JP2015121874A - 生体認証装置、照合用データ検証方法及び照合用データ検証用コンピュータプログラム - Google Patents

Abstract

【課題】照合用データを追加登録する際に、他人の生体情報を表す照合用データを誤登録しようとしたこと、または他人の生体情報を表す照合用データが誤登録されたことを検知できる照合用データ検証方法を提供する。
【解決手段】照合用データ検証方法は、登録利用者について登録された、生体情報を表す第１の照合用データと、第１の照合用データよりも前に登録されたその登録利用者の第１の照合用データに表された生体情報と同種の生体情報を表す第２の照合用データまたは生体認証処理時におけるその登録利用者の第１の照合用データに表された生体情報と同種の生体情報に基づいて生成された第３の照合用データとを照合し、第１の照合用データに表された生体情報と第２または第３の照合用データに表された生体情報との間の類似度を算出し、類似度に基づいて第１の照合用データに表された生体情報が登録利用者の生体情報か否かを判定することを含む。
【選択図】図６

Description

本発明は、生体認証装置、及び、生体認証装置で利用される照合用データを検証する照合用データ検証方法及び照合用データ検証用コンピュータプログラムに関する。

近年、手または指の静脈のパターン、指紋または掌紋などの生体情報を表した画像といった生体データに基づいて、装置またはシステムの利用者を認証する生体認証技術が開発されている。そのような生体認証技術を利用した生体認証装置は、例えば、生体認証装置を使用しようとする利用者の生体情報を表す生体データを取得する。そして生体認証装置は、その生体データから生成された照合用データに表された利用者の生体情報である入力生体情報を、予め登録された登録利用者の照合用データに表された生体情報である登録生体情報と照合する。生体認証装置は、照合処理の結果に基づいて、入力生体情報と登録生体情報が一致すると判定した場合、その利用者を正当な権限を有する登録利用者として認証する。そして生体認証装置は、認証された利用者が生体認証装置が組み込まれた装置または生体認証装置と接続された他の装置を使用することを許可する。

登録時と照合時における環境の違い、または登録時と照合時における生体情報を取得するセンサに対する生体情報を含む部位のポジショニングの違いなどにより、照合用データ上に表される生体情報は変動する。そのため、利用者が、登録利用者本人であっても、入力生体情報と登録生体情報が一致せず、生体認証装置は、その利用者の認証に失敗してしまうことがある。そこで、互いに異なる複数の環境下で撮影して得られた認証本人の顔情報を顔認証データベースに登録しておき、認証時に撮影された顔情報と、顔認証用データベースに登録された複数の顔情報を１：Ｎ照合する技術が提案されている（例えば、特許文献１を参照）。

しかしながら、特許文献１に記載の技術では、登録された複数の顔情報の何れもが照合処理に適していない場合、登録された何れの顔情報についても、生体認証装置は、照合時に得られた登録利用者本人の顔情報と一致しないと判定するおそれがある。

一方、生体認証システムにテンプレートを追加登録する技術も提案されている（例えば、特許文献２を参照）。特許文献２に開示された生体認証システムは、第一生体情報についての第一テンプレートと第二生体情報についての第二テンプレートを受信する。その生体認証システムは、受信した第一テンプレートと予め登録された利用者の第一テンプレートとの照合結果に基づいて利用者の認証を行い、第一テンプレート及び第二テンプレートを仮登録する。そしてその生体認証システムは、テンプレート受信、認証、及び仮登録を繰り返すことで得られる複数の仮登録第一テンプレートの照合結果から本人確率を算出し、本人確率に基づき第二登録テンプレートを登録するか否かを決定する。

特開２００５−１１５４８１号公報 特開２０１１−１２３５３２号公報

登録利用者について、予め登録されている生体情報と同じ種類の生体情報を表す照合用データを追加登録する際、例えば、管理者が登録利用者の識別情報を誤入力することにより、登録利用者本人でない、他人の照合用データが誤って登録される危険性がある。このような場合、他人が登録利用者として認証を受けることが可能になる、いわゆる他人受入れという認証誤りが発生するおそれがあるので、セキュリティ上好ましくない。また、他人の生体情報を表す照合用データが登録利用者の照合用データとして登録されていても、元々登録されていた登録利用者本人の照合用データが無くなるわけではない。そのため、登録利用者本人については、照合用データの追加登録の前と後とで、認証成功率はほぼ変わらない。したがって、登録利用者本人は、自身の照合用データとして他人の照合用データが登録されていたとしても、そのことに気付き難い。これは、生体認証では一般的に登録テンプレートデータは複数用意され、複数の登録テンプレートに対して算出した類似度（照合用データ同士がどの程度似ているかを表す数値）の内、最大値に基づいて本人認証が行われることと関係している。つまり、複数存在する登録テンプレートデータの中に登録利用者以外の照合用データが混在していたとしても、それ以外の他の登録テンプレートデータが、照合時に取得された利用者の照合用データと高い類似度を示す為、最大類似度のみに着目している場合には、その混在に気付くことができない。

一方、特許文献２に開示された技術では、追加登録されるテンプレートに表された生体情報は、元々照合に利用されているテンプレートに表された生体情報とは異なる生体情報である。そして、複数種類のテンプレートが登録されていれば、各テンプレートが照合に利用される。具体的には、登録されている種類が異なる複数種類のテンプレートに対して、その全ての類似度が所定の値以上の場合にのみ本人と認証される。そのため、仮に、他人の生体情報を表したテンプレートが追加登録された場合には、追加登録されたテンプレートに表された生体情報と、登録利用者の生体情報との相違が大きいために、登録利用者本人が利用者であっても認証されない。したがって、一種類の生体情報についての生体データを追加登録する場合と異なり、誤登録は直に露見する。そのため、特許文献２に開示された技術では、他人の生体情報が表された照合用データを登録利用者の照合用データとして誤って追加登録した場合については想定されていない。そのため、特許文献２に開示された技術は、先に登録されている照合用データに表された生体情報と同種の生体情報を表す照合用データを追加登録する際の誤登録を検出することはできない。

一つの側面では、本発明は、照合用データを追加登録する際に、他人の生体情報を表す照合用データを誤登録しようとしたこと、または他人の生体情報を表す照合用データが誤登録されたことを検知できる照合用データ検証方法を提供することを目的とする。

一つの実施形態によれば、照合用データ検証方法が提供される。この照合用データ検証方法は、登録利用者について登録された、生体情報を表す第１の照合用データと、第１の照合用データよりも前にその登録利用者について登録された、第１の照合用データに表された生体情報と同種の登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、第１の照合用データに表された生体情報と同種の登録利用者の生体情報に基づいて生成された、その登録利用者の生体情報を表す第３の照合用データとを照合し、第１の照合用データに表された生体情報と第２または第３の照合用データに表された生体情報との間の類似度を算出し、類似度に基づいて、第１の照合用データに表された生体情報が登録利用者の生体情報か否かを判定することを含む。

本発明の目的及び利点は、請求項において特に指摘されたエレメント及び組み合わせにより実現され、かつ達成される。
上記の一般的な記述及び下記の詳細な記述の何れも、例示的かつ説明的なものであり、請求項のように、本発明を限定するものではないことを理解されたい。

照合用データを追加登録する際に、他人の生体情報を表す照合用データを誤登録しようとしたこと、または他人の生体情報を表す照合用データが誤登録されたことを検知できる。

第１の実施形態による生体認証装置の概略構成図である。 生体認証装置が有する処理部の機能ブロック図である。 照合履歴テーブルの一例を示す図である。 生体認証処理の動作フローチャートを示す図である。 （ａ）は、登録利用者本人の生体情報を表す照合用データが追加登録されたときの類似度の履歴の一例を表す図である。（ｂ）は、他人の生体情報を表す照合用データが誤って追加登録されたときの類似度の履歴の一例を表す図である。 追加登録データ検証処理の動作フローチャートを表す図である。 変形例による、照合履歴テーブルの一例を示す図である。 追加登録される照合用データとオリジナル照合用データ間の生体情報の類似度と、直近の生体認証処理における、オリジナル照合用データについての類似度の履歴との関係の一例を示す図である。 第２の実施形態による追加登録処理の動作フローチャートを表す図である。

以下、図を参照しつつ、照合用データ検証方法、及び、その照合用データ検証方法を実現する生体認証装置について説明する。
この生体認証装置は、登録利用者の認証成功率を向上するために、登録利用者の生体情報を表す、照合用データの追加登録を可能とする。この生体認証装置は、追加登録された照合用データ（第１の照合用データ）と元々登録されていた照合用データ（第２の照合用データ）とで、別個に生体認証処理の際に生成された照合用データ（第３の照合用データ）との照合処理の結果得られる類似度を記憶する。この生体認証装置は、照合用データの追加登録後に所定回数の生体認証処理が行われると、追加登録された照合用データについての類似度の統計的代表値を算出する。そしてこの生体認証装置は、その統計的代表値が所定の閾値未満となる場合、登録利用者とは異なる他人の生体情報を表す照合用データが誤って追加登録されたと判定する。

本実施形態では、生体認証装置は、生体認証の対象となる生体情報として手のひらの静脈パターンを利用する。しかし、生体認証の対象となる生体情報は、指紋、掌紋、顔または虹彩といった静止画像に表される他の生体情報であってもよく、あるいは、声のように、画像以外の生体データに表される生体情報であってもよい。

また、本明細書において、「照合処理」という用語は、二つの照合データに表された生体情報間の類似度を算出する処理を示すために使用される。また、「生体認証処理」という用語は、照合処理だけでなく、照合処理の結果を利用して、利用者を認証するか否かを決定する処理を含む、認証処理全体を示すために使用される。

図１は、照合用データ検証方法を実現する、第１の実施形態による生体認証装置の概略構成図を示す。図１に示されるように、生体認証装置１は、表示部２と、入力部３と、生体情報取得部４と、通信部５と、記憶部６と、処理部７とを有する。表示部２、入力部３及び生体情報取得部４は、通信部５、記憶部６及び処理部７が収容された筺体とは別個に設けられてもよい。あるいは、表示部２、入力部３、生体情報取得部４、通信部５、記憶部６及び処理部７は、いわゆるノート型パーソナルコンピュータまたはタブレット型端末のように、一つの筺体に収容されてもよい。また生体認証装置１は、磁気ディスク、半導体メモリカード及び光記憶媒体といった記憶媒体にアクセスする記憶媒体アクセス装置（図示せず）をさらに有してもよい。生体認証装置１は、例えば、記憶媒体アクセス装置を介して、記憶媒体に記憶された、処理部７上で実行される生体認証処理または照合用データ検証処理用のコンピュータプログラムを読み込んでもよい。そして生体認証装置１は、そのコンピュータプログラムに従って生体認証処理または照合用データ検証処理を実行してもよい。

生体認証装置１は、生体情報取得部４により利用者の手のひらの静脈パターンを表す生体画像を生成し、その生体画像を用いて生体認証処理を実行する。そして生体認証装置１は、生体認証処理の結果、利用者を登録利用者の何れかとして認証した場合、生体認証装置１が実装されたコンピュータをその利用者が使用することを許可する。あるいは、生体認証装置１は、通信部５を介して、図示しない他の装置へ利用者が認証された旨を表す信号を送信して、その利用者が他の装置を使用することを許可する。

表示部２は、例えば、液晶ディスプレイなどの表示装置を有する。そして表示部２は、例えば、照合に用いられる部位（右手または左手）を示すメッセージ、または生体情報取得部４が適正な生体画像を取得可能な位置へ手を配置させるためのガイダンスメッセージを利用者に対して表示する。また表示部２は、処理部７により実行されたアプリケーションに関連する各種情報などを表示する。

入力部３は、例えば、キーボードと、マウスのようなポインティングデバイスとを有する。そして入力部３を介して利用者により入力された利用者のユーザ名またはユーザ識別番号といったユーザ識別情報、コマンドまたはデータは、処理部７へ渡される。

生体情報取得部４は、本実施形態では、利用者の手のひらの静脈パターンを表す生体画像を生体データとして生成する静脈センサを有する。そのために、生体情報取得部４は、例えば、２次元状に配置された撮像素子アレイと、光学系とを有する。本実施形態では、利用者が手を生体情報取得部４に触れなくても生体画像上に静脈パターンの像が写るように、光学系は、撮像素子アレイ上に生体情報取得部４の表面から所定の距離範囲内に配置された被写体の像を結像する。さらに、生体情報取得部４は、利用者の手を照明するための、赤外発光ダイオードなどの照明光源を有してもよい。
生体情報取得部４は、生体画像を生成する度に、その生体画像を処理部７へ送信する。

通信部５は、通信ネットワーク（図示せず）に生体認証装置１を接続するための通信インターフェース回路を有する。そして通信部５は、処理部７から受け取った、利用者についての使用許可、あるいは認証結果を通信ネットワークを介して他の装置へ送信する。

記憶部６は、例えば、不揮発性の半導体メモリ及び揮発性の半導体メモリを有する。そして記憶部６は、生体認証装置１で使用されるアプリケーションプログラム、少なくとも一人の登録利用者のユーザ識別情報及び個人設定情報、各種のデータ等を記憶する。また記憶部６は、生体認証処理を実行するためのプログラムを記憶する。

さらに記憶部６は、登録利用者それぞれについて、少なくとも一つの照合用データを記憶する。本実施形態では、照合用データは、登録利用者の左右何れかの手のひらの静脈パターンの特徴を表し、例えば、登録利用者の登録時または追加登録時に生成された生体画像から抽出された静脈の端点または分岐点といった特徴点の位置または種別を含む。あるいは、照合用データは、登録利用者の登録時または追加登録時に生成された生体画像そのもの、あるいはその生体画像の一部であってもよい。

特に、生体情報取得部４が非接触式のセンサである場合、登録時、追加登録時または生体認証時における、生体情報取得部４に対する手のポジショニングによって、生体画像上に写る静脈パターンの見た目の写り方も変化する。そして登録時または追加登録時における生体情報取得部４に対する手のポジショニングと、照合時における生体情報取得部４に対する手のポジショニングは必ずしも一致しない。そこで、登録利用者本人が利用者である場合における認証成功率を向上するために、登録利用者ごとに、複数の照合用データが記憶されることが好ましい。

さらに、照合用データごとに、登録利用者の登録時に生成された照合用データか、照合用データの追加登録時に生成された照合用データかを識別するためのカテゴリフラグが関連付けられる。なお、以下では、説明の便宜上、登録利用者の登録時に生成された照合用データをオリジナルの照合用データと呼ぶ。すなわち、本実施形態では、照合用データは、オリジナルの照合用データと追加登録された照合用データの二つのカテゴリに分類される。

また記憶部６は、生体認証処理が実行される度に、登録利用者について元々登録されている照合用データについて算出された類似度と、後から追加登録された照合用データについて算出された類似度とを記録した照合履歴テーブルを記憶する。照合履歴テーブルの詳細については後述する。

処理部７は、１個または複数個のプロセッサ及びその周辺回路を有する。そして処理部７は、生体情報取得部４から取得した、その利用者の生体情報が表された生体画像から生成した照合用データと登録利用者の照合用データを照合することにより生体認証処理を実行する。また処理部７は、登録利用者について照合用データを追加登録するための追加登録処理を実行する。さらに処理部７は、登録利用者について追加登録された照合用データが登録利用者本人の生体情報を表すものか否かを検証するための追加登録データ検証処理を実行する。

図２は、処理部７の機能ブロック図である。図２に示されるように、処理部７は、照合用データ生成部１１と、照合部１２と、認証判定部１３と、照合履歴更新部１４と、追加登録部１５と、検証部１６とを有する。処理部７が有するこれらの各部は、処理部７が有するプロセッサ上で実行されるコンピュータプログラムによって実装される機能モジュールである。あるいは、処理部７が有するこれらの各部は、ファームウェアとして生体認証装置１に実装されてもよい。

処理部７が有するこれらの各部のうち、照合用データ生成部１１は、生体認証処理の実行時、及び、追加登録処理の実行時において使用される。また照合部１２、認証判定部１３及び照合履歴更新部１４は、生体認証処理において使用される。一方、追加登録部１５は、追加登録処理において使用される。さらに、検証部１６は、追加登録データ検証処理において使用される。

（生体認証処理）
先ず、利用者を登録利用者として認証するか否かを判定する生体認証処理について説明する。
本実施形態では、生体認証装置１は、いわゆる１：１認証方式に従って生体認証処理を実行する。そのために、生体認証処理の実行時において、処理部７は、生体情報取得部４から、認証を受けようとする利用者の生体画像を受け取るとともに、入力部３を介して、認証を受けようとする利用者のユーザ識別情報を受け取る。

照合用データ生成部１１は、生体画像から、その生体画像に写っている生体情報の特徴を表す照合用データを生成する。例えば、生体認証装置１がマニューシャマッチングにより照合処理を行う場合、照合用データ生成部１１は、そのマニューシャマッチングで用いられる特徴点（マニューシャと呼ばれる）を生体画像から抽出する。そして照合用データ生成部１１は、その特徴点の位置またはその特徴点の種類を照合用データとする。

照合用データ生成部１１は、生体画像上で手のひらが写っている被写体領域と、手のひらが写っていない背景領域とを区別する。例えば、手のひらが写っている画素の輝度値は、手のひらが写っていない画素の輝度値よりも高い。そこで照合用データ生成部１１は、例えば、被写体判定閾値以上の輝度値を持つ画素の集合を被写体領域とし、被写体判定閾値未満の輝度値を持つ画素の集合を背景領域とする。被写体判定閾値は、例えば、予め設定された固定値（例えば、10）、あるいは生体画像内の各画素の輝度値の平均値に設定される。

次に、照合用データ生成部１１は、被写体領域内で、静脈が写っている画素の集合である静脈領域と静脈が写っていない画素の集合である非静脈領域とを区別する。例えば、静脈が写っている画素の値は、静脈が写っていない画素の値よりも低い。そこで照合用データ生成部１１は、被写体領域内で、例えば、静脈判定閾値以下の画素値を持つ画素の集合を静脈領域とし、静脈判定閾値より大きい画素値を持つ画素の集合を非静脈領域とするよう、被写体領域を２値化する。第２の２値化閾値は、例えば、予め設定された固定値（例えば、150）、被写体領域内の各画素の平均画素値、あるいは、被写体領域に含まれる画素値を判別分析することにより決定された閾値に設定される。

次に、照合用データ生成部１１は、例えば、２値化された被写体領域上で静脈に相当する画素値を持つ画素の集合に対して細線化処理を行って、静脈が細線化された細線化２値画像を生成する。そして照合用データ生成部１１は、静脈の分岐点または端点の何れかに対応する複数のテンプレートを用いて細線化２値画像を走査することにより、何れかのテンプレートと一致するときの細線化２値画像上の位置を検出する。そして照合用データ生成部１１は、検出された位置の中心画素を、マニューシャとして抽出する。

なお照合用データ生成部１１は、静脈の端点及び分岐点をマニューシャとして求める公知の他の方法を用いて、生体画像からマニューシャを抽出してもよい。また、照合用データ生成部１１は、生体画像上で静脈パターンの特徴を表す他の特徴量を照合用データとして求めてもよい。例えば、照合用データ生成部１１は、被写体領域を複数のブロックに分割し、ブロックごとの静脈本数を照合用データとして求めてもよい。

また、生体認証装置１がパターンマッチングにより照合処理を行う場合、照合用データ生成部１１は、生体画像そのもの、あるいは生体画像上の静脈領域を含む一部の領域を生体画像から切り出して、照合用データとしてもよい。さらに照合用データ生成部１１は、生体画像全体または生体画像の一部に対して、エッジ強調処理またはムラ補正処理などを行って得られた画像を照合用データとしてもよい。

照合用データ生成部１１は、照合用データを照合部１２に渡す。なお、追加登録処理の実行時には、照合用データ生成部１１は、照合用データを追加登録部１５に渡す。

照合部１２は、処理部７からユーザ識別情報を受け取ると、そのユーザ識別情報に対応する登録利用者の照合用データを記憶部６から読み込む。なお、登録利用者の照合用データが複数記憶されている場合には、照合部１２は、その複数の照合用データ全てを読み込む。そして照合部１２は、利用者の照合用データ（以下、説明の便宜上、入力照合用データと呼ぶ）と、登録利用者の照合用データ（以下、説明の便宜上、登録照合用データと呼ぶ）とを照合する。そして照合部１２は、登録利用者の照合用データごとに、照合処理の結果として、入力照合用データと登録照合用データ間での生体情報の類似度を求める。

照合部１２は、照合処理として、例えば、マニューシャマッチング、あるいはパターンマッチングを用いることができる。

照合部１２は、マニューシャマッチングを用いる場合、登録照合用データに含まれるマニューシャと、入力照合用データに含まれるマニューシャとの間で一致するマニューシャの個数を求める。そして照合部１２は、その一致する個数を、入力照合用データに含まれる、利用者の静脈パターンについて抽出されたマニューシャの個数で割ることにより、類似度を算出できる。

あるいは、照合部１２は、パターンマッチングを用いる場合、入力照合用データである、生体認証時に取得された利用者の生体画像と登録照合用データである登録利用者の生体画像間の相対的な位置を変えつつ、正規化相互相関値を算出する。そして照合部１２は、その正規化相互相関値の最大値を類似度とする。
なお、照合部１２は、類似度の値を、所定の値の範囲（例えば、0〜100）に含まれるように正規化してもよい。

照合部１２は、登録照合用データのそれぞれについて算出した類似度のうちの最大値を求める。なお、登録照合用データが一つしかない場合には、算出された類似度が類似度の最大値となる。そして照合部１２は、類似度の最大値及び登録利用者のユーザ識別情報を認証判定部１３へ渡す。

さらに、照合部１２は、登録照合用データが属するカテゴリごとに類似度の最大値を求める。すなわち、照合部１２は、オリジナルの登録照合用データについての類似度の最大値Smaxbと、追加登録された登録照合用データについての類似度の最大値Smaxaを求める。そして照合部１２は、Smaxb及びSmaxaを照合履歴更新部１４へ渡す。

認証判定部１３は、照合部１２による照合結果に応じて、利用者を登録利用者として認証するか否かを判定する。本実施形態では、認証判定部１３は、類似度の最大値が認証判定閾値以上となる場合、利用者の生体情報と、照合対象となった登録利用者の生体情報は一致すると判定する。そして認証判定部１３は、利用者を、その登録利用者として認証する。認証判定部１３は、利用者を認証すると、その認証結果を処理部７へ通知する。

一方、認証判定部１３は、類似度の最大値が認証判定閾値未満となる場合、利用者の生体情報と照合対象となった登録利用者の生体情報は一致しないと判定する。この場合には、認証判定部１３は、利用者を認証しない。認証判定部１３は、利用者の認証に失敗したことを示す認証結果を処理部７へ通知する。そして処理部７は、表示部２に、認証結果を表す認証結果情報を表示させる。

認証判定閾値は、登録利用者本人が利用者である場合にのみ、認証判定部１３が認証に成功するような値に設定されることが好ましい。そして認証判定閾値は、登録利用者とは異なる他人が利用者である場合には、認証判定部１３が認証に失敗するような値に設定されることが好ましい。例えば、認証判定閾値は、類似度の取りうる最大値と最小値の差に0.7を乗じた値を、類似度の最小値に加えた値とすることができる。

照合履歴更新部１４は、入力されたユーザ識別情報で特定される登録利用者についての照合履歴テーブルに、Smaxb及びSmaxaを追加することで、照合履歴テーブルを更新する。なお、上述したように、Smaxbは、オリジナルの登録照合用データについて算出された類似度の最大値であり、Smaxaは、追加登録された登録照合用データについて算出された類似度の最大値である。

図３は、照合履歴テーブルの一例を示す図である。照合履歴テーブル３００の各列には、上から順に、生体認証処理ごとの実行時刻、Smaxb及びSmaxaが記録されている。なお、この例では、類似度は、0〜100の値の範囲内の何れかの値となるように正規化されており、照合対象となる二つの生体情報が類似しているほど、類似度は、大きな値となるものとする。例えば、１回目の生体認証処理では、Smaxb=80であり、Smaxa=20である。また２回目の生体認証処理では、Smaxb=70であり、Smaxa=10である。

カテゴリごとに複数の照合用データが含まれる場合、カテゴリごとの類似度の最大値のみを照合履歴テーブルに記録しておくことにより、万が一、照合履歴テーブルが第３者に漏洩した場合でも、ヒルクライム攻撃といった生体認証装置に対する攻撃が防止される。なお、ヒルクライム攻撃とは、疑似的に生成した生体情報を少しずつ変えながら生体認証装置に入力したときの類似度の変化を調べることで、登録されている生体情報と一致する生体情報を見つけ出すことで、不正アクセスを可能にするものである。照合履歴テーブル３００には、個別の照合用データに対する類似度は記録されていないので、例え照合履歴テーブルを閲覧できる第３者がヒルクライム攻撃を行っても、その第３者は、登録利用者の生体情報と一致する生体情報を見つけ出すことは困難である。

図４は、処理部７上で実行されるコンピュータプログラムにより制御される、生体認証処理の動作フローチャートを示す。
図４に示されるように、処理部７は、生体情報取得部４から、認証を求める利用者の生体情報が写った生体画像を取得する。また処理部７は、入力部３から、対象となる登録利用者のユーザ識別情報を取得する（ステップＳ１０１）。照合用データ生成部１１は、生体画像から入力照合用データを生成する（ステップＳ１０２）。照合用データ生成部１１は、入力照合用データを照合部１２へ渡す。

照合部１２は、入力照合用データと、入力されたユーザ識別情報に対応する登録利用者の登録照合用データのそれぞれとの類似度のうちの最大値Smaxを算出する（ステップＳ１０３）。そして照合部１２は、最大値Smax及び登録利用者のユーザ識別情報を認証判定部１３へ渡す。さらに、照合部１２は、オリジナルの登録照合用データについて算出された類似度のうちの最大値Smaxbと、追加登録された登録照合用データについて算出された類似度のうちの最大値Smaxaとを求める（ステップＳ１０４）。照合部１２は、照合履歴更新部１４へその最大値Smaxb、Smaxaを渡す。

認証判定部１３は、照合スコアの最大値Smaxが認証判定閾値Th以上となるか否か判定する（ステップＳ１０５）。照合スコアの最大値Smaxが認証判定閾値Th未満である場合（ステップＳ１０５−Ｎｏ）、認証判定部１３は利用者を認証せず、その旨を表示部２に表示させる（ステップＳ１０６）。一方、照合スコアの最大値Smaxが認証判定閾値Th以上である場合（ステップＳ１０５−Ｙｅｓ）、認証判定部１３は、利用者を登録利用者として認証する（ステップＳ１０７）。
ステップＳ１０６またはＳ１０７の後、照合履歴更新部１４は、入力されたユーザ名またはユーザ識別番号に対応する登録利用者についての照合履歴テーブルに、SmaxbとSmaxaを記録する（ステップＳ１０８）。その後、処理部７は、生体認証処理を終了する。
なお、ステップＳ１０５〜Ｓ１０７の処理と、ステップＳ１０８の処理の順序は入れ替えられてもよく、あるいは、並列に実行されてもよい。またステップＳ１０３の処理とステップＳ１０４の処理の順序は入れ替えられてもよい。

（追加登録処理）
次に、照合用データを追加登録する追加登録処理について説明する。
生体認証装置１を利用しようとする利用者を最初に登録する際に取得された生体画像から生成された照合用データが、照合処理にとって適切でないことがある。例えば、生体情報取得部４に対する、生体情報を含む部位のポジショニングが適切でない場合、得られた生体画像から抽出された照合用データは、登録利用者の生体情報の特徴を適切に表していないことがある。また、生体情報を含む部位の経年変化によって、最初に登録された照合用データに表された生体情報と、生体認証処理の実行時に生成された照合用データに表された生体情報との差異が大きくなることもある。さらに、生体情報と照合処理のアルゴリズムの相性などにより、照合処理において高い類似度が得られない登録利用者もいる。

そこで、認証成功率を高くするために、照合用データの追加登録が行われる。照合用データを追加登録する際、例えば、管理者が、照合用データを追加登録しようとする登録利用者のユーザ識別情報を入力部３を介して入力する。そして生体情報取得部４が、その登録利用者の生体情報を読みとって生体画像を生成し、その生体画像を処理部７へ出力する。
処理部７が生体画像を受け取ると、照合用データ生成部１１は、その生体画像から照合用データを生成し、その照合用データを追加登録部１５へ渡す。

追加登録部１５は、入力部３から、登録利用者のユーザ識別情報を取得する。また追加登録部１５は、照合用データ生成部１１から受け取った照合用データを、その登録利用者の追加登録された照合用データとして、その登録利用者のユーザ識別情報とともに記憶部６に記憶する。さらに追加登録部１５は、追加登録された照合用データに関連付けられたカテゴリフラグの値を、追加登録された照合用データのカテゴリに属することを表す値に設定する。また追加登録部１５は、追加登録された照合用データに、追加登録された日時を表す追加日時情報を関連付けてもよい。

なお、一人の登録利用者について、一度に追加登録される照合用データは、一つとは限られず、複数であってもよい。特に、照合用データの追加登録が必要になるのは、認証成功率が低い登録利用者である可能性が高い。そこで、認証成功率を向上するには、追加登録対象となる登録利用者の生体情報を含む部位、本実施形態では、手のひらのポジショニングを変えながら、生体情報取得部４が、手のひらを複数回撮影して、複数の生体画像を生成する。そして照合用データ生成部１１が各生体画像からそれぞれ照合用データを生成し、追加登録部１５は、各照合用データを追加登録することが好ましい。

（追加登録データ検証処理）
次に、照合用データ検証処理の一例である、追加登録された照合用データが、登録利用者本人のものか否かを検証する追加登録データ検証処理について説明する。
上述したように、照合用データを追加登録する際、例えば、管理者がユーザ識別情報を誤入力することにより、他人の生体情報を表す照合用データが登録利用者の照合用データとして登録されてしまう可能性がある。そこで生体認証装置１は、追加登録データ検証処理を実行することにより、追加登録された照合用データに表された生体情報が登録利用者本人の生体情報か否かを確認できる。

図５（ａ）は、登録利用者本人の生体情報を表す照合用データが追加登録されたときの類似度の履歴の一例を表す図である。一方、図５（ｂ）は、他人の生体情報を表す照合用データが誤って追加登録されたときの類似度の履歴の一例を表す図である。図５（ａ）及び図５（ｂ）において、横軸は時間を表し、縦軸は類似度を表す。そして時刻t0において照合用データが追加登録されたものとする。そしてThは、認証判定閾値である。

図５（ａ）において、グラフ５０１は、オリジナルの照合用データについての類似度の最大値Smaxbの履歴を表す。一方、グラフ５０２は、追加登録された照合用データについての類似度の最大値Smaxaの履歴を表す。オリジナルの照合用データが照合処理に用いるのに適切でない場合、グラフ５０１に示されるように、Smaxbは、認証判定閾値Thを超えたり、超えなかったりする。そのため、認証成功率を向上するために、照合用データが追加登録される。追加登録された照合用データが登録利用者本人の生体情報を表している場合、最初に照合用データが登録されたときと比べて、登録利用者が生体認証装置１の使用に慣れている。そのため、生体情報取得部４に対する生体情報を含む部位のポジショニングが適切となり易い。したがって、グラフ５０２に示されるように、Smaxaは、認証判定閾値Thよりも高くなることが多い。

図５（ｂ）において、グラフ５０１は、オリジナルの照合用データについての類似度の最大値Smaxbの履歴を表す。一方、グラフ５０３は、追加登録された、他人の生体情報を表す照合用データについての類似度の最大値Smaxaの履歴を表す。一般に、異なる人物の生体情報は著しく相違するので、誤って他人の生体情報を表す照合用データが追加登録されていると、グラフ５０３に示されるように、Smaxaは常に低い値となる。

そこで、検証部１６は、照合履歴テーブルを参照して、照合用データの追加登録後における、追加登録された照合用データについての類似度の最大値Smaxaを調べる。そしてSmaxaにより、追加登録された照合用データが登録利用者本人のものか否か判定する。

照合用データが追加登録された登録利用者について、検証部１６は、照合履歴テーブルを参照して、照合用データ追加登録後に行われた、その登録利用者を対象とする生体認証処理の実行回数が所定回数に達したか否か判定する。なお、所定回数は、例えば、１回〜１０回程度に設定される。
照合用データ追加後の生体認証処理の実行回数が所定回数に達している場合、検証部１６は、追加登録された照合用データについての各生体認証処理における類似度の最大値Smaxaの統計的代表値を算出する。本実施形態では、検証部１６は、その統計的代表値として、類似度の最大値Smaxaの平均値Savaを算出する。あるいは、検証部１６は、その統計的代表値として、類似度の最大値Smaxaの中央値を算出してもよい。

検証部１６は、その平均値Savaを検証用閾値と比較し、その平均値Savaが検証用閾値以上であれば、追加登録された照合用データは登録利用者本人の生体情報を表していると判定する。一方、その平均値Savaが検証用閾値未満であれば、検証部１６は、追加登録された照合用データは、登録利用者本人とは異なる他人の生体情報を表していると判定する。なお、検証用閾値は、例えば、認証判定閾値よりも低く、かつ、他人の生体情報同士の類似度の最大値よりも高い値、例えば、類似度の取り得る値の最大値と最小値の平均値に設定される。

検証部１６は、追加登録された照合用データが、登録利用者本人とは異なる他人の生体情報を表していると判定した場合、その登録利用者のユーザ識別情報に、その登録利用者は生体認証装置１を利用できないことを表す禁止フラグを関連付ける。そして入力部３を介して入力されたユーザ識別情報が、禁止フラグが関連付けられたユーザ識別情報と一致する場合には、処理部７は、生体認証処理を実行しない。これにより、生体認証装置１は、他人が登録利用者に成りすまして認証を受けることを防止できる。

また検証部１６は、通信部５を介して、その登録利用者のユーザ識別情報とともに、照合用データの誤登録がなされたことを表す警告情報を、例えば、管理者が使用する機器へ送信する。これにより、管理者は照合用データの誤登録が発生したことを認識できるので、誤登録された照合用データの削除、及び、対応する登録利用者への通知を遅滞なく実行できる。なお、警告情報には、SavaまたはSmaxaなど、類似度に関する情報を含まないことが好ましい。これにより、第３者が警告情報を解析しても、類似度に関する情報が得られないので、ヒルクライム攻撃を実行することが困難となる。

なお、変形例によれば、検証部１６は、追加登録された照合用データが、登録利用者本人とは異なる他人の生体情報を表していると判定した場合、追加登録された照合用データに、使用不能であることを表す無効フラグを関連付けてもよい。この場合には、処理部７は、次回以降の生体認証処理において、追加登録された照合用データを使用せず、オリジナルの照合用データのみを使用すればよい。この変形例では、登録利用者にとってみれば、照合用データの追加登録前の状況と変わらないので、認証成功率は向上されないものの、生体認証装置１を継続して使用できる。そのため、生体認証装置１は、登録利用者に大きな不利益を与えることなく、他人がその登録利用者に成りすまして認証を受けることを防止できる。なお、この変形例でも、検証部１６は、通信部５を介して、その登録利用者のユーザ識別情報とともに、照合用データの誤登録がなされたことを表す警告情報を、例えば、管理者が使用する機器へ送信することが好ましい。

図６は、検証部１６により実行される、追加登録データ検証処理の動作フローチャートである。この追加登録データ検証処理は、生体認証処理が実行される度に実行される。

検証部１６は、照合履歴テーブルを参照して、照合用データの追加登録後に実行された生体認証処理の実行回数が所定回数に達したか否か判定する（ステップＳ２０１）。照合用データの追加登録後に実行された生体認証処理の実行回数が所定回数に達していない場合（ステップＳ２０１−Ｎｏ）、検証部１６は、追加登録データ検証処理を終了する。一方、追加登録後の実行回数が所定回数に達している場合（ステップＳ２０１−Ｙｅｓ）、検証部１６は、照合履歴テーブルを参照する。そして検証部１６は、追加登録された照合用データについて算出された各生体認証処理での類似度の最大値Smaxaの平均値Savaを算出する（ステップＳ２０２）。

検証部１６は、類似度の最大値の平均値Savaが検証用閾値Thc未満か否か判定する（ステップＳ２０３）。類似度の最大値の平均値Savaが検証用閾値Thc未満である場合（ステップＳ２０３−Ｙｅｓ）、検証部１６は、追加登録された照合用データは、他人の生体情報を表すものであると判定する（ステップＳ２０４）。そして検証部１６は、その登録利用者のユーザ識別情報に禁止フラグを関連付けて記憶部６に記憶する。さらに、検証部１６は、通信部５を介して、その登録利用者のユーザ識別情報とともに、照合用データの誤登録がなされたことを表す警告情報を、例えば、管理者が使用する機器へ送信する。

一方、類似度の最大値の平均値Savaが検証用閾値Thc以上である場合（ステップＳ２０３−Ｎｏ）、検証部１６は、追加登録された照合用データは、登録利用者本人の生体情報を表すものであると判定する（ステップＳ２０５）。
ステップＳ２０４またはＳ２０５の後、検証部１６は、追加登録データ検証処理を終了する。

なお、変形例によれば、検証部１６は、照合用データ追加登録後に所定期間（例えば、１週間または１ヶ月）が経過した場合に、ステップＳ２０２以降の処理を実行してもよい。この変形例において、所定期間内に１回も生体認証処理が行われていない場合には、検証部１６は、再度所定期間が経過するまでステップＳ２０２以降の処理の実行を延期してもよい。

以上に説明してきたように、この生体認証装置は、登録利用者の照合用データが追加登録された場合に、何らかのミスによって登録利用者とは異なる他人の生体情報を表す照合用データが追加登録されても、そのことを検出できる。そのため、この生体認証装置は、他人の生体情報を表す照合用データが誤って追加登録されたことにより、その他人が登録利用者本人に成りすまして認証受けることを防止できる。

変形例によれば、照合部１２は、生体認証処理が行われる度に、オリジナルの照合用データの類似度の最大値Smaxbと、追加登録された照合用データの類似度の最大値Smaxaのうちの大きい方のカテゴリフラグの値を照合履歴更新部１４に通知してもよい。
そして照合履歴更新部１４は、照合履歴テーブルに、生体認証処理が行われる度に照合部１２から通知されたカテゴリフラグの値を記録してもよい。

図７は、この変形例による、照合履歴テーブルの一例を示す図である。
照合履歴テーブル７００には、各欄に、オリジナルの照合用データの類似度の最大値Smaxbと、追加登録された照合用データの類似度の最大値Smaxaのうちの大きい方のカテゴリフラグの値が記録されている。例えば、追加登録後の１、３、４回目の生体認証処理では、追加登録された照合用データを表すカテゴリフラグの値（例えば、'1'）が記録されている。一方、２、５回目の生体認証処理では、オリジナルの照合用データを表すカテゴリフラグの値（例えば、'0'）が記録されている。

もし、追加登録された照合用データが登録利用者本人の生体情報を表している場合、追加登録された照合用データに表された生体情報は、少なくとも、オリジナルの照合用データと同程度には照合処理に適している。したがって、生体認証処理が複数回実行されれば、そのうちの少なくとも一回については、追加登録された照合用データの類似度の最大値Smaxaが元の照合用データの類似度の最大値Smaxbよりも高くなると想定される。

そこで検証部１６は、追加登録後の生体認証処理の実行回数が所定回数に達した登録利用者について、照合履歴テーブルを参照する。そして検証部１６は、１度でも、追加登録された照合用データを表すカテゴリフラグの値が記録されていれば、追加登録された照合用データには登録利用者本人の生体情報が表されていると判定する。一方、照合履歴テーブルに、追加登録された照合用データを表すカテゴリフラグの値が１度も記録されていなければ、検証部１６は、追加登録された照合用データには他人の生体情報が表されていると判定する。なお、追加登録された照合用データを表すカテゴリフラグの値が所定の閾値（例えば、１〜２）以下の場合に、検証部１６は、追加登録された照合用データには他人の生体情報が表されていると判定してもよい。

この変形例によれば、照合履歴テーブルには、カテゴリフラグの値しか記録されていないので、万が一、照合履歴テーブルが第３者に知られたとしても、照合履歴テーブルを参照してヒルクライム攻撃を行うことは困難である。そのため、この変形例による生体認証装置は、セキュリティ性をより向上できる。

次に、第２の実施形態による生体認証装置について説明する。第２の実施形態による生体認証装置は、追加登録される予定の照合用データと、オリジナルの照合用データとの間で生体情報の類似度を算出する。そしてこの生体認証装置は、その類似度の値が追加登録許容範囲内に含まれる場合に、追加登録される予定の照合用データに登録利用者本人の生体情報が表されていると判定する。

第２の実施形態による生体認証装置は、第１の実施形態による生体認証装置と比較して、照合部１２、追加登録部１５及び検証部１６が追加登録処理で利用されること、及び照合部１２、追加登録部１５及び検証部１６の機能が異なる。そこで以下では、照合部１２、追加登録部１５及び検証部１６により実行される追加登録処理について説明する。第２の実施形態による生体認証装置のその他の構成要素については、第１の実施形態による生体認証装置の対応する構成要素の説明を参照されたい。また、第２の実施形態では、照合用データ検証処理の他の一例である追加登録処理において、追加登録予定の照合用データの生体情報が登録利用者本人のものか否か判定されるので、追加登録データ検証処理は行われなくてもよい。

照合部１２は、照合用データ生成部１１から追加登録予定の照合用データを受け取ると、その照合用データと、入力部３を介して入力されたユーザ識別情報により特定される登録利用者についてのオリジナルの照合用データとの間で照合処理を実行する。そして照合部１２は、追加登録予定の照合用データに表されている生体情報とオリジナルの照合用データに表されている生体情報間の類似度を算出する。なお、この場合に行われる照合処理は、比較対象となる照合用データ以外に関しては、第１の実施形態における照合処理と同じ処理でよい。

オリジナルの照合用データが複数存在する場合、照合部１２は、追加登録予定の照合用データと各オリジナルの照合用データとの間でそれぞれ照合処理を実行して、オリジナルの照合用データごとに類似度を算出する。そして照合部１２は、その類似度のうちの最大値を求める。また、追加登録予定の照合用データが複数存在する場合、照合部１２は、上記の処理を追加登録予定の照合用データごとに実行する。例えば、記憶部６に、オリジナルの照合用データが３個記憶されており、追加登録予定の照合用データが３個存在する場合、合計９回の照合処理が実行され、追加登録予定の照合用データごとに、類似度の最大値が算出される。そして照合部１２は、追加登録予定の照合用データごとに算出された類似度の最大値の平均値または中央値といった統計的代表値を、追加登録判定値として算出し、その追加登録判定値を検証部１６に通知する。

検証部１６は、追加登録判定値が追加登録許容範囲に含まれているか否か判定する。そして検証部１６は、追加登録判定値が追加登録許容範囲に含まれていれば、追加登録予定の照合用データには、登録利用者本人の生体情報が表されていると判定する。

ここで、照合用データの追加登録が必要となる登録利用者は、元々、認証に失敗し易い登録利用者である可能性が高い。このような登録利用者については、追加登録予定の照合用データについても、生体認証処理時に取得された生体画像から生成された照合用データとの間で算出される類似度が、認証判定閾値を超えないこともあり得る。そこで、例えば、その登録利用者についての直近の過去数回の類似度と追加登録判定値の差が小さい場合に追加登録予定の照合用データを追加登録できるように、追加登録許容範囲は設定されることが好ましい。

例えば、検証部１６は、入力部３を介して入力されたユーザ識別情報により特定される登録利用者の照合履歴テーブルを参照する。そして検証部１６は、直近の過去複数回または直近の所定期間（例えば、１週間〜１ヶ月）内に行われた生体認証処理におけるオリジナルの照合用データについての類似度の最大値Smaxbの平均値Savbと標準偏差σを算出する。検証部１６は、その平均値Savbを中心とする、±2σの類似度の値の範囲を追加登録許容範囲に設定する。

図８は、追加登録される照合用データとオリジナルの照合用データ間の生体情報の類似度と、直近の生体認証処理における、オリジナルの照合用データについての類似度の履歴との関係の一例を示す図である。図８において、横軸は時間を表し、縦軸は類似度を表す。グラフ８０１は、直近の過去数回における、オリジナル照合用データについての類似度の最大値Smaxbを表す。そして２本の点線が挟まれた範囲８０２が追加登録許容範囲を表す。またThは、認証判定閾値である。

追加登録判定値が点８０３で示される値であれば、点８０３は認証判定閾値Thよりも低いものの、追加登録許容範囲８０２に含まれており、追加登録判定値は直近の過去数回の生体認証処理における類似度に近い値である。そこで検証部１６は、追加登録予定の照合用データに表されている生体情報は、登録利用者本人のものであると判定する。そして検証部１６は、追加登録予定の照合用データをユーザ識別情報とともに追加登録部１５に渡す。追加登録部１５は、追加登録予定の照合用データを登録利用者の照合用データとして追加登録する。一方、追加登録判定値が点８０４で示される値であれば、点８０４は、追加登録許容範囲８０２から外れており、追加登録判定値は直近の過去数回の生体認証処理における類似度からも乖離している。そこで、検証部１６は、追加登録予定の照合用データに表されている生体情報は、他人のものであると判定し、追加登録予定の照合用データを廃棄する。

図９は、第２の実施形態による追加登録処理の動作フローチャートを表す図である。
照合用データ生成部１１は、追加登録時に生体情報取得部４により生成された少なくとも一つの生体画像から、それぞれ、追加登録予定の照合用データを生成する（ステップＳ３０１）。そして照合用データ生成部１１は、追加登録予定の照合用データを照合部１２に渡す。

照合部１２は、追加登録予定の照合用データのそれぞれについて、入力部３から入力されたユーザ識別情報により特定される登録利用者のオリジナルの照合用データと照合処理を行うことにより、追加登録判定値を算出する（ステップＳ３０２）。また検証部１６は、その登録利用者の照合履歴テーブルを参照して、直近の所定期間または所定回数の生体認証処理におけるオリジナルの照合用データの類似度に基づいて追加登録許容範囲を設定する（ステップＳ３０３）。

検証部１６は、追加登録判定値が追加登録許容範囲に含まれるか否か判定する（ステップＳ３０４）。追加登録判定値が追加登録許容範囲に含まれる場合（ステップＳ３０４−Ｙｅｓ）、検証部１６は、追加登録予定の照合用データのそれぞれに、登録利用者本人の生体情報が表されていると判定する。そして追加登録部１５は、その追加登録予定の照合用データのそれぞれを、登録利用者の照合用データとして追加登録する（ステップＳ３０５）。
一方、追加登録判定値が追加登録許容範囲に含まれない場合（ステップＳ３０４−Ｎｏ）、検証部１６は、追加登録予定の照合用データのそれぞれに、他人の生体情報が表されていると判定する。そして検証部１６は、その追加登録予定の照合用データのそれぞれを廃棄する（ステップＳ３０６）。また検証部１６は、表示部に、他人の生体情報が表された照合用データが登録されようとしたことを表す警告メッセージを表示させてもよい。
ステップＳ３０５またはＳ３０６の後、生体認証装置は、追加登録処理を終了する。

第２の実施形態によれば、生体認証装置は、追加登録予定の照合用データとオリジナルの照合用データ間の生体情報の類似度が直近の生体認証処理における、オリジナルの照合用データについての類似度と近ければ、追加登録を認める。そのため、この生体認証装置は、認証され難い登録利用者についても照合用データを追加登録できる。さらに、この生体認証装置は、追加登録時において、追加登録予定の照合用データに表されている生体情報が登録利用者本人のものか否かを確認するので、他人の生体情報が表された照合用データが誤って追加登録されるおそれがない。したがって、この生体認証装置は、他人が登録利用者に成りすまして認証を受けることを防止できる。

なお、各登録利用者について、照合用データの追加登録は複数回行われてもよい。この場合には、生体認証装置は、照合用データの追加登録が行われる度に、過去に追加登録された照合用データもオリジナルの照合用データとして扱い、上記の実施形態または変形例に従って、追加登録処理または追加登録データ検証処理を行えばよい。

また他の変形例によれば、生体認証装置は、いわゆる１：Ｎ認証方式によって生体認証処理を実行してもよい。この場合には、照合部１２は、全ての登録利用者の全ての照合用データについて類似度を算出すればよい。そして認証判定部１３は、算出された類似度のうちの最大値が認証判定閾値以上となれば、その最大値に対応する登録利用者として、利用者を認証すればよいい。また照合履歴更新部１４は、算出された類似度のうちの最大値に対応する登録利用者の照合履歴テーブルに、その登録利用者の照合用データに基づいて算出されたSmaxb及びSmaxaを記録すればよい。

さらに他の変形例によれば、生体認証処理部は、登録利用者ごとに、照合履歴テーブルを参照して、類似度が平均的に低い登録利用者を、照合用データを追加登録すべき登録利用者として自動的に抽出してもよい。例えば、処理部は、登録利用者ごとに、直近の所定期間（例えば、１週間〜６ヶ月間）または直近の過去所定回数（例えば、１０回〜１００回）に行われた生体認証処理における、各照合用データの類似度の最大値の平均値を算出する。そして処理部は、その平均値が追加登録推奨判定閾値未満となる登録利用者を抽出し、抽出した登録利用者のユーザ識別情報を記録した追加登録候補者リストを生成する。なお、追加登録推奨判定閾値は、例えば、認証判定閾値に0.9〜1.1を乗じた値とすることができる。管理者は、定期的（例えば、１週間ごと）に追加登録候補者リストを確認することにより、照合用データを追加登録すべき登録利用者を特定できる。そして管理者は、追加登録すべき登録利用者に対して、照合用データの追加登録を促すための通知を行うことができる。あるいは、処理部が、定期的に追加登録候補者リストを参照し、追加登録候補者リストに登録されているユーザ識別情報を持つ登録利用者へ照合用データの追加登録を促すための通知（例えば、eメール）を発送してもよい。これにより、管理者がユーザ識別情報を入力する操作が省略されるので、他人の生体情報を表す照合用データが誤って追加登録される危険性が低下する。

また、追加登録の際の誤りを極力無くすために、処理部７は、１日当たりの追加登録できる登録利用者の人数の上限を、例えば、１〜２人といった少数に抑制してもよい。そして処理部７は、追加登録を促す通知に、追加登録を行える日を記載するとともに、同じ日が指定される登録利用者の数を上記の上限以下とする。これにより、生体認証装置は、管理者が、照合用データの追加登録を行う登録利用者を、他の登録利用者と間違えてユーザ識別情報を誤入力する確率を低減させる。
また処理部７は、照合用データを追加登録しようとしている登録利用者同士のユーザ名またはユーザ識別番号が似ている場合（例えば、１文字しか違わない場合）、それらの登録利用者に対して照合用データの追加登録を行える日を異ならせてもよい。

さらに、本明細書に開示された生体認証装置及び照合用データ検証方法は、利用者が何らかの操作を行うために、利用者の生体情報と、予め登録された生体情報間で生体認証処理を実行する、各種の装置またはシステムに適用可能である。例えば、生体認証装置は、現金自動預け払い機または入退室許可用の入力装置に実装されてもよい。例えば、そのような装置またはシステムには、１台以上の端末とサーバが通信ネットワークを介して接続されたコンピュータシステムが含まれる。この場合、各端末に生体情報取得部が設けられ、その生体情報取得部により取得された生体情報は、サーバへ送信される。そしてサーバは、上記の実施形態の処理部の機能を実行することにより、生体情報の登録処理あるいは生体認証処理を実行する。

さらに、各端末のプロセッサが、上記の各実施形態の処理部の機能のうち、照合用データ生成部の機能を有してもよい、一方、サーバのプロセッサが、照合部、認証判定部、履歴更新部、追加登録部及び検証部の機能を有してもよい。これにより、サーバのプロセッサに対する処理の負荷が軽減できる。
また、上記の各実施形態による処理部の機能をコンピュータに実現させる命令を有するコンピュータプログラムは、不揮発性の半導体メモリ、磁気記録媒体または光記録媒体といった、コンピュータ読取可能な記録媒体に記録された形で提供されてもよい。なお、コンピュータ読取可能な記録媒体には、搬送波は含まれない。

ここに挙げられた全ての例及び特定の用語は、読者が、本発明及び当該技術の促進に対する本発明者により寄与された概念を理解することを助ける、教示的な目的において意図されたものであり、本発明の優位性及び劣等性を示すことに関する、本明細書の如何なる例の構成、そのような特定の挙げられた例及び条件に限定しないように解釈されるべきものである。本発明の実施形態は詳細に説明されているが、本発明の精神及び範囲から外れることなく、様々な変更、置換及び修正をこれに加えることが可能であることを理解されたい。

以上説明した実施形態及びその変形例に関し、更に以下の付記を開示する。
（付記１）
登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出し、
前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する、
ことを含む照合用データ検証方法。
（付記２）
前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録する、
ことをさらに含み、
前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記録された前記第１の照合用データと前記第３の照合用データとの間で算出された前記類似度の統計的代表値を算出し、当該統計的代表値が第１の閾値未満である場合に、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、付記１に記載の照合用データ検証方法。
（付記３）
前記第１の閾値は、前記類似度との比較により認証成功か否かを判定するための第２の閾値よりも低い値に設定される、付記２に記載の照合用データ検証方法。
（付記４）
前記第１の照合用データは複数存在し、
前記類似度を前記照合履歴テーブルに記録することは、前記複数の第１の照合用データのそれぞれについて算出された前記類似度のうちの最大値を前記照合履歴テーブルに記録し、
前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記憶された前記類似度の最大値の平均値を前記統計的代表値として算出する、付記２または３に記載の照合用データ検証方法。
（付記５）
前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で第１の類似度を算出し、かつ、前記第３の照合用データと前記第２の照合用データとの間で第２の類似度を算出し、
前記第１の類似度と前記第２の類似度のうちの大きい方を表す指標を照合履歴テーブルに記録することをさらに含み、
前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記第１の類似度と前記第２の類似度が所定回数算出されたときに、前記第１の類似度の方が前記第２の類似度よりも大きいことを表す指標が前記照合履歴テーブルに一つも記録されていない場合、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、付記１に記載の照合用データ検証方法。
（付記６）
前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定した場合、前記第１の照合用データを無効とすることをさらに含む、付記１〜５の何れかに記載の照合用データ検証方法。
（付記７）
前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報間の類似度を算出することは、前記第１の照合用データと前記第２の照合用データとの間で前記類似度を算出し、
前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記第１の照合用データと前記第２の照合用データ間の前記類似度が所定の許容範囲に含まれる場合、前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定する、付記１に記載の照合用データ検証方法。
（付記８）
前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定された場合に前記第１の照合用データを前記登録利用者の識別情報と関連付けて記憶部（６）に記憶することをさらに含む、付記７に記載の照合用データ検証方法。
（付記９）
前記第３の照合用データが生成される度に、前記第３の照合用データと前記第２の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録することをさらに含み、
前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記録された前記類似度の平均値と標準偏差を算出し、該平均値と該標準偏差に基づいて前記許容範囲を設定する、付記７または８に記載の照合用データ検証方法。
（付記１０）
前記第１の照合用データと前記第２の照合用データ間の前記類似度が前記所定の許容範囲から外れる場合、前記第１の照合用データを廃棄することをさらに含む、付記７〜９の何れかに記載の照合用データ検証方法。
（付記１１）
登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出する照合部と、
前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する検証部と、
を有する生体認証装置。
（付記１２）
前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録する照合履歴更新部をさらに有し、
前記検証部は、前記照合履歴テーブルに記録された前記第１の照合用データと前記第３の照合用データとの間で算出された前記類似度の統計的代表値を算出し、当該統計的代表値が第１の閾値未満である場合に、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、付記１１に記載の生体認証装置。
（付記１３）
前記第１の閾値は、前記類似度との比較により認証成功か否かを判定するための第２の閾値よりも低い値に設定される、付記１２に記載の生体認証装置。
（付記１４）
前記第１の照合用データは複数存在し、
前記照合履歴更新部は、前記複数の第１の照合用データのそれぞれについて算出された前記類似度のうちの最大値を前記照合履歴テーブルに記録し、
前記検証部は、前記照合履歴テーブルに記憶された前記類似度の前記最大値の平均値を前記統計的代表値として算出する、付記１２または１３に記載の生体認証装置。
（付記１５）
前記照合部は、前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で第１の類似度を算出し、かつ、前記第３の照合用データと前記第２の照合用データとの間で第２の類似度を算出し、
前記第１の類似度と前記第２の類似度のうちの大きい方を表す指標を照合履歴テーブルに記録する照合履歴更新部をさらに有し、
前記検証部は、前記第１の類似度と前記第２の類似度が所定回数算出されたときに、前記第１の類似度の方が前記第２の類似度よりも大きいことを表す指標が前記照合履歴テーブルに一つも記録されていない場合、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、付記１１に記載の生体認証装置。
（付記１６）
前記検証部は、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定した場合、前記第１の照合用データを無効とする、付記１１〜１５の何れかに記載の生体認証装置。
（付記１７）
前記照合部は、前記第１の照合用データと前記第２の照合用データとの間で前記類似度を算出し、
前記検証部は、前記第１の照合用データと前記第２の照合用データ間の前記類似度が所定の許容範囲に含まれる場合、前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定する、付記１１に記載の生体認証装置。
（付記１８）
登録利用者の識別情報を取得する入力部と、
前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定された場合に前記第１の照合用データを前記登録利用者の識別情報と関連付けて記憶部に記憶する追加登録部をさらに有する、付記１７に記載の生体認証装置。
（付記１９）
前記第３の照合用データが生成される度に、前記第３の照合用データと前記第２の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録する照合履歴更新部をさらに有し、
前記検証部は、前記照合履歴テーブルに記録された前記類似度の平均値と標準偏差を算出し、該平均値と該標準偏差に基づいて前記許容範囲を設定する、付記１７または１８に記載の生体認証装置。
（付記２０）
前記検証部は、前記第１の照合用データと前記第２の照合用データ間の前記類似度が前記所定の許容範囲から外れる場合、前記第１の照合用データを廃棄する、付記１７〜１９の何れかに記載の生体認証装置。
（付記２１）
登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出し、
前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する、
ことをコンピュータに実行させるための照合用データ検証用コンピュータプログラム。

１ 生体認証装置
２ 表示部
３ 入力部
４ 生体情報取得部
５ 通信部
６ 記憶部
７ 処理部
１１ 照合用データ生成部
１２ 照合部
１３ 認証判定部
１４ 照合履歴更新部
１５ 追加登録部
１６ 検証部

Claims (10)

1. 登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出し、
   前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する、
   ことを含む照合用データ検証方法。
2. 前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録する、
   ことをさらに含み、
   前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記録された前記第１の照合用データと前記第３の照合用データとの間で算出された前記類似度の統計的代表値を算出し、当該統計的代表値が第１の閾値未満である場合に、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、請求項１に記載の照合用データ検証方法。
3. 前記第１の照合用データは複数存在し、
   前記類似度を前記照合履歴テーブルに記録することは、前記複数の第１の照合用データのそれぞれについて算出された前記類似度のうちの最大値を前記照合履歴テーブルに記録し、
   前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記憶された前記類似度の最大値の平均値を前記統計的代表値として算出する、請求項２に記載の照合用データ検証方法。
4. 前記第３の照合用データが生成される度に、前記第３の照合用データと前記第１の照合用データとの間で第１の類似度を算出し、かつ、前記第３の照合用データと前記第２の照合用データとの間で第２の類似度を算出し、
   前記第１の類似度と前記第２の類似度のうちの大きい方を表す指標を照合履歴テーブルに記録することをさらに含み、
   前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記第１の類似度と前記第２の類似度が所定回数算出されたときに、前記第１の類似度の方が前記第２の類似度よりも大きいことを表す指標が前記照合履歴テーブルに一つも記録されていない場合、前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定する、請求項１に記載の照合用データ検証方法。
5. 前記第１の照合用データに表された生体情報は前記登録利用者と異なる人物の生体情報であると判定した場合、前記第１の照合用データを無効とすることをさらに含む、請求項１〜４の何れか一項に記載の照合用データ検証方法。
6. 前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報間の類似度を算出することは、前記第１の照合用データと前記第２の照合用データとの間で前記類似度を算出し、
   前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記第１の照合用データと前記第２の照合用データ間の前記類似度が所定の許容範囲に含まれる場合、前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定する、請求項１に記載の照合用データ検証方法。
7. 前記第１の照合用データに表された生体情報は前記登録利用者の生体情報であると判定された場合に前記第１の照合用データを前記登録利用者の識別情報と関連付けて記憶部に記憶することをさらに含む、請求項６に記載の照合用データ検証方法。
8. 前記第３の照合用データが生成される度に、前記第３の照合用データと前記第２の照合用データとの間で算出された前記類似度を照合履歴テーブルに記録することをさらに含み、
   前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定することは、前記照合履歴テーブルに記録された前記類似度の平均値と標準偏差を算出し、該平均値と該標準偏差に基づいて前記許容範囲を設定する、請求項６または７に記載の照合用データ検証方法。
9. 登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出する照合部と、
   前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する検証部と、
   を有する生体認証装置。
10. 登録利用者について登録された、生体情報を表す第１の照合用データと、前記第１の照合用データよりも前に前記登録利用者について登録された、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報を表す第２の照合用データ、または生体認証処理時における、前記第１の照合用データに表された生体情報と同種の前記登録利用者の生体情報に基づいて生成された、前記登録利用者の生体情報を表す第３の照合用データとを照合し、前記第１の照合用データに表された生体情報と前記第２または第３の照合用データに表された生体情報との間の類似度を算出し、
    前記類似度に基づいて、前記第１の照合用データに表された生体情報が前記登録利用者の生体情報か否かを判定する、
    ことをコンピュータに実行させるための照合用データ検証用コンピュータプログラム。

Images