JP4911225B2

JP4911225B2 - 表示システムおよび表示方法

Info

Publication number: JP4911225B2
Application number: JP2009528048A
Authority: JP
Inventors: 和典木村; 藤男奥村
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2007-08-16
Filing date: 2008-05-07
Publication date: 2012-04-04
Anticipated expiration: 2028-05-07
Also published as: JPWO2009022483A1; WO2009022483A1

Description

本発明は、情報を表示するとともに、表示した情報の漏洩を防止する情報表示技術に関する。

近年では、ノートパソコン、携帯情報端末（ＰＤＡ）、携帯電話など、インターネットに接続する情報端末を用いてインターネットバンキングやインターネットショッピングなどの取引を行うことができる。これらの取引では個人を特定し、特定された個人だけが取引をできるようにする必要がある。一般的には個人の特定には個人認証文字列（数字のみで構成された暗証番号も含む）による個人認証が用いられている。

小型で携帯可能な情報端末を用いた取引は、列車や航空機などの乗り物、各種公共施設などの公共の場においても日常的に行われている。しかし、そのような公共の場では、キーボードやテンキーで文字列を情報端末に入力する際、覗き込みなどによって他者に個人認証文字列を盗み見られる危険性がある。個人認証文字列をいかにして秘匿するかが今後のユビキタス情報社会における重要な課題である。

また、携帯可能な情報端末に限らず、公共の場に設置されている情報端末を用いる場合にも同様の問題がある。例えば、銀行で使用されるＡＴＭ（ＡｕｔｏｍａｔｉｃＴｅｌｌｅｒＭａｃｈｉｎｅ）においては、タッチパネル付きのＬＣＤ（ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）に各種サービスの選択キーやテンキー等が表示される。使用者は表示にしたがって画面にタッチし、振り込み、現金引き出し、個人認証文字列変更などのサービスを受ける。

これらのサービスを受ける際に、個人認証文字列による個人認証が行われる。使用者はＡＴＭにカードを挿入し、テンキーで個人認証文字列を入力する。入力された個人認証文字列とカードの個人認証文字列とが一致した場合だけ使用者にサービスの利用が許可される。この入力の際に個人認証文字列を他者に盗み見られる危険性がある。

こうした個人認証文字列が他者に知られてしまうことに対する対策について様々に検討がなされている。そのような関連技術の１つとして、例えば、使用者が変わる度にテンキーの配列をランダムに変更する技術が知られている（特開平８−０６９５０２号公報（以下、文献１という）参照）。

図１は、文献１に開示された関連技術による表示例を示す図である。図２は、文献１に開示された関連技術における装置の概略構成図である。図１、２を用いて、文献１に記載されている関連技術について説明する。

文献１の第１の実施例では、キー情報表示装置は電源投入時に乱数を発生させ、その乱数からキー配列を決めて、テンキー（例えば図１（ａ））を画面に表示する。最初の操作者は、最初に表示されたテンキーに従って個人認証文字列を入力し、例えばＡＴＭサービスを受ける。そのサービスが終了するとテンキー画像は開始モードに戻る。

開始モードに戻るとき、キー情報表示装置は再び乱数を発生させてテンキーの配列を変更する。次の操作者がサービスを開始するときに、変更したテンキー（例えば図１（ｂ））を画面に表示する。次の操作者は、変更されたキー配列のテンキーに従って個人認証文字列を入力することになる。

この技術によれば操作者が変わる度にテンキーの配列が変更されるため、操作者の手指の動きから他者が個人認証文字列を類推することができない。

また、文献１の第２の実施例によるテンキー情報表示装置では、図２に示すように、偏光板４０ＡがＬＣＤ３Ａの上方にＬＣＤ３Ａから離れて配置されている。一般的には、偏光板はＬＣＤの表面に配置されるが、偏光板４０ＡをＬＣＤ３Ａから離して配置することにより、操作者にのみＬＣＤ３Ａの表示内容が分かるようにしている。そのため他者は偏光板４０Ａを通して表示画面を覗き込むことができず、テンキー配列を見ることができない。これを図１に示した第１の実施例と組み合わせることで個人認証文字列の秘匿性をより向上させることができる。

また個人認証文字列の秘匿に関する他の技術として、個人認証文字列を１文字入力する度にキー配列をランダムに変更するというものがある（特開２００４−１０２４６０号公報（以下、文献２という）参照）。これによれば１文字毎にテンキーの配列が変更されるため、操作者の手指の動きから他者が個人認証文字列を類推することができない。

また、特定の画像（例えばテンキー配列）を秘匿する技術として、画像の高速な切り替えと光シャッターの開閉を組み合わせたものがある（特開平６−１１０４０３号公報（以下、文献３という）参照）。複数の画像を切り替えて表示するとともに、その切り替えに同期して光シャッターを開閉する。

図３は、文献３に開示された関連技術を説明するための図である。図３に示すような、本来表示したい画像（正常画像１１Ｂ）と、その正常画像１１Ｂを反転した画像（反転画像１２Ｂ）とを高速で交互に切り替えて表示パネル１４Ｂに表示する。それとともに、使用者の眼の前に配置された光シャッター１５Ｂを開閉する。光シャッター１５Ｂの開閉は、正常画像１１Ｂを表示しているときには光を透過し、反転画像１２Ｂが表示されているときには光を遮断するように、画像の切り替えに同期して行われる。

こうすることにより光シャッター１５Ｂを通して画像を見ている使用者には正常画像１１Ｂと同じ画像１６Ｂが見える。一方、光シャッター１５Ｂを通さずに画像を見ている他者は秘密画像１１Ｂと反転画像１２Ｂが重畳された中間調（例えば灰色）の画像を見ることになるので、他者は正常画像１１Ｂを判読することができない。

また、特定の画像を秘匿する他の技術として秘密画像を分散して表示させるものがある（特開２００１−２５５８４４号公報（以下、文献４という）参照）。

図４は、文献４に開示された技術を説明するための図である。図５は、文献４に開示された技術における画像の切り替えについて説明するための図である。

図４に示すように、秘密画像（原画像）である文字「Ａ」が複数の画素５４Ｃによって表現されるものとする。文献４の技術では、秘密画像を、図５に示すような３つの分割画面５８Ｃ、５９Ｃ、６０Ｃに分散することで、個々の分割画像５８Ｃ、５９Ｃ、６０Ｃを見ても秘密画像を類推することができないようにしておく。

そして３つの分割画像５８Ｃ、５９Ｃ、６０Ｃとマスキング画像とを高速で順次切り替えて表示する。さらに光シャッターは分割画像５８Ｃ、５９Ｃ、６０Ｃが表示されているときに光を透過し、マスキング画像を表示しているときには光を遮断するように開閉される。その結果、光シャッターを通して画像を見ている使用者には秘密画像が見えるが、光シャッターを通さずに画像を見ている他者には秘密画像が見えない。

文献１〜４に開示された技術は、他者が使用者の画面操作を覗き込んで手指の動きを観察することにより個人認証情報を盗むことを防止するのには一定の効果を発揮する。しかし、他者がカメラやビデオカメラを利用して個人認証情報を取得するような方法に対して、これらの技術は脆弱であった。文献１〜４のいずれの文献に開示された技術でも、タッチパネル上において指で選択される文字、あるいは画面上でマウスによってポインティングされる文字は、使用者が入力しようとする文字と必ず一致するからである。

文献１および文献２では、キー配列がランダムに変化したとしても、ＬＣＤ画面に表示されているテンキーの画像と、ＬＣＤ画面上のキーを選択している指とを一緒にカメラで撮影すれば、他者は個人認証文字列を容易に知ることができる。

文献２には偏光板を装置から分離した実施例も示されているが、それでもカメラのレンズ部に偏光板を設置すれば他者は個人認証文字列を知ることができる。

文献３および文献４に開示された技術では、キー配列が完全に露出している文献１あるいは文献２と比較すれば他者にキー配列の判別がされ難い。しかし、これらの技術にも同様の問題がある。

図６Ａは、文献３の技術による典型的なテンキー表示の例を示す図である。図６Ｂは、文献４の技術による典型的なテンキー表示の例を示す図である。

図６Ａでは、秘密画像５１としてテンキー配列がそのまま表示されている。反転画像５２は秘密画像５１の白黒が反転してはいるものの、表示内容はテンキー配列を表している。個人認証文字列の入力場面を他者にカメラで撮影されると、秘密画像５１あるいは反転画像５２が表示されているときにカメラのシャッタータイミングが入ればテンキー配列と使用者の指とが一緒に撮影されてしまう。その結果、光シャッターを利用しない他者に個人認証文字列を知られてしまう。

図６Ｂでは、秘密画像が複数の分割画像に分割されているので、図６Ａと比較すればテンキー配列の判別はされ難い。図６Ｂにはキー単位で画像を分割した例が示されているが、実際には１つのキーが更に分割されるので、テンキー配列やテンキー文字そのものを判別されるのは一層難しい。しかし、それでも分割画像あるいはその反転画像が表示されているときにカメラのシャッタータイミングが入れば分割画像あるいはその反転画像が他者に撮影され、その画像からテンキー配列を類推されてしまう。また、ビデオカメラによって連続的に複数の画像を撮影され、後にそれらの画像を合成されると、テンキー配列と指で選択されたテンキーとが他者に知られてしまう。

なお、ここではタッチパネルで文字列を入力する例について説明しているが、表示画面とは別にキーボードがあり、キーボードで文字列を入力する場合も同様に撮影機器を利用して他者に個人認証情報を取得されてしまう。さらにキーボードの場合にはキー押下の履歴情報が漏洩する危険もある。

現在では撮影技術の高度化、一般化が進展し、撮影機器が小型かつ高速撮影が可能となり、また携帯電話にも動画を撮影する機能が搭載されるようになっている。そのため、カメラやビデオカメラなどの撮影機器を利用して個人認証情報を取得するような方法に対しても秘匿性の高い技術が求められている。

本発明の目的は、他者に画面を覗き見あるいは撮影機器で撮影されても、個人認証文字列などの秘密情報を他者に知られるのを防止するための技術を提供することである。

上記目的を達成するために、本発明の一態様による表示システムは、画面に画像を表示する表示システムであって、
使用者に認識させるべき有効表示情報と、該有効表示情報と同種で内容の異なるダミー表示情報と、を含む複数の表示情報を生成する表示情報制御手段と、
前記表示情報制御手段で生成された、前記有効表示情報と前記ダミー表示情報を含む前記複数の表示情報を前記画面に表示させる画像表示制御手段と、
前記画像表示制御手段により前記画面に表示された前記表示情報のうち前記有効表示情報を使用者だけが特定できるように、前記画像から前記使用者への光の到達を制御する視認制御手段と、を有している。

本発明の一態様による表示方法は、光シャッターを通して見る画像を画面に表示するための表示方法であって、
使用者に認識させるべき有効表示情報と、該有効表示情報と同種で内容の異なるダミー表示情報と、を含む複数の表示情報を生成し、
前記有効表示情報と前記ダミー表示情報を含む前記複数の表示情報を前記画面に表示させ、
前記画面に表示された前記表示情報のうち前記有効表示情報を使用者だけが特定できるように、前記画面から前記使用者への光の到達を制御する。

文献１に開示された関連技術による表示例を示す図である。文献１に開示された関連技術における装置の概略構成図である。文献３に開示された関連技術を説明するための図である。文献４に開示された技術を説明するための図である。文献４に開示された技術における画像の切り替えについて説明するための図である。文献３の技術による典型的なテンキー表示の例を示す図である。文献４の技術による典型的なテンキー表示の例を示す図である。第１の実施の形態の表示システムの構成を示すブロック図である。第１の実施の形態の表示システムを使用者が使用している状態を示す図である。第１の実施の形態による表示システムの動作の一例を示すフローチャートである。第１の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。第１の実施の形態による表示システムの他の構成例を示すブロック図である。第２の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。第３の実施の形態による表示システムの構成を示すブロック図である。第３の実施の形態による表示システムの動作の一例を示すフローチャートである。第３の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。第４の実施の形態による表示システムの動作の一部の一例を示すフローチャートである。第４の実施の形態による表示システムにより表示されるキー配列の具体例を示す図である。第５の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。第６の実施の形態による表示装置の外観例を示す図である。第６の実施の形態の表示システムにより表示されるキー配列の具体的な一例を示す図である。第６の実施の形態の表示システムにより表示されるキー配列の具体的な他の例を示す図である。第７の実施の形態の表示システムにより表示されるキー配列の具体的な一例を示す図である。第７の実施の形態の表示システムにより表示されるキー配列の具体的な他の例を示す図である。第８の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。ＡＴＭを想定した表示装置の第１の具体例を示す図である。ＡＴＭを想定した表示装置の第２の具体例を示す図である。ＡＴＭを想定した表示装置の第３の具体例を示す図である。ＡＴＭを想定した表示装置の第４の具体例を示す図である。ＡＴＭを想定した表示装置の第５の具体例を示す図である。ＡＴＭを想定した表示装置の第６の具体例を示す図である。第１の実施の形態等の表示装置７を公衆パネルに適用した例を説明するための図である。第１の実施の形態等の表示装置７を携帯電話機に適用した例を説明するための図である。第１の実施の形態等の表示装置７をコンピュータに適用した例を説明するための図である。

本発明の実施形態について図面を参照して詳細に説明する。

（第１の実施の形態）
図７は、第１の実施の形態の表示システムの構成を示すブロック図である。図７を参照すると、表示システムは表示装置７と光シャッター８を有している。表示装置７は表示部１と処理部２を有している。具体例として処理部２がコンピュータであり、表示部１がディスプレイである例が想定される。

表示部１は表示画面１０２と画像駆動部１０３を有している。処理部２は、押下位置確定部２０１、メイン処理部２０２、光シャッター制御信号生成部２０３、キー制御部３、画像表示制御部４、およびモード選択部５を有している。キー制御部３は、キー配列生成部３０１、キー配列メモリ３０２、キー配列選択部３０３、キー配列転送部３０４、スキャンコード対応部３０５、およびキー配列対応テーブル３０６を有している。処理部２としてコンピュータを想定すれば、処理部２に含まれる各部はプロセッサがソフトウェアプログラムを実行することにより実現される各種処理手段である。

画像表示制御部４は、画像合成部４０１、画像メモリ４０２、モード切替部４０３、および同期信号生成部４０４を有している。モード選択部５は、個人認証モード部６に、個人認証モードで動作する入力個人認証文字列メモリ６０１および文字列比較部６０２を有している。

表示部１において、画像駆動部１０３は、画像表示制御部４からの制御により、表示画面１０２に画像を表示させる。表示画面１０２には例えばキー配列１０１が表示される。表示画面１０２は例えばタッチパネル式の表示装置であり、画像駆動部１０３からの駆動で画像を表示するとともに、タッチを検出して押下位置を示す情報を押下位置確定部２０１に通知する。

光シャッター８は、表示画面１０２と使用者の眼が来る位置との間に配置されており、表示装置７の光シャッター制御信号生成部２０３からの制御に従って開閉することで、表示画面１０２から使用者の眼へ向かう光を透過したり遮断したりする。

モード選択部５は動作モードを決定する。モード選択部５は、例えばキー入力などによる使用者の選択に従って動作モードを決定すればよい。動作モードの１つとして個人認証モードがある。個人認証モードは、キー配列を使用者のみが見られる状態で表示し、他者に対しては秘匿する動作モードである。

モード選択部５は、個人認証モードの状態では、キー入力された文字列を入力個人認証文字列メモリ６０１に収納する。また、モード選択部５には使用者の個人認証文字列が予め設定されており、文字列比較部６０２は、入力個人認証文字列メモリ６０１に収納した文字列と、予め設定されている個人認証文字列とを比較することで使用者の個人認証を行う。

押下位置確定部２０１は、表示画面１０２から通知された情報を基に押下された位置を確定し、確定した位置を示す情報をキー制御部３に通知する。

キー制御部３において、キー配列生成部３０１は、個人認証モードが起動されると複数の異なるキー配列を生成し、キー配列メモリ３０２に格納する。キー配列は秘匿の対象となる表示情報の例である。本実施の形態はこのキー配列を秘匿対象としている。生成するキー配列の数は、要求される秘匿性に応じて予め決めておけばよい。

キー配列選択部３０３は、キー配列生成部３０１で生成されキー配列メモリ３０２に格納されたキー配列の中から１つのキー配列を選択して有効キー配列とし、それ以外のキー配列をダミーキー配列とする。有効キー配列は、使用者によって入力されたキーを判断するときに用いる有効なキー配列であり、光シャッター８を通して表示画面１０２を見た使用者に認識させるキー配列である。ダミーキー配列は、有効キー配列を他者に特定されないようにするためのキー配列である。そのため、ダミーキー配列は有効キー配列と同種かつ表示内容の異なる表示情報となっている。本実施の形態では、ダミーキー配列は、有効キー配列と同種のキー配列を表示するものであり、かつ、表示内容である実際のキーの配置は有効キー配列と異なる。本実施の形態はキー配列を表示情報とした例であるが、他の例として文字列や商品群を表示情報としてもよい。

表示情報が文字列であれば、有効表示情報とダミー表示情報はどちらも同種の文字列を表示するが、ダミー表示情報は表示する文字が有効表示情報とは異なるものとなる。表示情報が商品群であれば、有効表示情報とダミー表示情報はどちらも同種の商品群を表示するが、ダミー表示情報は表示する商品が有効表示情報とは異なるものとなる。

スキャンコード対応部３０５は、キー配列選択部３０３によって選択された有効キー配列とスキャンコードとを対応付け、その対応付けを示す対応関係情報をキー配列対応テーブル３０６に格納する。このキー配列対応テーブル３０６は、押下位置確定部２０１から通知された情報をスキャンコードに変換するのに用いられる。

キー配列転送部３０４は、キー配列生成部３０１で生成されキー配列メモリ３０２に格納されたキー配列を所定の順序あるいはランダムな順序で画像表示制御部４に転送する。

本実施の形態では、有効キー配列およびダミーキー配列を個人認証モードの切り替わり毎に新たに更新するものとする。そのため１つの個人認証モードが終了すると、キー配列生成部３０１は再びキー配列を生成しなおし、キー配列選択部３０３は有効キー配列を選択しなおす。

ここでは個人認証モード以外の状態では秘匿性が要求されないものとする。そのため個人認証モード以外の状態では使い勝手を考慮して一般的なキー配列を用いることにしてもよい。その場合、個人認証モードが終了したときには一般的なキー配列に戻し、新たに個人認証モードが起動されたときに、キー配列生成部３０１がキー配列を生成しなおし、キー配列選択部３０３が有効キー配列を選択しなおすことにすればよい。

また、例えばキー配列選択部３０３が有効キー配列をランダムに選択することにすれば、キー配列転送部３０４は、予め定められた順序でキー配列を転送することで足りる。また、キー配列選択部３０３は例えば最初に生成されたキー配列を有効キー配列とすることにし、キー配列転送部３０４がキー配列を所定の順序あるいは完全にランダムな順序でキー配列を転送することにしてもよい。

画像表示制御部４において、モード切替部４０３は、モード選択部５で決定された動作モードにより、画像表示制御部４の動作を切り替える。個人認証モードでは、有効キー配列およびダミーキー配列を含む複数のキー配列の画像を順次切り替えて表示する。それ以外の動作モードでは１つのキー配列の画像を継続的に表示する。

画像メモリ４０２は、表示部１に表示させる画像を格納する。

同期信号生成部４０４は、個人認証モードの状態では、画像表示制御部４における画像の切り替えと、光シャッター制御信号生成部２０３による光シャッター制御信号の生成との両方の基準タイミングを規定する同期信号を生成し、その同期信号を画像表示制御部４内に提供するとともに光シャッター制御信号生成部２０３にも提供する。

画像合成部４０１は、個人認証モードの状態では、キー制御部３のキー配列転送部３０４から転送されてきたキー配列の画像を画像メモリ４０２の画像に順次はめ込んでいく。画像メモリ４０２には、使用者に個人認証文字列の入力を求めるための認証画像が収納されており、その認証画像にはキー配列を表示する部分がある。画像合成部４０１は、その認証画像のキー配列を表示する部分に、キー配列転送部３０４によって転送されてきたキー配列の画像をはめ込んでいく。

光シャッター制御信号生成部２０３は、同期信号生成部４０４からの同期信号を用いて、表示部１に表示される画像の切り替えと同期して有効キー配列が表示されるタイミングで光シャッターを透過状態にするための光シャッター制御信号を生成し、光シャッター８に送る。

メイン処理部２０２は、各部の状態や使用者により入力されたキーの情報に基づいて各部の制御や装置としての基本的な処理を行う。

この例では、表示部１の表示画面１０２がタッチパネル式の表示装置である例を示したが、他の構成によるキー入力であっても構わない。また、この例ではキー配列をテンキーとしているが、他のキー配列、例えば文字や特殊記号を含むキー配列であっても構わない。更に、キー入力は、タッチパネルへのタッチやキーボードのキー押下以外に、マウスや光学素子によるポインティングなどであってよい。

また、画像メモリ４０２には全ての表示画像が予め収納されていなくてもよい。例えば、画像メモリ４０２にはベースとなる画像だけ収納しておき、その画像を基に他の表示画像を生成することにしてもよい。また、画像メモリ４０２に収納されている画像ではなく、外部から入力された画像を表示に用いることにしてもよい。

また、キー配列転送部３０４ではなく、画像表示制御部４がキー配列の表示順序を決定することにしてもよい。

また、特に動作モードを規定せず常に同じ表示動作を用いてもよい。上述した個人認証モードでの動作を各部が常に行うことにすればよい。その場合にはモード切替部４０３が不要である。

図８は、第１の実施の形態の表示システムを使用者が使用している状態を示す図である。

表示装置７に備わった表示画面１０２と使用者の眼８５との間に光シャッター８が配置される。光シャッター８は制御用ケーブル８１で表示装置７に接続され、表示装置７から制御用ケーブル８１経由で受信した光シャッター制御信号に従って開閉する。光シャッター制御信号は、表示画面１０２に有効キー配列の画像が表示されるタイミングで光シャッター８を透過状態とするように光シャッター８を制御する信号である。これにより、光シャッター８を介して表示画面１０２を見ている使用者のみが、順次表示される画像中から有効キー配列の画像を視認することができる。

図８では表示装置７がＡＴＭに類したものとして示しているが、他の形状、構成であってもよい。表示装置７は、他の例としてデスクトップ型コンピュータあるいはノート型コンピュータであってもよい。また、表示装置７は携帯電話機であってもよい。更に表示装置７はオープンな環境下に配置される公衆パネル等であってもよい。公衆パネルは、例えばカタログなどを表示し、その表示を見た使用者がキー入力により希望する商品を選択して購入することのできるパネル装置である。購入代金は、磁気カードなどのＩＤカードあるいはそれに相当する機能を備えた携帯端末と、個人認証文字列の入力との併用により支払う。その個人認証文字列の入力はタッチパネル方式による入力であってもよく、予めパネルの近傍に設置されたキーボードからの入力であってもよく、また携帯端末のキーボードからの入力であってもよい。

また、図８では表示装置７と光シャッター８が制御用ケーブル８１で接続されている。しかし他の例としてＲＦリンクや赤外線リンク等の無線通信リンクを用いることにしてもよく、その場合には制御用ケーブル８１は不要である。ただし、無線通信リンクを用いる場合、光シャッター制御信号による光シャッター８の開閉タイミングが漏洩しないような配慮をすることが望ましい。例えば光シャッター制御信号を暗号化するのがよい。

図９は、第１の実施の形態による表示システムの動作の一例を示すフローチャートである。表示を開始するとき、表示装置７は使用者による入力等から動作モードを選択する（ステップＳ１０１）。表示装置７は、選択した動作モードが個人認証モードであるか否か判定する（ステップＳ１０２）。

個人認証モードであれば、表示装置７は複数のキー配列を生成する（ステップＳ１０３）。続いて、表示装置７は、生成したキー配列が適正なものであるか否か判定する（ステップＳ１０４）。キー配列が適切なものであるか否かは、例えば、重複したキー配列が生成されていないかで判定される。生成されたキー配列が適正なものでなければ、表示装置７はステップＳ１０３に戻ってキー配列を再度生成しなおす。

適切なキー配列であれば、表示装置７は、そのキー配列を収納する（ステップＳ１０５）。キー配列を収納すると、表示装置７は、その複数のキー配列の中から有効キー配列を選択し（ステップＳ１０６）、有効キー配列とスキャンコードとの対応関係を示すキー配列対応テーブルを作成する（ステップＳ１０７）。

表示装置７は、生成した複数のキー配列を、キー配列転送部３０４により、キー配列メモリ３０２から画像表示制御部４に順次転送する（ステップＳ１０８）。転送する順序は所定の順序であってもよく、またランダムであってもよい。

画像表示制御部４は同期信号を生成している（ステップＳ１１２）。画像表示制御部４は、画像メモリ４０２に収納されている画像を取り出し（ステップＳ１０９）、キー制御部３から転送されてきた画像と合成し（ステップＳ１１０）、同期信号に従って順次切り替えながら表示画面１０２に表示する（ステップＳ１１１）。

また、表示装置７は、同期信号を基にして光シャッター制御信号を生成し（ステップＳ１１３）、その光シャッター制御信号を送信することにより光シャッター８の開閉を制御する（ステップＳ１１４）。

光シャッター８を通して表示画面１０２を見ている使用者は、スキャンコードと一致する有効キー配列を視認できるため、有効キー配列で個人認証文字列をキー入力することができる。

表示装置７は、判定回数が予め定められた回数（Ｎ回）以下か否か判定し（ステップＳ１１５）、Ｎ回を超えていればステップＳ１０１に戻る。Ｎ回以下であれば、表示装置７は、入力画面により、使用者からの個人認証文字列の入力を受け（ステップＳ１１６）、その個人認証文字列を収納する（ステップＳ１１７）。

更に、表示装置７は、使用者により入力された個人認証文字列と、予め登録されている個人認証文字列とを比較することにより個人認証を行う（ステップＳ１１８）。個人認証の成否により、その後の操作を使用者に許可するか否かが決まる。

個人認証が成功しなければ、表示装置７はステップＳ１１５に戻り、判定回数がＮ回以下であれば、再度、入力画面での個人認証文字列の入力からやり直す。

個人認証が成功であれば、表示装置７は、所定の画面表示と使用者によるキー入力の受け付けにより、その後の作業を実行する（ステップＳ１１９）。全ての作業が終了すると表示装置７は一連動作を終了する（ステップＳ１２０）。全ての作業が終了しなければ、表示装置７はステップＳ１０１に戻って一連の動作を繰り返す。

図９の例では、ステップＳ１０２において、個人認証モードでなければ、ステップＳ１０１のモード選択に戻るようにしている。しかし、個人認証モードでなければ、個人認証を必要としない作業を実行することにしてもよい。

また、図９の例では、ステップＳ１１５によって、個人認証文字列の入力ミスがＮ回を超えるとステップＳ１０１に戻って使用者を個人認証モードから排除する例を示している。しかし、ステップＳ１０１に戻る代わりに操作を停止したり、警告を発したりなど、他の動作を実行することにしてもよい。

また、図９の例では、ステップＳ１１６およびＳ１１７にて、個人認証文字列の入力が完了してから、ステップＳ１１８にて、個人認証の判定を行っている。しかし、一定文字数の入力がされる毎に判定を行うことにしてもよい。例えば、１文字毎に判定することにすれば、個人認証文字列のメモリへの収容を行わないことにすることもできる。ただし、その場合でも、個人認証の成否は、個人認証文字列の入力が終了してから表示することにしてもよい。

上述した本実施の形態の構成や動作はあくまで一例であり、本発明は様々な構成や動作への応用が可能である。

図１０は、第１の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。図１０に示されているように、表示装置７の表示画面１０２にはキー配列１０１が表示される。その際、有効キー配列とダミーキー配列とからなる複数のキー配列が順次高速で切り替えて表示される。

図中の（ａ）は、表示画面１０２の表示の切り替わりをそのまま示している。複数のキー配列が一定のサイクルで繰り返し、表示されている。（ｂ）は、光シャッター８の開閉状態を示している。光シャッター８は、表示画面１０２に有効キー配列が表示されるタイミングで透過状態となり、それ以外のタイミングでは遮断状態となっている。光シャッター８は１サイクルに１回透過状態となっている。（ｃ）は、光シャッター８を通して表示画面１０２を見たときに視認される画像（シャッター使用者知覚画像）を示している。光シャッター８を通して表示画面１０２を見る使用者は有効キー配列を視認する。一方、光シャッター８を通さずに表示画面１０２を見る他者には複数のキー配列が合成された画像が知覚される。

表示装置７は、有効キー配列とスキャンコードとの対応関係を認識しており、光シャッター８を用いている使用者が表示画面１０２にて視認できるキー配列（有効キー配列）で文字をキー入力すれば、表示装置７は正しい文字を取得することができる。

また、有効キー配列とダミーキー配列を含む複数のキー配列が存在するので、他者がビデオカメラやカメラで表示画面と使用者の手や指を撮影しても使用者によって入力されたキーを一意に推定することはできない。

例えば、図１０（ａ）において使用者がテンキー左上の“４”のキーを押したとする。このとき他者がハイフレームレートのビデオカメラで撮影すると、撮影画像には“４”のキーを押しているようにも、“７”のキーを押しているようにも、あるいは他のキーを押しているようにも写る。したがって、どのキーを押したのかが特定できない。

１サイクルに含めるキー配列の数を増やせば秘匿性はそれだけ向上する。光シャッター８を通して表示画面１０２を見る使用者の視認性を考えると、１サイクルを一定以上長くすることは好ましくない。そのため、１画像当りの表示時間を短くして１サイクルに含めるキー配列の数を増やすことが好ましい。例えば表示画面１０２の解像度を低下させて１画像当りの表示にかかる時間を短くすれば、１サイクルに含めるキー配列の数を増やすことができる。複数のゲート線やデータ線を同時に選択することにより擬似的に解像度を低下させても同様である。また、ＬＥＤディスプレイや有機ＥＬディスプレイなど応答速度の早い自発光型表示装置を用いることによっても１サイクルに含めるキー配列の数を増やすことができる。

また、本実施の形態の表示装置７は上述したものに限られず、例えばプロジェクタなどの投射型やＦＥＤ型の表示装置であってもよい。

また、本実施の形態では、表示画面１０２に表示するキー配列の例としてテンキーの配列を示したが、これに限定されるものではない。例えば、表示装置７はキーボードのキー配列を表示画面１０２に表示するものであって構わない。

また、順次切り替えて表示するキー配列の表示順序は生成された順序と同一であってもよく、また異なっていてもよい。

また、第１の実施の形態は他の構成の表示システムに適用することもできる。図１１は、第１の実施の形態による表示システムの他の構成例を示すブロック図である。図１１を参照すると、表示システムは、表示装置７、光シャッター８、および外部サーバ９を有している。外部サーバ９が表示システムに含まれていることが図７の構成と異なる。

図７の表示システムでは、表示装置７が個人認証文字列の比較による個人認証を行ったが、図１１の表示システムでは外部サーバ９が個人認証を行う。そのため、図１１の表示装置７は、図７ではモード選択部５に含まれていた中の入力個人認証文字列メモリ１００１と、外部サーバ９と通信するための通信部１００２とを有する。

通信部１００２は、入力個人認証文字列メモリ１００１に収納された個人認証文字列を外部サーバ９に送信する。

外部サーバ９はモード選択部９０１と通信部９０５を有している。モード選択部９０１には個人認証モード部９０２が含まれ、個人認証モード部９０２には認証画像生成部９０３および文字列比較部９０４が含まれている。

外部サーバ９は、認証画像生成部９０３によって生成した認証画像を、通信部９０５を介して表示装置７に送信する。

この認証画像は表示装置７にて画像メモリ４０２に格納される。表示装置７では、その認証画像にキー配列の画像を合成して表示し、使用者によって入力された個人認証文字列を入力個人認証文字列メモリ１００１に蓄えた後に通信部を介して外部サーバ９に送信する。

外部サーバ９は、通信部９０５にて表示装置７から受信した個人認証文字列と、予め設定されている個人認証文字列とを文字列比較部９０４にて比較することにより使用者の個人認証を行う。

なお図１１には、外部サーバ９のみに個人認証モード部９０２があり、表示装置７には個人認証モード部が無い構成が例示されているが、表示装置７と外部サーバ９の両方に個人認証モード部があってもよい。表示装置７が例えばコンピュータであれば、コンピュータへのログインのための個人認証を行う個人認証モード部を備えておくことが好ましい。

本実施の形態により、異なるキー配列が順次表示され、そのキー配列のうち有効なキー配列を視認できるのは光シャッター８を使用する者のみとなる。また、使用者の個人認証文字列の入力場面を他者が撮影しても、撮影される画像は配列パターンが異なる同様のキー配列なので、他者は撮影画像からキー配列を特定できず、個人認証文字列を識別することができない。また、使用者が入力操作をする際に他者が覗き見や撮影をしてもキー配列がわからないので使用者の手指の動きから入力情報を一意に推定することはできない。

１サイクルの画像表示の繰り返しの中で表示されるキー配列の数が多いほど、個人認証文字列の秘匿性は高くなる。そのため、キー配列生成部３０１により生成されるキー配列は、できるだけ数の多い異なる配列であることが望ましい。ただし、十分なキー配列のパターンが存在する場合には重複があっても構わない。

また、１サイクルにおけるキー配列の数を多くするには、１サイクル中の表示画像数自体を増加させることが考えられる。そのために表示画面を個人認証専用として解像度を低下させ、１画像当りの表示期間を短くしてもよい。

個人認証文字列を入力するとき以外のときにも、画像を高速で切り替える処理で表示を行ってもよい。その場合は同一画像を繰り返して表示させればよい。そうすれば個人認証文字列を入力するときと、それ以外のときとで表示部の表示動作モードを変える必要がない。

（第２の実施の形態）
第２の実施の形態は、第１の実施の形態におけるキー配列転送部３０５と光シャッター制御信号生成部２０３の動作を工夫することにより、キー配列の表示のサイクルを変えずに、有効キー配列の登場する周期を変化させた実施の形態である。キー配列の表示のサイクルを画像サイクルといい、有効キー配列の登場する周期すなわち光シャッター８が透過状態となってから次に透過状態となるまでの期間をシャッターサイクルということとする。

第２の実施の形態による表示システムの基本的な構成および動作は第１の実施の形態と同様であり、有効キー配列を含む複数のキー配列の表示画面１０２に表示する順序と、光シャッター８を透過状態にするタイミングとが第１の実施の形態と異なる。

図１２は、第２の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。図１２では表示画像としてはテンキー配列の部分のみを示している。また、ここではＤ個のキー配列の画像で１つの画像サイクルが構成されるものとする。

図１２（ａ）は、第１の実施の形態による表示画面１０２の表示の切り替わりを示している。これは図１０に示したものと同じものである。シャッターサイクルと画像サイクルが等しく、その間にＤ個のキー配列が表示される。そして全ての画像サイクルにおいて表示されるキー配列の順序が同一である。具体的には、Ｋ番目の画像サイクルにおいて表示されるキー配列のパターンと、Ｋ＋１番目のサイクルにおいて表示されるキー配列のパターンは同一である。

図１２（ｂ）には、第２の実施の形態による表示画面の表示の切り替わりの一例が示されている。この例では画像サイクルを図１２（ａ）と同じままでシャッターサイクルを図１２（ａ）の２倍にしている。また画像サイクル内でのキー配列の登場する順序は画像サイクル毎に変化させている。具体的には、Ｋ番目の画像サイクルのキー配列パターンと、Ｋ＋１番目の画像サイクルのキー配列パターンとは異なっている。

その結果、図１２（ｂ）ではシャッターサイクルが２倍となり、シャッターサイクルの間に登場するキー配列の数が［２×Ｄ］個に増加している。同様に、使用者による視認性が確保される範囲でシャッターサイクルを長くし、その間に登場するキー配列の数を［３×Ｄ］、［４×Ｄ］、・・・と増加させることもできる。

図１２（ｃ）には、第２の実施の形態による表示画面の表示の切り替わりの他の例が示されている。この例では、画像サイクルの中で有効キー配列が登場する位置を画像サイクル毎にずらしている。これによりシャッターサイクルを画像サイクルの整数倍ではなく任意に設定することができる。図１２（ｃ）は、画像サイクルに含まれるキー配列の数を３個とし、シャッターサイクルを画像サイクルにキー配列を１つ加えたキー配列４個分に設定した例である。

このように、シャッターサイクルを長くするとともにキー配列の順序を変化させることで、１画像当りの表示期間は同一のまま、有効キー配列と有効キー配列の間に表示されるダミーキー配列の数を増加させることができる。有効キー配列と有効キー配列の間に表示されるダミーキー配列の数が増えれば、個人認証文字列の秘匿性が向上する。

光シャッター８の開閉周期を通常のサイクルのＮ倍とすることは装置構成を変更しなくても光シャッター制御信号の周期をＮ倍にするだけで実現できる。また、キー配列の順序を変化させることは、１画像当りの表示時間を変更しなくてもよいので、表示制御系の構成をそのまま使って容易に実現できる。

光シャッター８の開閉周期を長くするとフリッカが生じ、使用者の視認性が低下する。一般的な画像の表示ではフリッカによる画像の劣化は大きな問題となる。しかし、個人認証文字列の入力を目的とする画像表示では画像の品質よりも秘匿性の重要度が高い。個人認証文字列を入力する作業時間は比較的短い。キー配列の画像は比較的単純な画像であり、ある程度の劣化があってもキーの視認が可能である。これらのことから、一般的な画像の表示観賞時と比べれば個人認証文字列の入力時には、フリッカの許容範囲は広い。

（第３の実施の形態）
第３の実施の形態は、キーが入力されたことをトリガとしてキー配列を更新する点で第１の実施の形態と異なる。図１３は、第３の実施の形態による表示システムの構成を示すブロック図である。図１３を参照すると、第３の実施の形態の表示システムは、図７に示した構成に加えて、表示装置１の処理部２にトリガ発生部２０４を有する。

トリガ発生部２０４は、個人認証モードにて押下位置確定部２０１が押下された文字のキーを確定すると、トリガ信号を発生し、キー制御部３に入力する。個人認証モードにて押下されたキーが確定したことは、個人認証文字列に含まれる文字が入力されたことを意味するので、文字が入力される毎にトリガ信号が発生することになる。ただし、キーボードによるキー入力の場合に、Ｓｈｉｆｔキー、Ｃｔｒｌキー、認証モードからのエスケープキーなど、個人認証文字列の文字として使用できないキーが押下されても、トリガ発生部２０４はトリガ信号を発生させない。

キー制御部３は、トリガ発生部２０４からトリガ信号が入力されるとキー配列を更新する。その際、キー配列生成部３０１は複数の異なるキー配列を生成しなおし、キー配列選択部３０３は有効キー配列を選択しなおす。スキャンコード対応部３０５は、キー配列選択部３０３によって新たに選択された有効キー配列とスキャンコードとの対応関係情報をキー配列対応テーブル３０６に格納する。

図１４は、第３の実施の形態による表示システムの動作の一例を示すフローチャートである。図１４に示す第３の実施の形態による表示システムの動作には、図９に示した第１の実施の形態による表示システムの動作におけるステップＳ１１６およびＳ１１７の代わりにステップＳ２０１〜Ｓ２０３が用いられ、新たにＳ２０４が含まれている。

第３の実施の形態の表示装置７は、入力画面により、使用者からの個人認証文字列の文字の入力を受け（ステップＳ２０１）、その文字を入力個人認証文字列メモリ６０１に収納する（ステップＳ２０２）。続いて、表示装置７は、個人認証文字列の入力が終了したか否か判定し（ステップＳ２０３）、入力が終了していなければステップＳ２０１に戻って次の文字の入力を受ける。入力が終了していれば、表示装置７はステップＳ１１８に移行する。

また、図１４に示した第３の実施の形態による表示システムの動作には、ステップＳ２０１にて個人認証文字列の文字が入力されると、ステップＳ２０４にてトリガ発生部２０４がトリガ信号を生成し、ステップＳ１０３のキー配列の生成に移行するという動作がある。これにより個人認証文字列の文字が入力される毎にキー配列が更新される。

なお、この例では、ステップＳ１１８の個人認証が成功しなかったときステップＳ１１５に戻り、キー配列を更新せずに個人認証文字列の文字の入力だけを再び行うようにしている。しかし、個人認証が成功しなかったときにはキー配列を更新してから個人認証文字列の入力を再び行うようにしてもよい。

図１４の例では、個人認証モードを起動した後に、キー配列生成部３０１によるキー配列の生成と、キー配列選択部３０３による有効キー配列の選択を行っている。しかし、このキー配列の生成と有効キー配列の選択を予め行っておき、個人認証モードを起動したときに、そのキー配列を適用することにしてもよい。

また、図１４の例では、個人認証文字例の文字を入力する毎にキー配列を更新するようにしている。しかし、一定数あるいは必要十分な数のキー配列のパターンを予め生成してメモリに収納しておき、個人認証文字例の文字が入力されたときに、メモリ上から新たなキー配列のパターンを読み出して用いることにしてもよい。更に、キー配列のパターンを生成すると共に、そのキー配列の画像も予め生成しておき、個人認証文字の文字が入力されたときには、有効キー配列とスキャンコードの新たな対応関係を構築し、キー配列の画像を転送するだけにすることも考えられる。

図１５は、第３の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。簡便化のため、個人認証モードにおける、キー配列が繰り返し表示される表示画像と、光シャッターの開閉状態とだけが図示されている。

図１５（ａ）の表示状態で個人認証文字列の文字が入力されると、複数のキー配列が新たに生成しなおされ、有効キー配列が新たに選択しなおされる。その結果、表示装置７による表示は図１５（ｂ）のように、図１５（ａ）とは異なる表示状態に移行する。

光シャッター８を通して表示画面１０２を見る使用者は、有効キー配列を知覚画像として視認し、利用することができる。それに対して、光シャッター８を通さずに表示画面１０２を見る他者は複数のキー配列が合成された画像を知覚する。また、他者がビデオカメラやカメラなどにより使用者の手や指の動きを撮影しても、複数の異なるキー配列があるため、個人認証文字列を一意に推定できない。

本実施の形態によれば、一連の画像の繰り返しを１サイクルとし、１サイクル中に表示されるキー配列の数を第１の実施の形態と同じにしたとき、他者が個人認証文字列を推定するときに候補となる実効的な個人認証文字列の組合せ数は、冪乗［（１サイクル中に表示されるキー配列数）＾（個人認証文字列の文字数）］と第１の実施の形態に比べて大きく増加し、秘匿性が著しく向上する。例えば、暗証番号が４桁の数字の磁気カードをＡＴＭで使用するとき、１サイクル中のキー配列が５種類であれば、候補となる暗証番号の組合せは６２５（＝５^４）通りとなる。

秘匿性の観点からは、キー配列を更新するときに生成するキー配列は、それまで用いていたキー配列のパターンと全く一致しないことが望ましいが、多少の重なりがあってもよい。

複数のキー配列を生成するとき、ある１つのキー配列をランダムに決定し、そのキー配列を基に他のキー配列を決定することにしてもよい。また、新たなキー配列の生成を繰り返すことで複数のキー配列を生成してもよい。また、複数のキー配列の全てをそれぞれランダムに決定することにしてもよい。

また、本実施の形態では、個人認証文字列の文字を１つ入力する毎にキー配列を更新する例を示したが、一定数の文字を入力する毎にキー配列を更新することにしてもよい。また、キー配列の更新にいたる文字数が個人認証文字列を入力する作業の途中で変化してもよい。

（第４の実施の形態）
第４の実施の形態は、第３の実施の形態と同様に個人認証文字列の文字が入力される毎にトリガ信号を発生させるが、そのトリガ信号による動作が第３の実施の形態と異なる。第４の実施の形態の表示装置７は、トリガ信号が発生したとき複数のキー配列を生成しなおすことはせずに有効キー配列を変更する。

第４の実施の形態による表示システムは図１３に示した第３の実施の形態による表示システムと同様の構成である。ただし、トリガ発生部２０４からのトリガ信号によってキー制御部３ではキー配列選択部３０３が起動される。

キー配列選択部３０３は、トリガ信号が入力されると、キー配列メモリ３０２に収納されている複数のキー配列の中から有効キー配列を選択しなおす。スキャンコード対応部３０５は、キー配列選択部３０３によって新たに選択された有効キー配列とスキャンコードとの対応関係情報をキー配列対応テーブル３０６に格納する。また、有効キー配列の変更によって、光シャッター８を透過状態にするタイミングが変化するので、光シャッター制御信号生成部２０３は新たな光シャッター制御信号を生成する。

図１６は、第４の実施の形態による表示システムの動作の一部の一例を示すフローチャートである。図１６には、第４の実施の形態による表示システムの動作における、図１３に示した第３の実施の形態と異なる部分だけが示されている。

図１６を参照すると、第４の実施の形態による表示装置７は、ステップＳ２０１にて個人認証文字列の文字が入力されると、ステップＳ２０４にてトリガ信号を発生させる。入力された文字は入力個人認証文字列メモリ６０１に収納される（ステップＳ２０２）。続いて、表示装置７は、個人認証文字列の入力が終了したか否か判定し（ステップＳ２０３）、入力が終了していなければステップＳ２０１に戻って次の文字の入力を受ける。入力が終了していれば、表示装置７はステップＳ１１８に移行する。

ステップＳ２０４で発生したトリガ信号によって、キー制御部３では、キー配列選択部３０３が新たな有効キー配列を選択しなおし（ステップＳ１０６）、スキャンコード対応部３０５が有効キー配列とスキャンコードとの対応関係を示すキー配列対応テーブルを作成しなおす（ステップＳ１０７）。

また、ステップＳ１０６にて、有効キー配列が変更されると、光シャッター制御信号生成部２０３が新たな有効キー配列が表示されるタイミングで光シャッター８を透過状態にするような光シャッター制御信号を生成し（ステップＳ１１３）、その光シャッター制御信号を送信することにより光シャッター８の開閉を制御する（ステップＳ１１４）。

図１７は、第４の実施の形態による表示システムにより表示されるキー配列の具体例を示す図である。簡便化のため、個人認証モードにおける、キー配列が繰り返し表示される表示画像と、光シャッターの開閉状態とだけが図示されている。

図１７（ａ）の表示状態で個人認証文字列の文字が入力されると、有効キー配列が新たに選択しなおされる。その結果、表示装置７による表示は図１７（ｂ）の表示状態に移行する。図１７（ｂ）では、繰り返し表示される複数のキー配列に変化は無いが、有効キー配列が変更されているので、光シャッター制御信号により制御されるシャッター状態が変化している。

本実施の形態によれば、複数のキー配列を変更せずにその中の有効キー配列を変更し、その変更に応じて光シャッター８の開閉タイミングを変化させている。その結果、第４の実施の形態においては、１サイクル中に登場するキー配列の数は第１の実施の形態と同じであるが、他者が個人認証文字列を推定するときに、候補となる実効的な個人認証文字列の組合せ数は、最大で冪乗［（１サイクル中に表示されるキー配列数）＾（個人認証文字列の文字数）］と大きく増加し、秘匿性が著しく向上する。

例えば、暗証番号が４桁の数字の磁気カードをＡＴＭで使用するとき、１サイクル中のキー配列が５種類であれば、候補となる暗証番号の組合せは６２５（＝５^４）通りとなる。

なお、上述した個人認証文字列の組合せを増加させるための各種方法は単独で用いるだけでなく、複数を組み合せて使用してよい。

（第５の実施の形態）
第５の実施の形態は、光シャッター８が遮断状態のときにダミーキー配列だけでなく、更に、複数のキー配列を合成した画像の反転画像と、公衆あるいは他者に視認させるための何らかの画像とを挿入する点が第１の実施の形態と異なる。

図１８は、第５の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。簡便化のため、個人認証モードにおける、キー配列が繰り返し表示さえる表示画像と、光シャッターの開閉状態とだけが図示されている。

図１８において（ａ）には表示装置７の表示画面１０２のキー配列部分に順次表示される画像が示されている。有効キー配列３００１と複数のダミーキー配列３００２の他に、有効キー配列３００１と複数のダミーキー配列３００２を合成した画像の反転画像３００３と、公衆画像３００４が順次表示されている。（ｂ）にはシャッター状態が示されている。有効キー配列３００１が表示されるタイミングで光シャッター８が透過状態となっている。

その結果、光シャッター８を通して表示画面１０２を見る使用者の知覚画像は（ｃ）に示されている画像３１０１となる。また、光シャッターを通さずに表示画面１０２を見る他者の知覚画像は、有効キー配列３００１、ダミーキー配列３００２、および反転画像３００３を合成した中間調の画像３２０１の上に公衆画像３２０２をのせた画像となる。

本実施の形態によれば、複数のキー配列の画像にそれら複数のキー配列を合成した画像の反転画像を加えることでキー配列を中間調化するので、他者がキー配列を知覚できないようにすることができる。また、更に公衆画像を含めることで、例えばキー配列と無関係の公衆画像を他者に知覚させることができる。

なお、図１８には、１サイクル分のキー配列の全てを合成した画像の反転画像を挿入する例が示されている。他の例として、１サイクル中の所定数のキー配列に１つの割合で反転画像を挿入することにしてもよい。また、反転画像を挿入するタイミングはサイクルに対して固定である必要はなく、反転画像を挿入するタイミングや、反転画像に含めるキー配列の数をサイクル毎に変化させてよい。

また、公衆画像は、キー配列の表示と重なる形で継続的に表示させてもよく、また反転画像を表示した後に表示することにしてもよい。

また、本実施の形態のように、複数のキー配列を合成した画像の反転画像と公衆画像とを別個にしてもよいし、あるいは、公衆画像に、キー配列を合成した画像の反転画像をのせて１つの画像としてもよい。

また、キー配列を表示すべき領域にはキー配列を表示し、他の領域には何らかの画像と、その反転画像を表示させるようにしてもよい。

（第６の実施の形態）
第６の実施の形態では、表示装置において、キー配列を表示する表示画面と、キーを入力するためのキーボードとが別個に構成された例である。キー配列の表示を実現するための構成は、図７に示した第１の実施の形態と同様である。第１の実施の形態では、押下位置確定部１０３によって確定された位置と、キー配列対応テーブル３０６に収納されている対応関係の情報とから入力された文字を判定していた。しかし、第６の実施の形態では、実際のキーボードのキー配列と有効キー配列との対応関係を示す情報をキー配列対応テーブル３０６に収納しておき、キーボードから入力された文字を有効キー配列の文字に読み替えることで、入力された文字を判定する。

図１９Ａは、第６の実施の形態による表示装置の外観例を示す図である。図１９Ａを参照すると、表示装置３３０３は表示画面３３０１とキーボード３３０２とを別個に備えている。

個人認証モードの状態では、キー配列生成部３０１により生成された複数のキー配列が表示画面３３０１に順次表示される。有効キー配列が表示されるタイミングで光シャッター８が透過状態となるので使用者は複数のキー配列の中の有効キー配列だけを知覚することができる。使用者は、個人認証文字列を入力するとき、表示画面３３０１の知覚画像のキー配列に基づき、キーボード３３０２上の対応する位置のキーを押下する。

図１９Ｂは、第６の実施の形態の表示システムにより表示されるキー配列の具体的な一例を示す図である。表示画面３３０１には、有効キー配列とダミーキー配列を含む複数のキー配列が順次表示されている。光シャッター８を通してみると有効キー配列を知覚することができる。知覚画像では、キーボード３３０２のキーに対応した位置に、有効キー配列に従って、キーが配置されている。使用者は、表示画像３３０１の有効キー配列と、キーボード３３０２のキーとを見比べて、キーボード３３０２上のキーを押下することとなる。例えば、図１９Ｂの有効キー配列の場合、４桁の暗証番号が“４５６７”のときには、キーボード３３０２の“１２３４”を押下することとなる。

図１９Ｃは、第６の実施の形態の表示システムにより表示されるキー配列の具体的な他の例を示す図である。表示画面３３０１には、表示装置３３０３のキーボード３３０２の配列３３０４と有効キー配列３３０５とが並べて表示されている。使用者は、表示画面３３０１の知覚画像を見ればキーボード３３０２のどのキーを押下すればよいか容易に判断することができる。

図１９Ｃでは、キーボード３３０２のキーの配列と有効キー配列とを並べて表示するため、図１９Ｂに比べると個々のキーの表示は小さくなるが、使用者はキーの対応がつきやすい。逆に、図１９Ｂでは、表示画面３３０１に有効キー配列のみを表示するので、キーボード３３０２のキーを見比べなければならないが、個々のキーの表示を大きくすることができ、使用者には見やすい表示が得られる。

なお、図１９Ｂ、１９Ｃのいずれにもテンキーを例示しているが、本発明がこれに限定されるものではない。例えばキーの種類が多い一般的なキーボードのキー配列を表示画面３３０１に表示することもできる。

また、上述した各説明におけるキー入力は一例であり、本発明では、マウスや光学素子によるポインティングなど他の入力方法を広く用いることができる。

（第７の実施の形態）
第７の実施の形態は、第１の実施の形態等の動作に加えて、表示画面１０２上のキー配列の表示位置あるいは表示形状を変化させる例である。これにより他者が個人認証文字列を取得するのがより困難になる。

図２０Ａは、第７の実施の形態の表示システムにより表示されるキー配列の具体的な一例を示す図である。図２０Ａには、表示位置が順次変化するキー配列の表示画像が示されている。この例では、キー配列を前の表示の位置から一列ずらした位置に次のキー配列を表示している。ただし、このずらし方は一例に過ぎず他のずらし方を用いてもよい。例えば、ずらし量は整数倍に限らないし、動画のように連続的に動かしても良い。

キー配列を表示する位置を変化させるタイミングは、第３の実施の形態のように個人認証文字列の文字を入力したときキー配列が更新によって変化する場合、その変化のタイミングに合わせてもよい。あるいは同じキー配列のパターンを表示する間に表示位置を変化させることにしてもよい。

キー配列のパターンの変化に合わせて表示位置を変化させる場合、表示位置の変化量を大きくしてもよい。そうすることで、周囲から覗き込んでいる他者の視線や、カメラの撮影範囲を外すことができるからである。また、同じキー配列を表示する間に表示位置を変化させる場合、使用者の操作性を考慮すると表示位置の変化量は大きくない方が望ましい。

また、あるキー配列の表示位置は、繰り返し表示において同一でないことが望ましい。これは使用者の手や指の位置から有効キー配列が他者に推定されるのを防ぐためである。

図２０Ｂは、第７の実施の形態の表示システムにより表示されるキー配列の具体的な他の例を示す図である。図２０Ｂには、表示形状が順次変化するキー配列の表示画像が示されている。この例では、キー配列の表示形状が４行×３列から２行×６列に変化している。ただし、これは一例に過ぎず、これ以外の形状変化を用いてもよい。また、表示形状はマトリクス状のキー配列でなくてもよい。

キー配列の表示形状の変化のタイミングは、例えば個人認証文字列の文字の入力によりキー配列が更新によって変化する場合、その変化のタイミングに合わせてもよい。あるいは同じキー配列のパターンを表示する間に表示形状を変化させてもよい。

キー配列のパターンの変化に合わせて表示形状を変化させる場合、表示形状の変化量は大きく変化してもよい。そうすることで、周囲から覗き込んでいる他者の視線や、カメラの撮影範囲を外すことができるからである。また、同じキー配列を表示する間に表示形状を変化させる場合、使用者の操作性を考慮すると表示形状の変化量は大きくない方が望ましい。

また、あるキー配列の表示形状は、繰り返し表示において同一でないことが望ましい。これは、表示位置変化の場合と同様、使用者の手や指の位置から有効キー配列が他者に推定されるのを防ぐためである。

さらに、キー配列の表示位置と表示形状の両方を変化させてもよい。キー入力がタッチパネル式であれば、表示位置や表示形状の変化に対して特に対処は必要ない。しかし、キーボードによるキー入力の場合、表示位置が変化しても対処は必要ないが、表示形状の変化には対処が必要な場合がある。キーボード自体は形状が変化しないので、表示画面のキーとキーボードのキーとの対応関係が分かるように表示する必要がある。
（第８の実施の形態）
第８の実施の形態は、１つのキー配列の中に同じ文字を複数含めて表示する例である。図２１は、第８の実施の形態の表示システムにより表示されるキー配列の具体例を示す図である。（ａ）にはキー配列領域のみを取り出した表示画像が示されている。（ｂ）には光シャッター８の開閉状態が示されている。（ｃ）には光シャッター８を通して表示画面１０２を見る使用者の知覚画像が示されている。（ｄ）には、有効キー配列における数字「４」を入力するときの、入力文字のキーが示されている。

この例では、１つのキー配列の中に全ての文字が２つずつ存在している。ただし、このようなキー配列は一例に過ぎず、全ての文字が３つずつ存在してもよいし、あるいはそれ以上存在してもよい。また、例えば、文字「１」のキーが２つ、文字「２」のキーが３つ、文字「３」のキーが１つというように、文字によりキーの存在する数が異なってもよい。いずれの場合も、キー配列の中のキーの数は同じ文字が重複する分だけ増加するが、本来備わったキーの種類が不足することが無いようにする。また、同じ文字で重複しているどのキーを押しても、その文字の入力が行われるようにする。

これにより、１つのキー配列の中に同じ文字が複数存在し、それら全てで文字の入力が可能となるので、使用者には文字を入力するときキー選択の幅が広がり入力が容易となると同時に、使用者の手や指の位置から有効キー配列が他者に推定されるのを防ぐことができる。

ただし、キーボード入力では重複した文字に対応するキーがキーボードに存在しないため、本実施の形態はキーボード入力には適用できない。

上述で説明してきたようにキー配列の位置、形状、重複文字数を変化させるための各種手法の構成や動作は単独で用いるだけでなく、複数を組み合せて用いてもよい。更に、上述した個人認証文字列の組合せを増加させるための各種手法と組み合わせてもよい。

（第９の実施の形態）
第９の実施の形態は、第１の実施の形態等における光シャッター８を具体的にした例である。光シャッター８の形状はメガネ型あるいはカード型であることが望ましい。

メガネ型は、メガネ、ゴーグル、バイザーなどの形状に加え、通常のメガネに装着して使用する形状も含む。

カード型の場合、光シャッター８の形状は特に方形である必要はない。また平面形状である必要も無く曲面形状であっても構わない。また、カード型の光シャッター８は例えばフィルム状であってもよい。

これらの光シャッター８は、光の透過と遮蔽を高速で切替えられるものであればどのような構成であってもよい。光シャッター８は、例えば液晶を利用した構成であってもよく、機械式であってもよい。

また、光シャッター８は持ち運び可能であってもよいし、表示装置７に固定されてもよい。持ち運び可能なものであれば、光シャッター８が単体で存在するものあってもよいし、携帯電話機などに付属あるいは組み込まれていてもよい。

（第１０の実施の形態）
第１０の実施の形態は、第１の実施の形態等における光シャッター８に覗き込み防止用の覆いを備えた例である。これにより、光シャッター８の周囲からの覗き込みや、ビデオカメラやカメラにより光シャッター８の透過状態とキー配列の表示とを同時に撮影することによる有効キー配列の漏洩を防止し、秘匿性を向上させることができる。

なお、同様の理由から、他者の覗き込みやビデオカメラやカメラによる盗撮を考慮して光シャッター８の大きさ、設置位置、設置角度を設定するのが望ましい。

これらにより、光シャッター８の周囲からの覗き込みによる有効キー配列の漏洩や、キー配列と光シャッター８の開閉状態を同時撮影することによる有効キー配列の漏洩を防止することができ、秘匿性を向上させることができる。

（第１１の実施の形態）
第１１の実施の形態は、第１の実施の形態等における光シャッター８を表示装置７に付属させた例である。これによれば、個人認証のために使用者が自身で光シャッター８を持参する必要がない。

また、光シャッター８を表示装置７に固定することにしてもよい。そうすることで個人認証の際に使用者はメガネ型の光シャッター８を装着したり、カード型の光シャッター８を手で保持したりする必要がなくなる。

また、表示装置７に付属させる光シャッター８はメガネ型やカード型だけでなく他の形状であってよい。

（第１２の実施の形態）
第１２の実施の形態は、ＡＴＭを想定した表示装置７の具体的な構成例である。基本的な構成や動作は上述した第１の実施の形態等と同様である。本実施の形態では特に光シャッター８の設置方法に着目している。

図２２Ａは、ＡＴＭを想定した表示装置の第１の具体例を示す図である。表示装置（ＡＴＭ本体）７にメガネ型の光シャッター８が付属している。

図２２Ｂは、ＡＴＭを想定した表示装置の第２の具体例を示す図である。表示装置（ＡＴＭ本体）７にカード型の光シャッター８が固定された状態で設置されている。

図２２Ｃは、ＡＴＭを想定した表示装置の第３の具体例を示す図である。表示装置（ＡＴＭ本体）７に可動式の支持棒４００２が表示装置７に接続されている。カード型の光シャッター８は支持棒４００２によって支持されている。支持棒４００２は角度と共に長さも変更可能な構成であってよい。また、表示画面１０２に対する光シャッター８の角度も変更可能であってよい。

図２２Ｄは、ＡＴＭを想定した表示装置の第４の具体例を示す図である。表示装置（ＡＴＭ本体）７に可動式の２本の支持棒４２０２が接続されている。カード型の光シャッター８は２本の支持棒４２０２によって支持されている。支持棒４２０２は角度と共に長さも変更可能であってよい。また、表示画面１０２に対する光シャッター８の角度も変更可能であってもよい。

図２２Ｅは、ＡＴＭを想定した表示装置の第５の具体例を示す図である。表示装置（ＡＴＭ本体）７の外部に固定式の支柱４４０３が設けられている。その固定式の支柱４４０３には可動式の支持棒４４０２が接続されている。カード型の光シャッター８はその支持棒４４０２によって支持されている。支持棒４４０２は角度と共に長さが変更可能であってよい。また、表示画面１０２に対する光シャッター８の角度も変更可能であってよい。

図２２Ｆは、ＡＴＭを想定した表示装置の第６の具体例を示す図である。この例は、使用者自身が持参したメガネ型の光シャッター８を表示装置（ＡＴＭ本体）７のプラグ４４０４に接続して使用する構成である。

このように、光シャッター８の周囲からの覗き込みやＡＴＭの盗撮に対して暗証番号の秘匿が可能となる。この例ではＡＴＭを示したが、本実施の形態の構成はＡＴＭにかぎらず他の装置に適用することができる。

（第１３の実施の形態）
第１３の実施の形態は表示装置７の各種の具体的な構成例である。特に第１３の実施の形態では、周囲に対してオープンな環境下で個人認証文字列を入力するような状況で使用される表示装置７に着目する。

図２３Ａは、上述した第１の実施の形態等の表示装置７を公衆パネルに適用した例を説明するための図である。図２３Ａには公衆パネル４８の前面が示されており、そこには表示画面４８０１、キー配列表示画面４８０２、およびカードリーダ４８０３が備えられている。

表示画面４８０１には商品カタログなどが表示され、使用者は希望する商品を選択して購入する。購入の際にはカードリーダ４８０３にＩＤカードを読み込ませ、キー配列表示画面４８０２から個人認証文字列を入力する。

本実施の形態では、キー配列表示画面４８０２が第１の実施の形態の表示画面１０２に相当し、そこには複数のキー配列が順次切り替えて表示されている。複数のキー配列には有効キー配列が含まれている。光シャッター８を通してキー配列表示画面４８０２を見ると有効キー配列を知覚することができる。

また、表示画面４８０１にも、第１の実施の形態の表示画面１０２と同様に、複数の画像を順次切り替えて繰り返し表示することにしてもよい。複数の商品の画像を順次切り替えて表示するようにすれば、使用者が購入しようとする商品が他者に判明しないようにすることができる。また、表示画面４８０１の表示にキー配列が含まれているような場合に、その部分で複数のキー配列を順次切り替えて繰り返し表示してもよい。購入する商品が他者に判明しないよう、購入商品の画像と、その反転画像を表示させてもよい。

また、この例の公衆パネル４８は個人認証用のカードリーダ４８０３を備えている。しかし、例えば携帯端末から認証情報を送信することにしてもよく、その場合、公衆パネル４８は認証情報を受信する手段を備える。また、公衆パネル４８は、例えば会員番号などの個人ＩＤをキー入力することによる個人認証などを用いるものであってもよい。

また、公衆パネル４８における個人認証文字列の入力は、タッチパネル、予めパネル近傍に設置されたキーボード、あるいは携帯端末のキーボードを使用した入力であってもよい。

また、公衆パネル４８において他者には無関係な広告などを視認させ、光シャッター８を利用する使用者には所望の画像を視認させるものであってもよい。

また、マンションや個人宅のエントランスに設置され、暗証番号の入力によりドアを開く表示装置に、上述したキー配列の表示方法を適用してもよい。そうすることで暗証番号を秘匿することができる。

図２３Ｂは、上述した第１の実施の形態等の表示装置７を携帯電話機に適用した例を説明するための図である。図２３Ｂを参照すると、表示装置７である携帯電話機４９には表示画面４９０１とキーボード４９０３が備えられている。この例では携帯電話機４９の表示画面４９０１には、第１の実施の形態等により順次切り替えられるキー配列４９０２だけ表示されている。しかし、順次切り替えられるキー配列４９０２とともに、キーボード４９０３と同一のキー配列を並べて表示することにしてもよい。

図２３Ｃは、上述した第１の実施の形態等の表示装置７をコンピュータに適用した例を説明するための図である。図２３Ｃには表示装置７であるコンピュータの表示画面５０が示されている。一例として図２３Ｃの表示はログイン画面である。ただし一部のキーは省略してある。

図２３Ｃに示した表示画面５０にはキー配列５００１を表示する部分があり、その部分に表示されるキー配列が順次切り替えられる。この例は、図２３Ｂと同様に、順次切り替えられるキー配列５００１だけを表示する例である。しかし、コンピュータに用いられるキーボード（不図示）のキー配列を、キー配列５００１と並べて表示することにしてもよい。

また、このログイン画面でパスワードを入力するときにだけキー配列の表示を順次切り替えることにしてもよく、またユーザー名を入力するときにも同様にキー配列を切り替えて表示することにしてもよい。その場合、ユーザー名の文字表示の部分も「＊」記号などにより秘匿されることが望ましい。

これにより、他者に画面を覗き見あるいは撮影機器で撮影されても、他者に個人認証文字列などの秘密情報が知られるのを防止することができる。

以上、実施形態を参照して本発明を説明したが、本発明は実施形態に限定されるものではない。クレームに定義された本発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２００７年８月１６日に出願された日本出願特願２００７−２１２１６６を基礎として優先権の利益を主張するものであり、その開示の全てを引用によってここに取り込む。

Claims

画面に画像を表示する表示システムであって、
使用者に認識させるべき有効表示情報と、該有効表示情報と同種で内容の異なるダミー表示情報と、を含む複数の表示情報を生成する表示情報制御手段と、
前記表示情報制御手段で生成された、前記有効表示情報と前記ダミー表示情報を含む前記複数の表示情報を前記画面に表示させる画像表示制御手段と、
前記画像表示制御手段により前記画面に表示された前記表示情報のうち前記有効表示情報を使用者だけが特定できるように、前記画面から前記使用者への光の到達を制御する視認制御手段と、を有し、
前記画像表示制御手段は、前記複数の表示情報を順次切り替えて前記画面に表示させ、
前記視認制御手段は、前記画像表示制御手段によって前記複数の表示情報の中の前記有効表示情報が前記画面に表示されるタイミングで前記画面から前記使用者へ光を透過させ、その他のタイミングで前記画面から前記使用者への光を遮断し、
前記視認制御手段は、
前記画像表示制御手段によって前記複数の表示情報の中の前記有効表示情報が前記画面に表示されるタイミングを示す光シャッター制御信号を生成する光シャッター制御信号生成手段と、
前記光シャッター制御信号生成手段で生成された前記光シャッター制御信号により示される、前記有効表示情報が前記画面に表示されるタイミングで透過状態となり、その他のタイミングでは遮断状態となる光シャッターと、を有し、
前記画像表示制御手段は、前記生成した複数の表示情報を順次切り替えて前記画面に表示するとき、前記有効表示情報を繰り返して表示する間の前記ダミー表示情報を表示する回数を増加させることで、前記有効表示情報が登場する周期を長くし、
前記ダミー表示情報は、前記有効表示情報と同種で内容の異なる有意の表示情報である、表示システム。
前記使用者が情報を入力するための入力手段と、
前記使用者による前記入力手段への入力と前記有効表示情報とから、前記使用者の入力した入力情報を確定させる入力情報確定手段と、を更に有する、請求項１に記載の表示システム。
前記入力情報確定手段が前記入力情報を確定すると、前記表示情報制御手段が、前記有効表示情報を変化させる、請求項２に記載の表示システム。
前記入力情報確定手段が前記入力情報を確定すると、前記表示情報制御手段が、複数の表示情報を生成しなおし、前記表示情報の中から有効表示情報を選択しなおすことにより、前記有効表示情報を変化させる、請求項３に記載の表示システム。
前記入力情報確定手段が前記入力情報を確定すると、前記表示情報制御手段が、前記複数の表示情報をそのまま使って、前記表示情報の中で有効表示情報を変更する、請求項３に記載の表示システム。
前記画像表示制御手段は、前記有効表示情報と前記ダミー表示情報に加えて、前記有効表示情報の反転画像と前記ダミー表示情報の反転画像、あるいは前記有効表示情報と前記ダミー表示情報を合成した画像の反転画像を前記画面に表示させる、請求項１から５のいずれか１項に記載の表示システム。
前記入力手段は、前記画面から入力情報の入力が可能なタッチパネル式のものである、請求項２から６のいずれか１項に記載の表示システム。
前記表示情報がキー配列であり、前記表示情報制御手段は、複数のキー配列を生成し、前記複数のキー配列の中から有効キー配列を選択し、残りをダミーキー配列とする、請求項１から６のいずれか１項に記載の表示システム。
前記画像表示制御手段は、前記複数のキー配列を順次切り替えて前記画面に表示させるとき、前記キー配列の表示位置と前記キー配列の表示形状のいずれか一方あるいは両方を変化させる、請求項８に記載の表示システム。
前記表示情報制御手段は、同じ文字を表す複数のキーが存在しかつ同じ文字を表す全てのキーを入力情報の入力に用いることができるキー配列を生成する、請求項８または９に記載の表示システム。
前記入力手段は複数のキーを備えたキーボードであり、
前記表示情報制御手段は、前記キーボードのキーに相当する複数のキー配列を生成する、請求項２から１０のいずれか１項に記載の表示システム。
前記使用者が入力した情報から前記使用者の個人認証を行う個人認証手段を更に有する、請求項２から１１のいずれか１項に記載の表示システム。
前記有効表示情報が文字列である場合には、前記ダミー表示情報は、文字列であるが前記有効表示情報とは異なる文字列であり、前記有効表示情報が商品群である場合には、前記ダミー表示情報は商品群であるが前記有効表示情報が示す商品とは異なる、請求項１から１２のいずれか１項に記載の表示システム。