CN102369533A

CN102369533A - 用于管理对受限区域的访问的控制系统

Info

Publication number: CN102369533A
Application number: CN2010800097327A
Authority: CN
Inventors: 朱塞佩·阿塞莱
Original assignee: Individual
Current assignee: Individual
Priority date: 2009-02-25
Filing date: 2010-02-19
Publication date: 2012-03-07
Anticipated expiration: 2030-02-19
Also published as: EP2401691B1; IT1393199B1; US8730005B2; US20120032777A1; ITTO20090136A1; WO2010097745A1; CN102369533B; EP2401691A1

Abstract

用于经由使用访问权限(20)来管理用户(60)对多个受限区域(75)的访问的控制系统包括：至少一个管理器模块，其中包括中央处理单元(50)，配置用于发出并且检查关联到事务的访问权限(20)；以及一个或多个提供器模块，各包括本地处理单元(70)，其中各提供器模块设置在受限区域(75)的入口处，并且配置用于执行对访问权限(20)的检查。管理器模块(50)配置用于执行通过向本地处理单元(70)传送关于事务的信息(10，40)来启用关联到事务的访问权限(20)的步骤。提供器模块(70)配置用于检查用户(60)所提供的访问权限(30)的有效性，并且基于检查的结果来授权对相应受限区域(75)的访问，在能够选择的时刻向管理器模块(50)发送提供器模块的特定通知来通知已经准予访问。另外，管理器模块(50)配置用于在接收到特定通知之后执行检查事务的数据的步骤以及结束事务的下一个步骤，以便得到对单独受限区域(75)的单独访问的唯一识别。

Description

用于管理对受限区域的访问的控制系统

技术领域

本描述涉及用于管理访问的技术，并且更具体来说，涉及用于管理对受限区域的访问的控制系统。

背景技术

在预计基于某些规则、例如在支付费用之后向某些用户准予获得对一个或多个受限区域或构筑物的访问的准许的那些情况下，要求用于管理访问的控制系统的存在。

下面仅作为非限制性示例指出一些可能的应用：

-访问旅游度假区的娱乐构筑物(电影院、博物馆、游乐园)；

-访问滑雪场的滑雪索道；

-访问运动设施(游泳池、室内体操场、桑拿房)；

-访问旅馆房间；以及

-访问虚拟环境(受限网区域)。

本领域已知实现对受限和共用区域的访问的管理的各种解决方案。

第一示例由典型售票处来表示，在典型售票处顾客购买入场券，入场券通过如下方式来检查和“验证”：例如通过在进入所选娱乐构筑物时撕开其一部分或者在其上盖上日期，来使得它无法再使用。

一种不同的解决方案由购买授权个人访问各种娱乐构筑物的预订(例如对城镇的多家博物馆的预订)来表示。在这种情况下，顾客购买一批票券，并且随后在可用娱乐构筑物的范围之内决定使用这些票券的位置。在这种情况下，顾客支付预订，并且金额在预订所覆盖的所有构筑物之间均匀地分配，但是通过这种方式，被经常访问的构筑物处于不利地位。

发明内容

本发明的目的是提供一种用于管理对受限区域的访问的控制系统，它将易于实现、成本低并且同时将保证唯一识别对于形成该控制系统所管理的区域的部分的各娱乐构筑物的单独访问的可能性。

按照本发明的控制系统同时保证高级安全性、效率、功能性和通用性。

为了实现上述目的，本发明的主题是一种其特性如权利要求1所述的用于管理对受限区域的访问的控制系统以及相应方法。

权利要求书形成与本文提供的发明有关的教导的整体部分。

附图说明

现在将完全通过非限制性示例、参照附图来描述本发明，其中：

-图1示出按照本发明的控制系统的应用情况的一个示例；

-图2示出符号矩阵的一部分；

-图3示出安全码的一个示例；

-图4示出控制系统的文件之间的关系；

-图5是用于准备访问权限的步骤的流程图；

-图6是与访问受限区域的请求对应的步骤的流程图；以及

-图7是与结束事务(transaction)的过程有关的步骤的流程图。

具体实施方式

按照本发明的访问控制系统通过分配通行证(pass)并且在进入受限区域时检查所述通行证的有效性，来实现对受限区域的访问的管理。

此外，该控制系统配置用于生成能够具有可变时间有效性的不同类型的访问权限(单次访问、有限时间段的访问、不确定时长的访问)。

以下描述考虑对物理区域的访问的情况，但是它也能够适用于虚拟环境。

为了更好地理解以下描述，初步提供形成访问控制系统的一部分并且如图1、图2和图3所示的模块或实体的一些定义。

管理器模块例如包括发出并且检查访问权限20的中央处理单元50。

用户60例如是管理器50向其指配了访问权限20、使用受限区域75的主体。

提供器模块例如包括设置在受限区域75的入口处的本地处理单元70；提供器模块配置用于执行对访问权限20的检查以向用户60授权访问，并且用于接收和向管理器50传送信息。

在新用户60到达时，管理器模块50首先指配标识符码或用户码，这实现用户60的唯一标识。

当用户60请求进入受限区域75的准许时，中央处理单元50在检查准予该准许的可能性之后生成事务。指配给该事务的是按照唯一方式将它与其它事务加以区分并且将把它链接到用户60的标识符。

控制系统包括一系列文件，其中存储与用户60、提供器模块70和事务有关的信息。

按照本发明的控制系统包括：管理器模块50，配置用于发出并且检查关联到事务的访问权限20；以及一个或多个提供器模块70，其中各提供器模块70设置在受限区域75的入口处，并且配置用于执行对访问权限20的检查。控制系统配置用于经由使用管理器模块50所发出的访问权限20管理用户60对多个受限区域75的访问。

另外，管理器模块50配置用于执行通过向提供器模块70传送关于事务的信息来启用(enable)关联到事务的访问权限20的步骤。

各提供器模块70配置用于检验用户60所提供的访问权限的有效性，并且基于检验结果来授权对相应受限区域75的访问。另外，各提供器模块70配置用于在能够选择的时刻通知管理器50关于已经准予用户60对相应受限区域75的访问。

最后，管理器50在接收到特定提供器模块70所发送的特定通知之后执行结束事务的下一个步骤。“特定通知”表示其中存在实现生成和传送通知的提供器模块70的唯一标识的元素的通信。这样，得到对单独受限区域75的单独访问的唯一识别，并且管理器50能够考虑访问，该访问向特定通知所标识的提供器模块70指配关联到事务的金额。

更详细来说，接着事务的创建，管理器50生成将用于生成访问权限20的符号矩阵10，并且在启用步骤向所有提供器模块70发送具有事务的相应标识符码的符号矩阵10。此外，矩阵10存储于存在于管理器50的文件中。将各事务组对到不同的符号矩阵10，并且各矩阵与其它矩阵不同。

访问权限20是代码或逻辑密钥，它使用户60能够由提供器模块70按照唯一和安全的方式来识别并且进入受限区域75。访问权限20由管理器50来生成，并且通过参考标号30所表示的其第一部分连同事务标识符一起存储在装置65(可重配置磁卡、RFID标签、徽章或入场券)中，然后将其转交给用户60。

为了提高事务的安全性，按照不对称方式(即，传送不同的互补信息)将访问权限20传送给用户60和提供器模块70。具体来说，传送给用户60的是第一部分30，而传送给提供器模块70的是访问权限20的第二部分40，连同完整的符号矩阵10一起。

将关于事务的信息传送给提供器模块70给予提供器模块70本身甚至在没有与管理器50的联机连接的情况下也按照自主独立方式来执行用户60所提供的密钥30的检查的可能性。这样，提供器模块70授权用户60的访问，并且同时或者在下一个时刻通知管理器50关于对相应受限区域75的访问。

对于各访问，设置在受限区域75的入口处的因此是提供器模块70，它通过读取器72来检查用户60所提供的访问权限20的部分30的有效性。

指配给各事务的是不同代码，即，各事务能够与其它事务唯一地加以区分，因为它具有特意生成的适合那个特定事务的不同符号矩阵10和不同访问权限20。

这种可变性通过基于代码的检查来实现可访问性，代码每次按逐个用户改变，因而实现高灵活性。此外，与执行基于在访问点存在的提供器模块中设置的永久代码的检查的系统相比，这保证更大的安全性。

各用户60能够使用他自己的装置65(标识标签、RFID装置、徽章、USB密钥、掌上电脑、蓝牙蜂窝电话)作为标识符，在装置65上管理器50加载了访问权限20的第一部分30中包含的信息和事务标识符。这种信息是识别用户60和事务所需的。备选地，管理器50能够向用户60提供在其上先前已经加载相同信息的装置65。在后一种情况下，在离开受限区域时，用户60将装置65返还管理器50，管理器50能够对其重新配置并且将其再用于其它用户。

允许单个用户60按照他自己的自由选择来请求将要在访问控制系统所控制的区域或构筑物中使用的一个或多个访问权限20。

更详细来说，访问权限20是一种代码，它通过按照任意方式选择起源于符号矩阵10、组合成那个特定事务的一定数量的元素或单元来生成。另外，访问权限20是由参考标号22、23和24所表示的三个字段所组成的代码。字段22、23和24分别包含列坐标、行坐标以及起源于符号矩阵10的所选单元的内容。

管理器50还生成划分访问权限20中存在的信息的一对密钥30、40，并且将密钥转交给用户60和提供器模块70。

具体来说，提供给用户60的是第一密钥30(又称作“分块码”(unblocking code))，它包括其中包含组成访问权限20的符号矩阵10的单元的坐标的字段22和23。而提供给提供器模块70的是第二密钥40(称作“随机码”)，它包括其中存储了组成访问权限20的相应单元的内容的字段24。

由访问控制系统所使用的密钥集合因此分为两个部分。一个部分被指配给提供器模块70，并且由符号矩阵10和第二密钥40(随机码)构成，而另一部分被指配给用户60，并且由第一密钥30(分块码)构成。当然，有可能使主体与密钥之间的组对倒转，并且具体来说，有可能决定将密钥40指配给用户，而将密钥30(再次连同符号矩阵10一起)指配给提供器模块70。因此，用户60和提供器模块70均未拥有完整的访问权限20，而是仅具有其相应部分。这样，安全性极大地提高，对得到访问来说，必须存在信息的正确重组。

各提供器模块70具有与用户60所提供的第一密钥30组对的可用第二密钥40，并且还具有可用的符号矩阵10。具体来说，根据用户60所提供的包含单元的坐标的第一密钥30(分块码)，特定提供器模块70读取根据坐标来寻址的符号矩阵10的单元的内容，并且将所述内容与由其支配的第二密钥40(随机码)进行比较。

提供器模块70因此能够按照自主独立方式来检查所重构访问权限的真实性，而无需与管理器50的中央处理单元进行交互。

如果比较产生肯定结果，则提供器模块授权用户60进入受限区域75。在下一时刻或者与用户60的进入同时，提供器模块70处于能够通知管理器50关于事务已经进行的状况。

管理器50还从提供器模块70接收逻辑密钥对30和40连同已经进行的事务的特定通知，并且因此能够检查所重构访问权限的真实性。如果这个第二检查也产生肯定结果，则管理器50记录用户60的访问，并且激活后续动作(例如鉴定(accredit)访问权限的金额、记帐、统计监测、资金转拨)，其中还结束事务。

在所考虑的复杂结构中，主要标识两种要求。一方面，需要按照通常方式来管理访问权限20的指配；另一方面，需要确定单独访问权限20已经由用户60用于哪一个受限区域75中。

各提供器模块70有兴趣看到用户60所进行的访问被识别，而管理器50有兴趣监测每个单独提供器模块70所通知的访问是否对应于真实访问权限20。

最后，用户60有兴趣具有使他能够访问他希望获得访问权的受限区域75的可用访问权限20。

为了能够满足所有这些兴趣，控制系统由于下列情况而基于代码的交叉生成来生成一组逻辑密钥20、30和40：

-用户60仅当他提供有效逻辑密钥30时才能够访问受限区域75；

-提供器模块70能够通过下列步骤来检查用户60的密钥30的真实性：将密钥30与逻辑密钥40组对，并且确定在符号矩阵10中，单元的内容与通过将密钥30与密钥40组对形成所重构访问权限的相应单元的内容相同；以及

-在没有提供两个密钥(它自己的密钥40和用户的密钥30)的准确组对的情况下，提供器模块70无法通知管理器50关于访问。

管理器50包括提供有专用于下列步骤的软件和固件的处理单元：

-生成符号矩阵10；

-生成密钥20、30、40的集合；

-密钥30、40与单独访问权限20的标识符的组对(文件的更新)；

-与用户60以及与提供器模块70进行通信；

-控制由提供器模块70所发送的访问的特定通知；以及

-激活用于对访问记帐的相关过程。

各提供器模块70包括能够执行下列步骤的处理单元：

-与管理器50以及与用户60或者与装置65进行通信；

-存储符号矩阵10；

-存储密钥30、40；以及

-检查密钥30的真实性，将其与密钥40组对，并且比较与矩阵10组对的结果。

用户60配备有能够从中央处理单元50接收逻辑密钥30并且将其传送给特定提供器模块70的物理/逻辑介质65。

在将要去到用户60的密钥30在移动设备(蜂窝电话或掌上电脑)上采取无线消息(sms、蓝牙)的形式来传送的情况下，提供器模块70将配备有与所述移动设备兼容的通信接口。相反，如果密钥30采取RFID标签的形式来提供给用户60，则关联到提供器模块70的是提供有天线的收发器。此外，存在设想在纸介质上将密钥30作为明文(PIN类型)或条形码的代码提供给用户60的其它可能变体；在这种情况下，提供器模块70将配备有用户60可访问的小键盘或者配备有条形码读取器。

基于预计对系统保证的不可违反性等级，管理器50选择：

-符号矩阵10的大小，相应地改变存在于矩阵本身的符号的数量；以及

-密钥20、30和40的集合的复杂度，其方式是通过作用于所使用代码的大小。

实际上，随着符号矩阵10的大小和/或访问权限20(以及因而第一密钥30和第二密钥40)的幅度增加，违反系统的尝试的成功可能性降低。

下面参照图2和图3所述的是从能够采用的可能设定以及可能的安全等级之中所选的一个实施例。要强调，矩阵能够采用任何类型的字符、数字或符号来构建。

图2示出过大而不能在单个附图中完全示出的符号矩阵10的一部分。

这里完全作为说明来描述的符号矩阵10具有下列特性：

-它是方矩阵(列数等于行数并且等于52)；

-各单元的内容是字母表的字母(区分小写和大写字符)；以及

-单元总数由列数乘以行数(即，52×52＝2704)来表示。

列按照下列方式来索引：第一列由大写字母“A”来标识；后续列各采用一直到“Z”(第26列)的字母表的大写字母来索引；然后，第27列的索引为小写字母“a”，并且其它列各由直到“z”(第52列)的字母表的后续小写字母来索引。

行而是采用范围从1至52的数字索引来索引。

现在示出以下用于创建符号矩阵10的步骤：

-将表示列的索引的52个字母的每个(大写和小写)随机指配给分散在表中的52个单元；以及

-所述指配对其余字母的每个重复进行(指配给各字母的因此是矩阵的52个单元)，逐渐用完矩阵的全部单元。

图3示出起源于所生成的访问权限20的密钥30和40的生成的一个示例，所生成的访问权限20起源于图2的矩阵。

管理器50在创建符号矩阵10(参见图2)之后随机选择多个单元；即，在图2的示例中，它选择形成访问权限20的12个单元。

管理器50生成又称作分块码的第一密钥30，并且将其指配给用户60。分块码由访问权限20的字段22和23来构成，并且包含所选单元的坐标。

管理器50还生成又称作随机码的第二密钥40，它包括访问权限20的字段24，并且包含所选单元的内容。管理器50将密钥40连同符号矩阵10一起指配给提供器模块70。

外人设法猜测关联到访问权限20的代码的可能性取决于符号矩阵10的大小，并且取决于组成访问权限20的单元的数量(并且因此还取决于随机码40和分块码30)。

在图3所示的情况下，在图2的矩阵10中已经任意选择12个单元。12个单元共同形成访问码或访问权限20。通过随机地选择12个单元能够得到的访问码20的数量通过起源于矩阵的元素数量的12个单元的组合来表示，它在这种情况下为2704。

这种大数量的可能组合使得即使知道符号矩阵10或者两个密钥30或40其中之一，实质上也不可能猜测访问权限20。

现在考虑猜测代码之一的尝试由利用访问系统的主体之一来进行的情况。

为了创建相互保护，设置必须与原始代码的单元对应的单元的最小阈值(例如12个中的7个)，以便使所重构访问权限被管理器50认为是有效的。这用于在违反系统的可能性中创建用户与提供器模块之间的平衡难度等级。

实际上，访问系统的使用者是用户60和提供器模块70，它们为了达成事务，各独自保证另一个的职责的执行，同意在由用户60请求时交换代码，以便通过特定提供器模块70的入口点。特定提供器模块70所给予的服务(同意用户60进入它自己的受限区域75)仅在用户60向提供器模块70传递第一密钥30或分块码之后进行；仅通过这样做，所述的提供器模块70才能够使用符号矩阵10和它可用的密钥40来检查分块码30的真实性，并且保证用户60对职责的执行由管理器50向其确认(即，到期金额的支付、访问的登记、记帐、统计监测)。

现在我们将考虑如下情况：提供器模块70尝试猜测分块码30(由管理器50指配给用户60)以便合并访问权限20，并且因而得到对其有利的职责的执行，而没有接收到来自用户60的任何访问请求。

在这种情况下，提供器模块70具有可用的符号矩阵10，并且由于随机码40而知道访问权限20的12个单元的内容，但是不知道它们在符号矩阵10中的坐标。12个单元的坐标的可能组合对应于起源于52个符号的12个元素的组合(实际上，重复矩阵10的各元素，在这个所示示例中正好为52次)。

在例如12个单元的情况下，猜测7个就足够，在这种情况下，可能组合对应于

52*52*52*52*52*52*52＝1 028 071 702 528

还是在这种情况下，这种大数量的可能组合使得即使在必须对应的12个中的7个元素的最小阈值存在的情况下，实质上不可能令提供器模块70猜测访问权限20。

现在我们将考虑如下情况：用户60想要在提供器模块70不知道的情况下设法改变他自己的分块码30，以便通过已改变的分块码30，提供器模块70将不能够从管理器50得到对其有利的职责的执行。因此，在这种情况下，用户60将设法在访问请求的时刻向提供器模块70传递错误代码，但是该代码将会通过检查，提供器模块70通过将用户60所提供的分块码30与由其支配的随机码40和符号矩阵10进行比较来进行该检查。

为了设法这样做，用户60必须向提供器模块70提供伪造分块码，所述伪造分块码通过与真实分块码30不同的一个或多个坐标，在任何情况下携带(bear)具有与真实分块码30所索引的单元相同的内容的符号矩阵10的单元的坐标。

如果不是这样，则提供器模块70会认识到伪造分块码不是真实的，并且不会授权用户60的访问。

用户60设法采用包含同一字母的另一个坐标来取代分块码30的一个坐标的概率等于51/2703。实际上，在符号矩阵10中，存在具有与某个坐标相同的内容的另外51个单元；符号矩阵10总共包含2704个单元；排除所考虑的一个，仍剩余2703。因此，存在用户60设法修改分块码30而不被提供器模块70发现的大约2％的机会。

与先前情况相比，因此存在具体违反可能性，但是这仅在如下情况下：设想如果这由提供器模块70对于组成所重构访问权限的全部12个单元正确提供，则管理器50认为所重构访问权限是真实的。

如果如同先前情况中那样，甚至仅通过总共12个中的7个单元而认为访问权限20是真实的，为了防止提供器模块70对访问权限20的认证，用户因此必须能够成功地伪造至少6个坐标。

为了使访问权限无效，用户必须设法改变6个单元，并且在这种情况下，提供器模块将通知管理器关于少于7个单元是正确的。

在这种情况下，用户60在不被发现的情况下设法伪造分块码30的6个单元的概率对应于：

(51/2703)*(51/2703)*(51/2703)*(51/2703)*(51/2703)*(51/2703)＝0.00000000004

即，近似100 000 000 000分之4的机会。

总之，为了使控制系统所依据的代码的违反和/或伪造实质上是不可能的，最有效方式之一是不仅采用充分大的符号矩阵10，而且设想具有比认证所需的单元数量更大的单元总数的访问权限20。仅通过这种方式，使用户60和提供器模块70违反系统实质上变得不可能。

现在描述管理器50与提供器模块70的交互。

-第一步骤：启用，即，访问权限20的指配。提供器模块70与管理器50进行联络，由此它们逐渐接收或者由此它们能够直接请求与指配给用户60的访问权限20有关的数据。各提供器模块70能够知道的数据是单个事务的标识符、单个访问权限20的标识符、相应符号矩阵10以及相应第二密钥或随机码40。

-第二步骤：访问请求。当用户60到达特定提供器模块70时，他通过传递第一密钥或分块码30(由管理器50来生成并且向他传送)来使他是可识别的。当已经检验分块码30的真实性时，由于与第二密钥或随机码40的组对以及由于与符号矩阵10的比较，提供器模块70授权用户60进入它自己的受限区域75。

-第三步骤：访问的通知。一旦已经授权用户60的访问，特定提供器模块70通知管理器50关于所重构访问权限(分块码30和随机码40的组对)。

-第四步骤：结束事务。一旦已经接收并且检验所重构访问权限，管理器50登记已经准予访问，并且执行所设想的动作(访问权限的到期金额的鉴定、记帐、统计监测、资金转拨等等)。

用户60与特定提供器模块70的交互设想用户的标识的步骤。一旦用户60已经到达提供器模块70，他通过使自己在区域本身的入口处是可识别的，来获得对构筑物的受限区域75的访问权。识别通过向特定提供器模块70的权限72的读取器传递分块码30来进行，分块码30唯一地标识用户60并且还唯一地标识特定访问权限20。提供器模块70在已经标识用户60之后授权对相应区域75的访问。

参照图4，现在描述存在于控制系统中的文件。

一般文件92在其内部存储了系统的使用者(即用户60以及提供器模块70)的标识符码。

于是，存在提供器模块的代码的文件80，其中，对于各提供器模块70，存储在记录中的是相干信息(提供代码、人口统计数据字段和位置字段)。

在用户60到达时，在用户码的文件82中创建新记录。存储在记录中的是关于用户码、人口统计数据字段和地址字段的信息。

访问权限的文件84包括由访问权限号(right-to-access-No.)字段、日期字段、费用字段和用户码字段所形成的记录。字段“用户”使访问权限的文件84和用户码的文件82能够相关地设置。

对于各事务，将新记录加入事务的标识符的文件86。各记录包括事务号(transaction-No.)字段、访问权限号(right-to-access-No.)字段和日期字段。又在这种情况下，字段“访问权限号”将文件84与文件86相关地设置。

符号矩阵的文件88设想所生成的每个新矩阵的记录。该记录包含矩阵号(matrix-No.)字段、事务号(transaction-No.)字段以及包含矩阵本身的字段。字段“事务号”将符号矩阵的文件88与事务的标识符的文件86相关地设置。

最后，访问码的文件90包含由管理器50所发出的各访问权限的记录。在这种情况下，存在矩阵号(matrix-No.)字段、随机码(random-code)字段和分块码(unblocking-code)字段。

现在参照图5，描述用于准备访问权限20的步骤的流程图。

在步骤100，管理器50处理指配访问权限20的指令。在下一个步骤102，执行用户的标识，并且在步骤104，进行向访问权限指配标识符。例如，访问权限的标识符可包含如下信息：用户码、日期、累进数字。

在步骤106，则进行控制系统的代码的准备，并且在步骤108，进行将标识符指配给事务。例如，事务的标识符可包含用户码和累进数字。

在步骤110，生成符号矩阵10以及相应访问权限20、分块码30和随机码40的矩阵。

随后，在步骤112，进行下列项之间的组合：

-访问权限(right-to-access)标识符(文件84的第一字段)；

-事务标识符(文件86的第一字段)；

-符号矩阵10；

-访问权限20；

-分块码30；以及

-随机码40。

最后，在步骤114，将标识符和代码传送给提供器模块70和用户60。具体来说，提供器模块70接收：

-访问权限标识符；

-事务标识符；

-符号矩阵10；以及

-随机码40。

而用户接收：

-访问权限标识符；

-事务标识符；以及

-分块码30。

现在参照图6，描述与对受限区域的访问请求有关的步骤的流程图。

在步骤120，用户60出现于提供器模块70之一，并且在步骤122，用户60向提供器模块70传递访问权限标识符、事务标识符和分块码30。

随后，在步骤124，提供器模块70从本地存储器或者从中央文件92检索特定的符号矩阵10的数据。

在下一个步骤126，提供器模块70将分块码30与随机码40组对，并且得到所重构访问权限。另外，在步骤128，提供器模块70检查这样改组的访问权限20的单元对于其内容是否对应符号矩阵10的单元。在步骤130，进行检查以检验在单元之间是否存在对应性：如果否，则在步骤132，提供器模块70拒绝访问；如果存在对应性，则在步骤134，提供器模块授权用户的访问，并且向管理器50传送(步骤136)如下信息：

-访问权限标识符；

-事务标识符；

-访问码20；以及

-访问的通知。

现在参照图7，描述由管理器50结束事务的过程。

在步骤140，管理器50从提供器模块70接收访问数据(在步骤136所发送的数据)，并且管理器50检查由提供器模块70所传送的访问权限(考虑预设最小阈值)是否对应于原始访问权限20；在步骤142，管理器50登记访问。最后，在下一个步骤144，管理器50执行其它可能的动作(支付、鉴定、统计监测)。

按照本发明的控制系统还能够用于管理对逻辑或虚拟区域的访问，例如经由标识符(用户名)和访问密钥(密码)来访问分配多媒体内容、文档、授权或证明的网站。

当然，实现和实施例的细节可相对本文已经描述和示出的内容广泛改变，而没有由此背离由所附权利要求书所定义的本发明的保护范围。

Claims

1.一种用于经由使用访问权限(20)管理用户(60)对多个受限区域(75)的访问的控制系统，包括：

-至少一个管理器模块，包括配置用于发出并且检查关联到事务的访问权限(20)的中央处理单元(50)；以及

-一个或多个提供器模块，各包括本地处理单元(70)，其中，各提供器模块设置在受限区域(75)的入口处，并且配置用于执行对所述访问权限(20)的检查，

其特征在于：

-所述管理器模块(50)配置用于执行通过向所述本地处理单元(70)传送关于所述事务的信息(10，40)来启用关联到所述事务的访问权限(20)的步骤；

-所述提供器模块(70)配置用于检验所述用户(60)所提供的访问权限(30)的有效性，并且基于所述检验的结果来授权对相应受限区域(75)的访问，在能够选择的时刻向所述管理器模块(50)发送所述提供器模块(70)的特定通知来通知已经准予访问；以及

-所述管理器模块(50)还配置用于在接收到所述特定通知之后执行控制所述事务的数据的步骤以及结束所述事务的下一个步骤，以便得到对单独受限区域(75)的单独访问的唯一识别。

2.如权利要求1所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)配置用于发出具有可变时间有效性的访问权限(20)。

3.如以上权利要求中的任一项所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)包括用于存储其中包含与下列项有关的信息的文件(80，82，84，86，88，90，92)的存储部件：

-用户(60)；

-提供器模块(70)；

-访问权限(20)；以及

-事务。

4.如以上权利要求中的任一项所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块的所述中央处理单元(50)配置用于：

-生成用于创建所述访问权限(20)的符号矩阵(10)；

-生成一对访问密钥(30，40)，其起源于划分访问权限中包含的信息(22，23，24)的访问权限(20)；

-向所述用户(60)指配第一密钥(30)；以及

-在上述启用步骤期间向所述提供器模块(70)传送符号矩阵(10)和第二密钥(40)。

5.如权利要求4所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述提供器模块的所述本地处理单元(70)配置用于：

-经由所述用户(60)所提供的第一密钥(30)和由其支配的第二密钥(40)来重构访问权限(30，40)；

-将所重构访问权限(30，40)的信息与符号矩阵(10)进行比较；

-自主地、即甚至在没有与管理器(50)的联机连接下检验所重构访问权(30，40)的真实性；

-如果比较已经产生肯定结果，则授权所述用户(60)的访问；以及

-通知所述中央处理单元(50)关于所述用户(60)对相应受限区域(75)的访问。

6.如权利要求5所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，上述中央处理单元(50)还配置用于：

-从所述提供器模块(70)接收所述访问的特定通知以及相应重构访问权限(30，40)；

-在控制步骤中通过将所重构访问权限(30，40)与原始访问权限(20)进行比较来确定其真实性；以及

-在肯定结果的情况下，执行上述结束步骤，该步骤设想所述访问的记帐、向所述提供器模块(70)指配关联到所述事务的到期金额。

7.如权利要求4至6中的任一项所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)配置用于向各用户(60)提供其上先前已存储下列项的装置(65)：

-用户标识符(60)；

-事务标识符；以及

-第一密钥(30)。

8.如权利要求7所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，各提供器模块(70)包括用于检查由所述用户(60)的装置(65)所提供的信息(30)的有效性的读取器(72)。

9.如权利要求8所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)配置用于生成访问权限(20)，其任意选择起源于关联到上述事务的符号矩阵(10)的一定数量的单元。

10.如权利要求9所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)配置用于生成访问权限(20)，其使用分别包含列坐标(22)、行坐标(23)以及起源于上述符号矩阵(10)的所选单元的内容(24)的三个字段(22，23和24)。

11.如权利要求10所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，所述管理器模块(50)配置用于通过选择访问权限(20)的前两个字段(22，23)来生成第一密钥(30)，并且通过选择访问权限(20)的第三字段(24)来生成第二密钥(40)。

12.如权利要求11所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，由所述管理器模块(50)所定义的不可违反性等级取决于：

-符号矩阵(10)的大小；以及

-密钥(20，30，40)的集合的复杂度或大小。

13.如权利要求12所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，为了创建所述用户(60)与所述提供器模块(70)之间的相互保护，所述管理器模块(50)通过对单元数量设置在所重构访问权限(30，40)中必须找到与原始访问权限(20)的对应性的最小阈值来创建违反系统的可能性的平衡难度等级，以便使所重构访问权限(30，40)被认为是有效的。

14.如权利要求4至13中的任一项所述的用于管理对受限区域(75)的访问的控制系统，其特征在于，符号矩阵(10)具有如下特性：

-它是N阶方矩阵；

-各单元的内容是字符、数字或符号；

-行和列采用所采用的字符、数字或符号的预设顺序来索引；

-用于列和/或行的索引的字符、数字或符号的每个被随机指配给分散在符号矩阵(10)中的N个单元。

15.一种用于管理用户(60)对多个受限区域(75)的访问的控制方法，其特征在于，该控制方法包括由权利要求1至14中的一项或多项所述的系统所实现的操作。