JP2015072605A - 認証装置、認証方法、及びプログラム - Google Patents

Abstract

【課題】認証対象の生体情報を複数の登録生体情報と比較する認証処理の時間を短縮する。【解決手段】コンピュータは、アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照する。そして、コンピュータは、複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、第１のユーザによるアクセス対象へのアクセスを許可するか否かを判定する（ステップ３０１）。コンピュータは、第１の生体情報が複数の登録生体情報のうち第１の登録生体情報に対応し、第１のユーザによるアクセス対象へのアクセスを許可した場合、複数の登録生体情報から第１の登録生体情報を除外する。そして、コンピュータは、残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、第２のユーザによるアクセス対象へのアクセスを許可するか否かを判定する（ステップ３０２）。【選択図】図３

Description

本発明は、認証装置、認証方法、及びプログラムに関する。

近年、セキュリティレベルの向上が期待される中で、様々な分野への生体認証技術の適用が増えている。

生体認証技術は、人間の身体的特徴を示す生体情報を利用して個人を認証する認証技術である。生体認証を行う際には、生体情報がセンサにより取得されるが、取得時の身体の状態により生体情報が変化する。このため、同じ人間から毎回同じ生体情報を取得することが難しく、多くの生体認証技術では、取得された生体情報と比較対象の生体情報との類似度が閾値を超えた場合に認証成功と判定される。

生体認証方法には、１対１認証と呼ばれる方法と、１対Ｎ認証と呼ばれる方法とが含まれる。１対１認証とは、ユーザがユーザＩＤをキーボードから入力する等の方法により、比較対象の生体情報を単一のユーザの生体情報に限定して、認証処理を行う方法である。一方、１対Ｎ認証とは、比較対象の生体情報を限定せずに、登録されているＮ個の生体情報を比較対象として、認証処理を行う方法である。

１対１認証では、比較対象の生体情報を限定するためにユーザに作業負担がかかるが、１対Ｎ認証では、ユーザの作業負担が少ないため、ユーザの利便性が高い。１対Ｎ認証では、例えば、登録されているすべての生体情報の各々と認証対象の生体情報とを比較して類似度を求め、閾値を超える類似度の中で最大の類似度を持つ生体情報が認証対象の生体情報に対応すると判定する。

図１は、１対Ｎ認証で用いられる生体情報データベースの例を示している。図１の生体情報データベースは、Ｉｎｄｅｘ、ユーザ、及び登録生体情報を含む。この例では、Ｎ＝２６であり、ユーザＡ〜ユーザＺの２６個の生体情報が生体情報データベースに登録されている。これらの２６個の登録生体情報は、認証処理の開始時に、情報処理装置（コンピュータ）のメモリ内に展開される。

そして、ユーザＣの認証要求を受け付けると、センサにより取得されたユーザＣの生体情報がメモリ内の２６個の登録生体情報と比較される。次に、ユーザＢの認証要求を受け付けると、センサにより取得されたユーザＢの生体情報がメモリ内の２６個の登録生体情報と比較される。このように、１対Ｎ認証では、認証要求を受け付ける度に、すべての登録生体情報を比較対象として認証処理が行われる。

１対１認証と１対Ｎ認証とを併用することが可能な生体認証方式も知られている（例えば、特許文献１を参照）。この生体認証方式では、登録される生体のマスターデータに対して、個人を識別するためのＩＤ情報の他に、ユーザが１対Ｎ認証の対象ユーザか、１対１認証の対象ユーザかを示す付加情報を同時に記憶する。そして、１対１認証を使用すると設定したユーザに対しては、１対１認証を行う際に入力する個人識別方法についての情報及び閾値の設定等の情報も付与できるようにする。

特開２００９−１７５８１５号公報

従来の生体認証技術には、以下のような問題がある。
生体認証技術の適用分野は、セキュリティの観点上、認証処理を繰り返し行っても認証結果が同じであるべきであるというべき等性の有無により大別することができる。べき等性がない適用分野において、ユーザの利便性を向上するために１対Ｎ認証を使用することを考える。

１対１認証では、比較対象の登録生体情報が限定されるため、認証処理は高速に行われる。しかし、１対Ｎ認証では、同じユーザの認証処理を繰り返し行うべきではないにもかかわらず、毎回、すべての登録生体情報を比較対象とするため、認証処理に時間がかかる。

１つの側面において、本発明は、認証対象の生体情報を複数の登録生体情報と比較する認証処理の時間を短縮することを目的とする。

１つの案では、プログラムは、以下の処理をコンピュータに実行させる。
（ａ）アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照する。そして、複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、第１のユーザによるアクセス対象へのアクセスを許可するか否かを判定する。
（ｂ）第１の生体情報が複数の登録生体情報のうち第１の登録生体情報に対応し、第１のユーザによるアクセス対象へのアクセスを許可した場合、複数の登録生体情報から第１の登録生体情報を除外する。そして、残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、第２のユーザによるアクセス対象へのアクセスを許可するか否かを判定する。

実施形態によれば、認証対象の生体情報を複数の登録生体情報と比較する認証処理の時間を短縮することができる。

生体情報データベースを示す図である。 認証装置の機能的構成図である。 認証処理のフローチャートである。 認証システムの構成図である。 セキュリティエリアのセキュリティレベルを示す図である。 生体情報テーブル及びレベルテーブルを示す図である。 ユーザがセキュリティエリアへ入場する際の認証処理のフローチャートである。 第１の計算結果を示す図である。 ユーザがセキュリティエリアから退場する際の認証処理のフローチャートである。 認証結果テーブルを示す図である。 誤照合を検出して訂正する認証処理のフローチャートである。 第２の計算結果を示す図である。 第３の計算結果を示す図である。 第４の計算結果を示す図である。 第５の計算結果を示す図である。 第６の計算結果を示す図である。 ログを示す図である。 ログ分析処理のフローチャートである。 第７の計算結果を示す図である。 情報処理システムのセキュリティレベルを示す図である。 電子投票システムのセキュリティレベルを示す図である。 情報処理装置の構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。
生体認証技術の適用分野は、セキュリティの観点上、認証処理を繰り返し行っても認証結果が同じであるべきであるというべき等性の有無により大別することができる。べき等性の有無の例は、以下の通りである。
（１）金融機関のautomated teller machine（ＡＴＭ）の操作
べき等性あり。同じユーザが繰り返し同じ口座からの出金操作等を行うことにセキュリティ上の問題がないためである。
（２）セキュリティエリアへの入場
べき等性なし。同じユーザが繰り返し同じセキュリティエリアへ入場することにセキュリティ上の問題があるためである。ユーザがセキュリティエリアから退場した後であれば、同じユーザがセキュリティエリアへ再び入場することが許可される。
（３）情報処理システムへのログイン
べき等性なし。同じユーザが繰り返し同じ情報処理システムへログインすることにセキュリティ上の問題があるためである。ユーザが情報処理システムからログオフした後であれば、同じユーザが情報処理システムへ再びログインすることが許可される。
（４）電子投票システムを用いた投票
べき等性なし。同じユーザが繰り返し同じ電子投票システムを用いた投票を行うことにセキュリティ上の問題があるためである。

上記（２）〜（４）のような、べき等性がない適用分野において、ユーザの利便性を向上するために１対Ｎ認証を使用することを考える。１対１認証では、比較対象の登録生体情報が限定されるため、認証処理は高速に行われる。しかし、１対Ｎ認証では、同じユーザの認証処理を繰り返し行うべきではないにもかかわらず、毎回、すべての登録生体情報を比較対象とするため、認証処理に時間がかかる。

なお、かかる問題は、セキュリティエリアへの入場、情報処理システムへのログイン、及び電子投票システムを用いた投票の場合に限らず、ユーザが他のアクセス対象にアクセスする場合においても生ずるものである。

図２は、実施形態の認証装置の機能的構成例を示している。図２の認証装置２０１は、記憶部２１１及び判定部２１２を含む。

記憶部２１１は、アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する。判定部２１２は、記憶部２１１が記憶する複数の登録生体情報を用いて、実施形態に係る処理を実行する機能的なユニットである。

図３は、図２の認証装置２０１が行う認証処理の例を示すフローチャートである。まず、判定部２１２は、記憶部２１１を参照して、複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、第１のユーザによるアクセス対象へのアクセスを許可するか否かを判定する（ステップ３０１）。

ステップ３０１において、第１の生体情報が複数の登録生体情報のうち第１の登録生体情報に対応し、第１のユーザによるアクセス対象へのアクセスが許可された場合を想定する。この場合、判定部２１２は、複数の登録生体情報から第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、第２のユーザによるアクセス対象へのアクセスを許可するか否かを判定する（ステップ３０２）。

このような認証装置２０１によれば、認証対象の生体情報を複数の登録生体情報と比較する認証処理の時間を短縮することができる。

次に、図４から図１９までを参照しながら、アクセス対象がセキュリティエリアである場合の認証システムの例を説明する。セキュリティエリアは第１のセキュリティエリア及び第２のセキュリティエリアを含み、第１のセキュリティエリアは、例えば、オフィスルームであり、第２のセキュリティエリアは、例えば、サーバルームである。サーバルームは、オフィスルームに隣接して設けられ、ユーザは、オフィスルームを通ってサーバルームへ入場することができる。

図４は、このような認証システムの構成例を示している。図４の認証システムは、センサ４０１−１、ドア４０２−１、開閉装置４０３−１、センサ４０１−２、ドア４０２−２、開閉装置４０３−２、及び認証装置２０１を含む。

センサ４０１−１、ドア４０２−１、及び開閉装置４０３−１は、オフィスルームの入り口に設けられ、センサ４０１−２、ドア４０２−２、及び開閉装置４０３−２は、サーバルームの入り口に設けられる。開閉装置４０３−１、開閉装置４０３−２、及び認証装置２０１は、通信ネットワーク４１１により接続されている。

センサ４０１−１は、オフィスルームのドア４０２−１の外側又は内側に設けられたセンサに対応し、オフィスルームへ入場するユーザ又はオフィスルームから退場するユーザの生体情報を取得する。生体情報としては、ユーザの指紋、顔、静脈、虹彩等の画像情報又はユーザの声等の音声情報を用いることができる。センサ４０１−１により取得された生体情報は、開閉装置４０３−１を経由して認証装置２０１へ送信される。

センサ４０１−２は、サーバルームのドア４０２−２の外側又は内側に設けられたセンサに対応し、サーバルームへ入場するユーザ又はサーバルームから退場するユーザの生体情報を取得する。センサ４０１−２により取得された生体情報は、開閉装置４０３−２を経由して認証装置２０１へ送信される。

認証装置２０１は、センサ４０１−１又はセンサ４０１−２により取得された生体情報を認証対象として１対Ｎ認証の認証処理を行い、認証結果を開閉装置４０３−１又は開閉装置４０３−２へ送信する。

開閉装置４０３−１は、入場又は退場を許可する認証結果を受信したとき、ドア４０２−１を開く制御を行い、入場又は退場を許可しない認証結果を受信したときは、ドア４０２−１を開かない。ドア４０２−１が開いた場合、ユーザは、オフィスルームへ入場するか又はオフィスルームから退場することができる。

開閉装置４０３−２は、入場又は退場を許可する認証結果を受信したとき、ドア４０２−２を開く制御を行い、入場又は退場を許可しない認証結果を受信したときは、ドア４０２−２を開かない。ドア４０２−２が開いた場合、ユーザは、サーバルームへ入場するか又はサーバルームから退場することができる。

認証装置２０１は、図５に示すように、ユーザの所在場所をオフィスルームの外、オフィスルームの中、及びサーバルームの中の３つに分類して管理する。このとき、オフィスルームの外、オフィスルームの中、及びサーバルームに対してそれぞれＬ１、Ｌ２、及びＬ３のセキュリティレベルが付与される。Ｌ２はＬ１より高いセキュリティレベルであり、Ｌ３はＬ２より高いセキュリティレベルである。

認証装置２０１の記憶部２１１は、生体情報テーブル及びレベルテーブルを記憶することができる。生体情報テーブルには、オフィスルームのみへ入場可能な１人以上のユーザと、オフィスルームとサーバルームの両方へ入場可能な１人以上のユーザとを含む、複数のユーザの生体情報が登録される。レベルテーブルには、各ユーザの所在場所に対応するセキュリティレベルが登録される。

図６は、生体情報テーブル及びレベルテーブルの例を示している。図６の生体情報テーブル６０１は、Ｉｎｄｅｘ、ユーザ、登録生体情報、及び閾値を含む。この例では、Ｎ＝２６であり、ユーザＡ〜ユーザＺの２６個の生体情報が生体情報テーブル６０１に登録されている。Ｉｎｄｅｘは、登録生体情報の識別子である。閾値は、登録生体情報と認証対象の生体情報との類似度の閾値であり、登録生体情報毎に異なっていてもよい。ユーザＡ〜ユーザＺのうち、少なくともユーザＢ及びユーザＤは、オフィスルームとサーバルームの両方へ入場可能なユーザである。

図６のレベルテーブル６０２は、Ｉｎｄｅｘ及びセキュリティレベルを含む。Ｉｎｄｅｘは、生体情報テーブル６０１のＩｎｄｅｘに対応し、セキュリティレベルは、対応するユーザの所在場所のセキュリティレベルを表す。ユーザＡ〜ユーザＺの全員がオフィスルームの外にいる場合、すべてのユーザのセキュリティレベルがＬ１に設定される。

図７は、ユーザがオフィスルームへ入場する際に認証装置２０１が行う認証処理の例を示すフローチャートである。まず、判定部２１２は、レベルテーブル６０２においてセキュリティレベルＬ１に対応するＩｎｄｅｘを抽出し、生体情報テーブル６０１の登録生体情報のうち、抽出したＩｎｄｅｘに対応する登録生体情報及び閾値を抽出する（ステップ７０１）。

次に、判定部２１２は、抽出した登録生体情報を用いて、センサ４０１−１により取得された認証対象の生体情報に対する１対Ｎ認証の認証処理を行い、認証が成功したか否かを判定する（ステップ７０２）。認証対象の生体情報が抽出した登録生体情報のいずれかに対応する場合は、認証が成功したと判定され、認証対象の生体情報が抽出した登録生体情報のいずれにも対応しない場合は、認証が失敗したと判定される。

この認証処理では、判定部２１２は、例えば、認証対象の生体情報と各登録生体情報との類似度を表すスコアを求め、求めたスコアと各登録生体情報に対応する閾値とを比較する。そして、判定部２１２は、閾値を超えるスコアを持つ登録生体情報のうち、最も大きなスコアを持つ登録生体情報が認証対象の生体情報に対応すると判定することができる。閾値を超えるスコアを持つ登録生体情報が存在しない場合は、認証対象の生体情報に対応する登録生体情報は存在しない。

認証が成功した場合（ステップ７０２，ＹＥＳ）、判定部２１２は、レベルテーブル６０２において、認証が成功した登録生体情報のＩｎｄｅｘに対応するセキュリティレベルをＬ１からＬ２へ変更する（ステップ７０３）。そして、判定部２１２は、ユーザによるオフィスルームへの入場を許可する認証結果を出力し（ステップ７０４）、認証装置２０１は、その認証結果を開閉装置４０３−１へ送信する。

一方、認証が失敗した場合（ステップ７０２，ＮＯ）、判定部２１２は、ユーザによるオフィスルームへの入場を許可しない認証結果を出力し（ステップ７０４）、認証装置２０１は、その認証結果を開閉装置４０３−１へ送信する。

例えば、ユーザＢがオフィスルームへ入場する際に、センサ４０１−１により認証対象の生体情報Ｖｄ−Ｂが取得され、図６の登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚを用いて認証処理が行われた場合を想定する。そして、生体情報Ｖｄ−Ｂと登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚとのスコアが計算され、図８の計算結果８０１が得られたものとする。

この場合、登録生体情報Ｒｄ−Ｂのスコア“９”は、対応する閾値“６”を超えており、登録生体情報Ｒｄ−Ｄのスコア“８”は、対応する閾値“７”を超えているが、他の登録生体情報のスコアはいずれも、対応する閾値以下である。そこで、判定部２１２は、認証対象の生体情報Ｖｄ−Ｂは、登録生体情報Ｒｄ−Ｂと登録生体情報Ｒｄ−Ｄのうち最も大きなスコアを持つ登録生体情報Ｒｄ−Ｂに対応すると判定する。

そして、判定部２１２は、レベルテーブル６０２において、登録生体情報Ｒｄ−ＢのＩｎｄｅｘ“２”に対応するセキュリティレベルをＬ１からＬ２へ変更する。これにより、セキュリティレベルＬ１の登録生体情報の数は、２６個から２５個へ減少する。

次に、別のユーザがオフィスルームへ入場する際には、図６の登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚのうち、セキュリティレベルＬ１に対応する２５個の登録生体情報を用いて認証処理が行われる。このように、認証に成功したユーザがオフィスルームへ入場する度に、比較対象の登録生体情報の数が１個ずつ減少していく。したがって、毎回、すべての登録生体情報を比較対象とする場合と比べて、認証処理の時間を短縮することができる。

図９は、ユーザがオフィスルームから退場する際に認証装置２０１が行う認証処理の例を示すフローチャートである。まず、判定部２１２は、レベルテーブル６０２においてセキュリティレベルＬ２に対応するＩｎｄｅｘを抽出し、生体情報テーブル６０１の登録生体情報のうち、抽出したＩｎｄｅｘに対応する登録生体情報及び閾値を抽出する（ステップ９０１）。

次に、判定部２１２は、抽出した登録生体情報を用いて、センサ４０１−１により取得された認証対象の生体情報に対する１対Ｎ認証の認証処理を行い、認証が成功したか否かを判定する（ステップ９０２）。

認証が成功した場合（ステップ９０２，ＹＥＳ）、判定部２１２は、レベルテーブル６０２において、認証が成功した登録生体情報のＩｎｄｅｘに対応するセキュリティレベルをＬ２からＬ１へ変更する（ステップ９０３）。そして、判定部２１２は、ユーザによるオフィスルームからの退場を許可する認証結果を出力し（ステップ９０４）、認証装置２０１は、その認証結果を開閉装置４０３−１へ送信する。

一方、認証が失敗した場合（ステップ９０２，ＮＯ）、判定部２１２は、ユーザによるオフィスルームからの退場を許可しない認証結果を出力し（ステップ９０４）、認証装置２０１は、その認証結果を開閉装置４０３−１へ送信する。

例えば、ユーザＢがオフィスルームから退場する際に、センサ４０１−１により認証対象の生体情報Ｖｄ’−Ｂが取得され、セキュリティレベルＬ２の複数の登録生体情報を用いて認証処理が行われた場合を想定する。判定部２１２は、認証対象の生体情報Ｖｄ’−Ｂは登録生体情報Ｒｄ−Ｂに対応すると判定すると、レベルテーブル６０２において、登録生体情報Ｒｄ−ＢのＩｎｄｅｘ“２”に対応するセキュリティレベルをＬ２からＬ１へ変更する。

ユーザがオフィスルームからサーバルームへ入場する際に行われる認証処理は、図７の認証処理と同様である。ただし、ステップ７０１において、判定部２１２は、生体情報テーブル６０１の登録生体情報のうち、セキュリティレベルＬ２に対応する登録生体情報及び閾値を抽出する。ステップ７０２において、判定部２１２は、センサ４０１−２により取得された認証対象の生体情報に対する１対Ｎ認証の認証処理を行う。

なお、オフィスルームへの入場を許可されたユーザの中には、オフィスルームのみへ入場可能なユーザと、オフィスルームとサーバルームの両方へ入場可能なユーザとが含まれている。そこで、これらのユーザを区別するために、記憶部２１１は、各ユーザがサーバルームへ入場可能か否かを示すアクセス権情報を記憶することができる。

判定部２１２は、アクセス権情報を参照して、１対Ｎ認証が成功した登録生体情報に対応するユーザがサーバルームへ入場可能か否かを判定する。そして、判定部２１２は、そのユーザがサーバルームへ入場可能である場合、認証が成功したと判定し、そのユーザがサーバルームへ入場可能でない場合、認証が失敗したと判定する。

また、ステップ７０３において、判定部２１２は、認証が成功した登録生体情報のセキュリティレベルをＬ２からＬ３へ変更する。そして、ステップ７０４において、認証装置２０１は、認証結果を開閉装置４０３−２へ送信する。

ユーザがサーバルームから退場する際に行われる認証処理は、図９の認証処理と同様である。ただし、ステップ９０１において、判定部２１２は、生体情報テーブル６０１の登録生体情報のうち、セキュリティレベルＬ３に対応する登録生体情報及び閾値を抽出する。ステップ９０２において、判定部２１２は、センサ４０１−２により取得された認証対象の生体情報に対する１対Ｎ認証の認証処理を行う。

また、ステップ９０３において、判定部２１２は、認証が成功した登録生体情報のセキュリティレベルをＬ３からＬ２へ変更する。そして、ステップ９０４において、認証装置２０１は、認証結果を開閉装置４０３−２へ送信する。

なお、セキュリティエリアの数は２つに限定されることはなく、１つのみであってもよく、３つ以上であってもよい。例えば、セキュリティエリアがオフィスルームのみである場合、セキュリティレベルはＬ１とＬ２の２つのみでよく、サーバルームへ入場する際の認証処理とサーバルームから退場する際の認証処理は省略される。

また、セキュリティエリアが３つ以上である場合、セキュリティレベルは４つ以上設けられ、認証装置２０１は、各セキュリティエリアへ入場する際の認証処理と各セキュリティエリアから退場する際の認証処理とを行う。ユーザが各セキュリティエリアへ入場する際に行われる認証処理は、図７の認証処理と同様であり、ユーザが各セキュリティエリアから退場する際に行われる認証処理は、図９の認証処理と同様である。

ところで、センサ４０１−１又はセンサ４０１−２により取得される生体情報は、取得時におけるユーザの身体の状態により変化するため、認証対象のユーザ以外のユーザの登録生体情報のスコアが閾値を超える場合がある。このため、生体認証技術には、本人以外でも誤って認証成功と判定される、誤照合という問題がある。１対Ｎ認証では、比較対象の登録生体情報の数が多いため、１対１認証よりも誤照合のリスクが大きくなる。

そこで、誤照合が発生した場合に、誤照合の発生を検出し、それを訂正することが望ましい。誤照合を検出して訂正するために、記憶部２１１は、さらに認証結果テーブルを記憶することができる。認証結果テーブルには、認証が成功した生体情報とそのスコアとが登録される。

図１０は、認証結果テーブルの例を示している。図１０の認証結果テーブル１００１は、Ｉｎｄｅｘ、スコア、及び認証対象の生体情報を含む。Ｉｎｄｅｘは、図６の生体情報テーブル６０１のＩｎｄｅｘに対応し、認証対象の生体情報は、センサ４０１−１又はセンサ４０１−２により取得され、認証が成功した生体情報を表す。スコアは、認証が成功したときの登録生体情報と認証対象の生体情報とのスコアである。いずれのユーザも認証に成功していない場合、すべての登録生体情報のスコアが初期値“０”に設定される。

この場合、ユーザがオフィスルームへ入場する際に行われる図７の認証処理において、ステップ７０２及びステップ７０３の処理を、例えば、図１１に示すように変更することができる。ユーザがオフィスルームから退場する際に行われる図９の認証処理は変更しなくてもよい。

まず、判定部２１２は、ステップ７０１で抽出したセキュリティレベルＬ１の登録生体情報を用いて、認証対象の生体情報に対する１対Ｎ認証の認証処理を行い、認証が成功したか否かを判定する（ステップ１１０１）。

認証が成功した場合（ステップ１１０１，ＹＥＳ）、判定部２１２は、認証結果テーブル１００１において、認証が成功した登録生体情報のＩｎｄｅｘのエントリに、認証対象の生体情報と認証が成功したときのスコアとを登録する（ステップ１１１０）。次に、判定部２１２は、レベルテーブル６０２において、認証が成功した登録生体情報のＩｎｄｅｘに対応するセキュリティレベルをＬ１からＬ２へ変更する（ステップ１１１１）。そして、判定部２１２は、認証が成功した場合に対応する図７のステップ７０４の処理を行う。

一方、認証が失敗した場合（ステップ１１０１，ＮＯ）、判定部２１２は、Ｌ１以外のセキュリティレベルの登録生体情報を用いて、認証対象の生体情報に対する１対Ｎ認証の認証処理を行い、認証が成功したか否かを判定する（ステップ１１０２）。

認証が失敗した場合（ステップ１１０２，ＮＯ）、誤照合は検出されず、ステップ１１０１の認証失敗が確定する。そこで、判定部２１２は、認証が失敗した場合に対応するステップ７０４の処理を行う。

一方、認証が成功した場合（ステップ１１０２，ＹＥＳ）、判定部２１２は、認証が成功した登録生体情報のＩｎｄｅｘをＩｎｄｅｘＡに設定する（ステップ１１０３）。そして、判定部２１２は、ステップ１１０２で認証が成功したときのスコアと、認証結果テーブル１００１のＩｎｄｅｘＡのエントリに登録されているスコアとを比較する（ステップ１１０４）。

ステップ１１０２で認証が成功したときのスコアが登録されているスコア以下の場合（ステップ１１０４，ＮＯ）、誤照合は検出されず、ステップ１１０１の認証失敗が確定する。そこで、判定部２１２は、認証が失敗した場合に対応するステップ７０４の処理を行う。

一方、ステップ１１０２で認証が成功したときのスコアが登録されているスコアより大きい場合（ステップ１１０４，ＹＥＳ）、ＩｎｄｅｘＡのエントリに登録されている生体情報（以前の生体情報）の認証処理において誤照合が発生したものと判定される。そこで、ステップ１１０５以降において、検出された誤照合を訂正する処理が行われる。

この場合、判定部２１２は、認証結果テーブル１００１のＩｎｄｅｘＡのエントリに登録されている以前の生体情報とスコアを、ステップ１１０２における認証対象の生体情報と認証が成功したときのスコアに書き換える（ステップ１１０５）。

次に、判定部２１２は、ＩｎｄｅｘＡ以外の登録生体情報を用いて、以前の生体情報を認証対象の生体情報とする１対Ｎ認証の認証処理を行い、認証が成功したか否かを判定する（ステップ１１０６）。

認証が失敗した場合（ステップ１１０６，ＮＯ）、判定部２１２は、誤照合の訂正を終了し、認証が成功した場合に対応するステップ７０４の処理を行う。

一方、認証が成功した場合（ステップ１１０６，ＹＥＳ）、判定部２１２は、認証が成功した登録生体情報のＩｎｄｅｘをＩｎｄｅｘＡに設定する（ステップ１１０７）。そして、判定部２１２は、認証結果テーブル１００１において、ＩｎｄｅｘＡのエントリにスコアが登録されているか否かをチェックする（ステップ１１０８）。

例えば、ＩｎｄｅｘＡのスコアが初期値“０”である場合、スコアが登録されていないと判定され、ＩｎｄｅｘＡのスコアが初期値“０”以外の値である場合、スコアが登録されていると判定される。

ＩｎｄｅｘＡのエントリにスコアが登録されていない場合（ステップ１１０８，ＮＯ）、判定部２１２は、ステップ１１０６における認証対象の生体情報と認証が成功したときのスコアとを、ＩｎｄｅｘＡのエントリに登録する（ステップ１１１２）。次に、判定部２１２は、レベルテーブル６０２において、ＩｎｄｅｘＡに対応するセキュリティレベルをＬ１からＬ２へ変更し（ステップ１１１３）、記憶部２１１にログを記録する（ステップ１１１４）。そして、判定部２１２は、誤照合の訂正を終了し、認証が成功した場合に対応するステップ７０４の処理を行う。

一方、ＩｎｄｅｘＡのエントリにスコアが登録されている場合（ステップ１１０８，ＹＥＳ）、判定部２１２は、ステップ１１０６で認証が成功したときのスコアと登録されているスコアとを比較する（ステップ１１０９）。

ステップ１１０６で認証が成功したときのスコアが登録されているスコア以下の場合（ステップ１１０９，ＮＯ）、判定部２１２は、誤照合の訂正を終了し、認証が成功した場合に対応するステップ７０４の処理を行う。

一方、ステップ１１０６で認証が成功したときのスコアが登録されているスコアより大きい場合（ステップ１１０９，ＹＥＳ）、ＩｎｄｅｘＡのエントリに登録されている生体情報の認証処理において誤照合が発生したものと判定される。そこで、判定部２１２は、ステップ１１０５以降の処理を繰り返し、検出された誤照合を訂正する。

この場合、判定部２１２は、認証結果テーブル１００１において、ＩｎｄｅｘＡのエントリに登録されている生体情報とスコアを、ステップ１１０６における認証対象の生体情報と認証が成功したときのスコアに書き換える（ステップ１１０５）。そして、判定部２１２は、ステップ１１０６以降の処理を行う。

このような認証処理によれば、ステップ１１０１において認証が失敗した場合であっても、ステップ１１０４の判定結果がＹＥＳであれば、誤照合の発生が検出される。これにより、検出された誤照合の結果を訂正し、認証結果を認証失敗から認証成功へ変更することが可能になる。

例えば、ユーザＤがオフィスルームへ入場する際に、センサ４０１−１により認証対象の生体情報Ｖｄ−Ｄが取得され、図６の登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚを用いて認証処理が行われた場合を想定する（ステップ１１０１）。そして、生体情報Ｖｄ−Ｄと登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚとのスコアが計算され、図１２の計算結果１２０１が得られたものとする。

この場合、登録生体情報Ｒｄ−Ｂのスコア“９”は、対応する閾値“６”を超えており、登録生体情報Ｒｄ−Ｄのスコア“８”は、対応する閾値“７”を超えているが、他の登録生体情報のスコアはいずれも、対応する閾値以下である。そこで、判定部２１２は、認証対象の生体情報Ｖｄ−Ｄは、登録生体情報Ｒｄ−Ｂと登録生体情報Ｒｄ−Ｄのうち最も大きなスコアを持つ登録生体情報Ｒｄ−Ｂに対応すると判定する（ステップ１１０１，ＹＥＳ）。

そして、判定部２１２は、認証結果テーブル１００１において、登録生体情報Ｒｄ−ＢのＩｎｄｅｘ“２”に対応するエントリに、生体情報Ｖｄ−Ｄとスコア“９”とを登録する（ステップ１１１０）。さらに、判定部２１２は、レベルテーブル６０２において、Ｉｎｄｅｘ“２”に対応するセキュリティレベルをＬ１からＬ２へ変更する（ステップ１１１１）。ここで、ユーザＤの生体情報Ｖｄ−ＤがユーザＢの登録生体情報Ｒｄ−Ｂに対応付けられたため、誤照合が発生している。

次に、ユーザＢがオフィスルームへ入場する際に、センサ４０１−１により認証対象の生体情報Ｖｄ−Ｂが取得され、図１２の登録生体情報Ｒｄ−Ｂを除外した残りの登録生体情報を用いて認証処理が行われた場合を想定する（ステップ１１０１）。そして、生体情報Ｖｄ−Ｂと登録生体情報Ｒｄ−Ａ及び登録生体情報Ｒｄ−Ｃ〜登録生体情報Ｒｄ−Ｚとのスコアが計算され、図１３の計算結果１３０１が得られたものとする。

この場合、いずれの登録生体情報のスコアも、対応する閾値以下である。そこで、判定部２１２は、認証が失敗したと判定し（ステップ１１０１，ＮＯ）、セキュリティレベルＬ２の登録生体情報を用いて認証処理を行う（ステップ１１０２）。そして、生体情報Ｖｄ−Ｂと登録生体情報Ｒｄ−Ｂとのスコアが計算され、図１４の計算結果１４０１が得られたものとする。

この場合、登録生体情報Ｒｄ−Ｂのスコア“７”は、対応する閾値“６”を超えているため、判定部２１２は、認証対象の生体情報Ｖｄ−Ｂは登録生体情報Ｒｄ−Ｂに対応すると判定する（ステップ１１０２，ＹＥＳ）。そこで、判定部２１２は、スコア“７”と認証結果テーブル１００１のＩｎｄｅｘ“２”のエントリに登録されているスコア“９”とを比較する（ステップ１１０４）。

この場合、ステップ１１０２で認証が成功したときのスコア“７”は、登録されているスコア“９”より小さい（ステップ１１０４，ＮＯ）。そこで、判定部２１２は、認証結果テーブル１００１のＩｎｄｅｘ“２”のエントリに登録されている生体情報Ｖｄ−Ｄの認証処理において、誤照合が発生しなかったものと判定する。したがって、ステップ１１０１の認証失敗が確定する。

なお、認証に失敗したユーザＢがセンサ４０１−１による生体情報の取得と認証処理を繰り返し行えば、登録されているスコア“９”よりも大きなスコアが計算され、ステップ１１０４の判定結果がＹＥＳに変化することが期待できる。

一方、図１４の計算結果１４０１の代わりに、図１５の計算結果１５０１が得られた場合、登録生体情報Ｒｄ−Ｂのスコア“１０”は、対応する閾値“６”を超えている（ステップ１１０２，ＹＥＳ）。また、ステップ１１０２で認証が成功したときのスコア“１０”は、認証結果テーブル１００１のＩｎｄｅｘ“２”のエントリに登録されているスコア“９”より大きい（ステップ１１０４，ＹＥＳ）。そこで、判定部２１２は、認証結果テーブル１００１のＩｎｄｅｘ“２”のエントリに登録されている生体情報Ｖｄ−Ｄの認証処理において、誤照合が発生したものと判定する。

この場合、判定部２１２は、登録生体情報Ｒｄ−Ｂに対応するのは生体情報Ｖｄ−Ｄではなく生体情報Ｖｄ−Ｂであると判定する。そして、判定部２１２は、認証結果テーブル１００１のＩｎｄｅｘ“２”の生体情報Ｖｄ−Ｄとスコア“９”を、生体情報Ｖｄ−Ｂとスコア“１０”に書き換える（ステップ１１０５）。

次に、判定部２１２は、生体情報Ｖｄ−Ｄに対応する正しい登録生体情報を特定するため、Ｉｎｄｅｘ“２”以外の登録生体情報を用いて生体情報Ｖｄ−Ｄの認証処理を行う（ステップ１１０６）。そして、生体情報Ｖｄ−Ｄと登録生体情報Ｒｄ−Ａ及び登録生体情報Ｒｄ−Ｃ〜登録生体情報Ｒｄ−Ｚとのスコアが計算され、図１６の計算結果１６０１が得られたものとする。

この場合、登録生体情報Ｒｄ−Ｄのスコア“８”は、対応する閾値“７”を超えているが、他の登録生体情報のスコアはいずれも、対応する閾値以下である。そこで、判定部２１２は、認証対象の生体情報Ｖｄ−Ｄは登録生体情報Ｒｄ−Ｄに対応すると判定する（ステップ１１０６，ＹＥＳ）。

そして、判定部２１２は、認証結果テーブル１００１において、登録生体情報Ｒｄ−ＤのＩｎｄｅｘ“４”に対応するエントリに、生体情報Ｖｄ−Ｄとスコア“８”とを登録する（ステップ１１１２）。さらに、判定部２１２は、レベルテーブル６０２において、Ｉｎｄｅｘ“４”に対応するセキュリティレベルをＬ１からＬ２へ変更し（ステップ１１１３）、ログを記録する（ステップ１１１４）。

これにより、認証結果テーブル１００１において、生体情報Ｖｄ−Ｄが正しい登録生体情報Ｒｄ−Ｄと対応付けられ、誤照合の訂正が終了する。

ユーザがオフィスルームからサーバルームへ入場する際に行われる認証処理も、図１１と同様に変更することができる。ただし、判定部２１２は、ステップ１１０１において、セキュリティレベルＬ２の登録生体情報を用いて１対Ｎ認証の認証処理を行い、ステップ１１０２において、Ｌ２以外のセキュリティレベルの登録生体情報を用いて１対Ｎ認証の認証処理を行う。また、ステップ１１１１及びステップ１１１３において、判定部２１２は、認証が成功した登録生体情報のセキュリティレベルをＬ２からＬ３へ変更する。ユーザがサーバルームから退場する際に行われる認証処理は変更しなくてもよい。

図１７は、図１１のステップ１１１４で記録されたログの例を示している。図１７のログは、変更前生体情報、変更前スコア、及び変更後生体情報を含む。変更前生体情報は、ステップ１１０５における書き換え対象のＩｎｄｅｘＡに対応する登録生体情報を表し、変更前スコアは、書き換え前のスコアを表す。また、変更後生体情報は、ステップ１１１２における登録先のＩｎｄｅｘＡに対応する登録生体情報を表す。

図１７のログは、生体情報テーブル６０１に登録された生体情報のうち、登録生体情報Ｒｄ−Ｂと登録生体情報Ｒｄ−Ｄとが類似しており、それらの間で誤照合が発生したことを示している。このようなログを一定期間蓄積することで、誤照合が発生しやすい登録生体情報の組み合わせを特定することができる。

例えば、蓄積された複数のログの中で、出現頻度の高い登録生体情報の組み合わせでは、２つの登録生体情報の類似度が高く、誤照合が発生しやすいと考えられる。また、出現頻度の低い登録生体情報の組み合わせでは、２つの登録生体情報の類似度が低く、誤照合が発生しにくいと考えられる。したがって、蓄積された複数のログを分析することで、登録生体情報の間の類似性の偏りを抽出し、類似性の偏りに基づいて登録生体情報の閾値を変更することが可能になる。

図１８は、このようなログ分析処理の例を示すフローチャートである。このログ分析処理は、例えば、バッチ処理として実行される。まず、判定部２１２は、登録生体情報の組み合わせ毎に、ログの出現頻度を計算する（ステップ１８０１）。

分析対象のＭ個のログの中に、登録生体情報αと登録生体情報βの組み合わせがｍ（α，β）個含まれている場合、その組み合わせの出現頻度Ｆ（α，β）は、例えば、次式により計算することができる。
Ｆ（α，β）＝ｍ（α，β）／Ｍ （１）

次に、判定部２１２は、所定値を超える出現頻度を持つ登録生体情報の組み合わせを抽出し（ステップ１８０２）、登録生体情報の組み合わせが抽出されたか否かをチェックする（ステップ１８０３）。

所定値を超える出現頻度を持つ登録生体情報の組み合わせが抽出された場合（ステップ１８０３，ＹＥＳ）、生体情報テーブル６０１において、抽出された２つの登録生体情報の閾値をより大きな値に変更する（ステップ１８０４）。これにより、認証成功の基準を厳しくして、誤照合が発生する可能性を低減することができる。

次に、判定部２１２は、所定値以下の出現頻度を持つ登録生体情報の組み合わせを抽出し（ステップ１８０５）、登録生体情報の組み合わせが抽出されたか否かをチェックする（ステップ１８０６）。なお、所定値以下の出現頻度を持つ登録生体情報の組み合わせには、分析対象のＭ個のログの中に存在しない登録生体情報の組み合わせも含まれる。

所定値以下の出現頻度を持つ登録生体情報の組み合わせが抽出された場合（ステップ１８０６，ＹＥＳ）、生体情報テーブル６０１において、抽出された２つの登録生体情報の閾値をより小さな値に変更する（ステップ１８０７）。これにより、認証成功の基準を緩めて、認証効率を向上させることができる。

所定値を超える出現頻度を持つ登録生体情報の組み合わせが抽出されなかった場合（ステップ１８０３，ＮＯ）、判定部２１２は、ステップ１８０５以降の処理を行う。また、所定値以下の出現頻度を持つ登録生体情報の組み合わせが抽出されなかった場合（ステップ１８０６，ＮＯ）、判定部２１２は、ログ分析処理を終了する。

例えば、図６の生体情報テーブル６０１において、図１９に示すように、登録生体情報Ｒｄ−Ｂの閾値“６”が閾値“９”に変更され、登録生体情報Ｒｄ−Ｄの閾値“７”が閾値“９”に変更された場合を想定する（ステップ１８０４）。そして、ユーザＤの生体情報Ｖｄ−Ｄを認証対象として認証処理が行われ（ステップ１１０１）、生体情報Ｖｄ−Ｄと登録生体情報Ｒｄ−Ａ〜登録生体情報Ｒｄ−Ｚとのスコアとして、計算結果１９０１が得られたものとする。

この場合、いずれの登録生体情報のスコアも、対応する閾値以下であるため、認証が失敗する（ステップ１１０１，ＮＯ）。したがって、生体情報Ｖｄ−Ｄが誤って登録生体情報Ｒｄ−Ｂに対応付けられることがなく、誤照合は発生しない。

このようなログ分析処理によれば、誤照合の発生パターンを学習して誤照合が発生する可能性を低減するとともに、認証効率を向上させることができる。また、ユーザの生体情報の再登録を行うことなく、生体情報テーブル６０１の登録生体情報をそのまま利用することができるため、ユーザの作業負担が少ない。

ユーザのアクセス対象は、セキュリティエリアに限られることはなく、情報処理システム、電子投票システム等の他のアクセス対象であってもよい。

例えば、アクセス対象が情報処理システムである場合、認証装置２０１は、図２０に示すように、ユーザのアクセス状態をログイン前、ログイン中、及びアプリケーション使用中の３つに分類して管理することができる。情報処理システムは、パーソナルコンピュータであってもよく、イントラネット又はインターネット上のサーバであってもよい。アプリケーションは、情報処理システム内で動作するアプリケーションプログラムを表す。ユーザは、情報処理システムにログインした後に、アプリケーションを使用することができる。

このとき、ログイン前、ログイン中、及びアプリケーション使用中に対してそれぞれＬ１、Ｌ２、及びＬ３のセキュリティレベルが付与され、ユーザがアクセス状態を変更する際に認証処理が行われる。

なお、アクセス状態の数は３つに限定されることはなく、２つのみであってもよく、４つ以上であってもよい。例えば、アクセス状態がログイン前とログイン中の２つである場合、セキュリティレベルはＬ１とＬ２の２つのみでよい。また、アクセス状態が４つ以上である場合、セキュリティレベルは４つ以上設けられる。

認証装置２０１は、ユーザがアクセス状態を変更する際に、図７、図９、又は図１１と同様の認証処理を行う。ただし、図７のステップ７０４において、判定部２１２は、ユーザによる情報処理システムへのアクセスを許可する認証結果又は許可しない認証結果を出力する。情報処理システムへのアクセスは、情報処理システムへのログイン、アプリケーションの使用開始等の操作を意味する。

また、図９のステップ９０４において、判定部２１２は、ユーザによるアクセス終了を許可する認証結果又は許可しない認証結果を出力する。アクセス終了は、情報処理システムからのログオフ、アプリケーションの使用終了等の操作を意味する。

アクセス対象が電子投票システムである場合、認証装置２０１は、図２１に示すように、ユーザのアクセス状態を投票前及び投票後の２つに分類して管理することができる。ユーザは、電子投票システムにより投票を行うことで、投票前のアクセス状態から投票後のアクセス状態へ移行する。このとき、投票前及び投票後に対してそれぞれＬ１及びＬ２のセキュリティレベルが付与され、ユーザが投票を行う際に認証処理が行われる。

認証装置２０１は、ユーザが投票を行う際に、図７又は図１１と同様の認証処理を行う。ただし、図７のステップ７０４において、判定部２１２は、ユーザによる電子投票システムへのアクセスを許可する認証結果又は許可しない認証結果を出力する。電子投票システムへのアクセスは、電子投票システムを用いた投票を行う操作を意味する。

図２の認証装置２０１及び図４の認証システムの構成は一例に過ぎず、認証装置２０１の用途や条件に応じて一部の構成要素を省略又は変更してもよい。例えば、アクセス対象が情報処理システム又は電子投票システムである場合は、図４のドア４０２−１、ドア４０２−２、開閉装置４０３−１、及び開閉装置４０３−２は不要である。この場合、センサ４０１−１又はセンサ４０１−２のいずれか一方を省略することができる。

図６、図８、図１０、図１２〜図１７、及び図１９の各テーブル、計算結果、及びログは一例に過ぎず、認証装置２０１の用途や条件に応じて省略又は変更してもよい。例えば、誤照合の検出及び訂正を行わない場合は、認証結果テーブル１００１を省略することができる。

図３、図７、図９、図１１、及び図１８のフローチャートは一例に過ぎず、認証装置２０１の構成や条件に応じて一部の処理を省略又は変更してもよい。例えば、誤照合の検出及び訂正を行わない場合は、図１１の処理を省略することができる。また、ログの分析を行わない場合は、図１１のステップ１１１４の処理と図１８の処理を省略することができる。

図２及び図４の認証装置２０１は、例えば、図２２に示すような情報処理装置を用いて実現可能である。

図２２の情報処理装置は、Central Processing Unit（ＣＰＵ）２２０１、メモリ２２０２、入力装置２２０３、出力装置２２０４、補助記憶装置２２０５、媒体駆動装置２２０６、及びネットワーク接続装置２２０７を備える。これらの構成要素はバス２２０８により互いに接続されている。

メモリ２２０２は、例えば、Read Only Memory（ＲＯＭ）、Random Access Memory（ＲＡＭ）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを格納する。メモリ２２０２は、図２の記憶部２１１として用いることができる。

ＣＰＵ２２０１（プロセッサ）は、例えば、メモリ２２０２を利用してプログラムを実行することにより、図２の判定部２１２として動作する。

入力装置２２０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータからの指示や情報の入力に用いられる。出力装置２２０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータへの問い合わせや処理結果の出力に用いられる。処理結果には認証結果を示す情報が含まれる。

補助記憶装置２２０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。この補助記憶装置２２０５には、ハードディスクドライブも含まれる。情報処理装置は、補助記憶装置２２０５にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。補助記憶装置２２０５は、図２の記憶部２１１として用いることができる。

媒体駆動装置２２０６は、可搬型記録媒体２２０９を駆動し、その記録内容にアクセスする。可搬型記録媒体２２０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。この可搬型記録媒体２２０９には、Compact Disk Read Only Memory（ＣＤ−ＲＯＭ）、Digital Versatile Disk（ＤＶＤ）、Universal Serial Bus（ＵＳＢ）メモリ等も含まれる。オペレータは、この可搬型記録媒体２２０９にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体には、メモリ２２０２、補助記憶装置２２０５、及び可搬型記録媒体２２０９のような、物理的な（非一時的な）記録媒体が含まれる。

ネットワーク接続装置２２０７は、図４の通信ネットワーク４１１に接続され、通信に伴うデータ変換を行う通信インタフェースである。情報処理装置は、ネットワーク接続装置２２０７を介して、開閉装置４０３−１又は開閉装置４０３−２から認証対象の生体情報を受信し、認証結果を開閉装置４０３−１又は開閉装置４０３−２へ送信することができる。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置２２０７を介して受け取り、それらをメモリ２２０２にロードして使用することもできる。

なお、情報処理装置が図２２のすべての構成要素を含む必要はなく、用途や条件に応じて一部の構成要素を省略することも可能である。例えば、情報処理装置が図４の認証装置２０１である場合は、入力装置２２０３及び出力装置２２０４を省略してもよい。

アクセス対象が情報処理システム又は電子投票システムである場合、センサ４０１−１又はセンサ４０１−２から認証対象の生体情報を受信するインタフェースがバス２２０８に接続される。この場合、出力装置２２０４が認証結果を出力することができる。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図２乃至図２２を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、
前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する、
処理をコンピュータに実行させるプログラム。
（付記２）
前記アクセス対象は、第１のアクセス対象と第２のアクセス対象とを含み、前記第２のアクセス対象は、前記第１のアクセス対象よりもセキュリティレベルが高く、前記第１のアクセス対象へのアクセス後にアクセスされ、
前記複数のユーザは、前記第１のアクセス対象のみにアクセス可能な１人以上のユーザと、前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な１人以上のユーザとを含み、
前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な１人以上のユーザは、前記第１のユーザを含み、
前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定し、
前記プログラムは、
前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な前記１人以上のユーザのうち、前記第１のユーザを含む１人以上のユーザによる前記第１のアクセス対象へのアクセスを許可した場合、前記複数の登録生体情報のうち、前記第１のアクセス対象へのアクセスを許可した前記１人以上のユーザの１つ以上の生体情報に対応する１つ以上の登録生体情報と、前記第１のユーザの第３の生体情報との比較結果に基づき、前記第１のユーザによる前記第２のアクセス対象へのアクセスを許可するか否かを判定する処理を、前記コンピュータにさらに実行させることを特徴とする付記１記載のプログラム。
（付記３）
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザを含む前記１人以上のユーザによる前記第１のアクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記１人以上のユーザの前記１つ以上の生体情報に対応する前記１つ以上の登録生体情報を除外した残りの１つ以上の登録生体情報と、前記第２の生体情報との比較結果に基づき、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定することを特徴とする付記２記載のプログラム。
（付記４）
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２の生体情報が前記１つ以上の登録生体情報を除外した前記残りの１つ以上の登録生体情報のいずれにも対応しない場合、除外された前記１つ以上の登録生体情報と前記第２の生体情報との比較結果に基づき、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定することを特徴とする付記３記載のプログラム。
（付記５）
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２の生体情報が前記除外された１つ以上の登録生体情報のうち前記第１の登録生体情報に対応し、前記第２の生体情報と前記第１の登録生体情報との類似度が前記第１の生体情報と前記第１の登録生体情報との類似度より大きい場合、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可することを特徴とする付記４記載のプログラム。
（付記６）
前記アクセス対象はセキュリティエリアであり、
前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザによる前記セキュリティエリアへの入場を許可するか否かを判定し、
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２のユーザによる前記セキュリティエリアへの入場を許可するか否かを判定することを特徴とする付記１記載のプログラム。
（付記７）
前記セキュリティエリアは、第１のセキュリティエリアと第２のセキュリティエリアとを含み、前記第２のセキュリティエリアは、前記第１のセキュリティエリアよりもセキュリティレベルが高く、前記第１のセキュリティエリアから入場可能であり、
前記複数のユーザは、前記第１のセキュリティエリアのみへ入場可能な１人以上のユーザと、前記第１のセキュリティエリアと前記第２のセキュリティエリアの両方へ入場可能な１人以上のユーザとを含み、
前記第１のセキュリティエリアと前記第２のセキュリティエリアの両方へ入場可能な１人以上のユーザは、前記第１のユーザを含み、
前記第１のユーザによる前記セキュリティエリアへの入場を許可するか否かを判定する処理は、前記第１のユーザによる前記第１のセキュリティエリアへの入場を許可するか否かを判定し、
前記プログラムは、
前記第１のセキュリティエリアと前記第２のセキュリティエリアの両方へ入場可能な前記１人以上のユーザのうち、前記第１のユーザを含む１人以上のユーザによる前記第１のセキュリティエリアへの入場を許可した場合、前記複数の登録生体情報のうち、前記第１のセキュリティエリアへの入場を許可した前記１人以上のユーザの１つ以上の生体情報に対応する１つ以上の登録生体情報と、前記第１のユーザの第３の生体情報との比較結果に基づき、前記第１のユーザによる前記第２のセキュリティエリアへの入場を許可するか否かを判定する処理を、前記コンピュータにさらに実行させることを特徴とする付記６記載のプログラム。
（付記８）
前記アクセス対象は情報処理システムであり、
前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザによる前記情報処理システムへのログインを許可するか否かを判定し、
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２のユーザによる前記情報処理システムへのログインを許可するか否かを判定することを特徴とする付記１記載のプログラム。
（付記９）
前記アクセス対象は電子投票システムであり、
前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザによる前記電子投票システムを用いた投票を許可するか否かを判定し、
前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２のユーザによる前記電子投票システムを用いた投票を許可するか否かを判定することを特徴とする付記１記載のプログラム。
（付記１０）
アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部と、
前記記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する判定部と、
を備えることを特徴とする認証装置。
（付記１１）
コンピュータによって実行される認証方法であって、
アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、
前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する、
ことを特徴とする認証方法。

２０１ 認証装置
２１１ 記憶部
２１２ 判定部
４０１−１、４０１−２ センサ
４０２−１、４０２−２ ドア
４０３−１、４０３−２ 開閉装置
４１１ 通信ネットワーク
６０１ 生体情報テーブル
６０２ レベルテーブル
８０１、１２０１、１３０１、１４０１、１５０１、１６０１、１９０１ 計算結果
１００１ 認証結果テーブル
２２０１ ＣＰＵ
２２０２ メモリ
２２０３ 入力装置
２２０４ 出力装置
２２０５ 補助記憶装置
２２０６ 媒体駆動装置
２２０７ ネットワーク接続装置
２２０８ バス
２２０９ 可搬型記録媒体

Claims (7)

1. アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、
   前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する、
   処理をコンピュータに実行させるプログラム。
2. 前記アクセス対象は、第１のアクセス対象と第２のアクセス対象とを含み、前記第２のアクセス対象は、前記第１のアクセス対象よりもセキュリティレベルが高く、前記第１のアクセス対象へのアクセス後にアクセスされ、
   前記複数のユーザは、前記第１のアクセス対象のみにアクセス可能な１人以上のユーザと、前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な１人以上のユーザとを含み、
   前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な１人以上のユーザは、前記第１のユーザを含み、
   前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定し、
   前記プログラムは、
   前記第１のアクセス対象と前記第２のアクセス対象の両方にアクセス可能な前記１人以上のユーザのうち、前記第１のユーザを含む１人以上のユーザによる前記第１のアクセス対象へのアクセスを許可した場合、前記複数の登録生体情報のうち、前記第１のアクセス対象へのアクセスを許可した前記１人以上のユーザの１つ以上の生体情報に対応する１つ以上の登録生体情報と、前記第１のユーザの第３の生体情報との比較結果に基づき、前記第１のユーザによる前記第２のアクセス対象へのアクセスを許可するか否かを判定する処理を、前記コンピュータにさらに実行させることを特徴とする請求項１記載のプログラム。
3. 前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第１のユーザを含む前記１人以上のユーザによる前記第１のアクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記１人以上のユーザの前記１つ以上の生体情報に対応する前記１つ以上の登録生体情報を除外した残りの１つ以上の登録生体情報と、前記第２の生体情報との比較結果に基づき、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定することを特徴とする請求項２記載のプログラム。
4. 前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２の生体情報が前記１つ以上の登録生体情報を除外した前記残りの１つ以上の登録生体情報のいずれにも対応しない場合、除外された前記１つ以上の登録生体情報と前記第２の生体情報との比較結果に基づき、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可するか否かを判定することを特徴とする請求項３記載のプログラム。
5. 前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する処理は、前記第２の生体情報が前記除外された１つ以上の登録生体情報のうち前記第１の登録生体情報に対応し、前記第２の生体情報と前記第１の登録生体情報との類似度が前記第１の生体情報と前記第１の登録生体情報との類似度より大きい場合、前記第２のユーザによる前記第１のアクセス対象へのアクセスを許可することを特徴とする請求項４記載のプログラム。
6. アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部と、
   前記記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する判定部と、
   を備えることを特徴とする認証装置。
7. コンピュータによって実行される認証方法であって、
   アクセス対象にアクセス可能な複数のユーザの複数の登録生体情報を記憶する記憶部を参照して、前記複数の登録生体情報と第１のユーザの第１の生体情報との比較結果に基づき、前記第１のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定し、
   前記第１の生体情報が前記複数の登録生体情報のうち第１の登録生体情報に対応し、前記第１のユーザによる前記アクセス対象へのアクセスを許可した場合、前記複数の登録生体情報から前記第１の登録生体情報を除外した残りの１つ以上の登録生体情報と、第２のユーザの第２の生体情報との比較結果に基づき、前記第２のユーザによる前記アクセス対象へのアクセスを許可するか否かを判定する、
   ことを特徴とする認証方法。

Images