(57)【要約】【課題】  ＷＡＰとＬＡＰの両方を一定値以下に低下させることで、安全性の高い生体認証を実現する。【解決手段】  生体情報入力センサによってユーザから生体情報を取得し、テンプレート生成部によって前記生体情報からテンプレートを生成し、認証サンプル生成部によって前記生体情報から認証サンプルを生成し、照合部によって前記認証サンプルと前記テンプレートを照合し、認証サンプル他人分布推定部によって前記認証サンプルと他人の前記テンプレートとのスコアが従う認証サンプル他人分布を推定し、テンプレート他人分布推定部によって前記テンプレートと他人の前記認証サンプルとのスコアが従うテンプレート他人分布を推定し、ユーザ判定部によって前記認証サンプル他人分布と前記テンプレート他人分布のうち、他人受入がより起きにくい方を用いてユーザの判定を行う。【選択図】  図１
2013122679.tif 000002
【特許請求の範囲】
【請求項１】
ユーザから生体情報を取得する生体情報入力センサと、
前記生体情報からテンプレートを生成するテンプレート生成部と、
前記生体情報から認証サンプルを生成する認証サンプル生成部と、
前記認証サンプルと前記テンプレートを照合する照合部と、
前記認証サンプルと他人の前記テンプレートとのスコアが従う認証サンプル他人分布を推定する認証サンプル他人分布推定部と、
前記テンプレートと他人の前記認証サンプルとのスコアが従うテンプレート他人分布を推定するテンプレート他人分布推定部と、
前記認証サンプル他人分布と前記テンプレート他人分布を比較して、他人受入がより起きにくい方を用いてユーザの判定を行うユーザ判定部を有することを特徴とする生体認証システム。
【請求項２】
前記ユーザ判定部は、前記認証サンプル他人分布を用いて求めた対数尤度比と前記テンプレート他人分布を用いて求めた対数尤度比のうち、小さい方を予め定められた第1および第2の閾値であって、当該第2の閾値が前記第1の閾値より低い閾値と比較し、前記第1の閾値よりも大きければ本人と判定し、前記第2の閾値よりも小さければ他人と判定し、どちらでもなければ判定不能として前記生体情報の再入力を要求することを特徴とする請求項１に記載の生体認証システム。
【請求項３】
登録の際に前記テンプレートの品質を判定するテンプレート品質判定部と、
前記テンプレートの品質が予め定められた品質より低いことを示す低品質であれば、当該テンプレートの再登録を要求する再登録要求部を更に有することを特徴とする請求項１または２のいずれかに記載の生体認証システム。
【請求項４】
前記テンプレート品質判定部は、本人同士のスコアが従う本人分布と複数の前記テンプレート他人分布それぞれとのＫＬ距離および前記それぞれのＫＬ距離の和のうち少なくとも一方を、予め定められた閾値と比較することで前記テンプレートの品質を判定することを特徴とする請求項３に記載の生体認証システム。
【請求項５】
前記本人分布は前記ユーザ毎に異なるユーザ固有の情報を用いることを特徴とする請求項４に記載の生体認証システム。
【請求項６】
前記テンプレート品質判定部は、ＦＲＲが一定値以下となるか否かにより前記テンプレートの品質を判定することを特徴とする請求項３に記載の生体認証システム。
【請求項７】
前記生体情報入力センサは、本人同士のスコアが従う本人分布と前記テンプレート他人分布とのＫＬ距離の大きい生体情報から入力することを要求することを特徴とする請求項２ないし６のいずれかに記載の生体認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、人が持つ生体的特徴を用いて個人を認証する生体認証方法およびシステムに関する。
【背景技術】
【０００２】
生体認証はパスワードやＩＣカードなどに基づく認証と比べて偽造が困難であり、忘れることもないといった利点を持つ認証手段として知られている。生体認証では、登録時にユーザ（以後、登録ユーザと呼ぶ）から生体情報を取得し、そこから特徴量と呼ばれる情報を生成して登録する。この登録用の特徴量をテンプレートという。認証時には、ユーザ（以後、認証ユーザと呼ぶ）から取得した生体情報から生成した特徴量（以後、認証サンプルと呼ぶ）とテンプレートを照合し、スコア（類似度或いは距離）を求めることで認証を行なう。
【０００３】
生体認証における特徴量は、本人拒否も他人受入も少ない特徴量、本人拒否を引き起こしやすい特徴量、数多くのテンプレートに対して他人受入を引き起こす認証サンプル、数多くの認証サンプルに対して他人受入を引き起こすテンプレートの４種類に分類できる。これらをそれぞれ、Ｓｈｅｅｐ、Ｇｏａｔ、Ｗｏｌｆ、Ｌａｍｂと呼ぶ。Ｇｏａｔは利便性を低下させる要因であり、ＷｏｌｆとＬａｍｂは安全性を低下させる要因である。
【０００４】
生体認証における認証誤り率には、ＦＲＲ（Ｆａｌｓｅ  Ｒｅｊｅｃｔ  Ｒａｔｅ）とＦＡＲ（Ｆａｌｓｅ  Ａｃｃｅｐｔ  Ｒａｔｅ）の２つがある。ＦＲＲは誤って本人を他人と判定する誤り率であり、ＦＡＲは誤って他人を本人と判定する誤り率である。ＦＡＲは、全ての認証サンプルの集合をＶ、全てのテンプレートの集合をＥとすると、
【０００５】
【数１】
2013122679.tif 000003
【０００６】
と表せる。ここで、Ｐ（ｍａｔｃｈ（ｖ，ｅ）＝ａｃｃｅｐｔ）は認証サンプルｖ∈Ｖとテンプレートｅ∈Ｅを照合することで得られた認証結果がａｃｃｅｐｔである確率を表し、
【０００７】
【数２】
2013122679.tif 000004
【０００８】
はｖ∈Ｖに関してＸの平均値をとったものである。また、ｅ≠ｖはテンプレートｅと認証サンプルｖがそれぞれ別々のユーザから提示されたことを表すものとする。即ち、ＦＡＲは全認証サンプルおよび全テンプレートに対して他人受入が発生する確率値の平均値をとったものである。
【０００９】
また、生体認証におけるＷｏｌｆとＬａｍｂに対する安全性の評価指標として、それぞれ以下に示すようなＷＡＰ（Ｗｏｌｆ  Ａｔｔａｃｋ Ｐｒｏｂａｂｉｌｉｔｙ）とＬＡＰ（Ｌａｍｂ  Ａｃｃｅｐｔ  Ｐｒｏｂａｂｉｌｉｔｙ）を定義できる。ＷＡＰは
【００１０】
【数３】
2013122679.tif 000005
【００１１】
と表される評価指標である。ここで、
【００１２】
【数４】
2013122679.tif 000006
【００１３】
はｖ∈Ｖに関してＸの最大値をとったものである。即ち、ＷＡＰは最も他人受入を引き起こしやすい認証サンプルを持つ認証ユーザがなりすましを試みたときに、それが成功する確率値である。ＬＡＰは
【００１４】
【数５】
2013122679.tif 000007
【００１５】
と表される評価指標。即ち、ＬＡＰは最も他人受入を引き起こしやすいテンプレートがなりすまし攻撃を受けたときに、それが成功となる確率値である。
【００１６】
Ｗｏｌｆ或いはＬａｍｂに対する対策技術が提案されている。例えば、非特許文献１では認証サンプルｖが提示された後、全てのテンプレートの集合Ｅから任意のテンプレートｘを選択した場合に、認証サンプルｖとテンプレートｅの類似度以上の類似度が得られる確率（偶然一致確率）ＡＣＰ（ｖ，ｅ）を計算し、これが閾値よりも小さければ本人、閾値以上であれば他人と判定する偶然一致確率法を提案している。
【先行技術文献】
【非特許文献】
【００１７】
【非特許文献１】門田啓，“偶然一致確率によるウルフ攻撃に安全な生体認証”，２０１０年暗号と情報セキュリティシンポジウム(ＳＣＩＳ２０１０)
【発明の概要】
【発明が解決しようとする課題】
【００１８】
非特許文献１の偶然一致確率法は、Ｗｏｌｆに対する安全性を高める効果を得ることができる。具体的には、非特許文献１は、偶然一致確率法によってＷＡＰを一定値以下に抑えることができることを示している。しかしながら、偶然一致確率法ではＬａｍｂに対する安全性を高めることはできない。
【００１９】
また、非特許文献１は偶然一致確率法において、認証サンプルの集合Ｖとテンプレートの集合Ｅを交換することで、ＬＡＰを一定値以下に抑えることができると述べている。しかしながら、この場合はＷｏｌｆとＬａｍｂの関係が逆転するため、Ｗｏｌｆに対する安全性を高めることができない。
従って、非特許文献１では、ＷＡＰとＬＡＰの両方を一定値以下などに抑えることができないという問題があった。
【課題を解決するための手段】
【００２０】
上記課題を解決するために、本発明では、以下の構成を採る。生体情報の登録の際には、本人分布とテンプレートの他人分布とのカルバック・ライブラ（Kullback-Leibler）距離を求め、これを閾値と比較する。閾値以上であればLambと判定し、別のテンプレートを登録させる。また、認証の際には、認証サンプルの他人分布とテンプレートの他人分布のそれぞれを用いて2つの対数尤度比を求め、そのうち小さい方を閾値と比較し、この比較結果により認証を行う。認証としては、閾値を超えたら認証「可」とし、そうでなければ別の認証サンプルを入力させる出力をするなど認証を「不可」とする。
【００２１】
より具体的な一態様としては、以下の構成を有する生体認証システムを採用する。ユーザから生体情報を取得する生体情報入力センサと、前記生体情報からテンプレートを生成するテンプレート生成部と、前記生体情報から認証サンプルを生成する認証サンプル生成部と、前記認証サンプルと前記テンプレートを照合する照合部と、前記認証サンプルと他人の前記テンプレートとのスコアが従う認証サンプル他人分布を推定する認証サンプル他人分布推定部と、前記テンプレートと他人の前記認証サンプルとのスコアが従うテンプレート他人分布を推定するテンプレート他人分布推定部と、前記認証サンプル他人分布と前記テンプレート他人分布のうち、他人受入がより起きにくい方を用いてユーザの判定を行うユーザ判定部を設けている。なお、本発明には、これを実施する方法、このシステムを構成する装置、方法も含まれる。
【発明の効果】
【００２２】
本発明によれば、認証サンプル他人分布とテンプレート他人分布のうち、他人受入がより起きにくい方を用いてユーザの判定を行う。このようにすることで、ＷＡＰとＬＡＰを一定値以下など所定条件に抑えることが可能となる。その結果、期待通りのＷｏｌｆとＬａｍｂに対する高い安全性が実現できるという効果が得られる。
【図面の簡単な説明】
【００２３】
【図１】本発明の第一の実施形態の機能構成を示すブロック図である。
【図２】本発明の第一の実施形態のハードウェア構成を示すブロック図である。
【図３】本発明の第一の実施形態の登録処理を示すフロー図である。
【図４】本発明の第一の実施形態の認証処理を示すフロー図である。
【図５】本発明の第一の実施形態の認証概念図である。
【図６】本発明の第一の実施形態の登録概念図である。
【発明を実施するための形態】
【００２４】
以下、図面を参照して、本発明の一実施形態について説明する。生体情報の種類は、指紋、顔、虹彩、静脈など何でも良い。また、認証サンプルとテンプレートは同一であっても良いし、異なっていても良い。
【００２５】
図１に本実施形態の生体認証システムの構成例を示す。このシステムは、ユーザから取得したテンプレートを含む登録情報をサーバ端末へ送信する登録端末１００と、認証の際にクライアント端末から送られてきた認証サンプルとテンプレートとの照合を行ってユーザの判定を行う認証サーバ２００と、ユーザから取得した認証サンプルをサーバ端末２００に送信するクライアント端末３００と、ネットワーク４００から構成される。
【００２６】
登録端末１００とサーバ端末２００とクライアント端末３００は、それぞれ１台でも良いし、複数台存在しても良い。また、登録端末１００はサーバ端末２００と同一の端末であっても良いし、クライアント端末３００と同一の端末であっても良い。また、サーバ端末２００はクライアント端末３００と同一の端末であっても良い。また、登録端末１００のデータベース１０９をサーバ端末２００が保持し、登録時のダミー認証サンプル１１０との照合、テンプレート他人分布の推定、ＫＬ距離算出、テンプレート品質判定（ステップＳ１０４からＳ１０７まで）をサーバ端末２００側で行うようにしても良い。ネットワーク４００は、ＷＡＮやＬＡＮなどのネットワーク、ＵＳＢやＩＥＥＥ１３９４などを用いた機器間の通信、或いは携帯電話網や近距離無線通信などの無線通信を用いても良い。例えば、登録端末１００は企業内のＰＣ、サーバ端末２００は企業が運用するデータセンタ内の１台のサーバ、クライアント端末３００は各従業員のＰＣ、ネットワーク４００はイントラネットとする構成が考えられる。
【００２７】
登録端末１００は、生体情報を取得する生体情報入力センサ１０１と、生体情報からテンプレートを生成するテンプレート生成部１０２と、認証サンプルとテンプレートを照合する照合部１０３と、他人の認証サンプルとテンプレートとのスコアが従う分布（以後、テンプレート他人分布）を推定するテンプレート他人分布推定部１０４と、本人同士のスコアが従う分布（以後、本人分布）とテンプレート他人分布とのカルバック・ライブラ距離（以後、ＫＬ距離）を推定するＫＬ距離算出部１０５と、テンプレートがＳｈｅｅｐか否かを判定するテンプレート品質判定部１０６と、テンプレートがＳｈｅｅｐでない場合に再登録を要求する再登録要求部１０７と、通信Ｉ／Ｆ１０８と、データベース１０９から構成される。
【００２８】
データベース１０９は、Ｍ１個のダミー認証サンプル１１０と、本人分布１２０を保持する。ダミー認証サンプル１１０としては、例えば登録時にテンプレートに加えて認証サンプルも生成するようにした上で、その認証サンプルを用いるようにしても良いし、あらかじめシステムが用意しておいた認証サンプルを用いても良い。また、認証サンプルとテンプレートが同一の場合は、ダミーテンプレート２４０と同じものを用いても良い。本人分布１２０は、例えばあらかじめシステムが用意しておいた認証サンプルとテンプレートを基に、本人同士のスコアを複数求め、これらを用いて求める方法がある。
【００２９】
サーバ端末２００は、認証サンプルとテンプレートを照合する照合部２０１と、認証サンプルと他人のテンプレートとのスコアが従う分布（以後、認証サンプル他人分布）を推定する認証サンプル他人分布推定部２０２と、認証サンプル他人分布を用いて対数尤度比を求める認証サンプル対数尤度比算出部２０３と、テンプレート他人分布を用いて対数尤度比を求めるテンプレート対数尤度比算出部２０４と、認証ユーザが本人か否かを判定するユーザ判定部２０５と、通信Ｉ／Ｆ２０９と、データベース２１０から構成される。
【００３０】
データベース２１０は、各登録ユーザの登録情報２２０と、Ｍ２個のダミーテンプレート２４０と、本人分布２５０を保持する。登録情報２２０は、ユーザＩＤ２２１と、テンプレート２２２と、テンプレート他人分布２２３と、ＫＬ距離２２４から構成される。ダミーテンプレート２４０としては、例えば既に登録されているテンプレート２２２を用いても良いし、登録されているテンプレート２２２とは別にあらかじめシステムが用意しておいたテンプレートを用いても良い。
【００３１】
クライアント端末３００は、生体情報を取得する生体情報入力センサ３０１と、生体情報から認証サンプルを生成する認証サンプル生成部３０２と、通信Ｉ／Ｆ３０３から構成される。
【００３２】
図２に、本実施形態における登録端末１００、サーバ端末２００、クライアント端末３００のハードウェア構成を示す。これらの端末は、図のようにＣＰＵ５００と、メモリ５０１と、ＨＤＤ５０２と、入力装置５０３と、出力装置５０４と、通信装置５０５とから構成することができる。以下に示す各装置の演算は、ＨＤＤ５０２に格納あれたプログラムに従って、ＣＰＵ５００が実行する。言い換えると、図１の各部の演算がこのように実施される。
【００３３】
図３に、本実施形態における登録の処理手順およびデータの流れを示す。
登録端末１００は、ユーザからユーザＩＤを取得する（ステップＳ１０１）。例えば、キーボードのような入力装置からの入力を受付けたり、ＩＣカード等の記録媒体から読み取ることで実行が可能である。
登録端末１００は、ユーザから生体情報を取得する（ステップＳ１０２）。本ステップの実行が２回目以降の場合、前回とは異なる種類の生体情報（或いは異なる指の指紋や静脈）を取得するようにしても良いし、同一種類の生体情報（或いは同一指の指紋や静脈）を取得するようにしても良い。
【００３４】
登録端末１００は、取得した生体情報からテンプレートを生成する（ステップＳ１０３）。これは、特徴量を抽出して行うなど公知の技術でも対応可能である。
【００３５】
登録端末１００は、データベース１０９から取得したＭ１個のダミー認証サンプルとテンプレートを照合し、Ｍ１個のスコアを求める（ステップＳ１０４）。
登録端末１００は、Ｍ１個のスコアを用いてテンプレート他人分布ｇｔ（  ）を推定する（ステップＳ１０５）。具体的には、正規分布やベータ二項分布などのモデルを仮定した上で最尤推定やＭＡＰ推定などによってｇｔ（  ）を推定する。或いは、テンプレート他人分布ｇｔ（  ）の代わりに、後述の本人分布ｆ（  ）とｇｔ（  ）との比に対して対数をとったテンプレート対数尤度比ｌｏｇｆ（  ）／ｇｔ（  ）をロジスティック回帰によって推定しても良い。
登録端末１００は、データベース１０９から取得した本人分布１２０ｆ（  ）とテンプレート他人分布ｇｔ（  ）とのＫＬ距離を求める（ステップＳ１０６）。本人分布ｆ（  ）とテンプレート他人分布ｇｔ（  ）とのＫＬ距離Ｄ（ｆ||ｇｔ）は、(数６)で表すことができる。
【００３６】
【数６】
2013122679.tif 000008
【００３７】
これは、本人分布としてヒストグラムを用いて計算しても良いし、或いは下記の参考文献１に記載の方法を用いて推定しても良い。
（参考文献１）Q. Wang, S. Kulkarni, and S. Verdu, “Divergence estimation for multidimensional densities via k-nearest-neighbor distances,” IEEE International Symposium on Information Theory (ISIT2009), vol.55, 2009.
登録端末１００は、求めたＫＬ距離を閾値Ｔと比較することでテンプレートの品質を判定する（ステップＳ１０７）。具体的には、ＫＬ距離が閾値Ｔ以上であれば高品質なテンプレート（Ｓｈｅｅｐ）と判定し、閾値Ｔ未満であれば低品質なテンプレート（Ｇｏａｔ或いはＬａｍｂ）と判定する。
【００３８】
登録端末１００は、Ｓｈｅｅｐと判定した場合はステップＳ１１０に、そうでない場合はステップＳ１０９に進む（ステップＳ１０８）。
登録端末１００は、ステップＳ１０９に進んだ場合、ステップＳ１０２に戻る（ステップＳ１０９）。
【００３９】
登録端末１００は、ユーザＩＤ、テンプレート、テンプレート他人分布、ＫＬ距離から構成される登録情報をサーバ端末２００に送信する（ステップＳ１１０）。
これを受け、サーバ端末２００は、登録情報を受信し、これをデータベース２１０に保存する（ステップＳ１１１）。
【００４０】
次に、図４を用いて、本実施形態における認証の処理手順およびデータの流れを説明する。
【００４１】
クライアント端末１００は、認証を要求するユーザからユーザＩＤを取得する（ステップＳ２０１）。また、クライアント端末１００は、ユーザから生体情報を取得する（ステップＳ２０２）。
【００４２】
クライアント端末１００は、取得した生体情報から認証サンプルを生成する（ステップＳ２０３）。
クライアント端末１００は、取得したユーザＩＤと生成した認証サンプルをサーバ端末２００に送信する（ステップＳ２０４）。
【００４３】
サーバ端末２００は、送信されたユーザＩＤと認証サンプルを受信し、受信した認証サンプルと受信したユーザＩＤに対応するデータベース２１０から取得したＭ２個のダミーテンプレートを照合し、Ｍ２個のスコアを求める（ステップＳ２０５）。
【００４４】
サーバ端末２００は、求められたＭ２個のスコアを用いて認証サンプル他人分布ｇｑ（  ）を推定する（ステップＳ２０６）。推定方法は、テンプレート他人分布ｇｔ（  ）の推定方法と同じである。
【００４５】
サーバ端末２００は、受信した認証サンプルと受信したユーザＩＤに紐付いたテンプレート２２２を照合し、スコアｓを求める（ステップＳ２０７）。
【００４６】
サーバ端末２００は、ステップＳ２０７で求めたスコアｓＪ０と、本人分布２５０ｆ（  ）と、認証サンプル他人分布ｇｑ（  ）を用いて認証サンプル対数尤度比ｌｏｇｆ（ｓＪ０）／ｇｑ（ｓＪ０）を求める（ステップＳ２０８）。ステップＳ２０６において、ロジスティック回帰を用いて認証サンプル対数尤度比ｌｏｇｆ（  ）／ｇｑ（  ）を推定した場合は、本人分布２５０ｆ（  ）は不要である。
【００４７】
サーバ端末２００は、ステップＳ２０７で求めたスコアｓＪ０と、本人分布２５０ｆ（  ）と、受信したユーザＩＤに紐付いたテンプレート他人分布２２３ｇｔ（  ）を用いてテンプレート対数尤度比ｌｏｇｆ（ｓＪ０）／ｇｔ（ｓＪ０）を求める（ステップＳ２０９）。
【００４８】
サーバ端末２００は、認証サンプル対数尤度比ｌｏｇｆ（ｓＪ０）／ｇｑ（ｓＪ０）とテンプレート対数尤度比ｌｏｇｆ（ｓＪ０）／ｇｔ（ｓＪ０）を用いて認証ユーザが本人か否かの判定を行う。（ステップＳ２１０）。具体的には、ｌｏｇｆ（ｓＪ０）／ｇｑ（ｓＪ０）とｌｏｇｆ（ｓＪ０）／ｇｔ（ｓＪ０）の小さい方をＬｍｉｎ（Ｊ）に加える。ここで、Ｌｍｉｎ（Ｊ）は生体情報をＪ回入力後の対数尤度比の和である（Ｌｍｉｎ（０）＝０）。即ち、（数７）で示される。
Ｌｍｉｎ（Ｊ）＝Ｌｍｉｎ（Ｊ−１）＋ｍｉｎ（ｌｏｇｆ（ｓＪ０）／ｇｑ（ｓＪ０），ｌｏｇｆ（ｓＪ０）／ｇｔ（ｓＪ０））…（数７）
その後、Ｌｍｉｎ（Ｊ）を閾値Ａと閾値Ｂ（Ａ＞Ｂ）の２つの閾値と比較し、閾値Ａよりも大きければ「本人」、閾値Ｂよりも小さければ「他人」、どちらでもなければ「判定不能」と判定する。
【００４９】
サーバ端末２００は、クライアント端末３００にユーザ判定結果（本人／他人／判定不能）をクライアント端末１００に送信する（ステップＳ２１１）。
クライアント端末１００は、ユーザ判定結果が本人の場合は「認証成功」とし、他人の場合は「認証失敗」とし、判定不能の場合はステップＳ２１３に進む（ステップＳ２１２）。
【００５０】
クライアント端末１００は、認証ユーザによる生体情報の入力回数ＪがＪｍａｘに到達していたら認証失敗とし、そうでなければステップＳ２１４に進む（ステップＳ２１３）。クライアント端末１００は、ステップＳ２１４に進むと、ステップＳ２０２に進む（ステップＳ２１４）。
【００５１】
図５に本実施形態の認証概念図を示す。ここでは、認証成功になるケースと認証失敗になるケースと２通りの場合におけるＬｍｉｎ（Ｊ）の遷移を示している。
このように本実施形態では、対数尤度比の和をユーザの判定基準としている。下記の参考文献２に記載されているように、このとき、本人分布や他人分布が適切に推定されていれば、ＦＡＲとＡとの間には、（数８）に示す関係式が成立する。
ＦＡＲ≦１／ｅＡ…（数８) 
（参考文献２）K. Takahashi, M. Mimura, Y. Isobe, and Y. Seto, “A Secure and User-Friendly Multi-Modal Biometric System,” Proc. SPIE, vol. 5404, pp.12-19, 2004.
従って、他人分布として認証サンプル他人分布ｇｑ（）を用いれば、どのような認証サンプルが入力されたとしても、ＦＡＲを１／ｅＡ以下に抑えることができる。これは、最も他人受入を引き起こしやすい認証サンプルが入力された場合にも成り立つので、ＷＡＰは１／ｅＡ以下に抑えられる。また、他人分布としてテンプレート他人分布ｇｔ（）を用いれば、どのようなテンプレートが登録されたとしても、ＦＡＲを１／ｅＡ以下に抑えることができる。これは、最も他人受入を引き起こしやすいテンプレートが登録された場合にも成り立つので、ＬＡＰは１／ｅＡ以下に抑えられる。本実施形態では、認証サンプル他人分布ｇｑ（）とテンプレート他人分布ｇｔ（）のそれぞれを用いて求めた対数尤度比のうち、小さい方（即ち、他人受入がより起きにくい方）を採用する。このように他人受入がより起きにくい方を用いてユーザの判定を行うことで、ＷＡＰとＬＡＰを共に一定値（１／ｅＡ）以下に抑えることが可能となる。その結果、期待通りのＷｏｌｆとＬａｍｂに対する高い安全性が実現できる、という効果が得られる。
【００５２】
図６に本実施形態の登録概念図を示す。ここでは、高品質なテンプレート（Ｓｈｅｅｐ）と判定されるケースと低品質なテンプレート（Ｌａｍｂ或いはＧｏａｔ）と判定されるケースと２通りの場合を示している。
【００５３】
このように本実施形態では、ＫＬ距離をテンプレート品質の判定基準としている。本実施形態の認証処理では、認証サンプル他人分布とテンプレート他人分布を用いることで、ＷｏｌｆとＬａｍｂに対する高い安全性を実現できる。しかしながら、このままではＬａｍｂに対してはどのような認証サンプルが入力されても認証に成功しづらいということになるため、Ｌａｍｂを登録したユーザ本人も認証に成功しづらくなる。即ち、ＬａｍｂがＧｏａｔになるという問題が生じる。この問題に対して、本実施形態では登録時にテンプレート他人分布を推定してあらかじめＬａｍｂを検出し、再登録させることで対策をとることができる。具体的には、参考文献３に記載されているように、本人が認証時に必要な生体情報の入力回数Ｊ’の期待値Ｅ（Ｊ’）と閾値Ａとの間には、閾値Ｂ＝−∞と設定したとき（対数尤度比が閾値Ｂを下回ることがないように設定したとき）に、
（数９）の関係がある。
Ｅ（Ｊ’）≒Ａ／Ｅ（ｌｏｇｆ（ｓ）／ｇｔ（ｓ））
＝Ａ／Ｄ（ｆ||ｇｔ）…（数９）
（参考文献３）A. Wald, “Sequential Analysis,” John Wiley and Sons, New York, 1947.
ここで、Ｄ（ｆ||ｇｔ）≧Ｔであるから、（数９）は、（数１０）になる。
Ｅ（Ｊ’）≦Ａ／Ｔ…(数１０)
即ち、本実施形態で登録できたテンプレートに対しては、本人の平均入力回数がＡ／Ｔで抑えられる。従って、ＬａｍｂがＧｏａｔになるという問題を防ぐことができる。その結果、利便性が向上する、という効果が得られる。
【００５４】
また、本実施形態において、登録時にユーザに複数の生体情報を入力させ、それらに対して求めたＫＬ距離の和が閾値を上回れば、これらは高品質のテンプレートと判定し、下回ればこれらは低品質のテンプレートと判定するようにしても良い。
【００５５】
また、本実施形態において、登録時にユーザに同一の生体情報を何回か入力させて、それを基にそのユーザ固有の本人分布ｆｕを推定し、ｆｕとテンプレート他人分布ｇｔとのＫＬ距離Ｄ（ｆｕ||gｔ）を閾値Ｔと比較するようにしても良い。テンプレートがＧｏａｔであった場合も、Ｌａｍｂであった場合と同様に本人分布と他人分布の距離が小さくなるため、低品質テンプレートと判定されるようになる。このように登録時にＧｏａｔを検出し、再登録させることでＧｏａｔの登録を防ぐことができる。その結果、利便性が向上する、という効果が得られる。  
【００５６】
また、本実施形態において、図６に示すように本人分布においてスコア（ここでは類似度）がｓｔｈ以上となる確率がδとなるようなスコアｓｔｈを登録前に求めておき、登録時に対数尤度比ｌｏｇｆ（ｓｔｈ）／ｇｔ（ｓｔｈ）がＡ以上であれば高品質のテンプレートと判定し、下回れば低品質のテンプレートと判定するようにしても良い。対数尤度比ｌｏｇｆ（ｓｔｈ）／ｇｔ（ｓｔｈ）がＡ未満となる確率は、ユーザが生体情報を一回のみ入力したとき（即ち、Ｊｍａｘ＝１のとき）のＦＲＲであるため、このようにすることでＪｍａｘ＝１のときのＦＲＲをδに抑えることができるようになる。従って、ＬａｍｂがＧｏａｔになるという問題を防ぐことができる。その結果、利便性が向上する、という効果が得られる。
【００５７】
Ｊｍａｘが２以上の場合においても、同様に数値計算によってＦＲＲを求め、それがδとなるようにテンプレートの品質に対する閾値を設定しても良い。
【００５８】
また、本実施形態において、認証時にＫＬ距離の大きい順に生体情報を入力させるようにしても良い。このように、対数尤度比の期待値の大きい順に入力させることで、なるべく少ない入力回数で本人による認証を終わらせることが可能となる。その結果、利便性が向上する、という効果が得られる。
【００５９】
本実施形態では、生体情報に基づいてユーザ認証を行なう任意のアプリケーションに対して適用可能である。例えば社内ネットワークにおける情報アクセス制御、インターネットバンキングシステムやＡＴＭにおける本人確認、会員向けＷｅｂサイトへのログイン、保護エリアへの入場時の個人認証、パソコンのログインなどへの適用が可能である。
【符号の説明】
【００６０】
１００  登録端末
１０１  生体情報入力センサ
１０２  テンプレート生成部
１０３  照合部
１０４  テンプレート他人分布推定部
１０５  ＫＬ距離算出部
１０６  テンプレート品質判定部
１０７  再登録要求部
１０８  通信Ｉ／Ｆ
１０９  データベース
１１０  ダミー認証サンプル
１２０  本人分布
２００  サーバ端末
２０１  照合部
２０２  認証サンプル他人分布推定部
２０３  認証サンプル対数尤度比推定部
２０４  テンプレート対数尤度比推定部
２０５  ユーザ判定部
２０９  通信Ｉ／Ｆ
２１０  データベース
２２０  登録情報
２２１  ユーザＩＤ
２２２  テンプレート
２２３  テンプレート他人分布
２２４  ＫＬ距離
２４０  ダミーテンプレート
２５０  本人分布
【図１】
2013122679.tif 000009
【図２】
2013122679.tif 000010
【図３】
2013122679.tif 000011
【図４】
2013122679.tif 000012
【図５】
2013122679.tif 000013
【図６】
2013122679.tif 000014