JP3827600B2

JP3827600B2 - 個人認証方法および装置

Info

Publication number: JP3827600B2
Application number: JP2002084998A
Authority: JP
Inventors: 堅司近藤; 謙也魚森
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 2001-04-17
Filing date: 2002-03-26
Publication date: 2006-09-27
Anticipated expiration: 2022-03-26
Also published as: JP2003030154A

Description

【０００１】
【発明の属する技術分野】
本発明は、生体情報を利用して個人認証を行う技術に関するものであり、特に、複数種類の生体情報から統合的に認証を行う技術に属する。
【０００２】
【従来の技術】
近年、ネットワークを利用した電子商取引の発展や、物理的なセキュリティを必要とするスペースへの入出管理の重要性の増大などから、個人認証技術が注目されている。個人認証技術の中でも、特に、人間の生体特徴の情報を用いて個体識別を行う方法（Biometrics）が脚光を浴びており、利用可能な生体特徴として、指紋、虹彩、網膜上の血管パタン、顔、声紋などが提案されている。
【０００３】
しかしながら、各種のバイオメトリクス個人認証を単独で用いる場合には、
（１）認証性能の限界
（２）認証に用いる生体箇所の傷害などにより、特定の利用者が使用不能
という問題が存在する。
【０００４】
（１）の問題に関しては、複数の生体情報を統合して認証性能を向上させる方法がいくつか提案されている（特開平８−１６７８８号公報，特開平１１−２５３４２６号公報，特開平１１−３０６３５１号公報，特開２０００−２４２７８６号公報等参照）。
【０００５】
特開平８−１６７８８号公報は、被認証者から複数の生体情報を取得し、読み取った特徴パラメータを複数のカテゴリに分割し、分割した各カテゴリをその個人の特徴の現れ易さに応じて重み付けして統合し、統合結果を閾値と比較して本人確認を行うものである。
【０００６】
特開平１１−２５３４２６号公報は、生体特徴照合部毎の照合スコアの個数を次元数とした照合スコアベクトルを生成し、ベクトル空間で線形識別、二次識別、ニューロ、統計的な確率を用いて、「正当」または「不当」のいずれかのカテゴリに分類するものである。
【０００７】
特開平１１−３０６３５１号公報は、生体特徴照合部毎の複数の照合スコアを確率を用いて正規化し、それらの確率の重み付き和、重み付き積を利用して統合するものである。
【０００８】
特開２０００−２４２７８６号公報は、「正当」または「不当」に相当する、生体特徴照合部毎の複数の認証結果に対し、論理和、論理積を利用して統合するものである。
【０００９】
【発明が解決しようとする課題】
上述の従来技術は、全て、複数の生体情報から判定された認証結果をいかにして統合するか、という点に焦点を当てたものである。すなわち、複数の生体情報を併せて利用するいわゆる「マルチモーダル認証」に関する技術ではあるが、利用する生体情報の種類は予め定められており、かつ、認証時には全ての生体情報を常に取得することが前提とされている。特開平８−１６７８８号公報の例では、個人の特徴が現れにくいカテゴリについては、重み付けによって結果的に認証基準には反映されないような仕組みが採用されているが、認証時には、全ての生体情報を入力することが前提となっている。
【００１０】
ここで、上述の（２）の問題、すなわち「特定の利用者がある生体情報を使えない」ことを考える。
【００１１】
仮に、利用者が指紋認証に適さない指をしている場合（例えば、薬品や摩擦などによって指紋パタンが薄い、または、半導体指紋センサに不向きな乾燥肌である、など）、従来技術によると、利用者は、自分の指紋が認証に向かないことも知らされず、認証時には、認証装置によって定められた「指紋」を含む複数の生体情報を必ず入力しなければならない。これは、利用者の利便性を損なうことになる。
【００１２】
また、利用者の一部の生体情報が認証に適さなかったり、外傷などによってある生体情報が一時的に使用不能な場合に、入力する生体情報の種類を減らしたとすると、複数の生体情報を組み合わせて認証性能を向上させる「マルチモーダル認証」本来の効果が得られにくくなり、認証性能が低下するおそれがある。
【００１３】
さらに、例えば騒音下での「声紋」入力のように、特定の環境下においてある生体情報が入力困難である場合に、入力する生体情報の種類を減らしたときにも、同様の問題が生じ、認証性能が低下するおそれがある。
【００１４】
前記の問題に鑑み、本発明は、複数種類の生体特徴が利用可能な個人認証において、利用者の利便性を向上し、また、認証性能の低下による影響を未然に抑制することを課題とする。
【００１５】
【課題を解決するための手段】
前記の課題を解決するために、請求項１の発明が講じた解決手段は、生体情報を用いて個人認証サーバが以下のステップを実行し個人認証を行う方法として、少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と、認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを、格納した生体特徴データベースを用い、かつ、前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得するステップと、取得した特徴情報と前記生体特徴データベースに格納された，対応する生体特徴の特徴情報とを用いて認証を行うステップと、取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを用いて、前記生体特徴データベースから認証精度を検索することによって、当該認証における認証精度を求めるステップと、求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定するステップとを備え、超えていないとき、前記被認証者に対し、認証を行うステップを実行することを、拒否するものである。
【００１６】
請求項１の発明によると、認証時には、登録時の全ての生体情報を必ずしも入力する必要はなく、一部の生体情報を入力してもかまわない。このため、利用者は、例えば自己の生体特徴の状況や周囲環境などに応じて、利用する生体情報を柔軟に選択することが可能である。また、一部の生体情報だけを入力した場合でも、入力した生体特徴の組合せにおける認証精度が求められる。このため、認証精度に応じて、被認証者の動作を制御することが可能になり、認証性能の低下による影響を未然に抑制することができ、誤認証した場合の損害を最小限に抑えることができる。
【００１７】
そして、請求項２の発明が講じた解決手段は、生体情報を用いて個人認証サーバが以下のステップを実行し個人認証を行う方法であって、少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを格納した生体特徴データベースを用い、かつ、前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得するステップと、取得した特徴情報と、前記生体特徴データベースに格納された、対応する生体特徴の特徴情報とを用いて認証を行うステップと、取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを検索のためのキーとして用いて、特定した生体特徴の組合せに対応する認証精度を前記生体特徴データベースから検索することによって、当該認証における認証精度を求めるステップと、前記被認証者に、利用する生体特徴を選択させるステップと、求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定するステップとを備え、超えていないとき、前記被認証者に、生体特徴の再選択要求を通知するものとする。
【００３２】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して説明する。
【００３３】
図１は本発明に係る個人認証の技術的特徴を概念的に示す図である。図１に示すように、本発明では、登録時において、登録する人物毎に、複数種類の生体特徴の情報から特徴情報を抽出する。このとき、各生体情報から抽出した特徴情報の組み合わせ毎に「認証精度」を推定し、その「認証精度」を保持しておく。ここで、「認証精度」とは、ある人物が、ある特徴情報（の組み合わせ）を用いる場合にどの程度安定して他人と区別可能かどうかを表す指標のことであり、実際の指標の例については後述する。
【００３４】
一方、認証時においては、認証時に取得可能な生体情報について特徴情報を抽出し、登録時の特徴情報と比較して、個人認証を行う。このとき、利用する生体特徴の組み合わせについて登録時に推定しておいた認証精度を利用し、被認証者の動作を制御する。これにより、認証時に利用可能な生体特徴が少なく、認証精度が低い場合であっても、認証性能の低下による影響を未然に抑制することができ、誤認証した場合の被害を最小限に抑えることができる。
【００３５】
（第１の実施形態）
図２は本発明の第１の実施形態に係る個人認証システムの概略構成図である。図２において、個人認証装置としての個人認証サーバ１１は複数の人物の生体特徴データを格納する生体特徴データベース（ＤＢ）１２を有し、インターネット、専用線、公衆回線などのネットワーク網１３に接続されている。また、登録時に生体特徴の情報を入力するための生体特徴登録装置１４や、認証時に生体特徴の情報を入力するための個人認証端末１５が、ネットワーク網１３に接続されている。
【００３６】
個人認証サーバ１１は、利用する地域毎や機関毎に複数設置されていたり、負荷を分散するためのミラーサーバを含めて複数設けられてもよい。また、生体特徴ＤＢ１２は、ネットワーク網１３を介して個人認証サーバ１１に接続されていてもよい。さらに、生体特徴登録装置１４の機能は個人認証サーバ１１に内蔵されていてもよいし、個人認証端末１５が登録と認証の双方の機能を有していてもよい。また、個人認証端末１５が複数ある場合、それらの仕様（内蔵された入力デバイスの種類など）は必ずしも同一でなくてよい。
【００３７】
図３および図４は本実施形態に係る個人認証方法における登録時と認証時の処理の流れをそれぞれ示すフローチャートである。以下、本実施形態に係る個人認証の処理の流れについて、登録時と認証時とに分けて説明する。
【００３８】
＜登録時＞
図３に示すように、登録時には、まず、生体特徴登録装置１４によって、登録者の複数種類の生体特徴の情報を入力する（ＳＡ０１）。本実施形態では、「指紋」「虹彩」「顔」「声紋」「筆跡」の５種類の生体特徴の情報を入力するものとする。生体特徴登録装置１４には、各生体特徴向けの入力デバイスが予め設けられている。例えば、「指紋」には半導体式（または光学式）指紋スキャナなどが用いられ、同様に、「虹彩」「顔」には照明とカメラなどが、「声紋」にはマイクなどが、そして「筆跡」にはタブレットなどが用いられる。
【００３９】
次に、生体特徴登録装置１４は、入力された各生体情報から、認証に用いる特徴情報を抽出する（ＳＡ０２）。ここでの特徴抽出は、それぞれの生体情報について一般的に知られている手法を用いればよい。もちろん、認証システム全体の性能向上のためには、各生体特徴について、それを単独で利用した場合に、より高い認証性能が得られるような特徴抽出手法を用いることが望ましい。
【００４０】
抽出した特徴情報の次元数を、「指紋」「虹彩」「顔」「声紋」「筆跡」についてそれぞれ、ｄ１，ｄ２，ｄ３，ｄ４，ｄ５とする。このとき、総次元数ｄａは、
ｄａ＝ｄ１＋ｄ２＋ｄ３＋ｄ４＋ｄ５
となる。また、これらの特徴情報について、double, float等の浮動少数点形式や整数型など異なる表現形式が混在する場合は、全てを同一の表現形式に統一する。ここでは、全てＮ階調の整数型に変換するものとする。その際、全ての次元について、分散が一定になるように正規化しておく。特徴情報を正規化するのは、各特徴情報において、各次元が全体の識別性能に与える影響を全て均等にするためである。
【００４１】
このような生体情報の入力と特徴抽出（ＳＡ０１，ＳＡ０２）を、登録対象の全ての人に対して行う。抽出された特徴情報は、個人認証サーバ１１に送信される。なお、生体情報から特徴情報を抽出する処理ＳＡ０２は、個人認証サーバ１１が実行してもかまわない。この場合は、生体特徴登録装置１４に入力された生体情報が、個人認証サーバ１１に送信される。
【００４２】
次に、個人認証サーバ１１は、送信された特徴情報に係る生体特徴の各組み合わせ毎に（各特徴情報の単独使用も含む）、認証精度を推定する（ＳＡ０３）。認証精度の推定は、次のようにして行う。
【００４３】
図５はある特徴情報に関する同一人同士の認証距離の分布Ｄ１と他人同士の認証距離の分布Ｄ２とを概念的に示す図である。図５の分布は人毎に作成するため、人物Ｐについて言及すると、分布Ｄ１は人物Ｐ同士の認証距離の分布であり、分布Ｄ２は人物Ｐと人物Ｐ以外の人物全員との認証距離の分布である。ここでいう「認証距離」とは、生体情報から抽出した特徴情報同士を何らかの距離尺度で比較したものである。例えば、特徴情報の組み合わせの総次元数をＤ次元とし、距離尺度をユークリッド距離とすると、Ｄ次元空間内でのユークリッド距離が認証距離となる。本人同士の特徴情報間では認証距離が小さくなり、他人同士の特徴情報間では認証距離が大きくなる。また、特徴情報の各次元が二値表現されている場合は、単純に全てのビットを結合させて得たｄａ次元の二値ベクトルのハミング距離を、認証距離として用いてもよい。
【００４４】
なお、距離の代わりに、類似度や相関値を用いた場合は、本人同士の特徴情報間では大きな値になり、他人同士の特徴情報間では小さな値となる。
【００４５】
また、ｄａ次元空間内で本人と他人を分離するようなニューラルネットワークを学習させ、学習に用いた各データを入力としたときのニューロの出力値から、本人と他人の判定結果の信頼性を表す数値を算出し、その数値（信頼度）を認証距離として用いてもよい。
【００４６】
同様に、ｄａ次元空間内において、本人と他人を区別するような線形識別関数や２次識別関数を算出し、関数の算出に用いた各データとその識別面（超平面）からの距離を認証距離として用いてもよい。単純なユークリッド距離では、各次元を全て同一の重みで取り扱っているのに対し、識別関数を定義すれば、識別に有効な次元とそうでない次元を判別関数の係数によって区別して扱うことができるので、識別には好都合である。
【００４７】
なお、本実施形態では、各生体情報から抽出した特徴情報を結合させた特徴情報を新規に作成し、その特徴情報を用いて本人と他人とを識別するという方式をとった。それに対して、各生体特徴毎に識別を行い（識別は各々について別々の方法でなされてもよい）、それぞれの識別によって得られた認証距離（に準じた値）を正規化した後、正規化後の認証距離を各次元とする認証距離ベクトルを作成し、その認証距離ベクトル空間内で、さらに本人と他人を区別するような距離尺度を定義し、その距離尺度を認証距離として用いてもよい。
【００４８】
また、本人と他人とを識別するための閾値ＴＨを図５に示すように定めた場合、他人の分布Ｄ２のうち、閾値ＴＨよりも認証距離が小さい部分（斜線部分Ａ１）は、他人が本人と誤って受理されてしまう（False Acceptance）場合に相当する。したがって、他人が誤って受理される確率（他人受理率： False Acceptance Rate：ＦＡＲ）は、図５のような分布からある程度“試算”できる。
【００４９】
一方、本人の分布Ｄ１のうち、閾値ＴＨよりも認証距離が大きい部分（斜線部分Ａ２）は、本人が他人と誤って拒絶されてしまう（False Rejection ）場合に相当する。他人受理率ＦＡＲと同様に、本人が他人と誤って拒絶される確率（本人棄却率：False Rejection Rate：ＦＲＲ）も、図５のような分布から“試算”できる。
【００５０】
ここで、“試算”という表現を用いたのは、上述の手法によって試算できるＦＡＲ，ＦＲＲは、登録時に得られた特徴情報の分布から算出されたものであり、認証時におけるＦＡＲ，ＦＲＲとは、当然、異なるものになるからである（登録時の特徴情報の個数が多ければ多いほど、登録時に作成した分布は認証時の分布に近付き、試算したＦＡＲ，ＦＲＲは認証時のＦＡＲ，ＦＲＲを良く推定したものになる）。
【００５１】
なお、ＦＡＲ，ＦＲＲは閾値ＴＨの決め方によって左右され、また、閾値ＴＨは認証目的によって意図的に決定することができる。例えば、他人を絶対に排除したい場合は、本人棄却率ＦＲＲが多少大きくてもよいから閾値ＴＨを小さめに設定すればよい（図５では左方向にずらす）し、本人が棄却されるとユーザインターフェースの観点から非常に使いづらいものとなる場合は、他人受理率ＦＡＲを犠牲にして閾値ＴＨを大きめに設定すればよい（図５では右方向にずらす）。
【００５２】
本実施形態では、図５のような分布において、試算したＦＡＲとＦＲＲとが等しくなる（Ａ１の面積とＡ２の面積とが等しくなる）ように、閾値ＴＨを決定するものとする。もちろん、閾値ＴＨはこれ以外の手法で定めてもよく、例えば、本人の分布Ｄ１と他人の分布Ｄ２とが交わる位置に設定してもよいし、ＦＲＲまたはＦＡＲが予め定めた値になるような位置に設定してもよい。
【００５３】
なお、生体特徴ＤＢ１２に登録されるデータ数が十分に多くないと、図５のように２つの分布Ｄ１，Ｄ２が重ならない場合がある。この場合は、例えば双方の分布をガウス関数のような適当な関数で近似して、重なる部分を作ってから閾値ＴＨを決定してもよい。
【００５４】
また、ここでは、本人同士の分布Ｄ１が利用可能なことを前提にしている。よって、本人の特徴情報は複数個なければならない。複数個の特徴情報を効率良く得るために、カメラを入力デバイスとして用いる場合は、次のような方法を利用することができる。
【００５５】
例えば「顔」の場合は、顔画像を数秒間動画で撮影し、この動画の各フレーム画像を抽出してそれぞれ登録画像として用いれば良い。例えば、３０フレーム／秒のプログレッシブスキャンカメラを用いて３秒間撮影した場合は、のべ９０枚の顔画像が得られる。瞬きの瞬間など不具合のある画像を除いて、これらの画像を登録用の画像として用いることができる。この場合、照明の位置や明るさを変化させながら、または、カメラの位置を微妙に動かしながら、動画撮影を行うことによって、様々な条件下で撮影した場合の顔画像が得られる。
【００５６】
これに対して、マイクを用いる「声紋」やタブレットを用いる「筆跡」などは、複数個の特徴情報を得るためには、生体情報を複数回入力しなければならない。
【００５７】
また、認証を行った都度、本人であると認証済みの特徴情報を生体特徴ＤＢ１２に追加登録することによって、本人の分布Ｄ１を更新することができる。
【００５８】
本実施形態では、対象となる各利用者について、生体情報から抽出した特徴情報の各組み合わせ毎に図５のような分布を作成し、認証精度を推定する。本実施形態では、認証精度として、“１−ＦＡＲ”という値、すなわち、他人が本人として受理されない確率を採用する。なお上述したように、閾値ＴＨはＦＡＲとＦＲＲとが等しくなるように設定しているため、認証精度は実質的に“１−ＦＲＲ”でもある。
【００５９】
そして、「指紋」「虹彩」の組合せ（特徴情報は（ｄ１＋ｄ２）次元）、「指紋」「虹彩」「顔」の３種類の生体特徴の組合せ（特徴情報は（ｄ１＋ｄ２＋ｄ３）次元）など、生体特徴の全ての組合せについて、図５のような認証距離の分布を求め、認証精度（１−ＦＡＲ）を試算する。
【００６０】
このように、各利用者についてそれぞれ、生体特徴の組合せ毎に認証精度を試算するので、例えば、薬品や摩擦のために指紋が薄くなった人は、「指紋」を含む組合せ（例えば「指紋」「虹彩」「顔」）を用いた場合は、「指紋」を含まない組合せ（例えば「虹彩」「顔」）を用いた場合よりも、認証精度が低くなる。この認証精度の低下は、指紋パタンが安定して抽出できないため、図５における本人分布Ｄ１の分布幅が広がってしまい、ＦＲＲが大きくなってしまうことに起因する。
【００６１】
また、偶然にも、本人と似た指紋を有する他人が多い場合も、上述の例と同様に、「指紋」を含まない組合せよりも「指紋」を含む組み合わせの方が、認証精度が低くなる可能性がある。これは、本人と似た指紋を有する他人が多いために、図５の本人分布Ｄ１と他人分布Ｄ２との分布間距離が接近し、ＦＡＲが大きくなってしまうことに起因する。
【００６２】
すなわち、本実施形態によると、生体特徴の各組合せの認証精度から、その利用者に、どの生体特徴の組合せが適しているかを、容易に知ることができる。
【００６３】
そして、個人認証サーバ１１は、試算した認証精度を生体特徴ＤＢ１２に格納する（ＳＡ０４）。図６は生体特徴ＤＢ１２に格納される認証精度情報の一例である。図６ではある人物Ｐについて、生体特徴の組み合わせと認証精度との関係がテーブル形式で表されている（なお図６では、参考のために、認証精度“１−ＦＡＲ”だけでなくＦＡＲの値も示している）。基本的には、生体特徴を数多く組み合わせた方が認証精度が向上すると考えられるが、図６の例では、人物Ｐがたまたま認証に適さない指紋を有しているため、「指紋」単体の認証精度が低く、このため、生体特徴の組合せ中に「指紋」があると認証精度がかえって低下することを示している。
【００６４】
なお、処理ＳＡ０３〜ＳＡ０４は登録時に行う処理であるが、生体特徴ＤＢ１２に新たな特徴情報が追加された場合や、ある人物の登録特徴情報が更新された場合は、全ての人物のデータに関して処理ＳＡ０３〜ＳＡ０４を再実行すれば、新たな特徴情報が反映された認証精度を常に保つことができる。また、登録・更新の度に実行することが計算負荷の増大などの理由で好ましくない場合には、週に１回や月に１回など、定期的に実行してもかまわない。
【００６５】
また例えば、初回登録時には、「指紋」「虹彩」「顔」「声紋」「筆跡」の５種類の生体情報を登録したが、別の生体特徴登録装置１４に掌形入力デバイスが装備されている場合、後日、この生体特徴登録装置１４を介して「掌形」を登録することも可能である。この場合には、「掌形」についてのみ生体情報を入力し（ＳＡ０１）、特徴情報の抽出を行う（ＳＡ０２）。そして、従来の全組み合わせに加えて、「掌形」を合わせた組み合わせの場合の認証精度を全て推定し（ＳＡ０３）、推定した認証精度の格納を行う（ＳＡ０４）。
【００６６】
なお、予め最低限保証すべき認証精度Ｘを決めておいた場合には、試算した認証精度がＸよりも小さい組み合わせは、認証に用いないようにしてもよい。
【００６７】
また、登録終了時に、最低限保証すべき認証精度を満たさない生体特徴の組合せを登録者に通知し、認証対象の利用者一人一人に適した生体特徴を知らしめることも可能である。逆に、認証精度が高い生体特徴の組合せを、その利用者に適した組合せとして通知してもよい。図６の例では、人物Ｐにとって最も有効な生体特徴の組合せとして、「虹彩」「顔」「声紋」「筆跡」を通知する。また、認証精度が高く、その利用者に適した生体特徴の組合せを、パスワードとして、予め設定しておくことも可能である。
【００６８】
＜認証時＞
次に、認証時の処理について、図４のフローチャートに従って説明する。
【００６９】
認証時には、まず、認証を受けようとする利用者（被認証者）は、自己の個人ＩＤの入力と、個人認証端末１５から情報を入力する予定である生体特徴の選択とを行う（ＳＢ０１）。入力された個人ＩＤと選択された生体特徴の種類については、個人認証端末１５から個人認証サーバ１１へ送信される。
【００７０】
ここでは、登録時に利用者毎に通知された，その利用者に最も適した生体特徴の組合せを選択するものとする。この場合、例えば登録時に、認証精度が高い生体特徴の組合せをパスワードとして予め設定しておき、認証時に選択された生体特徴の組合せが、その個人ＩＤのパスワードとして設定された組合せと一致するか否かを判断し、一致しない場合には、認証を行わないようにすることも可能である。
【００７１】
また、利用者が、現在利用可能である生体特徴を自ら選択してもよい。例えば、利用者が、認証を受けようとする際に、たまたま指紋を登録した指に外傷を持っていた場合は、「指紋」を除いて、生体特徴を選択すればよい。
【００７２】
また、周囲環境に応じて、個人認証端末１５が生体特徴の限定を行ってもよい。例えば、個人認証端末１５に備えられたマイクによって認証直前の周囲の音を測定し、周囲の騒音レベルが高いと判断したときは、「声紋」を生体特徴の選択候補から除くようにする。あるいは同様に、個人認証端末１５に備えられたカメラまたは照度センサによって周囲の明度を測定し、測定した明度が予め定めた閾値を超える場合は、日光など外光の影響が大きいと判断して、「顔」「虹彩」を選択候補から除いてもよい。
【００７３】
また、個人認証端末１５に内蔵されたセンサの種類に応じて、生体特徴の限定を行ってもよい。例えば個人認証端末１５が携帯電話型であり、カメラ、指紋センサおよびマイクは備えているが、タブレットを備えていない場合は、「筆跡」を生体特徴の選択候補から除くようにする。
【００７４】
次に、個人認証サーバ１１は、個人認証端末１５から送信された個人ＩＤおよび生体特徴の種類を受信すると、この生体特徴を用いた場合の認証精度を、生体特徴ＤＢ１２に格納された図６に示すような情報を参照して求める（ＳＢ０２）。求められた認証精度は個人認証端末１５に送信されて、利用者に提示される。このとき、認証目的に必要な認証精度のレベル（閾値）を予め決定しておいた場合には、個人認証サーバ１１は、認証精度がその閾値を超えているか否かを判定し、超えていないとき、個人認証端末１５を介して、利用者に対して生体特徴の再選択の要求を通知する。
【００７５】
例えば、周囲の騒音レベルが高いため、「声紋」を除いて生体特徴を選択したが、「声紋」を含めないと認証目的に必要な認証精度が得られない場合は、より静粛な場所における認証を利用者に対して促す。また、外光の影響が大きい環境のため、「顔」「虹彩」を除いて生体特徴を選択したが、「顔」「虹彩」の少なくとも一方を含めないと認証目的に必要な認証精度が得られない場合は、日陰での認証を利用者に対して促す。また、個人認証端末１５がタブレットを内蔵しないために、「筆跡」を除いて生体特徴を選択したが、「筆跡」を含めないと認証目的に必要な認証精度が得られない場合は、タブレットを内蔵する別の個人認証端末１５で認証を行うよう利用者に指示する。
【００７６】
また、求めた認証精度が、認証目的に必要な閾値を超えていない場合には、単に、その利用者の認証自体を、拒絶してもかまわない。
【００７７】
また、求めた認証精度に応じて、認証後に利用者に付与される権限、すなわち「認証レベル」を利用者に提示することもできる。
【００７８】
例えば、認証目的が電子商取引の本人確認である場合、求めた認証精度に応じて、取引金額の上限を決定し、その上限金額を利用者に通知してもよい。また、認証目的が入退室管理の場合には、認証精度に応じて入室可能な部屋を決定し、これを通知してもよいし、あるいは、認証目的がＰＣ等へのログインである場合には、認証精度に応じて実行可能なコマンド（閲覧のみ、書換可能、消去可能など）、またはアクセス可能なサイトやディレクトリを決定し、これらを利用者に提示してもよい。
【００７９】
次に、被認証者は、個人認証端末１５から、選択した各生体情報を実際に入力する（ＳＢ０３）。個人認証端末１５は、入力された被認証者の各生体情報について、特徴情報を抽出する（ＳＢ０４）。抽出された特徴情報は、個人認証端末１５から個人認証サーバ１１へ送信される。
【００８０】
個人認証サーバ１１は、送信された特徴情報と、生体特徴ＤＢ１２に格納された、対応する生体情報の特徴情報とを用いて、認証を行う（ＳＢ０５）。例えば、送信された特徴情報を結合し、結合された特徴情報の特徴空間内において、本人か本人でないかの識別を行う。あるいは、送信された各特徴情報を、対応する登録特徴情報とそれぞれ比較して、認証を行う。またこれとともに、取得した特徴情報に係る生体特徴の組合せを基にして、生体特徴ＤＢ１２を参照して、当該認証における認証精度を求める（ＳＢ０６）。例えば、図６に示すような生体特徴の各組合せと認証精度との関係を示す情報を参照して、認証精度を求める。
【００８１】
そして、被認証者は本人であると判断したとき、個人認証サーバ１１は、求めた認証精度に基づいて、当該認証による認証レベル、例えば、電子商取引の上限金額や、利用可能なコマンドやサイト、または入室可能な部屋について、定める（ＳＢ０７）。その後、認証後の権限を付与する。例えば、ＥＣサーバ１６へ、定めた上限金額に応じたキーを発行する。
【００８２】
以上のように本実施形態によると、認証時には、登録時の全ての生体情報を必ずしも入力する必要はなく、一部の生体情報を入力してもかまわない。このため、利用者は、例えば自己の生体特徴の状況や周囲環境などに応じて、利用する生体情報を柔軟に選択することが可能である。また、一部の生体情報だけを入力した場合でも、入力した生体特徴の組合せにおける認証精度が求められる。そして、この認証精度に応じて認証レベルが定められるので、認証性能の低下による影響を未然に抑制することができ、誤認証した場合の損害を最小限に抑えることができる。
【００８３】
なお、利用する生体特徴を選択する処理ＳＢ０１や、選択した生体情報の組合せに応じた認証精度や認証レベルを提示する処理ＳＢ０２は、省いてもかまわない。
【００８４】
また、生体情報の特徴情報を抽出する処理ＳＢ０４は、個人認証端末１５が実行するものとしたが、個人認証サーバ１１が実行してもかまわない。この場合は、生体情報が、端末１５からサーバ１１へ送信される。
【００８５】
（第２の実施形態）
図７は本発明の第２の実施形態に係る個人認証装置の概略構成図である。図７に示す個人認証装置２０は、機能的には、図２における個人認証サーバ１１、生体特徴ＤＢ１２、生体特徴登録装置１４および個人認証端末１５の機能を一体化したものに相当する。
【００８６】
本実施形態では、図７の個人認証装置２０を、ビルなどの施設の入退室管理に用いるものとして説明を行う。すなわち、複数種類の生体特徴の情報を利用して個人認証を行い、その認証結果に応じて、施設の各部屋への入退室管理（開錠・施錠の操作）を行う。ここでは、第１の実施形態と同様に、「指紋」「虹彩」「顔」「声紋」および「筆跡」の５種類の生体特徴が利用可能であるものとする。
【００８７】
すなわち、個人認証装置２０は、入力部として、指紋用センサ２１、虹彩用カメラ２２ａおよび虹彩用照明２２ｂ、顔用カメラ２３ａおよび顔用照明２３ｂ、声紋用マイク２４、並びに筆跡用タブレット２５を備えている。また、表示部としてのモニタ２６、キーボード２８、および選択入力部としての生体情報選択ボタン２７をさらに備えている。
【００８８】
以下、本実施形態に係る個人認証の処理の流れについて、登録時と認証時とに分けて説明する。なお、おおまかな処理の流れは、第１の実施形態とほぼ同様である。
【００８９】
＜登録時＞
登録時には、この個人認証装置２０の管理者が登録操作を行い、利用者の登録を行う。管理者自体の認証は、キーボード２８によるパスワード入力、または本個人認証装置２０による生体情報を用いた認証によって行う。管理者がキーボード２８によって登録処理の手続きおよび利用者のＩＤ入力を行った後、利用者は複数種類の生体情報を入力する。
【００９０】
次に、入力された各生体情報から、認証に用いる特徴情報を抽出する。特徴抽出方法は、第１の実施形態と同様である。このような生体情報入力および特徴抽出を、登録対象の全ての利用者に対して行う。
【００９１】
次に、生体情報から抽出した特徴情報の各組み合わせ毎に（各特徴情報の単独使用も含む）、認証精度を推定する。認証精度の推定方法は、第１の実施形態と同様である。ここで推定した認証精度は、第１の実施形態の生体特徴ＤＢ１２と同様に、図７の個人認証装置２０内の記憶装置（図示せず）に格納される。
【００９２】
図８は記憶装置に格納された、認証に用いる生体特徴の組合せと認証精度との関係を示す情報の一例である。図８の情報では、認証精度とともに、認証レベルとして、入室可能な部屋が示されている。
【００９３】
＜認証時＞
認証時には、認証を受けようとする利用者は、キーボード２８を利用して自己のＩＤの入力を行い、生体情報選択ボタン２７を利用して、入力予定の生体情報の選択を行う。図９は図７に示す生体情報選択ボタン２７を拡大表示した図である。利用者が、選択する生体情報に対応する選択ボタン２７ｂを押下すると、インジケータ２７ａが点灯し、これにより、選択済の生体情報が確認可能なように構成されている。図９の例では、「虹彩」「顔」「声紋」が選択されている。このように生体情報を選択可能にすることによって、例えば、認証を受けようとする利用者が、たまたま指紋を登録した指に外傷を負っていた場合には、指紋を除いて、他の生体情報を選択することが可能である。
【００９４】
生体情報が選択されると、個人認証装置２０は、登録時に蓄えられた図８に示すような情報を参照して、選択された生体情報を用いた場合の認証レベルを求め、モニタ２６に表示して利用者に提示する。ここでは、「虹彩」「顔」「声紋」が選択されているので、図８の情報から、入室可能な部屋はＢ，Ｃ，Ｄ，Ｅの４つであることが示される。
【００９５】
モニタ２６で認証レベルを確認した利用者は、選択した生体情報を実際に入力する。ここでは、利用者は、虹彩用カメラ２２ａおよび虹彩用照明２２ｂを用いて「虹彩」情報を入力し、顔用カメラ２３ａおよび顔用照明２３ｂを用いて「顔」情報を入力し、さらに、声紋用マイク２４を介して「声紋」情報を入力する。なお、モニタ２６に表示された認証レベルでは不十分である場合には、生体情報を再度選択すればよい。
【００９６】
生体情報が入力されると、個人認証装置２０は、入力された各生体情報の特徴情報を抽出し、すでに登録された特徴情報と比較して、利用者が本人であるか否かの認証を行う。
【００９７】
そして、利用者は本人であると認証した場合は、認証レベルに応じて、利用者の動作を制御する。この場合には、部屋Ｂ，Ｃ，Ｄ，Ｅのロックを解除する。
【００９８】
なお、各利用者は、登録時に告知された、その利用者に最も適した生体特徴の組合せを選択するようにしてもよい。この場合、告知した生体特徴の組合せをパスワードとして個人認証装置２０に予め設定しておき、選択された生体特徴の組合せとパスワードとして設定された組合せとが一致しない場合には、認証を行わないようにすることも可能である。
【００９９】
また、個人認証装置２０が、周囲環境に応じて、使用可能な生体特徴の限定を行ってもよい。例えば、マイク２４によって認証直前の周囲の音を測定し、周囲の騒音レベルが高いと判断したときは、「声紋」を生体特徴の選択候補から除いてもよい。また同様に、カメラ２２ａ，２３ａまたは照度センサ（図示せず）によって測定した明度が予め定めた閾値を超える場合は、日光など外光の影響が大きいと判断し、「虹彩」「顔」を生体情報の選択候補から除いてもよい。この場合、インジケータ２７ａの点灯などによって、選択可能な生体特徴の種類を利用者に確認させることも可能である。
【０１００】
また、モニタ２６などの表示部に、情報入力可能な生体特徴の組合せと認証レベルとの関係を示す情報を表示させてもよい。例えば本実施形態では、認証目的が入退室管理であるので、図８のような情報をモニタ２６に表示して、入室可能な部屋を利用者に通知すればよい。この場合、認証精度は表示しなくてもかまわない。
【０１０１】
また、認証目的が電子商取引の本人確認である場合、図１０に示すような、生体特徴の組合せと商取引の上限金額との関係を、モニタ２６に表示して、利用者に通知することも可能である。さらに、認証目的がＰＣ等へのログインである場合には、生体特徴の組合せと利用可能なコマンド若しくはサイトとの関係をモニタ２６に表示してもよい。
【０１０２】
また、モニタ２６以外の手段、例えばインジケータなどによって、表示部を構成してもかまわないし、選択ボタン２７以外の手段、例えばタッチパネルなどによって選択入力部を構成してもかまわない。
【０１０３】
以上のように本実施形態によると、一体型の個人認証装置によって、第１の実施形態と同様の効果が得られる。また、表示部に、選択された生体特徴の組合せに応じた認証レベルや、情報入力可能な生体特徴の組合せと認証レベルとの関係を示す情報を表示することによって、利用者の利便性を大幅に向上させることができる。
【０１０４】
また、本実施形態に係る表示部や選択入力部を、第１の実施形態で示したような個人認証端末１５に設けることによって、本実施形態と同様に、被認証者の利便性を大幅に向上させることができる。
【０１０５】
なお、上述の各実施形態では、上述の５種類の生体特徴を利用するものとして説明したが、もちろん、網膜、静脈パタン、掌形、掌紋、指形状、耳介、ＤＮＡなど他の生体特徴の情報を利用してもよいし、生体情報に加えて、ＩＣカード、パスワードなど非バイオメトリクスの認証形式を併せて利用してもかまわない。
【０１０６】
【発明の効果】
以上のように本発明によると、利用者は、例えば自己の生体特徴の状況や周囲環境などに応じて、認証時に利用する生体情報を柔軟に選択することが可能である。また、入力した生体情報による認証精度が求められるので、この認証精度に応じて被認証者の動作を制御することが可能になり、認証性能の低下を未然に抑制することができる。
【図面の簡単な説明】
【図１】本発明に係る個人認証の技術的特徴を概念的に示す図である
【図２】本発明の第１の実施形態に係る個人認証システムの概略構成図である。
【図３】本発明の第１の実施形態に係る個人認証方法における登録時の処理の流れを示すフローチャートである。
【図４】本発明の第１の実施形態に係る個人認証方法における認証時の処理の流れを示すフローチャートである。
【図５】ある特徴情報に関する同一人同士の認証距離の分布と他人同士の認証距離の分布とを概念的に示す図である。
【図６】生体特徴の組合せと認証精度との関係を示す情報の一例である。
【図７】本発明の第２の実施形態に係る個人認証装置の外観図である。
【図８】生体情報の組合せと入室可能な部屋との関係を示す情報の一例である。
【図９】図７に示す個人認証装置の生体情報選択ボタンの詳細を示す図である。
【図１０】生体情報の組合せと電子商取引の上限金額との関係を示す情報の一例である。
【符号の説明】
１１個人認証サーバ
１２生体特徴データベース
１５個人認証端末
２０個人認証装置
２１指紋用センサ
２２ａ虹彩用カメラ
２２ｂ虹彩用照明
２３ａ顔用カメラ
２３ｂ顔用照明
２４声紋用マイク
２５筆跡用タブレット
２６モニタ（表示部）
２７生体情報選択ボタン（選択入力部）

Claims

生体情報を用いて個人認証サーバが以下のステップを実行し個人認証を行う方法であって、
少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを格納した生体特徴データベースを用い、かつ、
前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得するステップと、
取得した特徴情報と、前記生体特徴データベースに格納された、対応する生体特徴の特徴情報とを用いて認証を行うステップと、
取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを検索のためのキーとして用いて、特定した生体特徴の組合せに対応する認証精度を前記生体特徴データベースから検索することによって、当該認証における認証精度を求めるステップと、
求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定するステップとを備え、
前記判定するステップにおいて、求めた認証精度が、前記閾値を超えていないとき、前記被認証者に対し、認証を行うステップを実行することを拒否し、
前記認証精度は、他人が前記被認証者として誤って受理されない確率である
ことを特徴とする個人認証方法。
生体情報を用いて個人認証サーバが以下のステップを実行し個人認証を行う方法であって、
少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを格納した生体特徴データベースを用い、かつ、
前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得するステップと、
取得した特徴情報と、前記生体特徴データベースに格納された、対応する生体特徴の特徴情報とを用いて認証を行うステップと、
取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを検索のためのキーとして用いて、特定した生体特徴の組合せに対応する認証精度を前記生体特徴データベースから検索することによって、当該認証における認証精度を求めるステップと、
前記被認証者に、利用する生体特徴を選択させるステップと、
求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定するステップとを備え、前記判定するステップにおいて、求めた認証精度が、前記閾値を超えていないとき、前記被認証者に、生体特徴の再選択要求を通知し、
前記認証精度は、他人が前記被認証者として誤って受理されない確率である
ことを特徴とする個人認証方法。
生体情報を用いて個人認証サーバが個人認証を行う装置であって、
少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを格納した生体特徴データベースと、
前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得する取得部と、
取得した特徴情報と、前記生体特徴データベースに格納された、対応する生体特徴の特徴情報とを用いて認証を行う認証部と、
取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを検索のためのキーとして用いて、特定した生体特徴の組合せに対応する認証精度を前記生体特徴データベースから検索することによって、当該認証における認証精度を求める認証精度検索部と、
求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定する判定部とを備え、
前記判定部において、求めた認証精度が上記閾値を超えていないと判定されたとき、前記認証部は、前記被認証者に対し、認証を行うことを拒否し、
前記認証精度は、他人が前記被認証者として誤って受理されない確率である
ことを特徴とする個人認証装置。
生体情報を用いて個人認証サーバが個人認証を行う装置であって、
少なくとも被認証者を含む人について、複数種類の生体特徴の特徴情報と認証に用いる生体特徴の組合せと認証精度との関係を示す情報とを格納した生体特徴データベースと、
前記被認証者の，前記複数種類のうちの複数の生体特徴に係る特徴情報を取得する取得部と、
取得した特徴情報と、前記生体特徴データベースに格納された、対応する生体特徴の特徴情報とを用いて認証を行う認証部と、
取得した特徴情報に係る生体特徴の組合せを特定し、特定した生体特徴の組合せを検索のためのキーとして用いて、特定した生体特徴の組合せに対応する認証精度を前記生体特徴データベースから検索することによって、当該認証における認証精度を求める認証精度検索部と、
前記被認証者に、利用する生体特徴を選択させる生体特徴選択部と、
求めた認証精度が、認証目的に必要な閾値を超えているか否かを判定する判定部と、
前記判定部において、求めた認証精度が上記閾値を超えていないと判定されたとき、前記被認証者に、生体特徴の再選択要求を通知する再選択要求通知部とを備え、
前記認証精度は、他人が前記被認証者として誤って受理されない確率である
ことを特徴とする個人認証装置。