブサイトの閲覧履歴を行動履歴として利用する。この場合、アクセスしたウェブサイトに被認証者が投稿した画像又はダウンロードした画像を認証用画像として用いることができる。特に無記名で投稿した画像や、ダウンロードした画像は、第三者に類推されにくく、認証用画像として適する。

請求項９に記載の発明は、請求項１〜８のいずれかに記載の発明において、前記認証用画像生成部は、前記認証用画像を抽出するための前記行動履歴のパターンの選択を受け付けることを特徴とする。

上記構成によれば、行動履歴として用いるパターンを被認証者が随時選択することができる。このようにすることで、様々なパターンの行動履歴を被認証者が選択することができるので、行動履歴の偏りを防止して認証強度を更に高めたり、逆にシステムが収集する行動履歴を制限してプライバシーを保護したりすることができる。

請求項１０に記載の発明は、請求項１〜８のいずれかに記載の発明において、前記認証用画像は、静止画又は動画であることを特徴とする。

上記の構成によれば、認証用画像には静止画だけでなく動画も含めることができる。このようにすることで、移動履歴や購買履歴を行動履歴として用いる場合には、静止画だけでは判別しづらいような地点（特に移動方向を加味した場合）又は店舗の画像等を判別しやすくなり、また、ウェブサイトの閲覧履歴を行動履歴として用いる場合には、対象を動画専門のウェブサイトにも拡張することができる。

請求項１１に記載の発明は、複数の画像により本人認証を行う本人認証方法であって、被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶するステップと、前記行動履歴に対応する認証用画像を取得して記憶するステップと、前記記憶された認証用画像から前記被認証者の行動履歴に対応した複数の認証用画像の組み合わせを抽出するステップと、前記認証用画像とは異なる複数の虚偽画像を、前記認証用画像と同時に被認証者の端末の認証画面に表示させるステップと、前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定するステップと、を有することを特徴とする。

上記請求項１１に記載の発明は、請求項１に記載の本人認証システムを本人認証方法の発明と捉えたものであり、請求項１に記載の発明と同様な作用効果を奏する。

請求項１２に記載の発明は、複数の画像により本人認証を行う本人認証プログラムであって、コンピュータに、被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶するステップと、前記行動履歴に対応する認証用画像を取得して記憶するステップと、前記記憶された認証用画像から前記被認証者の行動履歴に対応した複数の認証用画像の組み合わせを抽出するステップと、前記認証用画像とは異なる複数の虚偽画像を、前記認証用画像と同時に被認証者の端末の認証画面に表示させるステップと、前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定するステップと、を実行させることを特徴とする。

上記請求項１２に記載の発明は、請求項１に記載の本人認証システム又は請求項１１の本人認証方法を、コンピュータが実行する本人認証プログラムの発明と捉えたものであり、請求項１又は請求項１１に記載の発明と同様な作用効果を奏する。

本発明によれば、被認証者本人のみが記憶する被認証者の行動に対応した画像の組み合わせを、パスワードとして自動的に生成かつ更新することができる本人認証システムを提供することができる。

本発明の一実施形態に係る本人認証システムの構成と機能ブロックを示す図である。 移動履歴ＤＢ１０２，クレジットカード利用履歴ＤＢ１０５，サイト閲覧履歴ＤＢ１０７に格納されるデータの具体例を示す図である。 被認証者端末２００のサイト閲覧履歴記憶部２０２、撮像画像記憶部２０３に格納されるデータの具体例を示す図である。 認証用画像生成処理のフローを示す図である。 本人認証処理のフローを示す図である。 行動履歴パターン選択画面の一例を示す図である。 認証画面の一例を示す図である。 認証画面の別の一例を示す図である。

以下、添付図面を参照して、本発明を実施するための形態（以下、実施形態）について詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号又は符号を付している。

図１は、本発明の一実施形態に係る本人認証システムの構成と機能ブロックを示す図である。図２は、移動履歴ＤＢ１０２，クレジットカード利用履歴ＤＢ１０５，サイト閲覧履歴ＤＢ１０７に格納されるデータの具体例を示す図である。図３は、被認証者端末２００のサイト閲覧履歴記憶部２０２、撮像画像記憶部２０３に格納されるデータの具体例を示す図である。以下、図１〜図３をまとめて説明する。

本実施形態の本人認証システムは、中核となる本人認証サーバ１００が、被認証者端末２００と、地図情報提供システム３００と、加盟店システム４００と、クレジットカード会社システム５００とにそれぞれネットワークで接続されて構成される。

本人認証サーバ１００は、被認証者が被認証者端末２００を用いて他のシステムに対する認証を受ける際に、最初にアクセスするサーバであり、独立して構成してもよいし、他のシステムに組み込まれて構成してもよい。例えば、クレジットカードのシステムにログインするための認証は、本人認証サーバ１００が、クレジットカード会社システム５００に組み込まれて認証を行うようにしてもよい。本人認証サーバ１００の機能については、後で詳しく説明する。

被認証者端末２００は、認証を受けようとする被認証者が所持する一又は複数の端末であり、被認証者が携帯する携帯端末（携帯電話、スマートフォン、タブレット端末等）を少なくとも一つ含むものとする。被認証者端末２００は、機能構成として、ＧＰＳ（Global Positioning System）等の自らの位置情報を取得する位置情報取得部２０１（携帯端末の場合）、ブラウザ等に組み込まれるサイト閲覧履歴記憶部２０２、内蔵カメラでの撮影した画像を保存する撮像画像記憶部２０３、表示部２０４を含む。

被認証者端末２００のサイト閲覧履歴記憶部２０２には、図３上段で示すように、閲覧したウェブサイトと、その際にアクセス（アップロード又はダウンロード）した画像データを日時情報とともに記憶している。また、撮像画像記憶部２０３には、図３下段で示すように、撮影した画像（写真又はビデオ）とその画像を外部に送信した日時情報を保存している。なお、「画像」とは、特に断らない限り、静止画だけでなく動画を含み、写真、絵画、イラスト、スケッチ、図形、シンボル、ビデオ、アニメーションを意味する。

地図情報提供システム３００は、主として、地図及び地図に関連する情報を提供するサービス事業者のシステムであり、地図上の位置に対応付けて、商業施設、公共施設等の建物、交差点等ある地点からみた景観である地点画像を格納する地点画像情報ＤＢ３０１を備える。加盟店システム４００は、クレジットカードの加盟店側のシステムであり、主に、店舗情報（店舗の場所、アクセス、店舗画像を含む）を格納する店舗情報４０１と、その店舗で取り扱う商品の情報（商品画像を含む）を格納する商品情報ＤＢ４０２とを備える。

本人認証サーバ１００は、処理部として、端末位置情報取得部１０１、地点画像取得部１０３、クレジットカード利用情報取得部１０４、サイト閲覧情報取得部１０６、店舗画像／商品画像取得部１０９、認証用画像生成部１１０、本人認証部１１１を含む。また、各処理部が必要なデータや処理した結果を格納するデータベースとして、移動履歴ＤＢ１０２、クレジットカード利用履歴ＤＢ１０５、サイト閲覧履歴ＤＢ１０７、加盟店ＤＢ１０８、認証用画像ＤＢ１１２（認証用画像記憶部）を備える。移動履歴ＤＢ１０２、クレジットカード利用履歴ＤＢ１０５，サイト閲覧履歴ＤＢ１０７は、いずれも被認証者の行動履歴を示す情報を格納するデータベースであり、それぞれを特に区別する必要のない場合は、総じて行動履歴記憶部１２０と呼ぶことにする。

端末位置情報取得部１０１は、ＧＰＳ等の位置情報取得手段を備えた携帯型の被認証者端末２００から、その端末の位置情報を随時取得する。位置情報を取得するタイミングは、端末の電源オン後、予め端末側で設定した時間間隔（例えば、数分〜数十分間隔）で取得することを基本とするが、加えて、端末が所定時間静止しているとき、あるいは、端末側で所定の操作（電話操作をする、メール操作をする、ウェブサイトを閲覧する、アプリを呼び出す、内蔵カメラで写真を撮る等）を行ったときに、位置情報を取得するようにしてもよい。取得した端末の位置情報（具体的には、緯度及び経度、場合によっては高度を含む）は、被認証者ＩＤごとに、取得された日時情報と共に、移動履歴ＤＢ１０２の移動履歴テーブル１０２ａに格納される（図２（ａ）参照）。

地点画像取得部１０３は、地図情報提供システム３００の地点画像情報ＤＢ３０１から、地点の画像情報を取得する。ここでいう地点とは、ビル、店舗、交差点、駅、インターチェンジ、橋等、道路上又は特定の場所から見て位置情報の目印となるような施設又は地形がある場所をいう。ある地点の画像は、主に写真であるが、スケッチまたはイラストであってもよい。なお、それぞれの地点の画像は、一つではなく異なる角度からみた複数の画像を含んでいることが好ましい。地点画像は、このようにして外部システムから取得した画像の他、被認証者自身が撮影または入手した画像を含めることができ、いずれの場合にも認証用画像ＤＢ１１２に「所定期間」保存される。ここで、「所定期間」とは、認証のための行動履歴として使用する期間（ＤＢに保存される期間）を意味し、例えば、直近の１週間、１ケ月のように、あるいはＸ月Ｘ日からＹ月Ｙ日までのように、被認証者が自由に設定することができる。このようにすることで、意図しない行動履歴すべてがシステムに保管されてしまうことを防げる。

クレジットカード利用情報取得部１０４は、被認証者が利用しているクレジットカード会社のシステムから、被認証者のクレジットカードの利用履歴を所定期間、クレジットカード利用履歴ＤＢ１０５に保存する。クレジットカード利用履歴ＤＢ１０５には、クレジットカード利用履歴テーブル１０５ａが含まれ、被認証者ＩＤごとに、カード利用日時、カード利用店舗のＩＤが含まれる（図２（ｂ）参照）。クレジットカード利用履歴テーブル１０５ａには、クレジットカードＮＯやその他の情報も格納することが可能であるが、プライバシー保護の観点からは必要最小限のデータのみとする。

サイト閲覧情報取得部１０６は、被認証者がインターネット上のブログ、ＳＮＳ、オークション等のウェブサイトに画像を投稿（アップロード）した際、又は画像をダウンロードした際の画像を含む情報を、被認証者端末２００のサイト閲覧履歴記憶部２０２及び撮像画像記憶部２０３から取得して、サイト閲覧履歴ＤＢ１０７に所定期間保存する。サイト閲覧履歴ＤＢ１０７には、投稿履歴テーブル１０７ａ及びダウンロード履歴テーブル１０７ｂが格納され、被認証者ＩＤ（被認証者識別情報）ごとに、投稿日時又はダウンロード日時、投稿先サイト又はダウンロード先サイト、投稿画像ファイル又はダウンロード画像ファイルが含まれる（図２（ｃ）参照）。画像の投稿日時は、被認証者端末２００から画像をウェブサイトに送信した日時の記録を用いるものとする。なお、投稿画像ファイルそのものは、認証用画像ＤＢ１１２に直接格納してもよい。また、サイト閲覧情報取得部１０６は、被認証者がウェブサイトにアクセスせずに、自らが撮影した画像を認証用画像ＤＢ１１２に格納する機能も有する。なお、このように投稿した画像やダウンロードした画像を認証用画像として使用する場合は、第三者に類推されにくくするために、無記名または別名で行うことが望ましい。

店舗画像／商品画像取得部１０９は、クレジットカード利用履歴ＤＢ１０５に格納された加盟店ＩＤ（加盟店識別情報）と加盟店ＤＢ１０８に基づいて、被認証者がクレジットカードを利用して買物をした際の加盟店の店舗画像、及び／又は購入した商品の画像を、加盟店システム４００の店舗情報ＤＢ４０１、商品情報ＤＢ４０２から取得する。店舗画像又は購入した商品の画像は、被認証者自身が撮影または入手した画像を認証用画像ＤＢ１１２に保管してもよい。なお、加盟店が店舗をもたないネット専門ショップの場合は、店舗画像として、ロゴマーク等の店舗を識別できる画像を用いてもよい。

認証用画像生成部１１０は、地点画像取得部１０３が取得した地点画像、店舗画像／商品画像取得部１０９が取得した店舗画像又は商品画像、サイト閲覧情報取得部１０６が取得した被認証者が投稿又はダウンロードした画像のいずれかから、被認証者の実際の行動に対応する画像の組み合わせを抽出する。具体例は後述するが、本システムの認証方法では、認証画面に複数の画像を縦横マトリクス状に配置して、被認証者端末２００の表示部２０４に表示させ、被認証者が表示された複数の画像の中から、自分自身の実際の行動と対応した画像を、記憶に基づいて正しく選択した場合にのみ本人認証ＯＫと判定する。画像の組み合わせだけでなく、行動した順に対応する画像を選択させるようにしてもよい。

ここで認証画面に表示される画像には、被認証者の実際の行動に対応した画像（正解画像）と、被認証者の行動とは無関係な画像（虚偽画像）が含まれる。正解画像には、被認証者が実際に訪れた地点の画像、クレジットカードで実際に購入した際に利用した店舗の画像又は購入した商品の画像、ウェブサイトで実際にアップロード又はダウンロードした画像が含まれる。虚偽画像は、正解画像取得の際に、正解画像と類似した画像を取得してもよいし、あらかじめ認証用画像ＤＢ１１２に用意されたものを利用してもよい。本実施形態では、正解画像、虚偽画像ともに認証用画像ＤＢ１１２に格納されるものとしている。

本人認証部１１１は、画面に表示された複数の画像のうち、被認証者が正解画像を正しく選択した場合にのみ認証ＯＫと判定する。例えば、被認証者が所定期間（例えば、この場合は直近の１ケ月程度）にクレジットカードで購入した商品が、「靴」、「洋服」、「パソコン」、「バック」であったとすると、認証画面でこれらの商品の画像を購入した順に正しく選択した場合にのみ認証ＯＫとし、一つでも間違って画像を選択したり、順番を間違えた場合には、認証ＮＧとする。もちろん、選択する画像の数（通常は４〜８個程度）は、被認証者の設定により変更可能としてもよいし、後述するように被認証者の会員属性によって自動的に変動させるようにしてもよい。一般に、選択する画像の数が多いほど、また行動履歴として使用する期間が長いほど、認証強度は高くなるが、逆に被認証者の記憶違いによる誤選択が多くなるので、選択する画像の数と行動履歴として使用する期間の長さは、反比例させることが望ましい。なお、プライバシー保護の観点から、上記の行動履歴として使用する期間を過ぎた行動履歴の情報は、順次消去することが望ましい。

上記で説明した本人認証サーバ１００の機能構成は、あくまで一例であり、一つの機能部（処理部及びデータベース）を更に分割してもよいし、あるいは複数の機能部をまとめて一つの機能部として構成してもよい。各機能部は、コンピュータに内蔵されたＣＰＵ（Central Processing Unit）が、ＲＯＭ（Read Only Memory）又はハードディスク等の記憶装置に格納されたコンピュータ・プログラムを読み出し、ＣＰＵにより実行されたコンピュータ・プログラムが、記憶装置に格納されたデータベース（ＤＢ;Data Base)やメモリ上の記憶領域からテーブル等の必要なデータを読み書きし、場合によっては、関連するハードウェア（例えば、入出力装置、表示装置、通信インターフェース装置等）を制御することによって実現される。また、本発明の実施形態におけるデータベース（ＤＢ）は、商用データベースであってよいが、単なるテーブルやファイルの集合体をも意味し、データベースの内部構造自体は問わないものとする。

図４は、認証用画像生成処理のフローを示す図である。本人認証サーバ１００の認証用画像生成部１１０は、認証を受けようとする被認証者に、認証に用いる行動履歴のパターンを選択させたうえで、以下の処理ステップを実行する。

まず、ステップＳ１０において、被認証者によって選択された行動履歴のパターンをチェックする。行動履歴パターンが移動履歴の場合は、ステップＳ１１へ購入履歴の場合は、ステップＳ１３へ、サイト閲覧履歴の場合は、ステップＳ１７へそれぞれ進む。もちろん、これ以外の行動履歴を追加することもできる。例えば、被認証者が通った小学校、中学校、高校等の学校の修学履歴を登録しておき、それぞれの学校の正門の写真やそれぞれの修学旅行の写真を認証用画像として用いることも可能である。あるいは、社会人の場合、職歴を登録しておき、それぞれの職場の写真やそれぞれの社員旅行等の写真を認証用画像として用いることもできる。

移動履歴の場合、ステップＳ１１において、移動履歴ＤＢより所定期間に被認証者が訪れた地点の画像を日時の順に複数抽出する。ここでは、所定期間及び抽出する地点の数は、被認証者によって予め設定された値とする。所定期間は、移動履歴が被認証者の記憶に残る数時間前から数週間前程度の期間とすることが望ましい。また、抽出する地点の数は、パスワードの桁数に相当するので被認証者が求める認証強度によって設定させる。なお、特に図示していないが、移動履歴に記録された地点をすべて抽出するのではなく、移動地点の種類を指定できるようにしてもよい。例えば、移動地点の種類を「通勤経路」と指定すると、予め登録しておいた自宅及び勤務先の住所と、位置情報に記録された日時を基にして、「通勤途中」に通過した交差点などの特定の地点のみを抽出する。また、移動地点の種類を「旅行」や「出張」と指定すると、自宅や勤務先のある地域以外の地点を抽出する。あるいは、抽出する地点を一定回数以上訪れたことのある地点のみを抽出するようにしてもよい。１回や２回しか訪れたことがなく、特に特徴のない地点は記憶に残りにくいからである。

移動履歴の場合、次にステップＳ１２において、抽出したそれぞれの地点の位置情報を用いて、移動履歴から抽出した地点の正解画像、及び抽出した地点とは異なる地点の画像（虚偽画像）を認証用画像ＤＢ１１２から取得する。例えば、交差点ごとに複数の角度からの画像を取得しておき、被認証者の移動する方向にほぼ一致する方角から撮った交差点の写真を正解画像とし、それ以外を虚偽画像として採用するようにしてもよい。

ステップＳ１２の処理が終わると、ステップＳ１９に移り、取得した正解画像と虚偽画像をマトリクス状にランダムに配置し、最後にステップＳ２０において、被認証者端末に送信して認証用画像生成処理は終了する。

行動履歴に購買履歴を用いる場合には、ステップＳ１３〜Ｓ１６の処理を実行する。まず、ステップＳ１３において、クレジットカード利用履歴ＤＢ１０５より、所定期間の購買情報を複数抽出する。この場合の所定期間は、移動履歴の場合より多少長く設定してもよい。通常、購買履歴は、移動履歴ほど頻繁に更新されるものではないからである。

購買履歴の場合、次にステップＳ１４において、被認証者の選択にしたがって、購入した店舗の画像を用いるか、購入した商品の画像を用いるかを判断する。店舗画像を用いる場合（ステップＳ１４：Ｙ）は、ステップＳ１５に進み、認証用画像ＤＢ１１２から、実際に商品を購入した店舗の画像（正解画像）と関係のない店舗の画像を虚偽画像として取得する。商品画像を用いる場合（ステップＳ１４：Ｎ）は、ステップＳ１６に進み、クレジットカード利用履歴ＤＢを参照して、認証用画像ＤＢ１１２から、購入した商品の画像（正解画像）及び関係のない商品の虚偽画像を取得する。正解画像は、被認証者が実際に訪れた店舗の画像や買った商品の画像を利用できるので記憶に残りやすい。なお、店舗画像及び商品画像は、加盟店システム４００から店舗画像／商品画像取得部１０９によって認証用画像ＤＢ１１２に格納されているものとする。以後の処理（ステップＳ１９以降）は、移動履歴の場合と同様である。

なお、特に図示していないが、被認証者がクレジットカード会員である場合には、登録された会員属性（年齢、性別、住所等）によって、表示される認証用画像の属性を自動的に変更するようにしてもよい。例えば、被認証者が高齢者の場合、表示される認証用画像の数を比較的少なくしたり、表示される認証用画像の大きさを変更したりして見やすくするようにしてもよい。このようにすることで、被認証者設定の項目を少なくすることができる。また、購買履歴を用いる場合は、被認証者属性によって、虚偽画像として用いる店舗や購入商品の画像を考慮することができる。例えば、被認証者が女性の場合、虚偽画像も女性が購入する可能性の高い商品の画像（衣類、服飾品、食品等）に限定するようなことができる。すなわち、年齢や性別に不相応と考えられる店舗や商品の画像は、虚偽画像として採用しないようにできる。このことは、移動履歴や次に述べるサイト閲覧履歴の場合であっても同様である。移動履歴の場合には、特に被認証者の住所や移動した場所の時間帯が考慮される。あるいは、場所や時間帯によって認証強度を変化させてもよい。

行動履歴にサイト閲覧履歴を用いる場合は、ステップＳ１７〜Ｓ１８の処理を実行する。まず、ステップＳ１７において、サイト閲覧履歴ＤＢ１０７より所定期間の閲覧サイトを複数抽出する。例えば、自分のブログやＦａｃｅｂｏｏｋ（登録商標）のようなＳＮＳサイトに写真を投稿した場合は、そのサイト名と画像ファイル名が日時情報ともに抽出される。ただし、閲覧したすべてのウェブサイトを抽出するのではなく、画像を投稿（アップロード）又はダウンロードしたウェブサイトのみを抽出する。また、抽出するウェブサイトの種類を限定してもよい。或いは、被認証者端末２００のサイト閲覧履歴記憶部２０２に特定のウェブサイト以外の情報は記録しないようにしてもよい。このようにすることで、他人に、自分が閲覧したウェブサイトをすべて知られる可能性をなくすことができる。なお、このサイト閲覧履歴を用いる場合の所定期間には、記憶に残り得る比較的短めの期間を設定することが望ましい。長時間経過した後のウェブサイトの閲覧は記憶に残りづらいからである。

サイト閲覧履歴の場合、次にステップＳ１８において、抽出したそれぞれのウェブサイトに投稿又はだダウンロードした画像データを、サイト閲覧履歴ＤＢ１０７を参照して認証用画像ＤＢ１１２から取得する。以降の処理（ステップＳ１９以降）は、移動履歴、購買履歴の場合と同じである。このようにサイト閲覧履歴を用いることで、ブログに投稿した画像やダウンロードした画像を認証用画像として利用したり、オークションサイトに出品したり落札した場合は、その商品画像を認証用画像として用いることができる。もちろん、投稿する画像又はダウンロードされる画像は、動画であってもよい。なお、被認証者がクレジットカードの会員である場合には、会員属性によって不相応と判断されるものは虚偽画像として採用しないのは同様である。

図５は、本人認証処理のフローを示す図である。本フローは、本人認証サーバ１００の本人認証部１１１が実行する処理ステップである。

本人認証部１１１は、まずステップＳ２０において、行動履歴記憶部１２０（移動履歴ＤＢ１０２，クレジットカード利用履歴ＤＢ１０５，サイト閲覧履歴ＤＢ１０７のいずれか）より、正解画像番号とその選択順序を取得する。次にステップＳ２１において、被認証者端末２００から入力された画像番号とその選択順序を受信する。例えば、認証用画像が５×５のマトリクスで画面に表示されるとすると、表示された各画像を画面上のマトリクス上の位置に対応した１〜２５の番号で表すことにする。そして、被認証者が画面上で選択した画像番号が、１−３−１１−２５の順であったとすると、この「１−３−１１−２５」の文字列を認証パスワードとして受信する。この認証パスワードは、被認証者の行動履歴と画面表示のパターンによって毎回変化させるのはいうまでもない。

次に、ステップＳ２２において、受信した認証パスワードの文字列が、正解の画像番号の組み合わせ及びその選択順序に完全に一致した場合（ステップＳ２２：Ｙ）にのみ、認証ＯＫと判定する（ステップＳ２３）。完全に一致しない場合は、認証ＮＧとなる（ステップＳ２４）。

図６は、行動履歴パターン選択画面の一例を示す図である。既に述べたように、認証に用いる行動履歴の種類（パターン）は被認証者が選択することができる。図示する行動履歴パターン選択画面６００は、行動履歴のどのパターンを用いるかを選択するための画面である。この行動履歴パターン選択画面６００は、認証を受ける際に毎回表示させるようにしてもよいが、被認証者が明示的に変更するまでは同じパターンを使用するようにしてもよい。ただし、被認証者が同じパターンを一定期間以上使っている場合には、変更を促すようにする。

ここで選択した行動履歴パターンに従い、以降の認証画面では、選択された行動履歴パターンに従った画像が認証用画像として表示される。また、複数のパターンを選択してもよいものとする（その場合は、認証画面が複数回表示される）。このようにすることで、認証用画像に用いるための行動履歴を被認証者が選択することができるので、行動履歴の偏りを防止して認証強度を更に高めたり、逆にシステムが収集する行動履歴を制限して一定のプライバシーを確保したりすることができる。

図７は、認証画面の一例を示す図である。ここでは、行動履歴パターンとして通勤経路を選択した場合の認証画面を示している。図示するように、ここでは地点画像として交差点の写真を用いている。被認証者が認証を要求すると、認証画面６１０が表示され、被認証者が直近に通過した通勤経路上にある交差点を通過した順に選択すると、認証画面６２０で示すように、選択順序が矢印と番号で表示されるようにしてもよい。

なお、既に述べたように、正解となる交差点の画像は、被認証者が実際に移動した方向も加味されるようにしてもよい。すなわち、同じ通勤経路の交差点の画像でも、行きと帰りでは正解画像が異なることになる。したがって、朝出社後に認証した場合と、夜帰宅後に認証した場合では、正解となる交差点の画像及びその選択順序が異なることになる。この移動方向をより明確に表示させるために、交差点の画像を静止画でなく、短時間の動画を含むようにしてもよい。また、同じ通勤経路でも毎日通る交差点を被認証者が意図的に変えるようにすれば、そのつど正解画像が変わることになる。このようにすることで、たとえ日常の通勤経路であっても、他人からの類推を困難にし、セキュリティの強化につながる。

また、車通勤の場合は、交差点の写真だけでなく、有料道路の料金所の写真などを認証用画像に加えてもよい。移動の際に通過した料金所は、被認証者端末２００の位置情報からだけでなく、ＥＴＣ（Electronic Toll Collection System）カードの使用履歴からも特定することができる。

図８は、認証画面の別の一例を示す図である。図示する認証画面６３０，６４０では、購入した商品の画像を認証用画像に用いた例を示している。すでに述べたように、被認証者がクレジットカードの会員の場合には、認証画面に表示されるマトリクスの大きさ（この例では４×４）や選択すべき画像の数（この例では５）が、会員属性によって自動的に決定することもできる。また、表示される虚偽画像も被認証者の属性に適したものが表示されるようにもできる。図８の例では、被認証者が女性であるため、通常男性が購入するような商品は、虚偽画像から除かれている。また、前述した所定期間の設定は、直近ではなく、例えば盆暮正月など買物を比較的よく行うような期間に設定してもよい。このようにすることで、被認証者一人一人の属性に適した認証画面を構成することができる。

以上、実施形態を用いて本発明を説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことは言うまでもない。上記実施形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。またその様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

１００ 本人認証サーバ
１０１ 端末位置情報取得部
１０２ 移動履歴ＤＢ
１０２ａ 移動履歴テーブル
１０３ 地点画像取得部
１０４ クレジットカード利用情報取得部
１０５ クレジットカード利用履歴ＤＢ
１０５ａ クレジットカード利用履歴テーブル
１０６ サイト閲覧情報取得部
１０７ サイト閲覧履歴ＤＢ
１０７ａ 投稿履歴テーブル
１０７ｂ ダウンロード履歴テーブル
１０８ 加盟店ＤＢ
１０９ 店舗画像／商品画像取得部
１１０ 認証用画像生成部
１１１ 本人認証部
１１２ 認証用画像ＤＢ
１２０ 行動履歴記憶部
２００ 被認証者端末
２０１ 位置情報取得部
２０２ サイト閲覧履歴記憶部
２０２ａ サイト閲覧履歴テーブル
２０３ 撮像画像記憶部
２０３ａ 撮像画像履歴テーブル
２０４ 表示部
３００ 地図情報提供システム
３０１ 地点画像情報ＤＢ
４００ 加盟店システム
４０１ 店舗情報ＤＢ
４０２ 商品情報ＤＢ
５００ クレジットカード会社システム
６００ 行動履歴パターン選択画面
６１０，６２０，６３０，６４０ 認証画面

Claims (12)

1. 複数の画像により本人認証を行う本人認証システムであって、
   被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶する行動履歴記憶部と、
   前記行動履歴に対応する認証用画像を取得して記憶する認証用画像記憶部と、
   前記行動履歴記憶部に記憶された行動履歴に対応した複数の認証用画像の組み合わせを抽出し、前記認証用画像とは異なる複数の虚偽画像を前記認証用画像と同時に被認証者の端末の認証画面に表示させる認証用画像生成部と、
   前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定する本人認証部と、
   を備えることを特徴とする本人認証システム。
2. 前記本人認証部は、前記被認証者が前記認証画面において、前記行動履歴に記憶された前記被認証者の行動の順に対応する前記認証用画像を選択した場合に、本人認証完了と判定することを特徴とする請求項１に記載の本人認証システム。
3. 前記被認証者の携帯端末の現在位置を取得し、前記行動履歴記憶部に記憶する端末位置情報取得部と、
   前記端末位置情報取得部が取得した前記携帯端末の位置の画像である地点画像を取得する地点画像取得部と、
   を更に備え、
   前記認証用画像生成部は、前記取得された地点画像から、前記認証用画像の組み合わせを抽出することを特徴とする請求項２に記載の本人認証システム。
4. 前記認証用画像生成部は、前記取得された地点画像のうち、前記被認証者の移動方向に相当する方向から撮られた写真画像から、前記認証用画像の組み合わせを抽出することを特徴とする請求項３に記載の本人認証システム。
5. 前記被認証者のクレジットカード利用情報を取得し、前記行動履歴記憶部に記憶するクレジットカード利用情報取得部を更に備え、
   前記認証用画像生成部は、前記クレジットカード利用情報取得部が取得したクレジットカード利用情報に基づいて、クレジットカードを利用した店舗の画像から、前記認証用画像の組み合わせを抽出することを特徴とする請求項２に記載の本人認証システム。
6. 前記被認証者のクレジットカード利用情報を取得し、前記行動履歴記憶部に記憶するクレジットカード利用情報取得部を更に備え、
   前記認証用画像生成部は、前記クレジットカード利用情報取得部が取得したクレジットカード利用情報に基づいて、クレジットカードで購入した商品の画像から、前記認証用画像の組み合わせを抽出することを特徴とする請求項２に記載の本人認証システム。
7. 前記被認証者のクレジットカードの会員属性を取得し、前記会員属性に応じて、前記認証画面に表示される前記認証用画像の数又は前記虚偽画像の種類を変更することを特徴とする請求項５又は６に記載の本人認証システム。
8. 前記被認証者がウェブサイトに投稿した画像、又はウェブサイトからダウンロードした画像の情報を含むサイト閲覧情報取得部を更に備え、
   前記認証用画像生成部は、前記投稿又はダウンロードされた画像から、前記認証用画像の組み合わせを抽出することを特徴とする請求項２に記載の本人認証システム。
9. 前記認証用画像生成部は、前記認証用画像を抽出するための前記行動履歴のパターンの選択を受け付けることを特徴とする請求項１乃至８のいずれかに記載の本人認証システム。
10. 前記認証用画像は、静止画又は動画であることを特徴とする請求項１乃至９のいずれかに記載の本人認証システム。
11. 複数の画像により本人認証を行う本人認証方法であって、
    被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶するステップと、
    前記行動履歴に対応する認証用画像を取得して記憶するステップと、
    前記記憶された認証用画像から前記被認証者の行動履歴に対応した複数の認証用画像の組み合わせを抽出するステップと、
    前記認証用画像とは異なる複数の虚偽画像を、前記認証用画像と同時に被認証者の端末の認証画面に表示させるステップと、
    前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定するステップと、
    を有することを特徴とする本人認証方法。
12. 複数の画像により本人認証を行う本人認証プログラムであって、
    コンピュータに、
    被認証者の識別情報と、前記被認証者の行動履歴を取得して記憶するステップと、
    前記行動履歴に対応する認証用画像を取得して記憶するステップと、
    前記記憶された認証用画像から前記被認証者の行動履歴に対応した複数の認証用画像の組み合わせを抽出するステップと、
    前記認証用画像とは異なる複数の虚偽画像を、前記認証用画像と同時に被認証者の端末の認証画面に表示させるステップと、
    前記認証画面に表示された画像の選択を前記被認証者の端末から受け付けて、本人認証の可否を判定するステップと、
    を実行させることを特徴とする本人認証プログラム。