JP4462863B2 - 本人認証装置、生体特徴情報更新方法およびプログラム - Google Patents

Description

本発明は、他の情報処理システムに対して影響を与えることなく、生体特徴情報を更新する本人認証装置、生体特徴情報更新方法およびプログラムに関する。

本人認証が必要となる各種サービス（キャッシュカード取引、クレジットカード取引、インターネット取引、等）の拡大に伴い、利用者が覚えるべきパスワードは増加し、覚えるべきパスワードをすべて記憶しておくことはもはや限界に達している。また、パスワード入力時にパスワードを盗み見される機会も増大する。このため、人の記憶に頼らなくてもよい、本人固有の生体特徴情報を利用した本人認証（以下、生体認証と称する。）が主流になっていくと推測される。

本人認証に利用できる生体特徴情報の１つに指紋がある。指紋は、万人不同、終生不変であることが保証されている。また、指紋を読み取る装置（例えば、特許文献１。）は小型でかつ高精度で照合可能であるという利点がある。

記憶媒体に生体特徴情報を記録しておき、記憶媒体に記録されている生体特徴情報と、生体情報読取装置から読み取った生体特徴情報とを照合アルゴリズムにより照合し、その照合結果により所定のサービス処理を許可する技術がある。（例えば、特許文献２。）

特許文献２では、生体特徴情報として指紋を用い、指紋データをホストコンピュータに登録しておく。端末装置（例えば、ＡＴＭ、Automated Teller Machine）から利用者の所有するＩＣカードの識別子と、端末装置で読み取った指紋データとをホストコンピュータに送信する。そして、ホストコンピュータで送信された指紋データとホストコンピュータ側で登録している指紋データとを照合し、その結果に応じた処理を実行する。
特開２００２−３３４３２４号公報（第６、７頁、図１） 特開２００２−７９９６号公報（第３−６頁、図２）

既存システムにおける本人認証はパスワード、あるいは暗証番号が主流であり、生体特徴情報を利用した情報処理方法への移行時には、既存システムへの影響を限りなく低減させなくてはならない。しかし、特許文献２に記載された情報処理方法では、端末装置からホストコンピュータへ指紋データを送信しなければならないために、既存システムを改造する必要があった。

また、指紋は、万人不同、終生不変であることが保証されているものの、皮膚の乾燥、発汗、傷、指の太さの変化、などにより必要な品質の読み取りデータが得られない、すなわち以前登録した指紋データと似通っていると判別されないことがある。このため、利用者本人であるにもかかわらず生体認証に失敗する可能性が存在する。
このため、所定の品質の読み取りデータが得られない場合等に、改めて指紋を読み取り、指紋データを再登録（更新）を可能とする必要がある。

本発明は、既存の情報処理システムとの整合性を考慮した上で、本人認証に使用される生体特徴情報を更新可能とするための本人認証装置、生体特徴情報更新方法およびプログラムを提供することを目的とする。

この発明の第１の観点にかかる本人認証装置は、
各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納されている該利用者の生体特徴情報と、生体情報読取装置が取得した生体特徴情報との照合結果に基づいて、利用者本人であるか否かを認証する本人認証装置であって、
前記記憶装置に格納されている情報を読み書きする読書手段と、
前記読書手段が読み出した前記生体特徴情報と、前記生体情報読取装置が取得した生体特徴情報とを照合する照合手段と、
前記照合手段の照合結果に基づいて前記読書手段が読み出した前記生体特徴情報の更新が必要であるか否かを判別する判別手段と、
前記判別手段が、前記読書手段が読み出した生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記読書手段が読み出した生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証し、利用者本人であると認証した場合に前記生体読取装置により生体特徴情報を取得して、前記読書手段により前記記憶装置に格納する格納手段と、
を具備することを特徴とする。

この発明によれば、記憶装置に格納された、本人認証に使用される生体特徴情報を安全に更新することができる。
また、この発明の本人認証装置は、本人認証の履歴情報に基づいて、本人認証が成功する確率が高い本人認証方法を実施することができる。

前記判別手段は、前記履歴情報に基づいて算出した過去の本人認証の成績の平均値が所定値以下である場合に、前記読書手段が読み出した前記生体特徴情報の更新が必要であると判別する手段とすることができる。

この発明によれば、本人認証装置は、記憶装置に格納された生体特徴情報が本人認証に利用するにはもはや適さないものとなったことを判別し、利用者に生体特徴情報の更新を通知することができ、生体特徴情報に基づく本人認証ができなくなることがない。

この発明の第２の観点にかかる生体特徴情報更新方法は、
各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納されている該利用者の生体特徴情報と、生体情報読取装置が取得した生体特徴情報との照合結果に基づいて、利用者本人であるか否かを認証する本人認証装置に読み出される、該生体特徴情報を更新する生体特徴情報更新方法であって、
前記本人認証装置が、
前記記憶装置から読み出された前記生体特徴情報と、前記生体情報読取装置が取得した生体特徴情報とを照合する照合ステップと、
前記照合ステップの照合結果に基づいて前記記憶装置から読み出された前記生体特徴情報の更新が必要であるか否かを判別する判別ステップと、
前記判別ステップが、前記記憶装置から読み出された生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記記憶装置から読み出された生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証する認証ステップと、
前記認証ステップが、利用者本人であると認証した場合に前記生体情報読取装置により生体特徴情報を取得して、前記記憶装置に格納する格納ステップと、
を備えることを特徴とする。

この発明の第３の観点にかかるプログラムは、
コンピュータを、各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納された該利用者の生体特徴情報と、生体情報読取手段が取得した生体特徴情報とを照合するステップの処理結果に基づいて、利用者本人であるか否かを認証する装置として機能させるプログラムであって、
前記コンピュータに、
前記記憶装置から読み出した前記生体特徴情報と、前記生体情報読取手段が取得した生体特徴情報とを照合する照合ステップと、
前記照合ステップの照合結果に基づいて前記記憶装置から読み出した前記生体特徴情報の更新が必要であるか否かを判別する判別ステップと、
前記判別ステップが、前記記憶装置から読み出した生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記記憶装置から読み出した生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証する認証ステップと、
前記認証ステップが、利用者本人であると認証した場合に前記生体情報読取手段により生体特徴情報を取得して、前記記憶装置に格納する格納ステップと、
を実行させることを特徴とする。

本発明によれば、既存の取引システム等に影響を与えることなく、本人認証に使用される生体特徴情報の更新を安全に行うことができる。

（第１の実施例）
以下、本発明の実施の形態にかかる本人認証装置について、図面を参照して説明する。この本人認証装置を図１に示す。

図１に示すように本人認証装置１０は、生体特徴情報を読み取ってＩＣカード４０に格納された生体特徴情報と照合し、これらの生体特徴情報が所定の範囲内で一致していると判定した場合に、外部装置に各種処理を許可する旨の情報を送信し、一致しない場合に各種処理の実行を認めない旨の情報を送信するための装置である。本人認証装置１０は、制御部１１と、記憶部１２と、指紋読取部１３と、ＩＣカード読書部１４と、表示部１５と、パスワード入力部１６とを備える。

記憶部１２は、例えば、半導体記憶装置やハードディスク装置、などの書き換え可能な記憶装置などから構成される。記憶部１２は、本人認証装置１０全体の動作を司るプログラム、ＩＣカード４０に格納された生体特徴情報と本人認証装置１０で読み取った生体特徴情報とを照合するためのプログラム、本人認証装置１０で読み取った生体特徴情報、などを格納する。

指紋読取部１３は、例えば、指紋センサなどを備えている。指紋読取部１３は制御部１１に制御され、指紋センサで読み取った画像から、特徴量を抽出して指紋データとする。そして、指紋データを制御部１１に送信する。例えば、指紋読取部１３は一定時間間隔（例えば、０．１秒間隔）で指紋センサで画像データを読み取っている。読み取った画像データが、指紋センサに何も置かれていない場合に読み取られる画像データでなく、かつ、所定の時間（例えば、１秒間）変化しなかった場合に読み取った指紋データとするものとする。

ＩＣカード読書部１４は、ＩＣカード４０を着脱自在に挿着可能であって、挿着されたＩＣカード４０を内部に取り込み、外部へ送り出すための搬送部（ローラなど）、ＩＣカード４０のデータの読み取り／書き込み、ＩＣカード４０への電源の供給を行うための複数の端子、などを備える。

表示部１５は、例えば、ディスプレイから構成され、制御部１１に制御されて、利用者への指示、本人認証の結果の表示などを行う。

パスワード入力部１６は、例えば、英数字キー、確定ボタン、などから構成され英数字・記号の組み合わせを利用者に入力させる。

制御部１１は、例えば、中央演算処理装置（ＣＰＵ、Central Processing Unit）やワークエリアとなる所定の記憶装置（ＲＡＭ（Random Access Memory）等）から構成される。制御部１１は、記憶部１２に格納されている所定の動作プログラムに基づいて、各部を制御しつつ後述する各処理を実行する。

ＩＣカード４０は、例えば、この情報処理システムを利用する機関（例えば、地方公共団体、金融機関、商店、など）がその利用者に発行する。これらの機関は予めＩＣカード４０に利用者本人を免許証、保険証などにより認証し、生体特徴情報（指紋）を登録して、利用者にＩＣカード４０を貸し渡す（あるいは譲渡する）。

ＩＣカード４０の構成を図２に示す。図２に示すように、ＩＣカード４０は、制御部４１と、ＲＯＭ（Read Only Memory）４２と、ＥＥＰＲＯＭ（Electrically Erasable/Programmable ROM）４３と、ＲＡＭ４４、とから構成されている。また、ＩＣカード４０は、ＩＣカード読書部１４に設けられた端子と接続する複数の端子Ｃを備え、端子Ｃは制御部４１と接続されている。ＩＣカード４０は端子Ｃから電源の供給を受けたり、ＩＣカード読書部１４を介して制御部１１とデータを送受信したりする。

制御部４１は中央演算処理装置（ＣＰＵ）などから構成される。制御部４１は、本人認証装置１０から命令を受け取って、予めＲＯＭ４２に格納されているプログラムの処理に従って、図３に示すような生体データ情報をＥＥＰＲＯＭ４３から読み出したり、書き込んだりする。また、処理結果を外部装置に送り返す。ＲＡＭ４４は、制御部４１の作業領域として用いられる。

ＩＣカード４０に格納される情報の例を図３に示す。図示するように、ＩＣカード４０には、不変情報、生体データ情報、などが格納される。

不変情報はＩＣカード自体に関する情報あるいは、ＩＣカード４０に常に保持すべき情報であって、変更されることがないかあったとしてもほとんどない情報である。例えば図３（Ａ）に示すように、不変情報は、カードＩＤ、パスワード、生体データ情報保存フラグ、などを含む。ここで、カードＩＤは、ＩＣカード４０自体を識別する識別子である。また、パスワードは、予め利用者が定めた、生体認証に失敗し再登録処理の際に必要となる英数字・記号を組み合わせたものである。生体データ情報保存フラグとは、このＩＣカード４０に生体特徴情報を格納しているか否かを示す情報である。例えば、それぞれ、このフラグが「０」であれば、生体特徴情報を格納していなくて、「１」であれば、少なくとも１種類の生体特徴情報を格納していることを示す。

生体データ情報は本人認証に使用するための生体特徴情報およびその生体特徴情報を利用した本人認証の結果（履歴）情報である。例えば図３（Ｂ）に示すように、生体データ情報は、生体データ、認証スコア履歴、などを含む。
ここで、生体データとは、身体的特徴量をデジタル化したデータであって、例えば、２値画像などである。また、認証スコアとは、ＩＣカード４０から読み出した生体データと、指紋読取部１３から送信された生体データとが、どの程度類似しているかの数値である。そして、認証スコア履歴は、対応付けられている生体データにより生体認証を実行した際の認証スコアの一連の結果、およびその生体データによる生体認証の成功回数と失敗回数（成功確率、試行回数でもよい。）とを別に記録するようにしてもよい。

次に、本人認証装置１０の動作を説明する。まず、本人認証処理を図４に示すフローチャートを用いて説明し、本人認証処理の途中に現れる指紋データ再登録処理を図５に示すフローチャートを用いて説明する。

最初に、利用者はＩＣカード読書部１４にＩＣカード４０を挿着する。ＩＣカード読書部１４はＩＣカード４０が挿着されたことを検出し、そのＩＣカード４０に書き込まれている、指紋データを読み出して、制御部１１に送信する。制御部１１は認証試行回数を１に設定する。

次に、制御部１１は、表示部１５に指紋を読み取る旨のメッセージと指を指紋読取部１３に置く指示とを表示させる。利用者が、指紋読取部１３に指を置くと、指紋読取部１３は指紋を読み取り、読み取った指紋データを制御部１１に送信する（図４、ステップＳ１０１）。

本人認証装置１０は、ＩＣカード４０から読み出した指紋データと、指紋読取部１３から送信された指紋データとから、パターンマッチング等の方法により認証スコアを算出する。そして、この認証スコアが所定の閾値以上であるか否かを判別する（ステップＳ１０２）。

ステップＳ１０２において、認証スコアが閾値以上である場合には（ステップＳ１０２：ＹＥＳ）、本人認証装置１０はＩＣカード４０にその認証スコアを書き込む（ステップＳ１０３）。
つまり、本人認証装置１０は、ＩＣカード読書部１４を制御して、ＩＣカード４０から本人認証し使用した指紋に関する生体データ情報に含まれる認証スコア履歴を読み出して、読み出した成功回数に１を加え新しい成功回数とする。そして、ＩＣカード読書部１４を制御して、ＩＣカード４０に格納された生体データ情報に新しい成功回数と本人認証に成功した際の認証スコアとを書き込んで生体データ情報の更新を行う。なお、本人認証に失敗した後に、成功した場合は、失敗回数の更新も行う。
ステップＳ１０３の処理が終了すると、本人認証装置１０は、表示部１５にＩＣカード４０を取り出すようにとの指示を表示し、挿着されたＩＣカード４０をＩＣカード読書部１４から排出する。そして、本人認証処理を終了する。利用者は、ＩＣカード読書部１４からＩＣカード４０を取り出す。

一方、認証スコアが閾値に達しなかった場合には（ステップＳ１０２：ＮＯ）、認証試行回数が所定の回数（例えば、３回）に達しているか否かを判別する（ステップＳ１０４）。認証試行回数が所定の回数に達していなかった場合には（ステップＳ１０４：ＮＯ）、認証試行回数に１を加えて、表示部１５に認証に失敗した旨のメッセージと、再試行のために指を置き直す指示とを表示する（ステップＳ１０６）。

認証試行回数が所定の回数に達している場合には（ステップＳ１０４：ＹＥＳ）、本人認証装置１０はＩＣカード４０に格納されている指紋データがもはや認証に適さなくなったものと判断する。そこで、本人認証装置１０は次に指紋データ再登録処理を実行する（ステップＳ１０５）。指紋データ再登録処理において、指紋とは別の手段により本人認証を行っているので、指紋データ再登録処理が終了すると本人認証処理は終了する。本人認証装置１０は、表示部１５にＩＣカード４０を取り出すようにとの指示を表示し、挿着されたＩＣカード４０をＩＣカード読書部１４から排出する。利用者は、ＩＣカード読書部１４からＩＣカード４０を取り出す。

次に、ステップＳ１０５の指紋データ再登録処理について説明する。指紋データ再登録処理のフローチャートを図５に示す。
図示するように、指紋データ再登録処理では、まず、パスワード入力部１６を操作して、利用者にパスワードを入力してもらう。そして、入力されたパスワードとＩＣカード４０に格納されているパスワードとが一致しているか否かを判別する（ステップＳ２０１）。

次に、認証結果がＯＫ、すなわち操作者が利用者本人であると本人認証装置１０が認証した場合は（ステップＳ２０２：ＹＥＳ）、表示部１５に指紋データを（ＩＣカード４０に）再登録する旨と指を指紋読取部１３に置く指示とを表示部１５に表示する。利用者が指紋読取部１３に再び指を置くと、指紋読取部は、指が置かれたことを検出して、ステップＳ１０２と同様に指紋を読み取る（ステップＳ２０３）。そして、読み取った指紋から指紋データを抽出して、ＩＣカード読書部を介して、ＩＣカード４０に格納されていた指紋データを更新して（ステップＳ２０４）、「認証スコア」履歴をリセットする。ステップＳ２０４が終了すると、指紋データ再登録処理を終了する。

もし、操作者が利用者本人でないと本人認証装置１０が認証した場合は（ステップＳ２０２：ＮＯ）、再びステップＳ２０１に戻る。所定の回数、ステップＳ２０１を繰り返しても、操作者が利用者本人と認証されない場合は、表示部１５に利用できない旨のメッセージを表示して異常終了する。

このように処理することで、本人認証に使用する生体特徴情報を安全に更新することができる。

なお、この本人認証装置１０において、パスワードを入力して本人認証を行うことなく、生体特徴情報を更新するように構成することができる。
例えば、本人認証装置１０はさらに、虹彩を撮影する撮影部を備え、ＩＣカード４０には生体特徴情報として、指紋と虹彩とを格納する。そして、通常の本人認証は指紋により行い、指紋を再登録する際には、虹彩により本人認証を行うように構成する。

（第２の実施例）
本発明は、本人認証を行うシステムに適用することが可能である。
また、生体特徴情報を再登録する際に、利用者にパスワード、暗証番号などを入力させて認証する代わりに、他の生体特徴情報を利用して認証するようにすることが望ましい。
次に、図を用いて、上記本人認証装置を利用した取引システムの例を説明する。

この取引システムの接続構成を図６に示す。図示するように、この取引システムは、通信ネットワークＮを介して金融機関Ｍのホストコンピュータ１８０と、複数台のＡＴＭ１１０とを接続している。ＡＴＭ１１０は、金融機関Ｍの支店・出張所などに設置されている。

金融機関Ｍは、利用者（顧客）に対し、取引口座を開設して取引のためのＩＣカード１４０を発行する。顧客はＡＴＭ１１０の前面側に接続されたカード挿入返却口（図示なし）からＩＣカード１４０を挿入し、各種取引（現金の引き出し、振込など）を行う。顧客は、金融機関Ｍに申し出て、生体特徴情報（この例では指紋および虹彩）をＩＣカード１４０に登録してもらうことで、暗証番号の代わりに生体特徴情報により本人認証を行うことができる。通常の本人認証は指紋により行い、指紋による本人認証に失敗する場合は、虹彩に基づく本人認証を行い、本人と認証された場合に指紋を再登録するものとする。

ＡＴＭ１１０は、顧客が金融機関Ｍと決済取引を行うのための装置である。ＡＴＭ１１０の構成を図７に示す。図示するように、ＡＴＭ１１０は、制御部１１１、記憶部１１２、指紋読取部１１３、カード処理部１１４、表示部１１５、暗証番号入力部１１６、通帳処理部１１７、明細書処理部１１８、入出金部１１９、通信部１２０、虹彩読取部１２３、などから構成される。

制御部１１１は、ＡＴＭ１１０の各部を制御し、ホストコンピュータ１８０との通信、顧客との決済取引などの各処理を実行する。
記憶部１１２は、例えば、ＲＡＭなどの記憶装置から構成される。記憶部１１２は、制御部１１１の動作プログラムを格納し、制御部１１１の一時メモリとしても使用される。
指紋読取部１１３は、図１の指紋読取部１３と同様の構成、機能を持つ。
図７に戻り、カード処理部１１４は、ＩＣカード読書装置、ローディング機構などから構成される。ＩＣカード１４０に記憶されている後述の顧客不変情報、および前述の生体データ情報の読取機能や更新機能を有する。決済取引中は、ＩＣカード１４０を滞留し、取引終了時にカード挿入返却口から排出し顧客に返却する。
表示部１１５は、ディスプレイなどを備え、顧客に対するメッセージおよび指示を表示する。
暗証番号入力部１１６は、テンキー・確定ボタン、あるいはタッチパネルなどを備え、顧客に暗証番号を入力させる。
通帳処理部１１７は、図示しない通帳挿入返却口より挿入される通帳に印字処理などを行い、取引終了後に通帳挿入返却口から排出し、顧客に返却する。
明細書処理部１１８は、ＩＣカード１４０による取引を行った場合に発行される取引明細書を発行する。
入出金部１１９は、顧客から入金される、または顧客に支払われる紙幣および貨幣を取り扱う。
通信部１２０は、例えば、ネットワークカードなどを備え、ＡＴＭ１１０とホストコンピュータ１８０との電文の送受信を行う。
虹彩読取部１２３は、例えば、ビデオカメラなどを備えている。虹彩読取部１２３は、制御部１１１に制御され、ビデオカメラで撮像した画像から特徴量を抽出して虹彩データとする。そして、虹彩データを制御部１１１に送信する。

ホストコンピュータ１８０は、メインフレーム、サーバコンピュータ、などの情報処理装置により構成され、金融機関Ｍに設置されている。ホストコンピュータ１８０は、顧客との取引口座に関する情報を図示しない記憶装置に格納している。また、通信ネットワークＮを介して、ＡＴＭ１１０から送信される電文に応答して、各種取引を決済し、決済結果を電文としてＡＴＭ１１０に送信する。

ＩＣカード１４０はＩＣカード４０と同じ装置構成、機能を持つ。ただし、ＥＥＰＲＯＭに格納される情報は、図８に示すものとなっている。すなわち、ＩＣカード１４０には、顧客不変情報と、生体データ情報、などが格納される。
図８（Ａ）に示すように、図３（Ａ）の不変情報において、パスワードの代わりに、取引情報（口座情報、暗証番号、など）が追加される。
また、図８（Ｂ）に示すように、生体データ情報において、生体データ情報の種類を識別するために生体データコードが追加されている。ここで、生体データコードとは、生体データの種類を識別するための情報で、例えば、生体データが指紋である場合には、”０１”、虹彩である場合には”０２”などと決められている。

通信ネットワークＮは、例えば、公衆回線網、専用線、移動体通信回線網、無線通信網、有線通信網等のいずれか、または、これらの複合により構成されていて、金融機関Ｍのホストコンピュータ１８０と複数台のＡＴＭ１１０とを相互接続する。

次に顧客がこのＡＴＭ１１０を使用して決済取引を行う場合を図９に示すフローチャートにより説明する。
まず顧客がＡＴＭ１１０のカード処理部１１４にＩＣカード１４０を差し込む。すると、ＡＴＭ１１０は、ＩＣカード１４０に格納されている生体特徴情報の種類がＡＴＭ１１０で行っている生体認証に使用される種類の生体特徴情報であるか否かを判別する（ステップＳ３０１）。例えば、ＡＴＭ１１０は、ＩＣカード１４０から生体データ情報保存フラグを読み出し、そのフラグがＩＣカード１４０が生体特徴情報を格納している旨の内容を示している場合に、さらに、ＩＣカード１４０から各生体データ情報に含まれるすべての生体データコードを読み出し、いずれかの生体データコードが、ＡＴＭ１１０で利用可能な生体特徴情報であることを示しているものであるか否かを判別する。生体データ情報保存フラグがＩＣカード１４０が生体特徴情報を格納していない旨の内容を示している場合は、ＡＴＭ１１０はＩＣカード１４０に生体特徴情報を格納されていないと判別する。

ＡＴＭ１１０が、生体認証可能であると判別した場合（ステップＳ３０１：ＹＥＳ）、認証試行回数を１にセットし、生体特徴情報による本人認証処理（ステップＳ１０１〜Ｓ１０６、図４）を実行する（ステップＳ３０２）。
ただし、ステップＳ１０５の指紋データ再登録処理では、図１０に示すように、パスワードの代わりに虹彩による本人認証を実行する（ステップＳ２０１Ａ）。ステップＳ２０１Ａでは、表示部１１５に虹彩に基づく生体認証を行う旨のメッセージと、目を虹彩読取部１２３へ向ける指示とを表示する。虹彩読取部１２３は、撮像した画像データを制御部１１１に送信する。制御部１１１は、虹彩読取部１２３から送られてきた虹彩データと、ＩＣカード１４０に格納されている虹彩データとを照合し、認証スコアを算出する。そして、この認証スコアが所定の閾値以上であるか否かを判別し、閾値以上であれば、本人であると認証する。
生体特徴情報による本人認証処理が正常終了した場合は、ステップＳ３０４に処理を移し、異常終了した場合（生体特徴情報の再登録に失敗した場合）はＩＣカード１４０を排出して処理を終了する。

図９に戻って、顧客が生体認証により本人認証を行っていない場合もしくは、顧客が生体認証を利用しているもののＡＴＭ１１０で取り扱えない場合（ステップＳ３０１：ＮＯ）は、通常の暗証番号による認証処理を行う（ステップＳ３０３）。すなわち、暗証番号入力部１１６から暗証番号を入力してもらい、ＩＣカード１４０に格納されている暗証番号と一致するか否かを判別し、一致した場合にステップＳ３０４に処理を移す。一致しない場合は、所定の回数だけステップＳ３０３を繰り返す。それでも一致しない場合は、ＩＣカード１４０を排出して処理を終了する。
ここで、顧客が生体認証を行っているもののＡＴＭ１１０で取り扱えない場合とは、例えば、ＡＴＭ１１０では虹彩あるいは指紋による生体認証を行っているが、ＩＣカード１４０には生体特徴情報として声紋しか格納されていないような場合である。

ステップＳ３０４は、決済取引（現金の引き出し、振込など）の段階である。ＡＴＭ１１０は、取引情報をＩＣカード１４０から読み出し、取引情報に含まれる口座情報および暗証番号を用いてホストコンピュータ１８０と電文の遣り取りを行う。ステップＳ３０４が終了すると、ＡＴＭ１１０は、カード処理部１１４からＩＣカード１４０を排出し、すべての処理を終了する。

このような構成により、ＡＴＭとホストコンピュータ間における電文の遣り取りに変更を加えることなく、本人認証を行うことができる。この時、ＩＣカード１４０が生体特徴情報を格納していない場合は、通常の暗証番号による本人認証を実施する。
逆に、生体特徴情報による本人認証を実施しないＡＴＭに、顧客が生体特徴情報を格納しているＩＣカード１４０を挿入しても、そのＡＴＭは格納された生体特徴情報を読み取らないか、読み取っても無視する。顧客は、通常の暗証番号による本人認証を行う。
なお、上述のステップＳ２０１Ａで、虹彩により本人認証を行う代わりに、暗証番号により本人認証を行ってもよい。

なお、本発明は上記実施の形態に限定されず、種々の変形および応用が可能である。
例えば、上記説明は、所定の回数連続して認証に失敗した場合に、指紋データの再登録処理を行う例であったが、過去の認証スコアの平均値が所定の数値以下となった場合に指紋データの再登録処理を実行するようにしてもよい。ＩＣカードに格納する認証スコアの数を所定の数（例えば１００個）に制限してもよい。

また、上記実施の形態ではＩＣカード４０（１４０）を接触式であるものとして説明を行ったが、非接触式であってもよい。また、記憶媒体に格納される生体データ情報、不変情報などを暗号化した上で格納するようにしてもよい。さらに、記憶媒体はＩＣカードに限らず、磁気カード、フレキシブルディスク、などでもよい。

また、上記の生体情報による本人認証処理、指紋データ再登録処理、図９中のステップＳ３０１における処理、などをＩＣカード４０（１４０）で実行するように構成してもよい。この場合、ＲＯＭ４２にこれらの処理を実行するためのプログラムも格納しておくものとする。

また、記憶媒体に格納する生体特徴情報は指紋に限らず、掌形、静脈、網膜、虹彩、顔貌、声紋（音声）、キーストローク、などでもよいし、これらを複数利用するように構成してもよい。生体特徴情報を複数利用できる場合には、それぞれの生体特徴情報毎に、認証スコアを格納する。そして、生体特徴情報により認証を行う場合に、１つ以上の生体認証を行うようにする。この場合、要求される認証スコアが生体特徴情報毎に異なっていてもよい。
また、同じ指紋による生体特徴情報でも、例えば、右手親指と左手人差し指とで指紋は異なるので、同一種類の生体特徴情報を記憶媒体に格納するようにしてもよい。この場合、ＩＣカード４０（１４０）に格納されている、上述の生体データ情報はさらに、同一種類の生体特徴情報を区別するための識別子を含むものとする。

また、本人認証装置１０を、利用者自らが積極的に生体特徴情報の再登録が行えるように構成してもよいし、登録している生体特徴情報の使用期間に制限を設けその使用期間経過後は常に生体特徴情報を更新するように構成してもよい。

さらに、ＡＴＭ１１０は、各利用者について、その利用者の過去の本人認証の成功確率が高い生体特徴情報、過去の認証スコアの平均が高い生体特徴情報、あるいは、成功回数の多い生体特徴情報により本人認証を行うことも可能である。
例えば、生体特徴情報をＩＣカード１４０に再登録する際に、各認証スコア履歴をＩＣカード１４０から読み出し、それらの認証スコア履歴から、ＡＴＭ１１０で本人認証が実施可能であって、認証スコアの平均が最も高い生体特徴情報を判別し、表示部１１５に認証スコアの平均が最も高いと判別された生体特徴情報により本人認証を行う旨のメッセージを表示し、その生体特徴情報により本人認証を行う。なお、暗証番号などの生体情報を利用しない本人認証を行えるようにしてもよい。

また、この発明は、専用の装置によらず、通常のコンピュータシステムを用いて実現可能である。この通常のコンピュータシステムを利用した情報処理システムの例を図１１に示す。
例えば、レンタルビデオ店が、会員にＩＣカード４０を発行する。この情報処理システムにより、会員であるか否かを判別し、レンタルの可否を行うものとする。

パーソナルコンピュータ（ＰＣ）２１０は、通常のＰＣの構成を持つものとする。すなわち、本体にディスプレイ、キーボード、マウス、などが接続されている。また、指紋読取装置２２０とＩＣカードリーダ／ライタ２３０とは、それぞれ、指紋読取部１３、ＩＣカード読書部１４が有する機能を有している。これらはＰＣ２１０とＵＳＢ（Universal Serial Bus）ケーブルを介して接続されるものとする。そして、ＰＣ２１０に上述の動作を実行するためのプログラムを格納した媒体（ＣＤ−ＲＯＭ等）から該プログラムをインストールすることにより、上述の処理を実行する本人認証装置１０を構成することができる。
利用者はＩＣカード４０をＩＣカードリーダ／ライタ２３０に挿着することにより、上述した機能を利用することができる。なお、パスワードの入力は、キーボードにより行い、認証結果はＰＣ２１０が備えるディスプレイに表示される。

なお、ＰＣ２１０と、指紋読取装置２２０およびＩＣカードリーダ／ライタ２３０を接続する方法はＵＳＢ接続に限らず、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）１３９４接続、Bluetooth（登録商標）接続、などによっても構わない。

また、上述の機能を、ＯＳ（Operating System）とアプリケーションとの分担、またはＯＳとアプリケーションとの協動により実現する場合、などには、ＯＳ以外の部分のみを媒体に格納してもよい。

また、搬送波にプログラムを重畳し、通信ネットワークを介して配信することも可能である。例えば、通信ネットワーク上の掲示板（ＢＢＳ、Bulletin Board System）に該プログラムを掲示し、ネットワークを介して該プログラムを配信してもよい。そして、このプログラムを起動し、オペレーティングシステムの制御下で、他のアプリケーションプログラムと同様に実行することにより、上述の処理を実行できるように構成しても構わない。

本発明の実施の形態にかかる本人認証装置の構成を示すブロック図である。 図１のＩＣカードの構成を示すブロック図である。 図１のＩＣカードに格納される情報の例を示す図である。 生体情報による本人認証処理を説明するためのフローチャートである。 指紋データ再登録処理を説明するためのフローチャートである。 本発明の実施の形態にかかる本人認証装置をＡＴＭによる取引システムに適用した例を示す図である。 図６のＡＴＭの構成を示すブロック図である。 図７のカード処理部に挿着されるＩＣカードに格納される情報の例を示す図である。 取引システムにおける決済取引処理のフローチャートである。 図６の取引システムの例における指紋データ再登録処理を説明するためのフローチャートである。 本発明の実施の形態にかかる本人認証装置の他の構成を示すブロック図である。

符号の説明

１０ 本人認証装置
１１ 制御部
１２ 記憶部
１３ 指紋読取部
１４ ＩＣカード読書部
１５ 表示部
１６ パスワード入力部
４０、１４０ ＩＣカード
４１ 制御部
４２ ＲＯＭ
４３ ＥＥＰＲＯＭ
４４ ＲＡＭ
１１０ 現金自動預払機（ＡＴＭ）
１１１ 制御部
１１２ 記憶部
１１３ 指紋読取部
１１４ カード処理部
１１５ 表示部
１１６ 暗証番号入力部
１１７ 通帳処理部
１１８ 明細書処理部
１１９ 入出金部
１２０ 通信部
１２３ 虹彩読取部
１８０ ホストコンピュータ
２１０ パーソナルコンピュータ（ＰＣ）
２２０ 指紋読取装置
２３０ ＩＣカードリーダ／ライタ

Claims (4)

1. 各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納されている該利用者の生体特徴情報と、生体情報読取装置が取得した生体特徴情報との照合結果に基づいて、利用者本人であるか否かを認証する本人認証装置であって、
   前記記憶装置に格納されている情報を読み書きする読書手段と、
   前記読書手段が読み出した前記生体特徴情報と、前記生体情報読取装置が取得した生体特徴情報とを照合する照合手段と、
   前記照合手段の照合結果に基づいて前記読書手段が読み出した前記生体特徴情報の更新が必要であるか否かを判別する判別手段と、
   前記判別手段が、前記読書手段が読み出した生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記読書手段が読み出した生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証し、利用者本人であると認証した場合に前記生体読取装置により生体特徴情報を取得して、前記読書手段により前記記憶装置に格納する格納手段と、
   を具備することを特徴とする本人認証装置。
2. 前記判別手段は、前記履歴情報に基づいて算出した過去の本人認証の成績の平均値が所定値以下である場合に、前記読書手段が読み出した前記生体特徴情報の更新が必要であると判別する手段である、
   ことを特徴とする請求項１に記載の本人認証装置。
3. 各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納されている該利用者の生体特徴情報と、生体情報読取装置が取得した生体特徴情報との照合結果に基づいて、利用者本人であるか否かを認証する本人認証装置に読み出される、該生体特徴情報を更新する生体特徴情報更新方法であって、
   前記本人認証装置が、
   前記記憶装置から読み出された前記生体特徴情報と、前記生体情報読取装置が取得した生体特徴情報とを照合する照合ステップと、
   前記照合ステップの照合結果に基づいて前記記憶装置から読み出された前記生体特徴情報の更新が必要であるか否かを判別する判別ステップと、
   前記判別ステップが、前記記憶装置から読み出された生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記記憶装置から読み出された生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証する認証ステップと、
   前記認証ステップが、利用者本人であると認証した場合に前記生体情報読取装置により生体特徴情報を取得して、前記記憶装置に格納する格納ステップと、
   を備えることを特徴とする生体特徴情報更新方法。
4. コンピュータを、各利用者に発行され、該利用者の複数の生体特徴情報と、各生体特徴情報に基づいて本人認証をした結果の履歴を示す履歴情報とを格納する記憶装置に格納された該利用者の生体特徴情報と、生体情報読取手段が取得した生体特徴情報とを照合するステップの処理結果に基づいて、利用者本人であるか否かを認証する装置として機能させるプログラムであって、
   前記コンピュータに、
   前記記憶装置から読み出した前記生体特徴情報と、前記生体情報読取手段が取得した生体特徴情報とを照合する照合ステップと、
   前記照合ステップの照合結果に基づいて前記記憶装置から読み出した前記生体特徴情報の更新が必要であるか否かを判別する判別ステップと、
   前記判別ステップが、前記記憶装置から読み出した生体特徴情報の更新が必要であると判別した場合に、前記記憶装置に格納された前記履歴情報を読み出し、前記履歴情報に基づいて各生体特徴情報毎に該生体特徴情報に基づいて行われた過去の認証の成績を算出し、該本人認証装置で実施可能であって、前記成績の最も高い、前記記憶装置から読み出した生体特徴情報と異なる生体特徴情報に基づいて利用者本人であることを認証する認証ステップと、
   前記認証ステップが、利用者本人であると認証した場合に前記生体情報読取手段により生体特徴情報を取得して、前記記憶装置に格納する格納ステップと、
   を実行させるためのプログラム。

Images