JP2009129354A - 認証システム及び方法、クライアント端末及びその制御方法、並びにプログラム - Google Patents

Abstract

【課題】安全性の高い生体認証システムを実現する。
【解決手段】登録ユーザ毎に照合用特徴量データと本人確認情報とを保持するデータベースと、認証対象ユーザの生体情報から特徴量データを抽出する手段と、認証対象ユーザ特徴量データと照合用特徴量データとを用いて認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する手段と、１名以上の候補者を決定した場合、前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報を、提示情報として選択する手段と、提示情報を表示する手段と、認証対象ユーザから前記表示した提示情報の指定を受け付ける手段と、認証対象ユーザが候補者の本人確認情報を指定した場合、該認証対象ユーザが、前記指定した本人確認情報に対応する登録ユーザであると判定する手段とを備える。
【選択図】図２

Description

本発明は、認証システムに関し、特に、生体情報から抽出した特徴量（特徴量データ）を用いて個人を認証する認証システムおよび方法に関する。

生体認証方式は、パスワードやＩＣカードなどに基づく認証方式と比べて、なりすましが困難であり、パスワード等を忘れることもないといった利点を持つ認証方式として知られている。生体認証方式では、登録時にユーザから生体情報を取得し（以後、登録されたユーザを「登録ユーザ」と呼ぶ）、そこから特徴量データを抽出して照合用にデータベースに登録する。この登録ユーザの照合用特徴量データを登録テンプレートという。認証時には、認証を受けようとするユーザ（以後、「認証対象ユーザ」と呼ぶ）から生体情報を取得し、そこから抽出した特徴量データと、データベースに登録されている登録テンプレートとを照合することで、認証を行なう。

認証対象ユーザの特徴量データについて、Ｎ人の登録ユーザの登録テンプレートそれぞれと照合を行ない、認証対象ユーザがどの登録ユーザであるか（或いは、いずれの登録ユーザにも該当しないか）を判定する生体認証方式を１：Ｎ認証という。一方、認証対象ユーザにカード等を用いてユーザＩＤを入力させ、認証対象ユーザの特徴量データについて、入力されたユーザＩＤに対応する登録ユーザと照合を行ない、認証対象ユーザが入力ユーザＩＤに対応する登録ユーザであるか否かを判定する生体認証方式を１：１認証という。

１：Ｎ認証は、認証対象ユーザがカード等によってユーザＩＤを入力する必要が無いため、利便性が高いという利点がある。１：Ｎ認証方式を利用した生体認証システムの例としては、勤怠管理システムや、クレジットカードを用いずに生体認証のみでクレジット決済を行なうシステム（以後、「カードレスクレジット決済システム」と呼ぶ）が挙げられる。

１：Ｎ認証を利用した生体認証システムの枠組みとしては、以下のものがある。まず、認証クライアント端末において認証対象ユーザの生体情報を取得し、そこから抽出した特徴量データを認証サーバに送信後、認証サーバにて１：Ｎ認証を行なう。１：Ｎ認証を行った結果、認証対象ユーザに該当する可能性があると判定された登録ユーザ（以後、候補者と呼ぶ）がいれば、認証サーバはその候補者の氏名を認証クライアント端末に返す。この場合、認証クライアント端末において、認証対象ユーザはその候補者の氏名が自分のものかどうか本人確認を行なう。本人確認は、例えば、候補者の氏名とＹｅｓ／Ｎｏボタンを表示器に表示し、氏名が本人のものであればＹｅｓボタン、他人のものであればＮｏボタンを押すことで行なう。１：Ｎ認証の結果、候補者がいない場合、認証サーバは候補者がいないことを示す情報を認証クライアント端末に返す。この場合、認証クライアント端末は、認証対象ユーザによる本人確認を行なわずに認証失敗と判定する。このように認証対象ユーザによる本人確認を行なうことで、認証対象ユーザに悪意が無い場合に、認証対象ユーザが他人として認証に成功してしまう恐れを回避できる。この形態の生体認証システムを本人確認型生体認証システムと呼ぶ。

また、生体認証方式とは別に、パスワードに基づく認証方式において、画像認証と呼ばれる方式が非特許文献１などで提案されている。これは、文字列の代わりに画像をパスワードとして登録し（以後、パスワード画像と呼ぶ）、認証時に、認証対象ユーザのパスワード画像を幾つかのダミー画像と共に表示して、認証対象ユーザがその中から自分のパスワード画像を正しく選択することができた場合に、認証成功と判定する方式である。画像認証では、画像といったユーザが容易に記憶することができる情報をパスワードとして用いるため、ユーザの記憶負荷を軽減することができる。
高田哲司他、「あわせ絵：画像登録と利用通知を用いた正候補選択方式による画像認証方式の強化法」、情報処理学会論文誌 Vol.44 No.8 pp.2002-2012 (2002)

図６に、１：Ｎ認証において定義される認証誤り率の種類を概念的に示す。１：Ｎ認証における認証誤り率は、事前に登録を行なった認証対象ユーザが本人以外の登録ユーザとして認証に成功してしまう誤り率（以後、False Negative Acceptance Rate；「ＦＮＡＲ」と呼ぶ）、事前に登録を行なった認証対象ユーザが認証に失敗してしまう誤り率（以後、False Negative Rejection Rate；「ＦＮＲＲ」と呼ぶ）、事前に登録を行なっていない認証対象ユーザが認証に成功してしまう誤り率（以後、False Positive Acceptance Rate；「ＦＰＡＲ」と呼ぶ）の３種類に分別される。ＦＮＡＲ及びＦＰＡＲが高いと、認証対象ユーザが他人として認証に成功する可能性が高まるので安全性の低下が引き起こされ、ＦＮＲＲが高いと、登録されている認証対象ユーザが認証に失敗する可能性が高まるので利便性の低下が引き起こされる。

従来の１：Ｎ認証を利用した生体認証システムでは、一般に登録ユーザ数Ｎが増加するほど、ＦＮＡＲ及びＦＰＡＲが増加し、安全性の低下が引き起こされるという問題があった。この点、本人確認型生体認証システムでは、認証対象ユーザに悪意が無い場合、ＦＮＡＲ及びＦＰＡＲを事実上、ゼロとできるが、認証対象ユーザに悪意がある場合、他人の氏名が表示されたときにＹｅｓボタンを押すことで、容易に他人になりすませるという問題があった。

また、従来の１：Ｎ認証を利用した生体認証システムでは、事前に登録を行なっていない認証対象ユーザが、悪意をもって、認証に成功するまで何度も１：Ｎ認証を繰り返すことで、いずれ認証に成功してしまう可能性がある、という問題があった。

さらに、従来の１：Ｎ認証を利用した生体認証システムでは、事前に登録を行っている認証対象ユーザが、悪意をもって、自分以外の登録ユーザとして認証に成功するまで何度も１：Ｎ認証を繰り返すことで、いずれ認証に成功してしまう可能性がある、という問題があった。

本発明は、以上の課題を解決するため、登録ユーザ毎に、該登録ユーザの照合用特徴量データと、該登録ユーザの本人確認情報とを保持するデータベースと、認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出手段と、前記抽出した認証対象ユーザ特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する認証手段と、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報を、提示情報として選択する選択手段と、前記選択した提示情報を表示する表示手段と、認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付手段と、認証対象ユーザが候補者の本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定手段とを備えることを特徴とする。

好適には、前記判定手段は、認証対象ユーザが登録ユーザであると判定した後、次に認証対象ユーザが登録ユーザであると判定するまでの間に、認証対象ユーザによるダミー情報の指定がＤ回（Ｄ≧１）行われた場合、当該認証システムに対して不正な行為が行われたと判定することを特徴とする。

また好適には、前記本人確認情報は、登録ユーザが登録した図形画像であることを特徴とする。

また好適には、前記認証手段は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在する場合、そのうち前記算出した距離が最小となる登録ユーザを候補者に決定し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定することを特徴とする。

また好適には、前記認証手段は、前記データベースに保持される照合用特徴量データを順次選択し、前記抽出した認証対象ユーザ特徴量データと前記選択した照合用特徴量データとの特徴量空間における距離が閾値Ｘｔｈ以下となる場合、前記選択した照合用特徴量データに対応する登録ユーザを唯一の候補者に決定するとともに、前記順次選択を中止し、前記データベースに保持される全ての照合用特徴量データについて前記距離が閾値Ｘｔｈを越える場合、候補者がいないと判定することを特徴とする。

また好適には、前記認証手段は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定し、そうでない場合、候補者がいないと判定することを特徴とする。

また好適には、前記認証手段は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが複数名いる場合であって、前記複数名の前記算出した距離の最小値と次に小さい値の差が第２閾値を越える場合、最小値に対応する登録ユーザを候補者に決定し、いずれでもない場合、候補者がいないと判定することを特徴とする。

また好適には、前記認証手段は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、前記算出した距離が閾値Ｘｔｈ以下となる１名以上の登録ユーザが存在する場合、全ての該登録ユーザを候補者に決定し、前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定することを特徴とする。

また好適には、閾値ｘを入力とし、該閾値ｘを採用した場合のＦＡＲ（False Acceptance Rate）を出力する関数ｇ（ｘ）の逆関数を用いて、閾値Ｘｔｈ＝ｇ^-1（予め定めた基準値Ｆを登録ユーザ数Ｎで除算して得られた値）に従って、前記閾値Ｘｔｈを求める閾値決定手段を備えることを特徴とする。

本発明のクライアント端末は、登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを備えた認証サーバに対し、通信可能に構成されたクライアント端末であって、認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出手段と、前記認証サーバに対し、認証対象ユーザの特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行って、１名以上の候補者を決定するか、或いは候補者がいないと判定することを要求する認証要求手段と、前記要求に応じて、前記認証サーバが選択した提示情報を受信する手段であって、前記提示情報は、前記認証サーバが、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを含むように構成されており、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを含むように構成されている、手段と、前記受信した提示情報を表示する表示手段と、認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付手段と、認証対象ユーザが候補者の本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定手段とを備えることを特徴とする。

本発明の認証方法は、登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを用いた認証方法であって、認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出工程と、前記抽出した認証対象ユーザ特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する認証工程と、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを、提示情報として選択する選択工程と、前記選択した提示情報を表示する表示工程と、認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付工程と、認証対象ユーザが本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定工程とを備えることを特徴とする。

本発明の制御方法は、認証サーバと通信可能に構成されたクライアント端末の制御方法であって、前記認証サーバは、登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを備えており、前記クライアント端末が、認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出工程と、前記クライアント端末が、前記認証サーバに対し、認証対象ユーザの特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行って、１名以上の候補者を決定するか、或いは候補者がいないと判定することを要求する認証要求工程と、前記クライアント端末が、前記要求に応じて、前記認証サーバが選択した提示情報を受信する工程であって、前記提示情報は、前記認証サーバが、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを含むように構成されており、候補者がいないと判定した場合、定数Ｌ個のダミー情報を含むように構成されている、工程と、前記クライアント端末が、前記受信した提示情報を表示する表示工程と、前記クライアント端末が、認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付工程と、前記クライアント端末が、認証対象ユーザが本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定工程とを備えることを特徴とする。

本発明の認証方法、制御方法は、情報処理装置において実施することができるが、そのためのプログラムは、ＣＤ−ＲＯＭ、磁気ディスク、半導体メモリ及び通信ネットワークなどの各種の媒体を通じてインストールまたはロードすることができる。

なお、本発明において、手段とは、単に物理的手段を意味するものではなく、その手段が有する機能をソフトウェアによって実現する場合も含む。また、１つの手段や装置が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の手段や装置の機能が１つの物理的手段や装置により実現されても良い。

本発明は、１：Ｎ認証を行った結果、候補者を決定した場合、候補者が予め登録した本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択・表示し、候補者がいないと判定した場合、定数Ｌ個のダミー情報を、提示情報として選択・表示し、認証対象ユーザが、表示された提示情報の中から本人確認情報を選ぶことができたとき、認証成功と判定する構成を採用する。

かかる構成によれば、１：Ｎ認証を行った結果、ｐ名の候補者が決定された場合、事前に登録を行なっていない認証対象ユーザがＬ個の表示された情報の中から偶然、候補者の本人確認情報を指定できる確率はｐ／Ｌとなる。これはすなわち、ＦＰＡＲが低減されることを意味するので、安全性の高い認証システムを実現することができる。また、１：Ｎ認証を行った結果、ｐ名の候補者が決定された場合、事前に登録を行なっている認証対象ユーザがＬ個の表示された情報の中から偶然、自分以外の候補者の本人確認情報を指定できる確率は、Ｌ個の表示された情報の中に自分の本人確認情報が含まれている場合は（ｐ−１）／（Ｌ−１）、含まれていない場合はｐ／Ｌとなる。これはすなわち、ＦＮＡＲが低減されることを意味するので、安全性の高い認証システムを実現することができる。

更に、本発明の構成によれば、１：Ｎ認証を行った後、候補者の有無にかかわらず、常にＬ個の提示情報が表示されるため、認証対象ユーザは、１：Ｎ認証を行った結果として自分以外に候補者が決定されたか否かを、表示される提示情報やその個数から推測することはできない。

事前に登録を行なっていない認証対象ユーザが認証を成功させるためには、１：Ｎ認証において候補者が決定されていることを見抜いた上で、Ｌ個の表示された提示情報の中から的確に候補者の本人確認情報を指定する必要がある。しかし、上述したように、本発明の構成によれば、そもそも１：Ｎ認証において候補者が決定されているか否かを見抜くことができないため、事前に登録を行なっていない認証対象ユーザが候補者になりすまして認証を成功させることは難しい。これにより、より安全性の高い認証システムを実現することができる。

同様に、事前に登録を行なっている認証対象ユーザが自分以外の登録ユーザとして認証を成功させるためには、１：Ｎ認証において自分以外に候補者が決定されていることを見抜いた上で、Ｌ個の表示された情報の中から自分以外の候補者の本人確認情報を指定する必要がある。しかし、上述したように、本発明の構成によれば、そもそも１：Ｎ認証において自分以外に候補者が決定されているか否かを見抜くことができないため、事前に登録を行なっている認証対象ユーザが自分以外の候補者になりすまして認証を成功させることは難しい。これにより、安全性の高い認証システムを実現することができる。

更に、本発明の判定手段は、認証対象ユーザが登録ユーザであると判定した後、次に認証対象ユーザが登録ユーザであると判定するまでの間に、認証対象ユーザによるダミー情報の指定がＤ回（Ｄ≧１）行われた場合、当該認証システムに対して不正な行為が行われたと判定する構成を採用する。上述したように、本発明の構成によれば、認証対象ユーザが候補者になりすまして認証を成功させることは難しい。従って、認証対象ユーザが悪意をもって何度も認証要求を繰り返した場合、ダミー情報を何度も選択してしまう可能性が高い。本発明の判定手段によれば、認証対象ユーザが悪意をもって認証要求を繰り返した結果、ダミー情報をＤ回以上選択した場合に、その行為を不正行為として適切に検知することができる。

更に、本発明は、閾値ｘを入力とし、該閾値ｘを採用した場合のＦＡＲ（False Acceptance Rate）を出力する関数ｇ（ｘ）の逆関数を用いて、閾値Ｘｔｈ＝ｇ^-1（予め定めた基準値Ｆを登録ユーザ数Ｎで除算して得られた値）に従って、特徴量データが同一の個人に属するものであるか否かを判定するための閾値Ｘｔｈを求める閾値決定手段を備える。かかる構成によれば、ＦＰＡＲを登録ユーザ数に対して実質的に不変とすることができるので、登録ユーザ数が増加した場合でも、安全性の高い認証システムを実現することができる。

以下、図面を参照して、実施形態について説明する。本実施形態の生体認証システム１は、（１）認証対象ユーザとＮ人の登録ユーザとの間で１：Ｎ認証を行なって、１名以上の候補者を決定するか、或いは候補者がいないと判定し、（２）１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを、提示情報として選択し、（３）選択した提示情報を表示し、（４）認証対象ユーザが提示情報の中から候補者の本人確認情報を指定できたときに認証成功と判定する（すなわち、指定された本人確認情報に対応する登録ユーザと判定する）生体認証システムである。

図１に、生体認証システム１の構成例を示す。

このシステムは、認証対象ユーザとの直接のやり取りを行なう認証クライアント端末１００と、１：Ｎ認証などを行なう認証サーバ１１０と、それらを接続するネットワーク１３０から構成される。ネットワーク１３０は、ＷＡＮやＬＡＮなどのネットワーク、ＵＳＢやＩＥＥＥ１３９４などを用いた機器間の通信、携帯電話網やＢｌｕｅＴｏｏｔｈなどの無線通信、又はそれらの組み合わせであって良い。例えば、カードレスクレジット決済システムの場合、認証クライアント端末１００はクレジットカード加盟店に置かれた認証装置、認証サーバ１１０はデータセンタに置かれたサーバ、ネットワーク１３０はインターネットとする構成が考えられる。また、企業内の勤怠管理システムの場合、認証クライアント端末１００は居室内に置かれた認証装置、認証サーバ１１０はサーバ室に置かれたサーバ、ネットワーク１３０は社内イントラネットとする構成が考えられる。

図１では、認証クライアント端末１００、認証サーバ１１０について、それぞれ１台ずつを記載しているが、設計に応じてそれぞれが１台以上存在していてもよい。また、認証クライアント端末１００が、認証サーバ１１０の機能の一部又は全部を備えていてもよい。

認証クライアント端末１００は、認証対象ユーザの生体情報を取得するセンサ１０１、ＣＰＵ１０２、メモリ１０３、ＨＤＤ１０４、入出力インタフェース（タッチパネル等の入力装置・表示装置などを含む）１０５、および通信インタフェース１０６等のハードウェアを備える（図１参照）。

また、機能的には、センサ１０１によって取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出機能２０１と、認証サーバ１１０に対し、認証対象ユーザの特徴量データに基づく１：Ｎ認証を要求する１：Ｎ認証要求機能２０２と、１：Ｎ認証要求に応じて、認証サーバ１１０が選択した提示情報を受信する提示情報受信機能２０３と、認証対象ユーザから前記表示した提示情報のうちのいずれかの情報の指定を受け付ける指定受付機能２０４と、認証対象ユーザが本人確認情報を指定した場合、該認証対象ユーザが、前記指定した本人確認情報に対応する登録ユーザであると判定する最終判定機能２０５などを備える（図２（Ａ）参照）。これらの機能はメモリ１０３に格納されるプログラムをＣＰＵ１０２が実行することにより機能手段として実現される。

認証サーバ１１０は、データベース１１１、ＣＰＵ１１２、メモリ１１３、ＨＤＤ１１４、入出力インタフェース１１５、および通信インタフェース１１６等のハードウェアを備える（図１参照）。

また、機能的には、認証クライアント端末１００からの１：Ｎ認証要求に応じて、端末認証対象ユーザ特徴量データと、データベース１１１に保持される照合用特徴量データとを用いて１：Ｎ認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する１：Ｎ認証機能２１１と、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを、提示情報として選択する提示情報選択機能２１２と、１：Ｎ認証要求に対する応答として、認証クライアント端末１００に前記選択した提示情報を送信する提示情報送信機能２１３、閾値ｘを入力とし、該閾値ｘを採用した場合の他人受入率を出力する関数ｇ（ｘ）の逆関数を用いて、閾値Ｘｔｈ＝ｇ^-1（予め定めた基準値Ｆを登録ユーザ数Ｎで除算して得られた値）に従って、前記閾値Ｘｔｈを求める閾値設定機能２１４、データベース更新機能２１５などを備える（図２（Ｂ）参照）。これらの機能はメモリ１１３に格納されるプログラムをＣＰＵ１１２が実行することにより機能手段として実現される。

データベース１１１は、登録ユーザ毎に、登録ユーザデータ２１６を保持する。データベース１１１は、認証サーバ１１０のデータベース更新機能２１５によって、登録ユーザの追加／削除に応じて更新される。

登録ユーザデータ２１６は、登録テンプレート２１７と、本人確認情報２１８とから構成される。本人確認情報２１８は、登録ユーザが予め本人確認用に登録した情報であり、どのような情報を用いるかは設計に応じて定めることができる。ただし、登録ユーザのプライバシー保護の観点から、本人確認情報として、個人を容易に特定できない情報（事前に登録ユーザが登録した図形画像など）を用いることが望ましい。本実施形態では、後述するように、認証対象ユーザ以外の登録ユーザが候補者として決定された場合、その登録ユーザの本人確認情報も提示情報として選択・表示されることから、仮に本人確認情報として個人を容易に特定できる情報（氏名など）を用いると、登録ユーザが特定されてしまうおそれがあるからである。

図３に、本実施形態における認証の処理手順およびデータの流れを示す。

認証サーバ１１０は、１：Ｎ認証における認証閾値Ｘｔｈを設定する（ステップＳ３０１）。１：Ｎ認証における認証閾値Ｘｔｈの設定方法の詳細は後述する。

認証クライアント端末１００は、センサ１０１から認証対象ユーザの生体情報を取得する（ステップＳ３０２）。取得する生体情報としては、例えば、手のひらや指の静脈の情報、指紋の情報、虹彩の情報など、従来より生体認証に用いられている情報を考えることができる。またセンサ１０１としては、各生体情報に対応する既存のセンサを用いることができる。

次に、認証クライアント端末１００は、取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する（ステップＳ３０３）。抽出する特徴量データとしては、取得した生体情報に応じて種々のものを考えることができる。例えば、生体情報として静脈情報を取得する場合であれば、静脈パターンデータを特徴量データとすることが考えられる。

次に、認証クライアント端末１００は、特徴量データを含む１：Ｎ認証要求を作成し、これを認証サーバ１１０に送信する（ステップＳ３０４）。

認証サーバ１１０は、認証クライアント端末１００から送られてきた１：Ｎ認証要求を受信すると（ステップＳ３０５）、該要求から認証対象ユーザの特徴量データを抽出し、該認証対象ユーザの特徴量データと、データベース１１１に保持される各登録ユーザの登録テンプレート２１７とを用いて、１：Ｎ認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する（ステップＳ３０６）。

ここで、１：Ｎ認証の具体的な方法としては幾つか考えられるが、本実施形態の生体認証システム１は、次の５つの認証方法のうちのいずれかを採用するものとする。

認証方法１：
認証対象ユーザ特徴量データと、Ｎ人の登録ユーザの登録テンプレートとの特徴量空間における距離（照合スコア）を算出する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが存在する場合、そのうち照合スコアが最小となる登録ユーザを候補者に決定する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定する
認証方法２：
Ｎ人の登録ユーザについて、登録テンプレートを順次選択し、認証対象ユーザ特徴量データと前記選択した登録テンプレートとの特徴量空間における距離（照合スコア）を算出する。前記選択した登録テンプレートの照合スコアが、認証閾値Ｘｔｈ以下となる場合、前記選択した登録テンプレートに対応する登録ユーザを唯一の候補者に決定するとともに、照合処理を終了する（登録テンプレートの順次選択を中止する）。Ｎ人の登録ユーザの全ての登録テンプレートについて照合スコアが認証閾値Ｘｔｈを越える場合、候補者がいないと判定する。

認証方法３：
認証対象ユーザ特徴量データと、Ｎ人の登録ユーザの登録テンプレートとの特徴量空間における距離（照合スコア）を算出する。照合スコアが、認証閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定する。そうでない場合、候補者がいないと判定する。

認証方法４：
認証対象ユーザ特徴量データと、Ｎ人の登録ユーザの登録テンプレートとの特徴量空間における距離（照合スコア）を算出する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが複数名いる場合であって、それら複数名の照合スコアの最小値と次に小さい値の差が第２閾値ｔを越える場合、最小値に対応する登録ユーザを候補者に決定する。いずれでもない場合、候補者がいないと判定する。

認証方法５：
認証対象ユーザ特徴量データと、Ｎ人の登録ユーザの登録テンプレートとの特徴量空間における距離（照合スコア）を算出する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが存在する場合、該登録ユーザを候補者に決定する。照合スコアが認証閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定する。

次に、認証サーバ１１０は、１名以上の候補者を決定した場合、データベース１１１に保持される前記１名以上の候補者の本人確認情報２１８と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを、提示情報として選択する（ステップＳ３０７）。従ってステップＳ３０７では、常に合計Ｌ個の提示情報が選択されることになる。

ダミー情報は、本人確認情報２１８と同種の情報であれば、どのような情報であってもよい。例えば、候補者以外の登録ユーザの本人確認情報２１８から必要な個数分だけランダムに選択し、それらをダミー情報とする方法が考えられる。或いは、あらかじめ登録ユーザの本人確認情報２１８とは別に、本人確認情報２１８と同種の情報をＭ個（Ｍ≧Ｌ）用意しておき、そこから必要な個数分だけランダムに選択する方法を用いても良い。ランダムに選択する方法は、擬似乱数生成器などを用いて実現することができる。ダミー情報は、本人確認情報２１８のデータ項目に相当するデータ項目を有していてもよいし、本人確認情報２１８のデータ列数に相当する数のデータ列を有していてもよい。

なお、定数Ｌは、例えばＬ＝９とするなど、設計に応じて定めることができる。ただし認証方法５を採用する場合、候補者が複数決定される可能性があるため、候補者数が定数Ｌを超えないように、候補者を決定する必要がある。

次に、認証サーバ１１０は、前記選択した提示情報を、認証クライアント端末１００に送信する（ステップＳ３０８）。

認証クライアント端末１００は、認証サーバ１１０から送られてきた提示情報（計Ｌ個）を受信すると（ステップＳ３０９）、該提示情報を表示装置等の入出力インタフェース１０５に表示して、認証対象ユーザに事前に登録した自分の本人確認情報２１８を選択するように促し、認証対象ユーザから前記表示した提示情報に対する指定が入力される（例えば、タッチパネル上でタッチされる）のを待機する（ステップＳ３１０）。

この際、本人確認情報２１８とダミー情報（計Ｌ個）のそれぞれの表示位置はランダムになるようにする。また、認証対象ユーザが自分の本人確認情報２１８がないと判断した場合に選択するためのボタン３００（以後、「候補者なしボタン３００」と呼ぶ）を表示装置等に表示して、自分の本人確認情報２１８がない場合に候補者なしボタン３００を押すように促す。本人確認情報２１８とダミー情報（計Ｌ個）のそれぞれの表示位置をランダムにする方法は、擬似乱数生成器などを用いて実現する。

図５に、提示情報の表示した画面の例を示す。この例では、本人確認情報２１８及びダミー情報として図形画像を用いており、Ｌ＝９として、９個の図形画像と候補者なしボタン３００を表示している。図５（Ａ）は、１：Ｎ認証の結果、候補者が１名決定された場合の例であり、その候補者の本人確認情報である図形画像３０１と、８つのダミー情報である図形画像とが表示されている。また図５（Ｂ）は、１：Ｎ認証の結果、候補者がいないと判定された場合の例であり、９つのダミー情報である図形画像が表示されている。またそれぞれにおいて、事前に登録した自分の本人確認情報があればそれを指定し、なければ候補者なしボタン３００を指定するように促すメッセージが表示されている。

認証対象ユーザから前記表示した提示情報又は候補者なしボタン３００に対する指定を受け付けた場合、認証クライアント端末１００は、図４に示す処理手順で認証対象ユーザが候補者であるか否かの最終判定を行なう（ステップＳ３１１）。

図４に、ステップＳ３１１における最終判定の具体的な処理手順を示す。

認証クライアント端末１００は、認証対象ユーザが候補者なしボタン３００を指定したか否かを判定する。判定値が真であれば（即ち、候補者なしボタン３００が指定された場合）、ステップＳ４０７に進む（ステップＳ４０１）。

一方、判定値が偽の場合、認証クライアント端末１００は、認証対象ユーザが指定した提示情報が、１：Ｎ認証によって決定された候補者の本人確認情報２１８であるか、ダミー情報であるかを判定する（ステップＳ４０２）。

認証対象ユーザが指定した提示情報が候補者の本人確認情報２１８である場合、認証クライアント端末１００は、認証対象ユーザが、前記指定した本人確認情報２１８に対応する登録ユーザであると判定し（認証成功）、ダミー情報の選択回数を示す変数Ｓ（初期値０）に０を設定して（ステップＳ４０３）、必要に応じて認証成功時の処理へ移行する。

一方、認証対象ユーザが指定した提示情報がダミー情報である場合、認証クライアント端末１００は、変数Ｓを＋１インクリメントする（ステップＳ４０４）。

次に、認証クライアント端末１００は、前回、認証対象ユーザが登録ユーザであると判定した後、次に認証対象ユーザが登録ユーザであると判定するまでの間に、認証対象ユーザによるダミー情報の指定がＤ回（Ｄ≧１）行われたか否か、すなわち、変数Ｓの値がＤであるか否かを判定する（ステップＳ４０５）。Ｄは、どの程度の行為を生体認証システム１に対する不正行為と判定するかを制御するパラメータであり、Ｄが小さいほど、生体認証システム１に対する行為をより厳しく不正行為と判定することになる。

判定結果が真の場合、認証クライアント端末１００は、認証対象ユーザは候補者ではなく、かつ生体認証システム１に対して不正な行為が行われた（認証対象ユーザは悪意を持っている）と判定し（ステップＳ４０６）、必要に応じて不正行為検知時の処理へ移行する。不正行為検知時の処理としては、例えば、認証クライアント端末１００を使用不能とする（ロックする）、警報を鳴らすなどを考えることができる。なお、不正行為が行われたと判定した場合であっても、引き続きステップＳ３０２に再帰するように構成してもよい。

一方、ステップＳ４０５における判定結果が偽の場合、認証クライアント端末１００は、認証対象ユーザは候補者ではないと判定し（認証失敗）（ステップＳ４０７）、生体情報の取得から認証処理を繰り返すべく、ステップＳ３０２に再帰する。

このように、本実施形態の生体認証システム１では、１：Ｎ認証を行った結果、候補者を決定した場合、候補者が予め登録した本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択・表示し、候補者がいないと判定した場合、定数Ｌ個のダミー情報を、提示情報として選択・表示し、認証対象ユーザが、表示された提示情報の中から本人確認情報を選ぶことができたとき、認証成功と判定する構成を採用する。

かかる構成によれば、１：Ｎ認証を行った結果、ｐ名の候補者が決定された場合、事前に登録を行なっていない認証対象ユーザがＬ個の表示された情報の中から偶然、候補者の本人確認情報を指定できる確率はｐ／Ｌとなる。これはすなわち、ＦＰＡＲが低減されることを意味するので、安全性の高い認証システムを実現することができる。また、１：Ｎ認証を行った結果、ｐ名の候補者が決定された場合、事前に登録を行なっている認証対象ユーザがＬ個の表示された情報の中から偶然、自分以外の候補者の本人確認情報を指定できる確率は、Ｌ個の表示された情報の中に自分の本人確認情報が含まれている場合は（ｐ−１）／（Ｌ−１）、含まれていない場合はｐ／Ｌとなる。これはすなわち、ＦＮＡＲが低減されることを意味するので、安全性の高い認証システムを実現することができる。

更に、本実施形態の生体認証システム１では、１：Ｎ認証を行った後、候補者の有無にかかわらず、常にＬ個の提示情報が表示されるため、認証対象ユーザは、１：Ｎ認証を行った結果として自分以外に候補者が決定されたか否かを、表示される提示情報やその個数から推測することはできない。

事前に登録を行なっていない認証対象ユーザが認証を成功させるためには、１：Ｎ認証において候補者が決定されていることを見抜いた上で、Ｌ個の表示された提示情報の中から的確に候補者の本人確認情報を指定する必要がある。しかし、上述したように、本発明の構成によれば、そもそも１：Ｎ認証において候補者が決定されているか否かを見抜くことができないため、事前に登録を行なっていない認証対象ユーザが候補者になりすまして認証を成功させることは難しい。これにより、より安全性の高い認証システムを実現することができる。

同様に、事前に登録を行なっている認証対象ユーザが自分以外の登録ユーザとして認証を成功させるためには、１：Ｎ認証において自分以外に候補者が決定されていることを見抜いた上で、Ｌ個の表示された情報の中から自分以外の候補者の本人確認情報を指定する必要がある。しかし、上述したように、本発明の構成によれば、そもそも１：Ｎ認証において自分以外に候補者が決定されているか否かを見抜くことができないため、事前に登録を行なっている認証対象ユーザが自分以外の候補者になりすまして認証を成功させることは難しい。これにより、安全性の高い認証システムを実現することができる。

更に、本実施形態の生体認証システム１は、認証対象ユーザが登録ユーザであると判定した後、次に認証対象ユーザが登録ユーザであると判定するまでの間に、認証対象ユーザによるダミー情報の指定がＤ回（Ｄ≧１）行われた場合、当該認証システムに対して不正な行為が行われたと判定する構成を採用する。上述したように、本実施形態の生体認証システム１では、認証対象ユーザが候補者になりすまして認証を成功させることは難しい。従って、認証対象ユーザが悪意をもって何度も認証要求を繰り返した場合、ダミー情報を何度も選択してしまう可能性が高い。本実施形態の生体認証システム１の構成によれば、認証対象ユーザが悪意をもって認証要求を繰り返した結果、ダミー情報をＤ回以上選択した場合に、その行為を不正行為として適切に検知することができる。

ここで、認証対象ユーザの生体情報を取得する際に、認証対象ユーザにＰＩＮ番号などを入力させることで、１：Ｎ認証において比較する登録ユーザの数を絞り込む生体認証システム（以後、「Ｎ絞込み型生体認証システム」と呼ぶ）を考える。例えば、登録ユーザをグループ１〜ＬまでのＬ個のグループに分けておき、認証対象ユーザが生体情報を提示する際に１〜Ｌまでの番号を入力することで、１：Ｎ認証において比較する登録ユーザの数を１／Ｌ倍に絞り込む、といったものである。但し、Ｎ絞込み型生体認証システムでは、１：Ｎ認証後、本実施形態の生体認証システム１のようにダミー情報を含む提示情報を表示する構成は採用せず、絞り込んだ登録ユーザの中に候補者がいれば、その候補者の本人確認情報２１８を１つ表示し、候補者がいなければ認証失敗とするものとする。

例えば上述した１：Ｎ認証の認証方法１においては、ＦＮＡＲ及びＦＰＡＲはＮが十分大きいとき、それぞれ比較対象とする登録ユーザの数Ｎに凡そ比例するため、Ｎ絞込み型生体認証システムにおいても、ＦＮＡＲ及びＦＰＡＲをそれぞれ１／Ｌ倍に低減すると考えられる。

しかし、Ｎ絞込み型生体認証システムでは、絞り込んだ登録ユーザの中に候補者がいる場合、認証対象ユーザが、表示された本人確認情報２１８を選択すれば、認証成功となってしまう。すなわち、Ｎ絞込み型生体認証システムは、依然として、本人確認型生体認証システムが有する問題（認証対象ユーザに悪意がある場合、容易に他人になりすませるという問題）を内包している。

これに対し、本実施形態の生体認証システムは、上述したように、１：Ｎ認証を行った後、候補者の有無にかかわらず、常にＬ個の提示情報を選択・表示するように構成しているため、ＦＰＡＲ及びＦＮＡＲを低減することができるだけでなく、認証対象ユーザに悪意がある場合でも、容易に他人になりすますことはできないという効果を達成することができる。

次に、１：Ｎ認証における認証閾値Ｘｔｈの設定方法について詳述する。

１：１認証を行なう場合、一般的には認証閾値は、所望のＦＡＲ（False Acceptance Rate）、及びＦＲＲ（False Rejection Rate）が得られるように設定される。ここで、ＦＡＲとは１：１認証において、他人が誤って本人と認証される確率であり、ＦＲＲとは１：１認証において、本人が正しく認証されない確率である。本人の特徴量データと、本人の登録テンプレートとの照合スコアの分布（本人分布）をｆ（ｘ）、本人の特徴量データと他人の登録テンプレートとの照合スコアの分布（他人分布）をｇ（ｘ）、１：１認証における認証閾値をＸ１とすると、ＦＲＲ、ＦＡＲはそれぞれ

で表される。

ここで、ＦＡＲ＝基準値ＦＡＲ０、ＦＲＲ＝基準値ＦＲＲ０となるように設定した１：１認証における認証閾値Ｘ１を、１：Ｎ認証における認証閾値Ｘｔｈとして採用する、すなわちＸｔｈ＝Ｘ１となるように設定する場合を考える。このとき、ＦＡＲが登録ユーザに依存せず、かつ十分に小さいと仮定すれば、ＦＰＡＲは、登録ユーザ数Ｎを用いて、以下のようにテーラ展開によって近似することができる。

ＦＰＡＲ＝１−（１−ＦＡＲ）^N≒１−（１−Ｎ・ＦＡＲ）＝Ｎ・ＦＡＲ
かかる近似からもわかるように、１：Ｎ認証では、登録ユーザを追加するなどして登録ユーザ数Ｎが増加した場合、ＦＰＡＲも増加するため、安全性が低下してしまう問題がある。

この問題を解決するために、本実施形態の認証サーバ１１０は、閾値ｘを入力とし、該閾値ｘを採用した場合の他人受入率を出力する関数ｇ（ｘ）の逆関数を用いて、閾値Ｘｔｈ＝ｇ^-1（予め定めた基準値Ｆを登録ユーザ数Ｎで除算して得られた値）に従って、前記閾値Ｘｔｈを求める閾値設定機能２１４を備える。

すなわち、認証サーバ１１０は、閾値ｘを入力とし、該閾値ｘを採用した場合のＦＡＲを出力する関数ｇ（ｘ）を予め求めてメモリに記憶しておく。かかる関数ｇ（ｘ）は、対象者の特徴量データのサンプルと、対象者以外の登録ユーザの登録テンプレート２１７との照合スコアを算出し、該算出した照合スコアの分布から求めることができる。なお、上述したように、基準値ＦＡＲ０＝ｇ（Ｘ１）である。

認証サーバ１１０は、登録ユーザが追加／削除されて、登録ユーザ数Ｎが変更された場合、認証閾値Ｘｔｈ＝ｇ^-1（基準値Ｆを、変更後の登録ユーザ数Ｎで除算して得られた値）に従って、前記閾値Ｘｔｈを求める。なお、ｇ^-1は、関数ｇ（ｘ）の逆関数を示す。

このように認証閾値Ｘｔｈを求めた場合、上述した１：Ｎ認証の認証方法１〜認証方法５のいずれにおいても、ＦＰＡＲ＝Ｎ・（ＦＡＲ０／Ｎ）＝ＦＡＲ０となり、その値はＮに依存しなくなる。従って、登録ユーザを追加するなどして、登録ユーザ数Ｎが増加した場合でも、ＦＰＡＲは変化せず、一定の安全性が保たれる効果が得られる。

（変形例）
本発明は上記実施形態に限定されることなく、種々に変形して適用することが可能である。例えば、上記実施形態では、提示情報の数が合計Ｌ個となるようにダミー情報を選択する構成としているが、Ｌを１：Ｎ認証によって決定した候補者数に応じて変更するように構成してもよい。この場合、認証対象ユーザが、１：Ｎ認証を行った結果として自分以外に候補者が決定されたか否かを推測することができないという作用は抑制されるものの、例えば候補者が多い場合にＬを増やすように制御することで、ランダムに選択した場合に候補者の本人確認情報が選択されてしまう確率を低くすることができる。

本発明は、１：Ｎ認証に基づいてユーザ認証を行なう任意のアプリケーションに対して適用可能である。例えば勤怠管理システム、クレジットカード決済における個人認証、入退室管理システムなどへの適用が可能である。

本発明の第一の実施形態である生体認証システム１の構成を示すブロック図である。 認証クライアント端末１００、認証サーバ１１０の機能構成を示すブロック図である。 生体認証システム１における認証処理を示すフロー図である。 生体認証システム１における最終判定処理を示すフロー図である。 生体認証システム１における提示情報表示画面の例を説明するための図である。 １：Ｎ認証の認証誤り率の種類を説明するための図である。

符号の説明

１００ 認証クライアント端末
１０１ センサ
１０２ ＣＰＵ
１０３ メモリ
１０４ ＨＤＤ
１０５ 入出力インタフェース
１０６ 通信インタフェース
１１０ 認証サーバ
１１１ データベース
１１２ ＣＰＵ
１１３ メモリ
１１４ ＨＤＤ
１１５ 入出力インタフェース
１１６ 通信インタフェース
２０１ 特徴量抽出機能
２０２ １：Ｎ認証要求機能
２０３ 提示情報受信機能
２０４ 受付機能
２０５ 最終判定機能
２１１ １：Ｎ認証機能
２１２ 提示情報選択機能
２１３ 提示情報送信機能
２１４ 閾値設定機能
２１５ データベース更新機能

Claims (13)

1. 登録ユーザ毎に、該登録ユーザの照合用特徴量データと、該登録ユーザの本人確認情報とを保持するデータベースと、
   認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出手段と、
   前記抽出した認証対象ユーザ特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する認証手段と、
   １名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報を、提示情報として選択する選択手段と、
   前記選択した提示情報を表示する表示手段と、
   認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付手段と、
   認証対象ユーザが候補者の本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定手段とを備えることを特徴とする認証システム。
2. 前記判定手段は、認証対象ユーザが登録ユーザであると判定した後、次に認証対象ユーザが登録ユーザであると判定するまでの間に、認証対象ユーザによるダミー情報の指定がＤ回（Ｄ≧１）行われた場合、当該認証システムに対して不正な行為が行われたと判定することを特徴とする請求項１記載の認証システム。
3. 前記本人確認情報は、登録ユーザが登録した図形画像であることを特徴とする請求項１又は２記載の認証システム。
4. 前記認証手段は、
   前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在する場合、そのうち前記算出した距離が最小となる登録ユーザを候補者に決定し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定することを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
5. 前記認証手段は、
   前記データベースに保持される照合用特徴量データを順次選択し、
   前記抽出した認証対象ユーザ特徴量データと前記選択した照合用特徴量データとの特徴量空間における距離が閾値Ｘｔｈ以下となる場合、前記選択した照合用特徴量データに対応する登録ユーザを唯一の候補者に決定するとともに、前記順次選択を中止し、
   前記データベースに保持される全ての照合用特徴量データについて前記距離が閾値Ｘｔｈを越える場合、候補者がいないと判定することを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
6. 前記認証手段は、
   前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定し、
   そうでない場合、候補者がいないと判定することを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
7. 前記認証手段は、
   前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが１名のみ存在する場合、該登録ユーザを候補者に決定し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが複数名いる場合であって、前記複数名の前記算出した距離の最小値と次に小さい値の差が第２閾値を越える場合、最小値に対応する登録ユーザを候補者に決定し、
   いずれでもない場合、候補者がいないと判定することを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
8. 前記認証手段は、
   前記抽出した認証対象ユーザ特徴量データと前記データベースに保持される照合用特徴量データとの特徴量空間における距離を算出し、
   前記算出した距離が閾値Ｘｔｈ以下となる１名以上の登録ユーザが存在する場合、全ての該登録ユーザを候補者に決定し、
   前記算出した距離が閾値Ｘｔｈ以下となる登録ユーザが存在しない場合、候補者がいないと判定することを特徴とする請求項１乃至３のいずれか１項に記載の認証システム。
9. 閾値ｘを入力とし、該閾値ｘを採用した場合のＦＡＲ（False Acceptance Rate）を出力する関数ｇ（ｘ）の逆関数を用いて、閾値Ｘｔｈ＝ｇ^-1（予め定めた基準値Ｆを登録ユーザ数Ｎで除算して得られた値）に従って、前記閾値Ｘｔｈを求める閾値決定手段を備えることを特徴とする請求項４乃至８のいずれか１項に記載の認証システム。
10. 登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを備えた認証サーバに対し、通信可能に構成されたクライアント端末であって、
    認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出手段と、
    前記認証サーバに対し、認証対象ユーザの特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行って、１名以上の候補者を決定するか、或いは候補者がいないと判定することを要求する認証要求手段と、
    前記要求に応じて、前記認証サーバが選択した提示情報を受信する手段であって、前記提示情報は、前記認証サーバが、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを含むように構成されており、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを含むように構成されている、手段と、
    前記受信した提示情報を表示する表示手段と、
    認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付手段と、
    認証対象ユーザが候補者の本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定手段とを備えることを特徴とするクライアント端末。
11. 登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを用いた認証方法であって、
    認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出工程と、
    前記抽出した認証対象ユーザ特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行ない、１名以上の候補者を決定するか、或いは候補者がいないと判定する認証工程と、
    １名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを、提示情報として選択し、候補者がいないと判定した場合、定数Ｌ個のダミー情報とを、提示情報として選択する選択工程と、
    前記選択した提示情報を表示する表示工程と、
    認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付工程と、
    認証対象ユーザが本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定工程とを備えることを特徴とする認証方法。
12. 認証サーバと通信可能に構成されたクライアント端末の制御方法であって、
    前記認証サーバは、登録ユーザ毎に、該登録ユーザの照合用特徴量データ及び該登録ユーザの本人確認情報を保持するデータベースを備えており、
    前記クライアント端末が、認証対象ユーザから取得した生体情報に基づき、認証対象ユーザの特徴量データを抽出する特徴量抽出工程と、
    前記クライアント端末が、前記認証サーバに対し、認証対象ユーザの特徴量データと、前記データベースに保持される照合用特徴量データとを用いて認証を行って、１名以上の候補者を決定するか、或いは候補者がいないと判定することを要求する認証要求工程と、
    前記クライアント端末が、前記要求に応じて、前記認証サーバが選択した提示情報を受信する工程であって、前記提示情報は、前記認証サーバが、１名以上の候補者を決定した場合、前記データベースに保持される前記１名以上の候補者の本人確認情報と、（定数Ｌ−候補者数）個のダミー情報とを含むように構成されており、候補者がいないと判定した場合、定数Ｌ個のダミー情報を含むように構成されている、工程と、
    前記クライアント端末が、前記受信した提示情報を表示する表示工程と、
    前記クライアント端末が、認証対象ユーザから前記表示した提示情報に対する指定を受け付ける受付工程と、
    前記クライアント端末が、認証対象ユーザが本人確認情報を指定した場合、該認証対象ユーザが前記指定した本人確認情報に対応する登録ユーザであると判定する判定工程とを備えることを特徴とする制御方法。
13. 請求項１２記載の制御方法をクライアント端末で実行させるためのプログラム。

Images