JP7312454B2 - 認証システム、認証プログラム及び認証方法 - Google Patents

Description

本発明は、認証システムに関し、特に、操作画面におけるストロークを用いた個人認証技術に関する。

近年、スマートフォンを利用するユーザ数は爆発的に増加している。総務省の「通信利用動向調査」 によると、２０１８年における日本のスマートフォンの世帯保有率は７９．２％であり、同年におけるパソコンの世帯保有率７４．０％を５．２ポイント上回る数値を記録している。また、個人のインターネット利用端末に関する調査報告においても、スマートフォンの利用率５９．５％がパソコンの利用率４８．２％を上回っており、日常のメインデバイスがパソコンからスマートフォンへと移行している現状がうかがえる。

スマートフォンは、その多機能さや利便性から利用が増加する一方で、スマートフォン所有者の個人情報や生体情報といった重要な情報をスマートフォン上で扱う場面が増加している。こうした個人情報の保護を目的として、スマートフォンには「パスコード」や「指紋認証」「フリック操作による認証」といった認証機能が標準的に搭載されている。

例えば、特許文献１（特開２０１７－７８９３７号公報）には、スマートフォンに掛けられたロックを解除する際に、フリック操作を要求するフリック要求画面がタッチスクリーンに表示され、このフリック要求画面上で、その中央に表示された矢印がフリックされると、このフリック操作に係る操作者の特徴を表す特徴量が抽出され、この特徴量を認証キーとして、操作者がスマートフォンを操作する正当な権利を有する権利者であるかどうかの認証を行うスマートフォンが記載されている。

また、非特許文献１には、タッチ圧力センサーを内蔵したデバイスから直接取得したタッチ圧力を認証の特徴量とした、タッチストロークを使用するスマートフォンの認証技術が記載されている。

特開２０１７－７８９３７号公報

M. Kudo and H. Yamana, "Active Authentication on Smartphone using Touch Pressure," Proc. of the 31st ACM Symposium on User Interface Software and Technology, UIST'18, pp.96-98, ２０１８年

しかし、個人の記憶や生体情報（指紋や静脈パターン等）に基づいた認証機能は、盗み見や生体情報の合成によって第三者に突破される可能性がある。また、個人情報はスマートフォンの紛失・盗難によって流出する可能性があり、スマートフォンのセキュリティ性の向上は今も継続的な課題である。そこで、スマートフォン利用者が当該スマートフォンの正当な所有者（本人）であることを常に監視し続ける「パッシブ認証」が重要となる。

本発明は、スマートフォンの主たる操作であるタッチストロークを用いた高精度の認証システムの提供を目的とする。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、ユーザの動作を用いて認証を行う認証システムであって、所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能なメモリと、ユーザの動作を取得する入力部とを備え、前記入力部が取得したユーザの動きから、少なくとも動きの起点及び終点の情報を含むタッチストローク情報を抽出する特徴抽出部と、前記抽出された起点及び終点の情報に基づいて、動きの方向を少なくとも二つの所定の方向に分ける選択器と、前記少なくとも二つの方向に対応して設けられ、第１の操作者の動作及び他の操作者の動作を学習し、前記動作にかかるユーザが前記第１の操作者であるかを識別する分類器とを有することを特徴とする。

本発明によれば、認証システムの認証精度を向上できる。

実施例１の認証システムの構成を示す論理ブロック図である。 実施例１の認証が実行される端末のハードウェア構成を示すブロック図である。 実施例１の認証における投票モデルを示す図である。 実施例１のストロークデータから抽出される特徴量の例を示す図である。 実施例１の訓練処理のフローチャートである。 実施例１の認証処理のフローチャートである。 実施例１の分類器による本人判定処理のフローチャートである。 実施例１の多数決投票処理のフローチャートである。 実施例１の決選投票処理のフローチャートである。 実施例２の認証システムの構成を示すブロック図である。 実施例３の認証システムの構成を示すブロック図である。

＜実施例１＞
本発明の一実施例として、スマートフォンにおけるパッシブ認証について説明する。

スマートフォンはセキュリティ性の向上が求められる一方で、スマートフォンが日常的に使用されているという点から、セキュリティ性と操作性のバランスは必要不可欠である。セキュリティ性と操作性を両立させる方法として、「アクティブ認証」と「パッシブ認証」とを組み合わせた認証手法が注目を集めている。アクティブ認証は、ユーザが設定したパスコードや生体の特徴量を用いて本人であることを認証する。パッシブ認証は、認証のために文字を入力したり生体を提示するなどの特別な操作を必要とせず、ユーザの通常の操作を用いて認証する。パッシブ認証の例としては、リスクベース認証が挙げられる。リスクベース認証では、過去のログデータやＩＰアドレスなどの情報を基に通常の利用者の行動パターンとの一致度により認証が行われ、不正のリスクに基づいて追加の認証が行われる。リスクベース認証はスマートフォンの各種アプリケーションにおいても広く採用されており、不正が疑われる場合に「秘密の質問」などを促すアプリケーションが存在する。しかし、単にスマートフォンを操作して個人情報を不正参照するような場合は、必ずしも従来のリスクベース認証では、捕捉しにくい。

そこで本願は、スマートフォンで普通に利用されているタッチストロークを基にしたフリックなどの基本操作自体の特徴を用いて、より汎用で精度の高いパッシブ認証を実現する。

このような観点から、本実施例の認証システムでは、以下の３段階で認証を行う。
１．生体認証、パスコードなどの標準的なアクティブ認証
２．ユーザの操作によるストロークを用いたパッシブ認証
３．２段階目おいて不正が疑われる場合、標準的な認証による追加のアクティブ認証

以後、本実施例では２段階目のパッシブ認証について説明し、１段階目と３段階目の認証はスマートフォンなどに標準的に搭載されている認証機能を使用する。

また、２段階目のパッシブ認証において、耐模倣性を向上し、第三者によって自身のタッチストロークが模倣された場合に頑健な認証システムを実現する。これにより、第三者による覗き見や不正使用にも対応が可能となる。

また、本発明の認証技術は、個人を認証する方法にかかるものであり、前述したパッシブ認証に適用でき、特に、アプリケーションの動作時に操作者が本人でないことを認識して、アプリケーション（例えば、銀行、証券などの金融アプリ）の動作を停止する技術として好適である。また、本発明の認証技術は、アクティブ認証にも適用でき、例えば、アプリケーションの起動時にロックを解除するための認証や、ロック状態から端末を起動する際の認証にも適用できる。

また、実施例１で説明するスマートフォンにおける認証だけでなく、現金自動支払機（ＡＴＭ）、パーソナルコンピュータ、タブレット端末、デジタルサイネージ装置など、使用の際及び使用中における認証が必要な装置に適用できる。

以下、本発明の認証方法について、スマートフォンで行われるパッシブ認証の実施例を説明する。

図１は、実施例１の認証システムの構成を示す論理ブロック図である。

本実施例のパッシブ認証では、予め用意した訓練用ストロークデータ１５１を用いて学習した分類器１８２を生成する。分類器１８２の生成には、例えば、オンライン学習器であるＡＲＯＷのアルゴリズムを用いることができる。ＡＲＯＷのアルゴリズムについては、K. Crammer, A. Kulesza, and M. Dredzeによる"Adaptive Regularization of Weight Vectors," Proc. of 23th Adv. Neural Inf. Process. Syst. 22, pp.414-422, ２００９年に詳しいので、本明細書での説明は省略する。訓練データには、正規の利用者である「本人」のデータと、本人以外の「偽者」データとが含まれ、「偽者」には他人が操作したストロークデータの他、他人が本人の動作を模倣したストロークデータを含めるとよい。訓練用データセットに加えられる他人のストロークデータは、予め収集されたデータでも、疑似データでもよい。後述する実施例２のように、複数の端末１０からストロークデータを収集する計算機３０から他人のストロークデータを取得してもよい。

本実施例では、分類器１８２の生成において、特徴抽出部１９０が訓練用ストロークデータ１５１からストロークデータの特徴量を抽出し、区分基準に基づき「ストローク方向」（ｄｉｒｅｃｔｉｏｎ）のデータを生成する。訓練部１９では、方向セレクタ１９１がこの「ストローク方向」により訓練用ストロークデータ１５１を分けて、ストローク方向毎に複数の分類器１８２が生成される。ストローク方向の区分基準としては、例えば、真上から±９０度の範囲の上方向と、真下から±９０度の範囲の下方向の二つに分けるとよい。また、画面水平左から±９０度の範囲の左方向と、水平右から±９０度の範囲の右方向の二つに分けてもよい。また、真上を基準として、所定の角度範囲（例えば６０度毎に六つの方向の範囲）に分けてもよい。

ストロークの角度は、三角関数を用いて、以下の式で計算される（図４参照）。
angleEE = tan(｜stopY - startY｜／｜stopX - startX｜)

操作者の指の動きは方向によって異なるため、ストローク方向別に分類器１８２を生成することによって、正しい本人を誤って拒否する確率である本人拒否率（ＦＲＲ：False Rejection Rate）と、本人ではない者（偽者）を誤って受け入れる確率である他人受入率（ＦＡＲ：False Acceptance Rate）を低減でき、等価エラー率（ＥＥＲ：Equal Error Rate）を低減できる。

このような学習によって、分類器１８２に、ストロークデータの特徴量を入力とし、本人である確率を出力するニューラルネットワークが形成される。

分類器１８２の生成後、端末１０の画面操作時のタッチストロークを監視し、ストローク単位で継続的な認証を行う。本実施例の認証システムでは、特徴抽出部１８０が認証用ストロークデータ１５２からストロークデータの特徴量を抽出し、訓練部１９と同じ区分基準で、「ストローク方向」のデータを生成する。認証部１８では、方向セレクタ１８１がストローク方向でストロークデータを、ストローク方向毎に生成された複数の分類器１８２のいずれかに振り分けて出力し、その出力を受けた分類器１８２の一つがが本人であるかを判定する。例えば、ストローク方向が「上」のストロークデータは、予め「上」のストローク方向のデータで訓練された分類器が適用されることになる。ストローク方向の区分は、分類器１８２の生成時と同じである。また、分類器１８２による判定、多数決投票モデル１８３による投票、決選投票モデル１８４による投票の３回の判定によって最終的な認証結果を出力する。

決選投票モデル１８４による決選投票の結果、所有者以外の使用が疑われる場合は３回目の「標準的な認証による追加のアクティブ認証」へと移行し、３回目の認証結果を用いて分類器１８２を更新する。このとき、分類器１８２の更新結果を直ちに認証結果へ反映するために、ストロークバッファ中の全ストロークについて分類器１８２の更新後に再判定を行う。

図２は、実施例１の認証が実行される端末１０のハードウェア構成を示すブロック図である。

端末１０は、プロセッサ（ＣＰＵ）１１、メモリ１２、記憶装置１３、入出力部１４及び通信部１５を有するスマートフォンやタブレット端末などの通信端末である。

プロセッサ１１は、メモリ１２に格納されたプログラム（演算処理）を実行する演算装置である。プロセッサ１１が、各種プログラムを実行することによって、端末１０の各種機能が実現される。なお、プロセッサ１１がプログラムを実行して行う処理の一部を、他の演算装置（例えば、ＦＰＧＡやＡＳＩＣなどのハードウェアによる演算装置）で実行してもよい。

プロセッサ１１では、オペレーティングシステム（ＯＳ）１６、アプリケーションプログラム１７、認証部１８及び訓練部１９が動作する。これらの機能は、プロセッサ１１が実行するプログラムによって実現される。オペレーティングシステム１６は、ファイルの入出力など端末１０の基本的な機能を提供する。アプリケーションプログラム１７は、ウェブブラウザ、メールなど特定の機能をユーザに提供する。図示していないが、特徴抽出部１８０及び特徴抽出部１９０の機能も同様に提供され、必要な前処理を実行する。認証部１８は、入出力部１４に入力されたストロークデータを取得し、前述した第１段階のアクティブ認証、第３段階のアクティブ認証、及び第２段階のストロークデータを用いたパッシブ認証を行う。訓練部１９は、認証部１８によるパッシブ認証のための分類器１８２の訓練を行う。認証部１８及び訓練部１９は、アプリケーションプログラム１７に内蔵されるとよいが、アプリケーションプログラム１７とは別に設けられてもよく、オペレーティングシステム１６に内蔵されてもよい。

メモリ１２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Dynamic Random Access Memory）のような高速かつ揮発性の記憶素子であり、プロセッサ１１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

記憶装置１３は、例えば、フラッシュメモリ（ＳＳＤ）、磁気記憶装置（ＨＤＤ）等の大容量かつ不揮発性の記憶装置である。また、記憶装置１３は、プロセッサ１１がプログラムの実行時に使用するデータ、及びプロセッサ１１が実行するプログラムを格納する。すなわち、プログラムは、記憶装置１３から読み出されて、メモリ１２にロードされて、プロセッサ１１によって実行されることによって、端末１０の機能を実現する。

入出力部１４は、タッチパネルなどの入力装置と、液晶表示パネルなどの出力装置で構成されるインターフェースである。入力装置は、ユーザからの入力を受ける装置であり、本実施例ではユーザの指や手の動きによるストロークデータを取得する。取得されるストロークデータは操作面の座標の時系列データで表される。なお、入力装置は、端末１０に実装されたカメラでもよい。例えば、端末１０であるデジタルサイネージ端末の前にいるユーザの動作をカメラで撮影して手や体の一部の動きを示すストロークデータを取得してもよい。出力装置は、ディスプレイ装置であり、プログラムの実行結果をユーザが視認可能な形式で出力する。

通信部１５は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。

プロセッサ１１が実行するプログラムは、ネットワーク又はリムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）を介して端末１０に提供され、非一時的記憶媒体である不揮発性の記憶装置１３に格納される。このため、端末１０は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

図３は、実施例１の認証における投票モデルを示す図である。

本実施例のパッシブ認証における投票モデルは、図３に示すように、分類器１８２による判定、多数決投票モデル１８３における投票、決選投票モデル１８４における投票の３回の判定によって最終的な認証結果を出力する。

分類器１８２は、ユーザの操作によって生じたストロークデータから特徴抽出部１８０が生成した入力ベクトルを用いて、該ストロークデータが本人のものである確率を算出し、算出された確率を所定の閾値で判定して、本人であるか偽者であるかの２値の判定結果を出力する。ストロークデータから生成される入力ベクトルは、ストロークデータから抽出された特徴量を要素とする多次元ベクトルであり、ストロークデータから抽出される。入力ベクトルの要素となる特徴量は、図４にいつかを例示するが、例えば以下のものを使用できる。
ストローク開始時のＸＹ座標 startX, startY
ストローク終了時のＸＹ座標 stopX, stopY
ストロークの２０％、５０％、８０％地点におけるＸＹ座標 （x20, y20）（x50, y50）（x80, y80）
ストローク開始時の圧力 startPressure
ストローク終了時の圧力 stopPressure
ストロークの中間地点における圧力 midPressure
ストローク中の最大圧力 maxPressure
ストローク中の平均圧力 averagePressure
ストローク中の平均速度（ピクセル／秒） averageVelocity
ストロークの２０％、５０％、８０％地点におけるストローク速度（ピクセル／秒） vel20, vel50, vel80
ストロークにかかった時間（秒） strokeDuration
ストローク間隔時間（秒） interStrokeTime
ストロークの開始地点と終了地点のユークリッド距離（ピクセル） lengthEE
ストロークの開始地点と終了地点がなす角度（度）angleEE
ストローク軌跡の長さ（ピクセル） lengthTrj
lengthEEとlengthTrjの比 ｒatioTrj2EE = lengthTrj / lengthEE
ストロークの方向（上方向／下方向の２値） direction

多数決投票モデル１８３は、含めうる判定結果の数であるサイズが奇数であるウィンドウ１８５を有し、ウィンドウ１８５に含まれる分類器１８２の判定結果を用いて本人か偽者かを投票で決定する。例えば、図３に示すウィンドウ１８５ｃでは、三つが本人判定、二つが偽者判定であり、本人判定が過半数なので、多数決投票で本人であると判定される。一方、ウィンドウ１８５ｄでは、二つが本人判定、三つが偽者判定であり、偽者判定が過半数なので、多数決投票で偽者であると判定される。ウィンドウ１８５のサイズは、図３に示すように５でもよいが、奇数であれば他の数でもよい。なお、多数決投票モデル１８３による投票の判定基準は過半数でなく、予め定めた所定数（５個中の４個など）でもよい。

多数決投票モデル１８３に入力される判定結果は、複数の方向のストロークを用いた時系列の判定結果を含むので、特定の方向のストローク操作が続く場合でも、多数決投票モデル１８３による判定に遅れが生じず、高い汎用性を実現できる。例えば、下スクロールが連続する操作や、上下方向に均等に画面を遷移する操作など異なる傾向のアプリケーションでも判定タイミングが遅れることがない。

多数決投票モデル１８３では、多数決投票が行われる毎にウィンドウ１８５が一つ後の時間、すなわち一つ後のストロークに基づく判定結果にシフトして次の多数決投票を行う。すなわち、ウィンドウ１８５ａの多数決投票後、分類器１８２の最古の判定結果をウィンドウ１８５から削除し、分類器１８２の次の判定結果をウィンドウ１８５に追加して、ウィンドウ１８５ｂとなる。これによって、ウィンドウ１８５ｂ、１８５ｃで判定が行われると、三つが本人判定、二つが偽者判定であり、本人判定が過半数なので、多数決投票で本人が維持される。その後、ウィンドウ１８５ｄでは、二つが本人判定、三つが偽者判定であり、偽者判定が過半数なので、多数決投票で偽者であると判定され、判定結果が変わる。

決選投票モデル１８４は、含めうる投票結果の数であるサイズが奇数であるウィンドウ１８６を有し、ウィンドウ１８６に含まれる多数決投票モデル１８３の投票結果を用いて本人か偽者かを投票で決定して、最終的な認証結果を出力する。例えば、図３に示すウィンドウ１８６ａでは、三つが本人判定、二つが偽者判定であり、本人判定が過半数なので、決選投票で本人であると判定される。ウィンドウ１８６のサイズは、図３に示すように５でもよいが、奇数であれば他の数でもよい。決選投票モデル１８４のウィンドウ１８６のサイズは、多数決投票モデル１８３のウィンドウ１８６のサイズと同じでもよいが、異なってもよい。

決選投票モデル１８４では、決選投票が行われる毎にウィンドウ１８６が一つ後の時間、すなわち一つ後のストロークを用いた投票結果にシフトして次の決選投票を行う。ウィンドウ１８６ａの決選投票後、多数決投票モデル１８３による最古の投票結果をウィンドウ１８６から削除し、多数決投票モデル１８３による次の投票結果をウィンドウ１８６に追加して、ウィンドウ１８６ｂとなる。これによって、ウィンドウ１８６ｂで判定が行われると、二つが本人判定、三つが偽者判定となり、偽者判定が過半数なので、決選投票で偽者であると判定される。その後、ウィンドウ１８６ｃでは、一つが本人判定、四つが偽者判定となり、ウィンドウ１８６ｄ～１８６ｅでは全てが偽者判定となるので、いずれの場合でも決選投票で偽者であると判定される。なお、決選投票モデル１８４による投票の判定基準は過半数でなく、予め定めた所定数（５個中の４個など）でもよい。

本実施例では、多数決投票モデル１８３と決選投票モデル１８４の２回の投票で本人か偽者かを決定したが、決選投票モデル１８４による投票を行わず、多数決投票モデル１８３による１回の投票によって本人か偽者かを決定してもよい。

なお、分類器１８２、多数決投票モデル１８３及び決選投票モデル１８４は別個に動作し、分類器１８２による判定、多数決投票モデル１８３における投票、決選投票モデル１８４における投票はそれぞれのタイミングで実行され、分類器１８２による判定結果及び多数決投票モデル１８３における投票結果はバッファに格納され、次の判定に使用される。

図５は、実施例１の訓練処理のフローチャートである。

訓練処理を開始すると、訓練部１９は、分類器１８２が生成されているかを判定する（１００）。分類器１８２が生成済みであれば、分類器１８２を新たに生成する必要がないので、以後の処理を実行せずに訓練処理を終了する。一方、分類器１８２が生成されていなければ、新たに分類器１８２を生成する処理を開始する。

訓練時には、時系列的に複数のストロークデータが取得されて、ストロークバッファに一時的に格納される。訓練部１９は、訓練用ストロークデータ１５１として提供されるストロークデータをストロークバッファから一つ取得し（１０１）、取得したストロークデータを訓練用データセットに格納し（１０２）、訓練用データセットの要素数が所定数以上であるかを判定する（１０３）。訓練用データ数の閾値は、後述する方向別に定めるとよい。さらに、当該方向毎の閾値は同じとして、方向毎の訓練用ストロークデータ１５１を同量とするとよい。

訓練用データセットの要素数が所定数より小さければ、ステップ１０１に戻り、さらにストロークデータを取得して、訓練用ストロークデータ１５１の数を増やす。一方、訓練用データセットの要素数が所定数以上であれば、訓練用のストロークデータが十分に収集されているので、訓練用データセットを用いてストローク方向別に分類器１８２を生成する（１０４）。具体的には、訓練用データセットに他人のストロークデータを加え、特徴抽出部１９０が訓練用データセットに含まれる訓練用ストロークデータ１５１からストロークデータの特徴量を抽出し、方向セレクタ１９１が訓練用データセット含まれるストロークデータを予め定められた方向別に分けて、方向別訓練用データを生成して、方向別の分類器１８２を生成する。

次に、図６から図９を参照して、実施例１の認証処理を説明する。

分類器１８２の生成後、端末１０におけるパッシブ認証が使用可能となる。

図６は、実施例１の認証処理の全体のフローチャートである。認証処理を開始すると、認証部１８は、生体認証（指紋認証、顔認証など）、パスコード認証などの標準認証による第１段階の認証を求めて、本人であるかを判定する（１１０）。標準認証によって本人であると判定された場合、アプリケーションプログラム１７の起動を許可し、アプリケーションプログラム１７の起動中におけるパッシブ認証処理（第２段階の認証）を開始する。

パッシブ認証処理において、認証部１８は、分類器１８２による本人判定処理（１１１）、多数決投票モデル１８３における多数決投票処理（１１２）、決選投票モデル１８４における決選投票処理（１１３）を実行する。各処理の詳細は図７から図９を参照して後述する。

決選投票処理（１１３）の後、認証部１８は、決選投票の結果が本人であるかを判定する（１１４）。決選投票の結果が本人である場合、認証部１８は、ストロークバッファの先頭に格納されているストロークデータを削除し（１２０）、アプリケーションプログラム１７が動作中であるかを判定する（１２１）。アプリケーションプログラム１７が動作中であれば、ステップ１１１に戻り、さらに認証処理を続ける。一方、アプリケーションプログラム１７が動作中でなければ、この認証処理を終了する。

ステップ１１４における決選投票の結果が本人でない場合、認証部１８は、生体認証（指紋認証、顔認証など）、パスコード認証などの標準認証による追加の認証（第３段階の認証）を求めて、本人であるかを判定する（１１５）。

追加の認証によって本人でないと判定された場合（ステップ１１６でＮＯ）、認証部１８は、端末１０の現在の操作者が本人でない可能性が高いので、アプリケーションプログラム１７の動作を停止し、この認証処理を終了する。

一方、追加の認証によって本人であると判定された場合（ステップ１１６でＹＥＳ）、認証部１８は、ストロークバッファ中の全ストロークデータを本人データとして分類器１８２を再学習する（１１７）。そして、再学習した分類器１８２が、ストロークバッファの全ストロークデータを再判定し、再判定の結果を用いて、多数決投票と決選投票を行って、決選投票の結果を更新する（１１８）。その後、認証部１８は、ストロークバッファの先頭に格納されているストロークデータを削除する（１１９）。その後、本人判定処理（１１１）に戻って、継続してパッシブ認証処理を行う。

図７は、実施例１の分類器１８２による本人判定処理（１１１）のフローチャートである。本人判定処理において、認証部１８は、認証用ストロークデータ１５２として使用する最新のストロークデータを一つ取得し（１３０）、取得したストロークデータをストロークバッファに格納する（１３１）。取得するストロークデータは画面上の特定の操作時（例えば上下スクロール時）に限定してもよい。

その後、特徴抽出部１８０は、ストロークバッファに格納された認証用ストロークデータ１５２からストロークデータの特徴量を抽出する。そして、方向セレクタ１８１は、タッチストロークのストローク方向を抽出し、ストローク方向に対応する分類器１８２にストロークデータの特徴量を入力する（１３２）。

ストローク方向に対応する分類器１８２は、ストロークの特徴量を用いて、本人のストロークであるかを判定し（１３３）、判定結果を出力する（１３４）。

図８は、実施例１の多数決投票モデル１８３における多数決投票処理（１１２）のフローチャートである。多数決投票モデル１８３は、分類器１８２の判定結果を多数決投票キューの末尾に格納し（１４０）、多数決キューに格納された判定結果の数がウィンドウ１８５のサイズ以上であるかを判定する（１４１）。判定の結果、多数決キューに格納された判定結果の数がウィンドウ１８５のサイズより小さければ、多数決による正確な判定が困難なので、ステップ１４０に戻り、さらに分類器１８１の判定結果を取得する。一方、多数決キューに格納された判定結果の数がウィンドウ１８５のサイズ以上であれば、多数決投票モデル１８３は、多数決投票キューに含まれる判定結果で多数決投票を行う（１４２）。

次に、多数決投票モデル１８３は、多数決投票キューの先頭に格納されている分類器１８２の判定結果をウィンドウ１８５から削除し、分類器１８２の次の判定結果をウィンドウ１８５に追加する（１４３）。すなわち、多数決投票が行われる毎にウィンドウ１８５は一つ後の時間（すなわち一つ後の判定結果）にシフトして次の多数決投票を行う。その後、多数決投票モデル１８３は、多数決投票の結果を出力する（１４４）。

図９は、実施例１の決選投票モデル１８４における決選投票処理（１１３）のフローチャートである。決選投票モデル１８４は、多数決投票の投票結果を決選投票キューの末尾に格納し（１５０）、決選投票キューに格納された投票結果の数がウィンドウ１８６のサイズ以上であるかを判定する（１５１）。判定の結果、決選投票キューに格納された投票結果の数がウィンドウ１８６のサイズより小さければ、決選投票による判定が不可能なので、ステップ１５０に戻り、さらに多数決投票モデル１８３による多数決投票を取得する。一方、決選投票キューに格納された投票結果の数がウィンドウ１８６のサイズ以上であれば、決選投票モデル１８４は、決選投票キューに含まれる投票結果を多数決により決選投票を行う（１５２）。例えば、図３に示すウィンドウ１８６ａでは本人判定が３で偽者判定が２であり、本人判定が過半数なので、決選投票で本人であると判定される。

次に、決選投票モデル１８４は、決選投票キューの先頭に格納されている多数決投票モデル１８３における投票結果をウィンドウ１８６から削除し、多数決投票モデル１８３における次の投票結果をウィンドウ１８６に追加する（１５３）。すなわち、決選投票が行われる毎にウィンドウ１８６は一つ後の時間（すなわち一つ後の多数決投票結果）にシフトして次の決選投票を行う。その後、決選投票モデル１８４は、決選投票の結果を出力する（１５４）。

なお、本実施例の多数決投票モデル１８３や決選投票モデル１８４で用いるウィンドウ１８５のサイズは、１３以上とするのが好適である。

なお、本実施例の多数決投票モデル１８３、決選投票モデル１８４では「過半数」を判定閾値とした例を示したが、個別のストローク毎の識別率、バッファのサイズ等により、「予め定めた所定数以上の場合に本人と識別する」ように構成しても構わない。例えば、ウィンドウサイズが１３である場合、投票の判定閾値を過半数の７より多い８とすることによって、本人判定の確実性を向上できる。

以上に説明したように、本発明の実施例の認証システムによると、ストローク方向別に分類器１８２を設け、ストローク方向別に識別させることによって、認証精度を向上できる。また、本人のストロークの真似は困難であり、第三者による覗き見や不正使用にも対応可能な認証システムを構築できる。さらに、第三者によって本人の操作を模倣したタッチストロークを検出可能な頑健な認証システムを構築できる。また、連続した所定数のストローク毎の判定結果を用いた多数決投票によって本人であるかを判定することによって、さらに精度を高めることができる。また、この所定数は方向にかかわりなくカウントされるので、特定の方向のストローク操作が続く場合など、アプリケーションで傾向によらず、判定に遅れが生じず、高い汎用性を実現できる。例えば、下スクロールが連続する操作や、上下方向に均等に画面を遷移する操作など異なる傾向のアプリケーションでも判定タイミングが遅くならない汎用性を有する。また、訓練データに本人のストロークを模倣したストロークデータを採用することによって、さらに精度を高められる。

また、本願発明者が行った実験によると、ストローク方向を上下の２方向に分けると、実験１ではＥＥＲが０．５４から０．０３に改善し、実験２ではＥＥＲが０．３２から０．００（検出不能）まで改善した。各実験の条件は以下の通りである。
・実験１
訓練データ数（本人） ：８０００
訓練データ数（他人） ：８０００
テストデータ数（本人）：８００
テストデータ数（他人）：８００
・実験２
訓練データ数（本人） ：８０００
訓練データ数（他人） ：４０００（他人の操作）＋４０００（本人を模倣した操作）
テストデータ数（本人）：８００
テストデータ数（他人）：８００

＜実施例２＞
次に、本発明の実施例２の認証システムについて説明する。実施例２の認証システムでは、端末１０が取得したストロークデータを計算機３０が収集して、偽者データとして端末１０に配布する。なお、実施例２において、実施例１と同じ構成及び機能には同じ符号を付し、それらの説明は省略する。

図１０は、実施例２の認証システムの構成を示すブロック図である。

実施例２の認証システムは、端末１０と計算機３０で構成され、端末１０と計算機３０はネットワーク５０で接続される。端末１０の構成は前述した実施例１と同じであるが、収集したストロークデータを計算機３０に送信する機能が追加される。

計算機３０は、プロセッサ（ＣＰＵ）３１、メモリ３２、記憶装置３３、入出力部３４及び通信部３５を有するサーバやパーソナルコンピュータなどの計算機である。

プロセッサ３１は、メモリ１２に格納されたプログラム（演算処理）を実行する演算装置である。プロセッサ３１が、各種プログラムを実行することによって、計算機３０の各種機能が実現される。なお、プロセッサ３１がプログラムを実行して行う処理の一部を、他の演算装置（例えば、ＦＰＧＡやＡＳＩＣなどのハードウェアによる演算装置）で実行してもよい。

プロセッサ３１では、オペレーティングシステム（ＯＳ）３６、データ収集部４０が動作する。これらの機能は、プロセッサ３１が実行するプログラムによって実現される。オペレーティングシステム３６は、ファイルの入出力など計算機３０の基本的な機能を提供する。データ収集部４０は、端末１０に入力されたストロークデータを収集し、訓練用の偽者データを生成する。データ収集部４０が収集した訓練用の偽者データは、端末１０に提供され、分類器１８２の生成に使用される。

メモリ３２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Dynamic Random Access Memory）のような高速かつ揮発性の記憶素子であり、プロセッサ１１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

記憶装置３３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置である。また、記憶装置３３は、プロセッサ３１がプログラムの実行時に使用するデータ、及びプロセッサ３１が実行するプログラムを格納する。すなわち、プログラムは、記憶装置３３から読み出されて、メモリ３２にロードされて、プロセッサ３１によって実行されることによって、計算機３０の機能を実現する。

入出力部３４は、ユーザからの入力を受けるキーボードやマウスなどの入力装置と、プログラムの実行結果をユーザが視認可能な形式で出力するディスプレイ装置やプリンタなどの出力装置とで構成される。なお、計算機３０にネットワーク５０を介して接続された端末が入出力部３４を提供してもよい。

通信部３５は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。

プロセッサ３１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワークを介して計算機３０に提供され、非一時的記憶媒体である不揮発性の記憶装置３３に格納される。このため、計算機３０は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

計算機３０は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、複数の物理的計算機資源上に構築された仮想計算機上で動作するものでもよい。

ネットワーク５０は、有線ネットワーク及び無線ネットワークのいずれでもよく、有線ネットワーク及び無線ネットワークの両方によって構成されてもよい。

実施例２の認証システムでは、計算機３０が複数の端末１０から収集したストロークデータを訓練用の偽者データとして使用するので、本人拒否率と他人受入率をより低減でき、等価エラー率をより低減できる。

＜実施例３＞
次に、本発明の実施例３の認証システムについて説明する。実施例１の認証システムは、端末１０が単独で動作するものであるが、実施例３の認証システムでは、端末１０が取得したストロークデータを用いて計算機３０が認証処理を実行する。なお、実施例３において、実施例１又は２と同じ構成及び機能には同じ符号を付し、それらの説明は省略する。

図１１は、実施例３の認証システムの構成を示すブロック図である。

実施例３の認証システムは、端末１０と計算機３０で構成され、端末１０と計算機３０はネットワーク５０で接続される。

端末１０は、プロセッサ（ＣＰＵ）１１、メモリ１２、記憶装置１３、入出力部１４及び通信部１５を有するスマートフォンやタブレット端末などの通信端末である。プロセッサ１１、メモリ１２、記憶装置１３、入出力部１４及び通信部１５の機能は、前述した実施例１と同じである。

プロセッサ１１では、オペレーティングシステム（ＯＳ）１６、アプリケーションプログラム１７及びストローク取得部２０が動作する。これらの機能は、プロセッサ１１が実行するプログラムによって実現される。ストローク取得部２０は、入出力部１４に入力されたストロークデータを取得し、計算機３０に送信する。計算機３０に送信されるストロークデータは、入出力部１４に入力されたストロークデータそのままでも、ストロークデータから抽出された特徴量のデータでもよい。ストロークデータから抽出された特徴量のデータを計算機３０に送信することによって、端末１０から計算機３０へ送信されるデータ量を低減でき、認証のレスポンスを高速化できる。ストローク取得部２０は、アプリケーションプログラム１７に内蔵されるとよいが、アプリケーションプログラム１７とは別に設けられてもよく、オペレーティングシステム１６に内蔵されてもよい。

計算機３０は、プロセッサ（ＣＰＵ）３１、メモリ３２、記憶装置３３、入出力部３４及び通信部３５を有するサーバやパーソナルコンピュータなどの計算機である。プロセッサ３１、メモリ３２、記憶装置３３、入出力部３４及び通信部３５の機能は、前述した実施例２と同じである。

プロセッサ３１では、オペレーティングシステム（ＯＳ）３６、認証部３８、訓練部３９及びデータ収集部４０が動作する。これらの機能は、プロセッサ３１が実行するプログラムによって実現される。オペレーティングシステム３６は、ファイルの入出力など計算機３０の基本的な機能を提供する。認証部３８は、前述した第１段階のアクティブ認証、第３段階のアクティブ認証、及び第２段階のストロークデータを用いたパッシブ認証を行う。具体的には、端末１０（ストローク取得部２０）から送信されたストロークデータ又はストロークの特徴量データを分類器１８２に入力して、当該ストロークが本人の操作に起因するかを判定し、判定結果を端末１０に送信する。データ収集部４０は、端末１０に入力されたストロークデータを収集し、訓練用の偽者データを生成する。訓練部３９は、データ収集部４０が収集した訓練用データを用いて、認証部３８によるパッシブ認証のための分類器１８２の訓練を行う。

実施例３の認証システムでは、認証処理を端末１０で行わないので、処理能力が低い端末１０でも本発明の認証処理が可能となる。なお、本実施例で詳説したストローク取得部２０のプログラムは、前述した実施例１、２（図２、図１０に示す端末１０）でも実装されている（図省略）。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

１０ 端末
１１、３１ プロセッサ
１２、３２ メモリ
１３、３３ 記憶装置
１４、３４ 入出力部
１５、３５ 通信部
１６、３６ オペレーティングシステム
１７ アプリケーションプログラム
１８、３８ 認証部
１９、３９ 訓練部
２０ ストローク取得部
３０ 計算機
４０ データ収集部
５０ ネットワーク
１５１ 訓練用ストロークデータ
１５２ 認証用ストロークデータ
１８０、１９０ 特徴抽出部
１８１、１９１ 方向セレクタ
１８２ 分類器
１８３ 多数決投票モデル
１８４ 決選投票モデル
１８５、１８６ ウィンドウ

Claims (6)

1. ユーザの動作を用いて認証を行う認証システムであって、
   所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能なメモリと、ユーザの動作を取得する入力部とを備え、
   前記入力部が取得したユーザの動きから、少なくとも動きの起点及び終点の情報を含むタッチストローク情報を抽出する特徴抽出部と、
   前記抽出された起点及び終点の情報に基づいて、動きの方向を少なくとも二つの所定の方向に分ける選択器と、
   前記少なくとも二つの方向に対応して設けられ、第１の操作者の動作及び他の操作者の動作を学習し、前記取得した動作にかかるユーザが前記第１の操作者であるかを識別する分類器とを有することを特徴とする認証システム。
2. 請求項１に記載の認証システムであって、
   前記分類器は、他の操作者が前記第１の操作者の動作を模倣した動作を含む訓練データで学習したものであることを特徴とする認証システム。
3. 請求項１に記載の認証システムであって、
   前記分類器の識別結果を用いて認証の成否を判定する多数決部を有し、
   前記多数決部は、
   前記分類器の識別結果を時系列で複数個格納する第１のウィンドウバッファを有し、
   前記第１のウィンドウバッファに格納された判定結果のうち所定数以上が第１の操作者である場合に、認証成功の投票結果を出力することを特徴とする認証システム。
4. 請求項３に記載の認証システムであって、
   前記多数決部の投票結果を用いて認証の成否を判定する決選投票部を有し、
   前記決選投票部は、
   前記多数決部の投票結果を時系列で複数個格納する第２のウィンドウバッファを有し、
   前記第２のウィンドウバッファに格納された投票結果ののうち所定数以上が第１の操作者である場合に、認証成功の投票結果を出力することを特徴とする認証システム。
5. 認証システムがユーザの動作を用いて認証を行うための認証プログラムであって、
   前記認証システムは、所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能なメモリと、ユーザの動作を取得する入力部とを有し、
   前記入力部が取得したユーザの動きから、少なくとも動きの起点及び終点の情報を含むタッチストローク情報を抽出する特徴抽出手順と、
   前記抽出された起点及び終点の情報に基づいて、動きの方向を少なくとも二つの所定の方向に分ける選択手順と、
   前記少なくとも二つの方向に対応して設けられ、第１の操作者の動作及び他の操作者の動作を学習し、前記取得した動作にかかるユーザが前記第１の操作者であるかを識別する分類手順とを前記演算装置に実行させるための認証プログラム。
6. 認証システムがユーザの動作を用いて認証を行う認証方法であって、
   ユーザの動作を用いて認証を行う認証システムであって、
   前記認証システムは、所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能なメモリと、ユーザの動作を取得する入力部とを有し、
   前記認証方法は、
   前記入力部が取得したユーザの動きから、少なくとも動きの起点及び終点の情報を含むタッチストローク情報を抽出する特徴抽出手順と、
   前記抽出された起点及び終点の情報に基づいて、動きの方向を少なくとも二つの所定の方向に分ける選択手順と、
   前記少なくとも二つの方向に対応して設けられ、第１の操作者の動作及び他の操作者の動作を学習し、前記取得した動作にかかるユーザが前記第１の操作者であるかを識別する分類手順とを含むことを特徴とする認証方法。

Images