JP2004505555A - センサ記録装置と情報取得装置に固有の認証装置と方法 - Google Patents
センサ記録装置と情報取得装置に固有の認証装置と方法 Download PDFInfo
- Publication number
- JP2004505555A JP2004505555A JP2002515820A JP2002515820A JP2004505555A JP 2004505555 A JP2004505555 A JP 2004505555A JP 2002515820 A JP2002515820 A JP 2002515820A JP 2002515820 A JP2002515820 A JP 2002515820A JP 2004505555 A JP2004505555 A JP 2004505555A
- Authority
- JP
- Japan
- Prior art keywords
- damaged
- image
- crc
- row
- signature
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 45
- 238000005070 sampling Methods 0.000 claims abstract 3
- 238000012360 testing method Methods 0.000 description 45
- 230000008569 process Effects 0.000 description 19
- 238000012986 modification Methods 0.000 description 9
- 230000004048 modification Effects 0.000 description 9
- 238000012545 processing Methods 0.000 description 9
- 230000006870 function Effects 0.000 description 8
- 238000001514 detection method Methods 0.000 description 7
- 230000003044 adaptive effect Effects 0.000 description 5
- 238000012937 correction Methods 0.000 description 5
- 230000002950 deficient Effects 0.000 description 5
- 238000010586 diagram Methods 0.000 description 5
- 238000011084 recovery Methods 0.000 description 5
- 230000009471 action Effects 0.000 description 4
- 230000008859 change Effects 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 238000002360 preparation method Methods 0.000 description 4
- 238000004092 self-diagnosis Methods 0.000 description 4
- 238000003860 storage Methods 0.000 description 4
- 238000012795 verification Methods 0.000 description 4
- 230000004913 activation Effects 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 3
- 238000003908 quality control method Methods 0.000 description 3
- 102100037651 AP-2 complex subunit sigma Human genes 0.000 description 2
- 206010009944 Colon cancer Diseases 0.000 description 2
- 101710195119 Inner capsid protein sigma-2 Proteins 0.000 description 2
- 230000004075 alteration Effects 0.000 description 2
- 238000004140 cleaning Methods 0.000 description 2
- 230000006835 compression Effects 0.000 description 2
- 238000007906 compression Methods 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 238000004519 manufacturing process Methods 0.000 description 2
- 239000000463 material Substances 0.000 description 2
- 239000011159 matrix material Substances 0.000 description 2
- 230000008439 repair process Effects 0.000 description 2
- 239000011435 rock Substances 0.000 description 2
- 230000000007 visual effect Effects 0.000 description 2
- 238000009825 accumulation Methods 0.000 description 1
- 235000013334 alcoholic beverage Nutrition 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 238000013481 data capture Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 239000003550 marker Substances 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000003909 pattern recognition Methods 0.000 description 1
- 230000001172 regenerating effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- QGMRQYFBGABWDR-UHFFFAOYSA-N sodium;5-ethyl-5-pentan-2-yl-1,3-diazinane-2,4,6-trione Chemical compound [Na+].CCCC(C)C1(CC)C(=O)NC(=O)NC1=O QGMRQYFBGABWDR-UHFFFAOYSA-N 0.000 description 1
- 239000000126 substance Substances 0.000 description 1
- 238000010971 suitability test Methods 0.000 description 1
- 230000001502 supplementing effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N1/00—Scanning, transmission or reproduction of documents or the like, e.g. facsimile transmission; Details thereof
- H04N1/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N1/32101—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N1/32128—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title attached to the image data, e.g. file header, transmitted message header, information on the same page or in the same computer file as the image
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2101/00—Still video cameras
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/0077—Types of the still picture apparatus
- H04N2201/0084—Digital still camera
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3225—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document
- H04N2201/3233—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document of authentication information, e.g. digital signature, watermark
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3225—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document
- H04N2201/3233—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document of authentication information, e.g. digital signature, watermark
- H04N2201/3235—Checking or certification of the authentication information, e.g. by comparison with data stored independently
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3225—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document
- H04N2201/3233—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document of authentication information, e.g. digital signature, watermark
- H04N2201/3236—Details of authentication information generation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3225—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document
- H04N2201/3252—Image capture parameters, e.g. resolution, illumination conditions, orientation of the image capture device
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3225—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title of data relating to an image, a page or a document
- H04N2201/3253—Position information, e.g. geographical position at time of capture, GPS data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3274—Storage or retrieval of prestored additional information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
- H04N2201/00—Indexing scheme relating to scanning, transmission or reproduction of documents or the like, and to details thereof
- H04N2201/32—Circuits or arrangements for control or supervision between transmitter and receiver or between image input and image output device, e.g. between a still-image camera and its memory or between a still-image camera and a printer device
- H04N2201/3201—Display, printing, storage or transmission of additional information, e.g. ID code, date and time or title
- H04N2201/3274—Storage or retrieval of prestored additional information
- H04N2201/3277—The additional information being stored in the same storage device as the image data
Landscapes
- Engineering & Computer Science (AREA)
- General Engineering & Computer Science (AREA)
- Multimedia (AREA)
- Signal Processing (AREA)
- Studio Devices (AREA)
- Television Signal Processing For Recording (AREA)
- Television Systems (AREA)
- Collating Specific Patterns (AREA)
Abstract
【課題】
周囲の情況をディジタル的にサンプルして取得すること。
【解決手段】
センサ記録装置とその他の情報取得装置に対する認証の方法とシステムに関して開示する。周囲の情況をディジタル的にサンプルして取得したサンプルと、サンプルが発生した時の少なくとも一つの条件を表す少なくとも一つのパラメータとから、ディジタル署名を作成する。この署名は、認証のために後にチェックされるサンプルと共にメモリに蓄積される。ファイルから第２の署名を生成し、この署名と元の署名を比較することでファイルが認証のためにチェックされる。二つの署名が同一の場合、サンプルは認証され、二つの署名が異なる場合、サンプルは認証されない。
【選択図】図２
周囲の情況をディジタル的にサンプルして取得すること。
【解決手段】
センサ記録装置とその他の情報取得装置に対する認証の方法とシステムに関して開示する。周囲の情況をディジタル的にサンプルして取得したサンプルと、サンプルが発生した時の少なくとも一つの条件を表す少なくとも一つのパラメータとから、ディジタル署名を作成する。この署名は、認証のために後にチェックされるサンプルと共にメモリに蓄積される。ファイルから第２の署名を生成し、この署名と元の署名を比較することでファイルが認証のためにチェックされる。二つの署名が同一の場合、サンプルは認証され、二つの署名が異なる場合、サンプルは認証されない。
【選択図】図２
Description
【０００１】
【発明の属する技術分野】
本発明は、周囲の情況ないし事象（以下「情況」で代表する）（ｅｎｖｉｒｏｎｍｅｎｔ）を抽出して記録する方法及び装置に係り、特に周囲の情況を抽出したものが認証され、改変されていないことを検証するための記録の方法及び装置に係る。
【０００２】
［発明の背景］
本発明の一つの目的は、意図的あるいは偶発的な記録の改変の問題を解決することである。この発明における「記録」とは、ディジタル画像、データファイル、一般的なオーディオ録音を含む全ての記録を意味するものである。
【０００３】
写真、映画さらに印刷物は、オリジナルの認証されたコピーであると信用できるメディアと歴史的に見なされてきた。修正主義者の歴史のための写真の改変の試みの例としては、テーブルに５人が座っているが、テーブルの下には６組の両足が認められるというコミカルなものがある。研究所にあっては改変されないように手書きで恒久的に綴じられているノートが使われている。最近の技術の進歩により画像を改変するのは初心者でもできるようになってきている。習熟者が進歩した技術を駆使すると、改変はほとんど検知することができない。このため、写真、手書き、あるいは音の記録について認証を保護するために「保管の連鎖」（ｃｈａｉｎ ｏｆ ｃｕｓｔｏｄｙ）が必要となる場合には、ディジタルの写真はほとんど使われていない。例えば、映像を撮った時にアルコール飲料のびんが実際には無く、事故の後の脚色であったにもかかわらず、運転手の周りにびんがあるように見えるように事故の映像を改変することができる。
【０００４】
画像ファイルから作られた画像を認証するための装置を備えたディジタルカメラは、Ｕ． Ｓ． Ｐａｔｅｎｔ Ｎｏ． ５，４９９，２９４において開示されている。Ｕ． Ｓ． Ｐａｔｅｎｔ Ｎｏ． ５，４９９，２９４の図３Ａを参照すると、ディジタルカメラを含むシステムのブロック図において、ディジタル署名の付いた画像ファイルを生成することが示されている。認証された画像ファイルを扱うには特定の解読鍵が必要とされる。さらに、画像ファイルが認証できるか否かを決めるために、各々のカメラが特定の暗号鍵を備えるので、認証を実行する人は、どのカメラで画像を撮ったかを知っていなければならない。
【０００５】
［発明の概要］
周囲の情況をサンプル（標本化）したもの（ｓａｍｐｌｅ ｏｆ ｅｎｖｉｒｏｎｍｅｎｔ）の認証を決めるための改良された方法及びシステムが求められている。ディジタルサンプルが取得された少なくとも一つの条件を表す少なくとも一つのパラメータと周囲の情況自体のサンプルとの双方の関数であるディジタル署名が作成される。該サンプルは、少なくとも一つのパラメータ及びディジタル署名と共にメモリに記録される。蓄積されている画像の認証は、蓄積されている画像と少なくとも一つのパラメータから新たな署名を生成して決定され、二つの署名が同一であるか比較される。
【０００６】
このような方法及び装置は、いくつかの理由により有利である。本発明の一つの視点において、蓄積されたサンプルとパラメータと署名さえあれば、周囲の情況をサンプルした装置について知る必要がないことである。第二において、認証の目的には暗号を必要とせず、情報の蓄積装置をコスト的により効率よく製造することができることである。
【０００７】
本発明の他の構成と効果については、以下の記載から明らかにされる。
【０００８】
【発明の実施の形態】
本発明の第一の視点は、固有（ｉｎｄｉｇｅｎｏｕｓ）の認証の考え方と方法にある。すなわち、認証を検証対象ないし資料（ｍａｔｅｒｉａｌ）とするものと共に記録物を生成する装置のファミリにある。本発明の一つの実施例は、画像が全体として認証されるディジタル写真に関する。全体よりも小さな部分の認証を行う中間的なバージョンのもの（ｖｅｒｓｉｏｎ）も存在しうる。損傷を受けた（元の状態から改変された）部分を修復する進歩したものも存在しうる。日付、時刻、緯度、経度、標高、ロール、ピッチ、ヨー、コンパス方位等を含む付加的な入力が、カメラ識別、画像シーケンス番号、フラッシュ状態、レンズのズーム係数、計数振動（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ）状態、フォーカス状態、フォーカスの質ないし特性（ｑｕａｌｉｔｙ）を含むカメラの要素の状態と同様に、画像の一部を形成する。この付加的な情報が記録されたものの一部となり、認証される。
【０００９】
本発明は、自己認証を証明するドキュメント、公証用システムの拡張システム、あるいは先に述べたハード的に書かれたノートに置き換わる電子的なラボラトリノート（ラボノート）、これらのためのディジタルカメラの他に、情報を取得するシナリオに応用できる。信頼できる情報源として一度確立されると、「固有の認証」の考え方は、品質制御、法的な必要物、金融商品の記録に拡張できる。
【００１０】
認証を検証する鍵は、認証の情報の発生がセンサ装置と記録装置に密接に関連している。認証の情報が発生しない内は記録を改変できるものは何も無い。この方法を用いる認証では、ファイルの比較も従来の暗号化又は解読（ｒｅｖｅｒｓｅ ｅｎｃｒｙｐｔｉｏｎ）も不要である。ユーザの制御の下で発生される一回限りのランダムな要素とランダムな文字列とを用いることで認証における強度が増す。基本的な操作には必要ないが、情報を秘密化するために結果の記録に対し随意的に暗号化がなされる。従来の暗号化あるいは解読を必要としないことで、公的な登録機関あるいは解読鍵を管理する記録保管機関の必要性が薄れる。認証が固有である故、どの記録装置が使われたかを識別する必要がない。
【００１１】
図２を参照すると、周囲の情況２は、フォーマットの一つにサンプル１にサンプルされる。視覚的な周囲の情況を一つのサンプルに記録するには、一般にカメラとして知られる光学的な記録装置の１フレームが使われる。写真として撮られたサンプルは、ポジの透明フィルム（スライド）、ネガの透明フィルム（ネガ）、不透明あるいは透明なプリント、さらに最近ではディジタルファイルとして記録される。
【００１２】
視覚的な周囲の情況を連続的なサンプルとして記録するには、ビデオカメラ、映画フィルム用カメラ、ディジタルの映画フィルム用カメラのような連続的な光学記録装置が使われる。これらのサンプルは、一般にムービーと呼ばれ、透明フィルム、ビデオテープ、さらに最近ではディジタルファイルとして記録される。
【００１３】
音の周囲の情況を一つのサンプルとして記録するには、テープレコーダやディジタルレコーダのような連続的なオーディオ記録装置が用いられる。これらのサンプルは、一般に「レコーディング」と呼ばれ、ワイヤ、テープ、ディジタルファイルのいろいろな種類に記録される。
【００１４】
センサや記録装置の発展と共に、味覚、触覚、嗅覚のサンプルも同様なモデルに従って適応させることができる。また、サンプルは、人間の五感に限ったものではない。本発明で開示している認証や検証の方法では、物理的、化学的そして分光的な現象の全範囲を含むセンサ装置から得られるサンプルに使用することができる。
【００１５】
図２に示すように、認証を保証するためには、センサ装置４以外の付加的な入力７（ａｄｄｉｔｉｏｎａｌ ｉｎｐｕｔｓ）がユーザに検知されること無く、影響を受けずに存在する。これを実現するために付加的な入力は、装置の物理的な境界の内部に示されている。アナログの記録装置は、アナログディジタル変換器を用いてシステムに組み込まれる。
【００１６】
本発明の適用の一つは、認証が必要となる情況において「信用できる」と考えられる画像あるいはデータのファイルを生成することである。これには、法的な証拠、保険の請求、プロジェクト管理、科学の研究、発明、品質制御、身分証明、情報収集、購買、命令と制御、法の執行、ドキュメントや画像の伝送などが含まれる。
【００１７】
デジタルでの取り込み、分析、蓄積、伝送、情報の流通と使用、データの取り込みや生成のための高度化されたハードウェアおよびソフトウェアの急速な推移により、画像あるいはデータファイルを認証において受け入れることが難しくなっている。
【００１８】
社会におけるパーソナルコンピュータの絶え間ない進歩やインターネットの利用の増大に伴い、意図的な不正手段、あるいは伝送や蓄積のエラーによる偶発的な改変が含まれる電子的メディアでも信じてしまう傾向が強まっている。認証に対する必要性は、改変されたファイルの増加と共に高まってきている。また、認証に対する必要性は、改変されたファイルが引き起こす潜在的な損害と共に増加してきている。例えば、契約書、発注書、判決書、電子的な支払書、電子的な請求書、品質制御情報、青写真、設計図ないしデザイン（ｄｅｓｉｇｎｓ）、これらが、改変されたものが認証されて信用されたとすると、多大な損害を与えることとなる。不心得者による不当な行為を妨げ頓挫させるようにするには、固有の認証が規範となると考えるのは妥当である。
【００１９】
本発明の一つの視点によれば、画像の改変が検出されない虞を完全に減らし、結果として故意あるいは知らずに行う（ｕｎｋｎｏｗｉｎｇ）ごまかしを意図して改変された画像の使用を減らすこととなる。したがって、同じような結果に到達する将来の装置に対して枠組みを与え、特に画像が法的手続きにおける証拠となるような法の執行において、写真の画像の信頼性が減退するような社会的そして経済的な問題を解決することとなる。
【００２０】
図１は、本発明の一実施例の概略図であって、ディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳユニットが示されている。汎用のマイクロコンピュータ２５２は、プロセッサ１５７とそのプログラムをシミュレートするために用いられる。マウス２５６、キーボード２５７は、ユーザによる制御の設定をシミュレートするために用いられる（図３の９、１０、１１、１２、１３参照）。マイクロコンピュータのモニタ２５３は、図３に示すプロセスモニタ８と類似している。外部のＧＰＳ（ｇｅｏｇｒａｐｈｉｃ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ）２５４は、内部のＧＰＳ４４に代り使われる。外部に接続されたディジタルカメラ２５５は、レンズセンサセット７３、オートフォーカス１９、フラッシュ発生器３０をシミュレートする。マイクロコンピュータ２５２のフロッピドライブ（不図示）は、記録装置１４２と３．５インチフロッピディスク２５９の機能を実行し、取り外し可能な記録メディア１４１である。
【００２１】
図３は、一般にカメラとして知られている１フレームの光学的な記録装置の装置モデルを示している。図３には、装置に供給される外部電源あるいは内部のバッテリーは示していない。このカメラでは、ユーザはプロセスモニタ８にアクセスすることができる。おおよその照準へのアクセスは、レンズの光軸に平行なシャフトを通して得られる。現在のシーンの再形成を制御するプロセッサ１５７を介してプロセスモニタ８にアクセスすることができる。プロセスモニタにフラッシュの状態、ズームの状態等が表示される。
【００２２】
操作者は、装置を照準し、活性化させ、フラッシュ９、ズーム１０、ランダムな文字列の記録（ＰＳＲ）１１、オプションの暗号１２、などを含むユーザの制御を設定する。カメラが動作している間、センサ装置と記録装置とが強く結合した完全な状態６であることを検出するように内部のセキュリティ１４が監視される。
【００２３】
図４には、プロセッサ１５７が動作信号を受け取ると、プレキャプチャ、キャプチャ、ポストキャプチャ、記録、処理の一掃とプレキャプチャに戻るための準備、の各動作フェーズが実行されることが示されている。各フェーズの処理時間を減らすには、並列処理及び他の工学的な技術が使われる。
【００２４】
図５には、ユニットの最も共通の動作フェーズであるプレキャプチャのシーケンスが示されている。装置は、ユーザの制御１３により起動されるか、正常な終了処理９５に備えて切断を行う（１５）までは、プレキャプチャ動作が繰り返される（６５）。装置が起動されても動作サイクルを実行するための十分な電力が無い場合（１６）には、ユーザによる起動は無効となる。その旨がプロセスモニタを介してユーザに対して表示され（１７）、これ以上の処理は、なされない（６６）。
【００２５】
動作サイクルを実行するための十分な電力がある場合には、付加的な入力と構成要素がチェックされる。図６において、オートフォーカス１９用センサとプロセッサがチェックされる（２０）。機能が不全である場合（２１）、ユーザに対しプロセスモニタ（８）を介してエラーメッセージが表示される（２２）。
【００２６】
オートフォーカスの状態とは無関係に、処理は、フォーカス特性センサ２３、フラッシュ発生器３０、計数振動装置（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｕｎｉｔ）（Ｃ−ＶＩＢＥ）３５、ロール・ピッチ・ヨー検出器（ＲＰＹ）４０をチェックし続ける。以上のチェックは、結果に関係なく、（２０）、（２５）、（２９）、（３４）、（３９）の順に行われる。各チェックにおいて機能が不全である場合、プロセスモニタにエラーメッセージが表示され、ユーザに対し知らされる（２２）（２７）（３２）（３７）（２５０）。
【００２７】
図６において、（４２）に引き続いてＧＰＳ装置４４のチェックが行われる（４３）。機能が不全である場合（４５）、「ＧＰＳ無し」が記録される（４６）。機能が正常である場合（４７）、現在のＧＰＳの情報が取り入れられ、ＧＰＳの他の情報は記録され（４８）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の位置情報に更新される（４９）。
【００２８】
ＧＰＳの状態とは無関係に、（５０）に引き続き、内部にあるコンパス５２がチェックされる。機能が不全である場合（５３）、「コンパス無し」が記録される（５４）。そうでない場合（５５）、現在のコンパスの示す方向が記録され（５６）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の方位情報に更新される（５７）。
【００２９】
コンパスの状態とは無関係に、（５８）に引き続き、内部のセキュリティシステム１４がチェックされる（５９）。セキュリティが破られている場合（６０）、侵害されている旨が記録される（６１）。そうでない場合（６２）、画像は保護されている旨が記録され（６３）、プロセスモニタ８では、表示内容が侵害されている旨または画像は保護されている旨に更新される。
【００３０】
図５において、付加的な入力（ｉｎｐｕｔｓ）と構成要素がチェックされると（１８）、ユーザによる制御の変更が記録される（６７）。図７において、ユーザによりなされたフラッシュの設定９に対してフラッシュ発生器３０の現在の設定がチェックされる（６８）。一致していない場合（６９）、フラッシュ発生器３０は、ユーザにより設定される（７０）。
【００３１】
レンズ７３のズームの設定に対してユーザのズームの設定がチェックされる。一致していない場合（７４）、ズームは、ユーザにより設定される（７５）。ユーザによりなされた設定１１に対して現在のランダムな文字列の記録値（ＲＳＲ）がチェックされる（７７）。一致していない場合（７８）、記録値（ＲＳＲ）は、ユーザによりなされた設定に設定される（７９）。この時の取り得る二つの値は、「次の画像に付加する新しいランダムな文字列を記録する」Ｙと、「次の画像に付加する新しいランダムな文字列を記録しないＮ」である。
【００３２】
ユーザにより与えられた暗号値１２に対して現在の暗号値がチェックされる。一致していない場合（８２）、現在の暗号値は、ユーザにより与えられた暗号値に設定される（８３）。この時の取り得る三つの値は、「暗号化された画像のみを作る」Ｙと、「暗号化された画像を作らず暗号化されていない画像のみを作る」Ｎと、「暗号化された画像と暗号化されていない画像の両方を作る」Ｂである。
【００３３】
図５において、ユーザによる制御の変更が記録されると、（６７）、（８６）に引き続いて記録メディアの適性がテストされる（８７）。記録メディアが適性を欠いている場合（８８）、プロセスモニタ８では、表示内容がエラーメッセージに更新され（８９）、この時点以降に更なる処理は実行されない（９０）。
【００３４】
記録メディアの適性のテストが終了すると（９１）、全てのプレキャプチャ動作が完了する。起動制御１３の状態に対しテストがなされる（９２）。制御が起動されていない場合（９３）、処理は戻され（６５）、起動されている場合、処理はキャプチャ動作に移行する（９４）。
【００３５】
図８において、ユーザによる起動制御１３がなされると、プレキャプチャ動作（図５参照）からキャプチャ動作（図８参照）に処理が移る。ＧＰＳとコンパスから現在の値を取得する（９６）。ＧＰＳが起動していない場合（４５）、「ＧＰＳ無し」を表す値が記録される（４６）。ＧＰＳが起動している場合（４７）、ＧＰＳの情報４８が、現在のデータと時刻として記録される。ステップ（５１）において、コンパスが起動されている場合（５５）、現在の方位が記録され、起動されていない場合（５３）、「コンパス無し」を示す値が取得される（５４）。
【００３６】
この時点で計数振動装置（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｕｎｉｔ）（Ｃ−ＶＩＢＥ）の要求があれば（９７）、起動される（９８）。ロール・ピッチ・ヨー（ＲＰＹ）センサが起動され（９９）、フラッシュユニットの準備の必要性が決められる（１０５）。ユーザがフラッシュを点けるか否かを指示するためのテストが行われる（１００）。フラッシュの点灯を指示する場合（１０１）あるいは自動フラッシュが検出され（１０３）フラッシュの要求がある場合（１０４）には、フラッシュが点灯され（１０５）、フラッシュ付の画像が取り込まれる（１０８）。その他の場合にはフラッシュ無しの画像が取り込まれる（１０７）。
【００３７】
フォーカス特性（質ないし設定条件 ｑｕａｌｉｔｙ）の付加的な入力２３にアクセスすることでフォーカス設定点（ないし特性点）が検出される（１０９）。フォーカス設定点の数が選択され、最大レンジと最小レンジが記録される。カメラでは音波による射程あるいは被写体深度を計る他の技術が使われる。この方法はオートフォーカスにとって必要であり、映像の再現を検出することができる。この方法は、カメラから最も近いフォーカス設定点と最も遠いフォーカス設定点と共に異なる範囲に属する点の数を通知する。例えば、「ｌＯｐ １ｍ Ｉｎｆ」とは、異なる焦点深さの点が１０、最も近い距離が１ｍ、最も遠い距離が無限大を表している。
【００３８】
図６において、画像がキャプチャされると（図８参照）、処理は、ポストキャプチャの動作に移る。初めにＣＣＤ（あるいは他のセンサ）をポーリングして画像を集め、記録のための準備を行う。以前に取得（９６）した、緯度、経度、高度、日付、時刻、位置決めのための衛星に関するＧＰＳの値が画像に付加される（１１１）。ＧＰＳが機能していない場合（４５）には「ＧＰＳ無し」に相当する値が画像に付加される（１１１）。オートフォーカスの状態、フォーカス特性点の数（１０９）、最大レンジと最小レンジ、フラッシュの値（点灯の指示、消灯の指示、自動フラッシュの要求、自動フラッシュの不要）、計数値（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｖａｌｕｅ）（起動するか否か（９８））、ロール、ピッチ、ヨー（ＲＰＹ）の値、記録されているコンパスの方位（９６）、レンズ（７３）のズームの設定、カメラの識別名（ＣａｍＩＤ １２４は、 工場でセットされ、ユーザは変更できない）、現在の画像のシーケンス番号１２５、現在のランダムな文字列１２６、ファイルタイプ１２７（工場でセットされ、ユーザは変更できない）、これらの情報が画像に付加される。内部におけるセキュリティに障害がある場合（６０）、セキュリティの侵害情報（６１）が画像に付加される（１２３）。その他の場合、画像が保護されている旨を表す値が画像に付加される（１２３）。
【００３９】
図１０において、認証には、三つのレベルと損傷を受けた要素の復元が存在する。第一のレベルは、全体的な画像の認証（Ｔｏｔａｌ Ｉｍａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＴＩＡ）である。このレベルでは画像全体が認証される。第二のレベルでは、ロウ（列）／コラム（行）の認証（Ｒｏｗ／Ｃｏｌｕｍｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＲＣＡ）であり、画像の要素（画素）のロウとコラムに独立に認証がなされる。この認証では全画像より小さな単位で認証がなされる。第三のレベルは、構成要素レベルの認証（Ｅｌｅｍｅｎｔａｌ Ｌｅｖｅｌ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＥＬＡ）と損傷を受けた要素の復元（Ｄａｍａｇｅｄ Ｅｌｅｍｅｎｔ Ｒｅｃｏｖｅｒｙ）（ＤＥＲ）である。
【００４０】
ＥＬＡにおける構造では、各々の全ての単一の画素が独立に認証される。単一の画素の認証に失敗した場合、損傷を受けた画像の元の値を決める複合的なないし種々の（ｍｕｌｔｉｐｌｅ）方法を与えるポストキャプチャ操作において画像に付け加えられる構造（ｓｔｒｕｃｔｕｒｅｓ）が存在する。これを損傷した要素の復元（ＤＥＲ）と呼ぶ。当初、認証レベルと損傷した要素の復元とは、工場において設定され、関連するユーザ制御（９、１０、１１、１２、１３）は、表示されない。使用毎に認証 （ＴＩＡ，ＲＣＡ， ＥＬＡ／ＤＥＲ） の一つのレベルだけが起動できる（図１４の認証シーケンス、他の認証を参照）。
【００４１】
ＲＣＡが選ばれた場合（１２８）、ＲＣＡの構造と値が計算され、画像に付加される。ＥＬＡ／ＤＥＲが選ばれた場合（１３０）、ＥＬＡ／ＤＥＲの構造と値が計算され、画像に付加される。この装置では署名プロトコルとして商業的に利用可能なＭＤ５を使うが、署名プロトコルは、ＭＤ５に限られるものではない。ディジタル署名は、使用される署名プロトコル（ＳＰ）とブロック（Ｂｌｏｃｋ）との関数（ＳＩＧＮＡ＝ｆ （ＳＰ （Ｂｌｏｃｋ）））であって、計算されてファイルの一部を構成する（１３２）。ブロック１４４は、画像とオプションからなるディジタルデータであり、オプションは、付加情報、カメラ識別、ランダムな文字列、カメラにおける解読鍵、ＲＣＡとＥＬＡ／ＤＥＲの構造と対応する値である。
【００４２】
ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３３）、暗号化されていない完全な画像ファイルが作り出される（１３４）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号ありと無しの両方」を選んだ場合（１３５）、暗号化された完全な画像ファイルが作り出される（１３６）。
【００４３】
図１１を参照すると、ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３７）、暗号化されていない完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１３８）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３９）、暗号化された完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１４０）。
【００４４】
図３には、３．５インチフロッピディスクドライブ１４２及び取り外し可能な３．５インチフロッピディスケット１４１が記録装置及び記録メディアとして示されている。他にも記録用のオプションとして、取り外し可能なメモリモジュールとしてのフラッシュＲＡＭ、赤外線、シリアル、イーサネット（登録商標）、トークンリング、パラレル、ユニバーサルシリアルバス（ＵＳＢ）、ファイヤワイヤ、あるいは単一のコンピュータまたはコンピュータのネットワークへの通信モードを介した外部装置への蓄積が利用可能である。
【００４５】
図１２において、Ｓｉｇｎａ２のプロセスにより作成されたファイルは、産業界で一般的に受け入れられるフォーマットである。より具体的にはＳｉｇｎａ２のファイルには著作権がない。付加的な情報は、ファイルに含まれるが、フォーマットに対する標準に従ったものである。
【００４６】
図中には、２つのブレース（｛及び｝）があり、画像に対応する部分は、２つの要素からなり、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができる。このブレース外の要素は、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができない。ブロックを示す第二のブレース１４４は、署名１４５により保護される要素からなる。ブロックの内部は、全て署名されたもの（ｗｈａｔ ｉｓ ｓｉｇｎｅｄ）を示す。
【００４７】
１６１に示すように斜線を引いた要素は、オプションであって、Ｓｉｇｎａ２装置の基本的な用途を実現するには必要ない。画像１４６と署名１４５との密接な関連付けがＳｉｇｎａ２プロセスにとって最低限必要である。
【００４８】
センサ７３は、最低限見ることのできる情報である画像１４６を取得する。ユーザにより見ることが可能なカメラからの付加的なデータ１４７には、ＧＰＳ情報（１１１）、ズーム設定、オートフォーカス状態、フォーカス特性の結果情報、ロウ・ピッチ・ヨーの値、コンパスの方位、フラッシュの状態、ファイルタイプ、カメラＩＤ、シーケンス１２０、セキュリティの値が含まれる。
【００４９】
ＧＰＳ情報（１１１）には、緯度、経度、高度、日付、時刻、測定で使われる衛星情報（４８）あるいは装置が無効の場合には「ＧＰＳ無し」の情報（４６）が含まれる。ズームの設定情報（７５）には、画像を取得するにあたって、標準レンズを５０ｍｍと表す場合のｍｍ値あるいは５０ｍｍを１とした時のＸの値で表した情報が含まれる。コンパスの方向には、画像を取得した時刻のカメラの向いている方位の情報が含まれる（１１７）。
【００５０】
フラッシュの状態（１１４）には、指令でオン、指令でオフ、自動でオン、自動でオフの指令が含まれる。フラッシュの状態において、最初の二つは、ユーザにより強制的に設定されるもので、後の二つは、フラッシュを使うか否かをカメラ任せにするものである。他の項目はオプションである。
【００５１】
カメラＩＤ、すなわちカメラ識別コードは、工場で設定され、画像情報の一部をなす（１１９）。ＳＨＥＰ０００１あるいは ＭＯＬＬ０４５４は、その例である。しかし認証が不要であっても、少なくとも装置の最初の所有権を決定する手段が与えられる。
【００５２】
特定の画像識別のためのシーケンス番号１２０は、自動的に増加する。カメラＩＤを使うことで先のＢＥＣＫ５１０２−９８３１２では、カメラと映像を識別することとなる。
【００５３】
二つのセキュリティの値は「ＩｍａｇｅＧｕａｒｄ」と「ＮＯＮＶＥＲＩＦＩＥＤ」である。「ＩｍａｇｅＧｕａｒｄ」は、内部エラーが検出されずセキュリティが漏洩していない場合に現れる。「ＮＯＮＶＥＲＩＦＩＥＤ」（あるいは漏洩のおそれを示す他の指数）は、システム内でセキュリティが漏洩している場合に現れる。
【００５４】
ファイル構造内の他のセグメントには、カメラＩＤ１４８、ランダムな文字列１４９、カメラ解読鍵１５０、ＲＣＡとＥＬＡ／ＤＥＲ構造とその値１６０、ディジタル署名１４５が含まれる。カメラＩＤ１４８は、カメラの識別のためのものであり、ファイル内にあるが、ユーザは見ることができない。ランダムな文字列１４９は、最新のランダムな文字列であって、ファイルの一部をなす。カメラ解読鍵１５０は、カメラの内部にあるカメラ固有の解読鍵である。
【００５５】
図１３に、処理の一掃と準備の手順を示す。手順のこの部分では、プレキャプチャ動作（図５参照）において有効でない機能は、機能せず、次に起こる画像の取り込みのための準備がされる。計数（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ）、ロール、ピッチ、ヨーの検出を無効とし（１５１、１５２）、画像のシーケンス番号が増加（インクリメント）する（１５３）。
【００５６】
ランダムな文字列の記録に対してユーザの制御１１によりＹＥＳがセットされた場合（７９）には、以前のランダムな文字列を置き換えて新たな文字列を発生させるために画像自体と他の情報（図１２参照）が用いられる。ランダムな文字列の記録は、ＮＯにリセットされ（１５８）、ユーザ制御１１は、ＮＯにセットされる（１５９）。プロセッサ１５７で使われる一時的なリソースは、割り当てを取消（解放）して再使用のため用意される。
【００５７】
以前のランダムな文字列が今作成される画像に使われることに注目することは重要である。その結果、ランダムな文字列を頻繁にリセットすることでパターン認識を防ぎ、セキュリティを増すことができる。以下において、ディジタル署名の耐久性を増すランダムな文字列の役割を論ずる。
【００５８】
図１４において、Ｓｉｇｎａ２の画像として認証されうるファイルを作成する付加的な項目（図１２参照）と画像とを含むファイルを使って認証が開始される。認証のためのプログラムは、保証された公開のものを容易にかつ自由に使用できるものでなければならない。さもないと騙そうとする者は、無理やり否定あるいは肯定する認証を生じさせるように虚偽の認証プログラムを用意することとなる。
【００５９】
プログラムがスタート（１６２）すると、まず認証プログラムそれ自体が損傷を受けていないかあるいは改変されていないかを保証するために自己診断が行われる。プログラムがロードされた後の改変に対して保護するため処理ステップ１６２を通るたびに自己診断が繰り返される。自己診断で不全であればプログラムは、エラーメッセージを出し直ちに終了する。自己診断の手順及び不全となる可能性については、図１４には示していない。
【００６０】
認証プログラムがロードされると、ユーザは、ファイルを選択するか、プログラムを終了するかを選ぶことができる。ユーザがプログラムの終了を選択すると認証プログラムは終了する（１６３）。暗号化されたファイルが選択されると（１６４）、ファイルを解読しようと試みる（１６５）。ここでユーザによる解読鍵あるいはファイルからの解読鍵（１５０）が必要となる。解読でエラーが生じた場合には（１６６）、エラーメッセージを表示し（１６７）、プログラムは、スタート（１６２）に戻る。
【００６１】
ファイルが暗号化されていない場合（１６８）、あるいはエラー無しに解読された場合（１６９）、ファイルがＳｉｇｎａ２フォーマットであるかをテストする（１７０）。ファイルがＳｉｇｎａ２フォーマットでない場合（１７１）、ファイルは認証できないものとして（１７２）プログラムがスタート（１６２）に戻る。
【００６２】
ファイルがＳｉｇｎａ２フォーマットの場合（１７３）、ブロック１４４と署名１４５とが分離され（１７４）、署名は、ブロック１４４から再計算される。再計算された署名（ＳＩＧＲ）と与えられた署名（ＳＩＧＰ）とが一致すれば（１７６）、画像を見ることができ（２４８）、総合的な画像認証システム（ＴＩＡ）を用いた正当な画像として認証されたものとしてマークがつけられる（２４９）。そしてプログラムはスタート（１６２）に戻る。
【００６３】
二つの署名が一致せず、認証プログラムが信頼あるソースから獲得され、改変されていない場合、画像は損傷を受けたか改変されたものである。これは「真に否定されたもの」真の否定（ｔｒｕｅ−ｎｅｇａｔｉｖｅ）であり、画像は認証しないもの（ｎｏｔ ａｕｔｈｅｎｔｉｃ）と決定される。信用ある認証プログラムにより、ＴＩＡレベルの認証を使ったＳｉｇｎａ２の画像ファイルは、「誤って否定されたもの」誤った否定（ｆａｌｓｅ−ｎｅｇａｔｉｖｅ）を生成することはない。画像と署名が一つのファイル内にあり、故意あるいは偶然によるファイルの変更は、無効であり適正な「否定認証」（ｎｅｇａｔｉｖｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ）を構成する。
【００６４】
再計算された署名（ＳＩＧＲ）が与えられた署名（ＳＩＧＰ）と一致しない場合（１７７）、一連のテストは、三つの認証レベルの一つのために実行される。全体画像の認証（ＴＡＩ）のみが得られた場合（１７８）、その他のこれ以上の操作は得られない（１７９）。この画像が見られ（ｖｉｅｗｅｄ）（１８０）、不認証（ｕｎａｕｔｈｅｎｔｉｃａｔｅｄ）のマークが印される（１８１）。そしてプログラムはスタート（１６２）に戻る。
【００６５】
図１４を参照すると、ロウ／コラムの認証（ＲＣＡ）が選ばれた場合（１８２）、ＲＣＡの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ロウ／コラムの認証（ＲＣＡ）が選ばれない場合（１８３）、要素単位の認証あるいは損傷した要素の修復（ＥＬＡ／ＤＥＲ）のテストがなされる（１８４）。
【００６６】
図１４を参照すると、ＥＬＡ／ＤＥＲが選ばれた場合（１８６）、ＥＬＡ／ＤＥＲの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ＥＬＡ／ＤＥＲが選ばれない場合（１８５）、認証（ＴＩＡ， ＲＣＡ， ＥＬＡ／ＤＥＲ）の三つのレベルの一つにエラーの条件が存在するはずである。このエラーの条件では、これ以上の動作は得られない（ｎｏ ｆｕｒｔｈｅｒ ｏｐｅｒａｔｉｏｎｓ ａｒｅ ａｖａｉｌａｂｌｅ）との報告をして扱われる（１７９）。画像は、見られ（１８０）、不認証のマークが印され（１８１）、そしてプログラムはスタート（１６２）に戻る。
【００６７】
図１４を参照すると、Ｓｉｇｎａ２のフォーマットのファイルの署名が不全だった場合（１７７）、ロウ／コラム認証（ＲＣＡ）が選択される（１８２）。比較（１４５）で用いられた書名は、ファイル全体に対する単一の署名である。ＲＣＡの構造とその値１６０が、ファイル全体のレベルではなく、各ロウ及びコラムのレベルでのエラーを検出するために与えられる。各ロウ及びコラムをチェックすることで各々の画素に対してエラーを２度検出する機会が生じる。
【００６８】
巡回冗長検査（ＣＲＣ）は、エラー検出の形式を記述するために使われる手段である。このタイプのエラー検出のための他のアルゴリズムと同様にＣＲＣにもいろいろな種類がある。ここではＣＲＣは、記述の目的で使われるが、他のエラー検出符号（あるいはハミング、リードソロモンなどのエラー訂正符号）もＣＲＣエラー検出符号を補い、あるいは置き換えて実行することもできる。
【００６９】
図１５において、ディジタル画像は、ロウとコラムのマトリクス状に並んだ映像の要素（画素）から構成されている。画像の各ロウに対し内部の完全性をＣＲＣによりテストする（１８８）ためにステップ１８７においてＲＣＡ動作が開始される。ＣＲＣは、本来の内部の完全性のテストではないが、ＲＣＡの構造の一部にはＣＲＣをテストするための付加的な値が含まれている。ＣＲＣがこの自己テストで失敗した場合（１８９）、そのロウの全ての画素が損傷しているが、誤った否定の可能性のあるものとして「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる（２０８）。
【００７０】
ＣＲＣ自己テストがＯＫの場合（１９１）、当該ロウのための新しいＣＲＣを計算するために画素のロウ全体（ｅｎｔｉｒｅ ｒｏｗ ｏｆ ｐｉｘｅｌｓ）が使われる（１９２）。この新しいＣＲＣは、元のＣＲＣと比較される。一致しない場合（１９３）、当該ロウの全ての画素は損傷しているとして印しが付けられる（１９０）。新しいＣＲＣが元のＣＲＣと一致する場合（１９４）、当該ロウの全ての画素はＯＫの印しが付けられる（１９５）。
【００７１】
図１５において、画像の各コラムに対してＲＣＡ動作が継続され（１９６）、内部の完全性のために各コラムのＣＲＣがテストされる（１９７）。このテストでＣＲＣが失敗した場合（１９８）、コラムに対しこれ以上の動作は行われない。ＣＲＣの自己テストがＯＫの場合（２００）、画素のコラム全体がコラムのための新しいＣＲＣの計算に用いられる（２０１）。新しいＣＲＣが元のＣＲＣと一致しない場合（２０２）、このコラムに対しそれ以上の動作は行われない。新しいＣＲＣが元のＣＲＣと一致した場合（２０３）、コラム内の全ての画素にＯＫの印しが付けられる（２０４）。
【００７２】
一つの画素には次の６通りの内から一つの印し（標識 ｍａｒｋ）を付けることができる。ロウＣＲＣ１９５とコラムＣＲＣ２０４を通った場合に「Ｏｋ−ｏｋ」、ロウＣＲＣ１９０とコラムＣＲＣ２０４を通った場合に「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣ不全２０８とコラムＣＲＣ２０４を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣ１９５を通った場合に「Ｏｋ−ｎｕｌｌ」、ロウＣＲＣ１９０を通った場合に「Ｄａｍａｇｅｄ−ｎｕｌｌ」、ロウＣＲＣ不全２０８を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」。コラムＣＲＣが失敗の場合（２０２）には第２の状態は無い（印しに「−ｎｕｌｌ」が付いている）。
【００７３】
ロウとコラムに対する二つの操作によりマトリクスが生成され、そこではいくつかのロウの画素がロウの操作で損傷ありとして印しが付けられることがあり、これらのうちいくつかの画素がコラムの操作により損傷からＯＫに変えられることがありうる。これは一つのロウ全体が損傷ありかＯＫかの印しがつけられているからである。一つのコラムにＯＫの印しがある場合、あるロウ全体の部分として損傷を受けていると印しが付けられている画素が実際には損傷を受けておらず、ＯＫに変わることがある。例えば、損傷のある一つの画素は、ロウの操作において一つのロウ全体が損傷を受けているとして印しが付けられることとなる。損傷を持つ画素のあるコラムを除く全てのコラムに対しては、ＯＫの印しがコラムの操作によって付けられる。その結果、損傷があると印しが付けられた一つの画素を持つ画像が得られることとなる。
【００７４】
画像が認証されたならば、ユーザは表示のオプションのリスト（２０５）を選択することができる（１９９）。オプションには次のものがある。オプションＡ：修正無しの元の画像のみ表示、オプションＢ：損傷のある画素を強制的に白にした画像の表示、オプションＣ：損傷のある画素を強制的に黒にした画像の表示、オプションＤ：ＡとＢの交互表示（Ｒｏｃｋ）、オプションＥ：ＡとＣの交互表示、オプションＦ：統計報告、オプションＧ：表示の終了。交互表示（Ｒｏｃｋ）とは、２つの画像を急速に交互表示することを示す。
【００７５】
オプションＦの統計報告には次のものが含まれる。Ｆ１：画像の画素の総数、Ｆ２：「ｏｋ−ｏｋ」、「Ｄａｍａｇｅｄ−ｏｋ」、「ＤａｍａｇｅｄＰＦＮ−ｏｋ」及び「ｏｋ−ｎｕｌｌ」の印しの付いた画素の総数、損傷のない画素の割合を示す（Ｆ２／Ｆ１）＊１００。
【００７６】
ＣＲＣテストでロウ１９４とコラム２０３を通過したものが「Ｏｋ−ｏｋ」の印しの付いた画素である。ＣＲＣテストでロウ１９４を通過したものの、コラムのＣＲＣテストでは損傷があるとして１９８を通り付加的な情報がないものが「Ｏｋ−ｎｕｌｌ」の印しが付いた画素である。「Ｄａｍａｇｅｄ−ｏｋ」の印しが付いた画素は、実際には損傷のないものである。新しいロウＣＲＣは、元のロウＣＲＣと一致しなかったために画素に損傷があると印しが付けられている。画素がコラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に損傷があると印しが付けられている（１９０）。「ＤａｍａｇｅｄＰＦＮ−ｏｋ」の印しの付いたものも、また実際には損傷のないものを含んでいる。コラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられ、ロウＣＲＣの不全（１８９）によって画素に損傷があると印しが付けられているものである。
【００７７】
Ｆ３は、「Ｄａｍａｇｅｄ−ｎｕｌｌ」の印しが付けられた画素の総数であり、画素の総数に対する割合である（Ｆ３／ Ｆ１） ＊ １００を「真に否定されるもの」の割合（Ｔｒｕｅ Ｎｅｇａｔｉｖｅ Ｐｅｒｃｅｎｔａｇｅ）として表される。新しいロウＣＲＣが元のロウＣＲＣテストと一致しなかった（１９３）ために画素には「Ｄａｍａｇｅｄ−ｎｕｌｌ」の印しが付けられている。コラムＣＲＣの不全によって（２０２）、第２の状態はない（「−ｎｕｌｌ」が付いている）。
【００７８】
Ｆ４は、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」の印しが付けられた画素の総数であり、画素の総数に対する割合である（Ｆ４／ Ｆ１） ＊ １００を「誤った否定の可能性のあるもの」の割合（Ｐｏｔｅｎｔｉａｌ Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ Ｐｅｒｃｅｎｔａｇｅ）として表す。ロウＣＲＣが自己テストで不全（１８９、２０８）、コラムＣＲＣの不全（２０２）のためＯＫとして認証できなかった画素には「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」の印しが付けられる。Ｆ２、Ｆ３とＦ４の相対比率の合計は１００％となるべきであり、Ｆ２、Ｆ３とＦ４の合計はＦ１に等しくなるべきである。
【００７９】
ユーザが表示終了のオプションを選ぶまで（２０７）、代わる代わる表示のオプションを選ぶことができる（２０６）。終了を選んだ時点でＲＣＡ動作は終了する。
【００８０】
図１４を参照すると、Ｓｉｇｎａ２フォーマットにおいて（１７３）、ファイルが不全な署名を有する場合（１７７）、ＥＬＡ／ＤＥＲ動作が行われ、要素レベルの認証（ＥＬＡ）と損傷した要素の回復（ＤＥＲ）の認証が選ばれる（１８６）。比較で使われる署名１４５は、ファイル全体に対する一つの署名である。ＥＬＡ／ＤＥＲの構成とその値１６０は、ファイル全体のレベルではなく各要素のレベルにおける認証を決定する方法に用いられる。
【００８１】
ＥＬＡ／ＤＥＲの構成には、画像の完全な複製、圧縮、符号化を含んでいる。この画像の複製では要素レベルの認証と損傷した要素の回復を可能としている。以下の記載においてユーザが見ることのできる画像の元の版（ｖｅｒｓｉｏｎ）は、第１の画像（Ｐｒｉｍａｒｙ Ｉｍａｇｅ）、略してＰＩと称する。圧縮され符号化された画像の版は、バックアップの画像（Ｂａｃｋｕｐ Ｉｍａｇｅ）、略してＢＩと称する。第１の画像及びバックアップの画像の双方ともロウとコラムのＣＲＣあるいは他の誤り検出プロトコルを有する。
【００８２】
図１６を参照すると、最初に第１の画像における各々のロウに対してステップを実行し（２０９）、各々の第１の画像のロウ用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２１１）、第１の画像のロウにある全ての画素には、誤った否定の可能性のある損傷した画素であるとして「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。第１の画像のロウＣＲＣで自己テストを通過した場合（２１３）、新たな第１のロウＣＲＣが第１の画像のロウにある画素から計算される（２１４）。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致する場合（２１５）、ロウにある全ての画素にＯＫの印し（損傷なし）が付けられる。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致しない場合（２１７）、ロウにある全ての画素に損傷ありの印しが付けられる（２１８）。
【００８３】
図１６を参照すると、ロウに関して処理が終了すると第１の画像における各々のコラムに対してステップを実行し（２１９）、第１の画像のコラム用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２２１）、このコラムに対してそれ以上の動作はなされない。第１の画像のコラムＣＲＣで自己テストを通過した場合（２２２）、新たな第１のコラムＣＲＣが第１の画像のコラムにある画素から計算される（２２３）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致する場合（２２５）、コラムにある全ての画素にＯＫの印しが付けられる（２２６）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致しない場合（２２４）、このコラムについてそれ以上の動作は行われない。
【００８４】
各々の画素には次の６通りの内から一つの印しがつけられる。ロウＣＲＣ２１６とコラムＣＲＣ２２６を通った場合に「Ｏｋ−ｏｋ」、ロウＣＲＣ２１８とコラムＣＲＣ２２６を通った場合に「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣ不全２１２とコラムＣＲＣ２２６を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣ２１６を通った場合に「Ｏｋ−ｎｕｌｌ」、ロウＣＲＣ２１８を通った場合に「Ｄａｍａｇｅｄ−ｎｕｌｌ」、ロウＣＲＣ不全２１２を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」。コラムＣＲＣが失敗の場合（２２１）には第２の状態はない（印しに「−ｎｕｌｌ」が付いている）。
【００８５】
図１７を参照すると、その要素の元の値を回復するように「ｄａｍａｇｅｄ」または「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素に対して認証が開始される。付随する（追加的）処理によっては、損傷を受けた要素の回復（ＤＥＲ）の同じ手続が各々に対して用いられるため、真に否定されるものと誤って否定されるものとを区別することはできない。
【００８６】
損傷している第１の画像の画素の値を回復するには対応するバックアップ画像の画素をまず見つけ出し、検証しなければならない。対応するバックアップ画像の画素の検証は、二つのシナリオの元でそれぞれ行われる。第１のシナリオでは、対応するバックアップ画像の画素に対するバックアップ画像のロウＣＲＣが損傷しておらず、計算されたバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致することである。第２のシナリオでは、対応するバックアップされた画像の画素に対するバックアップ画像のコラムＣＲＣが損傷しておらず、計算されたバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致することである。
【００８７】
ステップ２２７では、第１の画像内の「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの各画素に対してバックアップ画像内の対応する画素を見出す。バックアップ画像は、初めに伸張（圧縮の逆）を必要とする。対応するバックアップ画像の画素を見出すことができない場合（２２９）、認証ができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素を見出すことができた場合（２３１）、バックアップ画像のロウＣＲＣに自己テストが実行される（２３２）。
【００８８】
バックアップ画像のロウＣＲＣの自己テストが不全の場合（２３３）、バックアップ画像のロウＣＲＣは損傷していて、認証は役に立たない。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが認証のために使用され、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。
【００８９】
対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９０】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９１】
バックアップ画像のロウＣＲＣの自己テストが成功した場合（２３４）、新たなバックアップ画像のロウＣＲＣが計算される（２５１）。新たなバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致した場合（２３７）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４２）、ロウの中のバックアップ画像の画素の１またはそれ以上の個数が損傷しており、バックアップ画像のコラムが認証のためテストされる。
【００９２】
ステップ（２３３、２４２）でＮＯの場合、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９３】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９４】
各画素には次の８通りのうち１つの印しが付けられる。ロウＣＲＣの２１６とコラムＣＲＣの２２６から「Ｏｋ−ｏｋ」、ロウＣＲＣの２１８とコラムＣＲＣの２２６から「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣが不全である２１２とコラムＣＲＣの２２６から「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣの２１６から「Ｏｋ −ｎｕｌｌ」、ロウＣＲＣ２１８（画素の元の値は２３８で復元されている）から「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣ２１８（画素の元の値は２３０で復元されていない）から「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣ２１２（画素の元の値は２３８で復元されている）から「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣが不全である２１２（画素の元の値は２３０で復元されていない）から「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」。「Ｄａｍａｇｅｄ −ｎｕｌｌ」と「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」は、復元の結果により置き換えられる。
【００９５】
図１７を参照すると、認証と復元の動作を終えると、ユーザに１１通りのオプションのリストを表示し（２４５）、ユーザは選択する（２４４）。オプションＡでは、修正無しに元の画像を表示する。オプションＢでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を強制的に白色にして表示する。オプションＣでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を強制的に黒色にして表示する。オプションＤでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素は、強制的に白色にする。オプションＥでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素は、強制的に黒色にする。
【００９６】
オプションＦでは、オプションＡとＢとを交互に切り替えて表示する。オプションＧでは、オプションＡとＣとを交互に切り替えて表示する。オプションＨでは、オプションＡとＤとを交互に切り替えて表示する。オプションＩでは、オプションＡとＥとを交互に切り替えて表示する。
【００９７】
オプションＪでは、各所の要素に含まれる統計的な記録を表示する。このオプションでは、画像の総画素数Ｊ１を表示する。また、「ｏｋ−ｏｋ」、「Ｄａｍａｇｅｄ−ｏｋ」、「ＤａｍａｇｅｄＰＦＮ−ｏｋ」および「ｏｋ −ｎｕｌｌ」の印しが付けられた画素の総数と、総画素数Ｊ１に対する損傷を受けていない画素数Ｊ２の割合（Ｊ２／Ｊ１）＊１００とを表示する。「Ｏｋ−ｏｋ」の印しが付けられた画素は、ロウＣＲＣテスト２１６とコラムＣＲＣテスト２２６とを通過したものである。「Ｏｋ−ｎｕｌｌ」の印しが付けられた画素は、ロウＣＲＣテスト２１６を通過したものの、コラムＣＲＣが不全であり（２２１）、付加的な情報がないものである。「Ｄａｍａｇｅｄ−ｏｋ」の印しが付けられた画素は、実際には損傷を受けていないものである。新たなロウＣＲＣが元のロウＣＲＣと一致しないために（２１７）当該ロウ全体が損傷を受けたとものとして印しが付けられ、当該画素（ｐｉｘｅｌｓ）が損傷を受けたとものとして印しが付けられたものである。これらの画素は、コラムＣＲＣのテストを通過したものである（２２５）。「ＤａｍａｇｅｄＰＦＮ−ｏｋ」の印しが付けられた画素は、実際には損傷を受けていないものである。ロウＣＲＣが不全でロウ全体に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられ、画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられている。これらの画素は、コラムＣＲＣテストを通過したものである（２２５）。
【００９８】
また、オプションＪでは、「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ３と、総画素数Ｊ１に対する画素数Ｊ３の割合（Ｊ３／Ｊ１）＊１００とを表示する。さらに、「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ４と、総画素数Ｊ１に対する画素数Ｊ４の割合（Ｊ４／Ｊ１）＊１００とを表示する。
【００９９】
また、オプションＪでは、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ５と、総画素数Ｊ１に対する画素数Ｊ５の割合（Ｊ５／Ｊ１）＊１００とを表示する。また、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ６と、総画素数Ｊ１に対する画素数Ｊ６の割合（Ｊ６／Ｊ１）＊１００とを表示する。Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６の総和は、Ｊ１に等しく、Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６のパーセンテージの総和は、１００％になるべきである。
【０１００】
最後のオプションは、オプションＫであり、表示を終了するオプションである。ユーザは、表示を終了するオプションを選択する（２４７）まで、各種表示のオプションを選択し続けることが可能である。表示を終了するオプションを選択した時点でＥＬＡ／ＤＥＲ動作が終了する。
【０１０１】
次に、信頼できる出所から獲得され改変のされていない認証プログラムによるロウとコラムの認証を用いる「真に否定されるもの」（ｔｒｕｅ ｎｅｇａｔｉｖｅ）、「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）について説明する。
【０１０２】
画素が損傷を受け（元の状態から改変されて）、この損傷がＲＣＡ動作で検出されると、画素は、「真に否定されるもの」であり、認証されないる画像の一部である。ＲＣＡを使うと、「誤って否定されるもの」を作り出し、画素は実際には認証されるが損傷を受けたものと印しが付けられる。
【０１０３】
画素が本物か損傷を受けたものか、ロウＣＲＣが本物か損傷を受けたものか、コラムＣＲＣが本物か損傷を受けたものか、について表１に示す８通りの場合分けが存在する。
【０１０４】
【表１】
【０１０５】
表１において、Ｙは損傷していることを表し、Ｎは損傷していないかＯＫを示す。
起こりうる数（ｎｕｍｂｅｒ ｏｆ ｐｏｓｓｉｂｉｌｉｔｉｅｓ）は、（要素の数）！／（同一の要素の数）！で表される。
【０１０６】
全てのケースで３つの要素がある。ケースＡでは、３つの項目とも損傷していないケースである。Ｙが０個、Ｎが３個である１つのケースである（３！／３！＝１）。ケースＢからＤでは、３つの項目のうち１つが損傷しているケースである。Ｙが１個、Ｎが２個である３つのケースがある（３！／２！＝３）。ケースＥからＧでは、３つの項目のうち２つが損傷しているケースである。Ｙが２個、Ｎが１個である３つのケースがある（３！／２！＝３）。ケースＨでは、３つの項目とも損傷しているケースである。Ｙが３個、Ｎが０個である１つのケースである（３！／３！＝１）。
【０１０７】
ケースＧでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素は損傷しておらず、「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）となる。ロウＣＲＣの自己テストで不全となる場合（１８９）、ロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることとなる（２０８）。コラムＣＲＣの自己テストで不全となる場合（１９８）、「ｄａｍａｇｅｄＰＦＮ」の印しが付けられたままである。ケースＨでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素も損傷していることから「誤って否定」ではない点を除き、ケースＧと類似する。
【０１０８】
表１を参照すると、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）（損傷していないとして不適切な認証をされている画素）は、起こりえない条件である。ケースＢ、Ｅ、Ｆ、Ｈでは、画素は損傷している。ケースＢでは、ロウＣＲＣは損傷していないし、新たに計算された（１９２）ロウＣＲＣは、元のロウＣＲＣと一致しない（１９３）。ロウにある全ての画素は損傷があるものとして印しが付けられる（１９０）。ケースＢでは、コラムＣＲＣも損傷していない。計算された新たなコラムＣＲＣは、元のＣＲＣと一致しないし、損傷があるものとして印しが付けられたコラムの画素は、損傷があるものとして印しが付けられたままである。新たなコラムＣＲＣが元のコラムＣＲＣと一致する場合（２０３）、損傷がある画素を含むコラムの全画素にＯＫのマークが付けられる（２０４）。
【０１０９】
ケースＥでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）で誤りであることがわかり（１８９）、ロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる（２０８）。コラムＣＲＣが損傷しておらず、コラムＣＲＣ自己テストを通過（パス）するだろう（２００）。新たなコラムＣＲＣが元のＣＲＣと一致せず（２０２）、ロウＣＲＣが損傷した際にはロウに、”損傷していて「誤って否定される可能性のあるもの」”すなわち「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることで、「ｄａｍａｇｅｄＰＦＮ」の印しの付いたコラムの画素が「ｄａｍａｇｅｄ」として印された状態に留る。もし、新たなコラムＣＲＣが元のＣＲＣと一致する場合（２０３）にのみ、損傷しているものも含みコラムの全ての画素にＯＫのマークが付けられる（２０４）。
【０１１０】
ケースＦでは、ロウＣＲＣが損傷しておらず、ロウＣＲＣの自己テスト（１８８）をパスする（１９１）。新たに計算されたロウＣＲＣ（１９２）は、元のロウＣＲＣと一致せず（１９３）、ロウの全ての画素に「ｄａｍａｇｅｄ」と印しが付けられる。ケースＦでは、コラムＣＲＣが損傷していて、コラムＣＲＣの自己テストを通過せず（１９８）、「ｄａｍａｇｅｄ」と印しが付けられたコラムの画素は、「ｄａｍａｇｅｄ」と印された状態に留る。
【０１１１】
ケースＨでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）をパスしないのでロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。ケースＨでは、コラムＣＲＣは、損傷しており、コラムＣＲＣの自己テストを通過しない（１９８）。「ｄａｍａｇｅｄＰＦＮ」の印しが付けられているコラムの画素は、ロウＣＲＣが損傷しているとき画素のロウに、損傷していて「誤って否定される可能性のあるもの」すなわち「ｄａｍａｇｅｄＰＦＮ」として印しが付けられるので、「ｄａｍａｇｅｄＰＦＮ」として印された状態に留る。
【０１１２】
ＲＣＡでは、認証プログラムが信頼ある元から獲得され改変されていない場合、損傷している画素が損傷していないと不適切に認証され、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）とはなりえない。
【０１１３】
損傷している要素の回復（ＤＥＲ）により要素レベルの認証を用いる「真に否定されるもの」（Ｔｒｕｅ Ｎｅｇａｔｉｖｅｓ）、「誤って否定されるもの」（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅｓ）、「誤って肯定されるもの」（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅｓ）について以下に述べる。ある一つの画素が損傷して（元の状態から改変されて）損傷がＥＬＡ動作により検出されると、当該画素は「真に否定されるもの」であり、本物ではないと適正に決定された画像の一部である。ＥＬＡを使うと、画素が実際には本物であるが損傷している（ｄａｍａｇｅｄ）と印しが付けられていることを示す「誤って否定されるもの」（ｆａｌｓｅ−ｎｅｇａｔｉｖｅ）の表示を生成することがありうる。
【０１１４】
第１（ｐｒｉｍａｒｙ）の画像の画素の認証／損傷、バックアップ画像の画素の認証／損傷、第１のロウＣＲＣの認証／損傷、バックアップのロウの認証／損傷、第１のコラムＣＲＣの認証／損傷、バックアップのコラムＣＲＣの認証／損傷、で場合分けされる６４通りのケースが存在する。
【０１１５】
表２〜表５において、Ｙは損傷を、Ｎは損傷していないかＯＫを示す。
【０１１６】
表２は、第１の画像の画素が認証され、バックアップ画像の画素も認証される状態を示す（グループ１）。
【０１１７】
【表２】
【０１１８】
表３は、第１の画像の画素が損傷していて、バックアップ画像の画素が認証される状態を示す（グループ２）。
【０１１９】
【表３】
【０１２０】
表４は、第１の画像の画素が認証され、バックアップ画像の画素が損傷している状態を示す（グループ３）。
【０１２１】
【表４】
【０１２２】
表５は、第１の画像の画素が損傷していて、バックアップ画像の画素も損傷している状態を示す（グループ４）。
【０１２３】
【表５】
【０１２４】
「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）であるためには、次の条件が必要である。（１）第１の画像の画素が実際には損傷していない（Ｎ）、（２）第１の画像の画素が損傷していると最初の操作で不適切に表示されている、（３）その後の全ての操作は不適切な表示を正すことがない。
【０１２５】
「誤って否定されるもの」では、第１の画像の画素が実際には損傷していない（Ｎ）という要因は、結果をグループ１とグループ３に限定する。最初にＰＩ画素のロウに「ｄａｍａｇｅｄＰＦＮ」の印しが付けられるには、第１のロウＣＲＣは、損傷していなければならない（Ｙ）。もしロウＣＲＣが損傷しておらず、画素のロウが損傷していない場合、画素にはＯＫの印しが付けられる。これは「誤って否定されるもの」でなく、他の何かであり、結果をグループ１とグループ３におけるケースＢ、Ｆ、Ｇ、Ｈ、Ｌ、Ｍ、Ｎ、Ｐのケースに限定する。
【０１２６】
「ｄａｍａｇｅｄ」と印しが付けられている画素を損傷しているロウＣＲＣにより訂正することを排除するには、第１のコラムＣＲＣは、損傷していなければならない（Ｙ）。ケースＢ、Ｆ、Ｈ、Ｍでは、第１のコラムＣＲＣは、損傷しておらず（Ｎ）、グループ１とグループ３において結果をケースＧ、Ｌ、Ｎ、Ｐに限定する不適切な「ｄａｍａｇｅｄＰＦＮ」の表示の付いた画素の誤表示を正すこととなる。
【０１２７】
訂正を排除するには、バックアップのロウＣＲＣは損傷していなければならない（Ｙ）。ケースＧ、Ｎでは、バックアップのロウＣＲＣは損傷しておらず（Ｎ）、その結果、グループ１とグループ３におけるケースＬ、Ｐに限定される「ｄａｍａｇｅｄ」の表示の付いた画素の誤表示を正すこととなる。
【０１２８】
訂正を排除するには、バックアップのコラムＣＲＣは損傷していなければならない（Ｙ）。ケースＬでは、バックアップのコラムＣＲＣは損傷しておらず（Ｎ）、その結果「ｄａｍａｇｅｄＰＦＮ」の表示の付いた画素の誤表示を正すこととなる。ケースＰ１では、バックアップ画像の画素は、正しいが、全ての誤り検出構造（第１のロウＣＲＣ、第１のコラムＣＲＣ、バックアップのロウＣＲＣ、バックアップのコラムＣＲＣ）に損傷があるために正本として認証することができない。但し、ケースＰ１、Ｐ３においてだけは、適正な画素が、訂正の可能性がなしで「ｄａｍａｇｅｄ」と印しが付けられることがありうるだろう。
【０１２９】
同じ表（複数）を利用することで、「誤って肯定されるもの」（損傷している画素が誤って損傷していないと認証される）は、可能な条件ではないことが示される。グループ２とグループ４の両方では、損傷している第１の画像の画素（ｐｉｘｅｌｓ）が含まれている。第１のロウＣＲＣが損傷している場合、当該ロウに属する全ての画素には「ｄａｍａｇｅｄ」との印しが付けられる。第１のロウＣＲＣが損傷していない場合、新たなロウＣＲＣは、与えられたロウＣＲＣと一致せず、当該ロウに属する全ての画素は「ｄａｍａｇｅｄ」との印しが付けられる。「誤って肯定されるもの」のケースを区別すためには、第１のロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は重要ではない。画素には「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。即ち、第１の画像のロウＣＲＣ単独で、損傷している画素に「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることを保証する。
【０１３０】
「誤って肯定されるもの」であるためには、全ての検出可能で修正可能な機構が、画素が「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」である旨の第１のロウＣＲＣの決定を変更するモードにおいて、失敗する必要がある。第１のコラムＣＲＣが損傷している場合（２２１）、画素が損傷しているとの決定を変更することはない。第１のコラムＣＲＣが損傷していない場合（２２２）、新たなＰＩのコラムＣＲＣ（ＰＩ ＣＯＬＵＭＮ ＣＲＣ）は、元のＰＩのコラムＣＲＣと一致しない。したがって、損傷している画素がｄａｍａｇｅｄであるという決定を変更することはない。「誤って肯定されるもの」の場合を抽出するためには、第１のコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「ｄａｍａｇｅｄ」の印しが付けられたままである。
【０１３１】
バックアップのロウ及びコラムＣＲＣは、損傷した要素の回復に使われ、要素レベルでの認証には使われない。したがって、「誤って肯定されるもの」の場合を抽出するためには、バックアップのロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではないし、バックアップのコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「ｄａｍａｇｅｄ」の印しが付けられたままである。
【０１３２】
これにより「誤って肯定されるもの」の条件の可能なソースとしてグループ２とグループ４の全てのケースが除かれる。他には考慮すべきケースがないので、認証プログラムに公認されていない（ないし権限のない）改変がない場合には、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）は可能とはならない。
【０１３３】
同じテーブルを使って、損傷した画素が損傷した要素の復元構造から復元できるか否かを決めることができる。復元を考慮すると、第１の画像の画素は、「ｄａｍａｇｅｄ」あるいは「誤って否定されるもの：ｆａｌｓｅ ｎｅｇａｔｉｖｅ」（損傷していると印しが付けられている画素が実際には損傷していない）のいずれかでなければならない。これにより、グループ２及び４の損傷している画素、及び二つの可能な「誤って否定されるもの」の状態のケースＰ１及びケースＰ３を考慮することに限定される。
【０１３４】
バックアップ画像の画素は、実際には損傷していてはならない。ＢＩ画素が損傷しているグループ４の全てのケースでは、全ての「誤って肯定されるもの」が可能でないことから復元ができない。バックアップ画像の制御構造は、損傷していないとしてそれをＢＩ画素であると認証しなければならない。損傷していると誤って考えられるバックアップ画像の画素に導くバックアップのロウＣＲＣは、損傷していてもよい。バックアップ画像のコラムＣＲＣが損傷していない場合、バックアップ画像の画素を損傷しているとの誤指定を正すことができる。
【０１３５】
損傷していないバックアップのロウＣＲＣは、バックアップ画像の画素が損傷していないということを示している。損傷しているバックアップのコラムＣＲＣは、バックアップ画像の画素が損傷していないというバックアップのロウＣＲＣの決定を変更することはない。したがって、バックアップ画像のロウＣＲＣあるいはバックアップ画像のコラムＣＲＣが損傷していない限り、損傷していないバックアップ画像の画素が認証でき、損傷している第１の画像の画素の復元に使うことができる。ケースＪ２、Ｍ２、Ｏ２、Ｐ２のみにおいて、バックアップ画像の両方のＣＲＣの構造が損傷しており、損傷していないバックアップ画像を損傷していないものとして認証することができない。
【０１３６】
Ｐ１とＰ３の「誤って肯定されるもの」の場合、バックアップの両方のＣＲＣ構造が損傷し、損傷していないバックアップ画像を損傷していないものとして認証することができない。その結果、グループ４の１６個のケース、及びケースＪ２、Ｍ２、Ｏ２、Ｐ２において、損傷している第１の画像の画素は、復元することができない。Ｐ１あるいはＰ３で「誤って否定されるもの」となる場合、誤って識別された損傷した第１の画像の画素を復元することはできない。
【０１３７】
次に、ディジタル署名の強度を増大させるランダムな文字列の役割について説明する。一時使用と無作為な要素により不正な詐称に成功しないようにディジタル署名の耐力を増加する方法について、例を示し説明する。
【０１３８】
空（ｂｌａｎｋ）の画像と一定の署名アルゴリズムでスタートし、いずれかの実際の画像（ｔｒｕｅ ｉｍａｇｅ）が空に変えられ、正しい空の画像から当該署名が付加されることがありうる。改変された画像は、ほんの少し工夫すれば認証において不適正に認証されることとなろう。同じ画像が同じ署名を生成するので、これは脆弱な情況であり、望ましくない結果となるのは明らかである。
【０１３９】
適応性のある署名では、１つの署名は画像のコンテンツから作られる。空の画像の場合、同じ署名が生成されるであろう。一つの画像が空へと手を加えられ、当該署名は正しく署名された空の画像から複製されうる。これは、同じ望ましくない結果となると先に述べたことと同様に認証において不適正な認証を許すことになろう。
【０１４０】
適応性（ａｄａｐｔｉｖｅ）のある署名の例としては、ワンタイム要素（ｏｎｅ−ｔｉｍｅ ｅｌｅｍｅｎｔ）を含むものがある。ワンタイム要素を付加すると、たとえ画像自体が空であっても署名を他の署名と異ならせることができる。ワンタイム要素とは、日時や画像のシーケンス番号のように決して繰り返さないものである。これらのワンタイム要素を何らかの巻込（組込）みや巧妙な取扱いは、容易に偽造させないようにするのに好ましい。これにより、同じ画像が異なる署名を生成するので、より強力な解決となる。
【０１４１】
適応性のある署名は、ワンタイム要素と無作為（ランダム）要素を含む署名であってもよい。ランダムな文字列（ｒａｎｄｏｍ ｓｔｒｉｎｇ）とは、以前の画像から選んだ値を含む多くの変数から生成される文字の列である。ランダムな文字列を生成するアルゴリズムは、営業の秘密であり、それ以外では同じである同一の製造の流れないしロット（ｓａｍｅ ｐｒｏｄｕｃｔｉｏｎ ｒｕｎ）の間でも、装置毎に異なるものである。使われるアルゴリズムは、同一の装置であっても使用のたびに変更されうるものである。同一の装置からほんの少し時間を隔てて取り込まれた二つの空の画像から、大きく異なった２つの署名が生成できる。また、異なる二つの装置から正確に同一の時刻で取り込まれた二つの空の画像からは、大きく異なった２つの署名が生成できる。このことにより、１つのワンタイム要素のみを含む適応性のある署名よりも強力な解決策を作り出すことになる。
【０１４２】
他の変形例として、ワンタイム要素及びワンタイムランダム要素を伴った適応性のある署名（ａｄａｐｔｉｖｅ ｓｉｇｎａｔｕｒｅ）がある。ユーザは、新たなランダムな文字列を生成する頻度を制御する。画像を取り込んだ後に新たにランダムな文字列を生成する場合、当然、ランダムな要素は、その定義上、パターン化されていないので、画像から生成する署名のパターン認識が不可能である。署名の生成プロトコル及びランダムな文字列の生成アルゴリズムが知られていないか、あるいは逆探知（リバースエンジニアリング）されない限り、正しく構成されているＳｉｇｎａ２の画像に署名できる能力は、専らＳｉｇｎａ２の装置内にのみ存在する。装置の間でランダムな文字列の生成プロトコルの変更、同一装置の使用と別の使用との間でのプロトコルの変更、ランダムな文字列の頻繁な再生成により、手順を決める結果の分析（リバースエンジニアリングの一形態）は、ほとんど徒労である。
【０１４３】
以上で述べた説明及び図において発明を例示し詳細に記述したが、これに限定されるものではなく、発明の意図に至る全ての変更及び修正は保護されるべきである。
【図面の簡単な説明】
【図１】本発明の一実施例に係るディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳ装置を示す概略図である。
【図２】本発明による自立的（ないし機能完備の：ｓｅｌｆ−ｃｏｎｔａｉｎｅｄ）ディジタルカメラの概略図である。
【図３】本発明による自立的ディジタルカメラの詳細図である。
【図４】本発明の一実施例に係る動作シーケンスを表すフロー図である。
【図５】図４に示すプレキャプチャ動作を表すフロー図である。
【図６】図５に示すプレキャプチャ動作における付加的な入力のチェックに関するフロー図である。
【図７】プレキャプチャ動作におけるユーザ制御の記録に関するフロー図である。
【図８】図４に示すキャプチャ動作を表すフロー図である。
【図９】図４に示すポストキャプチャ動作を表すフロー図である。
【図１０】図９の続きを表すフロー図である。
【図１１】図４に示す記録動作を表すフロー図である。
【図１２】署名のあるディジタル画像のファイルフォーマットを表す図である。
【図１３】図４に示す一掃と準備を表すフロー図である。
【図１４】認証のシーケンスを表すフロー図である。
【図１５】図１４に示すＲＣＡ動作を表すフロー図である。
【図１６】図１４に示すＥＬＡ／ＤＥＲ動作を表すフロー図である。
【図１７】図１６の続きを表すフロー図である。
【発明の属する技術分野】
本発明は、周囲の情況ないし事象（以下「情況」で代表する）（ｅｎｖｉｒｏｎｍｅｎｔ）を抽出して記録する方法及び装置に係り、特に周囲の情況を抽出したものが認証され、改変されていないことを検証するための記録の方法及び装置に係る。
【０００２】
［発明の背景］
本発明の一つの目的は、意図的あるいは偶発的な記録の改変の問題を解決することである。この発明における「記録」とは、ディジタル画像、データファイル、一般的なオーディオ録音を含む全ての記録を意味するものである。
【０００３】
写真、映画さらに印刷物は、オリジナルの認証されたコピーであると信用できるメディアと歴史的に見なされてきた。修正主義者の歴史のための写真の改変の試みの例としては、テーブルに５人が座っているが、テーブルの下には６組の両足が認められるというコミカルなものがある。研究所にあっては改変されないように手書きで恒久的に綴じられているノートが使われている。最近の技術の進歩により画像を改変するのは初心者でもできるようになってきている。習熟者が進歩した技術を駆使すると、改変はほとんど検知することができない。このため、写真、手書き、あるいは音の記録について認証を保護するために「保管の連鎖」（ｃｈａｉｎ ｏｆ ｃｕｓｔｏｄｙ）が必要となる場合には、ディジタルの写真はほとんど使われていない。例えば、映像を撮った時にアルコール飲料のびんが実際には無く、事故の後の脚色であったにもかかわらず、運転手の周りにびんがあるように見えるように事故の映像を改変することができる。
【０００４】
画像ファイルから作られた画像を認証するための装置を備えたディジタルカメラは、Ｕ． Ｓ． Ｐａｔｅｎｔ Ｎｏ． ５，４９９，２９４において開示されている。Ｕ． Ｓ． Ｐａｔｅｎｔ Ｎｏ． ５，４９９，２９４の図３Ａを参照すると、ディジタルカメラを含むシステムのブロック図において、ディジタル署名の付いた画像ファイルを生成することが示されている。認証された画像ファイルを扱うには特定の解読鍵が必要とされる。さらに、画像ファイルが認証できるか否かを決めるために、各々のカメラが特定の暗号鍵を備えるので、認証を実行する人は、どのカメラで画像を撮ったかを知っていなければならない。
【０００５】
［発明の概要］
周囲の情況をサンプル（標本化）したもの（ｓａｍｐｌｅ ｏｆ ｅｎｖｉｒｏｎｍｅｎｔ）の認証を決めるための改良された方法及びシステムが求められている。ディジタルサンプルが取得された少なくとも一つの条件を表す少なくとも一つのパラメータと周囲の情況自体のサンプルとの双方の関数であるディジタル署名が作成される。該サンプルは、少なくとも一つのパラメータ及びディジタル署名と共にメモリに記録される。蓄積されている画像の認証は、蓄積されている画像と少なくとも一つのパラメータから新たな署名を生成して決定され、二つの署名が同一であるか比較される。
【０００６】
このような方法及び装置は、いくつかの理由により有利である。本発明の一つの視点において、蓄積されたサンプルとパラメータと署名さえあれば、周囲の情況をサンプルした装置について知る必要がないことである。第二において、認証の目的には暗号を必要とせず、情報の蓄積装置をコスト的により効率よく製造することができることである。
【０００７】
本発明の他の構成と効果については、以下の記載から明らかにされる。
【０００８】
【発明の実施の形態】
本発明の第一の視点は、固有（ｉｎｄｉｇｅｎｏｕｓ）の認証の考え方と方法にある。すなわち、認証を検証対象ないし資料（ｍａｔｅｒｉａｌ）とするものと共に記録物を生成する装置のファミリにある。本発明の一つの実施例は、画像が全体として認証されるディジタル写真に関する。全体よりも小さな部分の認証を行う中間的なバージョンのもの（ｖｅｒｓｉｏｎ）も存在しうる。損傷を受けた（元の状態から改変された）部分を修復する進歩したものも存在しうる。日付、時刻、緯度、経度、標高、ロール、ピッチ、ヨー、コンパス方位等を含む付加的な入力が、カメラ識別、画像シーケンス番号、フラッシュ状態、レンズのズーム係数、計数振動（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ）状態、フォーカス状態、フォーカスの質ないし特性（ｑｕａｌｉｔｙ）を含むカメラの要素の状態と同様に、画像の一部を形成する。この付加的な情報が記録されたものの一部となり、認証される。
【０００９】
本発明は、自己認証を証明するドキュメント、公証用システムの拡張システム、あるいは先に述べたハード的に書かれたノートに置き換わる電子的なラボラトリノート（ラボノート）、これらのためのディジタルカメラの他に、情報を取得するシナリオに応用できる。信頼できる情報源として一度確立されると、「固有の認証」の考え方は、品質制御、法的な必要物、金融商品の記録に拡張できる。
【００１０】
認証を検証する鍵は、認証の情報の発生がセンサ装置と記録装置に密接に関連している。認証の情報が発生しない内は記録を改変できるものは何も無い。この方法を用いる認証では、ファイルの比較も従来の暗号化又は解読（ｒｅｖｅｒｓｅ ｅｎｃｒｙｐｔｉｏｎ）も不要である。ユーザの制御の下で発生される一回限りのランダムな要素とランダムな文字列とを用いることで認証における強度が増す。基本的な操作には必要ないが、情報を秘密化するために結果の記録に対し随意的に暗号化がなされる。従来の暗号化あるいは解読を必要としないことで、公的な登録機関あるいは解読鍵を管理する記録保管機関の必要性が薄れる。認証が固有である故、どの記録装置が使われたかを識別する必要がない。
【００１１】
図２を参照すると、周囲の情況２は、フォーマットの一つにサンプル１にサンプルされる。視覚的な周囲の情況を一つのサンプルに記録するには、一般にカメラとして知られる光学的な記録装置の１フレームが使われる。写真として撮られたサンプルは、ポジの透明フィルム（スライド）、ネガの透明フィルム（ネガ）、不透明あるいは透明なプリント、さらに最近ではディジタルファイルとして記録される。
【００１２】
視覚的な周囲の情況を連続的なサンプルとして記録するには、ビデオカメラ、映画フィルム用カメラ、ディジタルの映画フィルム用カメラのような連続的な光学記録装置が使われる。これらのサンプルは、一般にムービーと呼ばれ、透明フィルム、ビデオテープ、さらに最近ではディジタルファイルとして記録される。
【００１３】
音の周囲の情況を一つのサンプルとして記録するには、テープレコーダやディジタルレコーダのような連続的なオーディオ記録装置が用いられる。これらのサンプルは、一般に「レコーディング」と呼ばれ、ワイヤ、テープ、ディジタルファイルのいろいろな種類に記録される。
【００１４】
センサや記録装置の発展と共に、味覚、触覚、嗅覚のサンプルも同様なモデルに従って適応させることができる。また、サンプルは、人間の五感に限ったものではない。本発明で開示している認証や検証の方法では、物理的、化学的そして分光的な現象の全範囲を含むセンサ装置から得られるサンプルに使用することができる。
【００１５】
図２に示すように、認証を保証するためには、センサ装置４以外の付加的な入力７（ａｄｄｉｔｉｏｎａｌ ｉｎｐｕｔｓ）がユーザに検知されること無く、影響を受けずに存在する。これを実現するために付加的な入力は、装置の物理的な境界の内部に示されている。アナログの記録装置は、アナログディジタル変換器を用いてシステムに組み込まれる。
【００１６】
本発明の適用の一つは、認証が必要となる情況において「信用できる」と考えられる画像あるいはデータのファイルを生成することである。これには、法的な証拠、保険の請求、プロジェクト管理、科学の研究、発明、品質制御、身分証明、情報収集、購買、命令と制御、法の執行、ドキュメントや画像の伝送などが含まれる。
【００１７】
デジタルでの取り込み、分析、蓄積、伝送、情報の流通と使用、データの取り込みや生成のための高度化されたハードウェアおよびソフトウェアの急速な推移により、画像あるいはデータファイルを認証において受け入れることが難しくなっている。
【００１８】
社会におけるパーソナルコンピュータの絶え間ない進歩やインターネットの利用の増大に伴い、意図的な不正手段、あるいは伝送や蓄積のエラーによる偶発的な改変が含まれる電子的メディアでも信じてしまう傾向が強まっている。認証に対する必要性は、改変されたファイルの増加と共に高まってきている。また、認証に対する必要性は、改変されたファイルが引き起こす潜在的な損害と共に増加してきている。例えば、契約書、発注書、判決書、電子的な支払書、電子的な請求書、品質制御情報、青写真、設計図ないしデザイン（ｄｅｓｉｇｎｓ）、これらが、改変されたものが認証されて信用されたとすると、多大な損害を与えることとなる。不心得者による不当な行為を妨げ頓挫させるようにするには、固有の認証が規範となると考えるのは妥当である。
【００１９】
本発明の一つの視点によれば、画像の改変が検出されない虞を完全に減らし、結果として故意あるいは知らずに行う（ｕｎｋｎｏｗｉｎｇ）ごまかしを意図して改変された画像の使用を減らすこととなる。したがって、同じような結果に到達する将来の装置に対して枠組みを与え、特に画像が法的手続きにおける証拠となるような法の執行において、写真の画像の信頼性が減退するような社会的そして経済的な問題を解決することとなる。
【００２０】
図１は、本発明の一実施例の概略図であって、ディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳユニットが示されている。汎用のマイクロコンピュータ２５２は、プロセッサ１５７とそのプログラムをシミュレートするために用いられる。マウス２５６、キーボード２５７は、ユーザによる制御の設定をシミュレートするために用いられる（図３の９、１０、１１、１２、１３参照）。マイクロコンピュータのモニタ２５３は、図３に示すプロセスモニタ８と類似している。外部のＧＰＳ（ｇｅｏｇｒａｐｈｉｃ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ）２５４は、内部のＧＰＳ４４に代り使われる。外部に接続されたディジタルカメラ２５５は、レンズセンサセット７３、オートフォーカス１９、フラッシュ発生器３０をシミュレートする。マイクロコンピュータ２５２のフロッピドライブ（不図示）は、記録装置１４２と３．５インチフロッピディスク２５９の機能を実行し、取り外し可能な記録メディア１４１である。
【００２１】
図３は、一般にカメラとして知られている１フレームの光学的な記録装置の装置モデルを示している。図３には、装置に供給される外部電源あるいは内部のバッテリーは示していない。このカメラでは、ユーザはプロセスモニタ８にアクセスすることができる。おおよその照準へのアクセスは、レンズの光軸に平行なシャフトを通して得られる。現在のシーンの再形成を制御するプロセッサ１５７を介してプロセスモニタ８にアクセスすることができる。プロセスモニタにフラッシュの状態、ズームの状態等が表示される。
【００２２】
操作者は、装置を照準し、活性化させ、フラッシュ９、ズーム１０、ランダムな文字列の記録（ＰＳＲ）１１、オプションの暗号１２、などを含むユーザの制御を設定する。カメラが動作している間、センサ装置と記録装置とが強く結合した完全な状態６であることを検出するように内部のセキュリティ１４が監視される。
【００２３】
図４には、プロセッサ１５７が動作信号を受け取ると、プレキャプチャ、キャプチャ、ポストキャプチャ、記録、処理の一掃とプレキャプチャに戻るための準備、の各動作フェーズが実行されることが示されている。各フェーズの処理時間を減らすには、並列処理及び他の工学的な技術が使われる。
【００２４】
図５には、ユニットの最も共通の動作フェーズであるプレキャプチャのシーケンスが示されている。装置は、ユーザの制御１３により起動されるか、正常な終了処理９５に備えて切断を行う（１５）までは、プレキャプチャ動作が繰り返される（６５）。装置が起動されても動作サイクルを実行するための十分な電力が無い場合（１６）には、ユーザによる起動は無効となる。その旨がプロセスモニタを介してユーザに対して表示され（１７）、これ以上の処理は、なされない（６６）。
【００２５】
動作サイクルを実行するための十分な電力がある場合には、付加的な入力と構成要素がチェックされる。図６において、オートフォーカス１９用センサとプロセッサがチェックされる（２０）。機能が不全である場合（２１）、ユーザに対しプロセスモニタ（８）を介してエラーメッセージが表示される（２２）。
【００２６】
オートフォーカスの状態とは無関係に、処理は、フォーカス特性センサ２３、フラッシュ発生器３０、計数振動装置（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｕｎｉｔ）（Ｃ−ＶＩＢＥ）３５、ロール・ピッチ・ヨー検出器（ＲＰＹ）４０をチェックし続ける。以上のチェックは、結果に関係なく、（２０）、（２５）、（２９）、（３４）、（３９）の順に行われる。各チェックにおいて機能が不全である場合、プロセスモニタにエラーメッセージが表示され、ユーザに対し知らされる（２２）（２７）（３２）（３７）（２５０）。
【００２７】
図６において、（４２）に引き続いてＧＰＳ装置４４のチェックが行われる（４３）。機能が不全である場合（４５）、「ＧＰＳ無し」が記録される（４６）。機能が正常である場合（４７）、現在のＧＰＳの情報が取り入れられ、ＧＰＳの他の情報は記録され（４８）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の位置情報に更新される（４９）。
【００２８】
ＧＰＳの状態とは無関係に、（５０）に引き続き、内部にあるコンパス５２がチェックされる。機能が不全である場合（５３）、「コンパス無し」が記録される（５４）。そうでない場合（５５）、現在のコンパスの示す方向が記録され（５６）、プロセスモニタ８では、表示内容がエラーメッセージまたは現在の方位情報に更新される（５７）。
【００２９】
コンパスの状態とは無関係に、（５８）に引き続き、内部のセキュリティシステム１４がチェックされる（５９）。セキュリティが破られている場合（６０）、侵害されている旨が記録される（６１）。そうでない場合（６２）、画像は保護されている旨が記録され（６３）、プロセスモニタ８では、表示内容が侵害されている旨または画像は保護されている旨に更新される。
【００３０】
図５において、付加的な入力（ｉｎｐｕｔｓ）と構成要素がチェックされると（１８）、ユーザによる制御の変更が記録される（６７）。図７において、ユーザによりなされたフラッシュの設定９に対してフラッシュ発生器３０の現在の設定がチェックされる（６８）。一致していない場合（６９）、フラッシュ発生器３０は、ユーザにより設定される（７０）。
【００３１】
レンズ７３のズームの設定に対してユーザのズームの設定がチェックされる。一致していない場合（７４）、ズームは、ユーザにより設定される（７５）。ユーザによりなされた設定１１に対して現在のランダムな文字列の記録値（ＲＳＲ）がチェックされる（７７）。一致していない場合（７８）、記録値（ＲＳＲ）は、ユーザによりなされた設定に設定される（７９）。この時の取り得る二つの値は、「次の画像に付加する新しいランダムな文字列を記録する」Ｙと、「次の画像に付加する新しいランダムな文字列を記録しないＮ」である。
【００３２】
ユーザにより与えられた暗号値１２に対して現在の暗号値がチェックされる。一致していない場合（８２）、現在の暗号値は、ユーザにより与えられた暗号値に設定される（８３）。この時の取り得る三つの値は、「暗号化された画像のみを作る」Ｙと、「暗号化された画像を作らず暗号化されていない画像のみを作る」Ｎと、「暗号化された画像と暗号化されていない画像の両方を作る」Ｂである。
【００３３】
図５において、ユーザによる制御の変更が記録されると、（６７）、（８６）に引き続いて記録メディアの適性がテストされる（８７）。記録メディアが適性を欠いている場合（８８）、プロセスモニタ８では、表示内容がエラーメッセージに更新され（８９）、この時点以降に更なる処理は実行されない（９０）。
【００３４】
記録メディアの適性のテストが終了すると（９１）、全てのプレキャプチャ動作が完了する。起動制御１３の状態に対しテストがなされる（９２）。制御が起動されていない場合（９３）、処理は戻され（６５）、起動されている場合、処理はキャプチャ動作に移行する（９４）。
【００３５】
図８において、ユーザによる起動制御１３がなされると、プレキャプチャ動作（図５参照）からキャプチャ動作（図８参照）に処理が移る。ＧＰＳとコンパスから現在の値を取得する（９６）。ＧＰＳが起動していない場合（４５）、「ＧＰＳ無し」を表す値が記録される（４６）。ＧＰＳが起動している場合（４７）、ＧＰＳの情報４８が、現在のデータと時刻として記録される。ステップ（５１）において、コンパスが起動されている場合（５５）、現在の方位が記録され、起動されていない場合（５３）、「コンパス無し」を示す値が取得される（５４）。
【００３６】
この時点で計数振動装置（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｕｎｉｔ）（Ｃ−ＶＩＢＥ）の要求があれば（９７）、起動される（９８）。ロール・ピッチ・ヨー（ＲＰＹ）センサが起動され（９９）、フラッシュユニットの準備の必要性が決められる（１０５）。ユーザがフラッシュを点けるか否かを指示するためのテストが行われる（１００）。フラッシュの点灯を指示する場合（１０１）あるいは自動フラッシュが検出され（１０３）フラッシュの要求がある場合（１０４）には、フラッシュが点灯され（１０５）、フラッシュ付の画像が取り込まれる（１０８）。その他の場合にはフラッシュ無しの画像が取り込まれる（１０７）。
【００３７】
フォーカス特性（質ないし設定条件 ｑｕａｌｉｔｙ）の付加的な入力２３にアクセスすることでフォーカス設定点（ないし特性点）が検出される（１０９）。フォーカス設定点の数が選択され、最大レンジと最小レンジが記録される。カメラでは音波による射程あるいは被写体深度を計る他の技術が使われる。この方法はオートフォーカスにとって必要であり、映像の再現を検出することができる。この方法は、カメラから最も近いフォーカス設定点と最も遠いフォーカス設定点と共に異なる範囲に属する点の数を通知する。例えば、「ｌＯｐ １ｍ Ｉｎｆ」とは、異なる焦点深さの点が１０、最も近い距離が１ｍ、最も遠い距離が無限大を表している。
【００３８】
図６において、画像がキャプチャされると（図８参照）、処理は、ポストキャプチャの動作に移る。初めにＣＣＤ（あるいは他のセンサ）をポーリングして画像を集め、記録のための準備を行う。以前に取得（９６）した、緯度、経度、高度、日付、時刻、位置決めのための衛星に関するＧＰＳの値が画像に付加される（１１１）。ＧＰＳが機能していない場合（４５）には「ＧＰＳ無し」に相当する値が画像に付加される（１１１）。オートフォーカスの状態、フォーカス特性点の数（１０９）、最大レンジと最小レンジ、フラッシュの値（点灯の指示、消灯の指示、自動フラッシュの要求、自動フラッシュの不要）、計数値（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ ｖａｌｕｅ）（起動するか否か（９８））、ロール、ピッチ、ヨー（ＲＰＹ）の値、記録されているコンパスの方位（９６）、レンズ（７３）のズームの設定、カメラの識別名（ＣａｍＩＤ １２４は、 工場でセットされ、ユーザは変更できない）、現在の画像のシーケンス番号１２５、現在のランダムな文字列１２６、ファイルタイプ１２７（工場でセットされ、ユーザは変更できない）、これらの情報が画像に付加される。内部におけるセキュリティに障害がある場合（６０）、セキュリティの侵害情報（６１）が画像に付加される（１２３）。その他の場合、画像が保護されている旨を表す値が画像に付加される（１２３）。
【００３９】
図１０において、認証には、三つのレベルと損傷を受けた要素の復元が存在する。第一のレベルは、全体的な画像の認証（Ｔｏｔａｌ Ｉｍａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＴＩＡ）である。このレベルでは画像全体が認証される。第二のレベルでは、ロウ（列）／コラム（行）の認証（Ｒｏｗ／Ｃｏｌｕｍｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＲＣＡ）であり、画像の要素（画素）のロウとコラムに独立に認証がなされる。この認証では全画像より小さな単位で認証がなされる。第三のレベルは、構成要素レベルの認証（Ｅｌｅｍｅｎｔａｌ Ｌｅｖｅｌ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）（ＥＬＡ）と損傷を受けた要素の復元（Ｄａｍａｇｅｄ Ｅｌｅｍｅｎｔ Ｒｅｃｏｖｅｒｙ）（ＤＥＲ）である。
【００４０】
ＥＬＡにおける構造では、各々の全ての単一の画素が独立に認証される。単一の画素の認証に失敗した場合、損傷を受けた画像の元の値を決める複合的なないし種々の（ｍｕｌｔｉｐｌｅ）方法を与えるポストキャプチャ操作において画像に付け加えられる構造（ｓｔｒｕｃｔｕｒｅｓ）が存在する。これを損傷した要素の復元（ＤＥＲ）と呼ぶ。当初、認証レベルと損傷した要素の復元とは、工場において設定され、関連するユーザ制御（９、１０、１１、１２、１３）は、表示されない。使用毎に認証 （ＴＩＡ，ＲＣＡ， ＥＬＡ／ＤＥＲ） の一つのレベルだけが起動できる（図１４の認証シーケンス、他の認証を参照）。
【００４１】
ＲＣＡが選ばれた場合（１２８）、ＲＣＡの構造と値が計算され、画像に付加される。ＥＬＡ／ＤＥＲが選ばれた場合（１３０）、ＥＬＡ／ＤＥＲの構造と値が計算され、画像に付加される。この装置では署名プロトコルとして商業的に利用可能なＭＤ５を使うが、署名プロトコルは、ＭＤ５に限られるものではない。ディジタル署名は、使用される署名プロトコル（ＳＰ）とブロック（Ｂｌｏｃｋ）との関数（ＳＩＧＮＡ＝ｆ （ＳＰ （Ｂｌｏｃｋ）））であって、計算されてファイルの一部を構成する（１３２）。ブロック１４４は、画像とオプションからなるディジタルデータであり、オプションは、付加情報、カメラ識別、ランダムな文字列、カメラにおける解読鍵、ＲＣＡとＥＬＡ／ＤＥＲの構造と対応する値である。
【００４２】
ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３３）、暗号化されていない完全な画像ファイルが作り出される（１３４）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号ありと無しの両方」を選んだ場合（１３５）、暗号化された完全な画像ファイルが作り出される（１３６）。
【００４３】
図１１を参照すると、ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化無し」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３７）、暗号化されていない完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１３８）。ユーザ制御１２によりセットし、暗号の値により証明され（８３）、ユーザが「暗号化あり」、あるいは「暗号化ありと無しの両方」を選んだ場合（１３９）、暗号化された完全な画像ファイルが記録装置１４２により記録メディア１４１上に記録される（１４０）。
【００４４】
図３には、３．５インチフロッピディスクドライブ１４２及び取り外し可能な３．５インチフロッピディスケット１４１が記録装置及び記録メディアとして示されている。他にも記録用のオプションとして、取り外し可能なメモリモジュールとしてのフラッシュＲＡＭ、赤外線、シリアル、イーサネット（登録商標）、トークンリング、パラレル、ユニバーサルシリアルバス（ＵＳＢ）、ファイヤワイヤ、あるいは単一のコンピュータまたはコンピュータのネットワークへの通信モードを介した外部装置への蓄積が利用可能である。
【００４５】
図１２において、Ｓｉｇｎａ２のプロセスにより作成されたファイルは、産業界で一般的に受け入れられるフォーマットである。より具体的にはＳｉｇｎａ２のファイルには著作権がない。付加的な情報は、ファイルに含まれるが、フォーマットに対する標準に従ったものである。
【００４６】
図中には、２つのブレース（｛及び｝）があり、画像に対応する部分は、２つの要素からなり、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができる。このブレース外の要素は、産業界で一般的に受け入れられるフォーマットに従ったプログラムにより見ることができない。ブロックを示す第二のブレース１４４は、署名１４５により保護される要素からなる。ブロックの内部は、全て署名されたもの（ｗｈａｔ ｉｓ ｓｉｇｎｅｄ）を示す。
【００４７】
１６１に示すように斜線を引いた要素は、オプションであって、Ｓｉｇｎａ２装置の基本的な用途を実現するには必要ない。画像１４６と署名１４５との密接な関連付けがＳｉｇｎａ２プロセスにとって最低限必要である。
【００４８】
センサ７３は、最低限見ることのできる情報である画像１４６を取得する。ユーザにより見ることが可能なカメラからの付加的なデータ１４７には、ＧＰＳ情報（１１１）、ズーム設定、オートフォーカス状態、フォーカス特性の結果情報、ロウ・ピッチ・ヨーの値、コンパスの方位、フラッシュの状態、ファイルタイプ、カメラＩＤ、シーケンス１２０、セキュリティの値が含まれる。
【００４９】
ＧＰＳ情報（１１１）には、緯度、経度、高度、日付、時刻、測定で使われる衛星情報（４８）あるいは装置が無効の場合には「ＧＰＳ無し」の情報（４６）が含まれる。ズームの設定情報（７５）には、画像を取得するにあたって、標準レンズを５０ｍｍと表す場合のｍｍ値あるいは５０ｍｍを１とした時のＸの値で表した情報が含まれる。コンパスの方向には、画像を取得した時刻のカメラの向いている方位の情報が含まれる（１１７）。
【００５０】
フラッシュの状態（１１４）には、指令でオン、指令でオフ、自動でオン、自動でオフの指令が含まれる。フラッシュの状態において、最初の二つは、ユーザにより強制的に設定されるもので、後の二つは、フラッシュを使うか否かをカメラ任せにするものである。他の項目はオプションである。
【００５１】
カメラＩＤ、すなわちカメラ識別コードは、工場で設定され、画像情報の一部をなす（１１９）。ＳＨＥＰ０００１あるいは ＭＯＬＬ０４５４は、その例である。しかし認証が不要であっても、少なくとも装置の最初の所有権を決定する手段が与えられる。
【００５２】
特定の画像識別のためのシーケンス番号１２０は、自動的に増加する。カメラＩＤを使うことで先のＢＥＣＫ５１０２−９８３１２では、カメラと映像を識別することとなる。
【００５３】
二つのセキュリティの値は「ＩｍａｇｅＧｕａｒｄ」と「ＮＯＮＶＥＲＩＦＩＥＤ」である。「ＩｍａｇｅＧｕａｒｄ」は、内部エラーが検出されずセキュリティが漏洩していない場合に現れる。「ＮＯＮＶＥＲＩＦＩＥＤ」（あるいは漏洩のおそれを示す他の指数）は、システム内でセキュリティが漏洩している場合に現れる。
【００５４】
ファイル構造内の他のセグメントには、カメラＩＤ１４８、ランダムな文字列１４９、カメラ解読鍵１５０、ＲＣＡとＥＬＡ／ＤＥＲ構造とその値１６０、ディジタル署名１４５が含まれる。カメラＩＤ１４８は、カメラの識別のためのものであり、ファイル内にあるが、ユーザは見ることができない。ランダムな文字列１４９は、最新のランダムな文字列であって、ファイルの一部をなす。カメラ解読鍵１５０は、カメラの内部にあるカメラ固有の解読鍵である。
【００５５】
図１３に、処理の一掃と準備の手順を示す。手順のこの部分では、プレキャプチャ動作（図５参照）において有効でない機能は、機能せず、次に起こる画像の取り込みのための準備がされる。計数（ｃｏｕｎｔｅｒ ｖｉｂｒａｔｉｏｎ）、ロール、ピッチ、ヨーの検出を無効とし（１５１、１５２）、画像のシーケンス番号が増加（インクリメント）する（１５３）。
【００５６】
ランダムな文字列の記録に対してユーザの制御１１によりＹＥＳがセットされた場合（７９）には、以前のランダムな文字列を置き換えて新たな文字列を発生させるために画像自体と他の情報（図１２参照）が用いられる。ランダムな文字列の記録は、ＮＯにリセットされ（１５８）、ユーザ制御１１は、ＮＯにセットされる（１５９）。プロセッサ１５７で使われる一時的なリソースは、割り当てを取消（解放）して再使用のため用意される。
【００５７】
以前のランダムな文字列が今作成される画像に使われることに注目することは重要である。その結果、ランダムな文字列を頻繁にリセットすることでパターン認識を防ぎ、セキュリティを増すことができる。以下において、ディジタル署名の耐久性を増すランダムな文字列の役割を論ずる。
【００５８】
図１４において、Ｓｉｇｎａ２の画像として認証されうるファイルを作成する付加的な項目（図１２参照）と画像とを含むファイルを使って認証が開始される。認証のためのプログラムは、保証された公開のものを容易にかつ自由に使用できるものでなければならない。さもないと騙そうとする者は、無理やり否定あるいは肯定する認証を生じさせるように虚偽の認証プログラムを用意することとなる。
【００５９】
プログラムがスタート（１６２）すると、まず認証プログラムそれ自体が損傷を受けていないかあるいは改変されていないかを保証するために自己診断が行われる。プログラムがロードされた後の改変に対して保護するため処理ステップ１６２を通るたびに自己診断が繰り返される。自己診断で不全であればプログラムは、エラーメッセージを出し直ちに終了する。自己診断の手順及び不全となる可能性については、図１４には示していない。
【００６０】
認証プログラムがロードされると、ユーザは、ファイルを選択するか、プログラムを終了するかを選ぶことができる。ユーザがプログラムの終了を選択すると認証プログラムは終了する（１６３）。暗号化されたファイルが選択されると（１６４）、ファイルを解読しようと試みる（１６５）。ここでユーザによる解読鍵あるいはファイルからの解読鍵（１５０）が必要となる。解読でエラーが生じた場合には（１６６）、エラーメッセージを表示し（１６７）、プログラムは、スタート（１６２）に戻る。
【００６１】
ファイルが暗号化されていない場合（１６８）、あるいはエラー無しに解読された場合（１６９）、ファイルがＳｉｇｎａ２フォーマットであるかをテストする（１７０）。ファイルがＳｉｇｎａ２フォーマットでない場合（１７１）、ファイルは認証できないものとして（１７２）プログラムがスタート（１６２）に戻る。
【００６２】
ファイルがＳｉｇｎａ２フォーマットの場合（１７３）、ブロック１４４と署名１４５とが分離され（１７４）、署名は、ブロック１４４から再計算される。再計算された署名（ＳＩＧＲ）と与えられた署名（ＳＩＧＰ）とが一致すれば（１７６）、画像を見ることができ（２４８）、総合的な画像認証システム（ＴＩＡ）を用いた正当な画像として認証されたものとしてマークがつけられる（２４９）。そしてプログラムはスタート（１６２）に戻る。
【００６３】
二つの署名が一致せず、認証プログラムが信頼あるソースから獲得され、改変されていない場合、画像は損傷を受けたか改変されたものである。これは「真に否定されたもの」真の否定（ｔｒｕｅ−ｎｅｇａｔｉｖｅ）であり、画像は認証しないもの（ｎｏｔ ａｕｔｈｅｎｔｉｃ）と決定される。信用ある認証プログラムにより、ＴＩＡレベルの認証を使ったＳｉｇｎａ２の画像ファイルは、「誤って否定されたもの」誤った否定（ｆａｌｓｅ−ｎｅｇａｔｉｖｅ）を生成することはない。画像と署名が一つのファイル内にあり、故意あるいは偶然によるファイルの変更は、無効であり適正な「否定認証」（ｎｅｇａｔｉｖｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ）を構成する。
【００６４】
再計算された署名（ＳＩＧＲ）が与えられた署名（ＳＩＧＰ）と一致しない場合（１７７）、一連のテストは、三つの認証レベルの一つのために実行される。全体画像の認証（ＴＡＩ）のみが得られた場合（１７８）、その他のこれ以上の操作は得られない（１７９）。この画像が見られ（ｖｉｅｗｅｄ）（１８０）、不認証（ｕｎａｕｔｈｅｎｔｉｃａｔｅｄ）のマークが印される（１８１）。そしてプログラムはスタート（１６２）に戻る。
【００６５】
図１４を参照すると、ロウ／コラムの認証（ＲＣＡ）が選ばれた場合（１８２）、ＲＣＡの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ロウ／コラムの認証（ＲＣＡ）が選ばれない場合（１８３）、要素単位の認証あるいは損傷した要素の修復（ＥＬＡ／ＤＥＲ）のテストがなされる（１８４）。
【００６６】
図１４を参照すると、ＥＬＡ／ＤＥＲが選ばれた場合（１８６）、ＥＬＡ／ＤＥＲの動作が引き続き行われ、そしてプログラムはスタート（１６２）に戻る。ＥＬＡ／ＤＥＲが選ばれない場合（１８５）、認証（ＴＩＡ， ＲＣＡ， ＥＬＡ／ＤＥＲ）の三つのレベルの一つにエラーの条件が存在するはずである。このエラーの条件では、これ以上の動作は得られない（ｎｏ ｆｕｒｔｈｅｒ ｏｐｅｒａｔｉｏｎｓ ａｒｅ ａｖａｉｌａｂｌｅ）との報告をして扱われる（１７９）。画像は、見られ（１８０）、不認証のマークが印され（１８１）、そしてプログラムはスタート（１６２）に戻る。
【００６７】
図１４を参照すると、Ｓｉｇｎａ２のフォーマットのファイルの署名が不全だった場合（１７７）、ロウ／コラム認証（ＲＣＡ）が選択される（１８２）。比較（１４５）で用いられた書名は、ファイル全体に対する単一の署名である。ＲＣＡの構造とその値１６０が、ファイル全体のレベルではなく、各ロウ及びコラムのレベルでのエラーを検出するために与えられる。各ロウ及びコラムをチェックすることで各々の画素に対してエラーを２度検出する機会が生じる。
【００６８】
巡回冗長検査（ＣＲＣ）は、エラー検出の形式を記述するために使われる手段である。このタイプのエラー検出のための他のアルゴリズムと同様にＣＲＣにもいろいろな種類がある。ここではＣＲＣは、記述の目的で使われるが、他のエラー検出符号（あるいはハミング、リードソロモンなどのエラー訂正符号）もＣＲＣエラー検出符号を補い、あるいは置き換えて実行することもできる。
【００６９】
図１５において、ディジタル画像は、ロウとコラムのマトリクス状に並んだ映像の要素（画素）から構成されている。画像の各ロウに対し内部の完全性をＣＲＣによりテストする（１８８）ためにステップ１８７においてＲＣＡ動作が開始される。ＣＲＣは、本来の内部の完全性のテストではないが、ＲＣＡの構造の一部にはＣＲＣをテストするための付加的な値が含まれている。ＣＲＣがこの自己テストで失敗した場合（１８９）、そのロウの全ての画素が損傷しているが、誤った否定の可能性のあるものとして「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる（２０８）。
【００７０】
ＣＲＣ自己テストがＯＫの場合（１９１）、当該ロウのための新しいＣＲＣを計算するために画素のロウ全体（ｅｎｔｉｒｅ ｒｏｗ ｏｆ ｐｉｘｅｌｓ）が使われる（１９２）。この新しいＣＲＣは、元のＣＲＣと比較される。一致しない場合（１９３）、当該ロウの全ての画素は損傷しているとして印しが付けられる（１９０）。新しいＣＲＣが元のＣＲＣと一致する場合（１９４）、当該ロウの全ての画素はＯＫの印しが付けられる（１９５）。
【００７１】
図１５において、画像の各コラムに対してＲＣＡ動作が継続され（１９６）、内部の完全性のために各コラムのＣＲＣがテストされる（１９７）。このテストでＣＲＣが失敗した場合（１９８）、コラムに対しこれ以上の動作は行われない。ＣＲＣの自己テストがＯＫの場合（２００）、画素のコラム全体がコラムのための新しいＣＲＣの計算に用いられる（２０１）。新しいＣＲＣが元のＣＲＣと一致しない場合（２０２）、このコラムに対しそれ以上の動作は行われない。新しいＣＲＣが元のＣＲＣと一致した場合（２０３）、コラム内の全ての画素にＯＫの印しが付けられる（２０４）。
【００７２】
一つの画素には次の６通りの内から一つの印し（標識 ｍａｒｋ）を付けることができる。ロウＣＲＣ１９５とコラムＣＲＣ２０４を通った場合に「Ｏｋ−ｏｋ」、ロウＣＲＣ１９０とコラムＣＲＣ２０４を通った場合に「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣ不全２０８とコラムＣＲＣ２０４を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣ１９５を通った場合に「Ｏｋ−ｎｕｌｌ」、ロウＣＲＣ１９０を通った場合に「Ｄａｍａｇｅｄ−ｎｕｌｌ」、ロウＣＲＣ不全２０８を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」。コラムＣＲＣが失敗の場合（２０２）には第２の状態は無い（印しに「−ｎｕｌｌ」が付いている）。
【００７３】
ロウとコラムに対する二つの操作によりマトリクスが生成され、そこではいくつかのロウの画素がロウの操作で損傷ありとして印しが付けられることがあり、これらのうちいくつかの画素がコラムの操作により損傷からＯＫに変えられることがありうる。これは一つのロウ全体が損傷ありかＯＫかの印しがつけられているからである。一つのコラムにＯＫの印しがある場合、あるロウ全体の部分として損傷を受けていると印しが付けられている画素が実際には損傷を受けておらず、ＯＫに変わることがある。例えば、損傷のある一つの画素は、ロウの操作において一つのロウ全体が損傷を受けているとして印しが付けられることとなる。損傷を持つ画素のあるコラムを除く全てのコラムに対しては、ＯＫの印しがコラムの操作によって付けられる。その結果、損傷があると印しが付けられた一つの画素を持つ画像が得られることとなる。
【００７４】
画像が認証されたならば、ユーザは表示のオプションのリスト（２０５）を選択することができる（１９９）。オプションには次のものがある。オプションＡ：修正無しの元の画像のみ表示、オプションＢ：損傷のある画素を強制的に白にした画像の表示、オプションＣ：損傷のある画素を強制的に黒にした画像の表示、オプションＤ：ＡとＢの交互表示（Ｒｏｃｋ）、オプションＥ：ＡとＣの交互表示、オプションＦ：統計報告、オプションＧ：表示の終了。交互表示（Ｒｏｃｋ）とは、２つの画像を急速に交互表示することを示す。
【００７５】
オプションＦの統計報告には次のものが含まれる。Ｆ１：画像の画素の総数、Ｆ２：「ｏｋ−ｏｋ」、「Ｄａｍａｇｅｄ−ｏｋ」、「ＤａｍａｇｅｄＰＦＮ−ｏｋ」及び「ｏｋ−ｎｕｌｌ」の印しの付いた画素の総数、損傷のない画素の割合を示す（Ｆ２／Ｆ１）＊１００。
【００７６】
ＣＲＣテストでロウ１９４とコラム２０３を通過したものが「Ｏｋ−ｏｋ」の印しの付いた画素である。ＣＲＣテストでロウ１９４を通過したものの、コラムのＣＲＣテストでは損傷があるとして１９８を通り付加的な情報がないものが「Ｏｋ−ｎｕｌｌ」の印しが付いた画素である。「Ｄａｍａｇｅｄ−ｏｋ」の印しが付いた画素は、実際には損傷のないものである。新しいロウＣＲＣは、元のロウＣＲＣと一致しなかったために画素に損傷があると印しが付けられている。画素がコラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に損傷があると印しが付けられている（１９０）。「ＤａｍａｇｅｄＰＦＮ−ｏｋ」の印しの付いたものも、また実際には損傷のないものを含んでいる。コラムＣＲＣテストを通過している（２０３）にもかかわらず、一つのロウ全体に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられ、ロウＣＲＣの不全（１８９）によって画素に損傷があると印しが付けられているものである。
【００７７】
Ｆ３は、「Ｄａｍａｇｅｄ−ｎｕｌｌ」の印しが付けられた画素の総数であり、画素の総数に対する割合である（Ｆ３／ Ｆ１） ＊ １００を「真に否定されるもの」の割合（Ｔｒｕｅ Ｎｅｇａｔｉｖｅ Ｐｅｒｃｅｎｔａｇｅ）として表される。新しいロウＣＲＣが元のロウＣＲＣテストと一致しなかった（１９３）ために画素には「Ｄａｍａｇｅｄ−ｎｕｌｌ」の印しが付けられている。コラムＣＲＣの不全によって（２０２）、第２の状態はない（「−ｎｕｌｌ」が付いている）。
【００７８】
Ｆ４は、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」の印しが付けられた画素の総数であり、画素の総数に対する割合である（Ｆ４／ Ｆ１） ＊ １００を「誤った否定の可能性のあるもの」の割合（Ｐｏｔｅｎｔｉａｌ Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ Ｐｅｒｃｅｎｔａｇｅ）として表す。ロウＣＲＣが自己テストで不全（１８９、２０８）、コラムＣＲＣの不全（２０２）のためＯＫとして認証できなかった画素には「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」の印しが付けられる。Ｆ２、Ｆ３とＦ４の相対比率の合計は１００％となるべきであり、Ｆ２、Ｆ３とＦ４の合計はＦ１に等しくなるべきである。
【００７９】
ユーザが表示終了のオプションを選ぶまで（２０７）、代わる代わる表示のオプションを選ぶことができる（２０６）。終了を選んだ時点でＲＣＡ動作は終了する。
【００８０】
図１４を参照すると、Ｓｉｇｎａ２フォーマットにおいて（１７３）、ファイルが不全な署名を有する場合（１７７）、ＥＬＡ／ＤＥＲ動作が行われ、要素レベルの認証（ＥＬＡ）と損傷した要素の回復（ＤＥＲ）の認証が選ばれる（１８６）。比較で使われる署名１４５は、ファイル全体に対する一つの署名である。ＥＬＡ／ＤＥＲの構成とその値１６０は、ファイル全体のレベルではなく各要素のレベルにおける認証を決定する方法に用いられる。
【００８１】
ＥＬＡ／ＤＥＲの構成には、画像の完全な複製、圧縮、符号化を含んでいる。この画像の複製では要素レベルの認証と損傷した要素の回復を可能としている。以下の記載においてユーザが見ることのできる画像の元の版（ｖｅｒｓｉｏｎ）は、第１の画像（Ｐｒｉｍａｒｙ Ｉｍａｇｅ）、略してＰＩと称する。圧縮され符号化された画像の版は、バックアップの画像（Ｂａｃｋｕｐ Ｉｍａｇｅ）、略してＢＩと称する。第１の画像及びバックアップの画像の双方ともロウとコラムのＣＲＣあるいは他の誤り検出プロトコルを有する。
【００８２】
図１６を参照すると、最初に第１の画像における各々のロウに対してステップを実行し（２０９）、各々の第１の画像のロウ用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２１１）、第１の画像のロウにある全ての画素には、誤った否定の可能性のある損傷した画素であるとして「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。第１の画像のロウＣＲＣで自己テストを通過した場合（２１３）、新たな第１のロウＣＲＣが第１の画像のロウにある画素から計算される（２１４）。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致する場合（２１５）、ロウにある全ての画素にＯＫの印し（損傷なし）が付けられる。新たな第１の画像のロウＣＲＣが元の第１のロウＣＲＣと一致しない場合（２１７）、ロウにある全ての画素に損傷ありの印しが付けられる（２１８）。
【００８３】
図１６を参照すると、ロウに関して処理が終了すると第１の画像における各々のコラムに対してステップを実行し（２１９）、第１の画像のコラム用のＣＲＣに対して自己テストがなされる。自己テストでＣＲＣがエラーである場合（２２１）、このコラムに対してそれ以上の動作はなされない。第１の画像のコラムＣＲＣで自己テストを通過した場合（２２２）、新たな第１のコラムＣＲＣが第１の画像のコラムにある画素から計算される（２２３）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致する場合（２２５）、コラムにある全ての画素にＯＫの印しが付けられる（２２６）。新たな第１の画像のコラムＣＲＣが元の第１のコラムＣＲＣと一致しない場合（２２４）、このコラムについてそれ以上の動作は行われない。
【００８４】
各々の画素には次の６通りの内から一つの印しがつけられる。ロウＣＲＣ２１６とコラムＣＲＣ２２６を通った場合に「Ｏｋ−ｏｋ」、ロウＣＲＣ２１８とコラムＣＲＣ２２６を通った場合に「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣ不全２１２とコラムＣＲＣ２２６を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣ２１６を通った場合に「Ｏｋ−ｎｕｌｌ」、ロウＣＲＣ２１８を通った場合に「Ｄａｍａｇｅｄ−ｎｕｌｌ」、ロウＣＲＣ不全２１２を通った場合に「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」。コラムＣＲＣが失敗の場合（２２１）には第２の状態はない（印しに「−ｎｕｌｌ」が付いている）。
【００８５】
図１７を参照すると、その要素の元の値を回復するように「ｄａｍａｇｅｄ」または「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素に対して認証が開始される。付随する（追加的）処理によっては、損傷を受けた要素の回復（ＤＥＲ）の同じ手続が各々に対して用いられるため、真に否定されるものと誤って否定されるものとを区別することはできない。
【００８６】
損傷している第１の画像の画素の値を回復するには対応するバックアップ画像の画素をまず見つけ出し、検証しなければならない。対応するバックアップ画像の画素の検証は、二つのシナリオの元でそれぞれ行われる。第１のシナリオでは、対応するバックアップ画像の画素に対するバックアップ画像のロウＣＲＣが損傷しておらず、計算されたバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致することである。第２のシナリオでは、対応するバックアップされた画像の画素に対するバックアップ画像のコラムＣＲＣが損傷しておらず、計算されたバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致することである。
【００８７】
ステップ２２７では、第１の画像内の「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの各画素に対してバックアップ画像内の対応する画素を見出す。バックアップ画像は、初めに伸張（圧縮の逆）を必要とする。対応するバックアップ画像の画素を見出すことができない場合（２２９）、認証ができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素を見出すことができた場合（２３１）、バックアップ画像のロウＣＲＣに自己テストが実行される（２３２）。
【００８８】
バックアップ画像のロウＣＲＣの自己テストが不全の場合（２３３）、バックアップ画像のロウＣＲＣは損傷していて、認証は役に立たない。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが認証のために使用され、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。
【００８９】
対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９０】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９１】
バックアップ画像のロウＣＲＣの自己テストが成功した場合（２３４）、新たなバックアップ画像のロウＣＲＣが計算される（２５１）。新たなバックアップ画像のロウＣＲＣが元のバックアップ画像のロウＣＲＣと一致した場合（２３７）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４２）、ロウの中のバックアップ画像の画素の１またはそれ以上の個数が損傷しており、バックアップ画像のコラムが認証のためテストされる。
【００９２】
ステップ（２３３、２４２）でＮＯの場合、バックアップ画像のコラムＣＲＣの自己テストが実行される（２３５）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣの自己テストが不全の場合（２３６）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。対応するバックアップ画像の画素に対するバックアップ画像のコラムＣＲＣが自己テストを通過した場合（２３９）、新たなバックアップ画像のコラムＣＲＣが計算される（２４０）。
【００９３】
新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致した場合（２４１）、対応するバックアップ画像の画素は、認証され、「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しの付いた第１の画像の画素の値を復元するために使用することができる（２３８）。新たなバックアップ画像のコラムＣＲＣが元のバックアップ画像のコラムＣＲＣと一致しない場合（２４３）、対応するバックアップ画像の画素は、認証することができず、第１の画像の画素の値を復元することはできない（２３０）。
【００９４】
各画素には次の８通りのうち１つの印しが付けられる。ロウＣＲＣの２１６とコラムＣＲＣの２２６から「Ｏｋ−ｏｋ」、ロウＣＲＣの２１８とコラムＣＲＣの２２６から「Ｄａｍａｇｅｄ−ｏｋ」、ロウＣＲＣが不全である２１２とコラムＣＲＣの２２６から「ＤａｍａｇｅｄＰＦＮ−ｏｋ」、ロウＣＲＣの２１６から「Ｏｋ −ｎｕｌｌ」、ロウＣＲＣ２１８（画素の元の値は２３８で復元されている）から「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣ２１８（画素の元の値は２３０で復元されていない）から「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣ２１２（画素の元の値は２３８で復元されている）から「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」、ロウＣＲＣが不全である２１２（画素の元の値は２３０で復元されていない）から「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」。「Ｄａｍａｇｅｄ −ｎｕｌｌ」と「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ」は、復元の結果により置き換えられる。
【００９５】
図１７を参照すると、認証と復元の動作を終えると、ユーザに１１通りのオプションのリストを表示し（２４５）、ユーザは選択する（２４４）。オプションＡでは、修正無しに元の画像を表示する。オプションＢでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を強制的に白色にして表示する。オプションＣでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を強制的に黒色にして表示する。オプションＤでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素は、強制的に白色にする。オプションＥでは、「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素を復元した画素に置き換えて表示する。復元できなかった「ｄａｍａｇｅｄ」および「ｄａｍａｇｅｄＰＦＮ」の印しの付いた画素は、強制的に黒色にする。
【００９６】
オプションＦでは、オプションＡとＢとを交互に切り替えて表示する。オプションＧでは、オプションＡとＣとを交互に切り替えて表示する。オプションＨでは、オプションＡとＤとを交互に切り替えて表示する。オプションＩでは、オプションＡとＥとを交互に切り替えて表示する。
【００９７】
オプションＪでは、各所の要素に含まれる統計的な記録を表示する。このオプションでは、画像の総画素数Ｊ１を表示する。また、「ｏｋ−ｏｋ」、「Ｄａｍａｇｅｄ−ｏｋ」、「ＤａｍａｇｅｄＰＦＮ−ｏｋ」および「ｏｋ −ｎｕｌｌ」の印しが付けられた画素の総数と、総画素数Ｊ１に対する損傷を受けていない画素数Ｊ２の割合（Ｊ２／Ｊ１）＊１００とを表示する。「Ｏｋ−ｏｋ」の印しが付けられた画素は、ロウＣＲＣテスト２１６とコラムＣＲＣテスト２２６とを通過したものである。「Ｏｋ−ｎｕｌｌ」の印しが付けられた画素は、ロウＣＲＣテスト２１６を通過したものの、コラムＣＲＣが不全であり（２２１）、付加的な情報がないものである。「Ｄａｍａｇｅｄ−ｏｋ」の印しが付けられた画素は、実際には損傷を受けていないものである。新たなロウＣＲＣが元のロウＣＲＣと一致しないために（２１７）当該ロウ全体が損傷を受けたとものとして印しが付けられ、当該画素（ｐｉｘｅｌｓ）が損傷を受けたとものとして印しが付けられたものである。これらの画素は、コラムＣＲＣのテストを通過したものである（２２５）。「ＤａｍａｇｅｄＰＦＮ−ｏｋ」の印しが付けられた画素は、実際には損傷を受けていないものである。ロウＣＲＣが不全でロウ全体に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられ、画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられている。これらの画素は、コラムＣＲＣテストを通過したものである（２２５）。
【００９８】
また、オプションＪでは、「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ３と、総画素数Ｊ１に対する画素数Ｊ３の割合（Ｊ３／Ｊ１）＊１００とを表示する。さらに、「Ｄａｍａｇｅｄ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ４と、総画素数Ｊ１に対する画素数Ｊ４の割合（Ｊ４／Ｊ１）＊１００とを表示する。
【００９９】
また、オプションＪでは、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ５と、総画素数Ｊ１に対する画素数Ｊ５の割合（Ｊ５／Ｊ１）＊１００とを表示する。また、「ＤａｍａｇｅｄＰＦＮ−ｎｕｌｌ−ｎｏｔ ｒｅｃｏｖｅｒｅｄ」の印しの付いた画素の総数Ｊ６と、総画素数Ｊ１に対する画素数Ｊ６の割合（Ｊ６／Ｊ１）＊１００とを表示する。Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６の総和は、Ｊ１に等しく、Ｊ２、Ｊ３、Ｊ４、Ｊ５、Ｊ６のパーセンテージの総和は、１００％になるべきである。
【０１００】
最後のオプションは、オプションＫであり、表示を終了するオプションである。ユーザは、表示を終了するオプションを選択する（２４７）まで、各種表示のオプションを選択し続けることが可能である。表示を終了するオプションを選択した時点でＥＬＡ／ＤＥＲ動作が終了する。
【０１０１】
次に、信頼できる出所から獲得され改変のされていない認証プログラムによるロウとコラムの認証を用いる「真に否定されるもの」（ｔｒｕｅ ｎｅｇａｔｉｖｅ）、「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）について説明する。
【０１０２】
画素が損傷を受け（元の状態から改変されて）、この損傷がＲＣＡ動作で検出されると、画素は、「真に否定されるもの」であり、認証されないる画像の一部である。ＲＣＡを使うと、「誤って否定されるもの」を作り出し、画素は実際には認証されるが損傷を受けたものと印しが付けられる。
【０１０３】
画素が本物か損傷を受けたものか、ロウＣＲＣが本物か損傷を受けたものか、コラムＣＲＣが本物か損傷を受けたものか、について表１に示す８通りの場合分けが存在する。
【０１０４】
【表１】
表１において、Ｙは損傷していることを表し、Ｎは損傷していないかＯＫを示す。
起こりうる数（ｎｕｍｂｅｒ ｏｆ ｐｏｓｓｉｂｉｌｉｔｉｅｓ）は、（要素の数）！／（同一の要素の数）！で表される。
【０１０６】
全てのケースで３つの要素がある。ケースＡでは、３つの項目とも損傷していないケースである。Ｙが０個、Ｎが３個である１つのケースである（３！／３！＝１）。ケースＢからＤでは、３つの項目のうち１つが損傷しているケースである。Ｙが１個、Ｎが２個である３つのケースがある（３！／２！＝３）。ケースＥからＧでは、３つの項目のうち２つが損傷しているケースである。Ｙが２個、Ｎが１個である３つのケースがある（３！／２！＝３）。ケースＨでは、３つの項目とも損傷しているケースである。Ｙが３個、Ｎが０個である１つのケースである（３！／３！＝１）。
【０１０７】
ケースＧでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素は損傷しておらず、「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）となる。ロウＣＲＣの自己テストで不全となる場合（１８９）、ロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることとなる（２０８）。コラムＣＲＣの自己テストで不全となる場合（１９８）、「ｄａｍａｇｅｄＰＦＮ」の印しが付けられたままである。ケースＨでは、ロウＣＲＣとコラムＣＲＣとの両方が損傷しているケースであり、画素も損傷していることから「誤って否定」ではない点を除き、ケースＧと類似する。
【０１０８】
表１を参照すると、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）（損傷していないとして不適切な認証をされている画素）は、起こりえない条件である。ケースＢ、Ｅ、Ｆ、Ｈでは、画素は損傷している。ケースＢでは、ロウＣＲＣは損傷していないし、新たに計算された（１９２）ロウＣＲＣは、元のロウＣＲＣと一致しない（１９３）。ロウにある全ての画素は損傷があるものとして印しが付けられる（１９０）。ケースＢでは、コラムＣＲＣも損傷していない。計算された新たなコラムＣＲＣは、元のＣＲＣと一致しないし、損傷があるものとして印しが付けられたコラムの画素は、損傷があるものとして印しが付けられたままである。新たなコラムＣＲＣが元のコラムＣＲＣと一致する場合（２０３）、損傷がある画素を含むコラムの全画素にＯＫのマークが付けられる（２０４）。
【０１０９】
ケースＥでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）で誤りであることがわかり（１８９）、ロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる（２０８）。コラムＣＲＣが損傷しておらず、コラムＣＲＣ自己テストを通過（パス）するだろう（２００）。新たなコラムＣＲＣが元のＣＲＣと一致せず（２０２）、ロウＣＲＣが損傷した際にはロウに、”損傷していて「誤って否定される可能性のあるもの」”すなわち「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることで、「ｄａｍａｇｅｄＰＦＮ」の印しの付いたコラムの画素が「ｄａｍａｇｅｄ」として印された状態に留る。もし、新たなコラムＣＲＣが元のＣＲＣと一致する場合（２０３）にのみ、損傷しているものも含みコラムの全ての画素にＯＫのマークが付けられる（２０４）。
【０１１０】
ケースＦでは、ロウＣＲＣが損傷しておらず、ロウＣＲＣの自己テスト（１８８）をパスする（１９１）。新たに計算されたロウＣＲＣ（１９２）は、元のロウＣＲＣと一致せず（１９３）、ロウの全ての画素に「ｄａｍａｇｅｄ」と印しが付けられる。ケースＦでは、コラムＣＲＣが損傷していて、コラムＣＲＣの自己テストを通過せず（１９８）、「ｄａｍａｇｅｄ」と印しが付けられたコラムの画素は、「ｄａｍａｇｅｄ」と印された状態に留る。
【０１１１】
ケースＨでは、ロウＣＲＣは、損傷しており、ロウＣＲＣの自己テスト（１８８）をパスしないのでロウの全ての画素に「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。ケースＨでは、コラムＣＲＣは、損傷しており、コラムＣＲＣの自己テストを通過しない（１９８）。「ｄａｍａｇｅｄＰＦＮ」の印しが付けられているコラムの画素は、ロウＣＲＣが損傷しているとき画素のロウに、損傷していて「誤って否定される可能性のあるもの」すなわち「ｄａｍａｇｅｄＰＦＮ」として印しが付けられるので、「ｄａｍａｇｅｄＰＦＮ」として印された状態に留る。
【０１１２】
ＲＣＡでは、認証プログラムが信頼ある元から獲得され改変されていない場合、損傷している画素が損傷していないと不適切に認証され、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）とはなりえない。
【０１１３】
損傷している要素の回復（ＤＥＲ）により要素レベルの認証を用いる「真に否定されるもの」（Ｔｒｕｅ Ｎｅｇａｔｉｖｅｓ）、「誤って否定されるもの」（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅｓ）、「誤って肯定されるもの」（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅｓ）について以下に述べる。ある一つの画素が損傷して（元の状態から改変されて）損傷がＥＬＡ動作により検出されると、当該画素は「真に否定されるもの」であり、本物ではないと適正に決定された画像の一部である。ＥＬＡを使うと、画素が実際には本物であるが損傷している（ｄａｍａｇｅｄ）と印しが付けられていることを示す「誤って否定されるもの」（ｆａｌｓｅ−ｎｅｇａｔｉｖｅ）の表示を生成することがありうる。
【０１１４】
第１（ｐｒｉｍａｒｙ）の画像の画素の認証／損傷、バックアップ画像の画素の認証／損傷、第１のロウＣＲＣの認証／損傷、バックアップのロウの認証／損傷、第１のコラムＣＲＣの認証／損傷、バックアップのコラムＣＲＣの認証／損傷、で場合分けされる６４通りのケースが存在する。
【０１１５】
表２〜表５において、Ｙは損傷を、Ｎは損傷していないかＯＫを示す。
【０１１６】
表２は、第１の画像の画素が認証され、バックアップ画像の画素も認証される状態を示す（グループ１）。
【０１１７】
【表２】
表３は、第１の画像の画素が損傷していて、バックアップ画像の画素が認証される状態を示す（グループ２）。
【０１１９】
【表３】
表４は、第１の画像の画素が認証され、バックアップ画像の画素が損傷している状態を示す（グループ３）。
【０１２１】
【表４】
表５は、第１の画像の画素が損傷していて、バックアップ画像の画素も損傷している状態を示す（グループ４）。
【０１２３】
【表５】
「誤って否定されるもの」（ｆａｌｓｅ ｎｅｇａｔｉｖｅ）であるためには、次の条件が必要である。（１）第１の画像の画素が実際には損傷していない（Ｎ）、（２）第１の画像の画素が損傷していると最初の操作で不適切に表示されている、（３）その後の全ての操作は不適切な表示を正すことがない。
【０１２５】
「誤って否定されるもの」では、第１の画像の画素が実際には損傷していない（Ｎ）という要因は、結果をグループ１とグループ３に限定する。最初にＰＩ画素のロウに「ｄａｍａｇｅｄＰＦＮ」の印しが付けられるには、第１のロウＣＲＣは、損傷していなければならない（Ｙ）。もしロウＣＲＣが損傷しておらず、画素のロウが損傷していない場合、画素にはＯＫの印しが付けられる。これは「誤って否定されるもの」でなく、他の何かであり、結果をグループ１とグループ３におけるケースＢ、Ｆ、Ｇ、Ｈ、Ｌ、Ｍ、Ｎ、Ｐのケースに限定する。
【０１２６】
「ｄａｍａｇｅｄ」と印しが付けられている画素を損傷しているロウＣＲＣにより訂正することを排除するには、第１のコラムＣＲＣは、損傷していなければならない（Ｙ）。ケースＢ、Ｆ、Ｈ、Ｍでは、第１のコラムＣＲＣは、損傷しておらず（Ｎ）、グループ１とグループ３において結果をケースＧ、Ｌ、Ｎ、Ｐに限定する不適切な「ｄａｍａｇｅｄＰＦＮ」の表示の付いた画素の誤表示を正すこととなる。
【０１２７】
訂正を排除するには、バックアップのロウＣＲＣは損傷していなければならない（Ｙ）。ケースＧ、Ｎでは、バックアップのロウＣＲＣは損傷しておらず（Ｎ）、その結果、グループ１とグループ３におけるケースＬ、Ｐに限定される「ｄａｍａｇｅｄ」の表示の付いた画素の誤表示を正すこととなる。
【０１２８】
訂正を排除するには、バックアップのコラムＣＲＣは損傷していなければならない（Ｙ）。ケースＬでは、バックアップのコラムＣＲＣは損傷しておらず（Ｎ）、その結果「ｄａｍａｇｅｄＰＦＮ」の表示の付いた画素の誤表示を正すこととなる。ケースＰ１では、バックアップ画像の画素は、正しいが、全ての誤り検出構造（第１のロウＣＲＣ、第１のコラムＣＲＣ、バックアップのロウＣＲＣ、バックアップのコラムＣＲＣ）に損傷があるために正本として認証することができない。但し、ケースＰ１、Ｐ３においてだけは、適正な画素が、訂正の可能性がなしで「ｄａｍａｇｅｄ」と印しが付けられることがありうるだろう。
【０１２９】
同じ表（複数）を利用することで、「誤って肯定されるもの」（損傷している画素が誤って損傷していないと認証される）は、可能な条件ではないことが示される。グループ２とグループ４の両方では、損傷している第１の画像の画素（ｐｉｘｅｌｓ）が含まれている。第１のロウＣＲＣが損傷している場合、当該ロウに属する全ての画素には「ｄａｍａｇｅｄ」との印しが付けられる。第１のロウＣＲＣが損傷していない場合、新たなロウＣＲＣは、与えられたロウＣＲＣと一致せず、当該ロウに属する全ての画素は「ｄａｍａｇｅｄ」との印しが付けられる。「誤って肯定されるもの」のケースを区別すためには、第１のロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は重要ではない。画素には「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しが付けられる。即ち、第１の画像のロウＣＲＣ単独で、損傷している画素に「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」の印しが付けられることを保証する。
【０１３０】
「誤って肯定されるもの」であるためには、全ての検出可能で修正可能な機構が、画素が「ｄａｍａｇｅｄ」あるいは「ｄａｍａｇｅｄＰＦＮ」である旨の第１のロウＣＲＣの決定を変更するモードにおいて、失敗する必要がある。第１のコラムＣＲＣが損傷している場合（２２１）、画素が損傷しているとの決定を変更することはない。第１のコラムＣＲＣが損傷していない場合（２２２）、新たなＰＩのコラムＣＲＣ（ＰＩ ＣＯＬＵＭＮ ＣＲＣ）は、元のＰＩのコラムＣＲＣと一致しない。したがって、損傷している画素がｄａｍａｇｅｄであるという決定を変更することはない。「誤って肯定されるもの」の場合を抽出するためには、第１のコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「ｄａｍａｇｅｄ」の印しが付けられたままである。
【０１３１】
バックアップのロウ及びコラムＣＲＣは、損傷した要素の回復に使われ、要素レベルでの認証には使われない。したがって、「誤って肯定されるもの」の場合を抽出するためには、バックアップのロウＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではないし、バックアップのコラムＣＲＣが損傷しているか（Ｙ）否か（Ｎ）は、重要ではない。損傷している画素は、「ｄａｍａｇｅｄ」の印しが付けられたままである。
【０１３２】
これにより「誤って肯定されるもの」の条件の可能なソースとしてグループ２とグループ４の全てのケースが除かれる。他には考慮すべきケースがないので、認証プログラムに公認されていない（ないし権限のない）改変がない場合には、「誤って肯定されるもの」（ｆａｌｓｅ ｐｏｓｉｔｉｖｅｓ）は可能とはならない。
【０１３３】
同じテーブルを使って、損傷した画素が損傷した要素の復元構造から復元できるか否かを決めることができる。復元を考慮すると、第１の画像の画素は、「ｄａｍａｇｅｄ」あるいは「誤って否定されるもの：ｆａｌｓｅ ｎｅｇａｔｉｖｅ」（損傷していると印しが付けられている画素が実際には損傷していない）のいずれかでなければならない。これにより、グループ２及び４の損傷している画素、及び二つの可能な「誤って否定されるもの」の状態のケースＰ１及びケースＰ３を考慮することに限定される。
【０１３４】
バックアップ画像の画素は、実際には損傷していてはならない。ＢＩ画素が損傷しているグループ４の全てのケースでは、全ての「誤って肯定されるもの」が可能でないことから復元ができない。バックアップ画像の制御構造は、損傷していないとしてそれをＢＩ画素であると認証しなければならない。損傷していると誤って考えられるバックアップ画像の画素に導くバックアップのロウＣＲＣは、損傷していてもよい。バックアップ画像のコラムＣＲＣが損傷していない場合、バックアップ画像の画素を損傷しているとの誤指定を正すことができる。
【０１３５】
損傷していないバックアップのロウＣＲＣは、バックアップ画像の画素が損傷していないということを示している。損傷しているバックアップのコラムＣＲＣは、バックアップ画像の画素が損傷していないというバックアップのロウＣＲＣの決定を変更することはない。したがって、バックアップ画像のロウＣＲＣあるいはバックアップ画像のコラムＣＲＣが損傷していない限り、損傷していないバックアップ画像の画素が認証でき、損傷している第１の画像の画素の復元に使うことができる。ケースＪ２、Ｍ２、Ｏ２、Ｐ２のみにおいて、バックアップ画像の両方のＣＲＣの構造が損傷しており、損傷していないバックアップ画像を損傷していないものとして認証することができない。
【０１３６】
Ｐ１とＰ３の「誤って肯定されるもの」の場合、バックアップの両方のＣＲＣ構造が損傷し、損傷していないバックアップ画像を損傷していないものとして認証することができない。その結果、グループ４の１６個のケース、及びケースＪ２、Ｍ２、Ｏ２、Ｐ２において、損傷している第１の画像の画素は、復元することができない。Ｐ１あるいはＰ３で「誤って否定されるもの」となる場合、誤って識別された損傷した第１の画像の画素を復元することはできない。
【０１３７】
次に、ディジタル署名の強度を増大させるランダムな文字列の役割について説明する。一時使用と無作為な要素により不正な詐称に成功しないようにディジタル署名の耐力を増加する方法について、例を示し説明する。
【０１３８】
空（ｂｌａｎｋ）の画像と一定の署名アルゴリズムでスタートし、いずれかの実際の画像（ｔｒｕｅ ｉｍａｇｅ）が空に変えられ、正しい空の画像から当該署名が付加されることがありうる。改変された画像は、ほんの少し工夫すれば認証において不適正に認証されることとなろう。同じ画像が同じ署名を生成するので、これは脆弱な情況であり、望ましくない結果となるのは明らかである。
【０１３９】
適応性のある署名では、１つの署名は画像のコンテンツから作られる。空の画像の場合、同じ署名が生成されるであろう。一つの画像が空へと手を加えられ、当該署名は正しく署名された空の画像から複製されうる。これは、同じ望ましくない結果となると先に述べたことと同様に認証において不適正な認証を許すことになろう。
【０１４０】
適応性（ａｄａｐｔｉｖｅ）のある署名の例としては、ワンタイム要素（ｏｎｅ−ｔｉｍｅ ｅｌｅｍｅｎｔ）を含むものがある。ワンタイム要素を付加すると、たとえ画像自体が空であっても署名を他の署名と異ならせることができる。ワンタイム要素とは、日時や画像のシーケンス番号のように決して繰り返さないものである。これらのワンタイム要素を何らかの巻込（組込）みや巧妙な取扱いは、容易に偽造させないようにするのに好ましい。これにより、同じ画像が異なる署名を生成するので、より強力な解決となる。
【０１４１】
適応性のある署名は、ワンタイム要素と無作為（ランダム）要素を含む署名であってもよい。ランダムな文字列（ｒａｎｄｏｍ ｓｔｒｉｎｇ）とは、以前の画像から選んだ値を含む多くの変数から生成される文字の列である。ランダムな文字列を生成するアルゴリズムは、営業の秘密であり、それ以外では同じである同一の製造の流れないしロット（ｓａｍｅ ｐｒｏｄｕｃｔｉｏｎ ｒｕｎ）の間でも、装置毎に異なるものである。使われるアルゴリズムは、同一の装置であっても使用のたびに変更されうるものである。同一の装置からほんの少し時間を隔てて取り込まれた二つの空の画像から、大きく異なった２つの署名が生成できる。また、異なる二つの装置から正確に同一の時刻で取り込まれた二つの空の画像からは、大きく異なった２つの署名が生成できる。このことにより、１つのワンタイム要素のみを含む適応性のある署名よりも強力な解決策を作り出すことになる。
【０１４２】
他の変形例として、ワンタイム要素及びワンタイムランダム要素を伴った適応性のある署名（ａｄａｐｔｉｖｅ ｓｉｇｎａｔｕｒｅ）がある。ユーザは、新たなランダムな文字列を生成する頻度を制御する。画像を取り込んだ後に新たにランダムな文字列を生成する場合、当然、ランダムな要素は、その定義上、パターン化されていないので、画像から生成する署名のパターン認識が不可能である。署名の生成プロトコル及びランダムな文字列の生成アルゴリズムが知られていないか、あるいは逆探知（リバースエンジニアリング）されない限り、正しく構成されているＳｉｇｎａ２の画像に署名できる能力は、専らＳｉｇｎａ２の装置内にのみ存在する。装置の間でランダムな文字列の生成プロトコルの変更、同一装置の使用と別の使用との間でのプロトコルの変更、ランダムな文字列の頻繁な再生成により、手順を決める結果の分析（リバースエンジニアリングの一形態）は、ほとんど徒労である。
【０１４３】
以上で述べた説明及び図において発明を例示し詳細に記述したが、これに限定されるものではなく、発明の意図に至る全ての変更及び修正は保護されるべきである。
【図面の簡単な説明】
【図１】本発明の一実施例に係るディジタルカメラ、パーソナルコンピュータ、外部のＧＰＳ装置を示す概略図である。
【図２】本発明による自立的（ないし機能完備の：ｓｅｌｆ−ｃｏｎｔａｉｎｅｄ）ディジタルカメラの概略図である。
【図３】本発明による自立的ディジタルカメラの詳細図である。
【図４】本発明の一実施例に係る動作シーケンスを表すフロー図である。
【図５】図４に示すプレキャプチャ動作を表すフロー図である。
【図６】図５に示すプレキャプチャ動作における付加的な入力のチェックに関するフロー図である。
【図７】プレキャプチャ動作におけるユーザ制御の記録に関するフロー図である。
【図８】図４に示すキャプチャ動作を表すフロー図である。
【図９】図４に示すポストキャプチャ動作を表すフロー図である。
【図１０】図９の続きを表すフロー図である。
【図１１】図４に示す記録動作を表すフロー図である。
【図１２】署名のあるディジタル画像のファイルフォーマットを表す図である。
【図１３】図４に示す一掃と準備を表すフロー図である。
【図１４】認証のシーケンスを表すフロー図である。
【図１５】図１４に示すＲＣＡ動作を表すフロー図である。
【図１６】図１４に示すＥＬＡ／ＤＥＲ動作を表すフロー図である。
【図１７】図１６の続きを表すフロー図である。
Claims (8)
- データ列を認証する装置であって、
メモリと、前記メモリにデータ列を蓄積する回路を含み、
前記回路は、前記データ列が前記メモリに蓄積された後に前記データ列が改変されたか否かを、
前記データ列が生成された少なくとも一つの条件を一般的に表す少なくとも一つのパラメータを前記データ列と共に前記メモリに蓄え、
前記データ列と、前記メモリに前記データ列と共に蓄えられる第１の署名を生成する前記少なくとも一つのパラメータとを用い、
前記データ列と蓄積されている前記少なくとも一つのパラメータとから第２の署名を生成し、
前記第１と第２の署名が同一であるかを決定すること
により決定することを特徴とするデータ列認証装置。 - 前記回路及び前記メモリは、ディジタルカメラの一部を構成することを特徴とする請求項１記載の装置。
- 前記少なくとも一つのパラメータは、ランダムな数、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、カメラ識別、シーケンス番号、セキュリティの値、からなるグループから選択されることを特徴とする請求項１記載の装置。
- 前記データ列は、周囲の情況ないし事象のディジタルサンプリングであることを特徴とする請求項１記載の装置。
- データ列を認証する方法であって、
データ列をメモリに蓄えるステップと、
前記データ列が生成される少なくとも一つの条件を一般的に表す少なくとも一つのパラメータを前記メモリに蓄えるステップと、
前記メモリに前記データ列と共に蓄えられる第１の署名を生成するために前記データ列と前記少なくとも一つのパラメータを利用するステップと、
前記第１の署名を計算した後の時刻におけるパラメータと前記データ列から第２の署名を生成するステップと、
前記第１の署名と前記第２の署名が同一であるか否かを見分けるために前記第１の署名と前記第２の署名とを比較するステップと、
を含むことを特徴とするデータ列認証方法。 - 前記回路及び前記メモリは、ディジタルカメラの一部を構成することを特徴とする請求項５記載の方法。
- 前記データ列は、周囲の情況ないし事象のディジタルサンプリングであることを特徴とする請求項５記載の方法。
- 前記少なくとも一つのパラメータは、ランダムな数、ＧＰＳの座標、ズームの設定、オートフォーカスの状態、フォーカスの特性をサンプリングしたもの、ロール、ピッチ、ヨーの値、コンパスの方位、フラッシュの状態、カメラ識別、シーケンス番号、セキュリティの値、からなるグループから選択されることを特徴とする請求項５記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US09/626,044 US6757828B1 (en) | 2000-07-27 | 2000-07-27 | Indigenous authentication for sensor-recorders and other information capture devices |
| PCT/US2001/023443 WO2002011425A2 (en) | 2000-07-27 | 2001-07-25 | Indigenous authentication for sensor-recorders and other information capture devices |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004505555A true JP2004505555A (ja) | 2004-02-19 |
| JP2004505555A5 JP2004505555A5 (ja) | 2005-12-22 |
| JP4447219B2 JP4447219B2 (ja) | 2010-04-07 |
Family
ID=24508722
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002515820A Expired - Fee Related JP4447219B2 (ja) | 2000-07-27 | 2001-07-25 | センサ記録装置と情報取得装置に固有の認証装置と方法 |
Country Status (5)
| Country | Link |
|---|---|
| US (2) | US6757828B1 (ja) |
| EP (1) | EP1303980A2 (ja) |
| JP (1) | JP4447219B2 (ja) |
| AU (1) | AU2001277173A1 (ja) |
| WO (1) | WO2002011425A2 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006296979A (ja) * | 2005-04-25 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296671A (ja) * | 2005-04-19 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296672A (ja) * | 2005-04-19 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296981A (ja) * | 2005-04-25 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
Families Citing this family (31)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8219545B2 (en) * | 2000-07-27 | 2012-07-10 | Goldhar/Jaffe Technology Development Corporation | Indigenous authentication and searching system and method |
| US7594114B2 (en) * | 2002-09-16 | 2009-09-22 | General Electric Company | Authentication apparatus and method for universal appliance communication controller |
| EP1624350B1 (de) * | 2004-08-02 | 2012-05-02 | Siemens Aktiengesellschaft | Verfahren zur Authentifizierung in einem Automatisierungssystem |
| US8520069B2 (en) * | 2005-09-16 | 2013-08-27 | Digital Ally, Inc. | Vehicle-mounted video system with distributed processing |
| US20070220335A1 (en) * | 2006-02-28 | 2007-09-20 | Gollub Marc A | Hardware function isolating during slow mode initial program loading |
| US20120036081A1 (en) * | 2007-07-23 | 2012-02-09 | Hatter Brenda F | Method and system for a real-time interactive web/media-based electronic new or remote hire document processing system interfaced/interlink to an employer authorized distal/remote notaries public or 3rd party agent |
| US20090198733A1 (en) * | 2008-02-01 | 2009-08-06 | Microsoft Corporation | Healthcare resource locator |
| US8503972B2 (en) | 2008-10-30 | 2013-08-06 | Digital Ally, Inc. | Multi-functional remote monitoring system |
| US9301191B2 (en) | 2013-09-20 | 2016-03-29 | Telecommunication Systems, Inc. | Quality of service to over the top applications used with VPN |
| US9479344B2 (en) | 2011-09-16 | 2016-10-25 | Telecommunication Systems, Inc. | Anonymous voice conversation |
| US8984591B2 (en) * | 2011-12-16 | 2015-03-17 | Telecommunications Systems, Inc. | Authentication via motion of wireless device movement |
| US9338153B2 (en) | 2012-04-11 | 2016-05-10 | Telecommunication Systems, Inc. | Secure distribution of non-privileged authentication credentials |
| US10064063B2 (en) | 2012-08-24 | 2018-08-28 | Motorola Solutions, Inc. | Method and apparatus for authenticating digital information |
| WO2014052898A1 (en) | 2012-09-28 | 2014-04-03 | Digital Ally, Inc. | Portable video and imaging system |
| US10272848B2 (en) | 2012-09-28 | 2019-04-30 | Digital Ally, Inc. | Mobile video and imaging system |
| US9378350B2 (en) | 2013-03-15 | 2016-06-28 | Airwatch Llc | Facial capture managing access to resources by a device |
| US10848642B2 (en) * | 2013-04-18 | 2020-11-24 | Infineon Technologies Ag | Apparatus for generating trusted image data, an apparatus for authentication of an image and a method for generating trusted image data |
| US9253452B2 (en) | 2013-08-14 | 2016-02-02 | Digital Ally, Inc. | Computer program, method, and system for managing multiple data recording devices |
| US10075681B2 (en) | 2013-08-14 | 2018-09-11 | Digital Ally, Inc. | Dual lens camera unit |
| US10390732B2 (en) | 2013-08-14 | 2019-08-27 | Digital Ally, Inc. | Breath analyzer, system, and computer program for authenticating, preserving, and presenting breath analysis data |
| US9159371B2 (en) | 2013-08-14 | 2015-10-13 | Digital Ally, Inc. | Forensic video recording with presence detection |
| US9841259B2 (en) | 2015-05-26 | 2017-12-12 | Digital Ally, Inc. | Wirelessly conducted electronic weapon |
| US10013883B2 (en) | 2015-06-22 | 2018-07-03 | Digital Ally, Inc. | Tracking and analysis of drivers within a fleet of vehicles |
| US10904474B2 (en) | 2016-02-05 | 2021-01-26 | Digital Ally, Inc. | Comprehensive video collection and storage |
| US10521675B2 (en) | 2016-09-19 | 2019-12-31 | Digital Ally, Inc. | Systems and methods of legibly capturing vehicle markings |
| US10671876B1 (en) * | 2016-09-28 | 2020-06-02 | Vaas International Holdings | Vehicle based notification record |
| US10911725B2 (en) | 2017-03-09 | 2021-02-02 | Digital Ally, Inc. | System for automatically triggering a recording |
| US20190273618A1 (en) * | 2018-03-05 | 2019-09-05 | Roger G. Marshall | FAKEOUT© Software System - An electronic apostille-based real time content authentication technique for text, audio and video transmissions |
| KR102701323B1 (ko) * | 2018-06-01 | 2024-08-30 | 파퉁 인베스트먼츠 엘티디. | 인증된 데이터의 캡쳐 및 표시 |
| US11024137B2 (en) | 2018-08-08 | 2021-06-01 | Digital Ally, Inc. | Remote video triggering and tagging |
| US11950017B2 (en) | 2022-05-17 | 2024-04-02 | Digital Ally, Inc. | Redundant mobile video recording |
Family Cites Families (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5436653A (en) * | 1992-04-30 | 1995-07-25 | The Arbitron Company | Method and system for recognition of broadcast segments |
| US5499294A (en) * | 1993-11-24 | 1996-03-12 | The United States Of America As Represented By The Administrator Of The National Aeronautics And Space Administration | Digital camera with apparatus for authentication of images produced from an image file |
| US5966446A (en) * | 1995-09-29 | 1999-10-12 | Intel Corporation | Time-bracketing infrastructure implementation |
| US5764770A (en) * | 1995-11-07 | 1998-06-09 | Trimble Navigation Limited | Image authentication patterning |
| US6256736B1 (en) * | 1998-04-13 | 2001-07-03 | International Business Machines Corporation | Secured signal modification and verification with privacy control |
| US6269446B1 (en) * | 1998-06-26 | 2001-07-31 | Canon Kabushiki Kaisha | Authenticating images from digital cameras |
| US6253337B1 (en) * | 1998-07-21 | 2001-06-26 | Raytheon Company | Information security analysis system |
| US6226618B1 (en) * | 1998-08-13 | 2001-05-01 | International Business Machines Corporation | Electronic content delivery system |
| JP2000152148A (ja) * | 1998-11-13 | 2000-05-30 | Hitachi Ltd | 電子カメラ |
| US7216232B1 (en) * | 1999-04-20 | 2007-05-08 | Nec Corporation | Method and device for inserting and authenticating a digital signature in digital data |
-
2000
- 2000-07-27 US US09/626,044 patent/US6757828B1/en not_active Expired - Lifetime
-
2001
- 2001-07-25 WO PCT/US2001/023443 patent/WO2002011425A2/en not_active Ceased
- 2001-07-25 AU AU2001277173A patent/AU2001277173A1/en not_active Abandoned
- 2001-07-25 JP JP2002515820A patent/JP4447219B2/ja not_active Expired - Fee Related
- 2001-07-25 EP EP01954962A patent/EP1303980A2/en not_active Ceased
-
2004
- 2004-06-24 US US10/876,318 patent/US20050132200A1/en not_active Abandoned
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006296671A (ja) * | 2005-04-19 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296672A (ja) * | 2005-04-19 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296979A (ja) * | 2005-04-25 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
| JP2006296981A (ja) * | 2005-04-25 | 2006-11-02 | Aruze Corp | 遊技機および遊技用情報の認証取込装置並びに遊技用情報の取込装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1303980A2 (en) | 2003-04-23 |
| WO2002011425A3 (en) | 2002-04-11 |
| JP4447219B2 (ja) | 2010-04-07 |
| US20050132200A1 (en) | 2005-06-16 |
| WO2002011425A2 (en) | 2002-02-07 |
| AU2001277173A1 (en) | 2002-02-13 |
| US6757828B1 (en) | 2004-06-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4447219B2 (ja) | センサ記録装置と情報取得装置に固有の認証装置と方法 | |
| JP4602931B2 (ja) | 画像セットの完全性を保証する方法 | |
| US8219545B2 (en) | Indigenous authentication and searching system and method | |
| EP3543891B1 (en) | A computer implemented method and a system for tracking of certified documents lifecycle and computer programs thereof | |
| CN1354935A (zh) | 包括安全文件标记的数字文件管理和成像系统及方法 | |
| CN102271927A (zh) | 保护纸质文件免受伪造、篡改和泄露的系统和过程 | |
| US12561484B2 (en) | Systems and methods for data and identity validation and integrity-check based on artificial intelligence and/or blockchain systems | |
| CN115150150B (zh) | 一种基于区块链技术的信息记录方法 | |
| US20070165261A1 (en) | Tampering detection apparatus and tampering detection method for printed document | |
| JP2010073112A (ja) | 顔照合システム | |
| CN116664081B (zh) | 基于快办识别的案件数据固证处理方法、装置及设备 | |
| JP2008090389A (ja) | 電子情報検証プログラム、電子情報検証装置および電子情報検証方法 | |
| US20060123236A1 (en) | Image data registration method and apparatus and image data verification method and apparatus | |
| JP4584196B2 (ja) | 情報処理システム、情報処理方法、およびプログラム | |
| WO2006090622A1 (ja) | 撮像画像のオリジナル性を証明する電子カメラおよび方法、並びにそのオリジナル性を検証する検証プログラム | |
| US20230409754A1 (en) | Method for certifying the authenticity of digital files generated by a communication device | |
| CN121259546B (zh) | 一种密评证据图片的去重及合规性校验方法及其系统 | |
| WO2024147208A1 (ja) | 情報処理装置、方法、及びプログラム | |
| JP7427310B1 (ja) | 情報端末及びプログラム | |
| US20240184904A1 (en) | Method and System for Managing at Least One Unique Data Record | |
| WO2024079962A1 (ja) | 情報端末及びプログラム | |
| CN1284115C (zh) | 数字影像加密处理系统 | |
| Mohamed et al. | QR Code-Intergrated Multi-Layer Security Framework for ID Cards Using ECC and Guilloche Patterns | |
| KR20250142480A (ko) | Raw의 메타데이터 기반의 원본진정성 분석과 신경망모델 시스템구축방법과 기술 | |
| CN119992670A (zh) | 一种电子数据安全远程取证方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041029 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041029 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071016 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080116 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20080318 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080716 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080901 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090107 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20090306 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20100112 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100120 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130129 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4447219 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140129 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |