JP4387273B2

JP4387273B2 - 個人認証装置

Info

Publication number: JP4387273B2
Application number: JP2004263893A
Authority: JP
Inventors: 智則伊久美; 友成柿野
Original assignee: Toshiba TEC Corp
Current assignee: Toshiba TEC Corp
Priority date: 2004-09-10
Filing date: 2004-09-10
Publication date: 2009-12-16
Anticipated expiration: 2024-09-10
Also published as: JP2006078855A

Description

本発明は、例えば声などの人物固有の生体情報を個人情報として利用し、申告者が本人であるか否かを判定する個人認証装置に関する。

生体情報を利用した個人認証装置の一例として、音声に基づき個人を認証する話者認証装置について説明する。一般に、話者認証装置は登録された音声モデルと未知話者の音声の特徴から何らかの認証スコア（距離、尤度）を計算し、予め設定された閾値と比較することにより、本人か否かの判定を行うようにしている（例えば、特許文献１参照）。

個人認証装置において、閾値は本人棄却率（ＦＲＲ＝False Rejection Rate）と他人受理率（ＦＡＲ＝False Acceptance Rate）を決定する重要な値であり、特許文献１では登録された話者モデルから統計的に閾値を算出する例が示されている。

図４ないし図６に基づき、本人スコアの分布と他人スコアの分布及び閾値の関係について説明する。図４（ａ）は本人スコア及び他人スコアの分布曲線を示す特性図である。横軸は登録された音声モデルと入力された音声の特徴から算出された認証スコア（距離ｘ）であり、縦軸は認証スコアの発生する頻度である。図中、実線は入力された音声が本人のものであった場合の本人スコアの分布ｆ１（ｘ）を示し、一点鎖線は入力された音声が他人のものであった場合の他人スコアの分布ｆ２（ｘ）を示す。図４に示すように、その分布は一部において重なっているため、閾値の設定値によっては入力された音声が本人のものであっても棄却されてしまったり、逆に、他人のものであっても受理してしまったりする場合がある。例えば、図５に示すようにユーザの利便性を高め本人棄却率がほぼ０％になるＴＨ２なる値に閾値を設定すると図中の斜線部の事象に該当する割合で他人を受理してしまい、逆に、図６に示すようにセキュリティの質を高め他人受理率がほぼ０％になるＴＨ１なる値に閾値を設定すると図中の斜線部の事象に該当する割合で本人を棄却してしまう。従って、ＴＨ１〜ＴＨ２の範囲内で使用目的に応じて閾値を設定するのが一般的な設定方法である。

また、特許文献２に示されるように、閾値を複数設定し、誤った本人拒否、他人受け入れを排除しつつシステムの利便性を高めようとしたものもある。具体的には、生体情報から認証スコア（類似度）を求め、類似度が第１の閾値以上の場合には本人と判定し、第２の閾値以下の場合には他人と判定し、さらに類似度が第１の閾値と第２の閾値の間になった場合には本人しか知りえない情報に関する質問を行うことで、即ち、他の認証手段を用いることで認証の精度を高めることを狙ったものである。

特開平９−１９８０８６号公報特開２０００−２１５３１６公報

しかしながら、従来の個人認証装置において、特許文献１の場合のように本人判定を行う閾値が１つだけ設定されている場合は、使い勝手と信頼性とはトレードオフの関係にあり、どちらか一方を犠牲にする必要があった。

一方、特許文献２のように２つの閾値を有する従来の個人認証装置においては、認証スコアが２つの閾値の間の値となった場合に、理論的な本人である確率が一定ではないにも関わらず、その後の処理は１種類に限定されており、前述のトレードオフの関係が十分に取り去られているとはいえない状況にある。

本発明の目的は、ユーザの利便性を損なうことなく、セキュリティ度の向上が図れる上に、本人であるか否かが明確に判定できない場合でも、その後の認証処理を的確に行えるようにすることである。

本発明の個人認証装置は、認証対象者の第１の個人情報（例えば、音声情報）を取得する取得手段と、取得した認証対象者の前記第１の個人情報を登録ユーザの個人情報（例えば、音声モデル）と比較し両者間の関連性を示す認証スコア（例えば、距離、尤度）を算出するスコア算出手段と、算出された前記認証スコアを本人であることを判定するために予め登録されている第１の閾値と比較し、当該第１の閾値を超えている場合（第１の閾値よりも本人側の場合）には認証対象者が登録ユーザ本人であることを判定する本人判定手段と、算出された前記認証スコアを他人であることを判定するために予め登録されている第２の閾値と比較し、当該第２の閾値を超えている場合（第２の閾値よりも他人側の場合）には認証対象者が他人であることを判定する他人判定手段と、算出された前記認証スコアが前記第１の閾値と前記第２の閾値との間にある場合に、当該認証スコアを前記第１の閾値と前記第２の閾値との間に設定された少なくとも１つの第３の閾値と比較する比較手段と、前記認証スコアが前記第３の閾値と前記第１の閾値との間の場合には認証対象者の前記第１の個人情報を前記取得手段により再取得することを促し、前記認証スコアが前記第３の閾値と前記第２の閾値との間の場合には認証対象者に前記第１の個人情報とは異なる第２の個人情報の入力を促す処理変更手段と、を備える。

本発明によれば、基本的に第１，第２の２つの閾値を用いて認証処理を行い、認証スコアが第１の閾値を超える場合には本人と判定し、第２の閾値を超える場合には他人と判定するので、ユーザの利便性を損なうことなく、セキュリティ度の向上が図れる上に、認証スコアが第１の閾値と第２の閾値との間にあり本人であるか否かが明確に判定できない場合でも、これらの第１の閾値と第２の閾値との間に設定された第３の閾値との比較結果により、異なる処理を選択して実行させるので、より本人に近いかより他人に近いかに応じた処理が可能となり、その後の認証処理を的確に行わせることができる。

本発明を実施するための最良の形態について図面を参照して説明する。

図１は、本実施の形態の個人認証装置の構成を示す機能ブロック図である。図１に示すように、本実施の形態の個人認証装置は、個人情報入力部１、信号処理部２、特徴抽出部３、距離計算部４、認証部５、モデル生成部６並びに記憶部７で構成され、処理の流れに従い連結されている。このような機能ブロック構成中、ハードウェア構成を除く部分は、当該携帯電話機１が備えるマイクロコンピュータ（ＣＰＵ＋ＲＯＭ＋ＲＡＭ）中の各部を集中的に制御するＣＰＵが実行する制御プログラムによって実現される。

ここに、本実施の形態の個人認証装置は、例えば、生体情報として音声情報を利用する話者認証装置として構成されており、個人情報入力部１としては、入力された音声を電気的アナログ信号に変換するマイクロフォンが用いられている。信号処理部２は、例えば、入力されたアナログ信号から所定の周波数以上の周波数をカットし出力する低域通過フィルタと、入力されたアナログ信号を所定のサンプリング周波数、量子化ビット数でデジタル信号に変換するＡ／Ｄ変換部とにより構成されており、入力された個人情報を所望のデジタル信号に変換する。特徴抽出部３は、入力されたデジタル信号から個人性を表す特徴情報を抽出し、順次個人性情報を含む特徴データである特徴量を出力する。これらの個人情報入力部１、信号処理部２及び特徴抽出部３により取得手段の機能が実現されている。

モデル生成部６は、特徴抽出部３で生成された特徴量から話者モデルを作成する。記憶部７は、モデル生成部６で作成された話者モデル（例えば、コードブック）をＲＡＭ等のメモリに登録するもので、記録手段として機能する。距離計算部４は、特徴抽出部３で抽出された特徴量（取得した個人情報）と予め記憶部７によりメモリに登録されている登録ユーザの話者モデル（登録ユーザの個人情報）とを比較し両者間の関連性としてその隔たりを示す認証スコア（距離）を計算するもので、スコア算出手段として機能する。認証部５は、算出された認証スコアと所定の閾値とを比較し、本人であるか否かを判定する。この認証部５は、認証結果に基づいて本人か他人かの判定やリトライ（再試行）の可否等その後の処理を制御する機能も受け持つ。

個人情報入力部１、信号処理部２なるハードウェア構成に付加されるこのような機能ブロック構成は、本実施の形態の話者認証装置（個人認証装置）が搭載された電子機器、システムが備えるマイクロコンピュータ（ＣＰＵ＋ＲＯＭ＋ＲＡＭ）中の各部を集中的に制御するＣＰＵが実行する制御プログラムによって実現される。当該マイクロコンピュータ中のＲＯＭには、後述するような認証処理を行うための制御プログラムが格納されている。

ここで、本実施の形態の特徴的な機能を発揮する認証部５の処理の流れについて図２に示すフローチャート及び図４に示す本人スコア及び他人スコアの分布曲線を示す特性図を参照しつつ説明する。本実施の形態の認証部５は、認証のための基準値として３つの閾値を持つ。即ち、図４を参照すれば、本人であることを判定するための第１の閾値ＴＨ１と、他人であることを判定するための第２の閾値ＴＨ２と、これらの第１の閾値ＴＨ１と第２の閾値ＴＨ２との間に設定された第３の閾値ＴＨ３とであり、各々ＲＡＭ等のメモリに予め登録されている。

まず、当該個人認証装置が登録モードに設定されている場合には（ステップＳ１）、個人情報入力部１、信号処理部２、特徴抽出部３、モデル生成部６、記憶部７による各々の処理（Ｓ２〜Ｓ６）を経ることにより、登録ユーザの話者モデル（例えば、コードブック）が個人情報として予めＲＡＭ等のメモリに登録される。

一方、当該個人認証装置が登録モードでない場合には（Ｓ１のＮ）、認証モードとされ、必要に応じて認証対象者からのユーザ名入力等の認証申告操作を受けた後、音声入力待ち状態となり、認証対象者からの音声入力があると、個人情報入力部１、信号処理部２、特徴抽出部３、モデル生成部６による各々の処理（Ｓ７〜Ｓ１０）を経ることにより、認証対象者の話者モデルが個人情報として取得される。これらのステップＳ７〜Ｓ１０の処理が取得手段として実行される。ついで、距離計算部４により、取得された特徴量（取得した個人情報）と予め記憶部７によりメモリに登録されている登録ユーザの話者モデル（登録ユーザの個人情報）とを比較することで、両者間の類似度を認証スコア（距離）として計算する（Ｓ１１）。

このようにして認証スコアが算出された後、認証部５の処理が開始される。まず、算出された認証スコアを第１の閾値ＴＨ１と比較し、この第１の閾値ＴＨ１を超えているか否かを判定する（Ｓ１２）。この第１の閾値ＴＨ１は本人であることを判定するための閾値であり、「超えている場合」とは、図４に示す例では隔たりを示す距離を用いており、第１の閾値ＴＨ１より小さい場合を意味する。認証スコアが第１の閾値ＴＨ１を超えている場合（小さい場合）には（Ｓ１２のＹ）、認証対象者が登録ユーザ本人であると判定し認証結果を出力する（Ｓ１３）。これらのステップＳ１２のＹ，Ｓ１３の処理が本人判定手段の機能として実行される。

一方、認証スコアが第１の閾値ＴＨ１を超えていない場合（大きい場合）には（Ｓ１２のＮ）、算出された認証スコアを第２の閾値ＴＨ１と比較し、この第２の閾値ＴＨ１を超えているか否かを判定する（Ｓ１４）。この第２の閾値ＴＨ２は他人であることを判定するための閾値であり、「超えている場合」とは、図４に示す例では隔たりを示す距離を用いており、第２の閾値ＴＨ１より大きい場合を意味する。認証スコアが第２の閾値ＴＨ２を超えている場合（大きい場合）には（Ｓ１４のＹ）、認証対象者が他人であると判定し認証結果を出力する（Ｓ１５）。これらのステップＳ１４のＹ，Ｓ１５の処理が他人判定手段の機能として実行される。

さらに、認証スコアが第１の閾値ＴＨ１を超えておらず（大きい）（Ｓ１２のＮ）、かつ、第２の閾値ＴＨ２を超えていない場合（小さい場合）（Ｓ１４のＮ）、即ち、認証スコアが第１の閾値ＴＨ１と第２の閾値ＴＨ２との間にある場合には、当該認証スコアが第３の閾値ＴＨ３よりも小さいか否かを比較する（Ｓ１６）。ステップＳ１６の処理が比較手段の機能として実行される。比較の結果、認証スコアが第３の閾値ＴＨ３よりも小さかった場合には（Ｓ１６のＹ）、即ち、認証スコアが第１の閾値ＴＨ１と第３の閾値ＴＨ３との間にある場合には、本人とは断言できないが本人である可能性が高い場合といえる。そこで、この場合は、認証対象者に再度音声情報（個人情報）の入力を促し（リトライ（再試行）を促し）（Ｓ１７）、ステップＳ７〜Ｓ１１の処理を再度行うことで、新たに入力された音声情報に基づいて認証スコアを算出し、再度同様の判定を行う（リトライ）。

一方、認証スコアが第３の閾値ＴＨ３よりも大きかった場合には（Ｓ１６のＮ）、即ち、認証スコアが第３の閾値ＴＨ３と第２の閾値ＴＨ２との間にある場合には、他人であるとは断言できないが、リトライを行っても本人と判定される可能性の小さい場合といえる。そこで、この場合は、他の認証方式の認証手段で本人判定を行わせるために、認証対象者に他の個人情報の入力を促し（Ｓ１８）、他の認証方式の認証手段による認証処理に供する（Ｓ１９）。本実施の形態のように、本来の認証方式が音声を利用した認証方式の場合、他の認証方式の認証手段としては、例えば、指紋による認証や、パスワード入力による認証で実現できる。

これらのステップＳ１７，Ｓ１８の処理が、比較結果に応じて異なる処理を選択して実行させる処理変更手段の機能として実行される。

ところで、リトライ処理を行わせる場合、そのリトライ回数（再試行回数）を＋１ずつインクリメントすることにより計数し（Ｓ２１）、そのリトライ回数が所定回数（通常は、２回）を超えた場合には（Ｓ２２のＹ）、認証スコアが第３の閾値ＴＨ３よりも小さい場合であっても、他の認証方式の認証手段で本人判定を行わせるために、認証対象者に他の個人情報の入力を促し（Ｓ１８）、他の認証方式の認証手段による認証処理に供する（Ｓ１９）。或いは、他人と判定するようにしてもよい。

図３は、処理変更手段の処理内容の変形例を示すフローチャートである。図３に示すように、リトライ処理が発生した場合には（Ｓ１６のＹ）、リトライ前の認証スコアを一時ＲＡＭ等のメモリに記憶させた後（Ｓ２２）、リトライのための再入力を促し（Ｓ１７）、ステップＳ７〜Ｓ１１の処理を再度行うことで、新たに入力された音声情報に基づいて認証スコアを算出するが、当該リトライ時には（Ｓ２３のＹ）、リトライ後なる今回の認証スコアとメモリに格納されているリトライ前の認証スコアとの大小関係を比較し（Ｓ２４）、リトライ後の認証スコアの方がリトライ前の認証スコアよりも大きい場合には（Ｓ２４のＹ）、それ以上リトライを行っても認証スコアが第１の閾値ＴＨ１を超えることはないと想像できるため、他の認証方式の認証手段で本人判定を行わせるために、認証対象者に他の個人情報の入力を促し（Ｓ２５）、他の認証方式の認証手段による認証処理に供する（Ｓ２６）。或いは、他人と判定することも有効である。

さらに、例えば標準偏差を計算する等の方法で複数回分の認証スコアのばらつきを調べ、一定以上にばらついている場合は、詐称者が声色を変えて成りすましを図ろうとしていると想像できるため、他人と判定することも有効である。

次に、各閾値の設定について説明する。誤って他人を受け入れたり本人を拒否してしまったりすることが発生する場合は認証スコアが図４のＴＨ１とＴＨ２との間になった場合であるが、第１の閾値を図４のＴＨ１（即ち、他人のスコア分布が実質的に０になるスコア）に設定し、第２の閾値をＴＨ２（即ち、本人のスコア分布が実質的に０になるスコア）に設定しておけば誤りの発生は起こらなくなる。また、認証スコアが第１の閾値ＴＨ１と第２の閾値ＴＨ２との間にある場合の判定用に第３の閾値を設ける。本人である確率は、図４（ｂ）に示すように認証スコアに対応して１００％から０％に漸減するので、認証スコアが第３の閾値よりも本人のスコア分布に近い場合（即ち、ＴＨ１側）は第３の閾値よりも他人のスコア分布に近い場合（ＴＨ２側）に比べて、本人である確率が高い。従って、第３の閾値よりもＴＨ１側の場合にはリトライを促し、ＴＨ２側の場合には他の認証方式の認証手段を利用するように設定することで、本人か他人かがはっきりしない場合でも的確に対応できるようになる。

また、本人スコア分布ｆ１（ｘ）と他人スコア分布ｆ２（ｘ）は一般に図４に示す例のように交差するが、この点を境に本人である確率と他人である確率の大小関係が逆転する。つまり、この交差点上は本人である確率と他人である確率が等しい点であるから認証システムの性能を表す他人受理率（ＦＡＲ）曲線と本人棄却率（ＦＲＲ）曲線との交点、即ち、等誤り率を与える認証スコアと実質的に同じである。従って、第３の閾値は等誤り率を与える認証スコアＴＨ３とすると最も的確にリトライと他の認証方式への移行を振り分けることができる。

なお、本実施の形態においては、第１，第２の閾値ＴＨ１，ＴＨ２の間に第３の閾値として１つの閾値ＴＨ３を設定した場合について説明したが、本発明は第１，第２の閾値ＴＨ１，ＴＨ２の間に設定する第３の閾値を１つだけに限定するものではなく、２つ以上設定してもよい。この場合は、例えば各閾値で区切られる領域毎に、リトライや複数の他の認証方式の認証手段を本人である確率等を参照して選択すればよい。具体的には、本人である確率が高い領域ではリトライを許可し、次に本人である確率が高い領域ではユーザの負担が比較的小さいが認証精度がやや劣る顔認証を許可し、本人である確率が低い場合には指紋認証さらには虹彩認証を行うように設定することでユーザの負担と信頼性が両立した最適な認証手段を選択することが可能である。

ところで、本実施の形態の個人認証装置の好適な適用例としては、例えば携帯電話を挙げることができる。即ち、近年、高機能化が進み電子マネー等の価値を扱う機会が増え他人に使われることに対する安全性の要求が高まっている携帯電話に好適に適用することができる。携帯電話は一般にマイクロフォンやスピーカ、さらには液晶ディスプレイを備えており、携帯電話に本発明を適用する場合は個人情報としては音声を利用することが便利である。この場合、個人情報入力部としては新たなデバイスを付加する必要はなく既に備えているマイクロフォンをそのまま利用することが可能である。使用例としては、例えば、電源を入れた直後や電子マネーをやり取りする際には音声による本人確認（個人認証）を行うように設定しておき、必要に応じて認証用の音声入力待ち状態となり、入力された音声に対して前述のような処理を行って本人であるか否かの判定を行う。本人である場合は、そのまま機能を利用できるようにし、本人と判定されなかった場合は機能をロックしたままにしたり、或いは、他の認証方式の認証手段の使用を促すようにする。他の認証手段としては従来の携帯電話のロック解除手段として一般的に用いられている暗証番号による認証が適切である。

もちろん、本発明は、携帯電話への適用例に限らず、例えばパソコンのログイン時のアクセス管理への適用、入室管理システムへの適用など、個人認証を要する各種装置やシステムにも適用可能である。

本発明の実施の形態の個人認証装置の構成を示す機能ブロック図である。主に認証部の処理の流れについて示すフローチャートである。主に認証部の処理の流れについての変形例を示すフローチャートである。本人スコア及び他人スコアの分布曲線を示す特性図である。閾値ＴＨ２に関する特性図である。閾値ＴＨ３に関する特性図である。

符号の説明

６，１３，１４，２１取得手段
４スコア算出手段
ステップＳ１２のＹ，Ｓ１３本人判定手段
ステップＳ１４のＹ，Ｓ１５他人判定手段
ステップＳ１６比較手段
ステップＳ１７，Ｓ１８処理変更手段

Claims

認証対象者の第１の個人情報を取得する取得手段と、
取得した認証対象者の前記第１の個人情報を登録ユーザの個人情報と比較し両者間の関連性を示す認証スコアを算出するスコア算出手段と、
算出された前記認証スコアを本人であることを判定するために予め登録されている第１の閾値と比較し、当該第１の閾値を超えている場合には認証対象者が登録ユーザ本人であることを判定する本人判定手段と、
算出された前記認証スコアを他人であることを判定するために予め登録されている第２の閾値と比較し、当該第２の閾値を超えている場合には認証対象者が他人であることを判定する他人判定手段と、
算出された前記認証スコアが前記第１の閾値と前記第２の閾値との間にある場合に、当該認証スコアを前記第１の閾値と前記第２の閾値との間に設定された少なくとも１つの第３の閾値と比較する比較手段と、
前記認証スコアが前記第３の閾値と前記第１の閾値との間の場合には認証対象者の前記第１の個人情報を前記取得手段により再取得することを促し、前記認証スコアが前記第３の閾値と前記第２の閾値との間の場合には認証対象者に前記第１の個人情報とは異なる第２の個人情報の入力を促す処理変更手段と、
を備えることを特徴とする個人認証装置。
前記第３の閾値は、本人である確率と他人である確率とが等しくなる等誤り率を与える認証スコアである、
ことを特徴とする請求項１記載の個人認証装置。
前記処理変更手段は、前記再取得の回数を計数し、計数された再取得回数が所定回数を超えた場合には、認証対象者に前記第２の個人情報の入力を促す、
ことを特徴とする請求項１又は２記載の個人認証装置。
前記処理変更手段は、前記再取得の回数を計数し、計数された再取得回数が所定回数を超えた場合には、認証対象者を他人と判定する、
ことを特徴とする請求項１又は２記載の個人認証装置。
前記処理変更手段は、再取得前後の認証スコアを比較し、再取得後の認証スコアの方が再取得前の認証スコアよりも前記第２の閾値に近い場合には、認証対象者に前記第２の個人情報の入力を促す、
ことを特徴とする請求項１又は２記載の個人認証装置。
前記処理変更手段は、再取得前後の認証スコアを比較し、再取得後の認証スコアの方が再取得前の認証スコアよりも前記第２の閾値に近い場合には、認証対象者を他人と判定する、
ことを特徴とする請求項１又は２記載の個人認証装置。