CN110443595A

CN110443595A - 用于执行安全数据交换的方法和系统

Info

Publication number: CN110443595A
Application number: CN201811308240.2A
Authority: CN
Inventors: 布鲁诺·桑格勒费列雷
Original assignee: Malbof Committee And Institute
Current assignee: Malbof Committee And Institute
Priority date: 2018-05-02
Filing date: 2018-11-05
Publication date: 2019-11-12
Also published as: CA3042106A1; US10643198B2; FR3080934A1; KR20190126730A; US20190340596A1; JP2019194858A; FR3080934B1

Abstract

本发明涉及用于执行安全数据交换的方法和系统，特别是涉及用于在系统内执行至少一个安全交换的方法，该系统包括第一电子设备和第二电子设备、双重读取器以及至少一个服务器，其中，双重读取器包括用于连接到各个电子设备的部件并且优选地包括人机接口，与交换相关的信息被传送至至少一个服务器，该方法包括步骤：a)使用双重读取器的接口或连接到双重读取器的外部装置将与要在所述第一电子设备和所述第二电子设备之间执行的交换有关的信息项输入至双重读取器；b)使用双重读取器在第一电子设备中注册与交换有关的信息项；c)在第二电子设备中，特别是使用双重读取器，注册与交换有关的信息项，并且默认取消交换；d)将与交换有关的数据传输至服务器。

Description

用于执行安全数据交换的方法和系统

技术领域

本发明涉及用于执行安全数据交换的方法和系统。

背景技术

现今，支付卡被极其广泛用于进行安全支付。在非接触式通信的情况下，可以使用将卡插入其中的读取器或使卡接近的读取器来借记或贷记与卡相关联的银行账户。通常，该读取器在交易期间必须与远程服务器通信，因此如果没有可用的网络，则有时会阻止交易。

此外，目前，当必须从与支付卡相关联的账户借记一定数额的资金以供另一个人的账户使用时，所述另一个人为了能够使用他的支付卡接收到的金额，往往必须等待相应的金额被有效地转移。

因此，在没有网络的情况下以及在人们希望能够快速再用接收到的资金的许多情况下，鼓励现金支付，而现金支付则具有与携带现金相关的弊端，特别是具有假币或丢失货币的风险。

发明内容

需要改正全部或部分弊端，并且更普遍地，找到用于促进金融交易的新手段，并且更普遍地，安全地传输链接到任何计算机文件的至少一个寄存器或独立寄存器中注册的该任何计算机文件或任何金额。

本发明旨在满足这种需要并且根据其各方面中的一个方面通过用于在系统内执行至少一个安全交换的方法来实现，所述系统包括第一电子设备和第二电子设备、以及双重读取器、以及至少一个服务器，其中，双重读取器包括用于连接到各个电子设备的部件并且优选地包括人-机接口，与所述交换有关的信息能够被传送至所述至少一个服务器，该方法包括以下步骤：

a)可以使用所述双重读取器建立到所述第一电子设备的第一安全连接；

b)可以使用所述双重读取器建立到所述第二电子设备的第二安全连接；

c)使用双重读取器的接口或连接到双重读取器的外部装置将与要在所述第一电子设备和所述第二电子设备之间执行的交换有关的信息项输入至所述双重读取器；

d)使用所述双重读取器在所述第一电子设备中注册与所述交换有关的信息项；

e)特别地，使用所述双重读取器在所述第二电子设备中注册与所述交换有关的信息项，并且默认取消所述交换；

f)特别地，使用读取器可以在所述第一电子设备中确认与所述交换有关的信息项；

g)将与所述交换有关的数据发送至所述服务器。

“交换”应理解为指的是在两个设备之间转移或复制在所述设备的一个或多个寄存器中注册的计算机文件或一笔或多笔金额，然后这种转移可以是部分或全部。该交换不仅可以对应于文档的交换或转移，而且也可以对应于支付或任何其它金融交易或非金融交易。

优选地存在多个服务器。在下文中，当存在多个服务器时，也可以应用针对一个服务器描述的内容。

所述方法优选地包括步骤a)和/或步骤b)。所述第一电子设备和/或第二电子设备可以向读取器传送信息，特别是该信息与所述设备中记录的所述文档的清单有关的信息，使得所述读取器能够将它们合并到菜单中。

可以省略步骤a)和步骤b)，特别是如果读取器独立于电子设备知晓待转移的文件的列表和金额，例如，如果系统被限制为转移某些类型的文件或金额，或者如果用户能够推断所述文件或金额存在于电子设备上。

如果在步骤e)中无法进行注册，则双重读取器会检测到这一点，例如，双重读取器已经等待了系统中参数化的时间(诸如1分钟)，而没有呈现给第二电子设备。然后双重读取器会取消交易，如果第一电子设备连接到双重读取器或者再次靠近双重读取器，或者如果此后，在第一双重读取器直接或间接地将取消信息项传输到服务器之后，通过另一双重读取器和服务器，第二电子设备与服务器同步，则交易步骤将发送到第一电子设备。除了将其它电子设备用作信息载体之外，双重读取器还可以在其它电子设备上注册取消信息项而不影响其它电子设备，当以后使用它们时，能够将该取消信息项发送至服务器。因此，在第一电子设备上注册的有效性以在第二电子设备上与交换有关的信息项的注册为条件；在第二电子设备上注册之后，可以通过双重读取器、或者随后通过服务器、且然后通过另一双重读取器，将第一电子设备上注册的有效性传送至第一电子设备。

所述方法优选地包括步骤f)。

如果在第一电子设备是表示寄存器中注册的文件、或部分或全部金额的某一总金额的接收者时，省略步骤f)，则所述第一电子设备在随后连接到同一双重读取器时、或者所述第一电子设备通过连接到服务器或连接到同一双重读取器或其它双重读取器，会贷记所述文件或所述总金额。最后，如果将第一电子设备插入至双重读取器，则可以自动执行步骤a)、步骤d)以及步骤f)，而不需要人工干预。

步骤g)可以仅在交易之后发生，例如在交易之后不到5分钟之内或在交易之后的更长时间。

如果在交易之后没有发生步骤g)，则可以通过双重读取器将与交换有关的信息传送至服务器，此后双重读取器会与第二电子设备进行通信，或者如果已经发生了步骤f)，则双重读取器与第一电子设备和第二电子设备通信，或者双重读取器与从第一电子设备借记的金额所产生的文件或另一总额随后将被转移到的电子设备通信。

“双重读取器”应理解为指的是能够实现本发明并且因此可以同时和/或依次与根据本发明的两个电子设备执行交换的读取器。

无论安全交换是金融交易还是简单文件的传输，凭借根据本发明的双重读取器，在交易时不必连接到远程服务器，从而使交易更容易同时允许安全交易。

交易

“交易”应理解为指的是链接到电子文件的寄存器或独立的寄存器中注册的金额产生的所述电子文件或一个或多个总额的传输。

交易可以包括通过服务器或通过连接到读取器的另一电子设备从一个电子设备到另一电子设备的转移，包括：删除从作为转移总额来源的电子设备转移的文件、调整从作为转移总额来源的电子设备所转移的金额；或者简单地传送文件或链接到该文件或者独立的金额，供双重读取器参考；文件或金额仍保留在电子设备上(该文件或金额在开始时就存在于该电子设备上)，并且该电子设备与第二电子设备的通信的可以只有一个目的，即允许第二电子设备获得相应的信息。

在验证的情况下(诸如身份证明、折扣卡、或运输通行证)，文件或金额可以表现为若干项或者在某些情况下要呈现的文档。在这种情况下，在交易结束时，可以在电子设备上保留或不保留该文件以进行另一验证。文件也可以是具有或不具有有效期限的文档(诸如折扣优惠券、滑雪缆车或其它设备或设施的访问通行证、音频或视频记录、书籍或其它例如借用的、出借的或购买的东西)。

文件或金额还可以是保密信息项，例如，与可能需要或可能不需要解密单个文件所需的PIN或密钥的网站或用户许可相关联的登录名和密码、或者生物鉴别认证文件(诸如指纹扫描)、由与读取器相关联并放置在人体内部或外部的医疗传感器所进行的物理测量的读数、由于一些商品用途(诸如电、水或气体)的读取器相关联的传感器所进行的物理测量的读数、由与车辆的状态(诸如车辆的尺寸、位置、速度)的读取器相关联的传感器所进行的以及例如待安全地发送到另一车辆的物理测量的读数、电子密钥或需要生物鉴别认证或需要输入代码(诸如密码)的备忘录，以便解密或转移。读取器可以包含一些功能以使用包含一些加密密钥的文件来验证使用这种加密密钥的一些电子签名或者加密文档或解密文档。连接到PC屏幕的这种读取器可以基于作为电子设备上的文档放置的加密密钥来解密或验证待由该显示屏显示的一些文件的签名，连接到键盘的读取器可以在通过互联网将在该读取器上键入的一些文本发送到屏幕上之前和之后对这些文本进行加密或签名。文件或金额也可以是货币，但本发明还涵盖交换持票人的股票、交换CO₂排放权或交换任何类型的奖励项或处罚项(例如，在考试中、在比赛期间获得的分数，或官方文档的某些属性(诸如驾驶执照分数))。

文件还可以被标记为被限制为不被读取器显示或者不被复制到连接到读取器的任一设备上，或者被标记为具有在时间或数量上受限制的这种动作从而允许例如安全存储用户信息，系统根据法律要求存储信息但不允许将这种信息转移出或大量转移出。

文件可以被标记为具有可以设置允许的副本数量的“允许副本”并且还可以被标记为是否允许副本的副本以及允许的该副本的深度。副本是指系统内制作的文件的副本。这种副本可以被标记为可以达到特定深度的副本、或副本的副本，且这种副本具有用该特定深度重新编码的副本的深度。这将允许例如复制官方文档(诸如身份证)并将其副本转移到另一安全设备。当这些文件被标记为此类文件并且附加到这些文件的数量等于文件上允许的最大数量时，这些文件是可编辑的。该功能将允许例如自动创建收据、或者自动创建随后可以从系统的安全功能中受益(例如不能在系统内复制或者不能在系统外显示)用于文件的普通存储容量。

这些文件可以一起关联成一个组，使得一个文件的转移只能通过与之关联的其它文件的转移来处理。在这种情况下，如果该转移会使得与这些文件相关联的数量对于此类文件所属的可转移的所有文件组来说太小，则其它设备的读取器可以不允许来自组的文件成员的设备的转移。该功能将例如允许由用户来准备文件组，使得用户可以快速地将文件组转移到另一设备。组中文件的加入还可以被标记为“强(Strong)”，使得如果两个文件被标记为允许移除并且如果移除发生在加入组的文件所在的同一设备上，则只能从该组中移除强加入到特定设备上的该组中的文件。加入该组的第一个文件还可以被设置为不能离开该组，使得加入以此文件开头的组的任一文件将链接到该第一个文件且不被指定到后续可以加入该组的任一文件。该功能将例如允许一些文档的签名，其中，例如用户将其ID的副本添加到包含他想要签注的文档的组中，而不允许其它用户来移除其ID的副本。

进一步的功能可以允许密封这种文件组，通过移除文件组的一些元素来移除被拆开的文件组的能力，即使在文件从设备加入组的该设备上。例如可以通过将加入到组的第一个文件标记为“可密封”来实现此功能，并允许被标记为可密封的该文件所在的设备的用户来密封该文件成为其中一部分的文件组，不允许这种文件组丢失其中一些成员，或者不允许这种文件组最终能够获得新成员。该功能例如将允许安全地保持对文档的签注，该文档已得到已经同意、潜在不可逆地将它们的ID副本放在包含该文档的文件组上的个人的签注。一些文件可以被标记为不能被密封到一个组中，或者被标记为无论该组发生什么都不被允许离开该组，从而例如如果代表资金的文件永久地附加到组，则允许该代表资金的文件能够自由交换。附加到密封组的文件还可以用于防止这种文件组的转移，除非从密封组中包含的模板派生文件、或者放置在密封组内的文档副本的原件存在于待转移到的设备上。这将允许例如将一些文档的移动或分发限制到例如具有有效会员卡的设备。

各个电子设备都与由双重读取器外部的一个或多个服务器管理的账户相关联。

服务器(一个或多个)不仅记录与账户关联的所有交易，而且还记录电子设备的寄存器中注册的文件和金额。这些交易在交易时或随后报告给服务器。分配文件或金额的操作由服务器来确认，并且一旦服务器知晓与转移到包含“初始”文件或金额的电子设备的文件或金额关联的所有交易，服务器就将这些交易注册到服务器上，由服务器在其它交易之后对这些交易本身进行预先注册和确认，或者由被授权可以这样做的外部应用程序对这些交易本身进行修改；这使得可以首先确保每笔交易仅对账户进行一次借记或贷记，且其次，如果交易对应于转移而非咨询，则任何金额的账户贷记都可以通过另一账户借记所述金额来补偿。例如，如果电子设备A将文件或金额传输到电子设备B，电子设备B又将该文件或金额传输到电子设备C，则在所述服务器被通知这两笔交易(从A到B以及从B到C(链))之前，所述服务器不会确认电子设备C上注册的文件的存在或金额的值。当承载最后一笔交易的电子设备被同步时实现信息处理，在最后一笔交易期间在电子设备上注册中间交易。还可以通过系统外部的并授权执行该操作的计算机系统的干预来更新文件或金额。例如，可以将发行折扣卡的公司的计算机系统连接到所述服务器，以便将与其的折扣卡之一相对应的文件存入在电子设备的账户上。当服务器连接到该电子设备时，所述服务器通过本身连接到所述服务器的双重读取器将该文件传送到所述电子设备。

交易可以受到某些限制，例如取决于转移的性质，因此，可以限制金额以便在预定义的值的范围内变化，并且可以在适用的情况下通过预定义的增量变化。通常，货币账户的余额将随增量的变化而变化，增量为百分之一单位的倍数，最小值为0且最大值为设定值。因此，双重读取器可以执行从其它电子设备的寄存器到第一电子设备的寄存器中注册的金额的转移、或者执行将第一电子设备的寄存器中注册的金额转移到其它电子设备的寄存器，同时确保在每次转移结束时，针对所述第一电子设备的寄存器和所述其它电子设备的寄存器的每个初始值(增加接收到的金额或扣除发送的金额的值)，在转移时遵照双重读取器中存在的某些规则，这些规则特别可以是保持高于或等于零且低于最大值的那些规则。该系统可以被设计成将金额与任何文件相关联，否则该文件可以与任何金额无关，为金额分配增量1，最小值为零且最大值为1；因此，系统可以允许传输文件，同时使用为转移金额而设计的确认程序来确保所述文件仅在该系统的一个电子设备上随时出现。

优选地通过以下事实确保电子设备上构成交易主体的文件或金额的真实性：一旦文件或金额被转移到另一电子设备，该文件或金额在该电子设备上就可以变得不可用，或者一旦如果交易是部分的，在将转移的总额(该转移的总额为从第一电子设备的金额转移到第二电子设备的总额)添加到第二电子设备的寄存器中注册的金额之前或同时，从第一电子设备的金额减去该转移的总额；此外，可以安装验证，使得转移的总额不大于在第一电子设备的寄存器中最初注册的金额。

例如，可以确保转移的主体由带值的虚拟票据形成，该虚拟票据经过系统的总金额对应于银行账户中的余额。文件可以表示虚拟货币，并且金额可以表示该票据的值。可以对这些虚拟票据执行交易。发行这些虚拟票据的银行账户的持有者可以通过其外部应用程序授权系统，以与特定总额的信用额度相对的相同的总额来增加与电子设备的文件相关联的金额，但在所述银行账户中的实际货币中，由电子设备的持有者以与特定总额的信用额度相对的相同的总额来增加与电子设备的文件相关联的金额；并且相比之下，银行账户的持有者将向第三人的银行账户贷记而减消与第三人持有的电子设备上注册的所述虚拟票据相关联的金额的借记。为了将一笔资金从第一电子设备转移到第二电子设备，用户可以将与存在于他的电子设备上的虚拟票据相关联的全部或部分金额、和与该虚拟票据相关联的计算机文件一起转移到第二电子设备(如果所述文件还没有在第二电子设备上)。优选地，仅当要借记的金额已经由服务器确认时，虚拟票据的发行者才会贷记入第三人的银行账户。

同一个电子设备可以被配置为执行同时以及附条件地涉及不同文件和金额的交易。例如，电子设备的文件和金额存储了设备上可用的多个运输票据，而另一文件和另一金额则存储了该设备上可用的一笔资金。

文件和金额(电子文件和/或注册在寄存器中的相关金额)可以通过服务器来自外部第三方应用程序并更新，该外部第三方应用程序例如属于发行文件或注册金额的公司(诸如运输通行证卖方或银行)。

发行者可以向其发行的文件或金额分配允许与其它银行发行的虚拟票据具有某种可互换性的信息；然后，双重读取器被授权显示与相同货币相关联的金额的总额并接收关于该货币的整体转移指令，使得用户不必提及链接到虚拟票据的发行银行，双重读取器负责将每笔整体转移分解为与被借记的电子设备上存在的各种虚拟票据相对应的多个转移。

经由双重读取器在两个电子设备之间的交易可以在不连接远程服务器的情况下进行。然而，特别地，可以确保与执行操作和/或验证的服务器立即同步，以在交易期间将双重读取器连接到服务器。在这种情况下，可以将双重读取器连接到蜂窝数据网络(诸如3G)、或连接到与因特网连接的外部装置(例如微计算机、电话或专用终端)。为了执行与外部第三方应用程序的交易，因此，用户可以使用连接到双重读取器的外部装置，并且凭借该外部装置用户能够选择链接到其希望交互的双重读取器的两个电子设备中的一个电子设备，并且还能够选择用户希望发送或接收的文件和/或合理金额。

在每笔交易之前，可以计算“可用”金额等于记录金额加上贷记交易并减去先前的借记交易，并且可以拒绝旨在从该账户借记超过该可用余额的任何交易。还可以计算“绝对可用”的金额，其对应于从该相同的金额减去先前的借记交易的金额。该计算的金额可以被称为确定的，因为它没有考虑尚未由服务器确认的贷记交易。

双重读取器可以通过将交易记录在各个借记或贷记的电子设备上来生成交易，并在适用的情况下，将作为转移的主体的文件复制到贷记的设备(如果该文件还不存在于贷记的设备上)。

用于执行金额转移的双重读取器可以将该转移分解为与下列内容相关联的子转移：

●电子设备上存在的金额；

●或者，写入电子设备的以及来自先前的交易的贷记；

同时，对于每笔借记的子元素(金额或先前的交易)，验证借记总额不超过绝对可用金额，或者对于先前的交易，初始贷记交易的总额减去过去可以与之相关的借记交易的总额。

可以提供旨在限制交易的功能，例如，对金额或转移金额施加最大限制。

一旦各个服务器经由互联网连接到电子设备足够长的时间，就可以将电子设备上注册的交易、文件和金额经由因特网传送到服务器。

双重读取器可以用作中继器，用于通知服务器列出源自与其进行通信的电子设备的交易但不必生成所述交易。

在将电子设备连接到服务器期间或之后，服务器可以以一次性方式确认交易并计算该电子设备的新文件和金额，以及确认：

–在下次连接设备时可以删除的交易列表；

–在更新余额时必须添加或必须删除的交易列表；

–由其它电子设备和读取器报告给服务器的、但在该考虑中的电子设备上尚未出现的交易列表，特别是如果交易已经在电子设备上创建了借记，但相应的贷记交易尚未被传送送到贷记的设备，例如，如果用户在操作期间的最后时刻忽略了将他的卡放置在读取器旁边，或者如果与卡上标明的未知对应方的借记交易不能够被包括对应方的标识符的同一交易替换。

对于设备的新连接或在同一连接期间，如果这类连接持续足够长时间，则可以执行链接到上述这些列表中的各个列表的动作，并且还可以执行文件和金额的可行更新。

系统可以被配置为在必要时，使得对某些交易、某些金额和文件的更新是同时的。例如，如果更新涉及将表示添加1的交易合并到一个金额中，则在包含该金额的寄存器中增加1的同时，会从设备中删除该交易。

电子设备

根据本发明的电子设备优选地与现有的支付终端兼容。

优选地，电子设备采用信用卡的标准格式(如标准ISO 7810所定义的)。作为变型，电子设备可以是移动电话或能够插入移动电话的SIM卡。

当电子设备是卡的形式时，该设备有利地具有配备有连接器的芯片，该连接器允许将该设备插入双重读取器并与之通信。

电子设备还可以配备有用于通过非接触式链路(例如，RFID系统)与双重读取器通信的系统。

电子设备可以包含受保护的私钥和存储器(例如，使用设备的私钥加密的闪存)、以及可以包含处理器。包含私钥的存储器优选地是物理保护的，使得物理地访问该存储器会导致该存储器包含的信息在被从该存储器提取之前被破坏。设备的持有者不再能够使用该存储器，并且必须联系中央服务器的操作员，如果该操作员能够识别该电子设备并且具有适合于使用该系统的适当程序，则可以从服务器中恢复存在于电子设备上的文件和金额，并将该文件和金额放置到新的电子设备上。

电子设备可以包括电源，例如，电池、感应系统或电容器、超级电容器或蓄电池，当将该电源连接到读取器或其它设备时被再充电。所述设备还可以包括一些传感器(例如温度传感器、压力传感器、定位传感器)并且可以具有创建将使用这些传感器的一些文档的能力。

电子设备可以具有允许与远程服务器直接单向或双向通信的接口，例如，通过使用低能耗无线网络(诸如BLE(Bluetooth Low Energy，蓝牙低功耗)、Sigfox、Lora、4G LTE等)。当服务器可用时，可以使用与服务器的这种通信来加速电子设备和服务器之间的数据的同步。

电子设备可以被配置为执行以下操作中的全部或部分：

–在与读取器进行任何通信之前，验证所述读取器是被授权读取器的一部分；

–仅接收电子设备作为预期收件方的加密信息；

–对读取器或服务器的任何传出的信息项进行加密和签名。

记录在电子设备上的信息可以是以下信息中的全部或部分：

●计算机文件和金额的副本；

●尚未被服务器(一个或多个)验证的最新交易的日志；

●由设备与其它电子设备执行的交易列表，这些交易尚未被记录在远程服务器(一个或多个)上，允许服务器将设备上的每笔交易链接到另一电子设备的金额或文件，即使这些交易还没有传送到服务器；

●PIN码，可以在电子设备被插入到双重读取器或电子设备以另一方式与读取器通信时用于授权交易；

●电子设备的识别码；

●电子设备的、在该电子设备外部不可用的私钥；

●双重读取器和服务器的公钥列表，以及与每个单个服务器或双重读取器相关联的潜在的唯一私钥，使用该私钥可以与这种服务器或双重读取器通信并且用于通过这种服务器或双重读取器来识别自身。

还可以在电子设备内记录用于每个文件和金额、或文件的类型和金额的类型的最小值、最大值、授权增量，以及还可以记录用于约束其传输的合理规则。

双重读取器

双重读取器，也可以被称为“读取器”，被配置为建立与根据本发明的电子设备的安全连接，以便执行交易。因此，双重读取器具有与这些电子设备通信的部件。

该连接可以涉及各个电子设备和双重读取器之间的物理接触。作为变型，该连接可以经由无线链路(特别是NFC类型的无线链路)进行无接触地连接。双重读取器可以被配置为能够通过由计算机连接来链接的两个双重读取器允许与不同位置的电子设备进行安全交换。然后可以将这种类型的使用限制在以下情形中，在该情形中，电子设备中的一者有所有者，在第二电子设备进行交易之前，该所有者的身份会显示给第二电子设备的持有者。

双重读取器可以选择由为此目的而设计的计算机、电话、或电子系统来控制。如果计算机或电话执行例如收银机、ATM或火车票卖方的功能，则这可以是特别有用的。双重读取器可以包括一些传感器，这些传感器的读数用于创建文档。双重读取器还可以连接到一些外围设备，这些外围设备例如可以是：传感器，该传感器的读数在创建文档时使用，或者生物识别设备，该生物识别设备的读数可以用于为读取器进行生物鉴别认证。双重读取器可以包括一些自动生成文档并且将文档放置在与其连接到的电子设备中的一者上的能力，这种自动生成的文档例如可以是物理测量(诸如是例如位置、温度或液体内分子浓度的测量)。双重读取器还可以合并电子设备中的一者，当关闭“双重读取器”的功能时，所合并的电子设备的功能能够保持运行。

在本发明的一个示例性实现方式中，电子设备中的一者是插入到与双重读取器对应的读卡器中的卡；与其它电子设备(也可以是卡)的连接可以无接触地进行，而第一张卡被保持在读取器中。因此，在该示例中，第一连接是基于接触的，并且第二连接是非接触式的。

双重读取器可以被配置为：当两个电子设备通过接触方式或非接触方式连接到双重读取器时，允许与两个电子设备同时交换信息。

作为变型，信息的交换是异步的，并且双重读取器被配置为一次仅与单个电子设备交换信息；在这种情况下，对电子设备进行依次连接，以便执行交易。

双重读取器可以被配置为连接到外部服务器，同时在两个电子设备之间执行交易、或者在这种交易之外执行交易。

双重读取器可以采用支付终端的形式(诸如现今所使用的在商店中使用银行卡进行支付的那些支付终端)，或者采用具有键盘的读取器的形式，该读取器类似于用于授权与银行接口的连接但允许输入与交换相关的信息的个人读卡器。双重读取器可以具有基于接触的读卡器、和非接触式读卡器(特别是NFC类型的读卡器)。

双重读卡器可以具有允许其经由3G、4G、5G或Wi-Fi网络(在适用的情况下，经由计算机或电话)连接到计算机网络(例如因特网)的接口。双重读取器的人-机接口可以包括键盘，优选地具有按钮以及至少一个屏幕；然后，系统可以分别显示用于第一电子设备和第二电子设备的承载者的两条消息。

作为变型，双重读取器的人-机接口包括语音接口。双重读取器的接口还可以包括用于识别电子设备的持有者的部件(诸如输入PIN码的选项或生物识别系统)，在考虑识别所述持有者并由所述电子设备承载的文档之后，该部件可以确认电子设备及其持有人的凭证。

双重读取器的人-机接口可以：

–确认与插入到读取器或以另一方式连接到读取器的电子设备的连接；

–可以选择要转移的文件或金额；

–可以输入与交易有关的金额，例如，要转移的一笔资金，并指示这是否涉及针对相应的电子设备的发送或接收；

–可以分别为两个电子设备的各个用户背对背地显示信息；

–允许用户显示其电子设备的余额和/或与文件相关或不相关的一个或多个金额；

–允许更改PIN码；

–如果针对文件经过授权，则可以允许更改文件的内容；

–可以允许创建文件和相关金额。

人-机接口可以使得在确认交易之前可以显示与转移相关的一个或多个金额；与交易相关的文件也可以被显示或读取，特别是如果文件是音频文件或视频文件；用户的指令还可以被显示或读取。

在适用的情况下，将人-机接口设置在另一装置(诸如例如计算机、收银机、电子锁或移动电话)上，双重读取器经由有线或无线链路与该装置通信。

双重读取器优选地具有用于执行上述交易所必需的部件，并且因此具有用于使用识别该双重读取器的计算机密钥对消息进行签名的部件，双重读取器具有计算可用金额(特别是绝对可用金额)的能力，具有用于创建表示例如将在电子设备中注册的交易或指令的消息的部件，以及双重读取器具有允许服务器任意地向电子设备写入、从电子设备读取和删除注册在寄存器中的金额、交易以及授权的读取器列表的部件。

双重读取器优选地具有以下元素中的全部或部分：

用于有线链接到微型计算机或其它终端的连接，例如USB类型的连接；

与微型计算机或电话的无线连接，例如蓝牙(Bluetooth)类型的连接；

用于建立与根据本发明的电子设备的链接的无线连接，例如蓝牙类型或RFID类型的无线连接；

基于接触的连接器，该连接器用于与根据本发明的电子设备通信(如果电子设备被插入到读取器中)；

内部时钟，该内部时钟在每次连接到服务器时同步和并允许交易和余额被加上时间戳，该时钟优选地是准确的，例如每月+/-5秒的范围内。

物理保护的存储器，该物理保护的存储器包含双重读取器的私钥并且物理地访问该存储器优选地导致该物理保护的存储器所包含的信息在被从该物理保护的存储器中复制之前被破坏；

至少一个存储器，该存储器的内容由其自己的私钥加密并且在其中可以存储以下信息的全部或部分：

识别双重读取器的代码；

经由双重读取器执行的最新交易的列表、以及相应文件的列表；

由其它读取器执行的交易的缓冲列表，欺诈性交易的缓冲列表、或余额、或服务器希望与电子设备通信或电子设备希望与服务器通信的任何其它数据项的缓冲列表；

服务器和电子设备的共享密钥或公钥的列表以及还可以具有私钥的列表，每个私钥与服务器或电子设备相关联且用于与这种服务器或电子设备通信和识别自身。

双重读取器可以被配置为执行以下操作的全部或部分：

读取PIN码和连接到该PIN码的电子设备的标识符；

计算可用金额；

删除、写入或保留交易；

使连接到该双重读取器的电子设备对消息进行签名；

根据所采用的安全系统，在电子设备上更新授权的读取器和服务器的列表；

本发明的另一主体被认为是这种双重读取器。

服务器

服务器为远程计算机系统，基于由相关电子设备执行的交易或者基于源自可以添加或移除文件以及修改金额的授权外部应用程序的指令，该远程计算机系统包含与各个电子设备相关联的账户和双重读取器。

服务器(一个或多个)包括至少一个存储器，其中可以存储以下信息的全部或部分：

1.针对各个电子设备

在该电子设备上尚未引起与交易相关的金额或文件的变化的该交易的副本、以及与该副本相关联的文件，以及记录在相应的电子设备的另一副本；已经由服务器确认的每笔交易都会被标记为：

●电子设备上记录的金额和文件；

●用于识别电子设备上存在的密钥列表的信息；

2.针对各个双重读取器

●用于识别双重读取器上存在的密钥列表的信息；

3.服务器的私钥，优选为物理保护的私钥，或者私钥列表，优选为物理保护的私钥列表，这些私钥中的每个私钥都用于通过某些单独的设备或单独的双重读取器或其组、以及与它们相关联的公钥一起来识别自身；

4.双重读取器的公钥的列表；

5.电子设备的公钥的列表；

6.其它服务器的公钥的列表。

服务器彼此通信，并且可以例如通过电子设备和双重读取器在这些服务器之间分配信息；这可以使得可以将与特定双重读取器或特定电子设备有关的信息保留在特定服务器上；这还可以允许与任何双重读取器连接的服务器在必要时读取和更改或修改该信息。系统可以仅包括一个服务器，从而降低系统的复杂度。

服务器可以被配置为拒绝旨在以大于一个金额的数额来借记该金额的任何交易并将这种交易标记为欺诈；可以在下一次连接时将该信息项传送到电子设备，然后，被标记为欺诈的交易将不再被考虑。依赖欺诈交易的交易还可以被取消或者被标记为欺诈。

特别地，一旦进行了以下验证，服务器可以将交易标记为有效：

●所述服务器与在所述交易期间有效的电子设备和双重读取器有关；

●所述交易在该验证之前借记了来自已经由服务器确定的交易中的金额；或者所述交易借记由服务器在电子设备上预先注册的金额或文件；或者所述交易使用双重读取器从无到有地借记创建的且尚未传输的文件；

●所述交易遵照在该交易时对此类交易施加的规则，这些规则例如如下：

○如果该规则适用于该金额，则无法以大于该金额的总额来借记在寄存器中注册的金额；

○如果该规则适用于该金额，则在验证交易之前，无法借记比在电子设备的寄存器中注册的金额大的、通过其它交易的总额调整的总额，并从该总额中扣除；

○如果不同时执行其它关联交易并且这些交易尚未全部执行，则无法进行交易，这些关联交易中的一者能够例如要求生物特征验证。

关于交易的信息可以包括与存在于贷记电子设备中的金额有关的信息，该信息可以是服务器确认交易所必需的。

服务器可以被配置为仅当其知道从设备到设备的被标记为已确认的所有交易、并且将每个贷记都链接到已确认的金额的借方时才计算和更新金额。以这种方式，源自未在服务器中注册的读取器或源自未在服务器中注册的电子设备的任何交易都不能够导致金额的变化。此外，这将允许服务器基于与其它电子设备上的借记相关联的相同交易来向电子设备贷记金额，从而确保所有电子设备的金额的总值的连续性，通过已确认但尚未考虑的所有交易以电子设备上注册的金额来调整该总值。服务器还可以被配置为同时计算和更新由同一个交易计入借方和贷方的金额。然后，服务器会首先在存储器中保留在电子设备上注册的金额，并且其次由服务器更新但尚未在所述电子设备上注册的金额，与该金额相链接的将会是用于更新的交易、并且当新计算的金额被复制到该电子设备时必须从该电子设备删除该交易。

为了便于这种链接，电子设备可以包含在借记金额或文件之前已经执行的其它交易的副本，这些交易使得可以将该借记链接到已经由服务器确认的初始文件或金额，只要这些交易没有以另一方式报告给服务器。

在与外部实体的交易期间，服务器可以首先通过计算所涉及的金额，考虑应用在存在于电子设备上的所述金额的所有交易。

为了修改由电子设备的寄存器中注册的文件或金额所表示的文档，如果电子设备包含尚未由服务器确认的关于该文档的交易，则双重读取器可以遵循以下提供的与外部实体的交易的过程、并且因此需要与服务器同步，且然后授权并实现对电子设备上的金额或文件的修改。该设备还可以将文件修改限制为仅具有一个寄存器的文件，其中能够注册金额并且其中该金额会被限制为仅为0或1。

由于可以通过与数据网络的连接访问服务器，因此这些服务器允许至少一个电子设备与所述服务器经由计算机或电话进行数据同步。参考图4进一步描述了示例性同步过程。

用于实现本发明的系统可以包括每个服务器的多个私钥，如果需要，将不加选择地使用这些私钥，使得各个服务器能够快速响应双重读取器和电子设备。

在本发明的一个示例性实现方式中，电子设备包括SIM芯片卡和RFID连接，该系统被配置为允许涉及彼此远离的两个双重读取器的交易。然后，系统可以在交易记录中记录两个读取器中的每一个读取器的标识符。可以组织用于配对两个读取器的机制。该机制可以包括用于显示远程电子设备的持有者的身份的部件，并且还可以将交易限制为所涉及的电子设备中至少一者具有可识别的持有者的交易。该配对机制还可以包括用于两个配对读取器中的一个或两个的、以指示另一读取器所处的位置的部件。

文件和金额的安全性

“安全”旨在表示信息不能够在专用于系统的程序之外在系统中流动或被修改，并且在未经用户授权的情况下根据系统的程序，信息不能够离开或输入系统，这可以取决于各个文档的类型。

存在于根据本发明的电子设备和读取器、或服务器中的数据优选地是安全的：注册在存储器中的这些数据只有在承载其的电子设备或双重读取器存在时被解释，例如通过使用驻留在该电子设备或双重读取器中的密钥进行加密。

优选地，存在用于保护由电子设备和双重读取器承载的软件的机制，以避免将欺诈性软件引入电子设备和双重读取器中。可以对该软件进行签名并在加载该软件时验证其签名。还可以在任何交易之前验证这些签名。软件还可以与系统的各个特定的元件不同，例如，通过向软件的代码添加旨在在系统上运行的该系统的元件的ID的引用，使得一个软件的黑客攻击或妥协不会损害系统的许多或所有元件，而只损害旨在运行的一个或多个元件。通过软件的黑客攻击或妥协，旨在能够用不同的软件来替换这种软件，而不需要旨在系统上运行的该系统的元件能够注意到这种替换。例如，用于保护文件的技术一直使用被称为“哈希”的方法，一些此类方法(诸如MD5)在某种情况下已经被报告为不是完全安全。

优选地，执行系统的各个元件之间的所有通信，使得所有通信仅对于系统的元件为可理解的，并且不能够源自为此目而批准的系统之外的、且链接到服务器的第三方元件，或控制双重读取器而不是用户。

系统的各个元件，即各个服务器、双重读取器或电子设备，可以具有仅该元件知晓的私钥，但该元件的公钥与其标识符相关联。系统的各个元件还可以具有专用于系统的各个其它元件的私钥，任一此类私钥的黑客攻击仅损害与和其相关联的设备的通信的安全性，而不是损害与同一类别中的所有设备的通信的安全性。

有利地，服务器、各个双重读取器或各个电子设备的这些私钥中的任何一个都不会离开其载体，并且有利地通过适当的电子技术进行物理保护。

可以提供用于允许更新服务器和各个双重读取器的密钥的机制。

检测欺诈

由于双重读取器包括时钟，在第一电子设备和第二电子设备中注册的信息会被加上具有交换的时间的时间戳。

服务器可以取消记录在电子设备上的交易，如果将该交易链接到任何交易会导致不遵照与交易相关联的、且在服务器(一个或多个)中参数化的任何规则。

优选地，只有在将这些交易报告给服务器之后，才会从双重读取器中删除这些交易。有利地，双重读取器会具有指示灯或其它指示器，该指示灯或其它指示器表明如果正在使用该双重读取器的整个存储器，则该双重读取器不能够操作新的交易。

任何异常，例如链接、签名或日期异常，优选地被标记为欺诈。

被检测为欺诈的任何结存、任何交易、任何列表(例如具有欺诈性签名)都会报告给服务器并标记为无效。

处理欺诈

服务器可以被配置为检测欺诈并将任何交易、列表、结存或电子设备标记为欺诈。

将它们的无效性以及可能的纠正传送到电子设备。

电子设备或读取器可以被标记为欺诈、不起作用、可以被从授权的电子设备或双重读取器的列表中删除，并且可以被如此标记。可以将欺诈性电子设备的列表传送给双重读取器，使得所述读取器禁用可能连接到该读取器的欺诈性电子设备。

直到服务器中设置的从此刻开始的合理时间结束时，服务器才可以验证使用已知的欺诈读取器进行的且尚未验证的交易；此类交易还可以在设备上被标记为可疑的，并且防止此类交易受到这些交易本身的影响，直到所述合理时间结束或者直到由服务器有效验证这些交易。

数据完整性

注册金额和交易的某些操作必须彼此一致、或其它多个操作必须彼此一致。如果没有一起更新或删除的两个元素，也就是交易和金额或文件，则不能够通过修改金额或文件来实现转换交易。可以使用方法来确保：仅当这些信息块已经被完全正确注册时才确认电子设备的更新信息块。例如，可以为这些写入块中的信息分配标引，只有当块的所有元素都已被正确写入时，该标引才会被标记为有效。为了删除多余的信息，可以以相同的方式注册标引的删除指令，程序此后将实际删除这些多余的信息。

通信的安全性

各种技术可以确保各个服务器、电子设备以及双重读取器之间的通信的安全性。以下描述并非旨在穷举，而是仅作为用于这种安全性的技术的示例。

列表的安全性

系统的各个元件，即各个服务器、各个双重读取器以及各个电子设备可以具有在任何地方不重复的一个或多个私钥，但其对应的公钥对于系统是已知的并在列表中被编译。如果服务器、双重读取器具有多个私钥，则这些私钥中的一些或全部可以与其它服务器、读取器或设备的特定项或组相关联，并且与这些私钥中的一些或全部私钥相关联的其它这种服务器、读取器或设备的特定项或组将知晓其对应的公钥。该公钥可以在任何情况下与系统的任何元件(服务器、电子设备和双重读取器)相关联的私钥相同或不同，并用于更新系统的软件、更新系统自身并加密系统的存储器内的数据。

因此，这些列表是与各个元件相关联的公钥列表。因此，存在服务器的公钥列表、读取器的公钥列表以及电子设备的公钥列表。在多个私钥的情况下，此类列表具有与其相关联的其它服务器、读取器或设备的其它特定项或组的信息。

服务器保留这些列表中的各个列表，双重读取器也是如此。电子设备都具有服务器的公钥列表以及双重读取器的公钥列表。

当系统的元件连接(双重读取器到服务器的连接、电子设备到读取器的连接、或电子设备到服务器连接)足够长的时间时，列表被更新。

仅对这些列表中的一者所列出的元件执行任何发送数据，并加密该数据的发送使得只有预期的收件方元件才能够读取该数据，并且对该数据进行签名使得预期的收件方能够验证消息的发送者的真实性。

系统可以根据服务器的请求允许更新私钥及相关的公钥。

使用该系统，可以确保各个电子设备仅与同一系统中的一个读取器或一个服务器通信。同样地，可以确保各个读取器仅与该系统中的一个服务器或一个电子设备通信，并且以加密的方式进行通信。

列表安全性的弊端在于，需要在各个电子设备和读取器上大量保存和更新列表，但具有以下优点：首先使得可以防止私钥被盗，这些私钥物理地位于每个硬件载体上而不是被设计成离开载体，从而涉及较少技术的安全，并且其次，为了确保私钥的多样性，影响读取器或电子设备的密钥被盗仅仅损害了该读取器和该电子设备。多个私钥的使用可以减轻黑客攻击对这种私钥的影响，密钥的妥协影响较少数量的服务器、读取器和设备，例如，妥协的服务器密钥、多个私钥系统的一部分将仅使得与这种妥协私钥相关联的系统的其它元件不安全。还可以时常或在怀疑私钥受到黑客攻击时对所述私钥进行更新，使得系统中知道最新相应公钥的元件可以不与伪造成系统一部分的元件进行通信，但实际上并不是因为该元件不会处理新的私钥，而只会处理旧的密钥中的一者。

共享密钥的安全性

电子设备的密钥列表、或双重读取器的密钥列表、或服务器的密钥列表各自都可以由双重读取器的共享密钥的小列表、电子设备的共享密钥的小列表或服务器的共享密钥的小列表来替换。可以说这些密钥是共享的，即使这些密钥是秘密的并且不能离开系统，可以在系统的多个元件上找到这些密钥。这种替换可以是部分的，例如，只影响电子设备的列表、或者只影响读取器的列表、或者只影响电子设备的列表和读取器的列表，或者只影响一些读取器、电子设备以及服务器的列表。在这些情况下，电子设备的列表例如不再存在而是由电子设备的共享密钥替换；然后，系统的元件将必须使用该共享密钥进行通信，从而避免与系统外的元件通信。这些密钥可以是非对称的：私钥/公钥系统、在列表上注册的各个元件上找到的列表的元件的私钥和系统的各个元件上的、能够与所述列表的元件进行通信的公钥；或者这些密钥是对称的：在所述列表中注册的元件上以及在能够与所述列表上注册的元件进行通信的系统的元件上找到的相同的密钥。可以定期更新这些密钥，以避免两个最近更新的元件与可能被偷的密钥进行通信。将由服务器执行该更新，在知道各个电子设备以及各个双重读取器的公钥的情况下将保密地向服务器传输新的共享密钥。无论是通过列表还是通过共享密钥使用安全性，如果系统的两个元件各自具有与位于另一元件上的私钥相对应的公钥，则系统的两个元件因此可以被授权彼此通信，该私钥要么是唯一的且仅处于元件上，要么是由系统的各个元件共享且然后位于系统的多个元件上。如果系统的元件各自知道在它们之间或在它们与系统的其它元件之间共享的同一密钥，则系统的元件也可以彼此通信。

在一个示例性实现方式中，电子设备和读取器不再包含电子设备的公钥列表及其ID以及双重读取器的公钥列表，而是只有由双重读取器共享的一个密钥以及由电子设备共享的另一个密钥。各个电子设备和各个双重读取器也具有私钥，但只有服务器具有其相关联的公钥列表。然后，服务器可以改变和更新所述共享密钥。

在另一示例性实现方式中，双重读取器的共享密钥的存在使得可以避免对各个电子设备上读取器的公钥列表及其ID的需求。

在另一示例性实现方式中，电子设备的共享密钥的存在使得可以避免对每个双重读取器上的电子设备的公钥列表的需求。

外围设备的安全性

优选地，附接到读取器且由读取器使用的外围设备是安全的，使得提供给外围设备的信息是可信的或者使得由读取器提供给外围设备的信息可以保持安全。因此，外围设备可以优选地共同地或单独地注册到服务器，该服务器将能够向读取器确定这种连接的设备是可信的。认证过程可以包括以下验证：所述外围设备包含与服务器已知的公钥相关联的私钥，以及允许创建共享密钥以用于读取器和外围设备之间的后续通信。

额外的安全性

可以引入其它安全措施，包括：

●将电子设备与在电子设备中提供的用户或与服务器相关联；

●要求(一个或多个)电子设备的持有者识别他们自身以便确认交易，例如通过在将电子设备放置在双重读取器附近之前输入PIN码或使用生物识别设备。这些识别部件可以任意地位于双重读取器或电子设备上，或者甚至可以通过能够与该识别部件连接的装置被双重读取器访问。因此，双重读取器或电子设备可以包括用于识别用户的部件，这些部件能够进行生物识别；

●向电子设备添加用于确认交易或输入PIN的按钮或生物识别设备；

●向电子设备添加用于显示消息、文件或金额的屏幕。

●向文件添加属性(诸如有效日期)。

附图说明

通过阅读以下示例性但非限制性实现方式的详细描述并参考附图将能够更好的理解本发明，其中：

–图1示意性示出了用于实现本发明的示例性系统；

–图2为示出根据本发明的示例性数据交换方法的各个步骤的框图；

–图3为类似于图2的本发明的变型实现方式的视图；

–图4为在根据本发明的电子设备和连接到服务器的第三方软件之间的数据流的时序的示例；

–图5示出了能够实现用于在根据本发明的电子设备和服务器之间同步数据的各种步骤；

–图6示出了能够实现用于更新电子设备或读取器的列表和密钥的各种步骤；

–图7示出了能够实现用于更新电子设备或读取器的软件的各种步骤；

–图8示出了能够实现用于使读取器与服务器同步的各种步骤；以及

–图9示出了能够由用户实现以在安全设备上创建或修改文件的各种步骤。

具体实施方式

图1示出了用于实现根据本发明的方法的示例性系统。

该系统包括根据本发明的双重读取器10，双重读取器被配置为在所示示例中与信用卡形式的根据本发明的电子设备20A和电子设备20B交换信息。

双重读取器10、电子设备20A以及电子设备20B可以与至少一个远程服务器30交换信息，例如经由因特网或无线电链路与至少一个远程服务器30交换信息，并且在适用的情况下，可以通过辅助设备(诸如微计算机40或移动电话41)的方式与至少一个远程服务器30交换信息。

现在将参考图2给出根据本发明的用于在电子设备20A和电子设备20B之间执行交易的示例性方法的步骤的描述。在该示例中，该交易被认为是同步的，因为电子设备20A和电子设备20B必须同时连接到双重读取器10以便能够发生交易；第一安全连接和第二安全连接在时间上重叠；第一连接可以是基于接触的，并且第二连接可以是非接触式的。

因此，交易发生在具有根据本发明的第一电子设备20A的第一用户A和具有根据本发明的第二电子设备20B的第二用户B之间。

在步骤201中，用户A首先将他的电子设备20A插入到双重读取器。在步骤201bis中，用户B可以将他的电子设备放置在读取器附近，以便通知读取器包含在其中的文件的性质和金额。

在步骤202中，用户A选择他希望执行的操作，例如：进行交易/结算或余额结算；余额结算的选择对应于显示两个设备20A和20B的余额。

接下来，在步骤203中，用户A选择指示(发送或接收)，交易的文件或金额；并且在适用的情况下提供金额，也就是说在金融交易的情况下提供数量。

如果关联了多个交易，则可以重复步骤203，也就是说交换必须包括同时发送或接收的多个文件或金额。

在步骤204中，如果初始选择的交易需要，还可以自动生成一些附加交易，例如，转移的文档可以与价格相关联，并且可以要求在转移时生成与其价值相匹配的支付，或者相反，可以在接收设备上设置支付金额以生成收据；向用户显示这种自动生成的交易，用户A可以输入他的PIN(personal identification number，个人识别码)码以便确认操作，或者只是验证自动生成的交易(如果有的话)。

在步骤205中，用户B可以在双重读取器10的屏幕上读取向他提供交易的信息项或者查出他的余额。

如果操作需要，则在步骤206中，用户B可以输入PIN码，且然后，在步骤207中，用户B将他的电子设备20B放置在双重读取器10上以便执行交易。如果在设备B上报告了一些交易以要求实现一些自动生成的交易并且这些交易尚未在待验证的交易列表中，则生成此类自动交易并且在步骤204重复该过程。

在步骤208中，双重读取器显示交易已经完成。

然后，在步骤209中，用户B可以移除他的卡，并且在步骤210中，用户A可以执行相同的操作。

在步骤211中，读取器将与交换有关的信息发送至服务器。

在分组交易的情况下，可以为每笔交易分配同一代码。这些交易首先在第一电子设备上注册，但被标识为“附条件的”并且与所述代码相关联。限制条件允许系统考虑写入电子设备的借记而不是贷记，将仅在该限制条件被移除时才考虑贷记。然后，这些交易也附条件地在第二电子设备上注册并与相同的代码相关联；但在这种情况下，只要没有移除该限制条件，就不会考虑任何交易或只考虑借记交易。通过在系统中参数化的合理时间内将称为限制条件移除线的新的线写入到第二电子设备，该限制条件可以在写入结束时被移除。该最新一条线一旦被传输到读取器，该最新一条线将被传输到第一电子设备，并且在第一电子设备上注册的该单条线将移除与该设备上的相同代码相关联的交易的条件。之后，该指令将被发送到服务器。如果在合理时间内在第二电子设备上的没有注册该条件的移除，则读取器将在读取第二张卡期间，或者在重新读取第一张卡期间，或者之后，创建取消分组交易的写入操作。如果第一电子设备尚未接收到该写入操作，则将该写入操作发送到第一电子设备，或者如果第二电子设备尚未接收到该写入操作，则将该写入操作发送到第二电子设备；以及将该写入操作发送到服务器。然后，将取消与该代码相关的所有借记交易或贷记交易。此后，服务器可以负责准备删除写入到这两个电子设备的这些交易的指令。

系统中存在的文件或金额的转移也可以受到附于所述文件和金额的其它规则的约束，诸如进行所述文件和金额的转移以身份证明的副本的转移为条件，该身份证明的副本的转移本身可以以电子设备的持有人的生物特征识别为条件。例如，对于由交易者开具的发票，转移约束还可以是与发票金额相对应的货币的互惠转移、或者是在购买物品时法律要求的碳排放信用的转移。

现在将参考图3给出在异步交易的情况下的本发明的变型实施方式的描述。

在步骤301中，用户A首先将他的电子设备20A靠近双重读取器10；在步骤301bis中用户B执行同样的操作。这些操作用于将放置在双重读取器附近的各个电子设备中所包含的文件的列表和金额传输至双重读取器；如果读取器根据其配置可以无需知道能够在电子设备上待转移的文件和金额，则可以省略这些操作。

在步骤302中，用户A选择他希望执行的操作，例如：进行交易/结算或余额结算；余额结算的选择对应于显示两个设备20A和20B上可用金额。

接下来，在步骤303中，用户A选择指示(发送或接收)，交易的文件或金额。

如果关联了多个交易，则可以重复步骤303。

在步骤304中，用户A可以输入他的PIN码以便确认操作。

然后，由双重读取器10使用“未知的”副本准备交易。

在步骤305中，双重读取器显示发起的交易并邀请用户A将他的卡关闭。

在步骤306中，用户A将他的设备(例如以卡的形式)关闭。验证所有的借记交易，使得在该电子设备上借记的每笔可用金额至少等于要借记的金额，并且任何贷记金额不会超过该电子设备上的最大金额。读取器创建将要从该电子设备借记的文件和金额链接到已经由服务器在电子设备上注册的文件和金额的先前交易的副本。如果一笔或多笔可用金额不足，则取消该操作，否则，在步骤307中，可以邀请用户B输入他的PIN码并将他的设备关闭。

在步骤308中，用户B输入他的PIN码。

在步骤309中，用户B将他的设备20B(例如以卡的形式)关闭。验证所有的借记交易，使得在该电子设备上借记的每笔可用金额至少等于要借记的金额。如果一笔或多笔可用金额不足，则生成取消交易的写入操作并在该设备上注册。否则，将交易注册在该设备上。将在步骤306中在设备20A上收集的先前交易复制到电子设备20B。因此，与交换有关的信息项包括与同一个寄存器或同一个文件有关的先前交换有关的信息。读取器创建将要从电子设备20B借记的文件和金额链接到已经由服务器在电子设备上注册的文件和金额的先前交易的副本。通过写入确认交易的指令来准许注册和复制，这使得这些交易在设备20B上有效。

在步骤310中，将邀请用户B移除他的设备并且要求用户A关闭他的设备。

在步骤311中，用户A将他的设备关闭。确认指令或无效指令被传输到电子设备20A。写入该电子设备20A的交易与电子设备20B的最终已知标识同时更新。将在步骤309中收集的先前交易复制到电子设备20A。如果省略了该步骤311，则在这些服务器接收到由同一读取器或另一读取器(电子设备20B随后将与该另一读取器通信)传送给其的确认指令之后，在随后与服务器的另一次同步期间将执行这些操作。

在步骤312中，读取器显示交易已完成并邀请用户A移除他的设备。

在步骤313中，将在该交换期间生成的交易和确认指令与在步骤306和步骤309中从设备20A和设备20B复制的交易一起发送到服务器。

图4示出了用户、相关电子设备、以及控制文件的插入(贷记)或移除(借记)或控制分配给电子设备的金额的变化的外部网站之间的数据交换的示例。

电子设备20A或20B例如为信用卡格式。电子设备20A或20B可以通过双重读取器10或计算机或电话的方式与服务器通信。用户可与网站通信，而网站自身可以与服务器30通信。

在步骤401中，用户打开与第三方网站的会话。

在步骤402中，用户可以将电子设备20A放置在读取器附近。连接到服务器的所述读取器使设备20A和服务器30同步。如图5中所示出的，根据最新交易对金额进行更新。如果转移不涉及将文件或金额从电子设备转移到第三方网站，则可以不需要此步骤。

在步骤403中，用户选择文件或金额以及第三方网站上的交易的方向，以将所述文件或金额转移到所述网站或者从所述网站转移所述文件或金额。准备更新电子设备的余额的指令。

在步骤404中，第三方网站验证该第三方网站能够进行交易。例如，可以临时借记用户的银行账户，然后向服务器发送可能的文件并且最后显示交易，并且提供了用户通过将他的电子设备20A靠近读取器来确认交易，或者如果电子设备20A已经与服务器通信，则通过点击图标来确认交易。

在步骤405中，用户将他的电子设备20A靠近读取器10或者按压图标。然后，将更新金额的指令写入电子设备20A。可以将在步骤404中从第三方网站传输的文件复制到电子设备20A并且可以复制到系统的服务器。如果该步骤没有在合理的时间内发生，则取消交易并通知第三方网站，并且可以从服务器以及从电子设备20A中删除在步骤404中传输的文件。否则，则通知第三方网站操作成功。从电子设备20A传输到第三方网站的文件被有效地从服务器传输到第三方网站，并且可以从服务器删除该文件；然后，生成从电子设备20A删除所述文件的指令。

在步骤406中，读取器显示交易已结束并邀请用户A移除他的电子设备20A。

在步骤407中，用户移除他的电子设备20A。

图5示出了能够发生在电子设备(例如为信用卡格式)与服务器之间的同步交换的示例。当电子设备与读取器通信并且读取器与服务器通信时，该交换发生。因此，只需要将卡20A插入到读取器或者将卡放置到读取器旁边一段必要的时间。以下步骤描述了电子设备20A和服务器30之间通过读取器10进行的交换。

在步骤501中，用户将他的电子设备20A靠近读取器。

在步骤502中，服务器30可以将已经准备好的交易删除指令发送到电子设备20A。

在步骤503中，执行存在于电子设备20A上的所有的交易删除指令。

在步骤504中，将存在于电子设备20A上但不存在于服务器上的所有的指令、交易和文件通过读取器10复制到服务器。

在步骤505中，服务器计算新的金额或服务器获取由系统的服务器中的一者计算的新的金额，并且服务器准备要复制到电子设备20A的交易列表或要从电子设备20A删除的交易列表。

在步骤506中，将存在于服务器30但不存在于电子设备20A但应该存在于电子设备20A上的所有的删除指令、交易以及新的金额，或者将在步骤505中计算的新的金额，复制到电子设备20A。

在步骤507中，执行存在于电子设备20A上的所有的交易删除指令。

在步骤508中，邀请用户移除他的电子设备。

图6示出了更新在读取器或电子设备上存在的密钥和密钥列表的示例性结构。

该附图假设电子设备(DE)和读取器都存在，但是以下步骤也仅适用于读取器的同步。

在步骤601中，电子设备或读取器将其标识发送至服务器。

服务器准备、加密并签名：

a.更新密钥；

b.更新密钥列表；

使得只有电子设备或读取器能够读取它们。电子设备或读取器用其中一个密钥对加密文件进行签名，其中一个密钥知道私钥存在于电子设备或读取器上。这些更新的文件包含有关待删除、待替换以及待添加的元素的信息。可以将这些更新的文件划分为多个文件以便允许逐步更新。

在步骤602中，将加密和签名的文件发送到电子设备或读取器。

在步骤603中，电子设备或读取器验证文件的签名并对其进行解密。

在步骤604中，电子设备或读取器在其内部存储器中安装用于此目的而提供的密钥和密钥列表，且然后触发考虑该更新。

在步骤605中，电子设备或读取器通知服务器考虑更新文件。

在步骤606中，电子设备或读取器从其存储器中删除过时的信息。

图7示出了更新读取器或电子设备的软件的示例性实现方式。

在步骤701中，电子设备或读取器将其标识发送至服务器。

在步骤702中，服务器对待安装的软件加密，使得只有电子设备或读取器能够读取它。然后服务器还可以使用其中一个密钥对这样加密的文件进行签名，其中它知晓公钥存在于电子设备或读取器中。

在步骤703中，将加密和签名的文件发送到电子设备或读取器。

在步骤704中，电子设备或读取器验证文件的签名并对其进行解密。

在步骤705中，电子设备或读取器在其内部存储器中安装用于此目的而提供的所述软件，而尚未删除已安装的软件。

在步骤706中，电子设备或读取器验证新软件的确已经被复制并改变电子设备(或读取器)的启动指令，使得所述电子设备使用新软件再次启动。

在步骤707中，电子设备或读取器再次启动。

一旦启动，则在步骤708中，如果电子设备或读取器的旧软件依然存在，则删除旧软件。

图8描述了读取器与服务器的示例性同步。

在步骤801中，更新证书和列表。

在步骤802中，发送到服务器，并且然后删除读取器执行的且存储在其上的交易。

在步骤803中，可以接收要被标记为欺诈或要被停用的电子设备的列表。

图9示出了能够由用户实现以在安全设备上创建或修改文件的各种步骤。

在步骤901中，用户将他的安全设备带到读取器旁边。

在步骤902中，用户选择他想要修改的文件或者从读取器的菜单中选择“创建新文件”。

在步骤903中，如果与文件关联的数量等于允许与文件关联的最大数量，并且所述文件已经被标记为“可修改”，则将所述文件显示在读取器上并且激活允许其编辑的功能。如果用户选择了“创建新文件”，则在读取器上显示空白文件并且激活允许其编辑的功能。

在步骤904中，用户编辑文件。

在步骤905中，用户可以编辑文件的一些特征(诸如文件的最小数量、最大数量、增量或其它特征)，这些特征会影响系统中可以对文件执行的操作(例如“可以被传输”或“需要生物识别设备才能查看”)。然后，将附加到文件的数量设置为文件允许的最大数量。

在步骤906中，用户再次接近读取器旁边的设备。

在步骤907中，将文件复制到设备上。

在步骤908中，如果发生了读取器连接到服务器，或者随后将读取器连接到服务器时，则将文件复制到服务器上。

在步骤909中，卡还可以通过服务器与另一读取器的连接将文件的副本放在服务器上。

Claims

1.一种用于在系统内执行至少一个安全交换的方法，所述系统包括第一电子设备(20A)和第二电子设备(20B)、双重读取器(10)、以及至少一个服务器(30)，其中，所述双重读取器(10)包括用于连接到各个电子设备的部件，与所述交换有关的信息能够被传送至所述至少一个服务器(30)，所述方法包括：

a)使用所述双重读取器(10)的接口或连接到所述双重读取器(10)的外部装置将与要在所述第一电子设备(20A)和所述第二电子设备(20B)之间执行的与交换有关的信息项输入至所述双重读取器(10)；

b)使用所述双重读取器(10)在所述第一电子设备(20A)中注册与所述交换有关的信息项；

c)在所述第二电子设备(20B)中注册与所述交换有关的信息项，并且默认取消所述交换；

d)将与所述交换有关的数据传输至所述服务器(30)。

2.根据权利要求1所述的方法，其中，在所述第一电子设备(20A)上注册的有效性以在所述第二电子设备(20B)上注册与所述交换有关的所述信息项为条件；在所述第二电子设备(20B)上注册之后，通过所述双重读取器、或者随后通过所述服务器、且然后通过另一双重读取器，将所述第一电子设备(20A)上注册的有效性传送至所述第一电子设备(20A)。

3.根据权利要求1所述的方法，其中，与所述交换有关的信息项包括与先前交换有关的信息，所述先前交换与同一个寄存器或同一个文件有关。

4.根据权利要求1所述的方法，其中，所述服务器(30)取消记录在所述电子设备(20A，20B)上的交易，如果将该交易与任何交易链接会导致不遵照与交易相关联的且在服务器中参数化的至少一个规则。

5.根据权利要求1所述的方法，其中，如果从所述电子设备、所述服务器和所述双重读取器中选取的所述系统的两个元件各自具有与位于另一个元件上的私钥相对应的公钥，并且所述私钥是唯一的且仅位于所述元件上，或者所述私钥由所述系统的其它元件共享，或者所述两个元件各自知晓在它们之间或者在它们和所述系统的其它元件之间共享的同一密钥，则所述两个元件被授权彼此通信。

6.根据权利要求1所述的方法，其中，所述双重读取器(10)包括时钟，在所述第一电子设备和所述第二电子设备中注册的信息被加上具有所述交换的时间的时间戳。

7.根据权利要求1所述的方法，其中，所述双重读取器执行从其它电子设备的寄存器到第一电子设备的寄存器中注册的金额的转移，或者执行将第一电子设备的寄存器中注册的金额转移到其它电子设备的寄存器，同时确保在每次转移结束时，在转移时遵照在所述双重读取器中存在的某些规则，对于所述第一电子设备的寄存器和所述其它电子设备的寄存器的每个初始值，会增加接收到的金额且从所述初始值扣除发送的金额。

8.根据权利要求1所述的方法，其中，第一安全连接和第二安全连接在时间上重叠。

9.根据权利要求1所述的方法，其中，在步骤a)之前的步骤中，所述第一电子设备(20A)和/或所述第二电子设备(20B)将信息传送到所述读取器。

10.根据权利要求9所述的方法，其中，传送到所述读取器的信息与所述第一电子设备和所述第二电子设备中记录的文档的清单有关，使得所述读取器能够将所述文档合并到菜单中。

11.根据权利要求1所述的方法，其中，第一连接为基于接触的，并且第二连接为非接触式的。

12.根据权利要求1所述的方法，其中，所述双重读取器(10)的人-机接口包括用于输入与所述交换有关的所述信息项的键盘。

13.根据权利要求1所述的方法，其中，所述双重读取器(10)的人-机接口包括屏幕，所述系统被配置为分别显示用于所述第一电子设备和所述第二电子设备的持有者的两条消息。

14.根据权利要求1所述的方法，其中，所述电子设备(20A，20B)为信用卡或SIM卡格式。

15.根据权利要求1所述的方法，其中，通过由计算机连接来链接的两个双重读取器在不同位置进行与所述电子设备(20A，20B)的安全交换。

16.一种用于实现如权利要求1所述的方法的系统，包括：

-至少一个双重读取器(10)；

-至少两个电子设备(20A，20B)；

-至少一个计算机服务器(30)；

所述双重读取器被配置为建立与第一电子设备(20A)的第一安全连接，建立与第二电子设备(20B)的第二安全连接，允许输入与在所述第一电子设备(20A)和所述第二电子设备(20B)之间执行的交换有关的信息项，在所述第一电子设备(20A)中注册与所述交换有关的信息项，在所述第二电子设备(20B)中注册与所述交换有关的信息项，并且然后将与所述交换有关的信息传送至所述服务器(30)。

17.根据权利要求16所述的系统，其中，能够通过与数据网络的连接而访问所述服务器(30)，并且所述服务器允许经由计算机或电话与所述电子设备(20A，20B)中的至少一个电子设备的数据同步。

18.根据权利要求16所述的系统，其中，所述双重读取器被配置为同时允许与所述电子设备中的一个电子设备进行基于接触的通信且与所述电子设备中的另一个电子设备进行非接触式通信。

19.根据权利要求16所述的系统，其中，所述双重读取器(10)或所述电子设备(20A，20B)包括用于识别用户的生物识别部件。