JP6202983B2 - 本人認証システム - Google Patents

Description

本発明の実施形態は、本人認証システムに関する。

近年、電子商取引などにおいて、生体情報を用いた本人認証が注目されている。特定の施設に設置された入退室管理装置のように、決められた場所で生体認証を実施するシステムと異なり、携帯電話機等の携帯端末やＰＣを介した本人認証は、時間や場所を選ばない。したがって、登録者の生体情報（例えば、顔画像認識の場合は顔写真など）を入手することによって、登録者に「なりすます」ことが容易になる問題があった。そのため、なりすましを検知する方法や装置が提案されている。例えば、なりすまし対策として本人認証を継続して行うことによってセキュリティを厳しくしたものもある。

特開２００４−０１３８３１号公報

しかしながら、セキュリティを強化するため本人認証を繰り返すようにすると、認証失敗などの誤検知が発生しやすくなることで利用者の利便性を損なうことや、計算資源を浪費してしまう（その結果、利便性を損なう）という問題がある。このように、本人認証システムにおいては、セキュリティを厳しくするだけでは利便性を損なってしまう問題がある。したがって、セキュリティの強化と利便性の維持が両立できることが望ましい。

本発明が解決しようとする課題は、セキュリティの強化と利便性の維持を両立することができる本人認証システムを提供することである。

実施形態の本人認証システムは、撮影対象が生体であるかまたは非生体であるかを判別することにより、なりすましを検知する検知手段と、撮影画像を基に本人照合を行う照合手段と、検知手段による検知処理および照合手段による本人照合処理の実行のタイミングを制御し、検知手段による検知が第１の回数分実行された場合、照合手段による照合処理を実行させる制御手段とを備える。制御手段は、検知手段による成りすましの検知結果に応じてセキュリティ強度を設定し、セキュリティ強度に応じて定めた回数と、利便性に関係する当該本人認証システムにかかる所定の負荷のレベルに応じて定めた回数との中間値を、第１の回数として定める。

図１は、第１の実施形態にかかる本人認証システムの構成を示すブロック図である。 図２は、照合タイミング制御部の制御による、本人認証処理での処理の流れを説明するフローチャートである。 図３は、なりすましを検知した場合の本人認証処理の頻度について説明する図である。 図４は、利便性が低くなる場合の本人認証処理の頻度について説明する図である。 図５は、本人認証対象である人物に、撮影時の顔の向きなどの動作を要求して顔画像を得る場合を説明する図である。 図６は、第２の実施形態の本人認証システムの構成を示すブロック図である。 図７は、統計情報管理部の構成を示す図である。 図８は、登録者の行動パターンとして記録しておく情報（履歴情報）の一例を示す図である。 図９は、統計情報管理部にて記録するなりすまし検知結果の一例を示す図である。 図１０は、予め定められた一人または複数の管理者等と本人認証対象の人物とを同時に撮影し、同時に本人照合を行う場合の照合結果の一例を示す図である。

（第１の実施形態）
図１は、第１の実施形態にかかる本人認証システム１００の構成を示すブロック図である。

本人認証システム１００において、画像入力部１０２は、カメラ１０１で撮像した認証対象の人物の顔画像を入力する手段である。入力された画像信号はＡ／Ｄ変換器（図示せず）によりデジタル化され、後段の写真なりすまし検出部１０３に出力される。なお、携帯電話機等の携帯端末で顔画像を入力する場合は、カメラ１０１および画像入力部１０２として、この携帯端末に備わるカメラ機能を利用することができる。また、カメラ１０１は、特定の施設の固定した場所に設置される場合もある。

写真なりすまし検出部１０３は、入力された顔画像が、写真などの非生体情報であるかどうかを判定する。この判定は、例えば、特開２００６−０９９６１４号公報に示されている手法によって実現することができる。その他、顔画像が生体でないものによるものであることを検知することができる手段であれば、どのような技術でも採用することができる。検知結果は、後段の照合タイミング制御部１０４に出力される。

照合タイミング制御部１０４は、写真なりすまし検出部１０３の判定結果にしたがって、写真なりすまし検出部１０３および本人照合部１０５に対し、本人確認のための本人認証処理（写真なりすまし検出処理および本人照合処理）を実施するタイミング（処理の流れ）を制御する。また、表示・操作部１０７に利用者に本人認証にかかるガイド等の表示をし、また所定の操作を受付ける。

本人照合部１０５は、顔検出部１０５ａ、特徴抽出部１０５ｂ、顔特徴情報管理部１０５ｄ、および、人物判定部１０５ｃから構成される。

顔検出部１０５ａは、入力画像内において、顔検出用の予め用意されたテンプレートを画像内で移動させながら入力画像とテンプレート間の相関値を求めることにより、最も高い相関値を与える位置を顔領域として抽出する。この顔領域の抽出は、周知の固有空間法や、部分空間法を利用した顔抽出法などによっても実現可能である。また顔検出部１０５ａは、検出された顔領域の部分の中から、目、鼻などの顔部位の位置を検出する。その検出方法は、文献１（福井和広、山口修：「形状抽出とパターン照合の組合せによる顔特徴点抽出」，電子情報通信学会論文誌（Ｄ−ＩＩ），ｖｏｌ．Ｊ８０−Ｄ−ＩＩ，Ｎｏ．８，ｐｐ２１７０−２１７７（１９９７））などに示される方法によって実現可能である。

特徴抽出部１０５ｂは、顔領域の情報（顔部位の位置）から個人を識別するための特徴情報（以降、顔特徴情報と記す）を数値として出力する。特徴抽出部１０５ｂは、まず、顔検出部１０５ａによって検出された顔部位の位置をもとに、顔領域を一定の大きさ、形状に切り出し、その濃淡情報を顔特徴情報として用いる。ここでは、ｍピクセル×ｎピクセルの領域の濃淡値をそのまま、ｍ×ｎ次元の特徴ベクトルとして用いる。

あるいは、文献２（特開２００７−００４７６７号公報）にあるように１枚の顔画像情報に対して３次元モデルを生成して顔の向きや状態を意図的に変動させた複数の顔パターン画像を作成し、これらを、画素値を要素とする特徴ベクトルとみなして周知のＫ−Ｌ展開を行い、得られた正規直交ベクトルを、入力画像に対応する人物の顔特徴情報（特徴ベクトル）とするようにしてもよい。１枚の画像から顔の特徴を求める場合にはここまでの処理で顔特徴抽出は完了する。

他の手法として、同一人物に対する連続した複数画像からなる動画像を用いて本人照合処理を行うこともできる。具体的には文献３（福井和広、山口修、前田賢一：「動画像を用いた顔認識システム」，電子情報通信学会研究報告ＰＲＭＵ，ｖｏｌ．９７，Ｎｏ．１１３，ｐｐ１７−２４（１９９７））、文献４（前田賢一、渡辺貞一：「局所的構造を導入したパターン・マッチング法」，電子情報通信学会論文誌（Ｄ），ｖｏｌ．Ｊ６８−Ｄ，Ｎｏ．３，ｐｐ３４５−３５２（１９８５））にある相互部分空間法を用いることができる。これらの手法により、連続した画像から顔の特徴を示す部分空間を計算することができる。

以上のような手法で求められた特徴ベクトルや部分空間のような特徴情報を、入力された画像で検出された顔に対する個人の顔特徴情報とする。

顔特徴情報管理部１０５ｄは、後述の人物判定部１０５ｃで類似性指標を計算するときに利用するデータベースであり、照合対象となる個人ごとに、特徴情報抽出部１０５ｂで出力された顔特徴情報を管理する。この顔特徴情報管理部１０５ｄで管理する情報は、管理者等の利用者がわかりやすいように、各顔特徴情報に対応付けて、顔画像、名前、性別、年齢、身長など、該当する人物に関する付随した情報を対応付けて管理することも可能である。なお、顔特徴情報として実際に管理する内容は、特徴抽出部１０５ｂで出力されたデータそのものでよく、前述の特徴ベクトルや、部分空間の計算等を行う直前の相関行列（詳しくは、文献５（エルッキ・オヤ著、小川英光、佐藤誠訳、「パターン認識と部分空間法」、産業図書、１９８６年））等でも構わない。

人物判定部１０５ｃは、特徴抽出部１０５ｂで得られた入力画像の顔特徴情報と、認証対象に対応する顔特徴情報管理部１０５ｄの顔特徴情報との類似性指標の計算を行う。

類似性指標としては顔特徴情報として管理されている特徴ベクトルまたは部分空間の情報から、単純類似度法による２つの特徴ベクトル間の類似性を示す類似度、または、部分空間法による部分空間同士の類似度とする。

なお、類似性指標としての類似度の算出は、これら以外に、複合類似度法などの方法も用いることができる。この方法では、予め登録されている登録情報の中の本人照合用のデータも、本人照合のため入力されるデータも、複数の画像から計算される部分空間として表現される。この２つの部分空間のなす「角度」を類似度として定義し、これを本人照合のための類似度とする。具体的な計算方法は、前述の特徴抽出部１０５ｂの説明で紹介した文献１の手法で実現できる。

また、上記類似度以外の類似性指標として、入力画像に基づく顔特徴と登録情報の中の顔特徴情報との特徴空間上での距離やマハラノビス距離といったものも利用可能であることはあきらかである。距離を利用した場合には数値が大きいほど類似性が低くなるため、照合判定のための閾値との比較では、当該閾値より小さければ小さいほど登録された人物との類似性が高いことになる。

また、入力画像として予め同一人物と分かる管理者等の人物を含む複数の人物からなる画像（図１０）を用いれば、類似性指標の精度を向上させることも可能である。この場合、本人照合に必要な管理者等の人数は、入力画像の解像度、要求されるセキュリティの強度に応じて増減させるとよい。

人物判定部１０５ｃは、計算された上記類似性指標（類似度）と既定の閾値とを比較することにより、登録された人物との類似性を判定し、その判定結果を出力部１０６に出力する。

出力部１０６は、人物判定部１０５ｃでの判定結果等を外部装置に出力する。

なお、上記構成において、携帯電話機等の携帯端末を利用する場合、画像入力部１０２、写真なりすまし検出部１０３、照合タイミング制御部１０４、顔検出部１０５ａ、および特徴抽出部１０５ｂは、携帯端末側に設けられ、携帯端末の機能を利用して実現される。また、人物判定部１０５ｃ、顔特徴情報管理部１０５ｄ、および出力部１０６は、サーバ側に設けられ、このサーバの機能を利用して実現される。この場合、特徴抽出部１０５ｂと人物判定部１０５ｃとの間には、図示しない携帯電話機等のネットワークおよび対応する通信インターフェースが設けられる。一方、本人認証システム１００を特定の施設に設ける場合、当該システムの上記各部は、サーバ等の情報処理装置に設けられ、この情報処理装置の機能を利用して実現されるが、専用の装置として構成してもよい。

ところで、本人認証対象の人物について、写真なりすまし検出部１０３が、なりすましが繰り返されていることを検知した場合は、よりセキュリティを厳しくすることが望ましい。逆に、なりすましの頻度が少なければセキュリティをそれほど厳しくしなくしても構わない。なりすまし行為の繰り返しに対し、例えば、照合タイミング制御部１０４が、所定時間内のなりすまし検知回数をカウントし、単位時間あたりのなりすまし検知回数を求める。そして、単位時間あたりのなりすまし検知回数が所定の閾値より多い場合はセキュリティ強度を厳しくする設定に変更する。あるいは、写真なりすまし検出部１０３がなりすましであると判定した場合は、照合タイミング制御部１０４がカウンタをプラスし、写真なりすまし検出部１０３がなりすましではないと判定した場合は、照合タイミング制御部１０４がカウンタをマイナスにするようにして、検知回数をカウントするようにしてもよい。この場合は、検知回数が所定のプラスの値（閾値）になったら写真なりすまし検出部１０３がセキュリティ強度を厳しくする設定に変更する。

ここで、照合タイミング制御部１０４の制御による、本人認証処理での処理の流れについて説明する。図２は、その処理の流れを説明するフローチャートである。

図２に示す例は、一定回数のなりすまし検出を行い、なりすましが検出されなかった場合は、通常の本人照合処理を行うが、なりすましをしていると判定された場合にも、継続して本人照合処理を実施し、一定回数、および一定時間までの本人照合処理、さらに一定回数のなりすましの検出処理を繰り返すように制御する動作例である。この制御により、なりすましの誤検出が生じた場合でも本人確認を行え、かつ、セキュリティを強化できる。また、図２に示す例は、上記一定回数および一定時間を設定変更可能なパラメータとして、なりすましの頻度に応じて、要求されるセキュリティの強度および本人認証システム１００を利用する利用者の利便性のトレードオフを調整できるようにした例でもある（後述）。

図２に示すように、本実施形態では、本人確認の繰り返し回数の閾値Ｎ以上となるまで、ステップＳ１０２〜Ｓ１０５の試行を、さらにはステップＳ１０７〜Ｓ１１３の試行を繰り返す。そして、Ｎ回連続してなりすましが検出されなかった場合（ステップＳ１０２でＮｏ）、本人照合部１０５による本人照合処理を実施する（ステップＳ１０６）。一方、ｉ＜Ｎで（ステップＳ１０２でＹｅｓ）、なりすましが検出された場合は（ステップＳ１０２でＹｅｓ）、以下のように処理する。なお、上記ｉは、ステップＳ１０１で０に初期化される。

写真なりすまし検出部１０３の写真なりすまし検出処理（ステップＳ１０３）により、画像入力部１０２での入力画像が写真を用いたなりすましであると判定された場合は（ステップＳ１０４でＹｅｓ）、本人照合処理の総処理時間ｔが閾値Ｔ［秒］に達するまで（ステップＳ１０８でＮｏと判定されるまで）、または、本人照合の成功回数ｊが閾値Ｍ未満の間（ステップＳ１１１でＹｅｓと判定されている間）、上記ｊに１を加算し（ステップＳ１１２）、上記ｔに本人照合処理を実行する間隔Δ（後述）を加算して（ステップＳ１１３）、本人照合処理（ステップＳ１０９）を繰り返す。一方、入力画像が写真を用いたなりすましでないと判定された場合は（ステップＳ１０４でＮｏ）、ステップＳ１０５でｉに１加算した後、ステップＳ１０２に戻る。なお、上記ｔおよびｊは、ステップＳ１０７で０に初期化される。

ステップＳ１０９での本人照合処理の成功回数ｊが閾値Ｍとなると（ステップＳ１１１でＮｏ）、本人照合が成功したとして、一連の処理を終了する。本人照合の成功回数ｊが閾値Ｍとなる前に、本人照合処理の総処理時間ｔが閾値Ｔ［秒］に達すると（ステップＳ１０８でＮｏ）、タイムアウトとして、ステップＳ１０５でｉに１加算（ステップＳ１０５）した後、ステップＳ１０２に戻り、写真なりすまし検出部１０３によるなりすまし検出を再び実施する（ステップＳ１０３）。

ステップＳ１０２に戻った時点で、ステップＳ１０２の判断処理がＮ回繰り返されていると（ステップＳ１０２でＮｏ）、ステップＳ１０６で本人照合処理を実施する。照合タイミング制御部１０４は、このように処理の流れを制御する。なお、Ｍ回の本人照合処理（ステップＳ１０９）に成功しないで、ステップＳ１０２〜Ｓ１０５およびステップＳ１０７〜Ｓ１１３の処理がＮ回繰り返されてステップＳ１０６の本人照合処理に移行した場合、このステップでの本人照合も一般的にはステップＳ１０９の本人照合処理と同様に失敗することになる。

なお、上記で繰り返されるなりすまし検出の際および本人照合の際、同一画像を用いるのではなく、複数の入力画像のうちの異なる画像を用いて実施するのが好ましい。また、本人照合処理を実行する間隔Δ［秒］は、例えばＭ回の照合処理に要した時間の統計情報ｔ１、…、ｔＭ［秒］から、Δ＝（ｔ１＋…＋ｔＭ）／Ｍとして定める。なお、これらのパラメータＮ、Ｔ、Ｍ、Δの初期値は、予め設定される。

（なりすましを検知した場合の本人認証処理の頻度）
なりすましの検知回数によって本人確認の頻度パラメータ（Ｎ（＝Ｎ１）、Ｔ、Ｍ）を変更することもできる。図３のように、時間の経過に従ってなりすましの検知回数（累積数）を計数する過程を考える。経過時間をｔ［ｓ］、なりすまし検知数ｎ（ｔ）、とする。なりすまし検知数ｎ（ｔ）が既定の閾値Ｎｓを超えた場合（図３（Ａ））、または、なりすまし検知数ｎ（ｔ）の変化率ｄ（ｔ）＝Δｎ／Δｔ（ここで、Δｎ＝ｎ（ｔ＋Δｔ／２）−ｎ（ｔ−Δｔ／２））が既定の閾値Ｎｄを超えた場合（図３（Ｂ））は、それぞれ、なりすましの攻撃数が累積して多い、または、ある時刻に集中して多い、そのため疑わしいと判断する。このときは、本人確認の頻度パラメータ（Ｎ、Ｔ、Ｍ）を大きくし本人認証処理の頻度（繰り返し）を増加させることで、セキュリティ強度を上げるようにする。逆の場合は、本人確認の頻度パラメータ（Ｎ、Ｔ、Ｍ）を小さくし本人認証処理の頻度を減少させることで、利便性を向上させるようにする。なお、本人確認の頻度パラメータ（Ｎ、Ｔ、Ｍ）を変更する場合、Ｎ、Ｔ、Ｍのいずれか１つまたは任意の組み合わせまたは全部に対し行う。

また、本人確認を行う場所によって、上記本人確認の頻度パラメータを大きくすることでセキュリティを強化させることもできる。例えば、治安の悪い地域などで本人確認が行われる場合（あるいは、行われた場合）は、本人確認の頻度パラメータを大きくするよう制御する。このように、セキュリティ強度を上げる必要がある場合は、本人確認の頻度パラメータを大きくする。また、携帯端末等を利用した本人認証の場合、本人認証対象の登録者の携帯端末から当該携帯端末に備わるＧＰＳ機能を利用してその位置情報を取得し、その位置と、現に本人認証しようとする特定の場所の位置が一致するか否かにより、なりすましを検知することもできる。このように、利用者の居場所によってなりすましが検知された場合も、本人確認の頻度パラメータを大きくしてセキュリティ強度を上げるようにする。

（利便性が低くなる場合の本人認証処理の頻度）
図４に示すように、多人数に対する本人認証処理などによってシステムの負荷が高くなる場合を考慮し、本人認証システム１００のＣＰＵ稼働率ｘ［％］、メモリ使用率ｙ［％］、および、電池残量ｚ［％］によってシステムの利便性ｅ（ｘ，ｙ，ｚ）を定め、利便性が一定の閾値Ｅ未満となる場合に、利便性ｅ（ｘ，ｙ，ｚ）に応じた本人確認の繰り返し回数の上限（閾値Ｎ）を設定するようにする。ここで、利便性ｅ（ｘ，ｙ，ｚ）は、一例として下式のように定めることができる。

ｅ（ｘ，ｙ，ｚ）＝ｅｘｐ（−ａｘ）ｅｘｐ（−ｂｙ）ｅｘｐ（ｃ（１００−ｚ））

ただし、ｅｘｐ（）は指数関数であり、ａ，ｂ，ｃ＞０は経験的に定められる係数（パラメータ）である。このとき、利便性ｅ（ｘ，ｙ，ｚ）によって定まる本人認証処理の繰り返し回数の上限Ｎ（ｅ（ｘ，ｙ，ｚ））（＝Ｎ２）は、パラメータｐ，ｑを係数として利便性ｅ（ｘ，ｙ，ｚ）に比例するように、下式のように定めることができる。なお、パラメータｐ，ｑは経験的に定められる。

Ｎ（ｅ（ｘ，ｙ，ｚ））＝ｐｅ（ｘ，ｙ，ｚ）＋ｑ

上式では、利便性ｅ（ｘ，ｙ，ｚ）が小さくなると、本人認証処理の繰り返し回数の上限Ｎが小さくなる。その結果、本人認証システム１００にかかる負荷が小さくなり、利便性ｅ（ｘ，ｙ，ｚ）が改善される。また、本人認証処理の繰り返し回数の上限Ｎが小さくなることで、本人認証処理の繰り返しによる誤検知の発生を抑えることができ、この点でも本人認証システム１００の利便性が向上する。

なお、本例において、本人確認を携帯電話機等の携帯端末を介してではなく、商用電源を使用する特定の施設で行う場合は、利便性のパラメータから電池残量ｚを省略することができる。また、利便性ｅ（ｘ，ｙ，ｚ）としては、上記例の他、本人認証処理にかかる処理時間をｔとして、ｅ（ｘ，ｙ，ｚ）＝１／ｔのように、処理時間ｔが短いほど利便性ｅ（ｘ，ｙ，ｚ）が高くなるように定めることもできる。

（セキュリティ強度と利便性のトレードオフを考慮した本人認証処理の頻度）
十分なセキュリティを得るため定められる本人認証処理の繰り返し回数Ｎ１（上記）と、利便性を考慮して定められる本人認証処理の繰り返し回数Ｎ２（上記）について、例えば、パラメータλ（ただし、０≦λ≦１）を用いて、本人確認の頻度パラメータの１つであるＮを、Ｎ＝λＮ１＋（１−λ）Ｎ２のように、Ｎ１とＮ２を内分して定めるようにすれば、セキュリティ強度と利便性とのトレードオフを考慮することができる。

本実施形態では、要求されるセキュリティ強度と利便性とを考慮し上記λを定めることにより頻度パラメータの１つであるＮを決定し、その値（整数値）を定める。なお、λは手動により設定可能であるが、例えば、Ｎとして最初は利便性（本人認証システム１００にかかる所定の負荷のレベル）に応じて定めた値（Ｎ２）を用い、なりすまし検知の累積回数に応じて徐々に、セキュリティ強度に応じて定めた値（Ｎ１）へ近づけるように、照合タイミング制御部１０４が変更するようしてもよい。

（本人認証処理の処理内容の変更）
本人認証処理の具体的な処理内容を変更し、本人確認の精度を高めることもできる。これは次のような方法がある。

（１）本人認証対象である人物に、顔を動かす、目を開閉する、手をふる、笑う、口を開閉する、などの動作を要求し、要求した顔画像を取得して、取得した複数の画像を用いて本人認証処理を行う（図５）。
（２）入力画像の解像度を上げ、より条件のよい画像で本人認証処理を行う。
（３）入力画像のフレームレートを上げ、フレーム間の変化が小さい映像を取得することで本人認証処理を安定させる。
（４）入力画像の枚数を増やし、本人認証処理に使用する情報を多くする。
（５）必要に応じてより精度の高い高次元特徴（高次元の部分空間等）を使用して本人認証処理を行う。
（６）本人認証処理時に使用する閾値を高くする。

以上、第１の実施形態について説明した。本実施形態の本人認証システム１００は、セキュリティの強化と利便性（システムの効率）の維持を両立することができるので、例えば、携帯端末を利用したｅ−ｃｏｍｍｅｒｃｅシステム等における本人認証に応用すると好適である。もちろん、本実施形態の本人認証システム１００は、特定の施設における本人認証に利用する場合にも好適である。

（第２の実施形態）
本実施形態は、第１の実施形態と異なり、なりすまし検知の頻度に応じて通常行う本人認証のための手段（本人照合部１０５）とは別の第２の本人確認手段によりさらに本人確認を行うことで、なりすましの防止を行う。本実施形態も、ｅ−ｃｏｍｍｅｒｃｅシステムで利用される端末や携帯端末における本人認証に応用することができる。基本的な構成や動作は第１の実施形態と同様であるため、本実施形態において追加した特徴的な構成要素である統計情報管理部１０９、確認部１０８、調整部１１０についてのみ説明する。図６は、第２の実施形態の本人認証システム１００の構成を示すブロック図である。

第１の実施形態と同様に、なりすましを繰り返していることを検知した場合はよりセキュリティを厳しくすることが望ましく、その頻度が少なければそれほどセキュリティを厳しくしなくても構わない。本実施形態では、なりすましが繰り返されていることが検知されたときに、第１の実施形態のように、なりすましの検知後すぐに本人照合処理に移行するのではなく、第２の本人確認手段（統計情報管理部１０９、確認部１０８）で、さらに、なりすましを検出する。

（利用者の行動パターンに基づく、なりすましの防止）
図７は、統計情報管理部１０９の構成を示す図である。統計情報管理部１０９は、統計情報入力部１０９ａ、統計情報記録部１０９ｂ、および統計情報出力部１０９ｃで構成される。統計情報記録部１０９ｂには、照合タイミング制御部１０４が、統計情報入力部１０９ａから、利用者の行動パターンにかかる情報を入力する。登録者の行動パターンとして記録しておく情報（履歴情報）としては、ユーザＩＤ（例えば、利用者が使用する携帯端末の識別情報など）、利用年月日、利用時刻、利用場所、なりすまし検知の結果（なりすまし検知結果、累積検知数）である（図８）。また、過去の、入力画像を含むなりすまし検知結果（図９）も記録しておく。本実施形態では、これらの情報を照合タイミング制御部１０４が収集するものとする。また、統計情報出力部１０９ｃは、確認部１０８からの要求に応じて統計情報記録部１０９ｂに記録されている行動パターン等の履歴情報を、確認部１０８に出力する。

確認部１０８は、統計情報管理部１０９に記録されている情報からわかる利用者の行動パターンを基に、なりすましか否かの推定処理を行う。例えば、図８に示すユーザ「００００００」の行動パターンからは、本人認証の時刻が接近しているにもかかわらず、それぞれの時刻におけるユーザの居場所が離れているので、なりすましと推定することができる（この場合は、本人認証を失敗させる）。また、本人認証の利用時刻や利用場所が、登録された本人の通常の行動パターンと比較して、統計的にかけ離れている場合、なりすましであると推定することもできる。このように、利用者の行動パターンからなりすましを推定することができる。また、確認部１０８により、行動パターンからなりすましが推定される場合、照合タイミング制御部１０４は、セキュリティ強度を上げるように本人確認の頻度パラメータを設定する。なお、確認部１０８は、本人認証対象の登録者の履歴情報の個数が十分多い場合のみ、利用者の行動パターンを用いたなりすましか否かの推定処理を行い、少数データに起因する推定のバイアスを回避することもできる。

（本人確認機能の切り替え）
調整部１１０は、管理者等のユーザの判断によって、確認部１０８の利用の有無を切り替える。必要な場合は、ユーザが表示・操作部１０７を通じて、調整部１１０により確認部１０８の機能を無効にし、利便性（効率）を優先させることができる。

（別手段による本人認証）
確認部１０８は、本人認証処理が成功しなかった場合の別手段としての本人認証も行う。例えば、表示・操作部１０７を介して予め登録したパスワードの入力を受付けることにより、本人認証を行うこともできる。あるいは、個人を特定するための磁気カードやＩＣカード、ＲＦＩＤタグ、あるいは鍵などの物理媒体を用いた本人認証を実施こともできる。あるいは、確認部１０８から、図示しない通信インターフェースを介して、電子メールや電話による本人への通知を行うようにしてもよい。上記のようにパスワードや物理媒体を用いる場合、対応するカードリーダやタグリーダや錠を表示・操作部１０７等に設ける。なお、この例では、登録者のパスワードや、個人を特定するための磁気カードやＩＣカード、ＲＦＩＤタグ、あるいは鍵などの物理媒体に係る情報、その他電子メールアドレスや電話番号等が、統計情報管理部１０９の統計情報記録部１０９ｂに予め記録される。記録された情報は、パスワードが入力された場合や上記物理媒体が利用された場合の照合時や、電子メールや電話の発信が行われるときに参照される。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１００ 本人認証システム
１０１ カメラ
１０２ 画像入力部
１０３ 写真なりすまし検出部
１０４ 照合タイミング制御部
１０５ 本人照合部
１０５ａ 顔検出部
１０５ｂ 特徴抽出部
１０５ｃ 人物判定部
１０５ｄ 顔特徴情報管理部
１０６ 出力部
１０７ 表示・操作部
１０８ 確認部
１０９ 統計情報管理部
１０９ａ 統計情報入力部
１０９ｂ 統計情報記録部
１０９ｃ 統計情報出力部
１１０ 調整部

Claims (10)

1. 撮影対象が生体であるかまたは非生体であるかを判別することにより、なりすましを検知する検知手段と、
   撮影画像を基に本人照合を行う照合手段と、
   前記検知手段による検知処理および前記照合手段による本人照合処理の実行のタイミングを制御し、前記検知手段による前記検知が第１の回数分実行された場合、前記照合手段による照合処理を実行させる制御手段とを備え、
   前記制御手段は、前記検知手段による成りすましの検知結果に応じてセキュリティ強度を設定し、前記セキュリティ強度に応じて定めた回数と、当該本人認証システムにかかる所定の負荷のレベルに応じて定めた回数との中間値を、前記第１の回数として定める、
   本人認証システム。
2. 前記制御手段は、前記第１の回数として最初は当該本人認証システムにかかる所定の負荷のレベルに応じて定めた回数を用い、前記検知手段によるなりすましの検知の累積検知回数に応じて徐々に、前記セキュリティ強度に応じて定めた回数へ近づけるように前記第１の回数を変更する、請求項１に記載の本人認証システム。
3. 前記制御手段は、前記検知手段がなりすましを検知すると、前記照合手段に本人照合を実行させ、所定時間内に第２の回数分の本人照合に成功した場合、本人確認できたものとする、請求項１または請求項２に記載の本人認証システム。
4. 前記制御手段は、前記検知手段がなりすましを検知すると、前記照合手段に本人照合を実行させ、所定時間内に第２の回数分の本人照合に成功しなかった場合、前記検知手段による前記検知を再度実行させる、請求項３に記載の本人認証システム。
5. 前記検知手段による前記検知および前記照合手段による前記本人照合は、複数の異なる画像からなる前記撮影画像を基に行う、請求項３または請求項４に記載の本人認証システム。
6. 前記制御手段が、前記検知手段によるなりすましの検知の累積検知回数に応じて、前記第１の回数、前記第２の回数、または前記所定時間を定めるようにした、請求項３から請求項５のいずれか１項に記載の本人認証システム。
7. 前記制御手段が、前記検知手段によるなりすましの検知場所に応じて、前記第１の回数、前記第２の回数、または前記所定時間を定めるようにした、請求項３から請求項５のいずれか１項に記載の本人認証システム。
8. 前記制御手段は、前記セキュリティ強度を上げる場合、前記第１の回数、前記第２の回数、および前記所定時間を増加させ、当該本人認証システムを利用する利用者の利便性を向上させる場合、前記第１の回数、前記第２の回数、または前記所定時間を減少させる、請求項３から請求項７のいずれか１項に記載の本人認証システム。
9. 当該本人認証システムにより本人認証が行われた際の利用者の利用履歴を記録する記録手段と、
   前記記録手段に記録された前記利用履歴に基づく利用者の行動パターンを基に、なりすましを推定する本人確認手段と、をさらに備える、
   請求項１から請求項８のいずれか１項に記載の本人認証システム。
10. 前記利用履歴の情報として前記撮影画像も含め、前記本人確認手段は、特定場所における本人認証の際、今回撮影された撮影画像の背景と、前記利用履歴として記録されている撮影画像の背景との相違から、なりすましを検知する、請求項９に記載の本人認証システム。

Images