(57)【特許請求の範囲】
【請求項１】
ユーザから生体情報を取得する生体情報入力部と、
前記生体情報入力部によって取得された生体情報から、照合処理に用いる照合特徴データを生成する照合特徴データ抽出部と、
予め記憶部に登録された登録特徴データと、前記照合特徴データ抽出部によって抽出された照合特徴データとを照合する照合処理部と、
前記照合処理部による照合結果から本人と認められるか否かを判定する本人判定部と、
前記本人判定部によって本人と認められるとされなかった場合に、予め定められた回数に限り再認証実行を許容する再認証許容部と、
前記本人判定部によって本人と認められるとされなかった場合に、当該判定に用いられた前記照合特徴データを、予め定められた相互の類似度合いに基づいて、新規にグループを作成して格納するか、或いは既に作成されているグループへ格納することで、前記照合特徴データをグループ単位で管理する格納領域制御部と、
前記格納領域制御部によって作成されている前記グループの数に基づいて、前記ユーザが他人であるか否かを判定する他人判定部と、
前記他人判定部によって他人であると判定されたユーザに対して、前記再認証許容部による再認証実行を制限する再認証制限部と、
を有する生体認証装置。
【請求項２】
前記再認証制限部は、前記再認証実行の許容回数に対する残回数に関係なく、再認証を禁止する請求項１記載の生体認証装置。
【請求項３】
前記他人判定部は、前記グループの数が予め定められた上限数を超えた場合に、前記ユーザを他人と判定する請求項２記載の生体認証装置。
【請求項４】
前記格納領域制御部は、前記類似度合いを数値データで表現し、当該数値データと予め定めたしきい値との比較によって、類似していないと判断された照合特徴データに対しては新規にグループを作成して格納し、類似していると判断された照合特徴データは既に作成されているグループの何れかに格納する請求項１〜請求項３の何れか１項記載の生体認証装置。
【請求項５】
前記照合特徴データが、２以上のグループのそれぞれに格納済の照合特徴データと類似すると判定された場合、当該２以上のグループを連結して単一グループとし、連結した単一グループに前記照合特徴データを格納する請求項１〜請求項４の何れか１項記載の生体認証装置。
【請求項６】
前記格納領域制御部は、前記本人と認められなかったと判定された前記照合特徴データと、既に何れかのグループに格納済の照合特徴データとの類似度合いを判定する際に、比較する前記照合特徴データ同士の重複照合領域を算出し、
判定結果が類似していると判定された場合には、前記重複照合領域が広い、何れか一方の照合特徴データを選択して格納する請求項１〜請求項５の何れか１項記載の生体認証装置。
【請求項７】
ユーザから生体情報を取得する生体情報入力部と、
前記生体情報入力部によって取得された生体情報から、照合処理に用いる照合特徴データを生成する照合特徴データ抽出部と、
前記照合特徴データ抽出部で抽出した照合特徴データを前記ユーザの識別符号と共に送信する送信部と、
を備えた端末装置と、
前記端末装置から照合特徴データ及び識別符号を受信する受信部と、
前記照合特徴データと照合するための登録特徴データが記憶された記憶部と、
前記識別符号に基づいて前記記憶部から読み出された登録特徴データと、前記受信部で受信した照合特徴データとを照合する照合処理部と、
前記照合処理部の結果から本人と認められるか否かを判定する本人判定部と、
前記本人判定部によって、本人ではない判定となった場合に、予め定めた回数に限り再認証実行を許容する再認証許容部と、
前記照合処理部による照合結果から本人と認められるか否かを判定する本人判定部と、
前記本人判定部によって本人と認められるとされなかった場合に、予め定められた回数に限り再認証実行を許容する再認証許容部と、
前記本人判定部によって本人と認められるとされなかった場合に、当該判定に用いられた前記照合特徴データを、予め定められた相互の類似度合いに基づいて、新規にグループを作成して格納するか、或いは既に作成されているグループへ格納することで、前記照合特徴データをグループ単位で管理する格納領域制御部と、
前記格納領域制御部によって作成されている前記グループの数に基づいて、前記ユーザが他人であるか否かを判定する他人判定部と、
前記他人判定部によって他人であると判定されたユーザに対して、前記再認証許容部による再認証実行を制限する再認証制限部と、
前記端末装置へ、生体認証の成否、再認証の可否を含む生体認証結果情報を返信する返信手段と、
を備えた生体認証サーバーと、
を有する生体認証システム。
【請求項８】
コンピュータに、
ユーザから生体情報を取得し、
取得した生体情報から、照合処理に用いる照合特徴データを生成し、
予め記憶部に登録された登録特徴データと、前記照合特徴データとを照合し、照合結果から本人と認められるか否かを判定し、
本人と認められるとされなかった場合に、予め定められた回数に限り再認証実行を許容し、
本人と認められるとされなかった場合に、当該判定に用いられた前記照合特徴データを、予め定められた相互の類似度合いに基づいて、新規にグループを作成して格納するか、或いは既に作成されているグループへ格納することで、前記照合特徴データをグループ単位で管理し、
前記グループの数に基づいて、前記ユーザが他人であるか否かを判定し、
他人であると判定されたユーザに対して、前記再認証実行を制限する
ことを含む処理を実行させる生体認証方法。
【請求項９】
コンピュータに、
ユーザから生体情報を取得し、
取得した生体情報から、照合処理に用いる照合特徴データを生成し、
予め記憶部に登録された登録特徴データと、前記照合特徴データとを照合し、照合結果から本人と認められるか否かを判定し、
本人と認められるとされなかった場合に、予め定められた回数に限り再認証実行を許容し、
本人と認められるとされなかった場合に、当該判定に用いられた前記照合特徴データを、予め定められた相互の類似度合いに基づいて、新規のグループを作成して格納するか、或いは既に作成されているグループへ格納することで、前記照合特徴データをグループ単位で管理し、
前記グループの数に基づいて、前記ユーザが他人であるか否かを判定し、
他人であると判定されたユーザに対して、前記再認証実行を制限する処理を実行させる生体認証プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
開示の技術は、生体認証装置、生体認証システム、生体認証方法、生体認証プログラムに関する。
【背景技術】
【０００２】
近年、コンピュータのセキュリティに関し、従来利用されてきたＩＤカードやパスワードよりも信頼性の高い本人確認として、人間の生体情報を利用したバイオメトリック認証（生体認証）が広く活用されている。生体認証における生体情報としては、例えば指紋、顔、虹彩、網膜、静脈、掌形、ＤＮＡ、音声、署名、耳介等などが用いられている。これらの中でも、指紋を用いた生体認証技術は、携帯電話やノートＰＣへの搭載など、実用化が最も進んでいる。
【０００３】
生体認証は、他人であるにも関わらず、認証成功と誤って判定する他人受入エラーが確率的に発生する。生体認証への攻撃として、確率的に生じる他人受入エラーを狙い、多数の生体情報を用いることで他人受入の発生頻度を高める試み（いわゆる、ブルートフォース攻撃に相当）が考えられる。
【０００４】
パスワード認証などでは、このブルートフォース攻撃を防止するため、認証に複数回失敗すると一定時間、認証リトライできなくする制限が一般的に行われている。
【０００５】
一方、生体認証では、認証時の環境変化や取得された生体情報のばらつきにより、本人であるにも関わらず認証失敗（本人拒否）が発生し、認証の際に本人が何度か試行したのちに認証されるケースがある。従って、ブルートフォース攻撃を防止するために認証失敗回数の制限をそのまま生体認証に適用すると、認証されにくくなるユーザが発生し、利便性が著しく低下することになる。
【０００６】
ここで、認証失敗した生体情報を記憶し、認証失敗時に入力された生体情報が過去に入力された生体情報と同一性を有する場合は、本人の同一部位の認証リトライとして認証失敗回数をカウントせず、同一性を有しない場合は認証失敗回数をカウントする。そして、制限回数に達した場合に、認証リトライを制限することが提案されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−７９５３７号（特許第４５７５７３１号）公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、生体認証では、本人の操作が不慣れである場合には、入力される生体情報の範囲が異なり、連続した生体情報であったとしても再認証時に同一と認められないことがある。さらに、認証されにくくなるケースを想定し、複数箇所の生体情報を予め登録しておき、認証失敗時に生体情報として入力する箇所を切り替えることが一般に行われる。例えば、指紋認証であれば、例えば右手人差し指と右手中指が予め登録され、手のひら静脈認証であれば、例えば右手と左手が予め登録される。
【０００９】
これに対し、過去に入力された生体情報と同一性の有無を判定する技術では、上記ケースで認証失敗回数がカウントされてしまい、制限回数に達したことで本人であるにも関わらず認証リトライが制限されてしまうという問題がある。
【００１０】
開示の技術は、生体認証において、認証されにくい本人による再認証の試行を許容しつつ、悪意を持って認証する他人に対しては、再認証の回数を制限することが目的である。
【課題を解決するための手段】
【００１１】
開示の技術は、ユーザから生体情報を取得する生体情報入力部と、前記生体情報入力部によって取得された生体情報から、照合処理に用いる照合特徴データを生成する照合特徴データ抽出部と、予め記憶部に登録された登録特徴データとを備える。また、前記照合特徴データ抽出部によって抽出された照合特徴データとを照合する照合処理部と、前記照合処理部による照合結果から本人と認められるか否かを判定する本人判定部と、を備える。なお、記憶部はデータベース部という場合がある。
【００１２】
さらに、本人判定部によって本人と認められるとされなかった場合に、予め定められた回数に限り再認証実行を許容する再認証許容部を備える。
【００１３】
本人判定部によって本人と認められるとされなかった場合に、当該判定に用いられた前記照合特徴データを、予め定められた相互の類似度合いに基づいて、前記照合特徴データをグループ単位で管理する格納領域制御部を備える。管理としては、新規のグループを作成して格納する、或いは既に作成されているグループへ格納する。
【００１４】
格納領域制御部によって作成されている前記グループ数に基づいて、前記ユーザが他人であるか否かを判定する他人判定部を備える。また、他人判定部によって他人であると判定されたユーザに対して、前記再認証許容部による再認証実行を制限する再認証制限部を備える。
【発明の効果】
【００１５】
開示の技術は、生体認証において、認証されにくい本人による再認証の試行を許容しつつ、悪意を持って認証する他人に対しては、再認証の回数を制限することができる、という効果を有する。
【図面の簡単な説明】
【００１６】
【図１】第１の実施の形態に係り、ＰＣにおいて、生体認証センサにより採取した生体認証情報を用いた生体認証を実行する生体認証装置としての機能を示すブロック図である。
【図２】図１の格納領域制御部の詳細を示す機能ブロック図である。
【図３】第１の実施の形態に係る生体認証装置が搭載されたＰＣの構成を示すブロック図である。
【図４】生体認証に関する説明であり、（Ａ）〜（Ｃ）は指の指紋の正面図、（Ｄ）は指紋の特徴点を示す拡大図である。
【図５】生体認証に関する説明であり、（Ａ）は採取した生体認証データの特徴を示す特性図、（Ｂ）は参照データの特徴を示す特性図、（Ｃ）は、（Ａ）及び（Ｂ）の特性の比較を示す図表である。
【図６】第１の実施の形態に係る生体認証実行制御ルーチンを示すフローチャートである。
【図７】図６のステップ１０８におけるグループ別格納処理制御ルーチンを示すフローチャートである。
【図８】第１の実施の形態の変形例２に係る格納部での管理テーブルを示す図表である。
【図９】第１の実施の形態の変形例３に係る格納部での管理テーブル（その１）を示す図表である。
【図１０】第１の実施の形態の変形例３に係る格納部での管理テーブル（その２）を示す図表である。
【図１１】第２の実施の形態に係り、ネットワークの下で実行されるＰＣ−サーバー間の生体認証システムでの構成を示すブロック図である。
【図１２】第２の実施の形態に係り、ＰＣ−サーバー間において、生体認証センサにより採取した生体認証情報を用いた生体認証を実行する生体認証システムとしての機能を示すブロック図である。
【図１３】第２の実施の形態に係る格納部での管理テーブルを示す図表である。
【発明を実施するための形態】
【００１７】
「第１の実施の形態」
【００１８】
（生体認証装置）
【００１９】
図１は、第１の実施の形態に係る生体認証装置１１である。
【００２０】
生体認証装置１１は、生体認証センサ１６、生体情報入力部２０、照合特徴データ抽出部２２、ＩＤ情報入力部２４、照合処理部２６、データベース部２８を備える。また、図１の生体認証装置１１は、本人判定部３０、利用制限解除部３２、再認証制御部３４、再認証許容部３６、利用制限解除部３８、格納領域制御部４０、他人判定部５０を備える。
【００２１】
また、図２に示される如く、格納領域制御部４０は、グループ４２、格納部４４、データ分類部４６、格納部構築部４８備える。
【００２２】
第１の実施の形態は、１対１の認証を行う複数人が共用することを想定したものである。なお、前記生体認証センサ１６は、生体認証装置１１に対して外付けしたが、生体認証装置１１に内蔵されていてもよい。
【００２３】
前記生体認証装置１１では、前記生体認証センサ１６による指紋採取に加え、入力装置１０Ｆからユーザを特定するためのユーザ特定情報の入力を促す場合がある。
【００２４】
ユーザ特定情報は、利用するユーザ毎に割り当てられたＩＤ情報、ユーザ名、パスワード等である（以下、総称して「ＩＤ情報」という）。なお、前記Ｉ／Ｆ１０Ｈに、カードリーダ（図示省略）を接続し、ユーザが所有するＩＤカードをかざすことで、ＩＤ情報を読み取るようにしてもよい。
【００２５】
生体情報入力部２０には、前記生体認証センサ１６が接続されている。
【００２６】
生体情報入力部２０では、生体認証センサ１６で採取した生体情報（ここでは、指紋画像）を、照合特徴データ抽出部２２へ送出する。照合特徴データ抽出部２２では、前記生体情報である指紋画像から照合処理に用いる照合特徴データを抽出する。照合特徴データは、例えば、指紋のマニューシャ（特徴点）の情報、或いは、前記生体情報（指紋画像）の一部を抽出した特徴画像である。指紋認証についての詳細は、図４、図５を用いて後述する。
【００２７】
また、ＩＤ情報入力部２４には、キー入力又はカードリーダによる読み込みにより、ＩＤ情報が入力されるようになっている。
【００２８】
この照合特徴データ抽出部２２で抽出した照合特徴データ、並びにＩＤ情報入力部２４に入力されたＩＤ情報は、照合処理部２６に送出される。照合処理部２６には、データベース部２８が接続されている。データベース部２８には、予め利用可能なユーザを特定するための特徴データであり、前記照合特徴データと照合するための登録特徴データが格納されている。
【００２９】
照合処理部２６では、前記照合特徴データと登録特徴データとの照合処理が実行される。すなわち、照合処理部２６は、前記ＩＤ情報に対応付けられた登録特徴データをデータベース部２８から取得する。この登録特徴データと前記照合特徴データを照合して、照合度合いを示す数値が高いほど前記登録生体データを登録した登録者と前記生体情報を入力したユーザが同一人物である確率が高くなる類似度を算出する。前記照合処理部２６は、例えば、マニューシャマッチング、あるいはパターンマッチングを用いることができる。なお、類似度の代わりに、数値が低いほどユーザが同一人物である確率が高くなる距離情報を用いても、同様の効果を持つ構成の実現は可能である。
【００３０】
照合処理部２６は本人判定部３０に接続され、照合処理部２６における照合の結果情報（ここでは、照合結果を示唆する類似度又は距離情報）を本人判定部３０に送出する。
【００３１】
なお、新規登録時には、前記照合特徴データが、ＩＤ情報と対応付けられてデータベース部２８に格納されるようになっている。
【００３２】
本人判定部３０は、照合結果である類似度又は距離情報を予め設定されている所定のしきい値と比較してユーザ本人であるかを判定する。
【００３３】
この本人判定部３０において、類似度を用いた場合には、前記しきい値以上となった時に本人と判定され認証成功し、前記しきい値未満となった時には本人でないと判定されて認証失敗となる。反対に本人判定部３０において、距離情報を用いた場合は、前記しきい値以下となった時に本人と判定し、前記しきい値を超えた時に本人でないと判定する。
【００３４】
この本人判定部３０において、認証が成功した場合、認証成功情報が利用制限解除部３２に送出されるようになっている。利用制限解除部３２では、生体認証装置１１の各部に対して、ユーザが要求する利用制限を解除する通知を送出する。
【００３５】
また、本人判定部３０は、再認証制御部３４の再認証許容部３６に接続されており、認証が失敗した場合、再認証指示が再認証許容部３６に送出されるようになっている。再認証許容部３６では、ユーザに対して、予め定めた回数だけ、生体認証センサ１６を用いた指紋画像の再採取を促す（例えば、モニタ部１０Ｇにメッセージ表示）ようになっている。すなわち、再認証指示毎に回数が減算されるため、当該予め定めた回数分が再認証の許容回数となる。
【００３６】
ユーザは、このメッセージに従い、生体認証センサ１６を用いて再度、指紋画像を採取することになる。ここで、予め定められた回数の範囲で認証が成功すれば、前述したように、利用制限解除部３８での利用制限の解除通知の出力が実行される。
【００３７】
一方、予め定められた回数の範囲で認証が失敗すると、当該ユーザによるサービスの利用が不可能な状態となる。
【００３８】
ところが、認証失敗は、他人である場合の他、指紋の採取の際に、スキャンする方向や部位が変化したり、指の場合は異なる指といった、本人であっても照合失敗が発生する場合があり得る。人差し指から中指に変える、或いは、左手の人差し指から右手の人差し指に変えることがこれにあたる。この場合でも、セキュリティ性を重視のためには、認証回数制限は排除できない。
【００３９】
そこで、本実施の形態では、他人であるときの認証失敗と、本人であるときの認証失敗とを区別する構成を確立した。
【００４０】
このため、本人判定部３０には、格納領域制御部４０が接続されている。また、格納領域制御部４０は、前記照合処理部２６に接続されている。
【００４１】
ここで、本人判定部３０において、本人と認められず、認証が失敗した場合に、本人判定部３０から格納領域制御部４０に対して、認証失敗情報が出力されるようになっている。格納領域制御部４０では、この認証失敗情報に基づいて、前記照合処理部２６から前記照合特徴データを取り込む。
【００４２】
図２に示される如く、格納領域制御部４０には、複数のグループ４２に分類された格納部４４が備えられており、取り込まれた照合特徴データは、何れかの格納部４２に格納されるようになっている。なお、図２に鎖線で示すグループ４２は、未作成のグループ４２である。
【００４３】
また、格納領域制御部４０には、データ分類部４６が設けられている。データ分類部４６は、前記格納部４４が接続されている。データ分類部４６は、同一性が認められた照合特徴データを同じグループ４２に格納するように、入力された照合特徴データを何れかのグループ４２に分類する役目を有する。
【００４４】
すなわち、データ分類部４０では、前記照合特徴データを前記グループ４２に格納されている照合特徴データ（以下、比較するときの区別のため「格納済照合特徴データ」という場合がある）と比較し、同一性を有するデータがあるか判定する。ここで、照合特徴データと格納済照合特徴データとが完全に一致する場合の他、ある程度以上類似する場合も同一であると判定する。
【００４５】
データ分類部４６における、照合特徴データと格納済照合特徴データとの照合において、何れかのグループ４２に属する格納済照合特徴データと同一と判定された場合は、該当するグループ４２に新たに入力した照合特徴データを格納する。
【００４６】
例えば、照合特徴データと格納済照合特徴データとの類似度がある所定のしきい値以上である時は、これらの照合特徴データと格納済照合特徴データとは同一であると判定する。
【００４７】
なお、データ分類部４６の機能として、前記照合処理部２６と同様の機能を用いてもよい。この場合、判定しきい値は、照合処理部２６と同じであってもよいし、異なる値を用いてもよい。
【００４８】
照合処理部２６と異なり、データ分類部４６では比較対象の取得時間差が小さいため、指紋画像の経時変化が少なく、その分、判定しきい値を照合処理よりも厳しく設定できる。
【００４９】
データ分類部４６には、格納部構築部４８が接続されている。格納部構築部４８では、データ分類部４６において、格納済照合特徴データと同一と判定されなかった場合、新規にグループ４２を作成して、新たに入力した照合特徴データを当該新規のグループ４２に格納する。
【００５０】
なお、２つ以上のグループ４２の格納済照合特徴データと同一と判定された場合がある。このような場合は、これらのグループ４２を連結して１つのグループ４２とする。すなわち、連結前は生体情報（指紋画像）の取得範囲が異なる等の理由により各グループ４２の格納済照合特徴データはそれぞれ同一と判定されなかったが、取得範囲が重複する前記照合特徴データを経由して同一と判定され、グループ４２同士の連結が可能となる。
【００５１】
図１に示される如く、前記格納領域制御部４０には、他人判定部５０が接続されている。
【００５２】
他人判定部５０では、前記格納領域制御部４０が管理している前記グループ４２の数をカウントする。他人判定部５０には、予め生体認証情報の態様ごとに定まるグループ４２の数の上限（しきい値）が記憶されており、前記グループ４２の数が当該上限を超えているか否かを判断するようになっている。
【００５３】
他人判定部５０は、再認証制御部３４の再認証制限部３８に接続されており、前記グループ４２の数が上限（しきい値）を超えている場合、他人と判定し、再認証制限部３８へ他人である旨の情報を送出する。すなわち、個人が有するよりも多い（しきい値を超えた）生体情報の種類の入力が行われた場合には、何らかの攻撃用に集められた多数の生体情報が利用されたと判断する。なお、しきい値としては、指紋や指静脈のように指を用いた生体認証の場合には１０（個人の指が１０本であることを前提）を用いることができる。また、しきい値としては、手のひら静脈、掌紋、掌形、虹彩を用いた生体認証の場合には２（個人の手が２本であることを前提）を用いることができる。さらに、しきい値としては、顔認証の場合には１（個人の顔が１つであることを前提）を用いることができる。
【００５４】
再認証制限部３８は、前記再認証許容部３６に接続されており、他人判定部５０において、他人と判定された場合、再認証を制限する。例えば、再認証の制限には、以下のような制限形態がある。
【００５５】
（制限形態１）  認証要求を開始できないようにソフトウェアで制限する。
【００５６】
（制限形態２）  管理者などが所定の解除操作をするまで認証制限を持続する。
【００５７】
（制限形態３）  不揮発性の記憶領域を利用可能な場合には、不揮発性記憶領域に認証制限状態を記録することで、生体認証装置１１の電源を一旦落として再度起動したとしても解除されないものとする。
【００５８】
（制限形態４）  生体認証装置１１毎に認証試行を制限してもよいし、ＩＣカード、ＵＳＢトークンなどが利用される環境では、ＩＤ情報単位で認証試行を制限してもよい。
【００５９】
（制限形態５）  前記生体認証装置１１が何らかの通信機能により管理者と通信可能であった場合には、前記生体認証装置１１もしくは前記ＩＤ情報に対して認証制限したことを前記管理者に通知する。例えば、予め登録されている管理者の電子メールアドレスを用いて管理者にメール通知する。
【００６０】
また、他人判定部５０は、前記再認証許容部３６に接続されている。他人判定部５０において、前記グループ４２の数が上限（しきい値）を超えていない場合、他人ではない（本人の可能性が高い認証失敗）であると判定し、生体認証センサ１６を用いた再採取のカウントをキャンセルする指示を出力する。言い換えれば、再認証の回数を増やすことで、本人であるのに、利用制限がかかることを防止する。
【００６１】
（生体認証装置のハード構成）
【００６２】
図３には、第１の実施の形態に係る生体認証装置１１が搭載されたＰＣ（パーソナルコンピュータ）１０が示されている。ＰＣ１０は、ＣＰＵ１０Ａ、ＲＡＭ１０Ｂ、ＲＯＭ１０Ｃ、Ｉ／Ｏ１０Ｄ及びこれらを相互に接続するデータバスやコントロールバス等のバス１０Ｅを備えたマイクロコンュータを含んでいる。
【００６３】
Ｉ／Ｏ１０には、入力装置１０Ｆ、モニタ部１０Ｇ、ＵＳＢに代表される外部デバイスとの接続端であるＩ／Ｆ１０Ｈ、無線（または有線）による通信Ｉ／Ｆ１０Iが接続されている。
【００６４】
生体認証プログラムは、生体情報入力プロセス２０、照合特徴データ抽出プロセス２２、ＩＤ情報入力プロセス２４、照合処理プロセス２６を備える。また、生体認証プログラムは、本人判定プロセス３０、利用制限解除プロセス３２、再認証制御プロセス３４、再認証許容プロセス３６、利用制限解除プロセス３８、格納領域制御プロセス４０、他人判定プロセス５０を備える。
【００６５】
生体情報入力プロセス２０は、図１に示す生体情報入力部２０として動作する。
【００６６】
照合特徴データ抽出プロセス２２は、図１に示す照合特徴データ抽出部２２として動作する。
【００６７】
ＩＤ情報入力プロセス２４は、図１に示すＩＤ情報入力部２４として動作する。照合処理プロセス２６は、図１に示す照合処理部２６として動作する。本人判定プロセス３０は、図１に示す本人判定部３０として動作する。
【００６８】
利用制限解除プロセス３２は、図１に示す利用制限解除部３２として動作する。再認証制御プロセス３４は、図１に示す再認証制御部３４として動作する。再認証許容プロセス３６は、図１に示す再認証許容部３６として動作する。
【００６９】
利用制限解除プロセス３８は、図１に示す利用制限解除部３８として動作する。格納領域制御プロセス４０は、図１に示す格納領域制御部４０として動作する。他人判定プロセス５０は、図１に示す他人判定部５０として動作する。
【００７０】
ここで、本実施の形態の前記Ｉ／Ｆ１０Ｈには、生体認証センサ１６が接続されている。
【００７１】
本実施の形態の生体認証センサ１６では、認証する生体の部位として指紋を適用する。このため、生体認証センサ１６として指紋認証センサを適用しているが、これに限定されるものではない。
【００７２】
すなわち、生体認証センサ１６は、検出する生体の部位によって選択されるものである。検出される生体の部位としては、指紋、顔、虹彩、網膜、静脈、掌形、ＤＮＡ、音声、署名、耳介等が挙げられる。
【００７３】
以下、それぞれの部位における認証についての概略を説明する。
【００７４】
指紋認証は、普及率が高く、社会的信頼が高いが、傷や汚れに影響され易い。
【００７５】
顔認証は、センサから離れた位置で利用可能で、なじみやすいが、顔の変化により不安定である。
【００７６】
虹彩認証、網膜認証は、他人受入率が非常に低ク、偽造が困難であるが、装置が大型となる。
【００７７】
静脈認証は、精度が高く、偽造が難しいが、なじみが薄く、装置が大型となる。
【００７８】
掌形認証は、比較的精度が高いが、装置が大型となる。
【００７９】
ＤＮＡ認証は、識別制度が圧倒的に高いが、抽出、分析等に時間がかかる。
【００８０】
音声認証は、心理的抵抗が少ないが、体調や雑音の影響を受けやすい。
【００８１】
署名認証は、他人受入率が低く、なじみやすいが、本人拒否率も高い。
【００８２】
耳介認証は、形状が安定しており特徴が多いが、現状では研究開発段階。
【００８３】
以上のように、各部位の認証は、それぞれ一長一短がある。本実施の形態では、他の生体認証センサよりも装置として小型であり、コスト的にも優位である、指紋を選択した。
【００８４】
（指紋認証の概略）
【００８５】
指紋認証は周知の技術であるので、詳細な説明は省略するが、図４及び図５に従い、概略の仕組みを説明する。
【００８６】
指紋の特徴は、図４（Ａ）に示す蹄状紋（loop）の指紋パターン１８、図４（Ｂ）に示す渦状紋（whorl）の指紋パターン２０、図４（Ｃ）に示す弓状紋（arch）の指紋パターン２２の３パターンに分類される。また、図４（Ｄ）に示される如く、指紋には分岐点２４、端点２６、谷線２８、隆線３０等の特徴が見られ、隆線３０の端点２６と分岐点２４を総称してマニューシャ（minutia）と呼ぶ場合がある。
【００８７】
生体認証センサ１６によって検出した指紋を用いた認証は、このマニューシャを用いて行う場合（マニューシャ方式）と、指紋画像を比較して行う場合（パターンマッチング方式）とがあり、適宜選択すればよい。
【００８８】
図５は、指紋等の認証処理における、採取した生体認証データ（照合用データ）と、予め登録しておいた参照データ（登録データ）との照合の原理を座標軸に置き換えて示したものである。
【００８９】
図５（Ａ）の座標軸は、採取した生体認証データの特徴点Ａ（１）、Ｂ（１）、Ｃ（１）、Ｄ（１）の位置を示し、当該特徴点Ａ（１）、Ｂ（１）、Ｃ（１）、Ｄ（１）の向きを矢印で示している。
【００９０】
一方、図５（Ｂ）の座標軸は、予め登録しておいた参照データの特徴点Ａ（０）、Ｂ（０）、Ｃ（０）、Ｄ（０）の位置を示し、当該特徴点Ａ（０）、Ｂ（０）、Ｃ（０）、Ｄ（０）の向きを矢印で示している。
【００９１】
図５（Ｃ）は、前記図５（Ａ）及び（Ｂ）の特徴点の位置（座標ｘ、ｙ）と、向き（x軸のプラス方向を０°とした角度）とを数値化した図表である。それぞれの特徴点は、例えば、前記図４（Ｄ）に示す端点２６であり、当該端点２６の位置と、延長する方向（向き）で特定することができる。
【００９２】
この図５（Ｃ）において、各特徴点Ａ〜Ｄの数値の一致数に基づいて、照合の成功、失敗を判断することになる。当然、一致数が多い方が一致の精度が高いが、一致の判定をどこまで許容するかは、目標とするセキュリティの度合いに基づいて設定すればよい。
【００９３】
以下に第１の実施の形態の作用を説明する。
【００９４】
まず、図６及び図７のフローチャートに従い、生体認証（再認証を含む）の流れを説明する。
【００９５】
図６は、生体認証実行制御ルーチンを示すフローチャートである。
【００９６】
ステップ１００では、ＩＤ情報入力部２４にＩＤ情報が入力されたか否かが判断され、肯定判定されると、ステップ１０２へ移行して生体情報入力部２０に生体情報が入力されたか否かが判断され、肯定判定されるとステップ１０４へ移行する。なお、図６のステップ１００、ステップ１０２では、時系列でＩＤ情報と生体情報の入力を判断しているが、その順序を逆にしてもよい。或いは、並列処理、すなわち、入力する順序に関わらず、ＩＤ情報と生体情報とが入力されたら、ステップ１０４へ移行するようにしてもよい。
【００９７】
ステップ１０４では、入力された生体情報から照合特徴データを抽出する（照合特徴データ抽出部２２）。次いで、ステップ１０６へ移行して、照合処理分２６においてＩＤ情報に基づいて、データベース部２８から前記照合特徴データと比較するための登録特徴データを読み出す。
【００９８】
次のステップ１０８では、照合処理部２６において照合特徴データと登録特徴データとの照合処理が実行される。第１の実施の形態では、生体認証対象が指紋であり、照合処理は、前述したようにマニューシャマッチング又はパターンマッチング、或いは双方の併用による照合が実行される（図４、図５参照）。
【００９９】
次のステップ１１０では、照合の結果、本人判定部３０において本人か否かが判断され、肯定判定された場合は、ステップ１１２へ移行して認証成功処理が実行され、このルーチンは終了する。認証成功処理としては、まず、認証成功の報知、セキュリティ解除等が含まれ、これによってユーザは、認証を受けたデバイス（ＰＣ１０）並びにソフトウェア（アプリケーションソフト等）の利用が可能となる（利用制限解除部３２）。
【０１００】
また、ステップ１１０において否定判定（本人ではない）された場合は、ステップ１１４へ移行して、格納領域制御部４０においてグループ別格納処理を実行する。このグループ別格納処理では、前記照合の対象である照合特徴データを複数のグループ４２の何れかにグループ分けして格納するものであり、詳細については後述する。
【０１０１】
ところで、前記ステップ１１０において否定判定（本人ではないと判断）されたとしても、他人であるという確定ではないので、再認証の猶予を与えている。そこで、次のステップ１１６では、再認証許容部３６において再認証残数を読み出し、次いで、ステップ１１８へ移行して再認証可能か否か（再認証残数が残っているか否か）が判断される。
【０１０２】
このステップ１１８で否定判定された場合は、何度か再認証を経ても依然として本人と認証できないと判断し、ステップ１２０へ移行して、再認証許容部３６において認証不可処理が実行され、このルーチンは終了する。認証不可処理としては、まず、認証失敗の報知、善意の認証失敗に対する対応案の案内等が含まれる。
【０１０３】
また、ステップ１１８で肯定判定された場合は、ステップ１２２へ移行して再認証許容部３６の再認証回数カウンタを「１」減算し、ステップ１２４へ移行する。ステップ１２４では、再認証指示を実行し、このルーチンは終了する。再認証指示は、例えば、ユーザに対して、再度、生体認証センサ１６を用いて指紋を採取するように促す報知を行う。これにより、ユーザは、再度、指紋採取動作を実行することになり、当該ルーチン（図６のフローチャート）に戻ったとき、再認証処理が実行される。
【０１０４】
図７は、前記図６のステップ１０８におけるグループ別格納処理制御ルーチンを示すフローチャートである。このグループ別格納処理制御は、図６に示す格納領域制御部４０と他人判定部５０での処理に相当する。
【０１０５】
ステップ１５０では、格納領域制御部４０において認証に失敗した照合特徴データを取り込み、次いでステップ１５２へ移行して、格納領域制御部４０のグループ４２に格納されている格納済照合特徴データと照合し、ステップ１５４へ移行する。
【０１０６】
ステップ１５４では、照合の結果、同一性のある（類似度の高い）格納済照合特徴データを検出したか否かが判断される。このステップ１５４で肯定判定されると、ステップ１５６へ移行して、同一性のあるグループ４２を特定し、次いでステップ１５８へ移行して、当該特定したグループ４２に照合特徴データを格納し、ステップ１６４へ移行する。
【０１０７】
また、ステップ１５４で否定判定された場合は、ステップ１６０へ移行して、新規にグループ４２を作成し、次いでステップ１６２へ移行して、新規作成したグループ４２に照合特徴データを格納し、ステップ１６４へ移行する。
【０１０８】
ステップ１６４では、他人判定部５０においてグループ４２の数を計数し、次いでステップ１６６へ移行して、計数した格納部数が上限を超えたか否かが判断される。ステップ１６６で否定判定された場合は、本人ではないと判定されたが、本人に類似する照合特徴データであると判断し、ステップ１６８へ移行して、再認証許容部３６に対して再認証回数カウンタを「１」加算して、このルーチンは終了する。この結果、前記図６のステップ１２２による再認証回数カウンタの「１」減算とで、再認証回数カウンタ値は±０となる。これにより、善意の照合失敗による再認証の回数限度減少を回避することができる。
【０１０９】
一方、ステップ１６６で肯定判定された場合は、他人判定部５０において他人と確定される。すなわち、生体認証対象が、手の指の場合、基本的に１０種類の指紋が存在するため、グループ４２の限度は１０となる。このとき、格納部の数が１１以上になるということは、他人の指の照合特徴データに基づくグループ４２が加算されたことになり、他人が確定する。ステップ１６６で肯定判定、すなわち、他人と確定した場合は、再認証制限部３８に対して再認証制限指示を行う。第１の実施の形態では、この再認証制限指示は、再認証回数カウンタの残数に関係なく、即認証失敗としている。なお、再認証回数カウンタの残数よりも少ない回数の再認証を許容してもよい。
【０１１０】
（変形例１「新旧入替管理」）
【０１１１】
第１の実施の形態では、取得された生体情報の範囲が異なるため（指先側と指の根元側など）、同じ指の指紋入力であったとしても異なる指と判定されることで、認証リトライが制限されやすくなる課題が解決される。
【０１１２】
さらに、図２に示される如く、格納領域制御部４０において、前記データ分類部４６が、前記照合特徴データと前記格納済照合特徴データとの間の照合判定時に、データ間の重複面積を算出してもよい。
【０１１３】
すなわち、前記照合特徴データと前記格納入力特徴データが同一と判定された場合に、前記重複面積を所定のしきい値と比較する。この比較において、前記しきい値を上回った場合には、格納日時が古い前記格納済照合特徴データを破棄して、新しい入力した照合特徴データを格納する。これにより、グループ４２の容量（データサイズ）を削減できる。
【０１１４】
（変形例２「日時管理」）
【０１１５】
図２に示される如く、前記格納領域制御部４０が、前記格納済照合特徴データが格納された日時を取得し、前記格納日時に対応した前記格納済照合特徴データと関連付けて管理するようにしてもよい。
【０１１６】
図８は、管理テーブルの一例である。管理テーブルでは、ＩＤ情報、照合特徴データ、格納日時、グループ４２等の情報を関連付けて管理する。
【０１１７】
現在の日時を基準に所定の期間内に格納日時が含まれない前記格納済入力特徴データの破棄を行う。図８の例では、データ１の格納日時が古いため、データ１を破棄することが考えられる。
【０１１８】
格納日時が所定期間内にある格納済入力特徴データのみが他人判定部の処理対象になるため、認証開始から認証終了までの１トランザクションだけでなく、所定期間内であれば複数トランザクションが処理対象になる。このため、他人と判定されて認証制限される前に認証を中断して再度認証開始を行うような攻撃パターンにも対応することができる。
【０１１９】
また、前記格納領域制御部４０が認証開始から認証終了までのトランザクションを監視し、認証終了時のステータスが認証成功であった場合を想定する。この場合には、トランザクション中またはトランザクション以前に格納された前記格納済入力特徴データを破棄する。また、認証中断であった場合にはトランザクション中に格納された前記格納済照合特徴データをトランザクション終了後も保持する。これに、格納日時に基づいた制御と同様の効果が期待できる。
【０１２０】
さらに、前記格納日時に基づいた制御と前記トランザクションに基づいた制御を合せて用いることで、より柔軟な制御が可能になる。
【０１２１】
（変形例３「ＩＤ情報の活用」）
【０１２２】
第１の実施の形態において、図２に示す格納領域制御部４０の処理では、ユーザ毎のＩＤ情報も利用可能であるが、あえてＩＤ情報ごとに制御を行っていない。そのため、複数のＩＤ情報の格納済照合特徴データが、単一のグループ４２に含まれることがある。
【０１２３】
すなわち、何れかのユーザのＩＤ情報で認証成功となることを狙って、悪意を持った他人がＩＤ情報を変更しながら認証試行を行う攻撃が考えられる。この場合、前記他人判定部５０が複数のＩＤ情報にまたがって前記格納済照合特徴データの数をカウントするため、当該悪意をもった攻撃を迅速に検知できる。
【０１２４】
また、各グループ４２に含まれる前記ＩＤ情報の数をカウントし、所定の上限しきい値を超えた場合に他人と判定してもよい。もしくは、格納日時を併せて適用し、同一の生体情報のグループであるが、ＩＤ情報が異なる格納済入力特徴データが連続して格納されている場合に他人と判定することで、同じ生体情報を用いて連続的にＩＤ情報を切り替えて攻撃するパターンを検出してもよい。前記格納領域制御４０における管理テーブルの例を図９に示す。
【０１２５】
一方、ＩＤ情報が書き込まれたＩＣカード、ＵＳＢトークンなどが利用される環境では、多数のＩＤ情報を切り替えての攻撃パターンは一般に困難と言える。このような環境では、前記格納領域制御部４０がＩＤ情報毎に分けてグループ４２を作成し、前記他人判定部５０がＩＤ情報ごとにグループ４２の数をカウントして他人であるか判定する。このような、管理テーブルの例を図１０に示す。ＩＤ情報ごとに制御することにより、直前の別のユーザによる認証失敗が影響して、グループ４２の数が増えることで認証リトライの制限が起こりやすくなるケースを回避することができる。
【０１２６】
さらに、前記格納制御部４０におけるデータ分類部４６は、ＩＤ情報が該当する格納済照合特徴データのみと判定処理を行うため、格納時の処理時間も短縮できる。
【０１２７】
以上の処理では、ＩＤ情報入力部を備えた１対１の認証を対象としているが、１対１の認証に限定されるものではなく、１対Ｎの認証にも適用可能であり、ＩＤ情報を用いずに行う処理に該当する。
【０１２８】
「第２の実施の形態」
【０１２９】
以下、第２の実施の形態を説明する。なお、第１の実施の形態と同一構成部分については、同一の符号を付し、その構成の説明を省略する場合がある。
【０１３０】
第２の実施の形態の特徴は、生体認証に関する処理を、図１１に示すように端末装置であるＰＣ１０とサーバー５２とが通信回線網１２を介して接続された環境で実施するものである。
【０１３１】
図１１には、本実施の形態に係る通信回線網１２を中心としたネットワークシステムが示されている。
【０１３２】
通信回線網１２には、本実施の形態に係る複数台（図３では、３台のデスクトップ型と１台のラップトップ型）のＰＣ（パーソナルコンピュータ）１０が接続されている。図３１では、４台のＰＣ１０が接続されているが、この数は限定されるものではなく、１台〜３台でもよいし、５台以上であってもよい。また、ＰＣ１０には、生体認証センサ１６が接続（又は内蔵）されている。
【０１３３】
また、通信回線網１２には、端末装置としてのＰＣ１０（各種モバイルデバイスを含む）との間で、無線通信デバイス１４を介して無線によって情報を送受信するシステムを構築してもよい。
【０１３４】
通信回線網１２には、生体認証管理制御装置５２（以下、単に「サーバー５２」という場合がある。）が接続されている。サーバー５２は、主として、通信回線網１２に接続されているＰＣ１０から生体認証情報（照合特徴データ）を受け付けて、予め特録された登録特徴データとの照合を行うと共に、認証の正否、並びに再認証の可否をＰＣ１０へ通知する役目を有している。
【０１３５】
生体認証センサ１６では、当該生体認証センサ１６が取り付けられたＰＣ１０からサーバー５２に対して、例えば、アプリケーションのダウンロードの要求をするとき、ダウンロードを許可されているユーザか否かを判定（認証の可否）するために用いられる。
【０１３６】
図１２に示される如く、ＰＣ１０は、生体認証センサ１６（外付け、内蔵問わず）、生体情報入力部２０、照合特徴データ抽出部２２、ＩＤ情報入力部２４、認証管理部５４を備えている。また、ＰＣ１０は、入力されたＩＤ情報と照合特徴データをサーバー５２へ送信したり、サーバー５２から生体認証による照合結果等を受信するための送受信部５６を備えている。認証管理部５４は、生体認証の結果に基づく、デバイスやソフトウェアの使用許諾等を管理する。
【０１３７】
また、サーバー５２は、照合処理部２６、データベース部２８、本人判定部３０、利用制限解除部３２、再認証制御部３４（再認証許容部３６、再認証制限部３８）、格納領域制御部４０、他人判定部５０を備えている。また、サーバー５２は、ＰＣ１０からＩＤ情報と照合特徴データを受信したり、生体認証による照合結果等をＰＣ１０へ送信するための送受信部５８を備えている。
【０１３８】
すなわち、送受信部５６、５８はＰＣ１０及びサーバー５２側のそれぞれに存在し、各送受信部５６、５８が前記通信回線網１２を経由してデータの送受信を行う。
【０１３９】
ＰＣ１０側の送受信部５６が、ユーザによる認証要求に基づいて、照合特徴データとＩＤ情報をサーバー５２に送信する。サーバー５２側の送受信部５８が、前記照合特徴データと前記ＩＤ情報を受信し、サーバー５２内で認証処理を実施する。また、サーバー５２は、照合処理の実施後に処理結果をＰＣ１０に送信することで、ＰＣ１０側の送受信部５６が、処理結果を受信する。
【０１４０】
格納領域制御部４０は、サーバー５２側の送受信部５８から認証要求を実施したＰＣ１０を特定する情報を取得し、前記ＰＣ１０を特定する情報毎に、グループ４２への格納や、新規にグループ４２の作成を行い、照合特徴データのグループ分類処理を行う。
【０１４１】
図１３は、サーバー５２における、ＰＣ１０を特定する情報毎に前記格納済入力特徴データを管理する管理テーブルの一例である。
【０１４２】
図１３に示される如く、他人判定部５０が、前記ＰＣ１０を特定する情報毎に前記格納領域制御部４０が管理しているグループ４２の数（グループ数）をカウントし、前記格納部数が前記上限を超えている場合には他人と判定する。
【０１４３】
複数のユーザが登録され、同時に複数の認証要求が行われるサーバー５２においても、前記ＰＣ１０を特定する情報毎に分けて処理することで他人検知の効果を得ることができる。
【０１４４】
上記第２の実施の形態における生体認証システムにおいて、認証制御部４０が、送受信部５６、５８を経由してＰＣ１０側で受信した他人判定結果に基づいて、前記ＰＣ１０における認証を制限することが前提である。しかし、ＰＣ１０単位もしくはＩＤ情報単位で認証制限を実施してもよい。
【０１４５】
また、前記他人判定部５０により他人と判定された場合、そのＰＣ１０を特定する情報に付加されたＩＤ情報のユーザが攻撃されたと判断できる。この場合、サーバー５２側の再認証制御部３４において、前記ＩＤ情報のユーザによる認証を制限する。例えば、データベース部２８のユーザの登録情報を管理するテーブルにおいて、認証制限情報の欄を追加し、認証制限時には有効と設定する。異なるＰＣ１０から、認証制限された前記ユーザのＩＤ情報で認証要求された場合には、データベース部２８から登録特徴データの取得時に合せて前記認証制限情報が有効であることを確認し、照合処理を行わずに認証制限されていることをＰＣ１０側に通知する。
【０１４６】
さらに、前記他人判定部５０が他人と判定した際に利用した前記格納済の照合特徴データを前記格納領域制御部４０が保持し続けるようにしてもよい（ブラックリストに相当）。それ以降の照合処理で本人と認められず認証失敗した場合に前記照合特徴データを他人と判定された前記格納済の照合特徴データと比較して、同一であると判定された場合には、他人判定部５０が、悪意を持った他人による攻撃と判断する。その結果、悪意を持った他人が異なるＰＣ１０から再度認証要求した際に直ちに認証制限することが可能となる。
【０１４７】
また、上記では、生体認証プログラムがＰＣ１０のＲＯＭ１０Ｃに予め記憶されている態様を説明したが、生体認証プログラムは、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等の記録媒体に記録されている形態で提供することも可能である。
【０１４８】
本明細書に記載された全ての文献、特許出願及び技術規格は、個々の文献、特許出願及び技術期間が参照により取り込まれることが具体的かつ個々に記された場合と同程度に、本明細書中に参照により取り込まれる。
【符号の説明】
【０１４９】
１０    ＰＣ
１１    生体認証装置
１０Ａ    ＣＰＵ
１０Ｂ    ＲＡＭ
１０Ｃ  ＲＯＭ
１０Ｄ    Ｉ／Ｏ
１０Ｅ    バス
１０Ｆ    入力装置
１０Ｇ    モニタ部
１０Ｈ    Ｉ／Ｆ
１０Ｉ    通信Ｉ／Ｆ
１６    生体認証センサ
２０    生体情報入力部
２２    照合特徴データ抽出部
２４    ＩＤ情報入力部
２６    照合処理部
２８    データベース部
３０    本人判定部
３２    利用制限解除部
３４    再認証制御部
３６    再認証許容部
３８    利用制限解除部
４０    格納領域制御部
４２    グループ
４４    格納部
４６    データ分類部
４８    格納部構築部
５０    他人判定部
【図１】
0005861529.tif 000002
【図２】
0005861529.tif 000003
【図４】
0005861529.tif 000004
【図５】
0005861529.tif 000005
【図６】
0005861529.tif 000006
【図７】
0005861529.tif 000007
【図８】
0005861529.tif 000008
【図９】
0005861529.tif 000009
【図１２】
0005861529.tif 000010
【図３】
0005861529.tif 000011
【図１０】
0005861529.tif 000012
【図１１】
0005861529.tif 000013
【図１３】
0005861529.tif 000014