WO2006025237A1 - 個人認証装置 - Google Patents

Abstract

　通常は一度の試みでは認証に成功せず複数回の認証を試みるという不正ユーザの攻撃状況に着目し、他人判定閾値を用いて一旦他人と判定された場合には、本人判定閾値をより厳しい閾値に動的に変更し、その後の本人であるか否かの判定に供するようにすることで、不正ユーザからの攻撃を高い確率で検知し、セキュリティ度の向上が図れるようにした。変更された本人判定閾値については、所定の時間が経過した場合、或いは、本人と判定された場合、元の閾値に復帰させることで、誤って本人を棄却してしまう可能性を減らし、利便性も確保される。

Description

明 細 書

個人認証装置

技術分野

[0001] 本発明は、例えば声などの人物固有の生体情報を個人情報として利用し、申告者 が本人である力否かを判定する個人認証装置に関する。

背景技術

[0002] 生体情報を利用した個人認証装置の一例として、音声に基づき個人を認証する話 者認証装置について説明する。一般に、話者認証装置は登録された音声モデルと 未知話者の音声の特徴から何らかの認証スコア (距離、尤度)を計算し、予め設定さ れた閾値と比較することにより、本人力否かの判定を行うようにしている（例えば、特 許文献 1参照)。

[0003] 個人認証装置にお!、て、閾値は本人棄却率（FRR = False Rejection Rate)と他人 受理率（FAR=False Acceptance Rate)を決定する重要な値であり、特許文献 1では 登録された話者モデル力 統計的に閾値を算出する例が示されている。

[0004] 図 4ないし図 6に基づき、本人スコアの分布と他人スコアの分布及び閾値の関係に ついて説明する。図 4は本人スコア及び他人スコアの分布曲線を示す特性図である 。横軸は登録された音声モデルと入力された音声の特徴カゝら算出された認証スコア であり、縦軸は認証スコアの発生する頻度である。図中、実線は入力された音声が本 人のものであった場合の本人スコアの分布を示し、一点鎖線は入力された音声が他 人のものであった場合の他人スコアの分布を示す。図 4に示すように、その分布は一 部において重なっているため、閾値の設定値によっては入力された音声が本人のも のであっても棄却されてしまったり、逆に、他人のものであっても受理してしまったりす る場合がある。例えば、図 5に示すようにユーザの利便性を高め本人棄却率がほぼ 0 %になる TH2なる値に閾値を設定すると図中の斜線部の事象に該当する割合で他 人を受理してしまい、逆に、図 6に示すようにセキュリティの質を高め他人受理率がほ ぼ 0 %になる TH3なる値に閾値を設定すると図中の斜線部の事象に該当する割合 で本人を棄却してしまう。従って、 TH2〜TH3の範囲内で使用目的に応じて閾値を 設定するのが一般的な設定方法である。

[0005] ところで、このような個人認証装置に共通の課題として、「なりすまし」の問題がある。

「なりすまし」とは、他人が本人の生体特徴を偽装し、不正に認証を行うことである。な りすましへの対策手段として、例えば、特許文献 2によれば、ユーザの利用パターン（ 時間、場所）に応じて閾値を動的に変更し、利便性とセキュリティ度を両立させる例が 示されている。また、特許文献 3によれば、守るべき価値や利用履歴に応じて閾値を 動的に変更し、利便性とセキュリティ度を両立させる例が示されている。

[0006] 特許文献 1 :特開平 9 198086号公報

特許文献 2 :特開 2002— 183734公報

特許文献 3：特開 2003 - 248661公報

[0007] し力しながら、前述したような閾値の変更方法では不正ユーザからの攻撃を明確に 検知できず、効果的な閾値の設定を行うことが困難である。

[0008] ここで、一般的な不正ユーザの攻撃状況を説明する。実際の使用状況下において 不正ユーザが一度の試みで不正認証に成功することはごく希である。通常は、複数 回の認証を試みた後になりすましに成功する場合が多い。この状況を具体的にテキ スト依存型話者認証装置を例に挙げて説明する。テキスト依存型の話者認証装置は 、特定の話者が特定の単語 (パスワード)を発した時にのみ認証が成立する。従って 、登録話者と声質の近 、不正ユーザであってもパスワードが異なると認証は不成立 に終わる。このため、このような不正ユーザは推定した複数のパスワードを発して複数 回の認証を試みることになる。

[0009] こうした状況には、特許文献 3に開示されている前回の認証結果に基づく閾値変更 方法が有効である。しかし、この方法によると、本人を間違えて棄却してしまった場合 にも、次回以降、本人判定が厳しくなつてしまうため、連続して本人を棄却してしまうと いった著しく利便性に欠ける状況を引き起こしてしまう。

[0010] 本発明の目的は、不正ユーザ力 の攻撃を高い確率で検知して閾値を動的に変 更でき、セキュリティ度の向上が図れる個人認証装置を提供することである。

発明の開示

[0011] 本発明の個人認証装置は、認証処理対象者の個人情報 (例えば、音声情報)を取 得する取得手段と、取得した認証処理対象者の前記個人情報を登録ユーザの個人 情報 (例えば、音声モデル)と比較し前記認証処理対象者の前記個人情報と前記登 録ユーザの前記個人情報との関連性を示す認証スコア (例えば、距離、尤度)を算出 するスコア算出手段と、算出された前記認証スコアを本人であることを判定するため に予め登録されて 、る本人判定閾値と比較し、認証処理対象者が登録ユーザ本人 であることを判定する本人判定手段と、算出された前記認証スコアを他人であること を判定するために予め登録されて！ヽる他人判定閾値と比較し、認証処理対象者が他 人であることを判定する他人判定手段と、前記他人判定手段の判定結果に従い、前 記本人判定閾値をより厳しい閾値に変更する閾値変更手段と、を備える。

図面の簡単な説明

[0012] [図 1]本発明の実施の形態の話者認識装置の構成を備える PCのハードウェア構成 例を示す概略ブロック図である。

[図 2]本実施の形態の PC中に含まれる話者認証装置の構成を示す機能ブロック図 である。

[図 3]認証部の処理の流れについて示すフローチャートである。

[図 4]本人スコア及び他人スコアの分布曲線を示す特性図である。

[図 5]閾値 TH2に関する特'性図である。

[図 6]閾値 TH3に関する特'性図である。

[図 7]スコアの分布曲線上の各数値の関係を示す特性図である。

[図 8]本人判定閾値の変化のさせ方の第 1の例を示す特性図である。

[図 9]本人判定閾値の変化のさせ方の第 2の例を示す特性図である。

発明を実施するための最良の形態

[0013] 本発明を実施するための最良の形態について図面を参照して説明する。本実施の 形態の個人認証装置は、その一例として、パーソナルコンピュータ（PC)のアクセス 管理のために、ログイン操作時の個人認証において、ユーザ名 +パスワード入力に 代えて、ユーザ名 +音声入力を用いるようにした話者認証装置への適用例を示す。

[0014] 図 1は、本実施の形態の話者認証装置の構成を備える PCのハードウェア構成例を 示す概略ブロック図である。図 1に示すように、本実施の形態の PC1は、 PC本体 2と 、マウス 3、キーボード (KZB) 4並びにモニタ 5とによる標準構成に加えて、マイクロ フォン 6を備える構成とされている。 PC本体 2内には、各部^^中的に制御する CP U7、制御プログラムを格納した ROM8、 CPU7のワークエリアとして機能する RAM9 、 OSや各種アプリケーションプログラム、さらには、後述するような制御プログラム等 を格納した HDD10、 I/Oポート 11がバス 12により相互に接続された基本構成に加 えて、マイクロフォン 6が低域通過フィルタ（LPF) 13、 AZD変換器 14を介して IZO ポート 11に接続されている。前述のマウス 3、キーボード (ΚΖΒ) 4並びにモニタ 5は I ΖΟポート 11を介して CPU7等に接続されている。ここで、 PC本来の機能は周知で あり、かつ、本発明の説明には不要であるため省略する。

[0015] 図 2は、本実施の形態の PC1中に含まれる話者認証装置の構成を示す機能ブロッ ク図である。図 2に示すように、前述のマイクロフォン 6、低域通過フィルタ（LPF) 13、 A/D変翻14なるハードウェア構成に加えて、 CPU7により実行される各機能プロ ックは、特徴ベクトル生成部 21、距離計算部 22、認証部 23、話者モデル生成部 24 並びに記憶部 25で構成され、処理の流れに従 、連結されて!、る。

[0016] なお、本実施の形態では、このような機能ブロックを実現するための制御プログラム を HDD10に格納するようにした力 これに限るものではなぐ FD、磁気テープ等の ような磁気的な記憶媒体、 MOのような光磁気的な記憶媒体、 CD、 CD-ROM, C D— Rゝ CD-RW, DVD-ROM, DVD-R, DVD— RAMゝ DVD— RWゝ DVD +RW等のような光学的な記憶媒体、半導体メモリ等の各種方式のメディアを記憶媒 体として用いるようにしても良い。なお、 CD— ROMや DVD— ROMなどの各種の光 学的な記憶媒体、各種の光磁気的な記憶媒体、 FDなどの各種の磁気的な記憶媒 体等は、 PC本体 2に固定的に設けられておらず、単体で取り扱える交換自在な記憶 媒体としての形態を備え、各メディアに適応した各種プログラム読取装置 (CD— RO Mドライブ等）を用 、てプログラムを読み出すことで各種処理が可能になる。

[0017] マイクロフォン 6は、入力された音声を電気的アナログ信号に変換する。低域通過フ ィルタ 13は、入力されたアナログ信号力 所定の周波数以上の周波数をカットし出力 する。 AZD変換部 14は、入力されたアナログ信号を所定のサンプリング周波数、量 子化ビット数でデジタル信号に変換する。特徴ベクトル生成部 21は、入力されたデジ タル信号カゝら個人性特徴情報を抽出し、順次個人性情報を含む特徴データである 特徴ベクトル列を出力する。これらのマイクロフォン 6〜特徴ベクトル生成部 21により 取得手段の機能が実現されている。話者モデル生成部 24は、特徴ベクトル生成部 2 1で生成された特徴ベクトル列から話者モデルを作成する。記憶部 25は、話者モデ ル生成部 24で作成された話者モデル (例えば、コードブック）を登録ユーザの個人情 報として RAM9等のメモリに登録するもので、記録手段として機能する。距離計算部 22は、特徴ベクトル生成部 21で生成された特徴ベクトル列と予め記憶部 25によりメ モリに登録されて ヽる話者モデルとを比較し、認証処理対象者から取得された特徴 ベクトル列 (個人情報）と登録ユーザの話者モデル (個人情報）との関連性として両者 の隔たりを示す認証スコア (距離)を計算するもので、スコア算出手段として機能する 。認証部 23は、認証スコアと閾値とを比較し、本人である力否かを判定するもので、 後述するように本人判定手段、他人判定手段、閾値変更手段ならびに閾値復帰変 更手段として機能する。

[0018] 図 2に示した話者認証機能は、本装置起動後に機能し、ユーザの認証を行うもので ある。即ち、 PC1起動、ユーザ名入力後にマイクロフォン 6から入力される認証処理 対象者の音声を、低域通過フィルタ 13及び AZD変換部 14を介してデジタル信号 に変換し、特徴ベクトル生成部 21で該デジタル信号カゝら抽出された特徴ベクトル (認 証処理対象者の個人情報）と、予めモデル生成部 7で作成され記憶部 8によりメモリ に登録されて 、る話者モデル (登録ユーザの個人情報）とを距離計算部 22で比較し 、求めた距離 (認証スコア）に基づき認証部 23にて本人であるか否かを判定し、その 判定結果に基づき装置の使用可否、この場合であれば、 PC1に対するログインの可 否を決定する。

[0019] ここで、本実施の形態の特徴的な機能を発揮する認証部 23の処理の流れについ て図 3に示すフローチャート及び図 4に示す本人スコア及び他人スコアの分布曲線を 示す特性図を参照しつつ説明する。本実施の形態の認証部 23は、認証のための基 準値として 2つの閾値を持つ。一つは本人であることを判定するために予め登録され ている本人判定閾値であり、他の一つは他人であることを判定するために予め登録さ れて 、る他人判定閾値である。認証部 23では認証スコアとして算出された距離と本 人判定閾値とを比較し、本人判定閾値よりも距離が小さければ本人であると判定する 。また、算出された距離と他人判定閾値とを比較し、他人判定閾値よりも距離が大き ければ他人であると判定する。ここで、本人判定閾値は状況に応じて図 4中に示す T HI又は TH3に該当する値をとり、他人判定閾値は TH2に該当する値をとる。本装 置起動後の本人判定閾値の初期値は TH1に該当する値である。

[0020] 認証部 23は、 PC1起動、ユーザ名入力後にマイクロフォン 6から音声入力され、距 離計算部 5で距離が計算された後に起動され、図 3中のステップ S1から処理を始め る。ステップ S1では、本人判定閾値が後述するステップ S4にて、 TH3に該当する値 に変更された後、所定の時間（例えば、 30分間）が経過したカゝ否かを判断し、経過し ていた場合、本人判定閾値を TH3から TH1に該当する元の値に復帰させる（S6)。 ステップ S6の処理が閾値復帰変更手段の機能として実行される。次いで、算出され た距離と本人判定閾値とを比較し、本人である力否かを判定する（S2)。ステップ S2 の処理が本人判定手段の機能として実行される。算出された距離が本人判定閾値よ りも距離が小さい場合、即ち本人であると判定した場合 (S2の Y)、本人判定閾値を T HIに該当する元の値に復帰させ (S7)、その後、認証が成立した旨を通知するなど の認証成立処理を行い（S8)、認証部 23の処理を終了する。ステップ S7の処理が閾 値復帰変更手段の機能として実行される。

[0021] 一方、本人であると判定されなかった場合 (S2の N)、算出された距離と他人判定 閾値とを比較し、他人であるか否かを判定する（S3)。ステップ S3の処理が他人判定 手段の機能として実行される。算出された距離が他人判定閾値よりも大きい場合、即 ち他人であると判定した場合 (S3の Y)、本人判定閾値を TH1から TH3に該当する 値に変更し (S4)、認証が不成立であった旨を通知するなどの認証不成立処理を行 い（S5)、認証部 23の処理を終了する。ステップ S4の処理が閾値変更手段の機能と して実行される。また、ステップ S3にて他人であると判定されな力つた場合も、ステツ プ S5にて認証が不成立であった旨を通知するなどの認証不成立処理を行 、、認証 部 23の処理を終了する。

[0022] 即ち、本実施の形態の話者認証装置では、本人判定手段であるステップ S2にて本 人であることが判定されず、かつ、他人判定手段であるステップ S3にて他人であると 判定された場合には、高い確率で不正ユーザによる攻撃が行われていると判断し、 所定の時間（例えば、 30分）、若しくは、次に本人判定手段で本人であることが認証 されるまでセキュリティ度を上げ (本人判定閾値を初期の TH1からより厳しい TH3に 下げ)ることで、不正ユーザの攻撃への対策を講じることが可能である。その一方で、 セキュリティ度を上げても、前述のように、所定の時間が経過した後、若しくは、ー且 本人で有ることが判定された後は、本人判定閾値を初期の TH1に復帰させるので、 誤って本人を棄却してしまう可能性を減らし、利便性を確保することができる。

[0023] ここで、各閾値の値を統計に基づいて好適に設定する方法について説明する。他 人判定閾値 TH2の値を図 5に示すように本人棄却率がほぼ 0%になる値に設定する ことで本人を誤って棄却してしまった場合に不用意にセキュリティ度を上げてしまうと いった問題を解消できる。また、本人判定閾値 TH3の値を図 6に示すように他人受 理率がほぼ 0%になる値に設定することで攻撃を検知した際の他人受入率をほぼ 0 %とすることが可能となる。なお、本人判定閾値 TH1は TH2〜TH3の間で利用目 的に応じて任意に設定すればよい。

[0024] また、本実施の形態の話者認証装置に複数のユーザを登録する場合、登録ユー ザ毎に攻撃の有無を管理し効果的な対策を講じるため、本人判定閾値と他人判定 閾値とを登録ユーザ毎にメモリに登録しておくことが望ましい。

[0025] ところで、ステップ S3の処理にて他人であると判定された時、その他人である度合 い (TH2からの距離）に応じて、ステップ S4にて変更設定する本人判定閾値を計算 して設定するようにしても良 、。

[0026] 具体的な計算例として以下に 2例を挙げる。まず、 1つ目の例は、他人である度合 V、が閾値 (他人度閾値 Doth)を超えた力否かで本人判定閾値の変更値を切り替える 方式である。計算式を式（1)に示す。即ち、変更後の本人判定閾値 ssを他人度閾値 Dothに基づき

ss=A I d-SSoth Iく Doth

ss = B I d-SSoth I ≥Doth

ただし、 d :入力距離 (認証スコア）

A, B:変更後の閾値 SSoth:他人判定閾値

(1)

なる計算式により決定する。認証スコアとして算出された距離 dと他人判定閾値 SSot hの差 I d— SSoth Iが他人度閾値 Dothより小さい場合、本人判定閾値は閾値 Aに 設定され、差 I d— SSoth Iが他人度閾値 Doth以上の場合、本人判定閾値は閾値 Bに設定される。この際の各数値の関係を図 7に、閾値の変化を図 8に示す。

[0027] ここで、より具体的に、本人判定閾値の変化後の値 Aを TH1と TH3との中間値（ (T Η1+ΤΗ3)/2)に、同じく Bを TH3に、他人判定閾値 SSothを TH2に、他人度閾 値 Dothを他人判定閾値 TH2と本人判定閾値 TH1との差 (TH2—TH1)にした場合 の計算式を式（2)に示す。

[0028] ss=(THl+TH3)/2 ( | d— TH2 |く TH2— TH1)

ss=TH3 ( I d-TH2 | ≥TH2— TH1)

(2)

次に、 2つ目の例として連続的に閾値を算出して変更設定する方法について説明 する。この例では、本人判定閾値 ssを、他人である度合い I d— SSoth I力も次の式 (3)により計算する。即ち、変更後の本人判定閾値 ssを

ss = SSown- β X [l-{l/exp(|d-SSoth|x α)}}

ただし、 d:入力距離 (認証スコア）

：変化率係数

β：変化幅

SSown：本人判定閾値 (初期値）

SSoth:他人判定閾値

(3)

なる計算式により連続的に決定する、この際の閾値の変化を図 9に示す。

[0029] ここで、より具体的に、変化率係数 α =1に、変化率 j8 =TH1— TH3に、本人判 定閾値の初期値 SSown =TH1に、他人判定閾値 SSoth=TH2にして式（3)を変 形すると、式 (4)のようになる。

[0030] ss=THl- (TH1-TH3) X [1—{l/exp(|d—TH2|)}] =TH3+ (TH1— TH3) /exp(|d— TH2|)

(4)

以上のように、本人判定閾値を他人である度合い I d— SSoth Iに基づき算出する ことにより、より詳細にセキュリティ度を操作することが可能になる。

[0031] なお、本実施の形態では、 PC1のログイン時のアクセス管理への適用例として説明 したが、このような用途に限らず、例えば携帯電話機や入室管理システムなどの他の 装置やシステムにも適用可能である。この際、本人判定閾値を復帰させるための規 定時間は各機器、システムの利用頻度に応じて適宜決定すればよい。例えば、利用 頻度の低い入室管理システムなどでは規定時間を 1時間などの比較的長い時間に 設定した方が効果的に詐称を抑止することができる。

[0032] また、本実施の形態では、音声 (声紋)なる人物固有の生体情報を個人情報として 利用する場合への適用例として説明したが、音声に限らず、指紋、掌紋、網膜 (虹彩 )、顔の特徴などの人物固有の生態情報を個人情報として利用する場合にも同様に 適用することができる。

[0033] 上述したように、本実施の形態によれば、変更された本人判定閾値を本人判定手 段の判定結果 (S2の Y)に従い元の閾値に変更する閾値復帰変更手段（S7)を備え るので、セキュリティ度を上げても、ー且本人で有ることが判定された後は、本人判定 閾値を初期の TH1に復帰させるので、誤って本人を棄却してしまう可能性を減らし、 利便性を確保することができる。

[0034] 上述したように、本実施の形態によれば、変更された本人判定閾値をその変更から 所定の時間経過後に（S1の Y)に従い元の閾値に変更する閾値復帰変更手段（S6) を備えるので、セキュリティ度を上げても、所定時間が経過した後は、本人判定閾値 を初期の TH1に復帰させるので、誤って本人を棄却してしまう可能性を減らし、利便 性を確保することができる。

[0035] 上述したように、本実施の形態によれば、本人判定閾値と他人判定閾値とを登録ュ 一ザ毎に登録しておくので、登録ユーザ毎に攻撃の有無を管理し効果的な対策を 講ずることができる。

Claims

請求の範囲

認証処理対象者の個人情報を取得する取得手段と、

取得した認証処理対象者の前記個人情報を登録ユーザの個人情報と比較し前記 認証処理対象者の前記個人情報と前記登録ユーザの前記個人情報との関連性を 示す認証スコアを算出するスコア算出手段と、

算出された前記認証スコアを本人であることを判定するために予め登録されて!、る 本人判定閾値と比較し、認証処理対象者が登録ユーザ本人であることを判定する本 人判定手段と、

算出された前記認証スコアを他人であることを判定するために予め登録されて!、る 他人判定閾値と比較し、認証処理対象者が他人であることを判定する他人判定手段 と、

前記他人判定手段の判定結果に従い、前記本人判定閾値をより厳しい閾値に変 更する閾値変更手段と、

を備えることを特徴とする個人認証装置。

変更された前記本人判定閾値を、前記本人判定手段の判定結果に従い元の閾値 に変更する閾値復帰変更手段を備えることを特徴とする請求項 1記載の個人認証装 置。

変更された前記本人判定閾値を、その変更から所定の時間経過後に元の閾値に 変更する閾値復帰変更手段を備えることを特徴とする請求項 1記載の個人認証装置 前記本人判定閾値と前記他人判定閾値とが登録ユーザ毎に登録されていることを 特徴とする請求項 1記載の個人認証装置。

前記閾値変更手段は、変更後の本人判定閾値 ssを他人度閾値 Dothに基づき ss=A I d-SSoth Iく Doth

ss = B I d-SSoth I ≥Doth

ただし、 d :認証スコア

A, B:変更後の閾値

SSoth:他人判定閾値 なる計算式により決定する、ことを特徴とする請求項 1記載の個人認証装置。 前記閾値変更手段は、変更後の本人判定閾値 ssを

ss = SSown- β X [l-{l/exp(|d-SSoth|X α)}}

ただし、 d:認証スコア

：変化率係数

β：変化幅

SSown：本人判定閾値 (初期値）

SSoth:他人判定閾値

なる計算式により決定する、ことを特徴とする請求項 1記載の個人認証装置。