JP2011044178A - バイオメトリックデバイスを用いて企業リソースへのアクセスを可能にするシステム、方法およびコンピュータプログラム製品 - Google Patents

Abstract

【課題】ネットワークが提供する生産性の増加を相殺しないように、保護等の管理の効果的な手段と適切なリソース保護とバランスを保つこと。
【解決手段】企業リソースに対するユーザ認証用にバイオメトリック測定値を用いる、システム、方法およびコンピュータプログラム製品。上記システムは、バイオメトリックサーバを含み、上記バイオメトリックサーバは、エンジンと上記システムがユーザ認証を行う際に必要とするデータの集合とを格納する。上記データの集合は、バイオメトリックテンプレート（５０２）、バイオメトリックポリシー（５０４）、バイオメトリックグループ（５０６）、バイオメトリックデバイスＩＤ（５０８）、ユーザＩＤ（５１０）、コンピュータＩＤ（５１２）およびアプリケーションＩＤ（５１４）を含む。本発明において、上記システムによるユーザ認証の様式または方法を決定するのは、上記バイオメトリックポリシー（５０４）である。
【選択図】図５

Description

（発明の背景）
（発明の分野）
本発明は、企業リソースにアクセスするためのシステム、方法およびコンピュータプログラム製品に関し、より詳細には、企業リソースへのユーザ認証のバイオメトリック測定の利用、従って、アクセスに関する。

（関連技術）
企業リソースは、コンピュータ、アプリケーションおよびデータを含む。コンピュータはしはしば、１つ以上のネットワークを用いて接続される。コンピュータネットワークには、多くのタイプがある。種々のタイプのネットワークには、ローカルエリアネットワーク（ＬＡＮ）、広域エリアネットワーク（ＷＡＮ）、インターネットおよびイントラネットが含まれる（ただし、これらに限定されない）。一般に、コンピュータネットワークは、プライベートであってもなくてもよい。典型的なプライベートネットワークは、中央制御される。

ネットワークにより提供された結果もたらされた接続性は、例えば、ネットワーク上のデータおよび他のリソースを共有するといういくつかの特徴を可能にする。例えば、ネットワークは、アプリケーション（ｅメール、ネットワークファイルシステム（ネットワークを介してアクセスされるディスクを用いてデータを共有する）、分散処理（プログラムの異なる部分を一般には並列に異なるコンピュータで実行する）およびプリンタとサーバとの共有等）を可能にする。これらのアプリケーションにより、通常、通信能力、リソースの効果的な使用、および／またはより高速なデータ処理が向上され、それにより、企業内の生産性上昇をもたらす。

ネットワーク接続性およびアプリケーションの提供は、予め定義されたインターフェースに従ってインプリメントされたいくつかのネットワーク要素の操作を必要とする。ネットワーク要素は、ネットワーク接続性またはアプリケーションを提供するためにインターフェース規格に従って動作し得るハードウェア回路／デバイスおよびソフトウェアエンティティ（例えば、ソフトウェアオブジェクト、プロセスまたはスレッド）を含む（ただし、これらに限定されない）。インターフェースは、オープンプロトコルまたはメーカ独自の（ｐｒｏｐｒｉｅｔａｒｙ）プロトコルに基づき得る。

オープンインターフェースは、公開されている。オープンインターフェースの例として、転送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）およびプロトコルのＩＥＥＥ ８０２ファミリーがあり、これらの両方は、一般に、ネットワーキングコミュニティで使用される。あるいは、メーカ独自のインターフェースは、個人に所有され、個人で制御される。メーカ独自のインターフェースの例として、ＩＢＭで主にインプリメントされているシステムネットワークアーキテクチャ（ＳＮＡ）がある。以下に、種々のタイプのネットワークが簡単に説明される。

ＬＡＮは、地理的に互いに近接したコンピュータ（例えば、同じ建物内にある）を接続する。ＬＡＮは、典型的に企業によって所有され、制御されているプライベートネットワークである。

ＷＡＮは、地理的にさらに離れたコンピュータを（例えば、地理的に離れたれ複数のオフィスにおいて）、電話回線または電波により接続する。ＷＡＮもまた、典型的に、企業によって所有され、制御されているプライベートネットワークである。複数のＬＡＮは、ＷＡＮにより接続され得る。

インターネットは、非常に多くのコンピュータを接続するグローバルネットワークである。１９９８年の時点において、インターネットは、世界中で１億人以上のユーザを有し、その数は、急速に増大している。１００以上の国々は、データ、ニュースまたは意見のやり取りにリンクされている。中央制御されるプライベートネットワークと異なって、インターネットは、分散型として設計されている。ホストと呼ばれる各インターネットコンピュータは、独立している。ユーザは、使用するインターネットサービスをどれにするか、およびグローバルインターネットコミュニティに利用可能にするローカルサービスをどれにするかを選択することができる。インターネットにアクセスするためには、種々の方法がある。ほとんどのオンラインサービス（例えば、Ａｍｅｒｉｃａ Ｏｎｌｉｎｅ）は、いくつかのインターネットサービスへのアクセスを提供する。商業用インターネットサービスプロバイダ（ＩＳＰ）を介してアクセスを得ることも可能である。

ＩＳＰは、インターネットへのアクセスを提供する会社である。月額を支払えば、ＩＳＰは、ソフトウェアパッケージ、ユーザネーム、パスワードおよびアクセス電話番号を利用者に与える。モデムが装備されていれば、ユーザは、インターネットにログオンし、ワールドワイドウェブおよびＵＳＥＮＥＴをブラウズし、ｅメールを送受信する。個人へのサービスに加えて、ＩＳＰはまた、個々の大手企業にサービスし、企業のネットワークからインターネットへの直接接続を提供する。ＩＰＳ自身は、ネットワークアクセスポイント（ＮＡＰ）を介して互いに接続される。

イントラネットは、個人に所有され、制御されたネットワークである。イントラネットのホストサイトは、任意の他のホストサイトのように見え、またそのように作動し得るが、イントラネットを包囲するファイアウォールは、許可されていないアクセスを寄せ付けない。インターネットそのものと同様に、イントラネットは、情報（すなわち、データ）を共有するために使用される。セキュアイントラネットは、現在、最も急速に成長しているインターネットの細分化ネットである。なぜならば、セキュアイントラネットは、メーカ独自のプロトコルに基づいたプライベートネットワークよりも構築し、管理するのに低コストであるためである。

従って、企業リソースが大きくなるにつれ、そのリソースを保護することの複雑性および重要性も大きくなる。一般に、リソース保護の管理は、企業リソースを保護する識別メカニズムのタイプを決定する工程、選択した識別メカニズムの保全性を維持する工程、ユーザを管理する工程、どの企業リソースを保護するかを決定する工程、および通常方法による認証が失敗した際に、ユーザが企業リソースにアクセスすることを可能にする代替的な方法を決定する工程を必要とする。ネットワークにおけるリソース保護の管理は、複雑で高価なタスクであるだけでなく、その管理は、リソースのネットワーク化が提供する望ましい生産性と競合し得る。

上記で議論されたように、企業リソースをまとめてネットワーク化する結果の１つに、向上した通信と、リソースのより効率的な使用とによって、生産性が増加することがある。生産性におけるこの増加は、任意の企業にとって重要である一方で、企業リソースの保護も重要である。ネットワークが企業リソースへのより簡単なアクセスを提供するように機能するが、その同じ企業リソースを保護する認証メカニズムは、企業リソースへのアクセスを制限するように機能する。従って、ネットワークが企業に提供する生産性におけるこの増加を相殺しないように、企業は、保護等の管理の効果的な手段と適切なリソース保護とバランスを保つことが必要である。

（発明の要旨）
本発明は、企業リソースに対するユーザ認証のためのバイオメトリック測定を利用するシステム、方法およびコンピュータプログラム製品に関する。このシステムは、バイオメトリックサーバを備える。このバイオメトリックサーバは、ユーザを認証するためにシステムに必要とされるエンジンおよびデータ集合を格納する。データ集合は、バイオメトリックテンプレート、バイオメトリックポリシー、バイオメトリックグループ、バイオメトリックデバイスＩＤ、ユーザＩＤ、コンピュータＩＤおよびアプリケーションＩＤを含む。本発明では、バイオメトリックポリシーは、ユーザがシステムによって認証される手段または方法を決定する。バイオメトリックポリシーの実行は、１つ以上のバイオメトリックテンプレートの使用を含む。１つの固有なバイオメトリックテンプレートは、ユーザが異なるバイオメトリックデバイスに登録するたびに作成され、バイオメトリックサーバに格納される。バイオメトリックデバイスは、科学技術を利用して、一意的な個人的特徴を比較した測定に基づいて、ユーザを識別する。バイオメトリック測定と呼ばれるこれらの測定には、指の形状および手の形状、網膜画像および顔画像、体重、ＤＮＡデータ、呼気、音声、タイピングストロークおよび署名の測定が含まれる（ただし、これらに限定されない）。

バイオメトリックサーバに格納されたデータのタイプは、登録ステーションおよび管理ステーションの操作により、部分的に判定される。登録ステーションは、ユーザをバイオメトリックシステムに登録するために使用される。管理ステーションは、全般的な管理業務を実行するために、そしてバイオメトリックサーバにデータを最初にセットアップするために使用される。衛星登録ステーションは、遠隔地でバイオメトリックシステムにユーザを登録するために使用され得る。最終的に、代替的なバイオメトリックサーバは、バイオメトリックサーバに対するバックアップすなわちスタンバイサーバである。この代替的なバイオメトリックサーバは、システムがユーザを認証するのに常に利用可能であることを保証する。

本発明のバイオメトリックポリシーは、個々の企業リソースの保護のレベルにフレキシビリティを提供する。予め定義されたバイオメトリックポリシーには、オアポリシー、アンドポリシー、条件付きポリシー、ランダムポリシーおよび閾値ポリシーが含まれる。これは、バイオメトリックデバイスおよび非バイオメトリックデバイスの両方をレイヤー化することによりなされる。デバイスのレイヤー化により、論理的な手段（バイオメトリックポリシーを介した）での１つ以上のデバイスの組合が、各企業リソースを保護することが可能となる。本発明はまた、各バイオメトリックデバイスについて異なる閾値を設定することが可能である。言い換えれば、本発明は、ユーザが企業リソースへのアクセスを得る前に、各ユーザが通過しなければならない確率（例えば、ユーザが主張している人物である確率は、１／１０００、１／１０，０００または１／１０００，００００である）に基づいて認証レベルを変更し得る。

本発明の別の特徴は、バイオメトリックテンプレートおよびデジタル証明へのアクセスを容易にするために、階層的な構造でバイオメトリックテンプレートおよびデジタル証明の両方を格納する方法に関する。本発明の別の特徴は、証明機関システムのローミングプロフィールサーバとして本発明のシステムを利用することに関する。

本発明のさらなる特徴および利点、ならびに本発明の種々の構成および動作は、添付の図面を参照して、以下に詳細に説明する。図面において、同様の参照符号は、一般に、同一の、機能的に同様の、および／または構造的に同様の要素を示す。要素がはじめに現れる図面は、対応する参照番号の左端の数字（単数または複数）によって示される。
本発明は、以下の項目を含む。
（項目１） 企業リソースにユーザ認証を提供する方法であって、
（ａ）バイオメトリックサーバを設定する工程であって、該バイオメトリックサーバは、ユーザが該企業リソースにアクセスすることができるか否かを判定する少なくとも１つのバイオメトリックポリシーを自身の内部に格納し、該バイオメトリックポリシーは、少なくとも１つのバイオメトリックデバイスと関連付けられる、工程と、
（ｂ）該バイオメトリックポリシーを実行することにより、該ユーザが認証されているか否かを判定する工程と、（ｃ）該ユーザが該バイオメトリックポリシーに合格した場合、該ユーザが該企業リソースにアクセスすることを可能にし、該ユーザが該バイオメトリックポリシーに合格しなかった場合、該ユーザによる該企業リソースへのアクセスを拒否する工程と
を包含する、方法。
（項目２） 前記ユーザに前記バイオメトリックデバイスの各々についてバイオメトリックテンプレートを作成させることにより、該ユーザを認証対象として登録する工程であって、該バイオメトリックテンプレートは、該ユーザに対して一意的なバイオメトリックデータを含む、工程をさらに包含する、項目１に記載の方法。
（項目３） 前記ユーザが前記企業リソースへのアクセスを得るために、該ユーザをテストする必要のある１つ以上の前記バイオメトリックデバイスを選択することにより、前記バイオメトリックポリシーを形成する工程をさらに包含する、項目１に記載の方法。
（項目４） 前記ユーザをバイオメトリックグループ内に配置する工程であって、該バイオメトリックグループは、共通する特徴またはアクセス権を備える１組のユーザを規定する、工程をさらに包含する、項目１に記載の方法。
（項目５） 工程（１）は、
（ａ）前記バイオメトリックサーバ中に格納された初期のデータ集合を判定する工程と、
（ｂ）該バイオメトリックサーバ中に格納された該データ集合をカスタマイズする工程と
を包含する、項目１に記載の方法。
（項目６） 工程（ａ）は、
（Ｉ）前記企業内にある各コンピュータに、一意的なコンピュータＩＤを割り当てる工程と、
（ｉｉ）該企業内にある前記バイオメトリックデバイスの各々に、一意的なバイオメトリックデバイスＩＤを割り当てる工程と、
（ｉｉｉ）該バイオメトリックデバイスＩＤを該コンピュータＩＤの各々に割り当てることにより、該バイオメトリックデバイスのうちどれを該コンピュータの各々に取り付けるかを判定する工程と、
（ｉｖ）バイオメトリックグループを形成する工程と、
（ｖ）バイオメトリックポリシーを作成する工程と、
（ｖｉ）該バイオメトリックポリシーの１つを該バイオメトリックグループの各々に割り当てる工程と、
（ｖｉｉ）一意的なユーザＩＤを、認証を必要とする各ユーザに割り当てる工程と、
（ｖｉｉｉ）該ユーザＩＤの各々を、該バイオメトリックグループの１つに入れる工程と、
（ｉｘ）該バイオメトリックポリシーと、該バイオメトリックグループと、該バイオメトリックデバイスＩＤと、該ユーザＩＤと、該コンピュータＩＤとを該
バイオメトリックサーバ中に格納する工程と
を包含する、項目５に記載の方法。
（項目７） 前記ユーザを登録する工程は、
（ａ）前記ユーザの前記バイオメトリックグループに割り当てられた前記バイオメトリックポリシーと関連付けられたデバイスのリストを参照することにより、該ユーザの登録を必要とする該バイオメトリックデバイスを判定する工程と、
（ｂ）該デバイスのリスト中の該バイオメトリックデバイスの各々についてバイオメトリックテンプレートを作成する工程と、
（ｃ）該作成されたバイオメトリックテンプレートの各々を、該バイオメトリックサーバ中に格納する工程と
を包含する、項目２に記載の方法。
（項目８） 工程（２）は、
（ａ）前記バイオメトリックサーバにおいてログインリクエストを受け取る工程であって、該ログインリクエストは、前記コンピュータＩＤの１つと前記ユーザＩＤの１つとを含む、工程と、
（ｂ）該ユーザＩＤがどの該バイオメトリックグループに入っているかを判定する工程と、
（ｃ）該バイオメトリックグループにどの前記バイオメトリックポリシーが割り当てられるかを判定する工程と、
（ｄ）該バイオメトリックポリシーが実行可能か否かを判定する工程と、
（ｅ）工程（ｄ）の結果が否定であった場合、前記ユーザが認証されない旨を返却する工程と、
（ｆ）該バイオメトリックポリシーを実行して該ユーザが認証されているか否かを判定する工程と、
（ｇ）工程（ｆ）の結果が正の場合、該ユーザが認証されている旨を返却する工程と
を包含する、項目６に記載の方法。
（項目９） 工程（ｄ）は、
Ｉ．前記必要とされるバイオメトリックテンプレートが前記バイオメトリックサーバ内に格納されているか否かを判定する工程と、
ｉｉ．該必要とされるバイオメトリックデバイスＩＤが前記コンピュータＩＤに割り当てられているか否かを判定する工程と、
ｉｉｉ．工程Ｉおよび工程ｉｉの結果が両方とも正であった場合、前記バイオメトリックポリシーが実行可能である旨を返却する工程と
を包含する、項目８に記載の方法。
（項目１０） 工程（１）は管理ステーションで行なわれる、項目１に記載の方法。
（項目１１） 前記ユーザを登録する工程は登録ステーションで行なわれる、項目２に記載の方法。
（項目１２） 工程（ｆ）は、前記ユーザが前記バイオメトリックポリシーに合格するかまたは該ユーザが該バイオメトリックポリシーに不合格となるまで、前記デバイスのリスト中にリストされている前記バイオメトリックデバイスで該ユーザをテストする工程を包含する、項目８に記載の方法。
（項目１３） 前記バイオメトリックポリシーは、デバイスのリストを有するオアポリシーであり、該デバイスのリストは、少なくとも２つの異なるバイオメトリックデバイスを含み、前記ユーザが該デバイスのリスト中の該バイオメトリックデバイスのうち１つに合格した場合、該ユーザは該オアポリシーに合格する、項目１に記載の方法。
（項目１４） 前記バイオメトリックポリシーは、デバイスのリストを有するオアポリシーであり、該デバイスのリストはバイオメトリックデバイスを１つだけ含み、前記ユーザが少なくとも２つのバイオメトリック測定を用いてテストされている間に該バイオメトリックデバイスに合格した場合、該ユーザは該オアポリシーに合格する、項目１に記載の方法。
（項目１５） 前記バイオメトリックポリシーは、デバイスのリストを有するアンドポリシーであり、該デバイスのリストは、少なくとも２つの異なるバイオメトリックデバイスを含み、前記ユーザが該デバイスのリスト中の該バイオメトリックデバイス全てに合格した場合、該ユーザは該アンドポリシーに合格する、項目１に記載の方法。
（項目１６） 前記バイオメトリックポリシーは、デバイスのリストを有するアンドポリシーであり、該デバイスのリストはバイオメトリックデバイスを１つだけ含み、前記ユーザが少なくとも２つのバイオメトリック測定を用いてテストされている間に該バイオメトリックデバイスに合格した場合、該ユーザは該アンドポリシーに合格する、項目１に記載の方法。
（項目１７） 前記バイオメトリックポリシーは、デバイスのリストを有する条件付きポリシーであり、該デバイスのリストは、少なくとも２つの異なるバイオメトリックデバイスを含み、前記ユーザが第１のバイオメトリックデバイスと関連付けられた最小閾値を越えた場合か、または、該ユーザが該第１のバイオメトリックデバイスと関連付けられた条件付き閾値を越えかつ該ユーザが第２のバイオメトリックデバイスと関連付けられた最小閾値を越えた場合のいずれかの場合、該ユーザは該条件付きポリシーに合格する、項目１に記載の方法。
（項目１８） 前記最小閾値および前記条件付き閾値は、管理者によって設定される、項目１７に記載の方法。
（項目１９） 前記第２のバイオメトリックデバイスは、環境条件に基づいて選択される、項目１７に記載の方法。
（項目２０） 前記バイオメトリックポリシーは、デバイスのリストを有する条件付きポリシーであり、前記デバイスのリストは、バイオメトリックデバイスを１つだけ含み、第１のバイオメトリック測定および第２のバイオメトリック測定は、該バイオメトリックデバイスと関連付けられ、前記ユーザが該バイオメトリックデバイスおよび該第１のバイオメトリック測定と関連付けられた最小閾値を越えた場合か、または、該ユーザが該バイオメトリックデバイスおよび該第１のバイオメトリック測定と関連付けられた条件付き閾値を越えかつ該ユーザが該バイオメトリックデバイスおよび該第２のバイオメトリック測定と関連付けられた最小閾値を越えた場合のいずれかの場合、該ユーザは該条件付きポリシーに合格する、項目１に記載の方法。
（項目２１） 前記バイオメトリックポリシーは、デバイスのリストを有するランダムポリシーであり、 該デバイスのリストは、少なくとも２つの異なるバイオメトリックデバイスを含み、ランダムバイオメトリックデバイスは、該デバイスのリストから判定され、前記ユーザが該ランダムバイオメトリックデバイスに合格した場合、該ユーザは、該ランダムポリシーに合格する、項目１に記載の方法。
（項目２２） 前記バイオメトリックポリシーは、デバイスのリストを有するランダムポリシーであり、前記デバイスのリストは、バイオメトリックデバイスを１つだけ含み、ランダムバイオメトリック測定は、１つ以上のバイオメトリック測定から判定され、前記ユーザが該ランダムバイオメトリック測定を用いてテストされている間に該バイオメトリックデバイスに合格した場合、該ユーザは該ランダムポリシーに合格する、項目１に記載の方法。
（項目２３） 前記バイオメトリックポリシーは、デバイスのリストを有する閾値ポリシーであり、該デバイスのリストは、少なくとも２つの異なるバイオメトリックデバイスを含み、前記ユーザが、該デバイスのリスト中の該バイオメトリックデバイスの１つ以上でテストされている間に総閾値を超えた場合、該ユーザは該閾値ポリシーに合格する、項目１に記載の方法。
（項目２４） 前記バイオメトリックポリシーは、デバイスのリストを有する閾値ポリシーであり、該デバイスのリストは、バイオメトリックデバイスを１つだけ含み、前記ユーザが、該デバイスのリスト中の該バイオメトリックデバイスでの１つ以上のバイオメトリック測定でテストされている間に総閾値を越えた場合、該ユーザは該閾値ポリシーに合格する、項目１に記載の方法。
（項目２５） 前記バイオメトリックポリシーは、バイオメトリックポリシーのリストを有するオアポリシーであり、該バイオメトリックポリシーのリストは、少なくとも２つのバイオメトリックポリシーを含み、前記ユーザが、該バイオメトリックポリシーのリスト中の該バイオメトリックポリシーの１つに合格した場合、該ユーザは該オアポリシーに合格する、項目１に記載の方法。
（項目２６） 前記バイオメトリックポリシーは、バイオメトリックポリシーのリストを有するアンドポリシーであり、該バイオメトリックポリシーのリストは、少なくとも２つのバイオメトリックポリシーを含み、前記ユーザが、該バイオメトリックポリシーのリスト中の該バイオメトリックポリシー全てに合格した場合、該ユーザは該アンドポリシーに合格する、項目１に記載の方法。
（項目２７） 前記バイオメトリックポリシーは、バイオメトリックポリシーのリストを有する条件付きポリシーであり、該バイオメトリックポリシーのリストは、少なくとも２つのバイオメトリックポリシーを含み、前記ユーザが第１のバイオメトリックポリシーと関連付けられた最小閾値を越えた場合、または、該ユーザが該第１のバイオメトリックポリシーと関連付けられた条件付き閾値を越えかつ第２のバイオメトリックポリシーと関連付けられた最小閾値を越えた場合のいずれかの場合、該ユーザは該条件付きポリシーに合格する、項目１に記載の方法。
（項目２８） 前記バイオメトリックポリシーは、バイオメトリックポリシーのリストを有するランダムポリシーであり、該バイオメトリックポリシーのリストは、少なくとも２つのバイオメトリックポリシーを含み、ランダムバイオメトリックポリシーは、該バイオメトリックポリシーのリストから判定され、前記ユーザが該ランダムバイオメトリックポリシーに合格した場合、該ユーザは該ランダムポリシーに合格する、項目１に記載の方法。
（項目２９） 前記バイオメトリックポリシーは、バイオメトリックポリシーのリストを有する閾値ポリシーであり、該バイオメトリックポリシーのリストは、少なくとも２つのバイオメトリックポリシーを含み、前記ユーザが、該バイオメトリックポリシーのリスト中の該バイオメトリックポリシーの１つ以上についてテストされている間に総閾値を超えた場合、該ユーザは該閾値ポリシーに合格する、項目１に記載の方法。
（項目３０） 前記バイオメトリックポリシーは、ポリシーのリストまたはデバイスのリストを有するオアポリシーであり、該ポリシーのリストまたはデバイスのリストは、少なくとも２つの要素を含み、前記ユーザが該ポリシーのリストまたはデバイスのリスト中の該要素のうちの１つに合格した場合、該ユーザは該オアポリシーに合格する、項目１に記載の方法。
（項目３１） 前記バイオメトリックポリシーは、ポリシーのリストまたはデバイスのリストを有するアンドポリシーであり、該ポリシーのリストまたはデバイスのリストは、少なくとも２つの要素を含み、前記ユーザが該ポリシーのリストまたはデバイスのリスト中の該要素の全てに合格する場合、該ユーザは該アンドポリシーに合格する、項目１に記載の方法。
（項目３２） 前記バイオメトリックポリシーは、ポリシーのリストまたはデバイスのリストを有する条件付きポリシーであり、該ポリシーのリストまたはデバイスのリストは少なくとも２つの要素を含み、前記ユーザが第１の要素と関連付けられた最小閾値を越える場合か、または、該ユーザが該第１の要素と関連付けられた条件付き閾値を越えかつ該ユーザが第２の要素と関連付けられた最小閾値を越えた場合のいずれかの場合、該ユーザは該条件付きポリシーに合格する、項目１に記載の方法。
（項目３３） 前記バイオメトリックポリシーは、ポリシーのリストまたはデバイスのリストを有するランダムポリシーであり、該ポリシーのリストまたはデバイスのリストは、少なくとも２つの要素を含み、ランダム要素は、該ポリシーのリストまたはデバイスのリスト中の該要素から判定され、前記ユーザが該ランダム要素に合格した場合、該ユーザは該ランダムポリシーに合格する、請求項１に記載の方法。
（項目３４） 前記バイオメトリックデバイスと関連付けられたタイムアウト値を得る工程をさらに包含する、項目１に記載の方法。
（項目３５） 複数のロケーションを有する企業を網羅する階層構造にバイオメトリックテンプレートを格納する方法であって、
法人ロケーションを判定する工程と、
該法人ロケーションにいるユーザのグループと関連付けられた該バイオメトリックテンプレートの全てを格納する工程と、
残りのロケーションの全てを複数の論理グループに分割する工程であって、各論理グループは、該ユーザのグループの一部と関連付けられる、工程と、
該論理グループの各々における最上位ロケーションを選択する工程と、
各論理グループについて、該ユーザの一部と関連付けられた該バイオメトリックテンプレートの全てを該最上位ロケーションに格納する工程と、
該論理グループの各々について、該ユーザの一部のさらなる一部と関連付けられた該バイオメトリックテンプレートの全てを最下位ロケーションに格納する工程と
を包含する、方法。
（項目３６） 複数のロケーションを有する企業を網羅する階層構造中にデジタル証明を格納する方法であって、
法人ロケーションを判定する工程と、
該法人ロケーションにいるユーザのグループと関連付けられたデジタル証明の全てを格納する工程と、
残りのロケーションの全てを複数の論理グループに分割する工程であって、各論理グループは、該ユーザのグループの一部と関連付けられる、工程と、
該論理グループの各々における最上位ロケーションを選択する工程と、
各論理グループについて、該ユーザの一部と関連付けられた該デジタル証明の全てを該最上位ロケーションに格納する工程と、
該論理グループの各々について、該ユーザの一部のさらなる一部と関連付けられた該デジタル証明の全てを最下位ロケーションに格納する工程と
を包含する、方法。
（項目３７） 企業リソースへのアクセスを制御するシステムであって、
複数のユーザに関連するバイオメトリックデータと、該ユーザが前記企業リソースへのアクセスを得ることができるか否かを判定する少なくとも１つのバイオメトリックポリシーとを自身の内部に格納したバイオメトリックサーバと、
該バイオメトリックサーバに接続された少なくとも１つのコンピュータと、
複数のバイオメトリックデバイスであって、該バイオメトリックポリシーは、該複数のバイオメトリックデバイスのうち少なくとも１つと関連付けられる、複数のバイオメトリックデバイスと
を備え、
該バイオメトリックサーバは、該ユーザが該企業リソースにアクセスすることができるか否かを判定する手段を備え、該ユーザは、該バイオメトリックポリシーに合格することにより、該企業リソースへのアクセスを得る、
システム。
（項目３８） 前記ユーザの各々を登録する手段であって、該登録手段は、前記複数のバイオメトリックデバイスの各々についてバイオメトリックテンプレートを作成し、該バイオメトリックテンプレートは、特定のユーザに対して一意的なバイオメトリックデータを含む、手段をさらに備える、項目３７に記載のシステム。
（項目３９） バイオメトリックポリシーおよびバイオメトリックグループを作成する手段であって、各該バイオメトリックグループは、１人以上のユーザを含む、手段をさらに備える、項目３７に記載のシステム。
（項目４０） 前記バイオメトリックグループは、企業リソースの同じ部分にアクセスすることが許可された１つ以上のユーザを規定する、項目３９に記載のシステム。
（項目４１） 前記バイオメトリックサーバを１つ以上のリモートコンピュータと接続させる通信手段をさらに備える、項目３７に記載のシステム。
（項目４２） 前記バイオメトリックサーバ内の全データを複製する第２のサーバをさらに備える、項目３７に記載のシステム。
（項目４３） 前記バイオメトリックサーバは、バイオメトリックデバイスＩＤ、ユーザＩＤ、コンピュータＩＤおよびアプリケーションＩＤをさらに格納する、項目３７に記載のシステム。
（項目４４） 前記判定する手段は、オブジェクトとしてインプリメントされる、項目３７に記載のシステム。
（項目４５） 管理者がバイオメトリックグループを作成し、バイオメトリックポリシーを規定することを可能にするグラフィカルユーザインターフェースをさらに備える、項目３７に記載のシステム。
（項目４６） １つ以上のユーザプロフィールを有するローミングプロフィールサーバであって、前記バイオメトリックサーバを用いて、該ユーザプロフィールの各々にアクセスする、サーバをさらに備える、項目３７に記載のシステム。
（項目４７） 前記コンピュータは電話である、項目３７に記載のシステム。
（項目４８） 前記コンピュータはＡＴＭ機器である、項目３７に記載のシステム。
（項目４９） 前記コンピュータは、物理的ロケーションに取り付けられる、項目３７に記載のシステム。

本発明は、添付の図面を参照して説明される。
図１は、本発明の好適な実施形態によるネットワークによって接続されたバイオメトリック認証システムの物理的構成要素のブロック図である。 図２は、本発明の好適な実施形態によるバイオメトリック認証システムを組み込んだ典型的な企業ネットワークシステムのブロック図である。 図３は、本発明を実現するために好適に使用されるコンピュータシステムのブロック図である。 図４Ａは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｂは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｃは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｄは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｅは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｆは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｇは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｈは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図４Ｉは、クライアントとオブシェクト指向プログラムを実行するサーバとの間の通信を確立してダイナミック工程を示す。 図５は、本発明のバイオメトリックサーバに格納された種々のデータ集合を示す。 図６は、管理者がバイオメトリックサーバをはじめにセットアップするために取り得る工程の典型的なシーケンスを示すフローチャートである。 図７は、本発明によってユーザを認証するのに必要なオブシェクトのブロック図である。 図８Ａは、本発明によってユーザを認証するハイレベルな動作を示すフローチャートである。 図８Ａ−１は、本発明によってユーザを認証するハイレベルな動作を示すフローチャートである。 図８Ｂは、本発明によってユーザを認証するハイレベルな動作を示すフローチャートである。 図９は、バイオメトリックデバイスがユーザをテストする際のバイオメトリックデバイスの典型的な動作を示すフローチャートである。 図１０は、「生の」データとともに本発明の認証プロセスを始めるのに必要なオブシェクトのブロック図である。 図１１は、図１０のオブシェクトのハイレベルな動作を示すフローチャートである。 図１２は、本発明の登録プロセスに必要なオブシェクトのブロック図である。 図１３Ａは、本発明の登録プロセスの典型的な操作を示すフローチャートである。 図１３Ｂは、本発明の登録プロセスの典型的な操作を示すフローチャートである。 図１４は、本発明のグラフィカルユーザインターフェースによって生成されたウインドウショットまたはスクリーンショットである。 図１５は、本発明のレイヤー化プロセスを示すチャートである。 図１６は、本発明のバイオメトリックポリシーを使用したレイヤー化プロセスを示すフローチャートである。 図１７Ａは、本発明のオアポリシーを実行するのに必要な工程を示すフローチャートである。 図１７Ｂは、本発明のオアポリシーを実行するのに必要な工程を示すフローチャートである。 図１８Ａは、本発明のアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図１８Ｂは、本発明のアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図１９は、本発明の条件付きポリシーを実行するのに必要な工程を示すフローチャートである。 図２０は、本発明のランダムポリシーを実行するのに必要な工程を示すフローチャートである。 図２１Ａは、本発明の閾値ポリシーを実行するのに必要な工程を示すフローチャートである。 図２１Ｂは、本発明の閾値ポリシーを実行するのに必要な工程を示すフローチャートである。 図２２Ａは、本発明のバイオメトリックポリシーのリストを有するオアポリシーを実行するのに必要な工程を示すフローチャートである。 図２２Ｂは、本発明のバイオメトリックポリシーのリストを有するオアポリシーを実行するのに必要な工程を示すフローチャートである。 図２３Ａは、本発明のバイオメトリックポリシーのリストを有するアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図２３Ｂは、本発明のバイオメトリックポリシーのリストを有するアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図２４は、本発明のバイオメトリックポリシーのリストを有するランダムポリシーを実行するのに必要な工程を示すフローチャートである。 図２５Ａは、本発明のポリシーまたはデバイスのリストを有するオアポリシーを実行するのに必要な工程を示すフローチャートである。 図２５Ｂは、本発明のポリシーまたはデバイスのリストを有するオアポリシーを実行するのに必要な工程を示すフローチャートである。 図２６Ａは、本発明のポリシーまたはデバイスのリストを有するアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図２６Ｂは、本発明のポリシーまたはデバイスのリストを有するアンドポリシーを実行するのに必要な工程を示すフローチャートである。 図２７は、本発明のポリシーまたはデバイスのリストを有するランダムポリシーを実行するのに必要な工程を示すフローチャートである。 図２８は、本発明の複数のバイオメトリックシステムを組み込んだＷＡＮによって接続された企業を示す。 図２９は、本発明がどのようにして公開鍵システムと一体化され得るかを示すブロック図である。 図３０は、種々のタイプのネットワークと、各タイプのネットワークがどのようにして他ネットワークと接続され得るかとを示すブロック図である。 図３１は、本発明のバイオメトリックポリシーのリストを有する条件付きポリシーを実行するのに必要な工程を示すフローチャートである。 図３２Ａは、本発明のバイオメトリックポリシーのリストを有する閾値ポリシーを実行するのに必要な工程を示すフローチャートである。 図３２Ｂは、本発明のバイオメトリックポリシーのリストを有する閾値ポリシーを実行するのに必要な工程を示すフローチャートである。 図３３Ａは、本発明のポリシーまたはデバイスのリストを有する条件付きポリシーを実行するのに必要な工程を示すフローチャートである。 図３３Ｂは、本発明のポリシーまたはデバイスのリストを有する条件付きポリシーを実行するのに必要な工程を示すフローチャートである。 図３４Ａは、本発明のポリシーまたはデバイスのリストを有する閾値ポリシーを実行するのに必要な工程を示すフローチャートである。 図３４Ｂは、本発明のポリシーまたはデバイスのリストを有する閾値ポリシーを実行するのに必要な工程を示すフローチャートである。

（好適な実施形態の詳細な説明）
（Ａ．発明の概要）
本発明の発明者らは、ネットワーク化された環境において、リソースの保護を同じリソースへの容易なアクセスと効果的にバランスを保つ解決方法は存在しないということを認識した。本発明の典型的な解決方法には、２要素ある。第１は、企業リソースを保護するために、できるだけ適切な識別メカニズムを使用することである。そして、第２は、ネットワーク化された環境においてリソースへの効果的な認証を提供するために、その適切な識別メカニズムを利用する方法およびシステムを提供することである。認証のためこの方法およびシステムは、ネットワークが企業を提供する生産性に低減してはならない。

（１．適切な認証メカニズムの決定）
企業リソースに対する不適切な認証が原因で、多数の企業に莫大な額の損失が生じてきた。長年、企業は、ユーザを確実に認証しない種々のタイプの識別メカニズムをとおして、有用なリソースをプロテクトしてきた。これらの不適切な識別メカニズムには、パスワード、スマートカードおよびトークンが含まれる（ただし、これらに限定されない）。パスワード、スマートカードおよびトークンが、確実にユーザを認証しない理由は、これらの識別メカニズムの使用に伴うヒューマンファクタが原因である。実際に、認証における最弱なリンクは、ヒューマンファクタである。

このヒューマンファクタは、認証されないアクセスになり得る問題を引き起こす。なぜならば、これらのメカニズムは、ユーザが何かを知っていること、および／またはユーザが何かを所有していることのいずれかをユーザに求めるためである。例えば、パスワード認証は、ユーザがパスワードを覚えていることを必要とする。一方、トークンおよびスマートカードは、ユーザが企業リソースへのアクセスを得るために、トークンまたはスマートカードを所有する必要がある。ユーザが知っている、または所有しているものは何でも、危険にさらされ得る。

不適切な認証が存在する場合には、人々は企業リソースへの許可されていないアクセスを得る。許可されていないアクセスを得るユーザは、「クラッカー」または「ハッカー」（例えば、企業外部の人々）であり得るとはいえ、たいてい、ユーザは、企業自身の中のユーザ（例えば、企業の従業員）である。この例は、次のとおりである。上記で議論されたように、パスワード認証は、ユーザＡがパスワードを覚えていることを必要とする。ユーザＡのパスワードが書き留められるか、または、ユーザＢがキーボードにユーザＡがパスワードをタイプするところを目撃すると、ユーザＢは、ユーザＡのパスワードを使用して、企業が関知する限りにおいて正式にユーザＡになることができる。この結果は、ユーザＡがアクセスを有する全てのリソースへのアクセスを、いまや、ユーザＢが所有することである。パスワードと同様に、ユーザＡがトークンまたはスマートカードを置き忘れ、それをユーザＢが見つけると、同様のシナリオがトークンまたはスマートカードについて生じ得る。ネットワーク化された環境においてリソースが被り得るダメージは、（例えは、ネットワーク化されていない）単一のコンピュータ内に接続されたリソースが被り得るダメージよりもはるかに大きい。

多くの企業は、「シングルサインオン」と呼ばれるプロセスを組み込むことにより、企業リソース保護を管理するコストおよび複雑性を低減する。シングルサインオンは、全ての企業リソースにアクセスする１つのパスワード、トークンまたはスマートカードを各ユーザに提供する。ほとんどの人は、パスワードが１つであれば書き留めることなく覚えることができ、かつ／またはトークンまたはスマートカードが１つであれば把握しつづけることができる。このことは、リソース保護を管理する複雑性およびコストを低減する一方で、アクセスを得るユーザが正規ユーザである可能性も低減する。今や、１つのパスワードが全ての企業リソースを危うくし得る。

アクセスを得ようとしているユーザが正規ユーザである可能性は、異なるリソースに対して複数のパスワード、トークンまたはスマートカードを使用することを各ユーザに強いることにより増加され得る。多くの人にとって、複数のパスワード、トークンまたはスマートカードを管理するのが困難である。このことにより、ユーザがパスワードを書き留める、またはトークンおよびスマートカードを置き忘れる可能性が増加する。このことが生じると、前と同様に、全ての企業リソースは、危うくされ得る。

パスワード、トークンまたはスマートカードが不適切な認証メカニズムである理由の別の局面は、ユーザ間でこれらを共有することが絡んでいる。企業に年間多額のコストがかかる例として、「バディーパンチング」と呼ばれる慣例がある。バディーパンチングには、典型的に、毎日、「パンチイン」および「パンチアウト」する仕事のパスワードの使用を従業員に要求する企業の中の２人のユーザ、すなわち、従業員が絡んでいる。パスワードは、またはトークンおよびスマートカードでさえも、その日のはじめに１人の従業員が他の従業員を「パンチイン」し、次いで、その日のおわりに同じ従業員を「パンチアウト」することを容易にするる。「バディーパンチング」の慣例により、特定の日に在宅する従業員が、その日の給与を受け取る特典をなお有することができる。

従って、本発明の発明者らは、上記で議論されたヒューマンファクタの結果である認証における最弱なリンクを回避する識別メカニズムが必要であるということを認識した。

（２．バイオメトリック識別メカニズム：適切な認証メカニズム）
バイオメトリック識別メカニズムは、ヒューマンファクタによって生じた最弱のリンクを除外する。バイオメトリック識別メカニズムまたはバイオメトリックデバイスは、科学技術を利用して、一意的なの個人的特徴を比較した測定に基づいてユーザを識別する。バイオメトリック識別メカニズムには、２つの基本的なカテゴリのバイオメトリック測定が含まれる。第１のカテゴリは、ユーザの身体にみられる固有の特徴を測定することを必要とする。この測定には、指の形状および手の形状、網膜画像および顔画像、体重、ＤＮＡデータ、呼気が含まれ得る（ただし、これらに限定されない）。第２のカテゴリは、ユーザの行動の特徴を測定することを必要とする。この測定には、音声、タイピングストロークおよび署名が含まれ得る（ただし、これらに限定されない）。一般に、固有であるユーザに関して測定され得るあらゆるものが、バイオメトリック測定として使用され得る。

固有であるユーザに関して測定され得たあらゆるものが、バイオメトリック測定として使用され得るものの、認証の目的のために使用する最良のバイオメトリック測定は、バイオメトリック測定の時間にわたる一貫性に依存する。例えば、ユーザの体重は、バイオメトリック測定である。体重は、多くの人にとって頻繁に変動するバイオメトリック測定であるため、体重は、認証目的のために使用する好適なバイオメトリック測定ではない。

認証メカニズムとしてバイオメトリック識別メカニズムを使用する一般的なプロセスは、次のとおりである。ユーザは、バイオメトリックデバイスによって使用される特定のバイオメトリック測定のために促され、値を生成する。その値は、格納されたバイオメトリックデータとして、テンプレートに格納される。ユーザが、バイオメトリックデバイスによって保護されたリソースにアクセスを得たい場合、このユーザは、生のバイオメトリックデータのために促される。生のバイオメトリックデータは、格納されたバイオメトリックデータと照合される。実際には、生のバイオメトリックデータと格納されたバイオメトリックデータとは、厳密には決して同じものではない。従って、ユーザは、バイオメトリックデバイスに合格し、保護されたリソースへのアクセスを得るためにある許容誤差内になければならない。上記されたように、バイオメトリックデバイスは科学技術を用いて、バイオメトリック測定に基づいてユーザを識別する。この許容誤差は、典型的に、使用した特定のバイオメトリックデバイスのベンダーによって予め決定されている。

どのようにしてバイオメトリック識別が機能するのかという具体例が、典型的な指紋デバイスによって示され得る。指紋デバイスは、指紋の形状を測定する。はじめに、ユーザは、複数の指紋を得るために促される。各サンプルについて、多くの特徴または測定が識別される。続いて、複数のサンプルの全てについて、多くの共通の特徴または測定が特定される。この共通の特徴または測定は、バイオメトリックデータを格納する一意的なテンプレートを生成する独特のアルゴリズムをとおして処理される。「生」の指紋が識別のために示される場合、その指紋は同じアルゴリズムをとおして処理される。「生」の処理からの出力が、ある許容誤差内で格納されたバイオメトリックデータと一致する場合、ユーザは、認証されるべきとみなされ、指紋デバイスが保護するどのリソースへもアクセスを
得る。

行動測定が必要とされる場合にバイオメトリック識別がどのように機能するかという具体例が、典型的な署名デバイスによって示され得る。ここで、ユーザは、複数の署名のサンプルのために促される。各サンプルについて、特徴または測定が識別される。この特徴または測定には、筆圧、筆順、方向、相対ベクトルおよび速度が含まれる。筆順の１例は、ユーザが自身の署名を行う際に、「ｉ」の点が打たれる前に「ｔ」が交差が書かれたことを識別することである。方向の１例は、ユーザが「ｔ」の交差を右から左へ書いたことである。相対ベクトルは、「Ｆ」が「ｅ」の２．１倍の高さであるという情報を含み得る。最後に、登録された速度は、ユーザが署名をはじめから終わりまで記す際にかかる時間である。

指紋デバイスと同様に、複数のサンプルについて、共通の特徴または測定が識別される。これらの共通の特徴または測定は、バイオメトリックデータを格納する固有のテンプレートを生成する独特のアルゴリズムをとおして処理される。「生」の署名が識別のために示される場合、その署名はそのアルゴリズムをとおして処理される。「生」の処理からの出力が、ある予め決定した許容誤差内で格納されたバイオメトリックデータと一致する場合、ユーザは、認証されるべきかとみなされる。

認証手段としてのバイオメトリック識別メカニズムの使用により、パスワード、トークンまたはスマートカードの使用を含む上記で議論した問題が取り除かれる。バイオメトリック測定は、ユーザの身体にみられる固有の特徴（例えば、指紋）、またはユーザの行動の特徴（例えば、署名）のうちのいずれかを必要とするので、ユーザが自身を認証するメカニズムを忘れたり、または失ったりし得ない。今や、企業に対してユーザＡを認証するメカニズムを、ユーザＢが「盗む」ことはできない。同様に、ユーザがパスワードを共有する慣例および「バデイーパンチング」の慣例は、除外される。

バイオメトリックデバイスを使用すると、ユーザを確実に認証することができるが、本発明の発明者らは、バイオメトリックデバイスを用いて、ネットワークが企業に提供する生産性を減少することなく、ネットワーク化された環境におけるリソースに対する有効な認証を提供する方法およびシステムが必要とされるということを認識した。

今日、１つのオフィスに含まれるほとんどの企業は、ＬＡＮを備える。しかし、今日では、たいていの企業は、複数のオフィスおよび隔たった地域にまたがっている。これらの企業は、典型的に、ＷＡＮを備える。上記で議論されたように、ネットワークは、ユーザがネットワーク上の全てのリソースに容易にアクセスすることを可能にすることで、企業に増加した生産性を提供する。このことは、ユーザがどのオフィスにいるか、またリソースが企業内のどこに配置されているかに関らずあてはまる。対照的に、リソースの保護は、はじめに認証されることなしにユーザに対してリソースのアクセス性を制限する。従って、リソース保護の管理が効果的でない場合、ネットワーク化によって得られる生産性の増加が失われてしまう。簡単に言えば、正規のユーザが、必要とするリソースへのアクセスを得ることができない場合、企業は、生産性の損害を被る。さらに、許可されていないユーザが企業リソースへのアクセスを得る場合、企業はまた，生産性の潜在的な減少を被る。この生産性の潜在的な減少は、リソースの損失に部分的に起因する。

本発明は、リソース保護がネットワーク化した環境において使用される際に直面する制限を克服する。本発明は、（１）環境にそくしてふさわしいバイオメトリック測定を使用するフレキシビリティ；（２）企業内でユーザが移動できる；（３）各リソースを保護するのに必要とする認証の程度のフレキシビリティ；（４）リモートでリソース保護システムにユーザを記録できる；（５）リモートでバイオメトリックテンプレートをリフレッシュできる；（６）ネットワーク内のリモートコンピュータにロードされたソフトウェアの保全性を保証する、という利点を有する。本発明はまた、異なる閾値が各バイオメトリックデバイスに設定されることを可能にする。言い換えれば、本発明は、各ユーザが企業リソースへのアクセスを得る前に、通過しなければならない確率（例えば、ユーザが主張している人物である確率は、１／１０００、１／１０，０００または１／１０００，００００である）に基づいて認証レベルを変更し得る。

（３．バイオメトリック認証システム）
図１は、本発明の好適な実施形態によるネットワーク１１４によって接続されたバイオメトリック認証システム１０２（本明細書中、「バイオメトリックシステム」とも呼ばれる）の機能的な構成要素のブロック図である。バイオメトリックシステム１０２は、バイオメトリックサーバ１０４、登録ステーション１０６、管理ステーション１０８、代替的なバイオメトリックサーバ１１０および衛星登録ステーション１１２を備える。ネットワーク１１４は、バイオメトリックシステム１０２の機能的な構成要素を接続する。ネットワーク１１４によって提供された接続性は、バイオメトリックシステム１０２上のデータおよび他のリソースを共有するような機能を可能にする。

図１に示されたようなネットワーク１１４のトポロジーは、バストポロジーと呼ばれる。一般に、ネットワークのトポロジーは、システム内の機能（すなわち、コンピュータ）の幾何学的配置である。ネットワークトポロジーの他の共通なタイプには、星型トポロジーおよび環状トポロジーが含まれる。本発明は、バストポロジーを組み込んだ例として図１に示されるが、本発明は、他のトポロジー
に同等に適用され得る。

バイオメトリックサーバ１０４は、バイオメトリックシステム１０２のためのエンジンを格納する。バイオメトリックサーバ１０４はまた、バイオメトリックシステム１０２に必要とされるデータ集合を格納する。バイオメトリックサーバ１０４に格納されたエンジンとデータの機能は共に、以下でさらに詳細に議論される。バイオメトリックサーバ１０４に格納されたデータのタイプは、登録ステーション１０６および管理ステーション１０８の操作により、部分的に決定される。登録ステーション１０６は、バイオメトリックシステム１０２にユーザを登録するのに使用される。登録ステーション１０６には、ユーザを登録し、最終的に認証するためにバイオメトリックシステム１０２によって使用される各タイプのバイオメトリックデバイスが付属している。ユーザがバイオメトリックシステム１０２に登録される時、そのユーザは、管理者が必要であると考えるだけの数のバイオメトリックデバイスに登録され得る。

管理ステーション１０８は、全般的な管理義務を実行するために、バイオメトリックシステム１０２の管理者によって使用される。管理者はまた、種々のレポートを生成するためにも管理ステーション１０８を使用し得る。このレポートは、バイオメトリックサーバ１０４に格納された異なるタイプのデータのリスト（例えば、バイオメトリックシステム１０２に登録されている現在のユーザのリスト）を含み得る。加えて、管理ステーション１０８は、典型的に、バイオメトリックサーバ１０４に初期データをセットアップするのに使用される。別の構成要素は、衛星登録ステーション１１２である。登録ステーション１１２は、遠隔地でバイオメトリックシステム１０２にユーザを登録するのに使用される。衛星登録ステーション１１２には、管理ステーション１０８と同じ数のバイオメトリックデバイスが付属していてもよいが、あるいは、管理ステーション１０８の小型のバージョンであってもよい。

１つ以上の代替的なバイオメトリックサーバ１１０は、バイオメトリックサーバ１０４に対するバックアップすなわちスタンバイサーバである。代替的なバイオメトリックサーバ１１０は、バイオメトリックサーバ１０４とまったく同じデータを格納する。バイオメトリックサーバ１０４が故障する場合においてのみ、代替的なバイオメトリックサーバ１１０は、アクティブ状態となり、ユーザを認証する責任を受け継ぐ。代替的なバイオメトリックサーバ１１０の目的は、バイオメトリックシステム１０２がユーザを認証するために常に利用可能であることを確実にすることである。

しかしながら、バイオメトリックシステム１０２が利用可能であるとを確実にする他の方法は、バイオメトリックサーバ１０４および代替的なバイオメトリックサーバ１１０がユーザを認証するのに同等の責任を有すること；管理ステーション１０８バックアップならびにテープおよび／またはＣＤ−ＲＯＭバックアップを含む。バイオメトリックサーバ１０４および代替的なバイオメトリックサーバ１１０がユーザを認証するのに同等の責任を有することは、これらが両方とも常にアクティブ状態であることを意味する。バイオメトリックサーバ１０４と代替的なバイオメトリックサーバ１１０との間には、常に同期が存在する。どれかのサーバが故障する場合、他のサーバがユーザを認証する責任を受け継ぐ。故障したサーバが再びアクティブ状態になると、そのサーバは、他のサーバとの同期
を開始する。

バイオメトリックシステム１０２の利用可能性を保証する別の方法は管理ステーション１０８のバックアップによってである。ここで、管理ステーション１０８はマスタバイオメトリックレポジトリのように振舞う。管理ステーション１０８は全てのアクティブなバイオメトリックサーバ１０４を同時に更新する。バイオメトリックサーバ１０２の利用可能性を確認する最後の方法はテープおよび／またはＣＤ−ＲＯＭのバックアップによってである。

本発明の好適な実施形態は上記で議論されたバイオメトリックシステム１０２の機能上の構成要素全てを含むが、上述したように各構成要素の機能がバイオメトリックシステム１０２内に未だ存在する限り、いくつかの（または全ての）構成要素は組み合わされ得る。例えば、登録ステーション１０６および管理ステーション１０８は１つの機能上の構成要素に組合され得る。さらに、バイオメトリックシステム１０２のいくつかの構成要素は任意である。例えば、企業は遠隔的にユーザを登録する必要はない、またはしようと望まない。それゆえ、衛星登録ステーション１１２は必要とされない。

（４．ネットワークシステム）
上述のように、様々なタイプのネットワークはＬＡＮ、ＷＡＮ、インターネット、およびイントラネットを含むが、それらに限定されない。企業は１つのタイプのネットワークまたは異なるタイプのネットワークの任意の組み合せを利用し得る。図３０は、様々なタイプのネットワークを示し、各々のタイプのネットワークが他のネットワークに接続され得る方法を示す図である。

図３０は、ＬＡＮ３００２、ＬＡＮ３００４、ＬＡＮ３００６、ＬＡＮ３００８、ＷＡＮ３０１０、インターネット３０１２、ファイヤーウォール３０１４、接続３０１６、ホスト３０１８、接続３０２０、接続３０２２、接続３０２４、接続３０２６、接続３０２８および接続３０３０を含む。接続３０１６、３０２４、および３０２６〜３０３０は通常、ＩＳＰによって提供される。

図３０に示すように、ＬＡＮ３００２、ＬＡＮ３００４、およびＬＡＮ３００６がＷＡＮ３０１０に接続される。ＬＡＮ３００８およびホスト３０１８もまた、インターネット３０１２によってＷＡＮ３０１０に接続される。接続３０２０および３０２２は通常、仮想個人ネットワーク（ＶＰＮ）である。ＶＰＮは、接続性を提供するために一般の線を用いることによってアーキテクチャされるネットワークである。例えば、データを搬送するための媒体としてインターネットを用いるネットワークを作成可能にする多数のシステムがある。これらのシステムは暗号および他のセキュリティ機構を用いて、許可を与えられたユーザのみがネットワークにアクセスし、そのデータは傍受され得ないことを保証する。

ホスト３０１８は、ダイアルアップアクセスと呼ばれるＷＡＮ３０１０へのアクセスのタイプを有し得る。ダイアルアップアクセスは、モデムおよび公共の電話回線を介してホストすなわちデバイスをネットワークに接続することを意味する。ダイアルアップアクセスは、２つの端末におけるパーティは人々というよりむしろコンピュータデバイスであることを除けば、実際に電話接続に似ている。ダイアルアップアクセスは通常の電話回線を用いるので、接続の質は常に良いとは限らず、データ速度には限度がある。２つのコンピュータを接続するための代替的な方法は、２つのデバイスの間の持続的な接続である専用回線によってである。専用回線はより速いスループットを提供し、より質の高い接続を提供するが、それらはまたより高価である。

ＷＡＮ３０１０はまた、上述したようにイントラネットとして実行され得る。従って、ファイヤーウォール３０１４を用いて、無許可のアクセスを受け流すことによってＷＡＮ３０１０を保護し得る。今日、多くのネットワークシステムはファイヤーウォールを組み込む。ファイヤーウォールは、無許可のアクセスをネットワークを行き来するのを妨げるように設計される。ファイヤーウォールは無許可のインターネットユーザがインターネットに接続される個人のネットワーク（特にイントラネット）にアクセスすることを防ぐために用いられる場合が多い。一旦ユーザにネットワークにアクセスする許可を与えると、ファイヤーウォールはネットワークを行き来する無許可のデータ転送を防ぐようにさらに設計される。インターネットに入ったり、出たりする全てのデータが、各伝送を検査し、特定のセキュリティ評価基準を満たさないデータを遮断するファイヤーウォールを通過する。ファイヤーウォールはハードウェアおよびソフトウェアの両方、またはその両方の組み合せで実行され得る。ファイヤーウォールは個人情報（すなわち、データ）を保護する場合の最初の防御線とみなされる。

図２は、本発明の好適な実施形態に従い、バイオメトリックシステム１０２を組み込む企業ネットワークシステム２０２のブロック図である。ネットワークシステム２０２は１つのタイプのネットワークまたはこれまでに図３０を参考に説明された異なるタイプのネットワークの任意の組み合せであり得ることに留意することが重要である。再度、図３０を参考にすると、バイオメトリックシステム１０２の様々な機能上の構成要素が図３０の１つ以上の位置に物理的に位置付けされ得る。例えば、バイオメトリックシステム１０２はＬＡＮ３００２、ＬＡＮ３００４、ＬＡＮ３００６、ＬＡＮ３００８、ＷＡＮ３０１０および／またはホスト３０１８に位置付けされ得る。

バイオメトリックシステム１０２の構成要素に加えて、ネットワークシステム２０２は、アプリケーション２０４等の１つ以上のアプリケーション、アプリケーションインターフェース２０６等の１つ以上のアプリケーションインターフェース、ユーザコンピュータ２０８等の１以上のユーザコンピュータ、遠隔／ウェブコンピュータ２１０等の１つ以上の遠隔／ウェブコンピュータ、ウェブサーバ２１２およびウェブサーバインターフェース２１４を含む。ネットワークシステム２０２上の全ての構成要素は企業のリソースとみなされる。ネットワーク１１４はバイオメトリックシステム１０２の機能上の構成要素およびネットワークシステム２０２のさらなる機能上の構成要素の両方に接続する。この接続性はネットワークシステム２０２上のデータおよび他のリソースを共有するような特性を可能にする。

アプリケーション２０４の例は、電子メールおよびワード処理を含むが、それらに限定されない。各アプリケーション２０４は、各アプリケーション２０４がネットワーク１１４を通じてネットワークシステム２０２内の他のリソースまたは構成要素に通信することを可能にするアプリケーションインターフェース２０６を有する。さらに、ネットワークシステム２０２は１つ以上のユーザコンピュータ２０８を含む。各ユーザコンピュータ２０８は企業内に位置付けされ、通常、それに接続された１つ以上のバイオメトリックデバイスを有する。ユーザコンピュータ２０８は、ユーザがネットワークシステム２０２へのアクセスを獲得し得る１つの場所である。ユーザアクセスを容易にするために、各コンピュータ２０８は、ユーザがバイオメトリックシステム１０２によって認証されるためのインターフェースを提供する。

遠隔／ウェブコンピュータ２１０は、ユーザコンピュータ２０８と同じ機能を提供するが、遠隔／ウェブコンピュータ２１０はインターネットを通じてネットワークにアクセスする。遠隔／ウェブコンピュータ２１０がネットワーク１１４に接続するために、遠隔／ウェブコンピュータ２１０はウェブサーバ２１２を通じてなければならない。ウェブサーバインターフェース２１４は、ウェブサーバ２１２がネットワーク１１４を通じてバイオメトリックシステム１０２を含むネットワークシステム２０２の他のリソースおよび構成要素と通信することを可能にする。

本発明の好適な実施形態において、ユーザがネットワークシステム２０２の様々な点にアクセスしようと試みる場合に、ユーザはバイオメトリックシステム１０２によって認証されるように要求される。これらの種々のアクセスポイントはネットワークシステム２０２自体、１つ以上のアプリケーション２０４および／または１つ以上のユーザコンピュータ２０８を含む。通常、企業ネットワークは今日、複数の事務所および遠い位置にまで及ぶので、ネットワークシステム２０２の異なるアクセスポイントは非常に異なる環境を有し得る可能性がある。本発明の発明者は、環境に対する適切なバイオメトリックデバイスまたはバイオメトリック測定を用いるための柔軟性の必要があることを認知する。この柔軟性を達成するために、多くの異なるタイプのバイオメトリックデバイスがネットワークシステム２０２で利用される必要がある。

（５．環境に対する適切なバイオメトリック測定の必要性）
環境に適切なバイオメトリック測定を使用する必要がある。環境のタイプは、バイオメトリック測定を読み出しているバイオメトリックデバイスのネットワークにおける位置に依存する。上述したように、バイオメトリックデバイスは科学的な技術を利用して、一意的な個人の特徴の比較測定に基づいてユーザを識別する。バイオメトリック測定は、指および手のジオメトリ、網膜および顔面画像、体重、ＤＮＡデータ、息、声、タイピングストロークおよび署名の測定を含み得るが、それらに限定されない。その特定の環境に対する適切なバイオメトリック測定を判定するために考えなければならない２つの環境の局面がある：物理的局面および心理的局面。

環境の物理的な局面は、照明およびノイズを含むが、それに限定されない。例えば、照明に乏しい環境では、ユーザの虹彩または顔面画像はバイオメトリックデバイスで測定するのは困難であり得る。同様に、ノイズの多い環境では、ユーザの声は測定するのが困難になり得る。

環境の心理的な局面はユーザの快適レベルを含む。ユーザの快適レベルを超える例として、ユーザが毎日、アクセスしなけれがならない企業リソースへのアクセス権を得るためにＤＮＡサンプルを示すようにユーザに要求することがある。ネットワークのユーザが慣れてきて、そのレベルを超えるのを拒否し得る一定の快適レベルがある。

環境に対する適切なバイオメトリック測定を使用しない結果により、必要な場合にユーザが必要なリソースへのアクセス権を手に入れていず、それによって企業の生産性が減少する可能性が増加する。これは、バイオメトリックデバイスがバイオメトリック測定を読み出し得ない場合またはユーザが認証のための必要とされる「生きた」バイオメトリックデータを与えるのを拒む場合に生じる。それゆえ、必要とされるものは、環境に対する適切なバイオメトリック測定を用いる柔軟性である。

環境に対する適切なバイオメトリック測定を用いるための柔軟性の結果として、１つのネットワークにおける多くの異なるタイプの規格品のバイオメトリックデバイスの必要性が生じる。それゆえ、認証タスクは、各々のバイオメトリックデバイスがいくつかの販売者によって提供され得るという事実によって複雑化される場合が多い。現在、バイオメトリックデバイスは、統合ネットワークの一部として動作するための予め定義されたインターフェース（または規格）と適合しなければならない。複数の販売者からの各バイオメトリックデバイスの利用可能性は価格の低下につながり得るが、一方で異なる販売者からのバイオメトリックデバイスを有するネットワークの管理はさらなる限定を受けることになる。

例えば、幾人かの販売者は自分たちのバイオメトリックデバイスが独自のプラットフォームのみから管理されることを可能にし得る。幾人かの販売者はネットワーク管理アプリケーション（例えば、単一ネットワーク管理プロトコル）に基づく規格を支援し得るが、ネットワーク内にデバイスの管理を組み込むことは広範囲にわたる訓練を要求する場合がある。例えば、ネットワークを用いて作業（すなわち、インターフェース）するソフトウェアのインストールは販売者からの訓練を要求し得る。アドミニストレータは持続的な支援を提供するためにより訓練を必要とし得る。新しいバイオメトリックデバイスがネットワークに加えられる度に、そのような訓練は提供される必要性があり得る。加えて、実質的な努力は、企業の現存するネットワークとインターフェースするソフトウェアを開発するために販売者の一部で要求され得る。開発および訓練のために結果として生じるオーバーヘッドはたいていの企業で受け入れられない。統合ネットワークの一部として動作する予め定義されたインターフェースとの互換性のこの問題は、バイオメトリックデバイスおよび非バイオメトリックデバイスに等しくあてはまる。

（６．オープンインターフェース）
本発明のオープンインターフェースは、バイオメトリックデバイスを備えたバイオメトリックシステム１０２を組み込むことを考慮したデバイスオープンインターフェースを含む。本発明のデバイスオープンインターフェースは、全ての互換性のないバイオメトリックデバイスおよび非バイオメトリックデバイスが通信し得るインターフェースを提供する。これはいくつかの方法で企業に柔軟性を提供する。デバイスオープンインターフェースが柔軟性を提供する１つの方法は、企業が現在、環境に対する適切なバイオメトリック測定を使用し得ることである。

本発明のデバイスオープンインターフェースが柔軟性を提供する別の方法は、企業が現存の非バイオメトリックデバイスをバイオメトリックシステム１０２（図１）内に組み込むことを可能にすることによって為される。企業内の全てのユーザが同時にバイオメトリックシステム１０２に登録される必要は無いので、この柔軟性は重要である。また、幾人かのユーザはバイオメトリックシステム１０２に登録することを全く必要とし得ず、さらにネットワークシステム２０２（図２）へのアクセス権を得ることができる。

デバイスオープンインターフェースによって提供される別の柔軟性は、企業が非バイオメトリックデバイスまたは開発される新しいバイオメトリックデバイスでバイオメトリックシステム１０２を補助することを可能にすることによってである。上述したように、バイオメトリックデバイスは科学的技術を利用し、それによってバイオメトリック測定に基づいてユーザを識別する。本発明によって提供されるデバイスオープンインターフェースは、企業にリソースを保護するための任意の規格品のバイオメトリックデバイスまたは非バイオメトリックデバイスを用いるための柔軟性を与える。後で示されるように、オープンインターフェースの柔軟性によりアドミニストレータがユーザの認証のためにバイオメトリックポリシーを介してバイオメトリックデバイスを組み合わせることを可能にする。

デバイスオープンインターフェースは、バイオメトリックデバイスと通信するために用いられる妥当なソフトウェアであり、そうすることによって生きたサンプルデータを取り出し、格納されたデータ（すなわち、バイオメトリックテンプレート）と生きたサンプルデータをマッチングさせ、各バイオメトリックデバイスに個人登録し、アドミニストレータが閾値を設定するのを可能にする。その閾値は、バイオメトリックデバイスはユーザがデバイスを合格するのを判定しなければならないという識別レベルを示す。さらに、デバイスオープンインターフェースは、バイオメトリックデバイスが存在すること検出する、すなわち生きている証を読み取ること（例えば、人が実際に存在し、マネキン人形ではないこと）等の能力を有する。

オープンインターフェース、データベースオープンインターフェースおよびディレクトリオープンインターフェースを含む他のオープンインターフェースは必要に応じて加えられ得る。

（Ｂ．本発明の好適な実施形態）
（１．好適な環境）
バイオメトリックサーバ１０４、登録ステーション１０６、管理ステーション１０８、代替的なバイオメトリックサーバ１１０および衛星登録ステーション１１２は、図３に示されるようにコンピュータ３０２を用いて実行され得る。明らかに、１つより多くのこれらの機能上の構成要素は１つのコンピュータ３０２で実行され得る。

コンピュータ３０２は、プロセッサ３０４等の１つ以上のプロセッサを含む。プロセッサ３０４は通信バス３０６に接続される。コンピュータ３０２はまた、主メモリ３０８、好適にはランダムアクセスメモリ（ＲＡＭ）を含む。制御論理３１０（すなわち、ソフトウェア）およびデータ３１２（例えば、バイオメトリックサーバ１０４に格納されるデータ）が主メモリ３０８に格納され、また二次ストレージ３１４にも格納され得る。

コンピュータ３０２はまた、二次ストレージ３１４を含む。例えば、二次ストレージ３１４は、ハードディスクドライブ３１６および／またはリムーバブルストレージドライブ３１８を含む。リムーバブルストレージドライブ３１８は、フロッピー（Ｒ）ディスクドライブ、磁気テープドライブ、コンパクトディスクドライブ等を表す。リムーバブルストレージドライブ３１８は、周知の様式でリムーバブルストレージユニット３２０から読み出し、かつ／またはリムーバブルストレージユニット３２０に書き込む。

リムーバブルストレージユニット３２０はまた、プログラムストレージデバイスまたはコンピュータプログラム製品と呼ばれ、フロッピー（Ｒ）ディスク、磁気テープ、コンパクトディスク等を表す。理解されるように、リムーバブルストレージユニット３２０は、コンピュータソフトウェアおよび／またはデータを中に格納しているコンピュータ使用可能ストレージを含む。

コンピュータプログラム（また、コンピュータ制御論理とも呼ばれる）は、主メモリ３０８、二次ストレージ３１４および／またはリムーバブルストレージユニット３２０に格納される。そのようなコンピュータプログラムは、実行される場合に、コンピュータ３０２が本明細書中で議論されたような本発明の機能を実行可能にする。詳細には、コンピュータプログラムは、実行される場合、プロセッサ３０４が本発明の機能を実行可能にする。従って、そのようなコンピュータプログラムはコンピュータ３０２のコントローラを表す。

別の実施形態において、本発明は、コンピュータ読み出し可能媒体の中に格納される制御論理（コンピュータソフトウェア）を有するコンピュータ読み出し可能媒体を含むコンピュータプログラム製品に関する。制御論理がプロセッサ３０４により実行される場合、制御論理によりプロセッサ３０４は本明細書中に説明されるような本発明の機能を実行する。

別の実施形態において、本発明は、例えば、ハードウェア状態マシーン（ｓｔａｔｅ ｍａｃｈｉｎｅ）を用いるハードウェアで主に実行される。本明細書中で説明される機能を実行するためにハードウェア状態マシーンを実行することは、当業者には明らかなことである。

コンピュータ３０２はまた、入力デバイス３２２および表示デバイス３２４を含む。入力デバイス３２２はキーボード、マウス、マイクロフォン、カメラ等を含む。表示デバイス３２４はコンピュータモニタ、プリンタ、スピーカ、プロジェクタ等を含む。

（２．好適なソフトウェアプログラミング言語およびネットワークアーキテクチャ）
上記で議論されたように、コンピュータプログラムは、実行される場合、コンピュータ３０２が本発明書中で議論されたような好適な発明の機能を実行可能にする。好適な実施形態において、本発明は、オブジェクト指向プログラミング言語で書かれたコンピュータプログラムを用いて実行される。オブジェクト指向プログラミングは、プログラマはデータ構造のデータタイプだけではなく、データ構造に適用され得る動作（機能）のタイプも定義する１タイプのプログラミングである。この方法では、データ構造は、データおよび機能の両方を含むオブジェクトである。さらには、プログラマは１つのオブジェクトと別のオブジェクトの間の関係を作成し得る。例えば、オブジェクトは他のオブジェクトから特徴を受け継ぎ得る。

手続き型プログラミング技術によるオブジェクト指向プログラミング技術の主要な利点の１つは、それらによってプログラマが、新しいタイプのオブジェクトが加えられる場合に改変する必要のないモジュールを作成し得ることである。プログラマは、現存するオブジェクトからその特性の多くを受け継ぐ新しいオブジェクトを簡単に作成し得る。これによりオブジェクト指向プログラムは容易に変更され得る。オブジェクト指向プログラミングを実行するためには、オブジェクト指向プログラミング言語（ＯＯＰＬ）が必要となる。Ｃ＋＋およびＳｍａｌｌｔａｌｋは非常に有名な言語の２つであり、また、Ｐａｓｃａｌのオブジェクト指向バージョンもある。

本発明の好適な実施形態が、オブジェクト指向プログラミング言語で書かれるコンピュータプログラムを用いて実行される一方で、本発明はまた、手続き型プログラミング言語等を用いて実行され得る。

上述のように、１つ以上のコンピュータ３０２がネットワークによって接続される。本発明の好適な実施形態は、ピア・ツー・ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークアーキテクチャを用いる。ピア・ツー・ピアオブジェクトアーキテクチャが理解され得る以前に、クライアント／サーバアーキテクチャと呼ばれるタイプのネットワークアーキテクチャが説明されなければならない。クライアント／サーバアーキテクチャは、ネットワーク上で各々のコンピュータまたはプロセスがクライアントまたはサーバのどちらかであるネットワークアーキテクチャである。サーバはディスクドライブ（ファイルサーバ）、プリンタ（プリンタサーバ）、アプリケーション／関数またはネットワークトラフィック（ネットワークサーバ）を管理用のコンピュータまたはプロセスである。実際に、サーバはリソースをアプリケーションに割り当てる任意のコンピュータまたはデバイスである。クライアントは、ユーザがアプリケーションを実行するパーソナルコンピュータまたはワークステーションである。クライアントは、ファイル、デバイス、関数の実行および処理力（ｐｒｏｃｅｓｓｉｎｇ ｐｏｗｅｒ）でさえ例とするリソースについてサーバに依存する。

図４Ａ〜図４Ｉは、クライアントとオブジェクト指向プログラムを実行するサーバとの間で発生する通信を確立する動的な工程を示す。図４Ａにおいて、クライアントは、サーバからの要求を待っている交換台（ｓｗｉｔｃｈｂｏａｒｄ）オブジェクト４０２およびリッスン（ｌｉｓｔｅｎ）オブジェクト４０４を有する。図４Ｂでは、開始オブジェクト４０６はそれが特定のタスクを実行する必要があることを判定する。図４Ｃでは、開始オブジェクト４０６が共通（ｃｏｍｍ）オブジェクト４０８を作成する。共通オブジェクト４０８はクライアントと通信するのに用いられる。次いで、共通オブジェクト４０８は図４Ｄのリッスンオブジェクト４０４に接続する。一旦共通オブジェクト４０８が接続すると、リッスンオブジェクト４０４は共通オブジェクト４１０を作成し、共通オブジェクト４１０を交換台オブジェクト４０２に再度、配置する。共通オブジェクト４１０は共通オブジェクト４０８を介し、（すなわち、２つのピア（ｐｉｅｒ）の間で）サーバに再度、通信するために用いられる。

この点で、図４Ｆに示されるように、共通オブジェクト４０８および共通オブジェト４１０を通じてクライアントとサーバの間で（すなわち、２つのピアの間で）２方向の通信がある。開始オブジェクト４０６は、どのレシーバオブジェクトが要求される特定のタスクを実行するためにクライアント（すなわち、レシービングピア）によって作成される必要があるかを理解する。それゆえ、一旦この通信が確立される場合、開始オブジェクト４０６は要求をクライアント（すなわち、レシービングピア）に送り、特定のレシーバオブジェクトを作成する。図４Ｇでは、交換台オブジェクト４０２が共通オブジェクト４１０を介して要求を受け取り、レシーバオブジェクト４１２を作成する。一旦レシーバオブジェクト４１２が作成されると、共通オブジェクト４１０は図４Ｈにおいてレシーバオブジェクト４１２に再度、配置される。次に、図４Ｉに示されるように、開始オブジェクト４０６およびレシーバオブジェクト４１２は、共通オブジェクト４０８および共通オブジェクト４１０を介して、レシーバオブジェクト４１２が開始オブジェクト４０６によって要求されるタスクを完了するまで通信の往復をし得る。

上述したように、本発明の好適な実施形態はピア・ツー・ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークアーキテクチャを用いる。ピア・ツー・ピアオブジェクトアーキテクチャは、ネットワークの各コンピュータが等価な能力および責任を有する場合である。これは、いくつかのコンピュータが他のコンピュータに貢献するのに従事してる点でクライアント／サーバアーキテクチャとは異なる。それゆえ、本発明の好適な実施形態において、全てのコンピュータ３０２はサーバまたはクライアントのどちらかとして動作し得る。

上記で議論したように、オブジェクト指向プログラミング言語を用いる利点の１つは、それによって新しいタイプのオブジェクトを加える場合にプログラマが改変する必要のないモジュールを作成することが可能になることである。この利点は、本明細書を詳しく説明する際にさらに示される。

（Ｃ．本発明のバイオメトリックサーバデータ）
上述したように、図１のバイオメトリックサーバ１０４がバイオメトリックシステム１０２のエンジンである。実際、それはユーザがバイオメトリックシステム１０２によって認証されるかどうかを最後に判定するエンジンである。さらに、バイオメトリックサーバ１０４はバイオメトリックシステム１０２によってアクセスされるデータを格納する。バイオメトリックサーバ１０４に格納されるデータは２つの方法の内の１つで構成され得る。１つの方法はデータベースの使用によるものである。もう１つの方法はディレクトリの使用によるものである。

バイオメトリックサーバ１０４のデータが構成され得る第１の方法は、データへのアクセスを容易にするためのデータベースの使用を含む。一般に、データベースは、コンピュータプログラムが望まれるデータの一部を素早く選択し得るように編集された情報収集したものである。データベースは電子ファイリングシステムと類似している。データベースからの情報にアクセスするためには、データベース管理システム（ＤＢＭＳ）が必要とされる。これは、データベース内にデータを入力し、変更し、編集し、選択することを可能にするプログラムを収集したものである。

従来のデータベースは表、フィールド、レコード、およびファイルによって編集される。フィールドは情報の１部である；レコードはフィールドの１つの完全なセットである；ファイルはレコードを収集したものである。例えば、電話帳はファイルに類似してる。電話帳は、各々が３つのフィールド：名前、アドレス、および電話番号からなるレコードのリストを含む。

データベースの代替的なコンセプトはハイパーテキストとして公知である。ハイパーテキストデータベースにおいて、任意のオブジェクトは、それがテキスト、画像、または映画であろうとなかろうと、任意の他のオブジェクトにリンクされ得る。ハイパーテキストデータベースは大量の異なる情報を編集するのに特に役に立つが、それらは数値解析に対しては設計されない。

本発明はまた、オープンデータベースコネクティビティ（ＯＤＢＣ）と呼ばれる標準データベースアクセス方法を用いて実行され得る。ＯＤＢＣの目標は、どのＤＢＭＳがデータを処理するかに関わらず、任意のアプリケーションから任意のデータにアクセスすることを可能にすることである。ＯＤＢＣは、アプリケーションとＤＢＭＳの間の、データベースドライバと呼ばれる中間層を挿入することによってこれを管理する。この層の目的はアプリケーションのデータクエリをＤＢＭＳが理解するコマンドに変換することである。これを行うためには、アプリケーションとＤＢＭＳの両方がＯＤＢＣに準拠していしなければならない−すなわち、アプリケーションはＯＤＢＣコマンドを発行し、ＤＢＭＳはそれらに応答することが可能である必要がある。

バイオメトリックサーバ１０４のデータが構成され得る第２の方法は、データへのアクセスを容易にするディレクトリの使用を含む。本発明の好適な実施形態がＸ．５００ディレクトリと呼ばれる階層的なディレクトリを利用する。Ｘ．５００ディレクトリは、情報の各カテゴリ（例えば、国、州、および町）についての異なるレベルにより階層化されている。Ｘ．５００ディレクトリを利用することに加えて、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）もまた、使用され得る。

ＬＤＡＰはディレクトリにアクセスするためのプロトコルのセットである。ＬＤＡＰはＸ．５００規格内に含まれる規格に基づくが、より一層簡略化されている。Ｘ．５００と違って、ＬＤＡＰは、任意のタイプのインターネットアクセスに必要なＴＣＰ／ＩＰを支援する。まだ広く実行されていないが、ＬＤＡＰは、仮想的な任意のコンピュータプラットフォーム上で実行しているほとんどの任意のアプリケーションがディレクトリ情報（例えば、ｅメールアドレスおよび公開鍵）を得ることを最終的に可能にするはずである。ＬＤＡＰはオープンプロトコルであるので、アプリケーションがディレクトリを集めるサーバのタイプについて心配する必要はない。

次のセクションでは、バイオメトリックサーバ１０４に格納された様々なデータ収集したものが図５を参照して最初に議論される。次に図６を参照して、アドミニストレータがバイオメトリックサーバ１０４を始めに設定し得る通常の一連の工程が議論される。バイオメトリックサーバ１０４のエンジン機能は、図７〜１３を参照し、セクションＤで議論される。

（１．バイオメトリックサーバに格納されたデータ）
図５では、バイオメトリックサーバ１０４（図１）は、バイオメトリックテンプレート５０２、バイオメトリックポリシー５０４、バイオメトリックグループ５０６、バイオメトリックデバイスＩＤ５０８、ユーザＩＤ５１０、コンピュータＩＤ５１２およびアプリケーションＩＤ５１４の収集したものを格納する。１つ以上の一意的なバイオメトリックテンプレート５０２は、ユーザが異なるバイオメトリックデバイスに登録する度に作成され、バイオメトリックサーバ１０４に格納される。バイオメトリックテンプレート５０２は、特定のバイオメトリックデバイスに対するユーザの一意的なバイオメトリック測定を格納する。次いで、バイオメトリックデバイスがユーザを識別しようと試みる場合に、格納されたバイオメトリック測定はユーザの「生きた」バイオメトリック測定とマッチングさせるのに用いられる。

バイオメトリックポリシー５０４は、ユーザがバイオメトリックサーバ１０４によってどの方法（ｍｅｔｈｏｄ ｏｒ ｗａｙ）で認証されるかを決定する。本発明によって提供された特定の予め定義されたポリシーはＯＲポリシー、ＡＮＤポリシー、ＣＯＮＴＩＮＧＥＮＴポリシー、ＲＡＮＤＯＭポリシーおよびＴＨＲＥＳＨＯＬＤポリシーを含む。本発明はまた、アドミニストレータが他のバイオメトリックポリシー５０４を定義することを可能にする。各ポリシーが実行される特定の方法は、後で詳しく説明される。

各予め定義されたバイオメトリックポリシー５０４はバイオメトリックポリシー５０４に関連したデバイスのリストを有する。デバイスのリストは、特定のバイオメトリックポリシー５０４を実行するのに使用されるバイオメトリックデバイスを識別する。デバイスのリストの各バイオメトリックデバイスは、各バイオメトリックデバイスに関連する閾値およびタイムアウト値を有する。閾値（例えば、偽の受け入れ速度）は識別のレベルを示す。バイオメトリックデバイスは、ユーザがデバイスを合格するのを判定しなければならない。タイムアウト値は、バイオメトリックデバイスが閾値によって示される識別のレベルに対してユーザを識別しなければならない時間を示す。

バイオメトリックポリシー５０４を定義した各アドミニストレータはバイオメトリックポリシー、またはポリシーあるいはデバイスのリストのどちらかを有し得る。バイオメトリックポリシーのリストは、特定のバイオメトリックポリシー５０４を実行するために用いられるバイオメトリックポリシーを識別する。バイオメトリックポリシーのリストは、特定のバイオメトリックポリシー５０４を実行するのに用いられるバイオメトリックポリシーを識別する。

図５は、バイオメトリックグループ５０６もまたバイオメトリックサーバ１０４に格納されることを示す。バイオメトリックグループ５０６は、リソースの同じセットにアクセスする必要のある１人以上のユーザを組み合わせる論理的な方法である。例えば、企業の会計部門の全てのユーザは会計タスクを実行するための特定のリソースを必要とする。それゆえ、バイオメトリックグループ５０６の１つは「会計グループ」として定義され得る。ここで、ユーザが「会計グループ」に入れられる場合、（一旦バイオメトリックシステム１０２によって認証された）そのユーザは「会計グループ」の全ての他のユーザと同じリソースへのアクセス権を有する。

各ユーザは１つ以上のバイオメトリックグループ５０６に入れられ得る。ユーザが特定のグループのリソースへのアクセス権を得ようと試みる場合、ユーザはどのバイオメトリックポリシー５０４がその特定のグループと関連するかによって認証されなければならない。ユーザが最初、ネットワークシステム２０２にログインしようと試みる場合、バイオメトリックシステム１０２が実行され得、それによってユーザはデフォルトのバイオメトリックグループ５０６を有し、それゆえユーザは最初、ユーザのデフォルトのバイオメトリックグループ５０６に関連するバイオメトリックポリシー５０４によって認証される。デフォルトのバイオメトリックグループ５０６の例は、ユーザがネットワークシステム２０２へのアクセス権を得ようと試みている位置に依存し得る。可能な異なる位置はネットワークシステム２０２自体における位置と異なる位置およびネットワークシステム２０２の外の遠隔位置と異なる位置を含む。

１人のユーザに対して複数のバイオメトリックグループ５０６がバイオメトリックシステム１０２で実行され得る別の方法は、ユーザが認証されることを望むバイオメトリックグループ５０６にユーザをクエリすることである。さらなる方法はバイオメトリックシステム１０２が各ユーザのバイオメトリックグループ５０６にプライオリティを与えることである。ここで、ユーザがバイオメトリックシステム１０２によって高いプライオリティを備えたバイオメトリックグループ５０６に認証される場合、ユーザは自動的に低いプライオリティを有するユーザのバイオメトリックグループ５０６に認証される。プライオリティスキームが実行され得る１つの可能な方法は、最も困難なバイオメトリックポリシー５０４がバイオメトリックグループ５０６と関連するようにバイオメトリックグループ５０６により高いプライオリティを与えることである。

バイオメトリックデバイスＩＤ５０８はバイオメトリックデバイスを識別する。各バイオメトリックデバイスは一意的なＩＤを有する。従って、図５のバイオメトリックデバイスＩＤ５０８の収集したものは、本発明がネットワークシステム１０２（図２）において各バイオメトリックデバイスを一意的に識別することを可能にする。同様に、ユーザＩＤ５１０はネットワークシステム１０２においてユーザを一意的に識別する。

上述されたように、ユーザがバイオメトリックシステム１０２によって認証されるように要求され得る様々なポイント（ｐｏｉｎｔｓ）は、図２の、ネットワークシステム２０２、１つ以上のホストコンピュータ、アプリケーション２０４および／またはユーザコンピュータ２０８を含む。ネットワークシステム２０２内の各コンピュータ２０８およびアプリケーション２０４は登録されなければならない。以下で議論するように、一意的なＩＤを各コンピュータ２０８およびアプリケーション２０４に割り当てることによって、この登録が行われる。コンピュータＩＤ５１２はネットワークシステム２０２において各コンピュータ２０８を一意的に識別する。同様にアプリケーションＩＤ５１４はネットワークシステム２０２において各アプリケーション２０４を一意的に識別する。従って、コンピュータＩＤ５１２およびアプリケーションＩＤ５１４の収集したものは、本発明がネットワークシステム１２０において、ユーザがバイオメトリックシステム１０２によって認証されるように要求され得る各位置を識別することを可能にする。

（２．バイオメトリックサーバデータの設定）
本発明において、好適には、バイオメトリックシステム１０２のアドミニストレータは、バイオメトリックサーバ１０４に格納されるデータを判定する。図６は、アドミニストレータが初めてバイオメトリックサーバ１０４を設定し得る通常の一連のステップを示すフローチャートである。ステップ６０２において、一意的なコンピュータＩＤ５１２はネットワークシステム２０２の各コンピュータに割り当てられる。ステップ６０３において、一意的なアプリケーションＩＤ５１４がネットワークシステム２０２の各アプリケーションに割り当てられる。同様に、ステップ６０４では、一意的なバイオメトリックデバイスＩＤ５０８がネットワークシステム２０２の各バイオメトリックデバイスに割り当てられる。次に、ステップ６０６に示されるように、どのバイオメトリックデバイスが各コンピュータ２０８（図２）に取り付けられるかについて判定される。

ステップ６０８において、バイオメトリックシステム１０２内で使用されるバイオメトリックグループ５０６が定義される。特に、管理者は、バイオメトリックグループ５０４の各メンバが、アクセスする必要のあるネットワークシステム２０２内のリソースの論理的なグループ分けを調べることにより、各バイオメトリックグループ５０４を定義する。次に、ステップ６１０において、バイオメトリックポリシー５０４が定義される。各バイオメトリックポリシー５０４は、自身をデバイスのリストに関連付ける。バイオメトリックポリシー５０４は、ユーザがバイオメトリックサーバ１０４により認証されるような方法または手段を決定する。１つのバイオメトリックポリシー５０４は、ステップ６１２において、各バイオメトリックグループ５０６に割り当てられる。ステップ６１３において、１つのバイオメトリックポリシー５０４は、各アプリケーションＩＤ５１４に割り当てられる。

ステップ６１４において、ネットワークシステム２０２リソースへのアクセスを得ることを必要とする全てのユーザについて、ユーザは一意的なユーザＩＤ５１０を割り当てられる。次いで、各新規のユーザは、ステップ６１６において、バイオメトリックグループ５０６中に入る。一旦、ユーザのバイオメトリックグループ５０６が決定されると、次いで、ステップ６１８において、ユーザが登録されることを必要とするデバイスのタイプは、ユーザのバイオメトリックグループ５０６に割り当てられたバイオメトリックポリシー５０４を見ることにより決定される。一旦、どのバイオメトリックポリシー５０４が適用されるかが分かれば、バイオメトリックテンプレート５０２は、ユーザを各デバイスに登録することにより、バイオメトリックポリシー５０４に関連する各バイオメトリックデバイス５０８について生成される。これをステップ６２０に示す。あるいは、バイオメトリックテンプレート５０２は、ネットワークシステム２０２内の各バイオメトリックデバイスについて生成され得る。最後に、ステップ６２２において、各コンピュータＩＤ５１２、バイオメトリックデバイスＩＤ５０８、バイオメトリックグループ５０６、バイオメトリックポリシー５０４、ユーザＩＤ５１０、バイオメトリックテンプレート５０２およびアプリケーションＩＤ５１４を、バイオメトリックサーバ１０４に格納する。

図６に示すステップは、当業者に対して明らかなように種々のオーダで実行され得る。一旦、バイオメトリックサーバ１０４が設定される（すなわち、バイオメトリックテンプレート５０２、バイオメトリックポリシー５０４、バイオメトリックグループ５０６、バイオメトリックデバイスＩＤ５０８、ユーザＩＤ５１０、コンピュータＩＤ５１２、およびアプリケーションＩＤ５１４が全て定義される）と、管理者はグラフィカルユーザインターフェース（ＧＵＩ）を介して相互作用し、バイオメトリックサーバ１０４をカスタマイズする。

図１４は、本発明のＧＵＩにより生成されるサンプルウインドウまたはスクリーンショットである。図１４は、５つの階層構造に（アプリケーションＩＤ５１４のエクスクルージョンを用い）論理的に格納されるような、バイオメトリックサーバ１０４に格納されたデータを示す。５つの階層構造は、バイオメトリックユーザ階層１４０２、バイオメトリックグループ階層１４０４、バイオメトリックコンピュータ階層１４０６、バイオメトリックポリシー階層１４０８、およびバイオメトリックデバイス階層１４１０を含む。バイオメトリックユーザ階層１４０２は、管理者が登録するユーザＩＤ５１０のリストを含む。図１４に示すように、「管理者」および「ボブ」はユーザＩＤ５１０の２つの例である。バイオメトリックグループ階層１４０４は、管理者が定義するようなバイオメトリックグループ５０６のリストを含む。バイオメトリックグループの例は、「計算オペレータ」および「管理者」を含む。

バイオメトリックコンピュータ階層１４０６は、コンピュータＩＤ５１２のリストを含む。コンピュータＩＤ５１２のリストは、管理者が登録するコンピュータを表す。コンピュータＩＤ５１２の例は、「ＢＳＣＬＡＰＴＯＰ」および「ＢＳＣＬＡＰＴＯＰ１」を含む。図１４に示す第４の階層は、バイオメトリックポリシー階層１４０８である。バイオメトリックポリシー階層１４０８は、予め規定されたバイオメトリックポリシー５０４および管理者が規定したバイオメトリックポリシー５０４の両方のリストを含む。予め規定されたバイオメトリックポリシー５０４は、「オアポリシー」、「アンドポリシー」、「条件付きポリシー」、「ランダムポリシー」および「閾値ポリシー」を含む。最後に、バイオメトリックデバイス階層１４１０は、管理者が登録するバイオメトリックデバイスＩＤ５０８のリストを含む。バイオメトリックデバイスＩＤの例は、「ＢＳＣパスワードデバイス」および「Ｖｉｓｉｏｎｉｃｓ ＦａｃｅＩｔ」を含む。

図１４に図示されていない追加的な階層構造は、アプリケーション階層である。上に記載したように、ユーザは、バイオメトリックポリシー５０４に関連する特定アプリケーションにアクセスを試みる場合、認証される必要があり得る。アプリケーション階層は、図１４のサンプルウインドウに図示されていないが、本発明のＧＵＩは、アプリケーション階層だけでなく、管理者が望む他の任意のタイプの階層をも含むように変更され得る。

本発明はまた、管理者が情報グループを定義することを可能にする。情報グループは、ネットワークシステム２０２の各アプリケーション内で同様のタイプの情報にアクセスする必要があるユーザを組み合わせる論理的な方法である。例えば、ネットワークシステム２０２内の１つの可能なタイプのアプリケーションは、各ユーザについての情報を含むデータベースである。バイオメトリックシステム１０２の管理者は、人材部門（ｈｕｍａｎ ｒｅｓｏｕｒｃｅ ｄｅｐａｒｔｍｅｎｔ）のみがユーザの医療情報にアクセスしたことを判定し得る。ここで、１つの情報グループが、「医療情報」として定義され得る。「医療情報」に入るユーザは、人材部門におけるこれらユーザのみである。従って、バイオメトリックポリシー５０４は、アプリケーションＩＤを用いるか、または情報グループを用いるかのいずれかで直接関連付けられ、ユーザがアプリケーションの情報にアクセスすることを可能にするより先に、ユーザを認証する。

本発明は、ＧＵＩの使用を介して、「ドラッグアンドドロップ」アプリケーションとして好適に実行される。「ドラッグアンドドロップ」アプリケーションは、管理者がスクリーン上の特定の位置へオブジェクトをドラッグさせることを可能にし、スクリーン上でアクションを実行する。例えば、マッキントッシュ環境において、ドキュメントを削除するために、ドキュメントをごみ箱アイコンにドラックし得る。これは、「ドラックアンドドロップ」機能の古典的な事例である。ドラックアンドドロップ機能が十分に実施される場合、メニューからオプションを選択するか、またはコマンドでタイプするような代替手段より速く、より直感的な両方の機能である。にもかかわらず、本発明は、「ドラッグアンドドロップ」アプリケーションとして実施されることに限定されない。

図１４を再度参照して、「ドラックアンドドロップ」機能の１つの例は、管理者が、バイオメトリックグループについてオアポリシーを定義するかまたは再定義するかのいずれかを行う「管理者」バイオメトリックグループへ「オアポリシー」をドラッグする管理者の能力である。他の例は、ユーザＩＤ「管理者」を「管理者」バイオメトリックグループにドラッグすることを含む。ここで、ユーザＩＤ「管理者」を有するユーザは、バイオメトリックシステム１０２（図１）が認証すべき「オアポリシー」に合格しなければならない。

管理者はまた、バイオメトリックポリシー５０４をアプリケーションＩＤ５１４（図１４に図示せず）にドラッグし得る。例えば、管理者が「アンドポリシー」を特定のアプリケーションＩＤにドラッグすると、アプリケーションＩＤが割り当てられるアプリケーションへのアクセスを試みる全てのユーザは、「アンドポリシー」に合格しなければならない。従って、本発明は、異なるレベルの認証粒度を提供する。例えば、特定のユーザが２つのバイオメトリックデバイスに合格する場合、特定のユーザは、スプレッドシートへのアクセスを可能にするバイオメトリックグループ５０６へ割り当てられ得る。しかしながら、給料支払い（ｐａｙｏｕｔ）アプリケーションへのアクセスを獲得するために、ユーザはまた、第３のバイオメトリックデバイスに合格しなければならない。バイオメトリックグループ５０６のメンバでないユーザは、給料支払いアプリケーションにアクセスする機会さえ有していない。本発明は、ネットワークリソースを保護するための完全な柔軟性を提供する。

図６を参照して上に記載したように、ステップ６２０において、バイオメトリックテンプレート５０２は、ユーザのバイオメトリックグループ５０６にさらに関連するバイオメトリックポリシー５０４に関連するデバイスのリスト中で決定される各バイオメトリックデバイスについてユーザ用に生成される。従って、ユーザが、特定アプリケーションへのアクセスを獲得するために合格する必要がある特定のバイオメトリックデバイスに登録され得ない可能性がある。この状況は、ユーザのバイオメトリックグループ５０６に割り当てられるバイオメトリックポリシー５０４およびアプリケーションＩＤ５１４に割り当てられるバイオメトリッポリシー５０４が、それらのデバイスのリストに異なるバイオメトリックデバイスを有する場合に、発生する。このような状況を回避する１つの方法は、全てのバイオメトリックデバイスを用い、ユーザをバイオメトリックデバイスシステム１０２に登録し、ユーザのバイオメトリックグループ５０６に関連するデバイスのバイオメトリックポリシー５０４のリストで決定されるバイオメトリックデバイスを全く用いることなくユーザをバイオメトリックデバイス１０２に登録する。上に記載のように、種々の義務がバイオメトリックシステム１０２内に存在する。上の議論は、これら全ての義務を実行するのは管理者であることを判断する。実際、これらの義務は、バイオメトリックシステム１０２（図１）内に異なる位置を有する複数の人々に任せられ得る。これらの位置は、（上に記載の人々から限定された義務を有する）管理者、バイオメトリックポリシーマネージャ、デバイスハードウェアおよびソフトウェアマネージャ、ならびに登録マネージャを含み得る。管理者は、バイオメトリックシステム１０２内に、実際の管理者の特権を有する。管理者の実際の義務は、ユーザの追加および削除、バイオメトリックグループ５０６（図５）、コンピュータ２０８（図２）、およびバイオメトリックシステム１０２を備えるアプリケーション２０４（図２）に限定され得ない。バイオメトリックシステム１０２内の他の位置は、バイオメトリックポリシーマネージャである。この位置は、警備員（ｓｅｃｕｒｉｔｙ ｏｆｆｉｃｅｒ）と類似する。バイオメトリックポリシーマネージャは、バイオメトリックポリシー５０４を定義することおよびバイオメトリックポリシー５０４をバイオメトリックグループ５０６およびアプリケーションＩＤ５１４両方に取り付けることについて責任がある。バイオメトリックポリシーマネージャはまた、バイオメトリックデバイスの結合および各バイオメトリックデバイスに関連する閾値の強度について責任がある。

バイオメトリックシステム１０２内の他の位置は、デバイスハードウェアおよびソフトウェアマネージャである。この人物は、バイオメトリックシステム１０２内のバイオメトリックデバイスについてのソフトウェアおよびハードウェアを管理することに対して責任がある。デバイスハードウェアおよびソフトウェアマネージャはバイオメトリックデバイスをインストールし、バージョンを最新情報に保ち、デバイスを維持する。最終位置は登録マネージャを含む。この人物は、ユーザをバイオメトリックシステム１０２に登録する能力を与えられる。責任能力は、異なるデバイスについて登録するステップを介して新規のユーザを取り込むことを含む。概して、登録マネージャは、企業の人材部門で働く非技術者である。簡便さのために、以下の議論は管理者のみに言及する。管理者は１つの、全ての、または任意の数の、上に記載の位置を実行する１人の人物であり得ることが理解されるべきである。

（Ｄ．本発明のバイオメトリックサーバ機能）
本発明の１実施形態において、バイオメトリックサーバ１０４は、上述の図３を参照して記載されたように動作するコンピュータ３０２として実行される。コンピュータ３０２はコンピュータプログラムを実行し、コンピュータ３０２が本発明の機能を実行することを可能にする。従って、バイオメトリックサーバ１０４は、コンピュータプログラムを実行し、その機能を行う。上に記載のように、バイオメトリックサーバ１０４が実行するコンピュータプログラムは好適には、オブジェクト指向プログラミング言語に書き込まれ、ピアトゥピアオブジェクトアーキテクチャで実行される。

任意のオブジェクト指向プログラミングおよび、従って、バイオメトリックサーバ１０４が実行するコンピュータプログラムをも有するオブジェクト指向プログラムの利点は、それらが、新規のタイプのオブジェクトが追加される場合に、プログラマが変更する必要のないモジュールを生成することを可能にする。オブジェクトは、タスクを実行する必要のあるデータおよび機能両方を含む。従って、バイオメトリックサーバ１０４がオブジェクトとして実行する機能を実施することにより、生成されたモジュールは、新規のタイプのオブジェクト（または機能）が追加される場合、変更される必要がない。この本発明の実施は、複雑性を減少させ、従って、効率性を増加させる。本発明の相互互換性の（オブジェクトとして実施される）機能は、以下で図７、８、１２および１３を参照してより詳細に説明される。

オブジェクト指向プログラムを実行するクライアントとサーバとの間の通信の構築に関与する動的なステップを、図４Ａ〜図４Ｉを参照して上に記載した。本発明のバイオメトリックサーバ１０４が自身の種々の機能を実行して、サーバとクライアントとの間の通信に関与する同様の動的なステップが、図４Ａ〜図４Ｉに示すような各機能について発生する。一般的な開始オブジェクト４０６および一般的なレシーバオブジェクト４１２を、図４Ｇ〜図４Ｉに示す。図７および図１２に示すように、バイオメトリックサーバ１０４が実行する各タイプの機能について、開始オブジェクト４０６およびレシーバオブジェクト４１２は、特定の機能を実行する特定の開始およびレシーバオブジェクトにより置き換えられる。

コンピュータソフトウェアの実行を介して、バイオメトリックサーバ１０４が実行するタイプの機能は、ユーザを認証すること、およびユーザを登録することを含む。簡便さのために、バイオメトリックサーバ１０４の個々の機能を示すために使用される図は、図４Ａ〜図４Ｉのスイッチボードオブジェクト４０２およびリッスンオブジェクト４０４を含まない。

（１．ユーザの認証）
本発明のユーザを認証することに関与するオブジェクトのブロック図を、図７に示す。上に記載のように、ピアトウピアオブジェクトアーキテクチャは、いつネットワークの各コンピュータが同等の能力および責任を有するかである（例えば、単一のコンピュータはサーバとして機能し得、次いで別の時間においては、クライアントとして機能し得る）。これは、ネットワークの各コンピュータが、ネットワークの任意の他のコンピュータとの通信を初期化することを可能する。図７は、バイオメトリックサーバ１０４（図１）、コンピュータ２０８（または、代替的に、リモート／ウェブコンピュータ２１０、これら両方は図２参照）、認証インターフェース７０４、認証インターフェース７０６、認証オブジェクト７０８、データベースオブジェクト７１０、ポリシーオブジェクト７１２、共通オブジェクト７１６、共通オブジェクト７１８、認証オブジェクト７２０およびバイオメトリックデバイスオブジェクト７２２を含む。、ここで、バイオメトリックサーバ１０４はサーバとして振る舞い、コンピュータ２０８は、クライアントとして振る舞う。

認証インターフェース７０４および認証インターフェース７０６は、本発明の一部でないことを留意することが重要である。実際、認証インターフェース７０４および認証インターフェース７０６は、本発明がインターフェースをとる特定のオペレーティングシステムおよび／またはアプリケーションに特定される。一般的に、オペレーティングシステムは、そのトップにアプリケーションと呼ばれる他のプログラムが実行し得るソフトウェアプラットフォームを提供する。アプリケーションは、特定のオペレーティングシステムのトップで実行するように書き込まれなければならない。従って、オペレーティングシステムの選択は、実行され得るアプリケーションをほぼ決定する。オペレーティングシステムの例は、Ｗｉｎｄｏｗｓ（登録商標） ＮＴ、ＵＮＩＸ（登録商標）、およびＳｏｌａｒｉｓを含む。本発明は、アプリケーションインターフェース７０６を介して、適用可能なオペレーティングシステムとインターフェースをとる。

認証オブジェクト７０８は開始オブジェクト４０６（図４Ａ〜図４Ｉ）を置き換える。認証オブジェクト７０８は、ユーザを認証するためにコンピュータ２０８にリクエストするために使用される。共通オブジェクト７１６は、認証オブジェクト７０８に取り付けられ共通オブジェクト４０８（図４Ａ〜図４Ｉ）を置き換える。認証オブジェクト７０８および認証オブジェクト７２０は、共通オブジェクト７１６および共通オブジェクト７１８を介して通信する。

ポリシーオブジェクト７１２はまた、認証オブジェクト７０８に取り付けられる。ポリシーオブジェクト７１２は、特定のバイオメトリックポリシー５０４（図５）によって異なる。上に記載したように、バイオメトリックポリシー５０４（図５）は、バイオメトリックサーバ１０４がユーザを認証する方法または方式を決定する。ユーザがバイオメトリックポリシー５０４に合格するまで、ユーザは認証されないことを留意することが重要である。本発明において、ユーザのバイオメトリックポリシー５０４にまた合格することなく、単に１以上のバイオメトリックデバイスがユーザに合格することは決してない。認証オブジェクト７０８と認証オブジェクト７２０との間の通信のタイプは、ユーザを認証するために用いられる、特定のバイオメトリックポリシー５０４に非常によく依存する。

図７において、データベースオブジェクト７１０は、図５に示すように上に記載されたデータ格納する。データはバイオメトリックテンプレート５０２の収集、バイオメトリックポリシー５０４、バイオメトリックグループ５０６、バイオメトリックデバイスＩＤ５０８、ユーザＩＤ５１０、コンピュータＩＤ５１２およびアプリケーションＩＤ５１４を含む。認証オブジェクト７２０は、レシーバオブジェクト４１２（図４Ｇ〜図４Ｉ）を置き換える。認証オブジェクト７２０は、認証オブジェクト７０８がリクエストする特定のタスクを実行するために使用される。共通オブジェクト７１８は共通オブジェクト４１０（図４Ａ〜図４Ｉ）を置き換える。最後に、バイオメトリックデバイスオブジェクト７２２は、ユーザがバイオメトリックデバイスに合格するかどうかを判定することによりユーザを識別するために使用される。バイオメトリックデバイスオブジェクト７２２は、ユーザがどのバイオメトリックデバイスに合格するように試みられるかによって異なる。

図８Ａ、図８Ａ−１および図８Ｂは、図７のオブジェクトの高レベルオペレーションを示すフローチャートである。ステップ８０２において、ユーザはコンピュータ２０８に存在し、管理者がユーザに与えるユーザＩＤ５１０（図５）をタイプする。認証インターフェース７０４は、これをログインリクエストとして認識する。上に記載したように、ユーザのアクセスを容易にするために、各コンピュータ２０８はバイオメトリックシステム１０２（図１）に認証されるユーザにインターフェースを提供する。このインターフェースは認証インターフェース７０４である。ステップ８０４において、認証インターフェース７０４は、コンピュータＩＤ５１２（図５）およびユーザＩＤ５１０を含むログインリクエストを、バイオメトリックサーバ１０４に送信する。アプリケーションインターフェース７０６は、事実上ログインリクエストを受け取る。リクエストがログイン用のリクエストであるという事実に基づき、認証オブジェクト７０８は、ステップ８０６において初期化される（例えば、ログインリクエストはバイオメトリックシステム１０２においてエンジンを始動する）。認証オブジェクト７０８が初期化されるより先に、認証オブジェクト７０８は、図４Ａ〜図４Ｉを参照して記載されたような一般開始オブジェクト４０６である。

ステップ８０８において、認証オブジェクト７０８はデータベースオブジェクト７１０を生成し、ユーザＩＤ５１０をデータベースオブジェクト７１０に合格させる。ユーザＩＤ５１０に基づいて、データベースオブジェクト７１０は、ステップ８１０において、ユーザのバイオメトリックグループ５０６（図５）を決定する。先に記載したように、管理者はユーザがどのバイオメトリックグループ５０６に属するかをすでに決定している。バイオメトリックグループ５０６に基づいて、データベースオブジェクト７１０は、バイオメトリックグループ５０６に割り当てられるバイオメトリックポリシー５０４（図５）を決定する。

ステップ８１１において、データベースオブジェクト７１０は、ユーザに必要とされるバイオメトリックテンプレート５０２（図５）がバイオメトリックオブジェクト７１０に格納されるかどうかを判定し、ユーザのバイオメトリックポリシー５０４を実行する。さらに、データベースオブジェクト７１０はまた、コンピュータ２０８が、ユーザのバイオメトリックポリシー５０４を実行するため、データベースオブジェクトに取り付けられた、必要とされるバイオメトリックデバイスを有しているかどうかを判定する。必要とされるバイオメトリックテンプレート５０２または必要とされるバイオメトリックデバイスが存在しないと、制御をステップ８３６に移行する。ステップ８３６において、バイオメトリックサーバ１０４は、認証インターフェース７０６および認証インターフェース７０４を介して、ユーザが認証され得ないコンピュータ２０８に伝えられる。次いで、認証インターフェース７０４は、ユーザアクセスを拒否する。この点において、図８Ａ、図８Ａ−１および図８Ｂのフローチャートは終了する。あるいは、ステップ８１１において、必要とされるバイオメトリックテンプレート５０２および必要とされるバイオメトリックデバイスが存在する場合、制御はステップ８１２に移行する。

ステップ８１２において、データベースオブジェクト７１０は、ポリシーオブジェクト７１２を生成し、ポリシーオブジェクト７１２を認証オブジェクト７０８に再配置する。ポリシーオブジェクト７１２は特定タイプのバイオメトリックポリシー５０４（例えば、オアポリシー、アンドポリシー等）、バイオメトリックポリシー５０４用のデバイスのリスト、および必要とされるバイオメトリックテンプレート５０２を理解する。デバイスリストにリストされる、各バイオメトリックデバイスＩＤ（図５）５０８のための１つのバイオメトリックテンプレート５０２がある。各バイオメトリックテンプレート５０２は、特定のバイオメトリックデバイス上でユーザをテストする際に使用される、ユーザの格納されたバイオメトリックデータを含む。さらに、デバイスのリスト内の各バイオメトリックデバイスは、自身を閾値、および時間切れ値と関連付ける。上記のように、閾値は、バイオメトリックデバイスがユーザがデバイスに合格することを決定しなければならない識別のレベルを示す。時間切れ値は、閾値が示す識別のレベルについて、バイオメトリックデバイスがユーザを識別しなければならない時間を示す。

ステップ８１４において、通信がバイオメトリックサーバ１０４とコンピュータ２０８との間で確立される。この通信は、図４Ａ〜図４Ｉを参照して記載したように正確に構築される。ステップ８１６において、バイオメトリックポリシー５０４およびバイオメトリックポリシー５０４のデバイスのリストに基づき、認証オブジェクト７０８は、リクエストをコンピュータ２０８に送信し、特定のバイオメトリックデバイス上でユーザをテストする。リクエストはバイオメトリックデバイスＩＤ５０８、バイオメトリックテンプレート５０２、閾値、および時間切れ値を含む。バイオメトリックテンプレート５０２、閾値、および時間切れ値は、全てユーザＩＤ５１０およびバイオメトリックデバイスＩＤ５０８により決定される。

ステップ８１８において、リクエストに基づき、認証オブジェクト７２０が生成される。ステップ８２０において、認証オブジェクト７２０は、バイオメトリックデバイスＩＤ５０８を見つけ、バイオメトリックデバイスオブジェクト７２２を生成する。次いで、認証オブジェクト７２０は、バイオメトリックデバイスオブジェクト７２２、バイオメトリックテンプレート５０２、閾値および時間切れ値に合格する。ステップ８２２において、バイオメトリックデバイスオブジェクト７２２は、特定のバイオメトリックデバイス上でユーザをテストし、その結果を認証オブジェクト７２０に返す。結果は、スコアおよびユーザがバイオメトリックデバイスに合格したか、またはバイオメトリックデバイスに失敗したかのどちらかを含む。次いで、認証オブジェクト７２０は、ステップ８２４において、共通オブジェクト７１８および共通オブジェクト７１６を介して、結果を認証オブジェクト７０８に送り返す。

ステップ８２６において、認証オブジェクト７０８は結果およびポリシーオブジェクト７１２両方を見つけ、ユーザがバイオメトリックポリシー５０４に合格したか、バイオメトリックポリシー５０４に失敗したか、または他のバイオメトリックデバイス上でテストされる必要があるかどうかを判定する。ポリシーオブジェクト７１２は、ユーザがどれくらいの数の異なるバイオメトリックデバイス上でテストされる必要があるのかを判定する。ステップ８２８において、ユーザがバイオメトリックポリシー５０４に合格すると、制御はステップ８３０に移行する。ステップ８３０において、ユーザがバイオメトリックポリシー５０４に合格する事実が、認証インターフェース７０６および認証インターフェース７０４を介してコンピュータ２０８に伝えられる。次いで、認証インターフェース７０４は、ユーザに企業リソースへのアクセスを可能にする。あるいは、ステップ８２８において、ユーザはバイオメトリックポリシー５０４に合格せず、制御はステップ８３２に移行する。

ステップ８３２において、ユーザがバイオメトリックポリシー５０４に失敗すると、制御はステップ８３４に移行する。ステップ８３４において、ユーザがバイオメトリックポリシー５０４に失敗した事実は、認証インターフェース７０６および認証インターフェース７０４を介して、コンピュータ２０８に伝えられる。次いで、認証インターフェース７０４は企業リソースへのユーザアクセスを拒否する。あるいは、ステップ８３２において、ユーザはバイオメトリックポリシー５０４に失敗しない場合、制御はステップ８３６に移行する。ステップ８３６において、ユーザをテストするための次のバイオメトリックデバイスが決定され、他のリクエストが認証オブジェクト７２０に送信される。この時点で、制御はステップ８２０に返され、ユーザは次のバイオメトリックデバイス上でテストされる。図８Ａ、図８Ａ−１および図８Ｂのフローチャートは、ユーザがバイオメトリックポリシー５０４に合格するか、または失敗するかのいずれかの場合まで引き続く。

図８Ｂのステップ８２２は、図９でさらに説明される。図９は、バイオメトリックデバイスがユーザをテストする時の、バイオメトリックデバイスの典型的な動作を示すフローチャートである。ステップ９０２において、バイオメトリックデバイスはユーザをテストするためにリクエストを受け取る。リクエストはユーザのバイオメトリックテンプレート５０２、閾値および時間切れ値を含む。この場合も、閾値および時間切れ値はユーザＩＤ５１０およびバイオメトリックデバイスＩＤ５０８である。ステップ９０４において、バイオメトリックデバイスはユーザに「生」バイオメトリックデータを促進する。ステップ９０６において、バイオメトリックデバイスは「生」バイオメトリックデータを読み出すことを試みる。

ステップ９０８において、バイオメトリックデバイスは、バイオメトリックデータが読み込まれたかどうかを判定する。上に記載したように、特定のバイオメトリック測定値を読み出すための環境に貢献しない（例えば、環境が乏しい光を有する、およびバイオメトリックデバイスが顔面画像データを読み出そうと試みる）と、バイオメトリックデバイスは「生」バイオメトリックデータを読み込むことができない。「生」バイオメトリックデータが、ステップ９０８において読み出されないと、ステップ９１０において、バイオメトリックデバイスが「生」バイオメトリックデータを読み込むことを試みる実際の時間は、時間切れ値と比較される。実際の時間が時間切れ値以上の場合、制御はステップ９１２に移行し、ユーザはバイオメトリックデバイスに失敗する。あるいは、実際の時間が時間切れ値未満の場合、制御はステップ９０６に逆移行し、バイオメトリックデバイスは「生」バイオメトリックデータを再び読み込むことを試みる。このループは、「生」バイオメトリックデータが読み出されるまでか、または実際の時間が時間切れ値以上になるまで続く（すなわち、時間は、「生」バイオメトリックデータを読み出すように終了する）。

ステップ９０８において、「生」バイオメトリックデータが読み出されると、制御はステップ９１４に移行する。ステップ９１４において、スコアは、「生」バイオメトリックデータをバイオメトリックテンプレート５０２に格納されたデータと一致させることにより、決定される。ステップ９１６において、ステップ９１４により決定されたスコアは閾値と比較される。スコアが閾値以上である場合、制御はステップ９１８に移行する。ステップ９１８において、ユーザは、バイオメトリックデバイスに合格し図８Ａ、図８Ａ−１および図８Ｂのフローチャートは終了する。あるいは、ステップ９１６において、スコアが閾値未満の場合、制御はステップ９２０に合格する。ステップ９２０において、実際の時間は、もう一度時間切れ値と比較される。実際の時間が時間切れ値以上である場合、制御はステップ９２２に移行し、ユーザはバイオメトリックデバイスに失敗する。この時点で、図９のフローチャートは終了する。実際の時間が時間切れ値未満である場合、制御はステップ９０６に逆に移行し、デバイスは再度「生」バイオメトリックデータを読み出すことを試みる。

ユーザを認証するための上に記載されたプロセスは、バイオメトリックテンプレート５０２がクライアント側（すなわち、コンピュータ２０８）で一致されることを示す。これは本発明の好適な実施形態であるが、バイオメトリックテンプレート５０２が、同時に容易にサーバ側（すなわち、バイオメトリックサーバ１０４）で一致され得ることを認識することが重要である。

上で指摘されたように、ログインリクエストは、ユーザを認証するバイオメトリックシステム１０２内のエンジンで開始する。ログインリクエストは、ユーザＩＤ５１０（図５）をタイプするユーザにより開始される。本発明の他の実施形態において、ユーザを識別し、バイオメトリック１０２内のエンジンを開始する「生」バイオメトリックデータである。「生」バイオメトリックデータを用いる本発明の認証プロセスを開始することに関与するオブジェクトのブロック図を、図１０に示す。図１０は、コンピュータ２０８（または、代替的には、図２からのリモート／ウェブコンピュータ２１０両方）、モニタオブジェクト１００４、バイオメトリックオブジェクト１００６、識別ユーザＩＤオブジェクト１００８、およびデータベースオブジェクト１０１０を含む。

管理者が、ユーザを認証するために、バイオメトリックシステム１０２で、「生」バイオメトリックデータがエンジンを起動させることを望む企業における各コンピュータ２０８について、モニタオブジェクト１００４は本発明により提供される。モニタオブジェクト１００４は、動作中であり、提示される「生」バイオメトリックデータを待つ。さらに、モニタオブジェクト１００４は特定化される（例えば、指紋モニタオブジェクトが「生」指紋データを待ち、顔面画像モニタオブジェクトが「生」顔面画像データを待つ）。

図１０のオブジェクトの高レベルのオペレーションを示すフローチャートを、図１１に示す。ステップ１１０２において、モニタオブジェクト１００４は、提示される「生」バイオメトリックデータを待っている。ステップ１１０４において、一旦、「生」バイオメトリックが提示されると、モニタオブジェクト１００４はバイオメトリックデバイスオブジェクト１００６を生成する。モニタオブジェクト１００４が特定化されるので、モニタオブジェクト１００４が任意のバイオメトリックデバイスＩＤ５０８（図５）を認識する必要がない。ステップ１１０６において、バイオメトリックデバイスオブジェクト１００６は、バイオメトリックデバイスが「生」バイオメトリックデータを読み出す。この「生」バイオメトリックは、モニタオブジェクト１００４に返される。

ステップ１１０８において、モニタオブジェクト１００４は、ユーザＩＤオブジェクト１００８を識別するために、識別リクエストを送る。識別リクエストは、「生」バイオメトリックデータおよびコンピュータＩＤ５１２（図５）を含む。「生」バイオメトリックデータは、バイオメトリックサーバ１０４（図１）上でユーザＩＤオブジェクト１００８を識別するために使用される。コンピュータＩＤ５１２は独自にコンピュータ２０８を識別する。簡略化のために図１０および１１に示さないが、オブジェクトの間の通信を構築する際の同様のステップが、図４Ａ〜図４Ｉに示すように発生しなければならない。ステップ１１１０において、識別ユーザＩＤオブジェクト１００８はデータベースオブジェクト１０１０を生成し、データベースオブジェクト１０１０を「生」バイオメトリックデータに合格させる。データベースオブジェクト１０１０は、図７のデータベースオブジェクト７１０を参照して記載されたものと同様のデータを含む。ステップ１１１２において、「生」バイオメトリックデータをバイオメトリックテンプレート５０２（図５）に格納されたバイオメトリックデータを一致させる試みが為される。

ステップ１１１４において、一致が成功する場合、制御はステップ１１１６に移行する。ステップ１１１６において、一致するバイオメトリックテンプレート５０２に属するユーザＩＤ５１０（図５）が、決定される。ステップ１１１８において、一旦、ユーザＩＤ５１０が決定されると、、認証プロセスは図８Ａのステップ８０４に記載のように進む。ステップ１１１４において、一致が成功しなかった場合、制御はステップ１１２０に移行する。ステップ１１２０において、ユーザが、「生」バイオメトリックデータを提示することを促進され、制御はステップ１１０２に逆に移行する。モニタオブジェクト１００４は、提示される「生」バイオメトリックデータを常時待っているので、同一のユーザが次の「生」バイオメトリックデータを提示するかどうかということは問題にならない。「生」データがモニタオブジェクト１００４に提示されるたびに、「生」バイオメトリックデータは自身を以前に提示された「生」バイオメトリックデータと区別しない。

（２ ユーザの登録）
上に記載のように、手続き型プログラミング技術上のオブジェクト指向プログラミング技術の利点の１つは、新規のタイプのオブジェクトが追加される場合、プログラマーに変更される必要のないモジュールを生成させることが可能であるということである。この利点を図１２に示す。図１２は、本発明の登録プロセスに含まれるオブジェクトのブロック図である。図１２は、バイオメトリックサーバ１０４（図１）、登録インターフェース１２０６、登録オブジェクト１２０８、共通オブジェクト１２１４、ポリシーオブジェクト１２１２、データベースオブジェクト１２１０、登録ステーション１０６（図１）、登録インターフェース１２０４、登録オブジェクト１２２０、共通オブジェクト１２１８、およびバイオメトリックデバイスオブジェクト１２２２を含む。ここで、バイオメトリックサーバ１０４はサーバとして実行し、登録ステーション１０６はクライアントとして実行する。

登録ステーション１０６は、ユーザをバイオメトリックシステム１０２に登録するために使用される。登録ステーション１０６は、自身をバイオメトリックシステム１０２が使用する全てのタイプのバイオメトリック識別デバイスに取り付け、ユーザを識別し、最終的には認証する。

登録インターフェース１２０４および登録インターフェース１２０６は、本発明の１部ではないことを留意することが重要である。実際、登録インターフェース１２０４および登録インターフェース１２０６は、本発明がインターフェースをとる特定のオペレーションシステムに特定される。

登録オブジェクト１２０８は開始オブジェクト４０６（図４Ａ〜図４Ｉ）を置き換える。登録オブジェクト１２０８は、ユーザをバイオメトリックデバイスに登録する登録ステーション１０６をリクエストするために使用される。共通オブジェクト１２１４は、登録オブジェクト１２０８に取り付けられ、共通オブジェクト４０８（図４Ａ〜図４Ｉ）を置き換える。登録オブジェクト１２０８および登録オブジェクト１２２０は、共通オブジェクト１２１４および共通オブジェクト１２１８を介して、通信する。

ポリシーオブジェクト１２１２はまた、登録オブジェクト１２０８に取り付けられる。ポリシーオブジェクト１２１２はポリシーオブジェクト７１２（図７）と同一である。上に記載したように、ポリシーは、ユーザがバイオメトリックサーバ１０４により認証され得る方法および手段を決定する。データベースオブジェクト１２１０は、図７を参照して記載されたデータベースオブジェクト７１０と同一のデータを格納する。登録オブジェクト１２２０は、レシーバオブジェクト４１２（図４Ｇ〜図４Ｉ）を置き換える。登録オブジェクト１２２０は、ユーザをバイオメトリックデバイスに登録する際の特定のタスクを実行するために使用される。共通オブジェクト１２１８は共通オブジェクト４１０（図４Ａ〜図４Ｉ）を置き換える。最後に、場イオメトリックデバイスオブジェクト１２２２は、特定タイプの「生」バイオメトリックデータの複数のサンプルをユーザからリクエストすることによりユーザを登録するために使用される。バイオメトリックデバイスオブジェクト１２２２は、バイオメトリックデータのサンプルを使用し、一意的なバイオメトリックテンプレート５０２（図５）をユーザ用に生成する。

図１２の高レベルオペレーションのオブジェクトを示すフローチャートを、図１３Ａおよび図１３Ｂに示す。ステップ１３０２において、ユーザが、登録サーバ１０６において存在し、管理者がユーザに与えるユーザＩＤ５１０（図５）をタイプする。登録インターフェース１２０４は、これを登録リクエストとして認識する。ユーザ登録を容易にするために、登録ステーション１０６は、インターフェースをバイオメトリックシステム１０２（図１）が登録するユーザに提供する。このインターフェースは登録インターフェース１２０４である。ステップ１３０４において、登録インターフェース１２０４はコンピュータＩＤ５１２（図５）およびユーザＩＤ５１０を含む登録リクエストを、バイオメトリックサーバ１０４に送る。登録インターフェース１２０６は、実際に登録リクエストを受け取る。リクエストが登録用のリクエストであるという事実に基づき、登録オブジェクト１２０８は、ステップ１３０６において初期化される（例えば、登録リクエストがバイオメトリックシステム１０２においてエンジンを起動する）。登録オブジェクト１２０８が初期化される前に、登録オブジェクト１２０８は図４Ａ〜図４Ｉを参照して記載された一般開始オブジェクト４０６である。

ステップ１３０８において、登録オブジェクト１２０８はデータベースオブジェクト１２１０を生成し、ユーザＩＤ５１０をデータベースオブジェクト１２１０に合格させる。ユーザＩＤ５１０に基づき、データベースオブジェクト１２１０は、ステップ１３１０において、ユーザのバイオメトリックグループ５０６（図５）を決定する。先に記載したように、管理者は、ユーザがどのバイオメトリックグループ５０６に属するかをすでに決定している。バイオメトリックグループ５０６に基づき、データベースオブジェクト１２１０は、バイオメトリックグループ５０６に割り当てられるバイオメトリックポリシー５０４（図５）を決定する。

ステップ１３１２において、データベースオブジェクト１２１０は、ポリシーオブジェクト１２１２を生成し、ポリシーオブジェクト１２１２を登録オブジェクト１２０８に置き換える。ポリシーオブジェクト１２１２は、特定タイプのバイオメトリックポリシー５０４（例えば、オアポリシー、アンドポリシー等）およびそのバイオメトリックポリシー５０４用のデバイスのリストを見分ける。ステップ１３１４において、バイオメトリックサーバ１０４と登録ステーション１０６との間で、通信が確立される。この通信は、図４Ａ〜図４Ｉを参照して記載されたように、正確に確立される。ステップ１３１６において、デバイスのリストに基づき、登録オブジェクト１２０８は、リクエストを登録ステーション１０６に送り、特定のバイオメトリックデバイス上でユーザをテストする。このリクエストは、ユーザを登録し得る特定のバイオメトリックデバイスを識別するバイオメトリックデバイスＩＤ５０８（図５）を含む。

ステップ１３１８において、リクエストに基づいて、登録オブジェクト１２２０が作成される。ステップ１３２０において、登録オブジェクト１２２０がバイオメトリックデバイスＩＤ５０８を調べて、バイオメトリックデバイスオブジェクト１２２２を作成する。ステップ１３２２において、バイオメトリックデバイスオブジェクト１２２２によって、バイトメトリックデバイスがユーザを登録する。特に、ユーザは、バイトメトリック測定を異なる時間で行うことを求められる。例えば、ユーザは各指の指紋を複数回測定することを求められる。ユーザをデバイスに登録することにより、バイトメトリックテンプレート５０２（図５）が作成される。ステップ１３２４において、登録オブジェクト１２２０は、バイトメトリックテンプレート５０２を共通オブジェクト１２１８および共通オブジェクト１２１４を介して登録オブジェクト１２０８に送る。次いで、ステップ１３２６において、登録オブジェクト１２０８は、データベースオブジェクト１２１０にバイトメトリックテンプレート５０２を格納する。

ステップ１３２８において、デバイスのリストに基づいて、ユーザが別のバイトメトリックデバイスに登録される必要があるかどうかが判定される。ユーザは少なくともデバイスのユーザ自身のリストに載っているバイトメトリックデバイスに登録される必要があるが、管理者は、デバイスリストに載っていないバイトメトリックデバイスにユーザを登録することに決めることができる。ステップ１３２８において、ユーザが別のバイトメトリックデバイスに登録される必要がないと判定されると、制御はステップ１３３０へ移り、図１３のフローチャートは終了する。あるいは、ユーザが別のバイオメトリックデバイスに登録される必要がない場合には、制御はステップ１３３２へ移る。ステップ１３３２において、ユーザを登録する次のバイオメトリックデバイスが確定され、リクエストが登録オブジェクト１２２０に送られる。リクエストは、次のバイトメトリックデバイスのためのバイトメトリックデバイスＩＤ５０８を含む。制御は再度ステップ１３２０に移る。このプロセスは、ユーザが必要とされるすべてのバイトメトリックデバイスに登録されるまで続く。

図１２および図１３を参照して述べてきたように、本発明の１実施形態において、ユーザは登録ステーション１０６を介して登録される。典型的には、登録ステーション１０６および管理者は、企業内の同じ位置に物理的に配置される。新規ユーザをリソース保護システム内に登録する必要がある場合に、そのユーザが管理者と物理的に同じ位置にあっては不便かもしれない。このことは、ネットワーク環境の２つのさらなる制限を示す。

第１の制限は、任意の識別デバイスの使用を扱う。ユーザをバイトメトリックシステム１０２（図１）に登録するためには、管理者は、ユーザ登録が本当に正しい人であることを確実にする必要がある。ユーザおよび管理者が物理的に同じ位置にない場合にはこのことは困難である。

第２の制限は、バイオメトリック識別デバイスの使用を扱う。多くのバイトメトリック測定値は時間の経過とともに変化する。例えば、人は年をとり、体重が増減する等である。ユーザの顔面画像を格納するバイオメトリックテンプレートの場合、テンプレートのバイオメトリックデータは、時間の経過とともに更新される必要があり得る。ここでもやはり、ユーザおよび管理者が、ネットワーク内で物理的に同じ位置にない場合、管理者は、テンプレートを更新するように要求するユーザが本当に正しい人であることを確実にする必要がある。

本発明の発明者は、ユーザが登録または再登録のいずれかを特定のバイトメトリックデバイスを用いて可能にし、バイトメトリックテンプレートを更新する前に、ユーザをリモートに認証する方式が必要であると認識する。リモート登録および／または再登録（バイトメトリックのリフレッシュ）は、管理者またはユーザのいずれによっても開始され得る。

リモートな登録および／または再登録が用いられるいくつかのシナリオがある。第１のシナリオは既に上述したが、バイトメトリックシステム１０２に登録または再登録することを所望する管理者およびユーザが、ネットワーク内の物理的に同じ位置にない場合である。管理者はやはり、まずユーザの認証を必要とする。この問題に対しては少なくとも２つの解決策がある。第１は、一時パスワード（またはトークンあるいはスマートカード）をユーザに割り当てることを含む。ユーザは、リモート／ウェブコンピュータ２１０（図２）のうちの１つに行き、パスワードにタイプする。一旦バイオメトリックシステム１０２がパスワードによってユーザを認証すると、ユーザは登録プロセスを開始する。当然のことながら、一時パスワードは、ユーザが１回使用すると無効になる。再登録（テンプレートのリフレッシュ）の場合、現在、ユーザが複数のバイオメトリックデバイスに登録されているならば、他のバイオメトリックデバイスのうちの１つを用いて、ユーザが所望のバイオメトリックデバイスのバイオメトリックテンプレート５０２（図５）をリフレッシュし得る前に、ユーザを認証することができる。

リモートな登録および／または再登録の第２の解決策は、特定のバイオメトリックデバイスがリモート／ウェブコンピュータ２１０に取付けられているという事実を利用する。いくつかの例では、顔面画像および音声認識バイトメトリックデバイスの使用が含まれる。管理者が、ユーザの顔をよく知っている場合には、登録プロセスが開始し得る前に、ユーザを認証する映像会議を用いることができる。管理者が、ユーザの音声をよく知っている場合には、管理者に話しかけ、ユーザを認証するために音声認識デバイスを用いることができる。

第２のシナリオは、企業がバイオメトリックシステム１０２内にユーザを登録するために、管理者を用いないことを所望する場合である。ここで、企業が、既存の非バイオメトリック識別システムを所定の位置に有する場合、既存のシステムからバイオメトリックシステム１０２へと切り換えるのは容易である。留意すべき重要なことは、既存の非バイオメトリック識別システムの保全性を問題にしてはいけないということである。例えば、ユーザＢが他のユーザＡのパスワードへのアクセス権を有する場合、ユーザＢは、バイオメトリックシステム１０２に登録し、ユーザＡのリソースへのアクセス権を取得することができる。既存の識別システムの保全性が良好であると仮定すると、既存の識別システムの認証方法を用いて、ユーザをバイオメトリックシステム１０２に導く。一旦ユーザがバイオメトリックシステム１０２に導かれると、ユーザはもはや古い方法を用いて企業リソースへのアクセス権を取得することはできない。同時に全てのユーザを登録する必要をなくすことによって、バイオメトリックシステム１０２を展開する際に柔軟性をもたらすので、このこともまた重要である。

（Ｅ．バイオメトリックポリシー）
本発明の発明者は、識別デバイスが任意の環境で用いられる場合には、その環境がネットワークであろうとなかろうと制限を認識する。多くのリソースを有する企業は、他よりも多くのいくつかのリソースを保護することを所望する。例えば、電子掲示板が企業内の全てのユーザによってアクセスされる場合、企業は注意を払わないかもしれない。一方、企業は、企業の社長だけが合併および買収の情報にアクセスすることを望み得る。企業が全てのリソースに同じレベルの保護を設ける場合、２つのシナリオのうちの１つが起こる。第１のシナリオは、低レベル保護をすべてのリソースに設けることである。ここで、この結果、いくつかのネットワークリソースに対して不適切な認証となる。第２のシナリオは、高レベル保護をすべてのリソースに設けることである。このシナリオは、ネットワーク内のすべてのリソースを適切に保護し得るが、リソース保護の管理はさらに複雑となり、従ってネットワークの生産性は減少する。

本発明のバイオメトリックポリシー５０４（図５）は、ネットワークの生産性を減少させることなく、適切なレベルの保護を各ネットワークリソースに設ける柔軟性を提供する。上述したように、これが、ユーザがバイオメトリックサーバ１０４（図１）によって認証される方法または方式を確定する、本発明のバイオメトリックポリシー５０４である。留意されたい重要なことは、ユーザがバイオメトリックポリシー５０４に合格するまで、ユーザは認証されないということである。本発明において、ユーザは、ユーザもまた自身のバイオメトリックポリシー５０４に合格することなく、１つ以上のバイオメトリックデバイスに単に合格することだけでは決して認証されない。

バイオメトリックポリシー５０４が各リソースの保護レベルに柔軟性を提供する特定の方法は、バイオメトリックデバイスおよび非バイオメトリックデバイスの両方を含む識別デバイスの層構造による。識別デバイスを層構造にすることによって、バイオメトリックシステム１０２（図１）の管理者は、各リソースを保護する論理的な方式で１つ以上の識別デバイスを組み合わせることができる。また、層構造にすることによって、管理者は、ユーザがバイオメトリックデバイスに合格するために、各バイオメトリックデバイスが確定しなければならない識別レベルを調整することができる。このことは、上述の閾値によって達成される。

図１５は、特定の企業のバイオメトリックシステム１０２の層構造プロセスの例を示すチャートである。チャート１５０２は、カラムおよびロウを有する。ユーザがネットワークシステム２０２の種々のポイントにアクセスしようとすると、ユーザは、バイオメトリックシステム１０２によって認証されることを必要とし得る。チャート１５０２のカラムは、ネットワークシステム２０２の種々のポイントを表す。（この特定の企業内の）種々のポイントは、ネットワークシステム２０２自身、アプリケーション２０４のうちの１つ以上、ユーザコンピュータ２０８のうちの１つ以上、インターネットアクセス１５０４、およびダイアルインアクセス１５０６を含む。チャート１５０２のロウは、バイオメトリックシステム１０２で用いられる識別デバイスを示す。識別デバイスは、バイオメトリックデバイスおよび非バイオメトリックデバイスの両方を含む。（この特定の企業における）非バイオメトリックデバイスはパスワードおよびスマートカードデバイスを含む。（この特定の企業における）バイオメトリックデバイスは、指紋、音声認識、顔面画像、および署名を含む。

一旦、管理者がネットワークシステム２０２の中の保護を要求する種々のポイントおよび識別デバイスを特定すると、管理者は本発明のレイヤー化処理を決定する。１つのリソースについてのレイヤー化処理は、図１６に示されるステップを包含し得る。

図１６は、１つのリソースについての本発明のレイヤー化の処理を示すフローチャートである。ステップ１６０２において、保護を要求するネットワークシステム２０２の中のリソースが特定される。ステップ１６０４において、リソースを保護する際に利用されようとしている非バイオメトリックデバイスが特定される。このとき、管理者は、非バイオメトリックデバイスを何ら使用しないように決定することもできる。ステップ１６０６において、リソースを保護する際に利用されようとしているバイオメトリックデバイスが特定される。ここでも、管理者は０、１またはそれより多いバイオメトリックデバイスを使用することを決定し得る。最後に、ステップ１６０８において、特定されたバイオメトリックデバイスのそれぞれについて、その閾値が決定される。チャート１５０２（図１５）は、閾値の取り得る値をＬ（ｌｏｗ）、Ｍ（ｍｅｄｉｕｍ）およびＨ（ｈｉｇｈ）として示す。本発明は、この方法で閾値の値を表すことに限定されない。実際、閾値の取り得る値は、他の方法で表され得る。１つの可能な方法は数値的な方法であり、その方法では、管理者が所望するだけの多くの異なる値を閾値が有し得る。

図１５を再び参照すると、ネットワークシステム２０２は、２つのバイオメトリックデバイスによって保護され、非バイオメトリックデバイスによっては保護されていない。２つのバイオメトリックデバイスは、指紋デバイスおよび音声認識デバイスを備える。指紋デバイスの閾値は、Ｍに設定されている。音声認識デバイスの閾値は、Ｌに設定されている。従って、ネットワークシステム２０２にアクセスするユーザにとって、そのユーザは指紋デバイスおよび音声認識デバイスの両方でテストされる「可能性」があり得る。テストされた場合、ユーザは、指紋デバイスを少なくともＭの閾値に合格し、音声認識デバイスを少なくともＬの閾値に合格しなければならない。

ユーザが両方のデバイスでテストされる「可能性」があり得るに過ぎない理由は、バイオメトリックシステム１０２への最終的な認証は、バイオメトリックポリシー５０４によって支配されるからである。例えば、オアバイオメトリックポリシーは、上述のユーザが指紋デバイスまたは音声認識デバイスのどちらか一方に合格することだけを要求する。ユーザが両方のデバイスでテストされる唯一の方法は、ユーザがテストされる第１のデバイスに失敗した場合である。アンドバイオメトリックポリシーは、ユーザに、認証されるために両方のバイオメトリックデバイスでテストされることを要求する。しかし、アンドバイオメトリックポリシーでも、ユーザはバイオメトリックデバイスのうちの１つでテストされ得る。ユーザが、テストされる第１のバイオメトリックデバイスに失敗する場合、ユーザは自動的にアンドポリシーに失敗し、ユーザを第２のバイオメトリックデバイスでテストする必要はない。

上記にバイオメトリックポリシー５０４が導入されたが、このセクションは、本発明によって提供される、予め定められた種々のバイオメトリックポリシーおよび管理者定義のポリシーを詳細に説明する。上述したように、各バイオメトリックポリシーは、それに関連するデバイスのリストを有している。そのデバイスのリストは、そのバイオメトリックポリシーを実行するために使用されるバイオメトリックデバイスを特定する。デバイスのリストの中の各バイオメトリックデバイスは、それに関連する閾値およびタイムアウト値を有している。閾値は、ユーザがそのデバイスに合格するためにそのバイオメトリックデバイスが判定しなければならないレベルを示す。タイムアウト値は、バイオメトリックデバイスがその閾値によって示される識別のレベルまでユーザを識別しなければならない時
間を示す。

上述したように、本発明は、特定の予め定められたバイオメトリックポリシーを提供するだけでなく、管理者が、他の管理者定義ポリシーを定義することも可能にする。特定の予め定められたバイオメトリックポリシーは、オアポリシー、アンドポリシー、条件付きポリシー、ランダムポリシーおよび閾値ポリシーを含む。予め定められたバイオメトリックポリシーは、そのポリシーのデバイスのリストの中のバイオメトリックデバイスのみを有することに限定される。これは、非バイオメトリックデバイスが使用できることを制限し、リソースを保護する。従って、本発明はまた、ポリシーまたはデバイスのリストを有する管理者定義ポリシーを提供する。さらなる管理者定義のポリシーの種類は、ポリシーの中にバイオメトリックポリシーを含む。以下、予め定められたバイオメトリックポリシーと、管理者定義ポリシーとを詳細に説明する。

（１．オアポリシー）
ユーザは、デバイスのリストの中のバイオメトリックデバイスの１つをユーザが合格した場合に、本発明のオアポリシーに合格する。図１７Ａおよび図１７Ｂは、本発明のオアポリシーの実行に関係するステップを説明するフローチャートである。ステップ１７０２において、デバイスのリストの中のバイオメトリックデバイスの２より大きい数ｎが決定される。オアポリシーは通常、少なくとも２つの異なるバイオメトリックデバイスをそのデバイスのリストの中に有する。ステップ１７０４において、そのデバイスのリストの中の第１のバイオメトリックデバイスが決定される。一旦、第１のバイオメトリックデバイスが決定されると、ステップ１７０６において、ユーザはその第１のバイオメトリックデバイスでテストされ、第１のスコアを生成する。ステップ１７０８において、第１のスコアは、第１のバイオメトリックデバイスの閾値と比較される。第１のスコアが第１のバイオメトリックデバイスの閾値よりも大きいか等しい場合、制御はステップ１７１０に移る。ステップ１７１０において、ユーザはオアポリシーに合格し、図１７Ａおよび図１７Ｂのフローチャートは終わる。この時点で、ユーザは、バイオメトリックシステム１０２（図１）によって認証された。あるいは、ステップ１７０８において、第１のスコアが第１のバイオメトリックデバイスの閾値よりも小さい場合、制御はステップ１７１２に移る。

ステップ１７１２において、デバイスのリストの中の第２のバイオメトリックデバイスが決定される。一旦、第２のバイオメトリックデバイスが決定されると、ステップ１７１４において、ユーザはその第２のバイオメトリックデバイスでテストされ、第２のスコアを生成する。ステップ１７１６において、第２のスコアは、第２のバイオメトリックデバイスの閾値と比較される。第２のスコアが第
２のバイオメトリックデバイスの閾値よりも大きいか等しい場合、制御はステップ１７１８に移る。ステップ１７１８において、ユーザはオアポリシーに合格し、図１７Ａおよび図１７Ｂのフローチャートは終わる。この時点で、ユーザは、バイオメトリックシステム１０２によって認証された。あるいは、ステップ１７１６において、第２のスコアが第２のバイオメトリックデバイスの閾値よりも小さい場合、制御はステップ１７２０に移る。

ステップ１７２０において、ｎが０よりも大きくない場合、制御はステップ１７２２に移る。制御がステップ１７２２に移る場合、それはデバイスのリストがただ２つのバイオメトリックデバイスしかそのリストの中に有しておらず、ユーザが両方のバイオメトリックデバイスに失敗したことを意味する。ステップ１７２２において、ユーザは、オアポリシーに失敗し、図１７Ａおよび図１７Ｂのフローチャートは終わる。あるいは、ステップ１７２０において、ｎが０よりも大きい場合、制御はステップ１７２４に移る。この状況では、デバイスのリストは、２より多いバイオメトリックデバイスをそのリストの中に有している。ステップ１７２４において、次のバイオメトリックデバイスが決定される。一旦、次のバイオメトリックデバイスが決定されると、ステップ１７２６において、ユーザは次のバイオメトリックデバイスでテストされ、次のスコアを生成する。ステップ１７２８において、次のスコアは、次のバイオメトリックデバイスの閾値と比較される。次のスコアが次のバイオメトリックデバイスの閾値よりも大きいか等しい場合、制御は、ステップ１７３０に移る。ステップ１７３０において、ユーザはオアポリシーに合格し、図１７Ａおよび図１７Ｂのフローチャートは終わる。この時点で、ユーザは、バイオメトリックシステム１０２によって認証された。あるいは、ステップ１７２８において、次のスコアが次のバイオメトリックデバイスの閾値よりも小さい場合、制御はステップ１７３２に移る。

ステップ１７３２において、ｎから１が引かれ、制御はステップ１７２０に戻る。ステップ１７２０において、ｎが０よりも大きくない場合、ユーザは、デバイスのリストの中のすべてのバイオメトリックデバイスに失敗した。このとき、制御はステップ１７２２に移る。ステップ１７２２において、ユーザは、オアポリシーに失敗し、図１７Ａおよび図１７Ｂのフローチャートは終わる。この時点で、ユーザは、バイオメトリックシステム１０２によって認証されなかった。あるいは、ステップ１７２０において、ｎが０よりも大きい場合、それは、ユーザがまだテストされていないバイオメトリックデバイスが、デバイスのリストの中にさらに存在することを意味する。図１７Ａおよび図１７Ｂのフローチャートは、ユーザーがすべてのバイオメトリックデバイスに失敗するか、またはユーザがデバイスのリストの中の１つのバイオメトリックデバイスに合格するまで続く。

オアポリシーは、典型的には少なくとも２つの異なるバイオメトリックデバイスをそのデバイスのリストの中に有するが、デバイスのリストは、単一のバイオメトリックデバイスを有していてもよい。このとき、ユーザは、オアポリシーに合格するために、複数のバイオメトリック測定を用いる単一のバイオメトリックデバイスでテストされる。例えば、その単一のバイオメトリックデバイスが指紋デバイスである場合、ユーザは、左人さし指を用いてその指紋デバイスでテストされ、かつ、右人さし指を用いてその指紋デバイスでテストされることによって、オアポリシーに合格することを要求され得る。ユーザは、オアポリシーに合格するために、バイオメトリック測定の１つを用いて指紋デバイスに合格することが必要なだけである。複数のバイオメトリック測定をテストするために用いられ得る他の単一のバイオメトリックデバイスは、顔面画像（顔面の異なる角度）、網膜画像（右と左の網膜）、手の形状（右手と左手）、音声認識（２つの異なるフレーズ）、異なる照明（可視および赤外）等である。

（２．アンドポリシー）
ユーザがデバイスのリストのバイオメトリックデバイスの全てに合格すると、そのユーザは本発明のアンドポリシーに合格する。図１８Ａおよび図１８Ｂは、本発明のアンドポリシーを実行することに関与するステップを示すフローチャートである。ステップ１８０２では、デバイスのリストのバイオメトリックデバイスの数ｎ（２より大きい）が決定される。アンドポリシーは、典型的にはデバイスのそのリスト中に少なくとも２つの異なるバイオメトリックデバイスを有する。ステップ１８０４では、デバイスのリスト中の第１のバイオメトリックデバイスが決定される。一旦、第１のバイオメトリックデバイスが決定されると、ユーザはその第１のバイオメトリックデバイスでテストされ、ステップ１８０６で第１のスコアを生成する。ステップ１８０８では、第１のスコアが第１のバイオメトリックデバイスの閾値と比較される。第１のスコアが第１のバイオメトリックデバイスの閾値よりも小さい場合、コントロールはステップ１８１０へと移る。ステップ１８１０では、ユーザーはアンドポリシーに失敗し、図１８Ａおよび図１８Ｂのフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２（図１）により認証されない。あるいは、ステップ１８０８において第１のスコアが第１のバイオメトリックデバイスの閾値以上である場合、コントロールはステップ１８１２に移る。

ステップ１８１２では、デバイスのリスト中の第２のバイオメトリックデバイスが決定される。一旦、第２のバイオメトリックデバイスが決定されると、ユーザはその第２のバイオメトリックデバイスでテストされ、ステップ１８１４で第２のスコアを生成する。ステップ１８１６では、第２のスコアが第２のバイオメトリックデバイスの閾値と比較される。第２のスコアが第２のバイオメトリックデバイスの閾値よりも小さい場合、コントロールはステップ１８１８へと移る。ステップ１８１８では、ユーザーはアンドポリシーに失敗し、図１８Ａおよび図１８Ｂのフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２により認証されない。あるいは、ステップ１８１６において第２のスコアが第２のバイオメトリックデバイスの閾値以上である場合、コントロールはステップ１８２０に移る。

ステップ１８２０では、ｎがゼロより大きくない場合、コントロールはステップ１８２２に移る。コントロールがステップ１８２２に移るとすれば、デバイスのリストはリスト中に２つだけバイオメトリックデバイスを有し、ユーザーはその両方のデバイスに合格することを意味する。ステップ１８２２では、ユーザはアンドポリシーに合格し、図１８Ａおよび図１８Ｂのフローチャートが終了する。あるいは、ステップ１８２０においてｎがゼロより大きい場合、コントロールはステップ１８２４に移る。この状況において、デバイスのリストはリスト中に２つより多くのバイオメトリックデバイスを有する。ステップ１８２４では、次のバイオメトリックデバイスが決定される。一旦次のバイオメトリックデバイスが決定されると、ユーザは次のバイオメトリックデバイスでテストされ、ステップ１８２６で次のスコアを生成する。ステップ１８２８では、次のスコアが次のバイオメトリックデバイスの閾値と比較される。次のスコアが次のバイオメトリックデバイスの閾値よりも小さい場合、コントロールはステップ１８３０へと移る。ステップ１８３０では、ユーザーはアンドポリシーに失敗し、図１８Ａおよび図１８Ｂのフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２により認証されない。あるいは、ステップ１８２８において次のスコアが次のバイオメトリックデバイスの閾値以上である場合、コントロールはステップ１８３２に移る。

ステップ１８３２では、１がｎから減算され、コントロールはステップ１８２０へと戻る。ステップ１８２０では、ｎがゼロより大きくない場合、ユーザはデバイスのリスト中のすべてのバイオメトリックデバイスに合格する。ここで、コントロールはステップ１８２２へ移る。ステップ１８２２では、ユーザはアンドポリシーに合格し、図１８Ａおよび図１８Ｂのフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２により認証される。あるいは、ステップ１８２０においてｎがゼロよりも大きい場合、このことは、デバイスのリスト中にユーザがまだテストされていないバイオメトリックデバイスがまだなお残っていることを意味する。図１８Ａおよび図１８Ｂのフローチャートは、ユーザがすべてのバイオメトリックデバイスに合格するか、あるいはデバイスのリスト中の１つのバイオメトリックデバイスに失敗するまで続く。

アンドポリシーが典型的にはデバイスのそのリスト中に少なくとも２つのバイオメトリックデバイスを有しているが、デバイスのリストは、単一バイオメトリックデバイスを有し得る。ここで、ユーザは、アンドポリシーに合格するために複数のバイオメトリック測定を用いて単一バイオメトリックデバイスでテストされる。例えば、この単一バイオメトリックデバイスが指紋デバイスである場合、ユーザは左人差し指を用いて指紋デバイスでテストされ、かつ右人差し指を用いて指紋デバイスでテストされることによりアンドポリシーに合格することが要求され得る。ユーザは両方のバイオメトリック測定を使用して指紋デバイスに合格し、アンドポリシーに合格することが必要である。オアポリシーに関して上記で説明したように、他の単一バイオメトリックデバイスもまた、複数のバイオメトリック測定をテストするためにアンドポリシーで使用することができる。

（３．条件付きポリシー）
ユーザが第１のバイオメトリックデバイスに関連した最小閾値（すなわち、第１のバイオメトリックデバイスの閾値）を超えるか、または第１のバイオメトリックデバイスに関連した条件付き閾値を超えるかのいずれかの場合であって、かつユーザが条件付きバイオメトリックデバイスに関連した最小閾値（すなわち、条件付きバイオメトリックデバイスの閾値）を超える場合に、ユーザは本発明の条件付きポリシーに合格する。図１９は、本発明の条件付きポリシーを実行することに関与するステップを示すフローチャートである。条件付きポリシーに関するデバイスのリストにおいて典型的には２つの異なるバイオメトリックデバイスが存在する。ステップ１９０２では、条件付き閾値が決定される。ステップ１９０４では、デバイスのリストの第１のバイオメトリックデバイスが決定される。一旦、第１のバイオメトリックデバイスが決定されると、ユーザはその第１のバイオメトリックデバイスでテストされ、ステップ１９０６で第１のスコアを生成する。

ステップ１９０８では、第１のスコアが第１のバイオメトリックデバイスの閾値と比較される。第１のスコアが第１のバイオメトリックデバイスの閾値以上である場合、コントロールはステップ１９１０へと移る。ステップ１９１０では、ユーザーは条件付きポリシーに合格し、図１９のフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２（図１）により認証される。あるいは、ステップ１９０８において第１のスコアが第１のバイオメトリックデバイスの閾値より小さいである場合、コントロールはステップ１９１２に移る。

ステップ１９１２では、第１のスコアが条件付き閾値と比較される。ステップ１９１２では、第１のスコアが条件付き閾値より小さい場合、コントロールはステップ１９１４へと移る。ステップ１９１４では、ユーザーは条件付きポリシーに失敗する。この点で、ユーザはバイオメトリックシステム１０２により認証されない。あるいは、ステップ１９１２において第１のスコアが条件付き閾値以上である場合、コントロールはステップ１９１６に移る。条件付き閾値が用いられてユーザに条件付きポリシーに合格する第２の機会を提供し、従ってバイオメトリックシステム１０２により認証される。

ステップ１９１６では、デバイスのリストの条件付きバイオメトリックデバイスが決定される。この条件付きバイオメトリックデバイスについて選択されたバイオメトリックデバイスのタイプは、上記のように周囲の状態に依存し得る。一旦、条件付きバイオメトリックデバイスが決定されると、ユーザはその条件付きバイオメトリックデバイスでテストされ、ステップ１９１８で条件付きスコアを生成する。ステップ１９２０では、条件付きスコアが条件付きバイオメトリックデバイスの閾値と比較される。条件付きスコアが条件付きバイオメトリックデバイスの閾値より小さい場合、コントロールはステップ１９２４へと移る。ステップ１９２４では、ユーザーは条件付きポリシーに失敗し、そして図１９のフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２により認証されない。あるいは、ステップ１９２０において条件付きスコアが条件付きバイオメトリックデバイスの閾値以上である場合、コントロールはステップ１９２２に移る。ステップ１９２２では、ユーザは条件付きポリシーに合格し、図１９のフローチャートが終了する。この点で、ユーザはバイオメトリックシステム１０２により認証される。

条件付きポリシーが典型的にはデバイスのそのリスト中に２つのバイオメトリックデバイスを有しているが、デバイスのリストは、単一バイオメトリックデバイスを有し得る。ここで、ユーザは、条件付きポリシーに合格するために複数のバイオメトリック測定を用いて単一バイオメトリックデバイスでテストされる。例えば、この単一バイオメトリックデバイスが指紋デバイスである場合、ユーザは自身の左人差し指をまず用いて指紋デバイスでテストされることにより条件付きポリシーに合格することが要求され得る。ユーザが、自身の左人差し指を用いて指紋デバイスに合格すると、そのユーザは条件付きポリシーに合格する。ユーザが、自身の左人差し指を用いて指紋デバイスに失敗し、かつ第１のスコアが条件付き閾値スコア以上である場合、そのユーザは右人差し指を用いて指紋デバイスでテストされる。オアポリシーに関して上記で説明したように、他の単一測定デバイスもまた、複数のバイオメトリック測定をテストするために条件付きポリシーで使用することができる。

（４．ランダムポリシー）
ユーザがランダムバイオメトリックデバイスに合格する場合、ユーザは、本発明のランダムポリシーに合格する。図２０は、本発明のランダムポリシーの実行に含まれるステップを示すフローチャートである。ステップ２００２において、デバイスのリスト内のバイオメトリックデバイスの数ｎが判定される。ランダムポリシーは、典型的にそのデバイスのリスト内に少なくとも２つの異なるバイオメトリックを有する。ステップ２００４において、１〜ｎまでの乱数が選択され、乱数がｘに等しいように設定される。ステップ２００６において、デバイスのリスト内のｘ番目のバイオメトリックデバイスが判定される。一旦ｘ番目のバイオメトリックデバイスが判定されると、ユーザは、ステップ２００８においてスコアを生成するためにｘ番目のバイオメトリックデバイスでテストされる。

ステップ２０１０において、そのスコアはバイオメトリックデバイスの閾値と比較される。そのスコアがバイオメトリックデバイスの閾値よりも小さい場合、制御はステップ２０１２に移る。ステップ２０１２において、ユーザはランダムポリシーに失敗し、図２０におけるフローチャートが終了する。この時点ではユーザは、バイオメトリックシステム１０２（図１）によって認証されない。代替的に、ステップ２０１０において、スコアが、バイオメトリックデバイスの閾値以上である場合、制御はステップ２０１４に移る。ステップ２０１４において、ユーザは、ランダムポリシーに合格して、図２０におけるフローチャートが終了する。この時点でユーザは、バイオメトリックシステム１０２によって認証される。

ランダムポリシーは、ユーザがバイオメトリックシステム１０２によって認証されようとする度に、ユーザからのランダムバイオメトリック測定を要求する用に用いられる。ランダムポリシーの別の実施形態において、指紋または言葉使いのいずれかのリストとなるようにデバイスのリストを修正することである。ここで、ユーザはランダム指紋（例えば、ユーザの左手の人差し指）でテストされ得る。あるいは、ユーザはランダムな言葉使い（例えば、「Ｍｙ ｎａｍｅ ｉｓ Ｂｏｂ Ｓｍｉｔｈ」に関してテストされ得る。

ランダムポリシーは、典型的には、デバイスのリスト内に少なくとも２つの異なるバイオメトリックデバイスを有するが、そのデバイスのリストは、単一のバイオメトリックデバイスを有してもよい。ここでユーザは、ランダムポリシーに合格するように、複数のバイオメトリックデバイス測定のうち任意の１つを有する単一のバイオメトリックデバイスでテストされる。例えば、単一のバイオメトリックデバイスがフィンガープリントデバイスである場合、ユーザは、ユーザの指のいずれか１つについてテストされることによりランダムポリシーに合格することを要求され得る。ユーザがランダムな指を用いて指紋デバイスに合格する場合、ユーザはランダムポリシーに合格する。オアポリシーに関して上述のように、他の単一バイオメトリックデバイスはまた、ランダムポリシーと共に使用され得、複数のバイオメトリック測定をテストする。

（５．閾値ポリシー）
デバイスのリスト内において１以上のバイオメトリックデバイスでテストされる間、ユーザが総閾値（すなわち総閾値スコア）を超える場合、ユーザは、本発明の閾値ポリシーに合格する。図２１Ａおよび図２１Ｂは、本発明の閾値ポリシーを実行することに関するステップを示すフローチャートである。ステップ２１０２において、１を超えるデバイスのリストにおけるバイオメトリックデバイス数ｎが判定される。閾値ポリシーは、典型的にはデバイスのリスト内に１以上の異なるバイオメトリックデバイスを有する。ステップ２１０４において、総閾値スコアが判定される。ステップ２１０６において、デバイスのリスト内の第１のバイオメトリックデバイスが判定される。一旦第１のバイオメトリックデバイスが判定されると、ユーザは、ステップ２１０８において第１のスコア生成するために第１のバイオメトリックデバイスでテストされる。

ステップ２１１０において、テンプスコアは第１のスコアに等しく設定される。ステップ２１１２において、テンプスコアを総閾値スコアと比較する。テンプスコアが総閾値スコア以上の場合、制御はステップ２１１４に移る。ステップ２１１４において、ユーザは閾値ポリシーに合格し、図２１Ａおよび図２１Ｂにおけるフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２（図１）によって認証される。あるいは、ステップ２１１２において、テンプスコアが総閾値スコアよりも小さい場合、制御はステップ２１１８に移る。

ステップ２１１６において、ｎがゼロより大きくない場合、制御はステップ２１１８に移る。ステップ２１１８において、ユーザは閾値ポリシーに失敗し、図２１Ａおよび図２１Ｂのフローチャートは終了する。この時点ではユーザは、バイオメトリックシステム１０２（図１）によって認証されない。あるいはステップ２１１６において、ｎがゼロより大きい場合、制御はステップ２１２０に移る。ステップ２１２０において、デバイスのリスト内の次のバイオメトリックデバイスが判定される。一旦次のバイオメトリックデバイスが判定されると、ユーザは、ステップ２１２２において次のスコアを生成するために、次のバイオメトリックデバイスでテストされる。

ステップ２１２４において、テンプスコアは、次のスコアと乗算され、その積はテンプスコアに戻って格納される。ランダムポリシーの別の実施形態において、テンプスコアを次のスコアと加算し、その合計がテンプスコアに戻って格納され得る。ステップ２１２６において、テンプスコアは、総閾値スコアと比較される。テンプスコアが総閾値スコア以上の場合、制御はステップ２１２８に移る。ステップ２１２８において、ユーザは閾値ポリシーに合格して図２１Ａおよび図２１Ｂにおけるフローチャートは終了する。この時点でユーザはバイオメトリックシステム１０２（図１）によって認証される。あるいはステップ２１２６において、テンプスコアが総閾値スコアよりも小さい場合、制御は、ステップ２１３０に移る。

ステップ２１３０において、ｎから１を減算し、制御はステップ２１１６に戻る。ステップ２１１６において、ｎがゼロよりも大きくない場合、ユーザがデバイスのリスト内の全バイオメトリックデバイスでテストされる。ここで制御はステップ２１１８に移る。ステップ２１１８において、ユーザは、閾値ポリシーに失敗して図２１Ａおよび図２１Ｂにおけるフローチャートが終了する。この時点ではユーザは、バイオメトリックシステム１０２によって認証されない。代替的にステップ２１１６において、ｎがゼロより大きい場合、これは、ユーザが未だテストされていないデバイスのリストにおいて、なおさらなるバイオメトリックデバイスが存在することを意味する。ユーザがデバイスのリスト内の全バイオメトリックデバイスでテストされるか、またはテンプスコアが総閾値スコア以上になるまで、図２１Ａおよび図２１Ｂにおけるフローチャートは、継続する。

閾値ポリシーは一般に、デバイスのリスト内に１以上の異なるバイオメトリックデバイスを有するが、デバイスのリストは、単一のバイオメトリックデバイスを有し得る。ここで、閾値ポリシーに合格するように、ユーザは複数のバイオメトリック測定のいずれか１つを有する単一のデバイスでテストされる。例えば、単一のバイオメトリックデバイスが、フィンガープリントデバイスである場合、ユーザは、総閾値スコアに到達するまで、複数の指でテストされることにより閾値ポリシーに合格するように要求され得る。オアポリシーに関して、上述したように他の単一バイオメトリックデバイスはまた、閾値ポリシーと共に用いられ、複数のバイオメトリック測定をテストすることができる。

（６．バイオメトリックポリシーのリストを有するバイオメトリックポリシー）
上述のように、本発明は管理者定義のポリシーを可能にする。管理者定義のポリシーの１つのタイプが、バイオメトリックポリシーのリストを有するバイオメトリックポリシーである。ここでは上述のようなバイオメトリックデバイスのリストを有するバイオメトリックポリシーの代わりに、このタイプのバイオメトリックポリシーは、バイオメトリックポリシーのリストを有する。バイオメトリックポリシーのリストに列挙され得るバイオメトリックポリシーのタイプは、オアポリシー、アンドポリシー、条件付きポリシー、ランダムポリシー、および閾値ポリシー（全て上記）を含む。このタイプのポリシーはまた、バイオメトリックデバイスのみでユーザをテストすることに限定される。

管理者定義のポリシーの他のタイプは、ポリシーまたはデバイスのポリシーリストを有するポリシーである。この管理者定義のポリシーは、非バイオメトリックデバイスの使用を可能にする。

（ａ．バイオメトリックポリシーのリストを有するオアポリシー）
ユーザがバイオメトリックポリシーのリストのバイオメトリックポリシーの１つに合格する場合、ユーザは本発明のバイオメトリックポリシーのリストを有するオアポリシーに合格する。図２２Ａおよび図２２Ｂは、本発明のバイオメトリックポリシーのリストを有するオアポリシーを実行することに関するステップを示すフローチャートである。ステップ２２０２において、２を超えるバイオメトリックポリシーのリストにおけるバイオメトリックポリシーの数ｎが判定される。オアポリシーは常に、バイオメトリックポリシーのリスト内に少なくとも２つのバイオメトリックポリシーを有する。ステップ２２０４において、バイオメトリックポリシーのリスト内で第１のバイオメトリックポリシーが判定される。第１のバイオメトリックが判定された場合、第１のバイオメトリックポリシーは、ステップ２２０６において実行される。ここで、第１のバイオメトリックポリシーに適用するフローチャート内のステップが実行される。例えば、第１のバイオメトリックポリシーが条件付きポリシーである場合、図１９におけるフローチャートが実行される。図１９を参照して、図１９の結果は、ユーザが条件付ポリシーに合格するか、失敗するかのいずれかである。従ってこの情報は、図２２Ａのステップ２２０６に戻される。

ステップ２２０８では、ユーザが第１のバイオメトリックポリシーに合格する場合、次に制御は、ステップ２２１０に移る。ステップ２２１０では、ユーザがオアポリシーに合格しており、図２２Ａおよび図２２Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２（図１）によって認証されている。あるいは、ステップ２２０８でユーザが第１のバイオメトリックポリシーに失敗する場合、次に制御は、ステップ２２１２に移る。

ステップ２２１２では、バイオメトリックポリシーのリストの第２のバイオメトリックポリシーが決定される。第２のバイオメトリックポリシーが決定されると、第２のバイオメトリックポリシーが、ステップ２２１４で実行される。ここで、第２のバイオメトリックポリシーに適応するフローチャートのステップが実行される。例えば、第２のバイオメトリックポリシーは、第１のバイオメトリックポリシーと同様のタイプのポリシーであり得、あるいは他のバイオメトリックポリシーの１つであり得る。

ステップ２２１６では、ユーザが第２のバイオメトリックポリシーに合格する場合、次に制御はステップ２２１８に移る。ステップ２２１８では、ユーザはオアポリシーに合格しており、図２２Ａおよび図２２Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ２２１６でユーザが第２のバイオメトリックポリシーに失敗する場合、次に制御がステップ２２２０に移る。

ステップ２２２０では、ｎが０よりも大きくない場合、次に制御はステップ２２２２に移る。制御がステップ２２２２に移る場合、それはバイオメトリックポリシーのリストが２つのバイオメトリックポリシーのみをその内部に有し、ユーザは双方のバイオメトリックポリシーに失敗したことを意味する。ステップ２２２２では、ユーザはオアポリシーに失敗しており、図２２Ａおよび図２２Ｂのフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２２２０でｎが０よりも大きい場合、次に制御はステップ２２２４に移る。この状況で、バイオメトリックポリシーのリストは２より多くのバイオメトリックポリシーを有する。ステップ２２２４では、次のバイオメトリックポリシーが決定される。次のバイオメトリックポリシーが決定されると、次のバイオメトリックポリシーがステップ２２２６で実行される。

ステップ２２２８では、ユーザが次のバイオメトリックポリシーに合格する場合、次に制御はステップ２２３０に移る。ステップ２２３０では、ユーザはオアポリシーに合格しており、図２２Ａおよび図２２Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ２２２８でユーザが次のバイオメトリックポリシーに失敗する場合、次に制御はステップ２２３２に移る。

ステップ２２３２では、ｎから１を引き、制御はステップ２２２０に移る。ステップ２２２０では、ｎが０よりも大きくない場合、次にユーザはバイオメトリックポリシーのリストの全てのバイオメトリックポリシーに失敗する。ここで、制御は、ステップ２２２２に移る。ステップ２２２２では、ユーザはオアポリシーに失敗しており、図２２Ａおよび図２２Ｂのフローチャートが終了する。この時点で、バイオメトリックシステム１０２によってユーザは認証されていない。あるいは、ステップ２２２０でｎが０よりも大きい場合、これは、バイオメトリックポリシーのリストの中に実行されていない更なるバイオメトリックポリシーがまだあることを意味する。ユーザが全てのバイオメトリックポリシーに失敗するか、ユーザがバイオメトリックポリシーのリストのうち１つのバイオメトリックポリシーに合格するまで図２２Ａおよび図２２Ｂのフローチャートは続く。

（ｂ．バイオメトリックポリシーのリストを有するアンドポリシー）
ユーザがバイオメトリックポリシーのリストの全てのバイオメトリックポリシーに合格する場合、ユーザは本発明のバイオメトリックポリシーのリストを有するアンドポリシーに合格する。図２３Ａおよび図２３Ｂは本発明のバイオメトリックポリシーのリストを有するアンドポリシーの実行に関るステップを説明するフローチャートである。ステップ２３０２では、バイオメトリックポリシーのリストのバイオメトリックポリシーの数であって２よりも大きいｎが決定される。このタイプのアンドポリシーはバイオメトリックポリシーのこのリストの中に少なくとも２つのバイオメトリックポリシーをいつも有する。ステップ２３０４では、バイオメトリックポリシーのリストの第１のバイオメトリックポリシーが決定される。第１のバイオメトリックポリシーが決定されると、第１のバイオメトリックポリシーはステップ２３０６で実行される。ここで、第１のバイオメトリックポリシーに適用されるフローチャートのステップが実行される。例えば、第１のバイオメトリックポリシーがアンドポリシーである場合、次に図１８Ａおよび図１８Ｂのフローチャートが実行される。図１８Ａおよび図１８Ｂを参照して、図１８Ａおよび図１８Ｂの結果は、ユーザがアンドポリシーに合格するかあるいはアンドポリシーに失敗するかのいずれかである。したがって、この情報は、図２３Ａのステップ２３０６に戻る。

ステップ２３０８では、ユーザが第１のバイオメトリックポリシーに失敗する場合、次に制御はステップ２３１０に移る。ステップ２３１０では、ユーザはアンドポリシーに失敗しており、図２３Ａおよび図２３Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２（図１）によって認証されていない。あるいは、ステップ２３０８でユーザが第１のバイオメトリックポリシーに合格する場合、次に制御はステップ２３１２に移る。

ステップ２３１２では、バイオメトリックポリシーのリストの第２のバイオメトリックポリシーが決定される。第２のバイオメトリックポリシーが決定されると、第２のバイオメトリックポリシーがステップ２３１４で実行される。ここで、第２のバイオメトリックポリシーに適用されるフローチャートのステップが、実行される。

ステップ２３１６では、ユーザが第２のバイオメトリックポリシーに失敗する場合、次に制御はステップ２３１８に移る。ステップ２３１８では、ユーザはアンドポリシーに失敗しており、図２３Ａおよび図２３Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２３１６でユーザが第２のバイオメトリックポリシーに合格する場合、次に制御がステップ２３２０に移る。

ステップ２３２０では、ｎが０よりも大きくない場合、次に制御はステップ２３２２に移る。制御がステップ２３２２に移る場合、これはバイオメトリックポリシーのリストが２つのバイオメトリックポリシーのみをその内部に有し、ユーザは双方のバイオメトリックポリシーに合格していることを意味する。ステップ２３２２では、ユーザはアンドポリシーに合格しており、図２３Ａおよび図２３Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ２３２０でｎが０よりも大きい場合、次に制御はステップ２３２４に移る。この状況でバイオメトリックポリシーのリストは２つより多いバイオメトリックポリシーをその内部に有する。ステップ２３２４では、次のバイオメトリックポリシーが決定される。次のバイオメトリックポリシーが決定されると、次のバイオメトリックポリシーがステップ２３２６で実行される。

ステップ２３２８では、ユーザが次のバイオメトリックポリシーに失敗する場合、次に制御はステップ２３３０に移る。ステップ２３３０では、ユーザはアンドポリシーに失敗しており、図２３Ａおよび図２３Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２３２８でユーザが次のバイオメトリックポリシーに合格する場合、次に制御がステップ２３３２に移る。

ステップ２３３２では、ｎから１が引かれ、制御はステップ２３２０に移る。ステップ２３２０では、ｎが０よりも大きくない場合、次にユーザはバイオメトリックポリシーのリストの全てのバイオメトリックポリシーに合格する。ここで、制御はステップ２３２２に移る。ステップ２３２２では、ユーザはアンドポリシーに合格しており、図２３Ａおよび図２３Ｂのフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２３２０でｎが０よりも大きい場合、これはバイオメトリックポリシーのリストにまだ実行されていないバイオメトリックポリシーがあることを意味する。ユーザが全てのバイオメトリックポリシーに合格するかあるいはユーザがバイオメトリックポリシーのリストの１つのバイオメトリックポリシーに失敗するまで図２３Ａおよび図２３Ｂのフローチャートは続く。

（ｃ．バイオメトリックポリシーのリストを有するランダムポリシー）
ユーザがランダムバイオメトリックポリシーに合格する場合、ユーザは本発明のバイオメトリックポリシーのリストを有するランダムポリシーに合格する。図２４は本発明のバイオメトリックポリシーのリストを有するランダムポリシーの実行に関るステップを説明するフローチャートである。ステップ２４０２では、バイオメトリックポリシーのリストのバイオメトリックポリシーの数ｎが決定される。このタイプのランダムポリシーは、バイオメトリックポリシーのこのリストの中に少なくとも２つのバイオメトリックポリシーをいつも有する。ステップ２４０４では、１からｎの乱数が選ばれて、乱数がＸに等しく設定される。ステップ２４０６では、バイオメトリックポリシーのリストの第Ｘのバイオメトリックポリシーが決定される。第Ｘのバイオメトリックポリシーが決定されると、第Ｘのバイオメトリックポリシーはステップ２４０８で実行される。ここで、第１のバイオメトリックポリシーに適用されるフローチャートのステップが実行される。

ステップ２４１０では、ユーザが第Ｘのバイオメトリックポリシーに合格する場合、次に制御はステップ２４１２に移る。ステップ２４１２では、ユーザはランダムポリシーに合格しており、図２４のフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ２４１０でユーザが第Ｘのバイオメトリックポリシーに失敗する場合、次に制御はステップ２４１４に移る。ステップ２４１４では、ユーザはランダムポリシーに失敗しており、図２４のフローチャートが終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。

バイオメトリックポリシーのリストを有するランダムポリシーは、ユーザがバイオメトリックシステム１０２によって認証されることを企図するたびに、ユーザにランダムバイオメトリックポリシー５０４に合格することを要求するように用いられる。

（ｄ．バイオメトリックポリシーのリストを有する条件付きポリシー）
上述したように、バイオメトリックポリシーのそれぞれは、合格／失敗結果を戻す。さらに、バイオメトリックポリシーは、バイオメトリックポリシーと関連するデバイスのリストにおけるバイオメトリックデバイスに関係する１つ以上の閾値もまた提供し得る。言いかえれば、バイオメトリックポリシーのそれぞれは、バイオメトリックデバイスによって生成された１つ以上の閾値から生成された複合閾値を戻す。複合閾値は、バイオメトリックポリシーがユーザによって合格されたか失敗されたかに関わらず戻される。これらの複合閾値は、次に、バイオメトリックポリシーのリストを有する条件付きポリシーによって使用され得る。この特徴は、管理者の認証のレベル調整に柔軟性を与える。

ユーザが第１のバイオメトリックポリシーと関連する最小の閾値（すなわち第１の複合閾値）を上回る場合か、またはユーザが第１のバイオメトリックポリシーと関連する条件付き閾値を上回り、かつユーザが条件付きバイオメトリックポリシーに関連する最小の閾値（すなわち条件付き閾値）を上回る場合に、ユーザは本発明のバイオメトリックポリシーのリストを有する条件付きポリシーに合格する。図３１は、本発明のバイオメトリックポリシーのリストを有する条件付きポリシーの実行に含まれるステップを示すフローチャートである。このタイプの条件付きポリシーにおいては、バイオメトリックポリシーのリスト内には２つのバイオメトリックポリシーが常にある。

ステップ３１０２において、条件付き閾値が決定される。ステップ３１０４において、バイオメトリックポリシーのリスト内の第１のバイオメトリックポリシーが決定される。一旦、第１のバイオメトリックポリシーが決定されると、次に第１のバイオメトリックポリシーはステップ３１０６において実行される。第１のバイオメトリックポリシーの実行からの結果は、ユーザが第１のバイオメトリックポリシーおよび第１の複合閾値に合格するかどうかである。

ステップ３１０８において、ユーザが第１のバイオメトリックポリシーに合格するかどうかが決定される。ユーザが第１のバイオメトリックポリシーに合格すれば、次に制御はステップ３１１０に移動する。ステップ３１１０において、ユーザが条件付きポリシーに合格して、図３１のフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２（図１）によって認証されている。あるいは、ステップ３１０８において、ユーザが第１のバイオメトリックポリシーに失敗した場合は、制御はステップ３１１２に移動する。

ステップ３１１２において、第１の複合閾値が条件付き閾値と比較される。第１の複合閾値が条件付き閾値を下回る場合、制御はステップ３１１４に移動する。ステップ３１１４において、ユーザは条件付きポリシーに失敗した。この時点において、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ３１１２において、第１の複合閾値が条件付き閾値以上である場合、制御はステップ３１１６へ移動する。条件付き閾値は条件付きポリシーに合格し、したがって、バイオメトリックシステム１０２によって認証される第２のチャンスをユーザに与えるために用いられる。

ステップ３１１６において、バイオメトリックポリシーのリスト内の条件付きバイオメトリックポリシーが決定される。一旦、バイオメトリックポリシーが決定されると、次にステップ３１１８において条件付きバイオメトリックポリシーが実行される。ステップ３１２０において、ユーザが条件付きバイオメトリックポリシーに合格すると、次に制御はステップ３１２２へ移動する。ステップ３１２２において、ユーザは条件付きポリシーに合格して、図３１のフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ３１２０において、ユーザが条件付きバイオメトリックポリシーに失敗した場合は、制御はステップ３１２４に移動する。ステップ３１２４において、ユーザは条件付きポリシーに失敗し、図３１のフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２によって認証されていない。

（ｅ．バイオメトリックポリシーのリストを有する閾値ポリシー）
上述したように、バイオメトリックポリシーのそれぞれは、合格／失敗結果を戻す。さらに、バイオメトリックポリシーは、バイオメトリックポリシーと関連するデバイスのリストにおけるバイオメトリックデバイスに関係する１つ以上の閾値もまた提供し得る。言いかえれば、バイオメトリックポリシーのそれぞれは、バイオメトリックデバイスによって生成された１つ以上の閾値から生成された複合閾値を戻す。複合閾値は、バイオメトリックポリシーがユーザによって合格されたか失敗されたかに関わらず戻される。これらの複合閾値は、次に、バイオメトリックポリシーのリストを有する条件付きポリシーによって使用され得る。この特徴は、管理者の認証のレベル調整に柔軟性を与える。

バイオメトリックポリシーのリスト内の１つ以上のバイオメトリックポリシーでテストされている間にユーザが総閾値（すなわち総閾値スコア）を上回る場合は、ユーザは本発明のバイオメトリックポリシーのリストを有する閾値ポリシーに合格する。図３２Ａおよび図３２Ｂは、本発明のバイオメトリックポリシーのリストを有する条件付きポリシーの実行に含まれるステップを示すフローチャートである。ステップ３２０２において、バイオメトリックポリシーのリスト内の１より大きいｎ個のバイオメトリックポリシーが決定される。このタイプの閾値ポリシーはバイオメトリックポリシーのリスト内の１つ以上のバイオメトリックポリシーを有し得る。ステップ３２０４において、総閾値が決定される。ステップ３２０６において、バイオメトリックポリシーのリスト内の第１のバイオメトリックポリシーが決定される。一旦、第１のバイオメトリックポリシーが決定されると、第１のバイオメトリックポリシーはステップ３２０８で実行される。第１のバイオメトリックポリシーの実行からの結果は、ユーザが第１のバイオメトリックポリシーおよび第１の複合閾値に合格したかどうかである。

ステップ３２１０において、テンプスコアは第１の複合閾値と等しいようにセットされる。ステップ３２１２において、テンプスコアは総閾値と比較される。テンプスコアが総閾値以上である場合、次に制御はステップ３２１４へ移動する。ステップ３２１４において、ユーザは閾値ポリシーに合格し、図３２Ａおよび図３２Ｂのフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２（図１）によって認証されている。あるいは、ステップ３２１２において、テンプスコアが総閾値を下回る場合は、次に制御はステップ３２１６に移動する。

ステップ３２１６において、ｎがゼロより大きくない場合、次に制御はステップ３２１８に移動する。ステップ３２１８において、ユーザは閾値ポリシーに失敗し、図３２Ａおよび図３２Ｂのフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２（図１）によって認証されていない。あるいは、ステップ３２１６において、ｎがゼロより大きい場合は、次に制御はステップ３２２０に移動する。ステップ３２２０において、バイオメトリックポリシーのリスト内の次のバイオメトリックポリシーが決定される。一旦、次のバイオメトリックポリシーが決定されると、次のバイオメトリックポリシーはステップ３２２２で実行される。次のバイオメトリックポリシーの実行からの結果は、ユーザが次のバイオメトリックポリシーおよび次の複合閾値に合格するかど
うかである。

ステップ３２２４において、テンプスコアは、次の複合閾値を掛け合わされ、その積はテンプスコアに格納して戻される。ステップ３２２６において、テンプスコアは総閾値と比較される。テンプスコアが総閾値以上である場合、次に制御はステップ３２２８へ移動する。ステップ３２２８において、ユーザは閾値ポリシーに合格し、図３２Ａおよび図３２Ｂのフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ３２２６において、テンプスコアが総閾値を下回る場合は、次に制御はステップ３２３０に移動する。

ステップ３２３０において、ｎから１を引いて、制御はステップ３２１６に戻る。ステップ３２１６において、ｎがゼロより大きくない場合、バイオメトリックポリシーのリスト内の全てのバイオメトリックポリシーが実行された。ここで、制御はステップ３２１８に移動する。ステップ３２１８において、ユーザは閾値ポリシーに失敗し、図３２Ａおよび図３２Ｂのフローチャートは終了する。この時点において、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ３２１６において、ｎがゼロより大きい場合、このことはバイオメトリックポリシーのリスト内の実行されていないバイオメトリックポリシーがまだあることを意味する。図３２Ａおよび図３２Ｂのフローチャートは、バイオメトリックポリシーのリスト内の全てのバイオメトリックポリシーが実行されるまでか、あるいはテンプスコアが総閾値スコアより大きくなるまで続く。

（７．ポリシーのリストまたはデバイスを有するバイオメトリックポリシー）
他のタイプの管理人が定めるポリシーはポリシーのリストまたはデバイスを有するバイオメトリックポリシーである。この管理人が定めるポリシーは、バイオメトリックデバイス、バイオメトリックでないデバイスおよび／またはバイオメトリックポリシーを用いた組み合わせを可能にする。このタイプのポリシーは、上述した全ての他のポリシーが提供しなかったさらなる柔軟性を供給する。このタイプのポリシーにおいて、ユーザはバイオメトリックシステム１０２により単一のバイオメトリックでないデバイス上でテストされることにより認証されることが可能である。このことは、バイオメトリックデバイスで同じ時間に全てのユーザが登録される必要が無いことによりバイオメトリックシステム１０２への変換に柔軟性を与えるので重要である。ここで、ユーザはバイオメトリックでないデバイスの使用を継続し得、ユーザはバイオメトリックシステム１０２へのログをいつも用いる。

全てのユーザを同時にバイオメトリックデバイスに登録する必要がないことによって、バイオメトリックシステム１０２をロールアウトして、バイオメトリックシステム１０２が柔軟性を提供する２つの方法がある。第１の方法は、ユーザをバイオメトリックグループ５０６に割り当てないことである。ここで、バイオメトリックシステム１０２は、ユーザがバイオメトリックグループ５０６を有さないことを見つける場合、ユーザが企業リソースへのアクセスを得ることを可能にする以前の方法（例えば、パスワード、トークンまたはスマートカード）が、ユーザへの認証を制御する。第２の方法は、管理者がユーザをバイオメトリックグループ５０６に割り当てていることである。第２の方法は、下記に説明する本発明のポリシーまたはデバイスのリストを有するオアポリシーに関する。

ユーザがバイオメトリックグループ５０６に割り当てられている場合、バイオメトリックデバイスにおいて全てのユーザが同時に登録される必要性がないという柔軟性は、上述の図８Ａ、図８Ａ−１および図８Ｂを参照して説明されるものとわずかな変更を必要とする。上述したように、ステップ８１１において、データベースオブジェクト７１０（図７）は、ユーザに対して必要なバイオメトリックテンプレート５０２（図５）がバイオメトリックオブジェクト７１０（図７）に格納され、そのユーザのバイオメトリックポリシー５０４(図５）を実行するかどうかを判定する。さらに、データオブジェクト７１０は、また、コンピュータ２０８（図２）がコンピュータ２０８に接続される、必要なバイオメトリックデバイスを有し、ユーザのバイオメトリックポリシー５０４を実行するかどうかを判定する。必要なバイオメトリックテンプレート５０２または必要なバイオメトリックデバイスが存在しない場合、制御はステップ８３６に移る。ステップ８３６において、バイオメトリックサーバ１０４（図１）はユーザが認証され得ないコンピュータ２０８と通信する。認証インターフェース７０４（図７）は、次いで、ユーザアクセスを拒否する。したがって、全てのユーザが同時にバイオメトリックデバイスに登録される必要性がないという柔軟性を提供するために、バイオメトリックサーバ１０４は、ステップ８１１（例えば、フラグ）をスキップし、直接、ステップ８１２（図８Ａ、図８Ａ−１および図８Ｂ）に向かう時を知る。

（ａ．ポリシーまたはデバイスのリストを有するオアポリシー）
ユーザが、ポリシーまたはデバイスのリストの要素の１つに合格する場合、ユーザは、本発明のポリシーまたはデバイスのリストを有するオアポリシーに合格する。図２５Ａおよび図２５Ｂは、本発明のポリシーまたはデバイスのリストを有するオアポリシーの実行に関するステップを示すフローチャートである。ステップ２５０２において、２より大きいポリシーまたはデバイスのリストの要素の数ｎが決定される。要素は、本明細書に記載されるバイオメトリックポリシー、バイオメトリックデバイスまたは非バイオメトリックデバイスの１つであり得る。このタイプのオアポリシーは、ポリシーまたはデバイスのリストの少なくとも２つの要素を常に有する。ステップ２５０４において、ポリシーまたはデバイスのリストの第１の要素がバイオメトリックポリシーであるかどうかを判定する。第１の要素がバイオメトリックポリシーでない場合、制御はステップ２５０６に移る。

ステップ２５０６において、第１の要素は、バイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。図８Ａ、図８Ａ−１、図８Ｂ、図９は、ユーザがバイオメトリックデバイスに関してテストされることに関する。図８Ａ、図８Ａ−１、図８Ｂ、図９を再び参照すると、ユーザがバイオメトリックデバイスに関してテストされる場合、戻される結果は、スコアとユーザがバイオメトリックデバイスに合格したかまたは失敗したかどうかとの両方を含む。図２５Ａおよび図２５Ｂのフローチャートは、ユーザが合格したかまたは失敗したかの情報のみを利用する。バイオメトリックデバイスと同様に、ユーザが非バイオメトリックデバイスに関してテストされる場合、その結果は、ユーザが非バイオメトリックデバイスに合格したか、または、失敗したかを含む。したがって、ステップ２５０６において、ユーザは第１の要素に関してテストされ（すなわち、バイオメトリックデバイスまたは非バイオメトリックデバイスのいずれか）、その結果は、ユーザが第１の要素（すなわち、デバイス）に合格したか失敗したかを示す。

あるいは、ステップ２５０４において、第１の要素がバイオメトリックポリシーである場合、制御はステップ２５０８に移る。ステップ２５０８において、第１の要素（すなわち、バイオメトリックポリシー）が実行され、その結果は、ユーザが第１の要素（すなわち、バイオメトリックポリシー）に合格したか、または、失敗したかを示す。第１の要素はバイオメトリックポリシーであろうとデバイスであろうと、制御はステップ２５１０に移る。

ステップ２５１０において、ユーザは第１の要素に合格する場合、制御はステップ２５１２に移る。ステップ２５１２において、ユーザがオアポリシーに合格し、図２５Ａおよび図２５Ｂのフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２（図１）によって認証されている。全てのユーザを同時にバイオメトリックシステム１０２に登録させないことによって提供される柔軟性のあるバイオメトリックシステム１０２の例は、ここで示され得る。ユーザが企業リソースにアクセスを得るために過去に使用してきた非バイオメトリックをパスワードデバイスと仮定する。ポリシーまたはデバイスのリストの第１の要素がパスワードデバイスである場合、ユーザは、パスワードデバイスに合格することによってバイオメトリックシステム１０２によって認証され得る。

あるいは、ステップ２５１０においてユーザが第１の要素に失敗する場合、制御はステップ２５１４に移る。ステップ２５１４において、ポリシーまたはデバイスのリストの第２の要素がバイオメトリックポリシーであるかどうかを判定する。第２の要素がバイオメトリックポリシーでない場合、制御はステップ２５１６に移る。ステップ２５１６において、第２の要素はバイオメトリックデバイスかまたは非バイオメトリックデバイスのいずれかである。ユーザは第２の要素に関してテストされ、その結果は、ユーザが第２の要素（すなわち、デバイス）に合格するかまたは失敗するかを示す。

あるいは、ステップ２５１４において、第２の要素がバイオメトリックポリシーである場合、制御はステップ２５１８に移る。第２の要素を実行して、ユーザが第２の要素（すなわち、バイオメトリックポリシー）に合格するか失敗するかどうかを判定する。第２の要素がバイオメトリックポリシーまたはデバイスである場合、制御はステップ２５２０に移る。ステップ２５２０において、ユーザは第２の要素に合格し、制御はステップ２５２２に移る。ステップ２５２２において、ユーザはオアポリシーに合格しており、図２５Ａおよび図２５Ｂのフローチャートを終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されている。あるいは、ステップ２５２０において、ユーザは第２の要素に失敗し、制御はステップ２５２４に移る。

ステップ２５２４において、ｎがゼロより大きくない場合、制御はステップ２５２６に移る。制御がステップ２５２６に移る場合、ポリシーまたはデバイスのリストはその中に２つの要素のみを有し、ユーザは要素の両方に失敗していることを意味する。ステップ２５２６において、ユーザはオアポリシーに失敗しており、図２５Ａおよび図２５Ｂのフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２５２４において、ｎはゼロより大きい場合、制御はステップ２５２８に移る。この状況において、ポリシーまたはデバイスのリストはその中に２つより多くの要素を有する。

ステップ２５２８において、ポリシーまたはデバイスのリストの次の要素はバイオメトリックポリシーであるかどうかを判定する。次の要素がバイオメトリックポリシーでない場合、制御はステップ２５３０に移る。ステップ２５３０において、次の要素はバイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。ユーザは次の要素に関してテストされ、その結果は、ユーザが次の要素（すなわち、デバイス）に合格したか失敗したかを示す。

あるいは、ステップ２５２８において、次の要素がバイオメトリックポリシーである場合、制御はステップ２５３２に移る。次の要素を実行して、ユーザが次の要素（すなわち、バイオメトリックポリシー）に合格したか失敗したかを判定する。次の要素がバイオメトリックポリシーであろうとデバイスであろうと、制御はステップ２５３４に移る。ステップ２５３４において、ユーザが次の要素に合格する場合、制御はステップ２５３６に移る。ステップ２５３６において、ユーザはオアポリシーに合格しており、図２５Ａおよび図２５Ｂのフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２（図１）によって認証されている。あるいは、ステップ２５３４において、ユーザは次の要素に失敗し、制御はステップ２５３８に移る。

ステップ２５３８において、１をｎから引き、制御はステップ２５２４に移る。ステップ２５２４において、ｎがゼロより大きくない場合、ユーザはポリシーまたはデバイスのリストの全ての要素に失敗する。ここで、制御はステップ２５２６に移る。ステップ２５２６において、ユーザはオアポリシーに失敗しており、図２５Ａおよび図２５Ｂのフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２５２４においてｎがゼロより大きい場合、これは、ポリシーまたはデバイスのリストの更なる要素があることを意味する。図２５Ａおよび図２５Ｂのフローチャートは、ユーザが全ての要素に失敗するか、または、ユーザがポリシーまたはデバイスのリストの１つの要素に合格するまで続く。

（ｂ．ポリシーまたはデバイスのリストを有するアンドポリシー）
ユーザはポリシーまたはデバイスのリストの全ての要素に合格する場合、ユーザは、本発明のポリシーまたはデバイスのリストを有するアンドポリシーに合格する。図２６Ａおよび図２６Ｂは、本発明のポリシーまたはデバイスのリストを有するアンドポリシーの実行に関するステップを示すフローチャートである。ステップ２６０２において、２より多くのポリシーまたはデバイスのリストの要素の数ｎが決定される。要素は、本明細書において記載されるように、バイオメトリックポリシー、バイオメトリックデバイスまたは非バイオメトリックデバイスの１つであり得る。このタイプのアンドポリシーは、ポリシーまたはデバイスのリストの少なくとも２つの要素を常に有する。ステップ２６０４において、ポリシーまたはデバイスのリストの第１の要素はバイオメトリックポリシーかどうかを判定する。第１の要素はバイオメトリックポリシーでない場合、制御はステップ２６０６に移る。

ステップ２６０６において、第１の要素はバイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。ステップ２６０６において、ユーザは第１の要素に関してテストされ（すなわち、バイオメトリックデバイスまたは非バイオメトリックデバイス）、その結果は、ユーザが第１の要素（すなわち、デバイス）に合格したか失敗したかを示す。

あるいは、ステップ２６０４において、第１のエレメントがバイオメトリックポリシーである場合、制御はステップ２６０８に移る。ステップ２６０８において、第１のエレメント（すなわち、バイオメトリックポリシー）が実行され、その結果は、ユーザが第１のエレメント（すなわち、バイオメトリックポリシー）に合格したか失敗したかを示す。第１のエレメントがバイオメトリックポリシーであるかデバイスであるかに拘わらず、制御はステップ２６１０に移る。

ステップ２６１０においてユーザが第１のエレメントに失敗する場合、制御はステップ２６１２に移る。ステップ２６１２において、ユーザがアンドポリシーに失敗しており、図２６Ａおよび図２６Ｂのフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２（図１）によって認証されていない。あるいは、ステップ２６１０においてユーザが第１のエレメントに合格する場合、制御はステップ２６１４に移る。ステップ２６１４において、ポリシーまたはデバイスのリスト中の第２のエレメントがバイオメトリックポリシーであるか否かが判定される。第２のエレメントがバイオメトリックポリシーでない場合、制御はステップ２６１６に移る。ステップ２６１６において、第２のエレメントはバイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。ユーザは第２のエレメントに関してテストされ、その結果は、ユーザが第２のエレメント（すなわち、デバイス）に合格したか失敗したかを示す。

あるいは、ステップ２６１４において第２のエレメントがバイオメトリックポリシーである場合、制御はステップ２６１８に移る。第２のエレメントが実行されて、ユーザが第２のエレメント（すなわち、バイオメトリックポリシー）に合格するか失敗するかを判定する。第２のエレメントがバイオメトリックポリシーであるかデバイスであるかに拘わらず、制御はステップ２６２０に移る。ステップ２６２０においてユーザが第２のエレメントに失敗する場合、制御はステップ２６２２に移る。ステップ２６２２において、ユーザはアンドポリシーに失敗しており、図２６Ａおよび図２６Ｂのフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２によって認証されていない。あるいはステップ２６２０においてユーザが第２のエレメントに合格する場合、制御はステップ２６２４に移る。

ステップ２６２４においてｎがゼロより大きくない場合、制御はステップ２６２６に移る。制御がステップ２６２６に移る場合、それはポリシーまたはデバイスのリストが僅か２つのエレメントを有しているにすぎず、ユーザが両者に合格したことを意味する。ステップ２６２６において、ユーザはアンドポリシーに合格しており、図２６Ａおよび図２６Ｂのフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２によって認証されていない。あるいは、ステップ２６２４においてｎがゼロより大きい場合、制御はステップ２６２８に移る。この場合、ポリシーまたはデバイスのリストは、２つより多いエレメントを有する。

ステップ２６２８において、ポリシーまたはデバイスのリスト中の次のエレメントがバイオメトリックポリシーであるか否かが判定される。次のエレメントがバイオメトリックポリシーでない場合、制御はステップ２６３０に移る。ステップ２６３０において、次のエレメントはバイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。ユーザは次のエレメントに関してテストされ、その結果は、ユーザが次のエレメント（すなわち、デバイス）に合格したか失敗したかを示す。

あるいはステップ２６２８において次のエレメントがバイオメトリックポリシーである場合、制御はステップ２６３２に移る。次のエレメントが実行されて、ユーザが次のエレメント（すなわち、バイオメトリックポリシー）に合格するか失敗するかが判定される。次のエレメントがバイオメトリックポリシーであるかデバイスであるかに拘わらず、制御はステップ２６３４に移る。ステップ２６３４においてユーザが次のエレメントに失敗する場合、制御はステップ２６３６に移る。ステップ２６３６において、ユーザはアンドポリシーに失敗しており、図２６Ａおよび図２６Ｂのフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２（図１）によって認証されていない。あるいは、ステップ２６３４においてユーザが次のエレメントに合格する場合、制御はステップ２６３８に移る。

ステップ２６３８において、ｎから１が減算され、制御はステップ２６２４に戻る。ステップ２６２４においてｎがゼロより大きくない場合、ユーザはポリシーまたはデバイスのリスト中のすべてのエレメントに合格している。ここで、制御はステップ２６２６に移る。ステップ２６２６において、ユーザはアンドポリシーに合格しており、図２６Ａおよび図２６Ｂのフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２によって認証されていない。あるいはステップ２６２４においてｎがゼロより大きい場合、これは、ポリシーまたはデバイスのリスト中にまださらなるエレメントがあることを意味する。ユーザがポリシーまたはデバイスのリスト中のすべてのエレメントに合格するか、１つのエレメントに失敗するまで、図２６Ａおよび図２６Ｂのフローチャートは継続する。

（ｃ．ポリシーまたはデバイスのリストを有するランダムポリシー）
ユーザがランダムエレメントに合格する場合、ユーザは、本発明のポリシーまたはデバイスのリストを有するランダムポリシーに合格する。図２７は、本発明のポリシーまたはデバイスのリストを有するランダムポリシーを実行することに関与するステップを示すフローチャートである。ステップ２７０２において、ポリシーまたはデバイスのリスト中のｎ個のエレメントが決定される。エレメントは、本明細書に記載するバイオメトリックポリシー、バイオメトリックデバイス、または非バイオメトリックデバイスのうちの１つであり得る。このタイプのランダムポリシーは常に、ポリシーまたはデバイスのリスト中の少なくとも２つのエレメントを有する。ステップ２７０４において、１〜ｎのうちのランダムな数が選択されて、ランダムな数がｘに等しく設定される。ステップ２７０６において、ポリシーまたはデバイスのリスト中のＸエレメントがバイオメトリックポリシーであるか否かが決定される。Ｘエレメントがバイオメトリックポリシーでない場合、制御はステップ２７０８に移る。

ステップ２７０８において、Ｘエレメントはバイオメトリックデバイスまたは非バイオメトリックデバイスのいずれかである。ステップ２７０８において、ユーザは、Ｘエレメント（すなわち、バイオメトリックデバイスまたは非バイオメトリックデバイスのいずれか）に関してテストされ、その結果は、ユーザが第１のエレメント（すなわち、デバイス）に合格したか失敗したかを示す。

あるいは、ステップ２７０６においてＸエレメントがバイオメトリックポリシーである場合、制御はステップ２７１０に移る。ステップ２７１０において、Ｘエレメント（すなわち、バイオメトリックポリシー）が実行され、その結果は、ユーザがＸエレメント（すなわち、バイオメトリックポリシー）に合格したか失敗したかを示す。Ｘエレメントがバイオメトリックポリシーであるかデバイスであるかに拘わらず、制御はステップ２７１２に移る。

ステップ２７１２においてユーザがＸエレメントに合格する場合、制御はステップ２７１４に移る。ステップ２７１４において、ユーザはランダムポリシーに合格しており、図２７のフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２（図１）によって認証されていない。あるいは、ステップ２７１２においてユーザがＸエレメントに失敗する場合、制御は、ステップ２７１６に移る。ステップ２７１６において、ユーザはランダムポリシーに失敗しており、図２７のフローチャートは終了する。この時点でユーザはまだバイオメトリックシステム１０２（図１）によって認証されていない。

このタイプのランダムポリシーは、ユーザがバイオメトリックシステム１０２によって認証されることを試みる度に、ランダムなバイオメトリックポリシー５０４または識別デバイスに合格することをユーザに要求するために用いられる。

（ｄ．ポリシーまたはデバイスのリストを有する条件付きポリシー）
上記したように、各バイオメトリックポリシーは、合格したか失敗したかという結果を返却する。さらに、バイオメトリックポリシーは、バイオメトリックポリシーに関連するデバイスのリスト中のバイオメトリックデバイスに関係する１以上の閾値を提供し得る。換言すると、各バイオメトリックポリシーは、バイオメトリックデバイスによって生成される１以上の閾値から生成される複合閾値を返却する。複合閾値は、ユーザがバイオメトリックポリシーに合格したか失敗したかに拘わらず返却される。これらの複合閾値はその後、ポリシーまたはデバイスのリストを有する条件付きポリシーによって用いられ得る。この特徴は、管理者に、認証のレベルを調整するフレキシビリティを与える。

ユーザが第１のエレメントに関連する最小閾値を超える場合、またはユーザが第１のエレメントに関連する条件付き閾値を超え、かつ、条件付きエレメントに関連する最小閾値を超える場合、ユーザは、本発明のポリシーまたはデバイスのリストを有する条件付きポリシーに合格する。図３３Ａおよび図３３Ｂは、本発明のポリシーまたはデバイスのポリシーリストを有する条件付きポリシーを実行することに関与するステップを示すフローチャートである。このタイプの条件付きポリシーは常に、ポリシーまたはデバイスのリスト中に２つのエレメントを有する。エレメントは、本明細書に記載するバイオメトリックポリシー、バイオメトリックデバイス、または非バイオメトリックデバイスのうちの１つであり得る。

ステップ３３０２において、条件付き閾値が決定される。ステップ３３０４において、第１の要素が、バイオメトリックポリシーであるか否かが判定される。第１の要素が、バイオメトリックポリシーでない場合、制御は、ステップ３３０６に移る。ステップ３３０６において、第１の要素は、バイオメトリック、または非バイオメトリックデバイスである。図８Ａ、図８Ａ−１、図８Ｂ、および図９には、バイオメトリックデバイスでテストされているユーザが関わる。再度、図８Ａ、図８Ａ−１、図８Ｂ、および図９を参照すると、ユーザがバイオメトリックデバイスでテストされている場合、返される結果には、スコア、および、ユーザがバイオメトリックデバイスに合格したか、失敗したかが含まれ得る。バイオメトリックデバイスと同様に、ユーザが非バイオメトリックデバイスでテストされる場合、結果は、ユーザが、非バイオメトリックデバイスに合格したか、失敗したかを含む。この結果も、スコアを含むように、変更され得る。従って、ステップ３３０６において、ユーザは、第１の要素（すなわち、バイオメトリックデバイス、または非バイオメトリックデバイスのいずれか）でテストされ、結果は、ユーザが、第１の要素（すなわち、デバイス）に合格したか、失敗したかを含み、第１のスコアを含む。

あるいは、ステップ３３０４において、第１の要素が、バイオメトリックポリシーである場合、制御は、ステップ３３０８に移る。ステップ３３０８において、第１の要素（すなわち、バイオメトリックポリシー）が実行され、結果は、ユーザが、第１の要素（すなわち、バイオメトリックポリシー）に合格したか、または失敗したかを含み、第１の複合閾値を含む。第１の要素が、バイオメトリックポリシーであるか、デバイスであるかに関わらず、制御は、ステップ３３１０に移る。

ステップ３３１０において、ユーザが第１の要素に合格する場合、制御は、ステップ３３１２に移る。ステップ３３１２において、ユーザは、条件付きポリシーに合格しており、図３３Ａおよび図３３Ｂのフローチャートは、終了する。この時点で、ユーザは、バイオメトリックシステム１０２（図１）によって、認証されている。あるいは、ステップ３３１０において、ユーザが第１の要素に失敗する場合、制御は、ステップ３３１４に移る。ステップ３３１４において、第１の複合閾値、または第１のスコアが戻ったか否かが判定され、テンプスコアに等しくなるように設定される。

ステップ３３１６において、テンプスコアが、条件付き閾値より低いか否かが判定される。テンプスコアが、条件付き閾値未満である場合、制御は、ステップ３３１８に移る。ステップ３３１８において、ユーザは、条件付きポリシーに失敗しており、図３３Ａおよび図３３Ｂのフローチャートは終了する。この時点で、ユーザは、バイオメトリックシステム１０２（図１）によって、認証されていない。あるいは、ステップ３３１６において、テンプスコアが、条件付き閾値以上であることが判定される場合、制御は、ステップ３３２０に移る。

ステップ３３２０において、条件付き要素は、バイオメトリックポリシーであるか否かが判定される。条件付き要素が、バイオメトリックポリシーでない場合、制御は、ステップ３３２２に移る。ステップ３３２２において、条件付き要素は、バイオメトリックデバイス、または非バイオメトリックデバイスのいずれかである。従って、ステップ３３２２において、ユーザは、条件付き要素（すなわち、バイオメトリックデバイスまたは非バイオメトリックデバイス）においてテストされ、結果は、ユーザが、条件付き要素に合格したか、失敗したかを示す。

あるいは、ステップ３３２０において、条件付き要素が、バイオメトリックポリシーである場合、制御は、ステップ３３２４に移る。ステップ３３２４において、条件付き要素（すなわち、バイオメトリックポリシー）が実行され、結果は、ユーザが条件付き要素に合格したか、または失敗したかを示す。条件付き要素がバイオメトリックポリシーであるか、デバイスであるかに関わらず、制御は、ステップ３３２６に移る。

ステップ３３２６において、ユーザが条件付き要素に合格する場合、制御は、ステップ３３２８に移る。ステップ３３２８において、ユーザは、条件付きポリシーに合格しており、図３３Ａおよび図３３Ｂのフローチャートは終了する。この時点で、ユーザは、バイオメトリックシステム１０２によって、認証されている。あるいは、ステップ３３２６において、ユーザが、第１の要素に失敗する場合、制御は、ステップ３３３０に移る。ステップ３３３０において、ユーザは、条件付きポリシーに失敗しており、図３３Ａおよび図３３Ｂのフローチャートは終了する。この時点で、ユーザは、バイオメトリックシステム１０２によって、認証されていない。

（ｅ．ポリシーまたはデバイスのリストを有する閾値ポリシー）
上述したように、各バイオメトリックポリシーは、合格／失敗結果を返す。さらに、バイオメトリックポリシーは、バイオメトリックポリシーと関連するデバイスのリストの中のバイオメトリックデバイスに関する１つ以上の閾値も提供し得る。すなわち、各バイオメトリックポリシーは、バイオメトリックデバイスによって発生された１つ以上の閾値から発生された複合閾値を戻す。複合閾値は、ユーザがバイオメトリックポリシーに合格したか、失敗したかに関わらず、戻される。これらの複合閾値は、バイオメトリックポリシーのリストを有する閾値ポリシーによって用いられ得る。この特徴によって、管理者が、柔軟に、認証のレベルを調節できるようになる。

ポリシーまたはデバイスのリストの中の１つ以上の要素でテストされる際に、ユーザが総閾値（すなわち、総閾値スコア）を越える場合、ユーザは、本発明のポリシーまたはデバイスのリストを有する閾値ポリシーに合格する。図３４Ａおよび図３４Ｂは、本発明のポリシーまたはデバイスのポリシーリストを有する閾値ポリシーの実行に含まれるステップを示すフローチャートである。ステップ３４０２において、１個より多い、ポリシーまたはデバイスのリストの中の要素の数ｎが決定される。要素は、本明細書中で説明したバイオメトリックポリシー、すなわち、バイオメトリックデバイス、または非バイオメトリックデバイスのうちの１つであり得る。このタイプの閾値ポリシーは、ポリシーまたはデバイスのリストの中に１つ以上の要素を有する。ステップ３４０４において、総閾値スコアが決定される。ステップ３４０６において、ポリシーまたはデバイスのリストの中の第１の要素が、バイオメトリックポリシーであるか否かが判定される。第１の要素が、バイオメトリックポリシーでない場合、制御は、ステップ３４０８に移る。

ステップ３４０８において、第１の要素は、バイオメトリックデバイス、または非バイオメトリックデバイスのいずれかである。ステップ３４０８において、ユーザは、第１の要素（すなわち、バイオメトリックデバイスまたは非バイオメトリックデバイスのいずれか）でテストされ、結果は、ユーザが第１の要素（すなわち、デバイス）に合格したか、失敗したかを示し、第１のスコアを示す。

あるいは、ステップ３４０６において、第１の要素が、バイオメトリックポリシーである場合、制御は、ステップ３４１０に移る。ステップ３４１０において、第１の要素（すなわち、バイオメトリックポリシー）が実行され、結果は、ユーザが第１の要素（すなわち、バイオメトリックポリシー）に合格したか、失敗したかを示し、第１の複合閾値を示す。第１の要素がバイオメトリックポリシーであるか、デバイスであるかに関わらず、制御は、ステップ３４１２に移る。

ステップ３４１２において、第１の複合閾値、または第１のスコアが、戻ったか否かが決定され、テンプスコアに等しくなるように設定される。ステップ３４１４において、テンプスコアが、総閾値スコア未満である場合、制御は、ステップ３４１６に移る。ステップ３４１６において、ユーザは、閾値ポリシーに合格しており、図３４Ａおよび図３４Ｂのフローチャートは終了する。この時点で、ユーザは、バイオメトリックシステム１０２（図１）によって認証されている。あるいは、ステップ３４１４において、テンプスコアが、総閾値スコア以上である場合、制御は、ステップ３４１８に移る。

ステップ３４１８において、ｎが０以下の場合、制御は、ステップ３４２０に移る。制御がステップ３４２０に移る場合、それは、ポリシーまたはデバイスのリストが、１つの要素しか有さないことを意味する。ステップ３４２０において、ユーザが、閾値ポリシーに失敗している場合、図３４Ａおよび図３４Ｂのフローチャートは終了する。この時点で、ユーザは、バイオメトリックシステム１０２によって認証されていない。あるいは、ステップ３４１８において、ｎが０より大きい場合、制御は、ステップ３４２２に移る。この場合、ポリシーまたはデバイスのリストは、その中に、１つより多い要素を有する。

ステップ３４２２において、ポリシーまたはデバイスのリストにおける次の要素がバイオメトリックポリシーであるかが決定される。次の要素がバイオメトリックポリシーでなければ、制御はステップ３４２４に移る。ステップ３４２４において、次の要素はバイオメトリックまたは非バイオメトリックデバイスのいずれかである。ユーザは次の要素についてテストされ、そしてその結果は、ユーザが次の要素（すなわち、そのデバイス）に合格したか、または失敗であったか、および次のスコアを示す。

あるいは、ステップ３４２２において、次の要素がバイオメトリックポリシーであれば、制御はステップ３４２６に移る。ステップ３４２６において、次の要素を実行して、ユーザが次の要素（すなわち、バイオメトリックポリシー）に合格したか、または失敗であったかを決定し、そして次の複合閾値を得る。ステップ３４２８において、次の複合閾値または次のスコアが返されたかが決定され、そしてその次の複合閾値または次のスコアがテンプ２スコアに等しくなるように設定される。ステップ３４３０において、テンプスコアは、テンプ２を乗算され、そしてその積は再度テンプスコアに格納される。

ステップ３４３２において、テンプスコアが総閾値スコアより小さいならば、制御はステップ３４３４に移る。ステップ３４３４において、ユーザは閾値ポリシーに合格し、そして図３４Ａおよび図３４Ｂにおけるフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証された。あるいは、ステップ３４３２においてテンプスコアが総閾値スコアよりも大きいならば、制御はステップ３４３６に移る。

ステップ３４３６において、ｎから１が引き算され、そして制御はステップ３４１８に戻る。ステップ３４１８において、ｎがゼロより大きくなければ、バイオメトリックポリシーのリストにおけるすべての要素は実行された。ここで、制御はステップ３４２０に移る。ステップ３４２０において、ユーザは閾値ポリシーに失敗し、そして図３４Ａおよび図３４Ｂにおけるフローチャートは終了する。この時点で、ユーザはバイオメトリックシステム１０２によって認証されなかった。あるいは、ステップ３４１８においてｎがゼロより大きければ、これはまだ実行されていない、ポリシーまたはデバイスのリストにおけるさらに多くの要素があることを意味する。図３４Ａおよび図３４Ｂにおけるフローチャートは、ポリシーまたはデバイスのリストにおけるすべての要素が実行されるか、またはテンプスコアが総閾値スコア以上となるまで継続する。

（８．マルチユーザバイオメトリックポリシー）
上記のように、バイオメトリックグループ５０６（図５）は、同じセットのリソースにアクセスする必要のあるユーザを組み合わせる論理的方法である。いくつかのバイオメトリックグループ５０６は重要なので、それに添付されたバイオメトリックポリシー５０４は、１以上のユーザがバイオメトリック１０２（図１）によって認証され、バイオメトリックポリシー５０４に合格することを要求する。このタイプのバイオメトリックポリシー５０４は、マルチユーザバイオメトリックポリシーと呼ばれる。マルチユーザバイオメトリックポリシーは、ユーザのリストを有する。マルチユーザバイオメトリックポリシーが有用である例を次に示す。

第１の例は、バイオメトリックシステム１０２内に存在する種々のデューティ（ｄｕｔｙ）に関する。これらのデューティは、バイオメトリックシステム１０２内の異なる位置の間で委ねられる。異なる位置は、管理者、バイオメトリックポリシーマネージャ、デバイスハードウェア兼ソフトウエアマネージャ、および登録マネージャを含み得る。各位置は、バイオメトリックシステム１０２内の正規の権限を与えられ、その特定の位置の要求されるデューティを行い得るようでなければならない。正規の権限が与えられ得る１つの方法は、位置の各々に対してバイオメトリックグループ５０６を生成することである。認証されたユーザだけがこれらのバイオメトリックグループ５０６に属するようにすることが非常に重要である。認証されないユーザがこれらのバイオメトリックグループ５０６のうちの１つ以上に属するならば、バイオメトリックシステム１０２のセキュリティが損なわれる。本発明のマルチユーザバイオメトリックポリシーは、バイオメトリックシステム１０２が、認証されたユーザのみがこれらのバイオメトリックグループ５０６の１つに属することを確実にするために必要な柔軟性を提供する。

第２の例は、最高のセキュリティを用いて保護される必要のあるネットワークシステム２０２（図２）内のリソース（例えば、コンピュータ、アプリケーション、データなど）に関する。このタイプの状況はまた、ネットワーク化されてない環境において発生し得る。伝統的に、銀行は、金庫を開けるために少なくとも２人が組み合わせの異なる部分を覚えておくことを要求することによって、金庫を保護する。本発明のマルチユーザバイオメトリックポリシーは、最高のセキュリティを必要とするタイプのリソースの保護において、ネットワーク化および非ネットワーク化環境の両方に対して必要な柔軟性を提供する。これは、必要なバイオメトリックグループ５０６を定義し、そしてマルチユーザバイオメトリックポリシーをそのバイオメトリックグループ５０６に添付することによって達成される。

上記のように、マルチユーザバイオメトリックポリシーはユーザのリストを有する。ユーザのリストにおける各ユーザは、自身がバイオメトリックシステム１０２において登録したときにそのユーザに割り当てられた一意的なユーザＩＤ５１０によって表される。マルチユーザバイオメトリックポリシーは、本明細書中に記載のバイオメトリックポリシー５０４のうちのいずれかひとつとして実施され得る。バイオメトリックサーバ１０４がマルチユーザバイオメトリックポリシーを実行する場合、バイオメトリックサーバ１０４はまず、どのユーザＩＤ５１０がユーザのリストにあるかを決定しなければならない。次に、各ユーザＩＤ５１０に対して、バイオメトリックサーバ１０４は、バイオメトリックシステム１０２によって認証されるために特定のユーザが合格しないといけないバイオメトリックポリシー５０４を決定しなければならない。マルチユーザバイオメトリックポリシーはユーザのリストを有するので、１以上のユーザが、バイオメトリックシステム１０２によっていずれの１つのユーザが認証されるよりも前に認証される必要があり得る。

マルチユーザバイオメトリックポリシーがどのように使用されて、企業の社長が最初に認証することなしにいずれのユーザもアクセスし得ない合併情報を保護し得るかを示す例を以下に記載する。合併情報に添付されたバイオメトリックポリシー５０４は、ユーザのリストにおける企業社長のユーザＩＤ５１０とのアンドマルチユーザバイオメトリックポリシーとして定義される。ここで、ユーザのリストにあるユーザだけが合併情報にアクセスを試み得る。いずれのユーザも、バイオメトリックシステム１０２によって認証されるとしても、社長もまたバイオメトリックシステム１０２によって認証されなければ合併情報にアクセスし得ない。

上記の本発明のバイオメトリックポリシー５０４のすべては、ネットワークの生産性を低減することなしに適切なレベルの保護を各ネットワークリソースに適用するための柔軟性を提供する。上記のように、ユーザがバイオメトリックサーバ１０４によって認証される際の方法またはやり方を決定するのは、バイオメトリックポリシー５０４である。バイオメトリックポリシー５０４の可能な論理的変形例のすべてを記載することは不可能であるが、その論理的変形例が無限であることは当業者にとって明らかである。

（Ｆ．バイオメトリックシステムセキュリティインフラストラクチャ）
一般に、システムセキュリティは、コンピュータにおいて格納されたデータおよびシステム内で転送されるデータの両方が読み取られ得ないか、または損なわれ得ないことを確実にするための技術を示す。本発明の発明者らは、バイオメトリックシステム１０２（図１）内でデータを保護することの重要性を認識した。発明者らはまた、既存の企業セキュリティインフラストラクチャに容易に統合されるバイオメトリック１０２の重要性を認識した。

例えば、今日多くのネットワークシステムはファイアウォールを含む。上記のように、ファイアウォールは、ネットワークへまたはネットワークからの認証のないアクセスおよび転送を防止するように設計されたシステムである。ファイアウォールは、ハードウェアおよびソフトウェアの両方において実施され得る。ファイアウォールは、認証のないインターネットユーザが、特にイントラネットなどの、インターネットに接続されたプライベートなネットワークにアクセスすることを防止するために頻繁に使用される。イントラネットへ入るかまたはそこから出るすべてのデータはファイアウォールを通過する。その際、ファイアウォールは、各送信を検査し、そして特定のセキュリティ条件を満たさない送信を遮断する。ファイアウォールは、プライベートな情報を保護する場合の第１の防御線と考えられる。第２の防御線は、データ暗号化である。今日多くの企業ネットワークはデータを保護するために１つ以上のファイアウォールを含むので、本発明は既存のファイアウォールを容易に含むように設計された。

さらに安全を図るために、データを暗号化することができる。データ暗号化は、解読機構なしでは理解不可能である形式へのデータの変換である。暗号化は、データ安全保護を達成するための最も効率的な方法のうちの１つである。暗号化されたファイルを読むためには、それを解読することを可能にする暗証鍵またはパスワードを利用しなければならない。暗号化されていないデータは平文と呼ばれ、暗号化されたデータは暗号文と称される。主に２つのタイプの暗号化：非対称鍵暗号化（公開鍵暗号化とも呼ばれる）、および対称鍵暗号化が存在する。下記で述べるとおり、本発明は、バイオメトリックシステム１０２内のデータを保護するために暗号化を用いる。

本発明の発明者らは、ネットワークシステム２０２（図２）内に、データの安全が維持されなければならない３つの主要なエリアが存在することを認識した。これらは、バイオメトリックサーバ１０４（図１）内に格納された不変データ（ｐｅｒｓｉｓｔｅｎｔ ｄａｔａ）、ネットワーク１１４（図１）上を搬送されるデータ、ネットワークシステム２０２内に格納されたバイオメトリックデバイスソフトウェアを含む。

（１．バイオメトリックサーバ内に格納された不変データ）
図５は、バイオメトリックサーバ１０４（図１）内に格納された不変データの各種収集物を示す。バイオメトリックサーバ１０４は、バイオメトリックテンプレート５０２、バイオメトリックポリシー５０４、バイオメトリックグループ５０６、バイオメトリックデバイスＩＤ５０８、ユーザＩＤ５１０、コンピュータＩＤ５１２、およびアプリケーションＩＤ５１４から成る収集物を格納する。これらのデータの収集物のうちで、バイオメトリックテンプレート５０２は、安全にすることが特に重要である。各バイオメトリックテンプレート５０２は、バイオメトリックデバイスがそのユーザの特定を試みているときに、ユーザの「生きた」バイオメトリック測定値と一致させるために用いられる、ユーザの固有のバイオメトリック測定値を格納する。従って、本発明は周知の暗号化技術を用いて、バイオメトリックサーバ１０４内に格納されたデータを保護する。

（２．ネットワークシステム上を搬送されるデータ）
バイオメトリックシステム１０２内の全てのデータ、およびネットワーク１１４を介して、バイオメトリックシステム１０２へ、およびバイオメトリックシステム１０２から搬送される全てのデータは、安全でなければならない。上述のとおり、バイオメトリックテンプレート５０２は、ユーザバイオメトリックデータを格納するので、安全にすることが特に重要である。上記図８Ａ、図８Ａ−１および８Ｂのフローチャートを参照して説明したとおり、バイオメトリックシステム１０２によりユーザを認証する好適なプロセスは、クライアント側で（すなわち、図２のコンピュータ２０８で）一致しているバイオメトリックテンプレート５０２を示す。バイオメトリックテンプレート５０２がクライアント側で一致するためには、バイオメトリックテンプレート５０２は、ネットワーク１１４を介して、バイオメトリックサーバ１０４からコンピュータ２０８へと搬送されなければならない。バイオメトリックテンプレート５０２の安全保護をさらに確実にするために、本発明は、バイオメトリックテンプレート５０２を、暗号化されたフォーマットで、ネットワーク１１４を介して、常にセッション鍵を用いて搬送する。

（３．バイオメトリックシステムソフトウェア）
全てのネットワークの限界は、管理者が、権限を有さない者が企業内のその管理者とは異なる場所に位置するコンピュータにロードされたソフトウェアを勝手に変更していないかどうかを知ることができないことである。バイオメトリックシステムソフトウェアが勝手に変更された場合、リソース保護管理者に警報を伝えることは重要であるが、他のタイプのソフトウェアがネットワーク内のコンピュータ上で勝手に変更された場合、そのネットワーク管理者に警報が伝えられることも同様に重要である。それゆえ、本発明の発明者らは、ソフトウェアが、ネットワーク内のコンピュータ上で勝手に変更された場合に、ネットワークシステムの管理者に警報を伝える方法が必要であることを認識した。

バイオメトリックシステムソフトウェアを保護するために、本発明は、バイオメトリックデバイスが設置されるネットワークシステム２０２内の各場所（例えば、コンピュータ２０８、登録ステーション１０６、リモート／ウェブコンピュータ２１０、衛星登録ステーション１１２等）に位置するソフトウェア保全オブジェクト（ｓｏｆｔｗａｒｅ ｉｎｔｅｇｒｉｔｙ ｏｂｊｅｃｔ）を組み込む。

本発明のソフトウェア保全オブジェクトは、常に、アクティブであり、そのジョブは、繰り返しチェックすることにより、ソフトウェア保全オブジェクトと同じ場所にロードされた全てのバイオメトリックシステムソフトウェア（すなわち、データファイル）が、勝手に変更されていないことを保証する。これは、多くの方法により行うことができる。１つの方法は、ソフトウェア保全オブジェクトが、各バイオメトリックシステムソフトウェアファイルごとに、ファイルの日付、ファイルサイズ、およびファイルの合計バイト数を計算することである。また、マスク値（ｍａｓｋ ｖａｌｕｅ）および初期マスク値（ｓｔａｒｔｉｎｇ ｍａｓｋ ｖａｌｕｅ）も用いられる。次いで、ソフトウェア保全オブジェクトが以下の等式（またはソフトウェア保全を確実にするための同様の等式／公式）を実行する：

この等式は、保護されるべきファイルが、まず、ある場所にロードされると、まず、実行される。この等式の第１の結果が、安全な環境に格納される。次いで、同じ等式が、同じソフトウェアで、繰り返し計算される。次いで、この結果が、その安全な環境に格納された第１の結果と比較される。この２つが一致しない場合、ソフトウェア保全オブジェクトは、そのソフトウェアを含むファイルが勝手に変更された可能性があることを認識し、管理者に警報を送信する。ソフトウェア保全オブジェクトは、バイオメトリックシステムソフトウェアを保護することに限定されない。ソフトウェア保全オブジェクトは、ネットワークシステム２０２（図２）内の全てのソフトウェア（例えば、ファイル）を保護するために用いることができる。

（Ｇ．バイオメトリックデバイスおよびネットワーク環境内の移動度）
本発明の発明者らは、バイオメトリックデバイスがバイオメトリックシステム１０２（図１）を備えていないネットワーク環境で用いられた場合に直面する限界を認識した。上述のとおり、バイオメトリックデバイスがユーザを認証するために、ユーザのバイオメトリックテンプレートへのアクセスを有さなければならない。本発明は、ユーザが任意の場所（例えば、コンピュータ２０８、登録ステーション１０６、リモート／ウェブコンピュータ２１０、衛星登録ステーション１１２等）からネットワークシステム２０２にアクセスすることができるように、全てのユーザバイオメトリックテンプレート５０２への容易なアクセスのための構成を提供する。この構成は、全てのバイオメトリックテンプレート５０２を中央の場所に格納することを伴う。この中央の場所は、上述のバイオメトリックサーバ１０４（図１）である。これで、ネットワーク１１４を介して、ユーザは、ネットワークシステム２０２内の任意の場所から、そのユーザのバイオメトリックテンプレート５０２にアクセスすることができる。また、ネットワークシステム２０２内の各場所は、どこで全てのバイオメトリックテンプレート５０２を確認すべきかを正確に分かっている。

全てのバイオメトリックテンプレート５０２を１つの中央の場所に格納することは、ネットワーク１１４がＬＡＮである場合に効率的である。ネットワーク１１４がＷＡＮである場合、効率性の問題が生じる。上述のとおり、ＷＡＮは、遠くに離れており、かつデータ伝送線または電波により接続される（例えば、複数のオフィスおよび地理的に離れた場所の）コンピュータを接続する。例えば、ある企業がその国中に複数のオフィスを有しており、全てのユーザが、認証のために、バイオメトリックテンプレート５０２へのアクセスを得るために、１つのバイオメトリックサーバ１０４にアクセスする場合、企業リソースの認証を遅らせる可能性がある。全てのバイオメトリックテンプレート５０２が１つのバイオメトリックサーバ１０４内に格納される場合に起こるこの効率性の問題を避けるために、複数のバイオメトリックシステム１０２を、ネットワークシステム２０２内の様々な場所に配置することができる。しかし、ここでまた、どこで必要なバイオメトリックテンプレート５０２を確認すべきか正確に分からないというネットワークシステム２０２内の場所（例えば、コンピュータ２０８、登録ステーション１０６、リモート／ウェブコンピュータ２１０、衛星登録ステーション１１２等）の問題が再び起こる。

本発明の発明者らは、２つの異なる方法によりこの問題を解決した。第１の方法は、ネットワークシステム２０２内のバイオメトリックテンプレート５０２を階層構造で格納することを伴う。第２の方法は、ネットワークシステム２０２内のバイオメトリックテンプレート５０２の位置確認のために階層ディレクトリにアクセスすることを伴う。

（１．バイオメトリックテンプレートの階層型記憶装置）
図２８は、複数のバイオメトリックシステム１０２を含むＷＡＮによって接続された企業２８００を示す。図２８における四角はそれぞれ、企業２８００内の異なるオフィス（つまりロケーション）を示す。各オフィス（つまり四角）は、それ自身のＬＡＮおよびバイオメトリックシステム１０２を有する。企業２８００内のオフィスは、ＷＡＮによって接続される。

図２８は、階層構造となるように論理的に構成された、企業２８００を示す。オフィス２８０２は、共同オフィスであり、階層構造の最上位に配置される。ブロック２８１８およびブロック２８２０は、企業２８００内のオフィスの論理グルーピングを示す。図２８に示すように、ブロック２８１８は、オフィス２８０４、オフィス２８０６およびオフィス２８０８を含む。ブロック２８２０は、オフィス２８１０、オフィス２８１２，オフィス２８１４およびオフィス２８１６を含む。

オフィスの論理グルーピングを決定する手段は、多数の要因を含み得る。いくつかの要因は、頻繁に移動が行われるオフィス、管理者を雇わないオフィスを管理者を雇うオフィスと共にグルーピングすること、さまざまなオフィス間のＷＡＮ接続の妥当性等を含み得る。

各オフィスはそれ自身のバイオメトリックシステム１０２を有するので、このことは、個々のユーザが、各バイオメトリックシステム１０２において登録し、企業２８００内のどこに移動しても認証される必要があることを、どのようにして避け得るかという問題を提示する。１つの解決方法は、各オフィスにおけるバイオメトリックサーバ内に格納された企業２８００内全てのユーザバイオメトリックテンプレート５０２のバックアップコピーを有することである。いくつかの理由で、この解決方法は望ましくない。図１を参照して説明したように、代替バイオメトリックサーバ１１０は、バイオメトリックサーバ１０４に対するバックアップサーバであり、全く同じデータを格納する。したがって、各オフィスのバイオメトリックサーバ１０４および代替バイオメトリックサーバ１１０の両方において、企業２８００内の全てのバイオメトリックテンプレート５０２の完全なコピーを維持するには、費用が高くなりやすい。この解決方法が望ましくない別の理由は、さまざまなロケーションにおける、同じバイオメトリックテンプレート５０２のさまざまなコピーの管理である。ユーザが（上述のように）バイオメトリックテンプレート５０２をリフレッシュする場合、企業２８００内の古いバイオメトリックテンプレート５０２の各コピーは、置換されねばならない。このことにより、同じバイオメトリックテンプレート５０２が異なるバージョンを企業２８００内に有し得る可能性が高くなる。

本発明の発明者らは、バイオメトリックテンプレートを企業２８００内に階層的に格納するスキームを考え出した。企業２８００内において、全てのバイオメトリックテンプレート５０２が、共同オフィス２８０２に格納される。その後、個々のオフィスにおけるバイオメトリックテンプレート５０２の追加的格納は、そのオフィスが内部に存在する論理ブロック（例えば、ブロック２８１８またはブロック２８２０のいずれか）に依存する。

手順は以下の通り。まず、企業２８００内の各オフィスが、そのオフィスにおけるバイオメトリックシステム１０２に加入した各ユーザについてのバイオメトリックテンプレート５０２を格納する。その後、各論理ブロックにおいて、階層構造の最下位に位置するオフィスで始まる。例えば、ブロック２８１８において、オフィス２８０６およびオフィス２８０８で始まる。オフィス２８０６およびオフィス２８０８は、これらのオフィスのバイオメトリックシステム１０２に加入したユーザについてのバイオメトリックテンプレート５０２のみを格納する。その後、オフィス２８０４までの階層構造に続いて、オフィス２８０４は、オフィス２８０４において加入したユーザについてのバイオメトリックテンプレート５０２ならびにオフィス２８０６およびオフィス２８０８に格納されたバイオメトリックテンプレート５０２の全てのコピーを格納する。この手順は、階層構造の最上位(つまり共同オフィス２８０２)に到達するまで繰り返される。

したがって、上記の階層構造で、最も遠くにあるいずれかのオフィスで、ユーザのバイオメトリックテンプレートを取りに行く必要があるのは、共同オフィス２８０２である。例えば、ユーザＡがオフィス２８１２において加入したとする。これは、ユーザＡのバイオメトリックテンプレート５０２が、オフィス２８１２、オフィス２８１０、および共同オフィス２８０２に格納されることを意味する。ユーザＡがオフィス２８０６に移動する場合、オフィス２８０６は、階層構造をたどって共同オフィス２８０２へと行き、ユーザＡのバイオメトリックテンプレート５０２のコピーを得る必要がある。このスキームによって、企業内のいずれのオフィスからのバイオメトリックシステム１０２によっても認証されるという柔軟性を各ユーザに提供しつつ、企業２８００内のバイオメトリックテンプレート５０２が、最小数のロケーションに格納されることが可能になる。

企業２８００の階層構造は、容易なアクセスを提供するだけでなく、企業２８００内のバイオメトリックテンプレート５０２をバックアップする手段も提供する。

（２．バイオメトリックテンプレートを配置する階層型ディレクトリ）
第２の方法は、企業２８００（図２８）内にバイオメトリックテンプレート５０２を配置する階層型ディレクトリのアクセシングを含む。上で説明したように、階層型ディレクトリの一例が、Ｘ．５００ディレクトリである。Ｘ．５００ディレクトリは、国、州、および都市等の情報の各カテゴリーについての異なるレベルでの階層をなす。したがって、バイオメトリックテンプレート５０２を格納する、上で説明したのと同じスキームを、Ｘ．５００ディレクトリを格納するために使用し得る。Ｘ．５００ディレクトリは、ユーザバイオメトリックテンプレ
ート５０２が格納されたオフィスへのポインタを含む。

（Ｈ．他のアプリケーション）
図３を参照して説明したように、コンピュータは、典型的なデスクトップコンピュータにとどまらない。例えば、コンピュータを含む自動車およびＡＴＭ機、コンピュータを含む家庭およびオフィスの物理的セキュリティシステム等々の例が挙げられる。したがって、本発明は、上で説明したネットワーク化された環境におけるリソースの保護のみに限定されない。以下に、本発明を適用したさまざまなアプリケーションのいくつかを示す。

（１．デジタル証明書）
本発明の発明者らは、ネットワーク化された環境において、バイオメトリックシステム１０２（図１）が無い状態でデジタル証明書を使用した場合に突き当たる限界に気付いた。概して、デジタル証明書は、ユーザの特権を規定する。より詳細には、デジタル証明書は電子メッセージに付属し、セキュリティを目的として使用される。デジタル証明書の最も一般的な使用は、メッセージを送信しているユーザが、そのユーザが主張している人物であることをベリファイすること、および、返答をエンコードする手段を受信者に提供することである。

個々の人間による暗号化されたメッセージを送りたいとの希望は、認証局（ＣＡ）からのデジタル証明に適用される。ＣＡは、希望者（ａｐｐｌｉｃａｎｔ）の公開鍵、秘密鍵および他の様々な識別情報を含む暗号化されたデジタル証明を発行する。希望者の公開鍵は、ＣＡにより署名される。ＣＡは、自身の固有の公開鍵を、印刷による公開を通じてまたは恐らくはインターネット上で、容易に利用可能にする。

暗号化されたメッセージの受取人は、ＣＡの公開鍵を用いて、メッセージに添付されているデジタル証明を復号し、そのメッセージがＣＡによって発行されたものであることを確認し、次いで、送信者の公開鍵を入手して、証明中に保持されている情報を識別する。この情報を用いて、受取人は、暗号化された返信を送ることができる。今日、ユーザは、デジタル証明へのアクセスを得る際、デバイスにパスワードを送るか、またはトークンあるいはスマートカードを用いるか、またはこれらの任意の組み合わせを用いなければならない。各ユーザのデジタル証明はネットワーク内の１つのコンピュータに格納されるため、デジタル証明は、１つのコンピュータに束縛される。そのため、ユーザは、ネットワークへのアクセスを得ようとする際、別のコンピュータに行くことができない。

本発明の発明者らは、ユーザが自分のデジタル証明へのアクセスを得る前にユーザに適切に認証を与える方法によって、上述したように、認証の際に、人為的要因が原因で発生する脆弱なリンクを無効にすることが必要であると認識した。さらに、本発明の発明者らは、ユーザが企業内の任意のロケーションから必要なリソースへのアクセスを得ることができるように、全てのユーザのデジタル証明へのアクセスを容易化するスキームが必要とされることを認識した。従って、本発明は、ユーザがデジタル証明へのアクセスを得ようとする際にバイオメトリックデバイスを用いてユーザを認識することにより、人為的要因が原因で発生する脆弱なリンクを無効にすることを要求する。

全ユーザのデジタル証明へのアクセスを容易化して、ユーザが企業内の任意のロケーションから自分のデジタル証明へのアクセスを得ることを可能にするこのスキームは、図２８を参照して上述したようなスキームおよびバイオメトリックテンプレート５０２の格納スキームと同じスキームである。企業２８００において、全デジタル証明を、法人オフィス２８０２に格納する。次いで、オフィスを内部に含む論理ブロック（例えば、ブロック２８１８またはブロック２８２０のいずれか）に応じて、個々のオフィスにさらにデジタル証明を格納する。

このプロシージャは、以下のようになる。第１に、企業２８００内の各オフィスは、当該オフィスにおいてデジタル証明が発行された各ユーザについて、デジタル証明を格納する。次いで、各論理ブロックにおいて、オフィスの階層構造の最下位から始める。例えば、ブロック２８１８において、オフィス２８０６およびオフィス２８０８から始める。オフィス２８０６およびオフィス２８０８は、自身においてデジタル証明が発行されたユーザのみについて、デジタル証明を格納する。次いで、階層構造の上位部にあるオフィス２８０４へと進み、オフィス２８０４は、オフィス２８０４においてデジタル証明が発行されたユーザについてデジタル証明を格納し、また、オフィス２８０６およびオフィス２８０８において格納されたデジタル証明全てのコピーも格納する。このプロシージャを、階層構造の頂点（すなわち、法人オフィス２８０２）に到達するまで繰り返す。

従って、上記の階層構造を用いる場合、ユーザのデジタル証明を入手しなければならない最端部にある任意のオフィスは、法人オフィス２８０２となる。例えば、オフィス２８１２においてユーザＡに証明が発行されたと仮定すると、これは、ユーザＡのデジタル証明が、オフィス２８１２、オフィス２８１０および法人オフィス２８０２に格納されることを意味する。ユーザＡがオフィス２８０６に移動した場合、オフィス２８０６は、階層構造を法人オフィス２８０２まで上方にたどって、ユーザＡのデジタル証明のコピーを取り出さなくてはならない。一旦、ユーザが自身のデジタル証明を終了したことが決定されると、そのデジタル証明は、次回にユーザが自身のデジタル証明へのアクセスをリクエストした場合に再度取り出されなくてはならない。

企業２８００の階層構造は、アクセス容易性を提供するだけでなく、企業２８００内のデジタル証明をバックアップする手段も提供する。

上述したような、階層ディレクトリを用いて企業２８００（図２８）内のバイオメトリックテンプレート５０２を発見する様式は、デジタル証明とも良好に機能する。Ｘ．５００ディレクトリは、ユーザデジタル証明が格納されているオフィスに対するポインタを含む。

（２．ローミングプロフィールサーバ）
公開鍵を用いて、メッセージに添付されているデジタル証明を復号するという考え方を、上記にて紹介した。暗号システムの中には２種類の鍵（すなわち、全ての人に知らされる公開鍵と、メッセージの受取人のみに知らされるプライベート鍵または秘密鍵）を用いるシステムもある。例えば、ユーザＡがセキュアなメッセージをユーザＢに送りたいと望む場合、ユーザＡは、ユーザＢの公開鍵を用いてメッセージを暗号化する。次いで、ユーザＢは、自身の秘密鍵を用いてそのメッセージを復号する。

公開鍵システムにとって重要な要素は、公開鍵のみをメッセージの暗号化用として用いることができるようにし、かつ、対応する秘密鍵のみをメッセージの復号化用として用いることができるようにするような様式で、公開鍵と秘密鍵とを関連付けることである。その上、公開鍵が分かっている場合、秘密鍵を推論することは実質的に不可能である。しかし、ユーザの秘密鍵を秘密に保持しておくことを確実にすることは重要である。特に、ユーザの秘密鍵は、一意的な暗号化されたユーザプロフィール中に収容される。そのため、ユーザを、適切に認証した後で、ユーザがユーザの秘密鍵にアクセスすることを可能にする（すなわち、ユーザのプロフィールを復号する）ことが必要である。

公開鍵の基礎構造を提供する公開鍵システムがある。このような公開鍵システムの一例として、Ｅｎｔｒｕｓｔ／ＰＫＩ^TMがある。公開鍵の基礎構造は、公開鍵の暗号化およびデジタル署名サービスを提供する包括的システムである。公開鍵の基礎構造の目的は、公開鍵およびデジタル証明を管理することである。企業は、公開鍵の基礎構造を通じて鍵およびデジタル証明を管理することにより、信頼に足るネットワーク環境を構築および維持する。公開鍵の基礎構造は、暗号化サービスおよびデジタル署名サービスの利用を広範囲のアプリケーションにわたって可能にする。

公開鍵システムはまた、ユーザプロフィールも管理しなければならない。各プロフィールは、ユーザの秘密鍵を含む。上述したように、ユーザの認証を行った後で、ユーザが自身のプロフィールにアクセスすることを許可することが重要である。公開鍵システムは、ユーザの認証を２つの様式のうち１つで可能にする。第１の様式は、公開鍵システム自身によって供給されるパスワードデバイスを通じて行う。上述したように、パスワードデバイスは、認証の際に、人為的要因が原因で発生する脆弱なリンクを無効にすることができないため、識別機構として不適切である。

公開鍵システムがユーザの認証を可能にする第２の様式は、識別デバイスインターフェースを通じて行う。この識別デバイスインターフェースは、識別デバイスのサードパーティベンダーが識別デバイスインターフェースとインターフェースをとる同一性デバイスモジュールを作成することを可能にする。このようにして、サードパーティベンダーは、ユーザの認証を行った後で、ユーザが公開鍵システム内のユーザプロフィールにアクセスすることを可能にする。

バイオメトリックデバイスおよび非バイオメトリックデバイス双方の様々なサードパーティベンダーが、公開鍵システム内でのユーザ認証を容易化できるよう、自社デバイス用の同一性デバイスモジュールを作成してきた。非バイオメトリックデバイス（例えば、パスワード、スマートカードおよびトークン）は、認証の際、人為的要因が原因で発生する脆弱なリンクを無効にすることができないため、識別機構として不適切である。また、バイオメトリックデバイスは、認証の際、人為的要因が原因で発生する脆弱なリンクを無効にしてユーザ認証を確実に行う。１つのバイオメトリックデバイスは、ユーザを確実に認証することができるが、本発明の発明者らは、バイオメトリックシステム１０２（図１）を用いて、ユーザ認証に柔軟性およびさらなるセキュリティを提供した後で、ユーザが公開鍵システム内のプロフィールにアクセスすることを許可することが可能であることを認識した。バイオメトリックシステム１０２によって提供されるこの柔軟性およびさらなるセキュリティは、複数のバイオメトリックデバイスを個々のユーザの認証用として用いる能力である。加えて、本発明の発明者らは、全プロフィールへのアクセスを容易化することにより、ユーザが企業内の任意のロケーションからユーザのプロフィールへのアクセスを得ることができるスキームが必要とされていることも認識した。

図２９は、本発明のバイオメトリックシステム１０２を公開鍵システムと統合し得る様式を示すブロック図である。図２９は、公開鍵システムエンジン２９０２と、識別デバイスインターフェース２９０４と、公開鍵システムマネージャおよびディレクトリ２９０６と、バイオメトリック同定デバイスモジュール２９０８と、バイオメトリックサーバ１０４（図１）およびプロフィールサーバ２９１０とを含む。公開鍵システムエンジン２９０２と、識別デバイスインターフェース２９０４および公開鍵システムマネージャとディレクトリ２９０６とは、本発明の構成部分ではなく、一般公開鍵システムの一部である。バイオメトリック身元デバイスモジュール２９０８、バイオメトリックサーバ１０４（図１）およびプロフィールサーバ２９１０は、本発明の構成部分である。

公開鍵システムエンジン２９０２は、公開鍵システムの様々な機能を行う。公開鍵システムエンジン２９０２は、暗号化署名およびデジタル署名の使用を提供する様々なアプリケーション（例えば、ｅメール、ブラウザ等）と相互作用する。識別デバイスインターフェース２９０４は、識別デバイスのサードパーティベンダーが識別デバイスインターフェース２９０４とインターフェースをとる同一性デバイスモジュールを作成することを可能にする。バイオメトリック身元デバイスモジュール２９０８は、識別デバイスインターフェース２９０４とインターフェースをとる同一性デバイスモジュールの１つである。バイオメトリック身元デバイスモジュール２９０８は、上述したような本発明のオープンインターフェースと同様の機能を行う。

公開鍵システムマネージャおよびディレクトリ２９０６は、公開鍵の格納および管理を行う。バイオメトリックサーバ１０４は、上述したのと全く同様に動作する。最後に、プロフィールサーバ２９１０は、ユーザのプロフィールの全てを公開鍵システム中に格納する。プロフィールサーバ２９１０は、バイオメトリックサーバ１０４に取り付けられ、公開鍵システム用のローミングプロフィールサーバとして機能する。

バイオメトリック身元デバイスモジュール２９０８は、識別デバイスインターフェース２９０４と協働して、プロフィールサーバ２９１０から所望のプロフィールを提供する。しかし、所望のプロフィールを提供する前に、バイオメトリック身元デバイスモジュール２９０８およびバイオメトリックサーバ１０４は、協働してユーザの認証を行う。バイオメトリック身元デバイスモジュール２９０８とバイオメトリックサーバ１０４との間でトランスポートされる全データは、暗号化される。このデータは、プロフィールおよびバイオメトリックテンプレート５０２（図５）を含む。

バイオメトリックシステム１０２（図１）を公開鍵システムに取り入れると、上述した制約を無くすのに有用である。バイオメトリックシステム１０２は、ユーザが自身のプロフィールへのアクセスを得ようとしている環境に対して適性なバイオメトリック測定を用い、企業内でのユーザの易動性を増加させ、ユーザをバイオメトリックシステム１０２中にリモートに登録および再登録し、リモートのコンピュータにロードされたソフトウェアの保全性を確実にするような柔軟性を提供する。

（３．電話認証および認可証明）
電話を、音声認識デバイスとしてインプリメントすることが可能である。したがって、バイオメトリックシステム１０２（図１）を用いて、従業員が企業内の様々な電話にアクセスすることを認証することが可能である。また、バイオメトリックシステム１０２を用いて、特定の電話通話を行う各従業員に対して認可証明を適用することも可能である。電話での認証および認可証明の場合、バイオメトリックグループ５０６（図５）の定義付けを、特定のバイオメトリックグループ５０６中の従業員に対して、特定の種類の電話通話（例えば、地域内通話、長距離通話、８００回分の通話、９００回分の通話等）を行い、かつ／または、企業内の特定の電話へアクセスすることのみについて許可を与えるように、行うことが可能である。

バイオメトリックシステム１０２（図１）を電話による認証および認可証明に取り入れると、上述した制約の一部を無くすために有用である。バイオメトリックシステム１０２は、電話を音声認識デバイスとして用い、従業員の企業内での易動性を増加させ、各種の電話通話を保護するために必要なレベルの認証を適用し、顧客をバイオメトリックシステム１０２にリモートに登録および再登録するような柔軟性を提供する。

（４．アクセス／設備制御）
現在の物理的アクセス／設備制御システムでは、ユーザは、システムをアクティブ化および／または非アクティブ化する際、パスワードを入力しなければならない。上述したように、識別機構用のバイオメトリックデバイスは、人為的要因が原因で発生する脆弱なリンクを無効にする。バイオメトリックデバイスは、入場する際に認証を要求する企業内の各物理的ロケーションのエントリに取り付けることが可能である。これにより、バイオメトリックシステム１０２（図１）を用いて、上述したような保護および効果的管理に柔軟性を提供することが可能である。

バイオメトリックグループ５０６（図５）の定義付けを、特定のバイオメトリックグループ５０６内のユーザに対して企業内の特定の物理的ロケーションへのアクセスのみを許可するように、行うことが可能である。ロケーションへの物理的アクセスを有する企業が有する問題の１つとして、認証を受けた１人の人間が、認証を受けていない複数の人間がそのロケーションに入ることを可能にし得る点がある。ここで、顔面画像デバイスを用いてロケーションを連続的に走査して、認証を受けていない者がいるか否かを判定することができる。顔面画像デバイスが認証を受けていない者が存在すると判定した場合、バイオメトリックシステム１０２は管理者に警告を出すことができる。

バイオメトリックシステム１０２（図１）を物理的アクセス／設備制御システムに取り入れると、上述したような制約を無くすために有用である。バイオメトリックシステム１０２は、エントリがロードされている環境に対して適性なバイオメトリック測定を用い、ユーザの企業内での易動性を増加させ、各種の物理的ロケーションを保護するために必要なレベルの認証を適用し、ユーザをバイオメトリックシステム１０２にリモートに登録および再登録し、リモートのエントリにロードされたソフトウェアの完全性を確実にするような柔軟性を提供する。

（５．バンキングおよび金融）
今日、かつてないほど、銀行業界および金融業界において適切な認証機構が必要とされている。かつては２人の人間の間での対話を必要としていたトランザクションが、今やＡＴＭ機器または自動化された電話システムを介して行なわれるよう奨励されている。現在、トランザクションは、顧客が正確な個人識別番号を入力することにより、承認を受ける。人間対機器のトランザクションの種類が増加するにつれて、各ユーザが記憶しておかなければならない個人識別番号の数も増加する。その結果、顧客は、自身の個人識別番号を書き留めておくことかつ／または多くの異なる種類のトランザクションに対して同一の個人識別番号を用いることいずれかを行う。個人識別番号が書き留められた場合、他人がその個人識別番号を見て、その個人識別番号を用いてトランザクションに対して未認証のアクセスを得る可能性が増加する。

バイオメトリックシステム１０２（図１）を現在のバンキングトランザクションシステムおよび金融トランザクションシステム（例えば、ＡＴＭ機器）に取り入れると、上述した制約全てが無くなる。バイオメトリックシステム１０２は、ＡＴＭ機器が配置されている環境に対して適性なバイオメトリック測定を用い、顧客の易動性を増加させ、各トランザクションを保護するのに必要なレベルの認証を適用し、顧客をバイオメトリックシステム１０２にリモートに登録および再登録し、リモートのＡＴＭ機器にロードされたソフトウェアの完全性を確実にするような柔軟性を提供する。

（６．サイレント信号）
サイレント信号は、バイオメトリックデバイスの利用を通じて、サイレントな信号送信を補助として用いる様式である。サイレント信号は特に、アクセス／設備制御ならびにバンキング業界および金融業界に適用可能である。本発明のこの機能は、ユーザが通常の条件下において通常の（すなわち、予期される）バイオメトリック測定値を入力するか、または非常時の条件下においてアラームバイオメトリック測定値を入力することを可能にする。サイレント信号を取り入れたものの一例として、指紋デバイスがある。指紋デバイスをＡＴＭ機器における認証用として用いる場合を考えてみる。この場合において、例えば、強盗発生時に左手の人差し指がＡＴＭ機器への認証対象として用いられた場合に、バイオメトリックシステム１０２（図１）のバイオメトリックポリシー５０４（図５）をサイレント信号を警察に送るような構成にすることが可能である。別の場合では、通常のトランザクション用として右手の人差し指が用いられ、警察に信号を送る必要は無い。同様のシナリオが、アクセス／設備制御に当てはまる。

サイレント信号を取り入れたものの別の例として、音声認識デバイスがある。ここで、特定のフレイズが認証対象として物理的ロケーションまたはＡＴＭ機器のいずれかにおいて用いられた場合、警察にサイレント信号が送られる。加えて、上述したバイオメトリックデバイスのいずれも、本発明のサイレント信号をインプリメントするために用いることが可能であることが当業者にとって明らかであるべきである。

（Ｉ．結論）
本発明の様々な実施形態について説明してきたが、これらの実施形態は例示目的のために示したのであって限定的なものではない点が理解されるべきである。本明細書中、形態および詳細について、本発明の意図および範囲を逸脱することなく様々な変更が為され得ることは、関連分野の当業者にとって明白である。これは、後に開発が進み得る関連分野（単数または複数）における技術および用語を鑑みれば、特に当てはまる。従って、本発明は、上記の例示的実施形態のいずれによっても限定されるべきではなく、特許請求の範囲およびその均等物のみによって規定されるべきである。

Claims (2)

1. 複数のロケーションを有する企業を網羅する階層構造にバイオメトリックテンプレートを格納する方法であって、
   法人ロケーションを判定する工程と、
   該法人ロケーションにいるユーザのグループと関連付けられた該バイオメトリックテンプレートの全てを格納する工程と、
   残りのロケーションの全てを複数の論理グループに分割する工程であって、各論理グループは、該ユーザのグループの一部と関連付けられる、工程と、
   該論理グループの各々における最上位ロケーションを選択する工程と、
   各論理グループについて、該ユーザの一部と関連付けられた該バイオメトリックテンプレートの全てを該最上位ロケーションに格納する工程と、
   該論理グループの各々について、該ユーザの一部のさらなる一部と関連付けられた該バイオメトリックテンプレートの全てを最下位ロケーションに格納する工程と
   を包含する、方法。
2. 複数のロケーションを有する企業を網羅する階層構造中にデジタル証明を格納する方法であって、
   法人ロケーションを判定する工程と、
   該法人ロケーションにいるユーザのグループと関連付けられたデジタル証明の全てを格納する工程と、
   残りのロケーションの全てを複数の論理グループに分割する工程であって、各論理グループは、該ユーザのグループの一部と関連付けられる、工程と、
   該論理グループの各々における最上位ロケーションを選択する工程と、
   各論理グループについて、該ユーザの一部と関連付けられた該デジタル証明の全てを該最上位ロケーションに格納する工程と、
   該論理グループの各々について、該ユーザの一部のさらなる一部と関連付けられた該デジタル証明の全てを最下位ロケーションに格納する工程と
   を包含する、方法。

Images