JP6957319B2 - 認証装置、認証システム、認証方法、及びプログラム - Google Patents

Description

本発明は、生体情報測定装置で取得された測定結果を認証する技術に関する。

ユーザが生活習慣を改善した場合にキャッシュバックなどのサービスを受けることができるシステムが提案されている。このシステムでは、ユーザが生活習慣を改善したかどうかの判定は、生体情報測定装置によりユーザの生体情報に関する値を測定し、得られた測定結果を分析することでなされる。このため、測定結果がユーザ本人に関するものであるという信頼性が保証されている必要がある。

引用文献１には、生体情報取得装置で取得された測定結果と別の種類の生体情報取得装置で取得された他の測定結果との間での論理的な矛盾の有無をみることにより、測定結果がユーザに関するものであるか否かを判定する技術が開示されている。

特開２０１５−１０８９４２号公報

上述したようなシステムにおいて、測定を行なうべきユーザ（対象者）とは異なる人物が生体情報測定装置で測定を行なうなりすましを検出することが求められている。

本発明は、上記の事情に着目してなされたものであり、その目的は、対象者とは異なる人物が生体情報測定装置で測定を行なうなりすましを検出できる認証装置、認証システム、認証方法、及びプログラムを提供することである。

本発明は、上記課題を解決するために、以下の構成を採用する。

本発明の一態様に係る認証装置は、生体情報に関する値を測定する生体情報測定装置から、測定値と前記測定値に関連付けられた測定時刻情報とを含む測定データを取得する取得部と、１人の特定ユーザによって使用されるべき機能を提供する提供部と、少なくとも１つのセンサを含むセンサユニットと、前記センサユニットによって取得された情報に基づいて、前記測定時刻情報により特定される時間範囲における前記特定ユーザに関する状態を推定する推定部と、前記機能が前記時間範囲において使用可能状態にあり、かつ、前記状態の推定結果が測定に適した状態である場合に、前記測定値が前記特定ユーザに関するものであると識別する識別部と、を備える。

上記の構成では、生体情報測定装置から測定値と測定時刻情報とを含む測定データが取得され、１人の特定ユーザ（例えば認証装置の所有者であるユーザ）によって使用されるべき個人専用機能が提供され、センサユニットにより取得された情報に基づいて測定時におけるユーザの状態が推定され、個人専用機能が測定時に使用可能状態にあったか否かと状態の推定結果とに基づいて測定値がユーザに関するものであるか否かが識別される。個人専用機能が使用可能状態にあるときには、認証装置が特定ユーザに保持（携帯又は装着）されていることが保証される。このため、個人専用機能が測定時に使用可能状態にあった場合には、測定時における状態の推定結果は、特定ユーザに関するものであるとみなすことができる。また、特定ユーザ本人が生体情報測定装置で測定を行なう場合には、特定ユーザは測定に適した状態にあるはずである。したがって、個人専用機能が測定時に使用可能状態にあるか否かと、測定時における状態の推定結果が測定に適した状態であるか否かと、に基づいて、測定値の認証を行なうことができる。その結果、特定ユーザとは異なる人物が生体情報測定装置で測定を行なうなりすましを検出することが可能になる。

上記態様に係る認証装置において、前記特定ユーザに関する状態は、例えば、前記特定ユーザの行動を表す行動パターンであってよく、前記識別部は、前記機能が前記時間範囲において使用可能状態にあり、かつ、前記推定部によって推定された行動パターンが前記生体情報の種類に応じて予め決められた基準行動パターンに合致する場合に、前記測定値が前記特定ユーザに関するものであると識別し、前記機能が前記時間範囲において使用可能状態にない、又は、前記推定部によって推定された行動パターンが前記生体情報の種類に応じて予め決められた基準行動パターンに合致しない場合に、前記測定値が前記特定ユーザに関するものでないと識別してよい。

上記の構成では、測定時におけるユーザの行動が推定され、推定により得られた行動パターンと生体情報の種類に応じて予め決められた基準行動パターンとの比較に基づいて測定データの認証が行なわれる。ユーザの行動は、加速度センサ、ジャイロセンサ、又は位置センサといった一般的な携帯型又は装着型の機器に設けられるセンサを用いて推定することができるので、認証のためにセンサを新たに設ける必要がない。その結果、低コストで認証装置を実現することができる。

上記態様に係る認証装置において、前記時間範囲は、測定前の時間範囲、測定中の時間範囲、及び測定後の時間範囲を含み、前記行動パターンは、前記測定前の時間範囲、前記測定中の時間範囲、及び前記測定後の時間範囲それぞれにおいて前記特定ユーザが動状態にあったか静状態にあったかを表す情報を含む。

上記の構成では、測定前、測定中、測定後におけるユーザの行動に基づいて測定データの認証が行なわれる。測定中の行動だけでなく測定前後の行動も考慮することにより、測定データの認証をより正確に行なうことが可能になる。

上記態様に係る認証装置において、前記特定ユーザに関する状態は、例えば、前記特定ユーザが所定の環境下に存在するか否かを表す状態であってよい。例えば、前記センサユニットは、周囲の明るさを検出する光センサを含み、前記推定部は、前記検出された周囲の明るさに基づいて、前記時間範囲において前記特定ユーザが明るい場所にいるか暗い場所にいるかを推定し、前記識別部は、前記推定部によって前記特定ユーザが前記明るい場所にいると推定された場合に、前記測定値が前記特定ユーザに関するものであると識別し、前記推定部によって前記特定ユーザが前記暗い場所にいると推定された場合に、前記測定値が前記特定ユーザに関するものでないと識別する。

上記の構成では、ユーザが測定時に存在した環境が推定され、その推定結果を用いて測定データの認証が行なわれる。環境は、光センサなどの一般的な携帯型又は装着型の機器に設けられるセンサを用いて推定することができるので、認証のためにセンサを新たに設ける必要がない。その結果、低コストで認証装置を実現することができる。

上記態様に係る認証装置において、前記取得部は、前記生体情報測定装置との近距離無線通信により前記測定データを取得してよい。

上記の構成では、認証装置は、生体情報測定装置に近くにあるときに生体情報測定装置から測定データを受信することが可能である。別のユーザが生体情報測定装置で測定を行なった場合に、認証装置が生体情報測定装置から離れていれば、認証装置が別のユーザに関する測定データを取得することがない。したがって、別のユーザに関する測定データを誤って取得することを防止することができる。

上記態様に係る認証装置において、前記近距離無線通信は例えば超音波通信であってよい。超音波通信は通信距離が短いので、別のユーザに関する測定データを誤って取得することをより効果的に防止することができる。

本発明によれば、対象者と異なる人物が生体情報の測定を行なうなりすましを防止することができる認証装置、認証システム、認証方法、及びプログラムを提供することができる。

本発明の一実施形態に係る認証システムの一例を例示するブロック図。 図１に示した生体情報測定装置のハードウェア構成の一例を例示するブロック図。 図１に示したユーザ端末のハードウェア構成の一例を例示するブロック図。 図１に示した生体情報測定装置のソフトウェア構成の一例を例示するブロック図。 図１に示したユーザ端末のソフトウェア構成の一例を例示するブロック図。 本発明の一実施形態に係る基準行動パターンを示す図。 図１に示した認証システムの処理手順の一例を例示するフローチャート。

以下、図面を参照しながら本発明の実施形態を説明する。

［適用例］
図１を参照して、本発明が適用される場面の一例について説明する。図１は、本発明の一実施形態に係る認証システム１０を含む情報処理システム１を例示する。情報処理システム１では、認証システム１０は、インターネットなどのネットワークＮＷを通じてサーバ４０と通信する。認証システム１０は、生体情報測定装置２０及びユーザ端末３０を備える。ユーザ端末３０は、本発明の「認証装置」に相当する。

一例として、情報処理システム１は、保険料を算定するシステムに適用される。例えば、保険会社は、被保険者が生活習慣の改善を行なった場合に、保険の更新時に保険料を減額する。この場合では、被保険者は、保険会社によって提供又は指定された生体情報測定装置２０を使用する。生体情報測定装置２０によって取得された測定結果を含む測定データは、被保険者が保有するユーザ端末３０を介してサーバ４０へ送信される。保険会社は、サーバ４０から測定データを取得し、取得した測定データに基づいて被保険者が生活習慣の改善を行なったか否かを判定する。

この例においては、生体情報測定装置２０により取得された測定結果が被保険者に関するものであることが保証されている必要がある。本実施形態では、ユーザ端末３０が、測定結果が被保険者に関するものであるか否かを識別する。以下では、被保険者のような測定を行なうべきユーザを対象ユーザと称する。

認証システム１０について説明する。

生体情報測定装置２０は、測定部２１及び通信部２２を備える。
測定部２１は、生体情報に関する値を測定し、測定値と測定値に関連付けられた測定時刻情報とを含む測定データを生成する。生体情報は、人間の身体及び／又は行動に関する情報である。生体情報の例は、血圧、心電、心拍、脈拍、体温、体重、体組成、歩数、活動量などを含む。体組成は、身体を構成する組織の割合又は量を表す。体組成は、例えば、体脂肪率、筋肉率、除脂肪量、体脂肪量、筋肉量、骨量、水分量である。活動量は、歩行、家事、及びデスクワークを含む身体活動を表す情報である。活動量は、例えば、消費カロリー（代謝エネルギー量）である。したがって、生体情報測定装置２０は、例えば、血圧計、心電計、心拍計、脈拍計、体温計、体重計、体組成計、歩数計、活動量計などである。測定時刻情報は、測定が行なわれた時刻を表す情報である。

通信部２２は、ユーザ端末３０とデータ交換を行なう。例えば、通信部２２は、測定部２１によって生成された測定データをユーザ端末３０へ送信する。通信部２２は、本発明の「送信部」に相当する。通信部２２は、ユーザ端末３０から時刻情報を受信してもよい。この場合、生体情報測定装置２０とユーザ端末３０との間で時刻同期が行なわれる。生体情報測定装置２０とユーザ端末３０との間での時刻同期は、後述する認証処理を精度良く行なうことを可能にする。時刻同期は、生体情報測定装置２０及びユーザ端末３０が他の装置（例えばサーバ４０）から基準時刻を受信することで行なわれてもよい。

ユーザ端末３０は、携帯型又は装着型のデバイスである。通信部３１、個人専用機能提供部３２、センサユニット３３、行動推定部３４、及び識別部３５を備える。以下では、個人専用機能提供部を単に提供部と称する。

通信部３１は、生体情報測定装置２０とデータ交換を行なう。例えば、通信部３１は、生体情報測定装置２０から測定データを受信する。通信部３１は、本発明の「取得部」に相当する。

提供部３２は、１人の特定ユーザによって使用されるべき機能である個人専用機能を提供する。本明細書では、個人専用機能とは、１人の特定ユーザとは異なるユーザ（他人）がその機能を使用した場合に当該特定ユーザが社会的に信用を失う可能性がある機能である。個人専用機能の例は、電話機能、電子メール機能、クレジットカード機能、電子マネー機能、身分証明証（ＩＤカード）機能などを含む。ここでは、個人専用機能は、対象ユーザに専用のものである。個人専用機能は、ユーザ端末３０の起動とともに起動して使用可能状態（すなわちアクティブ）になってもよく、ユーザからの指示に応じて起動して使用可能状態になってもよい。また、個人専用機能は、起動時にパスワードの入力を要求し、正しいパスワードが入力された場合に使用可能状態になってもよい。パスワードなどの認証手法を用いることにより、個人専用機能が使用可能状態にあるときには対象ユーザがユーザ端末３０を保持していることがより確実に保証される。

センサユニット３３は、ユーザ端末３０の状態に関する情報を取得する１つ又は複数のセンサを含む。本実施形態では、センサユニット３３は、対象ユーザの動きを検出するためのものであり、例えば、加速度センサとジャイロセンサと位置センサとのうちの少なくとも１つを含む。

行動推定部３４は、センサユニット３３によって取得された情報に基づいて、測定データに含まれる測定時刻情報により特定される時間範囲（以下、測定時間範囲とも称する）におけるユーザの行動パターンを推定する。例えば、行動パターンは、測定前、測定中、及び測定後において対象ユーザが静状態であったか動状態であったかを表す情報を含む。例えば、動状態は、歩行などの動きがある状態であり、静状態は、動きがない状態である。なお、動きは、移動を伴うものでなくてもよい。例えば、行動推定部３４は、その場でのジャンプなどの測定に適さない動きを検出した場合には、対象ユーザが動状態であると判定する。また、生体情報測定装置２０などの機器を操作するための動きを含む特定の動きは許容される。行動推定部３４は、本発明の「推定部」に相当する。行動パターンは、対象ユーザに関する状態の一例である。

識別部３５は、個人専用機能が測定時間範囲中に使用可能状態にあったか否かと行動推定部３４から出力される状態の推定結果とに基づいて、測定データに含まれる測定値が対象ユーザに関するものであるか否かを識別する。具体的には、識別部３５は、個人専用機能が測定時間範囲中に使用可能状態にあり、かつ、状態の推定結果が測定に適した状態である場合に、測定値が対象ユーザに関するものであると識別し、個人専用機能が測定時間範囲中に使用可能状態にない、又は、状態の推定結果が測定に適した状態でない場合に、測定値が対象ユーザに関するものでないと識別する。本実施形態では、識別部３５は、測定データに含まれる測定値が対象ユーザに関するものであるか否かを識別するために、行動推定部３４によって推定された行動パターンが生体情報の種類に応じて予め決められた基準行動パターンに合致するか否かを判定する。識別部３５は、推定行動パターンが基準行動パターンに合致すると判定した場合に、測定値が対象ユーザに関するものであると識別し、推定行動パターンが基準行動パターンに合致しないと判定した場合に、測定値が対象ユーザに関するものでないと識別する。

例えば、血圧測定中には、対象ユーザは静止しているはずである。これに対して、ユーザ端末３０が、血圧測定中に対象ユーザが動いていることを検出したとする。この場合、対象ユーザとは異なる他のユーザが生体情報測定装置２０で測定を行なったと考えられるため、生体情報測定装置２０で取得された測定値は、対象ユーザに関するものではないと識別される。仮にこの測定値が対象ユーザに関するものであったとしても、測定値は対象ユーザが動いた状態で取得されたものであるため、測定値の信頼性は低い。このため、この測定値は分析に供されるべきではなく、測定値が対象ユーザに関するものではないと識別される。

上述した構成を有するユーザ端末３０では、個人専用機能は対象ユーザに専用のものであり、個人専用機能が使用可能状態にあるときには、特定ユーザがユーザ端末３０を保持（携帯又は装着）していることが保証される。このため、個人専用機能が測定時に使用可能状態にあった場合には、測定時における状態の推定結果は、対象ユーザに関するものであるとみなすことができる。また、対象ユーザ本人が生体情報測定装置２０で測定を行なう場合には、対象ユーザは測定に適した状態にあるはずである。したがって、個人専用機能が測定時に使用可能状態にあるか否かと、測定時における状態の推定結果が測定に適した状態であるか否かと、に基づいて、測定データに含まれる測定値の認証を行なうことができる。その結果、対象ユーザとは異なる他のユーザが生体情報測定装置２０で測定を行なうなりすましを検出することが可能である。

図１に示される例では、１つの生体情報測定装置２０が示される。ユーザ端末３０は、複数の生体情報測定装置２０と接続可能であってもよく、これらの生体情報測定装置２０で得られた測定結果を個別に認証することができる。本実施形態では、ある生体情報測定装置で得られた測定結果に対する認証は、他の生体情報測定装置で得られた測定結果を用いることなく行なうことができる。

認証システム１０は、保険料を算定するシステムに限らず、他のシステムにも適用することができる。例えば、認証システム１０は、生活改善を行なったユーザへ医療費の一部を還元するシステム、長年の血圧変化とイベント発症リスクとの関係などの疫学調査研究のためのシステム、患者の血圧に応じて投薬量を変更するシステムなどに適用することができる。

次に、認証システム１０をより具体的に説明する。以下では、生体情報測定装置２０が血圧計である例を主に扱う。

［構成例］
（ハードウェア構成）
＜生体情報測定装置＞
図２を参照して、本実施形態に係る生体情報測定装置２０のハードウェア構成の一例について説明する。図２は、生体情報測定装置２０のハードウェア構成の一例を例示する。図２に示される例では、生体情報測定装置２０は血圧計である。

図２の例では、生体情報測定装置２０は、制御部２０１、記憶部２０２、入力装置２０３、出力装置２０４、通信インタフェース２０５、ポンプ２０６、ポンプ駆動回路２０７、弁２０８、弁駆動回路２０９、圧力センサ２１０、及びカフ２１１を備える。

制御部２０１は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）などを含み、情報処理に応じて各構成要素の制御を行なう。記憶部２０２は、例えば、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）などの補助記憶装置であり、制御部２０１で実行される血圧測定プログラムや、血圧測定プログラムを実行するために必要な設定データ、測定データなどを記憶する。記憶部２０２が備える記憶媒体は、コンピュータ及びその他の装置、機械等が記録されたプログラムなどの情報を読み取り可能なように、当該プログラムなどの情報を、電気的、磁気的、光学的、機械的又は化学的作用によって蓄積する媒体である。

入力装置２０３は、ユーザが生体情報測定装置２０に対する指示を入力することを可能にする装置である。例えば、入力装置２０３は、測定開始を指示するボタンなどのプッシュ式ボタンを含む。出力装置２０４は、出力を行なうための装置である。例えば、出力装置２０４は、液晶表示装置などの表示装置、及びスピーカを含む。

通信インタフェース２０５は、通信を行なうためのインタフェースである。通信インタフェース２０５は、Ｂｌｕｅｔｏｏｔｈ（登録商標）モジュール、Ｂｌｕｅｔｏｏｔｈ Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）モジュールなどの近距離無線通信モジュールを含むが、これに限定されない。通信インタフェース２０５は、無線ＬＡＮ（Local Area Network）モジュールなどの他のタイプの無線通信モジュールを含んでいてもよく、有線通信モジュールを含んでいてもよい。また、生体情報測定装置２０とユーザ端末３０との間の通信は、電波通信に限らず、超音波通信や赤外線通信などであってもよい。

ポンプ２０６は、可撓性チューブなどの流路を介してカフ２１１に接続され、カフ２１１に空気を供給する。カフ２１１は、空気を収容可能な空気袋を含む。血圧測定時には、カフ２１１は、被測定者の被測定部位（例えば上腕）に巻き付けられる。ポンプ駆動回路２０７は、制御部２０１からの制御信号に基づいて、ポンプ２０６を駆動する。

弁２０８は流路に設けられている。弁駆動回路２０９は、制御部２０１からの制御信号に基づいて、弁２０８を駆動する。これにより、弁２０８は、開状態と閉状態とを切り替えられる。弁２０８が閉状態にあるときには、流路が大気から遮断され、弁２０８が開状態にあるときには、流路が大気と連通する。

圧力センサ２１０は、カフ２１１内の圧力を検出し、検出した圧力を示す圧力信号を生成する。圧力センサ２１０としては、例えば、ピエゾ抵抗式圧力センサを使用することができる。圧力センサ２１０からの圧力信号は、図示しない増幅器によって増幅され、図示しないアナログデジタル変換回路によってデジタル信号に変換された後に制御部２０１に与えられる。

なお、生体情報測定装置２０の具体的なハードウェア構成に関して、実施形態に応じて、適宜、構成要素の省略、置換及び追加が可能である。例えば、制御部２０１は、複数のプロセッサを含んでもよい。生体情報測定装置２０は、据え置き型のデバイスであってもよく、ウェアラブルデバイスであってもよい。例えば、生体情報測定装置２０が歩数計又は活動量計である場合、生体情報測定装置２０はウェアラブルデバイスである。

＜ユーザ端末＞
図３を参照して、本実施形態に係るユーザ端末３０のハードウェア構成の一例について説明する。図３は、ユーザ端末３０のハードウェア構成の一例を例示する。ユーザ端末３０は、携帯電話機、スマートフォン、タブレットＰＣ（Personal Computer）などの携帯機器であるが、これに限らない。ユーザ端末３０は、スマートウォッチなどのウェアラブルデバイスであってもよい。

図３の例では、ユーザ端末３０は、制御部３０１、記憶部３０２、入力装置３０３、出力装置３０４、通信インタフェース３０５、加速度センサ３０６、ＧＰＳ（Global Positioning System）受信機３０７、及び電池３０８を備える。

制御部３０１は、ＣＰＵ、ＲＡＭ、ＲＯＭなどを含み、情報処理に応じて各構成要素の制御を行なう。記憶部３０２は、例えば、ＨＤＤ、ＳＳＤなどの補助記憶装置であり、制御部２０１で実行される認証プログラム、認証プログラムを実行するための設定データ（例えば基準行動パターンを表す情報）、生体情報測定装置２０から受信された測定データなどを記憶する。記憶部３０２が備える記憶媒体は、コンピュータ及びその他の装置、機械等が記録されたプログラムなどの情報を読み取り可能なように、当該プログラムなどの情報を、電気的、磁気的、光学的、機械的又は化学的作用によって蓄積する媒体である。

入力装置３０３は、ユーザがユーザ端末３０に対する指示を入力することを可能にする装置である。例えば、入力装置３０３は、タッチスクリーン、プッシュ式ボタン、マイクロフォン、及び撮像装置などを含む。出力装置２０４は、出力を行なうための装置である。出力装置２０４は、表示装置（タッチスクリーンを構成する表示装置）及びスピーカなどを含む。

通信インタフェース２０５は、通信を行なうためのインタフェースである。通信インタフェース２０５は、生体情報測定装置２０と通信するための通信モジュールを含む。例えば、通信インタフェース２０５は、Ｂｌｕｅｔｏｏｔｈモジュール、ＢＬＥモジュールなどの近距離無線通信モジュールを含む。通信インタフェース２０５は、無線ＬＡＮモジュールなどの他のタイプの無線通信モジュールを含んでいてもよく、有線通信モジュールを含んでいてもよい。例えば、通信インタフェース２０５は、ネットワークＮＷを介してサーバ４０と通信するために、無線ＬＡＮモジュールを使用する。

加速度センサ３０６は、ユーザ端末３０の加速度を検出するものであり、例えば、３軸方向の加速度を検出する３軸加速度センサである。ＧＰＳ受信機３０７は、複数のＧＰＳ衛星からＧＰＳ信号を受信し、受信したＧＰＳ信号を制御部３０１に出力する。制御部３０１は、ＧＰＳ信号に基づいて、ユーザ端末３０の位置、すなわち、ユーザ端末３０を保持しているユーザの位置を算出する。ＧＰＳ受信機３０７及び制御部３０１は、ユーザ端末３０の位置を検出する位置センサを形成する。なお、位置センサは、ＧＰＳに限らず、ＧＬＯＮＡＳＳ（Global Navigation Satellite System）などの他の衛星航法に基づくものであってもよい。また、位置センサは、衛星航法に代えて又は追加して、Ｗｉ−Ｆｉ（登録商標）測位などの屋内測位に基づいていてもよい。

電池３０８は、例えば充電式電池であり得る。電池３０８は、制御部３０１、記憶部３０２、入力装置３０３、出力装置３０４、通信インタフェース３０５、加速度センサ３０６、及びＧＰＳ受信機３０７に電力を供給する。

なお、ユーザ端末３０の具体的なハードウェア構成に関して、実施形態に応じて、適宜、構成要素の省略、置換及び追加が可能である。例えば、制御部３０１は、複数のプロセッサを含んでいてもよい。ユーザ端末３０は、ユーザ端末３０の角速度を検出するジャイロセンサをさらに備えてもよい。ジャイロセンサは、例えば、３軸周りの角速度を検出する３軸ジャイロセンサである。

（ソフトウェア構成）
＜生体情報測定装置＞
図４を参照して、本実施形態に係る生体情報測定装置２０のソフトウェア構成の一例について説明する。図４は、生体情報測定装置２０のソフトウェア構成の一例を例示する。図４に示される例では、図２を参照して説明した例と同様に、生体情報測定装置２０は血圧計である。

図４の例では、生体情報測定装置２０は、測定制御部２５１、血圧値算出部２５２、送信部２５３、及び測定データ記憶部２５４を備える。測定制御部２５１、血圧値算出部２５２、及び送信部２５３は、生体情報測定装置２０の制御部２０１が記憶部２０２に記憶された血圧測定プログラムを実行することによって実現される。制御部２０１が血圧測定プログラムを実行する際には、制御部２０１は、血圧測定プログラムをＲＡＭに展開する。そして、制御部２０１は、ＲＡＭに展開された血圧測定プログラムをＣＰＵにより解釈及び実行して、各構成要素を制御する。測定データ記憶部２５４は、記憶部２０２に設けられる。

測定制御部２５１は、血圧測定の制御を行なう。具体的には、測定制御部２５１は、ポンプ２０６及び弁２０８の動作を制御する。測定制御部２５１は、被測定者（例えば対象ユーザ）が入力装置２０３を用いて入力した測定開始の指示を受けると、弁２０８を閉状態にし、ポンプ２０６を駆動する。これにより、カフ２１１への空気の供給が開始される。カフ２１１が膨張し、それにより被測定者の上腕が圧迫される。測定制御部２５１は、圧力センサ２１０の出力信号が示すカフ２１１内の圧力をモニタする。測定制御部２５１は、カフ２１１内の圧力が所定の圧力（例えば３００ｍｍＨｇ）に達すると、ポンプ２０６を停止し、弁２０８を開状態にする。これにより、カフ２１１から空気を排気される。

血圧値算出部２５２は、カフ２１１に空気を供給する加圧過程又はカフ２１１から空気を排気する減圧過程において、圧力センサ２１０から出力される圧力信号に基づいて、オシロメトリック法により血圧値を算出する。血圧値は、収縮期血圧（ＳＢＰ）及び拡張期血圧（ＤＢＰ）を含むが、これに限定されない。血圧値算出部２５２は、血圧値と同時に脈拍数も算出することができる。血圧値算出部２５２は、算出した血圧値である測定値を測定時刻情報と関連付けて測定データ記憶部２５４に記憶させる。測定データ記憶部２５４は、測定値と測定値に関連付けられた測定時刻情報とを含む測定データを記憶する。

送信部２５３は、測定データ記憶部２５４から測定データを読み出し、読み出した測定データをユーザ端末３０へ送信する。測定データの送信は、ユニキャスト通信で行なわれてもよく、ブロードキャスト通信で行なわれてもよい。測定データの送信がユニキャスト通信で行なわれる場合、ユーザ端末３０に関する情報を含む対象ユーザに関する情報が事前に生体情報測定装置２０に登録される。例えば、通信方式としてＢｌｕｅｔｏｏｔｈが採用される場合、対象ユーザはユーザ端末３０と生体情報測定装置２０との間のペアリングを行なう。

生体情報測定装置２０は、複数のユーザで、例えば家族のメンバで、共用することができる。この場合、個々のユーザに関する情報が事前に生体情報測定装置２０に登録され、各ユーザは、測定時に入力装置を用いて自身に対応する登録番号を選択する。これにより、送信部２５３は、測定を行なったユーザに対応するユーザ端末３０を指定して、測定データを送信することができる。

本実施形態では、測定データの送信は近距離無線通信で行なわれる。この場合、対象ユーザと異なる他のユーザが対象ユーザに対応する登録番号を選択して測定を行なったとしても、ユーザ端末３０を保持している対象ユーザが送信期間中に生体情報測定装置２０の近くにいなければ、ユーザ端末３０が他のユーザに関する測定データを受信することがない。例えば、送信部２５３は、測定後から所定時間（例えば１分）が経過するまでの間だけ測定データを送信する。このように測定データの送信を近距離無線通信で行なうことにより、ユーザ端末３０が他のユーザに関する測定データを取得することを防止することができる。

近距離無線通信として超音波通信が使用されてもよい。超音波通信は通信距離が短く（例えば１０〜数十ｃｍ程度に）なるように設計することが可能である。このため、ユーザ端末３０が他のユーザに関する測定データを取得することをより効果的に防止することができる。

なお、生体情報測定装置２０は、ネットワークＮＷに接続可能であってもよい。この場合、生体情報測定装置２０は、ネットワークＮＷを介してユーザ端末３０へ測定データを送信することができる。

＜ユーザ端末＞
図５を参照して、本実施形態に係るユーザ端末３０のソフトウェア構成の一例について説明する。図５は、ユーザ端末３０のソフトウェア構成の一例を例示する。

図５の例では、ユーザ端末３０は、取得部３５１、行動推定部３５２、識別部３５３、提供部３５４、測定データ記憶部３５５、及び基準行動パターン記憶部３５６を備える。取得部３５１、行動推定部３５２、識別部３５３、及び提供部３５４は、ユーザ端末３０の制御部３０１が記憶部３０２に記憶された認証プログラムを実行することによって実現される。制御部３０１が認証プログラムを実行する際には、制御部３０１は、認証プログラムをＲＡＭに展開する。そして、制御部３０１は、ＲＡＭに展開された認証プログラムをＣＰＵにより解釈及び実行して、各構成要素を制御する。測定データ記憶部３５５及び基準行動パターン記憶部３５６は、記憶部３０２に設けられる。

提供部３５４は、個人専用機能、例えば、電話機能及びメール機能を提供する。なお、個人専用機能は、ＣＰＵにより実行されるソフトウェアにより実現されるものに限らない。個人専用機能は、ＩＣチップなどのハードウェアにより提供されてもよい。

取得部３５１は、生体情報測定装置２０から測定データを取得し、取得した測定データを測定データ記憶部３５５に記憶させる。

行動推定部３５２は、処理対象の測定データに含まれる測定時刻情報を読み出し、測定時刻情報により特定される時間範囲における対象ユーザの行動パターンを推定する。行動パターンは、対象ユーザが静状態にあったか動状態にあったかを表す情報を含む。特定される時間範囲は、測定前の時間範囲と測定中の時間範囲と測定後の時間範囲とのうちの少なくとも１つを含む。典型的には、特定される時間範囲は、少なくとも測定中の時間範囲を含む。生体情報測定装置２０がオシロメトリック法を採用した血圧計である場合、測定に数十秒かかり、測定中の時間範囲は、測定が行なわれる数十秒の期間である。また、測定前の時間範囲は、測定開始時刻よりも所定時間（例えば１０秒又は１分）だけ前の時刻から測定開始時刻までの期間であり、測定後の時間範囲は、測定終了時刻から測定終了時刻よりも所定時間（例えば１０秒又は１分）だけ後の時刻までの期間である。

識別部３５３は、行動推定部３５２によって推定された行動パターンを示す情報を受け取り、基準行動パターン記憶部３５６から基準行動パターンを示す情報を読み出す。基準行動パターンは、生体情報の種類又は生体情報測定装置２０の種類に応じて予め決定される。生体情報測定装置の種類は、例えば、扱う生体情報の種類、機種（例えば据え置き型か装着型か）などを含む。図６は、基準行動パターンを示す情報の一例を例示する。例えば、血圧計に関連する基準行動パターンは、測定前はユーザが動状態にあり、測定中はユーザが静状態にあり、測定後はユーザが動状態にあるものとして定められている。血圧計に関連する基準行動パターンがこのように定められるのは、ユーザは、血圧計のあるところまで歩いていき、その場に留まって血圧測定を行ない、測定後にはその場を離れるという行動をとることが一般的であるためである。図６に示される例では、体重体組成計、体温計、及び心電計に関連する基準行動パターンは、血圧計に関連する基準行動パターンと同じである。

歩数計及び活動量計に関連する基準行動パターンは、測定前はユーザが静状態にあり、測定中はユーザが動状態にあり、測定後はユーザが静状態にあるものとして定められている。歩数計及び活動量計は常時測定を行なっている。生体情報測定装置２０が歩数計である場合、歩数のカウントが増加している期間が測定中の時間範囲に対応し、歩数のカウントが変化しない期間が測定前又は測定後の時間範囲に対応する。生体情報測定装置２０が活動量計である場合、活動が検出されている期間が測定中の時間範囲に対応し、活動が検出されていない期間が測定前又は後の時間範囲に対応する。

識別部３５３は、行動推定部３５２によって推定された行動パターンが基準行動パターンに合致するか否かを判定し、個人専用機能が測定時間範囲中に使用可能状態にあったか否かを判定する。識別部３５３は、推定行動パターンが基準行動パターンと合致し、かつ、個人専用機能が測定時間範囲中に使用可能状態にあったと判定した場合、処理対象の測定データに含まれる測定値が対象ユーザに関するものであると識別し、測定値が対象ユーザに関するものであるという属性情報を処理対象の測定データに付与する。識別部３５３は、推定行動パターンが基準行動パターンと合致しないと判定した場合、又は、個人専用機能が測定時間範囲中に使用可能状態でなかったと判定した場合に、処理対象の測定データに含まれる測定値が対象ユーザに関するものでないと識別し、測定値が対象ユーザに関するものでないという属性情報を処理対象の測定データに付与する。

血圧測定では、対象ユーザが測定前にある程度の期間（例えば数分間）安静状態にあることが望ましい。生体情報測定装置２０が血圧計である場合において、行動推定部３５２は、測定前の時間（例えば測定の５分前から測定の１分前までの時間）におけるユーザの行動をさらに推定してもよい。これにより、測定前に安静時間が確保できているかどうかを追加情報として得ることができる。

なお、本実施形態では、生体情報測定装置２０及びユーザ端末３０の機能がいずれも汎用のＣＰＵによって実現される例について説明している。しかしながら、機能の一部又は全部が１又は複数の専用のプロセッサにより実現されてもよい。また、生体情報測定装置２０及びユーザ端末３０の構成に関して、実施形態に応じて、適宜、省略、置換及び追加が行われてもよい。

［動作例］
図７を参照して、認証システム１０の動作例を説明する。以下で説明する処理手順は一例に過ぎず、各ステップは可能な限り変更されてよい。また、以下で説明する処理手順について、実施形態に応じて、ステップの省略、置換、及び追加が可能である。

図７のステップＳ７０１では、生体情報測定装置２０は、生体情報に関する値を測定し、測定値と測定時刻情報とを含む測定データを生成する。例えば、生体情報測定装置２０の制御部２０１は、測定制御部２５１として動作し、弁２０８が閉状態になり、ポンプ２０６がカフ２１１へ空気を供給するように、弁駆動回路２０９及びポンプ駆動回路２０７を制御する。制御部２０１は、血圧値算出部２５２として動作し、圧力センサ２１０から出力される圧力信号に基づいて血圧値を算出する。血圧値を算出すると、制御部２０１は、測定制御部２５１として動作し、ポンプ２０６が空気の供給を停止し、弁２０８が開状態になるように、ポンプ駆動回路２０７及び弁駆動回路２０９を制御する。測定時刻情報は、例えば、測定値としての血圧値が算出された時刻であってもよく、又はユーザが測定開始ボタンを押した時刻であってもよい。

ステップＳ７０２では、生体情報測定装置２０は、測定データをユーザ端末３０へ送信する。例えば、制御部２０１は、送信部２５３として動作し、通信インタフェース２０５を介して測定データをユーザ端末３０へ無線送信する。

ユーザ端末３０は、生体情報測定装置２０から測定データを受信する。例えば、ユーザ端末３０の制御部３０１は、取得部３５１として動作し、通信インタフェース３０５を介して生体情報測定装置２０から測定データを受信し、受信した測定データを測定データ記憶部３５５に記憶させる。

本実施形態では、生体情報測定装置２０は、近距離無線通信でユーザ端末３０へ測定データを直接送信する。このため、ユーザ端末３０が生体情報測定装置２０の近くに存在しない場合には、測定データはユーザ端末３０によって受信されることはない。ユーザ端末３０が生体情報測定装置２０の近くに存在しないことは、対象ユーザが生体情報測定装置２０の近くに存在しないこと、すなわち、対象ユーザが生体情報測定装置２０で測定を行なったのではないことに対応する。近距離無線通信で生体情報測定装置２０からユーザ端末３０へ測定データを直接送信することにより、ユーザ端末３０が他者に関する測定データを受信することを防止することができる。その結果、認証確度を向上することができる。

ステップＳ７０３では、ユーザ端末３０は、測定データに含まれる測定値が取得されたときのユーザの行動パターンを推定する。例えば、制御部３０１は、行動推定部３５２として動作し、測定データに含まれる測定時刻情報に基づいて、測定時間範囲を特定する。続いて、制御部３０１は、特定した時間範囲におけるユーザの行動パターンを推定する。例えば、測定時間範囲は、測定前の時間範囲、測定中の時間範囲、及び測定後の時間範囲を含み、制御部３０１は、ユーザが各時間範囲において静状態であったか動状態であったかを判定する。例えば、制御部３０１は、各時間範囲中に動き（例えば歩行や走行）を検出した場合に、ユーザがその時間範囲において動状態であったと判定し、各時間範囲中に動きを検出しなかった場合に、ユーザがその時間範囲において静状態であったと判定する。ユーザが移動を伴う動きをしたかどうかは、加速度センサ３０６から出力される加速度信号と位置センサから出力される位置情報とに基づいて検出することが可能である。

ステップＳ７０４では、ユーザ端末３０は、推定した行動パターン（推定行動パターン）が基準行動パターンと合致するか否かを判定する。推定行動パターンが基準行動パターンと合致する場合、ステップＳ７０５に進み、推定行動パターンが基準行動パターンと合致しない場合、ステップＳ７０７に進む。

例えば、制御部３０１は、識別部３５３として動作し、基準行動パターン記憶部３５６から、対象となる生体情報の種類に対応する基準行動パターンを読み出し、推定行動パターンが読み出した基準行動パターンと合致するか否かを判定する。生体情報測定装置２０が血圧計である場合、血圧に関連する基準行動パターンが読み出される。図６に示されるように、血圧に関連する基準行動パターンは、測定前の時間範囲において動状態、測定中の時間範囲において静状態、測定後の時間範囲において動状態というパターンである。この場合、制御部３０１は、推定行動パターンが測定前の時間範囲において動状態、測定中の時間範囲において静状態、測定後の時間範囲において動状態というパターンである場合に、推定行動パターンが基準行動パターンと合致すると判定し、それ以外の場合に推定行動パターンが基準行動パターンと合致しないと判定する。

ステップＳ７０５では、ユーザ端末３０は、個人専用機能が測定時間範囲の間ずっと使用可能状態であったか否かを判定する。個人専用機能が測定時間範囲の間ずっと使用可能状態であった場合、ステップＳ７０６に進み、そうでなければ、ステップＳ７０７に進む。

例えば、制御部３０１は、識別部３５３として動作し、個人専用機能が測定時間範囲中に使用可能状態であったか否かを判定する。制御部３０１は、個人専用機能が測定時間範囲中に使用可能状態であったと判定した場合に、対象ユーザがユーザ端末３０を保持しているとみなし、個人専用機能が測定時間範囲中に使用可能状態でなかったと判定した場合に、他のユーザがユーザ端末３０を保持していた可能性があるとみなす。

ステップＳ７０６では、ユーザ端末３０は、測定データに含まれる測定値が対象ユーザに関するものであると認める。例えば、制御部３０１は、識別部３５３として動作し、測定データに含まれる測定値が対象ユーザに関するものであると識別する。この場合、例えば、測定値が対象ユーザに関するものであることを示す属性情報が測定データに付加される。

ステップＳ７０７では、ユーザ端末３０は、測定データに含まれる測定値が対象ユーザに関するものでなると認めない。例えば、制御部３０１は、識別部３５３として動作し、測定データに含まれる測定値が対象ユーザに関するものでないと識別する。この場合、例えば、測定値が対象ユーザに関するものでないことを示す属性情報が測定データに付加される。なお、制御部３０１は、処理対象の測定データを破棄してもよい。

このようにして、生体情報測定装置２０で取得された測定データは、ユーザ端末３０に蓄積される。ユーザ端末３０に蓄積された測定データは、ネットワークＮＷを通じてサーバ４０に適宜に送信される。

［効果］
本実施形態では、ユーザ端末３０において個人専用機能が提供される。個人専用機能が使用可能状態にあるときには、特定ユーザがユーザ端末３０を保持していることが保証される。このため、個人専用機能が測定時に使用可能状態にあった場合には、測定時における状態の推定結果は対象ユーザに関するものであるとみなす。また、対象ユーザ本人が生体情報測定装置２０で測定を行なう場合には、対象ユーザの行動パターンは基準行動パターンに合致するはずである。したがって、個人専用機能が測定時に使用可能状態にあるか否かと、推定行動パターンが基準行動パターンと合致するか否かと、に基づいて、測定データに含まれる測定値の認証を行なうことができる。その結果、対象ユーザとは異なる他のユーザが生体情報測定装置２０で測定を行なうなりすましを検出することができる。

測定中の時間範囲とともに、測定前の時間範囲及び／又は測定後の時間範囲についてもユーザの行動を推定することにより、測定中の時間範囲についてのみユーザの行動を推定する場合よりも認証確度を向上することができる。

［変形例］
本発明は、上記の実施形態に限定されるものではない。例えば、上述した実施形態では、ユーザの状態としてユーザの行動パターンが推定される。これに対し、他の実施形態では、ユーザの状態としてユーザが所定の環境下にいるか否かが推定されてもよい。この場合、ユーザ端末３０は、行動推定部３４に代えて、対象ユーザが所定の環境下に存在するか否かを推定する環境推定部を備える。環境推定部は、本発明の「推定部」に相当する。センサユニット３３は、対象ユーザが所定の環境下に存在するか否かを検出するためのものであり、例えば、周囲の明るさを検出する光センサを含む。環境推定部は、光センサにより検出された周囲の明るさに基づいて、測定に関する時間範囲において対象ユーザが明るい場所にいるか暗い場所にいるかを推定する。推定は、例えば、光センサにより検出された明るさと閾値との比較に基づくことができる。識別部３５は、環境推定部によって対象ユーザが明るい場所にいると推定された場合に、測定値が対象ユーザに関するものであると識別し、環境推定部によって対象ユーザが暗い場所にいると推定された場合に、測定値が対象ユーザに関するものでないと識別する。この識別方法は、血圧などの生体情報の測定は暗い場所で行なわれることはないという一般的な事情に基づいている。

また、認証に関する処理の一部又は全部は、ユーザ端末３０とは異なる装置（例えばサーバ４０）で実行されてもよい。例えば、サーバ４０が行動推定部３４及び識別部３５を備えてもよい。この場合、ユーザ端末３０は、センサユニット３３により取得された情報、個人専用機能の状態を示す情報、及び生体情報測定装置２０により得られた測定データを、ネットワークＮＷを通じてサーバ４０へ送信する。なお、生体情報測定装置２０は、ユーザ端末３０を介さずに、ネットワークＮＷを通じてサーバ４０へ測定データを送信してもよい。

本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…情報処理システム、１０…認証システム、
２０…生体情報測定装置、
２１…測定部、２２…通信部、
２０１…制御部、２０２…記憶部、２０３…入力装置、２０４…出力装置、
２０５…通信インタフェース、２０６…ポンプ、２０７…ポンプ駆動回路、
２０８…弁、２０９…弁駆動回路、２１０…圧力センサ、２１１…カフ、
２５１…測定制御部、２５２…血圧値算出部、２５３…送信部、
２５４…測定データ記憶部、
３０…ユーザ端末、
３１…通信部、３２…個人専用機能提供部、３３…センサユニット、
３４…行動推定部、３５…識別部、
３０１…制御部、３０２…記憶部、３０３…入力装置、３０４…出力装置、
３０５…通信インタフェース、３０６…加速度センサ、３０７…ＧＰＳ受信機、
３０８…電池、
３５１…取得部、３５２…行動推定部、３５３…識別部、３５４…提供部、
３５５…測定データ記憶部、３５６…基準行動パターン記憶部、
４０…サーバ。

Claims (10)

1. 生体情報に関する値を測定する生体情報測定装置から、測定値と前記測定値に関連付けられた測定時刻情報とを含む測定データを取得する取得部と、
   １人の特定ユーザによって使用されるべき機能を提供する提供部と、
   少なくとも１つのセンサを含むセンサユニットと、
   前記センサユニットによって取得された情報に基づいて、前記測定時刻情報により特定される時間範囲における前記特定ユーザに関する状態を推定する推定部と、
   前記機能が前記時間範囲において使用可能状態にあり、かつ、前記状態の推定結果が測定に適した状態である場合に、前記測定値が前記特定ユーザに関するものであると識別する識別部と、
   を備える認証装置。
2. 前記特定ユーザに関する状態は、前記特定ユーザの行動を表す行動パターンであり、
   前記識別部は、前記機能が前記時間範囲において使用可能状態にあり、かつ、前記推定部によって推定された行動パターンが前記生体情報の種類に応じて予め決められた基準行動パターンに合致する場合に、前記測定値が前記特定ユーザに関するものであると識別し、前記機能が前記時間範囲において使用可能状態にない、又は、前記推定部によって推定された行動パターンが前記生体情報の種類に応じて予め決められた基準行動パターンに合致しない場合に、前記測定値が前記特定ユーザに関するものでないと識別する、請求項１に記載の認証装置。
3. 前記時間範囲は、測定前の時間範囲、測定中の時間範囲、及び測定後の時間範囲を含み、前記行動パターンは、前記測定前の時間範囲、前記測定中の時間範囲、及び前記測定後の時間範囲それぞれにおいて前記特定ユーザが動状態にあったか静状態にあったかを表す情報を含む、請求項２に記載の認証装置。
4. 前記特定ユーザに関する状態は、前記特定ユーザが所定の環境下に存在するか否かを表す状態である、請求項１に記載の認証装置。
5. 前記センサユニットは、周囲の明るさを検出する光センサを含み、
   前記推定部は、前記検出された周囲の明るさと明るさ閾値との比較に基づいて、前記時間範囲において前記特定ユーザが明るい場所にいるか暗い場所にいるかを推定し、
   前記識別部は、前記機能が前記時間範囲において使用可能状態にあり、かつ、前記推定部によって前記特定ユーザが前記明るい場所にいると推定された場合に、前記測定値が前記特定ユーザに関するものであると識別し、前記機能が前記時間範囲において使用可能状態にない、又は、前記推定部によって前記特定ユーザが前記暗い場所にいると推定された場合に、前記測定値が前記特定ユーザに関するものでないと識別する、請求項４に記載の認証装置。
6. 前記取得部は、前記生体情報測定装置との近距離無線通信により前記測定データを取得する、請求項１乃至５のいずれか１項に記載の認証装置。
7. 前記近距離無線通信は超音波通信である、請求項６に記載の認証装置。
8. 生体情報測定装置と、前記生体情報測定装置と通信可能な認証装置と、を備える認証システムであって、
   前記生体情報測定装置は、
   生体情報に関する値を測定する測定部と、
   前記測定部によって取得された測定値と前記測定値に関連付けられた測定時刻情報とを含む測定データを送信する送信部と、
   を含み、
   前記認証装置は、
   前記生体情報測定装置から前記測定データを取得する取得部と、
   １人の特定ユーザによって使用されるべき機能を提供する提供部と、
   少なくとも１つのセンサを含むセンサユニットと、
   前記センサユニットによって取得された情報に基づいて、前記測定時刻情報により特定される時間範囲における前記特定ユーザに関する状態を推定する推定部と、
   前記機能が前記時間範囲において使用可能状態にあり、かつ、前記状態の推定結果が測定に適した状態である場合に、前記測定値が前記特定ユーザに関するものであると識別する識別部と、
   を含む、認証システム。
9. 少なくとも１つのセンサを含むセンサユニットを備える認証装置によって実行される認証方法であって、
   生体情報に関する値を測定する生体情報測定装置から、測定値と前記測定値に関連付けられた測定時刻情報とを含む測定データを取得する過程と、
   １人の特定ユーザによって使用されるべき機能を提供する過程と、
   前記センサユニットによって取得された情報に基づいて、前記測定時刻情報により特定される時間範囲における前記特定ユーザに関する状態を推定する過程と、
   前記機能が前記時間範囲において使用可能状態にあり、かつ、前記状態の推定結果が測定に適した状態である場合に、前記測定値が前記特定ユーザに関するものであると識別する過程と、
   を備える認証方法。
10. 請求項１乃至７のいずれか１項に記載の認証装置が備える各部としてコンピュータを機能させるためのプログラム。

Images