JP5077591B2 - 少なくとも２つの表示デバイスを備えるセキュリティ文書または重要文書 - Google Patents

Description

本発明はセキュリティ文書または重要文書に関する。また、本発明は該文書のデータメモリに対して書込みアクセスを実行する書込みデバイスに関する。

先行技術によれば、さまざまな形態の電子回路が集積化された文書が本質的に知られている。例えば、この種の文書には主に紙ベースの形態のものがある。例えば、電子パスポートの形態、またはチップカードの形態、特にいわゆるスマートカードがあり、コンタクト有／コンタクト無またはデュアルインターフェースのものがある。

そのような文書について、特に、無線識別（ＲＦＩＤ）システムとも呼ばれるさまざまな無線検出システムが、先行技術では知られている。従来公知のＲＦＩＤシステムは一般的に、少なくとも１つのトランスポンダーおよび送受信部を備える。トランスポンダーは、ＲＦＩＤシール、ＲＦＩＤチップ、ＲＦＩＤタグ、ＲＦＩＤラベルまたは無線ラベルとも呼ばれ、送受信部は読出しデバイスまたはリーダとも呼ばれる。さらに、いわゆるミドルウェアを用いて、サーバ、サービス等の他のシステム、例えば、レジシステムまたは商品管理システムと統合されることが多い。

ＲＦＩＤトランスポンダーに格納されているデータは、電波によって利用可能となる。低周波数の場合は、近距離場に基づいて誘導的に実現され、高周波数の場合は、電磁遠距離場に基づいて実現される。ＲＦＩＤトランスポンダーがアドレス特定可能で読出し可能となる距離は、数センチメートルから１キロメートル超の間で変化し、設計（受動型／能動型）、使用周波数帯域、通信強度およびその他の環境の影響によって決まる。

ＲＦＩＤトランスポンダーは通常、マイクロチップとアンテナとを有し、該マイクロチップおよびアンテナは担体または筐体の内部に収納されているか、または、基板に印刷されている。能動型ＲＦＩＤトランスポンダーはさらに、例えば電池等の電源を有する。

ＲＦＩＤトランスポンダーは、例えば電子財布または電子発券を実現するべく、ほかの文書について、特にチップカードにおいて利用され得る。さらに、ＲＦＩＤトランスポンダーは、紙またはプラスチック、例えばセキュリティ文書または重要文書に一体化される。セキュリティ文書または重要文書とは特に、紙幣および身分証明書類である。

例えば、ＤＥ ２０１ ００ １５８ Ｕ１では、プラスチックを積層および／または注入することによって形成されており、ＲＦＩＤ法を実行するためのアンテナを有する半導体が集積化されている、身分証明用および社会保障用カードが開示されている。ＤＥ １０ ２００４ ００８ ８４１ Ａ１では、トランスポンダー部を備える、パスポートブックによって例示される本の形状を持つセキュリティ文書が開示されている。

こういった重要文書またはセキュリティ文書は、先行技術では、一部分がチップカードの形態で実施されている。チップカードは、例えばＥＰ第０９２０６７５号、ＷＯ第２００４／０８０１００号およびＵＳ第６，０１９，２８４号で開示されている集積化表示デバイスを有するとしてもよい。

またＵＳ第６，３４０，９６５Ｂ１号では、再利用可能な形態を実現するために用いられる電子ペーパーが開示されている。

例えば、ＵＳ第６，０１９，２８４号およびＥＰ第０９２０６７５号では、ディスプレイを備えるフレキシブルカードが開示されている。しかし、これらのカードは片面表示素子を１つ備えるのみである。

ＡＵオプトロニクス（Ｏｐｔｒｏｎｉｃｓ）社は、正面と裏面に個別に２つのカラー画像を表示することができる２面型ＯＬＥＤディスプレイを開発した。このようなディスプレイは、携帯電話での使用を想定している。

重要文書またはセキュリティ文書には、例えばＲＦＩＤインターフェースなどのコンタクト有／コンタクト無のインターフェースが設けられるとしてもよいし、またはチップカード端末との有線通信および無線通信を可能とするインターフェースが設けられるとしてもよい。後者のタイプは、デュアルインターフェースチップカードとも呼ばれる。チップカード用の通信プロトコルおよび通信方法は、例えばＩＳＯ１４４４３規格において定義されている。

このようなＲＦＩＤ機能を持つ文書には、該文書が例えば所有者の財布に入っている場合、所有者の合意なしにＲＦＩＤインターフェースがアドレス特定され得るという問題がある。そのような文書のデータの不正読出しに対抗する保護機構は、「ベーシックアクセスコントロール（Ｂａｓｉｃ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）と呼ばれる。この点については、「機械可読旅行文書（Ｍａｃｈｉｎｅ Ｒｅａｄａｂｌｅ Ｔｒａｖｅｌ Ｄｏｃｕｍｅｎｔ）、テクニカルリポート（Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ）、ＩＣＣリードオンリーアクセスを提供する機械可読旅行用文書用のＰＫＩ（ＰＫＩ ｆｏｒ Ｍａｃｈｉｎｅ Ｒｅａｄａｂｌｅ Ｔｒａｖｅｌ Ｄｏｃｕｍｅｎｔｓ Ｏｆｆｅｒｉｎｇ ＩＣＣ Ｒｅａｄ−Ｏｎｌｙ Ａｃｃｅｓｓ）、バージョン１．１、２００４年１０月１日、国際民間航空機関（ＩＣＡＯ）、
（http://www.icao.int/mrtd/download/documents/TR-PKI%20mrtds%20ICC%20read-only%20access%20v1_1.pdf）」を参照されたい。

先行技術分野では、暗号化による保護を用いてデータを電子的に格納するための方法が開示されている。ＩＳＯ７８１６のパート１から４によって規格化されている電子チップカードは、過去２０年間で多用されるようになった形態の保護メモリである。チップカード技術は、特に全世界の航空業界における乗客確認において安全性および効率を高めると期待されている、機械可読旅行用文書の導入に利用され得る。

現在のところ、セキュリティ文書または重要文書の個人情報を更新する方法としてはいくつかが利用可能であるのみである。一方、文書の安全性を保証し、変更および改ざんを防ぐべく、文書を再発行する必要が生じる場合がある。しかし、このような処理は複雑で、最新型個人認証文書の場合は高コストである。このため、例えばドイツでは、シールを用いて新住所を文書に貼り付ける。文書のセキュリティおよび変更禁止ｓは保証されているままであるが、更新後のデータ、つまり新住所の表示は元々のデータと同様に変更または削除に対して保護されているわけではない。

これに対し本発明は、当局等の正当な立場からは個人データを変更できつつ、そのようなデータを不正な人物によって変更または改ざんされないように保護することができるセキュリティ文書および重要文書を提供することを目的とする。また、本発明は、当該文書のデータメモリに対して外部書込みアクセスを実行するための書込みデバイスを実現することを目的とする。

本発明の目的はそれぞれ、独立請求項に記載の特徴によって実現される。本発明の好ましい実施形態は、独立請求項で説明されている。

本発明に係るセキュリティ文書または重要文書の実施形態によると、２つの表示デバイスを備えるセキュリティ文書または重要文書については、操作または複写が不可能または困難であるので、操作および／または改ざんに対する保護を高めることができる。一方、本発明に係るセキュリティ文書または重要文書の実施形態によると、正当な立場であれば個人化データ、特に個人情報を更新することが可能で、変更または削除については、元々のデータと本質的に同様の保護を更新後のデータについても提供することができる。

本発明によると、セキュリティ文書または重要文書が例えば電池等の電源を自ら備える必要がなく、セキュリティ文書または重要文書のインターフェースを介して電力が供給されるという大きな利点が得られる。これは、耐用期間を通してセキュリティ文書または重要文書の機能を保証するという点に関して大きな利点となる。この場合、インターフェースがコンタクトを有さないインターフェースの形態である場合に、セキュリティ文書または重要文書の耐用期間におけるインターフェースのコンタクトに関する腐食の問題がなくなるので、特に大きな利点が得られる。

本発明の一実施形態によると、セキュリティ文書または重要文書の表示デバイスのうち少なくとも１つは、情報を表示する場合に電力を消費する必要がないように設計される。そのような表示デバイスは、例えば、双安定表示技術を用いて実施されるとしてもよい。このような構成とすることによって、どのような場合であっても、セキュリティ文書または重要文書のこの表示デバイスに表示される情報は、利用可能な読出しデバイスがない場合でも読出し可能となる、という利点が得られる。

本発明の一実施形態によると、複数の表示デバイスは同一技術に基づいて作成されている。特に、双安定表示技術が好ましいが、例えば、電気泳動素子、エレクトロクロミック素子または回転素子に基づく表示技術であってもよい。

少なくとも第１および第２の表示デバイスが同一プロセッサによって駆動されるので、セキュリティ文書または重要文書内のこれら２つの表示デバイスをこの単一のプロセッサに対して接触させて接続する必要が生じる。このような構成とすることによって、改ざんおよび操作に対してある程度の安全が与えられる。

本発明の一実施形態によると、セキュリティ文書または重要文書の厚みは、最大で２ｍｍであり、好ましくは最大で１ｍｍ、特に最大で８４０μｍである。そのような平坦なセキュリティ文書または重要文書の実施形態によれば、ある程度の柔軟性が得られるので取り扱いに関して利点が得られると共に、改ざんおよび操作をある程度防止するという利点が得られる。

本発明の一実施形態によると、セキュリティ文書または重要文書は両側にそれぞれ少なくとも１つの表示デバイスを備え、該表示デバイスにはそれぞれ異なる情報を静的に、準静的に、または可変的に、表示することができる。特に、このような構成とすることによって、本発明によると、ＩＣＡＯの規定に準拠し、対応する表示デバイスを用いて両側に静的、準静的、および／または可変的な情報を出力することができる、国際的に相互利用可能なセキュリティ文書または重要文書を実現することが可能となる。

本発明の一実施形態によると、個人化データを格納するためのデータメモリを備える文書が提供される。当該文書は、個人化データを表示するための少なくとも１つの第１の表示デバイスと、暗号プロトコルを実行する手段と、個人化データを変更するためのデータメモリに対する外部書込みアクセス用のインターフェースとを備える。ここで、外部書込みアクセスは暗号プロトコルが実行済みであることを前提とする。

本発明によれば、セキュリティ文書または重要文書に表示される変更可能な個人データを安全に変更することができるようになる。この目的を実現するべく、変更可能な個人データは、暗号プロトコルを用いて文書のデータメモリに送信され、データメモリから表示素子に表示される。このような構成とすることによって、新しい文書を発行する必要、または操作に対する安全対策を減じて個人化データを更新する必要がなくなる。

先行技術と比較すると、このような構成とすることによって、個人化データが変更になっても、文書を新しいものと交換する必要がなくなるという利点が得られる。また、本発明によると、例えば正当な当局が刻印またはシールを追加することによって文書を修正する必要もなく、個人化データは外部書込みアクセスによって単に電子的に更新され得る。

本発明に係るセキュリティ文書または重要文書の実施形態について相互利用可能性を実現することを目的として、例えば書込みおよび／または読出しデバイス等の端末と文書との間での安全なデータのやり取りは、ＩＣＡＯが定めている国際安全基準、特にベーシックアクセスコントロール（ＢＡＣ）および拡張アクセスコントロール（ＥＡＣ）に準拠して行われるのが好ましい。

本発明の一実施形態によると、文書には個人化データおよび／または識別子を出力することができる表示デバイスが備えられる。この場合、原則的には、任意の所望の表示技術を用いることができる。例を挙げると、液晶ディスプレイ（ＬＣＤ）、有機発光ダイオード（ＯＬＥＤ）、回転素子ディスプレイ、エレクトロクロミック、電気泳動および／またはエレクトロウェッティング（ｅｌｅｃｔｒｏｗｅｔｔｉｎｇ）表示技術がある。本発明の実施形態によると、ディスプレイは少なくとも部分的に印刷技術を用いて塗布される。この点において、エレクトロクロミックディスプレイおよび電気泳動ディスプレイと同様にＯＬＥＤディスプレイは特に適している。

本発明の一実施形態によると、少なくとも個人化データが、個人化データを表示する場合に電力を常時消費する必要がない双安定の表示デバイスに表示される。このような構成とすることによって、文書上に電源がなくても個人化データを読み出すことができるという利点が得られる。このような構成とすることによってさらに、文書内に集積化される電源、例えば電池または太陽電池を省略することができるという利点が得られる。

本発明によれば、識別子、使い捨てパスワード、乱数等が表示素子に表示されると、使用されている表示技術および／または適切なプロトコルに基づいて表示された内容がトランザクション後は表示素子に表示されないようにすることが好ましい。双安定表示素子を用いる場合には、例えばトランザクションが完了した後で、その前に表示された情報を消去するべく、定義状態（「空状態」）または任意の所望の無関係の情報が表示され得る。

本発明の一実施形態によると、文書は変更不可能な個人化データを格納するメモリ領域を有する。変更不可能な個人化データの例を挙げると、名前、生年月日、有効期限、文書番号、パスポート写真およびさらにはバイオメトリクスデータであってよい。変更不可能な個人化データは、文書上に印刷されているとしてもよく、および／または、表示デバイスのうち１つ、好ましくは双安定表示デバイスを用いて出力されるとしてもよい。変更不可能な個人化データは、暗号プロトコルが問題なく実行された後も、データメモリにおいて変更することができない。

このようなデータは、文書が最初に発行される際にのみ、正当な当局によって文書に入力されるとしてもよい。このようなデータをディスプレイで表示すると、文書をまとめてあらかじめ大量生産することができ、後で別個に各個人用にできるという利点が得られる。これは、各個人用とするためのプロセスにセキュリティ印刷システムが必要ないためである。

本発明の一実施形態によると、第１および第２の表示デバイスは該文書の互いに対向する面から見えるように構成されている。第１および／または第２の表示デバイスは、文書の表側または裏側の面積すべてをほぼ占めるとしてもよい。文書に個人データをまったく印刷しない場合には、このような構成から特に大きな利点が得られる。しかし、表示デバイスは、文書の表側または裏側の一部のみを占めるとしてもよい。また、静的セキュリティ印刷部分、例えば、いわゆるギロシェ（ｇｕｉｌｌｏｃｈｅｓ）を印刷技術を用いて文書に塗布するとしてもよい。

本発明の一実施形態によると、表示デバイスを接触接続するための導体配線がその上または中に形成されているインレーが文書にあるとしてもよい。特に、メッキ貫通孔、いわゆるビアが、文書の異なる面から見えるように構成されている表示デバイス同士を接触接続するべく、インレー上またはインレー内に形成されているとしてもよい。

別の実施形態によると、両側に異なる情報を表示するフレキシブルディスプレイが、文書の本体またはその一部を構成している。

本発明の一実施形態によると、プロセッサ、データメモリ、暗号プロトコルを実行する手段、および／または、インターフェースは、集積化されて電子回路、例えば、マイクロコントローラを形成するとしてもよい。このような電子回路はインレー上またはインレー内に配置されるとしてもよい。

本発明の一実施形態によると、当該文書は、身分証明書、パスポート、ＩＤカード、査証、運転免許証、会社用ＩＤカード、認証許可証等である。

特に、当該文書は、紙ベースおよび／またはプラスチックベースおよび／またはチップカードであってもよい。

本発明の好ましい実施形態を、添付図面を参照しつつ以下でより詳細に説明する。図面は以下の通りである。

本発明に係る文書の一実施形態の正面を示す図である。

図１に示した実施形態の裏側を示す図である。

本発明に係る文書の一実施形態の正面を示す図である。

図３に示した実施形態の裏側を示す図である。

本発明に係る文書の一実施形態を示す断面図である。

本発明に係る文書および本発明に係る書込みデバイスの別の実施形態を示すブロック図である。

読出しデバイスと共に、本発明に係る文書および本発明に係る書込みデバイスの別の実施形態を示すブロック図である。

以下に記載する実施形態において、互いに対応する構成要素は同じ参照符号を用いて示す。

図１は、文書１００の正面を示す。文書１００は本実施形態において身分証明書である。文書１００は紙ベースおよび／またはプラスチックベースである。文書１００の所有者の顔画像１４４ならびにそれ以外の個人化データ、例えば、文書１００の所有者の名前および文書１００の有効性、さらに文書１００の所有者の署名例のコピーが文書１００に印刷されている。文書１００は、下側の縁部にいわゆるＭＲＺ（機械可読ゾーン）ライン１３４を備える。表示デバイス１２８は、文書が生成する識別子が、文書１００の正面のＩＣＡＯラインの一部として、光学的に読めるようにＩＣＡＯラインの内側に配置されている。

図２は、図１に示す文書１００の裏側を示す。表示デバイス１１８は文書１００の裏側において見えるように構成されている。表示デバイス１１８は、例えば、文書１００の所有者の住所を表示するための住所フィールドを有する。さらに、変更不可能な個人化データ、例えば署名は文書１００の裏側に印刷するとしてもよい。

図３は、文書１００の別の実施形態の正面を示す。本実施形態によると、表示デバイス１２８は全面にわたって形成されるので、文書１００の正面をほぼすべて被覆している。したがって、個人データ、好ましくは個人データすべて、例えば顔画像１４４、名前、有効性、署名、およびＭＲＺ１３４全体は、表示デバイス１２８を用いて出力される。

文書１００の裏側はこのような構成に対応したものとなる（図４を参照のこと）。つまり、文書１００の裏側は表示デバイス１１８によって形成される。表示デバイス１１８は、変更可能な個人化データ、つまり住所を表示すると共に、別のデータ、例えば、変更不可能な個人化データを表示するべく用いられる。さらに、静的なラベルもまた表示デバイス１１８によって表示され得る。例えば、データフィールドに対して対応するフィールドを指定するラベルを与える。一例を挙げると、名字フィールドに対して「名前／名字／名」といったフィールド指定を与える。このようなフィールド指定は、表示デバイス１１８によって表示されない場合には、例えば印刷技術に基づいて作成され得る。

図５は、本発明に係る文書１００の一実施形態の断面を示す。文書１００のこの実施形態は、いわゆるスマートカードである。該文書は複数の層１４６、１４８および１５０から構成されている。

層１４６は、インレーと呼ばれる膜から成り、インレー上には電子デバイス１０２が設けられている。電子デバイス１０２は、例えば集積化電子回路、例えばマイクロコントローラとして構成されるとしてもよい。さらに、外部端末、例えば書込みデバイスまたは読出しデバイスとの非接触式通信に用いられるアンテナ１５２は、層１４６のインレー上に設けられる。このような構成に代えて、もしくはこのような構成に加えて、電子デバイス１０２はコンタクトを含むインターフェースまたはデュアルインターフェースを有するとしてもよい。

表示デバイス１２８および１１８は、層１４６のインレーに設置されている。これらのデバイスを電子デバイス１０２に接触させて接続するべく、導体配線１１６および１３０がインレーに設置されて、いわゆるビア１５４および１５６をそれぞれ用いて表示デバイス１２８および１１８を接触させて接続する。

２つの表示デバイス１１８および１２８は、必須ではないが、同一の表示技術を用いて形成されるとしてもよい。本発明の一実施形態によると、表示デバイス１２８は格納機能を持たず、または限られた格納機能を持つのみで、表示画像の持続時間が比較的短い。一方、住所フィールド用の表示デバイス１１８は双安定ディスプレイである。このような構成に代えて、もしくはこのような構成に加えて、適切な駆動ロジックを用いて表示デバイス１２８が格納機能を有さないようにするとしてもよい。

電子デバイス１０２によって決定される識別子が表示デバイス１２８に表示されることによって、光学的に読み出されるＭＲＺ１３４内のデータに含まれている対応付けられた追加可変パラメータに基づいて、電子デバイス１０２と読出しデバイスまたは書込みデバイスとの間のデータのやり取りのための暗号化のセキュリティを改善することができる。表示デバイス１２８が通常の状態で画像を表示していない場合には、読出しデバイスは表示デバイス１２８に本当に情報が表示されていないかどうかまず確認するとしてもよい。プロトコルが双安定表示デバイスに対して実行されるとしてもよく、この場合、表示機能を持たなくても、例えばあらかじめ定められた内容がまず表示されて、その後でのみ実際の情報が表示される。このため、読出しデバイスは表示デバイスの機能を確認することができる。プロトコルの終了時においては、表示デバイスはほかの情報によって上書きされるとしてもよいし、または、情報がそれ以上表示されないとしてもよい。このような構成とすることによって、許可されていない人物は情報を読み出すことができないようにできる。このような構成によればさらに、例えば表示デバイス上にシールを貼ることによって、文書を操作することができるようになる。これは、シールが実際には静的情報を示すのみであるからである。

住所フィールド用の表示デバイス１１８は、文書が読出しデバイス内になくても、つまり、電力供給を受けていなくても、何年にもわたって安定して住所を表示するべく設計されている。このため、双安定表示技術は表示デバイス１１８を実現するのに特に適した技術である。

表示デバイス１２８も同様に双安定ディスプレイとして実現され得る。情報の操作を防ぐべく、読出しデバイスはまず特定の情報、例えば時間を電子デバイス１０２によって表示するように要求するとしてもよい。このような構成とすることによって、読出しデバイスは表示デバイス１２８の機能を確認することができる。続いて、読出しデバイスは電子デバイス１０２に対して識別子を生成して表示デバイス１２８に表示するように要求する。

図６は、本発明に係る文書１００の別の実施形態を示す。文書１００は例えば紙ベースの文書またはチップカードであってよい。文書１００は、個人化データ１０６を格納するためのデータメモリ１０４を有する電子デバイス１０２を備える。

電子デバイス１０２は、文書１００に関する暗号プロトコルの段階を実行するために利用されるプログラム命令１１０を実行するためのプロセッサ１０８を有する。

電子デバイス１０２はさらに、書込みデバイス１１４の対応するインターフェース１１２´と通信するインターフェース１１２を有する。インターフェース１１２および１１２´はコンタクトを含むとしてもよく、無線型であってもよいし、デュアルインターフェースとして実現されていてもよい。特に、書込みデバイス１１４と文書１００とによってＲＦＩＤシステムが形成されるとしてもよい。書込みデバイス１１４は、電子デバイス１０２、特にプロセッサ１０８に対して、インターフェース１１２´を介して電力を供給することができる。

電子デバイス１０２は、導体配線１１６を用いて、表示デバイス１１８に接続される。表示デバイス１１８は、文書１００上に、個人化データ１０６または個人化データ１０６の一部を表示するべく利用される。表示デバイス１１８は、両面型表示素子であってもよく、正面と裏面に情報が複写され得る。この場合、２つの表示デバイスは１つの両面型表示素子を用いて実現される。このような構成に代えて、もしくはこのような構成に加えて、図２から図７に示した実施形態のように、表示デバイス１１８に加えて少なくとも１つの別の表示デバイスが設けられるとしてもよい。

電子デバイス１０２またはその一部は、集積化電子回路、例えばマイクロコントローラとして構成されるとしてもよい。

文書１００を両面型表示素子または少なくとも２つの表示デバイスによって設計することによって、特に文書１００が平坦で厚みが例えば最大で２ｍｍの場合等、文書１００の構造に基づいて、改ざんに対してある程度の保護が実現される。文書１００には永久的に電力が供給されるので、文書内に電源を集積化しなくてもすむようになる。このような構成は、比較的長期間にわたって文書１００の機能を保証する上で利点となる。

インターフェース１１２´および１１２は、コンタクト無しまたはデュアルインターフェースの形態をとるのが好ましい。このような構成とすることによって、上記と同様に、文書１００の機能を長期間にわたって保証できるという利点が得られ、特に、インターフェース１１２´および１１２のコンタクトの腐食という問題を解決することができる。

書込みデバイス１１４は、書込みデバイス１１４に関する暗号プロトコルの段階を実行するために利用されるプログラム命令１１０´を実行するためのプロセッサ１２０を有する。書込みデバイス１１４は、暗号プロトコルを実行する際には鍵１２２を必要とする。

個人化データ１０６または個人化データの可変部分は、以下の手順に従って更新される。

プログラム命令１１０および１１０´の実行は、暗号プロトコルを実行するために開始される。例えば、まず書込みデバイス１１４に対するプログラム命令１１０´の実行が開始され、続いて、インターフェース１１２´および１１２を介して書込みデバイス１１４から電子デバイス１０２へ制御信号が送信され、続いて、該電子デバイスにおいてプログラム命令１１０の実行が開始される。

続いて、鍵１２２を用いて暗号プロトコルを実行する。暗号プロトコルが問題なく実行された後、プロセッサ１０８がデータメモリ１０４に対する書込みアクセスを許可して、書込みデバイス１１４は更新後の個人化データをインターフェース１１２´および１１２を介して電子デバイス１０２に送信することができる。この結果、更新後の個人化データが該電子デバイス１０２のデータメモリ１０４に格納される。この場合、個人化データ１０６は更新後の個人化データによって上書きされるとしてもよい。

この結果、更新後の個人化データが表示デバイス１１８に表示され、文書１００はこれ以外は不変のままとできる。このような構成とすることによって特に、個人化データ１０６を更新する際に文書１００を新しいものと交換する必要がなくなる一方、暗号プロトコルによる保護のおかげで、文書１００の信頼性が低減することがないように個人化データ１０６が更新されるという利点が得られる。

図７は、本発明に係る文書１００の別の実施形態を示す。本実施形態によると、データメモリ１０４は、変更可能な個人化データ１０６を格納することに加え、変更不可能な個人化データ１２４およびバイオメトリクスデータ１２６を格納するためにも用いられる。文書が身分証明書の場合、データメモリ１０４は、文書の所有者の名前および現住所は、例えば変更可能な個人化データ１０６として格納し、身長、生年月日および性別は変更不可能な個人化データ１２４として格納するとしてもよい。バイオメトリクスデータ１２６は、顔画像、顔の特徴、指紋データ、虹彩スキャン、または文書１００の所有者に関する同様のバイオメトリクスデータであってよい。

表示デバイス１２８については、双安定表示技術または他の表示技術が同様に選択されるとしてもよい。例えば、表示デバイス１２８はＬＣＤまたはＯＬＥＤ表示デバイスとして構成されるとしてもよい。後者の場合、表示デバイス１２８を動作させて表示を行わせるためには電力が必要となる。

本実施形態例によると、書込みデバイス１１４に変更可能な個人化データ１０６を更新するための権限が与えられる。このため、鍵１２２は書込みアクセス動作に対する「一般鍵（ｇｅｎｅｒａｌ ｋｅｙ）」として構成される。鍵１２２は、書込みデバイス１１４に格納されるとしてもよいし、書込みデバイス１１４に挿入され得るチップカードに格納されるとしてもよいし、書込みデバイス１１４が通信可能な外部のサーバコンピュータに格納されるとしてもよい。

書込みデバイス１１４は、キーボード１４０と、例えばスクリーンである表示デバイス１４２とを備える。

変更不可能な個人化データ１０６は、以下の手順に従って更新される。

文書１００が書込みデバイス１１４に近づけられ、インターフェース１１２´および１１２を介して書込みデバイス１１４と文書１００との間でデータがやり取りされ得る。このようなデータのやり取りのために、文書１００は例えば、書込みデバイス１１４に挿入されたり、または書込みデバイス１１４上に載置されたりする。

書込みデバイス１１４の認証ユーザは、キーボード１４０を用いて表示デバイス１４２に表示される更新後の個人化データを入力する。プログラム命令１１０´の実行は、キーボード１４０上の入力キーを操作することによって開始される。

プロセッサ１２０は続いて、インターフェース１１２´および１１２を介して電子デバイス１０２に送信される制御信号を生成する。文書１００の構成によっては、制御信号は、データメモリに対する即時アクセスを通知するべく起動信号として文書に送信される必要がある場合もある。プログラム命令１３２の実行が続いて開始され、例えば乱数である識別子が生成される。

当該識別子は、表示デバイス１２８を用いてＭＲＺ１３４の領域に出力される。ＩＣＡＯライン１３５の領域に出力される識別子は、光センサ１３８を用いて書込みデバイス１１４によって検出される。続いてプロセッサ１２０によって、プログラム命令１１０´を実行することによって、識別子および鍵１２２から別の鍵を取得する。当該別の鍵は、暗号プロトコルを実行するべく用いられる。例えば、このようにして、予定されている書込みアクセスのための暗号プロトコルを問題なく実行するために必要な対称鍵または非対称鍵は生成される。

本発明の一実施形態によると、秘密鍵と公共鍵とを含む非対称な対の鍵を、例えば、識別子と鍵１２２とから生成する。続いて公共鍵が、インターフェース１１２´および１１２を介して、書込みデバイス１１４から電子デバイス１０２に送信される。公共鍵によって暗号化された別の乱数を、プログラム命令１３２を実行することによって生成する。

暗号化によって得られる暗号文を、インターフェース１１２および１１２´を介して電子デバイス１０２から書込みデバイス１１４に送信する。書込みデバイス１１４は、秘密鍵を用いて暗号文を復号化する。復号の結果は、インターフェース１１２´および１１２を介して、書込みデバイス１１４から電子デバイス１０２に送信される。

続いて、復号結果が元々生成された乱数に対応するかどうか判断するべく、プログラム命令１１０を実行することによって、比較を行う。一致する場合、書込みアクセスを実行する書込みデバイス１１４の認証が証明され、書込みアクセスが可能となる。書込みアクセスが行われると、その結果、キーボード１４０を用いて先に入力された更新後の個人化データが、文書１００に送信されて、データメモリ１０４に格納される。

本実施形態によると、読出しデバイス１３６は国境警備に利用される。読出しデバイス１３６は基本的に、書込みデバイス１１４と同様に構成されている。読出しデバイス１３６は、プログラム命令１１０´´を実行するためのプロセッサ１５８を有する。プログラム命令１１０´´は、読出しデバイス１３６に関する暗号プロトコルの段階を実行するべく用いられる。この暗号プロトコルは、書込みデバイス１１４のプログラム命令１１０´によって実施される段階と同一であってもよいし、相違するとしてもよい。

暗号プロトコルを実行するべく、読出しデバイス１３６は、読出しデバイス１３６に対してバイオメトリクスデータ１２６に対する読出しアクセスを認証する鍵１２２´を利用する。鍵１２２´は、読出しデバイス１３６に格納されているとしてもよいし、例えばネットワークを介してアドレス指定され得るチップカードまたはサーバコンピュータである外部の暗号化素子に格納されているとしてもよい。チップカードおよびサーバコンピュータの場合には、暗号プロトコルを実行するための暗号化アルゴリズムは、チップカードまたはサーバコンピュータにおいて実行されるのが好ましい。

読出しデバイス１３６の操作方法は、書込みデバイス１１４の操作方法に対応し、バイオメトリクスデータ１２６の読出しを許可するのみの鍵１２２´に基づいて暗号プロトコルを実行する。暗号プロトコルが問題なく実行されると、読出しデバイス１３６はインターフェース１１２および１１２´´を介してバイオメトリクスデータ１２６を受け取ることができる。

１００ 文書、１０２ 電子デバイス、１０４ データメモリ、１０６ 個人化データ、１０８ プロセッサ、１１０ プログラム命令、１１０´ プログラム命令、１１０´´ プログラム命令、１１２ インターフェース、１１２´ インターフェース、１１２´´ インターフェース、１１４ 書込みデバイス、１１６ 導体配線、１１８ 表示デバイス、１２０ プロセッサ、１２２ 鍵、１２２´ 鍵、１２４ 個人化データ、１２６ バイオメトリクスデータ、１２８ 表示デバイス、１３０ 導体配線、１３２ プログラム命令、１３４ ＭＲＺ、１３６ 読出しデバイス、１３８ 光センサ、１３８´ 光センサ、１４０ キーボード、１４２ 表示デバイス、１４４ 顔画像、１４６ 層、１４８ 層、１５０ 層、１５２ アンテナ、１５４ ビア、１５６ ビア

Claims (15)

1. 少なくとも第１および第２の表示デバイスと、
   前記少なくとも第１および第２の表示デバイスを駆動するプロセッサと、
   外部電源から前記プロセッサに対して電力を供給するインターフェースと
   を備えるセキュリティ文書または重要文書であって、
   前記第１および第２の表示デバイスのうち少なくとも１つは、前記インターフェースと前記外部電源との接続が切断されても情報を表示し、
   前記第１および第２の表示デバイスは、前記セキュリティ文書または重要文書の互いに対向する側に配置されており、
   前記第１の表示デバイスは、双安定ディスプレイであって、変更可能な個人化データを表示し、
   前記第２の表示デバイスは、表示画像の持続時間が第１の表示デバイスよりも短く、暗号プロトコルに利用される識別子を表示する、セキュリティ文書または重要文書。
2. 前記第１の表示デバイスと第２の表示デバイスとは、前記セキュリティ文書または重要文書の厚み方向に対して重畳しない位置に配置されている、請求項１に記載のセキュリティ文書または重要文書。
3. 個人化データを格納するデータメモリと、暗号プロトコルを実行する手段とを備え、前記インターフェースは、前記データメモリに対する外部書込みアクセスを行って前記個人化データを変更し、前記外部書込みアクセスは、前記暗号プロトコルが実行済みであることを前提とする請求項１または２に記載のセキュリティ文書または重要文書。
4. 前記暗号プロトコルに利用される識別子を生成する手段
   を備える、請求項３に記載のセキュリティ文書または重要文書。
5. 前記暗号プロトコルを実行する手段は、前記識別子および第１の鍵から生成された第２の鍵を用いて、前記暗号プロトコルを実行する請求項４に記載のセキュリティ文書または重要文書。
6. 前記識別子を生成する前記手段は、前記識別子がある時間間隔で変化するように設計されている請求項４または５に記載のセキュリティ文書または重要文書。
7. 前記識別子を生成する前記手段は、外部書込みおよび読出しアクセスの少なくとも一方毎に識別子が生成されるように設計されている請求項４または５に記載のセキュリティ文書または重要文書。
8. 前記識別子は乱数および時間の少なくとも一方を含む請求項４から７のいずれか１項に記載のセキュリティ文書または重要文書。
9. 前記データメモリを用いて変更不可能な個人化データを格納し、前記第１および第２の表示デバイスの少なくとも一方は前記変更不可能な個人化データを表示する請求項３から８のいずれか１項に記載のセキュリティ文書または重要文書。
10. 前記第１および第２の表示デバイスの少なくとも一方は、電気泳動ディスプレイ、エレクトロクロミックディスプレイ、エレクトロウェッティングディスプレイ、双安定ディスプレイ、回転素子ディスプレイ、ＬＣＤディスプレイまたはＯＬＥＤディスプレイである請求項１から９のいずれか１項に記載のセキュリティ文書または重要文書。
11. セキュリティ文書または重要文書に含まれる複数の層のうち内側の層を成すインレーと前記インレーの内部または上に配置される導体配線とを備え、前記導体配線は前記第１および第２の表示デバイスの少なくとも一方を前記プロセッサに接触させて接続する
    請求項１から１０のいずれか１項に記載のセキュリティ文書または重要文書。
12. 前記プロセッサ、前記データメモリ、前記暗号プロトコルを実行する前記手段、および前記インターフェースの少なくとも１つは回路に集積化されて、前記回路はセキュリティ文書または重要文書に含まれる複数の層のうち内側の層を成すインレーの内部または上に配置されている請求項３に記載のセキュリティ文書または重要文書。
13. 前記第１および第２の表示デバイスの少なくとも一方は、メッキ貫通孔を用いて接触して接続されている請求項１１または１２に記載のセキュリティ文書または重要文書。
14. 前記文書は、身分証明書、パスポート、ＩＤカード、査証、運転免許証、会社ＩＤカード、または認証許可証等である請求項１から１３のいずれか１項に記載のセキュリティ文書または重要文書。
15. 前記第１および第２の表示デバイスは、単一の表示素子を用いて実現され、前記単一の表示素子は両面に異なる情報を表示する請求項１から１４のいずれか１項に記載のセキュリティ文書または重要文書。

Images