JP6805885B2 - 情報処理装置、アクセス制御方法、及びアクセス制御プログラム - Google Patents

Description

本発明は、情報処理装置、アクセス制御方法、及びアクセス制御プログラムに関する。

近年、デジタルサイネージなどＩＣＴ（Information and Communication Technology、情報通信技術）を用いたサービスは、インタラクティブにパーソナライズされた情報を提供するようになってきている。例えば、これらのサービスでは、顔画像認識や音声認識などの認証技術を使って個人が特定され、個人情報を利用してサービスが提供される。それにより、不特定を対象としながらも個人に特化したサービスが提供される。一方で、個人情報を利用するサービスの増加に伴い、個人情報の保護に対する関心も高まっており、情報へのアクセス制御に関する技術も開発されている（例えば、特許文献１及び特許文献２）。

特開２００６−２６０４６１号公報 特開平０８−１３７８００号公報

例えば、顔認証や声紋認証では、情報処理装置がユーザを撮像したり、ユーザの声の入力を受けたりすることで認証を実行可能であるため、ユーザは容易く認証を実行することができる。しかしながら、例えば、顔認証や声紋認証などの或る種の認証方式では、認証精度が低くなってしまうことがある。この場合に、情報処理装置が提示する例えば、個人情報の本来の持ち主のユーザとは別のユーザに、情報が漏洩してしまう恐れがある。一方で、望まれない相手に情報が漏洩しないように情報の保護を強化した場合、ユーザの認証における負担が大きくなりサービスの利便性が低下する。例えば、長いパスワードは、記憶と入力の負担が大きい。また、ＩＤカードは、ユーザが所持していないとサービスを利用することができず不便である。そこで、１つの側面では、本発明は、認証精度が低い場合にも、安全なアクセス権を付与することを目的とする。

本発明の一つの態様の情報処理装置は、演算部と、設定部と、及び許可部とを含む。演算部は、認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、認証対象者が複数の登録ユーザのそれぞれである可能性を表す指標値を求める。設定部は、指標値に基づいて、複数のユーザのうちの或るユーザの複数のリソースに対するアクセス権と、複数の登録ユーザのうちの或る登録ユーザ以外の他のユーザの複数のリソースに対するアクセス権とを合成して合成アクセス権を設定する。許可部は、合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを認証対象者に許可する。

認証精度が低い場合にも、安全性の高いアクセス権を付与することができる。

情報処理装置に対する認証情報の入力を例示する図である。 実施形態に係るアクセス制御を例示する図である。 実施形態に係る情報処理装置のブロック構成を例示する図である。 第１の実施形態に係る認証対象のユーザが情報処理装置が提供するサービスに登録している登録ユーザのそれぞれである確率を例示する図である。 アクセス制御リストを例示する図である。 第１の実施形態に係る認証対象のユーザが情報処理装置が提供するサービスに登録している登録ユーザのそれぞれである確率を例示する別の図である。 実施形態に係るアクセス制御情報の生成を例示する図である。 実施形態に係る特徴量情報を例示する図である。 第１の実施形態に係るアクセス制御処理の動作フローを例示する図である。 ロールを用いる場合のアクセス制御を例示する図である。 本人候補と誤認証候補の確率が拮抗している場合を例示する図である。 装置の制御に関するアクセス権を定めるアクセス制御リストを用いる場合の認証を例示する図である。 第２の実施形態に係る判断ミス率の算出について説明する図である。 別な認証結果からの判断ミス率の算出を例示する図である。 第２の実施形態に係るアクセス制御処理の動作フローを例示する図である。 実施形態に係る情報処理装置を実現するためのコンピュータのハードウェア構成を例示する図である。

以下、図面を参照しながら、本発明のいくつかの実施形態について詳細に説明する。なお、複数の図面において対応する要素には同一の符号を付す。

ＩＣＴを用いたサービスは、インタラクティブにパーソナライズされた情報を提供するようになってきている。こうした応答サービスでは、サービスを提供する情報処理装置１００は、情報処理装置１００に情報を入力したユーザや、情報処理装置１００が備えるカメラの撮像範囲において所定の距離以内に近づいたユーザを、サービスに登録しているユーザの中から識別する。そして、情報処理装置１００は、識別したユーザの個人情報にアクセスしてユーザに情報を提供する。例えば、デジタルサイネージでは、ユーザの個人情報に応じてそれぞれのユーザに適した情報を提供する技術が開発されている。また、企業は施設の受付でロボットを配置し、訪れた人に応じた情報をロボットに提供させる技術も開発されている。

図１は、企業や施設の受付に配置された受付ロボットなどの情報処理装置１００に対する認証情報の入力を例示する図である。情報処理装置１００は、例えば、訪れたユーザの認証を実行し、ユーザに応じた情報を提供する。図１（ａ）は、情報処理装置１００を訪れたユーザにＩＤ（identifier）カードやパスワードの入力を求めて認証を実行する場合を例示している。ＩＤカードやパスワードによる認証の場合、ユーザの認証精度が高いため或るユーザの情報を別のユーザに誤って提示してしまう可能性を抑えることができる。しかしながら、一方で、ＩＤカードを持ち歩いたり、或いは、パスワードを覚えておき認証の際に入力したりするなどユーザにとっての認証のための負担は大きい。この様に、高い安全性を求めて、個人情報などの情報を望まれない相手に渡さないよう保護を強化すると、ユーザの認証における負担が大きくなりサービスの利便性が下がってしまう。

一方、図１（ｂ）は、情報処理装置１００がユーザを顔認証や声紋認証などのユーザの認証における入力の負担の低い認証方式で認証を実行する場合を例示している。この場合、ユーザは例えば情報処理装置１００に近づいて自身の画像を情報処理装置１００に備えられたカメラから入力したり、或いは、声を発して情報処理装置１００に備えられたマイクから音声を入力したりすることで認証を実行することができる。従って、ユーザは容易に認証のための情報を情報処理装置１００に入力することができる。しかしながら、例えば、顔認証では、ユーザの顔を撮像する角度や、光の加減など撮像条件に応じて、認証精度が低下することがある。また同様に、声紋認証でも、音声の入力を受け付ける際の環境音等に起因して認証精度が低下する恐れがある。この様に、認証方式によっては、認証精度が低下してしまうことがある。例えば、図１（ｂ）では、情報処理装置１００は、認証対象のユーザをユーザＡであると識別しているが、ユーザＡである確率を７５％と判定しており、２５％の確率でその他のユーザである可能性もある。このような状況で、情報処理装置１００がユーザＡに関する秘匿性の高い情報を認証対象のユーザに提示してしまうと、認証対象のユーザが実はユーザＡとは別のユーザであった場合、情報漏洩の危険性がある。そのため、ユーザの認証における負担を軽減し、利便性を保ちつつも、ユーザの情報の安全性を確保することのできる技術の提供が望まれている。なお、以下の説明では、認証対象のユーザへのアクセスの許可と拒否を制御する対象をリソースと呼ぶことがある。リソースは、例えば、情報、サービス、機器などを含んでよい。

ここで、本願の発明者らは、サービスが管理する或るユーザのリソース全体へのアクセスの可否を、本人か否かの２値で行って判断するため、認証に高い安全性の確保が要求されていることに気付いた。即ち、２値で判断しているため、もし誤認証した場合、本人でない別人に全てのリソースの利用を許可してしまったり、逆に本人であるのに別人と見做され全くリソースを利用できなかったりしてしまう。そのため、安全性の確保のために長いパスワードやＩＤカードなどの高精度な認証方式が求められ、ユーザの負担が大きくなっている。

また、個人情報には、例えば、キャッシュカードの暗証番号といった高い安全性が求められる情報がある。一方で、例えば今月のスケジュールといった家族なら知られても構わない安全性が低くてもよい情報もある。サービスや機器についても同様に、高い安全性が求められるサービスや機器の制御もあれば、比較的緩く管理してもよいサービスや機器の制御もある。しかし、認証の結果によりユーザの全てリソースへのアクセスを許可したり、認証に失敗したならば全てのリソースへのアクセスを拒否したりするような２値のアクセス制御では、最高の安全性が求められるリソースの認証の基準に全てを合わせざるを得ない。そのため、高い安全性を有する認証方式が用いられ、ユーザの認証にかかる負担が大きくなり、利便性が損なわれている。

そこで、複数のリソースに対するアクセスを２値ではなく、例えば、本人である確率が高いほど高い安全性が求められるリソースまでアクセスを許可するというようにアクセスを制御することが考えられる。また、例えば、本人である確率が低いほど安全性が低くてもよいリソースのみにアクセスを制限するというようにアクセスを制御することが考えられる。このようにすることで、安全性と利便性の双方を高めることが可能である。

また、例えば、安全性が低くても構わないリソースであっても、本人である確率だけでは利用の可否を判断できない場合がある。例えば、スケジュールの情報について、同じ会社の人物なら知られて構わないという理由で安全性を低く設定したとする。即ち、例えば、本人である確率が低くてもアクセスを許可するように設定したとする。この場合に、誤認証で認証された人物が社外の人物であった場合、スケジュールを望まない相手に公開してしまうことになる。この場合に、例えば、本人である確率に対してアクセス許可を与える閾値を少し高くしても、望まない相手（社外の人物）を本人と誤認証する可能性がある限り、情報の漏洩を防ぐことにはつながらない。結果的に、高い安全性を求めるリソースと同じ精度の認証精度が求められ、利便性が損なわれることになる。あるいは、本人である確率が低くても許可できるリソースは、誰にでもアクセスを許可可能なリソースに限られてしまう。そして、上述のスケジュールの情報のように本人以外を誤認証した場合でも、条件（社内の人物であるか否か）によって、利用を許可するか否かを判断したいリソースを扱うことはできない。そのため、誤認証があった場合に本人と誤って認証されたユーザについての情報も考慮してアクセスを許可する安全性と利便性の高いアクセス制御技術の提供が望まれている。

以下で述べる実施形態では、例えば、認証を行って認証対象のユーザを、或るユーザであると特定したとする。この場合に、情報処理装置１００は、或るユーザのアクセス権に加えて、或るユーザとは異なる他のユーザであって、認証対象のユーザである可能性の高いユーザが保持するアクセス権も考慮してアクセス制御を行う。

図２は、実施形態に係るアクセス制御を例示する図である。図２（ａ）に示す様に、例えば、情報処理装置１００が、ユーザＡが認証対象のユーザである確率を７５％で最も高いと判定したとする。この場合、ユーザＡは認証対象本人である可能性がもっとも高い本人候補となる。また、情報処理装置１００が、次に可能性の高いユーザとしてユーザＢである確率を２５％であると判定したとする。この場合、認証対象がユーザＢである確率は、２５％と他のユーザＣやユーザＤよりも顕著に高く、また、２０％以上とある程度以上の確率を有している。そのため、認証対象が、もしユーザＡでは無く、本人候補の推定が誤りであった場合に、認証対象はユーザＢである可能性が高いと推定できる。このように、ユーザＢは、本人であるにもかかわらず本人と判定されなかった可能性のある誤判定時の候補であり、以降、こうしたユーザを誤判定候補と呼ぶことがある。この場合に、情報処理装置１００は、単純に本人候補のユーザＡのリソースへのアクセス権限のみを参照して、アクセスを許可するのではなく、誤判定候補であるユーザＢのユーザＡのリソースへのアクセス権限も参照して、アクセスを制御する。図２（ｂ）は、ユーザＡに関するリソースへのアクセスの可否を示すアクセス制御リストを示す。なお、アクセス制御リストの詳細は、図５を参照して後述する。

図２（ｂ）に示すユーザＡのリソースに関するアクセス制御リストでは、ユーザＡに、スケジュールと、メールへのアクセスがいずれも許可されている。また、ユーザＡは、例えば、自身のスケジュールについては、同じチームのメンバーに公開しており、同じチームに属するユーザＢには、ユーザＡのスケジュールへのアクセスが許可されている。そして、情報処理装置１００は、例えば、認証対象である可能性の最も高い本人候補のユーザＡに許可されているスケジュール及びメールと、ユーザＡが本人でなかった場合に次に可能性のある誤判定候補のユーザＢに許可されているスケジュールとの論理積を取る。即ち、情報処理装置１００は、例えば、本人候補のユーザＡと誤判定候補のユーザＢの双方で許可されているスケジュールについてのアクセスを許可してよい。一方で、情報処理装置１００は、本人候補のユーザＡに許可されており、誤判定候補のユーザＢには許可されていないメールの利用は抑止してよい。従って、認証対象のユーザは、スケジュールにアクセスすることができ、一方で、ユーザの認証が誤っており、ユーザがユーザＡではなくユーザＢであったとしても、ユーザＡが秘匿を希望するメールへのアクセスは制限されており、データの安全性は守られる。

以上で述べた様に、実施形態によれば、誤認証であった場合に、実際の認証対象である可能性の高い誤認証候補のアクセス権の範囲に制限したアクセス権を認証対象のユーザに付与している。そのため、認証精度が低く誤認証が発生した場合にも、意図しない相手にアクセス権を与えることを防ぐことができる。また以上のようにアクセス権を付与することで、認証精度が低くなってしまうことのある認証方式で認証を行った場合にも、利便性を保ちつつ安全性の向上を図ることができる。以下、実施形態を更に詳細に説明する。

図３は、実施形態に係る情報処理装置１００のブロック構成を例示する図である。情報処理装置１００は、例えば、制御部３０１、記憶部３０２、カメラ３０３、及びマイク３０４を含んでいる。制御部３０１は、例えば演算部３１１、設定部３１２、及び許可部３１３などとして動作する。情報処理装置１００の記憶部３０２は、例えば、後述するアクセス制御リスト５００、特徴量情報８００などの情報を記憶している。カメラ３０３は、例えば、認証方式が顔認証を用いる場合に、画像を撮像して制御部３０１に入力する。マイク３０４は、例えば、認証方式が音声認証を用いる場合に、音声の入力を受け付けて制御部３０１に入力された音声のデータを出力する。これらの各部の詳細及び記憶部３０２に格納されている情報の詳細については後述する。
まず、図４から図９を参照して第１の実施形態を説明する。

＜第１の実施形態＞
図４から図７は、第１の実施形態に係るアクセス制御を説明する図である。図４は、第１の実施形態に係る認証対象のユーザが、情報処理装置１００が提供するサービスに登録している登録ユーザのそれぞれである確率を例示する図である。なお、確率は例えば、以下のように求められてよい。

例えば、ユーザが、情報処理装置１００にスケジュールやメールの参照などを要求すると、情報処理装置１００の制御部３０１は、要求を入力したユーザを認証対象として、カメラで取得した顔写真や、マイクで取得したユーザの音声などの認証情報を取得する。制御部３０１は、例えば、入力された認証情報に基づいて認証対象のユーザが、情報提供サービスを受けるユーザとして記憶部３０２の特徴量情報８００に登録されているユーザのそれぞれ（Ｕ１， ．．．， Ｕｎ）である確率を求める。なお、特徴量情報８００に登録されているユーザを、以降、登録ユーザと呼ぶことがある。また、特徴量情報８００の詳細については後述する。例えば、制御部３０１は、認証情報がカメラ３０３で撮像した画像である場合、画像から顔を抽出し、顔の特徴量を求める。特徴量は、例えば、既存の方法で求められてよく、Ｈａａｒ−Ｌｉｋｅ特徴やＬＢＰ特徴などを用いることができる。続いて、登録ユーザのそれぞれ（Ｕ１， ．．．， Ｕｎ）の特徴量を予め求めておき、それぞれの登録ユーザの特徴量と、認証対象のユーザの特徴量とを比較して、認証対象のユーザがユーザＵｉである確率Ｐｉを求める。確率の算出は、一例では既存の方法が用いられてよい。例えば、特徴量をベクトルで表し、２つの特徴量間でユークリッド距離を求める。そして、登録ユーザのそれぞれについて求めたユークリッド距離に１を足して逆数をとり、それらの逆数を足し合わせた数を１００とした場合の登録ユーザのそれぞれについて求めた逆数が占める割合として確率が求められてよい。

図４（ａ）は、認証対象のユーザが登録ユーザのそれぞれである確率の分布を示しており、図４（ｂ）は、確率をテーブル形式のデータで示している。図４の例では、認証情報を入力した認証対象のユーザは、ユーザＡである可能性が６０％で最も高く、次に、ユーザＢ１とユーザＢ２である確率が１５％で高い。そして、実施形態では、例えば、認証対象のユーザである確率が、誤認証が懸念されるレベルで高いユーザを抽出するために、閾値が設定されている。例えば、図４では、閾値は１０％に設定されており、制御部３０１は、１０％よりも高い確率を有するユーザＡ、ユーザＢ１、及びユーザＢ２を抽出する。なお、ユーザＡは認証対象のユーザである確率が最も高く本人候補であり、また、ユーザＢ１、及びユーザＢ２は、閾値よりも高い確率を有する誤認証候補である。そして、制御部３０１は、認証対象のユーザである確率が最も高い本人候補のユーザＡのアクセス制御リスト５００を記憶部３０２から取得する。

図５は、ユーザＡのアクセス制御リスト５００を例示する図である。アクセス制御リスト５００は、アクセスする対象となる複数のリソースと、複数のリソースへの各登録ユーザのアクセス権限との関係が登録されている。アクセス制御リスト５００は、リソースそれぞれに対する登録ユーザによるアクセスを許可するか（〇）、拒否するか（×）を定めている。なお、図５では、リソース単位でアクセス許可を設定した場合のアクセス制御リスト５００を例示しているが、別の実施形態では、リソースに対する操作（例えば、読み込み、書き込み、実行など）毎にアクセスの可否が設定されていてもよい。ここでは、リソース単位でアクセスの可否を設定した場合を例に説明を行う。また、アクセス制御リスト５００は、複数の登録ユーザのそれぞれ毎に作成されていてよい。即ち、或る登録ユーザの複数のリソースに対する複数の登録ユーザのそれぞれのアクセス権の組を１セットとしたとする（即ち、アクセス制御リスト５００に登録されているアクセス権）。すると、複数の登録ユーザのそれぞれと対応する複数セットのアクセス権（即ち、複数のアクセス制御リスト５００）が記憶部３０２に記憶されていてよい。

図５の例では、ユーザＡは、ユーザＡのリソースの全てにアクセスが許可されている。一方、ユーザＢ１及びユーザＢ２にはユーザＡの会社名とスケジュールへのアクセスが許可されており、また、その他のユーザには会社名へのアクセスのみが許可されている。ここで、閾値；１０％以上のユーザはユーザＡ、ユーザＢ１、及びユーザＢ２であるため、制御部３０１は、ユーザＡ、ユーザＢ１、及びユーザＢ２をアクセス権の合成候補として選択する。そして、制御部３０１は、例えば、アクセス制御リスト５００のユーザＡ、ユーザＢ１、及びユーザＢ２のアクセス権の論理積の集合をとってアクセス権を合成し、アクセス制御情報５０１（図５（ｂ））を生成してよい。即ち、例えば、図５（ａ）の太枠で囲うように、制御部３０１は、ユーザＡ、ユーザＢ１、及びユーザＢ２のいずれにおいても利用が許可されている会社名とスケジュールへのアクセスをアクセス制御情報５０１において許可してよい。また、制御部３０１は、いずれかのユーザにおいて利用が許可されていないその他のレポートとメールへのアクセスを抑止するようにアクセス制御情報５０１に拒否を設定してよい。このように、実施形態では、所定の閾値よりも大きな確率で認証対象であり得る登録ユーザのアクセス権を合成して、認証対象のユーザに合成したアクセス権（例えば、合成アクセス権と呼ぶことがある）を付与し、アクセス制御情報５０１を生成している。それにより、例え認証に誤りがあり、実は認証対象がユーザＡではなく、ユーザＢ１やユーザＢ２であったとしても、ユーザＢ１やユーザＢ２によるユーザＡのリソースへの不正なアクセスを抑止することができる。

また、図６は、第１の実施形態に係る情報処理装置１００が提供するサービスに登録している登録ユーザのそれぞれの認証対象のユーザである確率を例示する別の図である。図４で述べた場合と同様に、例えば、カメラで取得した顔写真や、マイクで取得したユーザの音声などの認証情報が、情報処理装置１００の制御部３０１に入力されたとする。制御部３０１は、入力された認証情報に基づいて認証対象のユーザが、記憶部３０２に記憶されている情報提供サービスを受ける登録ユーザのそれぞれ（Ｕ１， …， Ｕｎ）である確率（Ｐ１， …， Ｐｎ）を求める。制御部３０１は、例えば、Ｈａａｒ−Ｌｉｋｅ特徴やＬＢＰ特徴などの特徴量から、認証対象のユーザの特徴量と、登録ユーザの特徴量との間のデータユークリッド距離を求めて、登録ユーザのそれぞれである可能性を表す確率を求めてよい。

図６（ａ）は、登録ユーザのそれぞれの認証対象のユーザである確率の分布を示しており、図６（ｂ）は、確率をテーブル形式のデータで示している。図６の例では、認証情報を入力した認証対象のユーザは、ユーザＡである可能性が６０％で最も高く、次に、ユーザＢ１とユーザＣ１である確率が１５％で高い。そして、実施形態では、例えば、認証対象のユーザである確率が、誤認証が懸念されるレベルで高い確率を有するユーザを抽出するために、閾値が設定されている。例えば、図６の例では、閾値が１０％に設定されており、制御部３０１は、１０％よりも高い確率を有するユーザＡ、ユーザＢ１、及びユーザＣ１を抽出する。なお、ユーザＡは認証対象のユーザである確率が最も高く本人候補であり、また、ユーザＢ１、及びユーザＣ１は、閾値よりも高い確率を有する誤認証候補である。そして、制御部３０１は、認証対象のユーザである確率が最も高い本人候補のユーザＡのアクセス制御リスト５００を記憶部３０２から取得する。

制御部３０１は、読み出したユーザＡのアクセス制御リスト５００において閾値；１０％以上のユーザＡ、ユーザＢ１、及びユーザＣ１のアクセス権限（図７（ａ）の太枠内）の論理積の集合をとってアクセス権を合成する。それにより、制御部３０１は、図７（ｂ）のアクセス制御情報５０１を生成する。なお、図５（ｂ）のアクセス制御情報５０１では会社名とスケジュールが許可されていたのに対し、図７（ｂ）では、会社名のみが許可されている。この様に、実施形態では認証対象に対して認証を実行した結果として得られるそれぞれの登録ユーザの認証対象である確率に基づいて、認証対象に対するアクセス制御情報５０１を生成している。そのため、認証で得られた各登録ユーザの確率（即ち、認証結果の信頼性の高さなど）に応じて、認証対象に付与されるアクセス権が変わり、動的にアクセス権を制御することができる。

なお、以上の実施形態では、アクセス制御リスト５００が登録ユーザ毎に個別に生成されている場合を例示している。しかしながら、後述する図１２で例示するように、全てのユーザに共通して１つのアクセス制御リスト５００が用いられてもよい。

図８は、実施形態に係る特徴量情報８００を例示する図である。特徴量情報８００は、例えば、情報処理装置１００が識別の対象としている複数のユーザのそれぞれの特徴量が登録されている。なお、特徴量情報８００に登録されているユーザは、情報提供サービスに登録しているユーザであり、上述の登録ユーザである。そして、図８の例では、ユーザを識別するためのユーザ情報と、そのユーザから抽出した特徴量とが対応付けて登録されている。なお、図８では１つの特徴量が登録されているが、別の実施形態では、顔画像から抽出したＨａａｒ−Ｌｉｋｅ特徴やＬＢＰ特徴と、音声から抽出した声紋などの特徴量など、１人のユーザに対して複数の特徴量が登録されていてもよい。

図９は、第１の実施形態に係るアクセス制御処理の動作フローを例示する図である。情報処理装置１００の制御部３０１は、起動すると図９のアクセス制御処理を開始してよい。

ステップ９０１（以降、ステップを“Ｓ”と記載し、例えば、Ｓ９０１と表記する）において制御部３０１は、ユーザからの認証情報とアクセス要求の入力を受け付ける。例えば、ユーザは、情報処理装置１００が備えるカメラの所定の距離以内に近づいたり、声を発して情報処理装置１００が備えるマイクに音声を入力したりすることで認証情報を情報処理装置１００に入力してよい。なお、認証情報は、例えば、顔認証の場合には、顔が写った画像であってよく、声紋認証の場合には、ユーザの声のデータであってよい。また、ユーザは、情報処理装置１００に備えられたタッチパネルを操作することでアクセス要求を情報処理装置１００に入力してよい。アクセス要求は、ユーザがアクセスを希望する対象のリソースを示す要求であってよく、ここでは、或るユーザが、例えば、自身のスケジュールやメールなどの或る情報を閲覧する要求を入力したものとする。以降、或るユーザを、認証対象のユーザとする。

Ｓ９０２において制御部３０１は、認証情報に基づいて認証対象のユーザの識別を実行する。例えば、制御部３０１は、入力された認証対象のユーザの認証情報から特徴量を抽出する。そして、制御部３０１は、認証対象のユーザの特徴量と、特徴量情報８００に登録されているそれぞれの登録ユーザの特徴量との類似度から、登録ユーザが認証対象のユーザである確率（Ｐ１，…，Ｐｉ，…，Ｐｎ）を求める。なお、Ｐｉは、例えば、特徴量情報８００において一番上からｉ番目の登録ユーザの認証対象のユーザである確率を表していてよい。また、ｎは登録ユーザの人数であってよい。確率の算出は、例えば、既存の方法を用いることができ、一例では、特徴量をベクトルで表して求めたユークリッド距離の近さに基づき決定する手法などを利用することができる。

Ｓ９０３において制御部３０１は、Ｐｉが最大であるユーザのアクセス制御リスト５００を記憶部から読み出す。Ｓ９０４において制御部３０１は、それぞれの登録ユーザに対して決定した認証対象のユーザである確率が、所定の閾値θよりも大きい登録ユーザを認証対象ユーザ候補として特定する。認証対象ユーザ候補は、例えば、本人候補と誤認証候補とを含んでよい。所定の閾値θは、例えば、予め設定された値であってよく、認証方式などに応じた経験則などから誤認証が起きた場合に実際の認証対象である可能性の高い登録ユーザを抽出できる値に決定されてよい。例えば、図４で述べた場合を例とすると、閾値θは１０％に設定されているため、認証対象ユーザ候補としてユーザＡ、ユーザＢ１、及びユーザＢ２が選択される。

Ｓ９０５において制御部３０１は、選択された認証対象ユーザ候補のアクセス権の積集合を求める。例えば、図４で述べた場合を例とすると、認証対象ユーザ候補がユーザＡ、ユーザＢ１、及びユーザＢ２である。そのため、制御部３０１は、アクセス制御リスト５００において、ユーザＡ、ユーザＢ１、及びユーザＢ２の全てでアクセスが許可されているリソースへのアクセスを許可するアクセス制御情報５０１（図５（ｂ））を生成する。図５（ｂ）のアクセス制御情報５０１では、認証対象ユーザ候補の全てでアクセスが許可されているリソース：会社名及びスケジュールのアクセスは許可される。一方、いずれかの認証対象ユーザ候補でアクセスが拒否されているリソース：レポートとメールは、アクセスが拒否されている。

Ｓ９０６において制御部３０１は、Ｓ９０１で入力されたアクセス要求がアクセス制御情報５０１において許可されているか否かを判定する。アクセス要求がアクセス制御情報５０１において許可されていない場合（Ｓ９０６がＮＯ）、フローはＳ９０７に進み、制御部３０１は、認証対象のユーザのアクセス要求を拒否し、本動作フローは終了する。一方、アクセス要求がアクセス制御情報５０１において許可されている場合（Ｓ９０６がＹＥＳ）、フローはＳ９０８に進み、制御部３０１は、認証対象のユーザのアクセス要求を許可し、本動作フローは終了する。この場合、認証対象のユーザは、例えば、情報処理装置１００を操作することで、認証されたリソースにアクセスすることができる。

以上で述べた様に、例えば、認証を行った結果、最も認証対象者である可能性の高い本人候補の他に、認証対象者である可能性が無視できないレベルで高い別のユーザがいたとする。この場合に、第１の実施形態によれば、制御部３０１は、最も認証対象者である可能性の高い本人候補と、認証対象者である可能性が無視できないレベルで高い別のユーザとの双方のアクセス権を合成して、認証対象にアクセス権を付与する。そして、合成して得たアクセス制御情報５０１に基づいて、認証対象のユーザのアクセス要求に対するアクセス制御を行う。そのため、例えば、認証の結果、認証精度が低く、最も認証対象者である可能性の高い本人候補とは別のユーザが認証対象のユーザであり、誤認証が起きてしまった場合にも、アクセス権を保持していないユーザがリソースにアクセスしてしまうことを抑制できる。
続いて、第１の実施形態の変形例について述べる。

＜第１の変形例＞
上述の実施形態では、ユーザ毎にアクセス制御の情報がアクセス制御リスト５００に登録される場合を例に説明を行っている。しかしながら、実施形態はこれに限定されるものではない。例えば、別の実施形態では、ロール毎にアクセス制御の情報がアクセス制御リスト５００に登録されていてもよい。ロールは、例えば、アクセス制御リスト５００によりアクセス制御が規定されるリソースの所有者と、他者との関係を規定するグループ分けであってよい。一例では、ロールは、上司、所属しているプロジェクトのチームのメンバー、同じ会社の従業員、顧客などを含んでよい。

図１０は、ロールを用いる場合のアクセス制御を例示する図である。図１０（ａ）は、図４（ｂ）で例示した、認証対象が、登録ユーザのそれぞれである確率を示すテーブルである。図１０（ｂ）は、登録ユーザと、登録ユーザに割り当てられたロールとを対応付けるロール情報１００１である。そして、図１０（ｃ）は、ロールと、リソースに対するアクセス権限とを登録した第１の変形例のアクセス制御リスト５００を例示する図である。

そして、図４で例示したように、認証対象ユーザ候補を抽出するための閾値θを１０％とした場合、制御部３０１は、図１０（ａ）から、ユーザＡ、ユーザＢ１、及びユーザＢ２をユーザ候補として抽出する。続いて、制御部３０１は、抽出した認証対象ユーザ候補：ユーザＡ、ユーザＢ１、及びユーザＢ２のうちで、最も確率の高いユーザＡを本人候補とする。そして、制御部３０１は、ユーザＡを本人とするロール情報１００１（図１０（ｂ））と、ユーザＡを本人とするアクセス制御リスト５００（図１０（ｃ））とを記憶部３０２から読み出す。制御部３０１は、読み出したユーザＡのロール情報１００１から、ユーザ候補：ユーザＡ、ユーザＢ１、及びユーザＢ２のそれぞれに割り当てられているロールを特定する。ここでは、制御部３０１は、ユーザＡにロール：本人、ユーザＢ１にロール：チームメンバー、及びユーザＢ２にロール：従業員を特定してよい。そして、制御部３０１は、特定したロールに対するアクセス権限を図１０（ｃ）の第１の変形例のアクセス制御リスト５００から特定する。制御部３０１は、例えば、ユーザ候補に割り当てられたそれぞれのロールと対応するアクセス権を合成し、図５（ｂ）のアクセス制御情報５０１を生成することができる。

この様にロールを用いてアクセス制御を行うことで、登録ユーザの変更が頻繁にあっても、ロール情報１００１を更新することで対応することができる。即ち、例えば、ロールのグループごとにアクセス制御を更新及び変更できるため、保守のためのコストを低減することができる。

＜第２の変形例＞
第１の実施形態において、認証対象のユーザである確率が最も高い本人候補として特定された登録ユーザの確率と、閾値θ以上の確率を有する誤認証候補として特定された登録ユーザの確率とが拮抗していることがある。

図１１は、本人候補と誤認証候補の確率が拮抗している場合を例示する図である。例えば、図１１（ａ）では、ユーザＡとユーザＢ１の確率が、共に高く拮抗している。この様に複数のユーザの確率が拮抗している場合、ユーザＡとユーザＢ１のいずれのアクセス制御リスト５００をアクセス制御情報の生成に用いるのが適切かの判断がつき難いことがある。

そこで、第２の変形例では拮抗しているユーザ候補を抽出するための第２の閾値が設定されている。例えば、図１１（ａ）の例では、４０．５％に第２の閾値が設定されており、拮抗するユーザ候補として第２の閾値以上の値を有するユーザＡとユーザＢ１が抽出されている。なお、第２の閾値は、例えば、登録ユーザの中で最大の確率をＰｍａｘとした場合に、γＰｍａｘ（γは０＜γ≦１の範囲の設定値）に設定することができる。なお、γは、Ｐｍａｘと拮抗している確率を有するユーザ候補を抽出できるような値に設定されていてよく、例えば、０．８以上で１未満の範囲の値が設定されていてよい。一例では、γ＝０．９であってよい。

そして、制御部３０１は、第２の閾値以上の確率を有する登録ユーザがいる場合には、拮抗する登録ユーザがいると判断し、第２の閾値以上の確率を有する全てのユーザを本人候補として、本人候補のアクセス制御リスト５００を記憶部３０２から読み出す。図１１の例では、本人候補のアクセス制御リスト５００として、まず、ユーザＡのアクセス制御リスト５００（図１１（ｂ））が抽出されている。更に、最大の確率を有するユーザＡの確率：４５%にγ＝０．９を乗じた４０．５%以上の確率のユーザも本人候補となる。図１１（ａ）では、ユーザＢ１は４２％であるため、制御部３０１は、ユーザＢ１のアクセス制御リスト５００（図１１（ｃ））も読み出される。そして、制御部３０１は、読み出した本人候補であるユーザＡのアクセス制御リスト５００（図１１（ｂ））と、ユーザＢ１のアクセス制御リスト５００（図１１（ｃ））とを合成し、合成アクセス制御リスト１１００（図１１（ｄ））を生成する。例えば、制御部３０１は、ユーザＡのアクセス制御リスト５００において本人候補であるユーザＡに付与されたアクセス権と、ユーザＢ１のアクセス制御リスト５００において本人候補であるユーザＢ１に付与されたアクセス権を合成する。なお、合成では、例えば、制御部３０１は、双方のアクセス制御リスト５００で本人候補であるユーザＡ及びユーザＢ１に許可されているリソースにアクセス権を付与してよい。例えば、図１１（ｄ）の例では、本人候補に対して会社名、スケジュール、レポートが許可されている。

また、制御部３０１は、本人候補以外のユーザのリソースへのアクセス権については、いずれの本人候補のアクセス制御リスト５００でも許可されているリソースについてアクセスを許可する。例えば、或るユーザに対してユーザＡのアクセス制御リスト５００と、ユーザＢ１のアクセス制御リスト５００との双方において許可されているリソースへのアクセスは、合成アクセス制御リスト１１００において許可される。図１１の例では、制御部３０１は、ユーザＢ２については、ユーザＡのアクセス制御リスト５００と、ユーザＢ１のアクセス制御リスト５００との双方において許可されている会社名のみを合成アクセス制御リスト１１００において許可する。同様に、ユーザＣ１に対しても、制御部３０１は会社名へのアクセスを合成アクセス制御リスト１１００において許可する。

そして、上述のＳ９０５において、制御部３０１は、生成した合成アクセス制御リスト１１００において、Ｓ９０４で認証対象ユーザ候補として抽出されたユーザに許可されているアクセス権の積集合を求めて、アクセス制御を実行してよい。

以上で述べた様に、第２の変形例では、例えば、認証対象である確率が最も高い登録ユーザと所定の誤差範囲内で同程度に高い確率を有する別の登録ユーザがおり、本人候補を一人に特定し難かったとする。この場合に、制御部３０１は、拮抗しているそれぞれの登録ユーザを本人候補とする。そして、制御部３０１は、双方の本人候補のアクセス制御リストにおいてアクセスが許可されているリソースへのアクセスを許可する。そのため、実際の認証対象のユーザが本人候補の誰であっても、認証の誤判定に基づく不正なアクセスを抑制することができる安全性の高いアクセス権を付与することができる。なお、本人候補は、２人に限定されるものでは無く、拮抗する本人候補が３人以上の場合にも同様に第２の変形例が適用されてよい。

＜第３の変形例＞
上述の例では、特定した本人候補のアクセス制御リスト５００を読み出して処理を実行する場合を例示しており、アクセス制御リスト５００はユーザ毎に作成されている。しかしながら、実施形態はこれに限定されるものではない。例えば、全ての登録ユーザに対して１つのアクセス制御リスト５００が設定されていてもよい。例えば、或る装置の制御等に関するアクセス制御では、装置に対して１つのアクセス制御リスト５００が設定されていてもよい。

図１２は、装置の例として、エア・コンディショナー（空調設備）の制御に関するアクセス権を定めるアクセス制御リスト５００を用いる場合の認証を例示する図である。

図１２（ａ）は、エア・コンディショナーに関するアクセス制御リスト５００を例示しており、エア・コンディショナーを利用する複数のユーザのそれぞれに対するアクセス権が設定されている。例えば、図１２（ａ）では、ユーザＢ１には、エア・コンディショナーのＯＮとＯＦＦの切り替え制御、温度設定、出力の強さの設定、及びタイマーの設定などのリソースへのアクセスが許可されている。一方で、ユーザＢ２、ユーザＢ３、及びユーザＢ４では、一部のリソースへのアクセスが拒否されている。

また、図１２（ｂ）は、認証対象のユーザに認証を行った結果を示しており、認証対象のユーザの候補として、ユーザＢ１、ユーザＢ２、及びユーザＢ３が閾値θ（１０％）以上の確率を有するユーザとして抽出されている。この場合、図１２（ａ）のアクセス制御リスト５００において、ユーザＢ１、ユーザＢ２、及びユーザＢ３のいずれにおいてもアクセスが許可されているＯＮ及びＯＦＦと、温度設定のリソースへのアクセスが認証対象のユーザに対して許可されてよい。

以上で述べたように、ユーザ毎ではなく、装置に対してアクセス制御リスト５００を生成することもできる。また、この場合に、上述のＳ９０３において情報処理装置１００の制御部３０１は、例えば、エア・コンディショナーなどの制御対象の装置が備える記憶装置からアクセス制御リスト５００を無線通信などを介して取得してもよい。

＜第２の実施形態＞
上述の第１の実施形態では、登録ユーザのそれぞれについて認証対象のユーザである確率を計算し、確率の高い認証対象のユーザ候補のリソースへのアクセス権を合成して認証対象のユーザに対するアクセス権を決定している。第２の実施形態では、例えば、制御部３０１は、登録ユーザのそれぞれについて計算した認証対象である確率から、誤ってアクセス権を持たないユーザにリソースへのアクセスを許可してしまう可能性を表す判断ミス率を計算する。そして、制御部３０１は、計算した判断ミス率を使って認証対象のユーザにアクセス権を付与する。それにより、誤認証で望まれないユーザがリソースにアクセスする可能性を抑えつつ、認証の信頼性に応じて動的にアクセス権を付与することができる。以下、第２の実施形態を説明する。

図１３は、第２の実施形態に係る判断ミス率の算出について説明する図である。図１３（ａ）は、登録ユーザのそれぞれに対する認証対象である確率を示す図である。また、図１３（ｂ）は、認証対象である確率が最も高かったユーザＡのアクセス制御リスト５００である。そして、制御部３０１は、例えば、図１３（ａ）の認証対象である確率と、図１３（ｂ）のアクセス制御リスト５００とから、図１３（ｃ）に示す判断ミス率を計算する。

判断ミス率は、例えば、アクセス制御リスト５００に登録されているそれぞれのリソース毎に計算されてよい。例えば、判断ミス率は、アクセス制御リスト５００に含まれる登録ユーザのうち、判断ミス率の算出対象のリソースにおいて拒否（×）が設定されているユーザの確率を足し合わせることで算出されてよい。図１３（ｃ）では、リソース：会社名は、全ての登録ユーザに許可されているため、判断ミス率は０％となる。一方、スケジュールは、ユーザＣ１、ユーザＣ２、ユーザＣ３、及びユーザＣ４に拒否が設定されている。従って、これらの登録ユーザの確率であるユーザＣ１：４％、ユーザＣ２：４％、ユーザＣ３：１％、及びユーザＣ４：１％を足し合わせて、１０％が判断ミス率となる。同様に、レポートと、メールのリソースについても判断ミス率を計算することができる。

そして、制御部３０１は、例えば、算出した判断ミス率のうち、許容ミス率β以下の判断ミス率を有するリソースへのアクセスを認証対象のユーザに許可してよい。例えば、図１３（ｃ）では、許容ミス率β＝１５％に設定されているため、制御部３０１は、会社名とスケジュールへのアクセスを許可するアクセス制御情報５０１を生成してよい。許容ミス率βは、例えば、認証方式やアクセス制御リスト５００と対応するユーザのポリシー等に応じて予め設定されていてよい。

なお、判断ミス率を用いる場合にも、認証結果に応じて認証対象のユーザに許可するリソースを動的に変更することができる。図１４は、別な認証結果からの判断ミス率の算出を例示する図である。図１４の例では、スケジュールが拒否されているユーザＣ１、ユーザＣ２、ユーザＣ３、及びユーザＣ４の確率を足し合わせると２１％となっており、この場合、スケジュールは許容ミス率β＝１５％を超えている。そのため、制御部３０１は、アクセス制御情報５０１において認証対象のユーザによるスケジュールへのアクセスを拒否に設定する。このように、認証の結果得られる登録ユーザのそれぞれの認証対象のユーザである確率に応じて、認証対象のユーザにアクセス権を付与するリソースを動的に決定することができる。また、第２の実施形態では、認証対象のユーザが、リソースへのアクセス権を有さないユーザである可能性があっても、その確率が許容できるほど小さければリソースへのアクセス権を付与している。そのため、第１の実施形態と比較して、許容ミス率βに応じた範囲で、認証対象のユーザがアクセスできるリソースを増やすことができ、ユーザの利便性を高めることができる。

図１５は、第２の実施形態に係るアクセス制御処理の動作フローを例示する図である。情報処理装置１００の制御部３０１は、起動すると図１５の第２の実施形態に係るアクセス制御処理を開始してよい。

続く、Ｓ１５０１からＳ１５０３までの処理は、例えば、図９のＳ９０１からＳ９０３までの処理と対応しており、一例では、制御部３０１は、Ｓ９０１からＳ９０３までの処理と同様の処理をＳ１５０１からＳ１５０３において実行してよい。

Ｓ１５０４において制御部３０１は、登録ユーザのそれぞれについて算出した認証対象のユーザである確率と、Ｓ１５０３で特定した認証対象のユーザである確率が最大のユーザのアクセス制御リスト５００とから判断ミス率を算出する。例えば、制御部３０１は、図１３で例示したように、それぞれのリソース毎に、アクセスが拒否（×）に設定されている登録ユーザの認証対象のユーザである確率の総和を求めることで、判断ミス率を算出してよい。

Ｓ１５０５において制御部３０１は、算出した判断ミス率が予め設定されている許容ミス率β以下であるリソースを、アクセスを許可するリソースとして設定したアクセス制御情報５０１を生成する。

Ｓ１５０６において制御部３０１は、Ｓ１５０１で認証対象のユーザが入力したアクセス要求が、生成したアクセス制御情報５０１において許可されているか否かを判定する。アクセス要求がアクセス制御情報５０１において許可されていない場合（Ｓ１５０６がＮＯ）、フローはＳ１５０７に進み、制御部３０１は、認証対象のユーザのアクセス要求を拒否し、本動作フローは終了する。一方、アクセス要求がアクセス制御情報５０１において許可されている場合（Ｓ１５０６がＹＥＳ）、フローはＳ １５０８に進み、制御部３０１は、認証対象のユーザのアクセス要求を許可し、本動作フローは終了する。この場合、認証対象のユーザは、例えば、情報処理装置１００を操作することで、リソースにアクセスすることができる。

以上で述べた様に、第２の実施形態によれば、認証の結果得られる登録ユーザのそれぞれの認証対象である確率に応じて判断ミス率を計算し、判断ミス率に応じて複数の登録ユーザのアクセス権を合成している。そのため、認証対象のユーザに対して付与するアクセス権を動的に制御することができる。また、第２の実施形態では、アクセス権がないユーザである可能性があっても、その確率が許容できるほど小さければアクセスを許可している。そのため、第１の実施形態と比較して、許容ミス率βに応じた範囲で、認証対象のユーザがアクセスできるリソースを増やすことができ、ユーザの利便性を高めることができる。

なお、上述の実施形態の図９のステップＳ９０２、図１５のＳ１５０２、及びＳ１５０４の処理において制御部３０１は、例えば、演算部３１１として動作する。また、上述の図９のＳ９０５、及び図１５のＳ１５０５の処理において制御部３０１は、例えば、設定部３１２として動作する。上述の図９のＳ９０７、及び図１５のＳ１５０７の処理において制御部３０１は、例えば、許可部３１３として動作する。

以上において、実施形態を例示したが、実施形態はこれに限定されるものではない。例えば、上述の動作フローは例示であり、実施形態はこれに限定されるものではない。可能な場合には、動作フローは、処理の順番を変更して実行されてもよく、別に更なる処理を含んでもよく、又は、一部の処理が省略されてもよい。例えば、図９のＳ９０１及び図１５のＳ１５０１におけるアクセス要求の受け付けは、Ｓ９０５とＳ９０６の処理の間、又はＳ１５０５とＳ１５０６の処理の間など、その他のタイミングで実行されてもよい。

また、例えば、上述の第１の実施形態のＳ９０７や、第２の実施形態のＳ１５０７では、認証対象のユーザの要求を許可しなかった場合に、アクセスを拒否しているが、実施形態はこれに限定されるものではない。例えば、制御部３０１は、上述の第１の実施形態のＳ９０７や、第２の実施形態のＳ１５０７で認証対象のユーザの要求を許可しなかった場合に、更に、より高精度にユーザの認証が可能な別の認証方式による認証情報の入力を求めてもよい。この場合、制御部３０１は、Ｓ９０１に処理を戻し、要求した認証方式による認証情報を用いて処理を繰り返してもよい。これにより、例えば、制御部３０１が、或る認証方式で認証した結果、アクセスが許可されるリソースの数が少なく、アクセス要求を拒否した場合にも、別のより高精度な認証方式でアクセス権を付与することができる。なお、より高精度にユーザを認証可能な別の認証方式の例としては、例えば、指紋認証、パスワード認証、ＩＤカードによる認証などが挙げられる。或いは、別の実施形態では、制御部３０１は、顔認証の結果に音声認証の結果を組み合わせるなど、ユーザの負担の小さい認証方式を組み合わせることで、ユーザの利便性を保ちつつ認証精度を上げて認証を実行してもよい。

また、上述の第１の実施形態において、例えば、閾値θをθ=α／ｎ（０<α<ｎ）として定めてもよい。ここで、ｎは登録ユーザの数であり、αは設定値である。例えば、認証の精度が著しく悪く、それぞれの登録ユーザの認証対象である確率がどれも差異が無い場合、確率はそれぞれの登録ユーザに等分され、各登録ユーザの確率は１／ｎになる。このように、それぞれの登録ユーザが認証対象である確率は、登録ユーザの人数が増えるとそれぞれのユーザに確率が分散するため、登録ユーザの人数に影響され得る。そこで、閾値θの設定に登録ユーザの人数ｎを用い、例えば、閾値θをθ=α／ｎに設定することで、登録ユーザの人数が変更された場合にも登録ユーザ数の多寡に応じた適切な閾値を設定することができ、認証対象ユーザ候補を適切に選定することができる。また、設定値αを用いることで、より細かな閾値の調整ができる。αは、例えば、０．８〜１．２の範囲の値であってよく、一例ではαは１であってよい。

また、上述の第１の実施形態では、認証対象のユーザが特徴量情報８００に登録されている登録ユーザのそれぞれである確率を用いてアクセス制御を実行する例を述べているが、実施形態は確率に限定されるものではない。認証対象者が複数の登録ユーザのそれぞれである可能性を表す別な指標値を、確率の代わりに用いることもできる。例えば、別の実施形態では、認証対象者の認証情報から抽出した特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度を、認証対象者が複数の登録ユーザのそれぞれである可能性を表す指標値として確率の代わりに用いてもよい。また、同様に、上述の第２の実施形態では、リソース毎に求めた判断ミス率に基づいてアクセス制御を実行する例を述べているが、実施形態はこれに限定されるものではない。例えば、別の実施形態では、リソース毎に判断ミスが起こる度合いを表すその他の指標値が、判断ミス率の代わりに用いられてもよい。

また、上述の実施形態では、情報処理装置１００が、上述の処理を行う例を述べているが、別な実施形態では、クライアント‐サーバシステムなどを用いて、上述の処理は複数の装置で分担して実行されてもよい。また、上述の第１の実施形態では論理積をとってアクセス制御情報５０１を生成する例を述べているが、実施形態はこれに限定されるものではなく、例えば、論理積の代わりに論理和を用いてユーザの利便性を向上させてもよい。また、第２の実施形態にも、第１の実施形態の変形例を適用することができる。

図１６は、実施形態に係る情報処理装置１００を実現するためのコンピュータ１６００のハードウェア構成を例示する図である。図１６の情報処理装置１００を実現するためのハードウェア構成は、例えば、プロセッサ１６０１、メモリ１６０２、記憶装置１６０３、読取装置１６０４、通信インタフェース１６０６、入出力インタフェース１６０７、カメラ３０３、及びマイク３０４を備える。なお、プロセッサ１６０１、メモリ１６０２、記憶装置１６０３、読取装置１６０４、通信インタフェース１６０６、入出力インタフェース１６０７は、例えば、バス１６０８を介して互いに接続されている。

プロセッサ１６０１は、例えば、シングルプロセッサであっても、マルチプロセッサやマルチコアであってもよい。プロセッサ１６０１は、メモリ１６０２を利用して例えば上述の動作フローの手順を記述したアクセス制御プログラムを実行することにより、上述した制御部３０１の一部または全部の機能を提供する。例えば、プロセッサ１６０１は、メモリ１６０２を利用して上述の動作フローの手順を記述したアクセス制御プログラムを実行することにより、演算部３１１、設定部３１２、及び許可部３１３として動作してよい。また、記憶部３０２は、例えば、メモリ１６０２、記憶装置１６０３、及び着脱可能記憶媒体１６０５を含んでいてよい。情報処理装置１００の記憶装置１６０３には、例えば、アクセス制御リスト５００、特徴量情報８００が格納されていてよい。

メモリ１６０２は、例えば半導体メモリであり、ＲＡＭ領域及びＲＯＭ領域を含んでいてよい。記憶装置１６０３は、例えばハードディスク、フラッシュメモリ等の半導体メモリ、又は外部記憶装置である。なお、ＲＡＭは、Random Access Memoryの略称である。また、ＲＯＭは、Read Only Memoryの略称である。

読取装置１６０４は、プロセッサ１６０１の指示に従って着脱可能記憶媒体１６０５にアクセスする。着脱可能記憶媒体１６０５は、例えば、半導体デバイス（ＵＳＢメモリ等）、磁気的作用により情報が入出力される媒体（磁気ディスク等）、光学的作用により情報が入出力される媒体（ＣＤ−ＲＯＭ、ＤＶＤ等）などにより実現される。なお、ＵＳＢは、Universal Serial Busの略称である。ＣＤは、Compact Discの略称である。ＤＶＤは、Digital Versatile Diskの略称である。

通信インタフェース１６０６は、プロセッサ１６０１の指示に従ってネットワーク１６２０を介してデータを送受信する。入出力インタフェース１６０７は、例えば、入力装置及び出力装置との間のインタフェースであってよい。入出力インタフェース１６０７、例えば、カメラ３０３と接続されていてよく、カメラ３０３で撮像された認証対象のユーザの画像を制御部３０１に通知してよい。また、入出力インタフェース１６０７、例えば、マイク３０４と接続されていてよく、マイク３０４で集音された認証対象のユーザの音声を制御部３０１に通知してよい。また、入出力インタフェース１６０７は、例えば、ユーザからの入力を受け付けるボタンやキーなどのその他の入力装置と接続されていてもよい。入出力インタフェース１６０７は、例えば、ディスプレーなどの表示装置、及びスピーカなどの音声装置などの出力装置と接続されていてもよい。入出力インタフェース１６０７は、更にタッチパネルなどの入出力装置と接続されていてもよい。

なお、図１６で述べたコンピュータ１６００のハードウェア構成は例示であり、実施形態はこれに限定されるものではない。例えば、実施形態によって音声認証を用いない場合には、マイク３０４は含まれていなくてもよい。また、実施形態によって顔認証を用いない場合には、カメラ３０３は含まれていなくてもよい。

実施形態に係る各プログラムは、例えば、下記の形態で情報処理装置１００に提供される。
（１）記憶装置１６０３に予めインストールされている。
（２）着脱可能記憶媒体１６０５により提供される。
（３）プログラムサーバなどのサーバ１６３０から提供される。

なお、図１６を参照して述べた情報処理装置１００を実現するためのコンピュータ１６００のハードウェア構成は、例示であり、実施形態はこれに限定されるものではない。例えば、上述の機能部の一部または全部の機能がＦＰＧＡ及びＳｏＣなどによるハードウェアとして実装されてもよい。なお、ＦＰＧＡは、Field Programmable Gate Arrayの略称である。ＳｏＣは、System-on-a-chipの略称である。

以上において、いくつかの実施形態が説明される。しかしながら、実施形態は上記の実施形態に限定されるものではなく、上述の実施形態の各種変形形態及び代替形態を包含するものとして理解されるべきである。例えば、各種実施形態は、その趣旨及び範囲を逸脱しない範囲で構成要素を変形して具体化できることが理解されよう。また、前述した実施形態に開示されている複数の構成要素を適宜組み合わせることにより、種々の実施形態が実施され得ることが理解されよう。更には、実施形態に示される全構成要素からいくつかの構成要素を削除して又は置換して、或いは実施形態に示される構成要素にいくつかの構成要素を追加して種々の実施形態が実施され得ることが当業者には理解されよう。
以上の実施形態１〜３を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求める演算部と、
前記指標値に基づいて、前記複数のユーザのうちの或るユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他のユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定する設定部と、
前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する許可部と、
を含む、情報処理装置。
（付記２）
前記或る登録ユーザは、前記複数の登録ユーザのうち、前記認証対象者である可能性が最も高いと前記指標値に基づいて推定された登録ユーザであることを特徴とする付記１に記載の情報処理装置。
（付記３）
前記或る登録ユーザ及び前記他の登録ユーザは、前記複数の登録ユーザのうち、前記指標値の値が、閾値よりも大きな値を有する登録ユーザであり、
前記閾値は、前記複数の登録ユーザの人数に基づいて設定されていることを特徴とする付記１又は２に記載の情報処理装置。
（付記４）
前記設定部は、前記複数のリソースに対して前記或る登録ユーザに付与されているアクセス権と、前記複数のリソースに対して前記他の登録ユーザに付与されてアクセス権との双方で、アクセスが許可されているリソースへのアクセスを許可するように前記合成アクセス権を設定する、付記１から３のいずれかに記載の情報処理装置。
（付記５）
前記演算部は、更に、前記複数のリソースのそれぞれのリソースについて、前記複数の登録ユーザのうち、前記リソースへのアクセスが許可されていない登録ユーザに対して求められた前記認証対象者である可能性を表す前記指標値に基づいて、前記リソースへのアクセスが前記認証対象者に許可されていないにもかかわらず、前記認証対象者にアクセスを許可してしまう判断ミスの可能性を表す第２の指標値を求め、
前記設定部は、前記第２の指標値が閾値未満であるリソースへのアクセスを許可するように前記合成アクセス権を設定する、
ことを特徴とする付記１に記載の情報処理装置。
（付記６）
前記複数の登録ユーザのそれぞれの前記複数のリソースに対する前記アクセス権を一組みとするセットが、前記複数の登録ユーザのそれぞれと対応して複数セット、記憶部に設定されており、
前記設定部は、前記指標値に基づいて、前記認証対象者である可能性が前記或る登録ユーザと所定の誤差範囲内で近しい別の登録ユーザがいると判定した場合、前記複数セットのうち前記或る登録ユーザと対応付けられている第１のセットにおいて前記或る登録ユーザに付与されているアクセス権と、前記第１のセットにおいて前記別の登録ユーザに付与されているアクセス権と、前記複数セットのうち前記別の登録ユーザに対応付けられている第２のセットにおいて前記或る登録ユーザに付与されているアクセス権と、前記第２のセットにおいて前記別の登録ユーザに付与されているアクセス権とを合成し、前記合成アクセス権の設定に用いる、ことを特徴とする付記１から４のいずれかに記載の情報処理装置。
（付記７）
認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求め、
前記指標値に基づいて、前記複数のユーザのうちの或るユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他のユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定し、
前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する、
ことを含む、情報処理装置が実行するアクセス制御方法。
（付記８）
認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求め、
前記指標値に基づいて、前記複数のユーザのうちの或るユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他のユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定し、
前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する、
処理を情報処理装置に実行させるアクセス制御プログラム。

１００ 情報処理装置
３０１ 制御部
３０２ 記憶部
３０３ カメラ
３０４ マイク
３１１ 演算部
３１２ 設定部
３１３ 許可部
１６００ コンピュータ
１６０１ プロセッサ
１６０２ メモリ
１６０３ 記憶装置
１６０４ 読取装置
１６０５ 着脱可能記憶媒体
１６０６ 通信インタフェース
１６０７ 入出力インタフェース
１６０８ バス
１６２０ ネットワーク
１６３０ サーバ

Claims (7)

1. 認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求める演算部と、
   前記指標値に基づいて、前記複数の登録ユーザのうちの或る登録ユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他の登録ユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定する設定部と、
   前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する許可部と、
   を含み、
   前記或る登録ユーザ及び前記他の登録ユーザは、前記複数の登録ユーザのうち、前記指標値の値が、閾値よりも大きな値を有する登録ユーザである、情報処理装置。
2. 前記閾値は、前記複数の登録ユーザの人数に基づいて設定されていることを特徴とする請求項１に記載の情報処理装置。
3. 前記設定部は、前記複数のリソースに対して前記或る登録ユーザに付与されているアクセス権と、前記複数のリソースに対して前記他の登録ユーザに付与されてアクセス権との双方で、アクセスが許可されているリソースへのアクセスを許可するように前記合成アクセス権を設定する、請求項１又は２に記載の情報処理装置。
4. 前記演算部は、更に、前記複数のリソースのそれぞれのリソースについて、前記複数の登録ユーザのうち、前記リソースへのアクセスが許可されていない登録ユーザに対して求められた前記認証対象者である可能性を表す前記指標値に基づいて、前記リソースへのアクセスが前記認証対象者に許可されていないにもかかわらず、前記認証対象者にアクセスを許可してしまう判断ミスの可能性を表す第２の指標値を求め、
   前記設定部は、前記第２の指標値が閾値未満であるリソースへのアクセスを許可するように前記合成アクセス権を設定する、
   ことを特徴とする請求項１に記載の情報処理装置。
5. 前記複数の登録ユーザのそれぞれの前記複数のリソースに対する前記アクセス権を一組みとするセットが、前記複数の登録ユーザのそれぞれと対応して複数セット、記憶部に設定されており、
   前記設定部は、前記指標値に基づいて、前記認証対象者である可能性が前記或る登録ユーザと所定の誤差範囲内で近しい別の登録ユーザがいると判定した場合、前記複数セットのうち前記或る登録ユーザと対応付けられている第１のセットにおいて前記或る登録ユーザに付与されているアクセス権と、前記第１のセットにおいて前記別の登録ユーザに付与されているアクセス権と、前記複数セットのうち前記別の登録ユーザに対応付けられている第２のセットにおいて前記或る登録ユーザに付与されているアクセス権と、前記第２のセットにおいて前記別の登録ユーザに付与されているアクセス権とを合成し、前記合成アクセス権の設定に用いる、ことを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
6. 認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求め、
   前記指標値に基づいて、前記複数の登録ユーザのうちの或る登録ユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他の登録ユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定し、
   前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する、
   ことを含む、情報処理装置が実行するアクセス制御方法であって、
   前記或る登録ユーザ及び前記他の登録ユーザは、前記複数の登録ユーザのうち、前記指標値の値が、閾値よりも大きな値を有する登録ユーザである、アクセス制御方法。
7. 認証対象者から取得された認証情報から抽出された特徴量と、予め特徴量が取得されている複数の登録ユーザのそれぞれの特徴量との一致度に基づいて、前記認証対象者が前記複数の登録ユーザのそれぞれである可能性を表す指標値を求め、
   前記指標値に基づいて、前記複数の登録ユーザのうちの或る登録ユーザの複数のリソースに対するアクセス権と、前記複数の登録ユーザのうちの前記或る登録ユーザ以外の他の登録ユーザの前記複数のリソースに対するアクセス権とを合成して合成アクセス権を設定し、
   前記合成アクセス権でアクセスが許可に設定されたリソースへのアクセスを前記認証対象者に許可する、
   処理を情報処理装置に実行させるアクセス制御プログラムであって、
   前記或る登録ユーザ及び前記他の登録ユーザは、前記複数の登録ユーザのうち、前記指標値の値が、閾値よりも大きな値を有する登録ユーザである、アクセス制御プログラム。
   
   

Images