JP2016040684A - 複合認証システム - Google Patents

Abstract

【課題】近年、例えば人差指での指紋認証に失敗したら親指で試みるとか、あるいは静脈認証を試みるとか、同一人の複数の生体認証手段を用意する傾向がある。それでも多人数と長期間の中では複数の生体認識手段のいずれでも認証できない場合が稀に生じる。本発明はこの稀な場合の救済を意図する。【解決手段】複数の生体認証手段のいずれでも、認証できるレベルの結果が得られない場合であっても、複数の生体認証手段のそれぞれの結果を（個々にではなく）複合的に評価する複合認証を行う。また、複数の生体認証手段のいずれでも、認証できるレベルの結果が得られなかった後に、非生体認証手段に頼る場合にも、その非生体認証手段の結果だけでは認証せず、認証レベルに達しなかった単数または複数の生体認証手段の結果と併せて複合的に評価する複合認証を行う。【選択図】図１

Description

本発明は、生体認証および一部非生体認証の、複数の認証結果を複合的に利用する複合認証システムである。
［背景技術］

指紋センサー付きのパソコンを例にとると、正当な使用者が指紋センサーに指をかざし生体入力データとしての指紋を入力することによってパソコンが立ち上がり使用可能となる。正当な使用者は予め指紋センサーから指紋を登録しておく。具体的には指紋データを圧縮して指紋の特徴データを保存するのが登録である。使用に際して再び指紋データを入力するとその特徴データが抽出され、登録された特徴データと対比して類似度係数が計算される。その類似度係数が予め設定された或るしきい値より高ければ正当な使用者の指紋であると判定され、個人認証がなされ、パソコンは立ち上がる。

類似度係数がしきい値より低い場合は、正当な使用者ではないとみなされる。上記の特徴データを抽出する方法、類似度係数を計算する方法、しきい値の設定などに様々な技術が広く用いられているが、本発明ではその技術は問わない。何らかの技術で計算された類似度係数がしきい値と比較されるものとして扱う。ここでは指紋を例に説明したが、指紋以外の生体認証でも同様で、一般に生体入力データの類似度係数がしきい値と比較される。

再び指紋センサー付きのパソコンを例にとると、1人の使用者が、例えば人差指での認証が出来なかった場合に、親指で試行し、それでも駄目なら中指とか、静脈認証を試行するとか、複数種類の生体入力データを利用する方法がある。そのどれかで認証に成功すればよいという考えのシステム設計が広く用いられている。生体認証以外にICカードや暗証番号などの非生体入力データを使う場合も、そのどれかで認証に成功すればよいというシステム設計が広く用いられている。指紋センサー付きのパソコンを例に説明したが、それ以外における認証に関しても同様である。

特許公開２０１０−９７４６７号公報

■ リスクベース認証
出願人：株式会社野村総合研究所
発明の名称：
リスクベース認証システムおよびリスクベース認証方法
上記［特許文献１］の技術は、認証要求してきた使用者の過去の履歴情報やアクセス元の環境などから、認証のリスクレベルを評価し、それに応じて認証レベルの難易度を変更・調整する。本発明はリスクレベルの評価を要求していない。

特許公開２００９−７１４３０号公報

■ 多要素認証
出願人：日本電信電話株式会社
発明の名称：
多要素認証システム、認証代行装置、端末、多要素認証プログラムおよび多要素認証方法
上記多要素認証という技術が広く行われている。ID／パスワードの他に、端末情報、回線情報など複数の認証情報が全て正常であるという条件で認証を行う技術である。これは単一の認証情報で認証する場合に比べて高い安全性を保証する良い技術である。本発明ではこれら全体を［０００４］の非生体入力データの1種として扱い、生体入力データと共に本発明で利用することも可能である。なお「特許文献２」の技術は、認証代行システムの存在を前提にしてその効率的な使用を目的とする。本発明は認証代行システムを要求しない。

特許第5426403号, US 8,369,583

■ ハイブリッド生体認証
発明の名称：
ハイブリッド生体認証装置、ハイブリッド生体認証方法、ハイブリッド生体認証用コンピュータプログラム
上記［特許文献３］では、１つの生体情報を入力とし、2つ以上の特性の異なる生体認証技術から得られた複数の類似度を総合的に判定し、最終的な類似度を算出する。各認証技術で得られた類似度から、最終的な類似度に変換する際テーブル参照（＋スコア補間）を行っている。本発明はこれとは２つの点で異なる。(1)［特許文献３］の技術は、1つの生体入力データを２つ以上の生体認証技術で検証している。本発明では1つの生体入力データを複数の生体認証技術で検証することを要求していない。１つまたは複数の生体入力データをそれぞれの生体認証技術で類似度係数を求め、生体入力データと同数の類似度係数を複合的に判断して認証する。(2)［特許文献３］の技術で認証できる場合は本発明の対象にならない。つまり［特許文献３］を含む生体認証ではどうしても認証出来ない稀な場合の救済が本発明の目的である。

上記［０００４］の複数の生体入力データのいずれかで認証できれば良いのだが、多数かつ長期間のユーザの中には、経年変化、病気、事故などで、そのどれでも認証できない場合が稀に生じる。その稀な場合の救済手段として、［０００４］の非生体入力データを利用するのが従来の手法であるが、非生体入力データはその手段の盗用の惧れがあり、安全管理の穴になる危険性をはらむ。

本発明の第１態様に係る複合認証システムは、1人が入力する複数の生体入力データを登録データと比較した類似度係数がいずれも、設定したしきい値に達せず、個人認証に失敗した場合に、当該複数の類似度係数の複数の一部または全部を複合的に評価して複合類似度係数を計算し、非正当な個人を排除し正当な個人を認証することを特徴とする。

本発明の第２態様に係る複合認証システムは、1人が入力する1つまたは複数の生体入力データを登録データと比較した類似度係数がいずれも、設定したしきい値に達せず、個人認証に失敗した場合であって、かつ非生体入力データを利用した場合に、当該類似度係数の１つ以上の一部または全部に加えて、非生体入力データが登録データと合致したことをしきい値未満の疑似類似度係数として表現し、これら類似度係数と疑似類似度係数を複合的に評価して複合類似度係数を計算し、非正当な個人を排除し正当な個人を認証することを特徴とする。

複数の生体入力データのいずれでも、認証できるレベルの類似度係数が得られず、認証が得られない稀な使用者のほとんどを救済するために、複数の生体入力データのそれぞれの類似度係数を（個々にではなく）複合的に評価する複合認証を行い、認証するに足るレベルの複合類似度係数を算出することが出来る。

また、複数の生体入力データのいずれでも、認証できるレベルの類似度係数が得られず、認証が得られない稀な使用者が、非生体入力データに頼った場合にも、その非生体入力データの合致だけでは認証せず、認証レベルに達しなかった単数または複数の生体入力データの類似度係数と非生体入力データの合致とを併せて複合的に評価する複合認証を行い、非生体認証手段の盗用による誤認証の危険を格段に抑制しつつ、認証するに足るレベルの複合類似度係数が算出出来る。

本発明の利用法である。 本発明の構成図である。

複数の生体入力データそれぞれの、上記［０００２］の類似度係数が、いずれもしきい値に達せず認証できなかった場合であっても、しきい値以下ながらしきい値に近い類似度係数を得た生体入力データが複数存在する場合には、複合的に判断すれば認定が可能な場合があるという考えが、本発明の根底にある。それを理論的に説明する。

生体入力データ１からの類似度係数をα１、生体入力データ２からの類似度係数をα２、しきい値をβとする。一般性を失うことなく ０＜α１, α２, β＜１の範囲で考えることが出来る。
α１＜β、α２＜βで、いずれもしきい値に達せず、従って認証できなかった場合を考える。
α１, α２＝類似度係数＝正当な使用者だと認証した場合にその判断が正しい確率
(1−α１), (1−α２)＝正当な使用者だと認証した場合にその判断が間違える確率
1 −(1−α１) x (1−α２)＝生体入力データ１と同２の結果を複合判断して
認証した場合にその判断が正しい確率
＝複合類似度係数
となる。複合類似度係数＝1 −(1−α１) x (1−α２) ＞β であれば、認証してよい。例えば、α１＝α２＝0.7, β＝0.9 とすれば、
複合類似度係数＝1 −(1−α１) x (1−α２)＝0.91 ＞β となるので認証する。
例えば親指の類似度係数も人差指の類似度係数も0.7で個々にはしきい値に届かず認証できない場合でも、両方の指が揃って0.7であるということは正当な使用者である蓋然性が極めて高い。これらの情報を複合的に判断すれば充分認証できるということである。逆に非正当な使用者の場合は、例え親指の類似度係数が稀な偶然で0.7になったとしても、人差指まで稀な偶然で0.7を得る確率は極めて小さい。もし人差指が0.4であったら、
複合類似度係数＝１−0.3 x 0.6 =0.82 ＜ β
となり認証されない。

上記では2個の生体入力データを利用する場合を例証したが、何個の生体入力データを使うと良いかは手段の内容に依存する。一般にｎ個を使用するなら
複合類似度係数＝1 −(1−α１) x (1−α２) ...．x (1−αｎ) ＜＞β (n≧2)
の大小を比べればよい。但しｎの値が過大だと、認証が甘くなり過ぎる危険がある。幾つの生体入力データを算入すると最適であるかは、使用する認証技術や複合類似度係数の使い方にも依存するので本発明では断定出来ない。個々の生体入力データ単独での認証を目的として3個以上の生体入力データを採取した場合に、最も類似度係数の高い2個で複合類似度係数を計算するような工夫も可能である。（［請求項２］）

上記［００１１］の非生体入力データの場合は、誤動作の可能性は非常に小さいので、登録データと照合して合致するかしないかが明確に判る。但し盗用によるなりすましの危険がある。そこで本発明では、非生体入力データが登録データと合致した場合でも、それだけでは認証出来ないようにする。（生体入力データで認定可能なら非生体入力データは必要ないので）例え生体入力データの類似度係数がいずれもしきい値に達しなくても、或る程度しきい値に近い値であることと、非生体入力データの合致が両立した時に認証する。具体的には、非生体入力データが合致した場合には疑似類似度係数γを与える。合致しない場合は疑似類似度係数は０である。γはしきい値βより小さい値に設定する。こうすることにより、［００１８］［００１９］の生体入力データの処理と同じ計算で非生体入力データを扱い複合類似度係数を求めることが出来る。例えば、β＝0.9に対して、非生体入力データが合致した場合の疑似類似度係数をγ＝0.7と設定する。１つの生体入力データの類似度係数が α１=0.7 であったとすれば、［００１８］と同様の考え方で
複合類似度係数＝1 −(1−α１) x (1−γ)＝0.91 ＞β
として認証する。もしα１＝0.4であったら
複合類似度係数＝1 −(1−α１) x (1−γ)＝0.82 ＜β
であるから認証しない。このように正当な使用者が残念ながら生体入力データでは認証できず非生体入力データを用いた場合に、複合的判断によって認証される。非正当な使用者が正当使用者の非生体入力データを盗用した場合には、非正当使用者は生体入力データで0.4以上の類似度係数を得ることは難しいから、認証を得ることは出来ない。一般には
複合類似度係数＝1 −(1−α１) x (1−α２) ...．x (1−αｎ) x (1−γ)
(n≧1)
であり、非生体入力データは生体入力データと並列に扱うことができる。（［請求項４］）

複数の非生体認証手段を用いて、複数のいずれでも（例えばICカードでも暗証番号でも）可とするか、または複数の全て（例えばICカードと暗証番号の両方）を要求するか、またはその組合せ（例えば社員証と暗証番号、またはログイン専用ICカードと暗証番号）の場合があり、その選択は安全管理全体の設計思想に依存するので、本発明は関与しない。本発明ではそれらを一括して1個の非生体認証手段として扱い、［００２０］のように１つの疑似類似度係数γを設定する。γを 0 ＜γ＜β の範囲で具体的にどういう値に設定すべきかは、使用する技術や併用する生体入力データの数にも依存するので、本発明では関与しない。

上記［００１８］［００１９］［００２０］の認証方式は数学的には、非生体入力データの登録データとの合致を必要条件として、しかしそれだけでは十分条件とはせず、併せて１つまたは複数の生体入力データが或る条件を満たして初めて認証することと等価である。その或る条件として選択できる１つは、上記［００１８］［００１９］のように複数の生体入力データから複合類似度係数を計算してその大小を問う方法である。（［請求項６］） 或る条件として選択できる他の１つは、１つ以上の生体入力データの類似度係数のうち最高値の１つ、または任意の１つを選んでその大小を問う方法である。（［請求項７］） その大小を問う方法であるが、通常のしきい値βを使用してそれより類似度係数が大きいことを条件にするならば、非生体入力データと無関係に生体入力データだけで認証するのと変わらない。非生体入力データが合致したことを評価すれば、生体入力データについては若干緩和したしきい値β' (β'＜β)で判定しても誤認証のリスクを増加させることにはならない。こういう認証方式も本発明の派生的な応用である。

例えば、β＝0.9に対してβ'＝0.8としよう。このしきい値緩和の条件は、非生体入力データの合致である。1つの生体入力データだけで認証するには、その類似度係数α１≧0.8が必要である。2つの生体入力データであればα１＝α２＝0.6 でも
複合類似度係数＝１−0.4 x 0.4 = 0.84
となり、β=0.9で判定すれば認証出来ないが、β'＝0.8なら認証出来る。このしきい値緩和の条件は、非生体入力データの合致である。
逆に非生体入力データが盗用されて合致した場合であっても、生体入力データでは高い類似度係数を得ることは難しい。例えば1つの生体入力データだけを用いる場合に、α１が0.8未満なら認証されない。2つの生体入力データを用いる場合には、α１＝α２＝0.5であっても、
複合類似度係数＝１−0.5 x 0.5 ＝ 0.75
となり、認証出来ない。これは非生体入力データの合致を必要条件としている限り妥当な判断と言える。β'の値の設定は、使用する技術や使用する生体入力データの数などに依存し一概に決められないので、本発明の埒外とする。

以上の説明で明らかにした理論の典型的な利用方法を［図１］のフローチャートで示し、本発明の位置付けを示す。太線枠の部分が本発明の位置付けであり、その周囲は従来の技術である。まず生体入力データ１の類似度係数α１で認証に成功(OK)すればよいが、不成功(NOK)の場合に、使用者には生体入力データ２の類似度係数α２を試みるか、諦めて非生体入力データに訴えるかの選択がある。生体入力データ２の類似度係数α２単独で認証に成功すればよいが不成功の場合に、同様の選択がある。同様に生体入力データｎの類似度係数αｎまで試みて駄目なら、α１、α２，...αｎの1つまたは一部または全てから複合類似度係数を計算し、認証できればよいが、駄目なら非生体入力データを選ぶしかない。非生体入力データの結果を含めた複合類似度係数を計算して、認証出来ればよいが、駄目な場合は認証出来ないという結論となる。正当な使用者であるにも拘わらず認証出来ない確率は、本発明を使用しない場合に比べて非常に小さくできる。図１の複合認証において、複数の生体入力データから得られた複数の類似度係数を全て算入するか、1つだけ利用するか、高い値の類似度係数を幾つか選んで算入するか、などの選択は、システム設計の領域であり、本発明の要件ではない。但しそれらの選択で認証を甘くしないような選択が必要である。図１は、出来るだけ非生体入力データに頼らず、まず生体入力データで認証するという典型例になっている。しかし［００２５］の１対NのNが大きい場合には、非生体入力データを優先し、その盗用を生体入力データで防ぐという考え方もあり得る。その場合は図１ではなく、非生体入力データの合致をまず調べる利用法となる。

以上の説明では、指紋付きパソコンのような単一の使用者の正当性を認証する例で説明した。入室管理のために入口に備えられた装置のような場合には、使用者が入室許可者１であると認証できるかをまず調べ、否であれば入室許可者２であると認証できるかを次に調べるというように、入室許可者全員N人を調べる。或る人の登録データと比べた時の類似度係数が最も高く、かつしきい値以上となり、別の人の登録データと比べた時の類似度係数が2番目に高いが１番との差が大きければ、前者の人であると認証する方法が広く行われている。即ち単一の使用者の正当性を認証するのと同じ手続きを入室許可者全員について行う。よって本発明はこのような１対Nの応用にも同様に使用出来る。但し当初から本発明の複合認証を適用するか、あるいは図１に例示するように当初は従来の認証を行い、それでは認証出来なかった場合に本発明の複合認証を行うようにするかは、システム設計の領域であって、本発明は直接関わらない。以上が本発明の根拠となる理論である。

図２に本発明の構成図を示す。制御装置は各装置を制御するコンピュータ及びソフトウェアから成る。下段に生体認証装置１、同２、および非生体認証装置が記載されている。生体認証装置は一般には何個あってもよく、例えば生体認証装置１は指紋認証装置、同２は静脈認証装置または虹彩認証装置の如く各種の装置である。非生体認証装置はICカード認証装置、あるいは暗証番号認証装置などデジタル信号の認証装置のうちの1種である。非生体認証装置が複数あることを妨げるものではないが、本発明では［００２１］で述べたように、非生体入力データが幾つあっても1つとみなすから、非生体認証装置が1つの場合を考えておけば一般性を失うことはない。

生体認証装置１、同２、および非生体認証装置の中には、照合装置と類似度係数調整装置と記憶装置が含まれる。照合装置は［０００２］の例証のように、外部からの生体入力データまたは非生体入力データを受け、内部に記憶されている登録データと照合して類似度を計算するハードウェアとソフトウェアを含む。生体入力データに関わる類似度係数調整装置は、照合装置からの類似度の数値を０から１の間の値に揃える。典型的には比例的に数値変換することになるが、任意の関数で数値変換してもよい。但し非生体認証装置の類似度係数調整装置は、正当な使用者の非生体入力データが入力された場合は疑似類似度係数 γ (γ＜β) の値を与え、非正当な使用者の非生体入力データに対しては0 を与える。即ち類似度係数調整装置は、数値変換のソフトウェアを備え、変換後の０から１の範囲の数値が［００１８］［００１９］［００２０］で述べた類似度係数α１、α２、...αｎ、および疑似類似度係数γになる。記憶装置はこれら類似度係数と疑似類似度係数を記憶する。例えば生体認証装置１が指紋認証装置であった場合、親指の類似度係数がα１で、人差指の類似度係数がα２、生体認証装置２が静脈認証装置であった場合、その類似度係数がα３、非生体認証装置の疑似類似度係数がγで、これらが記憶装置に格納された状態を図２は例示している。

本発明によらない従来の認証の場合は、使用者が生体入力データを入力する度に、類似度係数α１、α２、...αｎが次々に類似度係数判定装置に送られ、類似度係数のいずれか１つがしきい値βより大であれば認証成功とする。但し非生体入力データに関してはβに関わらずγ＞０であれば認定成功とする。類似度係数判定装置は、そういう働きをするソフトウェアと一部のハードウェアから成る。この方法によって認証成功が得られれば、本発明は使用されない。しかし［００１１］［００１４］に記載されているように、正当な使用者からの生体入力データであっても、経年変化、病気、事故などにより、この方法では認証出来ない稀な場合がある。その場合には、制御装置の指示によって本発明の複合認証装置が働く。

複合認証装置は、記憶装置とソフトウェアから成り、類似度係数α１、α２、...αｎ、および疑似類似度係数γを同時に受取り、それらから［００１８］［００１９］［００２０］で説明した計算を行って複合類似度係数を求め、それを類似度係数判定装置に送る。類似度係数判定装置は［００２７］と同様にしきい値βとの大小を比較し、βよりも複合類似度係数の方が大きければ認証成功とする。但し非生体入力データの合致を条件として生体入力データの複合類似度係数を評価する［００２２］の場合には、通常のしきい値βより緩和した緩和しきい値β'を使用して認証を行う。

Claims (7)

1人が入力する複数の生体入力データを登録データと比較した類似度係数がいずれも、設定したしきい値に達せず、個人認証に失敗した場合に、当該複数の類似度係数の複数の一部または全部を複合的に評価して複合類似度係数を計算し、非正当な個人を排除し正当な個人を認証する複合認証システム。

評価する複数の類似度係数を０＜α１、α２...αｎ＜１とした時、複合類似度係数を計算式
1 −(1−α１) x (1−α２) ...．x (1−αｎ) （ｎ≧２）とする請求項１の複合認証システム。

1人が入力する1つまたは複数の生体入力データを登録データと比較した類似度係数がいずれも、設定したしきい値に達せず、個人認証に失敗した場合であって、かつ非生体入力データを利用した場合に、当該類似度係数の１つ以上の一部または全部に加えて、非生体入力データが登録データと合致したことをしきい値未満の疑似類似度係数として表現し、これら類似度係数と疑似類似度係数を複合的に評価して複合類似度係数を計算し、非正当な個人を排除し正当な個人を認証する複合認証システム。

評価する１つ以上の類似度係数を０＜α１、α２...αｎ＜１ (n ≧1)とし、疑似類似度係数を
０＜γ＜（しきい値）＜１ とした時、複合類似度係数を計算式
1 −(1−α１) x (1−α２) ...．x (1−αｎ) x (1−γ) （ｎ≧１）とする請求項３の複合認証システム。

非生体入力データが登録データと合致することだけでは個人認証をせず、加えて１つまたは複数の生体入力データの類似度係数を参照して複合的に個人認証する複合認証システムであって、当該生体入力データの類似度係数がそれぞれ単独では個人認証出来ないレベルであっても、また請求項１又は請求項２の方法でも個人認証出来ないレベルであっても、非生体入力データの合致を必要条件として、生体入力データの類似度係数の判定に用いるしきい値を若干緩和した緩和しきい値で判定することにより、非正当な個人を排除し正当な個人を認証する複合認証システム。

評価する複数の類似度係数を０＜α１、α２...αｎ＜１ (n ≧ 2)とした時、複合類似度係数を計算式
1 −(1−α１) x (1−α２) ...．x (1−αｎ) （ｎ≧２）とする請求項５の複合認証システム。

生体入力データのいずれか1つの類似度係数を判定に用いる請求項５の複合認証システム。

Images