JP5286297B2 - 生体認証システム - Google Patents

Description

本発明は、人が持つ生体的特徴を用いて個人を認証する方法およびシステムに関する。

生体認証はパスワードやＩＣカードなどに基づく認証と比べて忘れることがない、偽造が困難であるといった利点を持つ認証技術として知られている。生体認証では、登録時にユーザ（以後、登録ユーザと呼ぶ）から生体情報を取得し、そこから特徴量と呼ばれる情報を抽出して登録する。この登録情報を登録テンプレートという。認証時には、ユーザ（以後、認証対象ユーザと呼ぶ）から抽出した特徴量と登録テンプレートを照合し、得られた、２つの特徴量がどれだけ似ているかを表す類似度、或いはどれだけ異なるかを表す相違度を表すスコア（以下、スコアという）を用いて認証を行なう。

認証対象ユーザとＮ人の登録ユーザのそれぞれに対して照合（以後、１：Ｎ照合）を行ない、認証対象ユーザがどの登録ユーザと同一人物であるかを識別する生体認証を１：Ｎ認証という。このとき、認証対象ユーザと同一人物であると識別された登録ユーザ（以後、識別ユーザと呼ぶ）がいれば、その識別ユーザを識別結果として認証成功とし、識別ユーザがいなければ認証失敗とする。１：Ｎ認証を利用した生体認証システムの例としては、勤怠管理システムや、クレジットカードを用いずに生体認証に基づいてクレジット決済を行なうシステム（以後、カードレスクレジット決済システムと呼ぶ）が挙げられる。１：Ｎ認証は、認証対象ユーザがカードなどを提示する必要が無いため、利便性が高いという利点がある。しかしながら、１：Ｎ認証では、登録ユーザ数Ｎが増加するほど識別対象が増えるために認証精度が劣化し、また認証時間も増加する、という問題がある。

非特許文献１では、１：Ｎ認証において、得られたスコアを基に認証対象ユーザが各登録ユーザである、という事後確率を算出し、それを用いてユーザの識別を行なっている。

また、特許文献１では、複数の登録データから２つを選ぶ全ての組み合わせに対して計算した、両者の一致度合いである照合度による相互相関テーブルをあらかじめ作成しておき、照合の対象となる照合データと登録データとの照合度と、相互相関テーブルを用いて次に読み出すべき登録データの順序を制御している。この際、照合回数が所定の閾値を越えた場合、この時点で照合処理を打ち切ることもできる。

特開平１１−２９６５３１号公報（段落０００８、００１２、図１）

Ｋ．Ｎａｎｄａｋｕｍａｒ ｅｔ ａｌ．，"Ｆｕｓｉｏｎ ｉｎ Ｍｕｌｔｉｂｉｏｍｅｔｒｉｃ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｓｙｓｔｅｍｓ：Ｗｈａｔ ａｂｏｕｔ ｔｈｅ Ｍｉｓｓｉｎｇ Ｄａｔａ？，"Ｐｒｏｃ．ＩＣＢ，ｐｐ．７４３−７５２，２００９．

非特許文献１の技術を１：Ｎ認証に適用することで高精度化を、特許文献１の技術を１：Ｎ認証に適用することで高速化を実現することができる。しかしながら、１：Ｎ認証の高精度化、及び高速化を両立する手法は今までに提案されていなかった。

非特許文献１と特許文献１を組み合わせることも考えられるが、特許文献１において、照合回数が所定の閾値を越えた時点で照合処理を打ち切ることにすると、照合を行なっていない残りの登録ユーザに対してはスコアが求まらず、事後確率を適切に求めることができない、という問題があった。また、特許文献１において、照合回数が所定の閾値を越えても照合処理を打ち切らないようにすると、最悪の場合、全登録ユーザに対して照合を行なう必要が生じてしまい、全く高速化が実現できない場合がある、という問題があった。

本明細書では、高精度化と高速化の実現を両立させる１：Ｎ認証技術が開示される。

開示される一つの観点に従う生体認証システムは、登録ユーザ毎に、登録ユーザＩＤと１種類以上の生体情報の登録テンプレートとスコアテーブルを保持するデータベースと、認証対象ユーザが各々の前記登録ユーザと同一人物であるという事前確率を設定する事前確率設定機能と、認証対象ユーザから１種類以上の生体情報を取得するための１つ以上の生体情報入力センサと、取得した前記生体情報から特徴量を抽出する特徴量抽出機能と、前記認証対象ユーザの前記特徴量に対して、前記登録ユーザの各々の前記登録テンプレートを用いて、前記スコアテーブルを参照しながら、照合する登録テンプレートの順序を並べ替えることで１：Ｎ高速照合を行ない、照合回数が所定の閾値を越えた時点で照合処理を打ち切る１：Ｎ高速照合機能と、１：Ｎ高速照合によって得られたスコアと前記スコアテーブルとを用いて、Δスコアを算出するΔスコア算出機能と、前記スコアと前記Δスコアとを基に前記登録ユーザの各々の事後確率を算出する事後確率算出機能と、前記事後確率の各々と閾値との大小を比較することで、前記認証対象ユーザの識別を行なう認証対象ユーザ識別機能と、を持つことを特徴とする。

開示される一つの観点に従えば、Ｎ個より少ないＫ個の登録テンプレートについて照合を行い、スコア及びΔスコアを用いて事後確率を算出するため、スコア、或いはΔスコアを用いて１：Ｎ認証を行なう従来技術と比較して、より厳密に事後確率を求めることが可能となる。従って、生体情報を入力してから認証結果が返ってくるまでの認証時間をある一定値内に抑えたまま、認証精度を高めることが可能となる。その結果、利便性及び安全性を向上させる効果が得られる。

上記態様は、スコアを用いて本人確認を行なうあらゆる１：Ｎ認証システムに対して適用可能である。従って、指紋、顔、静脈などのあらゆるモダリティに適用可能であり、スコアを出力するあらゆる種類の照合アルゴリズムに適用可能である。より具体的には、入退室管理、勤怠管理、ＰＣログインなど、生体認証を用いたあらゆるアプリケーションに適用可能である。モダリティとは１つのセンサで取得できる生体情報の種類のことをいう。

生体認証における認証時間を短くしたまま、認証精度を高めることが可能となる。その結果、利便性及び安全性を向上させることが可能になる。

第一、第二の実施形態の機能構成を例示するブロック図である。 第一、第二の実施形態のハードウェア構成を例示するブロック図である。 第一の実施形態の認証処理を例示するフロー図である。 第二の実施形態の認証処理を例示するフロー図である。 第一、第二の実施形態におけるスコアテーブルの構成を例示する図である。

以下、図面を参照して、実施形態を説明する。

第一の実施形態の生体認証システムは、認証対象ユーザが生体情報を入力する度に、認証対象ユーザとＮ人の登録ユーザとの１：Ｎ認証を行なう生体認証システムである。

尚、本実施例におけるスコアは類似度で定義されるものとする。即ち、２つの特徴量が似ているほどスコアは大きな値となる。逆に、スコアが相違度で定義される場合は、２つの特徴量が似ているほどスコアは小さな値となる。

図１に、生体認証システムの構成例を示す。このシステムは、認証対象ユーザとの直接のやり取りを行なう認証クライアント装置（以下、認証クライアントという）１００と、１：Ｎ認証を行なう認証サーバ装置（以下、認証サーバという）１１０と、ネットワーク１３０を含んで構成される。ネットワーク１３０は、ＷＡＮやＬＡＮなどのネットワーク、ＵＳＢやＩＥＥＥ１３９４などを用いた機器間の通信、あるいは携帯電話網や近距離無線などの無線通信を用いても良い。

例えば、カードレスクレジット決済システムの場合、認証クライアント１００は加盟店に置かれた認証装置、認証サーバ１１０はデータセンタに置かれたサーバ、ネットワーク１３０はインターネットとする構成が考えられる。また、入退管理システムの場合、認証クライアント１００はビルの入口や居室内に置かれた認証装置、認証サーバ１１０はサーバ室に置かれたサーバ、ネットワーク１３０は社内イントラネットとする構成が考えられる。また、ここでは、認証クライアント１００と認証サーバ１１０とを分けているが、これらをまとめて一つの装置としても良い。

認証クライアント１００は、それぞれ認証対象ユーザの生体情報１から生体情報Ｍまでを取得することができる生体情報入力センサ１０１と、取得した生体情報から特徴量を抽出する特徴量抽出機能１０２と、通信Ｉ／Ｆ１０３と、認証サーバ１１０から送られてきた認証対象ユーザの識別結果を基に最終識別を行なう最終識別機能１０４を含んで構成される。生体情報の種類の数Ｍは、１つ（Ｍ＝１）であっても良いし、複数（Ｍ＞１）であってもよい。複数の生体情報としては、例えば、指紋、虹彩、声紋というようにモダリティの異なるもので構成しても良いし、人差指の指紋、中指の指紋、薬指の指紋というように同一モダリティの異なる部位で構成しても良い。複数の生体情報を同一モダリティの異なる部位で構成した場合は、入力センサは１つで良い。

認証サーバ１１０は、認証対象ユーザが各登録ユーザと同一人物であるという確率（以後、事前確率という。なお、非登録ユーザであるという確率を含んでもよい）を、スコアが得られるより前に設定する事前確率設定機能１１１と、認証クライアント１００から送られてきた認証対象ユーザの特徴量を用いて１：Ｎ高速照合を行なう１：Ｎ高速照合機能１１２と、１：Ｎ照合結果として得られた、スコアと、後述するスコアテーブルとから、スコア同士の距離であるΔスコアを算出するΔスコア算出機能１１３と、スコアとΔスコアを用いて、認証対象ユーザが各登録ユーザと同一人物であるという確率（以後、事後確率という。なお、なお、非登録ユーザであるという確率を含んでもよい）を算出する事後確率算出機能１１４と、事後確率を基に認証対象ユーザがどの登録ユーザ・非登録ユーザと同一人物であるかを識別する認証対象ユーザ識別機能１１５と、通信Ｉ／Ｆ１１６と、データベース１２０とを含んで構成される。

データベース１２０は、Ｎ人の登録ユーザの登録ユーザデータ１２１と、登録テンプレート同士のスコアを格納したスコアテーブル１２４を保持する。登録ユーザデータ１２１は、登録ユーザＩＤ１２２と、生体情報１から生体情報Ｍまでの各登録テンプレート１２３とを含んで構成される。

スコアテーブル１２４は、ｉ番目の登録ユーザとｊ番目の登録ユーザの登録テンプレート同士のスコアｒ_ｉｊ（１≦ｉ≦Ｎ，１≦ｊ≦Ｎ，ｉ≠ｊ）を、生体情報の種類毎に保持する。図５にスコアテーブル１２４の構成図を示す。これはＮ×Ｎの行列だが、その一部をスコアテーブル１２４として保持するようにしても良い。例えば、Ｎ個の登録テンプレートのうちＬ（＜Ｎ）個を代表として選んで、これらとＮ個の登録テンプレートとのスコア（計Ｌ×Ｎ個）を保持するようにしても良い。スコアテーブル１２４は、Ｎ人の登録ユーザの登録を行なってから、認証を行なうまでの間に作成しておく。

図２に、本実施形態における認証クライアント１００、認証サーバ１１０を実現するハードウェア構成を示す。これらの装置は、図のようにＣＰＵ２００と、メモリ２０１と、ＨＤなどの二次記憶装置２０２と、キーボードなどの入力装置２０３と、表示装置、プリンタなどの出力装置２０４と、通信装置２０５とを備える一般的な計算機を用いて構成することができる。

さらに、各装置を実現する各機能とセンサ、通信I/Fは、ＣＰＵ２００がプログラムを実行することにより、あるいは、ハードウェアと協働することにより上記計算機上に具現化される。各プログラムは、あらかじめ、上記計算機内の二次記憶装置２０２に格納されていても良いし、必要なときに、図示しない外部インタフェースや通信装置２０５と、上記計算機が利用可能な媒体を介して、他の装置から上記二次記憶装置２０２に導入されてもよい。媒体とは、たとえば、入出力インタフェースに着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号）を指す。また、算出した事前確率、事後確率はメモリ２０１に保持される。

図３に、本実施形態における認証の処理手順およびデータの流れを示す。

事前確率設定機能１１１は、各登録ユーザu_ｎ（１≦ｎ≦Ｎ）の事前確率Ｐ（ｖ＝u_ｎ）、及び非登録ユーザu_０の事前確率Ｐ（ｖ＝u_０）を設定する。（ステップＳ３０１）。事前確率は
Ｐ（ｖ＝u_ｎ）＝１／（Ｎ＋１）（１≦ｎ≦Ｎ） （式１）
Ｐ（ｖ＝u_０）＝１／（Ｎ＋１） （式２）
というように等しく設定しても良いし、本出願人による特願２００８−３１２４１１（参考文献１という）に開示するように、過去の最終識別結果を用いて、各登録ユーザ及び非登録ユーザの事前確率を更新しても良い。例えば、過去Ｄ回の最終識別結果（「認証成功」、「なりすまし」、又は「識別失敗」）をデータベース１２０に保存しておき、過去Ｄ回の認証処理において「なりすまし」という最終識別結果になった回数をＤ_０回として、登録ユーザu_ｎの事前確率Ｐ（ｖ＝u_ｎ）及び非登録ユーザu_０の事前確率Ｐ（ｖ＝u_０）を以下のように設定する方法がある。

Ｐ（ｖ＝u_ｎ）＝（１−Ｄ_０／Ｄ）／（Ｎ＋１）（１≦ｎ≦Ｎ） （式３）
Ｐ（ｖ＝u_０）＝（Ｎ×Ｄ_０／Ｄ＋１）／（Ｎ＋１） （式４）
Ｍ個のうちのいずれかの生体情報入力センサ１０１は、認証対象ユーザｖの生体情報を取得する。ここで、認証対象ユーザｖがこれまでに生体情報を入力した回数をｔとする（ステップＳ３０２）。

特徴量抽出機能１０２は、取得した各々の生体情報から特徴量を抽出する（ステップＳ３０３）。

通信Ｉ／Ｆ１０３は、各々の特徴量を認証サーバ１１０に送信する（ステップＳ３０４）。

１：Ｎ高速照合機能１１２は、認証クライアント１００から送られてきた特徴量と、Ｎ人の登録ユーザのうち、予め定めた閾値Ｋ（＜Ｎ）人分の登録テンプレート１２３との１：Ｎ照合を行なう。その結果、Ｋ人の登録ユーザに対するスコアが得られることになる。Ｋの値は、送られてくる特徴量毎に異なっていてもよい。ｉ（１≦ｉ≦Ｋ）番目に照合した登録ユーザの番号がｍ（ｉ）（１≦ｍ（ｉ）≦Ｎ）であったとし、この登録ユーザスコアをｓ_{ｔｍ（ｉ）}とする（ｔは前述のとおり、入力回数）（ステップＳ３０５）。

このように、Ｋ（＜Ｎ）人の登録ユーザに対して照合を行なうことで、Ｎ人の登録ユーザに対して照合を行なう場合と比べて、より短時間での１：Ｎ照合が可能となる。その結果、より高速に認証を行なうことができ、利便性が向上する効果が得られる。

尚、１：Ｎ照合を行なう際に、照合を行ないながら、得られたスコア及びスコアテーブル１２４の全部或いは一部を参照して、照合する登録テンプレート１２３の順序を並べ替えても良い。具体的には、特許文献１と同じ手法を用いても良いし、本出願人による特願２００９−１７８５５９（参考文献２という）と同じ手法を用いても良いし、P. Zezula et al., Similarity Search - The Metric Space Approach, Springer (2006)（参考文献３という）に記されている、いずれの類似検索の手法を用いても良い。また、今までに得られたスコア及び後述するΔスコアを用いて、照合する登録テンプレート１２３の順序を並べ替えても良い。その具体的な手法については後述する。

Δスコア算出機能１１３は、得られたスコアとスコアテーブル１２４を用いて、２つのスコア（スカラー）がどれだけ異なるものか、を表すΔスコアを算出する。具体的には、例えば、
Δｓ_{ｔｉｍ（ｊ）}＝｜ｓ_{ｔｍ（ｊ）}−ｒ_{ｉｍ（ｊ）}｜（１≦ｉ≦Ｎ，１≦ｊ≦Ｋ，ｉ≠ｊ） （式５）
を求める。式５では、Δスコアを２つのスコアの差分の絶対値と定義しているが、２つのスコア値のべき乗や、べき根や、定数を掛け合わせたものや、足し合わせたものをΔスコアと定義しても良い。また、スコアテーブル１２４としてＮ×Ｎの行列の一部を保持する場合、一部のΔスコアが算出できない場合がある。この場合の事後確率算出方法については後述する。（ステップＳ３０６）。

事後確率算出機能１１４は、今までに得られたスコアとΔスコアを用いて、各登録ユーザu_ｎ（１≦ｎ≦Ｎ）の事後確率Ｐ（ｖ＝u_ｎ｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）、及び非登録ユーザu_０の事後確率Ｐ（ｖ＝u_０｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）を算出する。ここで、
Ｓ_ｔ＝｛ｓ_{ｔｍ（ｉ）}｜１≦ｉ≦Ｋ｝ （式６）
ΔＳ_ｔ＝｛Δｓ_{ｔｉｍ（ｊ）}｜１≦ｉ≦Ｎ，１≦ｊ≦Ｋ，ｉ≠ｊ｝ （式７）
である（ステップＳ３０７）。事後確率の算出方法の詳細は後述する。

認証対象ユーザ識別機能１１５は、ステップＳ３０７で得られた事後確率を予め定めた閾値Ａと比較することで、認証対象ユーザｖの識別を行なう。具体的には、閾値Ａを超えた登録ユーザu_ｎ（１≦ｎ≦Ｎ）の事後確率Ｐ（ｖ＝u_ｎ｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）（１≦ｎ≦Ｎ）、及びＰ（ｖ＝u_０｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）が１つ以上存在する場合、そのうち最大値を実現した登録ユーザ、或いは非登録ユーザを識別結果とする。閾値Ａを超えた事後確率が存在しない場合、識別失敗とする（ステップＳ３０８）。

通信Ｉ／Ｆ１１６は、ステップＳ３０８の識別結果を認証クライアント１００に送信する。具体的には、認証対象ユーザの識別結果が登録ユーザの場合は、識別した登録ユーザＩＤ１２２を送信し、非登録ユーザの場合は「なりすまし」を送信し、識別失敗の場合は「識別失敗」を送信する（ステップＳ３０９）。

最終識別機能１０４は、認証サーバ１１０から送られてきた認証対象ユーザの識別結果が登録ユーザＩＤ１２２の場合、「認証成功」を最終結果とする。認証対象ユーザの識別結果が「なりすまし」の場合、「なりすまし」を最終結果とする。認証対象ユーザの識別結果が「識別失敗」の場合、ステップＳ３１１に進む（ステップＳ３１０）。「なりすまし」を最終結果とした場合、参考文献１のように、認証クライアント１００を一時ロックさせる、或いは警報を鳴らすなどの認証対象ユーザへの罰則を設けても良い。認証対象ユーザへの罰則を設けることによる効果は後述する。

最終識別機能１０４は、生体情報の入力回数ｔがＭに到達していれば「識別失敗」を最終結果とする。到達していなければステップＳ３０２に戻る（ステップＳ３１１）。「識別失敗」を最終結果とした場合、認証対象ユーザに認証を再度やり直すように指示しても良い。

以下、ステップＳ３０７における事後確率の算出方法について詳述する。

事後確率Ｐ（ｖ＝u_ｋ｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）（０≦ｋ≦Ｎ）は、各入力におけるスコアの集合Ｓ_１，…，Ｓ_ｔが独立であると仮定し、Δスコアの集合ΔＳ_１，…，ΔＳ_ｔが独立であると仮定すると、ベイズの定理より、

と表せる。但し、

である。Ｚ_ｔｋは尤度比と呼ばれる。Ｐ（ｖ＝u_ｋ｜Ｓ_１，…，Ｓ_ｔ−１，ΔＳ_１，…，ΔＳ_ｔ−１）は、１つ前の特徴量まで得られたときの事後確率なので、事後確率Ｐ（ｖ＝u_ｋ｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）は、事前確率Ｐ（ｖ＝ｕ_ｋ）とＺ_ｔｋを用いて再帰的に求めることが可能である。

ここで、各々のスコアが独立であると仮定し、
Ｐ（ｓ_{ｔｍ（ｉ）}｜ｖ＝ｕ_ｋ）＝ｆ（ｓ_{ｔｍ（ｉ）}）（ｍ（ｉ）＝ｋのとき） （式１０）
Ｐ（ｓ_{ｔｍ（ｉ）}｜ｖ＝ｕ_ｋ）＝ｇ（ｓ_{ｔｍ（ｉ）}）（ｍ（ｉ）≠ｋのとき） （式１１）
とする（０≦ｋ≦Ｎ）。即ち、本人同士のスコアｓは本人分布ｆ（ｓ）、他人同士のスコアｓは他人分布ｇ（ｓ）に従うものとする。

また、各々のΔスコアが独立であると仮定し、
Ｐ（Δｓ_{ｔｉｍ（ｊ）}｜ｖ＝ｕ_ｋ）＝ｆ’（ｓ_{ｔｍ（ｉ）}）（ｉ＝ｋのとき） （式１２）
Ｐ（Δｓ_{ｔｉｍ（ｊ）}｜ｖ＝ｕ_ｋ）＝ｇ’（ｓ_{ｔｍ（ｉ）}）（ｉ≠ｋのとき） （式１３）
とする（０≦ｋ≦Ｎ）。即ち、本人同士のΔスコアΔｓは本人分布ｆ’（ｓ）、他人同士のスコアｓは他人分布ｇ’（ｓ）に従うものとする。以下では、これらの仮定が成立するものとして話を進める。

スコアとΔスコアが完全に独立であると仮定した場合、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）は、

のように求めることができる。ｆ（ｓ）、ｇ（ｓ）、ｆ’（Δｓ）、ｇ’（Δｓ）は正規分布、ガンマ分布、ベータ二項分布などのモデルを仮定し、そのパラメータを最尤推定、ＭＡＰ推定、ベイズ推定などの手法を用いて、Ｎ人の登録ユーザの登録を行なってから、認証を行なうまでの間に認証サーバに学習させておく。

或いは、ｆ（ｓ）／ｇ（ｓ）、ｆ’（Δｓ）／ｇ’（Δｓ）を、ロジスティック回帰を用いて直接学習させてもよい。また、ｆ（ｓ）やｇ（ｓ）はモダリティ毎に学習させておくものであるが、同一モダリティの異なる部位を用いる場合は同一の分布を使用してもよい。

また、ｆ（ｓ）、ｇ（ｓ）、ｆ’（Δｓ）、ｇ’（Δｓ）、或いはｆ（ｓ）／ｇ（ｓ）、ｆ’（Δｓ）／ｇ’（Δｓ）としては全ユーザ共通のものを用いても良いし、ユーザ毎に学習させても良いし、或いは認証対象ユーザと登録ユーザのペア毎に学習させても良い。

或いは、スコアとΔスコアが完全に従属であると仮定し、照合を行なった登録ユーザに対してはΔスコアを用いないようにした場合、照合を行なっていない登録ユーザの番号がｎ（ｉ）（１≦ｉ≦Ｎ−Ｋ，１≦ｎ（ｉ）≦Ｎ）であったとすると、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）は、

のように求めることができる。

或いは、スコアとΔスコアがある程度独立であるものと仮定し、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）を、

のように求めても良い。ａ（０≦ａ≦１）は、スコアとΔスコアの独立度合いを示すパラメータであり、ａ＝１のときは完全に独立としたとき、ａ＝０のときは完全に従属としたときに一致する。即ち、ａ＝１のときは式１６が式１４に、ａ＝０のときは式１６が式１５に一致する。

或いは、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）を、

のように求めても良い。ｂ_１及びｂ_２（ｂ_１≧０、ｂ_２≧０）は、ｆ’（Δｓ）／ｇ’（Δｓ）が尤度比Ｚ_ｔｋに与える影響、即ちΔスコアが尤度比Ｚ_ｔｋに与える影響を調整するパラメータであり、ｂ_１及びｂ_２が大きいほどその影響は強くなる。ｂ_１＝ｂ_２＝１のとき、式１７は式１６に一致する。

また、スコアテーブル１２４としてＮ×Ｎの行列の一部を保持する場合、一部のΔスコアΔｓが算出できない場合があるが、そのときは対応するｆ’（Δｓ）／ｇ’（Δｓ）を１とする方法が考えられる。そうすることで、尤度比Ｚ_ｔｋが算出できるようになり、結果として事後確率も算出できるようになる。

このように、本実施例では、照合回数が所定の閾値Ｋを越えた時点で照合処理を打ち切った後、スコア及びΔスコアの両方を観測データとして用いて尤度比、及び事後確率を算出する。

非特許文献１では、スコアｓの求まらなかった登録ユーザに対してｆ（ｓ）／ｇ（ｓ）を１とする方法を提案している。この手法を用いた場合、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）は、

と求まる。これは、式１７においてｂ_１＝ｂ_２＝０とした場合、即ちΔスコアが尤度比Ｚ_ｔｋに与える影響がないものとした場合に相当する。しかしながら、これはスコアの求まらなかった登録ユーザに対してはΔスコアを用いて尤度比を厳密に求めていないので、その後、事後確率を厳密に求めることができない。

これに対して、本実施例では、スコアが求まらなかった登録ユーザに対しても、Δスコアを観測データとして用いることで、尤度比を１と設定する場合と比べて、尤度比をより厳密に求めることができる。その結果、事後確率もより厳密に求めることができる。

また、本実施例では、スコア及びΔスコアを用いて事後確率を算出するため、スコア、或いはΔスコアを用いて１：Ｎ認証を行なう従来技術と比較して、より厳密に事後確率を求めることが可能となる。従って、本実施例では、生体情報を入力してから認証結果が返ってくるまでの認証時間をある一定値内に抑えたまま、認証精度を高めることが可能となる。その結果、利便性及び安全性を向上させる効果が得られる。

以下、ステップＳ３０５における、今までに得られたスコア及び後述するΔスコアを用いて、照合する登録テンプレート１２３の順序を並べ替える方法について詳述する。例えば、ｔ−１回目の入力において求めた尤度比Ｚ_ｔ−１ｋ（１≦ｋ≦Ｎ）を尤度比Ｚ_ｔｋ（１≦ｋ≦Ｎ）に代入し、この値の高い順に照合を行ないながら、得られたスコア、及びΔスコアを用いて尤度比Ｚ_ｔｋ（１≦ｋ≦Ｎ）も常に更新していく方法が考えられる。例えば、尤度比Ｚ_ｔｋ（０≦ｋ≦Ｎ）として、式１４の式を用いた場合は、以下のような順序で照合を行なえばよい。
１． ｔ−１回目の入力において求めた尤度比Ｚ_ｔ−１ｋ（１≦ｋ≦Ｎ）を尤度比Ｚ_ｔｋ（１≦ｋ≦Ｎ）に代入する（ｔ＝１のときはＺ_ｔｋ＝１（１≦ｋ≦Ｎ）とする）。また、ｊ＝１とする。
２． まだ照合を行なっていない登録ユーザのうち、尤度比Ｚ_ｔｋ（１≦ｋ≦Ｎ）の最も高い登録ユーザと照合を行ない、スコアｓ_{ｔｍ（ｊ）}を求める（ｍ（ｊ）は、照合を行なった登録ユーザの番号）。尤度比Ｚ_ｔｋの最も高い登録ユーザが複数いる場合は、そのうちどの登録ユーザと照合しても良い。
３． ｆ（ｓ_{ｔｍ（ｊ）}）／ｇ（ｓ_{ｔｍ（ｊ）}）をｍ（ｊ）番目の登録ユーザの尤度比Ｚ_{ｔｍ（ｊ）}に加える。
４． スコアテーブル１２４を参照しながらΔｓ_{ｔｋｍ（ｊ）}＝｜ｓ_{ｔｍ（ｊ）}−ｒ_{ｋｍ（ｊ）}｜（１≦ｋ≦Ｎ，ｋ≠ｍ（ｊ））を求め、ｆ’（Δｓ_{ｔｋｍ（ｊ）}）／ｇ’（Δｓ_{ｔｋｍ（ｊ）}）をｍ（ｊ）番目以外の全登録ユーザｋ（ｋ≠ｍ（ｊ））の尤度比Ｚ_ｔｋに加える。
５． ｊに１を加え、２．に戻る。

上述の方法により、照合を行なう度に、それまでに得られたスコア、及びΔスコアを用いて尤度比Ｚ_ｔｋ（１≦ｋ≦Ｎ）を求め、その値の最も高い登録ユーザと次の照合を行なうことが可能となる。このとき、尤度比が高い登録ユーザは本人である可能性が高いため、より早い段階で本人と照合を行なうことができるようになる。

また、この方法では、過去に（ｔ−１回目までに）得られたスコア及びΔスコアも用いて照合順序を並べ替えている。従って、過去に（ｔ−１回目までに）得られたスコア及びΔスコアを用いずに照合順序を並べ替える方法（例えば、上記の１番目の処理において、常にＺ_ｔｋ＝１（１≦ｋ≦Ｎ）とする方法）と比べて、さらに高速な１：Ｎ高速照合が実現できる効果が得られる。

また、上記の例は式１４を用いて尤度比を算出するものであったが、式１５や式１６など別の式を用いても良い。さらに、上記の例は尤度比を更新するものであったが、これは事後確率など別のものであっても良い。

また、非特許文献１では、非登録ユーザu_０の事後確率Ｐ（ｖ＝u_０｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）は算出しない。この場合、非登録ユーザがなりすましを試みたとき、全登録ユーザに対して小さいスコア（ここでは類似度）が得られたとしても、そのうちの１つが他と比べて大きな値になっていれば、それに対応する事後確率も大きな値となる可能性が高い。その結果、「認証成功」と識別される可能性が高い、という問題があった。これに対して、本実施例では、非登録ユーザu_０の事後確率Ｐ（ｖ＝u_０｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）も算出する。この場合、非登録ユーザがなりすましを試みて、全登録ユーザに対して小さいスコア（ここでは類似度）が得られた場合、全登録ユーザのＺ_ｔｋ（１≦ｋ≦Ｎ）が小さな値（＜＜１）となるため、非登録ユーザu_０の事後確率Ｐ（ｖ＝u_０｜Ｓ_１，…，Ｓ_ｔ，ΔＳ_１，…，ΔＳ_ｔ）が大きくなる。その結果、「認証成功」と識別される可能性は低く、「なりすまし」と識別される可能性が高い。その結果、安全性を一層向上させる効果が得られる。

さらに、本実施例では、認証対象ユーザが非登録ユーザであると識別したときは「なりすまし」、認証対象ユーザが誰なのかを判断できないときは「認証失敗」とする。この２つを明確に区別することで、非登録ユーザがなりすましを試みているときに、認証クライアント１００を一時ロックさせる、或いは警報を鳴らすなどの認証対象ユーザへの罰則を設け、「認証失敗」のときは罰則を設けないようにすることが出来る。これによって、安全性が一層向上する効果が得られる。

第二の実施形態の生体認証システムは、認証対象ユーザにＭ（≧１）個の生体情報を入力させた後で、認証対象ユーザとＮ人の登録ユーザとの１：Ｎ認証を行なう生体認証システムである。尚、本実施例においてもスコアは類似度で定義されるものとする。即ち、２つの特徴量が似ているほどスコアは大きな値となる。

本実施形態の生体認証システムの構成例は図１と同じである。

本実施形態における認証クライアント１００、認証サーバ１１０のハードウェア構成は図２と同じである。

図４に、本実施形態における認証の処理手順およびデータの流れを示す。ここでは、図３との違いについて述べる。尚、本処理手順ではステップＳ３１１はない。

各々の生体情報入力センサ１０１（Ｍ個）は、認証対象ユーザｖの生体情報を取得する。これにより、生体情報がＭ個得られる（ステップＳ３０２）。

特徴量抽出機能１０２は、取得した各々の生体情報から特徴量を抽出する（ステップＳ３０３）。

通信Ｉ／Ｆ１０３は、各々の特徴量を認証サーバ１１０に送信する（ステップＳ３０４）。

１：Ｎ高速照合機能１１２は、認証クライアント１００から送られてきた各々の特徴量と、Ｎ人の登録ユーザの登録テンプレート１２３との１：Ｎ高速照合を、距離索引法に基づいてスコアテーブル１２４を参照しながら行なう。この結果、送られてきた各々の特徴量のうち、ｔ（１≦ｔ≦Ｍ）番目の特徴量に関しては、Ｋ（≦Ｎ）人のユーザに対してスコアが得られたものとする。Ｋの値は、送られてくる特徴量毎に異なっていてもよい。また、ｔ（１≦ｔ≦Ｍ）番目の特徴量に関して、ｉ（１≦ｉ≦Ｋ）番目に照合した登録ユーザの番号がｍ（ｉ）（１≦ｍ（ｉ）≦Ｎ）であったとし、この登録ユーザに対するスコアをｓ_{ｔｍ（ｉ）}とする。（ステップＳ３０５）。

Δスコア算出機能１１３は、得られたスコアとスコアテーブル１２４を用いて、Δスコアを算出する。具体的には、
Δｓ_{ｔｉｍ（ｊ）}＝｜ｓ_{ｔｍ（ｊ）}−ｒ_{ｉｍ（ｊ）}｜（１≦ｔ≦Ｍ，１≦ｉ≦Ｎ，１≦ｊ≦Ｋ，ｉ≠ｊ） （式１９）
を求める。（ステップＳ３０６）。

事後確率算出機能１１４は、今までに得られたスコアとΔスコアを用いて、各登録ユーザu_ｎ（１≦ｎ≦Ｎ）の事後確率Ｐ（ｖ＝u_ｎ｜Ｓ_１，…，Ｓ_Ｍ，ΔＳ_１，…，ΔＳ_Ｍ）、及び非登録ユーザu_０の事後確率Ｐ（ｖ＝u_０｜Ｓ_１，…，Ｓ_Ｍ，ΔＳ_１，…，ΔＳ_Ｍ）を算出する。ここで、
Ｓ_ｔ＝｛ｓ_{ｔｍ（ｉ）}｜１≦ｉ≦Ｋ｝（１≦ｔ≦Ｍ） （式２０）
ΔＳ_ｔ＝｛Δｓ_{ｔｉｍ（ｊ）}｜１≦ｉ≦Ｎ，１≦ｊ≦Ｋ，ｉ≠ｊ｝（１≦ｔ≦Ｍ） （式２１）
である（ステップＳ３０７）。事後確率の算出方法は、実施例１のときと同じである。

認証対象ユーザ識別機能１１５は、ステップＳ３０７で得られた事後確率を閾値Ａと比較することで、認証対象ユーザｖの識別を行なう。具体的には、閾値Ａを超えた事後確率Ｐ（ｖ＝u_ｎ｜Ｓ_１，…，Ｓ_Ｍ，ΔＳ_１，…，ΔＳ_Ｍ）（１≦ｎ≦Ｎ）、及びＰ（ｖ＝u_０｜Ｓ_１，…，Ｓ_Ｍ，ΔＳ_１，…，ΔＳ_Ｍ）が１つ以上存在する場合、そのうち最大値を実現したu_ｎを識別結果とする。閾値Ａを超えた事後確率が存在しない場合、識別失敗とする（ステップＳ３０８）。

最終識別機能１０４は、認証サーバ１１０から送られてきた認証対象ユーザの識別結果が登録ユーザＩＤ１２２の場合、「認証成功」を最終結果とする。認証対象ユーザの識別結果が「なりすまし」の場合、「なりすまし」を最終結果とする。認証対象ユーザの識別結果が「識別失敗」の場合、「識別失敗」を最終結果とする。「識別失敗」を最終結果とした場合、認証対象ユーザに認証を再度やり直すように指示しても良い。（ステップＳ３１０）。

１００：認証クライアント
１０１：生体情報入力センサ
１０２：特徴量抽出機能
１０３：通信Ｉ／Ｆ
１０４：最終識別機能
１１０：認証サーバ
１１１：事前確率設定機能
１１２：１：Ｎ高速照合機能
１１３：Δスコア算出機能
１１４：事後確率算出機能
１１５：認証対象ユーザ識別機能
１１６：通信Ｉ／Ｆ
１２０：データベース
１２１：登録ユーザデータ
１２２：登録ユーザＩＤ
１２３：生体情報登録テンプレート
１２４：スコアテーブル
１３０：ネットワーク
２００：ＣＰＵ
２０１：メモリ
２０２：ＨＤＤ
２０３：入力装置
２０４：出力装置
２０５：通信装置

Claims (11)

1. Ｎ人の登録ユーザ毎に、登録ユーザＩＤと、１種類以上の生体情報の登録テンプレートと、当該登録テンプレートと他の登録ユーザの登録テンプレートとの類似度を表すスコアが記録されるスコアテーブルと、を保持するデータベースと、
   認証対象ユーザが各々の前記登録ユーザと同一人物であるという事前確率を設定する事前確率設定機能と、
   認証対象ユーザから１種類以上の生体情報を取得する生体情報入力センサと、
   取得した前記生体情報から特徴量を抽出する特徴量抽出機能と、
   前記認証対象ユーザの前記特徴量と、予め定めた閾値Ｋ人（Ｋ＜Ｎ）の前記登録ユーザの前記登録テンプレートとの照合を行なう１：Ｎ高速照合機能と、
   前記１：Ｎ高速照合によって得られた前記登録テンプレートごとのスコアと、前記スコアテーブルと、を用いて、２つのスコアがどれだけ異なるものかを表すΔスコアを算出するΔスコア算出機能と、
   前記スコアと前記Δスコアとを基に、前記認証対象ユーザが前記登録ユーザの各々と同一人物であるという事後確率を算出する事後確率算出機能と、
   前記事後確率の各々と予め定めた閾値Ａとを比較することで、前記認証対象ユーザの識別処理を行なう認証対象ユーザ識別機能と、を備える
   ことを特徴とする生体認証システム。
2. 請求項１に記載の生体認証システムにおいて、
   前記事前確率設定機能は、前記事前確率として、
   認証対象ユーザが非登録ユーザであるという事前確率を含めて設定し、
   前記事後確率算出機能は、
   認証対象ユーザが非登録ユーザであるという事後確率を併せて算出する
   ことを特徴とする生体認証システム。
3. 請求項１または２に記載の生体認証システムにおいて、
   前記認証対象ユーザ識別機能は、前記閾値Ａを超えた事後確率のうち、最大値を記録した登録ユーザ或いは、非登録ユーザを、識別結果とする
   ことを特徴とする生体認証システム。
4. 請求項１または２に記載の生体認証システムにおいて、
   前記認証対象ユーザ識別機能は、前記閾値Ａを超えた事後確率が存在しない場合、「識別失敗」を識別結果とする
   ことを特徴とする生体認証システム。
5. 請求項２に記載の生体認証システムにおいて、
   前記認証対象ユーザ識別機能は、
   前記認証対象ユーザが非登録ユーザであると識別したときは「なりすまし」を識別結果とし、
   前記認証対象ユーザが、登録ユーザであるか、非登録ユーザであるかを識別できないときは、「識別失敗」を識別結果とする
   ことを特徴とする生体認証システム。
6. 請求項１ないし５いずれか一に記載の生体認証システムにおいて、
   前記生体情報入力センサは、前記認証対象ユーザの生体情報をＭ個取得し、
   前記特徴量抽出機能は、Ｍ個の特徴量を抽出し、
   前記１：Ｎ高速照合機能と、前記Δスコア算出機能と、前記事後確率算出機能と、前記認証対象ユーザ識別機能と、は、前記Ｍ個の特徴量を用いた処理を行なう
   ことを特徴とする生体認証システム。
7. 請求項５に記載の生体認証システムにおいて、
   前記生体情報入力センサは、前記認証対象ユーザの生体情報を一つ取得し、
   前記特徴量抽出機能は、一つの特徴量を抽出し、
   前記１：Ｎ高速照合機能と、前記Δスコア算出機能と、前記事後確率算出機能と、前記認証対象ユーザ識別機能と、は、
   前記一つの特徴量を用いて、前記識別処理を行ない、
   前記認証対象ユーザ識別機能が「識別失敗」を識別結果とした場合は、前記生体情報入力センサが取得し、前記特徴量抽出機能が抽出した一つの特徴量について、
   前記処理を繰り返す
   ことを特徴とする生体認証システム。
8. 請求項１ないし７いずれか一に記載の生体認証システムにおいて、
   前記１：Ｎ高速照合機能は、
   前記スコアテーブルを参照して、前記登録テンプレートの照合順序を並べ替える
   ことを特徴とする生体認証システム。
9. 請求項１ないし８いずれか一に記載の生体認証システムにおいて、
   前記スコアテーブルには、Ｌ（Ｌ＜Ｎ）個の前記登録テンプレートについて、他の前記登録ユーザの前記登録テンプレートとのスコアを記録される
   ことを特徴とする生体認証システム。
10. 請求項１ないし９いずれか一に記載の生体認証システムにおいて、
    前記事後確率算出機能は、前記スコアの求まった前記登録ユーザに対しては、前記スコアと前記Δスコアを用いて事後確率を算出し、前記スコアの求まらなかった前記登録ユーザに対しては、前記Δスコアを用いて事後確率を算出する
    ことを特徴とする生体認証システム。
11. 請求項１ないし９いずれか一に記載の生体認証システムにおいて、
    前記事後確率算出機能は、前記スコアの求まった前記登録ユーザに対しては、前記スコアを用いて事後確率を算出し、前記スコアの求まらなかった前記登録ユーザに対しては、前記Δスコアを用いて事後確率を算出する
    ことを特徴とする生体認証システム。

Images