JP4495545B2 - 不正使用防止装置及び方法 - Google Patents

Description

本発明は、携帯端末（携帯電話、ＰＤＡ等）やパーソナルコンピュータ等の情報処理機器に搭載され、その機器を使用して様々な処理を実行しようとするユーザが、その使用を許可された本人であるかどうかを認証して、不正使用を防止する技術に関する。

近年、携帯端末に、いわゆるＩＣカード機能を実現するチップやカードを搭載することにより、携帯端末を利用した様々なサービスを提供することが検討されている。例えば、ユーザが、自身の所有するＩＣカード搭載携帯端末を、ＩＣカードのリーダ／ライタを備えたサービス端末と通信させることにより、電子マネーによる決済処理、商品の購入等に伴うポイントサービス処理、交通機関の改札精算処理、電子チケットによる入場処理、入退室や勤務管理に関する処理など、各種サービスを利用することが可能になろうとしている。

このようなＩＣカード機能を実現するチップやカードにおいては、プログラムや重要なデータはＩＣチップ内に密閉され、権限を有する装置以外からは、重要な情報もそれにアクセスするための鍵やロジックも見えないように構成されており、重要な情報を暗号処理して格納することができる。重要な情報としては、例えば、クレジットカードのデータや、電子チケットのデータ等がある。

上記のように格納された重要な情報は、権限を有する装置以外からはアクセスできないものの、権限を有しないユーザ（本人以外のユーザ）がＩＣカードやＩＣカード機能を搭載した携帯端末を取得してしまえば、これらの重要な情報に基づいて提供されるサービスを利用できてしまう。しかも、携帯端末は、充電が頻繁に必要となるため、例えばオフィスの机で電源に接続したまま、放置されることも多い。この場合、携帯端末を紛失しなくても、上記のような不正使用がされる可能性は高まる。

また、携帯端末には、電子商取引等に関わる重要な情報ばかりでなく、プライバシーに関わる情報も保存されている。例えば、アドレス帳や、スケジュール、送受信メール、発着信履歴などである。携帯端末内に記憶されているこれらの情報を、本人以外のユーザに不正閲覧されたくないという要望も、高まっている。

このような状況で、様々な不正使用防止の仕組みが検討されている。一般的な仕組みとしては、パスワード認証があり、最近では、指紋認証デバイスを搭載した携帯電話も製品化されている。特許文献１には、指紋認証により、通信制御部の制限の解除操作を許容することが開示されている。また、各種認証方式から得られた結果を融合して、本人認証を行なう技術も、提案されている。例えば、特許文献２には、本人であるかどうかの確率を、２種類以上の認証方式を用いてそれぞれ求め、それぞれの結果から論理値を求めて本人か否かを判断することが、記載されている。特許文献３には、２種類以上の認証方式によりそれぞれ本人か否かを判断し、全ての認証方式が本人と判断した場合に本人であると決定することが、記載されている。
特開２００２−４４７２７号公報 特開２０００−２４２７８６号公報 特開２０００−２５９８２８号公報

従来知られている不正使用防止の技術は、情報処理機器において、ロックがかけられた処理を実行しようとしたときに、ロックの解除のために、本人認証を行なうというものである。このような技術によれば、重要な情報やプライバシーに関わる情報を保護したいユーザは、ロックをかけて、これらの情報を利用してサービスを受けるためのアプリケーションやこれらの情報を閲覧するアプリケーションを、本人認証に成功しない限り、起動や実行ができないようにする必要がある。ロックをかけることで、他人に不正使用されないようにすることができるが、本人が使用したいときに、いちいち本人認証のための特別な動作（パスワード入力や、指紋認証デバイスへの指の押し当て等）を強いられるため、面倒であり、所望のアプリケーションが起動されるまでの時間も、本人認証のための処理時間の分、遅くなってしまう。

また、仮に、情報処理機器を使用しているユーザが本人であるか否かを常に何らかの手段で確認し続けることが可能であれば、あるサービスや情報を使用したいときになって本人認証のための特別な動作が必要となるという煩わしさは解消されるであろうが、そのように本人認証を常時行ない続けることは、特に情報処理機器が携帯端末である場合には、その使用の形態や物理的な制限から、実現が困難である。したがって、本人認証をどのようなタイミングで行なうか、また、本人認証が行なわれていない期間の不正使用をどのように防止するか等について、工夫が必要である。

本発明は、上記した背景に鑑み、他人の不正使用からの情報処理機器の保護を、ユーザが本人認証のための特別な動作を要求される煩わしさが低減されるように、且つ、本人認証のために情報処理機器の処理能力に対して過度の負荷がかかることのないように、実現することのできる機構の提供を目的とする。

本発明に係る不正使用防止装置は、ユーザによる機器への入力に含まれる特徴と登録された本人の特徴とを照合して前記ユーザが前記本人である可能性を認証結果として求める認証手段と、前記認証手段による認証結果に基づいて求められる本人らしさを示す値を記憶するための記憶手段と、本人認証のための入力要求に応じてなされる入力以外の入力を含むユーザによる入力を対象として前記認証手段により求められる認証結果と時間の経過とに基づき、前記記憶手段に記憶される本人らしさを示す値を制御する第一の制御手段と、本人認証を必要とする処理を開始する指示に応じて、前記記憶手段に記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の実行の許否を制御する第二の制御手段とを備えたことを特徴とする。

この構成により、本人認証のための入力要求に応じてなされる入力以外の入力（例えば、指紋認証デバイスが埋め込まれたボタンをユーザが機器の操作に利用したときにそのボタンに接触したユーザの指の指紋、ユーザが機器を通じた音声通話や機器に対する音声コマンド発行をしたときにマイクに入力されるユーザの音声、ユーザが機器を操作しているときにユーザに向いているカメラにより捕らえられたユーザの画像等）を対象として本人認証が行なわれるため、ユーザの機器に対する自然な操作を流用して本人認証を行なうことが可能になる。すなわち、ユーザが本人認証のための特別な動作を要求される煩わしさを低減することが可能になる。また、この構成では、認証が行なわれてから時間が経過すると、ユーザが現在も認証された本人であり続けている可能性は変化することに着目し、本人らしさを示す値の更新を、本人認証の結果だけではなく、時間の経過によっても行なうため、機器が本人認証を常時行ない続けていなくても、ある程度適切な本人らしさを示す値を保持しておくことが可能になる。すなわち、本人認証のために情報処理機器の処理能力に対して過度の負荷をかけなくても、ユーザに煩わしさを感じさせない不正使用防止が実現できる。

本発明に係る不正使用防止装置において、前記第二の制御手段は、本人認証を必要とする処理を開始する指示があると、本人認証のための入力をユーザに要求することなく、前記記憶手段に記憶されている本人らしさを示す値を参照するものであり、参照した値が所定の閾値以上でなければ、開始が指示された処理の実行を許可せずに、本人認証のための入力をユーザに要求する構成としてもよい。

この構成により、本人認証を必要とする処理を開始する際に、上記のように保持している本人らしさを示す値が所定の閾値以上であれば、本人認証のための入力がされなくても、本人認証が成功したものとみなして（これを本明細書では「みなし認証」と呼ぶことがある）、その処理の実行を許可することができる。このみなし認証も、ユーザが意図的に本人認証のための専用の動作を行なわなければならない場面が生じないようにするものであるから、ユーザに煩わしさを感じさせない不正使用防止の実現に寄与する。

本発明に係る不正使用防止装置において、前記第一の制御手段は、ユーザによる入力として、前記機器により本人認証以外の目的で利用される入力もしくはユーザが本人認証以外の目的で行なう動作に付随する入力を用いて、前記認証手段に認証結果を求めさせる構成としてもよい。

この構成により、ユーザによる入力として、機器により本人認証以外の目的（便宜上「本来の目的」と呼ぶ）で利用される入力があると、その入力（例えば指によるボタンの押下）を利用して本来の目的のための処理を行ないつつ、その裏で、その入力（例えば同じボタンに接触した指の指紋）を対象として本人認証を行なう（これを本明細書では「裏認証」と呼ぶことがある）ことができる。同様に、ユーザによる入力として、ユーザが本人認証以外の目的（「本来の目的」）で行なう動作に付随する入力があると、その動作（例えば携帯機器を手中に保持するための、指による機器裏面の支持）が本来の目的を果たしているその裏で、それに付随する入力（例えばその支持部分に接触している指の指紋）を対象として本人認証（「裏認証」）を行なうことができる。このような「裏認証」の結果に基づいて、上記のように保持している本人らしさを示す値が随時更新される（これを本明細書では「持続型本人認証」と呼ぶことがある）ため、「みなし認証」に用いられる本人らしさを示す値を、より適切なものに保つことが可能になる。

本発明に係る不正使用防止装置において、前記第一の制御手段は、前記認証手段による認証結果が得られない間は、時間の経過に伴って前記記憶手段に記憶される本人らしさを示す値を減少させており、前記認証手段による認証結果が得られると、得られた認証結果に従って前記記憶手段に記憶される本人らしさを示す値を増加、維持、又は減少させる構成としてもよい。

この構成によれば、上記の「裏認証」は、ユーザが本人認証されることを意識しない入力をも対象として行なわれるものであり、そのタイミングは、予め定められるようなものではないが、「裏認証」の結果が得られない間は、時間の経過に伴って本人らしさを示す値を減少させることで、本人らしさを示す値をある程度適切なものに保つことが可能になる。そして、「裏認証」の結果が得られ、その結果が示す本人である可能性が高ければ、本人らしさを示す値を増加もしくは維持し、「裏認証」の結果が示す本人である可能性が低ければ（他人である可能性が高ければ）、本人らしさを示す値を時間の経過に伴う減少よりも急激に減少させることで、「みなし認証」に用いられる本人らしさを示す値を、より適切なものに保つことが可能になる。なお、ユーザが機器の傍を離れる場合など、本人らしさを示す値を低下させておきたい場合に、時間の経過や「裏認証」の結果が得られるのを待たずに、明示的に本人らしさを示す値を減少させることができるように、本人らしさを示す値をユーザの指示に応じて減少させる手段を別に設けておいても構わない。

上記の不正使用防止装置において、前記第一の制御手段は、前記認証手段により認証の対象とすることが可能な、ユーザによる入力がある度に、前記認証手段に認証結果を求めさせるようにしてもよい。

これにより、上記の「裏認証」が行なわれる頻度を高くすることができ、その分、本人らしさを示す値の精度を高めることができる。例えば、他人が機器に対して「裏認証」に流用することが可能な操作を行なった場合に、入力がある度に本人認証を行なう構成であれば、早いうちに、他人が使用している可能性が高いことを検出して本人らしさを示す値を急激に減少させることができ、安全性が高まる。

上記の不正使用防止装置において、前記第一の制御手段は、前記認証手段による認証結果が前回得られてから所定の期間を経過した場合に、前記認証手段により認証の対象とすることが可能な、ユーザによる入力があると、前記認証手段に認証結果を求めさせるようにしてもよい。

これにより、上記の「裏認証」が行なわれる頻度を、入力がある度に本人認証を行なう構成よりも低くすることができ、本人認証のために消費される機器の処理能力やバッテリーを少なくすることができる。但し、所定の期間内は、他人が機器に対して「裏認証」に流用することが可能な操作を行なっても「裏認証」が行なわれないため、本人らしさを示す値が時間の経過に伴う分しか減少せず、安全性は、入力がある度に本人認証を行なう構成よりも低くなるかもしれない。

上記の不正使用防止装置において、前記第一の制御手段は、前記記憶手段に記憶されている本人らしさを示す値が所望の閾値より低い状態である場合に、前記認証手段により認証の対象とすることが可能な、ユーザによる入力があると、前記認証手段に認証結果を求めさせるようにしてもよい。

これによっても、上記の「裏認証」が行なわれる頻度を、入力がある度に本人認証を行なう構成よりも低くすることができ、本人認証のために消費される機器の処理能力やバッテリーを少なくすることができる。なお、本人らしさを示す値が所望の閾値より低い状態とは、本人認証のための入力無しでは所望のアプリケーションを起動／実行できない状態であるため、この構成は、ユーザが本人である限りそのアプリケーションを常に使用可能にしておきたいという要望に沿うものである。

本発明に係る不正使用防止装置において、前記第一の制御手段は、前記認証手段による認証結果が得られない間は、所定の関数に基づいて時間の経過とともに前記記憶手段に記憶される本人らしさを示す値を減少させるものとし、前記第二の制御手段は、前記所定の閾値として、前記機器により提供されるサービス毎に設定されている閾値のうち、前記開始が指示された処理が行なうサービスに対応する閾値を用いて、前記記憶手段に記憶されている本人らしさを示す値との比較を行なうものとしてもよい。さらに、前記記憶手段に記憶されている本人らしさを示す値が、前記認証手段による認証結果が得られずに、各サービスに対応する処理が実行拒否されるレベルへ低下するまでにかかる時間が、各サービスに要求される安全性に応じた長さとなるように、前記サービス毎の閾値と前記所定の関数の少なくとも一方を決定するようにしてもよい。

これにより、「裏認証」の結果が得られない間、所定の関数に基づいて時間の経過とともに本人らしさを示す値が低下していくのにつれて、各サービス（機器が例えばサービス端末と通信することにより提供するサービスだけでなく、機器が例えばプライバシーに関わる情報を閲覧するアプリケーションを実行することもサービスの一種に含まれ得る）の利用が、要求される安全性の高いものから、順々に制限されていくようにできる。例えば、決済処理、メール閲覧処理、改札処理の順に、要求される安全性が高い（本人であることが高い確からしさで確認されなければ実行を許可したくない）ものとすると、本人らしさを示す値が、３分で決済処理の許可に必要なレベルより低くなり、１０分でメール閲覧処理の許可に必要なレベルより低くなり、３０分で改札処理の許可に必要なレベルより低くなるように、サービス毎の閾値と所定の関数との関係を設定することができる。なお、サービス毎の閾値は、プライバシーに関わる情報を見るサービスであれば、ユーザにより設定されてもよい。サービス端末との通信により提供されるサービスであれば、そのサービスプロバイダにより設定されてもよいし、サービスプロバイダにより設定された閾値より高い任意の閾値をユーザが設定できるようにしてもよい。

本発明に係る不正使用防止装置において、前記認証手段は、複数の認証方式により複数の認証結果を求めるものとし、前記複数の認証方式は、ユーザによる前記機器への入力のうち第一の種類を対象とする第一の認証方式と、ユーザによる前記機器への入力のうち前記第一の種類とは異なる第二の種類を対象とし、前記第一の認証方式よりも認証精度の低い第二の認証方式とを含み、前記第一の制御手段は、前記第一の認証方式による認証結果に基づいて求められ前記記憶手段に記憶されている本人らしさを示す値を、前記第二の認証方式による認証結果に基づいて補正する構成としてもよい。

この構成によれば、認証精度の高い方式（例えば指紋認証や、虹彩認証等）をメイン認証方式とし、認証制度の低い方式（例えば音声による話者認証や、画像による顔認証、キーストロークの癖による認証等）をサブ認証方式とし、種々のタイミングで得られるこれらの認証結果を組み合わせることにより、「みなし認証」に用いられる本人らしさを示す値を、より適切なものに保つことが可能になる。

上記の不正使用防止装置において、前記第一の制御手段は、第一の条件を満たす場合に、ユーザによる前記第一の種類の入力があると、前記認証手段に前記第一の認証方式による認証結果を求めさせ、第二の条件を満たす場合に、ユーザによる前記第二の種類の入力があると、前記認証手段に前記第二の認証方式による認証結果を求めさせるものとし、前記第一及び第二の条件は、前記第一の認証方式を用いる頻度が、前記第二の認証方式を用いる頻度よりも低くなるように、決定されたものとしてもよい。

これにより、認証精度の高いメイン方式が、サブ方式よりも機器の処理能力やバッテリーを多く消費するものであるとすれば、そのメイン方式により本人認証を行なう頻度をサブ方式よりも低くし、メイン方式によって大まかに決められる本人らしさを示す値を、頻繁に求められるサブ方式による認証結果で細かく補正することができるため、本人認証のために機器にかける負荷を低減しつつ、より適切な本人らしさを示す値を保持することが可能になる。

本発明に係る不正使用防止装置を、前記記憶手段に記憶されている本人らしさを示す値に関してユーザへ通知する通知手段を更に備えた構成としてもよい。

この構成により、ユーザは、例えば、現在の本人らしさを示す値がどのレベルにあるのかを把握することができるため、本人らしさを示す値が所望のレベルより低くなっている場合には、機器に対して「裏認証」の対象となる入力が行なわれるように、意識的に動作を行なうことで、本人認証を必要とする処理の発生前に、予め本人らしさを示す値を高くしておくことが可能になる。すると、例えば、本人認証を必要とする処理が、機器がサービス端末との通信により提供するサービスを利用するためのものである場合には、サービス端末の前でユーザが本人認証のための入力をすることなく、サービスが利用できるため、他人の不正使用を防止しつつ、サービス端末の前の待ち行列を短縮することも可能になる。

上記の不正使用防止装置において、前記通知手段が、前記記憶手段に記憶されている本人らしさを示す値が所望の閾値より低い状態である場合に、ユーザに、前記認証手段により認証の対象とすることが可能な入力を促す手段を含むようにしてもよい。

これにより、本人らしさを示す値が所望のレベルより低くなっていることについて、ユーザの注意を喚起することができ、さらに、本人らしさを示す値を高くするための入力をユーザに促すことができるため、機器の使い勝手が向上する。また、入力を促すだけでなく、どのような動作により「裏認証」の対象となる入力が行なわれるかをユーザに教えるようにしても構わない。

上記の不正使用防止装置において、前記第二の制御手段は、前記所定の閾値として、前記機器により提供されるサービス毎に設定されている閾値のうち、前記開始が指示された処理が行なうサービスに対応する閾値を用いて、前記記憶手段に記憶されている本人らしさを示す値との比較を行なうものとし、前記通知手段は、前記記憶手段に記憶されている本人らしさを示す値が、いずれのサービスに対応する処理が実行許可されるレベルにあるかを、ユーザが判別可能なように、通知するものとしてもよい。

この通知を受けることにより、ユーザは、自分がこれから利用しようとしているサービスがどのレベルの本人らしさを必要とするものかを知っていれば、現在の本人らしさを示す値のまま、本人認証のための入力無しで、そのサービスを利用（対応するアプリケーションを起動）できるかどうかを予め認識することができるため、事前に、本人らしさを示す値を必要なレベルまで上げておくことが可能になる。なお、これから利用しようとしているサービスがどのレベルの本人らしさを要求するものかは、例えば機器と通信する予定のサービス端末にそのレベルを表示しておくことにより、ユーザに知らせることが可能である。

本発明に係る不正使用防止方法は、ユーザによる機器への入力に含まれる特徴と登録された本人の特徴とを照合して前記ユーザが前記本人である可能性を認証結果として求める認証モジュールを備えた、前記機器における不正使用防止方法であって、本人認証のための入力要求に応じてなされたのではないユーザによる入力を対象として前記認証モジュールにより認証結果を求め、前記認証結果に基づいて求められる本人らしさを示す値をメモリに記憶し、前記メモリに記憶された本人らしさを示す値を時間の経過に基づいて減少させ、本人認証を必要とする処理を開始する指示に応じて、前記メモリに記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の実行の許否を制御することを特徴とする。

なお、本発明に係る不正使用防止装置に関して上記に述べた事項は、全て、本発明に係る不正使用防止方法に関しても適用可能なものである。例えば、上記の「裏認証」及び「持続型本人認証」は、本発明に係る不正使用防止方法において、前記時間の経過中にユーザによりなされた、前記機器により本人認証以外の目的で利用される入力もしくはユーザが本人認証以外の目的で行なう動作に付随する入力を対象として、前記認証モジュールにより新たな認証結果を求め、前記新たな認証結果に従って、前記メモリに記憶された本人らしさを示す値を増加、維持、又は減少させることにより、実現可能である。また、上記の「みなし認証」は、本発明に係る不正使用防止方法において、前記メモリに記憶されている本人らしさを示す値が、前記所定の閾値より低いレベルまで減少していなければ、本人認証のための入力をユーザに要求することなく、前記開始が指示された処理の実行を許可することにより、実現可能である。

上述した本発明は、ユーザによる機器への入力に含まれる特徴と登録された本人の特徴とを照合して前記ユーザが前記本人である可能性を認証結果として求める認証モジュールを備える機器のメモリに格納されて、不正使用防止を実現するためのプログラムとしても、また、そのようなプログラムを記憶する記憶媒体としても、実施可能なものである。

本発明に係る不正使用防止機能付き機器は、ユーザによる入力を受け付ける入力手段と、指示された処理を実行する処理手段と、前記入力手段により受け付けられた入力に含まれる特徴と登録された本人の特徴とを照合して前記ユーザが前記本人である可能性を認証結果として求める認証手段と、前記認証手段による認証結果に基づいて求められる本人らしさを示す値を記憶するための記憶手段と、本人認証のための入力要求に応じてなされる入力以外の入力を含むユーザによる入力を対象として前記認証手段により求められる認証結果と時間の経過とに基づき、前記記憶手段に記憶される本人らしさを示す値を制御する第一の制御手段と、本人認証を必要とする処理を開始する指示に応じて、前記記憶手段に記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の前記処理手段による実行を許可又は拒否する第二の制御手段とを備えたことを特徴とする。

上記の不正使用防止機能付き機器において、前記認証手段及び前記第一及び第二の制御手段を実現するためのプログラムと、前記登録された本人の特徴を含む所定のデータとは、前記機器内にセキュアに格納され（例えばプロセッサとメモリを備えるＩＣチップ内に密閉され）、前記記憶手段に記憶された本人らしさを示す値は、前記第一の制御手段以外からは変更不可能であることが好ましい。

上述した本発明において、認証手段／認証モジュールの認証の対象となり得る入力の例としては、前記機器が備えるボタンに接触したユーザの指の指紋、前記機器が備えるマイクに対してユーザが発した音声、前記機器が備えるカメラが捉えたユーザの身体の一部の画像、前記機器をユーザが自身の手中に保持するために接触する部分に設けられたセンサへ入力されたデータ、前記機器が備えるキー群に対するユーザのキーストローク、及び前記機器がユーザの行動に応じて外部の機器と通信することにより得られる情報のうち少なくとも一つを挙げることができる。

上述したように、本発明によれば、機器が本人らしさを示す値を常に保持しており、本人認証を必要とする処理の際には「みなし認証」を行なうとともに、時間の経過と「裏認証」とによって本人らしさを示す値を更新するため、他人の不正使用からの適切な保護（ロック）と、ロック解除のための手間や時間の低減とを、両立することが可能となる。

以下、本発明の実施の形態について図面を用いて説明する。なお、以下では携帯端末を例にとって説明するが、本実施形態に係る不正使用防止装置は、携帯されない例えばパーソナルコンピュータ等にも適用可能なものである。

図１は、本実施形態に係る携帯端末の内部構成例を示す。入力部１１０は、指紋センサ、マイク、カメラ、キーパッド等により、ユーザの操作入力を取り込むとともに、ユーザの自然な操作から個人データを取り込む機能を有する。制御部１２０は、CPU、RAM、ROM
等から構成され、入力部１１０からの操作入力に基づいてプログラムを実行し、結果を表示部１３０に表示したり、メモリに記憶したりする。制御部１２０は、認証を要求される処理の実行が要求されると、その処理を実行する前に、後述する認証制御部１６０へ、アプリケーションの起動命令やデータへのアクセス命令等を渡す。表示部１３０は、LEDや
画面、専用表示灯等から構成され、制御部１２０による処理結果を表示する。表示部１３０は、後述する認証制御部１６０で管理されている本人らしさを示す値（認識値とも呼ぶ）を、数段階（レベル）に分けてそれぞれに対応する色を決め、LEDをその時点の本人ら
しさの色に点灯することで、ユーザに通知する機能も有する。

本携帯端末は、本人認証部１４０、照合データ記憶部１５０、認証制御部１６０を含む不正使用防止装置１００を備えている。不正使用防止装置は、例えばＩＣチップとして本携帯端末に組み込まれ、耐タンパ性を有し、不正使用防止装置内に閉じ込められたプログラムや重要なデータの機密性を保つことができるものとする。あるいは、同様の不正使用防止装置をＩＣカードとして構成し、携帯端末に装着することにより、本携帯端末を構成することも可能である。この場合のＩＣカードとして、例えば電子商取引に関わるサービスを、商店のレジや駅の改札、会場のゲート等に設置されたサービス端末と、好ましくは非接触方式で通信することにより、利用するため機能が搭載されたＩＣカードを用いてもよい。

本人認証部１４０は、入力部１１０によりユーザの自然な操作から取り込まれた個人データと、照合データとに基づいて、ユーザの認証を行う。本人認証部１４０における認証は、個人データが取り込まれる度に、又は、認証制御部１６０によって設定されたタイミングで、行われる。照合データ記憶部１５０は、認証方式ごとに利用者の照合に必要なデータ（例えば指紋や音声のデータ）を保持している。照合データは、携帯端末内またはＩＣカード内の耐タンパな領域にセキュアに保存されている。この照合データは、必要に応じて更新できるようにしてもよい。

認証制御部１６０は、本人認証部１４０での認証結果と、時間の経過を元に、ユーザの本人らしさ（認識値）を設定し、持続的にユーザの認識値を管理する（これを「持続型認証手段」という）。持続型認証手段は、本人認証部１４０が認証（「裏認証」）を行うタイミングの管理も行う。持続型認証手段は、時間の経過を元にユーザの本人らしさ（認識値）を変化させる場合もあれば、変化させない制御もありえる。時間の経過と共に、設定した認識値を減少させる場合のユーザの本人らしさ（認識値）の設定は、例えば以下のように行う。
Rec_t = ( Rec_t' * W_all + Rec_x1 * W_x1 ) / (W_all + W_x1)
Rec_t' : 直前のユーザの本人らしさ
Rec_x1 : 認証方式x1で得られたユーザの本人らしさ
W_all : 直前のユーザの本人らしさに対する重み付け
W_x1 : 認証方式x1に対する重み付け
ここで、重み付けW_allおよびW_xは固定値であっても、Rec_t'やRec_xの
値に対応した可変値であってもよい。
また、複数の認証方式による本人らしさが同時に得られた場合の本人らしさの
設定は、例えば以下のように行う。
Rec_t = ( Rec_t' * W_all + Rec_x1 * W_x1 + ・・・ Rec_xn * W_xn ) / (W_all
+ W_x1 + ・・・+ W_xn)
Rec_xn : n番目の認証方式xnで得られたユーザの本人らしさ
W_x1 : 認証方式xnに対する重み付け

認証制御部１６０は、制御部１２０から認証が必要なアプリケーションの起動命令やデータへのアクセス命令を受け取ると、その時点の本人らしさ（認識値）を参照し、閾値以上であれば本人であることが認証されたものとみなして、命令を実行する（これを「みなし認証手段」という）。みなし認証手段と持続型認証手段とは、例えばＩＣチップ内のメモリにセキュアに格納されたプログラムをＩＣチップ内のプロセッサが実行することにより、実現される。本人らしさ（認識値）のデータも、ＩＣチップ内でセキュアに管理され、例えば認識値のレベルに従って表示部１３０が点灯される他には、ＩＣチップの外に出力されず、ＩＣチップの外から書き換えもできないようになっている。

本人認証部１４０において行われる認証方式としては、以下のように種々のものがあり得る。まず、指紋による認証がある。この場合、携帯端末の、ユーザが自然な操作の流れの中で指を接触させる部分に、指紋認証デバイスを搭載する。例えば、指紋認証デバイス（指紋データ取り込みデバイス）が搭載された特定のボタン（入力部１１０に相当）を、ユーザが押すと、ボタンの押下により指定される処理を実行するとともに、指紋認証デバイスにより指紋データが取り込まれて、本人認証部１４０が認証処理を行う。

本人認証部１４０による認証処理は、特定のボタンが押下される度に行うのでもよいし、所定の条件を満たしているときに特定のボタンが押下されると行うのでもよい。所定の条件とは、例えば、前回認証処理をしてから経過した期間をタイマで把握し、所定の期間が過ぎた後という条件にしてもよいし、管理している本人らしさ（認識値）が所定の閾値より下回っているときという条件にしてもよい。所定の条件を満たしていないときに特定のボタンが押下されても、認証処理は行われず、そのボタンの押下により指定される処理の実行だけが行われる。ユーザは、どのボタンに指紋認証デバイスが搭載されているか知っていて操作してもよいし、知らずに押すのでも構わない。

上記の指紋認証デバイスの搭載にむいているボタンとしては、携帯電話機の例であれば、ワンプッシュオープンボタン、決定ボタン、長押しボタン等が挙げられる。ワンプッシュオープンボタンは、折り畳み式の携帯電話機を開くときにだけ使用されるが、比較的精度の良い指紋データが取れる可能性が高い。決定ボタンは、携帯電話を開いて使用中に高頻度で利用されるため、本人認証（裏認証）を頻繁にすることが可能になる。長押しボタンとは、例えば、メール読み込み用ボタン、マナーモード切替用ボタン、iアプリショー
トカット用ボタン等である。長押しするため、ユーザが意識しなくても、精度の良い指紋データが取れることが期待できる。

指紋認証デバイスは、ボタン以外に搭載されることも可能である。例えば、キーパッドの下や、フリップの裏面などである。携帯電話機の場合、フリップの裏面を人差し指で支えて使用することが多いため、その支えるポイントに、指紋認証デバイスを設けておくとよい。なお、指紋認証においては、例えば人差し指と中指では指紋が異なるため、通常中指でフリップの裏面を支えて使用するユーザであれば、中指の指紋を照合データとして登録することになり、そのユーザが中指を接触させない限り、本人であるとは認証されないことになる。

次は、音声による認証である。電話機であれば、通話中の音声を対象とでき、音声コマンドで処理が実行できる端末であれば、音声コマンド入力時の声を対象とできる。なお、音声による認証は、特に雑音のある環境で端末を使用している場合には、指紋による認証に比べて認証精度が低いため、後述するように、指紋による認証をメイン方式として本人らしさ（認識値）を求め、これを音声による認証をサブ方式として補正する形で、採用するとよい。

通話中の音声を認証対象とする場合、音声を電話回線に出力するとともに話者認証も行う。話者認証には、通話開始時の音声でテキスト依存な（"もしもし"、"はい"、"はい、○○です"等）認証を行う方法と、通話時（任意の期間）の音声でテキスト非依存な認証を行う方法とがあり得る。テキスト依存とすると、いつも"もしもし"で通話を開始するユーザであれば、"もしもし"と話した照合データで話者認証をするため、他人がそれを知らずに"はい"で通話を開始した場合には、他人と判別することができる可能性が高い。音声コマンドを認証対象とする場合は、音声コマンドが発声されると、コマンド認識とともに話者認証も行う。

端末にカメラが搭載されている場合には、画像による認証も可能である。例えば、ユーザが何らかの操作（メールの読み込みなど）を開始した際にカメラを起動し、撮影可能範囲内に顔画像があった場合は（携帯電話のメール表示画面の側にカメラがあれば、これを見ているユーザの顔がカメラの撮影範囲に入る可能性が高い）、顔認証を行う。また、ユーザが自分撮りカメラで撮った写真に対して顔画像を抽出し、顔認証するとしてもよい。カメラの解像度が向上すれば、上記と同様なタイミングで虹彩の画像を取り込んで、顔認証より認証精度の高い虹彩認証を行うことも考えられる。

その他の生体認証技術、例えば静脈認証や掌紋認証を用いることも可能である。静脈認証の場合、赤外線を照射してセンサで読取り、静脈パターンにより認証する。例えば、携帯電話機の背面に静脈センサを搭載し、ユーザが携帯電話機を握るとデータが読み取られ、認証されるようにする。掌紋認証の場合も、携帯電話機の背面に掌紋センサを搭載し、ユーザが携帯電話機を握るとデータが読み取られ、認証されるようにすればよい。

他にも、キーストローク（メールの文体、記号の出し方など）を使用して、認証することも可能である。端末は、ユーザのキー入力により指示される処理を実行するのと並行して、通常と異なるパターンのキーストロークであれば本人ではないと判断する処理を行う。あるいは、ユーザの行動履歴を使用して、認証することも可能である。例えば、携帯端末を用いて決済処理をしたときの決済サービス端末のＩＤや、改札処理をしたときの改札サービス端末のＩＤ等が携帯端末に取り込まれるので、これらの情報からユーザの居場所が特定でき、各処理がされた日時のデータも携帯端末に取り込まれる。したがって、ユーザが携帯端末とサービス端末を通信させたときに、そのサービス端末が提供するサービスの処理を実行するのと並行して、これら場所と日時のデータを組み合わせて通常と異なるパターンの行動履歴を示していれば本人ではないと判断する処理を行う。以上に説明したいずれの認証方式も、本実施形態の裏認証が可能な方式である。

図２は、上述した持続型認証及びみなし認証がどのように実装されるかを説明するための図である。まず、本人認証を必要とするアプリケーションは、認証ライブラリに対して認証を要求し、それに応答して戻ってくる認証結果を入力するだけであるので、本実施形態のみなし認証をする場合も、既存のＰＩＮ認証（パスワード認証の一種）や生体認証をする場合と同じで、アプリケーションの変更は不要である。なお、アプリケーションとライブラリの間の結果の受け渡し部分は、改竄がされないように、署名や暗号等により行わなければならない。

ライブラリ層に属する既存のＰＩＮ認証と生体認証は、それぞれネイティブ層のＰＩＮ認証機能と生体認証機能を用いて、認証を行う。これらは、アプリケーションから図中（１）の認証要求を受けた後に、それぞれの認証機能を用いた認証を行うため、処理時間や手間がかかってしまう。これに対し、同じくライブラリ層に属する本実施形態のみなし認証は、アプリケーションから図中（１）の認証要求を受けると、ネイティブ層の持続型認証機能により既に設定されている、その時点の本人らしさ（認識値）を参照するだけなので、処理時間や手間が節約される。ネイティブ層に属する本実施形態の持続型認証機能は、上述した各種認証方式の生体認証機能を裏認証として用いて、本人らしさ（認識値）を管理している。

ネイティブ層の各認証機能は、それぞれ、耐タンパな領域（例えばＩＣチップやＩＣカード内）でセキュアに実行される。ライブラリ層に、ＰＩＮ認証と生体認証のうち少なくとも一方と、みなし認証とがある場合、いずれを使用するかは、ユーザが予め設定してもよいし、アプリケーションが（１）の認証要求により指定してもよい。アプリケーションが指定する場合、いずれの認証ライブラリを使用するかはそのアプリケーションを提供しているサービス提供者が設定することができる。なお、ライブラリ層にみなし認証しかない端末を構成しても勿論構わない。

本実施形態の持続型認証機能では、本人認証が成功すると、新しい本人らしさ（認識値）を設定するが、その後何の認証結果も出なければ（本人認証の対象になる操作がユーザにより行われなければ、又は、本人認証を行う条件が満たされなければ）、時間経過とともに減少させる。この様子を図３に示す。図３（ａ）は、認識値が時間とともに単調減少する例であり、図３（ｂ）は、認識値が任意の関数に基づいて減少する例である。

本人らしさを減少させる時間の経過を保持するタイマーの開始は、一旦本人認証が終了したところから始めても良いし、本人認証に用いた一連の操作が終わったところから始めてもよい。後者は、例えば、通話中の音声で本人認証をした場合は、その通話が継続しているうちはユーザが本人でなくなる可能性はないと考えれば、本人認証が終了したところからではなく、通話が終了したところから、減少のためのタイマーを開始すればよい。同様に、フリップの裏面で携帯電話を支える指の指紋で本人認証をした場合は、そこに指が接触し続けている限りユーザが本人でなくなる可能性はないと考えれば、指の接触がそこから離れたことを検出したところから、減少のためのタイマーを開始すればよい。

減少させる際の認識値と時間との関係（関数）は、図３（ａ）または（ｂ）のように予め持続型認証機能の中に作り込まれているが、このときに、複数の関数を用意しておき、本人認証としてどの方式を用いたか（指紋認証か音声認証か等）によって、その認証後の認識値の減少の仕方を変えることも可能である。

本実施形態のみなし認証は、持続型認証機能が管理している本人らしさ（認識値）が閾値以上であれば、本人認証を必要とする処理の実行を許可するが、この閾値を、処理の内容によって変更することも可能である。例えば、決済のような高い安全性を要求される処理に対応する閾値は高く、改札のように比較的低い安全性でも構わない（従来改札精算処理に使用されているＩＣカードはパスワードフリーである）処理に対応する閾値は低く、設定しておく。この閾値の設定は、サービス提供者が提供するプログラムに閾値を組み込む（この閾値は、ユーザが携帯端末を用いてサービス端末の処理を受けたときに、サービス端末から書き換えることもできる）ことにより行なってもよいし、ユーザが自分の好みに合わせて設定しても構わない。但し、安全性の要求されるサービスについては、ユーザが設定できるのは、サービス提供者が指定した閾値以上の範囲内とするとよい。また、例えば送受信メールや発着信履歴等のプライバシーデータは、ユーザによって要求する安全性が大幅に異なる可能性があるため、これらにアクセスする処理を許可するための閾値は、ユーザが任意に設定できるようにするとよい。

これらの閾値と、本人らしさを減少させる関数との関係で、図３（ａ）や（ｂ）のように、そのサービスやデータが利用できなくなる時間（タイムアウト）が定まる。つまり、決済のように高い安全性が必要な処理は、本人らしさが確認できなければ短期間のうちに実行できないようになり、改札のように低い安全性で構わない処理は、本人らしさが確認できなくても暫くの間は実行できる状態が保たれる。

以上では、時間の経過により本人らしさ（認識値）が徐々に減少することを示したが、次のような場合には、時間が経過しなくても大幅に認識値を減少させる。例えば、裏認証が行われてそれが失敗した場合や、ユーザが端末を自身の管理下から外すときに明示的に減少を指示した場合等である。また、携帯端末に加速度センサを搭載しておき、携帯端末が所定期間静止していることを検出すると、どこかに放置されているものとみて、認識値を急激に減少させるようにしてもよい。

図４には、上述した各種の認証方式のうちの一つを用いて、本人らしさ（認識値）を設定するための、認証制御部１６０（持続型認証機能）の動作例を示す。まず、認証制御部１６０は、ユーザが裏認証の対象となるアクション（例えば、指紋読み取り機能付のボタンの押下、音声通話の開始、又はメール読み込みの開始等）を行ったか否かを常時監視している（Ｓ４１０）。規定時間経っても裏認証の対象となるアクションがなければ、認識値を減少させる（Ｓ４２０）。なお、この例では、図３（ａ）のように徐々に認識値が減少するのではなく、階段状に（階段の幅が規定時間に相当）減少していくことになる。一方、裏認証の対象となるアクションがあれば、そのアクションに対応する処理と並行して、（裏処理として）ユーザの個人データ（例えば、指紋データ、マイクからの音声データ、又はメール読み込み時に起動したカメラで撮った画像等）を取り込んで本人認証部１４０に送り、本人認証部１４０が送られてきた個人データと照合データに基づいて本人認証を行う（Ｓ４３０）。

認証が成功した場合（認証結果が規定の閾値以上だった場合）、認識値として、ユーザを正当なもの（本人）とみなす閾値以上の値を設定する。設定の仕方は、固定値でも良いし、認識結果（尤度等）に応じた値でも良い。一方、認証が失敗であった場合（認証結果が規定の閾値未満だった場合）は、認識値として、ユーザを正当なもの（本人）とみなす閾値未満の値に設定する。別の設定方法として、認証の成功と失敗を区別せずに、認証結果（尤度等）に従って、認識値を設定しても構わない（Ｓ４４０）。

図４のフローチャートでは、ユーザが裏認証の対象となるアクションをする度に、裏認証と認識値の設定を行う例を示したが、裏認証の対象となるアクションがあっても所定期間（例えば、Ｓ４２０で認識値を減少させるまでの規定時間と同じ期間）は、アクションに対応する処理だけを行い、裏認証と認識値の設定は行わないようにしてもよい。

図５には、上述した各種の認証方式のうちの複数の認証方式を融合して、本人らしさ（認識値）を設定するための、認証制御部１６０（持続型認証機能）の動作例を示す。ここでは、複数の認証方式の融合として、メイン方式の認証結果をサブ方式の認証結果により調整する例を説明する。大まかには、メイン方式の認証結果に基づいて設定された認識値を、上述した単一の認証方式の場合と同様に時間とともに減少させているが、その間にサブ認証方式が本人であると判定（認証成功）すれば、規定時間の間減少を止めるか、逆に増加させる。サブ認証方式が他人であると判定（認証失敗）すれば、時間による減少よりも大きく減少させる。なお、サブ方式の認証が成功したか失敗したかではなく、サブ方式の認証結果（尤度等）に応じて、調整してもよい。例えば、サブ方式で９０％以上本人らしいと出れば認識値を増加させ（増加の幅も、固定値でもよいし認識結果（尤度等）に応じた値でもよい）、８０〜９０％で本人らしいと出れば認識値を規定時間維持し、６０〜８０％で本人らしいと出れば認識値を時間の関数で減少させ、６０％未満であれば認識値を時間による減少よりも大きく減少させる（減少の幅も、固定値でもよいし認識結果（尤度等）に応じた値でもよい）。このように随時裏認証により設定され、時間とともに減少する認識値は、例えば図６に示すように推移することになる。

図５のフローチャートでは、まず、認証制御部１６０は、ユーザがメイン方式の裏認証の対象となるアクション（例えば指紋読み取り機能付のボタンの押下）を行うと（Ｓ５１０Ｙｅｓ）、そのアクションに対応する処理と並行して、（裏処理として）ユーザの指紋データを取り込んで本人認証部１４０に送り、本人認証部１４０が送られてきた指紋データと照合データに基づいて本人認証を行う（Ｓ５４０）。そして、図４の単一の認証方式の場合と同様に、本人認証の結果に応じて、認識値を設定する（Ｓ５７０）。規定時間経っても、メイン認証方式の対象となるアクションもサブ認証方式の対象となるアクションもなければ（Ｓ５１０Ｎｏ，Ｓ５５０Ｎｏ）、認識値を減少させる（Ｓ５２０）。

サブ認証方式の対象となるアクション（例えば、音声通話の開始や音声コマンドの起動）を行うと（Ｓ５５０Ｙｅｓ）、そのアクションに対応する処理と平行して、（裏処理として）ユーザの音声データを取り込んで本人認証部１４０に送り、本人認証部１４０が送られてきた音声データと照合データに基づいて本人認証を行う（Ｓ５６０）。そして、サブ認証成功の場合、認識値を増加させ（又は減少を止め）、サブ認証失敗の場合、認識値を減少させる。別の設定方法として、サブ認証の成功と失敗を区別せずに、サブ方式の認証結果（尤度等）に従って、認識値の増減を決めても構わない（Ｓ５８０）。

図５の動作例では、サブ方式の認証対象となるユーザのアクションがあった場合には、必ず裏認証をしているが、メイン方式の認証対象となるユーザのアクションがあった場合に、必ず裏認証するのではなく、認識値が所定の閾値を下回った場合に（Ｓ５３０Ｙｅｓ）、メイン方式の裏認証を行って（Ｓ５４０）、メイン方式の認証頻度をサブ方式の認証頻度より少なくなるようにしている。図４のように単一の認証方式を用いる場合は、裏認証を行う頻度を減らすと、本人がユーザであるのにみなし認証が失敗する可能性が高くなったり、別人がユーザであるのにこれを判別して認識値を急激に下げる機会を逃したりする。これに対して、図５のように複数の認証方式を用いる場合は、メイン方式の裏認証の頻度を減らしても、その間の本人らしさが、頻繁に行われるサブ方式によって現実に近い値に保たれるため、本人と別人を区別する精度をそれほど落とさずにすむ。例えば、本人が使用し続けていれば、時間が経過しても、サブ方式の認証により認識値が増加する分、認識値が所定の閾値を上回った状態をキープすることができるし、別人が使用を開始すれば、サブ方式の認証により認識値が時間の経過によるよりも急激に下がるため、早く所定の閾値を下回った状態に移行することができる。

メイン方式の認証頻度を少なくするのは、認識値が所定の閾値を下回った場合に限る方法の他に、所定期間（図４の場合の所定期間よりも長い期間）経過後に限る方法もある。なお、認識値が所定の閾値以上である場合は（Ｓ５３０Ｎｏ）、裏認証と認識値の設定は行わないが、アクションに対応する処理だけは行う。なお、ユーザの行動予測が可能である場合、例えば所定の閾値以上の認識値を必要とするサービス端末（改札など）をもうすぐ利用することが予測されると、メイン方式の認証頻度を一時的に高くして、メイン方式の認証対象となるユーザのアクションにより高い認識値を設定しておき、多少時間が経過してもサービス端末を利用するのに必要な認識値が残っているようにすることも可能である。もしくは、サブ方式の認証結果の取得（認証処理の実行）を、メイン方式による認証結果の取得から所定時間経過後に行ない、これによりメイン方式の認証結果を補正したり、サブ方式による認証結果のうち、メイン方式の認証結果の取得タイミングより所定時間以降に得られたものを採用して、補正に用いたりしてもよい。

図７には、本人認証が必要な処理を実行しようとするときの、認証制御部１６０（みなし認証）の動作例を示す。ユーザが処理（アプリの起動、データへのアクセス等）を行おうとすると、処理実行命令が制御部１１０から認証制御部１６０に送られる。認証制御部１６０において、その時点の本人らしさ（認識値）をチェックし（Ｓ６２０）、閾値以上であれば認証されたものとみなして、処理を実行する（Ｓ６３０）。認識値が閾値以下の場合は、通常の認証画面（パスワード入力や、指紋入力など）が開いて（Ｓ６４０）、その画面の指示に従ったユーザ入力に基づき、本人認証（Ｓ６５０）が行われる。ここでの本人認証が成功すれば、処理を実行する（Ｓ６３０）が、失敗すれば、処理実行は拒否される（Ｓ６６０）。なお、ここでの閾値が、処理に応じて設定されていてもよいことは上述したとおりである。

図８には、その時点での本人らしさ（認識度）をユーザに通知する場合に実現できるサービス形態の例を示す。まず、認識値を数段階にわけ、それぞれに対応する色を決める。例えば、認識値をパーセンテージとし、100%で確実に本人、0%で確実に他人、閾値を70%
とする場合、95％〜100％は青、95％〜80％は黄緑、70％〜80％は黄色、70％未満（閾値
以下）は赤、のように表示又は点灯する。このように、画面又はＬＥＤをその時点の本人らしさの色に表示又は点灯することにより、ユーザに明確に通知されるため、例えば、表示灯が赤になっている場合、ユーザは意識的に裏認証が行われるアクションを行うことで、任意の処理を行いながら認証を済ませておくことができる。意識的にとは、例えば、決定ボタンに指紋読取デバイスがついている場合、丁寧に決定ボタンを押す、などすることである。なお、ここでは、色で表示する例を説明するが、携帯端末の表示画面にインジケータで、現在の本人らしさを表示するようにしてもよい（電波強度の表示や、電池残量の表示のように、本人らしさの大きさが表示される）。

サービス端末（POSや改札等）の表示灯（又は、表示ラベル、シールなど）に、そのサ
ービスが要求する認識値のレベルを色表示してもよい。図８の例では、決済用のPOS端末
は、95％以上の認識値を必要とするため、表示灯が青になっており、改札用のゲート端末は、70％以上の認識値でよいため、表示灯は黄色になっている。このようにすると、表示灯が黄色になっている携帯端末のユーザは、このままでは改札は通れるがPOSでの支払い
はできないことが一目で分かり、表示灯が青になっている携帯端末のユーザは、どちらもできることが一目で分かる。なお、この例では、赤点灯をする閾値は、各種サービスが要求する閾値のうち最も低いものを使用している。

以上説明した実施の形態はあくまで一例であり、本発明は上述した実施の形態に限定されず、種々に変形、応用して実施することができる。例えば、裏認証の方式として生体認証を主に挙げているが、生体認証による認識が上手くいかない場合は、パスワード入力を求め、その認証結果によって、本人らしさ（認識値）を設定しても良い。ただし、容易に推測されないよう十分なセキュリティ強度を持ったパスワードであることが望ましい。

以上説明したように、本発明に係る不正使用防止装置を使用すれば、手続等が煩雑にならずに、情報処理機器を他人の不正使用から適切に保護できるので、例えば、電子決済や、入場・入室処理、交通機関の利用精算処理等のサービスを利用できる携帯端末内の、重要なデータやプライバシーに関わる情報を保護するために有用である。

実施の形態に係る携帯端末の内部構成例を示す図 実施の形態に係る持続型認証及びみなし認証の実装について説明するための図 本人らしさ（認識度）が時間経過とともに減少する様子を示す図 単一の認証方式を用いる場合の、本人らしさ（認識値）を設定するための認証制御部１６０（持続型認証機能）の動作例を示す図 複数の認証方式を用いる場合の、本人らしさ（認識値）を設定するための認証制御部１６０（持続型認証機能）の動作例を示す図 複数の認証方式を用いる場合の、本人らしさ（認識値）の推移の例を示す図 本人認証が必要な処理を実行しようとするときの認証制御部１６０（みなし認証）の動作例を示す図 本人らしさ（認識度）をユーザに通知する場合に実現できるサービス形態の例を示す図

符号の説明

１００ 不正使用防止装置
１１０ 入力部
１２０ 制御部
１３０ 表示部
１４０ 本人認証部
１５０ 照合データ記憶部
１６０ 認証制御部

Claims (22)

1. ユーザによる機器への入力に含まれる特徴と登録された本人の特徴とを照合して、前記ユーザが前記本人である可能性を認証結果として求める認証手段を有する不正使用防止装置であって、
   前記不正使用防止装置は、
   前記認証手段による認証結果に基づいて求められる、本人らしさを示す値を記憶するための記憶手段と、
   前記記憶手段に記憶されている本人らしさを示す値を更新する第一の制御手段と、
   本人認証を必要とする処理を開始する指示に応じて、前記記憶手段に記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の実行の許否を制御する第二の制御手段と、
   を備え、
   ユーザによる入力には、本人認証のための入力要求に応じてなされる入力以外の入力が含まれ、
   前記認証手段は、前記本人認証のための入力要求に応じてなされる入力以外の入力があると、その入力の本来の目的のための処理の裏で、前記本人認証のための入力要求に応じてなされる入力以外の入力を対象とした本人認証である裏認証を行ない、
   前記第一の制御手段は、以前に前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められた前記本人らしさを示す値と、新たに前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められる本人らしさを示す値とに所定の重み付け演算を施すことによって得られる値を、前記記憶手段に記憶されるべき新たな本人らしさを示す値として、前記本人らしさを示す値の更新を行うことを特徴とする不正使用防止装置。
2. 前記第二の制御手段は、本人認証を必要とする処理を開始する指示があると、本人認証のための入力をユーザに要求することなく、前記記憶手段に記憶されている本人らしさを示す値を参照するものであり、参照した値が所定の閾値以上でなければ、開始が指示された処理の実行を許可せずに、本人認証のための入力をユーザに要求することを特徴とする請求項１に記載の不正使用防止装置。
3. 前記第一の制御手段は、ユーザによる入力として、前記機器により本人認証以外の目的で利用される入力もしくはユーザが本人認証以外の目的で行なう動作に付随する入力を用いて、前記認証手段に認証結果を求めさせるものであることを特徴とする請求項１に記載の不正使用防止装置。
4. 前記第一の制御手段は、前記認証手段による認証結果が得られない間は、時間の経過に伴って前記記憶手段に記憶される本人らしさを示す値を減少させており、前記認証手段による認証結果が得られると、得られた認証結果に従って前記記憶手段に記憶される本人らしさを示す値を増加、維持、又は減少させるものであることを特徴とする請求項１に記載の不正使用防止装置。
5. 前記第一の制御手段は、前記認証手段により認証の対象とすることが可能な、ユーザによる入力がある度に、前記認証手段に認証結果を求めさせるものであることを特徴とする請求項４に記載の不正使用防止装置。
6. 前記第一の制御手段は、前記認証手段による認証結果が前回得られてから所定の期間を経過した場合に、前記認証手段により認証の対象とすることが可能な、ユーザによる入力があると、前記認証手段に認証結果を求めさせるものであることを特徴とする請求項４に記載の不正使用防止装置。
7. 前記第一の制御手段は、前記記憶手段に記憶されている本人らしさを示す値が所望の閾値より低い状態である場合に、前記認証手段により認証の対象とすることが可能な、ユーザによる入力があると、前記認証手段に認証結果を求めさせるものであることを特徴とする請求項４に記載の不正使用防止装置。
8. 前記第一の制御手段は、前記認証手段による認証結果が得られない間は、所定の関数に基づいて時間の経過とともに前記記憶手段に記憶される本人らしさを示す値を減少させるものであり、
   前記第二の制御手段は、前記所定の閾値として、前記機器により提供されるサービス毎に設定されている閾値のうち、前記開始が指示された処理が行なうサービスに対応する閾値を用いて、前記記憶手段に記憶されている本人らしさを示す値との比較を行なうものであることを特徴とする請求項１に記載の不正使用防止装置。
9. 前記サービス毎の閾値は、前記所定の関数との関係において、前記記憶手段に記憶されている本人らしさを示す値が、前記認証手段による認証結果が得られずに、各サービスに対応する処理が実行拒否されるレベルへ低下するまでにかかる時間が、各サービスに要求される安全性に応じた長さとなるように、決定されたものであることを特徴とする請求項８に記載の不正使用防止装置。
10. 前記所定の関数は、前記サービス毎の閾値との関係において、前記記憶手段に記憶されている本人らしさを示す値が、前記認証手段による認証結果が得られずに、各サービスに対応する処理が実行拒否されるレベルへ低下するまでにかかる時間が、各サービスに要求される安全性に応じた長さとなるように、決定されたものであることを特徴とする請求項８に記載の不正使用防止装置。
11. 前記認証手段は、複数の認証方式により複数の認証結果を求めるものであり、前記複数の認証方式は、ユーザによる前記機器への入力のうち第一の種類を対象とする第一の認証方式と、ユーザによる前記機器への入力のうち前記第一の種類とは異なる第二の種類を対象とし、前記第一の認証方式よりも認証精度の低い第二の認証方式とを含み、
    前記第一の制御手段は、前記第一の認証方式による認証結果に基づいて求められ前記記憶手段に記憶されている本人らしさを示す値を、前記第二の認証方式による認証結果に基づいて補正するものであることを特徴とする請求項１に記載の不正使用防止装置。
12. 前記第一の制御手段は、第一の条件を満たす場合に、ユーザによる前記第一の種類の入力があると、前記認証手段に前記第一の認証方式による認証結果を求めさせ、第二の条件を満たす場合に、ユーザによる前記第二の種類の入力があると、前記認証手段に前記第二の認証方式による認証結果を求めさせるものであり、
    前記第一及び第二の条件は、前記第一の認証方式を用いる頻度が、前記第二の認証方式を用いる頻度よりも低くなるように、決定されたものであることを特徴とする請求項１１
    に記載の不正使用防止装置。
13. 前記記憶手段に記憶されている本人らしさを示す値に関してユーザへ通知する通知手段を更に備えたことを特徴とする請求項１に記載の不正使用防止装置。
14. 前記通知手段は、前記記憶手段に記憶されている本人らしさを示す値が所望の閾値より低い状態である場合に、ユーザに、前記認証手段により認証の対象とすることが可能な入力を促す手段を含むことを特徴とする請求項１３に記載の不正使用防止装置。
15. 前記第二の制御手段は、前記所定の閾値として、前記機器により提供されるサービス毎に設定されている閾値のうち、前記開始が指示された処理が行なうサービスに対応する閾値を用いて、前記記憶手段に記憶されている本人らしさを示す値との比較を行なうものであり、
    前記通知手段は、前記記憶手段に記憶されている本人らしさを示す値が、いずれのサービスに対応する処理が実行許可されるレベルにあるかを、ユーザが判別可能なように、通知するものであることを特徴とする請求項１３に記載の不正使用防止装置。
16. ユーザによる入力を受け付ける入力手段と、
    指示された処理を実行する処理手段と、
    を備え、
    前記認証手段は、前記入力手段により受け付けられた入力に含まれる特徴と登録された本人の特徴とを照合して、前記ユーザが前記本人である可能性を認証結果として求め、
    前記第二の制御手段は、前記処理手段による実行を許可又は拒否することを特徴とする請求項１記載の不正使用防止装置。
17. 前記認証手段及び前記第一及び第二の制御手段を実現するためのプログラムと、前記登録された本人の特徴を含む所定のデータとは、前記機器内にセキュアに格納され、前記記憶手段に記憶された本人らしさを示す値は、前記第一の制御手段以外からは変更不可能であることを特徴とする請求項１６記載の不正使用防止装置。
18. 前記入力手段に受け付けられ前記認証手段の認証の対象となり得る入力には、前記機器が備えるボタンに接触したユーザの指の指紋、前記機器が備えるマイクに対してユーザが発した音声、前記機器が備えるカメラが捉えたユーザの身体の一部の画像、前記機器をユーザが自身の手中に保持するために接触する部分に設けられたセンサへ入力されたデータ、前記機器が備えるキー群に対するユーザのキーストローク、及び前記機器がユーザの行動に応じて外部の機器と通信することにより得られる情報のうち少なくとも一つを含むことを特徴とする請求項１６記載の不正使用防止装置。
19. ユーザによる機器への入力に含まれる特徴と登録された本人の特徴とを照合して、前記ユーザが前記本人である可能性を認証結果として求める認証手段を備えた、前記機器における不正使用防止方法であって、
    前記不正使用防止方法は、
    前記認証手段による認証結果に基づいて求められる、本人らしさを示す値を記憶手段に記憶することと、
    前記記憶手段に記憶されている本人らしさを示す値を更新することと、
    本人認証を必要とする処理を開始する指示に応じて、前記記憶手段に記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の実行の許否を制御することと、
    を含み、
    ユーザによる入力には、本人認証のための入力要求に応じてなされる入力以外の入力が含まれ、
    前記認証手段では、前記本人認証のための入力要求に応じてなされる入力以外の入力があると、その入力の本来の目的のための処理の裏で、前記本人認証のための入力要求に応じてなされる入力以外の入力を対象とした本人認証である裏認証が行なわれ、
    前記更新では、以前に前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められた前記本人らしさを示す値と、新たに前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められる本人らしさを示す値とに所定の重み付け演算を施すことによって得られる値を、前記記憶手段に記憶されるべき新たな本人らしさを示す値として、前記本人らしさを示す値の更新が行われることを特徴とする不正使用防止方法。
20. 前記時間の経過中にユーザによりなされた、前記機器により本人認証以外の目的で利用される入力もしくはユーザが本人認証以外の目的で行なう動作に付随する入力を対象として、前記認証手段により新たな認証結果を求め、
    前記新たな認証結果に従って、前記メモリに記憶された本人らしさを示す値を増加、維持、又は減少させることを特徴とする請求項１９に記載の不正使用防止方法。
21. 前記記憶手段に記憶されている本人らしさを示す値が、前記所定の閾値より低いレベルまで減少していなければ、本人認証のための入力をユーザに要求することなく、前記開始が指示された処理の実行を許可することを特徴とする請求項１９に記載の不正使用防止方法。
22. 機器のメモリに格納されて不正使用防止を実現するためのプログラムであって、
    前記機器は、ユーザによる前記機器への入力に含まれる特徴と登録された本人の特徴とを照合して、前記ユーザが前記本人である可能性を認証結果として求める認証手段を備えるものであり、
    前記プログラムは、
    前記認証手段による認証結果に基づいて求められる、本人らしさを示す値を記憶手段に記憶する処理と、
    前記記憶手段に記憶されている本人らしさを示す値を更新する処理と、
    本人認証を必要とする処理を開始する指示に応じて、前記記憶手段に記憶されている本人らしさを示す値を参照し、参照した値が所定の閾値以上であるか否かに従って、開始が指示された処理の実行の許否を制御する処理と、
    を、コンピュータに実行させるものであり、
    ユーザによる入力には、本人認証のための入力要求に応じてなされる入力以外の入力が含まれ、
    前記認証手段では、前記本人認証のための入力要求に応じてなされる入力以外の入力があると、その入力の本来の目的のための処理の裏で、前記本人認証のための入力要求に応じてなされる入力以外の入力を対象とした本人認証である裏認証が行なわれ、
    前記更新では、以前に前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められた前記本人らしさを示す値と、新たに前記ユーザによる入力が行われたときに前記裏認証の認証結果に基づいて求められる本人らしさを示す値とに所定の重み付け演算を施すことによって得られる値を、前記記憶手段に記憶されるべき新たな本人らしさを示す値として、前記本人らしさを示す値の更新が行われることを特徴とするプログラム。

Images