JP4331661B2 - 個人認証装置 - Google Patents

Description

本発明は、例えば声などの人物固有の生体情報を個人情報として利用し、申告者が本人であるか否かを判定する個人認証装置に関する。

生体情報を利用した個人認証装置の一例として、音声に基づき個人を認証する話者認証装置について説明する。一般に、話者認証装置は登録された音声モデルと未知話者の音声の特徴から何らかの認証スコア（距離、尤度）を計算し、予め設定された閾値と比較することにより、本人か否かの判定を行うようにしている（例えば、特許文献１参照）。

個人認証装置において、閾値は本人棄却率（ＦＲＲ＝False Rejection Rate）と他人受理率（ＦＡＲ＝False Acceptance Rate）を決定する重要な値であり、特許文献１では登録された話者モデルから統計的に閾値を算出する例が示されている。

図４ないし図６に基づき、本人スコアの分布と他人スコアの分布及び閾値の関係について説明する。図４は本人スコア及び他人スコアの分布曲線を示す特性図である。横軸は登録された音声モデルと入力された音声の特徴から算出された認証スコアであり、縦軸は認証スコアの発生する頻度である。図中、実線は入力された音声が本人のものであった場合の本人スコアの分布を示し、一点鎖線は入力された音声が他人のものであった場合の他人スコアの分布を示す。図４に示すように、その分布は一部において重なっているため、閾値の設定値によっては入力された音声が本人のものであっても棄却されてしまったり、逆に、他人のものであっても受理してしまったりする場合がある。例えば、図５に示すようにユーザの利便性を高め本人棄却率がほぼ０％になるＴＨ２なる値に閾値を設定すると図中の斜線部の事象に該当する割合で他人を受理してしまい、逆に、図６に示すようにセキュリティの質を高め他人受理率がほぼ０％になるＴＨ３なる値に閾値を設定すると図中の斜線部の事象に該当する割合で本人を棄却してしまう。従って、ＴＨ２〜ＴＨ３の範囲内で使用目的に応じて閾値を設定するのが一般的な設定方法である。

ところで、このような個人認証装置に共通の課題として、「なりすまし」の問題がある。「なりすまし」とは、他人が本人の生体特徴を偽装し、不正に認証を行うことである。なりすましへの対策手段として、例えば、特許文献２によれば、ユーザの利用パターン（時間、場所）に応じて閾値を動的に変更し、利便性とセキュリティ度を両立させる例が示されている。また、特許文献３によれば、守るべき価値や利用履歴に応じて閾値を動的に変更し、利便性とセキュリティ度を両立させる例が示されている。

特開平９−１９８０８６号公報 特開２００２−１８３７３４公報 特開２００３−２４８６６１公報

しかしながら、前述したような閾値の変更方法では不正ユーザからの攻撃を明確に検知できず、効果的な閾値の設定を行うことが困難である。

ここで、一般的な不正ユーザの攻撃状況を説明する。実際の使用状況下において不正ユーザが一度の試みで不正認証に成功することはごく希である。通常は、複数回の認証を試みた後になりすましに成功する場合が多い。この状況を具体的にテキスト依存型話者認証装置を例に挙げて説明する。テキスト依存型の話者認証装置は、特定の話者が特定の単語（パスワード）を発した時にのみ認証が成立する。従って、登録話者と声質の近い不正ユーザであってもパスワードが異なると認証は不成立に終わる。このため、このような不正ユーザは推定した複数のパスワードを発して複数回の認証を試みることになる。

こうした状況には、特許文献３に開示されている前回の認証結果に基づく閾値変更方法が有効である。しかし、この方法によると、本人を間違えて棄却してしまった場合にも、次回以降、本人判定が厳しくなってしまうため、連続して本人を棄却してしまうといった著しく利便性に欠ける状況を引き起こしてしまう。

本発明の目的は、不正ユーザからの攻撃を高い確率で検知して閾値を動的に変更でき、セキュリティ度の向上が図れる個人認証装置を提供することである。

本発明の個人認証装置は、認証処理対象者の個人情報（例えば、音声情報）を取得する取得手段と、取得した認証処理対象者の前記個人情報を登録ユーザの個人情報（例えば、音声モデル）と比較し前記認証処理対象者の前記個人情報と前記登録ユーザの前記個人情報との関連性を示す認証スコア（例えば、距離、尤度）を算出するスコア算出手段と、算出された前記認証スコアを本人であることを判定するために予め登録されている本人判定閾値と比較し、認証処理対象者が登録ユーザ本人であることを判定する本人判定手段と、算出された前記認証スコアを他人であることを判定するために予め登録されている他人判定閾値と比較し、認証処理対象者が他人であることを判定する他人判定手段と、前記他人判定手段の判定結果に従い、前記本人判定閾値をより厳しい閾値に変更する閾値変更手段と、を備える。

本発明によれば、通常は一度の試みでは認証に成功せず複数回の認証を試みるという不正ユーザの攻撃状況に着目し、他人判定閾値を用いて一旦他人と判定された場合には本人判定閾値をより厳しい閾値に動的に変更してその後の本人であるか否かの判定に供するようにしたので、不正ユーザからの攻撃を高い確率で検知し、セキュリティ度の向上が図れる個人認証装置を提供することができる。

本発明を実施するための最良の形態について図面を参照して説明する。本実施の形態の個人認証装置は、その一例として、パーソナルコンピュータ（ＰＣ）のアクセス管理のために、ログイン操作時の個人認証において、ユーザ名＋パスワード入力に代えて、ユーザ名＋音声入力を用いるようにした話者認証装置への適用例を示す。

図１は、本実施の形態の話者認証装置の構成を備えるＰＣのハードウェア構成例を示す概略ブロック図である。図１に示すように、本実施の形態のＰＣ１は、ＰＣ本体２と、マウス３、キーボード（Ｋ／Ｂ）４並びにモニタ５とによる標準構成に加えて、マイクロフォン６を備える構成とされている。ＰＣ本体２内には、各部を集中的に制御するＣＰＵ７、制御プログラムを格納したＲＯＭ８、ＣＰＵ７のワークエリアとして機能するＲＡＭ９、ＯＳや各種アプリケーションプログラム、さらには、後述するような制御プログラム等を格納したＨＤＤ１０、Ｉ／Ｏポート１１がバス１２により相互に接続された基本構成に加えて、マイクロフォン６が低域通過フィルタ（ＬＰＦ）１３、Ａ／Ｄ変換器１４を介してＩ／Ｏポート１１に接続されている。前述のマウス３、キーボード（Ｋ／Ｂ）４並びにモニタ５はＩ／Ｏポート１１を介してＣＰＵ７等に接続されている。ここで、ＰＣ本来の機能は周知であり、かつ、本発明の説明には不要であるため省略する。

図２は、本実施の形態のＰＣ１中に含まれる話者認証装置の構成を示す機能ブロック図である。図２に示すように、前述のマイクロフォン６、低域通過フィルタ（ＬＰＦ）１３、Ａ／Ｄ変換器１４なるハードウェア構成に加えて、ＣＰＵ７により実行される各機能ブロックは、特徴ベクトル生成部２１、距離計算部２２、認証部２３、話者モデル生成部２４並びに記憶部２５で構成され、処理の流れに従い連結されている。

なお、本実施の形態では、このような機能ブロックを実現するための制御プログラムをＨＤＤ１０に格納するようにしたが、これに限るものではなく、ＦＤ、磁気テープ等のような磁気的な記憶媒体、ＭＯのような光磁気的な記憶媒体、ＣＤ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−Ｒ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ＤＶＤ＋ＲＷ等のような光学的な記憶媒体、半導体メモリ等の各種方式のメディアを記憶媒体として用いるようにしても良い。なお、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭなどの各種の光学的な記憶媒体、各種の光磁気的な記憶媒体、ＦＤなどの各種の磁気的な記憶媒体等は、ＰＣ本体２に固定的に設けられておらず、単体で取り扱える交換自在な記憶媒体としての形態を備え、各メディアに適応した各種プログラム読取装置（ＣＤ−ＲＯＭドライブ等）を用いてプログラムを読み出すことで各種処理が可能になる。

マイクロフォン６は、入力された音声を電気的アナログ信号に変換する。低域通過フィルタ１３は、入力されたアナログ信号から所定の周波数以上の周波数をカットし出力する。Ａ／Ｄ変換部１４は、入力されたアナログ信号を所定のサンプリング周波数、量子化ビット数でデジタル信号に変換する。特徴ベクトル生成部２１は、入力されたデジタル信号から個人性特徴情報を抽出し、順次個人性情報を含む特徴データである特徴ベクトル列を出力する。これらのマイクロフォン６〜特徴ベクトル生成部２１により取得手段の機能が実現されている。話者モデル生成部２４は、特徴ベクトル生成部２１で生成された特徴ベクトル列から話者モデルを作成する。記憶部２５は、話者モデル生成部２４で作成された話者モデル（例えば、コードブック）を登録ユーザの個人情報としてＲＡＭ９等のメモリに登録するもので、記録手段として機能する。距離計算部２２は、特徴ベクトル生成部２１で生成された特徴ベクトル列と予め記憶部２５によりメモリに登録されている話者モデルとを比較し、認証処理対象者から取得された特徴ベクトル列（個人情報）と登録ユーザの話者モデル（個人情報）との関連性として両者の隔たりを示す認証スコア（距離）を計算するもので、スコア算出手段として機能する。認証部２３は、認証スコアと閾値とを比較し、本人であるか否かを判定するもので、後述するように本人判定手段、他人判定手段、閾値変更手段ならびに閾値復帰変更手段として機能する。

図２に示した話者認証機能は、本装置起動後に機能し、ユーザの認証を行うものである。即ち、ＰＣ１起動、ユーザ名入力後にマイクロフォン６から入力される認証処理対象者の音声を、低域通過フィルタ１３及びＡ／Ｄ変換部１４を介してデジタル信号に変換し、特徴ベクトル生成部２１で該デジタル信号から抽出された特徴ベクトル（認証処理対象者の個人情報）と、予めモデル生成部７で作成され記憶部８によりメモリに登録されている話者モデル（登録ユーザの個人情報）とを距離計算部２２で比較し、求めた距離（認証スコア）に基づき認証部２３にて本人であるか否かを判定し、その判定結果に基づき装置の使用可否、この場合であれば、ＰＣ１に対するログインの可否を決定する。

ここで、本実施の形態の特徴的な機能を発揮する認証部２３の処理の流れについて図３に示すフローチャート及び図４に示す本人スコア及び他人スコアの分布曲線を示す特性図を参照しつつ説明する。本実施の形態の認証部２３は、認証のための基準値として２つの閾値を持つ。一つは本人であることを判定するために予め登録されている本人判定閾値であり、他の一つは他人であることを判定するために予め登録されている他人判定閾値である。認証部２３では認証スコアとして算出された距離と本人判定閾値とを比較し、本人判定閾値よりも距離が小さければ本人であると判定する。また、算出された距離と他人判定閾値とを比較し、他人判定閾値よりも距離が大きければ他人であると判定する。ここで、本人判定閾値は状況に応じて図４中に示すＴＨ１又はＴＨ３に該当する値をとり、他人判定閾値はＴＨ２に該当する値をとる。本装置起動後の本人判定閾値の初期値はＴＨ１に該当する値である。

認証部２３は、ＰＣ１起動、ユーザ名入力後にマイクロフォン６から音声入力され、距離計算部５で距離が計算された後に起動され、図３中のステップＳ１から処理を始める。ステップＳ１では、本人判定閾値が後述するステップＳ４にて、ＴＨ３に該当する値に変更された後、所定の時間（例えば、３０分間）が経過したか否かを判断し、経過していた場合、本人判定閾値をＴＨ３からＴＨ１に該当する元の値に復帰させる（Ｓ６）。ステップＳ６の処理が閾値復帰変更手段の機能として実行される。次いで、算出された距離と本人判定閾値とを比較し、本人であるか否かを判定する（Ｓ２）。ステップＳ２の処理が本人判定手段の機能として実行される。算出された距離が本人判定閾値よりも距離が小さい場合、即ち本人であると判定した場合（Ｓ２のＹ）、本人判定閾値をＴＨ１に該当する元の値に復帰させ（Ｓ７）、その後、認証が成立した旨を通知するなどの認証成立処理を行い（Ｓ８）、認証部２３の処理を終了する。ステップＳ７の処理が閾値復帰変更手段の機能として実行される。

一方、本人であると判定されなかった場合（Ｓ２のＮ）、算出された距離と他人判定閾値とを比較し、他人であるか否かを判定する（Ｓ３）。ステップＳ３の処理が他人判定手段の機能として実行される。算出された距離が他人判定閾値よりも大きい場合、即ち他人であると判定した場合（Ｓ３のＹ）、本人判定閾値をＴＨ１からＴＨ３に該当する値に変更し（Ｓ４）、認証が不成立であった旨を通知するなどの認証不成立処理を行い（Ｓ５）、認証部２３の処理を終了する。ステップＳ４の処理が閾値変更手段の機能として実行される。また、ステップＳ３にて他人であると判定されなかった場合も、ステップＳ５にて認証が不成立であった旨を通知するなどの認証不成立処理を行い、認証部２３の処理を終了する。

即ち、本実施の形態の話者認証装置では、本人判定手段であるステップＳ２にて本人であることが判定されず、かつ、他人判定手段であるステップＳ３にて他人であると判定された場合には、高い確率で不正ユーザによる攻撃が行われていると判断し、所定の時間（例えば、３０分）、若しくは、次に本人判定手段で本人であることが認証されるまでセキュリティ度を上げ（本人判定閾値を初期のＴＨ１からより厳しいＴＨ３に下げ）ることで、不正ユーザの攻撃への対策を講じることが可能である。その一方で、セキュリティ度を上げても、前述のように、所定の時間が経過した後、若しくは、一旦本人で有ることが判定された後は、本人判定閾値を初期のＴＨ１に復帰させるので、誤って本人を棄却してしまう可能性を減らし、利便性を確保することができる。

ここで、各閾値の値を統計に基づいて好適に設定する方法について説明する。他人判定閾値ＴＨ２の値を図５に示すように本人棄却率がほぼ０％になる値に設定することで本人を誤って棄却してしまった場合に不用意にセキュリティ度を上げてしまうといった問題を解消できる。また、本人判定閾値ＴＨ３の値を図６に示すように他人受理率がほぼ０％になる値に設定することで攻撃を検知した際の他人受入率をほぼ０％とすることが可能となる。なお、本人判定閾値ＴＨ１はＴＨ２〜ＴＨ３の間で利用目的に応じて任意に設定すればよい。

また、本実施の形態の話者認証装置に複数のユーザを登録する場合、登録ユーザ毎に攻撃の有無を管理し効果的な対策を講じるため、本人判定閾値と他人判定閾値とを登録ユーザ毎にメモリに登録しておくことが望ましい。

ところで、ステップＳ３の処理にて他人であると判定された時、その他人である度合い（ＴＨ２からの距離）に応じて、ステップＳ４にて変更設定する本人判定閾値を計算して設定するようにしても良い。

具体的な計算例として以下に２例を挙げる。まず、１つ目の例は、他人である度合いが閾値（他人度閾値Ｄoth）を超えたか否かで本人判定閾値の変更値を切り替える方式である。計算式を式（１）に示す。即ち、変更後の本人判定閾値ｓｓを他人度閾値Ｄothに基づき
ｓｓ＝Ａ ← ｜ｄ−ＳＳoth｜＜Ｄoth
ｓｓ＝Ｂ ← ｜ｄ−ＳＳoth｜≧Ｄoth
ただし、ｄ：入力距離（認証スコア）
Ａ，Ｂ：変更後の閾値
ＳＳoth：他人判定閾値
……………………………………………………（１）
なる計算式により決定する。認証スコアとして算出された距離ｄと他人判定閾値ＳＳothの差｜ｄ−ＳＳoth｜が他人度閾値Ｄothより小さい場合、本人判定閾値は閾値Ａに設定され、差｜ｄ−ＳＳoth｜が他人度閾値Ｄoth以上の場合、本人判定閾値は閾値Ｂに設定される。この際の各数値の関係を図７に、閾値の変化を図８に示す。

ここで、より具体的に、本人判定閾値の変化後の値ＡをＴＨ１とＴＨ３との中間値（（ＴＨ１＋ＴＨ３）／２）に、同じくＢをＴＨ３に、他人判定閾値ＳＳothをＴＨ２に、他人度閾値Ｄothを他人判定閾値ＴＨ２と本人判定閾値ＴＨ１との差（ＴＨ２−ＴＨ１）にした場合の計算式を式（２）に示す。

ｓｓ＝（ＴＨ１＋ＴＨ３）／２ ← （｜ｄ−ＴＨ２｜＜ＴＨ２−ＴＨ１）
ｓｓ＝ＴＨ３ ← （｜ｄ−ＴＨ２｜≧ＴＨ２−ＴＨ１）
……………………………………………………（２）

次に、２つ目の例として連続的に閾値を算出して変更設定する方法について説明する。この例では、本人判定閾値ｓｓを、他人である度合い｜ｄ−ＳＳoth｜から次の式（３）により計算する。即ち、変更後の本人判定閾値ｓｓを
ｓｓ＝ＳＳown−β×［１−{１／exp(|ｄ−ＳＳoth|×α)}}
ただし、ｄ：入力距離（認証スコア）
α：変化率係数
β：変化幅
ＳＳown：本人判定閾値（初期値）
ＳＳoth：他人判定閾値
……………………………………………………（３）
なる計算式により連続的に決定する、この際の閾値の変化を図９に示す。

ここで、より具体的に、変化率係数α＝１に、変化率β＝ＴＨ１−ＴＨ３に、本人判定閾値の初期値ＳＳown ＝ＴＨ１に、他人判定閾値ＳＳoth＝ＴＨ２にして式（３）を変形すると、式（４）のようになる。

ｓｓ＝ＴＨ１−（ＴＨ１−ＴＨ３）×［１−{１／exp(|ｄ−ＴＨ２|)}］
＝ＴＨ３＋（ＴＨ１−ＴＨ３）／exp(|ｄ−ＴＨ２|)
……………………………………………………（４）

以上のように、本人判定閾値を他人である度合い｜ｄ−ＳＳoth｜に基づき算出することにより、より詳細にセキュリティ度を操作することが可能になる。

なお、本実施の形態では、ＰＣ１のログイン時のアクセス管理への適用例として説明したが、このような用途に限らず、例えば携帯電話機や入室管理システムなどの他の装置やシステムにも適用可能である。この際、本人判定閾値を復帰させるための規定時間は各機器、システムの利用頻度に応じて適宜決定すればよい。例えば、利用頻度の低い入室管理システムなどでは規定時間を１時間などの比較的長い時間に設定した方が効果的に詐称を抑止することができる。

また、本実施の形態では、音声（声紋）なる人物固有の生体情報を個人情報として利用する場合への適用例として説明したが、音声に限らず、指紋、掌紋、網膜（虹彩）、顔の特徴などの人物固有の生態情報を個人情報として利用する場合にも同様に適用することができる。

上述したように、本実施の形態によれば、変更された本人判定閾値を本人判定手段の判定結果（Ｓ２のＹ）に従い元の閾値に変更する閾値復帰変更手段（Ｓ７）を備えるので、セキュリティ度を上げても、一旦本人で有ることが判定された後は、本人判定閾値を初期のＴＨ１に復帰させるので、誤って本人を棄却してしまう可能性を減らし、利便性を確保することができる。

上述したように、本実施の形態によれば、変更された本人判定閾値をその変更から所定の時間経過後に（Ｓ１のＹ）に従い元の閾値に変更する閾値復帰変更手段（Ｓ６）を備えるので、セキュリティ度を上げても、所定時間が経過した後は、本人判定閾値を初期のＴＨ１に復帰させるので、誤って本人を棄却してしまう可能性を減らし、利便性を確保することができる。

上述したように、本実施の形態によれば、本人判定閾値と他人判定閾値とを登録ユーザ毎に登録しておくので、登録ユーザ毎に攻撃の有無を管理し効果的な対策を講ずることができる。

本発明の実施の形態の話者認識装置の構成を備えるＰＣのハードウェア構成例を示す概略ブロック図である。 本実施の形態のＰＣ中に含まれる話者認証装置の構成を示す機能ブロック図である。 認証部の処理の流れについて示すフローチャートである。 本人スコア及び他人スコアの分布曲線を示す特性図である。 閾値ＴＨ２に関する特性図である。 閾値ＴＨ３に関する特性図である。 スコアの分布曲線上の各数値の関係を示す特性図である。 本人判定閾値の変化のさせ方の第１の例を示す特性図である。 本人判定閾値の変化のさせ方の第２の例を示す特性図である。

符号の説明

９ メモリ
６，１３，１４，２１ 取得手段
２２ スコア算出手段
２５ 記録手段
ステップＳ２ 本人判定手段
ステップＳ３ 他人判定手段
ステップＳ４ 閾値変更手段
ステップＳ６ 閾値復帰変更手段
ステップＳ７ 閾値復帰変更手段

Claims (6)

1. 認証処理対象者の個人情報を取得する取得手段と、
   取得した認証処理対象者の前記個人情報を登録ユーザの個人情報と比較し前記認証処理対象者の前記個人情報と前記登録ユーザの前記個人情報との関連性を示す認証スコアを算出するスコア算出手段と、
   算出された前記認証スコアを本人であることを判定するために予め登録されている本人判定閾値と比較し、認証処理対象者が登録ユーザ本人であることを判定する本人判定手段と、
   算出された前記認証スコアを他人であることを判定するために予め登録されている他人判定閾値と比較し、認証処理対象者が他人であることを判定する他人判定手段と、
   前記他人判定手段の判定結果に従い、前記本人判定閾値をより厳しい閾値に変更する閾値変更手段と、
   を備えることを特徴とする個人認証装置。
2. 変更された前記本人判定閾値を、前記本人判定手段の判定結果に従い元の閾値に変更する閾値復帰変更手段を備えることを特徴とする請求項１記載の個人認証装置。
3. 変更された前記本人判定閾値を、その変更から所定の時間経過後に元の閾値に変更する閾値復帰変更手段を備えることを特徴とする請求項１記載の個人認証装置。
4. 前記本人判定閾値と前記他人判定閾値とが登録ユーザ毎に登録されていることを特徴とする請求項１記載の個人認証装置。
5. 前記閾値変更手段は、変更後の本人判定閾値ｓｓを他人度閾値Ｄothに基づき
   ｓｓ＝Ａ ← ｜ｄ−ＳＳoth｜＜Ｄoth
   ｓｓ＝Ｂ ← ｜ｄ−ＳＳoth｜≧Ｄoth
   ただし、ｄ：認証スコア
   Ａ，Ｂ：変更後の閾値
   ＳＳoth：他人判定閾値
   なる計算式により決定する、ことを特徴とする請求項１記載の個人認証装置。
6. 前記閾値変更手段は、変更後の本人判定閾値ｓｓを
   ｓｓ＝ＳＳown−β×［１−{１／exp(|ｄ−ＳＳoth|×α)}}
   ただし、ｄ：認証スコア
   α：変化率係数
   β：変化幅
   ＳＳown：本人判定閾値（初期値）
   ＳＳoth：他人判定閾値
   なる計算式により決定する、ことを特徴とする請求項１記載の個人認証装置。
   

Images