JP5424905B2 - 旅行特権割当ておよび検証用個人認証ソフトウェアおよびシステム - Google Patents

Description

本発明は、一般には、情報セキュリティの分野に関し、より詳細には、様々な移動方法を使用して移動することを望む個人の認証および検証に関する。

（関連する米国出願データ）
本願は、ＵＳＣ１１９（ｅ）の下で、２００２年７月１２日出願の「Ｄｒｉｖｅｒ ａｎｄ Ｖｅｈｉｃｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ａｕｄｉｔｉｏｎｇ Ａｐｐａｒａｔｕｓ， Ｍｅｔｈｏｄ ａｎｄ Ｓｙｓｔｅｍ ｆｏｒ Ｉｎｔｅｒｆａｃｉｎｇ ｗｉｔｈ ａ Ｖｅｈｉｃｌｅ Ｔｒａｎｓｐｏｎｄｅｒ」という名称の仮特許出願第６０／３９５，３６１号と、＿＿＿＿年＿＿月＿＿日出願の「．．．」という名称の仮特許出願第６０／４７４，７５０号の優先権を主張するものである。これらすべては参照によりその実体が本明細書に組み込まれる。

（発明の必要性）
旅行特権は、受け入れられる証明書を個人が提示する能力に対して付与される。こうした証明書は、通常、パスポートおよび運転免許証を含み、しばしば、写真が添えられた個人の身分証明書の観察、ならびに、その写真とカード所有者と主張する人の顔との比較に基づく。例えば、通常、その人の名前、国籍、誕生日、誕生地、および写真を含む州発行の運転免許証または政府発行のパスポートが、自称アメリカ人の乗客を特定する。こうした紙ベースの身分証明書は、旅行の安全を危険にさらす可能性のある重大な欠点を有する。他の国籍の旅行者は、運転免許証を使用しないことがあるため、また運転免許証の取得は、パスポートよりも容易であり、制約が少ないため、この議論では、主にパスポートの欠点に焦点を置く。

国または地域の法律に応じて変化するが、パスポートは、通常、チェックインおよび／または搭乗券の申込み時、ゲートチェックポイントで、および、入国時に提示される。パスポートは、装丁された紙の小冊子を含み、発行国に応じて色およびサイズが異なる。すべてのパスポートは、一方の表紙裏にパスポートの所有者の名前、国籍、誕生日、および写真（顔写真のみ）を含む。パスポートの各ページには、入国および出国時に入国ビザおよび出国ビザが押印されるが、やはりこれも地域の法律に応じて異なる。例えば、欧州共同体（ＥＣ）の各国の国民は、ＥＣの国に入国する際に、その国の国民でない場合であっても、常にパスポートの提示を求められるわけではなく、したがって、その人のパスポートはＥＣ内の旅行を反映しないことになる。米国は、それより幾分厳格であり、航空機経由で入国するすべての人が、パスポートの提示を求められる。

アメリカ国民としてパスポートを取得することは、旅券発給局を訪れて証明書を堤出するという単純なものであり、その証明書は、容易に偽造される可能性がある。旅券発給局は、認証のために以前に発行されたパスポートまたは出生証明書を要求するが、こうした文書が入手不能である場合、申請者は、名前、誕生日、出生記録を求めて検索した年、および申請者に関して記録上に出生証明書が存在しないという記録を有する、申請者の居住する州が発行したＬｅｔｔｅｒ ｏｆ Ｎｏ Ｒｅｃｏｒｄ、ならびに、ファミリバイブルレコード、洗礼証明書、医師の出生後診断記録、国勢調査記録、病院の出生証明書、または初等学校記録のいずれかを堤出しなければならない。これらのいずれも入手不能である場合、申請者は、おばやおじなどの肉親が申請者の誕生日を保証する出生宣誓供述書を堤出することができる。この形式上のシステムが、偽の証明書でパスポートを申請し、首尾よくパスポートを取得することを可能としている。さらに、パスポートの単純な性質は
、印刷および偽造の技能のある者が偽のパスポートを作成することを容易にしている。

米国を出発する旅行者の場合、パスポートは、乗客が航空機に搭乗する前にチェックインで個人認証のために慣習的に提示される。個人は、座席を購入した航空会社のチケットカウンタに行き、チケットおよびパスポートを航空会社のエージェントに提示する。航空会社のエージェントは、その人の大まかな経歴チェックを実施するコンピュータシステムに、パスポートの情報を入力する。航空会社のエージェントはまた、パスポート上に示される人がエージェントの前に立っている人であることについて視覚的検証を実施する。乗客がパスポートの所有者であり、座席の支払いを行っていると確認された場合、乗客は旅行することが許可され、搭乗券が与えられる。搭乗券は、単に、乗客の名前およびフライトの詳細が印刷されたカードである。航空機に搭乗するために、個人は、搭乗券（搭乗券は、チケットカウンタでの認証からゲートまでの移動の間に巧妙な犯罪者によっていつでも盗まれ、または改ざんされる可能性がある）およびパスポートを再び提示しなければならない。同じタイプの視覚的検証が、実施される。

米国に入国する旅行者は、入国カウンタでパスポートを提示しなければならない。個人の名前がコンピュータシステムに入力され、コンピュータシステムは、個人が最近到着したフライトで来たこと、および、個人の名前がＦＢＩ、ＩＮＳなどの何らかの警戒リスト上にないことを検証する。入国局はまた、写真の人はパスポートを提示した人であることについて視覚的検証も実施する。個人がこうした２つのチェックを通過した場合、日付および入国港（空港）を小冊子に押印し、個人は、自由に米国に入国することができる。その人がパスポートが発行された国の国民であること、さらにはその人が実際に主張する当人であることは、視覚的検証以外には、検証されない。

この高度に技術が進歩した時代には、紙は容易に偽造され、パスポートは、コンピュータを用いる巧妙な犯罪者にとってほとんど障害とはならない。パスポートの写真を変更することは、写真を覆うラミネート材料を除去し、新しい写真を挿入するという簡単なものである。

改良型の個人確認を可能にする、提案される多くの解決策は、個人が、非常に個人的なデータを政府に堤出することを必要とし、その結果として、個人のプライバシーが損なわれる。このデータは、通常は、ＳＳＮであったが、近年では、個人を認証するのに生体計測的特徴が、一般的な方法となってきている。生体計測的特徴は、偽造がずっと困難であるからである。ＳＳＮベースのシステムと同様に、生体計測認証システムの多くの実装は、個人がその特徴を政府が管理する中央データベースに堤出することを必要とする。このことにより、「独裁者」、ＩＤ盗用、個人プライバシーの欠如、および潜在的ユーザの間での一般的不快について、いくつかのもっともな問題が提起される。加えて、証明書の検証を識別する提案される解決策は、しばしば、磁気ストライプカード、近接カード、ＰＩＮ番号、およびスマートカードの使用を含む。こうした解決策はそれぞれ、セキュリティ上の欠点を有するが、それと同様に重大なことは、こうしたシステムはすべての個人にとってアクセス可能というわけではないことである。身体的障害を有する人は、磁気ストライプリーダに届かない可能性があり、または、ＰＩＮ番号を入力することができない可能性がある。

さらに、こうしたタイプの識別は、通常、複数の移動方法、特権種別／レベル、および状況を網羅するように拡張可能ではない。パスポートは、通常、国際航空機旅行にのみ使用され、一方運転免許証は、国内航空機旅行中に認証し、またはドライバ特権を実証するのに使用することができる。

（関連技術の説明）
（飛行機旅行の関連技術）
いくつかの特許は、電子装置を使用して旅行を改善するシステムを説明している。そうした特許の１つである米国特許第６，１０１，４７７号において、Ｈｏｈｌｅは、旅行効率を改善するスマートカードシステム、装置、および方法を説明している。この発明の装置は、ユーザが航空便、ホテル、レンタカー、およびその他の支払い関連のアプリケーションをダウンロードするスマートカードである。これらのベンダも、ベンダ特有のアプリケーションをその装置にダウンロードすることができる。加えてこの装置は、ベンダがカスタム／セキュアファイル構造を作成することを可能にするセキュリティ機能を有する。しかし、ＰＩＮ番号として働く２つの８ビットカードホルダ検証番号がセキュリティを実現する。ＰＩＮ／パスワードセキュリティ方式は、それが損なわれる可能性があるために、安全ではない。Ｈｏｈｌｅは、無許可ユーザが装置にアクセスするのを完全に防止していない。さらに、Ｈｏｈｌｅは、パスポートなどの識別の形態として働くように装置を使用することを提案していない。さらに、Ｈｏｈｌｅは、プライバシー問題に対処していない。

米国特許第６，１１９，０９６号において、Ｍａｎｎは、システムに対して個人を認証する生体計測技術を使用する航空便の発券、購入、チェックイン、および搭乗用システムを説明している。この特許の特許請求の範囲では、虹彩パターン認識方法だけを論じているが、明細書では、生体計測的特徴はＤＮＡ、指紋などを含む多数の異なるタイプのうちの１つでよいことを注記している。個人の生体計測テンプレートは、暗号化された形でアカウント情報と共に中央データベースに格納される。個人が航空機への搭乗などの取引を望むとき、個人は、ゲートにあるテンプレート捕捉ステーションを介して個人の現在の生体計測テンプレートを堤出する。次いでテンプレートは、暗号化され、データベースに格納された暗号化テンプレートと突き合わせて検証され、データベースは、認証または拒否を返す。Ｍａｎｎの発明は、個人のテンプレートが中央データベースに格納されるので、個人のテンプレートのプライバシーを保護していない。さらに、Ｍａｎｎは、複数の旅行アプリケーションおよび特権レベルへのアクセスなどの追加の動作柔軟性に適した装置設備を提供または予想していない。

米国特許第６，１３５，６８８号において、Ｓｗｅａｔｔｅは、生体計測データおよびワイヤレススマートカードを使用する空港セキュリティのための方法およびシステムを説明している。チェックイン時に、旅行者は、指紋または網膜のスキャンによって本人確認を受け、運転免許証などの政府発行のＩＤカードを提示し、写真撮影を受けなければならない。この情報は、法執行データベースと突き合わせて検証され、肯定的な検証が返された場合、旅行者は、ワイヤレススマートカードの供給を受ける。旅行者は、旅行の期間に空港内および飛行機の搭乗中にこのスマートカードを持ち運ぶことを求められ、このスマートカードは、個人の旅行を追跡するのに使用される。しかし、スマートカードは、発行プロセス以外には何によっても個人に結びつけられない。したがって、個人のカードが失われ、盗まれ、廃棄され、または他の個人に違法に渡される可能性がある。Ｓｗｅａｔｔｅの特許は、プライバシー問題または複数の異なる旅行特権に対処していない。

（運転免許証関連の技術）
米国特許第６，３１０，２４２号においてＧｅｈｌｏｔによって示されている車両およびその所有者用の認識システムは、モータ車両の電子サブシステムから収集されたリアルタイムデータを受け取り、処理し、格納する。この特許はまた、車両に対して個人を検証および許可し、すなわちオペレータを承認されたサブセットに制限するデータ収集方法も含む。このデータアセンブリは、ドライバから生体計測情報を収集し、ユーザ供給の「車両情報カード」から情報を読み取ることによって実施される。既知の証明書が、車両内に位置するメモリに格納され、中央データベースを必要としない。しかし、この特許で説明されているように、このシステムは、交通省および「ＤＭＶ」（Ｄｉｖｉｓｉｏｎ ｏｆ
Ｍｏｔｏｒ Ｖｅｈｉｃｌｅｓ）に追加の情報をレポートするために、そうした機関へのワイヤレスリンクを有する。しかしＧｅｈｌｏｔは、どのようにこれらの証明書が最初に確認および検証されるかを詳述しておらず、したがって、車のメモリに登録された情報が正確であることを保証することができない。Ｇｅｈｌｏｔの発明はまた、車両情報カード中の情報が発行後に改変されることを防止しない。

Ｗａｓｈｉｎｇｔｏｎの米国特許５，５１９，２６０は、通常は、動作不能の点火システムを有する自動車で使用するための運転免許証駆動システムを開示しており、車両へのアクセスが単純化され、車両セキュリティが改善されると共に、許可されたドライバだけがＷａｓｈｉｎｇｔｏｎの発明を備える車両にアクセスすることを保証すると明言している。車両に対してドライバを認証するこの発明の運転免許証は、磁気ストライプなどの技術を使用して、それぞれのドライバの身元証明書で符号化される。この運転免許証が、車両内のリーダコンテナに挿入され、リーダコンテナは、運転免許証の提示者の想定される身元を表す識別信号を生成する。マイクロプロセッサは、運転免許証からの識別信号を、車両に対する許可ドライバを表す格納データと比較する。運転免許証識別信号が、メモリ内の格納データと合致するとき、マイクロプロセッサは、車両点火システムを動作可能にする出力信号を生成する。あるいは、運転免許証識別信号が、格納データと合致しないとき、無線送信機が、運転免許証識別信号を中央ステーションに送信し、中央ステーションは、この信号を、様々なドライバを表す格納データと比較する。合致が得られた場合、中央ステーションは、車両内の無線受信機に対して無線信号を生成し、その無線信号がマイクロプロセッサで読み取られ、次いでマイクロプロセッサは、点火システムを動作可能にする出力信号を生成する。あるいは、タイマが使用されて、オペレータに応じて規定の期間だけ車両の動作が可能にされる。

別のバージョンでは、このシステムは、制限された運転免許証を有する人が装着するアンクルブレスレット上の送信機から無線信号を受信する無線受信機を含む。受信機がブレスレットからの無線信号を検出すると、マイクロプロセッサは、各ドライバによる車両の操作が許可されない期間を含む時間スケジュールと現在時刻を比較する。車両の操作が許可されていない場合、マイクロプロセッサは、車両の操作を使用不能にする使用不能信号を生成する。この特許は、運転免許証の提示者が「常に信頼できる」応用例に対して実用的に見える製品を開示するが、実際には、実際の免許証または許可されたドライバに偽って登録された偽造免許証を単に取得するだけで、このようなシステムを撹乱または覆すことは比較的容易である。この発明は、運転免許証開始応用例および運転免許証駆動応用例であるが、それ自体は運転免許証応用例ではない。さらに、中央側インターフェースを必要とする自動車内の運転免許証リーダの表面上の認証機能の一部は、パケット探知および盗聴にさらされる可能性もあり、運転免許証保持者の個人プライバシーが、かなり損なわれる。ある環境では、この製品は実際に、不注意な運転免許証ユーザをＩＤ盗用の危険にさらす可能性がある。

Ｔａｋｉｇａｍｉの米国特許第４，９８２，０７２は、運転免許証カードに格納された情報が読み出され、予め設定された運転免許証番号に関して合致または不一致が検出される「ＩＣカード化された」運転免許証を開示している。この発明によれば、運転免許違反点数データがカード上に格納され、切符／違反データがカード上に格納され、エンジン始動に関する許可および禁止がカード上に格納される。運転免許証カード上に格納される情報はキーボードによって更新される。運転免許証カードコントローラが、ＤＭＶ事務所または運転免許証を管理するその他の事務所に設置され、運転免許証の迅速な更新、期限延長、変更が可能となる、この発明の他のバージョンが提供される。このようなシステムには一定の利点があるが、巧妙な詐欺師によってシステムの妨害またはスプーフィングが容易に実施される可能性がある。運転免許証の提示者が実際に当人であることの保証はない。さらに、Ｔａｋｉｇａｍｉの発明にはプライバシーへの適応がない。

（トランスポンダ関連の技術）
米国特許第４，７３８，１３４号において、Ｗｅｉｓｈａｕｐｔが、車両に取り付けられた静止トランスポンダと、潜在的ドライバによって持ち運ばれるポータブルトランスポンダとを使用するモータ車両に対するセキュリティ設備を教示している。静止トランスポンダは、符号化信号をポータブルトランスポンダに送信する。符号化信号の受信時に、ポータブルトランスポンダは、符号化応答信号を送信する。静止トランスポンダが、予想する信号を受信した場合、静止トランスポンダは、ロック解除信号を作成し、車両のロック解除システムに送信する。このシステムは、潜在的ドライバがポータブルトランスポンダに対して自身を認証することを必要とせず、車両のドライバを識別することができない。

米国特許第５，７３６，９３５号では、Ｌａｍｂｒｏｐｏｕｌｏｓが、やはりローカルトランシーバおよびリモートトランシーバを使用する類似のキーレス車両エントリ／エンジン始動システムを例示している。各リモートトランシーバが、固有セキュリティコードを格納し、ローカルトランシーバが、正当に車両へのエントリを得ることができるリモートトランシーバを表すセキュリティコードを格納する。リモートトランシーバがそのセキュリティコードを送信し、コードがローカルデータベースに格納されたコードと合致した場合、エンジンを始動することができる。こうした発明は、いずれも、中心位置への通信のための方法が組み込まれておらず、リモートトランシーバを特定の個人に関連付けることもしない。こうした特許は、新しい車両に設置された現在のキーレスエントリシステムに類似の装置を説明しているように見える。この手法には、いくつかのその他の特許が存在する。

ホームセキュリティシステムと同様に、米国特許第５，８７４，８８９号に記載の、車両アラームを起動して中央監視端末に送信するＨｉｇｄｏｎのシステムおよび方法は、アラームシステムを分離するためにセキュリティコードおよびキーパッドを使用する。正しいセキュリティコード中のユーザタイプの場合、スタータブロッキングリレーが分離され、ユーザは車を始動することができる。しかし、ユーザが点火スイッチを「オン」の位置にする前にコードが入力されない場合、車両は、タイマを無音で開始し、タイマが満了する前にコードが入力されない場合、車両は、アラーム信号を中央ステーションにワイヤレスに無音で送信する。このシステムのセキュリティは、セキュリティコードを損なうことによって完全に無効にされる。さらに、このシステムは、監査目的でシステムが各ユーザを区別することを可能にしない。

米国特許第５，５１９，２６０号において、Ｗａｓｈｉｎｇｔｏｎが、運転免許証が磁気ストライプなどのフォーマットで情報を用いて符号化される車両セキュリティシステムを例示している。カードが車内のリーダに挿入され、情報がカードから読み取られる。データが車内のローカルキャッシュに格納されたデータと合致する場合、車両点火システムが始動するように許可される。データがキャッシュ内に位置しない場合、車両は、ワイヤレストランスポンダを使用して、多数のユーザの情報を格納する中央ステーションと通信する。データが中央ステーション内に位置する場合、やはり車両点火システムが始動するよう許可される。この発明は、一部の応用例では有用であると思われるが、最初に検証され車両を始動することを許可された人が実際に車両を引き続き操作している人であることを確認するための継続的なチェックが提供されない。さらに、ドライバプライバシーが提供されず、またはそれに対する配慮がない。

Ｔａｋａｓｈｉｍａの米国特許第６，３５２，０４５号は、トランスポンダセキュリティコードと、間に直接的電気接続なしにトランスポンダからセキュリティコードを受け取るように構成された通信装置と、通信装置によって受信されたセキュリティコードが所定の許可セキュリティコードと合致しない場合、エンジンの操作を防止するエンジン制御手
段とを備える船舶エンジン向けイモビライゼーションシステムを教示している。この発明では、プライバシー機能の言及または提供がない。

米国特許第６，３２３，７６１号において、Ｓｏｎが、光学認識を使用して車両のロック解除を許可された人を識別する車両セキュリティアクセスシステムを説明している。虹彩像パターンが車両内のデータベース内に登録および格納される。個人が、ドアまたはトランクをロック解除したいとき、ドアのハンドルを握る。これにより、室内灯が点灯し、カメラが個人に向けられる。このカメラは、個人の虹彩像を捕捉し、それを格納されたデータベースと比較する。虹彩像がデータベース内の虹彩像と合致する場合、ドアはロック解除される。そうでない場合、アラームが鳴る。このシステムはまた、カメラまたはコンピュータシステムが故障した場合のキーパッド／セキュリティコードの組合せも有する。このシステムは、生体計測的特徴を使用して個人を識別するので、上述のシステムよりもずっと安全かつ精密である。しかし、このシステムは、ワイヤレストランスポンダを使用して、車内にローカルに格納されたデータベース以外のデータベースにアクセスする方法を何ら説明していない。加えて、例示されるシステムは、かなりの補助装置を車両内に配置する必要があり、さらに、セルフポジショニング虹彩読取りカメラの視線にドライバ自身がまっすぐ向く必要がある。

米国特許第６，４００，０４２号において、Ｗｉｎｎｅｒが、車両内の車両制御ユニット（ＶＣＵ）と通信する個人識別ユニット（ＰＩＵ）をオペレータが持ち運ぶ盗難防止システムを説明している。ＶＣＵは、２つのモードを有する。一方のモードは、車両の操作を可能にし、第２のモードは、車両の操作を禁止する。ＰＩＵがＶＣＵの範囲内に来たとき、この２つが情報およびデータを交換し、個人が許可オペレータであるかどうかを判定する。許可オペレータである場合、ＶＣＵは、モードを切り換えて車両の操作を可能にする。ＰＩＵが車両制御ユニットの範囲を離れたとき、ＶＣＵは、再びモードを切り換えて、車両の操作を禁止する。このシステムは、柔軟ではなく、生体計測技術を組み込んでもいない。

（生体計測個人識別装置関連の技術）
Ｒｕｓｓｅｌが、米国特許第５，４８１，２６５号、５，７２９，２２０号、６，２０１，４８４号、および６，４４１，７７０号において、「セキュアアクセストランシーバ」を説明している。この発明は、ボタン指向ユーザインターフェースを備えるワイヤレス技術を組み込むハンドヘルド電子装置を例示している。この装置が使用され、受信側装置またはシステムに対する個人と装置の識別が、共に実現される。

Ｒｕｓｓｅｌｌ、Ｊｏｈｎｓｏｎ、Ｐｅｔｋａ、およびＳｉｎｇｅｒが、米国特許出願第１０／１４８，５１２号において、生体計測個人識別装置（ＢＰＩＤ）を説明している。ＢＰＩＤは、多因子認証を実現するハンドヘルド電子装置であり、その登録されたオペレータが、金融口座、医療記録、パスワード、個人識別番号、その他の機密データおよび情報などの格納された情報の公開および配布を制御することを可能にする。この装置は、クレジットカードサイズからキーフォブ（ｋｅｙ ｆｏｂ）までの範囲に渡る形状因子を有する改ざん防止パッケージングを有する。様々な実施形態はまた、ユーザ対話用の生体計測スキャナ、液晶ディスプレイ（ＬＣＤ）、およびボタン、ならびに他の電子装置との通信用ワイヤレスインターフェースも含む。この装置は、許可される生体計測的特徴のオペレータによって公開されるのでない限り、指紋を物理的または電子的に装置から除去または送信することができないように、かつ情報を装置から物理的または電子的に除去または送信することができないように開発されている。すべてのデータおよび処理は、セキュアに実施される。ＢＰＩＤは、主に販売時点取引またはその他の金融取引向けであるが、様々なデータおよびアプリケーションを格納することができる。しかし、ＢＰＩＤは、旅行の識別またはその他の旅行関連の機能のための方法を説明していない。

本明細書で開示される発明は、様々な目的地へ、および様々な目的地から様々な時刻に旅行する個人を認証する完全なシステムを提供する。本発明は、個人識別装置を使用して、航空機、船舶、バス、車、および列車を含むいくつかの移動方法に対して、個人身元証明書の検証を調整する。個人の割り当てられた特権が、中央制御データベースと組み合わされる。旅行特権は、現在位置を出発する能力、所望の場所に旅行する能力、特定の時刻に旅行する能力、特定の移動方法を使用する能力であるとみなされる。こうした特権が、個人の申請時に評価され、管理機関の判断で周期的に更新される。

本発明はまた、旅行特権のサブセットとして車両オペレータ特権の検証も含み、個人が様々な移動方法、目的地、および時間についての車両オペレータ特権を受けることを可能にする。本発明は、車両が通行中に車両オペレータ特権を与える方法を開示し、さらに、車両内に個人識別装置をドッキングする装置を提供する。

（旅行システム）
本明細書に記載の旅行識別システムは、個人識別装置を利用する。個人識別装置は、その許可所有者の識別および旅行特権の格納のための手段を提供する任意のハンドヘルド（ｈａｎｄｈｅｌｄ）装置である。これは、生体計測的に動作可能にされるハンドヘルドコンピュータまたはＰＤＡからスマートカードにまで及ぶ。本発明の好ましい実施形態では、個人識別装置が米国特許出願第１０／１４８，５１２号で説明されており、それを説明のために以下で使用する。ＢＰＩＤは、通常、装置管理機関によって個人に対して発行され、また装置は、複数のアプリケーションを実行および格納することができるので、個人は、旅行許可を要求する前に既に装置を受け取っている可能性がある。旅行許可は、旅行管理機関によって監視される。旅行管理機関は、政府の一部または独立機関でよい。旅行管理機関は、様々な情報源を用いて申請者の証明書を検証し、個人の適切な旅行特権を判定し、旅行特権を個人のＢＰＩＤにダウンロードする任を担う。旅行管理機関はさらに、個人および関連する生体計測情報を装置に登録し、非対称鍵ペアを含むデジタル証明書を個人に発行する任を担う。旅行管理機関は、個人の識別についての旅行管理機関の公式な検証としてこのデジタル証明書を使用することを選ぶことができ、または、旅行管理機関自体の証明書を使用することを希望することができる。旅行管理機関はさらに、公開鍵、旅行許可、および各個人の名前をデータベースに保持する任を担う。このデータベースは、旅行管理機関の判断で、個人の許可の変更を反映するように更新される。旅行許可のタイプは、以下でさらに詳細に論じる。

（旅行特権の取得）
（個人識別の検証）
図１に示されるように、個人は、旅行関連の特権を受ける前に旅行管理機関にいくつかの個人情報を堤出しなければならない。このデータは、例えば名前、誕生日、ＳＳＮ、出生証明書またはＬｅｔｔｅｒ ｏｆ Ｎｏ Ｒｅｃｏｒｄなどの「標準情報」を含む。この情報はまた、申請者の顔写真、申請者の署名のデジタル表現、および指紋、あるいはその他の生体計測的特徴を含む。旅行管理機関は、この情報を５つの別個のデータベースに発信して個人の経歴を確認する。

第１のデータベースは、連邦刑事裁判所１３２であり、エージェントが犯罪歴チェックを開始および完了することを可能にする。エージェントは、個人の犯罪記録を閲覧して、個人を証明書の候補者と評価することができる。例えば、フライトの妨害またはその他の妨害的振舞いでしばしば逮捕されている個人が航空機フライト特権を得ることを防ぐこと
ができる。あるいは、その個人のＢＰＩＤ１００が個人の履歴を略述する特別な表示を受信することもできる。

第２のデータベースは、公衆衛生局情報システム協会（ＮＡＰＨＳＩＳ）によって計画された出生証明書データベース１３３であり、米国発行の出生証明書すべての電子ファイルを提供する。これにより、提示された出生証明書をエージェントが検証することが可能となる。エージェントはまた、提示されたＳＳＮの妥当性を検証することを可能にするＳＳＮデータベース１３４にもアクセスすることができる。

次いでエージェントは、エージェントが個人の国内身分を検証することを可能にする移民帰化局（ＩＮＳ）データベース１３５にアクセスする。第５のデータベース１３６が旅行管理機関によって確立され、第５のデータベース１３６は、検証プロセス中にエージェントによって取り込まれたデジタル写真を格納する。このデータベースは、エージェントがこの新しい写真を既存の旅行特権保持者と比較することを可能にし、潜在的に異なる名前で複数の証明書を得ることを防ぐように意図される。

（特権の割当て）
個人の証明書を検証する際、旅行管理機関は、割り当てる特権のレベルを決定する。旅行管理機関は、個人に関する証明書を作成し、関連する非対称鍵ペアを個人に割り当てる。この証明書は、旅行管理機関によって署名され、正当な証明書として受諾することができる。旅行管理機関は、検証した個人の名前およびそれに関連する公開鍵のデータベース１３７を維持する。上述のように、この証明書を前述のデジタル登録証明書として適用してＢＰＩＤ１００にダウンロードすることができ、または旅行管理アプリケーションのための独自の証明書として使用することもできる。

このデータベースは、割り当てた特権レベルも格納することができる。サンプルデータベースを図４に示す。好ましい実施形態に対して割り当てられる、目的地、日付／時刻、移動方法、および有効期限という４つの特定の特権が存在する。第１の特権である宛先は、個人がどこに旅行することができるかを確立する。第２の特権である日付／時刻は、個人がいつ旅行することができるかを確立する。例えば、軽犯罪で有罪となった個人は、禁固刑の終了後の時間に制限された日付範囲を有することができる。第３の特権である移動方法は、個人が旅行にどんなタイプの乗り物を使用することができるかを確立する。このフィールドは、個人が載ることのできる移動方法を指定することが意図され、車、バス、列車、航空機、および船を含むことができる。第４の特権は、有効期限であり、単に、証明書がもはや受諾されず、旅行管理機関によって再検証しなければならないときを表す。

このデータベース１３７は、旅行管理機関が必要とみなしたときに、名前および写真１３６のデータベースとマージすることができる。加えて、データベース１３７は、旅行管理機関の要求に応じて格納された生体計測情報を組み込むことができる。しかし、この結果として本発明のプライバシー問題の一部が損なわれる可能性がある。

（旅行アプリケーションの割当ておよび使用）
旅行管理機関は、識別の検証後に、関連するソフトウェアを個人のＢＰＩＤ１００上にダウンロードする任を担う。以下で旅行アプリケーションと呼ぶものを図５に示す。旅行アプリケーションは、３つの異なる機能および２つの別個の変数を含む。

個人は、通常、旅行アプリケーションを使用して旅行関連の行動を起こすことを望み、特権を機関に要求する。この機関は、旅行管理機関、売り手、またはその他の何らかの関係者でよい。旅行関係の行動は、通常、旅行のチケット／予約、搭乗券、入国港特権、または車両オペレータ特権の要求である。機関は、個人が認証を提供することを要求する。
ＢＰＩＤ１００に対する個人の認証と、対応する秘密鍵の所有権が保証された後、機関は、旅行管理機関のデータベース１３７に照会し、個人が要求を満たすための正しい特権を有することを検証する。機関はまた、この時点で機関特有の検証を実施することを望むこともできる。すべての検証を完了して機関が確信したとき、機関は、許可を組み込む旅行特権証明書を作成する。

旅行特権証明書の各構成要素を図６に示す。旅行特権証明書の各構成要素は、通常、旅行の日付および時刻３７６、移動方法３７７、特権タイプ３７５、発行日３７２、および有効期限３７３、シリアル番号３７４、目的地３７８、およびその他の関連項目３７９からなる。例えば、航空便チケット購入要求を受けたときに、航空会社または売り手は、要求された日付および時刻に個人が航空機旅行特権を有することを検証する。そうである場合、売り手は、移動方法３７７を「航空機」に設定し、特権のタイプ３７５を「チケット」に設定し、日付および時刻３７６を個人の要求に通りにした旅行特権証明書を作成する。有効期限３７３は、単に証明書がもはや有効でなくなる日付を設定し、シリアル番号３７４は、証明書を一意に識別することを可能にする。加えて旅行特権証明書は、後の検証のために旅行管理機関または発行機関によって署名される。好ましくは、旅行アプリケーション２４７の第１機能は、ＢＰＩＤ１００がこうした旅行特権証明書を受信することを可能にし、それをアプリケーションにそれを格納させることを可能にする。

好ましくは、旅行アプリケーション２４８の第２機能は、個人が、格納された旅行特権証明書を他の装置および個人に提示することを可能にする。個人は、すべての旅行特権証明書を１つのバッチで提示することができ、あるいは特定の日付／時刻範囲、移動方法、特権のタイプ、または有効期限を有するすべての証明書を求めて個人の装置を探索することができる。あるいは、個人は、証明書のシリアル番号を探索することもできる。この機能は、旅行特権証明書を送る前にユーザ認証を要求するように構成することができる。例えば、個人が５分前以内に認証機能を実行した場合にのみ、旅行特権証明書を送ることができる。このことは、旅行管理機関の判断で確立することができる。

好ましくは、旅行アプリケーション２４９の第３の機能は、登録された個人がアプリケーション監査ログを提示することを可能にする。旅行特権証明書受領などのイベントがアプリケーションで発生したとき、アプリケーションは、イベントならびに日付および時刻などの関連するデータを、記憶域の監査ログ区間２４３内に記録する。こうしたレコードは、装置管理機関、旅行管理機関、または個人の望みに従って他の装置に周期的にダウンロードすることができる。

（旅行アプリケーションを用いた認証）
図５に示すように、ヨーロッパまで飛行する旅行特権を所有する個人が、前述の方法でロンドンまで飛行するチケットを購入することを要求している（５０１）。チケットの売り手は、旅行管理機関のデータベース１３７に照会し（５０２）、飛行することを許可し、要求した日付にロンドンに旅行することを許可する特権を個人が有することを検証する（５０３）。この旅行は許容されるが、チケットの売り手は旅行特権証明書チケットを個人に発行する（５０４）ことに留意されたい。次に個人は、旅行アプリケーションの第１機能を使用して、旅行特権証明書チケットをＢＰＩＤ１００にダウンロードする。

要求した旅行日に、個人は空港に移動し、空港で個人は、空港で確立された規則に従ってチェックインで旅行アプリケーションの第２機能を使用して旅行特権証明書チケットを提示する（５０５）。旅行特権証明書チケットが有効であると航空会社が判定した場合（５０６）、個人は、旅行特権証明書搭乗券を受け取る（５０７）。個人が航空機ゲートに行ったとき、個人は、旅行アプリケーションの第２機能を使用して旅行特権証明書搭乗券を提示する（５０８）。ＢＰＩＤから証明書を受信および処理する手段を備える回転式改
札口またはその他の改札口が、旅行特権証明書搭乗券を受け取り、それを検証する（５０９）。証明書が、内蔵されており、そのデジタル署名のために信用されるので、次に改札口は、個人がゲートにアクセスすることを許可することができ（５１０）、特権をデータベース１３７と突き合わせて再検証することなく、個人が航空機に搭乗することを許可することができる。次に旅行アプリケーションは、終了する（５１１）。証明書が正しく確認されない場合、または個人が要求した行動を実施するための適切な特権レベルを所有しない場合、アプリケーションは、やはり終了する（５１１）ことに留意されたい。

このオペレーションは自動で、個人からの認証を要求しないことができ、または認証を要求することもできる。こうした規則は、必要に応じて旅行管理機関またはその他の機関の判断で確立することができる。明らかに、生体計測認証を使用することにより、システムでのセキュリティのレベルが向上する。

（車両オペレータ特権）
旅行特権の注目すべきサブセットは、個人が車両を操作することを可能にする。旅行する事前の許可を持たない個人は、車両を操作すべきでなく、操作することができない。旅行は車両操作の固有の部分であるからである。例えば、メキシコに旅行する特権を有する個人は、メキシコシティへのルートまたはメキシコシティからのルートで商業トラックドライバとして雇用されることを望むことがある。次いで個人は、ＤＭＶまたはドライバ特権を判断するその他の機関からドライバ能力の公式証明書を受け取るまで、トラックドライバとして訓練を受ける。ドライバ能力の公式証明書は、タイプフィールドが「オペレータ」に設定された旅行特権証明書に変換され、前述の方法を用いてＢＰＩＤ１００にダウンロードされる。

車両オペレータ特権をＢＰＩＤ１００に組み込むことの大きな利点は、限られた追加の装置で、車両操作中のすべての時間に車両および／または監視する機関に対してオペレータを認証することができることである。上記の例に追従して、個人は、危険な材料を搬送するトラックを運転することの許可を受けることができる。最近の国内テロリズムについての懸念に伴って、トラック運送会社は、トラックが強奪されていないことを検証するために、ドライバが運転中にドライバの身元を保証することを望んでいる。

トラック運送会社は、複数の選択肢を有する。第１の選択肢は、長距離トランスポンダを車両に追加することである。多くのトラックがそのような無線を既に備えている。トランスポンダは、ＢＰＩＤ１００にインターフェースするように適合することができ、それによってＢＰＩＤ１００はデータをトランスポンダに送信することができる（双方向通信は任意選択である）。旅行アプリケーションを有するＢＰＩＤ１００は、車両オペレータの旅行特権証明書をトランスポンダに送信することができ、次いでトランスポンダは、証明書をトラック運送会社、旅行管理機関、またはその他の適切な関係者に送信することができる。旅行特権証明書送信機能は、ユーザ認証を要求するように構成することができるので、証明書の受信側は、正当な装置所有者が指紋を用いて送信を許可したことの保証を受けることができる。

あるいは、トラック運送会社は、インテリジェントキルスイッチ（ｋｉｌｌ ｓｗｉｔｃｈ）をトラックに追加することもできる。このキルスイッチも、ＢＰＩＤ１００から旅行特権証明書を受信するように構成される。無効な証明書を受信した、または証明書を全く受信しなかったとキルスイッチが判定した場合、キルスイッチは、トラックの操作を安全に使用不能にすることができる。本発明の１つの最適な実施形態は、キルスイッチ機構をトランスポンダに組み込む。これにより、トラック運送会社、旅行管理機関などがドライバの特権を監視し、信号を送信して車両の操作を終了することが可能となる。

前述のように、この監視システムを使用可能にする１つの重要な部分は、車両が動作中に旅行特権証明書の送信を要求することである。トラック運送会社、旅行管理機関、またはその他の適切な関係者は、個人がいつ証明書を送信しなければならないかを述べる規則を確立することができる。例えば、３０分ごとなどの規則的な時間間隔で証明書を送信するようにドライバに要求することができる。あるいは、よりセキュリティを高めるために、ランダムな時間間隔で認証するようにドライバに促すこともできる。このシステムはまた、規則的またはランダムな走行距離間隔でユーザを認証するように同様に構成することもできる。

この車両オペレータ監視システムをより良好に使用可能にするために、本発明は、車両が動作中にＢＰＩＤ１００などの個人識別装置を安全に保持するドッキング装置を作成する。この装置を図６に示す。このドッキング装置は、ユーザが車両操作中に注意散慢を最小限に抑えて安全かつ容易に認証することを可能にする向きにＢＰＩＤ１００を配置するように確立される。この装置は、データジャックコネクタ６０１、パワージャックコネクタ６０２、およびＢＰＩＤ１００を保持するクレードル（ｃｒａｄｌｅ）６０３を備える。データジャック６０１は、ＢＰＩＤ１００から車両、トランスポンダ、またはその他の装置にデータを中継するのに使用することができる。パワージャックコネクタ６０２は、ＢＰＩＤ１００の電源に優先して、装置が電池電力を流出することを可能にする。クレードル６０３は、前述のように装置を保持し、ギヤシフトレバー、ステアリング装置、トランスポンダ、手ブレーキなどの様々な位置に配置することができる。

上記の説明では、本発明の特定の実施形態を参照したが、本発明の精神から逸脱することなく、多数の修正を行えることを理解されよう。添付の特許請求の範囲は、本発明の真の範囲および精神内に含まれる修正形態を包含するものとする。

個人が旅行アプリケーションを受信する許可を受ける前の証明書検証プロセスを示す図である。 個人名、公開鍵、および関連する旅行特権のサンプルデータベースを示す図である。 旅行アプリケーションのアーキテクチャを示す図である。 旅行特権証明書の構成要素を示す図である。 従来の航空便アプリケーションを使用して旅行特権証明書を受信および使用するプロセスを示す図である。 ドッキング装置を示す図である。マスタ参照数値リスト

１００ 個人識別装置
１３２ 連邦刑事裁判所のデータベース
１３３ ＮＡＰＨＳＩＳデータベース
１３４ ＳＳＮデータベース
１３５ ＩＮＳデータベース
１３６ 他のデータベース
１３７ 名前、公開鍵、および特権データベース
３４２ 旅行特権証明書記憶空間
３４３ 監査ログ記憶空間
３４７ 旅行特権証明書受信機能
３４８ 旅行特権証明書送信機能
３４９ 監査ログ送信機能
４７１ 旅行者の名前
４７２ 証明書発行日
４７３ 証明書有効期限
４７４ 証明書シリアル番号
４７５ 特権タイプ
４７６ 特権日付および時刻
４７７ 移動方法
４７８ 目的地
４７９ その他
５０１ チケットを要求する
５０２ 特権について旅行管理者のデータベースに照会する
５０３ 個人が適切な特権を所有しているか？
５０４ 旅行特権証明書チケットを発行する
５０５ 旅行特権証明書チケットを提示する
５０６ チケットは有効か？
５０７ 旅行特権証明書搭乗券を発行する
５０８ 旅行特権証明書搭乗券を提示する
５０９ 搭乗券は有効か？
５１０ ゲートへのアクセスを許可する
５１１ 終了
６０１ データジャックコネクタ
６０２ パワージャックコネクタ
６０３ クレードル

Claims (8)

1. 車両が動作中に該車両内で個人識別証明書を検証する装置であって、
   予め個人の生体情報を格納した個人識別デバイスを備え、
   該個人識別デバイスは、前記個人が旅行管理機関により認証されて前記車両を動作させるときに、前記個人識別証明書を格納するように構成され、前記個人識別証明書は、前記個人による車両操作が前記旅行管理機関により前記個人に割り当てられた所定の旅行特権に違反していないことを認定し、
   該個人識別デバイスは、操作により前記車両に搭載されたキルスイッチに結合されるように構成され、
   該個人識別デバイスは、さらに、
   前記車両が動作中に、該個人識別デバイスの生体計測スキャナを介して前記個人の生体計測情報の入力を受け、
   該生体計測情報入力と前記予め格納された生体情報とに基づいて、前記個人識別デバイスから前記生体情報を出力することなく前記個人を認証し、
   前記個人の生体計測情報入力が認証されない場合は、前記キルスイッチへの信号の出力を抑止して、前記キルスイッチが前記車両を操作不可能にするように構成される装置。
2. 前記個人識別デバイスは、前記車両に結合され、前記個人の生体計測情報の入力が認証されると、前記個人識別デバイスが前記キルスイッチに信号を出力するように構成される、請求項１に記載の装置。
3. 前記個人識別デバイスは、前記個人の生体計測情報の入力が認証されると、前記キルスイッチに無線で信号を出力するように構成される、請求項１に記載の装置。
4. 前記個人識別証明書が、前記旅行管理機関に関連付けられた非対称鍵ペアに基づいて暗号化される、請求項１に記載の装置。
5. 請求項１に記載の装置において、前記所定の旅行特権が、所与の旅行時間の特権、移動方法の特権、目的地の特権、有効期限の特権、およびオペレータの特権のうちの少なくとも１つを含む、装置。
6. 前記個人識別デバイスが、生体計測テンプレートの出力を拒むように構成される、請求項１に記載の装置。
7. 請求項１に記載の装置において、前記個人識別デバイスが、さらに、前記個人識別証明書について輸送団体から認証要求を受け取るように構成され、前記個人識別デバイスが、該要求の受け取りに応じて、前記生体計測情報入力と前記予め格納された生体情報とに基づいて前記個人を認証するように構成される、装置。
8. 請求項１に記載の装置において、前記個人識別デバイスが、前記生体計測情報入力と前記予め格納された生体情報とに基づいて、前記個人を所定の時間間隔で認証するように構成される、装置。

Images