(57)【要約】カメラシステム（１０）は、カメラ（ＣＭＲ）としての固体撮像装置（２１）が搭載された嚥下可能なカプセル（２０）と、カプセル（２０）で捕捉され無線により送信されたビデオデータを受信する受信装置（３０）と、を有し、カプセル（２０）は、デバイスＩＤを受信装置（３０）に送信するデバイスＩＤ回路（２４）を含み、受信装置（３０）は、少なくともプリセット用に受信したデバイスＩＤを格納するメモリ（３２）を含む。たとえば、カプセル（２０）は、嚥下される前に、カメラ（ＣＭＲ）に電力が供給されると、受信装置（３０）にデバイスＩＤを少なくとも１回送信する。これにより、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能となる。
2020100704.tif 000002
【特許請求の範囲】
【請求項１】
カメラとしての固体撮像装置が搭載された嚥下可能なカプセルと、  前記カプセルで捕捉され無線により送信されたビデオデータを受信する受信装置と、を有し、  前記カプセルは、    デバイスＩＤを前記受信装置に送信するデバイスＩＤ回路を含み、  前記受信装置は、    少なくともプリセット用に受信した前記デバイスＩＤを格納するメモリを含む  カメラシステム。
【請求項２】
前記カプセルは、    前記カメラに電力が供給されると、前記受信装置に前記デバイスＩＤを少なくとも１回送信する  請求項１記載のカメラシステム。
【請求項３】
前記カプセルは、    青色系光が前記カメラに曝されると、前記受信装置に前記デバイスＩＤを少なくとも１回送信する  請求項１記載のカメラシステム。
【請求項４】
前記カプセルは、    前記受信装置からプリセットリクエストを受信すると、前記受信装置に前記デバイスＩＤを少なくとも１回送信する  請求項１記載のカメラシステム。
【請求項５】
前記カプセルは、    無線給電通信を使用して前記受信装置側の電力送信機から予め設定した要求を受信すると、前記受信装置に前記デバイスＩＤを少なくとも１回送信する  請求項１記載のカメラシステム。
【請求項６】
前記カプセルは、    前記受信装置による認証要求に応答して、前記デバイスＩＤ回路により生成されたデバイスＩＤを送信し、  前記受信装置は、    前記認証要求に応答として前記カプセルから送信されたデバイスＩＤを受信して、受信したデバイスＩＤと前記メモリにプリセットしてあるデバイスＩＤとを評価し、両ＩＤが同一であればカプセルから送信されたビデオデータを受信するが、両ＩＤが同一でなければ警告信号を出力する  請求項１記載のカメラシステム。
【請求項７】
前記受信装置は、    認証を行う場合、前記カプセルに対して認証要求を送信し、当該認証要求に応答して前記カプセルから送信されたデバイスＩＤを受信して、受信したデバイスＩＤと前記メモリにプリセットしてあるデバイスＩＤとを評価し、両ＩＤが同一であれば、カプセルにビデオデータを送信するよう要求し、  前記カプセルは、    前記受信装置による認証要求に応答して、前記デバイスＩＤ回路により生成されたデバイスＩＤを送信し、    前記受信装置からの送信要求に応答してカメラで捕捉したビデオデータを前記受信装置に送信する  請求項１記載のカメラシステム。
【請求項８】
前記カプセルは、    デバイスＩＤに基づいてキーを生成するキー生成回路を備え、    データ保護を行う場合、前記受信装置にビデオデータおよび符号化データをキーで送信し、  前記受信装置は、    受信したビデオデータおよびキーを前記メモリにプリセットされているデバイスＩＤに基づいて評価し、ビデオデータの完全性および信頼性を保護する  請求項１記載のカメラシステム。
【請求項９】
前記カプセルは、    デバイスＩＤに基づいてキーを生成するキー生成回路を備え、    前記受信装置に暗号化されたビデオデータをキーで送信し、  前記受信装置は、    ビデオデータを保護するために、受信した暗号化ビデオデータを前記メモリにプリセットされているデバイスＩＤに基づくキーで復号化する  請求項１記載のカメラシステム。
【請求項１０】
前記デバイスＩＤ回路は、    固体撮像装置のヒューズ、送信装置のヒューズ、ＰＵＦ系回路、または固体撮像装置のＰＵＦ系回路により形成される  請求項１記載のカメラシステム。
【請求項１１】
前記デバイスＩＤ回路を形成する固体撮像装置のＰＵＦ系回路は、    光電変換機能を有する複数の画素が行列状に配列された画素部と、    前記画素部から画素信号の読み出しを行う読み出し部と、    前記画素のばらつき情報および前記読み出し部のばらつき情報の少なくともいずれかに関連付けてレスポンスデータを生成するレスポスデータ生成部を含み、通常画像を生成する通常動作モードとは異なるセキュリティモードでレスポンスデータの生成処理を含む情報セキュリティ信号処理が可能な信号処理回路と、を有し、    前記信号処理回路は、      前記情報セキュリティ信号処理を、画像信号処理のブランキング期間の信号処理または行ごとの信号処理として実行する  請求項１０記載のカメラシステム。
【請求項１２】
前記情報セキュリティ信号処理は、    少なくとも、デバイス認証、データ整合性認証、およびデータ暗号化のいずれかである  請求項１１記載のカメラシステム。
【請求項１３】
前記情報セキュリティ信号処理は、    画素アドレスをチャレンジ(Challenge)とし、所定の手順で生成したレスポンスデータをレスポンス(Response)とする認証処理を含み、  前記信号処理回路は、    前記デバイス認証では、      画素読み出し中に画素のアドレスチャレンジを生成し、      セキュリティモードにおいて、垂直ブランキング期間中に前記生成したアドレスに従って画素にアクセスし、      当該垂直ブランキング期間中に画素信号を処理してデバイスＩＤを取得し、      前記垂直ブランキング期間中または次の画素読み出し期間中に前記生成したアドレスをチャレンジとして、取得したデバイスＩＤをレスポンスとして送信する  請求項１２記載のカメラシステム。
【請求項１４】
前記情報セキュリティ信号処理は、    画素アドレスをチャレンジ(Challenge)とし、所定の手順で生成したレスポンスデータをレスポンス(Response)とする認証処理を含み、  前記信号処理回路は、    前記デバイス認証では、      画素読み出し中に制御装置からの画素のアドレスチャレンジを受信し、      セキュリティモードにおいて、垂直ブランキング期間中に前記受信したアドレスに従って画素にアクセスし、      当該垂直ブランキング期間中に画素信号を処理してデバイスＩＤを取得し、      前記垂直ブランキング期間中または次の画素読み出し期間中に取得したデバイスＩＤを前記チャレンジに対するレスポンスとして送信する  請求項１２記載のカメラシステム。
【請求項１５】
前記信号処理回路は、    前記データ整合性認証では、      デバイスＩＤを取得するための画素アドレスを設定し、      垂直ブランキング期間中にアドレス指定された画素のばらつき情報からデバイスＩＤを取得し、      ライン画素信号を読み込み、メッセージ認証符号（ＭＡＣ）機能により、デバイスＩＤを固有鍵、ライン画素信号をメッセージとするデータタグを生成し、      水平ブランキング期間中または垂直ブランキング期間中に、画素アドレス、ライン画素信号、およびデータタグを、整合性認証を行う前記受信装置側に転送する  請求項１２記載のカメラシステム。
【請求項１６】
前記信号処理回路は、    前記データ暗号化では、      デバイスＩＤを取得するための画素アドレスを設定し、      垂直ブランキング期間中にアドレス指定された画素のばらつき情報からデバイスＩＤを取得し、      前記画素部から第１行の画素信号を読み出し、当該画素信号を内部のラインメモリに保存し、      前記画素部から第２行の画素信号を読み出し中に、前記第１行の画素信号を前記デバイスＩＤである鍵で暗号化し、      前記画素部から第３行の画素信号を読み出し中に、暗号化された前記第１行の画素信号および画素アドレスを、暗号解読処理する前記受信装置側に転送する  請求項１２記載のカメラシステム。
【請求項１７】
前記画素は、    蓄積期間に光電変換により生成した電荷を蓄積する光電変換素子と、    前記光電変換素子に蓄積された電荷を転送期間に転送可能な転送素子と、    前記転送素子を通じて前記光電変換素子で蓄積された電荷が転送されるフローティングディフュージョンと、    前記フローティングディフュージョンの電荷を電荷量に応じた利得をもって電圧信号に変換するソースフォロワ素子と、    前記フローティングディフュージョンを所定電位にリセットするリセット素子と、を含む  請求項１２記載のカメラシステム。
【請求項１８】
前記画素部は、    一つの前記フローティングディフュージョン、一つの前記ソースフォロワ素子、および一つのリセット素子を複数の前記光電変換素子および前記転送素子で共有する画素共有構造を有する  請求項１７記載のカメラシステム。
【請求項１９】
画素アレイ端に画素出力電圧振幅を制限するクリップ回路が配置されている  請求項１８記載のカメラシステム。
【請求項２０】
カメラとしての固体撮像装置が搭載された嚥下可能なカプセルと、  前記カプセルで捕捉され無線により送信されたビデオデータを受信する受信装置と、を有するカメラシステムの駆動方法であって、  前記カプセルが所定のトリガに応答して、前記受信装置に前記デバイスＩＤを少なくとも１回送信し、  前記受信装置が、受信した前記デバイスＩＤをプリセット用としてメモリに格納する  カメラシステムの駆動方法。
【請求項２１】
前記カプセルが、認証要求と、前記デバイスＩＤ回路により生成されたデバイスＩＤ、続いて、カメラで捕捉したビデオデータを前記受信装置に送信し、  前記受信装置が、前記カプセルから送信された認証要求とデバイスＩＤを受信して、前記認証要求に対応して受信したデバイスＩＤと前記メモリにプリセットしてあるデバイスＩＤとを評価し、両ＩＤが同一であれば、前記ビデオデータを受信し処理する  請求項２０記載のカメラシステムの駆動方法。
【請求項２２】
前記受信装置が、認証を行う場合、前記カプセルに対して認証要求を送信し、  前記カプセルが前記受信装置による認証要求に応答して、前記デバイスＩＤ回路により生成されたデバイスＩＤを送信し、  前記受信装置が、当該認証要求に応答して前記カプセルから送信されたデバイスＩＤを受信して、受信したデバイスＩＤと前記メモリにプリセットしてあるデバイスＩＤとを評価し、両ＩＤが同一であれば、カプセルにビデオデータを送信するよう要求し、  前記カプセルが、前記受信装置からの送信要求に応答してカメラで捕捉したビデオデータを前記受信装置に送信する  請求項２０記載のカメラシステムの駆動方法。
【請求項２３】
データ保護を行う場合、前記カプセルが前記受信装置にビデオデータおよび符号化データをキーで送信し、  前記受信装置が、受信したビデオデータおよびキーを前記メモリにプリセットされているデバイスＩＤに基づいて評価し、ビデオデータの完全性および信頼性を保護する  請求項２０記載のカメラシステムの駆動方法。
【請求項２４】
前記カプセルが、前記受信装置に暗号化されたビデオデータをキーで送信し、  前記受信装置が、ビデオデータを保護するために、受信した暗号化ビデオデータを前記メモリにプリセットされているデバイスＩＤに基づくキーで復号化する  請求項２０記載のカメラシステムの駆動方法。 
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、嚥下可能なカプセルに搭載した固体撮像装置で捕捉したビデオデータを受信系に送信するカメラシステムおよびカメラシステムの駆動方法に関するものである。
【背景技術】
【０００２】  光を検出して電荷を発生させる光電変換素子を用いた固体撮像装置（イメージセンサ）として、ＣＣＤ（Charge Coupled Device）イメージセンサやＣＭＯＳ（Complementary Metal Oxide Semiconductor）イメージセンサが実用に供されている。  ＣＣＤイメージセンサおよびＣＭＯＳイメージセンサは、デジタルカメラ、ビデオカメラ、監視カメラ、医療用内視鏡、パーソナルコンピュータ（ＰＣ）、携帯電話等の携帯端末装置(モバイル機器)等の各種電子機器の一部として広く適用されている。【０００３】  このような固体撮像装置を搭載した医療機器用カメラシステムとして、嚥下可能なカプセルに搭載した固体撮像装置で捕捉したビデオデータを受信装置に送信する生体内カメラシステムが提案されている（たとえば、特許文献１参照）。  この生体内カメラシステムでは、カプセルのサイズおよび電力消費を最小にするために、生（ｒａｗ）のビデオデータは受信装置に無線で送信され、次いで画像処理される。【０００４】  また、この種の生体内カメラシステムにおいては、カプセル側に信号受信機を備えることができる（たとえば、特許文献２参照）。  このカメラシステムでは、カプセルが受信装置（制御装置）からの制御信号を無線で受信し、カメラや照射部などを制御できるように構成される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】ＵＳＰ ５，６０４，５３１
【特許文献２】特開２０１３−６６６９４号公報
【非特許文献】
【０００６】
【非特許文献１】大倉，名倉，白畑，汐崎，久保田，石川，高柳，藤野,“CMOSイメージセンサの画素ばらつきを活用した PUF(CIS-PUF) の提案 (1) ‐基本コンセプトとシミュレーション検討‐”,2017年暗号と情報セキュリティシンポジウム(SCIS2017),3C4-4,2017.
【非特許文献２】名倉，大倉，白畑，汐崎，久保田，石川，高柳，藤野,“CMOSイメージセンサの画素ばらつきを活用した PUF(CIS-PUF) の提案 (2) ‐実データによるPUF性能評価‐”, 2017年暗号と情報セキュリティシンポジウム(SCIS2017),3C4-5,2017.
【非特許文献３】Ｄ．  Ｌｉｍ，Ｊ．  Ｗ．  Ｌｅｅ，  Ｂ．  Ｇａｓｓｅｎｄ，  Ｇ．  Ｅ．  Ｓｕｈ，  Ｍ．  ｖａｎ  Ｄｉｊｋ，  Ｓ．  Ｄｅｖａｄａｓ，  “Ｅｘｔｒａｃｔｉｎｇ  ｓｅｃｒｅｔ  ｋｅｙｓ  ｆｒｏｍ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔｓ”，  ＩＥＥＥ  Ｔｒａｎｓ．  ｏｎ  ＶＬＳＩ  Ｓｙｓｔｅｍ，ｖｏｌ  １３，ｎｏ．  １０，ｐｐ．１２００−１２０５，２００５．
【非特許文献４】Ｇ．Ｅ．  Ｓｕｈ，Ｓ．  Ｄｅｖａｄａｓ，“Ｐｈｙｓｉｃａｌ  Ｕｎｃｌｏｎａｂｌｅ  Ｆｕｎｃｔｉｏｎｓ  ｆｏｒ  Ｄｅｖｉｃｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ａｎｄ  Ｓｅｃｒｅｔ  Ｋｅｙ  Ｇｅｎｅｒａｔｉｏｎ”ＤＡＣ’０７，ｐｐ．９−１４，２００７．
【発明の概要】
【発明が解決しようとする課題】
【０００７】  ところが、上述した生体内カメラシステムにおいては、画像センサ（固体撮像装置）による生データ（ｒａｗ  ｄａｔａ）の無線送信のために、システムは傍受や偽装などの攻撃に対して脆弱である。  これにより、上述の生体内カメラシステムにおいては、個人情報のセキュリティリスクが発生する可能性がある。【０００８】  このような状況に鑑み、生体内カメラシステムにおいては、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりを防止する機能の実現が高く要望されている。【０００９】  近年、ＬＳＩのセキュリティ技術としてＰＵＦ (Physically Unclonable Function；物理複製困難関数)と呼ばれる技術が近年注目を集めている。ＰＵＦは半導体におけるばらつきを物理特徴量として抽出し、デバイス固有の出力を得る技術である。  また、半導体デバイスにおいてＰＵＦとは、製造時に発生するトランジスタのしきい値のばらつきなどにより起こる微小な性能のずれを抽出し、固有のＩＤとして出力する回路である。  このＰＵＦで発生させた固有ＩＤを用いてデバイスを認証したり，取得データに真正性を確保するためのメッセージ認証符号（ＭＡＣ）を付与したりすることで情報の改ざんを防止できる。【００１０】  以上のような状況において、ＣＭＯＳイメージセンサ(ＣＩＳ)に余分な回路を追加せず、ＣＩＳの画素ばらつきを取り出し、それを個体固有の情報として利用することでセキュリティ機能をもたせられるＣＭＯＳイメージセンサＰＵＦ(ＣＩＳ-ＰＵＦ)が提案されている。【００１１】  たとえば、非特許文献１および２には、センサのデバイス認証と画像データの改ざんを防止する対策として、ＣＭＯＳイメージセンサにおける画素ばらつき情報からＰＵＦの固有ＩＤを生成するＣＭＯＳイメージセンサＰＵＦ (ＣＩＳ-ＰＵＦ)が提案されている。【００１２】  これらのＣＩＳ-ＰＵＦではＰＵＦレスポンスを生成する際に、画素トランジスタのばらつきに相当する複数ビットのデジタル値を出力し，隣接するトランジスタのしきい値電圧の大小関係より１／０のレスポンスを得る。  大小比較する画素トランジスタの値の差が大きい場合は、ノイズや温度・電圧などの環境条件が変動しても、しきい値電圧の大小関係は反転しないため、安定なビットであることが判断できる。【００１３】  なお、ＰＵＦレスポンス生成時に、レスポンス中で、エラービットになりやすいビットを予測できる性質は、従来典型的なＰＵＦとして提案されている（非特許文献３，４参照）。【００１４】  ところで、デバイス個体固有のばらつきをセキュリティに利用するＰＵＦの応用としてチャレンジおよびレスポンス認証（Challenge & Response(ＣＲ認証)、またはデバイス認証）、データ整合性認証、データ暗号化（暗号鍵（固有鍵）生成）の利用がある。【００１５】  しかしながら、これら認証等のＣＭＯＳイメージセンサ（ＣＩＳ）の高度な情報セキュリティのための信号処理は、処理時間による画像データフレームレートの低下を招き、処理回路による装置コストの増加を招く。【００１６】  本発明は、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の���護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能なカメラシステムおよびカメラシステムの駆動方法を提供することにある。【００１７】  本発明は、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能で、しかも、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能なカメラシステムおよびカメラシステムの駆動方法を提供することにある。
【課題を解決するための手段】
【００１８】  本発明の第１の観点のカメラシステムは、カメラとしての固体撮像装置が搭載された嚥下可能なカプセルと、前記カプセルで捕捉され無線により送信されたビデオデータを受信する受信装置と、を有し、前記カプセルは、デバイスＩＤを前記受信装置に送信するデバイスＩＤ回路を含み、前記受信装置は、少なくともプリセット用に受信した前記デバイスＩＤを格納するメモリを含む。【００１９】  本発明の第２の観点は、カメラとしての固体撮像装置が搭載された嚥下可能なカプセルと、前記カプセルで捕捉され無線により送信されたビデオデータを受信する受信装置と、を有するカメラシステムの駆動方法であって、前記カプセルが所定のトリガに応答して、前記受信装置に前記デバイスＩＤを少なくとも１回送信し、前記受信装置が、受信した前記デバイスＩＤをプリセット用としてメモリに格納する。そして、たとえば前記受信装置が、認証を行う場合、前記カプセルに対して認証要求を送信し、前記カプセルが前記受信装置による認証要求に応答して、前記デバイスＩＤ回路により生成されたデバイスＩＤを送信し、前記受信装置が、当該認証要求に応答して前記カプセルから送信されたデバイスＩＤを受信して、受信したデバイスＩＤと前記メモリにプリセットしてあるデバイスＩＤとを評価し、両ＩＤが同一であれば、カプセルにビデオデータを送信するよう要求し、前記カプセルが、前記受信装置からの送信要求に応答してカメラで捕捉したビデオデータを前記受信装置に送信する。
【発明の効果】
【００２０】  本発明によれば、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能となる。  また、本発明によれば、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能となる。
【図面の簡単な説明】
【００２１】
【図１】図１は、本発明の第１の実施形態に係る生体内カメラシステムの第１の構成例を示すブロック図である。
【図２】図２は、本発明の第１の実施形態に係る生体内カメラシステムの第２の構成例を示すブロック図である。
【図３】図３は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセット尾およびデバイス認証動作を説明するための図である。
【図４】図４は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセットおよびデータの完全性と信頼性の保護動作を説明するための図である。
【図５】図５は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセットおよび暗号化動作を説明するための図である。
【図６】図６は、本発明の実施形態に係る固体撮像装置の構成例を示すブロック図である。
【図７】図７は、チャレンジおよびレスポンス認証（Challenge & Response(CR認証)）システムの概要について説明するための図である。
【図８】図８（Ａ）および図８（Ｂ）は、本実施形態におけるデバイス認証について説明するための図である。
【図９】図９（Ａ）および図９（Ｂ）は、本実施形態におけるデータ整合性認証について説明するための図である。
【図１０】図１０（Ａ）および図１０（Ｂ）は、本実施形態におけるデータ暗号化処理について説明するための第１図である。
【図１１】図１１（Ａ）〜図１１（Ｃ）は、本実施形態におけるデータ暗号化処理について説明するための第２図である。
【図１２】図１２は、本実施形態に係る画素の一例を示す回路図である。
【図１３】図１３（Ａ）〜図１３（Ｃ）は、本発明の実施形態に係る固体撮像装置の画素部の列出力の読み出し系の構成例を説明するための図である。
【図１４】図１４は、本実施形態に係る暗号化処理系であるレスポンスデータ作成の全体的な概要を示すブロック図である。
【図１５】図１５（Ａ）〜図１５（Ｅ）は、画素のばらつき情報としてソースフォロワトランジスタのしきい値のばらつき情報を採用した場合の通常動作モードとレスポンス作成モードにおける要部の動作波形等を示す図である。
【図１６】図１６は、ＣＭＯＳイメージセンサＰＵＦ(CIS-PUF)の要部を形成するばらつき情報を取得するのに好適な情報取得部を含む、本実施形態に係る画素部および列毎に配置された列読出し回路の概要を示す図である。
【図１７】図１７は、図１６のＣＩＳ−ＰＵＦの画素ばらつきを利用したＰＵＦレスポンス生成の様子を示す図である。
【図１８】図１８は、図１６および図１７に示すようなレスポンス生成方式によって得られたＰＵＦ性能としての再現性とユニーク性を示す図である。
【図１９】図１９は、ユニーク性と再現性から求めたＦＰＲとＦＮＲを示す図である。
【図２０】図２０は、本発明の第２の実施形態に係る生体内カメラシステムの構成例を示すブロック図である。
【図２１】図２１は、本発明の第３の実施形態に係る生体内カメラシステムの構成例を示すブロック図である。
【符号の説明】
【００２２】  １０，１０Ａ，１０Ｂ，１０Ｃ・・・生体内カメラシステム、２０，２０Ａ，２０Ｂ・・・カプセル、２１，２１Ａ，２１Ｂ・・・固体撮像装置、２２・・・送信機、２４・・・デバイスＩＤ回路、２６・・・電力受信機、ＣＭＲ・・・カメラ、３０・・・受信装置、３１・・・受信機、３２・・・メモリ、３３・・・送信機、３５・・・電力送信機、２２０，２２０Ａ・・・画素部、２３０・・・垂直走査回路、２４０・・・読み出し回路、２４４・・・クリップ回路、２５０・・・水平走査回路、２６０・・・タイミング制御回路、２７０・・・信号処理回路、７１０・・・ビデオＩ／Ｆ、７２０・・・多ビット化部、２８０・・・レスポンスデータ生成部（暗号化処理系）、２８１・・・情報取得部、２８２，２８２Ａ・・・鍵生成部、２８３・・・画像データ生成部、２８４・・・識別データ生成部、２８５・・・一体化部、２８６・・・メモリ、２９０・・・読み出し部、１００・・・ＣＲ認証システム、２００・・・ＣＩＳ−ＰＵＦチップ、３００・・・マイクロコンピュータ（マイコン）。
【発明を実施するための形態】
【００２３】  以下、本発明の実施形態を図面に関連付けて説明する。
【００２４】（第１の実施形態）  図１は、本発明の第１の実施形態に係る生体内カメラシステムの第１の構成例を示すブロック図である。  図２は、本発明の第１の実施形態に係る生体内カメラシステムの第２の構成例を示すブロック図である。
【００２５】  この生体内カメラシステム１０は、基本的に、嚥下可能なカプセル２０、およびカプセル２０との間で無線通信可能な受信装置３０を含んで構成されている。
【００２６】  カメラシステム１０においては、画像センサ（固体撮像装置）による生データ（ｒａｗ  ｄａｔａ）の無線送信のために、システムは傍受や偽装などの攻撃に対して脆弱であり、これにより、個人情報のセキュリティリスクが発生する可能性がある。  そこで、本実施形態の生体内カメラシステム１０においては、カプセル２０と少なくとも受信装置３０側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能となるように構成されている。
【００２７】  図１のカプセル２０は、カメラＣＭＲを構成する固体撮像装置２１および光学系（レンズ系）２２、並びに送信機（ＴＸ）２３を有している。  図２のカプセル２０Ａは、さらに、受信機（ＲＸ）２５を有している。
【００２８】  本実施形態に係る固体撮像装置２１は、たとえばＣＭＯＳイメージセンサにより形成される。
【００２９】  固体撮像装置２１は、カプセル２０，２０Ａのデバイス認証と画像データの改ざん等を防止する対策として、ＣＭＯＳイメージセンサにおける画素ばらつきからＰＵＦの固有ＩＤを生成するデバイスＩＤ回路２４の機能を備えるＣＭＯＳイメージセンサＰＵＦ(ＣＩＳ-ＰＵＦ)として形成されている。  固体撮像装置２１は、ＣＩＳ-ＰＵＦではＰＵＦのレスポンス（以下、ＰＵＦレスポンスという場合もある）を生成する際に、画素のばらつき情報および読み出し部のばらつき情報のうちの少なくともいずれか一方に関連付けて固有鍵を含むレスポンスデータを生成することが可能に構成される。
【００３０】  また、固体撮像装置２１は、後で詳述するように、通常画像を生成する通常動作モードＭＤＵとは異なるセキュリティモードでレスポンスデータの生成処理を含む情報セキュリティ信号処理が可能な信号処理回路を含んで構成される。  この信号処理回路が実施する情報セキュリティ信号処理は、少なくとも、レスポンスデータの生成処理、デバイス認証、データの完全性と信頼性の保護（データ整合性認証）、およびデータ暗号化のいずれかである。  そして、情報セキュリティ信号処理は、たとえば固体撮像装置２１の画素アドレスをチャレンジ(Challenge)とし、所定の手順で生成したレスポンスデータをレスポンス(Response)とする認証処理を含む。
【００３１】  光学系（レンズ等）２２は、ＣＭＯＳイメージセンサの画素領域に入射光を導く（被写体像を結像する）。
【００３２】  送信機２３は、デバイスＩＤ回路２４により生成されたデバイスＩＤ，カメラＣＭＲで捕捉されたビデオデータ等を受信装置３０（３０Ａ）に向けて無線で送信する。
【００３３】  カプセル２０（２０Ａ）は、所定のトリガに応答して、受信装置３０（３０Ａ）にデバイスＩＤ回路２４により生成されたデバイスＩＤを少なくとも１回送信する。デバイスＩＤの生成方法については後で詳述する。  なお、プリセット用のデバイスＩＤは、カプセル２０が飲み込まれる（嚥下される）前に事前に送信する必要がある。
【００３４】  たとえば、カプセル２０（２０Ａ）は、カメラＣＭＲに電力が供給されると、受信装置３０にデバイスＩＤ回路２４により生成されたデバイスＩＤを少なくとも１回送信する。
【００３５】  たとえば、カプセル２０（２０Ａ）は、青色系光がカメラＣＭＲに曝されると、受信装置３０にデバイスＩＤ回路２４により生成されたデバイスＩＤを少なくとも１回送信する。  この青色系光には、緑色光やシアン色光が含まれる。
【００３６】  たとえば、カプセル２０（２０Ａ）は、受信装置３０（３０Ａ）からプリセットリクエストを受信すると、受信装置３０にデバイスＩＤ回路２４により生成されたデバイスＩＤを少なくとも１回送信する。
【００３７】  なお、デバイスＩＤ回路２４は、固体撮像装置２１のヒューズ、送信装置のヒューズ、ＰＵＦ系回路、または固体撮像装置２１のＰＵＦ系回路により形成される。
【００３８】  受信装置３０は、受信機３１、およびメモリ３２を有している。  図２の受信装置３０Ａは、さらに、送信機３３を有している。
【００３９】  受信機３１は、カプセル２０の送信機２３から無線で送信される、デバイスＩＤ回路２４により生成されたデバイスＩＤ，カメラＣＭＲで捕捉されたビデオデータ等を受信する。
【００４０】  メモリ３２は、たとえば不揮発性メモリ等により形成され、受信装置３０（３０Ａ）のコントローラの制御の下、受信機３１で受信されたプリセット用のデバイスＩＤが格納される。
【００４１】  本実施形態のカメラシステム１０，１０Ａにおいては、上述したように、プリセット用のデバイスＩＤは、カプセル２０が飲み込まれる（嚥下される）前に事前に設定する必要がある。  受信装置３０（３０Ａ）は、プリセットすべきデバイスＩＤを安全なメモリ３２に格納する。
【００４２】  送信機３３は、受信装置３０（３０Ａ）のコントローラの制御の下、カプセル２０（２０Ａ）に認証要求を無線で送信する。
【００４３】  本カメラシステム１０においては、カプセル２０（２０Ａ）と少なくとも受信装置３０（３０Ａ）側の受信機３１との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止を実現するように、次のように動作する。
【００４４】（デバイス認証）  図３は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセットおよびデバイス認証動作を説明するための図である。なお、図３は、図２の第２の構成例に対応している。
【００４５】プリセット：  受信装置３０Ａは、カプセル２０Ａから送信され、受信したデバイスＩＤを安全なメモリ３２に格納する。なお、上述したように、デバイスＩＤは、カプセル２０Ａが生体内に飲み込まれる（嚥下される）前に事前に設定する必要がある。
【００４６】認証：  カプセル２０Ａが生体内にある場合、受信装置３０Ａはカプセル２０Ａに認証要求を送信する（図３のＩＤ  request(Challenge)：ＳＴ１）。  カプセル２０Ａは、受信装置３０Ａによる認証要求に応答して、デバイスＩＤ回路２４により生成されたデバイスＩＤを送信する（図３のResponse：ＳＴ２）。  受信装置３０Ａは、受信したデバイスＩＤとメモリ３２にプリセットしてあるデバイスＩＤとを評価（比較）する。受信装置３０Ａは、両ＩＤが同一であれば、カプセル２０Ａにビデオデータを送信するよう要求する（図３のokay,ＳＴ３）。  カプセル２０Ａは、受信装置３０Ａからの送信要求に応答してカメラＣＭＲで捕捉したビデオデータを受信装置３０Ａに送信する（図３のvideo、ＳＴ４）。  なお、受信装置３０は、受信したデバイスＩＤとメモリ３２にプリセットしてあるデバイスＩＤの両ＩＤが同一でなければ、カプセル２０Ａにビデオデータを送信するよう要求を出さずに警告信号を出力する。
【００４７】  このように、デバイス認証は、チャレンジおよびレスポンス認証が好ましい。また、カプセル２０Ａは、図２のように、受信機（ＲＸ）または受電装置を装備する必要がある。
【００４８】（データの完全性と信頼性の保護）  図４は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセットおよびデータの完全性と信頼性の保護動作を説明するための図である。なお、図４は、図１の第１の構成例に対応している。
【００４９】プリセット：  受信装置３０は、カプセル２０から送信され、受信したデバイスＩＤを安全なメモリ３２に格納する。なお、上述したように、デバイスＩＤは、カプセル２０が生体内に飲み込まれる（嚥下される）前に事前に設定する必要がある。
【００５０】データ保護：  カプセル２０は、デバイスＩＤに基づいてキーＫＹを生成するキー生成回路２６を備えていて、ビデオデータＶＤおよび符号化データをキーＫＹで送信する（図４のＳＴ１１）。  受信装置３０は、ビデオデータおよびキーをメモリ３２にプリセットされているデバイスＩＤに基づいて評価し、ビデオデータの完全性および信頼性を保護する（図４のＳＴ１２）。  この場合、ＭＡＣ（メッセージ認証コード）を利用することができる。
【００５１】（暗号化）  図５は、本第１の実施形態に係るカメラシステムにおけるデバイスＩＤのプリセットおよび暗号化動作を説明するための図である。なお、図５は、図１の第１の構成例に対応している。
【００５２】プリセット：  受信装置３０は、カプセル２０から送信され、受信したデバイスＩＤを安全なメモリ３２に格納する。なお、上述したように、デバイスＩＤは、カプセル２０が生体内に飲み込まれる（嚥下される）前に事前に設定する必要がある。
【００５３】暗号化：  カプセル２０は、デバイスＩＤに基づいてキーＫＹを生成するキー生成回路２６を備えていて、暗号化されたビデオデータＶＤをキーＫＹとともに送信する（図５のＳＴ２１）。  受信装置３０は、ビデオデータを保護するために、暗号化されたビデオデータをメモリ３２にプリセットしてあるデバイスＩＤに基づくキーで復号化する（図５のＳＴ２２）。  この場合、ＡＥＳ（Advanced Encryption Standard）を利用することができる。
【００５４】  以上、カプセル２０（２０Ａ）と少なくとも受信装置３０（３０Ａ）側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能となる生体内カメラシステム１０，１０Ａの基本的な構成および機能について説明した。  以下に、カプセルと少なくとも受信装置側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止の少なくともいずれかを実現することが可能で、しかも、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能で、また煩雑な手間を要することなく、認証精度を確保しながらＣＲ認証回数を増大させることが可能なカメラシステムを実現するＣＭＯＳイメージセンサＰＵＦ(ＣＩＳ-ＰＵＦ)として形成される固体撮像装置２１、認証システム等の具体的な構成について説明する。
【００５５】（固体撮像装置２１の構成例）  図６は、本発明の実施形態に係る固体撮像装置の構成例を示すブロック図である。  本実施形態において、固体撮像装置２１は、たとえばＣＭＯＳイメージセンサにより構成される。
【００５６】  この固体撮像装置２１は、図６に示すように、撮像部としての画素部２２０、垂直走査回路（行走査回路）２３０、読み出し回路（列（カラム）読み出し回路）２４０、水平走査回路（列走査回路）２５０、タイミング制御回路２６０、および信号処理回路２７０を主構成要素として有している。  これらの構成要素のうち、たとえば垂直走査回路２３０、読み出し回路２４０、水平走査回路２５０、およびタイミング制御回路２６０により画素信号の読み出し部２９０が構成される。
【００５７】  本実施形態に係る固体撮像装置２１は、前述したように、センサであるカプセル２０（２０Ａ）のデバイス認証と画像データの改ざんを防止する対策として、ＣＭＯＳイメージセンサにおける画素ばらつきからＰＵＦの固有ＩＤを生成するＣＭＯＳイメージセンサＰＵＦ(ＣＩＳ-ＰＵＦ)として形成されている。  固体撮像装置２１は、ＣＩＳ-ＰＵＦではＰＵＦのレスポンス（以下、ＰＵＦレスポンスという場合もある）を生成する際に、画素のばらつき情報および読み出し部のばらつき情報のうちの少なくともいずれか一方に関連付けて固有鍵を含むレスポンスデータを生成することが可能に構成される。
【００５８】  本実施形態に係る固体撮像装置２１は、後で詳述するように、ＰＵＦレスポンスである画素や読み出し部２９０のばらつき情報を生成する際に、一例として、画素トランジスタのばらつき情報に相当する複数ビットのデジタル値（ＬＳＢ値）を出力し、隣接するトランジスタのしきい値電圧の大小関係より１／０のレスポンスデータを取得する。  固体撮像装置２１は、大小比較する画素トランジスタのデジタル値の差が大きい場合は、ノイズや温度・電圧などの環境条件が変動しても、しきい値電圧ＶＴＨとの大小関係は反転しないため、安定なビットであることが判断できる。
【００５９】  また、本実施形態において、ＣＭＯＳイメージセンサＰＵＦ（ＣＩＳ-ＰＵＦ)は、ＣＭＯＳイメージセンサの画素ばらつきおよび読み出し部のばらつき情報のうちの少なくともいずれか一方を抽出しＰＵＦに応用したものである。  本来、画素ばらつきの多くはＣＤＳ回路によって除去されるが、ＣＩＳ-ＰＵＦは相関二重サンプリング（ＣＤＳ：Correlated Double Sampling）回路を動作させて撮影する通常の撮像モード（通常動作モード）と、ＣＤＳ回路を動作させずに撮影するセキュリティモード（ＰＵＦモードあるいはレスポンス作成モードＭＤＲ）を有している。
【００６０】  そして、本実施形態に係る固体撮像装置２１において、信号処理回路２７０は、レスポンスデータ生成部２８０を含んで構成され、通常画像を生成する通常動作モードＭＤＵとは異なるセキュリティモードでレスポンスデータの生成処理を含む情報セキュリティ信号処理が可能に構成される。  本実施形態の信号処理回路２７０は、受信装置３０側のマイクロコンピュータ（以下、マイコンという）と認証処理等にかかわる通信を行うことが可能な無線のビデオインタフェース（Ｉ／Ｆ）７１０を有している。  信号処理回路２７０は、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能となるように、情報セキュリティ信号処理を、画像信号処理のブランキング期間の信号処理または行（ライン）ごとの信号処理として実行する。
【００６１】  本実施形態において、信号処理回路２７０が実施する情報セキュリティ信号処理は、少なくとも、レスポンスデータの生成処理、デバイス認証、データ整合性認証、およびデータ暗号化のいずれかである。  そして、情報セキュリティ信号処理は、画素アドレスをチャレンジ(Challenge)とし、所定の手順で生成したレスポンスデータをレスポンス(Response)とする認証処理を含む。
【００６２】  なお、認証を行う際に確保すべき認証精度は、後で詳述するように、情報セキュリティ信号処理のユニーク性と再現性のデータより認証精度の指標として、偽物を本物と認識する確率ＦＰＲ(False Positive Rate)と本物を偽物と認識する確率ＦＮＲ(False Negative Rate)を求め、確率ＦＰＲと確率ＦＮＲにより評価（決定、選定）可能である。
【００６３】  また、ＣＩＳ-ＰＵＦは画素のアドレスをチャレンジ(Challenge)とし、所定の手順で生成した１／０データをレスポンス(Response)とするＰＵＦである。  ここで、デバイス個体固有のばらつきをセキュリティに利用するＰＵＦの応用としてのチャレンジおよびレスポンス認証（Challenge & Response(CR認証)）の概要について説明する。  その後、本実施形態の特徴の一つであるデバイス認証、データ整合性認証、およびデータ暗号化の各処理について説明する。
【００６４】（レスポンス認証システムの概要）  図７は、チャレンジおよびレスポンス認証（Challenge & Response(ＣＲ認証)）システムの概要について説明するための図である。
【００６５】  図７のＣＲ認証システム１００は、本実施形態に係る固体撮像装置２１を搭載したカプセル２０（２０Ａ）側のＣＩＳ−ＰＵＦチップ２００、および受信装置３０（３０Ａ）側のマイコン３００を含んで構成されている。  ＣＩＳ−ＰＵＦチップ２００は、図６のビデオインタフェース７１０としてのビデオインタフェース(Video I/F)２１０を有し、マイコン３００はコントロールインタフェース(Control I/F)３１０を有する。
【００６６】  ＣＩＳ−ＰＵＦを用いたＣＲ認証システム１００には、事前登録モードと認証モードがあり、認証を行う前にＣＩＳ−ＰＵＦチップ２００の情報をマイコン３００側に登録（プリセット）する必要がある。  事前登録モードでは、ＰＵＦモード側から全画素のＩＤを生成し、これをマイコン３００の安全な領域であるメモリ３２に保管する。
【００６７】  このＣＩＳ-ＰＵＦを用いたＣＲ認証システム１００において、認証モードでは、初めに認証側のマイコン３００がＣＩＳ−ＰＵＦチップ２００に対してＰＵＦモードコマンドを送信する（ステップＳＴ１０１）。  これを受けてＣＩＳ−ＰＵＦチップ２００はＰＵＦモードで撮影を行いＰＵＦモード画像を得る。  次に、マイコン３００は乱数発生器（ＲＮＧ）３０１によりどの画素を使用してＩＤを生成するかを乱数で決定し、そのアドレス指定をチャレンジ情報としてＣＩＳ−ＰＵＦチップ２００に送信する（ステップＳＴ１０２）。  ＣＩＳ−ＰＵＦチップ２００は受け取ったアドレス指定に従ってＰＵＦモード画像を切り出し、１／０データを生成する。ＣＩＳ−ＰＵＦチップ２００は、このＩＤをチャレンジに対するレスポンスとしてマイコン３００に送信する（ステップＳＴ１０３）。  マイコン３００は事前に登録しておいた１／０データから指定したアドレスのＩＤを切り出し、ＣＩＳ−ＰＵＦチップ２００から受け取ったＩＤと比較する。ＩＤが一致すれば認証成功となる（ステップＳＴ１０４）。
【００６８】  このＣＲ認証システム１００の通信処理等を踏まえて、ＣＩＳ−ＰＵＦチップ２００の一部である信号処理回路２７０およびマイコン３００における本実施形態の特徴の一つであるデバイス認証、データ整合性認証、およびデータ暗号化の各処理についてより具体的に説明する。
【００６９】（デバイス認証）  図８（Ａ）および図８（Ｂ）は、本実施形態におけるデバイス認証について説明するための図である。
【００７０】  デバイス認証において、ＣＩＳ−ＰＵＦチップ２００の一部である信号処理回路２７０は、画素読み出し中に受信装置３０側の制御装置としてのマイコン３００からの画素のアドレスＸＹのチャレンジを受信し、ＣＩＳ−ＰＵＦチップ内部のレジスタに受信したアドレスを書き込む。  次に、セキュリティモード（ＰＵＦモード）において、垂直ブランキング期間ＰＶＢ中に受信したＹアドレスに従って画素にアクセスする。  垂直ブランキング期間ＰＶＢ中に画素信号を処理して再現性およびユニーク性が改善されたデバイスＩＤを取得する。  そして、垂直ブランキング期間ＰＶＢ中または次の画素読み出し期間中に取得したデバイスＩＤをチャレンジに対するレスポンスとしてマイコン３００に送信する。  マイコン３００は、認証のためにデバイスＩＤをチェックする。  認証は、ストリーミングビデオデータの場合、１フレーム、１秒、１分、１時間、または１日のいずれかの期間で実行される。
【００７１】（データ整合性認証）  図９（Ａ）および図９（Ｂ）は、本実施形態におけるデータ整合性認証について説明するための図である。
【００７２】  データ整合性認証において、ＣＩＳ−ＰＵＦチップ２００の一部である信号処理回路２７０は、デバイスＩＤを取得するための画素アドレスを設定する。  垂直ブランキング期間ＰＶＢ中にアドレス指定された画素のばらつき情報からデバイスＩＤを取得する。  そして、行（ライン）画素信号を読み込み、メッセージ認証符号（ＭＡＣ）機能により、デバイスＩＤを固有鍵、ライン画素信号をメッセージとするデータタグを生成する。  次に、ビデオＩ／Ｆ２１０またはコントロールＩ／Ｆ３１０を介した水平ブランキング期間ＰＨＢ中またはビデオＩ／Ｆ２１０またはコントロールＩ／Ｆ３１０を介した垂直ブランキング期間ＰＶＢ中に、画素アドレス、ライン画素信号、およびデータタグを、整合性認証を行う受信装置３０の制御装置であるマイコン３００側に転送する。  受信装置３０側のマイコン３００は、画素アドレスとともに生成されたのと同じキーと、整合性検証のための画素データとを用いてＭＡＣ処理を実行する。  なお、画素アドレスはいつでも任意に変更することができる。
【００７３】（データ暗号化）  図１０（Ａ）および図１０（Ｂ）は、本実施形態におけるデータ暗号化処理について説明するための第１図である。  図１１（Ａ）〜図１１（Ｃ）は、本実施形態におけるデータ暗号化処理について説明するための第２図である。
【００７４】  データ暗号化処理において、ＣＩＳ−ＰＵＦチップ２００の一部である信号処理回路２７０は、デバイスＩＤを取得するための画素アドレスを設定する。  垂直ブランキング期間ＰＶＢ中にアドレス指定された画素のばらつき情報からデバイスＩＤを取得する。  画素部２２０から第１行（Ｌｉｎｅ１）の画素信号を読み出し、画素信号を内部のラインメモリに保存する。  画素部２２０から第２行（Ｌｉｎｅ２）の画素信号を読み出し中に、第１行（Ｌｉｎｅ１）の画素信号をデバイスＩＤである鍵で暗号化する。  画素部２２０から第３行（Ｌｉｎｅ３）の画素信号を読み出し中に、暗号化された第１行（Ｌｉｎｅ１）の画素信号および画素アドレスを、暗号解読処理を制御装置側ＩＳＰ(Image Signal Processor)としてのマイコン３００に転送する。  マイコン３００では、暗号化された第１行（Ｌｉｎｅ１）の画素値を同じ鍵で解読する。
【００７５】  なお、暗号化はライン画素の一部のみに適用でき、画素部の画素アレイ全体に対して行う必要なない。  バックグラウンド暗号化処理にはより多くの時間がかかるが、１行の読み取り期間中に行う必要はない。  通常、ＣＭＯＳイメージセンサ（ＣＩＳ）は数行のメモリを装備しており、このラインメモリの再利用によって、ラインバイライン暗号化は無視できるほどの小さな回路コストをも実現する。
【００７６】  以上のように、本実施形態において、デバイス認証、データ整合性認証、およびデータ暗号化等の情報セキュリティ信号処理を、画像信号処理のブランキング期間の信号処理または行（ライン）ごとの信号処理として実行することから、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能となる。
【００７７】  以上、認証システムの処理について説明した。  以下、固体撮像装置２１の各部の構成および機能の概要、特に、画素部２２０の構成および機能等について説明する。  その後、本実施形態の固体撮像装置２１の特徴的な構成、機能について、固有鍵の生成、並びに固有鍵を含む識別データと画像データの一体化を行ってレスポンスデータを作成する、いわゆる暗号化処理であるレスポンスデータ作成処理等を中心に説明する。
【００７８】（画素並びに画素部２２０の基本的な構成）  画素部２２０は、フォトダイオード（光電変換素子）と画素内アンプとを含む複数の画素がｎ行×ｍ列の２次元の行列状（マトリクス状）に配列されている。
【００７９】  図１２は、本実施形態に係る画素の一例を示す回路図である。
【００８０】  この画素ＰＸＬは、たとえば光電変換素子であるフォトダイオード（ＰＤ）を有する。  そして、このフォトダイオードＰＤに対して、転送トランジスタＴＧ−Ｔｒ、リセットトランジスタＲＳＴ−Ｔｒ、ソースフォロワトランジスタＳＦ−Ｔｒ、および選択トランジスタＳＥＬ−Ｔｒをそれぞれ一つずつ有する。
【００８１】  フォトダイオードＰＤは、入射光量に応じた量の信号電荷（ここでは電子）を発生し、蓄積する。  以下、信号電荷は電子であり、各トランジスタがｎ型トランジスタである場合について説明するが、信号電荷がホールであったり、各トランジスタがｐ型トランジスタであっても構わない。  また、本実施形態は、後で例示するように、複数のフォトダイオード間で、リセットトランジスタＲＳＴ−Ｔｒ、ソースフォロワトランジスタＳＦ−Ｔｒ、および選択トランジスタＳＥＬ−Ｔｒの各トランジスタを共有している場合にも有効であり、また、選択トランジスタを有していない３トランジスタ（３Ｔｒ）画素を採用している場合にも有効である。
【００８２】  転送トランジスタＴＧ−Ｔｒは、フォトダイオードＰＤとフローティングディフュージョンＦＤ（Ｆｌｏａｔｉｎｇ  Ｄｉｆｆｕｓｉｏｎ；浮遊拡散層）の間に接続され、制御信号ＴＧを通じて制御される。  転送トランジスタＴＧ−Ｔｒは、制御信号ＴＧがハイレベル（Ｈ）の期間に選択されて導通状態となり、フォトダイオードＰＤで光電変換された電子をフローティングディフュージョンＦＤに転送する。
【００８３】  リセットトランジスタＲＳＴ−Ｔｒは、電源線ＶＲｓｔとフローティングディフュージョンＦＤの間に接続され、制御信号ＲＳＴを通じて制御される。  なお、リセットトランジスタＲＳＴ−Ｔｒは、電源線ＶＤＤとフローティングディフュージョンＦＤの間に接続され、制御信号ＲＳＴを通じて制御されるように構成してもよい。  リセットトランジスタＲＳＴ−Ｔｒは、制御信号ＲＳＴがＨレベルの期間に選択されて導通状態となり、フローティングディフュージョンＦＤを電源線ＶＲｓｔ（またはＶＤＤ）の電位にリセットする。
【００８４】  ソースフォロワトランジスタＳＦ−Ｔｒと選択トランジスタＳＥＬ−Ｔｒは、電源線ＶＤＤと垂直信号線ＬＳＧＮの間に直列に接続されている。  ソースフォロワトランジスタＳＦ−ＴｒのゲートにはフローティングディフュージョンＦＤが接続され、選択トランジスタＳＥＬ−Ｔｒは制御信号ＳＥＬを通じて制御される。  選択トランジスタＳＥＬ−Ｔｒは、制御信号ＳＥＬがＨの期間に選択されて導通状態となる。これにより、ソースフォロワトランジスタＳＦ−ＴｒはフローティングディフュージョンＦＤの電位に応じた列出力アナログ信号ＶＳＬを垂直信号線ＬＳＧＮに出力する。  これらの動作は、たとえば転送トランジスタＴＧ−Ｔｒ、リセットトランジスタＲＳＴ−Ｔｒ、および選択トランジスタＳＥＬ−Ｔｒの各ゲートが行単位で接続されていることから、１行分の各画素について同時並列的に行われる。
【００８５】  画素部２２０には、画素ＰＸＬがｎ行×ｍ列配置されているので、各制御信号ＳＥＬ，ＲＳＴ，ＴＧ用の制御線はそれぞれｎ本、垂直信号線ＬＳＧＮはｍ本ある。  図６においては、各制御信号ＳＥＬ、ＲＳＴ、ＴＧを１本の行走査制御線として表している。
【００８６】  垂直走査回路２３０は、タイミング制御回路２６０の制御に応じてシャッター行および読み出し行において行走査制御線を通して画素の駆動を行う。  また、垂直走査回路２３０は、アドレス信号に従い、信号の読み出しを行うリード行と、フォトダイオードＰＤに蓄積された電荷をリセットするシャッター行の行アドレスの行選択信号を出力する。
【００８７】  読み出し回路２４０は、画素部２２０の各列出力に対応して配置された複数の列（カラム）信号処理回路（図示せず）を含み、複数の列信号処理回路で列並列処理が可能に構成されてもよい。
【００８８】  読み出し回路２４０は、相関二重サンプリング（ＣＤＳ：Correlated Double Sampling）回路やＡＤＣ（アナログデジタルコンバータ；ＡＤ変換器）、アンプ（ＡＭＰ，増幅器）、サンプルホールド（Ｓ／Ｈ）回路等を含んで構成可能である。
【００８９】  このように、読み出し回路２４０は、たとえば図１３（Ａ）に示すように、画素部２２０の各列出力アナログ信号ＶＳＬをデジタル信号に変換するＡＤＣ２４１を含んで構成されてもよい。  あるいは、読み出し回路２４０は、たとえば図１３（Ｂ）に示すように、画素部２２０の各列出力アナログ信号ＶＳＬを増幅するアンプ（ＡＭＰ）２４２が配置されてもよい。  また、読み出し回路２４０は、たとえば図１３（Ｃ）に示すように、画素部２２０の各列出力アナログ信号ＶＳＬをサンプル、ホールドするサンプルホールド（Ｓ／Ｈ）回路２４３が配置されてもよい。  また、読み出し回路２４０は、画素部２２０の各列から出力される画素信号に対して所定の処理が施された信号を記憶するカラムメモリとしてのＳＲＡＭが配置されてもよい。
【００９０】  水平走査回路２５０は、読み出し回路２４０のＡＤＣ等の複数の列信号処理回路で処理された信号を走査して水平方向に転送し、信号処理回路２７０に出力する。
【００９１】  タイミング制御回路２６０は、画素部２２０、垂直走査回路２３０、読み出し回路２４０、水平走査回路２５０等の信号処理に必要なタイミング信号を生成する。
【００９２】  信号処理回路２７０は、通常読み出しモードＭＤＵのときには、読み出し回路２４０により読み出され所定の処理が施された読み出し信号に対する所定の信号処理により２次元画像データを生成する。
【００９３】  上述したように、固体撮像装置（ＣＭＯＳイメージセンサ）では、わずかな光で光電変換により発生した電子を、微小容量で電圧に変換し、さらに微小面積のソースフォロワトランジスタＳＦ−Ｔｒを用いて、出力している。そのため、容量をリセットする際に発生するノイズやトランジスタの素子ばらつきなどの微小なノイズを除去する必要があり、画素毎のリセットレベル（ＶＲＳＴ）と輝度レベル（信号レベル：ＶＳＩＧ）の差分を出力している。  このように、ＣＭＯＳイメージセンサでは、画素毎のリセットレベルと輝度レベルの差分を出力することで、リセットノイズと閾値ばらつきを除去し、数電子の信号を検出することができる。この差分を検出する動作は、ＣＤＳ（相関二重サンプリング）と呼ばれ、広く用いられている技術であり、アレイ状に配置された全て画素に対して、ＣＤＳ読出しを順次行い、１フレーム分の通常の２次元画像データを出力する。
【００９４】  本実施形態の固体撮像装置２１では、この通常の２次元画像データを生成するための動作は、通常動作モードＭＤＵで動作可能に構成されている。
【００９５】  ただし、本実施形態における信号処理回路２７０においては、画像の無断使用や改ざん、ねつ造等が行われてしまうことを防止するために、固体撮像装置２１の固有のばらつき情報（画素、読み出し回路のばらつき情報）から固有鍵を生成し、固有鍵と固体撮像装置２１から得られる取得データを組み合わせて識別データを生成し、この識別データを画像データに一体化してレスポンスデータＲＰＤとして出力し、固有鍵に関する情報を認識していない場合には識別データを正しく作成できないように構成されている。
【００９６】  本実施形態の固体撮像装置２１では、この固有鍵の生成に関する動作は、レスポンス作成モードＭＤＲ（ＰＵＦモード、セキュリティモード）で動作可能に構成されている。
【００９７】  本実施形態のレスポンス作成モードＭＤＲにおいては、周辺輝度に依存しない、チップ毎に固有な画素ばらつきパターン（ばらつき情報）を固有ＩＤとして出力する。  このように、本実施形態のレスポンス作成モードＭＤＲにおいては、画素毎のばらつきパターンのみを出力する。輝度レベルを出力しないため、イメージセンサの露光条件に依存しないパターン画像を出力することができる。また、各画素の出力には、ＦＰＮとフレーム毎にランダムに変動する熱雑音が含まれるが、レスポンス作成モードＭＤＲにおけるＦＰＮは熱雑音に対して１０倍以上大きいため、安定した固定ばらつきパターンをレスポンスデータＲＰＤとして出力することができる。
【００９８】  本実施形態のレスポンス作成モードＭＤＲにおいては、固有鍵の生成に際し、画素のばらつき情報および読み出し部のばらつき情報の少なくともいずれかに関連付けて固有鍵を含むレスポンスデータを生成する。
【００９９】  以上、固体撮像装置２１の各部の構成および機能の概要、特に、画素部２２０の基本的な構成および機能等について説明した。  以下、本実施形態の固体撮像装置２１の特徴的な構成、機能について、固有鍵の生成、並びに固有鍵を含む識別データと画像データの一体化を行ってレスポンスデータを作成する、いわゆる暗号化処理であるレスポンスデータ作成処理を中心に説明する。
【０１００】  図１４は、本実施形態に係る暗号化処理系であるレスポンスデータ作成の全体的な概要を示すブロック図である。
【０１０１】  図１４の暗号化処理系であるレスポンスデータ作成部２８０は、情報取得部２８１、鍵生成部２８２、画像データ生成部２８３、識別データ生成部２８４、一体化部２８５、およびメモリ２８６を主構成要素として有している。  なお、図１４の例では情報取得部２８１と鍵生成部２８２が別の機能ブロックとして構成されているが、情報取得部２８１と鍵生成部２８２を一つの機能ブロックとして構成することも可能である。
【０１０２】  情報取得部２８１は、画素ＰＸＬのばらつき情報ＰＦＬＣおよび読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣの少なくともいずれかを取得し、取得したばらつき情報を鍵生成部２８２に供給する。
【０１０３】  ここで、一例として画素ＰＸＬのばらつき情報ＰＦＬＣについての概略を説明する。
【０１０４】（ソースフォロワトランジスタＳＦのしきい値）  情報取得部２８１は、画素のばらつき情報としてソースフォロワトランジスタＳＦのしきい値ＶＴＨのばらつき情報を採用することができる。
【０１０５】  図１５（Ａ）〜図１５（Ｅ）は、画素のばらつき情報としてソースフォロワトランジスタＳＦのしきい値ＶＴＨのばらつき情報を採用した場合の通常動作モードとレスポンス作成モードにおける要部の動作波形等を示す図である。  図１５（Ａ）が画素ＰＸＬの読み出し系の回路図を、図１５（Ｂ）が通常動作モードＭＤＵ時の動作波形を、図１５（Ｃ）がレスポンス作成モードＭＤＲの動作波形を、図１５（Ｄ）がばらつき情報を二値化した鍵パターンイメージを示し、図１５（Ｅ）が出力信号と画素数としきい値ＶＴＨとの関係を示している。  図１５（Ａ）の画素ＰＸＬの読み出し系においては、垂直信号線ＬＳＧＮにＣＤＳ回路２４４がスイッチＳＷ０の一端子を介して接続されている。スイッチＳＷ０の他端子は基準電圧Ｖｒｅｆの供給ラインに接続されている。
【０１０６】  通常動作モードＭＤＵにおいては、図１５（Ｂ）に示すように、差分信号を画素の出力信号として用いることで、各画素ＰＸＬが備えるソースフォロワトランジスタＳＦのしきい値のばらつきを除去している。
【０１０７】  レスポンス作成モードＭＤＲにおいては、図１５（Ｃ）に示すように、時刻ｔ１に後段回路は基準電圧レベル（Ｖｒｅｆ)、時刻ｔ２に後段回路は画素のリセット電圧レベルを取り込む。  これらの信号の差分を読み出すことで、各画素ＰＸＬのリセット電圧のばらつきを取り出すことができる。  本例では、このばらつき分布を鍵として用いる。  上記ばらつきは１００ｍＶ程度なので、アンプ等で増幅しても良い。
【０１０８】  鍵生成部２８２（図１４）は、情報取得部２８１により取得され供給される画素のばらつき情報および読み出し回路２４０のばらつき情報の少なくともいずれかを用いて固有鍵を生成する。  鍵生成部２８２は、生成した固有鍵ＫＹを識別データ生成部２８４に供給する。  鍵生成部２８２は、たとえば画素部２２０の有効画素の読み出し時以外の期間（たとえばブランキング期間）に固有鍵ＫＹの生成を行う。
【０１０９】  図１４の画像データ生成部２８３は、通常読み出しモードで読み出し回路２４０を通して読み出され所定の処理が施された読み出し信号に対する所定の信号処理により、画像データＩＭＧを生成する。  画像データ生成部２８３は、生成した画像データＩＭＧを一体化部２８５に供給する。
【０１１０】  画像データ生成部２８３は、固体撮像装置２１から取得した取得データＡＱＤを識別データ生成部２８４に供給する。  ここで、取得データＡＱＤは、画像データの全体または一部である。
【０１１１】  識別データ生成部２８４は、鍵生成部２８２で生成された固有鍵ＫＹと、本固体撮像装置２１で取得した取得データＡＱＤを組み合わせて識別データＤＳＣＤを生成する。  識別データ生成部２８４は、生成した識別データＤＳＣＤを一体化部２８５に供給する。
【０１１２】  前述したように、本実施形態に係る固体撮像装置２１は、センサのデバイス認証と画像データの改ざんを防止する対策として、ＣＭＯＳイメージセンサにおける画素ばらつきからＰＵＦの固有ＩＤを生成するＣＭＯＳイメージセンサＰＵＦ(ＣＩＳ-ＰＵＦ)として形成されている。  次に、ＰＵＦのレスポンス（以下、ＰＵＦレスポンスという場合もある）を生成する際に、画素のばらつき情報および読み出し部のばらつき情報のうちの少なくともいずれか一方に関連付けて固有鍵を含むレスポンスデータを生成することが可能なＣＩＳ−ＰＵＦの好適な構成例について説明する。  その後、本実施形態の固体撮像装置２１の特徴的な構成、機能について、固有鍵の生成、並びに固有鍵を含む識別データと画像データの一体化を行ってレスポンスデータを作成する、いわゆる暗号化処理であるレスポンスデータ作成処理等を中心に説明する。
【０１１３】  図１６は、ＣＭＯＳイメージセンサＰＵＦ (CIS-PUF)の要部を形成するばらつき情報を取得するのに好適な情報取得部を含む、本実施形態に係る画素部および列毎に配置された列読出し回路の概要を示す図である。
【０１１４】  図１６の画素部２２０Ａおよび列（カラム）読出し回路２４０は、ばらつき信号の再現性を高め、ばらつきパターンのユニーク性を改善するために、垂直（図では上下）の２画素間で大小判定（引き算等）して２値化を行うことが可能となるように構成されている。
【０１１５】  図１６の画素部２２０Ａは、一つのフローティングディフュージョンＦＤ、一つのソースフォロワ素子としてのソースフォロワトランジスタＳＦ−Ｔｒ、一つのリセット素子としてのリセットトランジスタＲＳＴ−Ｔｒ、および一つの選択素子としての選択トランジスタＳＥＬ−Ｔｒを、複数（本例では２）の光電変換素子であるフォトダイオードＰＤ１、ＰＤ２および転送素子としての転送トランジスタＴＧ−Ｔｒ１，ＴＧ−Ｔｒ２で共有する画素共有構造を有する。
【０１１６】  すなわち、図１６のＣＭＯＳイメージセンサの画素ＰＸＬＡは、フォトダイオードＰＤ１およびＰＤ２、転送クロックである制御信号ＴＧ１およびＴＧ２で駆動する転送トランジスタＴＧ−Ｔｒ１，ＴＧ−Ｔｒ２、リセットクロックである制御信号ＲＳＴで駆動するリセットトランジスタＲＳＴ−Ｔｒ、ソースフォロワ（ＳＦ）トランジスタＳＦ−Ｔｒ、選択クロックである制御信号ＳＥＬで駆動する選択トランジスタＳＥＬ−Ｔｒにより構成されている。  ここで、２個のフォトダイオードＰＤ１，ＰＤ２がリセットトランジスタＲＳＴ−Ｔｒ、ソースフォロワ（ＳＦ）トランジスタＳＦ−Ｔｒ、選択トランジスタＳＥＬ−Ｔｒを共有している。  これは、近年の微細な画素に対して広く用いられる方式であり、各トランジスタをＰＤ間で共有することにより、ＰＤの面積を所定の素サイズに対して大きくとり、光電変換可能な領域を広げることで、入射光に対する検出感度を高めている。
【０１１７】  選択トランジスタＳＥＬ−Ｔｒがオンした画素では、電源電圧Ｖｄｄの電源線ＶＤＤ、ソースフォロワ（ＳＦ）トランジスタＳＦ−Ｔｒ、電流源Ｉｄが直列となり、ソースフォロワ回路を構成する。  このソースフォロワ回路により、フローティングディフュージョンＦＤの電圧が読み出し回路２４０のＡＭＰ２４２を介してＡＤＣ２４１に入力されて、デジタル変換され、図示しないインターフェス回路に出力される。  また、クリップ回路２４５が画素アレイ端に配置され、クリップクロックである制御信号ＣＬＩＰによって駆動するクリップゲートＣＧおよびダイオード接続トランジスタＭ０は、画素アレイ端に配置され、画素出力電圧振幅を制限することで、安定的に動作させるために用いられる。
【０１１８】（図１６のＣＩＳ−ＰＵＦの概要）  ここで、図１６のＣＩＳ−ＰＵＦの概要について説明する。  ＣＩＳ−ＰＵＦは、ＣＭＯＳイメージセンサの画素毎の特性ばらつきを利用してデバイスごとに固有のＰＵＦレスポンス（画素のばらつき情報）を生成する。前述したように、特性ばらつきには固定した位置に生じる固定パターンノイズ(FPN：Fixed Pattern Noise)や画素等の位置に関係なくランダムに生じるランダムノイズがある。  ＣＭＯＳイメージセンサは、通常動作モードＭＤＵにおいては、これら特性ばらつきを除去するために，画素毎にリセット電位（ＶＲＳＴ）と信号電位（ＶＳＩＧ）の差分を取るＣＤＳ（相関二重サンプリング：Correlated Double Sampling)を行っている。
【０１１９】  一方でＣＩＳ−ＰＵＦは、ＰＵＦレスポンスを生成する目的でばらつき情報を得るために、ＣＤＳを動作させない信号読み出しモードであるレスポンス作成モード（ＰＵＦモード）ＭＤＲを持つ。このＰＵＦモードにより画素ばらつきが支配的となる出力を得ることができる。
【０１２０】  図１６のＣＩＳ−ＰＵＦとしての固体撮像装置（ＣＭＯＳイメージセンサ）２１Ａは、画素数1,920×1,080(フルHD)のアレイ構造を有している。  この固体撮像装置（ＣＭＯＳイメージセンサ）２１Ａは、垂直方向（図では上下）に隣接した２画素でソースフォロワトランジスタＳＦ−Ｔｒを共有しており、ソースフォロワトランジスタＳＦ−Ｔｒの数は1,920×540である。
【０１２１】  ＰＵＦモードでは、列毎に存在するクリップ回路２４５から得られる電位を基準電位とし、各画素のリセット電位と差分を取ることで、画素毎のばらつきを抽出している。  ＰＵＦモードでは、最初に列ごとに配置されているクリップ回路２４４を選択する。このとき、ダイオード接続されたトランジスタＭ０のゲート電圧はＶＤＤであり、アンプ２４２を介して電源電圧からオフセット電圧分シフトした電圧がＡＤＣ２４１に保持される。次に、対象の画素を選択し、リセットトランジスタＲＳＴ−Ｔｒと転送トランジスタＴＧ−Ｔｒを同時にオンすることでフォトダイオードＰＤに蓄積された電荷を排出する。このとき、微小容量であるフローティングディフュージョンＦＤの電位はＶＤＤとなり、同様に電源電圧からオフセット電圧分降下した電圧がＡＤＣ２４１に保持される。  ＡＤＣ４１ではこれらの電圧の差分を取ることで、画素のソースフォロワトランジスタＳＦ−Ｔｒとクリップ回路２４４のトランジスタＣＧのオフセットばらつきは、再現性の高い固定パターンノイズであり、これを利用してＩＤを生成する。
【０１２２】（図１６のＣＩＳ−ＰＵＦにおけるＰＵＦレスポンスの生成）  次に、図１６のＣＩＳ−ＰＵＦにおけるＰＵＦレスポンスの生成の概要について説明する。  図１７は、図１６のＣＩＳ−ＰＵＦの画素ばらつきを利用したＰＵＦレスポンス生成の様子を示す図である。
【０１２３】  ＣＩＳ−ＰＵＦの画素ばらつきを利用したＰＵＦレスポンス生成は、垂直方向（上下）に隣接した２つのソースフォロワトランジスタＳＦ−Ｔｒの出力値(ＬＳＢ値)を大小比較し、１／０データを生成する。  図１７の例では、上下の出力値を大小比較し、上側の出力値が下側の出力値より大きい場合（上＞下）「１」、上側の出力値が下側の出力値より小さい場合（上＜下）「０」とする。
【０１２４】  この例では、上述したように、ソースフォロワトランジスタＳＦ−Ｔｒが上下２画素で共有されている。そのため、まず上下に隣接した出力の平均を取ることで１つのソースフォロワトランジスタＳＦ−Ｔｒにつき１つの出力値をとり、540×1,920の出力のマップを得る。  さらに上下に隣接した出力を大小比較し270×1,920の１/０データを生成する。  このように、ＣＩＳ−ＰＵＦは画素のアドレスをチャレンジとし、上記手順で生成した１／０データをレスポンスとするＰＵＦである。
【０１２５】（ユニーク性と再現性の評価）  次に、ユニーク性と再現性の評価結果について述べる。  図１８は、図１６および図１７に示すようなレスポンス生成方式によって得られたＰＵＦ性能としての再現性とユニーク性を示す図である。
【０１２６】  ＣＩＳ−ＰＵＦの性能評価としてユニーク性と再現性の評価を行った。  ユニーク性は、２つのチップのＩＤを比較したときどれだけ異なっているかを示す指標である。ユニーク性は各チップで１００枚分の画像を平均化した画像から128ビット長のＩＤを3,840ブロック作り、異なる２つのチップで生成したＩＤ間のＨＤ（ハミングでスタンス）を算出し平均値を求めることで得られる。  ＩＤ長をＬとしたとき、ユニーク性のＨＤの分布の平均はＬ／２、標準偏差は√L/2が理想値である。
【０１２７】  再現性は，あるチップが生成するＩＤがどの程度の安定性をもつのかを示す指標であり、各チップで１００枚分の画像を平均化した画像から128ビット長のＩＤを3,840ブロック作り、これを基準として、基準ＩＤと１００枚それぞれの画像から作ったＩＤとのＨＤを算出し平均値を求めることで得られる。  ＰＵＦの出力を認証に使う場合、ＩＤが安定して出力されることが求められる。そのため再現性のＨＤは０付近に多く分布していることが理想である。
【０１２８】  図１８は、用意した５つのチップについて、ID長を128ビットとして評価を行ったときのユニーク性と再現性の分布を示している。  ユニーク性のＨＤは平均値μ=63.9，標準偏差σ=5.66であり、ほぼ理想値(μ=64，σ=5.66)となっている。再現性のＨＤは平均値μ=1.49，標準偏差σ=1.21であり、ＣＩＳ−ＰＵＦで生成したＩＤが高い再現性を持つことを示している。
【０１２９】（ＦＰＲとＦＮＲによる認証評価）  次に、ＦＰＲとＦＮＲによる認証評価した結果について述べる。
【０１３０】  前述したように、ＰＵＦを用いたＣＲ認証では、あらかじめマイコン３００側に登録しておいたＩＤとＰＵＦが生成したＩＤが一致しているかを検証することで認証を行う。  しかし、上述の再現性の評価結果からわかるように、ＰＵＦは完全に同じＩＤを毎回出力するわけではなく、いくらかのビット反転が起こる。そのため、認証の際はある程度の誤りを許容する必要がある。
【０１３１】  ここでは、ＣＩＳ−ＰＵＦを利用したＣＲ認証はどの程度の認証精度を実現できるのか、また何ビットまでの誤りを許容するよう設定すれば良いのかを評価するため、ユニーク性と再現性からFalse Positive Rate（FPR）とFalse Negative Rate（FNR）という２つの指標を導出し評価を行った。  ＦＰＲは偽物を本物と認識する確率を表し、ＦＮＲは本物を偽物と認識する確率を表す。認証に用いるＩＤ長をＬ，ユニーク性のＨＤがＭビットとなる確率をＰｕ (M)、再現性のＨＤがＭビットとなる確率をＰｓ (M)とすると、誤り許容ビット(しきい値)をＴと設定したときのＦＮＲとＦＰＲは式(1), 式(2)で導出できる。
【０１３２】
【数１】
2020100704.tif 000003
【０１３３】
【数２】
2020100704.tif 000004
【０１３４】  図１９は、ユニーク性と再現性からもとめたＦＰＲとＦＮＲを示す図である。  図１９において、横軸はしきい値、縦軸はそのときのＦＰＲ，ＦＮＲの値を表している。
【０１３５】  認証を行う際に確保すべき認証精度は、生体認証の認証精度を参考に決定した．現在運用されている生体認証システムでは認証精度が0.1ppm以下とされている。生体認証が対象とするのは人間であり、その総数は７５億程度である。これに対して、ＣＩＳ−ＰＵＦを用いたＣＲ認証が対象とするものはセンサであり、その総数は多く見積もって１兆程度と考えられる。  よって対象物の数の違いを考慮し、ＦＰＲとＦＮＲが共に0.001ppm以下を基準とした。たとえば、誤りを許容するビット数を9-29bitの間に設定すると誤り率を0.001ppm以下にできる。
【０１３６】  以上説明したように、カメラシステム１０，１０Ａは、カメラＣＭＲとしての固体撮像装置２１が搭載された嚥下可能なカプセル２０，２０Ａと、カプセル２０，２０Ａで捕捉され無線により送信されたビデオデータを受信する受信装置３０，３０Ａと、を有し、カプセル２０，２０Ａは、デバイスＩＤを受信装置３０，３０Ａに送信するデバイスＩＤ回路２４を含み、受信装置３０，３０Ａは、少なくともプリセット用に受信したデバイスＩＤを格納するメモリ３２を含む。たとえば、カプセル２０，２０Ａは、嚥下される前に、カメラＣＭＲに電力が供給されると、受信装置３０，３０ＡにデバイスＩＤを少なくとも１回送信する。また、たとえば、カプセル２０，２０Ａ系光がカメラＣＭＲに曝されると、受信装置３０，３０ＡにデバイスＩＤ回路２４により生成されたデバイスＩＤを少なくとも１回送信する。  受信装置３０，３０Ａは、カプセル２０，２０Ａから送信され、受信したデバイスＩＤを安全なメモリ３２に格納する。なお、上述したように、デバイスＩＤは、カプセル２０，２０Ａが生体内に飲み込まれる（嚥下される）前に事前に設定する必要がある。
【０１３７】  たとえば、カプセル２０が生体内にある場合、受信装置３０はカプセル２０に認証要求を送信する（図３のＩＤ request(Challenge)）。  カプセル２０は、受信装置３０による認証要求に応答して、デバイスＩＤ回路２４により生成されたデバイスＩＤを送信する（図３のResponseＦ２）。  受信装置３０は、受信したデバイスＩＤとメモリ３２にプリセットしてあるデバイスＩＤとを評価（比較）する。受信装置３０は、両ＩＤが同一であれば、カプセル２０にビデオデータを送信するよう要求する。  カプセル２０は、受信装置３０からの送信要求に応答してカメラＣＭＲで捕捉したビデオデータを受信装置３０に送信する。
【０１３８】  また、カプセル２０は、デバイスＩＤに基づいてキーＫＹを生成するキー生成回路２６を備えていて、ビデオデータＶＤおよび符号化データをキーＫＹで送信する。  受信装置３０は、ビデオデータおよびキーをメモリ３２にプリセットされているデバイスＩＤに基づいて評価し、ビデオデータの完全性および信頼性を保護する。  また、カプセル２０は、デバイスＩＤに基づいてキーＫＹを生成するキー生成回路２６を備えていて、暗号化されたビデオデータＶＤをキーＫＹで送信する。  受信装置３０は、ビデオデータを保護するために、暗号化されたビデオデータを、メモリ３２にプリセットしたデバイスＩＤに基づくキーで復号化する。
【０１３９】  このように、本第１の実施形態によれば、生体内カメラシステム１０，１０Ａにおいて、カプセル２０と受信装置３０側の受信機との間で、デバイス認証の実装、データの完全性と信頼性の保護、データ暗号化、誤ったデータのやりとりの防止を実現することが可能となる。
【０１４０】  また、本第１の実施形態によれば、レスポンスデータの生成処理、少なくとも、デバイス認証、データ整合性認証、およびデータ暗号化のいずれかであって、画素アドレスをチャレンジ(Challenge)とし、所定の手順で生成したレスポンスデータをレスポンス(Response)とする認証処理を含む情報セキュリティ信号処理を、画像信号処理のブランキング期間の信号処理または行（ライン）ごとの信号処理として実行する。  これにより、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能となる。
【０１４１】  このように、本第１の実施形態によれば、情報セキュリティのための信号処理の処理時間による画像データフレームレートの低下を防止でき、処理回路による装置コストの増加を防止することが可能で、また煩雑な手間を要することなく、認証精度を確保しながらＣＲ認証回数を増大させることが可能となり、秘匿性の高い固有のレスポンスデータを生成することが可能で、ひいては画像の改ざん、ねつ造を確実に防止することが可能となる。
【０１４２】  なお、上記の鍵生成部２８２は、画素または読み出し回路２４０のばらつき情報に基づいて固有鍵を生成する例について説明したが、異なるばらつき情報により生成した固有鍵同士の演算を行って最終的な固有鍵を得るように構成することも可能である。  たとえば、次のように構成することも可能である。
【０１４３】  すなわち、鍵生成部２８２は、たとえば、読み出し回路２４０のＡＤＣ２４１、アンプ（ＡＭＰ）２４２、またはＳ／Ｈ回路２４３のばらつき情報を用いて第１固有鍵を生成する第１機能と、読み出し回路２４０のカラムメモリ２４５のＳＲＡＭの出力を用いて第２固有鍵を生成する第２機能と、を含み、第１機能により生成された第１固有鍵と、第２機能により生成された第２固有鍵とを演算することにより最終的な固有鍵を生成するように構成することも可能である。
【０１４４】  この構成は、画素のばらつき情報に関しても同様に適用可能である。
【０１４５】  なお、一体化部２８５は、一体化する鍵情報を用いて階層的に画像部分にマスクをする機能を含むように構成してもよい。  また、一体化部２８５は、一体化する鍵情報を用いて画像に電子透かしを入れる機能を含むように構成してもよい。
【０１４６】  なお、本実施形態において、固体撮像装置２１の各構成要素が同一パッケージ内に搭載されている構成を採用可能である。
【０１４７】  また、イメージセンサと信号処理回路とを備えたＳｏＣ(System on Chip)において、鍵および識別データを生成する信号処理をチップ内部にて完結し、チップ外部に固有鍵データを出力することなく、識別データを生成可能な構成を採用可能である。
【０１４８】  また、本実施形態の固体撮像装置２１は、前述したように、通常の読出し駆動タイミングとは別に、リーク電流などを長時間蓄積するための駆動タイミングを備えるように構成可能である。また、アナログアンプ、デジタルアンプ、または、ＡＤＣのフルスケール電圧を縮小し、リーク電圧の蓄積電圧を強調して出力しても良い。また、複数行あるいは複数フレームのデータを平均化、または加算することで、ランダムノイズ成分を低減しても良い。
【０１４９】  また、読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣについて、情報取得部２８１は、読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣとして、ＡＤＣのばらつき情報を採用することができる。  また、情報取得部２８１は、読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣとして、アンプ（ＡＭＰ、増幅器）のばらつき情報を採用することができる。  また、情報取得部２８１は、読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣとして、Ｓ／Ｈ回路のばらつき情報を採用することができる。  また、情報取得部２８１は、読み出し回路２４０の構成回路のばらつき情報ＣＦＬＣとして、カラムメモリのＳＲＡＭの出力（ばらつき）情報を採用することができる。
【０１５０】（第２の実施形態）  図２０は、本発明の第２の実施形態に係る生体内カメラシステムの構成例を示すブロック図である。
【０１５１】  本第２の実施形態に係る生体内カメラシステム１０Ｂが、第１の実施形態の生体内カメラシステム１０，１０Ａと異なる点は、以下の通りである。  本生体内カメラシステム１０Ｂは、電力線通信を用いており、カプセル２０Ｂに電力受信機２６が設けられ、受信装置３０Ｂ側に電力送信機３５が設けられている。
【０１５２】  カプセル２０Ｂは、電力線通信を使用して受信装置３０Ｂ側の電力送信機３５から予め設定した要求を受信すると、受信装置３０ＢにデバイスＩＤを少なくとも１回送信する。
【０１５３】  本第２の実施形態によれば、上述した第１の実施形態の効果と同様の効果を得ることができる。
【０１５４】（第３の実施形態）  図２１は、本発明の第３の実施形態に係る生体内カメラシステムの構成例を示すブロック図である。
【０１５５】  本第３の実施形態に係る生体内カメラシステム１０Ｃが、第１および第２の実施形態の生体内カメラシステム１０，１０Ａ，１０Ｂと異なる点は、以下の通りである。  本第３の実施形態のカメラシステム１０Ｃにおいては、カプセルデータＣＰＤＴは、ビデオデータＶＤのヘッダＨＤに埋め込まれて、誤ったデータのやりとりを防止することができるように構成されている。 
【図１】
2020100704.tif 000005
【図２】
2020100704.tif 000006
【図３】
2020100704.tif 000007
【図４】
2020100704.tif 000008
【図５】
2020100704.tif 000009
【図６】
2020100704.tif 000010
【図７】
2020100704.tif 000011
【図８】
2020100704.tif 000012
【図９】
2020100704.tif 000013
【図１０】
2020100704.tif 000014
【図１１】
2020100704.tif 000015
【図１２】
2020100704.tif 000016
【図１３】
2020100704.tif 000017
【図１４】
2020100704.tif 000018
【図１５】
2020100704.tif 000019
【図１６】
2020100704.tif 000020
【図１７】
2020100704.tif 000021
【図１８】
2020100704.tif 000022
【図１９】
2020100704.tif 000023
【図２０】
2020100704.tif 000024
【図２１】
2020100704.tif 000025
【国際調査報告】
2020100704.tif 000026
2020100704.tif 000027
2020100704.tif 000028
2020100704.tif 000029
2020100704.tif 000030
2020100704.tif 000031