JP2020013574A - 生体計測スマートカードに参照生体計測データアイテムを記録する方法 - Google Patents

Abstract

【課題】いかなる不便さもなくかつセキュアに、参照生体計測データアイテムを記録できる生体計測スマートカードを実現する。【解決手段】本発明は、生体計測センサを有する生体計測スマートカードに参照生体計測データアイテムを記録するための方法であって、生体計測センサによって獲得された生体計測データアイテムを参照生体計測データアイテムとして記録すること（２４）は、第１の外部装置を用いて、生体計測スマートカードと第２の外部装置との間のトランザクションを認可するため、生体計測スマートカードが、第１の外部装置上で入力された生体計測スマートカードのユーザのパーソナルシークレットコードを認証すること（２２）に応答して、完了する、ことを特徴とする方法に関する。【選択図】図２

Description

本発明は、生体計測センサ（biometric sensor）が装着されている（fitted with）、例えば、銀行カードまたは電子アクセスバッジ（electronic access budge）などの生体計測スマートカード（biometric smart cards）の分野に関する。本発明は、詳細には、生体計測センサを含む生体計測スマートカードに参照生体計測データアイテム（reference biometric data item）を記録する方法、ならびにこのような生体計測スマートカードに関する。

ユーザが生体計測スマートカード、例えば、指紋センサを伴う銀行カード、さらには、セキュアゾーン（secure zone）に出入りするためのバッジなどの発行を受ける場合、このカードは、ユーザの指紋などの個人データを伴って構成される必要がある。

このために、ユーザは、概して、例えば銀行などの特定の機関に出向かなくてはならず、さらには、生体計測スマートカードと通信する能力を有し、かつユーザの生体計測データをセキュアに記録するように特別に設計されたアプリケーションを有する、電子装置（device）が提供されなければならない。

したがって、このことはすべて、ユーザにとって、特に、金融取引を完了させる（complete）のに、またはセキュアゾーンに出入りするのに、直ちに自らの生体計測スマートカードを使用したい場合、非常に不便である。

いかなる不便さもなくかつセキュアに、生体計測スマートカード上に参照生体計測データアイテムを記録することに対するニーズが存在する。

したがって、本発明の目的は、これらの欠点の少なくとも１つを克服することにある。

このような背景から、本発明の第１の態様は、生体計測センサを有する生体計測スマートカードに参照生体計測データアイテムを記録する方法であって、生体計測センサが獲得した生体計測データアイテムを、参照生体計測データアイテムとして記録することは、第１の外部装置を用いて、生体計測スマートカードと第２の外部装置との間のトランザクションを認可する（authorise）ため、生体計測スマートカードが、第１の外部装置上で入力された生体計測スマートカードのユーザのパーソナルシークレットコードを認証すること（validation）に応答して、完了する、ことを特徴とする方法に関する。

相関的に本発明の第２の態様は、
− 生体計測スマートカードのユーザの生体計測データアイテムを獲得するように構成された生体計測センサ（１６）と、
− 獲得された生体計測データアイテムを記憶するように構成されたメモリ（１４）と、
− 獲得された生体計測データアイテムを記憶するように構成されたマイクロコントローラ（１０）と、
− 第１の外部装置と通信するインタフェース（１８）と、を有する生体計測スマートカードであって、生体計測センサが獲得した生体計測データアイテムを、参照生体計測データアイテムとして生体計測スマートカードのメモリに記録することは、第１の外部装置を用いて、生体計測スマートカードと第２の外部装置との間のトランザクションを認可するため、生体計測スマートカードが、第１の外部装置上で入力された生体計測スマートカードのユーザのパーソナルシークレットコードを認証することに依存する、ことを特徴とする生体計測スマートカードに関する。

このように請求される本発明によれば、ユーザは、従来の外部装置を用いて、パーソナルシークレットコードにより保護された従来のトランザクションに基づいて参照生体計測データアイテムを記録することにより、自らの生体計測スマートカードを構成することができる。

それにより、ユーザにカード供給者（例えば、生体計測銀行カードの場合は、銀行）まで出向くこと、または、新規の参照生体計測特徴（reference biometric feature）の記録に関するセキュリティを維持しながらアドホック装置に接続することを余儀なくさせるような面倒な構成は回避される。

本発明の実施形態に係る方法および生体計測スマートカードの他の特徴は、従属クレーム中に記載されている。

実施形態において、該方法は、詳細には、
− 生体計測センサにより、生体計測スマートカードのユーザの生体計測データアイテムを獲得するステップと、
− 参照生体計測データアイテムとして生体計測スマートカードに生体計測データアイテムを記録するステップであって、第２の外部装置とのトランザクションのときに完了し、トランザクションを認証する（validate）ために入力されたユーザのパーソナルシークレットコードの認証に依存するステップと、を有する。

第１の外部装置は、例えばセールスポイント（sales point）の支払い端末（スマートカード読取り機、さらにはスマートフォン）である。一変形形態として、第１の外部装置は、識別ユニットまたはアクセスバッジ用のバッジ読取り機である。

例えば、トランザクションは、銀行取引であり、生体計測スマートカードは、例えば、ＥＭＶ規格に準拠している銀行カードである。一変形形態として、トランザクションは、例えば、建物に出入りするためのアクセス制御であり、生体計測スマートカードは、アクセスバッジである。

生体計測センサは、必ずしもセキュア要素によって制御されないという点に留意すべきである。例えば、生体計測センサは、任意にはスマートカードのセキュア要素の要求があったとき、生体計測スマートカード上に存在する追加のマイクロコントローラによって制御され得る。例えば、追加のマイクロコントローラは、生体計測スマートカードがパワーオンされたとき生体計測データが獲得される場合に、センサを自律的に制御する。

本発明の特定の実施形態において、生体計測スマートカードがパワーオンされるとき（例えばトランザクションまたは別のパワーオン動作に先行するパワーオン）、もしくはトランザクションが開始されるとき、またはスマートカードがパーソナルシークレットコードを認証することに応答して、生体計測センサによって生体計測データアイテムが獲得されることは、完了する。

本発明の特定の実施形態において、パーソナルシークレットコードは、ＰＩＮコードである。一変形形態として、パーソナルシークレットコードは、タッチスクリーンのロック解除用タイプのパターンまたはパスワードである。

本発明の特定の実施形態において、該方法は、生体計測データアイテムを記録することに関する指示（indication）を表示するコマンドを、第１の外部装置に送るステップをさらに有する。

このコマンドは、ＩＳＯ７８１６規格に準拠しているＡＰＤＵコマンドであり得る。

例えば、指示は、生体計測データアイテムが参照生体計測データアイテムとして記録されたことを示す。同様に、この指示は、生体計測センサによる生体計測データを獲得するための一連の動作に関する情報も提供し得、またはセンサに対して提示すべき指を規定することさえ可能である。

本発明の特定の実施形態において、該方法は、将来のトランザクションを認可するためにパーソナルシークレットコードの代りに参照生体計測データアイテムが使用されるようセキュアトランザクションメカニズムを変更するステップをさらに有する。

本発明の特定の実施形態において、複数の参照生体計測データアイテムは、生体計測スマートカードに記録され、セキュアメカニズムを変更するステップは、記録された参照生体計測データアイテムの数が予め定められた閾値を超えたとき、完了する。

この変更により、例えば、将来のトランザクションを認可するため、パーソナルシークレットコードの代わりに参照生体計測データアイテムを使用することができる。

本発明の特定の実施形態において、セキュアメカニズムを変更することは、予め定められたイベントを検出したときまたはランダムに取り消され、トランザクションを認可するのにパーソナルシークレットコードが再び使用される。こうして、トランザクションの認証のモードは、デフォルトモードに復帰し得る。

これにより、より高いセキュリティレベルを維持することが可能になる。同様に、これにより、追加の生体計測データアイテムまたは最近の生体計測データアイテムを、参照生体計測データアイテムとして記録することも可能になる。

実施形態によると、デフォルトの認証メカニズムへのこの復帰は、規則的に、例えば、当該カードを用いて予め定められた数のトランザクションが完了したとき発生し得る。

したがって、本発明の特定の実施形態において、予め定められたイベントには、生体計測スマートカードによって完了されるトランザクションの予め定義された最大数に達成することが関与する。

一変形形態として、デフォルトモードへのこの復帰は、ランダムに発生し得る。

本発明の特定の実施形態において、生体計測データアイテムを参照生体計測データアイテムとして記録することは、参照生体計測データアイテムと有効性情報（validity information）とを関連付けることを有し、予め定められたイベントは、関連付けられた有効性情報と関連して（as a function of）参照生体計測データアイテムの無効性を決定することである。

このために、該方法は、関連付けられた参照生体計測データアイテムが有効であるか否かを決定する目的でトランザクションを認証するため、あらゆる使用に先立って有効性情報を検証するステップを有し得る。

本発明の特定の実施形態において、有効性情報は、参照生体計測データアイテムの有効期間、参照生体計測データアイテムの失効年月日またはトランザクションを認証するための参照生体計測データアイテムの最大使用回数を定義する。

したがって、記録されたとき関連付けられた有効性情報に従って参照生体計測データアイテムがもはや有効でないことが決定された場合、セキュアメカニズムは、デフォルトモード、すなわちパーソナルシークレットコードに基づくものに復帰する。

本発明の特定の実施形態において、第１の外部装置は、第２の外部装置である。

本発明の特定の実施形態において、通信インタフェースは、ＩＳＯ７８１６規格に準拠している接触型通信インタフェース、またはＩＳＯ１４４４３および／もしくはＩＳＯ１５６９３規格に準拠している非接触型通信インタフェースである。

本発明の特定の実施形態において、生体計測データアイテムは、指紋、虹彩、顔、または心電図を特徴付けする。

実例として、生体計測データは、虹彩、指紋または顔の写真、および／またはそれらのパターンのコード化を有し得る。生体計測データは、顔の形状、例えば、鼻、耳または口の端部などの顔の注目点の相対的な位置などを提供し得る。

生体計測スマートカードの利点、目的および特定の特徴は、上述の方法のものと類似している。

特定の一実施形態において、上述の方法のさまざまなステップは、コンピュータプログラム命令によって決定される。

その結果として、本発明は、データ媒体上のコンピュータプログラムであって、マイクロプロセッサにより実現され（implemented）得、上述の方法のステップを実現するように適合する命令を有するコンピュータプログラムにも関する。

このプログラムは、任意のプログラミング言語を使用でき、ソースコード、オブジェクトコードまたはソースコードとオブジェクトコードとの間の中間コードの形、例えば部分的にコンパイルされたフォーマット、または他の任意の所望のフォーマットのコードの形をしていてもよい。

同様に、本発明は、マイクロプロセッサによって読取られ得かつ上述のコンピュータプログラムの命令を有するデータ媒体にも関する。

データ媒体は、プログラムを記憶する能力を有する任意のエンティティまたは装置であり得る。例えば、媒体は、例えばマイクロ回路ＲＯＭなどのＲＯＭ、例えばハードディスクなどの磁気記録手段またはフラッシュメモリなどの記憶手段を含むことができる。

さらに、データ媒体は、無線または他の手段により、電気ケーブルまたは光ケーブルを介してルーティングされ得る電気または光信号などの通信可能な媒体であり得る。本発明に係るプログラムは、詳細には、インタネットタイプのネットワークの記憶プラットフォーム上にダウンロードされ得る。

代替として、データ媒体は、内部にプログラムが組込まれている集積回路であり得、この回路は、対象の方法を実行するようにまたはこの実行のために使用されるのに適応する。

上述のデータ媒体およびコンピュータプログラムは、それらが実現する方法に類似する特徴および利点を有する。

本発明の実施形態に係る装置のためのアーキテクチャの一例を示す図である。 本発明の実施形態に係る記録方法の概略ステップを流れ図の形で示す図である。 本発明の第１の実施形態に係る記録方法のステップを流れ図の形で示す図である。 本発明の第２の実施形態に係る記録方法のステップを流れ図の形で示す図である。

本発明のさらなる特徴および利点は、全く限定的でない実施形態を示す添付図面を用いて例示される以下の説明全体を通して、より明確となる。

図１は、本発明の実施形態に係る生体計測スマートカード１に関して可能なアーキテクチャの一例を概略的に示す。

生体計測スマートカード１は、例えば銀行カードである。実施形態において、それは、１９９５年以降において支払いカード（スマートカード）のための国際セキュリティ規格であるＥＭＶ（Europay Mastercard Visa）規格に準拠している銀行カードである。一変形形態として、生体計測スマートカード１は、建物のセキュアゾーンに出入りするためのバッジである。

この生体計測スマートカード１は、バスにより、ランダムアクセス（または揮発性）メモリ１２、不揮発性メモリ１４、生体計測センサ１６および通信インタフェース１８に接続された処理ユニット１０（またはマイクロプロセッサ）を含む。

ランダムアクセスメモリ１２は、例えば、本発明を実現する場合に、本発明の実施形態に係る方法を実現する命令を含むコンピュータプログラムを、実行するときに生成され変更される変数およびパラメータを、記録（記憶）するのに適合したレジスタを含むランダムアクセスメモリ（Random Access Memory；ＲＡＭ）である。不揮発性メモリ１４に記憶されたプログラムの命令コードは、処理ユニット１０によって実行されることを目的として、ＲＡＭメモリにロードされる。

不揮発性メモリ１４は、例えば、読取り専用メモリ（Read Only Memory；ＲＯＭ）または電気的消去可能な読取り専用メモリ（Electrically Erasable Read Only Memory；ＥＥＰＲＯＭ）、さらにはフラッシュメモリであり、本発明に係る媒体を形成し得る。すなわち、これは、本発明の実施形態に係る方法を実現する命令を含むコンピュータプログラムを含み得る。

生体計測センサ１６は、例えば、指紋センサ、虹彩または顔スキャナ、さらには心拍数センサである。

通信インタフェース１８は、生体計測スマートカード１が外部装置と通信することを可能にする。外部装置は、例えば、セールスポイントの支払い端末（スマートカード読取り機、さらにはスマートフォン）である。一変形形態として、外部装置は、アクセスバッジ用のバッジ読取り機または識別ユニットである。

実施形態によると、通信インタフェース１８は、ＩＳＯ７８１６規格（接触型通信）、またはＩＳＯ１４４４３もしくはＮＦＣ／ＩＳＯ１５６９３規格（非接触型通信）に準拠している。

実施形態において、生体計測スマートカードは、例えば、生体計測センサが生体計測データアイテムを獲得したときユーザを補助する、１つまたは複数の着色ＬＥＤを含み得る。

図２は、本発明の実施形態に係る記録方法２の概略ステップを流れ図の形で示す。この方法は、例えば、図１の生体計測スマートカード１の要素（elements）によって実現される。

第１のステップ２０の間に、生体計測スマートカード１の生体計測センサ１６は、ユーザの生体計測データアイテムを獲得する。例えば、生体計測センサ１６が指紋センサである場合、生体計測データアイテムは、ユーザの指紋を特徴付ける。生体計測センサ１６のタイプに応じて、生体計測データアイテムは、一変形形態として、ユーザの虹彩、顔さらには心電図さえも特徴付けることができる。したがって、例えば、生体計測データアイテムは、ユーザの虹彩、または顔の写真、虹彩のパターンまたは顔の特徴（例えば、鼻、耳、口の端部などの顔の注目点の相対位置、形状など）のコード化であり得る。

第２のステップ２２中、生体計測スマートカード１は、第１の外部装置から受信したユーザのパーソナルシークレットコードを検証する（verifies）。このパーソナルシークレットコードは、例えば、タッチスクリーンをロック解除する目的などをもつタイプのＰＩＮコード、パスワードまたはパターンなどである。これは、生体計測スマートカードと第２の外部装置との間のトランザクションを認可するために、第１の外部装置上でユーザにより予め入力されたものである。実例として、トランザクションは、銀行取引、または例えば建物に出入りするためのアクセス制御であり得る。

したがって、第１の外部装置は、例えば、セールスポイントの支払い端末（スマートカード読取り機さらにはスマートフォン）またはアクセスバッジ用の識別ユニットもしくはバッジ読取り機である。第２の外部装置は、例えばトランザクションサーバである。一変形形態として、第１の外部装置および第２の外部装置は、同一の装置である。

したがって、このステップ２２の間に、ユーザのパーソナルシークレットコードは検証され、次に、それが正しい場合には、生体計測スマートカード１により認証される。このとき、認証の結果は、第１の外部装置に伝送されて、トランザクションが行なわれ得ることを当該装置に通知し、および／または第２の装置に通知することができる。

その後、トランザクションを認可するために、ステップ２２で受信されたパーソナルシークレットコードが認証された場合、ステップ２４の間に、ステップ２０で獲得された生体計測データは、参照生体計測データアイテムとして生体計測スマートカード１に記録される。有利にも、説明されている方法は、従来の外部装置でパーソナルシークレットコードにより保護される従来のトランザクションに基づいて参照生体計測データアイテムを記録することにより、ユーザが自らの生体計測スマートカードを構成できるようにする。これにより、新規の参照生体計測特徴の記録に関してセキュリティを維持しながら、カード供給者（card supplier）（例えば生体計測銀行カードの場合には銀行）に出向くか、またはアドホック装置に接続することをユーザに余儀なくさせるような面倒な構成は回避される。

この一般的方法の実現の実施例について、ここで、図３および４を参照しながら説明する。

図３は、本発明の第１の実施形態に係る記録方法３のステップを流れ図の形で示す。

この第１の実施形態によると、複数の参照生体計測データアイテムを、例えばテンプレートの形で記録することができ、ここでテンプレートは、予め定められた数の参照生体計測データアイテムを含むことができる。このとき、生体計測スマートカード１は、複数のテンプレートを含んでもよい。

この実施例において、トランザクションはＥＭＶタイプの銀行取引であり、生体計測スマートカード１は銀行カードであり、生体計測センサは指紋センサであり、したがって、生体計測データアイテムは指紋である。しかしながら、本発明の実施形態はこの実施例に限定されず、図２に関して説明されたように、トランザクション、生体計測スマートカード、生体計測センサおよび生体計測データは、別のタイプのものでもよい。

したがって、この実施例では、テンプレートは、同じ指紋（同じ指）の複数の画像を含み得る。さまざまなテンプレートは、複数の異なる指紋（すなわち複数の異なる指）に対応し得る。これは、限定的ではない。１つのテンプレートにつき１つの画像が存在し得、このとき、複数のテンプレートが同じ指紋（同じ指）に対応し得る。

第１のステップ３００は、外部装置（例えば支払い端末）を用いた標準的ＥＭＶトランザクションの開始に対応する。

ステップ３０５の間に、生体計測スマートカード１は、指紋が指紋センサにより検出されたか否かを決定する。検出されなかった場合、ＥＭＶトランザクションは、従来の通りに進められる（ステップ３１０）。

しかしながら、ステップ３０５において指紋が検出された場合、指紋センサは、この指紋に関係する情報を獲得する（ステップ３１５）。例えば、指紋センサは、指紋の写真および画像を取得するか、またはこの指紋を分析してそこからパターンを抽出する。

こうして、この実施例において、生体計測データアイテムは、生体計測センサが指の存在を検出した場合に獲得される。一変形形態として、生体計測データアイテムは、トランザクションの開始時点で（ステップ３００）、またはスマートカードによるパーソナルシークレットコードの認証に応答して（肯定テスト（positive test）３３５）、または、例えばテンプレートの最大数ＮＴｍａｘもしくは認可される生体計測データの最大数ＮＩｍａｘをかんがみて、生体計測データアイテムを記録し得ることがひとたび確実になったときなどの方法における別のときに、獲得され得る。他の実施形態では、生体計測データは、例えば生体計測スマートカードのパワーオンのとき、トランザクションとは独立した形で獲得され得る。

ステップ３２０において、生体計測スマートカード１は、ステップ３１５で獲得された生体計測特徴が、カードにすでに記録された参照生体計測データアイテムに対応するか否かを決定する。対応する場合、トランザクションは、従来通りに進められる（ステップ３１０）。

そうでなければ（対応しない場合）、これには、参照生体計測データアイテムとして記録される新規の生体計測データアイテムが関与し得る。ステップ３２５には、カードに記録されたテンプレートの数が予め定められた最大値ＮＴｍａｘよりも少ないか否かを決定するステップが関与する。少なくない場合、それは、この最大値に到達していることおよび獲得されたデータアイテムが新規の生体計測データアイテムとして記録され得ないことを意味し、そのとき、方法はステップ３１０へと進む。

テンプレートの最大数にまだ到達していない場合、方法は、ＥＭＶトランザクションを認可するために外部装置上でユーザによって入力されたＰＩＮコードのテストを進める（ステップ３３５）。本発明は、上述のようにＰＩＮコードに限定されない。

ＰＩＮコードが正しくない場合、方法は、ステップ３１０を進める。この場合（不正なＰＩＮ）、獲得されたデータアイテムは記録されない。

ＰＩＮコードの試行カウンタ（attempts counter）は、試行最大数（maximum number of attempts）に達した場合にカードをブロックする（すなわちそれ以上使用され得ない）ように増分され得る。

ＰＩＮコードが正しい場合、ステップ３１５で獲得された生体計測データアイテムは、ステップ３４５でテンプレートに配置され、こうして生体計測データアイテムは、参照生体計測データアイテムとしてカードに記録される。テンプレートの生体計測データカウンタＮＩが増分される。この数が、テンプレート内で認可される生体計測データアイテムの最大数ＮＩｍａｘに到達した場合（テスト３５０）、テンプレートは、ステップ３５５で認証される。カードのテンプレート数ＮＴは増分される。

しかしながら、ステップ３５０においてテンプレートの生体計測データアイテムの数ＮＩが最大値ＮＩｍａｘに到達していない場合、トランザクションは、テンプレートの認証無しでステップ３１０まで正常に進む。テンプレートは、当該テンプレートにおいてすでに完了した参照生体計測データアイテムの記録に追加される後続の参照生体計測データアイテムを記録するためになおも使用され得る。

ＥＭＶトランザクションを認可するためのＰＩＮコード（生体計測データアイテムを記録するためにステップ３３５で検証されたものと同じＰＩＮコード）の検証は、トランザクションのステップ３００および／または３１０において独立して処理される。

代替として、獲得された生体計測データアイテムの記録を認可するためのＰＩＮコードの検証（ステップ３３５）は、トランザクションを直接認可するためにも同様に使用可能と考えられる。

したがって、外部装置上でユーザにより入力されたＰＩＮコードを、１つまたは複数のステップの間に１回または複数回検証することができる。

生体計測データアイテムは、トランザクションの続行の如何に関わらず記録される（ステップ３１０）。

ステップ３１０は、例えば、生体計測データアイテムまたはＰＩＮコードによってトランザクションを認証できるようにし得る暗号の生成を含む。

実際、実施形態において、セキュアトランザクションメカニズムを変更するステップが提供されている。この変更により、将来のトランザクションを認可するために、パーソナルシークレットコードの代りに、例えば参照生体計測データアイテムを使用することができる。

実施形態において、セキュアメカニズムのこの変更は、記録された参照生体計測データアイテム（またはテンプレート）の数が認可される最大値ＮＩｍａｘ（またはＮＴｍａｘ）を上回ったとき、自動的に完了する。

しかしながら、満足のいくセキュリティレベルを維持するため、並びに／または追加の生体計測データアイテムもしくは最近の生体計測データアイテムを参照生体計測データアイテムとして記録できるようにするため、トランザクションを認証するためのモードは、デフォルトモード、すなわちユーザのパーソナルシークレットコードに基づくものに復帰可能である。

例えば、デフォルト認証メカニズムへのこの復帰は、規則的に、例えばカードによって予め定められた数のトランザクションが完了したときに発生し得る。

変形形態として、デフォルトモードへのこの復帰は、ランダムに発生し得る。

別の変形形態によると、デフォルトモードへのこの復帰は、記録されたときに関連付けられた有効性情報に従って参照生体計測データアイテムがもはや有効でないことが決定された場合に発生し得る。この有効性情報は、例えば、トランザクションを認証するための参照生体計測データアイテムの有効期間、参照生体計測データアイテムの失効年月日、または参照生体計測データアイテムの最大使用回数である。

「Ｒｅｃｏｒｄｉｎｇ（記録）」とマークされたブロックは、認証モード、すなわちセキュアメカニズム、進行中のトランザクション、ひいてはトランザクションに固有の特徴および／または生体計測スマートカードに固有の特徴に依存するステップを含む。

この実施例では、「Ｒｅｃｏｒｄｉｎｇ」とマークされたブロックのステップは、トランザクションがその認証のためにＰＩＮコードを使用する場合にのみ実行される。

生体計測スマートカードは、ステップ３００の間に、端末上および／またはトランザクションサーバ上で、トランザクションを認証するために使用すべきセキュアメカニズムを指示し（indicate）得る、という点に留意すべきである。このために、生体計測スマートカードは、端末から先に受信したコマンドへの応答にこの指示を含めることができる。例えば、ＥＭＶタイプの銀行取引の場合、生体計測スマートカードは、端末から先に受信したＧＰＯ（Get Processing Option）と呼ばれるコマンドに対する応答を使用する。

トランザクションを有効化するために使用すべきセキュアメカニズムの生体計測スマートカードによる選択には、端末またはトランザクションサーバに固有の１つまたは複数のパラメータが考慮されてもよい。生体計測スマートカードは、例えば、ステップ３００の間に先に受信したコマンドの中で、これらのパラメータを受信することができる。ＥＭＶタイプの銀行取引の場合、端末がサポートするオプションは、概して、ＧＰＯ（Get Processing Option）と呼ばれるコマンドの中でカードに送られる。

先に説明したように、トランザクションを認証するために使用すべきセキュアメカニズムの生体計測スマートカードによる選択には、同様に、テンプレートの認可最大数ＮＴｍａｘおよび１テンプレートあたりの生体計測データアイテムの認可最大数ＮＩｍａｘなどの、生体計測スマートカードの内部の１つまたは複数の要素が考慮に入れられてもよい。

したがって、生体計測スマートカードは、最大認可テンプレート数が認可最大値ＮＴｍａｘに達していない場合および認証されていないテンプレートに記録された参照生体計測データアイテムの数が認可最大値ＮＩｍａｘに達していない場合、トランザクションがＰＩＮコードにより認証されるように要求することができる。こうして、生体計測スマートカードは、ＰＩＮコードの使用を要求することにより、進行中のトランザクションを認証でき、こうして、新規の生体計測データアイテムを参照生体計測データアイテムとして記録できるようにする。

生体計測スマートカードは、同様に、先行するトランザクションの間に、認証されたテンプレートの数が認可最大値ＮＴｍａｘに達していなかった場合およびテンプレートに記録された参照生体計測データアイテムの数が、認可最大値ＮＩｍａｘに達していなかった場合、トランザクションが１つの生体計測特徴により認証されるように要求することもできる。こうして、生体計測スマートカードは、このテンプレートに記録された参照生体計測データアイテムと獲得された生体計測データアイテムとの間の一致の検証を用いて、このテンプレートとトランザクションとの両方を認証することができる。

このような実現モード、または以下で説明する代替的実現モードにおいて、図３に示される方法は、ステップ３５０および３５５を含まないと考える。ステップ３４５の後、方法は、直接ＥＭＶトランザクションの続行に進むと考える（ステップ３１０）。ステップ３５０および３５５は、トランザクション認証モードでパーソナルシークレットコードの代わりに参照生体計測データアイテムが使用される場合にのみ実行されると考えられ、この場合、ステップ３５０は、ステップ３００の後で実行され、ステップ３１０は、ステップ３５０またはステップ３５５の後で実行される。さらに、ＥＭＶトランザクションを認可するための生体計測特徴（テンプレートを認証するために検証されたものと同じ生体計測特徴）の検証は、トランザクションのステップ３００および／または３１０において処理され得る。

代替として、生体計測スマートカードは、先行するトランザクションの間に参照生体計測データアイテムが記録されていた場合には、トランザクションを生体計測特徴により認証するように要求することができると考えられる。この代替案は、各テンプレートが単一の参照生体計測データアイテムのみを格納し得る場合（このとき、同じ指紋に複数のテンプレートが対応し得る）に特に好適であり、したがって、対応するテンプレートおよびトランザクションの両方を認証するために使用すべき先行するトランザクションの間に記録された参照生体計測データアイテムと獲得された生体計測データアイテムとの間の一致の検証を可能にすると考えられる。

有利には、第１の実施形態に係る方法により、ユーザのパーソナルシークレットコードを用いて透明な形（transparent manner）で参照生体計測データアイテムを記録できる。実際、ユーザは、トランザクションのときにこれを行なうことができ、したがって、自らのカードの生体計測特徴を構成するために、異なる場所に出向いたりアドホック構成装置を使用したりする必要がない。

図４は、本発明の第２の実施形態に係る記録方法４のステップを流れ図の形で示す。

この第２の実施形態によると、生体計測スマートカード１は、生体計測データの記録ステップに関する指示を表示させるために外部装置に対してコマンドを送るように構成されている。このとき、外部装置は、参照生体計測データアイテムを記録することにより、ユーザが自らの生体計測スマートカードを構成するのを補助するための指示を表示する。

この実施例では、各テンプレート内のデータアイテムの最大数（ＮＩｍａｘ）に到達するまで、そして全てのテンプレートが完了する（ＮＴｍａｘ）まで、テンプレートに複数の参照生体計測データアイテムが記録される。

代替として、生体計測スマートカードは、トランザクションの間にテンプレートについての参照生体計測データアイテムの最大認可数ＮＩｍａｘを獲得して記録することができると考えられる。

第１のステップ４００は、外部装置（支払い端末など）での標準的ＥＭＶトランザクションの開始に対応する。

ステップ４１０の間に、生体計測スマートカード１は、ＩＳＯ７８１６規格に準拠しているＡＰＤＵフレームを外部装置に送ることによって、この場合ＰＩＮコードであるパーソナルシークレットコードを要求する指示を外部装置が表示するよう要求する。

ステップ４１５の間に、生体計測スマートカード１は、指示が表示された後、トランザクションを認可するため、外部装置上で入力されたＰＩＮコードを検証する。

ＰＩＮコードが正しくない場合、方法は、ＥＭＶトランザクションを進めるステップ４３０へと続行する。この場合、生体計測データは記録されない。最大試行数に達した場合、カードがブロックされる（すなわちそれ以上使用され得ない）ような形で、ＰＩＮコード試行カウンタが増分され得る。

ＰＩＮコードが有効である場合、方法はステップ４２５に進む。

ＥＭＶトランザクションを認可するためのＰＩＮコード（生体計測データアイテムを記録するために検証されたものと同じＰＩＮコード）の検証は、トランザクションのステップ４００および／または４３０において独立して処理される。

代替として、獲得された生体計測データアイテムの記録ステップを認可するためのＰＩＮコードの検証（ステップ４１５）によって、同様に、トランザクションも直接認可することができると考えられる。

したがって、外部装置上でユーザが入力したＰＩＮコードは、１つまたは複数のステップの間に１回以上検証され得る。

ステップ４２５には、カードに記録されたテンプレート数ＮＴが予め定められた最大値ＮＴｍａｘより少ないか否かを決定するステップが関与する。少なくない場合、これは、すなわち、この最大値にすでに到達しており、新規の生体計測データアイテムを新規の参照生体計測データアイテムとして記録することは不可能であることを意味し、そのとき、方法はステップ４３０に進む。

そうでなければ（少ない場合）、生体計測スマートカードは、ＡＰＤＵフレームを外部装置に送って、指紋読取り器上に指を提示するようユーザに依頼する指示を外部装置が表示することを要求する（ステップ４４０）。例えば、指示は、既存のテンプレートを完了させる目的での特定の指の提示、または単に新規テンプレートを作成するための１本の指の提示を要求することができる。

ステップ４５０で、指紋センサは、提示された指の指紋に関する情報を獲得する。例えば、指紋センサは、指紋の写真または画像を取得するか、またはこの指紋を分析して、そこからパターンを抽出する。

ステップ４５５では、スマートカード上に存在するＬＥＤが色を変えて（例えば赤色から緑色へ変える）、獲得の終了を指示する。

ステップ４６０の間に、カードは、テンプレートの生体計測データアイテムの最大数に到達したか否かをテストする。

到達している場合には、生体計測データアイテムが検証される（ステップ４６５）。生体計測データアイテムの検証には、ステップ４５０において獲得された生体計測データとテンプレートに記録された参照生体計測データアイテムとの間の一致を検証するステップが関与する。ステップ４５０で獲得された生体計測データがテンプレートに記録された参照生体計測データアイテムに対応する場合、テンプレートは認証され、テンプレートカウンタＮＴは増分され、生体計測データアイテム数ＮＩはゼロにリセットされる（ステップ４６５）。

そうでなければ（到達していない場合）、ステップ４７０の間に、獲得された生体計測データアイテムはテンプレートに追加され、テンプレート内の生体計測データアイテム数ＮＩは増分される。

その後、方法は、直接ステップ４３０を続行する。

この第２の実施形態により、トランザクションのときに自らのカードを構成する場合のユーザをサポートすることが可能になる。したがって、ユーザは、この目的で銀行に出向いたり特定の装置を使用したりする必要がない。

先の実施例は、本発明の実施形態にすぎず、これにより本発明が限定されることはない。特に、第１および第２の実施形態の特徴を組合せてもよい。

１ 生体計測スマートカード
１０ 処理ユニット
１２ メモリ
１２ ランダムアクセスメモリ
１４ 不揮発性メモリ
１６ 生体計測センサ
１８ 通信インタフェース

Claims (14)

1. 生体計測センサを有する生体計測スマートカードに参照生体計測データアイテムを記録する方法であって、
   前記生体計測センサが獲得した生体計測データアイテムを、参照生体計測データアイテムとして記録すること（２４）は、
   第１の外部装置を用いて、前記生体計測スマートカードと第２の外部装置との間のトランザクションを認可するため、前記生体計測スマートカードが、前記第１の外部装置上で入力された前記生体計測スマートカードのユーザのパーソナルシークレットコードを認証すること（２２）に応答して、完了する、ことを特徴とする方法。
2. 前記生体計測スマートカードがパワーオンされるとき、もしくは前記トランザクションが開始されるとき、または前記スマートカードが前記パーソナルシークレットコードを認証することに応答して、
   前記生体計測センサによって前記生体計測データアイテムが獲得されること（２０）は、完了する、請求項１に記載の方法。
3. 前記パーソナルシークレットコードは、ＰＩＮコードである、請求項１または２に記載の方法。
4. 前記生体計測データアイテムを記録することに関する指示を表示するコマンドを、前記第１の外部装置に送るステップ（４４０）をさらに有する、請求項１ないし３のいずれか一項に記載の方法。
5. 将来のトランザクションを認可するために前記パーソナルシークレットコードの代りに前記参照生体計測データアイテムが使用されるようセキュアトランザクションメカニズムを変更するステップをさらに有する、請求項１ないし４のいずれか一項に記載の方法。
6. 複数の参照生体計測データアイテムは、前記生体計測スマートカードに記録され、
   前記セキュアメカニズムを変更するステップは、記録された参照生体計測データアイテムの数が予め定められた閾値を超えたとき、完了する、請求項５に記載の方法。
7. 前記セキュアメカニズムを変更することは、予め定められたイベントを検出したときまたはランダムに取り消され、トランザクションを認可するのに前記パーソナルシークレットコードが再び使用される、請求項５または６に記載の方法。
8. 前記予め定められたイベントには、前記生体計測スマートカードによって完了されるトランザクションの予め定義された最大数に達成することが関与する、請求項７に記載の方法。
9. 前記生体計測データアイテムを参照生体計測データアイテムとして記録することは、前記参照生体計測データアイテムと有効性情報とを関連付けることを有し、
   前記予め定められたイベントは、前記関連付けられた有効性情報と関連して前記参照生体計測データアイテムの無効性を決定することである、請求項７または８に記載の方法。
10. 前記有効性情報は、前記参照生体計測データアイテムの有効期間、前記参照生体計測データアイテムの失効年月日またはトランザクションを認証するための前記参照生体計測データアイテムの最大使用回数を定義する、請求項９に記載の方法。
11. 前記第１の外部装置は、前記第２の外部装置である、請求項１ないし１０のいずれか一項に記載の方法。
12. − 生体計測スマートカードのユーザの生体計測データアイテムを獲得するように構成された生体計測センサ（１６）と、
    − 前記獲得された生体計測データアイテムを記憶するように構成されたメモリ（１４）と、
    − 前記獲得された生体計測データアイテムを記憶するように構成されたマイクロコントローラ（１０）と、
    − 第１の外部装置と通信するインタフェース（１８）と、を有する生体計測スマートカード（１）であって、
    前記生体計測センサが獲得した前記生体計測データアイテムを、参照生体計測データアイテムとして前記生体計測スマートカードの前記メモリに記録することは、
    前記第１の外部装置を用いて、前記生体計測スマートカードと第２の外部装置との間のトランザクションを認可するため、前記生体計測スマートカードが、前記第１の外部装置上で入力された前記生体計測スマートカードのユーザのパーソナルシークレットコードを認証すること（２２）に依存する、ことを特徴とする生体計測スマートカード（１）。
13. 前記通信インタフェース（１８）は、ＩＳＯ７８１６規格に準拠している接触型通信インタフェース、または、ＩＳＯ１４４４３および／もしくはＩＳＯ１５６９３規格に準拠している非接触型通信インタフェースである、請求項１２に記載の生体計測スマートカード（１）。
14. 前記生体計測データアイテムは、指紋、虹彩、顔、または心電図を特徴付けする、請求項１２または１３に記載の生体計測スマートカード（１）。