JP2009503669A

JP2009503669A - アクセス

Info

Publication number: JP2009503669A
Application number: JP2008523434A
Authority: JP
Inventors: ラッセル・ピー・カウバーン; ジェームス・デイヴィッド・ラルフ・ブチャナン
Original assignee: インゲニア・テクノロジー・リミテッド
Priority date: 2005-07-27
Filing date: 2006-07-19
Publication date: 2009-01-29
Also published as: WO2007012814A3; DE602006004457D1; US20070028108A1; MY142408A; TW200731146A; ATE418766T1; RU2008107339A; EP1907986B1; WO2007012814A2; EP1907986A2

Abstract

データアクセスシステムを実現することができる。システムは、格納されているアクセストークン署名に関連付けられているデータレコードおよび署名生成器を備え、これは、アクセストークンをスキャンしてアクセストークンの署名を作成するように動作可能であり、署名はアクセストークンの固有特性に基づく。システムは、さらに、作成された署名と格納されている署名とを比較する比較器を備えることもできる。システムは、格納されている署名と作成された署名とが一致した場合にデータレコードを公開するように動作可能なものとすることができる。そのため、機密またはプライベートデータへの安全なアクセスは、データレコードにより記述される、またはデータレコード内に記述される関係する個人または企業に所有されるアクセストークンを使用して制御することができる。

Description

本発明は、アクセスに関するものであり、詳細には、本発明がこれに限定されるわけではないが、機密情報、例えば医療もしくは財務情報へのアクセスに関する信憑性検証技術に関するものである。

データが数多くのユーザー向けに中央に集中的に格納される多くのアプリケーションには、そのデータのプライバシーに対する不安がありうる。例えば、銀行は、顧客の一般的財務事情の詳細情報を記録する必要があり、医療機関は、患者の病歴の詳細情報を記録する必要があり、また会社は、従業員の詳細情報を記録する必要がある。このデータは、あまり規制されることなく企業で働いている人がアクセスできる場合が多く、このため、英国外を所在地とする銀行コールセンターから英国内の銀行顧客に関する財務情報の近年よく知られている漏洩などの問題が生じる。

これらのプライバシー問題および他のプライバシー問題のせいで、銀行または他の金融サービス機関が新しい顧客を獲得することが困難になっており、また重要な医療情報が必要以上に広く分散されることを恐れて患者がそのような情報の公表を差し控えるといった状況に至る可能性もある。

バイオメトリック署名を使用するデータパッケージ化技術については、Gershenfeld、Science 297 (5589):20026-2030、2002年9月20日で説明されている。これにより開示される技術は、特異性の非常に高い光学的に透明な三次元アクセストークンを使用する。
PCT/GB03/03917 英国特許第2 221 870号米国特許第6,584,214号 PCT/GB03/03938 Gershenfeld、Science 297 (5589):20026-2030、2002年9月20日 Kravolec「Plastic tag makes foolproof ID」、Technology research news、2002年10月2日

本発明は、少なくとも一部は、従来システムの問題点および欠点を考慮して製作された。

本発明は、少なくとも一部は、磁性材料で作られたトークンを使用する認証技術を適用することに関する発明者の研究成果から得られたもので、トークンの磁気応答に影響を及ぼす磁性材料中の再現できない欠陥により特異性が得られる(PCT/GB03/03917、Cowburn)。この研究の一部として、磁性材料がバーコード形式、つまり数本の平行なストリップとして加工された。磁気読み取り装置で磁界を掃引することによりこれらのストリップの固有磁気応答を読み取るだけでなく、オプティカルスキャナを組み込み、バーコード上をレーザービームでスキャンし、バーコードストリップとバーコードストリップが付けられている物品からの変化する反射のコントラストを使用することによりバーコードを読み取った。この情報は、磁気特性を補完するものであるが、それというのもバーコードは、例えば銀行券について上で説明されているようなよく知られている自己認証スキームの一種で固有磁気応答のデジタル署名を符号化するために使用されていたからである(例えば、Kravolec「Plastic tag makes foolproof ID」、Technology research news、2002年10月2日を参照)。

発明者が驚いたことに、このオプティカルスキャナを使用したときに、磁気チップを支えている紙背景材料が固有光応答をスキャナに与えることが発見された。さらに調査すると、さまざまな種類のボール紙およびプラスチックの表面など、他の多くの整えられていない表面は同じ効果を示すことがわかった。さらに、発明者により、固有の特性は、少なくとも一部はスペックルから生じるが、スペックルではないものの寄与も含むことが立証された。

こうして、特別に用意されたトークンを使用したり、他の方法で物品を特別に用意しなくても、スペックルベースの技術を全面的に活かすことが可能であることが判明している。特に、多くの種類の紙、ボール紙、およびプラスチックが、コヒーレント光ビームからの信号を散乱する固有特性をもたらすことがわかっており、固有デジタル署名は、ほとんどどのような紙の文書またはボール紙包装品からも得られる。

セキュリティデバイスに使用される上述の知られているスペックル読み取り装置は、レーザービームをトークン全体に照射し、結果として得られるスペックルパターンの有意な立体角部分をCCDで撮像し(例えば、英国特許第2 221 870号および米国特許第6,584,214号を参照)、それによりデータ点からなる大きな配列で構成されるトークンのスペックルパターン画像を得ることに基づいているように見える。

発明者が使用する読み取り装置は、この形では動作しない。その読み取り装置は、散乱されたレーザービームから4つの信号成分のみを集めるように角度に関して間隔をあけて並べられている4つの単一チャネル検出器(4つの単純なフォトトランジスタ)を使用する。レーザービームは、表面のごく小さな部分のみを覆うスポットに集束される。信号は、スポットが表面上でスキャンされるときに4つの単一チャネル検出器により表面上の異なる局在領域から集められる。したがって、物品からの特性応答は、物品表面上の異なる多数の(典型的には数百または数千の)局在領域からの独立した測定結果からなる。4つのフォトトランジスタが使用されるが、これらのフォトトランジスタのうちのただ1つから得られるデータのみを使用した分析から、固有特性応答をこの単一チャネルだけから求めることができる。しかし、4つのチャネルのうちの他のチャネルが応答に含まれる場合により高いセキュリティレベルが得られる。

第1の態様から見ると、本発明は、データアクセスシステムを実現している。システムは、格納されているアクセストークン署名に関連付けられているデータレコードおよび署名生成器を備え、これは、アクセストークンをスキャンしてアクセストークンの署名を作成するように動作可能であり、署名はアクセストークンの固有特性に基づく。システムは、さらに、作成された署名と格納されている署名とを比較する比較器を備えることもできる。システムは、格納されている署名と作成された署名とが一致した場合にデータレコードを公開するように動作可能なものとすることができる。そのため、機密またはプライベートのデータと考えられるデータなどのデータへの安全なアクセスは、データレコードが関係する個人または企業に所有されるアクセストークンを使用して制御することができる。データは、財務情報を記述するデータ、医療情報を記述するデータ、従業員情報を記述するデータ、および法律情報を記述するデータのうちの少なくとも1つとすることができる。

一実施形態では、アクセストークンに対する署名は、それぞれのデータレコードに対する唯一のアクセス方法を表す。そのため、システムのユーザーは、データが誰か他の人によるアクセスがしにくく、データプライバシーの不安が軽減されることを確信できる。いくつかの実施例では、失われたアクセストークン署名を置き換えられるシステムアドミニストレータアクセス、規制アクセスおよび/または調査(犯罪捜査のため指令できるようなもの)アクセスなどの追加のアクセス方法がある。そのため、ユーザーは、そのデータが特定の明確な目的がある場合以外アクセス不能であり、誤用されるか、またはそれらのデータが許可なくアクセスされる可能性は非常に低いことを確信できる。

いくつかの実施例では、一致するアクセストークンの署名なしでデータレコードを書き込むことができる。そこで、データを保持する企業が、指定された個人についてデータをデータレコードに加えることができるが、ユーザーのアクセストークンなしでそのデータに再アクセスすることはできない。

いくつかの実施形態では、作成された署名と格納されている署名との一致を判定して、同じアクセストークンが両方の署名を作成するために使用されたことを示す。したがって、データにアクセスする唯一の方法は、データベースに記録されている署名を作成するために使用されたのと同じアクセストークンを使用するものである。

一実施形態では、署名生成器は、書き込まれた資格トークンを受け取るように構成された読み取りボリュームと、コヒーレント光ビームを発生する光源と、コヒーレント光ビームが読み取りボリュームから散乱したときに得られる信号からデータ点の集合を集め、データ点の異なる点は読み取りボリュームの異なる部分からの散乱に関係する、検出器構成と、データ点の集合から書き込まれた資格トークンの署名を決定するように動作可能なデータ収集および処理モジュールとを備える。

いくつかの実施例では、アクセストークンは任意のアイテムとすることができ、これは、そのユーザーが選択することができる。したがって、トークンは、データにアクセスすることを目的として発行されるトークンでなくてもよく、実際、データベース内に保持されているデータと目に見える接続関係を持たないアイテムとすることができる。

いくつかの実施例では、比較器は、生成された署名を連続する隣接データの複数のブロックに分割し、それぞれのブロックと格納されている署名のうちのいくつかの署名のそれぞれのブロックとについて比較演算を実行し、その比較結果の属性を比較の予想属性と比較して、検証結果を決定する際に使用する補正値を決定し、アクセストークンへのダメージおよび/または署名作成における非線形性を補正するように動作可能である。

いくつかの実施例では、署名は、例えば、アクセス鍵(加えられた誤り訂正符号を含む)と署名とのビット毎のXORを使用してアクセス鍵をパッケージ化するために使用することができる。アクセス鍵は、受け取ったデータと署名とのXORを取ることによりデータベースから取り出すことができる。これは、誤り訂正符号とともにアクセス鍵を返す。次いで、誤り訂正符号は、例えば、アクセストークンの署名同士の間の非同一性により、ラッピングおよびアンラッピング手順により生じた誤りを取り消すために適用することができる。そこで、アクセス鍵を復元して使用し、データベース内のデータレコードにアクセスすることができる。

第2の態様から見ると、本発明は、データレコードにアクセスするための方法を実現している。この方法は、アクセストークンをスキャンして、アクセストークンに対する、アクセストークンの固有特性に基づく署名を作成することと、その署名と、それぞれデータレコードが関連付けられている格納された署名のデータベースとを比較することを含むことができる。さらに、この方法は、さらに、前記作成された署名と格納された署名とが一致した場合、所定の格納された署名に関連付けられているデータレコードへのアクセス権を与えることを含むこともできる。そのため、データレコードに格納されたデータは、データレコードストアまたはデータベースからデータレコードを抽出する検索クエリを形成するアクセストークンを使用することにより無許可アクセスから保護することができる。データは、機密またはプライベートと考えられるデータとすることができ、また財務情報を記述するデータ、医療情報を記述するデータ、従業員情報を記述するデータ、および法律情報を記述するデータのうちの1つまたは複数を含むことができる。

検出器構成が単一検出器チャネルのみからなる場合に動作可能な読み取り装置を作ることが可能である。他の実施形態では、角度に関して分散され、読み取りボリュームのそれぞれの異なる部分に対するデータ点のグループを集めるように動作可能な検出器のグループ、好ましくは少数の検出器要素の小さなグループを含む検出器構成を使用する。署名が同じグループのデータ点同士の比較からの寄与分を組み込む場合、セキュリティが増強される。比較は、好都合にも、相互相関を伴いうる。

実用となる読み取り装置は、ただ1つの検出器チャネルで作ることができるが、好ましくは、少なくとも2つのチャネルがある。これにより、作られる検出器信号同士の間の相互相関を求めることができ、これは、署名を決定することに関連する信号処理に有用である。2から10の検出器チャネルが、大半の用途に適すると考えられるが、今のところ、2から4が、装置の単純さとセキュリティとの最適なバランスをもたらすと考えられている。

検出器要素は、読み取りボリュームと交差する平面内に置かれるように配列されると都合がよく、対のそれぞれのメンバーはコヒーレント光軸から見て平面内に角度に関して分散され、好ましくは1つまたは複数の検出器要素がビーム軸のいずれかの側にある。しかし、非平面検出器構成も許容できる。

異なる検出器から得られた信号の相互相関を使用すると、セキュリティレベルを高め、さらに時間をかければ署名をより確実に再現できる価値あるデータが得られることがわかった。相互相関の有用性は、科学的視点からはいくぶん驚くべきことであるが、それというのも、スペックルパターンが本質的に無相関であるからである(パターン内の対向点からの信号を除く)。言い換えると、スペックルパターンについて、異なる検出器からの信号の間の相互相関は、定義から、検出器が励起位置と交差する共通平面内の励起位置からオフセットされた等しい大きさの角度で配列されない限りゼロとなる。したがって、相互相関の寄与分を使用した場合の値は、散乱信号の重要な部分がスペックルでないことを示している。非スペックル寄与分は、直接散乱の結果、または紙繊維のねじれなどの複雑な表面からの散漫散乱寄与分であるとみなすことも可能であろう。今のところ、スペックルと非スペックルの散乱信号寄与分の相対的重要度は明確でない。しかし、今までに行われた実験から、検出器は、純粋なスペックルパターンを測定しないが、スペックルおよび非スペックル成分を含むコンポジット信号を測定することは明らかである。

相互相関成分を署名の中に組み込むことも、セキュリティを改善するうえで有益なことである。これは、高解像度印刷を使用して、本物の物品の表面上にコントラスト変化を再現する物品を作ることが可能であっても、これは、本物の物品をスキャンすることにより得られる相互相関係数を一致させることはできない。

一実施形態では、検出器チャネルは、単純なフォトトランジスタの形態の検出器ディスクリートコンポーネントで構成される。PINダイオードまたはフォトダイオードなどの他の単純なディスクリートコンポーネントを使用することも可能であろう。検出器アレイなどの集積検出器コンポーネントも使用可能であるが、この場合、コストが増大し、デバイスの複雑度も増す。

スキャンされる物品上のレーザービームの照射角度を修正する最初の実験から、物品が測定と測定のとの間に劣化しても、ほとんど変更なしで同じ表面から繰り返し測定できる特性を得るために、レーザービームがスキャンされる表面に対しほぼ法線方向で入射することが実際に好ましいように思われる。少なくともいくつかの知られている読み取り装置は、斜行入射を使用する(英国特許第2 221 870号を参照)。いったん評価されると、この効果は、明らかなように思われるが、英国特許第2 221 870号のものを含むいくつかの従来技術のスペックル読み取り装置および実際には発明者が製作した第1のプロトタイプ読み取り装置の設計から明らかなようにはっきりとすぐには明白なことではない。斜行入射を使用する発明者の第1のプロトタイプ読み取り装置は、実験条件の下では妥当な範囲でうまく機能したが、物品として使用された紙の劣化に対して極めて敏感であった。例えば、紙を指で擦るだけで、再測定時に著しい違いが見られた。第2のプロトタイプ読み取り装置では、法線入射を使用したが、日常的な取り扱いによる紙の劣化に対し、またレーザープリンタなどのさまざまな種類のプリンタに通す、コピー機に通す、書く、プリントする、オーブンで故意に焼く、および押しつぶして平たくするなどのより重大な事象に対しも堅牢であることがわかった。

したがって、コヒーレント光ビームを読み取りボリュームに当てて近法線入射で物品に当たるように光源を取り付けると都合がよい。近法線入射とは、±5、10、または20度のことである。それとは別に、ビームは、物品上に斜行入射するような向きに付けることができる。これは、通常、ビームで物品をスキャンする場合に悪影響をもたらす。

また、詳細な説明で述べた読み取り装置において、検出器構成は、読み取りボリュームから後方散乱された放射線を検出するような反射構成である。しかし、物品が透明である場合、検出器は、透過する形で構成することも可能である。

署名生成器は、すでに記録されている署名のデータベースにアクセスし、データベースが読み取りボリューム中に置かれている物品の署名との一致を含むかどうかを判定するための比較を実行するように動作可能である。データベースは、読み取り装置の一部をなす大容量記憶装置デバイスの一部でもよいが、リモートロケーションに置かれ、遠隔通信リンクを介して読み取り装置によりアクセスされることもできる。遠隔通信リンクは、無線および固定リンクを含む、従来の形態を取ることができ、またインターネット上で利用可能なものとすることができる。データ収集および処理モジュールは、少なくともいくつかの動作モードで、一致が見つからない場合に署名をデータベースに追加できるように動作可能なものとすることができる。

データベースを使用する場合、署名を格納することに加えて、データベース中のその署名を文書のスキャンコピー、パスポート所持者の写真、製品の製造場所および製造時刻に関する詳細、または販売可能商品の意図された販売先に関する詳細などの物品に関する他の情報に(例えば、怪しい輸入品を調べるために)関連付けることも有益である。

本発明は、紙、ボール紙、およびプラスチックなどの、さまざまな異なる種類の材料から作られた物品の識別を可能にする。

固有構造は、物品はその製造故に本質的に持つ構造を意味し、これにより、物品に組み込まれたトークンまたは人工繊維によりもたらされる構造などセキュリティ目的で特に実現される上部構造を区別する。

紙またはボール紙は、木材パルプまたは同等の繊維加工で作られた物品を意味する。紙またはボール紙は、コーティングまたは含浸処理されるか、またはセロファンなどの透明な材料で覆うことができる。表面の長期安定性が格別の問題である場合、例えば、紙は、アクリルスプレー式透明コーティングで処理することができる。

したがって、データ点は、コヒーレントビームによる照射の位置の関数として集めることができる。これは、局在性コヒーレントビームで物品をスキャンするか、または指向性検出器を使用して物品の異なる部分からの散乱光を集光するか、またはその両方の組合せにより達成することができる。

署名は、ほとんどの用途においてデジタル署名であると考えられる。現在の技術によるデジタル署名の典型的なサイズは、200ビットから8kビットまでの範囲であり、今のところ、セキュリティを高めるために約2kビットのデジタル署名サイズとすることが好ましい。

本発明の他の実装は、データベース内にデジタル署名を格納することなく実行することができるが、むしろ、署名から導き出されたラベルで資格トークンにラベル付けすることにより実行することができ、ラベルは、機械読み取り可能符号化プロトコルに準拠する。

本発明の具体的な実施形態は、添付の図面を参照しつつ例示目的のみのために説明される。

本発明は、さまざまな修正および代替形態により異なるが、特定の実施形態は、図面の実施例で示され、ここで詳細に説明される。しかし、図面およびその詳細説明は、本発明を開示されている特定の形態に限定することを意図していないが、それどころか、本発明は、付属の請求項により定められているような本発明の範囲内に収まるすべての修正形態、等価形態、および代替形態を対象とする。

電子商取引環境などの環境におけるセキュリティおよび権限付与サービスを提供する場合、物理的アイテムを一意に識別するシステムを使用することで、詐欺に遭う可能性を低減し、プロバイダとエンドユーザーの両方のために電子商取引システムの実際の信頼性および認知された信頼性の両方を高めることができる。

このようなアイテム識別を実行するのに適しているシステムのいくつかの実施例について、図1から11を参照しつつ説明する。

図1は、読み取り装置1の第1の実施例の側面略図を示す。光学式読み取り装置1は、装置の読み取りボリューム内に配列された物品(図に示されていない)から署名を測定するものである。読み取りボリュームは、筐体12内のスリットである読み取り開口10により形成される。筐体12は、装置の主要光学コンポーネントを収納する。スリットは、x方向に大きな広がりを持つ(図面内の差し込み軸を参照)。主光学コンポーネントは、コヒーレントレーザービーム15を発生するためのレーザー光源14およびこの実施例では、k=4として、16a、16b、16c、および16dというラベルが付けられた複数のk個の光検出器要素からなる検出器構成16である。レーザービーム15は、円柱レンズ18により、y方向に伸び(図面の平面に対し垂直)、読み取り開口の平面内に置かれている細長い焦点に集束される。一実施例の読み取り装置では、細長い焦点は、寸法約2mmの長軸および寸法約40マイクロメートルの短軸を有する。これらの光学コンポーネントは、サブアセンブリ20に収納される。本実施例では、4つの検出器要素16a...dは、読み取りボリューム内に存在する物品から反射された散乱光を集光するためにビーム軸から互いに絡み合う構成において異なる角度でオフセットされたビーム軸のいずれかの側に分配される。本発明の実施例では、オフセット角は、-70、-20、+30、および+50度である。ビーム軸のいずれかの側の角度は、集められるデータ点ができる限り独立したものとなるように等しくならないように選択される。4つの検出器要素はすべて、共通平面内に配列される。光検出器要素16a...dは、コヒーレントビームが読み取りボリュームから散乱したときに筐体上に配置されている物品から散乱された光を検出する。例示されているように、光源は、z方向にビーム軸を持つレーザービーム15を方向付けるように取り付けられ、ビームは法線入射で読み取り開口内の物品に当たる。

一般に、焦点深度は大きく、z方向に位置する物品に差がある結果、読み取り開口の平面内のビームのサイズが著しく変化しないことが望ましい。本発明の実施例では、焦点深度は、約0.5mmであり、スキャナに相対的な物品の位置がある程度制御できるよい結果を得るために十分に大きい値である。焦点深度、開口数、および作動距離のパラメータは、相互に依存しており、その結果、スポットサイズと焦点深度との間によく知られているトレードオフの関係が生じる。

駆動モーター22は、矢印26により示されているように、好適なベアリング24または他の手段を介して、光学系サブアセンブリ20の直線運動を行うように筐体12内に配置される。そのため、駆動モーター22は、読み取り開口10上でコヒーレントビームを直線的にx方向に移動し、ビーム15を細長い焦点の長軸を横断する方向でスキャンするために使用される。コヒーレントビーム15は、コヒーレントビームの法線方向の平面内、つまり読み取り開口が設定される筐体壁の平面内の読み取りボリュームの射影よりもかなり小さいxz平面(図面の平面)内に断面を有するようにその焦点において寸法が決められるため、駆動モーター22のスキャンは、コヒーレントビーム15を発生させ、駆動モーター22の動作の下で読み取りボリュームの多くの異なる部分をサンプリングする。

図2は、このサンプリングを例示するために用意されており、また細長いビームでスキャンすることにより読み取り領域がn回どのようにサンプリングされるかを示す斜視略図である。駆動動作の下で読み取り開口にそってスキャンされるときの集束レーザービームのサンプリング位置は、長さ「l」および幅「w」の領域をサンプリングする1からnまでの番号が振られた隣接する矩形により表される。データ収集は、スリットにそって駆動がスキャンされるときにn個の位置のそれぞれにおいて信号を収集するようになされる。その結果、k×n個のデータ点の列が集められ、これは読み取りボリュームのn個の異なる例示されている部分からの散乱に関係する。

また、略図として示されているのが、x方向、つまりスキャン方向にそってスリット10に隣接する筐体12の下側に形成されたオプションの距離マーク28である。x方向のマークの間の例示的な間隔は、300マイクロメートルである。これらのマークは、細長い焦点のテールによりサンプリングされ、x方向のデータの線形化を規定するが、ただし、以下でさらに詳しく説明するように、そのような線形化が必要な状況において行われる。測定は、スリットに隣接するマーク28の領域から集光するように構成された指向性検出器である追加のフォトトランジスタ19により実行される。

他の実施例では、マーク28は、光学系サブアセンブリ20の一部である専用符号器エミッタ/検出器モジュール19により読み取られることができる。符号器エミッタ/検出器モジュールは、バーコード読み取り装置内で使用される。一実施例では、集束発光ダイオード(LED)および光検出器に基づくAgilent HEDS-1500モジュールを使用することができる。モジュール信号は、付加的検出器チャネルとしてPIC ADC内に供給される(以下の図3の説明を参照)。

例示的な焦点の小さいほうの寸法が40マイクロメートルで、x方向のスキャン長が2cm、n=500であるとし、k=4で2000個のデータ点が与えられるとする。所望のセキュリティレベル、物品の種類、検出器チャネルの個数「k」、および他の係数に依存するk×nに対する値の典型的な範囲は、100<k×n<10,000であると予想される。また、検出器の個数kを増やした場合も、取り扱い、印刷などによる物品の表面劣化に対する測定の影響の受けにくさが改善することが判明している。実際、これまでに使用されたプロトタイプでは、経験則により、独立データ点の総数、つまりk×nは、さまざまな表面で許容可能な高いセキュリティレベルを得るために500またはそれ以上とすべきであることがわかる。他の最小値(より高いまたはより低い)も適用することができ、この場合、スキャナは、特定の1つの表面タイプまたは表面タイプのグループで使用することが意図されている。

図3は、読み取り装置の機能コンポーネントのブロック略図である。モーター22は、電気的リンク23を通じてプログラム可能割り込みコントローラ(PIC)30に接続される。検出器モジュール16の検出器16a...dは、それぞれの電気的接続線17a...dを通じてPIC 30の一部であるアナログ-デジタル変換器(ADC)に接続される。類似の電気的接続線21は、マーカー読み取り検出器19をPIC 30に接続する。電気的リンクの代わりに、または電気的リンクを組み合わせて、光リンクまたは無線リンクを使用することができることは理解されるであろう。PIC 30は、データ接続32を通じてパーソナルコンピュータ(PC)34とインターフェイスする。PC 34は、デスクトップまたはラップトップとすることができる。PCの代わりに、他のインテリジェント型デバイス、例えば、パーソナルデジタルアシスタント(PDA)または専用電子回路ユニットを使用することができる。PIC 30およびPC 34は、全体として、検出器16a...dにより集められたデータ点の集合から物品の署名を決定するためのデータ収集および処理モジュール36を形成する。

いくつかの実施例では、PC 34は、インターフェイス接続38を介してデータベース(dB)40にアクセスすることができる。データベース40は、PC 34上のメモリに常駐するか、または駆動装置に格納されるようにできる。それとは別に、データベース40は、PC 34からリモートにあってもよく、例えば、インターネットと組み合わせて携帯電話サービスまたは無線ローカルエリアネットワーク(LAN)を使用して無線通信によりアクセスできる。さらに、データベース40は、PC 34のローカルに格納することができるが、リモートソースから定期的にダウンロードすることができる。データベースは、リモートにある企業により管理することができ、この企業は、データベース全体の一部のみへのアクセス権を特定のPC 34に与えることができ、および/またはセキュリティポリシーに基づいてデータベースへのアクセスを制限することができる。

データベース40は、すでに記録されている署名のライブラリを含むことができる。PC 34は、使用時にデータベース40にアクセスし、データベース40が読み取りボリューム中に置かれている物品の署名との一致を含むかどうかを判定するための比較を実行するようにプログラムすることができる。PC 34は、さらに、一致が見つからない場合に署名をデータベースに追加するようにプログラムすることもできる。

PCとデータベースとの間のデータフローの取扱方法は、PCの位置およびPCのオペレータとデータベースのオペレータとの関係に依存しうる。例えば、PCおよび読み取り装置が、物品の信憑性を確認するために使用される場合、PCは、新しい物品をデータベースに追加できる必要はなく、実際、データベースに直接アクセスすることはできず、代わりに、比較のため署名をデータベースに供給することができる。この構成では、データベースは、信憑性結果をPCに供給して、物品が本物であるかどうかを示すことができる。その一方で、PCおよび読み取り装置がデータベース内のアイテムの記録または検証を行うために使用される場合、署名をデータベースに送り、その中に格納することができ、比較は必要ない。しかし、このような状況において、単一のアイテムがデータベースに2回入力されるのを避けるため、比較を実行することが可能であろう。

図4は、外形を示す読み取り装置1の斜視図である。筐体12およびスリット形状読み取り開口10は、明らかである。物理的配置補助42も明白であり、読み取り開口10に関して固定された位置で所定の形態の物品を位置決めするために用意される。本発明の実施例では、物理的配置補助42は、文書または包装箱の隅を配置できる直角のブラケットの形態である。これにより、物品をスキャンする必要がある場合に必ず物品の同じ部分を読み取り開口10内に位置決めすることができる。用紙、パスポート、IDカード、および包装箱など、隅がきちんと決められている物品に対し、単純な角ブラケットまたは同等のもので十分である。他の形状の位置ガイドを用意し、CDおよびDVDを含む円形状のアイテム、または円柱状の包装容器などの湾曲面を持つアイテムなど、異なる形状のアイテムを受け入れることも可能である。ただ1つのサイズおよび形状のアイテムがスキャンされる場合、そのアイテムを受け入れるためのスロットを備えることができる。

そのため、物品の信憑性をリモートで検証するためのセキュリティメカニズムで使用するのに好適なスキャンおよび署名生成装置の一実施例について説明されている。このようなシステムは、複数の場所で物品をスキャンできるように、また物品が両方の場合において同じ物品であることを確認するためにチェックを実行できるように、また物品が最初のスキャンとその後のスキャンとの間で改ざんされていないことを確認するために任意にチェックを実行できるように配備することができる。

図5は、物品配置が一貫したものとなるようにドキュメントフィーダが供えられた読み取り装置に対する他の物理的構成の一実施例を示す。この実施例では、筐体60が備えられ、これに物品送りトレイ61が取り付けられている。トレイ61は、読み取り装置によりスキャンできるように1つまたは複数の物品62を保持することができる。モーターは、フィードローラー64を駆動し、物品62をデバイスに通し、上述のような光学系サブアセンブリ20のスキャン開口上に運ぶことができる。そのため、物品62は、光学系サブアセンブリと物品との間の相対運動が物品の移動により生じるように上述の方法で光学系サブアセンブリ20によりスキャンすることができる。このようなシステムを使用することで、スキャンされたアイテムの運動は、距離マークの使用と線形化処理が不要になるよう十分な線形性を持つモーターを使用して制御することができる。装置は、文書スキャナ、コピー機、または文書管理システム用の従来のフォーマットに従うことが可能である。このようなスキャナは、単票紙を取り扱うとともに、または単票紙を取り扱う代わりに、連続紙(複数の用紙が、例えば、穿孔継ぎ目でいっしょにつながっている)を取り扱うように構成することができる。

そのため、オートフィーダタイプのデバイスで物品をスキャンするのに好適な装置が説明されている。フィード機構の物理的構成に応じて、スキャナは、1つまたは複数の単一材料シート、つながった材料シート、または包装箱などの三次元アイテムをスキャンすることができる。

図6は、読み取り装置のさらに他の物理的構成のいくつかの実施例を示している。この実施例では、物品は、ユーザーにより読み取り装置内に通される。図6Aに示されているように、読み取り装置筐体70は、スキャンのため物品を挿入するスロット71を備えることができる。光学系サブアセンブリ20は、スロットを通る物品62をスキャンできるようにスロット71内に導かれるスキャン開口を備えることができる。さらに、ガイド要素72をスロット71内に備え、物品を光学系サブアセンブリ20から正しい焦点距離にガイドするのを補助し、および/またはスロットを通る物品の速度を一定に保つことができる。

図6Bに示されているように、読み取り装置は、矢印によって示されているように、縦方向スロットにそって筐体70内を移動するときに物品をスキャンするように構成することができる。それとは別に、図6Cに示されているように、読み取り装置は、矢印によって示されているように、読み取り装置筐体70内に伸びているスロットに挿入されるか、またはそこから取り出されるときに物品をスキャンするように構成することができる。このタイプのスキャナは、カード、プラスチック、または金属シートなどの少なくとも部分的に剛性のある物品をスキャンするのに特に適していると思われる。このようなシートは、例えば、クレジットカードまたは他の銀行カードなどのプラスチックアイテムであってよい。

そこで、物品のスキャンを手動で開始する構成が説明されている。これは、銀行カードおよび/またはクレジットカードをスキャンする場合に使用することが可能である。これにより、カードを、そのカードが使用するために提示される端末のところでスキャンすることが可能であり、そのカードから取り出した署名をそのカードの格納されている署名と比較し、そのカードの信憑性および改ざんされていないことをチェックすることが可能である。このようなデバイスは、例えば、軍隊式の金属製IDタグを読み取る状況でも使用することが可能である(これらのタグは、アレルギー患者が携えることも多く、これにより他の人にアレルギーであることを知らせる)。これを使用することで、患者を治療する医療従事者は、治療されている患者が実際にそのタグの正しい保有者であることを確認できる。同様に、災害状況において、回収されたタグをスキャンして、信憑性を調べ、家族および/または同僚に知らせる前に災害が正しく識別されるようにすることが可能である。

上述の実施例は、局所的励起領域を含むかなり広い領域にわたって散乱された光信号を受け入れる検出器と組み合わせた断面積の小さいコヒーレント光ビームによる局在励起に基づく。かなり広い領域の励起と組み合わせて局在領域からのみ集光する指向性検出器に代わりに基づく機能的に同等の光学系を設計することが可能である。

図7Aは、コヒーレントビームによる指向性集光および全面照射に基づく読み取り装置のそのような結像構成を示す側面略図である。アレイ検出器48は、円柱状マイクロレンズアレイ46と組み合わせて配列され、これにより、検出器アレイ48の隣接するストリップは、読み取りボリューム内の対応する隣接ストリップからのみ集光する。図2を参照すると、それぞれの円柱状マイクロレンズは、n個のサンプリングストリップのうちの1つから光信号を収集するように配列される。次いで、読み取りボリューム全体(図には示されていない)の全面照射でコヒーレント照射を行うことができる。

局在励起と局在検出とを組み合わせたハイブリッドシステムも、場合によっては有用である。

図7Bは、指向性検出器が細長いビームによる局在照射と組み合わせて使用される読み取り装置に対するそのようなハイブリッド結像構成の光学系設置面積を示す平面略図である。この実施例は、指向性検出器が備えられている図1の実施例の発展であると考えられる。この実施例では、指向性検出器の3つのバンクが備えられ、それぞれのバンクは「l×w」の励起ストリップにそった異なる部分から集光することを目的としている。読み取りボリュームの平面からの集光領域は、点線の円で示されており、例えば2つの検出器の第1のバンクは、励起ストリップの上側部分から光信号を集め、検出器の第2のバンクは、励起ストリップの真ん中部分から光信号を集め、検出器の第3のバンクは、励起ストリップの下側部分から光信号を集める。検出器のそれぞれのバンクは、直径約l/mの円形集光領域を持つように示されており、ただし、mは、励起ストリップの細分数であり、本発明の実施例ではm=3である。この方法で、独立のデータ点の個数は、与えられたスキャン長lに対し係数mだけ増やすことができる。以下でさらに説明されるように、指向性検出器の異なるバンクのうちの1つまたは複数を、スペックルパターンをサンプリングする光信号を集める以外の目的に使用することができる。例えば、これらのバンクのうちの1つを使用して、バーコードスキャンに対し最適化された方法で光信号を集めることができる。これがその場合であれば、そのバンクがただ1つの検出器を収めているだけで一般的には十分であるが、それというのも、対照のためスキャンするだけの場合には相互相関を求めることにメリットはないからである。

さまざまな読み取り装置の主構造コンポーネントおよび機能コンポーネントについて説明したが、次に署名を決定するために使用される数値処理について説明する。この数値処理は、いくつかの要素がPIC 30に従属するPC 34上で実行されるコンピュータプログラムの大半に対し実装することができる。他の実施例では、数値処理は、ハードウェアまたはファームウェアで1つまたは複数の専用数値処理デバイスにより実行することが可能である。

図8Aは、画像が約0.5×0.2mmの面積を覆う紙表面の顕微鏡画像を示す図である。この図は、紙など、肉眼で見て平坦な表面が多くの場合、顕微鏡スケールでは非常に高く構造化されていることを示すために含まれている。紙の場合、表面が紙を構成する木材または他の繊維の互いに絡み合う網の結果として顕微鏡的に高く構造化されている。この図は、さらに、約10ミクロンの木材繊維に対する特性長スケールも例示している。この寸法は、本発明の実施例のコヒーレントビームの光波長と正しい関係を有し、回折およびしたがってスペックルを引き起こし、また繊維の向きに依存するプロファイルを有する散漫散乱を引き起こす。したがって、読み取り装置が特定の商品クラスに合わせて設計される場合、スキャンされる商品のクラスの構造特徴サイズに合わせてレーザーの波長を修正することができることは理解されるであろう。また、それぞれの紙片の局所的表面構造が、個々の木材繊維がどのように配列されるかに依存するという点で独特であることは明白である。そのため、紙片は、自然の法則に従うプロセスにより作られた結果として独自の構造を有するという点で、従来技術の特別な樹脂トークンまたは磁気材料堆積などの専用の作られたトークンと決して異ならない。同じことが、他の多くの種類の物品にも当てはまる。

図8Bは、プラスチック表面に対する同等の画像を示している。この原子間力顕微鏡画像は、明らかに、肉眼で見て滑らかなプラスチック表面が凸凹していることを示している。図から推察できるように、この表面は、図8Aに例示されている紙表面よりも滑らかであるが、このレベルの表面起伏でも、本発明の実施例の署名生成スキームを使用して一意に識別することができる。

言い換えると、一意的な特性がさまざまな日常品から直接的な形で測定可能である場合に、専用のトークンを製作する労力と費用に進むのは本質的に無意味であると思われる。物品の表面(または透過の場合には内部)の本来の構造を利用する散乱信号のデータ収集および数値処理について説明する。

図9Aは、図1の読み取り装置の光検出器16a...dのうちの単一の1つの検出器から得られる生データを示している。そのグラフは、点数nに対する任意の単位(a,u,)における信号強度Iを示すものである(図2を参照)。I=0〜250と高いトレース変動は、光検出器16aから得られた生信号データである。低いトレースは、約I=50であるマーカー28(図2を参照)からピックアップした符号器信号である。

図9Bは、符号器信号による線形化の後の図10Aの光検出器データを示している(注意:x軸は図10Aと異なるスケールとなっているが、これは重要でない)。上記のように、スキャナに相対的な物品の移動が十分に直線的である場合、位置合わせマークに関して線形化を使用する必要はないと思われる。それに加えて、強度の平均が計算され、強度値から差し引かれている。そのため、処理されたデータ値は、0を中心として変動する。

図9Cは、デジタイズした後の図9Bのデータを示している。採用されているデジタイズスキームは、単純な2進値スキームであり、任意の正の強度値は、値1に設定され、負の強度値は0に設定される。代わりに複数状態デジタイズを使用するか、または他の多くの可能なデジタイズアプローチのうちの1つを使用することが可能であることは理解されるであろう。デジタイズの主な重要特徴は、単に、同じデジタイズスキームが一貫して適用されるということだけである。

図10は、物品の署名がスキャンからどのように生成されるかを示す流れ図である。

ステップS1は、光検出器のそれぞれにおける光強度がスキャンの全長にわたって約1ms毎に取得されるデータ収集ステップである。それと同時に、符号器信号は、時間の関数として取得される。スキャンモーターが非常に高い線形化精度(例えば、ステッパーモーターのように)を有する場合、データの線形化は必要ないと思われる。データは、ADC 31からデータを取り出すPIC 30により取得される。データ点は、PIC 30からPC 40にリアルタイムで転送される。それとは別に、データ点は、PIC 30のメモリに格納し、次いで、スキャンの終了時にPC 34に受け渡すことが可能である。それぞれのスキャンで集められる検出器チャネル1つ当たりのデータ点の個数nは、以下においてNとして定義される。さらに、値a_k(i)は、光検出器kからのi番目の格納されている強度値として定義され、iは、1からNまでの値を取る。このようなスキャンから得られた2つの生データ集合の実施例は、図9Aに例示されている。

ステップS2では、数値補間法を使用して、符号器遷移が均等な時間間隔で並ぶようにa_k(i)を局所的に拡大、縮小する。これは、モーター速度の局所的変動の補正を行う。このステップは、コンピュータプログラムによりPC 34で実行できる。

ステップS3は、オプションのステップである。実行されると、このステップでは、データに対し時間に関する数値微分を行う。弱平滑化関数をデータに適用することも望ましい場合がある。微分は、構造化の高い表面に対し有用であり、相関のある(スペックル)寄与分に関する信号から無相関の寄与分を減衰させるために使用される。

ステップS4は、光検出器毎に、記録された信号の平均がN個のデータ点について取られるステップである。それぞれの光検出器について、データが強度0を中心に分布するようにすべてのデータ点からこの平均値が差し引かれる。図9Bを参照すると、線形化および計算された平均の減算の後のスキャンデータ集合の実施例を示している。

ステップS5では、アナログ光検出器データをデジタイズして、スキャンを代表するデジタル署名を計算する。デジタル署名は、規則「a_k(i)>0は2進値「1」にマップされる」、および「a_k(i)≦0は2進値「0」にマップされる」を適用することにより得られる。デジタイズされたデータ集合は、d_k(i)として定義されるが、ただし、iは1からNまでの値を取る。物品の署名は、説明したばかりの強度データのデジタイズされた署名に加えて他のコンポーネントも含むことができる。次に、これらの他のオプションの署名コンポーネントについて説明する。

ステップS6は、小さな「サムネイル」デジタル署名が作成されるオプションのステップである。これは、m個の読み取り値の隣接するグループをまとめて平均するか、またはより好ましくは、cをサムネイルの圧縮係数としてc番目毎のデータ点をピックアップすることにより行われる。後者は、平均が雑音を過剰に増幅する可能性があるため好ましい。次いで、ステップS5で使用されるものと同じデジタイズ規則を縮小データ集合に適用する。サムネイルデジタイズは、iを1からN/cまでの値を取るものとしてt_k(i)として定義され、cは、圧縮係数である。

ステップS7は、複数の検出器チャネルが存在する場合に適用可能なオプションのステップである。追加のコンポーネントは、複数の光検出器のうちの異なる光検出器から得られた強度データの間の計算された相互相関コンポーネントである。チャネルが2つの場合、可能な相互相関係数は1つ、チャネルが3つの場合、最大3つまで、チャネルが4つの場合、最大6つまでなどとなる。相互相関係数は、材料タイプのよい指標となることが判明しているため有用である。例えば、所定のタイプのパスポートなどの特定のタイプの文書、またはレーザープリンタ用紙では、相互相関係数は、常に、予測可能な範囲内に収まるように見える。正規化された相互相関は、a_k(i)とa_l(i)との間で計算することができるが、ただし、k≠lであり、k,lは、光検出器チャネルの個数すべてにわたって変化する。正規化された相互相関関数Γは、

として定義される。

後で検証する際に使用するために格納することができる相互相関関数の他の態様は、相互相関関数のピークの幅、例えば、半値全幅(FWHM)である。検証処理において相互相関係数を使用することについて、以下で詳述する。

ステップS8は、信号強度分布を示す単純な強度平均値を計算するもう1つのオプションのステップである。これは、a_k(i)の二乗平均平方根(rms)値などの、異なる検出器に対する平均値のそれぞれの全平均またはそれぞれの検出器に対する平均としてよい。検出器が上述の読み取り装置のような法線入射のいずれかの側で対として構成される場合、検出器のそれぞれの対に対する平均を使用することができる。強度値は、サンプルの全体的な反射率および粗さの単純な指標であるため、材料タイプに対するよい粗フィルタとなっていることが判明している。例えば、強度値として、平均値を取り除いた後の非正規化rms値、つまり、DCバックグラウンドを使用できる。

物品をスキャンすることで得られた署名データを、検証を目的として署名データベース内に保持されているレコードと突き合わせて比較し、および/またはデータベースに書き込んで、署名の新しいレコードを追加して既存のデータベースを拡張することができる。

新しいデータベースレコードは、ステップS5で得られたデジタル署名を含む。これは、それぞれの光検出器チャネルに対しステップS6で得られたより小さなサムネイルバージョン、ステップS7で得られた相互相関係数、およびステップS8で得られた(複数の)平均値のうちの1つまたは複数で適宜補うことができる。それとは別に、これらのサムネイルは、高速検索用に独自に最適化された別のデータベース上に格納することもでき、データの残り(サムネイルを含む)を主データベース上に格納することができる。

図11は、スキャンから得られた物品の署名が署名データベースと突き合わせてどのように検証できるかを示す流れ図である。

単純な実装では、データベースを単に検索し、フルセットの署名データに基づいて一致を見つけることができる。しかし、検証プロセスをスピードアップするために、このプロセスでは、次に説明する計算で求めた平均値および相互相関係数に基づいてより小さなサムネイルおよび事前選別を使用することができる。

検証ステップV1は、検証プロセスの第1のステップであり、これは、上述のプロセスに従って物品をスキャンする、つまりスキャンステップS1からS8を実行する。

検証ステップV2では、サムネイルエントリのそれぞれを取り、それとt_k(i+j)との間の一致するビットの個数を評価するが、ただし、jは、スキャンされた領域の配置の誤差を補正するように変化するビットオフセットである。jの値が決定され、次いで、一致するビットの最大数を与えるサムネイルエントリが得られる。これは、さらに処理するために使用される「ヒット」である。

検証ステップV3は、スキャンされたデジタル署名と突き合わせてレコードに対する格納されている完全デジタル署名を分析する前に実行されるオプションの事前選別テストである。この事前選別では、スキャンステップS8で得られたrms値が、ヒットのデータベースレコード内の対応する格納されている値と突き合わせて比較される。「ヒット」は、それぞれの平均値が定義済み範囲に収まらない場合に他の処理から除去される。次いで、物品が、非検証として破棄される(つまり、検証ステップV6にジャンプし、失敗結果を発行する)。

検証ステップV4は、完全デジタル署名を分析する前に実行される他のオプションの事前選別テストである。この事前選別では、スキャンステップS7で得られた相互相関係数が、ヒットのデータベースレコード内の対応する格納されている値と突き合わせて比較される。「ヒット」は、それぞれの相互相関係数が定義済み範囲に収まらない場合に他の処理から除去される。次いで、物品が、非検証として破棄される(つまり、検証ステップV6にジャンプし、失敗結果を発行する)。

検証ステップV4で実行することが可能な相互相関係数を使用する他のチェックでは、相互相関関数のピークの幅をチェックし、相互相関関数は、上記のスキャンステップS7のオリジナルスキャンからの格納されている値と再スキャンされた値

とを比較することにより評価される。

再スキャンされたピークの幅が、オリジナルスキャンの幅よりも著しく高い場合、これは、再スキャンされた物品が改ざんされているか、または他の何らかの形で不審であることを示す指標としてみなすことができる。例えば、このチェックで、スキャンされる表面における光検出器により予想されるものと同じ強度変動を持つバーコードまたは他のパターンを印刷することによりシステムを欺こうとする詐欺師を打ち負かさなければならない。

検証ステップS5は、スキャンステップS5で得られたスキャンされたデジタル署名とヒットのデータベースレコード内の対応する格納されている値との主要な比較である。完全格納デジタル署名d_k ^db(i)は、k個の検出器チャネル上のq個の隣接ビットからなるブロックn個に分割される、つまり、1ブロックにqk個のビットがある。qの標準値は、4であり、kの標準値は、4であり、典型的には、1ブロックにつき16ビットとなる。次いで、qk個のビットは、格納されているデジタル署名d_k ^db(i+j)内のqk個の対応するビットに対して照合される。ブロック内の一致するビットの個数がある定義済み閾値z_thresh以上である場合、一致するブロックの個数はインクリメントされる。z_threshに対する標準値は13である。これは、n個のブロックすべてについて繰り返される。このプロセス全体が、一致するブロックの最大数が見つかるまで、jの異なるオフセット値について繰り返され、スキャンされた領域の配置の誤差を補正する。Mを一致するブロックの最大数として定義すると、偶然の一致の確率は、

を評価することにより計算される。

ただし、sは、任意の2つのブロックの間の偶然の一致の確率であり(次にこれは、z_thresholdの選択された値に依存する)、Mは、一致するブロックの個数であり、p(M)は、M個またはそれ以上の偶然に一致するブロックの確率である。sの値は、類似の材料の異なる対象物のスキャン、例えば、紙の文書の何回ものスキャンなどから得られるデータベース内のブロックを比較することにより決定される。q=4、k=4、およびz_threshold=13の場合、標準値sは0.1である。qkビットが全く無関係であった場合、確率論から、z_threshold=13に対しs=0.01が得られる。経験的に大きな値が見つかるという事実は、k個の検出器チャネル間に相関があり、またレーザースポット幅が有限であるためブロック内の隣接するビット間に相関があることによる。紙片の典型的なスキャンでは、その紙片に対するデータベースエントリと比較したときに、合計510個のブロックのうち314個程度の一致するブロックが得られる。上記式においてM=314、n=510、s=0.1とすると、偶然一致する確率は10^-177となる。

検証ステップV6は、検証プロセスの結果を発行する。検証ステップV5で得られる確率の結果は、ベンチマークが定義済み確率閾値である合否テストで使用することができる。この場合、確率閾値は、システムによりあるレベルに設定されるか、またはユーザーにより選択されたレベルに設定された可変パラメータとすることができる。それとは別に、確率の結果は、確率それ自体として生の形式で、または相対語(例えば、不一致/悪い一致/よい一致/非常によい一致)または他の分類を使用する修正された形式で、信頼水準としてユーザーに出力することができる。

多くの変更形態が可能であることは理解されるであろう。例えば、相互相関係数を事前選別コンポーネントとして処理する代わりに、これらは、主署名の一部としてデジタイズされた強度データと一緒に処理することが可能である。例えば、相互相関係数をデジタイズし、デジタイズされた強度データに加えることが可能である。相互相関係数は、さらに、単独でデジタイズされ、ヒットを見つけるためにデジタイズされた強度データのサムネイルについて上述したものと同じ方法で検索することが可能なビット列などを生成するために使用できる。

そのため、物品をスキャンしてその物品の固有の特性に基づき署名を得るための例示的な構成が多数説明された。また、その署名をスキャン時に収集されたデータからどのように生成するのか、またその署名を同じまたは異なる物品からの後のスキャンとどのように比較して、後のスキャンで同じ物品がスキャンされた可能性の尺度を得るのかを示す実施例が説明された。

このようなシステムには、多くの用途があり、とりわけ、詐欺予防およびアイテム追跡可能性に関するアイテムのセキュリティおよび信頼性スクリーニングがある。

いくつかの実施例では、スキャンされた物品から署名を抽出する方法は、例えば、引き伸ばしまたは縮みにより物品に変形が生じたとしても物品を確実に認識するように最適化することができる。物品のこのような引き伸ばしまたは縮みは、例えば、水害により、紙またはボール紙を使用した物品に引き起こされうる。

さらに、物品は、スキャナ内のセンサに対する物品の相対速度が非線形である場合に、スキャナからは、引き伸ばされたり、または縮んだりするように見えることがある。これは、例えば、物品が、コンベヤーシステムに載って移動している場合、または物品が、物品を保持している人の手でスキャナに通される場合に発生しうる。このようなことがあり得そうなシナリオの一例として、人が、例えば、上記の図6A、6B、および6Cを参照しつつ説明されているようなスキャナを使用して銀行カードをスキャンする場合が挙げられる。

上述のように、スキャナがスキャナに対しまたはスキャナ内で静止状態に保たれている物品に相対的にスキャナユニット内で移動するスキャンヘッドに基づく場合、スキャンヘッドの非線形な移動に対処するためオプションの距離マーク28により線形化誘導を行うことができる。物品が、人の手で動かされる場合、これらの非線形性は、大きく悪化しうる。

これらの非線形効果により引き起こされうる認識問題を解消するために、物品のスキャンの分析段階を調節することが可能である。そこで、修正された検証手順について、図12を参照しつつ説明することにする。この実施例で実装されるプロセスでは、非線形性に対処するためにデータのブロック毎分析を使用する。

図12に従って実行されるプロセスは、データを平滑化し微分するステップ、平均値を計算し減算するステップ、および図10を参照しつつ説明されている署名およびサムネイルを取得するためにデジタイズするステップの一部または全部を含むことができるが、図12では、図の内容がわかりにくくならないようにするため、示されていない。

図12に示されているように、ブロック毎分析を使用する検証スキャンのスキャンプロセスは、物品のスキャンを実行して物品の固有の特性を記述するデータを取得することによりステップS21から始まる。このスキャンされたデータは、次いで、ステップS22で、連続する複数のブロックに分割される(デジタイズおよび平滑化/微分などの前または後に実行できる)。一実施例では、54mmのスキャン長は、8つの等しい長さのブロックに分割される。したがって、それぞれのブロックは、スキャンされた物品のスキャンされた領域の部分セクションとなる。

ブロックのそれぞれについて、ステップS23で物品が比較されることが意図されている格納されたそれぞれの署名に対し等価なブロックと突き合わせて相互相関が実行される。これは、ブロック毎に1つのサムネイルを使うサムネイルアプローチを使用して実行できる。次いで、これらの相互相関の計算結果を分析して、相互相関ピークの配置を識別する。次いで、物品のオリジナルのスキャンと後からのスキャンとの間に完全に線形な関係があった場合に、ステップS24で相互相関ピークの配置がピークの予想配置と比較される。

この関係は、図13A、13B、および13Cにグラフで示されている。図13Aの実施例では、相互相関ピークは、ちょうど予想された位置にあり、物品に相対的なスキャンヘッドの移動は、完全に線形であり、物品に伸びまたは縮みは生じていない。したがって、予想されるピークに対する実際のピーク位置のプロットを描くと、原点を通り、勾配が1の直線が得られる。

図13Bの実施例では、相互相関ピーク同士は、予想以上に近い位置にあり、最良適合の直線の勾配は1未満となる。そのため、物品は、初期スキャンの後の物理的特性に相対的に縮んでしまっている。また、最良適合直線は、プロットの原点を通らない。そこで、物品は、初期スキャンの後の位置と比較してスキャンヘッドに相対的にシフトされる。

図13Cの実施例では、相互相関ピークは、直線をなさない。この実施例では、これらのピークは、y²関数を表す曲線に近似的に当てはめられる。そのため、スキャンヘッドに相対的な物品の移動は、スキャン時に遅くなってしまっている。また、最良適合曲線は、原点を横切らないので、物品は、初期スキャン後にその位置に相対的にシフトされることが明らかである。

さまざまな関数を相互相関ピークの点のプロットにテストフィットして、最良適合関数を見つけることができる。したがって、伸び、縮み、ミスアライメント、加速、減速、およびそれらの組合せを記述する曲線を使用できる。

ステップS25で最良適合関数が識別された後、ステップS26においてそれぞれの相互相関ピークが予想位置からどれだけシフトされるかを表す一組の変化パラメータを決定することができる。次いで、スキャンから得られるデータに対する縮み、伸び、ミスアライメント、加速、または減速の影響を実質的に逆転するために、ステップS27において、これらの補正パラメータをステップS21で実行したスキャンから得られるデータに適用することができる。以下で理解されるように、ステップS25で求められた最良適合関数のスキャンデータへの当てはめ精度が高いほど、補正効果は高い。

次いで、補正されたスキャンデータは、ステップS22と同様にステップS28で連続するブロックに分割される。次いで、これらのそれぞれのブロックと、ステップS29で格納されている署名から得られるデータのそれぞれのブロックとの相互相関を求めて、相互相関係数を得る。このときに、ステップS29で、相互相関ピークの大きさを分析し、一意性係数を決定する。したがって、スキャンされた物品は、格納されている署名が作成されたときにスキャンされた物品と同じであるかどうかが判定できる。

したがって、スキャンされた物品の物理的変形、およびスキャナに相対的な物品の移動における非線形性を補正する方法の一実施例について説明された。この方法を使用することで、スキャンされた物品は、物品の前のスキャンから得られたその物品に対する格納されている署名と突き合わせてチェックされ、これにより、同じ物品が後からのスキャンに存在しているかどうかを高い確度レベルで判定することができる。これにより、歪みやすい材料で作られた物品を確実に認識することができる。また、物品に相対的なスキャナの移動が非線形になりうるスキャナを使用することができ、したがって、移動制御要素を使用することなく安価なスキャナを使用することができる。

スキャナ装置によっては、スキャンされた領域の始まりの位置と終わりの位置を決定することが困難な場合もある。このことは上述の実施例の中で、図6Bの実施例にとって問題が最も大きく、そこでは、スキャンされる物品は、スロットを通るため、スキャンヘッドから「見える」物品の領域は、意図されたスキャン領域よりも広い。この問題を解決する一アプローチでは、スキャン領域を物品の縁から始まるものとして定義する。スキャンヘッドで受け取ったデータは、物品が以前に空き領域と呼ばれていたところに通されるときに明確な段階的変化を受けるので、スキャンヘッドで取り出されたデータは、スキャンが始まる場所を判定するために使用できる。

この実施例では、スキャンヘッドは、物品をスキャナに置く前に稼働状態にある。したがって、最初に、スキャンヘッドは、スキャンヘッドの前にある未占有空間に対応するデータを受け取る。物品がスキャンヘッドの前に通されると、スキャンヘッドにより受け取られたデータは、即座に、変化し、物品を記述するデータとなる。そのため、データを監視して物品の先頭を判定し、それよりも前にあるすべてのデータを無視することができる。物品前縁に相対的なスキャン領域の位置および長さは、さまざまな方法で決定することができる。最も単純なのは、スキャン領域を物品の全長とすることであり、これにより、スキャンヘッドで再び空き領域に対応するデータをピックアップすることで終わりを検出できる。他の方法では、前縁から所定のスキャン読み取り回数だけ記録されたデータの開始および/停止を行う。物品は、常に、ほぼ同じ速度でスキャンヘッドを通過すると仮定すると、この結果、一貫したスキャン領域が得られる。他の代替方法では、物品上の実際のマークを使用してスキャン領域の始まりおよび終わりを決めるが、この方法は、取り込まれたどのデータがスキャン領域に対応しており、どのデータを無視できるかを決定するために、データ処理に関してさらに多くの作業を必要とする可能性がある。

そこで、アイテムをスキャンし物品の固有の特性に基づいてデータを集める技術、必要ならばスキャンプロセスにおける物品の損傷または非線形性を補正する技術、および物品の前のスキャンに基づいて物品を格納されている署名と比較して両方のスキャンに対し同じ物品が存在しているかどうかを判定する技術が多数説明された。

その物品の固有の特性に基づいて生成された署名のブロック毎分析を使用して検出することができる物品の他の特性は、その物品に局在する損傷の特性である。例えば、そのような技術を使用して、初期記録スキャンの後に行われる物品に対する修正を検出することができる。

例えば、パスポート、IDカード、および運転免許証などの文書の多くは、携帯者の写真を含む。このような物品の信憑性スキャンが写真の一部を含む場合、その写真に加えられた変更が、検出されることになる。ここで署名を10個のブロックに分割する任意の例を取りあげると、それらのブロックのうち3つは、文書上の写真を覆い、他の7つは、背景材料などの文書の他の部分を覆う。写真が置き換えられた場合、文書のその後の再スキャンでは、修正が行われていない7つのブロックに対する十分な一致が得られると予想することができるが、置き換えられた写真では、一致度は非常に悪いものとなる。それら3つのブロックが写真に対応することを知ることにより、3つすべてが非常に悪い一致度をもたらすという事実を利用し、署名全体に対する平均スコアに関係なく、文書の検証を自動的に失敗させることができる。

また、多くの文書は、1人またはそれ以上の人々の書かれた指示、例えば、パスポート、運転免許証、またはIDカードに記載されている人の名前、または銀行口座保有者の名前を含む。多くの文書は、さらに、携帯者または証明者の署名が記載される場所をも含む。検証のためそこから得られる署名のブロック毎分析を使用することで、文書上に印刷または書かれた名前または他の重要な単語もしくは番号を改ざんする修正を検出することができる。改ざんされた印刷または手書きの位置に対応するブロックは、修正が行われていないブロックに比べて品質のかなり低い一致をもたらすと予想できる。そこで、修正された名前または書かれた署名が検出され、文書の全体的一致度が合格結果を得られるほど十分に高い場合でも、文書は検証試験に失敗する可能性がある。

IDカード300の実施例は、図14に示されている。IDカード300は、印刷された携帯者名302、携帯者の写真304、携帯者の署名306(カード上に書かれるか、または書かれた署名または電子的に取り込まれた署名のスキャンから印刷されうる)、印刷されたカード番号308を含む。IDカードに対する詐欺的改ざんを防ぐために、カードの固有の特性に基づいて署名を生成するスキャン領域は、これらの要素のうちの1つまたは複数を含むことができる。それらの可能性を示すために、図15においてさまざまな例示的なスキャン領域がマークされている。例示的なスキャン領域321は、印刷された名前302の一部および写真304の一部を含む。例示的なスキャン領域322は、印刷された名前の一部を含む。例示的なスキャン領域323は、署名306の一部を含む。例示的なスキャン領域324は、カード番号308の一部を含む。

スキャン領域に対し選択された領域および要素は、詐欺師が改ざんを試みる可能性が最も高い文書の要素を含む、多数の要因に依存しうる。例えば、写真を含む文書の場合、改ざんの最も可能性の高いターゲットは、通常、これが視覚的に携帯者を識別するため、写真である。したがって、そのような文書に対するスキャン領域は、写真の一部を含むように選択されると都合がよい。不正修正を受ける可能性のある他の要素は、携帯者の署名であるが、それは、人が自分以外の人の名前を名乗るのは容易であるが、他の人の署名を複製することは比較的難しいからである。したがって、署名入り文書、特に写真を含まないものの場合、スキャン領域は文書上の署名の一部を含んでいると都合がよい。

したがって、一般的な場合において、物品の信憑性検査は、署名全体に対し検証署名と記録署名との十分に品質の高い一致、署名の少なくとも選択されたブロックにわたる十分に高い一致についての検査を含むことができることがわかる。したがって、物品の信憑性を評価することに対し重要な領域は、肯定的な信憑性結果を得るのに重要であるものとして選択することができる。

いくつかの実施例において、クリティカルブロックとして選択されたブロック以外のブロックは、悪い一致度の結果を与えることが許される可能性がある。したがって、文書は、クリティカルブロックがよい一致度を有し、署名が全体としてよい一致度を示す限り、破れたり、他の何らかの形で一部が破損しているにもかかわらず本物であると認めることができる。

そこで、物品の局所的損傷を識別し、所定の領域内に局所的な損傷または改ざんがある本物でない物品を除去するためのシステム、方法、および装置の多くの実施例が説明された。他の領域内の損傷または改ざんについては、無視することができ、これにより、文書を本物として認識することができる。

物品の信憑性または同一性の検証のため上記の図1から14を参照しつつ説明されている同定技術などのバイオメトリック技術を使用した場合、バイオメトリック特性に基づく署名の再現性に問題が生じうる。特に、バイオメトリック署名生成システムが物品から生成されるそれぞれの署名においてわずかに異なる結果を返す固有の傾向を有するとともに、物品が異なる署名生成装置で、異なる時刻に、署名生成プロセスの作用を受けた場合、毎回物品のわずかに異なる部分が提示され、確実な検証がさらに難しくなる可能性がある。

これらの問題を解消するためのシステム、方法、および装置の実施例について、以下で説明する。第1に、図15を参照すると、そこでは、データベース作成用のマルチスキャンヘッド署名生成装置が説明される。

図15に示されているように、読み取り装置ユニット400は、2つの光学系サブアセンブリ20を備えることができ、それぞれ読み取り装置ユニットの読み取りボリューム402内に提示される物品に対する署名を生成するように動作可能である。したがって、アイテムを後から検証するために使用できるアイテムデータベース内のアイテムの記録に対する署名を作成するためにスキャン用に提示されるアイテムは、2回スキャンされ、これにより、あり得そうな位置合わせ誤差量だけ互いから空間的にオフセットされた、2つの署名を作成することができる。こうして、識別または信憑性検証を行うためアイテムを後からスキャンした結果を、格納されている両方の署名と照合することができる。いくつかの実施例では、2つの格納されている署名のうちの一方との一致は、成功一致とみなすことができる。

いくつかの実施例では、他のリードヘッドが使用され、3つ、4つ、またはそれ以上の署名がアイテム毎に作成されるようにできる。意図されたスキャン位置に隣接する位置から署名を形成するために、それぞれのスキャンヘッドを、他のヘッドからオフセットできる。したがって、検証スキャニングに対する物品のミスアライメントへの堅牢性を高めることができる。

スキャンヘッド間のオフセットは、物品のスキャンされる部分の幅などに応じて選択することができ、スキャンのサイズは、物品全体のサイズ、場合によっては検証スキャン時のミスアライメント量、および物品材質に関係する。

そこで、物品をスキャンし、物品の同一性および/または信憑性を検証するため物品をチェックする際に使用する署名データベースを作成するシステムについて説明した。

次に、物品データベース中に複数の署名を形成する他のシステムの実施例について、図16を参照しつつ説明する。

図16に示されているように、読み取り装置ユニット400'は、単一の光学系サブアセンブリ20および位置合わせ調節ユニット404を備えることができる。使用時に、位置合わせ調節ユニット404は、読み取り装置ユニットの読み取りボリューム402に相対的な光学系サブアセンブリ20の位置合わせを変更することができる。そこで、物品の複数の署名を作成するために、異なる位置にある光学系サブアセンブリ20により読み取りボリューム内に置かれた物品を複数回スキャンすることができる。本発明の実施例では、位置合わせ調節ユニット404は、2つの異なる配置から読み込むように光学系サブアセンブリを調節することができる。こうして、識別または信憑性検証を行うためアイテムを後からスキャンした結果を、格納されている両方の署名と照合することができる。いくつかの実施例では、2つの格納されている署名のうちの一方との一致は、成功一致とみなすことができる。

いくつかの実施例では、他のリードヘッド位置が使用され、3つ、4つ、またはそれ以上の署名がアイテム毎に作成されるようにできる。意図されたスキャン位置に隣接する位置から署名を形成するために、それぞれのスキャンヘッド位置を他のヘッドからオフセットできる。したがって、検証スキャニングに対する物品のミスアライメントへの堅牢性を高めることができる。

スキャンヘッド位置の間のオフセットは、物品のスキャンされる部分の幅などに応じて選択することができ、スキャンのサイズは、物品全体のサイズ、場合によっては検証スキャン時のミスアライメント量、および物品材質に関係する。

そこで、物品をスキャンし、物品の同一性および/または信憑性を検証するため物品をチェックする際に使用する署名データベースを作成するシステムの他の実施例について説明した。

記録スキャン(つまり、物品のスキャンを行って物品の検証を後から行う際に使用する参照署名を作成する)に使用されるスキャナは、複数のスキャンヘッドおよび/またはスキャンヘッド位置を使用して、1つの物品に対し複数の署名を作成できることについて上で説明したが、後から検証スキャンを実行するために類似のシステムを使用することも可能である。

例えば、検証スキャンで使用するスキャナは、複数の検証スキャン署名を生成できるように複数のリードヘッドを備えることができる。これらの複数の署名のそれぞれを、それ自体、記録されたアイテム毎に複数の署名を格納する記録された署名のデータベースと比較することができる。それぞれのアイテムに対する異なる署名は異なる場合があるけれども、これらの署名はすべてそのまま、他のアイテムに対する署名と極端に異なるという事実があるため、どれか1つの記録スキャン署名とどれか1つの検証スキャン署名との間に一致があれば、アイテムの同一性および/または信憑性において十分な高さの信頼度が得られるであろう。

複数のリードヘッド検証スキャナは、上で図15を参照しつつ説明されているのと同様に配列することができる。同様に、複数のリードヘッド位置検証スキャナは、上で図16を参照しつつ説明されているように配列することができる。さらに、記録および検証の両方のスキャナについて、複数のスキャンヘッドおよびスキャンヘッド毎の複数のスキャンヘッド位置が組み合わされたシステムを単一のデバイスにまとめることができる。

人または他の法人格を記述するデータが、第三者により格納される場合、許可を得ていない人または悪意のある人がそのデータにアクセスする可能性に関して問題が発生しうる。例えば、銀行および他の金融サービス業は、負債、クレジット記録、所得、および多数の顧客に関する個人データについて多くの情報を格納することができる。司法当局は、有罪判決を受けた個人、証人、情報提供者、および諜報員の詳細を記憶装置に格納することができる。医療機関は、病歴、ライフスタイル情報、および治療に対する希望などの患者の詳細を記憶装置に格納することができる。雇用者は、給与、懲戒記録、および個人事情などの従業員の詳細を記憶装置に格納することができる。

そこで、多くの組織は、大量の個人に関する情報、その個人が機密保持したい情報を格納することができる。また、こうして格納されている情報の一部は、個人に関する記録の保持に関する法律の対象とすることができる。そのため、このような情報の不適切な、故意でない、または悪意のある公開は、組織のユーザーからのデータを格納する組織に対する反感を生み出すだけでなく、損害賠償の支払い、科料の支払い、および/または禁固を含む罰金を伴う法的措置により起訴可能な民事または刑事上の不法行為を構成しうる。

以下の説明では、そのような情報への無許可アクセスを防ぐシステムおよび方法が提示される。

組織が個人を記述したデータを格納する多くの場合において、個人が存在していないときにその組織がデータにアクセスする必要がないことがしばしばである。他の状況では、個人が物理的に存在していない可能性があるが、組織との電話による、またはオンラインのトランザクションまたは会話を行っている可能性がある。他の状況では、組織においてデータに対する完全なアクセス権を必要とする人の数は制限されており、それ以外の人々は、単にデータの一部のみを見る必要があるだけか、または単にデータはデータ内容が見られることなく存在する。

これらの状況すべては、データへのアクセスが個人に所有されるアクセストークンにより制御される本発明の実施例のシステムに取り扱うことができる。

次に、情報へのアクセスのためアクセストークンを使用する第1のシステムの一実施例について、図17を参照しつつ説明する。このシステムでは、ユーザー端末100のユーザーは、特定の個人にリンクされた情報にアクセスすることを望むか、またはアクセスすることを必要とする場合がある。ユーザー端末は、パーソナルコンピュータ、ワークステーション、またはハンドヘルドコンピュータなどの任意の形態の従来の計算装置とすることができる。情報のリンク先の個人は、ユーザーであるか、またはそのユーザーが個人的な、または職業的な関係を有する個人とすることができる。この後者の状況の実施例は、銀行の従業員(ユーザー)が、顧客(個人)の財務情報にアクセスし、何らかの商品またはサービスをその顧客に提供するかどうか判断する必要がある場合である。他の実施例は、医療専門家(ユーザー)が、患者(個人)の医療記録にアクセスする必要がある場合である。

情報にアクセスするために、個人により所有されるアクセストークンは、スキャナ102を使用してスキャンすることができる。スキャナ(たぶん接続されているユーザー端末と組み合わされている)は、アクセストークンの署名をその固有の特性に基づいて生成する。スキャナは、ユーザー端末の一体部分であってよい。署名は、上で図1〜16のいずれかを参照しつつ説明されているような光学スキャン技術に基づいて生成されうる。それとは別に、参照により本明細書に組み込まれているPCT/GB03/03917またはPCT/GB03/03938に記載されているような他の好適なスキャン技術を使用することができる。

署名は、生成された後、所望の情報が格納されているデータベース106からデータを取り出すために使用される。データベースは、データベースに対しクエリを実行し、そのアクセスを制御するタスクを与えられているデータベースアドミニストレータエンティティ108が制御することができる(このエンティティは、データベースのシステムアドミニストレータとして指定されている人間のユーザーと異なっていてもよい)。本発明の実施例では、データベースアドミニストレータエンティティは、ネットワーク104を介してアクセスされ、ネットワークは、プライベートネットワーク、組織イントラネット、またはインターネットであってよい。ネットワークは、有線および/または無線相互接続を含むことができる。

署名は、データベースアドミニストレータエンティティ108に送られ、検索クエリとして使用される。したがって、データベースアドミニストレータエンティティ108は、与えられた署名と、データベース中の複数のデータレコードのうちのそれぞれのデータレコードに関連付けられている署名との比較を実行させる。この比較プロセスは、上述のサムネイルシステムなどの検索高速化システムを使用することができる。アクセストークンからの署名とデータベース内の署名との間に一致が見つかった場合、その署名に関連付けられている1つまたは複数のデータレコードが、ユーザー端末100において利用可能にされる。与えられた署名と格納されている署名のどれかとの一致がデータベース内で見つからない場合、データは利用可能にされない。データベースアドミニストレータエンティティ108とユーザー端末100との間の通信が、パブリックネットワーク上で実行される実施例では、署名とデータレコードのいずれか、またはその両方が、送信のため、例えば公開鍵暗号化システムを使用して暗号化されうる。データベースアドミニストレータエンティティとユーザー端末との間のデータリンクにおいてhtmlタイプのインターフェイスを使用する実施例では、暗号化を行うために、セキュアソケットレイヤー接続を確立することができる。

本発明の実施例では、読み込みのためデータベースにアクセスする唯一の手段は、アクセストークンから生成された署名を使用することである。したがって、データは、所望のアクセスポイントにアクセストークンが存在していないとアクセスできない。そのため、上記のバンキングの例では、銀行の従業員は、必要になった時点(顧客が銀行に入り、情報または何らかの商品もしくはサービスを請求した場合など)において顧客データにアクセスすることができる。しかし、銀行の従業員は、他のときには顧客情報にアクセスすることはできない。そのため、顧客は、銀行の従業員がその顧客の詳細を調べ、顧客の許諾を得ずにその詳細を開示することから保護される。上記の医療の実施例では、患者の詳細は、患者を治療する医療専門家がアクセスすることができるが、それ以外の人は医療情報データベースへのアクセス権を持っていてもアクセスすることはできず、したがって、医療データの集中型コンピュータ記憶装置に関する患者の潜在的データプライバシーの問題が克服される。

一実施例において、このシステムでは、アクセストークンが存在していなくてもデータをデータベースに書き込むことができる。したがって、ユーザーは、アクセストークン署名がすでにデータベース内に記録されている個人についてデータレコードをデータベースに追加することができる。アクセストークン署名がデータベースに記録されていない場合、個人はまだ関連付けられたレコードを設定されておらず、新しいレコードが必要である。したがって、この状況では、新しい個人を以下で概要を述べるようにデータベースに追加しなければならない。そうしなければ、署名がすでにデータベースに存在している場合、アクセストークンが存在していないまま、他のデータを追加することができる。例えば、銀行の従業員は、資金移動が不履行になった、またはローン申し込みを支援する情報が銀行に送られたという事実を顧客レコードに追加することができる。情報内容も追加することができる。医療記録システムでは、患者から離れた場所で実行される検査の結果を、その結果が利用可能な場所で入力することが可能である。好適な実施例としては、後から実験室分析を行うため患者から体液または組織サンプルを採取した場合が考えられる。

その一方で、いくつかのシステムでは、アクセストークンが存在している場合のみデータを入力できることが望ましいこともありうる。例えば、犯罪データの記録では、記録に記述されている個人が存在する場合に逮捕、告発、注意、有罪判決、または無罪判決の詳細などの犯罪詳細を入力することのみ可能な場合もありうる。したがって、このようなシステムでは、データをデータベースに追加するためにアクセストークンが存在していなければならない。

いくつかの実施例では、十分な権限を有する人が記録に記述されている個人のアクセストークンなしでデータベースにアクセスできるように「裏口」が存在していることが必要または適切である場合がある。これは、追加のアクセスが必要になる記録に対し追加のアクセストークンを用意することにより達成されうる。この追加のアクセストークンは、アクセスが要求される記録のすべてが単一のアクセストークンにより実行可能なように1つまたは複数の記録に関連付けることが可能である。例えば、犯罪調査のためアクセスが必要であった場合、所定の期間の終了後、データがアクセスできなくなるように追加のアクセストークンに期限を設けることが可能である。また、ユーザー認証の他の何らかの形態を使用して「裏口」アクセスを実現し、それにより、アクセストークンシステムを完全にバイパスしてしまうことも可能である。

データベースに対する何らかの形態のシステムアドミニストレータアクセスを実現し、それにより、新しいアクセストークンからの署名をデータベースに入れ、失われた、破損した、または盗まれたアクセストークンを置き換えることができることが望ましい場合もある。

データベースに対する安全なアクセスを実現するために使用されるアクセストークンは、必要な署名を作成することが可能な任意のアイテムとすることができる。これは、自分の病状を患者が説明できない場合でも医療従事者が適切な治療を施すことができるように糖尿病患者および強いアレルギーを持つ患者がしばしば身に付けるようなメディタグタイプのアイテムなどの専用情報アクセストークンを含むことが可能である。したがって、このようなタグタイプは、医療情報アクセスに特に適していると思われる。他のタグタイプも使用することが可能であり、また複数のタグタイプのうち異なるタグタイプは、さまざまな異なる可能な用途に、より適している場合も、あまり適していない場合もある。例えば、銀行カードまたはクレジットカードなどの通常携帯されるアイテムは、情報がバンキング情報に関係するかどうかに関係なく、アクセストークンとして使用することが可能である。それとは別に、全く見えないアクセストークンを使用することが可能である。実施例としては、ビジネスカードまたは他の類似のアイテムが考えられる。このような見えないアクセストークンを使用すると、アクセストークンを盗んだ、または見つけた人がそのアクセストークンを使用して所有者のデータにアクセスする可能性が低減される。これにより、明らかに重要なアイテムおよび文書(「private and confidential」と印されている銀行カードおよびパッケージなど)に一般的に関連する「盗んでください」問題を回避することができる。

こうして、データベースに格納されている機密情報に対する安全なアクセスを実現するシステム、装置、および方法が説明された。この安全なアクセスは、情報へ信頼度の高いアクセスを可能にしつつ、その一方で、データアクセスおよびプライバシーに関する不安を軽減する。

アクセストークンを使用して情報にアクセスするシステムの他の実施例は、図18に示されている。この実施例では、アクセストークンスキャナは、ユーザー端末から離れた場所に配置され、そこで情報が閲覧またはアクセスされる。

この実施例のシステムでは、ユーザー端末100のユーザーは、特定の個人にリンクされた情報にアクセスすることを望むか、またはアクセスすることを必要とする場合がある。ユーザー端末は、パーソナルコンピュータ、ワークステーション、またはハンドヘルドコンピュータなどの任意の形態の従来の計算装置とすることができる。情報がリンクされている個人は、本発明の実施例では、ユーザー端末100のところにいない。このようなことが起きる状況の例は、銀行の顧客が銀行支店に直接出向くことなくローンまたは他の銀行サービスを受けたいと望んでいる場合である。このようなトランザクションには、顧客と銀行職員とが電話で会話する必要があるであろう。したがって、その実施例では、ユーザー端末100が銀行店内に設置され、ユーザーは銀行の職員の一員である。

情報にアクセスするために、個人(例えば、銀行顧客)が所有するアクセストークンは、個人(例えば、銀行顧客)と同じ場所にあるスキャナ端末101に関連付けられているスキャナ102を使用してスキャンすることができる。スキャナ(たぶん接続されているスキャナ端末と組み合わされている)は、アクセストークンの署名をその固有の特性に基づいて生成する。スキャナは、スキャナ端末の一体部分であってよい。署名は、上で図1〜16のいずれかを参照しつつ説明されているような光学スキャン技術に基づいて生成されうる。それとは別に、PCT/GB03/03917またはPCT/GB03/03938に記載されているような他の好適なスキャン技術を使用することができる。

スキャナ端末をユーザー端末に接続し、ユーザー端末をデータベースに接続するために使用されるネットワークは、別々のネットワークであってよい。例えば、スキャナ端末とユーザー端末は、インターネットを介して通信することができ、ユーザー端末とデータベースは、プライベートネットワークを介して通信することができる。

署名は、データベースアドミニストレータエンティティ108に送られ、検索クエリとして使用される。したがって、データベースアドミニストレータエンティティ108は、与えられた署名と、データベース中の複数のデータレコードのうちのそれぞれのデータレコードに関連付けられている署名との比較を実行させる。この比較プロセスは、上述のサムネイルシステムなどの検索高速化システムを使用することができる。アクセストークンからの署名とデータベース内の署名との間に一致が見つかった場合、その署名に関連付けられている1つまたは複数のデータレコードが、ユーザー端末100において利用可能にされる。与えられた署名と格納されている署名のどれかとの一致がデータベース内で見つからない場合、データは利用可能にされない。データベースアドミニストレータエンティティ108、ユーザー端末100、およびスキャナ端末101の間の通信が、パブリックネットワーク上で実行される実施例では、署名とデータレコードのいずれか、またはその両方が、送信のため、例えば公開鍵暗号化システムを使用して暗号化されうる。データベースアドミニストレータエンティティ、ユーザー端末、および/またはスキャナ端末の間のデータリンクにおいてhtmlタイプのインターフェイスを使用する実施例では、暗号化を行うために、セキュアソケットレイヤー接続を確立することができる。

リモートバンキングの実施例に関して、このシステムでは、銀行の従業員は、顧客が銀行営業所に直接出向かなくても、サービスまたは商品をその顧客に提供するために必要な、顧客に関するプライベートデータにアクセスすることができる。この構成を適用できる他の実施例としては、患者が医療施設に出向かなくても医学的検査の結果を受け取れるようにする例が挙げられる。

情報をデータベースに書き込む上述のオプションおよび代替手段、「裏口」システムアドミニストレータ、規制または調査アクセス、および異なるタイプのアクセストークンも、図15の実施例に等しく適用される。

次に、図19を参照しつつ、情報へのアクセスのためアクセストークンを使用するシステムの他の実施例について説明する。この実施例では、ユーザーは、アクセストークンを使用して、データベース内の情報にアクセスするが、情報を格納または使用する組織の代表とやり取りすることをしない。

この実施例のシステムでは、スキャナ端末101のユーザーは、ユーザーが所有するアクセストークンにリンクされた情報にアクセスすることを望むか、またはアクセスすることを必要とする場合がある。典型的には、この情報は、ユーザーに関係する。スキャナ端末101は、パーソナルコンピュータ、ワークステーション、またはハンドヘルドコンピュータなどの任意の形態の従来の計算装置とすることができる。これが望ましい場合の実施例としては、ユーザーがそれらに関する格納されている情報をチェックすることを望んでいる場合が挙げられる。バンキング機能に関して、ユーザーは、口座残高をチェックしたり、振替履歴を閲覧したり、他のバンキング情報を閲覧したりすることを望むことがある。状況によっては、銀行は、顧客が銀行職員と直接コンタクトせずに振替をしたり、または請求書支払いをしたりすることを許している場合もある。したがって、このようなトランザクションの結果、データがデータベースに書き込まれるだけでなく、読み出されることになる。

情報にアクセスするために、ユーザー(例えば、銀行顧客)が所有するアクセストークンは、スキャナ端末101に関連付けられているスキャナ102を使用してスキャンすることができる。スキャナ(たぶん接続されているスキャナ端末と組み合わされている)は、アクセストークンの署名をその固有の特性に基づいて生成する。スキャナは、スキャナ端末の一体部分であってよい。署名は、上で図1〜16のいずれかを参照しつつ説明されているような光学スキャン技術に基づいて生成されうる。それとは別に、PCT/GB03/03917またはPCT/GB03/03938に記載されているような他の好適なスキャン技術を使用することができる。

署名は、データベースアドミニストレータエンティティ108に送られ、検索クエリとして使用される。したがって、データベースアドミニストレータエンティティ108は、与えられた署名と、データベース中の複数のデータレコードのうちのそれぞれのデータレコードに関連付けられている署名との比較を実行させる。この比較プロセスは、上述のサムネイルシステムなどの検索高速化システムを使用することができる。アクセストークンからの署名とデータベース内の署名との間に一致が見つかった場合、その署名に関連付けられている1つまたは複数のデータレコードが、スキャナ端末101において利用可能にされる。与えられた署名と格納されている署名のどれかとの一致がデータベース内で見つからない場合、データは利用可能にされない。データベースアドミニストレータエンティティ108とスキャナ端末101との間の通信が、パブリックネットワーク上で実行される実施例では、署名とデータレコードのいずれか、またはその両方が、送信のため、例えば公開鍵暗号化システムを使用して暗号化されうる。データベースアドミニストレータエンティティとスキャナ端末との間のデータリンクにおいてhtmlタイプのインターフェイスを使用する実施例では、暗号化を行うために、セキュアソケットレイヤー接続を確立することができる。

リモートバンキングの実施例に関して、このシステムでは、銀行顧客は、顧客が銀行営業所に直接出向かなくても、または銀行の職員に話しかけずとも、銀行が保持しているプライベートデータへのアクセスを行い、その顧客が望むデータにアクセスすることができる。この構成を適用できる他の実施例としては、患者が医療施設に出向かなくても医学的検査の結果を受け取れるようにする例が挙げられる。

情報をデータベースに書き込む上述のオプションおよび代替手段、「裏口」アドミニストレータ、規制または調査アクセス、および異なるタイプのアクセストークンも、図15の実施例に等しく適用される。

いくつかの実施例では、データベースアクセスに署名それ自体を使用しないのが望ましい場合がある。その代わりに、アクセストークンの署名を使用して、他のアクセス鍵を暗号化することができる。何らかの組み込みの冗長性を備えるアクセス鍵を使用することが可能であり(または非冗長鍵に冗長性を加えることができる)、エラー訂正符号をそれに加えることができる。誤り訂正符号を含む「パディングされた」鍵と、アクセストークンからの署名との排他的ORを取ることができる。この冗長性および誤り訂正符号は、バイオメトリック署名とのXORを取った後も存続する。データベースでアクセス鍵を再作成するため、予想されるバイオメトリック署名との第2のXORを実行することができる。バイオメトリック署名の読み取りが不完全であるため入り込んだ低レベルの誤りを、誤り訂正符号を使用して補正し、完全に再形成されたアクセス鍵を残すことができる。

まとめると、このプロセスは以下のステップを含む。
1.アクセス鍵を取り出す。
2.何らかの冗長性および誤り訂正ビットを加える。
3.バイオメトリック署名とのXORを取る。
4.(インターネットを介して)データベースに送信する。
5.予想されるバイオメトリック署名とのXORを取る。
6.冗長性および誤り訂正ビットを使用して誤り訂正を実行する。
7.データベース内の情報を特定するために使用できる、アクセス鍵を残す。

このようなシステムを使用する利点の1つは、誤りのないアクセス鍵をデータベースに送ることが可能であるという点である。多くのデータベースが、完全な誤りのないアクセス鍵を好ましいものとしているか、または必要としているが、上記の他の実施例では、これは、署名照合をアクセス鍵として使用して回避することができ、そのため、署名照合の結果は、完全な誤りのないアクセス鍵となる。

そこで、データにより記述される人または組織がプライベートまたは機密とみなすことができる情報などの情報に対する信頼性の高い安全な制限されたアクセスを行うためのシステム、装置、および方法のさまざまな実施例について説明された。これにより、そのようなデータは、このデータにアクセスする必要がある組織によって記憶装置に格納でき、再現不可能なアクセストークンを使用して情報により記述されるか、または情報の中に記述されている組織が許可を与える場合に、組織のみがアクセスできる。

上記実施形態は、かなり詳しく説明されているが、多くの変更形態および修正形態は、上記の開示が完全に理解されれば当業者にとって明白なことであろう。添付の請求項は、このようなすべての変更形態および修正形態だけでなくその等価物を包含するものと解釈することが意図されている。

読み取り装置の一実施例の側面略図である。図1の読み取り装置の読み取りボリュームがどのようにサンプリングされるかを示す斜視略図である。図1の読み取り装置の機能コンポーネントのブロック略図である。外形を示す図1の読み取り装置の斜視図である。図1の読み取り装置の外形の他の実施例を示す斜視図である。代替読み取り装置構成の断面略図である。他の代替読み取り装置の斜視図である。他の代替読み取り装置の斜視図である。指向性集光および全面照射に基づく読み取り装置の代替結像構成を示す側面略図である。指向性検出器が細長いビームによる局在照射と組み合わせて使用される読み取り装置に対する他の結像構成の光学系設置面積を示す平面略図である。画像が約0.5×0.2mmの面積を覆う紙表面の顕微鏡画像を示す図である。画像が約0.02×0.02mmの面積を覆うプラスチック表面の顕微鏡画像を示す図である。光検出器信号および符号器信号からなる図1の読み取り装置を使用する単一光検出器からの生データを示す図である。符号器信号により線形化し、振幅を平均化した後の図9Aの光検出器データを示す図である。平均レベルに従ってデジタイズした後の図9Bのデータを示す図である。物品の署名がスキャンからどのように生成されるかを示す流れ図である。スキャンから得られた物品の署名が署名データベースと突き合わせてどのように検証できるかを示す流れ図である。スキャン中の非理想性を説明するように図11の検証プロセスをどのように変更できるかを示す流れ図である。スキャンからデータ収集された相互相関データの一実施例を示す図である。スキャンされた物品が歪んでいる場合にスキャンからデータ収集された相互相関データの一実施例を示す図である。スキャンされた物品が非線形速度でスキャンされた場合にスキャンから集められた相互相関データの一実施例を示す図である。検証対象の物品の略図である。マルチスキャンヘッドスキャナの切欠斜視略図である。マルチスキャンヘッド位置スキャナの切欠斜視略図である。データにアクセスするシステムの一実施例を示す略図である。データにアクセスするシステムの他の実施例を示す略図である。データにアクセスするシステムの他の実施例を示す略図である。

符号の説明

1 読み取り装置
10 読み取り開口
12 筐体
14 レーザー光源
15 コヒーレントレーザービーム
16 検出器構成
16a...d 検出器
17a...d 電気的接続線
18 円柱レンズ
19 フォトトランジスタ
20 サブアセンブリ
21 電気的接続線
22 駆動モーター
24 ベアリング
26 矢印
28 距離マーク
30 PIC
32 データ接続
34 パーソナルコンピュータ(PC)
36 データ収集および処理モジュール
38 インターフェイス接続
40 データベース(dB)
42 物理的配置補助
46 円柱状マイクロレンズアレイ
48 アレイ検出器
60 筐体
61 物品送りトレイ
62 物品
64 フィードローラー
70 読み取り装置筐体
71 スロット
100 ユーザー端末
101 スキャナ端末
102 スキャナ
104 ネットワーク
106 データベース
108 データベースアドミニストレータエンティティ
300 IDカード
302 印刷された携帯者名
304 携帯者の写真
306 携帯者の署名
308 印刷されたカード番号
321、322、323、324 スキャン領域
400' 読み取り装置ユニット
402 読み取りボリューム
404 位置合わせ調節ユニット

Claims

データレコードにアクセスする方法であって、
アクセストークンをスキャンして、前記アクセストークンの固有の特性に基づく、前記アクセストークンに対する署名を作成するステップと、
前記署名と、それぞれにデータレコードが関連付けられている格納された複数の署名のデータベースとを比較するステップと、
前記作成された署名と前記格納された署名とが一致した場合、所定の格納された署名に関連付けられている前記データレコードへのアクセス権を与えるステップとを含む方法。
前記データレコードは、機密情報を記述する請求項1に記載の方法。
前記データレコードは、財務情報を記述するデータ、医療情報を記述するデータ、従業員情報を記述するデータ、および法律情報を記述するデータのうちの少なくとも1つを含む請求項1または2に記載の方法。
前記アクセストークンに対する前記署名は、前記それぞれのデータレコードに対する唯一のアクセス方法を表す請求項1、2、または3に記載の方法。
それぞれの格納された署名は、アクセストークンの前のスキャンから作成された署名である請求項1から4のいずれか一項に記載の方法。
前記作成された署名と格納されている署名との一致の判定は、同じアクセストークンが両方の署名を作成するために使用されたことを示す請求項5に記載の方法。
前記署名を作成するステップは、
前記アクセストークンをコヒーレントな放射線に曝すステップと、
前記コヒーレントな放射線の散乱を測定するデータ点の集合を前記アクセストークンの固有構造から収集するステップと、
前記アクセストークンの署名を前記データ点の集合から決定するステップとを含む請求項1から6のいずれか一項に記載の方法。
前記アクセストークンは、任意のアイテムである請求項1から7のいずれか一項に記載の方法。
前記アクセストークンは、そのアクセストークンのユーザーにより選択されたアイテムである請求項1から8のいずれか一項に記載の方法。
前記データレコードは、前記アクセストークンの前記ユーザーに関係する情報のデータレコードであるか、またはその情報を記述したものである請求項9に記載の方法。
前記比較ステップは、前記署名を連続する隣接データの複数のブロックに分割し、それぞれのブロックと前記格納されている署名のうちのいくつかの署名のそれぞれのブロックとについて比較演算を実行するステップと、その比較結果の属性を前記比較の予想属性と比較して、前記検証結果を決定する際に使用する補正値を決定し、前記アクセストークンへのダメージおよび/または取り込みステップにおける非線形性を補正するステップとを含む請求項1から10のいずれか一項に記載の方法。
前記データレコードは、一致するアクセストークン署名なしで書き込むことができる請求項1から11のいずれか一項に記載の方法。
前記署名を比較するステップは、受け取ったデータを格納された署名の前記データベースと比較して一致を見つけ、一致は返されるアクセス鍵により表されるステップを含む請求項1から12のいずれか一項に記載の方法。
前記署名は、前記アクセス鍵をラップし、前記データベース側で受け取る前記データを作成するために使用される請求項13に記載の方法。
前記受け取ったデータを前記比較するステップは、前記署名と前記受け取ったデータとの間の排他的OR演算を実行するステップを含む請求項13または14に記載の方法。
データアクセスシステムであって、
格納されたアクセストークン署名に関連付けられているデータレコードと、
アクセストークンをスキャンして、前記アクセストークンの固有の特性に基づく、前記アクセストークンに対する署名を作成するように動作可能な署名生成器と、
前記作成された署名と前記格納された署名とを比較する比較器とを備え、
前記格納された署名と前記作成された署名とが一致した場合に前記データレコードを利用可能にするように動作可能なデータアクセスシステム。
前記データレコードは、機密情報を記述する請求項16に記載のシステム。
前記データレコードは、財務情報を記述するデータ、医療情報を記述するデータ、従業員情報を記述するデータ、および法律情報を記述するデータのうちの少なくとも1つを含む請求項16または17に記載のシステム。
前記アクセストークンに対する前記署名は、前記それぞれのデータレコードに対する唯一のアクセス方法を表す請求項16、17、または18に記載のシステム。
それぞれの格納された署名は、アクセストークンの前のスキャンから作成された署名である請求項16から19のいずれか一項に記載のシステム。
前記作成された署名と格納されている署名との一致の判定は、同じアクセストークンが両方の署名を作成するために使用されたことを示す請求項20に記載のシステム。
前記署名生成器は、
前記アクセストークンを受け取るように構成された読み取りボリュームと、
コヒーレント光ビームを発生する光源と、
前記コヒーレント光ビームが、前記読み取りボリュームから散乱したときに得られる信号からデータ点の集合を集め、前記データ点の異なる点は前記読み取りボリュームの異なる部分からの散乱に関係する、検出器構成と、
前記データ点の集合から前記アクセストークンの署名を決定するように動作可能なデータ収集および処理モジュールとを備える請求項16から21のいずれか一項に記載のシステム。
前記アクセストークンは、任意のアイテムである請求項16から22のいずれか一項に記載のシステム。
前記アクセストークンは、そのアクセストークンのユーザーにより選択されたアイテムである請求項16から23のいずれか一項に記載のシステム。
前記データレコードは、前記アクセストークンの前記ユーザーに関係する情報のデータレコードであるか、またはその情報を記述したものである請求項24に記載のシステム。
前記比較器は、前記生成された署名を連続するデータの複数のブロックに分割し、それぞれのブロックと前記格納された署名のうちのいくつかの署名のそれぞれのブロックとについて比較演算を実行し、その比較結果の属性を前記比較の予想属性と比較して、前記検証結果を決定する際に使用する補正値を決定し、前記アクセストークンへのダメージおよび/または前記署名作成における非線形性を補正するように動作可能である請求項16から25のいずれか一項に記載のシステム。
前記データレコードは、一致するアクセストークン署名なしで書き込むことができる請求項16から26のいずれか一項に記載のシステム。
データアクセスシステムであって、
それぞれのアクセス鍵を使用してアクセス可能な複数の格納されたデータレコードと、
格納されたアクセストークン署名と、
アクセストークンをスキャンして、前記アクセストークンの固有の特性に基づく、前記アクセストークンに対する署名を作成するように動作可能な署名生成器と、
前記署名を使用してデータアクセス鍵をパッケージ化するように動作可能なパッケージ化ユニットと、
前記格納された署名を使用して前記アクセス鍵をアンパックするように動作可能なアンパックユニットと、
前記アンラップされたアクセス鍵に関連付けられているデータレコードを取り出すように動作可能なデータアクセスユニットとを備えるデータアクセスシステム。
データにアクセスする方法であって、
アクセストークンからのバイオメトリック署名を使用してデータアクセス鍵をラップするステップと、
前記ラップされた鍵を、それぞれがそれぞれのデータアクセス鍵に関連付けられているデータレコードのデータベースに送るステップと、
前記アクセストークンからの格納されたバイオメトリック署名を使用して前記データアクセス鍵をアンラップするステップと
前記アンラップされたデータアクセス鍵に関連付けられているデータレコードを取り出すステップとを含む方法。
明細書に実質的に記載されているデータアクセスシステム。
明細書に実質的に記載されているデータアクセス方法。