JP4868947B2

JP4868947B2 - 生体認証装置と生体認証システム及びｉｃカード並びに生体認証方法

Info

Publication number: JP4868947B2
Application number: JP2006155852A
Authority: JP
Inventors: 慎相川; 祥子畠中; 和則橋本; 滋行伊藤; 高見　　穣
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2006-06-05
Filing date: 2006-06-05
Publication date: 2012-02-01
Anticipated expiration: 2026-06-05
Also published as: CN101086791A; US8094890B2; JP2007323564A; TW200805176A; TWI346899B; CN100576257C; US20080056544A1

Description

本発明は、特に生体認証による本人確認を、ＩＣカードを用いて行う生体認証システムに関する。

従来、コンピュータ等の情報機器を利用し、金融取引や入退室管理を行う場合の本人確認の手段としては、暗証番号やパスワードといった本人しか知らない情報を確認することが一般的であった。しかし暗証番号やパスワードは、他人に盗まれてしまった場合に、なりすましが容易であるという欠点がある。そこで近年においては、指紋や虹彩といった、他人が盗むのが困難であると共に各個人で異なっている生体情報を利用した生体認証が注目されている。

生体認証を利用した個人確認方法としては、次のようなものがある。特許文献１では、予め本人の生体情報をＩＣカードに保存しておき（以下ＩＣカードに保存する生体情報を「登録データ」と呼ぶ）、本人確認時に生体情報センサを用いて取得した生体情報（以下「照合データ」と呼ぶ）を、ＩＣカードに入力する。そしてＩＣカードは、内部で登録データと照合データの照合処理を行うことで、本人か否かを確認する。ここで、生体認証においては登録データと照合データが完全に一致するか否かに基づいた二値的な判定を行うことはできないため、登録データと照合データの類似度や不一致度を特定のアルゴリズムを用いて計算し、計算結果を予め設定した基準値（閾値）と比較することで判定を行う。一例として、登録データと照合データの不一致度分布を図１８に示す。図１８において、横軸が照合の不一致度を表し、縦軸が出現度数を表す。また、本人の登録データを本人の照合データで照合した場合の度数曲線９０１と、本人の登録データを他人の照合データで照合した場合の度数曲線９０２を表す。通常は曲線９０１の方が曲線９０２より左より（不一致度が小）となるため、生体認証閾値９０３を設定することで、不一致度が生体認証閾値９０３より小さい場合は本人と判断し、不一致度が生体認証閾値９０３より大きい場合は他人と判断する。
特開２００１−３４４２１３号公報

ここで、図１８に示したように、一般に度数曲線９０１と度数曲線９０２は重なりを持っており、本人であっても不一致度が領域９１０に含まれると他人と判定してしまう。もし、ＩＣカードに登録した生体情報の精度が良くなかった場合や、生体の経年変化、測定時の誤差等により、ＩＣカードに登録した生体情報と現在の生体情報の不一致度が大きくなってしまった場合には、本人であっても他人と判定されてしまう可能性が大きくなる。例えば、ＩＣカードを用いた生体認証を、キャッシュカードやクレジットカードといった金融取引に用いた場合に、このような現象が発生すると、本人であっても金融取引を行えないという問題が発生してしまう。また、予めＩＣカードに生体認証の試行回数（生体認証があと何回失敗しても認証を繰り返すことを表す回数）を登録しておき、ＩＣカード内で生体認証が失敗したら試行回数を１ずつ減算していくことが考えられる。この仕組みにより、試行回数が０になると、ＩＣカードの生体認証機能が利用不可となり、それ以降の生体認証は行えなくなる場合も考えられる。このような機能を備えたＩＣカードに登録した生体情報と、現在の生体情報の不一致度が大きくなってしまった場合には、ＩＣカードの生体認証機能が利用不可になりやすくなる。

本発明は、利用者の生体情報を用いて本人確認を行う生体認証装置であって、データを格納するメモリと、生体認証を行う演算処理部とを有しており、前記メモリは、前記演算処理部が行う生体認証が失敗する度に値が減じる残り試行回数を格納し、前記演算処理部は、生体認証開始時の残り試行回数より値が小さい下限値を生成し、減じた残り試行回数が前記下限値以下になるまで生体認証を実行可能にし、減じた残り試行回数が前記下限値以下であるとき、前記利用者に警告する警告データを作成する生体認証装置である。

また、本発明は、利用者の生体情報を用いて本人確認を行う生体認証装置であって、データを格納するメモリと、生体認証を行う演算処理部とを有しており、前記メモリは、前記利用者の第１の生体情報と、前記利用者の生体認証の成否を値の大小で判断する際の基準値である生体認証閾値と、前記利用者の第１の生体情報の変化検出の有無を値の大小で判断する際の基準値である変化検出閾値とを格納し、前記演算処理部は、前記利用者の第２の生体情報を取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、計算した不一致度が前記生体認証閾値より小さく、且つ前記変化検出閾値より大きい場合に、第１の生体情報に対する変化検出を前記利用者に通知する通知データを作成する生体認証装置である。

そして、本発明は、前記メモリは、前記利用者の過去の生体認証の履歴と、前記利用者の第１の生体情報の経年変化検出の有無を値の大小で判断する際の基準値である経年変化検出閾値とを格納し、前記演算処理部は、計算した不一致度が前記経年変化閾値より大きい場合に、第１の生体情報に対する経年変化検出を前記利用者に通知する通知データを作成する生体認証装置である。

更に、本発明は、ＩＣカードと、該ＩＣカードと通信し、利用者の生体情報を用いた生体認証によって、本人確認を行う生体認証装置とを備える生体認証システムであって、前記ＩＣカードは、前記生体認証装置と通信を行う第１の通信部と、データを格納する第１のメモリと、生体認証を行う第１の演算処理部とを有し、前記第１のメモリは、前記第１の演算処理部が行う生体認証が失敗する度に値が減じる残り試行回数を格納し、前記生体認証装置は、前記ＩＣカードと通信を行う第２の通信部と、生体認証を行う第２の演算処理部とを有し、該第２の演算処理部は、生体認証開始時の残り試行回数より値が小さい下限値を生成し、減じた残り試行回数が前記下限値以下になるまで生体認証を実行可能にし、減じた残り試行回数が前記下限値以下であるとき、前記利用者に警告する警告データを作成する生体認証システムである。

また、本発明は、ＩＣカードと、該ＩＣカードと通信し、利用者の生体情報を用いた生体認証によって、本人確認を行う生体認証装置とを備える生体認証システムであって、前記ＩＣカードは、前記生体認証装置と通信を行う第１の通信部と、前記利用者の第１の生体情報を格納した第１のメモリと、生体認証を行う第１の演算処理部とを有し、該第１の演算処理部は、前記利用者の第２の生体情報を外部から取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、前記生体認証装置は、前記ＩＣカードと通信を行う第２の通信部と、データを格納する第２のメモリと、生体認証を行う第２の演算処理部とを有し、前記第２のメモリは、前記利用者の第１の生体情報の変化検出の有無を値の大小で判断する際の基準値である変化検出閾値を格納し、前記第２の演算処理部は、前記ＩＣカードが計算した不一致度を取得し、取得した不一致度と前記変化検出閾値を比較し、前記不一致度が前記変化検出閾値より大きい場合に、第１の生体情報に対する変化検出を前記利用者に通知する通知データを作成する生体認証システムである。

そして、本発明は、利用者の生体情報を用いた生体認証によって、本人確認を行うＩＣカードであって、外部と通信を行う通信部と、生体認証に関するデータを格納するメモリと、生体認証を行う演算処理部を有しており、前記メモリは、前記利用者の第１の生体情報と、生体認証の成否を、値の大小で判断する際の基準値である生体認証閾値と、前記利用者の第１の生体情報の変化検出の有無を値の大小で判断する際の基準値である変化検出閾値とを格納し、前記演算処理部は、前記利用者の第２の生体情報を外部から取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、計算した不一致度が前記生体認証閾値より小さく、且つ前記変化検出閾値より大きい場合に、第１の生体情報に対する変化検出を前記利用者に通知する通知データを作成するＩＣカードである。

更に、本発明は、ＩＣカードと、該ＩＣカードと通信する生体認証装置とを用いて、利用者の生体情報で生体認証を行う生体認証方法であって、前記ＩＣカードにより、生体認証が失敗する度に値が減じる残り試行回数を記録し、前記生体認証装置により、生体認証開始時の残り試行回数より値が小さい下限値を生成し、減じた残り試行回数が前記下限値以下になるまで生体認証を実行可能にし、減じた残り試行回数が前記下限値以下であるとき、前記利用者に警告する警告データを作成する生体認証方法である。

また、本発明は、ＩＣカードと、該ＩＣカードと通信する生体認証装置とを用いて、利用者の生体情報で生体認証を行う生体認証方法であって、前記ＩＣカードにより、前記利用者の第１の生体情報を記録し、前記利用者の第２の生体情報を外部から取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、前記生体認証装置により、前記利用者の第１の生体情報の変化検出の有無を値の大小で判断する際の基準値である変化検出閾値を記録し、前記ＩＣカードが計算した不一致度を取得し、取得した不一致度と前記生体認証閾値とを比較し、前記不一致度が前記経年変化検出閾値より大きいと、前記利用者の第１の生体情報に対する変化を検出する生体認証方法である。

そして、本発明は、ＩＣカードを用い、利用者の生体情報で生体認証を行う生体認証方法であって、前記ＩＣカードにより、前記利用者の第１の生体情報と、生体認証の成否を判断する基準値である生体認証閾値と、前記利用者の生体情報の変化を検出する基準値である変化検出閾値とを記録し、前記利用者の第２の生体情報を外部から取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、該不一致度が前記生体認証閾値より小さく、且つ前記変化検出閾値より大きいと、前記利用者の第１の生体情報に対する変化を検出する生体認証方法である。

本発明を用いることで、ＩＣカードに登録した生体情報と現在の生体情報の不一致度が大きくなってしまい、本人であるにもかかわらず、生体認証による本人確認が失敗してしまう場合であっても、利用者の利便性を低下させずに適切なサービスを提供することが可能なＩＣカード、生体認証装置、および生体認証方法を実現できる。

本発明を実施するための最良の形態を説明する。
本発明の生体認証装置と生体認証システム及びＩＣカード並びに生体認証方法の実施例について、図面を用いて説明する。

実施例１を説明する。図１は本発明の第１の実施例の構成を示す構成図である。図１において、１００はＩＣカード、２００は金融取引端末、３００はネットワーク、４００はセンタである。ＩＣカード１００は、金融取引端末２００の利用者が保有し、生体認証を用いた本人確認と金融取引処理を安全に行うために使用する。ここで本実施例では、ＩＣカード１００はキャッシュカードやクレジットカードといった金融カードとして用いることで説明するが、金融取引処理に限らず、ＩＣカード１００が行う生体認証を、入退出やネットワーク利用のアクセス管理に利用した場合でも本発明の適用範囲である。また、金融取引端末２００は、キャッシュカードやクレジットカードを用いた金融取引を行う窓口端末やＡＴＭ（自動現金預け入れ装置）であると説明するが、金融取引処理に限らず、ＩＣカード１００を用いて生体認証処理を行う端末であれば、本発明の適用範囲である。そして、絶えず金融取引端末２００とＩＣカード１００が接続されて通信可能になっている、一体型の構成であっても、本発明の適用範囲である。またＩＣカード１００は、通常のＩＣカードの形状をしていなくても良く、メモリーカードやシステムＬＳＩといったハードウェアであっても本発明の適用範囲である。

次に、ＩＣカード１００の内部構成について説明する。ＩＣカード１００は、通信部１０１と、プログラム格納メモリ１０２と、不揮発性データ格納メモリ１０３と、揮発性データ格納メモリ１０４と、演算処理部１０５を有している。通信部１０１は、ＩＣカード１００が外部と通信するために使用し、例えば国際標準規格であるＩＳＯ／ＩＥＣ７８１６で規定している接触通信に基づくことが考えられる。あるいは国際標準規格であるＩＳＯ／ＩＥＣ１４４４３で規定している非接触通信に基づくことが考えられる。あるいは他の規格に基づいて通信を行う場合であっても本発明の適用範囲である。プログラム格納メモリ１０２は、ＩＣカード１００が保持するプログラムを永続的に格納する機能を有し、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）等の不揮発性半導体メモリから構成される。不揮発性データ格納メモリ１０３は、ＩＣカード１００への電力供給が中断しても任意のデータを保持し続けるメモリであり、ＥＥＰＲＯＭ等の不揮発性半導体メモリから構成される。揮発性データ格納メモリ１０４は、ＩＣカード１００への電力供給が中断したら消去してしまっても良い一時的なデータを格納するメモリであり、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等の揮発性半導体メモリから構成される。演算処理部１０５は、ＩＣカード１００全体の制御を司り、通信部１０１経由で制御コマンドを受信したら、プログラム格納メモリ１０２に格納しているプログラムに基づいて、受信した制御コマンドに応じた処理を行い、対応するレスポンスを通信部１０１経由で外部に送信する処理を実行する。

次に、金融取引端末２００の内部構成について説明する。金融取引端末２００は、ＩＣカード通信部２０１と、プログラム格納メモリ２０２と、不揮発性データ格納メモリ２０３と、揮発性データ格納メモリ２０４と、生体情報センサ２０５と、ユーザインタフェース部２０６と、センタ通信部２０７と、演算処理部２０８を有している。ＩＣカード通信部２０１は、ＩＣカード１００を制御するために用い、例えば国際標準規格であるＩＳＯ／ＩＥＣ７８１６で規定している接触通信に基づくことが考えられる。あるいは国際標準規格であるＩＳＯ／ＩＥＣ１４４４３で規定している非接触通信に基づくことが考えられる。あるいは他の規格に基づいて通信を行う場合であっても本発明の適用範囲である。プログラム格納メモリ２０２は、金融取引端末２００が保持するプログラムを永続的に格納する機能を有し、ハードディスクや半導体メモリ等から構成される。不揮発性データ格納メモリ２０３は、金融取引端末２００が使用する永続的なデータを格納する機能を有し、ハードディスクや半導体メモリ等から構成される。揮発性データ格納メモリ２０４は、金融取引端末２００が使用する一時的なデータを格納する機能を有し、ハードディスクや半導体メモリ等から構成される。生体情報センサ２０５は、利用者の生体情報を読取る機能を有する。本実施例では、生体情報として指紋パターンや指静脈パターンを読取ることを想定するが、他の生体情報を読取る場合であっても本発明の適用範囲である。ユーザインタフェース部２０６は、金融取引端末２００の利用者に対して画像や文字等の視覚情報あるいは音声情報を出力して提示すための表示機能と、ＩＣカード決済端末３００の利用者が必要な情報を入力することを可能にする入力機能を有する。表示機能としては、ブラウン管ディスプレイや液晶ディスプレイを用いることが考えられる。入力機能としてはキーボードやタッチパネルを用いることが考えられる。センタ通信部２０７は、センタ４００と通信するために用い、ネットワーク３００、例えば電話やインターネット等の公衆回線網、あるいは専用の回線網に接続できる機能を有する。演算処理部２０８は、金融取引端末２００全体の制御を司り、ＩＣカード１００を用いて生体認証処理と、ＩＣカード１００を用いた金融取引処理を実施する。

次に、ＩＣカード１００が保持するプログラムおよびデータの構成について、図２を用いて説明する。図２には、ＩＣカード１００のプログラム格納メモリ１０２に格納しているプログラムと、不揮発性データ格納メモリ１０３に格納しているデータと、揮発性データ格納メモリ１０４に格納しているデータの詳細を示している。まず、プログラム格納メモリ１０２には、生体認証プログラム１２１と、金融取引プログラム１２２と、ＩＣカードオペレーティングシステム１２３を格納している。生体認証プログラム１２１は、ＩＣカード１００を用いた生体認証処理を実行するために使用するアプリケーションプログラムである。金融取引プログラム１２２は、ＩＣカード１００を用いた金融取引処理を実行するために使用するアプリケーションプログラムである。ＩＣカードオペレーティングシステム１２３は、生体認証プログラム１２１と、金融取引プログラム１２２を実行するために必要な基本機能を提供するシステムプログラムである。ＩＣカードオペレーティングシステム１２３としては、例えばＭＵＬＴＯＳ（商標）を用いることが考えられる。あるいは他のオペレーティングシステムを用いても、本発明の適用範囲である。

不揮発性データ格納メモリ１０３には、生体認証プログラム管理不揮発性データ１３０と、金融取引プログラム管理不揮発性データ１４０が格納される。生体認証プログラム管理不揮発性データ１３０は、生体認証プログラム１２１が管理する不揮発性データであり、他のプログラムからはアクセスする事が出来ないように、ＩＣカードオペレーティングシステム１２３によって管理されている。同様に、金融取引プログラム管理不揮発性データ１４０は、金融取プログラム１２２が管理する不揮発性データであり、他のプログラムからはアクセスする事が出来ないように、ＩＣカードオペレーティングシステム１２３によって管理されている。

揮発性データ格納メモリ１０４には、生体認証プログラム管理揮発性データ１５０と、金融取引プログラム管理揮発性データ１６０を格納される。生体認証プログラム管理揮発性データ１５０は、生体認証プログラム１２１が管理する揮発性データであり、他のプログラムからはアクセスする事が出来ないように、ＩＣカードオペレーティングシステム１２３によって管理されている。同様に、金融取プログラム管理揮発性データ１６０は、金融取引プログラム１２２が管理する揮発性データであり、他のプログラムからはアクセスする事が出来ないように、ＩＣカードオペレーティングシステム１２３によって管理されている。

次に、生体認証プログラム管理不揮発性データ１３０を構成するデータについて説明する。生体認証プログラム管理不揮発性データ１３０には、暗号鍵データ１３１と、生体情報登録データ１３２と、生体情報関連データ１３３と、生体認証閾値１３４と、ユーザ情報１３５と、生体認証履歴１３６と、試行回数上限値１３７と、残り試行回数１３８が含まれる。暗号鍵データ１３１は、ＩＣカード１００と金融取引端末２００との間で、機器認証および暗号通信を行うための鍵データである。本実施例においては、暗号鍵データ１３１は、ＤＥＳやＡＥＳといった共通鍵暗号方式の鍵データであっても、ＲＳＡや楕円曲線暗号といった公開鍵暗号方式の鍵データであっても良い。生体情報登録データ１３２は、ＩＣカード１００を金融取引に使用する前に金融機関の専用窓口等で、利用者がＩＣカード１００に登録する利用者本人の生体情報であり、ＩＣカード１００外部に漏洩しないように管理する。本実施例においては、生体情報登録データ１３２として指紋パターンあるいは指静脈パターンを扱うことを想定しているが、他の生体情報を扱っても本発明の適用範囲である。また、図２では生体情報登録データ１３２は１つしか存在しないが、複数の生体情報登録データをＩＣカード１００に登録している場合でも本発明の適用範囲である。生体情報関連データ１３３は、生体情報登録データ１３３の付随情報であり、生体情報登録データ１３２を登録するのと同じタイミングでＩＣカード１００に登録しておく。生体情報関連データ１３３は、例えば生体情報登録データ１３２として保持している指紋パターンの中心座標値を表している。生体情報関連データ１３３は、ＩＣカード１００から読み出し可能なデータであり、金融取引端末２００が生体認証処理に使用する生体情報照合データを高い精度で生成するために使用する。生体認証閾値１３４は、生体認証登録データ１３２と生体情報照合データ１５１から算出される不一致度の基準値であり、不一致度が生体認証閾値１３４より小さければ、生体認証登録データ１３２と生体情報照合データ１５１は同一人物の生体情報であると判定する。ユーザ情報１３５は、生体情報登録データ１３２を登録した人に関する情報であり、氏名や金融取引用の口座番号といった情報を含む。ユーザ情報１３５は、生体情報登録データ１３２を登録するのと同じタイミングでＩＣカード１００に登録することが考えられる。生体認証履歴１３６は、過去に行った生体認証の履歴データであり、生体認証が成功したか失敗したかといった情報や、生体認証登録データと生体認証照合データから算出した不一致度といった情報を含む。試行回数上限値１３７は、ＩＣカード１００を用いて実行する生体認証処理の最大失敗回数を表している。残り試行回数１３８は、ＩＣカード１００を用いて実行する生体認証処理があと何回失敗を許すかを表す。残り試行回数１３８は、初めは試行回数上限値１３７と同じ値に設定しておき、生体認証処理が失敗するたびに１ずつ減算していく。これにより、残り試行回数１３８の値が０となったら、ＩＣカード１００はそれ以降の生体認証処理を許可しないように制御する事が可能になる。

次に生体認証プログラム管理揮発性データを構成するデータ１５０について説明する。生体認証プログラム管理揮発性データを構成するデータ１５０には、生体情報照合データ１５１と、不一致度１５２と、生体認証結果１５３が含まれる。生体情報照合データ１５１は、金融取引端末２００から取得した利用者の照合データである。不一致度１５２は、生体情報登録データ１３３と生体情報照合データ１５２の違いを定量的に表したものであり、ＩＣカード１００内部で、特定のアルゴリズムに基づいて計算する。生体認証結果１５３は、不一致度１５２と生体認証閾値１３４を比較した結果であり、生体認証によって利用者が本人と確認できたか否かを表す。

次に、金融取引端末２００が保持するプログラムおよびデータの構成について、図３を用いて説明する。図３には、金融取引端末２００のプログラム格納メモリ２０２に格納しているプログラムと、不揮発性データ格納メモリ２０３に格納しているデータと、揮発性データ格納メモリ２０４に格納しているデータの詳細を示している。まず、プログラム格納メモリ２０２には、生体認証プログラム２２１と、金融取引プログラム２２２と、金融取引端末オペレーティングシステム２２３を格納している。生体認証プログラム２２１は、ＩＣカード１００を制御して生体認証処理を実行するために使用するアプリケーションプログラムである。金融取引プログラム２２２は、ＩＣカード１００を制御して金融取引処理を実行するために使用するアプリケーションプログラムである。金融取引端末オペレーティングシステム２２３は、生体認証プログラム２２１と、金融取引プログラム２２２を実装するために必要な、基本機能を提供するシステムプログラムである。本実施例においては、金融取引端末オペレーティングシステム２２３としてどのようなオペレーティングシステムを用いても良い。

不揮発性データ格納メモリ２０３には、暗号鍵データ２３１と、経年変化検出閾値２３２と、第１利用限度額２３３と、第２利用限度額２３４を格納している。暗号鍵データ２３１は、ＩＣカード１００と金融取引端末２００との間で、機器認証および暗号通信を行うための鍵データである。本実施例においては、暗号鍵データ２３１はＤＥＳやＡＥＳといった共通鍵暗号方式の鍵データであっても、ＲＳＡや楕円曲線暗号といった公開鍵暗号方式の鍵データであっても良い。経年変化検出閾値２３２は、ＩＣカード１００に登録されている生体情報登録データ１３３が、経年変化等の理由により、現在の利用者の生体情報と大きく異なってしまっているか否かを検出するための基準値である。第１利用限度額２３３は、生体認証が成功した場合の金融取引で利用可能な金額の上限を表す。第２利用限度額２３４は、生体認証が成功しなかった場合の金融取引で利用可能な金額の上限を表す。

揮発性データ格納メモリ２０４には、ユーザ情報２４１と、生体情報関連データ２４２と、生体情報照合データ２４３と、生体認証結果２４４と、不一致度２４５と、生体認証履歴２４６と、残り試行回数２４７と、経年変化検出結果２４８と、試行回数下限値２４９を有する。ユーザ情報２４１は、ＩＣカード１００が保持するユーザ情報１３５を、ＩＣカード１００から読み出したものである。生体情報関連データ２４２はＩＣカード１００が保持する生体情報関連データ１３２を、ＩＣカード１００から読み出したものである。生体認証結果２４４は、ＩＣカード１００が生体認証処理で生成した生体認証結果１５３を、ＩＣカード１００から取得したものである。不一致度２４５はＩＣカード１００が生体認証処理で生成した不一致度１５２を、ＩＣカード１００から取得したものである。生体認証履歴２４６は、ＩＣカード１００が保持する生体認証履歴１３６を、ＩＣカード１００から読み出したものである。残り試行回数２４７は、ＩＣカード１００が保持する残り試行回数１３８を、ＩＣカード１００から取得したものである。経年変化検出結果２４８は、ＩＣカード１００に登録されている生体情報登録データ１３３が、現在の利用者の生体情報と大きく異なってしまっているかを検出した結果を格納する。試行回数下限値２４９は、金融取引端末２００がＩＣカード１００と通信する度に生成する値である。

次に、ＩＣカード１００が実行する生体認証の処理フローの一例について、図４を用いて説明する。まず、スタートし、ＩＣカード１００は残り試行回数１３８が０以下か否かを判断し［Ｓ２０００］、残り試行回数１３８が０以下ならステップＳ２００４に進む。残り試行回数が０以下でなければ、ＩＣカード１００は、ＩＣカード１００が予め保持している生体情報登録データ１３２と、金融取引端末２００から取得した生体情報照合データ１５１を、パターンマッチング等のアルゴリズムを用いて比較し、不一致度１５２を計算する［Ｓ２００１］。ここで不一致度１５２の計算はどのようなアルゴリズムを用いても本発明の適用範囲である。次に、ＩＣカード１００は、ステップＳ２００１で計算した不一致度１５２と生体認証閾値１３４を比較し［Ｓ２００２］、不一致度１５２が生体認証閾値１３４より小さくなければ、ＩＣカード１００は残り試行回数１３８を１だけ減算し［Ｓ２００３］、ＩＣカード１００は生体認証結果１５３に「失敗」を設定する［Ｓ２００４］。不一致度１５２が生体認証閾値１３４より小さければ、ＩＣカード１００は生体認証結果１５３に「成功」を設定する［Ｓ２００５］。

次に、金融取引端末２００が実行する経年変化検出の処理フローの一例について、図５を用いて説明する。スタートし、金融取引端末２００は、ＩＣカード１００から取得した不一致度２４５と経年変化検出閾値２３２を比較し［Ｓ３０００］、不一致度２４５が経年変化検出閾値２３２より大きければ、金融取引端末２００は、経年変化検出結果２４８に「経年変化あり」と設定する［Ｓ３００１］。不一致度２４５が経年変化検出閾値２３２より大きくなければ、金融取引端末２００は、経年変化検出結果２４８に「経年変化なし」と設定する［Ｓ３００２］。

ここで、図５では不一致度２４５と経年変化検出閾値２３２を比較することで、経年変化の検出を行っているが、経年変化が発生していなくても、不一致度２４５が経年変化検出閾値２３２より大きくなると、「経年変化あり」と判定してしまう可能性がある。例えば、外部環境等の影響で生体情報センサ２０５による利用者の生体情報照合データの取得が正常に行われなかった場合に、不一致度２４５が通常よりも大きくなってしまうことが考えられる。このような可能性を出来る限り低減させるために、ＩＣカード１００から取得した生体認証履歴２４６を参照して、経年変化検出の精度を向上させても良い。例えば、生体認証履歴２４６に含まれる過去の不一致度も、経年変化検出閾値２３２より大きければ「経年変化あり」と判定することが考えられる。

次に、ＩＣカード１００と金融取引端末２００との間で送受信するコマンドおよびレスポンスの一例について説明する。図６（ａ）（ｂ）はアプリケーションプログラム選択コマンド５００とアプリケーションプログラム選択レスポンス５０１のフォーマット図である。アプリケーションプログラム選択コマンド５００は、ＩＣカード１００内に格納しているアプリケーションプログラムを選択するために、金融取引端末２００がＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、コマンドデータ長と、アプリケーションプログラムを識別するプログラム識別子と、レスポンスデータ長を格納している。アプリケーションプログラム選択レスポンス５０１は、ＩＣカード１００がアプリケーションプログラム選択コマンド５００を処理した結果を、金融取引端末２００に返信するレスポンスであり、プログラム関連情報と、レスポンスコードを格納している。

図７（ａ）（ｂ）は機器認証開始コマンド５１０と機器認証開始レスポンス５１１のフォーマット図である。機器認証開始コマンド５１０は、機器認証を開始するために金融取引端末２００がＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、コマンドデータ長と、端末乱数と、レスポンスデータ長を格納している。機器認証開始レスポンス５１１は、ＩＣカード１００が機器認証開始コマンド５１０を処理した結果を、金融取引端末２００に返信するレスポンスであり、カード検証データと、カード乱数と、レスポンスコードを格納している。

図８（ａ）（ｂ）は機器認証実行コマンド５２０と機器認証実行レスポンス５２１のフォーマット図である。機器認証実行コマンド５２０は、機器認証を実行するために金融取引端末２００がＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、コマンドデータ長と、端末検証データを格納している。機器認証実行レスポンス５２１は、ＩＣカード１００が機器認証実行コマンド５２０を処理した結果を、金融取引端末２００に返信するレスポンスであり、レスポンスコードを格納している。

図９（ａ）（ｂ）はユーザ情報読出しコマンド５３０とユーザ情報読出しレスポンス５３１のフォーマット図である。ユーザ情報読出しコマンド５３０は、ＩＣカード１００内のユーザ情報を金融取引端末２００が読み出すために、ＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、レスポンスデータ長を格納している。ユーザ情報読出しレスポンス５３１は、ＩＣカード１００がユーザ情報読出しコマンド５３０を処理した結果を、金融取引端末２００に返信するレスポンスであり、ユーザ情報と、レスポンスコードを格納している。

図１０（ａ）（ｂ）は生体情報関連データ読出しコマンド５４０と生体情報関連データ読出しレスポンス５４１のフォーマット図である。生体情報関連データ読出しコマンド５４０は、ＩＣカード１００が格納している生体情報関連データを、金融取引端末２００が読み出すために、ＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、レスポンスデータ長を格納している。生体情報関連データ読出しレスポンス５４１は、ＩＣカード１００が生体情報関連データ読出しコマンド５４０を処理した結果を、金融取引端末２００に返信するレスポンスであり、生体情報関連データと、レスポンスコードを格納している。

図１１（ａ）（ｂ）は生体認証履歴読出しコマンド５５０と生体認証履歴読出しレスポンス５５１のフォーマット図である。生体認証履歴読出しコマンド５５０は、ＩＣカード１００が格納している生体認証履歴を、金融取引端末２００が読み出すために、ＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、レスポンスデータ長を格納している。生体認証履歴読出しレスポンス５４１は、ＩＣカード１００が生体認証履歴読出しコマンド５４０を処理した結果を、金融取引端末２００に返信するレスポンスであり、生体認証履歴と、レスポンスコードを格納している。

図１２（ａ）（ｂ）は生体認証実行コマンド５６０と、生体認証実行レスポンス５６１のフォーマット図である。生体認証実行コマンド５６０は、生体認証を実行するために、金融取引端末２００がＩＣカード１００に送信するコマンドであり、本コマンドを識別するコマンドコードと、パラメータと、コマンドデータ長と、生体情報照合データを格納する。生体認証実行レスポンス５６１は、ＩＣカード１００が生体認証実行コマンド５６０を処理した結果を、金融取引端末２００に返信するレスポンスであり、生体認証結果と、不一致度と、残り試行回数と、レスポンスコードを格納している。

次に、ＩＣカード１００と金融取引端末２００の間の処理フローを、図１３を用いて説明する。図１３に示した処理フローは、既にＩＣカード１００が金融取引端末２００と通信可能になっている状態からの処理フローになっている。まず、金融取引端末２００はＩＣカード１００の生体認証プログラム１２１の起動を選択するために、生体認証プログラム１２１のプログラム識別子を設定したアプリケーションプログラム選択コマンド５００を送信する［Ｓ１０００］。ＩＣカード１００は、生体認証プログラム１２１のプログラム識別子を設定したアプリケーションプログラム選択コマンド５００を受信したら、生体認証プログラム１２１の起動を選択し、アプリケーションプログラム選択レスポンス５０１を返信する［Ｓ１１００］。次に、金融取引端末２００は、機器認証開始コマンド５１０および機器認証実行コマンド５２０を、ＩＣカード１００に送信して、ＩＣカード１００との間で機器認証を行う［Ｓ１００１］。ＩＣカード１００は、機器認証開始コマンド５１０および機器認証実行コマンド５２０を受信することで機器認証処理を行い、機器認証開始レスポンス５１１および機器認証実行レスポンス５２１を返信する［Ｓ１１０１］。機器認証処理では、ＩＣカード１００が保持している暗号鍵データ１３１と、金融取引端末２００が保持する暗号鍵データ２３１を用いた暗号処理を行うことで、互いに正当な機器であることを確認しあう。さらに機器認証を行うことで、以降のＩＣカード通信で送受信するデータを暗号化するための鍵データを共有してもよい。本発明においては、機器認証に用いる暗号アルゴリズムと、および鍵データの共有アルゴリズムは特定せず、どのようなアルゴリズムを用いても本発明の適用範囲である。

次に、金融取引端末２００は、ユーザ情報読出しコマンド５３０を送信して、ＩＣカード１００が保持しているユーザ情報１３５を取得する［Ｓ１００２］。ＩＣカード１００は、ユーザ情報読出しコマンド５３０を受信したら、ユーザ情報１３５を設定したユーザ情報読出しレスポンス５３１を返信する［Ｓ１１０２］。これにより、金融取引端末２００はＩＣカード１００から取得したユーザ情報を、ユーザ情報２４１として一時的に保存する。

金融取引端末２００は、生体情報関連データ読出しコマンド５４０を送信して、ＩＣカード１００が保持している生体情報関連データ１３３を取得する［Ｓ１００３］。ＩＣカード１００は、生体情報関連データ読出しコマンド５４０を受信したら、生体情報関連データ１３３を設定した生体情報関連データ読出しレスポンス５４１を返信する［Ｓ１１０３］。これにより、金融取引端末２００はＩＣカード１００から取得した生体情報関連データを、生体情報関連データ２４２として一時的に保存する。

金融取引端末２００は、生体認証履歴読出しコマンド５５０をＩＣカード１００に送信して、ＩＣカード１００が保持している生体認証履歴１３６を取得する［Ｓ１００４］。ＩＣカード１００は、生体認証履歴読出しコマンド５５０を受信したら、生体認証履歴１３６を設定した認証履歴読出しレスポンス５５１を返信する［Ｓ１１０４］。これにより、金融取引端末２００は、ＩＣカード１００から取得した生体認証履歴を、生体認証履歴２４６として一時的に保存する。

金融取引端末２００は、生体情報センサ２０５を用いて、利用者の生体情報を読み取って生体情報照合データ２４３を生成する［Ｓ１００５］。金融取引端末２００は、生体情報照合データ２４３を精度良く生成するために、先にＩＣカード１００から読み出した生体情報関連データ２４２を参照してもよい。次に、金融取引端末２００は、ステップＳ１００５で生成した生体情報照合データ２４３を設定した生体認証実行コマンド５６０を、ＩＣカード１００に送信して生体認証処理を実行する［Ｓ１００６］。ＩＣカード１００は、生体認証実行コマンド５６０を受信したら、生体情報照合データを、生体情報照合データ１５２として一時保存し、不一致度１５２と生体認証結果１５３を計算する。不一致度１５２と生体認証結果１５３の計算方法は既に図４を用いて説明している。そしてＩＣカード１００は、不一致度１５２と、生体認証結果１５３と、残り試行回数１３８を設定した、生体認証実行レスポンス５６１を金融取引端末２００に返信する。金融取引端末２００は生体認証実行レスポンス５６１に設定されている生体認証結果と、不一致度と、残り試行回数をそれぞれ、生体認証結果２４４と、不一致度２４５と、残り試行回数２４７として、一時保存する［Ｓ１１０６］。

金融取引端末２００は、生体認証結果２４４が本人確認成功か本人確認失敗かを判定し［Ｓ１００７］、本人認証成功であればステップＳ１０１２に進む。本人確認失敗ならステップＳ１００８に進み、金融取引端末２００は、試行回数下限値２４９がステップＳ１０００の実行後から未生成であれば、試行回数下限値２４９を、１以上で且つ、残り試行回数２４７未満の範囲でランダムに生成する［Ｓ１００８］。次に、金融取引端末２００は、残り試行回数２４７が試行回数下限値２４９以下であるかを判定し［Ｓ１００９］、残り試行回数２４７が試行回数下限値２４９以下であればステップＳ１０１１に進む。残り試行回数２４７が試行回数下限値２４９を超えていると、金融取引端末２００は、利用者に再度生体認証による本人確認を行うかを確認する［Ｓ１０１０］。利用者への確認は、金融取引端末２００のユーザインタフェース部２０６が提供する表示機能と入力機能を用いる。ステップＳ１０１０で、利用者が再度生体認証を行うことを了解したらステップＳ１００５に進み、再度の生体認証を拒否したら、金融取引端末２００は、利用者に金融取引の利用限度額を下げて良いかを確認する［Ｓ１０１１］。利用者への確認は、金融取引端末２００のユーザインタフェース部２０６が提供する表示機能と入力機能を用いる。利用者が利用限度額を下げて良いと判断したらステップＳ１０１３に進む。そうでなければステップＳ１０１５に進む。

ステップＳ１０１２において、金融取引端末２００は、経年変化の検出処理を行う。経年変化の検出処理の詳細については、既に図５を用いて説明している。そして、経年変化検出処理結果が「経年変化検出」となった場合は、金融取引端末２００のユーザインタフェース部２０６が提供する表示機能と入力機能を用いて、利用者に警告する。そして、ステップＳ１０１３に進む。

ステップＳ１０１３において、金融取引端末２００はＩＣカード１００の金融取引プログラム１２２の起動を選択するために、金融取引プログラム１２２のプログラム識別子を設定したアプリケーションプログラム選択コマンド５００を送信する。ＩＣカード１００は、金融取引プログラム１２２のプログラム識別子を設定したアプリケーションプログラム選択コマンド５００を受信したら、金融取引プログラム１２２の起動を選択し、アプリケーションプログラム選択レスポンス５０１を返信する［Ｓ１１１３］。次に、ＩＣカード１００と金融取引端末２００は、先に実施した生体認証処理の結果として設定された利用限度額の範囲で、金融取引処理を行う［Ｓ１０１４、Ｓ１１１４］。

金融取引端末２００は、ステップＳ１０１１で、利用者に金融取引の利用限度額を下げることを拒否した場合、金融取引端末２００のユーザインタフェース部２０６が提供する表示機能と入力機能を用いて、利用者に金融取引が不可であることを表示する［Ｓ１０１５］。

最後に、金融取引端末２００は、生体認証結果および金融取引結果を、センタ３００に通知する［Ｓ１０１６］。センタ３００は過去の利用者の生体認証の履歴を保持しておく。

次に、金融取引端末２００のユーザインタフェース部２０６が表示する画面の一例を図１４に示す。図１４は、生体認証による本人確認を行った結果、本人確認が成功すると共に経年変化を検出した場合の画面遷移である。まず、画面７００において、金融取引端末２００は、生体認証を行うために、利用者の指を金融取引端末２００の生体情報センサ２０５に置くようにガイドするための、文章、音声、グラフィックスを表示する。次に、画面７０１において、金融取引端末２００は、生体認証を実行中であることを利用者に示すための、文章、音声、グラフィックスを表示する。次に、画面７０２において、金融取引端末２００は、生体認証を用いた本人確認が成功したことを利用者に示すための、文章、音声、グラフィックスを表示する。次に、画面７０３において、金融取引端末２００は、画面７０２を表示後、金融取引中、あるいは金融取引が終了した時点で、ＩＣカード１００に登録されている生体情報登録データ１３３が、経年変化等の理由により、現在の利用者の生体情報と大きく異なっているので、利用者を金融機関の窓口まで誘導するように、文章、音声、グラフィックスを表示する。

次に、金融取引端末２００のユーザインタフェース部２０６が表示する画面の他の例として、生体認証による本人確認を行った結果、本人確認が失敗してしまった場合の画面遷移を図１５に示す。まず、画面７１０において、金融取引端末２００は、生体認証を行うために、利用者の指を金融取引端末２００の生体情報センサ２０５に置くようにガイドする、文章、音声、グラフィックスを表示する。次に、画面７１１において、金融取引端末２００は、生体認証を実行中であることを利用者に示すための、文章、音声、グラフィックスを表示する。次に、画面７１２において、金融取引端末２００は、生体認証が失敗し、図１３のステップＳ１００９で、残り試行回数２４７が試行回数下限値２４９以下でない場合、本人確認が失敗したので再度生体認証による本人確認を行うかを確認するための画面を表示する。利用者が再度本人確認を行うことを選択したら、金融取引端末２００は画面７１０を表示して再度生体認証を行う。利用者が本人確認を行わないことを選択したら、金融取引端末２００は画面７１３を表示する。次に、画面７１３において、金融取引端末２００は、生体認証が失敗し、図１３のステップＳ１００９で、残り試行回数２４７が試行回数下限値２４９以下である場合、生体認証による本人確認が失敗したため、その後の金融取引の利用限度額を下げても良いかを確認するための画面を表示する。次に、画面７１４において、金融取引端末２００は、金融取引中、あるいは金融取引が終了した時点で、ＩＣカード１００に登録されている生体情報登録データ１３３が、経年変化等の理由により、現在の利用者の生体情報と大きく異なっているので、利用者を金融機関の窓口まで誘導するように、文章、音声、グラフィックスを表示する。

図１４および図１５に示した画面は一例であり、同様の効果が得られる、文章やグラフィックスを表示する画面構成であっても本発明の適用範囲である。

本発明の第２の実施例について、図を用いて説明する。本実施例は、実施例１で図１を用いて説明した構成図と同じ構成となっているが、ＩＣカード１００が保持する内部データが一部異なる。図１６はＩＣカード１００が保持するプログラムおよびデータの構成図である。実施例２は、ＩＣカード１００の生体認証プログラム管理不揮発性データ１３０に、経年変化検出閾値１３９を保持している点が、実施例１と異なっている。

次に、実施例２におけるＩＣカード１００が実行する生体認証の処理フローの一例について、図１７を用いて説明する。スタートし、ＩＣカード１００は残り試行回数１３８が０以下か否かを確認し［Ｓ４０００］、残り試行回数１３８が０以下ならステップＳ４００４に進む。残り試行回数１３８が０を越えているならば、ＩＣカード１００は、ＩＣカード１００が予め保持している生体情報登録データ１３２と、金融取引端末２００から取得した生体情報照合データ１５１を、特定のアルゴリズムを用いて比較し、不一致度１５２を計算する［Ｓ４００１］。ここで不一致度１５２の計算はどのようなアルゴリズムを用いても本発明の適用範囲である。次に、ＩＣカード１００は、ステップＳ２００１で生成した不一致度１５２と生体認証閾値１３４を比較し［Ｓ４００２］、不一致度１５２が生体認証閾値１３４より小さくなければ、ＩＣカード１００は残り試行回数１３８を１だけ減算する［Ｓ４００３］。次に、ＩＣカード１００は生体認証結果１５３に「失敗」を設定する［Ｓ４００３］。

ステップＳ４００２で、不一致度１５２が生体認証閾値１３４より小さければ、ＩＣカード１００は、不一致度２４５と経年変化検出閾値１３９を比較し、不一致度２４５が経年変化検出閾値１３９より大きければ、ＩＣカード１００は、生体認証結果１５３に「生体認証成功、経年変化あり」と設定する［Ｓ４００６］。

ステップＳ４００５で、不一致度１５２が経年変化検出閾値１３９より大きくなければ、ＩＣカード１００は、生体認証結果１５３に「生体認証成功、経年変化なし」と設定する［Ｓ４００７］。

以上、図１７を用いてＩＣカード１００が実行する生体認証の処理フローを説明したが、ステップＳ４００６で「生体認証成功、経年変化あり」と判断した場合、生体情報登録データ１３２を生体情報照合データ１５１に更新しても良い。この場合、以降の生体認証では、生体情報登録データ１３２の代わりに生体情報照合データ１５１が、登録データとして参照されることになる。あるいは、生体情報照合データ１５１を新しい登録データとして、ＩＣカード１００に永続的に保存しても良い。この場合、以降の生体認証では、生体情報登録データ１３２に加えて、生体情報照合データ１５１も、登録データとして参照されることになる。

実施例１における生体認証システムの構成図である。ＩＣカード１００が保持するプログラムおよびデータの構成図である。金融取引端末２００が保持するプログラムおよびデータの構成図である。ＩＣカード１００が実行する生体認証の処理フロー図である。金融取引端末２００が実行する経年変化検出の処理フロー図である。アプリケーションプログラム選択コマンド５００とアプリケーションプログラム選択レスポンス５０１のフォーマット図である。機器認証開始コマンド５１０と機器認証開始レスポンス５１１のフォーマット図である。機器認証実行コマンド５２０と機器認証実行レスポンス５２１のフォーマット図である。ユーザ情報読出しコマンド５３０とユーザ情報読出しレスポンス５３１のフォーマット図である。生体情報関連データ読出しコマンド５４０と生体情報関連データ読出しレスポンス５４１のフォーマット図である。生体認証履歴読出しコマンド５５０と生体認証履歴読出しレスポンス５５１のフォーマット図である。生体認証実行コマンド５６０と、生体認証実行レスポンス５６１のフォーマット図である。ＩＣカード１００と金融取引端末２００の間の処理フロー図である。金融取引端末２００が表示する画面遷移の一例（その１）の説明図である。金融取引端末２００が表示する画面遷移の一例（その２）の説明図である。実施例２におけるＩＣカード１００が保持するプログラムおよびデータの構成図である実施例２におけるＩＣカード１００が実行する生体認証の処理フロー図である。登録データと照合データの不一致度分布図である。

符号の説明

１００…ＩＣカード、２００…金融取引端末、３００…ネットワーク、４００…センタ、１０…指、１０１…通信部、１０２…プログラム格納メモリ、１０３…不揮発性データ格納メモリ、１０４…揮発性データ格納メモリ、２０１…ＩＣカード通信部、２０２…プログラム格納メモリ、２０３…不揮発性データ格納メモリ、２０４…揮発性データ格納メモリ、２０５…生体情報センサ、２０６…ユーザインタフェース部、２０７…センタ通信部

Claims

利用者の生体情報を用いて本人確認を行う生体認証装置であって、
データを格納するメモリと、生体認証を行う演算処理部とを有しており、
前記メモリは、前記演算処理部が行う生体認証が失敗する度に値が減じる残り試行回数を格納し、
前記演算処理部は、前記生体認証が失敗の場合、生体認証開始時の残り試行回数より値が小さく、かつ１以上の範囲で下限値をランダムに生成し、減じた残り試行回数が前記下限値以下になるまで生体認証を実行可能にし、減じた残り試行回数が前記下限値以下であるとき、前記利用者に警告する警告データを作成し、
前記演算処理部は、前記利用者の第２の生体情報を取得し、前記第１の生体情報と取得した第２の生体情報とを比較して両者の相違を定量的に表す不一致度を計算し、計算した不一致度が前記生体認証閾値より小さく、且つ前記変化検出閾値より大きい場合に、第１の生体情報に対する変化検出を前記利用者に通知する通知データを作成することを特徴とする生体認証装置。
ＩＣカードと、該ＩＣカードと通信し、利用者の生体情報を用いた生体認証によって、本人確認を行う生体認証装置とを備える生体認証システムであって、
前記ＩＣカードは、前記生体認証装置と通信を行う第１の通信部と、データを格納する第１のメモリと、生体認証を行う第１の演算処理部とを有し、前記第１のメモリは、前記第１の演算処理部が行う生体認証が失敗する度に値が減じる残り試行回数を格納し、
前記生体認証装置は、前記ＩＣカードと通信を行う第２の通信部と、生体認証を行う第２の演算処理部とを有し、該第２の演算処理部は、前記生体認証が失敗の場合、生体認証開始時の残り試行回数より値が小さく、かつ１以上の範囲で下限値をランダムに生成し、減じた残り試行回数が前記下限値以下になるまで生体認証を実行可能にし、減じた残り試行回数が前記下限値以下であるとき、前記利用者に警告する警告データを作成し、前記第２の演算処理部は、前記ＩＣカードが計算した不一致度を取得し、取得した不一致度と前記変化検出閾値を比較し、前記不一致度が前記変化検出閾値より大きい場合に、第１の生体情報に対する変化検出を前記利用者に通知する通知データを作成することを特徴する生体認証システム。