JP5034821B2 - 生体情報記憶装置 - Google Patents

Description

本発明は生体情報記憶装置に関し、例えば生体認証に適用して好適なものである。

近年、認証対象として生体を利用したものが普及していきている。また、携帯電話機等の携帯通信機器に生体認証装置を搭載することにより、携帯通信機器を通じて、どこでも通信相手に対して認証処理が容易に行えるようになる等、携帯通信機器に生体認証装置を搭載することが重要事項になる傾向にある。例えば、クレジットカードやキャッシュカードに生体認証装置を搭載したものが提案されている（例えば特許文献１参照）。
特開２００７−０３４５２１公報

ところで、所定のコンピュータシステムからインターネットを介して利用者専用の情報を授受する等の場合、一般には、ユーザアカウントに対してパスワードを入力するようになっており、今後、当該ユーザアカウント及びパスワードに代えて生体情報が適用されるケースが想定される。

このようなケースとして、例えば、携帯通信機器を用いて所定のサーバーからサービスを受ける場合、該携帯通信機器に搭載される認証装置は、サーバーから最初のサービスを受けるときに、ユーザに対して指の静脈画像を入力させ、その静脈画像から静脈に関する静脈情報を抽出して、内部のメモリに登録することが考えられる。また認証装置は、当該サーバーからその後にサービスを受ける場合には、ユーザに対して指の静脈画像を入力させ、その静脈画像から抽出した静脈情報を、内部のメモリに登録した静脈情報と照合することが考えられる。

ところが、例えば、銀行サーバーから口座に関するサービスを受けるとともに、ショッピングサーバーから商取引に関するサービスを受けるといったように、複数のサーバーからサービスを受ける場合、どのサーバーに対してどの指の静脈情報を登録したかということをユーザ自身が記憶しておくことが煩雑である等の理由から、ユーザは、異なるサービスに対して同じ指の静脈画像を入力するといったことが考えられる。

この場合、認証装置は、各サーバーに対して同一の生体情報をそれぞれメモリに登録しておくことになるため、メモリ容量を無駄に使用するといった問題がある。この問題は、大容量のハードディスクが搭載されたパーソナルコンピュータ等の場合にも該当するが、携帯通信機器のように、大容量のメモリを搭載ができない端末の場合には特に顕著である。

また生体情報は、パスワードと比べて大きな価値を有することから、耐タンパ性を有する記憶領域に格納されるなど、他の情報と比べて強い安全性を持った領域に格納される。その結果、容易に大容量化を図ることができず、生体情報を記憶できる領域は少なくなりがちである。

さらに、生体情報は、画像を圧縮して保持したとしても、保持する画像のデータ量を増加させると、メモリ容量の飽和が生じやすい。例えば、耐タンパ性メモリが、８［Kbyte］の容量をもっていたとしても、一の生体情報が５１２［byte］の容量を有していれば、１６の生体情報を保存できるのも拘らず、サービスが増えることにより、耐タンパ性メモリの容量の飽和が生じてしまうことになる。

本発明は以上の点を考慮してなされたもので、メモリに対する無駄な使用量を削減し、複数のサービスに対して各々生体認証を実行し得る生体情報記憶装置、生体認証装置、生体認証用データ構造及び生体認証方法を提案しようとするものである。

かかる課題を解決するため本発明は、生体情報記憶装置であって、第１サービスの受領を認証するための生体情報が記憶される生体情報記憶部と、第１サービスと異なる第２の受領を認証するための生体情報を取得する生体情報取得部と、生体情報取得部により取得された生体情報と、生体情報記憶部に記憶される生体情報とが一致するか否かを判定する判定部とを設け、判定部が、生体情報取得部により取得された生体情報と、生体情報記憶部に記憶される生体情報とが一致することを示す場合に、第１サービス及び第２の受領を認証するための生体情報として、生体情報取得部により取得された生体情報又は生体情報記憶部に記憶される生体情報が、選択されて、生体情報記憶部に記憶されるようにした。

以上のように本発明によれば、異なるサービスに対する認証用データとして、同一の生体情報が利用されている場合に、同一の生体情報が記憶媒体に複数登録されることを未然に防止することができ、かくして当該記憶媒体に対して効率よく情報を記憶できるようになり、複数のサービスに対して各々生体認証を実行する装置等を実現できる。

以下図面について、本発明を適用した一実施の形態を詳述する。

（１）通信システムの構成
図１において、本実施の形態による通信システム１の全体構成を示す。この通信システム１では、複数のサーバー２_１、２_２、……、２_ｎと、携帯電話機３とが、インターネットやＮＧＮ(Next Generation Network)等のネットワーク４を介して接続されており、各種データを送受信し得るようになされている。

各サーバー２_１、２_２、……、２_ｎ及び携帯電話機３は、例えばクレジットカード情報や個人情報等の秘匿性をもつ情報を送受信する場合、当該情報に対して、例えばＳＳＬ(Secure Socket Layer)等のセキュリティ手法を用いて暗号化または復号化を施すようになされている。

この実施の形態では、各サーバー２_１、２_２、……、２_ｎは、例えば銀行口座の閲覧や、インターネット上での商品の購入等、互いに異なるサービスを提供するようになされている。各サーバー２_１、２_２、……、２_ｎは、携帯電話機３に対して最初にサービスを提供する場合、自己のサービスの受領を認証するための生体情報を登録すべきことを示す登録命令を携帯電話機３に与える。また、各サーバー２_１、２_２、……、２_ｎは、携帯電話機３に対するサービスの提供が２回目以降となる場合には、生体情報を用いて認証処理を実行すべきことを示す認証命令を携帯電話機３に与えるようになされている。

一方、携帯電話機３は、サーバー２_Ｘ（２_１、２_２、……又は２_ｎ）から登録命令が与えられた場合、ユーザに対して指の静脈を撮像すべきことを促し、当該撮像結果として入力された画像から静脈に関する情報（以下、これを静脈情報と呼ぶ）を抽出して、内部のメモリに登録する。

また、携帯電話機３は、サーバー２_Ｘから認証命令が与えられた場合、ユーザに対して静脈を撮像すべきことを促し、当該撮像結果として入力された画像から抽出した静脈情報を、内部のメモリに登録した静脈情報と一致するか否かを判定する。

そして携帯電話機３は、登録された静脈情報と、入力された静脈情報とが一致するか否かの判定結果を、通信対象のサーバー２_Ｘに送信する。ちなみに、携帯電話機３は、登録された静脈情報と、入力された静脈情報とが一致するものと判定した場合（認証成功の場合）にのみ、通信対象のサーバー２_Ｘからサービスを受けることができるようになされている。

（２）携帯電話機の構成
次に、この携帯電話機３の構成について、図２を用いて説明する。この携帯電話機３は、制御部１０に対して、操作部１１、撮像部１２、メモリ１３、耐タンパ性メモリ１４、通信部１５、表示部１６及び音声出力部１７をそれぞれバス１８を介して接続することにより構成される。

制御部１０は、この携帯電話機３全体の制御を司るＣＰＵ(Central Processing Unit)と、各種プログラム及び設定情報などが格納されるＲＯＭ(Read Only Memory)と、当該ＣＰＵのワークメモリとしてのＲＡＭ(Random Access Memory)とを含むコンピュータとして構成される。

この制御部１０は、操作部１１から与えられる命令に対応するプログラムに基づいて、撮像部１２、メモリ１３、通信部１５、表示部１６及び音声出力部１７を適宜制御し、当該命令に対応する処理として、例えば発呼処理、通話処理、メール作成処理又はメール転送処理等を実行する。

また制御部１０は、登録対象のユーザ（以下、これを登録者と呼ぶ）の静脈を登録するモード（以下、これを静脈登録モードと呼ぶ）と、登録者本人の有無を判定するモード（以下、これを認証モードと呼ぶ）とを有している。制御部１０は、静脈登録モード又は認証モードに対応するプログラムに基づいて撮像部１２、メモリ１３、耐タンパ性メモリ１４、通信部１５、表示部１６及び音声出力部１７を適宜制御し、登録処理又は認証処理を実行するようになされている。

撮像部１２は、撮像範囲内における被写体の画像を画像データとして生成することにより取得し、該取得した画像データを制御部１０に送出する。

また撮像部１２は、静脈登録モード又は認証モードの場合、脱酸素化ヘモグロビン及び酸素化ヘモグロビンの双方に対して特異的に吸収される特性をもつ波長域（７００[nm]〜９００[nm]）に含まれる波長の光（以下、これを近赤外光と呼ぶ）を、指を配すべき対象となる面（以下、これを指配置面と呼ぶ）上に照射する。そして撮像部１２は、指配置面に配される生体部位内の静脈の画像（以下、これを静脈画像と呼ぶ）を、データ（以下、これを静脈画像データと呼ぶ）として生成することにより取得し、該取得した静脈画像データを制御部１０に送出するようになされている。

メモリ１３は、静脈画像データから抽出される静脈情報以外の各種情報を記憶するためのものであり、制御部１０により指定される所定の領域に記憶し、又は所定の領域から読み出すようになされている。

耐タンパ性メモリ１４は、静脈画像データから抽出される静脈情報を記憶するためのものであり、制御部１０により指定される所定の領域に記憶し、又は所定の領域から読み出すようになされている。この耐タンパ性メモリ１４は、例えば、１つの静脈情報に５１２［byte］の容量を用いるとした場合には、８［Kbite］程度の容量を保持するとよい。このようにすれば、１６つの静脈情報をテンプレートとして保持することができる。したがって、個人でこの携帯電話機３を利用する場合、また限られた人がこの携帯電話機３を利用する場合であっても、十分な数のテンプレートデータを保持することができる。

通信部１５は、通信回線となるネットワーク４（図１）に対して信号を送受信するようになされている。具体的には、通信部１５は、入力される通信対象のデータを、例えばＯＦＤＭ(Orthogonal Frequency Division Multiplex)等の所定の変調方式により変調し、該変調結果として得られる信号をアンテナ（図示せず）を介して基地局に送信する。一方、通信部１５は、アンテナを介して受信された信号を所定の復調方式により復調し、該復調結果として得られるデータを制御部１０に送出するようになされている。

表示部１６は、制御部１０から与えられる表示データに基づく文字や図形を表示画面に表示する。音声出力部１７は、制御部１０から与えられる音声データに基づく音声を、スピーカから出力するようになされている。

（２−１）静脈登録モード
次に、静脈登録モードについて説明する。ネットワーク４を通じて通信接続された通信先のサーバー２_Ｘにおけるサービスの受領が最初となる場合、制御部１０には、当該サーバー２_Ｘから、通信部１５（図２）を介して生体情報の登録命令が与えられる。

この場合、制御部１０は、表示部１６（図２）及び音声出力部１７（図２）の少なくとも一方を介して指配置面に指を配すべきことを通知した後、図３に示すように、駆動部２１、静脈情報抽出部２２及び登録処理部２３として機能する。

駆動部２１は、撮像部１２を駆動することにより静脈画像データを取得する。すなわち駆動部２１は、撮像部１２における光源を駆動することによって指配置面に対して近赤外光を照射させる。また駆動部２１は、撮像部１２における光学レンズのレンズ位置を、被写体に焦点が合うように調整する。さらに駆動部２１は、所定の露出値（ＥＶ(Exposure Value)）に基づいて、撮像部１２における絞りの絞り値を調整するとともに、撮像素子に対するシャッター速度（露出時間）を調整する。

静脈情報抽出部２２は、撮像部１２での撮像結果として、該撮像部１２から与えられる静脈画像データに映し出される静脈から静脈情報を抽出する。この静脈情報は、例えば、血管幅の中心若しくは輝度ピークが抽出された静脈画像、当該血管幅の中心若しくは輝度ピークの全部もしくは一部、または、静脈に曲線近似させたパラメータ等、種々のものを採用することができる。

登録処理部２３は、図４に示すように、ハッシュ生成部２３Ａ、情報探索部２３Ｂ、ＩＤ通知部２３Ｃ及び登録部２３Ｄからなる。ハッシュ生成部２３Ａは、ハッシュ値を生成するためのメッセージデータを送信すべきことを通信部１５（図２）を介して通信対象のサーバー２_Ｘに要求し、当該送信要求に応じてサーバー２_Ｘから通信部１５を介して返信されるメッセージデータに基づいてハッシュ値を生成する（図５：ステップＳＰ１）。

探索部２３Ｂは、静脈情報抽出部２２から与えられる静脈情報を、耐タンパ性メモリ１４に既に登録された静脈情報と照合し（図５：ステップＳＰ２）、当該静脈情報抽出部２２から与えられる静脈情報との類似度を表す相関値等の値が、同一のものであろうとする限界値（以下、これを閾値と呼ぶ）以上となる静脈情報が耐タンパ性メモリ１４に既に登録されている否かを探索する（図５：ステップＳＰ３）。

この探索部２３Ｂでの探索結果は、ＩＤ通知部２３Ｃ及び登録部２３Ｄに通知される。ここで、静脈情報抽出部２２から与えられる静脈情報と同一とされる静脈情報が耐タンパ性メモリ１４において探索されない場合（図５：ステップＳＰ３（ＮＯ））、このことは、この静脈登録モードにおいて撮像した指の静脈部分については過去に登録したことがない、つまり静脈情報抽出部２２により抽出された指の静脈部分は未登録対象であることを意味する。

この場合、ＩＤ通知部２３Ｃは、静脈情報抽出部２２から与えられる静脈情報に対して番号等の固有のＩＤ（以下、これを登録ＩＤと呼ぶ）を発行する（図５：ステップＳＰ４）。また登録部２３Ｄは、ハッシュ生成部２３Ａにより生成されたハッシュ値と、ＩＤ通知部２３Ｃにより発行された登録ＩＤと、静脈情報抽出部２２から与えられる静脈情報とを登録データに書き込むことにより耐タンパ性メモリ１４に登録する（図５：ステップＳＰ５）。この後、ＩＤ通知部２３Ｃは、発行した登録ＩＤを通信部１５（図２）を介して通信対象のサーバー２_Ｘに通知し（図５：ステップＳＰ６）、登録処理を終了する。

一方、静脈情報抽出部２２から与えられる静脈情報と同一とされる静脈情報が耐タンパ性メモリ１４において探索された場合（図５：ステップＳＰ３（ＹＥＳ））、このことは、この静脈登録モードにおいて撮像した指の静脈部分については過去に登録したことがあることを意味する。

この場合、登録部２３Ｄは、登録データを更新する（図５：ステップＳＰ７）。具体的には、登録データに含まれる静脈情報を、静脈情報抽出部２２から与えられる静脈情報に書き換えるとともに、通信対象のサーバー２_Ｘからのメッセージデータに基づくハッシュ値をその登録データに書き加える。この後、ＩＤ通知部２３Ｃは、更新した登録データに含まれる登録ＩＤを、通信部１５（図２）を介して通信対象のサーバー２_Ｘに送信し（図５：ステップＳＰ８）、登録処理を終了する。

このように登録処理部２３は、複数のサーバー２に対して同一の静脈部分が登録対象とされた場合、同一の静脈部分の各静脈情報をそれぞれ耐タンパ性メモリ１４に登録するのではなく、最新となる一の静脈情報だけを登録する。したがってこの携帯電話機３では、複数のサーバー２に対する認証用データとして、同一の静脈情報が利用されている場合であっても、一の静脈情報だけが登録されることになり、耐タンパ性メモリ１４に対する無駄な使用量を削減することが可能となる。

また登録処理部２３は、複数のサーバー２の認証用として登録した静脈情報に対して、当該サーバー２からそれぞれ取得したメッセージデータに基づくハッシュ値を対応付けるようになされている。したがってこの携帯電話機３では、静脈情報がいくつのサーバーに対する認証用とされているものであるかを把握することが可能となる。

さらに登録処理部２３は、静脈情報を登録する場合、携帯電話機３の外部となる通信相手のサーバー２_Ｘに対して、静脈情報について発行した登録ＩＤだけを与えるので、この携帯電話機３では、生涯不変であるといわれる静脈に関する情報（静脈情報）については、秘匿性を確保することが可能となる。

なお、生体における静脈自体は生涯不変であるといわれているが、静脈画像に映し出される静脈については、例えば生体における脂肪量などに応じて可変する。つまり、２回目の撮像時における指の脂肪量が１回目の撮像時に比して増減していた場合には、その増減に起因して、静脈画像に映し出される静脈の状態（静脈情報の内容）に変化が生じることもある。

この実施の形態における登録処理部２３は、これから登録しようとする静脈情報が過去に登録されている場合、これから登録しようとする静脈情報を破棄することなく更新することによって、最新の指の状態に反映した静脈情報を登録しておくことができ、この結果、指の状態変化に起因するＦＲＲ(False Rejection Rate)を回避することができるようになされている。

（２−１−１）登録データのデータ構造
次に、登録データのデータ構造を説明する。図６に示すように、登録データは、ヘッダ領域ＨＡＲと、データ領域ＤＡＲと、フッタ領域ＦＡＲとを含む構造でなる。データ領域ＤＡＲには、複数の静脈情報を格納するための領域（以下、これを生体情報格納領域と呼ぶ）ＤＡＲ１〜ＤＡＲｎが割り当てられており、各生体情報格納領域ＤＡＲ１〜ＤＡＲｎは、登録処理部２３により発行される登録ＩＤを格納するためのブロックＢｒ１と、静脈情報抽出部２２により抽出される静脈情報を格納するためのブロックＢｒ２と、登録処理部２３により生成されるハッシュ値を格納するためのブロックＢｒ３とを有する。

ブロックＢｒ３に格納されるハッシュ値は、１つとは限らず、図５のステップＳＰ７において上述したように、複数のサーバー２に対して同一の静脈部分が登録対象とされた場合、各サーバーからそれぞれ取得したメッセージデータに基づいて生成された２以上のものが対応付けられる。したがって、このハッシュブロックＢｒ３に格納されるハッシュ値は、静脈情報の登録対象となるサーバーを特定するための情報の１つであり、ハッシュ値の数は、同一の静脈部分を用いて登録したサーバー数を表すことになる。

かかる構成に加えて、各生体情報格納領域ＤＡＲ１〜ＤＡＲｎには、登録データの更新を制限するか否かを表すブロックが割り当てられている。具体的には、図６に示したように、ブロックＢｒ２に格納される静脈情報の更新を禁止するものであるか否かを表す第１のフラグのブロックＢｒ４と、当該ブロックＢｒ２、Ｂｒ３に格納される静脈情報、ハッシュ値の更新を禁止するものであるか否かを表す第２のフラグのブロックＢｒ５とが割り当てられる。

このブロックＢｒ４及びＢｒ５における第１及び第２のフラグは、金融サービス等のように、最初に登録した静脈情報が変更されることや、静脈情報が複数のサーバー２に対する登録対象とされることが懸念されることを考慮したものである。これらフラグは、通常、オフ（立ち下げ）状態とされるが、登録データの更新の制限が許容された１又は２以上のサーバー２に対して最初の登録をするとき、オン（立ち上げ）状態とされる。

上述の登録処理（図５）では、同一の静脈情報が耐タンパ性メモリ１４に登録されないのが原則であるが、第１のフラグ又は第２のフラグがオン状態の登録データを生成した場合、同一の静脈情報は、第１のフラグ又は第２のフラグがオン状態の登録データと、当該フラグがオフ状態の登録データとして並存することが例外としてある。

（２−１−２）フラグがオン状態の登録データの生成ついて
ここで、第１のフラグ又は第２のフラグがオン状態の登録データを生成する場合について、図５との対応部分に同一符号を付して示す図７に示すフローチャートを用いて説明する。

すなわち、登録処理部２３がハッシュ値を生成するためのメッセージデータを送信すべきことを要求した場合（図７：ステップＳＰ１）、登録データの更新の制限が許容されたサーバー２は、第１又は第２のフラグをオン状態とすべき内容を含むメッセージデータを返信するようになされている。

登録処理部２３は、このメッセージデータに基づいてハッシュ値を生成するとともに（図７：ステップＳＰ１）、第１のフラグ又は第２のフラグをオン状態とすべき内容がメッセージデータに含まれているか否かを判定する（図７：ステップＳＰ１１）。

ここで、第１のフラグ又は第２のフラグをオン状態とすべき内容がメッセージデータに含まれていない場合、登録処理部２３は、上述したように、静脈情報抽出部２２から与えられる静脈情報と同一又は略同一の静脈情報が耐タンパ性メモリ１４に登録されているか否かを探索する（図７：ステップＳＰ３）。

これに対して、第１のフラグ又は第２のフラグをオン状態とすべき内容がメッセージデータに含まれていた場合、登録処理部２３は、静脈情報抽出部２２から与えられる静脈情報と同一又は略同一の静脈情報が耐タンパ性メモリ１４に登録されているか否かを探索することなく登録ＩＤを発行し（図７：ステップＳＰ４）、ハッシュ値と、登録ＩＤと、静脈情報とを、未領域の生体情報格納領域ＤＡＲに書き込むことにより新規登録する（図７：ステップＳＰ５）。そして登録処理部２３は、登録データにおけるブロックＢｒ４、Ｂｒ５のうち、メッセージデータの内容にしたがって第１のフラグ又は第２のフラグをオン状態とする（図７：ステップＳＰ１２）。

このように、第１のフラグ又は第２のフラグがオン状態の登録データを生成する場合、これから登録しようとする登録対象の静脈情報と同一又は略同一の静脈情報が既に耐タンパ性メモリ１４に登録されているか否かにかかわらず、当該登録対象の静脈情報は新たに登録されることになる。

（２−１−３）フラグがオン状態の登録データの更新について
次に、第１のフラグ又は第２のフラグがオン状態の登録データを更新する場合（図７：ステップＳＰ７）について、図７に示したフローチャートを用いて説明する。

すなわち、登録処理部２３は、静脈情報抽出部２２から与えられる静脈情報と同一又は略同一の静脈情報が耐タンパ性メモリ１４から探索された場合（図５：ステップＳＰ３（ＹＥＳ））、当該探索された静脈情報を含む登録データの第１のフラグ又は第２のフラグがオン状態であるか否かを把握する（図７：ステップＳＰ１３）。

ここで、第１のフラグ及び第２のフラグの双方がオフ状態となる登録データの場合（図７：ステップＳＰ１４（ＮＯ））、当該登録データのブロックＢｒ２に格納される静脈情報を、静脈情報抽出部２２から与えられる静脈情報に書き換えるとともに、当該登録データのブロックＢｒ３に対してハッシュ値を書き加えることにより登録データを更新する（図７：ステップＳＰ１４）。したがってこの場合の静脈情報は、原則どおり、最新の指の状態に反映したものとして登録され、２以上のサーバーにおけるサービスを受領するときにそれぞれ用いられることになる。

一方、第１のフラグがオン状態となる登録データの場合（図７：ステップＳＰ１４（ＮＯ））、登録処理部２３は、当該登録データのブロックＢｒ２に格納される静脈情報を書き換えることなく、ブロックＢｒ３に対してハッシュ値を書き加えることにより登録データを更新する（図７：ステップＳＰ１４）。したがって、第１のフラグがオン状態の静脈情報は、２以上のサーバーにおけるサービスを受領するときにそれぞれ用いられるが、その更新は禁止され、新規登録時の状態に維持されることになる。

他方、第２のフラグがオン状態となる登録データの場合（図７：ステップＳＰ１４（ＹＥＳ））、登録処理部２３は、当該登録データを更新せずに登録ＩＤを発行する（図７：ステップＳＰ４）。そして登録処理部２３は、登録ＩＤと、ハッシュ値と、静脈情報抽出部２２から与えられる静脈情報とを、未領域の生体情報格納領域ＤＡＲに書き込むことにより新規登録する（図７：ステップＳＰ５）。この場合、登録処理部２３は、第１および第２のフラグをオン状態とすることなく（図７：ステップＳＰ１２）、登録ＩＤを通信先のサーバー２_Ｘに通知するようになされている（図７：ステップＳＰ６）。したがって、第２のフラグがオン状態の静脈情報は、一のサーバーにおけるサービスを受領するときにだけ用いられるものとなり、当該静脈情報の独自性が確保されることになる。

（２−２）認証モード
次に、認証モードについて説明する。ネットワーク４を通じて通信接続された通信先のサーバー２_Ｘにおけるサービスの受領が２回目以降となる場合、つまり、サーバー２_Ｘが上述の静脈登録モードを経て登録ＩＤを取得している場合、制御部１０には、当該サーバー２_Ｘから通信部１５（図２）を介して認証命令が登録ＩＤとともに与えられる。

この場合、制御部１０は、表示部１６（図２）及び音声出力部１７（図２）の少なくとも一方を介して指配置面に指を配すべきことを通知した後、図３との対応部分に同一符号を付した図８に示すように、駆動部２１、静脈情報抽出部２２、読出部３１及び認証部３２として機能する。

駆動部２１は、撮像部１２を駆動させ、静脈情報抽出部２２は、撮像部１２から与えられる静脈画像データに基づいて静脈情報を抽出する。

読出部３１は、耐タンパ性メモリ１４に記憶された登録データにおいて、サーバー２_Ｘが保持していた登録ＩＤと同じものがあるか否かを検索する。読出部３１は、サーバー２_Ｘが保持していた登録ＩＤと同じ登録ＩＤがある場合には、当該登録ＩＤに対応付けられた静脈情報及びハッシュ値を読み出し、これらを認証部３２に与えるようになされている。

認証部３２は、通信対象のサーバー２_Ｘに対して、ハッシュ値を生成するためのメッセージデータとして、上述の静脈登録モード時において送信したときと同一のものを要求し、当該送信要求に応じて返信されるメッセージデータに基づいてハッシュ値を生成する（図９：ステップＳＰ１１）。

そして認証部３２は、ハッシュ値と、耐タンパ性メモリ１４から読出部３１により読み出されたハッシュ値とを比較し、これらが一致するか否かを判定する（図９：ステップＳＰ１２）。

ここで、ハッシュ値が一致すると判定した場合（図９：ステップＳＰ１２（ＹＥＳ））、このことは、サーバー２_Ｘになりすました第三者と通信している可能性が極めて低いことを意味する。この場合、認証部３２は、耐タンパ性メモリ１４から読出部３１により読み出された静脈情報と、静脈情報抽出部２２により抽出された静脈情報とを照合し（図９：ステップＳＰ１３）、これらが一致するか否かを判定する（図９：ステップＳＰ１４）。

認証部３２は、静脈情報が一致すると判定した場合（図９：ステップＳＰ１４（ＹＥＳ））、登録者と承認することができたことを、通信先のサーバー２_Ｘに対して通信部１５（図２）を介して通知する（図９：ステップＳＰ１５）。この場合、制御部１０は、通信先のサーバー２_Ｘとの間において、当該サーバー２_Ｘにおけるサービスを受領するための各種データの授受を実行するようになされている。

一方、ハッシュ値が一致しないと判定した場合（図９：ステップＳＰ１２（ＮＯ））又は静脈情報が一致しないものと判定した場合（図９：ステップＳＰ１４（ＹＥＳ））、認証部３２は、登録者と承認することができない旨を、通信対象のサーバー２_Ｘに対して通信部１５（図２）を介して通知する（図９：ステップＳＰ１６）。

ちなみに、サーバー２_Ｘが保持していた登録ＩＤと同じ登録ＩＤが登録データにない場合には、認証部３２には静脈情報が与えられず、この結果、認証部３２において、登録者と承認することができないものと判定される。

このようにしてこの制御部１０は、認証モードを実行することができるようになされている。

（３）動作及び効果
以上の構成において、この携帯電話機３は、登録対象の静脈情報を取得した場合、既に耐タンパ性メモリ１４に登録された静脈情報のなかに、その登録しようとする静脈情報と一致するものがあるか否かを判定する（図７（図５）：ステップＳＰ２）。

そしてこの携帯電話機３は、これから登録しようとする静脈情報と、既に登録された静脈情報とが一致しているもの（類似度（例えば相関値）が、同一のものであろうとする限界値以上）と判定した場合（図７（図５）：ステップＳＰ３（ＹＥＳ））、当該既に登録された静脈情報に対する更新禁止の有無を示すフラグの状態に応じて、新規登録又は更新登録のいずれかを選択する（図７：ステップＳＰ１３）。ここで、携帯電話機３は、更新登録の場合には、これから登録しようとする静脈情報を、当該既に登録された静脈情報を、登録対象の静脈情報に書き換えることにより更新する（図７（図５）：ステップＳＰ７（ＳＰ１４））。

例えば、サーバー２_１により提供される第１のサービスの受領を認証するための静脈情報が耐タンパ性メモリ１４に記憶されている状態において、サーバー２_２により提供される第２のサービスの受領を認証するための静脈情報を取得した場合、当該サーバー２_２に対する静脈情報が、耐タンパ性メモリ１４に記憶されたサーバー２_１に対する静脈情報と一致するのであれば、サーバー２_１及びサーバー２_２に対する一の静脈情報として、更新される。

すなわち、未使用の生体情報格納領域ＤＡＲが、サーバー２_２に対する静脈情報の使用領域として用いられるのではなく、既に登録されたサーバー２_１に対する静脈情報が格納された生体情報格納領域ＤＡＲが、サーバー２_１及びサーバー２_２に対する静脈情報の使用領域として用いられることとなる。

したがって、この携帯電話機３は、異なるサービス（サーバー２）に対する認証用データとして、同一の静脈情報が利用されている場合であっても、各サーバー２に対する同一の静脈情報それぞれを、耐タンパ性メモリ１４に登録することを未然に防止することができる。

またこの携帯電話機３は、静脈情報を新たに登録するとき、又は既に登録された静脈情報を更新するとき、通信対象のサーバー２_Ｘから与えられるメッセージデータに基づいてハッシュ値を生成し、当該静脈情報にこのハッシュ値を対応付けて耐タンパ性メモリ１４に登録する。

したがってこの携帯電話機３は、指の静脈部分が既に登録対象となっている場合には、最新となる一の静脈情報だけを耐タンパ性メモリ１４に登録し、当該静脈情報に対して、各サーバー２からそれぞれ取得したメッセージデータに基づくハッシュ値を対応付けるので、耐タンパ性メモリ１４に対する無駄な使用量を削減しつつ、一の静脈情報を、複数のサーバー２（サービス）に対する認証対象として関連付けることができる。この結果、この携帯電話機３は、静脈情報がいくつのサーバーに対する認証用とされているものであるかを必要に応じて提示することが可能となる。

以上の構成によれば、同一の静脈部位に対する静脈情報を耐タンパ性メモリ１４に登録することを未然に防止することができるようにしたことにより、耐タンパ性メモリ１４に対する無駄な使用量を削減し得る携帯電話機３を実現できる。

（４）他の実施の形態
上述の実施の形態においては、生体情報として、生体の静脈情報を適用するようにした場合について述べたが、本発明はこれに限らず、指紋、口紋又は声紋に関する情報等、この他種々の生体に関する情報を適用することができる。なお、上述の実施の形態では、撮像部１２及び静脈情報抽出部２２によって静脈情報を取得するようにしたが、その取得手法については、当該撮像部１２及び静脈情報抽出部２２に代えて、適用される生体情報を取得するための技術事項に変更することができる。

また上述の実施の形態においては、静脈情報の格納対象となるメモリとして耐タンパ性メモリ１４を適用したが、本発明は例えばＳＩＭ(Subscriber Identity Module card)、ＵＩＭ(Universal subscriber Identity Module)又はメモリスティック（ソニー登録商標）等を適用することもできる。ＳＩＭやＵＩＭを適用した場合、ＩＣ(Integrated Circuit)チップ等のローミングが可能となり、ユーザの使い勝手を向上させることができる。

さらに上述の実施の形態においては、通信対象から与えられるメッセージデータに基づいて、生体情報よりも小さいデータ容量でなり、通信対象を特定するための識別データを生成する生成部として、ハッシュ生成部２３Ａを適用するようにした場合について述べたが、本発明はこれに限らず、ハッシュ関数以外の一方向性関数から得られるデータ列や、所定の暗号理論を用いたデータ列、あるいは単なる番号等を採用することができる。

さらに上述の実施の形態においては、携帯電話機３を適用するようにした場合について述べたが、本発明はこれに限らず、例えば、ＰＤＡ(Personal Digital Assistants)、テレビジョン受信機、パーソナルコンピュータ等、通信機能を有するこの他種々の電子機器を適用することができる。電話番号やメールアドレス等のように個人に対して通信用ＩＤが割り当てられる携帯通信機器を適用する場合には、異なるサービスに対して同じ指の静脈画像を入力するといったことが多いので、特に耐タンパ性メモリ１４に対する無駄な使用量を削減し得る本発明は特に有用となる。

本発明は、バイオメトリクス認証分野において利用可能である。

本実施の形態による通信システムの構成を示す略線図である。 携帯電話機の回路構成を示すブロック図である。 静脈登録モードにおける制御部の機能的構成を示すブロック図である。 登録処理部の構成を示すブロック図である。 登録処理手順を示すフローチャートである。 登録データのデータ構造を示す略線図である。 登録処理手順（フラグがオン状態の登録データを生成又は更新する場合）を示すフローチャートである。 認証モードにおける制御部の機能的構成を示すブロック図である。 認証処理手順を示すフローチャートである。

符号の説明

１……通信システム、２_１〜２_ｎ、２_Ｘ……サーバー、３……携帯電話機、１０……制御部、１１……操作部、１２……撮像部、１３……メモリ、１４……耐タンパ性メモリ、１５……通信部、１６……通知部、２１……駆動部、２２……静脈情報抽出部、２３……登録処理部、２３Ａ……ハッシュ生成部、２３Ｂ……情報探索部、２３Ｃ……ＩＤ通知部、２３Ｄ……登録部、３１……読出部、３２……認証部。

Claims (9)

1. 第１サービスの受領を認証するための生体情報が記憶される生体情報記憶部と、
   上記第１サービスと異なる第２のサービスの受領を認証するための生体情報を取得する生体情報取得部と、
   上記生体情報取得部により取得された生体情報と、上記生体情報記憶部に記憶される生体情報とが一致するか否かを判定する判定部と
   を具え、
   上記判定部が、上記生体情報取得部により取得された生体情報と、上記生体情報記憶部に記憶される生体情報とが一致することを示す場合に、
   上記第１サービス及び上記第２の受領を認証するための生体情報として、上記生体情報取得部により取得された生体情報又は上記生体情報記憶部に記憶される生体情報が、選択されて、上記生体情報記憶部に記憶される
   生体情報記憶装置。
2. 上記判定部が、上記生体情報取得部により取得された生体情報と、上記生体情報記憶部に記憶される生体情報とが一致することを示す場合に、
   上記生体情報取得部により取得された生体情報が、上記生体情報記憶部に記憶される生体情報に替えて記憶される
   請求項１に記載の生体情報記憶装置。
3. 上記生体情報は、
   静脈を示す情報である
   請求項２に記載の生体情報記憶装置。
4. 上記生体情報記憶部は、
   上記生体情報と異なる情報を記憶する記憶部と比べて高い安全性を有する
   請求項１に記載の生体情報記憶装置。
5. 上記生体情報記憶部は、
   携帯機器に設けられた携帯機器用の記憶部である
   請求項１に記載の生体情報記憶装置。
6. 上記携帯機器は、
   通信回線を通じて複数の端末と通信するものであり、各端末から各々異なるサービスを受領する
   請求項５に記載の生体情報記憶装置。
7. 上記携帯機器は、
   個人に対して通信用ＩＤが割り当てられている
   請求項６に記載の生体情報記憶装置。
8. 上記判定部が、上記生体情報取得部により取得された生体情報と一致するものが上記生体情報記憶部に記憶されていないことを示す場合に、
   上記生体情報取得部により取得された生体情報に対して新たな識別番号を付与する
   請求項１に記載の生体情報記憶装置。
9. 通信回線に対して信号を送受信する送受信部をさらに具え、
   上記通信回線を通じて通信接続された通信先から受信した信号に基づき生成された、いずれの通信先であるか否かを識別するための通信先識別情報が、上記生体情報取得部により取得された生体情報又は上記生体情報記憶部に記憶される生体情報と関連付けて、上記生体情報記憶部に記憶される
   請求項１に記載の生体情報記憶装置。

Images