JP5304509B2 - 認証方法、認証装置および認証処理プログラム - Google Patents

Description

本発明は、セキュリティとユーザビリティとを両立させることのできる認証方法、認証装置および認証処理プログラムに関する。

近年の情報漏洩などの問題を考慮して、情報セキュリティを強化する目的で、様々な場面で認証処理が用いられている。たとえば、パーソナルコンピュータや複合機などの情報機器を操作する際には、操作するユーザにＩＤおよびパスワードの入力を要求し、この入力されたＩＤおよびパスワードが予め登録されたものと一致した場合に限って、操作が可能となる。

このような認証処理によって、ユーザの負担が増加し、ユーザビリティが低下するという課題が顕著になってきている。すなわち、ユーザは、機器毎に多数のパスワードを覚えておかなければならなかったり、パスワードの頻繁な更新を要求されたりする。また、キーボードのない小型パーソナルコンピュータ、ＰＤＡ（Personal Assistance Device）、携帯電話といったデバイスでは、ＩＤおよびパスワードを入力すること自体が不便である。

そのため、認証処理をより簡素化するための各種の提案がなされている。たとえば、特開平１１−１７５７２６号公報（特許文献１）には、指紋認証装置を備えた端末に対して、ユーザが自分の指紋を入力することで、ユーザ固有のデータを読み出すことが可能な情報処理装置が開示されている。また、特開２００５−３３５２８２号公報（特許文献２）には、ユーザ携帯の非接触ＩＣカードに格納されている識別情報を用いて、対応する印刷データを読み出す画像形成装置が開示されている。

しかしながら、このような方法を実現するために、指紋認証装置や非接触ＩＣカードの読取装置を装備する必要があり、コストアップの問題が生じ得る。

そこで、認証処理に画像を利用する方法も提案されている。たとえば、特開２００３−０９９４０４号公報（特許文献３）には、ユーザがパスワードなどを入力せずに、簡単な操作で認証を行なうことが可能なクライエント装置などが開示されている。また、特開２００３−２２８５５３号公報（特許文献４）には、認証登録する本人の見覚えのある少なくとも１単位情報よりなる本人情報と、本人の見覚えのない少なくとも１単位情報よりなる非本人情報との双方を、本人認証用に予め登録しておき、本人情報が選択された場合に限って認証を成功と判断する方法が開示されている。

さらに、ユーザビリティに配慮した認証として、各ユーザが複数の視覚的に識別可能なオブジェクト（典型的には、画像や文字列など）の中から正解キーを予め登録して認証に用いる仕組みが提案されている。より具体的には、ユーザは、システムによって用意される複数のオブジェクト（画像や文字列など）の中から、任意の１つ以上のオブジェクトを選択して、正解キーとして予め登録する。そして、各認証処理においては、正解キーを含む多数のオブジェクトが一覧表示され、ユーザは、この一覧表示されたオブジェクトの中から自身の正解キーとして登録したオブジェクトを選択する。そして、選択されたオブジェクトと登録された正解キーとが一致した場合に、認証が成功と判断される。

特開平１１−１７５７２６号公報 特開２００５−３３５２８２号公報 特開２００３−０９９４０４号公報 特開２００３−２２８５５３号公報

上述のような認証方法では、正解キーの登録時に、正解キー候補として表示される複数のオブジェクトのうち、実際に選択されるオブジェクトに偏りが生じ易いという問題がある。すなわち、一覧表示される正解キー候補のうち、ユーザ間の覚え易さや好みの類似性から、複数のユーザが同じオブジェクトを正解キーとして登録してしまうという、セキュリティ上の問題が生じ得る。これは、同一の認証システムを利用するユーザ間の類似性などに起因することが考えられる。たとえば、ユーザ間に、性別、年齢層、趣味などの偏りがある場合には、特定のオブジェクトが正解キーとして選択されやすく、悪意をもったユーザ（攻撃者）からもあるオブジェクトが正解キーである可能性が高いと推測されてしまうおそれも想定される。

本発明は、上記のような問題を解決するためになされたものであって、視覚的に識別可能なオブジェクトを用いてユーザビリティを高めるとともに、複数のユーザが利用した場合であってもセキュリティのレベルを維持できる認証方法、認証装置および認証処理プログラムを提供することである。

本発明に従えば、表示手段および記憶手段を有するシステムにおいて提供される認証方法を提供する。本認証方法は、予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして記憶手段に登録するステップと、表示手段に複数のオブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されているキーオブジェクトとの一致／不一致に基づいて認証を行なうステップとを含む。登録するステップは、記憶手段に登録済のキーオブジェクトの重複度に応じて、キーオブジェクトの登録時におけるオブジェクトの選択自由度を決定するステップを含む。

好ましくは、重複度は、オブジェクトについての登録ユーザ数、オブジェクトについてのキーオブジェクトとしての登録期間、オブジェクトの属するカテゴリー、の少なくとも１つに関連付けて決定される。

さらに好ましくは、重複度は、各オブジェクトについての登録ユーザ数に基づいて決定される。

あるいは、さらに好ましくは、重複度は、同一カテゴリーに属するオブジェクトの登録ユーザ数の合計数に基づいて決定される。

さらに好ましくは、選択自由度を決定するステップは、登録ユーザ数または登録ユーザ数の合計数が予め定められたしきい値を超えると、対応するオブジェクトをキーオブジェクトとして登録を不能にするステップを含む。

好ましくは、選択自由度を決定するステップは、予め用意された複数のオブジェクトのうち、登録可能なオブジェクトを表示する一方で、登録不可能なオブジェクトを非表示にするステップを含む。

あるいは、好ましくは、選択自由度を決定するステップは、予め用意された複数のオブジェクトのうち所定数のオブジェクトについて、登録可能なオブジェクトについては選択可能に表示し、登録不可能なオブジェクトを選択不能に表示するステップを含む。

あるいは、好ましくは、選択自由度を決定するステップは、重複度の相対的に低いオブジェクトをより高い優先度で表示するステップを含む。

あるいは、好ましくは、登録するステップは、選択されたキーオブジェクトと、キーオブジェクトと同時に表示される複数のオブジェクトとを含むオブジェクトのオブジェクトセットを、ユーザ別に登録するステップを含み、選択自由度を決定するステップは、予め用意された複数のオブジェクトのうち、登録済のオブジェクトセットに含まれているオブジェクトの除いたオブジェクトの中から、キーオブジェクトとして登録可能なものを表示する。

好ましくは、登録するステップでは、所定数のオブジェクトを含むページ単位で表示を切替可能である。

この発明の別の局面に従う認証装置は、表示手段と、記憶手段と、予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして記憶手段に登録する登録手段と、表示手段に複数のオブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されているキーオブジェクトとの一致／不一致に基づいて認証を行なう認証手段とを備える。登録手段は、記憶手段に登録済のキーオブジェクトの重複度に応じて、キーオブジェクトの登録時におけるオブジェクトの選択自由度を決定する。

この発明のさらに別の局面に従えば、プロセッサを含むコンピュータによって実行される認証処理プログラムを提供する。認証処理プログラムは、コンピュータに、予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして記憶手段に登録するステップと、表示手段に複数のオブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されているキーオブジェクトとの一致／不一致に基づいて認証を行なうステップとを実行させる。登録するステップは、記憶手段に登録済のキーオブジェクトの重複度に応じて、キーオブジェクトの登録時におけるオブジェクトの選択自由度を決定するステップを含む。

本発明によれば、視覚的に識別可能なオブジェクトを用いてユーザビリティを高めるとともに、複数のユーザが利用した場合であってもセキュリティのレベルを維持できる。

本発明の実施の形態１に従う認証システムの概要を示す構成図である。 本発明の実施の形態１に従うＭＦＰのハードウェア構成を示す模式図である。 本発明の実施の形態１に従うＰＣのハードウェア構成を示す模式図である。 本発明の実施の形態１に従う認証システムにおける制御構造を示すブロック図である。 図４に示す認証用データ記憶部に格納されるユーザ情報の一例を示す図である。 本発明の実施の形態１に従う認証システムにおける認証処理の手順を示すシーケンス図である。 本実施の形態１に従う認証システムにおいて表示されるユーザＩＤ選択画面の一例を示す図である。 本実施の形態１に従う認証システムにおいて表示される認証画面の一例を示す図である。 図４に示す認証用データ記憶部に格納される認証データの一例を示す図である。 本発明の実施の形態１に従う認証システムにおけるセットアップ処理の手順を示すシーケンス図である。 本実施の形態１に従う認証システムにおいて表示される新規ユーザ登録画面の一例を示す図である。 本実施の形態１に従う認証システムにおいて表示されるセットアップ画面の一例を示す図である。 本実施の形態１に従う認証システムにおいて表示されるセットアップ画面におけるユーザ操作の一例を示す図である。 図１０に示すステップＳ９０におけるユーザ情報の更新処理の一例を示す図である。 図１０に示すステップＳ９４における認証データの更新処理の一例を示す図である。 本発明の実施の形態１に従うセットアップ処理に係るフローチャートである。 本発明の実施の形態１の変形例に従う認証データの一例を示す図である。 図１７に示す認証データに対する更新処理の一例を示す図である。 本発明の実施の形態１の変形例に従うセットアップ処理に係るフローチャートである。 本発明の実施の形態２に従う認証システムにおいて表示されるユーザＩＤ選択画面の一例を示す図である。 本発明の実施の形態２に従う認証データの一例を示す図である。 図２１に示す認証データに対する更新処理の一例を示す図である。 本発明の実施の形態２に従うセットアップ処理に係るフローチャートである。 本発明の実施の形態３に従う認証システムにおける制御構造を示すブロック図である。 図２４に示す個人用認証データのデータ構造の一例を示す図である。 本発明の実施の形態３に従うセットアップ処理に係るフローチャートである。 本発明のある実施の形態に従う認証システムにおいて表示される認証画面の一例を示す図である。 本発明のある実施の形態に従う認証システムの概要を示す構成図である。

本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

［実施の形態１］
＜システム構成＞
図１は、本発明の実施の形態１に従う認証システム１００の概要を示す構成図である。図１を参照して、認証システム１００の一例として、複合機（Multi Function Peripheral、以下「ＭＦＰ」とも称す。）１０およびパーソナルコンピュータ（以下、単にＰＣとも称する）２０がネットワークＮＷを介してデータ通信可能に接続されている構成が示されている。ＭＦＰ１０およびＰＣ２０は、いずれも情報処理装置の典型例として示されている。なお、ネットワークＮＷとしては、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）などが想定されている。

典型的には、ＰＣ２０のユーザがＭＦＰ１０へアクセスして各種処理（プリント処理や保存データの取得処理など）を行なうような使用形態が考えられる。この場合には、ＰＣ２０のユーザは、ＰＣ２０を操作してＭＦＰ１０へアクセスすると、ＭＦＰ１０から認証処理を要求される。本実施の形態に従う認証システム１００においては、後述するような、予めユーザ別に登録した視覚的に識別可能なオブジェクトを用いた認証処理が実行される。そのため、ＰＣ２０のユーザは、ＭＦＰ１０からの情報に基づいてＰＣ２０の画面上に提示される複数のオブジェクトの中から、自身が登録したキーオブジェクトを選択する。このユーザが選択したオブジェクトに基づいて、ＭＦＰ１０またはＰＣ２０において認証処理が実行される。

なお、以下の説明では、従来のＩＤおよびパスワードを用いる認証に対する用語として、本実施の形態に従う認証方法を「画像認証」または「画像認証処理」とも称する。さらに、視覚的に識別可能なオブジェクトを「画像」とも称する。なお、ここでの「画像」は、視覚的に識別可能なものを含む用語であり、「写真」、「イラスト」、「アイコン」、「文字列」、「図形」、「記号」といった、形状、色、模様などによって他のものとは区別できる態様を有するものを含むことを意図している。また、各ユーザが予め登録するキーオブジェクトを「正解キー」とも称す。

＜ハードウェア構成＞
（１．ＭＦＰ）
図２は、本発明の実施の形態１に従うＭＦＰ１０のハードウェア構成を示す模式図である。図２を参照して、本発明の実施の形態１に従うＭＦＰ１０は、処理手段であるＣＰＵ（Central Processing Unit）１０２と、記憶手段であるＲＡＭ（Random Access Memory）１０４、ＲＯＭ（Read Only Memory）１０６、ＥＥＰＲＯＭ（Electrical Erasable and Programmable Read Only Memory）１０８、およびＨＤＤ（Hard Disk Drive）１１０と、通信手段である通信Ｉ／Ｆ（インターフェイス：Interface）１１２と、プリントエンジン１１４と、スキャナ１１６と、表示手段および入力手段を兼ねる操作パネル１１８とを含む。なお、これらの部位は、内部バス１２０を介して互いに接続される。

ＭＦＰ１０では、ＣＰＵ１０２が、ＲＯＭ１０６などに予め格納されている、本実施の形態に従う画像認証処理を含む各種処理を実行するためのプログラムをＲＡＭ１０４などに展開して実行する。

ＲＡＭ１０４は、揮発性メモリであり、ワークメモリとして使用される。より具体的には、ＲＡＭ１０４には、実行されるプログラム自体に加えて、画像認証処理に用いられる画像データや各種変数が一時的に格納される。ＥＥＰＲＯＭ１０８は、典型的には不揮発性の半導体メモリであり、ＭＦＰ１０のＩＰアドレスやネットワークドメインなどの各種設定値を記憶する。ＨＤＤ１１０は、典型的には不揮発性の磁気メモリであり、ＰＣ１０から受信した印刷ジョブやスキャナ１１６によって取得した画像情報などを蓄積する。

通信Ｉ／Ｆ１１２は、典型的にはイーサネット（登録商標）といった汎用的な通信プロトコルをサポートし、ネットワークＮＷを介してＰＣ２０や他のＭＦＰとの間でデータ通信を提供する。

プリントエンジン１１４は、画像形成処理を実行する作像部に相当する。典型的には、プリントエンジン１１４は、感光体ドラム、帯電器、画像書込部、現像部、転写器、除電器、定着装置、および、クリーニング部を含む。スキャナ１１６は、原稿などから画像データを読取る。

操作パネル１１８は、ＭＦＰ１０によって処理された結果を表示するとともに、かつ、ユーザ操作を受付ける。典型的には、操作パネル１１８は、タッチパネルを含んで構成される。
（２．ＰＣ）
図３は、本発明の実施の形態１に従うＰＣ２０のハードウェア構成を示す模式図である。図３を参照して、本発明の実施の形態１に従うＰＣ２０は、処理手段であるＣＰＵ２０２と、記憶手段であるＲＡＭ２０４、ＲＯＭ２０６、およびＨＤＤ２１０と、データ読取部であるＣＤドライブ２０８と、通信手段である通信Ｉ／Ｆ２１２と、表示手段であるディスプレイ２１４と、入力手段であるキーボード２１６およびマウス２１８とを含む。なお、これらの部位は、内部バス２２０を介して互いに接続される。

ＰＣ２０では、ＣＰＵ２０２が、ＨＤＤ２１０などに予め格納されている、本実施の形態に従う画像認証処理を含む各種処理を実行するためのプログラムをＲＡＭ２０４などに展開して実行する。なお、ＨＤＤ２１０には、ＣＤドライブ２０８によって、ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）２０８ａから読取られたプログラムが格納される。また、このプログラムには、一般的に、オペレーティングシステム（ＯＳ：Operating System）が含まれる。ＲＡＭ２０４は、揮発性メモリであり、ワークメモリとして使用される。ＨＤＤ２１０は、典型的には不揮発性の磁気メモリである。

通信Ｉ／Ｆ２１２は、典型的にはイーサネット（登録商標）といった汎用的な通信プロトコルをサポートし、ネットワークＮＷを介してＭＦＰ１０との間でデータ通信を提供する。

ディスプレイ２１４は、液晶表示装置、ＣＲＴ（Cathode Ray Tube）、プラズマディスプレイ装置などで構成され、ＰＣ２０による処理結果などを表示する。キーボード２１６は、ユーザによるキー入力を受付け、マウス２１８は、ユーザによるポインティング操作を受付ける。

＜機能構成＞
図４は、本発明の実施の形態１に従う認証システム１００における制御構造を示すブロック図である。図４を参照して、ＭＦＰ１０は、その制御構造として、認証用データ記憶部１５０と、ネットワーク接続部１６６と、認証用画面生成部１５６と、認証部１５８と、正解キー選択可否判断部１６０と、ユーザ情報受付部１６２と、データ入出力部１６４とを含む。認証用データ記憶部１５０は、典型的には、ＭＦＰ１０のＨＤＤ１１０の特定領域として提供される。ネットワーク接続部１６６は、ＭＦＰ１０のＣＰＵ１０２と通信Ｉ／Ｆ１１２との協働によって提供される。その他の部位は、ＭＦＰ１０のＣＰＵ１０２がプログラムを実行することで提供される。

また、ＰＣ２０は、その制御構造として、ネットワーク接続部２５０と、ユーザ情報受付部２５２とを含む。ネットワーク接続部２５０は、ＰＣ２０のＣＰＵ２０２と通信Ｉ／Ｆ２１２との協働によって提供される。ユーザ情報受付部２５２は、ＰＣ２０のＣＰＵ２０２とディスプレイ２１４、キーボード２１６およびマウス２１８との協働によって提供される。

まず、ＭＦＰ１０における制御機能について説明する。
認証用データ記憶部１５０は、ユーザ情報１５１と、認証データ１５２と、画像データ群１５３とを格納する。ユーザ情報１５１には、各ユーザに対する画像認証を行なうための正解キーなどが記述される。認証データ１５２は、後述するセットアップ処理において、新規ユーザが正解キーとして選択可能な画像を選択するための情報が記述される。画像データ群１５３は、本実施の形態に従う画像認証において使用される予め用意された複数の画像を含む。認証用データ記憶部１５０に格納されるデータは、データ入出力部１６４を通じて、他の部位からアクセス可能になっている。

ネットワーク接続部１６６は、ネットワークＮＷを介して、ＰＣ２０のネットワーク接続部２５０と物理的および論理的に接続されている。ネットワーク接続部１６６は、ＰＣ２０のネットワーク接続部２５０との間でデータを授受する。

認証用画面生成部１５６は、各ユーザに対する認証処理において、当該ユーザの正解キーと同時に表示する画像を動的に決定して、認証用画面を表示するためのデータを生成する。より具体的には、入力されたユーザ名（ユーザＩＤ）に対応付けて登録されている正解キーと、複数の正解キーではない画像（以下、「おとり画像」とも称する）とをランダムに配置した認証用の入力画面を生成する。すなわち、認証用画面生成部１５６は、ディスプレイ２１４（図３）などの表示手段に複数のオブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付ける。

認証部１５８は、ユーザが選択した画像と、先に選択されている認証対象のユーザＩＤに対応付けて登録されている正解キーとの一致／不一致を判断し、その結果に基づいて、画像認証が成功であるか否かを判断する。より具体的には、ユーザが選択した画像が、登録されているキー画像と一致した場合に、認証が成功であると判断される。すなわち、認証部１５８は、選択されたオブジェクトと当該ユーザに対応付けて登録されているキーオブジェクトとの一致／不一致に基づいて認証を行なう。

正解キー選択可否判断部１６０は、後述するセットアップ処理において、認証用データ記憶部１５０に格納されている認証データ１５２に基づいて、新規ユーザが正解キーとして選択可能な画像を特定する。より具体的には、正解キー選択可否判断部１６０は、既に登録されているユーザ別のキーオブジェクトの重複度に応じて、セットアップ処理においてユーザが選択できる画像を変更する。すなわち、正解キー選択可否判断部１６０は、認証用データ記憶部１５０に登録済のキーオブジェクトの重複度に応じて、キーオブジェクトの登録時におけるオブジェクトの選択自由度を決定する。なお、この処理の詳細については後述する。

ユーザ情報受付部１６２は、ＭＦＰ１０の操作パネル１１８（図２）、または、ＰＣ２０の入力部（図３に示すキーボード２１６またはマウス２１８）を介して入力されるユーザ情報（ユーザ選択）を受付けて、データ入出力部１６４を通じてその情報を他の部位へ送信する。

データ入出力部１６４は、上述の部位間のデータ授受を制御する。
次に、ＰＣ２０における制御機能について説明する。

ネットワーク接続部２５０は、ネットワークＮＷを介して、ＭＦＰ１０のネットワーク接続部１６６と物理的および論理的に接続されている。ネットワーク接続部２５０は、ＭＦＰ１０のネットワーク接続部１６６との間でデータを授受する。

ユーザ情報受付部２５２は、ＭＦＰ１０から送信される情報などに基づいて、認証処理および後述するセットアップ処理に関するユーザインターフェイス画面を提供する。より具体的には、ユーザ情報受付部２５２は、認証処理に係る認証対象ユーザを選択するためのユーザＩＤ選択画面、認証画面、セットアップ画面などを、ディスプレイ２１４（図３）に表示する。さらに、ユーザ情報受付部２５２は、ＰＣ２０のキーボード２１６およびマウス２１８を介して入力されるユーザ情報（ユーザ選択）を受付けて、ネットワーク接続部２５０を通じてその情報をＭＦＰ２０へ送信する。

＜ユーザ情報＞
図５は、図４に示す認証用データ記憶部１５０に格納されるユーザ情報１５１の一例を示す図である。図５を参照して、ユーザ情報１５１は、一例として、少なくとも４つの列からなるテーブルとして記述される。より具体的には、ユーザ情報１５１は、列の項目として、項目番号列１５１１と、ユーザ名列１５１２と、正解キー列１５１３と、登録日時列１５１４とを含む。そして、各ユーザの登録内容が、行単位で記述される。

項目番号列１５１１には、登録されるユーザ毎にユニークな値が記述される。ユーザ名列１５１２には、登録されているユーザを識別するためのＩＤが記述される。このユーザ名列１５１２の値は、後述するように、ユーザが任意に設定することができる。正解キー列１５１３には、各ユーザが登録した画像もしくはその画像を示す識別情報が記述される。登録日時列１５１４には、各ユーザが正解キーを登録した日時が記述される。

たとえば、図５には、４名のユーザ「Ａｌｉｃｅ」、「Ｂｏｂ」、「Ｃｈａｒｌｉｅ」、「Ｄａｖｉｄ」の各々について、正解キーが登録されている例を示す。

なお、本実施の形態に従う画像認証においては、上述のユーザ名列１５１２および正解キー列１５１３の情報があれば十分である。また、必ずしも図５に示すようなテーブル形式で情報を保持する必要もない。

また、図５には、各ユーザに対応付けて１つの正解キーが登録されている例を示すが、一人のユーザに複数の正解キーを対応付けて登録してもよい。この場合には、登録されたいずれかの正解キーが選択されれば認証を成功と判断（ＯＲ条件）してもよいし、登録されたすべての正解キーが選択されなければ認証を成功と判断（ＡＮＤ条件）しないとしてもよい。

＜認証処理＞
次に、本実施の画像認証の処理について説明する。

図６は、本発明の実施の形態１に従う認証システム１００における認証処理の手順を示すシーケンス図である。図６に示す各ステップは、上述の図４に示す、ＰＣ２０のユーザ情報受付部２５２、ならびに、ＭＦＰ１０の認証用画面生成部１５６、認証用データ記憶部１５０および認証部１５８によって実行される。なお、ＭＦＰ１０の操作パネル１１８上で認証処理を実行する場合、すなわち、ユーザがＭＦＰ１０を操作する前に認証を要求するような使用形態の場合には、ＰＣ２０のユーザ情報受付部２５２に代えて、ＭＦＰ１０のユーザ情報受付部１６２が本処理を実行する。

まず、画像認証が要求されると、図６に示す処理が開始される。この画像認証が要求される条件としては、ＰＣ２０からＭＦＰ１０上のアプリケーションの実行が指示された場合や、ＭＦＰ１０が保持しているデータへのアクセスが要求された場合など、様々な条件が考えられる。

ステップＳ２において、認証部１５８は、認証用データ記憶部１５０に対してユーザ情報リストを要求する。ステップＳ４において、認証用データ記憶部１５０は、認証部１５８からの要求に応答して、自身に格納されているユーザ情報１５１（図５）を参照して、ユーザ情報リストを認証部１５８へ送付する。このユーザ情報リストは、ユーザ情報１５１に現在登録されている全ユーザＩＤ（ユーザ名列１５１２に登録されている値のリスト）を含む。

ステップＳ６において、認証部１５８は、認証用データ記憶部１５０から受信したユーザ情報リストに基づいて、登録済の全ユーザＩＤを認証用画面生成部１５６へ通知する。続くステップＳ８において、認証用画面生成部１５６は、認証部１５８から受信した全ユーザＩＤに基づいて、ユーザＩＤ選択画面を表示するための情報を生成する。さらに続くステップＳ１０において、認証用画面生成部１５６は、生成したユーザＩＤ選択画面を表示するための情報をユーザ情報受付部２５２（または、ユーザ情報受付部１６２）へ送信する。すると、ユーザ情報受付部２５２は、認証用画面生成部１５６から受信したユーザＩＤ選択画面の情報に基づいて、ディスプレイ２１４（図３）などにユーザＩＤ選択画面を表示する。

図７は、本実施の形態１に従う認証システム１００において表示されるユーザＩＤ選択画面３００の一例を示す図である。図７を参照して、ユーザＩＤ選択画面３００では、ユーザＩＤ選択ボタン３０２と、新規登録ボタン３０４と、ＯＫボタン３０６と、Ｃａｎｃｅｌボタン３０８とが表示される。

画像認証を受けようとするユーザは、ユーザＩＤ選択ボタン３０２のうち、自身のユーザＩＤに対応するボタンを選択（押下）する。続いて、そのユーザがＯＫボタン３０６を選択すると、ユーザＩＤの選択が確定する。なお、Ｃａｎｃｅｌボタン３０８が選択されると、先に選択されていたユーザＩＤがキャンセルされる。また、新規登録ボタン３０４が選択されると、後述するセットアップ処理が開始される。

再度図６を参照して、図７に示すユーザＩＤ選択画面３００において、ユーザが自身のユーザＩＤに対応するボタンを選択した上でＯＫボタン３０６を選択したとする（ステップＳ１２のユーザ操作）。すると、ステップＳ１４において、ユーザ情報受付部２５２は、選択されたユーザＩＤを認証用画面生成部１５６へ通知する。続くステップＳ１６において、認証用画面生成部１５６は、通知された選択ユーザＩＤを認証部１５８へ通知する。

ステップＳ１８において、認証部１５８は、認証用データ記憶部１５０に対して認証データの送付指示を与える。ステップＳ２０において、認証用データ記憶部１５０は、認証部１５８からの指示に応答して、自身に格納されているユーザ情報１５１（図５）を参照して、選択されたユーザＩＤに対応付けて登録されている正解キーを検索する。続くステップＳ２２において、認証用データ記憶部１５０は、画像データ群１５３（図５）を参照して、ステップＳ２０において検索された正解キー以外の画像（おとり画像）を検索する。そして、ステップＳ２４において、認証用データ記憶部１５０は、ステップＳ２０において検索した正解キーおよびステップＳ２２において検索した画像（おとり画像）を含む認証データを、認証用画面生成部１５６へ送付する。また、ステップＳ２５において、認証用データ記憶部１５０は、ステップＳ２０において検索した正解キーを認証部１５８へ送付する。

ステップＳ２６において、認証用画面生成部１５６は、認証用データ記憶部１５０から受信した認証データに基づいて、認証画面を表示するための情報を生成する。さらに続くステップＳ２８において、認証用画面生成部１５６は、生成した認証画面を表示するための情報をユーザ情報受付部２５２（または、ユーザ情報受付部１６２）へ送信する。すると、ユーザ情報受付部２５２は、認証用画面生成部１５６から受信した認証画面の情報に基づいて、ディスプレイ２１４（図３）などに認証画面を表示する。

図８は、本実施の形態１に従う認証システム１００において表示される認証画面３２０の一例を示す図である。図８を参照して、認証画面３２０では、正解キーおよびおとり画像を含む複数の画像が一覧表示（符号３２２）される。また、認証画面３２０では、ＯＫボタン３２４と、Ｃａｎｃｅｌボタン３２６とが表示される。

たとえば、図７に示す認証画面において「Ｂｏｂ」のボタンが選択されたとすると、図５に示すユーザ情報１５１においては、ユーザＩＤ「Ｂｏｂ」に対応付けて「温度計の画像」が登録されているので、図８に示す認証画面３２０においては、正解キーである「温度計の画像」が表示されるとともに、正解キー以外のおとり画像が選択肢として一覧表示（符号３２２）される。

画像認証中のユーザは、一覧表示される画像のうち、自身が予め登録した正解キーに対応する画像を選択（押下）する。続いて、そのユーザがＯＫボタン３２４を選択すると、正解キーの選択が確定する。なお、Ｃａｎｃｅｌボタン３２６が選択されると、先に選択されていた画像がキャンセルされる。

再度図６を参照して、図８に示す認証画面３２０において、ユーザが何らかの画像を選択した上でＯＫボタン３２４を選択したとする（ステップＳ３０のユーザ操作）。すると、ステップＳ３２において、ユーザ情報受付部２５２は、選択された画像を認証用画面生成部１５６へ通知する。続くステップＳ３４において、認証用画面生成部１５６は、通知された選択画像を認証部１５８へ通知する。

ステップＳ３６において、認証部１５８は、ステップＳ３４において認証用画面生成部１５６から受信した選択画像と、ステップＳ２５において認証用データ記憶部１５０から受信した正解キーとの一致／不一致に基づいて、認証を実行する。すなわち、ユーザが選択した画像と、当該ユーザに対応付けて予め登録されている正解キーとが一致した場合には、認証成功と判断し、そうでなければ、認証失敗と判断する。

続くステップＳ３８において、認証部１５８は、ステップＳ３６における認証結果を示す認証可否を認証用画面生成部１５６へ通知する。続いて、認証用画面生成部１５６は、認証部１５８から受信した認証可否通知に基づいて、認証可否を表示するための情報を生成する。そして、ステップＳ４０において、認証用画面生成部１５６は、生成した認証可否を表示するための情報をユーザ情報受付部２５２（または、ユーザ情報受付部１６２）へ送信する。すると、ユーザ情報受付部２５２は、認証用画面生成部１５６から受信した認証可否を表示するための情報に基づいて、ディスプレイ２１４（図３）などに認証可否結果を表示する。

このような処理によって、画像認証が提供される。
＜セキュリティレベル＞
次に、上述の画像認証におけるセキュリティレベルについて考える。

前提として、予め用意された複数の画像（画像データ群１５３）のうち、ユーザ別に正解キーとして登録される画像の重複を無制限に許容するものとする。このような前提において、悪意のユーザがユーザＩＤおよび画像を任意に選択した場合に、ファーストトライで認証が成功と判断されてしまう確率について検討する。

たとえば、登録済のユーザ数が１００名であり、認証画面（図８）において１００枚の画像から１枚が正解キーとして選択されるとする。このとき、５０名が同じ画像を正解キーとして登録しており、残りの５０名が互いに重複することなく異なる画像を正解キーとして登録しているとすると、認証対象のユーザとそれ以外のユーザとの組み合わせは、_１００Ｃ_２通りとなる。この２名のユーザについて正解キーとして任意に選択された画像が互いに一致する組み合わせは、_５０Ｃ_２通りとなる。

したがって、ファーストトライで認証が成功してしまう確率は、_５０Ｃ_２／_１００Ｃ_２＝２４．７４％となる。

これに対して、正解キーとして選択される画像に対して、１つの画像について最大２名のユーザしか使用できないという重複の制限を設けた場合を考える。このとき、２名のユーザが同じ画像を正解キーとして選択し、他の９８名のユーザは互いに異なる画像を正解キーとして選択したとすると、認証対象のユーザとそれ以外のユーザとの正解キーが一致する組み合わせは、１通りとなる。

したがって、ファーストトライで認証が成功してしまう確率は、１／_１００Ｃ_２＝０．０２％となる。

このように、正解キーとして登録する画像の重複を制限する場合には、重複を制限しない場合に比較して、飛躍的にセキュリティレベルが上がる。さらに、ユーザ数の増加に伴って、セキュリティレベルはさらに上がる傾向がある。

そこで、本実施の形態に従う認証システムでは、登録済の正解キーの「重複度」という考え方を導入し、この「重複度」に応じて、正解キーの登録時における画像の選択自由度を決定するものである。

本実施の形態に従う認証システムにおいて、「重複度」は、画像についての登録ユーザ数、画像についての正解キーとしての登録期間、画像の属するカテゴリー、の少なくとも１つに関連付けて算出される。

すなわち、重複度は、理論的には、以下に示すような数式に従って算出される。
Ｆ＝ｆ（ａ）×ｆ（ｂ）×ｆ（ｃ）×ω
ここで、ａは、画像についての登録ユーザ数を示し、ｂは、画像についての正解キーとしての登録期間を示し、ｃは、画像の属するカテゴリーを示す。なお、ωは、システム係数を示し、認証システムの処理パフォーマンスに関連する調整パラメータに相当する。すなわち、ωは、キーの総数および利用ユーザ数などに関連する値である。

なお、本実施の形態１に従う認証システム１００においては、ｆ（ｂ）＝１かつｆ（ｃ）＝１、すなわち、画像についての登録ユーザ数のみを用いて、重複度が決定される構成を示す。後述する他の実施の形態においては、画像についての正解キーとしての登録期間、および／または、画像の属するカテゴリーを用いて重複度を決定する構成について例示する。

＜認証データ＞
図９は、図４に示す認証用データ記憶部１５０に格納される認証データ１５２の一例を示す図である。図９を参照して、認証データ１５２は、一例として、少なくとも５つの列からなるテーブルとして記述される。より具体的には、認証データ１５２は、列の項目として、項目番号列１５２１と、画像列１５２２と、選択可否列１５２３と、登録済数列１５２４と、登録ユーザ名列１５２５とを含む。そして、予め用意された画像の各々についての情報が行単位で記述される。

項目番号列１５２１には、予め用意されている画像を識別するためのユニークな値が記述される。画像列１５２２には、予め用意されている各画像もしくは各画像を示す識別情報が記述される。選択可否列１５２３には、新規登録するユーザが正解キーとして選択することができるか否かの情報が記述される。登録済数列１５２４には、対応する画像が何名のユーザに正解キーとして登録されているかを示す数が記述される。すなわち、登録済数列１５２４には、各画像についての、正解キーとして登録されている重複数が示される。登録ユーザ名列１５２５には、対応する画像を正解キーとしているユーザ名（ユーザＩＤ）が記述される。

図９に示す例では、正解キーとして登録されているユーザ数が所定のしきい値（この例では、「２」）以上となっている画像については、新規ユーザが正解キーとして登録することを不能化する。すなわち、本実施の形態に従う重複度は、各オブジェクトについての登録ユーザ数に基づいて決定される。そして、登録済数が２以上となっている画像については、正解キーとしての登録可否を示す選択可否列１５２３の値が「×」に設定される。

たとえば、「電球の画像」（項目番号列１５２１の値が「１」）および「温度計の画像」（項目番号列１５２１の値が「３」）については、対応する登録済数列１５２４の値がいずれも「２」であるので、それぞれ対応する選択可否列１５２３の値が「×」に設定されている。したがって、「電球の画像」および「温度計の画像」は、正解キーとしての登録が不能な状態となっている。

本実施の形態に従う認証システム１００においては、後述するセットアップ処理において、このような正解キーとして登録が可能な画像と、正解キーとして登録が不可能な画像とを異なる態様でユーザに提示する。これによって、正解キーの登録時におけるユーザによる画像の選択自由度を制限する。

なお、上記の例では、正解キーの重複度が２回までは許容されるようなっている。これは、ユーザ数が多くなればなるほど、重複する確率が低くなるのを考慮して決定された値である。もちろん、正解キーの重複度の許容を１回までとしてもよいし、３回以上としてもよい。但し、登録されるユーザの数と予め用意されている画像の数とに基づいて、最適化されることが好ましい。さらに、登録済のユーザ数などに応じて、しきい値を動的に変化させてもよい。

＜セットアップ処理＞
次に、各ユーザが正解キーを登録するための本実施のセットアップ処理について説明する。

図１０は、本発明の実施の形態１に従う認証システム１００におけるセットアップ処理の手順を示すシーケンス図である。図１０に示す各ステップは、上述の図４に示す、ＰＣ２０のユーザ情報受付部２５２、ならびに、ＭＦＰ１０の認証用画面生成部１５６、認証用データ記憶部１５０、認証部１５８、および正解キー選択可否判断部１６０によって実行される。なお、ＭＦＰ１０の操作パネル１１８上で認証処理を実行する場合、すなわち、ユーザがＭＦＰ１０を操作する前に認証を要求するような使用形態の場合には、ＰＣ２０のユーザ情報受付部２５２に代えて、ＭＦＰ１０のユーザ情報受付部１６２が本処理を実行する。

図１０に示すセットアップ処理は、図７に示すユーザＩＤ選択画面３００において、新規登録ボタン３０４が選択されることで実行される。そのため、図１０に示すシーケンス図のうち、ステップＳ２〜Ｓ１０の処理内容については、図６のステップＳ２〜Ｓ１０と同様であるので、詳細な説明は繰返さない。

ステップＳ５０において、図７に示すユーザＩＤ選択画面３００がディスプレイ２１４（図３）に表示された状態で、ユーザが新規登録ボタン３０４を選択したとする。すると、ステップＳ５２において、ユーザ情報受付部２５２は、認証用画面生成部１５６へ新規登録選択を通知する。続くステップＳ５４において、認証用画面生成部１５６は、新規ユーザ登録画面を表示するための情報をユーザ情報受付部２５２（または、ユーザ情報受付部１６２）へ送信する。すると、ユーザ情報受付部２５２は、認証用画面生成部１５６から受信した新規ユーザ登録画面の情報に基づいて、ディスプレイ２１４（図３）などに新規ユーザ登録画面を表示する。

図１１は、本実施の形態１に従う認証システム１００において表示される新規ユーザ登録画面３４０の一例を示す図である。図１１を参照して、新規ユーザ登録画面３４０では、入力表示領域３４２と、ソフトキーボード３４４と、ＯＫボタン３４６と、Ｃａｎｃｅｌボタン３４８とが表示される。

新たに正解キーを登録しようとするユーザは、キーボード２１６（図３）またはソフトキーボード３４４を操作して、自身の希望するユーザＩＤを入力する。この入力されたユーザＩＤは、入力表示領域３４２に反映される。ユーザＩＤの入力後、ユーザがＯＫボタン３４６を選択すると、入力ユーザＩＤの入力が確定する。なお、Ｃａｎｃｅｌボタン３４８が選択されると、先に入力されていたユーザＩＤがリセットされる。

再度図１０を参照して、図１１に示す新規ユーザ登録画面３４０において、ユーザが自身のユーザＩＤを入力した上でＯＫボタン３４６を選択したとする（ステップＳ５６のユーザ操作）。すると、ステップＳ５８において、ユーザ情報受付部２５２は、入力されたユーザＩＤを認証用画面生成部１５６へ通知する。続くステップＳ６０において、認証用画面生成部１５６は、受信したユーザＩＤを認証部１５８へ通知する。

ステップＳ６２において、認証部１５８は、ユーザＩＤ登録確認を実行する。より具体的には、認証部１５８は、ユーザが入力したユーザＩＤが既に登録済であるか否かを判断する。なお、ユーザが入力したユーザＩＤが既に登録されている場合には、セットアップ処理を中止する。

ユーザが入力したユーザＩＤが既に登録されていなければ、ステップＳ６４において、認証部１５８は、正解キー選択可否判断部１６０に対して、正解キー登録作業指示を与える。この正解キー登録作業指示に応答して、正解キー選択可否判断部１６０は、正解キーの登録処理を開始する。

まず、ステップＳ６６において、正解キー選択可否判断部１６０は、認証用データ記憶部１５０に対して認証データリストを要求する。ステップＳ６８において、認証用データ記憶部１５０は、正解キー選択可否判断部１６０からの要求に応答して、自身に格納されている認証データ１５２（図９）を参照して、認証データリストを正解キー選択可否判断部１６０へ送付する。この認証データリストは、認証データ１５２に正解キーとして登録されている画像、および、各画像の登録済数（登録済数列１５２４に登録されている値のリスト）を含む。

ステップＳ７０において、正解キー選択可否判断部１６０は、認証データリストに基づいて、正解キーの候補として選択可能な画像を検索する。続くステップＳ７２において、正解キー選択可否判断部１６０は、認証用データ記憶部１５０に対して、正解キーとして選択可能な画像の送付指示を与える。この送付指示は、正解キーとして選択が不能となっている画像を特定するための情報を含む。この選択可能な画像の送付指示に応答して、認証用データ記憶部１５０は、セットアップ画面に表示される候補画像を検索する（ステップＳ７４）。より具体的には、認証用データ記憶部１５０は、自身に格納されている画像データ群１５３（図５）を参照して、選択不能な画像を除く残りの画像から、所定数の候補画像を検索する。

そして、ステップＳ７６において、認証用データ記憶部１５０は、検索した候補画像を認証用画面生成部１５６へ送付する。続くステップＳ７８において、認証用画面生成部１５６は、認証部１５８から受信した候補画像に基づいて、セットアップ画面を表示するための情報を生成する。さらに続くステップＳ８０において、認証用画面生成部１５６は、生成したセットアップ画面を表示するための情報をユーザ情報受付部２５２（または、ユーザ情報受付部１６２）へ送信する。すると、ユーザ情報受付部２５２は、認証用画面生成部１５６から受信したセットアップ画面の情報に基づいて、ディスプレイ２１４（図３）などにセットアップ画面を表示する。

図１２は、本実施の形態１に従う認証システム１００において表示されるセットアップ画面３６０の一例を示す図である。図１２（ａ）を参照して、セットアップ画面３６０では、正解キーの候補となる複数の画像が一覧表示（符号３６２）される。また、セットアップ画面３６０では、ＯＫボタン３６４と、Ｃａｎｃｅｌボタン３６６とが表示される。

セットアップ処理中のユーザは、一覧表示される画像のうち、自身が正解キーとして登録を希望する画像を選択（押下）する。続いて、そのユーザがＯＫボタン３６４を選択すると、指定された画像の選択が確定する。なお、Ｃａｎｃｅｌボタン３６６が選択されると、先に指定されていた画像がキャンセルされる。

なお、正解キーの候補となる所定数の画像を含むページ単位で表示を切替えるようにしてもよい。すなわち、正解キーとして登録可能な画像を複数ページにわたって、表示するようにしてもよい。

図１２（ｂ）および図１２（ｃ）には、図１２（ａ）に示すセットアップ画面に表示されている「温度計の画像」３６８が正解キーとして選択不能になっている場合の表示形態を示す。

図１２（ｂ）に示すセットアップ画面３６０においては、「温度計の画像」３６８が正解キーの候補となる画像としては表示されていない。その代わりに、正解キーとして選択可能な他の画像（マイクの画像）が表示される。

このように、登録済の正解キーの重複度に応じて、正解キーの登録時における正解キーの候補となる画像の表示態様が変更される。特に、予め用意された複数の画像のうち、登録可能な画像はセットアップ画面３６０に表示される一方で、登録不可能な画像は非表示にされる。

また、別の形態として、図１２（ｃ）に示すセットアップ画面３６０においては、「温度計の画像」３６８がグレイアウトされた状態で表示されている。この状態では、ユーザは「温度計の画像」３６８を選択することができない。

このように、登録済の正解キーの重複度に応じて、正解キーの登録時における正解キーの候補となる画像の表示態様が変更される。特に、予め用意された複数の画像のうち所定数の画像を一覧表示する一方で、登録可能な画像については選択可能に表示し、登録不可能な画像を選択不能に表示する。

さらに、重複度に応じて表示の優先順位を変更してもよい。たとえば、重複度の少ない画像から順に表示させるような方法であってもよい。

再度図１０を参照して、図１２に示すセットアップ画面３６０において、ユーザがいずれかの（登録可能な）画像を選択した上でＯＫボタン３６４を選択したとする（ステップＳ８２のユーザ操作）。すると、ステップＳ８４において、ユーザ情報受付部２５２は、選択された正解キーを認証用画面生成部１５６へ通知する。続くステップＳ８６において、認証用画面生成部１５６は、通知された正解キーを認証部１５８へ通知する。並行して、ステップＳ８８において、認証用画面生成部１５６は、通知された正解キーを正解キー選択可否判断部１６０へ通知する。

ステップＳ９０において、認証部１５８は、通知された正解キーに基づいて、ユーザ情報１５１の内容を更新する。続くステップＳ９２において、認証部１５８は、更新後のユーザ情報１５１を認証用データ記憶部１５０に格納する。

並行して、ステップＳ９４において、正解キー選択可否判断部１６０は、通知された正解キーに基づいて、認証データ１５２の内容を更新する。続くステップＳ９６において、正解キー選択可否判断部１６０は、更新後の認証データ１５２を認証用データ記憶部１５０に格納する。

以上のような手順にしたがって、新規ユーザが正解キーを登録するためのセットアップ処理が実行される。すなわち、予め用意された、複数の視覚的に識別可能なオブジェクト（画像）の中から、ユーザ別に選択されたオブジェクトがキーオブジェクト（正解キー）として記憶手段に登録される。

＜更新処理＞
図１３は、本実施の形態１に従う認証システム１００において表示されるセットアップ画面３６０におけるユーザ操作の一例を示す図である。図１４は、図１０に示すステップＳ９０におけるユーザ情報１５１の更新処理の一例を示す図である。図１５は、図１０に示すステップＳ９４における認証データ１５２の更新処理の一例を示す図である。

たとえば、上述の図１１に示すように、新規登録するユーザがユーザＩＤとして「Ｅｒｉｋ」を入力するとともに、図１３に示すように、「バスの画像」３２８を正解キーとして選択したとする。

すると、図１４に示すように、ユーザ情報１５１には、この新規のユーザが入力した内容が追記される。すなわち、項目番号列１５１１が「５」の行に対応付けて、ユーザ名列１５１２の値として「Ｅｒｉｋ」が登録されるとともに、正解キー列１５１３の値として「バスの画像」が登録される。さらに、登録日時列１５１４の値として、登録処理が実行された日付および時刻が格納される。

並行して、図１５に示すように、認証データ１５２には、この新規登録するユーザの入力内容に応じてその登録内容が更新される。すなわち、項目番号列１５２１が「５」に対応する「バスの画像」の行において、登録ユーザ名列１５２５の値として「Ｅｒｉｋ」が追加される。これに伴って、「バスの画像」を正解キーとして登録しているユーザ数（登録済数列１５２４の値）は「１」から「２」へ更新される。この結果、「バスの画像」については、正解キーとして登録されているユーザ数が所定のしきい値（この例では、「２」）以上となるため、新たに正解キーとして登録することが不能化される。したがって、選択可否列１５２３の値についても「○」から「×」へ変更される。

このように、現在登録されている内容に応じて、正解キーとして選択可能であるか否かが随時更新される。

＜処理フロー＞
上述のセットアップ処理に係る処理手順をまとめると、以下のようになる。

図１６は、本発明の実施の形態１に従うセットアップ処理に係るフローチャートである。図１６に示す各ステップは、ＣＰＵ１０２（図２）がプログラムを実行することで提供される。

図１６を参照して、まず、ＣＰＵ１０２は、新規ユーザからのユーザＩＤの入力を受付けるための新規ユーザ登録画面を表示する（ステップＳ１００）。続いて、ＣＰＵ１０２は、新規ユーザが希望するユーザＩＤを入力したか否かを判断する（ステップＳ１０２）。ユーザＩＤが入力されていなければ（ステップＳ１０２においてＮＯ）、ステップＳ１０２の処理が繰返される。

ユーザＩＤが入力されると（ステップＳ１０２においてＹＥＳ）、ＣＰＵ１０２は、入力されたユーザＩＤと同じユーザＩＤが登録済みであるか否かを判断する（ステップＳ１０４）。入力されたユーザＩＤと同じユーザＩＤが登録済であれば（ステップＳ１０４においてＹＥＳ）、ＣＰＵ１０２は入力されたユーザＩＤを破棄して、ステップＳ１００に処理が戻る。

入力されたユーザＩＤと同じユーザＩＤが登録済でなければ（ステップＳ１０４においてＮＯ）、ＣＰＵ１０２は、認証データ１５２を参照して、正解キーとしての登録が不能な状態となっている画像を検索する（ステップＳ１０６）。続いて、ＣＰＵ１０２は、画像データ群１５３に含まれる画像のうち、ステップＳ１０６において検索された正解キーとしての登録が不能な状態となっている画像を除いた画像群を形成する（ステップＳ１０８）。さらに、ＣＰＵ１０２は、ステップＳ１０８において形成した画像群から、正解キーの候補となる所定数の画像をランダムに抽出する（ステップＳ１１０）。そして、ＣＰＵ１０２は、ステップＳ１１０において抽出した候補画像を含むセットアップ画面を表示する（ステップＳ１１２）。

続いて、ＣＰＵ１０２は、セットアップ画面においていずれかの候補画像が選択されたか否かを判断する（ステップＳ１１４）。いずれの候補画像も選択されていなければ（ステップＳ１１４においてＮＯ）、ステップＳ１１４の処理が繰返される。

いずれかの候補画像が選択されると（ステップＳ１１４においてＹＥＳ）、ＣＰＵ１０２は、ステップＳ１０２において入力されたユーザＩＤと、ステップＳ１１４において選択された候補画像とを対応付けて、新規ユーザの情報としてユーザ情報１５１に追加する（ステップＳ１１６）。

続いて、ＣＰＵ１０２は、認証データ１５２のエントリのうち、ステップＳ１１４において選択された候補画像に対応するエントリ（行）に、ステップＳ１０２において入力されたユーザＩＤの値を追加する（ステップＳ１１８）。さらに、ＣＰＵ１０２は、認証データ１５２の対応するエントリにおける登録済数の値を「１」だけ加算する（ステップＳ１２０）。そして、ＣＰＵ１０２は、「１」だけ加算された後の登録済数が所定のしきい値以上となったか否かを判断する（ステップＳ１２２）。「１」だけ加算された後の登録済数が所定のしきい値以上となっていなければ（ステップＳ１２２においてＮＯ）、処理は終了する。

これに対して、「１」だけ加算された後の登録済数が所定のしきい値以上となっていれば（ステップＳ１２２においてＹＥＳ）、ＣＰＵ１０２は、認証データ１５２の対応するエントリにおける選択可否の値を、選択可能を示す「○」から選択不能を示す「×」に変更する（ステップＳ１２４）。そして、処理は終了する。

＜作用効果＞
本実施の形態に従う認証システムによれば、各オブジェクト（画像）をキーオブジェクト（正解キー）として重複登録されている度合い（重複度）に応じて、正解キーの登録時における画像の選択自由度が変更される。これによって、複数のユーザが同一の画像を正解キーとして登録することを抑制することができる。それによって、ユーザビリティを損なうことなく、セキュリティレベルを維持することができる。

また、新規のユーザが正解キーとして登録する際の候補画像を制御できるので、正解キーの重複を避ける目的で、予め膨大な数の候補画像を予め用意しておく必要がない。そのため、システムを簡素化できるとともに、必要なリソースを低減できる。

［実施の形態１の変形例］
上述の実施の形態１においては、画像単位の登録済数を重複度として考慮する構成について例示したが、画像の属するカテゴリー単位の登録済数の合計値を重複度として考慮してもよい。これは、特定のカテゴリーに属する画像、すなわち類似した概念を想起させるような画像が偏って選択される場合も想定されるからである。

本変形例に従う認証システムは、上述の図１に示す実施の形態１に従う認証システム１００と同様であるので、詳細な説明は繰返さない。また、ＭＦＰおよびＰＣのハードウェア構成についても、それぞれ上述の図２および図３と同様であるので、詳細な説明は繰返さない。

本変形例に従う認証システムにおける制御構造についても、後述する認証データのデータ構造が異なる点を除いて、上述の図４と同様であるので、詳細な説明は繰返さない。また、本変形例に従う認証システムにおける認証処理の手順についても、上述の図６に示すシーケンス図と同様であるので、詳細な説明は繰返さない。

＜認証データ＞
図１７は、本発明の実施の形態１の変形例に従う認証データ１５２Ａの一例を示す図である。図１８は、図１７に示す認証データ１５２Ａに対する更新処理の一例を示す図である。

図１７を参照して、認証データ１５２Ａは、一例として、少なくとも７つの列からなるテーブルとして記述される。より具体的には、認証データ１５２Ａは、列の項目として、項目番号列１５２１と、カテゴリー列１５２６と、選択可否列１５２７と、登録済数合計列１５２８と、画像列１５２２と、登録済数列１５２４と、登録ユーザ名列１５２５とを含む。そして、予め用意された画像の各々についての情報が行単位で記述されるとともに、同一のカテゴリーに属する画像についての情報が複数行にわたって定義される。

すなわち、予め用意された複数の画像は、その画像数より少ないカテゴリーのいずれかに区分されている。

項目番号列１５２１には、予め用意されている画像を識別するためのユニークな値が記述される。カテゴリー列１５２６には、予め用意されている各画像が属するカテゴリーを示す値が記述される。選択可否列１５２７には、新規登録するユーザが正解キーとして選択することができるか否かの情報がカテゴリー単位で記述される。登録済数合計列１５２８には、対応するカテゴリーに属するそれぞれの画像が何名のユーザに正解キーとして登録されているかを示す合計数が記述される。すなわち、登録済数合計列１５２８には、同一カテゴリーに属するそれぞれの画像についての、正解キーとして重複登録されている度合いが示される。画像列１５２２には、予め用意されている各画像もしくは各画像を示す識別情報が記述される。登録済数列１５２４には、対応する画像が何名のユーザに正解キーとして登録されているかを示す数が記述される。登録ユーザ名列１５２５には、対応する画像を正解キーとしているユーザ名（ユーザＩＤ）が記述される。

本変形例においては、同一カテゴリーに属する画像を正解キーとして登録しているユーザの総数を重複度とみなす。すなわち、本変形例においては、重複度は、同一カテゴリーに属するオブジェクト（画像）の登録ユーザ数の合計数に基づいて決定される。

そして、登録済数合計列１５２８に登録されている値が所定のしきい値を超える場合には、当該カテゴリーに属する画像については、新規ユーザが正解キーとして登録することを不能化する。

図１７に示す例では、カテゴリー「Ｃ」に属する３つの画像については、それぞれ「１」名、「２」名、「０」名に正解キーとして登録されており、カテゴリー「Ｃ」の全体としては、「３」名のユーザに正解キーとして登録されている。たとえば、同一カテゴリーに属する画像を正解キーとして登録しているユーザ総数が「３」以上となっていることを、新規のユーザが正解キーとして登録することを不能化する条件とすると、このカテゴリー「Ｃ」に属するすべての画像について、新規のユーザが正解キーとして登録することが不能化される。

一方、他のカテゴリー「Ａ」および「Ｂ」については、カテゴリー全体で正解キーとして登録しているユーザ数がそれぞれ「２」名および「２」名であるので、これらのカテゴリーについては、新たなユーザが正解キーとして登録することが許容される。

次に、図１７に示す状態において、新たなユーザがいずれかの画像を正解キーとして登録した場合の処理について説明する。一例として、上述の図１４および図１５と同様に、ユーザＩＤ「Ｅｒｉｋ」のユーザが、カテゴリー「Ｂ」に属する「バスの画像」（Ｎｏ．３に対応）を正解キーとして登録したとする。

すると、図１８に示すように、認証データ１５２Ａには、この新規登録するユーザの入力した内容が追記される。すなわち、項目番号列１５１１が「５」の行に対応付けて、登録ユーザ名列１５２５の値として「Ｅｒｉｋ」が登録される。この結果、「バスの画像」を正解キーとして登録しているユーザ数（登録済数列１５２４の値）は「２」から「３」へ更新される。これに伴って、「バスの画像」が属するカテゴリー「Ｂ」の画像を正解キーとして登録しているユーザ数の合計（登録済数合計列１５２８の値）は「２」から「３」へ更新される。その結果、カテゴリー「Ｂ」については、正解キーとして登録されているユーザ数合計が所定のしきい値（この例では、「３」）以上となるため、当該カテゴリーに属する画像について、新たに正解画像として登録することが不能化される。したがって、選択可否列１５２７の値についても「○」から「×」へ変更される。

このように、現在登録されている内容に応じて、正解キーとして選択可能であるか否かが随時更新される。そして、正解キーとして選択不能と判断されたカテゴリーに属する画像については、セットアップ処理において非表示となったり、選択不能な態様で表示されたりする。

なお、上記の例では、同一カテゴリーにおける正解キーの重複度が３回までは許容されるようなっている。これは、同一カテゴリーに属する画像の数などに応じて変更してもよい。すなわち、対象のカテゴリーに属する画像の数に応じて、カテゴリー毎にしきい値を動的に変化させてもよい。

＜処理フロー＞
上述のセットアップ処理に係る処理手順をまとめると、以下のようになる。

図１９は、本発明の実施の形態１の変形例に従うセットアップ処理に係るフローチャートである。図１９に示す各ステップは、ＣＰＵ１０２（図２）がプログラムを実行することで提供される。

図１９のフローチャートに示すステップＳ１００〜Ｓ１１６の処理については、上述の図１６のフローチャートに示すステップＳ１００〜Ｓ１１６の処理と同様であるので、詳細な説明は繰返さない。

図１９を参照して、ステップＳ１１６の処理後、ＣＰＵ１０２は、認証データ１５２Ａのエントリのうち、ステップＳ１１４において選択された候補画像に対応するエントリ（行）に、ステップＳ１０２において入力されたユーザＩＤの値を追加する（ステップＳ１１８Ａ）。さらに、ＣＰＵ１０２は、認証データ１５２Ａの対応するエントリにおける登録済数の値を「１」だけ加算する（ステップＳ１２０Ａ）。そして、ＣＰＵ１０２は、対応するエントリに対応するカテゴリーにおける登録済数合計の値を更新する（Ｓ１２１Ａ）。

続いて、ＣＰＵ１０２は、更新後の登録済数合計が所定のしきい値以上となったか否かを判断する（ステップＳ１２２Ａ）。更新後の登録済数合計が所定のしきい値以上となっていなければ（ステップＳ１２２ＡにおいてＮＯ）、処理は終了する。

これに対して、更新後の登録済数合計が所定のしきい値以上となっていれば（ステップＳ１２２ＡにおいてＹＥＳ）、ＣＰＵ１０２は、認証データ１５２Ａの対応するカテゴリーにおける選択可否の値を、選択可能を示す「○」から選択不能を示す「×」に変更する（ステップＳ１２４Ａ）。そして、処理は終了する。

＜作用効果＞
本実施の形態に従う認証システムによれば、各カテゴリーに属するオブジェクト（画像）をキーオブジェクト（正解キー）として重複登録されている度合い（重複度）に応じて、正解キーの登録時における画像の選択自由度が変更される。これによって、類似した概念を想起させる特定の画像のグループが正解キーとして重複登録されるような事態を回避できる。それによって、ユーザビリティを損なうことなく、セキュリティレベルを維持することができる。

［実施の形態２］
上述の実施の形態１およびその変形例においては、ｆ（ｂ）＝１かつｆ（ｃ）＝１、すなわち、画像についての登録ユーザ数のみを用いて、重複度Ｆを決定する構成について例示した。これに対して、実施の形態２においては、ｆ（ａ）＝１かつｆ（ｃ）＝１、すなわち、画像についての正解キーとしての登録期間を用いて、重複度Ｆを決定する構成について例示する。

本発明の実施の形態２に従う認証システムは、上述の図１に示す実施の形態１に従う認証システム１００と同様であるので、詳細な説明は繰返さない。また、ＭＦＰおよびＰＣのハードウェア構成についても、それぞれ上述の図２および図３と同様であるので、詳細な説明は繰返さない。

本実施の形態に従う認証システムにおける制御構造についても、後述する認証データのデータ構造が異なる点を除いて、上述の図４と同様であるので、詳細な説明は繰返さない。また、本実施の形態に従う認証システムにおける認証処理の手順についても、上述の図６に示すシーケンス図と同様であるので、詳細な説明は繰返さない。

但し、本実施の形態においては、セットアップ処理において、登録済のユーザＩＤおよび／または正解キーの登録を解除する処理を実行可能である。

＜セットアップ処理のユーザインターフェイス＞
図２０は、本発明の実施の形態２に従う認証システムにおいて表示されるユーザＩＤ選択画面３００Ａの一例を示す図である。図２０を参照して、ユーザＩＤ選択画面３００Ａでは、上述の図７に示すユーザＩＤ選択画面３００に対して、登録解除ボタン３０５が追加される。

基本的には、登録済のユーザＩＤおよび／または正解キーの登録を解除する処理は、より高いセキュリティレベルに設定することが好ましい。そのため、図２０に示すユーザＩＤ選択画面３００Ａは、管理者用のパスワードによる認証を経て管理者モードに変更された場合に限って、表示されることが好ましい。あるいは、そのユーザＩＤを登録されているユーザが、自身のパスワード（好ましくは、正規の文字パスワード）による認証を経た上で、特殊な操作を行なった場合に限って、表示されるようにしてもよい。

ユーザＩＤ選択画面３００Ａにおいて、管理者が登録解除ボタン３０５を選択すると、登録済の正解キーの登録を解除するための処理が実行される。具体的には、登録を解除する対象のユーザＩＤを選択するための画面（図示しない）が表示される。続いて、管理者が、正解キーの登録を解除する対象のユーザＩＤを選択すると、ＣＰＵ１０２は、ユーザ情報１５１（図４）の対応するエントリを削除するとともに、後述するように、認証データ１５２Ｂの対応するエントリに登録解除された日付および時刻を追記／更新する。

なお、各ユーザが自身の正解キーの登録を解除する場合には、解除対象のユーザＩＤを選択するための画面は表示されず、現在登録中の自身の正解キーと登録の解除の実行を確認するためのボタンとを含む画面が表示される。

＜認証データ＞
図２１は、本発明の実施の形態２に従う認証データ１５２Ｂの一例を示す図である。図２２は、図２１に示す認証データ１５２Ｂに対する更新処理の一例を示す図である。

図２１を参照して、認証データ１５２Ｂは、一例として、少なくとも６つの列からなるテーブルとして記述される。より具体的には、認証データ１５２Ｂは、列の項目として、項目番号列１５２１と、画像列１５２２と、選択可否列１５２３と、登録ユーザ名列１５２５と、登録日時列１５２９ａと、登録解除日時列１５２９ｂとを含む。そして、予め用意された画像の各々についての情報が行単位で記述される。

項目番号列１５２１には、予め用意されている画像を識別するためのユニークな値が記述される。画像列１５２２には、予め用意されている各画像もしくは各画像を示す識別情報が記述される。選択可否列１５２３には、新規登録するユーザが正解キーとして選択することができるか否かの情報が記述される。登録ユーザ名列１５２５には、対応する画像を正解キーとしているユーザ名（ユーザＩＤ）が記述される。登録日時列１５２９ａには、各ユーザが正解キーを登録した日付および時刻が記述される。登録解除日時列１５２９ｂには、各ユーザが正解キーの登録を解除した日付および時刻、または、登録状態を示す値が記述される。

本実施の形態に従う認証システムにおいては、実質的に、各画像を正解キーとして登録できるユーザを１名に限定する。すなわち、同じ画像を正解キーとして登録するユーザの重複を許可しない。より具体的には、新規ユーザが正解キーとして選択可能な画像は、その登録解除日時列１５２９ｂに登録が解除された日時が記述されているもの、または、その登録日時列１５２９ａに登録された日時が記述されていないものに制限される。

なお、登録解除日時列１５２９ｂに記述された日時から所定期間が経過していないものについても、正解キーとして選択可能な画像から除外するようにしてもよい。このような条件を設けることで、認証画面に、過去に正解キーとして登録していた画像がおとり画像として表示された場合に、ユーザが誤認識してしまうのを防ぐことができる。

たとえば、図２１に示す例においては、項目番号列１５１１が「１」，「３」，「６」の行に対応する画像については、正解キーとして登録中であることが示されている。そのため、これらの画像については、セットアップ処理において非表示となったり、選択不能な態様で表示されたりする。

これに対して、項目番号列１５１１が「２」，「４」，「７」，「８」，「９」の行に対応する画像については、登録日時列１５２９ａに何らの値も記述されていないので、過去に正解キーとして登録されたことがないことがわかる。これらの画像については、セットアップ処理において候補画像として選択可能に表示される。

また、項目番号列１５１１が「５」の行に対応する画像については、登録解除日時列１５２９ｂに「２００８／１２／２０ ０８：２３」の値が記述されているので、ユーザＩＤ「Ｃｈａｒｌｉｅ」の正解キーとして過去に登録されていたことはあるが、現時点では、正解キーとしては登録されていないことがわかる。したがって、原則的には、新規ユーザが正解キーとして登録することは許容される。但し、上述のように、正解キーとしての登録が解除された日時から所定期間が経過しなければ、別のユーザの正解キーとしての登録を許可しないとう条件を付与する場合には、登録解除日時列１５２９ｂに記述された日時からの経過期間が算出され、この経過期間が所定しきい値を超えている場合に限って、正解キーとしての登録が許容される。

さらに、ユーザＩＤ「Ｅｒｉｋ」のユーザが、項目番号列１５１１が「５」の行に対応する「バスの画像」を正解キーとして登録すると、図２１に示す認証データ１５２Ｂは、図２２に示すように更新される。

すなわち、項目番号列１５１１が「５」の行に対応する登録ユーザ名列１５２５の値が、前回の登録ユーザである「Ｃｈａｒｉｌｅ」から新規ユーザのユーザＩＤ「Ｅｒｉｋ」へ変更される。さらに、新規ユーザが正解キーとして登録した日時が登録日時列１５２９ａの値の新たな値として記述される。同時に、登録解除日時列１５２９ｂに正解キーとして登録中であることが示す値が記述される。これによって、「バスの画像」については、新規ユーザが正解キーとして登録することが不能化される。

なお、上述の実施の形態２においては、認証データ１５２Ｂにおいて、登録日時列１５２９ａおよび登録解除日時列１５２９ｂを用いて、正解キーとしての登録期間を定義する構成について例示したが、ユーザ情報１５１および／または認証データ１５２（１５２Ｂ）に有効期限を記述して管理するようにしてもよい。この場合には、有効期限が過ぎると、正解キーの更新を要求するようにしてもよい。

＜処理フロー＞
上述のセットアップ処理に係る処理手順をまとめると、以下のようになる。

図２３は、本発明の実施の形態２に従うセットアップ処理に係るフローチャートである。図２３に示す各ステップは、ＣＰＵ１０２（図２）がプログラムを実行することで提供される。なお、図２３に示すステップのうち、図１６に示すステップと同じ処理を行なうものについては、同じ参照符号を付している。

図２３を参照して、まず、ＣＰＵ１０２は、新規ユーザからのユーザＩＤの入力を受付けるための新規ユーザ登録画面を表示する（ステップＳ１００）。続いて、ＣＰＵ１０２は、新規ユーザが希望するユーザＩＤを入力したか否かを判断する（ステップＳ１０２）。ユーザＩＤが入力されていなければ（ステップＳ１０２においてＮＯ）、ステップＳ１０２の処理が繰返される。

ユーザＩＤが入力されると（ステップＳ１０２においてＹＥＳ）、ＣＰＵ１０２は、入力されたユーザＩＤと同じユーザＩＤが登録済みであるか否かを判断する（ステップＳ１０４）。入力されたユーザＩＤと同じユーザＩＤが登録済であれば（ステップＳ１０４においてＹＥＳ）、ＣＰＵ１０２は入力されたユーザＩＤを破棄して、ステップＳ１００に処理が戻る。

入力されたユーザＩＤと同じユーザＩＤが登録済でなければ（ステップＳ１０４においてＮＯ）、ＣＰＵ１０２は、認証データ１５２Ｂを参照して、現在登録中の画像を検索する（ステップＳ１０６Ｂ）。続いて、ＣＰＵ１０２は、認証データ１５２Ｂを参照して、登録が解除された日時（登録解除日時列１５２９ｂに記述された値）と現時点との間の経過期間が所定のしきい値未満である画像を検索する（ステップＳ１０７Ｂ）。

そして、ＣＰＵ１０２は、画像データ群１５３に含まれる画像のうち、ステップＳ１０６ＢおよびＳ１０７Ｂにおいて検索された正解キーとしての登録が不能な状態となっている画像を除いた画像群を形成する（ステップＳ１０８）。さらに、ＣＰＵ１０２は、ステップＳ１０８において形成した画像群から、正解キーの候補となる所定数の画像をランダムに抽出する（ステップＳ１１０）。そして、ＣＰＵ１０２は、ステップＳ１１０において抽出した候補画像を含むセットアップ画面を表示する（ステップＳ１１２）。

続いて、ＣＰＵ１０２は、セットアップ画面においていずれかの候補画像が選択されたか否かを判断する（ステップＳ１１４）。いずれの候補画像も選択されていなければ（ステップＳ１１４においてＮＯ）、ステップＳ１１４の処理が繰返される。

いずれかの候補画像が選択されると（ステップＳ１１４においてＹＥＳ）、ＣＰＵ１０２は、ステップＳ１０２において入力されたユーザＩＤと、ステップＳ１１４において選択された候補画像とを対応付けて、新規ユーザの情報としてユーザ情報１５１に追加する（ステップＳ１１６）。

ＣＰＵ１０２は、認証データ１５２のエントリのうち、ステップＳ１１４において選択された候補画像に対応するエントリ（行）に、ステップＳ１０２において入力されたユーザＩＤの値を追加する（ステップＳ１１８）。続いて、ＣＰＵ１０２は、認証データ１５２Ｂの対応するエントリにおけるユーザＩＤ（登録ユーザ名列１５２５）にステップＳ１０２において入力されたユーザＩＤを追加し（ステップＳ１２０Ｂ）、認証データ１５２Ｂの対応するエントリにおける登録日時（登録日時列１５２９ａ）に現時点の日付および時刻を追加する（ステップＳ１２２Ｂ）。さらに、ＣＰＵ１０２は、認証データ１５２Ｂの対応するカテゴリーにおける選択可否の値を、選択可能を示す「○」から選択不能を示す「×」に変更する（ステップＳ１２４Ｂ）。そして、処理は終了する。

＜作用効果＞
本実施の形態に従う認証システムによれば、各オブジェクト（画像）について、キーオブジェクト（正解キー）としての重複登録が禁止されるので、より高いセキュリティレベルを維持することができる。さらに、先にあるユーザが正解キーとして登録していた画像については、登録の解除後であっても、解除された時点からの経過時間が相対的に少ない場合には、同一の画像を正解キーとして登録することを禁止することができる。これによって、正解キーの混同などの不具合も回避できる。

［実施の形態３］
上述の実施の形態１およびその変形例ならびに実施の形態２においては、正解キーとおとり画像との間の重複については禁止しない構成について例示した。これに対して、実施の形態３においては、ユーザ毎に正解キーおよびおとり画像を予め設定する構成について例示する。この場合、ｆ（ａ）＝０、すなわち、重複度Ｆをゼロに維持するように処理が実行される。

本発明の実施の形態３に従う認証システムは、上述の図１に示す実施の形態１に従う認証システム１００と同様であるので、詳細な説明は繰返さない。また、ＭＦＰおよびＰＣのハードウェア構成についても、それぞれ上述の図２および図３と同様であるので、詳細な説明は繰返さない。

図２４は、本発明の実施の形態３に従う認証システムにおける制御構造を示すブロック図である。図４に示す実施の形態１に従う認証システムに比較して、本実施の形態に従う認証システムは、ＭＦＰ１０の認証用データ記憶部１５０Ｃが認証データ１５２に代えて認証データ１５４を格納する点が異なる。その他の部位については、図４に示す対応する部位と同じであるので、詳細な説明は繰返さない。認証データ１５４は、正解キーを登録しているユーザ毎の個人用認証データ１５５を含む。

図２５は、図２４に示す個人用認証データ１５５のデータ構造の一例を示す図である。図２５を参照して、個人用認証データ１５５の各々は、対応するユーザ用の正解キーと、認証処理時の認証画面において当該正解キーと同時に表示される複数のおとり画像とからなる。あるユーザに向けられる個人用認証データ１５５に含まれる画像（正解画像およびおとり画像）は、いずれも、他のユーザに向けられる個人用認証データ１５５に含まれる画像とは重複しないように設定される。なお、認証画面において常に同じおとり画像が表示されないように、個人用認証データ１５５には、認証画面に同時に表示されるおとり画像の数より多くのおとり画像を設定しておくことが好ましい。

＜処理フロー＞
本実施の形態に従うセットアップ処理に係る処理手順は、以下のようになる。

図２６は、本発明の実施の形態３に従うセットアップ処理に係るフローチャートである。図２６に示す各ステップは、ＣＰＵ１０２（図２）がプログラムを実行することで提供される。なお、図２６に示すステップのうち、図１６に示すステップと同じ処理を行なうものについては、同じ参照符号を付している。

図２６を参照して、まず、ＣＰＵ１０２は、新規ユーザからのユーザＩＤの入力を受付けるための新規ユーザ登録画面を表示する（ステップＳ１００）。続いて、ＣＰＵ１０２は、新規ユーザが希望するユーザＩＤを入力したか否かを判断する（ステップＳ１０２）。ユーザＩＤが入力されていなければ（ステップＳ１０２においてＮＯ）、ステップＳ１０２の処理が繰返される。

ユーザＩＤが入力されると（ステップＳ１０２においてＹＥＳ）、ＣＰＵ１０２は、入力されたユーザＩＤと同じユーザＩＤが登録済みであるか否かを判断する（ステップＳ１０４）。入力されたユーザＩＤと同じユーザＩＤが登録済であれば（ステップＳ１０４においてＹＥＳ）、ＣＰＵ１０２は入力されたユーザＩＤを破棄して、ステップＳ１００に処理が戻る。

入力されたユーザＩＤと同じユーザＩＤが登録済でなければ（ステップＳ１０４においてＮＯ）、ＣＰＵ１０２は、認証データ１５４を参照して、認証データ１５４に含まれる個人用認証データ１５５に登録されているすべての画像を検索する（ステップＳ１０６Ｃ）。続いて、ＣＰＵ１０２は、画像データ群１５３に含まれる画像のうち、ステップＳ１０６Ｃにおいて検索された画像を除いた画像群を形成する（ステップＳ１０８Ｃ）。さらに、ＣＰＵ１０２は、ステップＳ１０８Ｃにおいて形成した画像群から、正解キーの候補となる所定数の画像をランダムに抽出する（ステップＳ１１０）。そして、ＣＰＵ１０２は、ステップＳ１１０において抽出した候補画像を含むセットアップ画面を表示する（ステップＳ１１２）。すなわち、予め用意された複数の画像のうち、登録済の画像のセット（ユーザ毎の個人用認証データ１５５）に含まれている画像の除いた画像群の中から、正解キーとして登録可能な画像が表示される。

続いて、ＣＰＵ１０２は、セットアップ画面においていずれかの候補画像が選択されたか否かを判断する（ステップＳ１１４）。いずれの候補画像も選択されていなければ（ステップＳ１１４においてＮＯ）、ステップＳ１１４の処理が繰返される。

いずれかの候補画像が選択されると（ステップＳ１１４においてＹＥＳ）、ＣＰＵ１０２は、ステップＳ１０８Ｃにおいて形成した画像群から、ステップＳ１１４において選択された候補画像を除いた上で、おとり画像として用いられる所定数の画像を抽出する（ステップＳ１１５Ｃ）。そして、ＣＰＵ１０２は、ステップＳ１０２において入力されたユーザＩＤと、ステップＳ１１４において選択された候補画像と、ステップＳ１１５Ｃにおいて抽出したおとり画像とを対応付けて、新規ユーザ向けの個人用認証データ１５５として認証データ１５４に追加する（ステップＳ１１６Ｃ）。すなわち、選択された正解キーと、当該正解キーと同時に表示される複数の画像とを含むオブジェクトのセットがユーザ別に登録される。そして、処理は終了する。

＜作用効果＞
本実施の形態に従う認証システムによれば、ある正解キーとして登録されている画像が、他のユーザの認証画面においておとり画像として表示されることを回避できる。そのため、より高いセキュリティレベルを維持することができる。

［その他の実施の形態（その１）］
上述の実施の形態１〜３においては、画像として、いわゆるアイコンを用いる形態について例示したが、通常の写真を用いてもよい。さらに、何らかの意味をもった文字列を用いてもよい。

図２７は、本発明のある実施の形態に従う認証システムにおいて表示される認証画面３８０の一例を示す図である。図２７を参照して、認証画面３８０において、果物の名前を示す複数の文字列が正解キーおよびおとり画像として用いられる場合の例を示す。すなわち、正解キーの候補オブジェクトとして、複数の文字列３８２が一覧表示される。そして、ユーザがいずれかの文字列を選択した上で、ＯＫボタン３８４を選択すると、正解キーの選択が確定する。また、Ｃａｎｃｅｌボタン３８６が選択されると、先に選択されていた画像がキャンセルされる。

［その他の実施の形態（その２）］
本実施の形態に従う認証システムは、上述の図１に示すＭＦＰ１０とＰＣ２０とからなるシステム以外にも適用可能である。

図２８は、本発明のある実施の形態に従う認証システム１００Ａの概要を示す構成図である。

図２８を参照して、認証システム１００Ａは、ネットワークＮＷ１に接続されたサーバ装置３０を含む。このサーバ装置３０は、同じネットワークＮＷ１に接続されたＰＣ２０に加えて、ＰＤＡなどの携帯端末２１および携帯電話２２などによるアクセスを受付ける。すなわち、携帯端末２１は、ネットワークＮＷ１に接続された無線中継局２５を介して、サーバ装置３０へアクセスする。また、携帯電話２２は、基地局２７および基地局２７と接続されたネットワークＮＷ２を介して、サーバ装置３０へアクセスする。

このような各種デバイスからサーバ装置３０へアクセスする際に、上述のような画像認証が実行される。ある形態においては、サーバ装置３０が画像認証に係るすべての処理を実行する。この場合には、たとえば、携帯端末２１および／または携帯電話２２で実行されるＷｅｂアプリケーションを利用して、上述したような各種画面が提供されてもよい。

別の形態においては、サーバ装置３０と携帯端末２１などとが協働して画像認証に係る処理を実行する。この場合には、携帯端末２１などの専用のアプリケーションがインストールされており、このアプリケーションが画像認証に必要なユーザインターフェイスや中間処理などを提供する。

本実施の形態に係る認証システムでは、予め登録した画像を選択するだけで認証処理を行なうことができるので、図２８に示すような、携帯端末や携帯電話などからのアクセスを受付けるシステムにおいて、よりユーザビリティを高めることができる。

［その他の実施の形態（その３）］
上述の実施の形態においては、画像についての登録ユーザ数、画像についての正解キーとしての登録期間、画像の属するカテゴリー、の３つのパラメータから重複度Ｆを決定する構成について例示したが、これらのパラメータを任意に組合わせて、重複度Ｆを決定してもよい。

［その他の実施の形態（その４）］
上述のフローで説明したような制御を実行させるプログラムを任意の方法で提供することもできる。このようなプログラムは、コンピュータに付属するフレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）およびメモリカードなどのコンピュータ読取り可能な記録媒体にて記録させて、プログラム製品として提供することもできる。あるいは、コンピュータに内蔵するハードディスクなどの記録媒体にて記録させて、プログラムを提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。

このようなプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に従うプログラムに含まれ得る。

また、本実施の形態に従うプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に従うプログラムに含まれ得る。

提供されるプログラム製品は、ハードディスクなどのプログラム格納部にインストールされて実行される。なお、プログラム製品は、プログラム自体と、プログラムが記録された記録媒体とを含む。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した実施の形態の説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１０ ＭＦＰ、２０ ＰＣ、２１ 携帯端末、２２ 携帯電話、２５ 無線中継局、２７ 基地局、３０ サーバ装置、１００，１００Ａ 認証システム、１１２，２１２ 通信Ｉ／Ｆ、１１４ プリントエンジン、１１６ スキャナ、１１８ 操作パネル、１２０ 内部バス、１５０，１５０Ｃ 認証用データ記憶部、１５１ ユーザ情報、１５２，１５２Ａ、１５２Ｂ 認証データ、１５３ 画像データ群、１５４ 認証データ、１５５ 個人用認証データ、１５６ 認証用画面生成部、１５８ 認証部、１６０ 正解キー選択可否判断部、１６２ ユーザ情報受付部、１６４ データ入出力部、１６６ ネットワーク接続部、２０８ ＣＤドライブ、２１４ ディスプレイ、２１６ キーボード、２１８ マウス、２２０ 内部バス、２５０ ネットワーク接続部、２５２ ユーザ情報受付部、ＮＷ，ＮＷ１，ＮＷ２ ネットワーク。

Claims (12)

1. 表示手段および記憶手段を有するシステムにおいて提供される認証方法であって、
   予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして前記記憶手段に登録するステップと、
   前記表示手段に複数の前記オブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されている前記キーオブジェクトとの一致／不一致に基づいて認証を行なうステップとを備え、
   前記オブジェクトは、複数ユーザのキーオブジェクトとして登録可能に設けられ、
   前記登録するステップは、前記記憶手段に登録済のキーオブジェクトの重複度に応じて、前記キーオブジェクトの登録時における前記オブジェクトの選択自由度を決定するステップを含む、認証方法。
2. 前記重複度は、前記オブジェクトについての登録ユーザ数、前記オブジェクトについての前記キーオブジェクトとしての登録期間、前記オブジェクトの属するカテゴリー、の少なくとも１つに関連付けて決定される、請求項１に記載の認証方法。
3. 前記重複度は、各オブジェクトについての登録ユーザ数に基づいて決定される、請求項２に記載の認証方法。
4. 前記重複度は、同一カテゴリーに属するオブジェクトの登録ユーザ数の合計数に基づいて決定される、請求項２に記載の認証方法。
5. 前記選択自由度を決定するステップは、前記登録ユーザ数または前記登録ユーザ数の合計数が予め定められたしきい値を超えると、対応するオブジェクトを前記キーオブジェクトとして登録を不能にするステップを含む、請求項３または４に記載の認証方法。
6. 前記選択自由度を決定するステップは、予め用意された複数の前記オブジェクトのうち、登録可能なオブジェクトを表示する一方で、登録不可能なオブジェクトを非表示にするステップを含む、請求項１〜５のいずれか１項に記載の認証方法。
7. 前記選択自由度を決定するステップは、予め用意された複数の前記オブジェクトのうち所定数のオブジェクトについて、登録可能なオブジェクトについては選択可能に表示し、登録不可能なオブジェクトを選択不能に表示するステップを含む、請求項１〜５のいずれか１項に記載の認証方法。
8. 前記選択自由度を決定するステップは、重複度の相対的に低い前記オブジェクトをより高い優先度で表示するステップを含む、請求項１〜５のいずれか１項に記載の認証方法。
9. 前記登録するステップは、選択された前記キーオブジェクトと、前記キーオブジェクトと同時に表示される複数のオブジェクトとを含むオブジェクトのセットを、ユーザ別に登録するステップを含み、
   前記選択自由度を決定するステップは、予め用意された複数の前記オブジェクトのうち、登録済の前記オブジェクトセットに含まれているオブジェクトを除いたオブジェクトの中から、キーオブジェクトとして登録可能なものを表示する、請求項１〜５のいずれか１項に記載の認証方法。
10. 前記登録するステップでは、所定数の前記オブジェクトを含むページ単位で表示を切替可能である、請求項１〜９のいずれか１項に記載の認証方法。
11. 表示手段と、
    記憶手段と、
    予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして前記記憶手段に登録する登録手段と、
    前記表示手段に複数の前記オブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されている前記キーオブジェクトとの一致／不一致に基づいて認証を行なう認証手段とを備え、
    前記オブジェクトは、複数ユーザのキーオブジェクトとして登録可能に設けられ、
    前記登録手段は、前記記憶手段に登録済のキーオブジェクトの重複度に応じて、前記キーオブジェクトの登録時における前記オブジェクトの選択自由度を決定する、認証装置。
12. プロセッサを含むコンピュータによって実行される認証処理プログラムであって、前記認証処理プログラムは、前記コンピュータに、
    予め用意された、複数の視覚的に識別可能なオブジェクトの中から、ユーザ別に選択されたオブジェクトをキーオブジェクトとして記憶手段に登録するステップと、
    表示手段に複数の前記オブジェクトを提示して、認証対象のユーザによるオブジェクトの選択を受付けるとともに、選択されたオブジェクトと当該ユーザに対応付けて登録されている前記キーオブジェクトとの一致／不一致に基づいて認証を行なうステップとを実行させ、
    前記オブジェクトは、複数ユーザのキーオブジェクトとして登録可能に設けられ、
    前記登録するステップは、前記記憶手段に登録済のキーオブジェクトの重複度に応じて、前記キーオブジェクトの登録時における前記オブジェクトの選択自由度を決定するステップを含む、認証処理プログラム。

Images