JP5011987B2 - 認証システムの管理方法 - Google Patents

Description

本発明は、入力装置で取り込んだデータと予め格納されているテンプレート情報を比較し、比較結果を算出するシステムに関し、特にそのシステムを管理・運用する技術に関する。この中には、対象となるデータとして、カメラなどの撮像装置で撮像された撮像データを用いるものが含まれる。また適用先として、いわゆる生体情報（静脈(手の甲、掌、指)、指紋、虹彩、網膜、キーストローク、顔画像、筆跡（サイン）、ＤＮＡ）を用いることおよびこれの識別（もしくは照合）するための技術およびこのシステムの運用・管理する技術に関する。

従来、入力装置で取り込んだデータと予め格納されているテンプレート情報を比較し、比較結果を算出するシステムを運用・管理する技術として特許文献１がある。特許文献１では、生体情報を利用した本人認証システムの構築に関し、テンプレートの保管や運用に関する記載がある。本特許文献１では、テンプレートの保管等の運用コストを削減するために、利用者から入力された生体情報に基づき生成されたテンプレートと予め記憶されているテンプレートを合成して、テンプレートを再登録するものである。より詳細には、登録時に生体情報のテンプレートの一部を保存しておき、再登録の際には、このテンプレートの一部と再登録の際に入力された生体情報を合成して「完全な」テンプレートを生成する。このような構成を取ることで、生体情報の一部しかシステム側に保存されず、セキュリティの向上や利用者の心理的抵抗（個人情報を保持される）の低減を図ることを可能にしている。

また、入力装置で取り込んだデータと予め格納されているテンプレート情報を比較し、比較結果を算出するシステムを評価する技術として非特許文献１がある。非特許文献１では、利用者から入力されたテンプレートと利用者の識別情報を紐付けして保管し、収集したテンプレート同士を組み合わせて、他人受け入れ率や本人拒否率、累積識別率を算出する方法を提示している。

特開２００２−３５１８４３号公報 ＪＩＳ−ＴＲ Ｘ００８６：２００３「顔認証システムの精度評価方法」（Evaluation Method for Accuracy of Face Authentication Systems）3.3概要（ｐ９−ｐ１４）2003年4月1日公表

しかしながら、特許文献１においては、生体認証（照合）システムにおける運用の精度に関しては、考慮されていない。また、非特許文献１においても、製品となるアルゴリズムは装置、システムが評価対象となっており、導入後の実運用時の精度に関しては、考慮されていない。特に、正解値となるＩＤ（暗証番号など）を入力せず生体情報で本認証を行う場合、扱っている生体情報（もしくは他の情報）の精度（情報の確からしさ）をどの程度で取り扱っているかについて考慮されていないので、精度の低い認証（照合）を放置してしまったり、必要以上に精度の高い認証で本人を他人として誤認したりするなどの運用上のリスク放置に繋がるおそれがある。ここで、ＩＤなどの情報を用いて、精度を把握した場合、余分な情報を扱うとの情報処理上の問題や利用者に不便を掛けてしまう、との問題が生じてしまう。

そこで、本発明では、上記の問題を避けつつ、運用の実態・精度を把握するための技術を提供することを目的とする。この目的を達成するために、本発明では、入力された情報（例えば、生体情報）とテンプレート情報の比較（照合もしくは認証を含む）結果をログ情報として記録し、入力された情報の種別（例えば、それを入力する利用者やテンプレートを特定する情報）ごとのログ情報に基づき、種別毎に入力情報に関する分析を行う。この分析には、以下の態様が含まれる。それは、以下のものを検知し、対応する種別について精度に関するアラームを出力する。（１）一定期間内に比較結果が否定的（照合失敗）な割合が一定値以上検知した場合、（２）比較結果が肯定的となる以前に一定時間内に否定的な結果を検知した場合。

また、本発明には、複数のテンプレートを記憶しておき、これらのそれぞれと入力情報を比較して、肯定的な結果（一致など）となった場合、この比較結果を出力する処理および比較が済んでいないテンプレートの比較処理を行うことも含まれる。例えば、入室管理の場合、入力された生体情報に対応するテンプレート情報を検知した場合、入室のための開錠処理および比較（照合）処理が済んでいないテンプレート情報との比較（照合）処理を行う。

より詳細には、本発明には以下の態様も含まれる。
利用者より入力される入力情報と予め記憶装置に記憶された複数のテンプレートと比較することで、前記利用者に対する認証を行う認証システムの管理方法において、前記認証システムが、前記複数のテンプレート情報を記憶しておき、入力装置を介して入力情報を受付け、前記入力情報と前記複数のテンプレート情報と比較して、前記入力情報に対応するテンプレート情報の有無を判定し、前記判定の結果を含む当該認証システムの認証状況を示すログ情報を取得して、前記記憶装置に記憶し、記憶された前記ログ情報と前記認証システムに対して予め定められている当該認証システムの精度評価を示す精度評価情報を比較して、前記ログ情報が前記精度評価情報より所定以上離散していることを示す場合には、アラームを出力する認証システムの管理方法である。また、この認証システムの管理方法において、前記認証システムは、複数の入力装置を有し、前記ログ情報として、前記複数の入力装置それぞれについて、前記入力情報に対応するテンプレート情報が無いと判定された回数を記憶し、前記回数が所定数以上および／または前記回数が他の入力装置に比較して所定条件以上に多い場合、前記アラームを出力する認証システムの管理方法も本発明に含まれる。

また、これらの認証システムの管理方法において、前記認証システムは、前記ログ情報として、前記入力情報の質を示す情報が含まれる認証システムの管理方法に含まれる。この認証システムの管理方法において、前記認証システムは、前記記憶装置に、前記複数のテンプレート情報と当該テンプレート情報を識別可能な識別情報とを対応付けて記憶しておき、前記テンプレート情報の有無の判定で、対応するテンプレート情報が有ると判定された場合、当該テンプレート情報に対応付けられた識別情報を特定し、前記入力情報の質が予め定められたしきい値以下である回数が、所定数以上および／または前記回数が他の識別情報に比較して所定条件以上に多い識別情報が存在する場合、前記アラームを出力する認証システムの管理方法も本発明に含まれる。

また、これらの認証システムの管理方法において、前記認証システムは、前記テンプレート情報の有無の判定を、前記入力情報と前記テンプレート情報の一致の度合を示す適合度が予め定めた閾値以上である場合、有ると判定する認証システムの管理方法も本発明に含まれる。

また、これらの認証システムの管理方法において、前記認証システムは、前記テンプレート情報の有無の判定で有りと判定した場合、当該利用者に対して許可を与える情報を出力し、前記テンプレート情報の有無の判定を、前記複数のテンプレート情報を所定の順序で前記入力情報と比較することで実行し、前記複数のテンプレートの内、当該入力情報に対応するテンプレート情報を検知した場合、（１）前記許可を与える情報を出力し、（２）前記複数のテンプレート情報の内、前記入力情報との比較が終了していないテンプレート情報との比較を継続することで、前記ログ情報の取得を継続する認証システムの管理システムも本発明に含まれる。

また、これらの管理方法において、前記認証システムは、複数の入力装置と接続され、前記記憶装置に、前記複数のテンプレート情報と当該テンプレート情報を識別可能な識別情報とを対応付けて記憶しておき、前記複数の入力装置に含まれる第１の入力装置において、前記対応するテンプレート情報が無いと判定された場合、当該判定時点もしくは当該判定のために入力情報が入力された時点のいずれから一定時間以内に入力情報が入力され、入力情報での比較結果が対応するテンプレート情報が有るとの判定を所定回数以上実行した場合、有ると判定された前記テンプレート情報に対応する識別情報が示す利用者について、（１）入力上の問題および／または（２）テンプレート情報の問題とのアラームを出力する認証システムの管理方法も本発明に含まれる。

さらに、上述した管理方法を実行する認証システムや本管理方法を実現するためのコンピュータプログラムやこれを格納した記憶媒体も本発明に含まれる。さらに、認証システムは、入力装置を含まないいわゆる情報処理装置であってもよいし、認証結果に応じて所定の処理を実行する装置（ドアなど）を含むものであってもよい。

本発明によれば、より実態に即した情報入力システム（含む認証システム）の管理が可能になる。

本発明の実施の形態について、図面を用いて説明する。本実施の形態は、個人認証を静脈情報（生体情報）を用いて行う認証システムを例に説明するが、本発明はそれに限定されるものではない。

まず、実施例１におけるシステム構成図を図1に示す。各装置（コンピュータ）は、ネットワークを介して互いに接続されている。また、各コンピュータは、メモリ、ハードディスクを含む記憶装置、ＣＰＵなどの処理装置を有し、記憶装置に格納されたプログラムに従って、処理装置が情報処理を実行するものである。図１に示すように、本実施例１は、ドア毎に設置された識別装置３０−１，２…が、利用者から入力される静脈情報とテンプレートデータベース（ミラー）３１−１、２…に格納された権限のある利用者の静脈に関するテンプレート情報を比較することで個人認証を行う(この処理については、図４を用いて後述する)。そして、これらの認証結果を含むログ情報を、ネットワーク６０を介して。本実施例での管理処理を行う識別管理サーバ２０に送信され、識別ログ５１として識別ログデータベース５０に格納される。また、テンプレート情報のオリジナルをテンプレートデータベース４０として保持してもよい。また、識別管理サーバ２０での管理において、アラームを出力したり、識別管理サーバ４０に対して指示を入力したりする運用評価端末１０も存在する。なお、運用評価端末１０と識別管理サーバ２０は、一体であっても構わない。本実施例１では、識別装置３１毎に認証処理を行うことに特徴がある。

次に、本実施例１の処理である認証処理（含むログ情報の収集）について、図４を用いて説明する。まず、識別装置３０は、ステップ１０１において、利用者（ユーザ）から静脈情報の入力があったかを判断する。ここでは、ユーザが指などの部位を、識別装置の入力部(図示せず)に置かれたかを判断してもよいし、置かれた後静脈画像を読み取ったかを判断してもよい。なお、ここで、入力がないと判定された場合、再度入力を待つ。

入力があった場合、識別装置３０は、ステップ１０２において、生体サンプル、すなわち、静脈情報を利用者から取り込む。ここで、生体サンプルと記述したとおり入力画像の全画像でなく、部分的なものであってもよい。そして、ステップ１０３において、識別装置３０は、生体識別処理を行う。すなわち、取り込んだ静脈情報とテンプレートデータベースに３１格納されたテンプレート情報と比較を行い、入力された静脈情報との一致の度合を示す適合度を算出する。

そして、ステップ１０４で、識別装置３０は、判定（・ＡＰ提供）処理を実行する。判定処理として、この適合度が閾値以上であるテンプレート情報があるかを検索する。検索された場合には、認証されたものと(肯定的な判定)判定する。そして、認証された場合、所定のエリアへの入場、パーソナルコンピュータを介した所定の情報へのアクセス、ＡＴＭでの取引開始などのＡＰ(アプリケーション)の提供するための情報処理を実行する。そして、識別装置３０は、ステップ１０５において、この認証結果を含むログ情報を、ネットワーク６０を介して識別ログデータベース５０へ送信する。ログ情報としては、図３に示すような項目の情報を送信する。

次に、実施例２におけるシステム構成図を図２に示す。各装置（コンピュータ）は、ネットワークを介して互いに接続されている。また、各コンピュータは、メモリ、ハードディスクを含む記憶装置、ＣＰＵなどの処理装置を有し、記憶装置に格納されたプログラムに従って、処理装置が情報処理を実行するものである。本実施例２は、実施例１に比較して、センター側、すなわち、識別認証サーバ２０で各処理を実行するものである。図２に示すように、本実施例２は、ドア毎に設置された収集装置７０−１，２、３…が、利用者から入力される静脈情報を、ネットワーク６０を介して、識別認証サーバ２０の少なくとも一方に対して送信する。そして、識別認証管理サーバ２０では、テンプレートデータベース４０に格納された権限のある利用者の静脈に関するテンプレート情報を比較することで個人認証を行う(この処理については、図５を用いて後述する)。そして、これらの認証結果を含むログ情報を、識別ログ５１として識別ログデータベース５０に格納される。また、識別管理サーバ２０での管理において、アラームを出力したり、識別管理サーバ４０に対して指示を入力したりする運用評価端末１０も存在する。なお、運用評価端末１０と識別管理サーバ２０は一体であってもよい。なお、本実施例２では、識別管理サーバ３０−１、２とテンプレートデータベース４０−１，２をそれぞれ複数用意しているが、単数であってもよい。

次に、本実施例２の処理である認証処理（ログ情報の収集を含む）について、図５を用いて説明する。まず、識別管理サーバ２０は、ステップ１０１’において、収集装置７０からの送信があったかを判断する。なお、ここで、送信がないと判定された場合、再度入力を待つ。

送信があった場合、識別管理サーバ２０は、ステップ１０２’において、生体サンプル、すなわち、利用者（ユーザ）から収集装置７０に入力された静脈情報を受信する。ここで、生体サンプルと記述したとおり入力画像の全画像でなく、部分的なものであってもよい。そして、ステップ１０３において、識別装置３０は、生体識別処理を行う。すなわち、取り込んだ静脈情報とテンプレートデータベースに３１格納されたテンプレート情報と比較を行い、入力された静脈情報との一致の度合を示す適合度を算出する。

そして、ステップ１０４で、識別管理サーバ７０は、判定（・ＡＰ提供）処理を実行する。判定処理として、この適合度が閾値以上であるテンプレート情報があるかを検索する。検索された場合には、認証されたものと(肯定的な判定)判定する。そして、認証された場合、所定のエリアへの入場、パーソナルコンピュータを介した所定の情報へのアクセス、ＡＴＭでの取引開始などのＡＰ(アプリケーション)の提供するための情報処理を実行する。そして、識別管理サーバ２０は、ステップ１０５’において、この認証結果を含むログ情報を、ネットワーク６０を介して識別ログデータベース５０へ送信する。ログ情報としては、図３に示すような項目の情報を送信する。

次に、実施例１および２での失敗割合監視処理について、図６を用いて説明する。ここで、本処理は、実施例１の場合には識別装置３０で、実施例２の場合には識別管理サーバ２０で実行される。

まず、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ２０１において、当該処理の基準となる計算単位時間：ｔと計算間隔：ｍを設定する。これは、管理者などの入力に応じて、記録しておく構成にしてもよい。また、ログの記憶量が一定量になるまでの時間を履歴に基づいて定めておき、ｍを設定してもよい。

次に、ステップ２０２において、前回の計算時刻からｍ時間経過したかを検知する。検知した場合、ステップ２０３に進み、経過していない場合には継続して時間の検知処理を行う。そして、ステップ２０３において、Ｔ（現在時刻のような基準時間）からｔ時間前までの識別ログを識別ログデータベース５０から抽出する。この際、項番３０３の「収集日時」を用いて抽出を行う。

次に、ステップ２０４において、上記の抽出された識別ログで、一致数０のサンプル（識別ログ）数（Ｎｅ）と、入力された（もしくは入力されたとログが記録された）サンプル(識別ログ)数（Ｎａ）を計数する。すなわち、抽出された識別ログの項番３０６の一致テンプレート数で、0を示すものとその全体数を計数する。この場合、生体情報の入力の際（もしくは認証の際）に、一致数に応じて、区別（ソートなど）して登録してもよい。また、生体情報の入力の際（もしくは認証の際）その都度毎にカウントしておき、識別ログデータベース５１に格納しておき、これを利用してもよい(この場合、ステップ２０３などを省略することも可能である)。

次に、ステップ２０５において、失敗割合ＦＲ＝Ｎｅ／Ｎａを算出する。この際、上記のように生体情報の入力の際（もしくは認証）に、その都度失敗割合を算出してもよい。

そして、必要に応じて、ステップ２０６において、ステップ２０５の結果をグラフ化して表示する。その内容を図７に示す。これは、上述したｔ毎に失敗割合を表示するものである。また、表示した場合でも、しなくても限定されないが、予め定めたＦＲ評価値と比較処理を行う。この場合、ＦＲ評価値を超えた場合など所定条件を満たした場合、アラームを出力する。この所定条件には、ＦＲ評価値と比較して著しく割合が増加した場合、一定数以上、ＦＲ評価値を超えることが続いた場合、過去に異常状態として定義した傾向に、類似したパターンが出現したことを含む。また、表示画面としては、図１３に示すように、識別ログ履歴をあわせて表示してもよい。

そして、ステップ２０７において、経過時間をリセットしてステップ２０２に戻ることで本処理を終了する。

次に、失敗割合監視処理での結果に基づく、各識別装置や収集装置での失敗割合の分析である詳細失敗割合分析の２つの手法について、図８と９を用いて説明する。つまり、各識別装置や各収集装置は、設置された場所が異なるため、生体情報入力部(画像入力部)に対する光(外光など)の当たり方などの環境が異なる。このため、装置（もしくはそれに限定された物）ローカルな要因に基づき、全体システムの評価（信頼性）が劣化する可能性がある。この要因(もしくは要因になる装置)を特定するための処理が本処理であり、各装置毎にグラフ表示などの失敗割合を算出する。なお、本処理は、失敗割合監視処理と同様に、実施例１の場合には識別装置３０で、実施例２の場合には識別管理サーバ２０で実行される。

まず、図８を用いて、詳細失敗割合分析処理１について、説明する。予め、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ４０１において、当該処理の基準となる起点ｔ（例えば、現在時刻）計算単位時間：τ、計算間隔：ｍ、さかのぼり時間：Ｔ０を設定する。これは、管理者などの入力に応じて、記録しておく構成にしてもよい。この設定は、ステップ２０１と同様に、識別ログの量などに基づき定めてもよい。

次に、ステップ４０２において、設定された基点ｔとｔ−τ間の識別ログを識別ログデータベース５１から抽出する。これは、ステップ２０３と同様の処理で行うことが可能である。また、図６に示した失敗割合監視処理結果を別なデータベースに保持し、ここから抽出する構成にしてもよい。

次に、ステップ４０３において、各装置（収集装置、識別装置）毎に、抽出された識別ログで一致数０のサンプル（識別ログ）数（Ｎｅｊ）と、入力された（もしくは入力されたとログが記録された）サンプル(識別ログ)数（Ｎａｊ）を計数する。すなわち、抽出された識別ログの項番３０１で装置毎にソート処理をし、識別ログの項番３０６の一致テンプレート数で、0を示すものとその全体数を計数する。この場合、生体情報の入力の際（もしくは認証の際）に、一致数に応じて、区別（ソートなど）して登録してもよい。また、生体情報の入力の際（もしくは認証の際）その都度毎にカウントしておき、識別ログデータベース５１に格納しておき、これを利用してもよい。つまり、ステップ２０４と同様の処理を各装置に分けて実行すればよい。また、識別装置３０で処理を実行する場合（図１の実施例１）、識別ログデータベースを各識別装置３０が保持し、項番３０１を省略してもよい。

次に、各装置の失敗割合であるＦＲｊ（ｔ）＝Ｎｅｊ（ｔ）／Ｎａｊ（ｔ）をステップ２０５と同様にして実行する。そして、ステップ４０５に進み、基点を次の基点であるｔからｔ−ｍに変更する。そして、ステップ４０６に進み変更可能かをＴ０＜ｔで判断する。この結果、変更可能な場合、ステップ４０２に戻り次の単位時間あたりの失敗割合を算出する。変更できない、つまり、各単位時間の計算を終了した場合、各装置毎の失敗割合を表示する。この際、ステップ２０６と同様に処理してもよい。また、他の装置に比較して数値が大きい装置(上位何件など)について、アラームを出力する構成にしてもよいし、予め定めた閾値を超える装置について、アラームを出力してもよい。

次に、図９を用いて、詳細失敗割合分析処理２について、説明する。ここでは、認証、入力もしくはログ受信の毎に、各装置において，それらの回数を計数、記録し、ある基準値に回数が達成した場合、当該処理を実行するものである。この回数は、運用しきい値のＦＲ評価値から算出してもよい。例えば、回数＝３／運用しきい値のＦＲ評価値、と定義し、これを計算して、回数がこれを満たすことを検知したことをトリガに本処理を行ってもよい。また、本回数を満たした装置について、本処理を実行してもよいし、各装置が本回数を満たした場合、本処理を開始してもよい。

まず、予め、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ５０１において、試行数（入力、認証回数）単位：ｓ、どの程度の回数分基準時点からさかのぼった回数の試行ログを対象とするかの試行数：Ｓを設定しておく。これらは、ステップ４０１や２０１などと同様にして設定してよい。また、初期値として現状の試行数ｉを０として設定しておく。

次に、ステップ５０２において、ｉとＳと比較する。つまり、現在受信した生体情報の入力回数がＳまで済んでいるかを確認する。この結果、Ｓまで試行が済んでいれば、すなわち、上述した基準値に達成した回数まで済んでいれば、ステップ５０３に進みステップ４０７のようにグラフ表示等を実行する。Ｓまで試行が済んでいなければ、基準時点の識別ログからｓ分さかのぼった識別ログを抽出する。これは、ステップ４０２と同様の処理で実現可能である。以降、ステップ５０５〜５０８までの処理をステップ４０３〜４０５のように実行する。

なお、詳細失敗割合分析１，２でのグラフ表示に関しては、図１４のように表示してもよい。ここで、グラフ上に引かれた横線は、しきい値となるＦＲ値である。

次に、実施例４として、失敗の内容をより詳細に分析するための、直後ＩＤ頻度評価処理について、図１０を用いて説明する。

本処理では、認証失敗（入力生体画像に対応する登録テンプレートを検索できなかった）する利用者を、特定（もしくは絞り込む）するための処理である。通常、認証が失敗した場合、利用者は再試行するのが通常である。この性質を利用して、認証失敗した利用者（の候補）を特定する処理が本処理である。本処理は、認証の度に実行してもよいし、適当なタイミングでまとめて実行してもよい。

本処理では、まず、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ６０１において、対象となる識別ログを特定する。

次に、ステップ６０２において、特定された対象の識別ログが失敗であり、同じ装置における次の試行が成功であるかを判定する。つまり、対象の識別ログの項番３０６の一致テンプレートが０で、次の試行の識別ログの項番３０６で一致テンプレートが１以上（もしくは０以外）のものかを判定する。なお、本ステップの条件を、対象ログから一定時間内に再試行のあったものをしてもよいし、これとの組合せで、一定時間内に再試行があり、次識別ログで成功したものとしてもよい。また、一定時間内に再試行が連続的に行われた場合、失敗から成功に切り替わる箇所を抽出するように構成してもよい。

次に、ステップ６０３において、ステップ６０２の条件に当てはまる次の識別ログの項番３０７の一致テンプレートに対応する識別情報を特定する。そして、この識別情報毎にその数(本条件に合致する)を集計する。

次に、ステップ６０４において、対象の識別ログを次の識別ログに更新し、ステップ６０５で次の識別ログがあれば、ステップ６０２に戻り処理を継続する。なければ、ステップ６０６に進み、ステップ６０３で計数された結果を出力する。出力の方法としては、頻度（計数）の多い識別情報から順にリスト表示する方法が含まれる。この例としては、図１５に示した表示画面が含まれる。このように表示することで、対策が必要と推定できる利用者の識別情報を特定可能になる。また、この識別情報は、識別ログの項番３０１の装置の識別情報としてもよい。この場合、装置において再試行のより多い装置を特定可能になる。

また、このような表示を所定の頻度を超えた場合に出力するなどの対策が必要であるアラームを出力ことも本処理に含めてもよい。

なお、本処理は、以下のように実行してもよい。識別ログの登録時に、一致テンプレートの数が０の場合には、フラグを１たて、１以上(成功)の場合にはそのまま（もしくは０）とする。そして、本ステップ実行時に、隣接する識別ログ（同装置で時系列とした場合に）上記のフラグのＡＮＤを計算し、１となったものを抽出してもよい。また、認証失敗の識別ログのみを区別して記録しておき、これを抽出して次の識別ログが認証成功か否かを判断してもよい。なお、この処理での条件を上述のように、対象ログから一定時間内に再試行のあったものをしてもよいし、これとの組合せで、一定時間内に再試行があり、次識別ログで成功したものとしてもよい。また、一定時間内に再試行が連続的に行われた場合、失敗から成功に切り替わる箇所を抽出するように構成してもよい。

また、各識別情報ごとに、前の識別ログに成功した回数（Ｎｓ）を計数し、失敗を伴う回数）Ｎｅｓ）を計数し、正規化頻度＝Ｎｅｓ／（Ｎｓ＋Ｎｅｓ）を計算し、これに基づき評価（アラームの基準など）してもよい。さらに、試行ごとの逐次的に本処理を行う場合、所定期間内に所定の頻度を超えた識別情報の装置（項番３０１）についての本処理を抑止してもよい。これにより、計算量を抑止することが可能になる。

ここで、識別情報を利用者の識別情報と対応付けておけば、失敗しやすい利用者（の候補）をある程度絞り込むことが可能になる。失敗した場合、成功するまで何度かリトライ（再試行）することが多いので、失敗の後に成功があった場合には、当該失敗と成功の利用者は同一と仮定することが可能である。この性質を利用したのが本処理である。また、再試行は時間的な間隔が通常の次の試行より短いことが多いので、この性格も利用してもよい(本来成功しているにも係わらず、失敗したと思い込み再履行する利用者も存在するので、この利用方法も適切、とはいえないのでこのような利用者を特定し、注意するようにしてもよい)。また、このような利用が多い装置（収集装置、識別装置）を特定することも可能になる。

次に、実施例５として、テンプレート重複ＩＤ評価処理について説明する。ある試行において、入力情報に対応する（認証成功と判断できる）登録テンプレートが複数存在する場合、それは類似度などの判定基準が甘いとの問題が存在し得る(この問題には、登録テンプレート自体に問題が生じている可能性も含まれる)。特に、対応の登録テンプレート数が非常（他に比較して）に多い場合、その問題は顕著になる。このような試行（もしくは利用者、装置）の候補を特定することが本処理の概要である。

そこで、本実施例では、この問題を解消するために、認証結果の出力（もしくはこれに伴う制御（開錠など））を識別ログの生成のための処理に優先して実行したり、並行（一部でも）して実行したりものである。

本処理では、まず、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ７０１において、対象となる識別ログを特定する。これは、ステップ６０１と同様でよい。

次に、ステップ７０２において、対象の識別ログで成功したテンプレートが複数存在するかを、項番３０６の一致テンプレート数に基づき判断する。この結果、複数存在する場合、ステップ７０３に進む。

ステップ７０３において、複数存在する識別ログについて、対応する装置ＩＤ（項番３０１）や登録テンプレート（もしくは正当な利用者）毎に、その識別ログの数を計数する。

そして、ステップ７０４において、対象の識別ログを次の識別ログに更新し、ステップ７０５で次の識別ログがあれば、ステップ７０２に戻り処理を継続する。なければ、ステップ７０６に進み、ステップ７０３で計数された結果を出力する。出力の方法としては、頻度（計数）の多い識別情報から順にリスト表示する方法が含まれる。この例としては、図１６に示した表示画面が含まれる。このように表示することで、対策が必要と推定できる登録テンプレート自身、利用者、装置の少なくとも１つの識別情報を特定可能になる。

なお、本実施例５では、識別ログの収集と認証判断の効率的な処理を行うための以下の処理を行ってもよい。本実施の形態のように、ＰＩＮなどの情報を利用せずに、識別処理を行うものの場合、登録テンプレートと入力情報が一定以上の類似度を有する場合、認証成功としている。このため、複数の登録テンプレートに対して入力情報が対応することがある。このような処理のため、最初に比較した登録テンプレートが入力情報と所定の類似度であった場合でも、（識別ログの取得やより類似度が近い登録テンプレートの検索などのために）残りの登録テンプレートとの比較が必要になる。しかし、最初の登録テンプレートが認証条件を満たしているので、本来的にはドアを開錠するなどの所定の処理を実行しても問題ない。

つまり、まず、入力情報と登録テンプレートを順に比較する。この比較の結果、入力情報に対応する登録テンプレートが存在した場合、
（１）一旦他の（未比較の）登録テンプレートと入力情報の比較を抑止し、認証成功の情報を出力する（またはドア開錠などの所定の処理を許可する）。そして、認証成功の情報出力処理が終了したことを検知して、再度比較処理を実行する。
（２）他の（未比較の）登録テンプレートと入力情報の比較を続け、認証成功の情報を出力する（またはドア開錠などの所定の処理を許可する）。
との処理を実行する。

最後に、入場制御を行うことを例に、他の利用者と一緒に入場するなどして、試行せずに入場するとの問題や本来入場していないにもかかわらず入場したとの問題を検知するための処理について、図１２を用いて説明する。本処理では、他の方法で特定される（もしくは予定されたと判断される）在勤日と不在日と、認証結果に基づく在勤(入場)状況を比較して、矛盾がないかを確認するものである。

本処理では、まず、上述した識別装置３０（もしくは識別管理サーバ２０）は、ステップ８０１において、入場対象者である執務者リストとを登録しておく。本執務者リストは、各執務者を識別する執務者ＩＤ毎に、全日を含む在勤日（出勤日(含む予定)）と休暇などでの不在日(含む予定)を登録しておく。

そして、ステップ８０２において、対象者を特定し、本対象者の在勤日と不在日の識別ログを、識別ログデータベース５１から、項目３０３の収集日時を用いて抽出する。

次に、ステップ８０３、８０４において、識別ログに矛盾がないかの確認処理を行う。つまり、ステップ８０３において（１）不在日の識別ログに当該対象者の成功ログがないかを確認し、ステップ８０４において、在勤日の識別ログから成功したログの数（項番３０７を利用して計数）を計数し、在勤日数でこれを割り平均成功数Ｎｓｊを算出する。
なお、ステップ８０４では、在勤日に当該対象者の成功ログが含まれているかを項番３０７一致テンプレートリストを用いて判定してもよい。本判定はやはり項番３０７を私用するが、成功ログがない場合、アラームを出力する構成にしてもよい。

さらに、ステップ８０３（１）、８０４（２）はいずれか一方であってもよい。また、８０３（１）の処理については、項番３０７一致テンプレートリストに、対象者の登録テンプレートが存在するかで判断する。また、ステップ８０３と８０４の順序は逆であってもよく、並行して行ってもよい（順不同である）。

そして、ステップ８０５において、次の対象者の有無を判断し、あればステップ８０６に進み802以降の処理を次の対象者についても実行する。次の対象者がなければ、平均成功数が少ない順に表示を行う。本表示画面としては、図１７がある。また、本実施例には本表示を省略したり、所定のしきい値以上に矛盾が生じる対象者を出力したりすることも可能である。さらに、項番３０７の代わりに項番３０１を用いることで対象を識別装置、収集装置にすることも可能である。

本発明の実施例１のシステム構成図 本発明の実施例２のシステム構成図 本発明の一実施例の識別ログテーブル（識別ログの内容）を示す図 本発明の実施例１の認証処理を示すフローチャート 本発明の実施例２の認証処理を示すフローチャート 本発明の実施例３の失敗割合監視処理を示すフローチャート 失敗割合の表示例を示す図 本発明の実施例３の詳細失敗割合分析フローチャート（１） 本発明の実施例３の詳細失敗割合分析フローチャート（２） 本発明の実施例４の直後ＩＤ頻度評価処理フローチャート 本発明の実施例５のテンプレート重複ＩＤ評価処理フローチャート 本発明の実施例６の執務者共連れ・不正一致分析処理フローチャート 本発明の実施例３の表示画面の一例（１） 本発明の実施例３の表示画面の一例（２） 本発明の実施例４の表示画面の一例 本発明の実施例５の表示画面の一例 本発明の実施例６の表示画面の一例

符号の説明

１０…運用評価端末、２０…識別管理サーバ、３０…識別装置、４０…テンプレートデータベース、５０…識別ログデータベース、６０…ネットワーク

Claims (2)

1. 複数の入力装置それぞれにおいて、利用者より入力される入力情報と予め記憶装置に記憶された複数のテンプレートと比較することで、前記利用者に対する認証を行う認証システムの管理方法において、前記認証システムが、
   前記複数の入力装置と接続され、
   前記複数のテンプレート情報を記憶しておき、
   前記複数の入力装置を介して入力情報を受付け、
   前記入力情報と前記複数のテンプレート情報と比較して、前記入力情報に対応するテンプレート情報の有無を判定し、
   前記判定の結果を含む当該認証システムの認証状況を示すログ情報として、前記複数の入力装置それぞれについて、前記入力情報に対応するテンプレート情報が無いと判定された回数を取得して、前記記憶装置に記憶し、
   記憶された前記ログ情報と前記認証システムに対して予め定められている当該認証システムの精度評価を示す精度評価情報を比較して、前記ログ情報が前記精度評価情報より所定以上離散しているか否かの判断を、前記回数が所定数以上および／または前記回数が他の入力装置に比較して所定条件以上に多いか否かを判断するものであって、
   前記テンプレート情報が有の場合０を示すフラグ情報を記録し、無の場合１を示すフラグを記録し、時系列に隣接し合うフラグのＡＮＤ演算を行い、１となるものを抽出することで、時系列に示される失敗割合を算出することをを特徴とする認証システムの管理方法。
2. 請求項１に記載の認証システムの管理方法において、
   前記認証システムは、
   前記ログ情報として、前記入力情報の質を示す情報が含まれることを特徴とする認証システムの管理方法。

Images