SE534135C2 - Distribution av låsåtkomstdata för elektromekaniska lås i ett åtkomstkontrollsystem - Google Patents

Description

25 30 35 534 135 nycklarna. Detta vore uppenbart en sämre lösning, eftersom ett åtkomstkontrollsystem måste medge efterföljande (om-) programmering av lås och nycklar för att återspegla senare uppkommande behov förorsakade av exempelvis stulna nycklar, nya användare, nya åtkomstráttigheter för befintliga användare, osv.

WO 2009/040470 visar ett låsadministrationssystem för ett åtkomstkontroll- system med sjålvdrivna elektromekaniska lås och tillhörande nycklar. integriteten i åtkomstkontrollsystemet bygger på delade hemligheter som är kända för både lås och nycklar. De delade hemlighetema lagras också i en eller flera fysiska anordningar som kallas för systemtecken och som behövs när något lås eller någon nyckel i åtkomst- kontrollsystemet skall programmeras. Låsadmiriistrationssystemet som visas i WO 2009/040470 har därför funktioner för att alstra en delad hemlighet och ett första systemtecken, alstra ytterligare systemtecken, inledningsvis programmera ett lås, inledningsvis programmera en nyckel, samt omprogrammera ett lås för att återspegla en förändring i åtkomsträttighetema till låset (dvs. ett behov av att uppdatera de lås- åtkomstdata som år lagrade i låset).

Den sistnämnda funktionen av de ovan angivna är särskilt kritisk i ett åtkomstkontrollsystem som har någon betydande storlek. När âtkomstkontrollsystemet inbegriper ett stort antal användare/nycklar och ett stort antal lås som användarna/nyck- larna skall eller inte skall ha åtkomst till, är det viktigt att åtkomsträttighetema till varje individuellt lås kan uppdateras på ett flexibelt men ändå säkert vis. I WO 2009/040470 illustreras åtkomstkontrollsystemet på övergripande nivå i dess tig. l, och i dess ñg. 4 beskrivs det föreslagna sättet att uppdatera åtkomsträttigheterna till ett lås. Snarare än att upprepa innehållet och beskrivningen av dessa ritningar här, kommer det nu att följa en förkortad förklaring av dessa med hänvisning till fig. l i de medföljande ritningarna till föreliggande ansökan: Som visas i fig. l i föreliggande ansökan innefattar det tidigare kända åtkomst- kontrollsysternet enligt WO 2009/040470 ett flertal självdrivna lås 140 som är monter- ade på respektive dörrar 150 (varvid endast ett lås och en dörr visas i tig. 1). En använd- are la har givits en nyckel ll8a, med hjälp av vilken han kan försöka öppna låset 140.

Låset 140 är ett självdrivet elektromekaniskt lås som förklaras i närmare detalj i den ovan nämnda WO 2007/068794, vilket utvinner den mekaniska effekt som alstras av användaren la och omvandlar denna till elektrisk effekt som används för att driva låset.

I det tidigare kända systemet enligt fig. l behöver användaren la emellertid inte befatta sig med uppdatering av åtkomsträttigheterna till låset. Istället är en administratör lb och en installatör lc inblandade i en tvåstegsproeedur under vilken 10 15 20 25 30 35 534 135 administratören lb använder en första programmeringsanordning 1 14 och en första klientterrninal 108 i ett första steg, och installatören lc använder en andra programmer- ingsanordning 130 och en andra klientterrninal 124 i ett andra steg. Detta kommer nu att beskrivas i något mer detalj.

En administrationsserver eller ASP-server 100 (ASP, ”Application Service Provider”) innehåller serverprogramvara för att i en databas 102 åstadkomma lagring av information som avser åtkomsträttigheter för lås och nycklar som ingår i åtkomst- kontrollsystemet. Denna information kan emellertid inte ändras vid själva administra- tionsservem; istället använder administratören lb en klientrnodul eller -programvara i den första klienttenninalen 108 för att logga in på adrnínistrationsservem 100 över ett publikt nätverk 104 såsom intemet samt beordra uppdatering av den relevanta informa- tionen. Av säkerhetsskäl måste den första klientterminalen 108 vara ansluten till den första programmeringsanordningen 114. Den första programmeringsanordningen 114 kan användas för programmering av nycklar i åtkomstkontrollsystemet. Om så är avsikten, kommer en sådan nyckel l18b att föras in i en motsvarande öppning 1 18” i den första programrneringsanordningen 114. För den aktuella situationen med uppdatering av åtkomsträttigheterna till ett lås, föreligger det emellertid inte något behov av att föra in en nyckel l18b. Vad som däremot behövs är ett systemtecken 120 som innehåller den ovan nämnda delade hemligheten. Systemtecknet 120 förs in i en motsvarande öppning 120' i den första programmeringsanordningen 114.

Klientmodulen i den första klientterrninalen 108 ger ett användargränssnitt för administratören lb som gör det möjligt för honom att ange de förändringar som skall göras i åtkomsträttighetema för låset 140. Klientmodulen skickar ett ”Program Lock”- meddelande till administrationsservem 100. Servem 100 lagrar mottagna data i data- basen 102 och sänder modifierade låsåtkomstdata tillbaka till klientmodulen i den första klientterminalen 108 som ett ”Send Job”-meddelande. Klientmodulen tar emot meddelandet och sänder nämnda data som ett ”Crypt Job”-meddelande till system- tecknet 120 som är anslutet till anordningen 114. Systemtecknet 120 krypterar nämnda modifierade låsåtkomstdata med användning av den däri lagrade delade hemligheten och sänder nämnda krypterade låsåtkomstdata till klientmodulen som ett ”Send Crypted Job”-meddelande. Klientmodulen tar emot närrmda krypterade data och sänder dessa till administrationsservem 100 som ett ”Send Crypted Job”-meddelande. Servem 100 placerar dessa data i en arbetskö som servern 100 har hand om. Arbetskön innehåller en lista över krypterade låsåtkomstdatameddelanden som skall överföras till lås senare.

Klientmodulen kan därefler logga ut från servern 100. 10 15 20 25 30 35 534 '135 De kvarvarande stegen i proceduren utförs på den plats där låset 140 är installerat, dvs. lokalema där dörren 150 finns. Installatören lc loggar först in på administrationsservem 100 från en klíentmodul i den andra klientterminalen 124. I fallet som illustreras i tig. 1 är den andra klientterminalen 124 en bärbar dator som använder en cellulär länk 103 till en basstation 105' i ett mobiltelekommunikationsnät 105 för att etablera kommunikation med administrationsservern 100 via det publika nätverket 104.

Installatören lc väljer, i användargränssnittet som presenteras av klientmodulen, ett tillgängligt jobb i arbetskön som servem 100 har hand om för ett lås som skall programmeras i detta fall låset 140. Arbetskön svarar genom att sända krypterade låsåtkomstdata i ett meddelande. Klicntmodulen tar emot jobbet och lagrar detta i minnet i klientterminalen 124. Som tidigare nämnts är de låsåtkomstdata som omfattas av nämndajobbdata krypterade, så det föreligger ingen säkerhetsri sk med att lagra dessa data i klientterminalen 124. Därefter förs ett systemtecken 136 in i en motsvarande öppning 136' i den andra programmeringsanordningen 130 som är kopplad till den andra klientterminalen 124. När klientmodulen tar emot ett ”Program Lock”-kommando från installatören lc, vidarebefordrar den nämnda krypterade låsåtkomstdata, mottagna från databasen 102, till systemtecknet 136. Installatören lc ansluter den andra programmeringsanordningen 130 till låset 140 som skall programmeras via en kabel 138. Den andra programmeringsanordningen 130 har sin egen interna krafikâlla (batterier) och fungerar som strömförsörjning även for låset 140 via kabeln 138 under omprogrammeringen av låset.

När låset 140 detekterar att en anslutning med den andra prograrnmerings- anordningen 130 har etablerats över kabeln 138, är låset konfigurerat att autentisera systemtecknet 136 med användning av den delade hemligheten som finns lagrad såväl i systemtecknet 136 som i låset 140. Efter framgångsrik autentisering gör låset 140 en begäran om uppdaterade låsåtkomstdata från systemtecknet 136. Systemtecknet 136 svarar genom att sända de krypterade låsåtkomstdata som tidigare tagits emot från databasen 102.

Låset 140 dekrypterar de mottagna uppdaterade låsåtkomstdata och validerar dess signatur med användning av den i låset lagrade delade hemligheten. Om dessa data är giltiga, uppdaterar låset 140 sina åtkomsträttigheter genom att lagra de mottagna och dekrypterade låsåtkomstdata, samt sänder ett krypterat låsprograrrnneringsstattxs- meddelande tillbaka till systemtecknet 136 for att indikera att låset 140 har ompro- grammerats med framgång. Programmeringsanordningen 130 kan visuellt indikera den framgångsrika låsomprogrammeringen för installatören le genom att slå på en status- 10 15 20 25 30 35 534 135 LED (lysdiod). Systcmtccknct 136 sänder även den krypterade låsprograinrnerings- statusen till klientmodulen i den andra klientmodulen 124, vilken vidarebefordrar densamma till arbetskön 400 som servem 102 har hand om.

Låsprogrammeringsstatusen blir kvar i arbetskön till dess klientinodulen i den första klientterminalen 108 etablerar en session med servern 100. Administratören lb kan använda klientmodulen i den forsta klientterminalen 108 för att kontrollera arbets- kön, verifiera att den begärda omprogrammeringen av låset 140 har utförts med framgång av installatören lc på platsen 150, samt slutligen förorsaka en uppdatering i databasen 102 för att vederbörli gen återspegla detta.

Som man kan förstå av förklaringama ovan har proceduren för att uppdatera åtkomsträttigheterna för ett läs enligt WO 2009/040470 nackdelar. För det första är den en tydligt omfattande procedur med många inblandade steg. För det andra, och kanske framför allt, kräver den att en installatör lc besöker platsen 150 där låset 140 är beläget, varvid installatören för med sig den andra klientterminalen 124, den andra programm- eringsanordningen 130 såväl som systemtecknet 136 - dvs. inte mindre än tre fysiska anordningar.

Det föreligger följaktligen ett behov av ett flexiblare sätt att omprograminera ett lås i ett åtkomstkontrollsystem för att uppdatera dess åtkomsträttigheter.

Sammanfattning av uppfinningen Med tanke på ovanstående är ett syfie med uppfinningen att lösa eller åtminstone minska de ovan diskuterade problemen.

På en begrcppsmässig nivå är uppfinningen baserad på en kedja av uppfinn- ingsmässiga insikter. En insikt är att behovet av en installatör (se lc i fig. 1) och tillhörande utrustning (124, 130, 136 i fig. l) för att uppdatera åtkomsträttighetema för ett elektromekaniskt lås (självdrivet eller ej) bör elimineras. Istället borde låsompro- gramrnering inbegripa betrodda användare och deras nycklar (la och 1l8a i fig. 1), eftersom dessa kommer att ha anledning att dyka upp vid låset ändå under sitt vardagliga liv.

Ett elektromekaniskt lås i åtkomstkontrollsystemct bör därför konfigureras till att acceptera uppdaterade låsåtkomstdata från en nyckel som tillhör en sådan betrodd användare. Nyckeln bör vara utrustad med ett gränssnitt för trådlös kortdistanskommu- nikation. När det finns uppdaterade låsåtkomstdata i databasen (som exempelvis har deñnierats av en administratör som lb i fig. 1, bör administrationsservem vara kon- figurerad att sända uppdaterade låsâtkomstdata över ett telekommunikationsnät till en 10 15 20 25 30 35 534 135 mobilterminal som innehas av den betrodda användaren. Detta kan göras på asynkront vis; om uppdaterade låsåtkomstdata existerar i databasen, kan dessa uppdaterade låsåtkomstdata sändas till mobilterrninalen vid ett tidigt tillfälle, för att buffras däri till dess den betrodda användaren besöker låsplatsen ifråga. Altemativt kan detta göras på synkront vis: när den betrodda användaren besöker låsplatsen ifråga, kan nyckeln och mobilterrninalen samarbeta för att ta emot nämnda uppdaterade låsåtkomstdata i databasen.

När den betrodda användaren besöker låsplatsen och försöker öppna det elektromekaniska låset genom att använda sin nyckel, kommer låset att agera för att validera nyckeln baserat på de elektroniska nyckeldata som avlästs från nyckeln i syfie att avgöra huruvida eller inte låset skall öppnas. Utöver detta bör låset ta tillfället i akt att även ta emot eventuella existerande uppdaterade låsåtkomstdata från mobilterminal- en via nyckeln. Nyckeln bör således ta emot de buffrade uppdaterade låsåtkomstdata över sitt gränssnitt för trådlös kortdistanskommuníkation från den betrodda användarens mobilterrninal, och i sin tur låta låset ta emot dessa uppdaterade låsåtkomstdata från nyckeln. I detta sammanhang bör låset verifiera att användaren är en betrodd användare, innan det accepterar att lagra nämnda uppdaterade låsåtkomstdata i sitt minne.

Med tanke på ovanstående är därför en första aspekt av föreliggande uppfinning en metod för att uppdatera låsåtkomstdata för ett elektromekaniskt lås kapabelt att manövreras av en användare som önskar öppna låset med en nyckel vilken har elektroniska nyckeldata lagrade däri, där uppdaterade låsåtkomstdata från nánmda lås kan konfigureras av en administratör från en fiärrbelägen plats och kommuniceras till låset med användning av publika nätverk. Metoden inbegriper att: uppdaterade låsåtkomstdata från den tjärrbelägna platsen för nämnda lås överförs över en telekommunikationskanal till en mobilterminal; nämnda uppdaterade låsåtkomstdata överförs från mobilterminalen till nyckeln med användning av trådlös kortdistanskommunikatíon; när användaren försöker öppna låset med nyckeln, vidarebefordras de från mobilterminalen mottagna uppdaterade låsåtkomstdata från nyckeln till låset; samt låset verifierar att användaren är betrodd och accepterar därefter de från nyckeln mottagna uppdaterade låsåtkomstdata Ytterligare särdrag hos metoden enligt den första aspekten av uppfinningen definieras ide bifogade underkraven.

En annan aspekt av föreliggande uppfinning år ett åtkomstkontrollsystem innefattande: 10 15 20 25 30 35 534 135 ett flertal elektromekaniska lås, varvid varje lås innefattar ett minne för lagring av låsåtkomstdata; samt ett flertal nycklar, varvid varje nyckel innefattar ett minne för lagring av elektroniska nyckeldata; där varje lås innefattar en elektronisk krets som är konfigurerad att avläsa de elektroniska nyckeldata hos en nyckel vilken innehas av en användare, samt att utfärda ett kommando för lâsöppning för att försätta låset i ett mekaniskt öppet tillstånd, när de avlästa nyckeldata uppfyller ett ßrutbestämt kriterium. Åtminstone en nyckel bland nämnda flertal nycklar innefattar en sândtagare för trådlös kortdistansdatakommunikation, varvid nämnda sändtagare har förmåga att kommunicera med en mobiltenninal som är anpassad för cellulär telekommunikation för att ta emot uppdaterade låsåtkomstdata från nämnda mobilterrninal.

Den elektroniska kretsen i varje lås är konfigurerad att uppdatera sina låsåt- komstdata genom att: ta emot de uppdaterade låsåtkomstdata från nyckeln; verifiera att nämnda användare är en betrodd användare; samt som följd lagra de uppdaterade låsátkomstdata i låsets minne.

I en fördelaktig utföringsform, som är tillämpbar för såväl den första som den andra aspekten av uppfinningen, är låsen i åtkomstkontrollsystemet av en typ som drivs av elektrisk effekt som produceras från mekanisk effekt vilken alstras av användaren som önskar öppna låset med sin nyckel.

Andra syften och särdrag hos samt fördelar med föreliggande uppfinning kommer att framgå av följande detaljerade redogörelse samt även av ritningarna.

Det skall i synnerhet noteras att åtkomstkontrollsystemet, med sina lås och nycklar, enligt den andra aspekten av uppfinningen kan ha särdrag som är strukturellt ekvivalenta med eller motsvarande någon av de funktionella särdrag som visats för metoden enligt den första aspekten av uppfinningen.

Samtliga termer som använts i kraven skall i allmänhet tolkas enligt den vanliga innebörden i det tekniska området, såvida annat inte uttryckligen definieras häri.

Alla hänvisningar till ”en/ett/den/det” [element, anordning, komponent, organ, steg, osv.] skall tolkas öppet som att avse åtminstone en förekomst av nämnda element, anordning, komponent, organ, steg, osv., såvida inte annat uttryckligen anges. Stegen i någon häri skildrad metod behöver inte utföras i den exakta ordningen som visas, såvida inte så uttryckligen anges. 10 15 20 25 30 534 135 Kort beskrivning av ritnintzarna Ovanstående, liksom ytterligare syften och särdrag hos samt fördelar med föreliggande uppfinning, kommer att förstås bättre genom följande illustrerande och icke-begränsande detaljerade beskrivning av utföringsforrner av föreliggande upp- finning, varvid hänvisning görs till medföljande ritningar, på vilka: Fig. 1 är en översiktlig vy över ett åtkomstkontrollsystem och illustrerar en procedur enligt känd teknik för att uppdatera âtkomsträttigheterna hos ett självdrivet lås, F ig. 2 illustrerar ett åtkomstkontrollsystem och en procedur för att uppdatera åtkomsträttigheterna hos ett elektromekaniskt lås enligt en utföringsforrn, Fig. 3 är ett blockschema som illustrerar huvudbeståndsdelarna hos en nyckel och ett lås enligt en utföringsform, Fig. 4 illustrerar typiska minnesinnehåll i nyckeln och låset som visas i fig. 3, Fig. 5 är ett flödesschema och signaldíagrarn som i närmare detalj illustrerar proceduren för att uppdatera åtkomsträttigheterna hos ett elektromekaniskt lås enligt en utföringsform samt Fig. 6 är ett flödesschema och signaldiagram som i närmare detalj illustrerar proceduren för att uppdatera åtkomsträttigheterna hos ett elektromekaniskt lås enligt en arman utföringsform.

Detaljerad beskrivning av utföringsforrner Åtkomstkontrollsystemet som visas i fig. 2 har till uppgift att illustrera hur tillvägagångssâttet för att uppdatera åtkomsträttíghetema hos elektromekaniska lås enligt en töredragen utföringsform skiljer sig från det tillvägagångssätt enligt känd teknik som tidigare har förklarats med hänvisning till fig. 1. Element i fig. 2 med samma hänvísningsbeteckning som i fig. l kan vara likartade eller till och med identiska med motsvarande element i ñg. 1 och kan, därför, vara likartade eller till och med identiska med de som visas i den tidigare nämnda WO 2009/040470.

Som ses i ñg. 2 innefattar åtkomstkontrollsystemet ett flertal elektromekaniska lås 140 som är monterade på respektive dörrar 150 (varvid endast ett lås och en dörr visas i fig. 2). En användare la har givits en nyckel 1 18a, med hjälp av vilken han kan försöka öppna låset 140. I den visade utföringsforrnen är låset 140 ett självdrivet elektrornekaniskt lås, som utvinner den mekaniska effekt som produceras av användaren la och omvandlar den till elektrisk effekt som används för att driva låset. Mekanismema för sådan effektalstring och -omvandling kan, exempelvis, vara något av de altemativ 10 15 20 25 30 35 534 135 som förklarats i närmare detalj i den ovan nämnda WO 2007/068794 vilken införlivas häri genom hänvisning.

Till skillnad från systemet enligt känd teknik i fig. 1 deltar användaren la faktiskt i proceduren för att uppdatera åtkomsträttighetema hos låset 140. Närmare bestämt är användaren la inblandad - genom en mobilterminal 160 som han innehar - under det andra steget i proceduren (dvs. steget som äger rum pá plats, vid dörren 150).

Det första steget i proceduren kan utföras såsom har beskrivits för fig. 1, dvs. av en administratör lb som använder en första programmeringsanordning 114, en första klientterniinal 108 och ett systemtecken 120 för att begära och specificera den önskade uppdateringen av åtkomsträttigheter hos låset 140 vid den fjärrbelägna platsen (centrala administrationsservern) 100 och åtkomstkontrollsystemdatabasen 102.

När administratören lb har skapat ett programmeringsjobb avseende låset 140 i den arbetskö som servern 100 har hand om, är servem 100 konfigurerad att kommuni- cera de uppdaterade låsåtkomstdata som ingår i jobbet till användarens la mobilterminal 160 vid ett lämpligt tillfälle. Detta kan utföras på olika vis, under utnyttjande av olika tillgängliga kommunikationskanaler över mobíltelekommunikationsnätet 105, inbegrip- ande men ej begränsat till EDGE, GPRS, HSPA, SMS, MMS och e-post. I den visade utföringsformen innefattar mobilterminalen 160 en anpassad mjukvaruapplikation som är konfigurerad att hantera låsprogrammeringsproceduren från terminalens synvinkel.

Denna mjukvaruapplikation, som kommer att hänvisas till i något mera detalj med hänvisning till fig. 5, kan göra en förfrågan vid administrationsservern 100 efter uppdaterade låsåtkomstdata som skall tas emot, i en dataöverföringsoperation av dragtyp med användning av exempelvis en EDGE-, GPRS- eller HSPA-kanal. Detta kan äga rum antingen periodiskt eller vara initierat av användaren la, nyckeln 1l8a eller låset 140. Altemativt eller dessutom kan servem 100 själv och/eller administratören lb ta initiativet och förorsaka överföring av de uppdaterade låsåtkomstdata till mobil- terminalen 160 i en dataöverföringsoperation av trycktyp. I andra utföringsformer, exempelvis utföringsformer där mobilterminalen 160 inte inbegriper den anpassade mjukvaruapplikationen, kan SMS-, MMS- eller e-post-meddelandekanaler användas för att överföra de uppdaterade låsåtkomstdata till mobilterminalen 160. Överföríngen av uppdaterade låsåtkomstdata till mobilterminalen 160 kan äga rum vid ett tidigt tillfälle när mobilterminalen 160 ännu inte befinner sig i närheten av dörren 150. Så snart de tagits emot i mobilterminalen 160, kommer de uppdaterade låsåtkomstdata sedan att buffras i mobilterrninalen 160 genom lagring i dess lokala minne, i väntan på att användaren la skall uppträda vid dörren 15 0. Alternativt kan 10 15 20 25 30 35 534 '135 10 övertöringen av uppdaterade låsåtkomstdata till mobilterrninalen 160 äga rum senare när användaren försöker öppna låset 140 med sin nyckel l18a.

När användaren la har dykt upp vid dörren 150. kan han försöka öppna låset 140 genom att föra in sin nyckel l18a, som visas vid 164 i fig. 2. Låset 140 kommer att försöka validera nyckeln l 18a baserat på elektroniska nyckeldata som avlâses från nyckeln i syfie att avgöra huruvida eller inte låset 140 skall öppnas. Utöver detta kommer det att ñnnas en möjlighet för låset 140 att också ta emot eventuella existerande uppdaterade låsåtkomstdata från mobilterminalen via nyckeln. De uppdaterade lås- åtkomstdata kommer således att överföras från mobilterrninalen 160 till nyckeln 1 18a över en trådlös kortdistanskommunikationskanal 162, samt från nyckeln l18a till låset 140. Låset 140 kommer att veriñera att användaren la år betrodd och därefter acceptera de uppdaterade låsåtkomstdata genom att lagra dem i sitt lokala minne. Denna procedur kommer senare att beskrivas i närmare detalj med hänvisning till fig. 5.

F ig. 3 illustrerar nyckeln l18a och det sjålvdrivna låset 140 enligt en utför- ingsform. Nyckeln l18a har en nyckelgreppdel 502a och en nyckelbladdel 502b. Till skillnad från en konventionell nyckel för ett mekaniskt lås behöver nyckelbladdelen 502b av nyckeln l18a inte innehålla ett mekaniskt/fysiskt unikt mönster av utskott eller präglingar. Tvärtom har nyckelbladdelen 502b av nyckeln 1l8a typiskt samma mekan- iska/fysiska utformning som andra nycklar i åtkomstkontrollsystemet, varvid identifïeringen av nyckeln l18a som en som passar till låset 140 ligger i elektroniska nyckeldata 501 ', vilka lagras i ett lokalt minne 501 i nyckelgreppdelen 502a. Utöver minnet 501 innefattar nyckelgreppdelen 502a en elektronisk styrkrets 500 och en sändtagare 503 för trådlös kortdistansdatakommunikation. Sändtagaren 5 03 är kapabel att kommunicera med mobilterminalen 160 över den trådlösa länken 162, som tidigare nämnts. I den visade utföringsforrnen är sändtagaren 503 anpassad för kommunikation i enlighet med BluetoothTM-standarden, men andra medel för trådlös kortdístansdata- kommunikation är också möjliga, inbegripande men ej begränsat till IrDA (Infiared Data Association), WLAN (Wireless Local Area Network) eller NF C (Near Field Communication).

Nyckelbladdelen 502b har ett kontaktarrangernang 510 som är anslutet till den elektroniska styrkretsen 500 och som har till uppgift att åstadkomma galvanisk kontakt med ett motsvarande kontaktarrangemang 510' i låset 140, när användaren försöker att öppna låset 140 genom att föra in sin nyckel l18a i riktningen 164. Nyckelgreppdelen 502a innehåller typiskt en intem strömkälla, såsom ett batteri med lång livslängd, för att förse komponentema 500, 501, 503 i nyckeln l18a med ström. Om komponentema 10 15 20 25 30 35 534 135 ll emellertid har gjorts tillräckligt effektiva vad gäller minimal strömtörbrukning, kan man alternativt förutse att komponenterna 500, 501, 503 i nyckeln 1l8a kan drivas av elektrisk effekt som produceras från den mekaniska effekt som alstras av användaren la då denne manövrerar låset med sin nyckel. l ett sådant fall kommer den elektriska effekten att matas från låset 140 till nyckeln 1l8a över kontaktarrangemangen 510, 510”.

I den visade uttöringsforrnen är låset 140 ett sj älvdrivet elektromekaniskt lås, som utvinner den mekaniska effekt som produceras av användaren la och omvandlar denna till elektrisk effekt som används för att driva låset. Som tidigare nämnts har mekanismema för sådan effektalstring och omvandling förklarats i detalj i den ovan nämnda WO 2007/068794. Dessa mekanismer representeras av transmissionen 504 och generatom 506 i tig. 3. Låset 140 har vidare en elektronisk styrkrets 508 och ett tillhörande lokalt minne 516 i vilket låsåtkomstdata 516' lagras. Den elektroniska styrkretsen 508 är konfigurerad att avläsa de elektroniska nyckeldata 501' i nyckeln 1 l8a som innehas av användaren la över kontaktarrangemangen 510, 510”. Styrenheten 5 08 kommer att analysera de avlästa elektroniska nyckeldata 501 ° med hänvisning till låsåtkomstdata 516' för att bestämma huruvida nyckeldata 501 ' uppfyller ett förut- bestämt kriterium, och - om så är fallet - utfärda ett låsöppningskomrnando 518 till ett låsmanövreringsorgan 512 för att törsätt låset 140 i ett mekaniskt öppet tillstånd. I uttöringsforrner där låset 140 inte är självdrivet, kan dess komponenter 508, 512, 516 drivas av den intema strömkällan (exempelvis batteriet) i nyckeln 1l8a över kontakt- arrangemangen 510, 510”.

F lg. 4 illustrerar den typiska strukturen hos och de typiska innehâllen i de intema minnena 501, 516 i nyckeln 1 l8a respektive låset 140 enligt en utföringsforrn.

De elektroniska nyckeldata 501' inbegriper åtminstone vissa data 501” som möjliggör för låset 140 att avgöra huruvida nyckeln 1l8a är behörig att öppna låset 140. Dessa data 501” kan vara i form av en eller flera åtkomstgrupper, och/eller ett nyckel-ID. På motsvarande vis inbegriper låsåtkomstdata 516' åtminstone vissa data 516” vilka stödjer denna bestämning. Dessa data kan vara i form av en eller flera tillåtna åtkomstgrupper, en lista över tillåtna nyckel-lD:n, och/eller en lista över blockerade nyckel-lD:n.

Det förutbestämda kriteriet, på vilket den elektroniska styrkretsen 508 bygger sitt beslut gällande huruvida eller inte att utfärda lâsöppningskommandot 518 till lås- manövreringsorganet 512, kan därför inbegripa en eller flera av följande: huruvida de elektroniska nyckeldata 501', 501” anger en åtkomstgrupp som ingår bland de tillåtna åtkomstgruppema enligt låsåtkomstdata 5 1 6'/5 l 6”, 10 20 25 30 534 'I 35 12 huruvida de elektroniska nyckeldata 501°, 501” anger ett nyckel-ID som ingår i listan över tillåtna nyckel-ID:n och huruvida de elektroniska nyckeldata 5012 501” anger ett nyckel-ID som inte ingår i listan över blockerade nyckel-ID:n.

Den visade utföringsforrnen kan tillämpas på ett åtkomstkontrollsystem, vars integritet bygger på delade hemligheter som är kända för lås och nycklar i systemet, samt även för den centrala administrationsservern 100. Nyckelminnet 501 inbegriper därför en delad hemlighet 51 1, och så gör låsminnet 516 (delad hemlighet 526). Med hjälp av den delade hemligheten 511 kan den elektroniska styrkretsen 500 beräkna ett hash-värde baserat på de elektroniska nyckeldata 501” som ska överföras till låset 140, och sedan sända det beräknade hash-värdet tillsammans med nämnda elektroniska nyckeldata 501” till låset 140. Altemativt kan hash-värdet beräknas redan när nyckeln 1 18a programmeras (av administratören lb med användning av prograrnmeríngsanord- ningen 114, se fig. 2), och lagras istället för den delade hemligheten i sig själv vid 511 i minnet 501. Vid mottagning av de elektroniska nyckeldata 501” kan låset 140 tillämpa sin egen delade hemlighet 526 för att validera hash-värdet genom att beräkna sitt eget hash-värde baserat på de mottagna data 501' och bekräfta att de två hash-värdena överensstämmer.

Fig. 5 är ett flödesschema och signaldiagram som förklarar växelverkan mellan mobilterrninalen 160, nyckeln 1 18a och låset 140 när användaren la försöker öppna låset med sin nyckel 1 18a. Díagrarnmet illustrerar aktiviteterna som utförs för att förorsaka öppning av låset 140 samt även aktiviteterna som utförs väsentligen samtidigt för att förorsaka uppdatering av åtkomsträttigheterna hos låset 140 genom att överföra uppdaterade låsåtkomstdata från den centrala administrationsservern (fjärrbelägen plats) 100 via mobilterminalen 160 och nyckeln l 18a till låset 140.

Som tidigare nämnts innefattar mobilterminalen 160, i den visade utfötings- formen, en anpassad mjukvaruapplikation som är konfigurerad att hantera låspro- grammeringsproceduren från terrninalens synvinkel. Mjukvaruapplikatíonen ger ökad säkerhet genom att kräva att användaren la utför en inloggningsprocedur genom att ange ett användar-ID och ett lösenord i användargränssnittet på mobilterminalen 160 (steg 601). När användaren la har loggat in vederbörligen, är mjukvaruapplikationen i mobilterminalen 160 beredd att ta emot uppdaterade låsåtkomstdata (ULAD, ”UPDATED LOCK ACCESS DATA”) från servern 100 (steg 602). Som tidigare nämnts kan överföringen av uppdaterade låsåtkomstdata från servern 100 till mobil- 10 15 20 25 30 35 534 '135 13 terrninalen 160 äga rum vid olika tidpunkter och initieras av mobilterrninalen 160 eller servern 100, beroende på implementation.

En 'fördel med att ha en anpassad mj uvamapplikation i mobilterminalen 160 är att den kan konfigureras till att ta emot uppdaterade låsåtkomstdata som inte enbart skall till det ifrågavarande låset 140, utan som även potentiellt skall till andra lås i systemet.

Detta möjliggör en flexibel och kraftfull distributionsmetod, där administratören lb kan beordra uppdatering av åtkomsträttigheter för ett flertal lås samtidigt och sända dessa uppdateringar i en uppsättning uppdaterade låsåtkomstdata till ett flertal mobilterminal- er. Exempelsituationer där detta kan visa sig praktiskt är inom äldrevården när ny personal måste ges åtkomst till låsen till alla servicelägenheter i ett servicehus, eller när en vaktmästare i en byggnad med flera våningar har slutat på sitt jobb, och låsen till alla lägenheter i byggnaden måste uppdateras i enlighet därmed. 1 steg 602 tar följaktligen mobilterminalen 160 emot en uppsättning uppdaterade låsåtkomstdata och lagrar dessa i sitt lokala minne.

I steg 603 för användaren la in sin nyckel i låset 140. Som ßljd alstrar meka- nismen 504, 506 i låset 140 elektrisk effekt (steg 604). Styrenheten 508 sätts igång av denna elektriska effekt och sänder ett lås-ID till nyckeln ll8a (signal 605). Mottagning av lås-ID:t i nyckeln 1 l8a sätter igång två händelsekedjor.

För det första berättar det mottagna lås-ID:t för den elektroniska styrkretsen 501 i nyckeln ll8a att det nu är dags att avläsa de elektroniska nyckeldata 501” från minnet 501 (och antingen avläsa det tillhörande hash-värdet eller alstra detsamma med användning av den delade hemligheten 511). De resulterande elektroniska nyckeldata sänds i en signal 607 till låset 140. I steg 61 1 validerar den elektroniska styrkretsen 508 i låset 140 nyckeln 1 l8a baserat på de mottagna elektroniska nyckeldata med använd- ning av hash-värdet och den delade hemligheten 526, som tidigare förklarats. I steg 612 kommer den elektroniska styrkretsen 508 att besluta om låsöppningskommandot 518 kan utfärdas till låsmanövreringsorganet 512 (steg 613) genom att avgöra huruvida eller inte de mottagna elektroniska nyckeldata uppfyller det förutbestämda kriteriet på det ovan beskrivna viset. Om stegen 612 och 613 är framgångsrika, kan användaren la öppna dörren 150.

Med hänvisning åter till mottagandet i nyckeln ll8a av signalen 605 med lås-ID:t, är den andra händelsekedjan som följ er. Nyckeln I l8a kommer att vidare- befordra det emottagna lås-lDzt över det trådlösa gränssnittet 503 till mobilterminalen 160 (steg 606). Lås-1D:t gör det möjligt för mjukvaruapplikationen i mobiltemiinalen 160 att bestämma huruvida det finns några data i uppsättningen av uppdaterade 10 15 20 25 30 35 534 '135 14 låsåtkomstdata som mottagits från servern 100 som ska till det ifrågavarande låset 140.

Om så är fallet väljs dessa data i steg 608 och skickas i en signal 609 till nyckeln l18a Nyckeln 1 18a kommer att vidarebefordra de uppdaterade låsåtkomstdata i en signal 610 till låset 140. Även i tillämpningar där endast en enda uppsättning uppdaterade låsåtkomstdata (som skall till ett enda ifrågavarande lås) överförs från servern 100 till mobilterrninalen, kan det fortfarande vara fördelaktigt för mjukvaruapplikationen att ta emot lås-lDzt, eftersom detta kommer att göra det möjligt för mjukvaruapplikationen att kontrollera att de uppdaterade låsåtkomstdata faktiskt är avsedda för det ifrågavarande låset 140, innan dessa sänds i signalen 609 till nyckeln ll8a.

I steg 614 verifierar den elektroniska styrkretsen 508 i låset 140 att användaren la är en betrodd användare. Detaljer kring denna operation kommer att ges senare i detta dokument. Om steg 614 är framgångsrikt, lagras de mottagna uppdaterade låsåtkomstdata i låsets 140 minne 516 i steg 615. Det exakta utförandet för demta operation kan variera mellan olika ímplementationer och kan vidare bero på innehållet i de uppdaterade låsåtkomstdata jämfört med innehållet i de aktuella låsåtkomstdata 516”.

De mottagna uppdaterade låsåtkomstdata kan exempelvis fullständigt ersätta de aktuella låsåtkomstdata 516”. Altemativt kan de läggas till eller integreras med de sistnämnda, så länge det inte finns några konflikter mellan åtkomsträttigheterria som definieras av de aktuella låsâtkomstdata 516” och åtkomstrâttigheterna som definieras av de uppdaterade låsåtkomstdata.

En fördel med den anpassade mjukvaruapplikationen i mobilterminalen är att denna gör det möjligt att rapportera aktiviteter som registrerats av låset 140 tillbaka till servern 100. I den visade utföringsforrnen kan därför den elektroniska styrkretsen 508 i låset 140 fortsätta med ett valfritt steg 616 i vilket låsstatusdata hämtas från minnet 516.

Sådana låsstatusdata kan exempelvis avse tidigare användning av låset 140 och kan inbegripa nyckel-ID:n för tidigare användare som har öppnat eller försökt att öppna låset 140, med motsvarande datum och tid om låset 140 har tillgång till sådan informa- tion. Låsstatusdata kan altemativt eller dessutom inbegrlpa en rapport om framgångsrika eller misslyckade programmeringsförsök, likt det försök som just utförts i de föregående stegen 614 och 615. De hämtade låsstatusdata sänds i en signal 617 till nyckeln 1l8a, vilken kommer att vidarebefordra dem i en signal 618 till mobilterminalen 160.

Mobilterminalen 160 kan sedan avge en rapport till servern 100 i steg 621.

I denna rapport, eller som en separat rapport, kan den anpassade mj ukvaru- applikationen i mobilterrninalen 160 också förse servem 100 med aktivitetsdata som representerar aktiviteter vilka har registrerats av användaren la i mobilterrninalen 160. 10 15 20 25 30 35 534 135 15 Av detta skäl kan den anpassade mjukvaruapplikationen i mobilterrninalen 160 låta användaren registrera sådana aktiviteter när så är tillämpligt (steg 619). I en situation där användaren la exempelvis arbetar som vårdgivare inom äldrevården, kan han använda sin mobilterrninal 160 för att registrera att han vederbörligen har utfört sina uppgifter vad gäller städning, dusch, läkemedelsutdelning osv. med avseende på vårdtagaren bakom dörren 150. Den anpassade mj ukvaruapplikationen kommer sedan att hämta de registrerade aktivitetsdata (steg 620) och rapportera dem till servern 100 (steg 621) vid ett lämpligt tillfälle.

Verifieringen i steg 614 av användaren la såsom varande en betrodd användare kommer nu att hänvisas till i närmare detalj. Som tidigare förklarats behöver låset 140 verifiera att användaren la är betrodd innan det accepterar och lagrar några uppdaterade låsåtkomstdata från denne. Detta kan göras på olika vis. Ett alternativ är att acceptera att när de elektroniska nyckeldata 501 ” i nyckeln 1 18a uppfyller det förutbestämda kriteriet för att alstra ett låsöppningskommando 518 i steg 612 (dvs. nyckeln l18a tillåts att öppna låset 140 enligt de aktuella låsåtkomstdata 516' i låset 140), så tas detta också som en intäkt för att användaren la är betrodd i steg 614.

Ett annat alternativ är att använda nyckel-ID:t hos nyckeln l18a, dvs. att kontrollera huruvida nyckel-ID:t ingår i de aktuella låsåtkomstdata 516°, exempelvis i listan över tillåtna nyckel-ID:n 516” eller inbegrips i en separat lista över speciella nyckel-ID:n som är specifikt betrodda vad gäller att uppgradera låsåtkomstdata. De respektive nycklarna och användarna som är förknippade med sådana speciella nyckel-ID:n kan betraktas som ”ambassadörer” i åtkomstkontrollsystemet och har ett speciellt privilegium i det att de får lov att utföra låsprograrnmering. I en utföringsforrn kan en kommunikatíonsidentifierare hos sändtagaren 503 användas som nyckel-ID för sådana ändamål. När sändtagaren 503 är en BluetoothTM-sändtagare, kan kommunika- tionsidentifieraren med fördel vara den unika Bluetooth-kommunikationsadress som tilldelas varje Bluetooth-sändtagarkrets i samband med tillverkningen av densamma.

Det förutses att inte alla nycklar i åtkomstkontrollsystemet måste vara ”ambassadömycklar” och att andra nycklar än ”ambassadörnycklarna” i åtkomst- kontrollsystemet inte behöver ha de förrnågor som beskrivits ovan för nyckeln l18a. Åtkomstkontrollsystemet kan således inbegripa nycklar som fungerar väsentligen som nycklarna enligt känd teknik som påträffats i, exempelvis, den ovan nämnda WO 2007/068794. Den särskiljande egenskapen hos nyckel-ID:na för nycklarna i åtkomstsystemet kan vara sådan att alla nyckar (eller en delmängd av dem, dvs. ambassadömycklar) görs globalt unika, eller unika inom åtkomstkontrollsystemet, eller 10 20 25 30 35 534 135 16 inte ens unika inom åtkomstkontrollsystemet men åtminstone så att den ifrågavarande nyckeln identifieras att tillhöra en typ eller kategori bland ett antal av sådana typer eller kategorier. 1 det sistnämnda fallet kommer en användare typiskt att verifieras som betrodd när hans nyckel identifieras som att tillhöra nämnda typ eller kategori som representerar statusen "betrodd". Ännu ett alternativ för verifieringen av betrodda användare är istället eller dessutom att använda den motsvarande kommunikationsidentifieraren för mobil- terminalen 160 (exempelvis den unika Bluetooth-kommuníkationsadressen hos Bluetoothm-sändtagaren i mobilterminalen). För detta ändamål kan mobilterminalens 160 kommunikatíonsidentifierare detekteras av nyckeln 118a och inbegripas i de data som sänds till låset 140 i signalen 607 eller 610.

Ytterligare ett alternativ är att förse mobilterminalen 160 med en delad hemlig- het och att konfigurera den anpassade mjukvaruapplikationen så att den alstrar ett hash-värde baserat på de uppdaterade låsåtkomstdata som tas emot i steg 602, och att sända hash-värdet tillsammans med de uppdaterade låsåtkomstdata i signalen 609. Den delade hennligheten kan lagras i ett säkert minne i mobilterminalen, eller kan det läsas från ett systemtecken som ansluts till mobilterrninalen över ett lärnpligt gränssnitt såsom NF C, Bluetooth eller USB. Nyckeln 1 l8a kan vidarebefordra detta alstrade hash-värde till låset 140 i signalen 610. Låset 140 kan sedan använda sin delade hemlighet 526, beräkna ett eget hash-värde baserat på de mottagna data i signalen 610 samt verifiera att de två hash-värdena överensstämmer i steg 614.

Kombinationer av två eller flera av de ovan angivna alternativen är också tänkbara inom ramen för uppfinningen.

I en alternativ utföringsform har funktionaliteten i fig. 5 delats in i tvâ huvud- faser - en första fas som utförs när användaren la manövrerar låset 140 för första gången för att låsa upp låset och träda in i lokalema bakom dörren 150, och en andra fas som utförs när användaren la åter manövrerar låset 140 för att låsa låset och lämna lokalerna. Denna altemativa uttöringsform kan vara fördelaktig ur ett strörnförbnik- ningsperspektiv. Den elektriska effekt som kan utvinnas från det mekaniska arbete som utförs vid nyckelmanövrering är begränsad och är kanske inte tillräcklig för att strömförsörja hela händelsekedjan i låset 140 enligt fig. 5. Det kan därför vara särskilt fördelaktigt för utföringsformer där nyckeln inte har någon egen strömkälla men istället drivs av den elektriska energi som alstras av mekanismen 504, S06 i låset 140.

Den första fasen kan exempelvis inbegripa stegen/signalerna 603-609 och 61 l-6l3 (användare la för in nyckeln ll8a på vägen in, effekt alstras, lås-ID:t överförs 10 15 20 25 30 35 534 135 17 till nyckeln 118a och vidarebefordras till mobilterminalen 160, de elektroniska nyckel- data avläses av låset 140, nyckeln 1 l8a valideras, dörren görs möjlig att öppna om så är lämpligt, samt mobilterminalen 160 sänder de uppdaterade låsåtkomstdata till nyckeln 1 l8a).

Den andra fasen kan exempelvis inbegripa stegen/signalema 603-605, 607, 610, 611 och 614-616 (användare la lör in nyckeln l l8a på vägen ut, etïekt alstras, lås-lD:t överförs till nyckeln 118a, de elektroniska nyckeldata avläses av låset 140, nyckeln 118a valideras, de uppdaterade låsåtkomstdata vidarebefordras av nyckeln 1 l8a till låset 140, låset veriñerar att användaren la är betrodd samt lagrar de uppdaterade låsåtkomstdata.

Några ytterligare möjliga utvecklingar kommer nu att diskuteras.

När användaren la inte kan verifieras som betrodd av låset 140 i steg 614, exempelvis på grund av att han inte tidigare har varit en godkänd ambassadör för låset 140 ifråga, kan låset 140 vara konfigurerat att sända en utmaningskod till nyckeln 118a, vilken kan vidarebefordra den till mobilterminalen 160. Utmaningskoden kan vara krypterad och kan inbegripa information som identifierar nyckeln 118a. Mobil- terminalen 160 kan sända utmaningskoden vidare till servern 100. Servern 100 kan avkryptera utrnaningskoden och kontrollera i databasen 102 att nyckeln som identifieras av utmaningskoden faktiskt skall betraktas som nyckeln tillhörande en betrodd användare. Om så är fallet, kan servem 100 tillämpa en hemlig algoritm som är gemensamt känd för servem 100 och låset 140 lör att alstra ett utmaningssvar.

Utmaningssvaret sänds genom mobilterminalen och nyckeln 1 l8a tillbaka till låset 140.

Låset 140 kan använda sin kunskap om den hemliga algorítmen för att verifiera att svaret fi'ån servem 100 kan litas på och, således, även nyckeln 118.

I uttöringsforrner där mobilterminalen 160 inte innehåller en anpassad mj ukvaruapplikation, iörutsägs det att information, som kommer att möjliggöra att användaren la verifieras som en betrodd användare även om hans nyckel ll8a inte är tidigare känd för låset 140, kan kommuniceras från servem 100 via mobilterminalen 160 och nyckeln ll8a till låset 140 i form av ett dataobjekt som uppfyller en filfor- matstandard. Dataobjektet kan vara inbäddat i ett digitalt meddelande, såsom SMS, MMS eller e-post, när det kommuniceras från servem 100 till mobilterminalen 160. En egenskap hos dataobjektet kan vara låsets 140 lås-ID och en annan egenskap kan vara nyckelns 118a nyckel-ID, såsom den unika Bluetooth-kommunikationsadressen hos dess BluetoothTM-sändtagare 503. Filformatstandarden kan vara en standard för utväxling av persondata, såsom vCard, vCalendar, hCard eller iCalendar. Altemativt 10 15 20 25 30 534 135 18 kan filformatstandarden exempelvis vara en standard för utväxling av mediadata, företrädesvis en bildñlutväxlingsforrnatstandard såsom JF IF, Exif eller TIFF, eller en ljud- eller videofilutväxlingsformatstandard. Hänvisning görs till sökandens pågående patentansökan nr PCT/SE2007/051042, vars innehåll införlivas Fig. 6 är ett flödesschema och signaldiagrarn som förklarar växelverkan mellan mobilterminalen 160, nyckeln l l8a och låset 140 när användaren la försöker öppna låset 140 med sin nyckel l l8a enligt en alternativ utföringsform. I denna alternativa utföringsform utförs aktiviteterna för att överföra uppdaterade låsåtkomstdata från den centrala administrationsservern (fiärrbelägen plats) 100 via mobilterrninalen 160 och nyckeln l l8a till låset 140 på ett något annorlunda sätt järnfört med utföringsformen i fig. 5.

I fig. 6, liksom i fig. 5, utför användaren la först en inloggningsprocedur genom att mata in ett användar-ID och ett lösenord i användargränssnittet på mobil- terminalen 160 (steg 701). Nyckeln l18a i utföringsfonnen enligt fig. 6 är av en typ som har en intern strömkälla, exempelvis ett batteri, samt vilken dessutom kan aktiveras av användaren la. Sådan aktivering kan utlösas genom att användaren trycker på en knapp på höljet till nyckelgreppdelen 502a, och detta kan göra så att nyckelns komponenter 500, 501 och 503 vaknar upp från ett strömbesparande vänte- eller viloläge. När användaren la aktiverar nyckeln 1 l8a i steg 702, använder nyckeln l18a sin sändtagare 503 för att etablera trådlös kortdistansdatakommunikation, exempelvis Bluetoothw- kommunikation, med mobilterminalen 160 (signal 703). Nyckeln 1 l8a kan också presentera sitt nyckel-ID under denna procedur.

I steg 704, efter att ha kontaktats av nyckeln l18a, kan mobilterminalen 160 efterfråga behörighetskontroll av nyckeln l18a (genom dess nyckel-ID) från servern 100. Servern 100 kan således kontrollera att nyckeln 1 l8a är en nyckel vilken enligt databasen 102 är godkänd att användas tillsammans med mobilterrninalen 160, och/eller användaren la såsom inloggad i mj ukvaruapplikationen. Om behörighetskontrollen misslyckas, kan mobilterminalen sända en deaktiveringssignal (ej visad i fig. 6) till nyckeln l18a. Vid mottagning av denna deaktiveringssignal, kan styrkretsen 500 förorsaka att nyckeln 1 l8a åter träder in i sitt vänte- eller viloläge. Altemativt, vilket är fallet i den visade utföringsforrnen enligt fig. 6, kommer mobilterminalen 160 att svara till nyckeln l18a med timerdata (signal 706) som indikerar att nyckeln l18a kan förbli aktiv (som en följd av framgångsrik behörighetskontroll i steg 704). Dessa timerdata kommer sedan att användas av nyckeln l l8a för att övervaka (i steg 708) den tid som 10 15 20 25 30 35 534 135 19 den har varit aktiverad och förorsaka deaktivering av sig själv, om denna tid överskrider en timeout-period innan användaren försöker öppna låset med nyckeln (steg 709).

När mobilterrninalen 160 frågar efter behörighetskontroll för nyckeln 118a från den fjärrbelägna servern 100, kan den också hämta uppdaterade låsåtkomstdatai steg 705. Liksom i tig. 5 kan de uppdaterade låsåtkomstdata avse ett enskilt lås eller ett flertal lås. I fig. 6, eftersom användaren la inte ärmu har försökt öppna låset 140, har lås-ID:t ärmu inte tagits emot från låset via nyckeln. Databasen 102 kan emellertid lagra data som förbinder nyckeln 118a med det ifrågavarande låset 140 via deras nyckel-ID och lås-ID. Det är därför fortfarande möjligt för mobilterminalen 160 att från servern 100 i steg 705 ta emot eventuella uppdaterade låsåtkomstdata som är avsedda för det ifrågavarande låset 140, och att sända dessa tillsammans med nämnda timerdata till nyckeln 118a i den ovan närrmda signalen 706.

I steg 707 lagrar nyckeln de mottagna uppdaterade lâsåtkomstdata i sitt lokala minne 501, i väntan på att användaren skall försöka öppna låset 140 med nyckeln. I steg 708 kan nyckeln 118a, som redan nämnts, övervaka en timeout ifall användaren la misslyckas med att försöka öppna låset 140 inom timeout-perioden. För detta ändamål kan nyckeln 1 l8a ha en realtidsklocka för att underlätta bestämning av huruvida timeout-perioden har löpt ut. Om nyckeln 118a inte har någon sådan realtidsklocka, kan styrkretsen 500 vara anordnad att utföra någon slags dödräkning med start vid mottag- andet av signalen 706. De i signalen 706 mottagna timerdata kan definiera varaktigheten hos timeout-perioden och kan vara konfigurerbara från servern 100 för den ifrågavar- ande nyckeln 118a eller gemensamt för (grupper av) nycklar i åtkomstkontrollsystemet.

Om en timeout äger rum 1 steg 708, kommer styrkretsen 500 att ßrorsaka deaktivering av nyckeln l18a genom att göra så att den återgår till sitt vänte- eller viloläge. Om en timeout inte äger rum i steg 708, kan ett steg 709 följa i vilket använd~ aren försöker öppna låset med nyckeln genom att föra in nyckeln i låset. Som följd kommer låset 140 att aktiveras i steg 710. Detta kan inbegripa självalstring av elektrisk effekt (jämför steg 604 i fig. 5) eller mottagning av elektrisk effekt från strömkällan i nyckeln 1 l8a.

Som följd kan låset 140 överföra sitt lås-ID i en signal 71 l till nyckeln 1 l8a.

Detta kommer att möjliggöra för nyckeln 1 l8a att i steg 712 verifiera att de uppdaterade låsåtkomstdata (såsom mottagna i steg 705 från servem 100) är avsedda för låset 140.

Efter framgångsrik verifiering kommer nyckeln 118a att sända de i dess minne lagrade uppdaterade låsåtkomstdata till låset 140 i signal 713. I samma signal, eller som en separat signal, kan nyckeln 1 l8a sända sina elektroniska nyckeldata till låset 140. 534 135 20 Baserat på de mottagna elektroniska nyckeldata och uppdaterade låsåt- komstdata kan låset sedan utföra steg som är identiska med eller motsvarande stegen och sígnalema 611 t.o.m. 621 i utföringsformen enligt fig. 5. Detta kan således ínbegripa att validera nyckeln 1l8a baserat på de elektroniska nyckeldata och i enlighet därmed styra låsmanövreringsorganet 512, bestämma huruvida användaren är betrodd och i enlighet därmed lagra de uppdaterade låsåtkomstdata i minnet 516, samt rapportera låsstatusdata till nyckeln 1l8a, mobiltenninalen 160 och servern 100.

Claims (18)

10 20 25 30 534 135 Zl PATENTKRAV

1. Metod för att uppdatera låsåtkomstdata för ett elektromekaniskt lås (140) med förmåga att manövreras av en användare (la) som önskar öppna låset med en nyckel (118a) vilken har däri lagrade elektroniska nyckeldata (501 '), där uppdaterade låsåtkomstdata för nämnda lås kan konfigureras av en administratör (lb) från en fiärrbelägen plats (100, 108, 114) och kommuniceras till låset med användning av publika nätverk (104, 105), varvid metoden kännetecknas av att uppdaterade låsåtkomstclata från den fjärrbelägria platsen (100, 108, 114) för nämnda lås (140) överförs (602) över en telekommunikationskarial (103) till en mobilterminal (160); nämnda uppdaterade låsåtkomstdata överförs från mobilterminalen till nyckeln (1 18a) med användning av trådlös kortdistanskommunikation (162); när användaren (la) försöker (164, 603) öppna låset med nyckeln, vidare- befordras (610) från nyckeln till låset de uppdaterade låsåtkomstdata som tagits emot från mobílterminalen; samt låset verífierar (614) att användaren är betrodd och accepterar (615) därefter de uppdaterade låsåtkomstdata som tagits emot från nyckeln.

2. Metod enligt krav 1, där låset (140) verifierat att användaren är betrodd genom att bestämma att nyckelns elektroniska nyckeldata uppfyller ett förutbestämt kriterium för att utfärda ett låsöppningskommando (518) för att försätta låset i ett mekaniskt öppet tillstånd.

3. Metod enligt krav 1, där låset ( 140) verifierar att användaren är betrodd genom att kontrollera huruvida ett nyckel-ID hos nyckeln (118a) är inbegripet i låsåtkomstdata (516') som för närvarande lagras i ett minne '(516) i låset ( 140).

4. Metod enligt krav 3, varvid nyckeln (1 18a) har en sändtagare (503) för att utföra nämnda trådlösa kortdistanskommunikation (162) med mobilterminalen (160), där nyckelns (1 18a) nyckel-ID är en unik kommuníkationsadress som tilldelats nämnda sändtagare. 10 15 20 25 30 534 135 22

5. Metod enligt krav l, varvid mobilterminalen (160) har en sändtagare för att utföra nänmda trådlösa kortdistanskommunikation (162) med nyckeln (1 18a), varvid en unik kommunikationsadress har tilldelats nämnda sändtagare, där nyckeln (l 18a) detekterar nämnda unika kommunikationsadress och överför den till låset (140), samt där låset (140) verifierar att användaren är betrodd genom att kontrollera huruvida nämnda unika kommunikationsadress är ínbegripen i låsåtkomstdata (5l6°) som för närvarande lagras i ett minne (516) i låset (140).

6. Metod enligt krav 1, vidare innefattande att: förse mobilterminalen (160) med en delad hemlighet; förse låset (140) med en delad hemlighet (526); i mobiltennínalen alstra ett hash-värde baserat på de uppdaterade låsåtkomst- data som tagits emot från den fjärrbelägna platsen (100, 108, 114); överföra hash-värdet tillsammans med de uppdaterade låsåtkomstdata från mobilterminalen till nyckeln (1 18a) med användning av närrmda trådlösa kortdistans- kommunikation (162), samt från nyckeln (118a) till låset (140); samt i låset (140) verifiera (614) att användaren är betrodd genom att använda det i mobílterniinalen alstrade hash-värdet för att verifiera att hash-värdet överensstämmer med ett hash-värde som beräknats baserat på de mottagna uppdaterade låsåtkomstdata med hjälp av den delade hemligheten (526) i låset (140).

7. Metod enligt något av föregående krav, där överföringen av de uppdaterade låsåtkomstdata från mobilterminalen (160) till nyckeln (1 18a) med användning av trådlös kortdistanskommunikation (162) äger rum när eller efter det att användaren (la) ßrsöker (164, 603) att öppna låset med nyckeln.

8. Metod enligt något av föregående krav, varvid nämnda lås (140) är av en typ som har förmåga att drivas av energi alstrad av nämnda användare (la) när denne försöker (164, 603) att öppna låset, där låset (140) drivs av nämnda energi för mot- tagning (610) av de uppdaterade låsåtkomstdata från nyckeln (118a), för att verifiera (614) att användaren är betrodd, sarnt för att acceptera (614, 615) de uppdaterade låsåtkomstdata. 10 15 20 25 30 35 534 135 23

9. Metod enligt krav 8, där även nyckeln (1 18a) drivs av nämnda energi som alstras av användaren (la) för att ta emot (602) de uppdaterade låsåtkomstdata fiån mobilterminalen (160) samt för att vidarebefordra de uppdaterade låsátkomstdata från nyckeln till låset.

10. Metod enligt något av kraven 1-7, varvid nyckeln (l 18a) är försedd med en intern strömkälla, där nyckeln såväl som låset (140) drivs av energi från nämnda interna strömkälla för att ta emot (602) de uppdaterade låsåtkomstdata från mobílterminalen (160) i nyckeln, för att vidarebefordra de uppdaterade låsâtkomstdata från nyckeln till låset, för att ta emot (610) de uppdaterade låsåtkomstdata från nyckeln (1 18a) i låset, för att i låset verifiera (614) att användaren är betrodd, samt för att acceptera (614, 615) de uppdaterade låsåtkomstdata i låset.

11. ll. Metod enligt något av föregående krav, vidare innefattande att: när användaren (la) försöker (164, 603) att öppna låset med nyckeln, överföra (605) ett lås-ID hos låset (140) från låset genom nyckeln (118a) till mobilterminalen (160), samt i mobilterminalen kontrollera att de uppdaterade låsåtkomstdata som tagits emot (602) från den fjärrbelägria platsen (100, 108, 114) är avsedda för låset (140) innan de sänds från mobilterminalen till nyckeln.

12. Metod enligt något av föregående krav, vidare innefattande att: när användaren (la) försöker (164, 603) att öppna låset med nyckeln, överföra (605) ett lås-ID för låset (140) från låset genom nyckeln (1 18a) till mobilterminalen ( 160), samt i mobiltenninalen använda lås~ID:t för att från en uppsättning uppdaterade låsåtkomstdata, som tagits emot från den fjärrbelägna platsen (100, 108, 114) och som ska till ett flertal lås, välja (608) de uppdaterade låsåtkomstdata som ska till låset (140).

13. Metod enligt något av kraven l-10, vidare innefattande att: när användaren (la) försöker (164, 709) att öppna låset med nyckeln, överföra (71 1) ett lås-ID för låset (140) från låset till nyckeln (1 18a), samt i nyckeln verifiera (712) att de uppdaterade låsåtkomstdata som tagits emot (705) från den fjärrbelägna platsen (100, 108, 114) är avsedda för låset (140) innan de sänds från nyckeln till låset. 10 15 20 25 30 534 135 24

14. Metod enligt något av föregående krav, vidare innefattande att: hämta (616) lâsstatusdata som registrerats i låset ( 140); samt kommunicera (617, 618, 621) nänmda låsstatusdata till den fjärrbelägna platsen (100, 108, 114) via nyckeln (1 18a) och mobiltenninalen (100).

15. Metod enligt något av föregående krav, varvid nyckeln (118a) är försedd med en intern strömkälla och kan aktiveras av användaren (la), där: nyckeln, då den aktiveras av användaren, etablerar nämnda trådlösa kort- distanskommunikation (162, 703) med mobilterminalen (100); mobilterminalen som följd överför (706) de uppdaterade låsåtkomstdata, som tagits emot från nämnda fjârrbelägria plats (100, 108, 114), till nyckeln; nyckeln lagrar (707) de uppdaterade låsåtkomstdata i ett lokalt minne (501) däri; samt när användaren försöker (164, 709) att öppna låset med nyckeln, sänds (713) de uppdaterade låsåtkomstdata, som är lagrade i nämnda lokala minne (501), från nyckeln till låset.

16. Metod enligt krav 15, där när den trådlösa kortdistanskommunikationen (162, 703) etableras mellan nyckeln (1 18a) och mobilterminalen (100), tar mobilterminalen (100) emot ett nyckel-ID för nyckeln; samt mobilterminalen (100) använder nyckel-lDzt för att hämta (704, 705) de upp- daterade låsåtkomstdata från nämnda fiärrbelägiia plats (100, 108, 114).

17. Metod enligt krav 15 eller 16, där nyckeln (1 18a) övervakar tiden som den varit aktiverad och förorsakar deaktívering (708) av sig själv om nämnda tid överskrider en timeout-period innan användaren ßrsöker (164, 709) att öppna låset med nyckeln.

18. Åtkomstkontrollsystem innefattande: ett flertal elektromekaniska lås, där varje lås (140) innefattar ett minne (516) för lagring av låsåtkomstdata (516'); samt ett flertal nycklar, varvid varje nyckel innefattar ett minne (501) för lagring av elektroniska nyckeldata (501 '); 10 15 20 534 135 25 där varje lås innefattar en elektronisk krets (S08) som är konfigurerad att avläsa de elektroniska nyckeldata hos en nyckel som innehas av en användare (la), samt att utfärda ett låsöppningskommando (518) för att försätta låset i ett mekaniskt öppet tillstånd när de avlästa nyckeldata uppfyller ett förutbestämt kriterium, kännetecknat av att åtminstone en nyckel (118b) bland nämnda flertal nycklar innefattar en sändtagare (503) för trådlös kortdistansdatakommunikation (162), varvid nämnda sändtagare är kapabel att kommunicera med en mobilterrninal (100) med förmåga till cellulär telekommunikation För att ta emot (609) uppdaterade låsåtkomstdata från nämnda mobilterminal; samt av att den elektroniska kretsen (508) i varje lås (140) är konfigurerad att uppdatera sina låsåtkomstdata genom att: ta emot (610) de uppdaterade låsåtkomstdata från nyckeln; verifiera (614) att nämnda användare är en betrodd användare; samt som töljd lagra (615) de uppdaterade låsåtkomstdata i låsets minne (516).