CN105931337A - 一种电子锁装置、系统及其授权方法 - Google Patents

Abstract

一种电子锁装置、系统及其授权方法，该授权方法包括：授权端对被授权端下发电子授权凭证；被授权端接收所述电子授权凭证；电子授权凭证被写入锁体电子模块；锁体电子模块对该电子授权凭证进行认证，当锁体电子模块接收到合法的电子授权凭证时，锁体电子模块为被授权人创建、修改或删除用户档案。采用本发明的授权方式时，用户A不用事先把给用户B的授权密钥写入锁中，也不用暴露自己的任何身份信息，但是锁却可以准确判定这是用户A给用户B的授权，且还不需要锁联网。

Description

一种电子锁装置、系统及其授权方法

技术领域

本发明涉及电子锁技术领域，具体而言，涉及一种电子锁装置、系统及其授权方法。

背景技术

目前的电子门锁基本上可归为三大类，第一类是以指纹，密码和刷卡为代表的智能门锁，此类门锁的特点是不能远程授权，更换用户时需要把原有用户的身份信息(比如指纹)删除，同时添加新的用户信息到锁里面，用户操作较为麻烦也不直观，现在共享经济越来越活跃，意味着需要交接使用权(钥匙)的场景越来越多，越来越频繁，如果每次交接物理钥匙都需要面对面的交接，显然效率低下，同时钥匙也有被复制的危险。

第二类门锁虽然已经具有授权功能，当前具有代表性的现有技术如CN103821413A、CN103793966 A。然而要实现对电子钥匙的授权、修改授权、取消授权等功能时，需要锁本身通过某种形式联网(比如通过wifi或移动通信信号上网)，由于锁联网必须维持一个由锁组成的网络，在组网过程中需要添加必要的网络设备实现锁联网，这一方面在正常的工程场景中增加了网络设备投入，线路改造，维护人员和运营费用，对于普通家庭用户和小型企业来说，增加了投入成本，限制了电子锁的应用场景。比如，像出租房或出租公寓，为了控制费用支出，房东不愿意在没有租户的情况下依然支付网络费用来维持网络的正常运行，然而恰巧是在租户入住之前没有网络的这段时间，最需要用到智能锁的远程授权功能。另一方面，保持实时的上网功能，电子锁所需要的远程通信模块需要一直工作，因此会消耗大量的电能，这对使用电池的场合是无法接受的。

第三类门锁是即使在锁不联网的情况下，用户也可以通过远程授权，使得被授权对象具有访问锁的合法身份。当前具有代表性的现有技术是CN 105046796 A，此文献提出了在锁不联网的情况下，被授权人也可以远程获得授权并开启门锁，但其依然存在如下明显的缺陷：

1、锁虽然不需要远程联网，但是需要预先在锁体控制器中预存证书标识和业务数据，该预存的证书标识和业务数据由授权终端通过近场通信网络写入（参见权利要求6-7，说明书第0043-0044，0054，0071段），这必然会带来不便，授权端需要去到锁附近进行预存证书的写入，特别如果是修改业务数据，就需要再次到锁的附近对锁体控制器写入业务数据。

2、其电子密钥虽然加过密，却无法防止被复制的风险，比如房东A给租客B针对锁L一年的授权，B可以把这个授权(电子钥匙)偷偷的保存一份，如果由于某种原因，A取消了对B的授权(比如租赁合同中途终止)，虽然正常流程中的那个电子钥匙被注销掉，但是如果这时B启用自己复制的那份电子钥匙，由于其没有防止复制的措施，因此依然可以开锁，从而造成安全隐患。

3、由于其在生成电子钥匙时，没有被授权人的身份序列号，这一方面虽然可以简化其授权的处理流程(也可能是由于其整体设计方式导致其很难获得被授权人的身份ID)，但是同时也增大了风险，典型的比如用户A给到B的电子钥匙，如果被C获得，C也可以利用此电子钥匙开启，从而造成安全隐患。

4、其有一个称之为初始化的过程(参见说明书第0045段)，可以看到其方案会在服务器端保留开锁的密钥，这是巨大的安全隐患，一旦公司的服务器被黑客攻击或是内部人员泄露关键信息等，由于所有的锁的密钥都会在服务器上，所以一旦发生，就会发生系统化的风险。特别是和缺陷三结合起来，漏洞更大。本发明提供的方法可以不把开锁的身份辨识信息放到服务器上。

5、其通过在电子钥匙中直接携带权限时间段信息，而不是在锁中实时判断开锁行为的时间点，导致管理授权权限的时间段非常复杂且有安全隐患，同时需要开锁时把授权信息反馈到授权端判断，非常复杂且不友好，较好的方法是授权时，告知锁此用户的合法时间段，之后此用户再来访问，审查此用户的实际访问时间点是否在授权段的时间内。

6、由于其开门时，开门控制器需要把电子钥匙发送到授权端验证是否有效，这有两个显著的缺点，第一，需要开门控制器和授权端在当时都处于联网状态，这是很不便利的，对使用场景提出了太高的要求，比如授权人的手机没电了，被授权人却无法开锁，这显然是不合理的。第二，大大延缓了开门的速度。

7、未解决防抵赖现象，这在加密领域被广泛关注，即用户A给用户B一把电子钥匙C，如果发现锁被电子钥匙C开启，不能确定一定是用户B开启的，很可能是用户A开启的，或者是用户A故意把电子钥匙Ｃ发给D，是Ｄ开启的。

虽然上述缺点从参考文献CN 105046796总结得出，但也是现有技术普遍存在的缺陷，一般存在上述中的多项缺陷，现有技术中更多的只是想到用远程授权电子钥匙方案来解决身份验证的问题，至于便利性，经济性，特别是安全隐患，密钥防复制，防盗窃，防抵赖等专业性很强的问题，基本没有涉及到，但这对锁这样一个特殊的设备具有特殊的意义，必须从理论上和实际操作上解决掉，否则或者导致系统性风险，将给用户造成极大损失；或者严格限制了用户的使用场景，大大降低了产品的商业价值。

发明内容

为了克服上述缺陷，本发明的目的在于提供一种具有高度便利性、安全性的电子锁系统及其授权方法。

为了提高电子锁系统的授权方法的安全性和便利性，采取以下措施：

第一，在生成电子授权凭证的过程中，要结合被授权人的身份序列号，使得此电子授权凭证只能被此被授权人使用，益处有二，其一，此电子授权凭证被他人截获或窃取，窃取者没法使用，其二，授权人无法作弊，假如把授权给用户A的电子授权凭证又发送给用户B，B是无法用的。如此，如果电子授权凭证中的被授权人是Ｂ，那么只有Ｂ可以使用，同时如果此凭证被使用，可逆向认定一定是Ｂ使用的，这对一些需要确认访问者身份的场景是极其重要的，比如保险柜。

第二，在生成电子授权凭证，采用了公钥加密的方式，有效解决了在加密端和解密端之间传输对称密钥的问题，有三个好处，其一，由于不用传输私钥，不容易被截获，且只有锁能解析此信息，因此授权凭证会更安全。其二，锁端只需要管理一个公私钥对，管理简单。而采用对称密钥，如果一个锁针对所有用户都采用同一个对称密钥加密，显然安全性会变差，如果对每个用户都分别有独立的密钥，那么管理会比较复杂。其三，解决了防抵赖问题，授权人用自己私钥加密的电子身份凭证，只能通过通过其公钥解密，反之，如果能通过其公钥解密的电子身份凭证，在密码学中认定一定是其发出的，无从抵赖。而如果是对称密钥，则由于除授权者之外，还存在至少一处有此密钥，因此无法证明此电子身份凭证不是由于另处密钥泄密而伪造的，从另一方面讲，这也给授权者提供了抵赖依据，即是其发出的电子凭证，却说成不是。

第三，在生成电子授权凭证的过程中，没有直接使用授权人的身份标识和密码信息，而是采用了他们的hash值，由于通过此hash值无法反推出授权人的身份标识信息和密码信息，使得授权人在生成电子授权凭证时，既不暴露自己的身份信息，又让锁可以鉴定是其发出的授权信息。

第四，在生成电子授权凭证的过程中，考虑到锁不联网的情况，凭证到达会出现乱序(后发出的凭证可能先到)，加入授权行为发出时间点和/或授权序列号，使得电子凭证无法被复制，且能很好的适应现实生活中可能会遇到的各种复杂的授权场景。

第五，使用排他性授权，所谓排他性授权的一个属性是，当授权者给某被授权者发送了此类电子授权凭证，且此被授权者把此电子授权凭证写入锁时，锁会自动删除某些特定用户之外的所有其他用户，比如在锁不联网的场景中，一个airbnb的短租房东在取消某个房客的授权时，自己又不原意去锁附近直接把写入锁时，那么发送给另外一个房客的电子授权凭证被写入锁时，锁会自动删除除房东以外的其他所有其他用户(比如之前的房客或保洁人员)，从而有效的保证了用户的安全，且简化了管理。另外一个可选的属性是，一旦对某被授权人设置了排他性授权，那么在被授权人权限有效的时间段内，除被授权人自己以外，其他的人均无法继续给任何他人授权，且前述被授权人权限无法被删除，除非被授权人自己放弃或删除此权限。

具体地，本发明所采取的技术方案如下。

本发明提供一种电子锁系统的授权方法，包括：授权端对被授权端下发电子授权凭证；被授权端接收所述电子授权凭证；电子授权凭证被写入锁体电子模块；锁体电子模块对该电子授权凭证进行认证，当锁体电子模块接收到合法的电子授权凭证时，锁体电子模块为被授权人创建、修改或删除用户档案。

优选地，授权端对被授权端下发电子授权凭证，被授权端接收所述电子授权凭证可以通过以下方式实施：授权端直接将电子授权凭证发送给被授权端；或者，授权端将电子授权凭证传输至服务器，被授权端然后从服务器上获取所述电子授权凭证，优选地，该授权方式是可通过广域无线通信远程授权。

进一步地，用户档案记录的信息、锁内或服务器上的实时时间和用户开锁的时间点被作为判定被授权人每次访问此锁是否合法的关键要素。

进一步地，所述电子授权凭证至少包含加密过身份信息摘要，加密过或消息认证过的授权信息两方面信息。

进一步地，所述身份信息摘要至少包含授权人在此锁中的唯一身份标识，被授权人的身份序列号两方面信息，或至少由上述两方面信息经过某种算法生成。

所述授权人在所述锁中的唯一身份标识是至少包含授权人的身份序列号，所述锁的序列号，授权人的密码或是密码的衍生值三方面信息，或至少由上述三方面信息经过某种算法生成。

或者，

所述身份信息摘要至少包含授权人在此锁中的唯一身份标识，被授权人的身份序列号，所述锁的序列号三方面信息，或至少由上述三方面信息经过某种算法生成。

所述授权人在所述锁中的唯一身份标识是至少包含授权人的身份序列号，授权人的密码或是密码的衍生值两方面信息，或至少由上述两方面信息经过某种算法生成。

进一步地，授权信息至少包含授权序列号，发起授权行为的时间，授权有效时间段三方面信息的一种或多种，优选地，所述时间从服务器上获取。

进一步地，上述电子授权凭证的合法性判断的方法为：锁体电子模块按照和授权端授权模块协商一致的方法，得到身份信息摘要，如果此身份信息摘要和电子授权凭证中的身份信息摘要一致，说明此电子授权凭证合法。

进一步地，当锁体电子模块收到某被授权人请求成为合法用户时，锁体电子模块根据此用户档案记录的信息，判定其请求是否被批准，如果被批准，此被授权人把自己此锁中的唯一身份标识写入其用户档案中。

优选地，如果身份信息摘要是由至少包含授权人在此锁中的唯一身份标识，被授权人的身份序列号两方面信息通过某种算法生成，那么这种算法采用单向数学函数实现，在计算上是不可逆的，即从原始信息计算容易得到身份信息摘要，但是从身份信息摘要出发，反过来计算原始信息在计算上是不可行的。

优选地，如果授权人锁中的唯一身份标识是通过某种算法生成，那么这种算法采用单向数学函数实现，即从原始信息计算容易得到授权人锁中的唯一身份标识，但是从授权人锁中的唯一身份标识出发，反过来计算原始信息在计算上是不可行的。计算密码衍生值也是采用单向数学函数实现。

优选地，所述算法为用非对称密钥进行加密。

进一步地，锁的第一个用户是通过注册实现的，在此过程中，此用户的用户档案被建立，此用户在此锁中的唯一身份标识被写入此用户档案。

优选地，授权端发出的电子授权凭证，至少可以通过以下方式之一到达锁体电子模块：

1）、在锁能够联网的情况下，直接通过服务器到达锁体电子模块，成功到达后，服务器删除其上的上述电子授权凭证。

2）、经由服务器先到达某移动终端(可以为被授权端，也可以为第三移动终端)，经此移动终端通过局域无线通信写入锁体电子模块。服务器在被授权人持有的移动终端接收到电子授权凭证后，删除上述电子授权凭证。或者在被授权人持有的移动终端接收到电子授权凭证并写入锁体电子模块后，删除上述电子授权凭证。

3）、不经过服务器直接到达某移动终端(可以为被授权端，也可以为第三移动终端)，经此移动终端通过局域无线通信写入锁体电子模块。

4）、直接由授权端写入锁体电子模块。

进一步地，电子授权凭证还包括排他性电子授权凭证，当锁体电子模块收到排他性电子授权凭证，锁体电子模块除了授予被授权端的一般电子授权凭证中规定的权限外，还具有至少下述特性的一种或多种：

1）、删除某些特定用户之外的所有其他用户的访问权限。

2）、在被授权人授权有效的时间段内，除被授权人自己以外，其他的人均无法继续授权。

3）、在被授权人授权有效的时间段内，其权限无法被他人删除，但允许被授权人自己放弃或删除此权限。

进一步地，被授权端的开锁控制模块在开锁前，需要先检验是否有电子授权凭证待写入锁体电子模块。如果有，则先写入再执行开锁流程。

进一步地，当某一用户自己丢弃或删除授权，和/或被其他用户取消授权，有权限知晓此行为的本锁的其他用户能够获此信息。

优选地，授权端为移动终端或客户端，在注册时，客户端把自己在此锁中的唯一身份标识给到某一移动终端（可以为第三方移动终端），委托此移动终端把上述信息写入锁体电子模块。

优选地，第一用户可以把自己，或第二用户的权限转让给第三用户，所述第二用户的是所述第一用户的下级用户，即第二用户是由第一用户直接授权的用户，或由第一用户授权的其他用户继续间接授权的用户。

优选地，当授权人给被授权人授权时，若允许其有设置数字密码的权利，则被授权人能设定只有自己知道的私有数字密码，通过在锁的面板上输入此数字密码可以开锁。优选地，如果所述被授权人所设置的密码的第一位和其他用户设置密码的第一位一样时，此用户会被告知需改更改密码的第一位。

本发明还相应地提供一种电子锁系统，包括授权端、被授权端、锁端，用来实现上述所描述的授权方法，优选地，还包括服务器，优选地，还包括与服务器相连的显示器。

进一步地，本发明还相应地提供一种用于上述电子锁系统中的授权端、被授权端或锁端，具有相应的处理单元，处理单元优选运行一相应的APP程序或软件程序。

采用本发明的授权方式时(假设用户A授权给用户Ｂ，详细描述见实施例)，用户A不用事先把给用户B的授权密钥写入锁中(如果需要事先写入，会很不便利，也不安全)，用户A也不用暴露自己的任何身份信息，但是锁却可以准确判定这是用户A给用户B的授权，且还不需要锁联网。

附图说明

下面结合附图和实施例对本发明进一步说明。

图1是本发明的结构示意图，虚线表示锁仅在联网状态下存在通信。

图2是本发明的第一实施例的授权流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用于解释本发明而不用于限定本发明。此外，所描述的各个实施方式中所涉及到的技术特征彼此之间未构成冲突就可以相互组合构成其他实施例，或者，也可根据情况删除各个实施方式中某些技术特征而构成其他实施例。

首先，为了更清楚地描述实施方式，先对本发明涉及的术语进行以下约定以及情况说明。

局域无线通信是指移动终端(典型的移动终端是手机，智能可穿戴设备)和锁体电子模块之间通过红外、蓝牙、wifi，Zigbee，NFC等无线通信方式进行通信，这种通信方式通常把通信的双方限制在一个较小的地理范围内。

广域无线通信是指锁体电子模块、移动终端、客户端，服务器之间可能通过多种通信媒介和方式(包括但不仅限于wifi，3g、4g、5g等移动通信网络，和普通的因特网)进行通信，这种方式可以使通信的双方摆脱物理区域的限制，在广域的范围内进行便利的通信。虽然名称为广域无线通信，但不意味着数据传输的路径上，都是无线的形式进行的，可以包含有线传输的部分。

本发明涉及的算法或数学函数，均可以找到类似的算法，因此仅以下列函数为例说明，并不限定为只用这些函数。

单向数学函数，即从某原始值计算其函数值是容易得到的，但已知其函数值反向算其原始值，其在计算上是不可得的，本发明实施例以HASH()为例。

非对称加解密函数，对某数据进行公钥加密，或私钥加密，本发明实施例分别以E(PU,xxx)和E(PR,xxx)为例。或公钥解密，或私钥解密，本发明实施例分别以D(PU,xxx)和D(PR,xxx)为例。其中PU，PR分别表示公钥和私钥，xxx表示要加解密的内容。

对称加解密函数，对某数据进行加密，解密运算，分别用E(K,xxx)和D(K，xxx)作为实施例。其中K表示密钥，xxx表示要加解密的内容。

关于消息认证：消息认证确保收到的数据和发送时一致(即没有被修改、插入、删除)，消息认证的本质是利用一类数学函数(比如hash)计算需要传输的数据，得到消息摘要，把消息摘要和原始数据一起传到接收方，接收方从接收到的信息中用同样的算法，计算出消息摘要，比较此消息摘要和传输过来的消息摘要是否一致，由于传输过来的消息摘要是被加密过的，无法改动，因此如果一致，可判定被传输的信息也没有被改动过。这在生成电子授权凭证和传输电子授权凭证过程中非常有用，可以避免未加密的信息被改动。比如说被授权人在接收到电子授权凭证，需要知道凭证中的有效时间段，但是却不能被被授权人改动。那么使用消息认证机制是很好的。

整个系统涉及到如下几个关键模块，一个系统的运行不必要包含所有的模块。

a.)移动终端：移动终端指可以随身携带的具有无线通信功能，能和服务器、锁进行无线通信并交换数据的终端, 无线通信功能包括局域无线通信，和/或广域无线通信。至少包含授权模块、无线模块、开锁控制模块(也即接收授权模块)。在授权时又称之为授权移动终端，其持有者称之为授权人，在接收授权和开锁时又称之为被授权移动终端，其持有者称之为被授权人。

b.)客户端：能和服务器进行通信并通过服务器向锁，向移动终端发送电子授权凭证，或依托移动终端的通信信道在锁中注册用户。利用其进行授权的人也称之为授权人，在前述描述中，说授权人持有的终端是为了表述通俗易懂，针对客户端的用户，“持有”表示“使用”之意。

c.)服务器：移动终端、客户端可以和服务器进行互联，在锁能联网的情况下，锁也和服务器进行互联。服务器进行电子授权凭证的中转，为各移动端或客户端同步各类用户信息，访问信息和授权信息。

d.)锁端：移动终端可以和锁进行互联，在锁能联网的情况下，锁也和服务器进行互联。

上述关于锁能联网是指锁能通过广域无线通信进行联网。

授权端是授权移动终端和客户端作为授权角色时的统称，被授权端是指被授权移动终端。另外，第三移动终端，表示不特指的移动终端。

用户是指现在或将来使用锁的人，不特指是授权人还是被授权人。

某用户的用户档案通常包含如下信息(a)-(e)，但不一定完整的包含所有信息，根据具体实现，可能有所差异，列此只是便于把实施过程说明清楚，针对同一个用户，不同时间点，其信息完整性可能不一样。

(a)接收到的电子授权凭证中的身份信息摘要；

(b)此用户在此锁中的唯一身份标识；

(c)此用户的身份序列号；

(d)此用户的有效访问时间段；

(e)此用户的最新授权序列号。

身份序列号是指用户在整个智能锁系统中注册时表示此用户身份的一个序列号，比如是用户的的手机号、用户名、或者是系统分配的不会冲突的ID号。

锁序列号是指此锁区分于系统中其他锁的一个标识。

关于生成身份信息摘要和对应的生成某用户在某锁中的唯一身份标识有两种方法，这两种方法极为相似，区别在于把序列号(LOCK_ID)信息放到用户在锁中的唯一标识，还是放到身份信息摘要中，参考第一种完全可以理解第二种如何实施，后续的关于如何运用电子授权凭证的实施例以第一种方法为例，另一种不再重复叙述。

第一种实现方法：

某用户在某锁中的唯一身份标识通常是至少包含此用户的身份序列号(USER_ID)，此锁的序列号(LOCK_ID)，和此用户的密码(USER_PW)或是密码的衍生值(HASH_USER_PW=HASH(USER_PW，...))三方面信息，或由这三方面的信息经过某种算法而生成，为HASH_UL=HASH(USER_ID, LOCK_ID, USER_PW，...) 或HASH_UL=HASH(USER_ID, LOCK_ID, HASH(USER_PW)，...)。

采用三者(USER_ID, LOCK_ID， USER_PW 或HASH_ USER_PW)作为一个整体来作为某用户在某锁中的唯一身份标识和采用HASH_UL作为某用户在某锁中的唯一身份标识是非常相似的，只是采用HASH_UL执行效率更高，更简洁，处理速度更快，本发明将以HASH_UL作为用户在锁中的唯一标识作为实施例说明，需要说明的是如果不采用HASH_UL这种方式，由于会使用USER_PW等不能泄露的信息，因此这些信息必须加密起来。

身份信息摘要至少包含授权人在此锁中的唯一身份标识(HASH_AL)，被授权人的身份序列号(USER_ID_B)两方面信息，或至少由上述两方面信息经过某种算法生成(HASH_ALB)，即HASH_ABL=HASH(HASH_AL, USER_ID_B,...)，这两种方式处理起来非常相似，由于采用HASH_ABL描述起来较为简捷和高效，因此后面的实施例多采用这种方式来说明，需要说明的是如果不采用HASH_ABL这种方式，由于会使用HASH_AL等不能泄露的信息，因此这些信息必须加密起来。

第二种实现方法：

某用户在某锁中的唯一身份标识通常是至少包含此用户的身份序列号(USER_ID)，和此用户的密码(USER_PW)或是密码的衍生值(HASH_USER_PW=HASH(USER_PW，...))两方面信息，或由这两方面的信息经过某种算法而生成，为HASH_UL=HASH(USER_ID, USER_PW，...)或HASH_UL=HASH(USER_ID, HASH(USER_PW)，...)。

采用两者(USER_ID, USER_PW或HASH_ USER_PW)作为一个整体来作为某用户在某锁中的唯一身份标识和采用HASH_UL作为某用户在某锁中的唯一身份标识是非常相似的，只是采用HASH_UL执行效率更高，更简洁，处理速度更快，本发明将以HASH_UL作为用户在锁中的唯一标识作为实施例说明，需要说明的是如果不采用HASH_UL这种方式，由于会使用USER_PW等不能泄露的信息，因此这些信息必须加密起来。

身份信息摘要至少包含授权人在此锁中的唯一身份标识(HASH_AL)，此锁的序列号(LOCK_ID)，被授权人的身份序列号(USER_ID_B)三方面信息，或至少由上述三方面信息经过某种算法生成(HASH_ALB)，即HASH_ABL=HASH(HASH_AL, LOCK_ID，USER_ID_B,...)，这两种方式处理起来非常相似，由于采用HASH_ABL描述起来较为简捷和高效，因此后面的实施例多采用这种方式来说明，需要说明的是如果不采用HASH_ABL这种方式，由于会使用HASH_AL等不能泄露的信息，因此这些信息必须加密起来。

同时规定A用户在锁中的唯一标识记为HASH_AL，B用户在锁中的唯一标识记为HASH_BL, C用户在锁中的唯一标识记为HASH_CL...，不特指哪一个用户在锁中的唯一标识记为HASH_UL。

实施例一：

如图1所示，本发明的电子锁系统包括锁端1004、授权移动终端1002即用户A、被授权移动终端1003即用户B、以及服务器1001，其中，用户A、用户B和服务器1001联网，锁端1004可与服务器1001联网或不联网。用户A是已经获得授权或是通过注册而拥有用户A在锁端1004中的唯一身份标识，即HASH_AL。HASH_AL= HASH(USER_ID_A, LOCK_ID, USER_A_PW，...)或HASH_AL= HASH(USER_ID_A, LOCK_ID, HASH(USER_A_PW，...)，...)，其中USER_ID_A是A用户的身份序列号， USER_A_PW是A用户设置的密码，HASH(USER_A_PW，...)是A用户设置的密码的衍生值。

如图2所示，该电子锁系统通过以下步骤实现电子锁的授权。

1）用户A准备给用户B授权，用户A已经拥有HASH_AL。

2）用户A从服务器1001上获得ATY _CNT、ACT_TIME、PU_USER_B，并根据业务需要输入USER_ID_B(本实施例中USER_ID_B为用户B的手机号)、 TIME_START、TIME_END等信息，通过USER_ID_B，HASH_AL，生成HASH_ABL=HASH(HASH_AL, USER_ID_B,...)。

3）用锁的公钥加密身份信息摘要和授权信息，然后生成电子授权凭证。

即电子授权凭证为：E (PU_LOCK , HASH_ABL，USER_ID_A，USER_ID_B，ATY _CNT,ACT_TIME，TIME_START，TIME_END，PU_USER_B, ...)

其中：

PU_LOCK表示用锁的公钥进行加密

HASH_ABL表示身份信息摘要

USER_ID_A，USER_ID_B表示用户ID

ATY _CNT表示授权序列号，从服务器上获得，每次授权序号重小到大，不重复。

ACT_TIME表示授权指令发出的时间

TIME_START授权有效期间的开始时间

TIME_END授权有效期间的结束时间

PU_USER_B 用户Ｂ的公钥

“...”表示针对不用应用还可以加入其它业务信息。加密方式多种多样，可以采用对称加密，也可以采用非对称加密，本实施例以较为复杂的，且较为安全的非对称加密为实施例说明。

需要说明的是电子授权凭证还可以包含一些辅助业务数据，这些业务数据的处理较为灵活，具体需要是什么数据取决于具体应用场景和电子授权凭证的设计，这些数据可以包含在电子授权凭证内，也可以在电子授权凭证外，有些数据还可以和电子授权凭证重复。

4）用户A把上述电子授权凭证传输到服务器，并告知用户B(B用户登录的移动终端)，电子授权凭证已经放在服务器1001上。此步骤可省略，如果此步骤省略，用户B可能没有那么及时的取走电子授权凭证，但不影响使用。

5）用户B取走电子授权凭证，取走后，服务器1001可以选择在服务器上删除电子授权凭证。

6）用户B在锁端1004附近，通过局域无线通信方式把电子授权凭证写入锁体电子模块。

7）锁体电子模块接收到电子授权凭证时，用锁的私钥(PR_LOCK)把上述电子授权凭证解开，恢复出HASH_ABL，USER_ID_A，USER_ID_B，ATY _CNT,ACT_TIME，TIME_START，TIME_END，PU_USER_B等信息，另一方面，锁体电子模块通过本地的HASH_AL，和传递下来的USER_ID_B等信息，生成HASH_ABL'，当HASH_ABL'==HASH_ABL且授权序列号符合既定规则时，说明此电子授权凭证合法，创建用户档案，把凭证中相关信息做处理并记录到用户档案中。

8）B用户向锁发送成为合法用户请求，请求数据包格式如下：E (PU_LOCK, E(PR_USER_B, HASH_BL, USER_ID_B,...))，其中PR_USER_B是用户Ｂ的私钥。

9）当锁体电子模块收到此请求时，先用锁自己的私钥(PR_LOCK)解密出E(PR_USER_B, HASH_BL，USER_ID_B)，再用用户B的公钥PU_USER_B解密得到USER_ID_B和HASH_BL，如果USER_ID_B之前已经通过电子授权凭证授权过，把HASH_BL记入用户档案，作为Ｂ用户在此锁中的唯一身份标识。

10）当下次用户Ｂ来开锁，用户Ｂ通过HASH_BL进行身份论证，且只有开锁时间点在TIME_START，TIME_END，认为合法有效。

实施例二：

在实施例一的基础上，步骤三中在处理身份信息摘要和授权信息时，可以改成如下方式。

授权信息采用消息认证处理，并把认证产生的消息摘要和身份信息摘要放在一起加密。而传递的授权信息本身不再需要加密处理。

即电子授权凭证为：

E (PU_LOCK , HASH_ABL，HASH_ATY)

加(USER_ID_A，USER_ID_B，ATY _CNT,ACT_TIME，TIME_START，TIME_END，PU_USER_B,...)

其中：

HASH_ATY表示授权信息的消息认证的结果

HASH_ATY=HASH(USER_ID_A，USER_ID_B，ATY _CNT,ACT_TIME，TIME_START，TIME_END，PU_USER_B,...)

加密方式多种多样，可以采用对称加密，也可以采用非对称加密，本实施例以较为复杂的，且较为安全的非对称加密为实施例说明。

PU_LOCK表示用锁的公钥进行加密

HASH_ABL表示身份信息摘要

USER_ID_A，USER_ID_B表示用户ID

ATY _CNT表示授权序列号，从服务器上获得，每次授权序号重小到大，不重复。

ACT_TIME表示授权指令发出的时间

TIME_START授权有效期间的开始时间

TIME_END授权有效期间的结束时间

PU_USER_B用户Ｂ的公钥

“...”表示针对不用应用还可以加入其它业务信息。

实施例三：

在实施例一，二的基础上，当电子授权凭证是由用户B写入锁体电子模块时，上述步骤的第6，7，8，9可以合并成两步并简化，６和８合并，即把电子授权凭证和申请成为合法用户数据包一起发送，在这种情况下，申请成为合法用户数据包可以简化，除去一些冗余信息，７和９可以合并执行，先检验电子授权凭证是否合法，如果合法则执行步骤９。

实施例四：

在实施例一，二的基础上，上述的第４，５，６步可以删除，不是由用户B，而由用户A把电子授权凭证直接写入锁体电子模块。

实施例五：

在实施例一，二的基础上，如果上述用户A使用的终端不是移动终端而是客户端，则用户A可以把相关电子授权凭证发送给移动终端Ｃ，让Ｃ代理执行把此凭证写入锁体电子模块。

实施例六：

在前述所有实施例的基础上，在上述步骤3中，还可以对上述电子授权凭证进一步用用户A的私钥加密，得到E（PR_USER_A，电子授权凭证）在第7步中先再用A的公钥解密，由于任何设备或用户的公钥都是可以直接传输，任意获得的，不再具体说明。这种做法进一步强调了防抵赖。

实施例七：

在锁能联网的情况下，步骤可以简化（比如步骤5和步骤6不再需要,4可能需要，也可能不需要)，电子授权凭证可以直接由服务器或授权端直接写入锁体电子模块，上述的很多步骤可以省略。

实施例八：

在前述所有实施例的基础上，在产生电子授权凭证的过程中，先要去服务器上取得关于此锁的授权序列号，授权序列号从小到大递增，根据这个特点，可以有效的防止电子授权凭证被复制，如果锁体电子模块发现被写入的电子授权凭证的授权序列号和之前的针对此用户的授权序列号相等，或比之前更小，则说明这个电子授权凭证为无效凭证。

如果没有这个机制，某个电子授权凭证在分发的过程中，可能被复制一份，当此电子授权凭证被取消时，复制者可以把复制的这份电子授权凭证拿出来，重新获得授权，给系统造成安全隐患。

授权序列号的具体使用规则可以根据需要做些变动，比如如果锁是联网的，授权方可以从锁中获得此授权序列号，而不是从服务器；又或者此序列号不是针对某把锁递增的，而是针对所有锁递增的。

授权序列号除在用户档案中存在之外，锁体电子模块还有一张表专门纪录每个用户最新使用过的授权序列号，删除用户档案不会删除这部分信息。

实施例九：

在前述所有实施例的基础上，由于锁可能是不联网的，发出电子授权凭证的时间和凭证抵达锁体电子模块的时间间隔是不确定的，先发出的电子授权凭证可能后到，从而导致和授权发出人的本来意图相矛盾，比如授权人先发出一个电子授权凭证(有效期为2016年1月1日-2017年1月1日)，之后发现意图改变，又发了一个电子授权凭证(改为2016年1月1日-2017年7月1日)。如果出现乱序，即第二凭证先到而第一张凭证后到，就和发出授权的人的本来意图相冲突。本发明在电子授权凭证中加入授权行为发出的时间，此时间为授权端本地的时间，或者较优的应该从服务器上获得时间。

授权序列号和授权行为发出时间有时可以解决类似的问题，像上述凭证乱序的问题，授权序列号也可以解决，具体使用何种手段，需要根据具体情况选择。

记录和跟踪授权行为发出的时间ACT_TIME，可以管理更复杂多变的使用场景。此时间较优的应该从服务器上取，避免由于授权终端时间不准而造成问题。用户档案中记录此用户的合法时间段[TIME_START，TIME_END]，当用户来访问时，锁体电子模块察看当前的时间，如果当前的访问时间介于[TIME_START，TIME_END]之间，则认为属于合法的时间段，否则即使身份验证通过，也会认为非法访问。

实施例十：

在前述所有实施例的基础上，还可加入时间同步的实施，并可通过以下方式进行时间同步：

方式一，在注册时，移动终端或客户端从服务器上获取实时时间，并把此时间写入锁体电子模块，使得锁端时间和服务器上的时间一致。

方式二，每次开门前，或开门后，移动终端如果成功的从服务器上取得了实时时间，则把此时间传递给锁体电子模块。

方式三，当锁体电子模块每次接收到用于时间同步的时间信息时，锁体电子模块检查此时间和本地时间的时间差，当差值大于一定的门限时(比如一分钟时)，更新锁体电子模块中的时间。

方式四，锁体电子模块定期的和服务器取得通信，并使自己的时间和服务器保持同步。

实施例十一：

在前述所有实施例的基础上，当锁端1004不联网时，可采用以下方式进行注册：移动终端注册时，移动终端通过局域无线通信把加密后的某用户在此锁中的唯一身份标识(HASH_UL)写入锁体电子模块；客户端注册时，客户端通过某一个代理移动终端把加密后的某用户在此锁中的唯一身份标识(HASH_UL)写入锁体电子模，即客户端先把加密后的HASH_UL给到某一个代理移动终端，代理移动终端再通过局域无线通信把此HASH_UL写入锁体电子模块。

当锁端1004联网时，可采用以下方式进行注册：移动终端注册时，移动终端通过广域无线通信把加密后的某用户在此锁中的唯一身份标识(HASH_UL)写入锁体电子模块；客户端注册时，客户端通过广域无线通信把加密后的某用户在此锁中的唯一身份标识(HASH_UL)写入锁体电子模块，或者通过某一个代理移动终端把加密后的某用户在此锁中的唯一身份标识(HASH_UL)写入锁体电子模，即客户端先把加密后的HASH_UL给到某一个代理移动终端，代理移动终端再通过广域无线通信把此HASH_UL写入锁体电子模块。

实施例十二：

在前述所有实施例的基础上，当用户A给用户B授权时，若允许其有设置数字密码的权利，则用户B能设定只有自己知道的私有数字密码，通过在锁的面板上输入此数字密码可以开锁。

优选的，如果用户B所设置的密码的第一位和其他用户设置密码的第一位一样时，此用户会被告知需改更改密码的第一位。

实施例十三：

当某一用户(第一用户)自己丢弃或删除授权，和或被其他用户(第二用户)取消授权，第一用户，和或第二用户会把相关信息上传到服务器，为这些信息的同步提供基础。当其他用户需要此信息时，可以获得此信息。

实施例十四：

第一用户可以把自己，或第二用户的权限转让给第三用户，所述第二用户的是所述第一用户的下级用户，即第二用户是由第一用户直接授权的用户，或由第一用户授权的其他用户继续间接授权的用户。

实施例十五：

本发明中的电子授权凭证还可包括排他性电子授权凭证，该排他性电子授权凭证除了一般电子授权凭证中规定的权限外，还具有下述特性的一种或多种：其一，删除某些特定用户之外的所有其他用户的访问权限；其二，在被授权人授权有效的时间段内，除被授权人自己以外，其他的人均无法继续授权；其三，在被授权人授权有效的时间段内，其权限无法被他人删除，但允许被授权人自己放弃或删除此权限。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替代和改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种电子锁系统的授权方法，包括：授权端对被授权端下发电子授权凭证；被授权端接收所述电子授权凭证；电子授权凭证被写入锁体电子模块；锁体电子模块对该电子授权凭证进行认证，当锁体电子模块接收到合法的电子授权凭证时，锁体电子模块为被授权人创建、修改或删除用户档案，优选地，用户档案记录的信息、锁内或服务器上的实时时间和用户开锁的时间点被作为判定被授权人每次访问此锁是否合法的关键要素。

2.根据权利要求1所述的授权方法，所述电子授权凭证至少包含加密过的身份信息摘要、加密过或消息认证过的授权信息两方面信息。

3.根据权利要求2所述的授权方法，所述身份信息摘要至少包含授权人在此锁中的唯一身份标识、被授权人的身份序列号两方面信息，或至少由上述两方面信息经过某种算法生成；所述授权人在所述锁中的唯一身份标识是至少包含授权人的身份序列号、所述锁体的序列号、授权人的密码或密码衍生值三方面信息，或至少由上述三方面信息经过算法生成；

或着，

所述身份信息摘要至少包含授权人在此锁中的唯一身份标识、被授权人的身份序列号、所述锁的序列号三方面信息，或至少由上述三方面信息经过算法生成，所述授权人在所述锁中的唯一身份标识是至少包含授权人的身份序列号、授权人的密码或密码衍生值两方面信息，或至少由上述两方面信息经过算法生成。

4.根据权利要求2所述的授权方法，授权信息至少包含授权序列号、发起授权行为的时间、授权有效时间段三方面信息的一种或多种。

5.根据权利要求1-4任一项所述的授权方法，锁体电子模块按照和授权端授权模块协商一致的方法，得到身份信息摘要，如果此身份信息摘要和电子授权凭证中的身份信息摘要一致，说明此电子授权凭证合法，优选地，当锁体电子模块接收到合法的电子授权凭证时，锁体电子模块为被授权人创建、修改、删除用户档案，当某被授权人请求成为合法用户时，锁体电子模块根据此用户档案记录的信息，判定其请求是否被批准，如果被批准，此被授权人把自己此锁中的唯一身份标识写入其用户档案中。

6.根据权利要求3所述的授权方法，所述算法采用单向数学函数实现，和/或计算密码衍生值采用单向数学函数实现。

7.根据权利要求2所述的授权方法，所述加密为采用非对称加密算法对加密内容进行加密。

8.根据权利要求1-7任一项所述的授权方法，锁的第一个用户是通过注册实现的，在此过程中，此用户的用户档案被建立，此用户在此锁中的唯一身份标识被写入此用户档案，优选地，第一用户为移动终端或客户端，在注册时，客户端把自己在此锁中的唯一身份标识给到某一移动终端（可以为第三方移动终端），委托此移动终端把上述信息写入锁体电子模块。

9.根据权利要求1-8任一项所述的授权方法，授权人发出的电子授权凭证，至少可以通过以下方式之一到达锁体电子模块：直接通过服务器到达锁体电子模块，成功到达后，服务器删除其上的上述电子授权凭证；经由服务器先到达被授权终端，经此终端写入锁体电子模块，服务器在被授权人持有的移动终端接收到电子授权凭证后，删除上述电子授权凭证，或者在被授权人持有的移动终端接收到电子授权凭证并写入锁体电子模块后，删除上述电子授权凭证；或者，不经过服务器直接到达被授权端，经此终端写入锁体电子模块；或者，直接由授权端写入锁体电子模块。

10.根据权利要求1-9任一项所述的授权方法，所述电子授权凭证包括排他性电子授权凭证，该排他性电子授权凭证除了一般电子授权凭证中规定的权限外，还具有下述特性的一种或多种：其一，删除某些特定用户之外的所有其他用户的访问权限；其二，在被授权人授权有效的时间段内，除被授权人自己以外，其他的人均无法继续授权；其三，在被授权人授权有效的时间段内，其权限无法被他人删除，但允许被授权人自己放弃或删除此权限。

11.根据权利要求1-10任一项所述的授权方法，当某用户被授权后，某用户的某次访问被判定为合法的依据有：其一，用户提供的唯一身份标识必须和锁中此用户档案中存储的此用户在此锁中的唯一身份标识一致；和，其二，用户访问的时间点在用户档案中规定的有效时间段内。

12.根据权利要求1-11任一项所述的授权方法，第一用户可以把自己，或第二用户的权限转让给第三用户，所述第二用户的是所述第一用户的下级用户，即第二用户是由第一用户直接授权的用户，或由第一用户授权的其他用户继续间接授权的用户。

13.根据权利要求1-12任一项所述的授权方法，被授权端的开锁控制模块在开锁前，需要先检验是否有电子授权凭证待写入锁体电子模块，如果有，则先写入再执行开锁流程。

14.根据权利要求1-13任一项所述的授权方法，当授权人给被授权人授权时，若允许其有设置数字密码的权利，则被授权人能设定只有自己知道的私有数字密码，通过在锁的面板上输入此数字密码可以开锁，优选的，如果被授权人所设置的密码的第一位和其他用户设置密码的第一位一样时，被授权人会被告知需改更改密码的第一位。

15.一种电子锁系统，包括授权端、被授权端、锁端，用来实现如权利要求1-14任一项所述的授权方法，优选地，还包括服务器，优选地，还包括与服务器相连的显示器。

16.一种用于权利要求15中的电子锁系统的授权端、被授权端或锁端，具有相应的处理单元，处理单元运行一相应的APP程序或软件程序。