JP2010231320A - 生体情報処理装置および方法 - Google Patents

Abstract

【課題】他人の生体情報との誤認証を防止しつつ、生体情報の経時変化に応じた適切な生体情報を登録可能にする。
【解決手段】蓄積処理部３１は、認証対象生体情報を記憶部１１に登録された照合用生体情報と照合する生体認証処理が実行され、この認証対象生体情報の認証が成功するごとに、この認証対象生体情報を記憶部１２に蓄積する。更新候補選択部３２は、記憶部１２に蓄積された一のユーザの複数の認証対象生体情報のそれぞれと、他の複数のユーザの照合用生体情報のそれぞれとの間の照合結果を基に、一のユーザの照合用生体情報を更新するための更新候補生体情報を、記憶部１２に蓄積された一のユーザの認証対象生体情報の中から選択する。
【選択図】図１

Description

本発明は、生体認証処理に利用される生体情報を処理する生体情報処理装置およびその方法に関する。

近年、ユーザ認証の手段として、ユーザの生体情報を用いた生体認証が普及しつつある。生体情報としては、例えば、指紋、静脈、網膜パターンなどの身体の一部を撮像した撮像情報や、声を収録した声紋情報などが利用される。

認証端末において検出されるユーザの生体情報は、例えば、季節による身体の状態変動、加齢などにより変化することがある。また、認証端末での使用方法のばらつきによって、検出される生体情報が変化することもある。このような場合には、本来正しく認証されるべきユーザであっても、認証に失敗することがある。この失敗確率を“本人拒否率”と言い、本人拒否率が増加すると使い勝手が低下してしまう。

これに対して、例えば、検出した生体情報と登録された生体情報とのマッチング度合いと比較するしきい値を緩和することで、本人拒否率を低下させることができる。しかし、この方法では、似通った生体情報を持つ他人がいた場合に、その他人の生体情報との間で誤って認証されてしまうリスクが増大するため、根本的な問題の解決にはならない。

上記の問題を解決する方法としては、時間の経過に応じて生体情報を更新する方法がある。このような方法を採り入れた生体認証装置としては、例えば、次のようなものがあった。

初期登録時の第１の基準生体データとは別に、認証が成功するごとにそのときに用いた生体データを第２の基準生体データとして更新登録する手段を設ける。そして、第１の基準生体データと第２の基準生体データとの照合率がしきい値以下の場合に、基準生体データの再登録を要求する（例えば、特許文献１参照）。

また、認証対象の生体情報と照合用の生体情報との照合履歴から、各生体情報の類似度の経年変化を表す近似関数を導出し、近似関数から予測される類似度が所定のしきい値以下の場合に、照合用の生体情報を更新するものもあった（例えば、特許文献２参照）。

特開２００８−７７５１８号公報 特開２００８−７９６８０号公報

しかしながら、生体情報を更新するための上記の方法では、あくまで認証対象者本人のデータのみを基に更新の要否を判定していた。このため、更新に用いる生体情報が、偶然他人の生体情報と類似した場合には、次の認証時に誤って他人の生体情報との間で認証されてしまう可能性がある。

本発明はこのような点に鑑みてなされたものであり、他人の生体情報との誤認証を防止しつつ、生体情報の経時変化に応じた適切な生体情報を登録可能な生体情報処理装置およびその方法を提供することを目的とする。

上記目的を達成するために、認証対象生体情報を第１の記憶部に登録された照合用生体情報と照合する生体認証処理が実行され、当該認証対象生体情報の認証が成功するごとに、当該認証対象生体情報を第２の記憶部に蓄積する蓄積処理部と、前記第２の記憶部に蓄積された一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果を基に、前記一のユーザの前記照合用生体情報を更新するための更新候補生体情報を、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報の中から選択する更新候補選択部と、を有する生体情報処理装置が提供される。

ここで、第１の記憶部には、認証対象生体情報と照合するための照合用生体情報が登録されている。蓄積処理部は、認証対象生体情報を第１の記憶部内の照合用生体情報と照合する生体認証処理が実行され、この認証対象生体情報の認証が成功するごとに、この認証対象生体情報を第２の記憶部に蓄積する。更新候補選択部は、第１の記憶部に登録された一のユーザの照合用生体情報を更新するための候補とされる更新候補生体情報を選択する。この更新候補選択部は、第２の記憶部に蓄積された一のユーザの複数の認証対象生体情報のそれぞれと、この一のユーザ以外の複数のユーザの照合用生体情報のそれぞれとの間の照合結果を基に、第２の記憶部に蓄積された一のユーザの前記認証対象生体情報の中から更新候補生体情報とする情報を選択する。

上記の生体情報処理装置によれば、他人の生体情報との誤認証を防止しつつ、生体情報の経時変化に応じた適切な生体情報を登録可能になる。

第１の実施の形態に係る生体情報処理装置の構成例を示す図である。 第２の実施の形態に係る生体認証システムのシステム構成例を示す図である。 生体認証サーバのハードウェア構成例を示す図である。 生体認証システムの各装置が備える機能を示す図である。 生体認証サーバにおける認証処理手順を示すフローチャートである。 生体認証サーバにおけるリファレンス生体データの更新処理手順を示すフローチャートである。 テンポラリデータ記憶部におけるデータ管理テーブルの一例を示す図である。 照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。 照合スコア分布の一例を示す図である。 ＲＯＣカーブの例を示す図である。 ＲＯＣカーブが互いに交差した場合の例を示す図である。 第３の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。 第４の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。 第５の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。 更新対象ユーザ決定処理の手順を示すフローチャートである。 第７の実施の形態に係る生体認証システムの構成例を示す図である。 シミュレーション部における処理開始の判定処理手順を示すフローチャートである。 管理端末において表示される運用状況モニタリング情報の一例を示す図である。 第８の実施の形態に係る生体認証システムのシステム構成、および各装置が備える機能を示す図である。 第９の実施の形態に係る生体認証サーバの構成例を示す図である。 第１０の実施の形態に係る生体認証システムの構成例を示す図である。

以下、実施の形態を図面を参照して詳細に説明する。
〔第１の実施の形態〕
図１は、第１の実施の形態に係る生体情報処理装置の構成例を示す図である。

図１に示す生体情報処理装置１は、生体認証処理に用いられる生体情報を処理する装置である。生体情報としては、例えば、指紋、静脈、網膜パターンなどの身体の一部を撮像した撮像情報、声を収録した声紋情報などを利用可能である。この生体情報処理装置１は、記憶部１１，１２、認証処理部２１、蓄積処理部３１、更新候補選択部３２、更新判定部３３および照合部３４を備えている。なお、記憶部１１，１２および認証処理部２１は、生体情報処理装置１の外部に設けられていてもよい。

記憶部１１には、ユーザごとの生体情報があらかじめ登録されている。ここでは、この生体情報を“照合用生体情報”と呼ぶ。認証処理部２１は、認証対象とされるユーザから検出された生体情報を受け付ける。ここでは、この生体情報を“認証対象生体情報”と呼ぶ。認証処理部２１は、受け付けた認証対象生体情報と、記憶部１１に登録された照合用生体情報とを照合することで、生体認証処理を実行する。

また、認証に成功した場合には、そのときの認証対象生体情報が蓄積処理部３１に出力される。従って、認証処理部２１が認証対象生体情報を受け付けて生体認証処理を実行して、認証が成功するごとに、そのときの認証対象生体情報が蓄積処理部３１に出力される。蓄積処理部３１は、認証に成功した認証対象生体情報を、記憶部１２に蓄積する。

更新候補選択部３２、更新判定部３３および照合部３４は、記憶部１１に登録された照合用生体情報を、記憶部１２に蓄積された同一ユーザの認証対象生体情報で更新するために設けられている。すなわち、照合用生体情報を、その登録後に認証に成功した認証対象生体情報によって更新することで、生体情報の経年変化に応じた適切な照合用生体情報を常に登録しておくことが可能になる。これとともに、更新候補選択部３２および更新判定部３３では、更新後の照合用生体情報が、ユーザ本人以外の他人の照合用生体情報との間で誤って認証されないように、更新処理が行われる。

更新候補選択部３２は、照合部３４による照合結果を基に、ある特定のユーザについての照合用生体情報の更新候補とする認証対象生体情報を、記憶部１２に蓄積されたユーザ本人の認証対象生体情報から選択する。この選択処理では、基本的に、他のユーザの照合用生体情報との類似度が低い認証対象生体情報が、更新候補として選択される。

ここで、照合部３４は、記憶部１２に蓄積されたユーザ本人の複数の認証対象生体情報のそれぞれと、このユーザ以外の複数のユーザの照合用生体情報のそれぞれとを照合し、これらの間の照合結果を出力する。これらの照合結果からは、記憶部１２に蓄積されたユーザ本人の各認証対象生体情報が、記憶部１１にすでに登録された他人の照合用生体情報のそれぞれとどの程度類似しているかを認識できる。すなわち、各認証対象生体情報について、登録済みの照合用生体情報との間の他人受け入れ率を推定できる。

このため、更新候補選択部３２は、少なくとも上記の照合結果に基づき、記憶部１２に登録されたユーザ本人の認証対象生体情報のうち、他のユーザの照合用生体情報との間での他人受け入れ率ができるだけ小さい生体情報を、更新候補として選択する。

更新判定部３３は、更新候補選択部３２により選択された認証対象生体情報を用いて、対応するユーザの照合用生体情報を更新するか否かを判定する。この判定処理では、更新候補とされた認証対象生体情報の他人受け入れ率が、現在登録されているユーザ本人の照合用生体情報の他人受け入れ率と同等、あるいはそれより低い場合に、更新が許可される。

ここで、照合部３４は、ユーザ本人の照合用生体情報と他のユーザの照合用生体情報とを照合し、これらの間の照合結果を出力する。これらの照合結果からは、ユーザ本人の照合用生体情報が他のユーザの照合用生体情報とどの程度類似しているかを認識できる。なお、これらの照合結果は、更新候補選択部３２での選択処理の手順に依っては、その処理時にすでに得られている場合もある。

更新判定部３３は、このようにして得られた照合結果と、更新候補として選択された認証対象生体情報と他のユーザの照合用生体情報との間の照合結果とを比較する。なお、後者の照合結果は、上記の更新候補選択処理ですでに得られている。更新判定部３３は、これらの比較結果を基に更新の許可／不許可を判定することで、他人受け入れ率が現状と同等、あるいはそれより低い認証対象生体情報を確実に判別することができる。

以上の処理により、他人受け入れ率を悪化させることのない認証対象生体情報のみが選択され、この認証対象生体情報によって照合用生体情報を更新できるようになる。従って、他人の照合用生体情報との誤認証の発生可能性が高まることなく、照合用生体情報を経年変化に合わせて更新して、登録情報を適正化することができる。

なお、以上の説明では、更新候補選択部３２および更新判定部３３の処理において、他人受け入れ率のみを加味するものとして説明したが、さらに本人拒否率を加味して処理することもできる。例えば、照合部３４に、記憶部１２に蓄積されたユーザ本人の複数の認証対象生体情報を相互に照合させる。この照合結果からは、登録された認証対象生体情報同士の類似度を認識できる。このため、更新候補選択部３２は、この照合結果に基づき、前述の判定基準に加えて、ユーザ本人の他の認証対象生体情報との類似度ができるだけ高い認証対象生体情報を、更新候補として選択する。これにより、更新候補とする認証対象生体情報についての本人拒否率を低くすることもできる。

次に、生体情報の更新判定処理について、より具体的な例を挙げて説明する。
〔第２の実施の形態〕
図２は、第２の実施の形態に係る生体認証システムのシステム構成例を示す図である。

本実施の形態の生体認証システムは、図２に示すように、生体認証サーバ１００と、１つ以上の生体認証端末２００と、管理端末３００とを備える。生体認証サーバ１００と、生体認証端末２００および管理端末３００とは、例えば、ネットワークなどにより相互に接続されている。

生体認証サーバ１００は、あらかじめ登録されたユーザの生体情報を記憶する。また、生体認証サーバ１００は、生体認証端末２００によりユーザから採取された生体情報を受け付け、この生体情報と、記憶していた生体情報とを照合して認証処理を行い、認証結果を生体認証端末２００に通知する。さらに、生体認証サーバ１００は、登録されている生体情報を適宜更新する機能も備えている。

ここで、生体認証端末２００によりユーザから採取されて、生体認証サーバ１００に送信される情報を、“テンポラリ生体データ”と呼ぶ。また、生体認証サーバ１００にあらかじめ登録されて、テンポラリ生体データと照合される生体情報を、“リファレンス生体データ”と呼ぶ。なお、生体認証サーバ１００に対するリファレンス生体データの初期登録処理は、例えば、生体認証端末２００から行われてもよい。

生体認証端末２００は、ユーザから生体情報を採取するための入力部２０１を備えている。入力部２０１は、例えば、ユーザの手のひらの静脈など、身体の一部を画像として読み取るものである。なお、入力部２０１は、生体認証端末２００に外付けされていても、あるいは生体認証端末２００と一体に設けられていてもよい。生体認証端末２００は、入力部２０１により採取された生体情報を基に前述のテンポラリ生体データを生成し、生体認証サーバ１００に送出する。

管理端末３００は、この生体認証システムのシステム管理者が操作する端末である。管理端末３００では、例えば、生体認証サーバ１００におけるリファレンス生体データの自動更新動作に関する各種設定操作が可能になっている。

図３は、生体認証サーバのハードウェア構成例を示す図である。
生体認証サーバ１００は、例えば、図３に示すようなコンピュータによって実現される。このコンピュータは、ＣＰＵ（Central Processing Unit）１０１、ＲＡＭ（Random Access Memory）１０２、ＨＤＤ（Hard Disk Drive）１０３、グラフィック処理部１０４，入力Ｉ／Ｆ（Interface）１０５、読み取り部１０６および通信Ｉ／Ｆ（Interface）１０７を備えており、これらの各部はバス１０８によって相互に接続されている。

ＣＰＵ１０１は、ＨＤＤ１０３に記憶された各種プログラムを実行することにより、このコンピュータ全体を統括的に制御する。ＲＡＭ１０２は、ＣＰＵ１０１に実行させるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。ＨＤＤ１０３は、ＣＰＵ１０１により実行されるプログラムやその実行に必要な各種のデータなどを記憶する。

グラフィック処理部１０４には、モニタ１０４ａが接続されている。このグラフィック処理部１０４は、ＣＰＵ１０１からの命令に従って、モニタ１０４ａの画面上に画像を表示させる。入力Ｉ／Ｆ１０５には、キーボード１０５ａやマウス１０５ｂが接続されている。この入力Ｉ／Ｆ１０５は、キーボード１０５ａやマウス１０５ｂからの信号を、バス１０８を介してＣＰＵ１０１に送信する。

読み取り部１０６は、可搬型の記録媒体１０６ａからデータを読み取り、バス１０８を介してＣＰＵ１０１に送信する。記録媒体１０６ａとしては、例えば、光ディスクなどを適用可能である。通信Ｉ／Ｆ１０７は、図示しないコネクタを介して、生体認証端末２００や管理端末３００などの外部装置と接続し、外部装置との間でデータの送受信を行う。

なお、生体認証端末２００および管理端末３００も、基本的に、図３と同様のハードウェア構成によって実現可能である。この場合、例えば、生体認証端末２００の入力部２０１は、通信Ｉ／Ｆ１０７を通じて生体認証端末２００に接続されればよい。

図４は、生体認証システムの各装置が備える機能を示す図である。
生体認証端末２００は、生体情報取得部２１１、テンポラリデータ生成部２１２、認証依頼部２１３および認証結果受信部２１４を備えている。なお、前述のように、生体認証端末２００がコンピュータとして実現される場合には、これらの各機能は、ＣＰＵによって所定のプログラムが実行されることで実現される。

生体情報取得部２１１は、ユーザから採取された生体情報を入力部２０１から取得する。
テンポラリデータ生成部２１２は、生体情報取得部２１１によって取得された生体情報に対して所定の処理を施すことにより、リファレンス生体データとの照合に利用するデータとしてのテンポラリ生体データを生成する。

認証依頼部２１３は、生成されたテンポラリ生体データを生体認証サーバ１００に送信して、認証処理を依頼する。
認証結果受信部２１４は、生体認証サーバ１００から認証結果を示すデータを受信し、認証結果をユーザに通知する。認証結果の通知方法としては、例えば、画面上に文字情報として表示する、あるいは、認証結果に応じた音声を出力するなどの方法が採られればよい。

生体認証サーバ１００は、大別して、認証処理を実行するための機能と、リファレンス生体データを更新するための機能とを備える。生体認証サーバ１００は、認証処理の実行機能として、認証依頼受け付け部１１１、リファレンスデータ参照部１１２、リファレンスデータ管理部１１３、照合処理部１１４、テンポラリデータ通知部１１５および認証結果送信部１１６を備えている。一方、生体認証サーバ１００は、リファレンス生体データの更新機能として、テンポラリデータ取得部１２１、テンポラリデータ蓄積処理部１２２、テンポラリデータ管理部１２３、シミュレーション部１２４、シミュレーションデータ制御部１２５、更新判定部１２６および更新要求部１２７を備えている。生体認証サーバ１００が備えるこれらの機能は、例えば、前述のＣＰＵ１０１によって、ＨＤＤ１０３に記憶された所定のプログラムが実行されることで実現される。

また、生体認証サーバ１００には、リファレンスデータ記憶部１３１と、テンポラリデータ記憶部１３２とが設けられている。これらの記憶部は、例えば、ＨＤＤ１０３の記憶領域を利用して実現される。あるいは、これらの記憶部は、ネットワークなどを介して生体認証サーバ１００の外部に設けられていてもよい。

認証依頼受け付け部１１１は、生体認証端末２００の認証依頼部２１３から認証処理の依頼を受け付けるとともに、テンポラリ生体データを受信する。
リファレンスデータ参照部１１２は、認証依頼受け付け部１１１からテンポラリ生体データを受け取ると、リファレンスデータ記憶部１３１に登録されたリファレンス生体データの読み出しを、リファレンスデータ管理部１１３に要求する。そして、要求したリファレンス生体データをリファレンスデータ管理部１１３を通じて読み込み、テンポラリ生体データとともに照合処理部１１４に出力する。

リファレンスデータ管理部１１３は、リファレンスデータ参照部１１２やシミュレーションデータ制御部１２５などからの要求に応じて、リファレンスデータ記憶部１３１に対する読み書きを実行する。リファレンスデータ記憶部１３１には、テンポラリ生体データと照合するための、複数のユーザのリファレンス生体データが登録されている。

照合処理部１１４は、テンポラリ生体データとリファレンス生体データとを照合して認証処理を実行し、その認証結果を出力する。また、認証に成功した場合には、照合に用いたテンポラリ生体データおよび対応するユーザＩＤも出力する。

テンポラリデータ通知部１１５は、認証に成功した場合に照合処理部１１４から出力されたテンポラリ生体データおよびユーザＩＤを、テンポラリデータ取得部１２１に通知する。

認証結果送信部１１６は、照合処理部１１４から出力された認証結果を、テンポラリデータ通知部１１５を介して受け取り、生体認証端末２００の認証結果受信部２１４に対して送信する。

テンポラリデータ取得部１２１は、テンポラリデータ通知部１１５から通知されたテンポラリ生体データおよびユーザＩＤを受け取り、テンポラリデータ蓄積処理部１２２に出力する。

テンポラリデータ蓄積処理部１２２は、テンポラリデータ取得部１２１から出力されたテンポラリ生体データおよびユーザＩＤを、テンポラリデータ管理部１２３を介してテンポラリデータ記憶部１３２に登録する。また、例えば、テンポラリデータ記憶部１３２における全テンポラリ生体データの登録数が一定数になるなどの所定の条件が満たされたとき、テンポラリデータ蓄積処理部１２２は、登録されたテンポラリ生体データをシミュレーション部１２４に読み出す。そして、シミュレーション部１２４に対して、リファレンスデータ記憶部１３１の更新のための処理を開始させる。

テンポラリデータ管理部１２３は、テンポラリデータ蓄積処理部１２２などの他の機能ブロックからの要求に応じて、テンポラリデータ記憶部１３２に対する読み書きを実行する。

シミュレーション部１２４は、テンポラリデータ蓄積処理部１２２から、テンポラリデータ記憶部１３２に蓄積されたテンポラリ生体データを受け取る。これとともに、リファレンスデータ記憶部１３１に登録されたリファレンス生体データを、シミュレーションデータ制御部１２５およびリファレンスデータ管理部１１３を介して読み出す。そして、これらのデータを利用して照合シミュレーションを実行する。

照合シミュレーションでは、テンポラリデータ記憶部１３２に蓄積されたテンポラリ生体データと、リファレンスデータ記憶部１３１に登録されたリファレンス生体データとを用いて照合処理が実行される。この照合処理により、テンポラリデータ記憶部１３２に蓄積されたテンポラリ生体データの品質が評価される。ここで、１つのユーザＩＤに対応するユーザについて、他人のリファレンス生体データとの類似度が低く、なおかつ、本人の他のテンポラリ生体データとの類似度が高いほど、品質の高いテンポラリ生体データと評価される。そして、最も高品質のテンポラリ生体データが更新候補のデータとして選択され、更新判定部１２６に通知される。

更新判定部１２６は、シミュレーション部１２４により判定されたテンポラリ生体データの品質に基づき、このテンポラリ生体データによりリファレンス生体データを更新するか否かを判定する。

更新要求部１２７は、更新判定部１２６によりリファレンス生体データを更新すると判定された場合に、テンポラリ生体データおよびユーザＩＤをリファレンスデータ管理部１１３に通知する。そして、通知したテンポラリ生体データを用いて、リファレンスデータ記憶部１３１内の対応するユーザＩＤのリファレンス生体データを上書きするように要求する。

管理端末３００は、自動更新設定部３１１を備えている。自動更新設定部３１１は、管理者による入力操作に応じて、生体認証サーバ１００におけるリファレンス生体データの更新処理に関する設定処理を実行する。例えば、自動更新設定部３１１は、生体認証サーバ１００のテンポラリデータ蓄積処理部１２２に対して、照合シミュレーション処理の実行を開始させるための条件を設定する。なお、前述のように、管理端末３００がコンピュータとして実現される場合には、自動更新設定部３１１の機能は、ＣＰＵによって所定のプログラムが実行されることで実現される。

次に、生体認証サーバ１００において実行される処理について詳しく説明する。
まず、図５は、生体認証サーバにおける認証処理手順を示すフローチャートである。
［ステップＳ１１］生体認証端末２００において、ユーザから生体情報が取得されると、認証依頼部２１３からは、取得された生体情報に基づくテンポラリ生体データが、生体認証サーバ１００に送信される。認証依頼受け付け部１１１は、生体認証端末２００からのテンポラリ生体データを受信する。

なお、１：１方式の認証方法が適用される場合には、認証依頼部２１３から認証依頼受け付け部１１１に対しては、テンポラリ生体データとともに、生体情報の採取元であるユーザのユーザＩＤも送信される。

［ステップＳ１２］認証依頼受け付け部１１１で受信されたテンポラリ生体データと、リファレンスデータ記憶部１３１に記憶されたリファレンス生体データとが、照合処理部１１４に供給される。照合処理部１１４は、これらのデータを用いて照合処理を実行する。

ここで、ユーザＩＤを用いない１：Ｎ方式の認証方法が適用される場合には、リファレンスデータ参照部１１２の制御により、リファレンスデータ記憶部１３１に記憶されたリファレンス生体データが順次、照合処理部１１４に供給される。このとき、リファレンス生体データに対応するユーザＩＤも、照合処理部１１４に供給される。一方、１：１方式の認証方法が適用される場合には、リファレンスデータ参照部１１２の制御により、認証依頼受け付け部１１１で受信されたユーザＩＤに対応するリファレンス生体データのみが、照合処理部１１４に供給される。

［ステップＳ１３］照合処理部１１４は、照合処理の結果に基づき、生体情報の採取元のユーザに対する認証結果を出力する。認証に成功した場合には、ステップＳ１４の処理が実行され、認証に失敗した場合には、ステップＳ１５の処理が実行される。

なお、照合処理部１１４による照合・認証処理としては、公知の方法が適用されればよい。
［ステップＳ１４］テンポラリデータ通知部１１５は、照合処理部１１４からテンポラリ生体データとこれに対応するユーザＩＤとを受け取り、テンポラリデータ取得部１２１に通知する。

［ステップＳ１５］認証結果送信部１１６は、照合処理部１１４による認証結果を受け取り、生体認証端末２００の認証結果受信部２１４に対して送信する。
次に、図６は、生体認証サーバにおけるリファレンス生体データの更新処理手順を示すフローチャートである。

［ステップＳ２１］テンポラリデータ取得部１２１は、テンポラリデータ通知部１１５から通知されたテンポラリ生体データおよびユーザＩＤを取得する。
［ステップＳ２２］テンポラリデータ蓄積処理部１２２は、テンポラリデータ取得部１２１により取得されたテンポラリ生体データおよびユーザＩＤを、テンポラリデータ管理部１２３を通じてテンポラリデータ記憶部１３２に登録する。

［ステップＳ２３］テンポラリデータ蓄積処理部１２２は、ステップＳ２４以降の照合シミュレーションおよび更新判定の各処理を開始するための条件を満たしているか否かを判定する。条件を満たしている場合には、ステップＳ２４の処理が実行される。一方、条件を満たしていない場合には、テンポラリデータ取得部１２１が、テンポラリデータ通知部１１５からのテンポラリ生体データの通知を待機する状態となる。そして、テンポラリデータ通知部１１５からテンポラリ生体データおよびユーザＩＤが通知されると、ステップＳ２１の処理が再度実行される。

ステップＳ２３での処理開始条件としては、例えば、テンポラリデータ記憶部１３２に登録されたテンポラリ生体データが一定数に達するという条件を適用可能である。あるいは、テンポラリデータ記憶部１３２に登録された、特定のユーザＩＤに対応するテンポラリ生体データが、所定数に達するという条件を適用してもよい。この場合には、ステップＳ２３以降の処理は、テンポラリデータ記憶部１３２に登録されたすべてのユーザＩＤについて行われるのではなく、登録数が一定数に達したユーザＩＤについてのみ実行されればよい。

また、テンポラリ生体データの登録数に限らず、時間情報を処理開始条件として用いてもよい。例えば、所定の時間間隔ごとにステップＳ２３以降の処理を実行するようにしてもよい。

また、管理端末３００の自動更新設定部３１１は、このステップＳ２３で適用される処理開始条件を、管理端末３００に対する管理者の操作入力に応じて任意に設定することができる。これにより、管理者は、更新処理の実行頻度を変化させたり、処理開始条件の変化による品質評価の精度変動を調整することができる。

［ステップＳ２４］シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたテンポラリ生体データと、リファレンスデータ記憶部１３１に登録されたリファレンス生体データとを用いて、照合シミュレーションを実行する。この照合シミュレーションにより、テンポラリ生体データの品質が評価される。本実施の形態では、登録されたテンポラリ生体データについての他人受け入れ率（ＦＡＲ：False Accept Rate）および本人拒否率（ＦＲＲ：False Reject Rate）が算出され、これらの値を基に品質が評価される。なお、この照合シミュレーションについては、後に詳細に説明する。

［ステップＳ２５］シミュレーション部１２４は、照合シミュレーションの結果に基づき、テンポラリデータ記憶部１３２に登録されたテンポラリ生体データのうち、リファレンスデータ記憶部１３１の更新候補とするデータを選択する。

［ステップＳ２６］更新判定部１２６は、ステップＳ２５で更新候補として選択されたテンポラリ生体データの品質を評価し、その品質が所定の基準を超えているか否かを判定する。本実施の形態では、シミュレーション部１２４により、品質評価のために利用する情報がさらに算出され、更新判定部１２６は、この情報と、上記の照合シミュレーションの結果とを比較することで、テンポラリ生体データの品質を評価する。なお、これらの評価および判定処理については、後に詳細に説明する。

テンポラリ生体データの品質が基準を超えている場合には、判定信号が更新判定部１２６に出力されて、ステップＳ２７の処理が実行される。一方、品質が基準以下である場合には、処理が一旦終了される。この場合には、テンポラリデータ取得部１２１が、テンポラリデータ通知部１１５からのテンポラリ生体データの通知を待機する状態となる。そして、テンポラリデータ通知部１１５からテンポラリ生体データおよびユーザＩＤが通知されると、ステップＳ２１の処理が再度実行される。

［ステップＳ２７］更新要求部１２７は、更新候補として選択されたテンポラリ生体データおよびこれに対応するユーザＩＤを、リファレンスデータ管理部１１３に出力する。これとともに、リファレンス生体データの更新を要求する更新要求信号をリファレンスデータ管理部１１３に出力する。これにより、リファレンスデータ管理部１１３は、ユーザＩＤに対応するリファレンスデータ記憶部１３１内のリファレンス生体データを、テンポラリ生体データにより更新する。

以上の処理によれば、図５に示した認証処理により認証が成功するたびに、認証されたテンポラリ生体データがテンポラリデータ記憶部１３２に登録される。そして、ステップＳ２３において所定の処理開始条件を満たすと判定されると、リファレンス生体データを更新するための処理が実行される。

ここで、図７は、テンポラリデータ記憶部におけるデータ管理テーブルの一例を示す図である。
前述のように、テンポラリデータ記憶部１３２には、認証に成功したテンポラリ生体データと、これに対応するユーザＩＤとが順次登録される。テンポラリデータ記憶部１３２では、例えば、これらのデータが図７に示すデータ管理テーブル１３２ａによって管理される。このデータ管理テーブル１３２ａでは、登録されたテンポラリ生体データのそれぞれに対して、管理ＩＤが付与されている。

また、図７の例ではさらに、各テンポラリ生体データに対してタイムスタンプが付与されている。タイムスタンプは、対応するテンポラリ生体データを用いて認証処理が実行された時刻を示すものであり、この時刻は、例えばテンポラリデータ取得部１２１により計時されて付与される。

このタイムスタンプは、ステップＳ２３での判定処理において利用することができる。例えば、ステップＳ２２においてあるユーザＩＤのテンポラリ生体データを登録したときに、すでに登録されていた、そのユーザＩＤに対応するテンポラリ生体データのうち、最も先に登録されたデータのタイムスタンプを参照する。そして、参照したタイムスタンプの時刻と、最新のテンポラリ生体データのタイムスタンプの時刻との差が一定の時間を超えていた場合に、ステップＳ２４の処理を実行させる。

また、タイムスタンプを参照することにより、データ管理テーブル１３２ａに登録されたテンポラリ生体データのうち、特定の期間に登録されたテンポラリ生体データのみを抽出することが可能になる。例えば、テンポラリ生体データの登録数が所定数に達した場合に、この時点以前の所定の期間に登録されたテンポラリ生体データのみを抽出して、照合シミュレーションおよび更新判定に用いることが可能になる。これにより、例えば、処理開始条件として登録数を適用した場合でも、経時変化による変化が大きすぎると考えられるテンポラリ生体データを、更新の対象から除外することが可能になる。

次に、図８は、照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。なお、この図８の処理は、図６に示したステップＳ２４〜Ｓ２６の処理に対応する。また、この図８は、テンポラリデータ記憶部１３２に記憶されたユーザＩＤのうち、１つのユーザＩＤに対応するリファレンス生体データの更新判定処理手順について示している。

［ステップＳ３１］シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたユーザＩＤのうち、１つのユーザＩＤに対応するユーザを更新処理対象とする。そして、このユーザ本人のテンポラリ生体データをテンポラリデータ記憶部１３２から取得し、これらを相互に照合して、すべての組み合わせによる照合スコアを算出する。

なお、照合スコアは、基本的に、照合した２つのデータの類似度を示す数値である。この照合スコアの演算方法としては、認証処理において利用される公知の方法を用いることができる。本実施の形態では、照合処理部１１４で利用されるものと同じ演算方法を用いることができる。

［ステップＳ３２］シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたユーザ本人のテンポラリ生体データの１つと、リファレンスデータ記憶部１３１に記憶されたすべてのリファレンス生体データとをそれぞれ照合する。そして、これらすべての組み合わせによる照合スコアを算出する。

さらに、シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたユーザ本人のテンポラリ生体データのすべてについて、上記の演算を行う。ここで、テンポラリデータ記憶部１３２に登録されたユーザ本人のテンポラリ生体データの数をＰ、リファレンスデータ記憶部１３１に登録されたリファレンスデータの数をＱとする。このとき、ステップＳ３２では、１つのテンポラリ生体データから算出されたＱ個の照合スコアを含む照合スコア群が、Ｐ群だけ算出される。

［ステップＳ３３］シミュレーション部１２４は、ステップＳ３１，Ｓ３２において算出した照合スコアを用いて、照合スコアの頻度分布を表す照合スコア分布を求める。後述するように、１つの照合スコア分布には、ステップＳ３１で算出した照合スコアの頻度分布と、ステップＳ３２で算出した１つの照合スコアについての照合スコアの頻度分布とが含まれる。従って、このステップＳ３３では、テンポラリ生体データの数であるＰ個の照合スコア分布が得られる。

［ステップＳ３４］シミュレーション部１２４は、ステップＳ３３において得られた照合スコア分布のそれぞれから、ＦＡＲおよびＦＲＲを算出する。そして、１つの照合スコア分布から算出し得るＦＡＲおよびＦＲＲを座標上にプロットして、それらを近似曲線で結んだＲＯＣ（Receiver Operating Characteristic）カーブを求める。このステップＳ３４では、Ｐ本のＲＯＣカーブが得られる。

以上のステップＳ３１〜Ｓ３４は、図６のステップＳ２４の処理に対応する。
［ステップＳ３５］シミュレーション部１２４は、ステップＳ３４において得られたＲＯＣカーブのうち、最も原点に近いＲＯＣカーブに対応するテンポラリ生体データを、最も高品質のデータと判定する。そして、そのテンポラリ生体データを更新候補のデータとして選択し、選択したテンポラリ生体データと、対応するユーザＩＤおよびＲＯＣカーブを、更新判定部１２６に出力する。なお、このステップＳ３５は、図６のステップＳ２５の処理に対応する。

ここで、以上のステップＳ３１〜Ｓ３５の処理をより詳細に説明する。まず、図９は、照合スコア分布の一例を示す図である。
前述したように、照合スコア分布は、照合スコアの頻度分布を示したものである。本実施の形態では、図９の曲線Ｌ１，Ｌ２のように、頻度分布を基に関数近似を行うことで得られる近似曲線を、照合スコア分布とする。なお、関数近似の手法としては、例えば、最小二乗法、エルミート近似、スプライン近似などを用いることができる。また、図９中の右側の縦軸は曲線Ｌ１に対応するものであり、左側の縦軸は曲線Ｌ２に対応するものである。

図８のステップＳ３１では、テンポラリデータ記憶部１３２に登録された、ユーザ本人のテンポラリ生体データ同士が照合される。これらのテンポラリ生体データはすべて認証に成功したものであるので、各データ同士の類似度は比較的高くなる。このため、ステップＳ３２の照合処理で算出される照合スコアは、図９の曲線Ｌ１のように比較的高い領域に多く分布する。

これに対して、図８のステップＳ３２では、ユーザ本人のテンポラリ生体データと、ほとんどが他人のものであるリファレンス生体データとが照合される。ユーザ本人の生体情報と他人の生体情報との類似度は比較的低くなることから、ステップＳ３２で算出される照合スコアは、図９の曲線Ｌ２のように比較的低い領域に多く分布する。

以上より、図８のステップＳ３３では、図９の曲線Ｌ１のように照合スコアが高い側にピークを持つ近似曲線と、曲線Ｌ２のように照合スコアが低い側にピークを持つ近似曲線とを含む照合スコア分布が得られる。また、図８のステップＳ３３では、このような照合スコア分布がテンポラリ生体データの登録数分だけ得られるが、これらの照合スコア分布では、高域側にピークを持つ近似曲線は共通のものとなる。

次に、図８のステップＳ３４では、照合スコア分布からＦＡＲおよびＦＲＲが算出され、これらの値を基にＲＯＣカーブが求められる。ここで、図９に示した照合スコアにおいて、認証処理時にテンポラリ生体データがユーザ本人のものか否かを判定するための仮想的なしきい値Ｔｈとして、任意の照合スコアを設定する。すなわち、テンポラリ生体データをリファレンス生体データと照合して認証処理を行うと仮定すると、生体データ間の照合スコアがしきい値Ｔｈ以上であれば、認証成功となる。逆に、生体データ間の照合スコアがしきい値Ｔｈ未満であれば、認証失敗となる。

このような場合に、図９に示した照合スコアにおいて、曲線Ｌ１と横軸とによって囲まれる領域の面積をＤ１、曲線Ｌ２と横軸とによって囲まれる領域の面積をＤ２とする。また、曲線Ｌ１と横軸とによって囲まれる領域のうち、しきい値Ｔｈ未満の領域の面積をＤ１１、曲線Ｌ２と横軸とによって囲まれる領域のうち、しきい値Ｔｈ以上の領域の面積をＤ１２とする。このとき、ＦＡＲは、Ｄ１２／Ｄ２として算出され、ＦＲＲは、Ｄ１１／Ｄ１として算出される。なお、これらの各面積は、近似曲線を積分し、その積分値を積算することで算出できる。

図１０は、ＲＯＣカーブの例を示す図である。
ＲＯＣカーブは、１つの照合スコア分布において、照合スコアのしきい値Ｔｈを変化させるごとにＦＡＲおよびＦＲＲを算出し、それらのＦＡＲおよびＦＲＲを座標上にプロットして、プロットした各点を基に関数近似を行うことで求められる。

なお、関数近似の手法としては、例えば、最小二乗法、エルミート近似、スプライン近似などを用いることができる。また、しきい値Ｔｈを設定する際の分解能を、管理端末３００の自動更新設定部３１１からの要求に応じて任意に設定できるようにしてもよい。ここで、しきい値Ｔｈの分解能を高くするほど、ＦＡＲおよびＦＲＲを正確に算出できるため、品質評価の精度が向上するが、その反面、処理負荷が大きくなる。従って、品質評価の精度と処理負荷とのバランスを、管理者が決定することもできる。

図８のステップＳ３４では、ステップＳ３３で得られた複数の照合スコア分布のそれぞれから、ＲＯＣカーブが求められる。従って、図１０の曲線Ｌ２１，Ｌ２２のように、複数のＲＯＣカーブが得られる。図８のステップＳ３５では、これらの複数のＲＯＣカーブから、最も高品質のテンポラリ生体データを判別する。

テンポラリ生体データの品質は、他人のリファレンス生体データとの類似度が低く、かつ本人の他のテンポラリ生体データとの類似度が高いほど、すなわち、ＦＡＲおよびＦＲＲがともに低いほど、高いと評価される。従って、ＲＯＣカーブの位置が座標上の原点に近いほど、ＦＡＲおよびＦＲＲがともに低いことになり、このようなＲＯＣカーブに対応するテンポラリ生体データの品質が高いと評価できる。

ここで、図１０の例のように、ＲＯＣカーブ同士が交差していない場合には、最も原点に近いＲＯＣカーブを容易に選択できる。しかし、ＲＯＣカーブ同士が交差している場合には、次に説明するような方法で、最も高品質のテンポラリ生体データに対応するＲＯＣカーブが選択される。

図１１は、ＲＯＣカーブが互いに交差した場合の例を示す図である。
図１１において、曲線Ｌ３１，Ｌ３２はそれぞれＲＯＣカーブであり、これらは一点において交差している。このような場合、まず、シミュレーション部１２４は、まず、曲線Ｌ３１，Ｌ３２のそれぞれによって囲まれる領域の面積のうち、ＦＡＲが交点未満の領域の面積Ｄ３１と、ＦＡＲが交点以上の領域の面積Ｄ３２とを算出する。

ここで、面積Ｄ３１と面積Ｄ３２との差が所定のしきい値より大きく、これらの差が比較的大きいと考えられる場合には、面積の大きい領域において原点に近い方のＲＯＣカーブが選択される。そして、選択されたＲＯＣカーブに対応するテンポラリ生体データが、高品質のデータとして選択される。

一方、面積Ｄ３１と面積Ｄ３２との差が上記のしきい値以下である場合には、各ＲＯＣカーブの交点よりＦＡＲが低い領域において、ＦＲＲが低い方のＲＯＣカーブが選択される。そして、選択されたＲＯＣカーブに対応するテンポラリ生体データが、高品質のデータとして選択される。これにより、ＦＲＲよりＦＡＲが低いことを優先した品質評価が行われる。

なお、以上のＲＯＣカーブの選択処理では、面積差と比較するしきい値を“０”に設定してもよい。
また、ＲＯＣカーブの交点が２点以上存在する場合でも、基本的に上記と同様の判定手法によりＲＯＣカーブを選択できる。ここで、１点以上の交点が存在した場合の選択処理手順は、次のように一般化できる。まず、２つのＲＯＣカーブによって囲まれる領域を、交点によって分割し、それらの各分割領域の面積を算出する。次に、最も面積が大きい分割領域を選択する。ここで、選択した分割領域が最も左側、すなわち最もＦＡＲが低い側に位置している場合には、その分割領域においてＦＲＲが低いＲＯＣカーブを選択する。一方、選択した分割領域が最も左側ではない場合には、選択した分割領域と、その分割領域の左側に隣接する分割領域とを比較対象とする。そして、これらの各分割領域の面積差に応じて、上記の図１１の例の場合と同様の判定を行う。これにより、ＦＲＲよりＦＡＲが低いことを優先した品質評価が行われる。

以上のステップＳ３１〜Ｓ３５の処理によれば、テンポラリデータ記憶部１３２に登録されたテンポラリ生体データのうち、ＦＲＲだけでなくＦＡＲも低いデータが、最も高品質のデータとして選択される。そして、選択されたテンポラリ生体データが、リファレンス生体データの更新候補とされる。

なお、ステップＳ３５では、更新候補とするテンポラリ生体データが選択された際に、さらに次のような処理が行われてもよい。シミュレーション部１２４は、更新候補として選択したテンポラリ生体データのＦＡＲを所定の上限しきい値と比較する。そして、ＦＡＲがこの上限しきい値以下である場合にのみ、選択したテンポラリ生体データと対応するユーザＩＤおよびＲＯＣカーブとを、更新判定部１２６に出力する。逆に、ＦＡＲが上限しきい値を超えている場合には、ステップＳ３６以降の処理は実行されず、リファレンス生体データは更新されない。

このような処理により、更新後のリファレンス生体データの品質を安定的に高め、誤認証をより確実に防止できるようになる。また、この上限しきい値を、例えば、管理端末３００の自動更新設定部３１１の処理により任意に設定可能であってもよい。これにより、更新後のリファレンス生体データの品質を、管理者が明示的に設定できる。

以下、図８に戻って説明する。次に示すステップＳ３６〜Ｓ４０は、図６のステップＳ２６の処理に対応する。
［ステップＳ３６］シミュレーション部１２４は、リファレンスデータ記憶部１３１から、ユーザ本人のリファレンス生体データを読み込むとともに、テンポラリデータ記憶部１３２から、ユーザ本人のテンポラリ生体データをすべて読み込む。そして、ユーザ本人のリファレンス生体データとすべてのユーザ本人のテンポラリ生体データとを照合し、これらすべての組み合わせによる照合スコアを算出する。

［ステップＳ３７］シミュレーション部１２４は、リファレンスデータ記憶部１３１に登録されたリファレンス生体データのうち、ユーザ本人のリファレンス生体データと、ユーザ本人を除くすべての他人のリファレンス生体データとを照合する。そして、これらすべての組み合わせによる照合スコアを算出する。

［ステップＳ３８］シミュレーション部１２４は、ステップＳ３６，Ｓ３７において算出した照合スコアを用いて、照合スコア分布を求める。この照合スコア分布においては、ステップＳ３６で算出された照合スコアに基づく近似曲線は、照合スコアが比較的高い領域にピークを持つ。また、ステップＳ３７で算出された照合スコアに基づく近似曲線は、照合スコアが比較的低い領域にピークを持つ。

［ステップＳ３９］シミュレーション部１２４は、ステップＳ３８において得られた照合スコア分布を基に、ＦＡＲおよびＦＲＲを算出し、算出したＦＡＲおよびＦＲＲを座標上にプロットしたＲＯＣカーブを求める。このようにして得られたＲＯＣカーブは、更新判定部１２６に出力され、更新候補のテンポラリ生体データの品質評価のために利用される。

なお、ステップＳ３４と同様に、このステップＳ３９でも、しきい値Ｔｈを設定する際の分解能を、管理端末３００の自動更新設定部３１１からの要求に応じて任意に設定できるようにしてもよい。

［ステップＳ４０］更新判定部１２６は、ステップＳ３５において更新候補として選択されたテンポラリ生体データに対応するＲＯＣカーブと、ステップＳ３９で得られたＲＯＣカーブとを比較する。この比較により、各ＲＯＣカーブに対応するテンポラリ生体データおよびリファレンス生体データが評価される。

更新判定部１２６は、更新候補のテンポラリ生体データの方が高品質と判定した場合には、更新候補のテンポラリ生体データによるリファレンス生体データの更新を許可する。この場合、更新要求部１２７からリファレンスデータ管理部１１３に対して更新要求信号が出力されるとともに、更新候補のテンポラリ生体データおよびユーザＩＤも出力される。逆に、リファレンス生体データの方が高品質と判定された場合には、更新要求信号は出力されず、リファレンス生体データは更新されない。

このステップＳ４０の品質評価は、ステップＳ３５と同様の評価方法が採られる。すなわち、更新候補のテンポラリ生体データに対応するＲＯＣカーブの方が、ステップＳ３９で得られたＲＯＣカーブより原点に近ければ、前者の方がＦＡＲおよびＦＲＲともに低く、より品質の高いデータであると評価される。この場合、リファレンス生体データが更新される。また、ＲＯＣカーブが交差している場合の選択方法も、ステップＳ３５での選択方法と同様である。

以上の図８の処理によれば、登録されたリファレンス生体データより品質の高いテンポラリ生体データが存在した場合にのみ、このテンポラリ生体データによりリファレンス生体データが更新される。特に、リファレンス生体データより少なくともＦＡＲが低いテンポラリ生体データによって、更新処理が実行される。従って、リファレンス生体データを、ユーザの生体情報の経年変化に応じて自動的に更新できるようにしながら、なおかつ、他人のリファレンス生体データにより誤って認証されてしまう確率をより低くすることができる。

また、このような効果は、ユーザＩＤを用いない１：Ｎ方式の認証方法のみならず、ユーザＩＤを用いる１：１方式の認証方法を適用した場合にも得られる。例えば、１：１方式の認証方法を適用した場合に、ユーザＩＤを偽装して認証を受けようとするユーザを排除することができるようになる。

〔第３の実施の形態〕
第３の実施の形態に係る生体認証システムは、第２の実施の形態と同様のシステム構成を有し、また、システムに含まれる各装置のハードウェア構成も、第２の実施の形態と同様である。さらに、本実施の形態に係る生体認証サーバは、基本的に、図４に示した生体認証サーバ１００と同様の機能を備える。ただし、シミュレーション部１２４および更新判定部１２６では、次の図１２に示すような照合シミュレーションおよび更新判定の各処理が実行される。

図１２は、第３の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。なお、この図１２の処理は、図８の場合と同様、図６に示したステップＳ２４〜Ｓ２６の処理に対応する。

［ステップＳ５１〜Ｓ５３］これらのステップでの処理は、それぞれ図８のステップＳ３１〜Ｓ３３での処理と同じである。すなわち、シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたテンポラリ生体データのうち、１つのユーザＩＤに対応するデータを相互に照合して、照合スコアを算出する。次に、シミュレーション部１２４は、ユーザ本人のすべてのテンポラリ生体データと、すべてのリファレンス生体データとをそれぞれ照合し、照合スコアを算出する。次に、シミュレーション部１２４は、これらの照合スコアを用いて、テンポラリ生体データの数だけの照合スコア分布を求める。

［ステップＳ５４〜Ｓ５６］これらのステップでの処理は、それぞれ図８のステップＳ３６〜Ｓ３８での処理と同じである。すなわち、シミュレーション部１２４は、ユーザ本人のリファレンス生体データとすべてのユーザ本人のテンポラリ生体データとを照合し、照合スコアを算出する。次に、シミュレーション部１２４は、ユーザ本人のリファレンス生体データと、ユーザ本人を除くすべての他人のリファレンス生体データとを照合し、照合スコアを算出する。次に、シミュレーション部１２４は、算出した照合スコアを用いて照合スコア分布を求める。

［ステップＳ５７］シミュレーション部１２４は、ステップＳ５３において得られた照合スコア分布のそれぞれと、ステップＳ５６において得られた照合スコア分布との相関値を演算する。この処理により、ステップＳ５３において得られた照合スコア分布のそれぞれについて、相関値が算出される。

なお、図９に例示したように、照合スコア分布は、照合スコアが高い側にピークを持つ近似曲線と、低い側にピークを持つ近似曲線とを含んでいる。従って、相関値の演算は、前者の近似曲線同士、および後者の近似曲線同士で行われる。

［ステップＳ５８］シミュレーション部１２４は、ステップＳ５７において算出された相関値のうち、最も高い相関値を選択する。そして、選択された相関値に対応するテンポラリ生体データを、更新候補のデータとして更新判定部１２６に出力する。また、このテンポラリ生体データとともに、対応するユーザＩＤおよび相関値も、更新判定部１２６に出力される。

ここで、前述したように、ステップＳ５３において得られる各照合スコア分布では、照合スコアが高い側にピークを持つ近似曲線は、すべて同じになる。従って、このステップＳ５８では、ステップＳ５７において、照合スコアが低い側にピークを持つ近似曲線に基づく相関値のみが比較されればよい。このような処理により、前回登録されたリファレンス生体データと同等のＦＡＲを持つテンポラリ生体データが、更新候補として選択される。

なお、このステップＳ５８では、更新候補とするテンポラリ生体データのＦＡＲが所定の上限しきい値以下である場合のみ、選択されたテンポラリ生体データと対応するユーザＩＤおよび相関値が更新判定部１２６に出力されるようにしてもよい。ＦＡＲは、このテンポラリ生体データを用いてステップＳ５２で算出された照合スコアを基にステップＳ５３で求められた照合スコア分布から、演算されればよい。

［ステップＳ５９］更新判定部１２６は、ステップＳ５８において選択されたテンポラリ生体データに対応する相関値を、所定のしきい値と比較することにより、テンポラリ生体データの品質を判定する。

この処理において、更新判定部１２６は、例えば、照合スコア分布に含まれる２つの近似曲線についての相関値を、それぞれ個別のしきい値と比較する。そして、両方ともしきい値以上である場合に、更新候補のテンポラリ生体データの品質が高いと判断して、このデータによるリファレンス生体データの更新を許可する。この場合、更新要求部１２７からリファレンスデータ管理部１１３に対して更新要求信号が出力されるとともに、更新候補のテンポラリ生体データおよびユーザＩＤも出力される。

なお、このステップＳ５９において比較されるしきい値は、管理端末３００の自動更新設定部３１１からの要求に応じて任意に設定可能であってもよい。これにより、管理者は、更新判定の基準を変化させて、更新後のリファレンス生体データの品質を調整することができる。

以上の図１２の処理によれば、登録されたリファレンス生体データと同等の品質のテンポラリ生体データが存在した場合にのみ、このデータによりリファレンス生体データが更新される。特に、リファレンス生体データと同等のＦＡＲのテンポラリ生体データによって、更新処理が実行される。従って、リファレンス生体データを、ユーザの生体情報の経年変化に応じて自動的に更新できるようにしながら、なおかつ、他人のリファレンス生体データにより誤って認証されてしまう確率をより低いまま維持することができる。

なお、前述した第２の実施の形態では、照合スコア分布からＲＯＣカーブを求める際に、照合スコア分布上のしきい値Ｔｈが離散的に設定される。一方、第３の実施の形態では、照合スコア分布に含まれる近似曲線自体を基に相関が求められる。このため、第３の実施の形態では、テンポラリ生体データの品質評価に対して、照合スコアの分布特性がより正確に反映される。この点で、品質評価の精度が高いと言える。逆に、第２の実施の形態では、ＲＯＣカーブを求める際のしきい値Ｔｈの分解能を高くするほど、品質評価の精度が向上する。

ただし、第３の実施の形態では、更新後のリファレンス生体データの品質は、更新前と同程度となる。これに対して、第２の実施の形態では、更新後のリファレンス生体データの品質が更新前より高くなる可能性が、より高くなるという利点がある。

〔第４，第５の実施の形態〕
上記の第２，第３の実施の形態では、ユーザ本人のテンポラリ生体データと、リファレンス生体データとを用いて照合シミュレーションを行っていた。これに対して、次の図１３および図１４では、テンポラリデータ記憶部１３２に登録された他人のリファレンス生体データも、照合シミュレーションに利用する。

図１３は、第４の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。また、図１４は、第５の実施の形態に係る生体認証サーバにおける照合シミュレーションおよび更新判定の処理手順を示すフローチャートである。

図１３に示すフローチャートでは、図８と同じ処理が行われる処理ステップには同じ符号を付して示している。図８との違いは、ステップＳ３２の代わりにステップＳ３２ａが実行される点である。また、図１４に示すフローチャートでは、図１２と同じ処理が行われる処理ステップには同じ符号を付して示している。図１２との違いは、ステップＳ５２に代わりにステップＳ５２ａが実行される点である。

図１３のステップＳ３２ａおよび図１４のステップＳ５２ａでは、ともに次のような処理が実行される。シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたユーザ本人のテンポラリ生体データの１つと、リファレンスデータ記憶部１３１に記憶されたすべてのリファレンス生体データとをそれぞれ照合する。さらに、同じテンポラリ生体データと、テンポラリデータ記憶部１３２に登録された、すべての他人のテンポラリ生体データとをそれぞれ照合する。そして、これらすべての組み合わせによる照合スコアを算出する。ここで、テンポラリデータ記憶部１３２に登録されたすべてのテンポラリ生体データの数をＲとすると、上記処理により、Ｑ＋（Ｒ−Ｐ）個の照合スコアが算出される。

さらに、シミュレーション部１２４は、テンポラリデータ記憶部１３２に登録されたユーザ本人のテンポラリ生体データのすべてについて、上記の演算を行う。これにより、Ｑ＋（Ｒ−Ｐ）個の照合スコアを含む照合スコア群が、Ｐ群だけ算出される。

このような処理により、テンポラリデータ記憶部１３２に登録されている、他人のリファレンス生体データについての将来の更新候補も含めて、照合シミュレーションが行われるようになる。従って、ユーザ本人のリファレンス生体データの更新後に他人のリファレンス生体データが更新された場合に、ユーザ本人のリファレンス生体データのＦＡＲが高くなることを防止できる。

〔第６の実施の形態〕
以下の第６の実施の形態では、上記の第２〜第５の実施の形態のいずれかにおいて、認証に失敗したテンポラリ生体データを基に照合シミュレーションを行い、誤認証が発生する可能性のあるユーザを自動的に判定する。そして、そのユーザを、自動更新処理の対象として決定する。

本実施の形態に係る生体認証システムは、図２と同様のシステム構成を有し、また、このシステムに含まれる各装置のハードウェア構成も、上記の第２〜第５の実施の形態と同様である。さらに、本実施の形態に係る生体認証サーバは、基本的に、図４に示した生体認証サーバ１００と同様の機能を備える。

ただし、テンポラリデータ通知部１１５は、認証に成功したテンポラリ生体データだけでなく、認証に失敗したテンポラリ生体データも、テンポラリデータ取得部１２１に対して通知する。また、テンポラリデータ取得部１２１は、通知を受けたテンポラリ生体データが、認証に成功したデータか、あるいは失敗したデータかを識別可能になっている。

図１５は、更新対象ユーザ決定処理の手順を示すフローチャートである。
［ステップＳ６１］テンポラリデータ取得部１２１は、認証に失敗したテンポラリ生体データをテンポラリデータ通知部１１５から取得すると、このデータをシミュレーション部１２４に出力する。

［ステップＳ６２］シミュレーション部１２４は、認証に失敗したテンポラリ生体データと、リファレンスデータ記憶部１３１に登録されたすべてのリファレンス生体データとを照合する。そして、照合の結果算出された照合スコアと、所定の下限しきい値とを比較する。なお、この下限しきい値を、管理端末３００の自動更新設定部３１１の処理により任意に設定可能であってもよい。

［ステップＳ６３］シミュレーション部１２４は、照合スコアが下限しきい値以上であるリファレンス生体データが存在したか否かを判定する。このようなリファレンス生体データが存在した場合には、ステップＳ６４の処理が実行される。一方、このようなリファレンス生体データが存在しなかった場合には、処理が終了される。

［ステップＳ６４］シミュレーション部１２４は、照合スコアが下限しきい値以上であるリファレンス生体データに対応するユーザＩＤを、テンポラリデータ蓄積処理部１２２に通知する。テンポラリデータ蓄積処理部１２２は、通知されたユーザＩＤを自動更新対象として設定する。

このステップＳ６４の実行後、テンポラリデータ蓄積処理部１２２は、テンポラリデータ取得部１２１において認証に成功したテンポラリ生体データが取得されると、そのテンポラリ生体データに対応するユーザＩＤを認識する。そして、そのユーザＩＤが自動更新対象として設定されたものである場合に、テンポラリ生体データをテンポラリデータ記憶部１３２に登録する。

なお、上記の処理では、ステップＳ６３において、照合スコアが下限しきい値以上であるリファレンス生体データが複数存在した場合のみ、ステップＳ６４の処理が実行されるようにしてもよい。これにより、認証に失敗したテンポラリ生体データに対応するユーザと同一のユーザのリファレンス生体データのみが更新対象に設定される可能性が低くなる。

また、１：１方式の認証方法が適用された場合には、認証に失敗したテンポラリ生体データのユーザＩＤを識別可能である。このため、例えば、ステップＳ６２では、リファレンスデータ記憶部１３１に登録されたデータのうち、認証に失敗したテンポラリ生体データに対応するユーザＩＤ以外のユーザＩＤのリファレンス生体データのみを用いて、照合スコアが算出されてもよい。

以上の処理において、ステップＳ６３では、照合スコアが下限しきい値以上であった場合には、ユーザ本人のテンポラリ生体データに類似する他人のリファレンス生体データが存在すると考えることができる。このため、類似すると判定されたリファレンス生体データを更新しないでおくと、その後に誤認識が発生する可能性がある。そこで、上記の処理では、このようなリファレンス生体データを事前に抽出し、対応するユーザを自動更新の対象とする。これにより、誤認証の発生確率をより低減できる。

〔第７の実施の形態〕
図１６は、第７の実施の形態に係る生体認証システムの構成例を示す図である。なお、この図１６では、図４に対応する構成要素は同じ符号を付して示し、その説明を省略する。

図１６に示す生体認証サーバ１００ｂには、図４に示した生体認証サーバ１００が備える機能のうち、照合処理部１１４およびシミュレーション部１２４の代わりに、照合処理部１１４ｂおよびシミュレーション部１２４ｂがそれぞれ設けられている。さらに、生体認証サーバ１００ｂには、運用管理部１４１が設けられている。また、図１６に示す管理端末３００ｂは、図４に示した管理端末３００に対して、運用状況モニタ部３１２をさらに設けたものである。なお、照合処理部１１４ｂ、シミュレーション部１２４ｂおよび運用管理部１４１は、例えば、生体認証サーバ１００ｂが備えるＣＰＵが所定のプログラムを実行することにより実現される。また、運用状況モニタ部３１２は、例えば、管理端末３００ｂが備えるＣＰＵが所定のプログラムを実行することにより実現される。

照合処理部１１４ｂは、図４に示した照合処理部１１４と同様の処理を行うとともに、リファレンス生体データとの照合を行うテンポラリデータを受け取るたびに、その旨を運用管理部１４１に通知する。

運用管理部１４１は、照合処理部１１４ｂからの通知に応じて、生体認証サーバ１００ｂに対する、認証処理のためのアクセス状況を監視する。そして、そのアクセス状況に応じて、シミュレーション部１２４ｂに対して照合シミュレーションの実行タイミングを与える。例えば、運用管理部１４１は、認証処理のためのアクセスが集中していない期間に、シミュレーション部１２４ｂの処理を実行させるようにする。

ここで、“照合シミュレーションの実行タイミング”とは、例えば、テンポラリデータ蓄積処理部１２２により照合シミュレーションの開始条件が満たされたと判定されたときに、シミュレーション部１２４ｂが実際に処理を開始するタイミングである。従って、シミュレーション部１２４ｂの処理開始タイミングは、テンポラリデータ蓄積処理部１２２に加えて運用管理部１４１からも制御される。本実施の形態では、実行タイミングを与えるための情報の例として、運用管理部１４１からシミュレーション部１２４ｂに対して、実行可能信号が出力される。

また、運用管理部１４１は、認証処理のためのアクセス状況を、管理端末３００ｂの運用状況モニタ部３１２に通知することもできる。さらに、運用状況モニタ部３１２からの要求に応じて、シミュレーション部１２４ｂに対して照合シミュレーションの実行タイミングを与えることもできる。

さらに、運用管理部１４１は、更新要求部１２７からリファレンスデータ管理部１１３に対してリファレンス生体データの更新が要求されたときに、その対象のユーザＩＤを受信して、管理端末３００ｂの運用状況モニタ部３１２に送信する機能も備える。

管理端末３００ｂの運用状況モニタ部３１２は、生体認証サーバ１００ｂの運用管理部１４１から送信される情報を受信して、その内容を管理者に通知する機能を備える。例えば、運用状況モニタ部３１２は、それらの情報を表示するための表示情報を生成し、管理端末３００ｂに接続されたモニタに出力する。

さらに、運用状況モニタ部３１２は、管理者からの操作入力に応じて、生体認証サーバ１００ｂの運用管理部１４１に対して、照合シミュレーションの実行タイミングを通知することもできる。

このような管理端末３００ｂの機能により、管理者は、生体認証サーバ１００ｂにおける運用状況を認知することができる。例えば、管理者は、生体認証サーバ１００ｂにおける認証処理の負荷状況を知ることができる。この場合には、後述するように、認証処理の負荷状況に応じて、照合シミュレーションおよび更新判定の処理タイミングを調整することができる。

あるいは、管理者は、リファレンス生体データが更新されたことを知ることや、更新が行われたユーザを知ることができる。この場合、運用管理部１４１から運用状況モニタ部３１２に対しては、照合処理部１１４ｂでの処理結果も通知されてもよい。これにより管理者は、例えば、個々のユーザについて、リファレンス生体データの更新の前後における照合率の変化を確認し、更新の効果を検証することができる。

図１７は、シミュレーション部における処理開始の判定処理手順を示すフローチャートである。
［ステップＳ７１］シミュレーション部１２４ｂは、テンポラリデータ蓄積処理部１２２から処理開始の要求があったか否かを判定する。

前述のように、図６のステップＳ２３において、テンポラリデータ蓄積処理部１２２にとり、照合シミュレーションおよび更新判定の各処理を開始するための条件を満たしているか否かが判定される。ここで、処理開始条件を満たしている場合、シミュレーション部１２４ｂに対して処理開始が要求される。これとともに、処理対象のテンポラリ生体データがテンポラリデータ記憶部１３２から読み出されて、シミュレーション部１２４ｂに供給される。

このように、シミュレーション部１２４ｂに対して処理開始が要求された場合には、ステップＳ７２の処理が実行される。
［ステップＳ７２］シミュレーション部１２４ｂは、運用管理部１４１から実行可能信号を受信しているか否かを判定する。ここで、受信していない場合には、信号受信を待機する。

運用管理部１４１は、認証処理のためのアクセス状況に基づき、認証処理の負荷が比較的小さい場合に、シミュレーション部１２４ｂに対して実行可能信号を出力する。例えば、運用管理部１４１は、一定時間間隔で認証処理のためのアクセス数をカウントし、一定時間内のアクセス数が所定のしきい値以下である場合のみ、実行可能信号を出力する。

このようにして、シミュレーション部１２４ｂに対して実行可能信号が出力されると、ステップＳ７３の処理が実行される。
［ステップＳ７３］シミュレーション部１２４ｂは、照合シミュレーションの実行を開始する。これにより、シミュレーション部１２４ｂによる照合シミュレーションが開始され、さらに、その結果に基づく更新判定部１２６および更新要求部１２７による更新判定処理も開始されることになる。

以上の処理によれば、照合処理部１１４ｂでの照合処理負荷が低い状況下でのみ、リファレンス生体データの自動更新処理を実行させることができる。従って、生体認証サーバ１００ｂにおける認証処理性能に特段の影響を与えることなく、リファレンス生体データを高精度のテンポラリ生体データによって更新することが可能になる。

なお、上記の処理例では、実行可能信号に基づき、照合シミュレーションおよび更新判定の処理全体が開始されているが、この他に例えば、照合シミュレーションおよび更新判定の処理が、実行可能信号に応じて断片的に実行されるようにしてもよい。これにより、生体認証サーバ１００ｂの処理負荷をより低減することができる。

また、実行可能信号を、管理端末３００ｂの運用状況モニタ部３１２からの要求に応じて出力させることが可能であってもよい。これにより、例えば、認証処理のためのアクセス状況に応じて、管理者の操作により生体認証サーバ１００ｂの処理負荷を調整することも可能になる。あるいは、システムメンテナンス時などに、リファレンス生体データの自動更新を停止させることも可能になる。

ここで、図１８は、管理端末において表示される運用状況モニタリング情報の一例を示す図である。
図１８に示す運用状況モニタリング情報３１２ａは、運用状況モニタ部３１２の処理によって、管理端末３００ｂに接続されたモニタに表示される情報である。この運用状況モニタリング情報３１２ａは、管理者が１日における照合処理負荷を把握するための管理情報であり、１時間単位の時間帯ごとに照合処理の実行数が表示されている。

さらに、運用状況モニタリング情報３１２ａでは、時間帯ごとに実行設定情報が表示されている。実行設定情報は、管理者の操作入力に応じて設定可能な情報であり、照合シミュレーションおよび更新判定の処理を実行可能か否かを、生体認証サーバ１００ｂの運用管理部１４１に通知する情報である。

例えば、実行設定情報が“可”である場合、運用管理部１４１は、照合処理負荷に応じてシミュレーション部１２４ｂに対して実行可能信号を出力する。また、実行設定情報が“不可”である場合、運用管理部１４１からの実行可能信号の出力を禁止する。また、実行設定情報が“Ｍ”である場合は、生体認証サーバ１００ｂのメンテナンス期間であることを示し、この場合にも運用管理部１４１からの実行可能信号の出力は禁止される。

このような運用状況モニタリング情報３１２ａを利用することで、生体認証サーバ１００ｂの管理者は、生体認証サーバ１００ｂでの照合シミュレーションおよび更新判定の処理タイミングを任意に設定することが可能である。

〔第８の実施の形態〕
上記の第２〜第７に実施の形態の生体認証サーバが備える機能のうち、認証処理を実行するための機能と、リファレンス生体データを更新するための機能とは、それぞれ個別の装置によって実現されてもよい。例えば、図４において、テンポラリデータ取得部１２１、テンポラリデータ蓄積処理部１２２、テンポラリデータ管理部１２３、シミュレーション部１２４、シミュレーションデータ制御部１２５、更新判定部１２６、更新要求部１２７およびテンポラリデータ記憶部１３２の各機能が、生体認証サーバ１００とは別のデータ更新制御装置に設けられてもよい。この場合、生体認証サーバとデータ更新制御装置とは、ネットワークなどによって接続されて、互いにデータが送受信される。このような構成により、生体認証サーバでの認証処理性能に対して何の影響を与えることなく、リファレンスデータ記憶部１３１の登録データを更新することが可能になる。

また、このように生体認証サーバとデータ更新制御装置とを個別に設けた場合には、次の図１９に示すような構成とすることもできる。
図１９は、第８の実施の形態に係る生体認証システムのシステム構成、および各装置が備える機能を示す図である。なお、図１９では、図４に対応する構成要素は同じ符号を付して示し、その説明を省略する。

本実施の形態の生体認証システムは、図１９に示すように、１つ以上の生体認証端末２００ｃ、生体認証サーバ１００ｃおよびデータ更新制御装置４００を備える。これらは、例えば、ネットワークなどによって互いに接続されている。

生体認証端末２００ｃは、図４に示した生体認証端末２００において、認証結果受信部２１４の代わりに認証結果受信部２１４ｃを設けたものである。認証結果受信部２１４ｃは、生体認証サーバ１００ｃの認証結果送信部１１６から、認証結果を受信する。このとき、認証結果受信部２１４ｃは、認証結果をデータ更新制御装置４００のテンポラリデータ取得部１２１ｃに送信する。

なお、認証依頼部２１３は、図４において生体認証サーバ１００の認証依頼受け付け部１１１に送信した情報を、生体認証サーバ１００ｃの認証依頼受け付け部１１１だけでなく、データ更新制御装置４００のテンポラリデータ取得部１２１ｃにも送信する。

生体認証サーバ１００ｃは、図４の生体認証サーバ１００が備える機能のうち、認証依頼受け付け部１１１、リファレンスデータ参照部１１２、リファレンスデータ管理部１１３、照合処理部１１４、認証結果送信部１１６およびリファレンスデータ記憶部１３１を備えている。ただし、照合処理部１１４から認証結果送信部１１６に対しては、データが直接受け渡される。

データ更新制御装置４００は、図４の生体認証サーバ１００が備える機能のうち、テンポラリデータ蓄積処理部１２２、テンポラリデータ管理部１２３、テンポラリデータ記憶部１３２、シミュレーション部１２４、シミュレーションデータ制御部１２５、更新判定部１２６および更新要求部１２７を備えている。さらに、データ更新制御装置４００には、テンポラリデータ取得部１２１ｃが設けられている。

テンポラリデータ取得部１２１ｃの機能は、基本的に、図４の生体認証サーバ１００が備えるテンポラリデータ取得部１２１と同じ機能を備えている。ただし、テンポラリデータ取得部１２１ｃは、認証が成功したか否かに関係なく、認証依頼部２１３からテンポラリ生体データを受信する。そして、認証結果受信部２１４ｃから認証結果を受信する。

従って、テンポラリデータ取得部１２１ｃは、認証依頼部２１３からテンポラリ生体データを受信すると、認証結果受信部２１４ｃからの認証結果を待機する。そして、認証結果を受信すると、その認証結果から、受信したテンポラリ生体データが認証に成功したものであった場合のみ、そのテンポラリ生体データおよびユーザＩＤをテンポラリデータ蓄積処理部１２２に受け渡す。これにより、認証に成功したテンポラリ生体データがテンポラリデータ記憶部１３２に蓄積され、その後、生体認証サーバ１００ｃのリファレンスデータ記憶部１３１を更新するための処理が、データ更新制御装置４００において実行される。

なお、ユーザＩＤは、１：１方式の認証方法が適用された場合には、認証依頼部２１３からテンポラリデータ取得部１２１ｃに送信され、１：Ｎ方式の認証方法が適用された場合には、認証結果受信部２１４ｃからテンポラリデータ取得部１２１ｃに送信される。あるいは、ユーザＩＤは、常に認証結果受信部２１４ｃからテンポラリデータ取得部１２１ｃに送信されてもよい。

以上の構成によれば、生体認証サーバ１００ｃにおける生体認証処理とは独立して、データ更新制御装置４００において、リファレンスデータ記憶部１３１の登録データを更新する処理が実行される。従って、生体認証サーバ１００ｃでの認証処理性能に対して何の影響を与えることなく、リファレンスデータ記憶部１３１の登録データを更新することが可能になる。

なお、図示しないが、図１９の構成において、図４に示した管理端末３００をデータ更新制御装置４００に接続してもよい。そして、管理端末３００から、データ更新制御装置４００における各処理の設定を実行可能としてもよい。

〔第９の実施の形態〕
図２０は、第９の実施の形態に係る生体認証サーバの構成例を示す図である。なお、図２０では、図４に対応する構成要素は同じ符号を付して示し、その説明を省略する。

図２０に示す生体認証サーバ１００ｄは、例として、図４に示した生体認証サーバ１００に対して、さらに、暗号処理部１５１，１５２を設けたものである。
暗号処理部１５１は、リファレンスデータ管理部１１３からリファレンスデータ記憶部１３１に記録されるデータを暗号化する。また、リファレンスデータ記憶部１３１からリファレンスデータ管理部１１３に対して読み出されるデータを復号する。同様に、暗号処理部１５２は、テンポラリデータ管理部１２３からテンポラリデータ記憶部１３２に対して記録されるデータを暗号化する。また、テンポラリデータ記憶部１３２からテンポラリデータ管理部１２３に対して読み出されるデータを復号する。

このような暗号処理部１５１，１５２により、登録されているリファレンス生体データや、蓄積されているテンポラリ生体データの改ざんが防止される。従って、生体認証の精度をより向上させ、安全性を高めることができる。

なお、図１６に示した生体認証サーバ１００ｂ、あるいは、図１９に示した生体認証サーバ１００ｃおよびデータ更新制御装置４００においても、図２０と同様の暗号処理機能を設けてもよい。これにより、各図におけるリファレンスデータ記憶部１３１およびテンポラリデータ記憶部１３２の改ざんを防止でき、生体認証の安全性を高めることができる。

〔第１０の実施の形態〕
図２１は、第１０の実施の形態に係る生体認証システムの構成例を示す図である。なお、図２１では、図４に対応する構成要素は同じ符号を付して示し、その説明を省略する。

図２１に示す生体認証システムは、図４に示した生体認証システムに対して、さらに暗号処理部１６１，１６２，２２１，３２１を設けたものである。すなわち、生体認証端末２００ｅは、図４に示した生体認証端末２００のすべての機能に加えて、暗号処理部２２１を備えている。また、生体認証サーバ１００ｅは、図４に示した生体認証サーバ１００のすべての機能に加えて、暗号処理部１６１，１６２を備えている。また、管理端末３００ｅは、図４に示した管理端末３００のすべての機能に加えて、暗号処理部３２１を備えている。

暗号処理部１６１，１６２，２２１，３２１のそれぞれは、装置内部からネットワークを通じて外部装置へ送信するデータの一部またはすべてを暗号化する。これとともに、外部装置からネットワークを通じて受信したデータの一部またはすべてを復号して、装置内部に受け渡す。このような処理により、装置間で受け渡されるデータの安全性が向上し、各装置での処理の確実性が高まる。

例えば、生体認証端末２００ｅから生体認証サーバ１００ｅへ送信されるデータは、暗号処理部２２１によって暗号化されて、ネットワーク上に送信される。この暗号化データは、生体認証サーバ１００ｅの暗号処理部１６１によって復号されて、認証依頼受け付け部１１１に出力される。これにより、認証に用いる生体情報のなりすましが防止され、認証処理の安全性が向上するだけでなく、リファレンス生体データの更新処理の確実性も向上する。

また、認証結果送信部１１６から生体認証端末２００ｅに対して送信されるデータは、暗号処理部１６１によって暗号化されて、ネットワーク上に送信される。この暗号化データは、生体認証端末２００ｅの暗号処理部２２１によって復号されて、認証結果受信部２１４に出力される。これにより、認証結果の安全性が向上する。

また、管理端末３００ｅの自動更新設定部３１１から生体認証サーバ１００ｅに送信されるデータは、管理端末３００ｅの暗号処理部３２１によって暗号化されて、ネットワーク上に送信される。この暗号化データは、生体認証サーバ１００ｅの暗号処理部１６２によって復号されて、例えばテンポラリデータ蓄積処理部１２２に出力される。これにより、生体認証サーバ１００ｅでの自動更新処理が意図的に改ざんされて、リファレンス生体データなどの登録情報の安全性が低下する事態が防止される。

なお、例えば、図１９に示したシステム構成においても、各装置間で送受信されるデータの一部またはすべてが暗号化されるようにしてもよい。
なお、上記の生体認証システムに設けられた各装置が有する機能の少なくとも一部は、コンピュータによって実現することができる。その場合には、上記機能の処理内容を記述したプログラムが提供される。そして、そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。

プログラムを流通させる場合には、例えば、そのプログラムが記録された光ディスクなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、そのプログラムを、サーバコンピュータからネットワークを介して他のコンピュータに転送することもできる。

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムまたはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、そのプログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。

以上の各実施の形態に関し、さらに以下の付記を開示する。
（付記１） 認証対象生体情報を第１の記憶部に登録された照合用生体情報と照合する生体認証処理が実行され、当該認証対象生体情報の認証が成功するごとに、当該認証対象生体情報を第２の記憶部に蓄積する蓄積処理部と、
前記第２の記憶部に蓄積された一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果を基に、前記一のユーザの前記照合用生体情報を更新するための更新候補生体情報を、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報の中から選択する更新候補選択部と、
を有することを特徴とする生体情報処理装置。

（付記２） 前記更新候補生体情報として選択された前記認証対象生体情報と前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果と、前記一のユーザの前記照合用生体情報と前記一のユーザ以外の複数の前記照合用生体情報のそれぞれとの間の照合結果とを比較し、その比較結果を基に、前記更新候補生体情報によって前記一のユーザの前記照合用生体情報を更新するか否かを判定する更新判定部をさらに有することを特徴とする付記１記載の生体情報処理装置。

（付記３） 前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとを照合し、類似度を示す類似度情報を算出する第１の照合部と、
前記一のユーザの前記照合用生体情報と前記一のユーザ以外の複数の前記照合用生体情報のそれぞれとを照合して前記類似度情報を算出する第２の照合部と、
をさらに有し、
前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布を基に、前記更新候補生体情報とする前記認証対象生体情報を選択し、
前記更新判定部は、前記更新候補生体情報として選択された前記認証対象生体情報と前記一のユーザ以外の複数のユーザの前記照合用生体情報とを照合することで前記第１の照合部により算出された前記類似度情報の頻度分布と、前記第２の照合部によって算出された前記類似度情報の頻度分布とを比較し、その比較結果を基に前記一のユーザの前記照合用生体情報を更新するか否かを判定する、
ことを特徴とする付記２記載の生体情報処理装置。

（付記４） 前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報を相互に照合して前記類似度情報を算出する第３の照合部をさらに有し、
前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布と、前記第３の照合部によって算出された前記類似度情報の頻度分布とを基に、前記一のユーザの前記認証対象生体情報ごとの他人受け入れ率および本人拒否率を算出し、前記他人受け入れ率および前記本人拒否率が最も低い前記認証対象生体情報を前記更新候補生体情報として選択することを特徴とする付記３記載の生体情報処理装置。

（付記５） 前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報のそれぞれと前記一のユーザの前記照合用生体情報とを照合して前記類似度情報を算出する第４の照合部をさらに有し、
前記更新判定部は、前記第２の照合部によって算出された前記類似度情報の頻度分布と、前記第４の照合部によって算出された前記類似度情報の頻度分布とを基に、前記一のユーザの前記照合用生体情報の前記他人受け入れ率および前記本人拒否率を算出し、算出した前記他人受け入れ率および前記本人拒否率が、前記更新候補生体情報として選択された前記認証対象生体情報の前記他人受け入れ率および前記本人拒否率より大きい場合に、前記一のユーザの前記照合用生体情報を更新すると判定することを特徴とする付記４記載の生体情報処理装置。

（付記６） 前記更新候補選択部は、前記認証対象生体情報を前記照合用生体情報と照合して認証処理を行う場合に、当該認証対象生体情報が前記一のユーザのものか否かを判定するための仮想的なしきい値として、前記類似度情報の頻度分布上に任意の前記類似度情報の値を設定し、前記一のユーザの前記認証対象生体情報ごとの前記他人受け入れ率および前記本人拒否率を前記しきい値を変化させながら算出し、算出された前記他人受け入れ率および前記本人拒否率を座標軸にプロットして関数近似により近似曲線を求め、前記一のユーザの前記認証対象生体情報ごとに求められた前記近似曲線のうち、前記座標軸上の原点に最も近い前記近似曲線に対応する前記認証対象生体情報を、前記更新候補生体情報として選択し、
前記更新判定部は、前記一のユーザの前記照合用生体情報の前記他人受け入れ率および前記本人拒否率を前記しきい値を変化させながら算出し、算出された前記他人受け入れ率および前記本人拒否率を基に前記近似曲線を求め、当該近似曲線より、前記更新候補生体情報として選択された前記認証対象生体情報に対応する前記近似曲線の方が前記座標軸上の原点に近い場合に、前記一のユーザの前記照合用生体情報を更新すると判定する、
ことを特徴とする付記５記載の生体情報処理装置。

（付記７） 前記更新候補選択部および前記更新判定部は、２つの前記近似曲線が交差した場合に、当該近似曲線の間に囲まれる領域を交点によって分割することで得られる分割領域のうち、最も面積が大きい分割領域を第１の分割領域として選択し、前記第１の分割領域と、前記第１の分割領域より前記他人受け入れ率が低い側に隣接する第２の分割領域との面積差が所定の値以下であれば、前記第２の分割領域において本人拒否率が低い方の前記近似曲線を優先的に選択することを特徴とする付記６記載の生体情報処理装置。

（付記８） 前記更新候補選択部は、前記更新候補生体情報として選択した前記認証対象生体情報の前記他人受け入れ率が、所定の上限しきい値以下である場合のみ、当該認証対象生体情報を前記更新判定部に出力して更新判定処理を実行させることを特徴とする付記４記載の生体情報処理装置。

（付記９） 前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布のうち、前記第２の照合部によって算出された前記類似度情報の頻度分布との相関値が最も高い頻度分布を選択して、選択された頻度分布に対応する前記認証対象生体情報を前記更新候補生体情報として選択し、
前記更新判定部は、前記選択された頻度分布と前記第２の照合部によって算出された前記類似度情報の頻度分布との相関値が所定のしきい値を超える場合に、前記一のユーザの前記照合用生体情報を更新すると判定する、
ことを特徴とする付記３記載の生体情報処理装置。

（付記１０） 前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報を相互に照合して前記類似度情報を算出する第３の照合部と、
前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報のそれぞれと前記一のユーザの前記照合用生体情報とを照合して前記類似度情報を算出する第４の照合部と、
をさらに有し、
前記更新判定部は、前記選択された頻度分布と前記第２の照合部によって算出された前記類似度情報の頻度分布との相関値が所定の第１のしきい値を超え、なおかつ、前記第３の照合部によって算出された前記類似度情報の頻度分布と前記第４の照合部によって算出された前記類似度情報の頻度分布との相関値が所定の第２のしきい値を超えた場合に、前記一のユーザの前記照合用生体情報を更新すると判定することを特徴とする付記９記載の生体情報処理装置。

（付記１１） 前記生体認証処理が実行され、認証に失敗した前記認証対象情報を取得すると、当該認証対象生体情報と、前記第１の記憶部に登録された前記照合用生体情報のうち、少なくとも、当該認証対象生体情報に対応するユーザ以外のユーザの前記照合用生体情報とを照合して前記類似度情報を算出する認証失敗時照合部をさらに有し、
前記蓄積処理部は、前記認証失敗時照合部により算出された前記類似度情報が所定の下限しきい値以上である前記照合用生体情報に対応するユーザを、認証に成功した前記認証対象情報を前記第２の記憶部に蓄積するユーザとして設定することを特徴とする付記３記載の生体情報処理装置。

（付記１２） 前記第１の照合部は、前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれ、および、前記第２の記憶部に蓄積された前記一のユーザ以外の前記認証対象生体情報のそれぞれとを照合して、前記類似度情報を算出することを特徴とする付記３記載の生体情報処理装置。

（付記１３） 前記更新候補選択部によって選択された前記更新候補生体情報で、前記第１の記憶部に登録された前記一のユーザの前記照合用生体情報を更新する更新処理部をさらに有することを特徴とする付記１記載の生体情報処理装置。

（付記１４） 前記蓄積処理部は、前記認証対象生体情報を、前記生体認証処理の実行時の時刻情報とともに前記第２の記憶部に蓄積し、
前記更新候補選択部は、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報のうち、前記時刻情報が一定の期間内にある前記認証対象生体情報の中から、前記更新候補生体情報を選択することを特徴とする付記１記載の生体情報処理装置。

（付記１５） 前記生体認証処理を実行する生体認証部と、
前記生体認証部における処理負荷を示す値が所定の値を超える場合に、前記更新候補選択部の処理の実行を禁止する実行制御部と、
をさらに有することを特徴とする付記１記載の生体情報処理装置。

（付記１６） 前記実行制御部は、前記生体認証部における処理負荷を示す情報を外部機器に出力し、当該外部機器からの制御に応じて、前記更新候補選択部の処理の実行を禁止する機能を備えたことを特徴とする付記１５記載の生体情報処理装置。

（付記１７） 認証対象生体情報を第１の記憶部に登録された照合用生体情報と照合する生体認証処理が実行され、当該認証対象生体情報の認証が成功するごとに、蓄積処理手段が、当該認証対象生体情報を第２の記憶部に蓄積し、
更新候補選択手段が、前記第２の記憶部に蓄積された一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果を基に、前記一のユーザの前記照合用生体情報を更新するための更新候補生体情報を、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報の中から選択する、
ことを特徴とする生体情報処理方法。

１ 生体情報処理装置
１１，１２ 記憶部
２１ 認証処理部
３１ 蓄積処理部
３２ 更新候補選択部
３３ 更新判定部
３４ 照合部

Claims (10)

1. 認証対象生体情報を第１の記憶部に登録された照合用生体情報と照合する生体認証処理が実行され、当該認証対象生体情報の認証が成功するごとに、当該認証対象生体情報を第２の記憶部に蓄積する蓄積処理部と、
   前記第２の記憶部に蓄積された一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果を基に、前記一のユーザの前記照合用生体情報を更新するための更新候補生体情報を、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報の中から選択する更新候補選択部と、
   を有することを特徴とする生体情報処理装置。
2. 前記更新候補生体情報として選択された前記認証対象生体情報と前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果と、前記一のユーザの前記照合用生体情報と前記一のユーザ以外の複数の前記照合用生体情報のそれぞれとの間の照合結果とを比較し、その比較結果を基に、前記更新候補生体情報によって前記一のユーザの前記照合用生体情報を更新するか否かを判定する更新判定部をさらに有することを特徴とする請求項１記載の生体情報処理装置。
3. 前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとを照合し、類似度を示す類似度情報を算出する第１の照合部と、
   前記一のユーザの前記照合用生体情報と前記一のユーザ以外の複数の前記照合用生体情報のそれぞれとを照合して前記類似度情報を算出する第２の照合部と、
   をさらに有し、
   前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布を基に、前記更新候補生体情報とする前記認証対象生体情報を選択し、
   前記更新判定部は、前記更新候補生体情報として選択された前記認証対象生体情報と前記一のユーザ以外の複数のユーザの前記照合用生体情報とを照合することで前記第１の照合部により算出された前記類似度情報の頻度分布と、前記第２の照合部によって算出された前記類似度情報の頻度分布とを比較し、その比較結果を基に前記一のユーザの前記照合用生体情報を更新するか否かを判定する、
   ことを特徴とする請求項２記載の生体情報処理装置。
4. 前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報を相互に照合して前記類似度情報を算出する第３の照合部をさらに有し、
   前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布と、前記第３の照合部によって算出された前記類似度情報の頻度分布とを基に、前記一のユーザの前記認証対象生体情報ごとの他人受け入れ率および本人拒否率を算出し、前記他人受け入れ率および前記本人拒否率が最も低い前記認証対象生体情報を前記更新候補生体情報として選択することを特徴とする請求項３記載の生体情報処理装置。
5. 前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報のそれぞれと前記一のユーザの前記照合用生体情報とを照合して前記類似度情報を算出する第４の照合部をさらに有し、
   前記更新判定部は、前記第２の照合部によって算出された前記類似度情報の頻度分布と、前記第４の照合部によって算出された前記類似度情報の頻度分布とを基に、前記一のユーザの前記照合用生体情報の前記他人受け入れ率および前記本人拒否率を算出し、算出した前記他人受け入れ率および前記本人拒否率が、前記更新候補生体情報として選択された前記認証対象生体情報の前記他人受け入れ率および前記本人拒否率より大きい場合に、前記一のユーザの前記照合用生体情報を更新すると判定することを特徴とする請求項４記載の生体情報処理装置。
6. 前記更新候補選択部は、前記第１の照合部によって前記一のユーザの前記認証対象生体情報ごとに算出された前記類似度情報の頻度分布のうち、前記第２の照合部によって算出された前記類似度情報の頻度分布との相関値が最も高い頻度分布を選択して、選択された頻度分布に対応する前記認証対象生体情報を前記更新候補生体情報として選択し、
   前記更新判定部は、前記選択された頻度分布と前記第２の照合部によって算出された前記類似度情報の頻度分布との相関値が所定のしきい値を超える場合に、前記一のユーザの前記照合用生体情報を更新すると判定する、
   ことを特徴とする請求項３記載の生体情報処理装置。
7. 前記生体認証処理が実行され、認証に失敗した前記認証対象生体情報を取得すると、当該認証対象生体情報と、前記第１の記憶部に登録された前記照合用生体情報のうち、少なくとも、当該認証対象生体情報に対応するユーザ以外のユーザの前記照合用生体情報とを照合して前記類似度情報を算出する認証失敗時照合部をさらに有し、
   前記蓄積処理部は、前記認証失敗時照合部により算出された前記類似度情報が所定の下限しきい値以上である前記照合用生体情報に対応するユーザを、認証に成功した前記認証対象情報を前記第２の記憶部に蓄積するユーザとして設定することを特徴とする請求項３記載の生体情報処理装置。
8. 前記第１の照合部は、前記第２の記憶部に蓄積された前記一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれ、および、前記第２の記憶部に蓄積された前記一のユーザ以外の前記認証対象生体情報のそれぞれとを照合して、前記類似度情報を算出することを特徴とする請求項３記載の生体情報処理装置。
9. 前記更新候補選択部によって選択された前記更新候補生体情報で、前記第１の記憶部に登録された前記一のユーザの前記照合用生体情報を更新する更新処理部をさらに有することを特徴とする請求項１記載の生体情報処理装置。
10. 認証対象生体情報を第１の記憶部に登録された照合用生体情報と照合する生体認証処理が実行され、当該認証対象生体情報の認証が成功するごとに、蓄積処理手段が、当該認証対象生体情報を第２の記憶部に蓄積し、
    更新候補選択手段が、前記第２の記憶部に蓄積された一のユーザの複数の前記認証対象生体情報のそれぞれと、前記一のユーザ以外の複数のユーザの前記照合用生体情報のそれぞれとの間の照合結果を基に、前記一のユーザの前記照合用生体情報を更新するための更新候補生体情報を、前記第２の記憶部に蓄積された前記一のユーザの前記認証対象生体情報の中から選択する、
    ことを特徴とする生体情報処理方法。

Images