CN108352066B - 密封件篡改检测方法 - Google Patents

Abstract

用于确认防篡改密封件(1)的完整性的方法和系统，其基于根据密封件(1)的至少一个捕获图像确定的、描述密封件(1)中提供的预定破裂点(31)的物理结构的至少一个参数的值与预定的参考参数值的比较。

Description

密封件篡改检测方法

本发明涉及一种用于确认防篡改密封件的完整性的方法及系统、密封件本身及一批密封件，以及实施所述方法的计算机程序产品。

更具体地，涉及一种方法，包括：捕获其完整性待确认的密封件的至少一个图像；根据至少一个捕获的图像确定描述密封件的物理结构的至少一个参数的值；将确定的参数值与预定的参考参数值进行比较；并当比较的参数值匹配时确认密封件的完整性。相应地，系统包括图像捕获装置和连接到图像捕获装置的计算装置，其中，计算装置被配置为接收来自图像捕获装置的至少一个捕获的图像，根据至少一个捕获的图像，确定描述密封件的物理结构的至少一个参数的值，将确定的参数值与预定的参考参数值进行比较，并且当所比较的参数值匹配时确认密封件的完整性。

当产品的真实性和完整性是产品的宝贵属性时，防篡改密封件通常被用在产品或其包装上。除了密封件伪造的这一重要但独立的问题之外，破坏密封产品的完整性的唯一可能性是以不可识别的方式破坏密封件。一个著名的使用情况是用假酒重新填充真实的烈酒瓶。在这种情况下，密封件应该作为重新填充保护件。密封件可以充当物理重新填充保护件本身，或者它可以用来确认专用防重新填充封闭件的真实性和完整性。在后一种情况下，通过封闭件(例如封装体(capsule))提供重新填充止挡件或阻挡件，并且密封件确保仅使用真实的封闭件并且封闭件不被操纵。

在许多应用中，有可能以高度未检测到的方式破坏密封件。这是可能的，由于密封件通常可能不显眼地破坏，这不一定是乍看起来就能检测到的，并且需要非常严密的检查。充分的检查在许多情况下是不切实际的，或者需要预先知识或经过专门培训的检查员。因此，在许多情况下，未经培训的检查员不认为破坏的密封件是破坏的，因为他根本不知道如何辨别未破坏的密封件与破坏的密封件。

回到酒使用案例中，保护内容物最常见方法是提供防篡改密封件，当打开包装或瓶子时密封件被完全损坏，使得当以通常方式打开包装或瓶子(例如通过拧松封装体)并因此使密封件破裂是非常明显的。然而，这种密封件通常能够通过“精确切割(clean cut)”方法来欺骗：取决于用于密封和/或确认密封的技术，很可能可以用剃刀刀片切开密封件(在这里如果肉眼看不见的话，切口是几乎不可见的)，清空真实的内容物，用假酒对其重新填充并覆盖剃刀切口。未经培训或疏忽的消费者通常将不会意识到被覆盖的切口，并认为密封件仍然是完整的。

为了缓解未经培训的密封件检查员的固有问题，几乎必须提供机器辅助密封件验证系统来评估密封件的完整性，优选与真实性一起进行评估。

已经提出了不同类型的这种密封件验证系统。提供简单验证的一种类型是基于电子增强密封件，即密封件包括用于确定密封件的完整性并用于将当前状态传递给电子读出设备的电路。示例是WO2015/177451A1中公开的瓶密封件，其能够通过NFC被读出，或者EP2709035A1中所示的重新填充保护件，其使用RFID协议来读出。这种类型的系统的缺点是产品上需要复杂且因此昂贵的密封件。因此，使用这种类型的保护件的总体成本相当高，并且在许多应用中可能不合理。

另一种类型的密封验证系统是基于光学读出的密封件。US2003/0098357A1公开了用于实施篡改指示条形码的多个选项。它描述了如下应用，基于包含凝胶、墨水或粘合剂的粒子，基于作为最安全选项的镱-钇-铒氧化物纳米粒子，然后对条形码进行折射涂覆(例如以全息或棱镜材料的形式)，并且最后是可变形的基底，诸如用于承载条形码的柔性薄膜，作为最便宜但也最不安全的选项。基于纳米粒子的解决方案几乎不会缓解电子密封件针对必要读出设备的缺点，而甚至需要更少见的检测器。在US2003/0098357A1中提出的所有安全措施都基于对密封件的二维变形的检测。如果用精确切割(例如使用解剖刀)使密封件破坏，能够将二维变形减小到最小，并从而逃脱检测。作为已知方法的其他缺点，攻击者可以自由选择要进行切割的位置，并且特别是可以选择已知进行切割检测本质上较低机会的位置和取向。

在WO2007/055658A1中公开了另一种用于光学密封件验证的方法，该方法涉及在允许将它们带入安全区域中之前覆盖便携式相机的镜头的密封件。通过验证出口处的密封件，能够确定相机是否已经用在安全区域中，并且如果需要可以进行进一步的检查。由于密封件没有任何预定破裂点，所以密封件验证必须依赖于两张照片的总体比较。因此，该方法具有上面针对US2003/0098357A1已经讨论的相同的弱点。

本发明的目的是克服或至少缓解已知密封件技术的缺点。

根据本发明的方法的特征在于，用于评估密封件的完整性的参数描述了在密封件中提供的预定破裂点的物理结构。在使用中，将密封件放置在密封物体上，使得预定破裂点必须破裂以便访问物体。因此，寻求访问物体的攻击者必须破坏在预定破裂点处的密封，即预定破裂点是用于切割密封件的唯一可行的位置。预定破裂点的性质使得密封件在预定破裂点处具有增加的脆弱性。优选地，当在进行切割时(由于与预定破裂点位置相比显著增加的密封件的刚度)或者在访问密封物体时(由于密封件在预定破裂点的两侧上的部分的分开)已经在不同位置施加切割时，密封件将在预定破裂点处断裂。本发明的优点是由预定破裂点的属性(因为在被破坏时引起密封件的不可逆的结构变化)以及侧重于预定破裂点处的可能断裂的局部性所产生的。借助于密封件的结构和应用，攻击者被迫在预定破裂点处打开密封件。同时，预定破裂点的物理结构由预定破裂点附近的密封件的部分之间的连接和连接力来确定和控制。在没有连接的情况下，物理结构不能重新建立，因此必然有助于检测破裂的密封件。在确认密封件的完整性时，捕获密封件的至少一个图像的步骤不意味着捕获的所述至少一个图像必须包括整个密封件的图像。相反，在本方法中，捕获密封件的至少部分(其中，预定破裂点至少部分地延伸到所述部分中)的图像，能够充分地用于确定描述密封件中提供的预定破裂点的物理结构的至少一个参数的值。同样在本发明的范围内，描述密封件的物理结构，并且特别是预定破裂点的参数能够与三维物理属性相关联。因此，本方法可以包括捕获两个或更多个图像，例如，以便更全面地表示三维属性。

在本上下文中，术语“预定破裂点”(有时也仅仅是破裂点)用于指定密封件上的单个点、贯穿密封件的至少部分的路线或由密封件的一部分形成的区域。密封件能够是标签或标签的一部分，其能够被附接(优选以防篡改的方式，例如通过使用防止移除完整密封件的特殊粘合剂)到物体以密封物体；它也能够是与容器连接的容器上的封闭件或盖子或封闭件或盖子的一部分；它也能够是防止打开包装的物体的包装的总体区域。在形成预定破裂点的位置、路线或区域中，密封件具有相对减小的结构刚度。预定破裂点或额定破裂点因此限定密封件容易断裂的密封件上的位置。有几种已知的可能性来产生预定破裂点，这自然取决于密封件的材料和整体结构。例如，可以通过减小材料强度，通过使密封件材料变薄，通过另外地弱化密封件材料的内部结构(例如通过预加压材料或通过施加弱化剂)，和/或通过在预定破裂点处(例如通过提供局部的切口、凹口和/或穿孔)弱化密封件的整体结构，来实现预定破裂点。因此，描述预定破裂点的物理结构的参数适应于预定破裂点的性质。它是与预定破裂点的状态有关的参数，即参数取决于预定破裂点在物理上是否完好而假设不同的参数值。确认防篡改密封件的完整性的过程因此等效于检测密封件是否破裂并提供检测结果，例如，用于用户的信息。

尤其是，在所使用的预定破裂点的类型使得取决于其位置，其可以导致开口的密封件(例如，在横跨密封件的一排中组合多个切口)，以便区分合法的预定破裂点与由攻击者造成的密封件的缺陷的情况下，当密封件被应用到物体上时，如果参数描述了预定破裂点相对于密封件上或物体上的至少一个标记的位置，则是有利的。

优选地，预定破裂点是在密封件中提供的穿孔，并且参数描述了穿孔的物理结构。光学检测和验证能够容易的访问穿孔的物理结构，例如，通过追踪穿过密封件的穿孔的边缘。在密封件的产生中，穿孔也相对容易且便宜。它能够与不同的、甚至混合的密封件材料结合。它能与密封件的表面设计无关地被应用，即，密封件表面能够用于提供真实性的证明等。此外，甚至能够在将密封件应用到密封物体上之后创建穿孔，由此提供预定破裂点相对于物体的简单和可再现性的定位(取决于产生方法，参见下文)。

当预定破裂点由穿孔形成时，至少一个参数优选地包括以下中的一个或更多个：穿孔的长度、穿孔的宽度、穿孔相对于密封件的边缘或密封件上的标记的偏移或嵌入穿孔的结构中的代码，优选通过一系列长切口和短切口嵌入穿孔的结构中的代码，如下面关于穿孔的可能不规则形状更详细解释的。因为在这种情况下，穿孔的边缘和形状是密封件在结构修改方面最脆弱的部分，通过确定和验证穿孔的上述参数，甚至也能够检测到对密封件的轻微损伤。

在本发明的有利实施例中，根据上述方法捕获密封件的至少一个图像之前，根据描述预定破裂点的物理结构的参数的预定义值，在密封件中产生预定破裂点，其中，预定义值被存储为参考参数值以与描述预定破裂点的物理结构的后确定的参数值进行比较。实际上，预定义值能够被存储在对所有产生的密封件的参考参数值进行保存的数据库中，并且该数据库能够通过数据网络访问。当参数值在多个产生的密封件之间变化时，预定破裂点的定制产生是特别有用的。

例如，参数值能够被伪随机化，从而尽可能好地避免参数值的重复性和可预测性。在这种情况下，关于预定破裂点的物理结构，每个密封件可以是唯一的。攻击者在检测之前不能确定被操纵的密封件是否成功。同时，验证尝试能够被设计为是可基于对特定参考参数值的访问来追踪的。

可替选的，参数值能够基于真实的(即随机的)随机性，例如，通过制造公差。例如，在将密封件应用于密封物体之后产生穿孔的上述情况中，由于制造和应用的公差，密封件本身可能在物体(产品或包装)上偏移。结果，预定破裂点相对于密封件上的标记的位置是随机的，并且预定破裂点相对于标记的随机位置能够被评估，并且用作预定破裂点的物理结构的参数。在产生预定破裂点之后，其值，例如到参考标记或边缘的距离的值将被存储为参考参数值。在这种情况下，穿孔本身的形状可能仅有很小的制造公差，这会使其不太适合用作随机参数。

产生可变或随机结构的预定破裂点的上述方法能够容易地用通常可用的激光刀创建的穿孔来实施。利用激光，能够精确而快速地产生穿孔，并且激光能够被配置为在每次穿过时产生不同的穿孔。以该方式根据预定义的规格产生断点时的优点是，在实际产生破裂点之前参考参数值是已知的。因此，参考参数值的注册不需要在产生破裂点之后的单独读出步骤。当然，上述方法不被认为是产生穿孔或通常产生预定破裂点的唯一方式。一般来说，本发明的方法也可以应用于当针对每次穿过穿孔的形状是固定的时，例如，当使用相同的刚性穿孔工具来产生穿孔时。定制的穿孔结构只是为了实现增加的安全性的、该方法的一种可能的变型。

因此，在本发明的范围内，还提供具有由密封件的至少一个穿孔形成的预定破裂点的防篡改密封件(例如由如上所讨论的(安全)标签或其一部分、封闭件、盖子或包装的区域/部分形成)，其中穿孔具有不规则形状。穿孔的形状是描述形成密封件的预定破裂点的穿孔的物理结构的参数。基于形状的不规则性，攻击者将难以重新组装破裂的密封件，并因此伪造密封件的完整性。尤其是当使用不规则的定制的形状时，产生具有相同(不可预测的)标识符和/或参数的伪造的密封件需要在能够产生假复制品之前至少访问(例如看见)和注册原始密封件。这显著地增加了所需的工作量。为了提供进一步改进的安全性，密封件可以包括VOID材料，例如能够从“Lintec图形膜有限公司”获得的“‘VOID’安全膜”。借助于VOID材料，当密封件破裂或被操纵时，密封件能够改变颜色或显露由密封件保护的产品或包装上的特殊图案或不可逆标记。基于这些效果之一，在至少一个捕获的图像中，将能够容易检测到密封件的修改，并且将意识到密封件已被破坏。

在一个优选实施例中，通过以下方式实现不规则性：预定破裂点由密封件的两个或更多个穿孔形成，其中，穿孔中的至少两个具有不同的物理尺寸，特别是不同的长度和/或宽度。

关于一批防篡改密封件，如果密封件各自具有由密封件的至少一个穿孔形成的预定破裂点，其中至少一个穿孔件相对于密封件的边界或相对于密封件上的标记的位置(或偏移)在该批的不同密封件之间变化，则是有利的。

由于其预定破裂点的存在和属性，防篡改密封件的上述特征被特别设计用于本方法中，因为该方法基于具有预定破裂点的密封件，并且当密封件具有上面限定的特定属性时提供改进的安全性(即防止篡改)。改进的安全性是组合效果，当使用本方法和本发明的密封件时实现该组合效果。由于该方法不限于具有不规则形状穿孔的密封件并且能够应用于如上解释的不同类型的预定破裂点的事实，不能否定用于确认密封件的完整性的方法与密封件本身之间的技术关系。

再次关于本方法，可替代利用预定义的结构参数值来产生破裂点，预定破裂点也能够以不受控制的随机方式来产生。在这种情况下，本方法还包括通过以下步骤来记录每个密封件的参考参数值：捕获密封件的至少一个参考图像；根据捕获的至少一个参考图像来确定描述密封件的物理结构的至少一个参考参数值；并存储确定的参考参数值。如上，参考参数值能够被存储在中央数据库中并在验证期间被访问。

不管参考参数值是预定义的还是单独记录的，为了允许快速且容易地访问参考参数值，参考参数值能够与密封件或密封物体的标识相关联并且存储在中央数据库中，在确认密封件的完整性之前，基于所述标识从中央数据库取出参考参数值。

相应地，每个密封件优选具有诸如序列号的标识特征。因此，保存每个密封件的参考参数值的数据库能够存储与标识特征的关联，使得在验证密封件时，能够基于该特征来查询参考参数值。

此外，基于标识特征，在验证密封件时，优选可以将每个所识别的密封件的检测到的完整性状态(即破裂的或完整的)存储在中心位置。然后能够使用与标识特征相关联的最后观察到的完整性状态的附加信息来检测密封件的未授权复制品，其中密封件仍然完好但实际上已经失去其保护功能，因为包括标识特征的整个密封件已经被(用复制品)取代。

如果标识特征是不可预测的或不可猜测的(例如数字签名的或加密的)，甚至能够进一步提高密封件的整体安全性。如果使用非定制的预定破裂点或与密封件的数量相比仅具有相对较小变化的参数，即增加的序列号可以共享相同的物理破裂点属性，则这是特别重要的。由于具有不可预测的标识符，很难想出或猜测看不见的密封件的复制品。

另外，能够使用标识特征和/或附加安全特征来认证密封件，即从伪造的或假的复制品来辨别真实的密封件。在该情况下，密封件的验证可以提供关于真实性(除了报告完整性之外)的附加信息给用户。在该情况下，密封件和本方法可用于确认破裂的密封件的真实性。基于诸如WO2013/188897A1或WO2015/079014A1中描述的已知方法，可以增强标识特征和/或安全特征的安全性。

如上所述，当穿孔具有大致不规则形状和/或针对每个防篡改密封件被个体化时，穿孔或一般上由穿孔形成的预定破裂点有效地用作数据载体或数据存储介质。特别是在根据预定义的参数值或一组预定义的参数值产生形状的情况下，预定破裂点本质上包括参数值的物理编码。换句话说，预定破裂点，特别是穿孔，能够用于携带代码。该代码可以，可选地与标识符(和/或附加信息)一起，使用公知的私钥/公钥程序进行数字签名和验证。

此外，在本发明的范围内提供了本发明范围内定义的系统，其优点与上述方法相对应，其中计算装置(例如包括处理器和存储器)被配置为确定和比较描述密封件中提供的预定破裂点的物理结构的参数值。优选地，计算装置被配置为当密封件被应用到所述物体时，根据捕获的至少一个图像，确定预定破裂点相对于密封件上或物体上的至少一个标记的位置。在进一步优选的实施例中，计算装置被配置为根据捕获的至少一个图像，确定描述密封件的穿孔的物理结构的至少一个参数值，特别是以下中的一个或更多个：穿孔的长度、穿孔的宽度以及穿孔相对于密封件的边缘或密封件上的标记的偏移或者嵌入在穿孔的结构中的代码、优选通过一系列长的和短的切口嵌入在穿孔的结构中的代码。优选地，图像捕获装置且可选地计算装置能够是移动设备(例如智能手机、平板电脑等)的部分，并且验证装置与移动设备分开，并且移动设备包括通信装置，该通信装置连接到计算装置并且被配置为经由数据网络建立到验证装置的连接，其中验证装置被配置为接收来自中央数据库的参考参数值。可替选的，验证装置可以是移动设备的一部分，并被配置为将来自中央数据库的参考参数值下载到移动设备。在又一替代方案中，计算装置可以与移动设备(例如服务侧)分开，其中可以通过上传，例如经由无线数据网络，将捕获的至少一个图像从捕获装置传输到计算装置。当移动设备的能力非常有限时(例如用功能型电话)，该最后的实施例能够是有利的。

最后，本发明还涉及一种计算机程序产品，其能够被直接加载到数字计算机的内部存储器中，并且包括用于当程序产品在计算机上运行时执行如上详细描述的方法的步骤的软件模块。

下面将借助于优选的示例性实施例并且参考附图更详细地限定本发明，然而，其并不限于该示例性实施例。详细地：

图1a和1b示意性地示出了用于确认或拒绝防篡改密封件的完整性的使用案例；

图2a和2b示意性地示出了能够通过本方法检测到的真实的密封件和伪造的密封件之间的差异；

图3示意性地示出了包括标识特征以及安全特征的包装形式的密封件；

图4示意性地示出了包括与图3不同类型的安全特征的包装形式的另一密封件；

图5a、5b和5c示意性地示出了由包括VOID材料的安全标签形成的防篡改密封件的不同状态；

图6示意性地示出了基于存储在中央数据库中的参考参数来注册和确认防篡改密封件的完整性的步骤；以及

图7示意性地示出了用于进行密封件完整性验证的系统的结构和计算机程序产品的结构。

图1a示出了由安全标签形成的防篡改密封件1。密封件1具有预定破裂点2。密封件1的预定破裂点2由穿孔3形成，穿孔3在安全标签的较长边缘之间穿过密封件1，有效地将密封件1分成第一部分4和第二部分5。在图1a中示出的密封状态下，第一部分4和第二部分5通过预定破裂点2连接并跨过预定破裂点2连接。密封的完整性能够使用移动设备6来确认，移动设备6包括作为捕获装置的光学传感器和照相机7。移动设备6捕获包括预定破裂点2的密封件1的区域的至少一个图像，并使用该至少一个捕获的图像来确认密封件1的完整性。特别地，移动设备检测穿孔的切口以及它们各自的长度和距离。然后将穿孔的物理结构的这些参数与预定的参考参数进行比较，该预定的参考参数包括切口数量以及它们各自的长度和距邻近切口的距离的可接受范围。如果确定的数量(在这种情况下为三个)、长度或距离在可接受范围内，则密封件的完整性由移动设备6确认。在图1b中示出的密封件的破裂状态下，第一部分4与第二部分5分离。在该破裂状态下，穿孔3由穿过密封件1的单个连续端对端切口8形成。因此，移动设备6从捕获的图像中检测单个切口8及其长度。因此，确定的参数在可接受范围之外(例如，预期多于一个的切口)并且不能确认密封件1的完整性。在没有确认的情况下，移动设备6的用户可以进行一次或多次重试以验证密封件的完整性。在一定次数(例如一次、两次、三次或更多次)的不成功的确认尝试(即，当确认已经被拒绝时)之后，将认为该密封件是破裂的。

在图2a中示出了真实的密封件9，并且在图2b中示出了伪造的或假的密封件10。真实的密封件9包括几个安全特征11、12、13。特别地，真实的密封件9包括序列号形式的标识特征11。序列号优选是独特的、不可猜测的/不可预知的数字和字母的组合，密封件的生产者能够使用其来追踪密封件的某些方面，诸如使用时间和使用位置。因此，可以根据序列号及其使用情况来确定密封件的合法性。如WO2013/18897A1中更详细描述的，真实密封件9还包括在密封件上的全息印章形式的光学可变设备(OVD)12。由于复制OVD相对困难，因此在密封件上使用OVD不利于复制，或者至少显著地增加必要的努力和成本。在图2a中，OVD仅形成密封件9的一小部分。当然，也可以产生OVD覆盖密封件的很大部分的密封件。最后，由于嵌入式代码，真实密封件9的预定破裂点13本身也用作安全特征，该嵌入式代码被编码在描述形成预定破裂点13的穿孔的物理结构的参数中。在该特定示例中，嵌入式代码与标识特征11相关联。例如，它可以是序列号的不对称加密表示。可替选地，嵌入式代码或嵌入式代码连同序列号可以被签名，并应用于密封件或密封对象或与密封件或密封对象相关联。

图2b中的假密封件10与真实的密封件9的不同之处在于安全特征中的一些没有被精确地复制。特别地，由伪造的OVD 14创建的图案不同于由真实的OVD 12创建的图案。另外，预定破裂点15的物理结构的不同之处在于，形成预定破裂点15的穿孔具有不同数量的切口，并且切口具有不同的长度和距离。尽管标识特征16显然已经被精确地复制，但其能够用于基于其使用的时间和位置来识别伪造的密封件(例如，当在美国市场上的产品上使用为欧洲市场保留的序列号时)。此外，用作标识特征的序列号将不再与其他安全特征相对应。在以上示例中，在穿孔对序列号的表示进行编码的情况下，由于穿孔的不同形状，解密后的表示将与伪造的密封件的序列号不匹配，并且伪造将被揭露。

在图3和4中，由包装17、18形成密封件1。由穿孔形成包装17、18中的预定破裂点19、20。在两个实施例中，包装17、18包括明显的安全标记20(如，可见水印或浮雕图像)的形式、由二维条形码或QR码(如，编码序列号或其他唯一标识符)或人类可读码22形成的标识特征21、22的形式的附加的安全特征，或隐形安全标记23(如，不可见水印或使用安全墨水施加的标记)形式的安全特征。

图5a、5b和5c示出包括VOID材料的防篡改密封件1的不同状态。密封件1具有凹口25形式的预定破裂点24并且能够通过序列号26来识别。在图5a中示出的有效密封状态下，密封件1是完整的并且密封件的完整性能够利用如结合移动设备27来确认。在图5a中示出的实施例中，描述预定破裂点24的物理结构的参数能够是凹口25的边缘长度和边缘之间的角度。由于尖端28周围的区域是密封件1中最脆弱的，因此更灵敏的参数是凹口25的尖端28的锐度。另一个可用的参数是凹口相对于密封件1的整体形状的位置或相对于序列号26的位置。如前所述，能够使用参数的任何组合来编码某些预定义的信息，这些信息进而可以链接到序列号。

当确认密封件1的完整性时，移动设备27还能够分析密封件表面关于颜色或二维标记的总体外观。如图5b和5c所示，能够基于由于VOID材料引起的密封件1的外观变化来检测通过剥离密封件1的篡改。在图5b中，在密封件的一个部分29中改变密封件表面的颜色，表示相应的部分29已经受到操纵，例如，已经尝试或进行使密封件1与密封产品或包装(未示出)分离。可替选地或附加地，如图5b和图5c所示，VOID材料可以导致密封件1或产品或包装的不可改变的标记30。

在另外的实施例中，可以在防篡改密封件1中提供多个预定破裂点。图6示出了捕获和注册描述密封件1的第一预定破裂点31的物理结构的参考参数的步骤。垂直虚线32将左侧的注册过程33与右侧的验证过程34分开。

注册过程33用来注册两个参数β、γ，这两个参数β、γ作为参考参数来描述预定破裂点31的物理结构。首先提供具有预定破裂点31的密封件1，该预定破裂点31具有随机参数。例如，可以以随机过程产生预定破裂点31，其中，形成第一预定破裂点31的穿孔的位置和形状由随机确定的参数控制。能够邻近标识特征36以凹口的形式提供第二预定破裂点35，使得当第二预定破裂点35断裂时，将损坏或改变标识特征36。注册设备37被配置为捕获密封件1的图像，特别是捕获标识特征36和第一预定破裂点31的结构。注册设备37从捕获的图像中导出序列号以及描述预定破裂点31的物理结构的两个参数β、γ的值。例如，一个参数β可以是形成预定破裂点31的穿孔的第一切口与密封件1的边缘的偏移，并且另一参数γ可以是形成预定破裂点31的穿孔的第一切口的长度。其他参数可以包括预定破裂点31与序列号36的垂直偏移、由预定破裂点31限定的线与密封件的连接边缘之间的角度等。可以通过将预定义形状的穿孔与捕获的图像进行匹配，或者通常通过应用于捕获的图像的图案识别方法，来确定参数β、γ的值。例如，一个参数β可以是形成预定破裂点31的穿孔与密封件1的边缘之间的距离，或者形成预定破裂点31的穿孔与形成第二预定破裂点35的凹口之间的距离。它也可以是穿孔的第一分开切口和前述的参考之间测量的距离。另一参数γ可以是穿孔的单个切口之间的比率或它们的宽度或穿孔的单个切口的宽度之间的比率。

当已经确定序列号和参数值β、γ时，上传步骤38中的注册设备37将包括序列号和参数值β、γ的消息39发送到中央数据库40。中央数据库40将接收到的序列号和接收到的参数值β、γ存储在相应的数据库表中。它进一步存储序列号与参数值β、γ之间的关系，使得能够在验证期间基于序列号来查询参数值β、γ。

验证过程34用来通过将存储在数据库40中的两个参考参数β、γ的值与由充当验证设备的移动设备41确定的相同参数的单独确定的值进行比较，来确认密封件1的完整性。移动设备41执行与结合注册设备37所描述的基本相同的捕获和处理步骤。特别地，移动设备41使用指向密封件1的光学传感器设备42来捕获密封件1的图像。从至少一个捕获的图像中，移动设备41确定序列号36和描述第一预定破裂点31的物理结构的参数的当前值β'、γ'。移动设备41在传输步骤43中将包括确定的序列号连同参数值β'、γ'的消息44传输到中央数据库41以进行验证。可替选地，参考参数值β、γ可以被下载到移动设备41以进行验证，但是存在潜在攻击者可能使用该信息来伪造密封件的缺点。在当前的使用情况下，密封件1是完全完整的。中央数据库40将接收到的参数值β'、γ'与参考参数值β、γ进行比较，并确定两个参数的匹配情况。因此，它执行确认步骤45并将确认消息46发送到移动设备41，该确认消息46能够作为确认通知47显示给移动设备41的用户，用信号通知经过验证的密封件1的完整性。

在图7中，本系统48的优选实施例的元件连同它们的连接一起被示出。用于确认根据图7的防篡改密封件1的完整性的系统48包括输入接口49(例如键盘或触摸显示器接口)和连接到输入接口49并且经由输入接口49控制的捕获装置50。捕获装置50还连接到计算装置51和验证装置52。在该示例中，捕获装置50被配置为根据由捕获装置50捕获的至少一个图像直接确定密封件1的序列号53，并将序列号传输到验证装置52。此外，计算装置51被配置为接收来自捕获装置50的至少一个图像的捕获的图像数据，并且确定描述密封件1的预定破裂点的物理结构的参数的值β'、γ'。计算装置51被配置为将确定的值β'、γ'传输到验证装置52。验证装置52连接到中央数据库40，并被配置为接收来自中央数据库40的参数的参考值β、γ，并将接收到的参考值β、γ与接收到的确定值β'、γ'进行比较。当验证设备52发现所比较的参数匹配时，即，优选地，所有比较的参数仅在可接受范围或误差内不同时，它确认密封件1的完整性，并传输确认消息到系统48的输出接口54。

系统优选通过移动设备和托管服务器来实现。移动设备包括输入接口49、输出接口54和捕捉装置50。托管服务器包括中央数据库40和验证装置52。根据从捕获的图像确定相关参数所需的计算工作量，验证装置52以及计算装置51能够是移动设备或托管服务器的一部分。这种配置的一个优点是参考参数值和/或参数提取算法不会暴露于托管服务器外部或者不可从托管服务器外部访问。因此，寻求伪造密封件的完整性的一方不能基于参考参数值再现密封状态，并且在重组工程计算和使用的参数方面具有显著较高的工作量。

上述实施例涉及由穿孔和凹口形成的预定破裂点，主要是因为这些类型的预定破裂点相对容易显示。然而，本发明的一般原理的确以相同的方式应用于较不明显类型的预定破裂点并具有类似的优点。为了改进检测，任何类型的预定破裂点能够伴随着密封件上的图形表示，其用作在确定描述预定破裂点的物理结构的参数时识别密封件的相关区域的指导。

Claims (14)

1.一种用于确认防篡改密封件(1)的完整性的方法，包括：

-捕获所述密封件(1)的至少一个图像；

-对捕获的所述至少一个图像执行边缘追踪，以对作为预定破裂点(2)的在所述密封件(1)中提供的穿孔(3)进行光学检测；

-根据捕获的所述至少一个图像，确定描述所述穿孔(3)的物理结构的至少一个参数的参数值(β'，γ')，所述至少一个参数包括以下的一个或更多个：边缘长度、边缘之间的角度、所述预定破裂点(2)的尖端的锐度、所述穿孔(3)的长度、所述穿孔(3)的宽度、所述穿孔(3)相对于所述密封件(1)的边缘的偏移或嵌入在所述穿孔的结构中的代码；

-将确定的参数值(β'，γ')与预定的参考参数值(β，γ)进行比较；

-当所比较的参数值(β'，β，γ'，γ)匹配时，确认所述密封件(1)的完整性。

2.根据权利要求1所述的方法，其特征在于，当所述密封件(1)被应用到物体上时，所述确定的参数值描述所述穿孔(3)相对于所述密封件(1)上或所述物体上的至少一个标记的位置。

3.根据权利要求1所述的方法，其特征在于，所述嵌入在所述穿孔的结构中的代码包括通过一系列的长的和短的切口嵌入所述穿孔的结构中的代码。

4.根据权利要求1所述的方法，其特征在于，在捕获所述密封件(1)的图像之前，根据描述所述预定破裂点(2)的物理结构的参数的预定义值，在所述密封件(1)中产生所述预定破裂点(2)，其中，所述预定义值被存储为用于与描述预定破裂点(2)的物理结构的确定的参数值(β'，γ')进行比较的参考参数值(β，γ)。

5.根据权利要求1所述的方法，其特征在于，通过以下步骤记录针对每个密封件(1)的参考参数值(β，γ)：

-捕获所述密封件(1)的至少一个参考图像；

-根据捕获的所述至少一个参考图像，确定描述所述密封件(1)的物理结构的至少一个参数的参考参数值(β，γ)；

-存储确定的参考参数值(β，γ)。

6.根据权利要求4或5所述的方法，其特征在于，参考参数值(β，γ)与所述密封件(1)或密封物体的标识相关联，并被存储在中央数据库(40)中，在确认所述密封件(1)的完整性之前，基于所述标识从该中央数据库(40)取出所述参考参数值(β，γ)。

7.一种用于确认防篡改密封件(1)的完整性的系统(48)，包括图像捕获装置(50)和连接到所述图像捕获装置(50)的计算装置(51)，其中，所述计算装置(51)被配置为接收来自所述图像捕获装置(50)的至少一个捕获的图像，对所述至少一个捕获的图像执行边缘追踪，以对作为预定破裂点(2)的在所述密封件(1)中提供的穿孔(3)进行光学检测，并且根据所述至少一个捕获的图像确定描述所述密封件(1)的穿孔(3)的物理结构的至少一个参数的参数值(β'，γ')，其中，所述至少一个参数包括以下的一个或更多个：边缘长度、边缘之间的角度、预定破裂点(2)的尖端的锐度、所述穿孔(3)的长度、所述穿孔(3)的宽度、所述穿孔(3)相对于所述密封件(1)的边缘或所述密封件(1)上的标记的偏移或者嵌入在所述穿孔的结构中的代码，所述系统(48)还包括验证装置(52)，所述验证装置(52)被配置为接收确定的所述至少一个参数值(β'，γ')并且将所述确定的参数值(β'，γ')与预定的参考参数值(β，γ)进行比较，并且当所比较的参数值(β'，β，γ'，γ)匹配时确认所述密封件(1)的完整性。

8.根据权利要求7所述的系统(48)，其特征在于，所述计算装置(51)被配置为当所述密封件(1)被应用到物体时，根据所述至少一个捕获的图像，确定所述预定破裂点(2)相对于所述密封件(1)上或所述物体上的至少一个标记的位置。

9.根据权利要求7所述的系统(48)，其特征在于，所述嵌入在所述穿孔的结构中的代码包括通过一系列长的和短的切口嵌入在所述穿孔的结构中的代码。

10.根据权利要求7所述的系统(48)，其特征在于，所述图像捕获装置(50)是移动设备(41)的部分，并且所述验证装置(52)与所述移动设备(41)分开，并且所述移动设备(41)包括通信装置，所述通信装置连接到所述计算装置(51)并且被配置为经由数据网络建立到所述验证装置(52)的连接，其中所述验证装置(52)被配置为接收来自中央数据库(40)的参考参数值(β，γ)。

11.根据权利要求10所述的系统(48)，其特征在于，所述计算装置(51)是移动设备(41)的部分。

12.一种包括计算机程序产品的计算机可读介质，所述计算机程序产品能够被直接加载到数字计算机的内部存储器中，并且包括当所述产品在计算机上运行时用于执行权利要求1至6之一所述的方法的步骤的软件模块。

13.一种防篡改密封件(1)，其具有由所述密封件(1)的至少一个穿孔(3)形成的预定破裂点(2)，其中，所述穿孔(3)具有不规则形状，其中，通过一系列长的和短的切口将代码嵌入在所述穿孔的结构中，其中，所述防篡改密封件(1)的完整性通过权利要求1-6中任一项所述的方法来确认。

14.一批防篡改密封件(1)，每个密封件具有由所述密封件(1)的至少一个穿孔(3)形成的预定破裂点(2)，其中，所述至少一个穿孔(3)相对于所述密封件(1)的边缘或相对于所述密封件(1)上的标记的位置，或者通过一系列长的和短的切口嵌入在穿孔的结构中的代码，在该批的不同密封件(1)之间变化，其中，所述防篡改密封件(1)的完整性通过权利要求1-6中任一项所述的方法来确认。

Images