生体認証方法及びシステム
【課題】生体情報データそのものの漏洩を防止すると共に、認証管理組織側主導での認証の安全性の迅速な確保及び認証強度のコントロールを可能とする。
【解決手段】変換コード管理サーバ１０３は、生体情報データを変換するための変換コードを管理し、生体情報の登録時に、抽出された生体情報データを登録用生体情報データと変換コードに基づいて変換済み登録用生体情報データを出力する。変換済み生体情報データベース管理サーバ１０４は、変換済み登録用生体情報データを記録管理する。生体認証サーバ１０２は、生体情報の照合時に、抽出された生体情報データを照合用生体情報データとして入力し、変換コード管理サーバ１０３にて管理される変換コードに基づいて変換処理を実行し、変換済み照合用生体情報データを出力し、その変換済み照合用生体情報データと変換済みサーバ１０４にて管理されている変換済み登録用生体情報データとを照合する。
【解決手段】変換コード管理サーバ１０３は、生体情報データを変換するための変換コードを管理し、生体情報の登録時に、抽出された生体情報データを登録用生体情報データと変換コードに基づいて変換済み登録用生体情報データを出力する。変換済み生体情報データベース管理サーバ１０４は、変換済み登録用生体情報データを記録管理する。生体認証サーバ１０２は、生体情報の照合時に、抽出された生体情報データを照合用生体情報データとして入力し、変換コード管理サーバ１０３にて管理される変換コードに基づいて変換処理を実行し、変換済み照合用生体情報データを出力し、その変換済み照合用生体情報データと変換済みサーバ１０４にて管理されている変換済み登録用生体情報データとを照合する。
【発明の詳細な説明】
【技術分野】
【０００１】
開示する技術は、生体認証技術に関する。
【背景技術】
【０００２】
コンピュータネットワークの商用利用の拡大に伴い、ネットワーク上でのデータアクセス、決済、伝票送付等に際しての本人確認技術が求められている。本人確認技術の１つとして、生体情報を利用した個人認証技術が普及し始めている。個人認証に各個人固有の生体情報を用いることにより、各個人の生体情報は本人以外は持つことはできないので、確実に本人であることが保証される。生体情報を用いた個人認証技術には、指紋、虹彩、血管パターン、声紋、網膜、顔等の、いわゆるバイオメトリクス認証技術がある。
【０００３】
バイオメトリクス認証技術は、パスワードや所有物と異なり、本人への成り済ましが困難であるという特長がある。その反面、変えることができない個人の生体情報を計測して認証に使用することは、マスターキーの常時利用に当たり、認証用の生体情報が盗難・漏洩した場合の影響が大きい。
【０００４】
図３２は、従来の一般的な生体情報登録システムの構成図である。生体情報取得部３２０１が、センサを通じて利用者の登録用の生体情報を取得する。次に、特徴情報抽出部３２０２が、その取得された生体情報から特徴情報を抽出し、その特徴情報のデータを生体情報データとして出力する。次に、暗号化部３２０３が、上記生体情報データを暗号化する。そして、登録部３２０４が、その暗号化された生体情報データを、利用者によって入力されたユーザＩＤ情報（以下、単に「ＩＤ」という）をキーとして、データベースに登録する。
【０００５】
図３３は、従来の一般的な生体情報照合システムの構成図である。照合用生体情報取得部３３０１が、センサを通じて利用者の照合用の生体情報を取得する。次に、特徴情報抽出部３３０２が、その取得された照合用の生体情報から特徴情報を抽出し、その特徴情報のデータを照合用の生体情報データとして出力する。一方、登録済生体情報取得部３３０３が、利用者によって入力されたＩＤをキーとして、データベースからその利用者の登録済みの暗号化された生体情報データを抽出する。次に、暗号化データ復号処理部３３０４が、その暗号化された生体情報データから元の登録用の暗号化されていない生体情報データを復号する。続いて、照合処理部３３０５が、特徴情報抽出部３３０２が抽出した照合用の生体情報データと、暗号化データ復号処理部３３０４が復号した登録用の生体情報データとを照合する処理を実行し、両者の類似度を算出する。そして、一致不一致確認部３３０６が、その類似度の値が所定値以上のスコアとなった場合に、認証が成立したと判定し、特には図示しないログインシステム又はドアロック制御システムなどに通知する。
【０００６】
図３４は、図３２に示される生体情報登録システムをベースとした、従来の一般的なクライアント・サーバ型生体情報登録システムの構成図である。
クライアント３４０１は、利用者が利用するコンピュータ又は入退室システム等である。クライアントは、生体情報センサ３４０４、テンキー３４０５、生体情報取得部３４０６、及び生体情報抽出部３４０７を含む。クライアント３４０１において、利用者はまず、テンキー３４０５等を用いてＩＤを入力する。これと共に、生体情報取得部３４０６が、生体情報センサ３４０４を通じて、利用者の生体情報を取得する。次に、生体情報抽出部３４０７が、その生体情報から登録用生体情報データを抽出する。クライアント３４０１は、その登録用生体情報データと、テンキー３４０５等から入力された利用者のＩＤを、生体認証サーバ３４０２に送信する。ここで、生体情報データは、生体情報取得部３４
０６にて取得された生体情報をそのままデータ化したものであってもよいし、図３２のように生体情報から特徴情報を抽出して得られるデータであってもよい。
【０００７】
生体認証サーバ３４０２は、生体認証を実施するサーバコンピュータであり、書込み処理部３４０８を含む。生体認証サーバ３４０２において、書込み処理部３４０８は、クライアント３４０１から受信した利用者のＩＤと登録用生体情報データを、必要に応じて暗号化するなどした後に、生体情報データベース管理サーバ３４０３に送信する。
【０００８】
生体情報データベース管理サーバ３４０３は、生体情報データベース３４０９を管理するサーバであり、生体認証サーバ３４０２と同一のサーバコンピュータであってもよいし、別のサーバコンピュータであってもよい。生体情報データベース管理サーバ３４０３は、生体認証サーバ３４０２から利用者のＩＤと登録用生体情報データを受信すると、そのＩＤをキーとして登録用生体情報データを生体情報データベース３４０９に登録する。
【０００９】
図３５は、図３３に示される生体情報照合システムをベースとした、従来の一般的なクライアント・サーバ型生体情報照合システムの構成図である。図３５において、図３４の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００１０】
認証実行時に利用者は、クライアント３４０１において、テンキー３４０５等を用いてＩＤを入力する。これと共に、生体情報取得部３４０６が、生体情報センサ３４０４を通じて、利用者の生体情報を取得する。次に、生体情報抽出部３４０７が、その生体情報から照合用生体情報データを抽出する。クライアント３４０１は、その照合用生体情報データと、テンキー３４０５等から入力された利用者のＩＤを、生体認証サーバ３４０２に送信する。
【００１１】
生体認証サーバ３４０２は、図３４に示される書込み処理部３４０８のほかに、認証処理部３５０１を含む。この認証処理部３５０１は、図３３の照合処理部３３０５及び一致不一致確認部３３０６に対応する。認証処理部３５０１は、クライアント３４０１から利用者のＩＤと照合用生体情報データを受信すると、ＩＤを生体情報データベース管理サーバ３４０３に送信する。
【００１２】
生体情報データベース管理サーバ３４０３は、生体認証サーバ３４０２からＩＤを受信すると、そのＩＤをキーとして生体情報データベース３４０９を検索し、そのＩＤに対応する利用者の登録用生体情報データを抽出する。そして、同サーバ３４０３は、その登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００１３】
生体認証サーバ３４０２の認証処理部３５０１は、生体情報データベース管理サーバ３４０３からＩＤと登録用生体情報データを受信すると、登録用生体情報データを必要に応じて復号処理等する。そして、認証処理部３５０１は、その登録用生体情報データと、クライアント３４０１から受信した上記ＩＤに対応する照合用生体情報データとを照合する処理を実行し、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００１４】
上述した従来の一般的なクライアント・サーバ型の生体認証システムでは、認証処理部３５０１は、生体情報データを生データのままで、又は生体情報データに対して施された暗号を復号してメモリ上に展開した上で、照合認証処理を実行していた。また、生体情報データとしては、生の生体情報、又は元の生体情報が類推されやすい一次テンキーな特徴情報が用いられていた。
【００１５】
上述した従来の一般的なクライアント・サーバ型の生体認証システムを改良したシステムとして、図３６及び図３７に示されるような生体情報登録／照合システムが知られてい
る。
【００１６】
図３６は、従来の生体情報変換機能付きクライアント・サーバ型生体情報登録システムの構成図である。図３６において、図３４の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００１７】
図３６の構成では、生体情報データが登録される際に、登録用生体情報データがそのままの形では登録されずに、クライアント３４０１内の生体情報変換部３６０１が、生体情報抽出部３４０７が抽出した登録用生体情報データを一度変換する。そして、クライアント３４０１は、その変換済み登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００１８】
生体認証サーバ３４０２において、書込み処理部３６０２は、クライアント３４０１から受信した利用者のＩＤと変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ３６０３に送信する。
【００１９】
そして、変換済み生体情報データベース管理サーバ３６０３が、上記ＩＤをキーとして変換済み登録用生体情報データを、変換済み生体情報データベース３６０４に登録する。
図３７は、図３６に対応する従来の生体情報変換機能付きクライアント・サーバ型生体情報照合システムの構成図である。図３７において、図３４又は図３６の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００２０】
図３７の構成では、認証実行時にも、クライアント３４０１において生体情報データが取得される際に、照合用生体情報データがそのままの形では登録されずに、クライアント３４０１内の生体情報変換部３６０１が、生体情報抽出部３４０７が抽出した照合用生体情報データを一度変換する。そして、クライアント３４０１は、その変換済み照合用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００２１】
生体認証サーバ３４０２は、図３６に示される書込み処理部３６０２のほかに、認証処理部３７０１を含む。認証処理部３７０１は、クライアント３４０１から利用者のＩＤと変換済み照合用生体情報データを受信すると、ＩＤを変換済み生体情報データベース管理サーバ３６０３に送信する。
【００２２】
変換済み生体情報データベース管理サーバ３６０３は、生体認証サーバ３４０２からＩＤを受信すると、そのＩＤをキーとして変換済み生体情報データベース３６０４を検索し、そのＩＤに対応する利用者の変換済み登録用生体情報データを抽出する。そして、同サーバ３６０３は、その変換済み登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００２３】
生体認証サーバ３４０２の認証処理部３７０１は、変換済み生体情報データベース管理サーバ３６０３からの変換済み登録用生体情報データと、クライアント３４０１からの上記ＩＤに対応する変換済み照合用生体情報データとを照合する処理を実行する。そして、認証処理部３７０１は、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００２４】
ここで、万一、生体認証サーバ３４０２又は変換済み生体情報データベース管理サーバ３６０３から、変換済み登録用生体情報データが盗まれた場合には、図３６のシステムにおける利用者による生体情報の再登録時に、利用者がテンキー３４０５から変更された変換コードを入力する。この結果、生体情報の再登録時に、生体情報変換部３６０１での変換形式（変換パラメータ等）が変更される。このような方式により、過去に盗まれたデータにより成り済ましが行われることが防止される。
【００２５】
この場合に、生体情報変換部３６０１における変換アルゴリズムや、変換テーブル、パラメータ等は、生体情報データの提供者である利用者が管理し、登録管理者側に生体情報若しくは生体情報から直接抽出された特徴情報等の生体情報データが渡されない。これにより、悪意のあるサーバ管理者による生体情報の悪用とプライバシーの保護が実現されている。
【先行技術文献】
【特許文献】
【００２６】
【特許文献１】特開平２０００−１１１７６号公報
【発明の概要】
【発明が解決しようとする課題】
【００２７】
しかし、図３４及び図３５の第１の従来技術では、悪意のあるサーバ管理者が例えばサーバ上のメモリダンプ操作により生の生体情報データを盗み出した場合、又はサーバから大量の生体情報データが漏洩しその暗号が解かれた場合に、大きな問題が発生する。即ち、生体情報データが生体情報から類推し易い性質がある場合が多いため、以後その生体情報自体の利用が困難になり、生体情報の再登録だけでは対応が不可能であるという問題点を有していた。また、情報を漏洩された利用者は、他のシステムでの同種の生体認証の利用を躊躇することも予想される。
【００２８】
一方、図３６及び図３７に示される第２の従来技術では、生体情報が直接的な形では悪意のあるサーバ管理者に盗まれることはない。しかし、変換済み登録用生体情報データが盗まれた際には、利用者に対して、クライアント３４０１内の生体情報変換部３６０１における変換形式の変更を促さなければならない。これは、従来の単純なパスワードによる通常認証方式の場合にパスワードが盗まれたら利用者自らがパスワードを変更しなければならないのと同じことである。従って、上記第２の従来技術は本質的に、通常認証方式の問題点を内包していることになる。
【００２９】
つまり、上記第２の従来技術では、変換済み登録用生体情報データが盗まれた際に、あくまでも利用者による生体情報変換形式の変更操作を待たなければならず、認証管理組織側で迅速に認証保護を行うことが困難であるという問題点を有していた。
【００３０】
また、上記第２の従来技術では、生体情報の変換形式を定期的に変更したり、複数の変換形式の組合せ等のより複雑なものに変更する等の、認証強度のコントロール（有効期限・強度の直接的な管理）を行う場合も、利用者に変更を明示的に促す必要があった。このことはやはり、通常認証方式においてより複雑なパスワードの利用を利用者に明示的に促さない限り認証の安全性の制御ができないのと同じ問題であり、認証管理組織が主導で認証強度のコントロールを行うことが困難であった。
【００３１】
特にクライアントを利用する利用者が複数の場合、生体情報変換処理を個別に行うための複数の変換キー（又は変換コード）を持つ必要があり、その変換キーは利用者自らが管理しなければならない。従って、認証強度のコントロールは、利用者が変換キーを適切に管理するか否かに依存してしまう。また、利用者は、変換キーを常時携帯しなければならず、変換キーを失念又は紛失したような場合に、認証管理組織委側によるコントロールが困難である。更に、ＡＴＭのような公共での共用端末装置でのサービスには不向きであるといった問題点を有していた。
【００３２】
上記の問題点を解決するために、生体情報変換部をクライアント側ではなく生体認証サーバ側に設置して、変換形式の変更を認証管理組織側の主導で行えるようにすることが容
易に考えられる。しかしその場合には、悪意のあるサーバ管理者によって、変換済み登録用生体情報データと共に変換形式に関する情報がセットで盗まれる可能性があり、その場合には過去に盗まれたデータにより成り済ましができてしまい、認証の安全性が維持できない。
【００３３】
開示する技術が解決しようとする課題は、生体情報データそのものの漏洩を防止すると共に、認証管理組織側主導での認証の安全性の迅速な確保及び認証強度のコントロールを可能とすることにある。
【課題を解決するための手段】
【００３４】
上記課題を解決するために、開示する技術は、以下の構成を含む。
変換コード管理ステップは、生体情報データを変換するための変換コードを管理する。
変換登録処理ステップは、生体情報の登録時に入力された登録用生体情報データを、変換コードに基づいて変換した変換済み登録用生体情報データを出力する。
【００３５】
変換済み生体情報データ管理ステップは、変換済み登録用生体情報データを記録管理する。
そして、変換照合処理ステップは、生体情報の照合時に入力された照合用生体情報データを、変換コードに基づいて変換した変換済み照合用生体情報データを出力し、その変換済み照合用生体情報データと変換済み登録用生体情報データとを照合する。
【発明の効果】
【００３６】
開示する技術によれば、変換コード管理ステップが管理する変換コードに従って生体情報データが変換されて、変換登録処理ステップによる登録処理又は変換照合処理ステップによる照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には、変換コード管理ステップでの制御により、変換処理用の変換コードを、一括又は利用者ＩＤ毎に個別に、認証組織主導で迅速に変更し、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能となる。
【００３７】
また、変換コード管理ステップ、変換済み生体情報データ管理ステップ等を、変換登録処理ステップや変換照合処理ステップから分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できてしまうことを阻止することが可能となる。
【図面の簡単な説明】
【００３８】
【図１】生体情報認証システムの第１の実施形態における生体情報登録システム部分の構成図である。
【図２】生体情報認証システムの第１の実施形態における生体情報照合システム部分の構成図である。
【図３】生体情報認証システムの第１の実施形態における生体情報漏洩時再登録処理の説明図である。
【図４】生体情報データのパターン変換（変形）処理による変換例を示す図である。
【図５】静脈データでのパターン変換（変形）処理による変換登録例を示す図である。
【図６】静脈データでのパターン変換処理による照合例を示す図である。
【図７】生体情報データのランダム関数変換処理による変換例を示す図である。
【図８】静脈データでのランダム関数変換処理による変換登録例を示す図である。
【図９】静脈データでのランダム関数変換処理による照合例（その１）を示す図である。
【図１０】静脈データでのランダム関数変換処理による照合例（その２）を示す図である。
【図１１】生体情報データの座標系変換処理による変換例を示す図である。
【図１２】生体情報データのパターン変換（変形）処理＋ランダム関数変換処理による変換例を示す図である。
【図１３】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による変換登録例を示す図である。
【図１４】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による照合例（その１）を示す図である。
【図１５】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による照合例（その２）を示す図である。
【図１６】複数の変換処理の組合せ方式における変換コードデータベースの例を示す図である。
【図１７】生体情報データの品質により変換強度が変更されるパターン変換処理の例を示す図である。
【図１８】生体情報データの品質により変換強度が変更されるランダム関数変換処理の例を示す図である。
【図１９】生体情報データ漏洩検出手段の第１の構成例を示す図である。
【図２０】生体情報データ漏洩検出手段の第２の構成例を示す図である。
【図２１】生体情報認証システムの第２の実施形態の構成図である。
【図２２】生体情報認証システムの第３の実施形態の構成図である。
【図２３】生体情報認証システムの第４の実施形態における生体情報登録システム部分の構成図である。
【図２４】生体情報認証システムの第４の実施形態における生体情報照合システム部分の構成図である。
【図２５】生体情報認証システムの第５の実施形態における生体情報登録システム部分の構成図である。
【図２６】生体情報認証システムの第５の実施形態における生体情報照合システム部分の構成図である。
【図２７】変換コードの世代管理を行う変換コード生成・チェック処理部の構成例を示す図である。
【図２８】生体情報認証システムの第６の実施形態の構成図である。
【図２９】生体情報認証システムの第７の実施形態の構成図である。
【図３０】日付（曜日）毎に異なる変換コードによる変換済み登録用生体情報データを用いて照合する例を示す図である。
【図３１】各実施形態を実現するハードウェア構成図である。
【図３２】従来の一般的な生体情報登録処理システムの構成図である。
【図３３】従来の一般的な生体情報照合システムの構成図である。
【図３４】従来の一般的なクライアント・サーバ型生体情報登録システムの構成図である。
【図３５】従来の一般的なクライアント・サーバ型生体情報照合システムの構成図である。
【図３６】従来の生体情報変換機能付きクライアント・サーバ型生体情報登録システムの構成図である。
【図３７】従来の生体情報変換機能付きクライアント・サーバ型生体情報照合システムの構成図である。
【発明を実施するための形態】
【００３９】
以下、実施形態について詳細に説明する。
図１は、生体情報認証システムの第１の実施形態における生体情報登録システム部分の構成図である。この構成は、照合用生体情報データと登録用生体情報データとの照合結果
に基づいて本人認証を行う、クライアント・サーバ型の生体認証システムの実施形態である。クライアント１０１は例えば、利用者が利用するコンピュータ又は入退室システム等である。
【００４０】
図１の構成では、クライアント１０１、生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４が連携して動作する。クライアント１０１は、生体情報センサ１０５から生体情報を取得する生体情報取得部１０７、生体情報から生体情報データを抽出する生体情報抽出部１０８を含む。生体認証サーバ１０２は、変換登録処理部１０９を含む。変換コード管理サーバ１０３は、変換コード生成・チェック処理部１１０、及び変換コードデータベース１１１を含む。
【００４１】
図１の生体情報登録システムにおける生体情報の登録手順は、以下の通りである。
クライアント１０１において、利用者はまず、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から登録用生体情報データを抽出する。クライアント１０１は、その登録用生体情報データと、テンキー１０６５等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。このとき利用者は、ＩＣカードや磁気カード等、何らかの媒体に格納された利用者のＩＤを用いてもよい。また、第三者がＩＤの代行入力を行っても良い。
【００４２】
生体認証サーバ１０２において、変換登録処理部１０９が、クライアント１０１から利用者のＩＤと登録用生体情報データを受信する。
変換登録処理部１０９は、受信したＩＤを変換コード管理サーバ１０３へ送信する。変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤに対応させて変換コードを生成する。そして、同処理部１１０は、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信すると共に、そのＩＤをキーとして変換コードを変換コードデータベース１１１に登録する。
【００４３】
生体認証サーバ１０２の変換登録処理部１０９は、変換コード管理サーバ１０３からＩＤと変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している登録用生体情報データに対して、変換コードに基づく変換処理を実行する。その結果、同処理部１０９は、変換済み登録用生体情報データを生成する。ここでいう生体情報データの変換とは、詳しくは後述するが、生体情報からの特徴抽出や暗号化を示すものではなく、例えば生体情報データの不可逆な変形や、ランダム化関数処理、或いは、生体特徴データの座標変換処理を示すものである。その後、変換登録処理部１０９は、変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ１０４に送信する。
【００４４】
変換済み生体情報データベース管理サーバ１０４は、変換済み生体情報データベース１１２を管理するサーバである。同サーバ１０４は、生体認証サーバ１０２から利用者のＩＤと変換済み登録用生体情報データを受信すると、そのＩＤをキーとして変換済み登録用生体情報データを変換済み生体情報データベース１１２に登録する。
【００４５】
図２は、生体情報認証システムの第１の実施形態における生体情報照合システム部分の構成図である。図２において、図１の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００４６】
図２の構成では、生体認証サーバ１０２が新たに変換照合処理部２０１を含む。
図２の生体情報登録システムにおける生体情報の登録手順は、以下の通りである。
認証実行時に利用者は、クライアント１０１において、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利
用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から照合用生体情報データを抽出する。クライアント１０１は、その照合用生体情報データと、テンキー１０６等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。
【００４７】
生体認証サーバ１０２において、変換照合処理部２０１が、クライアント１０１から利用者のＩＤと照合用生体情報データを受信する。
変換照合処理部２０１は、受信したＩＤを、変換コード管理サーバ１０３と変換済み生体情報データベース管理サーバ１０４へ送信する。
【００４８】
変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤをキーとして変換コードデータベース１１１を検索し、そのＩＤに対応する変換コードを抽出する。そして、同処理部１１０は、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信する。
【００４９】
変換済み生体情報データベース管理サーバ１０４は、生体認証サーバ１０２からＩＤを受信すると、そのＩＤをキーとして変換済み生体情報データベース１１２を検索し、そのＩＤに対応する利用者の変換済み登録用生体情報データを抽出する。そして、同サーバ１０４は、その登録用生体情報データをＩＤと共に生体認証サーバ１０２に送信する。
【００５０】
生体認証サーバ１０２の変換照合処理部２０１は、変換コード管理サーバ１０３からＩＤと変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している照合用生体情報データに対して、変換コードに基づく変換処理を実行する。その結果、同処理部２０１は、変換済み照合用生体情報データを生成する。
【００５１】
更に、変換照合処理部２０１は、上記ＩＤに対応して変換済み生体情報データベース管理サーバ１０４から受信している変換済み登録用生体情報データと、上記へ照合用生体情報データとを照合する処理を実行する。そして、同処理部２０１は、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００５２】
上述した図１及び図２に示されるシステム構成における具体的なハードウェア構成としては、下記1)から4)の何れかの構成を採用することができる。
1)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、個別のサーバコンピュータ、及び個別のハードディスクで構成する2)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、同一のサーバコンピュータ、個別のハードディスクで構成する。
3)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、物理的に離れた場所におく。
3)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４の管理者を個別に設定する。
【００５３】
図１及び図２のシステム構成において、変換済み生体情報データベース管理サーバ１０４に登録されるＩＤは、社会生活上の個人情報、例えば銀行の口座番号やクレジットカード番号とは結びつかないＩＤとすることも可能である。
【００５４】
また、図１及び図２のシステム構成において、変換コードは、１つのデータではなく、複数のデータから構成されたり、マトリックス上の変換テーブルとして扱ってもよい。
図１及び図２のシステム構成において、変換済み登録用生体情報データ又は変換コードの盗難・漏洩が判明した後の生体情報データの再登録処理について、図３の説明図を用い
て説明する。図３において、図１の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００５５】
クライアント１０１において、利用者は、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から再登録用生体情報データを抽出する。クライアント１０１は、その再登録用生体情報データと、テンキー１０６５等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。
【００５６】
生体認証サーバ１０２において、変換登録処理部１０９が、クライアント１０１から利用者のＩＤと再登録用生体情報データを受信する。
変換登録処理部１０９は、受信したＩＤを変換コード管理サーバ１０３へ送信する。変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤに対応させて新たな変換コードを生成し、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信する。また、同処理部１０９は、そのＩＤをキーとして変換コードデータベース１１１を検索し、検索されたレコード上の古い変換コードを新たに生成した変換コードに置き換えて再登録する。
【００５７】
生体認証サーバ１０２の変換登録処理部１０９は、変換コード管理サーバ１０３からＩＤと新たに生成された変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している再登録用生体情報データに対して、新たな変換コードに基づく再変換処理を実行する。その結果、同処理部１０９は、再変換済み登録用生体情報データを生成する。その後、変換登録処理部１０９は、再変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ１０４に送信する。
【００５８】
変換済み生体情報データベース管理サーバ１０４は、生体認証サーバ１０２から利用者のＩＤと再変換済み登録用生体情報データを受信すると、そのＩＤをキーとして変換済み生体情報データベース１１２を検索する。そして、同サーバ１０４は、検索されたレコードに登録されている古い変換済み登録用生体情報データを、新たに受信した再変換済み登録用生体情報データに置き換えて再登録する。
【００５９】
図１又は図２の第１の実施形態の構成により、変換コード管理サーバ１０３が管理する変換コードに従って生体情報データが変換されて登録・照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には変換処理用の変換コードを一括又は利用者ＩＤ毎に個別に迅速な変更を実施し、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能である。
【００６０】
また、生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４が分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できないため再利用が困難であるという特徴を有する。
【００６１】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの変換例を、図４に示す。この例では、生体情報データの変換処理として、パターン変換（変形）が行われる。この変換のために、図１の変換コードとして、パターン変換コードが使用され、このコードに基づいてパターン変換（変形）が行われる。この変換例は、変形前の生体情報データを類推することが困難で、不可逆性を有することが特徴である。
【００６２】
図５に、生体情報データが静脈データである場合における、パターン変換（変形）処理（Ｓ５０１）による図１の変換登録処理部１０９での図４に基づく変換登録例を示す。
また図６に、静脈データでのパターン変換処理による、図２の変換照合処理部２０１での図４に基づく変換照合例を示す。この例では、照合用生体情報データに対して、パターン変換コードによるパターン変換処理が実行され（Ｓ６０１）、その変換された照合用生体情報データと変換済み登録用生体情報データの変換データ同士が照合される（Ｓ６０２）。このように、照合処理は、変換されたままの状態で実施される。パターン変換の単位は、１ドットだけではなく、複数ドットのブロック単位での適用も可能である。1ドットの場合は、より滑らかな変換が行える。
【００６３】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの他の変換例を、図７に示す。この例では、生体情報データの変換処理として、生体情報データに所定の単位（パターンブロックもしくは画素単位）でランダム関数による変換処理が実施される。この変換のために、図１の変換コードとして、ランダム化テーブルが用いられる。この結果、図１の変換済み登録用生体情報データとして、ランダム化登録用生体情報データが得られる。ランダム化の単位は、１ドットだけではなく、ブロック単位での適用も可能である。1ドットの場合は、最も類推が困難である。
【００６４】
図８に、静脈データでの１ドット単位のランダム関数変換処理（Ｓ８０１）による、図１の変換登録処理部１０９での図７に基づく変換登録例を示す。
また、図９に、静脈データでの１ドット単位のランダム関数変換処理による、図２の変換照合処理部２０１での図６に基づく照合例（その１）を示す。この例では、照合用生体情報データが、ランダム関数変換処理によって所定単位毎にランダム化され（Ｓ９０１）、そのランダム化領域毎に、そのランダム化された照合用生体情報データとランダム化登録用生体情報データとが照合される（Ｓ９０２）。この照合処理が、所定単位毎に繰り返される（Ｓ９０３）。この場合、両者の照合位置がずれないように、事前に位置ずれや拡大縮小の補正が行われる。
【００６５】
更に、図１０に、静脈データでの１ドット単位のランダム関数変換処理による、図２の変換照合処理部２０１での図６に基づく照合例（その２）を示す。この例では、ランダム化登録用生体情報データに対して、そのデータがランダム化された所定単位で、逆ランダム関数による変換処理が実行される（Ｓ１００１）。そして、そのランダム化領域毎に、逆ランダム化された登録用生体情報データとクライアント１０１から受信された照合用生体情報データとが照合される（Ｓ１００２）。この照合処理が、所定単位毎に繰り返される（Ｓ１００３）。この場合に、ランダム化登録用生体情報データデータの全てが一度には逆ランダム化されないことにより、メモリ上に全ての登録用生体情報データが逆ランダム化されて展開されることが防止され、登録用生体情報データそのものの漏洩が阻止される。この例では、登録用生体情報データと照合用生体情報データの間に位置ずれがあっても適用することができる。
【００６６】
上記図９又は図１０において、変換コード管理サーバ１０３から、変換コードであるランダム化テーブルが一括して送られずに、図２の変換照合処理部２０１での照合処理と連動するランダム化単位毎のランダム化テーブルが送付されることで、照合時に図２の生体認証サーバ１０２に全ての情報が揃ってしまうことを抑止することができる。
【００６７】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの更に他の変換例を、図１１に示す。この例では、生体情報データの変換処理として、座標系変換が用いられる。生体情報から固有の符号化された特徴情報、例えば指紋認証での特徴点座標や、虹彩認証での１次元のアイリスパターン（０：無し／1：有り）を抽出できる場合には、座標変換を用いることが可能である。また、顔画像においては、パーツ（目、鼻、口）毎に基準座標系を持たせることも可能である。
【００６８】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの更に他の変換例を、図１２に示す。この例では、生体情報データの変換処理として、図４に示されるパターン変換処理と図７に示されるランダム関数変換処理とが組み合わせて実施される。２つの方式が併用されることで、パターン変換（変形）による不可逆性の利点と、ランダム化により照合時に生体認証サーバ１０２内で登録用生体情報データデータの一部しか同時にメモリに展開されない利点の両方を満足することができる。
【００６９】
図１３に、静脈データでの１ドット単位のパターン変換処理（Ｓ１３０１）＋ランダム関数変換処理（Ｓ１３０２）による、図１の変換登録処理部１０９での図１３に基づく変換登録例を示す。
【００７０】
また、図１４に、静脈データでの１ドット単位のパターン変換処理＋ランダム関数変換処理による、図２の変換照合処理部２０１での図１３に基づく照合例（その１）を示す。この例は、図５と図９の組合せである。照合用生体情報データが、パターン変換された後に（Ｓ１４０１）、所定単位毎にランダム関数変換され（Ｓ１４０２）、そのランダム化領域毎に、そのランダム化された照合用生体情報データとランダム化登録用生体情報データとが照合される（Ｓ１４０３）。この照合処理が、所定単位毎に繰り返される（Ｓ１４０４）。
【００７１】
更に、図１５に、静脈データでの１ドット単位のパターン変換処理＋ランダム関数変換処理による、図２の変換照合処理部２０１での図１３に基づく照合例（その２）を示す。この例は、図６と図１０の組合せである。即ちこの例では、ランダム化登録用生体情報データに対して、そのデータがランダム化された所定単位で、逆ランダム関数による変換処理が実行される（Ｓ１５０１）。一方、照合用生体情報データはパターン変換される（Ｓ１５０２）。そして、そのランダム化領域毎に、逆ランダム化された登録用生体情報データとパターン変換された照合用生体情報データとが照合される（Ｓ１５０３）。この照合処理が、所定単位毎に繰り返される（Ｓ１５０４）。
【００７２】
上記図１４及び図１５の何れでも、少なくともパターン変換された領域で照合が行われるため、漏洩に対する耐性が強い。図１４の構成は、更にランダム化領域での照合が行われるため漏洩に対する耐性は更に強くなるが、位置ずれ等に対する安定性は図１５の構成のほうが高い。
【００７３】
図１６は、複数の変換処理の組合せ方式が採用された場合における、図１の変換コード管理サーバ１０３内の変換コードデータベース１１１の例を示す図である。このように同データベース１１１では、利用者のＩＤ毎に、各変換処理の変換コードが管理される。例えば、上述のようにパターン変換（変形）処理とランダム関数変換処理の両方が組み合わされる場合には、ＩＤ毎に、２種類の変換コードが管理される。
【００７４】
図１７は、登録用生体情報データの品質判定を行う手段を含んだパターン変換処理（図４、図５等参照）による図１の変換登録処理部１０９の処理例を示す図である。品質値の高い生体情報データは、生体情報に対するノイズが少なく照合しやすいため、変換の強度（変形の大きさ）を強く（元の生体情報の類推をより困難に）しても本人認証性能低下への影響が少ないことが想定される。そこで、図１７では、登録用の原生体情報データに対して品質判定が行われ（Ｓ１７０１）、その結果得られる品質値に対応して変換強度が判定され（Ｓ１７０２）、図１の変換コード管理サーバ１０３においてパターン変換コードが選択される（Ｓ１７０３）。そして、新たに登録用生体情報データが取得されて、上記選択されたパターン変換コードを用いたパターン変換処理が実行され（Ｓ１７０４）、変換済み登録用生体情報データが得られる。
【００７５】
図１８は、登録用生体情報データの品質判定を行う手段を含んだランダム関数変換処理（図７、図８等参照）による図１の変換登録処理部１０９の処理例を示す図である。この例ではまず、登録用の原生体情報データに対して品質判定が行われる（Ｓ１８０１）。次に、その結果得られる品質値に対応してランダム関数変換の細かさを示すランダム化単位が決定され（Ｓ１８０２）、図１の変換コード管理サーバ１０３において変換コードとしてのランダム化テーブルが選択される（Ｓ１８０３）。生体情報データの品質値が高い場合には、より細かいランダム化テーブルが選択される。そして、新たに登録用生体情報データが取得されて、上記選択されたランダム化テーブルを用いたランダム関数変換処理が実行され（Ｓ１８０４）、ランダム化登録用生体情報データが得られる。
【００７６】
次に、図２に示される生体情報照合システムにおいて、生体情報データ漏洩検出手段を含み、生体情報の漏洩を検出した場合に変換コードと登録用生体情報データの更新若しくは変換コードの更新を行わせることも可能である。情報漏洩を検知することで、利用者ＩＤの停止、登録用生体情報データの再登録要求の通知等が可能になる。
【００７７】
図１９は、生体情報データ漏洩検出手段の第１の構成例を示す図である。
まず、図１９（ａ）の構成は、例えば図１の変換登録処理部１０９内に実現される。変換済み登録用生体情報データが変換済み生体情報データベース管理サーバ１０４に送信される際に、変換済み登録用生体情報データに対してハッシュ関数処理が実行される（Ｓ１９０１）。その結果得られるハッシュ値が、変換済み登録用生体情報データと共に変換済み生体情報データベース管理サーバ１０４に送信される。変換済み生体情報データベース管理サーバ１０４は、上記変換済み登録用生体情報データ＋ハッシュ値を、変換済み生体情報データベース１１２（図１）に登録する。
【００７８】
次に、図１９（ｂ）の構成は、例えば図２の変換照合処理部２０１内に実現される。変換済み照合用生体情報データに対してハッシュ関数処理が実行される（Ｓ１９０２）。一方、変換済み生体情報データベース管理サーバ１０４からは、利用者のＩＤに対応する変換済み登録用生体情報データと共に、図１９（ａ）にて登録されたハッシュ値が併せて受信される。そして、上記照合用生体情報データのハッシュ値と上記登録用生体情報データのハッシュ値が一致するか否かが比較され（Ｓ１９０３）、両者が一致した場合に、漏洩が判定される。
【００７９】
上記図１９（ａ）及び（ｂ）の構成では、登録用生体情報データと照合用生体情報データは完全には一致しないため、それらに対して変換処理を実行した後の変換済み登録用生体情報データと変換済み照合用生体情報データの各ハッシュ値も一致しない。従って、もし両者が一致した場合には、変換済み登録用生体情報データと変換済み照合用生体情報データとが同一であることになり、変換済み照合用生体情報データは漏洩された登録用生体情報データであるということになる。このようにして漏洩判定を行うことができる。
【００８０】
図１９（ｂ）の構成において更に、過去に照合に用いられた変換済み照合用生体情報データのハッシュ値が保存され、新たに入力された変換済み照合用生体情報データのハッシュ値と保存されているハッシュ値とが一致した場合に、漏洩を判定する構成も採用することができる。この構成は、システム管理者が生体認証サーバ１０２上で過去の変換済み照合用生体情報データを盗み、それを再利用するような不正利用を検知できる。
【００８１】
図２０は、生体情報データ漏洩検出手段の第２の構成例を示す図である。この例では、図１又は図２の生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４でのそれぞれの認証関連処理ログが取得され（Ｓ２００１）、これらのログ内容に基づいて各サーバ間の処理時間差が計測される（Ｓ２００２）。この結果、各サーバにおいてそれぞれ関連する処理ログの同期に所定時間以上のずれ
があるような特異ログが抽出されることにより（Ｓ２００３）、漏洩が判定される。このような場合は、悪意のある者、特にシステム管理者がサーバ上で何らかの不正操作を行ったと見なすことができる。複数のサーバに情報を分けて管理している事を利用し、ログに不整合が見られた場合は、システムは漏洩・盗難の可能性があるとしてアラームを通知する。
【００８２】
図２１は、生体情報認証システムの第２の実施形態の構成図である。図２１において、図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。図２１の構成が図１及び図２の構成と異なる点は、変換登録処理部１０９及び変換照合処理部２０１が、１台の生体認証サーバ１０２ではなく、それぞれ個別の生体認証登録サーバ２１０１及び生体認証照合サーバ２１０２に設置される点である。２つのサーバが分離されることにより、登録と照合に携わるサーバの管理者を別々の人物に設定することが可能である。
【００８３】
図２２は、生体情報認証システムの第３の実施形態の構成図である。図２２において、図２１の第２の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００８４】
図２２では、変換済み生体情報データベース管理サーバ１０４と生体認証登録サーバ２１０１及び生体認証照合サーバ２１０２との間に、ＩＤ変換管理サーバ２２０１が置かれる。同サーバ２２０１により、ＩＤ変換が行われることにより、変換済み生体情報データベース管理サーバ１０４では、クレジットカード番号や預金口座番号など利用者の特定につながるＩＤではなく、ＩＤからは本人の個人情報を推定できないＩＤで変換済み登録用生体情報データを管理できる。生体情報は変換されて管理されているが、更に、管理するＩＤを個人を特定できないものとすることで、より安全性を高めることができる。
【００８５】
図２２において、ＩＤ変換管理サーバ２２０１は、生体認証登録サーバ２１０１又は生体認証照合サーバ２１０２から通知される利用者ＩＤを一度、利用者ＩＤと一意に関連付けられた生体情報データ管理ＩＤに変換し、その生体情報データ管理ＩＤが変換済み登録用生体情報データと対で、変換済み生体情報データベース１１２に記録される。
【００８６】
このように、個人情報と生体情報データの分離管理を可能にすることで、変換済み登録用生体情報データデータが漏洩した場合でも、意味のある利用者ＩＤと同時に流出させないことで、より安全性を確保することができる。
【００８７】
図２３及び図２４は、生体情報認証システムの第４の実施形態の構成図であり、それぞれ図１及び図２の第１の実施形態の構成に対応している。図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００８８】
図２３及び図２４では、図１及び図２における生体認証サーバ１０２は設けられず、変換登録処理部１０９及び変換照合処理部２０１が、生体認証クライアント２３０１内に設置される。
【００８９】
生体認証クライアント２３０１内の変換登録処理部１０９及び変換照合処理部２０１が、変換コード管理サーバ１０３及び変換済み生体情報データベース管理サーバ１０４と個別に通信を行うことにより、安全性の高い認証管理を実現できる。
【００９０】
また、変換登録処理部１０９及び変換照合処理部２０１における変換処理は、利用者が主導で行うのではなく、変換コード管理サーバ１０３からの通信指示に基づいて自動的に行われるため、認証管理組織の主導で各利用者の認証強度等を管理することができる。
【００９１】
図２５及び図２６は、生体情報認証システムの第５の実施形態の構成図であり、それぞれ図１及び図２の第１の実施形態の構成に対応している。図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００９２】
図２５及び図２６では、図１及び図２における生体認証サーバ１０２及び変換済み生体情報データベース管理サーバ１０４は設けられず、変換登録処理部１０９、変換照合処理部２０１、及び変換済み生体情報データベース１１２が、生体認証クライアント２３０１内に設置される。
【００９３】
変換コード管理サーバ１０３のみが、生体認証クライアント２５０１から分離されることで、安全かつ最低限のデータ分離が行われる。
図２７は、上記第１から第５の実施形態のシステムにおける変換コード管理サーバ１０３内の変換コード生成・チェック処理部１１０の構成例を示す図である。
【００９４】
この構成例では、変換コード生成・チェック処理部１１０（図１等参照）が、変換コード世代管理番号を管理し、変換コードを生成するにあたり、システムの利用者ＩＤ若しくは該ＩＤに対応して一意に設定されたＩＤと上記変換コード世代管理番号とに基づいて、変換コードを作成する。変換コード世代管理番号は、漏洩等によって変換コードの変更が必要になったことの履歴を管理する番号であり、いわば漏洩世代管理番号ともいえる。
【００９５】
例えば、変化コードの生成にハッシュ関数ＳＨＡ−１によるハッシュ関数処理が行われた場合には（Ｓ２７０１）、２０バイトの一意のデータが生成される。このデータ又はそれから生成されるデータが変換コードとして作成される（Ｓ２７０２）。
【００９６】
これらの変換コードは、変換コードデータベース１１１（図１等参照）において、一連のコードとして管理されても良いし、ある関数ｆ（ｘ）のパラメータとして保管されても良い。また、これらの変換コードは、参照テーブルの形式で保管されてもよい。また、上記データは、変換コードを最終的に生成するためのパラメータ群を管理するためのインデックスとして用いられてもよい。
【００９７】
図２８は、上記図２７の構成をベースとする生体情報認証システムの第６の実施形態の構成図である。この構成は、図２１に示される第２の実施形態の構成をベースとしているが、他の実施形態の構成をベースとしてもよい。図２１の第２の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００９８】
第６の実施形態では、変換コード管理サーバ１０３が、変換コード生成・チェック処理部１１０及び変換コードデータベース１１１に加えて、変換コード世代管理部２８０１及び変換コード世代管理番号データベース２８０２を有する。変換コード世代管理部２８０１は、図２７のハッシュ関数処理を行う部分であり、変換コード世代管理番号データベース２８０２に記録された変換コード世代管理番号及びシステム番号に基づいて、図２７のハッシュ情報を生成する。そして、変換コード生成・チェック処理部１１０が、そのハッシュ情報に基づいて、変換コードを生成する。
【００９９】
このような構成により、複数のシステムに対応した変換コードの管理が可能になる。変換コード世代管理番号データベース２８０２は、利用者ＩＤ又はそれに一意に対応するＩＤをキーとして、変換コード世代管理番号及びシステム番号を管理する。この変換コード世代管理番号は、漏洩の事実又は管理期間の長さ等に基づいて更新され、それに基づいて変換コードデータベース１１１内の対応する変換コードも更新されてゆく。
【０１００】
また、変換コード世代管理番号データベース２８０２は、変換コード世代管理番号（及びシステム番号）と共に、アプリケーション番号を管理するように構成することもできる。変換コード世代管理部２８０１は、アプリケーション番号も合わせた番号によってハッシュ情報を生成し、それに基づいて変換コードが作成される。同一の生体情報データに対してアプリケーション毎に個別の変換コードを用いて管理されるため、セキュリティの高いアプリケーションとそれ程高くないアプリケーションでの変換コードを変えることにより、セキュリティの高いアプリケーションの安全性を確保できる。
【０１０１】
図２９は、生体情報認証システムの第７の実施形態の構成図である。図２８の第６の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。この構成では、変換コードの世代管理を行う変換コード世代管理部２８０１及び変換コード世代管理番号データベース２８０２が、変換コード管理サーバ１０３とは異なる変換コード世代管理サーバ２９０１内に独立して設置される。この構成により、変換コードの世代管理と変換コード自体の管理とを、異なるサーバ管理者に割り当てることができる。
【０１０２】
図３０は、日付（曜日）毎に異なる変換コードによる変換済み登録用生体情報データを用いて照合が行われる場合の例を示す図である。この例では、同一の登録用生体情報データに対して、日付（曜日）毎に異なる変換コードにより変換された複数の変換済み登録用生体情報データデータが、変換済み生体情報データベース１１２（図１等参照）に保存される。例えば、同じ右手の人差し指の指紋を毎日使っているが、システムの内部では曜日毎に別の変換コードで変換されて登録されている人差し指の指紋データが用いられている場合などである。事前に複数の変換コードで変換した登録情報を保持しておくことで、時間帯、日、曜日、月により、異なる変換コードで変換された変換済み登録用生体情報データを自動的にシステム内部で利用することが可能である。これにより、変換コードや変換アルゴリズムの類推をより困難にすることができる。
【０１０３】
図３１は、上記第１から第７の実施形態のシステムを実現できるコンピュータ（生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４、ＩＤ変換管理サーバ２２０１、変換コード世代管理サーバ２９０１、生体認証クライアント２３０１、２５０１等）のハードウェア構成の一例を示す図である。
【０１０４】
図３１に示されるコンピュータは、ＣＰＵ３１０１、メモリ３１０２、入力装置３１０３、出力装置３１０４、外部記憶装置３１０５、可搬記録媒体３１０９が挿入される可搬記録媒体駆動装置３１０６、及びネットワーク接続装置３１０７を有し、これらがバス３１０８によって相互に接続された構成を有する。同図に示される構成は上記システムを実現できるコンピュータの一例であり、そのようなコンピュータはこの構成に限定されるものではない。
【０１０５】
ＣＰＵ３１０１は、当該コンピュータ全体の制御を行う。メモリ３１０２は、プログラムの実行、データ更新等の際に、外部記憶装置３１０５（或いは可搬記録媒体３１０９）に記憶されているプログラム又はデータを一時的に格納するＲＡＭ等のメモリである。ＣＵＰ３１０１は、プログラムをメモリ３１０２に読み出して実行することにより、全体の制御を行う。
【０１０６】
入力装置３１０３は、例えば、キーボード、マウス等及びそれらのインタフェース制御装置とからなる。入力装置３１０３は、ユーザによるキーボードやマウス等による入力操作を検出し、その検出結果をＣＰＵ３１０１に通知する。
【０１０７】
出力装置３１０４は、表示装置、印刷装置等及びそれらのインタフェース制御装置とからなる。出力装置３１０４は、ＣＰＵ３１０１の制御によって送られてくるデータを表示
装置や印刷装置に出力する。
【０１０８】
外部記憶装置３１０５は、例えばハードディスク記憶装置である。主に各種データやプログラムの保存に用いられる。
可搬記録媒体駆動装置３１０６は、光ディスクやＳＤＲＡＭ、コンパクトフラッシュ等の可搬記録媒体３１０９を収容するもので、外部記憶装置３１０５の補助の役割を有する。
【０１０９】
ネットワーク接続装置３１０７は、例えばＬＡＮ（ローカルエリアネットワーク）又はＷＡＮ（ワイドエリアネットワーク）の通信回線を接続するための装置である。
前述した第１から第７の実施形態によるシステムは、それに必要な機能を搭載したプログラムをＣＰＵ３１０１が実行することで実現される。そのプログラムは、例えば外部記憶装置３１０５や可搬記録媒体３１０９に記録して配布してもよく、或いはネットワーク接続装置３１０７によりネットワークから取得できるようにしてもよい。
【０１１０】
以上説明した実施形態により、変換コード管理サーバ１０３が管理する変換コードに従って生体情報データが変換されて、生体認証サーバ１０２内の変換登録処理部１０９による登録処理又は変換照合処理部２０１による照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には、変換コード管理サーバ１０３での制御により、変換処理用の変換コードを、一括又は利用者ＩＤ毎に個別に、認証組織主導で迅速に変更できる。従って、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能となる。
【０１１１】
また、各サーバが分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できてしまうことを阻止することが可能となる。
【０１１２】
また、変換コードが利用者ＩＤ毎に設定されることで、よりセキュアなシステムを実現することができる。
更に、変換コードの世代管理も利用者ＩＤ毎に行うことで、よりセキュアなシステムを実現することができる。
【０１１３】
また、生体情報データの漏洩検出手段により、生体情報の漏洩検出時に変換コードと登録用生体情報データの更新若しくは変換コードの更新を行い、利用者による変換コードの変更等を待たずに、認証組織主導による確実な漏洩の検知と迅速な対応が可能となる。
【０１１４】
この場合の漏洩検知は、変換済み登録用生体情報データと変換済み照合用生体情報データの各ハッシュ値の比較により、簡単に検出することができる。或いは、各サーバ間の処理ログの同期ずれを検出することによっても、漏洩を簡単に検出することができる。
【０１１５】
また、過去に照合に用いた変換済み照合用生体情報データのハッシュ値を保存し、新たに得られた変換済み照合用生体情報データのハッシュ値と比較することで、システム管理者等が悪意をもってサーバ上で過去の照合データを盗み再利用したことを検知できる。
【０１１６】
本実施形態における変換処理として、生体情報データのパターン変形を採用した場合、変形前の生体情報データを類推することが困難で、不可逆性を持つのが特徴である。また、変換処理として、生体情報データに所定の単位（パターンブロックもしくは画素単位）でランダム化変換を行うことで、元の登録用生体情報データを類推されることを防止できる。また、これらを組み合わせることにより、両者の特徴を併せ持った変形処理が可能となる。
この場合、変換コード管理サーバ１０３上の変換コードデータベース１１１にて、変換方式毎に変換コードを記録させることで、認証強度の細かい制御が可能となる。
【０１１７】
本実施形態では、登録用生体情報データデータの品質判定を行う品質判定手段を備えている。品質値の高い生体情報データは、生体情報データに対するノイズが少なく照合しやすいため、変換の強度（変形の大きさ）を強く（元の生体情報の類推をより困難に）しても本人認証性能低下への影響が少ないことが想定される。品質値に対応した変換の強さの選択と、個々の強度に応じた変換コードを持つことにより、生体情報データの品質値が高い場合にはより強い変換を選択するような制御が可能となる。また、品質値に応じてランダム変換の細かさを決定してそれに応じたランダム化テーブルを選択することで、生体情報データの品質値が高い場合にはより細かい変換を選択させることが可能となる。
【０１１８】
本実施形態では、変換コード管理サーバ１０３が変換コードだけでなく、変換コード世代管理番号も管理することで、生体情報データが漏洩した場合には、生体認証システムが一律で管理する変換コードの変換コード世代管理番号を更新すると共に新しい変換コードの生成することを、容易に行うことが可能となる。また、この世代管理を利用者ＩＤ毎に行うことで、更に細かい管理が可能となる。また、変換コードの生成を、変換コード世代管理番号と、利用者ＩＤ、システム番号、アプリケーション番号などと組み合わせることで、使用期間毎、利用者毎、システム毎、アプリケーション毎の認証強度の管理が可能となる。
【０１１９】
本実施形態では、ＩＤ変換管理サーバ２２０１が利用者ＩＤを変換することにより、個人情報と生体情報データの分離管理が可能となる。これにより、変換済み登録用生体情報データデータが漏洩した場合でも、例えば、預金口座のような意味のある利用者ＩＤと同時に流出させないことで、より安全性を確保することができる。
【０１２０】
本実施形態では、事前に複数の変換コードで変換した登録情報を保持しておくことで、時間帯、日、曜日、月等により、異なる変換コードで変換された変換済み登録用生体情報データを自動的にシステム内部で利用することが可能となる。これにより、変換コードや変換アルゴリズムの類推をより困難にすることができる。
【０１２１】
以上の各実施形態に関して、更に以下の付記を開示する。
（付記１）
生体情報データを変換するための変換コードを管理する変換コード管理ステップと、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記２）
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記１に記載の生体認証方法。
（付記３）
前記変換済み登録用生体情報データ、前記変換済み照合用生体情報データ、又は前記変換コードの何れかが漏洩したことが判明した場合に、前記変換コード世代管理ステップは前記変換コード世代管理情報を更新し、前記変換コード管理ステップは該更新された変換コード世代管理情報に基づいて前記変換コードを生成又は更新する、
ことを特徴とする付記２に記載の生体認証方法。
（付記４）
利用者の生体情報を取得する生体情報データ抽出ステップと、
変換コードにより登録に用いられた生体情報データが変換された変換済み登録用生体情報データと、前記変換コードにより前記抽出された生体情報データが変換された変換済み照合用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記５）
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理ステップと、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理ステップに変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記６）
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を前記利用者ＩＤに関連付けて管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを前記利用者ＩＤ毎に生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記５に記載の生体認証方法。
（付記７）
何れかの前記利用者ＩＤについて、前記変換済み登録用生体情報データ、前記変換済み照合用生体情報データ、又は前記変換コードの何れかが漏洩したことが判明した場合に、前記変換コード世代管理ステップは前記漏洩が判明した利用者ＩＤに対応する前記変換コード世代管理情報を更新し、前記変換コード管理ステップは該更新された変換コード世代管理情報に基づいて前記漏洩が判明した利用者ＩＤに対応する変換コードを生成又は更新する、
ことを特徴とする付記６に記載の生体認証方法。
（付記８）
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報及び前記利用者ＩＤ又は該利用者ＩＤに対応して一意に設定される識別情報に基づいて前記変換コードを前記利用者ＩＤ毎に生成又は更新する、
ことを特徴とする付記６又は７の何れか１項に記載の生体認証方法。
（付記９）
前記変換コード世代管理情報は、世代を示す番号情報である変換コード世代管理番号と、生体認証のシステムを識別するためのシステム識別情報とを含む、
ことを特徴とする付記２、３、６、７、又は８の何れか１項に記載の生体認証方法。
（付記１０）
前記変換コード世代管理情報は、生体認証が利用されるアプリケーションを識別するためのアプリケーション識別情報を更に含む、
ことを特徴とする付記２、３、６、７、８、又は９の何れか１項に記載の生体認証方法。
（付記１１）
前記変換コード管理ステップが実行される装置と、前記変換登録処理ステップ及び前記変換照合処理ステップが実行される装置と、前記変換済み生体情報データ管理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする付記１乃至３、又は５乃至１０の何れか１項に記載の生体認証方法。（付記１２）
前記変換登録処理ステップが実行される装置と前記変換照合処理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする付記１乃至３、又は５乃至１１の何れか１項に記載の生体認証方法。（付記１３）
前記変換登録処理ステップ及び前記変換照合処理ステップは、同一又は個別のサーバコンピュータにて実行され、前記生体情報データを、利用者が利用するクライアントコンピュータから受信する、
ことを特徴とする付記１乃至３，又は５乃至１２の何れか１項に記載の生体認証方法。（付記１４）
前記変換済み登録用生体情報データ又は前記変換済み照合用生体情報データの漏洩を検出する生体情報データ漏洩検出ステップを更に含み、
該漏洩が検出された場合に、前記変換コード管理ステップは、前記変換コードを生成し直し、
該変換コードに基づいて、前記変換登録処理ステップは、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記１乃至１２の何れか１項に記載の生体認証方法。
（付記１５）
前記生体情報データ漏洩検出ステップは、前記変換済み登録用生体情報データのハッシュ値と前記変換済み照合用生体情報データのハッシュ値をそれぞれ計算し、該両方のハッシュ値が一致したときに前記漏洩を検出する、
ことを特徴とする付記１４に記載の生体認証方法。
（付記１６）
前記生体情報データ漏洩検出ステップは、前記変換済み照合用生体情報データのハッシュ値を順次計算して記録しておき、新たに生成された前記変換済み照合用生体情報データについて計算したハッシュ値が前記記録しておいたハッシュ値と一致したときに前記漏洩を検出する、
ことを特徴とする付記１４又は１５の何れか１項に記載の生体認証方法。
（付記１７）
前記生体情報データ漏洩検出ステップは、前記変換コード管理ステップ、前記変換済み生体情報データ管理ステップ、又は前記変換照合処理ステップにおける処理ログを取得し、該各ステップにおける処理ログの同期に所定時間以上のずれが検出されたときに前記漏洩を検出する、
ことを特徴とする付記１４に記載の生体認証方法。
（付記１８）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データのパターン
を変形するパターン変換処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記１９）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データをランダム関数変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２０）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データを座標変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２１）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データのパターンを変形するパターン変換処理を行った後に、その出力をランダム関数変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２２）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データをランダム化する単位毎に、前記変換コード管理ステップにて管理される変換コードを順次取得して前記ランダム関数変更を実行する、
ことを特徴とする付記１９又は２１の何れか１項に記載の生体認証方法。
（付記２３）
前記変換コード管理ステップは、前記変換処理が複数の変換方式による変換である場合に、該各変換方式毎の変換コードを組で管理する、
ことを特徴とする付記１乃至２２の何れか１項に記載の生体認証方法。
（付記２４）
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記変換処理の強度に対応する変換コードを前記変換コード管理ステップにて選択させる、
ことを特徴とする付記１乃至２３の何れか１項に記載の生体認証方法。
（付記２５）
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記ランダム関数変換の細かさに対応するランダム化テーブルを前記変換コードとして前記変換コード管理ステップにて選択させる、
ことを特徴とする付記１乃至２３の何れか１項に記載の生体認証方法。
（付記２６）
前記利用者ＩＤを変換するＩＤ変換ステップを更に含み、
前記変換済み生体情報データ管理ステップは、前記利用者ＩＤに対応して前記ＩＤ変換ステップにて変換されたＩＤを用いて、前記変換済み登録用生体情報データを管理する、
ことを特徴とする付記５乃至１０の何れか１項に記載の生体認証方法。
（付記２７）
前記変換登録処理ステップは、同一の前記登録用生体情報データに対して所定の日時情報毎に異なる前記変換コードを用いて前記変換処理を実行して、複数の前記変換済み登録用生体情報データを出力して前記変換済み生体情報データ管理ステップに管理させ、
前記変換照合処理ステップは、前記照合用生体情報データに対して現在の日時情報に対応する前記変換コードを用いて前記変換処理を実行して前記変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み生体情報データ管理ステップにて管理されている現在の日時に対応する前記変換済み登録用生体情報データとを照合する、
ことを特徴とする付記１乃至３、又は５乃至２６の何れか１項に記載の生体認証方法。
（付記２８）
生体情報データを変換するための変換コードを管理する変換コード管理部と、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
（付記２９）
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理部と、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理部に変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【産業上の利用可能性】
【０１２２】
開示する技術は、音声、顔、指紋、掌紋、血管パターン、虹彩、網膜、署名等の生体情報を用いたバイオメトリクス認証において、ユーザ（登録者）の生体情報の悪用や流出、それによる被害の発生を抑止するために利用することができる。
【符号の説明】
【０１２３】
１０１ クライアント
１０２ 生体認証サーバ
１０３ 変換コード管理サーバ
１０４ 変換済み生体情報データベース管理サーバ
１０５ 生体情報センサ
１０６ テンキー
１０７ 生体情報取得部
１０８ 生体情報抽出部
１０９ 変換登録処理部
１１０ 変換コード生成・チェック処理部
１１１ 変換コードデータベース
１１２ 変換済み生体情報データベース
２０１ 変換照合処理部
２１０１ 生体認証登録サーバ
２１０２ 生体認証照合サーバ
２２０１ ＩＤ変換管理サーバ
２３０１、２５０１ 生体認証クライアント
２８０１ 変換コード世代管理部
２８０２ 変換コード世代管理番号データベース
２９０１ 変換コード世代管理サーバ
３１０１ ＣＰＵ
３１０２ メモリ
３１０３ 入力装置
３１０４ 出力装置
３１０５ 外部記憶装置
３１０６ 可搬記録媒体駆動装置
３１０７ ネットワーク接続装置
３１０８ バス
３１０９ 可搬記録媒体
【技術分野】
【０００１】
開示する技術は、生体認証技術に関する。
【背景技術】
【０００２】
コンピュータネットワークの商用利用の拡大に伴い、ネットワーク上でのデータアクセス、決済、伝票送付等に際しての本人確認技術が求められている。本人確認技術の１つとして、生体情報を利用した個人認証技術が普及し始めている。個人認証に各個人固有の生体情報を用いることにより、各個人の生体情報は本人以外は持つことはできないので、確実に本人であることが保証される。生体情報を用いた個人認証技術には、指紋、虹彩、血管パターン、声紋、網膜、顔等の、いわゆるバイオメトリクス認証技術がある。
【０００３】
バイオメトリクス認証技術は、パスワードや所有物と異なり、本人への成り済ましが困難であるという特長がある。その反面、変えることができない個人の生体情報を計測して認証に使用することは、マスターキーの常時利用に当たり、認証用の生体情報が盗難・漏洩した場合の影響が大きい。
【０００４】
図３２は、従来の一般的な生体情報登録システムの構成図である。生体情報取得部３２０１が、センサを通じて利用者の登録用の生体情報を取得する。次に、特徴情報抽出部３２０２が、その取得された生体情報から特徴情報を抽出し、その特徴情報のデータを生体情報データとして出力する。次に、暗号化部３２０３が、上記生体情報データを暗号化する。そして、登録部３２０４が、その暗号化された生体情報データを、利用者によって入力されたユーザＩＤ情報（以下、単に「ＩＤ」という）をキーとして、データベースに登録する。
【０００５】
図３３は、従来の一般的な生体情報照合システムの構成図である。照合用生体情報取得部３３０１が、センサを通じて利用者の照合用の生体情報を取得する。次に、特徴情報抽出部３３０２が、その取得された照合用の生体情報から特徴情報を抽出し、その特徴情報のデータを照合用の生体情報データとして出力する。一方、登録済生体情報取得部３３０３が、利用者によって入力されたＩＤをキーとして、データベースからその利用者の登録済みの暗号化された生体情報データを抽出する。次に、暗号化データ復号処理部３３０４が、その暗号化された生体情報データから元の登録用の暗号化されていない生体情報データを復号する。続いて、照合処理部３３０５が、特徴情報抽出部３３０２が抽出した照合用の生体情報データと、暗号化データ復号処理部３３０４が復号した登録用の生体情報データとを照合する処理を実行し、両者の類似度を算出する。そして、一致不一致確認部３３０６が、その類似度の値が所定値以上のスコアとなった場合に、認証が成立したと判定し、特には図示しないログインシステム又はドアロック制御システムなどに通知する。
【０００６】
図３４は、図３２に示される生体情報登録システムをベースとした、従来の一般的なクライアント・サーバ型生体情報登録システムの構成図である。
クライアント３４０１は、利用者が利用するコンピュータ又は入退室システム等である。クライアントは、生体情報センサ３４０４、テンキー３４０５、生体情報取得部３４０６、及び生体情報抽出部３４０７を含む。クライアント３４０１において、利用者はまず、テンキー３４０５等を用いてＩＤを入力する。これと共に、生体情報取得部３４０６が、生体情報センサ３４０４を通じて、利用者の生体情報を取得する。次に、生体情報抽出部３４０７が、その生体情報から登録用生体情報データを抽出する。クライアント３４０１は、その登録用生体情報データと、テンキー３４０５等から入力された利用者のＩＤを、生体認証サーバ３４０２に送信する。ここで、生体情報データは、生体情報取得部３４
０６にて取得された生体情報をそのままデータ化したものであってもよいし、図３２のように生体情報から特徴情報を抽出して得られるデータであってもよい。
【０００７】
生体認証サーバ３４０２は、生体認証を実施するサーバコンピュータであり、書込み処理部３４０８を含む。生体認証サーバ３４０２において、書込み処理部３４０８は、クライアント３４０１から受信した利用者のＩＤと登録用生体情報データを、必要に応じて暗号化するなどした後に、生体情報データベース管理サーバ３４０３に送信する。
【０００８】
生体情報データベース管理サーバ３４０３は、生体情報データベース３４０９を管理するサーバであり、生体認証サーバ３４０２と同一のサーバコンピュータであってもよいし、別のサーバコンピュータであってもよい。生体情報データベース管理サーバ３４０３は、生体認証サーバ３４０２から利用者のＩＤと登録用生体情報データを受信すると、そのＩＤをキーとして登録用生体情報データを生体情報データベース３４０９に登録する。
【０００９】
図３５は、図３３に示される生体情報照合システムをベースとした、従来の一般的なクライアント・サーバ型生体情報照合システムの構成図である。図３５において、図３４の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００１０】
認証実行時に利用者は、クライアント３４０１において、テンキー３４０５等を用いてＩＤを入力する。これと共に、生体情報取得部３４０６が、生体情報センサ３４０４を通じて、利用者の生体情報を取得する。次に、生体情報抽出部３４０７が、その生体情報から照合用生体情報データを抽出する。クライアント３４０１は、その照合用生体情報データと、テンキー３４０５等から入力された利用者のＩＤを、生体認証サーバ３４０２に送信する。
【００１１】
生体認証サーバ３４０２は、図３４に示される書込み処理部３４０８のほかに、認証処理部３５０１を含む。この認証処理部３５０１は、図３３の照合処理部３３０５及び一致不一致確認部３３０６に対応する。認証処理部３５０１は、クライアント３４０１から利用者のＩＤと照合用生体情報データを受信すると、ＩＤを生体情報データベース管理サーバ３４０３に送信する。
【００１２】
生体情報データベース管理サーバ３４０３は、生体認証サーバ３４０２からＩＤを受信すると、そのＩＤをキーとして生体情報データベース３４０９を検索し、そのＩＤに対応する利用者の登録用生体情報データを抽出する。そして、同サーバ３４０３は、その登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００１３】
生体認証サーバ３４０２の認証処理部３５０１は、生体情報データベース管理サーバ３４０３からＩＤと登録用生体情報データを受信すると、登録用生体情報データを必要に応じて復号処理等する。そして、認証処理部３５０１は、その登録用生体情報データと、クライアント３４０１から受信した上記ＩＤに対応する照合用生体情報データとを照合する処理を実行し、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００１４】
上述した従来の一般的なクライアント・サーバ型の生体認証システムでは、認証処理部３５０１は、生体情報データを生データのままで、又は生体情報データに対して施された暗号を復号してメモリ上に展開した上で、照合認証処理を実行していた。また、生体情報データとしては、生の生体情報、又は元の生体情報が類推されやすい一次テンキーな特徴情報が用いられていた。
【００１５】
上述した従来の一般的なクライアント・サーバ型の生体認証システムを改良したシステムとして、図３６及び図３７に示されるような生体情報登録／照合システムが知られてい
る。
【００１６】
図３６は、従来の生体情報変換機能付きクライアント・サーバ型生体情報登録システムの構成図である。図３６において、図３４の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００１７】
図３６の構成では、生体情報データが登録される際に、登録用生体情報データがそのままの形では登録されずに、クライアント３４０１内の生体情報変換部３６０１が、生体情報抽出部３４０７が抽出した登録用生体情報データを一度変換する。そして、クライアント３４０１は、その変換済み登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００１８】
生体認証サーバ３４０２において、書込み処理部３６０２は、クライアント３４０１から受信した利用者のＩＤと変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ３６０３に送信する。
【００１９】
そして、変換済み生体情報データベース管理サーバ３６０３が、上記ＩＤをキーとして変換済み登録用生体情報データを、変換済み生体情報データベース３６０４に登録する。
図３７は、図３６に対応する従来の生体情報変換機能付きクライアント・サーバ型生体情報照合システムの構成図である。図３７において、図３４又は図３６の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００２０】
図３７の構成では、認証実行時にも、クライアント３４０１において生体情報データが取得される際に、照合用生体情報データがそのままの形では登録されずに、クライアント３４０１内の生体情報変換部３６０１が、生体情報抽出部３４０７が抽出した照合用生体情報データを一度変換する。そして、クライアント３４０１は、その変換済み照合用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００２１】
生体認証サーバ３４０２は、図３６に示される書込み処理部３６０２のほかに、認証処理部３７０１を含む。認証処理部３７０１は、クライアント３４０１から利用者のＩＤと変換済み照合用生体情報データを受信すると、ＩＤを変換済み生体情報データベース管理サーバ３６０３に送信する。
【００２２】
変換済み生体情報データベース管理サーバ３６０３は、生体認証サーバ３４０２からＩＤを受信すると、そのＩＤをキーとして変換済み生体情報データベース３６０４を検索し、そのＩＤに対応する利用者の変換済み登録用生体情報データを抽出する。そして、同サーバ３６０３は、その変換済み登録用生体情報データをＩＤと共に生体認証サーバ３４０２に送信する。
【００２３】
生体認証サーバ３４０２の認証処理部３７０１は、変換済み生体情報データベース管理サーバ３６０３からの変換済み登録用生体情報データと、クライアント３４０１からの上記ＩＤに対応する変換済み照合用生体情報データとを照合する処理を実行する。そして、認証処理部３７０１は、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００２４】
ここで、万一、生体認証サーバ３４０２又は変換済み生体情報データベース管理サーバ３６０３から、変換済み登録用生体情報データが盗まれた場合には、図３６のシステムにおける利用者による生体情報の再登録時に、利用者がテンキー３４０５から変更された変換コードを入力する。この結果、生体情報の再登録時に、生体情報変換部３６０１での変換形式（変換パラメータ等）が変更される。このような方式により、過去に盗まれたデータにより成り済ましが行われることが防止される。
【００２５】
この場合に、生体情報変換部３６０１における変換アルゴリズムや、変換テーブル、パラメータ等は、生体情報データの提供者である利用者が管理し、登録管理者側に生体情報若しくは生体情報から直接抽出された特徴情報等の生体情報データが渡されない。これにより、悪意のあるサーバ管理者による生体情報の悪用とプライバシーの保護が実現されている。
【先行技術文献】
【特許文献】
【００２６】
【特許文献１】特開平２０００−１１１７６号公報
【発明の概要】
【発明が解決しようとする課題】
【００２７】
しかし、図３４及び図３５の第１の従来技術では、悪意のあるサーバ管理者が例えばサーバ上のメモリダンプ操作により生の生体情報データを盗み出した場合、又はサーバから大量の生体情報データが漏洩しその暗号が解かれた場合に、大きな問題が発生する。即ち、生体情報データが生体情報から類推し易い性質がある場合が多いため、以後その生体情報自体の利用が困難になり、生体情報の再登録だけでは対応が不可能であるという問題点を有していた。また、情報を漏洩された利用者は、他のシステムでの同種の生体認証の利用を躊躇することも予想される。
【００２８】
一方、図３６及び図３７に示される第２の従来技術では、生体情報が直接的な形では悪意のあるサーバ管理者に盗まれることはない。しかし、変換済み登録用生体情報データが盗まれた際には、利用者に対して、クライアント３４０１内の生体情報変換部３６０１における変換形式の変更を促さなければならない。これは、従来の単純なパスワードによる通常認証方式の場合にパスワードが盗まれたら利用者自らがパスワードを変更しなければならないのと同じことである。従って、上記第２の従来技術は本質的に、通常認証方式の問題点を内包していることになる。
【００２９】
つまり、上記第２の従来技術では、変換済み登録用生体情報データが盗まれた際に、あくまでも利用者による生体情報変換形式の変更操作を待たなければならず、認証管理組織側で迅速に認証保護を行うことが困難であるという問題点を有していた。
【００３０】
また、上記第２の従来技術では、生体情報の変換形式を定期的に変更したり、複数の変換形式の組合せ等のより複雑なものに変更する等の、認証強度のコントロール（有効期限・強度の直接的な管理）を行う場合も、利用者に変更を明示的に促す必要があった。このことはやはり、通常認証方式においてより複雑なパスワードの利用を利用者に明示的に促さない限り認証の安全性の制御ができないのと同じ問題であり、認証管理組織が主導で認証強度のコントロールを行うことが困難であった。
【００３１】
特にクライアントを利用する利用者が複数の場合、生体情報変換処理を個別に行うための複数の変換キー（又は変換コード）を持つ必要があり、その変換キーは利用者自らが管理しなければならない。従って、認証強度のコントロールは、利用者が変換キーを適切に管理するか否かに依存してしまう。また、利用者は、変換キーを常時携帯しなければならず、変換キーを失念又は紛失したような場合に、認証管理組織委側によるコントロールが困難である。更に、ＡＴＭのような公共での共用端末装置でのサービスには不向きであるといった問題点を有していた。
【００３２】
上記の問題点を解決するために、生体情報変換部をクライアント側ではなく生体認証サーバ側に設置して、変換形式の変更を認証管理組織側の主導で行えるようにすることが容
易に考えられる。しかしその場合には、悪意のあるサーバ管理者によって、変換済み登録用生体情報データと共に変換形式に関する情報がセットで盗まれる可能性があり、その場合には過去に盗まれたデータにより成り済ましができてしまい、認証の安全性が維持できない。
【００３３】
開示する技術が解決しようとする課題は、生体情報データそのものの漏洩を防止すると共に、認証管理組織側主導での認証の安全性の迅速な確保及び認証強度のコントロールを可能とすることにある。
【課題を解決するための手段】
【００３４】
上記課題を解決するために、開示する技術は、以下の構成を含む。
変換コード管理ステップは、生体情報データを変換するための変換コードを管理する。
変換登録処理ステップは、生体情報の登録時に入力された登録用生体情報データを、変換コードに基づいて変換した変換済み登録用生体情報データを出力する。
【００３５】
変換済み生体情報データ管理ステップは、変換済み登録用生体情報データを記録管理する。
そして、変換照合処理ステップは、生体情報の照合時に入力された照合用生体情報データを、変換コードに基づいて変換した変換済み照合用生体情報データを出力し、その変換済み照合用生体情報データと変換済み登録用生体情報データとを照合する。
【発明の効果】
【００３６】
開示する技術によれば、変換コード管理ステップが管理する変換コードに従って生体情報データが変換されて、変換登録処理ステップによる登録処理又は変換照合処理ステップによる照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には、変換コード管理ステップでの制御により、変換処理用の変換コードを、一括又は利用者ＩＤ毎に個別に、認証組織主導で迅速に変更し、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能となる。
【００３７】
また、変換コード管理ステップ、変換済み生体情報データ管理ステップ等を、変換登録処理ステップや変換照合処理ステップから分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できてしまうことを阻止することが可能となる。
【図面の簡単な説明】
【００３８】
【図１】生体情報認証システムの第１の実施形態における生体情報登録システム部分の構成図である。
【図２】生体情報認証システムの第１の実施形態における生体情報照合システム部分の構成図である。
【図３】生体情報認証システムの第１の実施形態における生体情報漏洩時再登録処理の説明図である。
【図４】生体情報データのパターン変換（変形）処理による変換例を示す図である。
【図５】静脈データでのパターン変換（変形）処理による変換登録例を示す図である。
【図６】静脈データでのパターン変換処理による照合例を示す図である。
【図７】生体情報データのランダム関数変換処理による変換例を示す図である。
【図８】静脈データでのランダム関数変換処理による変換登録例を示す図である。
【図９】静脈データでのランダム関数変換処理による照合例（その１）を示す図である。
【図１０】静脈データでのランダム関数変換処理による照合例（その２）を示す図である。
【図１１】生体情報データの座標系変換処理による変換例を示す図である。
【図１２】生体情報データのパターン変換（変形）処理＋ランダム関数変換処理による変換例を示す図である。
【図１３】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による変換登録例を示す図である。
【図１４】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による照合例（その１）を示す図である。
【図１５】静脈データでのパターン変換（変形）処理＋ランダム関数変換処理による照合例（その２）を示す図である。
【図１６】複数の変換処理の組合せ方式における変換コードデータベースの例を示す図である。
【図１７】生体情報データの品質により変換強度が変更されるパターン変換処理の例を示す図である。
【図１８】生体情報データの品質により変換強度が変更されるランダム関数変換処理の例を示す図である。
【図１９】生体情報データ漏洩検出手段の第１の構成例を示す図である。
【図２０】生体情報データ漏洩検出手段の第２の構成例を示す図である。
【図２１】生体情報認証システムの第２の実施形態の構成図である。
【図２２】生体情報認証システムの第３の実施形態の構成図である。
【図２３】生体情報認証システムの第４の実施形態における生体情報登録システム部分の構成図である。
【図２４】生体情報認証システムの第４の実施形態における生体情報照合システム部分の構成図である。
【図２５】生体情報認証システムの第５の実施形態における生体情報登録システム部分の構成図である。
【図２６】生体情報認証システムの第５の実施形態における生体情報照合システム部分の構成図である。
【図２７】変換コードの世代管理を行う変換コード生成・チェック処理部の構成例を示す図である。
【図２８】生体情報認証システムの第６の実施形態の構成図である。
【図２９】生体情報認証システムの第７の実施形態の構成図である。
【図３０】日付（曜日）毎に異なる変換コードによる変換済み登録用生体情報データを用いて照合する例を示す図である。
【図３１】各実施形態を実現するハードウェア構成図である。
【図３２】従来の一般的な生体情報登録処理システムの構成図である。
【図３３】従来の一般的な生体情報照合システムの構成図である。
【図３４】従来の一般的なクライアント・サーバ型生体情報登録システムの構成図である。
【図３５】従来の一般的なクライアント・サーバ型生体情報照合システムの構成図である。
【図３６】従来の生体情報変換機能付きクライアント・サーバ型生体情報登録システムの構成図である。
【図３７】従来の生体情報変換機能付きクライアント・サーバ型生体情報照合システムの構成図である。
【発明を実施するための形態】
【００３９】
以下、実施形態について詳細に説明する。
図１は、生体情報認証システムの第１の実施形態における生体情報登録システム部分の構成図である。この構成は、照合用生体情報データと登録用生体情報データとの照合結果
に基づいて本人認証を行う、クライアント・サーバ型の生体認証システムの実施形態である。クライアント１０１は例えば、利用者が利用するコンピュータ又は入退室システム等である。
【００４０】
図１の構成では、クライアント１０１、生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４が連携して動作する。クライアント１０１は、生体情報センサ１０５から生体情報を取得する生体情報取得部１０７、生体情報から生体情報データを抽出する生体情報抽出部１０８を含む。生体認証サーバ１０２は、変換登録処理部１０９を含む。変換コード管理サーバ１０３は、変換コード生成・チェック処理部１１０、及び変換コードデータベース１１１を含む。
【００４１】
図１の生体情報登録システムにおける生体情報の登録手順は、以下の通りである。
クライアント１０１において、利用者はまず、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から登録用生体情報データを抽出する。クライアント１０１は、その登録用生体情報データと、テンキー１０６５等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。このとき利用者は、ＩＣカードや磁気カード等、何らかの媒体に格納された利用者のＩＤを用いてもよい。また、第三者がＩＤの代行入力を行っても良い。
【００４２】
生体認証サーバ１０２において、変換登録処理部１０９が、クライアント１０１から利用者のＩＤと登録用生体情報データを受信する。
変換登録処理部１０９は、受信したＩＤを変換コード管理サーバ１０３へ送信する。変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤに対応させて変換コードを生成する。そして、同処理部１１０は、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信すると共に、そのＩＤをキーとして変換コードを変換コードデータベース１１１に登録する。
【００４３】
生体認証サーバ１０２の変換登録処理部１０９は、変換コード管理サーバ１０３からＩＤと変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している登録用生体情報データに対して、変換コードに基づく変換処理を実行する。その結果、同処理部１０９は、変換済み登録用生体情報データを生成する。ここでいう生体情報データの変換とは、詳しくは後述するが、生体情報からの特徴抽出や暗号化を示すものではなく、例えば生体情報データの不可逆な変形や、ランダム化関数処理、或いは、生体特徴データの座標変換処理を示すものである。その後、変換登録処理部１０９は、変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ１０４に送信する。
【００４４】
変換済み生体情報データベース管理サーバ１０４は、変換済み生体情報データベース１１２を管理するサーバである。同サーバ１０４は、生体認証サーバ１０２から利用者のＩＤと変換済み登録用生体情報データを受信すると、そのＩＤをキーとして変換済み登録用生体情報データを変換済み生体情報データベース１１２に登録する。
【００４５】
図２は、生体情報認証システムの第１の実施形態における生体情報照合システム部分の構成図である。図２において、図１の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００４６】
図２の構成では、生体認証サーバ１０２が新たに変換照合処理部２０１を含む。
図２の生体情報登録システムにおける生体情報の登録手順は、以下の通りである。
認証実行時に利用者は、クライアント１０１において、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利
用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から照合用生体情報データを抽出する。クライアント１０１は、その照合用生体情報データと、テンキー１０６等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。
【００４７】
生体認証サーバ１０２において、変換照合処理部２０１が、クライアント１０１から利用者のＩＤと照合用生体情報データを受信する。
変換照合処理部２０１は、受信したＩＤを、変換コード管理サーバ１０３と変換済み生体情報データベース管理サーバ１０４へ送信する。
【００４８】
変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤをキーとして変換コードデータベース１１１を検索し、そのＩＤに対応する変換コードを抽出する。そして、同処理部１１０は、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信する。
【００４９】
変換済み生体情報データベース管理サーバ１０４は、生体認証サーバ１０２からＩＤを受信すると、そのＩＤをキーとして変換済み生体情報データベース１１２を検索し、そのＩＤに対応する利用者の変換済み登録用生体情報データを抽出する。そして、同サーバ１０４は、その登録用生体情報データをＩＤと共に生体認証サーバ１０２に送信する。
【００５０】
生体認証サーバ１０２の変換照合処理部２０１は、変換コード管理サーバ１０３からＩＤと変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している照合用生体情報データに対して、変換コードに基づく変換処理を実行する。その結果、同処理部２０１は、変換済み照合用生体情報データを生成する。
【００５１】
更に、変換照合処理部２０１は、上記ＩＤに対応して変換済み生体情報データベース管理サーバ１０４から受信している変換済み登録用生体情報データと、上記へ照合用生体情報データとを照合する処理を実行する。そして、同処理部２０１は、両者の類似度を算出し、その類似度の値に基づいて認証を行う。
【００５２】
上述した図１及び図２に示されるシステム構成における具体的なハードウェア構成としては、下記1)から4)の何れかの構成を採用することができる。
1)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、個別のサーバコンピュータ、及び個別のハードディスクで構成する2)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、同一のサーバコンピュータ、個別のハードディスクで構成する。
3)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４を、物理的に離れた場所におく。
3)生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４の管理者を個別に設定する。
【００５３】
図１及び図２のシステム構成において、変換済み生体情報データベース管理サーバ１０４に登録されるＩＤは、社会生活上の個人情報、例えば銀行の口座番号やクレジットカード番号とは結びつかないＩＤとすることも可能である。
【００５４】
また、図１及び図２のシステム構成において、変換コードは、１つのデータではなく、複数のデータから構成されたり、マトリックス上の変換テーブルとして扱ってもよい。
図１及び図２のシステム構成において、変換済み登録用生体情報データ又は変換コードの盗難・漏洩が判明した後の生体情報データの再登録処理について、図３の説明図を用い
て説明する。図３において、図１の場合と同じサーバ装置、及び同じ処理を行う部分には同じ番号が付されている。
【００５５】
クライアント１０１において、利用者は、テンキー１０６等を用いてＩＤを入力する。これと共に、生体情報取得部１０７が、生体情報センサ１０５を通じて、利用者の生体情報を取得する。次に、生体情報抽出部１０８が、その生体情報から再登録用生体情報データを抽出する。クライアント１０１は、その再登録用生体情報データと、テンキー１０６５等から入力された利用者のＩＤを、生体認証サーバ１０２に送信する。
【００５６】
生体認証サーバ１０２において、変換登録処理部１０９が、クライアント１０１から利用者のＩＤと再登録用生体情報データを受信する。
変換登録処理部１０９は、受信したＩＤを変換コード管理サーバ１０３へ送信する。変換コード管理サーバ１０３において、変換コード生成・チェック処理部１１０は、ＩＤを受信すると、そのＩＤに対応させて新たな変換コードを生成し、その変換コードを、上記ＩＤと共に生体認証サーバ１０２に送信する。また、同処理部１０９は、そのＩＤをキーとして変換コードデータベース１１１を検索し、検索されたレコード上の古い変換コードを新たに生成した変換コードに置き換えて再登録する。
【００５７】
生体認証サーバ１０２の変換登録処理部１０９は、変換コード管理サーバ１０３からＩＤと新たに生成された変換コードを受信すると、そのＩＤに対応してクライアント１０１から受信している再登録用生体情報データに対して、新たな変換コードに基づく再変換処理を実行する。その結果、同処理部１０９は、再変換済み登録用生体情報データを生成する。その後、変換登録処理部１０９は、再変換済み登録用生体情報データを、変換済み生体情報データベース管理サーバ１０４に送信する。
【００５８】
変換済み生体情報データベース管理サーバ１０４は、生体認証サーバ１０２から利用者のＩＤと再変換済み登録用生体情報データを受信すると、そのＩＤをキーとして変換済み生体情報データベース１１２を検索する。そして、同サーバ１０４は、検索されたレコードに登録されている古い変換済み登録用生体情報データを、新たに受信した再変換済み登録用生体情報データに置き換えて再登録する。
【００５９】
図１又は図２の第１の実施形態の構成により、変換コード管理サーバ１０３が管理する変換コードに従って生体情報データが変換されて登録・照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には変換処理用の変換コードを一括又は利用者ＩＤ毎に個別に迅速な変更を実施し、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能である。
【００６０】
また、生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４が分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できないため再利用が困難であるという特徴を有する。
【００６１】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの変換例を、図４に示す。この例では、生体情報データの変換処理として、パターン変換（変形）が行われる。この変換のために、図１の変換コードとして、パターン変換コードが使用され、このコードに基づいてパターン変換（変形）が行われる。この変換例は、変形前の生体情報データを類推することが困難で、不可逆性を有することが特徴である。
【００６２】
図５に、生体情報データが静脈データである場合における、パターン変換（変形）処理（Ｓ５０１）による図１の変換登録処理部１０９での図４に基づく変換登録例を示す。
また図６に、静脈データでのパターン変換処理による、図２の変換照合処理部２０１での図４に基づく変換照合例を示す。この例では、照合用生体情報データに対して、パターン変換コードによるパターン変換処理が実行され（Ｓ６０１）、その変換された照合用生体情報データと変換済み登録用生体情報データの変換データ同士が照合される（Ｓ６０２）。このように、照合処理は、変換されたままの状態で実施される。パターン変換の単位は、１ドットだけではなく、複数ドットのブロック単位での適用も可能である。1ドットの場合は、より滑らかな変換が行える。
【００６３】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの他の変換例を、図７に示す。この例では、生体情報データの変換処理として、生体情報データに所定の単位（パターンブロックもしくは画素単位）でランダム関数による変換処理が実施される。この変換のために、図１の変換コードとして、ランダム化テーブルが用いられる。この結果、図１の変換済み登録用生体情報データとして、ランダム化登録用生体情報データが得られる。ランダム化の単位は、１ドットだけではなく、ブロック単位での適用も可能である。1ドットの場合は、最も類推が困難である。
【００６４】
図８に、静脈データでの１ドット単位のランダム関数変換処理（Ｓ８０１）による、図１の変換登録処理部１０９での図７に基づく変換登録例を示す。
また、図９に、静脈データでの１ドット単位のランダム関数変換処理による、図２の変換照合処理部２０１での図６に基づく照合例（その１）を示す。この例では、照合用生体情報データが、ランダム関数変換処理によって所定単位毎にランダム化され（Ｓ９０１）、そのランダム化領域毎に、そのランダム化された照合用生体情報データとランダム化登録用生体情報データとが照合される（Ｓ９０２）。この照合処理が、所定単位毎に繰り返される（Ｓ９０３）。この場合、両者の照合位置がずれないように、事前に位置ずれや拡大縮小の補正が行われる。
【００６５】
更に、図１０に、静脈データでの１ドット単位のランダム関数変換処理による、図２の変換照合処理部２０１での図６に基づく照合例（その２）を示す。この例では、ランダム化登録用生体情報データに対して、そのデータがランダム化された所定単位で、逆ランダム関数による変換処理が実行される（Ｓ１００１）。そして、そのランダム化領域毎に、逆ランダム化された登録用生体情報データとクライアント１０１から受信された照合用生体情報データとが照合される（Ｓ１００２）。この照合処理が、所定単位毎に繰り返される（Ｓ１００３）。この場合に、ランダム化登録用生体情報データデータの全てが一度には逆ランダム化されないことにより、メモリ上に全ての登録用生体情報データが逆ランダム化されて展開されることが防止され、登録用生体情報データそのものの漏洩が阻止される。この例では、登録用生体情報データと照合用生体情報データの間に位置ずれがあっても適用することができる。
【００６６】
上記図９又は図１０において、変換コード管理サーバ１０３から、変換コードであるランダム化テーブルが一括して送られずに、図２の変換照合処理部２０１での照合処理と連動するランダム化単位毎のランダム化テーブルが送付されることで、照合時に図２の生体認証サーバ１０２に全ての情報が揃ってしまうことを抑止することができる。
【００６７】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの更に他の変換例を、図１１に示す。この例では、生体情報データの変換処理として、座標系変換が用いられる。生体情報から固有の符号化された特徴情報、例えば指紋認証での特徴点座標や、虹彩認証での１次元のアイリスパターン（０：無し／1：有り）を抽出できる場合には、座標変換を用いることが可能である。また、顔画像においては、パーツ（目、鼻、口）毎に基準座標系を持たせることも可能である。
【００６８】
図１の変換登録処理部１０９又は図２の変換照合処理部２０１における生体情報データの更に他の変換例を、図１２に示す。この例では、生体情報データの変換処理として、図４に示されるパターン変換処理と図７に示されるランダム関数変換処理とが組み合わせて実施される。２つの方式が併用されることで、パターン変換（変形）による不可逆性の利点と、ランダム化により照合時に生体認証サーバ１０２内で登録用生体情報データデータの一部しか同時にメモリに展開されない利点の両方を満足することができる。
【００６９】
図１３に、静脈データでの１ドット単位のパターン変換処理（Ｓ１３０１）＋ランダム関数変換処理（Ｓ１３０２）による、図１の変換登録処理部１０９での図１３に基づく変換登録例を示す。
【００７０】
また、図１４に、静脈データでの１ドット単位のパターン変換処理＋ランダム関数変換処理による、図２の変換照合処理部２０１での図１３に基づく照合例（その１）を示す。この例は、図５と図９の組合せである。照合用生体情報データが、パターン変換された後に（Ｓ１４０１）、所定単位毎にランダム関数変換され（Ｓ１４０２）、そのランダム化領域毎に、そのランダム化された照合用生体情報データとランダム化登録用生体情報データとが照合される（Ｓ１４０３）。この照合処理が、所定単位毎に繰り返される（Ｓ１４０４）。
【００７１】
更に、図１５に、静脈データでの１ドット単位のパターン変換処理＋ランダム関数変換処理による、図２の変換照合処理部２０１での図１３に基づく照合例（その２）を示す。この例は、図６と図１０の組合せである。即ちこの例では、ランダム化登録用生体情報データに対して、そのデータがランダム化された所定単位で、逆ランダム関数による変換処理が実行される（Ｓ１５０１）。一方、照合用生体情報データはパターン変換される（Ｓ１５０２）。そして、そのランダム化領域毎に、逆ランダム化された登録用生体情報データとパターン変換された照合用生体情報データとが照合される（Ｓ１５０３）。この照合処理が、所定単位毎に繰り返される（Ｓ１５０４）。
【００７２】
上記図１４及び図１５の何れでも、少なくともパターン変換された領域で照合が行われるため、漏洩に対する耐性が強い。図１４の構成は、更にランダム化領域での照合が行われるため漏洩に対する耐性は更に強くなるが、位置ずれ等に対する安定性は図１５の構成のほうが高い。
【００７３】
図１６は、複数の変換処理の組合せ方式が採用された場合における、図１の変換コード管理サーバ１０３内の変換コードデータベース１１１の例を示す図である。このように同データベース１１１では、利用者のＩＤ毎に、各変換処理の変換コードが管理される。例えば、上述のようにパターン変換（変形）処理とランダム関数変換処理の両方が組み合わされる場合には、ＩＤ毎に、２種類の変換コードが管理される。
【００７４】
図１７は、登録用生体情報データの品質判定を行う手段を含んだパターン変換処理（図４、図５等参照）による図１の変換登録処理部１０９の処理例を示す図である。品質値の高い生体情報データは、生体情報に対するノイズが少なく照合しやすいため、変換の強度（変形の大きさ）を強く（元の生体情報の類推をより困難に）しても本人認証性能低下への影響が少ないことが想定される。そこで、図１７では、登録用の原生体情報データに対して品質判定が行われ（Ｓ１７０１）、その結果得られる品質値に対応して変換強度が判定され（Ｓ１７０２）、図１の変換コード管理サーバ１０３においてパターン変換コードが選択される（Ｓ１７０３）。そして、新たに登録用生体情報データが取得されて、上記選択されたパターン変換コードを用いたパターン変換処理が実行され（Ｓ１７０４）、変換済み登録用生体情報データが得られる。
【００７５】
図１８は、登録用生体情報データの品質判定を行う手段を含んだランダム関数変換処理（図７、図８等参照）による図１の変換登録処理部１０９の処理例を示す図である。この例ではまず、登録用の原生体情報データに対して品質判定が行われる（Ｓ１８０１）。次に、その結果得られる品質値に対応してランダム関数変換の細かさを示すランダム化単位が決定され（Ｓ１８０２）、図１の変換コード管理サーバ１０３において変換コードとしてのランダム化テーブルが選択される（Ｓ１８０３）。生体情報データの品質値が高い場合には、より細かいランダム化テーブルが選択される。そして、新たに登録用生体情報データが取得されて、上記選択されたランダム化テーブルを用いたランダム関数変換処理が実行され（Ｓ１８０４）、ランダム化登録用生体情報データが得られる。
【００７６】
次に、図２に示される生体情報照合システムにおいて、生体情報データ漏洩検出手段を含み、生体情報の漏洩を検出した場合に変換コードと登録用生体情報データの更新若しくは変換コードの更新を行わせることも可能である。情報漏洩を検知することで、利用者ＩＤの停止、登録用生体情報データの再登録要求の通知等が可能になる。
【００７７】
図１９は、生体情報データ漏洩検出手段の第１の構成例を示す図である。
まず、図１９（ａ）の構成は、例えば図１の変換登録処理部１０９内に実現される。変換済み登録用生体情報データが変換済み生体情報データベース管理サーバ１０４に送信される際に、変換済み登録用生体情報データに対してハッシュ関数処理が実行される（Ｓ１９０１）。その結果得られるハッシュ値が、変換済み登録用生体情報データと共に変換済み生体情報データベース管理サーバ１０４に送信される。変換済み生体情報データベース管理サーバ１０４は、上記変換済み登録用生体情報データ＋ハッシュ値を、変換済み生体情報データベース１１２（図１）に登録する。
【００７８】
次に、図１９（ｂ）の構成は、例えば図２の変換照合処理部２０１内に実現される。変換済み照合用生体情報データに対してハッシュ関数処理が実行される（Ｓ１９０２）。一方、変換済み生体情報データベース管理サーバ１０４からは、利用者のＩＤに対応する変換済み登録用生体情報データと共に、図１９（ａ）にて登録されたハッシュ値が併せて受信される。そして、上記照合用生体情報データのハッシュ値と上記登録用生体情報データのハッシュ値が一致するか否かが比較され（Ｓ１９０３）、両者が一致した場合に、漏洩が判定される。
【００７９】
上記図１９（ａ）及び（ｂ）の構成では、登録用生体情報データと照合用生体情報データは完全には一致しないため、それらに対して変換処理を実行した後の変換済み登録用生体情報データと変換済み照合用生体情報データの各ハッシュ値も一致しない。従って、もし両者が一致した場合には、変換済み登録用生体情報データと変換済み照合用生体情報データとが同一であることになり、変換済み照合用生体情報データは漏洩された登録用生体情報データであるということになる。このようにして漏洩判定を行うことができる。
【００８０】
図１９（ｂ）の構成において更に、過去に照合に用いられた変換済み照合用生体情報データのハッシュ値が保存され、新たに入力された変換済み照合用生体情報データのハッシュ値と保存されているハッシュ値とが一致した場合に、漏洩を判定する構成も採用することができる。この構成は、システム管理者が生体認証サーバ１０２上で過去の変換済み照合用生体情報データを盗み、それを再利用するような不正利用を検知できる。
【００８１】
図２０は、生体情報データ漏洩検出手段の第２の構成例を示す図である。この例では、図１又は図２の生体認証サーバ１０２、変換コード管理サーバ１０３、及び変換済み生体情報データベース管理サーバ１０４でのそれぞれの認証関連処理ログが取得され（Ｓ２００１）、これらのログ内容に基づいて各サーバ間の処理時間差が計測される（Ｓ２００２）。この結果、各サーバにおいてそれぞれ関連する処理ログの同期に所定時間以上のずれ
があるような特異ログが抽出されることにより（Ｓ２００３）、漏洩が判定される。このような場合は、悪意のある者、特にシステム管理者がサーバ上で何らかの不正操作を行ったと見なすことができる。複数のサーバに情報を分けて管理している事を利用し、ログに不整合が見られた場合は、システムは漏洩・盗難の可能性があるとしてアラームを通知する。
【００８２】
図２１は、生体情報認証システムの第２の実施形態の構成図である。図２１において、図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。図２１の構成が図１及び図２の構成と異なる点は、変換登録処理部１０９及び変換照合処理部２０１が、１台の生体認証サーバ１０２ではなく、それぞれ個別の生体認証登録サーバ２１０１及び生体認証照合サーバ２１０２に設置される点である。２つのサーバが分離されることにより、登録と照合に携わるサーバの管理者を別々の人物に設定することが可能である。
【００８３】
図２２は、生体情報認証システムの第３の実施形態の構成図である。図２２において、図２１の第２の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００８４】
図２２では、変換済み生体情報データベース管理サーバ１０４と生体認証登録サーバ２１０１及び生体認証照合サーバ２１０２との間に、ＩＤ変換管理サーバ２２０１が置かれる。同サーバ２２０１により、ＩＤ変換が行われることにより、変換済み生体情報データベース管理サーバ１０４では、クレジットカード番号や預金口座番号など利用者の特定につながるＩＤではなく、ＩＤからは本人の個人情報を推定できないＩＤで変換済み登録用生体情報データを管理できる。生体情報は変換されて管理されているが、更に、管理するＩＤを個人を特定できないものとすることで、より安全性を高めることができる。
【００８５】
図２２において、ＩＤ変換管理サーバ２２０１は、生体認証登録サーバ２１０１又は生体認証照合サーバ２１０２から通知される利用者ＩＤを一度、利用者ＩＤと一意に関連付けられた生体情報データ管理ＩＤに変換し、その生体情報データ管理ＩＤが変換済み登録用生体情報データと対で、変換済み生体情報データベース１１２に記録される。
【００８６】
このように、個人情報と生体情報データの分離管理を可能にすることで、変換済み登録用生体情報データデータが漏洩した場合でも、意味のある利用者ＩＤと同時に流出させないことで、より安全性を確保することができる。
【００８７】
図２３及び図２４は、生体情報認証システムの第４の実施形態の構成図であり、それぞれ図１及び図２の第１の実施形態の構成に対応している。図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００８８】
図２３及び図２４では、図１及び図２における生体認証サーバ１０２は設けられず、変換登録処理部１０９及び変換照合処理部２０１が、生体認証クライアント２３０１内に設置される。
【００８９】
生体認証クライアント２３０１内の変換登録処理部１０９及び変換照合処理部２０１が、変換コード管理サーバ１０３及び変換済み生体情報データベース管理サーバ１０４と個別に通信を行うことにより、安全性の高い認証管理を実現できる。
【００９０】
また、変換登録処理部１０９及び変換照合処理部２０１における変換処理は、利用者が主導で行うのではなく、変換コード管理サーバ１０３からの通信指示に基づいて自動的に行われるため、認証管理組織の主導で各利用者の認証強度等を管理することができる。
【００９１】
図２５及び図２６は、生体情報認証システムの第５の実施形態の構成図であり、それぞれ図１及び図２の第１の実施形態の構成に対応している。図１及び図２の第１の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００９２】
図２５及び図２６では、図１及び図２における生体認証サーバ１０２及び変換済み生体情報データベース管理サーバ１０４は設けられず、変換登録処理部１０９、変換照合処理部２０１、及び変換済み生体情報データベース１１２が、生体認証クライアント２３０１内に設置される。
【００９３】
変換コード管理サーバ１０３のみが、生体認証クライアント２５０１から分離されることで、安全かつ最低限のデータ分離が行われる。
図２７は、上記第１から第５の実施形態のシステムにおける変換コード管理サーバ１０３内の変換コード生成・チェック処理部１１０の構成例を示す図である。
【００９４】
この構成例では、変換コード生成・チェック処理部１１０（図１等参照）が、変換コード世代管理番号を管理し、変換コードを生成するにあたり、システムの利用者ＩＤ若しくは該ＩＤに対応して一意に設定されたＩＤと上記変換コード世代管理番号とに基づいて、変換コードを作成する。変換コード世代管理番号は、漏洩等によって変換コードの変更が必要になったことの履歴を管理する番号であり、いわば漏洩世代管理番号ともいえる。
【００９５】
例えば、変化コードの生成にハッシュ関数ＳＨＡ−１によるハッシュ関数処理が行われた場合には（Ｓ２７０１）、２０バイトの一意のデータが生成される。このデータ又はそれから生成されるデータが変換コードとして作成される（Ｓ２７０２）。
【００９６】
これらの変換コードは、変換コードデータベース１１１（図１等参照）において、一連のコードとして管理されても良いし、ある関数ｆ（ｘ）のパラメータとして保管されても良い。また、これらの変換コードは、参照テーブルの形式で保管されてもよい。また、上記データは、変換コードを最終的に生成するためのパラメータ群を管理するためのインデックスとして用いられてもよい。
【００９７】
図２８は、上記図２７の構成をベースとする生体情報認証システムの第６の実施形態の構成図である。この構成は、図２１に示される第２の実施形態の構成をベースとしているが、他の実施形態の構成をベースとしてもよい。図２１の第２の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。
【００９８】
第６の実施形態では、変換コード管理サーバ１０３が、変換コード生成・チェック処理部１１０及び変換コードデータベース１１１に加えて、変換コード世代管理部２８０１及び変換コード世代管理番号データベース２８０２を有する。変換コード世代管理部２８０１は、図２７のハッシュ関数処理を行う部分であり、変換コード世代管理番号データベース２８０２に記録された変換コード世代管理番号及びシステム番号に基づいて、図２７のハッシュ情報を生成する。そして、変換コード生成・チェック処理部１１０が、そのハッシュ情報に基づいて、変換コードを生成する。
【００９９】
このような構成により、複数のシステムに対応した変換コードの管理が可能になる。変換コード世代管理番号データベース２８０２は、利用者ＩＤ又はそれに一意に対応するＩＤをキーとして、変換コード世代管理番号及びシステム番号を管理する。この変換コード世代管理番号は、漏洩の事実又は管理期間の長さ等に基づいて更新され、それに基づいて変換コードデータベース１１１内の対応する変換コードも更新されてゆく。
【０１００】
また、変換コード世代管理番号データベース２８０２は、変換コード世代管理番号（及びシステム番号）と共に、アプリケーション番号を管理するように構成することもできる。変換コード世代管理部２８０１は、アプリケーション番号も合わせた番号によってハッシュ情報を生成し、それに基づいて変換コードが作成される。同一の生体情報データに対してアプリケーション毎に個別の変換コードを用いて管理されるため、セキュリティの高いアプリケーションとそれ程高くないアプリケーションでの変換コードを変えることにより、セキュリティの高いアプリケーションの安全性を確保できる。
【０１０１】
図２９は、生体情報認証システムの第７の実施形態の構成図である。図２８の第６の実施形態の構成の場合と同じ処理を行う部分には同じ番号が付されている。この構成では、変換コードの世代管理を行う変換コード世代管理部２８０１及び変換コード世代管理番号データベース２８０２が、変換コード管理サーバ１０３とは異なる変換コード世代管理サーバ２９０１内に独立して設置される。この構成により、変換コードの世代管理と変換コード自体の管理とを、異なるサーバ管理者に割り当てることができる。
【０１０２】
図３０は、日付（曜日）毎に異なる変換コードによる変換済み登録用生体情報データを用いて照合が行われる場合の例を示す図である。この例では、同一の登録用生体情報データに対して、日付（曜日）毎に異なる変換コードにより変換された複数の変換済み登録用生体情報データデータが、変換済み生体情報データベース１１２（図１等参照）に保存される。例えば、同じ右手の人差し指の指紋を毎日使っているが、システムの内部では曜日毎に別の変換コードで変換されて登録されている人差し指の指紋データが用いられている場合などである。事前に複数の変換コードで変換した登録情報を保持しておくことで、時間帯、日、曜日、月により、異なる変換コードで変換された変換済み登録用生体情報データを自動的にシステム内部で利用することが可能である。これにより、変換コードや変換アルゴリズムの類推をより困難にすることができる。
【０１０３】
図３１は、上記第１から第７の実施形態のシステムを実現できるコンピュータ（生体認証サーバ１０２、変換コード管理サーバ１０３、変換済み生体情報データベース管理サーバ１０４、ＩＤ変換管理サーバ２２０１、変換コード世代管理サーバ２９０１、生体認証クライアント２３０１、２５０１等）のハードウェア構成の一例を示す図である。
【０１０４】
図３１に示されるコンピュータは、ＣＰＵ３１０１、メモリ３１０２、入力装置３１０３、出力装置３１０４、外部記憶装置３１０５、可搬記録媒体３１０９が挿入される可搬記録媒体駆動装置３１０６、及びネットワーク接続装置３１０７を有し、これらがバス３１０８によって相互に接続された構成を有する。同図に示される構成は上記システムを実現できるコンピュータの一例であり、そのようなコンピュータはこの構成に限定されるものではない。
【０１０５】
ＣＰＵ３１０１は、当該コンピュータ全体の制御を行う。メモリ３１０２は、プログラムの実行、データ更新等の際に、外部記憶装置３１０５（或いは可搬記録媒体３１０９）に記憶されているプログラム又はデータを一時的に格納するＲＡＭ等のメモリである。ＣＵＰ３１０１は、プログラムをメモリ３１０２に読み出して実行することにより、全体の制御を行う。
【０１０６】
入力装置３１０３は、例えば、キーボード、マウス等及びそれらのインタフェース制御装置とからなる。入力装置３１０３は、ユーザによるキーボードやマウス等による入力操作を検出し、その検出結果をＣＰＵ３１０１に通知する。
【０１０７】
出力装置３１０４は、表示装置、印刷装置等及びそれらのインタフェース制御装置とからなる。出力装置３１０４は、ＣＰＵ３１０１の制御によって送られてくるデータを表示
装置や印刷装置に出力する。
【０１０８】
外部記憶装置３１０５は、例えばハードディスク記憶装置である。主に各種データやプログラムの保存に用いられる。
可搬記録媒体駆動装置３１０６は、光ディスクやＳＤＲＡＭ、コンパクトフラッシュ等の可搬記録媒体３１０９を収容するもので、外部記憶装置３１０５の補助の役割を有する。
【０１０９】
ネットワーク接続装置３１０７は、例えばＬＡＮ（ローカルエリアネットワーク）又はＷＡＮ（ワイドエリアネットワーク）の通信回線を接続するための装置である。
前述した第１から第７の実施形態によるシステムは、それに必要な機能を搭載したプログラムをＣＰＵ３１０１が実行することで実現される。そのプログラムは、例えば外部記憶装置３１０５や可搬記録媒体３１０９に記録して配布してもよく、或いはネットワーク接続装置３１０７によりネットワークから取得できるようにしてもよい。
【０１１０】
以上説明した実施形態により、変換コード管理サーバ１０３が管理する変換コードに従って生体情報データが変換されて、生体認証サーバ１０２内の変換登録処理部１０９による登録処理又は変換照合処理部２０１による照合処理が行われる。これによって、生体情報データが盗難・漏洩した場合には、変換コード管理サーバ１０３での制御により、変換処理用の変換コードを、一括又は利用者ＩＤ毎に個別に、認証組織主導で迅速に変更できる。従って、盗難・漏洩した生体情報の暗号化処理が例え解読されたとしても再利用を防ぐことが可能となる。
【０１１１】
また、各サーバが分離して管理されることで、１人の悪意のあるシステム管理者がいる場合でも、生体情報データを悪用するために必要なすべての情報が入手できてしまうことを阻止することが可能となる。
【０１１２】
また、変換コードが利用者ＩＤ毎に設定されることで、よりセキュアなシステムを実現することができる。
更に、変換コードの世代管理も利用者ＩＤ毎に行うことで、よりセキュアなシステムを実現することができる。
【０１１３】
また、生体情報データの漏洩検出手段により、生体情報の漏洩検出時に変換コードと登録用生体情報データの更新若しくは変換コードの更新を行い、利用者による変換コードの変更等を待たずに、認証組織主導による確実な漏洩の検知と迅速な対応が可能となる。
【０１１４】
この場合の漏洩検知は、変換済み登録用生体情報データと変換済み照合用生体情報データの各ハッシュ値の比較により、簡単に検出することができる。或いは、各サーバ間の処理ログの同期ずれを検出することによっても、漏洩を簡単に検出することができる。
【０１１５】
また、過去に照合に用いた変換済み照合用生体情報データのハッシュ値を保存し、新たに得られた変換済み照合用生体情報データのハッシュ値と比較することで、システム管理者等が悪意をもってサーバ上で過去の照合データを盗み再利用したことを検知できる。
【０１１６】
本実施形態における変換処理として、生体情報データのパターン変形を採用した場合、変形前の生体情報データを類推することが困難で、不可逆性を持つのが特徴である。また、変換処理として、生体情報データに所定の単位（パターンブロックもしくは画素単位）でランダム化変換を行うことで、元の登録用生体情報データを類推されることを防止できる。また、これらを組み合わせることにより、両者の特徴を併せ持った変形処理が可能となる。
この場合、変換コード管理サーバ１０３上の変換コードデータベース１１１にて、変換方式毎に変換コードを記録させることで、認証強度の細かい制御が可能となる。
【０１１７】
本実施形態では、登録用生体情報データデータの品質判定を行う品質判定手段を備えている。品質値の高い生体情報データは、生体情報データに対するノイズが少なく照合しやすいため、変換の強度（変形の大きさ）を強く（元の生体情報の類推をより困難に）しても本人認証性能低下への影響が少ないことが想定される。品質値に対応した変換の強さの選択と、個々の強度に応じた変換コードを持つことにより、生体情報データの品質値が高い場合にはより強い変換を選択するような制御が可能となる。また、品質値に応じてランダム変換の細かさを決定してそれに応じたランダム化テーブルを選択することで、生体情報データの品質値が高い場合にはより細かい変換を選択させることが可能となる。
【０１１８】
本実施形態では、変換コード管理サーバ１０３が変換コードだけでなく、変換コード世代管理番号も管理することで、生体情報データが漏洩した場合には、生体認証システムが一律で管理する変換コードの変換コード世代管理番号を更新すると共に新しい変換コードの生成することを、容易に行うことが可能となる。また、この世代管理を利用者ＩＤ毎に行うことで、更に細かい管理が可能となる。また、変換コードの生成を、変換コード世代管理番号と、利用者ＩＤ、システム番号、アプリケーション番号などと組み合わせることで、使用期間毎、利用者毎、システム毎、アプリケーション毎の認証強度の管理が可能となる。
【０１１９】
本実施形態では、ＩＤ変換管理サーバ２２０１が利用者ＩＤを変換することにより、個人情報と生体情報データの分離管理が可能となる。これにより、変換済み登録用生体情報データデータが漏洩した場合でも、例えば、預金口座のような意味のある利用者ＩＤと同時に流出させないことで、より安全性を確保することができる。
【０１２０】
本実施形態では、事前に複数の変換コードで変換した登録情報を保持しておくことで、時間帯、日、曜日、月等により、異なる変換コードで変換された変換済み登録用生体情報データを自動的にシステム内部で利用することが可能となる。これにより、変換コードや変換アルゴリズムの類推をより困難にすることができる。
【０１２１】
以上の各実施形態に関して、更に以下の付記を開示する。
（付記１）
生体情報データを変換するための変換コードを管理する変換コード管理ステップと、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記２）
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記１に記載の生体認証方法。
（付記３）
前記変換済み登録用生体情報データ、前記変換済み照合用生体情報データ、又は前記変換コードの何れかが漏洩したことが判明した場合に、前記変換コード世代管理ステップは前記変換コード世代管理情報を更新し、前記変換コード管理ステップは該更新された変換コード世代管理情報に基づいて前記変換コードを生成又は更新する、
ことを特徴とする付記２に記載の生体認証方法。
（付記４）
利用者の生体情報を取得する生体情報データ抽出ステップと、
変換コードにより登録に用いられた生体情報データが変換された変換済み登録用生体情報データと、前記変換コードにより前記抽出された生体情報データが変換された変換済み照合用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記５）
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理ステップと、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理ステップに変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
（付記６）
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を前記利用者ＩＤに関連付けて管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを前記利用者ＩＤ毎に生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記５に記載の生体認証方法。
（付記７）
何れかの前記利用者ＩＤについて、前記変換済み登録用生体情報データ、前記変換済み照合用生体情報データ、又は前記変換コードの何れかが漏洩したことが判明した場合に、前記変換コード世代管理ステップは前記漏洩が判明した利用者ＩＤに対応する前記変換コード世代管理情報を更新し、前記変換コード管理ステップは該更新された変換コード世代管理情報に基づいて前記漏洩が判明した利用者ＩＤに対応する変換コードを生成又は更新する、
ことを特徴とする付記６に記載の生体認証方法。
（付記８）
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報及び前記利用者ＩＤ又は該利用者ＩＤに対応して一意に設定される識別情報に基づいて前記変換コードを前記利用者ＩＤ毎に生成又は更新する、
ことを特徴とする付記６又は７の何れか１項に記載の生体認証方法。
（付記９）
前記変換コード世代管理情報は、世代を示す番号情報である変換コード世代管理番号と、生体認証のシステムを識別するためのシステム識別情報とを含む、
ことを特徴とする付記２、３、６、７、又は８の何れか１項に記載の生体認証方法。
（付記１０）
前記変換コード世代管理情報は、生体認証が利用されるアプリケーションを識別するためのアプリケーション識別情報を更に含む、
ことを特徴とする付記２、３、６、７、８、又は９の何れか１項に記載の生体認証方法。
（付記１１）
前記変換コード管理ステップが実行される装置と、前記変換登録処理ステップ及び前記変換照合処理ステップが実行される装置と、前記変換済み生体情報データ管理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする付記１乃至３、又は５乃至１０の何れか１項に記載の生体認証方法。（付記１２）
前記変換登録処理ステップが実行される装置と前記変換照合処理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする付記１乃至３、又は５乃至１１の何れか１項に記載の生体認証方法。（付記１３）
前記変換登録処理ステップ及び前記変換照合処理ステップは、同一又は個別のサーバコンピュータにて実行され、前記生体情報データを、利用者が利用するクライアントコンピュータから受信する、
ことを特徴とする付記１乃至３，又は５乃至１２の何れか１項に記載の生体認証方法。（付記１４）
前記変換済み登録用生体情報データ又は前記変換済み照合用生体情報データの漏洩を検出する生体情報データ漏洩検出ステップを更に含み、
該漏洩が検出された場合に、前記変換コード管理ステップは、前記変換コードを生成し直し、
該変換コードに基づいて、前記変換登録処理ステップは、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする付記１乃至１２の何れか１項に記載の生体認証方法。
（付記１５）
前記生体情報データ漏洩検出ステップは、前記変換済み登録用生体情報データのハッシュ値と前記変換済み照合用生体情報データのハッシュ値をそれぞれ計算し、該両方のハッシュ値が一致したときに前記漏洩を検出する、
ことを特徴とする付記１４に記載の生体認証方法。
（付記１６）
前記生体情報データ漏洩検出ステップは、前記変換済み照合用生体情報データのハッシュ値を順次計算して記録しておき、新たに生成された前記変換済み照合用生体情報データについて計算したハッシュ値が前記記録しておいたハッシュ値と一致したときに前記漏洩を検出する、
ことを特徴とする付記１４又は１５の何れか１項に記載の生体認証方法。
（付記１７）
前記生体情報データ漏洩検出ステップは、前記変換コード管理ステップ、前記変換済み生体情報データ管理ステップ、又は前記変換照合処理ステップにおける処理ログを取得し、該各ステップにおける処理ログの同期に所定時間以上のずれが検出されたときに前記漏洩を検出する、
ことを特徴とする付記１４に記載の生体認証方法。
（付記１８）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データのパターン
を変形するパターン変換処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記１９）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データをランダム関数変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２０）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データを座標変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２１）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データのパターンを変形するパターン変換処理を行った後に、その出力をランダム関数変換する処理である、
ことを特徴とする付記１乃至１７の何れか１項に記載の生体認証方法。
（付記２２）
前記変換処理は、前記登録用生体情報データ又は前記照合用生体情報データをランダム化する単位毎に、前記変換コード管理ステップにて管理される変換コードを順次取得して前記ランダム関数変更を実行する、
ことを特徴とする付記１９又は２１の何れか１項に記載の生体認証方法。
（付記２３）
前記変換コード管理ステップは、前記変換処理が複数の変換方式による変換である場合に、該各変換方式毎の変換コードを組で管理する、
ことを特徴とする付記１乃至２２の何れか１項に記載の生体認証方法。
（付記２４）
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記変換処理の強度に対応する変換コードを前記変換コード管理ステップにて選択させる、
ことを特徴とする付記１乃至２３の何れか１項に記載の生体認証方法。
（付記２５）
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記ランダム関数変換の細かさに対応するランダム化テーブルを前記変換コードとして前記変換コード管理ステップにて選択させる、
ことを特徴とする付記１乃至２３の何れか１項に記載の生体認証方法。
（付記２６）
前記利用者ＩＤを変換するＩＤ変換ステップを更に含み、
前記変換済み生体情報データ管理ステップは、前記利用者ＩＤに対応して前記ＩＤ変換ステップにて変換されたＩＤを用いて、前記変換済み登録用生体情報データを管理する、
ことを特徴とする付記５乃至１０の何れか１項に記載の生体認証方法。
（付記２７）
前記変換登録処理ステップは、同一の前記登録用生体情報データに対して所定の日時情報毎に異なる前記変換コードを用いて前記変換処理を実行して、複数の前記変換済み登録用生体情報データを出力して前記変換済み生体情報データ管理ステップに管理させ、
前記変換照合処理ステップは、前記照合用生体情報データに対して現在の日時情報に対応する前記変換コードを用いて前記変換処理を実行して前記変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み生体情報データ管理ステップにて管理されている現在の日時に対応する前記変換済み登録用生体情報データとを照合する、
ことを特徴とする付記１乃至３、又は５乃至２６の何れか１項に記載の生体認証方法。
（付記２８）
生体情報データを変換するための変換コードを管理する変換コード管理部と、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
（付記２９）
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理部と、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理部に変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【産業上の利用可能性】
【０１２２】
開示する技術は、音声、顔、指紋、掌紋、血管パターン、虹彩、網膜、署名等の生体情報を用いたバイオメトリクス認証において、ユーザ（登録者）の生体情報の悪用や流出、それによる被害の発生を抑止するために利用することができる。
【符号の説明】
【０１２３】
１０１ クライアント
１０２ 生体認証サーバ
１０３ 変換コード管理サーバ
１０４ 変換済み生体情報データベース管理サーバ
１０５ 生体情報センサ
１０６ テンキー
１０７ 生体情報取得部
１０８ 生体情報抽出部
１０９ 変換登録処理部
１１０ 変換コード生成・チェック処理部
１１１ 変換コードデータベース
１１２ 変換済み生体情報データベース
２０１ 変換照合処理部
２１０１ 生体認証登録サーバ
２１０２ 生体認証照合サーバ
２２０１ ＩＤ変換管理サーバ
２３０１、２５０１ 生体認証クライアント
２８０１ 変換コード世代管理部
２８０２ 変換コード世代管理番号データベース
２９０１ 変換コード世代管理サーバ
３１０１ ＣＰＵ
３１０２ メモリ
３１０３ 入力装置
３１０４ 出力装置
３１０５ 外部記憶装置
３１０６ 可搬記録媒体駆動装置
３１０７ ネットワーク接続装置
３１０８ バス
３１０９ 可搬記録媒体
【特許請求の範囲】
【請求項１】
生体情報データを変換するための変換コードを管理する変換コード管理ステップと、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
【請求項２】
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする請求項１に記載の生体認証方法。
【請求項３】
前記変換コード管理ステップが実行される装置と、前記変換登録処理ステップ及び前記変換照合処理ステップが実行される装置と、前記変換済み生体情報データ管理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする請求項１又は２の何れか１項に記載の生体認証方法。
【請求項４】
前記変換済み登録用生体情報データ又は前記変換済み照合用生体情報データの漏洩を検出する生体情報データ漏洩検出ステップを更に含み、
該漏洩が検出された場合に、前記変換コード管理ステップは、前記変換コードを生成し直し、
該変換コードに基づいて、前記変換登録処理ステップは、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする請求項１乃至３の何れか１項に記載の生体認証方法。
【請求項５】
前記生体情報データ漏洩検出ステップは、前記変換済み登録用生体情報データのハッシュ値と前記変換済み照合用生体情報データのハッシュ値をそれぞれ計算し、該両方のハッシュ値が一致したときに前記漏洩を検出する、
ことを特徴とする請求項４に記載の生体認証方法。
【請求項６】
前記生体情報データ漏洩検出ステップは、前記変換コード管理ステップ、前記変換済み生体情報データ管理ステップ、又は前記変換照合処理ステップにおける処理ログを取得し、該各ステップにおける処理ログの同期に所定時間以上のずれが検出されたときに前記漏洩を検出する、
ことを特徴とする請求項４に記載の生体認証方法。
【請求項７】
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記変換処理の強度に対応する変換コードを前記変換コード管理ステップにて選択させる、
ことを特徴とする請求項１乃至６の何れか１項に記載の生体認証方法。
【請求項８】
前記変換登録処理ステップは、同一の前記登録用生体情報データに対して所定の日時情報毎に異なる前記変換コードを用いて前記変換処理を実行して、複数の前記変換済み登録用生体情報データを出力して前記変換済み生体情報データ管理ステップに管理させ、
前記変換照合処理ステップは、前記照合用生体情報データに対して現在の日時情報に対応する前記変換コードを用いて前記変換処理を実行して前記変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み生体情報データ管理ステップにて管理されている現在の日時に対応する前記変換済み登録用生体情報データとを照合する、
ことを特徴とする請求項１乃至７の何れか１項に記載の生体認証方法。
【請求項９】
生体情報データを変換するための変換コードを管理する変換コード管理部と、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【請求項１０】
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理部と、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理部に変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【請求項１】
生体情報データを変換するための変換コードを管理する変換コード管理ステップと、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理ステップと、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理ステップと、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理ステップと、
を含むことを特徴とする生体認証方法。
【請求項２】
前記変換登録処理ステップにて管理される変換コードの世代を示す変換コード世代管理情報を管理する変換コード世代管理ステップを更に含み、
前記変換コード管理ステップは、前記変換コード世代管理ステップにて管理される変換コード世代管理情報に基づいて前記変換コードを生成又は更新し、
前記変換登録処理ステップは、前記変換コードが生成又は更新されたタイミングで、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする請求項１に記載の生体認証方法。
【請求項３】
前記変換コード管理ステップが実行される装置と、前記変換登録処理ステップ及び前記変換照合処理ステップが実行される装置と、前記変換済み生体情報データ管理ステップが実行される装置は、それぞれ個別の装置である、
ことを特徴とする請求項１又は２の何れか１項に記載の生体認証方法。
【請求項４】
前記変換済み登録用生体情報データ又は前記変換済み照合用生体情報データの漏洩を検出する生体情報データ漏洩検出ステップを更に含み、
該漏洩が検出された場合に、前記変換コード管理ステップは、前記変換コードを生成し直し、
該変換コードに基づいて、前記変換登録処理ステップは、前記変換済み登録用生体情報データを生成し直して、前記変換済み生体情報データ管理ステップに記録し直す、
ことを特徴とする請求項１乃至３の何れか１項に記載の生体認証方法。
【請求項５】
前記生体情報データ漏洩検出ステップは、前記変換済み登録用生体情報データのハッシュ値と前記変換済み照合用生体情報データのハッシュ値をそれぞれ計算し、該両方のハッシュ値が一致したときに前記漏洩を検出する、
ことを特徴とする請求項４に記載の生体認証方法。
【請求項６】
前記生体情報データ漏洩検出ステップは、前記変換コード管理ステップ、前記変換済み生体情報データ管理ステップ、又は前記変換照合処理ステップにおける処理ログを取得し、該各ステップにおける処理ログの同期に所定時間以上のずれが検出されたときに前記漏洩を検出する、
ことを特徴とする請求項４に記載の生体認証方法。
【請求項７】
前記登録用生体情報データの品質を判定する品質判定ステップと、
該品質の判定の結果に基づいて、該品質に対応した前記変換処理の強度に対応する変換コードを前記変換コード管理ステップにて選択させる、
ことを特徴とする請求項１乃至６の何れか１項に記載の生体認証方法。
【請求項８】
前記変換登録処理ステップは、同一の前記登録用生体情報データに対して所定の日時情報毎に異なる前記変換コードを用いて前記変換処理を実行して、複数の前記変換済み登録用生体情報データを出力して前記変換済み生体情報データ管理ステップに管理させ、
前記変換照合処理ステップは、前記照合用生体情報データに対して現在の日時情報に対応する前記変換コードを用いて前記変換処理を実行して前記変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み生体情報データ管理ステップにて管理されている現在の日時に対応する前記変換済み登録用生体情報データとを照合する、
ことを特徴とする請求項１乃至７の何れか１項に記載の生体認証方法。
【請求項９】
生体情報データを変換するための変換コードを管理する変換コード管理部と、
前記生体情報の登録時に入力された登録用生体情報データを、前記変換コードに基づいて変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に入力された照合用生体情報データを、前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【請求項１０】
生体情報データを変換するための変換コードを利用者ＩＤ毎に管理する変換コード管理部と、
前記生体情報の登録時に、入力された登録用生体情報データに対応して取得された利用者ＩＤに関連付けて前記変換コード管理部に変換コードを生成及び記録させると共に、該変換コードに基づいて前記登録用生体情報データを変換した変換済み登録用生体情報データを出力する変換登録処理部と、
該変換済み登録用生体情報データを前記登録用生体情報データに対応して取得された利用者ＩＤと関連付けて記録管理する変換済み生体情報データ管理部と、
前記生体情報の照合時に、入力された照合用生体情報データを、該照合用生体情報データに対応して取得された利用者ＩＤに対応する前記変換コードに基づいて変換した変換済み照合用生体情報データを出力し、該変換済み照合用生体情報データと該照合用生体情報データに対応して取得された利用者ＩＤと同一の利用者ＩＤに対応する前記変換済み登録用生体情報データとを照合する変換照合処理部と、
を含むことを特徴とする生体認証システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図１１】
【図１２】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図８】
【図９】
【図１０】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図１１】
【図１２】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図８】
【図９】
【図１０】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１０−１６５３２３（Ｐ２０１０−１６５３２３Ａ）
【公開日】平成２２年７月２９日（２０１０．７．２９）
【国際特許分類】
【出願番号】特願２００９−９３７８（Ｐ２００９−９３７８）
【出願日】平成２１年１月１９日（２００９．１．１９）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２２年７月２９日（２０１０．７．２９）
【国際特許分類】
【出願日】平成２１年１月１９日（２００９．１．１９）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]