CN108496376B

CN108496376B - 管理安全元件和服务器之间的连接的方法

Info

Publication number: CN108496376B
Application number: CN201680079535.XA
Authority: CN
Inventors: J-F·德布朗; D·赛加楼; E·爱尔翟
Original assignee: Admiral France
Current assignee: Admiral France
Priority date: 2015-12-18
Filing date: 2016-12-16
Publication date: 2021-07-06
Anticipated expiration: 2036-12-16
Also published as: KR20180096712A; CN108496376A; WO2017103542A1; US10764397B2; FR3046016B1; FR3046016A1; KR102521447B1; EP3391675A1; EP3391675B1; US20180375958A1

Abstract

一种管理安全元件和通信网络的服务器(30)之间的连接的方法，所述安全元件(20)被包括在主设备(10)中。所述方法包括以下步骤：‑确定(E300)两个连续连接时刻之间的理论时段，‑确定(E400)在所述安全元件和所述服务器之间的两个连续连接时刻之间的真实时段，‑比较(E500)所确定的所述理论时段和所确定的真实时段，以及如果所确定的理论时段不同于所确定的真实时段：‑确定新的理论时段。

Description

管理安全元件和服务器之间的连接的方法

技术领域

本发明涉及一种管理在通信网络的服务器和安全元件之间的连接的方法。

本发明具体涉及一种管理称作空中下载(over the air)连接或OTA连接的连接的方法。

背景技术

安全元件，比如芯片卡，被包括在主设备中。主设备例如是便携式电话、数字平板、或诸如电子计数器、交通工具、咖啡机之类的任何其它电子设备。

安全元件可以例如是在ETSI TS 102 221标准中描述的UICC(通用集成电路卡)类型的卡，并且组合传统的SIM(或USIM，全球用户识别模块)卡类型的芯片卡而且还有安全令牌或者例如在ETSI TS103 383中描述的eUICC(嵌入式通用集成电路卡)类型的卡。

安全元件还可以是已知为嵌入式安全芯片(Embedded Secure Element)的嵌入式安全元件(或eSE)。

安全元件集合所连接到的服务器构成通信网络的一部分，通信网络包括运营商的允许其订户的连接和连通性的设备集合。

当安全元件和服务器之间的连接被建立时，更新与安全元件或主设备相关的数据。

例如，在安全元件或主设备中存储的数据或安装的应用被用运营商提出的新数据、新功能或新服务所更新。

安全元件和服务器之间的连接可以由服务器或安全元件发起来实施。当由服务器发起(已知为推模式,push mode)实施该连接时，服务器向主设备发送消息，例如SMS类型消息，然后安全元件在连接设备中接收到SMS时发起与服务器的OTA连接。当由安全元件发起(已知为拉模式,pull mode)实施该连接时，安全元件透过主设备与服务器发起连接。

移动通信网络的新生代，例如LTE(长期演进，已知为4G网络)通信网络不一定使用SMS并且因此不能实施称为“推模式”的连接模式。在这样的通信网络中，安全元件和服务器之间的连接是由安全元件发起建立的。

连接时刻以及在两个连续的连接时刻之间过去的时段与每个安全元件相关联。

为了避免服务器饱和，到服务器的连接，例如在安全元件和服务器之间建立的OTA连接，的连接时刻，在时间上错开。为此，与安全元件相关联的连接时刻以及在两个连续的连接时刻之间的时段应该各自不同。

在两个连续的连接时刻之间的时段可以由安全元件和/或服务器确定并且随访问间隔(轮询间隔，polling interval)而变化，该访问间隔表示在主设备对安全元件的两次连续访问之间的时间间隔。所确定的该时段是理论时段。

特别地，两个连续的连接时刻之间的时段对应于数量一定数量的访问间隔。

访问间隔是主设备专有的，但是安全元件可以请求主设备以希望的值建立访问间隔。

然而，某些主设备不具有允许自己修改访问间隔的功能，或者不考虑来自安全元件的用于修改该值的请求，或者不遵守由安全元件要求的值并且不施加该值。

因此，由安全元件和/或由服务器确定的在两个连续的连接时刻之间的时段，或者理论时段，相对于在两个连续的连接时刻之间的真实时段存在偏差。

发明内容

本发明提出优化管理通信网络的服务器和安全元件之间的连接。

为此，根据第一方面，本发明提出一种管理安全元件和通信网络的服务器之间的连接的方法，安全元件被包括在主设备中，管理连接的所述方法包括以下步骤：

-根据参数集和与所述主设备相关联的理论访问间隔，来确定在安全元件和服务器之间的两个连续连接时刻之间的理论时段，

-确定在安全元件和服务器之间的两个连续连接时刻之间的真实时段，

-比较所述理论时段和所确定的真实时段，以及

如果所确定的理论时段不同于所确定的真实时段：

-修改参数集中的至少一个参数，以使得理论时段具有接近所确定的真实时段的值，并且

-考虑经修改的所述至少一个参数确定新的理论时段。

因此，通过修改至少一个参数的值，所确定的理论时段可以被修改以使得在安全元件和服务器之间的连续连接之中该理论时段类似于或者趋于更加接近真实时段。

因此，甚至在主设备不具有允许自己修改访问间隔的功能性或者不考虑来自安全元件的用于修改访问间隔的值的请求时，该理论时段也可以被调整。

根据一个特征，该方法包括使用所述参数集来确定参数n的值的步骤。

根据一个特征，确定所述理论时段包括把理论访问间隔与所确定的所述参数n的所述值相乘的步骤，所得结果是所述理论时段。

因此，理论时段等于理论访问间隔乘以所确定的参数n的值，参数n的值是根据参数集来确定的。

根据另一特征，确定真实时段的步骤包括由安全元件实施的对从主设备向安全元件的真实访问间隔的数量计数的计数步骤，真实时段等于在对与所确定的参数n的值相等的真实访问间隔的数量计数过程中过去的时间。

由于该计数步骤，安全元件从自己这一侧确定真实时段并且因此确定向服务器的连接时刻。该计数步骤实施用于对真实访问间隔的数量计数的计数器。当所计数的真实访问间隔的数量或计数器的值等于参数n的值时，真实时段过去并且安全元件建立与服务器的连接。

因此，连接时刻是通过在数量上等于参数n的值的访问间隔计数来确定的，在两个连续连接时刻之间过去的时段是通过重复一定次数的访问间隔表示的，所述次数是根据参数集来确定的。

根据一个特征，该方法包括由安全元件实施的发送步骤，在发送步骤中真实访问间隔的数量在所述主设备关闭或重新启动之前在计数步骤中达到的参数n的最新值被发送给服务器，所述发送步骤是在所述主设备发起与服务器的初始化阶段时实施的，所述初始化阶段是在所述主设备的启动或重新启动之后实施的。

因此，理论时段的确定考虑了参数n的值在其之前连接中的演变。

根据不同的实施方式，服务器可以考虑在主设备启动时接收的参数值或忽略它。

根据一个特征，参数集包括独特识别参数、第一参数和第二参数。

在两个连续连接时刻之间的时段的确定中使用第一参数和第二参数允许获得参数n的不同值，并因此获得用于同一安全元件的理论时段。

第一参数和第二参数的值在安全元件的制造过程中被存储在安全元件中并且随后在安全元件的使用期间修改。

根据一个特征，在启动或重新启动阶段和初始化阶段之后，所述方法包括在第一连接时刻建立第一连接，所述第一连接时刻具有被包括在第一预定时刻和第二预定时刻之间的值。

因此，第一参数和第二参数被确定为使得参数n的值是如下值：第一连接时刻被包括在最小时刻和最大时刻之间。

此外，服务器知道在其中安全元件应该被连接的间隔。

因此，改进了在安全元件和服务器之间的连接中的安全性。这对于由安全元件建立的到服务器的第一连接是特别有利的。

根据一个特征，该方法包括由服务器实施的基于所述真实时段和所确定的参数n的值来确定与主设备关联的真实访问间隔的确定步骤。

因此，在安全元件建立两个连续的到服务器的连接之后，服务器知道真实时段和参数n的值，并且能够因此确定真实访问间隔。

根据一个实施方式，所述修改步骤是由服务器实施的，所述方法还包括由服务器实施的发送步骤，在该发送步骤中经修改的所述至少一个参数被发送给所述安全元件，确定新的理论时段的所述步骤是由所述安全元件使用接收到的经修改的所述至少一个参数来实施的。

在该实施方式中，服务器修改参数集中的至少一个参数并且将其发送给安全元件。参数n的值被安全元件根据参数集来确定。

根据另一实施方式，修改步骤和新理论时段的确定步骤是由所述服务器实施的，所述方法还包括由服务器实施的发送步骤，在该发送步骤中所确定的所述新理论时段被发送给安全元件。

因此，根据该实施方式，理论时段是由服务器根据修改的参数集来确定的。所确定的理论时段然后被发送给安全元件，从而安全元件考虑所确定的该新时段来用于到服务器的下一个连接。

根据一个特征，管理连接的该方法包括创建包括以下项的数据结构：与安全元件集合相关的数据，与安全元件集合相关的所述数据用于集合中的每个安全元件；所确定的所述理论时段；所确定的所述真实时段；所确定的理论访问间隔；所确定的真实访问间隔；以及在计数步骤中计数的访问间隔的数量。

因此，所确定的真实和理论时段、针对每个安全元件所确定的理论访问间隔和真实访问间隔、以及针对每个安全元件而计数的访问间隔的数量被存储在数据结构中。该数据结构因此收集用于集合中的每个安全元件的所确定的最后时段(真实和理论)和所确定的最后访问间隔(真实和理论)，以及在主设备关闭或重新启动之前计数的访问间隔的数量。

数据结构还包括：安全元件的独特标识参数或标识号，主设备的简档(终端简档)，访问间隔的计数器值，以及所确定的第一时刻和所确定的第二时刻。

根据一个特征，所述数据结构被存储在服务器中，并且是在一个数据被确定或接收时被更新的。

因此，服务器和安全元件使用更新的连接时段和访问间隔的值。

根据第二方面，本发明涉及一种通信网络的服务器，包括与安全元件的集合连接的连接装置，每个安全元件被包括在主设备中，所述服务器针对每个安全元件包括：

-根据参数集和与主设备相关联的理论访问间隔，来确定在所述安全元件和所述服务器之间的两个连续连接时刻之间的理论时段的装置，

-确定在所述安全元件和所述服务器之间的两个连续连接时刻之间的真实时段的装置，

-比较所确定的所述理论时段和所确定的真实时段的装置，

-如果所确定的理论时段不同于所确定的真实时段，则修改所述参数集中的至少一个参数以使得所述理论时段具有接近所确定的真实时段的值的装置，并且

-考虑经修改的所述至少一个参数确定新的理论时段的装置。

根据一个特征，该服务器还包括使用所述参数集来确定参数n的值的装置。

根据一个特征，该服务器包括确定所述理论时段的装置，该装置包括把所述理论访问间隔与所确定的参数n的值相乘的装置，所述相乘的装置的实施的结果是所述理论时段。

根据一个特征，该服务器包括接收在主设备关闭或重新启动之前由安全元件中对真实访问间隔的数量计数的计数装置达到的参数n的最新值的装置，所述参数n的所述最新值是由安全元件在主设备发起与服务器的初始化阶段时发送的，所述初始化阶段是在所述主设备的启动或重新启动之后实施的。

根据另一个特征，服务器包括确定第一参数和第二参数以使得第一连接时刻具有包括于第一预定时刻和第二预定时刻之间的值的确定装置。

根据另一特征，服务器包括基于真实时段和所确定的参数n的值来确定与所述主设备相关联的真实访问间隔的确定装置。

根据一个特征，服务器包括发送装置，该发送装置被配置为向安全元件发送经修改的参数集中的至少一个参数。

根据另一特征，发送装置还被配置为向所述安全元件发送所确定的所述新的理论时段。

根据一个特征，服务器包括创建装置，该创建装置创建包括以下项的数据结构：与安全元件集合相关的数据，与安全元件集合相关的所述数据用于集合中的每个安全元件；所确定的理论时段；所确定的真实时段；理论访问间隔；所确定的真实访问间隔；以及在计数步骤中计数的访问间隔的数量。

根据另一特征，服务器包括存储所述数据结构的存储装置以及在数据库中的至少一个数据被确定时更新所述数据结构的更新装置。

此外，服务器还包括针对每个安全元件根据与该安全元件相关联的独特识别参数来确定到服务器的连接时刻的确定装置。

根据一个特征，服务器包括被配置为修改在预定时刻的所述第一参数的值和所述第二参数的值的修改装置。

因此，所确定的连接时刻可以被针对同一安全元件修改。例如，如前所述，连接时刻可以因此在安全元件和服务器之间的每个连接之后被修改，并且可以难以被第三方设备推导。

在集合中的安全元件和服务器之间的连接的安全性因此被进一步改进。

在主设备不遵守来自安全元件的通过访问间隔的修改要求请求(被本领域技术人员已知为积极命令“轮询间隔”)发送的访问间隔值(轮询间隔值)的情况下，由服务器修改第一参数和第二参数是特别有利的。在该情况下，服务器修改第一和第二参数以使得所确定的连接时刻与主设备的特性并与服务器的期待相适配。

根据第三方面，本发明还涉及一种安全元件，该安全元件包括管理与通信网络的服务器的连接的装置，其特征在于该安全元件还包括：

-使用参数集来确定参数n的值的装置，所述参数集包括与所述安全元件相关联的独特识别参数、第一参数和第二参数；

-确定在到服务器的两个连续连接时刻之间的真实时段的装置；以及

-在连接时刻与服务器建立连接的装置。

例如，该安全元件可以是UICC类型的安全元件或者嵌入式UICC(eUICC)类型的安全元件或者嵌入式安全元件(eSE)。

根据一个特征，确定所述真实时段的装置包括对从主设备向安全元件的真实访问间隔的数量计数的计数装置，真实时段等于在对与由确定装置确定的参数n的值相等的真实访问间隔的数量计数的过程中过去的时间。

根据第四方面，本发明涉及一种主设备，包括按照本发明的安全元件。

在实施方式中，主设备是移动通信终端。

安全元件、服务器以及主设备具有与前面结合管理连接的方法描述的特征和优点类似的特征和优点。

在特别实施方式中，前述方法的不同步骤是通过计算机程序的指令确定的。

因此，本发明还针对在计算机介质上的计算机程序，该计算机程序能够由微处理器实施，该计算机程序包括指令，所述指令适于实施如前所述的方法的步骤。

该程序可以使用任何编程语言，并且呈现为以下形式：源代码，目标代码，或者在源代码和目标代码之间的中间代码，比如呈现为部分编译的形式或者呈现为任何其他希望的形式。

本发明还针对一种微处理器可读的计算机介质，并且包括如前所述的计算机程序的指令。

计算机介质可以是能够存储程序的任何实体或设备。例如，介质可以包括存储装置，比如ROM，例如微电路的ROM，或者包括磁记录装置，例如硬盘，或者闪存。

另一方面，计算机介质可以是可传输载体，比如电信号或光信号，其可以经由电缆或光缆通过射频或其他手段发送。根据本发明的程序可以特别地在Internet类型的网络的存储平台上加载。

替代地，计算机介质可以是其中含有程序的集成电路，该电路适于执行或用于所关注的方法。

所描述的计算机介质和计算机程序具有与其所实施的方法类似的特征和优点。

本发明的其它特征和优点在以下描述中更清楚。

附图说明

在以示例方式而非限制性给出的附图中：

－图1示意性示出在其中实施根据本发明的实施方式的环境；

－图2示意性示出根据本发明的实施方式的包括安全元件的主设备；

－图3示出其中示出随时间的连接的示意图；以及

－图4示意性地示出根据本发明的实施方式的管理在安全元件和服务器之间的连接的方法的步骤。

具体实施方式

图1示出主设备10的集合，每个主设备包括安全元件20。

当然，每个主设备10可以包括不同数量的安全元件20。

主设备10例如是便携式电话、数字平板或诸如电子计数器、交通工具、咖啡机之类的任何其它电子设备。

主设备的该集合可以包括不同类型的安全元件，也就是说，其可以包括例如便携式电话的子集、平板的子集、以及其它电子设备的其它子集。

安全元件20例如是通用集成电路卡UICC，或者嵌入式通用集成电路卡eUICC，或者eSE类型的安全元件。

该集合的安全元件20可以与通信网络300通信，通信网络300包括运营商的允许其订户的连接和连通性的一组设备。

特别地，运营商的该组设备包括服务器30，集合的安全元件20与服务器30通信并且与安全元件20或主设备10有关的数据是基于服务器30被更新的。

图2示意地示出根据本发明的实施方式的包括安全元件20的主设备10。

主设备10包括通信总线100，上面连接有：

－处理单元11，在图上命名为CPU(中央处理单元)并且可以包括一个或多个处理器；

－非易失性存储器12，例如ROM(只读存储器)、EEPROM(电可擦除只读存储器)、或者闪速存储器；

－易失性存储器13或RAM(随机存取存储器)；

－输入/输出接口14，在图上称为I/O(输入输出)，例如屏幕、键盘、鼠标或允许用户经由图形界面与系统交互的其它指点设备，比如触摸屏或遥控器；以及

－通信接口15，在图上称为COM，适于经由网络或读写接口与例如服务器交换数据。

安全元件20包括通信总线200，上面连接有：

－处理单元21或微处理器，在图上称为CPU(中央处理单元)；

－非易失性存储器22，例如ROM(只读存储器)、EEPROM(电可擦除只读存储器)、或者闪速存储器；

－易失性存储器23或RAM(随机存取存储器)；以及

－通信接口24，在图上称为COM，适于与主设备10的处理器11交换数据。

易失性存储器23包括寄存器，适于记录在执行包括用于实施根据本发明的方法的指令的计算机程序的过程中创建和修改的变量和参数。非易失性存储器22中存储的程序的指令代码被加载到RAM存储器23中以便被处理单元CPU 21执行。

非易失性存储器22例如是EEPROM类型或闪存类型的可录入存储器，其可以构成本发明意义上的介质，也就是说，可以包括含有用于实施根据本发明的方法的指令的计算机程序。

图3示出其中从安全元件20到服务器30的连接时刻被表示的时间线。

该图示出连接时刻，t₁、t₂、…t_n，特别是第一连接时刻t₁和第二连接时刻t₂，连接时刻t₁、t₂对应于在集合中的安全元件20和服务器30之间建立的两个连续连接。

在两个连续连接或两个连接时刻t₁、t₂之间过去的时间对应于在该文献中称为连接时段T的真实时段。

当主设备10被启动并且其启动和初始化阶段被实施时，主设备10周期性地访问安全元件20。例如，在访问时，主设备10向安全元件20发送命令(“状态”命令)。因此，安全元件20周期性地接收来自主设备10的“状态”命令。

在主设备10发出的两次连续“状态”命令之间过去的时间对应于访问间隔t_acc(称为轮询间隔)。

访问间隔t_acc与主设备10相关联，并且其值根据主设备而变化。因此，主设备10可以关于该值而被表征。

一般地，访问间隔t_acc具有30秒的值，也就是说，在从主设备10到安全元件20的两次访问之间，或者在从主设备10向安全元件20发送两次状态命令之间过去30秒。

访问间隔t_acc可以被记录在安全元件20中，例如在其制造时记录。

如图3所示，在主设备10要开始发送其状态命令的时刻(在其启动和初始化阶段之后，在图3上由0表示的时刻)与第一连接时刻t₁之间存在访问间隔t_acc的确定数量。在时刻0和第一连接时刻t₁之间过去的时间表示称作T₁的时段。注意到在时刻0和第一连接时刻t₁之间存在访问间隔t_acc的确定数量，在该例子中数量是九个访问间隔。

此外，在第一连接时刻t₁和第二连接时刻t₂之间存在确定数量的访问间隔t_acc。在第一连接时刻t₁和第二连接时刻t₂之间过去的时间表示称为T₁’的时段。因此，时段T₁’包括确定数量的访问间隔t_acc。在所示例子中，在两个连续连接时刻t₁和t₂之间过去的真实时段或者连接时段T₁’包括五个访问间隔t_acc。

因此，访问间隔t_acc表示主设备10对安全元件20的两次连续访问之间过去的时间。

在图3所示的实施例中，时刻t_acc1和t_acc2分别表示主设备10对安全元件20的第一次访问和第二次访问。

在某些主设备10中，相关联的访问间隔t_acc的值可以在其包括的安全元件20的请求下修改。

为使访问间隔t_acc能被修改，主设备10应该支持允许修改访问间隔t_acc的值的功能。

当安全元件20希望修改并且提议修改访问间隔t_acc的值时，其向主设备10发送命令，例如“访问间隔”类型(轮询间隔，poll interval)的积极命令。

注意到积极命令对应于由安全元件向包含安全元件的主设备发出的命令。

如果主设备10支持允许修改访问间隔t_acc的值的功能，则其通过向安全元件发出称为“终端响应命令”的命令来回应安全元件，在该命令中包括由主设备10支持的访问间隔的最大值。

注意到访问间隔t_acc的值仅在主设备支持允许该修改的功能的情况下被修改。

在某些情况下，当主设备不修改访问间隔的值时，主设备将此通知安全设备并且安全设备依次将此通知给服务器。

如前所述，注意到在两个连续连接时刻之间的真实时段或者连接时段对于集合中的每个安全元件20是不同的。该时段或者连接时段是根据与安全元件20相关联的独特标识参数ICCID但不限于该参数来确定的。

如图3所示，连接时段T或者在两个连续连接时刻t₁和t₂之间的时段表示相当于重复一定次数访问间隔t_acc的时间。

因此，在两个连续连接时刻t₁和t₂之间的时段随与主设备10相关联的访问间隔的值而变化。

因此，在两个连续连接时刻t₁和t₂之间的时段或者连接时段T在一个实施方式中是由以下公式确定的：

T＝n×t_acc

其中t_acc对应于与包含安全元件20的主设备10关联的访问间隔，n这个参数表示在两个连接时刻t₁和t₂之间的时段或连接时段T中访问间隔t_acc重复的次数。

在连接时段T中访问间隔t_acc重复的次数对应于参数n的值。参数n是根据与安全元件20相关联的独特标识参数ICCID、以及两个参数来确定的，所述两个参数是第一参数V和第二参数I。

因此，在一个实施方式中，参数值n是通过函数F确定的，函数F把独特标识参数ICCID、第一参数V和第二参数I作为输入。

因此，n＝F(ICCID,V,I)

参数值ICCID、V和I在制造安全元件20时被存储在安全元件20中。随后，第一参数V和第二参数I在现场激活并布置安全元件之后使用安全元件的过程中变化并且被更新。

特别地，第一参数V的值在从安全元件20到服务器30的每次连接之后递增。第二参数I的值可被服务器30修改。当第二参数I的值被服务器30修改时，就使得第三方设备更加难以推导连接时刻，因此使在安全元件和服务器之间的连接更加安全。

这些参数可以用于安全元件20确定连接时段T，而无需来自服务器30的任何动作。

在一个实施方式中，F(ICCID,V,I)采用如下形式：

F(ICCID,V,I)＝常数1+(hash(ICCID,V,I))×MODULO常数2其中，常数1、常数2表示持续时间，MODULO是求模运算，函数F的结果因此是时间。

作为非限制性示例，常数1表示季节值而常数2表示一天。安全元件因此在以与季节加上在0和1天之间随机的持续时间相对应的持续时间分隔开的连接时刻建立与服务器的连接。

当然，常数1和常数2的值可以与前面例子不同。

在确定参数n之后，访问间隔t_acc被乘以所确定的值，该乘法的结果是在两个连续的连接时刻t₁和t₂之间的时段或连接时段T。

在确定了连接时段T之后，根据所确定的连接时段T来确定各连接时刻，如图3所示的第一连接时刻t₁和第二连接时刻t₂。

安全元件20在每个所确定的连接时刻建立与服务器30的连接。

因此，在两个连续的连接时刻t₁和t₂之间的时段随参数集和与主设备10相关联的访问间隔t_acc而变化，该参数集包括独特标识参数ICCID、第一参数V和第二参数I。

注意到安全元件20和服务器30通过使用访问间隔t_acc的理论值来确定连接时刻和在两个理论连接时刻t₁和t₂之间的时段。

不过，如上所述，具有安全元件20的主设备10的访问间隔的真实值不对应于由安全元件20请求的值，所请求的该值是在两个连续的连接时刻t₁和t₂之间的理论时段的计算中所使用的值。

因此，存在真实访问间隔和理论访问间隔，并且因此，存在在两个连续的连接时刻之间的理论时段和真实时段。

根据一个实施方式，在安全元件20中，启动计数器被配置为对两个连续的连接时刻t₁和t₂之间的时段和连接时段T中存在的访问间隔t_acc的数量进行计数，并因此确定到服务器30的连接时刻。

当计数了与所确定的参数n的值相等的访问间隔t_acc的数量时，安全元件20在所确定的时刻建立与服务器30的连接。

如上所述，当从主设备10对安全元件20进行访问时，例如在时刻t_acc1，由主设备10向安全元件20发送“状态”命令。

因此，在所描述的实施方式中，启动计数器对由主设备10对安全元件20发送的“状态”命令的数量进行计数，这对应于对真实的访问间隔t_acc的数量计数。

如后面将描述那样，根据一个实施方式，启动计数器在接收每个状态命令时递增。

根据另一个实施方式，启动计数器在所确定的参数n的值处初始化，启动计数器在接收到每个状态命令时递减。

图4示出根据实施方式的管理在通信网络300的服务器30和安全元件20之间的连接的方法的步骤。

当包括安全元件20的主设备10启动时，实施初始化过程E1。

在该初始化过程期间，安全元件20经由主设备10(在可能延时之后，向服务器30)发送消息，该消息向服务器30指示安全元件20可操作并且刚激活，该消息包括参数。因此，安全元件20向主设备10发送包括这些参数的命令E10。

注意到安全元件可以在启动(通电，power on)之后在连接到服务器30之前等待一个延迟。该延迟是使用函数F(ICCID,V,I)以及使用访问间隔(轮询间隔)的值确定的，该函数F(ICCID,V,I)允许获得参数n的值。

为了确定安全元件20向服务器30的第一连接时刻t₁，第一参数V和第二参数I的值使得第一连接时刻t1的值被包括在预定的第一时刻和预定的第二时刻之间。

第一参数和第二参数(V,I)的值在制造安全元件时被记录在安全元件中，并且被用于在安全元件首次运行时确定安全元件向服务器的任何第一连接时刻。类似地，预定的第一时刻和预定的第二时刻在制造安全元件时被记录在安全元件中。

因此，根据一个实施方式，管理连接的方法包括在第一连接时刻建立第一连接，第一连接时刻的值被包括在预定的第一时刻和预定的第二时刻之间。该确定步骤是在启动或重新启动阶段或和初始化步骤之后实施的。

初始化期间由安全元件经由命令E10发送的参数包括例如：与安全元件20关联的独特标识参数ICCID以及主设备10的简档，该简档是在主设备的启动之后并且在初始化序列期间由主设备预先发送到安全元件的。简档是指主设备10支持的特性(通常表示为终端简档,terminal profile)。

主设备10向服务器30发送消息E11，从而传递通过命令E10从安全元件20接收的信息。服务器30用消息E12向主设备10确认接收，并且主设备10经由命令E13向安全元件20发送接收确认。

初始化过程特别允许向服务器30登记主设备10的简档或终端简档。注意到ICCID预先在服务器中标注出处以用于在网络中的认证方面。因此，由于与简档同时发送安全元件20的ICCID，因此建立了在主设备10的简档和主设备包含的安全元件20之间的对应关系。

因此，在初始化过程结束后，安全元件20和主设备10就在服务器30中登记了。

随后，安全元件20实施发送独特识别参数ICCID的发送步骤E2。在该发送步骤E2过程中，安全元件20向主设备10发送命令E20。主设备10然后通过消息E21向服务器30传递命令E20的信息。服务器30随后向主设备10发送接收确认E22，主设备10依次经由命令E23向安全元件20发送接收确认。

除了独特识别参数ICCID之外，在发送步骤E2中，安全元件20还(通过主设备10)向服务器发送在所述主设备10关闭或重新启动之前在对访问间隔的真实数量计数的计数步骤达到的参数n的最新值。

如上所述，该方法包括确定在安全元件20和服务器30之间的两个连续的连接时刻t₁和t₂之间的真实时间的确定步骤。

在服务器30侧，该确定步骤是在服务器30从安全元件20接收到两个连续的连接之后实施的。

在安全元件20侧，该真实时段的确定步骤包括对从主设备10向安全元件20的访问间隔t_acc的真实数量计数的计数步骤，真实时段等于在访问间隔t_acc的真实数量等于所确定的参数n的值时过去的时间。

参数n的值的确定是通过使用参数集实施的，参数集包括独特标识参数ICCID、第一参数V和第二参数I。

注意到命令E20、E21、E22和E23的发送是可选的，该发送仅根据某些实施方式而被实施。

在一个实施方式中，该方法包括创建E40包括以下项的数据结构：与安全元件20的集合有关的数据，所述与安全元件20的集合有关的数据用于该集合中的每个安全元件20；所确定的理论时段；所确定的真实时段；所确定的理论访问间隔；所确定的真实访问间隔；以及在计数步骤中计数的访问间隔的数量。

根据一个实施方式，数据结构存储在服务器30中，并且在确定至少一个数据时被更新。

数据结构还包括：安全元件20的独特识别参数，主设备10的简档(终端简档)，预定的第一时刻和预定的第二时刻(安全元件在被包括于这两个预定时刻之间的时刻建立到服务器的第一连接)，以及启动计数值。因此可以建立了在由安全元件的独特识别参数ICCID引用的安全元件和安全元件所位于的主设备的参数的特性或者安全元件自己的特性之间的关联性。类似地，还可以建立在给定主设备和该类主设备的参数的特性之间的关联性。

数据结构还包括所确定的参数n的值。参数n的该值是在确定参数的值的每个确定步骤E100更新的。

此外，在安全元件的首次运行时，在初始化阶段E1之后确定的参数n的值被存储在数据结构中。参数n的该第一值可以然后被服务器用在运行模式中。

在所示的实施方式中，安全元件20请求主设备10修改访问间隔t_acc。因此安全元件20向主设备10发送命令Et_acc(轮询间隔类型的积极命令)，并且主设备10用发送ER命令(终端响应命令)对安全元件20进行回应。

“轮询间隔”的这些请求和修改步骤是本领域技术人员已知的并因此不在此处详述。

注意到在某些主设备10中，访问间隔t_acc可以在安全元件20的请求下修改。不过，在其它主设备10中，访问间隔是不能被修改的并且/或者来自安全元件的修改请求不被主设备考虑。

在主设备10被启动之后，主设备10将周期性地向安全元件20发送“状态”命令E30、E30’、和E30”。

在该实施方式中，在计数步骤中启动计数器达到由主设备10向安全元件20发送的“状态”命令的确定数量之后，安全元件20通过主设备10发起与服务器30的连接。

根据一个实施方式，启动计数器可以被递增并且当它达到参数n的值时，安全元件20通过主设备10发起与服务器30的连接，例如OTA连接。

根据另一个实施方式，启动计数器可以被初始化为参数n的值，并且然后在每次接收到“状态”命令时启动计数器递减。在启动计数器具有零值(参数n的值因此不被计数)之后，安全元件20通过主设备10发起与服务器30的连接。该连接例如是OTA连接。

为此，安全元件20向主设备10发出连接命令E31，主设备10然后向服务器30发送连接消息E32。

服务器30这侧包括确定参数n的确定装置，参数n的值是所述独特识别参数ICCID、第一参数V和第二参数I的函数。

服务器30还包括确定安全元件20与服务器30的连续理论连接时刻的装置。所述理论连接时刻是通过用与包含所述安全元件20的主设备30相关联的理论访问间隔乘以所确定的参数n的值来确定的，所述理论访问间隔表示在从所述主设备10向所述安全元件20的两次连续访问之间过去的理论时间。

而且，作为非限制性示例，理论访问间隔的值可以是30秒。

因此，服务器30根据参数集和与主设备10相关联的理论访问间隔来实施在安全元件20和服务器30之间的两个连续连接时刻t₁和t₂之间的理论时段的确定步骤E300。

所述理论时段的该确定步骤E300包括用所述理论访问间隔乘以所确定的参数n的所述值的乘法步骤，结果是所述理论时段T。在某些实施方式中，在确定连接时刻t₁、t₂、…、t_n中考虑由服务器接收到的计数器的值。

在其他实施方式中，服务器30使用参数ICCID、V、I的集合实施确定参数n的值的确定步骤E100。

在一个实施方式中，在预定义的时刻修改第一参数V和第二参数I的值。

例如，参数V、I的值是由服务器在安全元件20和服务器30之间的每次连接时修改的。实施安全元件20和服务器30之间的连接的时刻因此对应于预定义的时刻。

而且，在安全元件20和服务器30之间的连接建立之后，服务器30可以经由消息E33向主设备10发送新的参数V、I。主设备10然后依次经由针对安全元件20的命令E34传送经修改的参数V、I。

在命令E34被安全元件20接收之后，安全元件20根据独特识别参数ICCID、经修改的第一参数V和第二参数I来确定参数n的值。然后，安全元件20通过实施所确定的参数n的值的计数步骤来确定新的连接时段。

然后安全元件20把启动计数器的值重新初始化为所确定的参数n的值，并且重新计算从主设备10接收的“状态”命令E30、E30’、和E30”的数量。在计数了与参数n的值相等的“状态”命令E30、E30’、和E30”的数量之后，安全元件20发起与服务器30的新的连接。

因此，安全元件20向主设备10发送新的连接命令E31’，并且主设备10经由消息E32’向服务器30传送连接命令。服务器30然后可以向主设备20发送包括第一参数V和第二参数I的更新的消息E33’。主设备10然后向安全元件20经由命令E34’传送更新的参数V、I。

安全元件20然后使用独特识别参数ICCID以及更新的第一参数V和第二参数I确定参数n的值，以便确定新的连接时段T1’。

注意到从第一参数V和第二参数I被服务器30更新起连接时段T1、T1’可以相同或不同。当然，如果参数V、I中的至少一个当被服务器更新时被用与之前不同的值修改，则连接时段T1’不同于连接时段T1。相反，如果参数V、I中的任何一个当被服务器更新时未被修改，或者被修改但是用于之前相同的值修改，则连接时段T1’与连接时段T1相等。

至于访问间隔t_acc，其在两个连续连接之间不被修改。

如上所示，第一参数V和第二参数I的周期性更新加强了在安全元件20和服务器30之间的连接中的安全性，这是因为与安全元件20相关联的连接时段T1、T1’难以被第三方设备预测。

在服务器30接收到来自安全元件20的在连续连接时刻t₁、t₂的两个连接之后，其能够实施确定在安全元件20和服务器30之间的两个连续的连接时刻之间的真实时段的确定步骤E400。

该方法然后包括由所述服务器30实施的确定与所述主设备10相关联的所述真实访问间隔的确定步骤。

在一个实施方式中，基于所述真实时段和所确定的参数n的所述值来确定真实访问间隔。

然后，服务器30实施比较所确定的理论时段与所确定的真实时段的比较步骤E500。

如果所确定的理论时段与所确定的真实时段不同，则服务器实施修改参数集中的至少一个参数以使得理论时段具有接近所确定的真实时段的值的修改步骤E600。在参数被修改之后，实施考虑经修改的所述至少一个参数来确定新的理论时段的确定步骤E300。

根据所示的实施方式，修改步骤E600被服务器30实施。该方法因此包括由服务器实施的发送步骤E33’，其中，经修改的参数V、I、ICCID的集合的所述至少一个参数V、I被发送给安全元件20，从而安全元件使用接收的经修改的所述至少一个参数V、I来实施参数n的值的确定步骤E100。安全元件20然后使用所确定的参数n的值来确定新的理论时段。

根据(未示出)的另一实施方式，修改步骤和新的理论时段的确定步骤被所述服务器30实施。该方法还包括由服务器30实施的发送步骤，其中所确定的新的理论时段被发送到安全元件20。

Claims

1.一种管理安全元件和通信网络的服务器(30)之间的连接的方法，所述安全元件被包括在主设备(10)中，管理连接的所述方法的特征在于包括以下步骤：

-根据参数集和从所述主设备向所述安全元件的理论访问间隔，来确定(E300)在所述安全元件和所述服务器之间的两个连续连接时刻之间的理论时段，

-确定(E400)在所述安全元件和所述服务器之间的两个连续连接时刻之间的真实时段，

-比较(E500)所确定的所述理论时段和所确定的真实时段，以及

如果所确定的理论时段不同于所确定的真实时段：

-修改(E600)所述参数集中的至少一个参数，以使得所述理论时段具有接近所确定的真实时段的值，并且

-考虑经修改的所述至少一个参数确定新的理论时段。

2.按照权利要求1所述的方法，其特征在于，该方法包括使用所述参数集来确定(E100)参数n的值的步骤，参数n表示到服务器(30)的两个连接时刻t₁,t₂之间在真实时段或理论时段中的访问间隔t_acc的数量。

3.按照权利要求2所述的方法，其特征在于，确定(E300)所述理论时段包括把所述理论访问间隔与所确定的参数n的值相乘的步骤，所得结果是所述理论时段T。

4.按照权利要求2所述的方法，其特征在于，确定所述真实时段的所述步骤包括由所述安全元件(20)实施的对从主设备(10)向安全元件(20)的真实访问间隔t_acc的数量计数的计数步骤，真实时段等于在对与所确定的参数n的值相等的真实访问间隔t_acc的数量计数过程中过去的时间。

5.按照权利要求4所述的方法，其特征在于，该方法包括由安全元件(20)实施的在所述主设备关闭或重新启动之前获得在计数步骤中达到的所述参数n的最新值的获得步骤，以及由安全元件(20)实施的将所述参数n的最新值发送给服务器的发送步骤(E20)，所述发送步骤(E20)是在所述主设备(10)发起与服务器(30)的初始化阶段(E1)时实施的，所述初始化阶段(E1)是在所述主设备的启动或重新启动之后实施的。

6.按照权利要求1至5之一所述的管理连接的方法，其特征在于，所述参数集包括独特识别参数、第一参数和第二参数。

7.按照权利要求6所述的管理连接的方法，其特征在于，在启动或重新启动阶段和初始化阶段(E1)之后，所述方法包括在第一连接时刻建立第一连接，第一连接时刻具有被包括在第一预定时刻和第二预定时刻之间的值。

8.按照权利要求4或5所述的管理连接的方法，其特征在于，该方法包括由所述服务器实施的基于所述真实时段和所确定的参数n的值来确定与所述主设备关联的所述真实访问间隔的确定步骤。

9.按照权利要求1至5之一所述的方法，其特征在于，所述修改步骤是由服务器实施的，所述方法还包括由服务器(30)实施的发送步骤(E33’)，在该发送步骤(E33’)中参数集的经修改的至少一个参数被发送给所述安全元件，确定新的理论时段的所述步骤是由所述安全元件(20)使用接收到的经修改的所述至少一个参数来实施的。

10.按照权利要求2至5之一所述的方法，其特征在于，所述修改步骤(E600)和参数n的值的所述确定步骤(E100)是由所述服务器(30)实施的，所述方法还包括由服务器实施的发送步骤，在该发送步骤中所确定的参数n的值被发送给所述安全元件。

11.按照权利要求4或5所述的管理连接的方法，其特征在于，该方法包括创建(E40)包括以下项的数据结构：与安全元件集合相关的数据，与所述安全元件集合相关的所述数据用于集合中的每个安全元件；所确定的所述理论时段；所确定的所述真实时段；所确定的理论访问间隔；所确定的真实访问间隔；以及在计数步骤中计数的访问间隔的数量。

12.按照权利要求11所述的管理连接的方法，其特征在于，所述数据结构被存储在所述服务器中，并且是在至少一个数据被确定或接收时被更新的。

13.一种通信网络的服务器，包括与安全元件(20)的集合连接的连接装置，每个安全元件被包括在主设备中，所述服务器的特征在于对于每个安全元件(20)包括：

-根据参数集和从所述主设备向所述安全元件的理论访问间隔，来确定在所述安全元件和所述服务器之间的两个连续连接时刻之间的理论时段的装置，

-比较所确定的所述理论时段和所确定的真实时段的装置，

-考虑经修改的所述至少一个参数确定新的理论时段的装置。

14.按照权利要求13所述的服务器，其特征在于，该服务器还包括使用所述参数集来确定参数n的值的装置，所述参数集包括独特识别参数、第一参数和第二参数，并且参数n表示到服务器(30)的两个连接时刻t₁,t₂之间在真实时段或理论时段中的访问间隔t_acc的数量。

15.按照权利要求14所述的服务器，其特征在于，确定所述理论时段的所述装置包括把所述理论访问间隔与所确定的参数n的值相乘的装置，所述相乘的装置的实施的结果是所述理论时段T。

16.按照权利要求14所述的服务器，其特征在于，包括确定所述第一参数和所述第二参数以使得第一连接时刻处于包括于第一预定时刻和第二预定时刻之间的值范围中的确定装置。

17.按照权利要求16所述的服务器，其特征在于，包括基于所述真实时段和所确定的所述参数n的值来确定与所述主设备相关联的所述真实访问间隔的确定装置。

18.按照权利要求13至16之一所述的服务器，其特征在于，包括发送装置，该发送装置被配置为向所述安全元件发送经修改的参数集中的所述至少一个参数。

19.按照权利要求18所述的服务器，其特征在于，所述发送装置还被配置为向所述安全元件发送所确定的所述新的理论时段。

20.按照权利要求16或17所述的服务器，其特征在于，包括创建装置，该创建装置创建包括以下项的数据结构：与安全元件集合相关的数据，与所述安全元件集合相关的所述数据用于集合中的每个安全元件；所确定的所述理论时段；所确定的所述真实时段；理论访问间隔；所确定的真实访问间隔；以及在计数步骤中计数的访问间隔的数量。

21.一种安全元件，能够被包括在主设备中，所述安全元件包括管理与通信网络(300)的服务器(30)的连接的装置，其特征在于该安全元件还包括：

-使用参数集来确定参数n的值的装置，所述参数集包括与所述安全元件(20)相关联的独特识别参数、第一参数和第二参数，参数n表示到服务器(30)的两个连接时刻t₁,t₂之间的时段中的访问间隔t_acc的数量；

-确定在到服务器(30)的两个连续连接时刻t₁,t₂之间的真实时段的装置；以及

-在连接时刻t₁,t₂,…,t_n与服务器(30)建立连接的装置。

22.按照权利要求21所述的安全元件，其特征在于，确定所述真实时段的所述装置包括对从主设备向安全元件的真实访问间隔t_acc的数量计数的计数装置，真实时段等于在对与由确定装置确定的参数n的值相等的真实访问间隔t_acc的数量计数的过程中过去的时间。

23.按照权利要求21或22所述的安全元件，其特征在于，该安全元件是UICC类型的安全元件或者eUICC类型的安全元件或者嵌入式安全元件eSE。

24.一种主设备，其特征在于，包括按照权利要求21至23之一所述的安全元件。

25.一种微处理器可读的计算机介质，包括用于实施根据权利要求1至12之一所述的方法的计算机程序的指令。