JP5276554B2 - 生体情報認証装置および生体情報認証プログラム - Google Patents

Description

本発明は、生体情報を利用して本人か否かを認証する生体情報認証装置および生体情報認証プログラムに関する。

近年、ピッキングによる住宅等への不正侵入、パスワード盗撮等による他人の銀行口座への侵入、コンピュータネットワークへの不正侵入などの事件が増加している。
こうした不正行為に対応するため、より偽造が困難であり、本人であることの保証能力が高い「鍵」として、生体情報が使用されるようになってきている。

例えば、住宅の鍵を電子錠にして、予め本人の指紋、虹彩、顔写真、血管パターンなどの生体情報を登録しておき、開錠要求者の生体情報を取得（以下「採取」と記載する場合もある。）して照合を行い、一致した場合に開錠するといった装置が実用化されている。同様の方法は、銀行のＡＴＭや、ＰＣ起動時の本人確認等においても使用されている。

生体情報認証を行うためには、まず照合用原本としての生体情報を何らかの方法で採取して記録する必要がある。また、認証時においては、生体情報を取得する機能（生体情報取得機能）、および取得した生体情報を照合用原本と対比して一致しているかどうかを判定する機能（一致判定機能）が必要となる。

生体情報取得機能に関しては、赤外線を指に照射して指静脈の血管像を撮影し、撮影結果の画像データを取得する装置が知られている。指紋、虹彩、顔写真等による生体情報認証についても、生体情報を取得するためのさまざまな装置や方法が知られている（例えば、特許文献１参照）。

ここで、一致判定機能に関しては、生体情報認証に独特の問題が存在する。即ち、同一の生体情報を採取する場合でも、採取条件によって採取結果が異なるため、照合用原本として採取・記録した生体情報と、認証時に採取した生体情報を単純に比較しても、一致することはない。例えば、指静脈の血管の太さは一日の時間帯によって多少異なるし、成長によって変化する。

このため、生体情報認証においては、照合用原本として採取・記録した生体情報と、認証時に採取した生体情報が類似しているかどうかを判定し、所定の基準以上に類似している場合には、一致しているとみなすことになる。

具体的には、生体情報の類似度を計算し、類似度が一定値（以下「閾値」という。）以上であれば本人であると判定する方法が一般的に行われている。即ち、ｎ人の生体情報が照合用原本として記録されている場合、認証時に採取された生体情報を、このｎ人の生体情報と照合して類似度を計算する。そして、そのうち類似度が最も高いものについて閾値と比較し、類似度が閾値以上であれば認証成功とする。以下、この方法を「１対Ｎ認証」と記載する。

また、生体情報と対にして識別コードを登録しておき、認証時には生体情報を採取するほかに識別コードの入力を要求し、まず、識別コードの一致判定によって生体情報の照合用原本を決定し、採取した生体情報と比較して類似度が閾値以上であれば認証成功とする方法も行われている。以下、この方法を「１対１認証」と記載する。

以上に説明した生体情報認証では、類似度が所定の閾値以上であれば本人であると判定されてしまう。従って、他人を誤って本人と判定しないためには、閾値を高めに設定する必要がある。しかしながら、閾値をいくら高く設定したとしても、意図的で巧妙な成りすましを防ぐことはできない。

例えば、照合用原本が窃取されると、この照合用原本を、照合時に採取した生体情報に変えて類似判定させることで容易に本人に成りすますことができる。このような単純な成りすましは、照合用原本と判定対象の生体情報が完全に一致する場合には認証失敗とすることで防止することができるが、窃取した照合用原本の一部だけを改竄することによって、上記の防止策を潜り抜けることができる。

このため、このような成りすましを防止する技術として、特許文献２は、生体情報を複数の部分に分割し、各部分ごとに一致判定を行い、一部分のみ異なり、他の部分は一致していれば照合用原本が改竄されたものとみなして認証失敗とする技術を開示する。
また、特許文献２は、生体情報を示す各部分のデータを一律に増加または減少させ、あるいはシフトさせて各部分ごとに一致判定を行い、各部分が一致していれば認証失敗とする技術を開示する。

特開２００３-１８７２３５号公報 特開２００１-２８３２２３号公報

しかし、例えば、生体情報を示す各部分のデータを増加または減少させる割合が部分ごとに異なるような改竄が行われた場合、特許文献２の技術によっては、成りすます行為を防止することはできない。この他にも生体情報を改竄するための様々な方法が考えられる。特許文献２の技術によっては、様々な方法で改竄された生体情報全てについて成りすます行為を防止することは困難である。

本発明は、上記実情に鑑みてなされたものであり、生体情報を改竄する方法にかかわらず、本人以外の第三者が成りすまして認証されることを防止することができる生体情報認証装置および生体情報認証プログラムを提供することを目的とする。

上記目的を達成するため、本発明に係る生体情報認証装置は、
照合用原本となる生体情報を記憶する原本記憶手段と、
認証対象の生体情報を取得する生体情報取得手段と、
前記原本記憶手段に記憶されている照合用原本となる生体情報と前記生体情報取得手段によって取得された認証対象の生体情報との類似度を求める類似度算出手段と、
前記類似度算出手段によって求められた類似度を記憶する類似度記憶手段と、
前記類似度記憶手段に記憶されている複数の類似度に基づいて基準値を求め、前記類似度算出手段によって求められた類似度が、当該基準値と、前記照合用原本となる生体情報と前記認証対象の生体情報が完全に一致する場合の類似度との間の値である場合に、前記生体情報取得手段によって取得された生体情報は成りすまされた生体情報と判定する判定手段と、
前記類似度算出手段によって求められた類似度に基づいて、前記生体情報取得手段によって取得された生体情報は本人と他人のいずれの生体情報かを認証する認証手段と、
前記類似度記憶手段に類似度が記憶されている生体情報のうち、前記判定手段によって成りすまされた生体情報と判定された生体情報について、当該生体情報が所定の条件を満たす場合に本人の生体情報と再判定する再判定手段と、
を備え、
前記判定手段が、前記類似度記憶手段に記憶されている各類似度のうち、前記認証手段によって本人の生体情報と認証された生体情報の類似度と、前記再判定手段によって本人の生体情報と再判定された生体情報の類似度とに基づいて前記基準値を求める、
ことを特徴とする。

また、本発明に係る生体情報認証プログラムは、
コンピュータを、
照合用原本となる生体情報を記憶する原本記憶手段と、
認証対象の生体情報を取得する生体情報取得手段と、
前記原本記憶手段に記憶されている照合用原本となる生体情報と前記生体情報取得手段によって取得された認証対象の生体情報との類似度を求める類似度算出手段と、
前記類似度算出手段によって求められた類似度を記憶する類似度記憶手段と、
前記類似度記憶手段に記憶されている複数の類似度に基づいて基準値を求め、前記類似度算出手段によって求められた類似度が、当該基準値と、前記照合用原本となる生体情報と前記認証対象の生体情報が完全に一致する場合の類似度との間の値である場合に、前記生体情報取得手段によって取得された生体情報は成りすまされた生体情報と判定する判定手段と、
前記類似度算出手段によって求められた類似度に基づいて、前記生体情報取得手段によって取得された生体情報は本人と他人のいずれの生体情報かを認証する認証手段と、
前記類似度記憶手段に類似度が記憶されている生体情報のうち、前記判定手段によって成りすまされた生体情報と判定された生体情報について、当該生体情報が所定の条件を満たす場合に本人の生体情報と再判定する再判定手段と、
して機能させ、
前記判定手段が、前記類似度記憶手段に記憶されている各類似度のうち、前記認証手段によって本人の生体情報と認証された生体情報の類似度と、前記再判定手段によって本人の生体情報と再判定された生体情報の類似度とに基づいて前記基準値を求める。

本発明によれば、生体情報認証において、生体情報を改竄する方法にかかわらず、本人以外の第三者が成りすまして認証されることを防止することができる。

本発明の第１の実施形態に係る生体情報認証装置の構成の一例を示す図である。 照合用指静脈画像ファイルのデータ構成の一例を示す図である。 照合履歴ファイルのデータ構成の一例を示す図である。 本発明の第１の実施形態に係る生体情報認証処理のフローチャートの一例を示す図である。 本発明の第２の実施形態に係る生体情報認証システムの構成の一例を示す図である。 本発明の第３の実施形態に係る生体情報認証システム３の構成の一例を示す図である。 本発明の第３の実施形態に係る生体情報認証システムのクライアントにおける認証依頼処理のフローチャートの一例を示す図である。 本発明の第３の実施形態に係る生体情報認証システムの認証サーバにおける認証処理のフローチャートの一例を示す図である。 照合履歴ファイルのデータ構成の別の例を示す図である。

まず、本発明の原理について説明する。

同一の生体（例えば指静脈）であっても、採取条件によって採取した生体情報は異なる。このため、以前採取した生体情報と今回採取した生体情報が完全に一致することはありえないと考えて良い。従って、生体情報全体、あるいはある程度の範囲の生体情報の一部が完全に一致した場合には成りすましであると判定することができる。

ここで、認証時に採取した生体情報全体が照合用原本と完全に一致することがありえないと考えて良いのであれば、認証時に採取した生体情報全体と照合用原本の一致度は、上記完全一致の場合の数値を１００％としたとき、ある所定の判定基準値（例えば９９．９９％）を超える値になることはありえないと考えて良いはずである。

従って、この所定の判定基準値を得ることができたならば、類似度が当該所定の判定基準値以上の場合は成りすましと判定することができる。

以下、本発明の実施形態について図面を参照しながら説明する。

図１は、本発明の第１の実施形態に係る生体情報認証装置１の構成の一例を示す図である。
第１の実施形態に係る生体情報認証装置１は、コンピュータ１０と、入力装置２０と、指静脈取得装置３０と、表示装置４０と、記憶装置５０とで構成される。

コンピュータ１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、メモリ１２、図示していない内部バス、外部インタフェース装置等を有する。生体情報認証装置１は、例えば、指静脈取得装置３０を備えたＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の一般的なコンピュータである。

ＣＰＵ１１は、起動時等の所定タイミングで、認証プログラム１３を、図示していない磁気ディスク等の記憶装置からメモリ１２にローディングする。そして、ＣＰＵ１１は、認証プログラム１３の命令コードを実行し、生体情報認証機能を実現する。
メモリ１２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等を含む。メモリ１２には、認証プログラム１３の他に、文書作成プログラム等のプログラムがローディングされる。

入力装置２０は、キーボードやマウス等を含む。入力装置２０は、利用者の操作指示を受け付ける。

指静脈取得装置３０は、利用者の指静脈を赤外線等によって撮像し、指静脈の画像データを作成する。

表示装置４０は、ディスプレイ、プリンタ等を含む。表示装置４０は、認証プログラム１３の処理結果等を表示する。

記録装置５０は、磁気ディスク装置や光ディスク装置等で構成される。記録装置５０は、照合用指静脈画像ファイル５１と照合履歴ファイル５２を記録している。

照合用指静脈画像ファイル５１には、後述するように全ての認証対象者の照合用生体情報等が記録される。照合用指静脈画像ファイル５１は、ＣＰＵ１１が、認証プログラム１３を実行するために参照する。なお、照合用指静脈画像ファイル５１を作成する処理については、本発明の目的と直接関係がないため、特に説明しない。

照合履歴ファイル５２には、認証処理を行った日時、その際の類似度等の認証履歴が記録される。後述するように、ＣＰＵ１１は、照合履歴ファイル５２を参照して、成りすましの判定基準とする閾値を決定する。また、ＣＰＵ１１は、認証日時、認証時に計算した類似度等を照合履歴ファイル５２に記録する。

生体情報認証装置１は、利用者が文書作成等を行うためにＰＣを使用する際、使用に先立って、利用者の利用権限を認証するために使用される。即ち、認証成功した場合には、利用者はＰＣを使用することができ、認証失敗した場合には、利用者はＰＣを使用することができない。

例えば、会社内でＰＣを共同で使用する場合、利用者が参照・更新可能なファイルや、使用可能なアプリケーション等を、利用者に応じて変える必要がある。このような場合、当該ＰＣに、後述するような生体情報認証機能を組み込むことで、生体情報認証装置１として使用することができる。例えばＰＣにログインする際に生体情報認証によって利用権限の有無を判定するとともに、利用者を一意に識別するＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）を取得し、取得したＩＤをファイルの参照や更新権限の判定のために使用することができる。

また、家庭内において、例えば子供が両親に成りすましてＰＣにログインし、ＷＥＢのアクセス禁止サイトにアクセスするような行為を防ぐ必要がある。その場合、家族が使用するＰＣに生体情報認証機能を組み込むことで、当該ＰＣを生体情報認証装置１として使用することができる。

図２は、照合用指静脈画像ファイル５１のデータ構成の一例を示す図である。
照合用指静脈画像ファイル５１は、認証対象者すなわち生体情報認証装置１の利用者（ｍ人）分の照合用レコード５１０から構成される。各照合用レコード５１０は、識別コード５１１、および指静脈画像５１２から構成される。

識別コード５１１は、生体情報認証装置１の各利用者に対応するコードであり、生体情報認証装置１の各利用者を一意に識別するＩＤである。識別コード５１１によって各照合用レコード５１０を一意に識別することができる。識別コード５１１は、例えば照合用レコード５１０の作成順に連続通番を付与しても良いし、利用者を登録する処理において、利用者が入力したコードを付与しても良い。
指静脈画像５１２は、生体情報認証装置１の利用者を照合するための照合用原本であり、照合用レコード５１０の作成時に、利用者の静脈パターンを赤外線等によって撮影し、指静脈パターン画像として記録したものである。

図３は、照合履歴ファイル５２のデータ構成の一例を示す図である。
照合履歴ファイル５２は、認証対象者（ｍ人）分の照合履歴レコード５２０から構成される。各照合履歴レコード５２０は、識別コード５２１、およびｎ回分の認証履歴５２２から構成される。

識別コード５２１は、照合用レコード５１０の識別コード５１１と同じく、生体情報認証装置１の各利用者に対応するコードである。識別コード５２１によって各照合履歴レコード５２０を一意に識別することができる。認証履歴５２２は、認証日時５２３、類似度５２４、認証成否５２５、および参照可否５２６のデータ項目から構成される。認証履歴５２２は、認証プログラム１３による認証結果等を記録するためのデータ項目である。一度も認証したことがない認証対象者について、認証履歴５２２は記録されていない。このとき、ｎ＝０である。

認証日時５２３には、ＣＰＵ１１が認証処理を行った年月日時刻が、例えば、”２００９０６３０１４０９４３”（２００９年６月３０日１４時９分４３秒）のように記録されている。

類似度５２４には、当該認証において指静脈取得装置３０が撮像した利用者の指静脈画像が、当該利用者の指静脈画像５１２とどの程度類似していたかを示す値が設定される。なお、以降の説明では類似度５２４には０から１００までの値が設定されるものとする。１００が設定された場合は完全に一致しており、１００に近いほど類似しているものとする。ただし、類似度を数値として示す方法はこれに限られるわけではない。

認証成否５２５には、当該認証において認証が成功したことを示す値（利用者が本人であると認証されたか）、あるいは認証が成功しなかったことを示す値が設定される。以降の説明では、成功した場合“成功”が、成功しなかった場合“失敗”が設定されているものとする。

参照可否５２６には、当該類似度５２４を本人の過去の認証結果として参照して良いことを示す値、あるいは本人の過去の認証結果として参照してはいけないことを示す値が設定される。以降の説明では、参照して良い場合“参照可”、あるいは参照してはいけない場合“参照不可”が設定されているものとする。詳しくは後述するが、ＣＰＵ１１が認証処理を行ったとき、認証に成功した場合には“参照可”、成功しなかった場合は“参照不可”が設定される。従って認証処理終了直後には、認証成否５２５の設定値（“成功”または“失敗”）と参照可否５２６の設定値（“参照可”または“参照不可”）はそれぞれ対応している。

ただし、例えば、成りすましと判定した認証の直後に認証が成功した場合は、実は成りすましではなかったと判断可能である（詳細については、後述する）。
このような場合、誤って成りすましと判定されたため、認証成否５２５は“失敗”となっている。この場合、ＣＰＵ１１は、成りすましではなかったと判断した生体情報を本人の生体情報であると再判定する。ＣＰＵ１１は、参照可否５２６を“参照不可”から“参照可”に変更し、認証成否５２５を“失敗”としたまま、次回以降の認証処理時に、当該類似度５２４を本人の類似度として参照する。

なお、認証履歴５２２の数（ｎ）は特に制限を設けず、認証処理を行うたびに認証履歴５２２が増えるようにしても良い。ただし、現実には記憶装置５の容量による制約があるので、例えば所定数（例えば１００回）の最近の認証履歴を残すようにしても良いし、あるいは、所定期間、例えば最近数か月分の認証履歴を残すようにしても良い。

次に、生体情報認証装置１を使用した生体情報認証における処理の流れについて説明する。
なお、認証処理の前提として、各認証対象者について照合用レコード５１０を作成する処理（認証対象者について識別コード５１１を付与し、識別コード５１１と指静脈画像５１２を設定する処理）が行われる。ただし、当該処理の内容は本発明とは直接関係がないので説明を省略する。以降は、照合用レコード５１０が作成済みであるという前提で説明する。

図４は、本発明の第１の実施形態に係る生体情報認証処理のフローチャートの一例を示す図である。
例えば、ＰＣが起動されると、ＣＰＵ１１は、認証プログラム１３をローディングし、生体情報認証処理を開始する。ＣＰＵ１１は、生体情報認証装置１の利用者に認証操作を促すメッセージを表示装置４０に表示する。なお、ＰＣの起動時でなく、特定のプログラム（例えば文書作成プログラム）が起動されたタイミングで認証プログラム１３をローディングするようにしても良い。

次に、ＣＰＵ１１は、指静脈取得装置３０に利用者の指静脈画像を撮像するように指示する。利用者が指静脈取得装置３０に指をかざす等の操作を行うと、指静脈取得装置３０は指静脈画像を撮像する。ＣＰＵ１１は、撮像された指静脈画像を取得し、認証対象の生体情報としてメモリ１２に記憶する。（Ｓ１０１）
なお、ＣＰＵ１１が情報をメモリ１２に記憶するのは周知技術であるので、以降の説明ではこのような処理についての記載を省略する。

ＣＰＵ１１は、認証対象の生体情報と、全ての照合用レコード５１０の指静脈画像５１２を照合し、それぞれの類似度を計算する。指静脈パターンの照合方法、類似度の計算方法については、周知技術であるのでここでは説明を省略する。
ＣＰＵ１１は、得られた各類似度のうち最大値を選択し、当該最大類似度（以下、現最大類似度という。）を得ることができた照合用レコード５１０を認証候補とする。（Ｓ１０２）。

次に、ＣＰＵ１１は、現最大類似度と所定の閾値を比較する（Ｓ１０３）。ＣＰＵ１１は、現最大類似度＞閾値となる場合（なお、現最大類似度≧閾値と判定しても良い。）、照合成功とする（Ｓ１０３：ＹＥＳ）。この場合、認証プログラム１３は、成りすまし行為が行われているかを判定する（Ｓ１０４）。

具体的には、ＣＰＵ１１は、認証候補とした照合用レコード５１０の識別コード５１１を参照し、当該利用者の照合履歴レコード５２０（識別コード５２１に識別コード５１１と同一値が設定されている照合履歴レコード５２０）を取得する。次に、ＣＰＵ１１は、参照可否５２６に“参照可”が設定されている認証履歴５２２の類似度５２４を全て参照し、類似度５２４の最大値を求める（以下「過去の最大類似度」という。）。

そして、ＣＰＵ１１は、現最大類似度と過去の最大類似度を比較し、現最大類似度＞過去の最大類似度となる場合（なお、現最大類似度≧過去の最大類似度と判定しても良い）、成りすましが行われたと判定する。つまり、ＣＰＵ１１は、過去の類似度を超えている場合は成りすましであると判定する。
逆に現最大類似度≦過去の最大類似度（又は、現最大類似度＜過去の最大類似度）の場合、ＣＰＵ１１は、成りすましではなく本人による認証が行われたと判定する。
なお、初回の認証時（認証履歴５２２が存在しない場合）、ＣＰＵ１１は、上述の成りすまし判定を行うことなく、認証成功とする。

ここで、前述したように、類似度の数値化方法は完全一致の場合の値を１００として０から１００の範囲内とする方法に限られるものではなく、例えば、完全一致の場合の値を０として１から０の範囲とすることもできる。このように類似度を表す数値が小さいほど類似しているような場合には、例えば現最大類似度＜閾値の場合に照合成功とする等、判定方法を変更する必要がある。
これは成りすましの判定基準値との比較判定も同じであり、一般化して言えば、類似度が完全一致を示す値と成りすましの判定基準値の間にある場合に、成りすましと判定すれば良い。

ＣＰＵ１１は、本人による認証が行われたと判定した場合（Ｓ１０４：ＹＥＳ）、最終的に認証成功と判定し、照合履歴レコード５２０に、認証履歴５２２を追加する（Ｓ１０５）。このとき、ＣＰＵ１１は、認証日時５２３には認証を行った年月日時刻を、類似度５２４には前述した現最大類似度を、認証成否５２５には“成功”を、参照可否５２６には“参照可”を設定する。

一方、ＣＰＵ１１は、認証が成功しなかった場合（Ｓ１０３：ＮＯ）、又は成りすましが行われたと判定した場合（Ｓ１０４：ＮＯ）、最終的に認証失敗と判定し、照合履歴レコード５２０に、認証履歴５２２を追加する（Ｓ１０６）。このとき、ＣＰＵ１１は、認証日時５２３には認証を行った年月日時刻を、類似度５２４には前述した現最大類似度を、認証成否５２５には“失敗”を、参照可否５２６には“参照不可”を設定する。

次に、ＣＰＵ１１は、認証結果を表示装置４０に表示して処理を終了する（Ｓ１０７）。
なお、処理を終了するのでなく、ＣＰＵ１１は、ステップＳ１０１に戻り、表示装置４０に、生体情報認証装置１の利用者に認証操作を促すメッセージを表示しても良い。このようにすることで、本人でありながらたまたま認証失敗したような場合に、再度認証を試みることができる。
また、ＣＰＵ１１は、連続して認証に失敗した回数をカウンタにより数えておき、所定回数以上に達したときは処理を終了するようにしても良い。このようにすることで、成りすまそうとしている者が際限なく認証操作を行うことを防止することができる。
なお、当然ながら、認証が最終的に成功した場合には利用者は認証対象となった操作（例えばＰＣの使用、文書作成プログラムの操作）等を行うことができ、失敗した場合は当該操作を行うことができない。

ここで、上述した本人かどうかの判定処理（Ｓ１０４の処理）は、次のような前提によるものである。
すなわち、生体情報の照合用原本を登録する場合、会社等での認証に使用するためであれば、生体情報の登録に熟練した者の立会い・指導の下、何度かの撮像を行い、その中からできるだけ鮮明な撮像結果を選んで照合用原本とするはずである。また、家庭内で生体情報の照合用原本を登録する場合であっても、十分な注意を行い、できるだけ鮮明な撮像結果を照合用原本として登録するはずである。

一方、ＰＣを使用する際には、できるだけ手間をかけずに認証を行いたいという心理が働き、指の置き位置・撮像用カメラと指との距離等に十分な注意を払うことなく、撮像を行いがちである。また、指をどのような向きにして撮像を行うか等の撮像条件には個人の癖がある。
以上の結果、ＰＣを使用する際に撮像した生体情報を照合用原本と照合すると、類似度は、完全一致を意味する１００％を下回る値を平均値として平均値周辺に分布することになるはずである。従って、過去の類似度の最大値を成りすまし判定のための基準値（所定の判定基準値）として使用することができる。

ところで、上述した本人かどうかの判定処理（Ｓ１０４の処理）には、次のような注意すべき点がある。
まず、上述した処理においては過去において認証成功した際の類似度５２４をそのまま使用しているため、本人によって過去の最大類似度を上回る指静脈画像が取得できた場合にも成りすましと判断されてしまう点である。
特に認証履歴５２２が十分に蓄積されていない場合（例えば２回目の認証時）には本人であっても成りすましと判定される可能性が高い。
従って、常に成りすましの判定を行うのでなく、認証履歴５２２が十分に蓄積されていない場合、例えば、認証履歴５２２の数が１０以下である場合には、成りすましの判定を行うことなく、認証成功としても良い。

このようにすることで、照合用原本を作成してから所定期間は成りすまし判定が行われないというデメリットは生ずるが、そもそも照合用原本が窃取されるのは照合用原本が作成されてからいくばくかの期間が経過してからのことが多いはずである。このため、大きな問題にはならない。さらに、照合用原本作成直後に、試験的認証を１０回行うことで、成りすまし判定が行われないという問題は実質的に解消する。

また、上記の処理に加え、あるいは上記の処理は行わずに、過去において認証成功した際の類似度５２４をそのまま使用するのでなく、ある程度の誤差の幅を持たせて過去の最大類似度を計算しても良い。
例えば、過去において認証成功した際の類似度５２４の統計的平均値と分散値を計算し、平均値＋３×分散値を、成りすまし判定のための基準値（所定の判定基準値）とすれば良い。

次に、成りすましと判定した場合でも、その後の再度の認証によって成りすましではなかったことが分かる場合がある。例えば、成りすましと判定した認証の直後に認証が成功した場合は、実は成りすましではなかったと判断可能である。
このような場合を考慮に入れるなら、認証成否５２５に“失敗”が設定されている各認証履歴５２２に対して、その認証履歴５２２に記録されている認証日時５２３から所定時間（例えば２分）が経過する前の認証日時５２３であって、認証成否５２５に“成功”が設定されている認証履歴５２２が存在している場合は、当該認証履歴５２２（認証成否５２５に“失敗”が設定されている認証履歴５２２）の参照可否５２６を“参照可”に修正する修正処理を行うことができる。
参照可否５２６に“参照可”が設定されている認証履歴５２２の類似度５２４を全て参照するという処理の前に、上記修正処理を行うことにより、認証成否を事後的に再度判定しなおすことができる。

また、類似度が所定の閾値以上でありながら認証成否５２５が“失敗”かつ参照可否５２６が“参照不可”となっている認証履歴５２２を抽出することで、成りすまし行為が行われた日時等を一覧表示することも可能である。

このように、生体情報認証装置１を備えることで、成りすましを効果的に防止できるだけでなく、成りすまし行為の事後的発見も効果的に行うことができる。

以上では、ＰＣ等の一般的なコンピュータを使用する場合を例にして、本発明の第１の実施形態に係る成りすまし防止技術を説明したが、本発明は第１の実施形態に留まらず、その他の実施形態においても実施することができる。

図５は、本発明の第２の実施形態に係る生体情報認証システム２の構成の一例を示す図である。
第２の実施形態に係る生体情報認証システム２は、入力装置２０と、指静脈取得装置３０と、表示装置４０と、記憶装置５０と、クライアント６０と、認証サーバ７０と、ネットワーク８０とで構成される。
クライアント６０と認証サーバ７０は、ネットワーク８０に接続されている。クライアント６０と認証サーバ７０は、ネットワーク８０を介して相互に通信する。
なお、図１と図５の同一の構成要素には、同一の符号を付し、説明を省略する。

クライアント６０は、生体情報認証装置１と同様にＣＰＵ、メモリ、記憶装置等を備えている。クライアント６０は、生体情報認証装置１と同様に、指静脈取得装置３０を備えたＰＣ等の一般的なコンピュータであっても良い。また、クライアント６０は、携帯電話機であっても良い。
クライアント６０のＣＰＵは、起動時等の所定タイミングで、認証依頼プログラム６１Ａを、図示していない磁気ディスク等の記憶装置からメモリにローディングする。そして、クライアント６０のＣＰＵは、認証依頼プログラム６１Ａの命令コードを実行する。

認証サーバ７０も、生体情報認証装置１と同様にＣＰＵとメモリ等を備えている。なお、以下の説明では必要がないため図示していないが、認証サーバ７０にサーバの管理者等が操作するための入力装置、表示装置等を接続しても良い。
認証サーバ７０のＣＰＵは、起動時等の所定タイミングで、認証プログラム７１Ａを、図示していない磁気ディスク等の記憶装置からメモリにローディングする。そして、認証サーバ７０のＣＰＵは、認証プログラム７１Ａの命令コードを実行する。

生体情報認証システム２は、生体情報認証装置１と同様に、利用者が文書作成等を行うためにＰＣであるクライアント６０を使用したい場合、あるいは、通話を行うために携帯電話であるクライアント６０を使用したい場合、使用に先立って、利用者の利用権限を認証するために使用される。即ち、認証成功した場合には、利用者はクライアント６０を使用することができ、認証失敗した場合には、利用者はクライアント６０を使用することができない。

認証処理を行うために、生体情報認証システム２は、利用者が利用する機器であるクライアント６０と利用者を認証するための機器である認証サーバ７０をネットワーク８０（有線、無線等によりクライアント６０と認証サーバ７０を相互に通信可能に接続可能であれば、どのようなネットワークであっても良い）で接続している。生体情報認証システム２では、クライアント６０でなく、認証サーバ７０が認証処理を行う。

クライアント６０のＣＰＵは、認証依頼プログラム６１Ａを実行するとき、まず、表示装置４０に、クライアント６０の利用者に認証操作を促すメッセージを表示する。次に、クライアント６０のＣＰＵは、指静脈取得装置３に利用者の指静脈画像を撮像するように指示する。利用者が指静脈取得装置３０に指をかざす等の操作を行うと、指静脈取得装置３０は指静脈画像を撮像する。クライアント６０のＣＰＵは、撮像された指静脈画像を取得して、認証サーバ７０に送信する。そして、クライアント６０のＣＰＵは、認証サーバ７０から認証結果を受信し、認証結果を表示装置４０に表示し、処理を終了する。
なお、当然ながら、認証が成功した場合には利用者は認証対象となった操作（例えばクライアント６０の使用）等を行うことができ、失敗した場合は当該操作を行うことができない。

認証サーバ７０のＣＰＵは、認証プログラム７１Ａを実行するとき、認証依頼プログラム６１Ａから受信した指静脈画像を、照合用指静脈画像ファイル５１に記録されている照合用原本である指静脈画像５１２と照合し、また照合履歴ファイル５２の認証履歴５２２を参照して成りすましの判定を行う。
すなわち、生体情報認証システム２では、生体情報認証装置１における認証プログラム１３の処理が、認証依頼プログラム６１Ａの処理と認証プログラム７１Ａの処理に分配されている。具体的には、クライアント６０のＣＰＵは、認証依頼プログラム６１Ａを実行することにより図４のステップＳ１０１とステップＳ１０７の処理を行う。また、認証サーバ７０のＣＰＵは、認証プログラム７１Ａを実行することにより図４のステップＳ１０２〜Ｓ１０６の処理を行う。

このように、認証サーバ７０を備えることで、成りすましの監視を集中的に行うことができる。従って、クライアント６０の利用者が意識することなく、認証サーバ７０の管理者が認証履歴５２２を参照して成りすましの形跡を発見し、当該認証用原本の使用停止等の処置をいち早く行うことができる。

ただし、このように生体情報の照合用原本をいずこかに設置された認証サーバ７０の記憶装置５０に集めてしまうと、生体情報認証装置１のように会社内や自宅内で保管されている場合に比べて、照合用原本の漏洩リスクは高くなるし、生体情報がまとまって漏洩するリスクも発生する。従って、生体情報認証システム２においては、照合用原本である指静脈画像５１２を暗号化して記録するといった生体情報漏洩リスクを最小限にする仕組みを備えることが望ましい。

図６は、本発明の第３の実施形態に係る生体情報認証システム３の構成の一例を示す図である。
第３の実施形態に係る生体情報認証システム３は、入力装置２０と、指静脈取得装置３０と、表示装置４０と、記憶装置５０と、クライアント６０と、認証サーバ７０と、ネットワーク８０と、カード読取装置９０と、ＩＣカード９１で構成される。
なお、図５と図６の同一の構成要素には、同一の符号を付し、説明を省略する。

クライアント６０には入力装置２０と、指静脈取得装置３０と、表示装置４０と、カード読取装置９０とが接続されている。
クライアント６０のＣＰＵは、起動時等の所定タイミングで、認証依頼プログラム６１Ｂを、図示していない磁気ディスク等の記憶装置からメモリにローディングする。そして、クライアント６０のＣＰＵは、認証依頼プログラム６１Ｂの命令コードを実行する。
生体情報認証システム３における認証依頼プログラム６１Ｂの機能は、生体情報認証システム２における認証依頼プログラム６１Ａの機能と、やや異なっており、後述するように認証処理の一部も行う。

カード読取装置９０は、利用者の指静脈画像９２（すなわち照合用原本）を記録したＩＣカード９１から指静脈画像９２を取得する。なお、ＩＣカード９１には指静脈画像９２の他、当該利用者（すなわちＩＣカード９１の正当な所持者）を識別するＩＤである、識別コード９３が記録されている。

認証サーバ７０には記憶装置５０が接続されており、記憶装置５０には、照合履歴ファイル５２が記録されている。照合履歴ファイル５２のデータ構造は、生体情報認証装置１と同じである。
認証サーバ７０のＣＰＵは、起動時等の所定タイミングで、認証プログラム７１Ｂを、図示していない磁気ディスク等の記憶装置からメモリにローディングする。そして、認証サーバ７０のＣＰＵは、認証プログラム７１Ｂの命令コードを実行する。
生体情報認証システム３における認証プログラム７１Ｂの機能は、生体情報認証システム２における認証プログラム７１Ａの機能と、やや異なっており、後述するように照合用原本との照合は行わず、成りすましの判定を行う。

生体情報認証システム３は、例えば、利用者が預金を引き出すためにＡＴＭ（Ａｕｔｏｍａｔｅｄ Ｔｅｌｌｅｒ Ｍａｃｈｉｎｅ）端末であるクライアント６０を使用したい場合によく用いられる構成であり、預金引き出し等の操作に先立って、利用者の操作権限を認証するために使用される。即ち、認証成功した場合には、利用者はクライアント６０を操作して預金の引き出し等を行うことができ、認証失敗した場合には、利用者はクライアント６０を操作して預金の引き出し等を行うことができない。

認証処理を行うために、生体情報認証システム３では、利用者が利用する機器であるクライアント６０と利用者を認証するための機器である認証サーバ７０はネットワーク８０に接続されている。第１の実施形態で説明した成りすまし判定処理は、クライアント６０でなく、認証サーバ７０で行われる。
なお、本発明とは直接関係がないため図示していないが、ネットワーク８０には預金管理を行うサーバ等、利用者への各種サービスを提供するサーバも接続され、認証成功した利用者は当該サービスの提供を受けることができる。

すなわち、生体情報認証システム３では、生体情報認証システム２と同様に、認証機能が認証依頼プログラム６１Ｂと認証プログラム７１Ｂに分配されているが、生体情報認証システム２と異なり、照合用原本との照合は認証依頼プログラム６１Ｂが行い、成りすましの判定は認証プログラム７１Ｂが行う。

このような認証サーバ７０を備えることで、生体情報認証システム２と同様に、成りすましの監視を集中的に行うことができる。また、生体情報認証システム２とは異なり、照合用原本は認証サーバ７０の記憶装置５０に保管されず、さらに生体情報がネットワーク８０に送信されることもないので、生体情報がまとまって漏洩するリスクが存在しない。

ただし、利用者に照合用原本を記録したＩＣカード９１を発行しなければならず、また各クライアント６０にＩＣカード読取装置９０を備えなければならないため、システム構築・運用上のコストは増加する。従って、生体情報認証システム２のようなシステム構成にするか、生体情報認証システム３のようなシステム構成にするかは、情報漏洩のリスクとシステム構築・運用等に係るコストとを勘案して決めるべきである。

以下、生体情報認証システム３における、認証依頼プログラム６１Ｂおよび認証プログラム７１Ｂの処理について、クライアント６０がＡＴＭ端末である場合を例にして、フローチャートを使用して説明する。

図７は、本発明の第３の実施形態に係る生体情報認証システム３のクライアント６０における認証依頼処理のフローチャートの一例を示す図である。
利用者がタッチパネル等の入力装置２を操作して取引開始を指示すると、クライアント６０のＣＰＵは、クライアント６０の利用者に認証操作を促すメッセージを、表示装置４０に表示する。次に、クライアント６０のＣＰＵは、指静脈取得装置３０に利用者の指静脈画像を撮像するように指示する。利用者が指静脈取得装置３に指をかざす等の操作を行い、指静脈取得装置３が指静脈画像を撮像すると、クライアント６０のＣＰＵは撮像された指静脈画像を取得する（Ｓ２０１）。

クライアント６０のＣＰＵは、ＩＣカード９１をカード読取装置９に挿入するように指示するメッセージを表示装置４０に表示する。そして、クライアント６０のＣＰＵは、利用者が挿入したＩＣカード９１に記録されている指静脈画像９２および識別コード９３を取得する。クライアント６０のＣＰＵは、指静脈取得装置３０が撮像した指静脈画像と、指静脈画像９２を照合して類似度を計算する（Ｓ２０２）。

次に、クライアント６０のＣＰＵは、当該類似度と所定の閾値を比較し、当該類似度＞閾値となる場合（なお、当該類似度≧閾値と判定しても良い）、照合成功とする（Ｓ２０３）。
照合が成功した場合（Ｓ２０３：ＹＥＳ）、クライアント６０のＣＰＵは、認証サーバ７０に、照合“成功”のコードとともに、識別コード９３、認証日時および類似度を送信する（Ｓ２０４）。一方、照合が失敗した場合（Ｓ７０３：ＮＯ）、クライアント６０のＣＰＵは、認証サーバ７０に、照合“失敗”のコードとともに、識別コード９３、認証日時および類似度を送信する（Ｓ２０５）。

認証依頼プログラム７１Ｂは、認証サーバ７０から最終的に認証が成功したか失敗したかの認証結果を受信し（Ｓ２０６）、認証結果を表示装置４０に表示し処理を終了する（Ｓ２０７）。
なお、当然ながら、認証が成功した場合には利用者は認証対象となった操作（例えば預金の引き出し）等を行うことができ、失敗した場合は当該操作を行うことができない。

図８は、本発明の第３の実施形態に係る生体情報認証システム３の認証サーバ７０における認証処理のフローチャートの一例を示す図である。
認証サーバ７０のＣＰＵは、クライアント６０が送信した、照合が“成功”したか“失敗”したかのコードとともに識別コード９３、認証日時および類似度を受信する（Ｓ３０１）。当該コードが“成功”の場合（Ｓ３０２：ＹＥＳ）、認証サーバ７０のＣＰＵは、成りすまし行為が行われているか否かを判定する（Ｓ３０３）。
具体的な判定方法は、第１の実施形態の説明で述べたとおり、クライアント６０から受信した識別コード９３と識別コード５２１が一致する照合履歴レコード５２０を参照して行う。

そして、認証サーバ７０のＣＰＵは、成りすましではなく本人であると判定した場合（Ｓ３０３：ＹＥＳ）、最終的に認証成功と判定し、照合履歴レコード５２０に、認証履歴５２２を追加する。このとき、認証サーバ７０のＣＰＵは、認証日時５２３および類似度５２４にはそれぞれ受信した年月日時刻、類似度を、認証成否５２５には“成功”を、参照可否５２６には“参照可”を設定する（Ｓ３０４）。

一方、認証サーバ７０のＣＰＵは、受信したコードが“失敗”の場合（Ｓ３０２：ＮＯ）、又は成りすましが行われたと判定した場合（Ｓ３０３：ＮＯ）、最終的に認証失敗と判定し、照合履歴レコード５２０に、認証履歴５２２を追加する。このとき、認証サーバ７０のＣＰＵは、認証日時５２３および類似度５２４にはそれぞれ受信した年月日時刻、類似度を、認証成否５２５には“失敗”を、参照可否５２６には“参照不可”を設定する（Ｓ３０５）。
認証サーバ７０のＣＰＵは、認証結果をクライアント６０に送信し処理を終了する（Ｓ３０６）。

ところで、生体情報認証システム２および生体情報認証システム３のように、認証サーバ７０において成りすましの判定を行う場合、一般的に認証サーバ７０は複数のクライアント６０から認証要求等を受信する。
例えば、利用者は設置されている場所の異なる複数のＡＴＭ端末を利用する。このため、預金の引き出しに先立つ成りすまし判定要求は、利用者が同一であっても異なるＡＴＭ端末から送信されてくる。この場合、ＡＴＭ端末によって指静脈取得装置３０の取り付け位置や高さなどが異なると、利用者の指の置き方が変わってしまい、ＡＴＭ端末によって類似度が高くなったり低くなったりすることがある。そして、その結果、特定のＡＴＭ端末で認証を行う場合には類似度が高くなって常に成りすましと判定されてしまうといった現象が発生しうる。

そこで、このような現象が顕著な場合には、図９に示すように、認証履歴５２２に認証機器識別５２７を含めれば良い。そして、クライアント６０が認証サーバ７０に認証要求等を送信する場合、クライアント６０を一意に識別可能な装置ＩＤ（例えばクライアント６０の製造番号）を送信し、認証履歴５２２を追加する際に、認証機器識別５２７に当該装置ＩＤを設定すれば良い。このようにすることで、認証サーバ７０のＣＰＵが成りすましの判定を行う際、認証機器識別５２７にクライアント６０から送信された装置ＩＤと同一の値が設定されている認証履歴５２２のみを参照することができ、クライアント６０が異なることによる類似度の変動に影響されずに成りすましを判定することができる。

なお、上記各実施形態では、ＰＣの起動時、携帯電話機および銀行のＡＴＭ端末における認証について説明したが、これらに限らず、本発明はネットワークへのログイン、自動車のドアロック解除、自宅の電気錠開錠等、さまざまな場面における認証に適用することができる。
また、上記各実施形態では、生体情報として指静脈パターンを用いる例について説明したが、本発明は指静脈パターンに限らず、指以外の部位（例えば掌、網膜等）における血管パターン、指紋、虹彩、声紋、顔画像等の生体情報認証に適用することも可能である。

以上説明したように、本発明によれば、生体情報認証において、生体情報を改竄する方法にかかわらず、本人以外の第三者が成りすまして認証されることを防止することができる。

以上、本発明の実施形態について説明したが、設計上の都合やその他の要因によって必要となる様々な修正や組み合わせは、請求項に記載されている発明や発明の実施形態に記載されている具体例に対応する発明の範囲に含まれると理解されるべきである。

１…生体情報認証装置、２、３…生体情報認証システム、１０…コンピュータ、１１…ＣＰＵ、１２…メモリ、１３…認証プログラム、２０…入力装置、３０…指静脈取得装置、４０…表示装置、５０…記憶装置、５１…照合用指静脈画像ファイル、５２…照合履歴ファイル、６０…クライアント、６１Ａ、６１Ｂ…認証依頼プログラム、７０…認証サーバ、７１Ａ、７１Ｂ…認証プログラム、８０…ネットワーク、９０…カード読取装置、９１…ＩＣカード、９２…指静脈画像、９３…識別コード

Claims (2)

1. 照合用原本となる生体情報を記憶する原本記憶手段と、
   認証対象の生体情報を取得する生体情報取得手段と、
   前記原本記憶手段に記憶されている照合用原本となる生体情報と前記生体情報取得手段によって取得された認証対象の生体情報との類似度を求める類似度算出手段と、
   前記類似度算出手段によって求められた類似度を記憶する類似度記憶手段と、
   前記類似度記憶手段に記憶されている複数の類似度に基づいて基準値を求め、前記類似度算出手段によって求められた類似度が、当該基準値と、前記照合用原本となる生体情報と前記認証対象の生体情報が完全に一致する場合の類似度との間の値である場合に、前記生体情報取得手段によって取得された生体情報は成りすまされた生体情報と判定する判定手段と、
   前記類似度算出手段によって求められた類似度に基づいて、前記生体情報取得手段によって取得された生体情報は本人と他人のいずれの生体情報かを認証する認証手段と、
   前記類似度記憶手段に類似度が記憶されている生体情報のうち、前記判定手段によって成りすまされた生体情報と判定された生体情報について、当該生体情報が所定の条件を満たす場合に本人の生体情報と再判定する再判定手段と、
   を備え、
   前記判定手段が、前記類似度記憶手段に記憶されている各類似度のうち、前記認証手段によって本人の生体情報と認証された生体情報の類似度と、前記再判定手段によって本人の生体情報と再判定された生体情報の類似度とに基づいて前記基準値を求める、
   ことを特徴とする生体情報認証装置。
2. コンピュータを、
   照合用原本となる生体情報を記憶する原本記憶手段と、
   認証対象の生体情報を取得する生体情報取得手段と、
   前記原本記憶手段に記憶されている照合用原本となる生体情報と前記生体情報取得手段によって取得された認証対象の生体情報との類似度を求める類似度算出手段と、
   前記類似度算出手段によって求められた類似度を記憶する類似度記憶手段と、
   前記類似度記憶手段に記憶されている複数の類似度に基づいて基準値を求め、前記類似度算出手段によって求められた類似度が、当該基準値と、前記照合用原本となる生体情報と前記認証対象の生体情報が完全に一致する場合の類似度との間の値である場合に、前記生体情報取得手段によって取得された生体情報は成りすまされた生体情報と判定する判定手段と、
   前記類似度算出手段によって求められた類似度に基づいて、前記生体情報取得手段によって取得された生体情報は本人と他人のいずれの生体情報かを認証する認証手段と、
   前記類似度記憶手段に類似度が記憶されている生体情報のうち、前記判定手段によって成りすまされた生体情報と判定された生体情報について、当該生体情報が所定の条件を満たす場合に本人の生体情報と再判定する再判定手段と、
   して機能させ、
   前記判定手段が、前記類似度記憶手段に記憶されている各類似度のうち、前記認証手段によって本人の生体情報と認証された生体情報の類似度と、前記再判定手段によって本人の生体情報と再判定された生体情報の類似度とに基づいて前記基準値を求める、
   生体情報認証プログラム。

Images