JP7342079B2 - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法及び情報処理プログラムに関する。

ユーザの行動履歴（ロケーション履歴）に関する情報に基づいてユーザの本人性が検証された場合に、当該ユーザが有していたアカウントのリカバリ（recovery：復旧、復帰、回復、修復、復元）を実行する技術が開示されている。

特開２０１８－１８１０７４号公報

しかしながら、上記の従来技術では、ユーザの行動履歴としてユーザの位置情報をサーバ側に送信しなければならないが、プライバシーやセキュリティの観点から、位置情報のような繊細な情報をサーバ側に送信したくないと考えるユーザも多い。また、単純な位置情報の一致を見る判定を行うと乗っ取りのリスクがある。例えば、在宅勤務等でユーザがずっと家にいる場合、家の近くに行くだけで位置情報が一致して乗っ取られてしまう可能性がある。また、ユーザが日常的に一定の行動パターン（移動パターン）を取っている場合、行動パターンを把握されると同じ位置情報が取得され乗っ取られてしまう可能性がある。

本願は、上記に鑑みてなされたものであって、端末側で普段の行動のログの検証と特異なログに対する質問とを組み合わせて本人確認を行うことを目的とする。

本願に係る情報処理装置は、ユーザのアカウントのリカバリ時の認証用データを外部に送信して保存する送信部と、前記ユーザのアカウントのリカバリ時に外部に保存している前記認証用データを要求して取得する要求部と、前記ユーザのアカウントのリカバリ時に、前記認証用データに基づいて、前記ユーザの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う認証部と、を備えることを特徴とする。

実施形態の一態様によれば、端末側で普段の行動のログの検証と特異なログに対する質問とを組み合わせて本人確認を行うことができる。

図１は、実施形態に係る情報処理方法の第１の概要を示す説明図である。 図２は、実施形態に係る情報処理方法の第２の概要を示す説明図である。 図３は、実施形態に係る情報処理システムの構成例を示す図である。 図４は、実施形態に係る端末装置の構成例を示す図である。 図５は、実施形態に係る認証サーバの構成例を示す図である。 図６は、実施形態に係るリカバリサーバの構成例を示す図である。 図７は、利用者情報データベースの一例を示す図である。 図８は、履歴情報データベースの一例を示す図である。 図９は、リカバリ情報データベースの一例を示す図である。 図１０は、実施形態に係る処理手順を示すフローチャートである。 図１１は、ハードウェア構成の一例を示す図である。

以下に、本願に係る情報処理装置、情報処理方法及び情報処理プログラムを実施するための形態（以下、「実施形態」と記載する）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る情報処理装置、情報処理方法及び情報処理プログラムが限定されるものではない。また、以下の実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

〔１．情報処理方法の概要〕
まず、図１及び図２を参照し、実施形態に係る情報処理装置が行う情報処理方法の概要について説明する。図１は、実施形態に係る情報処理方法の第１の概要を示す説明図である。図２は、実施形態に係る情報処理方法の第２の概要を示す説明図である。なお、図１及び図２では、端末側で普段の行動のログの検証と特異なログに対する質問とを組み合わせて本人確認を行う場合を例に挙げて説明する。

図１及び図２に示すように、情報処理システム１は、端末装置１０とウェアラブルデバイス５０と認証サーバ１００とリカバリサーバ２００とを含む。端末装置１０と認証サーバ１００及びリカバリサーバ２００とは、ネットワークＮ（図３参照）を介して有線又は無線で互いに通信可能に接続される。

端末装置１０は、利用者Ｕ（ユーザ）により使用されるスマートフォンやタブレット等のスマートデバイスであり、４Ｇ（Generation）やＬＴＥ（Long Term Evolution）等の無線通信網を介して任意のサーバ装置と通信を行うことができる携帯端末装置である。また、端末装置１０は、液晶ディスプレイ等の画面であって、タッチパネルの機能を有する画面を有し、利用者Ｕから指やスタイラス等によりタップ操作、スライド操作、スクロール操作等、コンテンツ等の表示データに対する各種の操作を受付ける。なお、画面のうち、コンテンツが表示されている領域上で行われた操作を、コンテンツに対する操作としてもよい。また、端末装置１０は、スマートデバイスのみならず、デスクトップＰＣ（Personal Computer）やノートＰＣ等の情報処理装置であってもよい。

ウェアラブルデバイス５０は、衣服のように身につけて使う情報処理装置であり、腕時計型のスマートウォッチや、眼鏡型のスマートグラス等がある。

認証サーバ１００及びリカバリサーバ２００は、本実施形態に係る認証及びリカバリに関するサービスを提供する情報処理装置であり、サーバ装置やクラウドシステム等により実現される。

認証サーバ１００は、各利用者Ｕの端末装置１０に対する認証を行う。例えば、認証サーバ１００は、ＲＡＤＩＵＳサーバ及び／又はＲＡＤＩＵＳクライアントであってもよい。ＲＡＤＩＵＳサーバ及び／又はＲＡＤＩＵＳクライアントは、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）という認証プロトコルを使って、認証サービスを提供する。また、認証サーバ１００は、ＦＩＤＯ認証機能とパスワード認証機能のいずれか又は両方の機能を持つ認証サーバであってもよい。

リカバリサーバ２００は、各利用者Ｕの端末装置１０から、各利用者Ｕのアカウントのリカバリ（recovery：復旧、復帰、回復、修復、復元）に用いられるリカバリ時の認証用データを取得して保存する。なお、アカウントのリカバリは、障害復旧の場合に限らず、機種変更の場合にも行われる。また、リカバリサーバ２００は、リカバリ時の認証用データとともに、各利用者Ｕの端末装置１０に保存されているデータを取得してバックアップデータとして保存してもよい。例えば、リカバリサーバ２００は、携帯端末用のＯＳ（Operating System）を開発・提供する事業者や通信回線事業者（キャリア）が運営するサーバ装置等である。

本実施形態では、位置情報のような繊細な情報をサーバ側に送信せずに、ＦＩＤＯ（Fast Identity Online）のプロトコルを利用し、位置情報をローカル（端末側）で検証する。本実施形態に係る端末装置１０は、ＦＩＤＯ認証機能を有する。ＦＩＤＯ認証では、ユーザの本人性が、スマートフォン等のクライアントデバイスに内蔵または外付けされた認証器（Authenticator）によって検証される。本実施形態では、利用者Ｕの本人性が、利用者Ｕの端末装置１０に内蔵または外付けされた認証器によって検証される。本実施形態では、端末装置１０は、認証器３４と、アプリケーション３５とを有する。

認証器３４は、利用者Ｕの端末装置１０に内蔵または外付けされた認証器であり、利用者Ｕの本人性を検証する。例えば、認証器３４は、スマートフォンの生体認証機能であってもよいし、アプリ（アプリケーション）あるいはブラウザ等のソフトウェアや特定ハードウェア領域を含む形式で、利用者Ｕの端末装置１０の内部に実装されていてもよい。また、認証器３４は、ＵＳＢ（Universal Serial Bus）キー等の外部認証器であってもよいし、有線通信又は近距離無線通信により利用者Ｕの端末装置１０と通信可能な端末装置１０と物理的に異なる認証器であってもよい。

アプリケーション３５は、端末装置１０に導入（インストール）され、利用者Ｕのアカウントのリカバリを実行する際に用いられるアプリケーションソフトウェア（Application Software）である。

〔１－１．普通の利用フェーズ〕
図１及び図２に示すように、端末装置１０の認証器３４は、端末装置１０の位置情報を取得する（ステップＳ１）。例えば、認証器３４は、端末装置１０のＧＰＳ（Global Positioning System）機能等により端末装置１０の位置情報を取得してもよいし、ネットワークＮ（図３参照）を介して端末装置１０の位置情報を取得してもよい。そして、認証器３４は、位置情報を行動履歴（ロケーション履歴）としてセキュア領域に保存する。

続いて、認証器３４は、取得された位置情報を学習データに用いて機械学習を行い、学習結果を保存する（ステップＳ２）。本実施形態では、認証器３４は、端末装置１０のデバイス上で学習するオンデバイス学習を行う。実際には、認証器３４は、フェデレーテッドラーニング（Federated Learning：連合学習）のように、データをサーバ装置に集約せずに個々の端末装置に分散した状態で機械学習を行うようにしてもよい。また、認証器３４は、学習結果としての学習モデルや特異点（特異な位置情報）の情報等をリカバリ時の認証用データとしてセキュア領域に保存する。

続いて、認証器３４は、ネットワークＮ（図３参照）を介してリカバリサーバ２００にリカバリ時の認証用データ（学習モデル、特異点の情報等）をバックアップする（ステップＳ３）。すなわち、認証器３４は、ネットワークＮ（図３参照）を介してリカバリサーバ２００にリカバリ時の認証用データを送信する。リカバリサーバ２００は、送信されたリカバリ時の認証用データを保存する。このとき、認証器３４は、ネットワークＮ（図３参照）を介してリカバリサーバ２００にリカバリ時の認証用データとともに、利用者Ｕの端末装置１０に保存されているデータを送信してもよい。リカバリサーバ２００は、リカバリ時の認証用データとともに、利用者Ｕの端末装置１０に保存されているデータを取得してバックアップデータとして保存してもよい。なお、リカバリサーバ２００は、利用者Ｕの所有しているＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の二次記憶装置であってもよい。

なお、バックアップされるリカバリ時の認証用データについて、学習モデルは、モデルから位置情報に戻せない（復元できない）不可逆なモデルである。また、認証器３４又はリカバリサーバ２００は、リカバリ時の認証用データを、さらに暗号化又はベクトル化等してもよい。

続いて、認証器３４は、データのバックアップ時に、リカバリサーバ２００から、端末装置１０や認証サーバ１００とは別の認証を受ける（ステップＳ４）。このとき、リカバリサーバ２００は、端末装置１０に対して認証を行う。この認証は、ＦＩＤＯ認証でもよいし、パスワード認証でもよい。すなわち、認証の種別は問わない。

〔１－２．リカバリフェーズ〕
図１及び図２に示すように、端末装置１０のアプリケーション３５は、何らかの事情で利用者Ｕが有していたアカウントのリカバリ（recovery：復旧、復帰、回復、修復、復元）が必要となった際に、ネットワークＮ（図３参照）を介して認証サーバ１００にリカバリリクエストを送信する（ステップＳ１１）。

例えば、端末装置１０やシステム又はネットワークの不具合等でアカウントのリカバリが必要となった場合、あるいは、利用者Ｕが端末装置１０の紛失・破損・買替・交換・機種変更等により端末装置１０を新調した場合、利用者Ｕは、端末装置１０のデバイス上でアプリケーション３５を起動して操作する。アプリケーション３５は、利用者Ｕの操作に応じて、ネットワークＮ（図３参照）を介して認証サーバ１００にリカバリリクエストを送信する。あるいは、アプリケーション３５は、アプリケーション３５自体又は端末装置１０の起動時に、又は利用者Ｕのアカウントが認識できない場合に、自動的にネットワークＮ（図３参照）を介して認証サーバ１００にリカバリリクエストを送信するようにしてもよい。

続いて、アプリケーション３５は、ネットワークＮ（図３参照）を介して認証サーバ１００から本人確認要求を受信する（ステップＳ１２）。このとき、認証サーバ１００は、ネットワークＮ（図３参照）を介して端末装置１０に本人確認要求を送信する。

続いて、アプリケーション３５は、認証サーバ１００からの本人確認要求に応じて、認証器３４に本人確認を要求する（ステップＳ１３）。このとき、認証器３４は、アプリケーション３５から本人確認の要求を受ける。

続いて、図１に示すように、認証器３４は、リカバリ時の認証用データ（学習モデル、特異点の情報等）がない場合、ネットワークＮ（図３参照）を介してリカバリサーバ２００にリカバリ時の認証用データを要求する（ステップＳ１４）。例えば、認証器３４は、不具合等によりリカバリ時の認証用データが消失した場合、あるいは、端末装置１０を新調したため端末装置１０のデバイス上にリカバリ時の認証用データが保存されていない場合、ネットワークＮ（図３参照）を介して、リカバリサーバ２００にバックアップされているリカバリ時の認証用データを要求する。

なお、認証サーバ１００とリカバリサーバ２００とは、同じエンティティ（entity）であってもよい。例えば、認証サーバ１００とリカバリサーバ２００とは、同じサーバ装置であってもよいし、同じコンピュータ上で動作するサーバ機能であってもよい。

続いて、認証器３４は、データの要求時に、リカバリサーバ２００から、端末装置１０や認証サーバ１００とは別の認証を受ける（ステップＳ１５）。このとき、リカバリサーバ２００は、端末装置１０に対して認証を行う。この認証は、ＦＩＤＯ認証でもよいし、パスワード認証でもよい。すなわち、認証の種別は問わない。

続いて、認証器３４は、ネットワークＮ（図３参照）を介してリカバリサーバ２００からリカバリ時の認証用データを取得する（ステップＳ１６）。例えば、リカバリサーバ２００は、認証に成功した場合、リカバリ時の認証用データの要求に応じて、ネットワークＮ（図３参照）を介して認証器３４にリカバリ時の認証用データを送信する。認証器３４は、ネットワークＮ（図３参照）を介してリカバリサーバ２００からリカバリ時の認証用データを受信する。このとき、リカバリサーバ２００は、認証器３４に対して、リカバリ時の認証用データとともに、保存されている利用者Ｕの端末装置１０のバックアップデータを送信してもよい。認証器３４は、リカバリサーバ２００からリカバリ時の認証用データとともに、保存されている利用者Ｕの端末装置１０のバックアップデータを受信してもよい。また、認証器３４は、端末側での認証に成功するまで、リカバリサーバ２００から受信した利用者Ｕの端末装置１０のバックアップデータを利用不可としてもよい。

なお、認証器３４は、リカバリ時の認証用データ（学習モデル、特異点の情報等）がある場合には、リカバリ時の認証用データを要求・取得する必要はない。この場合、ステップＳ１３の後、上記のステップＳ１４～ステップＳ１６の処理を行わず、図２に示すように直接、後述するステップＳ１７に移行してもよい。

続いて、認証器３４は、近距離無線通信又は有線通信等で、利用者Ｕが身につけているウェアラブルデバイス５０にアクセスし、当該ウェアラブルデバイス５０の位置情報のキャッシュデータ（cache data）を取得する（ステップＳ１７）。ウェアラブルデバイス５０が自身の位置情報を取得する方法は、端末装置１０と同様であってもよい。

ウェアラブルデバイス自体がＧＰＳ機能を持っている場合、ユーザが装着していればその位置情報データが取得でき、ウェアラブルデバイス内に保管される。ウェアラブルデバイスが同期機能を持っていて専用のサーバに保管されることもあるが、同期していないか、同期する前には、ウェアラブル内に一部のデータが残る。ＧＰＳ機能がない場合でも、ウェアラブルデバイスと連携しているユーザのスマホなどの別デバイスを通じて、位置情報が取得でき、ウェアラブルデバイスに保管されて残る場合もあり得る。また、取得方法に関して、キャッシュを使わずに、同期しているサーバからダウンロードして取得する場合もあり得る。

なお、実際には、認証器３４とウェアラブルデバイス５０とは同じ機器であってもよい。例えば、ウェアラブルデバイス５０が認証器３４として機能していてもよいし、ウェアラブルデバイス５０に認証器３４が搭載されていてもよい。

続いて、認証器３４は、近距離無線通信又は有線通信等で、ウェアラブルデバイス５０の位置情報のキャッシュデータから、ウェアラブルデバイス５０の位置情報を取得する（ステップＳ１８）。

続いて、認証器３４は、認証処理として、取得された位置情報の検証と、特異点に関する質問とを行う（ステップＳ１９）。位置情報の検証については、例えば２つの位置情報を比較する場合、各緯度・経度の情報から得られる位置が、所定の距離の誤差の範囲内に止まっていれば、同一の位置情報とみなすとすることができる。

例えば、認証器３４は、位置情報の検証として、ウェアラブルデバイス５０の位置情報のキャッシュデータが示す行動履歴が、リカバリ時の認証用データに示される行動履歴と適合するか否かを判定してもよい。

また、認証器３４は、リカバリ時の認証用データに示される行動履歴の中から、特異点（特異な履歴）を抽出する。例えば、普段は東京都内でしか活動していないのに、珍しく出張で海外の有名ではないところ（街、場所、店舗等）に移動した場合の位置情報が特異点とみなすことができる。あるいは、認証器３４は、ウェアラブルデバイス５０の位置情報のキャッシュデータが示す行動履歴と、リカバリ時の認証用データに示される行動履歴とを比較して、特異点を抽出する。そして、認証器３４は、抽出された特異点に関する質問を行う。

このとき、認証器３４は、基本の特異点の選び方（抽出方法）として、ユーザが訪れる頻度の低い場所（普段行っていない場所、初めて行った場所等）、自宅から距離が遠い場所、行った時間が変な（不自然な、通常と異なる）場所（特異なタイミングで訪れた場所）等、あるいは、ユーザ本人しか知らないと思われる場所、ＳＮＳに書かれていない場所や、観光地でない場所等を選択し、特異点として抽出してもよい。

また、認証器３４は、様々な位置情報を組み合わせて特異点として表現してもよい。例えば、認証器３４は、タイムラインが異なる様々な場所を選択し、特異点として抽出してもよい。また、認証器３４は、系統が違う場所を選択し、特異点として抽出してもよい。また、認証器３４は、複数のコミュニティ（community）の各々の行動履歴の中からそれぞれ特異点を抽出して組み合わせることがより好ましい。例えば、認証器３４は、ＳＮＳのグループを参照する。

また、認証器３４は、移動の仕方から何をやっているか判別可能である。例えば、認証器３４は、無作為にゆっくり移動していたら観光と判定し、寄り道せずに目的地へ行って帰って（直行直帰して）きたら出張と判定する。そして、認証器３４は、これらに関する質問をする。

なお、特異点に関する質問は、誰と行ったか等の同行者に関する質問でもよい。また、特異点に関する質問は、移動の目的、日時、場所、誰と、何をした等の５Ｈ１Ｗに関する質問でもよい。

続いて、認証器３４は、認証処理として、取得された位置情報の検証と、特異点に関する質問とを行った結果、認証に成功した場合、アプリケーション３５に認証成功（ＯＫ）を示す信号又はメッセージを送る（ステップＳ２０）。

続いて、アプリケーション３５は、ネットワークＮ（図３参照）を介して認証サーバ１００に、認証成功（ＯＫ）を示す信号又はメッセージを送信する（ステップＳ２１）。このとき、認証サーバ１００は、認証成功（ＯＫ）を示す信号又はメッセージを受信することで、利用者Ｕの本人性を確認する。これにより、利用者Ｕが有していたアカウントのリカバリが完了する。

その後、認証サーバ１００は、各利用者Ｕの端末装置１０と連携し、各利用者Ｕの端末装置１０に対して、各種アプリケーション（以下、アプリ）等に対するＡＰＩ（Application Programming Interface）サービス等と、各種データを提供してもよい。

また、認証サーバ１００は、サービスプロバイダとして、各利用者Ｕの端末装置１０に対して、オンラインで何らかのＷｅｂサービスを提供する情報処理装置であってもよい。例えば、認証サーバ１００は、Ｗｅｂサービスとして、インターネット接続、検索サービス、ＳＮＳ（Social Networking Service）、電子商取引（ＥＣ：Electronic Commerce）、電子決済、オンラインゲーム、オンラインバンキング、オンライントレーディング、宿泊・チケット予約、動画・音楽配信、ニュース、地図、ルート検索、経路案内、路線情報、運行情報、天気予報等のサービスを提供してもよい。実際には、認証サーバ１００は、上記のようなＷｅｂサービスを提供する各種サーバと連携し、Ｗｅｂサービスを仲介してもよいし、Ｗｅｂサービスの処理を担当してもよい。

なお、認証サーバ１００は、利用者Ｕに関する利用者情報を取得可能である。例えば、認証サーバ１００は、利用者Ｕの性別、年代、居住地域といった利用者Ｕの属性に関する情報を取得する。そして、認証サーバ１００は、利用者Ｕを示す識別情報（利用者ＩＤ等）とともに利用者Ｕの属性に関する情報を記憶して管理する。

また、認証サーバ１００は、利用者Ｕの端末装置１０から、あるいは利用者ＩＤ等に基づいて各種サーバ等から、利用者Ｕの行動を示す各種の履歴情報（ログデータ）を取得する。例えば、認証サーバ１００は、利用者Ｕの位置や日時の履歴である位置履歴を端末装置１０から取得する。また、認証サーバ１００は、利用者Ｕが入力した検索クエリの履歴である検索履歴を検索サーバ（検索エンジン）から取得する。また、認証サーバ１００は、利用者Ｕが閲覧したコンテンツの履歴である閲覧履歴をコンテンツサーバから取得する。また、認証サーバ１００は、利用者Ｕの商品購入や決済処理の履歴である購入履歴（決済履歴）を電子商取引サーバや決済処理サーバから取得する。また、認証サーバ１００は、利用者Ｕのマーケットプレイスへの出品の履歴である出品履歴や販売履歴を電子商取引サーバや決済サーバから取得してもよい。また、認証サーバ１００は、利用者Ｕの投稿の履歴である投稿履歴を口コミの投稿サービスを提供する投稿サーバやＳＮＳサーバから取得する。

〔２．情報処理システムの構成例〕
次に、図３を用いて、実施形態に係る認証サーバ１００が含まれる情報処理システム１の構成について説明する。図３は、実施形態に係る情報処理システム１の構成例を示す図である。図３に示すように、実施形態に係る情報処理システム１は、端末装置１０と認証サーバ１００とリカバリサーバ２００とを含む。これらの各種装置は、ネットワークＮを介して、有線又は無線により通信可能に接続される。ネットワークＮは、例えば、ＬＡＮ（Local Area Network）や、インターネット等のＷＡＮ（Wide Area Network）である。

また、図３に示す情報処理システム１に含まれる各装置の数は図示したものに限られない。例えば、図３では、図示の簡略化のため、端末装置１０を１台のみ示したが、これはあくまでも例示であって限定されるものではなく、２台以上であってもよい。

端末装置１０は、利用者Ｕによって使用される情報処理装置である。例えば、端末装置１０は、スマートフォンやタブレット端末等のスマートデバイス、フィーチャーフォン、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、通信機能を備えたゲーム機やＡＶ機器、カーナビゲーションシステム、スマートウォッチやヘッドマウントディスプレイ等のウェアラブルデバイス（Wearable Device）、スマートグラス等である。

また、かかる端末装置１０は、ＬＴＥ（Long Term Evolution）、４Ｇ（4th Generation）、５Ｇ（5th Generation：第５世代移動通信システム）等の無線通信網や、Ｂｌｕｅｔｏｏｔｈ（登録商標）、無線ＬＡＮ（Local Area Network）等の近距離無線通信を介してネットワークＮに接続し、認証サーバ１００と通信することができる。

認証サーバ１００は、例えばＰＣやサーバ装置、あるいはメインフレーム又はワークステーション等である。なお、認証サーバ１００は、クラウドコンピューティングにより実現されてもよい。

〔３．端末装置の構成例〕
次に、図４を用いて、端末装置１０の構成について説明する。図４は、端末装置１０の構成例を示す図である。図４に示すように、端末装置１０は、通信部１１と、表示部１２と、入力部１３と、測位部１４と、センサ部２０と、制御部３０（コントローラ）と、記憶部４０とを備える。

（通信部１１）
通信部１１は、ネットワークＮ（図３参照）と有線又は無線で接続され、ネットワークＮを介して、認証サーバ１００との間で情報の送受信を行う。例えば、通信部１１は、ＮＩＣ（Network Interface Card）やアンテナ等によって実現される。

（表示部１２）
表示部１２は、位置情報等の各種情報を表示する表示デバイスである。例えば、表示部１２は、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）や有機ＥＬディスプレイ（Organic Electro-Luminescent Display）である。また、表示部１２は、タッチパネル式のディスプレイであるが、これに限定されるものではない。

（入力部１３）
入力部１３は、利用者Ｕから各種操作を受け付ける入力デバイスである。例えば、入力部１３は、文字や数字等を入力するためのボタン等を有する。なお、入力部１３は、入出力ポート（I/O port）やＵＳＢ（Universal Serial Bus）ポート等であってもよい。また、表示部１２がタッチパネル式のディスプレイである場合、表示部１２の一部が入力部１３として機能する。また、入力部１３は、利用者Ｕから音声入力を受け付けるマイク等であってもよい。マイクはワイヤレスであってもよい。

（測位部１４）
測位部１４は、ＧＰＳ（Global Positioning System）の衛星から送出される信号（電波）を受信し、受信した信号に基づいて、自装置である端末装置１０の現在位置を示す位置情報（例えば、緯度及び経度）を取得する。すなわち、測位部１４は、端末装置１０の位置を測位する。なお、ＧＰＳは、ＧＮＳＳ（Global Navigation Satellite System）の一例に過ぎない。

また、測位部１４は、ＧＰＳ以外にも、種々の手法により位置を測位することができる。例えば、測位部１４は、位置補正等のための補助的な測位手段として、下記のように、端末装置１０の様々な通信機能を利用して位置を測位してもよい。

（Ｗｉ－Ｆｉ測位）
例えば、測位部１４は、端末装置１０のＷｉ－Ｆｉ（登録商標）通信機能や、各通信会社が備える通信網を利用して、端末装置１０の位置を測位する。具体的には、測位部１４は、Ｗｉ－Ｆｉ通信等を行い、付近の基地局やアクセスポイントとの距離を測位することにより、端末装置１０の位置を測位する。

（ビーコン測位）
また、測位部１４は、端末装置１０のＢｌｕｅｔｏｏｔｈ（登録商標）機能を利用して位置を測位してもよい。例えば、測位部１４は、Ｂｌｕｅｔｏｏｔｈ（登録商標）機能によって接続されるビーコン（beacon）発信機と接続することにより、端末装置１０の位置を測位する。

（地磁気測位）
また、測位部１４は、予め測定された構造物の地磁気のパターンと、端末装置１０が備える地磁気センサとに基づいて、端末装置１０の位置を測位する。

（ＲＦＩＤ測位）
また、例えば、端末装置１０が駅改札や店舗等で使用される非接触型ＩＣカードと同等のＲＦＩＤ（Radio Frequency Identification）タグの機能を備えている場合、もしくはＲＦＩＤタグを読み取る機能を備えている場合、端末装置１０によって決済等が行われた情報とともに、使用された位置が記録される。測位部１４は、かかる情報を取得することで、端末装置１０の位置を測位してもよい。また、位置は、端末装置１０が備える光学式センサや、赤外線センサ等によって測位されてもよい。

測位部１４は、必要に応じて、上述した測位手段の一つ又は組合せを用いて、端末装置１０の位置を測位してもよい。

（センサ部２０）
センサ部２０は、端末装置１０に搭載又は接続される各種のセンサを含む。なお、接続は、有線接続、無線接続を問わない。例えば、センサ類は、ウェアラブルデバイスやワイヤレスデバイス等、端末装置１０以外の検知装置であってもよい。図４に示す例では、センサ部２０は、加速度センサ２１と、ジャイロセンサ２２と、気圧センサ２３と、気温センサ２４と、音センサ２５と、光センサ２６と、磁気センサ２７と、画像センサ（カメラ）２８とを備える。

なお、上記した各センサ２１～２８は、あくまでも例示であって限定されるものではない。すなわち、センサ部２０は、各センサ２１～２８のうちの一部を備える構成であってもよいし、各センサ２１～２８に加えてあるいは代えて、湿度センサ等その他のセンサを備えてもよい。

加速度センサ２１は、例えば、３軸加速度センサであり、端末装置１０の移動方向、速度、及び、加速度等の端末装置１０の物理的な動きを検知する。ジャイロセンサ２２は、端末装置１０の角速度等に基づいて３軸方向の傾き等の端末装置１０の物理的な動きを検知する。気圧センサ２３は、例えば端末装置１０の周囲の気圧を検知する。

端末装置１０は、上記した加速度センサ２１やジャイロセンサ２２、気圧センサ２３等を備えることから、これらの各センサ２１～２３等を利用した歩行者自律航法（ＰＤＲ：Pedestrian Dead-Reckoning）等の技術を用いて端末装置１０の位置を測位することが可能になる。これにより、ＧＰＳ等の測位システムでは取得することが困難な屋内での位置情報を取得することが可能になる。

例えば、加速度センサ２１を利用した歩数計により、歩数や歩くスピード、歩いた距離を算出することができる。また、ジャイロセンサ２２を利用して、利用者Ｕの進行方向や視線の方向、体の傾きを知ることができる。また、気圧センサ２３で検知した気圧から、利用者Ｕの端末装置１０が存在する高度やフロアの階数を知ることもできる。

気温センサ２４は、例えば端末装置１０の周囲の気温を検知する。音センサ２５は、例えば端末装置１０の周囲の音を検知する。光センサ２６は、端末装置１０の周囲の照度を検知する。磁気センサ２７は、例えば端末装置１０の周囲の地磁気を検知する。画像センサ２８は、端末装置１０の周囲の画像を撮像する。

上記した気圧センサ２３、気温センサ２４、音センサ２５、光センサ２６及び画像センサ２８は、それぞれ気圧、気温、音、照度を検知したり、周囲の画像を撮像したりすることで、端末装置１０の周囲の環境や状況等を検知することができる。また、端末装置１０の周囲の環境や状況等から、端末装置１０の位置情報の精度を向上させることが可能になる。

（制御部３０）
制御部３０は、例えば、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ、入出力ポート等を有するマイクロコンピュータや各種の回路を含む。また、制御部３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路等のハードウェアで構成されてもよい。制御部３０は、送信部３１と、受信部３２と、処理部３３と、認証器３４と、アプリケーション３５とを備える。

（送信部３１）
送信部３１は、例えば入力部１３を用いて利用者Ｕにより入力された各種情報や、端末装置１０に搭載又は接続された各センサ２１～２８によって検知された各種情報、測位部１４によって測位された端末装置１０の位置情報等を、通信部１１を介して認証サーバ１００へ送信することができる。

（受信部３２）
受信部３２は、通信部１１を介して、認証サーバ１００から提供される各種情報や、認証サーバ１００からの各種情報の要求を受信することができる。

（処理部３３）
処理部３３は、表示部１２等を含め、端末装置１０全体を制御する。例えば、処理部３３は、送信部３１によって送信される各種情報や、受信部３２によって受信された認証サーバ１００からの各種情報を表示部１２へ出力して表示させることができる。

（認証器３４）
認証器３４は、利用者Ｕの端末装置１０に内蔵または外付けされた認証器であり、利用者Ｕの本人性を検証する。例えば、認証器３４は、スマートフォンの生体認証機能であってもよいし、アプリ（アプリケーション）あるいはブラウザ等のソフトウェアや特定ハードウェア領域を含む形式で、利用者Ｕの端末装置１０の内部に実装されていてもよい。また、認証器３４は、ＵＳＢ（Universal Serial Bus）キー等の外部認証器であってもよいし、有線通信又は近距離無線通信により利用者Ｕの端末装置１０と通信可能な端末装置１０と物理的に異なる認証器であってもよい。

図示は省略するが、本実施形態では、認証器３４は、利用者Ｕの行動履歴を取得する取得部３４Ａと、利用者Ｕの行動履歴のうち特異な履歴を特定して選定する特定部３４Ｂと、利用者Ｕのアカウントのリカバリ時に、利用者Ｕの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証部３４Ｃと、として機能する。

特定部３４Ｂは、特異な履歴として、利用者Ｕ本人しか知らないと思われる場所、利用者Ｕが訪れる頻度の低い場所、又は利用者Ｕが特異なタイミングで訪れた場所等を特定して選定する。

また、特定部３４Ｂは、特異な履歴として、タイムラインが異なる場所を組み合わせる。あるいは、特定部３４Ｂは、特異な履歴として、異なるコミュニティの行動履歴の中からそれぞれ特異な履歴を特定して組み合わせる。また、特定部３４Ｂは、利用者Ｕの行動履歴における利用者Ｕの移動の仕方から特異な履歴を特定する。

そして、認証部３４Ｃは、利用者Ｕのアカウントのリカバリ時に、利用者Ｕに対して特異な履歴に基づく質問を行い、質問に対する適切な回答があれば、認証に成功したと判定する。

さらに、本実施形態では、認証器３４は、利用者Ｕのアカウントのリカバリ時の認証用データを外部に送信して保存し、利用者Ｕのアカウントのリカバリ時に外部に保存している認証用データを要求して取得する。そして、利用者Ｕのアカウントのリカバリ時に、認証用データに基づいて、利用者Ｕの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う。

認証器３４は、利用者Ｕのアカウントのリカバリ時の認証用データの１つとして、利用者Ｕの位置情報を学習データに用いた機械学習により得られた学習モデルを外部に送信して保存する。なお、学習モデルは、モデルから位置情報に戻せない不可逆なモデルである。

また、認証器３４は、利用者Ｕのアカウントのリカバリ時の認証用データの１つとして、特異点に関する情報を外部に送信して保存する。

例えば、認証器３４は、利用者Ｕが身につけているウェアラブルデバイス５０からウェアラブルデバイス５０の位置情報のキャッシュデータを取得し、ウェアラブルデバイス５０の位置情報と認証用データとを用いて認証を行う。

また、認証器３４は、利用者Ｕの行動履歴における特異点を訪れた目的、日時、場所、同行者、行動内容を利用者Ｕに対する質問事項とし、質問に対する適切な回答があれば、認証に成功したと判定する。

また、認証器３４は、利用者Ｕが身につけているウェアラブルデバイス５０の位置情報が適切であり、利用者Ｕに対して行った特異点に関する質問に適切な回答が得られた場合、認証に成功したと判定する。

（アプリケーション３５）
アプリケーション３５は、端末装置１０に導入（インストール）され、利用者Ｕのアカウントのリカバリを実行する際に用いられるアプリケーションソフトウェア（Application Software）である。

例えば、認証器３４は、利用者Ｕのアカウントのリカバリ時の認証用データをリカバリサーバ２００に送信して保存する。アプリケーション３５は、利用者Ｕのアカウントのリカバリ時に、認証サーバ１００に対してリカバリを要求する。すなわち、アプリケーション３５は、認証サーバ１００に対してリカバリを要求し、認証サーバ１００から本人確認要求を受ける要求部として機能する。そして、認証器３４は、認証サーバ１００からの本人確認要求に応じてリカバリサーバ２００に認証用データを要求して取得する。この場合、認証器３４は、リカバリサーバ２００に認証用データを要求し、リカバリサーバ２００からリカバリ時の認証用データを取得する要求部として機能する。

（記憶部４０）
記憶部４０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置によって実現される。かかる記憶部４０には、各種プログラムや各種データ等が記憶される。

本実施形態では、記憶部４０には、認証器３４やアプリケーション３５に関するデータ、リカバリ時の認証用データ（学習モデル、特異点の情報等）や、端末装置１０に保存されているデータ等が記憶される。これらの情報は、いずれもセキュア領域に記憶される。

例えば、記憶部４０は、行動履歴４０Ａと、学習モデル４０Ｂと、特異点情報４０Ｃとを有する。行動履歴４０Ａは、端末装置１０の位置情報の履歴を示す。学習モデル４０Ｂは、端末装置１０の位置情報を学習データに用いた学習の結果として得られるモデルである。特異点情報４０Ｃは、端末装置１０の位置情報の履歴から抽出された特異点に関する情報である。

〔４．サーバの構成例〕
次に、図５及び図６を用いて、実施形態に係るサーバ（認証サーバ１００、リカバリサーバ２００）の構成について説明する。図５は、実施形態に係る認証サーバ１００の構成例を示す図である。図５に示すように、認証サーバ１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。図６は、実施形態に係るリカバリサーバ２００の構成例を示す図である。図６に示すように、リカバリサーバ２００は、通信部２１０と、記憶部２２０と、制御部２３０とを有する。なお、実際には、認証サーバ１００とリカバリサーバ２００とは同一のサーバであってもよい。

（通信部１１０及び通信部２１０）
通信部１１０及び通信部２１０は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。また、通信部１１０及び通信部２１０は、ネットワークＮ（図３参照）と有線又は無線で接続される。

（記憶部１２０及び記憶部２２０）
記憶部１２０及び記憶部２２０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置によって実現される。

図５に示すように、記憶部１２０は、利用者情報データベース１２１と、履歴情報データベース１２２とを有する。

（利用者情報データベース１２１）
利用者情報データベース１２１は、利用者Ｕに関する利用者情報を記憶する。例えば、利用者情報データベース１２１は、利用者Ｕの属性等の種々の情報を記憶する。図７は、利用者情報データベース１２１の一例を示す図である。図７に示した例では、利用者情報データベース１２１は、「利用者ＩＤ（Identifier）」、「年齢」、「性別」、「自宅」、「勤務地」、「興味」といった項目を有する。

「利用者ＩＤ」は、利用者Ｕを識別するための識別情報を示す。なお、「利用者ＩＤ」は、利用者Ｕの連絡先（電話番号、メールアドレス等）であってもよいし、利用者Ｕの端末装置１０を識別するための識別情報であってもよい。

また、「年齢」は、利用者ＩＤにより識別される利用者Ｕの年齢を示す。なお、「年齢」は、利用者Ｕの具体的な年齢（例えば３５歳など）を示す情報であってもよいし、利用者Ｕの年代（例えば３０代など）を示す情報であってもよい。あるいは、「年齢」は、利用者Ｕの生年月日を示す情報であってもよいし、利用者Ｕの世代（例えば８０年代生まれなど）を示す情報であってもよい。また、「性別」は、利用者ＩＤにより識別される利用者Ｕの性別を示す。

また、「自宅」は、利用者ＩＤにより識別される利用者Ｕの自宅の位置情報を示す。なお、図７に示す例では、「自宅」は、「ＬＣ１１」といった抽象的な符号を図示するが、緯度経度情報等であってもよい。また、例えば、「自宅」は、地域名や住所であってもよい。

また、「勤務地」は、利用者ＩＤにより識別される利用者Ｕの勤務地（学生の場合は学校）の位置情報を示す。なお、図７に示す例では、「勤務地」は、「ＬＣ１２」といった抽象的な符号を図示するが、緯度経度情報等であってもよい。また、例えば、「勤務地」は、地域名や住所であってもよい。

また、「興味」は、利用者ＩＤにより識別される利用者Ｕの興味を示す。すなわち、「興味」は、利用者ＩＤにより識別される利用者Ｕが関心の高い対象を示す。例えば、「興味」は、利用者Ｕが検索エンジンに入力して検索した検索クエリ（キーワード）等であってもよい。なお、図７に示す例では、「興味」は、各利用者Ｕに１つずつ図示するが、複数であってもよい。

例えば、図７に示す例において、利用者ＩＤ「Ｕ１」により識別される利用者Ｕの年齢は、「２０代」であり、性別は、「男性」であることを示す。また、例えば、利用者ＩＤ「Ｕ１」により識別される利用者Ｕは、自宅が「ＬＣ１１」であることを示す。また、例えば、利用者ＩＤ「Ｕ１」により識別される利用者Ｕは、勤務地が「ＬＣ１２」であることを示す。また、例えば、利用者ＩＤ「Ｕ１」により識別される利用者Ｕは、「スポーツ」に興味があることを示す。

ここで、図７に示す例では、「Ｕ１」、「ＬＣ１１」及び「ＬＣ１２」といった抽象的な値を用いて図示するが、「Ｕ１」、「ＬＣ１１」及び「ＬＣ１２」には、具体的な文字列や数値等の情報が記憶されるものとする。以下、他の情報に関する図においても、抽象的な値を図示する場合がある。

なお、利用者情報データベース１２１は、上記に限らず、目的に応じて種々の情報を記憶してもよい。例えば、利用者情報データベース１２１は、利用者Ｕの端末装置１０に関する各種情報を記憶してもよい。また、利用者情報データベース１２１は、利用者Ｕのデモグラフィック（人口統計学的属性）、サイコグラフィック（心理学的属性）、ジオグラフィック（地理学的属性）、ベヘイビオラル（行動学的属性）等の属性に関する情報を記憶してもよい。例えば、利用者情報データベース１２１は、氏名、家族構成、出身地（地元）、職業、職位、収入、資格、居住形態（戸建、マンション等）、車の有無、通学・通勤時間、通学・通勤経路、定期券区間（駅、路線等）、利用頻度の高い駅（自宅・勤務地の最寄駅以外）、習い事（場所、時間帯等）、趣味、興味、ライフスタイル等の情報を記憶してもよい。

（履歴情報データベース１２２）
履歴情報データベース１２２は、利用者Ｕの行動を示す履歴情報（ログデータ）に関する各種情報を記憶する。図８は、履歴情報データベース１２２の一例を示す図である。図８に示した例では、履歴情報データベース１２２は、「利用者ＩＤ」、「位置履歴」、「検索履歴」、「閲覧履歴」、「購買履歴」、「投稿履歴」といった項目を有する。

「利用者ＩＤ」は、利用者Ｕを識別するための識別情報を示す。また、「位置履歴」は、利用者Ｕの位置や移動の履歴である位置履歴を示す。また、「検索履歴」は、利用者Ｕが入力した検索クエリの履歴である検索履歴を示す。また、「閲覧履歴」は、利用者Ｕが閲覧したコンテンツの履歴である閲覧履歴を示す。また、「購買履歴」は、利用者Ｕによる購買の履歴である購買履歴を示す。また、「投稿履歴」は、利用者Ｕによる投稿の履歴である投稿履歴を示す。なお、「投稿履歴」は、利用者Ｕの所有物に関する質問を含んでいてもよい。

例えば、図８に示す例において、利用者ＩＤ「Ｕ１」により識別される利用者Ｕは、「位置履歴＃１」の通りに移動し、「検索履歴＃１」の通りに検索し、「閲覧履歴＃１」の通りにコンテンツを閲覧し、「購買履歴＃１」の通りに所定の店舗等で所定の商品等を購入し、「投稿履歴」の通りに投稿したことを示す。

ここで、図８に示す例では、「Ｕ１」、「位置履歴＃１」、「検索履歴＃１」、「閲覧履歴＃１」、「購買履歴＃１」及び「投稿履歴＃１」といった抽象的な値を用いて図示するが、「Ｕ１」、「位置履歴＃１」、「検索履歴＃１」、「閲覧履歴＃１」、「購買履歴＃１」及び「投稿履歴＃１」には、具体的な文字列や数値等の情報が記憶されるものとする。

なお、履歴情報データベース１２２は、上記に限らず、目的に応じて種々の情報を記憶してもよい。例えば、履歴情報データベース１２２は、利用者Ｕの所定のサービスの利用履歴等を記憶してもよい。また、履歴情報データベース１２２は、利用者Ｕの実店舗の来店履歴又は施設の訪問履歴等を記憶してもよい。また、履歴情報データベース１２２は、利用者Ｕの端末装置１０を用いた決済（電子決済）での決済履歴等を記憶してもよい。

図６に示すように、記憶部２２０は、リカバリ情報データベース２２１を有する。

（リカバリ情報データベース２２１）
リカバリ情報データベース２２１は、利用者Ｕの端末装置１０から取得したリカバリ時の認証用データに関する各種情報を記憶する。図９は、リカバリ情報データベース２２１の一例を示す図である。図９に示した例では、リカバリ情報データベース２２１は、「利用者ＩＤ」、「学習モデル」、「特異点」といった項目を有する。

「利用者ＩＤ」は、利用者Ｕを識別するための識別情報を示す。また、「学習モデル」は、利用者Ｕの位置情報を学習データに用いた機械学習により得られた学習モデルを示す。また、「特異点」は、利用者Ｕの行動履歴における特異点（特異な履歴）を示す。なお、「特異点」は、利用者Ｕの行動履歴における特異点に関する質問事項を示す情報であってもよい。

例えば、図９に示す例において、利用者ＩＤ「Ｕ１」により識別される利用者Ｕの端末装置１０は、「モデル＃１」と「特異点＃１」とをリカバリ時の認証用データとして保存したことを示す。

ここで、図９に示す例では、「Ｕ１」、「学習モデル＃１」及び「特異点＃１」といった抽象的な値を用いて図示するが、「Ｕ１」、「学習モデル＃１」及び「特異点＃１」には、具体的な文字列や数値等の情報が記憶されるものとする。

なお、リカバリ情報データベース２２１は、上記に限らず、目的に応じて種々の情報を記憶してもよい。例えば、リカバリ情報データベース２２１は、利用者Ｕの行動履歴等を記憶してもよい。このとき、リカバリ情報データベース２２１は、利用者Ｕの位置情報の生データを記憶するのではなく、利用者Ｕの位置情報を端数処理（丸め処理）したデータやベクトル化したデータ等を記憶してもよい。また、利用者Ｕの位置情報に基づくエリア情報（都道府県、区市町村、地図上のメッシュコード等）を記憶してもよい。

（制御部１３０及び制御部２３０）
図５及び図６に戻り、説明を続ける。制御部１３０及び制御部２３０は、コントローラ（Controller）であり、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等によって、認証サーバ１００又はリカバリサーバ２００の内部の記憶装置に記憶されている各種プログラム（情報処理プログラムの一例に相当）がＲＡＭ等の記憶領域を作業領域として実行されることにより実現される。

図５に示す例では、制御部１３０は、収集部１３１と、受付部１３２と、確認部１３３と、提供部１３４とを有する。

（収集部１３１）
収集部１３１は、通信部１１０を介して、各利用者Ｕに関する利用者情報を収集する。例えば、収集部１３１は、利用者Ｕの端末装置１０から、利用者Ｕを示す識別情報（利用者ＩＤ等）や、利用者Ｕの位置情報、利用者Ｕの属性情報等を収集する。また、収集部１３１は、利用者Ｕのユーザ登録時に、利用者Ｕを示す識別情報や、利用者Ｕの属性情報等を収集してもよい。そして、収集部１３１は、利用者情報を、記憶部１２０の利用者情報データベース１２１に登録する。

また、収集部１３１は、通信部１１０を介して、各利用者Ｕの行動を示す各種の履歴情報（ログデータ）を収集する。例えば、収集部１３１は、利用者Ｕの端末装置１０から、あるいは利用者ＩＤ等に基づいて各種サーバ等から、利用者Ｕの行動を示す各種の履歴情報を収集する。そして、収集部１３１は、各種の履歴情報を、記憶部１２０の履歴情報データベース１２２に登録する。

（受付部１３２）
受付部１３２は、通信部１１０を介して、利用者Ｕの端末装置１０のアプリケーション３５から利用者Ｕのアカウントのリカバリの要求を受け付けた場合、当該端末装置１０のアプリケーション３５に本人確認を要求する。このとき、端末装置１０のアプリケーション３５は、本人確認の要求に応じて、端末装置１０の認証器３４に本人確認を要求する。

（確認部１３３）
確認部１３３は、通信部１１０を介して、利用者Ｕの端末装置１０のアプリケーション３５から認証成功（ＯＫ）を示す信号又はメッセージを受信した場合、利用者Ｕの本人性を確認する。このとき、端末装置１０の認証器３４は、本人確認の要求に応じて利用者Ｕの認証を行い、認証に成功した場合、アプリケーション３５に認証成功（ＯＫ）を示す信号又はメッセージを送る。

（提供部１３４）
提供部１３４は、通信部１１０を介して、利用者Ｕの端末装置１０に各種データを提供する。例えば、提供部１３４は、通信部１１０を介して、利用者Ｕの端末装置１０に、認証器３４やアプリケーション３５等を提供してもよい。すなわち、提供部１３４は、通信部１１０を介して、利用者Ｕの端末装置１０に、プログラム及びデータ等を提供してもよい。また、提供部１３４は、通信部１１０を介して、利用者Ｕの端末装置１０に、本人確認要求を提供（送信）してもよい。

図６に示す例では、制御部２３０は、収集部２３１と、受付部２３２と、確認部２３３と、提供部２３４とを有する。

（収集部２３１）
収集部２３１は、通信部２１０を介して、各利用者Ｕの端末装置１０の認証器３４から、リカバリ時の認証用データを収集する。リカバリ時の認証用データは、例えば端末装置１０の位置情報を学習データに用いた学習の結果として得られた学習モデルや、利用者Ｕの行動履歴における特異点（特異な位置情報）の情報等である。

（受付部２３２）
受付部２３２は、通信部２１０を介して、利用者Ｕの端末装置１０の認証器３４から、リカバリ時の認証用データの要求を受けた場合、リカバリ時の認証用データを利用者Ｕの端末装置１０の認証器３４に送信するための処理を行う。

（確認部２３３）
確認部２３３は、利用者Ｕの端末装置１０の認証器３４からアクセスや要求があった場合、端末装置１０に対する別の認証を行う。

（提供部２３４）
提供部２３４は、通信部２１０を介して、利用者Ｕの端末装置１０に各種データを提供する。例えば、提供部２３４は、通信部２１０を介して、利用者Ｕの端末装置１０に、認証器３４やアプリケーション３５等を提供してもよい。すなわち、提供部２３４は、通信部２１０を介して、利用者Ｕの端末装置１０に、プログラム及びデータ等を提供してもよい。

また、提供部２３４は、通信部２１０を介して、利用者Ｕの端末装置１０の認証器３４から、リカバリ時の認証用データの要求を受けた場合、リカバリ時の認証用データを利用者Ｕの端末装置１０の認証器３４に提供してもよい。

〔５．処理手順〕
次に、図１０を用いて実施形態に係る端末装置１０による処理手順について説明する。図１０は、実施形態に係る処理手順を示すフローチャートである。なお、以下に示す処理手順は、端末装置１０の制御部３０によって繰り返し実行される。

図１０に示すように、端末装置１０の認証器３４は、端末装置１０の位置情報を取得して行動履歴として保存する（ステップＳ１０１）。

続いて、端末装置１０の認証器３４は、行動履歴に含まれる端末装置１０の位置情報を学習データとして機械学習（オンデバイス学習）を行い、学習結果として学習モデル（ローカルモデル）を構築して保存する（ステップＳ１０２）。

続いて、端末装置１０の認証器３４は、行動履歴の中から特異な履歴を抽出し、特異点として保存する（ステップＳ１０３）。

続いて、端末装置１０の認証器３４は、通信部１１及び／又は送信部３１を介して、学習モデル及び特異点に関する情報を、リカバリ時の認証用データとしてリカバリサーバ２００に送信してバックアップする（ステップＳ１０４）。このとき、認証器３４は、リカバリサーバ２００での認証を要求された場合、リカバリサーバ２００での認証を行う。

続いて、端末装置１０のアプリケーション３５は、何らかの事情で利用者Ｕが有していたアカウントのリカバリ（recovery：復旧、復帰、回復、修復、復元）が必要となった際に、通信部１１及び／又は送信部３１を介して、認証サーバ１００にリカバリリクエストを送信する（ステップＳ１０５）。

続いて、端末装置１０のアプリケーション３５は、通信部１１及び／又は受信部３２を介して、認証サーバ１００から本人確認要求を受信すると、認証サーバ１００からの本人確認要求に応じて、端末装置１０の認証器３４に本人確認を要求する（ステップＳ１０６）。

続いて、端末装置１０の認証器３４は、リカバリ時の認証用データ（学習モデル、特異点の情報等）の有無を確認する（ステップＳ１０７）。例えば、認証器３４は、予め決められたリカバリ時の認証用データの保存場所（端末装置１０のセキュア領域等）にリカバリ時の認証用データが保存されているか確認する。

続いて、端末装置１０の認証器３４は、リカバリ時の認証用データがない場合（ステップＳ１０７：Ｎｏ）、通信部１１及び／又は送信部３１を介して、リカバリサーバ２００にバックアップされているリカバリ時の認証用データを要求し、通信部１１及び／又は受信部３２を介して、リカバリサーバ２００からリカバリ時の認証用データを取得する（ステップＳ１０８）。

続いて、端末装置１０の認証器３４は、リカバリ時の認証用データがある場合（ステップＳ１０７：Ｙｅｓ）、あるいはリカバリサーバ２００からリカバリ時の認証用データを取得した後（ステップＳ１０８の後）、ウェアラブルデバイス５０の位置情報を取得する（ステップＳ１０９）。

続いて、端末装置１０の認証器３４は、認証処理として、ウェアラブルデバイス５０の位置情報の検証と、特異点に関する質問とを行う（ステップＳ１１０）。

続いて、端末装置１０の認証器３４は、認証に成功した場合、アプリケーション３５に認証成功（ＯＫ）を示す信号又はメッセージを送り、アプリケーション３５は、通信部１１及び／又は送信部３１を介して、認証サーバ１００に認証成功（ＯＫ）を示す信号又はメッセージを送信する（ステップＳ１１１）。

〔６．変形例〕
上述した端末装置１０及び認証サーバ１００は、上記実施形態以外にも種々の異なる形態にて実施されてよい。そこで、以下では、実施形態の変形例について説明する。

上記の実施形態において、認証サーバ１００が実行している処理の一部又は全部は、実際には、端末装置１０が実行してもよい。例えば、スタンドアローン（Stand-alone）で（端末装置１０単体で）処理が完結してもよい。この場合、端末装置１０に、上記の実施形態における認証サーバ１００の機能が備わっているものとする。また、上記の実施形態では、端末装置１０は認証サーバ１００と連携しているため、利用者Ｕから見れば、認証サーバ１００の処理も端末装置１０が実行しているように見える。すなわち、他の観点では、端末装置１０は、認証サーバ１００を備えているともいえる。

また、上記の実施形態において、端末装置１０の認証器３４は、位置情報を用いて学習や認証を行っているが、実際には、位置情報に限らず、端末装置１０に搭載／接続された各センサから得られたセンサ情報を用いて学習や認証を行ってもよい。このとき、認証器３４は、蓄積されたセンサ情報の中から、特異点として、特異なセンサ情報を抽出してもよい。また、認証器３４は、位置情報とセンサ情報とを組み合わせて学習や認証を行ってもよい。

また、上記の実施形態において、端末装置１０の認証器３４は、位置情報を用いて学習や認証を行っているが、実際には、位置情報に限らず、認証サーバ１００に記憶された各種の履歴情報（ログデータ）を取得して学習や認証を行ってもよい。このとき、認証器３４は、取得された履歴情報の中から、特異点として、特異なログを抽出してもよい。あるいは、認証サーバ１００が、利用者Ｕの履歴情報（ログデータ）を学習データに用いて学習を行い、学習結果として得られた学習モデルを端末装置１０に提供してもよい。このとき、認証器３４は、認証サーバ１００から提供された学習モデルを用いて認証を行う。また、認証器３４は、位置情報と履歴情報とを組み合わせて学習や認証を行ってもよい。

〔７．効果〕
上述してきたように、本願に係る情報処理装置（端末装置１０）は、ユーザ（利用者Ｕ）のアカウントのリカバリ時の認証用データを外部に送信して保存する送信部と、ユーザのアカウントのリカバリ時に外部に保存している認証用データを要求して取得する要求部と、ユーザのアカウントのリカバリ時に、認証用データに基づいて、ユーザの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う認証部と、を備える。

また、送信部は、ユーザのアカウントのリカバリ時の認証用データの１つとして、ユーザの位置情報を学習データに用いた機械学習により得られた学習モデルを外部に送信して保存する。

また、学習モデルは、モデルから位置情報に戻せない不可逆なモデルである。

また、送信部は、ユーザのアカウントのリカバリ時の認証用データの１つとして、特異点に関する情報を外部に送信して保存する。

また、送信部は、ユーザのアカウントのリカバリ時の認証用データをリカバリサーバ２００に送信して保存する。要求部は、ユーザのアカウントのリカバリ時に認証サーバ１００に対してリカバリを要求し、認証サーバ１００からの本人確認要求に応じてリカバリサーバ２００に認証用データを要求して取得する。

また、認証部は、ユーザが身につけているウェアラブルデバイス５０からウェアラブルデバイス５０の位置情報のキャッシュデータを取得し、ウェアラブルデバイス５０の位置情報と認証用データとを用いて認証を行う。

また、認証部は、ユーザの行動履歴における特異点を訪れた目的、日時、場所、同行者、行動内容をユーザに対する質問事項とし、質問に対する適切な回答があれば、認証に成功したと判定する。

また、認証部は、ユーザが身につけているウェアラブルデバイス５０の位置情報が適切であり、ユーザに対して行った特異点に関する質問に適切な回答が得られた場合、認証に成功したと判定する。

上述した各処理のいずれかもしくは組合せにより、本願に係る情報処理装置は、端末側で普段の行動のログの検証と特異なログに対する質問とを組み合わせて本人確認を行うことができる。

〔８．ハードウェア構成〕
また、上述した実施形態に係る端末装置１０や認証サーバ１００やリカバリサーバ２００は、例えば図１１に示すような構成のコンピュータ１０００によって実現される。以下、端末装置１０を例に挙げて説明する。図１１は、ハードウェア構成の一例を示す図である。コンピュータ１０００は、出力装置１０１０、入力装置１０２０と接続され、演算装置１０３０、一次記憶装置１０４０、二次記憶装置１０５０、出力Ｉ／Ｆ（Interface）１０６０、入力Ｉ／Ｆ１０７０、ネットワークＩ／Ｆ１０８０がバス１０９０により接続された形態を有する。

演算装置１０３０は、一次記憶装置１０４０や二次記憶装置１０５０に格納されたプログラムや入力装置１０２０から読み出したプログラム等に基づいて動作し、各種の処理を実行する。演算装置１０３０は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等により実現される。

一次記憶装置１０４０は、ＲＡＭ（Random Access Memory）等、演算装置１０３０が各種の演算に用いるデータを一次的に記憶するメモリ装置である。また、二次記憶装置１０５０は、演算装置１０３０が各種の演算に用いるデータや、各種のデータベースが登録される記憶装置であり、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等により実現される。二次記憶装置１０５０は、内蔵ストレージであってもよいし、外付けストレージであってもよい。また、二次記憶装置１０５０は、ＵＳＢ（Universal Serial Bus）メモリやＳＤ（Secure Digital）メモリカード等の取り外し可能な記憶媒体であってもよい。また、二次記憶装置１０５０は、クラウドストレージ（オンラインストレージ）やＮＡＳ（Network Attached Storage）、ファイルサーバ等であってもよい。

出力Ｉ／Ｆ１０６０は、ディスプレイ、プロジェクタ、及びプリンタ等といった各種の情報を出力する出力装置１０１０に対し、出力対象となる情報を送信するためのインターフェースであり、例えば、ＵＳＢ（Universal Serial Bus）やＤＶＩ（Digital Visual Interface）、ＨＤＭＩ（登録商標）（High Definition Multimedia Interface）といった規格のコネクタにより実現される。また、入力Ｉ／Ｆ１０７０は、マウス、キーボード、キーパッド、ボタン、及びスキャナ等といった各種の入力装置１０２０から情報を受信するためのインターフェースであり、例えば、ＵＳＢ等により実現される。

また、出力Ｉ／Ｆ１０６０及び入力Ｉ／Ｆ１０７０はそれぞれ出力装置１０１０及び入力装置１０２０と無線で接続してもよい。すなわち、出力装置１０１０及び入力装置１０２０は、ワイヤレス機器であってもよい。

また、出力装置１０１０及び入力装置１０２０は、タッチパネルのように一体化していてもよい。この場合、出力Ｉ／Ｆ１０６０及び入力Ｉ／Ｆ１０７０も、入出力Ｉ／Ｆとして一体化していてもよい。

なお、入力装置１０２０は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、又は半導体メモリ等から情報を読み出す装置であってもよい。

ネットワークＩ／Ｆ１０８０は、ネットワークＮを介して他の機器からデータを受信して演算装置１０３０へ送り、また、ネットワークＮを介して演算装置１０３０が生成したデータを他の機器へ送信する。

演算装置１０３０は、出力Ｉ／Ｆ１０６０や入力Ｉ／Ｆ１０７０を介して、出力装置１０１０や入力装置１０２０の制御を行う。例えば、演算装置１０３０は、入力装置１０２０や二次記憶装置１０５０からプログラムを一次記憶装置１０４０上にロードし、ロードしたプログラムを実行する。

例えば、コンピュータ１０００が端末装置１０として機能する場合、コンピュータ１０００の演算装置１０３０は、一次記憶装置１０４０上にロードされたプログラムを実行することにより、制御部３０の機能を実現する。また、コンピュータ１０００の演算装置１０３０は、ネットワークＩ／Ｆ１０８０を介して他の機器から取得したプログラムを一次記憶装置１０４０上にロードし、ロードしたプログラムを実行してもよい。また、コンピュータ１０００の演算装置１０３０は、ネットワークＩ／Ｆ１０８０を介して他の機器と連携し、プログラムの機能やデータ等を他の機器の他のプログラムから呼び出して利用してもよい。

〔９．その他〕
以上、本願の実施形態を説明したが、これら実施形態の内容により本発明が限定されるものではない。また、前述した構成要素には、当業者が容易に想定できるもの、実質的に同一のもの、いわゆる均等の範囲のものが含まれる。さらに、前述した構成要素は適宜組み合わせることが可能である。さらに、前述した実施形態の要旨を逸脱しない範囲で構成要素の種々の省略、置換又は変更を行うことができる。

また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

例えば、上述した認証サーバ１００及びリカバリサーバ２００は、複数のサーバコンピュータで実現してもよく、また、機能によっては外部のプラットフォーム等をＡＰＩ（Application Programming Interface）やネットワークコンピューティング等で呼び出して実現するなど、構成は柔軟に変更できる。

また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

また、上述してきた「部（section、module、unit）」は、「手段」や「回路」などに読み替えることができる。例えば、取得部は、取得手段や取得回路に読み替えることができる。

１ 情報処理システム
１０ 端末装置
３４ 認証器
３５ アプリケーション
５０ ウェアラブルデバイス
１００ 認証サーバ
２００ リカバリサーバ
１１０、２１０ 通信部
１２０、２２０ 記憶部
１２１ 利用者情報データベース
１２２ 履歴情報データベース
２２１ リカバリ情報データベース
１３０、２３０ 制御部
１３１、２３１ 収集部
１３２、２３２ 受付部
１３３、２３３ 確認部
１３４、２３４ 提供部

Claims (10)

1. ユーザのアカウントのリカバリ時の認証用データを外部に送信して保存する送信部と、
   前記ユーザのアカウントのリカバリ時に外部に保存している前記認証用データを要求して取得する要求部と、
   前記ユーザのアカウントのリカバリ時に、前記認証用データに基づいて、前記ユーザの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う認証部と、
   を備えることを特徴とする情報処理装置。
2. 前記送信部は、前記ユーザのアカウントのリカバリ時の認証用データの１つとして、前記ユーザの位置情報を学習データに用いた機械学習により得られた学習モデルを外部に送信して保存する
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記学習モデルは、モデルから位置情報に戻せない不可逆なモデルである
   ことを特徴とする請求項２に記載の情報処理装置。
4. 前記送信部は、前記ユーザのアカウントのリカバリ時の認証用データの１つとして、特異点に関する情報を外部に送信して保存する
   ことを特徴とする請求項１～３のうちいずれか１つに記載の情報処理装置。
5. 前記送信部は、前記ユーザのアカウントのリカバリ時の認証用データをリカバリサーバに送信して保存し、
   前記要求部は、前記ユーザのアカウントのリカバリ時に認証サーバに対してリカバリを要求し、前記認証サーバからの本人確認要求に応じて前記リカバリサーバに前記認証用データを要求して取得する
   ことを特徴とする請求項１～４のうちいずれか１つに記載の情報処理装置。
6. 前記認証部は、前記ユーザが身につけているウェアラブルデバイスから前記ウェアラブルデバイスの位置情報のキャッシュデータを取得し、前記ウェアラブルデバイスの位置情報と前記認証用データとを用いて認証を行う
   ことを特徴とする請求項１～５のうちいずれか１つに記載の情報処理装置。
7. 前記認証部は、前記ユーザの行動履歴における特異点を訪れた目的、日時、場所、同行者、行動内容を前記ユーザに対する質問事項とし、前記質問に対する適切な回答があれば、認証に成功したと判定する
   ことを特徴とする請求項１～６のうちいずれか１つに記載の情報処理装置。
8. 前記認証部は、前記ユーザが身につけているウェアラブルデバイスの位置情報が適切であり、前記ユーザに対して行った特異点に関する質問に適切な回答が得られた場合、認証に成功したと判定する
   ことを特徴とする請求項１～７のうちいずれか１つに記載の情報処理装置。
9. 情報処理装置が実行する情報処理方法であって、
   ユーザのアカウントのリカバリ時の認証用データを外部に送信して保存する送信工程と、
   前記ユーザのアカウントのリカバリ時に外部に保存している前記認証用データを要求して取得する要求工程と、
   前記ユーザのアカウントのリカバリ時に、前記認証用データに基づいて、前記ユーザの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う認証工程と、
   を含むことを特徴とする情報処理方法。
10. ユーザのアカウントのリカバリ時の認証用データを外部に送信して保存する送信手順と、
    前記ユーザのアカウントのリカバリ時に外部に保存している前記認証用データを要求して取得する要求手順と、
    前記ユーザのアカウントのリカバリ時に、前記認証用データに基づいて、前記ユーザの普段の行動履歴の検証と、特異な履歴に対する質問とを組み合わせて認証を行う認証を行う認証手順と、
    をコンピュータに実行させるための情報処理プログラム。

Images