生体認証システム、認証クライアント端末、及び生体認証方法
【課題】認証に必要な生体情報の入力回数の期待値を格段に低減するとともに、なりすま
しを効率的に排除することができる生体認証システム、認証クライアント端末、及び生体
認証システムを提供する。
【解決手段】生体認証システム１は、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事
前確率を設定しておき、認証対象ユーザｖの特徴量データと照合用特徴量データとの間で
１：Ｎ照合を行い、登録ユーザｕnの各々について照合スコアを求め、その照合スコアを
用いて、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を登録ユーザｕnごとに求める。そ
して、求めた尤度比と設定されている登録ユーザｕnの事前確率及び非登録ユーザｕ0の事
前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求め、各
事後確率を第１の閾値と比較して判定を行う。
しを効率的に排除することができる生体認証システム、認証クライアント端末、及び生体
認証システムを提供する。
【解決手段】生体認証システム１は、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事
前確率を設定しておき、認証対象ユーザｖの特徴量データと照合用特徴量データとの間で
１：Ｎ照合を行い、登録ユーザｕnの各々について照合スコアを求め、その照合スコアを
用いて、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を登録ユーザｕnごとに求める。そ
して、求めた尤度比と設定されている登録ユーザｕnの事前確率及び非登録ユーザｕ0の事
前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求め、各
事後確率を第１の閾値と比較して判定を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、生体情報を用いて本人確認を行う生体認証システムに関する。
【背景技術】
【０００２】
生体認証は、パスワードやＩＣカードなどに基づく認証と比べて認証のための入力情報（例えば、指紋など）の偽造が困難であり、認証のための入力情報を失念することもないといった利点を持つ認証部として知られている。
【０００３】
生体認証では、予めユーザから生体情報を取得し、その生体情報から特徴量と呼ばれる情報を抽出して事前に登録しておく。この登録情報を登録テンプレートといい、事前登録を行ったユーザのことを登録ユーザという。そして、認証時には、ユーザから生体情報を取得し、その生体情報から抽出した特徴量と登録テンプレートとを照合することで認証（本人確認）を行なう。本人確認を行うユーザのことを認証対象ユーザという。
【０００４】
生体認証のなかでも、認証対象ユーザとＮ人の登録ユーザのそれぞれとを照合（以下「：Ｎ照合」という）し、認証対象ユーザがどの登録ユーザと同一人物であるかを識別する生体認証を１：Ｎ認証という。従来の１：Ｎ認証においては、認証対象ユーザと同一人物であると識別された登録ユーザ（以下「識別ユーザ」という）が存在すれば、その識別ユーザを判定結果として認証成功とし、識別ユーザが存在しなければ認証失敗とする。１：Ｎ認証を利用した生体認証システムの例としては、勤怠管理システムや、クレジットカードを用いずに生体認証のみでクレジット決済を行なうシステム（以下「カードレスクレジット決済システム」という）が挙げられる。１：Ｎ認証には、認証対象ユーザがカードなどを提示する必要が無いため、利便性が高いという利点がある。
【０００５】
図５は、１：Ｎ認証における認証誤り率の種類を示す。１：Ｎ認証における認証誤り率は、以下の３種類に分類される。
（１）事前に登録を行なった認証対象ユーザが本人以外の登録ユーザとして認証に成功してしまう誤り率（以下「Enrollee False Acceptance Rate；ＥＦＡＲ」という）、
（２）事前に登録を行なった認証対象ユーザが認証に失敗してしまう誤り率（以下「Enrollee False Rejection Rate；ＥＦＲＲ」という）、
（３）事前に登録を行なっていないユーザ（以下「非登録ユーザ」という）が認証に成功してしまう誤り率（以下「Non-Enrollee False Acceptance Rate；ＮＦＡＲ」という）。
【０００６】
ＥＦＡＲ及びＮＦＡＲが高いと、認証対象ユーザが他人として認証に成功する可能性が高まるので安全性が低下する。このように、他人として認証に成功してしまう認証誤りを誤識別と呼ぶ。一方、ＥＦＲＲが高いと、登録されている認証対象ユーザが認証に失敗する可能性が高まるので、利便性が低下する。
【０００７】
１：Ｎ認証における認証精度を高めるために、認証対象ユーザに複数の生体情報（例えば、指紋、虹彩、声紋などの異なる種類の生体情報や、人差指の指紋、中指の指紋及び薬指の指紋などの異なる部位から取得した同一種類の生体情報など）を入力させ、それらを融合して認証対象ユーザを判定する認証方式（以下「１：Ｎ複合認証」という）が提案されている。例えば、特許文献１では、１つ目の生体情報（例えば顔）で認証対象ユーザの候補者（認証対象ユーザと同一人物の可能性がある登録ユーザ）を絞り込み、２つ目の生体情報（例えば指紋）で候補者をさらに絞り込んで、最終的に絞り込まれた候補者を判定結果として出力する。
【０００８】
しかし１：Ｎ複合認証では、認証対象ユーザが複数の生体情報を入力しなければならないため、認証手続きが煩雑になり、利便性が低下する。また、１つの生体情報だけで認証を行う場合と比較して、１つ目の生体情報を入力してから認証結果が得られるまでの時間（以下「認証時間」という）が長くなるため、利便性が一層低下する。特許文献１では、これらの問題に対して何の対策も施されていなかった。
【０００９】
さらに、特許文献１では、システムが複数の候補者を出力することがあるため、例えばカードレスクレジット決済のように、認証対象ユーザを１名にまで絞り込む必要のある適用先においては、複数の候補者が出力された後、人手で１名の識別ユーザを選択することとなるため、利便性が一層低下する。
【００１０】
これに対して非特許文献１では、声紋の特徴量ｘＪ（Ｊ＝１，２，…）が得られる度に、登録ユーザｕn（ｎ＝１，…，Ｎ）の特徴量の分布ｐn（ｘＪ）、全登録ユーザの特徴量の分布ｐ0（ｘＪ）を用いて、以下の数式により、各登録ユーザに対して尤度比ｌnを算出する。
【００１１】
【数１】
【００１２】
閾値Ａより大きい尤度比ｌnが得られた場合、その時点の登録ユーザｕnを識別ユーザとして認証成功とし、閾値Ｂより小さい尤度比ｌnが得られた場合、その尤度比ｌnに対応する１又は複数の登録ユーザｕnは、それ以降の照合対象から除外される（以下「枝刈り」という）。識別ユーザが得られなければ、新たな特徴量ｘＪを取得し、識別ユーザが得られるまで判定を繰り返す。このように、特徴量が得られる度に、尤度比と閾値Ａとの大小を比較して認証対象ユーザの判定を行なうことで、認証に必要な生体情報の入力回数を低減している。また、１：Ｎ照合にかかる時間は照合対象の登録ユーザ数Ｎに凡そ比例するが、尤度比と閾値Ｂとの大小の比較により登録ユーザの枝刈りを行ない、１：Ｎ照合にかかる時間を短縮することによって、認証時間を一層短縮している。
【００１３】
【特許文献１】US7277891 B2 20071002
【非特許文献１】野田秀樹、“逐次確率比検定を用いた適応的話者識別”、電子情報通信学会論文誌 D-II Vol.J84-D-II No.1 pp.211-213 (2001)
【発明の開示】
【発明が解決しようとする課題】
【００１４】
しかしながら、非特許文献１に開示された技術では、特徴量が得られる度に尤度比と閾値とを比較して判定を行うことにより、認証に必要な生体情報の入力回数を低減しているようであるが、１：Ｎ認証において、特徴量の分布を用いて尤度比を求め、その尤度比と閾値とを比較する方法では、判定に必要な生体情報の入力回数の期待値が最小化されるという理論的な保証はない。すなわち、非特許文献１の技術には、認証に必要な生体情報の入力回数の期待値を低減するという観点において改善の余地があった。
【００１５】
また、従来の１：Ｎ複合認証システムにおいては、悪意を持ったユーザが、事前登録を行なっていないにも拘らず何度も認証を繰り返し、いずれなりすましに成功してしまうという問題があった。
【００１６】
本発明は、上記課題に鑑みてなされたものであり、その目的は、認証に必要な生体情報の入力回数の期待値を格段に低減するとともに、なりすましを効率的に排除することができる生体認証システム、認証クライアント端末、及び生体認証方法を提供することである。
【課題を解決するための手段】
【００１７】
本発明の生体認証システムは、上記課題を解決するため、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、前記データベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求める事後確率算出部と、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、を備えることを特徴とする。
【００１８】
本発明の他の実施形態では、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部をさらに備え、前記尤度比算出部は、前記求めた照合スコアを用いて前記尤度比を求める。
【００１９】
本発明のさらに他の実施形態では、前記判定部は、前記事後確率の最大値が前記第１の閾値以下の場合において、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する。この場合、前記判定部が前記生体情報の再取得を要求する場合に、前記事後確率算出部が求めた事後確率を第２の閾値と比較し、該第２の閾値より小さい事後確率に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備えることができる。
【００２０】
本発明のさらに他の実施形態では、前記事後確率算出部は、今回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率を、前記取得の回数が１回であれば前記非登録ユーザｕ0の事前確率と、２回以上であれば前回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率と比較し、前記今回の取得において求めた前記非登録ユーザｕ0の事後確率の方が高い場合は、次回以降の前記生体情報の取得における事後確率算出において、今回の取得において抽出した前記特徴量データを使用しない。
【００２１】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、複数のモダリティに属する複数の異なる照合用特徴量データを保持し、前記生体情報の取得を１回のみ許容する生体情報入力センサをさらに備える。
【００２２】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、前記１：Ｎ照合部は、今回までの入力において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合に認証失敗とする。
【００２３】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、前記１：Ｎ照合部は、今回までの入力において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合、その中で最良の照合スコアを実現した入力以外で得た照合スコアは前記尤度比算出部による尤度比算出時に用いないようにする。
【００２４】
本発明のさらに他の実施形態では、前記事前確率設定部は、前記判定部が、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、前記非登録ユーザｕ0の事前確率を上げる。
【００２５】
本発明のさらに他の実施形態では、前記第１の閾値は０．５より大きい値である。
【００２６】
上記いずれかの実施形態において、前記判定部は、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、なりすまし警告情報を出力することができる。
【００２７】
本発明のさらに他の実施形態では、認証が行なわれる度に、前記認証対象ユーザｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、及び前記認証対象ユーザｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する損失算出部をさらに備え、前記損失W1及び前記損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnがそれぞれ要求値以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する事前確率・閾値設定部をさらに備える。
【００２８】
本発明の他の生体認証システムは、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部と、前記求めた照合スコアを用いてｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、前記求めた尤度比の各々を第１の閾値と比較し、前記尤度比の最大値が前記第１の閾値より大きい場合は、前記最大値を示す尤度比に対応する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記尤度比の最大値が前記第１の閾値以下の場合は、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する判定部と、を備えることを特徴とする。
【００２９】
また、前記判定部が前記生体情報の再取得を要求する場合に、前記尤度比算出部が求めた尤度比を第２の閾値と比較し、該第２の閾値より小さい尤度比に対応する登録ユーｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備えることができる。
【００３０】
本発明の認証クライアント端末は、前述の課題を解決するため、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースと、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部とを備えた認証サーバ端末に対し、通信可能に構成された端末であって、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記認証サーバ端末に対し、前記抽出した認証対象ユーザ特徴量データを送信し、該認証対象ユーザ特徴量データ及び前記データベースに保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を前記登録ユーザｕnごとに求め、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求め、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率に対応する前記登録ユーザｕn又は前記非登録ユーザｕ0の情報を送信することを要求し、該要求に応じて前記認証サーバ端末が送信した情報を取得する認証要求部と、前記取得した情報が前記登録ユーザｕnの情報であれば、該登録ユーザｕnと前記認証対象ユーザｖが同一人物であると判定し、前記取得した情報が前記非登録ユーザｕ0の情報であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、を備えることを特徴とする。
【００３１】
本発明の実施形態では、前記認証要求部は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求め、前記照合スコアを用いて前記尤度比を求める。
【００３２】
本発明の生体認証方法は、前述の課題を解決するため、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出するステップと、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、前記登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求めるステップと、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求めるステップと、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定するステップと、を含むことを特徴とする。
【００３３】
本発明の実施形態では、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求めるステップをさらに含み、前記尤度比を求めるステップでは、前記求めた照合スコアを用いて前記尤度比を求める。
【発明の効果】
【００３４】
本発明によれば、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕnの事後確率と非登録ユーザｕ0の事後確率とに正規化し、事後確率と閾値とを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【００３５】
また、各登録ユーザｕnの照合スコアを求め、その照合スコアを用いて各登録ユーザｕnの尤度比を求め、尤度比と閾値とを比較して判定を行う方法でも、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【００３６】
さらに、登録ユーザｕnの事前確率と非登録ユーザｕ0の事前確率を設定しておき、登録ユーザｕnだけでなく非登録ユーザｕ0についても事後確率を算出することにより、認証対象ユーザｖが非登録ユーザｕ0と同一人物であるケース（なりすまし）と、認証対象ユーザが誰なのかを判断できないケース（認証失敗）とを明確に区別することができる。なりすましのユーザを明確に把握できれば、そのような悪意のあるユーザによるなりすましを効率的に排除するための対策（例えば、警告メッセージを提示する措置や、センサの動作を停止する措置など）を講ずることができる。
【発明を実施するための最良の形態】
【００３７】
以下、図面を参照して、本発明の実施形態を説明する。
【実施例１】
【００３８】
本実施例の生体認証システム１は、複数の生体情報を用いて認証対象ユーザｖとＮ人の登録ユーザｕn（ｎ＝１，…，Ｎ）との１：Ｎ認証を行なう生体認証システムである。認証対象ユーザとは、認証クライアント端末１００を介して本人確認を行うユーザのことであり、登録ユーザとは、予め生体情報の照合用特徴量データを登録したユーザのことである。
【００３９】
図１に、生体認証システム１の構成例を示す。この生体認証システム１は、認証対象ユーザｖの生体情報から特徴量データを取得したり、認証結果等の情報を認証対象ユーザｖに対して提示する認証クライアント端末１００と、１：Ｎ認証などの処理を行なう認証サーバ端末１１０とを含んで構成される。また、認証クライアント端末１００と認証サーバ端末１１０は、ネットワーク１４０を介してデータ通信可能に接続されている。
【００４０】
生体認証システム１は、例えば、カードレスクレジット決済システムに適用することができる。この場合、認証クライアント端末１００は加盟店に設置される認証装置に相当し、認証サーバ端末１１０はデータセンタに設置されるサーバに相当し、ネットワーク１４０はインターネットに相当する。また、企業内の勤怠管理システムに適用することもできる。この場合、認証クライアント端末１００は居室内に置かれた認証装置に相当し、認証サーバ端末１１０はサーバ室に置かれたサーバに相当し、ネットワーク１４０は社内イントラネットに相当する。
【００４１】
なお、ネットワーク１４０の例としては、ＷＡＮやＬＡＮなどで構成されるネットワークに限らず、ＵＳＢやＩＥＥＥ１３９４などを用いて構成される有線通信回線、あるいは携帯電話網やＢｌｕｅＴｏｏｔｈなどを用いて構成される無線通信回線、さらにはこれらを組み合わせて構成される通信回線を用いることができる。
【００４２】
認証クライアント端末１００は、特徴量抽出部１０２及び認証要求部１０４を含んで構成される。特徴量抽出部１０２及び認証要求部１０４は、認証クライアント端末１００の中央処理装置（ＣＰＵ）が所定のプログラム（図示省略）を実行することで機能的に実現されてもよいし、後述のこれらの処理部の機能を有するハードウェアを備えることで実現されてもよい。
【００４３】
また、認証クライアント端末１００には、複数（Ｍ個）の生体情報入力センサ１０１が接続されている。生体情報入力センサ１０１は、認証対象ユーザｖから複数の生体情報１〜Ｍを取得するための装置である。
【００４４】
なお、生体情報には、指紋、声紋、虹彩、筆跡、所定の文字列をキーボードで入力する際のキーストローク（キーの押し込み量）、動的署名（Dynamic Signature）、歩き方など、人に由来する様々な種類の情報が含まれる。同的署名とは、例えば、筆跡の形状（静的署名）に関する情報だけでなく、署名時のペンの動作速度などの動的特徴に関する情報も含む生体情報のことである。
【００４５】
ここで、１つのセンサで取得できる生体情報の種類のことをモダリティという。例えば指紋を採取する場合のように、異なる部位（例えば、人差し指と中指など）からそれぞれ異なる生体情報を取得することができる場合があるので、１個のセンサ１０１によって、同一モダリティに属する複数の生体情報を取得することができる場合がある。本実施例では、複数のモダリティに属する複数の異なる生体情報を用いて認証を行うものとする。
【００４６】
特徴量抽出部１０２は、認証対象ユーザｖから取得した生体情報に基づき、その認証対象ユーザｖの特徴量データを抽出する。なお、特徴量データは、従来の任意の方法で抽出することができる。
【００４７】
認証要求部１０４は、認証サーバ端末１１０に対し、認証対象ユーザｖに関する判定を行うことを要求する。判定方法の具体的内容は図３を参照して後述する。
【００４８】
また、認証サーバ端末１１０から上記判定の結果に関する判定結果情報を受信すると、該判定結果情報に応じた処理を行う。この処理の具体例については後述する。
【００４９】
認証サーバ端末１１０は、記憶部１１７、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、事後確率算出部１１３、判定部１１４、及び登録ユーザ枝刈り部１１５を含んで構成される。なお、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、事後確率算出部１１３、判定部１１４、及び登録ユーザ枝刈り部１１５は、認証サーバ端末１１０の中央処理装置（ＣＰＵ）が所定のプログラム（図示省略）を実行することで機能的に実現されてもよいし、当該機能を有するハードウェアを備えることで実現されてもよい。また、これらの各処理部は個別に存在する必要はなく、任意の複数の処理部をひとまとめにして構成してもよい。
【００５０】
記憶部１１７は、登録ユーザｕnごとに、該登録ユーザｕnのＩＤ及び該登録ユーザｕnの複数の生体情報１〜Ｍから抽出したそれぞれの照合用特徴量データ（以下、「生体情報登録テンプレート」という）１２２を保持する登録ユーザデータベース１２０と、過去Ｄ（Ｄは１以上の整数）回の最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）を表す判定履歴情報１３０とを格納する。記憶部１１７は、ＲＡＭやハードディスクドライブ等の記憶装置によって実現される。
【００５１】
事前確率設定部１１１は、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を初期設定する。本実施例では、図４に示すように、なりすましを検出するために非登録ユーザｕ0という概念を導入し、非登録ユーザｕ0に対しても事前確率を設定する。登録ユーザｕnの事前確率及び非登録ユーザｕ0の事後確率とは、データ（本実施例では照合スコア）が得られていない状態で、各登録ユーザｕn及び非登録ユーザｕ0ついて設定される確率である。具体的には、照合スコアが不明の状態で、ある認証対象ユーザｖが本人確認を行う場合に、ｖ＝ｕ1である確率、ｖ＝ｕ2である確率、…、ｖ＝ｕNである確率、及びｖ＝ｕ0である確率をいう。なお、事前確率の設定には、予め決められた固定値（例えば、プログラムのソースコード内に組み込まれている値）を事前確率として用いる態様や、事前確率算出式を予め定めておき、登録ユーザデータベース１２０内のデータ数や判定履歴情報１３０の内容等の各種のデータに応じて事前確率を算出する態様を含む。事前確率の設定方法の具体例については後述する。
【００５２】
また、事前確率設定部１１１は、認証処理を繰り返す過程で事前確率を更新する。具体的には、後述の判定部１１４が、認証対象ユーザｖが登録ユーザｕn以外のユーザ（なりすましのユーザ）であると判定した場合に、非登録ユーザｕ0の事前確率を上げ、これに応じて非登録ユーザｕ0の事前確率と各登録ユーザｕnの事前確率の合計が１になるように、各登録ユーザｕnの事前確率を下げる。この処理は、判定部１１４が「なりすまし」と判定した直後に行ってもよいし、次回の認証処理の際（例えば、後述の図３のステップＳ３０２を実行する際）に行ってもよい。非登録ユーザｕ0の事前確率を上げることで得られる効果については後述する。
【００５３】
１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザｖの特徴量データと登録ユーザデータベース１２０に保持されている生体情報登録テンプレート１２２との間で１：Ｎ照合を行い、登録ユーザｕnの各々について照合スコアを求める。照合スコアは、従来の任意の方法を用いて求めればよい。
【００５４】
尤度比算出部１１８は、１：Ｎ照合部１１２が求めた照合スコアに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、登録ユーザｕnごとに求める。
【００５５】
事後確率算出部１１３は、尤度比算出部１１３が求めた尤度比と事前確率設定部１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率とは、データ（本実施例では、照合スコア）が得られた状態で、そのデータを考慮に入れたうえで、各登録ユーザｕn及び非登録ユーザｕ0ついて設定される条件付確率である。具体的には、各登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率と尤度比とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率のそれぞれが算出される。事後確率の算出方法の具体例については後述する。
【００５６】
判定部１１４は、事後確率算出部１１３が求めた事後確率の各々を第１の閾値（閾値Ａ）と比較し、以下の基準に従って認証対象ユーザｖについて本人確認を行う。具体的には、事後確率の最大値が予め決められた閾値Ａより大きい場合において、最大値を示す事後確率が登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと認証対象ユーザｖが同一人物である（認証成功）と判定し、認証成功を表す判定結果情報を出力する。一方、最大値を示す事後確率が非登録ユーザｕ0の事後確率であれば、認証対象ユーザｖが登録ユーザｕn以外のユーザ（なりすましのユーザ）であると判定し、その旨を表す情報（なりすまし警告情報）を出力する。また、事後確率の最大値が閾値Ａ以下の場合（判定不能の場合）において、認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、本人確認をもう一度行う必要があることを表す判定結果情報として、認証対象ユーザｖの生体情報の再取得を要求する情報を出力する。一方、生体情報の取得回数が規定値以上であれば、認証対象ユーザｖが登録ユーザｕnのいずれかに該当するかどうかが不明である（認証失敗）と判定し、認証失敗を表す判定結果情報を出力する。
【００５７】
登録ユーザ枝刈り部１１５は、判定部１１４が認証対象ユーザｖからの生体情報の再取得を要求する場合に、事後確率算出部１１３が求めた事後確率を第２の閾値（閾値Ｂ）と比較し、該閾値Ｂより小さい事後確率に対応する登録ユーザｕn及び非登録ユーザｕ0を認証対象ユーザｖとの照合対象から除外する。所定の登録ユーザｕn及び非登録ユーザｕ0を認証対象ユーザｖとの照合対象から除外することを、登録ユーザｕn及び非登録ユーザｕ0の枝刈りという。枝刈りされた登録ユーザｕn及び非登録ユーザｕ0については、その後の認証過程において、照合スコア、尤度比、及び事後確率等の所定の値が算出されない。なお、枝刈りの対象を登録ユーザｕnに限定してもよい。
【００５８】
図２は、本実施例における認証クライアント端末１００及び認証サーバ端末１１０のハードウェア構成を示す。認証クライアント端末１００及び認証サーバ端末１１０は、図に示すように、ＣＰＵ２００、メモリ（ＲＡＭなど）２０１、ＨＤＤ２０２、入力装置（キーボード及びマウスなど）２０３、出力装置（ディスプレイ及びスピーカなど）２０４、及び通信装置（ＬＡＮアダプタや赤外線アダプタなど）２０５を備える一般的な情報処理装置を用いて構成することができる。
【００５９】
図３は、本実施例の生体認証システム１による認証処理の手順及び認証処理に伴うデータの流れを示す。
【００６０】
まず、認証サーバ端末１１０は、認証対象ユーザｖからの生体情報の入力回数Ｊを初期化（Ｊ＝０）する（ステップＳ３０１）。この処理は、例えば判定部１１４が行うものとする。
【００６１】
そして、認証サーバ端末１１０の事前確率設定部１１１は、各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を初期設定する（ステップＳ３０２）。以下、事前確率の設定方法について説明する。
【００６２】
例えば、登録ユーザｕn（ｎ＝１，…，Ｎ）の事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を、次のように同じ値に設定することができる。
Ｐ（ｖ＝ｕn）＝１／（Ｎ＋１）
Ｐ（ｖ＝ｕ0）＝１／（Ｎ＋１）
或いは、登録ユーザｕn（ｎ＝１，…，Ｎ）の事前確率Ｐ（ｖ＝ｕn）を、
Ｐ（ｖ＝ｕn）＝１／Ｎ
と設定し、非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を、
Ｐ（ｖ＝ｕ0）＝０
と設定してもよい。
【００６３】
非登録ユーザｕ0の事前確率を０に設定することは、認証対象ユーザｖが必ずＮ人の登録ユーザｕnのいずれかであると仮定することを意味し、このように設定した場合には、認証対象ユーザｖが非登録ユーザｕ0であると判定されることはない。
【００６４】
例えば、ＩＣカードの情報を読み取ってドアの開錠及び施錠を制御する入室管理装置を居室の入口ドアの外側に設け、入室する人を制限するための１：Ｎ認証に基づく入退管理システムを構築した場合において、入り口のドアを開錠しようとする人が登録ユーザｕnのみであり、他人になりすまして開錠しようとする人が殆どいないと思われれば、上記のように非登録ユーザｕ0の事前確率を０とすることで、認証対象ユーザｖが非登録ユーザｕ0と誤って判定されることはなくなる。
【００６５】
また、認証サーバ端末１１０の事前確率設定部１１１は、記憶部１１７に格納されている判定履歴情報１３０に基づき、非登録ユーザｕ0の事前確率を上げ、これに応じて非登録ユーザｕ0の事前確率と各登録ユーザｕnの事前確率の合計が１になるように、各登録ユーザｕnの事前確率を下げるようにしても良い。具体的には、ステップＳ３０２において、記憶部１１７内の判定履歴情報１３０を参照し、直近の認証処理における判定手段１１４による判定結果が「なりすまし」であれば、過去Ｄ回の認証処理において「なりすまし」と判定された回数をＤ0回とし、過去Ｄ回の最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）を用いてＤ0を求め、登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を以下のように設定することができる。
Ｐ（ｖ＝ｕn）＝（１−Ｄ0／Ｄ）／（Ｎ＋１）
Ｐ（ｖ＝ｕ0）＝（Ｎ×Ｄ0／Ｄ＋１）／（Ｎ＋１）
このように、事前確率設定部１１１が事前確率の値を更新することで、事前に登録を行なっていないにも拘らず、なりすましに成功するまで何度も認証を繰り返すという悪意のある認証対象ユーザｖがいても、「なりすまし」と判定される度に非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）が上昇し、その結果、非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）も後述のように上昇することになるため、認証に成功するのは一層困難になる。これにより、システムの安全性が一層向上するという効果も得られる。
【００６６】
なお、悪意のあるユーザによるなりすまし行為が発生する可能性が高いと考えられる適用先においては、非登録ユーザｕ0の事前確率を高めに設定することで、高い安全性を実現することができる。
【００６７】
このように、本実施例の生体認証システムでは、なりすまし行為が発生する可能性を考慮した上で、非登録ユーザｕ0の事前確率を柔軟に制御し、システムの適用先の状況に応じて利便性・安全性の両面において適切な運用を実現することができる。
【００６８】
認証クライアント端末１００の生体情報入力センサ１０１は、認証対象ユーザｖからの生体情報の入力（例えば、生体情報１入力センサ１０１に人差し指を置いて指紋を提示すること）に応じて、該認証対象ユーザｖの生体情報を取得する（ステップＳ３０３）。ここで、生体情報入力センサ１０１は生体情報の取得を１回のみ許容するようにしても良い。本実施例では、他人の生体情報と似た生体情報を持つユーザがいる場合、その似た生体情報を何度も入力することで、その他人の事後確率を徐々に高めていき、いずれその他人として認証に成功し、その結果、安全性が低下する恐れがある。これに対して、上述したように、一度入力したモダリティは二度と入力できないようにすることで、同一の生体情報を何度も入力することによるなりすましを防ぐことができる。これにより、安全性の低下を防ぐことができる。
【００６９】
認証クライアント端末１００の特徴量抽出部１０２は、生体情報入力センサ１０１が認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する（ステップＳ３０４）。
【００７０】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データを通信装置２０５を介して送信するとともに、認証対象ユーザｖに関する判定を行うことを要求する（ステップＳ３０５）。
【００７１】
認証サーバ端末１１０側では、認証クライアント端末１００から認証対象ユーザ特徴量データを受信すると、認証対象ユーザｖからの生体情報の入力回数Ｊをインクリメント（Ｊ＝Ｊ＋１）する（ステップＳ３０６）。この処理は、例えば判定部１１４が行うものとする。
【００７２】
次に、認証サーバ端末１１０の１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データと、登録ユーザデータベース１２０に保持されているＮ人の登録ユーザｕnの登録テンプレート１２２との間で１：Ｎ照合を行ない、登録ユーザｕnの各々について照合スコアｓＪnを求める（ステップＳ３０７）。照合スコアの算出方法の例としては、特徴空間での距離を求める方法を採用することができるが、他の任意の算出方法を採用することができる。なお、既に枝刈りされている登録ユーザｕnについては、照合を行わず、照合スコアの値を計算しないため、処理が高速化される。
【００７３】
そして、認証サーバ端末１１０の尤度比算出部１１８は、１：Ｎ照合部１１２が求めた照合スコアを用いて、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比（尤度比）を登録ユーザｕnごとに求める（ステップＳ３０８）。尤度比を求める際には、全登録ユーザｕnの照合スコアを求めておく必要があるが、既に枝刈りされている登録ユーザｕnについては尤度比の値を計算しないため、照合スコアも不要である。枝刈りされた登録ユーザｕnの尤度比を計算しないことにより、認証処理の高速化を図ることができる。
【００７４】
認証サーバ端末１１０の事後確率算出部１１３は、尤度比算出部１１８が求めた尤度比と事前確率設定部１１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）を求める（ステップＳ３０９）。ここで、S=[ｓjn|j=1,…,J n=1,…,N]である。このとき、今回の生体情報の取得において求めた非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）が、前回（Ｊ−１回目）の生体情報の取得における事後確率（Ｊ＝１の場合は事前確率）よりも高くなった場合、今回の取得において抽出した特徴量データを用いて求めたN個の照合スコア（ｓＪ1、ｓＪ2,…,ｓＪN）を、Ｊ＋１回目以降の取得において求める事後確率の算出では用いないようにしても良い。本実施例では、登録ユーザが認証を試みる場合において、生体情報を入力するときの姿勢（指の置き方、顔の向きなど）、照明環境などの条件が劣悪なときに、生体情報を入力する度に、その登録ユーザの事後確率が低下し、かえって正しく認証されにくくなり、その結果、かえって利便性が低下するという問題がある。姿勢、照明環境などの条件が劣悪な場合、入力された生体情報はどの登録ユーザの生体情報とも類似しないため、非登録ユーザの事後確率が高くなる。従って、上述したように、非登録ユーザの事後確率が前回よりも高くなった場合は、そのときの取得において抽出した特徴量データを用いて求めた照合スコアを以降の事後確率の算出に用いないようにすることで、生体情報を入力するときの姿勢、照明環境などの条件が劣悪なときにおける利便性の低下を防ぐことができる。以下、尤度比と登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）の算出方法について説明する。
【００７５】
各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、ベイズの定理を用いて、それぞれ以下の数式に変形できる。
【００７６】
【数２】
【００７７】
【数３】
【００７８】
ここで、本人と本人の照合スコアｓの分布（本人分布）をｆ（ｓ）とし、本人と他人の照合スコアｓの分布（他人分布）をｇ（ｓ）とする。ｆ（ｓ）及びｇ（ｓ）は、下記参考文献１に記載されているように、正規分布を仮定した最尤推定やベイズ推定やロジスティック回帰などによって求めることができる。参考文献１は、参照により本願に組み込まれる。ｆ（ｓ）及びｇ（ｓ）は登録ユーザ毎に求めても良いし、全登録ユーザ共通のものを求めても良い。
【００７９】
［参考文献１］C.M.Bishop, "Pattern Recognition and Machine Learning," Springer-Verlag; New Ed版 (2006)
これらを用いると、Ｐ（Ｓ｜ｖ＝ｕn）及びＰ（Ｓ｜ｖ＝ｕ0）は、それぞれ以下の数式で表わされる。
【００８０】
【数４】
【００８１】
【数５】
【００８２】
従って、これらを上式（数２、数３）に代入することで、各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、以下の数式（事後確率算出関数）で表わされる。
【００８３】
【数６】
【００８４】
【数７】
【００８５】
ここで、上記事後確率算出関数に含まれる以下の数式は、登録ユーザｕnに対する照合スコアｓ1n，…，ｓJnが得られた場合における尤度比（ｖ＝ｕnであるという尤度とｖ≠ｕnであるという尤度の比）を求めるための数式（尤度比関数）である。
【００８６】
【数８】
【００８７】
尤度比算出部１１８は、ステップＳ３０８において、上記尤度比関数を用いて尤度比を算出する。
【００８８】
そして、事後確率算出部１１３は、上記事後確率算出関数によって尤度比算出部１１８が求めた尤度比の値を用いて各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。なお、枝刈りされた登録ユーザｕn及び非登録ユーザｕnについては、事後確率を算出しないことにより、認証処理の高速化を図ることができる。また、事後確率を求める際には、全登録ユーザｕnに関する照合スコア及び尤度比を求めておく必要があるが、既に枝刈りされている登録ユーザｕnの照合スコアについては前述のとおり算出せず、既に枝刈りされている登録ユーザｕnの尤度比については０としてもよいし、枝刈りされる直前の尤度比算出処理（ステップＳ３０８）で求めた尤度比の値を重複して用いてもよい。枝刈りされた登録ユーザｕn（及び非登録ユーザｕnを枝刈りの対象としている場合は枝刈りされた非登録ユーザｕn）の照合スコア、尤度比、事後確率を算出しないことにより、認証処理の高速化を図ることができる。
【００８９】
また、下記参考文献には、L（≧２）個の仮説のうちのどれが成立するかを判定する検定において、観測データがi.i.d.（独立に同じ分布に従う）であり、かつ判定誤り率が十分に小さいという仮定の下、各仮説に対する尤度比を各仮説が成立するという確率値に正規化し、閾値Ａとの大小の比較により判定を行なうことにより、判定終了までに必要な平均観測回数が最小化されることが示されている。参考文献２は、参照により本願に組み込まれる。
【００９０】
［参考文献２］Vladimir P. Dragalin, et al., "Multihypothesis Sequential Probability Ratio Tests, PART I: Asymptotic Optimality," IEEE Trans. Information Theory, Volume 45, Issue 7, pp.2448-2461 (1999)］。
【００９１】
本実施例では、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕn及び非登録ユーザｕ0の事後確率に正規化し、事後確率と閾値Ａとを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が最小化されることになる。
【００９２】
認証サーバ端末１１０の判定部１１４は、図４（生体情報入力１回目の図）に示すように、ステップＳ３０９で事後確率算出部１１３が求めた事後確率の各々を閾値Ａと比較し、前述の基準（図1における判定部１１４の説明内容）に従って認証対象ユーザｖについて本人の判定を行う（ステップＳ３１０）。
【００９３】
本実施例では、判定処理に用いる閾値Ａを０．５より大きい値に設定するものとする。このように閾値Ａを設定することで、閾値Ａを超える事後確率が必ず１つ以下となるようにすることができる。閾値Ａを超える事後確率が最大で１つになることにより、事後確率の最大値と２番目に大きい値との間に必ず差が生じ、誤識別の発生を低減する（安全性を高める）ことができる。この効果は、閾値Ａの値をさらに大きくすることで増大する。
【００９４】
なお、本実施例の生体認証システム１では、前述のように、照合スコアの本人分布と他人分布を用いて尤度比、及び事後確率を求める。照合スコアの本人分布ｆ（ｓ）と他人分布ｇ（ｓ）は、１名の登録ユーザｕnではなく、全登録ユーザｕnの照合スコアを用いて推定するため、あらかじめ収集した各登録ユーザｕnの照合スコアのデータが少量であっても信頼性高く推定することができる。従って、尤度比及び事後確率を信頼性高く推定することができ、ＥＦＡＲ、ＥＦＲＲ、ＮＦＡＲを低減することができる。その結果、システムの安全性が向上し、利便性も一層向上するという効果が得られる。
【００９５】
次に、認証サーバ端末１１０の判定部１１４は、ステップＳ３１０の判定結果に応じて以下のように処理を分岐する（ステップＳ３１１）。
【００９６】
具体的には、ステップＳ３１０において、認証対象ユーザｖが登録ユーザｕnのいずれかと同一人物である（認証成功）と判定された場合には、認証成功を表す判定結果情報を、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１２）。また、生体認証システム１がカードレスクレジット決済システムに適用されている場合には決済処理などが行われ、勤怠管理システムに適用される場合にはドアの開錠処理及び出勤時刻の自動入力処理などが行われる。
【００９７】
ステップＳ３１０において、認証対象ユーザｖが非登録ユーザｕ0（なりすましのユーザ）であると判定された場合には、なりすまし警告情報を、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１３）。
【００９８】
ステップＳ３１０において、判定不能の場合には、認証対象ユーザｖからの生体情報の取得回数Ｊが規定値未満（Ｊ＜Ｊmax）であるかどうかを判定する（ステップＳ３１４）。
【００９９】
上記ステップＳ３１４の判定の結果が“Ｙｅｓ”、即ち生体情報の取得回数Ｊが未だ規定値に達していなければ、登録ユーザ枝刈り部１１５は、ステップＳ３０９で事後確率算出部１１３が求めた事後確率を閾値Ｂと比較し、該閾値Ｂより小さい事後確率に対応する登録ユーザｕn及び非登録ユーザｕ0の枝刈りを行う（ステップＳ３１５）。
【０１００】
例えば、上記ステップＳ３１５で枝刈りされた登録ユーザｕnのＩＤがメモリ上に保持されるように認証サーバ端末１１０を構成しておくことにより、認証サーバ端末１１０内の各処理部は枝刈りされた登録ユーザｕnを認識することができる。登録ユーザｕnの枝刈りを行うと、例えば図４において、生体情報入力１回目では全ての登録ユーザｕn及び非対象ユーザｕ0が照合対象となっているところ、生体情報入力２回目ではｎ＝１，ｎ＝Ｎの登録ユーザｕn、及び非登録ユーザｕ0だけが照合対象となる。
【０１０１】
本実施例の生体認証システム１によれば、正規化されている各登録ユーザｕnの事後確率の値及び非登録ユーザｕ0の事後確率の値と、閾値Ｂとの大小を基準として枝刈りを行なうことにより、参考文献２に示されているように、各登録ユーザｕn及び非登録ユーザｕ0の枝刈りに必要な生体情報の入力回数Ｊの期待値を最小化することができる。このことは、入力回数Ｊがある値のときに枝刈りされる登録ユーザｕn及び非登録ユーザｕ0の数の期待値を最大化することと同義である。従って、１：Ｎ照合にかかる時間を短く抑えることができるため、利便性が一層向上するという効果が得られる。
【０１０２】
枝刈り処理（ステップＳ３１５）の後、認証サーバ端末１１０（具体的には、例えば判定部１１４）は、本人確認をもう一度行う必要があることを表す判定結果情報として、認証対象ユーザｖの生体情報の再取得を要求する情報を出力し、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１６）。
【０１０３】
その後、認証サーバ１１０は、認証クライアント端末１００から次の判定の要求があるまで、すなわち認証対象ユーザ特徴量データが送信されるまで待機し（ステップＳ３１７）、認証クライアント端末１００から認証対象ユーザ特徴量データを受信するとステップＳ３０６以降の処理を実行する。
【０１０４】
一方、ステップＳ３１４の判定の結果が“Ｎｏ”、即ち生体情報の取得回数Ｊが規定値に達していれば、認証失敗を表す判定結果情報を出力し、通信装置（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１８）。
【０１０５】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０から送信された判定結果情報に応じて、例えば次のような処理を行う（ステップＳ３１９）。
【０１０６】
認証成功を表す判定結果情報を受信した場合、認証要求部１０４は、出力部１００を介して「認証に成功しました。」といった内容のメッセージを認証対象ユーザｖに対して提示（表示や発音など）する。
【０１０７】
なりすまし警告情報を受信した場合、認証要求部１０４は、生体情報入力センサ１０１の動作を停止して認証を拒んだり、出力装置２０４を介して警報を鳴らすなどの方法により、なりすましのユーザに対する罰則を設ける。
【０１０８】
生体情報の再取得を要求する判定結果情報を受信した場合、認証要求部１０４は、出力装置２０４を介して、「センサに人差し指の指紋をかざしてください。」などのように、認証対象ユーザｖに対して生体情報の入力を促すメッセージを提示（表示や発音など）する。
【０１０９】
認証失敗を表す判定結果情報を受信した場合、認証要求部１０４は、出力装置２０４を介して、「認証に失敗しました。もう一度はじめから認証をやり直してください。」などのように、認証対象ユーザｖに対して本人確認の再試行を促すメッセージを提示（表示や発音など）する。
【０１１０】
認証サーバ端末１１０では、判定部１１４は、最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）が得られた場合、その最終判定結果を、記憶部１１７に格納されている判定履歴情報１３０に記録する（ステップＳ３２０）。
【０１１１】
本実施例の生体認証システム１では、登録ユーザｕnの事前確率だけでなく、非登録ユーザｕ0の事前確率を予め設定しておき、事前確率と尤度比を用いて、登録ユーザｕnの事後確率だけでなく、非登録ユーザｕ0の事後確率も算出し、認証対象ユーザｖが非登録ユーザｕ0であると判定したときは「なりすまし」、認証対象ユーザｖが誰なのかを判断できない（登録ユーザｕnとも非登録ユーザｕ0とも判断できない）ときは「認証失敗」とする。この２つを明確に区別することで、事前に登録を行なっていない認証対象ユーザｖがなりすましを試みていると判定したときにのみ、ステップＳ３１９の処理のような罰則を設けることが出来る。これによって、悪意のあるなりすましのユーザを効果的に排除することができ、システムの安全性を向上させることができる。
【実施例２】
【０１１２】
本実施例では、同一モダリティに属する複数の異なる生体情報を用いて認証を行う。以下、本実施例を、実施例１と異なる点を中心に説明する。
【０１１３】
図３のステップＳ３０７において、認証サーバ端末１１０の１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データと、登録ユーザデータベース１２０に保持されているＮ人の登録ユーザｕnのＭ個の登録テンプレート１２２との間で１：Ｎ照合を行ない、登録ユーザｕnのｍ番目の登録テンプレートの各々について照合スコアｓjnmを求める。以下、照合スコアの算出方法として特徴空間での距離を用いる。この場合、照合スコアは小さいほど良い、即ち照合スコアが小さいほど二つの生体情報は同一のものらしいということになる。このとき、今回（Ｊ回目）までの入力において、最も小さい照合スコアが同一ユーザの同一の生体情報に対して複数回得られた場合、認証失敗とする。たとえば、複数回を２回として、ある回の最も小さい照合スコアを示す生体情報が、他の回の最も小さい照合スコアを示す生体情報と同じである場合に、認証失敗とする。
【０１１４】
他人の生体情報と似た生体情報を持つユーザがいた場合、その生体情報を何度も入力することで、その他人の事後確率を徐々に高めていき、いずれその他人として認証に成功し、その結果、安全性が低下する恐れがある。本実施例においては、モダリティは一つであるので、一度入力したモダリティは二度と入力できないように対策することができない。これに対して、上述したように、最も小さい照合スコアが同一の生体情報に対して複数回得られた場合、認証失敗とすることで、同一の生体情報を何度も入力することによるなりすましを防ぐことができる。これにより、安全性の低下を防ぐことができる。
【０１１５】
しかしながら、上述の場合、認証対象ユーザが同一の生体情報を複数回入力すると必ず認証失敗となってしまうため、その結果、利便性が低下してしまう問題がある。そこで、今回（Ｊ回目）までの入力において、最も小さい照合スコアが同一の生体情報に対して複数回（Ｋ回とする）得られた場合、その中で最小の照合スコアを実現した入力以外で得た照合スコア（（Ｋ−１）×Ｎ×Ｍ個）はステップＳ３０８における尤度比算出時に用いないようにする。このようにすることで、同一の生体情報を何度も入力して事後確率を徐々に高めていくことによるなりすましを防ぐと同時に、認証対象ユーザが同一の生体情報を複数回入力すると必ず認証失敗となってしまう問題を防ぐことができる。これにより、安全性の低下、及び利便性の低下を防ぐことができる。
【０１１６】
ステップＳ３０８及びステップＳ３０９では、それぞれ以下のようにして尤度比と登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）を算出する。ここで、Ｓ=[ｓjnm|j=1,…,J n=1,…,N m=1,…,M]である。
【０１１７】
各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ
＝ｕ0｜Ｓ）は、ベイズの定理を用いて、それぞれ以下の数式に変形できる。
【０１１８】
【数９】
【０１１９】
【数１０】
【０１２０】
ここで、認証対象ユーザがｍ番目（ｍ＝１，２，・・・Ｍ）の生体情報を入力する確率はそれぞれ等しく１／Ｍであるとすると、Ｐ（Ｓ｜ｖ＝ｕn）及びＰ（Ｓ｜ｖ＝ｕ0）は、それぞれ以下の数式で表わされる。
【０１２１】
【数１１】
【０１２２】
【数１２】
【０１２３】
従って、これらを上式（数９、数１０）に代入することで、各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、以下の数式（事後確率算出関数）で表わされる。
【０１２４】
【数１３】
【０１２５】
【数１４】
【０１２６】
ここで、上記事後確率算出関数に含まれる以下の数式は、登録ユーザｕnのm番目の生体情報に対する照合スコアｓ1nm，…，ｓJnmが得られた場合における尤度比（ｖ＝ｕnであるという尤度とｖ≠ｕnであるという尤度の比）を求めるための数式（尤度比関数）である。
【０１２７】
【数１５】
【０１２８】
尤度比算出部１１８は、ステップＳ３０８において、上記尤度比関数を用いて尤度比を算出する。そして、事後確率算出部１１３は、上記事後確率算出関数によって尤度比算出部１１８が求めた尤度比の値を用いて各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。
【実施例３】
【０１２９】
本実施例の生体認証システム２は、カードレスクレジット決済システムである。以下、本実施例を、実施例１と異なる点を中心に説明する。
【０１３０】
図７に、生体認証システム２の構成例を示す。
【０１３１】
損失算出部１０２ａは、認証対象ユーザｖが購入した品物の金額Ｑに基づき、ｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、ｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する。
【０１３２】
事前確率初期設定部１１１ａは、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を初期設定する。
【０１３３】
事前確率・閾値設定部１１１ｂは、損失W1、損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnが、それぞれ要求値EFRR’、Rｎ’以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する。本実施例では、閾値は各登録ユーザ及び非登録ユーザ毎に設定する。
【０１３４】
図８は、本実施例の生体認証システム２による認証処理の手順及び認証処理に伴うデータの流れを示す。
【０１３５】
ステップＳ３０２では、認証サーバ端末１１０の事前確率初期設定部１１１ａは、各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を初期設定する。この事前確率Ｐ（ｖ＝ｕn）、Ｐ（ｖ＝ｕ0）の初期値をそれぞれπｎ、π0とする。
【０１３６】
ステップＳ３０２ａでは、認証クライアント端末１００の損失算出部１０２ａは、認証対象ユーザｖが購入した品物の金額Ｑに基づき、ｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、ｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する。金額Ｑについては、例えば店員がキーボードを介して入力する。損失W1及びW0については、例えばこれらが金額Ｑに比例するものとし、下の数式を用いてW1及びW0を算出する。α、βは定数である。
【０１３７】
【数１６】
【０１３８】
【数１７】
【０１３９】
ステップＳ３０５では、認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データ、損失算出部１０２ａが算出した損失W1及びW0を、通信装置２０５を介して送信するとともに、認証対象ユーザｖに関する判定を行うことを要求する。
【０１４０】
ステップＳ３０６ａでは、認証サーバ端末１１０の事前確率・閾値設定部１１１ｂは、認証クライアント端末１００から受信した損失W1、損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnが、それぞれ要求値EFRR’、Rｎ’以下となるように、N人の登録ユーザの各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）及び閾値An、非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）及び閾値A0を設定する。事前確率及び閾値の設定は、以下の数式を用いて行なう。
【０１４１】
【数１８】
【０１４２】
【数１９】
【０１４３】
【数２０】
【０１４４】
【数２１】
【０１４５】
但し、an及びa0は、以下の数式で表される変数である。
【０１４６】
【数２２】
【０１４７】
【数２３】
【０１４８】
上記のように事前確率及び閾値を設定すれば、EFRR及びRnが、要求値EFRR’、Rｎ’以下となる。その証明方法を簡単に説明する。
【０１４９】
参考文献２によれば、ｉ番目の登録ユーザであると判定したときの損失の期待値Riは、ｖ＝ｕjのときにｖ＝ｕiと判定してしまう確率αji、そのときの損失W(j,i)を用いて、以下のように表すことができる。
【０１５０】
【数２４】
【０１５１】
ここで、確率αji、損失W(j,i)として以下の式を用いることで、参考文献２を参照しつつ、EFRR及びRnが、要求値EFRR’、Rｎ’以下となることを導くことができる。
【０１５２】
【数２５】
【０１５３】
【数２６】
【０１５４】
上述のように、認証が行なわれる度に、損失W1及びW0を算出し、それを基に事前確率及び閾値を設定することで、EFRRは常に要求値EFRR’以下に、及びn番目の登録ユーザであると判定したときの損失の期待値Rnは常に要求値Rｎ’以下に抑えることができる。その結果、常に要求通りの利便性および安全性を実現することができる。
【０１５５】
以上、本発明の実施例について説明したが、以下のような変形例を採用することも可能である。
［変形例］
上記実施例では、判定処理に用いる閾値Ａを０．５より大きい値に設定しているが、０．５以下の値に設定してもよい。閾値Ａを０．５以下に設定する場合において、閾値Ａを超える事後確率が複数存在していれば、判定部１１４は、それらの事後確率のうち最大値を示す事後確率に基づいて判定を行えばよい。
【０１５６】
また、上記実施例の生体認証システムは、認証クライアント端末１００と認証サーバ端末１１０とをネットワーク１４０で接続して構成されているが、生体認証システムは、それぞれの端末１００，１１０の構成を一纏めにして成る一つの装置であってもよい。この場合、上記実施例の認証クライアント端末１００に備えられた認証要求手段１０４は省略することができる。さらに、認証クライアント端末１００及び認証サーバ端末１１０は、図１や図７に示す構成に限定されず、例えば、ＣＰＵがプログラムを実行することで実現される処理部１０２，１１１〜１１５，１１８については、認証クライアント端末１００と認証サーバ端末１１０のどちらに備えられていてもよい。さらにまた、上記処理部は、全部又は幾つかを一纏めに構成してもよいし、さらに細分化されてもよい。
【０１５７】
上記実施例では、尤度比算出部１１８は、１：Ｎ照合部１１２が図３のステップＳ３０７で求めた照合スコアを用いて登録ユーザｕnごとに尤度比を算出している（ステップＳ３０８）が、登録ユーザデータベース１２０に保持されている生体情報登録テンプレート１２２及び認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データに基づき、登録ユーザｕnごとに尤度比を求めるように構成してもよい。具体的には、各登録ユーザｕnの尤度ｌnは、認証対象ユーザ特徴量データｘＪ（Ｊ＝１，２，…）が得られる度に、登録ユーザｕn（ｎ＝１，…，Ｎ）の特徴量の分布ｐn（ｘＪ）及び全登録ユーザの特徴量の分布ｐ0（ｘＪ）を用いて、以下の数式により算出される。
【０１５８】
【数２７】
【０１５９】
そして、各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める場合は、上記求めた尤度比を、前述の実施例で説明した事後確率算出関数で用いた尤度比と置き換えればよい。
【０１６０】
上記実施例では、認証サーバ端末１１０が認証対象ユーザｖに関する判定を行っているが、この判定を認証クライアント端末１００で行うように構成することができる。例えば、図６に示すように、認証クライアント端末１００に判定部１０６を備え、認証サーバ端末１１０には判定部１１４（図１）に替えて送信情報決定部１１６を備える。認証クライアント端末１００及び認証サーバ端末１１０のその他の構成、生体情報入力センサ１０１の構成、及びネットワーク１４０の構成は、上記実施例における各々の構成と基本的には同じであるため、同じ符号が付されている。以下、この構成における認証処理の手順を説明する。
【０１６１】
まず、認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データを送信するとともに、該認証対象ユーザ特徴量データ及び登録ユーザデータベース１２０に保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を登録ユーザｕnごとに求め、求めた尤度比と認証サーバ端末１１０の事前確率設定部１１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求め、求めた事後確率の各々を閾値Aと比較し、事後確率の最大値が閾値Aより大きい場合において、最大値を示す事後確率に対応する登録ユーザｕn又は非登録ユーザｕ0の情報を送信することを要求する。
【０１６２】
認証サーバ端末１１０では、認証クライアント端末１００からの要求に応じて、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、及び事後確率算出手段１１３が上記実施例と同様の処理を行って事後確率を求める。そして、送信情報決定部１１６は、事後確率算出部１１３が求めた事後確率の各々を閾値Aと比較し、事後確率の最大値が閾値Aより大きい場合において、最大値を示す事後確率に対応する登録ユーザｕn又は非登録ユーザｕ0の情報を決定し、該情報を認証クライアント端末１００へ送信する。
【０１６３】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０が送信した情報を受信すると、認証対象ユーザｖに関する判定を行うことを判定部１０６に依頼する。
【０１６４】
認証クライアント端末１００の判定部１０６は、認証要求部１０４が取得した情報が登録ユーザｕnの情報であれば、該登録ユーザｕnと認証対象ユーザｖが同一人物であると判定し、認証要求部１０４が取得した情報が非登録ユーザｕ0の情報であれば、認証対象ユーザｖが登録ユーザｕn以外のユーザであると判定する。
【０１６５】
そして、認証要求部１０４は、判定部１０６による判定の結果に基づいて上記実施例と同様の処理（図３のステップＳ３１９）を行うのがよい。
【０１６６】
さらに別の実施例として、認証サーバ１１０内の判定部１１４又は認証クライアント端末１００内の判定部１０６は、事後確率を利用せず、図３のステップＳ３０８で尤度比算出部１１８が登録ユーザｕnごとに求めた尤度比（ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比）を、所定の閾値Ｃと比較することにより認証を行うように構成されてもよい。具体的には、尤度比の最大値が閾値Ｃより大きい場合は、最大値を示す尤度比に対応する登録ユーザと認証対象ユーザｖが同一人物である（認証成功）と判定し、尤度比の最大値が閾値Ｃ以下の場合は、認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、認証対象ユーザｖの生体情報の再取得を要求し、認証対象ユーザｖからの生体情報の取得回数が規定値以上であれば「認証失敗」と判定することができる。
【０１６７】
上記のケースでは、事前確率及び事後確率という概念を用いないため、図３のフローチャートにおけるステップＳ３０２及びＳ３０９は実行されない。また、非登録ユーザＵ0という概念も用いないため、ステップＳ３１３も実行されない。
【０１６８】
上記のケースにおいて枝刈り処理を行うには、登録ユーザ枝刈り部１１５は、例えば、判定部１１４，１０６が生体情報の再取得を要求する場合に、尤度比算出部１１８が求めた尤度比を所定の閾値Ｄと比較し、閾値Ｄより小さい尤度比に対応する登録ユーザｕnを認証対象ユーザｖとの照合対象から除外すればよい。なお、枝刈りのタイミングは、図３のステップＳ３１４からステップＳ３１５（判定部１１４，１０６が生体情報の再取得を要求する時）の間と、ステップＳ３１５の後のどちらでもよい。
【０１６９】
上記のように、各登録ユーザｕnの照合スコアに基づいて各登録ユーザｕnの尤度比を求め、該尤度比と閾値Ｃとを比較して判定を行うことによっても、認証に必要な生体情報の入力回数の期待値が最小化される。また、特徴量の分布を用いて尤度比を求める従来の手法では、一般に特徴量の次元数が大きく（例えば、虹彩の場合は２０４８〜４０９６次元）、特徴量の分布を推定するためには非常に大規模な学習サンプルが必要になるため、実用化が困難であるという問題がある。それに対して、照合スコアを用いて尤度比を求める場合、照合スコアの次元数は常に１であるため、照合スコアの本人分布及び他人分布を必ず推定することができる。
【０１７０】
以上説明した本実施形態によれば、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕnの事後確率と非登録ユーザｕ0の事後確率とに正規化し、事後確率と閾値とを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【０１７１】
また、各登録ユーザｕnの照合スコアを求め、その照合スコアを用いて各登録ユーザｕnの尤度比を求め、尤度比と閾値とを比較して判定を行う方法でも、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【０１７２】
さらに、登録ユーザｕnの事前確率と非登録ユーザｕ0の事前確率を設定しておき、登録ユーザｕnだけでなく非登録ユーザｕ0についても事後確率を算出することにより、認証対象ユーザｖが非登録ユーザｕ0と同一人物であるケース（なりすまし）と、認証対象ユーザが誰なのかを判断できないケース（認証失敗）とを明確に区別することができる。なりすましのユーザを明確に把握できれば、そのような悪意のあるユーザによるなりすましを効率的に排除するための対策（例えば、警告メッセージを提示する措置や、センサの動作を停止する措置など）を講ずることができる。
【産業上の利用可能性】
【０１７３】
本発明は、１：Ｎ認証に基づいて本人確認を行なう任意の生体認証システムに対して適用可能である。例えば、勤怠管理システム、クレジットカード決済を行うための個人認証システム、入退室管理システムへの適用が可能である。
【図面の簡単な説明】
【０１７４】
【図１】生体認証システムの構成例を示す図である。
【図２】認証クライアント端末及び認証サーバ端末のハードウェア構成を示す図である。
【図３】生体認証システムによる認証処理の手順を示す図である。
【図４】生体認証システムに採用されている認証アルゴリズムの概念を示す図である。
【図５】１：Ｎ認証における認証誤り率の概念を示す図である。
【図６】他の生体認証システムの構成を示す図である。
【図７】さらに他の生体認証システムの構成を示す図である。
【図８】さらに他の生体認証システムによる認証処理の手順を示す図である。
【符号の説明】
【０１７５】
１：生体認証システム、１００：認証クライアント端末、１０１：生体情報入力センサ、１０２：特徴量抽出部、１０２ａ：損失算出部、１０４：認証要求部、１１０：認証サーバ端末、１１１：事前確率設定部、１１１ａ：事前確率初期設定部、１１１ｂ：事前確率・閾値設定部、１１２：１：Ｎ照合部、１１３：事後確率算出部、１１４：判定部、１１５：登録ユーザ枝刈り部、１１７：記憶部、１１８：尤度比算出部、１２０：登録ユーザデータベース、１２１：ユーザＩＤ、１２２：生体情報登録テンプレート、１３０：判定履歴情報、１４０：ネットワーク、２００：ＣＰＵ、２０１：メモリ、２０２：ＨＤＤ、２０３：入力装置、２０４：出力装置、２０５：通信装置。
【技術分野】
【０００１】
本発明は、生体情報を用いて本人確認を行う生体認証システムに関する。
【背景技術】
【０００２】
生体認証は、パスワードやＩＣカードなどに基づく認証と比べて認証のための入力情報（例えば、指紋など）の偽造が困難であり、認証のための入力情報を失念することもないといった利点を持つ認証部として知られている。
【０００３】
生体認証では、予めユーザから生体情報を取得し、その生体情報から特徴量と呼ばれる情報を抽出して事前に登録しておく。この登録情報を登録テンプレートといい、事前登録を行ったユーザのことを登録ユーザという。そして、認証時には、ユーザから生体情報を取得し、その生体情報から抽出した特徴量と登録テンプレートとを照合することで認証（本人確認）を行なう。本人確認を行うユーザのことを認証対象ユーザという。
【０００４】
生体認証のなかでも、認証対象ユーザとＮ人の登録ユーザのそれぞれとを照合（以下「：Ｎ照合」という）し、認証対象ユーザがどの登録ユーザと同一人物であるかを識別する生体認証を１：Ｎ認証という。従来の１：Ｎ認証においては、認証対象ユーザと同一人物であると識別された登録ユーザ（以下「識別ユーザ」という）が存在すれば、その識別ユーザを判定結果として認証成功とし、識別ユーザが存在しなければ認証失敗とする。１：Ｎ認証を利用した生体認証システムの例としては、勤怠管理システムや、クレジットカードを用いずに生体認証のみでクレジット決済を行なうシステム（以下「カードレスクレジット決済システム」という）が挙げられる。１：Ｎ認証には、認証対象ユーザがカードなどを提示する必要が無いため、利便性が高いという利点がある。
【０００５】
図５は、１：Ｎ認証における認証誤り率の種類を示す。１：Ｎ認証における認証誤り率は、以下の３種類に分類される。
（１）事前に登録を行なった認証対象ユーザが本人以外の登録ユーザとして認証に成功してしまう誤り率（以下「Enrollee False Acceptance Rate；ＥＦＡＲ」という）、
（２）事前に登録を行なった認証対象ユーザが認証に失敗してしまう誤り率（以下「Enrollee False Rejection Rate；ＥＦＲＲ」という）、
（３）事前に登録を行なっていないユーザ（以下「非登録ユーザ」という）が認証に成功してしまう誤り率（以下「Non-Enrollee False Acceptance Rate；ＮＦＡＲ」という）。
【０００６】
ＥＦＡＲ及びＮＦＡＲが高いと、認証対象ユーザが他人として認証に成功する可能性が高まるので安全性が低下する。このように、他人として認証に成功してしまう認証誤りを誤識別と呼ぶ。一方、ＥＦＲＲが高いと、登録されている認証対象ユーザが認証に失敗する可能性が高まるので、利便性が低下する。
【０００７】
１：Ｎ認証における認証精度を高めるために、認証対象ユーザに複数の生体情報（例えば、指紋、虹彩、声紋などの異なる種類の生体情報や、人差指の指紋、中指の指紋及び薬指の指紋などの異なる部位から取得した同一種類の生体情報など）を入力させ、それらを融合して認証対象ユーザを判定する認証方式（以下「１：Ｎ複合認証」という）が提案されている。例えば、特許文献１では、１つ目の生体情報（例えば顔）で認証対象ユーザの候補者（認証対象ユーザと同一人物の可能性がある登録ユーザ）を絞り込み、２つ目の生体情報（例えば指紋）で候補者をさらに絞り込んで、最終的に絞り込まれた候補者を判定結果として出力する。
【０００８】
しかし１：Ｎ複合認証では、認証対象ユーザが複数の生体情報を入力しなければならないため、認証手続きが煩雑になり、利便性が低下する。また、１つの生体情報だけで認証を行う場合と比較して、１つ目の生体情報を入力してから認証結果が得られるまでの時間（以下「認証時間」という）が長くなるため、利便性が一層低下する。特許文献１では、これらの問題に対して何の対策も施されていなかった。
【０００９】
さらに、特許文献１では、システムが複数の候補者を出力することがあるため、例えばカードレスクレジット決済のように、認証対象ユーザを１名にまで絞り込む必要のある適用先においては、複数の候補者が出力された後、人手で１名の識別ユーザを選択することとなるため、利便性が一層低下する。
【００１０】
これに対して非特許文献１では、声紋の特徴量ｘＪ（Ｊ＝１，２，…）が得られる度に、登録ユーザｕn（ｎ＝１，…，Ｎ）の特徴量の分布ｐn（ｘＪ）、全登録ユーザの特徴量の分布ｐ0（ｘＪ）を用いて、以下の数式により、各登録ユーザに対して尤度比ｌnを算出する。
【００１１】
【数１】
【００１２】
閾値Ａより大きい尤度比ｌnが得られた場合、その時点の登録ユーザｕnを識別ユーザとして認証成功とし、閾値Ｂより小さい尤度比ｌnが得られた場合、その尤度比ｌnに対応する１又は複数の登録ユーザｕnは、それ以降の照合対象から除外される（以下「枝刈り」という）。識別ユーザが得られなければ、新たな特徴量ｘＪを取得し、識別ユーザが得られるまで判定を繰り返す。このように、特徴量が得られる度に、尤度比と閾値Ａとの大小を比較して認証対象ユーザの判定を行なうことで、認証に必要な生体情報の入力回数を低減している。また、１：Ｎ照合にかかる時間は照合対象の登録ユーザ数Ｎに凡そ比例するが、尤度比と閾値Ｂとの大小の比較により登録ユーザの枝刈りを行ない、１：Ｎ照合にかかる時間を短縮することによって、認証時間を一層短縮している。
【００１３】
【特許文献１】US7277891 B2 20071002
【非特許文献１】野田秀樹、“逐次確率比検定を用いた適応的話者識別”、電子情報通信学会論文誌 D-II Vol.J84-D-II No.1 pp.211-213 (2001)
【発明の開示】
【発明が解決しようとする課題】
【００１４】
しかしながら、非特許文献１に開示された技術では、特徴量が得られる度に尤度比と閾値とを比較して判定を行うことにより、認証に必要な生体情報の入力回数を低減しているようであるが、１：Ｎ認証において、特徴量の分布を用いて尤度比を求め、その尤度比と閾値とを比較する方法では、判定に必要な生体情報の入力回数の期待値が最小化されるという理論的な保証はない。すなわち、非特許文献１の技術には、認証に必要な生体情報の入力回数の期待値を低減するという観点において改善の余地があった。
【００１５】
また、従来の１：Ｎ複合認証システムにおいては、悪意を持ったユーザが、事前登録を行なっていないにも拘らず何度も認証を繰り返し、いずれなりすましに成功してしまうという問題があった。
【００１６】
本発明は、上記課題に鑑みてなされたものであり、その目的は、認証に必要な生体情報の入力回数の期待値を格段に低減するとともに、なりすましを効率的に排除することができる生体認証システム、認証クライアント端末、及び生体認証方法を提供することである。
【課題を解決するための手段】
【００１７】
本発明の生体認証システムは、上記課題を解決するため、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、前記データベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求める事後確率算出部と、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、を備えることを特徴とする。
【００１８】
本発明の他の実施形態では、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部をさらに備え、前記尤度比算出部は、前記求めた照合スコアを用いて前記尤度比を求める。
【００１９】
本発明のさらに他の実施形態では、前記判定部は、前記事後確率の最大値が前記第１の閾値以下の場合において、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する。この場合、前記判定部が前記生体情報の再取得を要求する場合に、前記事後確率算出部が求めた事後確率を第２の閾値と比較し、該第２の閾値より小さい事後確率に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備えることができる。
【００２０】
本発明のさらに他の実施形態では、前記事後確率算出部は、今回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率を、前記取得の回数が１回であれば前記非登録ユーザｕ0の事前確率と、２回以上であれば前回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率と比較し、前記今回の取得において求めた前記非登録ユーザｕ0の事後確率の方が高い場合は、次回以降の前記生体情報の取得における事後確率算出において、今回の取得において抽出した前記特徴量データを使用しない。
【００２１】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、複数のモダリティに属する複数の異なる照合用特徴量データを保持し、前記生体情報の取得を１回のみ許容する生体情報入力センサをさらに備える。
【００２２】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、前記１：Ｎ照合部は、今回までの入力において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合に認証失敗とする。
【００２３】
本発明のさらに他の実施形態では、前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、前記１：Ｎ照合部は、今回までの入力において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合、その中で最良の照合スコアを実現した入力以外で得た照合スコアは前記尤度比算出部による尤度比算出時に用いないようにする。
【００２４】
本発明のさらに他の実施形態では、前記事前確率設定部は、前記判定部が、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、前記非登録ユーザｕ0の事前確率を上げる。
【００２５】
本発明のさらに他の実施形態では、前記第１の閾値は０．５より大きい値である。
【００２６】
上記いずれかの実施形態において、前記判定部は、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、なりすまし警告情報を出力することができる。
【００２７】
本発明のさらに他の実施形態では、認証が行なわれる度に、前記認証対象ユーザｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、及び前記認証対象ユーザｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する損失算出部をさらに備え、前記損失W1及び前記損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnがそれぞれ要求値以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する事前確率・閾値設定部をさらに備える。
【００２８】
本発明の他の生体認証システムは、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部と、前記求めた照合スコアを用いてｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、前記求めた尤度比の各々を第１の閾値と比較し、前記尤度比の最大値が前記第１の閾値より大きい場合は、前記最大値を示す尤度比に対応する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記尤度比の最大値が前記第１の閾値以下の場合は、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する判定部と、を備えることを特徴とする。
【００２９】
また、前記判定部が前記生体情報の再取得を要求する場合に、前記尤度比算出部が求めた尤度比を第２の閾値と比較し、該第２の閾値より小さい尤度比に対応する登録ユーｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備えることができる。
【００３０】
本発明の認証クライアント端末は、前述の課題を解決するため、登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースと、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部とを備えた認証サーバ端末に対し、通信可能に構成された端末であって、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、前記認証サーバ端末に対し、前記抽出した認証対象ユーザ特徴量データを送信し、該認証対象ユーザ特徴量データ及び前記データベースに保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を前記登録ユーザｕnごとに求め、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求め、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率に対応する前記登録ユーザｕn又は前記非登録ユーザｕ0の情報を送信することを要求し、該要求に応じて前記認証サーバ端末が送信した情報を取得する認証要求部と、前記取得した情報が前記登録ユーザｕnの情報であれば、該登録ユーザｕnと前記認証対象ユーザｖが同一人物であると判定し、前記取得した情報が前記非登録ユーザｕ0の情報であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、を備えることを特徴とする。
【００３１】
本発明の実施形態では、前記認証要求部は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求め、前記照合スコアを用いて前記尤度比を求める。
【００３２】
本発明の生体認証方法は、前述の課題を解決するため、認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出するステップと、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、前記登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求めるステップと、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求めるステップと、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定するステップと、を含むことを特徴とする。
【００３３】
本発明の実施形態では、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求めるステップをさらに含み、前記尤度比を求めるステップでは、前記求めた照合スコアを用いて前記尤度比を求める。
【発明の効果】
【００３４】
本発明によれば、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕnの事後確率と非登録ユーザｕ0の事後確率とに正規化し、事後確率と閾値とを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【００３５】
また、各登録ユーザｕnの照合スコアを求め、その照合スコアを用いて各登録ユーザｕnの尤度比を求め、尤度比と閾値とを比較して判定を行う方法でも、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【００３６】
さらに、登録ユーザｕnの事前確率と非登録ユーザｕ0の事前確率を設定しておき、登録ユーザｕnだけでなく非登録ユーザｕ0についても事後確率を算出することにより、認証対象ユーザｖが非登録ユーザｕ0と同一人物であるケース（なりすまし）と、認証対象ユーザが誰なのかを判断できないケース（認証失敗）とを明確に区別することができる。なりすましのユーザを明確に把握できれば、そのような悪意のあるユーザによるなりすましを効率的に排除するための対策（例えば、警告メッセージを提示する措置や、センサの動作を停止する措置など）を講ずることができる。
【発明を実施するための最良の形態】
【００３７】
以下、図面を参照して、本発明の実施形態を説明する。
【実施例１】
【００３８】
本実施例の生体認証システム１は、複数の生体情報を用いて認証対象ユーザｖとＮ人の登録ユーザｕn（ｎ＝１，…，Ｎ）との１：Ｎ認証を行なう生体認証システムである。認証対象ユーザとは、認証クライアント端末１００を介して本人確認を行うユーザのことであり、登録ユーザとは、予め生体情報の照合用特徴量データを登録したユーザのことである。
【００３９】
図１に、生体認証システム１の構成例を示す。この生体認証システム１は、認証対象ユーザｖの生体情報から特徴量データを取得したり、認証結果等の情報を認証対象ユーザｖに対して提示する認証クライアント端末１００と、１：Ｎ認証などの処理を行なう認証サーバ端末１１０とを含んで構成される。また、認証クライアント端末１００と認証サーバ端末１１０は、ネットワーク１４０を介してデータ通信可能に接続されている。
【００４０】
生体認証システム１は、例えば、カードレスクレジット決済システムに適用することができる。この場合、認証クライアント端末１００は加盟店に設置される認証装置に相当し、認証サーバ端末１１０はデータセンタに設置されるサーバに相当し、ネットワーク１４０はインターネットに相当する。また、企業内の勤怠管理システムに適用することもできる。この場合、認証クライアント端末１００は居室内に置かれた認証装置に相当し、認証サーバ端末１１０はサーバ室に置かれたサーバに相当し、ネットワーク１４０は社内イントラネットに相当する。
【００４１】
なお、ネットワーク１４０の例としては、ＷＡＮやＬＡＮなどで構成されるネットワークに限らず、ＵＳＢやＩＥＥＥ１３９４などを用いて構成される有線通信回線、あるいは携帯電話網やＢｌｕｅＴｏｏｔｈなどを用いて構成される無線通信回線、さらにはこれらを組み合わせて構成される通信回線を用いることができる。
【００４２】
認証クライアント端末１００は、特徴量抽出部１０２及び認証要求部１０４を含んで構成される。特徴量抽出部１０２及び認証要求部１０４は、認証クライアント端末１００の中央処理装置（ＣＰＵ）が所定のプログラム（図示省略）を実行することで機能的に実現されてもよいし、後述のこれらの処理部の機能を有するハードウェアを備えることで実現されてもよい。
【００４３】
また、認証クライアント端末１００には、複数（Ｍ個）の生体情報入力センサ１０１が接続されている。生体情報入力センサ１０１は、認証対象ユーザｖから複数の生体情報１〜Ｍを取得するための装置である。
【００４４】
なお、生体情報には、指紋、声紋、虹彩、筆跡、所定の文字列をキーボードで入力する際のキーストローク（キーの押し込み量）、動的署名（Dynamic Signature）、歩き方など、人に由来する様々な種類の情報が含まれる。同的署名とは、例えば、筆跡の形状（静的署名）に関する情報だけでなく、署名時のペンの動作速度などの動的特徴に関する情報も含む生体情報のことである。
【００４５】
ここで、１つのセンサで取得できる生体情報の種類のことをモダリティという。例えば指紋を採取する場合のように、異なる部位（例えば、人差し指と中指など）からそれぞれ異なる生体情報を取得することができる場合があるので、１個のセンサ１０１によって、同一モダリティに属する複数の生体情報を取得することができる場合がある。本実施例では、複数のモダリティに属する複数の異なる生体情報を用いて認証を行うものとする。
【００４６】
特徴量抽出部１０２は、認証対象ユーザｖから取得した生体情報に基づき、その認証対象ユーザｖの特徴量データを抽出する。なお、特徴量データは、従来の任意の方法で抽出することができる。
【００４７】
認証要求部１０４は、認証サーバ端末１１０に対し、認証対象ユーザｖに関する判定を行うことを要求する。判定方法の具体的内容は図３を参照して後述する。
【００４８】
また、認証サーバ端末１１０から上記判定の結果に関する判定結果情報を受信すると、該判定結果情報に応じた処理を行う。この処理の具体例については後述する。
【００４９】
認証サーバ端末１１０は、記憶部１１７、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、事後確率算出部１１３、判定部１１４、及び登録ユーザ枝刈り部１１５を含んで構成される。なお、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、事後確率算出部１１３、判定部１１４、及び登録ユーザ枝刈り部１１５は、認証サーバ端末１１０の中央処理装置（ＣＰＵ）が所定のプログラム（図示省略）を実行することで機能的に実現されてもよいし、当該機能を有するハードウェアを備えることで実現されてもよい。また、これらの各処理部は個別に存在する必要はなく、任意の複数の処理部をひとまとめにして構成してもよい。
【００５０】
記憶部１１７は、登録ユーザｕnごとに、該登録ユーザｕnのＩＤ及び該登録ユーザｕnの複数の生体情報１〜Ｍから抽出したそれぞれの照合用特徴量データ（以下、「生体情報登録テンプレート」という）１２２を保持する登録ユーザデータベース１２０と、過去Ｄ（Ｄは１以上の整数）回の最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）を表す判定履歴情報１３０とを格納する。記憶部１１７は、ＲＡＭやハードディスクドライブ等の記憶装置によって実現される。
【００５１】
事前確率設定部１１１は、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を初期設定する。本実施例では、図４に示すように、なりすましを検出するために非登録ユーザｕ0という概念を導入し、非登録ユーザｕ0に対しても事前確率を設定する。登録ユーザｕnの事前確率及び非登録ユーザｕ0の事後確率とは、データ（本実施例では照合スコア）が得られていない状態で、各登録ユーザｕn及び非登録ユーザｕ0ついて設定される確率である。具体的には、照合スコアが不明の状態で、ある認証対象ユーザｖが本人確認を行う場合に、ｖ＝ｕ1である確率、ｖ＝ｕ2である確率、…、ｖ＝ｕNである確率、及びｖ＝ｕ0である確率をいう。なお、事前確率の設定には、予め決められた固定値（例えば、プログラムのソースコード内に組み込まれている値）を事前確率として用いる態様や、事前確率算出式を予め定めておき、登録ユーザデータベース１２０内のデータ数や判定履歴情報１３０の内容等の各種のデータに応じて事前確率を算出する態様を含む。事前確率の設定方法の具体例については後述する。
【００５２】
また、事前確率設定部１１１は、認証処理を繰り返す過程で事前確率を更新する。具体的には、後述の判定部１１４が、認証対象ユーザｖが登録ユーザｕn以外のユーザ（なりすましのユーザ）であると判定した場合に、非登録ユーザｕ0の事前確率を上げ、これに応じて非登録ユーザｕ0の事前確率と各登録ユーザｕnの事前確率の合計が１になるように、各登録ユーザｕnの事前確率を下げる。この処理は、判定部１１４が「なりすまし」と判定した直後に行ってもよいし、次回の認証処理の際（例えば、後述の図３のステップＳ３０２を実行する際）に行ってもよい。非登録ユーザｕ0の事前確率を上げることで得られる効果については後述する。
【００５３】
１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザｖの特徴量データと登録ユーザデータベース１２０に保持されている生体情報登録テンプレート１２２との間で１：Ｎ照合を行い、登録ユーザｕnの各々について照合スコアを求める。照合スコアは、従来の任意の方法を用いて求めればよい。
【００５４】
尤度比算出部１１８は、１：Ｎ照合部１１２が求めた照合スコアに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、登録ユーザｕnごとに求める。
【００５５】
事後確率算出部１１３は、尤度比算出部１１３が求めた尤度比と事前確率設定部１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率とは、データ（本実施例では、照合スコア）が得られた状態で、そのデータを考慮に入れたうえで、各登録ユーザｕn及び非登録ユーザｕ0ついて設定される条件付確率である。具体的には、各登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率と尤度比とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率のそれぞれが算出される。事後確率の算出方法の具体例については後述する。
【００５６】
判定部１１４は、事後確率算出部１１３が求めた事後確率の各々を第１の閾値（閾値Ａ）と比較し、以下の基準に従って認証対象ユーザｖについて本人確認を行う。具体的には、事後確率の最大値が予め決められた閾値Ａより大きい場合において、最大値を示す事後確率が登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと認証対象ユーザｖが同一人物である（認証成功）と判定し、認証成功を表す判定結果情報を出力する。一方、最大値を示す事後確率が非登録ユーザｕ0の事後確率であれば、認証対象ユーザｖが登録ユーザｕn以外のユーザ（なりすましのユーザ）であると判定し、その旨を表す情報（なりすまし警告情報）を出力する。また、事後確率の最大値が閾値Ａ以下の場合（判定不能の場合）において、認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、本人確認をもう一度行う必要があることを表す判定結果情報として、認証対象ユーザｖの生体情報の再取得を要求する情報を出力する。一方、生体情報の取得回数が規定値以上であれば、認証対象ユーザｖが登録ユーザｕnのいずれかに該当するかどうかが不明である（認証失敗）と判定し、認証失敗を表す判定結果情報を出力する。
【００５７】
登録ユーザ枝刈り部１１５は、判定部１１４が認証対象ユーザｖからの生体情報の再取得を要求する場合に、事後確率算出部１１３が求めた事後確率を第２の閾値（閾値Ｂ）と比較し、該閾値Ｂより小さい事後確率に対応する登録ユーザｕn及び非登録ユーザｕ0を認証対象ユーザｖとの照合対象から除外する。所定の登録ユーザｕn及び非登録ユーザｕ0を認証対象ユーザｖとの照合対象から除外することを、登録ユーザｕn及び非登録ユーザｕ0の枝刈りという。枝刈りされた登録ユーザｕn及び非登録ユーザｕ0については、その後の認証過程において、照合スコア、尤度比、及び事後確率等の所定の値が算出されない。なお、枝刈りの対象を登録ユーザｕnに限定してもよい。
【００５８】
図２は、本実施例における認証クライアント端末１００及び認証サーバ端末１１０のハードウェア構成を示す。認証クライアント端末１００及び認証サーバ端末１１０は、図に示すように、ＣＰＵ２００、メモリ（ＲＡＭなど）２０１、ＨＤＤ２０２、入力装置（キーボード及びマウスなど）２０３、出力装置（ディスプレイ及びスピーカなど）２０４、及び通信装置（ＬＡＮアダプタや赤外線アダプタなど）２０５を備える一般的な情報処理装置を用いて構成することができる。
【００５９】
図３は、本実施例の生体認証システム１による認証処理の手順及び認証処理に伴うデータの流れを示す。
【００６０】
まず、認証サーバ端末１１０は、認証対象ユーザｖからの生体情報の入力回数Ｊを初期化（Ｊ＝０）する（ステップＳ３０１）。この処理は、例えば判定部１１４が行うものとする。
【００６１】
そして、認証サーバ端末１１０の事前確率設定部１１１は、各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を初期設定する（ステップＳ３０２）。以下、事前確率の設定方法について説明する。
【００６２】
例えば、登録ユーザｕn（ｎ＝１，…，Ｎ）の事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を、次のように同じ値に設定することができる。
Ｐ（ｖ＝ｕn）＝１／（Ｎ＋１）
Ｐ（ｖ＝ｕ0）＝１／（Ｎ＋１）
或いは、登録ユーザｕn（ｎ＝１，…，Ｎ）の事前確率Ｐ（ｖ＝ｕn）を、
Ｐ（ｖ＝ｕn）＝１／Ｎ
と設定し、非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を、
Ｐ（ｖ＝ｕ0）＝０
と設定してもよい。
【００６３】
非登録ユーザｕ0の事前確率を０に設定することは、認証対象ユーザｖが必ずＮ人の登録ユーザｕnのいずれかであると仮定することを意味し、このように設定した場合には、認証対象ユーザｖが非登録ユーザｕ0であると判定されることはない。
【００６４】
例えば、ＩＣカードの情報を読み取ってドアの開錠及び施錠を制御する入室管理装置を居室の入口ドアの外側に設け、入室する人を制限するための１：Ｎ認証に基づく入退管理システムを構築した場合において、入り口のドアを開錠しようとする人が登録ユーザｕnのみであり、他人になりすまして開錠しようとする人が殆どいないと思われれば、上記のように非登録ユーザｕ0の事前確率を０とすることで、認証対象ユーザｖが非登録ユーザｕ0と誤って判定されることはなくなる。
【００６５】
また、認証サーバ端末１１０の事前確率設定部１１１は、記憶部１１７に格納されている判定履歴情報１３０に基づき、非登録ユーザｕ0の事前確率を上げ、これに応じて非登録ユーザｕ0の事前確率と各登録ユーザｕnの事前確率の合計が１になるように、各登録ユーザｕnの事前確率を下げるようにしても良い。具体的には、ステップＳ３０２において、記憶部１１７内の判定履歴情報１３０を参照し、直近の認証処理における判定手段１１４による判定結果が「なりすまし」であれば、過去Ｄ回の認証処理において「なりすまし」と判定された回数をＤ0回とし、過去Ｄ回の最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）を用いてＤ0を求め、登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を以下のように設定することができる。
Ｐ（ｖ＝ｕn）＝（１−Ｄ0／Ｄ）／（Ｎ＋１）
Ｐ（ｖ＝ｕ0）＝（Ｎ×Ｄ0／Ｄ＋１）／（Ｎ＋１）
このように、事前確率設定部１１１が事前確率の値を更新することで、事前に登録を行なっていないにも拘らず、なりすましに成功するまで何度も認証を繰り返すという悪意のある認証対象ユーザｖがいても、「なりすまし」と判定される度に非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）が上昇し、その結果、非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）も後述のように上昇することになるため、認証に成功するのは一層困難になる。これにより、システムの安全性が一層向上するという効果も得られる。
【００６６】
なお、悪意のあるユーザによるなりすまし行為が発生する可能性が高いと考えられる適用先においては、非登録ユーザｕ0の事前確率を高めに設定することで、高い安全性を実現することができる。
【００６７】
このように、本実施例の生体認証システムでは、なりすまし行為が発生する可能性を考慮した上で、非登録ユーザｕ0の事前確率を柔軟に制御し、システムの適用先の状況に応じて利便性・安全性の両面において適切な運用を実現することができる。
【００６８】
認証クライアント端末１００の生体情報入力センサ１０１は、認証対象ユーザｖからの生体情報の入力（例えば、生体情報１入力センサ１０１に人差し指を置いて指紋を提示すること）に応じて、該認証対象ユーザｖの生体情報を取得する（ステップＳ３０３）。ここで、生体情報入力センサ１０１は生体情報の取得を１回のみ許容するようにしても良い。本実施例では、他人の生体情報と似た生体情報を持つユーザがいる場合、その似た生体情報を何度も入力することで、その他人の事後確率を徐々に高めていき、いずれその他人として認証に成功し、その結果、安全性が低下する恐れがある。これに対して、上述したように、一度入力したモダリティは二度と入力できないようにすることで、同一の生体情報を何度も入力することによるなりすましを防ぐことができる。これにより、安全性の低下を防ぐことができる。
【００６９】
認証クライアント端末１００の特徴量抽出部１０２は、生体情報入力センサ１０１が認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する（ステップＳ３０４）。
【００７０】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データを通信装置２０５を介して送信するとともに、認証対象ユーザｖに関する判定を行うことを要求する（ステップＳ３０５）。
【００７１】
認証サーバ端末１１０側では、認証クライアント端末１００から認証対象ユーザ特徴量データを受信すると、認証対象ユーザｖからの生体情報の入力回数Ｊをインクリメント（Ｊ＝Ｊ＋１）する（ステップＳ３０６）。この処理は、例えば判定部１１４が行うものとする。
【００７２】
次に、認証サーバ端末１１０の１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データと、登録ユーザデータベース１２０に保持されているＮ人の登録ユーザｕnの登録テンプレート１２２との間で１：Ｎ照合を行ない、登録ユーザｕnの各々について照合スコアｓＪnを求める（ステップＳ３０７）。照合スコアの算出方法の例としては、特徴空間での距離を求める方法を採用することができるが、他の任意の算出方法を採用することができる。なお、既に枝刈りされている登録ユーザｕnについては、照合を行わず、照合スコアの値を計算しないため、処理が高速化される。
【００７３】
そして、認証サーバ端末１１０の尤度比算出部１１８は、１：Ｎ照合部１１２が求めた照合スコアを用いて、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比（尤度比）を登録ユーザｕnごとに求める（ステップＳ３０８）。尤度比を求める際には、全登録ユーザｕnの照合スコアを求めておく必要があるが、既に枝刈りされている登録ユーザｕnについては尤度比の値を計算しないため、照合スコアも不要である。枝刈りされた登録ユーザｕnの尤度比を計算しないことにより、認証処理の高速化を図ることができる。
【００７４】
認証サーバ端末１１０の事後確率算出部１１３は、尤度比算出部１１８が求めた尤度比と事前確率設定部１１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）を求める（ステップＳ３０９）。ここで、S=[ｓjn|j=1,…,J n=1,…,N]である。このとき、今回の生体情報の取得において求めた非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）が、前回（Ｊ−１回目）の生体情報の取得における事後確率（Ｊ＝１の場合は事前確率）よりも高くなった場合、今回の取得において抽出した特徴量データを用いて求めたN個の照合スコア（ｓＪ1、ｓＪ2,…,ｓＪN）を、Ｊ＋１回目以降の取得において求める事後確率の算出では用いないようにしても良い。本実施例では、登録ユーザが認証を試みる場合において、生体情報を入力するときの姿勢（指の置き方、顔の向きなど）、照明環境などの条件が劣悪なときに、生体情報を入力する度に、その登録ユーザの事後確率が低下し、かえって正しく認証されにくくなり、その結果、かえって利便性が低下するという問題がある。姿勢、照明環境などの条件が劣悪な場合、入力された生体情報はどの登録ユーザの生体情報とも類似しないため、非登録ユーザの事後確率が高くなる。従って、上述したように、非登録ユーザの事後確率が前回よりも高くなった場合は、そのときの取得において抽出した特徴量データを用いて求めた照合スコアを以降の事後確率の算出に用いないようにすることで、生体情報を入力するときの姿勢、照明環境などの条件が劣悪なときにおける利便性の低下を防ぐことができる。以下、尤度比と登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）の算出方法について説明する。
【００７５】
各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、ベイズの定理を用いて、それぞれ以下の数式に変形できる。
【００７６】
【数２】
【００７７】
【数３】
【００７８】
ここで、本人と本人の照合スコアｓの分布（本人分布）をｆ（ｓ）とし、本人と他人の照合スコアｓの分布（他人分布）をｇ（ｓ）とする。ｆ（ｓ）及びｇ（ｓ）は、下記参考文献１に記載されているように、正規分布を仮定した最尤推定やベイズ推定やロジスティック回帰などによって求めることができる。参考文献１は、参照により本願に組み込まれる。ｆ（ｓ）及びｇ（ｓ）は登録ユーザ毎に求めても良いし、全登録ユーザ共通のものを求めても良い。
【００７９】
［参考文献１］C.M.Bishop, "Pattern Recognition and Machine Learning," Springer-Verlag; New Ed版 (2006)
これらを用いると、Ｐ（Ｓ｜ｖ＝ｕn）及びＰ（Ｓ｜ｖ＝ｕ0）は、それぞれ以下の数式で表わされる。
【００８０】
【数４】
【００８１】
【数５】
【００８２】
従って、これらを上式（数２、数３）に代入することで、各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、以下の数式（事後確率算出関数）で表わされる。
【００８３】
【数６】
【００８４】
【数７】
【００８５】
ここで、上記事後確率算出関数に含まれる以下の数式は、登録ユーザｕnに対する照合スコアｓ1n，…，ｓJnが得られた場合における尤度比（ｖ＝ｕnであるという尤度とｖ≠ｕnであるという尤度の比）を求めるための数式（尤度比関数）である。
【００８６】
【数８】
【００８７】
尤度比算出部１１８は、ステップＳ３０８において、上記尤度比関数を用いて尤度比を算出する。
【００８８】
そして、事後確率算出部１１３は、上記事後確率算出関数によって尤度比算出部１１８が求めた尤度比の値を用いて各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。なお、枝刈りされた登録ユーザｕn及び非登録ユーザｕnについては、事後確率を算出しないことにより、認証処理の高速化を図ることができる。また、事後確率を求める際には、全登録ユーザｕnに関する照合スコア及び尤度比を求めておく必要があるが、既に枝刈りされている登録ユーザｕnの照合スコアについては前述のとおり算出せず、既に枝刈りされている登録ユーザｕnの尤度比については０としてもよいし、枝刈りされる直前の尤度比算出処理（ステップＳ３０８）で求めた尤度比の値を重複して用いてもよい。枝刈りされた登録ユーザｕn（及び非登録ユーザｕnを枝刈りの対象としている場合は枝刈りされた非登録ユーザｕn）の照合スコア、尤度比、事後確率を算出しないことにより、認証処理の高速化を図ることができる。
【００８９】
また、下記参考文献には、L（≧２）個の仮説のうちのどれが成立するかを判定する検定において、観測データがi.i.d.（独立に同じ分布に従う）であり、かつ判定誤り率が十分に小さいという仮定の下、各仮説に対する尤度比を各仮説が成立するという確率値に正規化し、閾値Ａとの大小の比較により判定を行なうことにより、判定終了までに必要な平均観測回数が最小化されることが示されている。参考文献２は、参照により本願に組み込まれる。
【００９０】
［参考文献２］Vladimir P. Dragalin, et al., "Multihypothesis Sequential Probability Ratio Tests, PART I: Asymptotic Optimality," IEEE Trans. Information Theory, Volume 45, Issue 7, pp.2448-2461 (1999)］。
【００９１】
本実施例では、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕn及び非登録ユーザｕ0の事後確率に正規化し、事後確率と閾値Ａとを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が最小化されることになる。
【００９２】
認証サーバ端末１１０の判定部１１４は、図４（生体情報入力１回目の図）に示すように、ステップＳ３０９で事後確率算出部１１３が求めた事後確率の各々を閾値Ａと比較し、前述の基準（図1における判定部１１４の説明内容）に従って認証対象ユーザｖについて本人の判定を行う（ステップＳ３１０）。
【００９３】
本実施例では、判定処理に用いる閾値Ａを０．５より大きい値に設定するものとする。このように閾値Ａを設定することで、閾値Ａを超える事後確率が必ず１つ以下となるようにすることができる。閾値Ａを超える事後確率が最大で１つになることにより、事後確率の最大値と２番目に大きい値との間に必ず差が生じ、誤識別の発生を低減する（安全性を高める）ことができる。この効果は、閾値Ａの値をさらに大きくすることで増大する。
【００９４】
なお、本実施例の生体認証システム１では、前述のように、照合スコアの本人分布と他人分布を用いて尤度比、及び事後確率を求める。照合スコアの本人分布ｆ（ｓ）と他人分布ｇ（ｓ）は、１名の登録ユーザｕnではなく、全登録ユーザｕnの照合スコアを用いて推定するため、あらかじめ収集した各登録ユーザｕnの照合スコアのデータが少量であっても信頼性高く推定することができる。従って、尤度比及び事後確率を信頼性高く推定することができ、ＥＦＡＲ、ＥＦＲＲ、ＮＦＡＲを低減することができる。その結果、システムの安全性が向上し、利便性も一層向上するという効果が得られる。
【００９５】
次に、認証サーバ端末１１０の判定部１１４は、ステップＳ３１０の判定結果に応じて以下のように処理を分岐する（ステップＳ３１１）。
【００９６】
具体的には、ステップＳ３１０において、認証対象ユーザｖが登録ユーザｕnのいずれかと同一人物である（認証成功）と判定された場合には、認証成功を表す判定結果情報を、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１２）。また、生体認証システム１がカードレスクレジット決済システムに適用されている場合には決済処理などが行われ、勤怠管理システムに適用される場合にはドアの開錠処理及び出勤時刻の自動入力処理などが行われる。
【００９７】
ステップＳ３１０において、認証対象ユーザｖが非登録ユーザｕ0（なりすましのユーザ）であると判定された場合には、なりすまし警告情報を、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１３）。
【００９８】
ステップＳ３１０において、判定不能の場合には、認証対象ユーザｖからの生体情報の取得回数Ｊが規定値未満（Ｊ＜Ｊmax）であるかどうかを判定する（ステップＳ３１４）。
【００９９】
上記ステップＳ３１４の判定の結果が“Ｙｅｓ”、即ち生体情報の取得回数Ｊが未だ規定値に達していなければ、登録ユーザ枝刈り部１１５は、ステップＳ３０９で事後確率算出部１１３が求めた事後確率を閾値Ｂと比較し、該閾値Ｂより小さい事後確率に対応する登録ユーザｕn及び非登録ユーザｕ0の枝刈りを行う（ステップＳ３１５）。
【０１００】
例えば、上記ステップＳ３１５で枝刈りされた登録ユーザｕnのＩＤがメモリ上に保持されるように認証サーバ端末１１０を構成しておくことにより、認証サーバ端末１１０内の各処理部は枝刈りされた登録ユーザｕnを認識することができる。登録ユーザｕnの枝刈りを行うと、例えば図４において、生体情報入力１回目では全ての登録ユーザｕn及び非対象ユーザｕ0が照合対象となっているところ、生体情報入力２回目ではｎ＝１，ｎ＝Ｎの登録ユーザｕn、及び非登録ユーザｕ0だけが照合対象となる。
【０１０１】
本実施例の生体認証システム１によれば、正規化されている各登録ユーザｕnの事後確率の値及び非登録ユーザｕ0の事後確率の値と、閾値Ｂとの大小を基準として枝刈りを行なうことにより、参考文献２に示されているように、各登録ユーザｕn及び非登録ユーザｕ0の枝刈りに必要な生体情報の入力回数Ｊの期待値を最小化することができる。このことは、入力回数Ｊがある値のときに枝刈りされる登録ユーザｕn及び非登録ユーザｕ0の数の期待値を最大化することと同義である。従って、１：Ｎ照合にかかる時間を短く抑えることができるため、利便性が一層向上するという効果が得られる。
【０１０２】
枝刈り処理（ステップＳ３１５）の後、認証サーバ端末１１０（具体的には、例えば判定部１１４）は、本人確認をもう一度行う必要があることを表す判定結果情報として、認証対象ユーザｖの生体情報の再取得を要求する情報を出力し、通信装置２０５（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１６）。
【０１０３】
その後、認証サーバ１１０は、認証クライアント端末１００から次の判定の要求があるまで、すなわち認証対象ユーザ特徴量データが送信されるまで待機し（ステップＳ３１７）、認証クライアント端末１００から認証対象ユーザ特徴量データを受信するとステップＳ３０６以降の処理を実行する。
【０１０４】
一方、ステップＳ３１４の判定の結果が“Ｎｏ”、即ち生体情報の取得回数Ｊが規定値に達していれば、認証失敗を表す判定結果情報を出力し、通信装置（図２）を介して認証クライアント端末１００へ送信する（ステップＳ３１８）。
【０１０５】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０から送信された判定結果情報に応じて、例えば次のような処理を行う（ステップＳ３１９）。
【０１０６】
認証成功を表す判定結果情報を受信した場合、認証要求部１０４は、出力部１００を介して「認証に成功しました。」といった内容のメッセージを認証対象ユーザｖに対して提示（表示や発音など）する。
【０１０７】
なりすまし警告情報を受信した場合、認証要求部１０４は、生体情報入力センサ１０１の動作を停止して認証を拒んだり、出力装置２０４を介して警報を鳴らすなどの方法により、なりすましのユーザに対する罰則を設ける。
【０１０８】
生体情報の再取得を要求する判定結果情報を受信した場合、認証要求部１０４は、出力装置２０４を介して、「センサに人差し指の指紋をかざしてください。」などのように、認証対象ユーザｖに対して生体情報の入力を促すメッセージを提示（表示や発音など）する。
【０１０９】
認証失敗を表す判定結果情報を受信した場合、認証要求部１０４は、出力装置２０４を介して、「認証に失敗しました。もう一度はじめから認証をやり直してください。」などのように、認証対象ユーザｖに対して本人確認の再試行を促すメッセージを提示（表示や発音など）する。
【０１１０】
認証サーバ端末１１０では、判定部１１４は、最終判定結果（「認証成功」、「なりすまし」、又は「認証失敗」）が得られた場合、その最終判定結果を、記憶部１１７に格納されている判定履歴情報１３０に記録する（ステップＳ３２０）。
【０１１１】
本実施例の生体認証システム１では、登録ユーザｕnの事前確率だけでなく、非登録ユーザｕ0の事前確率を予め設定しておき、事前確率と尤度比を用いて、登録ユーザｕnの事後確率だけでなく、非登録ユーザｕ0の事後確率も算出し、認証対象ユーザｖが非登録ユーザｕ0であると判定したときは「なりすまし」、認証対象ユーザｖが誰なのかを判断できない（登録ユーザｕnとも非登録ユーザｕ0とも判断できない）ときは「認証失敗」とする。この２つを明確に区別することで、事前に登録を行なっていない認証対象ユーザｖがなりすましを試みていると判定したときにのみ、ステップＳ３１９の処理のような罰則を設けることが出来る。これによって、悪意のあるなりすましのユーザを効果的に排除することができ、システムの安全性を向上させることができる。
【実施例２】
【０１１２】
本実施例では、同一モダリティに属する複数の異なる生体情報を用いて認証を行う。以下、本実施例を、実施例１と異なる点を中心に説明する。
【０１１３】
図３のステップＳ３０７において、認証サーバ端末１１０の１：Ｎ照合部１１２は、認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データと、登録ユーザデータベース１２０に保持されているＮ人の登録ユーザｕnのＭ個の登録テンプレート１２２との間で１：Ｎ照合を行ない、登録ユーザｕnのｍ番目の登録テンプレートの各々について照合スコアｓjnmを求める。以下、照合スコアの算出方法として特徴空間での距離を用いる。この場合、照合スコアは小さいほど良い、即ち照合スコアが小さいほど二つの生体情報は同一のものらしいということになる。このとき、今回（Ｊ回目）までの入力において、最も小さい照合スコアが同一ユーザの同一の生体情報に対して複数回得られた場合、認証失敗とする。たとえば、複数回を２回として、ある回の最も小さい照合スコアを示す生体情報が、他の回の最も小さい照合スコアを示す生体情報と同じである場合に、認証失敗とする。
【０１１４】
他人の生体情報と似た生体情報を持つユーザがいた場合、その生体情報を何度も入力することで、その他人の事後確率を徐々に高めていき、いずれその他人として認証に成功し、その結果、安全性が低下する恐れがある。本実施例においては、モダリティは一つであるので、一度入力したモダリティは二度と入力できないように対策することができない。これに対して、上述したように、最も小さい照合スコアが同一の生体情報に対して複数回得られた場合、認証失敗とすることで、同一の生体情報を何度も入力することによるなりすましを防ぐことができる。これにより、安全性の低下を防ぐことができる。
【０１１５】
しかしながら、上述の場合、認証対象ユーザが同一の生体情報を複数回入力すると必ず認証失敗となってしまうため、その結果、利便性が低下してしまう問題がある。そこで、今回（Ｊ回目）までの入力において、最も小さい照合スコアが同一の生体情報に対して複数回（Ｋ回とする）得られた場合、その中で最小の照合スコアを実現した入力以外で得た照合スコア（（Ｋ−１）×Ｎ×Ｍ個）はステップＳ３０８における尤度比算出時に用いないようにする。このようにすることで、同一の生体情報を何度も入力して事後確率を徐々に高めていくことによるなりすましを防ぐと同時に、認証対象ユーザが同一の生体情報を複数回入力すると必ず認証失敗となってしまう問題を防ぐことができる。これにより、安全性の低下、及び利便性の低下を防ぐことができる。
【０１１６】
ステップＳ３０８及びステップＳ３０９では、それぞれ以下のようにして尤度比と登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）を算出する。ここで、Ｓ=[ｓjnm|j=1,…,J n=1,…,N m=1,…,M]である。
【０１１７】
各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ
＝ｕ0｜Ｓ）は、ベイズの定理を用いて、それぞれ以下の数式に変形できる。
【０１１８】
【数９】
【０１１９】
【数１０】
【０１２０】
ここで、認証対象ユーザがｍ番目（ｍ＝１，２，・・・Ｍ）の生体情報を入力する確率はそれぞれ等しく１／Ｍであるとすると、Ｐ（Ｓ｜ｖ＝ｕn）及びＰ（Ｓ｜ｖ＝ｕ0）は、それぞれ以下の数式で表わされる。
【０１２１】
【数１１】
【０１２２】
【数１２】
【０１２３】
従って、これらを上式（数９、数１０）に代入することで、各登録ユーザｕnの事後確率Ｐ（ｖ＝ｕn｜Ｓ）及び非登録ユーザｕ0の事後確率Ｐ（ｖ＝ｕ0｜Ｓ）は、以下の数式（事後確率算出関数）で表わされる。
【０１２４】
【数１３】
【０１２５】
【数１４】
【０１２６】
ここで、上記事後確率算出関数に含まれる以下の数式は、登録ユーザｕnのm番目の生体情報に対する照合スコアｓ1nm，…，ｓJnmが得られた場合における尤度比（ｖ＝ｕnであるという尤度とｖ≠ｕnであるという尤度の比）を求めるための数式（尤度比関数）である。
【０１２７】
【数１５】
【０１２８】
尤度比算出部１１８は、ステップＳ３０８において、上記尤度比関数を用いて尤度比を算出する。そして、事後確率算出部１１３は、上記事後確率算出関数によって尤度比算出部１１８が求めた尤度比の値を用いて各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める。
【実施例３】
【０１２９】
本実施例の生体認証システム２は、カードレスクレジット決済システムである。以下、本実施例を、実施例１と異なる点を中心に説明する。
【０１３０】
図７に、生体認証システム２の構成例を示す。
【０１３１】
損失算出部１０２ａは、認証対象ユーザｖが購入した品物の金額Ｑに基づき、ｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、ｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する。
【０１３２】
事前確率初期設定部１１１ａは、登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を初期設定する。
【０１３３】
事前確率・閾値設定部１１１ｂは、損失W1、損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnが、それぞれ要求値EFRR’、Rｎ’以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する。本実施例では、閾値は各登録ユーザ及び非登録ユーザ毎に設定する。
【０１３４】
図８は、本実施例の生体認証システム２による認証処理の手順及び認証処理に伴うデータの流れを示す。
【０１３５】
ステップＳ３０２では、認証サーバ端末１１０の事前確率初期設定部１１１ａは、各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）、及び非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）を初期設定する。この事前確率Ｐ（ｖ＝ｕn）、Ｐ（ｖ＝ｕ0）の初期値をそれぞれπｎ、π0とする。
【０１３６】
ステップＳ３０２ａでは、認証クライアント端末１００の損失算出部１０２ａは、認証対象ユーザｖが購入した品物の金額Ｑに基づき、ｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、ｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する。金額Ｑについては、例えば店員がキーボードを介して入力する。損失W1及びW0については、例えばこれらが金額Ｑに比例するものとし、下の数式を用いてW1及びW0を算出する。α、βは定数である。
【０１３７】
【数１６】
【０１３８】
【数１７】
【０１３９】
ステップＳ３０５では、認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データ、損失算出部１０２ａが算出した損失W1及びW0を、通信装置２０５を介して送信するとともに、認証対象ユーザｖに関する判定を行うことを要求する。
【０１４０】
ステップＳ３０６ａでは、認証サーバ端末１１０の事前確率・閾値設定部１１１ｂは、認証クライアント端末１００から受信した損失W1、損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnが、それぞれ要求値EFRR’、Rｎ’以下となるように、N人の登録ユーザの各登録ユーザｕnの事前確率Ｐ（ｖ＝ｕn）及び閾値An、非登録ユーザｕ0の事前確率Ｐ（ｖ＝ｕ0）及び閾値A0を設定する。事前確率及び閾値の設定は、以下の数式を用いて行なう。
【０１４１】
【数１８】
【０１４２】
【数１９】
【０１４３】
【数２０】
【０１４４】
【数２１】
【０１４５】
但し、an及びa0は、以下の数式で表される変数である。
【０１４６】
【数２２】
【０１４７】
【数２３】
【０１４８】
上記のように事前確率及び閾値を設定すれば、EFRR及びRnが、要求値EFRR’、Rｎ’以下となる。その証明方法を簡単に説明する。
【０１４９】
参考文献２によれば、ｉ番目の登録ユーザであると判定したときの損失の期待値Riは、ｖ＝ｕjのときにｖ＝ｕiと判定してしまう確率αji、そのときの損失W(j,i)を用いて、以下のように表すことができる。
【０１５０】
【数２４】
【０１５１】
ここで、確率αji、損失W(j,i)として以下の式を用いることで、参考文献２を参照しつつ、EFRR及びRnが、要求値EFRR’、Rｎ’以下となることを導くことができる。
【０１５２】
【数２５】
【０１５３】
【数２６】
【０１５４】
上述のように、認証が行なわれる度に、損失W1及びW0を算出し、それを基に事前確率及び閾値を設定することで、EFRRは常に要求値EFRR’以下に、及びn番目の登録ユーザであると判定したときの損失の期待値Rnは常に要求値Rｎ’以下に抑えることができる。その結果、常に要求通りの利便性および安全性を実現することができる。
【０１５５】
以上、本発明の実施例について説明したが、以下のような変形例を採用することも可能である。
［変形例］
上記実施例では、判定処理に用いる閾値Ａを０．５より大きい値に設定しているが、０．５以下の値に設定してもよい。閾値Ａを０．５以下に設定する場合において、閾値Ａを超える事後確率が複数存在していれば、判定部１１４は、それらの事後確率のうち最大値を示す事後確率に基づいて判定を行えばよい。
【０１５６】
また、上記実施例の生体認証システムは、認証クライアント端末１００と認証サーバ端末１１０とをネットワーク１４０で接続して構成されているが、生体認証システムは、それぞれの端末１００，１１０の構成を一纏めにして成る一つの装置であってもよい。この場合、上記実施例の認証クライアント端末１００に備えられた認証要求手段１０４は省略することができる。さらに、認証クライアント端末１００及び認証サーバ端末１１０は、図１や図７に示す構成に限定されず、例えば、ＣＰＵがプログラムを実行することで実現される処理部１０２，１１１〜１１５，１１８については、認証クライアント端末１００と認証サーバ端末１１０のどちらに備えられていてもよい。さらにまた、上記処理部は、全部又は幾つかを一纏めに構成してもよいし、さらに細分化されてもよい。
【０１５７】
上記実施例では、尤度比算出部１１８は、１：Ｎ照合部１１２が図３のステップＳ３０７で求めた照合スコアを用いて登録ユーザｕnごとに尤度比を算出している（ステップＳ３０８）が、登録ユーザデータベース１２０に保持されている生体情報登録テンプレート１２２及び認証クライアント端末１００の特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データに基づき、登録ユーザｕnごとに尤度比を求めるように構成してもよい。具体的には、各登録ユーザｕnの尤度ｌnは、認証対象ユーザ特徴量データｘＪ（Ｊ＝１，２，…）が得られる度に、登録ユーザｕn（ｎ＝１，…，Ｎ）の特徴量の分布ｐn（ｘＪ）及び全登録ユーザの特徴量の分布ｐ0（ｘＪ）を用いて、以下の数式により算出される。
【０１５８】
【数２７】
【０１５９】
そして、各登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求める場合は、上記求めた尤度比を、前述の実施例で説明した事後確率算出関数で用いた尤度比と置き換えればよい。
【０１６０】
上記実施例では、認証サーバ端末１１０が認証対象ユーザｖに関する判定を行っているが、この判定を認証クライアント端末１００で行うように構成することができる。例えば、図６に示すように、認証クライアント端末１００に判定部１０６を備え、認証サーバ端末１１０には判定部１１４（図１）に替えて送信情報決定部１１６を備える。認証クライアント端末１００及び認証サーバ端末１１０のその他の構成、生体情報入力センサ１０１の構成、及びネットワーク１４０の構成は、上記実施例における各々の構成と基本的には同じであるため、同じ符号が付されている。以下、この構成における認証処理の手順を説明する。
【０１６１】
まず、認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０に対し、特徴量抽出部１０２が抽出した認証対象ユーザ特徴量データを送信するとともに、該認証対象ユーザ特徴量データ及び登録ユーザデータベース１２０に保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を登録ユーザｕnごとに求め、求めた尤度比と認証サーバ端末１１０の事前確率設定部１１１が設定した登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率とを用いて、登録ユーザｕnの事後確率及び非登録ユーザｕ0の事後確率を求め、求めた事後確率の各々を閾値Aと比較し、事後確率の最大値が閾値Aより大きい場合において、最大値を示す事後確率に対応する登録ユーザｕn又は非登録ユーザｕ0の情報を送信することを要求する。
【０１６２】
認証サーバ端末１１０では、認証クライアント端末１００からの要求に応じて、事前確率設定部１１１、１：Ｎ照合部１１２、尤度比算出部１１８、及び事後確率算出手段１１３が上記実施例と同様の処理を行って事後確率を求める。そして、送信情報決定部１１６は、事後確率算出部１１３が求めた事後確率の各々を閾値Aと比較し、事後確率の最大値が閾値Aより大きい場合において、最大値を示す事後確率に対応する登録ユーザｕn又は非登録ユーザｕ0の情報を決定し、該情報を認証クライアント端末１００へ送信する。
【０１６３】
認証クライアント端末１００の認証要求部１０４は、認証サーバ端末１１０が送信した情報を受信すると、認証対象ユーザｖに関する判定を行うことを判定部１０６に依頼する。
【０１６４】
認証クライアント端末１００の判定部１０６は、認証要求部１０４が取得した情報が登録ユーザｕnの情報であれば、該登録ユーザｕnと認証対象ユーザｖが同一人物であると判定し、認証要求部１０４が取得した情報が非登録ユーザｕ0の情報であれば、認証対象ユーザｖが登録ユーザｕn以外のユーザであると判定する。
【０１６５】
そして、認証要求部１０４は、判定部１０６による判定の結果に基づいて上記実施例と同様の処理（図３のステップＳ３１９）を行うのがよい。
【０１６６】
さらに別の実施例として、認証サーバ１１０内の判定部１１４又は認証クライアント端末１００内の判定部１０６は、事後確率を利用せず、図３のステップＳ３０８で尤度比算出部１１８が登録ユーザｕnごとに求めた尤度比（ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比）を、所定の閾値Ｃと比較することにより認証を行うように構成されてもよい。具体的には、尤度比の最大値が閾値Ｃより大きい場合は、最大値を示す尤度比に対応する登録ユーザと認証対象ユーザｖが同一人物である（認証成功）と判定し、尤度比の最大値が閾値Ｃ以下の場合は、認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、認証対象ユーザｖの生体情報の再取得を要求し、認証対象ユーザｖからの生体情報の取得回数が規定値以上であれば「認証失敗」と判定することができる。
【０１６７】
上記のケースでは、事前確率及び事後確率という概念を用いないため、図３のフローチャートにおけるステップＳ３０２及びＳ３０９は実行されない。また、非登録ユーザＵ0という概念も用いないため、ステップＳ３１３も実行されない。
【０１６８】
上記のケースにおいて枝刈り処理を行うには、登録ユーザ枝刈り部１１５は、例えば、判定部１１４，１０６が生体情報の再取得を要求する場合に、尤度比算出部１１８が求めた尤度比を所定の閾値Ｄと比較し、閾値Ｄより小さい尤度比に対応する登録ユーザｕnを認証対象ユーザｖとの照合対象から除外すればよい。なお、枝刈りのタイミングは、図３のステップＳ３１４からステップＳ３１５（判定部１１４，１０６が生体情報の再取得を要求する時）の間と、ステップＳ３１５の後のどちらでもよい。
【０１６９】
上記のように、各登録ユーザｕnの照合スコアに基づいて各登録ユーザｕnの尤度比を求め、該尤度比と閾値Ｃとを比較して判定を行うことによっても、認証に必要な生体情報の入力回数の期待値が最小化される。また、特徴量の分布を用いて尤度比を求める従来の手法では、一般に特徴量の次元数が大きく（例えば、虹彩の場合は２０４８〜４０９６次元）、特徴量の分布を推定するためには非常に大規模な学習サンプルが必要になるため、実用化が困難であるという問題がある。それに対して、照合スコアを用いて尤度比を求める場合、照合スコアの次元数は常に１であるため、照合スコアの本人分布及び他人分布を必ず推定することができる。
【０１７０】
以上説明した本実施形態によれば、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を各登録ユーザｕnについて求め、その尤度比を登録ユーザｕnの事後確率と非登録ユーザｕ0の事後確率とに正規化し、事後確率と閾値とを比較して判定を行うため、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【０１７１】
また、各登録ユーザｕnの照合スコアを求め、その照合スコアを用いて各登録ユーザｕnの尤度比を求め、尤度比と閾値とを比較して判定を行う方法でも、認証に必要な生体情報の入力回数の期待値が格段に低減（理論的には最小化）される。
【０１７２】
さらに、登録ユーザｕnの事前確率と非登録ユーザｕ0の事前確率を設定しておき、登録ユーザｕnだけでなく非登録ユーザｕ0についても事後確率を算出することにより、認証対象ユーザｖが非登録ユーザｕ0と同一人物であるケース（なりすまし）と、認証対象ユーザが誰なのかを判断できないケース（認証失敗）とを明確に区別することができる。なりすましのユーザを明確に把握できれば、そのような悪意のあるユーザによるなりすましを効率的に排除するための対策（例えば、警告メッセージを提示する措置や、センサの動作を停止する措置など）を講ずることができる。
【産業上の利用可能性】
【０１７３】
本発明は、１：Ｎ認証に基づいて本人確認を行なう任意の生体認証システムに対して適用可能である。例えば、勤怠管理システム、クレジットカード決済を行うための個人認証システム、入退室管理システムへの適用が可能である。
【図面の簡単な説明】
【０１７４】
【図１】生体認証システムの構成例を示す図である。
【図２】認証クライアント端末及び認証サーバ端末のハードウェア構成を示す図である。
【図３】生体認証システムによる認証処理の手順を示す図である。
【図４】生体認証システムに採用されている認証アルゴリズムの概念を示す図である。
【図５】１：Ｎ認証における認証誤り率の概念を示す図である。
【図６】他の生体認証システムの構成を示す図である。
【図７】さらに他の生体認証システムの構成を示す図である。
【図８】さらに他の生体認証システムによる認証処理の手順を示す図である。
【符号の説明】
【０１７５】
１：生体認証システム、１００：認証クライアント端末、１０１：生体情報入力センサ、１０２：特徴量抽出部、１０２ａ：損失算出部、１０４：認証要求部、１１０：認証サーバ端末、１１１：事前確率設定部、１１１ａ：事前確率初期設定部、１１１ｂ：事前確率・閾値設定部、１１２：１：Ｎ照合部、１１３：事後確率算出部、１１４：判定部、１１５：登録ユーザ枝刈り部、１１７：記憶部、１１８：尤度比算出部、１２０：登録ユーザデータベース、１２１：ユーザＩＤ、１２２：生体情報登録テンプレート、１３０：判定履歴情報、１４０：ネットワーク、２００：ＣＰＵ、２０１：メモリ、２０２：ＨＤＤ、２０３：入力装置、２０４：出力装置、２０５：通信装置。
【特許請求の範囲】
【請求項１】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、
前記データベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、
前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求める事後確率算出部と、
前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、
を備えることを特徴とする生体認証システム。
【請求項２】
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部をさらに備え、
前記尤度比算出部は、前記求めた照合スコアを用いて前記尤度比を求める、請求項１に記載の生体認証システム。
【請求項３】
前記判定部は、前記事後確率の最大値が前記第１の閾値以下の場合において、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する、請求項１又は２に記載の生体認証システム。
【請求項４】
前記判定部が前記生体情報の再取得を要求する場合に、前記事後確率算出部が求めた事後確率を第２の閾値と比較し、該第２の閾値より小さい事後確率に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備える、請求項３に記載の生体認証システム。
【請求項５】
前記事後確率算出部は、今回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率を、前記取得の回数が１回であれば前記非登録ユーザｕ0の事前確率と、２回以上であれば前回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率と比較し、前記今回の取得において求めた前記非登録ユーザｕ0の事後確率の方が高い場合は、次回以降の前記生体情報の取得における事後確率算出において、前記今回の取得において抽出した前記特徴量データを使用しない、請求項３又は４に記載の生体認証システム。
【請求項６】
前記データベースは、前記登録ユーザｕnの各々について、複数のモダリティに属する複数の異なる照合用特徴量データを保持し、
前記生体情報の取得を１回のみ許容する生体情報入力センサをさらに備えた、請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項７】
前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、
前記１：Ｎ照合部は、今回までの前記生体情報の取得において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合に認証失敗とする、請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項８】
前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、
前記１：Ｎ照合部は、今回までの前記生体情報の取得において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合、その中で最良の照合スコアを実現した取得以外で得た照合スコアは前記尤度比算出部による尤度比算出時に用いないようにする請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項９】
前記事前確率設定部は、前記判定部が、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、前記非登録ユーザｕ0の事前確率を上げる、請求項１乃至８のいずれか１項に記載の生体認証システム。
【請求項１０】
前記第１の閾値は０．５より大きい値である、請求項１乃至９のいずれか１項に記載の生体認証システム。
【請求項１１】
前記判定部は、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、なりすまし警告情報を出力する、請求項１乃至１０のいずれか１項に記載の生体認証システム。
【請求項１２】
認証が行なわれる度に、前記認証対象ユーザｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、及び前記認証対象ユーザｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する損失算出部をさらに備え、
前記損失W1及び前記損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnがそれぞれ要求値以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する事前確率・閾値設定部をさらに備えた、請求項１乃至１１のいずれか１項に記載の生体認証システム。
【請求項１３】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部と、
前記求めた照合スコアを用いてｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、
前記求めた尤度比の各々を第１の閾値と比較し、前記尤度比の最大値が前記第１の閾値より大きい場合は、前記最大値を示す尤度比に対応する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記尤度比の最大値が前記第１の閾値以下の場合は、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する判定部と、
を備えることを特徴とする生体認証システム。
【請求項１４】
前記判定部が前記生体情報の再取得を要求する場合に、前記尤度比算出部が求めた尤度比を第２の閾値と比較し、該第２の閾値より小さい尤度比に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備える、請求項１３に記載の生体認証システム。
【請求項１５】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースと、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部とを備えた認証サーバ端末に対し、通信可能に構成された認証クライアント端末であって、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記認証サーバ端末に対し、前記抽出した認証対象ユーザ特徴量データを送信し、該認証対象ユーザ特徴量データ及び前記データベースに保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を前記登録ユーザｕnごとに求め、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求め、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率に対応する前記登録ユーザｕn又は前記非登録ユーザｕ0の情報を送信することを要求し、該要求に応じて前記認証サーバ端末が送信した情報を取得する認証要求部と、
前記取得した情報が前記登録ユーザｕnの情報であれば、該登録ユーザｕnと前記認証対象ユーザｖが同一人物であると判定し、前記取得した情報が前記非登録ユーザｕ0の情報であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、
を備えることを特徴とする認証クライアント端末。
【請求項１６】
前記認証要求部は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求め、前記照合スコアを用いて前記尤度比を求めることを要求することを特徴とする請求項１５に記載の認証クライアント端末。
【請求項１７】
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出するステップと、
登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部
と、
前記登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求めるステップと、
前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求めるステップと、
前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定するステップと、
を含むことを特徴とする生体認証方法。
【請求項１８】
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求めるステップをさらに含み、
前記尤度比を求めるステップでは、前記求めた照合スコアを用いて前記尤度比を求めることを特徴とする請求項１７に記載の生体認証方法。
【請求項１】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部と、
前記データベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、
前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求める事後確率算出部と、
前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、
を備えることを特徴とする生体認証システム。
【請求項２】
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部をさらに備え、
前記尤度比算出部は、前記求めた照合スコアを用いて前記尤度比を求める、請求項１に記載の生体認証システム。
【請求項３】
前記判定部は、前記事後確率の最大値が前記第１の閾値以下の場合において、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する、請求項１又は２に記載の生体認証システム。
【請求項４】
前記判定部が前記生体情報の再取得を要求する場合に、前記事後確率算出部が求めた事後確率を第２の閾値と比較し、該第２の閾値より小さい事後確率に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備える、請求項３に記載の生体認証システム。
【請求項５】
前記事後確率算出部は、今回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率を、前記取得の回数が１回であれば前記非登録ユーザｕ0の事前確率と、２回以上であれば前回の前記生体情報の取得において求めた前記非登録ユーザｕ0の事後確率と比較し、前記今回の取得において求めた前記非登録ユーザｕ0の事後確率の方が高い場合は、次回以降の前記生体情報の取得における事後確率算出において、前記今回の取得において抽出した前記特徴量データを使用しない、請求項３又は４に記載の生体認証システム。
【請求項６】
前記データベースは、前記登録ユーザｕnの各々について、複数のモダリティに属する複数の異なる照合用特徴量データを保持し、
前記生体情報の取得を１回のみ許容する生体情報入力センサをさらに備えた、請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項７】
前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、
前記１：Ｎ照合部は、今回までの前記生体情報の取得において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合に認証失敗とする、請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項８】
前記データベースは、前記登録ユーザｕnの各々について、同一モダリティに属する複数の異なる照合用特徴量データを保持し、
前記１：Ｎ照合部は、今回までの前記生体情報の取得において、最も良い照合スコアが同一の生体情報に対して複数回得られた場合、その中で最良の照合スコアを実現した取得以外で得た照合スコアは前記尤度比算出部による尤度比算出時に用いないようにする請求項３乃至５のいずれか１項に記載の生体認証システム。
【請求項９】
前記事前確率設定部は、前記判定部が、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、前記非登録ユーザｕ0の事前確率を上げる、請求項１乃至８のいずれか１項に記載の生体認証システム。
【請求項１０】
前記第１の閾値は０．５より大きい値である、請求項１乃至９のいずれか１項に記載の生体認証システム。
【請求項１１】
前記判定部は、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定した場合に、なりすまし警告情報を出力する、請求項１乃至１０のいずれか１項に記載の生体認証システム。
【請求項１２】
認証が行なわれる度に、前記認証対象ユーザｖが登録ユーザであるときに、他の登録ユーザとして判定される場合の損失W1、及び前記認証対象ユーザｖが非登録ユーザであるときに、ある登録ユーザと判定される場合の損失W0を算出する損失算出部をさらに備え、
前記損失W1及び前記損失W0を用いて、EFRR及びn番目の登録ユーザであると判定したときの損失の期待値Rnがそれぞれ要求値以下となるように、各登録ユーザｕnの事前確率及び閾値、非登録ユーザｕ0の事前確率及び閾値を設定する事前確率・閾値設定部をさらに備えた、請求項１乃至１１のいずれか１項に記載の生体認証システム。
【請求項１３】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに、該登録ユーザｕnの照合用特徴量データを保持するデータベースと、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求める１：Ｎ照合部と、
前記求めた照合スコアを用いてｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求める尤度比算出部と、
前記求めた尤度比の各々を第１の閾値と比較し、前記尤度比の最大値が前記第１の閾値より大きい場合は、前記最大値を示す尤度比に対応する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記尤度比の最大値が前記第１の閾値以下の場合は、前記認証対象ユーザｖからの生体情報の取得回数が規定値未満であれば、前記認証対象ユーザｖの生体情報の再取得を要求し、前記取得回数が規定値以上であれば「認証失敗」と判定する判定部と、
を備えることを特徴とする生体認証システム。
【請求項１４】
前記判定部が前記生体情報の再取得を要求する場合に、前記尤度比算出部が求めた尤度比を第２の閾値と比較し、該第２の閾値より小さい尤度比に対応する登録ユーザｕnを前記認証対象ユーザｖとの照合対象から除外する登録ユーザ枝刈り部をさらに備える、請求項１３に記載の生体認証システム。
【請求項１５】
登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースと、前記登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部とを備えた認証サーバ端末に対し、通信可能に構成された認証クライアント端末であって、
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出する特徴量抽出部と、
前記認証サーバ端末に対し、前記抽出した認証対象ユーザ特徴量データを送信し、該認証対象ユーザ特徴量データ及び前記データベースに保持されている照合用特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を前記登録ユーザｕnごとに求め、前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求め、前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率に対応する前記登録ユーザｕn又は前記非登録ユーザｕ0の情報を送信することを要求し、該要求に応じて前記認証サーバ端末が送信した情報を取得する認証要求部と、
前記取得した情報が前記登録ユーザｕnの情報であれば、該登録ユーザｕnと前記認証対象ユーザｖが同一人物であると判定し、前記取得した情報が前記非登録ユーザｕ0の情報であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定する判定部と、
を備えることを特徴とする認証クライアント端末。
【請求項１６】
前記認証要求部は、前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求め、前記照合スコアを用いて前記尤度比を求めることを要求することを特徴とする請求項１５に記載の認証クライアント端末。
【請求項１７】
認証対象ユーザｖから取得した生体情報に基づき、該認証対象ユーザｖの特徴量データを抽出するステップと、
登録ユーザｕnの事前確率及び非登録ユーザｕ0の事前確率を設定する事前確率設定部
と、
前記登録ユーザｕn（ｎ＝１，…，Ｎ）ごとに該登録ユーザｕnの照合用特徴量データを保持するデータベースに保持されている照合用特徴量データ及び前記抽出した認証対象ユーザ特徴量データに基づき、ｖ＝ｕnである尤度とｖ≠ｕnである尤度の比を、前記登録ユーザｕnごとに求めるステップと、
前記求めた尤度比と前記設定した登録ユーザｕnの事前確率と前記設定した非登録ユーザｕ0の事前確率とを用いて、前記登録ユーザｕnの事後確率及び前記非登録ユーザｕ0の事後確率を求めるステップと、
前記求めた事後確率の各々を第１の閾値と比較し、前記事後確率の最大値が前記第１の閾値より大きい場合において、前記最大値を示す事後確率が前記登録ユーザｕnのいずれかの事後確率であれば、該当する登録ユーザと前記認証対象ユーザｖが同一人物であると判定し、前記最大値を示す事後確率が前記非登録ユーザｕ0の事後確率であれば、前記認証対象ユーザｖが前記登録ユーザｕn以外のユーザであると判定するステップと、
を含むことを特徴とする生体認証方法。
【請求項１８】
前記抽出した認証対象ユーザ特徴量データと前記データベースに保持されている前記照合用特徴量データとの間で１：Ｎ照合を行い、前記登録ユーザｕnの各々について照合スコアを求めるステップをさらに含み、
前記尤度比を求めるステップでは、前記求めた照合スコアを用いて前記尤度比を求めることを特徴とする請求項１７に記載の生体認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００９−２８９２５３（Ｐ２００９−２８９２５３Ａ）
【公開日】平成２１年１２月１０日（２００９．１２．１０）
【国際特許分類】
【出願番号】特願２００８−３１２４１１（Ｐ２００８−３１２４１１）
【出願日】平成２０年１２月８日（２００８．１２．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２１年１２月１０日（２００９．１２．１０）
【国際特許分類】
【出願日】平成２０年１２月８日（２００８．１２．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]