人物認証装置
【課題】生体特徴を用いた認証の利点を活かし、かつ個々の認証結果の結合から被認証者の行動履歴を追跡されない、匿名性を確保した人物認証装置を提供する。
【解決手段】本発明の人物認証装置１０１は、人物の生体特徴を電子情報に変換した生体テンプレート１０５と、人物から採取した画像を電子情報に変換した生体情報１０６と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラム１０７を一つの電子データに集合させた生体認証オブジェクト１０４を受信する生体認証オブジェクト受信手段１０２と、前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段１０３と、前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段１０８とを備える。
【解決手段】本発明の人物認証装置１０１は、人物の生体特徴を電子情報に変換した生体テンプレート１０５と、人物から採取した画像を電子情報に変換した生体情報１０６と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラム１０７を一つの電子データに集合させた生体認証オブジェクト１０４を受信する生体認証オブジェクト受信手段１０２と、前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段１０３と、前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段１０８とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は人物の認証を行う電子情報処理装置に関する。特に、生体特徴を用いて該電子情報処理装置の使用者の正当性を検証する人物認証装置に関する。
【背景技術】
【０００２】
インターネットなどの電気通信を介して情報処理装置の機能やサービスを使用する場合、もしくは銀行自動支払機、自動入退室管理装置、図書館、会員制レンタルサービスなどを利用する場合、使用者の正当性を認証する事（人物認証）が重要である。
【０００３】
人物認証には大別して（１）知識に基づく認証、（２）所持物に基づく認証、（３）生体特徴に基づく認証、の３種類がある。パスワードや暗証番号は（１）の代表例であり、ＩＣカードは（２）の代表例である。知識に基づく認証では、他人に知られた場合に容易になりすましが可能となり、所持物に基づく認証では紛失や盗難に際しての対策に難点がある。
【０００４】
そこで近年注目されているのが（３）の生体特徴に基づく認証である。これは指紋、虹彩、顔貌、静脈、筆跡、行動の癖など、ある個人だけが持つ身体上の特徴を電子情報的に比較照合することにより使用者の正当性を確認する技術である。その際、まず予め参照用特徴データを採取、登録しておき、認証時に改めて採取した特長データを前記参照用特徴データと比較照合する。ただし、特徴データ同士の照合はパスワード照合などと異なり、照合対象となる両者が完全に一致することは極めて稀である。そのため、特徴データをベクトルとして扱い、照合対象となる２つのベクトルの近似度を内積や空間距離に基づいて計算し、予め定めた閾値以下の場合には一致、そうでない場合は不一致として処理することが多い。
【０００５】
生体特徴に基づく認証は生体認証と呼ばれ、また、生物学的認証、バイオメトリクス認証とも呼ばれることもある。また、前記参照用特徴データを生体テンプレートと呼ぶ。
【０００６】
生体認証では人体そのものを認証キーとして使用するため、容易に他人に成りすまされる危険性が低く、さらに本人が意識しなくとも忘却したり紛失したりする心配もない。しかしながらその一方で、認証キーの変更、無効化が出来ず、一度登録した生体テンプレートが長期に渡り登録者本人の行動を追跡する鍵となってしまう問題がある。
【０００７】
あるサービスを利用する人間が、サービス提供者に身元を明かさずに正当な利用者（例えば会員登録した本人、対価を予め支払った本人）であることを示し、匿名性を維持したままサービスを受ける事が望まれる場合には、上記の生体認証の特性は基本的に障害となる。
【０００８】
匿名性を確保した生体認証に関する従来技術としては、生体情報と識別ＩＤ生成ルールから人物を識別するＩＤを生成するものがあった（例えば、特許文献１参照）。
【０００９】
図１６は前記特許文献１に記載された従来の人物認証装置の構成図である。
【００１０】
図１６において、人物認証装置１は、生体情報取得手段２が得た生体情報を、識別ＩＤ生成ルール記憶手段３が保持するルールと照合し、同一人物に対して同一の識別ＩＤが生成されるよう、識別ＩＤ生成手段４が作用していた。生成される識別ＩＤには個人情報や元の生体情報を含まないことにより、匿名性を確保していた。
【００１１】
匿名性を確保した生体認証に関する別の従来技術としては、認証される者と認証する者の間に、前記両者が信頼できる中立の第三者である、人物認証中継装置を設けるものがあった（例えば、特許文献２参照）。
【００１２】
図１７は前記特許文献２に記載された人物認証中継装置の構成図である。
【００１３】
図１７において、人物認証中継装置５は、被認証者９の生体情報を生体情報取得手段６で受け取り、生体情報データベース８が保持する情報から被認証者固有の匿名情報を生成し、認証中継手段７が認証者１０に渡していた。
【００１４】
認証者に対し、被認証者の生体情報、個人情報を直接渡さない事により匿名性を確保していた。
【特許文献１】特開２００５−５１４６３号公報（第１頁、図３）
【特許文献２】特開２００２−２６９０４９号公報（第１頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【００１５】
しかしながら、前記従来の構成では以下の課題を有していた。
【００１６】
前記図１６に示した従来例では、識別ＩＤ生成手段４が生成するＩＤは、同一人物（厳密には同一の身体部位に基づく生体情報）に対してユニークである。従って、あるＩＤの利用履歴をトレースすると、そのＩＤの利用者が誰かを知ることは出来なくとも、ある同一の人物がどのような行動を行ったかを知ることが出来てしまう。この事は、匿名性の重要な要件である非結合性、即ち複数の利用結果を結合し行動履歴を得られないようにする性質を満足しない。
【００１７】
また、前記図１７に示した従来例では、認証中継装置５は信頼できる第三者として充分なセキュリティを確保しなければならない。本質的には、非認証者９は自らの個人情報を認証中継装置５に完全に開示しており、両者の間で匿名性確保は全く講じられていない。
【課題を解決するための手段】
【００１８】
前記従来の課題を解決するために、本発明の人物認証装置は、人物の生体特徴を電子情報に変換した生体テンプレートと、人物から採取した画像を電子情報に変換した生体情報と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラムを一つの電子データに集合させた生体認証オブジェクトを受信する生体認証オブジェクト受信手段と、前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段と、前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段とを備える。
【００１９】
本構成によって、同一人物であっても撮像されるたびに内容が異なる生体画像を含む電子データからＩＤを得ることが可能となる。
【００２０】
さらに本発明の人物認証装置は、生体情報を取得する生体情報取得手段と、前記生体認証オブジェクトを解釈実行する計算機である生体認証オブジェクト実行手段と、前記ＩＤ生成手段が得たＩＤが有効か否かを判定するＩＤ認証手段とを備え、前記生体認証オブジェクト実行手段は生体テンプレートを格納する生体テンプレート格納部と、生体情報を格納する生体情報格納部と、生体テンプレートと生体情報が同一人物から得られたものであるか否かを検査する照合部とを備え、前記照合部の検査結果が同一人物であれば、前記ＩＤ認証手段がＩＤを有効と判定する。
【００２１】
本構成によって、同一のＩＤが同一人物によって使用されていることの確認が出来るとともに、同一人物から異なるＩＤを得ることが可能となり、匿名性が確保される。
【００２２】
さらに本発明の人物認証装置は、前記生体認証オブジェクト実行手段が、前記生体情報取得手段が得た生体情報を前記生体情報格納部に格納するより前に仮に格納する生体情報仮格納部と、前記生体情報仮格納部に格納された生体情報と、前記生体テンプレート格納部に格納された生体テンプレートが同一人物から得られたものであるか否かを検査する仮照合部を備え、前記仮照合部の検査の結果が同一人物である場合に、前記生体情報仮格納部に格納された生体情報を、前記生体情報格納部にコピーまたは移動する。
【００２３】
本構成によって不正な固定画像が格納されることがなくなり、固定ＩＤ導出による匿名性の喪失を防止することが出来る。
【００２４】
さらに本発明の人物認証装置は、人物から採取された画像を電子情報に変換し、さらに前記生体認証オブジェクトが復号可能な状態に暗号化を施した暗号化生体情報を取得する暗号化生体情報取得手段と、前記暗号化生体情報の正当性を検証する暗号化生体情報検証手段を備え、前記生体認証オブジェクト実行手段が前記暗号化生体情報を復元する生体情報復元部を備える。
【００２５】
本構成によって、画像からなる生体情報も秘匿化されるため、より高度な匿名性が得られる。
【００２６】
さらに本発明の人物認証装置は、前記生体認証オブジェクトが少なくともその一部に解読困難な物理構造もしくは論理構造を有する耐タンパモジュールを含み、前記生体テンプレートを前記耐タンパモジュールの内部に含む。
【００２７】
本構成によって、生体テンプレートの不正な読み出し、解読が困難となり、より高度な匿名性が得られる。
【００２８】
さらに本発明の人物認証装置は、保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールを備え、前期生体認証オブジェクト保持手段と、前記生体認証オブジェクトの実体である電子データを読み取り、不可逆な変換を行うダイジェスト生成手段とを、前記耐タンパモジュール内に備える。
【００２９】
本構成によって、生体テンプレート、生体情報、照合プログラム全体が不正な読み出し、解読から保護され、より高度な匿名性が得られる。
【００３０】
さらに本発明の人物認証装置は、暗号化された生体認証オブジェクトを受信する暗号化生体認証オブジェクト受信手段と、保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールとを備え、前記耐タンパモジュール内部に前記暗号化された生体認証オブジェクトを復号化する生体認証オブジェクト復号化手段を備え、前記暗号化生体認証オブジェクト受信手段から得た前記暗号化された生体認証オブジェクトが有する電子データを用いて、前記ＩＤ生成手段が人物を一意に識別するＩＤを生成する。
【００３１】
本構成によって、暗号化された生体認証オブジェクトからＩＤが生成され、匿名性を高めると同時に生成されたＩＤの信頼性を高めることが出来る。
【発明の効果】
【００３２】
本発明の人物認証装置によれば、生体認証による確実な本人確認を、匿名性を確保した上で実現できる効果を得ることができる。
【発明を実施するための最良の形態】
【００３３】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００３４】
（実施の形態１）
図１は、本発明の実施の形態１における人物認証装置の構成図である。
【００３５】
図１において、人物認証装置１０１は、生体認証オブジェクト受信手段１０２と、生体認証オブジェクト保持手段１０３と、ＩＤ生成手段１０６を備える。
【００３６】
生体認証オブジェクト保持手段１０３は内部に生体認証オブジェクト１０４を保持し、生体認証オブジェクト１０４は内部に生体テンプレート１０５、生体情報１０６、照合プログラム１０７を含む。
【００３７】
好適な例では、生体認証オブジェクト受信手段１０１は、他の装置から電気、電子的な信号を受け取り電子データを得る通信機であり、生体認証オブジェクト保持手段は電子データを格納し読み出すことが可能なＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等のメモリである。ＩＤ生成手段１０８は、人物認証装置１０１のハードウェア資源を利用して情報処理を行う情報処理機である。情報処理機はＨＤＤやＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）に書き込まれたプログラムコードをＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が解釈実行する形態であっても良い。
【００３８】
生体認証オブジェクト１０４は、内部にデータとプログラムを含む電子データである。
【００３９】
図２は、生体認証を行う際の基本的な入力データである生体情報の例を示したものである。図２において、２０１は認証対象人物の顔画像であり、カメラを用いて撮像する。
【００４０】
２０２は、認証対象人物の顔画像２の一部を拡大したものである。撮像された顔画像からなる生体情報は、全ての領域で拡大図２０２に示すように縦横に格子状となった白黒情報、濃淡情報、もしくは色情報を持つ画素から構成される。
【００４１】
顔画像を例とする生体情報は、生体認証オブジェクト１０４内部で生体情報１０６として保持される。
【００４２】
なお、この例では生体情報として認証対象人物の顔をカメラで撮像した画像データを用いたが、他に指紋画像、虹彩画像、静脈パターンの画像など、認証対象人物を他の人物と識別し得る画像であっても良い。また、撮像はカメラに限定されるものではなく、距離センサ、静電容量センサなど物体の形状を得る装置により行っても良い。
【００４３】
図３は、生体認証を行う際に本人を本人と識別するため予め作成しておく参照データである生体テンプレートの例を示した図である。
【００４４】
図３において、３０１は生体テンプレートを構成する１番目の要素、３０２は２番目の要素、３０３は３番目の要素である。３０４は最後の要素であり、要素の数がｎであればｎ番目の要素になる。
【００４５】
生体テンプレートはｎ個の要素からなるベクトルデータであり、各要素は生体テンプレート作成時に認証対象人物から得た生体情報をもとに生成されるものである。
【００４６】
生体情報から生体テンプレートを生成する方法の例としては、認証対象人物の認証対象部位（指紋、顔など）の画像を得て、特徴とする要素、例えば指紋であれば模様の分岐点や端点、顔であれば輪郭形状や目鼻の位置を画像処理によって抽出し、抽出されたデータ群を連結したものを生体テンプレートとする方法がある。
【００４７】
その際、特徴とする要素の抽出方法及び抽出されたデータの連結方法は認証対象人物によらず同一にすることにより、任意の人物の生体テンプレートは同次元のベクトルデータとして生成される。
【００４８】
前記ベクトルデータは、生体認証オブジェクト１０４内部で生体テンプレート１０５として保持される。
【００４９】
照合プログラム１０７は、対象人物から再度顔画像を取得し、上記と同等の方法を用いて特徴要素を抽出し、得られたベクトルデータと予め生成しておいた生体テンプレートとを比較照合するプログラムコードである。比較照合方法の例としては、２つのベクトルの内積もしくは距離を測る方法がある。
【００５０】
照合プログラム１０７は汎用的な計算機もしくは計算機上で動作する仮想計算機（バーチャルマシン；Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）によって読み込まれ、解釈実行される。人物認証装置１０１は照合プログラム１０７を解釈実行するハードウェアを有する。
【００５１】
図４は、照合プログラム１０７を解釈実行する人物認証装置１０１の動作フローの一例を示した図である。
【００５２】
まず、新規の生体情報を取得し、生体情報１０６に格納する（ステップ４０１）。次に、生体情報１０６を読み出し（ステップ４０２）、特徴抽出を行う（ステップ４０３）。特徴抽出の結果は生体テンプレート１０５と同次元のベクトルデータとなる。
【００５３】
続いて生体テンプレート１０５を読み出し（ステップ４０４）、前記特徴抽出の結果とベクトル同士の内積計算、距離計算等の所定の演算により照合を行う（ステップ４０５）。
【００５４】
前記生体テンプレート１０５、生体情報１０６、及び照合プログラム１０７を含む生体認証オブジェクト１０４は、ひと塊の電子データとして当該装置内に存在する。
【００５５】
ＩＤ生成手段１０８は、前記生体認証オブジェクト１０４を電子データとして読み込み、認証対象人物を識別するためのＩＤを生成する。ＩＤの生成方法はＳＨＡ−１（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ １）、ＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ ５）等、公知のハッシュアルゴリズムを用いる方法があるが、同一の電子データから同一のＩＤが生成され、かつ異なる電子データから実用上区別し得る個別のＩＤを生成することが可能なアルゴリズムであれば良く、特定の方法に限定されるものではない。
【００５６】
生体情報１０６は、カメラ等の撮影装置から得るデジタル画像である。このため、撮影時の被写体の微妙な位置や向きの違い、背景の違い、光源状態の違い等、様々な変動要因に影響される。また、デジタル画像を得る際に含まれるノイズも、必ずしも一様とは言えない。このため、生体画像１０６は生成の度に異なる揺らぎを含んだデータとなり、意図して全く同一のデータを得る事は極めて困難と言える。
【００５７】
従って、生体情報１０６を含む生体認証オブジェクト１０４は揺らぎを含み、生体認証オブジェクト１０４を基に生成されるＩＤにも揺らぎが含まれる。さらに、生体認証オブジェクト１０４内において、生体情報１０６は生体テンプレート１０５と比較してデータサイズが大きく、前記ＩＤに含まれる揺らぎによって、生体テンプレート１０５の一意性を隠蔽することが可能となる。前記一意性の隠蔽によって匿名性の確保が成される。
【００５８】
なお、データの揺らぎを得るために乱数を含ませる手法も考えられるが、一般に計算機上で生成される乱数は計算処理に基づいて生成される擬似乱数である。さらに、乱数発生器が不正を行った場合、容易に揺らぎを消失させることが可能である。
【００５９】
その点、カメラ画像が得る揺らぎは真正乱数であり、不正により揺らぎを消失させることは困難である。
【００６０】
以上実施の形態１によれば、同一人物であっても撮像されるたびに内容が異なる生体画像を含む電子データからＩＤを得るため、ＩＤが特定個人と永続的に結びつく可能性が低い、匿名性のあるＩＤ獲得の効果が得られる。
【００６１】
（実施の形態２）
図５は、本発明の実施の形態２における人物認証装置の構成図である。
【００６２】
図５において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【００６３】
図５において、人物認証装置５０１は、生体情報取得手段５０２、生体認証オブジェクト実行手段５０３、ＩＤ認証手段５０７を備える。
【００６４】
生体認証オブジェクト実行手段５０３は、生体認証オブジェクト１０４を実行する過程において使用する計算機と記憶装置を有し、内部に生体テンプレート格納部５０４、生体情報格納部５０５、及び照合部５０６を備える。
【００６５】
生体情報取得手段５０２は認証対象人物の顔画像など、生体情報を取得する機器である。直接撮像を行うカメラ等を一体に備えても良いし、カメラ等は別の装置に備え、生体情報のみを取得しても良い。
【００６６】
生体認証オブジェクト実行手段５０３は計算機もしくは仮想マシンである。
【００６７】
生体テンプレート格納部５０４と生体情報格納部５０５は、生体認証オブジェクト実行手段５０３内に存在するデータ格納領域である。
【００６８】
照合部５０６は、生体認証オブジェクト実行手段５０３内で生体テンプレートと生体情報の照合、即ち両者が同一の人物から得られたものであるか否かを判定する計算処理部である。
【００６９】
ＩＤ認証手段５０７は、当該ＩＤを用いている人物が正当であるか否かを判定する情報処理機である。
【００７０】
人物認証装置５０１は、ある時点と別の時点における認証対象人物の同一性を検証するものである。好適な使用例としては、テーマパーク等の施設において、入場時に人物の登録を行い、施設利用時に登録された人物と同一であれば利用を許可する。あるいは、料金前払いの会員サービスで、入会時に人物の登録を行い、サービス利用時に同一人物であることを確認する使用法が挙げられる。
【００７１】
図６は、人物認証装置５０１が生体認証オブジェクトからＩＤを生成する動作フローを示した図である。また、図７は認証対象人物であるユーザＡから、人物認証装置５０１が受け取る生体認証オブジェクトの構造例を示した図である。
【００７２】
生体認証オブジェクト受信手段５０２は、ユーザＡから生体認証オブジェクト７０１を受け取る（ステップ６０１）。生体認証オブジェクト７０１はユーザＡが所持するコンピュータ、携帯電話、メモリカードなどの記憶装置に保持された状態でユーザＡが携帯しているものとする。もしくは、計算機ネットワーク上に備えられた記憶装置から遠隔取得しても良い。
【００７３】
図７において、ユーザＡの生体テンプレート７０２は前記ユーザの生体特徴から得た生体テンプレートであり、ユーザＡの生体情報７０３が前記ユーザから得たものであれば両者の照合は成功、即ち同一人物から得られたものであると判別される。照合プログラム７０４が前記の照合を行う。
【００７４】
登録時には、ユーザＡ自身のユーザＡの生体情報７０３は、ユーザＡ自身が取得したものであることが望ましい。即ち、ユーザ側の機器が持つカメラ等の画像取得手段により、ユーザの顔画像、指紋画像、掌紋画像などの生体情報を取り込み、ユーザＡの生体情報７０３として生体認証オブジェクト７０１に格納する。カメラ等から得た画像は、撮像時の被写体の状態、光源、背景等の変動要因により、同一の人物を撮像した場合であっても得られるデータは通常同一でない。従ってユーザＡ管理下の機器で生体情報７０３を得ることにより、人物認証装置５０１が持つ生体情報取得手段５０２は前記と同一の生体情報を得ることが出来ない。
【００７５】
ユーザＡは、登録された自身の権利に基づきサービスを利用する際には、前記ユーザＡ自身が取得した生体情報７０３を含む生体認証オブジェクト７０１を提示することで登録時と同一人物であると主張できる。また、ユーザＡが改めて生体情報を取得し直し、取得し直した生体情報を格納した生体認証オブジェクトを用いて、ユーザＡ’として登録を行った場合には、人物認証装置５０１はユーザＡとユーザＡ’が同一人物であることを認識できず、匿名性が確保される。
【００７６】
次に、ＩＤ生成手段１０８は、前記生体認証オブジェクト７０１のハッシュ値を計算し（ステップ６０２）、前記ハッシュ値からユーザＡの人物識別のためのＩＤを得る（ステップ６０３）。ハッシュ値の計算は実施の形態１に示した方法で良い。
【００７７】
次に、ＩＤ生成手段１０８は、生成した前記ユーザＡのＩＤが既に登録済みであるか否かを調べ（ステップ６０４）、登録済みであれば既存ＩＤを利用するＩＤ利用処理を行い（ステップ６０５）、登録済みでなければＩＤ登録処理を行う（ステップ６０６）。
【００７８】
ＩＤ利用処理、ＩＤ登録処理ともに、ユーザＡが正しい人物であることを認証する必要がある。以下にその手順を示す。
【００７９】
図８は、人物認証装置５０１が生体認証オブジェクトからＩＤを認証する動作フローを示した図である。
【００８０】
生体情報取得手段５０２は、ユーザＡから生体情報を取得し（ステップ８０１）。生体認証オブジェクト７０１内にユーザＡの生体情報７０３として格納する（ステップ８０２）。
【００８１】
次に照合プログラム７０４が、ユーザＡの生体テンプレート７０２と、前記ユーザＡの生体情報７０３を照合する（ステップ８０３）。照合の方法は図４に示したものと同じで良い。
【００８２】
次に、照合が成功したか否かを判定し（ステップ８０４）、成功であればＩＤ利用もしくは登録処理を許可し（ステップ８０５）、失敗であればＩＤ利用もしくは登録処理を中止する（ステップ８０６）。
【００８３】
ＩＤ登録を許可されたユーザＡは、登録済みＩＤを用いてサービスを受ける際、登録時に使用したものと同じ生体認証オブジェクト７０１を人物認証装置５０１に送信する。人物認証装置５０１は、上記のＩＤ認証処理により認証対象人物が、ＩＤ登録時と同一人物であるユーザＡか否かを確認することが出来、別人物によるなり済ましを防ぐことが出来る。
【００８４】
例えば、ユーザＡがＩＤ登録時に使用した生体認証オブジェクトと同一のものを、ユーザＡとは別人物であるユーザＢが使用しようとした場合、前記ステップ８０５により不正なユーザであることが判定される。
【００８５】
また、ユーザＢが登録時からユーザＡに成りすます意図を持ち、ユーザＡの生体テンプレートを保持した生体認証オブジェクトを使用してＩＤ登録を行おうとした場合、同じく前記ステップ８０５により不正であることが判定され、登録は行われない。
【００８６】
上記のようにして、ユーザＡ以外の人物に提供サービスを搾取されることが防止される。
【００８７】
さらに、ユーザＡは生体認証オブジェクト７１に新たな生体情報７０３を格納して他の人物認証装置５０１に送信することにより、人物認証装置５０１は以前のものとは異なる、別のＩＤとしてユーザＡを登録する事になる。同じユーザＡに対してであってもＩＤが異なれば両者の結びつきは得られず、個人の行動履歴が暴露される恐れはない。
【００８８】
以上実施の形態２によれば、ある人物に割り当てたＩＤが、以降に同一人物のみが使用できることが保証され、なおかつ別の時点では同一人物に対して別のＩＤが割り当てられ、ＩＤ間の独立性が保たれることにより、匿名性を確保する効果が得られる。
【００８９】
なお、前記ステップ６０１の代わりとして、ユーザＡがＩＤ登録を行う際、前記ステップ８０２で生体情報を新たに格納した生体認証オブジェクトを用いてＩＤを生成しても良い。この場合、生体情報を新たに格納した生体認証オブジェクトをユーザＡに返却し、ユーザＡは次回以降のＩＤ利用時に前記返却された生体認証オブジェクトを人物認証装置５０１に提示する。
【００９０】
これにより、人物認証装置５０１は、自身が管理する生体情報取得手段を用いた得たユーザＡの生体情報を用いてＩＤ生成が行えるため、生体特徴に基づいた信頼性の高いＩＤ管理が可能となる効果が得られる。
【００９１】
（実施の形態３）
図９は、本発明の実施の形態３における人物認証装置の構成図である。
【００９２】
図９において、図５と同じ構成要素については同じ符号を用い、説明を省略する。
【００９３】
図９において、人物認証装置９０１は、生体認証オブジェクト５０３内に生体情報仮格納部９０２と、仮照合部９０３を備える。これらは生体認証オブジェクト１０４にプログラムとデータ領域を付加することにより実現される。
【００９４】
図１０は、生体情報格納の動作フローを示した図である。
【００９５】
生体情報取得手段５０２はユーザから生体情報を取得し、生体情報オブジェクト実行手段に渡す（ステップ１００１）。
【００９６】
生体認証オブジェクト実行手段５０３は、生体情報取得手段５０２から受け取った生体情報を生体情報仮格納部９０２に格納する（ステップ１００２）。
【００９７】
次に仮照合部９０３が生体情報格納部９０２に格納された生体情報と、生体テンプレート格納部５０４に格納された生体テンプレートを仮照合する（ステップ１００３）。仮照合の方法は図４に示したものと同じで良い。
【００９８】
次に照合に成功したか否かを判定し（ステップ１００４）、照合に成功した場合は生体情報を生体情報格納部５０５に生体情報を格納し（ステップ１００５）、失敗した場合は生体情報格納処理を中止する（ステップ１００６）。
【００９９】
以上実施の形態３によれば、生体テンプレートと合致しない不正な生体情報を生体認証オブジェクトが受け入れることを防止できる。これにより、固定の画像を格納された状態でＩＤを生成され、匿名性が損なわれることを防止する効果が得られる。
【０１００】
つまり、仮に人物認証装置を設計もしくは運用する者が不正を働き、取得した生体認証オブジェクトに、ユーザが取得した生体情報と称して固定された画像（もしくは内容が全て同一値で埋められた固定データ）を渡し、生体認証オブジェクトがこれを受け取ってしまった場合、生体認証オブジェクトから得られるＩＤは揺らぎを持たない生体テンプレートのみによって決定されてしまい、匿名性が喪失される。本実施の形態３によれば、前記の不正行為による匿名性の喪失を未然に防ぐことが可能となる。
【０１０１】
なお、匿名性の喪失を防ぐための生体情報の別の確認方法として、生体情報仮格納部９０２が格納されたデータが生体から取得したデータであるか否かを、生体認証オブジェクト実行手段５０３が調べる方法を採っても良い。具体的には、例えば顔認証であれば、生体情報仮格納部９０２に格納されたデータを公知の画像分析手法に基づき、人間の顔であるか否かを判定する。人間の顔であると判定された場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納する。
【０１０２】
あるいは、生体情報仮格納部９０２に格納されたデータの作成装置の署名と、作成日時を調べ、生体情報を取得する正当な装置が、最近（例えば過去１分以内など）に作成したデータであるか否かを判定し、最近作成された生体情報である事が確認できた場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納しても良い。
【０１０３】
なお、匿名性の喪失を防ぐための生体情報のさらに別の確認方法として、生体情報仮格納部９０２が格納されたデータの履歴を生体認証オブジェクト実行手段５０３が保持し、過去に保持されたデータと同一のデータでない事が確認された場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納しても良い。
【０１０４】
（実施の形態４）
図１１は、本発明の実施の形態４における人物認証装置の構成図である。
【０１０５】
図１１において、図５と同じ構成要素については同じ符号を用い、説明を省略する。
【０１０６】
図１１において、人物認証装置１１０１は、暗号化生体情報取得手段１１０２、暗号化生体情報検証手段１１０３を備え、さらに生体認証オブジェクト実行手段５０３内に生体情報復号部１１０４を備える。
【０１０７】
図１２は、暗号化された生体情報を格納する際の動作フローを示した図である。
【０１０８】
暗号化生体情報取得手段は１１０２は、カメラなどの撮像機を持つ他の装置から、暗号化された生体情報を取得する（ステップ１２０１）。
【０１０９】
次に暗号化生体情報検証手段１１０３は、前記暗号化された生体情報が正当なものであることを検証する（ステップ１２０２）。検証方法の例としては、生体情報を撮像した装置が、前記暗号化された生体情報に電子署名を付加し、暗号化生体情報検証手段１１０３が電子署名を検証する方法がある。電子署名の具体例としては、公開鍵暗号を用いた方法が公知である。また、撮像した生体情報の信憑性を向上させるため、生体情報がいつ撮像されたものであるかを示す時刻署名を含んでも良い。
【０１１０】
生体認証オブジェクト実行手段５０３内にある生体情報復号部１１０４は、前記暗号化された生体情報を復号し（ステップ１２０３）、生体情報格納部５０５に格納する（ステップ１２０４）。
【０１１１】
以上実施の形態４によれば、撮像を行った装置と、生体認証オブジェクト実行手段５０３以外は生体情報の内容を知ることが出来ない。これにより、生体テンプレートだけでなく、撮像した顔画像などの生体情報も秘匿した状態で認証を行うことが出来、匿名性をより向上させる効果が得られる。
【０１１２】
（実施の形態５）
図１３は、本発明の実施の形態５における人物認証装置の構成図である。
【０１１３】
図１３において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１１４】
図１３において、人物認証装置１３０１は、生体認証オブジェクト１０４内の生体テンプレート１０５を保護する耐タンパ（Ｔａｍｐｅｒ Ｒｅｓｉｓｔａｎｔ）モジュール１３０２を備える。
【０１１５】
耐タンパモジュールの実現方法は、物理的に不正な読み出し、改ざんを防ぐ耐タンパチップを用いる方法がある。耐タンパチップはＩＣカード製品等に採用される公知の技術であり、この中に格納された生体テンプレートを不正に読み出すことは困難となる。
【０１１６】
耐タンパモジュールの別の実現方法は、暗号技術、難読化技術を応用したソフトウェア耐タンパである。生体テンプレートを難読化することにより、不正に読み出すことが困難となる。
【０１１７】
また、生体テンプレートの一部を耐タンパチップに格納し、残りをソフトウェア耐タンパで保護したり、生体テンプレートを暗号化し、復号鍵を耐タンパチップに格納する複合的な方法により耐タンパモジュールを実現しても良い。
【０１１８】
以上実施の形態５によれば、生体テンプレートの不正な読み出し、解読が困難となり、匿名性をより向上させる効果が得られる。
【０１１９】
（実施の形態６）
図１４は、本発明の実施の形態６における人物認証装置の構成図である。
【０１２０】
図１４において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１２１】
図１４において、人物認証装置１４０１は、ダイジェスト生成手段１４０３を備え、さらに生体認証オブジェクト１０４と、前記ダイジェスト生成手段１４０３を保護する耐タンパモジュール１４０２を備える。
【０１２２】
耐タンパモジュール１４０２内に生体認証オブジェクト１０４を保持し、不正な読み出し、解読を防止する。
【０１２３】
耐タンパモジュール１４０２は、ＩＣカード製品等に用いられる対タンパチップ、もしくは耐タンパチップとメモリ装置の組み合わせで実現すれば良い。
【０１２４】
ダイジェスト生成手段１４０３は耐タンパモジュール１４０２の内部に設けられ、生体認証オブジェクト保持手段１０３から生体認証オブジェクト１０４を読み出し、一方向変換によりダイジェストを生成する演算装置である。
【０１２５】
一方向変換には公知のダイジェスト生成技術を用い、生成したダイジェストから元の生体認証オブジェクト１０４のデータ内容が得られないようにする。ダイジェスト生成技術の例としては、前述したＳＨＡ−１、ＭＤ５等のハッシュアルゴリズムを用いたもの挙げられる。
【０１２６】
ＩＤ生成手段１４０４は、前記ダイジェスト生成手段１４０３が生成したダイジェストを読み取り、認証対象人物を識別するＩＤを生成する演算装置である。
【０１２７】
ＩＤを生成する演算は、生成される各ダイジェストから対応ＩＤを一意に得る方法であれば良い。最も単純な例は前記ダイジェストをそのままＩＤとして用いる方法である。
【０１２８】
以上実施の形態６によれば、生体テンプレート１０５、生体情報１０６、照合プログラム１０７を全て耐タンパモジュールで保護した上で、生体認証オブジェクト１０４からＩＤが生成される。対タンパモジュール１４０２の外に現れるダイジェストからは元の生体認証オブジェクト１０４は復元できないため、生体テンプレート１０５に関わる機密性を高めることが可能となり、より高度な匿名性を確保する効果が得られる。
【０１２９】
（実施の形態７）
図１５は、本発明の実施の形態７における人物認証装置の構成図である。
【０１３０】
図１５において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１３１】
図１５において、人物認証装置１５０１は、暗号化生体認証オブジェクト受信手段１５０２、耐タンパモジュール１５０３を備え、さらに耐タンパモジュール１５０３内に生体認証オブジェクト復号手段１５０４を備える。
【０１３２】
耐タンパモジュール１５０３の構成は、耐タンパモジュール１４０２と同様である。
【０１３３】
暗号化生体認証オブジェクト受信手段１５０２は他の機器から暗号化された生体認証オブジェクトを受け取り、耐タンパモジュール１５０３内の生体認証オブジェクト復号手段１５０４に渡す。
【０１３４】
生体認証オブジェクト復号手段１５０４は、前記暗号化された生体認証オブジェクトを復号化し、生体認証オブジェクト保持手段１０３に渡す。
【０１３５】
ＩＤ生成手段１０８は、暗号化生体認証オブジェクト受信手段１５０２から前記暗号化された生体認証オブジェクトの電子データを受け取り、ＩＤを生成する。
【０１３６】
以上実施の形態７によれば、生体認証オブジェクト１０４を耐タンパモジュール外で強固に保護することが可能となり、機密性、匿名性を高める効果が得られる。
【産業上の利用可能性】
【０１３７】
本発明にかかるユーザ認証補助装置、及びユーザ認証主装置は、生体特徴を用いたユーザ認証に関わる汎用性を有し、両装置を計算機ネットワーク上の複数地点で用いる電子決済、コンテンツ配布、アクセス制御システムの他、両装置を近接した状態を用いる現金自動預払機、入退室管理装置、コンピュータやコンソールへのアクセス許可システム等に応用できる。
【図面の簡単な説明】
【０１３８】
【図１】本発明の実施の形態１における人物認証装置の構成図
【図２】生体情報の例を示した図
【図３】生体テンプレートの例を示した図
【図４】照合プログラムの動作フローを示した図
【図５】本発明の実施の形態２における人物認証装置の構成図
【図６】ＩＤ生成の動作フローを示した図
【図７】生体認証オブジェクトの構造例を示した図
【図８】ＩＤ認証の動作フローを示した図
【図９】本発明の実施の形態３における人物認証装置の構成図
【図１０】生体情報格納の動作フローを示した図
【図１１】本発明の実施の形態４における人物認証装置の構成図
【図１２】暗号化された生体情報格納の動作フローを示した図
【図１３】本発明の実施の形態５における人物認証装置の構成図
【図１４】本発明の実施の形態６における人物認証装置の構成図
【図１５】本発明の実施の形態７における人物認証装置の構成図
【図１６】従来の人物認証装置の構成図
【図１７】従来の人物認証装置の構成図
【符号の説明】
【０１３９】
１ 従来の人物認証装置
２ 生体情報取得手段
３ 識別ＩＤ生成ルール記憶手段
４ 識別ＩＤ生成手段
５ 従来の人物認証装置
６ 生体情報取得手段
７ 認証中継手段
８ 生体情報データベース
９ 被認証者
１０ 認証者
１０１ 人物認証装置
１０２ 生体認証オブジェクト受信手段
１０３ 生体認証オブジェクト保持手段
１０４ 生体認証オブジェクト
１０５ 生体テンプレート
１０６ 生体情報
１０７ 照合プログラム
１０８ ＩＤ生成手段
２０１ 認証対象人物の顔画像
２０２ 認証対象人物の顔画像の一部を拡大したもの
３０１〜３０４ 生体テンプレートの要素データ
４０１〜４０５ 照合プログラムの動作フローの各ステップ
５０１ 人物認証装置
５０２ 生体情報取得手段
５０３ 生体認証オブジェクト実行手段
５０４ 生体テンプレート格納部
５０５ 生体情報格納部
５０６ 照合部
６０１〜６０６ ＩＤ生成の動作フローの各ステップ
７０１ 生体認証オブジェクト
７０２ ユーザＡの生体テンプレート
７０３ ユーザＡの生体情報
７０４ 照合プログラム
８０１〜８０６ ＩＤ認証の動作フローの各ステップ
５０７ ＩＤ認証手段
９０１ 人物認証装置
９０２ 生体情報仮格納部
９０３ 仮照合部
１００１〜１００６ 生体情報格納の動作フローの各ステップ
１１０１ 人物認証装置
１１０２ 暗号化生体情報取得手段
１１０３ 暗号化生体情報検証手段
１１０４ 生体情報復号部
１２０１〜１２０４ 暗号化された生体情報格納の動作フローの各ステップ
１３０１ 人物認証装置
１３０２ 耐タンパモジュール
１４０１ 人物認証装置
１４０２ 耐タンパモジュール
１４０３ ダイジェスト生成手段
１４０４ ＩＤ生成手段
１５０１ 人物認証装置
１５０２ 暗号化生体認証オブジェクト受信手段
１５０３ 耐タンパモジュール
１５０４ 生体認証オブジェクト復号手段
【技術分野】
【０００１】
本発明は人物の認証を行う電子情報処理装置に関する。特に、生体特徴を用いて該電子情報処理装置の使用者の正当性を検証する人物認証装置に関する。
【背景技術】
【０００２】
インターネットなどの電気通信を介して情報処理装置の機能やサービスを使用する場合、もしくは銀行自動支払機、自動入退室管理装置、図書館、会員制レンタルサービスなどを利用する場合、使用者の正当性を認証する事（人物認証）が重要である。
【０００３】
人物認証には大別して（１）知識に基づく認証、（２）所持物に基づく認証、（３）生体特徴に基づく認証、の３種類がある。パスワードや暗証番号は（１）の代表例であり、ＩＣカードは（２）の代表例である。知識に基づく認証では、他人に知られた場合に容易になりすましが可能となり、所持物に基づく認証では紛失や盗難に際しての対策に難点がある。
【０００４】
そこで近年注目されているのが（３）の生体特徴に基づく認証である。これは指紋、虹彩、顔貌、静脈、筆跡、行動の癖など、ある個人だけが持つ身体上の特徴を電子情報的に比較照合することにより使用者の正当性を確認する技術である。その際、まず予め参照用特徴データを採取、登録しておき、認証時に改めて採取した特長データを前記参照用特徴データと比較照合する。ただし、特徴データ同士の照合はパスワード照合などと異なり、照合対象となる両者が完全に一致することは極めて稀である。そのため、特徴データをベクトルとして扱い、照合対象となる２つのベクトルの近似度を内積や空間距離に基づいて計算し、予め定めた閾値以下の場合には一致、そうでない場合は不一致として処理することが多い。
【０００５】
生体特徴に基づく認証は生体認証と呼ばれ、また、生物学的認証、バイオメトリクス認証とも呼ばれることもある。また、前記参照用特徴データを生体テンプレートと呼ぶ。
【０００６】
生体認証では人体そのものを認証キーとして使用するため、容易に他人に成りすまされる危険性が低く、さらに本人が意識しなくとも忘却したり紛失したりする心配もない。しかしながらその一方で、認証キーの変更、無効化が出来ず、一度登録した生体テンプレートが長期に渡り登録者本人の行動を追跡する鍵となってしまう問題がある。
【０００７】
あるサービスを利用する人間が、サービス提供者に身元を明かさずに正当な利用者（例えば会員登録した本人、対価を予め支払った本人）であることを示し、匿名性を維持したままサービスを受ける事が望まれる場合には、上記の生体認証の特性は基本的に障害となる。
【０００８】
匿名性を確保した生体認証に関する従来技術としては、生体情報と識別ＩＤ生成ルールから人物を識別するＩＤを生成するものがあった（例えば、特許文献１参照）。
【０００９】
図１６は前記特許文献１に記載された従来の人物認証装置の構成図である。
【００１０】
図１６において、人物認証装置１は、生体情報取得手段２が得た生体情報を、識別ＩＤ生成ルール記憶手段３が保持するルールと照合し、同一人物に対して同一の識別ＩＤが生成されるよう、識別ＩＤ生成手段４が作用していた。生成される識別ＩＤには個人情報や元の生体情報を含まないことにより、匿名性を確保していた。
【００１１】
匿名性を確保した生体認証に関する別の従来技術としては、認証される者と認証する者の間に、前記両者が信頼できる中立の第三者である、人物認証中継装置を設けるものがあった（例えば、特許文献２参照）。
【００１２】
図１７は前記特許文献２に記載された人物認証中継装置の構成図である。
【００１３】
図１７において、人物認証中継装置５は、被認証者９の生体情報を生体情報取得手段６で受け取り、生体情報データベース８が保持する情報から被認証者固有の匿名情報を生成し、認証中継手段７が認証者１０に渡していた。
【００１４】
認証者に対し、被認証者の生体情報、個人情報を直接渡さない事により匿名性を確保していた。
【特許文献１】特開２００５−５１４６３号公報（第１頁、図３）
【特許文献２】特開２００２−２６９０４９号公報（第１頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【００１５】
しかしながら、前記従来の構成では以下の課題を有していた。
【００１６】
前記図１６に示した従来例では、識別ＩＤ生成手段４が生成するＩＤは、同一人物（厳密には同一の身体部位に基づく生体情報）に対してユニークである。従って、あるＩＤの利用履歴をトレースすると、そのＩＤの利用者が誰かを知ることは出来なくとも、ある同一の人物がどのような行動を行ったかを知ることが出来てしまう。この事は、匿名性の重要な要件である非結合性、即ち複数の利用結果を結合し行動履歴を得られないようにする性質を満足しない。
【００１７】
また、前記図１７に示した従来例では、認証中継装置５は信頼できる第三者として充分なセキュリティを確保しなければならない。本質的には、非認証者９は自らの個人情報を認証中継装置５に完全に開示しており、両者の間で匿名性確保は全く講じられていない。
【課題を解決するための手段】
【００１８】
前記従来の課題を解決するために、本発明の人物認証装置は、人物の生体特徴を電子情報に変換した生体テンプレートと、人物から採取した画像を電子情報に変換した生体情報と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラムを一つの電子データに集合させた生体認証オブジェクトを受信する生体認証オブジェクト受信手段と、前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段と、前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段とを備える。
【００１９】
本構成によって、同一人物であっても撮像されるたびに内容が異なる生体画像を含む電子データからＩＤを得ることが可能となる。
【００２０】
さらに本発明の人物認証装置は、生体情報を取得する生体情報取得手段と、前記生体認証オブジェクトを解釈実行する計算機である生体認証オブジェクト実行手段と、前記ＩＤ生成手段が得たＩＤが有効か否かを判定するＩＤ認証手段とを備え、前記生体認証オブジェクト実行手段は生体テンプレートを格納する生体テンプレート格納部と、生体情報を格納する生体情報格納部と、生体テンプレートと生体情報が同一人物から得られたものであるか否かを検査する照合部とを備え、前記照合部の検査結果が同一人物であれば、前記ＩＤ認証手段がＩＤを有効と判定する。
【００２１】
本構成によって、同一のＩＤが同一人物によって使用されていることの確認が出来るとともに、同一人物から異なるＩＤを得ることが可能となり、匿名性が確保される。
【００２２】
さらに本発明の人物認証装置は、前記生体認証オブジェクト実行手段が、前記生体情報取得手段が得た生体情報を前記生体情報格納部に格納するより前に仮に格納する生体情報仮格納部と、前記生体情報仮格納部に格納された生体情報と、前記生体テンプレート格納部に格納された生体テンプレートが同一人物から得られたものであるか否かを検査する仮照合部を備え、前記仮照合部の検査の結果が同一人物である場合に、前記生体情報仮格納部に格納された生体情報を、前記生体情報格納部にコピーまたは移動する。
【００２３】
本構成によって不正な固定画像が格納されることがなくなり、固定ＩＤ導出による匿名性の喪失を防止することが出来る。
【００２４】
さらに本発明の人物認証装置は、人物から採取された画像を電子情報に変換し、さらに前記生体認証オブジェクトが復号可能な状態に暗号化を施した暗号化生体情報を取得する暗号化生体情報取得手段と、前記暗号化生体情報の正当性を検証する暗号化生体情報検証手段を備え、前記生体認証オブジェクト実行手段が前記暗号化生体情報を復元する生体情報復元部を備える。
【００２５】
本構成によって、画像からなる生体情報も秘匿化されるため、より高度な匿名性が得られる。
【００２６】
さらに本発明の人物認証装置は、前記生体認証オブジェクトが少なくともその一部に解読困難な物理構造もしくは論理構造を有する耐タンパモジュールを含み、前記生体テンプレートを前記耐タンパモジュールの内部に含む。
【００２７】
本構成によって、生体テンプレートの不正な読み出し、解読が困難となり、より高度な匿名性が得られる。
【００２８】
さらに本発明の人物認証装置は、保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールを備え、前期生体認証オブジェクト保持手段と、前記生体認証オブジェクトの実体である電子データを読み取り、不可逆な変換を行うダイジェスト生成手段とを、前記耐タンパモジュール内に備える。
【００２９】
本構成によって、生体テンプレート、生体情報、照合プログラム全体が不正な読み出し、解読から保護され、より高度な匿名性が得られる。
【００３０】
さらに本発明の人物認証装置は、暗号化された生体認証オブジェクトを受信する暗号化生体認証オブジェクト受信手段と、保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールとを備え、前記耐タンパモジュール内部に前記暗号化された生体認証オブジェクトを復号化する生体認証オブジェクト復号化手段を備え、前記暗号化生体認証オブジェクト受信手段から得た前記暗号化された生体認証オブジェクトが有する電子データを用いて、前記ＩＤ生成手段が人物を一意に識別するＩＤを生成する。
【００３１】
本構成によって、暗号化された生体認証オブジェクトからＩＤが生成され、匿名性を高めると同時に生成されたＩＤの信頼性を高めることが出来る。
【発明の効果】
【００３２】
本発明の人物認証装置によれば、生体認証による確実な本人確認を、匿名性を確保した上で実現できる効果を得ることができる。
【発明を実施するための最良の形態】
【００３３】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００３４】
（実施の形態１）
図１は、本発明の実施の形態１における人物認証装置の構成図である。
【００３５】
図１において、人物認証装置１０１は、生体認証オブジェクト受信手段１０２と、生体認証オブジェクト保持手段１０３と、ＩＤ生成手段１０６を備える。
【００３６】
生体認証オブジェクト保持手段１０３は内部に生体認証オブジェクト１０４を保持し、生体認証オブジェクト１０４は内部に生体テンプレート１０５、生体情報１０６、照合プログラム１０７を含む。
【００３７】
好適な例では、生体認証オブジェクト受信手段１０１は、他の装置から電気、電子的な信号を受け取り電子データを得る通信機であり、生体認証オブジェクト保持手段は電子データを格納し読み出すことが可能なＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等のメモリである。ＩＤ生成手段１０８は、人物認証装置１０１のハードウェア資源を利用して情報処理を行う情報処理機である。情報処理機はＨＤＤやＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）に書き込まれたプログラムコードをＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が解釈実行する形態であっても良い。
【００３８】
生体認証オブジェクト１０４は、内部にデータとプログラムを含む電子データである。
【００３９】
図２は、生体認証を行う際の基本的な入力データである生体情報の例を示したものである。図２において、２０１は認証対象人物の顔画像であり、カメラを用いて撮像する。
【００４０】
２０２は、認証対象人物の顔画像２の一部を拡大したものである。撮像された顔画像からなる生体情報は、全ての領域で拡大図２０２に示すように縦横に格子状となった白黒情報、濃淡情報、もしくは色情報を持つ画素から構成される。
【００４１】
顔画像を例とする生体情報は、生体認証オブジェクト１０４内部で生体情報１０６として保持される。
【００４２】
なお、この例では生体情報として認証対象人物の顔をカメラで撮像した画像データを用いたが、他に指紋画像、虹彩画像、静脈パターンの画像など、認証対象人物を他の人物と識別し得る画像であっても良い。また、撮像はカメラに限定されるものではなく、距離センサ、静電容量センサなど物体の形状を得る装置により行っても良い。
【００４３】
図３は、生体認証を行う際に本人を本人と識別するため予め作成しておく参照データである生体テンプレートの例を示した図である。
【００４４】
図３において、３０１は生体テンプレートを構成する１番目の要素、３０２は２番目の要素、３０３は３番目の要素である。３０４は最後の要素であり、要素の数がｎであればｎ番目の要素になる。
【００４５】
生体テンプレートはｎ個の要素からなるベクトルデータであり、各要素は生体テンプレート作成時に認証対象人物から得た生体情報をもとに生成されるものである。
【００４６】
生体情報から生体テンプレートを生成する方法の例としては、認証対象人物の認証対象部位（指紋、顔など）の画像を得て、特徴とする要素、例えば指紋であれば模様の分岐点や端点、顔であれば輪郭形状や目鼻の位置を画像処理によって抽出し、抽出されたデータ群を連結したものを生体テンプレートとする方法がある。
【００４７】
その際、特徴とする要素の抽出方法及び抽出されたデータの連結方法は認証対象人物によらず同一にすることにより、任意の人物の生体テンプレートは同次元のベクトルデータとして生成される。
【００４８】
前記ベクトルデータは、生体認証オブジェクト１０４内部で生体テンプレート１０５として保持される。
【００４９】
照合プログラム１０７は、対象人物から再度顔画像を取得し、上記と同等の方法を用いて特徴要素を抽出し、得られたベクトルデータと予め生成しておいた生体テンプレートとを比較照合するプログラムコードである。比較照合方法の例としては、２つのベクトルの内積もしくは距離を測る方法がある。
【００５０】
照合プログラム１０７は汎用的な計算機もしくは計算機上で動作する仮想計算機（バーチャルマシン；Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）によって読み込まれ、解釈実行される。人物認証装置１０１は照合プログラム１０７を解釈実行するハードウェアを有する。
【００５１】
図４は、照合プログラム１０７を解釈実行する人物認証装置１０１の動作フローの一例を示した図である。
【００５２】
まず、新規の生体情報を取得し、生体情報１０６に格納する（ステップ４０１）。次に、生体情報１０６を読み出し（ステップ４０２）、特徴抽出を行う（ステップ４０３）。特徴抽出の結果は生体テンプレート１０５と同次元のベクトルデータとなる。
【００５３】
続いて生体テンプレート１０５を読み出し（ステップ４０４）、前記特徴抽出の結果とベクトル同士の内積計算、距離計算等の所定の演算により照合を行う（ステップ４０５）。
【００５４】
前記生体テンプレート１０５、生体情報１０６、及び照合プログラム１０７を含む生体認証オブジェクト１０４は、ひと塊の電子データとして当該装置内に存在する。
【００５５】
ＩＤ生成手段１０８は、前記生体認証オブジェクト１０４を電子データとして読み込み、認証対象人物を識別するためのＩＤを生成する。ＩＤの生成方法はＳＨＡ−１（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ １）、ＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ ５）等、公知のハッシュアルゴリズムを用いる方法があるが、同一の電子データから同一のＩＤが生成され、かつ異なる電子データから実用上区別し得る個別のＩＤを生成することが可能なアルゴリズムであれば良く、特定の方法に限定されるものではない。
【００５６】
生体情報１０６は、カメラ等の撮影装置から得るデジタル画像である。このため、撮影時の被写体の微妙な位置や向きの違い、背景の違い、光源状態の違い等、様々な変動要因に影響される。また、デジタル画像を得る際に含まれるノイズも、必ずしも一様とは言えない。このため、生体画像１０６は生成の度に異なる揺らぎを含んだデータとなり、意図して全く同一のデータを得る事は極めて困難と言える。
【００５７】
従って、生体情報１０６を含む生体認証オブジェクト１０４は揺らぎを含み、生体認証オブジェクト１０４を基に生成されるＩＤにも揺らぎが含まれる。さらに、生体認証オブジェクト１０４内において、生体情報１０６は生体テンプレート１０５と比較してデータサイズが大きく、前記ＩＤに含まれる揺らぎによって、生体テンプレート１０５の一意性を隠蔽することが可能となる。前記一意性の隠蔽によって匿名性の確保が成される。
【００５８】
なお、データの揺らぎを得るために乱数を含ませる手法も考えられるが、一般に計算機上で生成される乱数は計算処理に基づいて生成される擬似乱数である。さらに、乱数発生器が不正を行った場合、容易に揺らぎを消失させることが可能である。
【００５９】
その点、カメラ画像が得る揺らぎは真正乱数であり、不正により揺らぎを消失させることは困難である。
【００６０】
以上実施の形態１によれば、同一人物であっても撮像されるたびに内容が異なる生体画像を含む電子データからＩＤを得るため、ＩＤが特定個人と永続的に結びつく可能性が低い、匿名性のあるＩＤ獲得の効果が得られる。
【００６１】
（実施の形態２）
図５は、本発明の実施の形態２における人物認証装置の構成図である。
【００６２】
図５において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【００６３】
図５において、人物認証装置５０１は、生体情報取得手段５０２、生体認証オブジェクト実行手段５０３、ＩＤ認証手段５０７を備える。
【００６４】
生体認証オブジェクト実行手段５０３は、生体認証オブジェクト１０４を実行する過程において使用する計算機と記憶装置を有し、内部に生体テンプレート格納部５０４、生体情報格納部５０５、及び照合部５０６を備える。
【００６５】
生体情報取得手段５０２は認証対象人物の顔画像など、生体情報を取得する機器である。直接撮像を行うカメラ等を一体に備えても良いし、カメラ等は別の装置に備え、生体情報のみを取得しても良い。
【００６６】
生体認証オブジェクト実行手段５０３は計算機もしくは仮想マシンである。
【００６７】
生体テンプレート格納部５０４と生体情報格納部５０５は、生体認証オブジェクト実行手段５０３内に存在するデータ格納領域である。
【００６８】
照合部５０６は、生体認証オブジェクト実行手段５０３内で生体テンプレートと生体情報の照合、即ち両者が同一の人物から得られたものであるか否かを判定する計算処理部である。
【００６９】
ＩＤ認証手段５０７は、当該ＩＤを用いている人物が正当であるか否かを判定する情報処理機である。
【００７０】
人物認証装置５０１は、ある時点と別の時点における認証対象人物の同一性を検証するものである。好適な使用例としては、テーマパーク等の施設において、入場時に人物の登録を行い、施設利用時に登録された人物と同一であれば利用を許可する。あるいは、料金前払いの会員サービスで、入会時に人物の登録を行い、サービス利用時に同一人物であることを確認する使用法が挙げられる。
【００７１】
図６は、人物認証装置５０１が生体認証オブジェクトからＩＤを生成する動作フローを示した図である。また、図７は認証対象人物であるユーザＡから、人物認証装置５０１が受け取る生体認証オブジェクトの構造例を示した図である。
【００７２】
生体認証オブジェクト受信手段５０２は、ユーザＡから生体認証オブジェクト７０１を受け取る（ステップ６０１）。生体認証オブジェクト７０１はユーザＡが所持するコンピュータ、携帯電話、メモリカードなどの記憶装置に保持された状態でユーザＡが携帯しているものとする。もしくは、計算機ネットワーク上に備えられた記憶装置から遠隔取得しても良い。
【００７３】
図７において、ユーザＡの生体テンプレート７０２は前記ユーザの生体特徴から得た生体テンプレートであり、ユーザＡの生体情報７０３が前記ユーザから得たものであれば両者の照合は成功、即ち同一人物から得られたものであると判別される。照合プログラム７０４が前記の照合を行う。
【００７４】
登録時には、ユーザＡ自身のユーザＡの生体情報７０３は、ユーザＡ自身が取得したものであることが望ましい。即ち、ユーザ側の機器が持つカメラ等の画像取得手段により、ユーザの顔画像、指紋画像、掌紋画像などの生体情報を取り込み、ユーザＡの生体情報７０３として生体認証オブジェクト７０１に格納する。カメラ等から得た画像は、撮像時の被写体の状態、光源、背景等の変動要因により、同一の人物を撮像した場合であっても得られるデータは通常同一でない。従ってユーザＡ管理下の機器で生体情報７０３を得ることにより、人物認証装置５０１が持つ生体情報取得手段５０２は前記と同一の生体情報を得ることが出来ない。
【００７５】
ユーザＡは、登録された自身の権利に基づきサービスを利用する際には、前記ユーザＡ自身が取得した生体情報７０３を含む生体認証オブジェクト７０１を提示することで登録時と同一人物であると主張できる。また、ユーザＡが改めて生体情報を取得し直し、取得し直した生体情報を格納した生体認証オブジェクトを用いて、ユーザＡ’として登録を行った場合には、人物認証装置５０１はユーザＡとユーザＡ’が同一人物であることを認識できず、匿名性が確保される。
【００７６】
次に、ＩＤ生成手段１０８は、前記生体認証オブジェクト７０１のハッシュ値を計算し（ステップ６０２）、前記ハッシュ値からユーザＡの人物識別のためのＩＤを得る（ステップ６０３）。ハッシュ値の計算は実施の形態１に示した方法で良い。
【００７７】
次に、ＩＤ生成手段１０８は、生成した前記ユーザＡのＩＤが既に登録済みであるか否かを調べ（ステップ６０４）、登録済みであれば既存ＩＤを利用するＩＤ利用処理を行い（ステップ６０５）、登録済みでなければＩＤ登録処理を行う（ステップ６０６）。
【００７８】
ＩＤ利用処理、ＩＤ登録処理ともに、ユーザＡが正しい人物であることを認証する必要がある。以下にその手順を示す。
【００７９】
図８は、人物認証装置５０１が生体認証オブジェクトからＩＤを認証する動作フローを示した図である。
【００８０】
生体情報取得手段５０２は、ユーザＡから生体情報を取得し（ステップ８０１）。生体認証オブジェクト７０１内にユーザＡの生体情報７０３として格納する（ステップ８０２）。
【００８１】
次に照合プログラム７０４が、ユーザＡの生体テンプレート７０２と、前記ユーザＡの生体情報７０３を照合する（ステップ８０３）。照合の方法は図４に示したものと同じで良い。
【００８２】
次に、照合が成功したか否かを判定し（ステップ８０４）、成功であればＩＤ利用もしくは登録処理を許可し（ステップ８０５）、失敗であればＩＤ利用もしくは登録処理を中止する（ステップ８０６）。
【００８３】
ＩＤ登録を許可されたユーザＡは、登録済みＩＤを用いてサービスを受ける際、登録時に使用したものと同じ生体認証オブジェクト７０１を人物認証装置５０１に送信する。人物認証装置５０１は、上記のＩＤ認証処理により認証対象人物が、ＩＤ登録時と同一人物であるユーザＡか否かを確認することが出来、別人物によるなり済ましを防ぐことが出来る。
【００８４】
例えば、ユーザＡがＩＤ登録時に使用した生体認証オブジェクトと同一のものを、ユーザＡとは別人物であるユーザＢが使用しようとした場合、前記ステップ８０５により不正なユーザであることが判定される。
【００８５】
また、ユーザＢが登録時からユーザＡに成りすます意図を持ち、ユーザＡの生体テンプレートを保持した生体認証オブジェクトを使用してＩＤ登録を行おうとした場合、同じく前記ステップ８０５により不正であることが判定され、登録は行われない。
【００８６】
上記のようにして、ユーザＡ以外の人物に提供サービスを搾取されることが防止される。
【００８７】
さらに、ユーザＡは生体認証オブジェクト７１に新たな生体情報７０３を格納して他の人物認証装置５０１に送信することにより、人物認証装置５０１は以前のものとは異なる、別のＩＤとしてユーザＡを登録する事になる。同じユーザＡに対してであってもＩＤが異なれば両者の結びつきは得られず、個人の行動履歴が暴露される恐れはない。
【００８８】
以上実施の形態２によれば、ある人物に割り当てたＩＤが、以降に同一人物のみが使用できることが保証され、なおかつ別の時点では同一人物に対して別のＩＤが割り当てられ、ＩＤ間の独立性が保たれることにより、匿名性を確保する効果が得られる。
【００８９】
なお、前記ステップ６０１の代わりとして、ユーザＡがＩＤ登録を行う際、前記ステップ８０２で生体情報を新たに格納した生体認証オブジェクトを用いてＩＤを生成しても良い。この場合、生体情報を新たに格納した生体認証オブジェクトをユーザＡに返却し、ユーザＡは次回以降のＩＤ利用時に前記返却された生体認証オブジェクトを人物認証装置５０１に提示する。
【００９０】
これにより、人物認証装置５０１は、自身が管理する生体情報取得手段を用いた得たユーザＡの生体情報を用いてＩＤ生成が行えるため、生体特徴に基づいた信頼性の高いＩＤ管理が可能となる効果が得られる。
【００９１】
（実施の形態３）
図９は、本発明の実施の形態３における人物認証装置の構成図である。
【００９２】
図９において、図５と同じ構成要素については同じ符号を用い、説明を省略する。
【００９３】
図９において、人物認証装置９０１は、生体認証オブジェクト５０３内に生体情報仮格納部９０２と、仮照合部９０３を備える。これらは生体認証オブジェクト１０４にプログラムとデータ領域を付加することにより実現される。
【００９４】
図１０は、生体情報格納の動作フローを示した図である。
【００９５】
生体情報取得手段５０２はユーザから生体情報を取得し、生体情報オブジェクト実行手段に渡す（ステップ１００１）。
【００９６】
生体認証オブジェクト実行手段５０３は、生体情報取得手段５０２から受け取った生体情報を生体情報仮格納部９０２に格納する（ステップ１００２）。
【００９７】
次に仮照合部９０３が生体情報格納部９０２に格納された生体情報と、生体テンプレート格納部５０４に格納された生体テンプレートを仮照合する（ステップ１００３）。仮照合の方法は図４に示したものと同じで良い。
【００９８】
次に照合に成功したか否かを判定し（ステップ１００４）、照合に成功した場合は生体情報を生体情報格納部５０５に生体情報を格納し（ステップ１００５）、失敗した場合は生体情報格納処理を中止する（ステップ１００６）。
【００９９】
以上実施の形態３によれば、生体テンプレートと合致しない不正な生体情報を生体認証オブジェクトが受け入れることを防止できる。これにより、固定の画像を格納された状態でＩＤを生成され、匿名性が損なわれることを防止する効果が得られる。
【０１００】
つまり、仮に人物認証装置を設計もしくは運用する者が不正を働き、取得した生体認証オブジェクトに、ユーザが取得した生体情報と称して固定された画像（もしくは内容が全て同一値で埋められた固定データ）を渡し、生体認証オブジェクトがこれを受け取ってしまった場合、生体認証オブジェクトから得られるＩＤは揺らぎを持たない生体テンプレートのみによって決定されてしまい、匿名性が喪失される。本実施の形態３によれば、前記の不正行為による匿名性の喪失を未然に防ぐことが可能となる。
【０１０１】
なお、匿名性の喪失を防ぐための生体情報の別の確認方法として、生体情報仮格納部９０２が格納されたデータが生体から取得したデータであるか否かを、生体認証オブジェクト実行手段５０３が調べる方法を採っても良い。具体的には、例えば顔認証であれば、生体情報仮格納部９０２に格納されたデータを公知の画像分析手法に基づき、人間の顔であるか否かを判定する。人間の顔であると判定された場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納する。
【０１０２】
あるいは、生体情報仮格納部９０２に格納されたデータの作成装置の署名と、作成日時を調べ、生体情報を取得する正当な装置が、最近（例えば過去１分以内など）に作成したデータであるか否かを判定し、最近作成された生体情報である事が確認できた場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納しても良い。
【０１０３】
なお、匿名性の喪失を防ぐための生体情報のさらに別の確認方法として、生体情報仮格納部９０２が格納されたデータの履歴を生体認証オブジェクト実行手段５０３が保持し、過去に保持されたデータと同一のデータでない事が確認された場合のみ、生体情報仮格納部９０２に格納されたデータを生体情報格納部５０５に格納しても良い。
【０１０４】
（実施の形態４）
図１１は、本発明の実施の形態４における人物認証装置の構成図である。
【０１０５】
図１１において、図５と同じ構成要素については同じ符号を用い、説明を省略する。
【０１０６】
図１１において、人物認証装置１１０１は、暗号化生体情報取得手段１１０２、暗号化生体情報検証手段１１０３を備え、さらに生体認証オブジェクト実行手段５０３内に生体情報復号部１１０４を備える。
【０１０７】
図１２は、暗号化された生体情報を格納する際の動作フローを示した図である。
【０１０８】
暗号化生体情報取得手段は１１０２は、カメラなどの撮像機を持つ他の装置から、暗号化された生体情報を取得する（ステップ１２０１）。
【０１０９】
次に暗号化生体情報検証手段１１０３は、前記暗号化された生体情報が正当なものであることを検証する（ステップ１２０２）。検証方法の例としては、生体情報を撮像した装置が、前記暗号化された生体情報に電子署名を付加し、暗号化生体情報検証手段１１０３が電子署名を検証する方法がある。電子署名の具体例としては、公開鍵暗号を用いた方法が公知である。また、撮像した生体情報の信憑性を向上させるため、生体情報がいつ撮像されたものであるかを示す時刻署名を含んでも良い。
【０１１０】
生体認証オブジェクト実行手段５０３内にある生体情報復号部１１０４は、前記暗号化された生体情報を復号し（ステップ１２０３）、生体情報格納部５０５に格納する（ステップ１２０４）。
【０１１１】
以上実施の形態４によれば、撮像を行った装置と、生体認証オブジェクト実行手段５０３以外は生体情報の内容を知ることが出来ない。これにより、生体テンプレートだけでなく、撮像した顔画像などの生体情報も秘匿した状態で認証を行うことが出来、匿名性をより向上させる効果が得られる。
【０１１２】
（実施の形態５）
図１３は、本発明の実施の形態５における人物認証装置の構成図である。
【０１１３】
図１３において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１１４】
図１３において、人物認証装置１３０１は、生体認証オブジェクト１０４内の生体テンプレート１０５を保護する耐タンパ（Ｔａｍｐｅｒ Ｒｅｓｉｓｔａｎｔ）モジュール１３０２を備える。
【０１１５】
耐タンパモジュールの実現方法は、物理的に不正な読み出し、改ざんを防ぐ耐タンパチップを用いる方法がある。耐タンパチップはＩＣカード製品等に採用される公知の技術であり、この中に格納された生体テンプレートを不正に読み出すことは困難となる。
【０１１６】
耐タンパモジュールの別の実現方法は、暗号技術、難読化技術を応用したソフトウェア耐タンパである。生体テンプレートを難読化することにより、不正に読み出すことが困難となる。
【０１１７】
また、生体テンプレートの一部を耐タンパチップに格納し、残りをソフトウェア耐タンパで保護したり、生体テンプレートを暗号化し、復号鍵を耐タンパチップに格納する複合的な方法により耐タンパモジュールを実現しても良い。
【０１１８】
以上実施の形態５によれば、生体テンプレートの不正な読み出し、解読が困難となり、匿名性をより向上させる効果が得られる。
【０１１９】
（実施の形態６）
図１４は、本発明の実施の形態６における人物認証装置の構成図である。
【０１２０】
図１４において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１２１】
図１４において、人物認証装置１４０１は、ダイジェスト生成手段１４０３を備え、さらに生体認証オブジェクト１０４と、前記ダイジェスト生成手段１４０３を保護する耐タンパモジュール１４０２を備える。
【０１２２】
耐タンパモジュール１４０２内に生体認証オブジェクト１０４を保持し、不正な読み出し、解読を防止する。
【０１２３】
耐タンパモジュール１４０２は、ＩＣカード製品等に用いられる対タンパチップ、もしくは耐タンパチップとメモリ装置の組み合わせで実現すれば良い。
【０１２４】
ダイジェスト生成手段１４０３は耐タンパモジュール１４０２の内部に設けられ、生体認証オブジェクト保持手段１０３から生体認証オブジェクト１０４を読み出し、一方向変換によりダイジェストを生成する演算装置である。
【０１２５】
一方向変換には公知のダイジェスト生成技術を用い、生成したダイジェストから元の生体認証オブジェクト１０４のデータ内容が得られないようにする。ダイジェスト生成技術の例としては、前述したＳＨＡ−１、ＭＤ５等のハッシュアルゴリズムを用いたもの挙げられる。
【０１２６】
ＩＤ生成手段１４０４は、前記ダイジェスト生成手段１４０３が生成したダイジェストを読み取り、認証対象人物を識別するＩＤを生成する演算装置である。
【０１２７】
ＩＤを生成する演算は、生成される各ダイジェストから対応ＩＤを一意に得る方法であれば良い。最も単純な例は前記ダイジェストをそのままＩＤとして用いる方法である。
【０１２８】
以上実施の形態６によれば、生体テンプレート１０５、生体情報１０６、照合プログラム１０７を全て耐タンパモジュールで保護した上で、生体認証オブジェクト１０４からＩＤが生成される。対タンパモジュール１４０２の外に現れるダイジェストからは元の生体認証オブジェクト１０４は復元できないため、生体テンプレート１０５に関わる機密性を高めることが可能となり、より高度な匿名性を確保する効果が得られる。
【０１２９】
（実施の形態７）
図１５は、本発明の実施の形態７における人物認証装置の構成図である。
【０１３０】
図１５において、図１と同じ構成要素については同じ符号を用い、説明を省略する。
【０１３１】
図１５において、人物認証装置１５０１は、暗号化生体認証オブジェクト受信手段１５０２、耐タンパモジュール１５０３を備え、さらに耐タンパモジュール１５０３内に生体認証オブジェクト復号手段１５０４を備える。
【０１３２】
耐タンパモジュール１５０３の構成は、耐タンパモジュール１４０２と同様である。
【０１３３】
暗号化生体認証オブジェクト受信手段１５０２は他の機器から暗号化された生体認証オブジェクトを受け取り、耐タンパモジュール１５０３内の生体認証オブジェクト復号手段１５０４に渡す。
【０１３４】
生体認証オブジェクト復号手段１５０４は、前記暗号化された生体認証オブジェクトを復号化し、生体認証オブジェクト保持手段１０３に渡す。
【０１３５】
ＩＤ生成手段１０８は、暗号化生体認証オブジェクト受信手段１５０２から前記暗号化された生体認証オブジェクトの電子データを受け取り、ＩＤを生成する。
【０１３６】
以上実施の形態７によれば、生体認証オブジェクト１０４を耐タンパモジュール外で強固に保護することが可能となり、機密性、匿名性を高める効果が得られる。
【産業上の利用可能性】
【０１３７】
本発明にかかるユーザ認証補助装置、及びユーザ認証主装置は、生体特徴を用いたユーザ認証に関わる汎用性を有し、両装置を計算機ネットワーク上の複数地点で用いる電子決済、コンテンツ配布、アクセス制御システムの他、両装置を近接した状態を用いる現金自動預払機、入退室管理装置、コンピュータやコンソールへのアクセス許可システム等に応用できる。
【図面の簡単な説明】
【０１３８】
【図１】本発明の実施の形態１における人物認証装置の構成図
【図２】生体情報の例を示した図
【図３】生体テンプレートの例を示した図
【図４】照合プログラムの動作フローを示した図
【図５】本発明の実施の形態２における人物認証装置の構成図
【図６】ＩＤ生成の動作フローを示した図
【図７】生体認証オブジェクトの構造例を示した図
【図８】ＩＤ認証の動作フローを示した図
【図９】本発明の実施の形態３における人物認証装置の構成図
【図１０】生体情報格納の動作フローを示した図
【図１１】本発明の実施の形態４における人物認証装置の構成図
【図１２】暗号化された生体情報格納の動作フローを示した図
【図１３】本発明の実施の形態５における人物認証装置の構成図
【図１４】本発明の実施の形態６における人物認証装置の構成図
【図１５】本発明の実施の形態７における人物認証装置の構成図
【図１６】従来の人物認証装置の構成図
【図１７】従来の人物認証装置の構成図
【符号の説明】
【０１３９】
１ 従来の人物認証装置
２ 生体情報取得手段
３ 識別ＩＤ生成ルール記憶手段
４ 識別ＩＤ生成手段
５ 従来の人物認証装置
６ 生体情報取得手段
７ 認証中継手段
８ 生体情報データベース
９ 被認証者
１０ 認証者
１０１ 人物認証装置
１０２ 生体認証オブジェクト受信手段
１０３ 生体認証オブジェクト保持手段
１０４ 生体認証オブジェクト
１０５ 生体テンプレート
１０６ 生体情報
１０７ 照合プログラム
１０８ ＩＤ生成手段
２０１ 認証対象人物の顔画像
２０２ 認証対象人物の顔画像の一部を拡大したもの
３０１〜３０４ 生体テンプレートの要素データ
４０１〜４０５ 照合プログラムの動作フローの各ステップ
５０１ 人物認証装置
５０２ 生体情報取得手段
５０３ 生体認証オブジェクト実行手段
５０４ 生体テンプレート格納部
５０５ 生体情報格納部
５０６ 照合部
６０１〜６０６ ＩＤ生成の動作フローの各ステップ
７０１ 生体認証オブジェクト
７０２ ユーザＡの生体テンプレート
７０３ ユーザＡの生体情報
７０４ 照合プログラム
８０１〜８０６ ＩＤ認証の動作フローの各ステップ
５０７ ＩＤ認証手段
９０１ 人物認証装置
９０２ 生体情報仮格納部
９０３ 仮照合部
１００１〜１００６ 生体情報格納の動作フローの各ステップ
１１０１ 人物認証装置
１１０２ 暗号化生体情報取得手段
１１０３ 暗号化生体情報検証手段
１１０４ 生体情報復号部
１２０１〜１２０４ 暗号化された生体情報格納の動作フローの各ステップ
１３０１ 人物認証装置
１３０２ 耐タンパモジュール
１４０１ 人物認証装置
１４０２ 耐タンパモジュール
１４０３ ダイジェスト生成手段
１４０４ ＩＤ生成手段
１５０１ 人物認証装置
１５０２ 暗号化生体認証オブジェクト受信手段
１５０３ 耐タンパモジュール
１５０４ 生体認証オブジェクト復号手段
【特許請求の範囲】
【請求項１】
人物の生体特徴を電子情報に変換した生体テンプレートと、人物から採取した画像を電子情報に変換した生体情報と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラムを一つの電子データに集合させた生体認証オブジェクトを他の装置から受信する生体認証オブジェクト受信手段と、
前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段と、
前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段と、
を備えた人物認証装置。
【請求項２】
生体情報を取得する生体情報取得手段と、前記生体認証オブジェクトを解釈実行する計算機である生体認証オブジェクト実行手段と、前記ＩＤ生成手段が得たＩＤが有効か否かを判定するＩＤ認証手段とを備え、
前記生体認証オブジェクト実行手段は生体テンプレートを格納する生体テンプレート格納部と、生体情報を格納する生体情報格納部と、生体テンプレートと生体情報が同一人物から得られたものであるか否かを検査する照合部とを備え、
前記照合部の検査結果が同一人物であれば、前記ＩＤ認証手段がＩＤを有効と判定することを特徴とする、
請求項１に記載の人物認証装置。
【請求項３】
前記生体認証オブジェクト実行手段が、前記生体情報取得手段が得た生体情報を前記生体情報格納部に格納するより前に仮に格納する生体情報仮格納部と、前記生体情報仮格納部に格納された生体情報と、前記生体テンプレート格納部に格納された生体テンプレートが同一人物から得られたものであるか否かを検査する仮照合部を備え、
前記仮照合部の検査の結果が同一人物である場合に、前記生体認証オブジェクト実行手段が、前記生体情報仮格納部に格納された生体情報を、前記生体情報格納部にコピーまたは移動することを特徴とする、
請求項２に記載の人物認証装置。
【請求項４】
人物から採取された画像を電子情報に変換し、さらに前記生体認証オブジェクトが復号可能な状態に暗号化を施した暗号化生体情報を取得する暗号化生体情報取得手段と、
前記暗号化生体情報の正当性を検証する暗号化生体情報検証手段を備え、
前記生体認証オブジェクト実行手段が前記暗号化生体情報を復元する生体情報復元部を備えることを特徴とする、
請求項２に記載の人物認証装置。
【請求項５】
前記生体認証オブジェクトが少なくともその一部に解読困難な物理構造もしくは論理構造を有する耐タンパモジュールを含み、前記生体テンプレートが前記耐タンパモジュールの内部に含まれることを特徴とする、
請求項１に記載の人物認証装置。
【請求項６】
保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールを備え、前記生体認証オブジェクト保持手段と、前記生体認証オブジェクトの実体である電子データを読み取り、不可逆な変換を行うダイジェスト生成手段とを、前記耐タンパモジュール内に備えることを特徴とする、
請求項１に記載の人物認証装置。
【請求項７】
暗号化された生体認証オブジェクトを受信する暗号化生体認証オブジェクト受信手段と、
保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールとを備え、
前記耐タンパモジュール内部に前記暗号化された生体認証オブジェクトを復号化する生体認証オブジェクト復号化手段を備え、
前記暗号化生体認証オブジェクト受信手段から得た前記暗号化された生体認証オブジェクトが有する電子データを用いて、前記ＩＤ生成手段が人物を一意に識別するＩＤを生成することを特徴とする、
請求項１に記載の人物認証装置。
【請求項１】
人物の生体特徴を電子情報に変換した生体テンプレートと、人物から採取した画像を電子情報に変換した生体情報と、前記生体テンプレートと前記生体情報が同一人物から得られたものであるか否かを検査するプログラムを一つの電子データに集合させた生体認証オブジェクトを他の装置から受信する生体認証オブジェクト受信手段と、
前記生体認証オブジェクトを保持する生体認証オブジェクト保持手段と、
前記生体認証オブジェクトを所定の計算規則に基づき変換し、前記変換の結果から前記人物を一意に識別するＩＤを生成するＩＤ生成手段と、
を備えた人物認証装置。
【請求項２】
生体情報を取得する生体情報取得手段と、前記生体認証オブジェクトを解釈実行する計算機である生体認証オブジェクト実行手段と、前記ＩＤ生成手段が得たＩＤが有効か否かを判定するＩＤ認証手段とを備え、
前記生体認証オブジェクト実行手段は生体テンプレートを格納する生体テンプレート格納部と、生体情報を格納する生体情報格納部と、生体テンプレートと生体情報が同一人物から得られたものであるか否かを検査する照合部とを備え、
前記照合部の検査結果が同一人物であれば、前記ＩＤ認証手段がＩＤを有効と判定することを特徴とする、
請求項１に記載の人物認証装置。
【請求項３】
前記生体認証オブジェクト実行手段が、前記生体情報取得手段が得た生体情報を前記生体情報格納部に格納するより前に仮に格納する生体情報仮格納部と、前記生体情報仮格納部に格納された生体情報と、前記生体テンプレート格納部に格納された生体テンプレートが同一人物から得られたものであるか否かを検査する仮照合部を備え、
前記仮照合部の検査の結果が同一人物である場合に、前記生体認証オブジェクト実行手段が、前記生体情報仮格納部に格納された生体情報を、前記生体情報格納部にコピーまたは移動することを特徴とする、
請求項２に記載の人物認証装置。
【請求項４】
人物から採取された画像を電子情報に変換し、さらに前記生体認証オブジェクトが復号可能な状態に暗号化を施した暗号化生体情報を取得する暗号化生体情報取得手段と、
前記暗号化生体情報の正当性を検証する暗号化生体情報検証手段を備え、
前記生体認証オブジェクト実行手段が前記暗号化生体情報を復元する生体情報復元部を備えることを特徴とする、
請求項２に記載の人物認証装置。
【請求項５】
前記生体認証オブジェクトが少なくともその一部に解読困難な物理構造もしくは論理構造を有する耐タンパモジュールを含み、前記生体テンプレートが前記耐タンパモジュールの内部に含まれることを特徴とする、
請求項１に記載の人物認証装置。
【請求項６】
保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールを備え、前記生体認証オブジェクト保持手段と、前記生体認証オブジェクトの実体である電子データを読み取り、不可逆な変換を行うダイジェスト生成手段とを、前記耐タンパモジュール内に備えることを特徴とする、
請求項１に記載の人物認証装置。
【請求項７】
暗号化された生体認証オブジェクトを受信する暗号化生体認証オブジェクト受信手段と、
保持する電子データの解読を困難とする物理構造もしくは論理構造を有する耐タンパモジュールとを備え、
前記耐タンパモジュール内部に前記暗号化された生体認証オブジェクトを復号化する生体認証オブジェクト復号化手段を備え、
前記暗号化生体認証オブジェクト受信手段から得た前記暗号化された生体認証オブジェクトが有する電子データを用いて、前記ＩＤ生成手段が人物を一意に識別するＩＤを生成することを特徴とする、
請求項１に記載の人物認証装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００６−３５０６８３（Ｐ２００６−３５０６８３Ａ）
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願番号】特願２００５−１７５９５２（Ｐ２００５−１７５９５２）
【出願日】平成１７年６月１６日（２００５．６．１６）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願日】平成１７年６月１６日（２００５．６．１６）
【出願人】（０００００５８２１）松下電器産業株式会社 (73,050)
【Ｆターム（参考）】
[ Back to top ]