JP7428240B2 - 認証システム、端末、端末の制御方法及びコンピュータプログラム - Google Patents

Description

本発明は、認証システム、端末、端末の制御方法及び記憶媒体に関する。

近年、生体情報を利用した各種サービスの普及が始まっている。例えば、空港内で行われる各種手続き（チェックイン、手荷物預け入れ等）やホテルのチェックイン等に顔認証が用いられている。

例えば、特許文献１には、セキュリティ強化を図るとともに、迅速な決済処理を可能にする電子決済システムを提供する、と記載されている。特許文献１に開示された電子決済システムでは、利用者の生体情報が決済に利用されている。

顔認証を利用したサービスでは、次のような流れで処理が行われる。まず、端末（空港やホテルに設置された端末）が利用客の顔画像を取得し、当該顔画像を特徴付ける特徴量（特徴ベクトル）を生成する。生成された特徴量は、ネットワーク上のサーバに送信される。

サーバは、顔認証によるサービスを受ける利用者の生体情報と個人情報（氏名、住所等）を格納するデータベースを備える。サーバは、端末から照合要求を取得すると、上記データベースを検索（照合）し、端末からの照合要求に対応する生体情報と個人情報を特定する。サーバは、特定した個人情報を端末に送信し、空港等に設置された端末は、取得した個人情報に基づいた業務を行う。

特開２００６－１９０１１２号公報

上述のように、生体認証を用いてサービスを提供する際、利用者の個人情報が必要となる。ここで、多数の個人情報を収集し蓄積することで当該個人情報は大きな価値を生む。具体的には、どのような年齢層の利用者がどのようなサービスの提供を受けているといったデータは、企業のマーケティングにおける大きな判断材料となる。

しかし、生体認証によるサービス提供時に用いられた個人情報は、利用者のプライバシ保護の観点から、利用者の同意なく第三者に提供することは困難である。

本発明は、生体認証によるサービス提供に関連した個人情報を利用者が制御、管理することに寄与する、認証システム、端末、端末の制御方法及び記憶媒体を提供することを主たる目的とする。

本発明の第１の視点によれば、利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、前記利用者の個人情報を記憶する、管理サーバと、前記利用者が所持する、端末と、を含み、前記認証サーバは、前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、前記端末は、前記認証通知の受信に応じて、前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、認証システムが提供される。

本発明の第２の視点によれば、利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、前記利用者の個人情報を記憶する、管理サーバと、前記利用者が所持する、端末と、を含み、前記管理サーバは、前記認証サーバが前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、前記端末は、前記認証通知の受信に応じて、前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、認証システムが提供される。

本発明の第３の視点によれば、利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信し、前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末が提供される。

本発明の第４の視点によれば、端末において、利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信し、前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末の制御方法が提供される。

本発明の第５の視点によれば、端末に搭載されたコンピュータに、利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信する処理と、前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する処理と、を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体が提供される。

本発明の各視点によれば、生体認証によるサービス提供に関連した個人情報を利用者が制御、管理することに寄与する、認証システム、端末、端末の制御方法及び記憶媒体が提供される。なお、本発明の効果は上記に限定されない。本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

一実施形態の概要を説明するための図である。 第１の実施形態に係る認証システムの概略構成の一例を示す図である。 第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムの個人情報収集フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証サーバの処理構成の一例を示す図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 第１の実施形態に係る管理サーバの処理構成の一例を示す図である。 第１の実施形態に係る管理サーバの個人情報取得部の動作を説明するための図である。 利用者情報データベースの一例を示す図である。 第１の実施形態に係る認証端末の処理構成の一例を示す図である。 第１の実施形態に係る端末の処理構成の一例を示す図である。 第１の実施形態に係る端末の個人情報制御部の動作を説明するための図である。 第１の実施形態に係る端末の個人情報制御部の動作を説明するための図である。 第１の実施形態に係る端末の個人情報制御部の動作を説明するための図である。 第１の実施形態に係る端末の個人情報制御部の動作を説明するための図である。 第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムの個人情報収集フェーズに関する動作の一例を示すシーケンス図である。 第２の実施形態に係る個人情報収集フェーズにおける認証システムの動作を説明するための図である。 第３の実施形態に係るサービス提供フェーズにおける認証システムの動作を説明するための図である。 端末のハードウェア構成の一例を示す図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、特段の釈明がない場合には、各図面に記載されたブロックはハードウェア単位の構成ではなく、機能単位の構成を表す。各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

一実施形態に係る認証システムは、認証サーバ１０１と、管理サーバ１０２と、利用者が所持する端末１０３と、を含む（図１参照）。認証サーバ１０１は、利用者の第１の生体情報を記憶し、第１の生体情報を用いて利用者の生体認証を行う。管理サーバ１０２は、利用者の個人情報を記憶する。認証サーバ１０１は、利用者の生体認証に成功すると、利用者の生体認証に成功したことを示す認証通知を端末１０３に送信する。端末１０３は、認証通知の受信に応じて、記憶された個人情報を第三者に提供することを承諾するか否かに関する利用者の意思を取得する。端末１０３は、利用者が記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を管理サーバ１０２に送信する。

上記認証システムでは、認証サーバ１０１に登録された生体情報を用いた認証処理が行われたという事実が端末１０３に通知される。利用者は、端末１０３に通知された認証通知により生体情報を用いた生体認証が行われたことを認識する。その後、端末１０３は、当該生体認証に関する個人情報を第三者（例えば、後述する情報サーバ４０）に提供することを利用者が承諾するか否かの意思を取得する。端末１０３は、利用者が個人情報の提供に同意した場合には、その旨を示す承諾通知を管理サーバ１０２に送信する。このように、端末１０３を含む認証システムでは、生体認証によるサービス提供に関連した個人情報を利用者自身が制御、管理することができる。

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

［システムの構成］
図２は、第１の実施形態に係る認証システムの概略構成の一例を示す図である。図２に示すように、認証システムには、認証センター、情報センター及び複数のサービス提供者が含まれる。

認証システムに参加する各サービス提供者は、生体認証を用いたサービスの提供を行う。サービス提供者により提供されるサービスとして、小売店等での代金決済サービスやホテル等での宿泊サービスが例示される。あるいは、サービス提供者により提供されるサービスは、空港や港における出入国審査等であってもよい。本願開示のサービス提供者は、生体認証を用いて提供できる任意のサービスが提供できればよい。

認証センターには、認証サーバ１０が設置されている。認証サーバ１０は、利用者の生体情報（第１の生体情報）を記憶し、当該生体情報を用いて利用者の生体認証を行う。認証サーバ１０は、生体情報を用いた認証の認証局として動作する。認証サーバ１０は、認証センターの敷地に設置されたサーバであってもよいし、クラウド上に設置されたサーバであってもよい。

なお、利用者の生体情報には、例えば、顔、指紋、声紋、静脈、網膜、瞳の虹彩の模様（パターン）といった個人に固有の身体的特徴から計算されるデータ（特徴量）が例示される。あるいは、利用者の生体情報は、顔画像、指紋画像等の画像データであってもよい。利用者の生体情報は、利用者の身体的特徴を情報として含むものであればよい。本願開示では、人の「顔」に関する生体情報を用いる場合について説明する。

認証サーバ１０は、生体認証によるサービスを実現するためのサーバ装置である。認証サーバ１０は、各サービス提供者から送信される「認証要求」を処理し、認証処理の結果をサービス提供者に送信する。

各サービス提供者は、管理サーバと認証端末を有する。

例えば、サービス提供者Ｓ１には、管理サーバ２０と、複数の認証端末３０が設置されている。サービス提供者Ｓ２には、管理サーバ２０と、複数の認証端末３１が設置されている。

以降の説明において、各構成要素を区別する必要がある場合には、ハイフンより右側の符号を用いる。サービス提供者Ｓ１とサービス提供者Ｓ２に含まれる各装置の動作等は同一とすることができるので、以降の説明は、サービス提供者Ｓ１を中心に説明する。

図２に示す各装置は相互に接続されている。例えば、認証サーバ１０と管理サーバ２０は、有線又は無線の通信手段により接続され、相互に通信が可能となるように構成されている。

管理サーバ２０は、サービス提供者の業務全般を制御、管理するサーバである。例えば、サービス提供者が小売店である場合には、管理サーバ２０は、商品の在庫管理等を行う。あるいは、サービス提供者がホテル事業者であれば、管理サーバ２０は、宿泊客の予約情報の管理等を行う。

管理サーバ２０は、上記サービス提供に係る機能に加え、利用者の生体認証に関する制御機能、管理機能を備える。管理サーバ２０は、認証システムを利用する利用者の個人情報（例えば、氏名等）を記憶する。

認証端末３０は、管理サーバ２０と接続され、サービス提供者を訪れた利用者（利用客）のインターフェイスとなる装置である。利用者は、認証端末３０を介して種々のサービス提供を受ける。例えば、サービス提供者が小売店である場合には、利用者は、認証端末３０を用いて代金の決済を行う。あるいは、サービス提供者がホテル事業者であれば、利用者は認証端末３０を用いてチェックイン手続きを行う。

情報センターには、情報サーバ４０が設置されている。情報センター及び情報サーバ４０は、利用者からみた「第三者」に相当する。情報サーバ４０は、サービス提供者からサービスを受けた利用者の個人情報を収集する。例えば、情報サーバ４０は、利用者が利用したサービスの種類、氏名、年齢、性別等を収集する。収集された個人情報は、他の事業者に譲渡等される。他の事業者は、取得した個人情報をマーケティング等に役立てる。

図２は例示であって、本願開示の認証システムの構成等を限定する趣旨ではない。例えば、認証センターには２台以上の認証サーバ１０が含まれていてもよい。あるいは、サービス提供者には少なくとも１台以上の認証端末３０が含まれればよい。あるいは、管理サーバ２０と認証端末３０の機能が統合され、当該統合された１台の装置により生体認証を用いたサービスが提供されてもよい。あるいは、各サービス提供者において、図２に示すように１台の管理サーバ２０に複数の認証端末３０が接続されていてもよいし、１台の管理サーバ２０に１台の認証端末３０が接続されていてもよい。あるいは、認証サーバ１０と情報サーバ４０の機能が統合されていてもよい。つまり、認証サーバ１０も利用者からみた「第三者」に該当し得る。

［システムの動作概略］
続いて、第１の実施形態に係る認証システムの概略動作について説明する。

認証システムの動作には、４つのフェーズが含まれる。

第１のフェーズは、利用者のシステム登録を行うフェーズ（利用者登録フェーズ）である。

第２のフェーズは、サービスの登録を行うフェーズ（サービス登録フェーズ）である。

第３のフェーズは、利用者に生体認証を用いたサービスを提供するフェーズ（サービス提供フェーズ）である。

第４のフェーズは、サービスの提供を受けた利用者の個人情報を収集するフェーズ（個人情報収集フェーズ）である。

［利用者登録フェーズ］
図３は、第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。

生体認証を用いたサービスの提供を希望する利用者は、事前に利用者登録を行う。利用者は、認証システムにて利用者自身を特定するための情報（ユーザＩＤ（Identifier）、パスワード（ＰＷ；Pass Word））を決定し、システムに登録する。なお、図３を含む図面において、ユーザＩＤを「ｕＩＤ」と表記する。

また、利用者は、自身の生体情報（例えば、顔画像）と連絡先（例えば、端末５０で受信が可能なアカウントのメールアドレス）をシステムに登録する。

利用者は、任意の手段を用いて上記４つの情報（ユーザＩＤ、パスワード、生体情報、連絡先）をシステムに登録する。例えば、利用者は、上記４つの情報が記載された書類を認証センターに郵送し、認証センターの従業員が上記４つの情報を認証サーバ１０に入力してもよい。あるいは、利用者は、上記４つの情報が格納された、ＵＳＢ（Universal Serial Bus）等の外部記憶装置を認証センターに郵送してもよい。

あるいは、利用者は、所有する端末５０を操作して撮像した自身の顔画像と、ユーザＩＤ、パスワード、連絡先を認証サーバ１０に入力してもよい。端末５０には、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。

認証サーバ１０は、取得した顔画像から特徴量（複数の特徴量からなる特徴ベクトル）を生成し、当該特徴量とユーザＩＤ、パスワード、連絡先を対応付けて記憶する。具体的には、認証サーバ１０は、認証情報データベースに新規なエントリを追加し、上記４つの情報を対応付けて記憶する。

このように、利用者登録フェーズにて、システムにおいて利用者を一意に定める第１のＩＤ（例えば、ユーザＩＤ）と利用者の認証に用いられる第１の生体情報がシステムに登録される。なお、第１の実施形態では、システム利用者を一意に定める識別子（第１のＩＤ）としてユーザＩＤとパスワードを用いる例を説明するが、利用者間でユーザＩＤの重複がなければ、上記識別子（第１のＩＤ）としてユーザＩＤを用いることも可能である。

［サービス登録フェーズ］
図４は、第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。

利用者登録を終えた利用者は、生体認証によりサービスを受けたいサービス提供者を選択し、当該選択したサービス提供者をシステムに登録する。例えば、図２において、利用者がサービス提供者Ｓ１からサービスの提供を希望する場合には、サービス提供者Ｓ１をシステムに登録する。

利用者は、選択したサービス提供者からサービスを受けるために必要な個人情報（例えば、氏名等）をシステムに登録する。上記個人情報としては、氏名、年齢、性別等が例示される。また、利用者は、上記個人情報と併せて、利用者登録フェーズにて決定されたユーザＩＤ、パスワードをシステムに登録する。

なお、本願開示において、個人情報は、利用者（被認証者）の生体情報を含まない情報と定義される。即ち、生体情報及び当該生体情報から生成された特徴量は、本願開示の「個人情報」から除外される。

利用者は、上記３つの情報（個人情報、ユーザＩＤ、パスワード）を任意の手段を用いてサービス提供者に入力する。例えば、利用者は、上記３つの情報を記載した媒体（紙媒体、電子媒体）を、選択したサービス提供者に郵送する。サービス提供者の従業員が上記３つの情報を管理サーバ２０に入力する。利用者は、サービス提供者に設置された認証端末３０を操作して、上記３つの情報を管理サーバ２０に入力してもよい。

あるいは、図４に示すように、利用者は端末５０を操作して上記３つの情報を管理サーバ２０に入力してもよい。この場合、利用者は、サービス提供者が管理、運営するＷＥＢ（ウェブ）ページ上にて上記３つの情報を入力する。

管理サーバ２０は、上記３つの情報（個人情報、ユーザＩＤ、パスワード）を取得すると、認証サーバ１０に対して「サービス登録要求」を送信する。具体的には、管理サーバ２０は、サービス提供者ＩＤ、ユーザＩＤ及びパスワードを含むサービス登録要求を認証サーバ１０に送信する。

サービス提供者ＩＤは、認証システムに含まれるサービス提供者（生体認証を利用する認証基盤に参加している小売店等）を一意に識別するための識別情報である。図２の例では、サービス提供者Ｓ１、Ｓ２のそれぞれに異なるサービス提供者ＩＤが割り当てられている。

なお、サービス提供者ＩＤは、サービス提供者ごとに割り当てられるＩＤであって、サービスごとに割り当てられるＩＤではない。例えば、図２において、サービス提供者Ｓ１とＳ２が同じ種類のサービス（例えば、宿泊サービス）を提供する事業者であっても、経営主体が異なればこれらのサービス提供者には異なるＩＤが割り当てられる。

認証サーバ１０と管理サーバ２０は、任意の方法によりサービス提供者ＩＤを共有する。例えば、サービス提供者が認証基盤に参加する際、認証サーバ１０がサービス提供者ＩＤを生成し、当該生成したサービス提供者ＩＤをサービス提供者に配付（通知）すればよい。図４を含む図面において、サービス提供者ＩＤを「ｓｐＩＤ」と表記する。

サービス登録要求を受信すると、認証サーバ１０は、当該要求に含まれるユーザＩＤとパスワードをキーとして認証情報データベースを検索し、対応する利用者を特定する。その後、認証サーバ１０は、「サービスユーザＩＤ」を生成する。

サービスユーザＩＤは、利用者とサービス提供者の対応関係（組み合わせ）を一意に定める識別情報である。例えば、図２の例では、利用者Ｕ１とサービス提供者Ｓ１の組み合わせから定まるサービスユーザＩＤと、利用者Ｕ１とサービス提供者Ｓ２の組み合わせから定まるサービスユーザＩＤには、それぞれ異なる値が設定される。

認証サーバ１０は、ユーザＩＤ、パスワード、特徴量、連絡先、サービス提供者ＩＤ、上記生成されたサービスユーザＩＤを対応付けて記憶する。図４を含む図面において、サービスユーザＩＤを「ｓｕＩＤ」と表記する。

認証サーバ１０は、上記生成したサービスユーザＩＤを、サービス登録要求の送信元に送信する。認証サーバ１０は、サービスユーザＩＤを含む応答を管理サーバ２０に送信し、サービスユーザＩＤの払い出しを行う。

管理サーバ２０は、認証サーバ１０から取得したサービスユーザＩＤと利用者の個人情報を対応付けて記憶する。管理サーバ２０は、利用者情報データベースに新規なエントリを追加し、上記情報（個人情報、サービスユーザＩＤ）を格納する。

利用者は、生体認証を用いたサービスの提供を受けたいサービス提供者ごとに上記のような登録動作を繰り返す。換言すれば、利用者は、サービスの提供が不要なサービス提供者についての利用登録を行う必要はない。

このように、サービス登録フェーズにおいて、利用者が利用を希望するサービスのサービス提供者から、第１のＩＤ（例えば、ユーザＩＤ）と第２のＩＤ（例えば、サービス提供者ＩＤ）を含むサービス登録要求が認証サーバ１０に送信される。認証サーバ１０は、当該サービス登録要求を処理する際、利用者とサービス提供者の組み合わせにより一意に定まる第３のＩＤ（例えば、サービスユーザＩＤ）を生成する。認証サーバ１０は、当該第３のＩＤをサービス提供者に送信する。サービス提供者（管理サーバ２０）は、利用者の個人情報と第３のＩＤを対応付けて記憶する。

［サービス提供フェーズ］
図５は、第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。

サービスの登録（サービス登録フェーズ）を終了した利用者は、サービス提供者を訪問する。利用者は、認証端末３０の前に移動する。

認証端末３０は、面前の利用者から生体情報を取得する。具体的には、認証端末３０は、利用者を撮像し、顔画像を取得する。認証端末３０は、取得した顔画像を管理サーバ２０に送信する。

管理サーバ２０は、取得した顔画像から特徴量を生成する。管理サーバ２０は、当該生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。

認証サーバ１０は、認証要求から特徴量を取り出し、当該取り出した特徴量と認証情報データベースに登録された特徴量を用いた照合処理（１対Ｎ照合；Ｎは正の整数、以下同じ）を実行する。

認証サーバ１０は、照合処理により利用者を特定し、当該特定した利用者に対応付けられている複数のサービスユーザＩＤのうち認証要求に含まれるサービス提供者ＩＤに対応するサービスユーザＩＤを特定する。

認証サーバ１０は、特定したサービスユーザＩＤを認証要求の送信元に送信する。認証サーバ１０は、特定したサービスユーザＩＤを含む応答（認証要求に対する応答）を管理サーバ２０に送信する。

管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、サービスユーザＩＤに対応する個人情報を特定する。管理サーバ２０は、特定した個人情報を認証端末３０に送信する。認証端末３０は、取得した個人情報を用いてサービスを提供する。

このように、サービス提供フェーズにおいて、認証端末３０は、利用者の第２の生体情報を取得すると共に、取得した第２の生体情報を管理サーバに送信する。認証サーバ１０は、サービス提供者から利用者の生体情報と第２のＩＤ（サービス提供者ＩＤ）を含む認証要求を受信する。認証サーバ１０は、第１及び第２の生体情報と第２のＩＤを用いた照合処理により第３のＩＤ（サービスユーザＩＤ）を特定する。認証サーバ１０は、特定した第３のＩＤをサービス提供者に送信する。管理サーバ２０は、利用者にサービスを提供する際、認証要求を認証サーバ１０に送信することで取得した第３のＩＤを用いて利用者の個人情報を特定する。サービス提供者は、特定された個人情報を用いて利用者にサービスを提供する。

［個人情報収集フェーズ］
図６は、第１の実施形態に係る認証システムの個人情報収集フェーズにおける動作を説明するための図である。

サービス提供フェーズにおいて、認証サーバ１０が利用者を認証すると、当該事実が利用者に通知される。具体的には、認証サーバ１０は、利用者が所持する端末５０に対し、「認証通知」を送信する。

認証通知には、利用者がサービスの提供を受けるサービス提供者のサービスユーザＩＤが含まれる。また、認証通知は、承諾通知の送信先に関する情報（以下、承諾通知送信先情報と表記する）を含む。承諾通知送信先情報は、後述する「承諾通知」の送信先となる管理サーバ２０に関する情報である。例えば、承諾通知の送信先となる管理サーバ２０のＩＰ（Internet Protocol）アドレスが承諾通知送信先情報として例示される。

認証通知を受信すると、端末５０は、個人情報が情報サーバ４０に提供されることに関する可否（個人情報を提供することを利用者が承諾するか否か）を入力するためのＧＵＩ（Graphical User Interface）を生成する。即ち、端末５０は、ＧＵＩを用いて管理サーバ２０に記憶された個人情報を情報サーバ４０に提供することに同意するか否かに関する利用者の意思（考え）を取得する。

情報サーバ４０に個人情報を提供することに関して利用者が拒否すれば、端末５０は特段の動作を行わない。

情報サーバ４０に個人情報を提供することに関して利用者が承諾すれば、端末５０は、その旨を管理サーバ２０に通知する。その際、端末５０は、承諾通知送信先情報に対応する管理サーバ２０に対して、個人情報提供に対する承諾（利用者の承諾）を通知する。以降の説明において、端末５０から管理サーバ２０に通知される「個人情報提供に対する承諾」を「承諾通知」と表記する。

端末５０が送信する承諾通知には、認証サーバ１０から取得したサービスユーザＩＤが含まれる。

承諾通知を受信した管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報を特定する。管理サーバ２０は、特定した個人情報を情報サーバ４０に送信する。

情報サーバ４０は、受信した個人情報を記憶する。

例えば、図２の例において、サービス提供者Ｓ１の認証端末３０－１にて顔画像が撮影された場合を考える。この場合、認証サーバ１０は、利用者の認証に成功すると、当該事実を「認証通知」として利用者（利用者が所持する端末５０）に通知する。端末５０は、個人情報の提供に関する利用者の意思を入力するためのＧＵＩを生成する。利用者が個人情報の提供に同意した場合には、端末５０は、サービス提供者Ｓ１に設置された管理サーバ２０－１に対して「承諾通知」を送信する。承諾通知を受信した管理サーバ２０－１は、対応する個人情報を情報サーバ４０に送信する。

なお、通常、個人情報を提供することに対する利益がなければ、利用者は、個人情報の提供に同意することはないと想定される。そのため、利用者には個人情報提供に対する特典を提示、提案することが望ましい。例えば、サービス提供者において使えるクーポンやポイント等を特典として利用者に与えることが考えられる。なお、与える特典や特典の与え方に関しては種々の形態が考えられ、本願開示の趣旨とも異なるので詳細な説明を省略する。

このように、個人情報収集フェーズにおいて、認証サーバ１０は、利用者の生体認証に成功すると、利用者の生体認証に成功したことを示す「認証通知」を端末５０に送信する。端末５０は、認証通知の受信に応じて、管理サーバ２０に記憶された個人情報を情報サーバ４０に提供することを利用者が承諾したことを示す「承諾通知」を管理サーバ２０に送信する。管理サーバ２０は、承諾通知を受信したことに応じて、利用者の個人情報を第三者（情報サーバ４０）に送信する。なお、利用者は、生体認証を受けた覚えがないのに、認証通知を受け取った場合には、他人による「なりすまし」を疑うことができる。この場合、利用者は、認証センターの管理者等に問い合わせをすることができる。

続いて、第１の実施形態に係る認証システムに含まれる各装置の詳細について説明する。

［認証サーバ］
図７は、第１の実施形態に係る認証サーバ１０の処理構成（処理モジュール）の一例を示す図である。図７を参照すると、認証サーバ１０は、通信制御部２０１と、利用者登録部２０２と、データベース管理部２０３と、サービス登録部２０４と、認証部２０５と、記憶部２０６と、を備える。

通信制御部２０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部２０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部２０１は、管理サーバ２０に向けてデータを送信する。通信制御部２０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部２０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部２０１を介して他の装置とデータの送受信を行う。

利用者登録部２０２は、上述の利用者登録を実現する手段である。利用者登録部２０２は、利用者（生体認証を用いたサービスの提供を希望する利用者；システム利用者）のユーザＩＤ、パスワード、生体情報（顔画像）、連絡先（認証通知の送信先）を取得する。

利用者登録部２０２は、任意の手段を用いて上記４つの情報（ユーザＩＤ、パスワード、生体情報、連絡先）を取得する。例えば、利用者登録部２０２は、ユーザＩＤ、パスワードを決定するためのＧＵＩや入力フォームを端末５０に表示する。例えば、利用者登録部２０２は、図８に示すようなＧＵＩを端末５０に表示する。

利用者登録部２０２は、ＧＵＩ等により取得したユーザＩＤ、パスワードが既に登録されているユーザＩＤ、パスワードと重複していないことを検証する。当該重複が発生していなければ、利用者登録部２０２は、利用者の生体情報、連絡先を取得するためのＧＵＩを端末５０に表示する。

例えば、利用者登録部２０２は、図９に示すようなＧＵＩを端末５０に表示する。例えば、利用者は、図９に示す「ファイル選択」ボタンを押下し、システムに登録する顔画像の画像データを指定する。指定された顔画像は、プレビュー領域に表示される（図９では選択顔画像として表示されている）。

利用者は、連絡先に端末５０が受信できるアカウントのメールアドレスを入力する。プレビューされた顔画像や連絡先を登録する際には、利用者は「決定」ボタンを押下する。

利用者登録部２０２は、例えば、図８、図９に示すようなＧＵＩによりユーザＩＤ、パスワード、生体情報（顔画像）、連絡先を取得すると、顔画像から特徴量（複数の特徴量からなる特徴ベクトル）を生成する。

具体的には、利用者登録部２０２は、取得した顔画像から特徴点を抽出する。なお、特徴点の抽出処理に関しては既存の技術を用いることができるのでその詳細な説明を省略する。例えば、利用者登録部２０２は、顔画像から目、鼻、口等を特徴点として抽出する。その後、利用者登録部２０２は、特徴点それぞれの位置や各特徴点間の距離を特徴量として計算し、複数の特徴量からなる特徴ベクトル（顔画像を特徴づけるベクトル情報）を生成する。

利用者登録部２０２は、ユーザＩＤ、パスワード、連絡先及び上記生成した特徴量をデータベース管理部２０３に引き渡す。

データベース管理部２０３は、認証情報データベースを管理する手段である。認証情報データベースは、システム利用者を特定する情報（ユーザＩＤ、パスワード）、当該利用者の連絡先、生体情報（特徴量）、サービス提供者を特定するサービス提供者ＩＤ、各サービスにおいて利用者を特定するサービスユーザＩＤを対応付けて記憶する。

データベース管理部２０３は、利用者登録部２０２から上記４つの情報（ユーザＩＤ、パスワード、特徴量、連絡先）を取得した場合、認証情報データベースに新規エントリを追加する。例えば、利用者Ｕ１に関する上記４つの情報を取得した場合には、データベース管理部２０３は、図１０の最下段に示されるエントリを追加する。なお、利用者登録の段階では、サービス提供者ＩＤやサービスユーザＩＤは生成されていないのでこれらのフィールドには何も設定されない。

サービス登録部２０４は、システム利用者による個別のサービス登録を実現する手段である。サービス登録部２０４は、サービス提供者の管理サーバ２０から取得するサービス登録要求を処理する。

サービス登録部２０４は、取得したサービス登録要求に含まれるユーザＩＤ、パスワードをキーとして認証情報データベースを検索する。サービス登録部２０４は、特定した利用者（ユーザＩＤ、パスワードの組から特定される利用者）のサービス提供者ＩＤフィールドを確認する。

サービス登録部２０４は、サービス提供者ＩＤフィールドに、管理サーバ２０から取得したサービス登録要求に含まれるサービス提供者ＩＤが設定されているか否かを判定する。管理サーバ２０から取得したサービス提供者ＩＤが既にデータベースに登録されていれば、サービス登録部２０４は、その旨を管理サーバ２０に通知する。この場合、認証情報データベースには、利用者が登録しようとしているサービス（サービス提供者）は既に登録されているので、サービス登録部２０４は、サービス登録要求に対する応答として「否定応答」を送信する。

対して、特定された利用者のサービス提供者ＩＤフィールドに、サービス登録要求に含まれるサービス提供者ＩＤが設定されていなければ、サービス登録部２０４は、当該利用者とサービス提供者に対応するサービスユーザＩＤを生成する。

上述のように、サービスユーザＩＤは、利用者とサービス提供者の組み合わせから一意に定まる識別情報である。例えば、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてハッシュ値を計算し、当該計算されたハッシュ値をサービスユーザＩＤとする。具体的には、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤの連結値を計算し、当該計算された連結値のハッシュ値を計算することで、サービスユーザＩＤを生成する。

なお、上記ハッシュ値を用いたサービスユーザＩＤの生成は例示であって、サービスユーザＩＤの生成方法を限定する趣旨ではない。サービスユーザＩＤは、システム利用者とサービス提供者の組み合わせを一意に識別できる情報であればどのような情報であってもよい。例えば、サービス登録部２０４は、サービス登録要求を処理するたびに一意な値を採番しサービスユーザＩＤとしてもよい。

サービスユーザＩＤを生成すると、サービス登録部２０４は、ユーザＩＤ及びパスワード等と共に、サービス提供者ＩＤとサービスユーザＩＤをデータベース管理部２０３に引き渡す。データベース管理部２０３は、２つのＩＤ（サービス提供者ＩＤ、サービスユーザＩＤ）を認証情報データベースに登録する。例えば、利用者Ｕ１がサービス提供者Ｓ１についてサービス登録をすると、図１１の最下段に示されるエントリに上記２つのＩＤが追加される。

サービス登録はサービス提供者ごとに行われるため、１人の利用者に複数のサービス提供者、サービスユーザＩＤが設定されることがある。例えば、利用者Ｕ１がサービス提供者Ｓ１、Ｓ２のそれぞれに関してサービス登録を行った場合には、図１２の２行目、３行目のエントリが生成される。なお、利用者Ｕ２がサービス提供者Ｓ１に関してサービス登録を行った場合には、図１２の最下段のエントリが生成される。

図１２等に示す認証情報データベースは例示であって、認証情報データベースが記憶する情報を制限する趣旨ではない。例えば、認証用の特徴量に替えて顔画像が認証情報データベースに登録されていてもよい。即ち、認証の都度、認証情報データベースに登録された顔画像から特徴量が生成されてもよい。

サービス提供者ＩＤ、サービスユーザＩＤが認証情報データベースに登録されると、サービス登録部２０４は、サービス登録要求が正常に処理されたことを管理サーバ２０に通知する。サービス登録部２０４は、サービス登録要求に対する応答として「肯定応答」を送信する。その際、サービス登録部２０４は、サービスユーザＩＤを含む応答を管理サーバ２０に送信する。

認証部２０５は、システム利用者の認証処理を行う手段である。認証部２０５は、サービス提供者の管理サーバ２０から受信する認証要求を処理する。

認証部２０５は、認証要求に含まれる特徴量とサービス提供者ＩＤを取り出す。認証部２０５は、取り出した特徴量とサービス提供者ＩＤをキーとして認証情報データベースを検索し、対応するサービスユーザＩＤを特定する。

認証部２０５は、認証要求から取り出した特徴量を照合側の特徴量、データベースに格納された特徴量を登録側の特徴量にそれぞれ設定し、１対Ｎ照合を実行する。具体的には、認証部２０５は、照合側と複数の登録側それぞれの特徴量との間の類似度を計算する。当該類似度には、カイ二乗距離やユークリッド距離等を用いることができる。なお、距離が離れているほど類似度は低く、距離が近いほど類似度が高い。

認証部２０５は、データベースに登録された複数の特徴量のうち、照合対象の特徴量との間の類似度が所定の値以上、且つ、最も類似度が高い特徴量が存在するか否かを判定する。そのような特徴量が存在する場合、認証部２０５は、上記１対Ｎ照合により特定した利用者に対応付けられている少なくとも１以上のサービス提供者ＩＤのうち、認証要求に含まれるサービス提供者ＩＤに一致するエントリが存在するか否かを判定する。

上記のようなエントリが存在する場合（上記２つの判定に成功した場合）、認証部２０５は、利用者の認証に成功したと判断する。この場合、認証部２０５は、認証要求の送信元である管理サーバ２０に「肯定応答」を送信する。その際、認証部２０５は、特定したエントリのサービスユーザＩＤを含む応答（認証要求に対する応答）を生成し、管理サーバ２０に送信する。

上記２つの判定のうち少なくとも一方の判定に失敗した場合、認証部２０５は、利用者の認証に失敗したと判断する。この場合、認証部２０５は、認証要求の送信元である管理サーバ２０に「否定応答」を送信する。

例えば、図１２の例では、「ＦＶ１」の特徴量と「Ｓ１」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量ＦＶ１により２行目、３行目のエントリ（利用者）が特定され、サービス提供者ＩＤ「Ｓ１」により２行目のエントリが特定される。その結果、上記認証要求は正常に処理され、「Ｕ１Ｓ１」というサービスユーザＩＤを含む肯定応答が、管理サーバ２０に送信される。

対して、「ＦＶ２」の特徴量と「Ｓ２」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量により最下段のエントリが特定されるが、当該エントリのサービス提供者ＩＤは「Ｓ２」ではなく「Ｓ１」であるので、上記認証要求は正常に処理されない。その結果、管理サーバ２０には否定応答が送信される。

また、認証部２０５は、利用者の認証に成功すると、対応する連絡先に「認証通知」を送信する。具体的には、認証部２０５は、照合処理により特定されたエントリの連絡先フィールドに記載されたアドレスに認証通知を送信する。その際、認証部２０５は、照合処理により特定されたサービスユーザＩＤと承諾通知送信先を含む認証通知を生成し、当該生成された認証通知を端末５０に送信する。なお、認証部２０５は、上記承諾通知送信先として、認証要求に対する応答を送信した管理サーバ２０のＩＰアドレスを設定すればよい。

記憶部２０６は、認証サーバ１０の動作に必要な情報を記憶する。記憶部２０６には、認証情報データベースが構築される。

［管理サーバ］
図１３は、第１の実施形態に係る管理サーバ２０の処理構成（処理モジュール）の一例を示す図である。図１３を参照すると、管理サーバ２０は、通信制御部３０１と、個人情報取得部３０２と、サービス登録要求部３０３と、データベース管理部３０４と、認証要求部３０５と、個人情報提供部３０６と、記憶部３０７と、を備える。

通信制御部３０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部３０１は、認証サーバ１０、認証端末３０等からデータ（パケット）を受信する。また、通信制御部３０１は、認証サーバ１０、認証端末３０等に向けてデータを送信する。通信制御部３０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部３０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部３０１を介して他の装置とデータの送受信を行う。

個人情報取得部３０２は、サービス提供者がサービスを提供する際に必要となる個人情報を取得する手段である。例えば、サービス提供者が「小売店」である場合には、個人情報取得部３０２は、利用者の氏名等に加えて、代金決済に関する情報（例えば、クレジットカードの情報、銀行口座の情報）を取得する。あるいは、サービス提供者が「ホテル事業者」である場合には、個人情報取得部３０２は、氏名等に加え、宿泊に関する予約情報（例えば、宿泊日等）を取得する。

個人情報取得部３０２は、上記氏名等の個人情報に加え、利用者がシステム登録する際に決定したユーザＩＤ、パスワードを取得する。

個人情報取得部３０２は、個人情報、ユーザＩＤ、パスワードを任意の手段を用いて取得する。例えば、個人情報取得部３０２は、上記情報を入力するためのＧＵＩやフォームを端末５０に表示する（図１４参照）。あるいは、図１４に示すような情報が、サービス提供者が管理、運営するＷＥＢページに表示されていてもよい。あるいは、端末５０が、サービス提供者が提供するアプリケーションをダウンロードし、当該アプリケーションにより図１４に示すような表示が行われてもよい。とりわけ、当該ＷＥＢページは、サービス提供者の会員情報を管理するＷＥＢページであってもよい。即ち、各サービス提供者の会員が、自身の会員情報を管理するＷＥＢページにてサービス登録が行われてもよい。

個人情報取得部３０２は、ＧＵＩ等を用いて取得した個人情報、ユーザＩＤ、パスワードをサービス登録要求部３０３に引き渡す。

サービス登録要求部３０３は、認証サーバ１０に対して、利用者のサービス利用に関する登録を要求（依頼）する手段である。

サービス登録要求部３０３は、個人情報取得部３０２から取得した上記３つの情報（個人情報、ユーザＩＤ、パスワード）のうち、ユーザＩＤとパスワードを選択する。サービス登録要求部３０３は、当該選択したユーザＩＤ、パスワードとサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する。

サービス登録要求部３０３は、認証サーバ１０からサービス登録要求に対する応答を取得する。取得した応答が「否定応答」である場合には、サービス登録要求部３０３は、その旨を利用者に通知する。例えば、サービス登録要求部３０３は、サービス登録は既に行われている旨を利用者に通知する。

取得した応答が「肯定応答」である場合には、サービス登録要求部３０３は、サービス登録に成功した旨を利用者に通知する。また、サービス登録要求部３０３は、上記応答に含まれるサービスユーザＩＤと、個人情報取得部３０２から取得した個人情報と、をデータベース管理部３０４に引き渡す。

データベース管理部３０４は、利用者情報データベースを管理する手段である。利用者情報データベースは、サービス提供の対象となっている利用者（システム利用者）の情報を管理するデータベースである。利用者情報データベースは、当該利用者の個人情報（例えば、氏名等）と認証サーバ１０から取得したサービスユーザＩＤを対応付けて記憶する。

データベース管理部３０４は、サービス登録要求部３０３から上記情報（個人情報、サービスユーザＩＤ）を取得すると、利用者情報データベースに新規エントリを追加する。例えば、サービス提供者Ｓ１の管理サーバ２０が、利用者Ｕ１に関する上記情報を取得した場合には、図１５の最下段に示されるエントリが追加される。

認証要求部３０５は、認証サーバ１０に対して利用者の認証を要求する手段である。

認証要求部３０５は、認証端末３０から生体情報（顔画像）を取得すると、当該顔画像から特徴量を生成する。認証要求部３０５は、生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。

認証サーバ１０からの応答が「否定応答」の場合（認証失敗の場合）には、認証要求部３０５は、その旨を認証端末３０に通知する。

認証サーバ１０からの応答が「肯定応答」の場合（認証成功の場合）には、認証要求部３０５は、認証サーバ１０からの応答に含まれるサービスユーザＩＤを取り出す。認証要求部３０５は、当該サービスユーザＩＤをキーとして利用者情報データベースを検索し、対応するエントリを特定する。

認証要求部３０５は、当該特定したエントリの個人情報フィールドに設定された個人情報を読み出し、認証端末３０に送信する。例えば、図１５の例では、サービスユーザＩＤが「Ｕ１Ｓ１」であれば、最下段の個人情報が認証端末３０に送信される。

個人情報提供部３０６は、サービスを提供した利用者の個人情報を情報サーバ４０に提供する手段である。

個人情報提供部３０６は、利用者の端末５０から「承諾通知」を受信する。個人情報提供部３０６は、承諾通知に含まれるサービスユーザＩＤを抽出する。個人情報提供部３０６は、当該抽出されたサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報を特定する。

個人情報提供部３０６は、特定した個人情報を情報サーバ４０に送信する。

記憶部３０７は、管理サーバ２０の動作に必要な情報を記憶する。利用者情報データベースは記憶部３０７に構築される。

［認証端末］
認証端末３０は、利用者から取得した生体情報を管理サーバ２０に送信することで、当該管理サーバ２０から利用者の個人情報を取得する。認証端末３０は、当該取得した個人情報を用いて利用者にサービスを提供する。

図１６は、第１の実施形態に係る認証端末３０の処理構成（処理モジュール）の一例を示す図である。図１６を参照すると、認証端末３０は、通信制御部４０１と、生体情報取得部４０２と、サービス提供部４０３と、メッセージ出力部４０４と、記憶部４０５と、を備える。

通信制御部４０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部４０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部４０１は、管理サーバ２０に向けてデータを送信する。通信制御部４０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部４０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部４０１を介して他の装置とデータの送受信を行う。

生体情報取得部４０２は、カメラを制御し、利用者の生体情報（顔画像）を取得する手段である。生体情報取得部４０２は、定期的又は所定のタイミングにおいて自装置の前方を撮像する。生体情報取得部４０２は、取得した画像に人の顔画像が含まれるか否かを判定し、顔画像が含まれる場合には取得した画像データから顔画像を抽出する。

なお、生体情報取得部４０２による顔画像の検出処理や顔画像の抽出処理には既存の技術を用いることができるので詳細な説明を省略する。例えば、生体情報取得部４０２は、ＣＮＮ（Convolutional Neural Network）により学習された学習モデルを用いて、画像データの中から顔画像（顔領域）を抽出してもよい。あるいは、生体情報取得部４０２は、テンプレートマッチング等の手法を用いて顔画像を抽出してもよい。

生体情報取得部４０２は、抽出した顔画像をサービス提供部４０３に引き渡す。

サービス提供部４０３は、所定のサービスを利用者に提供する手段である。サービス提供部４０３は、生体情報取得部４０２から取得した顔画像を管理サーバ２０に送信する。管理サーバ２０は、当該顔画像に対応する個人情報（例えば、氏名等）を返信する。サービス提供部４０３は、当該返信された個人情報を用いて、利用者にサービスを提供する。

メッセージ出力部４０４は、利用者に対して種々のメッセージを出力する手段である。例えば、メッセージ出力部４０４は、利用者の認証結果に関するメッセージや、サービス提供に関するメッセージを出力する。メッセージ出力部４０４は、液晶モニタ等の表示デバイスを用いてメッセージを表示してもよいし、スピーカー等の音響機器を用いて音声メッセージを再生してもよい。

記憶部４０５は、認証端末３０の動作に必要な情報を記憶する。

［端末］
図１７は、第１の実施形態に係る端末５０の処理構成（処理モジュール）の一例を示す図である。図１７を参照すると、端末５０は、通信制御部５０１と、個人情報制御部５０２と、記憶部５０３と、を備える。

通信制御部５０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部５０１は、認証サーバ１０等からデータ（パケット）を受信する。また、通信制御部５０１は、管理サーバ２０等に向けてデータを送信する。通信制御部５０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部５０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部５０１を介して他の装置とデータの送受信を行う。

個人情報制御部５０２は、利用者の意思に応じてサービス提供者が保持する個人情報を情報サーバ４０に提供するか否かを制御する手段である。

個人情報制御部５０２は、認証サーバ１０から認証通知を受信すると、管理サーバ２０に記憶された個人情報を情報サーバ４０に提供することを承諾するか否かに関する利用者の意思を取得する。具体的には、個人情報制御部５０２は、利用者が個人情報の提供を希望するか否かを入力するためのＧＵＩを生成する。例えば、個人情報制御部５０２は、図１８に示すようなＧＵＩを生成し、個人情報の提供に関する可否を取得する。なお、利用者が所定期間、何らの操作を行わなかった場合には、個人情報制御部５０２は、個人情報の提供又は拒否のいずれかの動作を自動的に選択して処理を進めてもよい。例えば、図１８において、所定期間の間に「ＹＥＳ」ボタンが押下されない場合には、個人情報制御部５０２は、「Ｎｏ」ボタンが押下されたと判断してもよい。

なお、図１８に示す表示は例示である。例えば、図１９に示すように、個人情報制御部５０２は、認証サーバ１０による認証の詳細（認証結果、認証日時、認証場所、認証された顔画像（撮影画像））を表示してもよい。

あるいは、個人情報制御部５０２は、図２０に示すように、提供される個人情報の有効期間を入力するようなＧＵＩを生成してもよい。個人情報制御部５０２は、取得した期間も併せて情報サーバ４０に通知する。情報サーバ４０は、当該指定された期間、個人情報を記憶し、期間経過後に当該個人情報を破棄する。

あるいは、個人情報制御部５０２は、図２１に示すように、提供する個人情報を利用者が選択できるようにするＧＵＩを生成してもよい。図２１に示すような表示に接した利用者は、個人情報の提供を承諾できるサービス（個人情報の提供先）を個別に選択する。あるいは、個人情報制御部５０２は、各利用者について、個人情報の提供先ごとに個人情報提供の可否を記憶（取得）しておいてもよい。また、個人情報制御部５０２は、個人情報の提供先ごとに提供される個人情報の有効期間を入力するようなＧＵＩを生成してもよい。

利用者が個人情報の提供を拒否した場合には、個人情報制御部５０２は、特段の動作を行わない。

利用者が個人情報の提供に同意した場合には、個人情報制御部５０２は、管理サーバ２０に対して承諾通知を送信する。その際、個人情報制御部５０２は、認証サーバ１０から通知されたサービスユーザＩＤを含む承諾通知を同サーバから通知された承諾通知送信先の管理サーバ２０に送信する。

記憶部５０３は、端末５０の動作に必要な情報を記憶する。

［情報サーバ］
情報サーバ４０の処理構成（処理モジュール）は当業者にとって明らかであるので、その説明を省略する。情報サーバ４０は、他の装置と通信をする機能や個人情報を記憶する機能等を備えていればよい。

［システムの動作］
続いて、第１の実施形態に係る認証システムの動作について説明する。なお、動作の説明は、サービス登録フェーズ、サービス提供フェーズ及び個人情報収集フェーズについて行い、利用者登録フェーズに関する説明を省略する。

図２２は、第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。

管理サーバ２０は、利用者から個人情報（サービスを提供するために必要な情報）、ユーザＩＤ、パスワードを取得する（ステップＳ０１）。

管理サーバ２０は、取得したユーザＩＤ及びパスワードとサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する（ステップＳ０２）。

認証サーバ１０は、取得したユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてサービスユーザＩＤを生成する（ステップＳ０３）。

認証サーバ１０は、サービス提供者ＩＤとサービスユーザＩＤを認証情報データベースに格納する（ステップＳ０４）。

認証サーバ１０は、サービスユーザＩＤを含む応答（サービス登録要求に対する応答）を管理サーバ２０に送信する（ステップＳ０５）。

管理サーバ２０は、ステップＳ０１にて取得した個人情報と、認証サーバ１０から取得したサービスユーザＩＤを対応付けて、利用者情報データベースに格納する（ステップＳ０６）。

このように、管理サーバ２０は、ユーザＩＤ、パスワード、サービス提供者ＩＤを含む認証要求を認証サーバ１０に送信することで、サービスユーザＩＤを取得する。管理サーバ２０は、当該取得したサービスユーザＩＤと利用者の個人情報を対応付けて記憶する。

図２３は、第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。

認証端末３０は、利用者の顔画像（生体情報）を取得し、当該取得した顔画像を管理サーバ２０に送信する（ステップＳ１１）。

管理サーバ２０は、取得した顔画像から特徴量を生成する（ステップＳ１２）。

管理サーバ２０は、当該生成された特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する（ステップＳ１３）。

認証サーバ１０は、認証要求に含まれる特徴量とサービス提供者ＩＤを用いた認証処理を実行し、対応するサービスユーザＩＤを特定する（ステップＳ１４）。

認証サーバ１０は、特定したサービスユーザＩＤを含む応答（認証要求に対する応答）を管理サーバ２０に送信する（ステップＳ１５）。

管理サーバ２０は、取得したサービスユーザＩＤを用いて利用者情報データベースを検索し、対応する個人情報を特定する（ステップＳ１６）。

管理サーバ２０は、特定した個人情報を認証端末３０に送信する（ステップＳ１７）。

認証端末３０は、取得した個人情報を用いてサービスを提供する（ステップＳ１８）。

図２４は、第１の実施形態に係る認証システムの個人情報収集フェーズに関する動作の一例を示すシーケンス図である。

利用者の認証に成功すると、認証サーバ１０は、利用者が所持する端末５０に対して認証通知を送信する（ステップＳ２１）。

認証通知を受信すると、端末５０は、個人情報を第三者（情報センター、情報サーバ４０）に提供することについての利用者の意向を取得するためのＧＵＩを生成する（ステップＳ２２）。

利用者が個人情報の提供に同意すれば、端末５０は、管理サーバ２０に対して承諾通知を送信する（ステップＳ２３）。

承諾通知を受信した管理サーバ２０は、当該利用者の個人情報を情報サーバ４０に送信する（ステップＳ２４）。

情報サーバ４０は、受信した個人情報を記憶する（ステップＳ２５）。

このように、認証サーバ１０は、サービスユーザＩＤと承諾通知の送信先（承諾通知送信先情報）を含む認証通知を端末５０に送信する。利用者が個人情報の提供に同意すれば、端末５０は、サービスユーザＩＤを含む承諾通知を管理サーバ２０に送信する。

以上のように、第１の実施形態に係る認証システムでは、認証サーバ１０は、利用者の生体認証に成功すると、当該事実を利用者（端末５０）に通知する。端末５０は、生体認証に関する個人情報を第三者（例えば、情報サーバ４０）に提供することの可否を利用者に問い合わせる。端末５０は、利用者が個人情報の提供に同意した場合には、その旨を管理サーバ２０に通知する。このように、第１の実施形態に係る認証システムでは、生体認証によるサービス提供に関連した個人情報を利用者自身が制御、管理することができる。

また、第１の実施形態に係る認証システムでは、認証サーバ１０が利用者の生体認証に関する集中制御を行っている。このような集中制御を行う認証サーバ１０から認証通知を端末５０に送信することで、種々の利益が得られる。例えば、個人情報提供の動機づけのため、利用者にクーポン等を与えることが考えられる。その際、認証サーバ１０は、複数のサービス提供者に関連するクーポン等を利用者に与えることができる。例えば、認証サーバ１０は、サービス提供者Ｓ１、Ｓ２にて利用可能なクーポンを付与したり、サービス提供者Ｓ１に保持する個人情報を提供した利用者にサービス提供者Ｓ２のクーポンを付与したりすることができる。

［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。

第１の実施形態では、個人情報収集フェーズにおいて、認証サーバ１０が端末５０に認証通知を送信する場合について説明した。第２の実施形態では、管理サーバ２０が認証通知を送信する場合について説明する。

第２の実施形態に係る認証システムの構成は第１の実施形態と同一とすることができるので図２に相当する説明を省略する。また、第２の実施形態に係る認証サーバ１０、管理サーバ２０、認証端末３０、端末５０の処理構成も第１の実施形態と同一とすることができるので、その説明を省略する。

以下、第１及び第２の実施形態における相違点を中心に説明する。

第２の実施形態に係る利用者登録フェーズでは、認証サーバ１０が利用者の連絡先（メールアドレス）を取得する必要がない。第２の実施形態に係る利用者登録フェーズでは、利用者は、ユーザＩＤ、パスワード、生体情報（顔画像）を認証サーバ１０に入力すればよい。

第２の実施形態に係るサービス登録フェーズでは、管理サーバ２０は、利用者の連絡先を取得する。管理サーバ２０は、利用者から取得する個人情報の１つとして端末５０にて受信できるアカウントのメールアドレスを取得する。

サービス提供フェーズに関しては、第１及び第２の実施形態において同じ動作とすることができる。

図２５は、第２の実施形態に係る個人情報収集フェーズにおける認証システムの動作を説明するための図である。

図２５に示すように、認証サーバ１０から認証要求への応答を受信すると、管理サーバ２０は、認証に成功した利用者に対して「認証通知」を送信する。認証通知を受信した端末５０は、利用者から個人情報提供に関する可否を取得し、利用者が個人情報の提供に同意する場合には、承諾通知を管理サーバ２０に送信する。

管理サーバ２０は、当該利用者の個人情報を情報サーバ４０に送信する。

第２の実施形態に係る管理サーバ２０の処理モジュールのうち、第１の実施形態に係る管理サーバ２０の処理モジュールと動作が異なるモジュールについて説明する。

個人情報取得部３０２は、メールアドレス等の連絡先を含む個人情報を利用者から取得する。

認証要求部３０５は、認証サーバ１０から認証要求に対する応答を受信すると、当該応答を個人情報提供部３０６に引き渡す。

個人情報提供部３０６は、当該応答が肯定応答（認証成功）であれば、当該応答に含まれるサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報を特定する。個人情報提供部３０６は、特定した個人情報に含まれる連絡先を読み出し、当該連絡先に対して認証通知を送信する。

端末５０から承諾通知を受信した場合には、個人情報提供部３０６は、認証通知を送信した利用者の個人情報を情報サーバ４０に送信する。

第２の実施形態に係る認証サーバ１０や端末５０の基本的な動作は、第１の実施形態にて説明した動作と同じであり、且つ、当業者にとって明らかであるのでその説明を省略する。また、認証端末３０に関しては、第１及び第２の実施形態で同じ動作とすることができる。

第２の実施形態にて送受信される認証通知や承諾通知は、認証の事実や承諾の事実を通知するものであればよく、第１の実施形態にて説明したような情報（サービスユーザＩＤ等）を含む必要はない。

以上のように、第２の実施形態に係る、認証システムでは、管理サーバ２０は、認証サーバ１０が利用者の生体認証に成功すると、当該利用者の生体認証に成功したことを示す認証通知を端末５０に送信する。端末５０は、認証通知の受信に応じて、管理サーバ２０に記憶された個人情報を情報サーバ４０に提供することを利用者が承諾したことを示す承諾通知を管理サーバ２０に送信する。第２の実施形態によっても、利用者は、生体認証によるサービスに関する個人情報を適切に制御、管理できる。

［第３の実施形態］
続いて、第３の実施形態について図面を参照して詳細に説明する。

第３の実施形態では、認証端末３０が、個人情報提供の可否を取得する場合について説明する。

第３の実施形態に係る認証システムの構成は第１及び第２の実施形態と同一とすることができるので図２に相当する説明を省略する。また、第３の実施形態に係る認証サーバ１０、管理サーバ２０、認証端末３０、端末５０の処理構成も第１及び第２の実施形態と同一とすることができるので、その説明を省略する。

第３の実施形態では、第１及び第２の実施形態にて必要とした利用者の連絡先は不要である。第３の実施形態では、認証端末３０が個人情報提供の可否を取得するためである。

図２６は、第３の実施形態に係るサービス提供フェーズにおける認証システムの動作を説明するための図である。

図２６に示すように、認証端末３０は、管理サーバ２０から個人情報を取得すると、当該個人情報を利用してサービスを提供する。サービスの提供が終わると、認証端末３０は、個人情報の提供可否を尋ねるＧＵＩを表示する。

利用者が個人情報の提供に同意した場合には、認証端末３０は、その旨を示す承諾通知を管理サーバ２０に送信する。管理サーバ２０は、認証端末３０に送信した個人情報を情報サーバ４０に送信する。

以上のように、第３の実施形態に係る認証システムでは、認証端末３０が個人情報提供に関する利用者の意思を取得する。第３の実施形態によっても、利用者は、生体認証によるサービスに関する個人情報を適切に制御、管理できる。

続いて、認証システムを構成する各装置のハードウェアについて説明する。図２７は、端末５０のハードウェア構成の一例を示す図である。

端末５０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図２７に例示する構成を備える。例えば、端末５０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図２７に示す構成は、端末５０のハードウェア構成を限定する趣旨ではない。端末５０は、図示しないハードウェアを含んでもよい。また、端末５０に含まれるプロセッサ３１１等の数も図２７の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が端末５０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、無線通信回路やＮＩＣ（Network Interface Card）等を備える。

端末５０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、認証サーバ１０、管理サーバ２０、認証端末３０、情報サーバ４０等も端末５０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は端末５０と相違する点はないので説明を省略する。例えば、認証端末３０は、利用者を撮像するためのカメラを備えていればよい。

端末５０は、コンピュータを搭載し、当該コンピュータにプログラムを実行させることで端末５０の機能が実現できる。また、端末５０は、当該プログラムにより端末５０の制御方法を実行する。

［変形例］
なお、上記実施形態にて説明した認証システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

上記実施形態では、利用者がユーザＩＤ、パスワードを決定し、当該ユーザＩＤ、パスワードを用いてシステムに登録された利用者（システム利用者）を特定することを説明した。しかし、認証システムが、システム利用者を一意に特定するＩＤ（識別子）を決定してもよい。例えば、利用者登録フェーズにおいて、認証サーバ１０は利用者の生体情報（顔画像、特徴量）を取得する。認証サーバ１０は、当該生体情報に基づき上記ＩＤを生成してもよい。例えば、認証サーバ１０は、顔画像の特徴量からハッシュ値を計算し、当該計算されたハッシュ値を、ユーザＩＤ、パスワードの代わりとして用いてもよい。顔画像の特徴量は利用者ごとに異なり、当該特徴量から生成されたハッシュ値も利用者ごとに異なるため、システム利用者のＩＤとして用いることができる。

上記実施形態では、利用者登録フェーズとサービス登録フェーズが異なるタイミングで実行されることを説明したが、これらのフェーズは実質的に同タイミングにて実行されてもよい。例えば、利用者がサービスの提供を希望するサービス提供者に設置された認証端末３０が用いられ、上記２つの登録フェーズが実行されてもよい。具体的には、利用者は、認証端末３０を用いて利用者登録を行い、その後、連続して、サービス登録を行ってもよい。この場合、認証端末３０は、認証サーバ１０の利用者登録機能（利用者登録部２０２）と管理サーバ２０の個人情報取得機能（個人情報取得部３０２）を備えればよい。

サービス提供者が有する複数の認証端末３０は、同じ敷地や建物等に設置されていなくともよい。サービス提供者が共通すれば、各認証端末３０は空間的に離れた場所に設置されていてもよい。

上記実施形態では、１つのサービス提供者に１つのサービス提供者ＩＤを割り当てることを説明したが、複数のサービス提供者に対して１つのサービス提供者ＩＤが割り当てられてもよい。複数のサービス提供者をグループとしてまとめ、グループごとにサービス提供者ＩＤが発行されてもよい。例えば、サービス提供者Ｓ１とＳ２が連携し、同じサービスを提供するような場合には、これらのサービス提供者Ｓ１、Ｓ２に対して共通のサービス提供者ＩＤが発行されてもよい。

上記実施形態では、管理サーバ２０から認証サーバ１０に「顔画像から生成された特徴量」に係る生体情報が送信される場合について説明した。しかし、管理サーバ２０から認証サーバ１０に「顔画像」に係る生体情報が送信されてもよい。この場合、認証サーバ１０は、取得した顔画像から特徴量を生成し、認証処理（照合処理）を実行すればよい。

上記実施形態では、認証端末３０が顔画像を取得し、管理サーバ２０が当該顔画像から特徴量を生成する場合について説明した。しかし、認証端末３０が顔画像から特徴量を生成し、当該生成した特徴量を管理サーバ２０に送信してもよい。即ち、管理サーバ２０が特徴量の生成を行わなくてもよい。

上記実施形態では、サービス登録フェーズにて、利用者が個人情報の登録の際、ユーザＩＤとパスワードをサービス提供者に入力する場合について説明した（図１４参照）。しかし、当該ユーザＩＤとパスワードに替えて、利用者の生体情報（顔画像）がサービス提供者に入力されてもよい。この場合、管理サーバ２０は、顔画像から生成された特徴量とサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する。認証サーバ１０は、当該要求に含まれる特徴量と認証情報データベースに登録された特徴量を用いた照合処理を実行し、対応する利用者を特定する。認証サーバ１０は、利用者の特定（認証）に成功した場合に、サービスユーザＩＤを払い出す。このような対応により、利用者がユーザＩＤやパスワードを失念している場合でも、利用者は、容易にサービス登録を行える。あるいは、サービス提供者は、ユーザＩＤとパスワードに加え、利用者の生体情報（顔画像）を取得してもよい。この場合、認証サーバ１０は、ユーザＩＤ、パスワード、生体情報が一致した場合に、サービスユーザＩＤを払い出してもよい（生体情報とパスワードを利用した二要素認証が実行されてもよい）。

サービス提供者は、認証サーバ１０から取得した情報や認証端末３０から取得した情報をキャッシュ（一時的に保持）してもよい。例えば、管理サーバ２０は、認証端末３０から取得した生体情報と当該生体情報に基づく認証の結果（サービスユーザＩＤ）を所定の期間、キャッシュする。管理サーバ２０は、認証端末３０から生体情報を取得した際、最初にキャッシュされたデータを確認し、取得した生体情報にヒットするキャッシュデータが存在すれば、認証要求を、認証サーバ１０を送信しない。管理サーバ２０は、キャッシュデータに含まれるサービスユーザＩＤを用いて個人情報を特定する。あるいは、管理サーバ２０は、生体情報と個人情報の組み合わせをキャッシュしてもよい。あるいは、サービスの種類に応じて、キャッシュされたデータを削除する条件を変更してもよい。例えば、ホテル事業者による宿泊サービスが提供される場合には、管理サーバ２０は、宿泊客の滞在期間が終了したタイミングでキャッシュデータを削除してもよい。

各装置（認証サーバ１０、管理サーバ２０、認証端末３０）間のデータ送受信の形態は特に限定されないが、これら装置間で送受信されるデータは暗号化されていてもよい。これらの装置間では、生体情報が送受信され、当該生体情報を適切に保護するためには、暗号化されたデータが送受信されることが望ましい。

上記実施形態では、利用者が個人情報の提供に同意しない場合には、端末５０は特段の動作を行わない。しかし、そのような場合には、端末５０は、利用者が個人情報の提供を拒否したことを示す「拒否通知」を管理サーバ２０に送信してもよい。

上記実施形態では、個人情報の提供先として１つの情報センターを例示した。しかし、複数の情報センター（情報バンク）に個人情報が提供されてもよい。この場合、端末５０を利用して、利用者が、複数の情報センターのうち個人情報の提供を許可する情報センターを選択してもよい。あるいは、利用者は、複数の情報センターそれぞれについて、個人情報の提供可否を定めてもよい。あるいは、端末５０は、各情報センターに個人情報を提供すると得られる特典と併せて情報センターを表示してもよい。

上記実施形態では、サービス提供者ごとに個人情報提供の可否を利用者が決定することについて説明した。しかし、端末５０は、認証システム全体について、個人情報提供の可否を入力するようなＧＵＩを用意してもよい。

認証サーバは、既に認証通知を送信した利用者とサービス提供者の組み合わせについては、新たな認証通知を送信しなくともよい。例えば、図２の例では、利用者がサービス提供者Ｓ１にて個人情報の提供を許可した場合、別の機会に利用者がサービス提供者Ｓ１からサービスの提供を受けた際には、認証通知を送信しなくともよい。即ち、認証サーバ１０は、同じサービスユーザＩＤに関しては、２回以上、認証通知を送信しなくともよい。同じ利用者であれば、同じサービス提供者からの個人情報の通知に変化がないと想定されるからである。

上記実施形態で、サービス提供者からサービスの提供がなされた後に、個人情報提供の可否が判断されている。しかし、個人情報提供の可否は、サービス提供前に行われてもよい。即ち、認証サーバ１０による認証が行われた後であれば、サービス提供前、サービス提供後いずれのタイミングで個人情報提供の可否が判断されてもよい。

上記実施形態では、端末５０が個人情報提供に関する可否を取得する場合について説明した。端末５０は、当該用途とは異なる用途に用いられてもよい。例えば、利用者は、端末５０を利用して認証サーバ１０に登録された他の情報を更新してもよい。例えば、利用者は、端末５０を用いて認証サーバ１０にアクセスし、生体認証によりサービスの提供を受けるサービス提供者を選択してもよい。即ち、利用者は、認証サーバ１０を介してサービス登録を行ってもよい。その際、サービス提供者の数が多ければ、利用頻度の低いサービス提供者や最近利用していないサービス提供者が優先して表示されてもよい。あるいは、利用者は、端末５０を用いて、システムやサービスからの退会を申し込んでもよい。

上記説明で用いた流れ図（フローチャート、シーケンス図）では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

上記の実施形態は本願開示の理解を容易にするために詳細に説明したものであり、上記説明したすべての構成が必要であることを意図したものではない。また、複数の実施形態について説明した場合には、各実施形態は単独で用いてもよいし、組み合わせて用いてもよい。例えば、実施形態の構成の一部を他の実施形態の構成に置き換えることや、実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、実施形態の構成の一部について他の構成の追加、削除、置換が可能である。

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、小売店やホテル業者等の顧客を認証する認証システムなどに好適に適用可能である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、
前記利用者の個人情報を記憶する、管理サーバと、
前記利用者が所持する、端末と、
を含み、
前記認証サーバは、前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、
前記端末は、前記認証通知の受信に応じて、前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、認証システム。
［付記２］
前記管理サーバは、前記承諾通知を受信したことに応じて、前記利用者の個人情報を前記第三者に送信する、付記１に記載の認証システム。
［付記３］
前記管理サーバと接続され、前記利用者の第２の生体情報を取得すると共に、前記取得した第２の生体情報を前記管理サーバに送信する、認証端末をさらに含み、
前記管理サーバは、前記第２の生体情報を含む認証要求を前記認証サーバに送信し、
前記認証サーバは、前記第１及び第２の生体情報を用いて前記利用者の生体認証を行う、付記１又は２に記載の認証システム。
［付記４］
前記認証サーバは、前記承諾通知の送信先に関する情報を含む前記認証通知を前記端末に送信する、付記３に記載の認証システム。
［付記５］
前記認証サーバは、前記認証通知の送信先を記憶する、付記４に記載の認証システム。
［付記６］
前記認証サーバは、
システムにおいて利用者を一意に定める第１のＩＤ、前記管理サーバが設置されたサービス提供者を識別する第２のＩＤ、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤ、前記第１の生体情報及び前記認証通知の送信先を対応付けて記憶し、
前記管理サーバは、
前記第１のＩＤと前記第２のＩＤを含む前記認証要求を前記認証サーバに送信することで、前記第３のＩＤを取得し、前記取得した第３のＩＤと前記利用者の個人情報を対応付けて記憶する、付記５に記載の認証システム。
［付記７］
前記認証サーバは、前記第３のＩＤと前記認証通知の送信先を含む前記認証通知を前記端末に送信し、
前記端末は、前記第３のＩＤを含む前記承諾通知を前記管理サーバに送信する、付記６に記載の認証システム。
［付記８］
前記第１及び第２の生体情報は、顔に関する生体情報である、付記３乃至７のいずれか一に記載の認証システム。
［付記９］
前記端末は、ＧＵＩ（Graphical User Interface）を用いて前記記憶された個人情報を前記第三者に提供することに同意するか否かに関する前記利用者の意思を取得する、付記１乃至８のいずれか一に記載の認証システム。
［付記１０］
利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、
前記利用者の個人情報を記憶する、管理サーバと、
前記利用者が所持する、端末と、
を含み、
前記管理サーバは、前記認証サーバが前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、
前記端末は、前記認証通知の受信に応じて、前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、認証システム。
［付記１１］
利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信し、
前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末。
［付記１２］
端末において、
利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信し、
前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末の制御方法。
［付記１３］
端末に搭載されたコンピュータに、
利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信する処理と、
前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得する処理と、
前記利用者が前記記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する処理と、
を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体。

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。即ち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１０、１０１ 認証サーバ
２０、２０－１、２０－２、１０２ 管理サーバ
３０、３０－１、３０－２、３１－１、３１－２ 認証端末
４０ 情報サーバ
５０、１０３ 端末
２０１、３０１、４０１、５０１ 通信制御部
２０２ 利用者登録部
２０３、３０４ データベース（ＤＢ；Data Base）管理部
２０４ サービス登録部
２０５ 認証部
２０６、３０７、４０５、５０３ 記憶部
３０２ 個人情報取得部
３０３ サービス登録要求部
３０５ 認証要求部
３０６ 個人情報提供部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス
４０２ 生体情報取得部
４０３ サービス提供部
４０４ メッセージ出力部
５０２ 個人情報制御部

Claims (13)

1. 利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、
   前記利用者にサービスを提供するサービス提供者の業務を管理するサーバであって前記利用者が利用したサービスの種類を含む前記利用者の個人情報を記憶する、管理サーバと、
   前記利用者が所持する、端末と、
   を含み、
   前記認証サーバは、前記管理サーバからの認証要求に応じた生体認証によって前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、
   前記端末は、前記認証通知の受信に応じて、前記管理サーバに記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
   また、前記端末は、前記管理サーバに記憶された個人情報を第三者に提供することを前記利用者が承諾した場合、承諾通知を前記管理サーバに送信する、認証システム。
2. 前記管理サーバは、前記承諾通知を受信したことに応じて、前記利用者の個人情報を前記第三者に送信する、請求項１に記載の認証システム。
3. 前記管理サーバと接続され、前記利用者の第２の生体情報を取得すると共に、前記取得した第２の生体情報を前記管理サーバに送信する、認証端末をさらに含み、
   前記管理サーバは、前記第２の生体情報を含む認証要求を前記認証サーバに送信し、
   前記認証サーバは、前記第１及び第２の生体情報を用いて前記利用者の生体認証を行う、請求項１又は２に記載の認証システム。
4. 前記認証サーバは、前記承諾通知の送信先に関する情報を含む前記認証通知を前記端末に送信する、請求項３に記載の認証システム。
5. 前記認証サーバは、前記認証通知の送信先を記憶する、請求項４に記載の認証システム。
6. 前記認証サーバは、
   システムにおいて利用者を一意に定める第１のＩＤ、前記管理サーバが設置されたサービス提供者を識別する第２のＩＤ、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤ、前記第１の生体情報及び前記認証通知の送信先を対応付けて記憶し、
   前記管理サーバは、
   前記第１のＩＤと前記第２のＩＤを含む前記認証要求を前記認証サーバに送信することで、前記第３のＩＤを取得し、前記取得した第３のＩＤと前記利用者の個人情報を対応付けて記憶する、請求項５に記載の認証システム。
7. 前記認証サーバは、前記第３のＩＤと前記認証通知の送信先を含む前記認証通知を前記端末に送信し、
   前記端末は、前記第３のＩＤを含む前記承諾通知を前記管理サーバに送信する、請求項６に記載の認証システム。
8. 前記第１及び第２の生体情報は、顔に関する生体情報である、請求項３乃至７のいずれか一項に記載の認証システム。
9. 前記端末は、ＧＵＩ（Graphical User Interface）を用いて前記記憶された個人情報を前記第三者に提供することに同意するか否かに関する前記利用者の意思を取得する、請求項１乃至８のいずれか一項に記載の認証システム。
10. 利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、
    前記利用者にサービスを提供するサービス提供者の業務を管理するサーバであって前記利用者が利用したサービスの種類を含む前記利用者の個人情報を記憶する、管理サーバと、
    前記利用者が所持する、端末と、
    を含み、
    前記管理サーバは、当該管理サーバから送信された認証要求に応じた生体認証によって前記認証サーバが前記利用者の生体認証に成功すると、前記利用者の生体認証に成功したことを示す認証通知を前記端末に送信し、
    前記端末は、前記認証通知の受信に応じて、前記管理サーバに記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
    また、前記端末は、前記管理サーバに記憶された個人情報を第三者に提供することを前記利用者が承諾した場合、承諾通知を前記管理サーバに送信する、認証システム。
11. 利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、前記利用者にサービスを提供するサービス提供者の業務を管理するサーバであって前記利用者が利用したサービスの種類を含む前記利用者の個人情報を記憶する、管理サーバとに接続し、
    前記管理サーバから送信された認証要求に応じた前記認証サーバの生体認証によって前記利用者の生体認証に成功したことを示す認証通知を前記認証サーバから受信し、
    前記認証通知の受信に応じて、前記利用者の個人情報を記憶する管理サーバが前記個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
    前記利用者が前記管理サーバに記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末。
12. 利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、前記利用者にサービスを提供するサービス提供者の業務を管理するサーバであって前記利用者が利用したサービスの種類を含む前記利用者の個人情報を記憶する、管理サーバとに接続している端末によって、
    前記認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信し、
    前記認証通知の受信に応じて、前記管理サーバに記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得し、
    前記利用者が前記管理サーバに記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する、端末の制御方法。
13. 利用者の第１の生体情報を記憶し、前記第１の生体情報を用いて前記利用者の生体認証を行う、認証サーバと、前記利用者にサービスを提供するサービス提供者の業務を管理するサーバであって前記利用者が利用したサービスの種類を含む前記利用者の個人情報を記憶する、管理サーバとに接続している端末に搭載されたコンピュータに、
    前記認証サーバから、前記利用者の生体認証に成功したことを示す認証通知を受信する処理と、
    前記認証通知の受信に応じて、前記管理サーバに記憶された個人情報を第三者に提供することを承諾するか否かに関する前記利用者の意思を取得する処理と、
    前記利用者が前記管理サーバに記憶された個人情報を第三者に提供することを承諾した場合、承諾通知を前記管理サーバに送信する処理と、
    を実行させるためのコンピュータプログラム。

Images