JP7509198B2 - 認証サーバ、認証システムおよび認証サーバの制御方法 - Google Patents

Description

本発明は、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体に関する。

近年、生体情報を利用した各種サービスの普及が始まっている。例えば、空港内で行われる各種手続き（チェックイン、手荷物預け入れ等）やホテルのチェックイン等に顔認証が用いられている。

例えば、特許文献１には、顔認証処理を正しく行えなかった場合も決済を正しく行う、と記載されている。

特開２０２０－０３０６６９号公報

上述のように、生体認証で様々なサービスを提供することが検討されている。このような生体認証を利用したシステムでは、ホテル等に顔認証用の端末を設置し、当該端末から生体情報がサーバに送信される。サーバは、取得した生体情報とデータベースに登録された生体情報を用いた照合処理を行い、利用者の特定を行う。ここで、上記顔認証サービスの規模が大きくなると、類似した生体情報（顔画像、顔画像から生成された特徴量）が数多くデータベースに登録されることとになり認証精度が低下する。

本発明は、十分な生体認証の精度を確保することに寄与する、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体を提供することを主たる目的とする。

本発明の第１の視点によれば、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を記憶する、第１のデータベースと、前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する、認証部と、を備える、認証サーバが提供される。

本発明の第２の視点によれば、それぞれが、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶する、複数の認証サーバと、前記複数の認証サーバのうち予め定められた認証サーバに対して、前記利用者の生体情報を含む認証要求を送信する、認証端末と、を含み、前記認証要求を受信した認証サーバは、前記第１のデータベースに記憶された利用者認証情報を用いて、前記受信した認証要求を処理する、認証システムが提供される。

本発明の第３の視点によれば、認証サーバにおいて、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶し、前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する、認証サーバの制御方法が提供される。

本発明の第４の視点によれば、認証サーバに搭載されたコンピュータに、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶する処理と、前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求の処理と、を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体が提供される。

本発明の各視点によれば、十分な生体認証の精度を確保することに寄与する、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体が提供される。なお、本発明の効果は上記に限定されない。本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

一実施形態の概要を説明するための図である。 第１の実施形態に係る認証システムの概略構成の一例を示す図である。 第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証サーバの処理構成の一例を示す図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 認証情報テンポラリーデータベースの一例を示す図である。 第１の実施形態に係る管理サーバの処理構成の一例を示す図である。 第１の実施形態に係る管理サーバの個人情報取得部の動作を説明するための図である。 利用者情報データベースの一例を示す図である。 第１の実施形態に係る認証端末の処理構成の一例を示す図である。 第１の実施形態に係る端末の処理構成の一例を示す図である。 第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。 認証サーバのハードウェア構成の一例を示す図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、特段の釈明がない場合には、各図面に記載されたブロックはハードウェア単位の構成ではなく、機能単位の構成を表す。各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

一実施形態に係る認証サーバ１００は、第１のデータベース１０１と、認証部１０２と、を備える（図１参照）。第１のデータベース１０１は、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を記憶する。認証部１０２は、第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する。

認証システムには複数の認証サーバ１００が含まれ、各認証サーバ１００は、システム利用者全体のうち一部の利用者に関する情報（利用者を生体認証するための利用者認証情報）を記憶する。また、各認証サーバ１００は、基本的には、自装置に記憶された利用者認証情報を用いて端末からの認証要求を処理する。即ち、一実施形態に係る認証システムでは、利用者認証情報を管理する認証サーバ１００を複数用意し、各認証サーバ１００に認証情報を分散して配置する。その結果、各認証サーバ１００が記憶（管理）するデータ量を縮小し、認証精度が悪化することはない。換言すれば、利用者認証情報を分散して配置することで、十分な生体認証の精度を確保することができる。

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

［システムの構成］
図２は、第１の実施形態に係る認証システムの概略構成の一例を示す図である。図２に示すように、認証システムには、認証センターと複数のサービス提供者が含まれる。

認証システムに参加する各サービス提供者は、生体認証を用いてサービスの提供を行う。サービス提供者により提供されるサービスとして、小売店等での代金決済やホテル等での宿泊サービスが例示される。あるいは、サービス提供者により提供されるサービスは、空港や港における出入国審査等であってもよい。本願開示のサービス提供者は、生体認証を用いて提供できる任意のサービスを提供する。

認証センターには、複数の認証サーバ１０－１、１０－２が設置されている。以降の説明において、認証サーバ１０－１、１０－２を区別する特段の理由がない場合には、単に「認証サーバ１０」と表記する。他の構成要素についても同様に、ハイフンで区切られた左側の符号を使用し、当該構成要素を代表して表記する。

認証センターに設置された認証サーバ１０は、生体情報を用いた認証の認証局として動作する。認証サーバ１０は、認証センターの敷地に設置されたサーバであってもよいし、クラウド上に設置されたサーバであってもよい。

なお、利用者の生体情報には、例えば、顔、指紋、声紋、静脈、網膜、瞳の虹彩の模様（パターン）といった個人に固有の身体的特徴から計算されるデータ（特徴量）が例示される。あるいは、利用者の生体情報は、顔画像、指紋画像等の画像データであってもよい。利用者の生体情報は、利用者の身体的特徴を情報として含むものであればよい。

認証サーバ１０は、生体認証によるサービスを実現するためのサーバ装置である。認証サーバ１０は、各サービス提供者から送信される「認証要求」を処理し、認証処理の結果をサービス提供者に送信する。

各サービス提供者は、管理サーバと認証端末を有する。

例えば、サービス提供者Ｓ１には、管理サーバ２０と、複数の認証端末３０が設置されている。サービス提供者Ｓ２には、管理サーバ２０と、複数の認証端末３１が設置されている。サービス提供者Ｓ１とサービス提供者Ｓ２に含まれる各装置の動作等は同一とすることができるので、以降の説明は、サービス提供者Ｓ１を中心に説明する。

図２に示す各装置は相互に接続されている。例えば、認証サーバ１０と管理サーバ２０は、有線又は無線の通信手段により接続され、相互に通信が可能となるように構成されている。

管理サーバ２０は、サービス提供者の業務全般を制御、管理するサーバである。例えば、サービス提供者が小売店である場合には、管理サーバ２０は、商品の在庫管理等を行う。あるいは、サービス提供者がホテル事業者であれば、管理サーバ２０は、宿泊客の予約情報の管理等を行う。

認証端末３０は、サービス提供者を訪れた利用者（利用客）のインターフェイスとなる装置である。利用者は、認証端末３０を介して種々のサービス提供を受ける。例えば、サービス提供者が小売店である場合には、利用者は、認証端末３０を用いて代金の決済を行う。あるいは、サービス提供者がホテル事業者であれば、利用者は認証端末３０を用いてチェックイン手続きを行う。

図２に示す構成は例示であって、本願開示の認証システムの構成等を限定する趣旨ではない。例えば、認証センターには３台以上の認証サーバ１０が含まれていてもよい。あるいは、サービス提供者には少なくとも１台以上の認証端末３０が含まれればよい。あるいは、管理サーバ２０と認証端末３０の機能が統合され、当該統合された１台の装置により生体認証を用いたサービスが提供されてもよい。あるいは、各サービス提供者において、図２に示すように１台の管理サーバ２０に複数の認証端末３０が接続されていてもよいし、１台の管理サーバ２０に１台の認証端末３０が接続されていてもよい。

［システムの動作概略］
続いて、第１の実施形態に係る認証システムの概略動作について説明する。

認証システムの動作には、３つのフェーズが含まれる。

第１のフェーズは、利用者のシステム登録を行うフェーズ（利用者登録フェーズ）である。

第２のフェーズは、サービスの登録を行うフェーズ（サービス登録フェーズ）である。

第３のフェーズは、利用者に生体認証を用いたサービスを提供するフェーズ（サービス提供フェーズ）である。

［利用者登録フェーズ］
図３は、第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。

生体認証を用いたサービスの提供を希望する利用者は、事前に利用者登録を行う。利用者は、認証システムにて利用者自身を特定するための情報（ユーザＩＤ（Identifier）、パスワード（ＰＷ；Pass Word））を決定し、システムに登録する。図３を含む図面において、ユーザＩＤを「ｕＩＤ」と表記する。

また、利用者は、自身の生体情報（例えば、顔画像）をシステムに登録する。

さらに、利用者は、自身の活動地域、生活圏（以下、行動エリアと表記する）をシステムに登録する。システムに登録が可能な行動エリアの粒度（細かさ）には、様々な形態が考えられる。例えば、国を東西に分割し、西日本、東日本といった領域が行動エリアとしてシステムに登録されてもよい。例えば、関西に生活基盤（居所、勤務先）がある利用者は、行動エリアとして「西日本」をシステムに登録する。

利用者は、任意の手段を用いて上記４つの情報（ユーザＩＤ、パスワード、生体情報、行動エリア）をシステムに登録する。例えば、利用者は、上記４つの情報が記載された書類を認証センターに郵送し、認証センターの従業員が上記４つの情報を認証サーバ１０に入力してもよい。あるいは、利用者は、上記４つの情報が格納された、ＵＳＢ（Universal Serial Bus）等の外部記憶装置を認証センターに郵送してもよい。

あるいは、利用者は、所持する端末４０を操作して生体情報、ユーザＩＤ、パスワード、行動エリアをシステムに登録してもよい。端末４０には、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。

認証センターに入力された顔画像から、利用者の生体認証に用いられる特徴量（複数の特徴量からなる特徴ベクトル）が生成される。

なお、以降の説明において、利用者を認証するための情報を「利用者認証情報」と表記する。利用者認証情報には、ユーザＩＤ、パスワード、生体情報（顔画像から生成された特徴量）が含まれる。

認証センターに含まれる複数の認証サーバ１０それぞれには、管轄する行動エリアが予め定められている。第１の実施形態では、利用者が選択可能な行動エリアは「西日本」、「東日本」とし、認証サーバ１０－１が西日本、認証サーバ１０－２が東日本の行動エリアを管轄する場合について説明する。以降の説明において、各認証サーバ１０が管轄する行動エリアを「管轄エリア」と表記する。上記の例では、認証サーバ１０－１の管轄エリアは「西日本」、認証サーバ１０－２の管轄エリアは「東日本」となる。

なお、上記行動エリアと認証サーバ１０の割り当ては例示であって、行動エリアや認証サーバ１０の割り当てを限定する趣旨ではないことは勿論である。例えば、日本が９の地域（北海道、東北、関東、中部、近畿、中国、四国、九州、沖縄）に分割され、利用者がこれらの行動エリアを選択可能な場合には、９台の認証サーバ１０が用意されてもよい。あるいは、上記９の地域を９より少ない台数の認証サーバ１０で管轄してもよい。即ち、１台の認証サーバ１０が複数の行動エリアを管轄してもよい。

第１の実施形態に係る認証システムでは、複数の認証サーバ１０のうちの１台（以下、代表サーバと表記する）が、利用者のシステム登録を担うことができる。具体的には、代表サーバは、利用者から取得した「行動エリア」と各認証サーバ１０に割り当てられた「管轄エリア」を用いて、当該利用者の利用者認証情報の格納先（認証サーバ１０）を決定する。

例えば、利用者の行動エリアが「西日本」であれば認証サーバ１０－１が利用者情報の記憶先として選択され、行動エリアが「東日本」であれば認証サーバ１０－２が利用者情報の記憶先として選択される。

代表サーバは、行動エリア及び管轄エリアに基づき、システム登録を希望する利用者の利用者認証情報の記憶先が自装置であると判定した場合には、当該利用者認証情報を認証情報データベース（ＤＢ；Data Base）に登録する。

代表サーバは、行動エリア及び管轄エリアに基づき、他の認証サーバ１０が情報の記憶先であると判定した場合には、当該利用者認証情報を他の認証サーバ１０に送信する。利用者認証情報を取得した認証サーバ１０は、当該情報を自装置の認証情報データベースに登録する。

例えば、認証サーバ１０－１が代表サーバとして動作し、「東日本」に係る行動エリアを取得した場合には、認証サーバ１０－１は、利用者認証情報を認証サーバ１０－２に送信する。

利用者認証情報がシステム登録された場合（複数の認証サーバ１０のうちいずれかに利用者認証情報がデータベースに登録された場合）、代表サーバは、利用者に対して「接続先サーバ情報」を通知する。

後述するように、利用者が所持する端末４０は、利用者の現在位置を認証センターに通知する。接続先サーバ情報は、当該現在位置の通知先となる認証サーバ１０の情報である。例えば、現在位置の通知先となる認証サーバ１０のＩＰ（Internet Protocol）アドレス等が接続先サーバ情報として例示される。

端末４０は、ユーザＩＤ、パスワード、代表サーバから通知された接続先サーバ情報を記憶する。

このように、利用者登録フェーズにて、システムにおいて利用者を一意に定めるＩＤ（例えば、ユーザＩＤ）と利用者の認証に用いられる生体情報がシステムに登録される。なお、第１の実施形態では、システム利用者を一意に定めるＩＤとしてユーザＩＤとパスワードを用いる例を説明するが、利用者間でユーザＩＤの重複がなければ、上記ＩＤとしてユーザＩＤを単独で用いることも可能である。

［サービス登録フェーズ］
図４は、第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。

利用者登録を終えた利用者は、生体認証によりサービスを受けたいサービス提供者を選択し、当該選択したサービス提供者をシステムに登録する。例えば、図２において、利用者がサービス提供者Ｓ１からサービスの提供を希望する場合には、サービス提供者Ｓ１をシステムに登録する。

利用者は、選択したサービス提供者からサービスを受けるために必要な個人情報（例えば、氏名等）をシステムに登録する。上記個人情報としては、氏名、年齢、性別等が例示される。また、利用者は、上記個人情報と併せて、利用者登録フェーズにて決定されたユーザＩＤ、パスワード、及び、システムから通知された接続先サーバ情報をシステムに登録する。

なお、本願開示において、個人情報は、利用者（被認証者）の生体情報を含まない情報と定義される。即ち、生体情報及び当該生体情報から生成された特徴量は、本願開示の「個人情報」から除外される。

利用者は、上記４つの情報（個人情報、ユーザＩＤ、パスワード、接続先サーバ情報）を任意の手段を用いてサービス提供者に入力する。例えば、利用者は、上記４つの情報を記載した媒体（紙媒体、電子媒体）を、選択したサービス提供者に郵送する。サービス提供者の従業員が上記４つの情報を管理サーバ２０に入力する。利用者は、サービス提供者に設置された認証端末３０を操作して、上記４つの情報を管理サーバ２０に入力してもよい。

あるいは、図４に示すように、利用者は端末４０を操作して上記４つの情報を管理サーバ２０に入力してもよい。この場合、利用者は、サービス提供者が管理、運営するＷＥＢ（ウェブ）ページ上にて上記４つの情報を入力する。

管理サーバ２０は、上記４つの情報（個人情報、ユーザＩＤ、パスワード、接続先サーバ情報）を取得すると、接続先サーバ情報により特定される認証サーバ１０に対して「サービス登録要求」を送信する。具体的には、管理サーバ２０は、サービス提供者ＩＤ、ユーザＩＤ及びパスワードを含むサービス登録要求を認証サーバ１０に送信する。

サービス提供者ＩＤは、認証システムに含まれるサービス提供者（生体認証を利用する認証基盤に参加している小売店等）を一意に識別するための識別情報である。図２の例では、サービス提供者Ｓ１、Ｓ２のそれぞれに異なるサービス提供者ＩＤが割り当てられている。

なお、サービス提供者ＩＤは、サービス提供者ごとに割り当てられるＩＤであって、サービスごとに割り当てられるＩＤではない。例えば、図２において、サービス提供者Ｓ１とＳ２が同じ種類のサービス（例えば、宿泊サービス）を提供する事業者であっても、経営主体が異なればこれらのサービス提供者には異なるＩＤが割り当てられる。

認証センターとサービス提供者は、任意の方法によりサービス提供者ＩＤを共有する。例えば、サービス提供者が認証基盤に参加する際、認証サーバ１０がサービス提供者ＩＤを生成し、当該生成したサービス提供者ＩＤをサービス提供者に配付（通知）すればよい。図４を含む図面において、サービス提供者ＩＤを「ｓｐＩＤ」と表記する。

サービス登録要求を受信すると、認証サーバ１０は、当該要求に含まれるユーザＩＤとパスワードをキーとして認証情報データベースを検索し、対応する利用者を特定する。その後、認証サーバ１０は、「サービスユーザＩＤ」を生成する。

サービスユーザＩＤは、利用者とサービス提供者の対応関係（組み合わせ）を一意に定める識別情報である。例えば、図２の例では、ある利用者とサービス提供者Ｓ１の組み合わせから定まるサービスユーザＩＤと、当該利用者とサービス提供者Ｓ２の組み合わせから定まるサービスユーザＩＤには、それぞれ異なる値が設定される。

認証サーバ１０は、ユーザＩＤ、パスワード、特徴量、サービス提供者ＩＤ、上記生成されたサービスユーザＩＤを対応付けて記憶する。即ち、認証サーバ１０は、認証情報データベースに記憶されている利用者認証情報にサービス提供者ＩＤ、サービスユーザＩＤを追記する。図４を含む図面において、サービスユーザＩＤを「ｓｕＩＤ」と表記する。

認証サーバ１０は、上記生成したサービスユーザＩＤを、サービス登録要求の送信元に送信する。即ち、認証サーバ１０は、サービスユーザＩＤを含む応答を管理サーバ２０に送信し、サービスユーザＩＤの払い出しを行う。

管理サーバ２０は、認証サーバ１０から取得したサービスユーザＩＤと利用者の個人情報を対応付けて記憶する。管理サーバ２０は、利用者情報データベースに新規なエントリを追加し、上記情報（個人情報、サービスユーザＩＤ）を格納する。

利用者は、生体認証を用いたサービスの提供を受けたいサービス提供者ごとに上記のような登録動作を繰り返す。換言すれば、利用者は、サービスの提供が不要なサービス提供者についての利用登録を行う必要はない。

このように、サービス登録フェーズにおいて、利用者が利用を希望するサービスのサービス提供者から、第１のＩＤ（例えば、ユーザＩＤ）と第２のＩＤ（例えば、サービス提供者ＩＤ）を含むサービス登録要求が認証サーバ１０に送信される。認証サーバ１０は、当該サービス登録要求を処理する際、利用者とサービス提供者の組み合わせにより一意に定まる第３のＩＤ（例えば、サービスユーザＩＤ）を生成する。認証サーバ１０は、当該第３のＩＤをサービス提供者に送信する。サービス提供者（管理サーバ２０）は、利用者の個人情報と第３のＩＤを対応付けて記憶する。

［サービス提供フェーズ］
図５は、第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。

利用者登録が終了すると、認証センターは、各利用者の現在位置を収集する。具体的には、利用者が所持する端末４０は、現在位置に関する情報（例えば、緯度、経度）を定期的又は所定のタイミングで認証センターに通知する。

その際、端末４０は、代表サーバから通知された接続先サーバ情報の認証サーバ１０に向けて現在位置を送信する。より具体的には、端末４０は、システムに登録したユーザＩＤ、パスワード、現在位置を含む情報（以下、現在位置情報と表記する）を接続先の認証サーバ１０に送信する。なお、利用者登録フェーズにて、利用者が所持する端末４０にインストールされたアプリケーションを用いて個人情報や顔画像が登録された場合、当該端末４０にインストールされたアプリケーションに位置情報の通知機能を持たせればよい。つまり、スマートフォン等の端末４０を用いて利用者の現在位置をシステムに通知するのが合理的である。

現在位置情報を受信した認証サーバ１０は、利用者（端末４０を所持する利用者）の現在位置が自装置の管轄エリアに属しているか否かを判定する。

認証サーバ１０は、利用者の現在位置が自身の管轄エリア内であると判定した場合には、特段の動作を行わない。対して、利用者の現在位置が自身の管轄エリアから外れていると判定した場合には、認証サーバ１０は、ユーザＩＤ、パスワードから特定される利用者認証情報を適切な認証サーバ１０に送信する。

例えば、図５において、利用者Ｕ１及び利用者Ｕ２は共に、行動エリアとして「西日本」を選択している場合を考える。この場合、認証サーバ１０－１が西日本を管轄するので、当該サーバに利用者Ｕ１、Ｕ２の利用者認証情報が記憶されている。

利用者Ｕ１の現在位置は西日本側であるので、利用者Ｕ１が所持する端末４０－１から送信される現在位置は西日本の緯度、経度である。端末４０－１が存在する行動エリアと、認証サーバ１０－１の管轄エリアは一致するので、認証サーバ１０－１は特段の動作を行わない。

対して、利用者Ｕ２の現在位置は東日本側であるので、利用者Ｕ２が所持する端末４０－２から送信される現在位置は東日本の緯度、経度である。端末４０－２が存在する行動エリア（東日本）と認証サーバ１０－１の管轄エリア（西日本）は一致しない。そのため、認証サーバ１０－１は、利用者Ｕ２の利用者認証情報（ユーザＩＤ、パスワード、生体情報、サービス提供者ＩＤ、サービスユーザＩＤ）を、東日本を管轄する認証サーバ１０－２に送信する。

認証サーバ１０－２は、認証サーバ１０－１から取得した利用者認証情報を一時的に記憶する。具体的には、認証サーバ１０－２は、認証サーバ１０－１から取得した利用者認証情報を「認証情報テンポラリーデータベース」に格納する。

上述のように、端末４０は、定期的又は所定のタイミングで現在位置情報を認証サーバ１０に送信する。従って、図５の例において、利用者Ｕ１が西日本側から東日本側に移動すると、利用者Ｕ１の利用者情報も認証サーバ１０－２に一時的に格納されることになる。

サービスの登録（サービス登録フェーズ）を終了した利用者は、サービス提供者を訪問する。利用者は、認証端末３０の前に移動する（図６参照）。

認証端末３０は、面前の利用者から生体情報を取得する。具体的には、認証端末３０は、利用者を撮像し、顔画像を取得する。認証端末３０は、取得した顔画像から特徴量を生成する。認証端末３０は、当該生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。

ここで、認証端末３０の設置された位置に応じて、認証要求の送信先となる認証サーバ１０が予め定められている。具体的には、認証端末３０は、認証端末３０の設置場所を管轄する認証サーバ１０に対して認証要求を送信する。

例えば、図６に示すように、サービス提供者Ｓ１の認証端末３０－１～３０－４が全国に配置されている場合を考える。この場合、西日本側に設置された認証端末３０－１、３０－２は、西日本を管轄する認証サーバ１０－１に対して認証要求を送信する。対して、東日本側に設置された認証端末３０－３、３０－４は、東日本を管轄する認証サーバ１０－２に対して認証要求を送信する。

認証要求を受信すると、認証サーバ１０は、自装置に構築された認証情報データベースを用いて認証端末３０から取得した認証要求を処理する（図７参照）。具体的には、認証サーバ１０は、認証要求から特徴量を取り出し、当該取り出した特徴量を照合側、データベースに記憶された特徴量を登録側にそれぞれ設定し、照合処理（１対Ｎ照合；Ｎは正の整数、以下同じ）を実行する。

上記照合処理に失敗すると、認証サーバ１０は、一時的に記憶された利用者認証情報（他の認証サーバ１０から取得した利用者認証情報）を用いて認証端末３０から取得した認証要求を処理する。

一時的に記憶された利用者認証情報を用いた照合処理にも失敗すると、認証サーバ１０は、他の認証サーバ１０に対して認証要求の処理を依頼する。具体的には、認証サーバ１０は、取得した認証要求を他の認証サーバ１０に転送し、当該認証要求の処理を依頼する。

例えば、図６の例において、認証端末３０－１が、利用者Ｕ３に関する認証要求を認証サーバ１０－１に送信した場合を考える。

この場合、認証サーバ１０－１は、取得した認証要求を自装置に記憶された利用者認証情報を用いて処理する。利用者Ｕ３によりシステム登録された行動エリアが「西日本」であれば、利用者Ｕ３の利用者認証情報は認証サーバ１０－１に記憶されている。従って、この場合、最初の照合処理（自装置の認証情報データベースに記憶された情報を用いた照合処理）にて利用者Ｕ３の認証が成功する。

しかし、利用者Ｕ３の行動エリアが「東日本」であって、利用者Ｕ３が出張等で西日本に移動する場合もある。このような場合、利用者Ｕ３の利用者認証情報は認証サーバ１０－２に記憶されているため、最初の照合処理は失敗する。ここで、利用者Ｕ３が端末４０を所持して移動していれば、利用者Ｕ３の移動に応じて、利用者Ｕ３の利用者認証情報は認証サーバ１０－１に複製されている。そのため、認証サーバ１０－１が、一時的に記憶された利用者認証情報を用いて照合処理を実行すると、当該照合処理にて利用者Ｕ３の認証が成功する。

しかし、利用者Ｕ３が、端末４０を所持せず、東日本から西日本に移動する場合もあり得る。この場合、利用者Ｕ３の利用者認証情報は、認証サーバ１０－１には存在しない。従って、２回目の照合処理においても利用者Ｕ３の認証に失敗することがある。この場合、認証サーバ１０－１は、認証端末３０－１から取得した認証要求を他の認証サーバ（認証サーバ１０－２）に送信し、当該サーバに認証要求の処理を依頼する。認証サーバ１０－２は、利用者Ｕ３の利用者認証情報を記憶しているので、最後の照合処理（３回目の照合処理）において利用者Ｕ３の認証が成功する。

上記１回目乃至３回目の照合処理のいずれにおいても、認証サーバ１０は、認証要求に含まれる特徴量を照合側、データベースに記憶された利用者認証情報の特徴量を登録側にそれぞれ設定し、照合処理を実行する。認証サーバ１０は、照合処理により利用者を特定し、当該特定した利用者に対応付けられている複数のサービスユーザＩＤのうち認証要求に含まれるサービス提供者ＩＤに対応するサービスユーザＩＤを特定する。

認証サーバ１０は、特定したサービスユーザＩＤを認証要求の送信元に送信する（図７参照）。認証サーバ１０は、特定したサービスユーザＩＤを含む応答（認証要求に対する応答）を認証端末３０に送信する。

認証サーバ１０から認証要求に対する応答を受信すると、認証端末３０は、当該応答からサービスユーザＩＤを取り出す。認証端末３０は、当該サービスユーザＩＤを管理サーバ２０に送信する。

管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、サービスユーザＩＤに対応する個人情報を特定する。管理サーバ２０は、特定した個人情報を認証端末３０に送信する。認証端末３０は、取得した個人情報を用いてサービスの提供を行う。

このように、サービス提供フェーズにおいて、認証サーバ１０は、サービス提供者から利用者の生体情報と第２のＩＤ（サービス提供者ＩＤ）を含む認証要求を受信する。認証サーバ１０は、利用者の生体情報と第２のＩＤを用いて第３のＩＤ（サービスユーザＩＤ）を特定する。認証サーバ１０は、特定した第３のＩＤをサービス提供者に送信する。サービス提供者は、利用者にサービスを提供する際、認証要求を認証サーバ１０に送信することで取得した第３のＩＤを用いて利用者の個人情報を特定する。サービス提供者は、特定された個人情報を用いて利用者にサービスを提供する。

続いて、第１の実施形態に係る認証システムに含まれる各装置の詳細について説明する。

［認証サーバ］
認証システムに含まれる複数の認証サーバ１０のそれぞれは、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を認証情報データベース（第１のデータベース）に記憶する。各認証サーバ１０は、第１のデータベースに記憶された利用者認証情報を用いて、認証端末３０から受信した認証要求を処理する。

図８は、第１の実施形態に係る認証サーバ１０の処理構成（処理モジュール）の一例を示す図である。図８を参照すると、認証サーバ１０は、通信制御部２０１と、利用者登録部２０２と、データベース管理部２０３と、サービス登録部２０４と、認証情報制御部２０５と、認証部２０６と、記憶部２０７と、を備える。

通信制御部２０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部２０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部２０１は、管理サーバ２０に向けてデータを送信する。通信制御部２０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部２０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部２０１を介して他の装置とデータの送受信を行う。

利用者登録部２０２は、上述の利用者登録を実現する手段である。利用者登録部２０２は、利用者（生体認証を用いたサービスの提供を希望する利用者；システム利用者）のユーザＩＤ、パスワード、生体情報（顔画像）、行動エリアを取得する。

利用者登録部２０２は、任意の手段を用いて上記４つの情報（ユーザＩＤ、パスワード、生体情報、行動エリア）を取得する。例えば、利用者登録部２０２は、ユーザＩＤ、パスワードを決定するためのＧＵＩ（Graphical User Interface）や入力フォームを端末４０に表示する。例えば、利用者登録部２０２は、図９に示すようなＧＵＩを端末４０に表示する。

利用者登録部２０２は、ＧＵＩ等により取得したユーザＩＤ、パスワードが既に登録されているユーザＩＤ、パスワードと重複していないことを検証する。当該重複が発生していなければ、利用者登録部２０２は、利用者の生体情報と行動エリアを取得するためのＧＵＩを端末４０に表示する。

例えば、利用者登録部２０２は、図１０に示すようなＧＵＩを端末４０に表示する。例えば、利用者は、図１０に示す「ファイル選択」ボタンを押下し、システムに登録する顔画像の画像データを指定する。指定された顔画像は、プレビュー領域に表示される（図１０では選択顔画像として表示されている）。

また、利用者は、自宅や勤務先等に基づいて「行動エリア」を選択する。顔画像や行動エリアの選択が終了すると、利用者は、「決定」ボタンを押下する。

利用者登録部２０２は、例えば、図９、図１０に示すようなＧＵＩによりユーザＩＤ、パスワード、生体情報（顔画像）、行動エリアを取得すると、顔画像から特徴量（複数の特徴量からなる特徴ベクトル）を生成する。

具体的には、利用者登録部２０２は、取得した顔画像から特徴点を抽出する。なお、特徴点の抽出処理に関しては既存の技術を用いることができるのでその詳細な説明を省略する。例えば、利用者登録部２０２は、顔画像から目、鼻、口等を特徴点として抽出する。その後、利用者登録部２０２は、特徴点それぞれの位置や各特徴点間の距離を特徴量として計算し、複数の特徴量からなる特徴ベクトル（顔画像を特徴づけるベクトル情報）を生成する。

認証サーバ１０が「代表サーバ」として動作する際には、利用者登録部２０２は、取得した行動エリア及び各サーバに割り当てられた管轄エリアに基づき、利用者認証情報を記憶する認証サーバ１０を決定する。

具体的には、利用者登録部２０２は、取得した行動エリアが代表サーバの管轄エリアに含まれる場合には、自装置にて管理する利用者認証情報と判定する。取得した行動エリアが代表サーバの管轄エリアに含まれない場合には、利用者登録部２０２は、システム登録する利用者の利用者認証情報は他の認証サーバ１０が管理する利用者認証情報と判定する。

自装置（代表サーバ）にて記憶する利用者認証情報と判定した場合には、利用者登録部２０２は、利用者認証情報（ユーザＩＤ、パスワード及び特徴量）をデータベース管理部２０３に引き渡す。

他の認証サーバ１０にて記憶する利用者認証情報と判定した場合には、利用者登録部２０２は、利用者認証情報を他の認証サーバ１０に送信する。その際、利用者登録部２０２は、管轄エリアと対応する認証サーバ１０の関係が記載されたリスト（テーブル情報）を参照し、利用者認証情報の送信先を把握すればよい。

利用者の登録が終了すると、利用者登録部２０２は、端末４０に対して接続先サーバ情報を通知する。利用者認証情報が代表サーバに格納された場合には、利用者登録部２０２は、代表サーバのＩＰアドレス等を端末４０に通知する。利用者認証情報が代表サーバ以外のサーバに格納された場合には、利用者登録部２０２は、当該他の認証サーバ１０のＩＰアドレス等を端末４０に通知する。

データベース管理部２０３は、認証情報データベースを管理する手段である。認証情報データベースは、システム利用者を特定する情報（ユーザＩＤ、パスワード）、当該利用者の生体情報（特徴量）、サービス提供者を特定するサービス提供者ＩＤ、各サービスにおいて利用者を特定するサービスユーザＩＤを対応付けて記憶する。

データベース管理部２０３は、利用者登録部２０２や他の認証サーバ１０から３つの情報（ユーザＩＤ、パスワード、特徴量）を取得した場合、認証情報データベースに新規エントリを追加する。例えば、利用者Ｕ１に関する上記３つの情報を取得した場合には、データベース管理部２０３は、図１１の最下段に示されるエントリを追加する。なお、利用者登録の段階では、サービス提供者ＩＤやサービスユーザＩＤは生成されていないのでこれらのフィールドには何も設定されない。

サービス登録部２０４は、システム利用者による個別のサービス登録を実現する手段である。サービス登録部２０４は、サービス提供者の管理サーバ２０から取得するサービス登録要求を処理する。

サービス登録部２０４は、取得したサービス登録要求に含まれるユーザＩＤ、パスワードをキーとして認証情報データベースを検索する。サービス登録部２０４は、特定した利用者（ユーザＩＤ、パスワードの組から特定される利用者）のサービス提供者ＩＤフィールドを確認する。

サービス登録部２０４は、サービス提供者ＩＤフィールドに、管理サーバ２０から取得したサービス登録要求に含まれるサービス提供者ＩＤが設定されているか否かを判定する。管理サーバ２０から取得したサービス提供者ＩＤが既にデータベースに登録されていれば、サービス登録部２０４は、その旨を管理サーバ２０に通知する。この場合、認証情報データベースには、利用者が登録しようとしているサービス（サービス提供者）は既に登録されているので、サービス登録部２０４は、サービス登録要求に対する応答として「否定応答」を送信する。

対して、特定された利用者のサービス提供者ＩＤフィールドに、サービス登録要求に含まれるサービス提供者ＩＤが設定されていなければ、サービス登録部２０４は、当該利用者とサービス提供者に対応するサービスユーザＩＤを生成する。

上述のように、サービスユーザＩＤは、利用者とサービス提供者の組み合わせから一意に定まる識別情報である。例えば、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてハッシュ値を計算し、当該計算されたハッシュ値をサービスユーザＩＤとする。具体的には、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤの連結値を計算し、当該計算された連結値のハッシュ値を計算することで、サービスユーザＩＤを生成する。

なお、上記ハッシュ値を用いたサービスユーザＩＤの生成は例示であって、サービスユーザＩＤの生成方法を限定する趣旨ではない。サービスユーザＩＤは、システム利用者とサービス提供者の組み合わせを一意に識別できる情報であればどのよう情報であってもよい。例えば、サービス登録部２０４は、サービス登録要求を処理するたびに一意な値を採番しサービスユーザＩＤとしてもよい。

サービスユーザＩＤを生成すると、サービス登録部２０４は、ユーザＩＤ及びパスワードと共に、サービス提供者ＩＤとサービスユーザＩＤをデータベース管理部２０３に引き渡す。データベース管理部２０３は、２つのＩＤ（サービス提供者ＩＤ、サービスユーザＩＤ）を認証情報データベースに登録する。例えば、利用者Ｕ１がサービス提供者Ｓ１についてサービス登録をすると、図１２の最下段に示されるエントリに上記２つのＩＤが追加される。

サービス登録はサービス提供者ごとに行われるため、１人の利用者に複数のサービス提供者、サービスユーザＩＤが設定されることがある。例えば、利用者Ｕ１がサービス提供者Ｓ１、Ｓ２のそれぞれに関してサービス登録を行った場合には、図１３の２行目、３行目のエントリが生成される。なお、利用者Ｕ２がサービス提供者Ｓ１に関してサービス登録を行った場合には、図１３の最下段のエントリが生成される。

図１３等に示す認証情報データベースは例示であって、認証情報データベースが記憶する情報を制限する趣旨ではない。例えば、認証用の特徴量に替えて顔画像が認証情報データベースに登録されていてもよい。即ち、認証の都度、認証情報データベースに登録された顔画像から特徴量が生成されてもよい。

サービス提供者ＩＤ、サービスユーザＩＤが認証情報データベースに登録されると、サービス登録部２０４は、サービス登録要求が正常に処理されたことを管理サーバ２０に通知する。サービス登録部２０４は、サービス登録要求に対する応答として「肯定応答」を送信する。その際、サービス登録部２０４は、サービスユーザＩＤを含む応答を管理サーバ２０に送信する。

認証情報制御部２０５は、利用者認証情報の移動（複製）を制御する手段である。認証情報制御部２０５は、利用者の所持する端末４０から「現在位置情報」を取得する。認証情報制御部２０５は、現在位置情報に含まれる利用者の現在位置を参照し、当該利用者が自装置の管轄エリアに含まれるか否かを判定する。例えば、現在位置が緯度と経度により表される場合には、認証情報制御部２０５は、当該緯度、経度が管轄エリアの範囲内か否かにより上記判定を行う。

現在位置情報を送信した利用者は自身の管轄エリア内に存在すると判定された場合、認証情報制御部２０５は特段の動作を行わない。

現在位置情報を送信した利用者は自身の管轄エリア外に存在すると判定された場合、認証情報制御部２０５は、当該利用者の利用者認証情報を他の認証サーバ１０に送信する。具体的には、認証情報制御部２０５は、利用者の現在位置がどの認証サーバ１０が管轄するエリアに含まれるか判定する。認証情報制御部２０５は、利用者の現在位置（緯度、経度）を含む管轄エリアを特定し、当該特定された管轄エリアの認証サーバ１０に利用者認証情報を送信する。なお、管轄エリアを特定する際、認証情報制御部２０５は、各サーバと各サーバの管轄エリア（管轄エリアの範囲）を定めたリストを参照する。

他の認証サーバ１０から利用者認証情報を受信すると、認証情報制御部２０５は、当該利用者認証情報を一時的に記憶する。具体的には、認証情報制御部２０５は、取得した利用者認証情報を認証情報テンポラリーデータベースに追記する。その際、認証情報制御部２０５は、上記データベースにエントリを追記した日時も併せて管理する。

図１４は、認証情報テンポラリーデータベースの一例を示す図である。認証情報制御部２０５は、認証情報テンポラリーデータベースを定期的に参照し、エントリの追加から所定時間（例えば、１週間）経過しているエントリを削除する。

なお、図１４に示す認証情報テンポラリーデータベースは一例であって、設定日時フィールドに替えてＴＴＬ（Time To Live）フィールドが設けられていてもよい。認証情報制御部２０５は、当該データベースにエントリを追加する際、当該エントリの有効期間（例えば、１週間）を設定する。ＴＴＬフィールドは時間の経過と共に更新され、ＴＴＬフィールドの値が「０」となったタイミングで対応するエントリは削除される。

なお、認証情報制御部２０５は、認証情報テンポラリーデータベースに記憶されている利用者の利用者情報を受信した場合には、受信した利用者情報により当該データベースのエントリを更新すればよい。

認証部２０６は、システム利用者の認証処理を行う手段である。上述のように、認証部２０６は、認証端末３０からの認証要求を予め定められた順番で処理する。

はじめに、認証部２０６は、自装置の認証情報データベースに格納された利用者認証情報を用いて照合処理を行い、認証要求を処理する。

当該照合処理（１回目の照合処理）において認証失敗となった場合には、認証部２０６は、自装置の認証情報テンポラリーデータベースに格納された利用者認証情報を用いて照合処理を行い、認証要求を処理する。

当該２回目の照合処理において認証失敗となった場合には、認証部２０６は、他の認証サーバ１０に対して認証要求の処理を依頼する。この場合、認証部２０６は、他の認証サーバ１０に認証要求を転送する。

なお、図２に示すように、２台の認証サーバ１０によりシステムが運用されている場合には、認証部２０６は、自装置以外の他の認証サーバ１０に向けて認証要求を送信（ユニキャスト）すればよい。あるいは、３台以上の認証サーバ１０によりシステムが運用されている場合には、認証部２０６は、他の認証サーバ１０のそれぞれに向けて認証要求を送信（ブロードキャスト）すればよい。

認証部２０６による上記３つの照合処理は、基本的に同様の動作となる。

認証部２０６は、認証要求に含まれる特徴量とサービス提供者ＩＤを取り出す。認証部２０６は、取り出した特徴量とサービス提供者ＩＤをキーとしてデータベース（認証情報データベース、認証情報テンポラリーデータベース）を検索し、対応するサービスユーザＩＤを特定する。

認証部２０６は、認証要求から取り出した特徴量を照合側の特徴量、データベースに格納された特徴量を登録側の特徴量にそれぞれ設定し、１対Ｎ照合を実行する。具体的には、認証部２０６は、照合側と複数の登録側それぞれの特徴量との間の類似度を計算する。当該類似度には、カイ二乗距離やユークリッド距離等を用いることができる。なお、距離が離れているほど類似度は低く、距離が近いほど類似度が高い。

認証部２０６は、データベースに登録された複数の特徴量のうち、照合対象の特徴量との間の類似度が所定の値以上、且つ、最も類似度が高い特徴量が存在するか否かを判定する。そのような特徴量が存在する場合、認証部２０６は、上記１対Ｎ照合により特定した利用者に対応付けられている少なくとも１以上のサービス提供者ＩＤのうち、認証要求に含まれるサービス提供者ＩＤに一致するエントリが存在するか否かを判定する。

上記のようなエントリが存在する場合（上記２つの判定に成功した場合）、認証部２０６は、利用者の認証に成功したと判断する。

上記２つの判定のうち少なくとも一方の判定に失敗した場合、認証部２０６は、利用者の認証に失敗したと判断する。

認証に成功した場合、認証部２０６は、認証要求の送信元（認証端末３０又は他の認証サーバ１０）に「肯定応答」を送信する。その際、認証部２０６は、特定したエントリのサービスユーザＩＤを含む応答（認証要求に対する応答）を生成し、上記送信元に送信する。

認証に失敗した場合、認証部２０６は、認証要求の送信元に「否定応答」を送信する。

例えば、図１３の例では、「ＦＶ１」の特徴量と「Ｓ１」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量ＦＶ１により２行目、３行目のエントリ（利用者）が特定され、サービス提供者ＩＤ「Ｓ１」により２行目のエントリが特定される。その結果、上記認証要求は正常に処理され、「Ｕ１Ｓ１」というサービスユーザＩＤを含む肯定応答が、認証要求の送信元（認証端末３０、他の認証サーバ１０）に送信される。

対して、「ＦＶ２」の特徴量と「Ｓ２」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量により最下段のエントリが特定されるが、当該エントリのサービス提供者ＩＤは「Ｓ２」ではなく「Ｓ１」であるので、上記認証要求は正常に処理されない。その結果、認証要求の送信元には否定応答が送信される。

このように、認証部２０６は、認証情報データベースに記憶された利用者認証情報を用いた認証に失敗した場合には、認証情報テンポラリーデータベースに記憶された利用者認証情報を用いて認証要求を処理する。さらに、認証部２０６は、認証情報テンポラリーデータベースに記憶された利用者認証情報を用いた認証に失敗した場合には、他の認証サーバ１０に対して認証端末３０からの認証要求を処理するように依頼する。

記憶部２０７は、認証サーバ１０の動作に必要な情報を記憶する。記憶部２０７には、認証情報データベース、認証情報テンポラリーデータベースが構築される。認証情報データベースは、複数の利用者のうち行動エリアが自装置に割り当てられた管轄エリアに含まれる利用者に関する利用者認証情報を記憶する、第１のデータベースである。認証情報テンポラリーデータベースは、認証サーバ１０が備える認証情報データベース（第１のデータベース）に記憶された利用者情報を一時的に記憶する、第２のデータベースである。

［管理サーバ］
図１５は、第１の実施形態に係る管理サーバ２０の処理構成（処理モジュール）の一例を示す図である。図１５を参照すると、管理サーバ２０は、通信制御部３０１と、個人情報取得部３０２と、サービス登録要求部３０３と、データベース管理部３０４と、個人情報提供部３０５と、記憶部３０６と、を備える。

通信制御部３０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部３０１は、認証サーバ１０、認証端末３０からデータ（パケット）を受信する。また、通信制御部３０１は、認証サーバ１０、認証端末３０に向けてデータを送信する。通信制御部３０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部３０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部３０１を介して他の装置とデータの送受信を行う。

個人情報取得部３０２は、サービス提供者がサービスを提供する際に必要となる個人情報を取得する手段である。例えば、サービス提供者が「小売店」である場合には、個人情報取得部３０２は、利用者の氏名等に加えて、代金決済に関する情報（例えば、クレジットカードの情報、銀行口座の情報）を取得する。あるいは、サービス提供者が「ホテル事業者」である場合には、個人情報取得部３０２は、氏名等に加え、宿泊に関する予約情報（例えば、宿泊日等）を取得する。

個人情報取得部３０２は、上記氏名等の個人情報に加え、利用者がシステム登録する際に決定したユーザＩＤ、パスワードと、システムから通知された接続先サーバ情報を取得する。

個人情報取得部３０２は、個人情報、ユーザＩＤ、パスワード、接続先サーバ情報を任意の手段を用いて取得する。例えば、個人情報取得部３０２は、上記情報を入力するためのＧＵＩやフォームを端末４０に表示する（図１６参照）。あるいは、図１６に示すような情報が、サービス提供者が管理、運営するＷＥＢページに表示されていてもよい。あるいは、端末４０が、サービス提供者が提供するアプリケーションをダウンロードし、当該アプリケーションにより図１６に示すような表示が行われてもよい。とりわけ、当該ＷＥＢページは、サービス提供者の会員情報を管理するＷＥＢページであってもよい。即ち、各サービス提供者の会員が、自身の会員情報を管理するＷＥＢページにてサービス登録が行われてもよい。

個人情報取得部３０２は、ＧＵＩ等を用いて取得した個人情報、ユーザＩＤ、パスワード、接続先サーバ情報をサービス登録要求部３０３に引き渡す。

サービス登録要求部３０３は、認証サーバ１０に対して、利用者のサービス利用に関する登録を要求（依頼）する手段である。

サービス登録要求部３０３は、個人情報取得部３０２から取得した上記４つの情報（個人情報、ユーザＩＤ、パスワード、接続先サーバ情報）のうち、ユーザＩＤとパスワードを選択する。サービス登録要求部３０３は、当該選択したユーザＩＤ、パスワードとサービス提供者ＩＤを含むサービス登録要求を、接続先サーバ情報により指定された認証サーバ１０に送信する。

サービス登録要求部３０３は、認証サーバ１０からサービス登録要求に対する応答を取得する。取得した応答が「否定応答」である場合には、サービス登録要求部３０３は、その旨を利用者に通知する。例えば、サービス登録要求部３０３は、サービス登録は既に行われている旨を利用者に通知する。

取得した応答が「肯定応答」である場合には、サービス登録要求部３０３は、サービス登録に成功した旨を利用者に通知する。また、サービス登録要求部３０３は、上記応答に含まれるサービスユーザＩＤと、個人情報取得部３０２から取得した個人情報と、をデータベース管理部３０４に引き渡す。

データベース管理部３０４は、利用者情報データベースを管理する手段である。利用者情報データベースは、サービス提供の対象となっている利用者（システム利用者）の情報を管理するデータベースである。利用者情報データベースは、当該利用者の個人情報（例えば、氏名等）と認証サーバ１０から取得したサービスユーザＩＤを対応付けて記憶する。

データベース管理部３０４は、サービス登録要求部３０３から上記情報（個人情報、サービスユーザＩＤ）を取得すると、利用者情報データベースに新規エントリを追加する。例えば、サービス提供者Ｓ１の管理サーバ２０が、利用者Ｕ１に関する上記情報を取得した場合には、図１７の最下段に示されるエントリが追加される。

個人情報提供部３０５は、認証端末３０からの要求に応じて「個人情報」を認証端末３０に提供する手段である。

個人情報提供部３０５は、認証端末３０からサービスユーザＩＤを取得する。個人情報提供部３０５は、当該サービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報を特定する。例えば、図１７の例では、サービスユーザＩＤが「Ｕ１Ｓ１」であれば、最下段の個人情報が認証端末３０に送信される。

個人情報提供部３０５は、当該特定した個人情報を認証端末３０に送信する。

記憶部３０６は、管理サーバ２０の動作に必要な情報を記憶する。利用者情報データベースは記憶部３０６に構築される。

［認証端末］
認証端末３０は、複数の認証サーバ１０のうち予め定められた認証サーバ１０に対して、利用者の生体情報を含む認証要求を送信する。より具体的には、認証端末３０は、複数の認証サーバ１０のうち自装置の設置場所を管轄する認証サーバ１０に対して認証要求を送信する。認証端末３０は、認証サーバ１０から取得したサービスユーザＩＤを管理サーバ２０に送信することで、当該管理サーバ２０から利用者の個人情報を取得する。認証端末３０は、当該取得した個人情報を用いて利用者にサービスを提供する。

図１８は、第１の実施形態に係る認証端末３０の処理構成（処理モジュール）の一例を示す図である。図１８を参照すると、認証端末３０は、通信制御部４０１と、生体情報取得部４０２と、認証要求部４０３と、サービス提供部４０４と、メッセージ出力部４０５と、記憶部４０６と、を備える。

通信制御部４０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部４０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部４０１は、管理サーバ２０に向けてデータを送信する。通信制御部４０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部４０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部４０１を介して他の装置とデータの送受信を行う。

生体情報取得部４０２は、カメラを制御し、利用者の生体情報（顔画像）を取得する手段である。生体情報取得部４０２は、定期的又は所定のタイミングにおいて自装置の前方を撮像する。生体情報取得部４０２は、取得した画像に人の顔画像が含まれるか否かを判定し、顔画像が含まれる場合には取得した画像データから顔画像を抽出する。

なお、生体情報取得部４０２による顔画像の検出処理や顔画像の抽出処理には既存の技術を用いることができるので詳細な説明を省略する。例えば、生体情報取得部４０２は、ＣＮＮ（Convolutional Neural Network）により学習された学習モデルを用いて、画像データの中から顔画像（顔領域）を抽出してもよい。あるいは、生体情報取得部４０２は、テンプレートマッチング等の手法を用いて顔画像を抽出してもよい。

生体情報取得部４０２は、抽出した顔画像を認証要求部４０３に引き渡す。

認証要求部４０３は、認証サーバ１０に対して利用者の認証を要求する手段である。

認証要求部４０３は、生体情報取得部４０２から生体情報（顔画像）を取得すると、当該顔画像から特徴量を生成する。認証要求部４０３は、生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。なお、サービス提供者ＩＤは、管理サーバ２０を介して認証センターから配布されている。

認証サーバ１０からの応答が「否定応答」の場合（認証失敗の場合）には、認証要求部４０３は、メッセージ出力部４０５を介してその旨を利用者に通知する。

認証サーバ１０からの応答が「肯定応答」の場合（認証成功の場合）には、認証要求部４０３は、認証サーバ１０からの応答に含まれるサービスユーザＩＤを取り出す。認証要求部４０３は、当該取り出したサービスユーザＩＤをサービス提供部４０４に引き渡す。

サービス提供部４０４は、所定のサービスを利用者に提供する手段である。サービス提供部４０４は、認証要求部４０３から取得したサービスユーザＩＤを管理サーバ２０に送信する。管理サーバ２０は、当該サービスユーザＩＤに対応する個人情報（例えば、氏名等）を返信する。サービス提供部４０４は、当該返信された個人情報を用いて、利用者にサービスを提供する。

メッセージ出力部４０５は、利用者に対して種々のメッセージを出力する手段である。例えば、メッセージ出力部４０５は、利用者の認証結果に関するメッセージや、サービス提供に関するメッセージを出力する。メッセージ出力部４０５は、液晶モニタ等の表示デバイスを用いてメッセージを表示してもよいし、スピーカー等の音響機器を用いて音声メッセージを再生してもよい。

記憶部４０６は、認証端末３０の動作に必要な情報を記憶する。

［端末］
端末４０は、自装置（利用者）の現在位置を含む現在位置情報を、複数の認証サーバ１０のうち利用者の行動エリアにより定まる認証サーバ１０に対して送信する。

図１９は、第１の実施形態に係る端末４０の処理構成（処理モジュール）の一例を示す図である。図１９を参照すると、端末４０は、通信制御部５０１と、現在位置情報生成部５０２と、記憶部５０３と、を備える。

通信制御部５０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部５０１は、認証サーバ１０、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部５０１は、認証サーバ１０、管理サーバ２０に向けてデータを送信する。通信制御部５０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部５０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部５０１を介して他の装置とデータの送受信を行う。

現在位置情報生成部５０２は、現在位置情報（ユーザＩＤ、パスワード、現在位置を含む情報）を生成する手段である。

現在位置情報生成部５０２は、任意の手段を用いて現在位置を測定する。例えば、現在位置情報生成部５０２は、ＧＰＳ（Global Positioning System）衛星からのＧＰＳ信号を受信して測位を実行し、端末４０の現在位置（緯度、経度）を計算する。あるいは、現在位置情報生成部５０２は、無線基地局や無線アクセスポイントから得られる情報（基地局の位置情報、電波強度等）を用いて現在位置を計算してもよい。

現在位置情報生成部５０２は、定期的又は所定のタイミングにて現在位置を計算し、当該計算された現在位置、ユーザＩＤ、パスワードを含む現在位置情報を認証サーバ１０に送信する。なお、現在位置情報の送信先は、認証センターから通知された接続先サーバ情報により示される認証サーバ１０である。

記憶部５０３は、端末４０の動作に必要な情報を記憶する。

なお、端末４０を用いて利用者登録やサービス登録がされる場合の処理モジュールについては、当業者にとって明らかであるため説明を省略する。

［システムの動作］
続いて、第１の実施形態に係る認証システムの動作について説明する。なお、動作の説明は、サービス登録フェーズとサービス提供フェーズについて行い、利用者登録フェーズに関する説明を省略する。

図２０は、第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。

管理サーバ２０は、利用者から個人情報（サービスを提供するために必要な情報）、ユーザＩＤ、パスワード、接続先サーバ情報を取得する（ステップＳ０１）。

管理サーバ２０は、取得したユーザＩＤ及びパスワードとサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する（ステップＳ０２）。

認証サーバ１０は、取得したユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてサービスユーザＩＤを生成する（ステップＳ０３）。

認証サーバ１０は、サービス提供者ＩＤとサービスユーザＩＤを認証情報データベースに格納する（ステップＳ０４）。

認証サーバ１０は、サービスユーザＩＤを含む応答（サービス登録要求に対する応答）を管理サーバ２０に送信する（ステップＳ０５）。

管理サーバ２０は、ステップＳ０１にて取得した個人情報と、認証サーバ１０から取得したサービスユーザＩＤを対応付けて、利用者情報データベースに格納する（ステップＳ０６）。

図２１は、第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。図２１を参照して、端末４０から送信された現在位置情報の処理に関する動作を説明する。

端末４０は、定期的又は所定のタイミングで現在位置を測定（計算）する（ステップＳ１１）。

端末４０は、測定した現在位置を含む現在位置情報を認証センターから通知された認証サーバ１０に送信する（ステップＳ１２）。

現在位置情報を取得した認証サーバ１０は、利用者（端末４０）の現在位置が自装置の管轄エリア内か否かを判定する（ステップＳ１３）。

現在位置が自装置の管轄エリア内であれば（ステップＳ１３、Ｙｅｓ分岐）、認証サーバ１０は特段の動作を行わない。

現在位置が自装置の管轄エリア外であれば（ステップＳ１３、Ｎｏ分岐）、認証サーバ１０は、現在位置情報の送信元に対応する利用者認証情報を他の認証サーバ１０に送信する（ステップＳ１４）。具体的には、認証サーバ１０は、現在位置情報に含まれるユーザＩＤ、パスワードを用いて当該情報を送信した端末４０の所持者（利用者）に対応する利用者認証情報を特定する。認証サーバ１０は、端末４０の現在位置と各サーバの管轄エリアを定めたリストを参照して、利用者認証情報の送信先を特定する。認証サーバ１０は、当該特定された利用者認証情報を、利用者の現在位置を管轄エリアとする認証サーバ１０に送信する。

利用者認証情報を受信した認証サーバ１０は、当該情報を一時的に記憶する（ステップＳ１５）。具体的には、認証サーバ１０は、取得した利用者認証情報を認証情報テンポラリーデータベースに格納する。

図２２、図２３は、第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。図２２を参照して、認証端末３０から送信された認証要求の処理に関する動作を説明する。図２３を参照して、認証端末３０によるサービス提供に関する動作を説明する。

認証端末３０は、利用者の生体情報（顔画像）を取得し、当該生体情報を含む認証要求を認証サーバ１０に送信する（ステップＳ２１）。

認証サーバ１０は、取得した認証要求を認証情報データベースに登録された利用者認証情報を用いて処理する（ステップＳ２２）。

認証に成功すれば（ステップＳ２３、Ｙｅｓ分岐）、認証サーバ１０は、ステップＳ２９の処理を実行する。

認証に失敗すれば（ステップＳ２３、Ｎｏ分岐）、認証サーバ１０は、認証要求を認証情報テンポラリーデータベースに登録された利用者認証情報を用いて処理する（ステップＳ２４）。

認証に成功すれば（ステップＳ２５、Ｙｅｓ分岐）、認証サーバ１０は、ステップＳ２９の処理を実行する。

認証に失敗すれば（ステップＳ２５、Ｎｏ分岐）、認証サーバ１０は、認証端末３０から取得した認証要求を他の認証サーバ１０に転送する（ステップＳ２６）。

他の認証サーバ１０から認証要求を受信すると、認証サーバ１０は、当該認証要求を認証情報データベースに登録された利用者認証情報を用いて処理する（ステップＳ２７）。

認証サーバ１０は、照合処理の結果（認証成功、認証失敗）を認証要求の送信元に送信する（ステップＳ２８）。その際、認証サーバ１０は、認証に成功している場合には、サービスユーザＩＤを含む応答を送信元の認証サーバ１０に送信する。

認証サーバ１０は、認証要求を処理した結果を認証端末３０に送信する（ステップＳ２９）。認証に成功した場合には、認証サーバ１０は、サービスユーザＩＤを含む肯定応答を認証端末３０に送信する。認証に失敗した場合には、認証サーバ１０は、否定応答を認証端末３０に送信する。

認証端末３０は、認証サーバ１０から認証結果を受信する（図２３のステップＳ３１）。

認証サーバ１０からの認証結果が「認証失敗」であれば（ステップＳ３２、Ｎｏ分岐）、認証端末３０は、その旨を利用者に通知する（ステップＳ３３）。

認証サーバ１０からの認証結果が「認証成功」であれば（ステップＳ３２、Ｙｅｓ分岐）、認証端末３０は、認証サーバ１０からの応答に含まれるサービスユーザＩＤを管理サーバ２０に送信する（ステップＳ３４）。

管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報を特定する（ステップＳ３５）。

管理サーバ２０は、特定した個人情報を認証端末３０に送信する（ステップＳ３６）。

認証端末３０は、受信した個人情報を用いてサービスの提供を行う（ステップＳ３７）。

以上のように、第１の実施形態に係る認証システムには、複数の認証サーバ１０が含まれ、各認証サーバ１０は、システム利用者全体のうち一部の利用者認証情報を記憶する。各認証サーバ１０は、自装置に記憶された利用者認証情報を用いて端末からの認証要求を処理する。即ち、第１の実施形態に係る認証システムでは、利用者認証情報を管理する認証サーバ１０を複数用意し、各認証サーバ１０に利用者認証情報を分散して配置する。その結果、各認証サーバ１０が記憶（管理）するデータ量が削減され、十分な認証精度を確保することができる。また、第１の実施形態に係る認証システムでは、認証サーバ１０は、利用者の現在位置の変化を検出し、利用者の現在位置が管轄するエリアから外れた場合には、当該利用者の利用者認証情報を利用者の現在地を管理する認証サーバ１０に送信する。このような利用者認証情報の移動により、利用者認証情報を登録した認証サーバが管理する地域とは異なる地域に利用者が移動しても円滑な照合処理が実現できる。

また、第１の実施形態に係る認証システムでは、認証サーバ１０は、３段階の照合方式（認証方式）により利用者の生体認証を実行している。当該３段階の照合は、利用者の認証に成功する確率の高い順に実施されている。即ち、利用者の現在位置が当初システムに登録された行動エリアの範囲内であれば、恒久的なデータベースに登録された生体情報を用いて照合処理が実行される。そのため、利用者の転勤や出張等が発生していなければ、当該照合処理により利用者の生体認証は成功する。利用者の現在位置が当初の行動エリアから変化し、システムが当該変化を把握している場合には、一時的なデータベースに登録された特徴量を用いて照合処理が実行される。そのため、利用者等が端末４０を所持したまま出張等した場合には、当該２回目の照合処理により利用者の生体認証は成功する。利用者が端末４０を所持せず移動した場合には、システムのいずれかの認証サーバ１０に記憶された生体情報を用いて照合処理が実行される。そのため、認証サーバ１０が利用者の現在位置を把握していない場合であっても、システム登録された利用者の生体認証は成功する。このように、第１の実施形態では、利用者の認証に成功する可能性が高い順に照合処理が実行されている。また、上記のような順とすることで、認証に要する処理速度を速めることも可能である。即ち、行動エリアに変化がない大半の利用者に関する認証は、最初の認証処理により成功するので、処理に要する時間は短い。対して、３回目の認証処理にて利用者の認証に成功する場合には、その処理に要する時間は長い。しかし、利用者が端末４０を所持せず当初の行動エリアから外れるといった状況は稀であり、大きな問題とはならない。

また、第１の実施形態に係る認証システムでは、利用者の生体情報は認証サーバ１０に格納され、サービス提供者は当該生体情報を有していない。利用者の個人情報はサービス提供者が管理、運営する管理サーバ２０に格納され、認証サーバ１０は当該個人情報を有していない。第１の実施形態に係る認証システムは、このように情報を分散配置することで、情報漏洩に対してロバストな認証基盤を提供する。即ち、個人情報と紐づけられていない生体情報（特に、特徴量）は単なる数値の羅列であり犯罪者等にとって価値の低い情報である。したがって、万一、認証サーバ１０から情報漏洩が発生してもその影響は限定的である。このような構成により、認証システムの参加者（サービスの提供を受ける利用者、サービスを提供するサービス提供者）は安心して認証システムを利用できる。

続いて、認証システムを構成する各装置のハードウェアについて説明する。図２４は、認証サーバ１０のハードウェア構成の一例を示す図である。

認証サーバ１０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図２４に例示する構成を備える。例えば、認証サーバ１０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図２４に示す構成は、認証サーバ１０のハードウェア構成を限定する趣旨ではない。認証サーバ１０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、認証サーバ１０に含まれるプロセッサ３１１等の数も図２４の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が認証サーバ１０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

認証サーバ１０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、管理サーバ２０、認証端末３０、端末４０等も認証サーバ１０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は認証サーバ１０と相違する点はないので説明を省略する。例えば、認証端末３０は、利用者を撮像するためのカメラを備えていればよい。

認証サーバ１０は、コンピュータを搭載し、当該コンピュータにプログラムを実行させることで認証サーバ１０の機能が実現できる。また、認証サーバ１０は、当該プログラムにより認証サーバの制御方法を実行する。

［変形例］
なお、上記実施形態にて説明した認証システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

上記実施形態では、利用者がユーザＩＤ、パスワードを決定し、当該ユーザＩＤ、パスワードを用いてシステムに登録された利用者（システム利用者）を特定することを説明した。しかし、認証システムが、システム利用者を一意に特定するＩＤ（識別子）を決定してもよい。例えば、利用者登録フェーズにおいて、認証サーバ１０は利用者の生体情報（顔画像、特徴量）を取得する。認証サーバ１０は、当該生体情報に基づき上記ＩＤを生成してもよい。例えば、認証サーバ１０は、顔画像の特徴量からハッシュ値を計算し、当該計算されたハッシュ値を、ユーザＩＤ、パスワードの代わりとして用いてもよい。顔画像の特徴量は利用者ごとに異なり、当該特徴量から生成されたハッシュ値も利用者ごとに異なるため、システム利用者のＩＤとして用いることができる。

上記実施形態では、認証サーバ１０が認証用の生体情報を保持し、管理サーバ２０がサービス提供用の個人情報を保持することで、システムの安全性を高める構成を説明した。しかし、情報（生体情報、個人情報）の配置は、上記分散配置に限定されず、認証サーバ１０が、生体情報と個人情報を対応付けて記憶していてもよい。即ち、管理サーバ２０の機能が認証サーバ１０に実装されていてもよい。

上記実施形態では、複数の認証サーバ１０から１つの代表サーバを予め定める場合について説明した。代表サーバの選択は、当該方法に限定されない。例えば、ラウンドロビン方式により代表サーバが決定されてもよい。例えば、認証サーバ１０－１と認証サーバ１０－２が交互に代表サーバとして動作してもよい。あるいは、時間帯に応じて、代表サーバが決定されてもよい。例えば、昼間は認証サーバ１０－１が代表サーバとして動作し、夜間は認証サーバ１０－２が代表サーバとして動作してもよい。

上記実施形態では、端末４０が現在位置を認証センターに報告することで、認証サーバ１０は、利用者の現在位置を把握する場合について説明した。しかし、認証サーバ１０は、他の方法を用いて利用者の現在位置を把握してもよい。例えば、利用者の訪問を受けたサービス提供者が、利用者の現在位置を認証サーバ１０に通知してもよい。例えば、端末４０を所持した利用者が、サービス提供者の店舗等に入ると、端末４０と認証端末３０がＢｌｕｅｔｏｏｔｈ（登録商標）等の通信手段により通信する。認証端末３０は、端末４０からユーザＩＤ、パスワード、接続先サーバ情報を取得する。認証端末３０は、ユーザＩＤ、パスワード、認証端末３０の位置を含む情報（現在位置情報に相当する情報）を接続先サーバ情報の認証サーバ１０に送信する。認証サーバ１０は、取得した情報を「現在位置情報」と同様に扱い、必要に応じて利用者認証情報を送信する。あるいは、認証サーバ１０と基地局が連携して利用者の現在位置を把握してもよい。より具体的には、利用者が所持する端末４０がハンドオーバ（通信する基地局の変更）した際、ハンドオーバ先の基地局が端末４０の移動を認証サーバ１０に通知してもよい。この場合、認証サーバ１０は、各基地局の位置情報から利用者の現在位置を把握すればよい。

あるいは、端末４０に利用者の行動エリアを格納し、端末４０が当該行動エリアを用いて現在位置情報を認証サーバ１０に送信してもよい。例えば、端末４０は、定期的に現在位置を計算し、当該計算された現在位置が行動エリアに含まれるか否かを判定する。端末４０は、現在位置が行動エリアから外れた場合には、現在位置情報を認証サーバ１０に送信してもよい。このような対応により、端末４０から認証サーバ１０への通信量を削減することができる。

上記実施形態では、２度目の認証（一時記憶された利用者認証情報を使った認証）に失敗した場合に、他の認証サーバ１０に認証要求をブロードキャストすることを説明した。しかし、認証要求を送信する認証サーバ１０に優先順位を設けてもよい。例えば、認証サーバ１０は、利用者の移動に関する履歴を参照し、当該履歴に応じて認証要求を送信する認証サーバ１０を決定してもよい。例えば、３台の認証サーバＡ～Ｃがシステムに含まれ、認証サーバＡが行動エリアＲ１、認証サーバＢが行動エリアＲ２、認証サーバＣが行動エリアＲ３をそれぞれ管轄する場合を考える。また、利用者Ｕ４のシステムに登録された行動エリアはＲ１であり、利用者Ｕ４の利用者認証情報は認証サーバＡに記憶され、利用者Ｕ４が端末４０を所持せずエリアＲ３に存在しているとする。この場合、利用者Ｕ４の認証要求を処理するのは認証サーバＣである。認証サーバＣには、利用者Ｕ４の利用者認証情報を保持しておらず、且つ、利用者Ｕ４は端末４０を所持していないので初回、２回目の認証は失敗する。認証サーバＣは、３回目の認証処理を実行するが、その際、認証サーバＣが、利用者Ｕ４が出張等で行動エリアＲ２に数多く移動していることが把握できれば、３回目の認証時に行動エリアＲ２を管轄する認証サーバＢに優先して認証要求を送信する。利用者の行動履歴に基づいて優先的に認証要求を送信した他の認証サーバ１０から認証成功を受信できなった場合には、認証サーバ１０は、当該優先的に認証要求を送信した他の認証サーバ１０以外のサーバに認証要求を送信（ブロードキャスト）してもよい。上記の例では、認証サーバＣは、認証サーバＢから認証成功を受信できなかった場合に、認証サーバＡに認証要求を送信してもよい。

上記実施形態では、利用者登録フェーズとサービス登録フェーズが異なるタイミングで実行されることを説明したが、これらのフェーズは実質的に同タイミングにて実行されてもよい。例えば、利用者がサービスの提供を希望するサービス提供者に設置された認証端末３０が用いられ、上記２つの登録フェーズが実行されてもよい。具体的には、利用者は、認証端末３０を用いて利用者登録（生体情報、ユーザＩＤ、パスワード、行動エリアの入力）を行い、その後、連続して、サービス登録（個人情報等の入力）を行ってもよい。この場合、認証端末３０は、認証サーバ１０の利用者登録機能（利用者登録部２０２）と管理サーバ２０の個人情報取得機能（個人情報取得部３０２）を備えればよい。

サービス提供者が有する複数の認証端末３０は、同じ敷地や建物等に設置されていなくともよい。サービス提供者が共通すれば、各認証端末３０は空間的に離れた場所に設置されていてもよい。

上記実施形態では、１つのサービス提供者に１つのサービス提供者ＩＤを割り当てることを説明したが、複数のサービス提供者に対して１つのサービス提供者ＩＤが割り当てられてもよい。複数のサービス提供者をグループとしてまとめ、グループごとにサービス提供者ＩＤが発行されてもよい。例えば、サービス提供者Ｓ１とＳ２が連携し、同じサービスを提供するような場合には、これらのサービス提供者Ｓ１、Ｓ２に対して共通のサービス提供者ＩＤが発行されてもよい。

利用者が当初システムに登録した行動エリアから離れた場合、利用者認証情報の移動（複製）が行われるが、当該移動の発生を利用者やシステム管理者に通知してもよい。あるいは、利用者の行動エリアを管轄する認証サーバ１０に利用者認証情報が存在せず、他の認証サーバ１０に認証処理を依頼する場合、当該依頼の発生を管理者や利用者に通知してもよい。このような通知に接することで、利用者等は、本来、直ぐに終了するはずの認証処理に時間を要している原因を知ることができる。

上記実施形態では、システムが利用者の現在位置を収集する点について説明したが、利用者が現在位置を申告するようにしてもよい。あるいは、利用者は、期間を指定して自身の予定をシステムに入力してもよい。例えば、利用者は、「ｙｙｙｙ／ｍｍ／ｄ１～ｙｙｙｙ／ｍｍ／ｄ２；関東出張」といった情報をシステムに入力する。認証サーバ１０は、当該情報に基づき、必要に応じて利用者認証情報を移動する（他の認証サーバ１０に利用者情報を複製する）。なお、認証サーバ１０は、利用者が申告した期間経過後に一時的に記憶された利用者認証情報を削除する。

上記実施形態では、認証端末３０から認証サーバ１０に「顔画像から生成された特徴量」に係る生体情報が送信される場合について説明した。しかし、認証端末３０から認証サーバ１０に「顔画像」に係る生体情報が送信されてもよい。この場合、認証サーバ１０は、取得した顔画像から特徴量を生成し、認証処理（照合処理）を実行すればよい。

上記実施形態では、認証端末３０が顔画像を取得し、管理サーバ２０が当該顔画像から特徴量を生成する場合について説明した。しかし、認証端末３０が顔画像から特徴量を生成し、当該生成した特徴量を管理サーバ２０に送信してもよい。即ち、管理サーバ２０が特徴量の生成を行わなくてもよい。

上記実施形態では、サービス登録フェーズにて、利用者が個人情報の登録の際、ユーザＩＤとパスワードをサービス提供者に入力する場合について説明した（図１６参照）。しかし、当該ユーザＩＤとパスワードに替えて、利用者の生体情報（顔画像）がサービス提供者に入力されてもよい。この場合、管理サーバ２０は、顔画像から生成された特徴量とサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する。認証サーバ１０は、当該要求に含まれる特徴量と認証情報データベースに登録された特徴量を用いた照合処理を実行し、対応する利用者を特定する。認証サーバ１０は、利用者の特定（認証）に成功した場合に、サービスユーザＩＤを払い出す。このような対応により、利用者がユーザＩＤやパスワードを失念している場合でも、利用者は、容易にサービス登録を行える。あるいは、サービス提供者は、ユーザＩＤとパスワードに加え、利用者の生体情報（顔画像）を取得してもよい。この場合、認証サーバ１０は、ユーザＩＤ、パスワード、生体情報が一致した場合に、サービスユーザＩＤを払い出してもよい（生体情報とパスワードを利用した二要素認証が実行されてもよい）。

上記実施形態では、認証情報データベースと認証情報テンポラリーデータベースという２つのデータベースを用いる点について説明したが、これらのデータベースは統合され１つのデータベースが用いられてもよい。即ち、認証情報データベースに「設定日時フィールド」や「ＴＴＬフィールド」を設け、他の認証サーバ１０から取得した利用者認証情報にはこれらのフィールドに値が設定され、所定期間経過後に対応するエントリが削除されてもよい。このような対応により、１度の認証処理により、認証情報テンポラリーデータベースに登録された利用者認証情報を用いた照合が可能となり、認証に要する処理速度を早くすることができる。

各装置（認証サーバ１０、管理サーバ２０、認証端末３０）間のデータ送受信の形態は特に限定されないが、これら装置間で送受信されるデータは暗号化されていてもよい。これらの装置間では、生体情報が送受信され、当該生体情報を適切に保護するためには、暗号化されたデータが送受信されることが望ましい。

上記説明で用いた流れ図（フローチャート、シーケンス図）では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

上記の実施形態は本願開示の理解を容易にするために詳細に説明したものであり、上記説明したすべての構成が必要であることを意図したものではない。また、複数の実施形態について説明した場合には、各実施形態は単独で用いてもよいし、組み合わせて用いてもよい。例えば、実施形態の構成の一部を他の実施形態の構成に置き換えることや、実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、実施形態の構成の一部について他の構成の追加、削除、置換が可能である。

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、小売店やホテル業者等の顧客を認証する認証システムなどに好適に適用可能である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を記憶する、第１のデータベースと、
前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する、認証部と、
を備える、認証サーバ。
［付記２］
他の認証サーバが備える前記第１のデータベースに記憶された前記利用者認証情報を一時的に記憶する、第２のデータベースをさらに備える、付記１に記載の認証サーバ。
［付記３］
前記認証部は、前記第１のデータベースに記憶された前記利用者認証情報を用いた認証に失敗した場合には、前記第２のデータベースに記憶された前記利用者認証情報を用いて前記認証要求を処理する、付記２に記載の認証サーバ。
［付記４］
前記認証部は、前記第２のデータベースに記憶された前記利用者認証情報を用いた認証に失敗した場合には、前記他の認証サーバに対して前記端末からの認証要求を処理するように依頼する、付記３に記載の認証サーバ。
［付記５］
前記第１のデータベースは、前記複数の利用者のうち行動エリアが自装置に割り当てられた管轄エリアに含まれる利用者に関する前記利用者認証情報を記憶する、付記１乃至４のいずれか一に記載の認証サーバ。
［付記６］
前記第１のデータベースに記憶された前記利用者認証情報に対応する利用者の現在位置が前記自装置に割り当てられた管轄エリア外の場合には、前記管轄エリア外の利用者認証情報を前記利用者の現在位置を管轄エリアとする認証サーバに送信する、認証情報制御部をさらに備える、付記５に記載の認証サーバ。
［付記７］
前記利用者認証情報は、利用者を一意に定めるＩＤと利用者の生体情報を含む、付記１乃至６のいずれか一に記載の認証サーバ。
［付記８］
それぞれが、複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶する、複数の認証サーバと、
前記複数の認証サーバのうち予め定められた認証サーバに対して、前記利用者の生体情報を含む認証要求を送信する、認証端末と、
を含み、
前記認証要求を受信した認証サーバは、前記第１のデータベースに記憶された利用者認証情報を用いて、前記受信した認証要求を処理する、認証システム。
［付記９］
現在位置を含む現在位置情報を、前記複数の認証サーバのうち前記利用者の行動エリアにより定まる認証サーバに対して送信する、端末をさらに含む、付記８に記載の認証システム。
［付記１０］
前記現在位置情報を受信した認証サーバは、前記利用者の現在位置が自装置に割り当てられた管轄エリア外の場合には、前記管轄エリア外の利用者認証情報を前記利用者の現在位置を管轄エリアとする認証サーバに送信する、付記９に記載の認証システム。
［付記１１］
前記複数の認証サーバのそれぞれは、前記管轄エリア外の利用者認証情報を一時的に記憶する、第２のデータベースをさらに備える、付記１０に記載の認証システム。
［付記１２］
前記認証端末は、前記複数の認証サーバのうち自装置の設置場所を管轄する前記認証サーバに対して前記認証要求を送信する、付記８乃至１１のいずれか一に記載の認証システム。
［付記１３］
認証サーバにおいて、
複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶し、
前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する、認証サーバの制御方法。
［付記１４］
認証サーバに搭載されたコンピュータに、
複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶する処理と、
前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求の処理と、
を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体。

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。即ち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１０、１０－１、１０－２、１００ 認証サーバ
２０、２０－１、２０－２ 管理サーバ
３０、３１、３０－１～３０－４、３１－１、３１－２ 認証端末
４０、４０－１、４０－２ 端末
１０１ 第１のデータベース
１０２、２０６ 認証部
２０１、３０１、４０１、５０１ 通信制御部
２０２ 利用者登録部
２０３、３０４ データベース（ＤＢ；Data Base）管理部
２０４ サービス登録部
２０５ 認証情報制御部
２０７、３０６、４０６、５０３ 記憶部
３０２ 個人情報取得部
３０３ サービス登録要求部
３０５ 個人情報提供部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス
４０２ 生体情報取得部
４０３ 認証要求部
４０４ サービス提供部
４０５ メッセージ出力部
５０２ 現在位置情報生成部

Claims (8)

1. 複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を記憶する、第１のデータベースと、
   前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理する、認証部と、
   他の認証サーバが備える第１のデータベースに記憶された利用者認証情報を一時的に記憶する、第２のデータベースと
   を備え、
   前記認証部は、前記第１のデータベースに記憶された前記利用者認証情報を用いた認証に失敗した場合には、前記第２のデータベースに記憶された前記利用者認証情報を用いて前記端末からの認証要求を処理し、
   前記第２のデータベースに記憶された前記利用者認証情報を、前記第２のデータベースに記憶されてから所定時間が経過したことにより、又は、当該利用者認証情報に設定された有効期間が過ぎたことにより、削除する情報制御部をさらに備える、認証サーバ。
2. 前記認証部は、前記第２のデータベースに記憶された前記利用者認証情報を用いた認証に失敗した場合には、前記他の認証サーバに対して前記端末からの認証要求を処理するように依頼する、請求項１に記載の認証サーバ。
3. 前記第１のデータベースは、前記複数の利用者のうち行動エリアが自装置に割り当てられた管轄エリアに含まれる利用者に関する前記利用者認証情報を記憶する、請求項１又は２に記載の認証サーバ。
4. 前記第１のデータベースに記憶された前記利用者認証情報に対応する利用者の現在位置が前記自装置に割り当てられた管轄エリア外の場合には、前記管轄エリア外の利用者認証情報を前記利用者の現在位置を管轄エリアとする認証サーバに送信する、認証情報制御部をさらに備える、請求項３に記載の認証サーバ。
5. 請求項１に記載の認証サーバを複数含み、
   複数の前記認証サーバのうち予め定められた認証サーバに対して、前記利用者の生体情報を含む認証要求を送信する、認証端末をさらに含み、
   前記認証要求を受信した認証サーバは、前記第１のデータベースに記憶された利用者認証情報を用いて、前記受信した認証要求を処理する、認証システム。
6. 現在位置を含む現在位置情報を、複数の前記認証サーバのうち前記利用者の行動エリアにより定まる認証サーバに対して送信する、端末をさらに含む、請求項５に記載の認証システム。
7. 前記現在位置情報を受信した認証サーバは、前記利用者の現在位置が自装置に割り当てられた管轄エリア外の場合には、前記管轄エリア外の利用者認証情報を前記利用者の現在位置を管轄エリアとする認証サーバに送信する、請求項６に記載の認証システム。
8. 認証サーバにおいて、
   複数の利用者のうちの一部の利用者に関し、生体情報を用いた認証を行うための利用者認証情報を第１のデータベースに記憶し、
   前記第１のデータベースに記憶された利用者認証情報を用いて、端末からの認証要求を処理し、
   他の認証サーバが備える第１のデータベースに記憶された利用者認証情報を一時的に第２のデータベースに記憶し、
   前記第１のデータベースに記憶された前記利用者認証情報を用いた認証に失敗した場合には、前記第２のデータベースに記憶された前記利用者認証情報を用いて前記端末からの認証要求を処理し、
   前記第２のデータベースに記憶された前記利用者認証情報を、前記第２のデータベースに記憶されてから所定時間が経過したことにより、又は、当該利用者認証情報に設定された有効期間が過ぎたことにより、削除する、認証サーバの制御方法。

Images