(57)【特許請求の範囲】
【請求項１】
データ列を認証する装置であって、
メモリと、前記メモリにデータ列を蓄積する回路を含み、
前記回路は、前記データ列が前記メモリに蓄積された後に前記データ列が改変されたか否かを、
前記データ列が生成された少なくとも一つの条件を表す少なくとも一つのパラメータを前記データ列と共に前記メモリに蓄え、
前記データ列と、前記メモリに前記データ列と共に蓄えられる第１の署名を生成する前記少なくとも一つのパラメータと、を用い、前記データ列と蓄積されている前記少なくとも一つのパラメータとから第２の署名を生成し、
前記第１と第２の署名が同一であるかを決定すること
により決定し、
前記回路及び前記メモリは、デジタルカメラの一部を構成し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、前記画像の撮影条件を表し、ランダムな数、および前記デジタルカメラに係る、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、並びにセキュリティにおける漏洩度を示す値、からなるグループから選択されることを特徴とする装置。
【請求項２】
データ列認証装置がデータ列を認証する方法であって、
データ列をメモリに蓄えるステップと、
前記データ列が生成される少なくとも一つの条件を表す少なくとも一つのパラメータをメモリに蓄えるステップと、
前記メモリに前記データ列と共に蓄えられる第１の署名を生成するために前記データ列と前記少なくとも一つのパラメータを利用するステップと、
前記第１の署名を計算した後の時刻におけるパラメータと前記データ列を前記メモリから読み出して第２の署名を生成するステップと、
前記第１の署名と前記第２の署名が同一であるか否かを見分けるために前記第１の署名と前記第２の署名とを比較するステップと、
を含み、
前記メモリは、デジタルカメラの一部を構成し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、前記画像の撮影条件を表し、ランダムな数、および前記デジタルカメラに係る、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、並びにセキュリティにおける漏洩度を示す値、からなるグループから選択されることを特徴とする方法。
【請求項３】
認証するためのデータ列を生成する装置であって、
データ列を生成する回路と、
生成後の前記データ列を記憶するメモリと、
前記メモリに密結合され、前記データ列が生成されると実質同時に、少なくとも一つの内部で固有のパラメータを生成するセンサと、
前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性をモニタする手段と、を備え、
前記完全性が損なわれた際に、前記モニタする手段は、前記完全性が損なわれたことの表示をユーザに与え、
前記メモリは、デジタルカメラの一部を構成し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、乱数を含むことを特徴とする装置。
【請求項４】
認証するためのデータ列を生成する装置であって、
データ列を生成する回路と、
生成後の前記データ列を記憶するメモリと、
前記メモリに密結合され、前記データ列が生成されると実質同時に、少なくとも一つの内部で固有のパラメータを生成するセンサと、
前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性をモニタする手段と、を備え、
前記完全性が損なわれた際に、前記モニタする手段は、前記完全性が損なわれたことの表示をユーザに与え、
前記メモリは、デジタルカメラの一部を構成し、
前記回路は、少なくとも一つの付加的なパラメータを、前記データ列を含む前記メモリ内のデータファイルに追加するように構成され、前記少なくとも一つの付加的なパラメータは、前記データ列が生成される条件を表し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つの付加的なパラメータは、前記画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択されることを特徴とする装置。
【請求項５】
前記データ列と前記少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、前記第１の署名を、前記データ列を改変することなしに生成し、前記データ列が記憶されている前記メモリ内のデータファイルに追加する手段と、
画像に基づいて第２の署名を生成する前記署名のプロトコルを利用する手段と、
前記第１の署名と前記第２の署名とを比較する手段とを、さらに備え、
前記第１の署名と前記第２の署名とが同一でないならば、前記記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、前記第１の署名と前記第２の署名とが同一ならば、前記記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成することを特徴とする請求項３または４記載の装置。
【請求項６】
認証するためのデータ列を生成する装置であって、
データ列を生成する回路と、
生成後の前記データ列を記憶するメモリと、
前記メモリに密結合され、前記データ列が生成されると実質同時に、少なくとも一つの内部で固有パラメータを生成するセンサと、を備え、
前記回路は、前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性を表す信号を受信する端部を含み、前記完全性が損なわれた際に、前記完全性が損なわれたことの表示をユーザに与えるように構成され、
前記メモリは、デジタルカメラの一部を構成し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、乱数を含むことを特徴とする装置。
【請求項７】
認証するためのデータ列を生成する装置であって、
データ列を生成する回路と、
生成後の前記データ列を記憶するメモリと、
前記メモリに密結合され、前記データ列が生成されると実質同時に、少なくとも一つの内部で固有パラメータを生成するセンサと、を備え、
前記回路は、前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性を表す信号を受信する端部を含み、前記完全性が損なわれた際に、前記完全性が損なわれたことの表示をユーザに与えるように構成され、
前記メモリは、デジタルカメラの一部を構成し、
前記回路は、少なくとも一つの付加的なパラメータを、前記データ列を含む前記メモリ内のデータファイルに追加するように構成され、前記少なくとも一つの付加的なパラメータは、前記データ列が生成される条件を表し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つの付加的なパラメータは、前記画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択されることを特徴とする装置。
【請求項８】
前記回路は、前記データ列と前記少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、前記第１の署名を、前記データ列を改変することなしに生成し、前記データ列が記憶されている前記メモリ内のデータファイルに追加するように構成され、
前記回路は、画像に基づいて第２の署名を生成する署名のプロトコルを利用するように構成され、
前記回路は、前記第１の署名と前記第２の署名とを比較するように構成され、前記第１の署名と前記第２の署名とが同一でないならば、前記記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成するように構成され、前記第１の署名と前記第２の署名とが同一ならば、前記記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するように構成されることを特徴とする請求項６または７記載の装置。
【請求項９】
データ列認証装置がメモリ内のデータファイルに記憶されているデータ列を認証するための方法であって、
メモリ内のデータファイルにデータ列を記憶するステップと、
前記メモリに密結合され、少なくとも一つの内部で固有のパラメータを生成するセンサを利用するステップと、
前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性をモニタし、前記完全性が損なわれた際に、前記完全性が損なわれたことの表示を与えるステップと、
前記データ列と前記少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、前記第１の署名を、前記データ列を改変することなしに生成し、前記データ列が記憶されている前記メモリ内のデータファイルに追加するステップと、
画像に基づいて第２の署名を生成する前記署名のプロトコルを利用するステップと、
前記第１の署名と前記第２の署名とを比較し、前記第１の署名と前記第２の署名とが同一でないならば、前記記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、前記第１の署名と前記第２の署名とが同一ならば、前記記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するステップと、
を含み、
前記メモリは、デジタルカメラの一部を構成し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、乱数を含むことを特徴とする方法。
【請求項１０】
データ列認証装置がメモリ内のデータファイルに記憶されているデータ列を認証するための方法であって、
メモリ内のデータファイルにデータ列を記憶するステップと、
前記メモリに密結合され、少なくとも一つの内部で固有のパラメータを生成するセンサを利用するステップと、
前記少なくとも一つの内部で固有のパラメータが生成された時に、前記メモリと前記センサとの間の密結合の完全性をモニタし、前記完全性が損なわれた際に、前記完全性が損なわれたことの表示を与えるステップと、
前記データ列と前記少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、前記第１の署名を、前記データ列を改変することなしに生成し、前記データ列が記憶されている前記メモリ内のデータファイルに追加するステップと、
画像に基づいて第２の署名を生成する前記署名のプロトコルを利用するステップと、
前記第１の署名と前記第２の署名とを比較し、前記第１の署名と前記第２の署名とが同一でないならば、前記記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、前記第１の署名と前記第２の署名とが同一ならば、前記記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するステップと、
を含み、
前記メモリは、デジタルカメラの一部を構成し、
少なくとも一つの付加的なパラメータを前記メモリ内のデータファイルに追加するステップをさらに含み、前記少なくとも一つの付加的なパラメータは、前記データ列が生成される条件を表し、
前記データ列は、前記デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、
前記少なくとも一つのパラメータは、前記画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択されることを特徴とする方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、周囲の情況ないし事象（以下「情況」で代表する）（environment）を抽出して記録する方法及び装置に係り、特に周囲の情況を抽出したものが認証され、改変されていないことを検証するための記録の方法及び装置に係る。
【０００２】
［発明の背景］
本発明の一つの目的は、意図的あるいは偶発的な記録の改変の問題を解決することである。この発明における「記録」とは、ディジタル画像、データファイル、一般的なオーディオ録音を含む全ての記録を意味するものである。
【０００３】
写真、映画さらに印刷物は、オリジナルの認証されたコピーであると信用できるメディアと歴史的に見なされてきた。修正主義者の歴史のための写真の改変の試みの例としては、テーブルに５人が座っているが、テーブルの下には６組の両足が認められるというコミカルなものがある。研究所にあっては改変されないように手書きで恒久的に綴じられているノートが使われている。最近の技術の進歩により画像を改変するのは初心者でもできるようになってきている。習熟者が進歩した技術を駆使すると、改変はほとんど検知することができない。このため、写真、手書き、あるいは音の記録について認証を保護するために「保管の連鎖」（chain of custody）が必要となる場合には、ディジタルの写真はほとんど使われていない。例えば、映像を撮った時にアルコール飲料のびんが実際には無く、事故の後の脚色であったにもかかわらず、運転手の周りにびんがあるように見えるように事故の映像を改変することができる。
【０００４】
画像ファイルから作られた画像を認証するための装置を備えたディジタルカメラは、U. S. Patent No. 5,499,294において開示されている。U. S. Patent No. 5,499,294の図３Ａを参照すると、ディジタルカメラを含むシステムのブロック図において、ディジタル署名の付いた画像ファイルを生成することが示されている。認証された画像ファイルを扱うには特定の解読鍵が必要とされる。さらに、画像ファイルが認証できるか否かを決めるために、各々のカメラが特定の暗号鍵を備えるので、認証を実行する人は、どのカメラで画像を撮ったかを知っていなければならない。
【０００５】
［発明の概要］
周囲の情況をサンプル（標本化）したもの（sample of environment）の認証を決めるための改良された方法及びシステムが求められている。ディジタルサンプルが取得された少なくとも一つの条件を表す少なくとも一つのパラメータと周囲の情況自体のサンプルとの双方の関数であるディジタル署名が作成される。該サンプルは、少なくとも一つのパラメータ及びディジタル署名と共にメモリに記録される。蓄積されている画像の認証は、蓄積されている画像と少なくとも一つのパラメータから新たな署名を生成して決定され、二つの署名が同一であるか比較される。
（１）具体的には、本発明のデータ列認証装置は、第１のアスペクトによれば、データ列を認証する装置であって、メモリと、メモリにデータ列を蓄積する回路を含み、回路は、データ列がメモリに蓄積された後にデータ列が改変されたか否かを、データ列が生成された少なくとも一つの条件を一般的に表す少なくとも一つのパラメータをデータ列と共にメモリに蓄え、データ列と、メモリにデータ列と共に蓄えられる第１の署名を生成する少なくとも一つのパラメータとを用い、データ列と蓄積されている少なくとも一つのパラメータとから第２の署名を生成し、第１と第２の署名が同一であるかを決定することにより決定する。また、回路及びメモリは、デジタルカメラの一部を構成し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、画像の撮影条件を表し、ランダムな数、およびデジタルカメラに係る、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、並びにセキュリティにおける漏洩度を示す値、からなるグループから選択される。
（２）本発明の方法は、第２のアスペクトによれば、データ列認証装置がデータ列を認証する方法であって、データ列をメモリに蓄えるステップと、データ列が生成される少なくとも一つの条件を表す少なくとも一つのパラメータをメモリに蓄えるステップと、メモリにデータ列と共に蓄えられる第１の署名を生成するためにデータ列と少なくとも一つのパラメータを利用するステップと、第１の署名を計算した後の時刻におけるパラメータとデータ列をメモリから読み出して第２の署名を生成するステップと、第１の署名と第２の署名が同一であるか否かを見分けるために第１の署名と第２の署名とを比較するステップと、を含む。メモリは、デジタルカメラの一部を構成し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、画像の撮影条件を表し、ランダムな数、およびデジタルカメラに係る、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、並びにセキュリティにおける漏洩度を示す値、からなるグループから選択される。
（３）本発明の装置は、第３のアスペクトによれば、認証するためのデータ列を生成する装置であって、データ列を生成する回路と、生成後のデータ列を記憶するメモリと、メモリに密結合され、データ列が生成されると実質同時に、少なくとも一つの内部で固有のパラメータを生成するセンサと、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性をモニタする手段と、を備え、完全性が損なわれた際に、モニタする手段は、完全性が損なわれたことの表示をユーザに与える。メモリは、デジタルカメラの一部を構成し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、乱数を含む。
（４）本発明の装置は、第４のアスペクトによれば、認証するためのデータ列を生成する装置であって、データ列を生成する回路と、生成後のデータ列を記憶するメモリと、メモリに密結合され、データ列が生成されると実質同時に、少なくとも一つの内部で固有のパラメータを生成するセンサと、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性をモニタする手段と、を備え、完全性が損なわれた際に、モニタする手段は、完全性が損なわれたことの表示をユーザに与える。メモリは、デジタルカメラの一部を構成し、回路は、少なくとも一つの付加的なパラメータを、データ列を含むメモリ内のデータファイルに追加するように構成され、少なくとも一つの付加的なパラメータは、データ列が生成される条件を表し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つの付加的なパラメータは、画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択される。
（５）本発明の装置において、データ列と少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、第１の署名を、データ列を改変することなしに生成し、データ列が記憶されているメモリ内のデータファイルに追加する手段と、画像に基づいて第２の署名を生成する署名のプロトコルを利用する手段と、第１の署名と第２の署名とを比較する手段とを、さらに備え、第１の署名と第２の署名とが同一でないならば、記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、第１の署名と第２の署名とが同一ならば、記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成することが好ましい。
（６）本発明の装置は、第５のアスペクトによれば、認証するためのデータ列を生成する装置であって、データ列を生成する回路と、生成後のデータ列を記憶するメモリと、メモリに密結合され、データ列が生成されると実質同時に、少なくとも一つの内部で固有パラメータを生成するセンサと、を備え、回路は、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性を表す信号を受信する端部を含み、完全性が損なわれた際に、完全性が損なわれたことの表示をユーザに与えるように構成される。メモリは、デジタルカメラの一部を構成し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、乱数を含む。
（７）本発明の装置は、第６のアスペクトによれば、認証するためのデータ列を生成する装置であって、データ列を生成する回路と、生成後のデータ列を記憶するメモリと、メモリに密結合され、データ列が生成されると実質同時に、少なくとも一つの内部で固有パラメータを生成するセンサと、を備え、回路は、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性を表す信号を受信する端部を含み、完全性が損なわれた際に、完全性が損なわれたことの表示をユーザに与えるように構成される。メモリは、デジタルカメラの一部を構成し、回路は、少なくとも一つの付加的なパラメータを、データ列を含むメモリ内のデータファイルに追加するように構成され、少なくとも一つの付加的なパラメータは、データ列が生成される条件を表し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つの付加的なパラメータは、画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択される。
（８）本発明の装置において、回路は、データ列と少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、第１の署名を、データ列を改変することなしに生成し、データ列が記憶されているメモリ内のデータファイルに追加するように構成され、回路は、画像に基づいて第２の署名を生成する署名のプロトコルを利用するように構成され、回路は、第１の署名と第２の署名とを比較するように構成され、第１の署名と第２の署名とが同一でないならば、記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成するように構成され、第１の署名と第２の署名とが同一ならば、記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するように構成されることが好ましい。
（９）本発明の方法は、第７のアスペクトによれば、データ列認証装置がメモリ内のデータファイルに記憶されているデータ列を認証するための方法であって、メモリ内のデータファイルにデータ列を記憶するステップと、メモリに密結合され、少なくとも一つの内部で固有のパラメータを生成するセンサを利用するステップと、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性をモニタし、完全性が損なわれた際に、完全性が損なわれたことの表示を与えるステップと、データ列と少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、第１の署名を、データ列を改変することなしに生成し、データ列が記憶されているメモリ内のデータファイルに追加するステップと、画像に基づいて第２の署名を生成する署名のプロトコルを利用するステップと、第１の署名と第２の署名とを比較し、第１の署名と第２の署名とが同一でないならば、記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、第１の署名と第２の署名とが同一ならば、記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するステップと、を含む。メモリは、デジタルカメラの一部を構成し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、乱数を含む。
（１０）本発明の方法は、第８のアスペクトによれば、データ列認証装置がメモリ内のデータファイルに記憶されているデータ列を認証するための方法であって、メモリ内のデータファイルにデータ列を記憶するステップと、メモリに密結合され、少なくとも一つの内部で固有のパラメータを生成するセンサを利用するステップと、少なくとも一つの内部で固有のパラメータが生成された時に、メモリとセンサとの間の密結合の完全性をモニタし、完全性が損なわれた際に、完全性が損なわれたことの表示を与えるステップと、データ列と少なくとも一つのパラメータとに基づいて第１の署名を生成する署名のプロトコルを利用し、第１の署名を、データ列を改変することなしに生成し、データ列が記憶されているメモリ内のデータファイルに追加するステップと、画像に基づいて第２の署名を生成する署名のプロトコルを利用するステップと、第１の署名と第２の署名とを比較し、第１の署名と第２の署名とが同一でないならば、記憶されているデータ列が認証されないものであるとユーザに示すために表示されるエラー信号を生成し、第１の署名と第２の署名とが同一ならば、記憶されているデータ列が認証されるものであるとユーザに示すために表示されるＯＫ信号を生成するステップと、を含む。メモリは、デジタルカメラの一部を構成し、少なくとも一つの付加的なパラメータをメモリ内のデータファイルに追加するステップをさらに含み、少なくとも一つの付加的なパラメータは、データ列が生成される条件を表し、データ列は、デジタルカメラの周囲の情況ないし事象のディジタルサンプリングであって、少なくとも一つのパラメータは、画像の撮影条件を表し、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、シーケンス番号、セキュリティにおける漏洩度を示す値、からなるグループから選択される。
【０００６】
このような方法及び装置は、いくつかの理由により有利である。本発明の一つの視点において、蓄積されたサンプルとパラメータと署名さえあれば、周囲の情況をサンプルした装置について知る必要がないことである。第二において、認証の目的には暗号を必要とせず、情報の蓄積装置をコスト的により効率よく製造することができることである。
【０００７】
本発明の他の構成と効果については、以下の記載から明らかにされる。
【０００８】
【発明の実施の形態】
本発明の第一の視点は、固有（indigenous）の認証の考え方と方法にある。すなわち、認証を検証対象ないし資料（material）とするものと共に記録物を生成する装置のファミリにある。本発明の一つの実施例は、画像が全体として認証されるディジタル写真に関する。全体よりも小さな部分の認証を行う中間的なバージョンのもの（version）も存在しうる。損傷を受けた（元の状態から改変された）部分を修復する進歩したものも存在しうる。日付、時刻、緯度、経度、標高、ロール、ピッチ、ヨー、コンパス方位等を含む付加的な入力が、カメラ識別、画像シーケンス番号、フラッシュ状態、レンズのズーム係数、計数振動（counter vibration）状態、フォーカス状態、フォーカスの質ないし特性（quality）を含むカメラの要素の状態と同様に、画像の一部を形成する。この付加的な情報が記録されたものの一部となり、認証される。
【０００９】
本発明は、自己認証を証明するドキュメント、公証用システムの拡張システム、あるいは先に述べたハード的に書かれたノートに置き換わる電子的なラボラトリノート（ラボノート）、これらのためのディジタルカメラの他に、情報を取得するシナリオに応用できる。信頼できる情報源として一度確立されると、「固有の認証」の考え方は、品質制御、法的な必要物、金融商品の記録に拡張できる。
【００１０】
認証を検証する鍵は、認証の情報の発生がセンサ装置と記録装置に密接に関連している。認証の情報が発生しない内は記録を改変できるものは何も無い。この方法を用いる認証では、ファイルの比較も従来の暗号化又は解読（reverse encryption）も不要である。ユーザの制御の下で発生される一回限りのランダムな要素とランダムな文字列とを用いることで認証における強度が増す。基本的な操作には必要ないが、情報を秘密化するために結果の記録に対し随意的に暗号化がなされる。従来の暗号化あるいは解読を必要としないことで、公的な登録機関あるいは解読鍵を管理する記録保管機関の必要性が薄れる。認証が固有である故、どの記録装置が使われたかを識別する必要がない。
【００１１】
図２を参照すると、周囲の情況２は、フォーマットの一つにサンプル１にサンプルされる。視覚的な周囲の情況を一つのサンプルに記録するには、一般にカメラとして知られる光学的な記録装置の１フレームが使われる。写真として撮られたサンプルは、ポジの透明フィルム（スライド）、ネガの透明フィルム（ネガ）、不透明あるいは透明なプリント、さらに最近ではディジタルファイルとして記録される。
【００１２】
視覚的な周囲の情況を連続的なサンプルとして記録するには、ビデオカメラ、映画フィルム用カメラ、ディジタルの映画フィルム用カメラのような連続的な光学記録装置が使われる。これらのサンプルは、一般にムービーと呼ばれ、透明フィルム、ビデオテープ、さらに最近ではディジタルファイルとして記録される。
【００１３】
音の周囲の情況を一つのサンプルとして記録するには、テープレコーダやディジタルレコーダのような連続的なオーディオ記録装置が用いられる。これらのサンプルは、一般に「レコーディング」と呼ばれ、ワイヤ、テープ、ディジタルファイルのいろいろな種類に記録される。
【００１４】
センサや記録装置の発展と共に、味覚、触覚、嗅覚のサンプルも同様なモデルに従って適応させることができる。また、サンプルは、人間の五感に限ったものではない。本発明で開示している認証や検証の方法では、物理的、化学的そして分光的な現象の全範囲を含むセンサ装置から得られるサンプルに使用することができる。
【００１５】
図２に示すように、認証を保証するためには、センサ装置４以外の付加的な入力７（additional inputs）がユーザに検知されること無く、影響を受けずに存在する。これを実現するために付加的な入力は、装置の物理的な境界の内部に示されている。アナログの記録装置は、アナログディジタル変換器を用いてシステムに組み込まれる。
【００１６】
本発明の適用の一つは、認証が必要となる情況において「信用できる」と考えられる画像あるいはデータのファイルを生成することである。これには、法的な証拠、保険の請求、プロジェクト管理、科学の研究、発明、品質制御、身分証明、情報収集、購買、命令と制御、法の執行、ドキュメントや画像の伝送などが含まれる。
【００１７】
デジタルでの取り込み、分析、蓄積、伝送、情報の流通と使用、データの取り込みや生成のための高度化されたハードウェアおよびソフトウェアの急速な推移により、画像あるいはデータファイルを認証において受け入れることが難しくなっている。
【００１８】
社会におけるパーソナルコンピュータの絶え間ない進歩やインターネットの利用の増大に伴い、意図的な不正手段、あるいは伝送や蓄積のエラーによる偶発的な改変が含まれる電子的メディアでも信じてしまう傾向が強まっている。認証に対する必要性は、改変されたファイルの増加と共に高まってきている。また、認証に対する必要性は、改変されたファイルが引き起こす潜在的な損害と共に増加してきている。例えば、契約書、発注書、判決書、電子的な支払書、電子的な請求書、品質制御情報、青写真、設計図ないしデザイン（designs）、これらが、改変されたものが認証されて信用されたとすると、多大な損害を与えることとなる。不心得者による不当な行為を妨げ頓挫させるようにするには、固有の認証が規範となると考えるのは妥当である。
【００１９】
本発明の一つの視点によれば、画像の改変が検出されない虞を完全に減らし、結果として故意あるいは知らずに行う（unknowing）ごまかしを意図して改変された画像の使用を減らすこととなる。したがって、同じような結果に到達する将来の装置に対して枠組みを与え、特に画像が法的手続きにおける証拠となるような法の執行において、写真の画像の信頼性が減退するような社会的そして経済的な問題を解決することとなる。
【００２０】
図１は、本発明の一実施例の概略図であって、ディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳユニットが示されている。汎用のマイクロコンピュータ２５２は、プロセッサ１５７とそのプログラムをシミュレートするために用いられる。マウス２５６、キーボード２５７は、ユーザによる制御の設定をシミュレートするために用いられる（図３の９、１０、１１、１２、１３参照）。マイクロコンピュータのモニタ２５３は、図３に示すプロセスモニタ８と類似している。外部のＧＰＳ（geographic positioning system）２５４は、内部のＧＰＳ４４に代り使われる。外部に接続されたディジタルカメラ２５５は、レンズセンサセット７３、オートフォーカス１９、フラッシュ発生器３０をシミュレートする。マイクロコンピュータ２５２のフロッピドライブ（不図示）は、記録装置１４２と３．５インチフロッピディスク２５９の機能を実行し、取り外し可能な記録メディア１４１である。
【００２１】
図３は、一般にカメラとして知られている１フレームの光学的な記録装置の装置モデルを示している。図３には、装置に供給される外部電源あるいは内部のバッテリーは示していない。このカメラでは、ユーザはプロセスモニタ８にアクセスすることができる。おおよその照準へのアクセスは、レンズの光軸に平行なシャフトを通して得られる。現在のシーンの再形成を制御するプロセッサ１５７を介してプロセスモニタ８にアクセスすることができる。プロセスモニタにフラッシュの状態、ズームの状態等が表示される。
【００２２】
操作者は、装置を照準し、活性化させ、フラッシュ９、ズーム１０、ランダムな文字列の記録（ＰＳＲ）１１、オプションの暗号１２、などを含むユーザの制御を設定する。カメラが動作している間、センサ装置と記録装置とが強く結合した完全な状態６であることを検出するように内部のセキュリティ１４が監視される。
【００２３】
図４には、プロセッサ１５７が動作信号を受け取ると、プレキャプチャ、キャプチャ、ポストキャプチャ、記録、処理の一掃とプレキャプチャに戻るための準備、の各動作フェーズが実行されることが示されている。各フェーズの処理時間を減らすには、並列処理及び他の工学的な技術が使われる。
【００２４】
図５には、ユニットの最も共通の動作フェーズであるプレキャプチャのシーケンスが示されている。装置は、ユーザの制御１３により起動されるか、正常な終了処理９５に備えて切断を行う（１５）までは、プレキャプチャ動作が繰り返される（６５）。装置が起動されても動作サイクルを実行するための十分な電力が無い場合（１６）には、ユーザによる起動は無効となる。その旨がプロセスモニタを介してユーザに対して表示され（１７）、これ以上の処理は、なされない（６６）。
【００２５】
動作サイクルを実行するための十分な電力がある場合には、付加的な入力と構成要素がチェックされる。図６において、オートフォーカス１９用センサとプロセッサがチェックされる（２０）。機能が不全である場合（２１）、ユーザに対しプロセスモニタ（８）を介してエラーメッセージが表示される（２２）。
【００２６】
オートフォーカスの状態とは無関係に、処理は、フォーカス特性センサ２３、フラッシュ発生器３０、計数振動装置（counter vibration unit）（C-VIBE）３５、ロール・ピッチ・ヨー検出器（ＲＰＹ）４０をチェックし続ける。以上のチェックは、結果に関係なく、（２０）、（２５）、（２９）、（３４）、（３９）の順に行われる。各チェックにおいて機能が不全である場合、プロセスモニタにエラーメッセージが表示され、ユーザに対し知らされる（２２）（２７）（３２）（３７）（２５０）。
【００２７】
図６において、（４２）に引き続いてＧＰＳ装置４４のチェックが行われる（４３）。機能が不全である場合（４５）、「ＧＰＳ無し」が記録される（４６）。機能が正常である場合（４７）、現在のＧＰＳの情報が取り入れられ、ＧＰＳの他の情報は記録され（４８）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の位置情報に更新される（４９）。
【００２８】
ＧＰＳの状態とは無関係に、（５０）に引き続き、内部にあるコンパス５２がチェックされる。機能が不全である場合（５３）、「コンパス無し」が記録される（５４）。そうでない場合（５５）、現在のコンパスの示す方向が記録され（５６）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の方位情報に更新される（５７）。
【００２９】
コンパスの状態とは無関係に、（５８）に引き続き、内部のセキュリティシステム１４がチェックされる（５９）。セキュリティが破られている場合（６０）、侵害されている旨が記録される（６１）。そうでない場合（６２）、画像は保護されている旨が記録され（６３）、プロセスモニタ８では、表示内容が侵害されている旨または画像は保護されている旨に更新される。
【００３０】
図５において、付加的な入力（inputs）と構成要素がチェックされると（１８）、ユーザによる制御の変更が記録される（６７）。図７において、ユーザによりなされたフラッシュの設定９に対してフラッシュ発生器３０の現在の設定がチェックされる（６８）。一致していない場合（６９）、フラッシュ発生器３０は、ユーザにより設定される（７０）。
【００３１】
レンズ７３のズームの設定に対してユーザのズームの設定がチェックされる。一致していない場合（７４）、ズームは、ユーザにより設定される（７５）。ユーザによりなされた設定１１に対して現在のランダムな文字列の記録値(RSR)がチェックされる（７７）。一致していない場合（７８）、記録値(RSR)は、ユーザによりなされた設定に設定される（７９）。この時の取り得る二つの値は、「次の画像に付加する新しいランダムな文字列を記録する」Ｙと、「次の画像に付加する新しいランダムな文字列を記録しないＮ」である。
【００３２】
ユーザにより与えられた暗号値１２に対して現在の暗号値がチェックされる。一致していない場合（８２）、現在の暗号値は、ユーザにより与えられた暗号値に設定される（８３）。この時の取り得る三つの値は、「暗号化された画像のみを作る」Ｙと、「暗号化された画像を作らず暗号化されていない画像のみを作る」Ｎと、「暗号化された画像と暗号化されていない画像の両方を作る」Ｂである。
【００３３】
図５において、ユーザによる制御の変更が記録されると、（６７）、（８６）に引き続いて記録メディアの適性がテストされる（８７）。記録メディアが適性を欠いている場合（８８）、プロセスモニタ８では、表示内容がエラーメッセージに更新され（８９）、この時点以降に更なる処理は実行されない（９０）。
【００３４】
記録メディアの適性のテストが終了すると（９１）、全てのプレキャプチャ動作が完了する。起動制御１３の状態に対しテストがなされる（９２）。制御が起動されていない場合（９３）、処理は戻され（６５）、起動されている場合、処理はキャプチャ動作に移行する（９４）。
【００３５】
図８において、ユーザによる起動制御１３がなされると、プレキャプチャ動作（図５参照）からキャプチャ動作（図８参照）に処理が移る。ＧＰＳとコンパスから現在の値を取得する（９６）。ＧＰＳが起動していない場合（４５）、「ＧＰＳ無し」を表す値が記録される（４６）。ＧＰＳが起動している場合（４７）、ＧＰＳの情報４８が、現在のデータと時刻として記録される。ステップ（５１）において、コンパスが起動されている場合（５５）、現在の方位が記録され、起動されていない場合（５３）、「コンパス無し」を示す値が取得される（５４）。
【００３６】
この時点で計数振動装置（counter vibration unit）（C-VIBE）の要求があれば（９７）、起動される（９８）。ロール・ピッチ・ヨー（ＲＰＹ）センサが起動され（９９）、フラッシュユニットの準備の必要性が決められる（１０５）。ユーザがフラッシュを点けるか否かを指示するためのテストが行われる（１００）。フラッシュの点灯を指示する場合（１０１）あるいは自動フラッシュが検出され（１０３）フラッシュの要求がある場合（１０４）には、フラッシュが点灯され（１０５）、フラッシュ付の画像が取り込まれる（１０８）。その他の場合にはフラッシュ無しの画像が取り込まれる（１０７）。
【００３７】
フォーカス特性（質ないし設定条件 quality）の付加的な入力２３にアクセスすることでフォーカス設定点（ないし特性点）が検出される（１０９）。フォーカス設定点の数が選択され、最大レンジと最小レンジが記録される。カメラでは音波による射程あるいは被写体深度を計る他の技術が使われる。この方法はオートフォーカスにとって必要であり、映像の再現を検出することができる。この方法は、カメラから最も近いフォーカス設定点と最も遠いフォーカス設定点と共に異なる範囲に属する点の数を通知する。例えば、「lOp 1m Inf」とは、異なる焦点深さの点が１０、最も近い距離が１ｍ、最も遠い距離が無限大を表している。
【００３８】
図６において、画像がキャプチャされると（図８参照）、処理は、ポストキャプチャの動作に移る。初めにＣＣＤ（あるいは他のセンサ）をポーリングして画像を集め、記録のための準備を行う。以前に取得（９６）した、緯度、経度、高度、日付、時刻、位置決めのための衛星に関するＧＰＳの値が画像に付加される（１１１）。ＧＰＳが機能していない場合（４５）には「ＧＰＳ無し」に相当する値が画像に付加される（１１１）。オートフォーカスの状態、フォーカス特性点の数（１０９）、最大レンジと最小レンジ、フラッシュの値（点灯の指示、消灯の指示、自動フラッシュの要求、自動フラッシュの不要）、計数値（counter vibration value）（起動するか否か（９８））、ロール、ピッチ、ヨー（RPY）の値、記録されているコンパスの方位（９６）、レンズ（７３）のズームの設定、カメラの識別名（CamID １２４は、 工場でセットされ、ユーザは変更できない）、現在の画像のシーケンス番号１２５、現在のランダムな文字列１２６、ファイルタイプ１２７（工場でセットされ、ユーザは変更できない）、これらの情報が画像に付加される。内部におけるセキュリティに障害がある場合（６０）、セキュリティの侵害情報（６１）が画像に付加される（１２３）。その他の場合、画像が保護されている旨を表す値が画像に付加される（１２３）。
【００３９】
図１０において、認証には、三つのレベルと損傷を受けた要素の復元が存在する。第一のレベルは、全体的な画像の認証（Total Image Authentication）（ＴＩＡ）である。このレベルでは画像全体が認証される。第二のレベルでは、ロウ（列）／コラム（行）の認証（Row/Column Authentication）（ＲＣＡ）であり、画像の要素（画素）のロウとコラムに独立に認証がなされる。この認証では全画像より小さな単位で認証がなされる。第三のレベルは、構成要素レベルの認証（Elemental Level Authentication）（ＥＬＡ）と損傷を受けた要素の復元（Damaged Element Recovery）（ＤＥＲ）である。
【００４０】
ＥＬＡにおける構造では、各々の全ての単一の画素が独立に認証される。単一の画素の認証に失敗した場合、損傷を受けた画像の元の値を決める複合的なないし種々の（multiple）方法を与えるポストキャプチャ操作において画像に付け加えられる構造（structures）が存在する。これを損傷した要素の復元（ＤＥＲ）と呼ぶ。当初、認証レベルと損傷した要素の復元とは、工場において設定され、関連するユーザ制御（９、１０、１１、１２、１３）は、表示されない。使用毎に認証 (TIA,RCA, ELA/DER) の一つのレベルだけが起動できる（図１４の認証シーケンス、他の認証を参照）。
【００４１】
ＲＣＡが選ばれた場合（１２８）、ＲＣＡの構造と値が計算され、画像に付加される。ＥＬＡ／ＤＥＲが選ばれた場合（１３０）、ＥＬＡ／ＤＥＲの構造と値が計算され、画像に付加される。この装置では署名プロトコルとして商業的に利用可能なＭＤ５を使うが、署名プロトコルは、ＭＤ５に限られるものではない。ディジタル署名は、使用される署名プロトコル（ＳＰ）とブロック（Ｂｌｏｃｋ）との関数(SIGNA=f (SP (Block)))であって、計算されてファイルの一部を構成する（１３２）。ブロック１４４は、画像とオプションからなるディジタルデータであり、オプションは、付加情報、カメラ識別、ランダムな文字列、カメラにおける解読鍵、ＲＣＡとＥＬＡ／ＤＥＲの構造と対応する値である。
【００４２】
ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３３）、暗号化されていない完全な画像ファイルが作り出される（１３４）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号ありと無しの両方」を選んだ場合（１３５）、暗号化された完全な画像ファイルが作り出される（１３６）。
【００４３】
図１１を参照すると、ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３７）、暗号化されていない完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１３８）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３９）、暗号化された完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１４０）。
【００４４】
図３には、３．５インチフロッピディスクドライブ１４２及び取り外し可能な３．５インチフロッピディスケット１４１が記録装置及び記録メディアとして示されている。他にも記録用のオプションとして、取り外し可能なメモリモジュールとしてのフラッシュＲＡＭ、赤外線、シリアル、イーサネット（登録商標）、トークンリング、パラレル、ユニバーサルシリアルバス（ＵＳＢ）、ファイヤワイヤ、あるいは単一のコンピュータまたはコンピュータのネットワークへの通信モードを介した外部装置への蓄積が利用可能である。
【００４５】
図１２において、Signa2のプロセスにより作成されたファイルは、産業界で一般的に受け入れられるフォーマットである。より具体的にはSigna2のファイルには著作権がない。付加的な情報は、ファイルに含まれるが、フォーマットに対する標準に従ったものである。
【００４６】
図中には、２つのブレース（｛及び｝）があり、画像に対応する部分は、２つの要素からなり、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができる。このブレース外の要素は、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができない。ブロックを示す第二のブレース１４４は、署名１４５により保護される要素からなる。ブロックの内部は、全て署名されたもの（what is signed）を示す。
【００４７】
１６１に示すように斜線を引いた要素は、オプションであって、Signa2装置の基本的な用途を実現するには必要ない。画像１４６と署名１４５との密接な関連付けがSigna2プロセスにとって最低限必要である。
【００４８】
センサ７３は、最低限見ることのできる情報である画像１４６を取得する。ユーザにより見ることが可能なカメラからの付加的なデータ１４７には、ＧＰＳ情報（１１１）、ズーム設定、オートフォーカス状態、フォーカス特性の結果情報、ロウ・ピッチ・ヨーの値、コンパスの方位、フラッシュの状態、ファイルタイプ、カメラＩＤ、シーケンス１２０、セキュリティの値が含まれる。
【００４９】
ＧＰＳ情報（１１１）には、緯度、経度、高度、日付、時刻、測定で使われる衛星情報（４８）あるいは装置が無効の場合には「ＧＰＳ無し」の情報（４６）が含まれる。ズームの設定情報（７５）には、画像を取得するにあたって、標準レンズを５０ｍｍと表す場合のｍｍ値あるいは５０ｍｍを１とした時のＸの値で表した情報が含まれる。コンパスの方向には、画像を取得した時刻のカメラの向いている方位の情報が含まれる（１１７）。
【００５０】
フラッシュの状態（１１４）には、指令でオン、指令でオフ、自動でオン、自動でオフの指令が含まれる。フラッシュの状態において、最初の二つは、ユーザにより強制的に設定されるもので、後の二つは、フラッシュを使うか否かをカメラ任せにするものである。他の項目はオプションである。
【００５１】
カメラＩＤ、すなわちカメラ識別コードは、工場で設定され、画像情報の一部をなす（１１９）。SHEP0001あるいは MOLL0454は、その例である。しかし認証が不要であっても、少なくとも装置の最初の所有権を決定する手段が与えられる。
【００５２】
特定の画像識別のためのシーケンス番号１２０は、自動的に増加する。カメラＩＤを使うことで先のBECK5102-98312では、カメラと映像を識別することとなる。
【００５３】
二つのセキュリティの値は「ImageGuard」と「NONVERIFIED」である。「ImageGuard」は、内部エラーが検出されずセキュリティが漏洩していない場合に現れる。「NONVERIFIED」（あるいは漏洩のおそれを示す他の指数）は、システム内でセキュリティが漏洩している場合に現れる。
【００５４】
ファイル構造内の他のセグメントには、カメラＩＤ１４８、ランダムな文字列１４９、カメラ解読鍵１５０、ＲＣＡとＥＬＡ／ＤＥＲ構造とその値１６０、ディジタル署名１４５が含まれる。カメラＩＤ１４８は、カメラの識別のためのものであり、ファイル内にあるが、ユーザは見ることができない。ランダムな文字列１４９は、最新のランダムな文字列であって、ファイルの一部をなす。カメラ解読鍵１５０は、カメラの内部にあるカメラ固有の解読鍵である。
【００５５】
図１３に、処理の一掃と準備の手順を示す。手順のこの部分では、プレキャプチャ動作（図５参照）において有効でない機能は、機能せず、次に起こる画像の取り込みのための準備がされる。計数（counter vibration）、ロール、ピッチ、ヨーの検出を無効とし（１５１、１５２）、画像のシーケンス番号が増加（インクリメント）する（１５３）。
【００５６】
ランダムな文字列の記録に対してユーザの制御１１によりYESがセットされた場合（７９）には、以前のランダムな文字列を置き換えて新たな文字列を発生させるために画像自体と他の情報（図１２参照）が用いられる。ランダムな文字列の記録は、NOにリセットされ（１５８）、ユーザ制御１１は、NOにセットされる（１５９）。プロセッサ１５７で使われる一時的なリソースは、割り当てを取消（解放）して再使用のため用意される。
【００５７】
以前のランダムな文字列が今作成される画像に使われることに注目することは重要である。その結果、ランダムな文字列を頻繁にリセットすることでパターン認識を防ぎ、セキュリティを増すことができる。以下において、ディジタル署名の耐久性を増すランダムな文字列の役割を論ずる。
【００５８】
図１４において、Signa2の画像として認証されうるファイルを作成する付加的な項目（図１２参照）と画像とを含むファイルを使って認証が開始される。認証のためのプログラムは、保証された公開のものを容易にかつ自由に使用できるものでなければならない。さもないと騙そうとする者は、無理やり否定あるいは肯定する認証を生じさせるように虚偽の認証プログラムを用意することとなる。
【００５９】
プログラムがスタート（１６２）すると、まず認証プログラムそれ自体が損傷を受けていないかあるいは改変されていないかを保証するために自己診断が行われる。プログラムがロードされた後の改変に対して保護するため処理ステップ１６２を通るたびに自己診断が繰り返される。自己診断で不全であればプログラムは、エラーメッセージを出し直ちに終了する。自己診断の手順及び不全となる可能性については、図１４には示していない。
【００６０】
認証プログラムがロードされると、ユーザは、ファイルを選択するか、プログラムを終了するかを選ぶことができる。ユーザがプログラムの終了を選択すると認証プログラムは終了する（１６３）。暗号化されたファイルが選択されると（１６４）、ファイルを解読しようと試みる（１６５）。ここでユーザによる解読鍵あるいはファイルからの解読鍵（１５０）が必要となる。解読でエラーが生じた場合には（１６６）、エラーメッセージを表示し（１６７）、プログラムは、スタート（１６２）に戻る。
【００６１】
ファイルが暗号化されていない場合（１６８）、あるいはエラー無しに解読された場合（１６９）、ファイルがSigna2フォーマットであるかをテストする（１７０）。ファイルがSigna2フォーマットでない場合（１７１）、ファイルは認証できないものとして（１７２）プログラムがスタート（１６２）に戻る。
【００６２】
ファイルがSigna2フォーマットの場合（１７３）、ブロック１４４と署名１４５とが分離され（１７４）、署名は、ブロック１４４から再計算される。再計算された署名（SIGR）と与えられた署名（SIGP）とが一致すれば（１７６）、画像を見ることができ（２４８）、総合的な画像認証システム（TIA）を用いた正当な画像として認証されたものとしてマークがつけられる（２４９）。そしてプログラムはスタート（１６２）に戻る。
【００６３】
二つの署名が一致せず、認証プログラムが信頼あるソースから獲得され、改変されていない場合、画像は損傷を受けたか改変されたものである。これは「真に否定されたもの」真の否定（true-negative）であり、画像は認証しないもの（not authentic）と決定される。信用ある認証プログラムにより、TIAレベルの認証を使ったSigna2の画像ファイルは、「誤って否定されたもの」誤った否定（false-negative）を生成することはない。画像と署名が一つのファイル内にあり、故意あるいは偶然によるファイルの変更は、無効であり適正な「否定認証」（negative authentication）を構成する。
【００６４】
再計算された署名（SIGR）が与えられた署名（SIGP）と一致しない場合（１７７）、一連のテストは、三つの認証レベルの一つのために実行される。全体画像の認証（TAI）のみが得られた場合（１７８）、その他のこれ以上の操作は得られない（１７９）。この画像が見られ（viewed）（１８０）、不認証（unauthenticated）のマークが印される（１８１）。そしてプログラムはスタート（１６２）に戻る。
【００６５】
図１４を参照すると、ロウ／コラムの認証（RCA）が選ばれた場合（１８２）、RCAの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ロウ／コラムの認証（RCA）が選ばれない場合（１８３）、要素単位の認証あるいは損傷した要素の修復（ELA/DER）のテストがなされる（１８４）。
【００６６】
図１４を参照すると、ELA/DERが選ばれた場合（１８６）、ELA/DERの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ELA/DERが選ばれない場合（１８５）、認証(TIA, RCA, ELA/DER)の三つのレベルの一つにエラーの条件が存在するはずである。このエラーの条件では、これ以上の動作は得られない（no further operations are available）との報告をして扱われる（１７９）。画像は、見られ（１８０）、不認証のマークが印され（１８１）、そしてプログラムはスタート（１６２）に戻る。
【００６７】
図１４を参照すると、Signa2のフォーマットのファイルの署名が不全だった場合（１７７）、ロウ／コラム認証（RCA）が選択される（１８２）。比較（１４５）で用いられた書名は、ファイル全体に対する単一の署名である。RCAの構造とその値１６０が、ファイル全体のレベルではなく、各ロウ及びコラムのレベルでのエラーを検出するために与えられる。各ロウ及びコラムをチェックすることで各々の画素に対してエラーを２度検出する機会が生じる。
【００６８】
巡回冗長検査（ＣＲＣ）は、エラー検出の形式を記述するために使われる手段である。このタイプのエラー検出のための他のアルゴリズムと同様にＣＲＣにもいろいろな種類がある。ここではＣＲＣは、記述の目的で使われるが、他のエラー検出符号（あるいはハミング、リードソロモンなどのエラー訂正符号）もＣＲＣエラー検出符号を補い、あるいは置き換えて実行することもできる。
【００６９】
図１５において、ディジタル画像は、ロウとコラムのマトリクス状に並んだ映像の要素（画素）から構成されている。画像の各ロウに対し内部の完全性をＣＲＣによりテストする（１８８）ためにステップ１８７においてＲＣＡ動作が開始される。ＣＲＣは、本来の内部の完全性のテストではないが、ＲＣＡの構造の一部にはＣＲＣをテストするための付加的な値が含まれている。ＣＲＣがこの自己テストで失敗した場合（１８９）、そのロウの全ての画素が損傷しているが、誤った否定の可能性のあるものとして「damagedPFN」の印しが付けられる（２０８）。
【００７０】
ＣＲＣ自己テストがＯＫの場合（１９１）、当該ロウのための新しいＣＲＣを計算するために画素のロウ全体（entire row of pixels）が使われる（１９２）。この新しいＣＲＣは、元のＣＲＣと比較される。一致しない場合（１９３）、当該ロウの全ての画素は損傷しているとして印しが付けられる（１９０）。新しいＣＲＣが元のＣＲＣと一致する場合（１９４）、当該ロウの全ての画素はＯＫの印しが付けられる（１９５）。
【００７１】
図１５において、画像の各コラムに対してＲＣＡ動作が継続され（１９６）、内部の完全性のために各コラムのＣＲＣがテストされる（１９７）。このテストでＣＲＣが失敗した場合（１９８）、コラムに対しこれ以上の動作は行われない。ＣＲＣの自己テストがＯＫの場合（２００）、画素のコラム全体がコラムのための新しいＣＲＣの計算に用いられる（２０１）。新しいＣＲＣが元のＣＲＣと一致しない場合（２０２）、このコラムに対しそれ以上の動作は行われない。新しいＣＲＣが元のＣＲＣと一致した場合（２０３）、コラム内の全ての画素にＯＫの印しが付けられる（２０４）。
【００７２】
一つの画素には次の６通りの内から一つの印し（標識 mark）を付けることができる。ロウＣＲＣ１９５とコラムＣＲＣ２０４を通った場合に「Ok-ok」、ロウＣＲＣ１９０とコラムＣＲＣ２０４を通った場合に「Damaged-ok」、ロウＣＲＣ不全２０８とコラムＣＲＣ２０４を通った場合に「DamagedPFN-ok」、ロウＣＲＣ１９５を通った場合に「Ok-null」、ロウＣＲＣ１９０を通った場合に「Damaged-null」、ロウＣＲＣ不全２０８を通った場合に「DamagedPFN-null」。コラムＣＲＣが失敗の場合（２０２）には第２の状態は無い（印しに「-null」が付いている）。
【００７３】
ロウとコラムに対する二つの操作によりマトリクスが生成され、そこではいくつかのロウの画素がロウの操作で損傷ありとして印しが付けられることがあり、これらのうちいくつかの画素がコラムの操作により損傷からＯＫに変えられることがありうる。これは一つのロウ全体が損傷ありかＯＫかの印しがつけられているからである。一つのコラムにＯＫの印しがある場合、あるロウ全体の部分として損傷を受けていると印しが付けられている画素が実際には損傷を受けておらず、ＯＫに変わることがある。例えば、損傷のある一つの画素は、ロウの操作において一つのロウ全体が損傷を受けているとして印しが付けられることとなる。損傷を持つ画素のあるコラムを除く全てのコラムに対しては、ＯＫの印しがコラムの操作によって付けられる。その結果、損傷があると印しが付けられた一つの画素を持つ画像が得られることとなる。
【００７４】
画像が認証されたならば、ユーザは表示のオプションのリスト（２０５）を選択することができる（１９９）。オプションには次のものがある。オプションＡ：修正無しの元の画像のみ表示、オプションＢ：損傷のある画素を強制的に白にした画像の表示、オプションＣ：損傷のある画素を強制的に黒にした画像の表示、オプションＤ：ＡとＢの交互表示（Rock）、オプションＥ：ＡとＣの交互表示、オプションＦ：統計報告、オプションＧ：表示の終了。交互表示（Rock）とは、２つの画像を急速に交互表示することを示す。
【００７５】
オプションＦの統計報告には次のものが含まれる。Ｆ１：画像の画素の総数、Ｆ２：「ok-ok」、「Damaged-ok」、「DamagedPFN-ok」及び「ok-null」の印しの付いた画素の総数、損傷のない画素の割合を示す（Ｆ２／Ｆ１）＊１００。
【００７６】
ＣＲＣテストでロウ１９４とコラム２０３を通過したものが「Ok-ok」の印しの付いた画素である。ＣＲＣテストでロウ１９４を通過したものの、コラムのＣＲＣテストでは損傷があるとして１９８を通り付加的な情報がないものが「Ok-null」の印しが付いた画素である。「Damaged-ok」の印しが付いた画素は、実際には損傷のないものである。新しいロウＣＲＣは、元のロウＣＲＣと一致しなかったために画素に損傷があると印しが付けられている。画素がコラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に損傷があると印しが付けられている（１９０）。「DamagedPFN-ok」の印しの付いたものも、また実際には損傷のないものを含んでいる。コラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に「damagedPFN」の印しが付けられ、ロウＣＲＣの不全（１８９）によって画素に損傷があると印しが付けられているものである。
【００７７】
F3は、「Damaged-null」の印しが付けられた画素の総数であり、画素の総数に対する割合である(F3/ F1) * 100を「真に否定されるもの」の割合（True Negative Percentage）として表される。新しいロウＣＲＣが元のロウＣＲＣテストと一致しなかった（１９３）ために画素には「Damaged-null」の印しが付けられている。コラムＣＲＣの不全によって（２０２）、第２の状態はない（「-null」が付いている）。
【００７８】
F4は、「DamagedPFN-null」の印しが付けられた画素の総数であり、画素の総数に対する割合である(F4/ F1) * 100を「誤った否定の可能性のあるもの」の割合（Potential False Negative Percentage）として表す。ロウＣＲＣが自己テストで不全（１８９、２０８）、コラムＣＲＣの不全（２０２）のためＯＫとして認証できなかった画素には「DamagedPFN-null」の印しが付けられる。F2、F3とF4の相対比率の合計は１００％となるべきであり、F2、F3とF4の合計はF1に等しくなるべきである。
【００７９】
ユーザが表示終了のオプションを選ぶまで（２０７）、代わる代わる表示のオプションを選ぶことができる（２０６）。終了を選んだ時点でＲＣＡ動作は終了する。
【００８０】
図１４を参照すると、Signa2フォーマットにおいて（１７３）、ファイルが不全な署名を有する場合（１７７）、ＥＬＡ／ＤＥＲ動作が行われ、要素レベルの認証（ＥＬＡ）と損傷した要素の回復（ＤＥＲ）の認証が選ばれる（１８６）。比較で使われる署名１４５は、ファイル全体に対する一つの署名である。ＥＬＡ／ＤＥＲの構成とその値１６０は、ファイル全体のレベルではなく各要素のレベルにおける認証を決定する方法に用いられる。
【００８１】
ＥＬＡ／ＤＥＲの構成には、画像の完全な複製、圧縮、符号化を含んでいる。この画像の複製では要素レベルの認証と損傷した要素の回復を可能としている。以下の記載においてユーザが見ることのできる画像の元の版（version）は、第１の画像（Primary Image）、略してＰＩと称する。圧縮され符号化された画像の版は、バックアップの画像（Backup Image）、略してＢＩと称する。第１の画像及びバックアップの画像の双方ともロウとコラムのＣＲＣあるいは他の誤り検出プロトコルを有する。
【００８２】
図１６を参照すると、最初に第１の画像における各々のロウに対してステップを実行し（２０９）、各々の第１の画像のロウ用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２１１）、第１の画像のロウにある全ての画素には、誤った否定の可能性のある損傷した画素であるとして「damagedPFN」の印しが付けられる。第１の画像のロウＣＲＣで自己テストを通過した場合（２１３）、新たな第１のロウＣＲＣが第１の画像のロウにある画素から計算される（２１４）。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致する場合（２１５）、ロウにある全ての画素にＯＫの印し（損傷なし）が付けられる。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致しない場合（２１７）、ロウにある全ての画素に損傷ありの印しが付けられる（２１８）。
【００８３】
図１６を参照すると、ロウに関して処理が終了すると第１の画像における各々のコラムに対してステップを実行し（２１９）、第１の画像のコラム用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２２１）、このコラムに対してそれ以上の動作はなされない。第１の画像のコラムＣＲＣで自己テストを通過した場合（２２２）、新たな第１のコラムＣＲＣが第１の画像のコラムにある画素から計算される（２２３）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致する場合（２２５）、コラムにある全ての画素にＯＫの印しが付けられる（２２６）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致しない場合（２２４）、このコラムについてそれ以上の動作は行われない。
【００８４】
各々の画素には次の６通りの内から一つの印しがつけられる。ロウＣＲＣ２１６とコラムＣＲＣ２２６を通った場合に「Ok-ok」、ロウＣＲＣ２１８とコラムＣＲＣ２２６を通った場合に「Damaged-ok」、ロウＣＲＣ不全２１２とコラムＣＲＣ２２６を通った場合に「DamagedPFN-ok」、ロウＣＲＣ２１６を通った場合に「Ok-null」、ロウＣＲＣ２１８を通った場合に「Damaged-null」、ロウＣＲＣ不全２１２を通った場合に「DamagedPFN-null」。コラムＣＲＣが失敗の場合（２２１）には第２の状態はない（印しに「-null」が付いている）。
【００８５】
図１７を参照すると、その要素の元の値を回復するように「damaged」または「damagedPFN」の印しの付いた画素に対して認証が開始される。付随する（追加的）処理によっては、損傷を受けた要素の回復（ＤＥＲ）の同じ手続が各々に対して用いられるため、真に否定されるものと誤って否定されるものとを区別することはできない。
【００８６】
損傷している第１の画像の画素の値を回復するには対応するバックアップ画像の画素をまず見つけ出し、検証しなければならない。対応するバックアップ画像の画素の検証は、二つのシナリオの元でそれぞれ行われる。第１のシナリオでは、対応するバックアップ画像の画素に対するバックアップ画像のロウＣＲＣが損傷しておらず、計算されたバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致することである。第２のシナリオでは、対応するバックアップされた画像の画素に対するバックアップ画像のコラムＣＲＣが損傷しておらず、計算されたバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致することである。
【００８７】
ステップ２２７では、第１の画像内の「damaged」あるいは「damagedPFN」の印しの各画素に対してバックアップ画像内の対応する画素を見出す。バックアップ画像は、初めに伸張（圧縮の逆）を必要とする。対応するバックアップ画像の画素を見出すことができない場合（２２９）、認証ができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素を見出すことができた場合（２３１）、バックアップ画像のロウＣＲＣに自己テストが実行される（２３２）。
【００８８】
バックアップ画像のロウＣＲＣの自己テストが不全の場合（２３３）、バックアップ画像のロウＣＲＣは損傷していて、認証は役に立たない。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが認証のために使用され、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。
【００８９】
対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９０】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「damaged」あるいは「damagedPFN」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９１】
バックアップ画像のロウＣＲＣの自己テストが成功した場合（２３４）、新たなバックアップ画像のロウＣＲＣが計算される（２５１）。新たなバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致した場合（２３７）、対応するバックアップ画像の画素は、認証され、「damaged」あるいは「damagedPFN」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４２）、ロウの中のバックアップ画像の画素の１またはそれ以上の個数が損傷しており、バックアップ画像のコラムが認証のためテストされる。
【００９２】
ステップ（２３３、２４２）でＮＯの場合、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９３】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「damaged」あるいは「damagedPFN」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９４】
各画素には次の８通りのうち１つの印しが付けられる。ロウＣＲＣの２１６とコラムＣＲＣの２２６から「Ok-ok」、ロウＣＲＣの２１８とコラムＣＲＣの２２６から「Damaged-ok」、ロウＣＲＣが不全である２１２とコラムＣＲＣの２２６から「DamagedPFN-ok」、ロウＣＲＣの２１６から「Ok -null」、ロウＣＲＣ２１８（画素の元の値は２３８で復元されている）から「Damaged-null-recovered」、ロウＣＲＣ２１８（画素の元の値は２３０で復元されていない）から「Damaged-null-not recovered」、ロウＣＲＣ２１２（画素の元の値は２３８で復元されている）から「DamagedPFN-null-recovered」、ロウＣＲＣが不全である２１２（画素の元の値は２３０で復元されていない）から「DamagedPFN-null-not recovered」。「Damaged -null」と「DamagedPFN-null」は、復元の結果により置き換えられる。
【００９５】
図１７を参照すると、認証と復元の動作を終えると、ユーザに１１通りのオプションのリストを表示し（２４５）、ユーザは選択する（２４４）。オプションＡでは、修正無しに元の画像を表示する。オプションＢでは、「damaged」および「damagedPFN」の印しの付いた画素を強制的に白色にして表示する。オプションＣでは、「damaged」および「damagedPFN」の印しの付いた画素を強制的に黒色にして表示する。オプションＤでは、「damaged」および「damagedPFN」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「damaged」および「damagedPFN」の印しの付いた画素は、強制的に白色にする。オプションＥでは、「damaged」および「damagedPFN」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「damaged」および「damagedPFN」の印しの付いた画素は、強制的に黒色にする。
【００９６】
オプションＦでは、オプションＡとＢとを交互に切り替えて表示する。オプションＧでは、オプションＡとＣとを交互に切り替えて表示する。オプションＨでは、オプションＡとＤとを交互に切り替えて表示する。オプションＩでは、オプションＡとＥとを交互に切り替えて表示する。
【００９７】
オプションＪでは、各所の要素に含まれる統計的な記録を表示する。このオプションでは、画像の総画素数Ｊ１を表示する。また、「ok-ok」、「Damaged-ok」、「DamagedPFN-ok」および「ok -null」の印しが付けられた画素の総数と、総画素数Ｊ１に対する損傷を受けていない画素数Ｊ２の割合（Ｊ２／Ｊ１）＊１００とを表示する。「Ok-ok」の印しが付けられた画素は、ロウＣＲＣテスト２１６とコラムＣＲＣテスト２２６とを通過したものである。「Ok-null」の印しが付けられた画素は、ロウＣＲＣテスト２１６を通過したものの、コラムＣＲＣが不全であり（２２１）、付加的な情報がないものである。「Damaged-ok」の印しが付けられた画素は、実際には損傷を受けていないものである。新たなロウＣＲＣが元のロウＣＲＣと一致しないために（２１７）当該ロウ全体が損傷を受けたとものとして印しが付けられ、当該画素（pixels）が損傷を受けたとものとして印しが付けられたものである。これらの画素は、コラムＣＲＣのテストを通過したものである（２２５）。「DamagedPFN-ok」の印しが付けられた画素は、実際には損傷を受けていないものである。ロウＣＲＣが不全でロウ全体に「damagedPFN」の印しが付けられ、画素に「damagedPFN」の印しが付けられている。これらの画素は、コラムＣＲＣテストを通過したものである（２２５）。
【００９８】
また、オプションＪでは、「Damaged-null-recovered」の印しの付いた画素の総数Ｊ３と、総画素数Ｊ１に対する画素数Ｊ３の割合（Ｊ３／Ｊ１）＊１００とを表示する。さらに、「Damaged-null-not recovered」の印しの付いた画素の総数Ｊ４と、総画素数Ｊ１に対する画素数Ｊ４の割合（Ｊ４／Ｊ１）＊１００とを表示する。
【００９９】
また、オプションＪでは、「DamagedPFN-null-recovered」の印しの付いた画素の総数Ｊ５と、総画素数Ｊ１に対する画素数Ｊ５の割合（Ｊ５／Ｊ１）＊１００とを表示する。また、「DamagedPFN-null-not recovered」の印しの付いた画素の総数Ｊ６と、総画素数Ｊ１に対する画素数Ｊ６の割合（Ｊ６／Ｊ１）＊１００とを表示する。Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６の総和は、Ｊ１に等しく、Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６のパーセンテージの総和は、１００％になるべきである。
【０１００】
最後のオプションは、オプションＫであり、表示を終了するオプションである。ユーザは、表示を終了するオプションを選択する（２４７）まで、各種表示のオプションを選択し続けることが可能である。表示を終了するオプションを選択した時点でＥＬＡ／ＤＥＲ動作が終了する。
【０１０１】
次に、信頼できる出所から獲得され改変のされていない認証プログラムによるロウとコラムの認証を用いる「真に否定されるもの」（true negative）、「誤って否定されるもの」（false negative）、「誤って肯定されるもの」（false positive）について説明する。
【０１０２】
画素が損傷を受け（元の状態から改変されて）、この損傷がＲＣＡ動作で検出されると、画素は、「真に否定されるもの」であり、認証されないる画像の一部である。ＲＣＡを使うと、「誤って否定されるもの」を作り出し、画素は実際には認証されるが損傷を受けたものと印しが付けられる。
【０１０３】
画素が本物か損傷を受けたものか、ロウＣＲＣが本物か損傷を受けたものか、コラムＣＲＣが本物か損傷を受けたものか、について表１に示す８通りの場合分けが存在する。
【０１０４】
【表１】
0004447219.tif 000002
【０１０５】
表１において、Ｙは損傷していることを表し、Ｎは損傷していないかＯＫを示す。
起こりうる数（number of possibilities）は、（要素の数）！／（同一の要素の数）！で表される。
【０１０６】
全てのケースで３つの要素がある。ケースＡでは、３つの項目とも損傷していないケースである。Ｙが０個、Ｎが３個である１つのケースである（３！／３！＝１）。ケースＢからＤでは、３つの項目のうち１つが損傷しているケースである。Ｙが１個、Ｎが２個である３つのケースがある（３！／２！＝３）。ケースＥからＧでは、３つの項目のうち２つが損傷しているケースである。Ｙが２個、Ｎが１個である３つのケースがある（３！／２！＝３）。ケースＨでは、３つの項目とも損傷しているケースである。Ｙが３個、Ｎが０個である１つのケースである（３！／３！＝１）。
【０１０７】
ケースＧでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素は損傷しておらず、「誤って否定されるもの」（false negative）となる。ロウＣＲＣの自己テストで不全となる場合（１８９）、ロウの全ての画素に「damagedPFN」の印しが付けられることとなる（２０８）。コラムＣＲＣの自己テストで不全となる場合（１９８）、「damagedPFN」の印しが付けられたままである。ケースＨでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素も損傷していることから「誤って否定」ではない点を除き、ケースＧと類似する。
【０１０８】
表１を参照すると、「誤って肯定されるもの」（false positive）（損傷していないとして不適切な認証をされている画素）は、起こりえない条件である。ケースＢ、Ｅ、Ｆ、Ｈでは、画素は損傷している。ケースＢでは、ロウＣＲＣは損傷していないし、新たに計算された（１９２）ロウＣＲＣは、元のロウＣＲＣと一致しない（１９３）。ロウにある全ての画素は損傷があるものとして印しが付けられる（１９０）。ケースＢでは、コラムＣＲＣも損傷していない。計算された新たなコラムＣＲＣは、元のＣＲＣと一致しないし、損傷があるものとして印しが付けられたコラムの画素は、損傷があるものとして印しが付けられたままである。新たなコラムＣＲＣが元のコラムＣＲＣと一致する場合（２０３）、損傷がある画素を含むコラムの全画素にＯＫのマークが付けられる（２０４）。
【０１０９】
ケースＥでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）で誤りであることがわかり（１８９）、ロウの全ての画素に「damagedPFN」の印しが付けられる（２０８）。コラムＣＲＣが損傷しておらず、コラムＣＲＣ自己テストを通過（パス）するだろう（２００）。新たなコラムＣＲＣが元のＣＲＣと一致せず（２０２）、ロウＣＲＣが損傷した際にはロウに、”損傷していて「誤って否定される可能性のあるもの」”すなわち「damagedPFN」の印しが付けられることで、「damagedPFN」の印しの付いたコラムの画素が「damaged」として印された状態に留る。もし、新たなコラムＣＲＣが元のＣＲＣと一致する場合（２０３）にのみ、損傷しているものも含みコラムの全ての画素にＯＫのマークが付けられる（２０４）。
【０１１０】
ケースＦでは、ロウＣＲＣが損傷しておらず、ロウＣＲＣの自己テスト（１８８）をパスする（１９１）。新たに計算されたロウＣＲＣ（１９２）は、元のロウＣＲＣと一致せず（１９３）、ロウの全ての画素に「damaged」と印しが付けられる。ケースＦでは、コラムＣＲＣが損傷していて、コラムＣＲＣの自己テストを通過せず（１９８）、「damaged」と印しが付けられたコラムの画素は、「damaged」と印された状態に留る。
【０１１１】
ケースＨでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）をパスしないのでロウの全ての画素に「damagedPFN」の印しが付けられる。ケースＨでは、コラムＣＲＣは、損傷しており、コラムＣＲＣの自己テストを通過しない（１９８）。「damagedPFN」の印しが付けられているコラムの画素は、ロウＣＲＣが損傷しているとき画素のロウに、損傷していて「誤って否定される可能性のあるもの」すなわち「damagedPFN」として印しが付けられるので、「damagedPFN」として印された状態に留る。
【０１１２】
ＲＣＡでは、認証プログラムが信頼ある元から獲得され改変されていない場合、損傷している画素が損傷していないと不適切に認証され、「誤って肯定されるもの」（false positives）とはなりえない。
【０１１３】
損傷している要素の回復（ＤＥＲ）により要素レベルの認証を用いる「真に否定されるもの」（True Negatives）、「誤って否定されるもの」（False Negatives）、「誤って肯定されるもの」（False Positives）について以下に述べる。ある一つの画素が損傷して（元の状態から改変されて）損傷がＥＬＡ動作により検出されると、当該画素は「真に否定されるもの」であり、本物ではないと適正に決定された画像の一部である。ＥＬＡを使うと、画素が実際には本物であるが損傷している（damaged）と印しが付けられていることを示す「誤って否定されるもの」（false-negative）の表示を生成することがありうる。
【０１１４】
第１（primary）の画像の画素の認証／損傷、バックアップ画像の画素の認証／損傷、第１のロウＣＲＣの認証／損傷、バックアップのロウの認証／損傷、第１のコラムＣＲＣの認証／損傷、バックアップのコラムＣＲＣの認証／損傷、で場合分けされる６４通りのケースが存在する。
【０１１５】
表２〜表５において、Ｙは損傷を、Ｎは損傷していないかＯＫを示す。
【０１１６】
表２は、第１の画像の画素が認証され、バックアップ画像の画素も認証される状態を示す（グループ１）。
【０１１７】
【表２】
0004447219.tif 000003
【０１１８】
表３は、第１の画像の画素が損傷していて、バックアップ画像の画素が認証される状態を示す（グループ２）。
【０１１９】
【表３】
0004447219.tif 000004
【０１２０】
表４は、第１の画像の画素が認証され、バックアップ画像の画素が損傷している状態を示す（グループ３）。
【０１２１】
【表４】
0004447219.tif 000005
【０１２２】
表５は、第１の画像の画素が損傷していて、バックアップ画像の画素も損傷している状態を示す（グループ４）。
【０１２３】
【表５】
0004447219.tif 000006
【０１２４】
「誤って否定されるもの」（false negative）であるためには、次の条件が必要である。（１）第１の画像の画素が実際には損傷していない（Ｎ）、（２）第１の画像の画素が損傷していると最初の操作で不適切に表示されている、（３）その後の全ての操作は不適切な表示を正すことがない。
【０１２５】
「誤って否定されるもの」では、第１の画像の画素が実際には損傷していない（Ｎ）という要因は、結果をグループ１とグループ３に限定する。最初にＰＩ画素のロウに「damagedPFN」の印しが付けられるには、第１のロウＣＲＣは、損傷していなければならない（Ｙ）。もしロウＣＲＣが損傷しておらず、画素のロウが損傷していない場合、画素にはＯＫの印しが付けられる。これは「誤って否定されるもの」でなく、他の何かであり、結果をグループ１とグループ３におけるケースＢ、Ｆ、Ｇ、Ｈ、Ｌ、Ｍ、Ｎ、Ｐのケースに限定する。
【０１２６】
「damaged」と印しが付けられている画素を損傷しているロウＣＲＣにより訂正することを排除するには、第１のコラムＣＲＣは、損傷していなければならない（Ｙ）。ケースＢ、Ｆ、Ｈ、Ｍでは、第１のコラムＣＲＣは、損傷しておらず（Ｎ）、グループ１とグループ３において結果をケースＧ、Ｌ、Ｎ、Ｐに限定する不適切な「damagedPFN」の表示の付いた画素の誤表示を正すこととなる。
【０１２７】
訂正を排除するには、バックアップのロウＣＲＣは損傷していなければならない（Ｙ）。ケースＧ、Ｎでは、バックアップのロウＣＲＣは損傷しておらず（Ｎ）、その結果、グループ１とグループ３におけるケースＬ、Ｐに限定される「damaged」の表示の付いた画素の誤表示を正すこととなる。
【０１２８】
訂正を排除するには、バックアップのコラムＣＲＣは損傷していなければならない（Ｙ）。ケースＬでは、バックアップのコラムＣＲＣは損傷しておらず（Ｎ）、その結果「damagedPFN」の表示の付いた画素の誤表示を正すこととなる。ケースＰ１では、バックアップ画像の画素は、正しいが、全ての誤り検出構造（第１のロウＣＲＣ、第１のコラムＣＲＣ、バックアップのロウＣＲＣ、バックアップのコラムＣＲＣ）に損傷があるために正本として認証することができない。但し、ケースＰ１、Ｐ３においてだけは、適正な画素が、訂正の可能性がなしで「damaged」と印しが付けられることがありうるだろう。
【０１２９】
同じ表（複数）を利用することで、「誤って肯定されるもの」（損傷している画素が誤って損傷していないと認証される）は、可能な条件ではないことが示される。グループ２とグループ４の両方では、損傷している第１の画像の画素（pixels）が含まれている。第１のロウＣＲＣが損傷している場合、当該ロウに属する全ての画素には「damaged」との印しが付けられる。第１のロウＣＲＣが損傷していない場合、新たなロウＣＲＣは、与えられたロウＣＲＣと一致せず、当該ロウに属する全ての画素は「damaged」との印しが付けられる。「誤って肯定されるもの」のケースを区別すためには、第１のロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は重要ではない。画素には「damaged」あるいは「damagedPFN」の印しが付けられる。即ち、第１の画像のロウＣＲＣ単独で、損傷している画素に「damaged」あるいは「damagedPFN」の印しが付けられることを保証する。
【０１３０】
「誤って肯定されるもの」であるためには、全ての検出可能で修正可能な機構が、画素が「damaged」あるいは「damagedPFN」である旨の第１のロウＣＲＣの決定を変更するモードにおいて、失敗する必要がある。第１のコラムＣＲＣが損傷している場合（２２１）、画素が損傷しているとの決定を変更することはない。第１のコラムＣＲＣが損傷していない場合（２２２）、新たなＰＩのコラムＣＲＣ（PI COLUMN CRC）は、元のＰＩのコラムＣＲＣと一致しない。したがって、損傷している画素がdamagedであるという決定を変更することはない。「誤って肯定されるもの」の場合を抽出するためには、第１のコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「damaged」の印しが付けられたままである。
【０１３１】
バックアップのロウ及びコラムＣＲＣは、損傷した要素の回復に使われ、要素レベルでの認証には使われない。したがって、「誤って肯定されるもの」の場合を抽出するためには、バックアップのロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではないし、バックアップのコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「damaged」の印しが付けられたままである。
【０１３２】
これにより「誤って肯定されるもの」の条件の可能なソースとしてグループ２とグループ４の全てのケースが除かれる。他には考慮すべきケースがないので、認証プログラムに公認されていない（ないし権限のない）改変がない場合には、「誤って肯定されるもの」（false positives）は可能とはならない。
【０１３３】
同じテーブルを使って、損傷した画素が損傷した要素の復元構造から復元できるか否かを決めることができる。復元を考慮すると、第１の画像の画素は、「damaged」あるいは「誤って否定されるもの：false negative」（損傷していると印しが付けられている画素が実際には損傷していない）のいずれかでなければならない。これにより、グループ２及び４の損傷している画素、及び二つの可能な「誤って否定されるもの」の状態のケースＰ１及びケースＰ３を考慮することに限定される。
【０１３４】
バックアップ画像の画素は、実際には損傷していてはならない。ＢＩ画素が損傷しているグループ４の全てのケースでは、全ての「誤って肯定されるもの」が可能でないことから復元ができない。バックアップ画像の制御構造は、損傷していないとしてそれをＢＩ画素であると認証しなければならない。損傷していると誤って考えられるバックアップ画像の画素に導くバックアップのロウＣＲＣは、損傷していてもよい。バックアップ画像のコラムＣＲＣが損傷していない場合、バックアップ画像の画素を損傷しているとの誤指定を正すことができる。
【０１３５】
損傷していないバックアップのロウＣＲＣは、バックアップ画像の画素が損傷していないということを示している。損傷しているバックアップのコラムＣＲＣは、バックアップ画像の画素が損傷していないというバックアップのロウＣＲＣの決定を変更することはない。したがって、バックアップ画像のロウＣＲＣあるいはバックアップ画像のコラムＣＲＣが損傷していない限り、損傷していないバックアップ画像の画素が認証でき、損傷している第１の画像の画素の復元に使うことができる。ケースＪ２、Ｍ２、Ｏ２、Ｐ２のみにおいて、バックアップ画像の両方のＣＲＣの構造が損傷しており、損傷していないバックアップ画像を損傷していないものとして認証することができない。
【０１３６】
Ｐ１とＰ３の「誤って肯定されるもの」の場合、バックアップの両方のＣＲＣ構造が損傷し、損傷していないバックアップ画像を損傷していないものとして認証することができない。その結果、グループ４の１６個のケース、及びケースＪ２、Ｍ２、Ｏ２、Ｐ２において、損傷している第１の画像の画素は、復元することができない。Ｐ１あるいはＰ３で「誤って否定されるもの」となる場合、誤って識別された損傷した第１の画像の画素を復元することはできない。
【０１３７】
次に、ディジタル署名の強度を増大させるランダムな文字列の役割について説明する。一時使用と無作為な要素により不正な詐称に成功しないようにディジタル署名の耐力を増加する方法について、例を示し説明する。
【０１３８】
空（blank）の画像と一定の署名アルゴリズムでスタートし、いずれかの実際の画像（true image）が空に変えられ、正しい空の画像から当該署名が付加されることがありうる。改変された画像は、ほんの少し工夫すれば認証において不適正に認証されることとなろう。同じ画像が同じ署名を生成するので、これは脆弱な情況であり、望ましくない結果となるのは明らかである。
【０１３９】
適応性のある署名では、１つの署名は画像のコンテンツから作られる。空の画像の場合、同じ署名が生成されるであろう。一つの画像が空へと手を加えられ、当該署名は正しく署名された空の画像から複製されうる。これは、同じ望ましくない結果となると先に述べたことと同様に認証において不適正な認証を許すことになろう。
【０１４０】
適応性（adaptive）のある署名の例としては、ワンタイム要素（one-time element）を含むものがある。ワンタイム要素を付加すると、たとえ画像自体が空であっても署名を他の署名と異ならせることができる。ワンタイム要素とは、日時や画像のシーケンス番号のように決して繰り返さないものである。これらのワンタイム要素を何らかの巻込（組込）みや巧妙な取扱いは、容易に偽造させないようにするのに好ましい。これにより、同じ画像が異なる署名を生成するので、より強力な解決となる。
【０１４１】
適応性のある署名は、ワンタイム要素と無作為（ランダム）要素を含む署名であってもよい。ランダムな文字列（random string）とは、以前の画像から選んだ値を含む多くの変数から生成される文字の列である。ランダムな文字列を生成するアルゴリズムは、営業の秘密であり、それ以外では同じである同一の製造の流れないしロット（same production run）の間でも、装置毎に異なるものである。使われるアルゴリズムは、同一の装置であっても使用のたびに変更されうるものである。同一の装置からほんの少し時間を隔てて取り込まれた二つの空の画像から、大きく異なった２つの署名が生成できる。また、異なる二つの装置から正確に同一の時刻で取り込まれた二つの空の画像からは、大きく異なった２つの署名が生成できる。このことにより、１つのワンタイム要素のみを含む適応性のある署名よりも強力な解決策を作り出すことになる。
【０１４２】
他の変形例として、ワンタイム要素及びワンタイムランダム要素を伴った適応性のある署名（adaptive signature）がある。ユーザは、新たなランダムな文字列を生成する頻度を制御する。画像を取り込んだ後に新たにランダムな文字列を生成する場合、当然、ランダムな要素は、その定義上、パターン化されていないので、画像から生成する署名のパターン認識が不可能である。署名の生成プロトコル及びランダムな文字列の生成アルゴリズムが知られていないか、あるいは逆探知（リバースエンジニアリング）されない限り、正しく構成されているSigna2の画像に署名できる能力は、専らSigna2の装置内にのみ存在する。装置の間でランダムな文字列の生成プロトコルの変更、同一装置の使用と別の使用との間でのプロトコルの変更、ランダムな文字列の頻繁な再生成により、手順を決める結果の分析（リバースエンジニアリングの一形態）は、ほとんど徒労である。
【０１４３】
以上で述べた説明及び図において発明を例示し詳細に記述したが、これに限定されるものではなく、発明の意図に至る全ての変更及び修正は保護されるべきである。
【図面の簡単な説明】
【図１】  本発明の一実施例に係るディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳ装置を示す概略図である。
【図２】  本発明による自立的（ないし機能完備の：self-contained）ディジタルカメラの概略図である。
【図３】  本発明による自立的ディジタルカメラの詳細図である。
【図４】  本発明の一実施例に係る動作シーケンスを表すフロー図である。
【図５】  図４に示すプレキャプチャ動作を表すフロー図である。
【図６】  図５に示すプレキャプチャ動作における付加的な入力のチェックに関するフロー図である。
【図７】  プレキャプチャ動作におけるユーザ制御の記録に関するフロー図である。
【図８】  図４に示すキャプチャ動作を表すフロー図である。
【図９】  図４に示すポストキャプチャ動作を表すフロー図である。
【図１０】  図９の続きを表すフロー図である。
【図１１】  図４に示す記録動作を表すフロー図である。
【図１２】  署名のあるディジタル画像のファイルフォーマットを表す図である。
【図１３】  図４に示す一掃と準備を表すフロー図である。
【図１４】  認証のシーケンスを表すフロー図である。
【図１５】  図１４に示すＲＣＡ動作を表すフロー図である。
【図１６】  図１４に示すＥＬＡ／ＤＥＲ動作を表すフロー図である。
【図１７】  図１６の続きを表すフロー図である。
【図１】
0004447219.tif 000007
【図２】
0004447219.tif 000008
【図３】
0004447219.tif 000009
【図４】
0004447219.tif 000010
【図５】
0004447219.tif 000011
【図６】
0004447219.tif 000012
【図７】
0004447219.tif 000013
【図８】
0004447219.tif 000014
【図９】
0004447219.tif 000015
【図１０】
0004447219.tif 000016
【図１１】
0004447219.tif 000017
【図１２】
0004447219.tif 000018
【図１３】
0004447219.tif 000019
【図１４】
0004447219.tif 000020
【図１５】
0004447219.tif 000021
【図１６】
0004447219.tif 000022
【図１７】
0004447219.tif 000023