(57)【要約】      （修正有）【課題】ユーザの認証を促進する。【解決手段】複数の個人認証装置３、４および端末２を備えた認証システム１である。端末２は、ユーザの生体情報を生成する生体認証手段５、６と、個人認証装置３、４と端末２との間の接触なしに個人認証装置に生体情報を送信する無線通信手段７とを備えている。各個人認証装置３、４は、個人認証装置３、４の所有者の生体データを保存するメモリと、生体情報と生体データとを比較してユーザの認証を実行する処理手段とを有する。無線通信手段７は複数の個人認証装置３、４に生体情報を送信するように構成されており、個人装置３、４は、生体情報と生体データとの比較がユーザの認証を可能にするポジティブ比較である場合に、接触せずに端末２にポジティブ認証データを送信する無線通信手段を有しており、端末はポジティブ認証データを送信した個人装置のみと取引セッションを開始する。【選択図】図１
2014160472.tif 000002
【特許請求の範囲】
【請求項１】
複数の個人認証装置（３、４）および端末（２）を備え、
上記端末（２）は、
ユーザの生体情報を生成するように構成された生体認証手段（５、６）と、
各上記個人認証装置（３、４）と上記端末（２）との間の接触なしに、５０ｃｍ〜３００ｃｍの範囲内の距離に応じて、各上記個人認証装置（３、４）に生体情報を送信するように構成された無線通信手段（７）とを備え、
各上記個人認証装置（３、４）は、
上記個人認証装置（３、４）の所有者の生体データ、複数のアプリケーション、および当該複数のアプリケーションのリストを保存するように構成されたメモリ（１０）と、
上記生体情報と上記生体データとを比較してユーザの認証を実行するように構成された処理手段（１１）と、
上記生体情報と上記生体データとの比較が上記ユーザの認証を可能にするポジティブ比較である場合に、接触せずに上記端末（２）にポジティブ認証データを送信するように構成された無線通信手段（８）とを備え、該無線通信手段（８）は、５０ｃｍ〜３００ｃｍの範囲内の距離に応じて、上記端末（２）と通信するように構成されている認証システム（１）であって、
上記端末は、
上記ポジティブ認証データを送信した各上記個人認証装置のみと取引セッションを開始し、特定の個人認証装置との取引を実行するために、上記ポジティブ認証データを送信した複数の個人認証装置から上記特定の個人認証装置を選択するように構成されていることを特徴とする認証システム。
【請求項２】
各上記個人認証装置（３、４）は、複数のアプリケーションを保有しており、上記端末（２）は、上記ポジティブ認証データを送信した複数の個人認証装置に保有されたアプリケーションの機能として、上記特定の個人認証装置を選択するように構成されていることを特徴とする請求項１に記載の認証システム。
【請求項３】
各上記個人認証装置（３、４）は、複数のアプリケーションと、当該アプリケーションのリストとを保有しており、上記端末（２）は、上記ポジティブ認証データを送信した複数の個人認証装置のそれぞれに対して、上記複数のアプリケーションのリストを要求し、その後、
−受信された各上記アプリケーションのリストから、認識されないアプリケーションを排除することによって、および／または、
−上記端末内、または受信された各上記アプリケーションのリストに存在する優先規則を適用することによって、および／または、
−上記ユーザまたはスタッフの操作を介して、上記特定の個人装置を選択することによって、
上記特定のアプリケーションを選択することを特徴とする請求項１に記載の認証システム。
【請求項４】
上記個人認証装置が、上記端末（２）にデータを送信し得ない第一モードと、上記端末と通信し得る動作モードとを有することを特徴とする請求項１から３のいずれか１項に記載の認証システム。
【請求項５】
上記生体情報と上記個人認証装置における生体データとの比較がネガティブである場合、当該個人認証装置が第一モードに切り替わり、上記端末と当該個人認証装置との間に通信セッションが開始されないことを特徴とする請求項１から４のいずれか１項に記載の認証システム。
【請求項６】
上記生体情報と上記個人認証装置における生体データとの比較がポジティブである場合、当該個人認証装置が動作モードに留まり、上記端末と個人認証装置との取引が実行され得ることを特徴とする請求項４または５に記載の認証システム。
【請求項７】
上記個人認証装置が、上記端末から送信された信号を検知し得る受信モードと、単に時間遅延の実行のみをし得るスタンバイモードとを有することを特徴とする請求項１〜６のいずれか１項に記載の認証システム。
【請求項８】
上記個人認証装置が、第一規定時間Ｔ１の経過後、上記スタンバイモードから上記受信モードに切り替わるように構成されていることを特徴とする請求項７に記載の認証システム。
【請求項９】
上記個人認証装置が、第二規定時間Ｔ２の終了前に、上記端末が送信した上記信号を検知したとき、上記受信モードから上記端末と通信し得る動作モードに切り替わるように構成されていることを特徴とする請求項７または８に記載の認証システム。
【請求項１０】
上記生体認証手段（５、６）が、ユーザの生体画像を取得するように構成された生体認証読み取り装置（５）と、上記生体画像から生体情報を生成するように構成された処理手段（６）とを有することを特徴とする請求項１〜９のいずれか１項に記載の認証システム。
【請求項１１】
上記処理手段（６）が、上記生体画像から特徴点を抽出するように構成されており、上記生体情報が上記特徴点の圧縮データを含むことを特徴とする請求項１０に記載の認証システム。
【請求項１２】
上記生体認証読み取り装置が、上記ユーザの指または手の静脈網の画像を取得するように構成されていることを特徴とする請求項１０または１１に記載の認証システム。
【請求項１３】
複数の個人認証装置（３、４）および端末（２）を備え、
上記端末（２）は、
ユーザの生体情報を生成するように構成された生体認証手段（５、６）と、
各上記個人認証装置（３、４）と上記端末（２）との間の接触なしに、５０ｃｍ〜３００ｃｍの範囲内の距離に応じて、各上記個人認証装置（３、４）に生体情報を送信するように構成された無線通信手段（７）とを備え、
各上記個人認証装置（３、４）は、
上記個人認証装置（３、４）の所有者の生体データ、複数のアプリケーション、および当該複数のアプリケーションのリストを保存するように構成されたメモリ（１０）と、
上記生体情報と上記生体データとを比較してユーザの認証を実行するように構成された処理手段（１１）と、
上記生体情報と上記生体データとの比較が上記ユーザの認証を可能にするポジティブ比較である場合に、接触せずに上記端末（２）にポジティブ認証データを送信するように構成された無線通信手段（８）とを備え、該無線通信手段（８）は、５０ｃｍ〜３００ｃｍの範囲内の距離に応じて、上記端末（２）と通信するように構成されている認証システム（１）を実行する認証方法であって、
−ユーザが、生体認証手段を使用して生体情報を生成するステップ、
−端末における無線通信手段が複数の個人認証装置に上記生体情報を送信するステップ、
−各個人認証装置の処理手段が、上記生体情報と生体データとを比較して、上記生体データと上記生体情報との比較がポジティブであった場合にポジティブ認証データを生成し、ユーザの認証を行うステップ、
−比較がポジティブであった場合、上記個人認証装置の無線通信手段（８）を介して、上記ポジティブ認証データを上記端末（２）に送信するステップ、を含んでおり、
上記方法が、さらに、
−個人認証装置がポジティブ認証データを送信した場合のみ、上記端末が取引セッションを開始するステップ、
上記端末が、取引セッションを開始する各上記個人認証装置に、複数のアプリケーションのリストを要求するステップ、
上記端末が、特定の個人装置および取引を行う特定のアプリケーションを同時選択するステップであって、
上記同時選択するステップは、
−上記端末が、受信された各上記アプリケーションのリストから、認識されないアプリケーションを排除するステップ、および／または、
−上記端末が、上記端末内、または受信された各上記アプリケーションのリストに存在する優先規則を適用するステップ、および／または、
−上記端末が、ユーザまたはスタッフの操作を介して、上記特定のアプリケーションを選択するステップ、を含むことを特徴とする方法。
【請求項１４】
既存の保護通信チャネルを介して、上記端末における上記無線通信手段が上記複数の個人認証装置に上記生体情報を送信することを特徴とする請求項１３に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の個人認証装置のうちの１つ、および、ユーザに関する生体情報を生成するように構成された生体認証手段と、生体情報を個人認証装置に送信するように構成された通信手段とを有する１つの端末を、備える認証システムであって、上記個人認証装置または各上記個人認証装置が、個人認証装置の所有者の生体データを保存するように構成されたメモリと、生体情報と生体データとを比較してユーザの認証を実行するように構成された処理手段とを有する構成の認証システムに関する。
【背景技術】
【０００２】
上記システムは、国際公開番号ＷＯ−Ａ−２００４／１０００８３に示されている。当該ＰＣＴ出願では、装置は認証カードであり、認証カードにおけるメモリに生体情報が送信される。当該ＰＣＴ出願では、認証カードへの生体情報の送信方法が教示されていない。ここで、例えば端末が、端末にカードを挿入することによってカードに生体情報を送信するように構成されている場合、認証するために、ユーザにとって制約となるステップを必要とする。この場合では、ユーザがカードを取り出して接触読み取り装置に当該カードを挿入し、認証を実施できるようにする必要がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】国際公開第２００４／１０００８３
【特許文献２】国際公開第２００５／０７８６４７
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、上記システムにおけるユーザの認証を促進することにある。
【０００５】
特許文献ＷＯ２００５／０７８６４７は、上述したシステムを教示しており、当該システムにおいて、通信手段は、装置と端末との間にて接触せずに個人装置へ生体情報を送信するように構成された無線通信手段である。
【０００６】
しかし、ＷＯ２００５／０７８６４７は、複数の個人装置が無線通信手段の範囲内に配置され得るという事実を考慮していない。
【０００７】
実際のところ、上記文献は、単一の個人装置と端末との間の１対１（１：１）タイプの連結に限定されているので、ユーザは単一の個人装置を装置の近傍に配置して当該方法を実施しなければならない。
【課題を解決するための手段】
【０００８】
当該方法には、複数の個人装置が端末の近傍にあるとき、特に通信手段の領域が例えば５０ｃｍ〜３００ｃｍの範囲内であるなど相対的に広いときに実施できるという長所がある。
【０００９】
より具体的には、例えば、複数の端末が同時に存在するデパートメントストアなどの環境下では、複数の端末が同時に１つの個人装置を選択することがある。同様に、端末が、自身の領域内に、異なる持ち主に属する、または属さない複数のカードを有することがある。
【００１０】
本発明の目的は、無線通信手段が相対的に広い範囲に及ぶときに実行可能な認証方法およびシステムを提供することにあり、それによって、当該無線通信手段の領域内において複数の個人装置を特定することができる。
【００１１】
本目的は、上述したシステムを用いた本発明によって達成される。当該システムにおいて、無線通信手段は、生体情報を複数の個人認証装置に送信するように構成されており、個人認証装置の各々が、生体情報と生体データとの比較が、ユーザを認証するポジティブ比較である場合に、端末にポジティブ認証データを非接触で送信することができるように構成された無線通信手段を有しており、上記端末が、ポジティブ認証データを送信した１つないし複数の個人装置のみと取引セッションを行うように構成されている。
【００１２】
したがって、端末は、その無線通信手段の領域内にある全ての個人装置に生体情報を送信し、端末からのポーリングにポジティブな回答をする装置のみと取引セッションを開始することができる。そして、端末の無線通信手段の領域内に複数の装置が存在するが、生体認証取得を行ったユーザと一致しない場合、一致しない端末に対して取引セッションは開かれない。したがって、端末の領域内における複数の個人装置の存在を管理することができる。これによって、複数の装置が存在するとき、十分かつ安全な認証を行うことができる。
【００１３】
したがって、ユーザは、自身の個人認証装置を操作せずに、端末の生体認証手段を用いて１つの身振りによって自身を認証することができる。例えば、個人認証装置が認証カードの形状をとるとき、ユーザは例えば財布などからカードを取り出さずに自身を認証することができ、カードは、持ち主が操作しなくても、生体情報とメモリ内の生体データとを比較することができる。そして、生体認証比較によって、認証を十分に安全なレベルに維持し、複数のユーザが端末の領域内に配置され得るという事実を考慮に入れつつ、認証を容易に行うことができる。したがって、本発明は、複数のユーザが同時に会計に行くデパートメントストアの場合、または１人以上のユーザが複数の個人装置を有する場合に特に好適である。
【００１４】
ここで、本発明の好適な実施形態を説明する。
【００１５】
好適には、端末無線通信手段は、５０ｃｍ〜３００ｃｍの範囲内の距離に基づき、生体情報を個人認証装置に送信するように構成されている。
【００１６】
したがって、ユーザは、数センチメートルにて１対１モードの通信のみが可能であるＮＦＣ「近距離無線通信」規格を用いた非接触型解決手段でそうであるように、自身の個人認証装置を近くに配置する必要がない。
【００１７】
また同様に、個人認証装置の無線通信手段は、５０ｃｍ〜３００ｃｍの範囲内の距離に基づき、端末と通信できるように構成されている。
【００１８】
本発明の実施形態によると、生体認証手段は、ユーザの生体画像を取得するように構成された生体認証読み取り装置と、生体画像から生体情報を生成するように構成された処理手段とを有する。当該実施形態には、記憶装置に送信された生体情報と個人認証装置の計算能力とを適合させることができるという利点がある。より具体的には、処理手段は、サイズの小さい生体情報のみを個人認証装置に送信するように構成されているので、個人認証装置に保存されたデータとのポジティブ比較によって、十分な安全性をもって、生体読み取り装置を使用したユーザの同定を保証することができる。例えば本発明のアプリケーション、および端末によって承認された取引タイプに応じて、当該安全性レベルを選択することができる。
【００１９】
本発明の特定の実施形態によると、より具体的には、処理手段は、生体画像から特徴点を抽出するように構成されており、生体情報は、特徴点の圧縮データを含む。当該圧縮は、例えば端末および個人認証装置において適用され得るハッシング関数を用いて実行される。
【００２０】
好適には、生体読み取り装置は、ユーザの指または手の静脈網の画像を取得するように構成される。これによって、特に、ユーザの追跡記録が無くとも、生体特徴を提供することができる。
【００２１】
本発明の或る実施形態によると、個人認証装置は、端末にデータを送信し得ない第一モードと、端末と通信し得る動作モードとを有していてもよい。
【００２２】
上記のとき、生体情報と個人装置における生体データとの比較がネガティブである場合、当該個人装置は第一モードに切り替わるように構成されているので、端末と当該個人装置との間に通信セッションは開始されない。
【００２３】
好適には、生体情報と個人装置における生体データとの比較がポジティブである場合、当該個人装置は動作モードに留まるように構成されているので、端末と個人装置との取引を実行することができない。
【００２４】
個人装置は、端末から送信された信号を検知し得る受信モードと、単に時間遅延の実行のみをし得るスタンバイモードとをさらに有していてもよい。
【００２５】
上記の場合、個人装置は、第一規定時間Ｔ１の経過後、スタンバイモードから受信モードに切り替わるように構成されていてもよい。
【００２６】
さらに、個人装置は、第二規定時間Ｔ２の終了前に端末が送信した当該信号を検知したとき、受信モードから動作モードに切り替わるように構成されていてもよい。
【００２７】
上述した全実施形態において、端末が、複数の個人装置からポジティブ認証データを受信する場合、端末は特定の個人装置を選択して取引を実行するように構成されていてもよい。
【００２８】
上記の場合、個人装置はアプリケーションを含んでいてもよく、端末は、ポジティブ認証データを送信した複数の個人装置に含まれるアプリケーションに応じて特定の個人装置を選択するように構成されていてもよい。
【００２９】
同様に、ポジティブ認証データを送信した個人装置は、複数のアプリケーションを含んでいてもよく、端末は、或る取引を実行する特定のアプリケーションを選択するように構成されていてもよい。
【００３０】
上記の場合、端末は、優先規則に則して、または、当該端末が認識可能なアプリケーションに応じて、特定のアプリケーションを選択するように構成されていてもよい。
【００３１】
上述した全実施形態において、端末無線通信手段、および個人装置または各個人装置の無線通信手段は、３０ｃｍ〜３００ｃｍの範囲内の通信領域を有していてもよい。
【００３２】
本発明は、上述したシステムを実行する認証方法であって、
−ユーザが、生体認証手段を使用して、生体情報を生成するステップ、
−無線通信手段が複数の個人認証装置に生体情報を送信するステップ、
−各個人装置の処理手段が、生体情報と生体データとを比較して、生体データと生体情報との比較がポジティブであった場合にポジティブ認証データを生成してユーザの認証を行うステップ、
−個人装置の無線通信手段を介して、データのポジティブ認証を端末に送信するステップ、
−個人装置がポジティブの認証データを送信した場合のみ、端末が取引セッションを開始するステップ
を有する、上述したシステムを実行する認証方法に関する。
【００３３】
上述した方法の実施形態によると、個人認証装置は、個人認証装置によって実行されると見込まれるアプリケーションに関する識別子をさらに送信してもよい。
【００３４】
したがって、端末と個人装置との間で実行される取引が、アプリケーションによって規定される個人装置の能力に適合されることを保証できる。
【００３５】
既存の保護通信チャネルを介して、端末無線通信手段が複数の個人認証装置に生体情報を送信することが好ましい。
【００３６】
添付の図面を参照して、本発明に係る少なくとも１つの実施形態を説明する。
【図面の簡単な説明】
【００３７】
【図１】図１は、本発明に係る認証システムを示す。
【図２】図２は、図１の固定認証システム内に含まれる個人装置を示す。
【図３】図３は、図１の認証システムの機能図を示す。
【図４】図４は、図１のシステムの実施形態を示す機能図である。
【発明を実施するための形態】
【００３８】
図１に示されたように、本発明に係る認証システム１は、例えば店内の売り場における端末２などに対応する端末２を有する。端末２は、ユーザの生体画像を取得することができる生体読み取り装置５を有する。当該読み取り装置は、ユーザの指または手の静脈系の画像を取得し、画像の特徴点を算出する。端末２は、計算機６を有しており、生体画像および得られた特徴点に処理を施す。当該処理は、例えばハッシング関数の適用などに対応し、特徴点の圧縮データが生成される。端末２は、個人認証装置３および４に情報を送信する無線通信手段７をさらに有する。下記に、装置３および４についてさらに詳述する。
【００３９】
無線通信手段７は、ＩＳＯ基準、具体的にはＩＳＯ１８０００−６基準に基づく高周波モジュールを有する。当該基準によって、５０ｃｍ〜３ｍの範囲内の距離における無線通信が可能になる。ＩＳＯ基準１８０００−６に使用される周波数は、８６５ＭＨｚ帯域以内の極超短波である。当該周波数は、５０ｃｍ〜３ｍの範囲内の距離の通信に好適である。
【００４０】
さらに、無線通信手段７は、衝突防止アルゴリズムを統合しているので、端末７は複数の装置３および４と通信することができる。
【００４１】
ここで、図２を参照して、装置３についてさらに詳述する。装置３は、例えば、口座引き落しカード（payment card）の形状を有するカードである。カードは、マイクロプロセッサ１１に接続される高周波インターフェース８、および、同じくマイクロプロセッサ１１に接続される接触インターフェース１２を有する。マイクロプロセッサ１１は、ＥＥＰＲＯＭ（登録商標）メモリ１０に接続されている。バッテリ９によって、装置３が必要とする高周波放出力を供給することができ、端末２と通信することができる。バッテリ９は、接触型カード読み取り装置とインターフェース１２とが接触すると、最終的にリロードされ得る。
【００４２】
メモリ１０は、カード３の所有者の生体データを保存する。当該生体データは、端末２が生成することができる情報に適合されてもよい。より具体的には、端末２が、ユーザの指の静脈網の画像を取得する読み取り装置を有する場合、メモリ１０は、当該指の静脈網からの情報を装置３が受信したときにおけるユーザの認証に必要な生体データを含む。当該データは、静脈網の特徴点についてのデータ、または、端末２において適用されるのと同様のハッシング関数から得られる画像の圧縮データに対応していてもよい。
【００４３】
上記データは、虹彩または顔の形に関する情報に対応していてもよく、このような生体要素や、他の生体要素、または複数の生体要素の組み合せについての認識を可能にする。
【００４４】
顧客の申し込み、カードの更新、または既存の顧客のための新規カード作成にあたって、上記生体測定基準が顧客のカード３に記録される。
【００４５】
マイクロプロセッサ１１は、メモリ１０内に保存された生体データと、端末２から高周波インターフェース８を介して受信された生体情報とを比較するように設定されている。
【００４６】
定義によれば、当該比較は１対１（１：１）タイプである。当該比較は、提供された生体サンプルと、持ち主の有する個人認証装置３（チップカード、携帯電話のＳＩＭカードなど）に存在する測定基準との対応を確実にすることのみに関する。これは、データベースにおいて、対応するゲージを検索する１対複数（１：Ｎ）などには適さない。
【００４７】
メモリ１０内に保存された生体データと高周波インターフェース８を介して端末２から受信された生体情報との比較がポジティブである場合、装置３は端末２にポジティブ認証データを送信し、生体読み取り装置を使用したユーザが実際に装置３の所有者であることを端末２に示す。
【００４８】
図３を参照して、上述したシステム１の動作を説明する。次に、図４を参照して、本発明の特定の実施形態におけるユーザ認証を説明する。
【００４９】
ユーザが会計１３にて所定の金額を支払おうとするとき、会計システム１３がその金額を端末２に送信する（２０）。その後、端末２が例えばメッセージを表示するので、ユーザは指または手を生体読み取り装置上に置く。端末２が生体情報を生成すると、端末２は当該生体情報をその周囲の装置に送信する（３０）。端末２の送信領域内にある全ての個人装置３および４が、当該生体情報を受信する。当該生体情報を受信すると直ちに、装置３が、受信した生体情報と、装置３のメモリ内に保存された生体データとを比較する（４１）。また、装置４もそのような比較を実施する（４２）。
【００５０】
図３では、装置４の所有者は端末２の生体読み取り装置を使用したユーザであり、装置３の所有者は端末２の生体読み取り装置を使用したユーザではないと考えられる。この場合、装置３が行った比較はネガティブの結果となり、装置３による端末２への認証データ送信は行われない。その後、装置３は、端末との取引に関して停止したままである。対照的に、装置４が行った比較はポジティブの結果となり、装置４はポジティブの認証データを端末２に送信し（５０）、端末２の生体読み取り装置を使用したユーザが個人認証装置４の認証所有者であることを端末２に知らせる。
【００５１】
認証が完了すると、端末２と装置４との間に保護された取引チャネルが開始される（６０）。当該保護取引チャネル上において、保護取引を実行することができる。無線通信手段２および上記装置４を用いることによって、装置４を装置の所有者の財布、またはポケットに入れたままで認証を行うことができる。そして、例えばＰＫＩタイプの認証、公開鍵の認証および秘密鍵の認証を用いて、端末２と装置４との間にてそれ自体は周知である保護取引を行う。
【００５２】
例えばＥＭＶタイプなどの電子決済取引に関して、端末２は電子決済認証サーバ１４にポーリングを行い（７０）、取引ＥＭＶを行う。その後、取引の実施が端末２に通知され（８１）、続いて、端末２が装置４に取引の完了を通知する（８２）。
【００５３】
端末２は、会計システムにも取引の完了を通知する（９０）。
【００５４】
取引が完了すると、端末２と装置４との間の保護通信が完了する。
【００５５】
上述した実施形態の他の解決手段を以下に説明する。
【００５６】
同一のユーザが、例えば複数枚のカードのような個人装置３および４の所有者であってもよい。
【００５７】
その後、図３に図示された上述の方法において、ユーザが所有者である全ての装置がポジティブの比較を行い、端末２にポジティブの認証データを送信する。この場合、端末２は、比較に対してポジティブの回答を行った種々の装置を選択することができるように構成されている。端末２と比較に対するポジティブの回答を行った装置との互換性に応じて、端末２が自動的にこの選択を行ってもよい。
【００５８】
例えば、端末２がＥＭＶ型の端末であり、装置のうちの１つのみが標準ＥＭＶに従って取引を行い得る場合、端末２は自動的に当該装置を選択し、この装置を用いて保護取引チャネルを開始する。
【００５９】
このため、比較に対してポジティブの回答を行った装置は、例えばポジティブの認証データとともに、装置が実行し得るアプリケーションの識別子を端末２に送信するように構成されている。同様に、端末２は、装置との情報交換の間に、装置が実行することのできるサービスの識別子を送信する。
【００６０】
さらに、同一の個人認証装置が複数のアプリケーションを有する場合、当該アプリケーションの識別子がポジティブの認証データとともに送信され、それによって、端末が、装置において使用可能なアプリケーションに応じて提供されるサービスを決定できる。
【００６１】
さらに、個人認証装置３および４が口座引き落しカードの形状をとるということが記載されている。当然のことながら、当該装置を携帯電話に挿入してもよく、より具体的には、当該携帯電話のＳＩＭカードに挿入、あるいは、簡易のキーチェーンまたは他の支持体に挿入されてもよい。
【００６２】
加えて、本発明の一実施形態によれば、端末２の生体読み取り装置５および無線通信手段７を、例えばＵＳＢを用いてパーソナルコンピュータに接続するように構成されたケースに挿入してもよい。したがって、例えばインターネット上にて安全な決済を行いたいユーザが、当該ケースを自分のパーソナルコンピュータに接続し、ケースの生体読み取り装置７を用いて自身を認証することができる。このとき、端末２と個人認証装置３との間の無線通信のおかげで、自身の個人認証装置を取り出す必要がない。
【００６３】
端末２を用いて、ユーザの認証を必要とするあらゆる種類の取引、具体的にはユーザによる決済、またはユーザへのサービスの配信を行うことができる。
【００６４】
より具体的には、スーパーマーケットなどの店における会計システムに関する端末２の例について説明する。端末は、
−所望の処理を行うプロセッサ
−一時記憶メモリ
−英数字表示装置
−キーボード
−クレジットカード伝票印刷装置
−アプリケーションの選択、設定、およびアラームの送信などのソフトウエアモジュール
を有していてもよい。
【００６５】
この端子２は、認証バンクサーバに接続されており、例えば下記のような会計に接続されている。
【００６６】
この会計は、より具体的に、
−会計スタッフとのマンマシンインターフェース
−伝票印刷装置
−チケット印刷装置
−英数字表示装置
−バーコードスキャン
−金額の計算および支払い方法の選択のためのソフトウエアモジュール
−会計キーボード
を有する構成としてもよい。
【００６７】
この会計は、端末２および店の中央処理系に接続されている。
【００６８】
カード３の形状をとる個人装置３の具体例を説明する。本実施形態では、カード３は、
−ＣＰＵプロセッサ
−メモリ
−下記にその動作を説明する起動装置
−ユーザがカードの供給を完全に遮断することができる（プライバシーモード）、またはそれを再び供給することができる、いわゆるプライベート手動制御、すなわち「プライバシー」
−電源
−信号の検出、アプリケーションの管理など、カードにおいて実施するソフトウエアモジュール
を有する。
【００６９】
カード３と端末２との間の送信チャネルについてさらに詳述する。
【００７０】
送信チャネルは、より具体的には、
−カード３および端末２における高周波通信回路を有する非接触型通信チャネル
−カード３および端末２における接点をもつ通信インターフェース
−接点をもつ、またはもたない通信ドライブの形状をとるカード３および端末２において実行されるソフトウエアモジュール
を有する。
【００７１】
当該送信チャネルがカード３を起動させ、データの送受信を行い、保護通信チャネルへのアクセス制御を行うことができる。
【００７２】
本発明に係るシステムは、さらに、決済取引、より具体的にはあらゆるサービス取引を提供する電子決済サブシステムおよびサービスサブシステムを有する。さらに具体的には、このサブシステムは、バンクサーバとの関係を管理する。
【００７３】
電子決済サブシステムおよびサービスサブシステムは、カード３および端末２において実施されるソフトウエア要素によって構成されている。
【００７４】
さらに具体的には、当該サブシステムは、決済の認証または拒否機能を実施し、決済取引、特にサービス取引を実施する。
【００７５】
好適には、本発明に係るシステムは、想定され得る不正行為、偽装、ならびに、承認、認証の機能、機密性の機能、整合性（不変）、および否認防止の機能なしに行われる取引から、顧客、小売店、およびサービス業者を保護することを目的としたセキュリティサブシステムを有する。当該セキュリティサブシステムは、カード３および端末２において実施されるソフトウエア要素、ならびに、必要に応じて専門暗号化回路を有する。
【００７６】
サブシステムによって、以下のことが可能となる。
−生体データの暗号化、または解読
−端末２に対するカード３の認証
−カード３に対する端末２の認証の任意の実行
−交換の暗号化および解読
−交換の署名。
【００７７】
さらに、他のサブシステムにおけるセキュリティ要件を考慮して、セキュリティサブシステムを設ける。
【００７８】
カード３または４の動作について以下に詳述する。
【００７９】
以下に説明するように、「非プライバシー」状態であるカードは、「スタンバイ」「受信」および「動作」と呼ばれる３つのモードのうちのいずれか１つであり得る。スタンバイモードでは、カードの電力消費量が、持続時間Ｔ１を有する時間遅延行うために必要最小に抑えられる。持続時間Ｔ１は、スタンバイモードの持続時間である。
【００８０】
受信モードでは、カードは、適宜、外部からの既定の周波数または既定の範囲内の周波数をもつ高周波信号を受信している。
【００８１】
当該受信周波数は、その後カードと端末との間の通信に使用される周波数と必ずしも同じでなくてもよい。
【００８２】
カードにおいて電源供給されて起動されている回路は、信号の受信および検知、ならびに持続時間Ｔ２の時間遅延フローに関して要求されるもののみである。当該持続時間Ｔ２は、受信モードの最大持続時間である。
【００８３】
動作モードでは、カードにおける全ての回路に電源供給される。
【００８４】
スタンバイモード、受信モード、動作モードでのカードの各平均電力消費量をＰｖ、Ｐｅ、およびＰａと称する。それらは、不等式Ｐｖ＜Ｐｅ＜Ｐａに適合される。
【００８５】
持続時間Ｔ１およびＴ２の時間遅延は、一方で、電力消費量を最小限に抑えるように、他方で、端末の要請に素早く答えることができるように調整されている。
【００８６】
以下の場合、カードがスタンバイモードに切り替わる。
−カードが予め受信モードであったときに、時間遅延Ｔ２が経過して信号が検出されなかったとき、
−端末との通信セッションが異常終了したとき、
−通信セッションが下記の理由によって終了したとき、
−ユーザの生体認証フェーズ（カードにおける適合）がネガティブの結果となったとき、
−カードのフェーズ選択、およびアプリケーションの選択フェーズによって当該カードの放棄が生じたとき、
−例えばカードが領域の範囲外に出たときに取引エラーが生じ、当該取引エラーが回復不可能であると宣言されたとき。
【００８７】
カードが予めスタンバイモードになっており、時間遅延Ｔ１が経過したとき、カードは受信モードに切り替わる。
【００８８】
カードが予め受信モードになっており、当該モードにおいて端末の信号が検出されると直ちに、時間遅延Ｔ２が完了する前にカードは動作モードに切り替わる。その後、当該時間遅延が遮断される。
【００８９】
また、カード読み取り装置にカードを挿入し、接触すると、カードが動作モードに切り替わる。
【００９０】
外部からの電磁信号がない場合、カードは、持続時間Ｔ１のスタンバイモード、および持続時間Ｔ２の受信モードからなる周期を介して周期的に両者間で切り替わる。
【００９１】
外部からの電磁信号がある場合、当該周期は遮断され、カードが動作モードに切り替わる。
【００９２】
この動作モードには２つの目的がある。１つは、カードの消費電力を最小限に抑え、内部電源（バッテリ）の寿命を延ばすこと、もう１つは、ユーザに浴びせられる電磁放射を最小限に抑えることである。
【００９３】
本発明に係るシステムの動作を下記に詳述する。動作時に、本発明に係るシステムを連続的に実施する。
−通信セッションを開始し、周囲にあるカードを起動させ、
−ユーザを認証し、
−使用するカードまたはアプリケーションを選択し、
−決済取引またはサービス取引を行い、
−通信セッションを終了する。
【００９４】
これらのステップについて以下に詳述する。
【００９５】
カードの所有者が端末に対して特定の制御（例えばキーボードのキーを押すなど）を行う、あるいは、カードの所有者が自らの手、または指を提示して生体読み取り装置に置く、または両方の動作の組み合せなどの既定のジェスチャーをし、会計スタッフが端末に対して特定の制御を行うことによって、本発明に係る通信セッションが開始される。
【００９６】
この開始によって、端末２が起動信号とも称される無線信号を発信する。
【００９７】
端末の周囲に配置され、受信モードにあるカードがこの信号を受信し、その後、動作モードに切り替わる。
【００９８】
そのとき、プライバシーモードではない、読み取り装置の範囲内にある全てのカードを起動させるために、上記端末は、Ｔ１よりも大きい最小持続時間の間、当該信号を発信する。
【００９９】
２つの選択肢が考えられる。
−この信号が、特に生体認証ゲージから算出された生体認証を伝達する。当該生体認証ゲージ自体は、ユーザの生体認証取得ステップの間に得られた生体情報から算出される。この選択肢では、信号発信の前に生体情報を取得させる必要がある。
−この信号が、何の情報も伝達せず、単にカードを起動させることを目的とする。続いて、生体認証が送信される。
【０１００】
図４を参照し、以下のようにユーザ認証が生じる。
【０１０１】
端末２によって算出された生体認証取得からの生体認証ゲージと、カード３、３Ａ、３Ｂに存在する生体認証ゲージとを比較して、認証を行う。カード上にて当該比較を行う（カードにおける適合）。
【０１０２】
安全上およびプライバシー上の理由により、暗号化方法を用いて端末２からカード３、３Ａ、３Ｂに生体認証ゲージを送信する。
【０１０３】
任意に、生体認証ゲージ送信の前ステップを実施する。このステップは、端末が、符号化されていない生体認証を周囲のカードに送信するステップである。
【０１０４】
端末が予め作動させた生体読み取り装置にユーザの手または指を示すなどの持ち主の既定の身ぶりによって、ユーザの認証が開始される。
【０１０５】
当該動作を行うと、使用される生体認証技術に対応する生体認証装置による生体情報の取得が生じる。当該生体情報は、例えば指の指紋、あるいは手または指の静脈網の画像であってもよい。
【０１０６】
また、その結果、取得された生体情報から生成された、生体認証装置または端末による生体認証ゲージの算出が行われる。当該ステップの目的は、生体情報よりも縮小された持ち主の生体特徴を得ることにあり、当該特徴によって、要求される信頼性のレベルにて持ち主を識別することができる。
【０１０７】
任意に、端末は、とりわけ生体認証ゲージから生体認証を算出してもよい。当該任意ステップは、上記工程に続く過程のために、符号化されていない生体認証ゲージを送信することなしに、非適格カードの大部分を除外することを目的とする。非適格カードとは、メモリ内に保存された生体認証ゲージの認証が、端末が算出したものと一致しないカードである。
【０１０８】
生体認証を算出する上記任意ステップを実施した場合、端末２は、符号化されていない生体認証を周囲３、３Ａ、３Ｂにおけるカードに放出する（１００、１０１、１０２）。
【０１０９】
周囲の端末に配置されたカード３、３Ａ、３Ｂが、信号によって情報なしに予め起動されていた場合、それらのカードは動作モードに切り替わり、生体認証を含む端末からの新しい信号を受信することができる。
【０１１０】
端末の環境領域に配置されたカードが、端末からの信号によって情報なしに予め起動されていた場合、生体認証を含む信号が起動信号の一部を担う。したがって、Ｔ１以上の持続時間（スタンバイ期間の持続時間）の間、信号を繰り返し送信し、カードが受信モードに切り替わるのを待ち、その後、カードが動作モードに切り替わるのを待つ必要がある。
【０１１１】
その後、起動して領域内に配置されたカード３、３Ａ、３Ｂが、受信した生体認証と、カードのメモリ内に保存された生体認証ゲージから算出された生体認証とを比較する、または、カードのメモリ内に保存された生体認証とを比較する。
【０１１２】
当該比較がネガティブであった、すなわち、両認証が適合しなかったカードは反応せず、スタンバイモードに戻る。図４では、カード３Ｂがネガティブの比較を行い、ポジティブの比較信号が返信されないと考えられる。
【０１１３】
当該比較がポジティブであったカード３、３Ａ、すなわち、両認証が適合したカードは動作モードに留まり、比較がポジティブであることを示す、符号化されていない回答を端末２に送信する（１１０、１１１）。
【０１１４】
端末２と、第一ステップの間にポジティブの回答を出したカード３、３Ａの各々との間にて、公開鍵１２０、１２１の交換を行う。全てのカードおよび全ての端末が、各カードと端末との保護通信端末を開始するように、それぞれのメモリ内に秘密鍵／公開鍵の対を有する必要がある。
【０１１５】
その後、前段階の間に回答した全てのカード３、３Ａに、生体認証取得から算出された生体認証ゲージを送信する（１３０、１３１）。
【０１１６】
これらのカードは、受信した生体認証ゲージを解読し、それを自身のメモリ内の生体認証ゲージと比較する。
【０１１７】
比較結果がネガティブであったカードは反応せず（または、端末にネガティブの比較信号を送信してもよい）、スタンバイモードに戻る。図４では、カード３Ａがネガティブの比較を実行したため、ポジティブの比較信号を返信しないと考えられる。
【０１１８】
逆に、比較結果がポジティブであったカードは、端末にポジティブ比較の信号を送信し、動作モードに留まる。図４では、カード３が当該ポジティブ比較を実行すると考えられる。カードおよびアプリケーション選択という次のステップを準備するために、それらはポジティブ比較の信号と同時に候補アプリケーションのリストを返信してもよい（１４０）。
【０１１９】
ゲージの送信のために開かれた保護通信チャネルは、続いて、端末２とポジティブ比較を実行したカード３との間のセッション完了のために使用されてもよい。
【０１２０】
１人のユーザが複数のカードを持っていてもよく、各カードが複数のアプリケーションを有していてもよい。同様に、各アプリケーションが複数のサービスを提供することができる。この場合、使用するカード、および当該カードのアプリケーションを選択できる必要がある。以下のように、カードの選択およびアプリケーションの選択は同時である。当該ステップは、その「候補リスト」すなわちカードが所有するアプリケーションリストの生体比較に対してポジティブの回答を出した各カード３による送信によって開始される。
【０１２１】
例えば互いに排他的ではない下記の異なる方法を用いて、当該リストから選択することができる。
−端末によって認識されないアプリケーションの排除
−端末内部、または「候補リスト」に存在する優先規則の適用
−ユーザまたはスタッフによるアプリケーションの選択操作。
【０１２２】
上述したカードおよびアプリケーションの選択ステップが完了するとすぐに、１つのアプリケーションのみが選択され、場合によっては、当該アプリケーションに関する１つのサービスのみが連結される。
【０１２３】
上述したカードおよびアプリケーションの選択ステップに続いて、当該アプリケーションがサービスである場合、当該サービスを実行する必要がある。
【０１２４】
アプリケーションが決済サービスである場合、国際的な金融規格（international prevailing bank standards）、より具体的には現時点ではＥＭＶ：ユーロペイ、マスターカード、ビザに従って実行する。
【０１２５】
アプリケーションがサービス取引である場合、取引の実行は、想定するサービスに特有のものである。
【０１２６】
同一の保護取引端末内にて複数のアプリケーション取引を連結させることができる。例えば、特約取引に従って決済を実行することができる。
【０１２７】
何らかの理由でサービス取引が完了できなかった場合、取引前の初期状態に戻る可能性が考えられる。
【０１２８】
決済取引またはサービス取引が完了すると直ちに、カードはスタンバイモードに切り替わる。
【符号の説明】
【０１２９】
１  認証システム
２  端末
３，４  個人認証装置
５  生体読み取り装置
６  計算機
７  無線通信手段
８  高周波インターフェース
１０  メモリ
１１  マイクロプロセッサ
【図１】
2014160472.tif 000003
【図２】
2014160472.tif 000004
【図３】
2014160472.tif 000005
【図４】
2014160472.tif 000006