JP4744180B2 - 個人認証システム、制御サーバ及び個人認証方法 - Google Patents

Description

本発明は、端末装置で取得した利用者の生体情報を認証サーバに蓄積した生体情報と照合して該利用者を認証する個人認証システム、制御サーバ及び個人認証方法に関し、特に、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行うことができる個人認証システム、制御サーバ及び個人認証方法に関する。

従来、クライアント−サーバシステムを用いて生体情報を用いた本人認証を行う技術が知られている。かかる従来技術では、あらかじめ各利用者の生体情報をサーバに登録しておき、クライアント端末が利用者の生体情報を受け付けたならば、この利用者の生体情報をサーバに登録した利用者の生体情報と照合して利用者が登録した本人であるか否かを認証することになる。

かかる従来技術として、例えば特許文献１には、サーバに利用者の生体情報ファイルを保持させ、クライアントで入力された利用者の生体情報をサーバで照合することで、コンピュータシステムへの不正なアクセスを防止する技術が開示されている。

また、特許文献２には、顔画像入力装置（クライアント）で取得した顔画像を顔画像データベースサーバに特定部分のパーツ（例えば、目・鼻・口及び輪郭等）に分類して登録・保存し、検索対象となる個々のパーツと照合を行うことにより、一致する顔であるかどうかを判定する技術が開示されている。

特開平１０−１２４６６８号公報 特開２００３−３３１２６４号公報

しかしながら、上記特許文献１及び２のように単一のサーバで生体情報を一括管理して照合処理を行おうとすると、登録する利用者数（生体情報数）が増加するにつれて検索に時間を要してしまい、結果的に処理遅延が生じてしまうという問題がある。このため、かかるサーバの処理能力を上げることも考えられるが、取り扱うことができる利用者数には自ずと限界がある。

また、特許文献１及び２のように生体情報をクライアント端末とサーバ間で受け渡すシステム構成を採用した場合には、生体情報がネットワークを通過する際のセキュリティ上の問題がある。すなわち、このネットワークがセキュアな回線である場合はさておき、インターネット等の脆弱な回線上を通過する場合には、個人情報である生体情報がネットワークを介して漏洩するリスクが常につきまとうのである。

例えば、ある利用者の顔画像データ全体をネットワーク上に流した場合には、このネットワークを傍受している第三者が当該利用者の顔画像データ全体を入手でき、かかる第三者による顔画像データの不正利用が可能になってしまう。このため、ネットワーク上に生体情報を流す場合には、第三者が傍受していたとしても生体情報全体が入手できない態様で流すことが必要になる。

さらに、特許文献１及び２のように単一のサーバで生体情報を一括管理すると、生体情報を管理するデータベースからデータを盗難された場合に、膨大な個人情報が一挙に流出してしまうという問題もある。

このことから、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行うことができる個人認証システムをいかに実現するかが極めて重要な課題となっている。

この発明は、上記課題（問題点）に鑑みてなされたものであり、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行うことができる個人認証システム、制御サーバ及び個人認証方法を提供することを目的とする。

上述した課題を解決するため、本発明は、利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバと、各認証サーバを制御する制御サーバとを有する個人認証システムであって、前記制御サーバは、所定の端末装置から受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御手段と、各認証サーバから受信した照合値に基づいて認証結果の総合判定を行う判定処理手段とを備え、各認証サーバは、前記制御サーバから受信した部分生体情報をあらかじめ登録した登録生体情報と照合処理して照合値を算出する照合処理手段と、前記照合処理手段により算出された照合値を前記制御サーバに送信する照合結果送信手段とを備えたことを特徴とする。

また、本発明は、上記発明において、前記制御サーバは、前記判定処理手段による判定結果を前記端末装置に通知する判定結果通知手段をさらに備え、前記端末装置は、前記制御サーバから通知された利用者の判定結果を所定の表示部に表示制御する表示制御手段を備えたことを特徴とする。

また、本発明は、上記発明において、前記制御手段は、前記端末装置から受信した生体情報を複数の部分生体情報に分割する分割手段と、前記分割手段により分割された各部分生体情報の送信先の認証サーバをそれぞれ複数の認証サーバから選択する送信先認証サーバ選択手段と、前記送信先認証サーバ選択手段により選択された各部分生体情報を該当する認証サーバに送信する部分生体情報送信手段とを備えたことを特徴とする。

また、本発明は、利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバを制御する制御サーバであって、受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御手段と、各認証サーバから受信した照合値に基づいて認証結果の総合判定を行う判定処理手段とを備えたことを特徴とする。

また、本発明は、利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバと、各認証サーバを制御する制御サーバとを有する個人認証システムの個人認証方法であって、前記制御サーバが、所定の端末装置から受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御工程と、各認証サーバが、前記制御サーバから受信した部分生体情報をあらかじめ登録した登録生体情報と照合処理して照合値を算出する照合処理工程と、各認証サーバが、前記照合処理工程により算出された照合値を前記制御サーバに送信する照合結果送信工程と、前記照合結果送信工程により各認証サーバから送信された照合値に基づいて、前記制御サーバが認証結果の総合判定を行う判定処理工程とを含んだことを特徴とする。

本発明によれば、制御サーバが、所定の端末装置から受け取った利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御し、各認証サーバが制御サーバから受信した部分生体情報をあらかじめ登録した登録生体情報と照合処理して照合値を算出し、制御サーバが各認証サーバから受け取った照合値に基づいて認証結果の総合判定を行うよう構成したので、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行うことができる。

また、本発明によれば、判定結果を端末装置に通知し、端末装置が制御サーバから通知された利用者の判定結果を所定の表示部に表示制御するよう構成したので、利用者が端末装置付近に所在すれば認証結果を確認することができる。

また、本発明によれば、端末装置から受信した生体情報を複数の部分生体情報に分割し、分割した各部分生体情報の送信先の認証サーバをそれぞれ複数の認証サーバから選択し、選択した各部分生体情報を該当する認証サーバに送信するよう構成したので、その都度部分生体情報の送信先を変えることができる。

また、本発明によれば、受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御し、各認証サーバから受信した照合値に基づいて認証結果の総合判定を行うよう構成したので、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行うことができる。

以下に添付図面を参照して、本発明に係る個人認証システム、制御サーバ及び個人認証方法の好適な実施例を詳細に説明する。なお、ここでは利用者の顔を撮像した顔画像を生体情報として用いる場合を示すこととし、また説明の便宜上３台の認証サーバを用いた場合を例示することとする。

まず、本実施例１に係る個人認証システムのシステム構成及びその概念について説明する。図１は、本実施例１に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。

同図に示すように、この個人認証システムは、カメラ１０ａ、カードリーダ１０ｂ及び表示部１０ｃを有する端末装置１０と、顔画像データベース（ＤＢ）３０ａ〜３２ａをそれぞれ有する認証サーバ３０〜３２と、顔画像の転送並びに認証に係る制御を行うコントロールサーバ４０とがネットワーク２０を介して接続されたシステム構成となる。

端末装置１０は、カメラ１０ａで撮像した利用者の顔画像に基づいてカードリーダ１０ｂに挿入したＩＣカードを保持する利用者が本人であるか否かの認証判定結果を表示部１０ｃに表示する装置である。カメラ１０ａは、利用者の顔画像を取得するためのＣＣＤ等で形成された撮像装置であり、カードリーダ１０ｂは、利用者が所有するＩＣカード等に記憶された個人識別情報を読み取るリーダ装置である。このカードリーダｂは接触式又は非接触式のいずれのものであっても良く、かかるカードリーダ１０ｂの代わりにテンキー等で個人識別情報を受け付けても構わない。表示部１０ｃは、認証結果を表示するためのＣＲＴや液晶パネル等の表示デバイスである。

具体的には、この端末装置１０では、カードリーダ１０ｂで読み取ったカードＩＤを暗号化したユーザＩＤをカメラ１０ａで撮像した顔画像データとともにコントロールサーバ４０に送信し、このコントロールサーバ４０から返送される認証判定結果を表示部１０ｃに表示する。このように、この端末装置１０は装置内部で自ら認証処理を行うものではなく、コントロールサーバ４０に顔画像データを送信して認証依頼を行い、このコントロールサーバ４０から返信される認証判定結果を表示するものである。なお、認証判定処理については、コントロールサーバ４０から部分顔画像データを受け取った認証サーバ３０〜３２が照合処理を行い、各認証サーバ３０〜３２から返信される照合値に基づいてコントロールサーバ４０が認証判定を行うことになる。

このため、かかる端末装置１０はカメラ１０ａ、カードリーダ１０ｂ及び表示部１０ｃの制御機能とコントロールサーバ４０とのデータ通信機能があれば良く、高度な認証機能等を搭載する必要はないが、この端末装置１０は、カードリーダ１０ｂで読み取ったカードＩＤを暗号化してユーザＩＤを生成するため、かかるカードＩＤを暗号化する暗号化処理部を有する必要がある。このように、カードＩＤを暗号化してユーザＩＤを生成する理由は、厳重に管理すべき個人情報であるカードＩＤがネットワーク２０上を流通することによるセキュリティ上の問題を解消するためである。

ネットワーク２０は、インターネット、ＬＡＮ（Local Area Network）又は公衆回線網等のデータを受け渡しするためのネットワークであり、ここではこのネットワーク２０がセキュアな環境にある必要がない。このネットワーク２０から第三者がデータを取得できないように顔画像データを分割した部分顔画像データを送信したり、この部分顔画像データを暗号化する等の措置を施しているからである。

認証サーバ３０〜３２は、コントロールサーバ４０から受信した部分顔画像データを顔画像データベース（ＤＢ）３０ａ〜３２ａに登録した顔画像データと照合してその照合結果（照合値）を端末装置１０に返送する処理を行うサーバ装置である。具体的には、あらかじめ各利用者の顔画像データを顔画像ＤＢ３０ａ〜３２ａに登録しておき、コントロールサーバ４０から部分顔画像データを受信した際に、この部分顔画像データとともに受信したユーザＩＤをキーとして顔画像ＤＢ３０ａ〜３２ａを検索して比較対象となる顔画像データを取得し、取得した顔画像データをコントロールサーバ４０から受信した部分顔画像データと照合することになる。

コントロールサーバ４０は、端末装置１０から受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバ３０〜３２のいずれかに送信するよう制御するとともに、各認証サーバ３０〜３２から受信した照合結果に基づいて認証処理するサーバ装置である。

次に、図１を用いてかかる個人認証システムの概念を説明する。ここでは、各認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａに顔画像データＡ等がすでに登録されているものとする。

同図に示すように、端末装置１０を操作する利用者が、カードリーダ１０ｂにＩＣカードを挿入して所定の認証開始操作を行うと、カメラ１０ａが利用者の顔画像Ｂを撮像するとともにカードリーダ１０ｂがＩＣカードからカードＩＤを読み取り、読み取ったカードＩＤを暗号化してユーザＩＤを生成する。そして、生成したユーザＩＤを顔画像データＢとともにコントロールサーバ４０に送信する。コントロールサーバ４０は、端末装置１０から受信した顔画像データＢを複数の部分顔画像データＢ１〜Ｂ３に分割してユーザＩＤとともに各認証サーバ３０〜３２に送信する。

その後、認証サーバ３０〜３２は、受信したユーザＩＤを用いて顔画像ＤＢ３０ａ〜３２ａから比較対象となる登録顔画像データＡを検索して取り出し、取り出した登録顔画像データＡの部分顔画像データ部分と部分顔画像データＢ１〜Ｂ３をそれぞれ照合処理して照合値を算出し、算出した照合値をコントロールサーバ４０に返送する。

その後、各認証サーバ３０〜３２から照合値を受信したコントロールサーバ４０は、総合的な認証結果を算出し、算出した認証結果を端末装置１０に送信し、端末装置１０はこの認証結果を表示部１０ｃ上に表示する。なお、ここでは表示部１０ｃに認証結果を表示することとしたが、実際には本人であると認証された場合にドアの開錠を行う等の制御を行うことになる。また、ここでは説明の便宜上、図示した顔画像データＢを部分顔画像データＢ１〜Ｂ３に分割する場合を示したが、実際には個人を特定できないデータ群として送信することになる。

次に、図１に示したコントロールサーバ４０の構成について具体的に説明する。図２は、図１に示したコントロールサーバ４０の構成を示す機能ブロック図である。同図に示すように、このコントロールサーバ４０は、画像分解処理部４０ａ、暗号化／復号化処理部４０ｂ、通信処理部４０ｃ、乱数発生部４０ｄ、判定処理部４０ｅ、記憶部４０ｆ及び制御部４０ｇを有する。

画像分解処理部４０ａは、利用者の顔部分を撮像した顔画像データを端末装置１０から受信したならば、この顔画像データを複数の部分顔画像データに分割する処理部である。具体的には、この画像分解処理部４０ａは、例えば図３に示すように顔画像データを１０×１０の部分顔画像データに分割する。なお、かかる分割数はいかなるものであっても構わない。

暗号化／復号化処理部４０ｂは、端末装置１０から受信した暗号化された顔画像データを復号化するとともに、画像分解処理部４０ａで分割された各部分顔画像データを暗号化する処理部である。ただし、端末装置１０から受信したユーザＩＤについてはカードＩＤに復号化しない。あくまでもコントロールサーバ４０及び各認証サーバ３０〜３２に受け渡されるのはユーザＩＤであり、個人情報であるカードＩＤを保護するためである。なお、この暗号化／復号化処理部４０ｂが採用する暗号化ロジックは、公開鍵暗号系又は慣用暗号系のいかなるものであっても良いが、復号化ロジックは端末装置１０の暗号化ロジックに対応し、暗号化ロジックについては後述する認証サーバ３０等に設けられる復号化処理部３０ｄの復号化ロジックに対応するものでなければならない。

通信処理部４０ｃは、ネットワーク２０を介して認証サーバ３０〜３２との間でデータ送受信を行うための通信インターフェースを司る処理部であり、ネットワーク２０がＬＡＮ若しくはインターネットである場合には、ＴＣＰ／ＩＰプロトコルに基づいた送受信処理を行う。

乱数発生部４０ｄは、最大長周期系列（Ｍ系列）の疑似乱数（以下、単に「乱数」と言う）を発生するＦＳＲ（Feedback Sift Register）等であり、この乱数発生部４０ｄで発生した乱数は、画像分解処理部４０ａで分割された各部分顔画像データの送信先の認証サーバと送信順序を決定する際に利用される。なお、この乱数発生部４０ｄは、再現可能であれば物理乱数を発生するものであっても良い。

判定処理部４０ｅは、各認証サーバ３０〜３２から受信した照合値に基づいて認証結果の総合判定を行う処理部である。例えば、各各認証サーバ３０〜３２から受信した照合値を加算した値に基づいて総合判定したり、各各認証サーバ３０〜３２から受信した照合値を重み付け加算した値に基づいて総合判定することができる。記憶部４０ｆは、ハードディスクやＲＡＭ等の記憶デバイスであり、具体的には暗号化／復号化処理部４０ｂで使用する暗号鍵等を記憶する。

制御部４０ｇは、コントロールサーバ４０の全体制御を行う制御部であり、乱数発生部４０ｄで発生された乱数に基づいて各部分顔画像データの送信先の認証サーバと送信順序を決定する処理等を行う。

次に、図１に示した認証サーバ３０〜３２の構成について説明する。図４は、図１に示した認証サーバ３０の構成を示す機能ブロック図である。なお、ここでは説明の便宜上認証サーバ３０の構成を例示することとするが認証サーバ３１及び３２についても同様の構成となる。

同図に示すように、この認証サーバ３０は、顔画像データベース（ＤＢ）３０ａ、データベース管理部３０ｂ、通信処理部３０ｃ、復号化処理部３０ｄ、照合処理部３０ｅ及び制御部３０ｆを有する。

顔画像ＤＢ３０ａは、各利用者の顔画像データを登録顔画像データとして利用者の個人識別情報に対応付けて蓄積したデータベースであり、本実施例では、カードＩＤを暗号化したユーザＩＤごとに登録顔画像データを蓄積している。データベース管理部３０ｂは、この顔画像ＤＢ３０ａへの顔画像データの登録や個人識別情報であるユーザＩＤに基づく検索等を行う管理部である。本実施例１では、上記部分顔画像データではなく利用者の顔画像データをこの顔画像ＤＢ３０ａに蓄積することとしている。

通信処理部３０ｃは、上記コントロールサーバ４０の通信処理部４０ｃと同様に、ネットワーク２０を介してコントロールサーバ４０との間でデータ送受信を行うための通信インターフェースを司る処理部である。復号化処理部３０ｄは、コントロールサーバ４０の暗号化／復号化処理部４０ｂの暗号化処理に対応する復号化処理を行う処理部である。

照合処理部３０ｅは、個人識別情報に基づいてデータベース管理部３０ｂにより検索された顔画像データとコントロールサーバ４０から受信した部分顔画像データとの照合を行う処理部である。なお、この照合処理部３０ｅが行う照合処理についてはいかなるものであっても良い。

制御部３０ｆは、認証サーバ３０の全体制御を行う制御部であり、データベース管理部３０ｂへの登録指示や検索指示、復号化処理部３０ｄへの復号処理の指示、照合処理部３０ｅへの照合指示等を行う。

次に、図１に示した認証サーバ３０の顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順について説明する。図５は、図１に示した認証サーバ３０の顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順を示すフローチャートである。なお、ここでは認証サーバ３０の処理手順を示しているが、認証サーバ３１及び３２も同様の処理手順となる。

同図に示すように、端末装置１０は、まずカードリーダ１０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ１０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ１０２）。一方、カメラ１０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ１０３）、取得した顔画像データを暗号化処理して（ステップＳ１０４）、この暗号化顔画像データをユーザＩＤとともにコントロールサーバ４０に転送する（ステップＳ１０５）。

この暗号化顔画像データを受信したコントロールサーバ４０は、暗号化／復号化処理部４０ｂにより暗号化顔画像データを復号化した後（ステップＳ１０６）、画像分解処理部４０ａにより顔画像データを部分顔画像データに分解し（ステップＳ１０７）、暗号化／復号化処理部４０ｂでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成し（ステップＳ１０８）、生成した暗号化部分顔画像データとユーザＩＤとを全ての認証サーバ３０〜３２に同報送信する（ステップＳ１０９）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ１１０）、復号化された部分顔画像データ全部をデータベース管理部３０ｂが登録顔画像データとしてユーザＩＤに対応付けて顔画像ＤＢ３０ａに格納する（ステップＳ１１１）。

その後、認証サーバ３０はコントロールサーバ４０に登録完了通知を行い（ステップＳ１１２）、コントロールサーバ４０が各認証サーバ３０〜３２から登録完了通知を受信したならば（ステップＳ１１３）、端末装置１０に対して登録完了通知を行い（ステップＳ１１４）、端末装置１０の表示部１０ｃ上に登録完了の旨を表示して（ステップＳ１１５）、上記一連の顔画像データの登録処理を終了する。

次に、図１に示した個人認証システムで利用者の個人認証を行う際の処理手順について説明する。図６は、図１に示した個人認証システムで利用者の個人認証を行う際の処理手順を示すフローチャートである。

同図に示すように、端末装置１０は顔画像データの登録時と同様に、カードリーダ１０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ２０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ２０２）。一方、カメラ１０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ２０３）、取得した顔画像データを暗号化処理して（ステップＳ２０４）、この暗号化顔画像データをユーザＩＤとともにコントロールサーバ４０に転送する（ステップＳ２０５）。

この暗号化顔画像データを受信したコントロールサーバ４０は、暗号化／復号化処理部４０ｂにより暗号化顔画像データを復号化した後（ステップＳ２０６）、画像分解処理部４０ａにより顔画像データを部分顔画像データに分解する（ステップＳ２０７）。

その後、乱数発生部４０ｄで乱数を発生し、各部分顔画像データをどの認証サーバ３０〜３２に送信するか、どの順序で各部分顔画像データを送信するかを決定した後（ステップＳ２０８）、暗号化／復号化処理部４０ｂでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成する（ステップＳ２０９）。その後、生成した暗号化部分顔画像データをすでに決定した送信順序で該当する認証サーバ３０〜３２にユーザＩＤとともに個別送信する（ステップＳ２１０）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ２１１）、データベース管理部３０ｂがユーザＩＤに基づいて顔画像ＤＢ３０ａから部分顔画像データ全体を取得する（ステップＳ２１２）。

その後、認証サーバ３０の照合処理部３０ｅは、取得した部分顔画像データのうち比較対象となる部分画像データとコントロールサーバ４０から受信した部分顔画像データとの間で照合処理を行い（ステップＳ２１３）、その照合値を照合結果としてコントロールサーバ４０に送信する（ステップＳ２１４）。

そして、コントロールサーバ４０が、全ての認証サーバ３０〜３２から照合値を受信したならば（ステップＳ２１５肯定）、判定処理部４０ｅが認証結果の総合判定を行い（ステップＳ２１６）、判定結果を端末装置１０に通知する（ステップＳ２１７）。この判定結果を受信した端末装置１０は、判定結果を表示部１０ｃに表示するとともに（ステップＳ２１８）、ドアの開錠制御等の必要な制御を行う。

上述してきたように、本実施例１では、コントロールサーバ４０が端末装置１０が撮像した利用者の顔画像データを部分顔画像データに分割した後さらに暗号化してそれぞれ複数の認証サーバ３０〜３２のいずれかに送信し、各認証サーバ３０〜３２は、コントロールサーバ４０から受信した暗号化部分顔画像データを復号化した後に顔画像ＤＢ３０ａにあらかじめ登録した登録顔画像データと照合処理して照合結果をコントロールサーバ４０に送信し、コントロールサーバ４０は、各認証サーバ３０〜３２から受信した照合結果に基づいて認証結果の判定処理を行って判定結果を端末装置１０に通知するよう構成したので、ネットワークから利用者の顔画像データを意味ある形で取得することを難しくし、もって第三者に対する顔画像データ漏洩のリスクを低減することができる。

ところで、上記実施例１では、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａにそれぞれ利用者の部分顔画像データ全てを登録顔画像データとして蓄積することとしたが、これでは顔画像ＤＢ３０ａ〜３２ａに多くの記憶容量が必要となってしまう。そこで、本実施例２では、顔画像ＤＢ３０ａ〜３２ａに部分顔画像データの一部のみをそれぞれ蓄積する場合を示すこととする。

まず、本実施例２に係る個人認証システムのシステム構成及びその概念について説明する。図７は、本実施例２に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。

同図に示すように、この個人認証システムは図１に示すものと同様に、カメラ１０ａ、カードリーダ１０ｂ及び表示部１０ｃを有する端末装置１０と、画像データベース（ＤＢ）３０ａ〜３０ｃをそれぞれ有する認証サーバ３０〜３２と、コントロールサーバ４０とがネットワーク２０に接続されたシステム構成となる。なお、各装置構成は同様のものとなるのでここでは重複した説明を省略する。

ここで、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａには、図１に示すような顔画像データ全体が登録顔画像データとして格納されているわけではなく、それぞれ別個の部分顔画像データＡ１〜Ａ３が格納されている。つまり、認証サーバ３０〜３２にそれぞれ照合する部位を割り付け、担当する部位についての照合を行わせているのである。

ただし、かかる担当部位は、各利用者につき一律に固定することができるほか、利用者ごとに担当部位を変更することもできる。この場合には、どの認証サーバ３０〜３２が利用者のどの部位の担当をするかをコントロールサーバ４０側で管理する必要がある。

そして、端末装置１０を操作する利用者が、カードリーダ１０ｂにＩＣカードを挿入して所定の認証開始操作を行うと、カメラ１０ａが利用者の顔画像を撮像とともにカードリーダ１０ｂがＩＣカードからカードＩＤを読み取り、読み取ったカードＩＤを暗号化してユーザＩＤを生成する。そして、生成したユーザＩＤを顔画像データＢとともにコントロールサーバ４０に送信する。この顔画像データＢを受信したコントロールサーバ４０は、受信した顔画像データＢを複数の部分顔画像データＢ１〜Ｂ３に分割してユーザＩＤとともに各認証サーバ３０〜３２に送信する。なお、コントロールサーバ４０では、部分顔画像データＢ１〜Ｂ３のどの部分がどの認証サーバ３０〜３２に対応付けられているかを確認しつつ送信することになる。

その後、認証サーバ３０〜３２は、受信したユーザＩＤを用いて顔画像ＤＢ３０ａ〜３０ｃから比較対象となる登録顔画像データＡ１〜Ａ３を検索して取り出し、取り出した登録顔画像データＡ１〜Ａ３と部分顔画像データＢ１〜Ｂ３をそれぞれ照合処理して照合値を算出し、算出した照合値をコントロールサーバ４０に返送する。

その後、各認証サーバ３０〜３２から照合値を受信したコントロールサーバ４０は、総合的な認証結果を算出し、算出した認証結果を端末装置１０に送信し、端末装置１０が表示部１０ｃ上に認証結果を表示する。なお、実施例１の場合と同様に表示部１０ｃに認証結果を表示するほか、本人であると認証された場合にドアの開錠を行う等の制御を行うことができる。

次に、本実施例２に係る顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順について説明する。図８は、本実施例２に係る顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順を示すフローチャートである。同図に示すように、端末装置１０は、まずカードリーダ１０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ３０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ３０２）。一方、カメラ１０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ３０３）、取得した顔画像データを暗号化処理して（ステップＳ３０４）、この暗号化顔画像データをユーザＩＤとともにコントロールサーバ４０に転送する（ステップＳ３０５）。

この暗号化顔画像データを受信したコントロールサーバ４０は、暗号化／復号化処理部４０ｂにより暗号化顔画像データを復号化した後（ステップＳ３０６）、画像分解処理部４０ａにより顔画像データを部分顔画像データに分解する（ステップＳ３０７）。

その後、各部分顔画像データの送信先である認証サーバを特定する（ステップＳ３０８）。例えば、図３に示した番号１９、３６、５４…が認証サーバ３０に割り付けられ、番号５８、９９、４２…が認証サーバ３１に割り付けられ、番号６２、５９、１…が認証サーバ３２に割り付けられている場合には、かかる割り当て関係に基づいて該当する認証サーバ３０〜３２を特定することになる。

その後、暗号化／復号化処理部４０ｂでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成し（ステップＳ３０９）、生成した暗号化部分顔画像データをユーザＩＤとともに該当する認証サーバ３０〜３２に送信する（ステップＳ３１０）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ３１１）、復号化された部分顔画像データをデータベース管理部３０ｂが登録顔画像データとしてユーザＩＤに対応付けて顔画像ＤＢ３０ａに格納する（ステップＳ３１２）。

その後、認証サーバ３０はコントロールサーバ４０に登録完了通知を行い（ステップＳ３１３）、コントロールサーバ４０が各認証サーバ３０〜３２から登録完了通知を受信したならば（ステップＳ３１４）、端末装置１０に対して登録完了通知を行い（ステップＳ３１５）、端末装置１０の表示部１０ｃ上に登録完了の旨を表示して（ステップＳ３１６）、上記一連の顔画像データの登録処理を終了する。

次に、本実施例２に係る利用者の個人認証を行う際の処理手順について説明する。図９は、本実施例２に係る利用者の個人認証を行う際の処理手順を示すフローチャートである。同図に示すように、端末装置１０は顔画像データの登録時と同様に、カードリーダ１０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ４０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ４０２）。一方、カメラ１０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ４０３）、取得した顔画像データを暗号化処理して（ステップＳ４０４）、この暗号化顔画像データをユーザＩＤとともにコントロールサーバ４０に転送する（ステップＳ４０５）。

この暗号化顔画像データを受信したコントロールサーバ４０は、暗号化／復号化処理部４０ｂにより暗号化顔画像データを復号化した後（ステップＳ４０６）、画像分解処理部４０ａにより顔画像データを部分顔画像データに分解する（ステップＳ４０７）。

その後、各部分顔画像データをどの認証サーバ３０〜３２に送信するか、どの順序で各部分顔画像データを送信するかを特定した後（ステップＳ４０８）、暗号化／復号化処理部４０ｂでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成する（ステップＳ４０９）。その後、生成した暗号化部分顔画像データを該当する認証サーバ３０〜３２にユーザＩＤとともに個別送信する（ステップＳ４１０）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ４１１）、データベース管理部３０ｂがユーザＩＤに基づいて顔画像ＤＢ３０ａから部分顔画像データを取得する（ステップＳ４１２）。

その後、認証サーバ３０の照合処理部３０ｅは、取得した部分顔画像データとコントロールサーバ４０から受信した部分顔画像データとの間で照合処理を行い（ステップＳ４１３）、その照合値を照合結果としてコントロールサーバ４０に送信する（ステップＳ４１４）。

そして、コントロールサーバ４０が、全ての認証サーバ３０〜３２から照合値を受信したならば（ステップＳ４１５肯定）、判定処理部４０ｅが認証結果の総合判定を行い（ステップＳ４１６）、判定結果を端末装置１０に通知する（ステップＳ４１７）。この判定結果を受信した端末装置１０は、判定結果を表示部１０ｃに表示するとともに（ステップＳ４１８）、ドアの開錠制御等の必要な制御を行う。

上述してきたように、本実施例２では、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａに一部の部分顔画像データを登録顔画像データとして記憶させるとともに各認証サーバ３０〜３２に照合部位を分担させるよう構成したので、認証サーバ３０〜３２において利用者の個人情報（顔画像データ）全てを保持することがないため、顔画像ＤＢ３０ａ〜３２ａのいずれかが盗難にあったとしても意味ある個人情報の漏洩を防止することができる。加えて、顔画像ＤＢ３０ａ〜３２ａの記憶容量を低減できるため、より多くの利用者についての個人認証を行うことが可能となる。

なお、上記実施例１及び２では、コントロールサーバ４０をネットワーク２０に接続するシステム構成を採用したが、本発明はこれに限定されるものではなく、図１０に示すように、端末装置１０とコントロールサーバ４０をセキュアな回線で接続し、コントロールサーバ４０を介してネットワーク２０に接続するよう構成することもできる。かかるシステム構成を採用する場合には、端末装置１０〜コントロールサーバ４０間の暗号化／復号化処理を排除することができる。このシステム構成は、端末装置１０がコントロールサーバ４０の近傍に配設される場合に適しており、データ通信に係る時間を短縮することができる。

ところで、上記実施例１及び２では、端末装置１０と各認証サーバ３０〜３２の間にコントロールサーバ４０を介在させることとしたが、以下の実施例３及び４では、かかるコントロールサーバ４０を介在させない場合について説明する。なお、本実施例３では、コントロールサーバ４０の機能を端末装置に付与しているため、かかる端末装置をここでは認証端末５０と呼ぶこととする。

まず、本実施例３に係る個人認証システムのシステム構成及びその概念について説明する。図１１は、本実施例３に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。

同図に示すように、この個人認証システムは、カメラ５０ａ、カードリーダ５０ｂ及び表示部５０ｃを有する認証端末５０と顔画像データベース（ＤＢ）３０ａ〜３０ｃをそれぞれ有する認証サーバ３０〜３２がネットワーク２０を介して接続されたシステム構成となる。

認証端末５０は、カメラ５０ａで撮像した利用者の顔画像に基づいてカードリーダ５０ｂに挿入したＩＣカードを保持する利用者が本人であるか否かの認証判定結果を表示部５０ｃに表示する端末装置である。なお、この認証端末５０は、実施例１及び２に示したコントロールサーバ４０の機能をも有している。

具体的には、この認証端末５０では、カードリーダ５０ｂで読み取ったカードＩＤを暗号化したユーザＩＤをカメラ５０ａで撮像した顔画像データとともに認証サーバ３０〜３２に送信し、この認証サーバ３０〜３２から返送される照合値をもとに認証判定を行ってこの認証判定結果を表示部５０ｃに表示する。このように、この端末装置１０は認証判定処理については各認証サーバ３０〜３２に行わせ、その総合判定を自ら行っている。

ネットワーク２０は、インターネット、ＬＡＮ（Local Area Network）又は公衆回線網等のデータを受け渡しするためのネットワークであり、ここではこのネットワーク２０がセキュアな環境にある必要がない。

認証サーバ３０〜３２は、認証端末５０から受信した部分顔画像データを顔画像データベース（ＤＢ）３０ａ〜３２ａに登録した顔画像データと照合してその照合結果（照合値）を認証端末５０に返送する処理を行うサーバ装置である。具体的には、あらかじめ各利用者の顔画像データを顔画像ＤＢ３０ａ〜３２ａに登録しておき、認証端末５０から部分顔画像データを受信した際に、この部分顔画像データとともに受信したユーザＩＤをキーとして顔画像ＤＢ３０ａ〜３２ａを検索して比較対象となる顔画像データを取得し、取得した顔画像データを認証端末５０から受信した部分顔画像データと照合することになる。なお、この認証サーバ３０〜３２の構成については実施例１に示したものと同様のものとなるので、ここではその説明を省略する。

次に、図１１を用いてかかる個人認証システムの概念を説明する。ここでは、各認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａに顔画像データＡ等がすでに登録されているものとする。

同図に示すように、認証端末５０を操作する利用者が、カードリーダ５０ｂにＩＣカードを挿入して所定の認証開始操作を行うと、カメラ５０ａが利用者の顔画像を撮像するとともにカードリーダ５０ｂがＩＣカードからカードＩＤを読み取り、読み取ったカードＩＤを暗号化してユーザＩＤを生成する。そして、この顔画像データを複数の部分顔画像データＢ１〜Ｂ３に分割してユーザＩＤとともに各認証サーバ３０〜３２に送信する。

その後、認証サーバ３０〜３２は、受信したユーザＩＤを用いて顔画像ＤＢ３０ａ〜３０ｃから比較対象となる登録顔画像データＡを検索して取り出し、取り出した登録顔画像データＡの部分顔画像データ部分と部分顔画像データＢ１〜Ｂ３をそれぞれ照合処理して照合値を算出し、算出した照合値を認証端末５０に返送する。

その後、各認証サーバ３０〜３２から照合値を受信した認証端末５０は、総合的な認証結果を算出し、算出した認証結果を表示部５０ｃ上に表示する。なお、ここでは表示部５０ｃに認証結果を表示することとしたが、実際には本人であると認証された場合にドアの開錠を行う等の制御を行うことになる。また、ここでは説明の便宜上、図示した顔画像データＢを部分顔画像データＢ１〜Ｂ３に分割する場合を示したが、実際には個人を特定できないデータ群として送信することになる。

次に、図１１に示した認証端末５０の構成について具体的に説明する。図１２は、図１１に示した認証端末５０の構成を示す機能ブロック図である。同図に示すように、この認証端末５０は、カメラ５０ａ、カードリーダ５０ｂ、表示部５０ｃ、画像分解処理部５０ｄ、暗号化処理部５０ｅ、通信処理部５０ｆ、乱数発生部５０ｇ、判定処理部５０ｈ、記憶部５０ｉ及び制御部５０ｊを有する。

カメラ５０ａは、利用者の顔画像を取得するためのＣＣＤ等で形成された撮像装置であり、カードリーダ５０ｂは、利用者が所有するＩＣカード等に記憶された個人識別情報を読み取るリーダ装置である。このカードリーダｂは接触式又は非接触式のいずれのものであっても良く、かかるカードリーダ５０ｂの代わりにテンキー等で個人識別情報を受け付けても構わない。表示部５０ｃは、認証結果を表示するためのＣＲＴや液晶パネル等の表示デバイスである。

画像分解処理部５０ｄは、図２に示した画像分解処理部４０ａに対応するものであり、カメラ５０ｃで利用者の顔部分を撮像した顔画像データを複数の部分顔画像データに分割する処理部である。暗号化処理部５０ｅは、図２に示した暗号化／復号化処理部４０ｂに対応するものであり、画像分解処理部５０ｄで分割された各部分顔画像データを暗号化する処理部である。また、この暗号化処理部５０ｅは、カードリーダ５０ｂが読み取ったカードＩＤを暗号化してユーザＩＤを生成する機能をも有する。この暗号化処理部５０ｅが採用する暗号化ロジックは、公開鍵暗号系又は慣用暗号系のいかなるものであっても良いが、後述する認証サーバ３０等に設けられる復号化処理部３０ｄの復号化処理に対応するものでなければならない。

通信処理部５０ｆは、図２に示した通信処理部４０ｃに対応するものであり、ネットワーク２０を介して認証サーバ３０〜３２との間でデータ送受信を行うための通信インターフェースを司る処理部であり、ネットワーク２０がＬＡＮ若しくはインターネットである場合には、ＴＣＰ／ＩＰプロトコルに基づいた送受信処理を行う。

乱数発生部５０ｇは、図２に示した乱数発生部４０ｄに対応するものであり、最大長周期系列（Ｍ系列）の乱数を発生するＦＳＲ等であり、この乱数発生部５０ｇで発生した乱数は、画像分解処理部５０ｄで分割された各部分顔画像データの送信先の認証サーバと送信順序を決定する際に利用される。なお、この乱数発生部５０ｇは、再現可能であれば物理乱数を発生するものであっても良い。

判定処理部５０ｈは、図２に示した判定処理部４０ｅに対応するものであり、各認証サーバ３０〜３２から受信した照合値に基づいて認証結果の総合判定を行う処理部である。例えば、各各認証サーバ３０〜３２から受信した照合値を加算した値に基づいて総合判定したり、各各認証サーバ３０〜３２から受信した照合値を重み付け加算した値に基づいて総合判定することができる。記憶部５０ｉは、図２に示した記憶部４０ｆに対応するものであり、ハードディスクやＲＡＭ等の記憶デバイスであり、具体的には暗号化処理部５０ｅで使用する暗号鍵等を記憶する。

制御部５０ｊは、認証端末５０の全体制御を行う制御部であり、カメラ５０ａへの撮像指示やカードリーダ５０ｂへのデータ読み取り指示等を行うほか、乱数発生部５０ｇで発生された乱数に基づいて各部分顔画像データの送信先の認証サーバと送信順序を決定する処理を行う。

次に、図１１に示した認証サーバ３０の顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順について説明する。図１３は、図１１に示した認証サーバ３０の顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順を示すフローチャートである。なお、ここでは認証サーバ３０の処理手順を示しているが、認証サーバ３１及び３２も同様の処理手順となる。

同図に示すように、認証端末５０は、まずカードリーダ５０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ５０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ５０２）。一方、カメラ５０ａにより利用者の顔画像を撮像して顔画像データを取得する（ステップＳ５０３）。

その後、画像分解処理部５０ｄにより顔画像データを部分顔画像データに分解し（ステップＳ５０４）、暗号化処理部５０ｅでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成し（ステップＳ５０５）、生成した暗号化部分顔画像データをユーザＩＤとともに全ての認証サーバ３０〜３２に同報送信する（ステップＳ５０６）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ５０７）、データベース管理部３０ｂが復号化された部分顔画像データ全部を登録顔画像データとしてユーザＩＤに対応付けて顔画像ＤＢ３０ａに格納する（ステップＳ５０８）。

その後、認証サーバ３０は認証端末５０に登録完了通知を行い（ステップＳ５０９）、認証端末５０が各認証サーバ３０〜３２から登録完了通知を受信したならば（ステップＳ５１０）、上記一連の顔画像データの登録処理を終了する。

次に、図１１に示した個人認証システムで利用者の個人認証を行う際の処理手順について説明する。図１６は、図１１に示した個人認証システムで利用者の個人認証を行う際の処理手順を示すフローチャートである。

同図に示すように、認証端末５０は顔画像データの登録時と同様に、カードリーダ５０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ６０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ６０２）。一方、カメラ５０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ６０３）、画像分解処理部５０ｄにより顔画像データを部分顔画像データに分解する（ステップＳ６０４）。

その後、乱数発生部５０ｇで乱数を発生し、各部分顔画像データをどの認証サーバ３０〜３２に送信するか、どの順序で各部分顔画像データを送信するかを決定した後（ステップＳ６０５）、暗号化処理部５０ｅでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成する（ステップＳ６０６）。その後、生成した暗号化部分顔画像データをすでに決定した送信順序で該当する認証サーバ３０〜３２にユーザＩＤとともに個別送信する（ステップＳ６０７）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ６０８）、データベース管理部３０ｂがユーザＩＤに基づいて顔画像ＤＢ３０ａから部分顔画像データ全体を取得する（ステップＳ６０９）。

その後、認証サーバ３０の照合処理部３０ｅは、取得した部分顔画像データのうち比較対象となる部分画像データと認証端末５０から受信した部分顔画像データとの間で照合処理を行い（ステップＳ６１０）、その照合値を照合結果として認証端末５０に送信する（ステップＳ６１１）。

そして、認証端末５０が、全ての認証サーバ３０〜３２から照合値を受信したならば（ステップＳ６１２肯定）、判定処理部５０ｈが認証結果の総合判定を行い（ステップＳ６１３）、判定結果を表示部５０ｃに表示するとともに（ステップＳ６１４）、ドアの開錠制御等の必要な制御を行う。

上述してきたように、本実施例３では、認証端末５０が利用者の顔画像データを部分顔画像データに分割した後さらに暗号化してそれぞれ複数の認証サーバ３０〜３２のいずれかに送信し、各認証サーバ３０〜３２は、認証端末５０から受信した暗号化部分顔画像データを復号化した後に顔画像ＤＢ３０ａにあらかじめ登録した登録顔画像データと照合処理して照合結果を認証端末５０に送信し、認証端末５０は、各認証サーバ３０〜３２から受信した照合結果に基づいて認証結果の判定処理を行うよう構成したので、ネットワークから利用者の顔画像データを意味ある形で取得することを難しくし、もって第三者に対する顔画像データ漏洩のリスクを低減することができる。

ところで、上記実施例３では、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａにそれぞれ利用者の部分顔画像データ全てを登録顔画像データとして蓄積することとしたが、これでは顔画像ＤＢ３０ａ〜３２ａに多くの記憶容量が必要となってしまう。そこで、本実施例４では、顔画像ＤＢ３０ａ〜３２ａに部分顔画像データの一部のみをそれぞれ蓄積する場合を示すこととする。

まず、本実施例４に係る個人認証システムのシステム構成及びその概念について説明する。図１５は、本実施例４に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。

同図に示すように、この個人認証システムは、カメラ５０ａ、カードリーダ５０ｂ及び表示部５０ｃを有する認証端末５０と顔画像データベース（ＤＢ）３０ａ〜３０ｃをそれぞれ有する認証サーバ３０〜３２がネットワーク２０を介して接続されたシステム構成となる。なお、各装置構成は同様のものとなるのでここでは重複した説明を省略する。

ここで、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａには、図３に示すような顔画像データ全体が登録顔画像データとして格納されているわけではなく、それぞれ別個の部分顔画像データＡ１〜Ａ３が格納されている。つまり、認証サーバ３０〜３２にそれぞれ照合する部位を割り付け、担当する部位についての照合を行わせているのである。

ただし、かかる担当部位は、各利用者につき一律に固定することができるほか、利用者ごとに担当部位を変更することもできる。この場合には、どの認証サーバ３０〜３２が利用者のどの部位の担当をするかを認証端末５０側で管理する必要がある。

そして、認証端末５０を操作する利用者が、カードリーダ５０ｂにＩＣカードを挿入して所定の認証開始操作を行うと、カメラ５０ａが利用者の顔画像を撮像するとともにカードリーダ５０ｂがＩＣカードからカードＩＤを読み取り、読み取ったカードＩＤを暗号化してユーザＩＤを生成する。そして、この顔画像データを複数の部分顔画像データＢ１〜Ｂ３に分割してユーザＩＤとともに各認証サーバ３０〜３２に送信する。なお、認証端末５０では、部分顔画像データＢ１〜Ｂ３のどの部分がどの認証サーバ３０〜３２に対応付けられているかを確認しつつ送信することになる。

その後、認証サーバ３０〜３２は、受信したユーザＩＤを用いて顔画像ＤＢ３０ａ〜３０ｃから比較対象となる登録顔画像データＡ１〜Ａ３を検索して取り出し、取り出した登録顔画像データＡ１〜Ａ３と部分顔画像データＢ１〜Ｂ３をそれぞれ照合処理して照合値を算出し、算出した照合値を認証端末５０に返送する。

その後、各認証サーバ３０〜３２から照合値を受信した認証端末５０は、総合的な認証結果を算出し、算出した認証結果を表示部５０ｃ上に表示する。なお、実施例１の場合と同様に表示部５０ｃに認証結果を表示するほか、本人であると認証された場合にドアの開錠を行う等の制御を行うことができる。

次に、本実施例４に係る顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順について説明する。図１６は、本実施例４に係る顔画像ＤＢ３０ａに顔画像データを登録するまでの処理手順を示すフローチャートである。同図に示すように、認証端末５０は、まずカードリーダ５０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ７０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ７０２）。一方、カメラ５０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ７０３）、画像分解処理部５０ｄにより顔画像データを部分顔画像データに分解する（ステップＳ７０４）。

その後、各部分顔画像データの送信先である認証サーバを特定する（ステップＳ７０５）。例えば、図３に示した番号１９、３６、５４…が認証サーバ３０に割り付けられ、番号５８、９９、４２…が認証サーバ３１に割り付けられ、番号６２、５９、１…が認証サーバ３２に割り付けられている場合には、かかる割り当て関係に基づいて該当する認証サーバ３０〜３２を特定することになる。

その後、暗号化処理部５０ｅでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成し（ステップＳ７０６）、生成した暗号化部分顔画像データをユーザＩＤとともに該当する認証サーバ３０〜３２に送信する（ステップＳ７０７）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ７０８）、データベース管理部３０ｂが復号化された部分顔画像データを登録顔画像データとしてユーザＩＤに対応付けて顔画像ＤＢ３０ａに格納する（ステップＳ７０９）。

その後、認証サーバ３０は認証端末５０に登録完了通知を行い（ステップＳ７１０）、認証端末５０が各認証サーバ３０〜３２から登録完了通知を受信したならば（ステップＳ７１１）、上記一連の顔画像データの登録処理を終了する。

次に、本実施例４に係る利用者の個人認証を行う際の処理手順について説明する。図１７は、本実施例４に係る利用者の個人認証を行う際の処理手順を示すフローチャートである。同図に示すように、認証端末５０は顔画像データの登録時と同様に、カードリーダ５０ａでＩＣカード内のカードＩＤを読み取るとともに（ステップＳ８０１）、読み取ったカードＩＤを暗号化処理してユーザＩＤを生成する（ステップＳ８０２）。一方、カメラ５０ａにより利用者の顔画像を撮像して顔画像データを取得し（ステップＳ８０３）、画像分解処理部５０ｄにより顔画像データを部分顔画像データに分解する（ステップＳ８０４）。

その後、各部分顔画像の送信先サーバを特定した後（ステップＳ８０５）、暗号化処理部５０ｅでこの部分顔画像データを暗号化処理して暗号化部分顔画像データを生成し（ステップＳ８０６）、生成した暗号化部分顔画像データを所定の送信順序であらかじめ決められた認証サーバ３０〜３２にユーザＩＤとともに個別送信される（ステップＳ８０７）。

この暗号化部分顔画像データ及びユーザＩＤを受信した認証サーバ３０は、暗号化部分顔画像データを復号化処理部３０ｄで復号化するとともに（ステップＳ８０８）、データベース管理部３０ｂがユーザＩＤに基づいて顔画像ＤＢ３０ａから部分顔画像データ全体を取得する（ステップＳ８０９）。

その後、認証サーバ３０の照合処理部３０ｅは、取得した部分顔画像データのうち比較対象となる部分画像データと認証端末５０から受信した部分顔画像データとの間で照合処理を行い（ステップＳ８１０）、その照合値を照合結果として認証端末５０に送信する（ステップＳ８１１）。

そして、認証端末５０が、全ての認証サーバ３０〜３２から照合値を受信したならば（ステップＳ８１２肯定）、判定処理部５０ｈが認証結果の総合判定を行い（ステップＳ８１３）、判定結果を表示部５０ｃに表示するとともに（ステップＳ８１４）、ドアの開錠制御等の必要な制御を行う。

上述してきたように、本実施例４では、認証サーバ３０〜３２の顔画像ＤＢ３０ａ〜３２ａに一部の部分顔画像データを登録顔画像データとして記憶させるとともに各認証サーバ３０〜３２に照合部位を分担させるよう構成したので、認証サーバ３０〜３２において利用者の個人情報（顔画像データ）全てを保持することがないため、顔画像ＤＢ３０ａ〜３２ａのいずれかが盗難にあったとしても意味ある個人情報の漏洩を防止することができる。加えて、顔画像ＤＢ３０ａ〜３２ａの記憶容量を低減できるため、より多くの利用者についての個人認証を行うことが可能となる。

なお、本実施例４及び上記実施例２では、各認証サーバ３０〜３２が担当する部位をあらかじめ規定する場合を示したが、本発明はこれに限定されるものではなく、顔画像データを登録する都度変更することもできる。また、本実施例４及び上記実施例２では、部分顔画像データの送信順序についても固定化する場合を示したが、本発明はこれに限定されるものではなく、送信順序については乱数に基づいて選択するよう構成することもできる。

また、本実施例４及び上記実施例２では、その認証サーバ３０〜３２が、いかなる部位を担当するかについての説明を省略したが、顔画像データの場合には照合値に大きな影響を及ぼす特徴部位（目、鼻、口等）とそうでない部位が存在するため、特徴部位が均等になるように各認証サーバ３０〜３２に割り付けを行うことにより、認証端末５０が認証サーバ３０〜３２から受信する照合値を同レベルの価値のものとして総合判定の際に考慮することができる。

ただし、人の顔は、指紋などと異なり経年変化等や疲れ等で変化する部位と変化があまり見られない部位が存在するため、これらを考慮して担当部位を認証サーバ３０〜３２に割り付け、認証端末５０が認証サーバ３０〜３２から受信する照合値に必要な重み付けを行いつつ、より実情に合った認証を行うこともできる。

また、本実施例１〜４では、３台の認証サーバ３０〜３２を設けた場合を示したが、本発明はこれに限定されるものではなく、２台の認証サーバを設けた場合や４台以上の認証サーバを設けた場合にも適用することができる。さらに、本実施例１〜４では、利用者が保持するＩＣカードを用いる場合を示したが、本発明はこれに限定されるものではなく、ＩＣタグ等の他の個人特定情報を利用することもできる。

また、本実施例１〜４では、利用者の生体情報として顔画像を用いる場合を示したが、本発明はこれに限定されるものではなく、指紋データや掌紋データ等の他の生体情報を用いて個人認証する場合に適用することもできる。

本発明にかかる個人認証システム、制御サーバ及び個人認証方法は、生体情報漏洩のリスクを低減しつつ、より多くの利用者の個人照合を効率良く行う場合に有用である。

本実施例１に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。 図１に示したコントロールサーバの構成を示す機能ブロック図である。 図２に示した画像分割処理部による画像分割の一例を示す図である。 図１に示した認証サーバの構成を示す機能ブロック図である。 図１に示した認証サーバの顔画像ＤＢに顔画像データを登録するまでの処理手順を示すフローチャートである。 図１に示した個人認証システムで利用者の個人認証を行う際の処理手順を示すフローチャートである。 本実施例２に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。 本実施例２に係る顔画像ＤＢに顔画像データを登録するまでの処理手順を示すフローチャートである。 本実施例２に係る利用者の個人認証を行う際の処理手順を示すフローチャートである。 コントロールサーバを端末装置と直結するシステム構成の一例を示す図である。 本実施例３に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。 図１１に示した認証端末の構成を示す機能ブロック図である。 図１１に示した認証サーバの顔画像ＤＢに顔画像データを登録するまでの処理手順を示すフローチャートである。 図１１に示した個人認証システムで利用者の個人認証を行う際の処理手順を示すフローチャートである。 本実施例４に係る個人認証システムのシステム構成及びその概念を説明するための説明図である。 本実施例４に係る顔画像ＤＢに顔画像データを登録するまでの処理手順を示すフローチャートである。 本実施例４に係る利用者の個人認証を行う際の処理手順を示すフローチャートである。

符号の説明

Ａ，Ａ１，Ａ２，Ａ３ 登録顔画像データ
Ｂ 顔画像データ
Ｂ１，Ｂ２，Ｂ３ 部分顔画像データ
１０ 端末装置
１０ａ カメラ
１０ｂ カードリーダ
１０ｃ 表示部
２０ ネットワーク
３０〜３２ 認証サーバ
３０ａ〜３２ａ 顔画像データベース（ＤＢ）
３０ｂ データベース管理部
３０ｃ 通信処理部
３０ｄ 復号化処理部
３０ｅ 照合処理部
３０ｆ 制御部
４０ コントロールサーバ
４０ａ 画像分解処理部
４０ｂ 暗号化／復号化処理部
４０ｃ 通信処理部
４０ｄ 乱数発生部
４０ｅ 判定処理部
４０ｆ 記憶部
４０ｇ 制御部
５０ 認証端末
５０ａ カメラ
５０ｂ カードリーダ
５０ｃ 表示部
５０ｄ 画像分解処理部
５０ｅ 暗号化処理部
５０ｆ 通信処理部
５０ｇ 乱数発生部
５０ｈ 判定処理部
５０ｉ 記憶部
５０ｊ 制御部

Claims (5)

1. 利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバと、各認証サーバを制御する制御サーバとを有する個人認証システムであって、
   前記制御サーバは、所定の端末装置から受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御手段と、各認証サーバから受信した照合値に基づいて認証結果の総合判定を行う判定処理手段とを備え、
   各認証サーバは、前記制御サーバから受信した部分生体情報をあらかじめ登録した登録生体情報と照合処理して照合値を算出する照合処理手段と、前記照合処理手段により算出された照合値を前記制御サーバに送信する照合結果送信手段とを備えた
   ことを特徴とする個人認証システム。
2. 前記制御サーバは、前記判定処理手段による判定結果を前記端末装置に通知する判定結果通知手段をさらに備え、前記端末装置は、前記制御サーバから通知された利用者の判定結果を所定の表示部に表示制御する表示制御手段を備えたことを特徴とする請求項１に記載の個人認証システム。
3. 前記制御手段は、前記端末装置から受信した生体情報を複数の部分生体情報に分割する分割手段と、前記分割手段により分割された各部分生体情報の送信先の認証サーバをそれぞれ複数の認証サーバから選択する送信先認証サーバ選択手段と、前記送信先認証サーバ選択手段により選択された各部分生体情報を該当する認証サーバに送信する部分生体情報送信手段とを備えたことを特徴とする請求項１又は２に記載の個人認証システム。
4. 利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバを制御する制御サーバであって、
   受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御手段と、
   各認証サーバから受信した照合値に基づいて認証結果の総合判定を行う判定処理手段と
   を備えたことを特徴とする制御サーバ。
5. 利用者の生体情報をあらかじめ登録した登録生体情報と照合処理して該利用者の認証を行う複数の認証サーバと、各認証サーバを制御する制御サーバとを有する個人認証システムの個人認証方法であって、
   前記制御サーバが、所定の端末装置から受信した利用者の生体情報を該利用者を特定できない部分生体情報に分割してそれぞれ複数の認証サーバのいずれかに送信するよう制御する制御工程と、
   各認証サーバが、前記制御サーバから受信した部分生体情報をあらかじめ登録した登録生体情報と照合処理して照合値を算出する照合処理工程と、
   各認証サーバが、前記照合処理工程により算出された照合値を前記制御サーバに送信する照合結果送信工程と、
   前記照合結果送信工程により各認証サーバから送信された照合値に基づいて、前記制御サーバが認証結果の総合判定を行う判定処理工程と
   を含んだことを特徴とする個人認証方法。

Images