JP2009181561A - 生体認証を用いたセキュリティ管理システム - Google Patents

Abstract

【課題】セキュリティ管理システムにおいて、ネットワーク環境を利用してどこからでもより安全かつ確実な生体認証照合を実現する。
【解決手段】ネットワークに接続された生体認証端末装置により、該ネットワークに接続されている登録サーバに予め登録された生体認証登録データを用いて本人認証を行う生体認証システムにおいて、登録者固有識別子を端末装置に入力する手段と、入力された登録者固有識別子により生体認証登録データを登録サーバから端末装置にネットワークを介して呼び出す手段と、端末装置に本人の生体認証照合用データを取り込む手段と、取り込んだ生体認証照合用データと端末装置に呼び出された生体認証登録データとを照合することにより端末装置で本人認証を実行する手段と、端末装置で本人認証が実行されると端末装置から生体認証データが消去される手段と、から成る生体認証システム。
【選択図】図１

Description

本発明は、生体認証を用いて本人認証・本人照合を遠隔地から安全、確実に行うシステムおよび方法に関するものである。

高度な機密を要求される施設、人体や環境に対し危険を伴う場所、金融機関やＡＴＭなど特別に許可された本人（以下「本人」という）しか入室・退室を許可されない施設・場所においては厳密な本人認証・本人照合が求められている。また、学会、講習会、株主総会、入学試験あるいは検定試験、飛行機への搭乗など本人認証・本人照合を求められる機会は、場所や時間を問わず生じている。

本人認証や本人照合は、本人写真、本人しか知りえない暗号、本人しか所有しない鍵、あるいは印章などにより本人確認が行われてきた。これら本人確認を厳密に行い高度なセキュリティを確保するためには、入室・退室の場合、鍵や暗号の開錠を複雑にして不審者や侵入者（以下「非本人」という）の侵入を防御したり、鍵と各種暗号などを複数にしたり、組み合わせしたりしてなりすましを防ぐ方法などが提案されてきた。

より高度なセキュリティとするために鍵の複雑化や２重、３重、４重の暗号、パスワード、暗証番号などを行ってセキュリティの高度化をはかっていたが、複雑化により設定のリセットや本人が鍵を喪失したり、暗号認証番号などを忘れた場合、その回復に時間がかかったり回復できなかったりする状況が生じている。また、より複雑になるためコスト、維持費あるいは設備などへの設置が複雑になるなどの不都合が生じている。

これらを根本的に解決したのが人それぞれに異なっている人体の特徴を認証照合に利用する生体認証である。これら生体認証は本人しか持ち得ない生体の一部を利用するため盗難や偽証がありえないし、また紛失することもない。

これら生体認証はあらかじめ本人の生体部分を登録しておき、その登録された生体データと本人との照合を行うものである。この生体認証が提案され、極めて高度でセキュリティの高い本人認証が可能となってきている。

本願において生体認証とは、人の指紋，虹彩，網膜パターン、指や手のひらや甲の静脈等の特徴を利用した本人認証をいう。これらは人それぞれ異なっており、本人の特定（個人認証）に利用可能である。この生体認証システムとしては、本人が固有に有する指紋，虹彩，網膜パターン、指や手のひらや甲の静脈等の特徴を予め登録しておき、利用する際それらの生体としての特徴を照合することで本人を識別するものである。

この生体的特長は、生体が独自にもつ、また生体から分離されないものであることから、基本的には盗難，偽造あるいは漏洩等は生じない。したがって、このような生体認証を開錠用鍵として用いれば高いセキュリティが得られることになり、特定領域への入室・退室や本人認証に用いて極めて有効であると共に、常時本人に付帯している鍵であり、物理鍵のように置き忘れがなく、また盗難されたり、紛失したり、コピーされたりする可能性は極めて低い。さらに、暗号鍵やＰＩＮコードと比較しても盗まれたり、本人が忘れたり、間違ったりすることもありえない。つまり、生体認証による本人照合や本人確認は最も高度な照合手段となってきている。

また、学会、講習会、株主総会、入学試験あるいは検定試験、交通機関への搭乗あるいは検問などの場合は、開催される会場や場所が不特定であったり、流動的であったりすることから、いつでも、どこからでも、安全かつ確実な本人認証・照合が求められてきた。

これら不特定の場所から本人認証・照合を行う場合、ネットワークを利用して本人認証・照合を行う方式が提案されてきた。しかし、ネットワークを介して本人認証を行う場合、ネットワークによる情報漏えいやハッカーによるデータ改ざんや盗用が問題視され、より高度なセキュリティを保持する本人認証システムや方法が要求されている。

これらネットワークによる本人生体認証照合システムとしては、生体認証にデータ処理量が膨大となるため、より確実に行うためには生体認証登録のデータベースがある登録センター側で生体認証アルゴリズム処理を行い、コンピュータによる集中処理が行われ、その本人照合結果（合否または許可・不許可信号）だけを端末にネットワークを介して配信するか、または入室・退室用の開錠信号や機器などへのアクセス許可信号として端末に配信することを行っていた（特許文献１など）。これらの本人認証システムでは、本人照合を登録センターで照合を行い、端末へは本人照合結果だけをネットワークにより配信するか、アクセス許可または不許可信号のみをネットワークにより配信していたため、照合結果情報やアクセス許可データをネットワークで配信する場合、ネットワークによる情報漏えいやデータ盗用される危険性が生じていた。
特開２００５−９２６１４号公報

本発明では、より確実な本人認証を行うために生体認証データを用いると共に、いつでも、どこからでも本人照合を可能とするためにネットワークによる本人認証、本人照合システムを用い、かかるシステムにおいて不正操作、不正解読によるリスクを軽減し、より確実でより安全な本人認証、本人照合のシステムや方法を構築することを課題とする。

さらに、本発明では、ネットワークを利用して生体認証による本人照合を行う際に発生する情報漏えいや、ハッキングに強い本人認証システムの提供を課題とする。

さらに、本発明では、ネットワークを利用した多種多様な生体認証方式にも対応可能でかつ生体認証サービスが容易に追加可能となる本人認証、本人照合のシステムや方法を構築することを課題とする。

さらに、本発明では、これらのネットワーク利用による生体認証システムにおいてより確実な本人認証を継続的に維持し、経年変化にも対応する本人認証、本人照合のシステムや方法を構築することを課題とする。

本発明は、上述した課題を解決するため次の方法およびシステムを採用する。請求項１（または請求項９）の発明では、ネットワークに接続された生体認証端末装置により、該ネットワークに接続されている登録サーバに予め登録された生体認証登録データを用いて本人認証を行う方法（または生体認証システム）において、登録者固有識別子を前記端末装置に入力するステップ（または手段）と、前記入力された登録者固有識別子により生体認証登録データを登録サーバから前記端末装置に前記ネットワークを介して呼び出すステップ（または手段）と、前記端末装置に本人の生体認証照合用データを取り込むステップ（または手段）と、前記取り込んだ生体認証照合用データと前記端末装置に呼び出された生体認証登録データとを照合することにより前記端末装置で本人認証を実行するステップ（または手段）と、前記端末装置で本人認証が実行されると前記端末装置から生体認証データが消去されるステップ（または手段）と、から成ることを特徴とする。

さらに、請求項２（または請求項１０）の発明では、請求項１（または請求項９）に記載する方法（または生体認証システム）において、更に、前記登録サーバに予め複数の生体認証登録データを登録するステップ（または手段）と、前記端末装置で最初に呼び出された前記生体認証登録データにより本人認証が出来なかった場合、異なる生体認証登録データを前記端末装置に呼び出すステップ（または手段）と、前記異なる生体認証登録データと前記生体認証照合用データとを照合することにより本人認証を実行するステップ（または手段）と、を含む。

さらに、請求項３（または請求項１１）の発明では、請求項１（または請求項９）または請求項２（または請求項１０）に記載する方法（または生体認証システム）において、前記登録された生体認証登録データは登録者の指紋，虹彩，網膜パターン、指または手のひらや甲の静脈の複数の異なる特徴のいずれかまたはそれらの組み合わせから成ることを特徴とする。

さらに、請求項４（または請求項１２）の発明では、請求項３（請求項１１）に記載する方法（または生体認証システム）において、更に、前記登録された複数の異なる特徴の生体認証登録データがセキュリティレベルに応じて本人認証が実行されるステップ（または手段）と、を含む。

さらに、請求項５（または請求項１３）の発明では、請求項３（または請求項１１）に記載する方法（または生体認証システム）において、更に、前記登録された複数の異なる特徴の生体認証登録データは登録者の固有識別子を共通識別子として関連づけるステップ（または手段）と、を含む。

さらに、請求項６（または請求項１４）の発明では、請求項５（または請求項１３）に記載する方法（または生体認証システム）において、更に、前記登録された複数の異なる特徴の生体認証登録データのいずれかによる本人認証方法により本人確認されれば、その他の異なる特徴の生体認証登録データによる本人認証の照合結果にかかわらず本人確認を有効とするステップ（または手段）と、を含む。

さらに、請求項７（または請求項１５）の発明では、請求項１（または請求項９）または請求項３（または請求項１１）に記載する方法（または生体認証システム）において、更に、前記端末装置から前記生体認証登録データの更新を行うステップ（または手段）と、を含む。

さらに、請求項８（または請求項１６）の発明では、請求項１（または請求項９）または請求項３（または請求項１１）に記載する方法（または生体認証システム）において、更に、前記端末装置から前記ネットワークを介して前記登録サーバに登録される生体認証データは暗号化されて送信されるステップ（または手段）と、前記暗号化された生体認証データは複合化されることなく前記登録サーバに格納されるステップと（または手段）と、を含む。

請求項１、請求項９の発明によれば、予め登録された生体認証データが登録者固有の識別子（例えば、本人の名前、生年月日、ＩＤ番号、住所、免許証などの公的登録ライセンス番号など）を識別子として前記登録サーバから前記端末装置にネットワークを介してダウンロードされ、端末装置側で生体認証方式による本人照合が行われるため、従来のように本人認証が登録サーバのある側で実行され、本人照合の結果あるいは施設・機器へのアクセス許可信号をネットワークを介して端末へ送付する方式に比べ、ネットワークによるデータの盗用、情報信号の漏洩・不正使用に対しより安全かつ確実なシステムが構築可能となる。

従来の方式では管理センター側からは本人照合結果あるいは施設・機器へのアクセス許可信号が端末装置へ送られるため、その信号が盗用され暗号解読された場合は直接施設・機器などのアクセス許可信号として利用できるのに対し、本発明では、ネットワークを介して送付される信号が本人照合用生体認証データであり、ネットワークを介して盗用されたとしても、そのアルゴリズムの解読が必要となり、さらにアルゴリズムが解読されたとしても、本人の生体部分（静脈、指紋、声紋、虹彩など）が必要となるためより安全かつ確実なシステムとなる。つまり、ネットワークを利用して生体認証による本人照合を行う際に発生する情報漏えいや、ハッキングにより強い本人認証システムが提供できる。

また、同じ端末装置内に生体認証データを予め登録・記録しておき、利用する際に端末側で生体認証照合をおこなうことも考えられるが、この方式では膨大な生体認証照合用データ端末機器内に保有しておく必要があり、また、いつでも、どこからでも本人照合を行うにはそれら生体認証データを保有した端末を数多く配置することは現実的でない。

請求項２、請求項１０の発明によれば、生体認証データの登録において複数の生体認証データを登録することは容易に可能である。つまり、静脈認証の場合、手の甲や掌、右・左の手、または指、指紋認証の場合、それぞれの複数の指指紋認証などはそれぞれに異なる生体データを有しており、それぞれが本人確認用生体認証の対象となる。もし、手の左・右、指の左・右のデータ登録しておけば、同じ生体認証用アルゴリズム（例えば、同じ静脈認証方式、または指紋認証方式）が利用でき、最初の生体認証が出来なかった場合バックアップとして他の登録してある生体認証照合用データを利用する。

請求項３、請求項５、請求項６、請求項１１、請求項１３、請求項１４の発明によれば、あらかじめ登録された生体認証データが登録者固有の識別子を共通ＩＤとして複数の異なる生体認証データから必要な生体認証データを抽出して、前記登録サーバから前記端末装置にダウンロードされることで、いずれの生体認証方式によるデータであっても対応することが可能となる。

これは、生体認証を必要とする銀行口座ＡＴＭ、カード決済などでの本人確認、会社、スポーツクラブ、機密室、工事現場などへの入室・退室、許可者のみがアクセスできる機器への利用許可、飛行機などへの搭乗許可など、複数の異なる特徴の生体認証データシステムの各サービスを取り込む場合やシステム拡張する場合など、端末側の認証システムに各生体認証方式のアルゴリズムが備えられているため、センター側では生体認証方式に依存しないいずれの生体認証方式でもクロスチェックが可能となる。また、それぞれ違う方式の生体認証をクロスチェックすることにより、本人照合がより一層完全なものとすることができる。

また、ある生体認証サービス事業者が遠隔より１つの生体認証サービスを開始した後、他の事業者の行う複数の生体認証方式を追加しようとする場合、管理センター側で生体認証照合を行う方式においては、管理センター側のサーバに、他の事業者の複数の生体認証アルゴリズムを搭載する必要があるほか、他の事業者の通信方式、暗号化方式もそれぞれに対応しなくてはならないので、実装までのハードルと運用の負荷が本発明のような端末認証方式に比べて格段に高くなる。即ち本発明による端末認証方式では、管理センター側に格納する生体認証データは、他の事業者の暗号化されたままのデータフォーマットでも問題なく、他の事業者に対しては格納したデータの受け渡しに際してセンター側が通信手段を提供すればよいため、容易に他の事業者の行う複数の生体認証方式の追加が可能となる。

請求項４、請求項１２の発明によれば、本システムにおいてより高度なセキュリティレベルが必要な場合、登録された複数の異なる生体認証データを複数照合することにより、より確実に本人照合が可能となる。また、セキュリティレベルの高度化より本人照合スピードを上げたり、照合不明率を低下させたい場合は、セキュリティレベルを低下して複数の生体認証方式を組み合わせることも可能である。

請求項７、請求項１５の発明によれば、生体認証における経年変化、その他の理由による生体そのものの変化、および安全性の確保のためのアルゴリズムの更新・変更などの理由により、定期的な生体認証データの更新（ヘルスチェック）が必要となるが、本発明では端末装置から生体認証登録データの更新（ヘルスチェック）が可能となる。

このヘルスチェックは利用頻度、生体認証部位、セキュリティレベルなどにより必要となる時期がばらばらである。そのためヘルスチェックのデータ更新が必要にもかかわらず放置される状況が生じる。本発明によれば、ある方式での更新が行われていない場合、他の方式での生体認証のヘルスチェックを代行させることも可能である。また、端末にそれぞれの生体認証に対応した生体認証取得用センサーを備えておけば他の方式の生体認証のヘルスチェック更新も可能となる。

また、このヘルスチェック方式は、管理センター（親サーバ）のほかにローカルで生体認証データ登録・保管サーバやそれに接続された端末群を有するような分散管理サーバ（子サーバ）システムなどにおいて、その子サーバシステムのヘルスチェックを行うよう応用することもできる。さらに、個人のカードなどに生体認証データが埋め込まれている場合、その生体認証データ付きカードを利用する際のヘルスチェック更新などへも応用することも可能であるなど多大の効果がある。

請求項８、請求項１６の発明によれば、管理センター側で登録サーバに登録・格納され生体認証データは端末装置側から送信された暗号化された生体認証データがそのまま登録サーバに登録・格納されるため、管理センター側ではサービス事業者が導入する暗号化方式に関係なく登録することができ、管理センター側での暗号解読や複合化が不必要となり生体認証システムの構築やサービスの追加が容易となる。

以下本発明の実施の形態を図面を参照しながら説明する。図１は、本発明の実施形態の概要を説明するシステム説明図である。生体認証端末装置１は、ネットワーク２に接続され、管理センターまたは登録センター３内にある生体認証データ登録サーバ４、登録者固有識別子登録サーバ５、登録者属性登録サーバ６などとネットワーク２を介して通信可能となっている。ネットワーク２は、通常のインターネット、電話回線、各種無線通信、有線、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）など種々の手段で達成されるが、セキュリティの確保を厳格に行う必要がある。セキュリティの確保されたクローズな通信データ回線網ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）であればなお好都合である。

生体認証端末装置１は、ネットワークが利用可能な環境であればいずれの場所からでもアクセス可能であり、宅内パソコン、モバイル（移動）パソコン、携帯などにより構成され、生体認証端末装置を搭載したものであれば、入室・退室設備（ドア）、車などの鍵、許可された者しかアクセスできないパソコンや機密設備などのアクセス鍵としても利用することができる。

生体認証装置１（１ａ、１ｂ、１ｃ、・・・）は、それぞれが生体認証センサー７（７ａ、７ｂ、７ｃ、７ｄ・・・）を具備しており、これらの生体認証センサー７は、静脈（手の甲、掌、指）、指紋、声紋、顔、虹彩などいずれかの生体認証方式に対応しており、スキャナー、ＣＣＤ（Ｃｈａｒｇｅ Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ）画像センサーなどを含む光学系により構成されている。本発明では、静脈認証、指紋認証を主な例示として説明する。

なお、生体認証センサー部７はその用途に応じて生体認証端末装置１と一体に構成しても、また離れた場所に別体で構成しても良い。また、生体認証センサー７ｄは、ＬＡＮ、ＷＡＮ、ブルートゥース、赤外線通信などの無線回線を利用して生体端末認証装置１ｃなどへセンサー７ｄで取得したデータを送り込むように構成することも出来る。

利用者は、まず生体認証センサー７のいずれかから本人の生体認証データの登録を行う。センサー７により取得された画像データは生体認証端末装置１においてコード化され、生体認証照合データとして、ネットワークを介して管理センター３などにある生体認証データ登録サーバ４に登録される。その際、登録者本人を特定可能とする個人の固有識別子（以下「ユーザ識別子」；例えば、名前、パスポート番号、運転免許証番号、個人ＩＤ番号など）のいずれかと、登録者本人がサービスを受ける際そのサービスを特定する識別子（以下「サービス識別子」；例えば、口座番号、会員番号、カード番号、ＰＩＮ暗証番号、ドットコード、車などの登録番号、部屋番号など）およびその他本人やサービスに関連する属性データを管理センター３内の登録者固有識別子登録サーバ５や登録者属性登録サーバ６に登録する。これらユーザ識別子とサービス識別子とは登録した生体認証照合データと関連付けられている。

これら管理センター３内のサーバ群（生体認証登録サーバ４、登録者固有識別子登録サーバ５、登録者属性登録サーバ６）は、それぞれに別々の名称としてあるが、同一のサーバ内に登録・格納することも可能であるし、提供するサービス毎のサーバ管理としても良い。

利用者が特定のサービスを利用する場合、生体認証端末装置１の設置してある場所で、本人のユーザ識別子とサービス識別子とを生体認証端末装置１に入力する。入力されたユーザ識別子、サービス識別子が管理センター３で承認されると、管理センター３から生体認証データが端末１へダウンロードされ生体認証装置１のある現場で本人照合がなされ、照合結果が入室・退室室許可や鍵の開錠などに利用される。

もし、特定のサービスを利用する場合そのサービスがサービス識別子を入力しなくても特定されるようであればユーザ識別子のみの入力で生体認証データを端末装置へダウンロードする。例えば、生体認証端末装置１がある特定の目的・サービスのためにのみ設置される場合は、予めサービスを特定しておけばサービス識別子を入力する必要はない。

図２は、生体認証端末装置１の動作ブロック図を示す。また、図３は、管理センター３における生体認証登録および利用における動作ブロック図を示す。まず、図２および図３を用いてユーザによる生体認証登録までのプロセス例を説明する。

図２において、センサー７により生体の特徴部分（手の甲、掌、指、顔、目など）の画像データが取得され生体認証端末装置１に送り込まれる。取得された映像データは、画像処理部１１においてフィルター処理、二値化処理などにより必要な部分のみの情報に絞り込み、特性検出部１２へ送出する。

特性検出部１２において、生体部分の特徴点、特異点などが検出され、アルゴリズム処理部１３において、所定のアルゴリズム処理が行われる。アルゴリズム処理されたデータはコード化部１４において、固有情報入力部１５で入力された登録者の固有情報（ユーザ識別子およびサービス識別子）と共に関連付けられて、コード化またはデジタル化処理される。コード化されたデータは、生体認証照合データとして暗号化部１７において暗号をかけられた後に、送受信部１７にあるモデム通信ツールなどによりネットワーク２へ出力する。

この生体認証照合データの作成方法はそれぞれの生体認証方式により生体の取得場所およびアルゴリズム処理方法などが異なっているが、概ね生体の特徴部分を画像データとして取得し、コード化されたデジタルデータ出力として生成する。生体認証端末装置１よりネットワーク２を介して送信された出力データは、管理センターへ送られる。

図３の送受信部において、ネットワーク２からモデムなどによって構成されている送受信部３１を経て入力されたデータは復号化部３２において暗号を復号化しデータ登録部３３へ送られる。データ登録部３３では、ユーザ識別子を登録者固有識別子登録サーバ３４へ登録・格納し、関連する生体認証データをそれぞれのサービスまたは生体認証方式に応じた登録サーバ３５ａ〜３５ｃへ登録・格納する。サービス識別子は各サービス毎に設定されたサーバに生体認証データと共に格納してもよいし、また別々に保管してもよい。図３では例示的に複数のサーバがそれぞれ用意されているがこれらのサーバはユーザ数やデータ処理量に応じてまとめても分散させてもよい。

重要な点は、これらユーザ識別子、サービス識別子と生体認証データとはそれぞれが関連付けられており、ユーザ識別子からそれぞれのサービスに対応する生体認証データが呼び出せること、およびサービス識別子からユーザ識別子と生体認証データが呼び出せること、生体認証データから関連するユーザ識別子およびサービス識別子が呼び出せることである。

次に、本発明を利用して本人照合が必要となるサービスを受ける場合について図２および図３を用いて説明する。図２において、ユーザは生体認証端末装置１の固有情報入力部１５からユーザ識別子およびサービス識別子を入力する。前述の通り、もしサービス識別子を入力しなくても利用するサービスが特定されるようであればユーザ識別子のみの入力で構わない。入力されたユーザ識別子およびサービス識別子はコード化部１４にてコード化され、暗号化部１６にて暗号化され、送受信部１７へ送られ、さらに送受信部１７からネットワーク２を介して管理センター３へ送信する。

図３において、ネットワーク２を介して受信されたユーザ識別子およびサービス識別子の信号は復号化部３２により暗号が解かれデータサーチ部３６に送られる。データサーチ部３６においては、ユーザ識別子およびサービス識別子に関連付けられた生体認証データをサーチし、生体認証データの有無を照合する。

ユーザ識別子またはサービス識別子が登録されていない場合、識別子が登録されていない旨の信号を端末装置１へネットワークを介して送信する。識別子が登録されている場合は、端末装置１へ識別子が照合された旨の信号を送ると同時に生体認証データ登録サーバ３５からサーバサーチによりサービス識別子に該当する生体認証データ登録の有無を確認する。

生体認証データが生体認証サーバ３５に登録されており検索された場合、検索された生体認証データ信号は暗号化部３７により暗号化され送受信部３１によりネットワーク２を介して生体認証端末装置１へ送られる。

上記端末装置１へ送られた生体認証データ信号は、図２において、送受信部１７で受信され、復号化部１８により暗号が解かれ、生体認証比較照合部１９に送られる。ユーザは端末装置１の表示部で、ユーザ識別子、サービス識別子が管理センター３で承認された旨の連絡を受けると、登録してある生体部分を生体認証センサー７に入力する。入力された生体の映像データは登録時と同様に画像処理部１１、特性検出部１２、アルゴリズム処理部１３、コード化部１４を経て生体認証照合部１９へ送られる。

生体認証照合部１９では、登録されてある生体認証データ（登録データ）と現場で入力されたユーザの生体認証データと（現場入力データ）が比較・照合され判定部２０へ送られる。判定部２０では登録データと現場入力データとの差が検出され、検出した差が所定のしきい値レベル内にあるかどうかで生体認証の一致、不一致を判定する。セキュリティレベル変更部２１では一致・不一致の設定レベルのしきい値を変更することにより行っている。つまり、登録データと現場入力データとの差分をより大幅に許容すればセキュリティレベルが低下し、差分を少なくするほどセキュリティレベルが厳格となる。

端末装置１内にはユーザの生体認証データは保管されていない。生体認証照合サービスが必要な時点のみにおいて、現場で入力された現場入力データと管理センターからダウンロードされた登録データとは両方データが揃うまで端末装置１にあるメモリー２４内に一旦格納され呼び出されて生体認証照合部１９で比較・照合される。

判定部２０により行われた生体認証照合の判定結果は出力信号として出力され、表示部や操作部２２において、本人照合の結果表示信号または、入室・退室の許可・不許可、鍵の開錠・閉錠、設備や装置へのアクセスの許可・不許可の操作信号などとして利用される。

生体認証照合の判定が行われ、結果が出力されると共にその結果出力信号は消去指示部２３へ与えられ、メモリー２４内にある現場入力データ、登録データおよび関連するデータのすべての消去指示を行い、メモリー内の関連データはすべて消去される。また、万一何らかの理由により生体認証データが消去されない場合を考慮して、端末装置１内にはタイマー２５が具備されており、現場での操作開始時から設定された所定時間経過後にメモリー内の生体認証データは消去される構成となっており、端末装置１内で生体認証データは必要時以外常に存在しない状態とされている。

図２において、生体認証端末装置１は入出力操作部２６、ＣＰＵ・制御部２７などを具備し、それぞれの機能が共通制御バスにより連携して操作可能なようになっている。また、図３において、管理センター３ではＣＰＵ・制御部３８を具備し、それぞれが共通制御バス４０により連携して操作可能なようになっている。またログ記録部３９を備え端末装置１と管理センター３とのデータ授受に関する通信記録を保持できるようになっている。

図３では、端末装置から暗号化された形で送信された信号を複合化部３１で複合化しデータ登録部３３を介して登録者固有識別子登録サーバ３４およびその他のサーバに格納し、利用時はユーザ識別子によりサーチ部３６で検索され呼び出された生体認証データを暗号化部３７で暗号化し端末装置へ送信している。しかし、管理センター３側での複合化および暗号化は必ずしも必要ではない。管理センターで受信した暗号化された生体認証データ信号をそのまま登録サーバに格納し、ユーザ識別子によりサーチ部３６で検索し呼び出した暗号化された生体認証データ信号をそのままネットワークを介して端末装置に送信しても良い。

このように管理センター側で複合化および暗号化を行わないで暗号化されたまま生体認証データが登録・格納される場合、各サービス事業者は独自の暗号化方式に基づき管理センターで登録することが可能となり管理センターに暗号方式や解読方式を開示する必要がない。また管理センター側では各サービス事業者が導入している各種暗号化方式に対応した複合化・暗号化を設ける必要もなくなる。

図４は、本発明による生体認証端末装置１と管理センター３との生体認証照合プロセスを示す説明図である。ユーザによるサービス毎の生体認証データはすでに登録されており、ユーザがサービスを受ける時点での本人照合プロセスを示す。

ユーザは端末装置１においてユーザ識別子とサービス識別子を入力する（Ｓ１０１）。入力されたそれぞれの識別子が登録されているかどうか識別子照合要求を管理センターに対し発信する（Ｓ１０２）。管理センター３では、登録されている識別子から、ユーザ識別子、サービス識別子それぞれの登録状況を照合し（Ｓ１０３）、いずれか一方または両方が登録されていない場合は登録無しの通知を端末装置１に送信する（Ｓ１０４）と共に管理センターでの更なる作業は行わない。

両方の識別子が登録されている場合、端末装置１に現場での生体認証データ入力の指示を行う（Ｓ１０５）。ユーザは指示により端末装置１の生体センサー７に生体データを読み取らせ、入力する（Ｓ１０６）。この時点で入力された現場データは端末装置内のメモリー２４に一旦格納される。

一方、管理センターでは、ユーザ識別子およびサービス識別子が照合されると両方の識別子を用いて関連付けられている登録済みの生体認証データの有無をサーチする（Ｓ１０７）。ユーザ識別子とサービス識別子とは登録された１個の生体認証データのみに対応しており、サーチ結果として１個の生体認証データを抽出する。抽出された生体認証データは登録データとして端末装置へ暗号化されて送信される（Ｓ１０９）。

もし、期限切れ、事故、不正使用、登録抹消、その他何らかの理由により生体認証データが管理センター側で抽出されなかった場合、管理センターでの作業はこの時点で終了する。この場合端末側では生体認証照合が不合格として処理される。

端末装置へ送信された登録データは端末装置のメモリーに格納された現場データと比較・照合される（Ｓ１１０）。照合差分を所定のスレッシュホールド値と比較し本人照合の合否を決定する（Ｓ１１１）。本人照合の結果は端末装置に表示されるか、合否信号として出力され、施設や設備のアクセス許可・不許可の指示を与える（Ｓ１１２）。

本人照合の合否が完了すると端末装置内のメモリーに対し消去指示が出され（Ｓ１１３）、メモリリー内の生体認証データおよび関連データは消去される（Ｓ１１４）。

図５は、本発明の実施応用例を示す説明図である。図５において、本発明を応用したサービスアプリケーション５０の例がいくつか示されている。一般的に生体認証は本人しかアクセス出来ないような施設・建物および設備・機器へのアクセス鍵として利用される。本発明では、ネットワーク環境が整えばどこからでも、アクセス可能となるためそのような本人（あるいは登録者や許可された者）以外を制限するアクセス鍵を種々の場所や、環境により設置することが可能となる。従って、建設中の工事現場で許可された者や関係者用のアクセス鍵および開催場所が固定されておらず、本人のみの入場が許可される株主総会、演奏会、講演会、講座、催し物会場、スポーツクラブなどへのアクセス鍵、また本人のみが取り扱いや操作を許可される機器・設備などのアクセス鍵として本人認証が必要となる現場に生体認証センサー付端末装置を持ち込んで本人認証照合作業を行うなどその応用範囲は極めて広範囲である。

生体認証端末装置１としては、専用の固定端末装置でなくとも生体認証センサー７を具備するか装着可能であればＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）や携帯などの移動可能機器でもその目的を達成できる。つまり、本発明によれば管理センター３内に生体認証データが保管されており、ネットワークを介して生体認証照合用データを端末にダウンロードされるため、これら生体認証照合用ソフトウェア（アルゴリズム処理部、比較照合部などを含む）を組み込んで生体認証端末装置として機能する携帯電話器やモバイルパソコンなどと生体認証センサーを用意すれば、いつでも、どこからでも、利用する必要が生じた時だけでも、アクセス鍵を設置することが可能となり、本人かどうか確認したり、本人のみのアクセスを可能とする。

サービスアプリケーション５０のそれぞれサービス端末は生体認証端末装置１を有しており、その生体認証端末装置１はネットワーク２を介して管理センター３の登録サーバ群（４、５、６）と接続可能なように構成されている。本発明では生体認証照合が端末装置１側で実行され、管理センター３側で生体認証照合は行う必要がないため、サービスアプリケーション５０のそれぞれの端末における生体認証方式や通信時の暗号方式がいかなるものであっても管理センター内のサーバにはそれぞれのサービス事業者の方式による暗号化されたままの生体認証データをそのまま格納することが可能である。従って、いかなる生体認証方式のサービスであっても生体認証方式や暗号方式などに依存しない登録センターでの管理やシステム構築が可能となる。

さらに、図５においては、各種サービスにカード会員証５４を利用する例が示されている。カード５４のメモリー５５にユーザ識別子やサービス識別子を格納しておけば、カードリーダを備えた生体認証端末装置５３に読み込ませることで管理センター３より生体認証データを端末装置側へダウンロードし、生体認証による本人照合を行うことが可能となる。メモリー５５の例としては二次元バーコードが示されているが、磁気メモリー、ＱＲコード、ＩＣメモリー、などいずれの磁気、光、光磁気メモリーでもカード内に埋め込んだり、カード上に刷り込むことができれば利用可能である。また、これらカードは会員証のみならず、銀行・金融機関などのキャッシュカード、クレジットカード、電子マネーなどのカードに応用して利用することもできる。

図６は、それぞれのサービスなどで利用されるユーザ識別子およびサービス識別子の例を示す。図６のテーブルにおいてユーザ識別子は、ユーザ本人固有の記号、番号、文字の組み合わせであり、名前、パスポート番号、車免許証番号、個人ＩＤ（ＰＩＮ）番号などが考えられる。このユーザ識別子はそれぞれのサービスや生体認証の種別に拘わらず共通に本人を表す識別子である。

また、サービス識別子としては、各サービスに固有の記号、番号などで本人と関連するものであり、例示の通り、銀行・ＡＴＭなどでは口座番号、スポーツクラブや会員制倶楽部など場合は会員番号、クレジットカードなどはカード番号、株主総会などでは株主番号、飛行機などの搭乗の場合は座席番号（またはフライト番号との組合せ）、住居の場合は部屋番号などが考えられる。

ここで、ユーザ識別子はユーザ本人に共通するすべてのサービスや生体認証方式およびその他本人に関連する属性を識別するように構成されており、ユーザ識別子とサービス識別子のデータが入力されればサービスと認証方式が特定され、登録された生体認証データが検索可能なようになっている。

図７は、本発明の他の応用例として生体認証のバックアップおよびクロスチェックプロセスを示す説明図である。生体認証においては、経年変化および登録した生体の一部が傷ついたり、汚れたり、して誤作動を起こす場合がある。また、何らかの理由により生体認証データが不正利用に使用されることも考えられる。それらの事態を回避するため定期的に生体認証データの更新、再登録を行う必要がある。

これらの定期的更新期間は生体認証方式により異なり、またセキュリティレベルによっても異なってくる。複数の異なる生体認証をそれぞれの異なるサービス毎に使用している場合、あるサービスでの生体認証は照合許可されても、他のサービスでの生体認証では照合不許可という事態が生じる。

本発明では、あるサービスで本人生体認証照合が不許可の場合、他のサービスによる生体認証照合をバックアップとして用いることも可能である。つまりある生体認証が不許可の場合、ユーザ識別子により関連付けられる他のサービスの登録済み認証方式の生体認証登録データをバックアップとして呼び出し生体認証照合を行う。

生体認証のすぐれた特徴は本人のみが固有に保持している生体の一部を利用している点であり、常に本人だけが登録した生体データを保有しており、複数登録しておけば登録したいずれの生体認証方式でも対応可能である。つまり複数の鍵を常時本人自身が身につけているといえる。従って、いずれかの生体認証照合で照合不可であっても他のいずれかの生体認証で照合できれば本人照合が可能となる。

図７において、あるサービスでの本人生体Ａによる生体認証照合が端末装置１における生体Ａ認証判定で拒否（不照合）となった場合（Ｓ２０１）、バックアップとして他のサービスの識別子を入力するよう指示が出され、ユーザは予め登録してある他のサービス識別子を入力する（Ｓ２０２）。他のサービス識別子が端末側で入力されるとそのサービス識別子による照合要求（バックアップ要求）を管理センターに対し行う（Ｓ２０３）。管理センターではバックアップ照合を許可するかどうかを予めそのサービスプロバイダやサービスプログラムに組み込んでおき、サービス識別子照合と共に他の生体認証によるバックアップが可能かどうか判断する（Ｓ２０４）。

バックアップ不可能または新たなサービス識別子が無い場合はその時点で管理センターの作業は終了する。またバックアップが可能な場合、管理センター側より端末装置側にユーザの新たな生体Ｂの生体認証データの入力を指示する（Ｓ２０５）。

ユーザは入力指示に基づいて新たな生体認証データ（生体Ｂ）を現場データとして端末装置１に入力する（Ｓ２０６）。入力された新たな現場データは端末装置のメモリーに一旦格納される。一方、管理センターでは新たなサービス識別子を用いて登録された生体Ｂ認証データのサーチを行い（Ｓ２０７）、そのサービスにおける生体Ｂ認証データの有無を検索する（Ｓ２０８）。

新たな生体Ｂ認証データが検索・抽出されない場合はその時点で作業は終了する。新たな生体Ｂ認証データが抽出されれば登録データとして暗号化され端末装置１へダウンロードされる（Ｓ２０９）。ダウンロードされた登録データは前述した方法と同様にメモリーから呼び出した現場データと比較・照合され（Ｓ２１０）、生体Ｂ認証判定が行われる（Ｓ２１１）。

生体Ｂ認証判定により本人照合が不照合の場合はその時点で照合不可の表示が端末上に表示され（図示せず）操作は終了する。生体Ｂにより本人照合が合致すれば、許可信号が出力され、アクセス許可信号や許可表示信号が出力される（Ｓ２１２）。比較照合が完了すると前述の通り、メモリー内の生体認証現場データはメモリーから消去される（Ｓ２１３）。

以上のプロセスによりユーザ識別子に関連付けられたサービス識別子および複数の異なる生体認証データが予め登録されていればある特定のサービスでの生体認証が生体部分の傷や汚れにより照合不可であっても、他のサービスの生体認証によりバックアップが可能となる。

このプロセスは、また他の生体認証のクロスチェックにも同様に用いられる。生体認証照合においては、複数登録してある生体認証データのうち１つでも認証照合ができれば本人と認定される。複数登録した本人固有の生体のいずれかが（例えば生体Ａが）何らかの理由で照合不可となった場合、他の生体（例えば生体Ｂ）による本人照合（バックアップ照合）を行い本人確認が行われれば、照合不可となった生体Ａ認証照合システムには何らかの不具合（生体の経年変化、傷、汚れ、登録データの検索ミス、端末や管理センター側の不具合など）があると考えられる。ここでいう生体認証照合におけるクロスチェックは、このようなプロセスにより生体認証プロセスの不具合をチェックしたり、生体Ａによる認証照合を中止、変更または警告表示させることを意味する。

つまり、本発明によればユーザ識別子は他のサービス識別子と関連付けられて、複数の生体認証データを登録・保有しているため、相互にクロスチェックをかけることが可能となる。つまり、生体認証方式−Ａ（例えば、右手人差し指による指認証方式）で登録した生体認証が傷や汚れなどで認証できなかった場合、他の登録済みの生体認証方式−Ｂ（例えば、左手人差し指による指認証方式または手の甲の静脈認証方式）で生体認証照合をかけて本人照合を行い、本人しか中止、変更できない他の照合不可となった生体認証方式−Ａを中止させたり、他の生体を用いる認証方式に変更させたりすることが可能となる。

前述の通り、生体認証では経年変化、その他の理由による生体そのものの変化、および安全性の確保のためのアルゴリズムの更新・変更などの理由により、定時的な生体認証データの更新（ヘルスチェック）が必要となる。しかし、このヘルスチェックは利用頻度、生体認証部位、セキュリティレベルなどにより必要となる時期がばらばらである。そのためヘルスチェックのデータ更新が必要にもかかわらず放置される状況が生じる。運用上は所定の期間ヘルスチェックが履行されない場合は、その生体認証を中止したり、運用を制限したりする。

本発明によれば、ある方式での更新が行われていない場合でも、他の生体認証による本人確認の生体認証方式による本人確認が可能となり、ヘルスチェックが履行されていなくても施設、設備、機器などへの本人アクセスを許可することができる。これにより緊急事態などでどうしても本人によるアクセスが必要な場合に本人であってもアクセス出来ないという不足の事態や不具合は解消される。

また、ヘルスチェックによる生体認証データの更新、変更を実行することは本人確認を再度行うことを意味しており、最初の生体認証登録よりも本人なりすましによる不正更新の機会を与えやすいという重大な問題が生じていた。そのため通常ヘルスチェックは極めて煩雑なプロセスにより慎重に行われている。

本発明においては、ある生体認証により本人確認が得られていれば、本人再確認のための煩雑なプロセスを踏む必要はなく、本人のユーザ識別子により関連づけられた他の生体認証方式のヘルスチェック（更新、変更）を簡便化した手続きにより実施できる。これは、端末にヘルスチェックを必要とするそれぞれの生体認証に対応した生体認証取得用センサーを備えておけば他の方式の生体認証のヘルスチェック更新も可能となる。

図８は、本発明の他の実施例を示す説明図である。図８において、管理センター１（親サーバ）のほかに各サービス毎にローカルサービスセンター６０での分散管理サーバ（子サーバ）（例えば、住宅鍵管理サービス６１では鍵管理サーバ６４、銀行などのＡＴＭサービス６２ではＡＴＭ管理サーバ６５、スポーツクラブ６３での会員管理サーバ６６など）がネットワーク２を介して接続されている。ローカル管理サーバのそれぞれ６４，６５，６６、・・・・にはそのサービス用の生体認証端末群７０、７１，７２，７３・・・・がネットワーク２を介して接続されている。

管理センター１における各サーバは前述の例と同様に、生体認証登録サーバ４、登録者固有識別子登録サーバ５、登録者属性サーバ６などから構成されており、接続されているすべてのサービスにおけるユーザの生体認証データ、登録者（ユーザ）固有識別子、サービス識別子、その他ユーザに関連する属性（名前、年齢、登録日、登録したサービス、関連する認証方式、ヘルスチェックの時期、など）が格納されている。

また、それぞれのサービス毎に生体認証照合のための、予め登録された生体認証データが登録者固有識別子に関連付けられて格納されている。生体認証方式は、それぞれのサービス毎に決定された認証方式が採用されているが、ここでは住宅鍵管理サービス６１が手の静脈認証、ＡＴＭサービス６２が指紋認証、スポーツクラブ会員管理サービス６３が手の静脈認証を採用しているとする。

ユーザはそれぞれのサービスを利用するために各端末にユーザ識別子（例えば、暗証ＰＩＮ番号）を入力し、所定の生体認証データを認証照合のために生体認証センサー７４、７５、７６、・・・に読み取らせる。この場合、各サービスは特定されているためサービス識別子は必ずしも入力する必要はない。ユーザ識別子が各ローカルサービスセンター６０で確認されれば、予め登録されている生体認証照合用データが端末へダウンロードされ、端末での生体認証照合が行われる。

このように各サービス毎にサーバを独立して構成するメリットは、各サーバの負荷を軽減させ、生体認証照合のための検索・抽出が容易となり、サービス毎の生体認証スピードを向上させることができる。また、各サービスが独立して運用することが可能となり機密保持や生体認証サービス体制を簡便に構築できるなど多くの利点がある。更に、管理センター１では関連するすべての生体認証サービスのローカルデータを含んで保有していることから、データの分散保管としてもセキュリティ上リスク軽減が図られる。

また、本発明においては、前述した実施例と同様、常に端末装置側で生体認証照合を行っており、管理センター側で生体認証照合を行っていないので管理センター側のサーバに、複数の生体認証アルゴリズムを搭載する必要がなく、また、追加事業者の通信方式、暗号化方式もそれぞれに対応する必要がなく、管理センター側に格納する生体認証データは、追加事業者の暗号化されたままのデータフォーマットでも問題なく、追加事業者に対しては格納したデータの受け渡しに際してセンター側が通信手段だけを提供すればよいので、生体認証システムの実装が極めて容易に構築される。

このシステムにおける更なる利点は、管理センターの親サーバにより各サービス毎のサーバが連携しているため、前述した生体認証照合のバックアップ、クロスチェック、ヘルスチェックなどがそれぞれのサービスを超えて行えることである。

つまり、図８において、住宅鍵管理サービス６１では手の静脈認証が用いられているが、もし手の静脈認証照合が生体認証センサー７４で不可となった場合、バックアップとして予め登録してある他の生体認証（例えば指紋認証）データを管理センター１からユーザ識別子により呼び出して、バックアップ用生体認証センサー７１Ｂにより指紋認証照合を行うことも可能である。

また、管理センター１の親サーバ４，５，６に格納されている登録者生体認証データやユーザの属性を更新すればすべてのサービスに適用される。従って、住宅鍵管理サービス６１の端末装置７１において手の静脈認証のヘルスチェック（定期的データ更新）を行った場合、その更新データは管理センター１での登録者データが更新されるため、同じ手の静脈認証を用いている他のサービス（図８の例では、スポーツクラブ会員管理サービス６３）においても適用される。つまり、それぞれのサービス毎にヘルスチェックを行う必要はなく、同じ生体部分については管理センターの元データを更新することにより簡便にヘルスチェックが可能となる。このことは、管理センター１の元データによるヘルスチェックを行えば、関連するすべてのサービスにおいてローカルサーバの生体認証データは更新されヘルスチェックが完了する。

さらに、個人のカード５４などに生体認証データ５５が埋め込まれている場合、その生体認証データ付きカードを利用する際のヘルスチェック更新は、管理センター１の親サーバのデータが更新されていれば、親サーバからカードを利用する端末装置へ更新データが送られ、カード上の生体認証データ５５はヘルスチェックを完了する。

つまりヘルスチェックによる生体認証データの更新は管理センター１の親サーバの更新が行われるとリアルタイムで他のすべてのサービスに適用され、安全かつ確実な生体認証照合システムを構築することができる。

本発明の実施形態の概要を説明するシステム説明図 本発明の実施形態における生体認証端末装置１の動作ブロック説明図 本発明の実施形態における管理センター３の動作ブロック説明図 本発明の実施形態における生体認証照合プロセスを示す説明図 本発明の実施形態における応用例を示す説明図 本発明のユーザ識別子、サービス識別子などの例を示すテーブル説明図 本発明の実施形態のバックアップ、クロスチェックのプロセス例を示す説明図 本発明の他の実施形態の例を説明するシステム説明図

符号の説明

１ 生体認証端末装置
２ ネットワーク
３ 管理センター
４ 生体認証登録サーバ
５ 登録者固有識別子サーバ
６ 登録者属性登録サーバ
７ 生体認証センサー
１１ 画像処理部
１２ 特性検出部
１３ アルゴリズム処理部
１４ コード化部
１５ 固有情報入力部
１６ 暗号化部
１７ 送受信部
１８ 復号化部
１９ 比較照合部
２０ 判定部
２１ セキュリティレベル変更部
２２ 照合結果出力部・表示部
２３ 消去指示部
２４ メモリー部
２５ タイマー部
２６ 入出力操作部
２７ ＣＰＵ制御部
３３ データ登録部
３４ 登録者固有識別子登録サーバ
３５ 生体認証登録サーバ
３６ サーチ部
３９ ログ記録部
５４ カード会員証
５５ メモリー部
６０ ローカルサービスセンター

Claims (16)

1. ネットワークに接続された生体認証端末装置により、該ネットワークに接続されている登録サーバに予め登録された生体認証登録データを用いて本人認証を行う方法において、登録者固有識別子を前記端末装置に入力するステップと、前記入力された登録者固有識別子により生体認証登録データを登録サーバから前記端末装置に前記ネットワークを介して呼び出すステップと、前記端末装置に本人の生体認証照合用データを取り込むステップと、前記取り込んだ生体認証照合用データと前記端末装置に呼び出された生体認証登録データとを照合することにより前記端末装置で本人認証を実行するステップと、前記端末装置で本人認証が実行されると前記端末装置から生体認証データが消去されるステップと、から成ることを特徴とする本人認証方法。
2. 請求項１に記載する方法において、更に、前記登録サーバに予め複数の生体認証登録データを登録するステップと、前記端末装置で最初に呼び出された前記生体認証登録データにより本人認証が出来なかった場合、異なる生体認証登録データを前記端末装置に呼び出すステップと、前記異なる生体認証登録データと前記生体認証照合用データとを照合することにより本人認証を実行するステップと、を含む本人認証方法。
3. 請求項１または請求項２に記載する方法において、前記登録された生体認証登録データは登録者の指紋，虹彩，網膜パターン、指または手のひらや甲の静脈の複数の異なる特徴のいずれかまたはそれらの組み合わせから成ることを特徴とする本人認証方法。
4. 請求項３に記載する方法において、更に、前記登録された複数の異なる特徴の生体認証登録データがセキュリティレベルに応じて本人認証が実行されるステップと、を含む本人認証方法。
5. 請求項３に記載する方法において、更に、前記登録された複数の異なる特徴の生体認証登録データは登録者の固有識別子を共通識別子として関連づけるステップと、を含む本人認証方法。
6. 請求項５に記載する方法において、更に、前記登録された複数の異なる特徴の生体認証登録データのいずれかによる本人認証方法により本人確認されれば、その他の異なる特徴の生体認証登録データによる本人認証の照合結果にかかわらず本人確認を有効とするステップと、を含む本人認証方法。
7. 請求項１または請求項３に記載する方法において、更に、前記端末装置から前記生体認証登録データの更新を行うステップと、を含む本人認証方法。
8. 請求項１または請求項３に記載する方法において、更に、前記端末装置から前記ネットワークを介して前記登録サーバに登録される生体認証データは暗号化されて送信されるステップと、前記暗号化された生体認証データは複合化されることなく前記登録サーバに格納されるステップと、を含む本人認証方法。
9. ネットワークに接続された生体認証端末装置により、該ネットワークに接続されている登録サーバに予め登録された生体認証登録データを用いて本人認証を行う生体認証システムにおいて、登録者固有識別子を前記端末装置に入力する手段と、前記入力された登録者固有識別子により生体認証登録データを登録サーバから前記端末装置に前記ネットワークを介して呼び出す手段と、前記端末装置に本人の生体認証照合用データを取り込む手段と、前記取り込んだ生体認証照合用データと前記端末装置に呼び出された生体認証登録データとを照合することにより前記端末装置で本人認証を実行する手段と、前記端末装置で本人認証が実行されると前記端末装置から生体認証データが消去される手段と、から成ることを特徴とするシステム。
10. 請求項９に記載する本人認証システムにおいて、更に、前記登録サーバに予め複数の生体認証登録データを登録する手段と、前記端末装置で最初に呼び出された前記生体認証登録データにより本人認証が出来なかった場合、異なる生体認証登録データを前記端末装置に呼び出す手段と、前記異なる生体認証登録データと前記生体認証照合用データとを照合することにより本人認証を実行する手段と、を含むシステム。
11. 請求項９または請求項１０に記載する本人認証システムにおいて、前記登録された生体認証登録データは登録者の指紋，虹彩，網膜パターン、指または手のひらや甲の静脈の複数の異なる特徴のいずれかまたはそれらの組み合わせから成ることを特徴とするシステム。
12. 請求項１１に記載する本人認証システムにおいて、更に、前記登録された複数の異なる特徴の生体認証登録データがセキュリティレベルに応じて本人認証が実行される手段と、を含むシステム。
13. 請求項１１に記載する本人認証システムにおいて、更に、前記登録された複数の異なる特徴の生体認証登録データは登録者の固有識別子を共通識別子として関連づける手段と、を含むシステム。
14. 請求項１３に記載する本人認証システムにおいて、更に、前記登録された複数の異なる特徴の生体認証登録データのいずれかによる本人認証方法により本人確認されれば、その他の異なる特徴の生体認証登録データによる本人認証の照合結果にかかわらず本人確認を有効とする手段と、を含むシステム。
15. 請求項９または請求項１１に記載する本人認証システムにおいて、更に、前記端末装置から前記生体認証登録データの更新を行う手段と、を含むシステム。
16. 請求項９または請求項１１に記載する本人認証システムにおいて、更に、前記端末装置から前記ネットワークを介して前記登録サーバに登録される生体認証データを暗号化して送信する手段と、前記暗号化された生体認証データは複合化されることなく前記登録サーバに格納される手段と、を含むシステム。

Images