FAR/FRR と APCER/BPCER の違い【顔認証とライブネスで指標が違う理由】
顔認証やなりすまし判定（ライブネス検知）の製品を比較していると、FAR FRR APCER BPCER といった略語が出てきます。似たような「誤りの割合」に見えますが、測っている対象がまったく違います。ここを取り違えると、製品比較で数字に騙されます。
結論を先に書くと、こうです。
| 指標 | 何を測るか | どの技術の指標か |
|---|---|---|
| FAR / FRR | 他人を本人と間違える／本人を拒否する | 顔認証（誰の顔か） |
| APCER / BPCER | 偽物を生体と間違える／生体を偽物と拒否する | ライブネス検知（生体か偽物か） |
顔認証とライブネス検知が別の問いに答える技術である以上、精度指標も別々になる——これが「指標が分かれる理由」です。
顔認証の指標: FAR と FRR
顔認証は「目の前の顔は、登録された本人か」を判定します。ここでの誤りは2種類です。
- FAR（False Acceptance Rate・他人受入率） — 他人を「本人だ」と誤って受け入れる割合。低いほどセキュリティが高い
- FRR（False Rejection Rate・本人拒否率） — 本人を「他人だ」と誤って拒否する割合。低いほど使い勝手が良い
この2つはトレードオフです。判定を厳しくすれば他人は弾けます（FAR↓）が、本人まで弾きやすくなります（FRR↑）。逆も同じ。両者が釣り合う点を EER（Equal Error Rate・等誤り率） と呼び、顔認証エンジンの総合力の目安に使われます。
前回の顔認証実装記事で使ったコサイン類似度の閾値
0.363は、まさにこの FAR/FRR のバランスを決めるツマミです。閾値を上げれば FAR↓・FRR↑、下げれば逆になります。
ライブネス検知の指標: APCER と BPCER
ライブネス検知（なりすまし判定）は「目の前の顔は、生体か偽物（写真・画面・マスク）か」を判定します。こちらの誤りも2種類です。
- APCER（Attack Presentation Classification Error Rate） — 攻撃（偽物）を「生体だ」と誤って受け入れる割合。低いほど攻撃に強い
- BPCER（Bona Fide Presentation Classification Error Rate） — 生体（本物）を「偽物だ」と誤って拒否する割合。低いほど本物のユーザーがストレスなく通れる
この用語は、生体認証の提示攻撃検知に関する国際規格 ISO/IEC 30107-3 で整理されている指標体系に沿ったものです。APCER と BPCER も FAR/FRR と同じくトレードオフの関係にあります。
FAR ↔ APCER : 「入れてはいけないものを入れてしまう」誤り（セキュリティ側）
FRR ↔ BPCER : 「通すべきものを止めてしまう」誤り（利便性側）
構造は同じ（セキュリティ誤り × 利便性誤り）ですが、FAR は「他人」を、APCER は「偽物」を対象にしている点が決定的に違います。他人と偽物はまったく別のものです。
なぜ両方が必要なのか
顔認証だけ、ライブネス検知だけでは認証システムは成立しません。両方を通ってはじめて「本人が・生体として・その場にいる」と言えます。
| 突破の型 | 防ぐ指標 |
|---|---|
| 他人が自分の顔で通ろうとする | 顔認証の FAR |
| 攻撃者が本人の写真で通ろうとする | ライブネス検知の APCER |
印刷写真攻撃は「本人の顔」を使うので顔認証の FAR では防げません（顔照合的には正しく本人だから）。ここを止められるのは APCER 側、つまりライブネス検知だけです。
数字を読むときの3つの注意
1. 片方だけの数字は意味がない
「APCER 0.01%」と書いてあっても、BPCER が併記されていなければ評価できません。判定を極端に厳しくすれば APCER はいくらでも下げられますが、その裏で BPCER（本物の拒否）が跳ね上がっているかもしれません。必ずペアで見ます。
2. 測定条件（PAI 種別・件数）とセットで読む
APCER は「どの攻撃を・何件試したか」で大きく変わります。印刷写真だけで測った APCER と、動画再生や3Dマスクまで含めた APCER は別物です。攻撃用具（PAI: Presentation Attack Instrument）の種別と件数が明示されていない数字は、参考値にとどめます。
3. 「準拠」と「参考」を区別する
ISO/IEC 30107-3 の指標体系を参考にした社内評価と、第三者認証機関（iBeta 等）による認定とは意味が違います。前者は自社測定、後者は外部のお墨付きです。製品ページの表現が「参考にした社内評価」なのか「認定取得」なのかを確認しましょう。当ブログの記事で当社の測定値に触れる場合も、ISO/IEC 30107-3 の指標体系を参考にした社内評価として提示しています。
まとめ
- FAR/FRR は顔認証（誰の顔か）、APCER/BPCER はライブネス検知（生体か偽物か）の指標。対象が「他人」と「偽物」で根本的に違う
- どちらも「セキュリティ誤り × 利便性誤り」のトレードオフ。片方だけの数字は無意味、必ずペアで読む
- APCER は測定条件（攻撃種別・件数）で大きく変わる。条件のない数字は参考値
- 「ISO準拠の社内評価」と「第三者認定」は別物として区別する
🛡 なりすまし対策をお探しの方へ
本ブログを運営するスワローインキュベートは、印刷写真・画面表示などのなりすましを単一フレームから判定するなりすまし判定SDK/API（CPU推論・オフライン動作可・C#/.NET 8 対応）を開発しています。精度は ISO/IEC 30107-3 の指標体系を参考にした社内評価で APCER・BPCER を測定条件とともに開示しています。
