(57)【要約】【課題】機密情報を保持しつつ操作性の優れた認証システムを提供する。【解決手段】撮像手段により入力された画像から、正規の利用者であると認証された認証者と被操作装置の操作者とを特定し、認証者と被操作装置の操作者が同一人物であるか否かを判定する。そして、操作者が認証者と同一人物でないと判定される場合には、認証者に対する被操作装置の使用許可状態を継続したまま、操作者による操作を許可するとともに、操作者が認証者と同一人物であると判定される場合よりも、厳しい利用制限を課す。これによれば、認証者と操作者とが一致しない場合でも、セキュリティを確保しつつ、操作者は再使用許可を得ることなく被操作装置の使用を継続することが可能となる。【選択図】図１３
2007249466.tif 000002
【特許請求の範囲】
【請求項１】
被操作装置に関する認証システムであって、
撮像手段と、
前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、前記撮像手段により入力される画像内に存在する人物の中から認証者として特定する認証者特定手段と、
前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定手段と、
前記認証者と前記操作者とが同一人物であるか否かを判定する判定手段と、
前記操作者に対する前記被操作装置の利用制限レベルを制御する制御手段と、
を備え、
前記制御手段は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とする認証システム。
【請求項２】
撮像手段により入力される画像に基づいて、操作者による被操作装置の利用を制限することが可能なコントローラであって、
前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、前記画像内に存在する人物の中から認証者として特定する認証者特定手段と、
前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定手段と、
前記認証者と前記操作者とが同一人物であるか否かを判定する判定手段と、
前記操作者に対する前記被操作装置の利用制限レベルを制御する制御手段と、
を備え、
前記制御手段は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とするコントローラ。
【請求項３】
請求項２に記載のコントローラにおいて、
前記認証者特定手段は、前記画像内に前記認証者が存在するか否かを検出し、
前記制御手段は、前記操作者が前記認証者と同一人物でないと判定された場合において、前記画像内に前記認証者が存在するときには前記画像内に認証者が存在しないときに比べて、前記被操作装置に課す利用制限を緩和することを特徴とするコントローラ。
【請求項４】
請求項２または請求項３に記載のコントローラにおいて、
前記制御手段は、前記操作者が前記認証者と同一人物であると判定された場合において、前記画像内において前記操作者でもなく且つ前記認証者でもない第三者の存在が検知されたときには、前記第三者の存在が検知されないときに比べて厳しい利用制限を課すことを特徴とするコントローラ。
【請求項５】
請求項４に記載のコントローラにおいて、
前記制御手段は、前記操作者が前記認証者と同一人物であると判定された場合において、前記画像内において前記第三者の存在が検知されたときには、前記第三者の存在が検知されないときには発せられない警告を発することを特徴とするコントローラ。
【請求項６】
被操作装置の利用制限レベルを制御するコントローラにおける制御方法であって、
前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、撮像された画像内に存在する人物の中から認証者として特定する認証者特定工程と、
前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定工程と、
前記認証者と前記操作者とが同一人物であるか否かを判定する判定工程と、
前記操作者に対する前記被操作装置の利用制限レベルを制御する制御工程と、
を備え、
前記制御工程は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とする制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人認証技術に関する。
【背景技術】
【０００２】
近年、情報機器同士のネットワーク化および情報機器の多機能化により、情報機器に記憶されたユーザ（以下、「使用者」または「利用者」とも称する）の個人情報等を有効に保護する必要性が高まっている。このため、情報機器の使用に際して個人認証技術を利用したユーザ認証を行うものが存在する。
【０００３】
使用開始の際に行うユーザ認証によって、情報機器の使用を望むユーザの当該情報機器の使用の可否等が決定される。
【０００４】
使用終了後、ユーザはログアウト操作により使用の終了を情報機器に伝えることになるが、このログアウト操作は省略されることが多い。このため、一般的には最終操作を終了してから予め定められた時間を経過した後にログアウト処理が行われるようになっている。
【０００５】
このような情報機器においては、使用開始の際のセキュリティ確保については考慮されているが、ユーザが使用を終了した後の一定期間は、誰でも当該情報機器を使用可能なセキュリティホールとなっている。
【０００６】
このような不具合を解決する技術として、使用者を所定間隔でモニタリングし、顔認証技術を利用して正規の使用者であるか否かに応じて、情報機器のロック状態を制御する技術が提案されている（特許文献１）。
【０００７】
【特許文献１】特開２００３−１４１０８８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記の技術では、次のような事情のため柔軟なシステム運用を行うことができないという問題が存在する。
【０００９】
具体的には、複数の人間が入れ替わり使用することの多い装置においては、ユーザが交代する度に情報機器のログアウト動作およびログイン動作を実行する必要があるため、ユーザの利便性を損なうという状況が存在する。
【００１０】
また特に、認証によりログインした使用者を含む複数人が同時に使用する場合には、情報機器を実際に操作している人（以下、「操作者」と称する）が交代する度にログアウトおよびログインが必要となるため著しく操作性を損なうことになる。
【００１１】
そこで、本発明は上記課題に鑑みてなされたものであり、情報機器に蓄積された個人情報のセキュリティを確保しつつ、ユーザの利便性を向上させることが可能な技術を提供することを課題とする。
【課題を解決するための手段】
【００１２】
上記の課題を解決するため、請求項１の発明は、被操作装置に関する認証システムであって、撮像手段と、前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、前記撮像手段により入力される画像内に存在する人物の中から認証者として特定する認証者特定手段と、前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定手段と、前記認証者と前記操作者とが同一人物であるか否かを判定する判定手段と、前記操作者に対する前記被操作装置の利用制限レベルを制御する制御手段とを備え、前記制御手段は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とする。
【００１３】
また、請求項２の発明は、撮像手段により入力される画像に基づいて、操作者による被操作装置の利用を制限することが可能なコントローラであって、前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、前記画像内に存在する人物の中から認証者として特定する認証者特定手段と、前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定手段と、前記認証者と前記操作者とが同一人物であるか否かを判定する判定手段と、前記操作者に対する前記被操作装置の利用制限レベルを制御する制御手段とを備え、前記制御手段は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とする。
【００１４】
また、請求項３の発明は、請求項２の発明に係るコントローラにおいて、前記認証者特定手段は、前記画像内に前記認証者が存在するか否かを検出し、前記制御手段は、前記操作者が前記認証者と同一人物でないと判定された場合において、前記画像内に前記認証者が存在するときには前記画像内に認証者が存在しないときに比べて、前記被操作装置に課す利用制限を緩和することを特徴とする。
【００１５】
また、請求項４の発明は、請求項２または請求項３の発明に係るコントローラにおいて、前記制御手段は、前記操作者が前記認証者と同一人物であると判定された場合において、前記画像内において前記操作者でもなく且つ前記認証者でもない第三者の存在が検知されたときには、前記第三者の存在が検知されないときに比べて厳しい利用制限を課すことを特徴とする。
【００１６】
また、請求項５の発明は、請求項４の発明に係るコントローラにおいて、前記制御手段は、前記操作者が前記認証者と同一人物であると判定された場合において、前記画像内において前記第三者の存在が検知されたときには、前記第三者の存在が検知されないときには発せられない警告を発することを特徴とする。
【００１７】
また、請求項６の発明は、被操作装置の利用制限レベルを制御するコントローラにおける制御方法であって、前記被操作装置の正規の利用者として認証され前記被操作装置の使用許可を与えられた人物を、撮像された画像内に存在する人物の中から認証者として特定する認証者特定工程と、前記画像内に存在する人物の中から前記被操作装置の操作者を特定する操作者特定工程と、前記認証者と前記操作者とが同一人物であるか否かを判定する判定工程と、前記操作者に対する前記被操作装置の利用制限レベルを制御する制御工程とを備え、前記制御工程は、前記画像内に存在する前記操作者が前記認証者と同一人物でないと判定される場合には、前記被操作装置の前記認証者に対する使用許可状態を継続したまま、前記操作者による操作を許可するとともに、前記操作者が前記認証者と同一人物であると判定される場合よりも厳しい利用制限を課すことを特徴とする。
【発明の効果】
【００１８】
請求項１から請求項６に記載の発明によれば、被操作装置の使用許可を受けた認証者と被操作装置の操作者とが同一人物であるか否かを判定し、操作者が認証者と同一人物でないと判定される場合には、認証者に対する被操作装置の使用許可状態を継続したまま、操作者による操作を許可するとともに、操作者が認証者と同一人物であると判定される場合よりも、厳しい利用制限を課すので、操作者が認証者と一致しない場合でも、セキュリティを確保しつつ、操作者は再使用許可を得ることなく被操作装置の使用を継続することが可能となる。
【００１９】
また特に、請求項３に記載の発明によれば、被操作装置の操作者が被操作装置の使用許可を受けた認証者と同一人物でないと判定された場合において、画像内に認証者が存在するときには、認証者が存在しないときに比べて、被操作装置に課す利用制限を緩和するので、機密情報を有効に保護した状態で、操作者は比較的広範な操作を行うことが可能となる。
【００２０】
また特に、請求項４に記載の発明によれば、被操作装置の操作者が被操作装置の使用許可を受けた認証者と同一人物であると判定された場合において、画像内に操作者でもなく且つ認証者でもない第三者の存在が検知されたときには、第三者の存在が検知されないときに比べて厳しい利用制限を課すので、機密情報が他人に知られることを未然に防止することが可能となる。
【００２１】
また特に、請求項５に記載の発明によれば、被操作装置の操作者が被操作装置の使用許可を受けた認証者と同一人物であると判定された場合において、画像内に第三者の存在が検知されたときには、第三者の存在が検知されないときには発せられない警告を発するので、機密性を損う可能性のある使用状況であることを認証者に知らせることが可能となる。
【発明を実施するための最良の形態】
【００２２】
以下、本発明の実施形態を図面に基づいて説明する。
【００２３】
＜構成＞
図１は、本発明の実施形態に係る認証システム１Ａの全体構成を示す概略図である。図１に示されるように認証システム１Ａは、情報機器（被操作装置）４０において撮像装置１０とコントローラ３０と個人認証装置２０と情報機器本体４０ａとを備えて構成されている。
【００２４】
認証システム１Ａは、撮像装置１０と個人認証装置２０とから得られる情報（使用（操作）状況）に応じて情報機器本体４０ａに所定の利用制限を課すコントローラ３０を有し、使用状況に応じた情報機器本体４０ａの動作、機能を操作者ＳＨ（図１１等参照）に提供する。
【００２５】
以下、認証システム１Ａが備える各装置について説明する。なお、本実施形態においては、情報機器４０として、例えばマルチ・ファンクション・ペリフェラル（以下、「ＭＦＰ」と略する）を用いた場合について例示する。
【００２６】
図２は、認証システム１Ａの外観図である。
【００２７】
図２に示されるように、撮像装置１０は、ＭＦＰ４０の周辺に存在する人物を２台のカメラＣＡ１,ＣＡ２によるステレオ視によって撮影できるように設置されている。また、撮像装置１０は、ＭＦＰ４０のログイン状態（後述）を検出すると撮影を開始し、ログイン状態の継続中は、所定間隔ごと（例えば、１／１５秒毎）に繰り返し撮影を行う。
【００２８】
個人認証装置２０は、ＭＦＰ４０の使用を開始しようとする所定の人物が誰であるかを識別する識別機能と、識別によって特定された人物と所定の人物とが同一人物であるか否かを照合する照合機能とを有し、ＭＦＰ４０の使用を開始しようとする所定の人物が、正規の利用者であるか否かを認証（判定）する。そして、個人認証装置２０は、所定の人物を正規の利用者であると認証すると、当該所定の人物にＭＦＰ４０の使用許可を与える。換言すれば、正規の利用者であると認証されると、ＭＦＰ４０はログイン状態（「使用許可状態」とも称する）となり、認証された人物は、当該人物に許可された範囲でＭＦＰ４０の使用をすることが可能となる。
【００２９】
識別方式としては、ユーザＩＤを入力する方式あるいはＩＤカードを用いた方式等があり、照合方式としては、ユーザパスワードを入力する方式等がある。また、生体認証を用いて、識別と照合とを同時に行ってもよい。本実施形態における個人認証装置２０では、人の指紋を用いた生体認証によって、ＭＦＰ４０の使用を開始しようとする人物が正規の利用者であるか否かを判定する。
【００３０】
コントローラ３０は、撮像装置１０によって撮影される画像と個人認証装置２０から得られる情報とに基づいて、所定の利用制限をＭＦＰ４０に与える。
【００３１】
具体的には、図３を用いて詳述する。図３は、認証システム１Ａ（４０）の機能を示すブロック図である。
【００３２】
図３に示されるように、コントローラ３０は、顔検出部３１と認証者顔特定部３２と操作者顔特定部３３と操作権限設定部３４とを備えている。
【００３３】
顔検出部３１は、撮像装置１０によって撮影された２枚の画像それぞれにおいて、人の顔を表す領域（「顔領域」または単に「顔」とも称する）を検出する機能を有している。
【００３４】
認証者顔特定部３２は、顔検出部３１によって検出された顔の中から個人認証装置２０で認証を受けたユーザの顔を選択し、当該顔を認証者ＮＨ（図１１等参照）の顔として特定する機能と、認証者ＮＨの顔を特定した後に、所定間隔毎に連続的に取得される画像において、当該認証者ＮＨの顔を追跡して特定する機能とを有している。また、撮影された画像内に認証者ＮＨの顔が存在するか否かを検出する機能も有している。
【００３５】
操作者顔特定部３３は、ＭＦＰ４０を実際に操作している人物の顔を操作者ＳＨの顔として特定する機能を有している。また、撮影された画像内に操作者ＳＨの顔が存在するか否かを検出する機能も有している。
【００３６】
操作権限設定部３４は、画像内に存在する操作者ＳＨの顔と認証者ＮＨの顔とが一致するか否か、および、撮影された画像内に操作者ＳＨでもなく認証者ＮＨでもない第三者が存在するか否か等を検知する機能を有している。そして、検知結果により特定されるＭＦＰ４０の使用状況に基づいて、ＭＦＰ４０に課す利用制限レベルを制御する機能を有している。
【００３７】
ＭＦＰ４０は、複写機（コピー）機能、スキャン機能、プリンタ機能、ファクシミリ通信（ＦＡＸ）機能および情報蓄積（ボックス）機能等を有する複合機である。また、ＭＦＰ４０は、画像を形成する機能等を有する画像形成装置であるとも表現される。
【００３８】
ここで、コピー機能は、原稿台上の原稿を複製して紙媒体に出力する機能である。スキャン機能は、原稿台上の原稿を画像データとして読み取り、生成された画像データを所定の記憶部または他の情報機器等に転送する機能である。例えば、生成された画像データは、所望のコンピュータに転送されて記憶される。ファクシミリ通信機能は、原稿台上の原稿を読み取って画像データを生成し、当該画像データをファクシミリ通信で送信先に送信する機能である。プリンタ機能は、他のコンピュータの記憶部内のデータあるいはＭＦＰ４０のハードディスク内のデータ等に基づくプリント出力を行う機能である。ボックス機能は、生成された画像データ等をＭＦＰ４０のハードディスク内に蓄積しておく機能である。
【００３９】
ＭＦＰ４０においては、これらの複数の機能のうちの一部または全部についてユーザごとに使用を制限してもよい。例えば、あるユーザについては、当該ユーザのログイン状態においてＭＦＰ４０の全ての機能を使用可能とし、一方のユーザについては、そのログイン状態においてコピー機能、プリンタ機能、ＦＡＸ機能を使用可能とすることができる。
【００４０】
また、ＭＦＰ４０は、図２に示すように、ユーザに対する指示メニュー、取得した画像に関する情報の表示およびユーザからの指示操作の受け付け等を行うディスプレイ（以下、「操作パネル」とも称する）１２を備える。ディスプレイ１２は、接触式センサ等を内蔵した液晶式パネルとして構成されており、ディスプレイ１２内において操作者ＳＨの指などが触れた位置を検出することが可能になっている。したがって、操作者ＳＨは、ディスプレイ１２内に表示された各種の仮想的なボタン等を、指などを用いて押下することによって、各種の指示を入力することができる。
【００４１】
また、ＭＦＰ４０は、ネットワークＮＷに接続されており、このネットワークＮＷを介して他の情報機器（例えばコンピュータ）と各種のデータを送受信することが可能である。なお、「ネットワーク」とは、データ通信を行う通信回線網であり、具体的には、ＬＡＮ、ＷＡＮ、インターネットなどの、電気通信回線（光通信回線を含む）により構成される各種の通信回線網である。ネットワークに対する接続形態は、専用回線などを利用した常時接続であってもよいし、アナログ回線あるいはデジタル回線（ＩＳＤＮ）などの公衆電話回線を利用したダイアルアップ接続などの一時的な接続のいずれであってもよい。また、その伝送方式は、無線方式および有線方式のいずれであってもよい。
【００４２】
＜動作＞
以下では、認証システム１Ａの動作について説明する。
【００４３】
図４は、認証システム１Ａの全体動作を示すフローチャートである。図５は、撮像装置１０で撮影された画像を示す図であり、図６は、撮影された画像の中から検出された顔を示す図である。図７は、検出された各顔と個人認証装置２０との距離の算出について説明するための図である。図８は、検出された各顔と操作パネル１２との距離の算出について説明するための図である。図９は、撮影された画像に認証者ＮＨのみが存在する状況を示す図であり、図１０は、撮影された画像に認証者ＮＨ（ここでは操作者ＳＨでもある）とそれ以外の人物ＴＨが存在する状況を示す図である。図１１は、撮影された画像に操作者ＳＨと認証者ＮＨとが存在する状況を示す図であり、図１２は、撮影された画像に認証者ＮＨではない操作者ＳＨのみが存在する状況を示す図である。
【００４４】
図４に示されるように、認証システム１Ａは、個人認証装置２０においてＭＦＰ４０の使用を開始しようとする人物が正規の利用者であると認証され、ＭＦＰ４０がログイン状態となった場合（ステップＳＰ１）において以下のような動作を実行する。
【００４５】
まず、ステップＳＰ２では、撮像装置１０によってＭＦＰ４０の周辺に存在する人物が撮影される。撮影は、２台のカメラＣＡ１，ＣＡ２を用いたステレオ視によって行われ、２枚の画像が取得される。
【００４６】
ステップＳＰ３では、ステップＳＰ２で撮影された２枚の画像それぞれにおいて、画像の中から人の顔（顔領域）が検出される。顔領域検出手法としては、様々な手法を採用することが可能であるが、本実施形態では、予め用意された複数の顔画像を用いたパターンマッチングにより、顔領域を検出する。
【００４７】
例えば、ステップＳＰ２においてカメラＣＡ１によって図５に示されるような被写体として２人の人物Ｈ１，Ｈ２が存在する画像が撮影されたとする。この場合、ステップＳＰ３の顔検出工程によって、２人の人物Ｈ１，Ｈ２の顔（顔領域）ＨＫ１，ＨＫ２がそれぞれ検出される（図６参照）。
【００４８】
また、ステップＳＰ３では、ステレオ視により撮影された２枚の画像に基づいて、検出された各顔の３次元座標（３次元位置）が算出される。なお、３次元空間の原点Ｏは適宜の位置に設定すればよく、例えば、カメラＣＡ１の設置位置とカメラＣＡ２の設置位置とを結んだ直線の中点（図２参照）に設定すればよい。また、顔の３次元座標としては、検出された顔領域の重心における座標を用いればよい。
【００４９】
次のステップＳＰ４では、ステップＳＰ３において人の顔が検出されたか否かが判定される。顔が検出されたと判定されると、ステップＳＰ５に移行する。
【００５０】
ステップＳＰ５では、検出された顔の中から認証者ＮＨの顔が決定される。具体的には、個人認証装置２０で正規の利用者であると認証され、ＭＦＰ４０の使用許可を与えられたユーザの顔が、検出された顔の中から認証者ＮＨの顔として選択（決定）される。
【００５１】
認証者ＮＨの顔を決定する手法としては、例えば、ログイン時点（若しくはログイン直後）において個人認証装置２０に最も近い位置に存在する顔をＮＨの顔とする手法を採用することができる。詳細には、ステップＳＰ３で算出された各顔の３次元座標（３次元位置）に基づいて、個人認証装置２０から各顔までの距離をそれぞれ求める。そして、当該各距離を比較することによって、個人認証装置２０に最も近い顔を特定することができる。
【００５２】
例えば、ステップＳＰ３において検出された顔ＨＫ１の重心ＰＫ１，顔ＨＫ２の重心ＰＫ２の３次元空間における座標がそれぞれＰＫ１（１０．０，６０．０，８０．０）、ＰＫ２（５０．０，５０．０，１３０．０）であり（図７（ａ）参照）、個人認証装置２０の位置が当該３次元空間において（１０．０，−１．０，１０．０）であったとする（図７（ｂ）参照）。この場合、個人認証装置２０から各重心ＰＫ１，ＰＫ２までの距離は、それぞれ９２．８、１３６．３となる（図７（ｃ）参照）。したがって、この場合、顔ＨＫ１が個人認証装置２０に最も近い顔と選択され、当該顔ＨＫ１は認証者ＮＨの顔ＮＫであると決定される。
【００５３】
ステップＳＰ６では、ステップＳＰ３において検出された顔の中から操作者ＳＨの顔が決定される。具体的には、ＭＦＰ４０を実際に操作している人物の顔が、検出された顔の中から操作者ＳＨの顔として選択される。
【００５４】
操作者ＳＨの顔を決定する手法としては、例えば、操作パネルに最も近い位置に存在する顔を操作者ＳＨの顔とする手法を採用することができる。
【００５５】
例えば、ステップＳＰ３において検出された顔ＨＫ１の重心ＰＫ１，顔ＨＫ２の重心ＰＫ２の３次元空間における座標がそれぞれＰＫ１（１０．０，６０．０，８０．０）、ＰＫ２（５０．０，５０．０，１３０．０）であり（図８（ａ）参照）、操作パネル１２の位置が当該３次元空間において（０．０，−１．０，０．０）であったとする（図８（ｂ）参照）。この場合、操作パネル１２から各重心ＰＫ１，ＰＫ２までの距離は、それぞれ９３．３、１３９．６となる（図８（ｃ）参照）。したがって、この場合、顔ＨＫ１が操作パネル１２に最も近い顔と選択され、当該顔ＨＫ１は操作者ＳＨの顔ＳＫであると決定される。
【００５６】
次に、ステップＳＰ７では、ステップＳＰ５で決定された認証者ＮＨの顔とステップＳＰ６で決定された操作者ＳＨの顔とが一致するか否かが判定される。
【００５７】
ステップＳＰ７において、認証者ＮＨの顔と操作者ＳＨの顔とが一致すると判定されると、ステップＳＰ８に移行する。
【００５８】
ステップＳＰ８では、ステップＳＰ３において検出された顔に、認証者（この工程では、操作者と同一人物）以外の人物の顔があるか否かを判定する。具体的には、図９に示されるように撮影された画像において認証者ＮＨ以外の他人の顔が存在しなければ、ステップＳＰ９に移行し、図１０に示されるように認証者以外の他人ＴＨの顔ＴＫが存在する場合には、ステップＳＰ１０に移行する。
【００５９】
ステップＳＰ９およびステップＳＰ１０では、ＭＦＰ４０の使用にあたり当該操作者ＳＨに許可する操作権限に関する信号をＭＦＰ４０に出力する。
【００６０】
具体的には、ステップＳＰ１０に移行した場合には、当該操作者ＳＨに対して所定の利用制限ＲＡを行う旨の信号をＭＦＰ４０に出力する。なお、利用制限ＲＡについては後述する。
【００６１】
また、ステップＳＰ９に移行した場合には、当該操作者ＳＨに対して利用制限しない旨（認証者ＮＨに与えられた権限に対してさらに制限を加えることはないの意）の信号をＭＦＰ４０に出力する。或いは、この場合、利用制限を行う旨の信号を何ら出力しないようにしてもよい。
【００６２】
一方、ステップＳＰ７において、認証者ＮＨの顔と操作者ＳＨの顔とが一致しないと判定されると、ステップＳＰ１１に移行する。
【００６３】
ステップＳＰ１１では、ステップＳＰ３において検出された顔の中に、認証者ＮＨの顔ＮＫが存在するか否かを判定する。図１１に示されるように認証者ＮＨの顔ＮＫが存在する場合にはステップＳＰ１２に移行し、図１２に示されるように認証者ＮＨの顔ＮＫが存在しない場合にはステップＳＰ１３に移行する。
【００６４】
ステップＳＰ１２およびステップＳＰ１３では、当該操作者ＳＨのＭＦＰ４０の操作権限に関する信号をＭＦＰ４０に出力する。具体的には、ステップＳＰ１２に移行した場合には、当該操作者ＳＨに対して所定の利用制限ＲＢを行う旨の信号をＭＦＰ４０に出力し、ステップＳＰ１３に移行した場合には、当該操作者ＳＨに対して所定の利用制限ＲＣを行う旨の信号を出力する。なお、利用制限ＲＢ、ＲＣについてはそれぞれ後述する。
【００６５】
操作権限に関する信号の出力（ステップＳＰ９，ＳＰ１０，ＳＰ１２，ＳＰ１３）が終了すると、所定時間経過後に再び撮影された新たな画像について、再びステップＳＰ２からステップＳＰ１３の動作が実行される。
【００６６】
再び撮影された新たな画像に対しては、原則として、上述の各工程と同様の動作を実行するが、認証者ＮＨの顔ＮＫを一旦決定した後のステップＳＰ５においては異なる動作を実行する。
【００６７】
具体的には、前回撮影された画像において認証者ＮＨとして決定された顔を追跡することによって、新たに撮影された画像中に存在する顔の中から認証者ＮＨの顔を選択（決定）する。
【００６８】
顔の追跡手法としては、例えば、撮像装置１０によって所定間隔毎に連続的に撮影される各画像間においては、時間的相関性が非常に高いと考えられることから、前回撮影された画像中の認証者ＮＨの顔の位置と新たに撮影された画像中の各顔の位置との差をそれぞれ計算し、新たな画像において最も位置差の小さい顔を認証者ＮＨの顔として決定する手法を用いることができる。或いは、特開２０００−３６０５２に記載される手法等を用いてもよい。
【００６９】
また、連続的に撮影される画像から顔が検出されなくなった場合（ステップＳＰ４）には、ＭＦＰ４０に対してログアウト（ログオフ）処理を実行する旨の信号を出力する（ステップＳＰ１４）。すなわち、画像内に操作者ＳＨが存在しなくなった場合には、ログアウト処理が実行される。
【００７０】
＜利用制限について＞
次に、使用状況に基づいてＭＦＰ４０に課される利用制限について詳述する。なお、以下の説明においては、認証者ＮＨはログイン状態において、ＭＦＰ４０のボックス機能、コピー機能およびスキャン機能が使用可能であるものとする。また、以下で説明する各利用制限ＲＡ、ＲＢ、ＲＣは、あくまで例示でありこれに限定されるものではない。
【００７１】
図１３は、各使用状況における操作者ＳＨの操作権限を示した図であり、図１４は、各利用制限における機能制限例を示す図である。図１５は、ディスプレイ１２に表示される初期メニュー画面ＩＧを示す図である。図１６は、ボックス機能選択時のディスプレイ１２の表示例を示す図であり、図１７は、警告表示ＪＢの表示例を示す図である。図１８は、ボックス機能を選択した際のディスプレイ１２の表示例であり、図１９は、所定の利用制限がある場合にボックス機能を選択した際のディスプレイ１２の表示例である。図２０は、履歴機能選択時のディスプレイ１２の表示例であり、図２１は、顔画像ＪＤの表示例を示す図である。図２２は、スキャン機能選択時のアドレスリストＪＥの表示例であり、図２３は、所定の利用制限がある場合のアドレスリストＪＥの表示例である。
【００７２】
図１３に示されるように、ＭＦＰ４０の使用状況に応じて所定の利用制限がＭＦＰ４０に課せられる。
【００７３】
具体的には、撮影された画像から顔が検出されない状況ＣＳ５においては、ＭＦＰ４０のログアウト処理が実行される。
【００７４】
一方、撮影された画像から顔が検出される場合には、さらに細分化された４つの使用状況ＣＳ１〜ＣＳ４に応じて適切な利用制限がＭＦＰ４０に課せられる。
【００７５】
詳細には、撮影された画像から顔が検出された場合に、認証者ＮＨの顔と操作者ＳＨの顔とが一致する使用状況ＣＳ１（図９），ＣＳ２（図１０）においては、認証者ＮＨ自身がＭＦＰ４０を操作していると考えられるので、原則として、認証者ＮＨに許可された範囲で、ＭＦＰ４０の使用を可能とする。これとは逆に、認証者ＮＨの顔と操作者ＳＨの顔とが一致しない使用状況ＣＳ３（図１１），ＣＳ４（図１２）においては、認証者ＮＨ以外の人物がＭＦＰ４０を操作していると考えられるので、認証者ＮＨの特に機密性の高い情報を開示しないような利用制限ＲＢ，ＲＣをＭＦＰ４０に課すようにする。
【００７６】
例えば、図１４に示されるようにＭＦＰ４０の機密ファイルの表示機能は、使用状況ＣＳ１，ＣＳ２においては使用可能とし、使用状況ＣＳ３，ＣＳ４のときには使用不可能となるようにＭＦＰ４０の機能を制限する。このように、使用状況ＣＳ３，ＣＳ４のときには、ＭＦＰ４０の一部機能の利用を拒否することによって、ＭＦＰ４０に対する利用制限が課される。
【００７７】
またさらに、認証者ＮＨの顔と操作者ＳＨの顔とが一致する場合に、撮影された画像から検出された顔に認証者ＮＨ以外の顔が存在する使用状況ＣＳ２（図１０）においては、認証者ＮＨの機密性の高い情報を開示する際に警告を行う等の利用制限ＲＡがＭＦＰ４０に課せられる。利用制限ＲＡは、機密情報の開示に至るまでの一連の動作を制限することによって、機密性を損う可能性のある使用状況であることを認証者に知らせるものである。通常の動作（上記フルアクセス許可時の動作）に加えて新たな動作である確認動作を行うことは、通常の動作のみによる良好な操作性を阻害するものであるため、通常の利用態様に対する一種の利用制限であるとも表現できる。
【００７８】
またさらに、認証者ＮＨの顔と操作者ＳＨの顔とが一致しない場合に、撮影された画像から検出された顔に認証者ＮＨの顔が存在する使用状況ＣＳ３（図１１）においては、画像内に認証者ＮＨが存在しない使用状況ＣＳ４（図１２）に比べて、ＭＦＰ４０に課される利用制限は緩和される。
【００７９】
例えば、図１４に示されるように使用状況ＣＳ４においては、コピー機能の一部とスキャン機能の一部とを使用可能とし、他の機能の使用を全て制限するが、使用状況ＣＳ３においては認証者監視の下に操作が行われていると考えられるので、機密ファイルの表示機能以外の他の機能の使用を可能とする。
【００８０】
このように、セキュリティ確保の必要性を使用状況ごとに判断し、セキュリティ確保の必要性が高い使用状況においては、より厳しい利用制限をＭＦＰ４０に課すように制御される。本実施形態では、使用状況ＣＳ１→ＣＳ２→ＣＳ３→ＣＳ４という順に使用状況に応じてセキュリティ確保の必要性が高まるにつれて、ＭＦＰ４０に課す利用制限を利用制限なし（フルアクセス）→利用制限ＲＡ→利用制限ＲＢ→利用制限ＲＣという順に厳しくしている。
【００８１】
以下では、各利用制限について詳述する。
【００８２】
◎フルアクセス（ステップＳＰ９）：
認証者ＮＨの顔と操作者ＳＨの顔とが一致すると判定され、かつ、撮影された画像から検出された顔に認証者ＮＨ以外の顔が存在しない場合ＣＳ１（図９参照）には、当該操作者ＳＨ（この場合、認証者ＮＨでもある）に対して利用制限を行わない旨の信号をＭＦＰ４０に出力する（ステップＳＰ９）。これにより、ＭＦＰ４０は利用制限を行わず、ＭＦＰ４０の操作者ＳＨは、自己に許可された範囲で何ら制限されることなくＭＦＰ４０の使用が可能となる。
【００８３】
すなわち、フルアクセス可能なときには、操作者ＳＨは、図１５に示されるような初期メニュー画面ＩＧから画面左端の各機能ボタンＫＢを押下することにより、ＭＦＰ４０の各種機能を使用することが可能となる。
【００８４】
◎利用制限ＲＡ（ステップＳＰ１０）：
認証者ＮＨの顔と操作者ＳＨの顔とが一致すると判定され、かつ、撮影された画像から検出された顔に認証者以外の人物ＴＨの顔ＴＫが存在する場合ＣＳ２（図１０参照）には、コントローラ３０は当該操作者ＳＨ（この場合、認証者ＮＨでもある）に対して所定の利用制限ＲＡを行う旨の信号をＭＦＰ４０に出力する（ステップＳＰ１０）。そして、ＭＦＰ４０は利用制限ＲＡに応じた動作を実行する。
【００８５】
利用制限ＲＡとしては、例えば、ＭＦＰ４０に蓄積された機密情報を含む自己のファイル（機密ファイル）を表示する際に警告表示（確認表示）を行うことが挙げられる。このような警告表示（確認表示）を行うことは、通常の操作以外の操作を必要とするため、一種の利用制限に相当する。
【００８６】
より詳細には、初期メニュー画面ＩＧにおいてボックス選択ボタンＢ３の押下により、図１６に示されるようなボックス一覧ＪＡ１が表示された状態において、機密ファイルＥの項目ＷＹ１を選択して内容表示ボタンＢＮ１を押下した際に、「機密ファイルを表示してもよいか否か」の警告表示ＪＢを行う（図１７参照）。
【００８７】
このように、機密ファイルの情報を表示する際に警告動作（確認動作）を実行することによって、操作者ＳＨ（ここでは認証者ＮＨ）以外の人物が操作者ＳＨの近くに存在することを当該操作者ＳＨに知らせることが可能となり、例えば盗み見等から機密情報を有効に保護することが可能となる。
【００８８】
◎利用制限ＲＢ（ステップＳＰ１１）：
認証者ＮＨの顔と操作者ＳＨの顔とが一致しないと判定され、かつ、撮影された画像から検出された顔に認証者ＮＨの顔ＮＫが存在する場合ＣＳ３（図１１参照）には、コントローラ３０は当該操作者ＳＨに対して所定の利用制限ＲＢを行う旨の信号をＭＦＰ４０に出力する（ステップＳＰ１２）。そして、ＭＦＰ４０は利用制限ＲＢに応じた動作を実行する。
【００８９】
利用制限ＲＢとしては、例えば、操作者ＳＨが初期メニュー画面ＩＧにおいてボックス選択ボタンＢ３を押下することにより表示されるボックス一覧において、機密ファイルを表示しないようにすることが挙げられる。
【００９０】
より詳細には、ボックス選択ボタンＢ３が押下されると、認証者ＮＨの顔と操作者ＳＨの顔とが一致する場合（利用制限なし或いは利用制限ＲＡ）には、図１８に示されるような機密ファイルも含まれる状態で当該認証者ＮＨのファイルをボックス一覧ＪＡ１に表示するのに対して、利用制限ＲＢでは、図１９に示されるように機密ファイルを除いた状態で当該認証者ＮＨのファイルをボックス一覧ＪＡ２に表示する。
【００９１】
◎利用制限ＲＣ（ステップＳＰ１３）：
認証者ＮＨの顔と操作者ＳＨの顔とが一致しないと判定され、かつ、撮影された画像から検出された顔に認証者ＮＨの顔ＮＫが存在しない場合ＣＳ４（図１２参照）には、コントローラ３０は当該操作者ＳＨに対して所定の利用制限ＲＣを行う旨の信号をＭＦＰ４０に出力する（ステップＳＰ１２）。そして、ＭＦＰ４０は利用制限ＲＣに応じた動作を実行する。
【００９２】
利用制限ＲＣとしては、例えば、操作者ＳＨが使用可能な機能をコピー機能とスキャン機能のみに限定し、さらに、コピー機能、スキャン機能の使用に際して、それぞれ以下の様なセキュリティ機能を付加することが挙げられる。
【００９３】
コピー機能においては、認証者ＮＨが存在しないときにコピー機能を使用した操作者ＳＨに対して、その操作者ＳＨの顔画像を使用履歴とともに保存するようにして、認証者ＮＨが後に再ログインしたときに確認できるようにする。
【００９４】
詳細には、再ログインしたときの初期メニュー画面ＩＧにおいて、認証者ＮＨが履歴表示ボタンＢ５を押下すると図２０に示されるような履歴表示ＪＣが表示される。この履歴表示ＪＣにおいて、認証者ＮＨが存在しないときの操作者（代理操作者）によるコピー機能の使用であることを記録する。例えば、図２０に示されるように代理操作者の使用であることは、代理表示欄ＷＴ１に所定の記号（ここでは、「○」）を付すことによって表すことができる。
【００９５】
またさらに、代理操作者による使用履歴項目ＷＹ２を選択して、画像表示ボタンＢＮ２を押下すると、図２０に示されるように当該代理操作者の顔画像ＪＤが表示される。
【００９６】
また、スキャン機能においては、代理操作者による使用の場合には、読み取った画像データ等を他の情報機器に送信する際に用いるメールアドレスリストを表示しないようにする。
【００９７】
詳細には、送信メールの宛先決定の際に表示するメールアドレスリストＪＥに、利用制限しない場合（フルアクセス時）には、図２２に示されるように予め認証者ＮＨによって登録されたアドレスを表示するが、利用制限ＲＣでは、図２３に示されるように何も表示しない。
【００９８】
以上のように、ＭＦＰ４０の使用許可を受けた認証者ＮＨとＭＦＰ４０の操作者ＳＨとが同一人物であるか否かを判定し、操作者ＳＨが認証者ＮＨと同一人物でないと判定される場合には、使用許可を受けた認証者ＮＨによるＭＦＰ４０の使用許可状態を継続したまま、操作者による操作を許可するとともに、ＭＦＰ４０に所定の利用制限を課すので、操作者ＳＨが認証者ＮＨと一致しない場合でも、認証者ＮＨの機密情報を有効に保護しセキュリティを確保した状態で、操作者ＳＨは再使用許可を得ることなくＭＦＰ４０の使用を継続することが可能となる。
【００９９】
またさらに、操作者ＳＨが認証者ＮＨと同一人物でないと判定される場合であっても、撮影された画像内に認証者ＮＨが存在する（近くに認証者ＮＨが存在する）ときには、認証者ＮＨが存在しないときに比べて、ＭＦＰ４０の利用制限を緩和するので、機密情報を有効に保護した状態で、操作者ＳＨは比較的広範な範囲でＭＦＰ４０の操作を行うことが可能となる。これによれば、認証者ＮＨの監視の下、ＭＦＰ４０の操作方法等を操作者ＳＨに教える場合などに特に有効となる。
【０１００】
またさらに、認証者ＮＨが存在しなくなっても、コピー機能又はスキャン機能等の使用頻度の高い限定的な操作を許可することにより、必要なセキュリティを確保しつつ、使用者の利便性を向上させることが可能となる。
【０１０１】
またさらに、操作者ＳＨが認証者ＮＨと同一人物であると判定される場合において、撮影された画像から操作者ＳＨでもなく且つ認証者ＮＨでもない第三者の存在が検知されたときには、第三者の存在が検知されないときに比べて厳しい利用制限を課すので、機密情報が他人に知られることを未然に防止することが可能となる。
【０１０２】
またさらに、操作者ＳＨが認証者ＮＨと同一人物であると判定される場合において、撮影された画像から第三者の存在が検知されたときには、第三者の存在が検知されないときには発せられない警告を発するので、機密性を損う可能性のある使用状況であることを認証者ＮＨに知らせることが可能となる。
【０１０３】
＜変形例＞
以上、この発明の実施の形態について説明したが、この発明は、上記に説明した内容に限定されるものではない。
【０１０４】
例えば、上記実施形態のステップＳＰ４では、ステップＳＰ３において顔が検出されたか否かを判定することによって、撮影された画像内に顔が存在するか否かを判断していたが、これに限定されない。具体的には、ＭＦＰ４０から検出された各顔までの距離をそれぞれ算出し、所定の距離内（例えば２メートル）に存在する顔のみを画像内に存在する有効な顔と判断するようにしてもよい。これによれば、操作に影響を及ぼす可能性のある顔のみを特定できるので、ＭＦＰ４０の使用状況を適切に把握することが可能となる。
【０１０５】
また、機密性を要求される所定の操作を実行している場合に、使用状況の変更（例えば、割り込みなどによる操作者ＳＨの変更）によって当該所定の操作を制限する必要が生じたときには、ＭＦＰ４０をログイン直後の初期状態に戻すようにしてもよく、或いは、変更後の使用状況において操作者ＳＨに許可された範囲内にＭＦＰ４０の操作状態を切り替えてもよい。
【０１０６】
具体的には、認証者ＮＨが機密ファイルの表示操作を実行している際に、操作者ＳＨが認証者以外の人物に変更したときには、セキュリティ確保のため機密ファイルの表示を即座に中止する必要が生じる。このような場合には、認証者ＮＨによって行われていたＭＦＰ４０の操作をリセットしてログイン直後の初期状態に戻すようにすればよい。
【０１０７】
また、例えば、図１７に示すような操作状態において操作者ＳＨが認証者ＮＨ以外の人物に変更した場合において、認証者が近くに存在するときには、図１７の操作状態を図１８の操作状態に切り替えてもよい。すなわち、使用状況Ｃ２から使用状況Ｃ３に移行したときには、利用制限ＲＡから利用制限ＲＢへと瞬時に切り替えるようにしてもよい（図１３参照）。
【図面の簡単な説明】
【０１０８】
【図１】本発明の実施形態に係る認証システム１Ａの全体構成を示す概略図である。
【図２】認証システム１Ａの外観図である。
【図３】認証システム１Ａ（４０）の機能を示すブロック図である。
【図４】認証システム１Ａの全体動作を示すフローチャートである。
【図５】撮像装置１０で撮影された画像を示す図である。
【図６】撮影された画像の中から検出された顔を示す図である。
【図７】検出された各顔と個人認証装置２０との距離を算出するための図である。
【図８】検出された各顔と操作パネル１２との距離を算出するための図である。
【図９】撮影された画像に認証者ＮＨのみが存在する状況を示す図である。
【図１０】撮影された画像に認証者ＮＨとそれ以外の人物ＴＨが存在する状況を示す図である。
【図１１】撮影された画像に操作者ＳＨと認証者ＮＨとが存在する状況を示す図である。
【図１２】撮影された画像に認証者ＮＨではない操作者ＳＨのみが存在する状況を示す図である。
【図１３】各使用状況における操作者ＳＨの操作権限を示す図である。
【図１４】各利用制限における機能制限例を示す図である。
【図１５】ディスプレイ１２に表示される初期メニュー画面ＩＧを示す図である。
【図１６】ボックス機能選択時のディスプレイ１２の表示例を示す図である。
【図１７】警告表示ＪＢの表示例を示す図である。
【図１８】ボックス機能を選択した際のディスプレイ１２の表示例を示す図である。
【図１９】所定の利用制限がある場合にボックス機能を選択した際のディスプレイ１２の表示例を示す図である。
【図２０】履歴機能選択時のディスプレイ１２の表示例を示す図である。
【図２１】顔画像ＪＤの表示例を示す図である。
【図２２】スキャン機能選択時のアドレスリストＪＥの表示例を示す図である。
【図２３】所定の利用制限がある場合のアドレスリストＪＥの表示例を示す図である。
【符号の説明】
【０１０９】
１０    撮像装置
１２    ディスプレイ（操作パネル）
２０    個人認証装置
４０ａ  ＭＦＰ
ＣＡ１、ＣＡ２  カメラ
ＮＨ  認証者
ＳＨ  操作者
【図１】
2007249466.tif 000003
【図２】
2007249466.tif 000004
【図３】
2007249466.tif 000005
【図４】
2007249466.tif 000006
【図５】
2007249466.tif 000007
【図６】
2007249466.tif 000008
【図７】
2007249466.tif 000009
【図８】
2007249466.tif 000010
【図９】
2007249466.tif 000011
【図１０】
2007249466.tif 000012
【図１１】
2007249466.tif 000013
【図１２】
2007249466.tif 000014
【図１３】
2007249466.tif 000015
【図１４】
2007249466.tif 000016
【図１５】
2007249466.tif 000017
【図１６】
2007249466.tif 000018
【図１７】
2007249466.tif 000019
【図１８】
2007249466.tif 000020
【図１９】
2007249466.tif 000021
【図２０】
2007249466.tif 000022
【図２１】
2007249466.tif 000023
【図２２】
2007249466.tif 000024
【図２３】
2007249466.tif 000025