CN100533457C - 目标设备、用于管理设备的方法和系统以及外部设备 - Google Patents

Abstract

本发明公开了一种目标设备，包括：至少一个包括抗窜改芯片的单元，其中所述抗窜改芯片包括：第一设备信息存储单元，用于存储专用于所述单元的第一设备信息；和保密密钥存储单元，用于存储保密密钥；所述单元进一步包括：加密单元，用于使用所述保密密钥加密所述第一设备信息；第一发送单元，用于将加密的设备信息发送到连接到所述目标设备的外部设备。

Description

目标设备、用于管理设备的方法和系统以及外部设备

技术领域

本发明涉及一种诸如图像读取设备的目标设备、设备管理系统、设备管理方法和外部设备。

背景技术

传统上，存在集中进行诸如多种终端设备的目标设备的远程监控的远程维护系统(例如参见日本专利申请公开No.1995-210729)。还存在可以将最新程序远程写入目标设备的远程维护系统(例如参见日本专利申请公开No.2000-267857)。

对于每个企业单独追求的安全增强，使用提供PC平台的技术的企业组合形成致力于创建具有较高可靠性和安全的新硬件/软件的TCG(可信计算组)作为工业组。在TCG中，为计算平台规定了属于安全芯片的TPM(可信平台模块)芯片的规范(例如参见日本专利申请公开No.2005-317026)。

然而，在日本专利申请公开No.1995-210729和No.2000-267857中所示的传统远程维护系统具有如下问题：不能确保组成目标设备的单元的身份和有效性。

换言之，传统技术具有如下问题：如果在远程使用或管理(维护等)目标设备时组成目标设备的部分单元被非法窜改或替换，则不能确认有效性和身份。

发明内容

本发明的目的是至少部分地解决传统技术中的问题。

根据本发明的一个方面的目标设备包括至少一个包含抗窜改(tamper-resistant)芯片的单元。该抗窜改芯片包括设备信息存储单元，用于存储专用于该单元的设备信息；以及保密密钥存储单元，用于存储保密密钥。

根据本发明的另一方面的设备管理系统被配置具有包括至少一个包含抗窜改芯片的单元的目标设备，管理装置，用于管理或使用该目标设备，以及鉴权装置，其中所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接。该管理装置包括请求单元，用于将单元信息确认请求发送到目标设备。该目标设备包括请求接收单元，用于接收所发送的单元信息确认请求；以及发送单元，用于使用存储在抗窜改芯片中的保密密钥，加密包括单元信息的设备信息，并且为每个单元将加密的设备信息发送到鉴权装置，其中该单元信息包括存储在抗窜改芯片中的单元标识号。该鉴权装置包括设备信息接收单元，用于接收该设备信息；以及评估单元，用于解密所接收的设备信息，评估解密后的设备信息是否对应于在鉴权装置的数据库中预先存储的设备信息，并将评估结果发送到目标设备和管理装置。

根据本发明的再一方面的设备管理系统被配置具有包括至少一个包含抗窜改芯片的单元的目标设备，管理装置，用于管理或使用该目标设备，以及鉴权装置，其中所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接。该管理装置包括请求单元，用于将单元程序确认请求发送到目标设备。该目标设备包括请求接收单元，用于接收所发送的单元程序确认请求；以及第一发送单元，用于使用存储在所述抗窜改芯片中的保密密钥加密设备信息，其中所述设备信息包括单元信息以及与由单元执行的程序的版本相关的程序版本信息，所述单元信息包括存储在所述抗窜改芯片中的单元标识号，并且为每个单元将加密的设备信息发送到所述鉴权装置，该鉴权装置包括设备信息接收单元，用于接收该设备信息；以及第二发送单元，用于解密所接收的设备信息，评估包括在设备信息中的单元标识号和程序版本信息之间的对应关系是否与预先存储在鉴权装置的数据库中的单元标识号和程序版本信息之间的对应关系相匹配，当该关系不匹配时，从该数据库中获取与正确的程序版本相对应的程序文件，并将所获取的程序文件发送到目标设备。

根据本发明的再一方面的设备管理系统被配置具有目标设备，该目标设备被配置具有至少一个包括抗窜改芯片的单元，该抗窜改芯片包括用于存储专用于单元的设备信息的设备信息存储单元以及用于存储保密密钥的保密密钥存储单元；以及用于管理或使用该目标设备的外部设备，该外部设备经由网络以可通信方式与该目标设备连接。该目标设备包括加密单元，用于使用保密密钥加密存储的设备信息；以及第一发送单元，用于将加密的设备信息发送到连接到目标设备的外部设备。该外部设备包括设备信息接收单元，用于接收发送的设备信息；评估单元，用于解密接收的设备信息，并且评估该设备信息是否对应于预先存储在数据库中的设备信息；以及第二发送单元，用于将评估单元的评估结果发送到该目标设备。

根据本发明的再一方面的设备管理方法用于设备管理系统，其中目标设备被配置具有至少一个包括抗窜改芯片的单元，该抗窜改芯片包括用于存储专用于单元的设备信息的设备信息存储单元和用于存储保密密钥的保密密钥存储单元；以及用于管理或使用该目标设备的外部设备，该外部设备经由网络以可通信方式与该目标设备连接。该设备管理方法包括：加密，包括目标设备使用该保密密钥加密设备信息；发送，包括目标设备将加密的设备信息发送到连接到目标设备的外部设备；接收，包括外部设备接收所发送的设备信息；评估，包括外部设备解密接收的设备信息，外部设备评估该设备信息是否对应于预先存储在数据库中的设备信息，以及外部设备将评估结果发送到目标设备。

根据本发明的再一方面的外部设备管理或使用目标设备，该目标设备被配置具有至少一个包括抗窜改芯片的单元，该抗窜改芯片包括设备信息存储单元，用于存储专用于单元的设备信息，以及保密密钥存储单元，用于存储保密密钥。该外部设备经由网络以可通信方式连接到目标设备。该外部设备包括设备信息接收单元，用于在该目标设备使用保密密钥加密存储的设备信息并发送加密的设备信息时，接收所发送的设备信息；评估单元，用于解密所接收的设备信息，并评估该设备信息是否对应于预先存储在数据库中的设备信息；以及发送单元，用于将该评估单元的评估结果发送到该目标设备。

根据本发明，提供了一种目标设备，包括：

至少一个包括抗窜改芯片的单元，其中

所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息；和

保密密钥存储单元，用于存储保密密钥；

所述单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到连接到所述目标设备的外部设备。

根据本发明，还提供了一种设备管理系统，包括目标设备、管理装置以及鉴权装置，其中所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述管理装置用于管理或使用所述目标设备，所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接，其中

所述管理装置包括：

请求单元，用于将单元信息确认请求发送到所述目标设备；

所述目标设备包括：

请求接收单元，用于接收所述发送的单元信息确认请求；

其中所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息；和

保密密钥存储单元，用于存储保密密钥；

所述单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到所述鉴权装置；

所述鉴权装置包括：

设备信息接收单元，用于接收所述设备信息；

评估单元，用于解密所述接收的设备信息，评估解密后的设备信息是否对应于在所述鉴权装置的数据库中预先存储的设备信息；以及

评估结果发送单元，用于将评估结果发送到所述目标设备和所述管理装置。

根据本发明，还提供了一种设备管理系统，包括目标设备、管理装置以及鉴权装置，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述管理装置用于管理或使用所述目标设备，所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接，其中

所述管理装置包括：

请求单元，用于将单元程序确认请求发送到所述目标设备，

所述目标设备包括：

请求接收单元，用于接收所述发送的单元程序确认请求；

其中所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息，所述设备信息包括单元信息以及与由单元执行的程序的版本相关的程序版本信息，所述单元信息包括存储在所述抗窜改芯片中的单元标识号；

保密密钥存储单元，用于存储保密密钥；

所述单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到所述鉴权装置；

所述鉴权装置包括：

设备信息接收单元，用于接收所述设备信息；

第二发送单元，用于解密所述接收的设备信息，评估包括在所述设备信息中的所述单元标识号和所述程序版本信息之间的对应关系是否与预先存储在所述鉴权装置的数据库中的单元标识号和程序版本信息之间的对应关系相匹配，当所述关系不匹配时，从所述数据库中获取与正确的程序版本相对应的程序文件，并且将所述获取的程序文件发送到所述目标设备。

根据本发明，还提供了一种用于设备管理系统的设备管理方法，所述设备管理系统包括目标设备、管理装置以及外部装置，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述抗窜改芯片包括用于存储专用于单元的设备信息的设备信息存储单元以及用于存储保密密钥的保密密钥存储单元，所述管理装置用于管理或使用所述目标设备，所述外部设备用于管理或使用所述目标设备，并且经由网络以可通信方式与所述目标设备连接，

所述设备管理方法包括：

所述管理装置将单元信息确认请求发送到所述目标设备；

所述目标设备响应于所述接收的单元信息确认请求，使用所述保密密钥加密所述设备信息，并且将加密的设备信息发送到所述外部设备；

所述外部设备解密所述接收的设备信息，评估所述设备信息是否对应于预先存储在数据库中的设备信息，并且将所述评估单元的评估结果发送到所述目标设备。

根据本发明，还提供了一种管理或使用目标设备的外部设备，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述抗窜改芯片包括设备信息存储单元，用于存储专用于单元的设备信息，以及保密密钥存储单元，用于存储保密密钥，所述外部设备经由网络以可通信方式连接到所述目标设备，所述外部设备包括：

设备信息接收单元，用于在所述目标设备使用所述保密密钥加密存储的设备信息并发送加密的设备信息时，接收发送的设备信息；

评估单元，用于解密接收的设备信息，并评估所述设备信息是否对应于预先存储在数据库中的设备信息；以及

第一发送单元，用于将所述评估单元的评估结果发送到所述目标设备。

在结合附图进行考虑时，通过阅读以下对本发明的目前优选实施例的详细描述，将更好地理解本发明的上述和其他目的、特征、优点和技术和工业意义。

附图说明

图1是用于解释本发明的基本原理的示意图；

图2是应用了本发明的图像读取设备的示例的方框图；

图3是应用了本发明的TPM芯片的示例的方框图；

图4是应用了本发明的管理装置和鉴权装置的示例的方框图；

图5是在鉴权装置的存储设备中存储的数据库的示例的方框图；

图6是根据本发明实施例的系统的单元信息确认处理的处理过程的流程图；

图7是根据本实施例的系统的单元程序确认处理的处理过程的流程图；

图8是用于解释根据本实施例的系统的单元间鉴权处理的示例的方框图；和

图9是用于解释根据本实施例的系统的可扩展部分的管理处理的示例的方框图。

具体实施部分

以下将参照附图详细描述本发明的示例性实施例。然而，本发明不限于这些实施例。具体地，尽管在本实施例中作为示例引用了作为目标设备的图像读取设备和作为具有抗窜改能力的芯片的TPM芯片，但是本发明并不限于这些实施例。

图1是用于解释本发明的基本原理的示意图。

简而言之，本发明具有如下基本特征。通过如下方式来大致配置系统：通过网络400可通信地连接具有一个或多于2个单元的目标设备(例如，图像读取设备100)，其中所述单元至少包括具有抗窜改的芯片(例如，TPM芯片10)；管理或使用目标设备100的管理装置200；以及具有用于鉴权的DB350的鉴权装置。管理装置200和鉴权装置300概念上用作通过网络400连接到目标设备的外部设备。

在以此方式配置的系统中，将芯片(TPM芯片10)安装在每个单元中，该芯片收集、存储和签名在目标设备100处具有抗窜改能力的每个单元的设备信息，其中所述目标设备100被配置具有一个或多个单元(图1的单元A至C)。将TPM芯片10固定在每个单元的外壳中，使得不能从外部容易地移出该芯片，并且所述单元可以被配置成使得所述单元在TPM芯片10被移出时不能工作。

所述“设备信息”至少包括以下信息之一：至少包括单元标识号的单元信息、与可扩展部分相关的可扩展部分信息、与程序的版本相关的程序版本信息、至少包括温度、湿度和高度的与单元的环境相关的测量值信息、在操作期间单元的设置信息、以及与单元的操作结果相关的操作结果信息。

在图1中，TPM芯片10包括设备信息存储单元，用于存储专用于该单元的设备信息；以及保密密钥存储单元，用于存储保密密钥。

在图1中，每个单元包括其它单元设备信息存储单元，用于存储另一设备的设备信息；加密单元，用于使用存储在保密密钥存储单元中的保密密钥，加密存储在设备信息存储单元中的设备信息；单元间发送单元，用于将由加密单元加密的设备信息发送到另一单元；解密单元，用于使用存储在保密密钥存储单元中的保密密钥，解密由单元间发送单元发送的设备信息；单元间检查单元，用于检查由解密单元解密的设备信息是否对应于存储在其它单元设备信息存储单元中的设备信息；以及外部设备发送单元，用于将由加密单元加密的设备信息发送到连接到目标设备的外部设备。

在图1中，外部设备(管理装置或者鉴权装置)包括设备信息接收单元，用于接收从外部设备发送单元发送的设备信息；评估单元，用于解密由设备信息接收单元接收的设备信息，以便评估该设备信息是否对应于在数据库中预先存储的设备信息；以及评估结果发送单元，用于将评估单元的评估结果发送到目标设备。

如图1所示，响应于来自使用或者管理目标设备100的管理装置200的单元信息确认请求(步骤S-1)，如上所述配置的系统使用存储在TPM芯片10中的保密密钥来加密设备信息，然后将该设备信息发送到鉴权装置300(步骤S-2)。

在参照DB 350的注册内容解密该设备信息之后，鉴权装置300确定哪个设备是从目标设备发送的信息的目的地，并且评估每个单元信息的内容的有效性等等(步骤S-3和步骤S-4)。然后，鉴权装置300将该评估结果发送到目标设备100或者管理装置200(步骤S-5)。

外部设备(管理装置200或者鉴权装置300)包括操作信息存储单元，用于存储与包括在设备信息中的每个信息相对应的操作信息；设备信息接收单元，用于接收发送的设备信息；操作提取单元，用于解密由设备信息接收单元接收的设备信息，以便提取与设备信息相对应的、存储在操作信息存储单元中的操作信息；以及操作信息发送单元，用于将由操作提取单元提取的操作信息发送到目标设备或者其他外部设备。

现在，将在下面示出操作信息的内容的一个实例。

1)当通过评估结果确定目标设备100不可用时，该目标设备100和管理装置200将目标设备100与网络分离。

2)目标设备100自己显示告警。

3)目标设备100自己切断电源。

4)管理装置200暂停启动该系统。

5)管理装置200将目标设备100不可用发送到系统中的其他外部设备。

6)给目标设备100或其他外部设备发送消息，该消息通知服务单元应当被替换的单元的信息。

7)给目标设备100或其他外部设备发送消息，该消息通知提供商应当被替换的可扩展部分的信息。

8)目标设备100和管理装置200更新程序。

将作为操作信息的一个示例描述以上的8)中所示出的目标设备100和管理装置200更新程序的情况。

如图1所示，在目标设备100中，响应于单元程序确认请求(步骤S-1)，系统使用存储在TPM芯片10中的保密密钥，加密至少包括存储在芯片中的单元标识号的单元信息以及包括与由单元执行的程序的版本相关的程序版本信息的设备信息，并且系统将加密的信息发送到鉴权装置300(步骤S-2)。

在参照DB 350的注册内容解密设备信息之后，鉴权装置300确定该设备信息是从哪个目标设备100发送的，并且评估包括在该设备信息中的单元标识号和程序版本信息之间的对应关系是否对应于预先存储在鉴权装置300的DB 350中的单元标识号和程序版本信息之间的对应关系(步骤S-3和步骤S-4)。当所述关系不对应时，鉴权装置300从DB 350获取与正确的程序版本相对应的程序，随后鉴权装置300从操作信息存储单元(例如，DB 350)中提取操作信息，以便发送给目标设备100，并且发送该操作信息(步骤S-6)。

通过在目标设备100或者管理装置200中安装相应的鉴权设备，系统可以被配置成使得仅仅预定的个体可以执行处理。

图2是应用了本发明的图像读取设备100的示例的方框图，其中仅仅概念上图示了与本发明相关的部分配置。

如图2所示，图像读取设备100被配置成至少大致提供机械单元110、光单元130和控制单元。为每个单元安装TPM芯片10，该芯片是具有抗窜改的芯片，并且收集与单元相关的信息且存储该信息。将设备信息、签名和加密所需的保密密钥等等被存储在TPM芯片10中，并且还可以安装诸如指纹的相应鉴权功能。以如下方式将TPM芯片10固定在每个单元的外壳中：不能从外部容易地移出该芯片，并且该单元被配置成在移出该芯片时该单元不能工作。

在机械单元110中，包括电机、传感器等等的自动送纸(APF)单元/平台单元与TPM芯片10通过单元接口互连。

在控制单元120中，MPU、存储控制程序的存储设备、图像处理单元、指纹获取单元、外部接口、RAM和TPM芯片10通过单元接口互连。

在光单元130中，CCD、包括光源等的光系统设备和TPM芯片10通过单元接口互连。

在每个单元(110、120和130)可以测量单元的环境(温度、湿度、高度等等)，并且还可以提供各种传感器。

图3是应用了本发明的TPM芯片10的示例的方框图，其中仅仅概念上图示了与本发明相关的部分配置。

如图3所示，TPM芯片10被配置成至少包括MPU 11、控制单元的控制程序12、加密设备信息的保密密钥文件13、存储至少包括单元标识号的单元信息的单元信息文件14、存储用于对应鉴权的指纹信息等的对应鉴权信息文件15、与由单元执行的版本相关的程序版本信息、与可扩展部分相关的可扩展部分信息、与单元的环境(温度、湿度、高度等)相关的测量值、在操作期间单元的设置信息、以及存储包括操作结果的日志信息等的RAM 16。

图4是应用了本发明的管理装置200和鉴权装置300的示例的方框图，其中仅仅概念上图示了与本发明相关的部分配置。

可以给管理装置200和鉴权装置300配置具有商业上可得到的信息处理设备，诸如工作站和个人计算机，或者配置具有其附加设备。管理装置200和鉴权装置300的功能由控制设备实现，所述控制设备是诸如配置硬件的CPU、硬盘驱动器、诸如内存设备的存储设备(RAM、ROM等等)、输入设备、输出设备、输入/输出控制接口、通信控制接口、控制设备的程序等等。

图5是在鉴权装置300中存储的DB 350的示例的方框图，其中仅仅概念上图示了与本发明相关的部分配置。如图5所示，DB 350被配置成至少提供设备信息DB 351、对应鉴权信息DB 352和程序DB353。

对于每个目标设备，设备信息DB 351通过关联包括构成目标设备的单元标识号的单元信息、与至少包括温度、湿度和高度的关于单元的环境的测量值相关的信息、包括设备信息和在单元操作期间的操作结果的日志信息等等而进行存储。

除了单元标识号之外，“单元信息”可以包括产品名称、制造商名称、版本等等。

对于每个目标设备，对应鉴权信息DB 352通过相互关联与被允许操作目标设备的个体相关的鉴权信息(例如，口令和指纹信息)而进行存储。

对于每个目标设备，程序DB 353通过相互关联单元识别号、与由单元执行的程序的版本相关的程序版本信息、与该版本相对应的程序文件而进行存储。尽管程序DB 353被描述作为操作信息数据库的示例，但是除此之外，可以使用通过相互关联可扩展部分、使用和周期的可持续数量等等而进行存储的可扩展部分数据库。

随后将参照图6、图7等等详细描述根据以此方式配置的本实施例的系统的处理的一个示例。

图6是根据本实施例的单元信息确认处理的处理过程的流程图。

在图6中，管理装置200将单元信息确认请求发送到目标设备100(单元信息确认请求单元：步骤SA-1)。可以从目标设备100进行该请求。

随后，目标设备100接收单元信息确认请求(单元信息确认请求单元：SA-2)。

对于每个单元，目标设备100使用存储在芯片中的保密密钥，加密包括单元信息的设备信息，该单元信息至少包括存储在TPM芯片10中的单元标识号，并且目标设备100将该信息发送到鉴权装置300(设备信息发送单元：SA-3)。

换言之，目标设备100接收该请求，并且例如，控制单元120的TPM芯片10收集单元(110、120和130)的TPM芯片10的单元信息(单元标识号等等)，并且目标设备100使用保密密钥加密信息，并且将该信息发送到鉴权装置300。

随后，鉴权装置300接收设备信息(设备信息接收单元：步骤SA-4)。

鉴权装置300使用对应的密钥解密接收的设备信息(公共密钥等)，并且评估该设备信息是否对应于预先存储在DB 350中的设备信息的注册内容(设备信息DB 351)，并且鉴权装置300将评估结果发送到目标设备100和管理装置200(评估单元：步骤SA-5)。

通过使用公共密钥解密发送的设备信息，鉴权装置300识别发送该数据的目标设备100，并且鉴权装置300获得在DB350中预先注册的目标设备100的单元信息(单元标识号等)，并比较该单元信息和发送的单元信息。随后，鉴权装置300做出设备信息是否对应或哪个部分不同等等的评估结果报告，并将该报告发送到发出该请求的设备。

可以使用公共密钥加密评估结果。通过使用公共密钥加密，接收评估结果报告的装置可以确认从安全鉴权装置发送了该评估结果。

设备信息可以包括与设备的环境相关的测量值，诸如温度、湿度和高度，或者可以包括每个单元的操作值(光量、图像处理值、机械装置的操作值、传感器电平等)，或者设备信息可以包括日志信息，诸如单元的操作结果(错误信息)。

随后将参照图2至5和图7等描述在系统中进行的单元程序确认过程。图7是根据本实施例的系统的单元程序确认处理的处理过程的流程图。

在图7中，管理装置200将单元程序确认请求发送到目标设备100(单元程序确认请求单元：步骤SB-1)。可以从目标设备100进行该请求。

随后，目标设备100接收该单元程序确认请求(单元程序确认请求接收单元：SB-2)。

对于每个单元，目标设备100使用存储在TPM芯片10中的保密，加密至少包括存储在TPM芯片10中的单元标识号的单元信息以及包括与由该单元执行的程序的版本相关的程序版本信息，并且随后该目标设备100将该信息发送到鉴权装置300(设备信息发送单元：步骤SB-3)。

换言之，在目标设备100接收请求之后，例如，控制单元120的TPM芯片10收集包括单元(110、120和130)的单元信息(单元标识号等)、程序版本信息等的设备信息，并且TPM芯片10使用保密密钥加密该信息，并将该信息发送到鉴权装置300。

随后，鉴权装置300接收设备信息(设备信息接收单元：步骤SB-4)。

鉴权装置300解密接收的设备信息，并评估包括在该设备信息中的单元标识号和程序版本信息的对应关系是否对应于在鉴权装置300的DB 350(程序DB 353)中预先存储的单元标识号和程序版本信息的对应关系，并且当这些对应关系不对应时，鉴权装置300从程序DB353获取与正确的程序版本相对应的程序文件，并将该程序文件发送到目标设备(程序发送单元：步骤SB-5)。

换言之，鉴权装置300获取在程序DB 353中预先注册的目标设备100的单元信息(单元标识号)和对应的程序版本信息，并将该信息与发送的设备信息相比较。当该单元信息(单元标识号)和程序版本不同时，鉴权装置300发送正确版本的程序文件。

可以使用公共密钥加密该程序文件，并将其发送到目标设备100。一旦接收到该程序，目标设备100使用公共密钥解密该程序，并且目标设备100可以确认从安全鉴权装置300发送了该程序。

除了在目标设备中使用的程序之外，程序包括使用目标设备等所必需的程序(例如，驱动器软件)。

图8是用于解释根据本实施例的系统的单元间鉴权处理的示例的方框图。

如图8所示，诸如图像扫描仪的图像读取设备100包括机械单元110、控制单元120和光单元130。

在每个单元的TPM芯片10中，存储了诸如单元的版本和程序版本的专用信息。在每个单元中，还存储了该单元可用的其他单元的信息(其他单元设备信息文件150)。

在必需时，每个单元使用存储在具有抗窜改能力的TPM芯片10中的保密密钥来加密(签名)该设备信息，并将该信息发送到另一单元。该设备信息可以被转换成散列值并被发送。

然后，接收该信息的单元解密该设备信息，并确定是否从被鉴权的单元发送该信息以及从哪个单元发送该信息。接收该信息的单元根据设备信息的内容进一步确定该单元是否可用的。

例如，在机械单元110的版本B和版本C可用于控制单元120的版本A且该版本A是不可用的时，进行兼容确定。

一旦确认所有单元是可用的，图像读取设备100就切换到可操作状态。当该单元是不可用的时，图像读取设备100就显示告警，并通过控制单元120发送错误信号。

图9是用于解释根据本实施例的系统的可扩展部分的管理处理示例的方框图。

如图9所示，诸如图像扫描仪的图像读取设备100包括机械单元110、控制单元120以及光单元130。图像读取设备100包括诸如辊子、衬垫和灯的可扩展部分。可扩展部分是这样的部分：在特定时间和特定操作之后特性恶化，并且需要用新的部分替换，诸如打印机中的墨盒或者光敏鼓。

可以根据电机的操作数量来识别辊子和衬垫的替换时间，并且可以根据照明时间识别灯的替换时间。将该信息存储在控制单元120的可扩展部分管理文件中。

控制单元120的TPM芯片10收集可扩展部分的信息，并且创建设备信息，随后TPM芯片10将签名(使用保密密钥加密)附在该信息上，并将该信息发送到鉴权装置。

通过使用公共密钥解密发送的设备信息，鉴权装置300可以指定发送该设备信息的图像读取设备100。

随后，鉴权装置300从DB 350获取图像读取设备100的预先注册的设备信息(可扩展部分信息)，并比较(评估)该信息与发送的可扩展部分信息。鉴权装置300将该评估结果通知给扫描仪设备或管理装置。

例如，在灯的情况下，如果2000小时是参考值，则鉴权装置300在照明时间超过1800小时时通知警示级的评估结果，而在照明时间超过2000小时时通知警告级的评估结果。

尽管已经描述了本发明的实施例，除了上述的本实施例之外，可以以在权利要求的技术范围之内的各种其它实施例实现本发明。

例如，可以通过在目标设备中或者在管理装置200中安装对应鉴权设备用于上述处理来配置本发明，使得仅仅由该设备指定的个体(例如，系统管理员和维护人员)可以进行该处理。

在本实施例中描述的处理中，可以手动进行被描述为自动进行的处理的全部或部分，并且可以使用已知方法自动进行被描述为手动进行的处理的全部或部分。

除非另有声明，可以任意改变以上在本文档和附图中描述的包括处理过程、控制过程、特定名称、各种注册数据、搜索条件等的参数的信息、图像示例和数据库配置。

附图的部件是功能性的和概念性的，并且不必必须如所示的那样被物理配置。

例如，由控制设备的单元或者由该设备提供的处理功能的全部或任意部分可以由CPU(中央处理单元)或者由CPU解释和执行的程序来实现，或者处理功能可以被实现为具有有线逻辑的硬件。程序被存储在下述的记录介质中，并且控制设备在需要时机械地读取该程序。

在诸如ROM或HD的存储设备中，存储了计算机程序，其与OS(操作系统)协同，并将命令给CPU以便进行各种处理。通过将计算机程序加载到RAM等来执行该计算机程序，并且计算机程序与CPU协同并且配置控制装置。该计算机程序可以被记录在通过任意网络连接的应用程序服务器中，并且在需要时可以下载该计算机程序的全部或部分。

本发明的程序可以被存储在计算机可读记录介质中。“记录介质”包括任意的“便携物理介质”，诸如软盘、磁光盘、ROM、EPROM、EEPROM、CD-ROM、MO、DVD；任意的“固定物理介质”，诸如安装在各种计算机系统上的ROM、RAM、HD；和在短时期内保持程序的“通信媒体”，诸如在通过由LAN、WAN和因特网表示的网络发送程序时的通信线和载波。

“程序”是使用任意语言或描述方法描述的数据处理方法，并且程序可以是任意格式，诸如源代码或者二进制代码。“程序”不必限于单个配置，而是包括具有使用多个模块或库的分散配置的程序和通过与由OS(操作系统)表示的其他程序协同来实现功能的程序。已知配置和过程可以用于诸如在根据本发明的每个单元读取记录介质、读取过程和在读取之后的安装过程的特定配置。

设备的分布和集成的特定配置不限于附图中的配置，并且可以通过在与各种负载等兼容的任意单元中功能上或物理上分布和集成，配置所述配置的全部或一些。例如，每一数据库可以被独立地配置成独立数据库设备，并且一部分处理可以通过使用CGI(公共网关界面)来实现。

本发明的目标设备、设备管理系统、设备管理方法和外部设备成功实现了如下成果：准确发现装置的当前状态，以及安全和无误地确定是否正确使用了该设备和是否以正确的状态建立了该装置。

尽管为了完全且清楚的公开已经参照特定实施例描述了本发明，但是并非因此而限制了所附权利要求，而是将其解释成体现了本领域技术人员可以想到的、基本属于在此阐述的基本教导的所有修改和替换构造。

Claims (13)

1、一种目标设备，包括：

至少一个包括抗窜改芯片的单元，其中

所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息；和

保密密钥存储单元，用于存储保密密钥；

所述至少一个包括抗窜改芯片的单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到连接到所述目标设备的外部设备。

2、根据权利要求1的目标设备，其中

所述设备信息包括与下列信息的至少一个相关的信息：

包括单元标识号的单元信息；

与可扩展部分相关的可扩展部分信息；

与由所述单元执行的程序的版本相关的程序版本信息；

与所述单元的环境相关的测量值信息，包括温度、湿度和高度；

在所述单元的操作期间的设置信息；和

与所述单元的操作结果相关的操作结果信息。

3、根据权利要求1的目标设备，其中

所述至少一个包括抗窜改芯片的单元进一步包括：

第二设备信息存储单元，用于存储所述目标设备的其他单元的第二设备信息；

发送单元，用于将加密的设备信息发送到所述其它单元；

解密单元，用于使用所述保密密钥解密由所述发送单元发送的设备信息；和

单元间检测单元，用于鉴权解密的设备信息是否对应于所述第二设备信息。

4、根据权利要求1的目标设备，其中

所述外部设备包括：

设备信息接收单元，用于接收发送的设备信息；

评估单元，用于解密接收的设备信息，并且评估解密的设备信息是否对应于预先存储在数据库中的设备信息；以及

第二发送单元，用于将所述评估单元的评估结果发送到所述目标设备。

5、根据权利要求1的目标设备，其中

所述外部设备进一步包括：

操作信息存储单元，用于存储与包括在所述设备信息中的每条信息相对应的操作信息；

设备信息接收单元，用于接收发送的设备信息；

操作提取单元，用于解密接收的设备信息，并且从所述操作信息存储单元中提取与解密的设备信息相对应的操作信息；和

第二发送单元，用于将提取的操作信息发送到所述目标设备和其他外部设备的其中之一。

6、根据权利要求1的目标设备，其中

所述目标设备是图像读取设备。

7、一种设备管理系统，包括目标设备、管理装置以及鉴权装置，其中所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述管理装置用于管理或使用所述目标设备，所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接，其中

所述管理装置包括：

请求单元，用于将单元信息确认请求发送到所述目标设备；

所述目标设备包括：

请求接收单元，用于接收所述发送的单元信息确认请求；

其中所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息；和

保密密钥存储单元，用于存储保密密钥；

所述包括抗窜改芯片的至少一个单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到所述鉴权装置；

所述鉴权装置包括：

设备信息接收单元，用于接收所述设备信息；

评估单元，用于解密所述接收的设备信息，评估解密后的设备信息是否对应于在所述鉴权装置的数据库中预先存储的设备信息；以及

评估结果发送单元，用于将评估结果发送到所述目标设备和所述管理装置。

8、根据权利要求7的设备管理系统，其中

所述鉴权装置进一步包括：

操作信息存储单元，用于存储与包括在所述设备信息中的每条信息相对应的操作信息；

操作信息提取单元，用于解密所接收的设备信息，并且从所述操作信息存储单元中提取与解密的设备信息相对应的操作信息；和

第三发送单元，用于将提取的操作信息发送到所述目标设备或其他外部设备。

9、一种设备管理系统，包括目标设备、管理装置以及鉴权装置，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述管理装置用于管理或使用所述目标设备，所述目标设备、管理装置以及鉴权装置经由网络以可通信方式连接，其中

所述管理装置包括：

请求单元，用于将单元程序确认请求发送到所述目标设备，

所述目标设备包括：

请求接收单元，用于接收所述发送的单元程序确认请求；

其中所述抗窜改芯片包括：

第一设备信息存储单元，用于存储专用于所述单元的第一设备信息，所述设备信息包括单元信息以及与由单元执行的程序的版本相关的程序版本信息，所述单元信息包括存储在所述抗窜改芯片中的单元标识号；

保密密钥存储单元，用于存储保密密钥；

所述包括抗窜改芯片的至少一个单元进一步包括：

加密单元，用于使用所述保密密钥加密所述第一设备信息；

第一发送单元，用于将加密的设备信息发送到所述鉴权装置；

所述鉴权装置包括：

设备信息接收单元，用于接收所述设备信息；

第二发送单元，用于解密所述接收的设备信息，评估包括在所述设备信息中的所述单元标识号和所述程序版本信息之间的对应关系是否与预先存储在所述鉴权装置的数据库中的单元标识号和程序版本信息之间的对应关系相匹配，当所述关系不匹配时，从所述数据库中获取与正确的程序版本相对应的程序文件，并且将所述获取的程序文件发送到所述目标设备。

10、一种用于设备管理系统的设备管理方法，所述设备管理系统包括目标设备、管理装置以及外部装置，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述抗窜改芯片包括用于存储专用于单元的设备信息的设备信息存储单元以及用于存储保密密钥的保密密钥存储单元，所述管理装置用于管理或使用所述目标设备，所述外部设备用于管理或使用所述目标设备，并且经由网络以可通信方式与所述目标设备连接，

所述设备管理方法包括：

所述管理装置将单元信息确认请求发送到所述目标设备；

所述目标设备响应于所述接收的单元信息确认请求，使用所述保密密钥加密所述设备信息，并且将加密的设备信息发送到所述外部设备；

所述外部设备解密所述接收的设备信息，评估所述设备信息是否对应于预先存储在数据库中的设备信息，并且将所述评估单元的评估结果发送到所述目标设备。

11、根据权利要求10的设备管理方法，

其中所述外部设备存储与包括在所述设备信息中的每条信息相对应的操作信息；

所述外部设备解密所述接收的设备信息，提取与解密的设备信息相对应的操作信息，以及将提取的操作信息发送到所述目标设备或其他外部设备。

12、一种管理或使用目标设备的外部设备，所述目标设备被配置具有包括抗窜改芯片的至少一个单元，所述抗窜改芯片包括设备信息存储单元，用于存储专用于单元的设备信息，以及保密密钥存储单元，用于存储保密密钥，所述外部设备经由网络以可通信方式连接到所述目标设备，所述外部设备包括：

设备信息接收单元，用于在所述目标设备使用所述保密密钥加密存储的设备信息并发送加密的设备信息时，接收发送的设备信息；

评估单元，用于解密接收的设备信息，并评估所述设备信息是否对应于预先存储在数据库中的设备信息；以及

第一发送单元，用于将所述评估单元的评估结果发送到所述目标设备。

13、根据权利要求12的外部设备，进一步包括：

操作信息存储单元，用于存储与包括在所述设备信息中的每条信息相对应的操作信息；

操作信息提取单元，用于解密所述接收的设备信息，并且从所述操作信息存储单元中提取与解密的设备信息相对应的操作信息；和

第二发送单元，用于将提取的操作信息发送到所述目标设备或其他外部设备。

Images