(57)【要約】【課題】データの測定対象のユーザのなりすましを抑制する。【解決手段】情報処理装置１において、認証部１２０は、ウェアラブル端末を装着したユーザの認証を実行する。スコア受付部１２１は、認証が成功することを条件として、ユーザがウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付ける。所有者判定部１２２は、ウェアラブル端末から受信した所有者スコアに基づいて、ユーザがウェアラブル端末を継続して装着しているか否かを判定する。データ受信部１２３は、ユーザがウェアラブル端末を継続して装着していると判定された場合、ウェアラブル端末に格納されている端末データを受信する。データ送信部１２４は、アクセスが管理されている専用の通信回線Ｎを介して、端末データを保持するためのデータベースを管理するデータ管理装置２に、端末データとユーザを特定するためのユーザ識別子とを送信する。【選択図】図２
2020204853.tif 000002
【特許請求の範囲】
【請求項１】
ウェアラブル端末を装着したユーザの認証を実行する認証部と、
前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付けるスコア受付部と、
前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定する所有者判定部と、
前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信するデータ受信部と、
アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信するデータ送信部と、
を備える情報処理装置。
【請求項２】
前記スコア受付部は、前記認証が成功したときを起点として、あらかじめ定められた所定の期間が経過するまでの間、前記所有者スコアの受信を受け付ける、
請求項１に記載の情報処理装置。
【請求項３】
前記データ送信部は、前記所有者スコアを前記端末データと前記ユーザ識別子とに関連付けて前記データ管理装置に送信する、
請求項１又は２に記載の情報処理装置。
【請求項４】
前記端末データは、前記ユーザの挙動に関する端末データ又は前記ユーザが購入した秘密鍵である、
請求項１から３のいずれか１項に記載の情報処理装置。
【請求項５】
請求項１から４のいずれか１項に記載の情報処理装置と前記専用の通信回線を介して接続するデータ管理装置であって、
前記情報処理装置から前記端末データと前記ユーザ識別子とを受信する受信部と、
受信した前記端末データと前記ユーザ識別子とを含むユーザデータを前記データベースに記憶させ、前記ユーザデータを特定するためのデータ識別子を前記データベースから取得するデータ管理部と、
前記ユーザデータへのアクセスが許可されたアクセス許可者を特定するための許可者識別子と前記データ識別子とを関連付けて、共有の通信ネットワーク下に構築されているブロックチェーンに登録するアクセス権登録部と、
を備えるデータ管理装置。
【請求項６】
前記データ管理部は、前記受信部が前記端末データと前記ユーザ識別子とに関連付けられた前記所有者スコアを受信した場合、前記ユーザデータに前記所有者スコアを含めて前記データベースに記憶させる、
請求項５に記載のデータ管理装置。
【請求項７】
前記データ識別子と前記許可者識別子とを含むアクセス要求を取得する要求取得部と、
前記アクセス要求に含まれるデータ識別子と許可者識別子との組み合わせが前記ブロックチェーンに登録されていることを条件として、前記データ識別子で特定されるユーザデータを前記許可者識別子で特定されるアクセス許可者に提供するデータ提供部と、
をさらに備える請求項５又は６に記載のデータ管理装置。
【請求項８】
プロセッサが、
ウェアラブル端末を装着したユーザの認証を実行するステップと、
前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付けるステップと、
前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定するステップと、
前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信するステップと、
アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信するステップと、
を実行する情報処理方法。
【請求項９】
コンピュータに、
ウェアラブル端末を装着したユーザの認証を実行する機能と、
前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付ける機能と、
前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定する機能と、
前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信する機能と、
アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信する機能と、
を実現させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法、プログラム、及び情報処理装置と専用の通信回線を介して接続するデータ管理装置に関する。
【背景技術】
【０００２】
ユーザ認証の精度向上やなりすまし抑制のため、種類の異なる２つの認証結果を組み合わせる２要素認証という技術が知られている（例えば、特許文献１を参照）。特許文献１には、２要素認証をプリンタ、スキャナ、コピー、ファクシミリ等の機能を有するＭＦＰ（Multifunction Peripheral）やＡＴＭ（Automatic Teller Machine；現金自動預け払い機）等、ユーザを認証する装置に適用することが開示されている。
【０００３】
特許文献１に開示されているように、２要素認証においては、ユーザの顔や指紋等のユーザに由来する情報に基づく認証と、ユーザが所持する端末や専用のドングル等のユーザが所持する機器に由来する情報に基づく認証とを組み合わせることがしばしば行われる。これにより、ユーザ自体の認証と、あらかじめユーザと紐付けられた機器の認証との、２つの異なる観点から認証することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１９−８４８７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のような２要素認証技術では、認証実行時にユーザが認証用の機器を所持していることは要求しているものの、認証実行時以外にもユーザがその機器を所持していることまでは要求していない。そうすると、例えば、認証用の機器がユーザの挙動に関するデータ（例えば心拍数や位置情報に関するデータ）の測定装置も兼ねている場合、上記のような２要素認証技術では、認証用の機器が測定したデータがユーザに関するデータであることは保証されない。
【０００６】
本発明はこれらの点に鑑みてなされたものであり、データの測定対象のユーザのなりすましを抑制する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の第１の態様は、情報処理装置である。この装置は、ウェアラブル端末を装着したユーザの認証を実行する認証部と、前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付けるスコア受付部と、前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定する所有者判定部と、前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信するデータ受信部と、アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信するデータ送信部と、を備える。
【０００８】
前記スコア受付部は、前記認証が成功したときを起点として、あらかじめ定められた所定の期間が経過するまでの間、前記所有者スコアの受信を受け付けてもよい。
【０００９】
前記データ送信部は、前記所有者スコアを前記端末データと前記ユーザ識別子とに関連付けて前記データ管理装置に送信してもよい。
【００１０】
前記端末データは、前記ユーザの挙動に関する端末データ又は前記ユーザが購入した秘密鍵であってもよい。
【００１１】
本発明の第２の態様は、前記情報処理装置と前記専用の通信回線を介して接続するデータ管理装置である。この装置は、前記情報処理装置から前記端末データと前記ユーザ識別子とを受信する受信部と、受信した前記端末データと前記ユーザ識別子とを含むユーザデータを前記データベースに記憶させ、前記ユーザデータを特定するためのデータ識別子を前記データベースから取得するデータ管理部と、前記ユーザデータへのアクセスが許可されたアクセス許可者を特定するための許可者識別子と前記データ識別子とを関連付けて、共有の通信ネットワーク下に構築されているブロックチェーンに登録するアクセス権登録部と、を備える。
【００１２】
前記データ管理部は、前記受信部が前記端末データと前記ユーザ識別子とに関連付けられた前記所有者スコアを受信した場合、前記ユーザデータに前記所有者スコアを含めて前記データベースに記憶させてもよい。
【００１３】
前記データ管理装置は、前記データ識別子と前記許可者識別子とを含むアクセス要求を取得する要求取得部と、前記アクセス要求に含まれるデータ識別子と許可者識別子との組み合わせが前記ブロックチェーンに登録されていることを条件として、前記データ識別子で特定されるユーザデータを前記許可者識別子で特定されるアクセス許可者に提供するデータ提供部と、をさらに備えてもよい。
【００１４】
本発明の第３の態様は、情報処理方法である。この方法において、プロセッサが、ウェアラブル端末を装着したユーザの認証を実行するステップと、前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付けるステップと、前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定するステップと、前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信するステップと、アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信するステップと、を実行する。
【００１５】
本発明の第４の態様は、プログラムである。このプログラムは、コンピュータに、ウェアラブル端末を装着したユーザの認証を実行する機能と、前記認証が成功することを条件として、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを示す指標である所有者スコアの受信を受け付ける機能と、前記ウェアラブル端末から受信した前記所有者スコアに基づいて、前記ユーザが前記ウェアラブル端末を継続して装着しているか否かを判定する機能と、前記ユーザが前記ウェアラブル端末を継続して装着していると判定された場合、前記ウェアラブル端末に格納されている端末データを受信する機能と、アクセスが管理されている専用の通信回線を介して、前記端末データを保持するためのデータベースを管理するデータ管理装置に、前記端末データと前記ユーザを特定するためのユーザ識別子とを送信する機能と、を実現させる。
【００１６】
このプログラムを提供するため、あるいはプログラムの一部をアップデートするために、このプログラムを記録したコンピュータ読み取り可能な記録媒体が提供されてもよく、また、このプログラムが通信回線で伝送されてもよい。
【００１７】
なお、以上の構成要素の任意の組み合わせ、本発明の表現を方法、装置、システム、コンピュータプログラム、データ構造、記録媒体などの間で変換したものもまた、本発明の態様として有効である。
【発明の効果】
【００１８】
本発明によれば、データの測定対象のユーザのなりすましを抑制することができる。
【図面の簡単な説明】
【００１９】
【図１】実施の形態に係る認証システムを説明するための図である。
【図２】実施の形態に係る情報処理装置及びデータ管理装置の機能構成を模式的に示す図である。
【図３】実施の形態に係るデータベースが格納するデータのデータ構造を模式的に示す図である。
【図４】許可者識別子とユーザ識別子とを関連付けて記録するブロックチェーンのデータ構造を模式的に示す図である。
【図５】実施の形態に係る認証システムで実行される情報処理の流れを説明するためのシーケンス図である。
【図６】実施の形態の変形例に係る認証システムを説明するための図である。
【発明を実施するための形態】
【００２０】
＜実施の形態の概要＞
図１は、実施の形態に係る認証システムＳを説明するための図である。認証システムＳは、情報処理装置１、データ管理装置２、ウェアラブル端末３、及びデータベースＤを含む。以下、図１を参照して、実施の形態の概要を述べる。
【００２１】
実施の形態に係る認証システムＳは、ウェアラブル端末３を身に付けたユーザの挙動に関するデータを取得し、データベースＤに保管するためのシステムである。ここで「ユーザの挙動に関するデータ」とは、ユーザの日常生活に伴って生成されるユーザ特有の情報である。ユーザの挙動に関するデータの具体例は、例えば、ユーザの心拍や血圧等のユーザの生体情報に関するデータと、ユーザの位置情報やユーザの加速度データ等のユーザの動きに関するデータとを含んでいる。以下、本明細書において、ユーザの挙動に関するデータを、単に「挙動データ」と記載する。
【００２２】
ウェアラブル端末３は、ユーザが日常的に身に付けられるように工夫された装置である。図１に示す例では、ウェアラブル端末３は腕時計型のデバイスであるがこれに限られず、指輪型のデバイスやベルト型のデバイスであってもよい。ユーザがウェアラブル端末３を身に付けるとウェアラブル端末３のセンサ部（不図示）がユーザに接触し、ユーザの生体情報に関するデータを取得することができる。また、ウェアラブル端末３は、図示しないＧＰＳ（Global Positioning System）の受信部及び加速度センサも備えており、ユーザの動きに関するデータも取得することができる。ウェアラブル端末３は、取得した挙動データを図示しない記憶部に保持する。
【００２３】
データベースＤは、ユーザとユーザの挙動データとを紐付けて保管する。具体的には、各ユーザには固有の識別子であるユーザ識別子が割り当てられており、データベースＤは、ユーザ識別子と挙動データとを紐付けて保管している。ユーザの挙動データがそのユーザに由来する情報であることを保証するためには、ユーザそのものの認証及び端末に格納された挙動データがユーザに由来する情報であることの認証、との少なくとも２つの認証が重要であると考えられる。
【００２４】
以下、実施の形態に係る認証システムＳにおいて実行されるユーザそのものの認証から挙動データの格納までの流れを（１）−（９）の順に説明するが、その数字は図１における（１）−（９）と対応する。
【００２５】
（１）情報処理装置１は、データ管理装置２と協働して、ウェアラブル端末３のユーザを認証する。図１に示す例では、情報処理装置１は、現金自動預け払い機であるが、これに限られない。情報処理装置１は、顔認証のためのカメラや静脈認証のためのセンサを備えており、ユーザを認証する。図１に示すように情報処理装置１が現金自動預け払い機である場合には、情報処理装置１はユーザ認証のためのパスワード入力装置をさらに備えている。
【００２６】
より具体的には、データ管理装置２は、各ユーザに一意に割り当てたユーザ識別子と、ユーザ認証用のデータとを対応づけた認証用データベース（不図示）を記憶している。例えば、情報処理装置１が現金自動預け払い機である場合、ユーザ認証用のデータはパスワードである。この場合、情報処理装置１は、ユーザのキャッシュカードから読み出したユーザ識別子と、ユーザが入力したパスワードとの組み合わせをデータ管理装置２に送信して問い合わせ、その組み合わせが認証用データベースに存在するか否かを示す情報を取得する。ユーザ識別子とパスワードとの組み合わせが認証用データベースに存在することを示す情報をデータ管理装置２から受信した場合、情報処理装置１は、ユーザの認証に成功したと判定する。
【００２７】
（２）ユーザ認証が成功すると、情報処理装置１は、無線通信を確立しているウェアラブル端末３に対して、所有者スコアの送信を要求する。情報処理装置１とウェアラブル端末３との間の無線通信は、例えば、既知のＢｌｕｅｔｏｏｔｈ（登録商標）技術を用いて実現できる。また、「所有者スコア」とは、認証されたユーザがウェアラブル端末３を継続して装着しているか否かを示す指標である。
【００２８】
上述したように、ウェアラブル端末３が保持している挙動データは、ユーザの生体情報に関するデータとユーザの動きに関するデータとを含んでいる。ユーザの生体情報は各ユーザによって異なり、また、ユーザの動きも各ユーザによって異なる。例えば、ユーザの血圧の変動（例えば、血圧の最低値と最高値）はユーザによって異なり、歩行の際の手の振り方もユーザによって異なる。これらの挙動データをあらかじめ取得することで、既知の機械学習技術を用いることにより、あるユーザの挙動データを入力したときに、そのデータがユーザに由来するデータである蓋然性を示す指標値を出力する学習モデルを生成することができる。
【００２９】
図１に示す認証システムＳにおいて、ウェアラブル端末３は、挙動データがユーザに由来するデータである蓋然性が高いほど、高い指標値を出力する。このため、ウェアラブル端末３が出力する指標値は、上述する所有者スコアとして採用することができる。
【００３０】
（３）ウェアラブル端末３は、情報処理装置１に所有者スコアを送信する。
（４）情報処理装置１は、ウェアラブル端末３から所有者スコアを受信する。
【００３１】
（５）情報処理装置１は、ウェアラブル端末３から受信した所有者スコアに基づいて、ユーザ認証が成功したユーザがウェアラブル端末３を継続して装着しているか否かを判定する。具体的には、ウェアラブル端末３から受信した所有者スコアが所定の閾値を超えている場合、情報処理装置１はユーザ認証が成功したユーザがウェアラブル端末３を継続して装着していると判定する。また、ウェアラブル端末３から受信した所有者スコアが所定の閾値以下である場合、情報処理装置１はユーザ認証が成功したユーザがウェアラブル端末３を継続して装着していないと判定する。ここで「所定の閾値」とは、情報処理装置１がウェアラブル端末３の装着の継続性を判定するために参照する「継続性判定時参照用閾値」である。所定の閾値の具体的な値は、ウェアラブル端末３が採用する学習モデルの性質や継続性判定に求められる精度等を考慮して実験により定めればよい。
【００３２】
（６）情報処理装置１は、ユーザ認証が成功したユーザがウェアラブル端末３を継続して装着していると判定した場合、ウェアラブル端末３に端末データの送信を要求する。
（７）ウェアラブル端末３は、情報処理装置１の要求に応答して、端末データを情報処理装置１に送信する。
（８）情報処理装置１は、ウェアラブル端末３から受信した端末データを、アクセスが管理されている専用の通信回線Ｎを用いてデータ管理装置２に送信する。図１に示す例では、通信回線Ｎは、現金自動預け払い機が利用する専用の通信回線である。この他、通信回線Ｎは、例えばＶＰＮ（Virtual Private Network）等の既知の技術を用いて、インターネット等の一般に公開されたネットワーク上に構築された仮想的な専用回線であってもよい。
【００３３】
（９）データ管理装置２は、情報処理装置１から受信した端末データを、ユーザ識別子と紐付けてデータベースＤに保管する。ここで、データベースＤは公共のネットワークには公開されておらず、データ管理装置２のみがデータベースＤにアクセスすることができる。これにより、データベースＤは、ユーザの個人情報である端末データを安全に保管することができる。
【００３４】
このように、実施の形態に係る情報処理装置１は、所有者スコアが所定の閾値である場合のみ、ウェアラブル端末３から取得した端末データをデータ管理装置２に送信する。この結果、認証システムＳは、データベースＤに保管させる挙動データの測定対象のユーザのなりすましを抑制することができる。
【００３５】
＜実施の形態に係る情報処理装置１及びデータ管理装置２の機能構成＞
図２は、実施の形態に係る情報処理装置１及びデータ管理装置２の機能構成を模式的に示す図である。情報処理装置１は記憶部１０、通信部１１、及び制御部１２を備え、データ管理装置２は記憶部２０、通信部２１、及び制御部２２を備える。図２において、矢印は主なデータの流れを示しており、図２に示していないデータの流れがあってもよい。図２において、各機能ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図２に示す機能ブロックは単一の装置内に実装されてもよく、あるいは複数の装置内に分かれて実装されてもよい。機能ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてもよい。
【００３６】
記憶部１０は、情報処理装置１を実現するコンピュータのＢＩＯＳ（Basic Input Output System）等を格納するＲＯＭ（Read Only Memory）や情報処理装置１の作業領域となるＲＡＭ（Random Access Memory）、ＯＳ（Operating System）やアプリケーションプログラム、当該アプリケーションプログラムの実行時に参照される種々の情報を格納するＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の大容量記憶装置である。
【００３７】
通信部１１は、情報処理装置１が外部の機器と通信するための通信モジュールであり、既知の無線通信モジュールと有線通信モジュールとを含む。制御部１２は、情報処理装置１のＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等のプロセッサであり、記憶部１０に記憶されたプログラムを実行することによって、認証部１２０、スコア受付部１２１、所有者判定部１２２、データ受信部１２３、及びデータ送信部１２４として機能する。
【００３８】
記憶部２０は、データ管理装置２を実現するコンピュータのＢＩＯＳ等を格納するＲＯＭやデータ管理装置２の作業領域となるＲＡＭ、ＯＳやアプリケーションプログラム、当該アプリケーションプログラムの実行時に参照される種々の情報を格納するＨＤＤやＳＳＤ等の大容量記憶装置である。
【００３９】
通信部２１は、データ管理装置２が外部の機器と通信するための通信モジュールであり、既知の無線通信モジュール又は有線通信モジュールである。制御部２２は、データ管理装置２のＣＰＵやＧＰＵ等のプロセッサであり、記憶部２０に記憶されたプログラムを実行することによって、受信部２２０、データ管理部２２１、アクセス権登録部２２２、要求取得部２２３、及びデータ提供部２２４として機能する。
【００４０】
なお、図２は、情報処理装置１及びデータ管理装置２がそれぞれ単一の装置で構成されている場合の例を示している。しかしながら、情報処理装置１及びデータ管理装置２は、例えばクラウドコンピューティングシステムのように複数のプロセッサやメモリ等の計算リソースによって実現されてもよい。この場合、制御部１２及び制御部２２を構成する各部は、複数の異なるプロセッサの中の少なくともいずれかのプロセッサがプログラムを実行することによって実現される。
【００４１】
情報処理装置１の認証部１２０は、ウェアラブル端末３を装着したユーザの認証を実行する。スコア受付部１２１は、制御部１２による認証が成功することを条件として、通信部１１を介して所有者スコアの受信を受け付ける。上述したように、スコア受付部１２１が受け付ける所有者スコアは、ユーザがウェアラブル端末３を継続して装着しているか否かを示す指標である。また、以下本明細書において、制御部１２の各部が外部の装置と通信する場合、通信部１１を介して通信することを前提として通信部１１の記載は省略する。
【００４２】
所有者判定部１２２は、スコア受付部１２１がウェアラブル端末３から受信した所有者スコアに基づいて、ユーザがウェアラブル端末３を継続して装着しているか否かを判定する。データ受信部１２３は、所有者判定部１２２によってユーザがウェアラブル端末３を継続して装着していると判定された場合、ウェアラブル端末３に格納されている端末データを受信する。
【００４３】
データ送信部１２４は、アクセスが管理されている専用の通信回線Ｎを介して、端末データを保持するためのデータベースＤを管理するデータ管理装置２に、端末データとユーザ識別子とを送信する。このように、情報処理装置１は、ウェアラブル端末３から受信する所有者スコアに基づいてウェアラブル端末３がユーザによって継続的に装着されているか否かを判定し、継続的に装着されていると判定した場合にのみ端末データをデータ管理装置２に送信する。これにより、情報処理装置１は、データの測定対象のユーザのなりすましを抑制し、挙動データがユーザに由来するデータであることの信頼性を高めることができる。また、所有者スコアを評価することで、ウェアラブル端末３自体の認証を省略することもできる。
【００４４】
スコア受付部１２１は、認証部１２０による認証が成功したときを起点として、あらかじめ定められた所定の期間が経過するまでの間、ウェアラブル端末３から所有者スコアの受信を受け付けてもよい。ここで「所定の期間」とは、スコア受付部１２１が所有者スコアを受け付けるためにあらかじめ定められた「所有者スコア受付可能期間」である。この意味で、所有者スコア受付可能期間は、認証部１２０による認証の有効期間ともいえる。情報処理装置１とウェアラブル端末３とは無線で通信するため、スコア受付部１２１が所定の期間にのみ所有者スコアを受け付けることにより、近くに存在する別の情報処理装置１を利用する他のユーザのウェアラブル端末３から、端末データが誤送信される事態を抑制できる。
【００４５】
所有者スコアは、ユーザがウェアラブル端末３を継続的に装着しているかを示す指標であるから、端末データの信頼性を示す指標ともいえる。そこで、データ送信部１２４は、データ受信部１２３がウェアラブル端末３から受信した所有者スコアを、端末データとユーザ識別子とに関連付けてデータ管理装置２に送信してもよい。これにより、データベースＤは、端末データをそのデータの信頼性とともに保管することができる。
【００４６】
図１及び図２に示すように、データ管理装置２は、情報処理装置１と専用の通信回線Ｎを介して接続している装置である。データ管理装置２の受信部２２０は、情報処理装置１から、通信回線Ｎ及び通信部２１を介して端末データとユーザ識別子とを受信する。以下本明細書において、制御部２２の各部が外部の装置と通信する場合、通信部２１を介して通信することを前提として通信部２１の記載は省略する。
【００４７】
データ管理部２２１は、受信部２２０が受信した端末データとユーザ識別子とを含むユーザデータをデータベースＤに記憶させる。データベースＤは、データ管理部２２１からユーザデータを取得する毎に、そのユーザデータを特定するためのデータ識別子を各ユーザデータに割り当てる。データ管理部２２１は、受信部２２０が受信した端末データとユーザ識別子とを含むユーザデータをデータベースＤに記憶させると、そのユーザデータを特定するためのデータ識別子をデータベースＤから取得する。ここで、データ管理部２２１は、受信部２２０が端末データとユーザ識別子とに関連付けられた所有者スコアも受信した場合、ユーザデータに所有者スコアを含めてデータベースＤに記憶させる。
【００４８】
図３は、実施の形態に係るデータベースＤが格納するユーザデータのデータ構造を模式的に示す図である。図３に示すように、データベースＤには、データ識別子毎に、端末データ、端末データの取得日時、所有者スコア、及び端末データを保持していたウェアラブル端末３のユーザのユーザ識別子が関連付けて格納されている。このように、データベースＤがユーザデータに所有者スコアも含めて保持することにより、事後的に端末データの信頼性を確認することができる。
【００４９】
図３に示すように、同じユーザに由来する端末データ（すなわち、同じユーザ識別子に関連付けられている端末データ）であっても、異なるデータ識別子が割り当てられている。また、図３に示す例において、データ識別子の末尾のアルファベットは、端末データの種別を示している。限定はしないが、データ識別子の末尾の「Ａ」は、端末データがユーザの心拍数の変動を示すデータであることを示している。また、データ識別子の末尾の「Ｂ」は、端末データが加速度の変動を示すデータであることを示している。データ識別子の末尾のアルファベットは、端末データの種別の数分用意されている。このように、データベースＤは、ユーザ単位ではなく端末データ単位でデータ識別子を割り当てることにより、事後的にユーザデータを提供する際に参照可能なデータを細かく制御することができる。
【００５０】
図２の説明に戻る。実施の形態に係るデータ管理装置２は、あらかじめユーザデータへのアクセスが許可された者の端末に、ユーザデータを提供するデータ提供装置としての機能も有する。このため、アクセス権登録部２２２は、ユーザデータへのアクセスが許可されたアクセス許可者を特定するための許可者識別子とデータ識別子とを関連付けて、共有の通信ネットワーク（不図示）の下に構築されているブロックチェーンに登録する。
【００５１】
ここで、「アクセス許可者」は、事前にユーザからユーザデータの使用の了承を得た自然人又は法人である。各アクセス許可者には、データ管理装置２によってあらかじめ固有の許可者識別子が割り当てられている。データ管理装置２及びアクセス許可者が利用するすべての端末は、共有の通信ネットワークを介して互いにデータを送受信可能となっている。また、データ管理装置２及びアクセス許可者が利用するすべての端末はそれぞれ許可者識別子とデータ識別子とを関連付けて記録するブロックチェーンを保持している。
【００５２】
ここで、ブロックチェーンは分散型のデータベースとして機能する。データ管理装置２及びアクセス許可者が利用するすべての端末は、ブロックチェーンの内容を自由に閲覧することができる。一方、データベースＤは閲覧のための権限が厳格に管理されており、データ管理装置２のみがアクセスできる。
【００５３】
図４は、許可者識別子とユーザ識別子とを関連付けて記録するブロックチェーンＢのデータ構造を模式的に示す図である。図４に示すように、ブロックチェーンＢは、複数のブロックを連結した情報である。複数のブロックのそれぞれは、直前のブロックを示す情報のハッシュ値、許可者識別子、データ識別子、及びナンス値が含まれている。ナンス値は、ブロックのハッシュ値が特定の条件を満たすようにするために用いられる情報である。ブロックチェーンＢを構成する各ブロックにおいて、許可者識別子には、許可者識別子で特定される者の端末がアクセス可能なユーザデータを特定するためのデータ識別子が関連付けられている。
【００５４】
各アクセス許可者は、アクセス可能なユーザデータの範囲が定められている。ここで、「アクセス可能なユーザデータの範囲」とは、ユーザデータの種別の範囲及び時間の範囲である。例えば、あるアクセス許可者には過去３０日間の心拍データにのみアクセスが許可されるが、別のアクセス許可者には、過去１年間の心拍データ及び加速度データへのアクセスが許可される。
【００５５】
データ管理装置２は、許可者識別子とデータ識別子との関連付けを変更することもできる。データ管理装置２が、許可者識別子とデータ識別子との関連付けを変更すると、その変更を反映した新たなブロックがブロックチェーンＢに追加され、その情報はブロックチェーンＢに参加しているすべての端末にブロードキャストされる。このため、ブロックチェーンＢには、許可者識別子とデータ識別子との関連付けに関する変更履歴がすべて記録されることになる。
【００５６】
図２の説明に戻る。データ管理装置２の要求取得部２２３は、いずれかのアクセス許可者が利用するすべての端末から、データ識別子と許可者識別子とを含むアクセス要求を取得する。データ提供部２２４は、ブロックチェーンＢを参照して、要求取得部２２３が取得したアクセス要求に含まれるデータ識別子と許可者識別子との組み合わせがブロックチェーンＢに登録されているか否かを判定する。データ提供部２２４は、要求取得部２２３が取得したアクセス要求に含まれるデータ識別子と許可者識別子との組み合わせがブロックチェーンＢに登録されていることが判定できた場合、データ識別子で特定されるユーザデータを許可者識別子で特定されるアクセス許可者の端末に提供する。
【００５７】
＜認証システムＳで実行される情報処理方法のシーケンス図＞
図５は、実施の形態に係る認証システムＳで実行される情報処理の流れを説明するためのシーケンス図である。
【００５８】
情報処理装置１の認証部１２０は、ウェアラブル端末３を装着したユーザの認証を実行する（Ｓ２）。認証部１２０は、認証が成功するまでの間（Ｓ４のＮｏ）、ユーザ認証を継続する。認証部１２０による認証が成功した場合（Ｓ４のＹｅｓ）、スコア受付部１２１は、ウェアラブル端末３から所有者スコアの受信を受け付ける（Ｓ６）。
【００５９】
ウェアラブル端末３は、ユーザがウェアラブル端末３を継続して装着しているか否かを示す指標である所有者スコアを情報処理装置１に送信する（Ｓ８）。情報処理装置１のスコア受付部１２１は、ウェアラブル端末３から所有者スコアを受信する（Ｓ１０）。所有者判定部１２２は、ウェアラブル端末３から受信した所有者スコアに基づいて、ユーザがウェアラブル端末３を継続して装着しているか否かを判定する（Ｓ１２）。
【００６０】
所有者判定部１２２によってユーザがウェアラブル端末３を継続して装着していると判定されない場合（Ｓ１４のＮｏ）、情報処理装置１は処理を終了する。所有者判定部１２２によってユーザがウェアラブル端末３を継続して装着していると判定された場合（Ｓ１４のＹｅｓ）、データ受信部１２３は、ウェアラブル端末３に格納されている端末データの送信をウェアラブル端末３に要求する（Ｓ１６）。
【００６１】
ウェアラブル端末３は、端末データを情報処理装置１に送信する（Ｓ１８）。データ受信部１２３は、ウェアラブル端末３から端末データを受信する（Ｓ２０）。データ送信部１２４は、アクセスが管理されている専用の通信回線Ｎを介して、データベースＤを管理するデータ管理装置２に、端末データとユーザ識別子とを送信する（Ｓ２２）。
【００６２】
データ管理装置２は、情報処理装置１から、端末データ及びユーザ識別子を受信してデータベースＤに格納する（Ｓ２４）。
【００６３】
＜実施の形態に係る認証システムＳの利用シーンの例＞
実施の形態に係る認証システムＳの利用シーンの一例について説明する。この例において、アクセス許可者は、ウェアラブル端末３を装着するユーザの健康を管理する医療関係者や、ウェアラブル端末３を装着するユーザが利用している生命保険会社である。医療関係者や生命保険会社はユーザの健康状態の把握のため、ウェアラブル端末３が測定した挙動データを含むユーザデータにアクセスする。ここで、ブロックチェーンＢは、ブロックチェーンＢに参加しているすべての端末が閲覧することができる。しかしながら、ブロックチェーンＢには許可者識別子とユーザ識別子とが格納されているだけであるため、ブロックチェーンＢからユーザの個人情報であるユーザデータが漏洩することはない。
【００６４】
ユーザデータ自体は、データ管理装置２のみがアクセスできるデータベースＤに保管されており、データ管理装置２は、データ識別子と許可者識別子との組み合わせがブロックチェーンＢに登録されていることを条件として、データ識別子で特定されるユーザデータを許可者識別子で特定されるアクセス許可者の端末に提供する。これにより、ブロックチェーンＢに参加している端末であっても、その端末を利用する者の許可者識別子と関連付けられていないデータ識別子のユーザデータの提供を受けることができない。万が一、ブロックチェーンＢに参加している端末によってその端末が保持するブロックチェーンＢの内容が改ざんされたとしても、その改ざんはブロックチェーンＢのコンセンサスアルゴリズムによってはじかれる。
【００６５】
また、ウェアラブル端末３を装着すべきユーザが他のユーザにウェアラブル端末３を渡して挙動データを測定させたとしても、実施の形態に係る情報処理装置１は所有者スコアに基づいてウェアラブル端末３の装着の継続性を判定する。このため、データベースＤに格納されているユーザデータは、ウェアラブル端末３を装着すべきユーザに由来するデータであることが一定の確度で保証されている。
【００６６】
さらに、ユーザはウェアラブル端末３に格納されている端末データをデータ管理装置２に送信するためには、情報処理装置１が実行する認証が成功する必要がある。このため、ウェアラブル端末３を取得した第三者が、ウェアラブル端末３のユーザになりすまして端末データをデータ管理装置２に送信することはできない。これにより、データベースＤに格納されているユーザデータは、ユーザ自身の意思によってデータベースＤに登録したものであることを担保できる。
【００６７】
＜実施の形態に係る情報処理装置１が奏する効果＞
以上説明したように、実施の形態に係る情報処理装置１によれば、挙動データの測定対象のユーザのなりすましを抑制することができる。また、挙動データのアクセスを許可された者の端末以外の端末に、挙動データが漏洩することを防ぐことができる。
【００６８】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の全部又は一部は、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果をあわせ持つ。
【００６９】
＜変形例＞
上記では、ウェアラブル端末３が格納する端末データが、ウェアラブル端末３を装着するユーザの生体情報や動きに関するデータなど、ユーザ特有の挙動データである場合について説明した。しかしながら、ウェアラブル端末３が格納する端末データは挙動データである場合に限られず、ユーザが購入した秘密鍵（例えば、デジタルチケットや仮想通貨）であってもよい。
【００７０】
図６は、実施の形態の変形例に係る認証システムＳを説明するための図である。認証システムＳは、送り側情報処理装置１ａ、受け側情報処理装置１ｂ、データ管理装置２、送り側ウェアラブル端末３ａ、受け側ウェアラブル端末３ｂ、及びデータベースＤを含む。
【００７１】
変形例に係る認証システムＳにおいては、送り側ウェアラブル端末３ａのユーザが購入した秘密鍵を、送り側情報処理装置１ａ、データ管理装置２、及び受け側情報処理装置１ｂを介して受け側ウェアラブル端末３ｂに受け渡すためのシステムである。送り側情報処理装置１ａの動作は、ウェアラブル端末３の端末データが挙動データではなく秘密鍵である点で異なるが、その他は上述した実施の形態に係る情報処理装置１と同様である。すなわち、送り側情報処理装置１ａは、送り側ウェアラブル端末３ａのユーザの認証が成功し、かつ送り側ウェアラブル端末３ａから取得した所有者スコアに基づいて送り側ウェアラブル端末３ａのユーザが送り側ウェアラブル端末３ａを継続して装着していると判定できることを条件として、送り側ウェアラブル端末３ａから秘密鍵を受信する。その後、送り側情報処理装置１ａは、受信した秘密鍵を専用の通信回線Ｎを介してデータ管理装置２に送信する。データ管理装置２は、送り側情報処理装置１ａから受信した秘密鍵をデータ管理装置２のみがアクセス可能なデータベースＤに格納させる。
【００７２】
変形例に係る認証システムＳにおいて、アクセス許可者は受け側ウェアラブル端末３ｂのユーザであり、アクセス許可者が利用する端末は受け側ウェアラブル端末３ｂである。データ管理装置２は、あらかじめ送り側ウェアラブル端末３ａのユーザから秘密鍵を譲渡するユーザが指定されており、そのユーザのユーザ識別子を許可者識別子として、データベースＤに登録された秘密鍵を特定するためのデータ識別子と関連付けてブロックチェーンＢに登録している。
【００７３】
変形例に係る受け側情報処理装置１ｂの基本的な構成は、情報処理装置１と同様である。受け側情報処理装置１ｂの認証部１２０は、受け側ウェアラブル端末３ｂを装着したユーザの認証を実行する。スコア受付部１２１は、認証部１２０の認証が成功することを条件として、受け側ウェアラブル端末３ｂから所有者スコアの受信を受け付ける。受け側情報処理装置１ｂの所有者判定部１２２は、受け側ウェアラブル端末３ｂから受信した所有者スコアに基づいて、受け側ウェアラブル端末３ｂのユーザが受け側ウェアラブル端末３ｂを継続して装着しているか否かを判定する。
【００７４】
ここで、データベースＤに登録された秘密鍵を特定するためのデータ識別子は、事前に送り側ウェアラブル端末３ａから受け側ウェアラブル端末３ｂに送信されている。受け側情報処理装置１ｂのデータ送信部１２４は、所有者判定部１２２によってユーザが受け側ウェアラブル端末３ｂを継続して装着していると判定された場合、データベースＤに登録された秘密鍵を特定するためのデータ識別子と、受け側ウェアラブル端末３ｂのユーザのユーザ識別子とを含むアクセス要求をデータ管理装置２に送信する。
【００７５】
データ管理装置２の要求取得部２２３は、アクセス要求に含まれるデータ識別子とユーザ識別子との組み合わせがブロックチェーンＢに登録されているか否かを判定する。データ提供部２２４は、アクセス要求に含まれるデータ識別子とユーザ識別子との組み合わせがブロックチェーンＢに登録されていることを条件として、データ識別子で特定される秘密鍵を受け側情報処理装置１ｂに送信する。なお、データ管理装置２は、データ提供部２２４が秘密鍵を受け側ウェアラブル端末３ｂに送信した後、データベースＤからその秘密鍵を削除してもよい。
【００７６】
受け側情報処理装置１ｂのデータ受信部１２３は、データ管理装置２から秘密鍵を受信する。データ送信部１２４は、データ受信部１２３がデータ管理装置２から受信した秘密鍵を、受け側ウェアラブル端末３ｂに無線で送信する。これにより、送り側ウェアラブル端末３ａのユーザは、送り側情報処理装置１ａ、データ管理装置２、及び受け側情報処理装置１ｂを介して、遠隔にいる受け側ウェアラブル端末３ｂのユーザに安全に秘密鍵を送信することができる。
【符号の説明】
【００７７】
１・・・情報処理装置
１０・・・記憶部
１１・・・通信部
１２・・・制御部
１２０・・・認証部
１２１・・・スコア受付部
１２２・・・所有者判定部
１２３・・・データ受信部
１２４・・・データ送信部
２・・・データ管理装置
２０・・・記憶部
２１・・・通信部
２２・・・制御部
２２０・・・受信部
２２１・・・データ管理部
２２２・・・アクセス権登録部
２２３・・・要求取得部
２２４・・・データ提供部
３・・・ウェアラブル端末
１ａ・・・送り側情報処理装置
１ｂ・・・受け側情報処理装置
３ａ・・・送り側ウェアラブル端末
３ｂ・・・受け側ウェアラブル端末
Ｄ・・・データベース
Ｎ・・・通信回線
Ｓ・・・認証システム
【図１】
2020204853.tif 000003
【図２】
2020204853.tif 000004
【図３】
2020204853.tif 000005
【図４】
2020204853.tif 000006
【図５】
2020204853.tif 000007
【図６】
2020204853.tif 000008