特許 7429177 認証システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-01-30

(45)【発行日】2024-02-07

(54)【発明の名称】認証システム

(51)【国際特許分類】

   G06F 21/32 20130101AFI20240131BHJP

   G06F 21/62 20130101ALI20240131BHJP

【ＦＩ】

G06F21/32

G06F21/62

【請求項の数】 4

(21)【出願番号】P 2020169649

(22)【出願日】2020-10-07

(65)【公開番号】P2022061611

(43)【公開日】2022-04-19

【審査請求日】2023-08-08

(73)【特許権者】

【識別番号】392026693

【氏名又は名称】株式会社ＮＴＴドコモ

(74)【代理人】

【識別番号】100088155

【弁理士】

【氏名又は名称】長谷川 芳樹

(74)【代理人】

【識別番号】100113435

【弁理士】

【氏名又は名称】黒木 義樹

(74)【代理人】

【識別番号】100121980

【弁理士】

【氏名又は名称】沖山 隆

(74)【代理人】

【識別番号】100128107

【弁理士】

【氏名又は名称】深石 賢治

(72)【発明者】

【氏名】箱田 博之

(72)【発明者】

【氏名】落合 桂一

(72)【発明者】

【氏名】兼田 千雅

(72)【発明者】

【氏名】中山 雄二

(72)【発明者】

【氏名】川上 博

【審査官】宮司 卓佳

(56)【参考文献】

【文献】米国特許出願公開第２０１７／００１１２６３（ＵＳ，Ａ１）

【文献】特開２０１３－０４５３８４（ＪＰ，Ａ）

【文献】国際公開第２０１１／０８９７８８（ＷＯ，Ａ１）

【文献】特開２０１０－２８６９８０（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３２

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

継続的にユーザ認証を行う認証部と、
前記認証部によるユーザ認証の結果に応じてユーザが認識可能な形式で情報を出力する出力部と、
前記出力部によって出力される情報のセキュリティレベルを検出する検出部と、
前記検出部によって検出されたセキュリティレベルに基づいて前記認証部によるユーザ認証の頻度を設定する頻度設定部と、
を備え、
前記検出部は、前記出力部によって出力される情報が変化したことを検出して、当該変化を検出したタイミングで前記セキュリティレベルを検出する認証システム。

【請求項2】

前記検出部は、前記出力部によって出力される情報の取得元を示す情報を取得して、前記セキュリティレベルを検出する請求項１に記載の認証システム。

【請求項3】

前記認証部は、ユーザから生体認証を行うための認証情報を取得して、前記ユーザ認証として、取得した認証情報を用いて生体認証を行う請求項１又は２に記載の認証システム。

【請求項4】

前記認証システムは、ユーザに装着されるヘッドマウントディスプレイを含み、
前記出力部は、情報の出力として、前記ヘッドマウントディスプレイによる表示を行う、請求項１～３の何れか一項に記載の認証システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ユーザ認証を行う認証システムに関する。

【背景技術】

【0002】

従来から、表示される情報が漏洩しないようにユーザ認証を行う技術が提案されている。例えば、特許文献１には、ヘッドマウントディスプレイを装着したユーザに対して虹彩認証を行うことで情報漏洩を防止することが示されている。また、特許文献１には、５秒～１０秒毎に認証を行うことで、ヘッドマウントディスプレイを装着するユーザが入れ替わっても情報漏洩を防止できることが示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１５－４５９６０号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記のように継続的にユーザ認証を行うこととすれば、ユーザが入れ替わった場合にも情報の漏洩を防止できる。しかしながら、継続した認証は装置における処理負荷が高く、一定の間隔で継続的なユーザ認証を行うことが必ずしも適切でない場合がある。

【0005】

本発明は、上記に鑑みてなされたものであり、適切にユーザ認証を行うことができる認証システムを提供することを目的とする。

【課題を解決するための手段】

【0006】

上記の目的を達成するために、本発明に係る認証システムは、継続的にユーザ認証を行う認証部と、認証部によるユーザ認証の結果に応じてユーザが認識可能な形式で情報を出力する出力部と、出力部によって出力される情報のセキュリティレベルを検出する検出部と、検出部によって検出されたセキュリティレベルに基づいて認証部によるユーザ認証の頻度を設定する頻度設定部と、を備え、検出部は、出力部によって出力される情報が変化したことを検出して、当該変化を検出したタイミングで前記セキュリティレベルを検出する。

【0007】

本発明に係る認証システムでは、出力される情報のセキュリティレベルに応じた頻度でユーザ認証が行われる。従って、例えば、情報が漏洩した場合のリスクが高い場合には、認証頻度を高くして確実に情報漏洩のリスクを低減する一方で、情報が漏洩した場合のリスクが低い場合には、認証頻度を低くして装置の処理負荷を下げることができる。このように本発明に係る認証システムによれば、継続的なユーザ認証を行う場合に情報漏洩のリスクと処理負荷とを考慮して、適切にユーザ認証を行うことができる。

【発明の効果】

【0008】

本発明によれば、継続的なユーザ認証を行う場合に情報漏洩のリスクと処理負荷とを考慮して、適切にユーザ認証を行うことができる。

【図面の簡単な説明】

【0009】

【図1】本発明の実施形態に係る認証システムであるヘッドマウントディスプレイの構成を示す図である。

【図2】ヘッドマウントディスプレイにおいて用いられる情報を示す図である。

【図3】本発明の実施形態に係る認証システムであるヘッドマウントディスプレイで実行される処理を示すフローチャートである。

【図4】本発明の実施形態に係る認証システムであるヘッドマウントディスプレイで実行される処理を示すフローチャートである。

【図5】本発明の実施形態に係る認証システムであるヘッドマウントディスプレイで実行される処理を示すフローチャートである。

【図6】本発明の実施形態に係る認証システムであるヘッドマウントディスプレイのハードウェア構成を示す図である。

【発明を実施するための形態】

【0010】

以下、図面と共に本発明に係る認証システムの実施形態について詳細に説明する。なお、図面の説明においては同一要素には同一符号を付し、重複する説明を省略する。

【0011】

図１に本実施形態に係る認証システムであるヘッドマウントディスプレイ１０を示す。ヘッドマウントディスプレイ１０は、ユーザに装着されて用いられ、装着されたユーザに情報を出力する装置であり、例えば、ゴーグル型の装置である。例えば、ヘッドマウントディスプレイ１０は、自宅においてテレワーク中のユーザによって用いられる。ヘッドマウントディスプレイ１０は、外部から情報を取得して、取得した情報を出力する。例えば、ヘッドマウントディスプレイ１０は、ユーザの会社に設けられたデータ分析環境２０にリモートアクセスして、データ分析環境２０から情報を取得して出力する。

【0012】

例えば、情報の出力は、情報の表示である。具体的には、ヘッドマウントディスプレイ１０は、ＧＵＩ（グラフィカルユーザインタフェース）であるデータ分析環境２０の表示画面を表示する。但し、情報の出力は、必ずしも情報の表示である必要はなく、ユーザが認識可能な形式で情報を出力するものであればよい。例えば、情報の出力は、情報の音声出力等であってもよい。

【0013】

ヘッドマウントディスプレイ１０は、利用するユーザに対してユーザ認証を行う。ユーザ認証によってユーザが正当なヘッドマウントディスプレイ１０の利用権限を有していると確認できた場合、即ち、認証ＯＫであった場合、ヘッドマウントディスプレイ１０は、情報の出力を行う。一方で、ユーザ認証によってユーザが正当な利用権限を有していると確認できなかった場合、即ち、認証ＮＧであった場合、ヘッドマウントディスプレイ１０は、情報の出力を行わない。このような構成を取ることで、ヘッドマウントディスプレイ１０を装着するユーザが正当な利用権限を有していない者に成り代わった場合であっても、情報の漏洩を防ぐことができる。

【0014】

更にヘッドマウントディスプレイ１０は、ユーザに装着されて情報の出力を行う場合に、装着したユーザ以外には当該情報が参照できないようにされてもよい。例えば、従来のヘッドマウントディスプレイと同様に、ヘッドマウントディスプレイ１０は、装着したユーザ以外には見えないように情報を表示してもよい。このような構成を取ることで、ショルダーハック等の盗み見による情報の漏洩を防ぐことができる。

【0015】

データ分析環境２０は、ヘッドマウントディスプレイ１０にアクセスされる情報を保持するシステム（装置）である。データ分析環境２０は、例えば、サーバ装置等によって構成される。例えば、データ分析環境２０は、当該情報としてユーザがデータ分析を行うために必要な情報を保持する。また、データ分析環境２０は、リモートアクセスによるヘッドマウントディスプレイ１０からの指示によってデータ分析のための情報処理を行ってもよい。データ分析環境２０に保持される情報には、企業の顧客情報等の機密情報が含まれていてもよい。ヘッドマウントディスプレイ１０は、データ分析環境２０が保持する機密情報にアクセスするため、機密情報の漏洩を防ぐための機能を有している。ヘッドマウントディスプレイ１０とデータ分析環境２０とは、ネットワーク等を経由して互いに情報を送受信できるようになっている。

【0016】

なお、ヘッドマウントディスプレイ１０が出力する情報は、データ分析環境２０から取得されたものでなくてもよく、任意の装置（例えば、汎用コンピュータ又はロボット）から取得されたものであってもよく、また、予めヘッドマウントディスプレイ１０に予め記憶されたものであってもよい。また、認証システムは、本実施形態のヘッドマウントディスプレイ１０である必要はなく、情報の出力を行うものであれば任意の装置又はシステムであってもよい。また、ここで説明するヘッドマウントディスプレイ１０の機能については、必ずしもヘッドマウントディスプレイ１０が全ての機能を有している必要はなく、ヘッドマウントディスプレイ１０と何らかの通信を介して接続された装置（例えば、ＰＣ（パーソナルコンピュータ）又はスマートフォン）が一部の機能を有していてもよい。あるいは、データ分析環境２０が、一部の機能を有していてもよい。その場合、当該機能を有する装置も認証システムに含まれる。

【0017】

引き続いて、本実施形態に係るヘッドマウントディスプレイ１０の機能を説明する。図１に示すようにヘッドマウントディスプレイ１０は、認証部１１と、出力部１２と、検出部１３と、頻度設定部１４とを備えて構成される。また、ヘッドマウントディスプレイ１０は、通常、リモートアクセスを行う装置が備えている機能も備えている。

【0018】

認証部１１は、継続的にユーザ認証を行う機能部である。認証部１１は、ユーザから生体認証を行うための認証情報を取得して、ユーザ認証として、取得した認証情報を用いて生体認証を行ってもよい。

【0019】

認証部１１によるユーザ認証の対象となるユーザは、ヘッドマウントディスプレイ１０を装着したユーザである。認証部１１は、ユーザがヘッドマウントディスプレイ１０を装着した場合のみにユーザ認証を行ってもよい。例えば、認証部１１は、当該ユーザから虹彩の情報を取得して虹彩認証を行う。虹彩認証自体は、従来の方法で行われればよい。なお、認証部１１によるユーザ認証は、虹彩認証以外の生体認証であってもよい。また、認証部１１によるユーザ認証は、生体認証以外の認証であってもよい。

【0020】

認証部１１は、例えば、後述するように設定された時間（例えば、１秒、１０秒又は６０秒）毎にユーザ認証を行う。即ち、認証部１１は、継続的にユーザ認証を行う。認証部１１は、ユーザ認証の結果を出力部１２に通知する。

【0021】

出力部１２は、認証部１１によるユーザ認証の結果に応じてユーザが認識可能な形式で情報を出力する機能部である。出力部１２は、上述したように、情報の出力として、ヘッドマウントディスプレイ１０による表示を行ってもよい。例えば、出力部１２は、以下のように情報を出力する。

【0022】

出力部１２は、認証部１１からユーザ認証の結果の通知を受ける。データ分析環境２０へのリモートアクセスがなされていない状態で、認証部１１から認証ＯＫの旨の通知を受けた場合、出力部１２は、データ分析環境２０への接続を行ってリモートアクセスを行う。なお、データ分析環境２０へのリモートアクセスは、上記の認証部１１からの通知に加えて、ヘッドマウントディスプレイ１０に対してユーザの所定の操作があった場合に行われてもよい。出力部１２は、リモートアクセスによってデータ分析環境２０の表示画面を取得して表示する。

【0023】

データ分析環境２０へのリモートアクセスがなされていない状態で、認証部１１から認証ＮＧの旨の通知を受けた場合、出力部１２は、データ分析環境２０への接続を行わない（接続を禁止する）。

【0024】

データ分析環境２０へのリモートアクセスがなされている状態で、継続的なユーザ認証によって認証部１１から認証ＯＫの旨の通知を受けた場合、出力部１２は、データ分析環境２０へのリモートアクセスを継続する。即ち、この場合、出力部１２は、特段の制御等を行わない。

【0025】

データ分析環境２０へのリモートアクセスがなされている状態で、継続的なユーザ認証によって認証部１１から認証ＮＧの旨の通知を受けた場合、出力部１２は、データ分析環境２０への接続を切断してリモートアクセスを中止する。これによって、出力部１２は、データ分析環境２０の表示画面の表示を終了する。

【0026】

なお、上述したように、出力部１２による情報の出力は、必ずしも上記のような表示に限られず、任意の態様であってもよい。また、認証部１１からの通知に応じた出力の制御は、認証ＮＧの場合にユーザが機密情報を認識できないようにされればよく、接続の切断以外の方法によって行われてもよい。例えば、当該制御は、表示の終了等でもよい。

【0027】

検出部１３は、出力部１２によって出力される情報のセキュリティレベルを検出する機能部である。検出部１３は、出力部１２によって出力される情報が変化したことを検出して、当該変化を検出したタイミングでセキュリティレベルを検出してもよい。検出部１３は、出力部１２によって出力される情報の取得元を示す情報を取得して、セキュリティレベルを検出してもよい。

【0028】

データ分析環境２０によって保持される機密情報は、例えば、リモートアクセスによるヘッドマウントディスプレイ１０からのユーザの操作によって、データ分析環境２０において表示画面上に読み出される。上記のユーザの操作は、データ分析環境２０の表示画面が用いられて行われる。例えば、データ分析環境２０の表示画面に、機密情報を読み出すための命令（例えば、ＳＱＬ文）がユーザの操作によって入力されて、当該命令によって読み出しが行われる。データ分析環境２０の表示画面上に読み出された機密情報は、ヘッドマウントディスプレイ１０において上記の出力部１２によって表示される。検出部１３によるセキュリティレベルの検出対象となる情報は、データ分析環境２０によって保持される機密情報である。

【0029】

セキュリティレベルは、機密情報が漏洩した場合のリスクを示すものである。即ち、検出部１３は、出力部１２によって出力される機密情報のリスク判定を行う。機密情報には、予めセキュリティレベルが設定されている。機密情報は、例えば、機密情報の種別毎にデータ分析環境２０のデータベースのテーブルに格納されている。機密情報のセキュリティレベルは、例えば、機密情報の種別毎に設定される。即ち、機密情報のセキュリティレベルは、機密情報がどのテーブルから取得されたかに応じたものとなる。

【0030】

例えば、検出部１３は、以下のようにリスク判定を行う。検出部１３は、出力部１２によって表示される表示画面（即ち、データ分析環境２０の表示画面）をキャプチャする。検出部１３は、キャプチャした表示画面から文字列を抽出する。画像からの文字列の抽出は、ＯＣＲ（Optical Character Recognition）等の既存技術において使われている文字認識技術によって行うことができる。検出部１３は、抽出した文字列から予め設定された抽出ルール等を用いて、機密情報をデータ分析環境２０の表示画面に読み出すための命令（例えば、ＳＱＬ文）を抽出する。

【0031】

検出部１３は、抽出した命令から、機密情報の取得元（データソース）であるテーブルを特定する。例えば、上記の命令がＳＱＬ文である場合、ＦＲＯＭ句からテーブルを特定することができる。

【0032】

ヘッドマウントディスプレイ１０には、予めセキュリティポリシーに基づくセキュリティレベルテーブルが記憶されている。セキュリティレベルテーブルは、機密情報の取得元となるテーブルを示すテーブル名、当該機密情報のセキュリティレベルを示す情報及び認証間隔を示す情報をそれぞれ対応付けて格納した情報である。図２にセキュリティレベルテーブルの例を示す。

【0033】

検出部１３は、セキュリティレベルテーブルにおいて、特定したテーブル（テーブル名）に対応付けられているセキュリティレベルを、出力部１２によって表示される機密情報のセキュリティレベルとする。検出部１３は、検出した、機密情報のセキュリティレベルを示す情報を頻度設定部１４に出力する。

【0034】

検出部１３は、認証部１１によってユーザ認証が行われるタイミング、例えば、認証部１１によってユーザ認証が行われて認証ＯＫとなった後に機密情報のセキュリティレベルを検出してもよい。認証部１１は、出力部１２によって出力される情報が変化したタイミング、例えば、出力が表示である場合、出力部１２による表示が変化したタイミングでユーザ認証を行ってもよい。

【0035】

この場合、検出部１３は、出力部１２による表示が変化したことを検出する。例えば、検出部１３は、出力部１２によって新たな情報が表示されたことを検出する。表示画面の変化の検出は、従来の方法（例えば、特許第５９１６１３６号に示された方法）によって行うことができる。検出部１３は、出力部１２による表示が変化したことを検出したら、認証部１１にその旨の通知を行う。認証部１１は、当該通知を受けるとユーザ認証を行う。認証部１１によるユーザ認証の結果、認証ＯＫとなったら、検出部１３は、機密情報のセキュリティレベルを検出する。このように、検出部１３は、出力部１２によって出力される情報が変化したタイミングで機密情報のセキュリティレベルを検出してもよい。また、機密情報のセキュリティレベルを検出するタイミングは、上記以外であってもよい。

【0036】

なお、セキュリティレベルの検出方法は、上記のようにキャプチャされる表示画面に基づいて行われる方法以外によって行われてもよい。例えば、データ分析環境２０に保持される機密情報に、予めメタ情報としてセキュリティレベルを示す情報を対応付けておき、検出部１３は、出力部１２によって表示される機密情報に対応付けられたセキュリティレベルを示す情報を参照して、情報のセキュリティレベルを検出してもよい。

【0037】

頻度設定部１４は、検出部１３によって検出されたセキュリティレベルに基づいて認証部１１によるユーザ認証の頻度を設定する機能部である。例えば、頻度設定部１４は、以下のようにユーザ認証の頻度を設定する。

【0038】

頻度設定部１４は、検出部１３から、出力部１２によって出力される機密情報のセキュリティレベルを示す情報を入力する。頻度設定部１４は、上述したセキュリティレベルテーブルにおいて、検出部１３から入力した情報によって示されるセキュリティレベルに対応付けられている認証間隔を、設定するユーザ認証の頻度とする。なお、図２に示す例のように、通常、認証間隔は、セキュリティレベルが高い程、短い時間になるように設定される。表示される機密情報のセキュリティレベルが高い程、頻繁にユーザ認証を行って機密情報の漏洩を防ぐべきだからである。頻度設定部１４は、設定する認証間隔を認証部１１に通知する。認証部１１は、認証間隔の通知を受けて当該認証間隔でユーザ認証を行う。

【0039】

なお、図２に示すセキュリティレベルテーブルを用いる例では、テーブル名、機密情報のセキュリティレベルを示す情報及び認証間隔を示す情報が直接対応付けられている。そのため、検出部１３は、テーブル名を、機密情報のセキュリティレベルを示す情報として検出して、頻度設定部１４は、検出部１３によって検出されたテーブル名から認証間隔を設定してもよい。

【0040】

但し、認証間隔の設定は、必ずしもこれらの対応付けに基づいて行われる必要はない。例えば、テーブル名と機密情報のセキュリティレベルを示す情報とのみの対応付けに基づいて、テーブル名からセキュリティレベルが特定され、機密情報のセキュリティレベルを示す情報と認証間隔を示す情報とのみの対応付けに基づいて、セキュリティレベルから認証間隔が特定されてもよい。また、機密情報のセキュリティレベルに基づいて認証部１１によるユーザ認証の頻度が設定されれば、上記以外の方法で設定が行われてもよい。また、認証間隔以外によって認証部１１によるユーザ認証の頻度が設定されてもよい。以上が、本実施形態に係るヘッドマウントディスプレイ１０の機能である。

【0041】

引き続いて、図３～図５のフローチャート図を用いて、本実施形態に係るヘッドマウントディスプレイ１０で実行される処理（ヘッドマウントディスプレイ１０が行う動作方法）を説明する。本処理は、ユーザによってヘッドマウントディスプレイ１０が用いられて、データ分析環境２０へのリモートアクセスが行われる際のものである。

【0042】

図３のフローチャートに示すように、本処理では、認証部１１によってユーザ認証が行われる（Ｓ０１）。認証部１１によるユーザ認証の結果、認証ＮＧであった場合（Ｓ０１のＮＯ）、データ分析環境２０への接続は行われず、処理は終了する。認証部１１によるユーザ認証の結果、認証ＯＫであった場合（Ｓ０１のＹＥＳ）、出力部１２によって、データ分析環境２０へ接続されてリモートアクセスが行われる（Ｓ０２）。続いて、接続中の処理が行われる（Ｓ０３）。

【0043】

接続中の処理（Ｓ０３）について、図４のフローチャートを用いて説明する。本処理では、出力部１２によって、データ分析環境２０の表示画面が取得されて表示される（Ｓ３１）。出力部１２によるデータ分析環境２０の表示画面の表示は、データ分析環境２０へのリモートアクセス中、継続して行われる。また、表示される情報は、ユーザの操作等に応じて変化し得る。続いて、検出部１３によって、出力部１２によって出力される機密情報のセキュリティレベルの検出、即ち、リスク判定が行われる（Ｓ３２）。

【0044】

リスク判定の処理（Ｓ３２）について、図５のフローチャートを用いて説明する。まず、出力部１２によって表示される表示画面（即ち、データ分析環境２０の表示画面）がキャプチャされる（Ｓ３２１）。続いて、キャプチャされた表示画面から文字列が抽出される（Ｓ３２２）。続いて、キャプチャされた表示画面から文字列から、機密情報をデータ分析環境２０の表示画面に読み出すための命令であるＳＱＬ文が抽出される（Ｓ３２３）。続いて、抽出したＳＱＬ文から、機密情報の取得元（データソース）であるテーブルが特定される（Ｓ３２４）。続いて、特定されたテーブルから出力部１２によって表示される機密情報のセキュリティレベルが、セキュリティレベルテーブルに基づいて特定（検出）される（Ｓ３２５）。以上が、リスク判定の処理（Ｓ３２）である。

【0045】

図４のフローチャートに示すように、リスク判定の処理（Ｓ３２）に続いて、検出部１３によって検出されたセキュリティレベルに基づいて、頻度設定部１４によって、認証部１１によるユーザ認証の頻度である認証間隔が設定される（Ｓ３３）。前回の認証部１１によるユーザ認証から、設定された認証間隔の時間が経過した場合（Ｓ３４のＹＥＳ）、再度、認証部１１によってユーザ認証が行われる（Ｓ３５）。

【0046】

また、上記の認証間隔の設定の処理（Ｓ３３）の後、検出部１３によって、出力部１２によって表示される表示画面の変化の検出が行われる（Ｓ３４）。表示画面の変化が検出された場合（Ｓ３４のＹＥＳ）、（認証間隔の時間の経過前であっても）再度、認証部１１によってユーザ認証が行われる（Ｓ３５）。

【0047】

認証部１１によるユーザ認証の結果、認証ＯＫであった場合（Ｓ３５のＹＥＳ）、上記のリスク判定以降の処理（Ｓ３２～Ｓ３５）が、再度行われる。認証部１１によるユーザ認証の結果、認証ＮＧであった場合（Ｓ３５のＮＯ）、出力部１２によって、データ分析環境２０への接続が切断され、処理は終了する（Ｓ３６）。接続の切断の結果、出力部１２によるデータ分析環境２０の表示画面の表示も終了する。以上が、本実施形態に係るヘッドマウントディスプレイ１０で実行される処理である。

【0048】

本実施形態では、出力される機密情報のセキュリティレベルに応じた頻度でユーザ認証が行われる。従って、例えば、機密情報が漏洩した場合のリスクが高い場合には、認証頻度を高くして確実に情報漏洩のリスクを低減する一方で、機密情報が漏洩した場合のリスクが低い場合には、認証頻度を低くしてユーザ認証を行う装置であるヘッドマウントディスプレイ１０の処理負荷を下げることができる。このように本実施形態によれば、継続的なユーザ認証を行う場合に情報漏洩のリスクと処理負荷とを考慮して、適切にユーザ認証を行うことができる。これによって、例えば、新型コロナウィルス等の感染症の対策のためテレワークを行う際にセキュアなデータ分析環境を提供することができる。

【0049】

また、本実施形態のように、検出部１３は、出力部１２によって出力される情報が変化したことを検出して、当該変化を検出したタイミングで機密情報のセキュリティレベルを検出してもよい。出力部１２によって出力される情報が変化するタイミングは、情報漏洩のリスクが変更する可能性があるタイミングである。そのため、この構成によれば、認証頻度の設定を適切なタイミングで行うことができる。但し、機密情報のセキュリティレベルのタイミングは、必ずしも上記のようにされる必要はない。

【0050】

また、本実施形態のように、検出部１３は、出力部１２によって出力される情報の取得元を示す情報（例えば、上述した実施形態のような機密情報が格納されるテーブル）を取得して、セキュリティレベルを検出してもよい。機密情報のセキュリティレベルは、機密情報の取得元に応じたものとなるため、この構成によれば、適切かつ確実にセキュリティレベルを検出することができ、その結果、適切かつ確実にユーザ認証を行うことができる。但し、機密情報のセキュリティレベルの検出は、必ずしも上記のように行われる必要はない。

【0051】

また、本実施形態のように、ユーザ認証として生体認証を行ってもよい。この構成によれば、ユーザへの負担を大きくせずにユーザ認証を行うことができる。但し、生体認証以外のユーザ認証が行われてもよい。

【0052】

また、本実施形態のように認証システムは、ユーザに装着されるヘッドマウントディスプレイ１０を含み、情報の出力としてヘッドマウントディスプレイ１０による表示が行われてもよい。この構成によれば、ユーザへの情報の提示を確実に行うことができると共に情報漏洩を適切かつ確実に防止することができる。但し、認証システムとしては、必ずしも上記の構成を取る必要はなく、任意の装置、及び任意の出力形態で実現されてもよい。例えば、据え置き型でユーザがのぞき込む態様の装置であってもよい。

【0053】

なお、上記実施形態の説明に用いたブロック図は、機能単位のブロックを示している。これらの機能ブロック（構成部）は、ハードウェア及びソフトウェアの少なくとも一方の任意の組み合わせによって実現される。また、各機能ブロックの実現方法は特に限定されない。すなわち、各機能ブロックは、物理的又は論理的に結合した１つの装置を用いて実現されてもよいし、物理的又は論理的に分離した２つ以上の装置を直接的又は間接的に（例えば、有線、無線などを用いて）接続し、これら複数の装置を用いて実現されてもよい。機能ブロックは、上記１つの装置又は上記複数の装置にソフトウェアを組み合わせて実現されてもよい。

【0054】

機能には、判断、決定、判定、計算、算出、処理、導出、調査、探索、確認、受信、送信、出力、アクセス、解決、選択、選定、確立、比較、想定、期待、見做し、報知（broadcasting）、通知（notifying）、通信（communicating）、転送（forwarding）、構成（configuring）、再構成（reconfiguring）、割り当て（allocating、mapping）、割り振り（assigning）などがあるが、これらに限られない。たとえば、送信を機能させる機能ブロック（構成部）は、送信部（transmitting unit）や送信機（transmitter）と呼称される。いずれも、上述したとおり、実現方法は特に限定されない。

【0055】

例えば、本開示の一実施の形態におけるヘッドマウントディスプレイ１０は、本開示の情報処理を行うコンピュータとして機能してもよい。図６は、本開示の一実施の形態に係るヘッドマウントディスプレイ１０のハードウェア構成の一例を示す図である。上述のヘッドマウントディスプレイ１０は、物理的には、プロセッサ１００１、メモリ１００２、ストレージ１００３、通信装置１００４、入力装置１００５、出力装置１００６、バス１００７などを含むコンピュータ装置として構成されてもよい。また、データ分析環境２０もここで説明するハードウェア構成であってもよい。

【0056】

なお、以下の説明では、「装置」という文言は、回路、デバイス、ユニットなどに読み替えることができる。ヘッドマウントディスプレイ１０のハードウェア構成は、図に示した各装置を１つ又は複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。

【0057】

ヘッドマウントディスプレイ１０における各機能は、プロセッサ１００１、メモリ１００２などのハードウェア上に所定のソフトウェア（プログラム）を読み込ませることによって、プロセッサ１００１が演算を行い、通信装置１００４による通信を制御したり、メモリ１００２及びストレージ１００３におけるデータの読み出し及び書き込みの少なくとも一方を制御したりすることによって実現される。

【0058】

プロセッサ１００１は、例えば、オペレーティングシステムを動作させてコンピュータ全体を制御する。プロセッサ１００１は、周辺装置とのインターフェース、制御装置、演算装置、レジスタなどを含む中央処理装置（ＣＰＵ：Central Processing Unit）によって構成されてもよい。例えば、上述のヘッドマウントディスプレイ１０における各機能は、プロセッサ１００１によって実現されてもよい。

【0059】

また、プロセッサ１００１は、プログラム（プログラムコード）、ソフトウェアモジュール、データなどを、ストレージ１００３及び通信装置１００４の少なくとも一方からメモリ１００２に読み出し、これらに従って各種の処理を実行する。プログラムとしては、上述の実施の形態において説明した動作の少なくとも一部をコンピュータに実行させるプログラムが用いられる。例えば、ヘッドマウントディスプレイ１０における各機能は、メモリ１００２に格納され、プロセッサ１００１において動作する制御プログラムによって実現されてもよい。上述の各種処理は、１つのプロセッサ１００１によって実行される旨を説明してきたが、２以上のプロセッサ１００１により同時又は逐次に実行されてもよい。プロセッサ１００１は、１以上のチップによって実装されてもよい。なお、プログラムは、電気通信回線を介してネットワークから送信されても良い。

【0060】

メモリ１００２は、コンピュータ読み取り可能な記録媒体であり、例えば、ＲＯＭ（Read Only Memory）、ＥＰＲＯＭ（Erasable Programmable ＲＯＭ）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ＲＯＭ）、ＲＡＭ（Random Access Memory）などの少なくとも１つによって構成されてもよい。メモリ１００２は、レジスタ、キャッシュ、メインメモリ（主記憶装置）などと呼ばれてもよい。メモリ１００２は、本開示の一実施の形態に係る情報処理を実施するために実行可能なプログラム（プログラムコード）、ソフトウェアモジュールなどを保存することができる。

【0061】

ストレージ１００３は、コンピュータ読み取り可能な記録媒体であり、例えば、ＣＤ－ＲＯＭ（Compact Disc ＲＯＭ）などの光ディスク、ハードディスクドライブ、フレキシブルディスク、光磁気ディスク(例えば、コンパクトディスク、デジタル多用途ディスク、Ｂｌｕ－ｒａｙ（登録商標）ディスク)、スマートカード、フラッシュメモリ(例えば、カード、スティック、キードライブ)、フロッピー（登録商標）ディスク、磁気ストリップなどの少なくとも１つによって構成されてもよい。ストレージ１００３は、補助記憶装置と呼ばれてもよい。ヘッドマウントディスプレイ１０が備える記憶媒体は、例えば、メモリ１００２及びストレージ１００３の少なくとも一方を含むデータベース、サーバその他の適切な媒体であってもよい。

【0062】

通信装置１００４は、有線ネットワーク及び無線ネットワークの少なくとも一方を介してコンピュータ間の通信を行うためのハードウェア（送受信デバイス）であり、例えばネットワークデバイス、ネットワークコントローラ、ネットワークカード、通信モジュールなどともいう。

【0063】

入力装置１００５は、外部からの入力を受け付ける入力デバイス（例えば、キーボード、マウス、マイクロフォン、スイッチ、ボタン、センサなど）である。出力装置１００６は、外部への出力を実施する出力デバイス（例えば、ディスプレイ、スピーカー、LEDランプなど）である。なお、入力装置１００５及び出力装置１００６は、一体となった構成（例えば、タッチパネル）であってもよい。

【0064】

また、プロセッサ１００１、メモリ１００２などの各装置は、情報を通信するためのバス１００７によって接続される。バス１００７は、単一のバスを用いて構成されてもよいし、装置間ごとに異なるバスを用いて構成されてもよい。

【0065】

また、ヘッドマウントディスプレイ１０は、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ：Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）、ＦＰＧＡ（Field Programmable Gate Array）などのハードウェアを含んで構成されてもよく、当該ハードウェアにより、各機能ブロックの一部又は全てが実現されてもよい。例えば、プロセッサ１００１は、これらのハードウェアの少なくとも１つを用いて実装されてもよい。

【0066】

本開示において説明した各態様／実施形態の処理手順、シーケンス、フローチャートなどは、矛盾の無い限り、順序を入れ替えてもよい。例えば、本開示において説明した方法については、例示的な順序を用いて様々なステップの要素を提示しており、提示した特定の順序に限定されない。

【0067】

入出力された情報等は特定の場所（例えば、メモリ）に保存されてもよいし、管理テーブルを用いて管理してもよい。入出力される情報等は、上書き、更新、又は追記され得る。出力された情報等は削除されてもよい。入力された情報等は他の装置へ送信されてもよい。

【0068】

判定は、１ビットで表される値（０か１か）によって行われてもよいし、真偽値（Boolean：true又はfalse）によって行われてもよいし、数値の比較（例えば、所定の値との比較）によって行われてもよい。

【0069】

本開示において説明した各態様／実施形態は単独で用いてもよいし、組み合わせて用いてもよいし、実行に伴って切り替えて用いてもよい。また、所定の情報の通知（例えば、「Ｘであること」の通知）は、明示的に行うものに限られず、暗黙的（例えば、当該所定の情報の通知を行わない）ことによって行われてもよい。

【0070】

以上、本開示について詳細に説明したが、当業者にとっては、本開示が本開示中に説明した実施形態に限定されるものではないということは明らかである。本開示は、請求の範囲の記載により定まる本開示の趣旨及び範囲を逸脱することなく修正及び変更態様として実施することができる。したがって、本開示の記載は、例示説明を目的とするものであり、本開示に対して何ら制限的な意味を有するものではない。

【0071】

ソフトウェアは、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語と呼ばれるか、他の名称で呼ばれるかを問わず、命令、命令セット、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行可能ファイル、実行スレッド、手順、機能などを意味するよう広く解釈されるべきである。

【0072】

また、ソフトウェア、命令、情報などは、伝送媒体を介して送受信されてもよい。例えば、ソフトウェアが、有線技術（同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ：Digital Subscriber Line）など）及び無線技術（赤外線、マイクロ波など）の少なくとも一方を使用してウェブサイト、サーバ、又は他のリモートソースから送信される場合、これらの有線技術及び無線技術の少なくとも一方は、伝送媒体の定義内に含まれる。

【0073】

本開示において使用する「システム」及び「ネットワーク」という用語は、互換的に使用される。

【0074】

また、本開示において説明した情報、パラメータなどは、絶対値を用いて表されてもよいし、所定の値からの相対値を用いて表されてもよいし、対応する別の情報を用いて表されてもよい。

【0075】

本開示で使用する「判断(determining)」、「決定(determining)」という用語は、多種多様な動作を包含する場合がある。「判断」、「決定」は、例えば、判定(judging)、計算(calculating)、算出(computing)、処理(processing)、導出(deriving)、調査(investigating)、探索(looking up、search、inquiry)（例えば、テーブル、データベース又は別のデータ構造での探索）、確認(ascertaining)した事を「判断」「決定」したとみなす事などを含み得る。また、「判断」、「決定」は、受信(receiving)（例えば、情報を受信すること）、送信(transmitting)(例えば、情報を送信すること)、入力(input)、出力(output)、アクセス(accessing)（例えば、メモリ中のデータにアクセスすること）した事を「判断」「決定」したとみなす事などを含み得る。また、「判断」、「決定」は、解決(resolving)、選択(selecting)、選定(choosing)、確立(establishing)、比較(comparing)などした事を「判断」「決定」したとみなす事を含み得る。つまり、「判断」「決定」は、何らかの動作を「判断」「決定」したとみなす事を含み得る。また、「判断（決定）」は、「想定する（assuming）」、「期待する（expecting）」、「みなす（considering）」などで読み替えられてもよい。

【0076】

「接続された(connected)」、「結合された(coupled)」という用語、又はこれらのあらゆる変形は、２又はそれ以上の要素間の直接的又は間接的なあらゆる接続又は結合を意味し、互いに「接続」又は「結合」された２つの要素間に１又はそれ以上の中間要素が存在することを含むことができる。要素間の結合又は接続は、物理的なものであっても、論理的なものであっても、或いはこれらの組み合わせであってもよい。例えば、「接続」は「アクセス」で読み替えられてもよい。本開示で使用する場合、２つの要素は、１又はそれ以上の電線、ケーブル及びプリント電気接続の少なくとも一つを用いて、並びにいくつかの非限定的かつ非包括的な例として、無線周波数領域、マイクロ波領域及び光（可視及び不可視の両方）領域の波長を有する電磁エネルギーなどを用いて、互いに「接続」又は「結合」されると考えることができる。

【0077】

本開示において使用する「に基づいて」という記載は、別段に明記されていない限り、「のみに基づいて」を意味しない。言い換えれば、「に基づいて」という記載は、「のみに基づいて」と「に少なくとも基づいて」の両方を意味する。

【0078】

本開示において使用する「第１の」、「第２の」などの呼称を使用した要素へのいかなる参照も、それらの要素の量又は順序を全般的に限定しない。これらの呼称は、２つ以上の要素間を区別する便利な方法として本開示において使用され得る。したがって、第１及び第２の要素への参照は、２つの要素のみが採用され得ること、又は何らかの形で第１の要素が第２の要素に先行しなければならないことを意味しない。

【0079】

本開示において、「含む（include）」、「含んでいる（including）」及びそれらの変形が使用されている場合、これらの用語は、用語「備える（comprising）」と同様に、包括的であることが意図される。さらに、本開示において使用されている用語「又は（or）」は、排他的論理和ではないことが意図される。

【0080】

本開示において、例えば、英語でのa, an及びtheのように、翻訳により冠詞が追加された場合、本開示は、これらの冠詞の後に続く名詞が複数形であることを含んでもよい。

【0081】

本開示において、「ＡとＢが異なる」という用語は、「ＡとＢが互いに異なる」ことを意味してもよい。なお、当該用語は、「ＡとＢがそれぞれＣと異なる」ことを意味してもよい。「離れる」、「結合される」などの用語も、「異なる」と同様に解釈されてもよい。

【符号の説明】

【0082】

１０…ヘッドマウントディスプレイ、１１…認証部、１２…出力部、１３…検出部、１４…頻度設定部、２０…データ分析環境、１００１…プロセッサ、１００２…メモリ、１００３…ストレージ、１００４…通信装置、１００５…入力装置、１００６…出力装置、１００７…バス。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】