WO2024252497A1

WO2024252497A1 - 本人性スコア算出装置、本人性認証方法、本人性認証システム、および、プログラム

Info

Publication number: WO2024252497A1
Application number: PCT/JP2023/020879
Authority: WO
Inventors: 芳彦大森
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: NTT Inc
Priority date: 2023-06-05
Filing date: 2023-06-05
Publication date: 2024-12-12
Anticipated expiration: 2025-12-05
Also published as: JPWO2024252497A1

Abstract

本人性スコア算出装置（１０）は、認証装置（２０）から通常認証および高度認証の認証結果を収集する認証結果収集部（１１１）と、ユーザの振る舞い情報を収集する振る舞い情報収集部（１１２）と、通常認証に加えて高度認証を実行すると判定したユーザについて、振る舞い情報に基づき高度認証手法を決定する高度認証制御部（１１４）と、過去の高度認証の結果が失敗であるユーザを抽出して高度認証を実行させ、認証成功の場合に、今回と過去の振る舞い情報を比較してユーザの同一性を推定する高度認証結果評価部（１１５）と、認証結果情報を用いて本人性の確率を算出する確率算出部（１１７）とを備える。

Description

本人性スコア算出装置、本人性認証方法、本人性認証システム、および、プログラム

　本発明は、Ｗｅｂサービスやオンラインシステムのアカウントにアクセスするユーザが正規のユーザであるかを定量的に推定する、本人性スコア算出装置、本人性認証方法、本人性認証システム、および、プログラムに関する。

　ユーザにとって、便利なログイン手法として、シングルサインオン（ＳＳＯ：Single Sign On）システムが知られている。シングルサインオンとは、１度のユーザ認証によって複数のシステム（Ｗｅｂサービスや社内システム、クラウドサービス等）の利用が可能となる仕組みを意味する。

　例えば、図３９に示すような非特許文献１に記載のシングルサインオンシステム１ａでは、ユーザの振る舞いに関する情報を収集して、本人性スコア算出機能（図３９の本人性スコア算出装置１０ａ）において、ユーザの本人性のスコアを算出する。ユーザの振る舞いに関する情報としては、ユーザのアカウントへのアクセス時刻、利用している端末やデバイス、アクセス時の位置情報などがある。
　また、シングルサインオンシステム１ａの認証機能（図３９の認証装置２０ａ）が、本人性スコア算出装置１０ａが算出した、ユーザの本人性のスコアに基づいて、本人性の低い（スコアの高い）ユーザに対しては、２段階認証などの厳格な認証を行ってから、アカウントへのアクセスを許可する。
　なお、本明細書において「本人性」とは、アカウントにアクセスしてくるユーザが、そのアカウントに紐づく真のユーザ（本人）であることの信頼性を意味する。

　図３９で示すシングルサインオンシステム１ａにおける本人認証の処理の流れについて説明する。なお、ここでは、シングルサインオン（以下、「ＳＳＯ」と記載することがある。各図も同様。）を利用するシステムとして、Ｗｅｂサーバ５１、社内システム５２、クラウドサービス５３等をユーザが利用する環境において、Ｗｅｂサーバ５１に対しアクセスする例として説明する。

　（ステップＳ１）まず、ユーザはユーザ端末３を用いてＷｅｂサービスを利用するために、Ｗｅｂサーバ５１にアクセスしてログイン要求する。
　（ステップＳ２）Ｗｅｂサーバ５１は、ユーザを認証するために、ユーザ端末３を経由して、シングルサインオンシステム１ａにリダイレクトする。

　（ステップＳ３）シングルサインオンシステム１ａの認証装置２０ａは、ユーザ端末３から、ユーザの振る舞い情報として、位置情報、端末種別（デバイス情報）を取得する。
　（ステップＳ４）認証装置２０ａは、位置情報、端末種別（デバイス情報）を、アクセス時刻とともに、本人性スコア算出装置１０ａに送信する。

　（ステップＳ５）本人性スコア算出装置１０ａは、認証装置２０ａから取得した、位置情報、端末種別（デバイス情報）、アクセス時刻を、ユーザ振る舞い情報テーブルに格納する。そして、本人性スコア算出装置１０ａは、位置情報、端末種別（デバイス情報）、アクセス時刻ごとの過去のアクセス時の情報との差分に基づいてスコアを算出し記録する。

　この本人性スコア算出装置１０ａが算出するユーザの本人性のスコアは、ユーザの振る舞い情報の項目ごとに、取得したユーザ振る舞い情報に基づきアカウントにアクセスしようとしているユーザがアカウントの所有者であるかを推定し、数値で評価するものである。そして、本人性のスコアの算出では、過去のアクセス時の情報との差分が大きいほど、スコアが大きい値とする。例えば、位置情報では、いつもと異なるエリアからの接続ほどスコアの値を大きくする。端末種別（デバイス情報）では、いつもと異なるデバイスでの接続ほど、スコアの値を大きくする。アクセス時刻では、いつもと異なる時刻にアクセスした場合ほど、スコアの値を大きくする。本人性スコア算出装置１０ａは、図４０で示すように、ユーザの振る舞い情報の項目ごとに評価した数値を合算した値を、ユーザの本人性のスコアとして算出し記憶する。

　（ステップＳ６）本人性スコア算出装置１０ａは、算出したユーザの本人性のスコアを、認証装置２０ａに送信する。
　（ステップＳ７）認証装置２０ａは、本人性のスコアが、予め設定された閾値を超えている場合には、２段階認証を実行してユーザを認証する。また、閾値を超えていない場合、認証装置２０ａは、デフォルトの認証手法によりユーザを認証する。
　このようにして、シングルサインオンシステム１ａにより、本人性のスコアを用いて本人認証を行うことができる。

　一方、アカウントにアクセスするユーザの本人性に関する技術として、非特許文献２に記載の技術が知られている。
　非特許文献２に記載の技術では、ＩＣＳ（Industrial Control Systems）に特徴的な高セキュリティなインシデント予測を行うために、マルチレベルベイズネットワークを構築して、インシデントの発生確率（攻撃が起こる確率：本人でない確率）を予測する。そして、マルチレベルベイズネットワークと、マルチモデルを組み合わせて、そのインシデントによりもたらされる影響（被害）の量を評価する。非特許文献２に記載の技術では、ネットワークに攻撃をもたらすリスクを、インシデントの発生確率と、もたらされる影響の量とに基づき評価する。

　また、非特許文献３に記載の技術には、Ｗｅｂサービスなどのアカウントにアクセスするユーザのうち本人である割合を推定して本人性スコアを算出し、認証する技術が記載されている。非本人の割合を推定するための認証を併用することで、非本人の認証成功をほぼ抑止できる。

"SmartFactor Authentication,"OneLogin, ［online］,［令和5年5月15日検索］、インターネット＜ＵＲＬ：https://www.onelogin.com/product/smartfactor-authentication＞ Q. Zhang, et.al.,"Multimodel-Based Incident Prediction and Risk Assessment in Dynamic Cybersecurity Protection for Industrial Control Systems,"IEEE Transactions on Systems, Man, and Cybernetics: Systems, vol. 46, no. 10, pp. 1429-1444, 2016. 大森芳彦, 山下高生, "アカウントにアクセスするユーザ群の信頼性確定技術に関する検討," マルチメディア，分散，協調とモバイルシンポジウム, 令和4年7月

　しかしながら、非特許文献１および非特許文献２に記載の技術では、個々のユーザの本人性のスコアを数値化（スコア化）しているので、ネットワークやサーバの運用状態（例えば、ネットワークやサーバへの攻撃と思われるトラヒック量の変化）に基づいてセキュリティと利便性を最適化した認証を行うことは困難である（課題Ａ）。

　また、非特許文献１に記載の技術では、ユーザの本人性のスコアが、製品ごとに独自の基準でスコア化したものであるため、アカウントの保守者は、本人ではないユーザ（アカウントの所有者ではない、なりすまし等）がもたらす脅威が発生したときの影響評価と対応判断に、製品ごとに異なるノウハウの習得が必要になる（課題Ｂ）。さらに、独自の基準でユーザの本人性を数値化しているため、複数の製品の各数値を統合して本人性を評価することが難しい（課題Ｃ）。

　一方、非特許文献２に記載の技術では、保守者の高度な知識に基づいて、ユーザの振る舞いに関するパラメータや状態遷移確率が抽出されていることが前提であり、攻撃が起こる確率（本人でない確率）や、インシデントが他のインシデントをもたらす確率などが、既知でないと、ユーザの本人性を確率で数値化できない（課題Ｄ）。

　さらに、非特許文献３に記載の技術では、ユーザの本人性のスコアの算出において、本人の割合の推定値が、どの程度の確からしさなのかが分からない課題がある（課題Ｅ）。そして、本人の割合が動的に変化する運用環境では、標本数の最適な制御ができないことが考えられる。

　また、非特許文献３に記載の技術では、ユーザの振る舞いを観察して、本人であれば認証成功する可能性の高い認証手段（高度認証）を選択して、本人認証を行っている。この高度認証では、本人でないヒト（非本人）が認証成功することを抑止できる一方で、ユーザの利用環境によっては、本人であっても認証失敗する場合（以下、「false negative」と称する。）がある。False negative が増えると、本人の割合の推定値の精度が低下してまう（課題Ｆ）。

　このような点に鑑みて本発明がなされたのであり、本発明は、ユーザの本人性のスコアの算出において、本人が認証を失敗する場合（false negative）に該当するユーザを定量的に可視化することを課題とする。

　本発明に係る本人性スコア算出装置は、ユーザ認証を行う認証装置に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置であって、前記認証装置が、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、前記本人性スコア算出装置が、ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境および当該ユーザ端末から得られる行動履歴を、振る舞い情報として収集する振る舞い情報収集部と、前記認証装置から、前記アカウントにアクセスしたユーザの前記通常認証および前記高度認証の成功または失敗を示す認証結果を収集し、前記アカウント毎の認証結果を認証結果情報として記憶部に格納する認証結果収集部と、所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、前記所定期間内にアカウントへアクセスしてきたユーザに対し、前記認証結果情報を参照して、過去に同一アカウントにアクセスして高度認証の結果が失敗であるユーザを抽出し、高度認証に失敗した本人であるかを評価するための高度認証を実行すると決定して前記認証装置による高度認証を行わせ、当該高度認証の認証結果が成功である場合に、今回と過去のユーザの前記振る舞い情報を比較する所定のユーザ同一性推定ロジックにより、当該アカウントへアクセスしてきた今回と過去のユーザが同一であると推定されるときに、前記アカウントにアクセスしてきた際の過去の認証結果情報を、今回成功した認証結果情報に変更する高度認証結果評価部と、前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、を備えることを特徴とする。

　本発明によれば、ユーザの本人性のスコアの算出において、本人が認証を失敗する場合（false negative）に該当するユーザを定量的に可視化することができる。

本実施形態に係る本人性認証システムの全体構成を示す図である。本実施形態に係る本人性認証システムの処理の概要を説明するための図である。本実施形態に係る本人および非本人の認証結果を説明するための図である。本実施形態に係る本人性スコア算出装置の標本比率の分布関数と区間推定を説明する図である。本実施形態に係る本人性スコア算出装置の標本比率の分布関数と区間推定を説明する図である。本実施形態に係る本人性スコア算出装置の高度認証失敗した本人の割合を０．０１～０．５まで変化させた時の補正項の値を示す図である。本実施形態に係る本人性スコア算出装置のサンプリングの割合と抽出期間の動的制御を説明する図である。高度認証において、本人が認証失敗する場合（false negative）の本人の割合の推定値を説明する図である。本実施形態に係る本人性認証システムによる、false negative評価のための高度認証を含む全体概要を説明するための図である。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定方針１を説明するための図である。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定方針２を説明するための図である。ユーザ端末の想定される利用形態を示す図である。本実施形態に係るユーザ同一性推定ロジック１を説明するための図である。本実施形態に係るユーザ同一性推定ロジック２を説明するための図である。本実施形態に係るユーザ同一性推定ロジック３を説明するための図である。本実施形態に係るユーザ同一性推定ロジック４を説明するための図である。本実施形態に係る本人性スコア算出装置の構成例を示す機能ブロック図である。本実施形態に係る認証結果ＤＢに格納される認証結果情報のデータ構成例を示す図である。本実施形態に係る振る舞い情報ＤＢに格納される振る舞い情報（ネットワークサービスの利用環境および行動履歴）を説明するための図である。本実施形態に係る振る舞い情報ＤＢに格納される振る舞い情報のうち、アクセス情報および入退室管理情報のデータ構成例を示す図である。本実施形態に係る統計情報ＤＢに格納される統計情報のデータ構成例を示す図である。本実施形態に係る認証装置の構成例を示す機能ブロック図である。本実施形態に係る認証装置による通常認証手法の選択処理を説明するための図である。本実施形態に係る本人性認証システムが実行する処理の流れを示すシーケンス図である。本実施形態に係る本人性認証システムが実行する処理の流れを示すシーケンス図である。ユーザ端末から取得したユーザ端末関連情報に基づく振る舞い情報の例と、アウトオブバンドから取得した振る舞い情報の例を示す図である。ユーザの同一性推定処理により、振る舞いが類似すると判定された場合の認証結果情報の修正を説明する図である。ユーザの同一性推定処理により、振る舞いが類似しないと判定された場合の認証結果情報を説明する図である。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定処理の流れを示すフローチャートである。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定処理の具体例を示す図である。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定処理の具体例を示す図である。本実施形態に係る本人性スコア算出装置による、ユーザの同一性推定処理の具体例を示す図である。本実施形態に係る本人性スコア算出装置による、区間推定およびサンプリング制御処理の流れを示すフローチャートである。本実施形態に係る統計情報ＤＢに格納される統計情報のデータ構成例を示す図である。本実施形態に係るサンプリング情報ＤＢに格納されるサンプリング履歴情報のデータ構成例を示す図である。本実施形態に係るサンプリング情報ＤＢに格納される点推定値の差分ごとの抽出割合と抽出期間の一覧情報のデータ構成例を示す図である。本実施形態に係るサンプリング情報ＤＢに格納される閾値情報を示す図である。本実施形態に係る本人性スコア算出装置および認証装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。従来のシングルサインオンシステムを説明するための図である。従来技術におけるユーザの本人性のスコアの算出例を説明するための図である。

　次に、本発明を実施するための形態（以下、「本実施形態」と称する。）について説明する。
　図１は、本実施形態に係る本人性認証システム１の全体構成を示す図である。
　本実施形態に係る本人性認証システム１は、認証装置２０および本人性スコア算出装置１０により構成されるシングルサインオン（ＳＳＯ）システムである。この本人性認証システム１の認証装置２０が、ユーザの認証を受け付けることにより、Ｗｅｂサービスを提供するＷｅｂサーバ５１や、社内システム５２、クラウドサービス５３等について、１度の認証によりユーザのアカウントを一元的に管理する。

　また、本人性認証システム１は、アカウントに紐づくヒトの振る舞いに関する情報を、サービス利用環境（位置情報、利用時間、回線情報、ＩＤ情報など）および行動履歴からユーザの手間をかけずに収集する。例えば、ユーザの行動履歴の情報を、外部サーバ４０（例えば、入退室管理サーバ等）から取得する。つまり、アカウントの認証チャネルとは別のチャネルの機器やシステム（アウトオブバンド）から、アカウントに紐づくヒトの振る舞いに関する情報を取得する。また、ユーザの利用端末（ネットワークキャリアが持つ情報を含む）から、端末識別子や生体認証での生体情報の登録や認証結果情報等を取得する。そして、取得したヒトの振る舞いに関する情報を、認証手法（後記する、「高度認証手法」）の選択の判断に利用する。

　さらに、本人性認証システム１は、所定期間内にアクセスしてきたユーザの中から、高度認証に失敗したアカウントにアクセスするユーザを対象にして、false negative（高度認証に失敗した本人）の評価を行うための高度認証を行う。そして、過去（前回）の高度認証に失敗したユーザと、今回の高度認証に成功したユーザの振る舞い（振る舞い情報）が類似している場合に、これらのユーザは同一の可能性が高いと推定し、過去（前回）の認証結果（認証失敗）を今回の認証結果（認証成功）に修正する。これにより、本人性認証システム１は、本人の割合の推定値の精度を向上させることができる。

＜概要および技術思想＞
　まず、本実施形態に係る本人性認証システム１の概要と、上記した課題Ａ～Ｅを解決する技術思想について説明する。
　本実施形態に係る本人性認証システム１は、上記した課題Ａを解決するため、運用中にＷｅｂサーバ５１や、社内システム５２、クラウドサービス５３等にアクセスするユーザ全体の本人性の割合の傾向を評価する。つまり、個々のユーザの本人性ではなく、ユーザ全体の本人性の割合に着目する。また、上記した課題Ｂ，Ｃを解決するため、本人性認証システム１（本人性スコア算出装置１０）は、Ｗｅｂサーバ５１や社内システム５２、クラウドサービス５３等にアクセスするユーザの本人性を、装置の独自基準によらず、客観的な数値として確率で評価することを可能にする。また、上記した課題Ｄを解決するため、本人性認証システム１（本人性スコア算出装置１０）は、Ｗｅｂサーバ５１等のアカウントに紐づくヒトの振る舞いに関する観測可能な情報を用いて、Ｗｅｂサーバ５１等にアクセスするユーザの本人性をスコアリングすることを可能にする。さらに、上記した課題Ｅを解決するため、本人の割合を推定（点推定）した処理の後に、区間推定を行い、本人推定値の確からしさを評価する。そして、運用時の本人の割合の変化に追従するために、標本（高度認証を行うユーザ）を抽出する割合と抽出期間を制御する。そして、本人性認証システム１は、ユーザ全体における本人性の確率の推定値に基づいて、最適な強度の通常認証の手法を（自動的に）選択できるようにする。

　本人性認証システム１は、上記した課題Ａ～Ｅを解決した上で、さらに課題Ｆを解決するために、高度認証に失敗したアカウントにアクセスするユーザを対象にして、false negative（高度認証に失敗した本人）の評価を行うための高度認証を行う。そして、前回の高度認証に失敗したユーザと、今回の高度認証に成功したユーザの振る舞い（振る舞い情報）が類似しているかによって、これらにユーザの同一性を推定してfalse negative（高度認証に失敗した本人）の評価を行う。
　以下、本実施形態に係る本人性認証システム１における技術思想について、詳細に説明する。

［技術思想１：非本人の割合を推定するための高度認証］
　本人性認証システム１は、認証装置２０が従来から行う通常認証と、非本人の割合を推定するための「高度認証」とを併用する。
　ここで、通常認証とは、ユーザにアカウントの利用を許可するための手続きとして標準的な認証強度の認証であり、例えば、世の中で広く用いられている、ユーザＩＤとパスワードによる認証である。
　本人性認証システム１では、通常認証の他に、ランダムにサンプリングしたユーザについて、アカウントにアクセスするユーザ群の中で本人でないユーザ（非本人）の割合を推定するためのユーザ認証（以下、「高度認証」と称する。）を行う。

　高度認証は、強度の高いユーザ認証を意味し、ユーザ本人であれば認証失敗することをほぼ抑止し（ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し）、非本人であれば認証成功することほぼ抑止する（非本人であれば認証成功することを第２の所定レベル以下に抑止する）レベルの認証を意味する。
　高度認証として、例えば、スマートカードや、ＳＭＳ（Short Message Service）認証、利用時にロック解除や回線利用などを必要とするアウトオブバンドでの認証手法であり、多要素かつ暗号学的に十分な強度を持つ認証手法を用いる。
　なお、本実施形態において、「多要素かつ暗号学的に十分な強度を持つ」という意味を、「ユーザ本人であれば認証失敗することをほぼ抑止する（ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する）」、「非本人であれば認証成功することほぼ抑止する（非本人であれば認証成功することを第２の所定レベル以下に抑止する）」と同じ意味として用いる。

［技術思想２：複数の高度認証の中からユーザ本人が認証失敗することを抑止できる高度認証を選択］
　本人性認証システム１は、高度認証の手法を複数用意しておき、アクセスするアカウントに紐づくヒトの振る舞いに関する情報に基づいて、ユーザ本人が認証失敗することを抑止できる高度認証を選択する。

　図２で示すように、本人性認証システム１では、通常認証に加えて、複数の高度認証の手法（高度認証手法「１」～「ｎ」）を備える。そして、アカウントにアクセス要求してきたユーザのうち、ランダムに選択したユーザについて、通常認証に加えて、複数の高度認証（高度認証手法「１」～「ｎ」）のうちのいずれかの高度認証を選択して行う。この高度認証手法の選択は、アクセスするアカウントに紐づくヒト（ユーザ）の振る舞いに関する情報（後記する「振る舞い情報」）に基づき行われる（図２の符号ｘ）。

　高度認証手法の選択は、例えば、以下のように行われる。
　（例１）アクセスするアカウントに紐づくヒトが、直近に、ＩＤ連携先の他のアカウントにマイナンバーカードを用いた何らかの認証を行いて成功していた場合、マイナンバーカードを用いた高度認証を選択する。
　（例２）アクセスするアカウントに紐づくヒトが、直近に、予め登録済みの携帯端末からネットワークにアクセスしていた場合、ＳＭＳを用いた高度認証を選択する。
　（例３）アクセスするアカウントに紐づくヒトが、オフィスに入室後であり、入出時にＩＣカード機能を持つ社員証（スマートカード）でドア開閉を行った場合、スマートカードを用いた高度認証を選択する。
　（例４）アクセスするアカウントに紐づくヒトが、在宅勤務を予定している場合、予め登録済みの自宅の回線ＩＤを用いた高度認証を選択する。

　このように、本人性認証システム１では、アクセスするアカウントに紐づいたヒトの振る舞い情報を記憶しておき、アクセスしてきたヒトのリアルタイムの振る舞いに基づいて、高度認証を選択する。ヒトの振る舞い情報を利用することで、本人が認証失敗することを抑止することができる。

［技術思想３：ユーザ全体における本人性の確率の推定値の算出手法］
　本人性認証システム１では、以下に示す前提を用いて、ユーザ全体における本人性の確率の推定を行う。
　（前提１）選択した高度認証手法では、本人はほぼ認証成功し（ユーザ本人であれば認証失敗することが第１の所定レベル以下であり）、非本人はほぼ認証を失敗する（非本人であれば認証成功することが第２の所定レベル以下である）。
　（前提２）非本人によるアカウントへのアクセスは、アカウントの状態（利用中かどうか、利用しているユーザの位置情報や回線種別などの環境）には関わらない。つまり、技術思想２で示した高度認証手法の選択が、非本人の割合に関して恣意的にならないものとする。
　（前提３）所定期間に認証要求してきた全ユーザ（母集団Ｎ₂）から、ランダムにサンプリングしたユーザ群（Ｎ₁）において、以下の割合は、母集団でのそれらの割合と近似できる。なお、（前提３）を実現するために（前提１）および（前提２）が必要となる。

　ここで、図３で示すように、ａ₁は、ユーザ群（Ｎ₁）において、通常認証に成功し、選択した高度認証にも成功した本人の数を示す。ｃ₁は、ユーザ群（Ｎ₁）において、通常認証に失敗し、選択した高度認証で成功した本人の数を示す。ｂ₁は、ユーザ群（Ｎ₁）において、通常認証に成功し、選択した高度認証で失敗した非本人の数を示す。ｄ₁は、ユーザ群（Ｎ₁）において、通常認証に失敗し、選択した高度認証でも失敗した非本人の数を示す。
　また、ａ₂は、母集団（Ｎ₂）において、通常認証に成功した本人の数を示す。ｃ₂は、母集団（Ｎ₂）において、通常認証に失敗した本人の数を示す。ｂ₂は、母集団（Ｎ₂）において、通常認証に成功した非本人の数を示す。ｄ₂は、母集団（Ｎ₂）において、通常認証に失敗した非本人の数を示す。

　本人性認証システム１では、選択した高度認証手法に基づき、観測可能な以下の情報を収集する（図３参照）。

　そして、本人性認証システム１は、母集団における、「非本人が通常認証に成功する割合β_２」、および、「全ユーザに対する非本人の割合γ_２」を、以下の式（１）および式（２）に基づき算出する。

　この「非本人が通常認証に成功する割合β_２」（式（１））は、全アカウントを対象にして、所定期間内にアクセスしてきた非本人のうち、通常認証に成功する割合である。これは、１アカウント当たりで非本人が乗っ取った（認証に成功した）割合を示している。
　また「全ユーザに対する非本人の割合γ_２」（式（２））は、１アカウント当たりの攻撃の割合を示している。
　この式（１）、式（２）と、上記した観測可能なＮ₂ ^(a+b)＝ａ₂＋ｂ₂ …式（３）、および、Ｎ₂ ^(c+d)＝ｃ₂＋ｄ₂ …式（４）とを用いて、連立方程式を解くことにより、ａ₂、ｂ₂、ｃ₂、ｄ₂を求めることができる。

　具体的には、本人性認証システム１は、母集団における、「通常認証に成功する本人の数ａ₂」、「通常認証に成功する非本人の数ｂ₂」、「通常認証に失敗する本人の数ｃ₂」、「通常認証に失敗する非本人の数ｄ₂」を次の式により算出する。

　そして、本人性認証システム１は、所定期間に通常認証に成功したユーザにおいては、本人である確率（Ｐ_S ^P）（式（５））を用いて本人性を推定し、本人ではない確率（Ｐ_S ⁿ）（式（６））を用いて本人性を推定する。

　また、本人性認証システム１は、所定期間に通常認証に失敗したユーザにおいては、本人である確率（Ｐ_f ^P）（式（７））を用いて本人性を推定し、本人ではない確率（Ｐ_f ⁿ）（式（８））を用いて本人性を推定する。

　本人性認証システム１は、所定期間にアクセスしてきた全ユーザにおいては、次の式（９）を用いて、本人である確率（Ｐ_t）を推定する。

　このように、本人性認証システム１では、所定期間に通常認証に成功したユーザにおいては、本人である確率（Ｐ_S ^P）を、式（５）を用いて本人性を推定することができる。
　また、本人性認証システム１では、通常認証に失敗した場合も含めた本人である確率（Ｐ_t）を、式（９）を用いて本人性を推定することができる。
　以上、本人の割合を推定（点推定）について説明した。

　ここで、本人の割合を推定（点推定）できたとしても、（ａ）本人の割合の推定値が、どの程度の確からしさなのかが分からない。また、（ｂ）本人の割合が動的に変化する運用環境では、標本数（この場合、高度認証を行うユーザ数）の最適な制御ができない、ことが着眼点として挙げられる。

　上記（ａ）については、推定値の確からしさを定量的に可視化する［本人推定値の確からしさを評価する区間推定］により対応する。

　上記（ｂ）については、本人の割合の変化に推定値が追従するために、限られた期間で標本を収集する［高度認証を行うユーザをサンプリングする処理］により対応する。このサンプリング処理は、運用時に求められる推定値の精度の範囲で、高度認証を行うユーザ数の割合を最適化するものである。高度認証を行うユーザ数の割合が多い場合、推定値の精度は高く、その割合が少ない場合、推定値の精度は低いものとなる。
　以下、［本人推定値の確からしさを評価する区間推定］および［高度認証を行うユーザをサンプリングする処理］について説明する。

［技術思想４：本人推定値の確からしさを評価する区間推定］
　本人性認証システム１は、本人の割合を推定（点推定）した処理の後に、区間推定を行う処理を行う。
　区間推定については、本人の割合を推定（点推定）する機能と連携して、本人である比率と、高度認証に成功した比率の視点を組み合わせることを特徴とする。
　区間推定により、本人推定値の確からしさを評価することができ、本人が高度認証に失敗することによる影響を考慮することができる。

　図４は、標本比率の分布関数と区間推定を説明する図である。横軸に標本比率を示し、縦軸に確率密度を示している。
　図４に示すように、標本比率（ここでは、本人の割合）の分布は、標本数（ここでは、高度認証を行うユーザ数）が大きくなると、母集団の分布に関わらず、正規分布に近似していく。図４に示す信頼区間（例えば９５％）の範囲を推定する。

　本人の割合を推定（点推定）した処理の後に、区間推定を行う処理を追加する。
　また、高度認証を行うユーザをサンプリングする処理に、本人の割合の点推定値が基準値以下の場合に、本人の割合の変化量に基準を設けて、基準に従った割合と抽出期間でサンプリングする処理（図３３）を追加する。基準値を設ける理由は、ユーザの利便性を考慮したためである。

<本人の割合を区間推定する手法の詳細>
　本人の割合を区間推定する手法の詳細について説明する。
・本人の割合ｐの区間推定式
　本人の割合ｐの区間推定式は、式（１０）で示される。

　上記式（１０）について、図５を参照して説明する。
　図５は、標本比率（ここでは、本人の割合ｐ）の分布関数と区間推定を説明する図である。横軸に標本比率を示し、縦軸に確率密度を示している。
　本人の割合ｐ、本人の割合の標本値ｐ^（「ｐハット」）とした場合、式（１０）のＰ（）内において、ｐの右辺と左辺のｐ^は、図５に示す分布関数の「信頼区間（１－α）の中心の値」である。また、式（１０）のｐの右辺と左辺における{}内は、図５に示す分布関数の「信頼区間（１－α）の幅の値」である。αは、信頼区間から外れる確率であり、正規分布の場合、α＝α／２＋α／２である。

・高度認証に失敗する本人がいない場合の、本人の割合ｐの区間推定式
　高度認証に失敗する本人がいない場合の、本人の割合ｐの区間推定式は、高度認証成功した本人の割合の標本値ｐ^_ｘとすると、式（１０）から、式（１１）で示される。

・高度認証に失敗する本人がいる場合の、本人の割合ｐの区間推定式
　本人の割合ｐの区間推定式の算出には、高度認証に成功したユーザ数だけではなく、高度認証に失敗した本人数（本人であっても高度認証には失敗する場合がある）を加算する必要がある。
　高度認証に失敗する本人がいる場合、本人の割合の標本値は、高度認証に成功したユーザ数と高度認証に失敗した本人数をカウントして、式（１２）に従って算出する。すなわち、式（１２）は、高度認証成功した本人の割合の標本値ｐ^_ｘに高度認証失敗した本人の割合の標本値ｐ^_ｙを加えた場合の式であり、具体的には、式（１１）のｐ^_ｘを（ｐ^_ｘ＋ｐ^_ｘ）に置き換えている。

・高度認証に失敗する本人がいる場合の、本人の割合ｐの区間推定式に補正項を追加した式
　式（１３）は、式（１２）の区間推定式に、補正項（図６で後述）を追加して安全側に配慮した区間推定式である。信頼区間の中心の値と、信頼区間の幅の値にそれぞれ補正項（式（１３）参照）を追加する。

　上記式（１３）が、［本人推定値の確からしさを評価する区間推定］に用いる式である。
　高度認証を行った結果（認証成功／認証失敗）を観測（標本抽出）し、式（１３）を適用して、本人の割合ｐを区間推定する。

・信頼区間の中心の値の補正項
　信頼区間の中心の値の補正項（中心値補正項）について説明する。
　(1)補正項がない場合、信頼区間の中心の値に誤差を発生させるものの、値を小さく見積もることになる。このことから、本人の割合をＮＷセキュリティ上安全側に評価することになる。

　(2)高度認証失敗した本人の割合ｐ^_ｙが小さいほど、補正項の値は小さくなる。

　(3)高度認証失敗した本人の割合ｐ^_ｙの観測が困難（認証失敗したユーザには非本人が含まれる）場合、信頼区間の中心の値の補正項については算出困難である。このため、上記(1)，(2)を踏まえて補正項は省略し、ユーザの振る舞いにもとづいて最適な高度認証を選択して、認証失敗する確率を抑止する。

・信頼区間の幅の値の補正項
　信頼区間の幅の値の補正項（幅値補正項）について説明する。
　(1)補正項（＜０）がない場合、信頼区間の幅の値に誤差を発生させるものの、値を大きく見積もる（幅を広げる）ことになる。このため、ＮＷセキュリティ上安全側に評価することになる。

　(2)高度認証失敗した本人の割合ｐ^_ｙが大きいほど、補正項の値は小さくなる（絶対値は大きくなる）が、ネットワークの実運用上の範囲で、最大で約-0.1%～-1%程度と想定できる。

　(3)高度認証失敗した本人の割合ｐ^_ｙの観測が困難（認証失敗したユーザには非本人が含まれる）場合、信頼区間の中心の幅の補正項については算出困難である。このため、上記(1)，(2)を踏まえて補正項は省略し、ユーザの振る舞いにもとづいて最適な超強力認証を選択して、認証失敗する確率を抑止する。

・信頼区間の幅の値の補正項
　信頼区間の幅の値の補正項について説明する。
　図６は、高度認証失敗した本人の割合を0.01～0.5まで変化させた時の補正項の値を示す図である。横軸に高度認証失敗した本人の割合をとり、縦軸に信頼区間（図５の分布関数の片側）の観測誤差の最大値をとる。縦軸の信頼区間の観測誤差は、補正項の値である。図６の補正項の値は、その絶対値が最大になるような条件で算出した。
　図６中の黒丸（●印）は観測点を示し、これらを結ぶ実線は、ユーザ全体における本人の割合を表わしている。全ユーザのうち、高度認証成功したユーザと認証失敗した本人の割合の合計を１とした（絶対値が最大になる条件）。認証を行ったユーザ数(認証数)n=10,000，標準正規分布での信頼区間（１－α）における確率変数の上限値T=3とした。
　信頼区間の幅の値の補正項は、図６に示す補正項の値を用いることができる。

　以上、本人の割合を推定（点推定）後に、式（１３）を適用した区間推定を連携させることにより、本人推定値の確からしさを評価することができ、本人が高度認証に失敗することによる影響を考慮することができる。

［技術思想５：高度認証を行うユーザをサンプリングする処理］
　加えて、本人性認証システム１は、本人の割合の推定値の精度を維持しつつ、運用時の本人の割合の変化に追従するために、推定値算出の即時性を担保する。そのために、本人性認証システム１は、標本（高度認証を行うユーザ）を抽出する割合と抽出期間を制御する。具体的には、本人性認証システム１は、本人の割合の推定値と前回測定時の推定値の値との差分にもとづいて、標本を抽出する割合と抽出期間を動的に設定する。推定値には、点推定値、または区間推定値（例えば、推定値の下限値）を用いる。

　図７は、サンプリングの割合と抽出期間の動的制御を説明する図である。本フィードバック制御は、図１７の本人性スコア算出装置１０の制御部１１により実行される。
　図７に示すように、本人の割合の推定値を入力し、前回測定時の推定値の値との差分をとる（ステップＳ１０１）。ステップＳ１０２では、前回測定時の推定値の値との差分を入力し、サンプリングの抽出期間を算出する。ステップＳ１０３では、算出されたサンプリングの抽出期間をもとに、サンプリングの割合を算出し、サンプリングの割合およびサンプリングの抽出期間を、本人の割合の推定値として出力する。ステップＳ１０４では、出力した本人の割合の推定値を前回の推定値として保存する。

　このように、本人性認証システム１は、高度認証を行うユーザをサンプリングする処理において、本人の割合の点推定値が基準値以下の場合に、本人の割合の変化量に基準を設けて、基準に従った割合と抽出期間でサンプリングする処理を行う。
　本人の割合の変化への追従については、点推定あるいは区間推定する機能と連携して、標本の割合と抽出期間を制御することを特徴とする。
　点推定値を用いて標本（高度認証を行うユーザ）の割合と抽出期間を制御することで、運用時の本人の割合の変化に追従することができる。

［技術思想６：false negative 評価のための高度認証］
　高度認証では、ユーザの振る舞いを観察して、本人であれば認証成功する可能性の高い高度認証手法が選択される。しかしながら、ユーザの振る舞いによっては、本人であっても、高度認証に成功できない場合も考えられる。
　例えば、高度認証に認証トークンを用いる場合において、以下のケースが考えられる。認証トークンには、専用のデバイスやスマートフォンのアプリケーションが用いられる。ユーザ（本人）が外出先でサービスを利用する際、専用のデバイスを持参していなかった場合には、高度認証に失敗する。また、スマートフォンの電波が一時的に届かなくなったり、スマートフォンのバッテリが切れた場合にも、高度認証に失敗する。
　また、高度認証にマイナンバーカード等のＩＣカードを用いる場合において、以下のケースが考えられる。ＩＣカードリーダが手元になかったり、故障したりした場合に、ＩＣカードからユーザ情報を読み取ることができず、高度認証に失敗してしまう。ＩＣカードのＰＩＮを失念した場合にも、高度認証に失敗してしまう。

　高度認証では、非本人が認証成功することとほぼ抑止できる一方で、上記の例のように、実際には、本人も認証失敗する場合（false negative）もあり、図８で示すように、本人が高度認証を失敗する場合（false negative）が増えると、本人の割合の推定値の精度が低下してしまう。

　そこで、所定期間にアクセスしてきたユーザの中から、高度認証に失敗した本人の数（false negativeのユーザ数）を推定する。
　高度認証に失敗した本人は、アカウントにログインできないため、再度ログインを試みると想定し、同じアカウントにログインを試みたユーザに対して、従来の通常認証に加えて、高度認証に失敗した本人（false negative）かどうかを評価するための高度認証を行う。そして、高度認証に成功したユーザの振る舞い（振る舞い情報）と、所定期間遡って、過去（前回）に同じアカウントにアクセスして高度認証に失敗したユーザの振る舞い（振る舞い情報）を比較し、その振る舞いが類似しているかによって、これらのユーザの同一性を推定して、false negativeの評価を行う。

　図９は、本実施形態に係る本人性認証システム１によるfalse negative評価のための高度認証を含む全体概要を説明するための図である。
　図９で示すように、ユーザがアカウントにログインを試みると、通常認証を行ったあと、サンプリングを行い、一部のユーザに対して高度認証を行う（図９の＜本人の割合推定のための認証＞）。これに加えて、本人性認証システム１では、前回高度認証に失敗したアカウントにアクセスするユーザに対しても高度認証を行う（図９の＜false negative評価のための認証＞）。
　高度認証に失敗したユーザと、高度認証に成功したユーザの同一性の推定は、以下に示す方針で行う。

（同一性推定の方針１：端末情報による推定）
　「ユーザとユーザ端末とを紐づける情報」（例えば、端末に登録される生体認証による生体情報）を高信頼で確認できる場合、過去（前回）と今回の高度認証実施時の端末が同一であれば、同一ユーザの可能性が高いと推定する。端末が同一であるかは、例えば、端末識別子、ＩＭＳＩ（International Mobile Subscription Identity：加入者識別番号）、ブラウザフィンガープリントなどで判断する。

　図１０で示すように、時刻（ｔ－α）において、ユーザとユーザ端末との紐づけが生体認証（顔認証）で行われており、時刻ｔにおけるユーザとユーザ端末との紐づけが同じく生体認証（顔認証）で行われている場合において、両時刻の端末識別子が同じであれば、同一ユーザの可能性が高いと推定する。これにより、時刻（ｔ－α）での高度認証の結果を＜失敗＞から＜成功＞に修正（変更）する。

（同一性推定の方針２：サービス環境や行動履歴による推定）
　端末情報で同一性を確認できない場合でも、「ネットワークサービスの利用環境」および「行動履歴」を含むユーザの振る舞いを補完的に用いて、ユーザの同一性を推定する。
　ネットワークサービスの利用環境は、ユーザの利用端末に関する情報や、ネットワークキャリアが備える情報を含み、例えば、アカウントへのアクセス情報や、生体認証の登録情報、基地局情報、回線番号、通知ログ等である。
　行動履歴は、ユーザの利用端末やネットワークキャリアから得られる、位置情報（ＧＰＳ）や、端末にダウンロードされたアプリケーションの利用履歴（決済情報、駅改札入退場情報、電子マネー利用情報）、アウトオブバンドにより外部装置から得られる、入退出管理情報、カード決済情報、スケジューラ（予定表）、ＳＮＳなどである。
　なお、アウトオブバンドとは、本人性認証システム１とは異なる手段（システム）で管理されることを意味する。

　図１１で示すように、時刻（ｔ－α）におけるユーザの振る舞い（ネットワークサービスの利用環境および行動履歴）と、時刻ｔにおけるユーザの振る舞い（ネットワークサービスの利用環境および行動履歴）が類似している場合には、同一ユーザの可能性が高いと推定する。これにより、時刻（ｔ－α）での高度認証の結果を＜失敗＞から＜成功＞に修正する。

　なお、ユーザとユーザ端末とを紐づける利用形態として、図１２で示すような端末の利用形態が想定される。
　端末を「１台利用」する場合と「複数台利用」する場合のそれぞれにおいて、その台数を一人のユーザが占有する場合（端末専有）、複数台のうちの一部を複数のユーザで共有する場合（一部端末共有）、１台または複数台の端末のすべてを複数人で共有する場合（全端末共有）が想定される。
　それぞれの端末の利用形態に応じて、上記の同一性推定の方針１または方針２を用いる。それぞれの利用形態の概要を図１２で示すように概要１，２，３とし、その具体例として、ユーザの同一性の推定を行うロジックを、所定のユーザ同一性推定ロジックとして説明する。
　なお、ユーザ端末３が「ユーザとユーザ端末とを紐づける情報」（以下においては生体認証機能により得られる「生体情報」を例とする。）を利用する各形態の概要１，２、３に対応するロジックを、ユーザ同一性推定ロジック１，２，３とする。また、ユーザ端末３が生体認証機能を備えない場合の利用形態でのロジックを、ユーザ同一性推定ロジック４として、以下説明する。

≪ユーザ同一性推定ロジック１≫
　図１３は、ユーザ同一性推定ロジック１を説明するための図である。
　ユーザ同一性推定ロジック１では、ユーザとユーザ端末とを紐づける情報として生体認証（顔認証など）を用いた確認を行い、端末に生体情報を識別子として登録しているものとする。また、複数のユーザで同一端末を共有している場合、端末に登録してあるどの生体情報と照合したかを確認することで、ユーザを識別する。なお、一人のユーザが登録されている場合も同様である。端末に登録する生体情報には、登録時刻を付与して、ユーザと生体情報の紐づけの継続期間を管理する。

　図１３で示すように、時刻（ｔ－α）でユーザＡが生体情報「＃ａ」で端末との紐づけに成功した上で、高度認証に＜失敗＞する。その後時刻ｔで、仮にユーザＢとするユーザが生体情報「＃ａ」で端末との紐づけに成功した上で、高度認証に＜成功＞したとする。
　この場合、生体情報「＃ａ」が両時刻で同一であり、生体情報「＃ａ」が時刻（ｔ－α）より前に登録されていれば、ユーザＡとユーザＢは、（同一性推定の方針１：端末情報による推定）により、同一である可能性が高いと推定する。

≪ユーザ同一性推定ロジック２≫
　図１４は、ユーザ同一性推定ロジック２を説明するための図である。
　ユーザ同一性推定ロジック２は、ユーザ同一性推定ロジック１と同様に、ユーザと端末間の紐づけを生体認証（顔認証など）で確認を行い、端末に生体情報を識別子として登録しているものとする。ユーザ同一性推定ロジック１と異なる点は、時刻（ｔ－α）と時刻ｔとの間に、端末に登録した生体情報が更新されることであり、この場合には、同一ユーザと推定できない可能性がある。

　図１４で示すように、時刻（ｔ－α）でユーザＡが生体情報「＃ａ」で端末との紐づけに成功した上で、高度認証に＜失敗＞する。その後時刻ｔで、仮にユーザＢとするユーザが生体情報「＃ａ」で端末との紐づけに成功した上で、高度認証に＜成功＞したとする。ただし、時刻（ｔ－α）～時刻ｔの間の時刻（ｔ－β）において、生体情報「＃ａ」が更新された場合、同一端末に紐づくユーザＡとユーザＢが同一のユーザであるとは推定できない。
　この場合、生体情報が更新される前後のユーザの他の振る舞いの類似性から、生体情報が更新する前後でのユーザが同一かを推定する。具体的には、時刻（ｔ－β）以前の生体情報「＃ａ」で認証したユーザの振る舞い情報（時刻（ｔ－α）でのネットワークサービスの利用環境および行動履歴）と、時刻（ｔ－β）以降の生体情報「＃α」で認証したユーザの振る舞い情報（時刻ｔでのネットワークサービスの利用環境および行動履歴）とを比較し類似性が高ければ、同一端末に紐づくユーザＡとユーザＢは、（同一性推定の方針２：サービス環境や行動履歴による推定）により、同一である可能性が高いと推定する。

≪ユーザ同一性推定ロジック３≫
　図１５は、ユーザ同一性推定ロジック３を説明するための図である。
　ユーザ同一性推定ロジック３は、ユーザが複数端末を利用している場合であり、このときは、端末それぞれにおいて、ユーザとユーザ端末とを紐づける情報として生体認証による生体情報（顔認証など）で確認を行っても、複数の端末の端末識別子が異なる場合には、同一ユーザとみなせない可能性がある。

　図１５で示すように、時刻（ｔ－α）でユーザＡが生体情報「＃ａ」で端末ｘとの紐づけに成功した上で、高度認証に＜失敗＞する。その後時刻ｔで、ユーザＡが生体情報「＃ａ」で端末ｙとの紐づけに成功した上で、高度認証に＜成功＞したとする。この場合には、端末情報が異なるため、（同一性推定の方針１：端末情報による推定）ではなく、（同一性推定の方針２：サービス環境や行動履歴による推定）により、ユーザの振る舞い情報（ネットワークサービスの利用環境および行動履歴）を用いて、ユーザが同一かを推定する。
　例えば、時刻（ｔ－α）と時刻ｔにアクセスしたユーザの振る舞い情報として、所定期間の位置情報やスケジュール情報などの履歴の集合を補完的用いて、ユーザの同一性を推定する。

≪ユーザ同一性推定ロジック４≫
　図１６は、ユーザ同一性推定ロジック４を説明するための図である。
　ユーザ同一性推定ロジック４は、端末に生体認証機能がない場合に、（同一性推定の方針２：サービス環境や行動履歴による推定）により、ユーザの振る舞い情報（ネットワークサービスの利用環境および行動履歴）を用いて、ユーザが同一かを推定する。
　端末に生体認証機能がない場合、ＰＩＮやパターン認証の他に、ユーザの振る舞い情報として、所定期間の位置情報やスケジュール情報などの履歴の集合を補完的用いて、時刻（ｔ－α）にアクセスしてきたユーザと、時刻ｔにアクセスしてきたユーザの同一性を推定する。

　この振る舞い情報を、スケジューラや入退室管理サーバなどのアウトオブバンドからも収集する。端末からは、端末識別子やネットワーク種別などの通信利用状況や、位置情報や駅改札通過履歴などのアプリケーションから収集可能な振る舞い情報を収集する。振る舞い情報の項目数を多くし、履歴の収集時間を長くとることで、ユーザの同一性の精度をあげることができる。

　次に、本実施形態に係る本人性認証システム１を構成する、本人性スコア算出装置１０および認証装置２０について、具体的に説明する。

＜本人性スコア算出装置＞
　図１７は、本実施形態に係る本人性スコア算出装置１０の構成例を示す機能ブロック図である。
　本人性スコア算出装置１０は、ユーザがユーザ端末３により、Ｗｅｂサーバ５１等のアカウントにアクセスした際の通常認証および高度認証の結果を、認証装置２０から取得し、アクセスしてきたユーザの本人性の確率を算出する。この本人性スコア算出装置１０は、アクセスするアカウントに紐づくヒト（ユーザ）の振る舞いに関する情報として、サービス利用環境（位置情報、利用時間、回線情報、ＩＤ情報など）や、行動履歴等を、「振る舞い情報」として収集し、本人が認証失敗するのを抑止できる、高度認証の手法を選択する。また、本人性スコア算出装置１０は、所定期間内にアクセスしてきたユーザの中から、高度認証に失敗したアカウントにアクセスするユーザを対象にして、false negative（高度認証に失敗した本人）の評価を行うための高度認証を行う。そして、前回の高度認証に失敗したユーザと、今回の高度認証に成功したユーザの振る舞い（振る舞い情報）が類似している場合に、これらのユーザは同一の可能性が高いと推定し、前回の認証結果（認証失敗）を今回の認証結果（認証成功）に修正する。これにより、本人性認証システム１は、本人の割合の推定値の精度を向上させる。
　この本人性スコア算出装置１０は、制御部１１と、入出力部１２と、記憶部１３と、を備えるコンピュータにより構成される。

　入出力部１２は、認証装置２０や、振る舞い情報を取得するための外部サーバ４０等との間の情報について入出力を行う。この入出力部１２は、通信回線を介して情報の送受信を行う通信インタフェースと、図示を省略したキーボード等の入力装置やモニタ等の出力装置との間で情報の入出力を行う入出力インタフェースとから構成される。

　記憶部１３は、ハードディスクやフラッシュメモリ、ＲＡＭ（Random Access Memory）等により構成される。
　この記憶部１３には、通常認証および高度認証の認証結果を格納する認証結果ＤＢ１００（詳細は後記する図１８参照）と、ユーザの振る舞いに関する情報（振る舞い情報）を格納する振る舞い情報ＤＢ２００（詳細は後記する、図１９，図２０および図２６参照）と、通常認証および高度認証の結果を用いて算出された統計情報を格納する統計情報ＤＢ３００（詳細は後記する図２１参照）と、サンプリング情報ＤＢ４００（詳細は後記する図３５～図３７参照）と、を備える。
　また、記憶部１３には、制御部１１の各機能を実行させるためのプログラムや、制御部１１の処理に必要な情報が一時的に記憶される。

　制御部１１は、本人性スコア算出装置１０が実行する処理の全般を司り、図１７で示すように、認証結果収集部１１１と、振る舞い情報収集部１１２と、外部サーバ連携部１１３と、高度認証制御部１１４と、高度認証結果評価部１１５と、統計処理部１１６と、確率算出部１１７と、サンプリング制御部１１８と、を含んで構成される。

　認証結果収集部１１１は、ユーザがアカウントにアクセスした際に、認証装置２０により行われる通常認証、および、高度認証が行われた場合には、その高度認証の結果を、認証装置２０から取得し、その認証結果の情報（認証結果情報１１０）を認証結果ＤＢ１００に格納する。

　図１８は、本実施形態に係る認証結果ＤＢ１００に格納される認証結果情報１１０のデータ構成例を示す図である。
　認証結果情報１１０には、図１８で示すように、各ユーザに固有なＩＤであるアカウント名に対応付けて、アカウントへのアクセス時刻、通常認証が成功か失敗かを示す通常認証結果、および、高度認証の結果を示す高度認証結果が格納される。
　なお、高度認証結果は、高度認証が実行された場合に、「成功」または「失敗」が格納され、高度認証の対象とならたかった場合には、「未実施」が格納される。

　図１７に戻り、振る舞い情報収集部１１２は、ユーザのサービス利用環境に関する情報（アクセス情報）や、ユーザの行動履歴に関する情報（行動履歴情報）を取得し、振る舞い情報２２０として振る舞い情報ＤＢ２００に格納する。

　図１９は、本実施形態に係る振る舞い情報ＤＢ２００に格納される振る舞い情報２２０（ネットワークサービスの利用環境および行動履歴）を説明するための図である。
　振る舞い情報収集部１２２は、ネットワークサービスの利用環境の情報（サービス利用環境）と行動履歴（行動履歴情報）を収集する。
　ネットワークサービスの利用環境は、ユーザの利用端末に関する情報や、ネットワークキャリアが備える情報を含み、例えば、ユーザの利用端末から取得する情報（ユーザ端末関連情報）として、アカウントへのアクセス情報２２１（後記する図２０）や、端末識別子、生体認証の登録情報、基地局情報、回線番号、通知ログ等がある。また、ユーザの利用端末から取得する行動履歴として、位置情報（ＧＰＳ）や、端末にダウンロードされたアプリケーション（アプリ）の利用履歴（決済情報、駅改札入退場情報、電子マネー利用情報）等がある。
　また、アウトオブバンドにより外部装置から得られる行動履歴として、入退室管理情報２２２（後記する図２０）、カード決済情報、スケジューラ（予定表）、ＳＮＳ等がある。

　図２０は、本実施形態に係る振る舞い情報ＤＢ２００に格納される振る舞い情報２２０のうち、アクセス情報２２１および入退室管理情報２２２のデータ構成例を示す図である。
　図２０で示すように、アクセス情報２２１には、ユーザがアカウントへアクセスした際のサービス利用環境に関する情報として、各ユーザに固有なＩＤであるアカウント名に対応付けて、アクセス時刻、端末種別、位置等の情報が格納される。これ以外にも、端末種別が「スマホ」であれば、ＳＭＳ認証に必要なスマホのアドレス情報や、端末種別が「ＰＣ」であり、在宅勤務であれば回線情報等が、ユーザのアカウント名に紐づけられて格納される。
　なお、振る舞い情報収集部１１２は、このアクセス情報２２１含むユーザの利用端末からの情報（サービス利用環境および行動履歴）を、認証装置２０がユーザ端末３から収集した情報（ユーザ端末関連情報）を受け取ることにより取得する。

　また、振る舞い情報収集部１１２は、アウトオブバンドのシステムとしての外部サーバ４０から、ユーザの行動履歴に関する情報を取得する。例えば、アウトオブバンドのシステムが、オフィス等の入退室管理システムである場合、外部サーバ連携部１１３を介して、外部サーバ４０である入退室管理サーバから、図２０で示すように、アカウントに紐づいたヒトの入退室時刻の情報（入退室管理情報２２２）を取得し、振る舞い情報ＤＢ２００に格納する。

　外部サーバ連携部１１３は、ユーザ端末３とのチャネル（情報伝達経路）以外のチャネルから、ユーザの行動履歴を取得するための各種外部サーバ４０との連携処理（アウトオブバンド連携処理）を行う。例えば、上記のように、入退室管理サーバとの間で、アカウントに紐づくヒトの入退室時間等の送受信を行うための要求メッセージや応答メッセージの生成処理等を行う。

　高度認証制御部１１４は、所定期間内にアクセスしてきたユーザに対して、高度認証を行うか否かを判定する。高度認証制御部１１４は、上記した技術思想３の（前提２）を担保するため、通常認証を行ったユーザからランダムに高度認証を行うユーザを選択する。

　また、高度認証制御部１１４は、高度認証を行うとしたユーザに関し、振る舞い情報２２０（図１９，図２０，図２６）を用いて、サービス利用環境に関する情報であるアクセス情報２２１や行動履歴（例えば、入退室管理情報２２２）と、複数の高度認証のうちのユーザが認証に成功する高度認証との対応関係を、所定のロジックに基づくプロファイル（分析結果）として保持しておく。
　例えば、直前に、スマホからアクセスがあった場合には、高度認証として、ＳＭＳ認証を用いるとのプロファイルが作成される。直前に、オフィスの入退室記録がある場合には、オフィスビル等の入退室管理情報に基づき、社員証等のスマートカードによる認証を用いるとのプロファイルが作成される。

　高度認証制御部１１４は、高度認証を行うことを決定したユーザに対し、当該プロファイルを用いて、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する。
　そして、高度認証制御部１１４は、そのアカウントに紐づくユーザについて決定した高度認証手法を、認証装置２０に通知する。

　高度認証結果評価部１１５は、所定期間にアクセスしてきたユーザの中から、高度認証に失敗したユーザに対し、高度認証に失敗した本人であるか否を評価するための高度認証（以下、「false negative評価のための高度認証」という。）を行うと決定する。そして、高度認証結果評価部１１５は、false negative評価のための高度認証に成功したユーザと、過去に同じアカウントにアクセスして高度認証に失敗したユーザの振る舞い情報２２０を比較し、その振る舞いが類似しているかによって、これらのユーザの同一性を推定する。
　そして、高度認証結果評価部１１５は、ユーザの同一性を推定した結果、同一ユーザの可能性が高いと判定した場合に、そのユーザの過去（前回）の高度認証の結果を＜失敗＞から＜成功＞に修正する。
　なお、高度認証結果評価部１１５の処理の詳細は、後記する図２４および図２５を用いて詳細に説明する。

　統計処理部１１６は、所定期間にアクセスしてきた全ユーザについて、通常認証や各種の高度認証を行った結果としての統計値（ユーザ数）を算出し、統計情報３１０として、統計情報ＤＢ３００に格納する。

　図２１は、本実施形態に係る統計情報ＤＢ３００に格納される統計情報３１０のデータ構成例を示す図である。
　図２１で示すように、統計情報３１０は、各高度認証の手法ごとに、その高度認証の結果（成功／失敗）と、その高度認証を行ったユーザの通常認証の結果が対応付けられて格納される。また、高度認証が未実施のユーザについての通常認証の結果（成功／失敗）のユーザ数が格納される。

　図１７に戻り、確率算出部１１７は、統計情報ＤＢ３００に格納された統計情報３１０を参照して、アカウントにアクセスしてきたユーザの本人性の割合（ユーザの本人性の確率）を点推定し、サンプリング情報ＤＢ４００に保管する。
　確率算出部１１７は、所定期間に通常認証に成功したユーザにおいては、本人である確率（Ｐ_S ^P）を、上記した式（５）を用いて算出する。
　なお、確率算出部１１７は、通常認証に失敗した場合も含めた本人である確率（Ｐ_t）を、式（９）を用いて算出してもよい。

　確率算出部１１７が、アカウントにアクセスしてきたユーザの本人性の確率の計算式として、式（５）および式（９）のどちらを用いるかは、予め決定しておく。そして、確率算出部１１７は、算出した本人の割合を点推定した結果を認証装置２０に送信する。

　確率算出部１１７は、点推定した結果を用いて、運用開始時にあらかじめ設定した信頼区間で、区間推定を行う（詳細は後記）。

　サンプリング制御部１１８は、確率算出部１１７が算出した点推定値、または区間推定値（例えば下限値）を用いて、高度認証を行うユーザを抽出する割合と抽出期間を決定する。また、サンプリング制御部１１８は、高度認証を行うユーザを抽出する割合と抽出期間をサンプリング情報ＤＢ４００に保管する。

＜認証装置＞
　次に、本実施形態に係る認証装置２０について説明する。
　図２２は、本実施形態に係る認証装置２０の構成例を示す機能ブロック図である。
　認証装置２０は、強度の異なる複数種類の通常認証の手法（通常認証手法）と、複数種類の高度認証の手法（高度認証手法）とを備える。認証装置２０は、ユーザ端末３からの認証要求を受け付け、予め設定しておいた通常認証を行うとともに、ユーザのサービス利用環境に関する情報（例えばアクセス情報２２１等）や行動履歴を含むユーザ端末関連情報を、ユーザ端末３やネットワークキャリアから取得する。そして、認証装置２０は、サービス利用環境に関する情報や行動履歴（ユーザ端末関連情報）を、本人性スコア算出装置１０へ送信する。また、認証装置２０は、本人性スコア算出装置１０から、高度認証を行うことに決定したユーザについて、決定した高度認証手法の情報を受け取り、その高度認証手法を行った上でその認証結果を本人性スコア算出装置１０に送信する。
　また、認証装置２０は、本人性スコア算出装置１０から、ユーザの本人性確率（推定値）の情報を取得し、非本人の割合の増加による脅威とユーザの利便性を考慮した、最適な通常認証手法を選択する。
　この本人性スコア算出装置１０は、制御部２１と、入出力部２２と、記憶部２３とを備えるコンピュータにより構成される。

　入出力部２２は、本人性スコア算出装置１０や、ユーザ端末３、Ｗｅｂサーバ５１，社内システム５２、クラウドサービス５３等との間の情報について入出力を行う。この入出力部２２は、通信回線を介して情報の送受信を行う通信インタフェースと、図示を省略したキーボード等の入力装置やモニタ等の出力装置との間で情報の入出力を行う入出力インタフェースとから構成される。

　記憶部２３は、ハードディスクやフラッシュメモリ、ＲＡＭ（Random Access Memory）等により構成される。
　この記憶部２３には、アクセスしてきたユーザの通常認証に必要な情報がユーザ情報ＤＢ５００に格納される。例えば、アクセスしてきたユーザのアカウント名（ユーザＩＤ）とパスワードの情報や、ユーザ端末３のアドレス情報等が格納される。また、このユーザ情報ＤＢ５００には、高度認証を行った際に認証のために必要な情報も格納される。なお、この高度認証のために必要な情報は、本人性スコア算出装置１０の外部サーバ連携部１１３（図１７）を介して外部サーバ４０等から取得し、ユーザ情報ＤＢ５００に格納しておいてもよい。
　また、記憶部２３には、制御部２１の各機能を実行させるためのプログラムや、制御部２１の処理に必要な情報が一時的に記憶される。

　制御部２１は、認証装置２０が実行する処理の全般を司り、図２２で示すように、ユーザ端末関連情報取得部２１１と、認証処理部２１２と、通常認証選択部２１３と、認証制御部２１４と、一元情報管理部２１５とを含んで構成される。

　ユーザ端末関連情報取得部２１１は、ログイン要求を受け付けたユーザ端末３に関するアクセス情報２２１を取得し、本人性スコア算出装置１０へ送信する。なお、アクセス情報２２１については、ログイン要求を受信した時刻をアクセス時刻としてアクセス情報２２１に含める。
　また、ユーザ端末関連情報取得部２１１は、ユーザ端末３やネットワークサービスキャリアから、ユーザのサービス利用環境に関する情報（例えば、端末識別子、生体認証の登録情報など）や行動履歴（位置情報、アプリ利用履歴など）を、ユーザ端末関連情報として取得する。
　そして、ユーザ端末関連情報取得部２１１は、取得したユーザ端末関連情報を、本人性スコア算出装置１０へ送信する。
　なお、ユーザ端末関連情報取得部２１１が本人性スコア算出装置１０へ送信した、アクセス情報２２１を含むユーザ端末関連情報は、振る舞い情報２２０を構成する情報の一部となる。

　認証処理部２１２は、アカウントにアクセスしてきたユーザに対する、複数種類の通常認証手法と、複数種類の高度認証手法とを保持する。
　認証処理部２１２は、アクセスしてきたユーザに対し、設定された通常認証手法により認証を行う。また、認証処理部２１２は、本人性スコア算出装置１０から、高度認証を行うことに決定したユーザについて、決定した高度認証手法の情報を受け取り、複数の高度認証手段の中から、その高度認証手法を選択して認証を行う。
　認証処理部２１２は、通常認証および高度認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。

　通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率（推定値）を、所定期間ごとに取得する。そして、通常認証選択部２１３は、取得したユーザの本人性の確率に応じて、非本人の割合の増加による脅威と、ユーザの利便性を考慮して、複数の通常認証手法から最適な通常認証手法を選択する。

　図２３で示すように、通常認証手法は、強度の高い通常認証手法「１」～強度の低い（標準の）通常認証手法「ｎ」まで、段階的に設定されている。そして、通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率の推定値を取得すると、例えば、ユーザの本人性の確率の推定値が、所定の閾値以上である場合には、ユーザの利便性を考慮した標準的な通常認証手法（例えば、通常認証手法「ｎ」）を選択する。標準的な通常認証手法「ｎ」は、例えば、ユーザＩＤとパスワードによる認証である。一方、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値よりも低い場合には、ユーザの利便性を犠牲にして、比較的強度の高い通常認証手法（例えば、通常認証手法「１」）を選択する。比較的強度の高い通常認証手法「１」は、例えば、生体認証や２段階認証である。
　通常認証選択部２１３は、選択した通常認証手法の情報を、認証処理部２１２に通知することにより、通常認証手法の設定を行う。

　図２２に戻り、認証制御部２１４は、例えば、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）等のユーザ認証プロトコルに基づき、ユーザ端末３との間で認証処理を実行する。

　一元情報管理部２１５は、例えば、ＬＤＡＰ（Lightweight Directory Access Protocol）を用いることにより、１つのＩＤとパスワードで、複数のサービスを利用可能にするシングルサインオン（ＳＳＯ）を実現する。

≪処理の流れ≫
　次に、本実施形態に係る本人性認証システム１が実行する処理の流れについて説明する。
　図２４および図２５は、本人性認証システム１が実行する処理の流れを示すシーケンス図である。
　なお、ここでは、外部サーバ４０から取得する行動履歴として、オフィス等の入退室管理システムからの情報を取得するものとして説明する。つまり、外部サーバ４０である入退室管理サーバから、本人性スコア算出装置１０が、図２０で示すような、アカウントに紐づいたヒトの入退室時刻の情報（入退室管理情報２２２）やスケジュール情報を取得するものとして説明する。

　入退室管理システムでは、例えば次のように、ユーザの入退出を管理している。
　アカウントに紐づくヒトがオフィスに出社すると、ＩＣカード機能を持つ社員証（スマートカード）を用いてフラッパーゲート等を通過することにより入室する。入退室管理サーバは、社員証から、入室したユーザのＩＤと入出時刻を取得して、自サーバに記録する。このようにして、入退室管理サーバでは、ユーザの入退室管理情報２２２を記録しておく。

　そして、先ず、ユーザがユーザ端末３（例えば、ＰＣ）を用いて、Ｗｅｂサービスを利用するために、Ｗｅｂサーバ５１にアクセスしてログイン要求を行う。
　Ｗｅｂサーバ５１は、ユーザを認証するために、ユーザ端末３を経由して、認証装置２０にリダイレクトする。

　認証装置２０は、ログイン要求のリダイレクトを受け取ると（ステップＳ１０）、ユーザ端末関連情報取得部２１１は、アクセス時間を含むアクセス情報２２１や、端末識別子や端末種別、位置情報等を含むユーザ端末関連情報を取得する（ステップＳ１１）。
　そして、ユーザ端末関連情報取得部２１１は、ユーザ端末関連情報を、本人性スコア算出装置１０へ送信する。

　続いて、認証装置２０の認証処理部２１２は、所定（初期設定）の通常認証手法により、アクセスしてきたユーザに関する通常認証を実行する（ステップＳ１２）。そして、認証処理部２１２は、その通常認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。
　本人性スコア算出装置１０の認証結果収集部１１１は、その通常認証の結果を取得すると、認証結果ＤＢ１００に、認証結果情報１１０（図１８）として格納する（ステップＳ１３）。

　次に、本人性スコア算出装置１０の高度認証制御部１１４は、所定期間内にアクセスしてきたユーザに対して、通常認証に加えて、高度認証を行うか否かを決定する。つまり、高度認証制御部１１４は、高度認証を行うユーザをサンプリングする（ステップＳ１４）。
　なお、高度認証制御部１１４は、高度認証を行うユーザか否かを、例えばランダムに決定する。

　ここで、ログイン要求をしたユーザが、高度認証を行うユーザのサンプリングで抽出されたか否かを判定する（ステップＳ１５）。サンプリングで抽出されなかった場合には（ステップＳ１５→Ｎｏ）、図２５のステップＳ２１へ進む。一方、高度認証を行うユーザとして抽出された場合には（ステップＳ１５→Ｙｅｓ）、ステップＳ１６へ進む。

　ステップＳ１６において、本人性スコア算出装置１０の振る舞い情報収集部１１２は、外部サーバから行動履歴の情報を取得し、認証装置２０から取得したユーザ端末関連情報とともに、振る舞い情報２２０（図１９、図２０，図２６）として、振る舞い情報ＤＢ２００（図１７）に格納する。

　図２６は、ユーザ端末３から取得したユーザ端末関連情報に基づく振る舞い情報２２０ａの例と、アウトバンドから取得した振る舞い情報２２０ｂの例を示している。
　振る舞い情報２２０ａには、例えば、端末識別子や、生体情報識別子・その生体情報の登録時刻、ユーザ端末３の位置情報、ユーザ端末３のアプリケーションから取得可能な改札の入退場情報などが格納される。
　振る舞い情報２２０ｂには、例えば、入退室管理サーバから習得した、入室時刻の情報や、勤務予定や勤務報告等のスケジューラから取得できる情報などが格納される。

　次に、本人性スコア算出装置１０の高度認証制御部１１４は、高度認証を行うとしたユーザに関し、振る舞い情報２２０（図１９，図２０，図２６）を参照し、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する（ステップＳ１７）。そして、高度認証制御部１１４は、そのユーザに関する高度認証の要否（ここでは、「要」）と、決定した高度認証手法とを、認証装置２０へ通知する。

　ここで、高度認証制御部１１４は、振る舞い情報２２０を参照し、振る舞い情報２２０で示される各情報（サービス利用環境や行動履歴）と、複数の高度認証のうちのユーザ認証に成功する高度認証との対応関係を示すプロファイルを用いて、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する。
　例えば、図２６の符号ｙで示すように、入室時刻はあるが、退室時刻の記録がない場合、つまり、オフィス内にユーザがいると推定される場合に、アカウントに紐づくヒトであれば成功する高度認証手法として、社員証（スマートカード）を用いた高度認証に決定する。

　認証装置２０の認証処理部２１２は、該当するユーザに対し、通知された高度認証手法により、高度認証を実行する（ステップＳ１８）。ここでは、認証処理部２１２は、ユーザに対し社員証を用いた高度認証を行う。

　そして、認証処理部２１２による高度認証が成功したユーザに対して、認証制御部２１４および一元情報管理部２１５による制御により、Ｗｅｂサーバ５１に対して、アカウントのログインを許可する。

　続いて、認証装置２０の認証処理部２１２は、その高度認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。
　そして、本人性スコア算出装置１０の認証結果収集部１１１は、その高度認証の結果を取得すると、認証結果ＤＢ１００に、認証結果情報１１０（図１８）として格納する（ステップＳ１９）。

　図２５へ進み、本人性スコア算出装置１０の高度認証結果評価部１１５は、取得した高度認証の結果から、各ユーザについて高度認証に成功したか否かを判定する（ステップＳ２０）。
　そして、高度認証に失敗していた場合には、ステップＳ３０へ進む。一方、高度認証に成功していた場合には、次のステップＳ２１へ進む。

　ステップＳ２１において、高度認証結果評価部１１５は、今回と同じアカウントに対し過去に（前回）アクセスしてきたユーザの高度認証の結果を、認証結果ＤＢ１００の認証結果情報１１０（図１８）を参照して確認する。
　そして、高度認証結果評価部１１５は、前回の高度認証が成功か否かを判定する（ステップＳ２２）。ここで、前回の高度認証が成功であれば（ステップＳ２２→Ｙｅｓ）、false negative評価のための高度認証を行わず、ステップＳ３２へ進む。一方、前回の高度認証が失敗であれば（ステップＳ２２→Ｎｏ）、次のステップＳ２３へ進む。

　ステップＳ２３において、高度認証結果評価部１１５は、アカウントにアクセスしてきたユーザが、ステップＳ１４で高度認証のためのサンプリングで抽出されたユーザか否かを判定する。そして、ステップＳ１４でサンプリングされたユーザであれば、ステップＳ２７へ進む。一方、ステップＳ１４でサンプリングされたユーザでなければ、ステップＳ２４へ進む。

　ステップＳ２４において、高度認証結果評価部１１５は、振る舞い情報収集部１１２を介して、外部サーバから行動履歴の情報を取得し、認証装置２０から取得したユーザ端末関連情報とともに、振る舞い情報２２０（図１９、図２０、図２６）として、振る舞い情報ＤＢ２００（図１７）に格納する。

　次に、高度認証結果評価部１１５は、高度認証制御部１１４を介して、高度認証を行うとしたユーザに関し、振る舞い情報２２０（図１９，図２０、図２６）を参照し、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する（ステップＳ２５）。
　ここで、高度認証制御部１１４は、振る舞い情報２２０を参照し、振る舞い情報２２０で示される各情報（サービス利用環境や行動履歴）と、複数の高度認証のうちのユーザ認証に成功する高度認証との対応関係を示すプロファイルを用いて、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する。
　そして、高度認証結果評価部１１５は、決定した高度認証手法を、認証装置２０へ通知する。

　認証装置２０の認証処理部２１２は、該当するユーザに対し、通知された高度認証手法により、高度認証を実行する（ステップＳ２６）。ここでは、認証処理部２１２は、ユーザに対し社員証を用いた高度認証を行う。
　そして、認証装置２０の認証処理部２１２は、その高度認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。

　次に、高度認証結果評価部１１５は、取得した高度認証の結果から、各ユーザについて今回高度認証に成功したか否かを判定する（ステップＳ２７）。
　そして、高度認証に失敗していた場合には（ステップＳ２７→Ｎｏ）、ステップＳ３０へ進む。一方、高度認証に成功していた場合には（ステップＳ２７→Ｙｅｓ）、次のステップＳ２８へ進む。

　続いて、高度認証結果評価部１１５は、高度認証に成功した今回のユーザの振る舞い情報２２０と、高度認証に失敗した前回のユーザの振る舞い情報２２０とを比較し、その振る舞いが類似するか否かを判定する、ユーザの同一性推定処理を行う（ステップＳ２８）。なお、このユーザの同一性推定処理の詳細については、図２９を参照して後記する。

　ステップＳ２８のユーザの同一性推定処理において、振る舞いが類似しないと判定された場合には（ステップＳ２８→Ｎｏ）、ステップＳ３０へ進む。一方、振る舞いが類似すると判定された場合には（ステップＳ２８→Ｙｅｓ）、ステップＳ２９へ進む。

　ステップＳ２９において、高度認証結果評価部１１５は、今回と前回の各ユーザで振る舞い情報２２０が類似している場合、前回のユーザの高度認証の失敗は、false negativeであると評価する。そして、高度認証結果評価部１１５は、認証結果ＤＢ１００の認証結果情報１１０の今回のユーザの通常認証および高度認証の結果を、前回のユーザの認証結果にそれぞれ上書きして、認証結果ＤＢ１００に保管する。

　図２７は、ユーザの同一性推定処理により、振る舞いが類似すると判定された場合の認証結果情報１１０の修正を説明する図である。
　図２７で示すように、高度認証結果評価部１１５は、前回（2023年2月16日18時）において、通常認証結果が「成功」、高度認証結果が「失敗」であった認証結果について、今回の高度認証結果が「成功」であり、例えば、ユーザの入退室時刻と端末情報に基づき類似すると判定された場合に、今回の通常認証結果「成功」、高度認証結果「成功」を、前回の認証結果情報に上書きする。

　図２８は、ユーザの同一性推定処理により、振る舞いが類似しないと判定された場合の認証結果情報１１０を説明する図である。
　図２８で示すように、前回の高度認証結果が「失敗」であった認証結果について、今回の高度認証結果が「成功」であるが、例えば、ユーザの入退室時刻と端末情報に基づき類似しないと判定された場合に、false negativeと評価せず、今回の通常認証結果と、高度認証結果が追加で登録される。

　図１５へ戻り、ステップＳ３０において、本人性スコア算出装置１０の統計処理部１１６は、所定期間にアクセスしてきた全ユーザについて、通常認証や各種の高度認証を行った結果としての統計値（ユーザ数）を算出し、統計情報３１０（図２１）として、統計情報ＤＢ３００に格納する。

　続いて、本人性スコア算出装置１０の確率算出部１１７は、統計情報３１０（図２１）を用いて、高度認証未実施を含む全ユーザにおける本人の割合の推定（点推定）を行う（ステップＳ３１）。本人の割合の推定（点推定）は、本人性の確率の計算である。

　ここで、確率算出部１１７は、所定期間に通常認証に成功したユーザにおいては、本人である確率（Ｐ_S ^P）を、上記した式（５）を用いて算出する。
　確率算出部１１７は、例として、図２１で示す統計情報３１０を参照することにより、本人である確率（Ｐ_S ^P）を、式（５）を用いて計算すると、以下のスコア（点推定値）となる。例えば、アカウントにアクセスしてきた複数のユーザが通常認証に成功した場合、統計情報ＤＢ３００を用いて計算して、これらのユーザのうち、アクセスしてきたアカウントに紐づくヒトと同一である割合を約0.96と推定する（点推定値）。

　ここで、β₁＝（2＋3）／（2＋10＋3＋9）＝5／24である。γ₁＝（2＋10＋3＋9）／（80＋50）＝24／130である。Ｎ₂＝80＋50＋1000＝1130である。

　また、他の例として、確率算出部１１７は、通常認証に失敗した場合も含めた本人である確率（Ｐ_t）を、式（９）を用いて算出する。
　確率算出部１１７は、例として、図２１で示す統計情報３１０を参照することにより、本人である確率（Ｐ_t）を、式（９）を用いて計算すると、以下のスコアとなる。
　すなわち、通常認証に失敗したユーザも含めた、アカウントにアクセスしてきた全てのユーザのうち、アカウントに紐づくヒトと同一である割合については、約0.82（＝1－24／130）と推定する(点推定値)。

　そして、確率算出部１１７は、算出したアカウントにアクセスしてきたユーザの本人性の確率（本人の割合の推定（点推定））を、認証装置２０に送信する。

　さらに、本人性認証システム１は、本人の割合を推定（点推定）した処理の後に、区間推定を行う処理およびサンプリング制御を行う（ステップＳ３２）。ステップＳ３２の詳細フローについては、図３３を参照して後記する。

　認証装置２０の通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率の推定値を、所定期間ごとに取得する。そして、通常認証選択部２１３は、取得したユーザの本人性の確率の推定値に応じて、複数種類の通常認証手法から最適な通常認証手法を選択する（ステップＳ３３）。

　例えば、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値以上である場合には、ユーザの利便性を考慮した標準的な通常認証手法（例えば、通常認証手法「ｎ」）を選択する。一方、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値よりも低い場合には、ユーザの利便性を犠牲にして、比較的強度の高い通常認証手法（例えば、通常認証手法「１」）を選択する。
　通常認証選択部２１３は、選択した通常認証手法の情報を、認証処理部２１２に通知することにより、通常認証手法の設定を行う（ステップＳ３４）。

　なお、通常認証選択部２１３は、「通常認証に成功したユーザの本人性の確率」（式（５））により算出された推定値を用いる場合には、通常認証に成功したユーザの中に非本人が含まれる割合から脅威を評価して通常認証を選択する。一方、「通常認証に失敗したユーザも含めた場合の本人性の確率」（式（９））により算出された推定値を用いる場合において、通常認証に失敗したユーザの中に本人が含まれる割合が多いときには、ユーザの利便性の観点から、上記脅威を考慮しつつ、強度が比較的高い通常認証手法から標準的な強度の通常認証手法に変更する。

＜ユーザの同一性推定処理＞
　次に、ユーザの同一性推定処理について、詳細に説明する。
　図２９は、ユーザの同一性推定処理の流れを示すフローチャートである。このユーザの同一性推定処理は、上記した所定のユーザ同一性推定ロジックに対応し、図２５のステップＳ２８において実行される処理である。

　まず、本人性スコア算出装置１０の高度認証結果評価部１１５は、振る舞い情報ＤＢ２００に格納された振る舞い情報２２０を参照し、高度認証に成功した今回のユーザの振る舞い情報２２０と、高度認証に失敗した前回のユーザの振る舞い情報２２０とを取得する（ステップＳ４０）。

　次に、高度認証結果評価部１１５は、今回のユーザの振る舞い情報２２０に含まれる生体情報の登録時刻が、前回の高度認証時より前か否かを判定する（ステップＳ４１）。
　ここで、生体情報の登録時刻が前回の高度認証時より前でなければ（ステップＳ４１→Ｎｏ）、ステップＳ４３へ進む。なお、生体情報の登録時刻が前回の高度認証時より前でない場合には、ユーザ端末３が生体認証に対応しておらず、生体認証の情報を保持していない場合も含む。一方、生体情報の登録時刻が前回の高度認証時より前であれば（ステップＳ４１→Ｙｅｓ）、次のステップＳ４２へ進む。

　ステップＳ４２において、高度認証結果評価部１１５は、今回と前回の振る舞い情報２２０を参照し、今回と前回の端末識別子が同じか否かを判定する。
　そして、今回と前回の端末識別子が同じであれば（ステップＳ４２→Ｙｅｓ）、ステップＳ４４へ進む。一方、今回と前回の端末識別子が同じでなければ（ステップＳ４２→Ｎｏ）、ステップＳ４３へ進む。

　ステップＳ４３において、高度認証結果評価部１１５は、端末識別子以外の振る舞い情報２２０（ネットワークサービス利用環境や行動履歴）が、今回と前回で類似するか否かを判定する。
　ここで、端末識別子以外の振る舞い情報２２０が類似すると判定された場合には（ステップＳ４３→Ｙｅｓ）、ステップＳ４４へ進む。

　ステップＳ４４において、高度認証結果評価部１１５は、前回の高度認証に失敗したユーザは、今回のユーザと同一であると推定する。つまり、高度認証結果評価部１１５は、前回の高度認証の結果は、false negative（認証に失敗した本人）であると評価する。

　図３０は、今回と前回の振る舞い情報において、端末識別子（0x123abc）が同じであり、生体情報の登録時刻（2023年2月1日13時）が前回の高度認証時（2023年3月1日15時）より前のケースを示している。この場合、高度認証結果評価部１１５は、前回の高度認証に失敗したユーザは、今回のユーザと同一であると推定する。

　図３１は、今回と前回の振る舞い情報において、今回の端末識別子が「Ox123abc」であり、前回の端末識別子が「0x123def」であるため異なっており、生体情報の登録時刻（2023年3月1日17時）が前回の高度認証時（2023年3月2日15時）より前のケースを示している。この場合、高度認証結果評価部１１５は、端末識別子以外の振る舞い情報の類似性を判定する。
　具体的には、例えば、ユーザ端末３の地図アプリから取得した位置情報では、朝（9時）の位置情報が今回と前回で10メートル程度の誤差であり、スケジューラと社内ＳＮＳから両日とも午前中は在宅勤務であることがわかれば、今回と前回にアクセスしてきたユーザは同じ場所（自宅）で在宅勤務しており、同一ユーザであると推定する。

　図３２は、今回アクセスしてきたユーザに紐づく生体情報の登録時刻（2023年3月1日17時）が前回の高度認証時（2023年3月1日15時）よりも後に登録されたケースを示している。この場合、高度認証結果評価部１１５は、今回と前回にアクセスしてきたユーザの振る舞い情報の類似性を判定する。
　具体的には、例えば、前回から今回のアクセスまでの期間において、ユーザ端末３のアプリケーションから得られた、改札の入退場情報が、毎日決まった時刻に同じ駅で乗車していたり、勤務予定や勤務報告から在宅勤務中の時刻の位置情報が同じ場合には、当該生体情報と過去のアクセスしてきたユーザは紐づいていて、今回と前回にアクセスしてきたユーザは同一と推定する。

　図２９に戻り、ステップＳ４４において、高度認証結果評価部１１５が、前回の高度認証に失敗したユーザが今回のユーザと同一であると推定すると、図２５のステップＳ２９へ進み、今回のユーザの認証結果を、過去のユーザの認証結果に上書きする。

　一方、ステップＳ４３において、端末識別子以外の振る舞い情報２２０が類似しないと判定された場合には（ステップＳ４３→Ｎｏ）、ステップＳ４５へ進む。

　ステップＳ４５において、高度認証結果評価部１１５は、前回の高度認証に失敗したユーザは、今回高度認証に成功したユーザとは異なると推定する。つまり、高度認証結果評価部１１５は、true negative（認証に失敗した非本人）であると評価する。そして、図２５のステップＳ３０へ進む。

　このようにして、高度認証結果評価部１１５は、今回と過去（前回）のユーザの振る舞い情報２２０を参照して、ユーザの同一性を推定することができる。

　＜区間推定およびサンプリング制御＞
　次に、区間推定およびサンプリング制御処理について、詳細に説明する。
　図３３は、区間推定およびサンプリング制御処理の流れを示すフローチャートである。この区間推定およびサンプリング制御処理は、図２５のステップＳ３２において実行される処理である。

　図２５のステップＳ３１において、本人の割合の推定（点推定）を行った後、確率算出部１１７は、ユーザの本人性の割合を点推定した結果を用いて、運用開始時にあらかじめ設定した信頼区間で、区間推定を行う（ステップＳ５０）。なお、このステップＳ５０は、上記［技術思想４：本人推定値の確からしさを評価する区間推定］の具体例である。区間推定を実行することで、推定値の確からしさを評価することができる。

　ユーザの本人性の割合推定（区間推定）の適用例について説明する。
　図３４は、本実施形態に係る統計情報ＤＢ３００（図１７）に格納される統計情報３１０のデータ構成例を示す図である。
　本人性スコア算出装置１０（図１７）は、統計情報３１０（図３４）を用いて、アカウントにアクセスしてきたユーザのうち、アクセスしてきたアカウントに紐づくヒトと同一である割合（ｐとおく）を用いて、この割合の信頼区間を推定する。
　例えば、アカウントにアクセスしてきたユーザが通常認証に成功した場合において、信頼区間を約0.95（Ｔ≒1.96）とすると、点推定値が、前述したように約0.96であるため、下記となる。なお、Ｔは、標準正規分布での信頼区間（１－α）における確率変数の上限値である。

　各辺を計算して、
　　　　0.923≦ｐ≦0.997
　と推定する(補正項を省略した式（１２）を用いる)。

　また、通常認証に失敗したユーザも含めた場合（高度認証を行った全ユーザの場合）において、信頼区間を約0.95（Ｔ≒1.96）とすると、点推定値が約0.82であるため、下記となる。

　各辺を計算して、
　　　　0.753≦ｐ≦0.887
　と推定する(補正項を省略した式（１２）を用いる)。

　以下、ステップＳ５１～ステップＳ５４は、上記［技術思想５：高度認証を行うユーザをサンプリングする処理］の具体例である。
　ステップＳ５１でサンプリング制御部１１８は、点推定値が基準値以下か否かを判別する。点推定値が基準値より大きい場合（ステップＳ５１→Ｎｏ）、本フローの処理を終了する。

　点推定値が基準値以下の場合（ステップＳ５１→Ｙｅｓ）、ステップＳ５２でサンプリング制御部１１８は、前回の点推定値と比較する。

　ステップＳ５３でサンプリング制御部１１８は、前回との差分が基準値以上か否かを判別する（図７のステップＳ１０１参照）。前回との差分が基準値より小さい場合（ステップＳ５３→Ｎｏ）、本フローの処理を終了する。

　前回との差分が基準値以上の場合（ステップＳ５３→Ｙｅｓ）、ステップＳ５４でサンプリング制御部１１８は、サンプリングの割合と抽出期間を変更して本フローの処理を終了する。サンプリングの割合と抽出期間の詳細については、図３５～図３７により後記する。

　このように、ステップＳ５１～ステップＳ５４では、推定値を用いて標本（高度認証を行うユーザ）の割合と抽出期間を制御して、運用時の本人の割合の変化に追従させる。

　以下、高度認証を行うユーザのサンプリングの制御の適用例について説明する。
　図３５は、本実施形態に係るサンプリング情報ＤＢ４００（図１７）に格納されるサンプリング履歴情報４１０のデータ構成例を示す図である。図３６は、本実施形態に係るサンプリング情報ＤＢ４００に格納される点推定値の差分ごとの抽出割合と抽出期間の一覧情報４２０のデータ構成例を示す図である。図３７は、本実施形態に係るサンプリング情報ＤＢ４００に格納される閾値情報４３０を示す図である。

<手順１>
　本人性スコア算出装置１０（図１７）は、一定期間にアクセスしてきた全ユーザにおける本人性の割合の点推定値が、あらかじめ設定していた基準値（図３７の閾値情報４３０から0.65）以下の場合、前回の点推定値と比較して、その差分を算出する。

<手順２>
　本人性スコア算出装置１０は、算出した差分に対応する、高度認証を行うユーザを抽出する割合と抽出期間を、あらかじめ設定していた（図３６の点推定値の差分ごとの抽出割合と抽出期間の一覧情報４２０）から取得して、次回の抽出割合、抽出期間とする。なお、図３６のデフォルトは、本人性の割合の点推定値の下限値（図３７の閾値情報４３０参照）を下回らない場合に適用する。

<手順３>
　本人性スコア算出装置１０は、次回、本人性の割合を点推定するアクセス期間、抽出割合、および抽出期間をサンプリング情報ＤＢ４００（図１７）の（図３５のサンプリング履歴情報４１０）に保管する。また、本人性スコア算出装置１０は、次回のアクセス期間の後に、確率算出部１１７（図１７）が算出した、該当するアクセス期間における、本人性の割合の点推定値をサンプリング情報ＤＢ４００の（図３５のサンプリング履歴情報４１０）に保管する。

　なお、ユーザのアクセス量に応じて、（図３６の点推定値の差分ごとの抽出割合と抽出期間の一覧情報４２０）の抽出割合と抽出期間の値を動的に変えてもよい。例えば、深夜などのアクセス量が少ない場合には、デフォルトの抽出期間を長くしたり、点推定値の差分が0.3以上では抽出割合をより大きくするなどである。

＜ハードウェア構成＞
　本実施形態に係る本人性スコア算出装置１０および認証装置２０は、例えば図３８に示すような構成のコンピュータ９００によって実現される。
　図３８は、本実施形態に係る本人性スコア算出装置１０および認証装置２０の機能を実現するコンピュータ９００の一例を示すハードウェア構成図である。コンピュータ９００は、ＣＰＵ（Central Processing Unit）９０１、ＲＯＭ（Read Only Memory）９０２、ＲＡＭ９０３、ＨＤＤ（Hard Disk Drive）９０４、入出力Ｉ／Ｆ（Interface）９０５、通信Ｉ／Ｆ９０６およびメディアＩ／Ｆ９０７を有する。

　ＣＰＵ９０１は、ＲＯＭ９０２またはＨＤＤ９０４に記憶されたプログラムに基づき作動し、制御部による制御を行う。ＲＯＭ９０２は、コンピュータ９００の起動時にＣＰＵ９０１により実行されるブートプログラムや、コンピュータ９００のハードウェアに係るプログラム等を記憶する。

　ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、マウスやキーボード等の入力装置９１０、および、ディスプレイやプリンタ等の出力装置９１１を制御する。ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、入力装置９１０からデータを取得するともに、生成したデータを出力装置９１１へ出力する。なお、プロセッサとしてＣＰＵ９０１とともに、ＧＰＵ（Graphics Processing Unit）等を用いても良い。

　ＨＤＤ９０４は、ＣＰＵ９０１により実行されるプログラムおよび当該プログラムによって使用されるデータ等を記憶する。通信Ｉ／Ｆ９０６は、通信網（例えば、ＮＷ（Network）９２０）を介して他の装置からデータを受信してＣＰＵ９０１へ出力し、また、ＣＰＵ９０１が生成したデータを、通信網を介して他の装置へ送信する。

　メディアＩ／Ｆ９０７は、記録媒体９１２に格納されたプログラムまたはデータを読み取り、ＲＡＭ９０３を介してＣＰＵ９０１へ出力する。ＣＰＵ９０１は、目的の処理に係るプログラムを、メディアＩ／Ｆ９０７を介して記録媒体９１２からＲＡＭ９０３上にロードし、ロードしたプログラムを実行する。記録媒体９１２は、ＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto Optical disk）等の光磁気記録媒体、磁気記録媒体、半導体メモリ等である。

　例えば、コンピュータ９００が本発明の本人性スコア算出装置１０および認証装置２０として機能する場合、コンピュータ９００のＣＰＵ９０１は、ＲＡＭ９０３上にロードされたプログラムを実行することにより、本人性スコア算出装置１０および認証装置２０の機能を実現する。また、ＨＤＤ９０４には、ＲＡＭ９０３内のデータが記憶される。ＣＰＵ９０１は、目的の処理に係るプログラムを記録媒体９１２から読み取って実行する。この他、ＣＰＵ９０１は、他の装置から通信網（ＮＷ９２０）を介して目的の処理に係るプログラムを読み込んでもよい。

＜効果＞
　以下、本発明に係る本人性スコア算出装置１０等の効果について説明する。
　本発明に係る本人性スコア算出装置は、本人性スコア算出装置１０は、ユーザ認証を行う認証装置２０に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置１０であって、認証装置２０は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、本人性スコア算出装置１０が、ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境および当該ユーザ端末から得られる行動履歴を、振る舞い情報として収集する振る舞い情報収集部１１２と、認証装置２０から、アカウントにアクセスしたユーザの通常認証および高度認証の成功または失敗を示す認証結果を収集し、アカウント毎の認証結果を認証結果情報として記憶部１３に格納する認証結果収集部１１１と、所定期間内にアカウントにアクセスしてきたユーザに対して、通常認証に加えて高度認証を実行するか否かを判定し、高度認証を実行すると判定したユーザに関し、複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する高度認証手段を、振る舞い情報を参照して決定し、高度認証を実行すると判定したユーザについて決定した高度認証手段を、認証装置２０に通知する高度認証制御部１１４と、所定期間内にアカウントへアクセスしてきたユーザに対し、認証結果情報を参照して、過去に同一アカウントにアクセスして高度認証の結果が失敗であるユーザを抽出し、高度認証に失敗した本人であるかを評価するための高度認証を実行すると決定して認証装置２０による高度認証を行わせ、当該高度認証の認証結果が成功である場合に、今回と過去のユーザの振る舞い情報を比較する所定のユーザ同一性推定ロジックにより、当該アカウントへアクセスしてきた今回と過去のユーザが同一であると推定されるときに、アカウントにアクセスしてきた際の過去の認証結果情報を、今回成功した認証結果情報に変更する高度認証結果評価部１１５と、認証結果情報から得られる、通常認証の成功および失敗のユーザ数、高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部１１７と、を備えることを特徴とする。

　このようにすることにより、本人性スコア算出装置１０は、ユーザ本人が高度認証に失敗した場合（false negative）であっても、そのfalse negativeのユーザを可視化することができる。具体的には、本人性スコア算出装置は、過去に高度認証に失敗した本人であっても、高度認証に失敗した本人であるかを評価するための高度認証を実行し、その高度認証が成功した場合には、所定のユーザ同一性推定ロジックに基づき、今回と過去のユーザが同一であると推定して、過去の認証結果情報を変更することができる。
　よって、本人の割合の推定の精度を、より向上させることができる。

　また、本人性スコア算出装置１０において、振る舞い情報には、アクセス時のユーザ端末の端末識別子、および、ユーザとユーザ端末とを紐づける情報を含み、高度認証結果評価部１１５は、所定のユーザ同一性推定ロジックとして、今回と過去のアクセス時において、端末識別子が同じであり、ユーザとユーザ端末とを紐づける情報が同じであれば、今回と過去のアクセス時のユーザが同一であると推定することを特徴とする。

　このようにすることで、本人性スコア算出装置１０は、高度認証に失敗したユーザを特定しなくても、過去に高度認証に失敗したユーザと、今回高度認証に成功したユーザとが同一であると推定することで、false negativeの評価が可能となる。

　また、本人性スコア算出装置１０において、ユーザとユーザ端末とを紐づける情報は、ユーザ端末に登録した生体情報の識別子と登録時刻であることを特徴とする。

　このようにすることで、本人性スコア算出装置１０は、端末を複数のユーザで共有している場合であっても、生体情報によりユーザと特定し、過去に高度認証に失敗したユーザと、今回高度認証に成功したユーザとが同一であることを推定することができる。

　また、本人性スコア算出装置１０において、振る舞い情報には、ユーザ端末の位置情報、ユーザ端末が備えるアプリケーションの利用履歴を含むユーザ端末関連情報、および、アウトオブバンドの外部装置から取得した行動履歴を、さらに含み、高度認証結果評価部１１５は、所定のユーザ同一性推定ロジックとして、今回のアクセスと過去のアクセスとの間で、生体情報が更新されている場合に、今回と過去のアクセス時における、振る舞い情報を比較し、類似している場合にユーザが同一であると推定することを特徴とする。

　このようにすることで、本人性スコア算出装置１０は、過去に高度認証に失敗した後に、生体情報が更新されている場合であっても、ユーザ端末から取得したユーザ端末関連情報や、アウトオブバンドの外部装置から取得した行動履歴を含む振る舞い情報を、今回と過去とで比較し、類似している場合に、ユーザが同一であると推定することができる。

　また、本人性スコア算出装置１０において、振る舞い情報には、アクセス時のユーザ端末の端末識別子、ユーザ端末の位置情報、ユーザ端末が備えるアプリケーションの利用履歴を含むユーザ端末関連情報、および、アウトオブバンドの外部装置から取得した行動履歴を含み、高度認証結果評価部１１５は、所定のユーザ同一性推定ロジックとして、今回と過去のアクセス時における、振る舞い情報を比較し、類似している場合にユーザが同一であると推定することを特徴とする。

　このようにすることで、本人性スコア算出装置１０は、ユーザが複数の端末（ユーザ端末）を所有（利用）していて、高度認証に失敗した時と、成功した時とで、異なる端末を利用した場合であっても、今回と過去の振る舞い情報を比較して類似していれば、ユーザが同一であると推定することができる。

　なお、本発明は、以上説明した実施形態に限定されるものではなく、多くの変形が本発明の技術的思想内で当分野において通常の知識を有する者により可能である。

　１　　　本人性認証システム
　３　　　ユーザ端末
　１０　　本人性スコア算出装置
　２０　　認証装置
　４０　　外部サーバ
　５１　　Ｗｅｂサーバ
　５２　　社内システム
　５３　　クラウドサービス
　１１，２１　制御部
　１２，２２　入出力部
　１３，２３　記憶部
　１００　認証結果ＤＢ
　１１０　認証結果情報
　１１１　認証結果収集部
　１１２　振る舞い情報収集部
　１１３　外部サーバ連携部
　１１４　高度認証制御部
　１１５　高度認証結果評価部
　１１６　統計処理部
　１１７　確率算出部
　１１８　サンプリング制御部
　２００　振る舞い情報ＤＢ
　２１１　ユーザ端末関連情報取得部
　２１２　認証処理部
　２１３　通常認証選択部
　２１４　認証制御部
　２１５　一元情報管理部
　２２０　振る舞い情報
　２２１　アクセス情報
　２２２　入退室管理情報
　３００　統計情報ＤＢ
　３１０　統計情報
　４００　サンプリング情報ＤＢ
　４１０　サンプリング履歴情報
　４２０　点推定値の差分ごとの抽出割合と抽出期間の一覧情報
　４３０　閾値情報
　５００　ユーザ情報ＤＢ

Claims

　ユーザ認証を行う認証装置に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置であって、
　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
　前記本人性スコア算出装置は、
　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境および当該ユーザ端末から得られる行動履歴を、振る舞い情報として収集する振る舞い情報収集部と、
　前記認証装置から、前記アカウントにアクセスしたユーザの前記通常認証および前記高度認証の成功または失敗を示す認証結果を収集し、前記アカウント毎の認証結果を認証結果情報として記憶部に格納する認証結果収集部と、
　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、
　前記所定期間内にアカウントへアクセスしてきたユーザに対し、前記認証結果情報を参照して、過去に同一アカウントにアクセスして高度認証の結果が失敗であるユーザを抽出し、高度認証に失敗した本人であるかを評価するための高度認証を実行すると決定して前記認証装置による高度認証を行わせ、当該高度認証の認証結果が成功である場合に、今回と過去のユーザの前記振る舞い情報を比較する所定のユーザ同一性推定ロジックにより、当該アカウントへアクセスしてきた今回と過去のユーザが同一であると推定されるときに、前記アカウントにアクセスしてきた際の過去の認証結果情報を、今回成功した認証結果情報に変更する高度認証結果評価部と、
　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、
　を備えることを特徴とする本人性スコア算出装置。
　前記振る舞い情報には、アクセス時の前記ユーザ端末の端末識別子、および、ユーザとユーザ端末とを紐づける情報を含み、
　前記高度認証結果評価部は、前記所定のユーザ同一性推定ロジックとして、今回と過去のアクセス時において、前記端末識別子が同じであり、前記ユーザとユーザ端末とを紐づける情報が同じであれば、今回と過去のアクセス時のユーザが同一であると推定すること
　を特徴とする請求項１に記載の本人性スコア算出装置。
　前記ユーザとユーザ端末とを紐づける情報は、前記ユーザ端末に登録した生体情報の識別子と登録時刻であること
　を特徴とする請求項２に記載の本人性スコア算出装置。
　前記振る舞い情報には、前記ユーザ端末の位置情報、前記ユーザ端末が備えるアプリケーションの利用履歴を含むユーザ端末関連情報、および、アウトオブバンドの外部装置から取得した行動履歴を、さらに含み、
　前記高度認証結果評価部は、前記所定のユーザ同一性推定ロジックとして、今回のアクセスと過去のアクセスとの間で、前記生体情報が更新されている場合に、今回と過去のアクセス時における、前記振る舞い情報を比較し、類似している場合にユーザが同一であると推定すること
　を特徴とする請求項３に記載の本人性スコア算出装置。
　前記振る舞い情報には、アクセス時の前記ユーザ端末の端末識別子、前記ユーザ端末の位置情報、前記ユーザ端末が備えるアプリケーションの利用履歴を含むユーザ端末関連情報、および、アウトオブバンドの外部装置から取得した行動履歴を含み、
　前記高度認証結果評価部は、前記所定のユーザ同一性推定ロジックとして、今回と過去のアクセス時における、前記振る舞い情報を比較し、類似している場合にユーザが同一であると推定すること
　を特徴とする請求項１に記載の本人性スコア算出装置。
　ユーザ認証を行う認証装置に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置の本人性認証方法であって、
　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
　前記本人性スコア算出装置は、
　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境および当該ユーザ端末から得られる行動履歴を、振る舞い情報として収集するステップと、
　前記認証装置から、前記アカウントにアクセスしたユーザの前記通常認証および前記高度認証の成功または失敗を示す認証結果を収集し、前記アカウント毎の認証結果を認証結果情報として記憶部に格納するステップと、
　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知するステップと、
　前記所定期間内にアカウントへアクセスしてきたユーザに対し、前記認証結果情報を参照して、過去に同一アカウントにアクセスして高度認証の結果が失敗であるユーザを抽出し、高度認証に失敗した本人であるかを評価するための高度認証を実行すると決定して前記認証装置による高度認証を行わせ、当該高度認証の認証結果が成功である場合に、今回と過去のユーザの前記振る舞い情報を比較する所定のユーザ同一性推定ロジックにより、当該アカウントへアクセスしてきた今回と過去のユーザが同一であると推定されるときに、前記アカウントにアクセスしてきた際の過去の認証結果情報を、今回成功した認証結果情報に変更するステップと、
　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出するステップと、
　を実行することを特徴とする本人性認証方法。
　ユーザの本人性を示すスコアを算出する本人性スコア算出装置と、ユーザ認証を行う認証装置とを備える本人性認証システムであって、
　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
　前記本人性スコア算出装置は、
　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境および当該ユーザ端末から得られる行動履歴を、振る舞い情報として収集する振る舞い情報収集部と、
　前記認証装置から、前記アカウントにアクセスしたユーザの前記通常認証および前記高度認証の成功または失敗を示す認証結果を収集し、前記アカウント毎の認証結果を認証結果情報として記憶部に格納する認証結果収集部と、
　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、
　前記所定期間内にアカウントへアクセスしてきたユーザに対し、前記認証結果情報を参照して、過去に同一アカウントにアクセスして高度認証の結果が失敗であるユーザを抽出し、高度認証に失敗した本人であるかを評価するための高度認証を実行すると決定して前記認証装置による高度認証を行わせ、当該高度認証の認証結果が成功である場合に、今回と過去のユーザの前記振る舞い情報を比較する所定のユーザ同一性推定ロジックにより、当該アカウントへアクセスしてきた今回と過去のユーザが同一であると推定されるときに、前記アカウントにアクセスしてきた際の過去の認証結果情報を、今回成功した認証結果情報に変更する高度認証結果評価部と、
　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、を備え、
　前記認証装置は、
　前記アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、前記本人性スコア算出装置から通知された高度認証手段により、前記高度認証を実行すると判定したユーザに対し高度認証を実行し、前記通常認証および前記高度認証の前記認証結果情報を前記本人性スコア算出装置に送信する認証処理部を備えること
　を特徴とする本人性認証システム。
　コンピュータを、請求項１乃至請求項５の何れか一項に記載の本人性スコア算出装置として機能させるためのプログラム。