JPWO2011061862A1 - 生体情報を用いた認証システム及び認証装置 - Google Patents

Abstract

前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記生体の特徴を含み、予め登録された複数の第１特徴データと、前記各第１特徴データから生成される第２特徴データとを格納する記憶装置、及び前記撮像装置によって撮影された生体の特徴を示す入力データと、前記第１及び第２特徴データの各々とを照合する照合処理部を備え、前記各第２特徴データは、前記各第１特徴データよりサイズが小さく、かつ、前記生体の特徴の少なくとも一部を含むデータであることを特徴とする認証システム。

Description

本発明は、生体を用いて個人を認証する認証システムに関し、特に、高速で高精度な認証技術に関する。

様々な生体認証技術の中でも、指静脈認証は高精度な認証を実現できるものとして知られている。指静脈認証は、指内部の静脈パターンを使用するために優れた認証精度を実現し、かつ指紋認証に比べて偽造及び改ざんが困難であることによって、高度なセキュリティを実現できる。
近年では、携帯電話機、ノート型ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）などの携帯端末、ロッカー、金庫、プリンターなどの機器に生体認証装置を搭載し、各機器のセキュリティを確保する事例が増加している。また、生体認証が適用される分野として、入退室管理、勤怠管理、コンピュータへのログインなどに加え、近年では決済などにも生体認証が利用されてきている。このため、システムを利用する人数が増大し、認証システムのスループットの向上が求められている。このような観点から、ＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）の入力やＩＤカードの提示などによって登録データを一意に特定した後に生体を提示する、いわゆる１：１認証はスループットを低下させるため、ＩＤカードを用いずに、生体だけで認証を実行する、いわゆる１：Ｎ認証が望まれる。
多くの登録者を高速に認証する技術として、例えば、特許文献１に記載された生体認証装置が知られている。特許文献１に記載された認証装置では、登録データを空間的に縮小して格納しておき、低解像度のデータ同士で高速に照合を実行する技術が開示されている。
また、特許文献２には、利用者が端末に到着する予想時刻から本人存在確率を求め、１：Ｎデータの照合順序を並べ替えて本人を高速に探索する方法が開示されている。
また、特許文献３には、虹彩の瞳孔開度の情報を用いて複数の登録データを高速に検索し、また複数の虹彩画像のうちハミング距離が類似する虹彩データは登録を省略することによって登録データ量を抑制する技術が開示されている。

特開２００５−２１５８８３号公報（ＪＰ２００５−２１５８８３Ａ） 特開２００８−２５０５０８号公報（ＪＰ２００８−２５０５０８Ａ） 特開２００４−３６２６１９号公報（ＪＰ２００４−３６２６１９Ａ）

大規模に１：Ｎ認証を実現するためには、認証の高速性を保ちながら、高い認証精度を保つ必要がある。特に、大規模な１：Ｎ認証では、本人ではない登録者の多数の登録データと照合する必要があるため、誤って別の登録者であると判定される、又は非登録者が登録者であると判定されるという、他人を本人であると誤って認識する他人受入率（ＦＡＲ）が発生しやすくなる。従って、他人受入率を低減することが課題となる。さらに、登録データが膨大となるため照合処理に長い時間が必要となり、利用者の待ち時間が増大する課題がある。
従来技術では、認証の高速性を保つために、照合するデータ数を絞り込むことによって、認証処理を高速化し、また複数の生体情報を提示させることによって認証の精度を高めていた。しかし、高速性と高精度とを両立することが困難であった。
特許文献１に開示される装置は、登録データを高速に検索することができるが、高精度で認証する方法は特許文献１には開示されていない。
特許文献２に開示される装置は、登録者が認証をする確率に応じて照合順序の変えることによって、登録者を高速に認証することができる。しかし、生体を提示する際に位置ずれが生じた場合や非登録者が認証を試みた場合など、登録者が検出できない場合の認証の高速化は考慮されていない。また、登録者が検出された際の他人受入による誤認識に関する精度の保証は考慮されていない。
特許文献３は、瞳孔開口指標を用いて複数の登録データから照合対象を絞り込むことによって認証を高速化することの示唆を含む。しかし、この指標による分類は別人との間でも高い類似度を示すデータが多数含まれることから、高速に認証することは難しい。また、様々な撮影状態における照合の精度を高める方法については、登録データを選択することにより照合される登録データ数を低減できるが、選択された複数の登録データについて照合がされるため、大規模な１：Ｎ認証を高速に実行することは難しい。特許文献３に開示された技術は、各人の登録データ量を低減することに着目しており、多くの登録者を高速かつ高精度に認証する方法の示唆は含まれていない。
本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、生体の特徴を用いて個人を認証する認証システムであって、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記撮像装置によって撮影された画像を処理する画像処理部、前記生体の特徴を含み、予め登録された複数の第１特徴データと、前記各第１特徴データから前記画像処理部によって生成される第２特徴データとを格納する記憶装置、及び前記撮像装置によって撮影された生体の特徴を示す入力データと、前記第１特徴データ及び前記第２特徴データの各々とを照合する照合処理部を備え、前記各第２特徴データは、前記各第１特徴データよりサイズが小さく、かつ、前記生体の特徴の少なくとも一部を含むデータであることを特徴とする認証システムである。
本発明によれば、大規模な生体認証システムにおいて、認証精度を高く保ちながら、高速で利便性の高い認証システムを提供することができる。

図１は、第１の実施の形態の生体認証システムの全体の構成を示す図である。
図２は、第１の実施の形態の生体認証システムの動作を説明する図である。
図３Ａ及び図３Ｂは、第１の実施の形態の認証処理のフローチャートである。
図４は、第１の実施の形態の照合スコアと他人受入との関係を説明する図である。
図５は、第１の実施の形態の生体認証システムの動作を説明する図である。
図６は、第１の実施の形態の複数の生体を利用した認証結果の合成方法の一例を示す図である。
図７は、第１の実施の形態の認証閾値の更新処理のフローチャートである。
図８Ａは、第２の実施の形態の生体認証システムの全体の構成を示す図である。
図８Ｂは、第２の実施の形態の登録データ一覧の一例を説明する図である。
図９Ａは、第３の実施の形態の生体認証システムの全体の構成を示す図である。
図９Ｂは、第３の実施の形態の移動時間データベースの一例を説明する図である。
図１０Ａ及び図１０Ｂは、第３の実施の形態の認証処理のフローチャートである。
図１１は、第３の実施の形態の到着可能性と経過時間との関係を説明する図である。
図１２Ａは、第４の実施の形態の生体認証システムの全体の構成を示す図である。
図１２Ｂは、第４の実施の形態の登録時の生体の姿勢情報の一例を説明する図である。
図１２Ｃは、第４の実施の形態の姿勢情報の照合の一例を説明する図である。
図１３は、第４の実施の形態の端末によって実行される処理のフローチャートである。
図１４は、第４の実施の形態の変形例の生体認証システムの動作を説明する図である。
図１５は、第４の実施の形態の変形例の端末によって実行される処理のフローチャートである。
図１６は、第５の実施の形態の生体認証システムの全体の構成を示す図である。
図１７Ａは、第５の実施の形態のテストチャートの一例を説明する図である。
図１７Ｂ〜図１７Ｄは、第５の実施の形態のテストチャートによる共通領域の抽出を説明する図である。
図１７Ｅ及び図１７Ｆは、第５の実施の形態の座標変換による照合スコアの分布の変化を説明する図である。
図１８は、第５の実施の形態の認証処理のフローチャートである。
図１９Ａ及び図１９Ｂは、第６の実施の形態の入力装置の一構成例を示す断面図である。
図２０Ａ及び図２０Ｂは、第７の実施の形態の生体認証システムの全体の構成を示す図である。
図２１は、第７の実施の形態の認証処理のフローチャートである。

以下、図面を用いて、本発明の実施の形態について説明する。
＜第１の実施の形態＞
図１は、第１の実施の形態の指静脈を用いた生体認証システムの全体の構成を示す図である。
第１の実施の形態の認証システムは、入力装置２、認証処理部１０、記憶装置１４、表示部１５、入力部１６、スピーカ１７及び画像入力部１８を含む。
入力装置２は、その筐体に設置された光源３及び筐体内部に設置された撮像装置９を含む。なお、認証処理部１０の画像処理機能の部分、又は、この画像処理機能に画像入力部１８を含めて画像処理部という場合がある。いずれにしても、認証処理部１０は画像処理機能を備える。
光源３は、例えば、赤外線ＬＥＤ（Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）などの発光素子であり、入力装置２の上に提示された指１に赤外光を照射する。撮像装置９は、入力装置２に提示された指１の画像を撮影する。
画像入力部１８は、入力装置２の撮像装置９で撮影された画像を取得し、取得した画像を認証処理部１０へ入力する。
認証処理部１０は、中央処理部（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、メモリ１２及び種々のインターフェイス（ＩＦ）１３を含む。
ＣＰＵ１１は、メモリ１２に記憶されているプログラムを実行することによって各種処理を行う。メモリ１２は、ＣＰＵによって実行されるプログラムを記憶する。また、メモリ１２は、画像入力部１８から入力された画像を一時的に記憶する。
インターフェイス１３は、認証処理部１０と外部の装置とを接続する。具体的には、インターフェイス１３は、入力装置２、記憶装置１４、表示部１５、入力部１６、スピーカ１７及び画像入力部１８などと接続する。
記憶装置１４は、利用者の登録データを予め記憶している。登録データは、利用者を照合するための情報であり、例えば、指静脈パターンの画像等である。通常、指静脈パターンの画像は、指の掌側の皮下に分布する血管（指静脈）を暗い影のパターンとして撮像した画像である。
表示部１５は、例えば、液晶ディスプレイであり、認証処理部１０から受信した情報を表示する出力装置である。
入力部１６は、例えば、キーボードであり、利用者から入力された情報を認証処理部１０に送信する。スピーカ１７は、認証処理部１０から受信した情報を、音響信号（例えば、音声）で発信する出力装置である。
図２は、第１の実施の形態の生体認証システムの動作を説明する図である。
図２に示す大規模１：Ｎ生体認証システムは、一つの生体情報に対し複数サイズの照合用の登録データを保持し、多階層で照合を行いながら次の階層の登録データを並べ替え、さらに所定の他人受入率を満たした時点で認証を完了する。
図２に示す大規模１：Ｎ生体認証システムは、入力装置２、入力装置２に接続された認証サーバ２１及び認証サーバ２１に接続された登録データベース２２を備える。入力装置２は中央処理装置（ＣＰＵ）１１を備える。認証サーバ２１は、プログラムを実行することによって各種処理を行う中央処理装置（ＣＰＵ）及びＣＰＵによって実行されるプログラムを記憶するメモリ、他の装置と接続されるインターフェースを備える。
１：Ｎ認証は、認証を試みる利用者（被認証者）が認証装置を使用する際、ＩＤなどの入力により自己の登録データを指定することなく、生体情報のみを提示してシステムに登録された複数（Ｎ件）の全登録データと照合し、この利用者がどの登録者であるかを特定する認証方式である。一般的に、登録データの数が増加するとレスポンスが低下し、さらに登録者を誤って判定する確率が増大する。このため、実用化に際しては高速化及び高精度化の両面における検討が重要となる。
生体情報の登録データ２３は、認証サーバ２１に接続されている登録データベース２２に格納されている。登録データ２３は、撮影された生体部位の特徴データ（照合用データ）であり、利用者が提示した入力データと比較することによって、両者がどれだけ似た特徴を持つかを定量化した照合スコアを計算することができる。照合スコアは、両者の類似性及び相違性を示す数値である。照合用データには、例えば、指紋や静脈の線画を強調したテンプレート画像、線画の分岐点や端点の位置、方向、分岐数、輝度傾斜方向及び画質の鮮鋭さなどの特徴点情報、又は特徴点同士の接続関係を示す構造データなど、一般的に生体認証に用いられる特徴量を用いることができる。
登録データ２３は、同じ生体に対し異なるサイズの複数のデータで構成されている。本実施の形態では、通常サイズの登録データ２５、及び通常サイズより情報量を小さくした（例えば、１／４のサイズに削減した）縮小データ２４の二つによって構成されている。縮小データ２４は、大まかな照合処理を高速に実行するために利用され、入力された生体と一致する登録データを早い段階で検出することを可能とする。なお、照合処理の速度に応じて、縮小比率及び生成される縮小データの数を任意に決定することができる。
縮小データ２４としては、例えば、登録データがテンプレート画像の場合、そのテンプレート画像を空間的に縮小した画像、テンプレート画像の一部分を抽出した画像、１画素の階調を低減した画像などを用いることができる。また、登録データが構造データである場合、例えば、特徴点を計算する際に利用された生体画像に対し、特徴点に対応する位置の部分の画像のＳ／Ｎ比を計算するなどにより各特徴点の鮮鋭さを求め、鮮鋭さが低い特徴点を除外するなどによって、縮小データ２４を生成することができる。
登録データは、入力装置２において生体を撮影し、ＣＰＵ１１によって生体の特徴データを生成し、さらにこのデータに対して縮小処理を複数回実行することによって生成される。生成された全ての登録データは登録データベース２２に記憶される。入力装置２は、生体の撮影のみを実行し、撮影された画像をサーバ２１に転送し、サーバ２１に備わるＣＰＵによって特徴データを生成し、生成された登録データを縮小する処理を実行し、生成された特徴データと縮小されたデータを登録データベース２２に格納してもよい。
照合は、後述する通り、同じサイズに縮小された照合用データ同士で実行され、照合の結果として照合スコアが得られる。照合スコアは、ここでは相違度である。すなわち、登録時と同じ生体が入力されれば照合スコアは低くなり、異なる生体が入力されれば照合スコアは高くなる。
認証が成功するかは、入力データ２８と、ある登録データ２３との照合スコアが、予め設定された認証閾値よりも低いかで判定される。照合スコアが認証閾値より低い場合、入力データ２８のパターンと登録データ２３のパターンとが類似していることから、この入力データを提示した利用者は登録者である可能性が高いため、認証成功と判定する。一方、いずれの登録データ２３との照合スコアが認証閾値を下回らない場合は認証を拒否する。ただし、照合スコアは０から１の間に正規化されているとよい。
照合スコアは、同一の生体間の照合スコアか、異なる生体間の照合データかによって、その出現頻度が異なる。同一の生体間で照合した場合、類似性が高いため照合スコアは低くなる。一方、異なる生体間で照合した場合、照合スコアは高くなる。また、照合スコアの分布は、一定の幅で広がりを持つ。また、同一の生体間の照合スコアの分布と、異なる生体間の照合スコアの分布との間の平均的な距離は、使用される生体情報、処理方式、及びデータの縮小比率によって異なる。しかし、分布間の距離が離れていれば、より高精度に認証することができる。
そこで、各縮小比率のデータにおいて同一生体の照合スコアの出現頻度と異なる生体の照合スコアの出現頻度とを予め評価し、評価結果を登録データベース２２に保持する。本実施の形態では、縮小データにおける照合スコアの出現頻度分布２６及び通常データにおける照合スコアの出現頻度分布２７の二つが保持される。また、各分布には認証閾値が設定されている。
縮小データにおける照合スコアの出現頻度分布２６は、同一の生体の分布と異なる生体の分布とが近接しているため、同一の生体かを判定することが難しい。一方、通常データにおける照合スコアの出現確率分布２７は、同一の生体の分布と異なる生体の分布との距離が、縮小データの距離より大きく、同一の生体かの判定が容易である。このように、縮小データを用いた照合における分布と通常データを用いた照合における分布とが異なるため、縮小データの認証閾値と通常データの認証閾値とは異なる値である。なお、認証閾値は、後述の通り、他人受入率と密接に関連しており、予め認証システムに設定された他人受入率の上限を超えないように設定される。
認証の手順の概要は、初めに利用者が生体（ここでは指１）を入力装置２に提示した後に、カメラ９が提示された指１を撮影する。そして、ＣＰＵ１０は、入力された生体のデータ（入力データ）２８を生成する。このとき、登録データの生成と同様に縮小比率の異なる二つの入力データが生成され、生成された入力データ２８をサーバ２１に転送する。サーバ２１は、入力データ２８と全登録データとを照合し、最終的に認証の可否を判定する。
なお、本発明における登録者は多数であることを想定しているが、登録データベース２２は、多数の登録データを格納するための十分な容量を備え、登録データは事前に登録されている。さらに、未登録者が入力装置２に生体を提示する場合も考慮する。また、以下では全登録者の縮小データ２４を総称して縮小データ群といい、全登録者の通常サイズの登録データ２５を総称して通常データ群という。
ここで、本実施の形態における１：Ｎ認証のエラー率に関する設計方針について説明する。一般に、エラー率は、登録済みの利用者が認証できない本人拒否率（ＦＲＲ：Ｆａｌｓｅ Ｒｅｊｅｃｔｉｏｎ Ｒａｔｉｏ）と、登録していない人物が認証されてしまう他人受入率（ＦＡＲ：Ｆａｌｓｅ Ａｃｃｅｐｔａｎｃｅ Ｒａｔｉｏ）とが存在する。特に、大規模な１：Ｎ認証システムにおいては、従来のようにＩＤやＰＩＮを用いて１件の登録データを一意に指定した上で照合する、いわゆる１：１認証と比較すると、本人拒否のリスクは同程度であるが、全登録データと照合するため他人受入のリスクは登録人数に応じて増大する。従って、できるだけ別人を誤って認証しないことが重要となる。
一方、単純に照合スコアに対する認証の閾値を変更することによって、他人受入率を改善すると本人拒否率が高まるリスクが発生する。つまり、これら二つのエラー率はトレードオフの関係にある。このように、１：Ｎ認証は、１：１認証に対して、原理的に、精度が劣るため、二つの誤認証率を１：Ｎ認証システムに適するように制御することが重要となる。
そこで、本実施の形態では、以下の一般的な性質を利用して誤認証率のトレードオフを制御する。本実施の形態で利用される性質は、各利用者は、それぞれ、装置習熟度及び生体特徴の複雑さなどに違いがあるため、共通の認証閾値を設定した際、本人拒否率は利用者ごとに異なる、というものである。この状況において、仮に、本人拒否率が全利用者で一定となるようにセキュリティレベルを制御すると、他人を受け入れるリスクが利用者ごとに変動する。例えば、本人拒否が発生し易い利用者の本人拒否率を一定値に制御すると、認証成功となる閾値を甘くする必要があるため、他人受入率が増大する。その結果、あらゆる非登録者がその利用者の登録データであると誤って認証されることになり、認証システムが破綻する可能性がある。
そこで、本実施の形態の認証システムは、システム上許容できる他人受入率の上限値を設定し、取り違えによる誤認証のリスクが一定値以下になることを保証しながら、本人拒否率を低減する方針で認証システムを設計する。
もし、他人受入率が要求を満たさない場合、複数回、生体を提示してもらうなどにより精度を高めることによってシステムのセキュリティを確保する。これによって、装置に習熟した利用者は、従来と同程度の本人拒否率で認証をすることができ、装置に習熟していない利用者は、生体を複数回提示するなどによって認証をすることができる。
図３Ａ及び図３Ｂは、第１の実施の形態の認証処理を示すフローチャートである。
始めに、照合処理の手順の概要を説明する。まず、縮小データのうち最も小さいサイズの階層の全登録データと入力データとを照合し、順次データサイズの大きな階層の全登録データと入力データとを照合し、最終的には縮小していないサイズの通常の全登録データと入力データとを照合する。このように、データサイズの小さい階層から順に照合を行う。なお、各階層の照合が完了する毎に、類似度の高い順に、次の階層の登録データを並べ替え、並び替えられた順番に従って照合を行う。
もし、途中で登録者であると判定できる認証結果が得られた場合は、そこで認証を終了する。また、最終階層（縮小していないデータ）まで照合しても認証が完了できない場合、さらに生体の入力を要求するか、認証を拒否する。
以下に、認証処理について詳述する。
まず、利用者が端末に生体を提示した後、端末は提示された生体を撮影する（Ｓ３０１）。本実施の形態の認証システムは１：Ｎ認証システムであるため、利用者を特定するＩＤやＰＩＮなどは入力されない。端末は、例えば、タッチセンサ、押しボタンスイッチ、画像の変化などによって生体の提示を検出した後、生体を撮影する。このとき、生体が鮮明に映るように、端末はカメラ及び光源などを制御する。例えば、生体が指であり、指静脈を撮影する場合、赤外光を指に照射し、照射された赤外光の透過光を赤外カメラで撮影し、撮影された画像の輝度値及び静脈の鮮明さを評価することによって照射される赤外光の光量をフィードバック制御し、適切な強度の赤外光を照射する。赤外光の光量が制御され、生体が正しく撮影されたと判定された場合、撮影が完了する。
次に、撮影された生体情報から照合用の入力データ２８を生成する（Ｓ３０２）。Ｓ３０２で生成される入力データ２８は、登録データ２５と比較可能な情報である。また、登録データ２５と同様に、入力データから作成された特徴パターンの縮小データを生成する。縮小比率と生成数は登録データと同一であり、同じ比率に縮小された登録データと比較可能である。
ここで、照合処理の一例について説明する。照合処理の結果として、各登録データと入力データとの類似性を示す数値（照合スコア）が得られる。本実施の形態では、照合スコアは相違度を示す。登録データと入力データと間の照合スコアは、一般的なパターン認識で用いられる方法を採用することができる。例えば、テンプレート画像を照合する場合、重なり合った画素値の差分の２乗和から相違量を求めることができる。また、特徴点同士を照合する場合、特徴点の属性を比較することによって類似と判定できる特徴点の数が全特徴点の数に占める割合を用いて類似度を計算することができる。
次に、照合処理の初期化として、登録データを特定するための変数ｎを１に初期化する（Ｓ３０３）。変数ｎは、登録データの並び順に対応し、ｎが１のときは先頭の登録データを表す。また、登録データ数がＮである場合、ｎがＮのときは最後の登録データを表す。
次に、提示された生体情報（入力データ）２８とｎ番目の登録データとを、各々の縮小データを用いて照合する（Ｓ３０４）。登録データの照合順序が決められており、決められた順序に従って入力データと登録データとが照合される。初期状態（最初の階層）の照合の順序は、例えば、登録順、利用頻度順、登録者の重要度順（例えば、職位順、顧客重要度順）、などを任意に設定することができる。特に、利用頻度の高い人が先に照合される順序を設定しておくと、頻繁に使う人が迅速に照合され、システム全体のスループットを向上することができる。
まず、照合順序が最も早い登録データ２５の縮小データと、入力データ２８の縮小データとを照合する。縮小データ同士の照合は通常のデータに比べて類似・非類似を判別する精度は低下するが、照合されるデータが小さいため照合処理が高速になる。例えば、画像の一辺が空間的に１／２に縮小されたテンプレート画像を照合する場合、画素毎を比較するための計算量が１／４となり、生体の空間的な位置ずれを考慮しながら両画像を比較する場合の、画像のずらし幅も、同様に、１／４となる。このため、合計の計算量は１／１６となる。
よって、空間的に１／２に縮小された縮小データ間で照合する場合、通常サイズの登録データの１６倍の照合を、同じ時間内で実行することができる。このように、縮小データ同士の照合処理を全登録データについて順次実行する。このとき、全登録データにおいて、少なくとも最小サイズの縮小データの照合が後述のタイムアウト時間以内に実行されるように、データサイズ及び照合処理を設計し、登録データとの照合漏れが生じないようにする。
次に、得られた照合スコアが認証閾値Ｔｈ１を下回っているか否かを判定する（Ｓ３０５）。認証閾値は、事前に設定された認証システムの他人受入率を下回る照合スコアの境界に設定されている。照合スコアが認証閾値を下回る場合、設定された他人受入率を下回ると判定し、認証を成功させる。一方、照合スコアが認証閾値以上である場合、次の登録データとの照合を行うため、ｎに１を加え（Ｓ３０８）、Ｓ３０４にて照合を繰り返す。なお、認証閾値は確率分布によって決定されるため、縮小データの認証閾値と通常データの認証閾値とは異なる値となる。
ここで、認証閾値とエラー率との関係について説明する。図２に示した照合スコアの出現頻度分布２６によると、登録者の照合結果と非登録者の照合結果とが分離されている。この二つの分布より、得られた照合スコアと登録者である確率の関係を評価することができる。ある照合スコアｘが得られた場合、その結果が非登録者である確率は、ベイズ確率を用いると、式（１）によって表現することができる。ただし、ｘは照合スコア、Ｇは登録者、Ｉは非登録者である。
Ｐ（Ｉ｜ｘ）＝Ｐ（ｘ｜Ｉ）×Ｐ（Ｉ）／Ｐ（ｘ）＝Ｐ（ｘ｜Ｉ）×Ｐ（Ｉ）／｛Ｐ（ｘ｜Ｇ）＋Ｐ（ｘ｜Ｉ）｝・・・（１）
よって、照合スコアｘに、ある認証閾値Ｔｈを設け、ｘ≧Ｔｈとなる場合は類似度が高いため認証を成功させることにすると、他人受入率は、式（２）によって表される。
Ｐ（Ｉ｜ｘ≧Ｔｈ）＝Ｐ（ｘ≧Ｔｈ｜Ｉ）×Ｐ（Ｉ）／｛Ｐ（ｘ≧Ｔｈ｜Ｇ）＋Ｐ（ｘ≧Ｔｈ｜Ｉ）｝・・・（２）
つまり、非登録者を誤って受け入れる確率は、登録者と非登録者の２つの確率分布を用いて計算することができる。本人拒否率も、ベイズ確率を用いた場合、同様に二つの確率分布を用いて計算することができる。
登録者と非登録者の確率分布は、一般的には多数の実測データを収集することによって求める。しかし、以下の理由によって、両者の収集データの質や収集件数などの条件を一定にすることが難しく、通常、データの信頼性は一致しない。
まず、非登録者を照合する場合、異なる特徴量同士を照合するため、被認証者が意図的に指の置き方のずれなどの外的要因を与えても、得られる相違度は高くなる。すなわち、どのような結果が得られるかは、被認証者の意思で制御することはできない。従って、撮影状態にかかわらず安定した統計分布が得られる。さらに、統計分布を作成する基となる被認証者データ数は、例えばＫ人のデータを集めた場合、集められたＫ人のデータを相互に照合することによって、Ｋ×（Ｋ−１）通りの非登録者の照合スコアが得られる。このため、データ数を容易に増やすことができる。よって、統計データの信頼性を高め易い。
一方、登録者については、登録時の撮影状態に近いほど、照合スコアの類似度は高くなり、登録時の撮影状態からずれるほど、照合スコアの類似度は低くなる。極端な場合、撮影部位が大幅にずれることによって、同じ人物が同じ生体を提示しても、非登録者の照合で頻繁に発生する照合スコアと同程度の照合スコアしか得ることができない場合もある。よって前述した通り、生体の提示方法によって、結果は不安定となる。さらに、登録者の照合スコアを集める際に、Ｋ人の被認証者からＫ個のデータしか得られず、非登録者の照合スコアのデータに比べて統計的な信頼性が高いデータを集めることは困難である。
これらを考慮すると、確率分布を利用して認証の可否を計算する場合、登録者分布を用いることが困難となる場合がある。そこで、本実施の形態においては、比較的安定して観測できる非登録者分布のみを利用して認証可否を判定する。前述したように、ベイズ確率を利用すると、登録者の分布と非登録者の分布との両方が必要になるため、本発明では登録者の出現頻度と非登録者の出現頻度とを考慮せず、尤度のみによってエラー率（他人受入率、本人拒否率）を評価する。すなわち、他人受入率（ＦＡＲ）、本人拒否率（ＦＲＲ）は、各々、式（３）、式（４）によって表される。
ＦＲＲ（ｘ）＝Σ｛ｘ＜ｘｉ＜１｝Ｐ（ｘｉ｜Ｇ）・・・（３）
ＦＡＲ（ｘ）＝Σ｛０＜ｘｉ＜ｘ｝Ｐ（ｘｉ｜Ｉ）・・・（４）
図４は、照合スコアの出現頻度確率からの他人受入率（ＦＡＲ）の計算を説明する図である。
非登録者の照合スコアの確率分布Ｐ（ｘ｜Ｉ）において、あるｘを観測した。この結果を登録者であると判定した場合の他人受入率は、網がけで示す領域の面積で表すことができる。よって、前述したＦＡＲ（ｘ）の式（３）が導かれる。なお、信頼性の高い登録者分布を得られる場合、前述したベイズ確率に基づいて、ＦＡＲ及びＦＲＲを計算することができる。
次に、前述した照合スコアの出現確率分布を用いて、１：Ｎ認証システムにおける、縮小データ同士の照合の誤認識率を調べる。
まず、本人拒否率及び他人受入率は、以下の式（５）及び（６）を用いて計算することができる。登録データがＮ件ある場合、他人を受け入れるリスクは、概ねＮ倍増加する。従って、１：Ｎ認証において、１：１認証と同程度の他人受入率を実現するためには、１：１認証における他人受入率の１／Ｎ倍の値を１：Ｎ認証の他人受入率に設定する。従って、式（５）を満たすｘが現れた場合、システムに設定された他人受入率の許容値ＦＡＲｎを満たすと判定することができる。
ＦＡＲｎ≧ｎ×ＦＡＲ（ｘ）・・・（５）
従って、式（５）を満たす認証閾値Ｔｈは、この式が等式になる場合の照合スコアｘを用いて計算されたものである。すなわち、認証閾値Ｔｈは、式（６）によって計算される。
Ｔｈ＝ａｒｇ＿ｘ｛ＦＡＲｎ＝ｎ×ＦＡＲ（ｘ）｝・・・（６）
なお、ａｒｇ＿ｘ｛Ｙ｝は、Ｙが真となる場合のｘを返す関数である。この認証閾値Ｔｈを満たす照合スコアが得られた時点で認証成功と判定すれば、システムの仕様として設定された所定のＦＡＲｎを満たすことになり、信頼性を維持することができる。
以上のように決定された認証閾値を利用して、順次照合を実行する。縮小データ同士の照合において、ある登録データを照合した結果、前述したように定められたＦＡＲｎを満たす照合スコアｘが得られた。このとき、登録データとの照合を中止し、この利用者を該当する登録者と判定し（Ｓ３０６）、認証を完了する。なお、再確認のために当該登録者の通常サイズの登録データと入力データとを照合し、より確実に登録者であることを判定してもよい。これによって判定結果の信頼性をより高めることができる。なお、通常サイズのデータによる照合で棄却された場合、縮小データの照合の結果は誤りであったとして残りの登録データとの照合を再開する。
このように、全ての縮小データとの照合を、認証閾値を下回る照合スコアが現れるまで繰り返す。しかし、非登録者の出現確率分布と設定したＦＡＲｎとの関係によっては、得られた照合スコアのいずれもがＦＡＲｎを満たさない可能性がある。その場合、この照合処理によって認証結果を確定することはできないが、この結果を次のデータサイズの階層の照合のための並べ替えに利用する。
また、繰り返し処理中に利用者の待ち時間が、実用的な時間を超過する可能性がある。そこで、許容されるタイムアウト時間を設定し、設定されたタイムアウト時間を経過した時点で照合処理を打ち切る（Ｓ３０７）。
全ての登録データと照合してもＦＡＲｎを満たす照合スコアが得られなかった場合、通常サイズのデータを用いて照合処理を継続する。通常サイズのデータを用いた照合処理の前に、前述した照合結果に応じて（すなわち、照合スコアの小さい順に）、登録データの処理順を並べ替える（Ｓ３０９）。縮小データは元の照合データの特徴量を含んでいるため、同一人物の生体情報同士であれば照合データの類似度は高く、また別人の生体情報間であれば照合データの類似度は低い。
従って、類似度の高い順に登録データを並べ替えた後に次の階層の照合処理を実行すると、被認証者が登録されている場合、その被認証者の登録データが早く出現する可能性が高い。従って、通常サイズのデータを用いる照合において、入力データと被認証者本人の登録データとが早い段階で照合されるため、ＦＡＲｎを満たす照合スコアが早い段階で検出される。このため、早く認証を完了でき、認証処理を高速化することができる。
なお、本実施の形態では、一つの縮小データと一つの通常サイズの照合用データとの２階層で照合処理を実行したが、目的とする速度及び精度を達成するために、３階層以上としてもよい。その場合、データサイズの小さい階層から順から照合処理を実行する。
通常サイズのデータを用いた照合も、縮小データを用いた照合とほぼ同一のフローとなる。まず、登録データを特定するための変数ｎを１に初期化し（Ｓ３１０）、次に、入力データと変数ｎによって表された登録データとの照合によって照合スコアを計算し（Ｓ３１１）、通常データにおける登録者と非登録者の照合スコアの出現確率分布を参照して、通常データの照合において所定のＦＡＲｎが得られる認証閾値Ｔｈ２を照合スコアが下回るか否かを判定する（Ｓ３１２）。
判定の結果、照合スコアが認証閾値Ｔｈ２を下回る場合、照合が成功したと判定し（Ｓ３１３）、認証を終了する。一方、照合スコアが認証閾値Ｔｈ２を以上である場合、次の登録データとの照合を行うため、ｎに１を加え（Ｓ３１５）、Ｓ３１１からの処理を登録データ数だけ繰り返す。
また前述したように、タイムアウトか否かを監視し（Ｓ３１４）、所定のタイムアウト時間を経過した場合、認証ができなかったとして、認証処理を終了する。なお、タイムアウト時間の計測は利用者が生体を提示した時点で開始され、計測の開始から利用者が認証結果を待つことができる時間（例えば、１秒）、が経過した時点でタイムアウトと判定する。このようにタイムアウトを設定することによって、所定時間において必ず認証結果を得ることができる。
特に、非登録者が生体を提示した場合、登録者が誤って非登録の生体情報（例えば、登録時とは異なる指の指静脈）を提示した場合、及び、生体の提示の際に大きな位置ずれを伴った場合など、認証が失敗する。このような状況において、タイムアウトを設定しないと、全登録データとの照合が終了するまで認証ｈそりが終了しないため、他の利用者が長時間、認証装置を利用できない。しかし、タイムアウトの設定によって、認証処理時間が長くなることを防止することができる。
以上説明したように、照合データを複数のサイズに多階層に構成し、データサイズの小さい階層の照合データから順に照合を実行し、各階層の照合結果によって、次の階層の照合データを類似度の高い順に並び替え、並び替えられた照合データを用いて照合することによって、登録者を早く検出でき、所定の認証精度を維持して、高速かつ高精度に認証することができる。
図５は、第１の実施の形態の生体認証システムの動作を説明する図であり、並べ替え処理による高速化の一例を示す。
る。
まず、１：Ｎ生体認証システムは、登録データＡから登録データＺを保持し、それらの登録データに対応して、縮小データａから縮小データｚを保持する。初めに、入力データの縮小データと登録データの縮小データとを照合する。例えば、入力データｄ’と全登録データとを照合した結果、縮小データにおける照合スコアは出現確率２６に図示されているとおり、照合スコアの小さいほうから、ｚ、ｄ、ｃ…の順に並ぶ。その結果、照合スコアが認証閾値Ｔｈ１を下回らなかったため認証は完了せず、照合スコア順に登録データ（通常データ）を並べ替える。そして、入力データの通常データと並び替えられた登録データの通常データとを照合する。
まず、並び替えられた最初のＺとの照合スコアが認証閾値Ｔｈ２を超えたため、認証は成功しない。しかし、次の順のＤとの照合スコアが認証閾値Ｔｈ２を下回った。このため、このデータを認証しても所定の他人受入率を下回ると判定されるので、この時点で利用者を登録者Ｄと判定して、認証を終了する。これにより、所定の認証精度を維持することができる。さらに、ＺとＤ以外の通常サイズの登録データとの照合が省略されるため、高速に認証することができる。このため、高精度と高速性とを両立することができる。
もし、照合処理中にタイムアウトが発生した場合、又は、タイムアウト前に全照合処理が完了しても所定のＦＡＲｎを満たす登録データが検出されなかった場合は、入力された生体情報が認証できない。この場合は、ディスプレイ、ランプ、及び／又はスピーカなどを通じて認証ができなかったことを利用者に伝え、必要に応じて次の生体情報の入力を促す。例えば、指静脈認証装置の場合、登録された別の指の入力を促す。また、複数種類の生体認証装置が設置される場合、指静脈以外の生体の入力を促す。なお、複数の異なる生体の提示を求める場合、利用者が異なる生体を提示する順序を自由に決定できるようにしてもよい。
なお、タイムアウトによって認証が完了できなかった照合処理が残っている場合、利用者が生体を提示した後、装置が生体の撮影を完了するまでに若干の時間が必要であるため、撮影処理が完了するまでは照合処理を並行して実行してもよい。その場合、撮影完了時までに実行された処理の結果に基づいて、処理した範囲において登録データを並び替える。これによりできるだけ多くの照合処理を実行し、次の生体情報の照合において、より有効な並び替えをすることができる。継続された照合処理によって所定のＦＡＲｎを満たす照合結果が得られた場合、直ちに撮影を終了し、認証が成功した旨を利用者に通知する。
図６は、第１の実施の形態において、複数の生体を利用して認証する場合の、認証結果の合成方法の一例を示す。本実施の形態においては、複数の指の指静脈を入力する場合を例示する。
分布６０１は、第１の指静脈を提示した際の照合スコアの出現確率を示す。説明を簡単にするため、縮小されていない通常データによる照合結果の分布のみを示す。この分布に与えられた認証閾値Ｔｈ＿ａを下回る照合結果が得られない場合、前述したように第２の指静脈の提示を促す。そして、同様に、提示された第２の指静脈による照合スコアが得られる。
一般的に、多次元の照合スコアにおける他人受入率の計算における認証閾値は、多次元となり、登録者分布が存在しないと一意に定まらない。また、一般的にその閾値は非線形で複雑な境界となる。そのような境界値は、信頼できる多くの実測データを収集し、多くの計算コストを投入することによって決定することができる。例えば、ベイズ確率の計算やＳＶＭ（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅ）による最適化などの一般的な認識技術を用いて、多次元の照合スコア分布から他人受入率を計算することができる。しかし、第１の実施の形態ではより実現可能性の高い方法として、複数の照合スコアを１次元に縮退し、図４に示すように閾値より小さい領域が一意に決定できる状態にした後に、他人受入率を計算するとよい。その一例として、第１の生体の照合スコアと第２の生体の照合スコアとの平均値を、第１と第２の生体の合成の照合スコアに設定した場合について説明する。ただし、各照合スコアに重みを付けた平均を計算してもよい。
各階層の照合スコアに重みを付をする場合の重みは、主成分分析などの一般的方法で最適化して決定することができる。
非登録者が第１の指静脈で認証を試みた場合、偶然、照合スコアが低くなったとしても、第２の指静脈で同様に照合スコアが低くなる可能性は低い。よって、第１の指静脈による照合スコアと第２の指静脈による照合スコアとの平均値は、非登録者全般の平均値よりやや低い場合が多い。一方、登録者の場合は第１生体による照合スコア及び第２の生体による照合スコアの両方が低くなる可能性は高く、よって、第１生体による照合スコアと第２の生体による照合スコアとの平均値も低い。従って、分布６０２に示すように、登録者の分布と非登録者の分布は、第１の生体だけを用いた場合より、第１の照合スコアと第２の照合スコアとの平均値の分布の方が分離が大きくなる。このとき、所定の他人受入率を保証する認証閾値Ｔｈ＿ｂは登録者分布からより遠ざかった位置にシフトするため、２本の別の指の指静脈を合成した場合（６０２）、１本の指の指静脈を用いた場合（６０１）より正確に認証されやすくなる。
同様に、第２の生体で認証できない場合は第３の生体の提示を要求し、第１から第３の生体による照合スコアの平均値を求める。仮に、非登録者が第１及び第２の生体による照合スコアが低い場合でも、第３の生体による照合スコアが低い確率はさらに低く、登録者と非登録者との分布はさらに大きく分離する。従って、分布６０４に示すように、認証閾値Ｔｈ＿ｃはより登録者の分布から遠い位置となり、認証されにくい登録者も正確に認証される確率が高くなる。すなわち、提示する生体数が増加するにつれて、閾値は上昇する。
しかし、利用者が同じ指を繰り返し提示した場合は状況が異なる。非登録者の第１の指静脈の入力で照合スコアが偶然低く、再度同じ指が提示された場合、第２の指静脈による照合スコアも同程度に小さい値となる。よって、提示回数に従って、分布６０２及び６０４に示すように認証閾値を緩和すると、同じ指を繰り返し提示することによって閾値が引き上げられ、これを繰り返すことによって非登録者の合計の照合スコアが認証閾値を下回る。従って、同じ指を提示した場合は前述したような分布の更新はできない。
一方、利用者が複数の異なる生体を提示する場合、どの生体をどの順序で提示するかを指定されるより、自由な順序で提示できる方が利便性が高い。この場合、先に提示した生体情報をもう一度提示することも想定される。そこで、第１の実施の形態では、先に提示した生体情報をもう一度提示することを許容するために、例えば、同一の指の指静脈が複数回提示される場合を想定し、次に示す合成手法によってこの問題を解決する。
まず、生体が提示される毎に、その利用者が過去に提示した全ての生体との総当り照合を実行する。そして、照合スコアが特定の閾値、例えば前述した認証閾値Ｔｈ＿ａよりも低い値になった場合、両生体を同一と判定する。この結果、入力された指のうち、異なる指の本数が得られ、異なる指の本数に応じた確率分布を利用することができる。例えば、３回入力を要求したうち二つが同一パターンである場合、入力された生体は２種類であるため、異なる指を２回提示した場合の確率分布を利用する。つまり、分布６０５を利用することになる。このように、生体の種類数に応じて確率分布を更新する。分布６０３は、第２の指と第１の指とが同じ指であると判定された場合に利用される確率分布であるが、これは第１の指において利用した分布６０１と同一である。第３の指を提示した場合も同様に、過去に提示された指の数に応じて分布を変える。このように、繰り返し同じ指を提示することによって認証閾値が無用に緩和することを防ぎ、認証システムの信頼性を維持することができる。
図７は、図６にて説明した、提示された生体の種類数を計測して確率分布と認証閾値とを更新する処理の一例を示すフローチャートである。ここでは入力する生体が指静脈である場合を説明する。
まず、生体（指）の提示数ｍを１に初期化する（Ｓ１６０１）。次に、利用者によって第１の指が提示されると（Ｓ１６０２）、認証システムは前述した通り、各登録データとの照合スコアを計算する（Ｓ１６０３）。
そして、計算された照合スコアが認証成功となる条件（すなわち、システムに設定されたＦＡＲ上限を満たす類似度の高い登録データが検出され、かつ、照合過程でタイムアウトが発生していない）を満たすか否かを判定する（Ｓ１６０４）。判定の結果、照合スコアが条件を満たす場合は認証を成功させ（Ｓ１６１３）、認証処理を終了する。一方、照合スコアが条件を満たさない場合は利用者に指の再提示を促す。
まず、指の提示数ｍを１増やす（Ｓ１６０５）。次に、利用者は、先に提示した第１の指と異なる任意の第２の指を提示する（Ｓ１６０６）。次に、これまでに入力された指静脈パターン間の照合スコアを計算し、提示された指の数を求める（Ｓ１６０７）。初回は、第１の指の静脈パターンと第２の指の静脈パターンとを照合する。そして、これらの二つの指の静脈パターンの類似度を判定する。判定の結果、類似度が所定の閾値を下回る場合、提示された二つの指は同一と判定し、閾値を上回る場合、二つの指は異なる指であると判定することによって提示された指の種類の数を取得する。所定の閾値は、例えば、他人受入率が１００万分の１となる類似度に設定するとよい。
その後、指の種類の数に従って、提示された複数の指を用いた認証結果に対する認証の成功条件を更新する（Ｓ１６０８）。具体的には、第１の指と第２の指との両方を用いた認証に対する照合スコアの出現確率分布及び認証閾値を更新する。そして、第１の指と第２の指との照合スコアを計算し、これらを合成して認証処理を実行する（Ｓ１６０９）。照合スコアの合成方法は、前述した通り、照合スコアの平均値を用いたり、多次元のベクトルとして扱ったりする方法などがある。
その後、Ｓ１６０４と同様に認証条件が満たされたか否かを判定する（Ｓ１６１０）。判定の結果、照合スコアが条件を満たす場合は認証を成功させ（Ｓ１６１３）、認証処理を終了する。一方、照合スコアが条件を満たさない場合、さらに指の提示数ｍを１増やし（Ｓ１６１１）、Ｓ１６０６からの処理を繰り返す。そして指の提示数ｍが、最大値Ｍとなるまで繰り返された場合はループを抜け、認証が失敗したと判定して処理を終了する（Ｓ１６１２）。
前述した非登録者同士の照合による、照合スコアの出現確率分布は事前に評価することができる。しかし、評価用データ収集などの手間を必要とするほか収集規模も限られるため、実運用中の照合結果を利用することによって規模が大きく信頼性の高い確率分布が得られる。
以下に、運用時に確率分布を更新する方法の一実施の形態を示す。まず、システム運用以前に実行された評価によって得られる照合スコアの出現頻度分布を初期データとして保持する。次に、システム運用開始時に順次登録作業を行うが、これらのデータを用いて別人同士の照合スコアを計算し、照合スコアの出現頻度分布を更新する。同一人物を複数登録しないルールがある場合、他の登録データは異なる生体情報であることが保証されるため、高い信頼性で確率分布を更新することができる。
次に、利用者が認証をするに提示した生体については、生体が提示された時点で登録者であるか非登録者であるかは不明である。そこで実際に認証処理を実行し、入力データと全登録データとの照合結果の中で別人である可能性が低い１件を除いた照合結果を別人の照合結果であると判定して頻度分布を更新する。もし、その入力データが認証不可と判定された場合、それが登録者の本人拒否のケースであるか、非登録者のケースであるかを判定できないため、頻度分布は更新されない。このように、信頼性の高い照合結果のみを利用することによって、確率テーブルが更新でき、より正確なエラー率を計算することができる。なお、確率テーブルは具体的には、異なる生体同士の照合スコアと出現回数のペアの一覧によって構成することができる。
前述した第１の実施の形態において示した複数の生体情報の一例として、異なる指の指静脈について説明したが、この他に指紋、指の関節のしわ、顔、虹彩、耳介、網膜、口唇などの生体特徴を使用することができる。これらは、認証が成功せず、さらに生体情報の提示が必要となった場合、これらの生体情報の提示を求めてもよいが、一度の動作で撮影できる生体であれば、複数箇所の生体を同時に撮影することによって、被認証者の操作を簡略化することができる。例えば、指静脈と指紋を同一装置によって同時に撮影することができる。また、指静脈を撮影する端末の前に顔を撮影するカメラを設置して、指静脈と顔とを同時に撮影することができる。
また、特に指静脈を撮影する場合、利用者が提示する指をその中心軸に沿って回転させ、指の側面又は背面の静脈を提示させることによって、多方向からの撮影画像を複数の生体情報として利用してもよい。また、指の提示位置を指の中心軸に沿ってずらすことによって、指の様々な部分を連続的に撮影してもよい。このように、一つの指において異なる部分を提示する方法は、操作が容易であり、また短時間で操作でき、通常の指静脈認証装置を改造する必要がない利点を有する。
また、複数の生体情報の提示だけでなく、ＰＩＮの入力などの生体情報でない個人を特定する情報と、生体情報とを併用してもよい。これらの複数の情報による複合のエラー率は、生体のエラー率と生体でない情報におけるエラー率とを合成することによって、前述した複数の生体情報を利用する場合と同様に計算することができる。
特に、ＰＩＮの入力に関するエラー率について、入力すべき桁数に応じて他人受入率が変動するため、第１の生体におけるエラー率に応じて、入力されるＰＩＮの桁数を決めることによって、一定の他人受入率を保証し、入力の手間を低減することができる。例えば、生体情報のみの照合スコアを用いた認証の他人受入率が０．００５％であり、目標とする他人受入率が０．００１％であれば、ＰＩＮの入力によって他人受入率を少なくとも１／５ほど小さくできればよい。そこでＰＩＮを一桁入力させ、登録されたＰＩＮと一致するか否かを判定する。生体とＰＩＮのエラー発生が独立事象であれば合成の他人受入率は両者の積で表すことができる。つまり、ＰＩＮ一桁の他人受入率は１０％であるため、生体とＰＩＮとを合成した他人受入率は０．０００５％となり、精度目標を達成することができる。仮に登録されたＰＩＮが８桁の場合でも、最初の１桁の入力だけで認証を成功させることができ、利便性が向上する。
ただし、非登録者によるアタックに対しては、１桁のＰＩＮ入力は１０回の試行の繰り返しによって認証が成功するため、確率的に目標精度を満たした場合でも、最低入力桁数を例えば３桁に設定するなどして、アタック時の繰り返し回数を増加させるようにしてもよい。
また、ＰＩＮの入力エラー率について事前に確率分布を求めておくことによって、ＰＩＮの入力に誤りがあった場合でも所定の他人受入率を満たしていれば認証を成功させることができる。例えば、ある利用者が事前に設定した本来のＰＩＮが「１２３４」であった場合、「２２３４」のように１桁誤って入力されても、これを許容する際の他人受入率は１万分の４０である。このＰＩＮの他人受入率と生体の他人受入率とを合成した結果、所定のエラー率を満たす場合は、誤った入力があっても認証を成功させることができる。具体的には、生体認証とＰＩＮ入力のエラー発生が独立事象であれば、単純にエラー率の積によって、合成された他人受入率を得ることができる。
このように、ＰＩＮと生体情報を併用した場合、ＰＩＮの一部が誤って入力されても認証することができるため、所定の精度を維持しながら利便性を高めることができる。また、１のキーを押すつもりで、誤って２のキーを押す確率と、誤って９のキーを押す確率とは厳密には異なる。このような、キーの押し間違う確率を考慮して確率分布を求めてもよい。このようにすると、更に詳細に確率を計算することができる。
また、次に入力すべき生体を、システム側から利用者に提示することによって、数多くの登録データの照合件数を減らすことができる。例えば、複数の指の指静脈が登録されている認証システムの場合、利用者が任意の指を自由に提示する操作を今日した場合、利便性は高い。しかし、登録されている全ての指のデータとの照合処理を実行する必要があるため、照合件数が増え、処理速度及び精度が劣化する。これに対し、システムが、例えば「右手の中指」を提示するように利用者に指示すれば、右手の中指として登録されているデータのみと照合すればよいので、照合速度及び認証精度を向上することができる。
同様に、利用者が提示する生体の種別をシステムに入力してもよい。また、利用者が複数の生体を登録する際、認証時に入力する順序を予め決めておき、決められた順序に提示された場合に認証が成功するようにしてもよい。この場合、各人の複数の登録データに照合する順序を付与しておき、認証時には付与された順序に照合すればよい。従って、入力される生体を明示的に指定することなく、高速に絞り込むことができる。さらには、入力順序が各個人で異なっていれば、より安全性を向上することができる。
なお、第１の実施の形態の手順によって実行される方法、すなわち、並べ替え及び所定のＦＡＲｎを満たす照合スコアを得た時点で認証結果を確定する方法は、一部の生体認証技術の欠陥に対して脆弱となる可能性がある。それは、ある複数の登録データ又は全ての登録データとの照合において類似度が高くなる、いわゆるウルフデータの入力が検知できないためである。これに対し、本発明ではタイムアウト時間を用いてウルフデータを検出することができる。
ウルフデータは複数の登録データと類似度が高くなり、縮小データの照合においても類似度が高くなる可能性が高い。そこで、もし所定のＦＡＲｎを満たす照合スコアが得られた場合でも、登録データの並び順に従ってそのまま照合を継続する。そして、タイムアウト時間が経過した時点で照合を停止する。これまでの照合結果を調べ、複数の登録データとの間の照合スコアが所定のＦＡＲｎを満たしていないことを確認する。全登録データとの照合は、照合時間との関係上困難であるが、縮小データを用いた照合によって登録データは並べ替えられている。このため、もしウルフデータが入力された場合であれば先頭に類似度の高い複数の登録データが出現する可能性が高くなる。よって、並べ替えられた登録データの先頭の一部を確認することによって、複数の照合スコアが所定のＦＡＲｎを満たすことが高い確率で判定でき、所定の時間以内に入力データがウルフデータであることを高い精度で検出することができる。
＜第２の実施の形態＞
図８Ａは、本発明の第２の実施の形態の認証システムの一構成例を示す。
第２の実施の形態の認証システムは、ネットワーク上に分散して配置されている多数の認証端末を利用して認証処理を高速化する。第２の実施の形態の生体認証システムは、一つのサーバ２１と、全登録データを保持する一つの登録データベース２２と、複数の認証端末７０１と、ネットワーク７０３とを備える。ネットワーク７０３はサーバ２１と端末７０１とはネットワーク７０３を介して接続されている。各端末７０１は、利用者の生体を撮影し個人認証を行う他、認証後の処理、例えば、入退管理装置として扉の鍵を制御する。各端末７０１は、入力データと照合される登録データを格納する記憶装置７０２（例えば、揮発性又は不揮発性のメモリ、磁気ディスク）と、認証処理を実行する処理装置と、認証後の処理を実行する機能とを備える、いわゆる自己認証型の装置である。また、ネットワーク７０３は一般的な有線、無線ＬＡＮ、又は、認証端末が携帯電話機能を有する携帯端末である場合、携帯電話網でもよい。
各端末７０１は、複数の登録データを保持し、保持された登録データの範囲内において、各端末７０１が単独で１：Ｎ認証を実行できる。
各端末７０１に保持される登録データの数は端末に備わる記憶装置の容量だけでなく、装置として許容されるレスポンス時間と処理速度との関係によっても制約を受ける。一般的に端末はサーバに比べて処理能力が低く、また登録人数の増加により端末に記録できるデータの容量を超過する場合も想定される。このため、大規模１：Ｎ認証を端末単独で実行することは難しい。そのため、端末は全登録データの一部を保持し、主に処理能力の高いサーバが認証処理を実行するものとする。なお、各端末７０１は、どの端末がどの登録データを保持しているかを示す登録者ＩＤリスト７０４（図８Ｂ）を保持する。これによって、各端末７０１は、登録者ＩＤリスト７０４を参照することによって、端末７０１がどの登録データを保持しているかを把握することができる。また、このリストは登録データが追加される毎に最新の情報に更新される。
一方、システムの運用開始後に端末７０１が追加される、又は登録者が増大するなどによって、１台のサーバ２１で処理される照合処理の要求が増加すると、照合処理の待ち時間が増加する。これに対し、サーバを追加したり、処理性能の高いサーバに更新したりする場合、多くの費用が必要になる。そこで、本発明では、認証処理を実行していない遊休端末に部分的な照合処理を依頼することによって並列して認証処理を実行し、照合処理が長時間化する問題を解決する。
ここで、全登録データ数を１万件、各端末が保持できる登録データ数を２千件、利用者７０５が端末Ａを使用したという状況を例として本発明の構成を詳述する。
まず、端末Ａは、他の全ての端末７０１に対して端末の稼動状態を問い合わせる。各端末７０１は、稼働状況の問い合わせを受けた後、その端末７０１が撮影状態又は照合処理状態であれば、稼動中である旨を返信し、そうでない場合は遊休状態であることを返信する。このとき、遊休状態が継続している時間と端末の稼働率を付加情報として通知するとよい。稼働率は、例えば２４時間以内の稼働率の平均を用いることができる。次に、遊休状態の端末が管理している登録データ一覧７０４を参照し、各遊休端末に照合を依頼すべき登録データを決定する。
ここで、依頼すべき登録データの決定方法の一例を示す。各端末は２千件の部分的な登録データを保持しているが、全登録データに対する照合結果を得る必要があるため、複数の端末を利用する。まず、全ての遊休端末の中で、ただ１台の端末しか保持していない登録データは、その登録データを保持する端末に照合を依頼する。次に、複数の端末が同じ登録データを保持する場合は、照合の依頼件数が端末間で均等になるように、照合を割り当てる。そして、依頼件数がほぼ同じである場合、稼働率の低い端末に多くの件数の照合を割り当てる。稼働率が低い端末は、照合処理中に利用者が訪れる可能性が低いので、このような端末に多数件の照合を割り当てることによって、連続的に照合処理を実行することができる。なお、稼動率は短時間又は長時間で計算される。例えば、長時間で稼働率を計算した場合、これまで遊休状態となっていた時間の長い端末の稼働率は低くなる。そして、稼働率がほぼ同じであればランダムに（又は、ラウンドロビンで）端末を選択する。それ以外の登録データ（端末に保持されない登録データ）を用いた照合はサーバ２１が実行する。
例えば、登録データ数が、ＩＤが００００から９９９９までの１万件とし、端末Ａが利用者７０５の入力を受け付けた際に、端末Ａ、Ｂ、Ｃ、Ｄが遊休状態であった場合、登録者ＩＤリスト７０４（図８Ｂ）に示すように、端末ＡがＩＤ＝００００〜１９９９の登録データ、端末ＢがＩＤ＝１０００〜２９９９の登録データ、端末ＣとＤが共にＩＤ＝４０００〜５９９９の登録データを保持している。ＩＤ＝００００〜０９９９の登録データは端末Ａのみが保持しているため、端末Ａ自身が、ＩＤ＝００００〜０９９９の登録データとの照合を担当する。また、ＩＤ＝１０００〜１９９９の登録データは、端末Ａと端末Ｂとが共に管理しておりどちらの端末も照合処理をすることができる。しかし、端末Ａは１０００件の照合処理を行う予定であるため、ＩＤ＝１０００〜１９９９の登録データとの照合は端末Ｂに依頼する。ＩＤ＝４０００〜５９９９の登録データは端末ＣとＤとが共に保持している。仮に、端末Ｃの稼働率と端末Ｄの稼働率との比率が３：１であれば、この比の逆数に従って件数を割り当てる。すなわち、端末ＣにＩＤ＝４０００〜４４９９の５００件の登録データとの照合を割り当て、端末ＤにＩＤ＝４５００〜５９９９の１５００件の登録データとの照合を割り当てる。これにより、端末Ｃの照合件数は５００件に抑えられるため処理を高速に完了でき、稼働率の更なる上昇を抑制し、全端末の負荷を均一化することができる。
いずれの端末も、残りのＩＤ＝３０００〜３９９９及びＩＤ＝６０００〜９９９９の登録データを保持していないため、サーバ２１にこれらの登録データとの照合を依頼する。なお、各端末に保持される登録データのＩＤが連続するように管理すると、登録データリストのサイズを低減することができる。
照合を依頼する端末７０１は、依頼先の端末７０１又はサーバ２１に、照合依頼データＤｉ７０６を転送する。照合依頼データには、照合すべき登録者ＩＤの一覧、提示された生体の照合用の入力データ、照合スコアの閾値、タイムアウト時間が含まれる。依頼を受けた端末７０１は、照合すべき登録者ＩＤリストに従って入力データと照合する。各端末７０１は、前述した第１の実施の形態の方法によって、複数サイズの特徴データを多階層に構成して、登録データの並べ替え及び認証閾値を下回る結果が出た場合の認証終了による高速化を適用してもよい。
全ての登録データとの照合が完了するか又はタイムアウトが発生した場合、照合の結果である照合スコアを依頼元の端末Ａへ返信する。依頼元の端末Ａは、照合の結果（照合スコア）を受けて、一つでも認証成功の結果が出た時点で他の端末からの照合結果を待たずに利用者７０５を認証する。全ての照合結果によっても認証閾値を下回る照合スコアが得られない場合、次の生体提示を促すか、又は認証失敗として終了する。
このように、各端末の負荷を均等にしながら、照合処理を並列に実行することによって、レスポンス時間を短縮することができる。
もし、照合依頼を受けた直後に、利用者が生体を提示した場合は生体の撮影処理を優先的に実行してもよい。これによって、照合依頼を受けた端末の利用者の待ち時間を減らすことができる。その際、依頼元の端末に対し、割り込み処理が発生した旨を通知するとよい。この割込処理が発生した通知を受け取った依頼元の端末は、別の遊休端末７０１かサーバ２１に認証処理を依頼してもよい。
前述した実施の形態では、認証のために生体が提示された端末Ａが、照合処理を実行する端末７０１を決定したが、サーバ２１が照合処理を実行する端末７０１を決定してもよい。この場合、サーバ２１が登録者ＩＤリスト７０４を保持する。端末Ａは入力データをサーバ２１に送信し、サーバ２１は、登録者ＩＤリスト７０４を参照して、照合処理を実行する端末７０１を決定し、決定された端末７０１に入力データを転送する。なお、サーバ２１が、照合処理の分担のみを決定し、決定された分担を端末Ａに通知して、通知を受けた端末Ａが入力データを各端末７０１に送信してもよい。
また、前述した実施の形態では、照合すべき生体が提示された端末７０１が各遊休端末７０１に、直接、照合を依頼したが、入力データ及び依頼リストをサーバ２１に送信し、各遊休端末７０１は、サーバの依頼リストを定期的に確認し、照合処理を担当できる場合は入力データをサーバ２１から受け取り、認証処理を実行し、その結果をサーバに返してもよい。依頼元の端末は、依頼した全ての照合が完了するまで待ち、全ての照合が完了した時点で認証の可否を判定する。このようにサーバ２１が照合依頼をする場合、依頼を受けた時点で稼動状態であった端末が、その直後に遊休となった場合の無駄な遊休時間を活用することができる。すなわち、特に稼動と遊休を頻繁に繰り返す状況で有効である。
＜第３の実施の形態＞
図９Ａは、本発明の第３の実施の形態の認証システムの一構成例を示す。
第３の実施の形態の認証システムは、利用者が端末間を移動している時間内は登録データを一時無効化し照合すべき登録データを絞り込む。
認証システムは、物理的に固定されて設置されている固定端末７０１及び可搬型のモバイル端末８０１を備える。サーバ２１は、ある固定端末７０１の存在する位置から他の固定端末７０１へ利用者が物理的に移動できる推定時間の移動時間データベース８０３（図９Ｂ）を保持する。端末間の物理的距離及び移動手段などの条件に応じて、人がこの端末間を移動するために必要な移動時間の平均及び最速時間を計算することができる。ある端末で認証が成功し、その利用者が別の端末へ移動するために必要な時間内は、その利用者の登録データを照合の候補から除外する。これによって実際に照合する登録データの数を減らし、照合を高速化することができる。
利用者がモバイル端末８０１を所持している場合は、その端末の位置情報を、例えばＧＰＳや無線ＬＡＮのアクセスポイントの配置などから推定し、サーバ２１に送信する。サーバ２１は送信された情報に基づいて、他の端末までの距離を計算する。
端末間距離データベースを使用して端末間の移動時間を計算する場合、単純に直線距離を使用して移動時間を計算してもよい。また、移動手段等の詳細な情報がある場合、移動手段の情報（すなわち、移動速度）を考慮して移動時間を計算してもよい。また、移動手段によって移動速度は異なるが、同じ建物内であれば徒歩による移動、異なる建物であれば自動車による移動など、システム管理者がデフォルトの移動手段及びその移動速度を設定してもよい。
図９Ａを用いて第３の実施の形態の具体例を詳述する。
まず、端末ＡとＢとの間を移動できる最短推定時間は２００秒、ＢとＣとの間を移動できる最短時間は３００秒であり、またＡとＣとの間は５００秒であることが、端末が設置された位置関係及び移動手段を考慮して、登録者によって設定されている。また、端末Ｄはモバイル端末であり、現時点の位置をＧＰＳによって求めたところ、端末Ａまで移動するのに最短で６５００秒かかると推定される場所に存在することが分かった。なお、モバイル端末が備わる場合、移動推定時間のデータベース８０３はリアルタイムに更新される。
次に、利用者８１０が端末Ａ７０１に生体を提示し、端末Ａは入力データをサーバ２１に転送し、サーバ２１によって認証処理が行われ、認証が成功した。すると、利用者８１０が端末Ａにおいて認証が成功したという事実及びそのタイムスタンプ（生体を提示した時刻又は認証が成功した時刻）がサーバ２１に記録される。サーバ２１は、端末７０１毎に利用者８１０の登録データを無効にする期間を計算する。無効期間は端末間の移動時間データベース８０３に記載されている値を用いる。すなわち、本実施の形態では、端末Ｂに対して２００秒、端末Ｃに対して５００秒、端末Ｄに対して６５００秒の無効期間が設定される。
利用者８１０が認証された直後（２００秒以内）に利用者８１１がある端末Ｂに生体を提示した。この場合、従来は、利用者８１０の登録データも照合する。しかし、本実施の形態では、利用者８１０は端末Ａから端末Ｂへの移動時間以内であるため、利用者８１０が端末Ｂに移動できないものとして、利用者８１０の登録データを照合対象から除外する。このように、照合すべき登録データ数が減少するため、照合を高速化することができる。また、照合すべき他人の登録データの数が減少するため、他人受入率を低減することができる。本実施の形態では１件の登録データのみが除外されるが、大規模な認証システムでは多数の登録データを除外できるため、高い効果を得ることができる。
移動時間データベース８０３は、端末間距離から計算された時間に従って固定したものでもよいが、実測値を利用して、以下の方法によって更新してもよい。
まず、各端末は認証が成功する毎に、その利用者、使用端末、及び認証成功となった時刻の情報をサーバ２１に送信する。その利用者はある時間後に別の端末で認証を試みるが、その際も同様の情報がサーバ２１に送信される。サーバ２１は各端末から送信された情報を利用して、この利用者が端末間を移動するための時間を求めることができる。利用者によって移動時間は異なるため、例えば、最も短時間で移動した利用者の移動時間を、その端末間の移動時間に決定する。又は、更に短時間で移動する利用者の出現を想定し、その値に安全係数（例えば、０．８）を乗じた値を移動時間に設定してもよい。
これによって、単なる物理的な距離だけで移動時間を決定する場合に比べてより現実的な移動時間を得ることができ、登録データを高い効率で絞り込むことができる。また、最短時間で移動した利用者の移動時間を採用することによって、本来十分に移動することのできる時間であっても、システムが移動できないと誤判定する可能性を低減することができる。なお、認証が成功してから別の端末で認証を試みるまでの時間には個人差があるため、移動時間データベース８０３を登録者ごとに分けて管理してもよい。これにより個人ごとに移動時間を管理でき、登録データを高い効率で絞り込むことができる。
なお、登録データが無効期間であった場合に照合対象から除外するのではなく、登録データベース内の照合順序を後にしてもよい。これによって、移動してくる可能性の低い利用者の照合時間が長くなるだけなので、誤って本人を拒否する可能性を低下することができる。
図１０Ａ及び図１０Ｂは、第３の実施の形態の認証処理のフローチャートである。
初めに、サーバ２１は、移動時間データベース８０３に格納されるＭＴ（端末１、端末２）を初期値に設定し、また、各登録データに対する無効期間タイムテーブルに格納されるＤＴ（登録者ＩＤ，端末ＩＤ）の値を全て０にリセットする（Ｓ１７０１）。ここで、無効期間タイムテーブルは、ある端末Ｑからの入力に対して登録データＸを無効とする時間（ＤＴ（登録Ｘ，端末Ｑ）を保持する、無効期間ＤＴ（登録Ｘ，端末Ｑ）は秒で表されており、その値が正の値である場合、１秒経過毎に１が減じられる（Ｓ１７１３）。なお、無効期間が０に設定されている場合、その登録データが有効であり、照合対象に含まれることを意味する。
次に、サーバ２１は、端末７０１からの認証要求を待つ（Ｓ１７０２）。認証要求が発生した場合、サーバ２１は、認証を要求した端末７０１の端末ＩＤと利用者が提示した入力データとを取得する（Ｓ１７０３）。次に、サーバ２１は、入力データと各登録データとを照合する。まず、登録データのＩＤを特定する変数ｎを１に初期化する（Ｓ１７０４）。
次に、全登録データとの照合のループ（Ｓ１７０５〜Ｓ１７０８）に入る。ループ内では、まず、無効期間タイムテーブルの値が０より大きいか否かを判定する（Ｓ１７０５）。判定の結果、無効期間ＤＴ（登録Ｘ，端末Ｑ）が０である場合、その登録データＸは照合対象となるため、入力データと登録データＸとを照合し（Ｓ１７０６）、無効期間ＤＴ（登録Ｘ，端末Ｑ）が０より大きい場合、その登録データは無効であるため照合処理をスキップする。
この処理を、登録データＩＤ＝１からＮまでの登録データについて繰り返し実行し、その途中で登録者と認められる認証条件を満たす照合スコアが得られたか否かを判定する（Ｓ１７０７）。判定の結果、認証条件を満たさない場合、変数ｎを１増加し（Ｓ１７０８）、次の登録データについてＳ１７０５から照合処理を繰り返す。全登録データとの照合が終了し、いずれの登録データに対しても認証条件を満たさない場合、照合失敗の判定結果を出力する（Ｓ１７０９）。
そして、システム全体をリセットする要求がされているか否かを判定し（Ｓ１７１０）、リセットが要求されている場合、この認証処理を終了する。一方、リセットが要求されていない場合、Ｓ１７０２に戻り、端末からの認証要求を待つ。
一方、Ｓ１７０７で、認証条件を満たす照合結果が得られた場合、認証が成功したので（Ｓ１７１５）、無効期間タイムテーブルを更新する（Ｓ１７１６）。無効期間タイムテーブルは、認証成功となった登録者（登録者ＩＤ＝ｎ）について、今回使用された端末Ｑからその他の全端末までの端末間移動時間データベースの値を代入することによって更新する。これによって、今回認証された登録者ｎは一定期間だけ認証処理の対象から除外されるため、他の登録者の照合を高速化することができる。
また、本システムが開始されると同時に、無効期間タイムテーブルの値と移動時間データベース８０３は時間の経過に合わせて更新される。この更新処理は、認証処理とは平行して実施されるもので、図１０Ｂに示す。
まず、所定時間（例えば、テーブル及びデータベースの更新間隔である１秒）の待ち処理に入る（Ｓ１７１１）。次に、端末がモバイル機器であるものについて、最も近接するアクセスポイントの情報に基づいて端末間の移動時間を計算し、移動時間データベース８０３を更新する（Ｓ１７１２）。次に、全端末、全登録者の無効時間タイムテーブルの値を１秒だけ減じる（Ｓ１７１３）。その後、システム全体をリセットする要求がされているか否かを判定する（Ｓ１７１４）。リセットが要求されている場合、この処理を終了する。一方、リセットが要求されていない場合、Ｓ１７１１に戻り、１秒間の待ち処理の後、Ｓ１７１２から処理を繰り返す。
なお、テーブル及びデータベースの更新は、排他制御によって、それらの整合性を維持することができる。以上説明したように、図１０Ａ及び図１０Ｂに示す処理によって、登録データとの照合件数を減少することができ、高精度かつ高速に認証をすることができる。
前述した実施の形態では、サーバ２１が登録データの無効時間を管理したが、端末間で通信をして、各端末が無効期間タイムテーブルと端末間移動時間データベース８０３を保持し、無効時間を管理してもよい。この場合、認証が成功した端末は、認証された利用者の登録者ＩＤ及び時刻情報（生体を提示した時刻又は認証が成功した時刻）を各端末に送信し、各端末が無効期間タイムテーブルを更新する。
また、各端末が認証処理を行ったが、サーバ２１が認証処理を行い、その認証の結果によって、無効期間タイムテーブルと端末間移動時間データベース８０３を更新し、除外される登録データを絞り込んでもよい。
また、サーバ２１が、過去に端末間を移動した経過の統計を記録し、記録された統計情報によって、利用者毎に、ある端末から別の端末への移動が完了する確率分布と経過時間との関係を計算し、これをＦＡＲの計算に適用してもよい。以下、その一例を説明する。
図１１は、ある端末Ｘから別の端末Ｙに移動する際の、端末Ｙに到着できる到着可能性と経過時間との関係を説明する図であり、横軸は経過時間、縦軸は到着可能性である。
経過時間＝０においては、端末Ｘから端末Ｙへ移動することは不可能であり、到着可能性は０である。一方、経過時間Ｔにおいては、端末Ｘから端末Ｙに到着できる十分な時間が経過しているため、到着可能性は１となる。その間は、移動する人の速度などによって、到着可能性は、０から１の間となり、また連続的に変化している。このようなデータは実測によって到着の確率を求める方法の他、実測から統計的に到着可能性を推定することもできる。
このように求められた到着可能性が十分に高く、かつ照合スコアとしてのＦＡＲが十分に低い場合、本人と認証することができる。一方、逆に到着可能性が低いにもかかわらず、照合スコアとしてのＦＡＲが低くなった場合、認証条件が成立しないようにＦＡＲを換算することができる。このとき、換算後の統合ＦＡＲは、例えば、式（７）によって計算することができる。
統合ＦＡＲ＝１−（到着可能性×（１−照合スコアのＦＡＲ））・・・（７）
すなわち、十分に到着可能性が高ければ換算後のＦＡＲは元の照合スコアのＦＡＲと一致し、到着可能性が低い場合は元のＦＡＲよりエラー率が上昇するため、認証が容易に成功せず、偶発的な他人受け入れを防止することができる。
＜第４の実施の形態＞
図１２は、本発明の第４の実施の形態の認証システムの一構成例を示す。
第４の実施の形態の認証システムは、生体が撮影された姿勢情報を送信することによって、サーバ型認証の高速化又は高精度化を実現する。
クライアント端末の処理装置が、その内部に格納されている登録データと入力データとを照合する、いわゆるクライアント認証を行う場合、生体情報を連続的に撮影し、その撮影速度に合わせて照合処理を反復的に実行することができる。この方法の利点は、生体の姿勢が登録時と僅かに異なる場合でも、連続的に異なる姿勢を撮影できるので、撮影された映像の中で一致率が高くなれば登録者と判定することができる。このため、本人拒否率を低減することができる。
しかし、サーバ２１が認証処理を実行する場合、通信のボトルネックにより生体情報をサーバへ連続的に送ることができない場合がある。このため、連続的に認証が実行できず、クライアント認証と比較して認証精度が低下する問題が発生する。一方、登録データをクライアント端末へ送信できれば、クライアント端末内で連続的に認証することができるが、サーバから外部に向けて個人の生体情報を転送することは個人情報の漏洩の恐れがある。このため、個人性の高い情報を発信することは避けることが望まれる。
これに対し、本発明ではサーバ２１において認証を実行する際、連続的に認証を行う代わりに、クライアント端末で連続的に撮影された複数の画像の中から登録時の撮影状態に近い画像を選択し、選択された画像をサーバに転送する。以下、第４の実施の形態の詳細について説明する。
サーバ２１は、個人を識別するための生体情報の他に、登録時の生体の姿勢情報１００１を生体ごとに保持している。登録時の生体の姿勢情報１００１は、個人性が小さく、かつ、秘匿不要な生体の撮影状態を表す。例えば、姿勢情報１００１には、指静脈を生体情報として撮影する場合、指の面積、指の置かれた角度及び位置、指輪郭の形状、指関節のしわの模様、撮影される角度、抽出パターン量、静脈の主方向成分などを用いることができる（図１２Ｂ参照）。
例えば、エッジ検出などの画像処理によって指の輪郭を求め、この内側の領域の画素数から指の面積を得られる。また、この輪郭情報から指の中心軸を推定することによって、指の置かれた角度が得られる。また、指関節付近に向けられた光を照射して撮影し、撮影された画像から指の関節しわの模様及びそれらの線の平均方向を求めることによって、指関節のしわの情報が得られる。また、指先の位置又は関節のしわの位置によって、指の位置の座標が得られる。照合テンプレートにおける静脈を示す画素の数、特徴点の個数などから、特徴パターン量が得られる。また、例えば、各静脈を代表する走行角を最小二乗法などで求め、全静脈の走行角度の平均値によって静脈の主方向成分が得られる。
登録の際、このような姿勢情報を抽出し、抽出された姿勢情報を照合用の登録データと共に保存する。姿勢情報は情報量としては極めて小さく、例えば各要素で１バイト程度であるため、通信のオーバヘッドにはならない。例えば、指の角度情報は９０度を０．５度刻みで記憶しても１バイトで収まる。指置き台などの装置形状から指の置かれる許容範囲を９０度より小さく制限できれば情報はより小さくなるが、刻み角を細分化して１バイトを有効に利用してもよい。
利用者は、端末７０１にＩＣカードやＰＩＮなどを提示する。端末７０１は提示された情報をサーバ２１に転送する。サーバ２１は、転送された情報と一意に対応する登録データのうち、登録時の姿勢情報１００１を端末７０１に転送する。端末７０１は、登録時の姿勢情報１００１を受信し、利用者に生体情報の提示を促す。利用者が生体を提示すると、端末７０１は提示された生体を撮影する。撮影は、カメラなどの撮像素子によって実行するが、撮像素子のフレームレートに合わせて全フレームを取得する。撮影時間は、例えば、数秒間とし、利用者が不便と感じない程度に留める。本実施の形態では、ｍ枚の連続画像１００３を撮影した。
その後、これらの連続的に撮影された複数の全入力画像に対し、登録の際に実行した姿勢情報の抽出処理と同じ処理によって、生体の提示時の姿勢情報１００２を抽出する。次に、抽出された姿勢情報１００２と、サーバ２１から転送された登録時の撮影状態を示す姿勢情報１００１とを比較し、相違度を計算する（図１２Ｃ参照）。相違度は、各部分特徴量の差分の２乗の合計値など、一般的な相違度の判定手法又はユークリッド距離の計算によって求めることができる。
そして、最も姿勢情報が登録データに近い一つの入力画像を選択する。ここで選択された入力画像は、登録時の姿勢に近いため、複数撮影された画像中で最も登録データに近いと推定される。よって、端末７０１は、選択された入力画像から照合用データを生成してサーバ２１に転送する。サーバ２１は、転送された照合用データを受け取り、受け取った照合用データと登録データとを照合し、認証処理を終了する。
従来の方法では複数の撮影画像（照合用データ）を登録データと照合していたが、第４の実施の形態の認証方法によると、最も登録データに類似する可能性が高い１枚の画像だけを選択して、選択された画像のみをサーバ２１に転送するため、通信量を低減することができ、サーバ２１による認証をクライアント端末７０１による認証と同程度の精度にすることができる。なお、第４の実施の形態では、選択された１枚の画像のみをサーバ２１に送信したが、選択された複数の画像を送信してもよい。
なお、各端末７０１が記憶装置を備える場合、全登録データの姿勢情報のみを端末７０１が管理してもよい。これによって、サーバ２１と端末７０１との間で姿勢情報を通信する必要がなくなり、通信量を低減し、レスポンスを高速化することができる。
図１３は、第４の実施の形態の端末７０１によって実行される処理のフローチャートである。
初めに、端末７０１は、利用者によって入力される登録者ＩＤを受信し、受信した登録者ＩＤをサーバ２１に転送する（Ｓ１８０１）。例えば、端末７０１に備わるテンキーなどにより番号を入力する方法の他、リーダに提示されたＩＣカード、磁気カード等から登録者ＩＤを読み取る方法などによって、ＩＤが入力される。
サーバ２１は、登録者ＩＤに対応した登録データのうち、姿勢情報を端末７０１に転送する。端末７０１は、登録者ＩＤに対応する姿勢情報を、サーバ２１から受信する（Ｓ１８０２）。その後、端末７０１は、利用者の生体、ここでは指静脈を連続的に複数回撮影する（Ｓ１８０３）。連続撮影の間、利用者の指の位置はわずかにずれるので、姿勢の異なる生体の画像が撮影される。そして、端末７０１は、各画像の撮影時の姿勢情報を計算する（Ｓ１８０４）。具体的な姿勢情報の一例は前述の通りである。
その後、端末７０１は、登録データの姿勢情報と全ての入力データの姿勢情報とを比較する（Ｓ１８０５）。そして、端末７０１は、姿勢情報が最も類似する入力データを選択する（Ｓ１８０６）。そして、端末７０１は、選択された入力データから照合用データを抽出し、抽出された照合用データをサーバ２１に転送する（Ｓ１８０７）。
これによって、連続的に撮影した画像のうち登録データと最も姿勢が類似する画像を照合処理に利用することができるため、登録者であれば、より本人拒否率を低下することができる。そして、サーバ２１は、端末７０１から転送された照合用データと登録データとを照合し、照合スコアに応じて認証結果を決定する（Ｓ１８０８）。
ここまで、サーバ２１による１：１認証を説明したが、この方式をサーバ２１又は端末７０１による１：Ｎ認証の高精度化にも適用してもよい。姿勢情報を用いて１：Ｎ認証を行う、第４の実施の形態の変形例を以下に示す。
１：Ｎ認証の場合、端末７０１は提示された生体を連続的に複数枚撮影し、認証用の特徴量及び姿勢情報を抽出して、抽出された情報をサーバ２１（又は、照合処理部）へ転送する。サーバ２１はこれらを受信すると、照合処理を実行する。まず、一つの登録データの姿勢情報と送信された複数の姿勢情報とを照合する。その結果、最も姿勢情報が類似する入力データを選択し、その入力データのみと登録データとを照合する。これによって、複数枚撮影した入力データのうち一つだけを照合の対象とする。この絞り込みによって、複数の入力データの中で最も姿勢が類似したデータについてのみ照合が行われるため、同一人物の生体であれば照合の類似度が高い入力データについて高速に処理することができる。この処理を全登録データについて実行し、本人と認められる照合結果が得られた場合に認証成功とする。複数の入力データを一つに絞ることによって、１：Ｎ認証の照合速度の低下を防止することができ、最も類似する可能性の高いデータと照合できる。このため、認証精度を高めることができる。
また、登録の際に様々な姿勢の生体情報を複数登録してもよい。登録時は、利用者に複数回の生体の提示を促し、提示された生体を連続的に撮影する。その全撮影画像から、生体の姿勢情報を抽出し、姿勢情報の相違が大きい複数の撮影画像を選んで登録することによって、様々なバリエーションの姿勢を持つ登録データを生成することができる。登録側で複数のデータを有するため、入力時には１枚の撮影画像から照合用データを通信するだけでよい。このため、部分特徴量の通信が不要となり、ネットワークの負荷を低減することができる。ただし、登録データが増加するため、特に、１：Ｎ認証を実行する場合は処理速度が低下することがある。
また、サーバ２１による認証において、入力データを何回か送信してもレスポンス時間に余裕がある場合は、図１４に示すような方法を採用することができる。まず、登録データは１枚の撮影画像から生成されており、入力された生体は連続的に複数枚撮影されており、全ての撮影画像の入力データが生成される。生成された入力データのうち任意の入力データ１１０２（例えば、最後に撮影されたデータ、生体が最も鮮明に撮影されたデータ又は生体が静止した状態で撮影されたデータ）を選択して、選択された入力データをサーバ２１に送信し、入力データと全登録データとを照合する。
照合されたデータのうち、最も類似度の高い登録データ１１０１が得られた。このとき、認証が成功する照合スコアが得られた場合は認証が完了するが、認証が成功する照合スコアが得られない場合はリトライする。
まず、入力データ１１０２との登録データ１１０１との空間的な位置ずれ量を調べる。例えば、テンプレート画像との照合であれば、画素単位で位置をずらしながら両画像を重ね、最も類似度が高くなる重なり位置から位置ずれ量を求めることができる。そして、サーバ２１は、求められた位置ずれ量１１０３を端末７０１に送信する。
端末７０１は、位置ずれ量１１０３を受け取った後、連続的に撮影された全入力画像と、先にサーバ２１に送信した入力データ１１０２とを照合し、サーバ２１から送信された位置ずれ量に最も近い入力画像１１０４を選択する。このとき、選択された入力画像１１０４は、登録画像の位置ずれと類似している。この入力画像１１０４（又は、入力画像１１０４から生成された入力データ）をサーバに送信する。前回の認証が位置ずれによって失敗している場合、登録データとの位置ずれ量に近い入力データが送信されるため類似度が高まり、認証が成功する可能性を高めることができる。
図１５は、第４の実施の形態の変形例の端末７０１によって実行される処理のフローチャートである。
初めに、利用者が指静脈を端末７０１に提示した後、端末７０１は連続的に撮影する（Ｓ１９０１）。その後、端末７０１は、撮影された入力画像のうち一つの任意の画像を選択する（Ｓ１９０２）。選択方法の一例としては、指が安定して静止した状態で撮影された画像を選ぶ方法がある。具体的には、連続する画像フレーム間の輝度値を相互に比較し、画像間の平均輝度値の差が所定の閾値を下回るフレーム数が所定数だけ続いた場合、その最初の画像を選択することによって、被写体が静止した画像を選択することができる。端末７０１は、選択された一つの入力データをサーバ２１に送信する（Ｓ１９０３）。
サーバ２１は、送信された入力データと全登録データとを照合する（Ｓ１９０４）。その後、照合の結果が認証の条件を満たすか否かを判定する（Ｓ１９０５）。照合の結果が認証条件を満たす場合、認証成功処理を実行した後、この処理を終了する（Ｓ１９１１）。
一方、照合の結果が認証条件を満たさない場合、サーバ２１は、全登録データのうち最も入力データと類似度が高い照合結果が得られたパターン同士の位置ずれ量を計算し、計算された位置ずれ量を端末７０１に送信する。端末７０１は、サーバ２１から送信された位置ずれ量を受信する（Ｓ１９０６）。
端末７０１は、サーバ２１に送信した入力データと、他の入力データとを照合し、位置ずれ量を計算する（Ｓ１９０７）。その後、端末７０１は、サーバ２１から送信された位置ずれ量と、入力データ同士を照合して得られた位置ずれ量とを比較し、サーバから送信された位置ずれ量と最も類似する位置ずれ量を与える入力データを選択する（Ｓ１９０８）。ただし、既にサーバに送信された入力データは選択対象から除外する。そして、端末７０１は、選択された入力データをサーバ２１に送信する（Ｓ１９０９）。
その後、ループ処理によって、Ｓ１９０４に戻り、サーバ２１は、選択された入力データと全登録データとを照合する。このとき、サーバ２１では先に照合した結果を利用して類似度の高い順に登録データを照合してもよい。類似度の高い順に登録データを照合することによって、早い段階で認証結果を決定することができる。
その結果、認証条件を満たした場合は認証を終了する。一方、認証が成功しない場合、Ｓ１９０４からＳ１９０９の処理を所定の回数Ｒだけ繰り返す。繰り返し回数Ｒは、連続画像として撮影された枚数以下の任意の値を設定することができる。もし、所定の回数の処理を繰り返しても認証が成功しない場合、認証失敗となり（Ｓ１９１１）、認証を拒否して処理を完了する。
＜第５の実施の形態＞
図１６は、本発明の第５の実施の形態の認証システムの一構成例を示す。
第５の実施の形態の認証システムは、複数の異なる認証装置が混在する生体認証システムである。
ネットワーク７０３には同じ生体部位を利用した、複数種類の生体認証装置が接続されている。本実施の形態では生体部位として指静脈を利用した生体認証装置として、従来装置１２０１と新装置１２０２との２種類が接続されている。生体認証装置は、装置のサイズ、コストなどによって、認証精度、処理速度などが異なる。また、導入方法によっては、既存の認証システムに最新の認証装置を接続することによって、システムを拡張する場合、従来型の装置と最新型の装置とが認証システム内に混在する。
このとき、認証に使用する生体部位が同一であっても、センサの性能、赤外線の照射方法、生体に対するインターフェイスの形状、撮影部位の位置などが異なるため、従来型の装置と最新型の装置とがデータ形式の互換性を有する場合でも、各装置で撮影したデータの互換性（精度互換性）が低下する。従って、新しい装置をシステム内に追加する場合、過去に従来型装置にて登録をした利用者であっても、新しい装置のために、生体情報を再登録する必要がある。１：Ｎ認証の規模が拡大すると、再登録のために必要な時間及び人件費が増大し、莫大な管理コストが必要となる。これに対し、再登録を自動化することができれば管理コストの増大をできるだけ小さくすることができる。第５の実施の形態では、従来装置１２０１が既に設置されている端末であり、システムを拡張するために新装置１２０２が新たに導入された場合に生体情報の再登録の自動化の一例を示す。なお、照合用データには、どの端末タイプで作成されたかを判定するための識別子が付与されている。
まず、従来装置１２０１と新装置１２０２との２種類の装置を用いて、予め装置のキャリブレーションのためにテストチャート１３０１を撮影する。例えば、テストチャートは図１７Ａに示すように、複数の平行線によって構成されるグリッドを含む。各装置が、このテストチャート１３０１を撮影することによって、撮影された画像に含まれる歪みを補正することができる。このチャート１３０１は、ずれることなく装置に安定して提示できることが望ましいため、装置の指置き台に固定できる形状、例えば、指形状を模した樹脂などに貼り付けるか又は印刷してもよい。指置き台は、指形状に合致する形に作られている場合が多いため、指形状のテストチャートは、あらゆる指静脈認証装置で安定して同じ位置に置くことができる。
従来装置１２０１と新装置１２０２との両者はこのチャート画像を撮影し、両装置で共通に撮影されている部位が抽出される。例えば、従来装置１２０１では格子の座標が図１７Ｂで示される領域１３０２が撮影され、新装置では図１７Ｃで示される領域１３０３が撮影された。これらの共通領域は図１７Ｄで示される領域１３０４となる。なお、格子のずれ量を決定するため、格子内に円状のマーカ１３０５が表示されており、基準位置としてマーカ１３０５の位置を検出することによって各格子点の座標を得ることができる。
次に、拡大率、台形歪み、魚眼歪みなどの特性を一方の装置に合わせるよう、他方の装置で撮影された画像を変形する。これは、格子の交点形状を画像フィルタにより強調することによって格子の交点を求め、その座標が直線に並ぶように画像を修正することによって、歪みを補正することができる。補正のための座標変換は、一般的な、たる型歪みや糸型歪みの補正式を利用することができる。その際、パラメータを変化させ、格子の交点が最も直線に並ぶパラメータ（補正式）を自動的に求めてもよい。
また、例えば、格子点の周囲領域のうち黒い領域が最も多い位置を検出することによって、マーカ１３０５を検出することができる。このようにして得られた座標変換の対応テーブルを、サーバ２１に保持する。
この変換を行った場合と行わなかった場合とで、照合スコアの分布は異なる。変換をしない場合は、図１７Ｅに示すように、本来照合スコアが低くなる同一指間での照合結果の相違度が、画像の歪みや撮影位置のずれによって、上昇する。一方、変換後の照合スコアは、図１７Ｆに示すように、同一指と異なる指との分離度が高まる。しかし、画像の変換だけで、新旧装置間の認証において、本来の認証精度を達成することはできない。そこで、この特性を利用して、再登録の自動化を実現する。
まず、従来装置で既に登録済みの利用者が、新装置に生体を提示する。次に、新装置によって撮影された入力データを、新装置によって撮影された全登録データと照合する。その結果、認証が成功しなかった場合、旧装置によって撮影された登録データが存在するか否かを、以下のように判定する。まず、前述したように新装置で撮影された生体画像を従来装置で撮影された画像に近づくように変換する。そして、補正後の画像から照合用データを抽出し、旧装置によって撮影された全登録データと照合する。なお、照合用データが画像テンプレートのように画像の位相情報を含む場合、元の撮影画像を変換せず照合用データを補正してもよい。また、照合用データを生成する際に画像の大きさが変更されている場合、その変更を考慮して画像を補正する。これによって、元の撮影画像が登録データに保存されていないなど、元画像が利用できない場合においても照合用データのみで補正をすることができる。
照合の結果、別人である確率が所定の閾値より低いと判定できる照合スコア、例えば図１７ＦのＴｈより低い照合スコアが得られた場合、その登録データを本人のものと判定する。このとき、新装置で撮影された生体情報から登録データを生成し、生成された登録データを新装置用の登録データとして保存する。これによって、新装置用の登録データを自動的に登録することができ、次回以降、新装置を用いた認証時には新装置用の登録データによって認証し、従来装置を用いた認証時は従来装置用の登録データによって認証する。これによって、各装置の性能に応じた認証を実行することができる。なお、自動的に登録された新装置用の登録データによる認証が、一部の利用者でＴｈを下回らない場合があっても、多くの利用者について再登録を不要とすることができ、システムの運用コストを低減することができる。
閾値Ｔｈ近辺の照合スコアが得られた場合など、確率的に別人である可能性が依然として残る場合、別の指の提示を促すことによって、より確実に登録データを更新することができる。このとき、第１の実施の形態において前述したとおり、複数の生体情報を合成する方法を用いることができる。複数の生体情報の合成によって、誤登録の確率を極めて小さくすることができる。さらに、登録者ＩＤやＰＩＮなどの提示によって登録者を一意に定めた後に新装置用の登録データを自動的に登録してもよい。登録者を一意に定めることによって、１：１認証が実行されるため、他人を受け入れるリスクが低下し、認証閾値を緩くすることができる。このため自動更新が行われやすくなる。
図１８は、第５の実施の形態の認証処理のフローチャートである。
第５の実施の形態の認証システムでは、サーバ２１は新旧装置（端末）１２０１、１２０２、それぞれに適した登録データベースと認証処理手段を備えている。さらに、サーバ２１は新旧装置それぞれに前述したテストチャートを提示して得られた、チャートの絶対座標と歪みとを補正するパラメータを保持しており、前述した新旧装置間で最適な画像変換を実行する。なお、この過程で生成された照合用データを新旧共通照合データと定め、新旧装置本来の登録データから生成された新旧共通照合データがサーバ２１に保持されている。さらに、サーバ２１は、新旧装置の相互照合を実行した際の照合スコアの確率分布を保持している。
まず、サーバ２１は、端末からの認証要求を待つ（Ｓ２００１）。その後、利用者が端末に生体を提示すると、サーバ２１は、端末７０１から、その端末の種別（従来装置か、新装置かを示す情報）と入力データとを受け取る（Ｓ２００２）。
サーバ２１は、端末種別と同じ登録データベースと照合方法を用いて認証処理を実行する（Ｓ２００３）。そして、認証条件を満たすか否かを判定する（Ｓ２００４）。その結果、認証条件を満たしている場合、既にその入力端末に対応する登録データが登録済みであるため、認証成功の処理を実行して、この認証処理を終了する（Ｓ２０１０）。
一方、認証条件を満たさない場合、その入力端末に対応する登録データが未登録であるか、認証してはいけない部外者であるかのどちらかである。そこで、その入力端末とは異種の端末で登録されているか否かを判定し、異種の端末では登録済みであれば、生体の提示を受けた装置（未登録装置）によって撮影された登録データを自動的に保存する。
まず、入力データを新旧共通データに変換する（Ｓ２００５）。次に、入力端末とは異種の端末に対応する登録データベースの全新旧共通データと、変換済みの入力データとを照合する（Ｓ２００６）。そして、自動登録が可能な条件を満たすか否かを判定する（Ｓ２００７）。例えば、予め用意された新旧装置間の相互照合の照合スコアの出現頻度分布から、同一指であると判定できる閾値を予め決定しておき、Ｓ２００６において、この閾値を満たす照合結果が得られたかによって、自動登録が可能かを判定することができる。
この判定条件を満たさない場合、自動登録は不可と判定され、認証失敗の処理を実行して、この認証処理を終了する（Ｓ２０１１）。一方、判定条件を満たす場合、入力端末より受信した照合用の入力データを、その入力端末と同種の登録データベースに格納することによって、新装置に対応する登録データを自動的に登録する（Ｓ２００８）。このとき、自動登録が可能と判定されているため、当然ながら、この生体を提示した者は登録者であると判定できる。よって、認証成功の処理を実行する（Ｓ２００９）。
ここで、自動登録条件は認証条件と同一か、又は、認証条件より厳しい条件を設定するとよい。それは、偶発的な他人受入の発生よりも、不正な利用者が登録されることの方が、セキュリティをより脆弱にするからである。
＜第６の実施の形態＞
図１９Ａ及び図１９Ｂは、本発明の第６の実施の形態の入力装置の一構成例を示し、図１９Ａは指の延伸方向に沿った入力装置の縦断面図であり、図１９Ｂは指の断面方向の入力装置の縦断面図である。
第６の実施の形態の入力装置は、多種の光源を用いて指静脈を撮影する、指静脈の登録装置である。システムに混在する指静脈の提示を受け付ける端末は、装置のサイズ、コストなどの相違によって様々な形状となり、さらに、指静脈を撮影するための光源の配置にもいくつかのバリエーションが存在する。そこで、生体情報を登録するため登録装置は、想定される配置の全ての光源を備え、この登録装置を利用して登録データを生成するための生体の画像を撮影することによって、複数の種別の端末に汎用的に利用することができる画像を取得することができる。
入力装置２には複数の光源が備わる。具体的には、上方光源１４０１、左右両側方から指に光を照射する側方光源１４０２、前方から指に光を照射する前方光源１４０３、下方から指に光を照射する下方光源１４０４とが備わる。なお、各光源は、必要とされる光量などに応じて、複数個の発光素子が設けられるとよい。また、指の中央部分を撮影するカメラ１４１０及び指先部分を撮影するカメラ１４１１が備わる。これは、既存の指静脈認証装置で撮影される全ての部位を撮影するために設けられたものである。なお、指の横側の静脈を用いた指静脈認証装置と互換性をもたせる場合、指の側面を撮影するカメラを設けてもよい。
また、入力装置２は、利用者が指を提示する指置き台１４０５を備える。指置き台１４０５の中央部には開口部が設けられている。この開口部は、指置き台１４０５に提示された指をカメラ１４１０及び１４１１によって下方から撮影するため、また、指置き台１４０５に提示された指に光源１４０４によって下方から光を照射するためのものである。
利用者は、指１を指置き台１４０５に提示する。タッチセンサなどによって指の提示が検出されると、入力装置２は撮影を開始する。具体的には、各光源を独立に一つ一つ点灯しながら指を撮影する。光源から照射される光が異なると、指静脈パターンを撮影した画像が異なるため、各光源から光を照射して撮影した画像を全て保存する。これによって、認証システムに接続されている装置、又は今後接続される可能性がある装置と同じ照射方法によって画像を撮影することができ、撮影画像を登録データとして汎用的に利用することができる。
具体的には、上方光源１４０１を点灯させ、指の中央部分を撮影するカメラ１４１０によって撮影される画像と、指先部分を撮影するカメラ１４１１とによって撮影される画像との指領域の平均輝度値が等しくなるように、各光量の光量を調整した後に、撮影する。次に、両側面の光源１４０２を同時に点灯して側面照射時の指静脈を撮影する。また、両側面の光源１４０２を交互に点灯して２枚の側面照射時の指静脈画像を撮影し、その２枚のうち撮影状態の良い領域を合成することによって１枚の指静脈画像に変換してもよい。さらに、前方の光源１４０３を点灯して撮影する。最後に下方の光源１４０４を照射して撮影する。このように各光源を順番に用いて、各カメラで最適となる光量に調整しながら複数の画像を順に撮影する。
なお、登録装置に備わるカメラ１４１０、１４１１の解像度は、認証用の端末に備わるカメラに比べて十分に感度が高く、かつ解像度も高いものを用いるとよい。高画質の画像を低画質に変換することは容易であることから、高画質の登録用画像を取得することによって、多種の認証用端末との互換性を高めることができる。
認証システムに入力装置（例えば、認証用端末）が接続された場合、入力装置２は、例えば、解像度やＳ／Ｎなどのカメラの仕様、光源の照射方法、指の撮影面の情報（腹側、左側面、右側面、指先、甲側など）、指先の位置などを基準とした撮影領域の位置、指輪郭の撮影の有無などの端末の仕様を、サーバ２１に通知する。サーバ２１は、この通知を受信した後、登録時に撮影された画像の中から、この入力装置の照射方法と一致する照射方法によって撮影された画像を抽出し、平滑化フィルタ、ローパスフィルタなどの画像フィルタによって、この入力装置の解像度と一致する解像度に変換し、さらに、この入力装置によって撮影された画像に対応する領域を登録画像から抽出した後に、登録画像から特徴を抽出し、登録データとして保存する。今後、この入力装置に入力された指静脈は、この保存された登録データを利用して認証される。
また、別の端末がシステムに追加された場合も、同様に、端末の仕様から、その端末に適する画像を生成する。これによって、一度、本実施の形態において示す登録端末で登録をすれば、どのような端末が接続されても汎用的に登録データを利用でき、利用者が認証用端末の種別毎に生体情報を登録する手間を省き、利便性を向上することができる。
＜第７の実施の形態＞
図２０Ａ及び図２０Ｂは、本発明の第７の実施の形態の認証システムの一構成例を示す。
第７の実施の形態の認証システムは、登録データベースを時間によって切り替えることによって、経時変化に対して堅固（ロバスト）な認証が行える認証システムである。
登録データベース２２には、時間によって異なる登録データが保存されている。例えば、図２０Ｂに示すように、０時から２時、２時から４時、４時から６時のように２時間ごとに領域を区切って、登録された時間帯別の登録データが登録データベース１５０１に格納される。
利用者はシステムを利用する前に生体情報を登録する。このとき、登録データは登録時の時間に対応した領域に格納される。例えば、登録者ＩＤ＝０００２の利用者１５０２が１０時から１１時５９分の間に登録した場合、時間帯別の登録データベース１５０１の１０時台の箇所に登録データが保存される。
次に、利用者が認証のために入力装置７０１に生体を提示したとき、生体を提示した時刻に最も近い時間帯の登録データを用いて認証する。例えば、利用者１５０２が１２時に入力を試みた場合、登録時間帯が１２時に最も近い登録データと入力データとが照合される。例えば、登録者ＩＤ＝０００１の利用者は１０時台のデータと１２時台のデータとが登録されているため、近い時間の１２時台の登録データを優先して入力データと照合する。また、登録者ＩＤ＝０００２の利用者は１２時台のデータが登録されていないため、認証を試みた時刻である１２時に最も近い時間帯である１０時台に保存されている登録データを入力データと照合する。また、登録者ＩＤ＝０００３の利用者は１２時台のデータが登録されているため、１２時台の登録データを入力データと照合する。このように、認証を試みた時刻に近い時間帯の登録データを優先して、全登録者ＩＤについて順に照合する。
その結果、認証閾値を下回る照合スコアが得られた場合、登録者ＩＤを特定して認証を成功させる。ここで、利用者１５０２の登録者ＩＤは０００２であると判定された場合、認証処理を実行した１２時台の時間帯のデータがデータベースに登録されていないため、認証用に提示された入力データを登録データ２３Ａとしてデータベースに登録する。つまり、登録者ＩＤ＝０００２の１２時台の領域に、認証が成功した際の入力データを登録データとして登録する。
このように、利用者が様々な時間帯で認証システムを利用すると、様々な時間帯で撮影された生体情報が徐々に蓄積される。このため、朝に撮影された登録データと、夜に撮影された登録データとが異なる場合、認証を試みた時刻に近い登録データを利用することができ、生体情報が１日の中で変動しても、正確に認証をすることができる。
図２１は、第７の実施の形態の認証処理のフローチャートである。
第７の実施の形態の認証システムでは、登録データは、撮影された時間帯に対応した登録領域に格納されている。また、この登録者ＩＤがｎで登録時刻がｔの登録データを、登録データ（ｎ、ｔ）と示す。
まず、サーバ２１は、認証端末７０１からの認証要求を待つ（Ｓ２１０１）。その後、サーバ２１は、端末７０１から入力データを受け取り（Ｓ２１０２）、データの受信時刻Ｔｎを取得する（Ｓ２１０３）。なお、サーバ２１が、端末７０１から、提示時刻（認証が試みられた時刻）を受信して、受信した時刻をＴｎとしてもよい。
そして、入力データと全登録データとを照合する。まず、登録者ＩＤを示す変数ｎが１から登録件数Ｎまで繰り返されるループ（Ｓ２１０４〜Ｓ２１０６）において、登録時刻ｔを０時から２４時まで変化させた場合に登録データ（ｎ、ｔ）が存在し、かつ時刻Ｔｎとｔとの差の絶対値｜Ｔｎ−ｔ｜が最小となるｔを探し、該当する登録データを登録データｎとする（Ｓ２１０４）。ループ２におけるｔの変化量は、どの程度の時間間隔でデータを登録するかによって変えるとよい。例えば、１時間毎に登録データを保持するようにシステムを設計した場合、ループ２において、ｔを１時間ずつ変化させてＳ２１０４の処理を実行する。
そして、登録データｎと入力データとを照合し（Ｓ２１０５）、認証条件を満たすか否かを判定する（Ｓ２１０６）。その結果、認証条件を満たす場合、今回の入力データを登録データ（ｎ、Ｔｎ）に格納し（Ｓ２１０８）、認証成功の処理を実行する（Ｓ２１０９）。この処理によって、様々な時間帯に撮影された生体情報が登録データベースに保存される。そして、追加された登録データは以後の認証処理に用いることができるため、生体情報が１日の中で変動しても堅固な認証をすることができる。もし、認証成功条件を満たさない場合は他の登録データに対してＳ２１０４〜Ｓ２１０６の処理を繰り返す。Ｓ２１０４〜Ｓ２１０６の処理を繰り返しても、認証条件を満たさなければ、認証失敗の処理を実行し（Ｓ２１０７）、この認証処理を終了する。
なお、季節ごとに登録データを格納する領域を設けてもよい。さらに、入力装置７０１に温度計、湿度計、照度計などの周囲の環境を測定するセンサを設け、各センサによって取得できる値毎に登録データベースの領域を分けてもよい。例えば、気温が２０度から３０度の間である場合と、１０度から２０度の間である場合とで登録データを分けることができるため、気温によって生体情報が変動しても正確に認証することができる。また、気温によって認証閾値を変化させてもよい。気温が低いときに認証精度が劣化する場合、気温が低いときに認証閾値を緩和してもよい。
以上説明したように、第７の実施の形態によると、生体の周囲の環境に合った認証をすることができ、環境適合性を高めることができる。

本発明は大規模な生体認証装置に適用することができ、高精度かつ高速な認証を実現し、保守性の高い認証システムを提供するし、個人認証装置として有用である。

Claims (28)

1. 生体の特徴を用いて個人を認証する認証システムであって、
   前記生体を載置するための入力装置、
   前記生体を撮影する撮像装置、
   前記撮像装置によって撮影された画像を処理する画像処理部、
   前記生体の特徴を含み、予め登録された複数の第１特徴データと、前記各第１特徴データから前記画像処理部によって生成される第２特徴データとを格納する記憶装置、及び
   前記撮像装置によって撮影された生体の特徴を示す入力データと、前記第１特徴データ及び前記第２特徴データの各々とを照合する照合処理部を備え、
   前記各第２特徴データは、前記各第１特徴データよりサイズが小さく、かつ、前記生体の特徴の少なくとも一部を含むデータであることを特徴とする認証システム。
2. 請求項１に記載の認証システムであって、
   前記入力データは、第１入力データ及び第２入力データを含み、
   前記第１入力データは、前記複数の第１特徴データと比較可能なサイズのデータであり、
   前記画像処理部は、前記各第１入力データから前記複数の第２特徴データと比較可能なサイズの第２入力データを生成し、
   前記照合処理部は、前記第２入力データと前記各第２特徴データとを照合した後に、前記第１入力データと前記各第１特徴データとを照合することを特徴とする認証システム。
3. 請求項２に記載の認証システムであって、
   前記照合処理部は、前記第２入力データと前記各第２特徴データとを照合した結果に基づいて決定された順に、前記第１入力データと前記各第１特徴データとを照合することを特徴とする認証システム。
4. 請求項３に記載の認証システムであって、
   前記照合処理部は、前記各第２入力データと類似度が高い前記第２特徴データに対応する前記第１特徴データから順に、前記第１入力データと照合することを特徴とする認証システム。
5. 請求項１に記載の認証システムであって、
   前記記憶装置は、前記照合処理によって得られる照合スコアの集合と他人受入率との関係から決定される閾値を格納し、
   前記照合処理部は、前記照合スコアが前記閾値を下回ると判定された場合に認証処理を終了することを特徴とする認証システム。
6. 請求項１に記載の認証システムであって、
   前記照合処理部は、所定の認証条件を満たさない場合、先に入力された第１生体と異なる少なくとも一つの第２生体の入力を促すことを特徴とする認証システム。
7. 請求項６に記載の認証システムであって、
   前記照合処理部は、前記第１生体を用いた照合の結果と前記第２生体を用いた照合の結果との重み付け平均値が所定の閾値を下回ると判定された場合、認証処理を終了することを特徴とする認証システム。
8. 請求項６に記載の認証システムであって、
   前記照合処理部は、前記第１生体の入力データ及び前記少なくとも一つの第２生体の入力データとを、全ての組み合わせで照合することによって、入力された生体の種類の数を判定することを特徴とする認証システム。
9. 請求項６に記載の認証システムであって、
   前記所定の閾値を決定するための、前記照合スコアと他人受入率との関係は、異なる生体の照合結果を用いて決定されることを特徴とする認証システム。
10. 請求項６に記載の認証システムであって、
    前記第１生体と第２生体とは、同一人の異なる生体の部分であることを特徴とする認証システム。
11. 請求項１に記載の認証システムであって、
    前記記憶装置は、前記照合処理が終了するまでに許容される応答時間を格納し、
    前記照合処理部は、前記照合が前記応答時間内に終了しない場合、認証を停止することを特徴とする認証システム。
12. 請求項１１に記載の認証システムであって、
    前記照合処理部は、前記応答時間以内に所定の認証条件を満たした場合でも、前記応答時間が経過するまで照合処理を継続することを特徴とする認証システム。
13. 請求項１に記載の認証システムであって、
    前記照合処理部は、前記各第１特徴データとの照合によって所定の認証条件を満たす前記第１特徴データが複数あった場合、又は、前記各第２特徴データとの照合によって所定の認証条件を満たす前記第２特徴データが複数あった場合、認証は失敗と判定することを特徴とする認証システム。
14. 請求項１に記載の認証システムであって、
    前記各第２特徴データは、前記各第１特徴データの画像を空間的に縮小したものであることを特徴とする認証システム。
15. 生体の特徴を用いて個人を認証するシステムであって、
    前記生体の情報を取得する複数の端末を備え、
    前記端末は、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記撮像装置によって撮影された画像を処理する画像処理部、前記生体の特徴を含み、予め登録された複数の特徴データと、前記各端末に格納される特徴データを表す所在情報とを格納する記憶装置、及び、前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部、及び、前記各端末が遊休状態であるか否かを判定する処理部とを備え、
    前記端末は、入力された生体から生成された入力データを、前記遊休状態であると判定された端末に送信し、
    前記入力データを受信した端末は、前記受信した入力データと、自端末の記憶装置に格納されている前記複数の特徴データの一部又は全部とを照合することを特徴とする認証システム。
16. 請求項１５に記載の認証システムであって、
    前記複数の端末と接続されるサーバを備え、
    前記サーバは、全ての前記複数の特徴データを格納する記憶装置、及び、前記入力データと前記複数の特徴データとを照合する照合処理部を備え、
    前記端末は、
    前記所在情報を用いて、前記各端末に保持された前記特徴データの全てと前記入力データとが照合されるように、前記各特徴データの送信先の端末を決定し、
    前記サーバの照合処理部は、何れの前記端末にも格納されていない特徴データと前記入力データとを照合することを特徴とする認証システム。
17. 請求項１５に記載の認証システムであって、
    前記端末は、前記特徴データが複数の前記端末に格納されている場合、稼働率が低い前記端末が優先して当該特徴データとの照合を実行するように、前記複数の特徴データの送信先の端末を決定することを特徴とする認証システム。
18. 生体の特徴を用いて個人を認証する認証システムであって、
    前記生体の情報を取得し、少なくとも第１端末及び第２端末を含む複数の端末、及び
    前記複数の端末と接続されるサーバを備え、
    前記各端末は、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、及び、前記撮像装置によって撮影された画像を処理する画像処理部を備え、
    前記複数の端末又は前記サーバの少なくとも一方は、前記生体の特徴を含み、予め登録された複数の特徴データと、各端末間を利用者が移動するための推定時間を含む移動時間情報とを格納する記憶装置、及び、前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部を備え、
    利用者の生体が提示されることによって、前記第１端末で認証が成功した場合、前記移動時間情報を参照して、前記第１端末から前記第２端末まで移動するための推定時間を取得し、前記取得した推定時間の間、前記第２端末は当該利用者の認証の成功を阻止することを特徴とする認証システム。
19. 生体の特徴を用いて個人を認証する認証システムであって、
    前記生体の情報を取得する端末、及び
    前記端末と接続されるサーバを備え、
    前記端末は、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記撮像装置によって撮影された画像を処理する画像処理部、前記生体の特徴を含み、予め登録された複数の特徴データと、前記各特徴データを取得した際の前記生体の姿勢とを格納する記憶装置、前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部、及び、入力された前記生体の姿勢を検出する姿勢検出部を備え、
    前記撮像装置は、前記生体を複数回撮影し、
    前記姿勢検出部は、前記入力された生体の撮影時の姿勢を検出し、
    前記照合処理部は、前記入力された生体の撮影時の姿勢と、前記各特徴データに対応する前記生体の姿勢とを照合し、両者の姿勢が類似する状態で撮影された生体の画像から生成された入力データを前記サーバに送信することを特徴とする認証システム。
20. 生体の特徴を用いて個人を認証する認証システムであって、
    前記生体の情報を取得する端末、及び
    前記端末と接続されるサーバを備え、
    前記端末は、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記撮像装置によって撮影された画像を処理する画像処理部、前記生体の特徴を含み、予め登録された複数の特徴データを格納する記憶装置、及び、前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部を備え、
    前記サーバは、
    前記入力データと前記複数の特徴データとを照合し、
    前記入力データと最も類似する前記特徴データとの照合によって得られた、前記入力データと前記特徴データとの位置ずれの情報を前記端末に送信することを特徴とする認証システム。
21. 請求項２０に記載の認証システムであって、
    前記撮像装置は、前記生体を複数回撮影し、
    前記照合処理部は、
    前記サーバによって照合された入力データと他の前記入力データとを照合し、
    前記サーバから送信された位置ずれの情報と、前記他の入力データとの照合によって得られた位置ずれの情報とを比較し、
    前記サーバから送信された位置ずれの情報と、位置ずれの情報が最も類似する前記入力データと前記登録データとを照合することを特徴とする認証システム。
22. 生体の特徴を用いて個人を認証する認証システムであって、
    前記生体の情報を取得する複数の端末、及び
    前記複数の端末と接続されるサーバを備え、
    前記各端末は、前記生体を載置するための入力装置、前記生体を撮影する撮像装置、前記撮像装置によって撮影された画像を処理する画像処理部、前記生体の特徴を含み、予め登録された複数の特徴データを格納する記憶装置、及び、前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部を備え、
    前記サーバは、前記各端末によって撮影された画像の撮影範囲及び画像の変形の少なくとも一方を補正するための情報を生成することを特徴とする認証システム。
23. 請求項２２に記載の認証システムであって、
    前記サーバは、
    前記画像の撮影範囲及び／又は変形が補正された入力データと前記複数の特徴データとを照合し、
    前記照合の結果、前記補正された入力データと前記特徴データとの類似度が所定の条件を満たす場合、前記補正された入力データを生成する元となった補正前の画像から特徴データを生成し、
    前記生成された特徴データを登録することを特徴とする認証システム。
24. 指の静脈を用いて個人を認証する認証装置であって、
    前記指を載置するための指置き台、
    前記指に向けて光を照射する光源、
    前記指を透過した光を撮影する撮像装置、及び
    前記撮像装置によって撮影された画像を処理する画像処理部を備え、
    前記光源は、前記指の上方、前方、側方及び下方のそれぞれの位置に、光源の組として設置され、
    前記撮像装置は、一つの前記光源の組が発光した状態で、前記生体を撮影することを特徴とする認証装置。
25. 請求項２４に記載の認証装置であって、
    前記撮影された画像のうち、他の認証装置に配置された光源と同一の位置に配置された光源が発光した状態で撮影された画像を、前記他の認証装置用の特徴データとして登録することを特徴とする認証装置。
26. 生体の特徴を用いて個人を認証する認証システムであって、
    前記生体を載置するための入力装置、
    前記生体を撮影する撮像装置、
    前記撮像装置により撮影された画像を処理する画像処理部、
    前記前記生体の特徴を含み、予め登録された複数の特徴データを格納する記憶装置、及び
    前記撮像装置によって撮影された生体の特徴を示す入力データと前記複数の特徴データとを照合する照合処理部を備え、
    前記画像処理部は、前記撮像装置によって撮影された生体の画像から入力データを生成し、前記生成された入力データに前記生体の提示時刻を付与し、
    前記各特徴データには、当該特徴データが生成される元となった生体が提示された時刻が付与されており、
    前記入力データが生成された時刻と異なる時間帯に属する時刻に生成された前記特徴データとを照合した結果、前記入力データの認証が成功した場合、前記入力データが生成された時刻の特徴データとして、前記認証が成功した入力データを登録することを特徴とする認証システム。
27. 請求項２６に記載の認証システムであって、
    前記サーバは、
    前記入力データに付与された時刻に最も近い時刻の登録データを選択し、
    前記選択された登録データと前記入力データとを照合することを特徴とする認証システム。
28. 請求項２６に記載の認証システムであって、
    前記登録データには、当該特徴データが生成される元となった生体が提示された際の気温の情報が付与されており、
    前記サーバは、
    前記入力データが提示された際の気温に最も近い気温の情報が付された登録データを選択し、
    前記選択された登録データと前記入力データとを照合することを特徴とする認証システム。

Images