JP2008176407A - 生体認証システム、装置及びプログラム - Google Patents

Abstract

【課題】生体認証のリトライ時に、環境の問題による再失敗の可能性を低減させる。
【解決手段】クライアント装置１０では、環境情報取得装置３から取得した環境情報を生体認証情報の照合結果と共にサーバ装置２０に送信する。サーバ装置２０では、この照合結果の検証に加え、明度等の環境情報をも検証する。ここで、環境に問題があった場合には、サーバ装置２０は、環境情報に問題があったことをクライアント装置１０に通知する。クライアント装置１０側では、この通知に基づき、明度等の環境の問題を改善した後、生体認証をリトライする。
【選択図】 図１

Description

本発明は、生体認証システム、装置及びプログラムに係り、例えば、生体認証のリトライ時に、環境の問題による再失敗の可能性を低減し得る生体認証システム、装置及びプログラムに関する。

従来のクライアント−サーバ間でのオンライン生体認証システムには、クライアント照合システムとサーバ照合システムがある。

クライアント照合システムにおいては、事前に取得した生体情報から照合用のテンプレートを生成しておき、認証を行う際に生体情報読み取り装置により取得した生体情報とテンプレートとをクライアント側で照合し、照合結果をサーバに送ることで利用者認証を行う。

サーバ照合システムにおいては、事前に取得した生体情報から照合用のテンプレートをサーバが保持しており、クライアント環境で取得した生体情報をサーバに転送し、サーバ側でテンプレートと照合することにより利用者認証を行う。

生体認証システムに関しては、パスワードなどの知識やＩＣカードなどの所有物を用いた従来の認証システムと比べ、知識や所有物の紛失・盗難問題が発生せず、なりすまし問題も防止できることから、より高いセキュリティ性をもつシステムを構築できることが知られている。

オンラインで安全な生体認証を行うシステムとしては、特許文献１記載のシステムが知られている。このシステムでは、生体認証処理を実行するクライアント側の各装置が、自身が処理した結果を記述したコンテキスト（認証コンテキスト）を出力し、全ての装置から出力された認証コンテキストをサーバに送信する。

サーバは、この認証コンテキストを検証することで、クライアント側で実行された生体認証処理の内容を検証できる。この際、各装置が秘密に保持している秘密情報を用いて認証コンテキストの記述内容に対する認証子（例えば、電子署名）を生成して認証コンテキストに記述する。すなわち、この認証子によって認証コンテキストに記述された内容を各装置が保証する。これにより、サーバは認証コンテキストの内容及び認証子を検証することにより、クライアント側で実行された生体認証処理の正当性を検証できる。
特開２００６−１１７６８号公報

しかし、以上のようなオンラインで生体認証を行う技術において、通常は特に問題はないが、本発明者の検討によれば認証結果が失敗と判定される場合の処理において改善の余地があると考えられる。

従来のパスワード認証システムでは、大量の不正アクセスによるサーバ妨害や繰り返し攻撃によるパスワードの漏洩を防ぐために、認証に失敗した場合の回数（リトライ回数）などにより、同一のアカウントに対するそれ以上の認証要求を拒否する（アカウントロック）方法が知られている。

しかしながら、生体認証システムにおいては、認証に失敗した回数などによって同一のアカウントに対するアカウントロックを行う方法を用いた場合、従来のパスワード認証システムとは異なり、生体認証特有の性質に起因する次のような問題が生じる。

生体認証に失敗するケースには、不正な利用者が正規利用者のテンプレートを用いて認証に失敗するケースの他に、例えば顔認証において周囲の明度が暗い場合、指紋認証において指が乾燥している場合や汗で湿っている場合、又は声紋認証において雑音が大きい場合など、周囲の環境に問題があるケースがある。

しかしながら、アカウントロックを行う生体認証システムでは、照合結果のみからサービス提供の可否を判断するので、生体認証の失敗が不正な利用者によるものか、又は正規の利用者の環境の問題によるものかを区別できない。そのため、正規利用者であるにもかかわらず、周囲の環境に問題があることからリトライ回数分、生体認証に失敗し、サービス提供が拒否されてしまう可能性がある。

本発明は上記実情を考慮してなされたもので、生体認証のリトライ時に、環境の問題による再失敗の可能性を低減し得る生体認証システム、装置及びプログラムを提供することを目的とする。

第１の発明は、生体認証を実行し、得られた生体認証情報を送信するクライアント装置と、前記クライアント装置から受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置とを備えた生体認証システムであって、前記クライアント装置としては、前記生体認証実行時の明度、湿度又は生体検知に関する環境を測定して環境情報を取得する環境情報取得装置と、前記環境情報を前記生体認証情報と共に前記サーバ装置に送信する手段とを備えており、前記サーバ装置としては、予め生体認証時の環境情報が満たすべき条件を示す環境情報ポリシーが保存された環境情報ポリシー保存手段と、予め「生体認証情報の検証結果が正当又は不正」を示す情報と「環境情報の検証結果が不正」を示す情報と「リトライの許可」を示す情報とを互いに関連付けたリトライポリシー情報が保存されたリトライポリシー保存手段と、前記クライアント装置から受信した環境情報を前記環境情報ポリシーに基づいて検証する環境情報検証手段と、前記生体認証ポリシーによる生体認証情報の検証結果と前記環境情報検証手段による環境情報の検証結果とに関し、前記リトライポリシー情報に基づいて「リトライの許可」に該当するか否かを判定する判定手段と、前記判定の結果、「リトライの許可」に該当する場合には、当該環境情報に関する改善メッセージを前記クライアント装置に返信する手段とを備えた生体認証システムである。

なお、第１の発明は、各装置の集合を「システム」として表現したが、これに限らず、各装置の集合又は個々の装置毎に「装置」、「プログラム」、「プログラムを記憶した記憶媒体」又は「方法」として表現してもよいことは言うまでもない。

（作用）
第１の発明においては、クライアント装置が、生体認証実行時の明度、湿度又は生体検知に関する環境情報を生体認証情報と共にサーバ装置に送信し、サーバ装置が、「生体認証情報の検証結果が正当又は不正」であり且つ「環境情報の検証結果が不正」である場合に関し、当該環境情報に関する改善メッセージをクライアント装置に返信する。

これにより、クライアント装置側では、環境情報に関する改善メッセージを参照してからリトライを実行するので、生体認証のリトライ時に、環境の問題による再失敗の可能性を低減できる。

以上説明したように本発明によれば、生体認証のリトライ時に、環境の問題による再失敗の可能性を低減できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は本発明の第１実施形態に係る生体認証システムの全体構成を示す模式図である。この生体認証システムは、利用者が用いるクライアント装置１０と、生体認証の対象が予め登録された利用者本人であることを認証するサーバ装置２０からなる。各装置１０，２０はそれぞれインターネットやイントラネットなどのネットワークＮＷに接続され、互いに通信可能となっている。

ここで、クライアント装置１０は、通信部１、テンプレート格納装置２、環境情報取得装置３及び本人確認処理実行装置４を備えている。

通信部１は、サーバ装置２０と通信する機能を有し、例えば認証依頼をサーバ装置２０に送信する機能と、サーバ装置２０から本人確認処理要求を受信して本人確認処理装置４に送出する機能と、本人確認処理実行装置４により出力された本人確認処理実行結果をサーバ装置２０に送信する機能とをもっている。

テンプレート格納装置２は、予め登録された利用者の生体情報（テンプレート）が格納され、本人確認処理実行装置４からの要求によりテンプレートを出力する機能をもっている。なお、サーバ装置２０において生体認証処理の一部、特にテンプレートと認証時に生体認証処理実行部６により取得した生体情報を照合する場合、テンプレート格納装置２はクライアント装置１０内になくても良く、サーバ装置２０内にあれば良い。

環境情報取得装置３は、本人確認処理実行装置４からの要求により、クライアント装置１０の外部から明度、湿度又は生体検知に関する環境情報を測定して環境情報を取得し、この環境情報を本人確認処理実行装置４に送出する機能をもっている。環境情報は、図３に示すように、例えば明度、湿度又は生体検知に関する情報であり、少なくとも一種類があればよい。この種の環境情報は、いずれも生体情報取得実行部７により取得された生体情報の品質及び生体認証処理の結果に大きく影響する情報である。例えば顔認証の場合、十分な明度がない環境で取得された生体情報（顔の情報）では、認証に成功する確率が低下してしまう。

なお、環境情報のうち、明度に関する情報とは、生体情報取得時のクライアント環境の明るさの情報であり、例えば生体情報取得時の明るさをルクス単位に測定した値である。湿度に関する情報とは、生体情報取得時のクライアント環境の湿度の情報であり、例えば生体情報取得時の空気中の水分量を％で測定した値である。生体検知に関する情報とは、生体情報取得時のクライアントの生体検知に関する情報であり、例えば生体情報取得時のクライアントの生命活動の有無を測定した結果である。

環境情報取得装置３としては、例えば明度計、湿度計などのセンサや、手のひらの静電容量から利用者の生命活動の有無を検知する生体検知装置などのハードウェア資源が使用可能となっている。

本人確認処理実行装置４は、利用者の生体情報取得や、テンプレートとの照合処理など生体認証処理の一部又は全てを実行し、得られた生体認証処理実行結果及び環境情報取得装置３から取得した環境情報を本人確認処理実行結果として通信部１に出力する機能をもっている。

具体的には、本人確認処理実行装置４は、図２に示すように、本人確認処理実行部５、生体認証処理実行部６、生体情報取得実行部７及び本人確認処理実行装置プロファイル保存部８を備えている。

本人確認処理実行部５は、各部６〜８による本人確認処理を制御し、本人確認処理結果を生成するものである。ここで、本人確認処理結果としては、図４に示すように、図５に示す生体認証処理実行結果と、図３に示す環境情報とを含む情報を用いている。

生体認証処理実行部６は、本人確認処理実行部５に制御され、生体情報取得実行部７から受けたサンプルと、テンプレート格納装置６から受けたテンプレートとの照合処理など生体認証処理の一部又は全てを実行し、生体認証処理結果を生体認証処理実行結果として本人確認処理実行部５へ出力するものである。

生体認証処理とは、サンプルの信号処理や、その結果をテンプレートと照合可能な情報へ変換する処理、その結果とテンプレートを照合して類似度を検出する照合処理などである。なお、生体認証処理実行部６は本人確認処理実行装置４外の装置で実行されても良く、さらに生体認証処理が複数の処理に分割できる場合は、それぞれ複数の外部装置で実行されても良い。この場合、それぞれの装置内の処理及び装置間の通信は安全に実行されることが望ましい。生体認証処理実行結果とは、例えば前述のようにサーバ装置２０において照合処理を行う場合はサンプル又はサンプルを信号処理やフォーマット変換したデータであり、また生体認証処理実行部６で照合まで行う場合は、その類似度を示すデータなどがありえる。また、生体認証処理のアルゴリズムの情報や、テンプレートやサンプルの品質、前述のテンプレート証明書、照合精度などの情報も生体認証処理実行結果として出力しても良い。

生体認証処理実行結果は、図５に一例を示すように、照合結果や照合精度、照合アルゴリズム、本人拒否率、他人受入率などが含まれており、生体認証処理に関する情報のみではなく、チャレンジデータなど、再送攻撃を防ぐための情報が含まれていても良い。また図５に含まれているような各種証明書のように、第３者に評価された情報を保持している場合は、そのような情報も生体認証処理実行結果に含まれるべきである。

生体情報取得実行部７は、本人確認処理実行部５に制御され、図示しない入出力装置を用いて利用者の生体情報を取得し、これをサンプルとして生体認証処理実行部６に出力するものである。

本人確認処理実行装置プロファイル保存部８は、本人確認処理実行装置５から読出可能な記憶装置であり、図６に示す如き、本人確認処理実行装置プロファイルを保存するものであって、本人確認処理実行部５からの要求により、本人確認処理実行装置プロファイルを本人確認処理実行部５に出力するものである。ここで、本人確認処理実行装置プロファイルは、装置のメーカ名、機器名といった機器情報と、生体照合方法の種類であるモダリティ（指紋、顔、静脈など）や照合アルゴリズムといった照合方法と、照合精度に応じた本人拒否率と他人受入率を示す照合精度と、本人確認処理実行装置４の公開鍵証明書で構成されている。なお、本人確認処理実行装置プロファイルとして、本人確認処理実行装置４の機器情報等を保証する情報を列挙したが、図６に示した情報に限らず、本人確認処理実行装置４に関する情報を保証するデバイス証明書などの別の情報を本人確認処理実行装置プロファイルに用いてもよい。

一方、サーバ装置２０は、図１及び図７に示すように、通信部２１、サービス提供装置２２、本人確認処理検証装置２３、制御部２４、本人確認情報取得部２５、生体認証情報ポリシー保存部２６、生体認証情報検証部２７、環境情報ポリシー保存部２８、環境情報検証部２９、リトライポリシー保存部３０、認証判断部３１、アカウントロック／リトライ検証部３２、本人確認情報一時保存部３３、リトライカウンタ保存部３４、リトライカウンタ管理部３５、改善命令作成部３６、改善メッセージ作成部３７及びユーザＤＢ３８を備えている。

ここで、通信部２１は、クライアント装置との間で通信を実行するものであり、例えば、クライアント装置１０から本人確認処理実行結果を受信し、改善メッセージをクライアント装置１０に送信するものである。

サービス提供装置２２は、本人確認処理検証装置２３の出力により、クライアント装置１０に対してサービス提供を行うものである。

本人確認処理検証装置２３は、各部２４〜３８を用いて、通信部２１から受信した本人確認処理実行結果を検証して本人認証を行い、その結果サービス提供を行うかを決定、又はアカウントロック等の制御を行うものである。

制御部２４は、本人確認処理検証装置２３の制御を行うものである。

本人確認情報取得部２５は、クライアント装置１０から通信部２１により受信した本人確認処理結果から、生体認証処理実行結果である生体認証情報と、環境情報とを取り出すものであり、生体認証情報を生体認証情報検証部２７へ出力するとともに、環境情報を環境情報検証部２９へ出力する機能をもっている。

生体認証情報ポリシー保存部２６は、生体認証情報検証部２７から読出可能な記憶装置であり、図８に示すように、サーバが本人確認のために受け入れ可能な照合アルゴリズム、本人拒否率や他人受入率、生体情報の品質、照合精度などを予め定めた生体認証情報ポリシーを保存したものである。なお、生体認証情報ポリシーには、照合精度、本人拒否率、他人受入率などの必須の項目と、テンプレート証明書やデバイス証明書などクライアント装置１０によっては含まれている場合といない場合に対応するためのオプションで検証する項目が設定されている。

生体認証情報検証部２７は、本人確認情報取得部２５から受けた生体認証情報が、生体認証情報ポリシー保存部２６内の生体認証情報ポリシーに適合するか否かを判定し、その判定結果を生体認証情報検証結果としてアカウントロック／リトライ検証部３２に出力するものである。

環境情報ポリシー保存部２８は、環境情報検証部２９から読出可能な記憶装置であり、図９に示すように、生体認証時の明度、湿度及び生体検知に関する環境情報が満たすべき条件を予め定めた環境情報ポリシーが保存されている。ここで、環境情報ポリシーには、例えば統計的なデータに基づいて正しく認証処理が実行可能な環境の範囲がアルゴリズム毎に設定されている。

環境情報検証部２９は、本人確認情報取得部２５から受けた環境情報が、環境情報ポリシー保存部２８内の環境情報ポリシーに適合するか否かを判定し、その判定結果を環境情報検証結果としてアカウントロック／リトライ検証部３２に出力するものである。

リトライポリシー保存部３０は、アカウントロック／リトライ検証部３２から読出可能な記憶装置であり、図１０に示すように、生体認証情報検証部２７の検証結果、環境情報検証部２９の検証結果及び過去の本人確認結果から、本人確認成功（ＯＫ）とするか、又は本人確認失敗（ＮＧ）とし、「リトライの許可」又は「アカウントロック」を行うか否かの条件情報を予め定めたアカウントロック／リトライポリシー情報（以下、単にリトライポリシーともいう）を保存したものである。

例えば図１０中、「リトライの許可」を示す情報（アカウントロック／リトライ動作のうちの“リトライを促す”）は、主に、「生体認証情報検証部２７の検証結果が正当又は不正」を示す情報（本人確認結果の“ＯＫ”又は“ＮＧ”）と、「環境情報検証部２９の検証結果が不正」を示す情報（本人確認情報検証結果のうちの“環境情報が統計的な動作の範囲外”、“生体検知情報が無い”）とに関連付けられている。

また「アカウントロック」を示す情報（アカウントロック／リトライ動作のうちの“アカウントロックをかける”は、主に、「生体認証情報検証部２７の検証結果が不正」を示す情報（本人確認結果の“ＮＧ”）と、「環境情報検証部２９の検証結果が不正」を示す情報（本人確認情報検証結果のうちの“環境情報が統計的な動作の範囲外”、“生体検知情報が無い”）と、「過去のリトライ回数が所定回数以上」を示す情報（本人確認情報検証結果の“リトライ回数３回目以上”）とに関連付けられている。

図１０に示す例では、本人確認情報検証結果のうちアカウントロック／リトライポリシーに該当する項目があれば、ポリシーに規定された動作を行う。このポリシー設定についてはサービス管理者に依存するものであり、提供するサービスによってまったく異なるポリシーとなることも考えられる。

認証判断部３１は、アカウントロック／リトライ検証部３２を備えている。

アカウントロック／リトライ検証部３２は、生体認証情報検証部２７の検証結果と、環境情報検証部２９の検証結果と、リトライポリシー保存部３０に保存されているリトライポリシーと、本人確認情報一時保存部３３に保存された過去の本人確認情報から、本人確認成功（ＯＫ）、又は本人確認失敗（ＮＧ）として「リトライの許可」又は「アカウントロック」に該当するか否かを判定し、「リトライの許可」に該当する場合は本人確認情報検証結果（例、環境情報が統計的なデータの範囲外）を改善メッセージ作成部３７に出力する一方でリトライカウンタ管理部３５を制御してリトライカウンタ保存部３４内のリトライ回数を加算するように動作し、「アカウントロック」に該当する場合はユーザＤＢ３８のアカウントをロックするように動作するものである。

アカウントロック／リトライ検証部３２は、本人確認情報一時保存部３３に保存された前回認証時の本人確認情報検証結果とリトライ回数とを合わせてリトライとアカウントロックの設定を変化させても良い。なお、その際リトライカウンタ管理部３５においてリトライカウンタがカウントされ、リトライカウンタ保存部３４にリトライ回数が保存される。リトライカウンタと本人確認処理結果の対応付けについては、リトライ要求に含まれるデータを用いて行う。例えば再送攻撃を防ぐために含まれるチャレンジデータと関連付けておくことで、本人確認処理結果にチャレンジデータが含まれるので、従来の目的に加えてリトライ回数を検証することができる。また、他にリトライ回数を示すフィールドを作成し、リトライを行ったことを関連付けても良く、リトライカウンタの管理方法及びバインド方法については言及しない。

これにより不正な生体認証を行っていると判断できない場合には無制限のリトライ権限を与える一方で、クライアント環境が改善しないような場合にはアカウントロックをかけることが可能になるだけでなく、そのアカウントロックの強度もリトライ回数や検証結果によって変化させることが可能になる。

例えば図１０で本人確認結果がＮＧ（不正）であり、その原因が環境情報の設定に問題があることが分かっており、本人確認情報一時保存部３３とリトライカウンタ保存部３４を参照してリトライ回数が３回目であることが判明した場合には、レベル［低］のアカウントロックをかけることが可能になる。ここでアカウントロックのレベルとその強度についての例を示す。レベル［低］とは、１時間ロックしたのち、アカウントが有効になる強度をいう。レベル［中］とは、１日ロックしたのち、アカウントが有効になる強度をいう。レベル［高］とはサービス提供者またはサーバ管理者などに問い合わせなければロックが解除できない強度をいう。

本人確認情報一時保存部３３は、アカウントロック／リトライ検証部３２の結果を本人確認情報として、予め定められた一定期間保存するものである。

リトライカウンタ保存部３４は、リトライカウンタ管理部３５により更新され、ユーザ毎に、リトライの回数を保存するものである。

リトライカウンタ管理部３５は、アカウントロック／リトライ検証部３２により制御され、リトライカウンタの加算を行うものである。

改善命令作成部３６は、改善メッセージ作成部３７を備えている。

改善メッセージ作成部３７は、アカウントロック／リトライ検証部３２の結果が「リトライの許可」に該当する場合、アカウントロック／リトライ検証部３２より出力された本人確認情報検証結果から、環境情報ポリシー保存部２８を参照して環境情報に関する改善情報を作成してクライアント装置１０に通知する改善メッセージを作成するものである。改善メッセージの例を図１１に示す。ここでは、改善メッセージとしているが、クライアント装置１０に改善メッセージにある内容を反映させるようなネゴシエーションを行う装置であっても良い。また改善メッセージを環境ポリシーと関連付けて作成してもよい。

ユーザＤＢ３８は、アカウントロック／リトライ検証部３２から読出／書込可能な記憶装置であり、図１２に示すように、予め登録された利用者のアカウントがアカウントロックされているか否かの情報とともに保存されているものである。利用者のアカウントであるユーザＩＤと利用者がサーバにテンプレートを登録している場合にはオプション項目としてテンプレートデータが含まれる。またアカウントロック状態を示すアカウントロックフラグを保持すると共にロックが解除される時間などが含まれる。

なお、サーバ装置２０において生体認証処理の一部、特にテンプレートと認証時にクライアント装置１０により取得された生体情報（サンプル）の照合を行う場合は、サーバ装置２０内の図示しない生体認証処理実行部６及びテンプレート格納装置２によって、クライアント装置１０より受信した本人確認処理結果を入力として、生体認証処理実行部６においてテンプレート格納装置２に保存されたテンプレートと、本人確認処理結果に含まれる生体情報（サンプル）とを照合し、その結果を本人確認処理結果内の生体認証情報に併せて記述し、本人確認処理検証装置２３へ入力する。

次に、以上のように構成された生体認証システムの動作を図１３及び図１４のフローチャートを用いて説明する。
（準備）
クライアント装置１０は、利用者の操作により、予めサーバ装置２０に利用者登録を実行し、サーバ装置２０内のユーザＤＢ３８にアカウントが生成される。また、クライアント装置１０は、利用者の操作により、登録時に生体情報を併せてサーバに登録するか、又は信頼できる機関に生体情報を登録する。登録された生体情報（テンプレート）はＩＣカードなどのテンプレート格納装置２内に保存されて利用者に配布されるか、又はサーバ装置２０内の図示しないテンプレート格納装置に保存される。この際、テンプレートの正当性を保証するために、テンプレート又はテンプレートを特定できる情報にサーバや信頼できる機関の署名を付加した証明書（テンプレート証明書）が共に保存されることが望ましい。

（本人確認処理：図１３）
利用者がサーバへのアクセス及びサービス提供を希望する場合、クライアント装置１０は、利用者の操作に基づき、サーバ装置２０に認証依頼を送信する。サーバ装置２０は、認証依頼を受信すると、クライアント装置１０に本人確認処理要求を送信する。

クライアント装置１０の通信部１は、本人確認処理要求を受信すると（ＳＴ１１）、これを本人確認処理実行装置４の本人確認処理実行部５に送る。本人確認処理実行部５は、本人確認処理要求を受けると、テンプレート格納装置２にテンプレート取得要求を送信する（ＳＴ１２）。テンプレート格納装置２は、テンプレート取得要求を受けると、保存しているテンプレートを本人確認処理実行装置４の生体認証処理実行部６へ出力する。

また、本人確認処理実行部５は、生体情報取得実行部７に生体情報取得要求を送る（ＳＴ１３）。生体情報取得実行部７は、生体情報取得要求を受けると、図示しない入出力装置を用いて利用者の生体情報を取得し、この生体情報をサンプルとして生体認証処理実行部６へ出力する。入出力装置としては、例えば指紋センサやカメラ等が適用可能である。

一方、本人確認処理実行部５は、生体情報取得要求と並行して、環境情報取得装置３に環境情報取得要求を送る（ＳＴ１４）。環境情報取得装置３は、環境情報取得要求を受けると、生体情報取得時のクライアント装置１０外の明度、湿度又は生体検知に関する環境を測定して環境情報を取得し、この環境情報を本人確認処理実行部５へ出力する。

ここで、本人確認処理実行部５は、テンプレート取得要求の前に、生体情報取得要求及び環境情報取得要求を実行し、その後にテンプレート取得要求をしても良い。

これらの実行後、本人確認処理実行部５は、生体認証処理実行部６に生体認証処理実行要求を送る（ＳＴ１５）。生体認証処理実行部６は、生体認証実行要求を受けると、テンプレート格納装置２から受けたテンプレートと生体情報取得実行部７から受けたサンプルとを用いて生体認証処理を実行し、その結果を生体認証処理実行結果として本人確認処理実行部５へ出力する。

次に、本人確認処理実行部５は、本人確認処理実行装置プロファイル保存部８に本人確認処理実行装置プロファイル要求を送出する（ＳＴ１６）。本人確認処理実行装置プロファイル保存部８は、本人確認処理実行装置プロファイル要求を受けると、本人確認処理実行装置プロファイルを本人確認処理実行部５へ出力する。

ここで、本人確認処理実行部５は、本人確認処理実行装置プロファイル要求の送出を、本人確認処理要求の受信から本人確認結果作成までのどの段階で行っても良い。

最後に、本人確認処理実行部５は、環境情報処理装置から受けた環境情報と、生体認証処理実行部６から受けた生体認証処理実行結果とを含む本人確認処理結果を作成し（ＳＴ１７）、この本人確認処理結果を、通信部１を介してサーバ装置２０へ送信する。

（検証処理：図１４）
サーバ装置２０の制御部２４は、本人確認処理結果を通信部２１を介して受信すると、これを本人確認情報取得部２５へ送る。

本人確認情報取得部２５は、この本人確認処理結果から生体認証処理実行結果と環境情報を抽出し、生体認証処理実行結果を生体認証情報として生体認証情報検証部２７へ出力するとともに、環境情報を環境情報検証部２９へ出力する。

生体認証情報検証部２７は、生体認証情報を受けると（ＳＴ２１）、生体認証情報ポリシー保存部２６内の生体認証情報ポリシーを取得する（ＳＴ２２）。そして、受けた生体認証情報が、生体認証情報ポリシーに適合するか否かを検証し（ＳＴ２３）、その結果を生体認証情報検証結果としてアカウントロック／リトライ検証部３２へ出力する。

一方、環境情報検証部２９は、環境情報を受けると（ＳＴ２４）、環境情報ポリシー保存部２８内の環境情報ポリシーを取得する（ＳＴ２５）。そして、受けた環境情報が環境情報ポリシーに適合するか否かを検証し（ＳＴ２６）、その結果を環境情報検証結果としてアカウントロック／リトライ検証部３２へ出力する。

アカウントロック／リトライ検証部３２は、生体認証情報処理検証結果及び環境情報検証結果（以降、これらを併せて本人確認情報検証結果と呼ぶ）を受けると（ＳＴ２７）、リトライポリシー保存部３０内のリトライポリシーを取得する（ＳＴ２８）。そして、本人確認情報検証結果をリトライポリシーに基づいて、本人確認成功（ＯＫ）、又は本人確認失敗（ＮＧ）として「リトライの許可」又は「アカウントロック」に該当するか否かを判定し（ＳＴ２９）、その判定結果を制御部２４へ出力する。

また、判定結果が「リトライの許可」に該当する場合はリトライポリシーに基づいて、本人確認情報検証結果を改善メッセージ作成部３７へ出力し、改善メッセージを作成させても良い（ＳＴ３０）。さらに、アカウントロック／リトライ検証部３２は、本人確認情報一時保存部３３へ本人確認情報検証結果を保存する。一方、アカウントロックの場合はユーザＤＢ３８のアカウントをロックする（ＳＴ３１）。

ここで、本人確認情報検証結果の例１及び例２を図１５（ａ）〜（ｂ）に示す。例１及び例２は、生体認証情報検証部２７と環境情報検証部２９での検証結果を併せた結果を示している。

本人確認情報検証結果の例１からは、生体認証処理結果、生体認証を行った際の環境情報及びクライアント環境の環境情報に問題ないことが検証できているので、サービスを提供することになる。それに対し、本人確認情報検証結果の例２からは、生体認証結果がＮＧ（不正）になっている原因として明るさが足りていないことが検証できるので、生体認証が失敗している原因としてクライアント環境の明度（明るさ）不足が分かるので、環境情報を改善するようにメッセージを促す処理に移行することになる。

次に、改善メッセージ作成部３７は、アカウントロック／リトライ検証部３２より本人確認情報検証結果を受けると、予め決められた改善メッセージを制御部２４へ出力する。

最後に、アカウントロック／リトライ検証部３２から検証結果を受けた制御部２４は、その結果がＯＫならばサービス提供装置２２へサービス提供を行うよう要求する。一方、結果がＮＧの場合は、その旨を通信部２１を介してクライアント装置１０へ送信する。このときリトライ要求を行う場合には改善メッセージ作成部３７より受けた改善メッセージも併せてクライアント装置１０へ送信する。

クライアント装置１０へ送信された改善メッセージは、図示しない表示装置により表示され、利用者に改善メッセージを通知する。

上述したように本実施形態によれば、クライアント装置１０が、生体認証実行時の明度、湿度又は生体検知に関する環境情報を生体認証情報と共にサーバ装置２０に送信し、サーバ装置２０が、「生体認証情報の検証結果が正当又は不正」であり且つ「環境情報の検証結果が不正」である場合に関し、当該環境情報に関する改善メッセージをクライアント装置１０に返信することにより、クライアント装置１０側では、環境情報に関する改善メッセージを参照してからリトライを実行するので、生体認証のリトライ時に、環境の問題による再失敗の可能性を低減できる。

また、認証処理結果だけでなくクライアント側の環境を総合的に検証できるので、不正な利用者の認証要求を遮断できるとともに、正規の利用者が例えば環境の設定に問題があり本人であるにもかかわらず照合に失敗してアカウントロックになることを避けることができる。この場合、例えばアカウントロックをかけずリトライを促すことが可能になる。またリトライを促す際に、利用者が生体認証に失敗した要因を検証していることから、改善方法を改善メッセージという形式で通知することができる。

また、改善メッセージの通知により、利用者が生体認証に失敗した原因や、どう改善すれば良いかが分かるため、リトライ時に生体認証が再度失敗する可能性を低減できる。

また、生体認証においては、結果がＮＧとなる要因が数多く存在するが、従来のシステムではそれを検出することができず、一意的にリトライ・アカウントロックをかけていたが、本実施形態ではその要因に応じてサーバ装置２０が保持するポリシーに従ったリトライ・アカウントロックの制御を実行することができる。

また、認証判断部３１は、必ずしもアカウントロックを判断する必要は無く、アカウントロックを判断する機能は、所望により追加される機能である。

つまり、最小限の構成では図７において、アカウントロック／リトライ検証部３２は、リトライ判断部であれば良く、アカウントロックとリトライを判断させるためのリトライカウンタ管理部３５、リトライカウンタ保存部３４、本人確認情報一時保存部３３が存在しなくても良い。またアカウントロックを行うユーザＤＢ３８への操作も行わなくて良く、さらにリトライポリシー保存部３０にはアカウントロックに関するポリシーが含まれていなくて良い。

また、本実施形態では、図７において、認証判断部３１に含まれるアカウントロック／リトライ検証部３２が、生体認証結果と環境情報の検証結果をもとに、リトライ／アカウントロック／サービス提供のどの操作を行うか判断しているが、認証判断部３１には他にも生体認証の結果と環境情報をもとに何かしらの判断を行う装置であってもよい。そのため認証判断部３１において判定する項目については特に規定しない。これは後の実施形態でも同様である。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。本実施形態は、第１の実施形態において、特許文献１記載の方法と同様に、クライアント装置１０が認証コンテキストに環境情報を記述してサーバ装置２０に通知することにより、環境情報の偽造や改ざんを防ぐものである。すなわち、認証コンテキストを用いた構成により、第１の実施形態の処理結果を保証することが可能になり、検証時に改ざんや不正な処理を検知した際には生体認証の結果に関わらずリトライをさせない、といった判断ができることから、より安全なシステムを構築することが可能になる。

具体的には、特許文献１記載の手段と同様に、クライアント装置１０が認証コンテキストを生成してサーバ装置２０に送信する。このとき、認証コンテキスト内に環境情報を含む本人確認処理結果を併せて記述する。これにより、サーバ装置２０は本人確認処理結果の正当性を検証できる。

以下、本実施形態の詳細を、図１６乃至図２０を用いて説明する。なお、第１の実施形態と同様な装置及び機能については説明を省略する。なお、以下の各実施形態でも同様にして重複した説明を省略する。

第２実施形態の生体認証システムは、図１に示した全体構成を備えている。

クライアント装置１０内の本人確認処理実行装置４は、図１６に示すように、本人確認処理実行部５に代えて生体認証コンテキスト生成実行部５ａを備え、秘密情報保存部９及び認証子生成部１１を付加した構成となっている。

生体認証コンテキスト生成実行部５ａは、各部６〜９，１１により本人確認処理を制御し、本人確認処理結果に認証子を付加した生体認証コンテキストを生成するものである。

秘密情報保存部９は、認証子生成部１１から読出可能な記憶装置であり、認証子を生成するための秘密情報が格納されたものである。

認証子生成部１１は、生体認証コンテキスト生成実行部５ａから受けた認証子対象データに対し、秘密情報保存部９内の秘密情報に基づいて、認証子を生成する機能と、生成した認証子を生体認証コンテキスト生成実行部５ａに送出する機能をもっている。

一方、サーバ装置２０内の本人確認処理検証装置２３は、図１７に示すように、本人確認処理検証部２５に代えて生体認証コンテキスト生成実行部４０を備え、さらに認証子検証部４１及び認証子検証情報保存部４２を付加した構成となっている。

生体認証コンテキスト検証実行部４０は、クライアント装置１０から受信した生体認証コンテキストの認証子検証を制御し、生体認証処理結果である生体認証情報と、環境情報を取り出すものである。

認証子検証部４１は、生体認証コンテキスト検証実行部４０から受けた生体認証コンテキストに対し、認証子検証情報保存部４２内の認証子検証情報に基づいて、生体認証コンテキストの認証子を検証するものである。

認証子検証情報保存部４２は、認証子検証部４１から読出可能な記憶装置であり、生体認証コンテキストの認証子検証のための情報を保存しているものである。

次に、以上のように構成された生体認証システムの動作を図１８及び図１９のフローチャートを用いて説明する。

（準備）
利用者登録は、第１の実施形態時と同様に実行されているものとする。

（本人確認処理：図１８）
利用者がサーバへのアクセス及びサービス提供を希望する場合、前述同様に、利用者の操作により、クライアント装置１０からサーバ装置２０に認証依頼が送信される。サーバ装置２０は認証依頼を受信すると、クライアント装置１０に認証コンテキスト作成要求を送信する。

クライアント装置１０の通信部１は、受信した認証コンテキスト作成要求を本人確認処理実行装置４の生体認証コンテキスト生成実行部５ａに送る。

生体認証コンテキスト生成実行部５ａは、認証コンテキスト作成要求を受けると（ＳＴ１１ａ）、第１の実施形態と同様に本人確認処理を行う（ＳＴ１２〜ＳＴ１６）。このステップＳＴ１２〜ＳＴ１６の処理は、第１の実施形態の本人確認処理実行部５が制御している処理と同様であるので、説明を省略する。

この後、生体認証コンテキスト生成実行部５ａは、環境情報取得装置３から受けた環境情報と、生体認証処理実行部６から受けた生体認証処理実行結果及び本人確認処理実行装置プロファイルを認証子対象データとして、認証子生成部１１に認証コンテキスト作成要求を送る。認証子対象データは、特許文献１記載のデータのように、実行結果のみではなく、クライアント装置１０の処理を保証するための各種情報が含まれても良い。

認証子生成部１１は、秘密情報保存部９内の秘密情報に基づいて（ＳＴ１７−１）、認証子対象データから認証子を生成し（ＳＴ１７−２）、この認証子を生体認証子コンテキスト生成実行部５ａに送出する。

生体認証コンテキスト生成実行部５ａは、この認証子を認証子対象データに付加して生体認証コンテキストを生成し（ＳＴ１７−３）、この生体認証コンテキストを通信部１を介してサーバ装置２０へ送信する。

（検証処理：図１９）
サーバ装置２０の制御部２４は、通信部２１を介して受信した生体認証コンテキストを生体認証コンテキスト検証実行部４０へ送る。

生体認証コンテキスト検証実行部４０は、この生体認証コンテキストを認証子検証部４１に送出する。認証子検証部４１は、この生体認証コンテキストに含まれる認証子を、認証子検証情報保存部４２内の認証子検証情報に基づいて検証し（ＳＴ２１ａ）、検証結果を生体認証コンテキスト検証実行部４０に送出する。

生体認証コンテキスト検証実行部４０は、得られた認証子の検証結果をアカウントロック／リトライ検証部３２に送出する一方、生体認証コンテキストから生体認証処理実行結果と環境情報を抽出し、生体認証処理実行結果を生体認証情報として生体認証情報検証部２７へ出力するとともに、環境情報を環境情報検証部２９へ出力する。

その後のステップＳＴ２１〜ＳＴ２８の処理について、アカウントロック／リトライ検証部３２での処理までは第１の実施形態と同じであるので説明を省略する。

アカウントロック／リトライ検証部３２は、生体認証情報処理検証結果及び環境情報検証結果及び認証子検証結果を受け取ると、第１の実施形態の検証方法に加えて、認証子検証結果について、アカウント／リトライポリシーに基づいて、本人確認成功（ＯＫ）、又は本人確認失敗（ＮＧ）として「リトライの許可」又は「アカウントロック」に該当するか否かを判定し（ＳＴ２９ａ）、その後、第１の実施形態と同様にリトライポリシーの検証結果に応じてサービス提供／アカウントロック／リトライの処理を行う。

上述したように本実施形態によれば、第１の実施形態の効果に加えて、認証子を検証することにより、クライアント装置１０で行われた処理及び得られたデータが改ざんされていないことを検証することが可能になり、第１の実施形態と比較してよりセキュリティの高いシステムを構成することが可能になる。

例えば、生体認証コンテキストの認証子の検証結果が加わることで、照合データの改ざんや不正な認証の有無を検証できるだけでなく、不正なデバイスを用いていないか、クライアント装置１０の処理を検証できるので、クライアント装置１０の処理の正当性をより詳細に検証でき、より詳細なポリシー設定が可能になる。

例えば図２０に示すように、認証コンテキスト（認証子）が不正という結果に対してはクライアント装置１０でデータの改ざんなど不正な処理を実行していることから、照合結果がＯＫ（正当）であろうと、サービスを提供せずにアカウントロックをかける、といったポリシーをリトライポリシー保存部３０に設定することが可能になる。

（第３の実施形態）
次に、本発明の第３の実施形態について説明する。本実施形態は、第１の実施形態に関連して、検証装置が予め利用者が保持している認証システムやモダリティについての情報を通知し、利用者が行う認証方式などの情報をポリシーとして保持しておくことで、照合結果の成否に関わらず不正な認証要求を排除し、正規の利用者のアカウントロックを防ぐことを可能にするものである。

補足すると、従来のパスワード認証システムでは、不正な利用者が正規の利用者のＩＤを使って故意的に認証を失敗させ、そのアカウントをロックさせるアカウントロック攻撃が行われる場合がある。同様に従来の生体認証システムにおいても、ＩＤが分かれば不正な利用者が故意にアカウントロックを試みることが可能である。

そこで、第３の実施形態では、不正な利用者による故意のアカウントロックを阻止する観点から、予め利用者が保持している認証システムやモダリティを検証している。

第３実施形態の生体認証システムは、図１に示した全体構成を備えている。

クライアント装置１０内の本人確認処理実行装置４は、図２１に示すように、本人確認処理情報をクライアント装置１０に接続されている各デバイスから取得し、本人確認処理情報として取得した情報をまとめてサーバに通知する本人確認処理実行部５ｂを備えている。

一方、サーバ装置２０内の本人確認情報取得部２５ｂは、図２２に示すように、クライアント装置１０から送られる本人確認処理情報をユーザＩＤとバインドさせてユーザＤＢ３８ｂに登録処理を行うと共に、本人確認処理検証時にはユーザＤＢｂ３８に登録した本人確認処理情報と、本人確認処理結果のクライアント装置１０が一致しているか検証し、一致していれば第１の実施形態の処理に移行するが、そうでなければ本人確認処理結果に対して第１の実施形態の処理には移行せず本人確認要求の結果をＮＧ（不正）として拒否する機能をもっている。

これに伴い、ユーザＤＢ３８ｂは、図２３に示すように、事前にクライアント装置１０から送られてくる本人確認処理情報が保存される。保存する項目としては、例えば、クライアント装置１０での処理を判定する項目であり、本人確認処理実行装置プロファイルに格納されている、メーカ名やモダリティ、照合アルゴリズムやクライアント装置１０に接続されている環境情報取得装置ＩＤなどを設定することが考えられる。

次に、以上のように構成された生体認証システムの動作を図２４及び図２５を用いて説明する。

（準備）
利用者は、事前に不正な利用者による認証要求を防ぐこと、不正な利用者によるアカウントロック攻撃を防ぐことを目的にクライアント装置１０の生体認証装置など、照合時に用いる装置に関する情報をユーザＩＤとバインドさせて登録する。

利用者がサーバへのアクセス及びクライアント装置１０に関する情報の登録を希望する場合、クライアント装置１０は、利用者の操作により、サーバ装置２０にクライアント装置情報登録依頼を送信する。サーバ装置２０はクライアント装置情報登録依頼を受信すると、クライアント装置１０に本人確認処理情報要求を送信する。

（本人確認処理情報取得処理：図２４）
クライアント装置１０の通信部１は、本人確認処理情報要求を受信すると、これを本人確認処理実行装置４の本人確認処理実行部５ｂに送る。本人確認処理実行部５ｂは本人確認処理情報要求を受けると（ＳＴ１）、テンプレート格納装置２にテンプレート格納装置情報取得要求を送信する（ＳＴ２）。テンプレート格納装置２は、これを受けて保存している自装置に関する情報を本人確認処理実行装置４の本人確認処理実行部５ｂへ出力する。

また、本人確認処理実行部５ｂは、生体情報取得実行部７に生体情報取得装置情報取得要求を送り（ＳＴ３）、生体情報取得実行部７は、これを受けて、図示しない入出力装置に関する情報と、生体情報取得装置に関する情報とを本人確認処理実行部５ｂへ出力する。

一方、本人確認処理実行部５ｂは、生体情報取得装置情報取得要求と並行して、環境情報取得装置３に環境情報取得装置情報取得要求を送る（ＳＴ４）。環境情報取得装置３は環境情報取得装置情報取得要求を受けると、環境情報取得装置３に関する情報を本人確認処理実行部５ｂへ出力する。

これらの実行後、本人確認処理実行部５ｂは、生体認証処理実行部６に生体認証処理実行情報取得要求を送る（ＳＴ５）。生体認証処理実行部６は、生体認証処理実行情報取得要求を受けると、生体認証処理装置に関する情報として本人確認処理実行装置プロファイル保存部から本人確認処理実行装置プロファイルを本人確認処理実行部５ｂへ出力する。

最後に、本人確認処理実行部５ｂは、それぞれ受けた情報をあわせて本人確認処理情報とし（ＳＴ６）、この本人確認処理情報を、通信部１を介してサーバ装置２０へ送信する。

この際、クライアント装置１０から送られるデータ項目については、サーバが要求するデータ項目によっては前述のような装置から情報を取得しなくても良い。要求するデータ項目については、ユーザＤＢ３８ｂの項目や提供するサービス等にも関係してくるのでここで詳しくは限定しない。

サーバ装置２０は、本人確認処理情報を受けると、例えば図２３に示すように、ユーザＤＢ３８ｂにユーザＩＤとバインドさせて本人確認処理情報を登録する。

（本人確認処理）
クライアント装置１０における本人確認処理までは第１の実施形態と同じであるので説明を省略する
（検証処理：図２５）
サーバ装置２０の制御部２４は、本人確認処理結果を通信部２１を介して受信すると、これを本人確認情報取得部２５ｂへ送る。

本人確認情報取得部２５ｂは、受けた本人確認処理結果から（ＳＴ２０−１）、生体認証処理実行結果と環境情報を抽出する。

次にユーザＤＢ３８ｂからユーザＩＤとバインドして登録している本人確認処理情報を取得し（ＳＴ２０−２）、登録している実行環境と本人確認処理結果から取得した実行環境や本人確認処理実行装置プロファイルに記述されている情報とを比較し、一致しているか否かを検証する（ＳＴ２０−３）。

一致していなければ、不正な利用者による認証要求であると見なし、本人確認処理検証を中止して認証要求を拒否する。一方、一致していれば第１の実施形態と同様にステップＳＴ２１〜ＳＴ３１の処理を行い、本人確認処理結果を検証する。このステップＳＴ２１〜ＳＴ３１の処理については第１の実施形態と同じであるので説明を省略する。

上述したように本実施形態によれば、第１の実施形態の効果に加え、本人確認実行時の環境が事前に登録している環境であるか否かで不正な認証要求であるか判断できるので、第１の実施形態よりもよりセキュリティの高いシステムを構築することが可能になる。また、不正な要求であることが本人確認処理結果を検証する前に判定できるので、サーバ装置２０での負荷を軽減することが可能になる。

加えて生体認証では、従来のパスワード認証システムとは異なり、さまざまな認証精度の認証方式が存在するため、認証方式やその組み合わせによって脆弱なシステムが存在する可能性がある。従って、利用者の保持していないモダリティによる認証要求を受け付けなくすることは利用者だけではなくサーバによっても好ましい。

なお、本実施形態は、第２の実施形態において行われても良い。

（第４の実施形態）
次に、本発明の第４の実施形態について説明する。本実施形態は、第１の実施形態に関連して、第１の実施形態のように生体認証時における環境設定に問題があることが判明してリトライを促す場合に、それら問題点をメッセージとして伝えるのではなく、実際にクライアント装置１０の設定をチューニングし、問題となっている設定をサーバからの命令により修正するものである。

このことにより、問題がありメッセージが送信されたにも関わらず設定を変更せず再びリトライ時に生体認証結果がＮＧ（不正）と判断されるような場合を回避することが可能になり、サーバ装置２０にとって無駄な生体認証結果を検証することが無くなるだけでなく、利用者にとっても生体認証特有の問題に関する知識や生体認証装置に関する知識を有していなくても対応することが可能になる。また実際環境設定をどの程度修正すればよいかも生体認証特有の問題であり、一般の利用者にとっては分かりにくいため自動的に設定される方が好ましい。

第４実施形態の生体認証システムは、図１に示した全体構成を備えている。

クライアント装置１０内の本人確認処理実行装置４は、図２６に示すように、図２に示した構成に比べ、環境情報操作部１２を付加した構成となっている。

ここで、環境情報操作部１２は、本人確認処理実行部５からの要求により、生体情報取得実行部７で生体情報を取得する際の図示しない入出力装置及び本人確認処理実行装置４周辺の環境を変化させるものである。

環境情報操作部１２は、例えば周囲の環境情報である明度などを変化させる照明などの図示しない装置を操作することができ、本人確認処理実行部５からの要求により周囲の環境情報を変化させることができる。例えば周囲の明度を変化させ、明るくしたり暗くすることを意味している。なお、環境情報操作部１２は生体認証処理実行部６内で動作しても良く、また環境情報取得装置３内で動作しても良い。

これに伴い、本人確認処理実行部５は、前述した機能に加え、サーバ装置２０から受けた改善命令に基づいて、環境情報操作部１２を制御する機能をもっている。

一方、サーバ装置２０内の本人確認処理検証装置２３は、図２７に示すように、図７に示した構成に比べ、改善メッセージ作成部３７に代えて改善命令作成部４３を備えている。

改善命令作成部４３は、アカウントロック／リトライ検証部３２の結果がリトライ許可の場合、アカウントロック／リトライ検証部３２より出力された検証結果から、環境情報ポリシー保存部２８を参照して改善情報を作成してクライアント装置１０に通知する改善命令を作成する機能をもっている。

次に、以上のように構成された生体認証システムの動作を図２８のフローチャートを用いて説明する。

（本人確認処理）
クライアント装置１０は、第１の実施形態と同様に本人確認処理を実行し、本人確認処理結果をサーバ装置２０へ送信する。

（検証処理：図２８）
ステップＳＴ２１〜ＳＴ２９のアカウントロック／リトライ検証までの処理は、第１の実施形態と同じであるので説明を省略する。

ステップＳＴ２９で「リトライの許可」に該当すると判定されたとき、サーバ装置２０内の改善命令作成部４３は、「リトライの許可」に該当する根拠となった環境情報に関し、改善するように改善命令を作成する（ＳＴ３０ｃ）。

改善命令は、例えばリトライポリシーにおける“環境情報の統計的なデータの範囲内”にクライアント装置１０で取得した環境情報が含まれていない場合に、その範囲に含まれるように環境を設定するための情報であり、例えば明度をさらに１００ルクス明るくする、といった命令である。

また極端な例を挙げると、携帯電話のようなカメラ機能を保持している端末において、センサがフラッシュを起動しない環境でも、フラッシュを起動するように設定する改善命令が使用可能となっている。また生体認証のアルゴリズムについて、前回とは異なるアルゴリズムを用いて生体認証を行うような改善命令としてもよい。

その他のアカウントロックを行う場合のステップＳＴ３１の処理等については第１の実施形態と同様であるので、説明を省略する。

サーバ装置２０は、改善命令とともにリトライ要求をクライアント装置１０に送信する。クライアント装置１０は、改善命令に基づいて、環境情報操作部１２により環境を操作した後、第１の実施形態と同様に再度本人確認処理を実行し、本人確認処理結果をサーバ装置２０に送信する。サーバ装置２０はこの本人確認処理結果を検証する。

本実施形態は、例えばカメラなどの入出力装置を用いた生体情報取得実行部７が生体情報を取得する際に、周囲の環境が暗いにもかかわらずカメラのセンサが作動せずフラッシュ、又は照明が作用していない場合に、改善命令により環境情報操作部１２がフラッシュ又は照明を有効にした後、リトライを行う動作を想定している。

上述したように本実施形態によれば、問題があるにも関わらず設定を変更しないで再び生体認証結果がＮＧ（不正）と判断されるような場合を回避することが可能になり、無駄な生体認証結果を検証することが無くなるだけでなく、利用者にとっても生体認証特有の問題に起因する本問題点についての知識を有していなくても対応することが可能になる。

なお、本実施形態は第２乃至第３の実施形態で行われても良い。

（第５の実施形態）
次に、本発明の第５の実施形態について説明する。本実施形態は、サーバ装置２０が環境情報ポリシーを導出するものである。

補足すると、第１の実施形態では環境情報ポリシー保存部２８が予め環境情報ポリシーを保持するものとしたが、その環境情報ポリシーの規定方法を述べていなかった。実際に環境情報ポリシーを準備するにはサーバ装置２０の管理者が生体認証の分野に精通し且つモダリティ毎の精度に関する知識も有している必要があるものの、全てのサーバ装置２０の管理者がこれら知識を有している訳ではない。とはいえ、環境情報ポリシーを正しく設定できなければ、さまざまな生体認証システムからの要求に対して一様なセキュリティを保持できない等の問題が生じてしまう。

第５の実施形態は、照合精度によって環境情報ポリシーを導出するものである。これにより、サーバ装置２０の管理者は、生体認証の分野に精通していなくても、例えば本人確認の正確度である照合精度の［高い］又は［低い］といったレベルを設定すればその照合精度を満たす環境情報ポリシーが自動的に導出されることから、生体認証専門の知識を持たずにセキュリティを一律に保持できる。これはサーバ管理者にとっても好ましい。

第５の実施形態の生体認証システムは、図１に示した全体構成を備えている。
クライアント装置１０は、図２に示した構成を備えている。

一方、サーバ装置２０内の本人確認処理検証装置２３は、図２９に示すように、図７に示した構成に比べ、生体認証情報ポリシー保存部２６、環境情報ポリシー保存部２８及び環境情報検証部２９に代えて、生体認証情報ポリシー保存部４４、評価シナリオ保存部４５、環境情報しきい値決定部４６及び環境情報検証部２９ｄを備えている。

ここで、生体認証情報ポリシー保存部４４は、生体認証情報検証部２７及び環境情報検証部２９ｄから読出可能な記憶装置であり、生体認証情報ポリシー及びモダリティポリシーを保存している。生体認証情報ポリシーは、サーバが本人確認のために受け入れ可能な生体認証アルゴリズム、クライアント装置１０の性能・安全性、生体情報の品質、照合精度などを予め定めたものである。モダリティポリシーは、図３０に示すように、照合精度順に並べられたモダリティＩＤ毎に各モダリティポリシーを参照可能な構造となっている。すなわち、あるモダリティポリシーを満たすモダリティの照合精度ポリシーをモダリティＩＤから参照できる。また、モダリティポリシーで設定される照合精度ポリシーは図８の生体認証情報ポリシーに含まれる照合精度が設定されており、モダリティポリシーは照合精度から評価シナリオを参照可能となっている。生体認証情報ポリシー保存部４４は、種々のクライアント装置に対応するため、通常、各モダリティ（例、指紋認証、顔認証、…）のモダリティポリシーを保持している。各モダリティは、例えば“照合方法”内の“モダリティ”で識別可能である。

評価シナリオ保存部４５は、環境情報しきい値決定部４６及び改善メッセージ作成部３７から読出可能な記憶装置であり、図３１に示すように、生体認証装置の評価結果を記述した評価シナリオを保存するものである。評価シナリオは、メーカ、機器名、照合アルゴリズム、環境情報といった各種情報が設定されたときにどの程度の照合精度を得ることができるのかを示すものである。評価シナリオ保存部４５は、種々のクライアント装置に対応するため、通常、複数の評価シナリオを保持している。

環境情報検証部２９ｄは、本人確認処理実行装置プロファイルなどから本人確認処理を行った装置のモダリティ、照合アルゴリズムなどの情報を取得する機能と、生体認証情報ポリシー保存部４４から照合精度の情報を取得する機能と、これらの情報を環境情報しきい値決定部４６に送出する機能と、環境情報しきい値決定部４６から受けた環境情報のしきい値に基づいて、本人確認情報取得部２５から取得した環境情報が当該しきい値に含まれているか否かを検証し、検証結果を環境情報検証結果としてアカウンロック／リトライ検証部３２へ出力する機能とをもっている。

環境情報しきい値決定部４６は、環境情報検証部２９ｄから取得した本人確認処理実行装置４の情報、モダリティ及び照合精度の情報を用いて図３０のモダリティポリシーから本人確認処理で用いられたモダリティを探索し、そのモダリティに該当する評価シナリオ保存部４５内の評価シナリオを参照して、評価シナリオ内の環境情報の計測値（１）〜（Ｎ）の上限値と下限値とを導出することにより、環境情報のしきい値を決定する機能と、得られた環境情報のしきい値を環境情報検証部２９ｄに送出する機能とをもっている。なお、環境情報のしきい値は、上限値と下限値とがある場合に限らず、上限値又は下限値のいずれか一方の場合もある。

次に、以上のように構成された生体認証システムの動作を図３２のフローチャートを用いて説明する。
（本人確認処理）
クライアント装置１０から本人確認処理結果がサーバ装置２０に送られるまでは第１の実施形態と同じである。

（検証処理：図３２）
サーバ装置２０の制御部２４は、本人確認処理結果を通信部２１を介して受信すると、これを本人確認情報取得部２５へ送る。

本人確認情報取得部２５は、受けた本人確認処理結果から（ＳＴ２０）、生体認証処理実行結果と環境情報を抽出し、生体認証処理実行結果を生体認証情報として生体認証情報検証部２７へ出力するとともに、本人確認処理実行装置プロファイル及び環境情報を環境情報検証部２９ｄへ出力する。

生体認証情報検証部２７は、第１の実施形態と同様に生体認証情報検証結果を出力する。

一方、環境情報検証部２９ｄは、本人確認処理実行装置プロファイルなどから本人確認処理を行った装置のモダリティ、照合アルゴリズムなどの情報と共に、生体認証情報ポリシー保存部４４から照合精度の情報を取得し（ＳＴ２５−１）、これらの情報を環境情報しきい値決定部４６に送出する。

環境情報しきい値決定部４６は、取得した本人確認処理実行装置４の情報及び照合精度の情報を用いて図３０のモダリティポリシーから照合精度ポリシーを探索し、その照合精度ポリシーに該当する図３１の評価シナリオを参照して、評価シナリオ内の環境情報の計測値（１）〜（Ｎ）の上限値と下限値とを導出することにより、図９に示すような環境情報のしきい値を決定する（ＳＴ２５−２）。なお、環境情報の計測値（１）〜（Ｎ）としては、本人確認処理結果に含まれている環境情報に対応するものを用いる。

しかる後、環境情報しきい値決定部４６は、得られた環境情報のしきい値を環境情報検証部２９ｄに送出する。

環境情報検証部２９ｄは、環境情報のしきい値を受けると、本人確認処理結果から取得した環境情報が当該しきい値に含まれているか否かを検証し（ＳＴ２６）、検証結果を環境情報検証結果としてアカウンロック／リトライ検証部３２へ出力する。

アカウントロック／リトライ検証部３２は、第１の実施形態と同じようにアカウントロックを行うか、リトライを要求するか、サービスを提供するか判断する。

リトライ要求を行い、改善メッセージを作成する処理を除いては第１の実施形態と同じであるので、説明を省略する。

リトライ要求を行う場合は、クライアント装置１０のどの環境情報をその程度修正すると要求する認証精度が得られるのか、本人確認情報検証結果及び環境情報検証結果及び評価シナリオをもとに予測することができるので、これら改善すべき環境情報を改善メッセージへ反映して作成する。

最後に、アカウントロック／リトライ検証部３２から検証結果を受けた制御部２４は、その結果がＯＫならばサービス提供装置２２へサービス提供を行うよう要求する。

一方、結果がＮＧの場合は、その旨を通信部２１を介してクライアント装置１０へ送信する。このとき改善メッセージ作成部３７より改善メッセージ及びリトライ要求を受けた場合は、改善メッセージ・リトライ要求をクライアント装置１０へ送信する。

上述したように本実施形態によれば、管理者が照合精度さえ設定しておけば、環境情報は評価シナリオをもとに動的に導出することが可能になり、バイオメトリクス専門の知識を有していない管理者であっても、セキュリティを満たす検証装置を構成することができる。

また、本実施形態における評価シナリオをもとに環境情報を動的に導出する装置をクライアント装置１０に持たせるように変形してもよく、この場合には、クライアント装置１０から本人確認処理を行う際に、現在の環境情報が適切であるか否か、適切ではない場合はどのように修正すればよいか判断することができる。

この装置をクライアントに持たせることによって、これまでの第１の実施形態などのように生体認証結果が環境情報に依存して失敗しており、リトライにより再び認証を行うような場合において、認証結果がＮＧ（不正）でリトライ要求をされるような場合を事前に防ぐことが可能になり、無駄な本人確認処理結果を送信せずに済むようになる。

このことによって、サーバの負荷を軽減すること、及びクライアント装置１０を操作する利用者の煩わしさを軽減することが可能になる。

また、本実施形態においては、サーバ装置２０で保持している評価シナリオに基づいて環境情報のしきい値を導出するが、これに限らず、サーバ装置２０内で評価シナリオを持っておらず、クライアント装置１０から受けた本人確認処理結果内の本人確認処理実行装置プロファイル又はデバイス証明書等に、評価シナリオ又はそれに準ずる評価情報がＵＲＩで指定されていてもよい。この場合、ＵＲＩで参照される評価シナリオ又は評価情報に基づいて、しきい値を導出してもよい。

（第６の実施形態）
次に、本発明の第６の実施形態について説明する。本実施形態は、第５の実施形態に関連して、複数の生体認証装置がクライアント装置１０に接続されている場合において、１回目の本人確認処理に失敗した場合に、サーバ管理者が、クライアント装置１０に接続されている複数の生体認証装置のうち、より高い精度の生体認証装置を用いるように通知するものである。本実施形態では、より正確な本人確認を実行できるので、利用者・サーバ管理者両者にとって好ましい。

第６の実施形態の生体認証システムは、図３３に示す全体構成を備えている。この生体認証システムのクライアント装置１０は、通信部１とテンプレート格納装置２との間にクライアント端末統合装置１３が接続されており、クライアント端末統合装置１３には、ｎ台の本人確認処理実行装置４₁〜４_nと、ｎ台の環境情報取得装置３₁〜３_nとが接続されている。

ここで、クライアント端末統合装置１３は、テンプレート格納装置２と環境情報取得装置３₁〜３_nと本人確認処理実行装置４₁〜４_n及びサーバ装置２０との間の通信を仲介する装置である。

一方、サーバ装置２０内の本人確認処理検証装置２３は、図３４に示すように、図２９に示した改善命令作成部３６において、推奨モダリティ決定部４７を付加した改善命令作成部３６ｅを備えている。

ここで、推奨モダリティ決定部４７は、本人確認処理結果から得られたモダリティの情報及び環境情報を用いて評価シナリオ保存部４５内の評価シナリオを参照し、推奨モダリティを決定する機能と、決定した推奨モダリティを改善メッセージ作成部３７に送出する機能とをもっている。

次に、以上のように構成された認証システムの動作を図３５のフローチャートを用いて説明する。

（本人確認処理）
第５の実施形態と同様に、利用者がサーバへのアクセス及びサービス提供を希望する場合、クライアント装置１０は、利用者の操作に基づき、サーバ装置２０に認証依頼を送信する。サーバ装置２０は認証依頼を受信すると、クライアント装置１０に処理作成要求を送信する。

本人確認処理作成要求を受けたクライアント端末統合装置１３は、第５の実施形態と同様に、利用者が選択する本人確認処理実行装置４_i（但し、１≦ｉ≦ｎ）を用いて本人確認処理結果を得ると共に、ｎ台の本人確認処理実行装置４₁〜４_nから各装置４₁〜４_nの本人確認処理実行装置プロファイル保存部８に保存された本人確認処理実行装置プロファイルを受ける。

クライアント装置１０は、これら本人確認処理結果及びｎ個の本人確認処理実行装置プロファイルをあわせて本人確認処理結果としてサーバ装置２０に送信する。

（検証処理）
サーバ装置２０では、本人確認処理結果について第５の実施形態と同じように検証する。ステップＳＴ２１〜ステップ２９までの処理は同じであるので説明を省略する。

リトライ要求を行う際に、推奨モダリティ決定部４７は、本人確認処理結果に含まれる環境情報を用いて、以下のように推奨モダリティを決定する（ＳＴ３０−１〜ＳＴ３０−５）。

始めに、推奨モダリティ決定部４７は、図３５に示すように、本人確認処理結果に含まれる他の本人確認処理実行装置プロファイルを取得する（ＳＴ３０−１）。

次に、推奨モダリティ決定部４７は、生体認証情報ポリシー保存部４４から照合精度を決めるモダリティポリシーを取得する（ＳＴ３０−２）。

そして、他の本人確認処理実行装置プロファイルと一致するモダリティのモダリティポリシーから照合精度ポリシーを取得し（ＳＴ３０−３）、照合精度ポリシーに該当する評価シナリオを取得する。

推奨モダリティ決定部４７は、取得した評価シナリオから環境情報のしきい値を取得し（ＳＴ３０−４）、本人確認処理結果に含まれていた環境情報が、環境情報のしきい値を満足する評価シナリオを選択する。該当する評価シナリオのモダリティを推奨モダリティとして決定する（ＳＴ３０−５）。決定した推奨モダリティを改善メッセージ作成部３７に送出する。

改善メッセージ作成部３７は、この推奨モダリティを用いるように改善メッセージを作成する（ＳＴ３０−６）。例えば、利用者は、生体認証装置を２台持っており、それぞれのモダリティは、顔認証と指紋認証であるとする。そこで、１回目の本人確認では、生体認証装置のモダリティとして顔認証を選んだ場合、顔を撮影した場所が暗かったため、環境情報の検証を満足しなかった場合は、次のような改善メッセージを作成する。「部屋が暗いため、認識可能な顔画像を作成できませんでした。現在の環境において推奨する生体認証装置は、指紋認証です。指紋認証装置を使って、もう一度認証にチャレンジしてください。」。

この改善メッセージは、サーバ装置２０からクライアント装置１０に送信されることにより、クライアント装置１０の利用者に推奨モダリティを通知する。これにより、利用者は、推奨モダリティに沿って、生体認証をリトライする。

上述したように本実施形態によれば、これまで前述の形態において、複数の生体認証装置がクライアント端末に接続されている場合において、１回目の本人確認処理に失敗した後のリトライ要求時に、現在の環境で最適な生体認証装置を用いるように通知できるので、無駄な処理を省略することができる。

（第７の実施形態）
次に、本発明の第７の実施形態について説明する。本実施形態は、第６の実施形態に関連して、最適な生体認証装置を、リトライ時に通知するのではなく、本人確認処理を行う前に予め通知するものである。

本実施形態は、始めから最適な装置を用いて生体認証を実行できるので、利用者にとってはリトライをする可能性が低くなり、またサーバ装置２０にとっても複数回検証を行わなくて良いので、両者共に、より好ましい形態といえる。また第６の実施形態のアカウントロック／リトライ検証部３２が本実施形態では用いられないので、アカウントロック／リトライ検証部３２を省略してもよい。

第７の実施形態の生体認証システムは、第６の実施形態と同じ全体構成を備えている。

クライアント装置１０の構成は、第６の実施形態と同じである。但し、クライアント端末統合装置１３は、生体認証を行う前に、予め環境情報取得装置３₁〜３_nから取得した環境情報と、本人確認処理実行装置４₁〜４_nから取得した本人確認処理実行装置プロファイルとを含む認証依頼をサーバ装置２０に送信する機能をもっている。

サーバ装置２０の構成は、第６の実施形態と同じである。但し、サーバ装置２０内の推奨モダリティ決定部４７は、生体認証を行う前に受けた認証依頼に含まれる本人確認処理実行装置プロファイル及び環境情報に基づいて推奨モダリティを決定する機能を有する。改善命令作成部３６ｅは、推奨モダリティ決定部４７により決定された推奨モダリティに基づいて、使用する生体認証装置を指定する使用生体認証装置メッセージを作成する機能を有する。通信部２１は、改善命令作成部３６ｅにより作成された使用生体認証装置メッセージをクライアント装置１０に送信する機能を有する。

次に、以上のように構成された認証システムの動作について説明する。

第６の実施形態と同じように、利用者がサーバへのアクセス及びサービス提供を希望する場合、図示しない方法によりクライアント装置１０が利用者の希望を受けつける。そして、クライアント端末統合装置１３は、環境情報取得装置３₁〜３_nから環境情報を取得すると共に、本人確認処理実行装置４₁〜４_n内の本人確認処理実行装置プロファイル保存部８から本人確認処理実行装置プロファイルを取得する。

しかる後、クライアント端末統合装置１３は、環境情報及び本人確認処理実行装置プロファイルを用いて認証依頼を送信する。

サーバ装置２０は、認証依頼に含まれる本人確認処理実行装置プロファイル及び環境情報を取り出し、第６の実施形態の推奨モダリティ決定部４７での処理と同じ処理を行い、推奨モダリティを決定する。すなわち、推奨モダリティを決定する処理は、図３６に示すように、生体認証を行う前に実行する以外は、図３５に述べたステップＳＴ３０−１〜ＳＴ３０−５と同じである。

サーバ装置２０は、決定した推奨モダリティに基づいて、使用する生体認証装置を指定する使用生体認証装置メッセージを作成する（ＳＴ２０ｅ−６）。

例えば、利用者は、生体認証装置を２台持っており、それぞれのモダリティは、顔認証と指紋認証であった。計測した環境情報の明度は非常に暗い場所で、湿度は指紋認証に最適な値が得られていた。そこで、生体認証装置のモダリティとして顔認証を選ぶと、顔を撮影する場所が暗いため、精度の低い顔認証を行うことが予想される。しかしながら、指紋認証の場合は、最適な湿度環境のため、精度の高い指紋認証が行えることを予想することができる。

このようなケースでは、次のような使用生体認証装置メッセージを作成する。「現在の環境において推奨する生体認証装置は、指紋認証です。本人確認の際は、指紋認証装置を使ってください。」なお、使用生体認証装置メッセージの作成処理は、生体認証を行う前に実行する以外は改善メッセージの作成処理と同様である。

そしてサーバ装置２０は、使用生体認証装置メッセージをクライアント装置１０に送信する。クライアント装置１０は、指定された生体認証装置（＝本人確認処理実行装置４₁〜４_nのいずれか）を用いて本人確認処理を行う（ＳＴ１１〜ＳＴ１７）。

その後のステップＳＴ２１〜ＳＴ３１の処理については、例えば第６の実施形態と同じであるので説明を省略する。

上述したように本実施形態によれば、利用者は使用生体認証装置メッセージにもとづいた生体認証装置を用いることで、環境情報によって本人確認が失敗してしまうような生体認証を実行する前に回避することが可能になる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１実施形態に係る生体認証システムの全体構成を示す模式図である。 同実施形態におけるクライアント装置の構成を示す模式図である。 同実施形態における環境情報の構成を示す模式図である。 同実施形態における本人確認処理結果の構成を示す模式図である。 同実施形態における生体認証処理実行結果の構成を示す模式図である。 同実施形態における本人確認処理実行装置プロファイル保存部の構成を示す模式図である。 同実施形態におけるサーバ装置の構成を示す模式図である。 同実施形態における生体認証情報ポリシー保存部の構成を示す模式図である。 同実施形態における環境情報ポリシー保存部の構成を示す模式図である。 同実施形態におけるリトライポリシー保存部の構成を示す模式図である。 同実施形態における改善メッセージの例を示す模式図である。 同実施形態におけるユーザＤＢの構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における本人確認情報検証結果の例を示す模式図である。 本発明の第２の実施形態に係るクライアント装置の構成を示す模式図である。 同実施形態におけるサーバ装置の構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における動作を説明するためのフローチャートである。 同実施形態におけるリトライポリシー保存部の構成を示す模式図である。 本発明の第３の実施形態に係るクライアント装置の構成を示す模式図である。 同実施形態におけるサーバ装置の構成を示す模式図である。 同実施形態におけるユーザＤＢの構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における動作を説明するためのフローチャートである。 本発明の第４の実施形態に係るクライアント装置の構成を示す模式図である。 同実施形態におけるサーバ装置の構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 本発明の第５の実施形態に係るサーバ装置の構成を示す模式図である。 同実施形態におけるモダリティポリシーと評価シナリオとの関係を示す模式図である。 同実施形態における評価シナリオ保存部の構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 本発明の第６の実施形態に係る生体認証システムの全体構成を示す模式図である。 同実施形態におけるサーバ装置の構成を示す模式図である。 同実施形態における動作を説明するためのフローチャートである。 本発明の第７の実施形態における動作を説明するためのフローチャートである。

符号の説明

１，２１…通信部、２…テンプレート格納装置、３，３₁〜３_n…環境情報取得装置、４，４₁〜４_n…本人確認処理実行装置、５，５ｂ…本人確認処理実行部、５ａ…認証コンテキスト生成実行部、６…生体認証処理実行部、７…生体情報取得実行部、８…本人確認処理実行装置プロファイル保存部、９…秘密情報保存部、１０…クライアント装置、１１…認証子生成部、１２…環境情報操作部、１３…クライアント端末統合装置、２０…サーバ装置、２２…サービス提供装置、２３…本人確認処理検証装置、２４…制御部、２５，２５ｂ…本人確認情報取得部、２６…生体認証情報ポリシー保存部、２７…生体認証情報検証部、２８…環境情報ポリシー保存部、２９，２９ｄ…環境情報検証部、３０…リトライポリシー保存部、３１…認証判断部、３２…アカウントロック／リトライ検証部、３３…本人確認情報一時保存部、３４…リトライカウンタ保存部、３５…リトライカウンタ管理部、３６，３６ｅ，４３…改善命令作成部、３７…改善メッセージ作成部、３８，３８ｂ…ユーザＤＢ、４０…生体認証コンテキスト生成実行部、４１…認証子検証部、４２…認証子検証情報保存部、４４…生体認証情報ポリシー保存部、４５…評価シナリオ保存部、４６…環境情報しきい値決定部、４７…推奨モダリティ決定部。

Claims (5)

1. 生体認証を実行し、得られた生体認証情報を送信するクライアント装置と、前記クライアント装置から受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置とを備えた生体認証システムであって、
   前記クライアント装置は、
   前記生体認証実行時の明度、湿度又は生体検知に関する環境を測定して環境情報を取得する環境情報取得装置と、
   前記環境情報を前記生体認証情報と共に前記サーバ装置に送信する手段と
   を備えており、
   前記サーバ装置は、
   予め生体認証時の環境情報が満たすべき条件を示す環境情報ポリシーが保存された環境情報ポリシー保存手段と、
   予め「生体認証情報の検証結果が正当又は不正」を示す情報と「環境情報の検証結果が不正」を示す情報と「リトライの許可」を示す情報とを互いに関連付けたリトライポリシー情報が保存されたリトライポリシー保存手段と、
   前記クライアント装置から受信した環境情報を前記環境情報ポリシーに基づいて検証する環境情報検証手段と、
   前記生体認証ポリシーによる生体認証情報の検証結果と前記環境情報検証手段による環境情報の検証結果とに関し、前記リトライポリシー情報に基づいて「リトライの許可」に該当するか否かを判定する判定手段と、
   前記判定の結果、「リトライの許可」に該当する場合には、当該環境情報に関する改善メッセージを前記クライアント装置に返信する手段と
   を備えたことを特徴とする生体認証システム。
2. 生体認証を実行し、得られた生体認証情報を送信するクライアント装置に通信可能であり、前記クライアント装置から受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置であって、
   予め生体認証時の環境情報が満たすべき条件を示す環境情報ポリシーが保存された環境情報ポリシー保存手段と、
   予め「生体認証情報の検証結果が正当又は不正」を示す情報と「環境情報の検証結果が不正」を示す情報と「リトライの許可」を示す情報とを互いに関連付けたリトライポリシー情報が保存されたリトライポリシー保存手段と、
   前記クライアント装置から「生体認証実行時の明度、湿度又は生体検知に関する環境情報」及び「前記生体認証情報」を受信したとき、当該環境情報を前記環境情報ポリシーに基づいて検証する環境情報検証手段と、
   前記生体認証ポリシーによる生体認証情報の検証結果と前記環境情報検証手段による環境情報の検証結果とに関し、前記リトライポリシー情報に基づいて「リトライの許可」に該当するか否かを判定する判定手段と、
   前記判定の結果、「リトライの許可」に該当する場合には、当該環境情報に関する改善メッセージを前記クライアント装置に返信する手段と
   を備えたことを特徴とするサーバ装置。
3. 受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置に対し、生体認証を実行して得た生体認証情報を前記サーバ装置に送信するクライアント装置であって、
   前記生体認証実行時の明度、湿度又は生体検知に関する環境を測定して環境情報を取得する環境情報取得装置と、
   前記環境情報を前記生体認証情報と共に前記サーバ装置に送信する手段と、
   前記サーバ装置により「生体認証情報の検証結果が正当又は不正」と判定され且つ「環境情報の検証結果が不正」と判定された場合に、当該サーバ装置から「リトライの許可」及び「当該環境情報に関する改善」を含む改善メッセージを受信すると、この改善メッセージを表示する手段、
   を備えたことを特徴とするクライアント装置。
4. 生体認証を実行し、得られた生体認証情報を送信するクライアント装置に通信可能であり、前記クライアント装置から受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置のプログラムであって、
   前記サーバ装置のコンピュータを、
   予め生体認証時の環境情報が満たすべき条件を示す環境情報ポリシーを当該コンピュータの記憶装置に書き込む手段、
   予め「生体認証情報の検証結果が正当又は不正」を示す情報と「環境情報の検証結果が不正」を示す情報と「リトライの許可」を示す情報とを互いに関連付けたリトライポリシー情報を当該コンピュータの記憶装置に書き込む手段、
   前記クライアント装置から「生体認証実行時の明度、湿度又は生体検知に関する環境情報」及び「前記生体認証情報」を受信したとき、当該環境情報を前記環境情報ポリシーに基づいて検証する環境情報検証手段、
   前記生体認証ポリシーによる生体認証情報の検証結果と前記環境情報検証手段による環境情報の検証結果とに関し、前記リトライポリシー情報に基づいて「リトライの許可」に該当するか否かを判定する判定手段、
   前記判定の結果、「リトライの許可」に該当する場合には、当該環境情報に関する改善メッセージを前記クライアント装置に返信する手段、
   として機能させるためのプログラム。
5. 受信した生体認証情報を所定の生体認証ポリシーに基づいて検証するサーバ装置に対し、生体認証を実行して得た生体認証情報を前記サーバ装置に送信するクライアント装置のプログラムであって、
   前記クライアント装置のコンピュータを、
   前記クライアント装置が有する「前記生体認証実行時の明度、湿度又は生体検知に関する環境を測定して環境情報を取得する環境情報取得装置」を制御し、前記環境情報取得装置から環境情報を受ける手段、
   この環境情報を前記生体認証情報と共に前記サーバ装置に送信する手段、
   前記サーバ装置により「生体認証情報の検証結果が正当又は不正」と判定され且つ「環境情報の検証結果が不正」と判定された場合に、当該サーバ装置から「リトライの許可」及び「当該環境情報に関する改善」を含む改善メッセージを受信すると、この改善メッセージを表示する手段、
   として機能させるためのプログラム。

Images