"ユーザから生体情報を取得する生体情報入力センサと、前記生体情報からテンプレートを生成するテンプレート生成部と、前記生体情報から認証サンプルを生成する認証サンプル生成部と、前記認証サンプルと前記テンプレートを照合する照合部と、前記認証サンプルと他人の前記テンプレートとのスコアが従う認証サンプル他人分布を推定する認証サンプル他人分布推定部と、前記テンプレートと他人の前記認証サンプルとのスコアが従うテンプレート他人分布を推定するテンプレート他人分布推定部と、前記認証サンプル他人分布と前記テンプレート他人分布を比較して、他人受入がより起きにくい方を用いてユーザの判定を行うユーザ判定部を有することを特徴とする生体認証システム。前記ユーザ判定部は、前記認証サンプル他人分布を用いて求めた対数尤度比と前記テンプレート他人分布を用いて求めた対数尤度比のうち、小さい方を予め定められた第1および第2の閾値であって、当該第2の閾値が前記第1の閾値より低い閾値と比較し、前記第1の閾値よりも大きければ本人と判定し、前記第2の閾値よりも小さければ他人と判定し、どちらでもなければ判定不能として前記生体情報の再入力を要求することを特徴とする請求項1に記載の生体認証システム。登録の際に前記テンプレートの品質を判定するテンプレート品質判定部と、前記テンプレートの品質が予め定められた品質より低いことを示す低品質であれば、当該テンプレートの再登録を要求する再登録要求部を更に有することを特徴とする請求項1または2のいずれかに記載の生体認証システム。前記テンプレート品質判定部は、本人同士のスコアが従う本人分布と複数の前記テンプレート他人分布それぞれとのKL距離および前記それぞれのKL距離の和のうち少なくとも一方を、予め定められた閾値と比較することで前記テンプレートの品質を判定することを特徴とする請求項3に記載の生体認証システム。前記本人分布は前記ユーザ毎に異なるユーザ固有の情報を用いることを特徴とする請求項4に記載の生体認証システム。前記テンプレート品質判定部は、FRRが一定値以下となるか否かにより前記テンプレートの品質を判定することを特徴とする請求項3に記載の生体認証システム。前記生体情報入力センサは、本人同士のスコアが従う本人分布と前記テンプレート他人分布とのKL距離の大きい生体情報から入力することを要求することを特徴とする請求項2ないし6のいずれかに記載の生体認証システム。非特許文献1の偶然一致確率法は、Wolfに対する安全性を高める効果を得ることができる。具体的には、非特許文献1は、偶然一致確率法によってWAPを一定値以下に抑えることができることを示している。しかしながら、偶然一致確率法ではLambに対する安全性を高めることはできない。また、非特許文献1は偶然一致確率法において、認証サンプルの集合Vとテンプレートの集合Eを交換することで、LAPを一定値以下に抑えることができると述べている。しかしながら、この場合はWolfとLambの関係が逆転するため、Wolfに対する安全性を高めることができない。従って、非特許文献1では、WAPとLAPの両方を一定値以下などに抑えることができないという問題があった。上記課題を解決するために、本発明では、以下の構成を採る。生体情報の登録の際には、本人分布とテンプレートの他人分布とのカルバックライブラKullbackLeibler距離を求め、これを閾値と比較する。閾値以上であればLambと判定し、別のテンプレートを登録させる。また、認証の際には、認証サンプルの他人分布とテンプレートの他人分布のそれぞれを用いて2つの対数尤度比を求め、そのうち小さい方を閾値と比較し、この比較結果により認証を行う。認証としては、閾値を超えたら認証可とし、そうでなければ別の認証サンプルを入力させる出力をするなど認証を不可とする。より具体的な一態様としては、以下の構成を有する生体認証システムを採用する。ユーザから生体情報を取得する生体情報入力センサと、前記生体情報からテンプレートを生成するテンプレート生成部と、前記生体情報から認証サンプルを生成する認証サンプル生成部と、前記認証サンプルと前記テンプレートを照合する照合部と、前記認証サンプルと他人の前記テンプレートとのスコアが従う認証サンプル他人分布を推定する認証サンプル他人分布推定部と、前記テンプレートと他人の前記認証サンプルとのスコアが従うテンプレート他人分布を推定するテンプレート他人分布推定部と、前記認証サンプル他人分布と前記テンプレート他人分布のうち、他人受入がより起きにくい方を用いてユーザの判定を行うユーザ判定部を設けている。なお、本発明には、これを実施する方法、このシステムを構成する装置、方法も含まれる。本発明によれば、認証サンプル他人分布とテンプレート他人分布のうち、他人受入がより起きにくい方を用いてユーザの判定を行う。このようにすることで、WAPとLAPを一定値以下など所定条件に抑えることが可能となる。その結果、期待通りのWolfとLambに対する高い安全性が実現できるという効果が得られる。以下、図面を参照して、本発明の一実施形態について説明する。生体情報の種類は、指紋、顔、虹彩、静脈など何でも良い。また、認証サンプルとテンプレートは同一であっても良いし、異なっていても良い。図1に本実施形態の生体認証システムの構成例を示す。このシステムは、ユーザから取得したテンプレートを含む登録情報をサーバ端末へ送信する登録端末100と、認証の際にクライアント端末から送られてきた認証サンプルとテンプレートとの照合を行ってユーザの判定を行う認証サーバ200と、ユーザから取得した認証サンプルをサーバ端末200に送信するクライアント端末300と、ネットワーク400から構成される。登録端末100とサーバ端末200とクライアント端末300は、それぞれ1台でも良いし、複数台存在しても良い。また、登録端末100はサーバ端末200と同一の端末であっても良いし、クライアント端末300と同一の端末であっても良い。また、サーバ端末200はクライアント端末300と同一の端末であっても良い。また、登録端末100のデータベース109をサーバ端末200が保持し、登録時のダミー認証サンプル110との照合、テンプレート他人分布の推定、KL距離算出、テンプレート品質判定ステップS104からS107までをサーバ端末200側で行うようにしても良い。ネットワーク400は、WANやLANなどのネットワーク、USBやIEEE1394などを用いた機器間の通信、或いは携帯電話網や近距離無線通信などの無線通信を用いても良い。例えば、登録端末100は企業内のPC、サーバ端末200は企業が運用するデータセンタ内の1台のサーバ、クライアント端末300は各従業員のPC、ネットワーク400はイントラネットとする構成が考えられる。登録端末100は、生体情報を取得する生体情報入力センサ101と、生体情報からテンプレートを生成するテンプレート生成部102と、認証サンプルとテンプレートを照合する照合部103と、他人の認証サンプルとテンプレートとのスコアが従う分布以後、テンプレート他人分布を推定するテンプレート他人分布推定部104と、本人同士のスコアが従う分布以後、本人分布とテンプレート他人分布とのカルバックライブラ距離以後、KL距離を推定するKL距離算出部105と、テンプレートがSheepか否かを判定するテンプレート品質判定部106と、テンプレートがSheepでない場合に再登録を要求する再登録要求部107と、通信I/F108と、データベース109から構成される。データベース109は、M1個のダミー認証サンプル110と、本人分布120を保持する。ダミー認証サンプル110としては、例えば登録時にテンプレートに加えて認証サンプルも生成するようにした上で、その認証サンプルを用いるようにしても良いし、あらかじめシステムが用意しておいた認証サンプルを用いても良い。また、認証サンプルとテンプレートが同一の場合は、ダミーテンプレート240と同じものを用いても良い。本人分布120は、例えばあらかじめシステムが用意しておいた認証サンプルとテンプレートを基に、本人同士のスコアを複数求め、これらを用いて求める方法がある。サーバ端末200は、認証サンプルとテンプレートを照合する照合部201と、認証サンプルと他人のテンプレートとのスコアが従う分布以後、認証サンプル他人分布を推定する認証サンプル他人分布推定部202と、認証サンプル他人分布を用いて対数尤度比を求める認証サンプル対数尤度比算出部203と、テンプレート他人分布を用いて対数尤度比を求めるテンプレート対数尤度比算出部204と、認証ユーザが本人か否かを判定するユーザ判定部205と、通信I/F209と、データベース210から構成される。データベース210は、各登録ユーザの登録情報220と、M2個のダミーテンプレート240と、本人分布250を保持する。登録情報220は、ユーザID221と、テンプレート222と、テンプレート他人分布223と、KL距離224から構成される。ダミーテンプレート240としては、例えば既に登録されているテンプレート222を用いても良いし、登録されているテンプレート222とは別にあらかじめシステムが用意しておいたテンプレートを用いても良い。クライアント端末300は、生体情報を取得する生体情報入力センサ301と、生体情報から認証サンプルを生成する認証サンプル生成部302と、通信I/F303から構成される。図2に、本実施形態における登録端末100、サーバ端末200、クライアント端末300のハードウェア構成を示す。これらの端末は、図のようにCPU500と、メモリ501と、HDD502と、入力装置503と、出力装置504と、通信装置505とから構成することができる。以下に示す各装置の演算は、HDD502に格納あれたプログラムに従って、CPU500が実行する。言い換えると、図1の各部の演算がこのように実施される。図3に、本実施形態における登録の処理手順およびデータの流れを示す。登録端末100は、ユーザからユーザIDを取得するステップS101。例えば、キーボードのような入力装置からの入力を受付けたり、ICカード等の記録媒体から読み取ることで実行が可能である。登録端末100は、ユーザから生体情報を取得するステップS102。本ステップの実行が2回目以降の場合、前回とは異なる種類の生体情報或いは異なる指の指紋や静脈を取得するようにしても良いし、同一種類の生体情報或いは同一指の指紋や静脈を取得するようにしても良い。登録端末100は、取得した生体情報からテンプレートを生成するステップS103。これは、特徴量を抽出して行うなど公知の技術でも対応可能である。登録端末100は、データベース109から取得したM1個のダミー認証サンプルとテンプレートを照合し、M1個のスコアを求めるステップS104。登録端末100は、M1個のスコアを用いてテンプレート他人分布gtを推定するステップS105。具体的には、正規分布やベータ二項分布などのモデルを仮定した上で最尤推定やMAP推定などによってgtを推定する。或いは、テンプレート他人分布gtの代わりに、後述の本人分布fとgtとの比に対して対数をとったテンプレート対数尤度比logf/gtをロジスティック回帰によって推定しても良い。登録端末100は、データベース109から取得した本人分布120fとテンプレート他人分布gtとのKL距離を求めるステップS106。本人分布fとテンプレート他人分布gtとのKL距離Dfgtは、で表すことができる。これは、本人分布としてヒストグラムを用いて計算しても良いし、或いは下記の参考文献1に記載の方法を用いて推定しても良い。参考文献1QWangSKulkarniandSVerduDivergenceestimationformultidimensionaldensitiesviaknearestneighbordistancesIEEEInternationalSymposiumonInformationTheoryvol552009登録端末100は、求めたKL距離を閾値Tと比較することでテンプレートの品質を判定するステップS107。具体的には、KL距離が閾値T以上であれば高品質なテンプレートSheepと判定し、閾値T未満であれば低品質なテンプレートGoat或いはLambと判定する。登録端末100は、Sheepと判定した場合はステップS110に、そうでない場合はステップS109に進むステップS108。登録端末100は、ステップS109に進んだ場合、ステップS102に戻るステップS109。登録端末100は、ユーザID、テンプレート、テンプレート他人分布、KL距離から構成される登録情報をサーバ端末200に送信するステップS110。これを受け、サーバ端末200は、登録情報を受信し、これをデータベース210に保存するステップS111。次に、図4を用いて、本実施形態における認証の処理手順およびデータの流れを説明する。クライアント端末100は、認証を要求するユーザからユーザIDを取得するステップS201。また、クライアント端末100は、ユーザから生体情報を取得するステップS202。クライアント端末100は、取得した生体情報から認証サンプルを生成するステップS203。クライアント端末100は、取得したユーザIDと生成した認証サンプルをサーバ端末200に送信するステップS204。サーバ端末200は、送信されたユーザIDと認証サンプルを受信し、受信した認証サンプルと受信したユーザIDに対応するデータベース210から取得したM2個のダミーテンプレートを照合し、M2個のスコアを求めるステップS205。サーバ端末200は、求められたM2個のスコアを用いて認証サンプル他人分布gqを推定するステップS206。推定方法は、テンプレート他人分布gtの推定方法と同じである。サーバ端末200は、受信した認証サンプルと受信したユーザIDに紐付いたテンプレート222を照合し、スコアsを求めるステップS207。サーバ端末200は、ステップS207で求めたスコアsJ0と、本人分布250fと、認証サンプル他人分布gqを用いて認証サンプル対数尤度比logfsJ0/gqsJ0を求めるステップS208。ステップS206において、ロジスティック回帰を用いて認証サンプル対数尤度比logf/gqを推定した場合は、本人分布250fは不要である。サーバ端末200は、ステップS207で求めたスコアsJ0と、本人分布250fと、受信したユーザIDに紐付いたテンプレート他人分布223gtを用いてテンプレート対数尤度比logfsJ0/gtsJ0を求めるステップS209。サーバ端末200は、認証サンプル対数尤度比logfsJ0/gqsJ0とテンプレート対数尤度比logfsJ0/gtsJ0を用いて認証ユーザが本人か否かの判定を行う。ステップS210。具体的には、logfsJ0/gqsJ0とlogfsJ0/gtsJ0の小さい方をLminJに加える。ここで、LminJは生体情報をJ回入力後の対数尤度比の和であるLmin0=0。即ち、数7で示される。LminJ=LminJ-1minlogfsJ0/gqsJ0,logfsJ0/gtsJ0...数7その後、LminJを閾値Aと閾値BA>Bの2つの閾値と比較し、閾値Aよりも大きければ本人、閾値Bよりも小さければ他人、どちらでもなければ判定不能と判定する。サーバ端末200は、クライアント端末300にユーザ判定結果本人/他人/判定不能をクライアント端末100に送信するステップS211。クライアント端末100は、ユーザ判定結果が本人の場合は認証成功とし、他人の場合は認証失敗とし、判定不能の場合はステップS213に進むステップS212。クライアント端末100は、認証ユーザによる生体情報の入力回数JがJmaxに到達していたら認証失敗とし、そうでなければステップS214に進むステップS213。クライアント端末100は、ステップS214に進むと、ステップS202に進むステップS214。図5に本実施形態の認証概念図を示す。ここでは、認証成功になるケースと認証失敗になるケースと2通りの場合におけるLminJの遷移を示している。このように本実施形態では、対数尤度比の和をユーザの判定基準としている。下記の参考文献2に記載されているように、このとき、本人分布や他人分布が適切に推定されていれば、FARとAとの間には、数8に示す関係式が成立する。FAR≦1/eA...数8参考文献2KTakahashiMMimuraYIsobeandYSetoASecureandUserFriendlyMultiModalBiometricSystemProcSPIEvol5404pp12192004従って、他人分布として認証サンプル他人分布gqを用いれば、どのような認証サンプルが入力されたとしても、FARを1/eA以下に抑えることができる。これは、最も他人受入を引き起こしやすい認証サンプルが入力された場合にも成り立つので、WAPは1/eA以下に抑えられる。また、他人分布としてテンプレート他人分布gtを用いれば、どのようなテンプレートが登録されたとしても、FARを1/eA以下に抑えることができる。これは、最も他人受入を引き起こしやすいテンプレートが登録された場合にも成り立つので、LAPは1/eA以下に抑えられる。本実施形態では、認証サンプル他人分布gqとテンプレート他人分布gtのそれぞれを用いて求めた対数尤度比のうち、小さい方即ち、他人受入がより起きにくい方を採用する。このように他人受入がより起きにくい方を用いてユーザの判定を行うことで、WAPとLAPを共に一定値1/eA以下に抑えることが可能となる。その結果、期待通りのWolfとLambに対する高い安全性が実現できる、という効果が得られる。図6に本実施形態の登録概念図を示す。ここでは、高品質なテンプレートSheepと判定されるケースと低品質なテンプレートLamb或いはGoatと判定されるケースと2通りの場合を示している。このように本実施形態では、KL距離をテンプレート品質の判定基準としている。本実施形態の認証処理では、認証サンプル他人分布とテンプレート他人分布を用いることで、WolfとLambに対する高い安全性を実現できる。しかしながら、このままではLambに対してはどのような認証サンプルが入力されても認証に成功しづらいということになるため、Lambを登録したユーザ本人も認証に成功しづらくなる。即ち、LambがGoatになるという問題が生じる。この問題に対して、本実施形態では登録時にテンプレート他人分布を推定してあらかじめLambを検出し、再登録させることで対策をとることができる。具体的には、参考文献3に記載されているように、本人が認証時に必要な生体情報の入力回数J’の期待値EJ’と閾値Aとの間には、閾値B=-∞と設定したとき対数尤度比が閾値Bを下回ることがないように設定したときに、数9の関係がある。EJ’≒A/Elogfs/gts=A/Dfgt...数9参考文献3AWaldSequentialAnalysisJohnWileyandSonsNewYork1947ここで、Dfgt≧Tであるから、数9は、数10になる。EJ’≦A/T...即ち、本実施形態で登録できたテンプレートに対しては、本人の平均入力回数がA/Tで抑えられる。従って、LambがGoatになるという問題を防ぐことができる。その結果、利便性が向上する、という効果が得られる。また、本実施形態において、登録時にユーザに複数の生体情報を入力させ、それらに対して求めたKL距離の和が閾値を上回れば、これらは高品質のテンプレートと判定し、下回ればこれらは低品質のテンプレートと判定するようにしても良い。また、本実施形態において、登録時にユーザに同一の生体情報を何回か入力させて、それを基にそのユーザ固有の本人分布fuを推定し、fuとテンプレート他人分布gtとのKL距離Dfugtを閾値Tと比較するようにしても良い。テンプレートがGoatであった場合も、Lambであった場合と同様に本人分布と他人分布の距離が小さくなるため、低品質テンプレートと判定されるようになる。このように登録時にGoatを検出し、再登録させることでGoatの登録を防ぐことができる。その結果、利便性が向上する、という効果が得られる。また、本実施形態において、図6に示すように本人分布においてスコアここでは類似度がsth以上となる確率がδとなるようなスコアsthを登録前に求めておき、登録時に対数尤度比logfsth/gtsthがA以上であれば高品質のテンプレートと判定し、下回れば低品質のテンプレートと判定するようにしても良い。対数尤度比logfsth/gtsthがA未満となる確率は、ユーザが生体情報を一回のみ入力したとき即ち、Jmax=1のときのFRRであるため、このようにすることでJmax=1のときのFRRをδに抑えることができるようになる。従って、LambがGoatになるという問題を防ぐことができる。その結果、利便性が向上する、という効果が得られる。Jmaxが2以上の場合においても、同様に数値計算によってFRRを求め、それがδとなるようにテンプレートの品質に対する閾値を設定しても良い。また、本実施形態において、認証時にKL距離の大きい順に生体情報を入力させるようにしても良い。このように、対数尤度比の期待値の大きい順に入力させることで、なるべく少ない入力回数で本人による認証を終わらせることが可能となる。その結果、利便性が向上する、という効果が得られる。本実施形態では、生体情報に基づいてユーザ認証を行なう任意のアプリケーションに対して適用可能である。例えば社内ネットワークにおける情報アクセス制御、インターネットバンキングシステムやATMにおける本人確認、会員向けWebサイトへのログイン、保護エリアへの入場時の個人認証、パソコンのログインなどへの適用が可能である。"