JP2007328502A

JP2007328502A - 生体認証方法及びシステム

Info

Publication number: JP2007328502A
Application number: JP2006158496A
Authority: JP
Inventors: Kenta Takahashi; 健太高橋; Masahiro Mimura; 昌弘三村
Original assignee: Hitachi Information and Control Systems Inc; Hitachi Information and Control Solutions Ltd
Current assignee: Hitachi Information and Control Systems Inc; Hitachi Information and Control Solutions Ltd
Priority date: 2006-06-07
Filing date: 2006-06-07
Publication date: 2007-12-20
Anticipated expiration: 2026-06-07
Also published as: JP4886371B2; US7840034B2; EP1865442B1; US20070286465A1; EP1865442A2; CN101087194B; EP1865442A3; CN101087194A

Abstract

【課題】
指紋の位置ずれや歪みなどに対して精度劣化が少なく、安全性の高いキャンセラブル生体認証を実現する。
【解決手段】
登録時に、クライアントは個人の指紋から複数の特徴点および各特徴点を識別可能な情報（識別情報）を抽出し、各特徴点に対してランダムに変換パラメータを生成し、座標および方向を変換する。変換後の識別情報（テンプレート）を認証サーバへ送信して記憶部に登録する。各特徴点の識別情報および変換パラメータはユーザの記憶媒体に保管する。個人の認証時に、クライアントは個人の指紋から特徴点を抽出し、記憶媒体内の識別情報を用いて特徴点を識別する。識別された各特徴点に関して、対応する変換パラメータを記憶媒体から読み出して変換し、変換後の情報を認証サーバへ送信する。サーバは受信した識別情報と先に登録されたテンプレートと照合して個人を認証する。
【選択図】図２

Description

本発明は、生体情報を用いて個人を認証する方法、その方法を実行するプログラム、および認証システムに係り、特に指紋情報を用いて個人を認証する方法等に関するものである。

指紋情報を用いた認証システムでは、登録時に個人の指紋画像を取得し、特徴量を抽出して登録する。この登録情報をテンプレートという。認証時には、再び個人から指紋画像を取得して特徴量を抽出し、テンプレートと照合して本人か否かを確認する。
クライアントとサーバがネットワークを介して接続されたシステムにおいて、クライアント側に居るユーザの指紋を認証する場合、典型的な例ではサーバにテンプレートを保持する。クライアントは認証時にユーザの指紋画像を取得し、特徴量を抽出してサーバへ送信し、サーバはその特徴量をテンプレートと照合して本人か否かを認証する。

しかし、テンプレートはユーザを特定することのできる情報であるため、個人情報として厳密に管理することが要求され、高い管理コストがかかる。また、厳密に管理されていても、プライバシの観点からテンプレートを登録することに対して心理的な抵抗を感じるユーザも多い。さらに一人のユーザが持つ指紋の数には限り（左右１０指）があるため、仮にテンプレートが漏洩して偽造の危険が生じた場合、暗号鍵のように容易にテンプレートを変更することができない。また、異なるシステムに対して同じ指紋を登録している場合には他のシステムまで脅威にさらされることになる。

このような課題に対し、テンプレートを暗号化して保管する方法が考えられる。しかし、この方法は認証時にテンプレートを一旦復号化する必要があるため、高度な攻撃による漏洩や、サーバ管理者による意図的な漏洩などを防ぐことが困難であり、プライバシの対策としても不十分である。

そこで、登録時に特徴量を一定の関数とクライアントが持つ秘密のパラメータで変換し秘匿した状態でテンプレートとしてサーバに保管しておき、認証時にはクライアントで新たに抽出した指紋の特徴量を、同じ関数とパラメータで変換してサーバへ送信し、サーバは受信した特徴量とテンプレートを変換された状態のまま照合する方法が提唱されている。この方法はキャンセラブル生体認証と呼ばれ、例えば非特許文献１に開示されている。

これによれば、クライアントが変換パラメータを秘密に保持することで、サーバは認証時においても元の特徴量を知ることができず、個人のプライバシが保護される。また、テンプレートが漏洩した場合にも、変換パラメータを変更して再度テンプレートを作成、登録することで、安全性を保つことができる。更に、異なるシステムに対して同じ生体情報を用いる場合に、各々異なるパラメータで変換したテンプレートを登録することで、１つのテンプレートが漏洩しても他のシステムの安全性が低下することを防止することができる。ここで、変換パラメータは暗号における鍵に相当し、クライアントが秘密に管理する必要がある。

キャンセラブル生体認証の具体的な実現方法として、非特許文献１において２つの手法が示されている。１つは指紋画像をｎ×ｍのブロックに分割し、ブロックの置換を変換として用いる方法である。他の１つは指紋の特徴点のx座標、y座標、方向角θを、それぞれ高次多項式関数を用いて変換する方法である。ここで指紋の特徴点とは、指紋の隆線の端点および分岐点を指し、一般的にマニューシャマッチングと呼ばれる指紋照合アルゴリズムは、特徴点の座標（ｘ，ｙ）と特徴点における隆線の方向角θを特徴量として用いる。

特開昭５５−１３８１７４公報 N. K. Ratha, et al., "Enhancing security and privacy in biometric-based authentication systems", IBM System Journal, Vol.40, No.3, 2001 A. K. Jain, et al., "An Identity-Authentication System Using Fingerprints", Proc. of IEEE, Vol.85, No.9, 1997

上記の非特許文献１に開示されたキャンセラブル生体認証によれば、ブロック置換や高次多項式関数による変換を用いて実現できる。しかし、ブロック置換による変換は、指紋の位置ずれや歪みなどによって登録時と認証時の特徴点座標がずれてブロック境界をまたいだ場合に、全く異なる位置に移動され、本来一致すべき特徴点が一致せずに認証精度が劣化するという問題がある。このためブロック幅を十分に大きく（ブロック数を少なく）しなくてはならず、変換パラメータの自由度を大きくすることが困難である。例えば２×２＝４のブロックに分割した場合、各ブロックを（重複を許して）移動するパターンの総数は４の４乗で２５６通りである。前述の通り変換パラメータは暗号鍵に相当する秘密情報であり、２５６（８ビット）通り程度では総当り攻撃等に対して安全性を確保できない。

一方、高次多項式関数を用いる方法では、特徴点の座標と方向角の組（ｘ，ｙ，θ）を高次多項式関数ｆ、ｇ、ｈを用いて（ｆ（ｘ），ｇ（ｙ），ｈ（θ））と変換する。しかし、ｆ、ｇ、ｈの次数ｄが高い場合、ブロック置換同様に特徴点の位置がずれたとき大きく異なる位置に移動され、本来一致すべき特徴点同士が一致しないと判定される可能性がある。また一般に、ｄ次多項式はｄ個の根を持つため、ｄ個の異なる特徴点の座標や方向が、変換によって同じ（または極めて近い）値となる可能性があり、本来一致すべきでない特徴点同士が一致すると判定される可能性がある。従って本人拒否率や他人受入率が増加し、認証精度が劣化する恐れがある。このため次数ｄは十分小さくしなければならず、変換パラメータの自由度を大きくすることが困難である。例えばｄ＝２とした場合、パラメータ数は３×３＝９個となる。パラメータの変更によって元の多項式関数と十分に異なる変換が実現されなくてはならないため、各パラメータの自由度は大きくすることができない。例えば、各パラメータが２通りの値を取るものとすると、９個のパラメータの値の組合せ総数は２の９乗で５１２通りとなる。ブロック置換と同様に、これでは総当り攻撃に対して安全とは言えない。

本発明の目的は、生体情報の位置ずれや歪みなどに対して精度劣化が少なく、また変換パラメータの自由度が十分に大きく総当り攻撃に対しても安全な、キャンセラブル生体認証を実現することにある。

本発明に係る生体認証方法は、個人の生体情報を取得して予め照合装置の記憶部に登録しておき、この登録された生体情報と、特徴点変換装置で取得された生体情報とを照合することで個人の認証を行う生体認証方法であって、生体情報の登録処理において、特徴点変換装置で、登録のための生体画像を取得し、取得した登録用生体画像から登録用の特徴点および特徴点に付随する登録用特徴点識別情報を抽出し、抽出した個々の特徴点に対して独立に変換パラメータを生成し、変換パラメータを用いて特徴点を変換して、登録用変換特徴点を作成し、作成された登録用変換特徴点を照合装置へ送信して記憶部に記憶する処理を行ない、
生体情報の認証処理において、特徴点変換装置で、認証のための生体画像を取得し、取得した認証用生体画像から認証用の特徴点および特徴点に付随する認証用特徴点識別情報を抽出し、認証用特徴点識別情報と登録用特徴点識別情報との関係から両者の対応関係を求め、対応関係に基づいて認証用の特徴点に変換パラメータを個々に対応付け、認証用の特徴点を、対応付けによって決定された変換パラメータを用いて個々に変換して、認証用変換特徴点を作成して特徴点変換装置から照合装置へ送信し、照合装置では、取得した認証用変換特徴点と記憶部に登録された前記登録用変換特徴点と照合することで認証処理を行う生体認証方法として構成される。
好ましい例では、複数ｎ個の特徴点をそれぞれ独立に変換、照合するのがよい。
また、好ましくは、登録処理時に抽出した各特徴点に対してリレーション放射を抽出して記憶することで、登録処理時と認証処理時の特徴点を対応付け、特徴点ごとに独立して変換パラメータを適用する。
また、変換パラメータの自由度は、パラメータＰｉ（Δｘｉ，Δｙｉ，Δθｉ）の自由度のｎ（特徴点数）倍であるのがよい。
本発明は、また、上記生体認証方法と実行するプログラムとしても把握される。

本発明に係る認証方法の好ましい例では、指紋情報を用いて個人の認証を行う指紋認証方法において、第１の装置で、個人の指紋情報を取得するステップと、取得した指紋画像から登録用の特徴点および特徴点に付随する登録用の特徴点識別情報を抽出するステップと、抽出した特徴点に対して独立的に変換パラメータを生成するステップと、生成した個々の変換パラメータを特徴点識別情報と対応付けるステップと、変換パラメータを用いて特徴点を変換し、登録用変換特徴点を作成するステップと、登録用変換特徴点を第１の装置から第２の装置へ送信し、第２の装置内の記憶部に登録用特徴点を記憶するステップと、第１の装置で、認証のための指紋情報（認証用指紋情報）を取得するステップと、取得した認証用指紋情報から認証用の特徴点および特徴点に付随する認証用特徴点識別情報を抽出するステップと、認証用特徴点識別情報と登録用特徴点識別情報とを比較して対応関係を検索するステップと、対応関係に基づいて認証用の特徴点に変換パラメータを対応付け、対応付けによって決定された変換パラメータを用いて、認証用の特徴点を変換して認証用変換特徴点を作成するステップと、認証用変換特徴点を第１の置から第２の装置へ送信するステップと、第２の装置において、受信した認証用変換特徴点を記憶部に記憶されていた登録用変換特徴点と照合するステップと、を有し、照合の結果に応じて個人を認証する指紋認証方法として構成される。

また、本発明に係る指紋認証システムの好ましい例では、個人の指紋を採取するクライアント端末と、クライアント端末にネットワークを介して接続され、指紋情報の照合処理を行なう認証サーバとを有する指紋認証システムであって、クライアント端末は、登録又は認証のための指紋画像を取得する手段と、取得した指紋画像から登録用又は認証用の特徴点および特徴点に付随する登録用又は認証用の特徴点識別情報を抽出する手段と、抽出した個々の特徴点に対して独立に変換パラメータを生成する手段と、生成した個々の変換パラメータを特徴点識別情報と対応付ける手段と、変換パラメータを用いて特徴点を変換し、登録用変換特徴点を作成する特徴点変換手段と、認証用特徴点識別情報と登録用特徴点識別情報とを比較して対応関係を検索する手段と、対応関係にもとづいて認証用の特徴点に変換パラメータを個々に対応付ける手段と、認証用の特徴点を、対応付けによって決定された変換パラメータを用いてそれぞれ変換し、認証用変換特徴点を作成する特徴点変換手段と、登録用変換特徴点及び認証用変換特徴点を認証サーバへ送信する手段と、を有し、
認証サーバは、クライアント端末から送信された登録用変換特徴点を記憶部に登録する登録部と、クライアント端末から送信された認証用変換特徴点を、記憶部に記憶された登録用変換特徴点と照合する照合部とを有し、照合部の照合結果に応じて個人を認証する指紋認証システムとして構成される。

本発明はまた、指紋の照合処理を行うある装置に接続して使用される指紋デバイスであって、登録又は認証のための指紋画像を取得する手段と、取得した指紋画像から登録用又は認証用の特徴点および特徴点に付随する登録用又は認証用の特徴点識別情報を抽出する手段と、抽出した個々の特徴点に対して独立に変換パラメータを生成する手段と、生成した個々の変換パラメータを特徴点識別情報と対応付ける手段と、変換パラメータを用いて特徴点を変換し、登録用変換特徴点を作成する特徴点変換手段と、認証用特徴点識別情報と登録用特徴点識別情報とを比較して対応関係を検索する手段と、対応関係にもとづいて認証用の特徴点に変換パラメータを個々に対応付ける手段と、認証用の特徴点を、対応付けによって決定された変換パラメータを用いてそれぞれ変換し、認証用変換特徴点を作成する特徴点変換手段と、指紋の登録及び認証を行なうために、登録用変換特徴点及び認証用変換特徴点をある装置へ送信する手段と、を有する指紋デバイスとしても構成される。

本発明によれば、生体情報の登録時に抽出した特徴点識別情報を用いることで、認証時に個々の特徴点を識別し、これによって個々の特徴点をそれぞれ独立に変換することが可能となる。このため、変換パラメータは特徴点毎に独立に設定することができ、変換パラメータの自由度は飛躍的に大きくなる。これにより、生体情報の位置ずれや歪みなどに対して精度劣化が少なく、また変換パラメータの自由度が十分に大きく総当り攻撃に対しても安全な、キャンセラブル生体認証を実現することができる。

以下、図面を参照して、本発明の実施形態について説明する。
本実施形態では、サーバに対して指紋特徴量を秘匿したまま認証を行うサーバ・クライアント型のキャンセラブル指紋認証システムを例に揚げて説明する。

図１は、一実施例による指紋認証システムが適用されるハードウェア構成を示す。
指紋認証システムは、ユーザにサービスを提供するために利用されるクライアント端末１００と、サービスを受けるユーザが正規の人物であるかを確認する認証サーバ１２０とがネットワーク１４０を介して接続して構成される。このシステムでは、ユーザが所持するＩＣカード１３０が使用される。
例えば、この認証システムをネットバンキングサービスに適用する場合、クライアント端末１００としてユーザが自宅に所有するＰＣ（パーソナルコンピュータ）と、認証サーバ１２０として銀行が管理するサーバマシンとが、インターネットのようなネットワーク１４０を介して接続して構成される。

クライアント端末１００は、例えば通常のＰＣであり、本体内に、ＣＰＵ１０１、メモリ１０２、及びネットワークコントローラ１０３を備え、ディスプレイ１０４、キーボード１０５、ＩＣカードＲ／Ｗ１０６、指紋センサ１１０等が接続されて構成される。ここで、指紋センサ１１０は、撮像素子１１１、ＣＰＵ１１２、メモリ１１３から構成され、ユーザの指紋を画像情報として取得する機能を持つ。ＩＣカードＲ／Ｗ（読取り書込み）１０６は、ＩＣカード１３０内のデータを読み書きする機能を持つ。なおＩＣカードの代わりにＵＳＢメモリやフレキシブルディスク、携帯端末、磁気カード、紙（２次元バーコードを印刷）など、耐タンパ性やアクセス制御機能を持たない携帯型記録媒体を用いてもよい。
認証サーバ１２０は、ＣＰＵ１２１、メモリ１２２、ネットワークコントローラ１２３、及びハードディスク１２４を備え、ディスプレイ１２５、キーボード１２６が接続されて構成される。

図２は、本実施例における指紋認証システムの機能構成を示す。
クライアント端末１００は、指紋センサ１１０より指紋画像を取得するための制御を行なう指紋センサ制御部２０１と、取得した指紋画像から特徴点を抽出して、登録用及び認証用の認証情報及びこれらのラベル情報を抽出する認証情報・ラベル情報抽出部２０２と、認証時にラベル情報を検索する対応ラベル検索部２０３と、変換パラメータで変換して変換認証情報を作成する認証情報変換部２０４と、指紋画像の各特徴点に対して変換パラメータを生成する変換パラメータ生成部２０５と、ＩＣカードＲ／Ｗ制御部２０６と、通信Ｉ／Ｆ２０７から構成される。なお、これら各部の機能は、後述する処理動作の説明により一層明確に理解されるであろう。

認証サーバ１２０は、通信Ｉ／Ｆ２４１と、識別情報（ＩＤ）対応に個人の指紋の変換後認証情報を記憶するデータベース（ＤＢ）２４２と、ＤＢ２４２に変換認証情報（テンプレート）を登録する登録部２４３と、認証時に作成された変換認証情報と、ＤＢ２４２に登録されたテンプレートを照合する照合部２４４とから構成される。
ＩＣカード１３０は、ユーザのＩＤ、ラベル情報、変換パラメータを記憶する。
上記各部の諸機能は、アプリケーションプログラムや制御プログラムが、クライアント端末１００及び認証サーバ１２０のＣＰＵ１０１、１２１でそれぞれ実行することで実現される。

次に、図４を参照して、指紋の登録処理動作について説明する。
クライアント端末１００は、通信Ｉ／Ｆ２０７を介して認証サーバ１２０にＩＤ要求を送信する（Ｓ４０１）。認証サーバ１２０は、ＩＤ要求を受けると、ＤＢ２４２を検索して未割当てのＩＤを得て、そのＩＤをクライアント端末１００へ送信する（Ｓ４０２）。

クライアント端末１００では、通信Ｉ／Ｆ２０７が送信されたＩＤを受信する。また、指紋センサ制御部２０１の制御により指紋センサ１１０からユーザの指紋画像を取得する（Ｓ４０３）。その後、認証情報・ラベル情報抽出部４０４は、取得した指紋画像から１つ以上の特徴点を抽出し、各特徴点に番号を割り当てる。各特徴点に対してマニューシャおよびリレーション放射を抽出し、マニューシャを番号順に並べた情報を登録用認証情報、リレーション放射を番号順に並べた情報を登録用ラベル情報とする（Ｓ４０４）。なお、認証情報とラベル情報の詳細については図６を参照して後述する。

変換パラメータ生成部２０５は、各特徴点に対して変換パラメータをランダムに生成し、特徴点番号と対応付ける（Ｓ４０５）。なお、変換パラメータについては図７を参照して後述する。ここで、変換パラメータは、ユーザが入力したＩＤやクライアント端末を使用する場合のパスワード等に基づいて生成してもよい。更に、これに限らず、ユーザの住所や氏名、電話番号等のユーザの個人情報に基づいて変換パラメータを生成してもよい。

そして、認証情報変換部２０４は、上記登録用認証情報中の各マニューシャを対応する変換パラメータで変換し、登録用変換認証情報を作成する。作成された登録用変換認証情報（テンプレート）は、割り当てられたＩＤと共に通信Ｉ／Ｆ２０７を介して認証サーバ１２０へ送信される（Ｓ４０６）。
認証サーバ１２０では、クライアント端末１００から送信された登録用変換認証情報及びＩＤを受信して、登録部２４３の実行の下これらをＤＢ２４２に登録する（Ｓ４０７）。

一方、クライアント端末１００では、ＩＣカードＲ／Ｗ制御部２０６の制御により、認証サーバ１２０へ送信したＩＤ、登録用ラベル情報、及び変換パラメータをＩＣカード１３０に書き込む（Ｓ４０８）。ここで、登録用ラベル情報と変換パラメータは個々に対応付けられた状態で記憶される。なお、ユーザＩＤやパスワードに基づいて変換パラメータを生成する場合、変換パラメータをＩＣカードに書き込む必要はない。

次に、図５を参照して、指紋の認証処理動作について説明する。
クライアント端末１００において、ＩＣカードＲ／Ｗ制御部２０６によりＩＣカード１３０からＩＤ、登録用ラベル情報、及び変換パラメータを読み込む（Ｓ５０１）。なお、変換パラメータはＩＤやパスワードから生成してもよく、この場合ＩＣカードから変換パラメータを読み込む必要はない。

次に、指紋センサ制御部２０１の制御により指紋センサ１１０からユーザの指紋画像を取得する（Ｓ５０２）。そして、認証情報・ラベル情報抽出部２０２は、取得した指紋画像から特徴点を抽出し、各特徴点に番号を割り当てる。各特徴点に対して照合用マニューシャおよび照合用リレーション放射を抽出し、照合用マニューシャを番号順に並べた情報を照合用認証情報、照合用リレーション放射を番号順に並べた情報を照合用ラベル情報とする（Ｓ５０３）。

その後、対応ラベル検索部２０３は、上記登録用ラベル情報中の各リレーション放射に対して、それと一致する上記照合用リレーション放射を検索し、番号の対応関係を記憶する（Ｓ５０４）。認証情報変換部２０４は、検索の結果得られた番号の対応関係に基づいて、照合用認証情報中の各マニューシャを上記パラメータを用いて変換し、照合用変換認証情報を作成する。作成された照合用変換認証情報はＩＤと共に認証サーバ１２０へ送信される（Ｓ５０５）。具体的には、照合用認証情報中の個々のマニューシャを、そのマニューシャ番号に対応する番号の変換パラメータを用いて変換する。

認証サーバ１２０では、送信された照合用変換認証情報とＩＤを受信し、このＩＤをキーとしてＤＢ２４２を検索して先に格納された登録用変換認証情報を取得する（Ｓ５０６）。そして、照合部２４４の実行により登録用変換認証情報と照合用変換認証情報を照合することで本人か否かを判定する（Ｓ５０７）。すなわちこのシステムにおいてユーザ本人として受容するか否かが判断される。

次に、図６を参照して認証情報およびラベル情報の抽出方法について説明する。併せて、図７を用いて認証情報、ラベル情報、変換パラメータのデータ構造についても説明する。
上記ステップＳ４０３およびＳ５０３では、まず指紋画像６００から特徴点６００２を抽出する。特徴点６００２は指紋の隆線の端点および分岐点であり、その抽出方法としては、例えば非特許文献２に記載された方法を適用できる。

得られた特徴点６００２の数をｍとし、各特徴点に１からｎ(≧ｍ)までの番号を適当に割り当てる。ここでｎは整数値をとる所定のパラメータとする。i番の特徴点をＭｉとし、その座標（ｘｉ，ｙｉ）とＭｉにおける隆線の方向θｉの組（ｘｉ，ｙｉ，θｉ）を、マニューシャと呼ぶ。ここで座標系の原点（０，０）は、例えば指紋のコア（渦の中心：◇で示す位置）６００１を用いることができる。

図７の認証情報７００は、マニューシャ（ｘｉ，ｙｉ，θｉ）をｉ＝１，２，・・・，ｎについて並べたデータとする。なおｎ＞ｍの場合は、認証情報７００にｎ−ｍ個のダミーマニューシャ（０，０，０）を追加してもよい。この場合ダミーマニューシャの番号は１からｎの中から無作為にｎ−ｍ個の番号を選んで決定する。

一方で、所定の距離以下で隣接する２つの特徴点Ｍｉ，Ｍｊを枝（直線）で結び、その枝が交差する隆線の数を枝の重みとして割り当てることで、グラフ構造（リレーション６０２）を作成する。リレーション６０２の作成方法については、例えば特許文献１に詳細に記載されている。

リレーション６０２において、特徴点Ｍｉに接続する枝の本数をｎｉとし、各枝をｅｉｋ（ｋ＝１，・・・，ｎｉ）とする。Ｍｉの隆線方向θｉを基準としたｅｉｋの方角をφｉｋとし、ｅｉの重み（交差隆線数）をｒｉｋとする。（ｒｉｋ，φｉｋ）をｋ＝１，・・・，ｎｉについて並べたデータＲｉをリレーション放射と呼ぶ。ラベル情報７０１は、リレーション放射Ｒｉをｉ＝１，２，・・・，ｎについて並べたデータとする。ダミーマニューシャに対しては、ｎｉ、ｒｉｋ、φｉｋに乱数を用いることでランダムにリレーション放射Ｒｉを作成する。ダミーリレーション放射を追加することで、仮に登録用ラベル情報が漏洩したとしても、元の指紋情報を復元されにくくなり、システムの安全性をより高める効果がある。

上記ステップＳ４０５では、ｉ＝１，２，・・・，ｎに対してそれぞれ独立に３つの乱数の組Ｐｉ（Δｘｉ，Δｙｉ，Δθｉ）を生成する。これを並べたデータを変換パラメータ７０２とする。

また、ステップＳ４０６では、Ｍｉのマニューシャ（ｘｉ，ｙｉ，θｉ）を（ｘｉ＋Δｘｉ，ｙｉ＋Δｙｉ，θｉ＋Δθｉ）と変換し、これをｉ＝１，２，・・・，ｎについて並べたデータを登録用変換認証情報とする。ただしθｉ、Δｉは角度なので、θｉ＋Δｉが３６０度（２πラジアン）を超えた場合は３６０度（２πラジアン）で割った余りを用いる。同様にｘｉ＋Δｘｉ、ｙｉ＋Δｙｉに関しても所定の値で割った余りを用いてもよい。

また、ステップＳ５０５では、登録用ラベル情報中のｉ番のリレーション放射Ｒｉと一致する照合用ラベル情報中のリレーション放射がｊ番であったとき、照合用認証情報中のｊ番のマニューシャ（ｘ’ｊ，ｙ’ｊ，θ’ｊ）をＰｉで変換して（ｘ’ｊ＋Δｘｉ，ｙ’ｊ＋Δｙｉ，θ’ｊ＋Δθｉ）とする。これをｉ＝１，２，・・・，ｎについて並べたデータを認証用変換認証情報とする。なお、Ｒｉと一致するリレーション放射がなかった場合は、一致がないことを示す情報（例えば（−１，−１，−１））を代入する。

ステップＳ５０４におけるリレーション放射Ｒｉ，Ｒ’ｊの一致判定は、例えばリレーション放射Ｒｉ：｛（ｒｉｋ，φｉｋ）｜ｋ＝１，・・・，ｎｉ｝およびＲ’ｊ：｛（ｒ’ｊｌ，φ’ｊｌ）｜ｌ＝１，・・・，ｎ’ｊ｝をそれぞれφｉｋ、φ’ｊｌに関してソートし、枝（ｒｉｋ，φｉｋ）、（ｒ’ｊｌ，φ’ｊｌ）の対応コストを（ｒｉｋ＝ｒ’ｊｌ ∧ ｜φｉｋ−φ’ｊｌ｜＜φｍａｘ）のとき０、それ以外のとき１（φｍａｘは所定の閾値）として、動的計画法によりＲｉ，Ｒ’ｊの対応コストを求めることによって実現することができる。対応コストが所定の閾値以下なら一致、そうでなければ不一致と判定する。

また、ステップＳ５０７における変換認証情報照合の照合処理は、登録用変換認証情報と照合用変換認証情報のｉ番目のマニューシャ同士を比較し、一致するマニューシャの数を類似度とし、これが所定の閾値を上回ったら受理、そうでないなら拒否とすることで実現できる。マニューシャ（ｘ，ｙ，θ）、（ｘ’，ｙ’，θ’）の一致／不一致は、例えば（ｘ−ｘ’）＾２＋（ｙ−ｙ’）＾２＋Ｃ（θ−θ’）＾２＜Ｔ（Ｃは所定の係数、Ｔは所定の閾値）によって判定することができる。

なお、本実施例においてラベル情報が漏洩した場合、第三者によりリレーション放射６０３の情報からリレーション６０２を再構築され、元の指紋情報を復元する手がかりとなる危険性がある。具体的には、リレーション６０２においてｋ（≧３）個の特徴点がk角形をなす場合（グラフがｋ本の枝からなる閉路を含む場合）、内角の和が（ｋ−２）πでなければならない。この条件を利用して、ｎ個のリレーション放射から総当り的にｋ個のリレーションを選択し、更に各リレーションから総当り的に２つの枝を選択し、２つの枝のなす角の和が（ｋ−２）πとなるような組合せを探索することで、リレーション６０２に含まれるｋ角形（閉路）を推定し、リレーション６０２を再構築する攻撃が考えられる。
このような攻撃を防ぐため、図８に示すように、リレーション放射を作成する際に、方角φｉｋを有限個（図では５個）の値に離散化してもよい。

同様に上記の攻撃を防ぐため、グラフが閉路を含まないようにリレーション放射６０３の枝を間引いてもよい。この具体的な方法について図９を用いて説明する。
まずリレーション９００をグラフとみなし、極大木９０１を求める。極大木とはグラフの全頂点を含み、かつ閉路を含まない部分グラフのうち、枝数が最大のグラフのことである。極大木を計算する方法としては、Ｋｒｕｓｃａｌのアルゴリズムなどが知られている。

次に、極大木に含まれない枝を一方の特徴点から他方の特徴点へ向かう有向枝とし、極大木に含まれる枝は二重化して双方向へ向かう有向枝とすることで有向グラフ９０２を作る。
次に、各特徴点Ｍｉに対し、その特徴点から他の特徴点へ向かう有向枝をｅｉｋ（ｋ＝１，・・・，ｎｉ）とする。Ｍｉの隆線方向θｉを基準としたｅｉｋの方角をφｉｋとし、ｅｉの重み（交差隆線数）をｒｉｋとする。（ｒｉｋ，φｉｋ）をｋ＝１，・・・，ｎｉについて並べたデータＲｉを特徴点Ｍｉのリレーション放射とする。

このようにリレーション放射に含める枝を間引きすることで、ｎ個のリレーション放射からどのｋ個を選択し、また各リレーション放射からどの２つの枝を選択したとしても、それらがｋ角形（閉路）を構成することはない。従って上記の攻撃によるリレーションの再構築は不可能となる。

一方、特徴点Ｍｉのリレーション放射に含まれる枝ｅｉｋと、特徴点Ｍｊのリレーション放射に含まれる枝ｅｊｌが、リレーション６０２において同一である場合、ｒｉｋ＝ｒｊｌでなくてはならない。この条件が、リレーション６０２を再構築ための制約条件として利用される可能性がある。
そこで、ｒｉｋとしてｅｉの重み（交差隆線数）を所定の整数（例えば５）で割った余りを用い、上記の制約条件を用いた再構築を困難にすることができる。

また、上記ｒｉｋ＝ｒｊｌの条件を用いた再構築を不可能とするため、どの２つのリレーション放射も同じ枝を共有しないように、枝を間引きすることもできる。以下具体的な手順を説明する。
まずリレーション放射を作成する際に、リレーション602をグラフとみなし、その全ての枝を、一方の特徴点から他方の特徴点へ向かう有向枝とすることで、有向グラフを作成する。

次に、各特徴点Ｍｉに対し、その特徴点から他の特徴点へ向かう有向枝をｅｉｋ（ｋ＝１，・・・，ｎｉ）とする。Ｍｉの隆線方向θｉを基準としたｅｉｋの方角をφｉｋとし、ｅｉの重み（交差隆線数）をｒｉｋとする。（ｒｉｋ，φｉｋ）をｋ＝１，・・・，ｎｉについて並べたデータＲｉを特徴点Ｍｉのリレーション放射とする。

このようにリレーション放射に含める枝を間引きすることで、リレーション６０２において特徴点Ｍｉと特徴点Ｍｊを結ぶ枝は、Ｍｉのリレーション放射Ｒｉか、Ｍｊのリレーション放射Ｒｊのいずれか一方にのみ含まれることになる。従って上記制約条件をリレーション６０２の再構築に利用することは不可能となる。

なお、本実施例におけるラベル情報として、図１０に示すような、各特徴点１００ｎを中心とする指紋の局所部分画像１０００を用いてもよい。この場合、Ｓ５０４における対応ラベル検索は、局所部分画像どうしの一致／不一致を画像の相関値やハミング距離等を用いて判定することで、実現することができる。

上述したように本実施例によれば、認証サーバに登録される変換認証情報からは、元の認証情報を全く知ることができない。実際に、変換認証情報の復元困難性は変換パラメータの自由度に依存するが、本実施例における変換パラメータの自由度は、パラメータＰｉ（Δｘｉ，Δｙｉ，Δθｉ）の自由度のｎ（特徴点数）倍であり、十分に大きい。例えばΔｘｉ，Δｙ，Δθｉがそれぞれ２つの値のいずれかをランダムに取る（１ビットの自由度）とし、１つの指紋から抽出される特徴点の数をｎ＝４０とすると、パラメータの自由度は３×４０＝１２０ビットとなる。これは総当り攻撃に対して十分な強度を持つものと考えられる。

このように大きな自由度を持つ変換が実現可能となったのは、ｎ個の特徴点をそれぞれ独立に変換、照合できるためである。一般に指紋認証では、指紋画像を取得する際の歪みやかすれ、ノイズなどの影響によって、全ての特徴点を正しく抽出できないことが多く、抽出できた特徴点に関してもその座標や方向が安定しない。このため登録時に抽出した特徴点と照合時に抽出した特徴点の対応は一般に不明であり、従来のキャンセラブル指紋照合アルゴリズムでは個々の特徴点に対して別々のパラメータで変換を行うことはできなかった。このため全特徴点に対して同一の変換パラメータを適用せざるを得ず、変換パラメータの自由度を大きくできない問題があった。
しかし、本実施によれば、登録時に抽出した各特徴点に対してリレーション放射を抽出して記憶することで、登録時と照合時の特徴点の対応付けを可能とし、特徴点毎に独立に変換パラメータを適用可能とした。

なお、登録ラベル情報（リレーション放射）のみからは、特徴点の座標を特定することができない。またどの２つの特徴点が隣接しているかも決定できないため、リレーション６０２のようなネットワーク構造を再構築することも困難である。従って、本実施例においてクライアントからラベル情報や変換パラメータが漏洩したとしても、それを基に指紋情報を再現することはできない（変換パラメータは、指紋情報と独立に生成される値であることに注意を要する）。同様にサーバから登録用変換認証情報が漏洩したとしても、基の指紋情報を再現することはできない。このように、本実施形態を用いることで指紋情報漏洩の脅威に対して安全な指紋認証システムを構築することができる。またユーザはサーバに対して指紋情報を秘匿したまま認証を受けることができるため、プライバシ保護効果の高い指紋認証システムであると言える。

本実施例に係る生体認証は、ユーザ認証を行う任意のアプリケーションに対して適用可能であり、特にネットワークを介した認証においてセキュリティとプライバシを高めることができる。例えば、社内ネットワークにおける情報アクセス制御、インターネットバンキングシステムやＡＴＭ（現金自動取引装置）における本人確認、会員向けＷｅｂサイトへのログイン、保護エリアへの入場時の個人認証、パソコンのログイン等に適用することができる。

なお、本発明は上述の実施例に限定されることなく、種々変形、応用して実施し得る。
例えば、図２に示した機能構成の変形例として、図３に示すように、指紋デバイス３００として、その内部に、指紋センサ１１０、認証情報・ラベル情報抽出機能２０２と、対応ラベル検索機能２０３と、認証情報変換機能２０４と、変換パラメータ生成機能２０５と、記憶機能２０８を持たせて一体構成としてもよい。この場合、記憶部２０８はユーザのＩＤ、ラベル情報、変換パラメータを記憶する。
更なる変形例として、この指紋デバイス３００の内部に、クライアント端末１００が有する指紋センサ制御部２０１及び通信Ｉ／Ｆ２０７を有するように構成してもよい。このように構成すれば、指紋デバイス３００と認証サーバ１２０との間で種々の情報を直接やりとりすることができる。

また、上記実施例ではネットワークにより接続されるクライアント・サーバ型の認証システムの例について説明したが、他の例としてＰＣログイン等を目的とした卓上型指紋認証装置への適用も可能である。この場合、図３における指紋センサ１１０を卓上型指紋認証装置とし、認証サーバ１２０と同等の機能をＰＣのソフトウェアとして実装することで実現できる。
なお、指紋のように多数の特徴点を持ち、それらが順序付けできないものであれば、上記の指紋認証に限らず、他の生体情報の認証にも適用できるであろう。

一実施例による指紋認証システムのハードウェア構成を示す図。一実施例による指紋認証システムの機能構成を示すブロック図。他の実施例による指紋認証システムの機能構成を示すブロック図。一実施例における指紋の登録処理動作を示すフロー図。一実施例における指紋の認証処理動作を示すフロー図。一実施例における認証情報およびラベル情報の抽出処理を説明するための図。一実施例における認証情報およびラベル情報のデータ構造を示す図。一実施例におけるリレーション放射抽出処理における角度の離散化方法を説明するための図。一実施例におけるリレーション放射抽出処理における枝の間引き方法を説明するための図。一実施例におけるラベル情報として局所部分画像を用いる方法を説明するための図。

符号の説明

１００クライアント端末１０１，１１２，１２１ＣＰＵ
１０２，１１３，１２２メモリ
１０３ネットワークコントローラ１０４ディスプレイ
１０５キーボード１０６ＩＣカードＲ／Ｗ
１１０指紋センサ１１１撮像素子１２０認証サーバ
１２３ネットワークコントローラ
１２４ハードディスク１２５ディスプレイ１２６キーボード
１３０ＩＣカード１４０ネットワーク
２０１指紋センサ制御部２０２認証情報・ラベル情報抽出部
２０３対応ラベル検索部２０４認証情報変換部
２０５変換パラメータ生成部２０６ＩＣカードＲ／Ｗ制御部
２０７，２４１通信Ｉ／Ｆ２０８記憶部２４２データベース２４３登録部２４４照合部３００：指紋デバイス
６００指紋画像６０１マニューシャ６０２リレーション
６０３リレーション放射
７０１認証情報７０２ラベル情報７０３変換認証情報
７０４変換パラメータ
９００リレーション９０１極大木９０２有向グラフ
９０３リレーション放射１０００局所部分画像

Claims

指紋情報を用いて個人の認証を行う指紋認証方法において、
第１の装置で、個人の指紋情報を取得するステップと、
取得した指紋画像から登録用の特徴点および該特徴点に付随する登録用の特徴点識別情報を抽出するステップと、
抽出した特徴点に対して独立的に変換パラメータを生成するステップと、
生成した個々の変換パラメータを特徴点識別情報と対応付けるステップと、
該変換パラメータを用いて該特徴点を変換し、登録用変換特徴点を作成するステップと、
該登録用変換特徴点を第１の装置から第２の装置へ送信し、該第２の装置内の記憶部に該登録用特徴点を記憶するステップと、
第１の装置で、認証のための指紋情報（認証用指紋情報）を取得するステップと、
取得した認証用指紋情報から認証用の特徴点および該特徴点に付随する認証用特徴点識別情報を抽出するステップと、
該認証用特徴点識別情報と該登録用特徴点識別情報とを比較して対応関係を検索するステップと、
該対応関係に基づいて該認証用の特徴点に該変換パラメータを対応付け、該対応付けによって決定された該変換パラメータを用いて、該認証用の特徴点を変換して認証用変換特徴点を作成するステップと、
該認証用変換特徴点を該第１の装置から該第２の装置へ送信するステップと、
該第２の装置において、受信した該認証用変換特徴点を該記憶部に記憶されていた該登録用変換特徴点と照合するステップと、を有し、
該照合の結果に応じて個人を認証することを特徴とする指紋認証方法。
前記特徴点に付随する特徴点識別情報は、該特徴点とその近傍領域内の近傍特徴点との間の隆線の数と、該特徴点からの該近傍特徴点の方角とを含むことを特徴とする請求項１記載の指紋認証方法。
前記特徴点に付随する特徴点識別情報は、該特徴点とその近傍領域内の近傍特徴点との間の隆線の数を所定の整数で割った余りと、該特徴点からの該近傍特徴点の方角を所定の数に離散化した値とを含むことを特徴とする請求項１記載の指紋認証方法。
前記特徴点に付随する特徴点識別情報を作成する際に、該指紋画像から抽出された全特徴点に対し所定の距離以下で隣接する二つの特徴点を枝で結ぶことによりグラフを構成し、該グラフの全ての枝を一方の特徴点から他方の特徴点へ向かう有向枝とし、
該特徴点に付随する特徴点識別情報は、該有向グラフにおいて、該特徴点から他の特徴点へ向かう有向枝が交差する隆線の数と、該有向枝の方角とを含むことを特徴とする請求項１記載の指紋認証方法。
前記特徴点に付随する特徴点識別情報を作成する際に、該指紋画像から抽出された全特徴点に対し所定の距離以下で隣接する二つの特徴点を枝で結ぶことによりグラフを構成し、該グラフに含まれる極大木を作成し、該極大木に含まれない枝を一方の特徴点から他方の特徴点へ向かう有向枝とし、該極大木に含まれる枝は二重化して双方向へ向かう有向枝とすることで有向グラフを作成し、
該特徴点に付随する特徴点識別情報は、該有向グラフにおいて、該特徴点から他の特徴点へ向かう有向枝が交差する隆線の数と、該有向枝の方角とを含むことを特徴とする請求項１記載の指紋認証方法。
前記特徴点に付随する特徴点識別情報は、該特徴点を中心とする指紋の局所部分画像であることを特徴とする請求項１記載の指紋認証方法。
前記特徴点は座標（ｘ，ｙ）および方向角θの情報を持ち、該変換パラメータは座標変分（Δｘ，Δｙ）および方向角変分Δθを含み、
該特徴点変換手段は該座標（ｘ，ｙ）を（ｘ＋Δｘ，ｙ＋Δｙ）に変換し、該方向角θをθ＋Δθに変換することを特徴とする請求項１ないし６のいずれかの指紋認証方法。
個人の指紋を採取するクライアント端末と、該クライアント端末にネットワークを介して接続され、指紋情報の照合処理を行なう認証サーバとを有する指紋認証システムであって、
該クライアント端末は：登録又は認証のための指紋画像を取得する手段と、取得した指紋画像から登録用又は認証用の特徴点および該特徴点に付随する登録用又は認証用の特徴点識別情報を抽出する手段と、抽出した個々の特徴点に対して独立に変換パラメータを生成する手段と、生成した個々の変換パラメータを特徴点識別情報と対応付ける手段と、該変換パラメータを用いて該特徴点を変換し、登録用変換特徴点を作成する特徴点変換手段と、該認証用特徴点識別情報と該登録用特徴点識別情報とを比較して対応関係を検索する手段と、該対応関係にもとづいて該認証用の特徴点に該変換パラメータを個々に対応付ける手段と、該認証用の特徴点を、該対応付けによって決定された該変換パラメータを用いてそれぞれ変換し、認証用変換特徴点を作成する特徴点変換手段と、該登録用変換特徴点及び認証用変換特徴点を該認証サーバへ送信する手段と、を有し、
該認証サーバは：該クライアント端末から送信された該登録用変換特徴点を記憶部に登録する登録部と、該クライアント端末から送信された該認証用変換特徴点を、該記憶部に記憶された該登録用変換特徴点と照合する照合部とを有し、
該照合部の照合結果に応じて個人を認証することを特徴とする指紋認証システム。
前記特徴点に付随する特徴点識別情報は、該特徴点とその近傍領域内の近傍特徴点との間の隆線の数と、該特徴点からの該近傍特徴点の方角とを含むことを特徴とする請求項８記載の指紋認証システム。
指紋の照合処理を行う認証サーバにネットワークを介して接続される端末装置であって、
登録又は認証のための指紋画像を取得する手段と、取得した指紋画像から登録用又は認証用の特徴点および該特徴点に付随する登録用又は認証用の特徴点識別情報を抽出する手段と、抽出した個々の特徴点に対して独立に変換パラメータを生成する手段と、生成した個々の変換パラメータを特徴点識別情報と対応付ける手段と、該変換パラメータを用いて該特徴点を変換し、登録用変換特徴点を作成する特徴点変換手段と、該認証用特徴点識別情報と該登録用特徴点識別情報とを比較して対応関係を検索する手段と、該対応関係にもとづいて該認証用の特徴点に該変換パラメータを個々に対応付ける手段と、該認証用の特徴点を、該対応付けによって決定された該変換パラメータを用いてそれぞれ変換し、認証用変換特徴点を作成する特徴点変換手段と、指紋の登録及び認証を行なうために、該登録用変換特徴点及び認証用変換特徴点を該認証サーバへ送信する手段と、を有することを特徴とする端末装置。
指紋の照合処理を行うある装置に接続して使用される指紋デバイスであって、登録又は認証のための指紋画像を取得する手段と、取得した指紋画像から登録用又は認証用の特徴点および該特徴点に付随する登録用又は認証用の特徴点識別情報を抽出する手段と、抽出した個々の特徴点に対して独立に変換パラメータを生成する手段と、生成した個々の変換パラメータを特徴点識別情報と対応付ける手段と、該変換パラメータを用いて該特徴点を変換し、登録用変換特徴点を作成する特徴点変換手段と、該認証用特徴点識別情報と該登録用特徴点識別情報とを比較して対応関係を検索する手段と、該対応関係にもとづいて該認証用の特徴点に該変換パラメータを個々に対応付ける手段と、該認証用の特徴点を、該対応付けによって決定された該変換パラメータを用いてそれぞれ変換し、認証用変換特徴点を作成する特徴点変換手段と、指紋の登録及び認証を行なうために、該登録用変換特徴点及び認証用変換特徴点を該ある装置へ送信する手段と、を有することを特徴とする指紋デバイス。
個人の生体情報を取得して予め照合装置の記憶部に登録しておき、この登録された生体情報と、特徴点変換装置で取得された生体情報とを照合することで個人の認証を行う生体認証方法であって、
生体情報の登録処理において、該特徴点変換装置で、登録のための生体画像を取得し、取得した登録用生体画像から登録用の特徴点および該特徴点に付随する登録用特徴点識別情報を抽出し、抽出した個々の特徴点に対して独立に変換パラメータを生成し、該変換パラメータを用いて該特徴点を変換して、登録用変換特徴点を作成し、作成された該登録用変換特徴点を該照合装置へ送信して記憶部に記憶する処理を行ない、
生体情報の認証処理において、該特徴点変換装置で、認証のための生体画像を取得し、取得した認証用生体画像から認証用の特徴点および該特徴点に付随する認証用特徴点識別情報を抽出し、該認証用特徴点識別情報と該登録用特徴点識別情報との関係から両者の対応関係を求め、該対応関係に基づいて該認証用の特徴点に該変換パラメータを個々に対応付け、該認証用の特徴点を、該対応付けによって決定された該変換パラメータを用いて個々に変換して、認証用変換特徴点を作成して該特徴点変換装置から該照合装置へ送信し、該照合装置では、取得した該認証用変換特徴点と該記憶部に登録された前記登録用変換特徴点と照合することで認証処理を行うことを特徴とする生体認証方法。
複数ｎ個の特徴点をそれぞれ独立に変換、照合することを特徴とする請求項１２の生体認証方法。
登録処理時に抽出した各特徴点に対してリレーション放射を抽出して記憶することで、登録処理時と認証処理時の特徴点を対応付け、特徴点ごとに独立して変換パラメータを適用することを特徴とする請求項１２又は１３の生体認証方法。
変換パラメータの自由度は、パラメータＰｉ（Δｘｉ，Δｙｉ，Δθｉ）の自由度のｎ（特徴点数）倍であることを特徴とする請求項１２乃至１４のいずれかの生体認証方法。
個人の生体情報を取得して予め認証サーバの記憶部に登録しておき、この登録された生体情報と、端末装置で取得された生体情報とを照合することで個人の認証を行う生体認証用のプログラムであって、
生体情報の登録処理においては、該端末装置で、登録のための生体画像を取得し、取得した登録用生体画像から登録用の特徴点および該特徴点に付随する登録用特徴点識別情報を抽出し、抽出した個々の特徴点に対して独立に変換パラメータを生成し、該変換パラメータを用いて該特徴点を変換して、登録用変換特徴点を作成し、作成された該登録用変換特徴点を該認証サーバへ送信して記憶部に記憶する処理を実行し、
生体情報の認証処理においては、該端末装置で、認証のための生体画像を取得し、取得した認証用生体画像から認証用の特徴点および該特徴点に付随する認証用特徴点識別情報を抽出し、該認証用特徴点識別情報と該登録用特徴点識別情報との関係から両者の対応関係を求め、該対応関係に基づいて該認証用の特徴点に該変換パラメータを個々に対応付け、該認証用の特徴点を、該対応付けによって決定された該変換パラメータを用いて個々に変換して、認証用変換特徴点を作成して該端末装置から該認証サーバへ送信し、該認証サーバでは、取得した該認証用変換特徴点と該記憶部に登録された前記登録用変換特徴点と照合することで認証処理を実行することを特徴とする生体認証用プログラム。