JP2001052181A - 個人認証方法及び個人認証プログラムを記録した記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 本人受理・他人拒否の両要求を満足する個人
認証方法を提供し、また、実際の使用環境に追随して適
応していく個人認証方法を提供する。 【解決手段】 複数種類の身体的特徴における認証結果
をテーブルに記憶しておき、予め設定された個人認証の
セキュリティレベルの情報と前記テーブルの情報とを用
いて各身体的特徴の信頼性を表わす評価関数を計算する
ことにより前記複数種類の身体的特徴の中から認証に最
も適する身体的特徴を選定して利用者に該身体的特徴の
入力を要求し、利用者から得られた身体的特徴と予め登
録している特定個人の身体的特徴とを照合し判定を行
い、前記特定個人と判定されたときは認証処理を終了
し、前記特定個人と判定されなかったときは前記評価関
数により次候補として挙げられた身体的特徴を用いて認
証するという段階的選定を複数種類の身体的特徴を全て
使用するまで反復して行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、個人認証方法およ
びその装置、特に複数の身体的特徴を用いて認証を行う
方法およびその装置に関する。

【０００２】

【従来の技術】通信ネットワークを介したサービスにお
けるセキュリティ確保の手段としてパスワードが常用さ
れている。しかし、パスワードは盗用されると他人が本
人になりすますことができる。これを防止するため、本
人でしか有しえない指紋・筆跡等の身体的特徴（バイオ
メトリクス）を用いる方法がある。しかしこれも、周囲
環境の変化により常に安定に認証されるとは限らない。
また、模擬・模造される危険性もあるといった問題が内
在する。このため複数のバイオメトリクスを用いる方法
が考えられている。

【０００３】

【発明が解決しようとする課題】複数バイオメトリクス
の使用法は次の２種類に大別される。その第一は、認証
手段の二重化であり、特開平10-137222 にみられるよう
に２種類のバイオメトリクスの一方で認証できない場合
はもう一方で認証するという方法を採ることにより、本
人であるにも拘わらず拒否されることへの回避を図って
いる。第二は、認証精度の向上であり、特開平08-1678
8、特開平10-137221 にみられるような複数バイオメト
リクスの認証結果の重み付き結合がよく採られている。
しかし、第一の方法は本人受理を容易化したものの他人
拒否の機能は低下しており、第二の方法は重みは固定と
なっているので装置を設計したときと異なる要求が発生
したときあるいは使用環境が変化したとき、重みが調整
できないという問題がある。

【０００４】以上述べたように従来の方法では、本人受
理と他人拒否の重視度が用途によって異なるなかで複数
バイオメトリクスを如何に使用するかという方式が確立
されていない問題点があった。また、多種多様な用途に
応じた認証サーバを構築するには個別のカスタマイズ
が、さらに環境の変化に応じるためにはきめ細かなチュ
ーニングが必要となり、手数がかかるという問題点があ
った。本発明は前記問題点を解決するためになされたも
のであり、その目的とするところは本人受理・他人拒否
の両要求を満足する個人認証方法及びその装置を提供
し、また、実際の使用環境に追随して適応していく個人
認証方法及びその装置を提供するところにある。

【０００５】

【課題を解決するための手段】上記の目的を達成するた
めに、本発明は次のように構成することができる。本発
明は、個人固有の身体的特徴を抽出し該身体的特徴を用
いて本人確認を行う個人認証方法であり、複数種類の身
体的特徴における認証結果をテーブルに記憶しておき、
予め設定された個人認証のセキュリティレベルの情報と
前記テーブルの情報とを用いて各身体的特徴の信頼性を
表わす評価関数を計算することにより前記複数種類の身
体的特徴のなかから認証に最も適する身体的特徴を選定
して利用者に該身体的特徴の入力を要求し、利用者から
得られた身体的特徴と予め登録している特定個人の身体
的特徴とを照合し前記身体的特徴が前記特定個人のもの
か否かの判定を行い、前記特定個人と判定されたときは
認証処理を終了し、前記特定個人と判定されなかったと
きは前記評価関数により次候補として挙げられた身体的
特徴を用いて認証するという段階的選定を複数種類の身
体的特徴を全て使用するまで反復して行う。

【０００６】本発明によれば、最適な身体的特徴を選定
することが可能であり、例えば、特開平１１−５３５４
０にあるようにランダムに身体的特徴を選定する方法よ
りも確実に認証を行うことが可能となる。本発明は次の
ように構成することもできる。本発明は、個人固有の身
体的特徴を抽出し該身体的特徴を用いて本人確認を行う
個人認証方法において、利用者側端末が通信ネットワー
クを介してセンタ側装置に接続されており、前記センタ
側装置あるいは利用者が複数種類の身体的特徴のなかか
ら使用する身体的特徴を順に選定して認証に用いる方法
であり、センタ側装置が身体的特徴の選定を行う場合に
は、複数種類の身体的特徴における認証結果をテーブル
に記憶しておき、予め設定された個人認証のセキュリテ
ィレベルの情報と前記テーブルの情報とを用いて各身体
的特徴の信頼性を表わす評価関数を計算することにより
複数種類の身体的特徴のなかから認証に最も適する身体
的特徴を選択して該身体的特徴の名称を前記利用者側端
末に送信し、利用者は前記センタ側装置が指定した身体
的情報を入力して身体的特徴の抽出を行い前記センタ側
装置に送信し、前記センタ側装置では前記利用者側端末
から送信された身体的特徴と予め登録している特定個人
の身体的特徴とを照合し前記身体的特徴が前記特定個人
のものか否かの判定を行い、前記特定個人と判定された
ときは認証処理を終了し、前記特定個人と判定されなか
ったときは前記選択により次候補として挙げられた身体
的特徴を用いて認証するという段階的選定を前記複数種
類の身体的特徴を全て使用するまで反復して行い、利用
者が身体的特徴の選定を行う場合には、利用者は自ら指
定した身体的情報を入力して身体的特徴の抽出を行い前
記センタ側装置に送信し、前記センタ側装置では前記利
用者側端末から送信された身体的特徴と予め登録してい
る特定個人の身体的特徴とを照合し前記身体的特徴が前
記特定個人のものか否かの判定を行い、前記特定個人と
判定されたときは認証処理を終了し、前記特定個人と判
定されなかったときは前記指定により次候補に挙げられ
た身体的特徴を用いて認証するという段階的選定を前記
複数種類の身体的特徴を全て使用するまで反復して行
う。

【０００７】更に、本発明は次のように構成することも
できる。本発明は、個人固有の身体的特徴を抽出し該身
体的特徴を用いて本人確認を行う個人認証方法におい
て、利用者側端末が通信ネットワークを介してセンタ側
装置に接続されており、前記センタ側装置あるいは利用
者が複数種類の身体的特徴のなかから使用する身体的特
徴を順に選定して認証に用い、かつ、認証に係る処理は
前工程と後工程の２つに分割されている個人認証方法で
あり、前記センタ側装置が身体的特徴の選定を行う場合
には、複数種類の身体的特徴における認証結果をテーブ
ルに記憶しておき、予め設定された個人認証のセキュリ
ティレベルの情報と前記テーブルの情報とを用いて各身
体的特徴の信頼性を表わす評価関数を計算することによ
り複数種類のなかから認証に最も適する身体的特徴と前
工程の処理方法とを前記端末に送信し、前記端末は前記
前工程処理により前記センタ側装置が指定した身体的情
報を入力して身体的特徴の抽出を行い前記センタ側装置
に送信し、前記センタ側装置では後工程処理により前記
端末から送信された身体的特徴と予め登録している特定
個人の身体的特徴とを照合し前記身体的特徴が前記特定
個人のものか否かの判定を行い、前記特定個人と判定さ
れたときは認証処理を終了し、前記特定個人と判定され
なかったときは前記選定により次候補として挙げられた
身体的特徴を用いて認証するという段階的選定を前記複
数種類の身体的特徴を全て使用するまで反復して行い、
利用者が使用する身体的特徴の決定を行う場合には、前
記利用者側端末は前記認証サーバから送信されてきた前
工程処理方法により利用者の指定した身体的情報を入力
して身体的特徴の抽出を行い前記センタ側装置に送信
し、前記センタ側装置では後工程処理により前記端末か
ら送信された身体的特徴と予め登録している特定個人の
身体的特徴とを照合し前記身体的特徴が前記特定個人の
ものか否かの判定を行い、前記特定個人と判定されたと
きは認証処理を終了し、前記特定個人と判定されなかっ
たときは前記指定により次候補に挙げられた身体的特徴
を用いて認証するという段階的選定を前記複数種類の身
体的特徴を全て使用するまで反復して行う。

【０００８】これらの発明によっても、最適な身体的特
徴を選定することが可能となり、例えば、特開平１１−
５３５４０にあるようにランダムに身体的特徴を選定す
る方法よりも確実に認証を行うことが可能となる。更
に、ユーザが適切な身体的特徴を選択することもできる
ので、更に利便性が向上する。上記の構成において、前
記センタ側装置と前記利用者側端末との間の通信は公開
鍵暗号方式で行うようにすることができる。

【０００９】また、前記テーブルは認証が行われる毎に
得られる判定結果により内容が更新されることとしても
よい。これによれば、指定した優先度を保持しつつ、経
時変化を伴う環境下でも最適な身体的特徴の選定が可能
となる。本発明は、下記のような記録媒体として構成す
ることもできる。すなわち、本発明は、複数種類の身体
的特徴のなかから１つの身体的特徴を使用して認証を行
う処理をコンピュータに実行させる個人認証プログラム
を記録した記録媒体であって、認証結果をテーブルに記
憶する手順と、個人認証のセキュリティレベルを設定す
る手順と、該セキュリティレベルの情報と前記テーブル
の情報とを用いて各身体的特徴の信頼性を表わす評価関
数を計算することにより前記複数種類の身体的特徴のな
かから認証に最も適する身体的特徴を選定する手順と、
利用者から得られた身体的特徴と予め登録している特定
個人の身体的特徴とを照合し前記身体的特徴が前記特定
個人のものか否かの判定を行い、前記特定個人と判定さ
れたときは認証処理を終了し、前記特定個人と判定され
なかったときは前記評価関数により次候補として挙げら
れた身体的特徴を用いて認証するという段階的選定を複
数種類の身体的特徴を全て使用するまで反復して行う手
順とを有する。

【００１０】また、本発明は次のように構成することも
できる。本発明は、利用者側端末が通信ネットワークを
介してセンタ側装置に接続されており、前記センタ側装
置あるいは利用者が複数種類の身体的特徴のなかから使
用する身体的特徴を順に選定して認証を行う前記センタ
側装置の処理を実行する個人認証プログラムを記録した
記録媒体であって、複数種類の身体的特徴における認証
結果をテーブルに記憶する手順と、個人認証のセキュリ
ティレベルを設定する手順と、該セキュリティレベルの
情報と前記テーブルの情報とを用いて各身体的特徴の信
頼性を表わす評価関数を計算することにより複数種類の
身体的特徴のなかから認証に最も適する身体的特徴を選
択する手順と、前記利用者側端末から送信された身体的
特徴と予め登録している特定個人の身体的特徴とを照合
し前記身体的特徴が前記特定個人のものか否かの判定を
行い、前記特定個人と判定されたときは認証処理を終了
し、前記特定個人と判定されなかったときは前記選択に
より次候補として挙げられた身体的特徴を用いて認証す
るという段階的選定を前記複数種類の身体的特徴を全て
使用するまで反復して行う手順とを有する。

【００１１】更に、本発明は次のように構成することも
できる。本発明は、利用者側端末が通信ネットワークを
介してセンタ側装置に接続されており、前記センタ側装
置あるいは利用者が複数種類の身体的特徴のなかから使
用する身体的特徴を順に選定して認証を行う前記利用者
側端末の処理を実行する個人認証プログラムを記録した
記録媒体であって、利用者自ら個人認証のセキュリティ
レベルを設定する手順と、指定した身体的情報を入力し
て身体的特徴の抽出を行い前記センタ側装置に送信する
手順と、前記センタ側装置において本人と認証されなか
ったときは前記指定により次候補に挙げられた身体的特
徴を用いて認証するという段階的選定を前記複数種類の
身体的特徴を全て使用するまで反復して行う手順を有す
る。

【００１２】上記の記録媒体に記録されたプログラムを
コンピュータに読み込ませることによって、本発明の個
人認証方法を実施するためのセンタ側装置や利用者側端
末を実現することが可能となる。上述したように、本発
明は、本人受理・他人拒否の優先度をユーザ側あるいは
認証サーバ側で設定を行い、該設定によりサーバを運用
していく過程において使用したバイオメトリクスの認証
結果を統計的情報としてテーブルに登録しておき認証が
行われる毎に該テーブルを更新することにより最適なバ
イオメトリクスを使用できるようにしたものであり、認
証サーバのカスタマイズ、チューニングの自動化が可能
となる。

【００１３】

【発明の実施の形態】次に、本発明の実施例について図
面を参照して説明する。図１は本発明の一実施例を示す
個人認証システムのブロック構成図であって、ユーザ
１、ユーザ端末２、通信ネットワーク３、認証サーバ４
からなる。なお、認証サーバはセンタ側装置と称するこ
ともできる。ユーザ端末２は入力部２１、前工程処理部
２２、表示部２３、使用順序メモリ部２４からなり、前
工程処理部２２はＮ個の異なるセンサ（センサ１（２２
１）、センサ２（２２２）、... 、センサN （２２
３））とこれに対応する特徴抽出部（特徴抽出部１（２
２４）、特徴抽出部２（２２５）、... 、特徴抽出部N
（２２６））の組からなる。認証サーバ４は優先度設定
部４１、判定結果格納テーブル４２、選択部４３、後工
程処理部４４、個人特徴メモリ部４５からなる。後工程
処理部４４はＮ個の照合部（照合部１（４４１）、照合
部２（４４２）、... 、照合部N （４４３））とこれに
対応する判定部（判定部１（４４４）、判定部２（４４
５）、... 、判定部N （４４６））の組からなる。

【００１４】この個人認証システムは、ユーザ端末２に
おいて、複数のセンサのうちの１つのセンサにより取得
した情報からそのセンサに対応する特徴抽出部により身
体的特徴を取得し、認証サーバ４においてその身体的特
徴を、登録してある特徴と照合して個人認証を行う。本
実施例の動作を図２の処理フローを用いて説明する。図
２のフローでは、特に、複数のバイオメトリクスから使
用するバイオメトリクスを選択して使用する処理に着目
している。

【００１５】複数のバイオメトリクスの中から如何なる
バイオメトリクスを用いるかの選択権は認証サーバ４あ
るいはユーザ１の何れが有するかはステップ５０１にお
いて選択することができる。これは、例えば、ユーザが
選択することができる。認証サーバ４に選択権がある場
合、バイオメトリクスの使用順序k （k=1,2,...,N ）は
認証サーバ４が設定する。k=1 がセットされると（ステ
ップ５０２）、認証サーバ４は第k バイオメトリクスの
情報を入力するよう通信ネットワーク３を介して表示部
２３に提示する。ユーザ１は表示部２３の提示に従って
第k バイオメトリクスの情報をＮ個の中の指定されたセ
ンサから入力する。ユーザ端末２は抽出した特徴を通信
ネットワーク３を介して認証サーバ４に送信し、認証サ
ーバ４は後工程処理部４４で認証を行う（ステップ５０
３）。ユーザ１が本人と判定されると（ステップ５０
４）、受理を意味するメッセージが表示部２３に映し出
され（ステップ５０５）、処理は終了する。

【００１６】本人と判定されないと（ステップ５０
４）、k はk=k+1 にセットされ（ステップ５０６）、k
回までに使用されなかったバイオメトリクスのなかから
次に指定されたバイオメトリクスを用いて認証が行われ
（ステップ５０３）、本人か否かの判定がなされる（ス
テップ５０４）。前記処理が繰り返され、指定したN 個
のバイオメトリクスを全て使用しても（k>N ）なお本人
であると認証されない場合は（ステップ５０７）、最初
から再試行となる（ステップ５０８）。

【００１７】ユーザ１に選択権がある場合は、ユーザ１
はバイオメトリクスの使用順序k を入力部２１から設定
する（ステップ５０９）。ユーザ端末２はk=1 にセット
し（ステップ５１０）、第k バイオメトリクスを用いた
認証が行われる（ステップ５１１）。ユーザ１が本人と
判定されると（ステップ５１２）、受理され（ステップ
５１３）、処理は終了する。本人と判定されない場合は
（ステップ５１２）、k はk=k+1 に更新され（ステップ
５１４）、使用バイオメトリクスを変えて認証が繰り返
される。指定したN 個のバイオメトリクスを全て使用し
ても（k>N ）なお本人であると認証されない場合は（ス
テップ５１５）、最初から再試行となる（ステップ５１
６）。

【００１８】次に、本実施例の詳細な動作を図３、図４
を用いて説明する。図３は認証サーバ４に選択権がある
場合の処理フローを示す図である。ユーザ１が入力部２
１からＩＤ番号を投入すると認証サーバ４に送信される
（ステップ１、２）。バイオメトリクスは認証精度の高
いものから低いもの、ユーザにとって親和性のあるもの
から使いづらいものまで広範囲に存在する。優先度設定
部４１、判定結果格納テーブル部４２、選択部４３にお
ける処理でバイオメトリクスが選択される。ここでは概
要を説明し、詳細を後述する。

【００１９】優先度設定部４１は前記状況およびサービ
スの要求するセキュリティレベルを勘案し、本人受理、
他人拒否の各要素の占める度合いを決定する（ステップ
３）。選択部４３は本人受理、他人拒否の重視の度合い
とユーザ１のこれまでの各バイオメトリクスによる認証
結果が格納されている判定結果格納テーブル部４２の内
容からN 個あるバイオメトリクスの中から１番目に使用
する第１バイオメトリクスを後述する方法で決定し（ス
テップ４、５）、その名称をユーザ端末２に送信し表示
部２３に表示する（ステップ６）。

【００２０】ユーザ１は前記表示を見て第１バイオメト
リクスに対応するセンサを用いてバイオメトリクス情報
を入力し（ステップ７）、前工程処理部２２に存在する
プログラムを実行して特徴を抽出し（ステップ８）、認
証サーバ４に送信する。認証サーバ４ではその特徴を受
信し（ステップ９）、第１バイオメトリクスに対応する
照合部のプログラムを起動して個人特徴メモリ部４５に
格納されているユーザ１の登録特徴と送信されてきた第
１バイオメトリクスの特徴との間で照合を行い類似度あ
るいは相違度等の尺度を得る（ステップ１０）。判定部
では前記尺度に閾値を適用し前記第１バイオメトリクス
の特徴が本人のものであるか否かの判定を行いその判定
結果を判定結果格納テーブル部４２に書き込み、その内
容を更新する。該判定結果が本人であった場合はユーザ
端末２へのログインが受理され（ステップ１１、１
２）、他人であった場合は拒否される（ステップ１
３）。拒否が生じると選択部４３は残りの（N −１）個
のバイオメトリクスの中から２番目に使用する第２バイ
オメトリクスを決定しその名称をユーザ端末２に送信
し、上述した処理により第２バイオメトリクスによる認
証が行われる（ステップ１４〜）。以下、本人が認証さ
れるまで前記処理が繰り返し行われ、全てのバイオメト
リクスを使用しても本人認証に至らなかったときは、最
初から再試行となる。

【００２１】図４はユーザ１に選択権がある場合の処理
である。ユーザ１はＩＤ番号を投入し（ステップ１）、
次いで、効率性・親和性等の観点から使い勝手がよく高
精度で本人受理が可能となるバイオメトリクスを順に指
定するとその内容は使用順序メモリ部２４に格納される
（ステップ２、３）。続いて、使用順序メモリ部２４の
内容が読出され第１バイオメトリクスの入力を促す旨の
メッセージが表示部２３に表れるとユーザ１は第１バイ
オメトリクスに対応するセンサを用いてバイオメトリク
ス情報を入力し前工程処理部２２に存在するプログラム
を実行して特徴を抽出し、認証サーバ４に送信する（ス
テップ４、５）。

【００２２】以下、照合・判定が実行され本人の受理・
拒否が行われるところまでは図３の処理に同じである。
異なるのは拒否の場合の後処理であり、図３では認証サ
ーバ４は２番目の使用が決定されたバイオメトリクス名
をユーザ端末２に送信したのに対し、図４では本人拒否
通知を送信するところである（ステップ９）。本人拒否
通知を受信すると（ステップ１０）、ユーザ１は上述し
た処理と同様の処理で第２バイオメトリクスによる認証
を行い、以下、本人が認証されるまで前記処理が繰り返
し行われ（ステップ１１〜）、全てのバイオメトリクス
を使用しても本人認証に至らなかったときは、最初から
再試行となる。

【００２３】次に、前述したバイオメトリクスの選択の
処理について詳細に説明する。図５は判定結果格納テー
ブル４２の内容を示す図であり、各バイオメトリクスに
対する使用回数Ｔと本人拒否回数Ｒ、他人受理回数Ａが
格納されている。Ｔ、Ｒ、Ａは初期値は共に零である。
あるバイオメトリクスによる認証が実行されると、その
バイオメトリクスに対応するＴは１だけインクリメント
され、認証の結果、ユーザ１と認証されなければＲは１
だけインクリメントされる。他人受理回数Ａを実際の運
用で測定することは難しいので、ユーザ１と認証されな
かったとき、個人特徴メモリ部４５に格納されているユ
ーザ１以外の全てのユーザの特徴を入力として後工程処
理部４４でユーザ１の特徴との照合を行いユーザ１と認
証されれば、他人受理が行われたものとしてＡは１だけ
インクリメントされる。このように、Ｔ、Ｒ、Ａは認証
が実行される毎にその値が更新される。

【００２４】図６は選択部４３の構成図であり、評価関
数計算部４３１と最大値検出部４３２とからなる。評価
関数計算部４３１は優先度設定部４１から入力された本
人拒否に対する他人受理の重視度α、および、判定結果
格納テーブル４２から入力された使用回数Ｔ、本人拒否
回数Ｒ、他人受理回数Ａを用いて式(1) の評価関数G G ＝1 −（Ｒ＋αＡ）／Ｔ (1) の値を求める。式(1) の右辺第２項でＡはＲに比してα
倍の重みがかけられている。式(1) の右辺第２項はペナ
ルティの項であり、G の値はＡ、Ｒが小さいほど大きく
なり、Ｒ= Ａ=0のとき最大値１をとる。最大値検出回路
４３２は選考対象とするG の値の中における最大値を検
出し、対応するバイオメトリクス名をユーザ端末２の表
示部２３に表示し、ユーザ１にそのバイオメトリクス情
報の入力を促す。G は認証の都度計算されるので、当
初、高頻度で使用していたユーザ１のバイオメトリクス
が時間経過とともに認証精度が下降してきた場合、認証
サーバ４が代替となり得るバイオメトリクスを発見す
る。もし、多数のユーザの中にユーザ１のバイオメトリ
クスと類似のバイオメトリクスを有するユーザがいても
認証サーバ４がそのバイオメトリクスと異なるものを使
用するよう指示するので信頼性の高い認証が可能とな
る。類似のバイオメトリクスを有する新規ユーザが途中
から参加した場合、やはり、認証サーバ４の誘導により
異なるバイオメトリクスの使用に転換することができ
る。このように、使用環境が変化してもこれに追随でき
る仕組みとなっているので常に安定した認証が可能とな
る。また、上記操作は認証サーバ４が自動で行うので人
手によるカスタマイズ、チューニングの負担はかからな
い。

【００２５】図３、図４は前工程処理、後工程処理のプ
ログラムがそれぞれ前工程処理部２２、後工程処理部４
４に据付けになっている場合の処理手順を示している
が、前工程処理のプログラムを認証サーバ４が送信する
ことも可能であり、図７、図８はそのような構成におけ
る処理手順を示す図である。なお、以下の説明で用いら
れるProGUI等は各構成要素を示す記号であり、以下、記
号のみでその要素を参照する場合がある。

【００２６】図７は認証サーバ４に選択権がある場合の
処理である。ユーザ１はユーザの公開鍵Pk(A) 、秘密鍵
Sk(A) を生成し、次いでPk(A) とＩＤ番号を認証サーバ
４に送信する（ステップ１、２）。認証サーバ４はそれ
らを受信し（ステップ３）、優先度設定部４１、選択部
４３を相次いで起動し（ステップ４、５）、第１バイオ
メトリクスB1を得る（ステップ６）。また、ユーザ端末
２においてバイオメトリクス情報の入力メニューを表示
するＧＵＩ制御プログラムProGUIを読み出す（ステップ
７）。さらに、認証サーバ４は特徴抽出プログラムProF
ow、スクランブルプログラムSXPro をPk(A) で暗号化し
たEPk(A)(ProFow, SXPro) を作成し（ステップ８）、B
1、ProGUI、EPk(A)(ProFow, SXPro) をユーザ端末２に
送信する。ユーザ端末２ではProFow, SXPro が秘密鍵Sk
(A) により解読され（ステップ９、１０）、ユーザ１は
ProGUIの指示に従ってB1に対応するセンサから入力し
（ステップ１１）、ProFowを実行して特徴Kaz を抽出す
る（ステップ１２）。次に、SXPro によりKaz にスクラ
ンブルを掛けてKaz ｛-1｝を得（ステップ１３）、これ
らにESk(A)により暗号化したESk(A)(Kaz｛-1｝, ID) を
認証サーバ４に送信する（ステップ１４）。

【００２７】認証サーバ４ではPk(A) により解読を行い
（ステップ１５、１６）、Kaz ｛-1｝を取り出す。そし
て、個人特徴メモリ部４５からスクランブルの掛けられ
たユーザ１の特徴Kaz[0]｛-1｝が読み出され（ステップ
１７）、スクランブル解読プログラムSXPro ｛-1｝によ
りKaz 、Kaz[0]が復元される（ステップ１８）。この
後、照合部、判定部を起動してKaz の認証を行う一連の
処理シーケンスは図３に同じである。

【００２８】図８はユーザ１に選択権がある場合の処理
である。ユーザ１は効率性・親和性等の観点から使い勝
手がよく高精度で本人受理が可能となるバイオメトリク
スを順に指定し、使用順序メモリ部２４に格納してお
く。ユーザ１がユーザの公開鍵Pk(A) 、ＩＤ番号、およ
び、使用順序メモリ部２４から読出したB1を認証サーバ
４に送信し（ステップ１〜３）、認証サーバ４から返信
されてきたB1の特徴抽出プログラムProFowを用いて特徴
Kaz を抽出し（ステップ４〜９）、スクランブルプログ
ラムSXPro によりスクランブルをかけたデータと使用順
序メモリ部２４から読出した第１バイオメトリクス名B1
とを認証サーバ４に送信する（ステップ１０、１１）。

【００２９】この後、照合・判定が実行され本人の受理
・拒否が行われるところは図７の処理に同じである。異
なるのは拒否の場合の後処理であり、図７では認証サー
バ４はB2およびB2の特徴を抽出するためのプログラムPr
oGUI、ProFowとスクランブルプログラムSXPro をユーザ
端末２に送信したのに対し、図８ではB2が不要である。
前記データを受信すると、ユーザ１は上述した処理と同
様の処理でB2による認証を行い、以下、本人が認証され
るまで前記処理が繰り返し行われ、全てのバイオメトリ
クスを使用しても本人認証に至らなかったときは、最初
から再試行となる。

【００３０】なお、上記のように、個人認証処理におけ
る工程を分け、端末とサーバでそれぞれの処理を行うこ
ととすることにより、セキュリティーを保ち、通信量を
削減することができる。また、プログラムを暗号化して
端末に送ることにより、アルゴリズムの変更等を容易に
行うことができ、更にセキュリティーを高めることが可
能となる。

【００３１】本発明の個人認証システムは図１に示した
構成に限定されず、種々の構成が可能である。例えば、
図９に示した構成とすることができる。この個人認証シ
ステムは、ユーザ１、ユーザ端末２、通信ネットワーク
３、認証サーバ４から構成される。図１では照合部（照
合部１（４４１）、照合部２（４４２）、... 、照合部
N （４４３））が認証サーバ４にあるのに比べ、図９で
はユーザ端末２に配置されているところが異なる。

【００３２】この例においても、複数のバイオメトリク
スの中から如何なるバイオメトリクスを用いるかの選択
権は認証サーバ４あるいはユーザ１の何れが有してもよ
い。認証サーバ４に選択権がある場合は、バイオメトリ
クスの使用順序k （k=1,2,...,K 、K ；使用するバイオ
メトリクスの種類数）は認証サーバ４が設定する。k=1
がセットされると認証サーバ４は第k バイオメトリクス
の情報を入力するよう通信ネットワーク３を介して表示
部２３に提示する。ユーザ１は第k バイオメトリクスの
情報をＮ個の中の指定されたセンサから入力し抽出した
特徴を用いて照合を行い、その結果を通信ネットワーク
３を介して認証サーバ４に送信し、認証サーバ４は判定
部で本人か否かの判定を行う。ユーザ１が本人と判定さ
れると受理を意味するメッセージが表示部２３に映し出
され処理は終了する。本人と判定されないと、k はk=k+
1 にセットされ、次に指定されたバイオメトリクスを用
いて前記手順で認証が行われ本人か否かの判定がなされ
る。前記処理が繰り返され、指定したN 個のバイオメト
リクスを全て使用してもなお本人であると認証されない
場合は最初から再試行となる。

【００３３】ユーザ１に選択権がある場合は、ユーザ１
はバイオメトリクスの使用順序k を入力部２１により設
定し、使用順序メモリ部２４に格納される。ユーザ端末
２はk=1 にセットし、第k バイオメトリクスを用いた認
証が行われる。ユーザ１が本人と判定されると受理され
処理は終了する。本人と判定されない場合はk はk=k+1
に更新され、使用順序メモリ部２４に格納された情報が
読出され使用バイオメトリクスを変えて認証が繰り返さ
れる。指定したN 個のバイオメトリクスを全て使用して
もなお本人であると認証されない場合は最初から再試行
となる。

【００３４】本実施例の図９では照合部（照合部１（４
４１）、照合部２（４４２）、...、照合部N （４４
３））がユーザ端末２にある例を述べたが、判定部（判
定部１（４４４）、判定部２（４４５）、... 、判定部
N （４４６））までもがユーザ端末２に属し、判定結果
のみが認証サーバ４に送信される構成であっても良い。
更に、特徴入力から判定及びバイオメトリクス選択をス
タンドアロンで実施する個人認証装置とすることも可能
である。

【００３５】上述した各構成要素を実現するプログラム
はＣＤ−ＲＯＭやフロッピー（登録商標）ディスク等の
記録媒体に格納することができる。記録媒体に格納され
たプログラムをコンピュータにインストールすることに
より本発明の端末や認証サーバの処理を行うことが可能
である。また、上記のプログラムをコンピュータにプレ
インストールしておくことも可能である。

【００３６】以上、本発明を実施例に基づき具体的に説
明したが、本発明は前記実施例に限定されるものではな
く、その主旨を逸脱しない範囲において種々変更可能で
あることは言うまでもない。

【００３７】

【発明の効果】以上説明したように本発明によれば、本
人受理・他人拒否の優先度設定をユーザ側あるいは認証
サーバ側で行い、運用過程におけるバイオメトリクスの
認証結果を統計的情報としてテーブルに登録しておき認
証の都度更新するようにしたため、指定した優先度を保
持しつつ最適なバイオメトリクスを使用できる長所があ
る。また、更新は自動で行われる仕組みになっているた
め、多種多様な用途に供するための労力の削減、経時変
化を伴う環境下への適用が可能になるという長所があ
る。

【図面の簡単な説明】

【図１】本発明の一実施例を示す個人認証システムのブ
ロック構成図である。

【図２】図１における個人認証システムの処理フロー図
である。

【図３】図１における個人認証システムで認証サーバ４
に選択権がある場合の通信制御フロー図である。

【図４】図１における個人認証システムでユーザ１に選
択権がある場合の通信制御フロー図である。

【図５】判定結果格納テーブル４２の一例を示す図であ
る。

【図６】選択部４３のブロック構成図である。

【図７】図１の個人認証システムで認証サーバ４に選択
権があるときに前工程処理のプログラムが認証サーバ４
から送信されて来る場合の通信制御フロー図である。

【図８】図１における個人認証システムでユーザ１に選
択権があるときに前工程処理のプログラムが認証サーバ
４から送信されて来る場合の通信制御フロー図である。

【図９】本発明の別の実施例を示す個人認証システムの
ブロック構成図である。

【符号の説明】

１ ユーザ ２ ユーザ端末 ３ 通信ネットワーク ４ 認証サーバ ２１ 入力部 ２２ 前工程処理部 ２３ 表示部 ２２１ センサ１ ２２２ センサ２ ２２３ センサN ２２４ 特徴抽出部１ ２２５ 特徴抽出部２ ２２６ 特徴抽出部N ４１ 優先度設定部 ４２ 判定結果格納テーブル ４３ 選択部 ４４ 後工程処理部 ４５ 個人特徴メモリ部 ４４１ 照合部１ ４４２ 照合部２ ４４３ 照合部N

───────────────────────────────────────────────────── フロントページの続き (72)発明者 若原 徹 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 (72)発明者 外波 雅史 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 (72)発明者 堀岡 力 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 (72)発明者 田中 清人 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 (72)発明者 山中 喜義 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 (72)発明者 小松 尚久 東京都国分寺市光町１−26−24 Ｆターム(参考） 5B043 AA09 BA02 BA06 CA09 FA02 FA08 GA13 5B085 AE25

Claims (9)

【特許請求の範囲】
1. 【請求項１】 個人固有の身体的特徴を抽出し該身体的
   特徴を用いて本人確認を行う個人認証方法において、 複数種類の身体的特徴における認証結果をテーブルに記
   憶しておき、予め設定された個人認証のセキュリティレ
   ベルの情報と前記テーブルの情報とを用いて各身体的特
   徴の信頼性を表わす評価関数を計算することにより前記
   複数種類の身体的特徴のなかから認証に最も適する身体
   的特徴を選定して利用者に該身体的特徴の入力を要求
   し、利用者から得られた身体的特徴と予め登録している
   特定個人の身体的特徴とを照合し前記身体的特徴が前記
   特定個人のものか否かの判定を行い、前記特定個人と判
   定されたときは認証処理を終了し、前記特定個人と判定
   されなかったときは前記評価関数により次候補として挙
   げられた身体的特徴を用いて認証するという段階的選定
   を複数種類の身体的特徴を全て使用するまで反復して行
   うことを特徴とする個人認証方法。
2. 【請求項２】 個人固有の身体的特徴を抽出し該身体的
   特徴を用いて本人確認を行う個人認証方法において、利
   用者側端末が通信ネットワークを介してセンタ側装置に
   接続されており、前記センタ側装置あるいは利用者が複
   数種類の身体的特徴のなかから使用する身体的特徴を順
   に選定して認証に用いる方法であって、 センタ側装置が身体的特徴の選定を行う場合には、複数
   種類の身体的特徴における認証結果をテーブルに記憶し
   ておき、予め設定された個人認証のセキュリティレベル
   の情報と前記テーブルの情報とを用いて各身体的特徴の
   信頼性を表わす評価関数を計算することにより複数種類
   の身体的特徴のなかから認証に最も適する身体的特徴を
   選択して該身体的特徴の名称を前記利用者側端末に送信
   し、利用者は前記センタ側装置が指定した身体的情報を
   入力して身体的特徴の抽出を行い前記センタ側装置に送
   信し、前記センタ側装置では前記利用者側端末から送信
   された身体的特徴と予め登録している特定個人の身体的
   特徴とを照合し前記身体的特徴が前記特定個人のものか
   否かの判定を行い、前記特定個人と判定されたときは認
   証処理を終了し、前記特定個人と判定されなかったとき
   は前記選択により次候補として挙げられた身体的特徴を
   用いて認証するという段階的選定を前記複数種類の身体
   的特徴を全て使用するまで反復して行い、利用者が身体
   的特徴の選定を行う場合には、利用者は自ら指定した身
   体的情報を入力して身体的特徴の抽出を行い前記センタ
   側装置に送信し、前記センタ側装置では前記利用者側端
   末から送信された身体的特徴と予め登録している特定個
   人の身体的特徴とを照合し前記身体的特徴が前記特定個
   人のものか否かの判定を行い、前記特定個人と判定され
   たときは認証処理を終了し、前記特定個人と判定されな
   かったときは前記指定により次候補に挙げられた身体的
   特徴を用いて認証するという段階的選定を前記複数種類
   の身体的特徴を全て使用するまで反復して行うことを特
   徴とする個人認証方法。
3. 【請求項３】 個人固有の身体的特徴を抽出し該身体的
   特徴を用いて本人確認を行う個人認証方法において、利
   用者側端末が通信ネットワークを介してセンタ側装置に
   接続されており、前記センタ側装置あるいは利用者が複
   数種類の身体的特徴のなかから使用する身体的特徴を順
   に選定して認証に用い、かつ、認証に係る処理は前工程
   と後工程の２つに分割されている個人認証方法であっ
   て、 前記センタ側装置が身体的特徴の選定を行う場合には、
   複数種類の身体的特徴における認証結果をテーブルに記
   憶しておき、予め設定された個人認証のセキュリティレ
   ベルの情報と前記テーブルの情報とを用いて各身体的特
   徴の信頼性を表わす評価関数を計算することにより複数
   種類のなかから認証に最も適する身体的特徴と前工程の
   処理方法とを前記端末に送信し、前記端末は前記前工程
   処理により前記センタ側装置が指定した身体的情報を入
   力して身体的特徴の抽出を行い前記センタ側装置に送信
   し、前記センタ側装置では後工程処理により前記端末か
   ら送信された身体的特徴と予め登録している特定個人の
   身体的特徴とを照合し前記身体的特徴が前記特定個人の
   ものか否かの判定を行い、前記特定個人と判定されたと
   きは認証処理を終了し、前記特定個人と判定されなかっ
   たときは前記選定により次候補として挙げられた身体的
   特徴を用いて認証するという段階的選定を前記複数種類
   の身体的特徴を全て使用するまで反復して行い、 利用者が使用する身体的特徴の決定を行う場合には、前
   記利用者側端末は前記認証サーバから送信されてきた前
   工程処理方法により利用者の指定した身体的情報を入力
   して身体的特徴の抽出を行い前記センタ側装置に送信
   し、前記センタ側装置では後工程処理により前記端末か
   ら送信された身体的特徴と予め登録している特定個人の
   身体的特徴とを照合し前記身体的特徴が前記特定個人の
   ものか否かの判定を行い、前記特定個人と判定されたと
   きは認証処理を終了し、前記特定個人と判定されなかっ
   たときは前記指定により次候補に挙げられた身体的特徴
   を用いて認証するという段階的選定を前記複数種類の身
   体的特徴を全て使用するまで反復して行うことを特徴と
   する個人認証方法。
4. 【請求項４】 前記センタ側装置と前記利用者側端末と
   の間の通信は公開鍵暗号方式で行うものであることを特
   徴とする請求項２または請求項３記載の個人認証方法。
5. 【請求項５】 前記テーブルは認証が行われる毎に得ら
   れる判定結果により内容が更新されることを特徴とする
   請求項１ないし請求項３のうちいずれか１項記載の個人
   認証方法。
6. 【請求項６】 複数種類の身体的特徴のなかから１つの
   身体的特徴を使用して認証を行う処理をコンピュータに
   実行させる個人認証プログラムを記録した記録媒体であ
   って、 認証結果をテーブルに記憶する手順と、個人認証のセキ
   ュリティレベルを設定する手順と、該セキュリティレベ
   ルの情報と前記テーブルの情報とを用いて各身体的特徴
   の信頼性を表わす評価関数を計算することにより前記複
   数種類の身体的特徴のなかから認証に最も適する身体的
   特徴を選定する手順と、利用者から得られた身体的特徴
   と予め登録している特定個人の身体的特徴とを照合し前
   記身体的特徴が前記特定個人のものか否かの判定を行
   い、前記特定個人と判定されたときは認証処理を終了
   し、前記特定個人と判定されなかったときは前記評価関
   数により次候補として挙げられた身体的特徴を用いて認
   証するという段階的選定を複数種類の身体的特徴を全て
   使用するまで反復して行う手順とを有することを特徴と
   する個人認証プログラムを記録した記録媒体。
7. 【請求項７】 前記テーブルは認証が行われる毎に得ら
   れる判定結果により内容が更新されることを特徴とする
   請求項６記載の個人認証プログラムを記録した記録媒
   体。
8. 【請求項８】 利用者側端末が通信ネットワークを介し
   てセンタ側装置に接続されており、前記センタ側装置あ
   るいは利用者が複数種類の身体的特徴のなかから使用す
   る身体的特徴を順に選定して認証を行う前記センタ側装
   置の処理を実行する個人認証プログラムを記録した記録
   媒体であって、 複数種類の身体的特徴における認証結果をテーブルに記
   憶する手順と、個人認証のセキュリティレベルを設定す
   る手順と、該セキュリティレベルの情報と前記テーブル
   の情報とを用いて各身体的特徴の信頼性を表わす評価関
   数を計算することにより複数種類の身体的特徴のなかか
   ら認証に最も適する身体的特徴を選択する手順と、前記
   利用者側端末から送信された身体的特徴と予め登録して
   いる特定個人の身体的特徴とを照合し前記身体的特徴が
   前記特定個人のものか否かの判定を行い、前記特定個人
   と判定されたときは認証処理を終了し、前記特定個人と
   判定されなかったときは前記選択により次候補として挙
   げられた身体的特徴を用いて認証するという段階的選定
   を前記複数種類の身体的特徴を全て使用するまで反復し
   て行う手順とを有することを特徴とする個人認証プログ
   ラムを記録した記録媒体。
9. 【請求項９】 利用者側端末が通信ネットワークを介し
   てセンタ側装置に接続されており、前記センタ側装置あ
   るいは利用者が複数種類の身体的特徴のなかから使用す
   る身体的特徴を順に選定して認証を行う前記利用者側端
   末の処理を実行する個人認証プログラムを記録した記録
   媒体であって、 利用者自ら個人認証のセキュリティレベルを設定する手
   順と、指定した身体的情報を入力して身体的特徴の抽出
   を行い前記センタ側装置に送信する手順と、前記センタ
   側装置において本人と認証されなかったときは前記指定
   により次候補に挙げられた身体的特徴を用いて認証する
   という段階的選定を前記複数種類の身体的特徴を全て使
   用するまで反復して行う手順を有することを特徴とする
   個人認証プログラムを記録した記録媒体。