JP4597189B2 - 同一実行のための人物識別制御方法及びシステム - Google Patents

Description

本発明は、人物の識別制御に関する。具体的には、人物の識別の固有手段の生成に関する。

本発明の特に有利な用途は、限定的ではないが、識別の固有手段を取得した人物への資格の付与を制御することにある。

“資格”という言葉は、最も広く理解されるべきであり、人物への資格の付与は、この人物に提供される可能性の具体的な実現として理解される。一例として、人物は例えば、運転免許、建物アクセスバッジ、それらに付与される輸送パス、或いは社会保障制度における退職金、補償金、又は返金の割当て等を有することができる。

そのような資格の付与は、一般に数回同じ人物に同じ資格の付与を希望しない限りにおいて、固有性の問題に直面している。

故に、所定の最近のシステムは、以下の原理に従って動作する：それらに付与される資格を有することを希望する人物はまず、それらの身元（例えばそれらの姓及び名）を提示し、その後この身元のチェックは、一般的に限定され、むしろ信用できない手段で実行される。次に、チェックは、例えば既に関連資格を取得した全ての人物の身元が記憶されるデータベースを閲覧することによって、この身元を持つ人物が未だ要求した資格を受け取っていないか否かを確認するために行われる。人物が未だにこの資格を取得していないことをチェックが示す場合、後者はその時、それらに付与され、この情報は、データベースで考慮される。

しかし、関連人物が１つ以上の身元を不正使用した場合、それらは、それらがシステムに提示する身元の数に等しい数の資格を取得することができる。資格を付与する固有性は故に、そのようなシステムで確実にされない。

さらに、そのようなシステムは、それらがそれらの能力、例えば匿名個人の団体のそれらの会員に基づいて人物に資格を付与することができないように、人物の身元とともに資格を付与する。

これらの欠点を限定するために、具体的には、人物の識別の信頼性をさらに高めるために、人物に関連付けられるバイオメトリックデータを使用することが知られる。結果として生じる原理は、図１及び２に図示される。

図１は、人物の識別の手段が生成される間での、いわゆる登録の前の局面を示し、識別のこの手段は、人物のバイオメトリックデータとそれらの身元との間の関係を生成する。故に、人物１は、バイオメトリ３、即ち指紋、それらの目の虹彩の特性等、それらを特徴付けるバイオメトリックデータを所有する。人物１は、それらの身元４を提示し、その後確認される（ステップ５）。次に、関連付けは、人物１のバイオメトリ３及び身元４の間で行われる(ステップ６)。この関係は、最終的に人物１に関連付けられる識別の手段上に記憶される。識別の手段は一般的に、それらが単にそれらのバイオメトリ３とそれらの身元４との間の関係の跡を所有するように、人物自身によって保持される。人物に関連付けられる識別のそのような手段は一般に、バイオメトリックトークンと呼ばれる。それは例えば、人物の指紋が添付されたＩＤカードの形式をとりうる。

図２は、資格の付与の後の局面を示す。資格の付与を要求する人物２は、図１に図示される原理に従って前の登録の対象だったに違いない。この人物のバイオメトリ８はその後、それらの登録の間にこの人物に関連付けられるバイオメトリックトークン９上に保持されたそれと比較される。バイオメトリが一致する場合（ステップ１０）、その後それらの登録の間に確認のためにそれらが提示しかつこの人物のバイオメトリ８に関してバイオメトリックトークン９上に記憶された身元に基づき比較的信頼性のある方法で（ステップ１１）人物２の身元を読み出すことを可能にする。その後、ステップ１２において、チェックは、問題になっている資格が、既に読取られた身元に関して取得されたか否かを確認するために行われる。これを行うために、検索は、問題になっている資格を取得した人物の身元を記憶するデータベース１３で前記身元の存在のために実行される。人物２が未だ資格を取得していなかった場合、後者は最終的に、ステップ１４でそれらに付与され、この情報は、データベース１３で考慮される。

この動作態様は故に、各人物によって提示されかつそれらの登録の間に確認される身元がこの人物の独自のバイオメトリックデータと予めこの人物に発行されるバイオメトリックトークンとに基づき読み出されるので、人物の識別の信頼性を高める。

しかし、それは、資格の付与の固有性を保証しない。具体的には、一連の登録の間に取得される、いくつかのバイオメトリックトークンを所有する人物は、毎回異なるバイオメトリックトークンで、数回付与される資格を取得することができる。これは特に、人物が各トークンに対し異なる身元でいくつかのバイオメトリックトークンを取得する時に正しく、これは、特に身元の確認のステップ５が低い信頼性である時に発生しうる。

この問題を改善する周知で効果的な方法は、各人物のバイオメトリ及び身元の間の関係を集中データベースで記憶することにある。図３は、この動作態様に関して登録の局面を図示する。人物１５は、バイオメトリ１６を所有し、ステップ１８でチェックによって確認される身元１７を提示する。ステップ１９において、チェックは、既にバイオメトリックトークンが生成された人物のバイオメトリ／身元の１組を記憶する身元のデータベース２０において提示された身元１７の存在を検索することによってバイオメトリックトークンが既に人物１５に割り当てられているか否かを確認するために行われる。人物１５が未だバイオメトリックトークンを有していなかった場合、その時ステップ２１でそれらに対して生成され、従って単一のバイオメトリックトークンが各人物のために生成されることを保証する。データベース２０は最終的に、新たなトークンの生成を考慮するために更新される。

その後、資格は、必要があれば、図２に図示される場合のように付与されうる。

しかし、図３に図示される動作態様は、人物のバイオメトリックデータ及び身元がデータベース２０との対応において設置されることを要求する。そのような対応は、それが資格の単一付与以外の目的に使用されることにより個人の自由に逆行しうるので、むしろ望ましくない。それはまた、所定の国で個人の自由の保護の点で法規定に反することになる。

本発明の目的は、個人の自由を妨げない人物の識別を許容することによって、上述の欠点を限定することにある。

本発明のもう１つの目的は、例えばこれらの人物に資格の付与を制御する機会を与え、それにより各人物、それらのバイオメトリ、及びそれらの身元にリンクするデータベースを生成しないことに着目して、人物に関連付けられる識別の手段の固有性の信頼性を高めることにある。

本発明のもう１つの目的は、資格の付与の間に詐欺の可能性を限定することにある。

さらに本発明のもう１つの目的は、それらの身元の生成をすることなく人物への資格の付与の制御を許容することにある。

故に本発明は、少なくとも１人の人物に関連付けられる識別の固有手段を生成する局面を具備する、人物の識別制御の方法であって：／ａ／前記人物に関するバイオメトリックデータを検出する段階と；／ｂ／前記人物に関するバイオメトリックデータと予めバイオメトリックデータベースに記憶されるバイオメトリックデータとの間の一致を検索する段階と；バイオメトリックデータベースは、記憶されたバイオメトリックデータに関連して人物の身元を含まず、前記予め記憶されるバイオメトリックデータは、識別の手段が予め生成されている人物に関し；一致が見られない時：／ｃ／前記人物に関するバイオメトリックデータと前記人物の少なくとも１つの身元とから前記人物に関連付けられる識別の手段を生成する段階と；を具備することを特徴とする方法を提供する。

方法の段階／ｂ／は故に、識別の手段、例えばバイオメトリックトークンが未だ過去に関連人物に関連付けられていないのを確実にすることが可能である。故に、識別のいくつかの手段を取得する同一人物の可能性を限定する。

本発明の有利な実施形態によると、前記人物に少なくとも１つの資格を付与する第２の局面をさらに具備し：／ｅ／前記人物は、予めそれに関連付けられた識別の手段の助けでそれらを識別し；かつ／ｆ／前記資格が既に所定数に等しい回数前記人物に付与されていなかった時、前記資格は、前記人物に付与される；ことを特徴とする。

資格の付与は、予め前記人物に対して生成される識別の固有手段に基づき人物の識別を対象にし、人物は故に、識別の識別手段に基づきそれら自身を識別することによって数回資格が付与されうることから防止される。

方法の局面は、少なくとも１人の人物に適用され、即ちバイオメトリックトークンが所定人物又は所定人物の１グループに関連付けられる。同様に、資格又は複数の資格は、所定人物又は所定人物の１グループに付与される。

本発明の特定の実施形態において、人物の身元のチェックは、段階／ｂ／の前に実行される。

資格の付与は、識別子に基づき実行され、前記人物の身元若しくはそこに関連付けられたバイオメトリックトークンの識別子にすることができる（匿名態様）。

本発明の特定の実施形態において、バイオメトリックトークンの識別子は、同一人物又は人物の同一グループにもう１つが生成される前に無効にされる。これは例えば、人物がその最初のバイオメトリックトークンを喪失したことを主張する時に発生する。故に、同一人物又は人物の同一グループに対しトークンを多数生成すること、場合によってはこれらの人物に対する資格の多数の付与を発生させることを有利に防止する。

本発明の特定の実施形態において、キーは、各人物に対して計算され、その後その身元に関連付けられる。それは例えば、人物のバイオメトリック要素に基づき計算されるバイオメトリックキーにすることができるが、人物をそのキーに基づき容易に読み出すことができないように脆弱に計算される。このキーはまた、ランダムに生成でき、その場合さらに、関連人物のバイオメトリに関連付けられる。

本発明はさらに、上述した方法を実行するための手段を具備するシステムを提供する。

方法の第１局面のみが実行される時、システムはその時装置にリンクされうる。

他方で、方法がこの人物に少なくとも１つの資格を付与する第２局面だけでなく、少なくとも１人の人物に関連付けられる識別の固有手段を生成する第１局面を具備する時、システムはその時、装置の同一部分内で方法の各２局面を実行できる機能的手段、或いは方法の２つの主要局面の１つの実行をそれぞれ確実にする個別の物理的エンティティを具備しうる。

本発明の他の特徴及び利点は、添付図面を参照して、典型的な実施形態を限定しない以下の詳細な説明において明らかとなる。

図４は、本発明による登録の１局面を説明する基本的な図であり、場合によって資格の付与に先立つことができる。この登録の局面は、先に説明したように同一人物に識別の多数の手段を生成する問題を回避するように、人物２２の識別の固有の手段を生成することにある。

この図によると、人物２２は、その固有のバイオメトリックデータを有し、この人物２２のバイオメトリ２３は、既に登録の対象、即ち既に識別の手段を取得している人物のバイオメトリックデータに応答して検出され、その後バイオメトリックデータベース２６に記憶される一連のバイオメトリと比較される。人物２２のバイオメトリ２３がデータベース２６に記憶されるバイオメトリの１つに一致する場合、これは、人物２２が既に登録の対象であることを意味し、故に既にバイオメトリックトークンを受取ったことを意味する。この場合、例えばこの人物２２のためにバイオメトリックトークンを再生成しないことを決定するか或いは追加のチェックを続行することができる。ステップ２５において、バイオメトリ２３とベース２６に記憶されるバイオメトリとの間で一致が見られない時、これは、人物２２が未だ登録の対象ではないことを意味し、そしてこれは、この人物２２に対する識別の手段の生成を正当化する。確認ステップ２５は、関連人物をそのまま特徴付けるバイオメトリックデータに基づくので、特に正確であることに留意すべきである。

さらに、登録手続に従うことを望む人物２２は、それらの身元２４を提示する。この身元はその後、ステップ２７において確認チェックの対象となり、このチェックは、各種方法をとりうる。例えば、登録を申し出ようとする全ての人物に関する身元情報を含むデータベース２８で、提示された身元２４の存在を確認することができる。

人物２２に対して最終的に生成されるバイオメトリックトークン２９は、バイオメトリ２３とこの人物の身元２４とから構成される。例えば、このトークンは、トークンの固有の識別子だけでなく、バイオメトリ２３の要素、身元２４の要素を具備する。これは例えば、人物２２の指紋が添付された身分証明書にすることができる。

故に、図４に図示される登録は、関連人物が既にトークンを取得しているか否かを確認するチェックがステップ２５で行われる限りにおいて、所定人物に固有な識別の手段を生成することを可能にする。故に、同一人物に対するいくつかのバイオメトリックトークンの付与を防止し、従って例えば、この人物によって取得される各種バイオメトリックトークンに基づきいくつかの資格の付与を取得するために、これら各種トークンを以後に使用する可能性を限定する。

人物２２に関連付けられるバイオメトリックトークン２９の生成の後、データベース２６は、１度バイオメトリックトークン２９が取得されたら、人物２２が新たな登録手続きの間にバイオメトリックトークンを取得できないように、バイオメトリ２３を考慮するために有利に更新される。

本発明の有利な実施形態において、バイオメトリックデータベース２６は、バイオメトリの要素だけでなく、トークンの識別子も記憶する。故に、ベース２６に記憶される各バイオメトリは、前記バイオメトリを所有する人物に付与されたバイオメトリックトークン識別子に関連付けられる。確認されたバイオメトリと付与されたトークンとの間の関係は故に、この関係がトークンを除いてバイオメトリと身元との間の直接的な対応を許容することなく、維持される。具体的には、バイオメトリックトークンの識別子は、身元確認データベースにおいて維持されないが、例えばそのバイオメトリックトークンに組込まれる。

この実施形態において図４を参照すると、故に一度バイオメトリックトークン２９が人物２２に対して生成されたら、人物２２のバイオメトリ２３をバイオメトリックトークン２９の識別子に関連付け、その後バイオメトリックデータベース２６でバイオメトリ２３に関してトークン２９の識別子を記憶するのが適切である（ステップ２９）。

図４を参照して説明される例において、バイオメトリックトークン２９は、人物２２に関連付けられるように生成されたことに留意すべきである。しかし、一連の人物に対してバイオメトリックトークンを生成することも可能である。例えば、固有のトークンは、ファミリーのようなそれらの間の関係を有する人物のグループに対して生成することができる。この場合、生成されたバイオメトリックトークンは、グループの各人物に関するバイオメトリ及び身元の要素を有利に有することができる。

図４Ａ及び４Ｂは、登録の局面に関する変形の実施形態を図示し、人物又は所定の人物のグループに関連付けられる識別の固有の手段が２つの段階で生成される。

図４Ａの人物１０７は、バイオメトリ１０８を所有する。先の場面と同様に、段階１０９において、検索は、例えばバイオメトリ１１０のデータベースでこのバイオメトリの存在を確認することによって、トークンが既にこのバイオメトリ１０８に割り当てられているか否かを確立するために実行される。トークンが未だにバイオメトリ１０８に割り当てられていない場合、人物１０７のバイオメトリ１０８に基づき生成され、データベース１１０は、有利に更新される。故に、バイオメトリックトークン１１１は、この時において単にバイオメトリックデータに基づき取得される。任意に、トークン１１１の識別子は、バイオメトリ１０８に関連付けられ（ステップ１１０）、この関連は、データベース１１０で有利に更新される。

第２の段階において、例えば図４Ａの人物１０７と同一な人物にすることができる人物１１３は、予めそこに関連付けられたバイオメトリックトークンに追加される身元を有することができる。故に、図４Ｂの人物１１３は、予めそれらに関連付けられたバイオメトリックトークン１１５を提示する。チェックは、バイオメトリックトークン１１５が適切に人物１１３に所有されていることを確実にするために、ステップ１１６で行われる。この目的のために、人物１１３のバイオメトリ１１４とバイオメトリックトークン１１５が生成されたことに基づくバイオメトリとの一致が確認され、この情報は、トークン１１５上に有利に登録されている。さらに、人物１１３は、それらの身元１１７を提示する。後者は、例えば、身元１１９のデータベースでこの身元を検索することによって、ステップ１１８における確認チェックの対象になる。確認チェックの後、身元１１７は、バイオメトリックトークン１１５に追加される（ステップ１２０）。

この実施形態による登録は故に、２つの独立した非同期な局面からなる。人物に関連付けられるバイオメトリックトークンは、最終的にバイオメトリックデータ及び身元データに基づき生成されるが、異なる時間でこれらのデータを開示及び登録することが可能であった。

さらに、同一のバイオメトリックトークン上に異なる種類のいくつかの身元を登録するために、（図４Ｂに図示される）登録のような第２の局面を繰り返し実行することが可能である。例えば、身元は、他の身元が職業上の身元である一方で、関連人物が既婚か未婚かに関連することができる。

例えば図４に図示されるような登録手続きの完了時にそれらに付与されたバイオメトリックトークンを所有する人物は、１つ以上の資格を付与する要求をその時にできる。この付与は、資格を要求する人物の身元によって、あるいはそれらの身元から独立して実行されうる。

図５は、それらの身元に基づき人物に資格を付与する場合を図示する。資格を要求する人物３１は例えば、予め登録手続きを受けた人物２２と同一の人物にすることができる。前記人物は、予めそこに関連付けられたバイオメトリックトークン３３だけでなくバイオメトリ３２も所有する。チェックはその後、人物３１のバイオメトリ３２と人物３１によって提示されるバイオメトリックトークン３３上に記憶されるバイオメトリとが本当に一致するか否かをステップ３４で確認するために実行される。もしそうでない場合、これは、人物３１によって提示されるバイオメトリックトークン３３がこの人物に対して生成されず、故にそれらと関連付けられないことを意味する。資格はその時、この種類の場合において付与されない。

他方で、人物３１のバイオメトリ３２とバイオメトリックトークン３３が生成されたことに基づくバイオメトリとが一致する場合、これは、トークン３３が人物３１に正当に所有されていることを意味する。人物３１の身元は、それが登録されているバイオメトリックトークンから読み出される（ステップ３５）。チェックはその後、要求された資格が未だそれらの身元に基づき人物３１に付与されていないことを確認するために実行される（ステップ３６）。この目的のために、チェックは、既に関連資格を取得した全ての人物の身元を記憶する身元のデータベース３７において、ステップ３５で読み出された身元の存在を確認するために行われる。付与が一連の個別の資格に関する場合、身元のデータベース３７は、既に一連の資格の１つを取得した人物が他に付与された資格を引続き取得することを防止しないように、この資格とともに、既に前記一連の資格の中から資格の付与を取得した人物の身元を記憶する。

ステップ３５で読み出された身元が、人物３１によって要求される資格とともにベース３７で出現しない場合、これは、この人物が、それらが要求する資格を未だ付与されていないことを意味する。この資格の付与はその後、ステップ３８で実行される。反対の場合において、人物３１が既に予め付与を取得しているので、人物３１に付与される資格はない。人物３１によって要求される資格がステップ３８で付与される時、データベース３７はその後、この情報を考慮するために更新され、換言すると、人物３１の身元３５は、付与された資格とともにデータベース３７に記憶される。

図５を参照して説明される例において、一度だけ所定人物に資格を付与することを求める。しかし、所定人物又は所定人物のグループに資格を所定回数付与することがありうる。この場合、前記資格と共に各身元に対する資格の実際の付与数に関するインディケーションがデータベース３７にさらに記憶するのに有利でもよい。チェックはその後、人物３１によって要求される資格が既にステップ３５で読出された身元に対して取得されたか否かをステップ３６で確認するために行われる。故に、前記所定数よりも多い回数資格が人物３１に付与されないことを確実にする。

図６は、１人以上の人物に１つ以上の資格を付与する局面の１実施形態を図示し、付与は、人物の身元とは無関係に実行される。バイオメトリを有し、かつバイオメトリックトークン４１を所有する人物３９は、資格を要求する。先の場合と同様に、バイオメトリ４０とバイオメトリックトークン４１が例えば登録手続きにおいて取得されたことに基づく予めトークン４１に記憶されるそれとは、ステップ４２で比較される。バイオメトリが一致する場合、これは、バイオメトリックトークン４１が適切に人物３９に関連付けられていることを意味する。バイオメトリックトークン４１の識別子は、有利にそれ自身バイオメトリックトークン上に登録され、その後ステップ４３で検出される。

その後ステップ４４において、チェックは、人物３９によって要求される資格が既にそのようなトークン識別子に対して取得されているか否かを確認するために行われる。この目的のために、資格を取得した全ての人物のトークンの識別子を記憶するデータベース４５は、有利に閲覧され、トークンの識別子は、この識別子に付与される資格とともに記憶されている。資格が未だそのような識別子に対して取得されていない時、人物３９によって要求される資格はその後、ステップ４６の間にそこに付与され、その後この付与情報は、ステップ４３で取得されるトークンの識別子を、付与された資格と共にデータベース４５へ追加することによって考慮される。

故に、人物３９によって要求される資格は、過去において検出又は記憶されたこの人物の身元とは無関係に、そこに付与されている。この実施形態は、資格が、それらの能力、例えば匿名人物に関連したメンバーによる一連の人物によって要求されうる時に特に有益である。

図５を参照して説明される場合のように、図６の実施形態による人物３９に付与される資格は、固有の方法においてよりむしろ所定回数付与されうる。この場合、同一のトークン識別子に対する資格の付与数は、有利にデータベース４５における追加入力の対象である。

図５及び６で図示される実施形態による資格の付与は故に、資格の付与を要求する各人物が登録の先の局面の間で固有のバイオメトリックトークンを取得する限りにおいて制御され、その後資格は、このバイオメトリックトークンから利用可能な情報に基づいて条件付きでそこに付与される。同一人物に所定回数だけ資格を付与する機会は、故に増大する。

さらに、上述の構成は、一方においてはバイオメトリックデータの効率的な分離を許容し、他方では人物の身元についても許容する。具体的には、登録の局面で使用されるデータベースは、資格付与局面のように、バイオメトリ情報及び人物身元関連情報の両方を含まない。所定人物に関して登録局面の間に生成されるバイオメトリックトークンだけは、この人物の身元とバイオメトリとの間の関係が一般に前記人物以外から利用可能でなはないように、この関係を含む。

本発明を実施するための手段に関する限り、第１エンティティ１０５は、登録局面の実施を担当することができる。この場合、このエンティティ１０５はその時、全体システム１０４に適合する装置である。

資格を付与する第２の局面がさらに実施される場合、第２エンティティ１０６は、図１２で図式的に示されるように、資格を付与するのを担当する。全体システム１０４はその時、２つの個別エンティティ１０５及び１０６からなり、資格の付与を許容する。各エンティティは、システム１０４内で独立して動作でき、言い換えれば、人物は、それらにバイオメトリックトークンが割り当てられることを第１段階で要求することができる。この動作はその後、エンティティ１０５の助けで実行される。次に、前記人物は、それらの登録に続いて即座に、又は反対にそれらの登録の後に首尾よく資格の付与を要求することができる。資格の付与はその後、エンティティ１０６によって実行される。以下に説明される他の実施形態において、インタラクションは、２つのエンティティ１０５及び１０６で可能である。

変形として、資格の付与を許容するシステム１０４は、上述した登録局面を実施できる第１機能手段と（１０５はその時、これらの第１機能手段を指定する）、上述した第２局面に関して資格を付与できる第２機能手段と（１０６はその時、これらの第２機能手段を指定する）を、装置単体内で一緒にグループ化できる。

上述した本発明の実施形態は、人物が恐らくいくつかのバイオメトリックトークンに関連付けられるリスクと人物が恐らく何度か同じ資格を続けて付与されるリスクとを完全に回避することができないが、いくつかの異なる身元を宣言することによってそれを行う。

具体的に、図４の人物２２が登録局面の完了で固有のバイオメトリックトークン２９を取得し、その後それらのトークン２９を喪失したことを主張する場合、予め宣言された身元２４とは異なる新たな身元をそれらが提示している最中に新たな登録局面を受けることができる。実際しばしば発生するように、身元２７を確認する段階が十分に信頼性のない場合、人物２２は、そのバイオメトリ２３から、及びそれらが宣言した新たな身元から生成される新たなバイオメトリックトークンを取得することが可能である。この同一人物は、人物２２によって宣言される新たな身元に対して、又はこの人物によって新たに取得されるトークンの識別子に対して未だ資格が付与されていないので、例えば図５又は６を参照して説明される原理に従って、それらが既に取得した資格の付与を取得することができる。

図７は、各種身元に基づき同一人物に対していくつかのバイオメトリックトークンの生成を禁止すること、そして故に、宣言されたそれらの各種身元に基づき、この同一人物への同一資格の多重付与のリスクを低減することを目的とする登録局面の１実施形態を示す。故に、図７によると、人物４７は、図４を参照して説明された方法と類似の方法で、それらがそれらの最初の登録の間に提示する身元４９とそれらのバイオメトリ４８とに基づき最初の固有バイオメトリックトークン５６を取得することができる。以降、この同一人物４７は、新たな身元４９を提示することによって割り当てられる新たなバイオメトリックトークンの取得を試みると考えられる。この場合、ステップ５０は、既にトークンを取得した人物のバイオメトリを記憶するデータベース５１から人物４７のバイオメトリ４８を読み出すことによってバイオメトリックトークンが既にこの人物に割り当てられていることを検出し、これらのバイオメトリは、各トークンの識別子に対する基礎において関連付けられている。

チェックはその後、ステップ５２で人物４７によって提示される新たな身元４９を確認するために行われる。それらがそれらの最初の登録の間に提示したそこから人物４７が異なる身元４９を提示する既存のリスクを仮定すると、ステップ５２の身元の確認は、例えば人物の身元上に多数の情報を含める身元のデータベース５３に問合せることによって、この場合において高い信頼性で有利に実行される。人物４７によって提示される身元４９が誤っている場合、その時この人物に新たなバイオメトリックトークンを生成しないことを選択することが可能である。

さらに、トークンが既に人物４７に割り当てられていることをステップ５０が明らかにした時、予めこの人物４７によって取得されたバイオメトリックトークンの身元は、無効にされる（ステップ５４）。この無効は、人物４７に関連付けられる古いトークン識別子、言い換えれば予め人物４７によって取得されるバイオメトリックの識別子を、無効識別子５５のリストに登録することによって行われうる。

このリストは、データベースに記憶されうる。資格の付与を許容するシステムが２つの個別のエンティティ（１つは、トークンを生成するため、もう１つは、実際に資格を付与するため）を具備する時、無効識別子５５のリストを含むデータベースは、資格の付与を担当するエンティティ（図１２のエンティティ１０６）によって閲覧可能でなければならない。

変形として、登録局面を実施するエンティティ（図１２のエンティティ１０５）によってセットアップされる無効識別子５５のリストは、資格の付与を担当するエンティティ（図１２のエンティティ１０６）に送信される。この送信は、多種の態様に従って行われうる。例えば、無効識別子の全リストが各期間で送信されるか、或いは最終期間が新たな期間の間に送信されるので無効識別子のみがリスト５５に追加されることが、周期的に行われうる。無効識別子の瞬時の送信を有するために、この識別子がリスト５５に追加されるとすぐに、資格の付与を担当するエンティティに再び各無効識別子を送信することが可能である。

予め人物４７に対して生成されるバイオメトリックトークンの識別子の無効は故に、人物４７が２つの異なるバイオメトリックトークンを有効にできることを防止しうる。

資格の後続付与はその後、人物によって提示されるバイオメトリックトークンが実際に有効であるという事実によって継続される。図８は、資格を付与するそのような態様を図示する。バイオメトリックトークン６１だけでなくバイオメトリ６０を有する人物５９は、１つ以上の資格を付与することを要求する。付与に関する上述の場合のように、チェックは、バイオメトリ６０と、先の登録局面の間に生成されるバイオメトリックトークン６１上に記憶されるそれとの間の一致を確認するためにステップ６２で行われる。バイオメトリが一致する時、チェックは、人物５９に関連付けられるバイオメトリックトークン６１の識別子が有効か否か、或いはそれが予め無効にされていたか否かを確認するためにステップ６３で実行される。この目的のために、チェックは、無効識別子６４のリストにバイオメトリックトークン６１の識別子の存在又は不在を確認するために実行される。

無効識別子６４のリストは、無効識別子５５のリストに基づき取得される。例えば、無効識別子５５のリストが資格の付与を担当するエンティティ（物理的又は機能的）からアクセス可能なデータベースに記憶されている時、リスト６４はその時、リスト５５と同一であり、それは、関連バイオメトリックトークンの無効又は非無効を決定するために前記データベースを閲覧するのに十分である。代替として、リスト６４は、リスト５５とは異なるが、資格の付与を担当するエンティティのメモリ空間への無効識別子の送信の間に後者に基づき更新され、前記送信は場合によって、上述のように、瞬時又は周期的、部分的又は全体である。

ステップ６３において、人物５９によって使用されるバイオメトリックトークン６１の識別子が無効にされていたと決定される場合、その時人物５９に要求される資格を付与しないことを選択することが可能である。反対に、人物５９に関連付けられるバイオメトリックトークン６１の識別子が実際に有効である場合、バイオメトリックトークン６１上に登録される人物５９の身元６５が１回又はより一般には所定回数で既に同一資格の付与の対象ではなかったことを確認した後、ステップ６８の間に人物５９に資格を付与するために、図５を参照して先に説明された場合のように進行する。

図９に図示される実施形態において、要求される資格は、図６を参照して上述した場合のように、それに関連付けられるバイオメトリックトークン７１の識別子に基づき人物６９に付与される。図８に図示された場合のように、チェックは、無効識別子５５の上述したリストに基づき編集される無効識別子７４のリストを閲覧することによって、バイオメトリックトークン７１の識別子が予め無効にされていないことを確認するためにステップ７３において行われる。

上述した本発明の実施形態は、人物が他の人物の身元を不正使用し、それによりこの不正使用された身元に関するバイオメトリックトークンを取得して、この他の人物に損害をもたらすことがある可能性を排除しない。図７の人物４７が最初のバイオメトリックトークン５６を取得して、その後それを喪失したことを主張する場合、前記人物はその時、それらが他の人物４７の身元を提示する間に新たな登録局面の対象となりうる。ステップ５２の身元の確認が十分信頼できない場合、その時人物４７は、それらの固有のバイオメトリ４８と人物４７の身元とに基づき生成される新たなバイオメトリックトークンを取得することが可能である。

この状況を回避するために、図１０及び１１に図示される実施形態の１つに従って進行することが可能である。図１０は、それらがステップ８７で確認を提示する身元８０とバイオメトリ７９とを有する人物７８を示す。既にトークンを取得した全ての人物のバイオメトリを含むデータベース８３でバイオメトリ７９を検索する間に、バイオメトリがそれぞれ対応トークンの識別子に関連付けられ、人物７８がバイオメトリックトークンの生成を一度も要求していないことに留意する場合、その時バイオメトリックトークン８４は、人物７８のバイオメトリ７９とそれらが宣言しかつステップ８７で確認された身元８０とに基づき生成される。人物７８のバイオメトリ７９はその後、データベース８３での新たな入力の対象になるために、バイオメトリックトークン８４の識別子に関連付けられる（ステップ８５）。

さらに、人物７８に関するバイオメトリックキーが計算される（ステップ８６）。このバイオメトリックキーは、可能性の選択された所定レベルを備える任意の他の人物とは異なるキー値を後者が有するのに十分な、人物７８を特徴付けるのにふさわしい、強力でかつ再現可能な方法で生成されるコードであるが、人物７８に関するバイオメトリックデータを読み出すことを可能にすることを特徴とするのに十分ではない。

一例として、資格の付与を要求しそうな人物の数が数百万又は数千万の人物の人口である時、バイオメトリックキーは、数十又は数百の異なる値をとることができる。それは例えば、ＡとＺとの間のアルファベット文字、或いは００と９９との間の２桁数字（１００種類の値）を値としてとりうる。バイオメトリックキーの値の数は、ブルートフォースによって全ての組合せを計算するのに必要な計算力に有利に適合される。

バイオメトリックキーは、関連人物のバイオメトリック要素に基づき計算される。例えば、人物７８を識別するのに使用されるバイオメトリックデータ７９が指紋である場合、この人物７８のためにステップ８６で計算されるバイオメトリックキーは、暗号化が指紋の様々な可能性のある形状に対する暗号の略均一な配分を取得するのを可能にすることを当然に仮定すると、この人物７８の指の各プリントの一般形状の暗号化に基づき取得されうる。変形として、人物７８のインタレストのバイオメトリックデータ７９は、人物７８の目の虹彩に関する。この場合、バイオメトリックキーは、虹彩の暗号化に基づき統計的動作に従って有利に計算されうる。

一度バイオメトリックキーが人物７８のために計算されると、人物７８の身元は、この人物のために生成されるトークン８４から読み出される（ステップ９２）。次に、ステップ８６で取得されるバイオメトリックキーは、人物７８の身元にそれをリンクする一方で、データベース８９に記憶される。これは、資格の付与を要求しそうな人物の全ての身元をデータベース８９が記憶し、各身元は、対応人物のバイオメトリックキーに関連付けられているといえる。このような場合において、身元に関する情報はその時、バイオメトリ情報と共に記憶される。しかし、バイオメトリックキーの計算に対する上述の脆弱な識別態様を考えると、ベース８９に記憶される関係がそれらのバイオメトリに基づき人物の身元を読み出すことを可能にしうること、又はその逆を恐れる必要はない。

引続き人物７８が他の人物の身元を不正使用し、この不正使用した身元に基づきバイオメトリックトークンが生成されることを望む場合、以下のように進行する：人物７８が既に割り当てられたバイオメトリックトークンを有していることを検出した後（ステップ８２）、人物７８に関連付けられるバイオメトリックキー８１が計算される。次に、人物７８によって宣言される身元８０に基づき、チェックは、できれば現在の場合よりもさらに信頼性のある方法で、この身元を確認するために実行される（ステップ８７）。その時、ステップ８８において、バイオメトリックキー８１は、データベース８９で人物７８によって提示される身元８０に関連付けられるバイオメトリックキーと比較される。

比較されたバイオメトリックキーが同一である場合、その後身元８０が実際に人物７８のそれであるという確実性の妥当な割合でそこから決定することが可能となる。他方で、比較されたバイオメトリックキーが互いに異なる場合、人物７８によって提示される身元８０は、確実に不正使用されている。後者の場合において、その後この不正使用されている身元に基づき人物７８に新たなバイオメトリックトークンを生成しないことを選択可能にする。

図７を参照して上述された実施形態のように、人物７８によって提示される身元８０がステップ８７及び８８の完了時に正しかったことが決定された時、人物７８に関連付けられる古いバイオメトリックトークンの識別子を無効にすることを可能にする（ステップ９０）。この目的のために、古いトークン識別子は、無効識別子９１のリストに追加され、前記リストは、資格の実際の付与を担当するエンティティ（物理的又は機能的）に場合によって送信されている。

変形の実施形態において、図１１に図示されるように、人物９３は、予めこの同一人物に関連付けられたバイオメトリックトークンがない一方で、生成されたバイオメトリックトークン９８を有する。次に、ランダムキーは、この人物９３のために計算され（ステップ９９）、一方では人物９３のバイオメトリ９４とともにバイオメトリックデータベース９７に記憶され、もう一方では、この人物に対して生成されるバイオメトリックトークン９８から取得される人物９３の身元とともに身元１０１のデータベースに記憶される。

人物９３が新たな登録局面を受ける場合、ステップ９６は、バイオメトリ９４に基づき、データベース９７を閲覧することによって、バイオメトリックトークンが既に過去にこの人物に関連付けられていることを検出する。次に、かなり注意深いチェックは、人物９３によって提示される身元９５を確認するために実行される（ステップ１００）。また、比較は、バイオメトリ９４に対してデータベース９７に記憶されるランダムキーと、提示された身元９５に対するデータベース１０１でのランダムキーとの間で実行される（ステップ１０２）。

データベース９７及び１０１にそれぞれ記憶されるランダムキーが相互に一致しない場合、この２回目の登録の間に人物９３によって提示される身元９５が不正使用され、既に登録局面を受けた他の人物の身元に対応する確実性の妥当な割合でそこから決定されることを可能にする。

反対に、データベース９７及び１０１に記憶されるランダムキーが同一であることをステップ１０２が示す場合、その時この２番目の登録の間に人物９３によって提示される身元９５が実際にこの人物の身元で、かつ不正使用された身元ではないことがありうる。この場合、予めそれらに割当てられたトークンに代えて、人物９３の注意のために新たなバイオメトリックトークン１０３を生成することを選択可能にする。

この図において表されていないが、上述の場合のように、この人物だけが同時に有効な一つのトークンを有するために、人物９３に関連付けられた古いバイオメトリックトークンの識別子を無効にすることが可能であるのはいうまでもない。

図１１で図示される本発明の実施形態において、ステップ９９におけるキーの計算は、全体的にランダムであり、従って人物のバイオメトリックデータに基づき、対応するキーを検索するという詐欺のリスクを限定する。

この後者の実施形態において、同一の領域（ランダムキー）がバイオメトリックデータベース９７及び身元１０１のデータベースの両方に記憶されることに留意すべきである。しかし、ランダムキーが脆弱に識別するような方法で計算されており（それは例えば、上述の場合のように、数十から数百までの異なる値の間で値をとりうる）、データベース９７及び１０１にアクセスした人物が単にランダムキーに基づき人物の身元とバイオメトリとの間の対応を確実に読み出すことを不可能にする。

図１は、人物を登録する周知態様を示す、既に説明された図である。 図２は、人物に資格を付与する周知態様を示す、既に説明された図である。 図３は、人物を登録するもう１つの周知態様を示す、既に説明された図である。 図４は、本発明による人物を登録する態様を示す図である。 図４Ａは、本発明による人物を登録する態様の第１の局面を示す図である。 図４Ｂは、本発明による人物を登録する態様の第２の局面を示す図である。 図５は、本発明による、それらの識別子の機能として人物に任意の資格を付与する態様を示す図である。 図６は、本発明による、それらの識別子の人物に独立して資格を付与する態様を示す図である。 図７は、本発明の特定の実施形態による、人物を登録する態様を示す図である。 図８は、本発明の特定の態様による、それらの身元の機能として人物に資格を付与する態様を示す図である。 図９は、本発明の特定の実施形態による、それらの身元の人物に独立して資格を付与する態様を示す図である。 図１０は、本発明の他の実施形態による人物の登録の態様を示す図である。 図１１は、本発明の他の実施形態による人物の登録の態様を示す図である。 図１２は、本発明による資格の付与を許容するシステムを簡易化した図である。

符号の説明

２３ バイオメトリ
２４ 身元
２９ バイオメトリックトークン

Claims (25)

1. 少なくとも１人の人物（２２、４７、７８、９３、１０７、１１３）に関連付けられる識別（２９、５６、８４、９８、１０３、１１１）の固有手段を生成する局面を具備する、人物の識別制御の方法であって：
   ／ａ／前記人物に関するバイオメトリックデータ(２３、４８、７９、９４、１０８)を検出する段階と；
   ／ｂ／前記人物に関するバイオメトリックデータと予めバイオメトリックデータベース（２６、５１、８３、９７、１１０）に記憶されるバイオメトリックデータとの間の一致を検索する段階と；
   バイオメトリックデータベースは、記憶されたバイオメトリックデータに関連して人物の身元を含まず、
   前記予め記憶されるバイオメトリックデータは、識別の手段が予め生成されている人物に関し；一致が見られない時：
   ／ｃ／前記人物に関するバイオメトリックデータと前記人物の少なくとも１つの身元（２４、４９、８０、９５、１１７）とから前記人物に関連付けられる識別（２９、５６、８４、９８、１０３、１１１）の手段を生成する段階と；を具備し、
   前記人物（３１、３９、５９、６９）に少なくとも１つの資格を付与する第２の局面をさらに具備し：
   ／ｅ／前記人物は、予めそれに関連付けられた識別（３３、４１、６１、７１）の手段の助けでそれらを識別し；かつ
   ／ｆ／前記資格が既に所定数に等しい回数前記人物に付与されていなかった時、前記資格は、前記人物に付与され；
   段階／ｆ／は、識別子（３５、４３、６５）に基づき、既に人物に付与された資格の、資格のデータベース（３７、４５、６７、７６）での閲覧を具備することを特徴とする方法。
2. ／ｄ／バイオメトリックデータベースに前記人物に関するバイオメトリックデータを追加する段階をさらに具備することを特徴とする請求項１に記載の方法。
3. 段階／ｄ／の間、バイオメトリックデータ（４８、７９）は、前記人物（４７、７８）に関連付けられる識別（５６、８４）の前記手段の固有識別子に関してバイオメトリックデータベース（５１、８３）に追加されることを特徴とする請求項２に記載の方法。
4. 前記人物（２２、４７、７８、９３、１１３）の身元の確認（２７、５２、８７、１００、１１８）の段階をさらに具備することを特徴とする請求項１から３のうち何れか１項に記載の方法。
5. 身元の確認は、一致が段階／ｂ／で見られた人物に対して高い信頼性で実行されることを特徴とする請求項４に記載の方法。
6. 前記人物（１０７）に関連付けられる識別の手段の、段階／ｃ／における生成は、前記人物に関するバイオメトリックデータ（１０８）から最初に実行され、その後前記人物の少なくとも１つの身元（１１７）の追加で補足されることを特徴とする請求項１から５のうち何れか１項に記載の方法。
7. 前記人物（７８、９３）に関連付けられる識別（８４、９８、１０３）の固有手段を生成する局面は：
   −前記人物に関連付けられるキーを計算する段階と、
   前記キーは、識別の固有手段の生成を要求しようとする人物の数よりもかなり小さな数をとり、かつ任意の２人の人物が確率性の所定レベルで異なるキーに関連付けられるのに十分高い値であることができ；
   −前記人物の身元に関して身元（８９、１０１）のデータベースに前記キーを記憶する段階と；
   を具備することを特徴とする請求項１から６のうち何れか１項に記載の方法。
8. キーの値の数は、ブルートフォースによって全ての組合せを計算するのに必要な計算力を考慮するような方法で選択されることを特徴とする請求項７に記載の方法。
9. 識別の固有手段の生成を要求しようとする人物の数が数百万又は数千万である時、キーの値の数は、実質的に数十と数百との間に位置することを特徴とする請求項７又は８に記載の方法。
10. キーの計算は、前記人物（７８）に関するバイオメトリックデータから実行されることを特徴とする請求項７から９のうち何れか１項に記載の方法。
11. キーの計算は、少なくとも前記人物の任意の指のプリントの一般形状から実行されることを特徴とする請求項１０に記載の方法。
12. キーの計算は、前記人物の目の虹彩に関する情報から実行されることを特徴とする請求項１０又は１１に記載の方法。
13. 一致がステップ／ｂ／で見られた時：
    −前記人物（７８）の身元（８０）を取得する段階と；
    −前記人物に関連付けられるキー（８１）を計算する段階と；
    −前記人物に対して取得される身元に関して身元（８９）のデータベースに記憶されるキーと計算されるキーとを比較する段階と；
    −前記計算されるキーと記憶されるキーとの間の比較の結果の関数として段階／ｃ／を選択的に実行する段階と；
    を具備することを特徴とする請求項１０から１２のうち何れか１項に記載の方法。
14. キーの計算は、ランダムであることを特徴とする請求項７から９のうち何れか１項に記載の方法。
15. キーはさらに、前記人物（９３）に関するバイオメトリックデータに関してバイオメトリックデータベース(９７)に記憶されることを特徴とする請求項１４に記載の方法。
16. 一致がステップ／ｂ／で見られた時：
    −前記人物（９３）の身元（９５）を取得する段階と；
    −前記人物に関するバイオメトリックデータに関してバイオメトリックデータベース（９７）に記憶されるキーを取得する段階と；
    −前記人物に対して取得される身元に関して身元（１０１）のデータベースに記憶されるキーと取得されたキーとを比較する段階と；
    −前記キーの間の比較の結果の関数として段階／ｃ／を選択的に実行する段階と；
    を具備することを特徴とする請求項１５に記載の方法。
17. 段階／ｅ／は、前記人物に関するバイオメトリックデータ（３２、４０、６０、７０）と前記人物に関連付けられる識別の手段が生成されたバイオメトリックデータとの間の比較を具備することを特徴とする請求項１に記載の方法。
18. 前記識別子（３５、６５）は、前記人物（３１、５９）に関連付けられる識別（３３、６１）の手段から取得される、前記人物の身元であることを特徴とする請求項１に記載の方法。
19. 前記識別子は、前記人物に関連付けられる識別（４１）の手段の固有識別子（４３）であり、この識別子は、前記人物（３９）に関連付けられる識別の前記手段に組込まれていることを特徴とする請求項１に記載の方法。
20. 一致が段階／ｂ／で見られた時、前記人物（４７、７８）に関するバイオメトリックデータに関してバイオメトリックデータベース（５１、８３）に記憶された前記人物（４７、７８）に関連付けられる識別の手段の固有識別子は、識別（５５、９１）の無効手段の識別子の第１のリストに追加され、段階／ｆ／は、前記人物（５９、６９）が識別される識別（６１、７１）の手段の識別子が識別（６４、７４）の無効手段の識別子の第２のリストに記憶されるか否かに依存して選択的に実行されることを特徴とする請求項１から１９のうち何れか１項に記載の方法。
21. 前記人物に関連付けられる識別の固有手段を生成する局面と前記人物に少なくとも１つの資格を付与する局面とは、それぞれ第１及び第２エンティティによって実行され、識別（５５、９１）の無効手段の識別子の第１のリストは、第２エンティティによって閲覧されうる識別の無効手段の識別子のデータベース上に記憶され、その時識別（６４、７４）の無効手段の識別子の第２のリストは、識別（５５、９１）の無効手段の識別子の第１のリストと同一であることを特徴とする請求項２０に記載の方法。
22. 前記人物に関連付けられる識別の固有手段を生成する局面と前記人物に少なくとも１つの資格を付与する局面とは、それぞれ第１及び第２エンティティによって実行され、識別（５５、９１）の無効手段の識別子の第１のリストは、識別（６４、７４）の無効手段の識別子の第２のリストを更新するために、第１エンティティから第２エンティティに送信されることを特徴とする請求項２０に記載の方法。
23. 第１エンティティから第２エンティティへの識別子の送信は：最後の転送以降に識別（５５、９１）の無効手段の識別子の第１のリストに追加される前記識別子の周期的な転送によって；識別の無効手段の識別子の第１のリストに記憶される識別子の全部の周期的な転送によって；識別の無効手段の識別子の第１のリストへのその追加中に各識別子の瞬時の転送によって；の構成のうち少なくとも１つに従って実行されることを特徴とする請求項２２に記載の方法。
24. 請求項１から２３のうち何れか１項に記載の方法による、少なくとも１人の人物に関連付けられる識別の固有手段を生成するための、人物の識別制御のシステムであって、
    ／ａ／前記人物に関するバイオメトリックデータを検出する手段と；
    ／ｂ／前記人物に関するバイオメトリックデータと予めバイオメトリックデータベースに記憶されるバイオメトリックデータとの間の一致を検出する手段と；
    バイオメトリックデータベースは、記憶されたバイオメトリックデータに関連して人物の身元を含まず、
    前記予め記憶されるバイオメトリックデータは、識別の手段が予め生成されている人物に関し；
    ／ｃ／一致が見られない時、前記人物に関するバイオメトリックデータと前記人物の少なくとも１つの身元とから前記人物に関連付けられる識別の手段を生成する手段と；を具備し、
    前記人物に少なくとも１つの資格を付与するために：
    ／ｅ／前記人物は、予めそれに関連付けられた識別の手段の助けでそれらを識別する手段と；
    ／ｆ／前記資格が既に所定数に等しい回数前記人物に付与されていなかった時、前記資格は、前記人物に付与される手段と；を具備し、
    手段／ｆ／は、識別子に基づき、既に人物に付与された資格の、資格のデータベースでの閲覧をする手段を具備することを特徴とするシステム。
25. 少なくとも１人の人物（２２、４７、７８、９３）に関連付けられる識別（２９、５６、８４、９８、１０３）の固有手段を生成する第１の局面を実行するように設計される第１エンティティ（１０５）と、少なくとも１人の人物（３１、３９、５９、６９）に少なくとも１つの資格を生成する第２の局面を実行するように設計される第２エンティティ（１０６）とを具備することを特徴とする請求項２４に記載のシステム（１０４）。

Images