(57)【要約】  本発明は、認証用データの保護と応答性能の確保の両立を目的とする。認証候補抽出装置は、第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報を入力する生体情報入力部と、前記被認証体の認証処理用の特徴情報を記憶する特徴情報記憶部と、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、前記認証処理用の特徴情報の候補を選択する候補選択部と、前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記抽出した特徴情報の候補を送信する特徴情報送信部と、を備える。
2020084748.tif 000002
【特許請求の範囲】
【請求項１】
第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報を入力する生体情報入力部と、
前記被認証体の認証処理用の特徴情報を記憶する特徴情報記憶部と、
前記第１の地点において取得された生体情報から抽出した特徴情報を用いて、所定の秘密計算方式により、前記認証処理用の特徴情報の候補を選択する候補選択部と、
前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する特徴情報送信部と、
を備える認証候補抽出装置。
【請求項２】
前記生体情報は、前記第１、前記第２の地点にそれぞれ設置されたカメラにて撮影された顔画像である請求項１の認証候補抽出装置。
【請求項３】
前記第２の地点は、駅の改札の手前の地点であり、前記認証装置は、前記駅の改札のゲートを制御する請求項１又は２の認証候補抽出装置。
【請求項４】
前記候補選択部は、前記認証装置における認証処理が所定の時間内に完了するように、前記認証処理用の特徴情報の候補の数を設定する請求項１から３いずれか一の認証候補抽出装置。
【請求項５】
前記特徴情報送信部は、前記認証処理用の特徴情報の候補として、前記第１の地点において取得された生体情報から抽出した特徴情報を送信する請求項１から４いずれか一の認証候補抽出装置。
【請求項６】
前記第１の地点において取得された生体情報から抽出した特徴を、秘密分散したシェア情報に変換してから、所定の秘密分散サーバに対し送信し、
前記所定の秘密分散サーバから受信した情報に基づいて、前記認証処理用の候補となるある特徴情報を復元し、前記認証処理用の特徴情報の候補として、前記復元した特徴情報を送信する、
請求項１から５いずれか一の認証候補抽出装置。
【請求項７】
さらに、
前記被認証体が前記第１の地点から第２の地点へ到達する予測時間に基づいて、前記認証装置における認証処理に間に合う範囲で所定の要求精度を満たす候補を抽出できるよう、前記認証処理用の候補選択処理の性能を調整する処理性能調整部を備える請求項１から６いずれか一の認証候補抽出装置。
【請求項８】
前記処理性能調整部は、少なくとも前記第１の地点と前記第２の地点との間の距離、及び、前記第１の地点と前記第２の地点との間の混雑度の少なくとも一方に基づいて、前記予測時間を計算する請求項７の認証候補抽出装置。
【請求項９】
前記第１の地点において取得された生体情報は、前記被認証体を撮影した顔画像であり、
前記処理性能調整部は、前記画像の品質に応じて、前記候補選択処理の性能を調節する請求項７又は８の認証候補抽出装置。
【請求項１０】
前記処理性能調整部は、前記認証装置の認証処理の応答時間に応じて、前記候補選択処理の性能を調節する請求項７から９いずれか一の認証候補抽出装置。
【請求項１１】
前記処理性能調整部は、前記認証処理用の候補の抽出に用いる特徴情報に含まれる特徴量の桁数又は特徴量の数を増減することにより、前記認証処理用の候補選択処理の性能を調節する請求項７から１０いずれか一の認証候補抽出装置。
【請求項１２】
第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報を入力する生体情報入力部と、
前記被認証体の認証処理用の特徴情報を記憶する特徴情報記憶部と、
前記第１の地点において取得された生体情報から抽出した特徴情報を用いて、所定の秘密計算方式により、前記認証処理用の特徴情報の候補を選択する候補選択部と、
前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する特徴情報送信部と、
を備える認証候補抽出装置と、
前記第２の地点において取得された生体情報を入力する生体情報入力部と、
前記認証候補抽出装置から受信した特徴情報の候補と、前記第２の地点において取得された生体情報から抽出した特徴情報を用いて、認証処理を行う認証処理部と、
を備えた認証装置と、
を含む認証システム。
【請求項１３】
第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、認証処理用の特徴情報の候補を選択し、
前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する、
認証候補抽出方法。
【請求項１４】
第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、認証処理用の特徴情報の候補を選択する処理と、
前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する処理と、
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証候補抽出装置、認証システム、認証候補抽出方法及びプログラムに関する。
【背景技術】
【０００２】
特許文献１に、プライバシーの保護を依頼する者に不安を生じさせることなく、プライバシーの保護を依頼することを可能にするというプライバシー保護システムが開示されている。同文献によると、プライバシー保護システムは、依頼装置と、照合装置と、掲載情報提供装置とを有する。依頼装置は、個人画像中の特徴量データを秘匿状態とした第１の秘匿特徴量データを照合装置へ送信する。掲載情報提供装置は、公開画像中の特徴量データを秘匿状態とした第２の秘匿特徴量データと、当該公開画像にて特定される個人を識別する識別子とを照合装置へ送信する。そして、照合装置は、第２の秘匿特徴量データと第１の秘匿特徴量データとを秘匿状態のまま照合する、と記載されている。【０００３】
特許文献２には、データベースと秘密計算方式を統合化した場合の計算量、通信量、転送する情報量の増大を抑止することができるという秘密計算データ利用システムが開示されている。同文献には、アプリケーション装置からの要求を受け、前記要求に応じて、複数の秘密計算装置に対して秘密計算処理を指示する中間装置を設けた構成が開示されている。そして、この中間装置は、前記要求の演算の一部の演算を、前記要求に含まれるデータの一部、又は、前記複数の秘密計算装置から受け取った複数のシェアから復元したデータの少なくとも一方に対して実行する、と記載されている。【０００４】
特許文献３には、電力の消費を抑制できるという認証装置が開示されている。同文献によると、携帯可能な認証装置は、被験者の生体情報を取得する生体情報取得部（３０１）と、被験者が携帯可能な端末装置と無線通信する通信部と、制御部と、を備える。制御部は、取得される生体情報に基づく認証処理を実行し、端末装置から受信する信号の強度に基づき、認証処理の精度を異ならせるように構成される、と記載されている。【０００５】
データを暗号化したまま計算できる秘密計算方式として、特許文献１の秘密回路計算や特許文献２の秘密分散方式のほか、準同型暗号を用いた方式が知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−２２６４１号公報
【特許文献２】国際公開第２０１６／１７８２９１号
【特許文献３】特開２０１８−４９４１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
以下の分析は、本発明によって与えられたものである。特許文献３に記載のとおり、近年、生体情報による本人認証技術が広く普及しているが、その一方で、情報漏えい等から、個人情報である各人の認証用データを安全に保護したいという要請がある。【０００８】
データを安全に保護したまま計算（照合）を行う用途として、特許文献１、２の秘密計算方式の利用が考えられるが、これらの方式は一般に計算コストや通信コストが高く、要求される応答性能を引き出しにくいという問題点がある。【０００９】
例えば、駅の改札での定期券の代わりに顔画像による認証を考えた場合、照合対象となる人物が非常に多くなるため、秘密計算を用いるとスムーズな改札処理が難しくなってしまうという問題点がある。【００１０】
本発明は、上記した認証用データの保護と応答性能の確保の両立に貢献できる認証候補抽出装置、認証システム、認証候補抽出方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
第１の視点によれば、第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報を入力する生体情報入力部と、前記被認証体の認証処理用の特徴情報を記憶する特徴情報記憶部と、前記第１の地点において取得された生体情報から抽出した特徴情報を用いて、所定の秘密計算方式により、前記認証処理用の特徴情報の候補を選択する候補選択部と、前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する特徴情報送信部と、を備える認証候補抽出装置が提供される。【００１２】
第２の視点によれば、上記した認証候補抽出装置と、第２の地点において取得された生体情報を入力する生体情報入力部と、前記認証候補抽出装置から受信した特徴情報の候補と、前記第２の地点において取得された生体情報から抽出した特徴情報を用いて、認証処理を行う認証処理部と、を備えた認証装置と、を含む認証システムが提供される。【００１３】
第３の視点によれば、第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、認証処理用の特徴情報の候補を選択し、前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する、認証候補抽出方法が提供される。本方法は、生体情報入力部と、前記被認証体の認証処理用の特徴情報を記憶する特徴情報記憶部と、上記した処理をなしうる制御部（プロセッサ）を有するコンピュータという、特定の機械に結びつけられている。【００１４】
第４の視点によれば、第１の地点から第２の地点へ移動する被認証体について、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、認証処理用の特徴情報の候補を選択する処理と、前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置に対して、前記選択した特徴情報の候補を送信する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１５】
本発明によれば、認証システムに求められる認証用データの保護と応答性能の確保を両立させることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態の構成を示す図である。
【図２】本発明の第１の実施形態の認証システムの構成を示す図である。
【図３】本発明の第１の実施形態におけるカメラの配置例を示す図である。
【図４】本発明の第１の実施形態で用いる特徴情報（秘匿処理前）の一例を示す図である。
【図５】本発明の第１の実施形態の認証システムの動作を表したシーケンス図である。
【図６】本発明の第１の実施形態の認証システムの動作を説明するための図である。
【図７】本発明の第２の実施形態の認証システムの構成を示す図である。
【図８】被認証体のカメラ１からカメラ２への移動に時間が掛かる例を示す図である。
【図９】本発明の第２の実施形態の認証システムの動作を表したシーケンス図である。
【図１０】本発明の第２の実施形態の認証システムの動作を説明するための図である。
【図１１】本発明の第３の実施形態の認証システムの構成を示す図である。
【図１２】本発明の第３の実施形態の認証システムの動作を表したシーケンス図である。
【図１３】本発明の第３の実施形態の認証候補抽出装置の処理性能調整処理の流れを表したフローチャートである。
【図１４】本発明の認証候補抽出装置を構成するコンピュータの構成を示す図である。
【発明を実施するための形態】
【００１７】
はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースがあるが図示省略する。
【００１８】
本発明は、その一実施形態において、図１に示すように、生体情報入力部２１と、特徴情報記憶部２２と、候補選択部２３と、特徴情報送信部２４と、を備える認証候補抽出装置２０にて実現できる。
【００１９】
より具体的には、生体情報入力部２１は、第１の地点から第２の地点（図１の下段参照）へ移動する被認証体について、前記第１の地点において取得された生体情報を入力する。特徴情報記憶部２２は、前記被認証体の認証処理用の特徴情報を記憶する。例えば、被認証体が旅客である場合、第２の地点は、駅の改札前のカメラなどの旅客の生体情報の取得位置である（図３のカメラ２参照）。認証装置１０は、この第２の地点において取得された被認証体の生体情報を用いて認証処理を行って、当該旅客に改札等を通過させてよいか否かを決定し、駅の改札のゲートを制御する。そして、第１の地点としては、前記駅の改札より手前の旅客が通過する可能性が高い場所（駅のプラットホームや通路や階段）が選択される（図３のカメラ１参照）。なお、上記の例はあくまで一例であり、被認証体と認証装置は、上記旅客と改札に限定されない。
【００２０】
候補選択部２３は、前記第１の地点において取得された生体情報から抽出した特徴を用いて、所定の秘密計算方式により、前記認証処理用の特徴情報の候補を選択する。なお、候補選択部２３が抽出する認証処理用の特徴情報の候補の数は、認証装置１０に要求される応答性能に基づいて決定することができる。
【００２１】
そして、特徴情報送信部２４は、前記第２の地点において取得された被認証体の生体情報を用いて認証処理を行う認証装置１０に対して、前記抽出した特徴情報の候補を送信する。従って、認証装置１０が認証処理を行う対象は、候補選択部２３にて選択された候補となる。
【００２２】
以上のような認証候補抽出装置２０によれば、認証装置１０に対して、前記認証処理用の特徴情報の候補を選別して送信することができる。
【００２３】
上記構成によれば、認証処理用の特徴情報の候補の選択は、認証候補抽出装置２０側にて所定の秘密計算方式で行われる。さらに、認証装置１０が認証時に参照する認証処理用の特徴情報の候補は、その応答性能に基づいた数とすることができる。従って、上記構成によれば、認証用データの保護と応答性能の確保の両立を実現することが可能となる。
【００２４】
［第１の実施形態］
続いて、被認証体として人を想定した本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の認証システムの構成を示す図である。図２を参照すると、カメラ２が接続された認証装置１００と、カメラ１が接続された認証候補抽出装置２００と、複数の秘密計算サーバ３００とが接続された構成が示されている。第１の実施形態の概略構成を説明すると、認証候補抽出装置２００で候補を絞り込み、認証装置１００が、この絞り込まれた候補を用いて認証を行う構成となっている。
【００２５】
認証装置１００は、認証候補抽出装置２００から送信された特徴情報を用いて、カメラ２にて撮影された人物等との照合を行う。より具体的には、認証装置１００は、第２の地点において取得された生体情報を入力する特徴量抽出部１０１と、認証候補抽出装置２００から受信した特徴情報の候補と、前記第２の地点に設定されたカメラ２で撮影された画像から抽出した特徴情報を用いて、認証処理を行う認証処理部１０２と、を備える。そして、認証装置１００は、認証候補抽出装置２００から送信された特徴情報を用いて、カメラ２にて撮影された画像に映っている人物を特定する生体認証を行う。なお、このような特徴量抽出部１０１はカメラ２側に配置されていてもよい。この場合、特徴量抽出部１０１は、生体情報入力部として機能する。
【００２６】
なお、認証装置１００は、認証候補抽出装置２００から送信された特徴情報を所定のタイミングで破棄するものとする。このタイミングとしては、認証候補抽出装置２００から送信された特徴情報に適合する人物の認証に成功した場合と、認証候補抽出装置２００から送信された特徴情報に適合する人物が所定期間検出されなかった場合が考えられる。このようにすることで、認証装置１００に個人情報（特徴情報）が必要以上に長い時間保持される事態を防ぐことが可能となる。
【００２７】
また、以下の実施形態では、認証候補抽出装置２００から送信された特徴情報は顔認証用の特徴情報であり、認証装置１００は、いわゆる顔認証を行うものとして説明する。もちろん、本発明の適用範囲は顔認証に限られず、その他の生体情報による認証にも適用可能である。
【００２８】
認証候補抽出装置２００は、特徴量抽出部２０１と、秘密分散処理制御部２０３と、特徴情報送信部２０４と、処理性能調整部２０５とを備える。
【００２９】
特徴量抽出部２０１は、カメラ１にて撮影された画像から人の顔の部分を切り出し、その特徴量を抽出し、抽出した特徴量を並べて構成した特徴情報を構成して、秘密分散処理制御部２０３に送る。なお、１つの画像に複数の人物の顔が写りこんでいる場合、特徴量抽出部２０１は、１つの画像からそれぞれの人物の顔の領域を特定し、複数の特徴情報を計算する。また、このような特徴量抽出部２０１はカメラ１側に配置されていてもよい。この場合、特徴量抽出部２０１は、生体情報入力部として機能する。
【００３０】
秘密分散処理制御部２０３は、特徴量抽出部２０１から受け取った特徴情報から秘密分散によるシェア情報を生成し、秘密計算サーバ３００に対し、シェア情報を用いた計算を指示する。より具体的には、秘密分散処理制御部２０３は、秘密計算サーバ３００に対し、秘密計算サーバ３００がそれぞれ保持している人物データの中から、シェア情報として送信した人物の特徴と類似する特徴を持つ人物、即ち、認証処理用の特徴情報の候補の選択を指示する。
【００３１】
秘密分散処理制御部２０３は、秘密計算サーバ３００から選択結果（認証処理用の特徴情報の候補）を受け取ると、特徴情報送信部２０４に認証装置１００への送信を指示する。なお、認証処理用の候補の数は、認証装置１００の応答性能に影響の無い範囲で最大値を採る方法や、所定の計算方法で計算した類似度が一定値以上である候補のみを選択する方法など種々の方法を採ることができる。また、秘密分散処理制御部２０３側で、認証処理用の候補の数を指定し、秘密計算サーバ３００側で指定された数の認証処理用の候補を抽出する方法も採用できる。
【００３２】
また、秘密分散処理制御部２０３が、認証装置１００に送信する認証処理用の候補となる特徴情報として、特徴量抽出部２０１にて抽出された特徴情報を送信してもよい。このようにすることで、認証装置１００において、人物の服装や髪形を用いた認証の精度を高めることが可能となる。
【００３３】
また、秘密分散処理制御部２０３は、秘密計算サーバ３００に実行させるための秘密計算回路（秘密計算プログラム）を配布する機能を備えていても良い。
【００３４】
特徴情報送信部２０４は、認証装置１００に対し、秘密分散処理制御部２０３から受け取った認証処理用の特徴情報の候補を送信する。
【００３５】
処理性能調整部２０５は、認証装置１００における認証処理に求められる所定の要求精度を満たす範囲で、秘密計算サーバ３００における秘密計算処理の性能を調整する。具体的には、処理性能調整部２０５は、カメラ１にて撮影された人物が、カメラ２にて撮影されるまでの時間を予測し、その時間に間に合うように、秘密計算サーバ３００における秘密計算処理の速度を調整する。なお、カメラ１にて撮影された人物が、カメラ２にて撮影されるまでの時間は、カメラ１とカメラ２間の距離と、人の平均移動速度により計算することができる。人の平均移動速度として、各時間帯における平均的な移動速度を用いても良い。また、前記時間の予測にあたって、カメラ１とカメラ２間に複数の経路がある場合は、これらの経路が利用される確率を考慮してもよい。また、カメラ１とカメラ２間にエスカレーターや動く歩道等の移動手段がある場合には、これらが利用される確率を考慮して、時間を計算してもよい。
【００３６】
図３は、本発明の第１の実施形態におけるカメラの配置例を示す図である。この場合、処理性能調整部２０５は、カメラ１とカメラ２間の距離Ｄ１と、人の平均移動速度により、人物が、カメラ１にて撮影された後、カメラ２にて撮影されるまでの時間を計算することができる。
【００３７】
秘密計算処理の速度を調整する方法としては、秘密計算サーバ３００側で、認証処理用の特徴情報の候補を抽出する際の特徴情報を構成する情報要素（特徴量）の桁数を増減する方法や、特徴情報を構成する情報要素（特徴量）の数、即ち、照合する要素の数を増減する方法等を採用することができる。
【００３８】
秘密計算サーバ３００は、それぞれ特徴情報記憶部３０１と、秘密分散秘密計算処理部３０２とを備えている。
【００３９】
特徴情報記憶部３０１は、認証装置１００における照合対象となりうる人物の特徴情報を秘密分散により秘匿化した状態で保持している。図４は、本実施形態で用いる特徴情報（秘匿処理前）の一例を示す図である。以下の説明では、特徴情報は、＜１１，２３，４５，・・・＞といった人の顔の特徴量（例えば、特徴点間の距離）を所定の順序で並べたものであるものとして説明する。また、以下の説明では、顔認証技術により、図４のユーザＩＤｘｘｘｘ０００１〜ｘｘｘｘ０００５の５名のいずれかを特定する例を挙げて説明する。
【００４０】
秘密分散秘密計算処理部３０２は、秘密分散処理制御部２０３及び処理性能調整部２０５からの指示に従い、シェア情報として送信された人物の特徴と類似する特徴を持つ人物、即ち、認証処理用の特徴情報の候補を選択し、秘密分散処理制御部２０３に送る。
【００４１】
従って、本実施形態では、秘密分散処理制御部２０３と秘密計算サーバ３００が、認証装置１００における認証処理が所定の時間内に完了するように、前記認証処理用の特徴情報の候補の数を設定する候補選択部として機能することになる。
【００４２】
なお、図２の例では、３台の秘密計算サーバ３００が示されているが、秘密計算サーバ３００の数は、必要な処理速度や耐障害性によって決定されるべき事項であり、その数に制限はない。
【００４３】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図５は、本発明の第１の実施形態の認証システムの動作を表したシーケンス図である。図５を参照すると、まず、カメラ１が認証候補抽出装置２００に撮影データを送信する（ステップＳ００１）。なお、カメラ１は、人物を認識できた都度、認証候補抽出装置２００へ撮影データを送信することとしてもよいし、人物の認識有無に拘わらず、所定の時間間隔で撮影データを繰り返し送信するものしてもよい。
【００４４】
前記撮影データを受信した認証候補抽出装置２００は、撮影データに写っている人物の顔画像の特徴量を抽出し、特徴情報を作成する（ステップＳ００２）。
【００４５】
次に、認証候補抽出装置２００は、抽出した特徴情報から、秘密計算サーバ３００に送信するシェア情報を作成し、それぞれの秘密計算サーバ３００に送信する。さらに、認証候補抽出装置２００は、秘密計算サーバ３００に対し、送信した人物の特徴と類似する特徴を持つ候補の抽出を指示する（ステップＳ００３；シェア作成・送信・計算指示）。
【００４６】
前記指示を受け取った秘密計算サーバ３００は、認証候補抽出装置２００から受信したシェア情報を用いて、カメラ１に撮影された人物と類似する特徴を持つ人物の候補を選択する（ステップＳ００４）。そして、秘密計算サーバ３００は、認証候補抽出装置２００に対して、計算結果（選択結果）を送信する（ステップＳ００５）。
【００４７】
前記選択結果を受信した認証候補抽出装置２００は、秘密計算サーバ３００から受信した情報を用いて認証処理用の候補となる特徴情報を復元し、認証装置１００に送信する（ステップＳ００６）。
【００４８】
なお、上記ステップＳ００６において、秘密計算サーバ３００から受信した情報を用いて復元した認証処理用の候補となる特徴情報に代えて、認証候補抽出装置２００が、カメラ１の画像から作成した特徴情報を送信するようにしてもよい。この場合は、秘密計算サーバ３００から受信した情報を用いて復元した認証処理用の特徴情報の候補に基づいて、カメラ１の画像から作成した特徴情報が特定される。また、この時、ステップＳ００５において、類似する特徴を持つ人物の候補を選択する処理を行うのではなく、カメラ１に撮影された人物と同一人物と判断される人物がいるかどうかを判断する処理にしても良い。このようにすることにより、認証装置１００における顔認処理が１対１認証となり、計算コストを削減することができる。
【００４９】
一方、カメラ２は、認証装置１００に撮影データを送信する（ステップＳ００７）。そして、認証装置１００は、所定の時間内に、認証候補抽出装置２００から受信した認証処理用の特徴情報の候補を用いて、カメラ２にて撮影された人物の顔認証を実施する（ステップＳ００８）。
【００５０】
上記認証システムの効果について図面を参照して詳細に説明する。図６は、本発明の第１の実施形態の認証システムの動作を説明するための図である。例えば、図６に示すように、特徴情報＜１０，２３，３３，・・・＞を持つ人物がカメラ１、２で撮影された例を挙げて説明する。
【００５１】
この人物が第１の地点に設置されたカメラ１にて撮影されると、認証候補抽出装置２００は、特徴情報＜１０，２３，３３，・・・＞を抽出し、秘密計算サーバ３００に認証処理用の候補の選択を指示する。
【００５２】
前記指示を受けた秘密計算サーバ３００は、例えば、図６に示すように、特徴情報＜１１，２３，４５，・・・＞を持つユーザＩＤ：ｘｘｘｘ０００１の人物と、特徴情報＜１０，２３，３３，・・・＞を持つユーザＩＤ：ｘｘｘｘ０００４の人物とを選択する。そして、認証候補抽出装置２００は、認証装置１００に対して、ユーザＩＤ：ｘｘｘｘ０００１と、ユーザＩＤ：ｘｘｘｘ０００４の特徴情報を送信する。これにより、認証装置１００が照合を行う人物の数は５人から２人に減ることになる。
【００５３】
認証装置１００は、カメラ２にて撮影された画像から抽出された特徴情報＜１０，２３，３３，・・・＞と、前記ユーザＩＤ：ｘｘｘｘ０００１と、ユーザＩＤ：ｘｘｘｘ０００４の特徴情報とをそれぞれ照合し、類似度の高い方を選択する。図６の例では、認証装置１００は、カメラ２にて撮影された人物は、ユーザＩＤ：ｘｘｘｘ０００４の人物であると判定している。上述したように、認証装置１００が照合を行う人物の数は高々２人であるので、認証装置１００は、カメラ２にて撮影された人物をその要求される応答時間内に認証することが可能となる。
【００５４】
［第２の実施形態］
続いて、カメラ１とカメラ２間の混雑度に応じて秘密計算サーバ３００の処理速度を調節するようにした第２の実施形態について図面を参照して詳細に説明する。図７は、本発明の第２の実施形態の認証システムの構成を示す図である。図２に示した構成との相違点は、認証候補抽出装置２００ａに混雑度判定部２０６が追加されている点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
【００５５】
混雑度判定部２０６は、特徴量抽出部２０１にて、カメラ１にて撮影された画像から切り出された人の顔の部分の数に応じて、混雑度を判定し、その結果を処理性能調整部２０５に送信する。例えば、混雑度判定部２０６は、１つの画像に、所定の閾値以上の顔が写っている場合に、混雑度＝大と判定し、処理性能調整部２０５に、混雑度情報（混雑度＝大）を送信する（図８参照）。なお、図７の例では、混雑度判定部２０６が、特徴量抽出部２０１から取得した情報に基づいて混雑度を判定する構成を採用しているが、混雑度判定部２０６が別のカメラと接続され、特徴量抽出部２０１と独立して混雑度を測定する構成も採用可能である。
【００５６】
処理性能調整部２０５は、混雑度情報（混雑度＝大）を受信すると、カメラ１にて撮影された人物が、カメラ２にて撮影されるまでの時間を通常より長くなるものと予測する。そして、処理性能調整部２０５は、その時間に間に合うように、秘密計算サーバ３００における秘密計算処理の速度を調整する。
【００５７】
例えば、図８に示すように、階段の手前で渋滞が発生しており、カメラ１に多数の人が写っていたとする。この場合、多数の乗客が電車を下車して改札へ向かうため、カメラ１に写っている人がカメラ２の位置に移動する時間は、非混雑時よりも長くなる。この場合、秘密計算サーバ３００における時間的余裕は増大するので、処理性能調整部２０５は、秘密計算サーバ３００に対し、通常より時間が掛かるが精度の高い計算方法による候補の選択を指示する。例えば、処理性能調整部２０５は、秘密計算サーバ３００に対し、通常時に削減していた特徴量の桁数を増大させたり、照合に使用する特徴量の数を増大させたりすることで、より精度の高い候補の選択を指示する。また、これらの指示と合わせて、処理性能調整部２０５が、秘密計算サーバ３００に対し、候補の数の絞込みや類似と判定する閾値を引き上げるなどの指示を行ってもよい。
【００５８】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図９は、本発明の第２の実施形態の認証システムの動作を表したシーケンス図である。図５に示した第１の実施形態との相違点は、ステップＳ００２の特徴量抽出の後、（混雑度による）処理性能調整処理（ステップＳ１０１）が追加されている点である。その他の処理は第１の実施形態と同様であるので、説明を省略する。
【００５９】
上記実施形態の効果について図面を参照して詳細に説明する。図１０は、本発明の第２の実施形態の認証システムの動作を説明するための図である。例えば、図１０に示すように、特徴情報＜１０，２３，３３，・・・＞を持つ人物がカメラ１、２で撮影された例を挙げて説明する。
【００６０】
この人物が第１の地点に設置されたカメラ１にて撮影されると、認証候補抽出装置２００は、特徴情報＜１０，２３，３３，・・・＞を抽出し、秘密計算サーバ３００に認証処理用の候補の選択を指示する。このときに、認証候補抽出装置２００は、秘密計算サーバ３００に対し、処理性能の向上を指示する。
【００６１】
前記指示を受けた秘密計算サーバ３００は、例えば、図１０に示すように、特徴情報＜１０，２３，３３，・・・＞を持つユーザＩＤ：ｘｘｘｘ０００４の人物を選択する。そして、認証候補抽出装置２００は、認証装置１００に対して、ユーザＩＤ：ｘｘｘｘ０００４の特徴情報を送信する。これにより、認証装置１００が照合を行う人物の数は５人から１人に減ることになる。
【００６２】
認証装置１００は、カメラ２にて撮影された画像から抽出された特徴情報＜１０，２３，３３，・・・＞と、前記ユーザＩＤ：ｘｘｘｘ０００４の特徴情報とをそれぞれ照合し、類似度が所定値以上であれば、ユーザＩＤ：ｘｘｘｘ０００４の人物がカメラ２の地点に到達したと判定する。上述したように、認証装置１００が照合を行う人物の数は１人であるので、認証装置１００は、第１の実施形態と比較してさらに、高速に認証を実施することが可能となる。
【００６３】
なお、上記の例では、混雑時に、秘密計算サーバ３００に対し、処理性能の向上を指示する例を挙げて説明したが、通常時の処理性能を高めに設定しておき、非混雑時に、処理性能を下げる形態も採用可能である。
【００６４】
以上説明したように、本実施形態によれば、カメラ１とカメラ２間の混雑度に応じて秘密計算サーバ３００の処理速度を調節し、認証装置１００における処理時間を最適化することが可能となる。図１０に例示したように、本実施形態は、特に、鉄道における改札システムに好適に適用できる。例えば、乗客数の多い平日の朝晩などは、混雑度が高くなるが、混雑度に応じ、旅客の移動速度も遅くなるので、その時間を考慮して特徴情報のさらなる絞り込みを行うことができる。
【００６５】
なお、上記した実施形態では、カメラ１にて撮影された画像から切り出された人の顔の数をカウントして、混雑度を判定するものとして説明したが、曜日や時間帯により混雑度が既知である場合には、これらの日時情報を用いて推定した混雑度を用いてもよい。また、カメラ１にて撮影された画像から切り出された人の顔の数と、日時情報との双方を用いて混雑度を計算してもよい。
【００６６】
また、混雑度による秘密計算処理の速度の調整は、あくまで一例であり、駅等の構造によっては、混雑度が大きくても各人の移動所要時間は大きく変わらないという場合もある。逆に、ある程度、混雑してくると、各人の移動所要時間が大きく変わる場合もある。より望ましくは、直近の認証処理で得られた各人の実際の移動所要時間と混雑度に応じて適宜性能を調整する方法も採用可能である。
【００６７】
［第３の実施形態］
続いて、認証装置１００における認証処理の応答性能に応じて秘密計算サーバ３００の処理性能を調節するようにした第３の実施形態について図面を参照して詳細に説明する。図１１は、本発明の第３の実施形態の認証システムの構成を示す図である。図２に示した構成との相違点は、認証候補抽出装置２００ｂに応答性能取得部２０７が追加されている点である。その他の構成は第１の実施形態と同様であるので、以下、その相違点を中心に説明する。
【００６８】
応答性能取得部２０７は、認証装置１００から、応答性能として、認証装置１００に特徴情報を送信してからその結果が得られるまでの平均応答時間を取得する。そして、応答性能取得部２０７は、取得した応答性能を処理性能調整部２０５に送信する。
【００６９】
処理性能調整部２０５は、平均応答時間が所定の目標応答時間（閾値１）より長くなると、認証装置１００における応答時間が短くなるように、秘密計算サーバ３００における秘密計算処理の速度を調整する。また、処理性能調整部２０５は、平均応答時間が所定の目標応答時間（閾値２；但し閾値１≧閾値２）より短くなると、認証装置１００における応答時間が長くなるように、秘密計算サーバ３００における処理性能を調整する。
【００７０】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図１２は、本発明の第３の実施形態の認証システムの動作を表したシーケンス図である。図５に示した第１の実施形態との相違点は、ステップＳ００２の特徴量抽出の前に、（認証装置１００の応答性能による）処理性能調整処理（ステップＳ２０１）が追加されている点である。その他の処理は第１の実施形態と同様であるので、説明を省略する。
【００７１】
図１３は、認証候補抽出装置２００ｂによる処理性能調整処理を表したフローチャートである。図１３を参照すると、認証候補抽出装置２００ｂは、例えば、平均応答時間が所定の目標応答時間（閾値１）より長くなっている場合（ステップＳ４０１のＹＥＳ）、認証装置１００における認証処理の計算コストが軽減されるように、秘密計算サーバ３００に候補選択処理の変更を指示する。例えば、処理性能調整部２０５は、秘密計算サーバ３００に対し、候補選択処理における特徴量の桁数を増大させたり、照合に使用する特徴量の数を増大させたりすることで、より精度の高い候補の抽出を指示する。これにより、これにより、第２の実施形態と同様に、認証装置１００が照合を行う人物の数が減るため、認証装置１００における応答時間が短くなる。これにより、認証装置１００における処理遅れなどを未然に防止することが可能となる。
【００７２】
一方、平均応答時間が所定の目標応答時間（閾値２）より短くなっている場合（ステップＳ４０２のＹＥＳ）、処理性能調整部２０５は、認証装置１００に処理能力に余裕があることを意味する。この場合、処理性能調整部２０５は、秘密計算サーバ３００における候補選択処理における特徴量の桁数を減少させたり、照合に使用する特徴量の数を減少させたりすることで、認証装置１００と、秘密計算サーバ３００の処理能力を平準化する。これにより、認証装置１００において特徴情報が保持される期間を最適化することが可能となる。一方で、上記処理により、認証装置１００が照合を行う人物の数が増え、認証装置１００の応答時間が増大することになるが、人物が第１の地点から第２の地点に移動する時間の範囲であれば問題はない。
【００７３】
以上説明したように、本実施形態によれば、認証装置１００の応答性能に応じて、秘密計算サーバ３００における秘密計算処理の速度を最適化することが可能となる。
【００７４】
なお、上記した実施形態では、認証装置１００における認証処理の応答性能の指標として、平均応答時間を用いるものとして説明したが、平均応答時間に代えて、最大応答時間、応答時間の中央値や最頻値などを用いることも可能である。
【００７５】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示した各要素の構成、情報の構成等は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ及びＢの少なくともいずれかという意味で用いる。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースがあるが図示省略する。
【００７６】
例えば、上記した実施形態では、被認証体の識別情報として顔特徴データを用いるものとして説明したが、顔特徴データ以外の生体情報を用いた認証にも適用することが用いることも可能である。例えば、会社の入り口にて、上記したカメラ１を配置し、認証候補の絞込みを行ない、会社内のセキュリティエリアに配置したカメラ２による虹彩認証等を行う認証装置１００に認証処理の候補を送信する形態も採用可能である。
【００７７】
例えば、上記した実施形態では、秘密計算サーバとして秘密分散方式で秘密計算を行うサーバを用いるものとして説明したが、準同型暗号、完全同型暗号等を用いて秘密計算を行うサーバを用いることもできる。
【００７８】
また、上記した実施形態では、秘密計算サーバ３００における秘密計算処理の速度を調整することにより、認証処理用の候補の抽出処理の性能を調整するものとして説明したが、前記認証処理用の候補の抽出処理の性能の調整方法はこれに限られない。例えば、秘密計算の方式そのものを変更したり、秘密計算サーバ３００における秘密分散法による処理方式（アルゴリズムやパラメータ）を変更したりする方法も採用可能である。また、秘密計算サーバ３００を複数グループ用意し、それぞれに認証処理用の候補の抽出処理を分担させて、それぞれにより精度の高い候補の抽出処理を行わせる方法も採用可能である。
【００７９】
また、上記した実施形態の認証装置１００における認証処理として、秘密計算方式を用いることも可能である。
【００８０】
また、上記した実施形態では、カメラ１における混雑度や認証装置１００の応答性能に基づいて、秘密計算サーバ３００の処理性能を調節する例を挙げて説明したが、その他のパラメータを用いて、秘密計算サーバ３００の処理性能を調節してもよい。例えば、カメラ１で撮影された画像の品質としては、顔の向きや、表情、顔色、輝度（撮影時間による）等の違いがあり、これらは、撮影時間や顔の向きやカメラとの距離等によって変わりうる。このようなカメラ１で撮影された画像の品質に応じて、前記認証処理用の候補の選択に用いる特徴情報に含まれる特徴量の桁数又は特徴量の数を増減してもよい。例えば、カメラ１で撮影された画像中の被認証体の像が粗い場合、秘密計算サーバ３００の候補の選択精度も落ちることになる。この場合、処理性能調整部２０５は、秘密計算サーバ３００の候補の選択精度が変わらない範囲で、候補選択処理における特徴量の桁数を減少させたり、照合に使用する特徴量の数を減少させたりしてもよい。これにより、秘密計算サーバ３００の計算リソースを他の被認証体の候補の抽出に当てることが可能となる。
【００８１】
また、上記した実施形態では、認証候補抽出装置２００が、カメラ１にて撮影された顔画像を用いて認証処理用の候補を抽出するものとして説明したが、カメラ１にて撮影された顔画像以外の情報を用いて、認証処理用の候補の絞り込みを行ってもよい。例えば、ある旅客の定期券や切符の情報などから、下車する駅が絞り込める場合は、これらの情報を用いて、認証処理用の候補の絞り込みを行ってもよい。
【００８２】
また、上記した実施形態では、第２の地点が改札付近、第１の地点がその手前の通路や階段であるものとして説明したが、第１、第２の地点の組み合わせは、上記の例に限られない。例えば、本発明は、ビルやイベント会場での入出場管理や港や空港等での入出場管理や入出国審査にも適用することができる。また、上記した実施形態では、旅客が改札口から出ることを前提に、第２の地点が改札付近であるものとして説明したが、旅客が改札口から入るケースにも適用することができる。この場合、第２の地点が入場改札付近、第１の地点がその手前の通路や階段として選択される。
【００８３】
また、上記した第１〜第３の実施形態に示した手順は、認証候補抽出装置２００、２００ａ、２００ｂとして機能するコンピュータ（図１４の９０００）に、認証候補抽出装置の機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図１４のＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図１４のＣＰＵ９０１０にて、特徴量抽出プログラムや秘密分散処理制御プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメータの更新処理を実施させればよい。
【００８４】
即ち、上記した第１〜第３の実施形態に示した認証候補抽出装置２００、２００ａ、２００ｂの各部（処理手段、機能）は、これらの装置に搭載されたプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。
【００８５】
最後に、本発明の好ましい形態を要約する。
【００８６】
［第１の形態］
（上記第１の視点による認証候補抽出装置参照）
【００８７】
［第２の形態］
上記した認証候補抽出装置において、
前記生体情報は、前記第１、前記第２の地点にそれぞれ設置されたカメラにて撮影された顔画像であることが好ましい。
【００８８】
［第３の形態］
上記した認証候補抽出装置において、
前記第２の地点は、駅の改札の手前の地点であり、前記認証装置は、前記駅の改札のゲートを制御する構成を採ることができる。
【００８９】
［第４の形態］
上記した認証候補抽出装置において、
前記候補選択部は、前記認証装置における認証処理が所定の時間内に完了するように、前記認証処理用の特徴情報の候補の数を設定する構成を採ることができる。
【００９０】
［第５の形態］
上記した認証候補抽出装置において、
前記特徴情報送信部は、前記認証処理用の特徴情報の候補として、前記第１の地点において取得された生体情報から抽出した特徴情報を送信する構成を採ることができる。
【００９１】
［第６の形態］
上記した認証候補抽出装置において、
前記第１の地点において取得された生体情報から抽出した特徴を、秘密分散したシェア情報に変換してから、所定の秘密分散サーバに対し送信し、
前記所定の秘密分散サーバから受信した情報に基づいて、前記認証処理用の候補となるある特徴情報を復元し、前記認証処理用の特徴情報の候補として、前記復元した特徴情報を送信する構成を採ることができる。
【００９２】
［第７の形態］
上記した認証候補抽出装置において、
さらに、
前記被認証体が前記第１の地点から第２の地点へ到達する予測時間に基づいて、前記認証装置における認証処理に間に合う範囲で所定の要求精度を満たす候補を抽出できるよう、前記認証処理用の候補選択処理の性能を調整する処理性能調整部を備える構成を採ることができる。
【００９３】
［第８の形態］
上記した認証候補抽出装置において、
前記処理性能調整部は、少なくとも前記第１の地点と前記第２の地点との間の距離、及び、前記第１の地点と前記第２の地点との間の混雑度の少なくとも一方に基づいて、前記予測時間を計算する構成を採ることができる。
【００９４】
［第９の形態］
上記した認証候補抽出装置において、
前記第１の地点において取得された生体情報は、前記被認証体を撮影した顔画像であり、
前記処理性能調整部は、前記画像の品質に応じて、前記候補選択処理の性能を調節する構成を採ることができる。
【００９５】
［第１０の形態］
上記した認証候補抽出装置において、
前記処理性能調整部は、前記認証装置の認証処理の応答時間に応じて、前記候補選択処理の性能を調節する構成を採ることができる。
【００９６】
［第１１の形態］
上記した認証候補抽出装置において、
前記処理性能調整部は、前記認証処理用の候補の抽出に用いる特徴情報に含まれる特徴量の桁数又は特徴量の数を増減することにより、前記認証処理用の候補選択処理の性能を調節する構成を採ることができる。
【００９７】
［第１２の形態］
（上記第２の視点による認証システム参照）
【００９８】
［第１３の形態］
（上記第３の視点による認証候補抽出方法参照）
【００９９】
［第１４の形態］
（上記第４の視点によるプログラム参照）
なお、上記第１２〜第１４の形態は、第１の形態と同様に、第２〜第１１の形態に展開することが可能である。
【０１００】
なお、上記の特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
【符号の説明】
【０１０１】
１０、１００  認証装置
２０、２００、２００ａ、２００ｂ  認証候補抽出装置
２１  生体情報入力部
２２、３０１  特徴情報記憶部
２３  候補選択部
２４、２０４  特徴情報送信部
２０１  特徴量抽出部
２０３  秘密分散処理制御部
２０５  処理性能調整部
２０６  混雑度判定部
２０７  応答性能取得部
３００  秘密計算サーバ
３０２  秘密分散秘密計算処理部
９０００  コンピュータ
９０１０  ＣＰＵ
９０２０  通信インタフェース
９０３０  メモリ
９０４０  補助記憶装置
【図１】
2020084748.tif 000003
【図２】
2020084748.tif 000004
【図３】
2020084748.tif 000005
【図４】
2020084748.tif 000006
【図５】
2020084748.tif 000007
【図６】
2020084748.tif 000008
【図７】
2020084748.tif 000009
【図８】
2020084748.tif 000010
【図９】
2020084748.tif 000011
【図１０】
2020084748.tif 000012
【図１１】
2020084748.tif 000013
【図１２】
2020084748.tif 000014
【図１３】
2020084748.tif 000015
【図１４】
2020084748.tif 000016
【国際調査報告】
2020084748.tif 000017
2020084748.tif 000018
2020084748.tif 000019
2020084748.tif 000020