JP4659035B2 - 特徴位置に基づくバイオメトリック・テンプレート類似性 - Google Patents

Description

本発明は、位置集合どうしの間の対応を判別する方法およびシステムに関する。

物理的オブジェクトの認証は、セキュリティ管理されたビルへの条件付きアクセスもしくはデジタルデータ（たとえばコンピュータもしくはリムーバブル記憶媒体に保存されているもの）への条件付きアクセス、あるいは識別目的のため（たとえば特定の行動について識別された個人に課金するため）といった多くの用途において使用されうる。

識別および／または認証のためにバイオメトリクスを使うことは、パスワードや暗証コードといった伝統的な識別手段に対するよりよい代替であるとますます考えられるようになってきている。パスワード／暗証コードの形の識別を要求するシステムの数は着実に増え続けており、その結果、システムのユーザーが暗記しなければならないパスワード／暗証コードの数も増え続けている。さらなる帰結として、パスワード／暗証コードを暗記するのが難しいため、ユーザーはそれをメモし、盗まれる危険にさらしている。従来技術では、この問題に対するトークンの使用を含む解決策が提案されている。しかし、トークンはなくしたり、および／または盗まれたりすることがある。この問題へのより好ましい解決策は、バイオメトリック認証の使用である。バイオメトリック認証では、指紋、虹彩、耳、顔などといったユーザーに一意的な特徴がそのユーザーの識別を提供するために使われる。明らかに、ユーザーはバイオメトリック特徴をなくしたり忘れたりすることはなく、書き留めたり暗記したりする必要もない。

バイオメトリック特徴は参照データに比較される。一致が生じれば、ユーザーは識別され、アクセスが認められることができる。ユーザーについての参照データは先に入手されていて、たとえばセキュリティで保護されたデータベースまたはスマートカードに安全に保存されている。認証の場合、ユーザーはある素性であると主張し、呈示されたバイオメトリック・テンプレートが主張された素性にリンクされている保存されているバイオメトリック・テンプレートと比較され、呈示されたテンプレートと保存されているテンプレートとの間の対応が検証される。識別の場合、呈示されたバイオメトリック・テンプレートが保存されている利用可能なテンプレートすべてと比較され、呈示されたテンプレートと保存されているテンプレートとの間の対応が検証される。いずれにせよ、呈示されたテンプレートが一つまたは複数の保存されているテンプレートと比較される。

ハッカーがセキュリティシステム中の秘密を知るに至るなどしてシステムにおける秘密の破れが生じたときは常に、（期せずして）明かされた秘密を置き換える必要がある。典型的には、従来式の暗号システムにおいては、これは明かされた秘密の暗号鍵を失効させ、関係するユーザーに新しい鍵を配送することによって行われる。パスワードまたは暗証コードが暴かれた場合、それは新しいもので置き換えられる。バイオメトリックシステムでは、明らかに対応する身体部分は置き換えることはできないので、状況はもう少し複雑になる。この点で、多くのバイオメトリックは静的である。よって、バイオメトリック測定（一般にノイズがある）から秘密情報を導出する方法であって、必要であれば導出された秘密情報を更新することが可能であるものを開発することが重要である。バイオメトリックデータは個人の素性の良好な表現であり、個人に関連付けられたバイオメトリックデータの不正な取得は個人の素性を盗むことの電子的な等価物であると見ることができることを注意しておくべきであろう。個人を識別する適切なバイオメトリックデータを取得したのち、ハッカーは素性を取得したその個人になりすますことができるのである。さらに、バイオメトリックデータは健康状態についての機微でプライベートな情報を含みうる。よって、バイオメトリック認証／識別システムを使用する個人の無欠性（integrity）を保護する必要がある。

バイオメトリクスは個人についての機微な情報を提供するので、バイオメトリックデータの管理および使用に関してはプライバシーの問題がある。たとえば、従来技術のバイオメトリックシステムでは、ユーザーは自分のバイオメトリック・テンプレートの無欠性に関しては必然的にバイオメトリックシステムを完全に信頼しなければならない。登録――すなわち登録機関がユーザーのバイオメトリック・テンプレートを取得する初期プロセス――の間、ユーザーは自分のテンプレートを登録機関の登録装置に呈示し、登録機関はそのテンプレートを可能性としては暗号化してシステムに保存する。検証の際には、ユーザーは自分のテンプレートを再びシステムに呈示し、保存されたテンプレートが取得され（そして必要なら復号され）、保存されているテンプレートと呈示されたテンプレートとの間の一致検査が実施される。ユーザーが自分のテンプレートに何が起こっているかを制御することは全くできず、自分のテンプレートが注意をもって扱われ、システムから漏れていないことを検証するすべがないことは明らかである。結果として、ユーザーはあらゆる登録機関およびあらゆる検証者を自分のテンプレートのプライバシーに関して信頼しなければならない。これらの種類のシステムはすでに一部の空港などで使用されているが、ユーザーに要求される、システムに対する信頼のレベルからすると、そのようなシステムの広範な使用は考えにくい。

実際のテンプレートが決して平文で利用可能にならないよう、バイオメトリック・テンプレートを暗号化すなわちハッシュ化して、暗号化されたデータに対して検証（すなわち一致検査）を実行する暗号技法が考えられる。しかし、暗号関数は、入力における小さな変化が出力における大きな変化につながるよう意図的に設計されている。バイオメトリクスそのものの本性ならびに呈示されたテンプレートのみならず保存されているテンプレートを取得することにまつわるノイズ汚染に起因する測定誤差のため、呈示されたテンプレートが保存されているテンプレートと厳密に同じであることは決してないであろう。したがって、一致検査アルゴリズムは２つのテンプレートの間の小さな相違を許容すべきである。これは暗号化されたテンプレートに基づく検証にとって問題となる。

フィリップス・リサーチのPim Tuyls and Jasper Goseling,“Capacity and Examples of Template-Protecting Biometric Authentication Systems（テンプレートを保護するバイオメトリック認証システムの能力および例）”は、オリジナルのバイオメトリック・テンプレートを保存する必要がないバイオメトリック認証システムを開示している。その結果、システムを利用する個人の素性のプライバシーが保護されうる。システムは諸ヘルパーデータ方式（HDS: helper data scheme）の使用に基づいている。バイオメトリック認証を暗号技法と組み合わせるため、登録段階の間にヘルパーデータが導出される。ヘルパーデータは、登録段階の間と同様に認証の間にも、個人のバイオメトリクスから一意的な文字列が導出できることを保証する。ヘルパーデータはデータベースに保存されるので、公開と考えられる。なりすましを防ぐため、ヘルパーデータとは統計的に独立で、認証段階において使用されるべき参照データがバイオメトリックから導出される。参照データを秘密に保つため、参照データはハッシュされた形で保存される。このようにして、なりすましは計算量的に非現実的なものとなる。

HDSにおいては、ある固定された次元の特徴ベクトルという形のバイオメトリック情報が必要とされる。登録の間に取得された特徴ベクトルが認証の間に取得される特徴ベクトルと十分なレベルまで似ていれば、ヘルパーデータは二つの特徴ベクトルについて同一の一意的な文字列を導出することを可能にする。類似性の尺度として、二つの特徴ベクトルの間の距離を使うことができる。このようにして、HDSは、バイオメトリック・テンプレートにおける測定ノイズ、歪みおよび省略によって引き起こされうる、特徴ベクトルにおける小さな相違を考慮に入れることを許容するのである。

バイオメトリック認証システムにおいて実装されるその他の諸方式では、一致検査は、テンプレートにおける認識しやすい特徴の位置に基づいて実行される。たとえば、バイオメトリック・テンプレートとして指紋を使うシステムは典型的には比較する際にテンプレートにおける特徴点の位置を用いる。特徴点を位置特定し、一致があるかどうかを判別するためには、実際の特徴点位置に対して直接作用する複雑なアルゴリズムが使用される。これらの特徴位置方式（FLS: feature location scheme）もまた、一致検査されるべき特徴の位置における測定ノイズ、歪みおよび省略を考慮に入れることを許容し、また一般に、堅牢な一致検査結果を提供する。ヘルパーデータ方式と特徴位置方式との組み合わせは、それぞれの方式に付随する望ましい性質を単一の方式に組み合わせることができるという意味で実り多い。

従来技術において残る問題は、ヘルパーデータ方式の特徴位置方式との組み合わせが複雑であるということである。ヘルパーデータ方式は固定された次元の特徴ベクトルを必要とし、さらに十分な度合いで互いに類似しているテンプレートから導出される二つの特徴ベクトルの間の距離が小さいことを要求する。両方式を組み合わせることにおいて乗り越えるべきもう一つの問題は、特徴位置の集合をいかにして固定された次元をもつ特徴ベクトルに変換するかである。

大きさが異なる可能性のある位置集合の間の対応を判別する方式を提供することが本発明の目的である。

この目的は、請求項１記載の方法および請求項１５記載のシステムによって達成される。

本発明の第一の側面によれば、いくつかの成分を含む第一の位置集合を該第一の位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することによって密度関数に変換し、該密度関数といくつかの成分を含む第二の位置集合に対応するもう一つの密度関数との間の距離を決定するステップを有しており、前記距離が所定の距離値に従っていれば、前記第一および第二の位置集合の間に対応関係が存在するという方法が提供される。

本発明の第二の側面によれば、いくつかの成分を含む第一の位置集合を該第一の位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することによって密度関数に変換する手段と、該密度関数といくつかの成分を含む第二の位置集合に対応するもう一つの密度関数との間の距離を決定する手段とを有しており、前記距離が所定の距離値に従っていれば、前記第一および第二の位置集合の間に対応関係が存在するというシステムが提供される。

本発明の基本的発想は、位置集合どうしの間の対応を判別する方式を提供することである。以下では、本発明の方法は個人のバイオメトリックデータから導出された特徴位置集合に対して作用するものと想定されるが、本方式は必ずしも特徴位置集合でなくても任意の位置集合に対して作用可能でありうることを注意しておく。

まず、n＋1個の成分を有する特徴位置集合X＝{x₀,x₁,...,x_n}が、HDSで使用できる特徴ベクトルに変換される。したがって、特徴密度関数f_X,s(x)が次のように定義される。

ここで、＊は畳み込みを表し、s(x)は平均化関数である。たとえばs(x)＝δ(x)とすれば、

となる。

s(x)＝exp[−ax²]＝:g(x)とすれば、

となる。

よって、あらゆる特徴の位置はガウス型パルスによって表現される。原理的には、いかなる適切な平均化関数s(x)を選択することも可能であり、s(x)についての選択が違うかガウス関数g(x)のパラメータaの値が違うかすれば一致検査属性も異なる結果になることが見て取れる。以下の記述では、ガウス型平均化関数g(x)を使う。本記述を通じて、不必要に込み入った公式を避けるため、本発明の方式は一次元空間において与えられる位置について記述されることになる。当業者が認識するように、該記述は容易に二次元または高次元空間に拡張できる。HDSのための特徴ベクトルは今やf_X,g(x)であると選ばれている。典型的には、これは特徴密度関数f_X,g(x)のサンプリングされたバージョンになる。これは、テンプレートX_Tに存在する特徴（すなわち成分）の数n＋1に関わりなく、有限の等しい次元の諸特徴ベクトルを与える。

次に、二つの特徴位置集合の間の距離が決定される。第一の特徴位置集合X＝{x₀,x₁,...,x_n}および第二の特徴位置集合Y＝{x₀′,x₁′,...,x_m′}が個人から導出されているとする。両集合が同じ個人から導出されている場合には、第二の集合は典型的には第一の集合のノイズがはいったバージョンであり、第二の集合は必ずしも第一の集合と同じ数の成分を有さない。たとえば、測定ノイズのために、いくつかの特徴は測定されたバイオメトリック・テンプレートにおいて不明瞭になることがあり、「不可視」と考えられる。よって、n≠mである可能性がある。

よって次のようになる。

XとYの距離d_X,Yは対応する特徴密度関数どうしの間のユークリッド距離として選ばれ、その結果次のようになる。

特徴ベクトルの変動に起因するこの距離指標の変動を解説するため、例を挙げる。X＝{0}およびY＝{x₀}について、次式が導かれる。

平均化関数としてg(x)を選んだ場合は、特徴位置集合X,Y間の（よって対応する特徴ベクトルf_X,g(x),f_Y,g(x)間の）距離d_X,Yは、x₀の値が0から離れて行くにつれて徐々に増加し、それによりXおよびYがより不一致であるしるしとなることが理解される。また、パラメータaを所与の「不一致」について距離を調整するために使うことができ、よって測定ノイズおよび歪みに関する一致検査プロセスの感度（すなわちノイズ堅牢性）を調整することが許容されることも理解される。

X＝{0}、Y₁＝{1}、Y₂＝{2}という例では、この距離指標および平均化関数を使うとd_X,Y1＜d_X,Y2であることは明らかである。平均化関数がs(x)＝δ(x)と選ばれるとするとXとYの間の距離の変化はどちらかというと急峻になり、ほんのわずかな測定ノイズまたはひずみがただちに特徴ベクトルどうしの間の大きな距離d_X,Yにつながる。実際上はそのようなことは望まれず、距離のより漸進的な増加が必要とされる。YがXに従っていると考えられる距離d_X,Yの最大値として1.5の所定の閾値が設定されており、式(7)においてa＝1であるとすると、Y₁はXに従っていると考えられる一方、Y₂はXに従っていないと考えられる。本方式がバイオメトリック認証システムにおいて適用される場合、Y₁に関連付けられた個人は認証され、Y₂に関連付けられた個人の認証は失敗する。

本発明が有益なのは、適切な平均化関数を使って特徴位置集合から導出される密度関数と組み合わせて前記提案される距離指標を、バイオメトリック・テンプレートから導出される特徴位置の集合の一致検査に使うことができることによる。特に、本発明が有益なのは、対応を調べるために比較されるべき二つの特徴位置集合がノイズによる汚染のため異なる数の（すなわちn≠m）成分を含んでいてもよく、その問題が本発明によって乗り越えられることによる。本発明のもう一つのきわめて有利な特徴は、二つの特徴位置集合の順序が重要でないことである。すなわち、第一の位置集合（X）においてある添え字をもつ成分が第二の位置集合（Y）において同じ添え字をもつ成分に対応するかどうかはどうでもいいのである。このことは、位置集合におけるあらゆる成分を合計する密度関数が使用されているという事実による。よって、諸成分の特定の順序には意味がない。

本発明のある実施形態によれば、二つの特徴ベクトルの間の距離の決定は周波数領域において実行される。上記の空間領域において定義された距離指標は、代替的に周波数領域において定義されることができる。ここでもまた、第一の特徴位置集合X＝{x₀,x₁,...,x_n}および第二の特徴位置集合Y＝{x₀′,x₁′,...,x_m′}が個人から導出されているとする。(2)に対応して：

および

となる。

ガウス型フィルタが

F_X,δ(ω)およびF_Y,δ(ω)の両方に適用されて、それぞれF_X,δ ^(H)(ω)およびF_Y,δ ^(H) (ω)が得られる。次の関数が定義される。

周波数領域でも空間領域と比べて同じ一致検査属性が実現される。そして2ノルムに基づく距離指標については両アプローチは同一である。距離決定について、パーセバルの定理は

と結論し、次式が成り立つ。

d² _X,Y＝d² _X,Y,δ,H (13)
このように、空間領域における平均化関数のフーリエ変換を用いて周波数領域におけるフィルタ処理を実行すれば、一致検査は周波数領域で実施できる。このことはいくつかの状況において有益でありうる。たとえば、位置の集合を並進および回転について不変にしなければならないときである。空間領域における一致検査の場合と同様、一致検査処理の感度を調整するためにフィルタ特性が調整されうる。

本記載においては、距離指標は密度関数について定義され、これがノイズ堅牢な一致検査を可能にする。ガウス型関数を平均化関数として使うのは、特徴位置集合どうしの間の漸進的な距離変化の値が種々の感度レベルに合わせてどのようにチューニングできるかを解説するためである。当業者は、使用できる数多くの可能な平均化関数が存在しており、ガウス型関数はそれら多くの可能な平均化関数のほんの一つにすぎないことを理解する。実際の平均化関数の選択は、本発明が実装される特定の用途に依存する。

式(6)および(12)において、二つの特徴位置集合の間の距離が決定される。ここでは密度関数を導出するために同じ平均化関数が用いられているが、両密度関数が同じ平均化関数を使って生成されることは必須ではない。たとえば、両集合の一方についての密度関数の生成にはガウス型平均化関数を使って、他方の集合についてはδ関数を使うこともできる。さらに、二つの関数の間の距離を定義するために式(6)では2ノルムを使った。多くのHDSなど、多くの場合においてこれはよい選択であるが、一致検査を実行するためにはその他の距離指標を選ぶこともできる。たとえば次のようなものである。

一般には、空間領域におけるあらゆるノルムが周波数領域に移行できたり、空間周波数領域における一致検査を許容したりするとは限らないことを注意しておく。

本発明の発想は、バイオメトリック・テンプレートにおける特徴位置の集合について定式化されてきた。しかし、上述した距離指標はいかなる二つの位置集合についても使うことができる。これらの位置は必ずしも、バイオメトリックデータから導出された実際の特徴位置を表している必要はない。たとえば、特徴位置集合を並進不変にするため、それぞれの特徴（すなわち成分）の間の距離ベクトルを処理してもよい。これらの距離ベクトルも位置の集合と見ることができる。本発明の距離指標を導出された位置の集合に対して適用することによって、並進不変な一致検査が達成されうる。与えられている諸公式は機能性を表しており、該機能性がどのように実装されるべきかを示すものではない。たとえば、式(1)は畳み込みとして定式化されているが、畳み込み積分が評価されるべきだとは述べていない。特に式(1)において畳み込みは、式(3)において見て取れるように、いくつかのシフトさせた平均化関数の合計によってより効率的になされうる。もう一つの可能性は、畳み込みの計算を、まず平均化関数s(x)とディラックパルスの和の両方を周波数領域に変換し、次いで両方の変換された関数をかけ合わせ、最後に逆フーリエ変換を実行することによって行うことである。同様に、式(8)および(9)における表式F_X,δ(ω)およびF_Y,δ(ω)はそれぞれ、ディラックパルスの総和に対する真のフーリエ変換を使って計算される必要はない。F_X,δ(ω)は（そして同様にF_Y,δ(ω)も）exp[−jωx_i]の形の関数の総和としてより効率的に得ることができることは明らかである。

本発明のさらなる特徴および利点は、付属の請求項および以下の記述を吟味すれば明らかとなろう。当業者は、本発明の種々の特徴を組み合わせて下記で述べられている以外の実施形態を生成することもできることを認識するものである。

本発明の好ましい実施形態の詳細な記述を付属の図面を参照しつつ以下に与える。

図１は、本発明が有利に用いられる、個人に付随するバイオメトリックデータを使った個人の素性の検証（すなわち個人の認証／識別）のための従来技術のシステムを示している。このシステムは、個人の特定の身体的特徴１０３（この場合は虹彩）の造作から、あるいは複数の身体的特徴の組み合わせからでもよいが、第一のバイオメトリック・テンプレートX_Tを導出するためのセンサー１０２を備えたユーザー装置１０１を有している。ユーザー装置は検証においてヘルパーデータ方式（HDS）を用い、第一のバイオメトリック・テンプレートX_Tから登録データSおよびヘルパーデータWが導出され、結果として特徴位置集合Xを与える。ユーザー装置は安全でタンパー防止性で、よって個人によって信頼されなければならず、個人のバイオメトリックデータのプライバシーが提供されるようになっている。ヘルパーデータWは典型的にはユーザー装置１０１においてS＝G(X_F,W)となるように計算される。ここで、Gはデルタ縮約関数である。よって、WおよびSは特徴ベクトル（feature vector）X_Fから、関数またはアルゴリズムF_Gを使って(W,S)＝F_G(X_F)となるように計算される。第一の特徴ベクトルX_Fは典型的には所定の数の項目をもつベクトルである。

登録機関１０４は初期に、登録データSおよびユーザー装置１０１から受け取ったヘルパーデータWを中央記憶ユニット１０５に保存することによってその個人をシステムに登録する。この登録データはのちに検証器１０６によって使用される。登録データSはSの解析による素性を暴く攻撃を回避するため秘密である。検証時には、典型的には第一のバイオメトリック・テンプレートX_Tのノイズで汚染されたコピーである第二のバイオメトリック・テンプレートY_Tが個人１０３によってセンサー１０７を介して検証器１０６に呈示される。この第二のバイオメトリック・テンプレートY_Tから第二の特徴ベクトルY_Fが導出される。これは典型的には特徴ベクトルX_Fと同数の項目を含んでいる。検証器１０６は、第二の特徴ベクトルY_Fおよび中央記憶１０５から受け取ったヘルパーデータWに基づいて秘密の検証データS′を生成する。検証器１０６は中央記憶１０５から取ってきた登録データSと暗号ブロック１０８で生成される検証データS′によって個人の認証または識別をする。ノイズ堅牢性は、検証器において検証データS′をS′＝G(Y_F,W)として計算することによって提供される。デルタ縮約関数は、第二のバイオメトリック特徴ベクトルY_Fが第一のバイオメトリック特徴ベクトルX_Fに十分似ていれば、S′＝SとなるようヘルパーデータWの適切な値の選択を許容するという特性がある。よって、一致検査ブロック１０９がS′がSに等しいと考えれば、検証は成功である。

実際的な状況では、登録機関が検証者と一致することもあるが、両者が分散していることもある。例として、バイオメトリックシステムが銀行用途に使用される場合、銀行のあらゆる大きめの支店は新規の個人をシステムに登録することを許容されるであろう。よって分散型の登録機関が生成されている。登録後に個人が自分のバイオメトリックデータを認証として使ってそのような支店から金を引き出したい場合、この支店は検証者の役割を帯びる。他方、ユーザーが自分のバイオメトリックデータを認証として使ってコンビニエンスストアで支払いをする場合、その店は検証者の役割を帯びるが、その店が登録機関としてのはたらきをすることがあるとはきわめて考えにくい。この意味で、我々は登録機関および検証者を非限定的な抽象的な役割として用いることにする。

上記から見て取れるように、個人はバイオメトリックセンサーを含み、コンピューティング機能を有する装置へのアクセスを有する。実際上は、その装置は、ICカードに統合された指紋センサーまたは携帯電話もしくはPDAにおける虹彩もしくは顔認識のためのカメラでありうる。個人は装置を信頼できる機関（たとえば銀行、国立機関、政府）から入手し、したがってその装置を信頼しているものとする。

さて、本発明が図１のシステムに適用されるとき、n＋1個の成分を有する第一の特徴集合Xが、第一のテンプレートX_Tから導出され、先述したように種々の成分の和を実行して結果として得られる和と平均化関数との畳み込みを取ることによって、特徴密度関数f_X,s(x)に変換される。ここで、HDSで有利に使用できる新たな第一の特徴ベクトルX_F＝f_X,s(x)が生成される。典型的には、これは密度関数のサンプリングされたバージョンになる。これは、特徴集合Xに存在する成分の数n＋1に関わりなく、有限の等しい次元の諸特徴ベクトルを与える。

次に、ユーザー装置１０１において、ヘルパーデータWが典型的にはS＝G(f_X,s(x),W)となるように計算される。ここで、Gはデルタ縮約関数である。よって、WおよびSは第一の特徴ベクトルX_F＝f_X,s(x)から、関数またはアルゴリズムF_Gを使って(W,S)＝F_G(X_F)となるように計算される。先述したように、WおよびSは登録機関１０４を介して中央記憶１０５に保存される。検証時には、第二のバイオメトリック・テンプレートY_Tが個人１０３によってセンサー１０７を介して検証器１０６に呈示される。この第二のバイオメトリック・テンプレートから導出される第二の特徴位置集合Yはm＋1個の成分を有し、やはり式(1)で上記したように特徴密度関数f_Y,s(x)に変換される。ここで、新たな第二の特徴ベクトルY_F＝f_Y,s(x)が生成される。検証器１０６は、第二の特徴ベクトルY_F＝f_Y,s(x)および中央記憶１０５から受け取ったヘルパーデータWに基づいて秘密の検証データS′を生成する。検証器１０６は、中央記憶１０５から取ってきた登録データSと暗号ブロック１０８で生成される検証データS′とによって個人の認証または識別をする。ノイズ堅牢性は、検証器において検証データS′をS′＝G(f_Y,s(x),W)として計算することによって提供される。

先に論じたように、Gのデルタ縮約属性は、バイオメトリック・テンプレートX_TとY_Tが十分似ている結果として特徴ベクトルX_FとY_Fが十分似ていれば有用である。X_FとY_Fの間の類似性はたとえば式(6)または(11)に与えたようなY_F＝f_Y,s(x)とX_F＝f_X,s(x)との間のユークリッド距離として表現できる。よって、デルタ縮約関数の本来的な属性は、一致検査ブロック１０９がS′がSに一致すると考える場合、すなわちY_F＝f_Y,s(x)とX_F＝f_X,s(x)との間のユークリッド距離が十分小さい場合に検証が成功するというものである。

上記のような個人に関連付けられたバイオメトリックデータを使っての個人の認証／識別のためのシステムは、代替的に、ユーザー装置１０１がS′をSに比較する操作を実行するよう設計されてもよい。その場合、検証器１０６または登録機関１０４がユーザー装置１０１に対して中央集中的に保存されているヘルパーデータWを提供することが必要となりうる。

本発明のシステムに含まれる装置、すなわちユーザー装置、登録機関、検証器および可能性としてはまた中央記憶がマイクロプロセッサまたはその他の同様なコンピューティング機能をもつ電子装置を備えていることは明らかである。たとえばASIC、FPGA、CPLDなどのようなプログラム可能論理デバイスである。さらに、前記マイクロプロセッサはメモリ、ディスクまたはその他の好適な媒体に保存された、本発明の諸タスクを達成するための適切なソフトウェアを実行する。

さらに、上記のシステムにおいてデータおよび通信がさらに、SHA-1、MD5、AES、DESまたはRSAといった標準的な暗号技法を使って保護されうることは当業者には明らかである。何らかのデータが（登録の間および検証の間に）システムに含まれる装置間で交換される前に、装置は、通信が確立された相手側の装置の正当性についての何らかの証明を欲することがありうる。たとえば、登録機関が、受け取られた登録データを生成したのが信頼される装置であることを保証されなければならないことがありうる。このことは、公開鍵証明書を、あるいは実際の場面によっては対称鍵技法を使うことによって達成されうる。さらに、登録機関に、ユーザー装置が信頼でき、細工されていないことを保証しなければならないことがありうる。したがって、多くの場合において、ユーザー装置は、登録機関が細工を検出することを許容する機構を含むであろう。たとえば、物理的複製不能関数（PUF: Physical Uncloeable Functions）がシステム中で実装されうる。PUFは物理的システムによって実現される関数で、関数を評価するのは容易だが物理的なシステムを特徴付けることは困難であるようなものである。実際の場面に応じて、装置間の通信は秘密でありかつ正規のものでなければならない。使うことのできる標準的な暗号技法としては、公開鍵技法に基づく安全な認証済チャネル（SAC: Secure Authenticated Channels）または同様の対称鍵技法がある。

また、登録データおよび検証データは暗号学的に一方向性ハッシュ関数またはその他任意の適切な暗号学的関数を用いることによって秘匿されうることを注意しておく。これらの関数は、登録／検証データの暗号学的に秘匿されたコピーから登録／検証データの平文コピーを生成することが計算量的に非現実的であるような仕方で登録データおよび検証データを秘匿するものである。たとえば、鍵付き一方向性ハッシュ関数、落とし戸付きハッシュ関数、非対称暗号化関数または対称暗号化関数さえ使うことが可能である。

本発明について特定の例示的な実施形態を参照しつつ記述してきたが、数多くの異なる変更、修正などは当業者には明らかとなろう。したがって、記載された実施形態は、付属の請求項によって定義される本発明の範囲を限定することを意図したものではない。

本発明が有利に適用できる、個人に付随するバイオメトリックデータを使った個人の素性の検証（すなわち個人の認証／識別）のための従来技術のシステムを示す図である。

Claims (25)

1. バイオメトリック認証システムにおいて、特徴位置である成分を含む特徴位置集合の間の対応を判別する方法であって、前記特徴位置集合は個人に関連付けられたバイオメトリックデータから導出されており、
   いくつかの成分を含む第一の特徴位置集合を該第一の特徴位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することによって密度関数に変換し、
   該密度関数といくつかの成分を含む第二の特徴位置集合に対応するもう一つの密度関数との間の距離を決定する、
   ステップを有しており、前記距離が所定の距離値に従っていれば前記第一および第二の特徴位置集合の間に対応関係が存在することを特徴とする、方法。
2. 前記第一の特徴位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することが、前記平均化関数と前記第一の特徴位置集合における選択された成分によって示される諸位置におけるディラックパルスの和との畳み込みを実行することによって実施されることを特徴とする、請求項１記載の方法。
3. 固定数の項目を有する特徴ベクトルを生成するために前記密度関数がサンプリングされることを特徴とする、請求項１記載の方法。
4. 前記距離が所定の距離値に従う場合に前記第二の特徴位置集合に関連付けられた前記個人の素性が検証されることを特徴とする、請求項１記載の方法。
5. 前記決定された距離を所定の閾値と比較するステップをさらに有し、前記決定された距離の値が前記閾値よりも小さければ前記第一の特徴位置集合が前記第二の特徴位置集合に一致していると考えられることを特徴とする、請求項１記載の方法。
6. 前記密度関数の間の決定される距離がユークリッド距離であることを特徴とする、請求項１記載の方法。
7. 前記距離の決定が空間領域で実行されることを特徴とする、請求項１記載の方法。
8. 前記距離の決定が周波数領域で実行されることを特徴とする、請求項１記載の方法。
9. 前記第一の特徴位置集合および前記第二の特徴位置集合のフーリエ変換を決定するステップをさらに有し、前記第一および第二の特徴位置集合内の個別の特徴位置が該個別の特徴位置におけるディラックパルスとしてモデル化されることを特徴とする、請求項８記載の方法。
10. 前記それぞれの変換された第一および第二の特徴位置集合を周波数領域においてフィルタ処理するステップをさらに有することを特徴とする、請求項９記載の方法。
11. 前記フィルタ処理されたそれぞれの変換された第一および第二の特徴位置集合がバイオメトリック認証システムにおける特徴ベクトルとして使用されることを特徴とする、請求項１０記載の方法。
12. バイオメトリック認証システムで使用されるための固定数の項目を有する特徴ベクトルを生成するために前記密度関数がサンプリングされることを特徴とする、請求項１ないし１１のうちいずれか一項記載の方法。
13. 実行可能コンポーネントを有するコンピュータプログラムであって、該コンポーネントは、コンピューティング機能を有する装置において実行されたときに、該コンピューティング機能を有する装置をして請求項１ないし１２のうちいずれか一項記載のステップを実行せしめることを特徴とするコンピュータプログラム。
14. 特徴位置である成分を含む特徴位置集合の間の対応を判別するバイオメトリック認証システムであって、前記特徴位置集合は個人に関連付けられたバイオメトリックデータから導出され、
    いくつかの成分を含む第一の特徴位置集合を該第一の特徴位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することによって密度関数に変換する手段と、
    該密度関数といくつかの成分を含む第二の特徴位置集合に対応するもう一つの密度関数との間の距離を決定する手段、
    とを有しており、前記距離が所定の距離値に従っていれば前記第一および第二の特徴位置集合の間に対応関係が存在することを特徴とする、システム。
15. 前記第一の特徴位置集合における選択された成分によって示される諸位置にシフトされた平均化関数を合計することが、前記平均化関数と前記第一の特徴位置集合における選択された成分によって示される諸位置におけるディラックパルスの和との畳み込みを実行することによって実施されることを特徴とする、請求項１４記載のシステム。
16. 前記変換する手段が、固定数の項目を有する特徴ベクトルを生成するために前記密度関数をサンプリングするよう構成されていることを特徴とする、請求項１４記載のシステム。
17. 前記距離が所定の距離値に従う場合に前記第二の特徴位置集合に関連付けられた前記個人の素性が検証されることを特徴とする、請求項１４記載のシステム。
18. 前記距離を決定する手段がさらに、前記決定された距離を所定の閾値と比較するよう構成されており、前記決定された距離の値が前記閾値よりも小さけば前記第一の特徴位置集合が前記第二の特徴位置集合に一致していると考えられることを特徴とする、請求項１４記載のシステム。
19. 前記密度関数の間の決定される距離がユークリッド距離であることを特徴とする、請求項１４記載のシステム。
20. 前記距離の決定が空間領域で実行されることを特徴とする、請求項１４記載のシステム。
21. 前記距離の決定が周波数領域で実行されることを特徴とする、請求項１４記載のシステム。
22. 前記変換する手段および前記決定する手段がさらに、前記第一の特徴位置集合および前記第二の特徴位置集合のフーリエ変換を決定するよう構成されており、前記第一および第二の特徴位置集合内の個別の位置が該個別の位置におけるディラックパルスとしてモデル化されることを特徴とする、請求項２１記載のシステム。
23. 前記変換する手段および前記決定する手段がさらに、前記それぞれの変換された第一および第二の特徴位置集合を周波数領域においてフィルタ処理するよう構成されていることを特徴とする、請求項２２記載のシステム。
24. 前記それぞれの変換された第一および第二の特徴位置集合がバイオメトリック認証システムにおける特徴ベクトルとして使用されることを特徴とする、請求項２３記載のシステム。
25. 前記変換する手段および前記決定する手段がさらに、バイオメトリック認証システムで使用されるための固定数の項目を有する特徴ベクトルを生成するために前記密度関数をサンプリングすることを特徴とする、請求項１４記載のシステム。

Images