JP7288995B1 - 認証システムおよび認証方法 - Google Patents

Abstract

【課題】特定のサーバに依存せずに生体特徴量を使用した認証を即座に完了する。【解決手段】認証システム１０は、ユーザーを認証するための複数の装置１００と、ユーザーの生体特徴量を取得するための複数のセンサー１１０とを備える。複数の装置１００の各々と、複数のセンサー１１０の各々とは通信可能に対応付けられている。複数の装置１００の各々は、ユーザーごとの生体特徴量およびＩＤ（Identifier）を関連付けた認証情報と、他の装置１００と通信するためのルーティング情報とを格納する記憶部と、認証情報と、自装置１００に対応付けられたセンサー１１０から取得した生体特徴量とを比較してユーザーを認証する認証部と、記憶部に新しいユーザーの認証情報が登録されたことに基づいて、ルーティング情報を参照して、新しいユーザーの認証情報を１つ以上の他の装置１００に出力する出力部とを含む。【選択図】図１

Description

本開示は、認証システムに関し、より特定的には、認証情報を管理する中央サーバを有しない認証システムに関する。

近年、顔認証、指紋認証等の生体特徴量を使用した認証技術が広く利用されている。これらの認証技術は、例えば、入退室管理、デバイスへのログイン、決済等様々な分野で使用されている。従来の認証技術では、ユーザーを認証する認証端末は、生体特徴量を認証サーバに送信し、認証結果を受け取る必要があった。そのため、従来の認証技術は、認証端末および認証サーバ間の通信距離または通信量等の影響でユーザーの認証に時間がかかることがあり、また、認証サーバがダウンするとシステム全体が機能不全に陥る可能性があった。そのため、より高速に認証を行うこと、および、冗長性が高い認証技術が必要とされている。

生体特徴量を利用した認証技術に関し、例えば、国際公開第２０２０／０５３９５３号（特許文献１）には、クラウドサーバの負荷を低減すると共に、クラウドサーバとエッジサーバの通信量を低減することが可能な照合システムが開示されている。当該システムは、「本システムで取り扱う全ての登録データを記憶する主データベースをクラウドサーバが保持し、一部の登録データを記憶する副データベースをセンサーの近くに配置されたエッジサーバが保持する。各エッジサーバの副データベースには、そのエッジサーバで照合される可能性が高い登録データのみが記憶される。エッジサーバは、センサーにより取得された検出データを副データベース内の登録データと照合し、該検出データと適合する登録データが副データベース内に存在しないと判定された場合に、該検出データをクラウドサーバへ送信して主データベース内の登録データとの照合を依頼する」というものである（［要約］参照）。

国際公開第２０２０／０５３９５３号

特許文献１に開示された技術によると、クラウドサーバがデータを管理するため、各エッジサーバにないデータがある場合、各エッジサーバはクラウドサーバに問い合せる必要があり、遅延が発生する可能性がある。したがって、特定のサーバに依存せずに生体特徴量を使用した認証を即座に完了するための技術が必要とされている。

本開示は、上記のような背景に鑑みてなされたものであって、ある局面における目的は、特定のサーバに依存せずに生体特徴量を使用した認証を即座に完了するための技術を提供することにある。

ある実施の形態に従うと、認証システムが提供される。認証システムは、ユーザーを認証するための複数の装置と、ユーザーの生体特徴量を取得するための複数のセンサーとを備える。複数の装置の各々と、複数のセンサーの各々とは通信可能に対応付けられている。複数の装置の各々は、ユーザーごとの生体特徴量およびＩＤ（Identifier）を関連付けた認証情報と、他の装置と通信するためのルーティング情報とを格納する記憶部と、認証情報と、自装置に対応付けられたセンサーから取得した生体特徴量とを比較してユーザーを認証する認証部と、記憶部に新しいユーザーの認証情報が登録されたことに基づいて、ルーティング情報を参照して、新しいユーザーの認証情報を１つ以上の他の装置に出力する出力部とを含む。

ある局面において、複数の装置の各々は、ルーティング情報を生成および参照するためのルーティング部をさらに含む。ルーティング情報は、１つ以上の親装置のアドレスと、１つ以上の子装置のアドレスとを含む。ルーティング部は、乱数または自装置の位置情報に基づいて、装置情報を生成し、マルチキャストにより、１つ以上の他の装置の各々と装置情報を交換し、自装置の装置情報と１つ以上の他の装置の各々の装置情報との比較結果に基づいて、１つ以上の他の装置の各々のアドレスを、１つ以上の親装置のアドレスまたは１つ以上の子装置のアドレスのいずれかとしてルーティング情報に登録する。新しいユーザーの認証情報を１つ以上の他の装置に出力することは、１つ以上の子装置の中で自装置のドレスに最も近い装置情報を有する１台に新しいユーザーの認証情報を出力すること、または、１つ以上の親装置の中で自装置の装置情報に最も近い装置情報を有する１台に新しいユーザーの認証情報を出力すること、および、１つ以上の子装置の中で自装置の装置情報に最も近い装置情報を有する１台に新しいユーザーの認証情報を出力することを含む。

ある局面において、ルーティング部は、定期的に、１つ以上の親装置の各々および１つ以上の子装置の各々と生存確認の通信を行い、生存確認の通信に失敗した装置のアドレスをルーティング情報から削除する。

ある局面において、複数の装置の各々は、自装置に対応付けられたセンサーから得られた生体特徴量に基づいて、ログを生成して記憶部に格納するためのログ生成部をさらに備える。出力部は、ログ生成部により、または、他の装置のいずれかからログを受信したことにより、自装置のログが更新されたことに基づいて、１つ以上の親装置の中で自装置の装置情報に最も近い装置情報を有する１台、および、１つ以上の子装置の中で自装置の装置情報に最も近い装置情報を有する１台に、更新された自装置のログを送信する。

ある局面において、認証システムは、認証部が記憶部に登録されていない生体特徴量を検出したことに基づいて、記憶部に登録されていない生体特徴量を未登録者の情報として記憶部に登録する未登録者情報登録部をさらに備える。ログ生成部は、未登録者の行動のログを記憶部に格納する。更新された自装置のログを送信することは、未登録者の行動のログを送信することを含む。

ある局面において、認証情報は、ユーザーの各々ごとの許可行為情報を含む。認証システムは、他の機器と連携してユーザーの各々にサービスを提供するためのサービス提供部をさらに備える。サービス提供部は、他の機器から得られたユーザーの行動を示す情報と、認証情報に含まれる許可行為情報とを比較し、認証済みのユーザーにサービスを提供するか否かを判定する。

他の実施の形態に従うと、認証システムによって実行されるユーザーの認証方法が提供される。認証システムは、ユーザーを認証するための複数の装置と、ユーザーの生体特徴量を取得するための複数のセンサーとを備える。複数の装置の各々と、複数のセンサーの各々とは、通信可能に対応付けられている。認証方法は、複数の装置の少なくとも１台において、ユーザーごとの生体特徴量およびＩＤを関連付けた認証情報と、他の装置と通信するためのルーティング情報とを記憶するステップと、認証情報と、自装置に対応付けられたセンサーから取得した生体特徴量とを比較してユーザーを認証するステップと、新しいユーザーの認証情報の登録処理が実行されたことに基づいて、ルーティング情報を参照して、新しいユーザーの認証情報を１つ以上の他の装置に出力するステップとを含む。

ある実施の形態に従うと、特定のサーバに依存せずに生体特徴量を使用した認証を即座に完了することが可能である。

この開示内容の上記および他の目的、特徴、局面および利点は、添付の図面と関連して理解される本開示に関する次の詳細な説明から明らかとなるであろう。

本実施の形態に従うシステム１０の一例を示す図である。 装置１００および生体センサー１１０のハードウェア構成の一例を示す図である。 装置１００の機能ブロックの一例を示す図である。 ユーザーの登録処理の第１の例を示すフローチャートである。 ユーザーの登録処理の第２の例を示すフローチャートである。 ユーザーの登録処理の第３の例を示すフローチャートである。 ユーザーの登録処理の第４の例を示すフローチャートである。 ユーザー認証からサービス提供までの処理全体の一例を示すフローチャートである。 装置１００における未登録者情報登録処理の一例を示すフローチャートである。 装置１００におけるサービス提供処理の一例を示すフローチャートである。 ルーティングテーブルの生成手順の第１の例を示すフローチャートである。 ルーティングテーブルの生成手順の第２の例を示すフローチャートである。 更新された認証情報の共有手順の一例を示すフローチャートである。 更新された未登録者情報の共有手順の一例を示すフローチャートである。 更新された各種ログの共有手順の一例を示すフローチャートである。 ユーザーの行為の許可・不許可の判定の全体処理の一例を示すフローチャートである。 ユーザーの行為の許可判定処理の一例を示すフローチャートである。 更新された許可判定のログの共有手順の一例を示すフローチャートである。

以下、図面を参照しつつ、本開示に係る技術思想の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがって、それらについての詳細な説明は繰り返さない。

＜Ａ．システムの概要＞
図１は、本実施の形態に従うシステム１０の一例を示す図である。図１を参照して、本実施の形態に従うシステム１０の構成と、動作概要について説明する。なお、本明細書において「システム」との用語は、１または複数の装置からなる構成、１または複数のセンサー機器、およびこれらの組合せを含み得る。

（a.システムの構成例）
システム１０は、生体認証システムであり、主な構成として、装置１００Ａ，１００Ｂ，１００Ｃ，１００Ｄと、生体センサー１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄとを備える。図１の例では、装置および生体センサーはそれぞれ４台であるが、これは一例であり、システム１０の構成はこれに限定されない。ある局面において、システム１０は、任意の数の装置および任意の数の生体センサーを備えていてもよい。これ以降、装置１００Ａ，１００Ｂ，１００Ｃ，１００Ｄを総称する場合は、装置１００と呼ぶ。また、生体センサー１１０Ａ，１１０Ｂ，１１０Ｃ，１１０Ｄを総称する場合は、生体センサー１１０と呼ぶ。他の局面において、装置１００は、２つ以上の生体センサー１１０に接続されていてもよい。この場合、装置１００は、２つ以上の生体センサー１１０から取得した複数の生体特徴量を用いて、ユーザー認証処理を実行し得る。

装置１００は、生体センサー１１０から取得した生体特徴量に基づいて、ユーザーの認証処理を実行する。システム１０に含まれる複数の装置１００は、各々が認証情報ＤＢ(Database)３１１（図３参照）を備えており、単独で生体特徴量を使用したユーザー認証を行うことができる。複数の装置１００は、互いにネットワークを介して接続されており、認証情報、各種ログ、未登録者情報等を共有する。本明細書における「未登録者」との用語は、認証情報ＤＢ３１１に登録されていない人物を意味する。例えば、システム１０が、ある会社の社内システムとして使用された場合、当該ある会社に訪問したゲスト等は、未登録者となる。

また、装置１００は、他の機器と連携して、認証に成功したユーザーに各種サービスを提供し得る。一例として、装置１００は、ドアの開閉サービス、入退室管理サービス、売店または食堂等の決済サービス等を提供し得る。その際、装置１００は、一例として、ドアの開閉装置、入退出管理サーバ、決済サーバ等と連携し得る。ある局面において、装置１００は、パーソナルコンピュータ、ワークステーション、サーバ装置、組込型コンピューター、小型コンピューター、タブレット、スマートフォン等の情報処理装置、または、これらの組合せであってもよい。

ある局面において、複数の装置１００の各々は、互いに有線ＬＡＮ（Local Area Network）、Ｗｉ-Ｆｉ（登録商標）（Wireless Fidelity）、またはその他の任意の有線ネットワーク、無線ネットワークによって相互に通信可能に接続され得る。複数の装置１００の各々は、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）、ＵＤＰ（User Datagram Protocol）等の通信プロトコルを用いてデータを送受信してもよい。

生体センサー１１０は、ユーザーの生体特徴量を取得する。生体センサー１１０は、システム１０に含まれる複数の装置１００のいずれかに通信可能に対応付けられており、対応付けられた装置１００にユーザーの生体特徴量を出力する。例えば、生体センサー１１０Ａは、装置１００Ａにユーザーの生体特徴量を出力する。ある局面において、生体センサー１１０は、指紋センサー、指静脈センサー、虹彩センサー、カメラ（光学センサー）、顔認識カメラ、マイク等であってもよい。

ある局面において、生体センサー１１０は、画像、音声、各種センシングデータ等のいわゆる生データ（生体情報）を装置１００に出力してもよい。この場合、装置１００は、取得した生データ（生体情報）を解析して生体特徴量を抽出し得る。

（ｂ.システムの動作概要）
システム１０の典型的な動作例について説明する。システム１０は、主に、ユーザーの登録機能、ユーザーの認証機能、ルーティング経路の生成機能、システムの再構成機能、各種情報の共有機能の５つの機能を備える。

まず、第１の機能であるユーザーの登録機能について説明する。システム１０に含まれる複数の装置１００の少なくとも１台は、ユーザーの登録用装置として使用される。図１の例では、装置１００Ｄがユーザーの登録用装置として使用される。なお、ユーザーの登録用装置は、２台以上あってもよい。例えば、装置１００Ａ，１００Ｄがユーザーの登録用装置として使用されてもよい。また、各装置１００は、ユーザーの登録用装置として使用されるか否かを適宜切り替え可能に構成される。

装置１００Ｄ（ユーザーの登録用装置として選択された装置１００）は、自装置に対応付けられた生体センサー１１０Ｄから取得した生体特徴量が、自装置内の認証情報ＤＢに存在するか否かを判定する。装置１００Ｄは、取得した生体特徴量が、自装置内の認証情報ＤＢに存在しないと判定した場合、当該生体特徴量を新規ユーザーの生体特徴量として認証情報ＤＢ３１１に登録する。登録処理の際、例えば、装置１００Ｄは、自装置に接続または内蔵されたキーボード、カードリーダー、タッチパネル等の任意の入力機器を介して、ユーザーＩＤ（Identifier）を取得し得る。装置１００Ｄは、生体センサー１１０Ｄから取得した生体特徴量と、入力機器から取得したユーザーＩＤとを関連付けて認証情報ＤＢ３１１に登録する。

なお、本明細書における「ＩＤ」との用語は、一意に識別可能な任意の情報を意味し、例えば、社員番号、学生番号等の他に、あるＩＤから生成されたハッシュキー等も包含する。ある局面において、装置１００Ｄは、入力機器から取得したユーザーＩＤをハッシュキーに変換してもよい。この場合、装置１００Ｄは、生体センサー１１０Ｄから取得した生体特徴量と、ハッシュキーとを関連付けて認証情報ＤＢ３１１に登録する。すなわち、装置１００Ｄは、当該ハッシュキーを認証処理時のユーザーのＩＤとして使用する。

ある局面において、各ユーザーの認証情報は、ユーザー権限を含んでいてもよい。ユーザー権限は、ユーザーがアクセスできるサービスの種類を決定する。一例として、第１のユーザーは、装置１００Ａが設置された売店での決済サービスを使用できる権限を有しているが、装置１００Ｃが設置された会議室の使用権限（入室権限）を有さないとする。この場合、装置１００Ａは、第１のユーザーの認証に成功すると、売店の決済サービスを提供する。一方で、装置１００Ｃは、第１のユーザーの認証に成功したとしても、会議室のドアロックを解除しない。一例として、装置１００Ｄは、ユーザーＩＤと同様に、自装置に接続または内蔵された任意の入力機器を介して、ユーザー権限を取得し得る。

システム１０に含まれる各装置１００は、認証情報の更新があった場合、ルーティングＤＢ３１４（図３参照）を参照して、認証情報を共有する。各装置１００間のデータの共有およびルーティングの仕組みについては後述する。

ある局面において、ユーザーの登録用装置として選択された装置１００Ｄ、または、全ての装置１００は、ユーザーの認証情報の更新機能を提供してもよい。例えば、装置１００は、生体センサー１１０から取得した生体特徴量を用いてユーザーの認証に成功した場合（認証処理の対象の人物が登録されたユーザーであることが確認できた場合）、当該ユーザーから認証情報の更新入力（ユーザーＩＤの変更、生体特徴量の更新等）を受け付けてもよい。

次に、第２の機能であるユーザーの認証機能について説明する。システム１０に含まれる複数の装置１００の各々は、各種機能の共有機能により、認証情報も最新状態で共有される。そのため、各装置１００は、自装置に接続された生体センサー１１０から取得した生体特徴量が、自装置内の認証情報ＤＢ３１１に登録されているか否かを確認することで、ユーザー認証を完了し得る。各装置１００は、認証処理の際に、外部の認証サーバ等との通信を必要としないため認証処理を高速に完了させることができ、また、高速通信を要求されないため比較的安価な小型ＰＣでも実現可能である。

各装置１００は、認証処理が成功した後、他の機器と連携して、ユーザーに各種サービスを提供する。ある局面において、各装置１００は、各種サービスを提供するための外部機器を駆動させるためのＩＯ（Input Output）ポートを備えていてもよい。他の局面において、各装置１００は、ネットワークを介して、各種サービスを提供するための外部機器に制御パケットを送信してもよい。

また、各装置１００は、認証処理が失敗した場合（取得した生体特徴量が認証情報ＤＢ３１１に登録されていない場合）、取得した特徴量を未登録者情報として未登録者情報ＤＢ３１３（図３参照）に登録する。当該未登録者情報も更新されるごとに、各装置１００間で共有される。該未登録者情報は、ログを生成する場合等に使用される。

次に、第３の機能であるルーティング経路の生成機能について説明する。システム１０は、システム全体を管理する中央サーバを備えない。そのため、各装置１００は、協業して、システム１０内のルーティング経路およびそのテーブルを生成する。ルーティングテーブルは、ルーティングＤＢ３１４に格納される。

各装置１００は、自装置の位置情報または生成した乱数を装置情報として使用する。「装置情報」とは、ルーティング経路内での各装置１００の順番を示す情報であり、互いに大小または順番比較が可能な情報である。装置情報は、数値であってもよいし、バイナリであってもよいし、英数字の組み合わせであってもよいし、その他の任意の形式で表現されてもよい。当該装置情報は、ルーティングテーブルを生成するために使用される。ある局面において、各装置１００は、自装置の位置情報または生成した乱数に基づいて、装置情報を生成してもよい。一例として、各装置１００は、位置情報または乱数に基づいて、ハッシュキーを生成してもよい。また、他の局面において、各装置１００は、位置情報および乱数以外にも装置ＩＤ、現在時刻等の任意の要素またはこれらの組み合せから装置情報を生成してもよい。

各装置１００は、マルチキャストの機能を備えている。各装置１００は、自装置で生成した装置情報をマルチキャストでお互いに交換する。各装置１００は、自装置の装置情報と、他の装置１００から受信した装置情報とを比較して、他の装置１００が自装置に対して上流にあるか、下流にあるかを判定し得る。

一例として、装置各１００は、他の装置から受信した装置情報の値が自装置の装置情報の値よりも大きいと判定した場合、自装置の装置情報の値よりも大きい装置情報の値を有する他の装置１００を子装置として（すなわちルーティング経路において、自装置よりも下流にある装置として）自装置内のルーティングテーブルに登録してもよい。逆に、装置各１００は、他の装置から受信した装置情報の値が自装置の装置情報の値より小さいと判定した場合、自装置の装置情報の値よりも小さい装置情報の値を有する他の装置１００を親装置として（すなわちルーティング経路において、自装置よりも上流にある装置として）、自装置内のルーティングテーブルに登録してもよい。ルーティングテーブルには、他の装置の各々の装置情報およびＩＰ（Internet Protocol）アドレスの組み合せが格納される。

別の例として、装置各１００は、他の装置から受信した装置情報の値が自装置の装置情報の値よりも小さいと判定した場合、自装置の装置情報の値よりも小さい装置情報の値を有する他の装置１００を子装置として（すなわちルーティング経路において、自装置よりも下流にある装置として）自装置内のルーティングテーブルに登録してもよい。逆に、装置各１００は、他の装置から受信した装置情報の値が自装置の装置情報の値より大きいと判定した場合、自装置の装置情報の値よりも大きい装置情報の値を有する他の装置１００を親装置として（すなわちルーティング経路において、自装置よりも上流にある装置として）、自装置内のルーティングテーブルに登録してもよい。なお、これ以降の説明では、一例として、各装置１００は装置情報の値が小さいほどルーティング経路のより上流に位置するとして説明するが、各装置１００は装置情報の値が大きいほど、ルーティング経路のより上流に位置すると読み替えてもよい。

ルーティングテーブルに登録される情報は、各装置１００の装置情報によってソートされる。例えば、装置１００Ｄの装置情報が「００１」であり、装置１００Ａの装置情報が「１０１」であり、装置１００Ｂの装置情報が「１０２」であり、装置１００Ｃの装置情報が「１０３」であるとする。この場合、装置１００Ａのルーティングテーブルは以下のようになる。なお、装置１００Ａのルーティングテーブルには、装置１００Ａの情報は含まれていなくてもよい。他の装置１００Ｂ，１００Ｃ、１００Ｄも同様のルーティングテーブルを生成するが、同様に、ルーティングテーブルには自装置の情報は含まれていなくてもよい。

（装置１００Ａのルーティングテーブルの一例）
種類：親，装置１００Ｄ：装置情報：００１，ＩＰアドレス：＊.＊.＊.＊
種類：自，装置１００Ａ：装置情報：１０１，ＩＰアドレス：＊.＊.＊.＊
種類：子，装置１００Ｂ：装置情報：１０２，ＩＰアドレス：＊.＊.＊.＊
種類：子，装置１００Ｃ：装置情報：１０３，ＩＰアドレス：＊.＊.＊.＊
上記の装置１００Ａのルーティングテーブルによると、装置１００Ａから見たルーティング経路の上流には、装置１００Ｄが存在し、装置１００Ａから見たルーティング経路の下流には、装置１００Ｂ，１００Ｃが存在している。また、装置１００Ｄは、装置１００Ａから見て最も近い（隣接する）親装置である。装置１００Ｂは、装置１００Ａから見て最も近い（隣接する）子装置である。装置１００Ｃは、装置１００Ａから見て、２番目に近い（装置１００Ｂの次の位置にいる）子装置である。

ある局面において、ユーザーの登録用装置として選択された装置１００は必ずルーティングテーブルの最上流（先頭）になるように固定値の装置情報を生成してもよい。他の局面において、ルーティングテーブルを生成した結果、最上流に位置することになった装置１００が、自動的にユーザーの登録用装置として選択されてもよい。

各装置１００は上記のルーティングテーブルに従い、各種情報を交換する。より具体的には、各装置１００は、交換する情報に応じて、隣接する親装置および子装置の両方に、または、隣接する親装置および子装置のいずれか片方に、各装置１００間で共有すべき情報を送信する。

例えば、認証情報は、最上流の装置１００Ｄで登録されるので、更新された認証情報は、ルーティング経路の下流に向けて（各装置１００に隣接する子装置に向けて）送信される。図１の例では、装置１００Ｄは、新規ユーザーの登録処理を行った場合、隣接する子装置である装置１００Ａに新しい認証情報を送信する。次に、装置１００Ａは、認証情報の更新通知を受信すると、隣接する子装置である装置１００Ｂに更新された認証情報を送信する。同様に、装置１００Ｂは、認証情報の更新通知を受信すると、隣接する子装置である装置１００Ｃに更新された認証情報を送信する。装置１００Ｃは、最下流の装置であるため、認証情報の転送は行わない。

他の例として、各種ログ情報は、全ての装置１００で記録され得る。そのため、各種ログ情報は、ルーティング経路の上流および下流に向けて（各装置１００に隣接する親装置および子装置に向けて）送信される。例えば、装置１００Ａは、新しくログを記録した場合、隣接する親装置である装置１００Ｄおよび隣接する子装置である装置１００Ｂに、新しいログを通知する。装置１００Ｂは、上流（親装置である装置１００Ａ）からログを受信したので、下流（子装置である装置１００Ｃ）にログを転送する。また、別の例として、各種ログ情報は、最上流の装置１００で記録されてもよい。この場合、各種ログ情報は、ルーティング経路の上流に向けて（各装置１００に隣接する親装置に向けて）送信される。例えば、装置１００Ａは、新しくログを記録した場合、隣接する親装置である装置１００Ｄおよび隣接する子装置である装置１００Ｂに、新しいログを通知する。装置１００Ｂは、上流（親装置である装置１００Ａ）からログを受信したので、下流（子装置である装置１００Ｃ）にログを転送する。

次に、第４の機能であるシステムの再構成機能について説明する。システム１０は、１つ以上の装置１００が故障した場合、１つ以上の装置１００がシステム１０から取り除かれた場合、システム１０に１つ以上の新たな装置１００が追加された場合にも、システム１０の機能を維持することができるように、ルーティングテーブルを更新する機能を備える。

より具体的には、各装置１００は、互いにマルチキャストで生存確認通知を送付する。各装置１００は、一定期間返事がないまたは通知を送ってこない装置１００は機能を停止したと見なす。各装置１００は、機能を停止した装置１００のＩＰアドレスをルーティングテーブルから削除する。逆に、各装置１００は、マルチキャストにて、ルーティングテーブルにない新しい装置１００を検出した場合、新しい装置１００から装置情報を受信し、当該新しい装置１００の装置情報およびＩＰアドレスをルーティングテーブルに追加する。その際、各装置１００は、ルーティングテーブルの項目（各装置１００のＩＰアドレス等）を装置情報に基づいてソートし直す。

ある局面において、各装置１００は、自装置のルーティングテーブルを更新して、自装置よりも上流の装置１００がいなくなったことを検出した場合（自装置がルーティング経路の最上流に位置することを検出した場合）、ユーザーの登録用装置として動作してもよい。こうすることで、最上流の装置１００が故障した場合も、システム１０は機能を維持することができる。他の局面において、各装置１００は、自装置のルーティングテーブルを更新して、自装置よりも上流の装置１００がいなくなったことを検出した場合（自装置がルーティング経路の最上流に位置することを検出した場合）、管理者の端末にエラー通知を送信してもよい。この場合、管理者は、稼働している各装置１００の中から、任意の一台をユーザーの登録用装置として選択し得る。

第４の機能について、装置１００Ａを例に説明する。装置１００Ｄが故障し、装置１００Ｅ（装置情報：１０４）がシステム１０に新たに追加されたとする。この場合、装置１００Ａのルーティングテーブルは以下のように更新される。

（更新後の装置１００Ａのルーティングテーブルの一例）
種類：自，装置１００Ａ：装置情報：１０１，ＩＰアドレス：＊.＊.＊.＊
種類：子，装置１００Ｂ：装置情報：１０２，ＩＰアドレス：＊.＊.＊.＊
種類：子，装置１００Ｃ：装置情報：１０３，ＩＰアドレス：＊.＊.＊.＊
種類：子，装置１００Ｅ：装置情報：１０４，ＩＰアドレス：＊.＊.＊.＊
更新後の装置１００Ａのルーティングテーブルによると、装置１００Ａは最上流に位置するため、ユーザーの登録用装置として動作してもよいし、管理者の端末にエラー通知を送信してもよい。

次に、第５の機能である各種情報の共有機能について説明する。各装置１００は、上記のルーティングテーブルを参照して、各種情報を共有する。認証情報は、上流から下流に転送され、それ以外の各種ログ等は、下流から上流に、または、上流および下流の両方に転送される。システム１０全体で共有されるログは、認証ログ、サービス提供ログ、未登録者情報、未登録者の行動ログ、および、その他の任意の情報を含み得る。

認証ログは、ユーザー認証の記録である。認証ログは、認証を行った装置１００の装置ＩＤと、認証されたユーザーのユーザーＩＤと、タイムスタンプとを含む。また、認証ログは、さらに、他の任意のデータを含んでいてもよい。

サービス提供ログは、認証後のユーザーに対して提供されたサービスの記録である。サービス提供ログは、認証を行った装置１００の装置ＩＤと、認証されたユーザーのユーザーＩＤと、サービスごとの情報と、タイムスタンプとを含む。また、サービス提供ログは、さらに、他の任意のデータを含んでいてもよい。サービスごとの情報は、提供されたサービスのサービスＩＤ、部屋への入退室記録、および、購買記録等のサービスに関連する任意の記録を含み得る。

未登録者情報は、未登録者ＩＤと、未登録者の生体特徴量とを含む。各装置１００は、認証情報ＤＢ３１１に登録されていない生体特徴量を検出すると、未登録者ＩＤを生成し、当該未登録者ＩＤおよび生体特徴量を関連付けて未登録者情報として、自装置の未登録者情報ＤＢ３１３に登録する。また、各装置１００は、新たに生成した未登録者情報をルーティング経路の上流および下流に送信する。他の装置１００は、受信した未登録者情報を自装置の未登録者情報ＤＢ３１３に登録する。これにより、検出された未登録者情報は、全ての装置１００で共有されるため、各装置１００は、生体センサー１１０により同一人物を検出した場合、同一の未登録者ＩＤを付して未登録者の行動ログを生成することができる。すなわち、システム１０全体が、未登録者の行動を記録し得る。

未登録者の行動ログは、認証情報ＤＢ３１１に登録されていない人物（未登録者）の行動履歴である。未登録者の行動ログは、未登録者ＩＤと、未登録者の生体特徴量と、行動記録とを含む。行動記録は、未登録者が居た場所、未登録者のアクション（ドアの前に来た、商品を購入しようとした等の任意の行動）の記録等を含み得る。各装置１００は、生体センサー１１０から取得した画像または映像等の生データを解析して、未登録者の行動を推定してもよい。各装置１００は、新たに生成した未登録者の行動ログをルーティング経路の上流および下流に送信する。

ある局面において、各装置１００は、未登録者の行動ログを解析して、あやしい行動をしている人物を検出した場合、ログ情報と共に管理者の端末に通知を送信してもよい。例えば、行動ごとに点数が設けられ、各装置１００は、未登録者の行動ログを解析して、ある人物の過去の行動の累積点数が予め定められた閾値を超えた場合に、管理者の端末に通知を送信してもよい。ある局面において、各装置１００は、システム１０に登録されているユーザーの行動ログを解析して、あるユーザーの過去の行動（当該有るユーザーが権限を有さない行為を繰り返す等）の累積点数が予め定められた閾値を超えた場合に、管理者の端末に通知を送信してもよい。

上述のように、本実施の形態に従うシステム１０は、ルーティングテーブルに基づいて、各種情報を共有する。そのため、管理者は、中央サーバを用意する必要が無く、認証システム導入のイニシャルコストを下げることができる。

また、一部の装置１００が故障した場合、新たに装置１００がシステム１０に追加された場合でも、各装置１００は、協業して、ルーティングテーブルを最新に保つことで、システム１０全体の機能を維持し得る。

また、各装置１００は、常に最新のルーティングテーブルを保有しているため、ユーザー登録用の装置１００が故障した場合でも、生存している任意の装置１００がユーザー登録用の装置１００として動作し得る。

また、各種ログが、ログを生成した装置１００からルーティング経路の上流および下流の両方に送信される場合、一部の装置１００が故障しても、システム１０全体としてログは失われない。

さらに、ハッシュキーをユーザーＩＤとして認証情報に含めることにより、装置１００が盗まれた場合でも、ユーザー個人を特定する情報が流出することはない。そのため、システム１０は、中央サーバを用いない分散環境においても、ユーザーの個人情報を容易に保護し得る。

＜Ｂ．ハードウェアおよびソフトウェア構成＞
次に、図２および図３を参照して、装置１００および生体センサー１１０の構成の一例について説明する。

図２は、装置１００および生体センサー１１０のハードウェア構成の一例を示す図である。装置１００は、ＣＰＵ（Central Processing Unit）１と、１次記憶装置２と、２次記憶装置３と、外部機器インターフェイス４と、入力インターフェイス５と、出力インターフェイス６と、通信インターフェイス７とを含む。

ＣＰＵ１は、装置１００の各種機能を実現するためのプログラムを実行し得る。ＣＰＵ１は、例えば、少なくとも１つの集積回路によって構成される。集積回路は、例えば、少なくとも１つのＣＰＵ（Central Processing Unit）、少なくとも１つのＧＰＵ（Graphics Processing Unit）、少なくとも１つのＦＰＧＡ（Field Programmable Gate Array）、少なくとも１つのＡＳＩＣ（Application Specific Integrated Circuit）またはこれらの組み合わせ等によって構成されてもよい。

１次記憶装置２は、ＣＰＵ１によって実行されるプログラムと、ＣＰＵ１によって参照されるデータとを格納する。ある局面において、１次記憶装置２は、ＤＲＡＭ（Dynamic Random Access Memory）またはＳＲＡＭ（Static Random Access Memory）等によって実現されてもよい。

２次記憶装置３は、不揮発性メモリーであり、ＣＰＵ１によって実行されるプログラムおよびＣＰＵ１によって参照されるデータを格納してもよい。その場合、ＣＰＵ１は、２次記憶装置３から１次記憶装置２に読み出されたプログラムを実行し、２次記憶装置３から１次記憶装置２に読み出されたデータを参照する。ある局面において、２次記憶装置３は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）またはフラッシュメモリー等によって実現されてもよい。

外部機器インターフェイス４は、生体センサー１１０、プリンター、スキャナーおよび外付けＨＤＤ等の任意の外部機器に接続され得る。ある局面において、外部機器インターフェイス４は、ＵＳＢ（Universal Serial Bus）端子等によって実現されてもよい。

入力インターフェイス５は、キーボード、マウス、タッチパッドまたはゲームパッド等の任意の入力装置に接続され得る。ある局面において、入力インターフェイス５は、ＵＳＢ端子、ＰＳ／２端子およびＢｌｕｅｔｏｏｔｈ（登録商標）モジュール等によって実現されてもよい。ある局面において、生体センサー１１０は、入力インターフェイス５を介して、装置１００に接続されてもよい。

出力インターフェイス６は、ブラウン管ディスプレイ、液晶ディスプレイまたは有機ＥＬ（Electro-Luminescence）ディスプレイ等の任意の出力装置に接続され得る。ある局面において、出力インターフェイス６は、ＵＳＢ端子、Ｄ－ｓｕｂ端子、ＤＶＩ（Digital Visual Interface）端子およびＨＤＭＩ（登録商標）（High-Definition Multimedia Interface）端子等によって実現されてもよい。

通信インターフェイス７は、有線または無線のネットワーク機器と接続される。ある局面において、通信インターフェイス７は、有線ＬＡＮ（Local Area Network）ポートおよびＷｉ-Ｆｉ（登録商標）（Wireless Fidelity）モジュール等によって実現されてもよい。他の局面において、通信インターフェイス７は、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）、ＵＤＰ（User Datagram Protocol）等の通信プロトコルを用いてデータを送受信してもよい。

生体センサー１１０は、生体情報取得部１１１と、生体特徴量抽出部１１２と、通信部１１３と、生体特徴量比較部１１４とを備える。ある局面において、図２に示される生体センサー１１０のハードウェア構成の一部はプログラムとして実現されてもよい。この場合、生体センサー１１０は、ＣＰＵ、メモリーおよびストレージを備える。また、生体センサー１１０は、ストレージからメモリーに読み込まれたプログラムをＣＰＵで実行することにより、各種機能を実現し得る。

生体情報取得部１１１は、センサー素子およびその周辺回路である。一例として、生体センサー１１０は、カメラ（顔認証、虹彩認証用等）、指紋センサー、指静脈センサー、マイク（声認証用）、および、その周辺回路を含み得る。

生体特徴量抽出部１１２は、生体情報取得部１１１の出力データ（生体情報）から、生体特徴量を抽出する。例えば、生体特徴量抽出部１１２は、顔画像から、顔の特徴量を示すテキストデータ等を抽出し得る。

通信部１１３は、装置１００の通信インターフェイス７とデータを送受信する。一例として、通信部１１３は、生体特徴量を通信インターフェイス７に送信し得る。ある局面において、通信部１１３は、生体特徴量の代わりに、生体情報（生データ）を通信インターフェイス７に送信してもよい。この場合、装置１００（ＣＰＵ１）は、受信した生体情報（生データ）から、生体特徴量を抽出する。他の例として、通信部１１３は、生体特徴量比較部１１４に入力するデータ（生体特徴量）を通信インターフェイス７から受信し、生体特徴量比較部１１４が出力するデータ（２つの生体特徴量の一致度等）を通信インターフェイス７に送信してもよい。ある局面において、通信部１１３は、外部機器インターフェイス４と通信し、各種情報を送受信してもよい。この場合、装置１００および生体センサー１１０は、ＵＳＢケーブル等で接続され得る。

生体特徴量比較部１１４は、２つの生体特徴量を比較して、当該２つの生体特徴量の一致度等を出力する。装置１００は、ユーザー登録処理、認証処理、未登録者の追跡処理等において、生体センサー１１０が有する生体特徴量比較部１１４の機能を利用してもよい。または、装置１００（ＣＰＵ１）は、プログラムを実行することで、２つの生体特徴量を比較して、当該２つの生体特徴量の一致度等を求めてもよい。この場合、生体センサー１１０は、生体特徴量比較部１１４を備えていなくてもよい。

図３は、装置１００の機能ブロックの一例を示す図である。図３に示される各構成は、プログラムまたはデータとして実現される。装置１００は、図３に示される各構成を図２に示されるハードウェア上で実行することで、図１および図４～図１８を参照して説明される各種機能を実現し得る。ある局面において、図３に示される各構成の一部は、ハードウェアとして実現されてもよい。装置１００は、生体特徴量取得部３０１と、認証情報登録部３０２と、認証部３０３と、サービス提供部３０４と、未登録者情報登録部３０５と、データ取得部３０６と、データ出力部３０７と、ルーティング部３０８と、ログ生成部３０９と、記憶部３１０とを備える。記憶部３１０は、認証情報ＤＢ３１１と、ログＤＢ３１２と、未登録者情報ＤＢ３１３と、ルーティングＤＢ３１４とを含む。

生体特徴量取得部３０１は、生体センサー１１０から、生体特徴量を取得して、当該生体特徴量を認証情報登録部３０２または認証部３０３に出力する。ある局面において、生体特徴量取得部３０１は、生体センサー１１０から、生体情報（画像、音声等の生データ）を取得してもよい。この場合、生体特徴量取得部３０１は、生体情報から生体特徴量を抽出し、当該生体特徴量を認証情報登録部３０２または認証部３０３に出力する。なお、装置１００は、生体特徴量取得部３０１とは別に、生体特徴量抽出部（図示せず）を備えていてもよい。この場合、生体特徴量取得部３０１は、生体情報を生体特徴量抽出部に出力する。生体特徴量抽出部は、生体情報から生体特徴量を抽出し、当該生体特徴量を認証情報登録部３０２または認証部３０３に出力する。

認証情報登録部３０２は、新規ユーザーを認証情報ＤＢ３１１に登録する。認証情報登録部３０２は、生体特徴量取得部３０１または生体特徴量抽出部から生体特徴量を取得する。また、認証情報登録部３０２は、キーボード、タッチパネル、カードリーダー等を介して、ユーザーＩＤを取得してもよい。認証情報登録部３０２は、取得した生体特徴量およびユーザーＩＤを関連付けて新規ユーザーの認証情報として、認証情報ＤＢ３１１に登録する。ある局面において、認証情報登録部３０２は、取得したユーザーＩＤをハッシュキーに変換してもよい。この場合、認証情報登録部３０２は、当該ハッシュキーをユーザーＩＤとして生体特徴量と関連付けて認証情報を生成し、当該認証情報を認証情報ＤＢ３１１に登録する。他の局面において、認証情報登録部３０２は、認証情報にユーザー権限を含めてもよい。ユーザー権限は、ユーザーが受けられるサービスの種類、または、システム１０が設置されている場所においてユーザーに許可されている行為・許可されていない行為等を判別するための情報である。認証情報登録部３０２は、キーボード、タッチパネル、カードリーダー等を介して、ユーザー権限を取得してもよい。

認証部３０３は、認証処理を実行する。すなわち、認証部３０３は、装置１００により検出されたユーザーが、認証情報ＤＢ３１１に登録されたユーザーか否かを判定する。認証部３０３は、生体特徴量取得部３０１または生体特徴量抽出部から生体特徴量を取得する。次に、認証部３０３は、認証情報ＤＢ３１１に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量があるか否かを判定する。認証部３０３は、認証情報ＤＢ３１１に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量があると判定した場合（認証に成功した場合）、サービス提供部３０４に認証結果を出力する。認証部３０３は、認証情報ＤＢ３１１に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量がないと判定した場合（認証に失敗した場合）、未登録者情報登録部３０５に認証結果を出力する。

ある局面において、認証部３０３は、認証に失敗した場合、未登録者情報ＤＢ３１３に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量があるか否かを判定してもよい。認証部３０３は、未登録者情報ＤＢ３１３に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量があると判定した場合、装置１００が検出した人物は以前に登録された未登録者であると判定し、当該未登録者のログ（未登録者が、装置１００がある場所に何時に居た、装置１００がある場所で何をしようとした等のログ）をログＤＢ３１２に記録する。認証部３０３は、未登録者情報ＤＢ３１３に、取得した生体特徴量と一致する（または一定以上類似する）生体特徴量がないと判定した場合、装置１００が検出した人物は新しい未登録者であると判定し、未登録者情報登録部３０５に認証結果を出力する。

サービス提供部３０４は、認証に成功したユーザーに、各種サービスを提供する。より具体的には、サービス提供部３０４は、装置１００と連携する外部の機器に、ユーザーにサービスを提供するように指令を出力する。例えば、サービス提供部３０４は、ドアの開閉装置、入退出管理サーバ、決済サーバ等に指令を出力し得る。１つの装置１００が複数の機器と連携している場合、サービス提供部３０４は、複数の機器に指令を出力してもよい。また、サービス提供部３０４は、装置１００と連携する外部の機器が正常に動作しないことを検出すると（エラー信号を受信または指令に対する応答がない場合等）、エラーを出力してもよい。例えば、サービス提供部３０４は、装置１００に内蔵または接続されたディスプレイまたはスピーカー等を介して、エラーを出力し得る。

未登録者情報登録部３０５は、システム１０全体で過去に検出されたことがない新しい未登録者の生体特徴量を未登録者情報ＤＢ３１３に登録する。未登録者情報登録部３０５は、乱数を用いる等の任意の方法で作成した未登録者ＩＤと、未登録者の生体特徴量とを関連付けて、未登録者情報として未登録者情報ＤＢ３１３に登録する。

データ取得部３０６は、他の装置１００から各種データを受信する。一例として、データ取得部３０６は、新しいユーザーの認証情報、新しい未登録者情報、認証ログ、未登録者の行動ログ、サービス提供ログ、ルーティングテーブルの生成に必要となる装置情報、および、他の装置１００の生存確認の通知等の任意のデータを受信する。データ取得部３０６は、取得したデータに基づいて、認証情報ＤＢ３１１、ログＤＢ３１２、未登録者情報ＤＢ３１３、または、ルーティングＤＢ３１４を更新する。ある局面において、データ取得部３０６は、認証情報登録部３０２、認証部３０３、サービス提供部３０４、未登録者情報登録部３０５、または、ルーティング部３０８に、更新対象のＤＢの更新依頼および受信データを出力してもよい。この場合、更新依頼を受信した機能部が、更新対象のＤＢを更新する。

データ出力部３０７は、他の装置１００に各種データを送信する。データ出力部３０７は、認証情報ＤＢ３１１、ログＤＢ３１２、未登録者情報ＤＢ３１３、または、ルーティングＤＢ３１４に更新があるか否かを定期的に確認する。データ出力部３０７は、認証情報ＤＢ３１１、ログＤＢ３１２、未登録者情報ＤＢ３１３、または、ルーティングＤＢ３１４に更新があった場合、更新されたデータを他の装置１００に送信する。その際、データ出力部３０７は、隣接する親装置および子装置の両方に、または、隣接する親装置および子装置のいずれか片方に、更新されたデータを送信する。

ある局面において、データ出力部３０７は、認証情報登録部３０２、認証部３０３、サービス提供部３０４、未登録者情報登録部３０５、または、ルーティング部３０８から更新通知を取得したことに基づいて、更新されたデータを他の装置１００に送信してもよい。他の局面において、データ出力部３０７は、更新されたＤＢにおける更新データの差分だけを他の装置１００に送信してもよい。また、他の局面において、データ出力部３０７は、更新されたＤＢに格納される全てのデータを他の装置１００に送信してもよい。

ルーティング部３０８は、ルーティングＤＢ３１４を管理する。ルーティングＤＢ３１４には、図１を参照して説明されたルーティングテーブルが格納される。一例として、ルーティング部３０８は、データ取得部３０６からルーティングテーブルの更新情報を受信すると、ルーティングＤＢ３１４に更新を反映する。また、データ出力部３０７は、他の装置１００にデータを送信する際に、ルーティング部３０８に、データの送信先のＩＰアドレスまたはルーティングテーブルそのものを要求する。ルーティング部３０８は、要求を受けて、ルーティングＤＢ３１４を参照し、データの送信先のＩＰアドレスまたはルーティングテーブルそのものをデータ出力部３０７に出力する。ある局面において、データ取得部３０６およびデータ出力部３０７の両方または片方がルーティング部３０８の機能を備えていてもよい。

ログ生成部３０９は、各種ログをログＤＢ３１２に記録する。ログ生成部３０９は、例えば、他の機能ブロックから通知を受けたことに基づいて、ログを生成し、当該ログをログＤＢ３１２に記録し得る。ログ生成部３０９は、他の機能ブロックからの通知に含まれる情報に、タイムスタンプ、自装置のＩＤ、自装置の位置情報等を関連付けてログを生成し得る。ログ生成部３０９は、例えば、自装置のＩＤおよび自装置の位置情報を２次記憶装置３から取得してもよい。

記憶部３１０は、各ＤＢを管理するプログラムまたはデータ領域である。ある局面において、記憶部３１０は、ＤＢＭＳ（Data Base Management System）としての機能を有していてもよい。この場合、各ＤＢはリレーショナルデータベースとして実現され得る。他の局面において、記憶部３１０は、単なるデータ格納領域またはＮｏＳＱＬ形式のデータベースシステムであってもよい。この場合、各ＤＢはリレーショナルデータベース以外の任意のデータ形式で実現され得る。

認証情報ＤＢ３１１は、少なくも、ユーザーＩＤと、生体特徴量とを関連付けて記憶する。ある局面において、ユーザーＩＤは、社員番号等（生のＩＤ）であってもよいし、元々のユーザーＩＤを非可逆的に変換して生成されたハッシュキー等のＩＤであってもよい。また、他の局面において、認証情報ＤＢ３１１は、ユーザーＩＤと、生体特徴量と、ユーザー権限とを関連付けて記憶してもよい。

ログＤＢ３１２は、各種ログを記憶する。ログＤＢ３１２は、認証ログ、サービス提供ログ、未登録者の行動ログ、および、その他の任意の情報を記憶し得る。各ログは、例えば、ユーザーＩＤまたは未登録者ＩＤと、タイムスタンプと、その他の任意のデータ（認証の成功または失敗、サービスの提供結果、ユーザーまたは未登録者の行動ログ等）とを含む。

未登録者情報ＤＢ３１３は、未登録者のＩＤと、未登録者の生体特徴量とを関連付けて記憶する。未登録者のＩＤは、乱数の生成またはその他の任意の手段を用いて生成された一意に識別可能なＩＤである。

ルーティングＤＢ３１４は、ルーティングテーブルを格納する。各装置１００は、ルーティングＤＢ３１４を備える。各装置１００のルーティングＤＢ３１４は、自装置から見たルーティングテーブルを格納する。当該ルーティングテーブルは、一例として、システム１０に参加する各装置１００のＩＰアドレスを装置情報に基づいてソートしたテーブルになる。

＜Ｃ．ユーザーの登録＞
次に、図４～図７を参照して、ユーザーの登録処理の一例について説明する。装置１００は、図４～図７に示されるユーザー登録機能の一部を備えていてもよいし、全てを備えていてもよい。装置１００は、複数の登録機能を備える場合、システム１０の管理者が各装置１００に入力した設定に基づいて、使用する登録機能を変更可能に構成されてもよい。図４～図７に示される処理は、ユーザーの登録用装置として選択された装置１００により実行される。

なお、これ以降の全てのフローチャート（図４～図１８）において、ＣＰＵ１は、各フローチャートの処理を行うためのプログラムを２次記憶装置３から１次記憶装置２に読み込んで、当該プログラムを実行してもよい。他の局面において、当該処理の一部または全部は、当該処理を実行するように構成された回路素子の組み合わせとしても実現され得る。また、ある局面において、これ以降の一部または全てのフローチャート（図４～図１８）は、別スレッドまたは別プロセスで、同時並行的に実行されてもよい。

図４は、ユーザーの登録処理の第１の例を示すフローチャートである。
ステップＳ４１０において、装置１００は、生体特徴量を取得する。より具体的には、装置１００は、生体センサー１１０からユーザーの生体特徴量を取得する。ある局面において、装置１００は、生体センサー１１０から、生体情報（生データ）を取得して、当該生体情報から生体特徴量を抽出してもよい。

ステップＳ４２０において、装置１００は、ユーザーＩＤを取得する。一例として、装置１００は、装置１００に内蔵または接続された任意の入力機器（キーボード、タッチパネルまたはカードリーダー等）から、ユーザーＩＤの入力を受け付けてもよい。

ステップＳ４３０において、装置１００は、生体特徴量およびユーザーＩＤを関連付けて認証情報として認証情報ＤＢ３１１に登録する。

図５は、ユーザーの登録処理の第２の例を示すフローチャートである。図５のフローチャートは、ユーザーＩＤ（生データ）から、ハッシュキーを生成する点で、図４のフローチャートと異なる。ステップＳ５１０およびステップＳ５２０の各々は、ステップＳ４１０およびステップＳ４２０の各々と同じであるため、当該処理の説明は繰り返さない。

ステップＳ５３０において、装置１００は、ユーザーＩＤのハッシュキーを生成する。装置１００は、MD5、SHA-256、SHA-512またはRIPEMD-160等の任意のハッシュ関数を用いて、ユーザーＩＤのハッシュキーを生成する。

ステップＳ５４０において、装置１００は、生体特徴量およびハッシュキーを関連付けて認証情報として認証情報ＤＢ３１１に登録する。この場合、システム１０においては、ハッシュキーがユーザーＩＤとして使用される。

装置１００は、ユーザーＩＤ（生データ）を認証情報ＤＢ３１１に直接保存せずに、ハッシュキーを使用することで、装置１００が盗まれた場合にユーザーの個人情報が流出することを抑制し得る。

図６は、ユーザーの登録処理の第３の例を示すフローチャートである。図６のフローチャートは、認証情報にユーザー権限を含める点で、図４のフローチャートと異なる。ステップＳ６１０およびステップＳ６２０の各々は、ステップＳ４１０およびステップＳ４２０の各々と同じであるため、当該処理の説明は繰り返さない。

ステップＳ６３０において、装置１００は、ユーザーの許可行為（ユーザー権限）を取得する。一例として、装置１００は、装置１００に内蔵または接続された任意の入力機器から、ユーザーの許可行為（ユーザー権限）の入力を受け付けてもよい。ある局面において、システム１０の管理者が、ユーザーの許可行為（ユーザー権限）を装置１００に入力してもよい。他の局面において、認証情報の登録後に、システム１０の管理者が、ユーザーの許可行為（ユーザー権限）を装置１００に入力してもよい。この場合、装置１００は、予め登録されたユーザーの認証情報に、受け付けたユーザーの許可行為（ユーザー権限）を反映する。

ステップＳ６４０において、装置１００は、生体特徴量、ユーザーＩＤおよび許可行為（ユーザー権限）を関連付けて認証情報として認証情報ＤＢ３１１に登録する。装置１００は、認証情報にユーザーの許可行為（ユーザー権限）を含めることで、ユーザーの権限に応じて柔軟にサービスを提供し得る。

図７は、ユーザーの登録処理の第４の例を示すフローチャートである。図７のフローチャートは、ハッシュキーを生成し、さらに認証情報にユーザー権限を含める点で、図４のフローチャートと異なる。ステップＳ７１０、ステップＳ７２０、ステップＳ７３０，ステップＳ７４０の各々は、ステップＳ４１０、ステップＳ４２０、ステップＳ６３０、ステップＳ５３０の各々と同じであるため、当該処理の説明は繰り返さない。

ステップＳ７５０において、装置１００は、生体特徴量、ハッシュキーおよび許可行為（ユーザー権限）を関連付けて認証情報として認証情報ＤＢ３１１に登録する。装置１００は、認証情報にハッシュキーおよびユーザーの許可行為（ユーザー権限）を含めることで、装置１００が盗まれた場合にユーザーの個人情報が流出することを抑制し、さらに、ユーザーの権限に応じて柔軟にサービスを提供し得る。

＜Ｄ．ユーザーの認証＞
次に、図８～図１０を参照して、ユーザーの認証からサービスの提供までの処理の一例について説明する。図８～図１０に示される処理は、システム１０に含まれる全ての装置１００により実行されてもよいし、ユーザーの登録用装置として選択された装置１００以外の装置１００により実行されてもよい。

図８は、ユーザー認証からサービス提供までの処理全体の一例を示すフローチャートである。

ステップＳ８１０において、装置１００は、生体センサー１１０から、生体特徴量を取得する。ある局面において、装置１００は、生体センサー１１０から生体情報（生データ）を取得してもよい。この場合は、装置１００は、取得した生体情報から生体特徴量を抽出する。

ステップＳ８２０において、装置１００は、認証情報ＤＢ３１１に登録された生体特徴量を取得する。

ステップＳ８３０において、装置１００は、生体センサー１１０から取得した生体特徴量と、認証情報ＤＢ３１１に登録された生体特徴量とを比較する。

ステップＳ８４０において、装置１００は、認証情報ＤＢ３１１に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在するか否かを判定する。本ステップの判定処理は、比較される２つの生体特徴量が完全に一致している必要はない。装置１００は、比較される２つの生体特徴量が予め定められた閾値以上の一致率である場合、認証情報ＤＢ３１１に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在すると判定し得る。他のフローチャートにおける生体特徴量の比較処理に関しても同様である。

装置１００は、認証情報ＤＢ３１１に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在すると判定した場合（ステップＳ８４０にてＹＥＳ）、制御をステップＳ８５０に移す。そうでない場合（ステップＳ８４０にてＮＯ）、装置１００は、制御をステップＳ８７０に移す。

ステップＳ８５０において、装置１００は、認証記録をログＤＢ３１２に追加する。ある局面において、装置１００は、認証失敗時にも、認証失敗の記録をログＤＢ３１２に追加してもよい。

ステップＳ８６０において、装置１００は、認証に成功したユーザーに対して各種サービスを提供する。本ステップの詳細については、図１０を参照して後述する。

ステップＳ８７０において、装置１００は、未登録者情報登録処理を実行する。本ステップの詳細については、図９を参照して後述する。

ステップＳ８８０において、装置１００は、各種ログをログＤＢ３１２に保存する。装置１００は、例えば、未登録者の登録記録、未登録者の行動記録、認証済みのユーザーの行動記録、サービスの提供記録、別スレッドで実行中の他の装置１００との通信記録等の任意のログをログＤＢ３１２に格納する。ある局面において、装置１００は、ステップＳ８８０の処理を任意のタイミングで実行してもよい。また、いくつかの種類のログは、本ステップとは別のタイミング（ステップＳ８５０、ステップＳ９６０、ステップＳ１０４０等）で適宜記録されてもよい。

図９は、装置１００における未登録者情報登録処理の一例を示すフローチャートである。未登録者情報登録処理は、ステップＳ８７０のサブルーチンとして実行される。

ステップＳ９１０において、装置１００は、未登録者情報ＤＢ３１３に登録された生体特徴量を取得する。

ステップＳ９２０において、装置１００は、（ステップＳ８１０にて）生体センサー１１０から取得した生体特徴量と、未登録者情報ＤＢ３１３に登録された生体特徴量とを比較する。

ステップＳ９３０において、装置１００は、未登録者情報ＤＢ３１３に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在するか否かを判定する。

装置１００は、未登録者情報ＤＢ３１３に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在すると判定した場合（ステップＳ９３０にてＹＥＳ）、制御をステップＳ９４０に移す。そうでない場合（ステップＳ９３０にてＮＯ）、装置１００は、制御をステップＳ９５０に移す。

ステップＳ９４０において、装置１００は、新しい未登録者情報を未登録者情報ＤＢ３１３に登録する。一例として、装置１００は、乱数等から生成された未登録者のＩＤと、未登録者の生体特徴量とを関連付けて未登録者情報ＤＢ３１３に登録する。

ステップＳ９５０において、装置１００は、未登録者の行動をログＤＢ３１２に記録する。未登録者の行動ログは、一例として、未登録者のＩＤと、装置１００のＩＤと、未登録者の行動の種類と、タイムスタンプとを含む。なお、装置１００は、生体センサー１１０から取得した画像および／または音声等を解析して、未登録者の行動の種類を特定してもよい。ある局面において、本ステップは、ステップＳ８８０に含まれていてもよい。

図１０は、装置１００におけるサービス提供処理の一例を示すフローチャートである。サービス提供処理は、ステップＳ８６０のサブルーチンとして実行される。

ステップＳ１０１０において、装置１００は、認証されたユーザーに提供可能なサービスを判定する。装置１００は、認証情報に含まれるユーザー権限に基づいて、認証されたユーザーに提供可能なサービスを判定し得る。

ステップＳ１０２０において、装置１００は、自装置の位置情報を取得する。自装置の位置情報は、例えば、装置１００が設置された場所（建物のフロアおよび部屋等）を識別するための情報であり、２次記憶装置３に格納されていてもよい。自装置の位置情報は、ユーザーにサービスを提供するか否かの判定およびログの生成に使用され得る。装置１００は、位置情報を用いることで、認証されたユーザーに、第１の位置にある部屋への入室を許可するが、第２の位置にある部屋への入室を許可しない等の判定を行い得る。また、装置１００が各種ログに自装置の位置情報を含めることで、管理者は、ログに含まれる位置情報から、問題が発生した場所等を容易に突き止められるようになる。なお、サービスを提供するか否かの判定およびサービスの提供処理において、装置１００の位置情報が不要な場合は、本ステップの処理は実行されなくてもよい。

ステップＳ１０３０において、装置１００は、認証情報（ユーザー権限）および自装置の位置情報に基づいてサービスを提供する。ある局面において、装置１００は、自装置の位置情報を用いずに、認証情報（ユーザー権限）に基づいてサービスを提供してもよい。装置１００は、他の機器と連携することで、ドアの開閉、決済等の各種サービスをユーザーに提供し得る。

ステップＳ１０４０において、装置１００は、サービスの提供記録をログＤＢ３１２に保存する。ある局面において、本ステップは、ステップＳ８８０に含まれていてもよい。

＜Ｅ．ルーティング情報の作成および情報の共有＞
次に、図１１～図１５を参照して、ルーティングテーブルの生成およびルーティングテーブルを用いたデータの共有処理の一例について説明する。ルーティングテーブルの生成およびデータの共有処理は、システム１０に含まれる全ての装置１００により実行され得る。

図１１は、ルーティングテーブルの生成手順の第１の例を示すフローチャートである。図１１に示されるルーティングテーブルの生成手順は、乱数を装置情報として使用する手順である。

ステップＳ１１０５において、装置１００は、自装置の乱数ファイルがあるか否かを判定する。例えば、装置１００は、２次記憶装置３に自装置の乱数ファイルがあるか否かを判定し得る。ここでの乱数ファイルとは、図１を参照して説明した装置情報として使用される乱数を含むファイルである。ある局面において、乱数ファイルは、乱数自体の代わりに、乱数を元に生成された装置情報を含んでいてもよい。装置１００は、自装置の乱数ファイルがあると判定した場合（ステップＳ１１０５にてＹＥＳ）、制御をステップＳ１１１５に移す。そうでない場合（ステップＳ１１０５にてＮＯ）、装置１００は制御をステップＳ１１１０に移す。

ステップＳ１１１０において、装置１００は、乱数を生成する。装置１００は、生成した乱数を含む乱数ファイルを２次記憶装置３に保存する。

ステップＳ１１１５において、装置１００は、乱数ファイルから乱数（装置情報）を読み込む。

ステップＳ１１２０において、装置１００は、マルチキャストで、システム１０に含まれる１つ以上の他の装置１００に乱数（装置情報）を送信する。

ステップＳ１１２５において、装置１００は、一定時間スリープし、再度ステップＳ１１２０の処理を実行する。装置１００は、予め定められた回数または全ての他の装置１００から返信を受信するまで、ステップＳ１１２０およびステップＳ１１２５を繰り返してもよい。

ステップＳ１１３０において、装置１００は、新たにスレッドを起動する。ステップＳ１１３５以降の処理は、ステップＳ１１２０およびステップＳ１１２５と並行して実行される。ある局面において、装置１００は、ステップＳ１１３５以降の処理を実行するためのスレッドを予め起動しておいてもよい。

ステップＳ１１３５において、装置１００は、他の装置１００の乱数（装置情報）をマルチキャストのデータを受信する。

ステップＳ１１４０において、装置１００は、受信した乱数（装置情報の値）が自装置の乱数（装置情報の値）より小さいか否かを判定する。装置１００は、受信した乱数（装置情報の値）が自装置の乱数（装置情報の値）より小さいと判定した場合（ステップＳ１１４０にてＹＥＳ）、制御をステップＳ１１４５に移す。そうでない場合（ステップＳ１１４０にてＮＯ）、装置１００は、制御をステップＳ１１５０に移す。

ステップＳ１１４５において、装置１００は、親装置をルーティングＤＢ３１４（ルーティングテーブル）に登録する。すなわち、装置１００は、自装置の乱数（装置情報の値）より小さい乱数（装置情報の値）を有する装置１００を、親装置としてルーティングＤＢ３１４に登録する。ある局面において、装置１００は、自装置の乱数（装置情報の値）より大きい乱数（装置情報の値）を有する装置１００を、親装置としてルーティングＤＢ３１４に登録してもよい。

ステップＳ１１５０において、装置１００は、受信した乱数（装置情報の値）が自装置の乱数（装置情報の値）より大きいか否かを判定する。装置１００は、受信した乱数（装置情報の値）が自装置の乱数（装置情報の値）より大きいと判定した場合（ステップＳ１１５０にてＹＥＳ）、制御をステップＳ１１５５に移す。そうでない場合（ステップＳ１１５０にてＮＯ）、装置１００は、制御をステップＳ１１６０に移す。

ステップＳ１１５５において、装置１００は、子装置をルーティングＤＢ３１４（ルーティングテーブル）に登録する。すなわち、装置１００は、自装置の乱数（装置情報の値）より大きい乱数（装置情報の値）を有する装置１００を、子装置としてルーティングＤＢ３１４に登録する。ある局面において、装置１００は、自装置の乱数（装置情報の値）より小さい乱数（装置情報の値）を有する装置１００を、子装置としてルーティングＤＢ３１４に登録してもよい。

ステップＳ１１６０において、装置１００は、自装置の乱数（装置情報）を消去する。装置１００は、他の装置１００の乱数と自装置の乱数とが同じ値である場合に本ステップの処理を実行する。なぜならば、ルーティングＤＢ３１４（ルーティングテーブル）に登録する際に、自装置および他の装置１００の順番を決定できないためである。

ステップＳ１１６５において、装置１００は、自装置を再起動する。装置１００は、自装置の再起動後、ステップＳ１１０５の処理を実行する。すなわち、装置１００は、自装置の再起動後、新しい乱数（装置情報）を生成する。

図１２は、ルーティングテーブルの生成手順の第２の例を示すフローチャートである。図１２に示されるフローチャートは、乱数の代わりに自装置の位置情報を装置情報として用いる点で図１１に示されるフローチャートと異なる。

ステップＳ１２０５において、装置１００は、自装置の位置情報（装置情報）を取得する。ある局面において、自装置の位置情報は２次記憶装置３に保存されていてもよい。他の局面において、装置１００は、自装置の位置情報を元に生成された装置情報を使用してもよい。なお、位置情報は、数値等の大小比較ができるフォーマットで表現される。

ステップＳ１２１０において、装置１００は、マルチキャストで、システム１０に含まれる１つ以上の他の装置１００に自装置の位置情報（装置情報）を送信する。

ステップＳ１２１５において、装置１００は、一定時間スリープし、再度ステップＳ１２１０の処理を実行する。装置１００は、予め定められた回数または全ての他の装置１００から返信を受信するまで、ステップＳ１２１０およびステップＳ１２１５を繰り返してもよい。

ステップＳ１２２０において、装置１００は、新たにスレッドを起動する。ステップＳ１１２５以降の処理は、ステップＳ１２１０およびステップＳ１２１５と並行して実行される。ある局面において、装置１００は、ステップＳ１２２５以降の処理を実行するためのスレッドを予め起動しておいてもよい。

ステップＳ１２２５において、装置１００は、他の装置１００の位置情報（装置情報）をマルチキャストのデータを受信する。

ステップＳ１２３０において、装置１００は、受信した他の装置１００の位置情報の値（装置情報の値）が自装置の位置情報の値（装置情報の値）より小さいか否かを判定する。装置１００は、受信した他の装置１００の位置情報の値（装置情報の値）が自装置の位置情報の値（装置情報の値）より小さいと判定した場合（ステップＳ１２３０にてＹＥＳ）、制御をステップＳ１１２３５に移す。そうでない場合（ステップＳ１２３０にてＮＯ）、装置１００は、制御をステップＳ１２４０に移す。

ステップＳ１２３５において、装置１００は、親装置をルーティングＤＢ３１４（ルーティングテーブル）に登録する。すなわち、装置１００は、自装置の位置情報の値（装置情報の値）より小さい位置情報の値（装置情報の値）を有する装置１００を、親装置としてルーティングＤＢ３１４に登録する。ある局面において、装置１００は、自装置の位置情報の値（装置情報の値）より大きい位置情報の値（装置情報の値）を有する装置１００を、親装置としてルーティングＤＢ３１４に登録してもよい。

ステップＳ１２４０において、装置１００は、受信した他の装置１００の位置情報の値（装置情報の値）が自装置の位置情報の値（装置情報の値）より大きいか否かを判定する。装置１００は、受信した他の装置１００の位置情報の値（装置情報の値）が自装置の位置情報の値（装置情報の値）より大きいと判定した場合（ステップＳ１２４０にてＹＥＳ）、制御をステップＳ１２４５に移す。そうでない場合（ステップＳ１２４０にてＮＯ）、装置１００は、制御をステップＳ１２５０に移す。

ステップＳ１２４５において、装置１００は、子装置をルーティングＤＢ３１４（ルーティングテーブル）に登録する。すなわち、装置１００は、自装置の位置情報の値（装置情報の値）より大きい位置情報の値（装置情報の値）を有する装置１００を、子装置としてルーティングＤＢ３１４に登録する。ある局面において、装置１００は、自装置の位置情報の値（装置情報の値）より小さい位置情報の値（装置情報の値）を有する装置１００を、子装置としてルーティングＤＢ３１４に登録してもよい。

ステップＳ１２５０において、装置１００は、エラーを表示する。一例として、装置１００は、自装置に内蔵または接続されたディスプレイにエラーを表示してもよい。他の局面において、装置１００は、管理者の端末にエラー通知を送信してもよい。装置１００は、他の装置１００の位置情報と自装置の位置情報とが同じである場合（自装置または他の装置１００に設定された位置情報に誤りがある場合）に本ステップの処理を実行する。なぜならば、装置１００は、ルーティングＤＢ３１４（ルーティングテーブル）に登録する際に、自装置および他の装置１００の順番を決定できないためである。

ステップＳ１２５５において、装置１００は、自装置を再起動する。ある局面において、装置１００は、自装置の再起動後、管理者の端末に自装置の位置情報の設定要求を送信し、自装置の位置情報の入力を受け付けた後に、ステップＳ１２０５の処理を実行してもよい。他の局面において、装置１００は、自装置の再起動後、位置情報を自動で修正して、ステップＳ１２０５の処理を実行してもよい。

図１３は、更新された認証情報の共有手順の一例を示すフローチャートである。ある局面において、装置１００は、定期的に図１３に示される処理を実行してもよい。他の局面において、装置１００は、自装置において新しいユーザーが登録された、または、他の装置１００から新しいユーザーの認証情報を受信した場合に、図１３に示される処理を実行してもよい。

ステップＳ１３１０において、装置１００は、認証情報の更新を確認する。ある局面において、装置１００は、自装置において新しいユーザーが登録された、または、他の装置１００から新しいユーザーの認証情報を受信した場合に、プログラムで使用するためのフラグを立てていてもよい。この場合、装置１００は、フラグを確認することで、認証情報の更新を確認し得る。

ステップＳ１３２０において、装置１００は、自装置または他の装置１００において、更新された認証情報か否かを判定する。装置１００は、自装置または他の装置１００において、更新された認証情報があると判定した場合（ステップＳ１３２０にてＹＥＳ）、制御をステップＳ１３３０に移す。そうでない場合（ステップＳ１３２０にてＮＯ）、装置１００は制御をステップＳ１３１０に移す。なお、装置１００は、一定時間の経過後に、ステップＳ１３１０の処理を再度実行してもよい。

ステップＳ１３３０において、装置１００は、ルーティングＤＢ３１４から、自装置に隣接する子装置のＩＰアドレスを取得する。自装置に隣接する子装置とは、自装置に最も近い装置情報を有する子装置である。図１を参照して説明された装置１００Ａのテーブルを例に説明すると、自装置に隣接する子装置は装置１００Ｂである。

ステップＳ１３４０において、装置１００は、自装置に隣接する子装置に更新された認証情報を送信する。ある局面において、装置１００は、更新された認証情報だけを自装置に隣接する子装置に送信してもよい。また、他の局面において、装置１００は、認証情報ＤＢ３１１に格納される全てのデータを自装置に隣接する子装置に送信してもよい。また、他の局面において、装置１００は、自装置に隣接する親装置および子装置の両方に更新された認証情報を送信してもよい。

ステップＳ１３１０～ステップＳ１３４０の処理により、全ての装置１００は、認証情報を共有することができる。これにより、各装置１００は、ローカルに認証情報を有するため、単独で迅速にユーザーの認証処理を実行し得る。

図１４は、更新された未登録者情報の共有手順の一例を示すフローチャートである。ある局面において、装置１００は、定期的に図１４に示される処理を実行してもよい。他の局面において、装置１００は、自装置において未登録者情報を新たに登録した、または、他の装置１００から新しい未登録者情報を受信した場合に、図１４に示される処理を実行してもよい。

ステップＳ１４１０において、装置１００は、未登録者情報の更新を確認する。ある局面において、装置１００は、自装置において新しい未登録者情報が登録された、または、他の装置１００から新しい未登録者情報を受信した場合に、プログラムで使用するためのフラグを立てていてもよい。この場合、装置１００は、フラグを確認することで、未登録者情報の更新を確認し得る。

ステップＳ１４２０において、装置１００は、自装置または他の装置１００において、未登録者情報の更新があるか否かを判定する。装置１００は、自装置または他の装置１００において、未登録者情報の更新があると判定した場合（ステップＳ１４２０にてＹＥＳ）、制御をステップＳ１４３０に移す。そうでない場合（ステップＳ１４２０にてＮＯ）、装置１００は制御をステップＳ１４１０に移す。なお、装置１００は、一定時間の経過後に、ステップＳ１４１０の処理を再度実行してもよい。

ステップＳ１４３０において、装置１００は、ルーティングＤＢ３１４から、自装置に隣接する親装置および子装置のＩＰアドレスを取得する。自装置に隣接する親装置とは、自装置に最も近い装置情報を有する親装置である。自装置に隣接する子装置とは、自装置に最も近い装置情報を有する子装置である。図１を参照して説明された装置１００Ａのテーブルを例に説明すると、自装置に隣接する親装置は装置１００Ｄであり、自装置に隣接する子装置は装置１００Ｂである。

ステップＳ１４４０において、装置１００は、自装置に隣接する子装置に更新された未登録者情報を送信する。ある局面において、装置１００は、更新された未登録者情報だけを自装置に隣接する親装置および子装置に送信してもよい。また、他の局面において、装置１００は、未登録者情報ＤＢ３１３に格納される全てのデータを自装置に隣接する親装置および子装置に送信してもよい。

ステップＳ１４１０～ステップＳ１４４０の処理により、全ての装置１００は、未登録者情報を共有することができる。これにより、各装置１００は、連携して、未登録者の足取りを追跡し得る。

図１５は、更新された各種ログの共有手順の一例を示すフローチャートである。ある局面において、装置１００は、定期的に図１５に示される処理を実行してもよい。他の局面において、装置１００は、自装置においてログを新たに登録した、または、他の装置１００から新しいログを受信した場合に、図１５に示される処理を実行してもよい。

ステップＳ１５１０において、装置１００は、ログ（自装置のログまたは子装置のログ）の更新を確認する。ある局面において、装置１００は、自装置において新しいログが登録された、または、他の装置１００から新しいログを受信した場合に、プログラムで使用するためのフラグを立てていてもよい。この場合、装置１００は、フラグを確認することで、ログの更新を確認し得る。

ステップＳ１５２０において、装置１００は、自装置または他の装置１００において、ログの更新があるか否かを判定する。装置１００は、自装置または他の装置１００において、ログの更新があると判定した場合（ステップＳ１５２０にてＹＥＳ）、制御をステップＳ１５３０に移す。そうでない場合（ステップＳ１５２０にてＮＯ）、装置１００は制御をステップＳ１５１０に移す。なお、装置１００は、一定時間の経過後に、ステップＳ１５１０の処理を再度実行してもよい。

ステップＳ１５３０において、装置１００は、ルーティングＤＢ３１４から、自装置に隣接する親装置のＩＰアドレスを取得する。

ステップＳ１５４０において、装置１００は、自装置に隣接する親装置に更新されたログを送信する。

ステップＳ１５５０において、装置１００は、送信済みのログを削除する。
ステップＳ１５１０～ステップＳ１５５０の処理により、システム１０は、ルーティング経路の最上流に存在する装置１００に全てのログを集約することができる。これにより、ルーティング経路の最上流に存在する装置１００以外の他の装置１００のストレージの使用量を抑制し得る。

ある局面において、全ての装置１００がログを保存してもよい。この場合、各装置１００は、自装置に隣接する親装置および子装置の両方にログを送信し得る。例えば、各装置１００は、親装置から受信したログを子装置に送信し、子装置から受信したログを親装置に送信し得る。こうすることで、最上流の装置１００が故障した場合でも、他の装置１００にログが残っているため、システム１０全体としてログを保持することができる。

＜Ｆ．ユーザーの行為の許可・不許可の判定および追跡＞
次に図１６～図１８を参照して、ユーザーの行為の許可・不許可の判定およびユーザーの行為の記録処理について説明する。図１６～図１８に示される処理は、システム１０に含まれる全ての装置１００により実行されてもよいし、ユーザーの登録用装置として選択された装置１００以外の装置１００により実行されてもよい。

図１６は、ユーザーの行為の許可・不許可の判定の全体処理の一例を示すフローチャートである。図１６に示される処理は、生体センサー１１０または装置１００が付近に人を検知するごとに実行されてもよい。

ステップＳ１６１０において、装置１００は、ユーザーの動作記録を取得する。より具体的には、生体センサー１１０または装置１００に接続されたカメラ等から、ユーザーの画像、映像、音声、それ以外の任意の情報、または、これらの情報の組合せを動作記録として取得する。

ステップＳ１６２０において、装置１００は、動作記録を解析して、ユーザーの行動を抽出する。動作記録の解析には、機械学習モデル、パターンマッチング等の任意の既存技術が使用されてもよい。一例として、装置１００は、ユーザーが映った映像または画像を解析して、ユーザーが会議室のドアを開けようとしている動作等を検出し得る。

ステップＳ１６３０において、装置１００は、生体センサー１１０から生体特徴量を取得する。本ステップの処理は、ステップＳ１６１０およびステップＳ１６２０と同時並行的に実行されてもよい。取得された生体特徴量は、ユーザーの認証に使用される。

ステップＳ１６４０において、装置１００は、装置１００の検出範囲にいる人物により、特定の行為が実行されたか否かを判定する。特定の行為は、装置１００が紐付けられているサービスに関連する動作等である。ある局面において、装置１００は、２次記憶装置３に格納された特定の行為のリスト情報と、動作記録から抽出したユーザーの行動とを比較することによって、特定の行為が実行されたか否かを判定してもよい。装置１００は、装置１００の検出範囲にいる人物により、特定の行為が実行されたと判定した場合（ステップＳ１６４０にてＹＥＳ）、制御をステップＳ１６５０に移す。そうでない場合（ステップＳ１６４０にてＮＯ）、装置１００は処理を終了する。

ステップＳ１６５０において、装置１００は、ユーザーの行為の許可判定処理を実行する。ユーザーの行為の許可判定処理の詳細は、図１７を参照して説明する。

図１７は、ユーザーの行為の許可判定処理の一例を示すフローチャートである。図１７に示される処理は、ステップＳ１６５０のサブルーチンとして実行される。

ステップＳ１７１０において、装置１００は、認証情報ＤＢ３１１に登録された生体特徴量を取得する。

ステップＳ１７２０において、装置１００は、認証情報ＤＢ３１１に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在するか否かを判定する。装置１００は、認証情報ＤＢ３１１に登録された生体特徴量の中に、生体センサー１１０から取得した生体特徴量と一致する（または一定以上類似する）生体特徴量が存在すると判定した場合（ステップＳ１７２０にてＹＥＳ）、制御をステップＳ１７３０に移す。そうでない場合（ステップＳ１７２０にてＮＯ）、装置１００は、制御をステップＳ１７６０に移す。

ステップＳ１７３０において、装置１００は、抽出された行為が、認証されたユーザーに許可されている行為か否かを判定する。装置１００は、認証情報に含まれるユーザー権限を参照することで、ユーザーに許可されている行為を確認し得る。装置１００は、抽出された行為が、認証されたユーザーに許可されている行為であると判定した場合（ステップＳ１７３０にてＹＥＳ）、制御をステップＳ１７４０に移す。そうでない場合（ステップＳ１７３０にてＮＯ）、装置１００は、制御をステップＳ１７７０に移す。

ステップＳ１７４０において、装置１００は、ユーザーの行為を許可する。すなわち、装置１００は、当該装置１００に紐付けられているサービスをユーザーに提供する。

ステップＳ１７５０において、装置１００は、ユーザーまたは未登録者の行為のログを記録する。当該ログは、例えば、行為を実行しようとした人物のユーザーＩＤまたは未登録者ＩＤと、行為の内容を示す情報と、行為を許可したか否かを示す情報と、装置１００のＩＤと、タイムスタンプとを含んでいてもよい。

ステップＳ１７６０において、装置１００は、抽出された行為が、未登録者による行為であると判定する。または、装置１００は、認証処理が失敗したため、エラーをログとして記録してもよい。

ステップＳ１７７０において、装置１００は、ユーザーまたは未登録者の行為を許可しない（禁止する）。すなわち、装置１００は、当該装置１００に紐付けられているサービスをユーザーまたは未登録者に提供しない。ある局面において、装置１００は、装置１００に内蔵または接続されたディスプレイまたはスピーカーから、行為が許可されていないことを示すメッセージを出力してもよい。

図１８は、更新された許可判定のログの共有手順の一例を示すフローチャートである。ある局面において、装置１００は、定期的に図１８に示される処理を実行してもよい。他の局面において、装置１００は、自装置において許可判定のログを新たに登録した、または、他の装置１００から新しい許可判定のログを受信した場合に、図１８に示される処理を実行してもよい。他の局面において、許可判定のログは、サービス提供ログに含まれていてもよい。この場合、装置１００は、図１６に示される処理を実行するだけで、許可判定のログを各装置１００間で共有し得る。

ステップＳ１８１０において、装置１００は、許可判定のログ（自装置のログまたは他の装置１００のログ）の更新を確認する。ある局面において、装置１００は、自装置において新しい許可判定のログが登録された、または、他の装置１００から新しい許可判定のログを受信した場合に、プログラムで使用するためのフラグを立てていてもよい。この場合、装置１００は、フラグを確認することで、許可判定のログの更新を確認し得る。

ステップＳ１８２０において、装置１００は、自装置または他の装置１００において、許可判定のログの更新があるか否かを判定する。装置１００は、自装置または他の装置１００において、許可判定のログの更新があると判定した場合（ステップＳ１８２０にてＹＥＳ）、制御をステップＳ１８３０に移す。そうでない場合（ステップＳ１８２０にてＮＯ）、装置１００は制御をステップＳ１８１０に移す。なお、装置１００は、一定時間の経過後に、ステップＳ１８１０の処理を再度実行してもよい。

ステップＳ１８３０において、装置１００は、ルーティングＤＢ３１４から、自装置に隣接する親装置のＩＰアドレスを取得する。

ステップＳ１８４０において、装置１００は、自装置に隣接する親装置に更新された許可判定のログを送信する。

ステップＳ１８５０において、装置１００は、送信済みの許可判定のログを削除する。システム１０は、許可判定のログも記録することで、ユーザーが各サービスに不正にアクセスしようとしていないか否かを監視することができる。ある局面において、全ての装置１００が許可判定のログを保存してもよい。この場合、許可判定のログは、ルーティング経路の上流だけでなく、下流にも送信される。

以上説明した通り、本実施の形態に従うシステム１０は、生体認証用の認証情報を集中管理する中央サーバを備えない認証システムである。システム１０に含まれる各装置１００は、ルーティング経路を自律的に生成することで、認証情報、ログ等を共有することができる。これにより、各装置１００は、認証処理時にローカルの認証情報を使用することで、高速に生体認証を完了することができる。

また、システム１０は、一部の装置１００が故障した場合でも、各装置１００間でルーティングテーブルを再構築することができるため、冗長性に優れる。

また、各装置１００は、ユーザーＩＤからハッシュキーに変換し、当該ハッシュキーをユーザーＩＤとして認証情報に含めることができる。これにより、一部の装置１００が盗まれてもユーザー個人を特定する情報の流出を抑制し得る。

また、各装置１００は、ルーティングテーブルを用いて、任意のログ（認証ログ、サービス提供ログ、未登録者のログ、許可判定のログ等）をルーティング経路の最上流の装置１００に集約、または、各装置１００で共有し得る。これにより、システム１０の管理者は、各装置１００で記録されたログを一元的に管理し得る。

今回開示された実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内で全ての変更が含まれることが意図される。また、実施の形態および各変形例において説明された開示内容は、可能な限り、単独でも、組合わせても、実施することが意図される。

１ ＣＰＵ、２ １次記憶装置、３ ２次記憶装置、４ 外部機器インターフェイス、５ 入力インターフェイス、６ 出力インターフェイス、７ 通信インターフェイス、１０ システム、１００ 装置、１１０ 生体センサー、１１１ 生体情報取得部、１１２ 生体特徴量抽出部、１１３ 通信部、１１４ 生体特徴量比較部、３０１ 生体特徴量取得部、３０２ 認証情報登録部、３０３ 認証部、３０４ サービス提供部、３０５ 未登録者情報登録部、３０６ データ取得部、３０７ データ出力部、３０８ ルーティング部、３０９ ログ生成部、３１０ 記憶部、３１１ 認証情報ＤＢ、３１２ ログＤＢ、３１３ 未登録者情報ＤＢ、３１４ ルーティングＤＢ。

Claims (7)

1. ユーザーを認証するための複数の装置と、
   前記ユーザーの生体特徴量を取得するための複数のセンサーとを備え、
   前記複数の装置の各々と、前記複数のセンサーの各々とは通信可能に対応付けられており、
   前記複数の装置の各々は、
   ユーザーごとの前記生体特徴量およびＩＤ（Identifier）を関連付けた認証情報と、他の装置と通信するためのルーティング情報とを格納する記憶部と、
   前記認証情報と、自装置に対応付けられた前記センサーから取得した生体特徴量とを比較して前記ユーザーを認証する認証部と、
   前記記憶部に新しいユーザーの前記認証情報が登録されたことに基づいて、前記ルーティング情報を参照して、前記新しいユーザーの認証情報を１つ以上の他の装置に出力する出力部とを含む、認証システム。
2. 前記複数の装置の各々は、前記ルーティング情報を生成および参照するためのルーティング部をさらに含み、
   前記ルーティング情報は、１つ以上の親装置のアドレスと、１つ以上の子装置のアドレスとを含み、
   前記ルーティング部は、
   乱数または自装置の位置情報に基づいて、装置情報を生成し、
   マルチキャストにより、前記１つ以上の他の装置の各々と前記装置情報を交換し、
   自装置の前記装置情報と前記１つ以上の他の装置の各々の前記装置情報との比較結果に基づいて、前記１つ以上の他の装置の各々のアドレスを、前記１つ以上の親装置のアドレスまたは前記１つ以上の子装置のアドレスのいずれかとして前記ルーティング情報に登録し、
   前記新しいユーザーの認証情報を前記１つ以上の他の装置に出力することは、
   前記１つ以上の子装置の中で自装置のドレスに最も近い前記装置情報を有する１台に前記新しいユーザーの認証情報を出力すること、または、
   前記１つ以上の親装置の中で自装置の前記装置情報に最も近い前記装置情報を有する１台に前記新しいユーザーの認証情報を出力すること、および、前記１つ以上の子装置の中で自装置の前記装置情報に最も近い前記装置情報を有する１台に前記新しいユーザーの認証情報を出力することを含む、請求項１に記載の認証システム。
3. 前記ルーティング部は、
   定期的に、前記１つ以上の親装置の各々および前記１つ以上の子装置の各々と生存確認の通信を行い、
   前記生存確認の通信に失敗した装置のアドレスを前記ルーティング情報から削除する、請求項２に記載の認証システム。
4. 前記複数の装置の各々は、自装置に対応付けられた前記センサーから得られた前記生体特徴量に基づいて、ログを生成して前記記憶部に格納するためのログ生成部をさらに備え、
   前記出力部は、前記ログ生成部により、または、前記他の装置のいずれかからログを受信したことにより、自装置の前記ログが更新されたことに基づいて、前記１つ以上の親装置の中で自装置の前記装置情報に最も近い前記装置情報を有する１台、および、前記１つ以上の子装置の中で自装置の前記装置情報に最も近い前記装置情報を有する１台に、更新された自装置の前記ログを送信する、請求項２に記載の認証システム。
5. 前記認証部が前記記憶部に登録されていない生体特徴量を検出したことに基づいて、前記記憶部に登録されていない生体特徴量を未登録者の情報として前記記憶部に登録する未登録者情報登録部をさらに備え、
   前記ログ生成部は、前記未登録者の行動のログを前記記憶部に格納し、
   更新された自装置の前記ログを送信することは、前記未登録者の行動のログを送信することを含む、請求項４に記載の認証システム。
6. 前記認証情報は、前記ユーザーの各々ごとの許可行為情報を含み、
   前記認証システムは、他の機器と連携して前記ユーザーの各々にサービスを提供するためのサービス提供部をさらに備え、
   前記サービス提供部は、前記他の機器から得られた前記ユーザーの行動を示す情報と、前記認証情報に含まれる前記許可行為情報とを比較し、認証済みの前記ユーザーにサービスを提供するか否かを判定する、請求項１～５のいずれか１項に記載の認証システム。
7. 認証システムによって実行されるユーザーの認証方法であって、
   前記認証システムは、
   ユーザーを認証するための複数の装置と、
   前記ユーザーの生体特徴量を取得するための複数のセンサーとを備え、
   前記複数の装置の各々と、前記複数のセンサーの各々とは通信可能に対応付けられており、
   前記認証方法は、前記複数の装置の少なくとも１台において、
   ユーザーごとの前記生体特徴量およびＩＤを関連付けた認証情報と、他の装置と通信するためのルーティング情報とを記憶するステップと、
   前記認証情報と、自装置に対応付けられた前記センサーから取得した生体特徴量とを比較して前記ユーザーを認証するステップと、
   新しいユーザーの前記認証情報の登録処理が実行されたことに基づいて、前記ルーティング情報を参照して、前記新しいユーザーの認証情報を１つ以上の他の装置に出力するステップとを含む、認証方法。

Images