認証用デバイス更新システム及び認証用デバイス更新方法
【課題】生体認証において用いられる認証用デバイスの更新時における安全性を向上させることが可能な技術を提供することを目的とする。
【解決手段】認証用デバイス更新システムは、利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するためのシステムである。認証用デバイス更新システムは、生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、旧認証用デバイスを用いた生体認証の後に実行された処理についての処理履歴と、旧認証用デバイスを用いた生体認証についての認証履歴と、に基づき認証用デバイスの更新の可否を判断する更新判断部と、を備えている。
【解決手段】認証用デバイス更新システムは、利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するためのシステムである。認証用デバイス更新システムは、生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、旧認証用デバイスを用いた生体認証の後に実行された処理についての処理履歴と、旧認証用デバイスを用いた生体認証についての認証履歴と、に基づき認証用デバイスの更新の可否を判断する更新判断部と、を備えている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、生体認証において用いられる認証用デバイスを更新する技術に関する。
【背景技術】
【０００２】
近年、キャッシュカードやクレジットカードのセキュリティ確保のために、指の静脈パターンや虹彩の皺のパターンなどの利用者の身体的特徴部分の情報（生体情報）を利用して本人認証を行う、いわゆる生体認証が行われることがある。この生体認証のために、キャッシュカード等に搭載されたＩＣ（Integrated Circuit）内のメモリや磁気ストライプ等に、予め利用者の生体情報が登録されることがある。
【０００３】
このように予め利用者の生体情報を記憶したカードを新たなカードに更新する場合に、有人窓口において申請内容の正当性検証や本人確認を行うと、事務手続きが大変面倒であり、また、利用者に大きな負担を強いることとなる。そこで、利用者の生体情報を記憶したカードを、無人で更新する更新方法が提案されている（下記特許文献１参照）。
【０００４】
【特許文献１】特開２００６−１９５５９１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来におけるカード更新方法では、更新しようとする新カードが正しく発行されたカードであることが確認され、また、生体認証が成功した場合に更新処理が実行されていた。このような更新方法では、例えば、以下のような問題のある場合においてもなんら審査等を行わずにカードが更新されてしまうという課題があった。すなわち、旧カードを盗用していた悪意者がなんらかの方法で正規な新カードを手に入れて更新する場合や、指等の怪我をして一時的に生体的特徴が変わってしまった本人が更新する場合や、過去に何度も操作ミスを犯しており操作方法について説明する必要がある利用者が更新する場合などである。
【０００６】
なお、上記の問題は、登録された生体情報がカードに代えて他の記憶装置に記憶されている場合においても、当該カードを更新する場合に発生し得る。また、キャッシュカードやクレジットカードに限らず、例えばキャッシュ機能付きの携帯電話機など、生体認証において用いられ得る任意の認証用デバイスを更新する際に、上記問題は発生し得る。
【０００７】
本発明は、生体認証において用いられる認証用デバイスの更新時における安全性を向上させることが可能な技術を提供すること目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新システムであって、前記生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、前記生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、前記旧認証用デバイスを用いた生体認証の後に実行された前記処理についての前記処理履歴と、前記旧認証用デバイスを用いた生体認証についての前記認証履歴と、に基づき前記認証用デバイスの更新の可否を判断する更新判断部と、を備える、認証用デバイス更新システム。
【００１０】
適用例１の認証用デバイス更新システムでは、処理履歴と認証履歴とに基づき、認証用デバイスの更新の可否を判断するので、これらの履歴から、悪意者が旧認証用デバイスを利用しているケースや、正当利用者の怪我等により生体情報が一時的に変わったケースや、正当利用者が操作に不慣れであるケース等を判断することができ、かかる場合に認証用デバイスの更新を行わないことで安全性を高めることができる。
【００１１】
［適用例２］適用例１に記載の認証用デバイス更新システムであって、さらに、前記利用者から前記生体情報を検出する生体情報検出部と、前記検出された生体情報を記憶する検出生体情報格納部と、前記検出された生体情報と予め登録されている登録生体情報とを照合して、前記生体認証を実行する生体認証実行部と、前記認証用デバイスにアクセス可能な認証用デバイスアクセス部と、を備え、前記認証用デバイスは、前記登録生体情報を記憶可能な登録生体情報格納部を有し、前記認証用デバイスアクセス部は、前記生体認証が成功し、かつ、前記更新が可能であると判断された場合に、前記検出生体情報格納部に記憶されている生体情報を新たな登録生体情報として前記登録生体情報格納部に登録する、認証用デバイス更新システム。
【００１２】
このようにすることで、更新が可能であると判断された場合に、更新可否の判断前に検出した生体情報を新認証用デバイスにおける登録生体情報として用いることができる。したがって、利用者の最近の生体情報を登録生体情報とすることができ、過去に登録した生体情報を登録生体情報として生体認証を行う場合に比べて、身体的特徴の経年変化による正当利用者による認証失敗の可能性を低くすることができる。
【００１３】
［適用例３］適用例１または適用例２に記載の認証用デバイス更新システムにおいて、前記更新判断部は、前記認証履歴のうち、前記生体認証の最終失敗時期に関する情報に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【００１４】
このようにすることで、最終失敗時期に関する情報に基づいて利用者の利用状況を想定して更新の可否を判断することができる。例えば、最終失敗時期が最近であれば、悪意者の利用や利用者の身体の怪我等を想定して更新不可能と判断することもできる。
【００１５】
［適用例４］適用例１ないし適用例３のいずれか一項に記載の認証用デバイス更新システムにおいて、前記更新判断部は、前記認証履歴のうち、前記生体認証を連続して失敗した回数に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【００１６】
このようにすることで、連続して失敗した回数に基づいて利用者の利用状況を想定して更新の可否を判断することができる。例えば、連続失敗回数が多い場合には、悪意者による更新の試行や、正当利用者の生体情報が怪我等を理由に変形したようなケースを想定して更新不可能と判断することもできる。
【００１７】
［適用例５］適用例１ないし適用例４のいずれか一項に記載の認証用デバイス更新システムにおいて、前記処理は、現金取引処理である、認証用デバイス更新システム。
【００１８】
このようにすることで、現金取引処理において実行される生体認証で用いられる認証用デバイスを、安全性を確保しつつ自動的に更新することができる。
【００１９】
［適用例６］適用例１ないし適用例５のいずれか一項に記載の認証用デバイス更新システムにおいて、前記認証用デバイスは、ＩＣカードである、認証用デバイス更新システム。
【００２０】
このようにすることで、ＩＣカードを更新する際の安全性を向上させることができる。
【００２１】
［適用例７］利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新方法であって、前記旧認証用デバイスを用いた生体認証の後に実行された処理の履歴である処理履歴と、前記旧認証用デバイスを用いた生体認証についての履歴である認証履歴と、に基づき、前記認証用デバイスの更新の可否を判断する工程を備える、認証用デバイス更新方法。
【００２２】
適用例７の認証用デバイス更新方法では、処理履歴と認証履歴とに基づき、認証用デバイスの更新の可否を判断するので、これらの履歴から、悪意者が旧認証用デバイスを利用しているケースや、正当利用者の怪我等により生体情報が一時的に変わったケースや、正当利用者が操作に不慣れであるケース等を判断することができ、かかる場合に認証用デバイスの更新を行わないことで安全性を高めることができる。
【発明を実施するための最良の形態】
【００２３】
Ａ．実施例：
Ａ１．システム構成：
図１は、本発明の実施例における認証用デバイス更新システムとしてのＩＣカード更新システムの構成を示す説明図である。ＩＣカード更新システム１０００は、ホストコンピュータ２００と、ＡＴＭ（Automatic Teller Machine）１００と、営業店サーバ１５０と、ＬＡＮ（Local Area Network）１２０とを備えている。これらのうち、ホストコンピュータ２００は、サービス提供者の本店に設置されている。また、ＡＴＭ１００と営業店サーバ１５０とは、営業店内に設置されており、互いにＬＡＮ１２０で接続されている。そして、ホストコンピュータ２００とＬＡＮ１２０とは、専用線等の広域ネットワーク１２５を介して互いに接続されている。
【００２４】
ホストコンピュータ２００は、ＣＰＵ２１０と、メモリ２１２と、各利用者の取引履歴を記録した取引履歴ＤＢ（データベース）２０１と、カード管理ＤＢ２０２とを備えている。カード管理ＤＢ２０２の詳細については後述する。ＣＰＵ２１０は、メモリ２１２に記憶されている更新制御用プログラムを読み出して実行することで、更新制御部２１０ａとして機能することとなる。
【００２５】
ＡＴＭ１００は、回線接続部１０と、静脈パターン読取部２０と、表示部３０と、ＣＰＵ４０と、メモリ５０と、カードリーダ／ライタ６０とを備えている。回線接続部１０は、ＬＡＮ１２０と接続するためのインタフェース群である。静脈パターン読取部２０は、ＣＣＤ（Charge Coupled Devices）カメラ（図示省略）を備えており、利用者の指を撮像して静脈パターンを検出する。表示部３０は、タッチパネルを有し、メニュー画面や各種ガイダンス画面を表示したりする。メモリ５０は、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）から構成されており、検出パターン格納部５２を備えている。この検出パターン格納部５２は、静脈パターン読取部２０において検出された静脈パターンを一時的に記憶するのに用いられる。カードリーダ／ライタ６０は、ＩＣカード９０を挿入可能に構成されており、挿入されたＩＣカード９０に搭載されているＩＣ９５から情報を読み出したり、ＩＣ９５に情報を書き込んだりする。
【００２６】
ＣＰＵ４０は、メモリ５０に記憶されている制御用プログラムを読み出して実行することで、認証実行部４０ａとして機能する。同様に、ＣＰＵ４０は、更新判断部４０ｂ，更新部４０ｃ及びユーザインタフェース（ＵＩ）制御部４０ｄとして機能する。認証実行部４０ａは、静脈パターンを用いた生体認証を実行する。更新判断部４０ｂは、更新しようとするＩＣカード９０が更新可能か否かを判断する。更新部４０ｃは、ＩＣカード９０の更新を実行する。ＵＩ制御部４０ｄは、表示部３０を制御して、メニュー画面やガイダンス画面を表示させる。
【００２７】
なお、前述のＩＣカード９０は、請求項における認証用デバイスに相当する。また、取引履歴ＤＢ２０１は請求項における処理履歴記憶部に、静脈パターン読取部２０は請求項における生体情報検出部に、検出パターン格納部５２は請求項における検出生体情報格納部に、カードリーダ／ライタ６０は請求項における認証用デバイスアクセス部に、それぞれ相当する。
【００２８】
Ａ２．認証履歴及び取引履歴：
上記構成を有するＩＣカード更新システム１０００は、キャッシュカードを用いた現金の取引を行う。具体的には、営業店に訪れた利用者は、自己のキャッシュカードとしてのＩＣカード９０をカードリーダ／ライタ６０に挿入した上で、表示部３０に表示されたメニュー画面（図示省略）に従って、現金の引き出しや振込み等を実行することができる。このとき、セキュリティ確保のために利用者の指の静脈パターンを利用した生体認証が実行される。
【００２９】
具体的には、表示部３０に表示されるガイダンス画面（図示省略）に従い、利用者が登録している指（ひと差し指や中指等）を静脈パターン読取部２０に載せると、静脈パターン読取部２０は、かかる利用者の指を撮像して静脈パターンを検出する。なお、ＩＣカード更新システム１０００では、生体認証において用いる指として予め２本まで登録することができ、いずれの指を認証に使用するかを利用者が取引の都度選択できる。認証実行部４０ａは、ＩＣ９５に予め登録されている本人の静脈パターンと、検出された静脈パターンとを比較して照合率（一致率）を得る。照合率が閾値以上の場合には本人認証が成功したものとして、取引実行部（図示省略）によって要求された処理（引き出しや振込み等）が実行される。このときの認証の履歴はＩＣ９５及びホストコンピュータ２００内の取引履歴ＤＢ２０１に記録される。また、取引の履歴は取引履歴ＤＢ２０１に記憶される。なお、生体認証において照合率が閾値よりも低い場合には、再試行のガイダンス画面（図示省略）が表示部３０に表示される。このガイダンス画面に従って利用者が再度登録されている指を静脈パターン読取部２０に載せると、静脈パターンの検出及び認証が再度実行される。２回目においても照合率が閾値よりも低い場合には、本人認証は失敗したものとして取引が終了し、認証エラーの履歴がＩＣ９５及び取引履歴ＤＢ２０１に記録される。
【００３０】
図２は、図１に示す取引履歴ＤＢ２０１の内容を示す説明図である。図２では、利用者ＩＤ「１２３４５６７８」についての取引履歴を主として示している。取引履歴ＤＢ２０１では、各利用者ＩＤについて、取引が行われる度に履歴が追記される。履歴としては、「取引種別」，「件数」，「認証成功」，「使用した指」，「成功の連続性」，「（成功の）最終発生日」，「認証失敗」，「失敗の連続性」，「（連続失敗の）最終発生日」が記録されている。ここで、「取引種別」とは、現金の引き出し（普通 出）や、振込みのための出金（振込 出）などを意味する。「件数」とは、総取引件数を意味する。「認証成功」とは、生体認証が成功して現金取引の処理を行った回数を意味する。「使用した指」とは、認証用に登録した指（静脈パターン）が複数ある場合にいずれの指を使用して認証したかを示す。本実施例では、使用指「１」は「人差指」を示し、使用指「２」は「中指」を示す。「成功の連続性」とは、認証失敗することなしに連続して認証が成功した最大の回数を意味する。また、「認証失敗」とは、生体認証に失敗して現金取引の処理を行わずに終了した回数を意味する。「失敗の連続性」とは、認証成功することなしに連続して認証が失敗した最大の数を意味する。
【００３１】
図２の例では、例えば、利用者ＩＤ「１２３４５６７８」の現金引き出し（普通 出）については、総取引件数が「２４６８」であり、そのうち人差指を用いて認証成功した回数は「２４５６」であり、中指を用いて認証成功した回数は「１０」である。なお、認証成功の最終日は、人差指が「２００８／３／１２」で、中指が「２００７／２／３」である。一方、認証失敗の回数は２回あり（認証失敗＝２）、この２回が連続して発生していることを示す（失敗連続性＝１）。なお、２回目の認証失敗の発生日は「２００７／１／２３」である。
【００３２】
図３は、ＩＣ９５に記録される認証履歴情報の内容を示す説明図である。なお、図３では、図２に示す利用者ＩＤ「１２３４５６７８」の利用者についての認証履歴情報を示す。認証履歴情報８５では、総照合回数の他、照合結果ごとの要因や件数や最終発生日が記録されている。この認証履歴情報８５は、生体認証が実行される都度追記されていく。
【００３３】
認証履歴情報８５における「総照合回数」とは、認証後の取引の種類（引き出しや振込み等）や使用した指の種類に関わらず、生体認証の総実行回数を意味する。したがって、図２における利用者ＩＤ「１２３４５６７８」の総件数（図２：２４６８＋９８７）に一致している。「照合エラー（単発）」とは、１回目は照合率が閾値よりも低かったが２回目は閾値以上であったケースを意味する。前述のように、このケースでは認証は成功する。「照合エラー（連続）」とは、１回目も２回目も照合率が閾値よりも低く認証失敗となったケースを意味する。前述のように、このケースでは認証は失敗する。「要因」における「指相違」とは、照合率が０％に近いケース（例えば１％以下であったケース）を意味する。これは、照合率が０％に近い場合、登録している指とは異なる指を用いて認証が行われた可能性が高いため、「指相違」として記録する。これに対して「要因」における「操作不適切」とは、照合率が０％よりも十分に大きな値であるが、閾値よりも低いケースを意味する。このようなケースは、例えば、登録されている正規な指で認証を試みたが、指の置き具合等によって静脈パターンが適切に検出されなかったこと等によって起こり得る。なお、前述の取引履歴ＤＢ２０１（図２）では、認証失敗が２回発生したことが記録されているが、これは、２回連続して照合率が閾値よりも低いケースが２回発生したことを意味し、図３において照合エラー（連続）が４回カウントされていることに合致している。なお、「照合キャンセル」とは、生体認証中において利用者がメニュー画面から取引のキャンセルを選択したため照合をキャンセルした回数を意味する。
【００３４】
上述した現金の取引の他、ＩＣカード更新システム１０００は、後述するカード更新処理を実行することで、キャッシュカードとして用いられるＩＣカード９０を無人で更新できるように構成されている。
【００３５】
Ａ３．カード更新処理：
カードが破損した場合や有効期限が切れる前などにおいて、利用者からカードの更新申請を受けると、サービス提供者は更新用の新たなカードを発行する。そして、サービス提供者は、カード管理ＤＢ２０２（図１）に新たなカードについてのエントリを追加し、発行した新たなカードを利用者に送る。
【００３６】
図４は、図１に示すカード管理ＤＢ２０２の内容を示す説明図である。カード管理ＤＢ２０２では、各利用者ＩＤごとに、現行（旧）カード及び新カードのそれぞれについて「カードＮｏ．」，「登録区分」，「有効期限」が登録される。ここで、「カードＮｏ．」は、発行されるカードごとに一意となるように付与される識別番号である。「登録区分」は、カードの登録状況を示す情報である。具体的には、登録区分「０」は発行済みであるが未登録（未更新）であることを示す。また、登録区分「１」は新規登録済みであることを、登録区分「２」は無人更新済みであることを、それぞれ示す。図４の例では、利用者ＩＤ「１２３４５６７８」について、現行カードとして、カードＮｏ．が「Ａ１２３４」のカードが２００７／１／２３に新規登録済みである。ここで、この利用者ＩＤ「１２３４５６７８」はカードの更新の申請を行ったため、更新用の新たなカード（カードＮｏ．＝Ｂ９８７６）についてのエントリが追加されている。このエントリを追加した時点では後述するカードの更新処理がなされていないので、登録区分は「０」となっている。なお、ユーザＩＤ「９８７６５４３２」については、更新の申請がなされていないため、更新用カードについてのエントリは追加されていない。
【００３７】
図５は、旧カード及び新カードにそれぞれ記憶される情報を示す説明図である。図５において、左側は旧カード９０ｐを示し、右側は新カード９０ｎを示す。なお、旧カード９０ｐは、利用者ＩＤ「１２３４５６７８」の利用者（図４参照）に対してサービスの契約後に最初に発行された現行カード（カードＮｏ．＝Ａ１２３４）である。また、新カード９０ｎは、上述した更新申請によって、利用者ＩＤ「１２３４５６５７８」の利用者に対して新たに発行されたカード（カードＮｏ．＝Ｂ９８７６）である。なお、図１では、これら２枚のカード９０ｐ，９０ｎを代表して「ＩＣカード９０」として表わしている。
【００３８】
旧カード９０ｐに搭載されたＩＣ９５ｐは、基本情報格納部８２ｐと、認証履歴情報格納部８４ｐと、登録パターン格納部８６ｐとを備えている。基本情報格納部８２ｐには、カードＮｏ．（Ａ１２３４）と、利用者ＩＤ（１２３４５６７８）と、登録区分（１）と、有効期限（２００８／３／２１）と、が記録されている。旧カード９０ｐのカードＮｏ．と利用者ＩＤと登録区分と有効期限とについては、旧カード９０ｐが発行された際に予め記録されている。なお、「登録区分」は、図４に示す登録区分と同じである。
【００３９】
認証履歴情報格納部８４ｐには、前述の認証履歴情報８５（図３）が記録されている。登録パターン格納部８６ｐ（図５）には、生体認証において参照される静脈パターンの情報（登録パターン）８７が記憶されている。この登録パターン８７は、旧カード９０ｐが発行されて利用者に郵送されてきた後に利用者がＡＴＭ１００を使って登録することができる。なお、これに代えて、予め契約時等において静脈パターンを検出しておき、旧カード９０ｐ発行の際に予め登録パターン格納部８６ｐに格納しておくこともできる。
【００４０】
新カード９０ｎに搭載されたＩＣ９５ｎは、ＩＣ９５ｐと同様に、基本情報格納部８２ｎと、認証履歴情報格納部８４ｎと、登録パターン格納部８６ｎとを備えている。基本情報格納部８２ｎには、カードＮｏ．（Ｂ９８７６）と、利用者ＩＤ（１２３４５６７８）と、登録区分（０）と、有効期限（２０１３／３／２１）と、が記録されている。ここで、利用者ＩＤは、利用者ごとに設定されるので、旧カード９０ｐと同じＩＤが設定されている。登録区分は前述のように未登録を示す「０」が設定されている。また、有効期限として新たな期限が設定されている。
【００４１】
なお、前述の認証履歴情報格納部８４ｐ，８４ｎは、請求項における認証履歴記憶部に相当する。また、登録パターン格納部８６ｐ，８６ｎは、請求項における登録生体情報格納部に相当する。
【００４２】
利用者は、これら新旧２枚のカードを持って営業店を訪れ、ＡＴＭ１００（図１）を使って旧カード９０ｐを無効とし、新カード９０ｎを有効とするカードの更新処理を行うことができる。具体的には、利用者は、ＡＴＭ１００の表示部３０に表示されたメニュー画面（図示省略）から「カード更新」メニューを選択する。そうすると、表示部３０に旧カードの挿入を促すガイダンス画面（図示省略）が表示される。利用者が旧カードをカードリーダ／ライタ６０に挿入すると、ＩＣカード更新システム１０００において、カード更新処理が開始される。
【００４３】
図６は、ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第１のフローチャートである。図７は、ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第２のフローチャートである。なお、図６における「Ａ」は図７における「Ａ」に続いている。同様に、図６における「Ｂ」は図７における「Ｂ」に続いている。
【００４４】
カード更新処理が開始されると、カードリーダ／ライタ６０（図１）は、旧カード９０ｐ（図５）のＩＣ９５ｐから全ての情報を読み取ってメモリ５０（図１）に記憶する（ステップＳ１０５）。ＵＩ制御部４０ｄは、登録されている指を静脈パターン読取部２０に挿入を促すガイダンス画面を表示部３０に表示させる（ステップＳ１１０）。静脈パターン読取部２０は、挿入された指から静脈パターンを検出して、検出パターン格納部５２に記憶させる（ステップＳ１１５）。認証実行部４０ａは、検出された静脈パターンと、ステップＳ１０５においてＩＣ９５ｐ（図５）から読み取った登録パターン８７とを照合して本人認証を実行し（ステップＳ１２０）、認証が成功したか否かを判定する（ステップＳ１２５）。
【００４５】
ステップＳ１２５において認証が失敗したと判断された場合、認証実行部４０ａ（図１）は、カードリーダ／ライタ６０を制御して認証履歴情報８５に履歴を追記する（ステップＳ２０５）。その後、更新部４０ｃは、前述のステップＳ１１５において検出パターン格納部５２に記憶した静脈パターンを消去する（図７：ステップＳ２１０）。ＵＩ制御部４０ｄは、更新が出来なかった旨、及び有人窓口への来店を促す旨のガイダンス画面（図示省略）を表示部３０に表示させ（ステップＳ２１５）、カード更新処理が終了する。
【００４６】
一方、前述のステップＳ１２５において、認証成功したと判定された場合、更新判断部４０ｂは、ホストコンピュータ２００に対し取引履歴の送信を要求する（ステップＳ１３０）。このとき、更新判断部４０ｂは、旧カード９０ｐのＩＣ９５ｐから読み取った利用者ＩＤも併せてホストコンピュータ２００に送信する。図５の例では、利用者ＩＤとして「１２３４５６７８」が送信されることとなる。
【００４７】
ホストコンピュータ２００（図１）において、更新制御部２１０ａは、起動後において取引履歴送信要求を受信するまで待機している（ステップＳ３０５）。更新制御部２１０ａは、利用者ＩＤと共に取引履歴送信要求を受信すると（ステップＳ３１０）、受信した利用者ＩＤをキーとして取引履歴ＤＢ２０１を検索し、該当する利用者ＩＤについての取引履歴をＡＴＭ１００に送信する（ステップＳ３１５）。
【００４８】
上述したように、利用者ＩＤ「１２３４５６７８」を受信した場合、更新制御部２１０ａは、取引履歴ＤＢ２０１（図２）を参照して、ＩＤ「１２３４５６７８」についてのすべての履歴情報をＡＴＭ１００に送信する。
【００４９】
ＡＴＭ１００において、更新判断部４０ｂは、取引履歴情報を受信すると（ステップＳ１３５）、更新可否判断処理を実行する（ステップＳ１４０）。
【００５０】
図８は、更新可否判断処理（ステップＳ１４０）の詳細手順を示すフローチャートである。更新判断部４０ｂ（図１）は、ステップＳ１３５で取得した取引履歴情報（図２）に基づき、認証失敗の回数が取引全体の回数の１０％未満であるか否かを判定する（ステップＳ４０５）。認証失敗が多く取引全体の回数の１０％以上である場合には、旧カードは悪意者によって使用されている可能性が高いため、この場合には、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。
【００５１】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図２）では、総取引回数「３４５５」に対して認証失敗回数は「４」であり１０％未満である。この場合、更新判断部４０ｂは、取引履歴情報を参照して、連続失敗回数が２回未満であるか否かを判定する（ステップＳ４１０）。認証失敗回数が少ない場合であっても連続して失敗している場合には、悪意者による利用や正当利用者が指を怪我しているケースなどが想定される。そこで、更新判断部４０ｂは、連続失敗回数が２回以上である場合には、連続失敗の最終発生日が直近１ヶ月以内であるか否かを判定する（ステップＳ４３０）。
【００５２】
連続失敗の最終発生日が直近の１ヶ月以内である場合には、正当利用者が最近指を怪我したケースや、悪意の第三者が旧カードの使用を開始したケースが想定される。後述するように更新時の指の静脈パターンを新カードに登録することとなるため、正当利用者が指を怪我している場合には、怪我が回復した場合に照合エラーとなるおそれがある。また、悪意の第三者によるカードの更新を回避しなければならない。そこでこの場合、更新不可能と判断する（ステップＳ４４０）。
【００５３】
一方、前述のステップＳ４３０において、連続失敗の最終発生日が直近１ヶ月よりも前である場合には、認証操作に当初不慣れであったケースや、以前指に怪我をしていたが現在は回復している等のケースが想定される。この場合、更新判断部４０ｂは、旧カード９０ｐのＩＣ９５ｐに記憶されている認証履歴情報８５を参照して、照合エラーの回数が総照合回数の１０％未満であるか否かを判定する（ステップＳ４１５）。なお、前述のステップＳ４１０において、連続失敗回数が２回未満であると判定した場合にも、このステップＳ４１５の処理が実行される。なお、前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図２）では、連続失敗回数は「１」なので、このステップＳ４１５が実行される。
【００５４】
ここで、照合エラーは、取引履歴ＤＢ２０１において「認証成功」と記録されるケースにおいても発生し得る。２回連続して照合エラーとならない限り、取引履歴ＤＢ２０１においては、「認証成功」とカウントされるからである。ここで、１回目に照合エラーとなった場合に２回目の照合を行うことなくキャンセルして、悪意者が何度も生体認証を試みているケースが想定される。したがって、照合エラー回数が多く総照合回数の１０％以上である場合には、認証自体の成功率は高くても悪意者の利用が否定できない。また、正当利用者が操作ミスによって頻繁に照合エラーを起こしている場合には、操作方法について説明する必要がある。そこで、この場合、更新判断部４０ｂは、照合エラーの最終発生日が直近の半年以内であるか否かを判定する（ステップＳ４３５）。
【００５５】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図３）では、照合エラー回数は、３６１（１２＋３４５＋４）であるので、総照合回数（３４５５）の１０％以上である。したがって、この場合、ステップＳ４３５が実行される。
【００５６】
照合エラーの最終発生日が直近の半年以内である場合には、悪意者による生体認証の試行が考えられる。また、正当利用者が現在もなお操作方法に不慣れであるケースも想定される。そこで、この場合、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。一方、照合エラーの最終発生日が半年よりも前である場合（ステップＳ４３５：ＮＯ）には、正当利用者が認証操作に当初不慣れであったが現在は問題がないケースが想定される。そこで、この場合、更新判断部４０ｂは、認証履歴情報８５を参照して指相違の失敗により現金取引がなされずに終了したケースの有無を判定する（ステップＳ４２０）。すなわち、「照合エラー（連続）」において、「指相違」の件数が０であるか否かを判定する。
【００５７】
なお、前述のステップＳ４１５において、照合エラー回数が総照合回数の１０％未満である場合にもこのステップＳ４２０が実行される。指相違による照合エラーが連続して起きた場合には、たとえ照合エラーの回数が少なく総照合回数の１０％未満であっても（ステップＳ４１５：ＹＥＳ）、悪意者の利用の可能性は否定できない。そこで、指相違による照合エラーが連続して起きた場合（ステップＳ４２０：ＮＯ）には、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。一方、指相違による照合エラーが連続して発生していない（ステップＳ４２０：ＹＥＳ）には、更新可能であると判断して（ステップＳ４２５）、更新可否判断処理が終了する。
【００５８】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図３）では、照合エラーの最終発生日は、２００７／１１／２２であり、現在が２００８／６／３０とすると直近半年よりも前であるので、ステップＳ４２０が実行されることとなる。そして、指相違による照合エラーの連続回数は「０」であるので、更新可能と判断される（ステップＳ４２５）。
【００５９】
図６に戻って、上述した更新可否判断処理が終了すると、更新部４０ｃは、更新判断部４０ｂによって更新が可能と判断されたか否かを判定する（ステップＳ１４５）。更新不可能と判断された場合には（図８：ステップＳ４４０，図６ステップＳ１４５：ＮＯ）、前述のステップＳ２１０，Ｓ２１５（図７）が実行され、カード更新処理が終了する。
【００６０】
一方、前述のステップＳ１４５（図６）において、更新可能と判断された場合には、更新部４０ｃ（図１）は、カードリーダ／ライタ６０に挿入されている旧カード９０ｐを無効化して排出する（ステップＳ１５０）。具体的には、旧カード９０ｐ（図５）のＩＣ９５ｐに記録されている全ての情報を消去してから排出する。ＵＩ制御部４０ｄ（図１）は、カードリーダ／ライタ６０への新カードの挿入を促すガイダンス画面（図示省略）を表示部３０に表示させる（ステップＳ１５５）。
【００６１】
表示部３０に表示されたガイダンス画面に従って、利用者が新カード９０ｎをカードリーダ／ライタ６０に挿入すると、カードリーダ／ライタ６０（図１）は、新カード９０ｎのＩＣ９５ｎから全ての情報を読み取ってメモリ５０に記憶する（ステップＳ１６０）。更新部４０ｃは、ホストコンピュータ２００に対して、カードリーダ／ライタ６０に挿入されたカードの正当性判断を要求する（ステップＳ１６５）。このとき、更新判断部４０ｂは、利用者ＩＤの他、旧カード９０ｐのカードＮｏ．及び新カード９０ｎのカードＮｏ．も併せてホストコンピュータ２００に送信する。
【００６２】
前述の利用者ＩＤ「１２３４５６７８」の例（図５）では、利用者ＩＤ（１２３４５６７８）と、カードＮｏ．（Ａ１２３４，Ｂ９８７６）とがホストコンピュータ２００に送信されることとなる。
【００６３】
ホストコンピュータ２００において、更新制御部２１０ａは、上述したステップＳ３１５（図６）を実行した後において、正当性判断要求を受信するまで待機している（ステップＳ３２０）。更新制御部２１０ａは、正当性判断要求を受信すると（ステップＳ３２５）、受信した利用者ＩＤと、新／旧カードのカードＮｏ．とに基づき、カード管理ＤＢ２０２を参照して、新カードが更新用として正規に発行されたカードであるか否かを判断する（ステップＳ３３０）。
【００６４】
上述したように、カード管理ＤＢ２０２（図４）には、利用者ＩＤ「１２３４５６７８」について、カードＮｏ．が「Ｂ９８７６」の更新用カードのエントリがある。したがって、更新制御部２１０ａは、受信した利用者ＩＤ「１２３４５６７８」とカードＮｏ．（Ａ１２３４，Ｂ９８７６）とに基づき、新カード９０ｎが正当なカードであると判断する。
【００６５】
更新制御部２１０ａは、新カードの正当性を判断すると、その判断結果をＡＴＭ１００に送信する（図６：ステップＳ３３５）。
【００６６】
ＡＴＭ１００において、更新部４０ｃは、ホストコンピュータ２００から正当性判断結果を受信すると（ステップＳ１７０）、判断結果が「正当である」であったか否かを判定する（図７：ステップＳ１７５）。正当でないとの判断がされた場合には、カードリーダ／ライタ６０は、挿入されているカードを排出する（ステップＳ２０５）。その後、上述したステップＳ２１０，Ｓ２１５が実行されてカード更新処理が終了する。
【００６７】
一方、前述のステップＳ１７５において、正当性判断結果が正当であると判定すると、更新部４０ｃは、カードリーダ／ライタ６０を制御して、検出パターン格納部５２に格納されている静脈パターンを新カード９０ｎの登録パターン格納部８６ｎに書き込んで新たに登録する（ステップＳ１８０）。その後、更新部４０ｃは、検出パターン格納部５２に記憶した静脈パターンを消去し（ステップＳ１８５）、カードリーダ／ライタ６０が新カード９０ｎを排出して（ステップＳ１９０）、カード更新処理が終了する。
【００６８】
以上説明したカード更新処理により、正当な利用者による正当な新カードへの更新が可能となる。また、更新可否の判断において、取引履歴ＤＢ２０１に格納されている取引履歴に基づいて判断するので、取引全体からみた取引成功又は失敗の状況を分析して悪意者の利用や正当利用者の指の怪我等を想定することができ、これらのケースでは、自動的なカード更新を行わないようにすることができる。したがって、悪意者が更新した新カードを入手することを抑制でき、また、怪我により一時的に変形した正当利用者の静脈パターンが新カードに登録されてしまうことを抑制することができる。また、更新可否の判断において、旧カード９０ｐに記憶されている認証履歴情報８５に基づいて判断するので、取引履歴には現れない悪意者による巧妙な更新の試行や、正当利用者が操作に不慣れであるような場合に自動的なカード更新を行わないようにすることができる。したがって、悪意者が更新した新カードを入手することを抑制でき、また、操作が不慣れな正当利用者に対し、有人窓口への来店を促して操作方法を説明することができる。このように、ＩＣカード更新システム１０００を用いることで、窓口において審査や説明が必要な利用者については自動更新を行わないようにすることができ、また、審査や説明の必要のない利用者については自動更新を実行するので、適切なケースにおいて自動的にキャッシュカードを更新することができる。
【００６９】
Ｂ．変形例：
なお、上記各実施例における構成要素の中の、独立クレームでクレームされた要素以外の要素は、付加的な要素であり、適宜省略可能である。また、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【００７０】
Ｂ１．変形例１：
上述した実施例では、取引履歴ＤＢ２０１に記録されている情報は、主として取引の成功／失敗に関する情報であったが、これに代えて、又は、これと共に取引額や各取引間の時間間隔などを記録することもできる。そして、これら取引額や各取引間の時間間隔などを考慮して更新可否判断処理（図６：ステップＳ１４０，図８）を実行することもできる。具体的には、例えば、或る一定期間内において、所定額以上の振込みが所定回数以上行われた場合には、更新可否とすることもできる。このようにすることで、例えば、振込み詐欺等による被害の有無を窓口において確認することができる。すなわち、一般には、現金取引における任意の取引履歴に基づきキャッシュカードの更新可否を判断する構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７１】
Ｂ２．変形例２：
上述した実施例では、静脈パターンを用いた生体認証は、現金取引における本人認証のために行われるものであったが、これに代えて、他の処理における本人認証のために行うものとすることができる。例えば、入退室を行う際における本人認証や、コンピュータの使用における本人認証のためなどに生体認証を行うこともできる。すなわち、一般には、任意の処理における本人認証のために静脈パターンを用いた生体認証を行う構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７２】
Ｂ３．変形例３：
上述した実施例では、生体認証で用いる生体情報は指の静脈パターンであったが、本発明はこれに限定されるものではなく、利用者の生体的な特徴を示す任意の生体情報を用いる構成とすることができる。例えば、指紋や、手のひらの静脈パターンや、虹彩の皺のパターン等を生体情報として用いる構成とすることができる。
【００７３】
Ｂ４．変形例４：
上述した実施例では、更新対象物は、キャッシュカードであったが、これに代えて、クレジットカードを採用することもできる。また、これらカードに限らず、ＵＳＢメモリ等の記憶媒体を採用することもできる。また、携帯電話機などの記憶媒体を内蔵する機器を更新対象物として採用することもできる。すなわち、一般には、生体認証において用いられる任意のデバイス（記憶媒体や記憶媒体内蔵機器）を更新対象物とする構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７４】
Ｂ５．変形例５：
上述した実施例では、認証履歴情報８５は、旧カード９０ｐのＩＣ９５ｐに格納されていたが、これに代えて、旧カード９０ｐ内の他の部分に格納することもできる。例えば、旧カード９０ｐが磁気ストライプ（図示省略）を備えている場合には、かかる磁気ストライプに格納しておくこともできる。また、認証履歴情報８５を、ＩＣカード９０ｐ内の記憶装置に格納することに代えて、他の任意の装置に格納しておくこともできる。例えば、ＡＴＭ１００（図１）が備えるメモリ５０に格納することもできる。また、営業店サーバ１５０内のメモリ（図示省略）や、ホストコンピュータ２００内のメモリ２１２に格納することもできる。なお、カード管理ＤＢ２０２もホストコンピュータ２００内に格納することに代えて、他の装置内に格納することもできる。例えば、営業店サーバ１５０内に格納することもできる。すなわち、一般には、処理履歴を記憶する処理履歴記憶部と、認証履歴を記憶する認証履歴記憶部を、任意の装置が備える構成を、本発明の認証用デバイス更新システムにおいて採用することができる。
【００７５】
Ｂ６．変形例６：
上述した実施例の更新可否判断処理（図８）では、ステップＳ４０５において、更新不可能と判断する際の規準となる数値は、取引全体の「１０％」であったが、これに代えて、任意の値とすることができる。同様にして、ステップＳ４１０における連続失敗回数（２回）や、ステップＳ４３０における期間（１ヶ月）等、更新可否判断処理の各ステップにおいて用いられる判断基準数値は、任意の値とすることができる。
【００７６】
Ｂ７．変形例７：
上述した実施例では、ＡＴＭ１００は、営業店サーバ１５０を介してホストコンピュータ２００と情報のやりとりを行っていたが、営業店サーバ１５０を介さず直接情報のやりとりを行う構成とすることもできる。また、キャッシュカードの更新は、ＡＴＭ１００で実行していたが、更新用の専用機（図示省略）をＬＡＮ１２０に接続し、かかる専用機において実行させることもできる。また、更新可否のみＡＴＭ１００において実行し、更新自体（すなわち、旧カード９０ｐのＩＣ９５ｐから情報を消去し、新カード９０ｎに静脈パターンを登録する処理自体）は、他の専用機において実行させることもできる。
【００７７】
Ｂ８．変形例８：
上述した実施例では、カード更新処理における本人認証のために生体認証を行っていたが（ステップＳ１２０）、生体認証と共に暗証番号を用いた本人認証を実行することもできる。また、新カードが正当と判断され（図７ステップＳ１７５：ＹＥＳ）、検出パターン格納部５２に格納されている静脈パターンをＩＣ９５ｐに書き込む前に、再度利用者から静脈パターンを検出して、検出パターン格納部５２に格納されている静脈パターンと照合することもできる。そして、照合が成功した場合に、検出パターン格納部５２内の静脈パターンをＩＣ９５ｐに書き込むようにすることもできる。このようにすることで、正当な利用者であるにも関わらず認証が失敗し得るような静脈パターンを新カード９０ｎに新たに登録することを避けることができる。
【００７８】
Ｂ９．変形例９：
上述した実施例では、新カード９０ｎに登録する静脈パターンは、カード更新処理のステップＳ１１５において検出パターン格納部５２に記憶した静脈パターンであったが、これに代えて、旧カード９０ｐに登録されている登録パターン８７（図５）を登録することもできる。
【００７９】
Ｂ１０．変形例１０：
上述した実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えるようにしてもよい。
【図面の簡単な説明】
【００８０】
【図１】本発明の実施例における認証用デバイス更新システムとしてのＩＣカード更新システムの構成を示す説明図である。
【図２】図１に示す取引履歴ＤＢ２０１の内容を示す説明図である。
【図３】ＩＣ９５に記録される認証履歴情報の内容を示す説明図である。
【図４】図１に示すカード管理ＤＢ２０２の内容を示す説明図である。
【図５】旧カード及び新カードにそれぞれ記憶される情報を示す説明図である。
【図６】ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第１のフローチャートである。
【図７】ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第２のフローチャートである。
【図８】更新可否判断処理（ステップＳ１４０）の詳細手順を示すフローチャートである。
【符号の説明】
【００８１】
１０００…ＩＣカード更新システム
１００…ＡＴＭ
１０…回線接続部
２０…静脈パターン読取部
３０…表示部
４０…ＣＰＵ
４０ａ…認証実行部
４０ｂ…更新判断部
４０ｃ…更新部
４０ｄ…制御部
５０…メモリ
５２…検出パターン格納部
６０…カードリーダ／ライタ
９０…ＩＣカード
９５…ＩＣ
１５０…営業店サーバ
１２０…ＬＡＮ
１２５…広域ネットワーク
２００…ホストコンピュータ
２１０…ＣＰＵ
２１０ａ…更新制御部
２１２…メモリ
２０１…取引履歴ＤＢ
２０２…カード管理ＤＢ
９０ｐ…旧カード
９５ｐ…ＩＣ
８２ｐ…基本情報格納部
８４ｐ…認証履歴情報格納部
８５…認証履歴情報
８６ｐ…登録パターン格納部
８７…登録パターン
９０ｎ…新カード
９５ｎ…ＩＣ
８２ｎ…基本情報格納部
８４ｎ…認証履歴情報格納部
８６ｎ…登録パターン格納部
【技術分野】
【０００１】
本発明は、生体認証において用いられる認証用デバイスを更新する技術に関する。
【背景技術】
【０００２】
近年、キャッシュカードやクレジットカードのセキュリティ確保のために、指の静脈パターンや虹彩の皺のパターンなどの利用者の身体的特徴部分の情報（生体情報）を利用して本人認証を行う、いわゆる生体認証が行われることがある。この生体認証のために、キャッシュカード等に搭載されたＩＣ（Integrated Circuit）内のメモリや磁気ストライプ等に、予め利用者の生体情報が登録されることがある。
【０００３】
このように予め利用者の生体情報を記憶したカードを新たなカードに更新する場合に、有人窓口において申請内容の正当性検証や本人確認を行うと、事務手続きが大変面倒であり、また、利用者に大きな負担を強いることとなる。そこで、利用者の生体情報を記憶したカードを、無人で更新する更新方法が提案されている（下記特許文献１参照）。
【０００４】
【特許文献１】特開２００６−１９５５９１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来におけるカード更新方法では、更新しようとする新カードが正しく発行されたカードであることが確認され、また、生体認証が成功した場合に更新処理が実行されていた。このような更新方法では、例えば、以下のような問題のある場合においてもなんら審査等を行わずにカードが更新されてしまうという課題があった。すなわち、旧カードを盗用していた悪意者がなんらかの方法で正規な新カードを手に入れて更新する場合や、指等の怪我をして一時的に生体的特徴が変わってしまった本人が更新する場合や、過去に何度も操作ミスを犯しており操作方法について説明する必要がある利用者が更新する場合などである。
【０００６】
なお、上記の問題は、登録された生体情報がカードに代えて他の記憶装置に記憶されている場合においても、当該カードを更新する場合に発生し得る。また、キャッシュカードやクレジットカードに限らず、例えばキャッシュ機能付きの携帯電話機など、生体認証において用いられ得る任意の認証用デバイスを更新する際に、上記問題は発生し得る。
【０００７】
本発明は、生体認証において用いられる認証用デバイスの更新時における安全性を向上させることが可能な技術を提供すること目的とする。
【課題を解決するための手段】
【０００８】
本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。
【０００９】
［適用例１］利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新システムであって、前記生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、前記生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、前記旧認証用デバイスを用いた生体認証の後に実行された前記処理についての前記処理履歴と、前記旧認証用デバイスを用いた生体認証についての前記認証履歴と、に基づき前記認証用デバイスの更新の可否を判断する更新判断部と、を備える、認証用デバイス更新システム。
【００１０】
適用例１の認証用デバイス更新システムでは、処理履歴と認証履歴とに基づき、認証用デバイスの更新の可否を判断するので、これらの履歴から、悪意者が旧認証用デバイスを利用しているケースや、正当利用者の怪我等により生体情報が一時的に変わったケースや、正当利用者が操作に不慣れであるケース等を判断することができ、かかる場合に認証用デバイスの更新を行わないことで安全性を高めることができる。
【００１１】
［適用例２］適用例１に記載の認証用デバイス更新システムであって、さらに、前記利用者から前記生体情報を検出する生体情報検出部と、前記検出された生体情報を記憶する検出生体情報格納部と、前記検出された生体情報と予め登録されている登録生体情報とを照合して、前記生体認証を実行する生体認証実行部と、前記認証用デバイスにアクセス可能な認証用デバイスアクセス部と、を備え、前記認証用デバイスは、前記登録生体情報を記憶可能な登録生体情報格納部を有し、前記認証用デバイスアクセス部は、前記生体認証が成功し、かつ、前記更新が可能であると判断された場合に、前記検出生体情報格納部に記憶されている生体情報を新たな登録生体情報として前記登録生体情報格納部に登録する、認証用デバイス更新システム。
【００１２】
このようにすることで、更新が可能であると判断された場合に、更新可否の判断前に検出した生体情報を新認証用デバイスにおける登録生体情報として用いることができる。したがって、利用者の最近の生体情報を登録生体情報とすることができ、過去に登録した生体情報を登録生体情報として生体認証を行う場合に比べて、身体的特徴の経年変化による正当利用者による認証失敗の可能性を低くすることができる。
【００１３】
［適用例３］適用例１または適用例２に記載の認証用デバイス更新システムにおいて、前記更新判断部は、前記認証履歴のうち、前記生体認証の最終失敗時期に関する情報に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【００１４】
このようにすることで、最終失敗時期に関する情報に基づいて利用者の利用状況を想定して更新の可否を判断することができる。例えば、最終失敗時期が最近であれば、悪意者の利用や利用者の身体の怪我等を想定して更新不可能と判断することもできる。
【００１５】
［適用例４］適用例１ないし適用例３のいずれか一項に記載の認証用デバイス更新システムにおいて、前記更新判断部は、前記認証履歴のうち、前記生体認証を連続して失敗した回数に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【００１６】
このようにすることで、連続して失敗した回数に基づいて利用者の利用状況を想定して更新の可否を判断することができる。例えば、連続失敗回数が多い場合には、悪意者による更新の試行や、正当利用者の生体情報が怪我等を理由に変形したようなケースを想定して更新不可能と判断することもできる。
【００１７】
［適用例５］適用例１ないし適用例４のいずれか一項に記載の認証用デバイス更新システムにおいて、前記処理は、現金取引処理である、認証用デバイス更新システム。
【００１８】
このようにすることで、現金取引処理において実行される生体認証で用いられる認証用デバイスを、安全性を確保しつつ自動的に更新することができる。
【００１９】
［適用例６］適用例１ないし適用例５のいずれか一項に記載の認証用デバイス更新システムにおいて、前記認証用デバイスは、ＩＣカードである、認証用デバイス更新システム。
【００２０】
このようにすることで、ＩＣカードを更新する際の安全性を向上させることができる。
【００２１】
［適用例７］利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新方法であって、前記旧認証用デバイスを用いた生体認証の後に実行された処理の履歴である処理履歴と、前記旧認証用デバイスを用いた生体認証についての履歴である認証履歴と、に基づき、前記認証用デバイスの更新の可否を判断する工程を備える、認証用デバイス更新方法。
【００２２】
適用例７の認証用デバイス更新方法では、処理履歴と認証履歴とに基づき、認証用デバイスの更新の可否を判断するので、これらの履歴から、悪意者が旧認証用デバイスを利用しているケースや、正当利用者の怪我等により生体情報が一時的に変わったケースや、正当利用者が操作に不慣れであるケース等を判断することができ、かかる場合に認証用デバイスの更新を行わないことで安全性を高めることができる。
【発明を実施するための最良の形態】
【００２３】
Ａ．実施例：
Ａ１．システム構成：
図１は、本発明の実施例における認証用デバイス更新システムとしてのＩＣカード更新システムの構成を示す説明図である。ＩＣカード更新システム１０００は、ホストコンピュータ２００と、ＡＴＭ（Automatic Teller Machine）１００と、営業店サーバ１５０と、ＬＡＮ（Local Area Network）１２０とを備えている。これらのうち、ホストコンピュータ２００は、サービス提供者の本店に設置されている。また、ＡＴＭ１００と営業店サーバ１５０とは、営業店内に設置されており、互いにＬＡＮ１２０で接続されている。そして、ホストコンピュータ２００とＬＡＮ１２０とは、専用線等の広域ネットワーク１２５を介して互いに接続されている。
【００２４】
ホストコンピュータ２００は、ＣＰＵ２１０と、メモリ２１２と、各利用者の取引履歴を記録した取引履歴ＤＢ（データベース）２０１と、カード管理ＤＢ２０２とを備えている。カード管理ＤＢ２０２の詳細については後述する。ＣＰＵ２１０は、メモリ２１２に記憶されている更新制御用プログラムを読み出して実行することで、更新制御部２１０ａとして機能することとなる。
【００２５】
ＡＴＭ１００は、回線接続部１０と、静脈パターン読取部２０と、表示部３０と、ＣＰＵ４０と、メモリ５０と、カードリーダ／ライタ６０とを備えている。回線接続部１０は、ＬＡＮ１２０と接続するためのインタフェース群である。静脈パターン読取部２０は、ＣＣＤ（Charge Coupled Devices）カメラ（図示省略）を備えており、利用者の指を撮像して静脈パターンを検出する。表示部３０は、タッチパネルを有し、メニュー画面や各種ガイダンス画面を表示したりする。メモリ５０は、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）から構成されており、検出パターン格納部５２を備えている。この検出パターン格納部５２は、静脈パターン読取部２０において検出された静脈パターンを一時的に記憶するのに用いられる。カードリーダ／ライタ６０は、ＩＣカード９０を挿入可能に構成されており、挿入されたＩＣカード９０に搭載されているＩＣ９５から情報を読み出したり、ＩＣ９５に情報を書き込んだりする。
【００２６】
ＣＰＵ４０は、メモリ５０に記憶されている制御用プログラムを読み出して実行することで、認証実行部４０ａとして機能する。同様に、ＣＰＵ４０は、更新判断部４０ｂ，更新部４０ｃ及びユーザインタフェース（ＵＩ）制御部４０ｄとして機能する。認証実行部４０ａは、静脈パターンを用いた生体認証を実行する。更新判断部４０ｂは、更新しようとするＩＣカード９０が更新可能か否かを判断する。更新部４０ｃは、ＩＣカード９０の更新を実行する。ＵＩ制御部４０ｄは、表示部３０を制御して、メニュー画面やガイダンス画面を表示させる。
【００２７】
なお、前述のＩＣカード９０は、請求項における認証用デバイスに相当する。また、取引履歴ＤＢ２０１は請求項における処理履歴記憶部に、静脈パターン読取部２０は請求項における生体情報検出部に、検出パターン格納部５２は請求項における検出生体情報格納部に、カードリーダ／ライタ６０は請求項における認証用デバイスアクセス部に、それぞれ相当する。
【００２８】
Ａ２．認証履歴及び取引履歴：
上記構成を有するＩＣカード更新システム１０００は、キャッシュカードを用いた現金の取引を行う。具体的には、営業店に訪れた利用者は、自己のキャッシュカードとしてのＩＣカード９０をカードリーダ／ライタ６０に挿入した上で、表示部３０に表示されたメニュー画面（図示省略）に従って、現金の引き出しや振込み等を実行することができる。このとき、セキュリティ確保のために利用者の指の静脈パターンを利用した生体認証が実行される。
【００２９】
具体的には、表示部３０に表示されるガイダンス画面（図示省略）に従い、利用者が登録している指（ひと差し指や中指等）を静脈パターン読取部２０に載せると、静脈パターン読取部２０は、かかる利用者の指を撮像して静脈パターンを検出する。なお、ＩＣカード更新システム１０００では、生体認証において用いる指として予め２本まで登録することができ、いずれの指を認証に使用するかを利用者が取引の都度選択できる。認証実行部４０ａは、ＩＣ９５に予め登録されている本人の静脈パターンと、検出された静脈パターンとを比較して照合率（一致率）を得る。照合率が閾値以上の場合には本人認証が成功したものとして、取引実行部（図示省略）によって要求された処理（引き出しや振込み等）が実行される。このときの認証の履歴はＩＣ９５及びホストコンピュータ２００内の取引履歴ＤＢ２０１に記録される。また、取引の履歴は取引履歴ＤＢ２０１に記憶される。なお、生体認証において照合率が閾値よりも低い場合には、再試行のガイダンス画面（図示省略）が表示部３０に表示される。このガイダンス画面に従って利用者が再度登録されている指を静脈パターン読取部２０に載せると、静脈パターンの検出及び認証が再度実行される。２回目においても照合率が閾値よりも低い場合には、本人認証は失敗したものとして取引が終了し、認証エラーの履歴がＩＣ９５及び取引履歴ＤＢ２０１に記録される。
【００３０】
図２は、図１に示す取引履歴ＤＢ２０１の内容を示す説明図である。図２では、利用者ＩＤ「１２３４５６７８」についての取引履歴を主として示している。取引履歴ＤＢ２０１では、各利用者ＩＤについて、取引が行われる度に履歴が追記される。履歴としては、「取引種別」，「件数」，「認証成功」，「使用した指」，「成功の連続性」，「（成功の）最終発生日」，「認証失敗」，「失敗の連続性」，「（連続失敗の）最終発生日」が記録されている。ここで、「取引種別」とは、現金の引き出し（普通 出）や、振込みのための出金（振込 出）などを意味する。「件数」とは、総取引件数を意味する。「認証成功」とは、生体認証が成功して現金取引の処理を行った回数を意味する。「使用した指」とは、認証用に登録した指（静脈パターン）が複数ある場合にいずれの指を使用して認証したかを示す。本実施例では、使用指「１」は「人差指」を示し、使用指「２」は「中指」を示す。「成功の連続性」とは、認証失敗することなしに連続して認証が成功した最大の回数を意味する。また、「認証失敗」とは、生体認証に失敗して現金取引の処理を行わずに終了した回数を意味する。「失敗の連続性」とは、認証成功することなしに連続して認証が失敗した最大の数を意味する。
【００３１】
図２の例では、例えば、利用者ＩＤ「１２３４５６７８」の現金引き出し（普通 出）については、総取引件数が「２４６８」であり、そのうち人差指を用いて認証成功した回数は「２４５６」であり、中指を用いて認証成功した回数は「１０」である。なお、認証成功の最終日は、人差指が「２００８／３／１２」で、中指が「２００７／２／３」である。一方、認証失敗の回数は２回あり（認証失敗＝２）、この２回が連続して発生していることを示す（失敗連続性＝１）。なお、２回目の認証失敗の発生日は「２００７／１／２３」である。
【００３２】
図３は、ＩＣ９５に記録される認証履歴情報の内容を示す説明図である。なお、図３では、図２に示す利用者ＩＤ「１２３４５６７８」の利用者についての認証履歴情報を示す。認証履歴情報８５では、総照合回数の他、照合結果ごとの要因や件数や最終発生日が記録されている。この認証履歴情報８５は、生体認証が実行される都度追記されていく。
【００３３】
認証履歴情報８５における「総照合回数」とは、認証後の取引の種類（引き出しや振込み等）や使用した指の種類に関わらず、生体認証の総実行回数を意味する。したがって、図２における利用者ＩＤ「１２３４５６７８」の総件数（図２：２４６８＋９８７）に一致している。「照合エラー（単発）」とは、１回目は照合率が閾値よりも低かったが２回目は閾値以上であったケースを意味する。前述のように、このケースでは認証は成功する。「照合エラー（連続）」とは、１回目も２回目も照合率が閾値よりも低く認証失敗となったケースを意味する。前述のように、このケースでは認証は失敗する。「要因」における「指相違」とは、照合率が０％に近いケース（例えば１％以下であったケース）を意味する。これは、照合率が０％に近い場合、登録している指とは異なる指を用いて認証が行われた可能性が高いため、「指相違」として記録する。これに対して「要因」における「操作不適切」とは、照合率が０％よりも十分に大きな値であるが、閾値よりも低いケースを意味する。このようなケースは、例えば、登録されている正規な指で認証を試みたが、指の置き具合等によって静脈パターンが適切に検出されなかったこと等によって起こり得る。なお、前述の取引履歴ＤＢ２０１（図２）では、認証失敗が２回発生したことが記録されているが、これは、２回連続して照合率が閾値よりも低いケースが２回発生したことを意味し、図３において照合エラー（連続）が４回カウントされていることに合致している。なお、「照合キャンセル」とは、生体認証中において利用者がメニュー画面から取引のキャンセルを選択したため照合をキャンセルした回数を意味する。
【００３４】
上述した現金の取引の他、ＩＣカード更新システム１０００は、後述するカード更新処理を実行することで、キャッシュカードとして用いられるＩＣカード９０を無人で更新できるように構成されている。
【００３５】
Ａ３．カード更新処理：
カードが破損した場合や有効期限が切れる前などにおいて、利用者からカードの更新申請を受けると、サービス提供者は更新用の新たなカードを発行する。そして、サービス提供者は、カード管理ＤＢ２０２（図１）に新たなカードについてのエントリを追加し、発行した新たなカードを利用者に送る。
【００３６】
図４は、図１に示すカード管理ＤＢ２０２の内容を示す説明図である。カード管理ＤＢ２０２では、各利用者ＩＤごとに、現行（旧）カード及び新カードのそれぞれについて「カードＮｏ．」，「登録区分」，「有効期限」が登録される。ここで、「カードＮｏ．」は、発行されるカードごとに一意となるように付与される識別番号である。「登録区分」は、カードの登録状況を示す情報である。具体的には、登録区分「０」は発行済みであるが未登録（未更新）であることを示す。また、登録区分「１」は新規登録済みであることを、登録区分「２」は無人更新済みであることを、それぞれ示す。図４の例では、利用者ＩＤ「１２３４５６７８」について、現行カードとして、カードＮｏ．が「Ａ１２３４」のカードが２００７／１／２３に新規登録済みである。ここで、この利用者ＩＤ「１２３４５６７８」はカードの更新の申請を行ったため、更新用の新たなカード（カードＮｏ．＝Ｂ９８７６）についてのエントリが追加されている。このエントリを追加した時点では後述するカードの更新処理がなされていないので、登録区分は「０」となっている。なお、ユーザＩＤ「９８７６５４３２」については、更新の申請がなされていないため、更新用カードについてのエントリは追加されていない。
【００３７】
図５は、旧カード及び新カードにそれぞれ記憶される情報を示す説明図である。図５において、左側は旧カード９０ｐを示し、右側は新カード９０ｎを示す。なお、旧カード９０ｐは、利用者ＩＤ「１２３４５６７８」の利用者（図４参照）に対してサービスの契約後に最初に発行された現行カード（カードＮｏ．＝Ａ１２３４）である。また、新カード９０ｎは、上述した更新申請によって、利用者ＩＤ「１２３４５６５７８」の利用者に対して新たに発行されたカード（カードＮｏ．＝Ｂ９８７６）である。なお、図１では、これら２枚のカード９０ｐ，９０ｎを代表して「ＩＣカード９０」として表わしている。
【００３８】
旧カード９０ｐに搭載されたＩＣ９５ｐは、基本情報格納部８２ｐと、認証履歴情報格納部８４ｐと、登録パターン格納部８６ｐとを備えている。基本情報格納部８２ｐには、カードＮｏ．（Ａ１２３４）と、利用者ＩＤ（１２３４５６７８）と、登録区分（１）と、有効期限（２００８／３／２１）と、が記録されている。旧カード９０ｐのカードＮｏ．と利用者ＩＤと登録区分と有効期限とについては、旧カード９０ｐが発行された際に予め記録されている。なお、「登録区分」は、図４に示す登録区分と同じである。
【００３９】
認証履歴情報格納部８４ｐには、前述の認証履歴情報８５（図３）が記録されている。登録パターン格納部８６ｐ（図５）には、生体認証において参照される静脈パターンの情報（登録パターン）８７が記憶されている。この登録パターン８７は、旧カード９０ｐが発行されて利用者に郵送されてきた後に利用者がＡＴＭ１００を使って登録することができる。なお、これに代えて、予め契約時等において静脈パターンを検出しておき、旧カード９０ｐ発行の際に予め登録パターン格納部８６ｐに格納しておくこともできる。
【００４０】
新カード９０ｎに搭載されたＩＣ９５ｎは、ＩＣ９５ｐと同様に、基本情報格納部８２ｎと、認証履歴情報格納部８４ｎと、登録パターン格納部８６ｎとを備えている。基本情報格納部８２ｎには、カードＮｏ．（Ｂ９８７６）と、利用者ＩＤ（１２３４５６７８）と、登録区分（０）と、有効期限（２０１３／３／２１）と、が記録されている。ここで、利用者ＩＤは、利用者ごとに設定されるので、旧カード９０ｐと同じＩＤが設定されている。登録区分は前述のように未登録を示す「０」が設定されている。また、有効期限として新たな期限が設定されている。
【００４１】
なお、前述の認証履歴情報格納部８４ｐ，８４ｎは、請求項における認証履歴記憶部に相当する。また、登録パターン格納部８６ｐ，８６ｎは、請求項における登録生体情報格納部に相当する。
【００４２】
利用者は、これら新旧２枚のカードを持って営業店を訪れ、ＡＴＭ１００（図１）を使って旧カード９０ｐを無効とし、新カード９０ｎを有効とするカードの更新処理を行うことができる。具体的には、利用者は、ＡＴＭ１００の表示部３０に表示されたメニュー画面（図示省略）から「カード更新」メニューを選択する。そうすると、表示部３０に旧カードの挿入を促すガイダンス画面（図示省略）が表示される。利用者が旧カードをカードリーダ／ライタ６０に挿入すると、ＩＣカード更新システム１０００において、カード更新処理が開始される。
【００４３】
図６は、ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第１のフローチャートである。図７は、ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第２のフローチャートである。なお、図６における「Ａ」は図７における「Ａ」に続いている。同様に、図６における「Ｂ」は図７における「Ｂ」に続いている。
【００４４】
カード更新処理が開始されると、カードリーダ／ライタ６０（図１）は、旧カード９０ｐ（図５）のＩＣ９５ｐから全ての情報を読み取ってメモリ５０（図１）に記憶する（ステップＳ１０５）。ＵＩ制御部４０ｄは、登録されている指を静脈パターン読取部２０に挿入を促すガイダンス画面を表示部３０に表示させる（ステップＳ１１０）。静脈パターン読取部２０は、挿入された指から静脈パターンを検出して、検出パターン格納部５２に記憶させる（ステップＳ１１５）。認証実行部４０ａは、検出された静脈パターンと、ステップＳ１０５においてＩＣ９５ｐ（図５）から読み取った登録パターン８７とを照合して本人認証を実行し（ステップＳ１２０）、認証が成功したか否かを判定する（ステップＳ１２５）。
【００４５】
ステップＳ１２５において認証が失敗したと判断された場合、認証実行部４０ａ（図１）は、カードリーダ／ライタ６０を制御して認証履歴情報８５に履歴を追記する（ステップＳ２０５）。その後、更新部４０ｃは、前述のステップＳ１１５において検出パターン格納部５２に記憶した静脈パターンを消去する（図７：ステップＳ２１０）。ＵＩ制御部４０ｄは、更新が出来なかった旨、及び有人窓口への来店を促す旨のガイダンス画面（図示省略）を表示部３０に表示させ（ステップＳ２１５）、カード更新処理が終了する。
【００４６】
一方、前述のステップＳ１２５において、認証成功したと判定された場合、更新判断部４０ｂは、ホストコンピュータ２００に対し取引履歴の送信を要求する（ステップＳ１３０）。このとき、更新判断部４０ｂは、旧カード９０ｐのＩＣ９５ｐから読み取った利用者ＩＤも併せてホストコンピュータ２００に送信する。図５の例では、利用者ＩＤとして「１２３４５６７８」が送信されることとなる。
【００４７】
ホストコンピュータ２００（図１）において、更新制御部２１０ａは、起動後において取引履歴送信要求を受信するまで待機している（ステップＳ３０５）。更新制御部２１０ａは、利用者ＩＤと共に取引履歴送信要求を受信すると（ステップＳ３１０）、受信した利用者ＩＤをキーとして取引履歴ＤＢ２０１を検索し、該当する利用者ＩＤについての取引履歴をＡＴＭ１００に送信する（ステップＳ３１５）。
【００４８】
上述したように、利用者ＩＤ「１２３４５６７８」を受信した場合、更新制御部２１０ａは、取引履歴ＤＢ２０１（図２）を参照して、ＩＤ「１２３４５６７８」についてのすべての履歴情報をＡＴＭ１００に送信する。
【００４９】
ＡＴＭ１００において、更新判断部４０ｂは、取引履歴情報を受信すると（ステップＳ１３５）、更新可否判断処理を実行する（ステップＳ１４０）。
【００５０】
図８は、更新可否判断処理（ステップＳ１４０）の詳細手順を示すフローチャートである。更新判断部４０ｂ（図１）は、ステップＳ１３５で取得した取引履歴情報（図２）に基づき、認証失敗の回数が取引全体の回数の１０％未満であるか否かを判定する（ステップＳ４０５）。認証失敗が多く取引全体の回数の１０％以上である場合には、旧カードは悪意者によって使用されている可能性が高いため、この場合には、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。
【００５１】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図２）では、総取引回数「３４５５」に対して認証失敗回数は「４」であり１０％未満である。この場合、更新判断部４０ｂは、取引履歴情報を参照して、連続失敗回数が２回未満であるか否かを判定する（ステップＳ４１０）。認証失敗回数が少ない場合であっても連続して失敗している場合には、悪意者による利用や正当利用者が指を怪我しているケースなどが想定される。そこで、更新判断部４０ｂは、連続失敗回数が２回以上である場合には、連続失敗の最終発生日が直近１ヶ月以内であるか否かを判定する（ステップＳ４３０）。
【００５２】
連続失敗の最終発生日が直近の１ヶ月以内である場合には、正当利用者が最近指を怪我したケースや、悪意の第三者が旧カードの使用を開始したケースが想定される。後述するように更新時の指の静脈パターンを新カードに登録することとなるため、正当利用者が指を怪我している場合には、怪我が回復した場合に照合エラーとなるおそれがある。また、悪意の第三者によるカードの更新を回避しなければならない。そこでこの場合、更新不可能と判断する（ステップＳ４４０）。
【００５３】
一方、前述のステップＳ４３０において、連続失敗の最終発生日が直近１ヶ月よりも前である場合には、認証操作に当初不慣れであったケースや、以前指に怪我をしていたが現在は回復している等のケースが想定される。この場合、更新判断部４０ｂは、旧カード９０ｐのＩＣ９５ｐに記憶されている認証履歴情報８５を参照して、照合エラーの回数が総照合回数の１０％未満であるか否かを判定する（ステップＳ４１５）。なお、前述のステップＳ４１０において、連続失敗回数が２回未満であると判定した場合にも、このステップＳ４１５の処理が実行される。なお、前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図２）では、連続失敗回数は「１」なので、このステップＳ４１５が実行される。
【００５４】
ここで、照合エラーは、取引履歴ＤＢ２０１において「認証成功」と記録されるケースにおいても発生し得る。２回連続して照合エラーとならない限り、取引履歴ＤＢ２０１においては、「認証成功」とカウントされるからである。ここで、１回目に照合エラーとなった場合に２回目の照合を行うことなくキャンセルして、悪意者が何度も生体認証を試みているケースが想定される。したがって、照合エラー回数が多く総照合回数の１０％以上である場合には、認証自体の成功率は高くても悪意者の利用が否定できない。また、正当利用者が操作ミスによって頻繁に照合エラーを起こしている場合には、操作方法について説明する必要がある。そこで、この場合、更新判断部４０ｂは、照合エラーの最終発生日が直近の半年以内であるか否かを判定する（ステップＳ４３５）。
【００５５】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図３）では、照合エラー回数は、３６１（１２＋３４５＋４）であるので、総照合回数（３４５５）の１０％以上である。したがって、この場合、ステップＳ４３５が実行される。
【００５６】
照合エラーの最終発生日が直近の半年以内である場合には、悪意者による生体認証の試行が考えられる。また、正当利用者が現在もなお操作方法に不慣れであるケースも想定される。そこで、この場合、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。一方、照合エラーの最終発生日が半年よりも前である場合（ステップＳ４３５：ＮＯ）には、正当利用者が認証操作に当初不慣れであったが現在は問題がないケースが想定される。そこで、この場合、更新判断部４０ｂは、認証履歴情報８５を参照して指相違の失敗により現金取引がなされずに終了したケースの有無を判定する（ステップＳ４２０）。すなわち、「照合エラー（連続）」において、「指相違」の件数が０であるか否かを判定する。
【００５７】
なお、前述のステップＳ４１５において、照合エラー回数が総照合回数の１０％未満である場合にもこのステップＳ４２０が実行される。指相違による照合エラーが連続して起きた場合には、たとえ照合エラーの回数が少なく総照合回数の１０％未満であっても（ステップＳ４１５：ＹＥＳ）、悪意者の利用の可能性は否定できない。そこで、指相違による照合エラーが連続して起きた場合（ステップＳ４２０：ＮＯ）には、更新不可能であると判断して（ステップＳ４４０）、処理が終了する。一方、指相違による照合エラーが連続して発生していない（ステップＳ４２０：ＹＥＳ）には、更新可能であると判断して（ステップＳ４２５）、更新可否判断処理が終了する。
【００５８】
前述の利用者ＩＤ「１２３４５６７８」の利用者の例（図３）では、照合エラーの最終発生日は、２００７／１１／２２であり、現在が２００８／６／３０とすると直近半年よりも前であるので、ステップＳ４２０が実行されることとなる。そして、指相違による照合エラーの連続回数は「０」であるので、更新可能と判断される（ステップＳ４２５）。
【００５９】
図６に戻って、上述した更新可否判断処理が終了すると、更新部４０ｃは、更新判断部４０ｂによって更新が可能と判断されたか否かを判定する（ステップＳ１４５）。更新不可能と判断された場合には（図８：ステップＳ４４０，図６ステップＳ１４５：ＮＯ）、前述のステップＳ２１０，Ｓ２１５（図７）が実行され、カード更新処理が終了する。
【００６０】
一方、前述のステップＳ１４５（図６）において、更新可能と判断された場合には、更新部４０ｃ（図１）は、カードリーダ／ライタ６０に挿入されている旧カード９０ｐを無効化して排出する（ステップＳ１５０）。具体的には、旧カード９０ｐ（図５）のＩＣ９５ｐに記録されている全ての情報を消去してから排出する。ＵＩ制御部４０ｄ（図１）は、カードリーダ／ライタ６０への新カードの挿入を促すガイダンス画面（図示省略）を表示部３０に表示させる（ステップＳ１５５）。
【００６１】
表示部３０に表示されたガイダンス画面に従って、利用者が新カード９０ｎをカードリーダ／ライタ６０に挿入すると、カードリーダ／ライタ６０（図１）は、新カード９０ｎのＩＣ９５ｎから全ての情報を読み取ってメモリ５０に記憶する（ステップＳ１６０）。更新部４０ｃは、ホストコンピュータ２００に対して、カードリーダ／ライタ６０に挿入されたカードの正当性判断を要求する（ステップＳ１６５）。このとき、更新判断部４０ｂは、利用者ＩＤの他、旧カード９０ｐのカードＮｏ．及び新カード９０ｎのカードＮｏ．も併せてホストコンピュータ２００に送信する。
【００６２】
前述の利用者ＩＤ「１２３４５６７８」の例（図５）では、利用者ＩＤ（１２３４５６７８）と、カードＮｏ．（Ａ１２３４，Ｂ９８７６）とがホストコンピュータ２００に送信されることとなる。
【００６３】
ホストコンピュータ２００において、更新制御部２１０ａは、上述したステップＳ３１５（図６）を実行した後において、正当性判断要求を受信するまで待機している（ステップＳ３２０）。更新制御部２１０ａは、正当性判断要求を受信すると（ステップＳ３２５）、受信した利用者ＩＤと、新／旧カードのカードＮｏ．とに基づき、カード管理ＤＢ２０２を参照して、新カードが更新用として正規に発行されたカードであるか否かを判断する（ステップＳ３３０）。
【００６４】
上述したように、カード管理ＤＢ２０２（図４）には、利用者ＩＤ「１２３４５６７８」について、カードＮｏ．が「Ｂ９８７６」の更新用カードのエントリがある。したがって、更新制御部２１０ａは、受信した利用者ＩＤ「１２３４５６７８」とカードＮｏ．（Ａ１２３４，Ｂ９８７６）とに基づき、新カード９０ｎが正当なカードであると判断する。
【００６５】
更新制御部２１０ａは、新カードの正当性を判断すると、その判断結果をＡＴＭ１００に送信する（図６：ステップＳ３３５）。
【００６６】
ＡＴＭ１００において、更新部４０ｃは、ホストコンピュータ２００から正当性判断結果を受信すると（ステップＳ１７０）、判断結果が「正当である」であったか否かを判定する（図７：ステップＳ１７５）。正当でないとの判断がされた場合には、カードリーダ／ライタ６０は、挿入されているカードを排出する（ステップＳ２０５）。その後、上述したステップＳ２１０，Ｓ２１５が実行されてカード更新処理が終了する。
【００６７】
一方、前述のステップＳ１７５において、正当性判断結果が正当であると判定すると、更新部４０ｃは、カードリーダ／ライタ６０を制御して、検出パターン格納部５２に格納されている静脈パターンを新カード９０ｎの登録パターン格納部８６ｎに書き込んで新たに登録する（ステップＳ１８０）。その後、更新部４０ｃは、検出パターン格納部５２に記憶した静脈パターンを消去し（ステップＳ１８５）、カードリーダ／ライタ６０が新カード９０ｎを排出して（ステップＳ１９０）、カード更新処理が終了する。
【００６８】
以上説明したカード更新処理により、正当な利用者による正当な新カードへの更新が可能となる。また、更新可否の判断において、取引履歴ＤＢ２０１に格納されている取引履歴に基づいて判断するので、取引全体からみた取引成功又は失敗の状況を分析して悪意者の利用や正当利用者の指の怪我等を想定することができ、これらのケースでは、自動的なカード更新を行わないようにすることができる。したがって、悪意者が更新した新カードを入手することを抑制でき、また、怪我により一時的に変形した正当利用者の静脈パターンが新カードに登録されてしまうことを抑制することができる。また、更新可否の判断において、旧カード９０ｐに記憶されている認証履歴情報８５に基づいて判断するので、取引履歴には現れない悪意者による巧妙な更新の試行や、正当利用者が操作に不慣れであるような場合に自動的なカード更新を行わないようにすることができる。したがって、悪意者が更新した新カードを入手することを抑制でき、また、操作が不慣れな正当利用者に対し、有人窓口への来店を促して操作方法を説明することができる。このように、ＩＣカード更新システム１０００を用いることで、窓口において審査や説明が必要な利用者については自動更新を行わないようにすることができ、また、審査や説明の必要のない利用者については自動更新を実行するので、適切なケースにおいて自動的にキャッシュカードを更新することができる。
【００６９】
Ｂ．変形例：
なお、上記各実施例における構成要素の中の、独立クレームでクレームされた要素以外の要素は、付加的な要素であり、適宜省略可能である。また、この発明は上記の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。
【００７０】
Ｂ１．変形例１：
上述した実施例では、取引履歴ＤＢ２０１に記録されている情報は、主として取引の成功／失敗に関する情報であったが、これに代えて、又は、これと共に取引額や各取引間の時間間隔などを記録することもできる。そして、これら取引額や各取引間の時間間隔などを考慮して更新可否判断処理（図６：ステップＳ１４０，図８）を実行することもできる。具体的には、例えば、或る一定期間内において、所定額以上の振込みが所定回数以上行われた場合には、更新可否とすることもできる。このようにすることで、例えば、振込み詐欺等による被害の有無を窓口において確認することができる。すなわち、一般には、現金取引における任意の取引履歴に基づきキャッシュカードの更新可否を判断する構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７１】
Ｂ２．変形例２：
上述した実施例では、静脈パターンを用いた生体認証は、現金取引における本人認証のために行われるものであったが、これに代えて、他の処理における本人認証のために行うものとすることができる。例えば、入退室を行う際における本人認証や、コンピュータの使用における本人認証のためなどに生体認証を行うこともできる。すなわち、一般には、任意の処理における本人認証のために静脈パターンを用いた生体認証を行う構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７２】
Ｂ３．変形例３：
上述した実施例では、生体認証で用いる生体情報は指の静脈パターンであったが、本発明はこれに限定されるものではなく、利用者の生体的な特徴を示す任意の生体情報を用いる構成とすることができる。例えば、指紋や、手のひらの静脈パターンや、虹彩の皺のパターン等を生体情報として用いる構成とすることができる。
【００７３】
Ｂ４．変形例４：
上述した実施例では、更新対象物は、キャッシュカードであったが、これに代えて、クレジットカードを採用することもできる。また、これらカードに限らず、ＵＳＢメモリ等の記憶媒体を採用することもできる。また、携帯電話機などの記憶媒体を内蔵する機器を更新対象物として採用することもできる。すなわち、一般には、生体認証において用いられる任意のデバイス（記憶媒体や記憶媒体内蔵機器）を更新対象物とする構成を、本発明の認証用デバイス更新システムに採用することができる。
【００７４】
Ｂ５．変形例５：
上述した実施例では、認証履歴情報８５は、旧カード９０ｐのＩＣ９５ｐに格納されていたが、これに代えて、旧カード９０ｐ内の他の部分に格納することもできる。例えば、旧カード９０ｐが磁気ストライプ（図示省略）を備えている場合には、かかる磁気ストライプに格納しておくこともできる。また、認証履歴情報８５を、ＩＣカード９０ｐ内の記憶装置に格納することに代えて、他の任意の装置に格納しておくこともできる。例えば、ＡＴＭ１００（図１）が備えるメモリ５０に格納することもできる。また、営業店サーバ１５０内のメモリ（図示省略）や、ホストコンピュータ２００内のメモリ２１２に格納することもできる。なお、カード管理ＤＢ２０２もホストコンピュータ２００内に格納することに代えて、他の装置内に格納することもできる。例えば、営業店サーバ１５０内に格納することもできる。すなわち、一般には、処理履歴を記憶する処理履歴記憶部と、認証履歴を記憶する認証履歴記憶部を、任意の装置が備える構成を、本発明の認証用デバイス更新システムにおいて採用することができる。
【００７５】
Ｂ６．変形例６：
上述した実施例の更新可否判断処理（図８）では、ステップＳ４０５において、更新不可能と判断する際の規準となる数値は、取引全体の「１０％」であったが、これに代えて、任意の値とすることができる。同様にして、ステップＳ４１０における連続失敗回数（２回）や、ステップＳ４３０における期間（１ヶ月）等、更新可否判断処理の各ステップにおいて用いられる判断基準数値は、任意の値とすることができる。
【００７６】
Ｂ７．変形例７：
上述した実施例では、ＡＴＭ１００は、営業店サーバ１５０を介してホストコンピュータ２００と情報のやりとりを行っていたが、営業店サーバ１５０を介さず直接情報のやりとりを行う構成とすることもできる。また、キャッシュカードの更新は、ＡＴＭ１００で実行していたが、更新用の専用機（図示省略）をＬＡＮ１２０に接続し、かかる専用機において実行させることもできる。また、更新可否のみＡＴＭ１００において実行し、更新自体（すなわち、旧カード９０ｐのＩＣ９５ｐから情報を消去し、新カード９０ｎに静脈パターンを登録する処理自体）は、他の専用機において実行させることもできる。
【００７７】
Ｂ８．変形例８：
上述した実施例では、カード更新処理における本人認証のために生体認証を行っていたが（ステップＳ１２０）、生体認証と共に暗証番号を用いた本人認証を実行することもできる。また、新カードが正当と判断され（図７ステップＳ１７５：ＹＥＳ）、検出パターン格納部５２に格納されている静脈パターンをＩＣ９５ｐに書き込む前に、再度利用者から静脈パターンを検出して、検出パターン格納部５２に格納されている静脈パターンと照合することもできる。そして、照合が成功した場合に、検出パターン格納部５２内の静脈パターンをＩＣ９５ｐに書き込むようにすることもできる。このようにすることで、正当な利用者であるにも関わらず認証が失敗し得るような静脈パターンを新カード９０ｎに新たに登録することを避けることができる。
【００７８】
Ｂ９．変形例９：
上述した実施例では、新カード９０ｎに登録する静脈パターンは、カード更新処理のステップＳ１１５において検出パターン格納部５２に記憶した静脈パターンであったが、これに代えて、旧カード９０ｐに登録されている登録パターン８７（図５）を登録することもできる。
【００７９】
Ｂ１０．変形例１０：
上述した実施例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えるようにしてもよい。
【図面の簡単な説明】
【００８０】
【図１】本発明の実施例における認証用デバイス更新システムとしてのＩＣカード更新システムの構成を示す説明図である。
【図２】図１に示す取引履歴ＤＢ２０１の内容を示す説明図である。
【図３】ＩＣ９５に記録される認証履歴情報の内容を示す説明図である。
【図４】図１に示すカード管理ＤＢ２０２の内容を示す説明図である。
【図５】旧カード及び新カードにそれぞれ記憶される情報を示す説明図である。
【図６】ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第１のフローチャートである。
【図７】ＩＣカード更新システム１０００において実行されるカード更新処理の手順を示す第２のフローチャートである。
【図８】更新可否判断処理（ステップＳ１４０）の詳細手順を示すフローチャートである。
【符号の説明】
【００８１】
１０００…ＩＣカード更新システム
１００…ＡＴＭ
１０…回線接続部
２０…静脈パターン読取部
３０…表示部
４０…ＣＰＵ
４０ａ…認証実行部
４０ｂ…更新判断部
４０ｃ…更新部
４０ｄ…制御部
５０…メモリ
５２…検出パターン格納部
６０…カードリーダ／ライタ
９０…ＩＣカード
９５…ＩＣ
１５０…営業店サーバ
１２０…ＬＡＮ
１２５…広域ネットワーク
２００…ホストコンピュータ
２１０…ＣＰＵ
２１０ａ…更新制御部
２１２…メモリ
２０１…取引履歴ＤＢ
２０２…カード管理ＤＢ
９０ｐ…旧カード
９５ｐ…ＩＣ
８２ｐ…基本情報格納部
８４ｐ…認証履歴情報格納部
８５…認証履歴情報
８６ｐ…登録パターン格納部
８７…登録パターン
９０ｎ…新カード
９５ｎ…ＩＣ
８２ｎ…基本情報格納部
８４ｎ…認証履歴情報格納部
８６ｎ…登録パターン格納部
【特許請求の範囲】
【請求項１】
利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新システムであって、
前記生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、
前記生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、
前記旧認証用デバイスを用いた生体認証の後に実行された前記処理についての前記処理履歴と、前記旧認証用デバイスを用いた生体認証についての前記認証履歴と、に基づき前記認証用デバイスの更新の可否を判断する更新判断部と、
を備える、認証用デバイス更新システム。
【請求項２】
請求項１に記載の認証用デバイス更新システムであって、さらに、
前記利用者から前記生体情報を検出する生体情報検出部と、
前記検出された生体情報を記憶する検出生体情報格納部と、
前記検出された生体情報と予め登録されている登録生体情報とを照合して、前記生体認証を実行する生体認証実行部と、
前記認証用デバイスにアクセス可能な認証用デバイスアクセス部と、
を備え、
前記認証用デバイスは、前記登録生体情報を記憶可能な登録生体情報格納部を有し、
前記認証用デバイスアクセス部は、前記生体認証が成功し、かつ、前記更新が可能であると判断された場合に、前記検出生体情報格納部に記憶されている生体情報を新たな登録生体情報として前記登録生体情報格納部に登録する、認証用デバイス更新システム。
【請求項３】
請求項１または請求項２に記載の認証用デバイス更新システムにおいて、
前記更新判断部は、前記認証履歴のうち、前記生体認証の最終失敗時期に関する情報に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【請求項４】
請求項１ないし請求項３のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記更新判断部は、前記認証履歴のうち、前記生体認証を連続して失敗した回数に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【請求項５】
請求項１ないし請求項４のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記処理は、現金取引処理である、認証用デバイス更新システム。
【請求項６】
請求項１ないし請求項５のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記認証用デバイスは、ＩＣカードである、認証用デバイス更新システム。
【請求項７】
利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新方法であって、
前記旧認証用デバイスを用いた生体認証の後に実行された処理の履歴である処理履歴と、前記旧認証用デバイスを用いた生体認証についての履歴である認証履歴と、に基づき、前記認証用デバイスの更新の可否を判断する工程を備える、認証用デバイス更新方法。
【請求項１】
利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新システムであって、
前記生体認証の後に実行される処理の履歴である処理履歴を記憶する処理履歴記憶部と、
前記生体認証の履歴である認証履歴を記憶する認証履歴記憶部と、
前記旧認証用デバイスを用いた生体認証の後に実行された前記処理についての前記処理履歴と、前記旧認証用デバイスを用いた生体認証についての前記認証履歴と、に基づき前記認証用デバイスの更新の可否を判断する更新判断部と、
を備える、認証用デバイス更新システム。
【請求項２】
請求項１に記載の認証用デバイス更新システムであって、さらに、
前記利用者から前記生体情報を検出する生体情報検出部と、
前記検出された生体情報を記憶する検出生体情報格納部と、
前記検出された生体情報と予め登録されている登録生体情報とを照合して、前記生体認証を実行する生体認証実行部と、
前記認証用デバイスにアクセス可能な認証用デバイスアクセス部と、
を備え、
前記認証用デバイスは、前記登録生体情報を記憶可能な登録生体情報格納部を有し、
前記認証用デバイスアクセス部は、前記生体認証が成功し、かつ、前記更新が可能であると判断された場合に、前記検出生体情報格納部に記憶されている生体情報を新たな登録生体情報として前記登録生体情報格納部に登録する、認証用デバイス更新システム。
【請求項３】
請求項１または請求項２に記載の認証用デバイス更新システムにおいて、
前記更新判断部は、前記認証履歴のうち、前記生体認証の最終失敗時期に関する情報に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【請求項４】
請求項１ないし請求項３のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記更新判断部は、前記認証履歴のうち、前記生体認証を連続して失敗した回数に基づき、前記更新の可否の判断を行う、認証用デバイス更新システム。
【請求項５】
請求項１ないし請求項４のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記処理は、現金取引処理である、認証用デバイス更新システム。
【請求項６】
請求項１ないし請求項５のいずれか一項に記載の認証用デバイス更新システムにおいて、
前記認証用デバイスは、ＩＣカードである、認証用デバイス更新システム。
【請求項７】
利用者の生体的な特徴を示す生体情報を用いた生体認証において用いられる認証用デバイスを、旧認証用デバイスから新認証用デバイスに更新するための認証用デバイス更新方法であって、
前記旧認証用デバイスを用いた生体認証の後に実行された処理の履歴である処理履歴と、前記旧認証用デバイスを用いた生体認証についての履歴である認証履歴と、に基づき、前記認証用デバイスの更新の可否を判断する工程を備える、認証用デバイス更新方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−９１１７（Ｐ２０１０−９１１７Ａ）
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願番号】特願２００８−１６４６４２（Ｐ２００８−１６４６４２）
【出願日】平成２０年６月２４日（２００８．６．２４）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願日】平成２０年６月２４日（２００８．６．２４）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
[ Back to top ]