JP2019148930A - 二次元コード、二次元コード出力システム、二次元コード出力方法、二次元コード読取システム、二次元コード読取方法及びプログラム - Google Patents

Abstract

【課題】 二次元コードにより記述された情報に対する不正を、高い信頼性を保ちつつ簡便なシステムにより検出できる環境を提供する。【解決手段】 第１規格に従って有効な情報である出力データ３１０をコードする第１コード記号と、上記第１規格に従って有効な情報の終端を示す終端パターン３２０と、上記第１規格に従って有効な情報を配置可能な領域内で終端パターン３２０よりも後ろに配置され、上記第１規格と異なる第２規格に従って、上記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている署名データ（非出力データ３３０に含まれる）をコードする第２コード記号とを含む二次元コードを提供する。【選択図】 図１

Description

この発明は、情報をコード記号により表した二次元コード、二次元コードを出力するための二次元コード出力システム及び二次元コード出力方法、二次元コードを読み取るための二次元コード読取システム及び二次元コード読取方法、および、１のコンピュータに、あるいは複数のコンピュータを協働させて、上記の二次元コード出力方法又は二次元コード読取方法を実行させるためのプログラムに関する。

従来から、種々の情報をコード記号により表現した、図１３に示すような二次元コードが知られている。この二次元コードは、二値のビット列を光反射率の異なる白モジュールと黒モジュールの配列により表現したものであり、そのビット列は、例えば図１４に示す形式で情報を表現するものである。

図１４に示すビット列（符号化データ）５００は、出力データ５１０、終端パターン５２０、埋め草データ５３０、誤り訂正データ５４０を含む。
これらのうち出力データ５１０は、二次元コードの読取結果として出力される有効な情報であり、複数のセグメントを備える。各セグメントは、二次元コードの規格において定義され、セグメントのモード（当該セグメントに記述されるデータの種類及びフォーマット）を指定する指示子と、セグメントのデータ本体を含む。

図１５に、二次元コードにおいて使用されるモードの種類の例を示す。図１５に示すように、モードにはデータが固定長のものと可変長のものがあり、可変長のモードにおいては、図１６に示すように、セグメント内にデータ長を示すデータも含まれる。データなしのセグメントは、指示子のみからなる。

終端パターン５２０は、有効な情報の終端を示すビット列であり、この終端パターン５２０よりも後ろのデータは、二次元コードの読取結果として出力されない。
埋め草データ５３０は、余分なスペースを埋めるための無効なデータとして、二次元コードの規格において定義されたパターンである。図１４の例では、埋め草データ５３０は、０付加部の後ろに「11101100」「00010001」の繰り返し部を設けたパターンである。二次元コードに変換するためのビット列は、規格によって定められた特定の長さである必要があるため、出力データ５１０が短い場合には、余分なスペースを埋める必要がある。

誤り訂正データ５４０は、リードソロモン符号等の、二次元コード読取時の誤り訂正に用いるデータである。
ビット列５００においては、誤り訂正データ５４０以外の領域全てに有効な情報を配置可能であるが、図１４の例では出力データ５１０の量がその領域のサイズより小さいため、終端パターン５２０を配置した上で残りを埋め草データ５３０で埋めている。

また、特許文献１には、二次元コードのコード仕様でコード化された暗号化データの解読に用いる鍵データを、その暗号化データ及び誤り訂正データの少なくとも一方に上書きした構成で重複して記録した二次元コードが開示されている。

特許文献２には、所定の情報に加え、当該情報に関する不正を検知するため検知用情報をコード化した二次元コードを用い、その読取時に、読取装置が、二次元コードをデコード化して得られる検知用情報を不正検知装置に送信し、不正検知装置がその検知用情報を予め登録された情報と照合することにより、二次元コードにコード化された情報に不正があるか否かを検知して、その結果を読取装置に報知する技術が開示されている。

特許第５０２３９４９号公報 特許第６０２００８９号公報

特許文献２に記載の技術によれば、二次元コードの読取時に、検知用情報を用いて、二次元コードにコード化された情報に改竄等の不正が行われていないかを検知することができる。しかしながら、この検知のためには、二次元コードの読取装置の他に不正検知装置が必要であり、システムが大がかりになってコストや管理の負担が大きくなるという問題があった。
また、不正を確実に検知するためには、検知用情報が偽造されることを防止しなければならないが、そのためには、検知用情報を長くすることが効果的である。一方で、検知用情報そのものは、一般のユーザに見せるべき情報ではないため、一般のユーザに見せるべき情報とは区別して記述できることが望ましい。

この点について、特許文献１に記載の手法によれば、ある二次元コードの読取時に出力すべきデータ以外のデータを、視覚的に認識しづらい形で同じ二次元コード内に記述することができる（特許文献１の段落００３９参照）。
しかしながら、特許文献１の方式では、暗号化データや誤り訂正データの一部に他のデータを重複して記録するため、十分な誤り訂正能力を維持することを考えると、重複して記録可能なデータ量に制約が大きいという問題があった。

この発明は、このような問題を解決し、二次元コードにより記述された情報に対する不正を、高い信頼性を保ちつつ簡便なシステムにより検出できる環境を提供することを目的とする。

以上の目的を達成するため、本発明の二次元コードは、第１規格に従って有効な情報をコードする第１コード記号と、上記第１規格に従って有効な情報の終端を示す終端パターンと、上記第１規格に従って有効な情報を配置可能な領域内で上記終端パターンよりも後ろに配置され、上記第１規格と異なる第２規格に従って、上記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている検証用データをコードする第２コード記号とを含むものである。

また、この発明の二次元コード出力システムは、入力手段により第１情報の入力を受け付ける手段と、第１規格に従って上記第１情報を有効な情報としてコードする第１コード記号と、上記第１規格に従って有効な情報の終端を示す終端パターンと、上記第１規格に従って有効な情報を配置可能な領域内で上記終端パターンよりも後ろに配置され、上記第１規格と異なる第２規格に従って、上記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている検証用データをコードする第２コード記号とを含む二次元コードを出力する出力手段とを備えるものである。

これらの二次元コード及び二次元コード出力システムにおいて、上記第２コード記号が、上記第２規格に従って、上記秘密鍵と対応する公開鍵の識別情報をコードするコード記号を含むとよい。
また、上記の二次元コード出力システムにおいて、入力手段により作成者の情報の入力を受け付ける手段と、所定の取得先から、上記作成者の情報と対応する秘密鍵を取得する取得手段とを設け、上記検証用データを、上記取得手段が取得した秘密鍵を用いて暗号化されたデータとするとよい。
また、上記の二次元コード及び二次元コード出力システムにおいて、上記二次元コードが、上記第１コード記号及び上記第２コード記号の誤りを訂正するための、上記第１規格に従った誤り訂正データをコードする第３コード記号を含むとよい。

また、この発明の二次元コード読取システムは、読取手段により二次元コードを読み取って、有効な情報の終端を示す終端パターンの規定を含む第１規格に従ってデコードするデコード手段と、上記デコード手段によるデコード結果のうち上記第１規格に従った有効な情報を第１情報として取得する第１取得手段と、上記デコード手段によるデコード結果のうち上記終端パターンより後ろの情報を、上記第１規格と異なる第２規格に従って解析し、検証用データを取得する第２取得手段と、所定の取得先から公開鍵を取得する公開鍵取得手段と、その取得した公開鍵を用いて上記検証用データを復号化し、上記第１情報と対比して、上記第１情報の正当性を検証する検証手段と、上記第１情報を、上記検証手段による検証結果を示す情報と共に出力する出力手段とを設けたものである。

このような二次元コード読取システムにおいて、上記第２取得手段は、上記終端パターンより後ろの情報の、上記第２規格に従った解析結果から、公開鍵の識別情報を取得する手段を設け、上記公開鍵取得手段が、その取得した識別情報と対応する公開鍵を取得するようにするとよい。
さらに、上記出力手段が、上記第２取得手段が検証用データを取得できなかった場合には、上記第１情報を、検証用データがない旨の情報と共に出力するとよい。
さらに、上記デコード手段によるデコード結果に含まれる誤り訂正データを用いて、そのデコード結果の、少なくとも上記第１情報を記述する領域と上記検証用データを記述する領域とを含む領域に対する誤り訂正を行う誤り訂正手段を備え、上記第１取得手段は、その誤り訂正後のデコード結果から前記第１情報を取得し、上記第２取得手段は、その誤り訂正後のデコード結果から前記検証用データを取得するとよい。

また、この発明は、二次元コードあるいはシステムとして実現する他、装置、方法、プログラム、プログラムを記録した記録媒体等、任意の態様で実施することができる。

以上のような本発明の構成によれば、二次元コードにより記述された情報に対する不正を、高い信頼性を保ちつつ簡便なシステムにより検出できる環境を提供することができる。

この発明の一実施形態である二次元コードが含む情報の構成の一例を示す図である。 図１に示す情報中の非出力データのフォーマットの規格の例を示す図である。 第１規格のみに従った二次元コードが含む情報の構成の例を示す図である。 この発明の一実施形態である二次元コードを取り扱う二次元コード出力装置及び二次元コード読取装置の使用態様について説明するための図である。 この発明の一実施形態である二次元コード出力装置のハードウェア構成を示す図である。 図５に示した二次元コード出力装置の機能構成を示す図である。 この発明の一実施形態である二次元コード読取装置のハードウェア構成を示す図である。 図７に示した二次元コード読取装置の機能構成を示す図である。 図５に示した二次元コード出力装置のＣＰＵが実行する二次元コード生成処理のフローチャートである。 図９に示した出力データの符号化処理のフローチャートである。 図９に示した埋め草データの付加処理のフローチャートである。 図７に示した二次元コード読取装置のＣＰＵが実行する二次元コード読取処理のフローチャートである。 従来の二次元コードの例を示す図である。 従来の二次元コードが含む情報の構成の一例を示す図である。 図１４に示す情報中の出力データのフォーマットの規格の例を示す図である。 図１４のセグメントのうちデータ長が可変長のセグメントの構成を示す図である。

この発明の実施形態について、図面を参照しながら説明する。
まず、この発明の一実施形態である二次元コードは、二値のビット列を光反射率の異なる白モジュールと黒モジュールの配列により表現したものであり、そのビット列は、例えば図１４に示したものと同様な形式で情報を表現するものである。すなわち、表現するビット列の内容によってモジュールの配列は異なるものの、一見すると、従来から知られている二次元コードと区別がつきづらいものである。

図１に、この発明の一実施形態である二次元コードが含む情報の構成の一例を示す。
この実施形態の二次元コードが表すビット列（符号化データ）３００は、出力データ３１０、終端パターン３２０、非出力データ３３０、終端パターン３４０、埋め草データ３５０、誤り訂正データ３６０を含む。

これらのうち出力データ３１０、終端パターン３２０及び誤り訂正データ３６０は、第１規格に従ったデータであり、ここでは第１規格として、図１３乃至図１６を用いて説明した規格を用いている。すなわち、出力データ３１０は、複数のセグメントを備える、二次元コードの読取結果として出力される有効な情報を第１規格に従ってビット列に変換したデータであり、終端パターン３２０は、第１規格において定義された、有効な情報の終端を示すビット列である。誤り訂正データ３６０は、リードソロモン符号等の、二次元コード読取時の誤り訂正に用いるデータである。誤り訂正データ３６０より前のビット全てが、誤り訂正の対象となる。

一方、ビット列３００においては、図１４のビット列５００と異なり、終端パターン３２０より後ろの、第１規格に従えば有効な情報を配置可能であるが埋め草データで埋められる領域に、非出力データ３３０及び終端パターン３４０が配置されている。
非出力データ３３０は、二次元コードの読取結果としては出力しない任意のデータを、第１規格と異なる第２規格に従って別途列に変換したデータである。非出力データ３３０は、その用途も任意である。この例では、非出力データ３３０も、出力データ３１０と同様に複数のセグメントを備える。各セグメントは、第２規格において定義され、セグメントのモード（当該セグメントに記述されるデータの種類及びフォーマット）を指定する指示子と、セグメントのデータ本体を含む。

図２に、第２規格において使用されるモードの種類の例を示す。モードにはデータが固定長のものと可変長のものがあり、可変長のモードにおいてはセグメント内にデータ長を示すデータも含まれる点は、第１規格の場合と同様である。なお、第２規格においては、非出力データ３３０を第１規格に従った埋め草データと見分けるために、非出力データ３３０の終端を示す終端パターンＡの他に、終端パターンＢが規定されている。この終端パターンＢについては後に詳述する。

また、第２規格においては、出力データ３１０として記述されているデータが、信頼のおける作成者により作成され改竄がなされていないこと（正当性）を検証するために用いる情報として、検証用データである署名データを記述するセグメントの配置を必須としており、そのモード指示子が「1010」と規定されている。
また、詳細は後述するが、この実施形態では、署名データは公開鍵暗号の秘密鍵を用いて暗号化されたデータとしてビット列３００内に記述する。従って、署名データを用いて出力データ３１０の正当性を確認する際には、暗号化に用いた秘密鍵と対応する公開鍵を用いて署名データを復号化する必要がある。そこで、その復号化に用いるべき公開鍵を特定するための識別情報である公開鍵ＩＤを記述するセグメントも任意に配置可能としており、そのモード識別子が「0110」と規定されている。

終端パターン３４０は、第２規格において定義された、非出力データ３３０の終端を示すビット列（終端パターンＡ）である。ここでは、終端パターンＡは第１規格における終端パターンと同じ「0000」であるが、異なるパターンであってもよい。
埋め草データ３５０は、余分なスペースを埋めるための無効なデータとして、第２規格において定義されたパターンである。図１の例では、データのビット数が８の倍数になるまで「０」を付加する０付加部の後ろに「11101100」「00010001」の繰り返し部を設けた、第１規格で規定されたものと同じ規則のパターンを用いているが、第１規格と異なる規則のパターンを用いても問題ない。

以上の構成を有するビット列３００は、本来第１規格に従った埋め草データがあるはずの領域に非出力データ３３０、終端パターン３４０及び埋め草データ３５０がある点で第１規格には従っていない。しかし、単にビット列の内容が異なるのみであるので、第１規格に従って各ビットの値に基づき適宜のモジュールからなるコード記号を生成して二次元コードを生成することは可能である。このようにビット列３００を第１規格に従った二次元コードに変換したものが、この発明の一実施形態である二次元コードである。なお、第２規格には、非出力データ３３０、終端パターン３４０、および埋め草データ３５０に基づきコード記号を生成する規則については、第１規格と同じものを採用することが規定されており、上記第１規格に従った二次元コードの生成は、非出力データ３３０、終端パターン３４０、および埋め草データ３５０の部分については、第２規格にも従ったものであると言える。

以上により生成される二次元コードは、第１規格に従って有効な情報をコードする第１コード記号（出力データ３１０と対応するコード記号）と、第１規格に従って有効な情報の終端を示す終端パターン（終端パターン３２０と対応するコード記号）と、その終端パターンよりも後ろに配置され、第２規格に従って第１コード記号がコードする情報の正当性を検証するための検証用データをコードする第２コード記号（非出力データ３３０中の署名データのセグメントと対応するコード記号）と、第１コード記号及び第２コード記号の誤りを訂正するための誤り訂正データをコードする第３コード記号（誤り訂正データ３６０と対応するコード記号）とを含む。

以上の二次元コードは、第１規格にのみ対応する読取装置で読み取った場合、出力データ３１０の部分のみが有効なデータとして取り出され、出力される。この場合、終端パターン３２０以降の部分は、厳密には第１規格に従っていないが、有効なデータが格納される領域ではなく、単に無視されるため、読取処理自体に特に影響はない。また、署名データを用いた正当性の検証は行えないが、この点も、出力データ３１０をそのまま出力する動作自体には、特に影響はない。

一方、後述する二次元コード読取装置２００のように、第２規格にも対応する読取装置で読み取ると、出力データ３１０の他、非出力データ３３０も、有効なデータとして取り出し、そこに含まれる署名データ（及び公開鍵ＩＤ）を用いて、出力データ３１０の正当性を検証し、出力データ３１０を出力する際に、その検証結果も合わせて出力することができる。
従って、第１規格として、ＪＩＳ（Japanese
Industrial Standards）に準拠した規格など、世の中に広く用いられている規格を採用すれば、一般の読取装置でも二次元コードを読み取って出力データ３１０を取得できる環境を維持しつつ、第２規格にも対応した読取装置を持つユーザに対しては、出力データ３１０の正当性に関する情報を追加的に提供してセキュリティの向上を図ることができる。

また、ここで説明した方式によれば、特許文献１に記載の方式に比べ、二次元コード内により多くの非出力データ３３０を記述できると考えられる。したがって、よりデータ長が長い署名データを採用することができる。署名データの長さは鍵長に依存するので、このことは、より安全性の高い、長い鍵長を採用できることを意味する。
また、署名データ以外にも、他の用途の種々の情報を非出力データ３３０として記述し、種々の処理に用いることが考えられる。他の用途は任意であるが、一例としては、出力データ３１０の加工（暗号化された出力データ３１０の復号化など）、光や音やメッセージの表示等による読取装置のユーザへの通知など、種々考えられる。

例えば、ＱＲコード（登録商標）のバージョン１の例で考えると、最も誤り訂正能力の高い規格では、１つの二次元コード内に、有効な出力データを７２ビット、誤り訂正データを１３６ビット記述すべきことが規定されている。また、最も誤り訂正能力の低い規格では、有効な出力データを１５２ビット、誤り訂正データを５６ビット記述すべきことが規定されている。

特許文献１に記載の方式では、１ビットのデータを出力データ５１０あるいは誤り訂正データ５４０に上書きして記録すると、誤り訂正データ２ビット分の訂正能力が失われる。従って、バージョン１の規格に従った最低限の誤り訂正能力を保持しつつ最大限の情報を上書き記録しようとすると、最も誤り訂正能力の高い規格を用いつつ、最も誤り訂正能力の低い規格の訂正能力との差分を犠牲にして、（１３６−５６）／２＝４０ビット分のデータを記録することができる。このとき、出力データ５１０は、７２ビット記述できる。

一方、本実施形態の方式の場合、出力データを記述する領域を犠牲にして非出力データ３３０を記述することになる。最低限の誤り訂正能力を保持すればよいのであれば、出力データは１５２ビット記述可能であるが、上記特許文献１に記載の方式と同様な７２ビットを記述できればよいとすると、差分の１５２−７２＝８０ビットを、非出力データ３３０の記述に用いることができる。ただし、出力データの記述領域全体に出力データ３１０を記述するのであれば終端パターン３２０が不要であるところ、非出力データ３３０を記述する場合には、出力データ３１０の後ろに４ビットの終端パターン３２０が必要となるため、実際に記述できる非出力データ３３０の最大量は８０−４＝７６ビットである。

ここではバージョン１の数値を用いて説明したが、他のバージョンの数値を用いても、同様な結果となる。他の、誤り訂正機能を持つ二次元コードについて考えた場合にも、同様なことが言える。
従って、この実施形態の方式では、二次元コードに（広く用いられている規格に従っているという意味で）十分な誤り訂正能力を維持しつつ、特許文献１に記載の方式よりも、大きいサイズの非出力データ３３０を記述することができると言える。

例えば、楕円曲線ＤＳＡ（ＥＣＤＳＡ：Elliptic Curve Digital Signature Algorithm）署名の場合、署名データの長さは５１２ビットが一般的あるが、この長さを特許文献１に記載の方式で出力データ５１０あるいは誤り訂正データ５４０に上書きして記録するには、上記と同様に計算するとバージョン１０以上のＱＲコード（登録商標）が必要である。

一方、この実施形態の方式では、上記と同様に計算するとバージョン６以上のＱＲコード（登録商標）を用いれば非出力データ３３０として記述可能である。さらに、この実施形態の方式では、出力データ３１０が短ければ、その分多くの非出力データ３３０を記述できるので、ＵＲＬ(Uniform Resource Locator)等比較的短い出力データ３１０を格納する場合は、より小さいバージョンのＱＲコード（登録商標）内に５１２ビットの署名データを記述可能である。しかし、特許文献１に記載の方式では、誤り訂正能力の余力を利用して追加のデータを記録するため、５１２ビットの署名データを記録するためには、出力データ５１０の長さに関係なく、バージョン１０以上のＱＲコード（登録商標）が必要である。
このため、同じバージョンのＱＲコード（登録商標）であると、この実施形態の方式の方が、特許文献１に記載の方式の場合より、安全性の高い署名データを利用し、コード記号として記述された情報の正当性について信頼性の高い検証を行うことができると言える。

以上に加え、特許文献１に記載の方式では、出力データ５１０あるいは誤り訂正データ５４０に上書きして記録するデータは、誤り訂正データ５４０による誤り訂正の対象となっておらず、コード記号の擦れ等により読み取り誤りが生じても訂正できない。一方、この実施形態の方式では、出力データ３１０だけでなく非出力データ３３０も誤り訂正データ３６０による誤り訂正の対象となるため、読み取り誤りが生じても一定の誤り量までは訂正が可能である。従って、第１規格に従っていない非出力データ３３０の部分まで、信頼性を保つことができる。署名データに誤りが生じると、出力データ５１０の正当性の検証結果が誤ったものになってしまうため、署名データを含む非出力データ３３０の誤り訂正ができることは、システム及び二次元コードの信頼性を高めることに大きな効果をもたらす。

ところで、図１に示したビット列３００は、二次元コードを読み取って第１規格に従ってデコードし、コード記号と対応するビット列を得た読取装置が、そこに非出力データ３３０が含まれるか否かを容易に判別できるように構成している。次に、この点について説明する。

図３に、第１規格のみに従い、非出力データ３３０を含まない二次元コードが含む情報の構成の例を示す。
図３に示すビット列５００は、図１４に示したものと同じであるが、ここでは終端パターン５２０の直後の、埋め草データ５３０の先頭４ビットの領域５３１に注目するために別途図示した。

埋め草データ５３０の規則は既に説明した通りであるが、先頭４ビットは、０付加部で付加する「０」のビット数に応じて、０ビットであれば「1110」、１ビットであれば「0111」、２ビットであれば「0011」、３ビットであれば「0001」、４ビット以上であれば「0000」と、５通りに絞られる。

そこで、図１のビット列３００に非出力データ３３０を配置するに当たり、先頭の４ビット（領域３３１）が上記５通りのいずれとも一致しないようにすれば、二次元コードの読み取り時には、終端パターン３２０の直後の４ビットが上記５通りのいずれとも一致しないことをもって、非出力データ３３０が配置されていると判断できる。この判断を可能とするため、図２に示す規則では、上記５通りを終端パターンＢとして定義し、第２規格におけるモードの指定には使用しないようにしている。従って、終端パターン３２０の直後の４ビットが、終端パターンＢのいずれかであるか否かに基づき、非出力データ３３０の有無を判断することができる。

なお、この判断の際に用いるデータは、必ずしも非出力データ３３０の先頭になくてもよいし、終端パターン３２０の直後でなくてもよい。データのサイズが４ビットでなくてもよい。いずれにせよ、非出力データ３３０がある場合には、終端パターン３２０より後ろの所定範囲に配置する情報が、埋め草データ３５０と一致しないように、第２規格を定め、読取装置に、どの範囲のデータを判断に用いるかを設定しておけば、同様な判断が可能である。スペースに無駄は生じるが、終端パターン３２０の直後から非出力データ３３０が開始することも必須ではない。

次に、以上説明してきた二次元コードを取り扱う、この発明の二次元コード出力システム、二次元コード読取システム及びこれらの対応する方法の実施形態について説明する。
図４は、二次元コード出力システムの一実施形態である二次元コード出力装置及び二次元コード読取システムの一実施形態である二次元コード読取装置の使用態様を示す図である。なお、図４の例では、二次元コード出力装置及び二次元コード読取装置を、それぞれ必要な機能を全て備える１台の装置からなるシステムとして構成しているが、必要な機能を分散して設けた複数の装置を連携させて同様なシステムを構成してもよいことはもちろんである。

図４に示す二次元コード出力装置１００は、図１に示した出力データ３１０及び非出力データ３３０として二次元コードに記述すべき情報と、二次元コードの作成者の情報の入力を受け付け、その情報に基づき、二次元コードの作成者の秘密鍵を用いた暗号化した署名データを非出力データ３３０に含む、図１に示したような情報をコードする二次元コード１０を生成して出力する機能を備える。この出力は、ディスプレイによる表示、スクリーンへの投影、プリンタによる対象物への印刷、露光による対象物の変性、ネットワーク等の通信路を介した画像データの送信など、任意の態様で行うことができる。

また、二次元コード出力装置１００は、暗号化に用いた秘密鍵と対応する公開鍵を、そのＩＤと共に二次元コード読取装置２００に提供する機能も備える（秘密鍵は提供しない）。この提供は、対象の二次元コード読取装置２００が特定されていれば、直接データを送信して行うことが考えられるし、適当なサーバ装置等に格納して二次元コード読取装置２００から必要に応じて取得可能な状態に置くことにより行うことも考えられる。その他にも、二次元コード出力装置１００から二次元コード読取装置２００へ情報を伝達するための任意の手法を用いて実現可能である。

一方、二次元コード読取装置２００は、二次元コード出力装置１００が出力した二次元コード１０を読み取る機能を備える。ここでは、表示、投影、印刷など、何らかの手法で読取対象物上に提示された二次元コードを光学的に読み取るものとするが、画像データとして供給されたコード記号を、画像データの解析により読み取る等、光学的なもの以外の手法で読み取りを行うことも妨げられない。

二次元コード読取装置２００は、読み取った二次元コード１０をデコードして、出力データ３１０及び非出力データ３３０を取得する機能を備える。また、非出力データ３３０に含まれる署名データを用いて、出力データ３１０の正当性を検証した上で、その検証結果と共に出力データ３１０を所定の出力先に出力する機能を備える。さらに、その他の非出力データ３３０を、種々の処理に用いる機能を有する。実行する内部処理の内容は、非出力データ３３０の用途により異なり、二次元コード読取装置２００の内部で完結する処理でも、二次元コード読取装置２００の外部に情報を出力する処理でもよい。

また、出力データ３１０の出力は、ネットワーク等の通信路を介した送信、ディスプレイによる表示、スクリーンへの投影、プリンタによる対象物への印刷、露光による対象物の変性、スピーカによる音声出力など、任意の手法で行うことができる。検証結果についても同様である。例えば、出力データ３１０をディスプレイに表示して出力する場合、検証成功であれば「信頼できる情報です」、検証失敗であれば「改竄の可能性があります」といった、検証結果メッセージや、マークを付して表示することが考えられる。あるいは、送信先の装置において同様な表示のトリガとできるようなデータとして送信することも考えられる。

次に、二次元コード出力装置１００の構成についてより詳細に説明する。図５はそのハードウェア構成を示す図、図６はその機能構成を示す図である。
図５に示すように、二次元コード出力装置１００は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ストレージ１０４、通信Ｉ／Ｆ（インタフェース）１０５、操作部１０６、表示部１０７を備え、これらをシステムバス１０８により接続した構成としている。

そして、ＣＰＵ１０１が、ＲＡＭ１０３をワークエリアとしてＲＯＭ１０２あるいはストレージ１０４に記憶された所要のプログラムを実行することにより、二次元コード出力装置１００全体を制御し、図６に示すものをはじめとする種々の機能を実現する。
通信Ｉ／Ｆ１０５は、ネットワーク等の適宜な通信路を介して、情報入力装置や情報出力装置等の他の装置と通信するためのインタフェースである。使用する通信路の規格に応じた物を設ければよい。

操作部１０６は、ユーザからの操作を受け付けるための操作手段であり、各種のキー、スイッチ、タッチパネル等により構成することができる。
表示部１０７は、二次元コード出力装置１００の動作状態や設定内容、メッセージ等をユーザに提示するための提示手段であり、液晶ディスプレイやランプ等を備える。

なお、操作部１０６及び表示部１０７は外付けであってもよい。また、二次元コード出力装置１００がユーザからの操作を直接受ける必要がない（通信Ｉ／Ｆ１０５を介して接続された外部装置により操作を受け付けたり情報の提示を行ったりすればよい）場合には、操作部１０６や表示部１０７を設けなくてよい。
このような二次元コード出力装置１００は、ハードウェアとしては汎用コンピュータを用いることもできる。

また、図６に示すように、二次元コード出力装置１００は、二次元コードの生成に関連する機能として、出力データ受付部１１１、非出力データ受付部１１２、作成者情報受付部１１３、第１符号化部１１４、第２符号化部１１５、秘密鍵取得部１１６、署名データ付加部１１７、誤り訂正データ付加部１１８、二次元コード生成部１１９、二次元コード出力部１２０、公開鍵送信部１２１、および鍵管理部１３１の機能を備える。

これらのうち出力データ受付部１１１は、出力データ３１０として二次元コード１０に記述すべき情報（第１情報）の入力を受け付ける機能を備える。非出力データ受付部１１２は、非出力データ３３０として二次元コード１０に記述すべき情報のうち、出力データ３１０の正当性の検証に用いる署名データ及び公開鍵ＩＤ以外の情報（第２情報）の入力を受け付ける機能を備える。
作成者情報受付部１１３は、二次元コードの作成者の情報を受け付ける機能を備える。この作成者の特定の仕方は任意であり、個人や法人であっても、部署や職位等の任意に定められる単位であってもよい。作成者が人でなく装置やプログラムであってもよい。同一の人や組織が、二次元コード等の用途によって異なる作成者となることも考えられる。また、二次元コード出力装置１００を複数の作成者が共有する場合には、作成者の情報として、作成者を特定するための識別情報の他、作成者を認証するためのパスワードや生体情報等の認証情報も受け付けるとよい。

また、以上の各情報は、ユーザに入力させてもよいし、通信により他の装置から受信してもよい。また、予め二次元コード出力装置１００あるいは他の装置に保存された情報のうちユーザが選択したものや、何らかの条件により自動的に選択したものを読み出してもよい。また、ユーザが選択したり自動的に定められたりした何らかのパラメータに基づき自動的に生成してもよい。その他、任意の手法で入力を受け付けることができるし、何らかの条件によって、入力の受付方法が変わってもよい。各受付部１１１〜１１３がそれぞれ異なる方法で情報の入力を受け付けてもよい。

第１符号化部１１４は、出力データ受付部１１１が入力を受け付けた情報を、第１規格に従って符号化し、図１に示した出力データ３１０のビット列に変換すると共に、データの最大量まで余裕があれば、終端パターン３２０を付加する機能を備える。
第２符号化部１１５は、非出力データ受付部１１２が入力を受け付けた情報及び、秘密鍵取得部１１６から供給される公開鍵ＩＤを、第２規格に従って符号化し、図１に示した非出力データ３３０（の一部）のビット列に変換して第１符号化部１１４が生成したビット列に連結する機能を備える。

秘密鍵取得部１１６は、作成者情報受付部１１３が入力を受け付けた情報に基づき、必要に応じて、認証情報を用いて情報の入力者がその入力された情報に係る作成者であることを認証した上で、鍵管理部１３１から、二次元コードの作成者の秘密鍵と、その秘密鍵に対応する公開鍵の公開鍵ＩＤとを取得する機能を備える。また、その公開鍵ＩＤを第２符号化部１１５及び公開鍵送信部１２１に供給すると共に、秘密鍵を署名データ付加部１１７に供給する機能も備える。作成者の秘密鍵は、予め鍵管理部１３１に登録しておくことが望ましいが、まだ作成者の秘密鍵が作成されていない等の理由で鍵管理部１３１からの取得ができない場合には、秘密鍵取得部１１６が新たな秘密鍵と公開鍵のペアを自ら作成したり、外部の鍵生成装置に作成させたりして秘密鍵を取得することができるようにしてもよい。また、鍵を作成する装置が、作成した公開鍵及びその公開鍵ＩＤを、二次元コード出力装置１００及び二次元コード読取装置２００に提供する機能を備えているとよい。

なお、鍵管理部１３１は、秘密鍵と公開鍵のペアを、二次元コードの作成者の情報と対応付けて管理する機能を備える。秘密鍵は、メモリがダンプされても漏洩しないよう、例えば持ち主が設定したパスワード等を用いて暗号化した状態で保存しておくことが好ましい。また、公開鍵は、公開鍵ＩＤや、鍵ペアの所有者を識別するための氏名や名称、住所等の情報を書誌情報として含むものであるとよい。これらの書誌情報や鍵自体が改竄されていないことを保証できるよう、信頼できる認証局により電子署名された公開鍵証明書を用いるとよい。
以上の鍵管理部１３１は、通信の傍受等により秘密鍵が漏洩することが無いよう、二次元コード出力装置１００内部のストレージ１０４に鍵を保管することが望ましいが、これに限られることはない。
また、二次元コードの作成者が、操作部１０６から自身の秘密鍵及びその秘密鍵と対応する公開鍵の公開鍵ＩＤを入力することができるようにしてもよい。この場合、秘密鍵及び公開鍵ＩＤそのものが作成者の情報であると捉えることができ、秘密鍵取得部１１６は、その入力を受け付ける作成者情報受付部１１３から、秘密鍵及び公開鍵ＩＤを取得する。

署名データ付加部１１７は、秘密鍵取得部１１６から供給される秘密鍵を用いて、第２符号化部１１５から供給されたビット列に付す署名データを作成し、第２規格に従って符号化して、図１に示した非出力データ３３０（の一部）のビット列として第２符号化部１１５が生成したビット列に連結する機能を備える。また、データの最大量まで余裕があれば、終端パターン３４０及び埋め草データ３５０をさらに付加する機能も備える。

なお、署名データは、例えば、第２符号化部１１５から供給されたビット列のハッシュ値を求め、そのハッシュ値を秘密鍵により暗号化して生成することができる。公開鍵ＩＤを記述したセグメントも、ハッシュ値を求める対象に含めておけば、二次元コード１０の読取時には、公開鍵ＩＤが改竄されていないことも確認できる。ただし、第２符号化部１１５から供給されたビット列全てのハッシュ値を求めることは必須ではなく、読取時に正当性を確認したい範囲のビット列についてハッシュ値を求めればよい。しかし、どの範囲についてハッシュ値を求めたかの情報を、読取時に二次元コード読取装置２００が把握できる必要がある。

誤り訂正データ付加部１１８は、署名データ付加部１１７による署名データ等の付加後のビット列に基づき、その読み取り時の誤りを訂正するための誤り訂正データ３６０を生成して当該ビット列に付加する機能を備える。以上により、図１に示したビット列３００が生成される。
二次元コード生成部１１９は、ビット列３００を第１規格に従ってコード記号に変換して二次元コード１０を生成する機能を備える。
二次元コード出力部１２０は、二次元コード生成部１１９が生成した二次元コード１０を、適当な手法で出力する機能を備える。

公開鍵送信部１２１は、秘密鍵取得部１１６から公開鍵ＩＤが供給された場合に、鍵管理部１３１からその公開鍵ＩＤを持つ公開鍵を取得して、公開鍵ＩＤと共に二次元コード読取装置２００へ送信する機能を備える。この送信は、今回作成した二次元コード１０を読み取る際に、二次元コード読取装置２００が確実に署名データを復号化できるようにするために行うものである。

したがって、二次元コード１０を読み取ることが想定される二次元コード読取装置２００のアドレス等を予め二次元コード出力装置１００に設定しておいてそのアドレス宛に送信するか、二次元コード１０を読み取ることが想定される二次元コード読取装置２００がアクセス可能なサーバ装置を用意しておき、そのサーバ装置に送信して、二次元コード読取装置２００が任意に公開鍵及び公開鍵ＩＤを取得できるようにする等により送信することが考えられる。また、基本的には、一度送信した公開鍵を、同じ送信先に再度送信する必要はない。また、公開鍵送信部１２１が、秘密鍵取得部１１６の動作と無関係に、定期的に、鍵管理部１３１に記憶されている公開鍵を、公開鍵ＩＤと共に、二次元コード読取装置２００がアクセス可能なサーバ装置にアップロードすることも考えられる。

二次元コード出力装置１００は、これらの各部の機能により、図１及び図２を用いて説明した構成のデータを記述する二次元コード１０を、生成して出力することができる。なお、非出力データ３３０の記述が不要である場合、すなわち、非出力データ受付部１１２が情報の入力を受け付けず、かつ署名データの付加も不要である場合、第２符号化部１１５及び署名データ付加部１１７は、図３に示した埋め草データ５３０の付加のみを行えばよい。このことにより、二次元コード出力装置１００は、図３を用いて説明した構成のデータを記述する、非出力データ３３０を含まない二次元コード１０を、生成して出力することができる。

次に、二次元コード読取装置２００の構成についてより詳細に説明する。図７はそのハードウェア構成を示す図、図８はその機能構成を示す図である。
図７に示すように、この二次元コード読取装置２００は、光学部２１０、デコーダ２２０、操作部２３１及び通知部２３２を備え、光学部２１０を読取対象物２０に対向させることにより、読取対象物２０上で光反射率が周囲と異なる記号により示される二次元コード１０を読み取るための装置である。

これらのうち光学部２１０は、撮像センサ２１１、レンズ２１２、パルスＬＥＤ（発光ダイオード）２１３を備え、二次元コード１０を光学的に読み取るための読取手段である。
撮像センサ２１１は、読取対象物２０の画像を撮像するための撮像手段であり、例えばＣＭＯＳ（相補性金属酸化膜半導体）イメージセンサにより構成することができる。また、撮像センサ２１１は、撮像によりイメージセンサの各画素に蓄積した電荷に基づき、各画素の階調値を示す画像データを生成し、デコーダ２２０へ出力することができる。この撮像センサ２１１において、画素は二次元的に配置されている。

レンズ２１２は、撮像センサ２１１上に二次元コード１０を含む読取対象物２０からの反射光を結像させるための光学系である。
パルスＬＥＤ２１３は、撮像対象である読取対象物２０へ照明光を照射するための照明手段である。

次に、デコーダ２２０は、ＣＰＵ２２１と、ＣＰＵ２２１が実行するプログラムや各種テーブル等のデータを記憶したＲＯＭ２２２と、ＣＰＵ２２１が各種の処理を実行する際の作業領域として使用するＲＡＭ２２３と、外部装置と通信を行うための通信Ｉ／Ｆ２２４とを備えている。
上記ＣＰＵ２２１，ＲＯＭ２２２，ＲＡＭ２２３としては、例えば、ＡＳＩＣ（Application Specific Integrated Circuit），フラッシュロム（ＦＲＯＭ），ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等を用いることができる。

ＣＰＵ２２１は、ＲＡＭ２２３を作業領域としてＲＯＭ２２２に記憶されたプログラムを実行することにより、光学部２１０、操作部２３１及び通知部２３２を含む二次元コード読取装置２００全体の動作を制御する。また、撮像センサ２１１が撮像した画像の画像データに含まれる二次元コード１０の検出及びデコード、そのデコード結果の外部への出力あるいは蓄積、パルスＬＥＤ２１３による照明光量（又は時間）の調整などの処理も行う。

通信Ｉ／Ｆ２２４は、デコーダ２２０によるデコード結果を処理するＰＣ（パーソナルコンピュータ）等のデータ処理装置と通信するためのインタフェースであり、有線無線を問わず任意の規格を採用可能である。また、通信Ｉ／Ｆ２２４から読み込んだデータに基づきデコーダ２２０に制御用パラメータの設定を行うことができるようにしてもよい。

操作部２３１は、ユーザの操作を受け付けるためのボタンやトリガ等の操作手段である。
通知部２３２は、ユーザへの各種通知を行うための通知手段である。具体的な通知の方法としては、ディスプレイによるメッセージやデータの表示、ランプの点灯や点滅、スピーカによる音の出力等が考えられるが、これに限られることはない。

また、図８に示すように、二次元コード読取装置２００は、二次元コードの読み取りに関連する機能として、コード記号読取部２４１、第１デコード部２４２、誤り訂正部２４３、有効データ取得部２４４、非出力データ取得部２４５、データ検証部２４６、公開鍵取得部２４７、検証結果付与部２４８、情報出力部２４９、その他処理部２５０、公開鍵受信部２５１、および公開鍵ＤＢ（データベース）２６１を備える。

これらのうち、コード記号読取部２４１は、光学部２１０により二次元コード１０を読み取って、二次元コード１０の画像を取得する機能を備える。
第１デコード部２４２は、コード記号読取部２４１が取得したコード記号の画像を第１規格に従ってデコードし、ビット列に変換するデコード手段の機能を備える。誤り訂正部２４３は、第１デコード部２４２から得たビット列に対し、そこに含まれる誤り訂正データを用いて誤り訂正処理を行う誤り訂正手段の機能を備える。誤り訂正の対象は、誤り訂正データよりも前のビット列全てであり、出力データ（図１の３１０又は図３の５１０）のみならず、非出力データ（図１の３３０）が含まれていれば、これも誤り訂正の対象となる。二次元コード読取装置２００は、これらのデコードあるいは誤り訂正が失敗した場合、今回の読み取りは失敗したと判断し、次の読み取りを行う。

有効データ取得部２４４は、誤り訂正部２４３による誤り訂正後のビット列から、出力データ（図１の３１０又は図３の５１０）を取得して、第１規格に従ってデコードして各セグメントのビット列を符号化前の情報に戻し、第１規格に従った有効な情報である第１情報として取得する、第１取得手段の機能を備える。また、もしあれば、第１規格に従った終端パターン（図１の３２０又は図３の５２０）よりも後ろのビット列を、非出力データ取得部２４５に渡す機能も備える。

非出力データ取得部２４５は、有効データ取得部２４４から渡されたビット列から、もしあれば非出力データ（図１の３３０）を取得して、第２規格に従ってデコードして各セグメントのビット列を符号化前の情報に戻し、第２規格に従った有効な情報である第２情報として取得する、第２取得手段の機能を備える。

また、非出力データ取得部２４５は、第２情報を取得した場合、その情報に基づく処理を実行すべく、二次元コード読取装置２００になされた設定や、第２情報に含まれる処理の種類の指定等に基づき、必要な処理を行う機能部に対し、第２情報を渡す機能も備える。図８の例では、非出力データ取得部２４５は、第２情報に署名データ及び公開鍵ＩＤが含まれていれば、これらの情報をデータ検証部２４６に渡す。また、他の第２情報を、その情報に基づく処理を担当するその他処理部２５０に渡す。その他処理部２５０が行う処理は、情報出力部２４９から出力すべき情報へ加工や追加であってもよい。

データ検証部２４６は、非出力データ取得部２４５から渡された署名データ及び公開鍵ＩＤを用いて、有効データ取得部２４４及び非出力データ取得部２４５が取得した情報の正当性を検証する検証手段の機能を有する。この検証の処理において、データ検証部２４６は、公開鍵取得部２４７に、公開鍵ＩＤと対応する公開鍵を取得させ、その公開鍵を用いて署名データを復号化する。一方、誤り訂正部２４３による誤り訂正後のビット列のうち、正当性を確認すべき範囲のビット列のハッシュ値を演算して、署名データの復号結果と比較し、これらが一致していれば、ビット列は改竄されていないことを確認できる。また、公開鍵の書誌事項が信頼できる場合、そのビット列は、公開鍵の書誌事項に記載された者により作成されたことも確認できる。データ検証部２４６は、以上の検証の結果を、検証結果付与部２４８へ供給する。

公開鍵取得部２４７は、データ検証部２４６からの要求に応じて、公開鍵ＤＢ２６１から、指定された公開鍵ＩＤを持つ公開鍵を取得して、データ検証部２４６に渡す公開鍵取得手段の機能を備える。公開鍵ＤＢ２６１は、公開鍵を公開鍵ＩＤと対応付けて記憶するデータベースである。公開鍵は、二次元コード出力装置１００の公開鍵送信部１２１から送信されるものを公開鍵受信部２５１の機能により受信して登録することが考えられる。また、所定のサーバ装置に、定期的にあるいは未登録の公開鍵が必要になった場合にアクセスして取得し、登録することも考えられる。

検証結果付与部２４８は、有効データ取得部２４４が取得した情報に、データ検証部２４６による検証の結果を示す情報を付して、二次元コード１０の読取結果として出力すべきデータを生成する機能を備える。
情報出力部２４９は、検証結果付与部２４８により検証結果が付加された第１情報を、適当な手法で出力する出力手段の機能を備える。第１情報の正当性が確認できない場合に、検証結果のみ出力し、第１情報の出力を行わないようにしてもよい。

二次元コード読取装置２００は、これらの各部の機能により、図１を用いて説明した構成のデータを記述する二次元コード１０を読み取り、そこに含まれる署名データ及び公開鍵ＩＤを用いて、出力データ３１０の正当性を検証した上で、その結果と共に、出力データ３１０をデコードした第１情報を出力することができる。署名データ及び公開鍵ＩＤについては、二次元コード１０内に記述されている情報ではあるが、二次元コード読取装置２００がこれらを読取結果として出力することはない。

なお、読み取った二次元コードが、非出力データ３３０を含まない、図３を用いて説明した構成のデータを記述する二次元コード１０を読み取った場合には、非出力データ取得部２４５が署名データを取得できないため、データ検証部２４６は正当性の検証ができない。この場合、検証結果付与部２４８は、検証に用いる署名データがない旨の情報を検証の結果として付与すればよい。あるいは、検証の結果を何ら付与せず、第１規格に沿ったデータを出力することとしてもよい。

この二次元コード読取装置２００では、出力データ３１０の正当性の検証を、二次元コード１０自体に記載された情報及び第３者に知られても問題のない公開鍵（及び公開鍵を検索するための公開鍵ＩＤ）のみで行うことができる。したがって、検証の機能や検証に必要な情報を、特定の不正検知装置に集約せず個々の二次元コード読取装置２００に持たせてもセキュリティを維持することができる。また、二次元コード読取装置２００と不正検知装置との間の通信を傍受され、検証のために秘密に保たなければならない情報が漏洩してしまうリスクも避けることができる。このため、二次元コードにより記述された情報に対する不正を、高い信頼性を保ちつつ簡便なシステムにより検出できる環境を提供することができる。

二次元コード出力装置１００側では、二次元コード作成者の秘密鍵を秘密に保つ必要があるが、二次元コード出力装置１００は、これを使用して二次元コードを作成する者の手元にあることが多いと考えられるため、二次元コード読取装置２００と比べて管理が容易であり、秘密鍵が外部に漏れるリスクは作成者の責任において適切に管理することができると考えられる。

次に、二次元コード出力装置１００又は二次元コード読取装置２００が実行する。図６及び図８に示した機能と対応する処理について説明する。これらの処理は、この発明の二次元コード出力方法又は二次元コード読取方法の実施形態に係る処理である。また、以下の各フローチャートに示す処理は、二次元コード出力装置１００のＣＰＵ１０１又は二次元コード読取装置２００のＣＰＵ２２１が所要のプログラムを実行することにより行うものであるが、説明を簡単にするため、二次元コード出力装置１００又は二次元コード読取装置２００が実行するものとして説明する。

まず図９に、二次元コード出力装置１００が実行する、非出力データを含む二次元コードの生成処理のフローチャートを示す。
二次元コード出力装置１００は、所定のユーザ操作あるいはコマンド等により、署名付き二次元コードの生成を指示されると、図９に示す処理を開始する。
この処理において、二次元コード出力装置１００はまず、図１の出力データ３１０として記述する情報、図１の非出力データ３３０として記述する情報及び作成者情報の入力を、それぞれ受け付ける（Ｓ１１〜Ｓ１３）。この処理は、出力データ受付部１１１、非出力データ受付部１１２及び作成者情報受付部１１３の機能と対応する。

次に、二次元コード出力装置１００は、図１０の出力データの符号化処理により、ステップＳ１１で受け付けた情報を符号化して出力データ３１０及び終端パターン３２０のビット列を生成する（Ｓ１４）。この処理は、第１符号化部１１４の機能と対応する。
より具体的には、二次元コード出力装置１００は、ステップＳ１１で受け付けた情報から１セグメント分の情報を取り出し、第１規格に従ってそのセグメントのビット列を生成し（Ｓ３１）、それまでに生成したビット列に繋げる（Ｓ３２）処理を、全てのセグメントについて繰り返し実行する（Ｓ３３）。セグメントの区切りは、情報の項目や文字の種別によって定まるものであり、第１規格により定義される基準を採用すればよい。

第１規格を二次元コード出力装置１００の提供者あるいは利用者が定めるのであれば、ステップＳ１１で受け付けた情報が複数項目の情報からなる場合には、少なくとも項目の区切りをセグメントの区切りとすることが考えられる。また、文字の種類が数字から漢字に変わるなど、文字の種類の変わり目も、セグメントの区切りとすることが考えられる。

そして、二次元コード出力装置１００は、ステップＳ３３までで生成したビット列が、出力データ３１０の最大サイズより４ビット以上短い場合、すなわち終端パターン３２０を付加する余裕がある場合には（Ｓ３４）、終端パターン３２０を連結により付加して（Ｓ３５）、図９の処理に戻る。ステップＳ３４で余裕がなければ、終端パターン３４０を連結せずに図９の処理に戻る。

次に、二次元コード出力装置１００は、ステップＳ１３で受け付けた作成者情報と対応する秘密鍵及び公開鍵ＩＤを取得する（Ｓ１５）。この処理は、秘密鍵取得部１１６の機能と対応する。
その後、二次元コード出力装置１００は、第２規格に従って、ステップＳ１２で受け付けた情報及びステップＳ１５で取得した公開鍵ＩＤを符号化して、非出力データ３３０のビット列（の一部）を生成して、ステップＳ１３で生成したビット列に連結する（Ｓ１６）。この処理は、第２符号化部１１５の機能と対応する。具体的な手順は、従う規格が異なる点以外は、図１０のステップＳ３１乃至Ｓ３３と同様である。

次に、二次元コード出力装置１００は、ステップＳ１６までに生成したビット列のハッシュ値を計算し（Ｓ１７）、そのハッシュ値をステップＳ１５で取得した秘密鍵を用いて暗号化することにより、署名データを生成する（Ｓ１８）。その後、第２規格に従って、生成した署名データのセグメントのビット列を生成して、ステップＳ１６までに生成したビット列に連結する（Ｓ１９）。そして、ステップＳ１９までで生成したビット列が、二次元コードに記述可能な最大サイズより４ビット以上短い場合、すなわち終端パターン３４０を付加する余裕がある場合には、終端パターン３４０を付加する（Ｓ２０）。ステップＳ１７〜Ｓ２０の処理は、署名データ付加部１１７の機能と対応する。
なお、これまでの処理において、いずれかの時点で、生成したビット列が誤り訂正データ３６０を除いて二次元コードに記述可能な最大サイズより長くなった場合には、二次元コードの生成は失敗したものとしてエラー処理を行う。

次に、二次元コード出力装置１００は、図１１の埋め草データ付加処理により、埋め草データ３５０のビット列を生成して、ステップＳ２０までで生成したビット列に連結する（Ｓ２１）。この処理も、署名データ付加部１１７の機能と対応する。
より具体的には、二次元コード出力装置１００は、これまでに生成したビット列のビット数が８の倍数でなければ（Ｓ４１）、８の倍数になるまで生成済みのビット列に「０」のビットを付加する（Ｓ４２）。その後、二次元コードに記述できる最大サイズになるまで、ビット列に所定の繰り返しパターンを付加して（Ｓ４３）、図９の処理に戻る。

次に、二次元コード出力装置１００は、ステップＳ２２までの処理で生成したビット列に基づき誤り訂正データ３６０を生成し、当該ビット列に付加する（Ｓ２２）。この処理は誤り訂正データ付加部１１８の機能と対応する。
以上でビット列３００が完成し、二次元コード出力装置１００は、第１規格に従って、ここまでに生成したビット列をコードする二次元コード１０を生成し（Ｓ２３）、適当な出力先に出力して（Ｓ２４）、図９の処理を終了する。これらの処理は、二次元コード生成部１１９及び二次元コード出力部１２０の機能と対応する。

二次元コード出力装置１００は、以上の処理により、図１を用いて説明した構成のデータを記述する、署名データ及び公開鍵ＩＤを含む二次元コード１０を、生成して出力することができる。なお、署名データ及び公開鍵ＩＤを含まない二次元コードを生成する場合には、単にステップＳ１２、Ｓ１３及びＳ１５乃至Ｓ２０をスキップすればよい。
また、公開鍵送信部１２１の機能と対応する公開鍵送信処理は、図９の処理中のどこかで、または図９の処理と非同期で、必要に応じて行えばよい。

次に、図１２に、二次元コード読取装置２００が実行する、二次元コードの読取処理のフローチャートを示す。
二次元コード読取装置２００は、所定のユーザ操作あるいはコマンド等により、二次元コードの読み取りを指示されると、図１２に示す処理を開始する。この時点では読み取り対象の二次元コードに署名データが含まれているか否かは考慮しなくてよい。

図１２の処理において、二次元コード読取装置２００はまず、読み取り対象の二次元コード１０の画像を取得し、第１規格に従ってデコード及び誤り訂正を行って、ビット列３００（又はビット列５００）を得る（Ｓ５１）。この処理は、二次元コード１０がフレームに収まっていなかったり、撮像時の明るさやフォーカスが適切でなかったりすると失敗するため、適宜に条件を変えつつ成功するまで繰り返す（Ｓ５２）。この処理は、デコード手順及び誤り訂正手順の処理であり、コード記号読取部２４１、第１デコード部２４２及び誤り訂正部２４３の機能と対応する。

次に、二次元コード読取装置２００は、ステップＳ５１でのデコード結果のビット列から、出力データ３１０（又は５１０）の部分を取得して、第１規格に従い符号化前の情報に変換する（Ｓ５３）。この処理は、第１取得手順の処理であり、有効データ取得部２４４の機能と対応する。

次に、二次元コード読取装置２００は、デコード結果の終端パターン３２０（又は５２０）の直後の４ビットが、第２規格における終端パターンＢのいずれかであるか否かを判断する（Ｓ５４）。この結果がＮｏ（いずれでもない）であれば、二次元コード読取装置２００は、デコード結果には非出力データ３３０が含まれていると判断し、ステップＳ５５以下に進む。

そして、二次元コード読取装置２００は、デコード結果のうち終端パターン３２０よりも後ろのビット列を、第２規格に従って解析し、非出力データ３３０の部分を符号化前の情報に変換する（Ｓ５５）。ステップＳ５４及びＳ５５の処理は、第２取得手順の処理であり、非出力データ取得部２４５の機能と対応する。

次に、二次元コード読取装置２００は、ステップＳ５５の変換で得られた情報中に、署名データがあったか否か、すなわち、非出力データ３３０中に署名データのセグメントがあったか否かを判断する（Ｓ５６）。ここで、あれば、署名データを用いたデータの正当性検証のためのステップＳ５７以下の処理に進む。

この処理において、二次元コード読取装置２００はまず、ステップＳ５１のデコード結果のうち署名データのセグメントより前のビット列を取得して、そのハッシュ値を計算する（Ｓ５７）。ここでは、出力データ３１０及び非出力データ３３０のうち署名データ以外の全てを検証の対象としているので、この範囲でハッシュ値を計算するが、出力データ３１０のみとすることも考えられる。次に、二次元コード読取装置２００は、ステップＳ５５で取得した非出力データ３３０中の署名データを、非出力データ３３０中の公開鍵ＩＤが示す公開鍵を用いて復号化する（Ｓ５８）。公開鍵は、公開鍵ＤＢ２６１から取得する。そして、ステップＳ５７で計算したハッシュ値とステップＳ５８の復号結果が一致するか否か判断する（Ｓ５９）。

ここで一致すれば、二次元コード読取装置２００は、署名が有効であり、正当性の検証ができたと判断する（Ｓ６０）。この場合、二次元コード読取装置２００は、ステップＳ５５で取得した符号化前の非出力データに、署名データ及び公開鍵ＩＤ以外の情報があれば、そのデータに従った処理を実行する（Ｓ６１）。ステップＳ５９で一致しなければ、二次元コード読取装置２００は、署名が無効であり、署名に使用された秘密鍵が、公開鍵ＩＤが示す公開鍵と対応するものでないか、またはデータが破損、改竄等されていると判断する（Ｓ６２）。この場合には、非出力データの正当性が確認できないため、これを用いたステップＳ６１の処理は行わない。
以上のうちステップＳ５７〜Ｓ６０及びＳ６２の処理は、データ検証部２４６の機能と対応する検証手順の処理であり、ステップＳ６１の処理はその他処理部２５０の機能と対応する。ステップＳ５８の公開鍵取得の処理は、公開鍵取得部２４７の機能と対応する公開鍵取得手順の処理である。

いずれの場合も、二次元コード読取装置２００は、ステップＳ５３で取得した符号化前の出力データ（又はステップＳ６１での処理後の出力データ）を、署名の判定結果と共に所定の出力先へ出力して（Ｓ６３）、図１２の処理を終了する。この処理は、検証結果付与部２４８及び情報出力部２４９の機能と対応する。

また、ステップＳ５４でＹｅｓ（いずれかである）であれば、二次元コード読取装置２００は、デコード結果には非出力データが含まれていないため、データの正当性の検証もできないと判断し、ステップＳ６４で署名無しと判定して、ステップＳ６３で符号化前の出力データの出力を行う。図３に示した構成のデータをコードする二次元コードを読み込んだ場合にはこちらに分岐することになる。この場合、データの正当性は検証できていないため、署名無効の場合と同様な取り扱いをしてもよい。ステップＳ５６で署名データがなかった場合も同様である。

二次元コード読取装置２００は、以上の処理により、図１又は図３を用いて説明した構成のデータを記述する二次元コード１０を読み取り、符号化前の出力データを、その正当性を検証した上で、検証結果と共に出力することができる。

以上で実施形態の説明を終了するが、この発明において、コード記号やシステム及び装置の具体的な構成、具体的な処理の手順、データの形式、具体的なデータの内容、採用する規格等は、実施形態で説明したものに限るものではない。
例えば、上述した実施形態では、正方形状の白（高反射率）モジュールと黒（低反射率）モジュールを配列してデータを表現する規格の二次元コードを用いたが、これに限られるものではない。バーモジュールを二次元的に配列するものや、六角形のモジュールを配列するものを用いてもよい。

また、埋め草データのパターンが規格において定められていることは必須ではなく、終端パターンより後ろのデータは任意であってもよい。
また、上述した実施形態では、公開鍵ＩＤの情報を二次元コードに記述するようにしたが、これは必須ではない。署名に使用する秘密鍵が特定のものであったり、公開鍵の候補が全数トライ可能な程度の数であったりすれば、公開鍵ＩＤの情報がなくても、データの正当性の検証は可能である。

また、上述した実施形態では、署名データ及び公開鍵ＩＤ以外にも二次元コード１０に非出力データ３３０を記述できるようにしたが、非出力データ３３０は、署名データ及び公開鍵ＩＤのみであってもよい。この場合、非出力データ受付部１１２は不要である。
また、上述した実施形態では、検証用データとして、正当性の検証対象のデータのハッシュ値を暗号化した署名データを用いたが、ハッシュ値を用いたり、「署名」という形式にしたりすることは必須ではない。

また、この発明のプログラムの実施形態は、１のコンピュータに、あるいは複数のコンピュータを協働させて、所要のハードウェアを制御させ、上述した実施形態における二次元コード出力装置１００あるいは二次元コード読取装置２００の機能を実現させ、あるいは上述した実施形態にて説明した処理を実行させるためのプログラムである。

このようなプログラムは、はじめからコンピュータに備えるＲＯＭや他の不揮発性記憶媒体（フラッシュメモリ，ＥＥＰＲＯＭ等）などに格納しておいてもよい。メモリカード、ＣＤ、ＤＶＤ、ブルーレイディスク等の任意の不揮発性記録媒体に記録して提供することもできる。さらに、ネットワークに接続された外部装置からダウンロードし、コンピュータにインストールして実行させることも可能である。

また、以上説明してきた実施形態及び変形例の構成が、相互に矛盾しない限り任意に組み合わせて実施可能であり、また、一部のみを取り出して実施することができることは、勿論である。

１０…二次元コード、２０…読取対象物、１００…二次元コード出力装置、２００…二次元コード読取装置、２１０…光学部、２２０…デコーダ、３００，５００…ビット列、３１０，５１０…出力データ、３２０，３４０，５２０…終端パターン、３３０…非出力データ、３５０，５３０…埋め草データ、３６０，５４０…誤り訂正データ

一方、ビット列３００においては、図１４のビット列５００と異なり、終端パターン３２０より後ろの、第１規格に従えば有効な情報を配置可能であるが埋め草データで埋められる領域に、非出力データ３３０及び終端パターン３４０が配置されている。
非出力データ３３０は、二次元コードの読取結果としては出力しない任意のデータを、第１規格と異なる第２規格に従ってビット列に変換したデータである。非出力データ３３０は、その用途も任意である。この例では、非出力データ３３０も、出力データ３１０と同様に複数のセグメントを備える。各セグメントは、第２規格において定義され、セグメントのモード（当該セグメントに記述されるデータの種類及びフォーマット）を指定する指示子と、セグメントのデータ本体を含む。

次に、二次元コード出力装置１００又は二次元コード読取装置２００が実行する、図６及び図８に示した機能と対応する処理について説明する。これらの処理は、この発明の二次元コード出力方法又は二次元コード読取方法の実施形態に係る処理である。また、以下の各フローチャートに示す処理は、二次元コード出力装置１００のＣＰＵ１０１又は二次元コード読取装置２００のＣＰＵ２２１が所要のプログラムを実行することにより行うものであるが、説明を簡単にするため、二次元コード出力装置１００又は二次元コード読取装置２００が実行するものとして説明する。

そして、二次元コード出力装置１００は、ステップＳ３３までで生成したビット列が、出力データ３１０の最大サイズより４ビット以上短い場合、すなわち終端パターン３２０を付加する余裕がある場合には（Ｓ３４）、終端パターン３２０を連結により付加して（Ｓ３５）、図９の処理に戻る。ステップＳ３４で余裕がなければ、終端パターン３２０を連結せずに図９の処理に戻る。

Claims (16)

1. 第１規格に従って有効な情報をコードする第１コード記号と、
   前記第１規格に従って有効な情報の終端を示す終端パターンと、
   前記第１規格に従って有効な情報を配置可能な領域内で前記終端パターンよりも後ろに配置され、前記第１規格と異なる第２規格に従って、前記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている検証用データをコードする第２コード記号とを含むことを特徴とする二次元コード。
2. 請求項１に記載の二次元コードであって、
   前記第２コード記号は、前記第２規格に従って、前記秘密鍵と対応する公開鍵の識別情報をコードするコード記号を含むことを特徴とする二次元コード。
3. 入力手段により第１情報の入力を受け付ける手段と、
   第１規格に従って前記第１情報を有効な情報としてコードする第１コード記号と、前記第１規格に従って有効な情報の終端を示す終端パターンと、前記第１規格に従って有効な情報を配置可能な領域内で前記終端パターンよりも後ろに配置され、前記第１規格と異なる第２規格に従って、前記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている検証用データをコードする第２コード記号とを含む二次元コードを出力する出力手段とを備える二次元コード出力システム。
4. 請求項３に記載の二次元コード出力システムであって、
   前記第２コード記号は、前記第２規格に従って、前記秘密鍵と対応する公開鍵の識別情報をコードするコード記号を含むことを特徴とする二次元コード出力システム。
5. 請求項３又は４に記載の二次元コード出力システムであって、
   入力手段により作成者の情報の入力を受け付ける手段と、
   所定の取得先から、前記作成者の情報と対応する秘密鍵を取得する取得手段とを備え、
   前記検証用データは、前記取得手段が取得した秘密鍵を用いて暗号化されたデータであることを特徴とする二次元コード出力システム。
6. 入力手段により第１情報の入力を受け付ける手順と、
   第１規格に従って前記第１情報を有効な情報としてコードする第１コード記号と、前記第１規格に従って有効な情報の終端を示す終端パターンと、前記第１規格に従って有効な情報を配置可能な領域内で前記終端パターンよりも後ろに配置され、前記第１規格と異なる第２規格に従って、前記有効な情報の正当性を検証するための、秘密鍵を用いて暗号化されている検証用データをコードする第２コード記号とを含む二次元コードを出力する手順とを備える二次元コード出力方法。
7. 請求項６に記載の二次元コード出力方法であって、
   前記第２コード記号は、前記第２規格に従って、前記秘密鍵と対応する公開鍵の識別情報をコードするコード記号を含むことを特徴とする二次元コード出力方法。
8. 請求項６又は７に記載の二次元コード出力方法であって、
   入力手段により作成者の情報の入力を受け付ける手順と、
   所定の取得先から、前記作成者の情報と対応する秘密鍵を取得する取得手順とを備え、
   前記検証用データは、前記取得手順で取得した秘密鍵を用いて暗号化されたデータであることを特徴とする二次元コード出力方法。
9. １のコンピュータに、あるいは複数のコンピュータを協働させて、請求項６乃至８のいずれか一項に記載の二次元コード出力方法を実行させるためのプログラム。
10. 読取手段により二次元コードを読み取って、有効な情報の終端を示す終端パターンの規定を含む第１規格に従ってデコードするデコード手段と、
    前記デコード手段によるデコード結果のうち前記第１規格に従った有効な情報を第１情報として取得する第１取得手段と、
    前記デコード手段によるデコード結果のうち前記終端パターンより後ろの情報を、前記第１規格と異なる第２規格に従って解析し、検証用データを取得する第２取得手段と、
    所定の取得先から公開鍵を取得する公開鍵取得手段と、
    該取得した公開鍵を用いて前記検証用データを復号化し、前記第１情報と対比して、前記第１情報の正当性を検証する検証手段と、
    前記第１情報を、前記検証手段による検証結果を示す情報と共に出力する出力手段とを備えることを特徴とする二次元コード読取システム。
11. 請求項１０に記載の二次元コード読取システムであって、
    前記第２取得手段は、前記終端パターンより後ろの情報の、前記第２規格に従った解析結果から、公開鍵の識別情報を取得する手段を備え、
    前記公開鍵取得手段は、該取得した識別情報と対応する公開鍵を取得することを特徴とする二次元コード読取システム。
12. 請求項１０又は１１に記載の二次元コード読取システムであって、
    前記出力手段は、前記第２取得手段が検証用データを取得できなかった場合には、前記第１情報を、検証用データがない旨の情報と共に出力することを特徴とする二次元コード読取システム。
13. 読取手段により二次元コードを読み取って、有効な情報の終端を示す終端パターンの規定を含む第１規格に従ってデコードするデコード手順と、
    前記デコード手順によるデコード結果のうち前記第１規格に従った有効な情報を第１情報として取得する第１取得手順と、
    前記デコード手順によるデコード結果のうち前記終端パターンより後ろの情報を、前記第１規格と異なる第２規格に従って解析し、検証用データを取得する第２取得手順と、
    所定の取得先から公開鍵を取得する公開鍵取得手順と、
    該取得した公開鍵を用いて前記検証用データを復号化し、前記第１情報と対比して、前記第１情報の正当性を検証する検証手順と、
    前記第１情報を、前記検証手順による検証結果を示す情報と共に出力する出力手順とを備えることを特徴とする二次元コード読取方法。
14. 請求項１３に記載の二次元コード読取方法であって、
    前記第２取得手順は、前記終端パターンより後ろの情報の、前記第２規格に従った解析結果から、公開鍵の識別情報を取得する手順を備え、
    前記公開鍵取得手順は、該取得した識別情報と対応する公開鍵を取得する手順であることを特徴とする二次元コード読取方法。
15. 請求項１３又は１４に記載の二次元コード読取方法であって、
    前記出力手順は、前記第２取得手順で検証用データを取得できなかった場合には、前記第１情報を、検証用データがない旨の情報と共に出力する手順であることを特徴とする二次元コード読取方法。
16. １のコンピュータに、あるいは複数のコンピュータを協働させて、請求項１３乃至１５のいずれか一項に記載の二次元コード読取方法を実行させるためのプログラム。

Images