JP2008542899A - ヘルパーデータシステムのテンプレート更新 - Google Patents

Abstract

本発明は、参照オブジェクトに関連する第１の制御値（V1）及び第１のヘルパーデータ（W1）を使用して物理オブジェクト（OBJ）を認証する方法を提供する。この方法は、第１のヘルパーデータ（W1）と物理オブジェクトに関連するメトリックデータ（Y）とから得られる情報で雑音補償マッピング（NCM）を使用して、第１の特性集合（S1）を生成するステップと、第１の特性集合（S1）と第１の制御値（V1）とを使用して物理オブジェクトと参照オブジェクトとの間の十分な照合を定めるステップとを有する。この方法は、第１のヘルパーデータ（W1）と第１の特性集合（S1）とメトリックデータ（Y）とを使用して、第１のヘルパーデータ（W1）を更新する更新データ（WUPD）を生成するステップを更に有する。また、この方法を実行するように構成されたクライアント端末も提供される。

Description

本発明は、参照オブジェクトに関連する第１の制御値及び第１のヘルパーデータ（helper data）を使用して物理オブジェクトを認証する方法に関し、この方法は、第１のヘルパーデータと物理オブジェクトに関連するメトリックデータとから得られる情報で雑音補償マッピングを使用して、第１の特性集合を生成するステップと、第１の特性集合と第１の制御値とを使用して物理オブジェクトと参照オブジェクトとの間の十分な照合を定めるステップとを有する。

本発明は、参照オブジェクトに関連する第１の制御値及び第１のヘルパーデータを使用して物理オブジェクトを認証するクライアント端末に関し、このクライアント端末は、第１のヘルパーデータと物理オブジェクトに関連するメトリックデータとから得られる情報で雑音補償マッピングを使用して、第１の特性集合を生成するように構成された生成手段と、第１の特性集合と第１の制御値とを使用して物理オブジェクトと参照オブジェクトとの間の十分な照合を定める確立手段とを有する。

識別及び認証は、識別情報を定めるために一般的に使用される技術である。識別情報は、人又はオブジェクトの識別情報でもよい。識別及び認証の適用分野の主な例は、ビル又は情報へのアクセス制御、支払い又は他のトランザクションの認証である。

認証の処理中に、申請された識別情報（alleged identity）を備えたオブジェクトが認証に提供される。次に、認証に提供されたオブジェクトの特性が、申請された識別情報を備えた登録オブジェクトのものと照合される。十分な照合が見つかった場合、認証されているオブジェクトの識別情報は、申請された識別情報であると考えられる。このように、認証は、申請された識別情報に基づいて１つの登録オブジェクトに対して認証される１つのオブジェクトを照合することを扱う。

オブジェクトの識別処理中に、物理オブジェクトの識別情報は、前に登録されたオブジェクトの特性とそのオブジェクトの特性とを照合することにより定められる。照合の成功が見つかった場合、認証されているオブジェクトの識別情報は、照合するオブジェクトの識別情報であると考えられる。識別処理は、登録オブジェクトでのオブジェクトの繰り返しの認証処理として見なされ得る。

実際の認証システムでは、認証処理は、一般的に登録処理に先行される。この登録中に、オブジェクトの特性が当面測定されて格納される。測定データに基づいて、いわゆるテンプレートデータがオブジェクトについて生成される。このテンプレートデータは、測定された特性と登録オブジェクトとを照合するために、認証処理中に使用される。

頻繁に、テンプレートデータを生成することに関与する処理ステップが存在する。このような処理ステップの主な例は、例えば、雑音を除去するための複数の測定での平均化及び／又は特徴抽出である。その結果、登録は、時間を要する高コストの処理になる可能性があり、認証システムの信頼性に大きな影響を有する。

テンプレートデータは、一見して小さい値を提示してもよい。しかし、このデータが金融トランザクションを行うために通常に使用されると、その値は明白になる。更に、バイオメトリック認証システムの場合、テンプレートデータはまた、プライバシーに注意すべきバイオメトリックデータを有してもよいため、更に大きい値を有してもよい。

国際特許出願WO2004/104899（PHNL030552）は、物理オブジェクトの認証についてのヘルパーデータシステムの形式で、この問題への対策を開示している。

ヘルパーデータシステムは、いわゆるヘルパーデータ及び制御値を認証端末に提供する。双方は登録中に生成され、実際のテンプレートデータの代わりに使用される。ヘルパーデータは、テンプレートデータを使用して生成されるが、テンプレートデータの特性は、テンプレートデータとヘルパーデータとの間にほとんど相関関係が存在しないように不明瞭化される。制御値は、ヘルパーデータと並行して生成され、認証処理の制御値としての役目をする。

ヘルパーデータ及び制御値は、認証中に使用される。まず、ヘルパーデータは、物理オブジェクトから取得されたデータ（例えば、顔特徴データ）と結合される。次に、結合されたデータは、第２の制御値に“圧縮（condensed）”される。この第２の制御値は、登録中に生成された制御値と照合される。これらの制御値が照合するときに、認証が成功する。

ヘルパーデータシステムの強みは弱みも提示する。ヘルパーデータシステムでは、ヘルパーデータとテンプレートデータとの間にほとんど相関関係が存在しない。

長期に渡って顔特徴が変化した場合、又はバッジの摩耗によってメトリックが次第に変化する場合、認証処理の誤りの可能性は、ヘルパーデータシステムがもはやこれらの次第の変化を補償することができない点まで増加する。顔特徴が変化したときに再登録処理を繰り返すことも可能であるが、このことは、一時的に認証不可能になることを意味し、更に、高コストの再登録手順を意味する。

再登録を必要とせずに、ヘルパーデータ型認証の間に使用されるヘルパーデータを更新することができる方法を提供することが、本発明の目的である。

前記の方法は、導入段落に示された方法が、第１のヘルパーデータと第１の特性集合とメトリックデータとを使用して、第１のへルパーデータを更新する更新データを生成するステップを有することを更に特徴とすることで実現される。

ヘルパーデータシステムは、登録中に適用される雑音ロバストマッピングと、認証中に適用される雑音補償マッピングとを有する。この雑音ロバストマッピングは、物理オブジェクトから得られた（バイオ）メトリックデータにおいて測定誤りに対する回復力を提供するために使用される。雑音補償マッピングは、雑音ロバストマッピングの逆として解釈されてもよい。雑音ロバストマッピングは雑音の回復力を追加するが、雑音補償マッピングは、雑音が存在する場合に元のメッセージを再現するためにこれを使用する。

雑音補償マッピングは、測定雑音を補償することができるだけでなく、物理オブジェクトの（バイオ）メトリックデータの構造上の変化を補償することができる。（バイオ）メトリックデータが変化すると、このことは、測定誤りに対する回復力を低減する。この理由は、雑音ロバストマッピングが双方を補償しなければならないからである。（バイオ）メトリックデータが変化し続けると、雑音ロバストマッピングが十分な雑音回復力を提供しなくなる特定の時点で、システムは失敗する。

雑音補償マッピングは、ヘルパーデータに存在する雑音回復力のため、測定データの雑音を補償することができる。この方法は、雑音ロバストマッピングにより提供されるマージンを使用し、基礎になるバイオメトリックテンプレートの変化を補償するために更新データを自動的に生成することを提案する。

雑音ロバストマッピングが十分な雑音回復力を提供する限り、すなわち、物理オブジェクトの認証が成功し得る限り、バイオメトリックの変化は正確に計算され得る。これらの状況では、登録中に使用された秘密情報は、雑音補償マッピングによる認証中に正確に再現可能である。認証処理中に取得された物理オブジェクトの（バイオ）メトリックデータと組み合わせて、この秘密情報は、物理オブジェクトの（バイオ）メトリックデータの変化を定量化するために使用され得る。

このことは、テンプレートデータの再現を可能にしないが、このことは、（バイオ）メトリックの変化を考慮し、測定誤りを補償する雑音ロバストマッピングの雑音回復力を残す新しいヘルパーデータの再現を可能にする。その結果、本発明は、認証システムの全体のロバスト性を改善する。

本発明は、認証の成功の間に、ヘルパーデータ更新データの生成を可能にする。しかし、このことは、認証が成功する毎にヘルパーデータが更新されなければならないことを意味するのではない。本発明の有利な実施例は、特定の参照オブジェクトについて生成された更新データを格納する。

次に、このことは、ヘルパーデータシステムに残された雑音の上方空間（headroom）の客観分析を可能にし、どの程度まで雑音回復力が構造上の変化を補償するために使用されるか、どの程度まで測定雑音を補償するために使用されるかについての分析を容易にする。この分析を使用して、この方法は、基礎となる（バイオ）メトリックの変化による認証の失敗を回避するために、いつヘルパーデータが更新されなければならないかを決定するために使用され得る。

更新データは、現在の制御値と共に使用され得る代替ヘルパーデータ値でもよい。これによって、更新データによるヘルパーデータの置換が可能になる。代替として、更新データは異なるように符号化されてもよい。これによって、使用する前にこのヘルパーデータ値への追加が必要となる。

本発明で使用される良好な種類の雑音ロバストマッピングは、誤り訂正符号エンコードアルゴリズム又はECCエンコードアルゴリズムの種類である。必要な雑音回復力の量は、（バイオ）メトリックデータの量とデータの平均誤りに依存する。対応する誤り訂正符号デコードアルゴリズム又はECCデコードアルゴリズムは、雑音補償マッピングとして使用され得る。

前記の目的は、第２段落に示されたクライアント端末が、第１の生成手段が第１のヘルパーデータと第１の特性集合とメトリックデータとを使用して、第１のヘルパーデータを更新する更新データを生成するように構成されることを更に特徴とすることで更に実現される。

バイオメトリック認証システムの前記及び他の態様は、添付図面を参照して更に明らかになり、これを参照して説明される。

図面を通じて、同じ参照符号は、同じ要素又は同じ機能を実行する要素を示す。

本発明を詳細に説明する前に、ヘルパーデータシステムの一般的な概念について、図１のブロック図を使用して更に説明する。図１は、ヘルパーデータシステムを示している。左側に登録処理ENRLが示されている。登録処理ENRL中に、ヘルパーデータW及び制御値Vが登録されるオブジェクトについて生成される。次に、このデータは、中間に位置する認証データ集合ADSに格納される。右側に示す認証処理AUTH中に、申請された識別情報を備えた物理オブジェクト（図１に図示せず）が認証される。

まず、認証データ集合ADSが、申請された識別情報で参照オブジェクトについて検索される。このような参照オブジェクトが存在しない場合、認証は失敗する。参照オブジェクトが見つかった場合、第１のヘルパーデータW1と、申請された識別情報に関連するこれに伴う第１の制御値V1とが、認証データ集合ADSから取り出される。このデータは、認証される物理オブジェクトOBJが参照オブジェクトに十分に照合し、肯定的な認証を生じるか否かを決定するために使用される。

ヘルパーデータシステムが、指紋データの形式のバイオメトリックデータを使用して、人を認証するために使用されることを仮定する。更に、バイオメトリックテンプレートデータが指紋の中心領域の線（line）及び隆起（ridge）を表すグラフィックを有することを仮定する。取得中の中心領域の位置確認及び位置測定のような問題は、この説明の範囲外である。

登録処理ENRL中に、人は指を指紋スキャナに提示する。１つ以上の指紋走査からの結果は、バイオメトリックテンプレートXを構成するために使用される。更に、場合によっては秘密特性集合Sが選択される。特性集合Sは、雑音ロバストマッピングNRMを用いて特性集合Cにマッピングされる。

次に、特性集合Cは、バイオメトリックテンプレートXと結合され、ヘルパーデータWを生成する。実際のヘルパーデータシステムでは、特性集合S及び雑音ロバストマッピングNRMは、結果のヘルパーデータWがバイオメトリックテンプレートデータXとあまり又は全く相関関係を示さないように選択される。その結果、ヘルパーデータWの使用は、悪意のあるユーザに対してバイオメトリックテンプレートデータXを公開しない。

認証を可能にするために、登録処理はまた、制御値Vの生成を含む。制御値Vは、特性集合Sを使用して生成される。制御値Vは特性集合Sと同じでもよいが、セキュリティが問題となるシステムでは望ましくない。安全なヘルパーデータシステムでは、制御値Vを使用して特性集合Sを再現不可能であるべきである。この要件は、制御値Vが特性集合Sで一方向マッピングを適用することにより生成されるときに満たされる。暗号ハッシュ関数及びトラップドア（trap-door）一方向関数がこのような一方向マッピングの好適な例である。セキュリティが重要でない場合、一方向でないマッピングが使用されてもよい。最後に、ヘルパーデータWと制御値Vとの対が、認証データ集合ADSに格納される。

ヘルパーデータWと制御値Vとの単一の対を使用して特定のオブジェクトが識別可能であるが、ヘルパーデータと制御値の複数の対を使用して特定のオブジェクトが識別され得ることも考えられる。更なるヘルパーデータと制御値との対は、異なる特性集合Sを選択することにより、容易に生成可能である。複数のヘルパーデータと制御値との対は、アクセスレベルを管理するため、又はシステムの更新のために特に有用になり得る。ここでは、認証データ集合が登録オブジェクト当たり単一のヘルパーデータ及び制御値のみを有する場合を仮定する。

認証処理AUTH中に、物理オブジェクト（図１に図示せず）からのバイオメトリックデータY（指紋）が取得される。更に、申請された識別情報が提供される。次のステップは、認証データ集合ADSが、この申請された識別情報で参照オブジェクトについて第１のヘルパーデータW1と第１の制御値V1とを有するか否かを検査することである。そうである場合、参照オブジェクトに関連する第１の制御値V1及び第１のヘルパーデータW1が取り出される。

次に、物理オブジェクトOBJからのバイオメトリックデータYが第１のヘルパーデータW1と結合され、第２の特性集合C1を生じる。物理オブジェクトが参照オブジェクトに対応する場合、バイオメトリックデータYは、バイオメトリックテンプレートXの雑音のあるものとして解釈され得る。
Y=X+N（ただしNは小さい）
第１のヘルパーデータW1は、テンプレートデータXと特性集合Cとにより表され得る。
W1=C-X
置換により、第２の特性集合C1は以下のように記述され得る。
C1=C-X+Y
C1=C-X+X+N
C1=C+N
第２の特性集合C1は、雑音補償マッピングNCMに渡され、第１の特性集合S1を生成する。バイオメトリックデータYに存在する雑音成分Nが十分に小さい限り、或いは雑音ロバストマッピングNRMが十分にロバストである限り、雑音補償マッピングNCMは、第１のヘルパーデータW1を生成する登録中に使用された元の特性集合Sと同一の第１の特性集合S1を再現する。

第１の特性集合S1は、第１の制御値V1と同じように第２の制御値V2を計算するために使用される。次に、第２の制御値V2は、登録中に生成された第１の制御値V1と比較される。ここで、参照オブジェクトが物理オブジェクトに対応することを仮定する。雑音ロバストマッピングNRMが雑音に対して十分な回復力を提供することを仮定すると、第２の制御値V2は第１の制御値V1と同一である。これらの値が同一である場合、認証は成功し、物理オブジェクトOBJの識別情報は申請された識別情報であるとして定められる。

雑音ロバストマッピングNRMは、様々なマッピングから選択されてもよい。簡単な雑音ロバストマッピングNRMは、入力シンボルの複製を含んでもよい。次に、雑音補償マッピングNCMは、受信したシンボルを使用して多数決を要求する。スペクトルの他方側で、リードソロモンECCエンコーダのように、更に複雑な雑音ロバストマッピングNRMが選択されてもよい。

図２は、更新データWUPDを生成する様々なステップを示す本発明による方法のブロック図を示している。図面は、実際の認証処理と更新データWUPDの生成とを示している。認証データ集合又はADSは左側に位置する。認証データ集合は、認証に必要な登録データを有する。この図面は単一の考えられる中央データベースを示しているが、これは本発明の前提条件ではない。

認証処理中に、物理オブジェクトは、申請された識別情報と共に認証に提示される。申請された識別情報に基づいて、第１のヘルパーデータW1と第１の制御値V1との対が認証データ集合ADSから取り出される。これと並行して、物理オブジェクトに関連するメトリックデータYが取得され得る。ここで、参照オブジェクトが物理オブジェクトに対応することを仮定する。

（バイオ）メトリックデータY及び第１のヘルパーデータW1は結合され、処理ステップPROCで第１の特性集合S1を生成するために使用される。効果的に、（バイオ）メトリックデータYの測定雑音を補償するために、雑音補償マッピングが使用される。雑音ロバストマッピングNRMが十分な雑音回復力を提供する場合、再現の後の第１の特性集合S1は、第１のヘルパーデータW1の生成での登録中に使用される特性集合Sに等しい。このことは、認証が成功したと考えられ、物理オブジェクトが参照オブジェクトに等しいことを意味する。

効果的に、図２の実施例は、制御値V1と特性集合S1又はその派生とを照合することにより、雑音ロバストマッピングNRMが十分な雑音回復力を提供するか否かを確認する。セキュリティが重要なヘルパーデータシステムでは、制御値V1は、特性集合Sの暗号ハッシュでもよい。第１の特性集合S1のハッシュ版と制御値V1とを比較することにより、認証が成功したか否かを定めることが可能になる。

図２に示す処理ステップPROCで使用される雑音補償マッピングは、第１の特性集合S1を生成するために使用されるだけでなく、更に、更新データWUPDを生成するためにも使用される。図３、図４、図５及び図６で、この処理ステップPROCが更に説明される。

図３は、雑音補償及び雑音ロバストマッピング（NCM,NRM）の適用により、更新データWUPDを生成するために使用される処理ステップPROCの実装を示すブロック図を示している。更新データWUPDを生成する第１のステップは、第１のマッピングNを使用して第１のヘルパーデータW1とメトリックデータYを結合することにより、第２の特性集合C1を生成することである。次に、第２の特性集合C1は、雑音補償マッピングNCMの適用により、第１の特性集合S1を生成するために使用される。

認証の成功の場合、結果の第１の特性集合S1は、第１のヘルパーデータW1を生成するために登録中に使用された特性集合Sに対応する。この特定の実施例では、第１の特性集合S1は、次に雑音ロバストマッピングNRMを適用し、これによって第３の特性集合C2を生成し、次に第２のマッピングMを適用することにより、第２のヘルパーデータW2を生成するために使用される。

認証の成功の場合、第３の特性集合C2は、第１のヘルパーデータW1を生成するために登録中に使用された特性集合Cと同一である。従って、第２のヘルパーデータW2は、第３の特性集合C2及びメトリックデータYでマッピングMを適用することにより生成され得る。

図２からの方法が図１に示すヘルパーデータで使用される更新データWUPDを生成するように構成される場合、第１のマッピングNと第２のマッピングMとは、次のように選択される必要がある。
N(x,y)=x+y ただしx=W1及びy=Y
M(x,y)=x-y ただしx=C2及びy=Y
この実施例は、認証中に使用される元のテンプレートデータXを認識する必要なく、更新データ（WUPD）の生成を容易にする。その代わりに、本発明は、雑音補償マッピングNCMに依存し、第２のヘルパーデータ値W2の生成を可能にする第１の特性集合S1を提供する。これを行うことで、この実施例は、再登録の必要のないヘルパーデータの更新を可能にする。

第１のヘルパーデータW1と第２のヘルパーデータW2とを入れ替えることも可能であるが、まず、更新を正当化するかなりの変化が存在するか否かを定めることが有意義である。このため、図３は、結合ブロックCOMBを有する。ヘルパーデータにかなりの変化が存在する場合、これらの変化の傾向を定めることが不可欠である。

傾向は、１つの特定の参照オブジェクトについて複数の認証処理中に生成された複数の更新データ値の分析により検出され得る。このため、結合ブロックCOMBは、記憶要素を有してもよい。雑音ロバストマッピングNRMの特性と共に傾向を認識することは、更新値WUPDの品質を改善するために使用され得る。

W1を更新するために２つの異なる手法が考えられ得る。
1.前に生成された複数の更新データ値から１つを選択し、W1を入れ替える。
2.前に生成された更新データ値に基づいてW1を入れ替える新しいヘルパーデータを生成する。

第１の手法は、選択された更新データWUPDが、選択された更新データWUPDの生成中に取得された（バイオ）メトリックデータYと共に、雑音に対する最大の回復力を生じることを保証する。

第２の手法は、前の認証処理中に生成されたいずれの特定の更新データにも対応しない新しい更新データWUPDの生成を可能にする。

第１の手法（選択）の簡単な実装は、選択基準として、平均更新データと個々の更新データとの間のハミング距離を使用する。まず、特定の参照オブジェクトについて全ての更新データ値を平均化することにより、ビット毎に平均更新データが決定される。次に、この平均更新データへの最小のハミング距離を有する更新データが選択される。選択された更新データWUPDは、第１のヘルパーデータW1を入れ替えるために使用され得る。

第２の手法による実装は、前の例で使用されたものと同様の平均更新データを計算してもよい。しかし、１つの特定の前に生成された更新データを選択する代わりに、そのヘルパーデータ更新値について徹底的な検索が実行される。ヘルパーデータ更新値は、格納された更新値の１つから閾値T未満の位置だけ異なり、平均更新データ値への最小のハミング距離を有する。雑音補償マッピングがT以上のビット誤りを訂正することができることを仮定する。閾値の制約は、雑音ロバストマッピングが十分にロバストであり、雑音補償マッピングが誤りを保証することができることを保証するが、第２の制約は、最も適した候補を選択する役目をする。

最善のヘルパーデータ更新値の選択とは別に、第１のヘルパーデータW1をいつ更新するかについて、第２の等しく重要な課題に答えなければならない。複数の基準がこの選択に影響を及ぼし、個々の用語毎に重み付けられるべきである。
1.連続的なロバスト検出を保証する
2.計算のオーバーヘッドを制限する
3.記憶装置のオーバーヘッドを制限する
ヘルパーデータ更新の頻度は、認証システムに提示される計算上の要件に影響を及ぼす。構造上の変化を補償するために、全ての認証の成功の間にヘルパーデータを更新することは有意義ではない。しかし、十分な履歴が取得されると、認証と共に又は任意の時点でヘルパーデータの更新を実行することが可能である。

本発明の重要な特徴は、基礎となる（バイオ）メトリックデータが変化しているか否か、雑音ロバストマッピングNRMの機能を超える可能性が存在するか否かを定める明白な修飾子（qualifier）を提供することができるという点にある。これらの２つの組み合わせは、基礎となる（バイオ）メトリックの構造上の変化が存在する場合であっても、連続的なロバスト認証を保証するヘルパーデータのタイムリーな更新を可能にする。

図４は、第１の差分指標DM1を定めるために雑音補償マッピングNCMと雑音ロバストマッピングNRMとを使用して更新データWUPDを生成するために使用される処理ステップPROCの実装を示すブロック図を示している。図４のマッピングは、第２のヘルパーデータW2を計算しないが、その代わりにデルタヘルパーデータDWを計算するという点で、図３のマッピングと異なる。

まず、第１の差分指標DM1は、第２の特性集合C1と第３の特性集合C2との間で定められる。登録中に第１のヘルパーデータW1を生成したヘルパーデータ生成処理が、特性集合CとテンプレートデータXとの線形マッピングであったことを仮定すると、第１の差分指標DM1を定め、デルタヘルパーデータDWを生成するためにこれを使用することが可能である。

差分指標DM1は、第３の特性集合C2から第２の特性集合C1を引くことにより生成される。次に、第１の差分指標DM1は、第１のマッピングNを補償するようにスケーリングされる。このため、第１の差分指標DM1は、第３のマッピングLに渡され、デルタヘルパーデータDWを生じる。デルタヘルパーデータDWが定められると、これは、第１のヘルパーデータW1を更新するために使用され得る。

図５は、第２の差分指標DM2を定めるために雑音補償マッピングNCMを使用して更新データWUPDを生成するために使用される処理ステップPROCの実装を示すブロック図を示している。図４の実装と比較して、図５の実装は、第１の特性集合S1で雑音ロバストマッピングを適用しないが、その代わりに、第３の特性集合C2の代わりのこの特定の特性集合を使用する。雑音ロバストマッピングNRMが特定の特性を示す場合にのみ、この簡略化は可能である。

前の実施例では、雑音補償マッピングNCM及び雑音ロバストマッピングNRMの双方が差分指標を定めるために使用されている。しかし、雑音ロバストマッピングとして特定の種類の誤り訂正符号エンコーダアルゴリズムが使用される場合、差分指標は、雑音ロバストマッピングNRM自体を再適用する必要なく生成され得る。この種類の誤り訂正符号は、いわゆる系統的誤り訂正符号（systematic error correcting code）である。

このような符号の好適な例はリードソロモンブロック符号（Reed Solomon block code）である。入力ブロックはペイロードデータと連結されたパリティデータとを有する。次に、出力ブロックは、訂正されたペイロードデータと連結された訂正済のパリティデータとで構成される。この場合、差分指標を定めることは、更なるエンコードを必要とせず、デコーダ出力ブロックからデコーダ入力ブロックを引くほど簡単になり得る。

前記のシナリオは図５に示されており、第２の特性集合C1は第１の特性集合S1から引かれ、第２の差分指標DM2を得る。次に、この第２の差分指標は、第１のマッピングNを補償するようにスケーリングされ得る。結果のデルタヘルパーデータDWは、第１のヘルパーデータW1を更新するために使用され得る。

図６は、差分指標を定めるために雑音補償マッピングを使用して更新データWUPDを生成する簡略化した処理ステップPROCを示すブロック図を示している。図６に示す実装は、図５に示す実装の特に簡単な例である。
N(x,y)=x+y ただしx=W1及びy=Y
L(x,y)=x ただしx=DM2
COMB(x,y)=x+y ただしx=DW及びy=W1
本発明による方法を実装した実際のヘルパーデータシステムでは、様々なステップがシステム構成要素に分配される。この分配は、様々なシステム構成要素のリソース要件（通信帯域、記憶容量及び処理容量等）に影響を及ぼす。前記及び他の関係事項は、図７、８及び９に示す３つの認証システムを使用して説明される。これらのシステムのそれぞれは、本発明の有利な実施例を有する。

図７は、本発明によるクライアント端末TRMを有する物理オブジェクトOBJのバイオメトリック認証用のヘルパーデータシステムのブロック図を示している。このようなシステムの例は、指紋認証を必要とするアクセス制御端末である。

図７に示すブロック図は、左側に中央データベースCDBを有し、中央に示す少なくとも１つのクライアント端末TRMを有する。中央データベースCDBは、認証データ集合ADSと、ヘルパーデータ更新手段UPDと、更新データデータベースUPDDBとを有する。

次に、クライアント端末TRMは、バイオメトリックテンプレートデータYを取得する取得手段ACQを有する。取得手段ACQは、物理オブジェクトOBJからバイオメトリックデータYを取得する。このバイオメトリックデータYは、生の指紋でもよく、処理版の指紋でもよい。更に、端末は申請された識別情報AIDを取得する。

クライアント端末TRMは、中央データベースCDBに連絡し、申請された識別情報AIDを中央データベースCDBに提示する。認証データ集合ADSが申請された識別情報AIDを備えた参照オブジェクトを有する場合、中央データベースCDBは、参照オブジェクトに関連する第１の制御値V1及び第１のヘルパーデータW1をクライアント端末TRMに提供する。

生成手段GMは、第１の特性集合S1を生成する前述の処理ステップPROCを有する。次に、第１の特性集合S1は、認証処理が確立手段EMを使用して成功するか否かを定めるために使用される。更に、生成手段はまた、更新データデータベースUPDDBに格納されるために中央データベースCDBに提示される更新データWUPDを生成する。

この実施例では、更新データデータベースUPDDBは、中央データベースCDBに存在し、これによって、ローカル入力をヘルパーデータ更新手段UPDに提供する。この実施例の利点は、ヘルパーデータ更新が安全な環境で（場合によってはオフラインで）中央で行われ得る点である。ここで、クライアント端末TRMは、ヘルパーデータの準備に関与するが、ヘルパーデータの実際の更新に関与しない。図７に示すシステムへの更なる改良も可能である。

１つのこのような改良は、ヘルパーデータ更新の数を低減することである。認証のそれぞれの成功の後にヘルパーデータを更新することは、中央データベースCDBのヘルパーデータ更新手段UPDにかなりの負荷を生じる。

クライアント端末への簡単な拡張は、この負荷をかなり低減し得る。クライアント端末TRMは、まず、計算された第２のヘルパーデータW2と第１のヘルパーデータW1との間の差の差分指標を定めるように構成され得る。この差分指標に基づいて、クライアント端末TRMは、この指標が所定の閾値を超過した場合に、中央データベースCDBに新しいヘルパーデータのみを提示する。その結果、中央ヘルパーデータ更新手段UPDの負荷及び計算要件は、更新手順の一部をクライアント端末TRMに任せることにより、かなり低減される。

クライアント端末TRMは、認証を扱うが、小さい拡張で、識別に使用され得る。識別の場合、認証データ集合ADSからの複数のオブジェクトは、物理オブジェクトOBJから取得されたメトリックデータYと比較される。識別の場合、識別される物理オブジェクトは、申請された識別情報を提供しない。その代わりに、物理オブジェクトOBJの識別情報は、十分な照合又は最善の照合を提供する参照オブジェクトの識別情報から導かれ得る。このため、TRMは、認証データ集合ADSから参照オブジェクトの識別情報を取り出すことができ、判定DECに基づいて物理オブジェクトOBJの識別情報が参照オブジェクトのものと同一であることを定めることができる識別情報確立手段で拡張され得る。

内蔵のヘルパーデータ更新を備えたヘルパーデータを適用した認証システムの代替実施例が図８に示されている。図７と図８との間の主な違いは、認証されるオブジェクトから生じる。

図８に示すシステムでは、認証される物理オブジェクトOBJは、内蔵の光PUF（Physical Uncloneable Function）を使用して認証されるスマートカードである。スマートカードのPUFは、スマートカードを認証するために使用され得る固有の特性を提供する。人がこのPUFを追跡又は再現できる可能性を低減するために、ヘルパーデータが使用され得る。

しかし、PUFが摩耗及び／又は老朽化により影響を受けると、基礎となるメトリックが過度に変化又はドリフトしたときに、スマートカードは使用不可能になり得る。本発明は、認証データ集合ADSに位置する物理オブジェクトOBJの第１のヘルパーデータW1を更新することにより、これらの変化を補償することで、PUFが使用不可能になることを回避する機能を提供する。

図７のシステムに対して、このシステムは、更新データの一時記憶装置を提供するためにスマートカードのローカル不揮発性記憶装置を使用する。これを行うことで、中央データベースCDBは、システムの全てのオブジェクトについて中央で更新データを格納する必要がない。その代わりに、システムを通じて分散した記憶装置を使用することから利益を受け得る。

従って、ヘルパーデータ及び更新データは、基礎となるメトリックに関してほとんど又は全く情報を提供しないため、この記憶装置は安全である必要はない。スマートカードのローカル記憶装置の存在はスマートカードによるヘルパーデータの前処理を容易にし得るが、スマートカードの電力損失及び処理制限はこの可能性を制約する。

中央データベースCDBのヘルパーデータが更新されているときに、格納された更新データWSTORは、スマートカードから取り出され、中央データベースに渡される。ここで、新しいヘルパーデータが計算され、認証データ集合ADSに格納される。ヘルパーデータ更新処理中にスマートカードから中央データベースCDBに渡されなければならないデータ量は、望ましくないボトルネックを提供し得る。更新処理の一部は、通信のボトルネックを低減するために、クライアント端末TRMにより処理されてもよい。

図９に示すクライアント端末TRMは、処理及び帯域の課題の双方について代替の対策を提供する。図９の実施例は、更新データデータベースUPDDBとしてスマートカードのローカル不揮発性記憶装置を使用する。ここで格納された更新データは、中央に格納されたヘルパーデータを更新するために使用されないが、認証中に使用される新しい第１のヘルパーデータW1を生成するために中央に格納されたヘルパーデータと共に使用される。これに関して、図９に示す実施例は、図７及び図８の双方のシステムと異なる。ここでは、認証用の第１のヘルパーデータW1が“進行中に（on the fly）”生成される。

その結果、中央データベースCDBが簡略化され得る。更新データの中央記憶装置は必要なく、認証データ集合ADSに格納されたヘルパーデータを更新する計算能力も必要ない。その代わりに、中央データベースCDBは、ヘルパーデータW3と第１の制御値V1とをクライアント端末TRMに提供する。

クライアント端末TRMは、ヘルパーデータW3と１つ以上の格納された更新データとを使用し、物理オブジェクトOBJの認証に使用される第１のヘルパーデータW1を生成する。

その結果、クライアント端末TRMの複雑性は大きくなるが、格納された更新データの交換が局所的になるため、中央データベースへの帯域要件はかなり低減される。この実施例により提示される更なる利点は、認証データ集合ADSに格納されたヘルパーデータW3が影響を受うけないままになるという事実にある。前に説明した実施例では、第１のヘルパーデータは更新され、次に認証データ集合ADSに格納される。ここでは、認証データ集合のヘルパーデータ（ヘルパーデータW3）は影響を受けないままになる。その結果、更新手段UPDにより生成された第１のヘルパーデータW1は、第１のヘルパーデータW1を生成するために元の変更されていないヘルパーデータW3を使用する。その結果、第１のヘルパーデータW1は、元のヘルパーデータW3から次第に“ドリフト（drift）”し得ない。

ヘルパードリフトデータを制限する様々な実装が考えられ得る。１つの実装は、まず、新しく生成された第１のヘルパーデータW1と認証データ集合に格納されたヘルパーデータW3との間のハミング距離を決定する。この距離が所定の閾値を超過すると、前に生成された第１のヘルパーデータが、新しく生成された第１のヘルパーデータの代わりに使用される。これを行うことで、ヘルパーデータ更新手段UPDは、ヘルパーデータのドリフトを制限することができ、異なるヘルパーデータと制御値との対の間のエイリアシング（aliasing）の可能性を効果的に制限し得る。

ヘルパーデータのドリフトは、参照としての登録処理中に記録された元のヘルパーデータを保護することにより、本発明の実施例で保護され得る。しかし、更新機能を制限することにより、最終的に物理オブジェクトの再登録が必要となる可能性が増加する。

図９に示す実施例は、本発明を説明するものに過ぎず、限定として解釈されるべきではない。図７、８及び９の実施例により示すように、この方法によるクライアント端末TRMを使用する認証システムは、様々な方法で分配可能であり、特定のコンテキストに有利に使用され得る特性を生じる。

前記の実施例は、単一の第１のヘルパーデータW1と単一の第１の制御値V1とが物理オブジェクトを識別するために使用される方法及びクライアント端末を示す。本発明はこのようなシステムに限定されず、ヘルパーデータと制御値との複数の対、又は１つのヘルパーデータと複数の制御値が物理オブジェクトを認証するために使用されるシステムにも適用可能である。

前記の全ての実施例は、認証処理に焦点を当てるが、本発明は、同様に識別処理にも適用可能である。識別処理中に、登録データベースからの参照オブジェクトは、識別中の物理オブジェクトと照合される。この処理は、繰り返し認証処理としてみなされることができ、この場合に、申請された識別情報は参照オブジェクトの識別情報と等しく、従って、本発明はまた、このような方法を実装した識別方法及びクライアント端末にも適用される。

前述の実施例は、本発明を限定するものではなく、説明するものであり、特許請求の範囲を逸脱することなく、当業者は多数の代替実施例を設計することができる点に留意すべきである。

請求項において、括弧の間にある如何なる参照符号も請求項を限定するものとして解釈されるべきではない。“有する”という用語は、請求項に記載のもの以外の要素又はステップの存在を除外しない。単数の要素はこのような要素の複数の存在を除外しない。

本発明は、複数の別個の要素を有するハードウェアを用いて、及び適切にプログラムされたコンピュータを用いて実装され得る。複数の手段を列挙した装置の請求項では、これらの手段のうちいくつかは、ハードウェアの同一のアイテムにより具現され得る。特定の手段が相互に異なる従属項に記載されているという単なる事実は、これらの手段の組み合わせが有利に使用できないことを意味しているのではない。

従来技術による物理オブジェクトを認証するヘルパーデータシステムのブロック図 本発明による更新データWUPDを生成する方法を示すブロック図 雑音ロバストマッピングと雑音補償マッピングとを使用した更新データWUPDの生成を示すブロック図 差分指標を定めるために雑音ロバストマッピングと雑音補償マッピングとを使用した更新データWUPDの生成を示すブロック図 差分指標を定めるために雑音補償マッピングを使用した更新データWUPDの生成を示すブロック図 差分指標を定めるために雑音補償マッピングを使用した更新データWUPDの簡単な生成を示すブロック図 本発明によるクライアント端末を有する物理オブジェクトのバイオメトリック認証用のヘルパーデータシステムのブロック図 更新データWUPDの一時的な記憶装置としてスマートカードで不揮発性記憶装置を使用する、本発明によるクライアント端末を有するスマートカードの認証用のヘルパーデータシステムのブロック図 ヘルパーデータ生成手段を有し、更新データWUPDの一時的な記憶装置としてスマートカードで不揮発性記憶装置を使用する、本発明によるクライアント端末を有するスマートカードの認証用のヘルパーデータシステムのブロック図

Claims (19)

1. 参照オブジェクトに関連する第１の制御値及び第１のヘルパーデータを使用して物理オブジェクトを認証する方法であって：
   −前記第１のヘルパーデータと前記物理オブジェクトに関連するメトリックデータとから得られる情報で雑音補償マッピングを使用して、第１の特性集合を生成するステップと、
   −前記第１の特性集合と前記第１の制御値とを使用して前記物理オブジェクトと前記参照オブジェクトとの間の十分な照合を定めるステップと
   を有し、
   前記第１のヘルパーデータと前記第１の特性集合と前記メトリックデータとを使用して、前記第１のへルパーデータを更新する更新データを生成するステップを有することを更に特徴とする方法。
2. 前記更新データは、メトリックデータと共に前記更新されたヘルパーデータが、認証中に十分な照合を生じるように選択される、請求項１に記載の方法。
3. −前記第１の特性集合を生成するステップは、前記第１のヘルパーデータと前記メトリックデータとを有する情報で第１のマッピングを使用して第２の特性集合を生成することを更に有し、
   −前記第１の特性集合を生成するステップは、前記第２の特性集合で雑音補償マッピングを使用して、前記第１の特性集合を生成する、請求項１に記載の方法。
4. 前記更新データを生成するステップは、前記第１の特性集合で雑音ロバストマッピングを適用することにより、第３の特性集合を生成することを有する、請求項３に記載の方法。
5. 前記更新データを生成するステップは、第３の特性集合と前記メトリックデータとを有する情報で第２のマッピングを適用することを有する、請求項４に記載の方法。
6. −前記更新データを生成するステップは、前記第２の特性集合と前記第３の特性集合との間の差を定量化した第１の差分指標を生成することを有し、
   −前記更新データは、前記第１の差分指標を有する情報で第３のマッピングを適用することにより生成される、請求項４に記載の方法。
7. −前記更新データを生成するステップは、前記第１の特性集合と前記第２の特性集合との間の差を定量化した第２の差分指標を生成することを有し、
   −前記更新データは、前記第２の差分指標を有する情報で第３のマッピングを適用することにより生成される、請求項３に記載の方法。
8. 前記更新データは、後の参照のために格納される、請求項１ないし７のうちいずれか１項に記載の方法。
9. 生成されて格納された複数の更新データから１つを選択し、第１のヘルパーデータを入れ替えるステップを更に有する、請求項８に記載の方法。
10. 前記生成されて格納された複数の更新データから少なくとも１つを使用して交換ヘルパーデータを生成し、前記第１のヘルパーデータを入れ替えるステップを更に有する、請求項８に記載の方法。
11. 前記物理オブジェクトと前記参照オブジェクトとの間に十分な照合が見つかった場合に、前記第１のヘルパーデータは、前記更新データを使用して更新される、請求項１に記載の方法。
12. 前記第１のヘルパーデータは、前記生成されて格納された複数の更新データから少なくとも１つを使用して更新される、請求項８に記載の方法。
13. 参照オブジェクトに関連する第１の制御値及び第１のヘルパーデータを使用して物理オブジェクトを識別する方法であって、
    前記参照オブジェクトの識別情報と同一の前記物理オブジェクトの識別情報を定めるステップを更に有する、請求項１に記載の方法。
14. 参照オブジェクトに関連する第１の制御値及び第１のヘルパーデータを使用して物理オブジェクトを認証するクライアント端末であって：
    −前記第１のヘルパーデータと前記物理オブジェクトに関連するメトリックデータとから得られる情報で雑音補償マッピングを使用して、第１の特性集合を生成するように構成された生成手段と、
    −前記第１の特性集合と前記第１の制御値とを使用して前記物理オブジェクトと前記参照オブジェクトとの間の十分な照合を定める確立手段と
    を有し、
    前記第１の生成手段は、前記第１のヘルパーデータと前記第１の特性集合と前記メトリックデータとを使用して、前記第１のヘルパーデータを更新する更新データを生成するように構成されることを更に特徴とするクライアント端末。
15. 前記更新データは、メトリックデータと共に前記更新されたヘルパーデータが、認証中に十分な照合を生じるように選択される、請求項１４に記載のクライアント端末。
16. 後の参照のために前記物理オブジェクトの認証中に生成された前記更新データを格納する記憶手段を更に有する、請求項１４に記載のクライアント端末。
17. 前記クライアント端末の外部に格納するために、前記物理オブジェクトの認証中に生成された前記更新データを出力するように構成される、請求項１４に記載のクライアント端末。
18. 前記物理オブジェクトの認証で使用されるために識別されている前記物理オブジェクトから、生成されて格納された複数の更新データのうち少なくとも１つを取り出す、請求項１４に記載のクライアント端末。
19. コンピュータプログラムがコンピュータで作動すると、請求項１ないし１３のうちいずれか１項に記載の方法を実行する、コンピュータ可読媒体に格納されたプログラムコード手段を有するコンピュータプログラム。

Images