JP6963001B2 - サービス管理システム、サービス管理方法及びサービス管理プログラム - Google Patents

Description

本発明は、サービスを利用する場合に本人確認を行なうためのサービス管理システム、サービス管理方法及びサービス管理プログラムに関する。

各種サービスを利用する場合、本人確認を行なうことが多い。そこで、スマートフォン等のＢＹＯＤ機器を用いて本人認証する技術も検討されている（例えば、特許文献１参照）。この文献に記載された技術においては、外部から受信したユーザの行動履歴を示す情報を所定の単位に分割し、分割された単位毎にユーザが存在する確率密度関数に関する情報を算出する。そして、記憶部に、確率密度関数に関する情報を格納し、外部から認証要求を受信した場合に、確率密度関数に関する情報に基づき、認証要求があった時点におけるユーザの存在確率を算出し、存在確率に基づき、ユーザの本人認証を行なう。

また、行動パターンデータを蓄積せずに本人認証を行なう技術も検討されている（例えば、特許文献２参照）。この文献に記載された技術においては、利用顧客が振込処理を行なう際の行動パターンを予め自ら登録しておき、振込処理時に行動パターンを用いて利用顧客本人であることの認証を行なう。

特開２０１９−１０９５５６号公報 特開２０１５−３８６９１号公報

しかしながら、上記特許文献１に記載されている技術では、位置情報を用いるが、この位置情報だけでは、本人を特定できない場合もある。また、特許文献２に記載された技術では、予め登録された行動パターンが漏洩した場合には、セキュリティを担保できない可能性がある。

上記課題を解決するサービス管理システムは、ユーザの行動履歴に基づいて、ユーザ本人である確からしさを予測するための予測モデルを記録した学習結果記憶部と、ユーザの行動履歴を、前記ユーザが用いるユーザ端末から取得する制御部とを備える。そして、前記制御部が、サービス利用時に、前記ユーザ端末で検知した挙動について、ユーザの直近の行動履歴を特定し、前記直近の行動履歴を前記予測モデルに適用し、前記ユーザ本人の確からしさを算出し、前記確からしさに基づいた本人確認により、前記ユーザに対するサービスを決定する。

本発明によれば、サービスの利用時に的確に本人確認を行なうことができる。

実施形態のサービス管理システムの説明図。 実施形態のハードウェア構成例の説明図。 実施形態の情報記憶部の説明図であって、（ａ）はユーザ情報記憶部、（ｂ）は行動履歴記憶部、（ｃ）は学習結果記憶部の説明図。 実施形態の予測に用いるデータの説明図。 実施形態の処理手順の説明図。 実施形態の処理手順の説明図。 実施形態の処理手順の説明図。 実施形態の処理手順の説明図。 実施形態の処理手順の説明図。

以下、図１〜図９に従って、サービス管理システム、サービス管理方法及びサービス管理プログラムを具体化した一実施形態を説明する。本実施形態では、本人の挙動を含めた行動を、５Ｗ１Ｈ情報として蓄積し、サービスの利用時（本人確認の必要時）前の直近の行動履歴に基づいて、本人確認を行なう場合を想定する。この５Ｗ１Ｈ情報には、後述するように、「Ｗｈｏ（主体）」、「Ｗｈｅｎ（時刻）」、「Ｗｈｅｒｅ（場所）」、「Ｗｈａｔ（対象）」、「Ｗｈｙ（目的）」、「Ｈｏｗ（方法）」に関する情報が含まれる。
ここでは、図１に示すように、ユーザ端末１０、管理サーバ２０を用いる。ユーザ端末１０は、管理サーバ２０とネットワークを介して接続される。

（ハードウェア構成例）
図２は、ユーザ端末１０、管理サーバ２０等として機能する情報処理装置Ｈ１０のハードウェア構成例である。

情報処理装置Ｈ１０は、通信装置Ｈ１１、入力装置Ｈ１２、表示装置Ｈ１３、記憶部Ｈ１４、プロセッサＨ１５を有する。なお、このハードウェア構成は一例であり、他のハードウェアを有していてもよい。

通信装置Ｈ１１は、他の装置との間で通信経路を確立して、データの送受信を実行するインタフェースであり、例えばネットワークインタフェースカードや無線インタフェース等である。

入力装置Ｈ１２は、ユーザ等からの入力を受け付ける装置であり、例えばマウスやキーボード等である。表示装置Ｈ１３は、各種情報を表示するディスプレイやタッチパネル等である。

記憶部Ｈ１４は、ユーザ端末１０、管理サーバ２０の各種機能を実行するためのデータや各種プログラムを格納する記憶装置（例えば、メモリ１３、ユーザ情報記憶部２２、行動履歴記憶部２３、学習結果記憶部２４）である。記憶部Ｈ１４の一例としては、ＲＯＭ、ＲＡＭ、ハードディスク等がある。

プロセッサＨ１５は、記憶部Ｈ１４に記憶されるプログラムやデータを用いて、例えば、ユーザ端末１０や管理サーバ２０における各処理（例えば、制御部１１、制御部２１における処理）を制御する。プロセッサＨ１５の一例としては、例えばＣＰＵやＭＰＵ等がある。このプロセッサＨ１５は、ＲＯＭ等に記憶されるプログラムをＲＡＭに展開して、各種処理に対応する各種プロセスを実行する。例えば、プロセッサＨ１５は、ユーザ端末１０、管理サーバ２０のアプリケーションプログラムが起動された場合、後述する図４〜図９に示す各処理を実行するプロセスを動作させる。

プロセッサＨ１５は、自身が実行するすべての処理についてソフトウェア処理を行うものに限られない。例えば、プロセッサＨ１５は、自身が実行する処理の少なくとも一部についてハードウェア処理を行う専用のハードウェア回路（例えば、特定用途向け集積回路：ＡＳＩＣ）を備えてもよい。すなわち、プロセッサＨ１５は、（１）コンピュータプログラム（ソフトウェア）に従って動作する１つ以上のプロセッサ、（２）各種処理のうち少なくとも一部の処理を実行する１つ以上の専用のハードウェア回路、或いは（３）それらの組み合わせ、を含む回路（circuitry）として構成し得る。プロセッサは、ＣＰＵ並びに、ＲＡＭ及びＲＯＭ等のメモリを含み、メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリすなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含む。

（サービス管理システムの構成）
ユーザ端末１０は、サービスの利用者が用いるコンピュータ端末である。このユーザ端末１０は、制御部１１、情報取得部１２、メモリ１３を備える。

制御部１１は、メモリ１３に記録されたサービス利用アプリケーションを起動し、管理サーバ２０にアクセスする処理を実行する。このサービス利用アプリケーションは、各アプリケーションを識別するためのアプリＩＤを保持している。

情報取得部１２は、ユーザの行動情報を取得する処理を実行する。この情報には、ユーザの所在地や現在時刻、ユーザの動作等が含まれる。所在地情報は、ＧＰＳ（Global Positioning System）から取得することができる。なお、所在地情報を取得する方法は、ＧＰＳ機能の利用に限定されるものではなく、アクセス場所を特定できる方法であればよい。例えば、セルラーネットワークの基地局や、Ｗｉ−Ｆｉ（登録商標）等の無線ＬＡＮの信号を利用して位置情報（緯度経度や住所）を取得してもよい。また、アクセスに用いられたネットワークのアドレス情報（送信元ＩＰアドレス）や、位置情報を含むビーコン信号を利用することも可能である。また、情報取得部１２は、加速度センサーにより、ユーザ端末１０を携帯するユーザの動き（歩行時の体の動き等）に関する情報を取得する。また、情報取得部１２は、ユーザ端末１０への入力時の操作の動作（入力に用いるツールやキー操作方法等）や、入力された内容に関する情報を取得する。
情報取得部１２は、取得した情報を、５Ｗ１Ｈ情報からなる行動情報に変換する。このために、情報取得部１２は、検知した情報から、５Ｗ１Ｈ情報に変換するための変換情報を保持している。そして、情報取得部１２は、現在時刻を、ユーザ端末１０内のシステムタイマから取得して、動作時刻に関連付けた行動履歴としてメモリ１３に記録する。

メモリ１３には、情報取得部１２が取得した行動履歴が一時記憶される。この行動履歴は、所定量の情報が蓄積され、逐次更新される。所定量としては、予め定められた容量の情報量や、所定期間（例えば１日）の情報量を用いることができる。

管理サーバ２０は、ユーザ端末１０から取得した情報を用いて、ユーザの本人確認やサービス提供を支援するコンピュータシステムである。管理サーバ２０は、制御部２１、ユーザ情報記憶部２２、行動履歴記憶部２３、学習結果記憶部２４を備える。

制御部２１は、管理部２１０、学習部２１１、認証部２１２、サービス提供部２１３を備える。
管理部２１０は、本サービスを利用するユーザのサインアップや再登録を管理する処理を実行する。また、管理部２１０は、ユーザ端末１０から、ユーザの行動履歴を取得し、行動履歴記憶部２３に蓄積する。

学習部２１１は、ユーザの行動履歴に基づいて、機械学習により、ユーザ本人の確からしさを予測する予測モデルを算出する処理を実行する。
認証部２１２は、ユーザがサービスを利用する場合に、本人である確からしさを予測する処理を実行する。

サービス提供部２１３は、認証部２１２による認証結果に基づいて、サービスを提供する処理を実行する。このサービス提供部２１３は、サービス利用可能な範囲を特定する権限レベル判定テーブルを保持している。この権限レベル判定テーブルには、本人確率に対して、サービスの利用可能な権限レベルが記録されている。例えば、本人確率が９０％以上の場合には、金融に係る取引権限レベルとして「全サービスを利用可能」、９０％未満８０％以上の場合には「所定範囲（１０万円未満）で利用可能」、８０％未満の場合には「本人確認未完了」が記録されている。

図３（ａ）に示すように、ユーザ情報記憶部２２には、ユーザ管理データ２２０が記録される。このユーザ管理データ２２０は、ユーザ登録が行なわれた場合に記録される。ユーザ管理データ２２０は、ユーザＩＤ、アプリＩＤ、個人情報、サインアップ場所、認証情報、ステータスに関するデータを含んで構成される。

ユーザＩＤデータ領域には、各ユーザを特定するための識別子に関するデータが記録される。
アプリＩＤデータ領域には、このユーザが利用するユーザ端末１０にインストールされたサービス利用アプリケーションを特定するための識別子に関するデータが記録される。
個人情報データ領域には、このユーザの個人情報（例えば、氏名、住所、性別、職業等）に関するデータが記録される。

サインアップ場所データ領域には、このユーザがサインアップを行なう時に利用可能な位置に関するデータが記録される。登録情報としては、例えば、経度・緯度からの所定範囲を用いることができる。

認証情報データ領域には、行動履歴に基づく本人確認の代わりに、本人を確認するための情報が記録される。例えば、認証情報としては、パスワードを用いることができる。
ステータスデータ領域には、サービス利用アプリケーションの利用可否を特定するためのフラグが記録される。サービス利用アプリケーションを利用可能な場合には、利用可能フラグが記録される。

図３（ｂ）に示すように、行動履歴記憶部２３には、行動履歴データ２３０が記録される。この行動履歴データ２３０は、ユーザがログインされたユーザ端末１０から行動履歴情報を取得した場合に記録される。行動履歴データ２３０は、ユーザＩＤ、サービス利用日時、行動履歴に関するデータを含んで構成される。

ユーザＩＤデータ領域には、各ログインユーザを特定するための識別子に関するデータが記録される。
サービス利用日時データ領域には、サービスを利用した年月日及び時刻に関するデータが記録される。

行動履歴データ領域には、サービスの利用時点の前後の時間帯におけるユーザの行動に関するデータが記録される。本実施形態では、複数の行動に関する情報（行動情報）をまとめて行動履歴と呼ぶ。行動としては、例えば取引行動（店舗での支払、インターネットバンッキングや現金自動預払機の利用等）を用いることができる。

図４に示すように、この行動履歴には、５Ｗ１Ｈ情報が含まれる。
「Ｗｈｏ」は、行動の主体であり、ログイン時に顔認証や生体認証により特定できる。
「Ｗｈｅｎ」は行動を行なった時期であり、時間帯、週日等を用いることができる。
「Ｗｈｅｒｅ」は行動を行なった場所であり、緯度、経度、住所、店舗名等を用いることができる。
「Ｗｈａｔ」は行動内容であり、残高照会、振込、購買、チャージ、お客様情報変更等を用いることができる。
「Ｗｈｙ（目的）」は行動目的であり、例えば、ユーザの入力や、前後の行動との関連性等により特定できる。関連性は、例えば、チャージ後の所定期間内の購買により、チャージの目的を予測できる。
「Ｈｏｗ」は行動の方法であり、ログイン方法、クリック等の操作動作等を用いることができる。
なお、行動履歴には、５Ｗ１Ｈのすべての要素を含んでいる必要はない。

図３（ｃ）に示すように、学習結果記憶部２４には、予測モデル管理データ２４０が記録される。この予測モデル管理データ２４０は、機械学習により予測モデルを生成した場合に記録される。予測モデル管理データ２４０は、ユーザＩＤ、学習日、予測モデルに関するデータを含んで構成される。

ユーザＩＤデータ領域には、各ユーザを特定するための識別子に関するデータが記録される。
学習日データ領域には、機械学習を行なった年月日に関するデータが記録される。
予測モデルは、サービス利用時のユーザの行動履歴に基づいて、本人である確からしさ（確率）を予測するモデルである。本実施形態では、５Ｗ１Ｈ情報を予測モデルに適用して、本人である確からしさ（本人確率）を算出する。
図４に示すように、ユーザ端末１０から、サービス利用時の行動履歴（５Ｗ１Ｈ情報）を取得して、予測モデルに適用することにより、本人である確からしさ（本人確率）を算出する。

（本人確認処理）
次に、図５〜図９を用いて、管理サーバ２０において実行される本人確認処理を説明する。ここでは、サインアップ時処理、常時処理、学習時処理、サービス利用時処理、再登録時処理に分けて説明する。

（サインアップ時処理）
まず、図５を用いて、サインアップ時処理を説明する。サービス利用を希望するユーザは、ユーザ端末１０へのログイン後に、サービス利用アプリケーションをインストールして起動する。この場合、ユーザ端末１０は、管理サーバ２０に対してアプリＩＤを送信する。

まず、管理サーバ２０の制御部２１は、サインアップ場所の登録処理を実行する（ステップＳ１−１）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０の表示装置Ｈ１３に登録画面を出力する。この登録画面には、サインアップ場所、パスワードの入力欄が含まれる。サインアップ場所としては、例えば、ユーザの住所や勤務地等、滞在時間が長い場所を用いることができる。そして、管理部２１０は、ユーザ端末１０から、登録画面に入力された情報を取得した場合、このユーザに対して、ユーザＩＤを付与する。次に、管理部２１０は、ユーザＩＤ、アプリＩＤ、サインアップ場所、パスワードを含めたユーザ管理データ２２０を生成し、ユーザ情報記憶部２２に記録する。そして、管理部２１０は、ユーザ端末１０の表示装置Ｈ１３の登録画面に、ユーザＩＤを出力する。

次に、管理サーバ２０の制御部２１は、所在地の特定処理を実行する（ステップＳ１−２）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０の情報取得部１２から、ユーザ端末１０の現在位置情報を取得する。

次に、管理サーバ２０の制御部２１は、場所を確認済かどうかについての判定処理を実行する（ステップＳ１−３）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０から取得した現在位置と、ユーザ情報記憶部２２に記録されているサインアップ場所とを比較する。そして、管理部２１０は、現在地とサインアップ場所との距離が所定範囲内の場合には、場所を確認済と判定する。

場所を確認済と判定した場合（ステップＳ１−３において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、本人認証情報の取得処理を実行する（ステップＳ１−４）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０の表示装置Ｈ１３に認証情報入力画面を出力する。この認証情報入力画面には、パスワードの入力欄が含まれる。そして、管理部２１０は、認証情報入力画面に入力されたパスワードを取得する。

次に、管理サーバ２０の制御部２１は、本人を確認済かどうかについての判定処理を実行する（ステップＳ１−５）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０から取得したパスワードと、ユーザ情報記憶部２２に記録されているパスワードとを比較する。両者が一致した場合には、本人を確認済と判定する。

本人を確認済と判定した場合（ステップＳ１−５において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、利用許可登録処理を実行する（ステップＳ１−６）。具体的には、制御部２１の管理部２１０は、ユーザ管理データ２２０に利用可能フラグを記録する。

一方、場所や本人を未確認と判定した場合（ステップＳ１−３，Ｓ１−５において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、ＮＧ処理を実行する（ステップＳ１−７）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０にエラーメッセージを返信する。

（常時処理）
次に、図６を用いて、常時処理を説明する。ここでは、本人確認に用いる継続的な情報を取得する。

まず、ユーザ端末１０の制御部１１は、行動情報の取得処理を実行する（ステップＳ２−１）。具体的には、制御部１１は、情報取得部１２から、ユーザ端末１０を携帯するユーザ（ログインユーザ）の行動情報を取得する。

次に、ユーザ端末１０の制御部１１は、直近所定時間の行動情報を残して更新処理を実行する（ステップＳ２−２）。具体的には、制御部１１は、新たに取得した行動情報をメモリ１３の行動履歴に追加するとともに、行動履歴の中で古い行動情報を削除する。

そして、ユーザがサービスを利用する場合には、サービス利用アプリケーションの起動指示を行なう。この場合、ユーザ端末１０の制御部１１は、アプリケーション起動処理を実行する（ステップＳ２−３）。具体的には、制御部１１は、メモリ内のサービス利用アプリケーションを起動する。

次に、ユーザ端末１０の制御部１１は、起動前の行動履歴の記録処理を実行する（ステップＳ２−４）。具体的には、制御部１１は、メモリ１３から、アプリケーション起動時前の所定時間の行動履歴を取得する。そして、制御部１１は、行動履歴登録要求を管理サーバ２０に送信する。この行動履歴登録要求には、アプリＩＤ、メモリ１３に記録された行動履歴に関する情報を含める。

行動履歴登録要求を受信した管理サーバ２０の制御部２１の管理部２１０は、ユーザ端末１０から取得したアプリＩＤに対応するユーザＩＤをユーザ情報記憶部２２から取得する。そして、管理部２１０は、ユーザＩＤ、サービス利用時（現在日時）、行動履歴を含めた行動履歴データ２３０を生成し、行動履歴記憶部２３に記録する。
更に、管理サーバ２０の制御部２１の管理部２１０は、後述するサービス利用時処理において、サービス利用内容を特定し、この行動履歴データ２３０に含めて記録する。

（学習時処理）
次に、図７を用いて、学習時処理を説明する。この学習時処理は、処理対象ユーザを特定し、ユーザ毎に定期的に実行される。

まず、管理サーバ２０の制御部２１は、予測モデルを生成済かどうかについての判定処理を実行する（ステップＳ３−１）。具体的には、制御部２１の学習部２１１は、学習結果記憶部２４に、処理対象ユーザのユーザＩＤが記録された予測モデル管理データ２４０が記録されているかどうかを確認する。予測モデル管理データ２４０が記録されている場合には、予測モデルを生成済と判定する。

予測モデルを未生成と判定した場合（ステップＳ３−１において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、行動履歴の蓄積は十分かどうかについての判定処理を実行する（ステップＳ３−２）。具体的には、制御部２１の学習部２１１は、ユーザＩＤに関連付けられた行動履歴が所定の情報量以上の場合には蓄積は十分と判定する。

行動履歴の蓄積は不十分と判定した場合（ステップＳ３−２において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、この処理対象ユーザについての学習時処理を終了する。
一方、行動履歴の蓄積は十分と判定した場合（ステップＳ３−２において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、機械学習処理を実行する（ステップＳ３−３）。具体的には、制御部２１の学習部２１１は、処理対象ユーザの行動履歴に対して本人フラグ、他のユーザの行動履歴に対して本人以外フラグを付与した教師データを生成する。学習部２１１は、生成した教師データを用いて、深層学習により、本人である確からしさを予測する予測モデルを生成する。ここでは、行動履歴を入力層、本人フラグ及び本人以外フラグを出力層として、複数階層からなる予測モデルを生成する。

次に、管理サーバ２０の制御部２１は、予測モデルの登録処理を実行する（ステップＳ３−４）。具体的には、制御部２１の学習部２１１は、生成した予測モデルを、ユーザＩＤ、学習日（現在日）に関連付けて学習結果記憶部２４に記録する。

また、予測モデルは生成済と判定した場合（ステップＳ３−１において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、再学習が必要かどうかについての判定処理を実行する（ステップＳ３−５）。具体的には、制御部２１の学習部２１１は、予測モデル管理データ２４０に記録されている学習日からの経過日数を算出する。そして、学習部２１１は、経過日数が基準日数を超えている場合には、再学習が必要と判定する。

再学習は不要と判定した場合（ステップＳ３−５において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、このユーザについての学習時処理を終了する。
一方、再学習が必要と判定した場合（ステップＳ３−５において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、機械学習処理（ステップＳ３−３）以降の処理を実行する。

（サービス利用時処理）
次に、図８を用いて、サービス利用時処理を説明する。サービスを利用する場合、ユーザは、ユーザ端末１０へのログイン後に、サービス利用アプリケーションを起動する。この場合、ユーザ端末１０は、サービス利用要求を管理サーバ２０に送信する。このサービス利用要求には、アプリＩＤ、利用希望のサービス内容を含める。

サービス利用要求を受信した管理サーバ２０の制御部２１は、予測モデルの登録があるかどうかについての判定処理を実行する（ステップＳ４−１）。具体的には、制御部２１の認証部２１２は、ユーザ情報記憶部２２において、ユーザ端末１０から取得したアプリＩＤが記録されたユーザ管理データ２２０を抽出する。そして、ユーザ管理データ２２０に利用可能フラグが記録されている場合には、認証部２１２は、ユーザ管理データ２２０のユーザＩＤが記録された予測モデル管理データ２４０を、学習結果記憶部２４において検索する。このユーザＩＤが記録された予測モデル管理データ２４０を抽出できた場合には、予測モデルの登録がある（ステップＳ４−１において「ＹＥＳ」）と判定する。

次に、管理サーバ２０の制御部２１は、行動履歴情報の特定処理を実行する（ステップＳ４−２）。具体的には、制御部２１の認証部２１２は、ユーザ端末１０に対して行動履歴情報を要求する。そして、認証部２１２は、メモリ１３に記録された行動履歴情報を取得する。

次に、管理サーバ２０の制御部２１は、本人確率の推定処理を実行する（ステップＳ４−３）。具体的には、制御部２１の認証部２１２は、学習結果記憶部２４から抽出した予測モデルに、ユーザ端末１０から取得した行動履歴情報を入力する。そして、認証部２１２は、予測モデルの出力として、本人の確からしさ（本人確率）を算出する。

次に、管理サーバ２０の制御部２１は、本人確率に応じて権限レベルの特定処理を実行する（ステップＳ４−４）。具体的には、制御部２１のサービス提供部２１３は、権限レベル判定テーブルを用いて、認証部２１２が算出した本人確率に応じて、サービス利用可能な権限レベルを特定する。

次に、管理サーバ２０の制御部２１は、権限レベル内かどうかについての判定処理を実行する（ステップＳ４−５）。具体的には、制御部２１のサービス提供部２１３は、利用希望のサービス内容と、本人確率に応じて特定した権限レベルとを比較する。

利用希望のサービス内容が権限レベル内でないと判定した場合（ステップＳ４−５において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、本人確認メッセージ処理を実行する（ステップＳ４−６）。具体的には、制御部２１のサービス提供部２１３は、ユーザ端末１０の表示装置Ｈ１３に認証情報入力画面を出力する。

次に、管理サーバ２０の制御部２１は、本人認証情報の取得処理を実行する（ステップＳ４−７）。具体的には、制御部２１のサービス提供部２１３は、認証情報入力画面に入力されたパスワードを取得する。

次に、管理サーバ２０の制御部２１は、ステップＳ１−５と同様に、本人を確認済かどうかについての判定処理を実行する（ステップＳ４−８）。
本人を未確認と判定した場合（ステップＳ４−８において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、ステップＳ１−７と同様に、ＮＧ処理を実行する（ステップＳ４−９）。

一方、権限レベル内と判定した場合や本人を確認済と判定した場合（ステップＳ４−５，Ｓ４−８において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、利用許諾処理を実行する（ステップＳ４−１０）。具体的には、制御部２１のサービス提供部２１３は、権限レベル内で、ユーザ端末１０のサービス利用アプリケーションにおいてサービスを提供する。そして、サービスの利用時には、管理部２１０は、サービス利用内容を特定し、このユーザの行動履歴データ２３０に追加記録する。

（再登録時処理）
次に、図９を用いて、再登録時処理の情報処理を説明する。この再登録時処理は、ユーザ端末１０の機種変更により、サービス利用アプリケーションを再インストールした場合に行なわれる。ユーザは、ユーザ端末１０のサービス利用アプリケーションの起動指示を行なう。そして、ユーザ端末１０において、表示装置Ｈ１３の起動画面において再登録ボタンを選択する。この場合、ユーザ端末１０は、管理サーバ２０に対して再登録要求を送信する。この再登録要求には、再インストールされたサービス利用アプリケーションのアプリＩＤを含める。

再登録要求を受信した管理サーバ２０の制御部２１は、再登録画面の出力処理を実行する（ステップＳ５−１）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０の表示装置Ｈ１３に再登録画面を出力する。この再登録画面には、ユーザＩＤの入力欄が含まれる。

次に、管理サーバ２０の制御部２１は、ユーザＩＤの特定処理を実行する（ステップＳ５−２）。具体的には、制御部２１の管理部２１０は、再登録画面に入力されたユーザＩＤを取得する。

次に、管理サーバ２０の制御部２１は、ステップＳ１−２と同様に、所在地の特定処理を実行する（ステップＳ５−３）。
次に、管理サーバ２０の制御部２１は、ステップＳ１−３と同様に、場所を確認済かどうかについての判定処理を実行する（ステップＳ５−４）。

現在地がサインアップ場所の所定範囲外であり、場所を未確認と判定した場合（ステップＳ５−４において「ＮＯ」の場合）、管理サーバ２０の制御部２１は、ＮＧ処理を実行する（ステップＳ５−５）。具体的には、制御部２１の管理部２１０は、ユーザ端末１０にエラーメッセージを返信する。

一方、場所を確認済と判定した場合（ステップＳ５−４において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、ステップＳ１−４と同様に、本人認証情報の取得処理を実行する（ステップＳ５−６）。

次に、管理サーバ２０の制御部２１は、ステップＳ１−５，Ｓ１−６と同様に、本人を確認済の場合、利用許可登録を行なう利用許可判定処理を実行する（ステップＳ５−７）。
次に、管理サーバ２０の制御部２１は、アプリＩＤの更新処理を実行する（ステップＳ５−８）。具体的には、制御部２１の管理部２１０は、ユーザ管理データ２２０に、再インストールされたサービス利用アプリケーションのアプリＩＤを更新記録する。

以上、本実施形態によれば、以下に示す効果を得ることができる。
（１）本実施形態では、管理サーバ２０の制御部２１は、サインアップ場所の登録処理（ステップＳ１−１）、所在地の特定処理（ステップＳ１−２）、場所を確認済かどうかについての判定処理（ステップＳ１−３）を実行する。これにより、ユーザが指定した特定の場所で、サービス利用アプリケーションのサインアップを行なうことができる。

（２）本実施形態では、ユーザ端末１０の制御部１１は、行動情報の取得処理（ステップＳ２−１）、直近所定時間の行動情報を残して更新処理（ステップＳ２−２）、起動前の行動履歴の記録処理（ステップＳ２−４）を実行する。これにより、サービス利用前の行動履歴を取得することができる。更に、ユーザ端末１０において、古い行動履歴が削除されるので、メモリ１３の容量の低減を図ることができる。

（３）本実施形態では、行動履歴の蓄積は十分と判定した場合（ステップＳ３−２において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、機械学習処理（ステップＳ３−３）、予測モデルの登録処理（ステップＳ３−４）を実行する。これにより、行動履歴から本人の確からしさを予測するための予測モデルを生成することができる。

更に、制御部２１の学習部２１１は、処理対象ユーザの行動履歴に対して本人フラグ、他のユーザの行動履歴に対して本人以外フラグを付与した教師データを生成する。これにより、本人と他人とを識別するための予測モデルを生成することができる。

（４）本実施形態では、再学習が必要と判定した場合（ステップＳ３−５において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、機械学習処理（ステップＳ３−３）以降の処理を実行する。これにより、ユーザの行動パターンが変化した場合にも、状況に応じた予測モデルを生成することができる。

（５）本実施形態では、管理サーバ２０の制御部２１は、行動履歴情報の取得処理（ステップＳ４−２）、本人確率の推定処理（ステップＳ４−３）を実行する。これにより、サービス利用時の行動履歴に基づいて、本人確認を行なうことができる。例えば、金融取引においては、行動履歴として、位置情報と取引情報とを関連付けて、新たな取引において位置情報を取得し、本人確率と合わせて疑わしい取引の報告等の各種対応を行なうことで、リスク低減を図ることができる。
例えば、ファイナンシャルアクションタスクフォース（ＦＡＴＦ）においては、責任ある金融革新の促進を保証することをグローバルな基準でコミットしている。本実施形態では、行動履歴として、非対面で位置情報を取得することで、「マネー・ローンダリング及びテロ資金供与対策（ＡＭＬ／ＣＦＴ）」が更に強化される。
また、取引を行なう目的と資産および収入の状況は、顧客との接点の中で情報を得ることができる。そして、位置情報と取引情報を結びつけることで、動的な取引において位置情報を取得し、疑わしい取引の報告など各種対応を行なうことで、リスクそのものの低減効果を得ることができる。
また、行動履歴を用いて本人確認を行なうことにより、ＩＤ／パスワードの漏洩や、成りすましを抑制できる。
また、ユーザ端末１０（ハードウェア）を紛失しても、本人確率、位置情報を活用して、本人確認ができるので、取引の再開も容易である。

（６）本実施形態では、管理サーバ２０の制御部２１は、本人確率に応じて権限レベルの特定処理を実行する（ステップＳ４−４）。権限レベル内と判定した場合（ステップＳ４−５において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、利用許諾処理を実行する（ステップＳ４−１０）。これにより、本人である確からしさに応じて、サービス利用の権限を調整し、セキュリティと利便性とのバランスを図ることができる。

（７）本実施形態では、管理サーバ２０の制御部２１は、再登録時処理を実行する。これにより、ユーザ端末１０を機種変更した場合にも、過去の予測モデルを利用することができる。

本実施形態は、以下のように変更して実施することができる。本実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。
・上記実施形態では、管理サーバ２０の制御部２１は、本人確率に応じて権限レベルの特定処理を実行する（ステップＳ４−４）。ここで、権限レベルの特定は、本人確率に限定されるものではない。例えば、サービス利用アプリケーションの利用頻度に応じて、権限レベルを変更するようにしてもよい。例えば、過去の利用頻度の統計値の所定範囲から逸脱した利用状況を検知した場合には、権限レベルを下げることにより、異常状況を検出することができる。

・上記実施形態では、管理サーバ２０の制御部２１は、機械学習処理を実行する（ステップＳ３−３）。この機械学習処理は、ユーザ端末１０側で行なうようにしてもよい。この場合には、ユーザ端末１０が、ユーザのサービス利用直前の行動履歴を用いて、行動の特徴量を算出する。そして、ユーザ端末１０が、この特徴量と、新たなサービス利用時の行動履歴との距離に基づいて、本人の確からしさを算出する。

・上記実施形態では、管理サーバ２０の制御部２１は、機械学習処理を実行する（ステップＳ３−３）。ここでは、深層学習を用いるが、学習方法は、これに限定されるものではない。例えば、ナイーブベイズ推定を用いて、本人確率を算出するようにしてもよい。この際には、５Ｗ１Ｈ情報の各要素に重み付けを行なうようにしてもよい。

・上記実施形態では、管理サーバ２０の制御部２１は、再学習が必要かどうかについての判定処理を実行する（ステップＳ３−５）。ここでは、経過日数が基準日数を超えている場合には、再学習が必要と判定する。再学習の要否判定は、経過日数を用いる場合に限定されるものではない。例えば、本人状況や行動履歴の傾向に変化を検出した場合に再学習を行なうようにしてもよい。また、本人確率の推定処理（ステップＳ４−３）において、本人確率が基準値以下であっても、本人確認ができた状況（ステップＳ４−８において「ＹＥＳ」の場合）が所定頻度で生じている場合に、再学習を行なうようにしてもよい。

・上記実施形態では、行動履歴記憶部２３に記録された行動履歴データ２３０を用いて機械学習を行なう。ここで、行動履歴記憶部２３に記録された行動履歴データ２３０を、本人の希望により閲覧可能にしてもよい。例えば、予測モデルを用いた本人確率が所定値よりも高い場合に、本人の行動履歴をユーザ端末１０に提供する。
・上記実施形態では、管理サーバ２０の制御部２１は、サービス利用時処理を実行する。利用許諾処理までに本人確率を推定できれば、サービス利用要求の取得、本人確率の推定の順番は限定されるものではない。本人確率の推定処理（ステップＳ４−３）後に、サービス利用要求を取得し、権限レベル内かどうかについての判定処理（ステップＳ４−５）、利用許諾処理（ステップＳ４−１０）を実行するようにしてもよい。

・上記実施形態では、管理サーバ２０の制御部２１は、本人確率の推定処理（ステップＳ４−３）、本人確率に応じて権限レベルの特定処理（ステップＳ４−４）を実行する。この本人確率により、本人確認を行なう。ここで、免許証の券面画像や本人の顔画像を用いて、更に本人確認を行なうようにしてもよい。この場合には、サービス利用アプリケーション起動時に、ユーザ端末１０のカメラを起動する。そして、サービス利用時に免許証や、その場での本人の顔を撮影した現在画像を撮影する。管理サーバ２０の制御部２１は、ユーザ端末１０から免許証の券面画像、本人の顔画像を取得する。この場合、制御部２１の認証部２１２は、券面画像のパターン認識により、免許証の真正性を判定する。真正と判定した場合、認証部２１２は、券面画像から本人画像を特定する。そして、認証部２１２は、本人画像と現在画像とを比較して、一致不一致を判定する。両者が一致して本人と判定した場合には、本人確認を完了して、サービスを提供する。これにより、位置情報及び顔情報を活用することで、ＡＭＬ／ＣＦＴセーフガードが更に強化される。

更に、認証部２１２は、サービス提供時にユーザ端末１０から現在地情報を取得して、本人確認に用いてもよい。この場合、認証部２１２は、ユーザ情報記憶部２２に予めサービス利用場所として登録された場所（住所やサインアップ場所）と現在地とを比較する。両者が所定の許容範囲内で一致する場合に、認証部２１２は、本人と判定する。
また、ユーザの直近所定期間の行動履歴に基づいて、ユーザ端末１０の携帯者の住所を予測してもよい。この場合には、学習部２１１は、ユーザ端末１０で検知した挙動を用いて、この挙動が行なわれる場所を予測するための予測モデルを生成する。例えば、ユーザ端末１０で日常的な活動として所定時間帯の在宅時行動（例えば、移動が少ない就寝）を検知した場合、住所と予測する。そして、認証部２１２は、ユーザ情報記憶部２２に予めサービス利用場所として登録された住所と各行動場所との一致により、本人の住所確認を行なう。また、勤務時間帯の勤務時行動（例えば、移動が少ないデスクワーク）を検知した場合、勤務先と予測してもよい。

・上記実施形態では、権限レベル内と判定した場合や本人を確認済と判定した場合（ステップＳ４−５，Ｓ４−８において「ＹＥＳ」の場合）、管理サーバ２０の制御部２１は、利用許諾処理を実行する（ステップＳ４−１０）。ユーザに対するサービスの決定は、利用許諾に限定されるものではない。例えば、ユーザに対するサービスとして、ユーザ情報記憶部２２に記録されたユーザ管理データ２２０の更新を促すようにしてもよい。すなわち、本人確率が低下した場合、ユーザが住所や職業を変更している可能性がある。そこで、管理サーバ２０の制御部２１が、本人確率が連続して基準値以下に低下と判定した場合、行動履歴に基づくユーザ情報の変化を検知して、ユーザ端末１０に対して、登録情報の変更を促すメッセージを出力する。これにより、自然人の本人特定事項のうち、住所や職業等の個人情報を最新に保つことができるとともに、カスタマー・デュー・ディリジェンス（ＣＤＤ）を実現することができる。

１０…ユーザ端末、１１…制御部、１２…情報取得部、１３…メモリ、２０…管理サーバ、２１…制御部、２１０…管理部、２１１…学習部、２１２…認証部、２１３…サービス提供部、２２…ユーザ情報記憶部、２３…行動履歴記憶部、２４…学習結果記憶部。

Claims (7)

1. ユーザＩＤ、サービス利用時に関連付けて、行動履歴データを記録する行動履歴記憶部と、
   ユーザの行動履歴に基づいて、ユーザ本人である確からしさを予測するための予測モデルを記録する学習結果記憶部と、
   ユーザの行動履歴を、前記ユーザが用いるユーザ端末から取得する制御部とを備えたサービス管理システムであって、
   前記制御部が、
   サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間のユーザの行動履歴を特定し、
   ユーザＩＤ、サービス利用時、行動履歴を含めた行動履歴データを前記行動履歴記憶部に記録し、
   前記行動履歴記憶部に記録された行動履歴データにおいて、処理対象ユーザの行動履歴に対して本人フラグ、他のユーザの行動履歴に対して本人以外フラグを付与した教師データを生成し、
   前記教師データを用いて、本人である確からしさを予測する予測モデルを生成して、前記学習結果記憶部に記録し、
   再度、サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間の確認対象ユーザの行動履歴を特定し、
   前記特定した確認対象ユーザの直近所定時間の行動履歴を前記予測モデルに適用し、前記ユーザ本人の確からしさを算出し、
   前記確からしさに基づいた本人確認により、前記ユーザに対するサービスを決定することを特徴とするサービス管理システム。
2. ユーザ毎に、サービス利用のためのアプリケーションのサインアップ場所に関する情報、認証情報を記録したユーザ情報記憶部を更に備え、
   前記制御部が、
   前記ユーザ端末に、前記アプリケーションがインストールされた場合、前記ユーザ端末の現在位置を取得し、
   前記現在位置が前記サインアップ場所に一致した場合、前記ユーザ端末から取得した認証情報が、前記ユーザ情報記憶部に記録されている場合、前記アプリケーションの利用を許可することを特徴とする請求項１に記載のサービス管理システム。
3. 前記制御部が、前記確からしさに基づいて、前記ユーザに提供するサービスレベルを特定することを特徴とする請求項１又は２に記載のサービス管理システム。
4. 前記行動履歴は、行動ユーザ、行動時刻、行動場所、行動内容、行動目的、行動方法のいずれか一つの情報を含むことを特徴とする請求項１〜３のいずれか一項に記載のサービス管理システム。
5. 前記制御部が、前記確からしさに基づいて、金融サービスに係る取引可能レベルを変更することを特徴とする請求項１〜４のいずれか一項に記載のサービス管理システム。
6. ユーザＩＤ、サービス利用時に関連付けて、行動履歴データを記録する行動履歴記憶部と、
   ユーザの行動履歴に基づいて、ユーザ本人である確からしさを予測するための予測モデルを記録する学習結果記憶部と、
   ユーザの行動履歴を、前記ユーザが用いるユーザ端末から取得する制御部とを備えたサービス管理システムを用いて、本人確認により提供するサービスを管理するための方法であって、
   前記制御部が、
   サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間のユーザの行動履歴を特定し、
   ユーザＩＤ、サービス利用時、行動履歴を含めた行動履歴データを前記行動履歴記憶部に記録し、
   前記行動履歴記憶部に記録された行動履歴データにおいて、処理対象ユーザの行動履歴に対して本人フラグ、他のユーザの行動履歴に対して本人以外フラグを付与した教師データを生成し、
   前記教師データを用いて、本人である確からしさを予測する予測モデルを生成して、前記学習結果記憶部に記録し、
   再度、サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間の確認対象ユーザの行動履歴を特定し、
   前記特定した確認対象ユーザの直近所定時間の行動履歴を前記予測モデルに適用し、前記ユーザ本人の確からしさを算出し、
   前記確からしさに基づいた本人確認により、前記ユーザに対するサービスを決定することを特徴とするサービス管理方法。
7. ユーザＩＤ、サービス利用時に関連付けて、行動履歴データを記録する行動履歴記憶部と、
   ユーザの行動履歴に基づいて、ユーザ本人である確からしさを予測するための予測モデルを記録する学習結果記憶部と、
   ユーザの行動履歴を、前記ユーザが用いるユーザ端末から取得する制御部とを備えたサービス管理システムを用いて、本人確認により提供するサービスを管理するためのプログラムであって、
   前記制御部を、
   サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間のユーザの行動履歴を特定し、
   ユーザＩＤ、サービス利用時、行動履歴を含めた行動履歴データを前記行動履歴記憶部
   に記録し、
   前記行動履歴記憶部に記録された行動履歴データにおいて、処理対象ユーザの行動履歴に対して本人フラグ、他のユーザの行動履歴に対して本人以外フラグを付与した教師データを生成し、
   前記教師データを用いて、本人である確からしさを予測する予測モデルを生成して、前記学習結果記憶部に記録し、
   再度、サービス利用のためのアプリケーション起動時に、前記ユーザ端末で検知した挙動について、前記アプリケーション起動時前の直近所定時間の確認対象ユーザの行動履歴を特定し、
   前記特定した確認対象ユーザの直近所定時間の行動履歴を前記予測モデルに適用し、前記ユーザ本人の確からしさを算出し、
   前記確からしさに基づいた本人確認により、前記ユーザに対するサービスを決定する手段として機能させることを特徴とするサービス管理プログラム。

Images