DE3874016T2

DE3874016T2 - System zur identifizierung von personen.

Info

Publication number: DE3874016T2
Application number: DE8888401266T
Authority: DE
Inventors: Denis Hugelmann; Jean-Louis Ricaud; Michel Roulland
Original assignee: Compagnie Generale des Matieres Nucleaires SA
Current assignee: Orano Demantelement SAS
Priority date: 1987-05-26
Filing date: 1988-05-25
Publication date: 1993-03-25
Anticipated expiration: 2008-05-26
Also published as: JPH02501170A; ES2034303T3; KR890702163A; ATE79970T1; WO1988009541A1; FR2615985A1; CA1297175C; DE3874016D1; KR0134225B1; EP0295985A1; EP0295985B1; FR2615985B1

Description

Die Erfindung betrifft ein Identifikationssystem für Einzelpersonen, die berechtigt sind, Schutzzonen zu betreten oder sich eines Computerterminals zu bedienen.
Man bemüht sich mehr und mehr, die Sicherheitssysteme zu verstärken, vor allem am Eingang kritischer Zonen, die gefährliche Produkte enthalten oder, ganz allgemein, die neuralgischen Punkte von Unternehmen oder sozialen Einrichtungen. Man wird in Zukunft mit der Möglichkeit von terroristischen Akten und von Sabotage rechnen müssen wegen der Nachlässigkeit oder auch der Mittäterschaft von gewissen Beamten.
Ein einfaches Mittel, das Eindringen nicht berechtigter Personen in diese Zonen zu verhindern, besteht im Zuteilen von Mitteln der Identifikation oder einfach der Zutrittsberechtigung. Üblich ist die Verwendung von Spangen. Diese bieten jedoch keine große Sicherheit und sind nur dort verwendbar, wo die Eingänge von Wächtern überwacht werden ohne den Einsatz automatischer Systeme.
Perfektioniertere Mittel sind angeboten worden.
So hat die Firma Zettler eine Spange in den Handel gebracht, die mit einem Sender-Empfänger ausgerüstet ist. Wenn der Träger die Schutzzone erreicht, betritt er ein Magnetfeld, das der Spange Energie zuführt und sie veranlaßt, ein codiertes Signal zu senden, das den Träger identifiziert. Es versteht sich von selbst, daß die Spange gestohlen oder ausgetauscht werden kann, ohne daß das System dies feststellt, und es ist sogar möglich, das gesendete Signal aufzuzeichnen und mit anderen Mitteln zu reproduzieren. Die erzielte Sicherheit ist folglich bei weitem nicht absolut und nicht höher als die von den normalen Spangen gebotene.
Auf dem verwandten Gebiet des Strafvollzugs wird ein Überwachungssystem für Freigänger mit Hausarrest angeboten von der Firma Contrac in den Vereinigten Staaten. Der Freigänger trägt ein Armband mit einem batteriebetriebenen Sender, dessen Signal von einem Apparat in der Behausung empfangen wird und der verbunden ist mit dem Kommissariat. Wenn der Freigänger sich um etwa sechzig Meter entfernt, empfängt das Empfangsgerät kein Signal mehr und löst Alarm aus.
Selbstverständlich hat man auch an den Fall gedacht, daß der Freigänger das Armband abmacht, es in die Nähe des Empfangsgeräts legt und sich entfernt. Der Verschluß des Armbands ist daher ausgerüstet mit einer Täuschungsanzeige, die von Zeit zu Zeit kontrolliert wird, die aber nur von abschreckender Wirkung ist, da das Vergehen erst nach der Handlung festgestellt werden kann. Auch bei diesem System ist das Kontrollmittel unabhängig vom Träger und kann folglich keine sichere Identifikation liefern.
Ein Einzelpersonen-Identifikationssystem, so wie im Oberbegriff des unabhängigen Anspruchs beschrieben, ist bekannt aus dem Dokument US-A.3 806 874.
Die Erfindung betrifft ein verbessertes System, das darauf hinzielt, die Täuschungen praktisch unmöglich zu machen. Es enthält gleichermaßen ein Mikroprozessor-Armband, das an den berechtigten Personen befestigt ist, und das man im Moment der Befestigung so programmiert, daß es ein Identifikationssignal der Person aussendet. Der Mikroprozessor wird entprogrammiert, sobald das Armband geöffnet wird. Das vom Armband gesendete Signal ist abhängig von einem zyklischen Zufallsabfragesignal, womit der Versuch es aufzuzeichnen nutzlos ist. Außerdem wird beim Eintritt eventuell das Gewicht der Person gemessen und überprüft für den Fall, daß eventuell eine zweite Person sie begleitet.
Die Erfindung kann auch vorteilhaft angewandt werden, um die Dienste von Computerterminals zuzulassen oder zu verbieten, vor allem bei der Anmeldung eines Zugriffs auf den Computer, eventuell periodisch. Die Gefahr des Diebstahls vertraulicher Informationen wird somit verhindert oder eingeschränkt.
Noch genauer, die Erfindung betrifft ein Identifikationssystem für Einzelpersonen, welches enthält:
- für jede Einzelperson ein Armband, das ein Gehäuse mit einem Speichermikroprozessor enthält, dessen Funktion die Codierung der Informationen in Abhängigkeit von einem Algorithmus ist, einen Sender-Empfänger für die Signale, welche den zu codierenden Informationen für den Mikroprozessor entsprechen und für die Signale, die den codierten Informationen aus dem Mikroprozessor entsprechen, und ein Übertragungsmittel für Signale, welches das ganze Armband durchläuft in der Weise, daß es die Funktion des Mikroprozessors unterbricht in der Folge einer Öffnung des Armbands;
- einen Computer, der einen Signalgenerator enthält für Zufallsinformationen, den Algorithmus, eine Dekodiereinheit für die vom Mikroprozessor codierten Informationen und eine Entscheidungseinheit, welche die Einzelpersonen mit den decodierten Signalen identifiziert;
- zumindest eine Sender-Empfänger-Apparatur, welche ein Signal überträgt, das einer Zufallsinformation entspricht die vom Generator kommt, der sich in dem Gehäuse befindet, das an dem Armband befestigt ist, das an einer Einzelperson festgemacht ist, und welche an den Coputer ein Signal sendet, das der vom Mikroprozessor codierten Information entspricht;
dadurch gekennzeichnet, daß das Informationsübertragungsmittel eine optische Faser ist, deren beide Enden vor einem Photoemitter enden, der mit einer elektrischen Energiequelle verbunden ist, und vor einem Photorezeptor, der mit dem Mikroprozessor verbunden ist, wobei der Photoemitter und der Photorezeptor sich in dem Gehäuse befinden;
- eine Dienststelle für die Ausgabe der Armbänder an Einzelpersonen, die eine Gruppe von Geräten enthält, die mit dem Computer kommunizieren und ihm die Assoziierungsbefehle für eine Einzelperson und das an ihr befestigte Armband übertragen, und die vom Computer ein Signal empfängt, das die Funktion des Mikroprozessor regeneriert und ihm den Algorithmus in den Speicher schreibt.
Auf besonders vorteilhafte Weise setzt sich der Algorithmus zusammen aus einem Unterscheidungscode für jede Einzelperson sowie aus einem periodisch erneuerten Code.
Die Erfindung wird jetzt beschrieben mit Hilfe der folgenden Figuren, die nur beispielhaft und keineswegs einschränkend zu verstehen sind:
- Fig. 1 zeigt im wesentlichen den Teil des Systems, den die Einzelperson als Armbands trägt;
- Fig. 2 zeigt auf schematische Weise die Bestandteile der Erfindung für den Anwendungsfall der Schutzzonen; und
- Fig. 3 zeigt auf schematische Weise die Gesamtheit der Bestandteile der Erfindung für den Fall, wo das Armband benutzt wird, um zur Bedienung eines Terminals zu berechtigen.
Die Fig. 1 stellt ein Gehäuse 1 dar, das die berechtigte Person mit Hilfe eines Armbands 2 am Handgelenk trägt und das man öffnen kann durch das Lösen eines Sperrverschlusses 3 in einer Seitenwand des Gehäuses 1, wobei eine andere Verbindung 4 des Armbands 2 fest verbunden bleibt mit dem Gehäuse l. Der Sperrverschluß ist so gestaltet, daß er sich nicht öffnen kann im Falle einer manuellen Arbeit zum Beispiel.
Das Gehäuse 1 enthält einen Mikroprozessor 5 mit Speicher, einen Sender-Empfänger 6, der mit dem Mikroprozessor 5 über einen Anschluß 8 verbunden ist und eine Antenne 7, die in die Wandung des Gehäuses 1 eingeschlossen ist, einen Photoemitter 9, eine kleine Litiumbatterie 10, die den Mikroprozessor 5 speist, den Sender-Empfänger 6 und den Photoemitter 9 über 3 Verbindungen 11 bzw. 12 und 13, und es enthält schließlich einen Photorezeptor 14, der mit dem Mikroprozessor 5 über einen Anschluß 15 verbunden ist.
Das Armband 2 selbst enthält eine optische Faser 16, die es ganz durchläuft. Eines ihrer Enden 18 ist am Photoemitter 9 befestigt; das andere, Referenz 17, tritt vor dem Photorezeptor 14 aus dem Sperrverschluß 3 aus. Wenn der Sperrverschluß 3 in das Gehäuse 1 eingeführt und das Armband folglich geschlossen wird, werden über die optische Faser 16 Lichtimpulse des Photoemitters 9 zum Photorezeptor 14 übertragen. Diese Übertragung ist unterbrochen, wenn das Armband geöffnet ist.
Das Armbandsystem wird benutzt zusammen mit anderen Bestandteilen, die in Fig. 2 dargestellt sind. Eine Person, die eine Schutzzone 25 betreten will, muß durch Schleusen 26, die aus zwei verriegelbaren Türen bestehen, eine außen 41 und eine innen 42, deren Verriegelung und Entriegelung von einem Computer 20 gesteuert werden mit Hilfe der Anschlüsse 45 bzw. 46. Plausiblerweise befindet sich der Computer 20 in der reservierten Zone 25.
Die Schleusen 26 enthalten jede eine Kontrollwaage 43 und einen Schleusen-Sender-Empfänger 44, angebracht zwischen den beiden Türen 41 und 42 und mit dem Computer 20 verbunden durch die Anschlüsse 47 bzw. 48.
Schließlich gibt es eine Wachdienststelle 30 außerhalb der Schutzzone 25, in der die Armbänder 2 mit Mikroprozessor 5 ausgegeben werden und die über ein Terminal mit Tastatur 31, eine Waage 32 und einen Sender 33 verfügt, die auch mit dem Computer 20 verbunden sind durch die mit 34 bzw. 35 und 36 bezeichneten Anschlüsse.
Der Sender 33 ist dargestellt in Fig. 1. Er enthält einen Saugnapf 51, in dessen Innerem eine Mikroantenne 52 die Anweisungen des Computers 20 überträgt; die Sendereichweite übersteigt nicht einige Zentimeter.
Nun wird die Wirkweise des Systems beschrieben.
Die berechtigte Person, welche die Schutzzone 25 betreten möchte, präsentiert sich in der Wachdienststelle 30. Sie wird visuell durch den Wächter identifiziert, der ihr ein Mikroprozessor-Armband aushändigt, das sie sich am Handgelenk festmacht. Der Wächter teilt mittels Tastaturterminal 31 dem Computer 20 den Namen der Person mit und bittet sie auf die Waage 32. Nachdem der Computer 20 den Namen und das Gewicht der Person aufgezeichnet hat, programmiert er den Mikroprozessor 5.
Zu diesem Zweck wird das Gehäuse 1 an die Öffnung des Blasbalgs 51 gehalten und der Computer 20 überträgt in den Speicher des Mikroprozessors 5, mit Hilfe des Senders-Empfängers 6, zwei Codierschlüsseln entsprechende Signale, wovon eines, mit C bezeichnet, unveränderlich ist und die Person kennzeichnet, während das andere, mit K bezeichnet, gleich ist für alle berechtigten Personen, aber periodisch erneuert wird.
Die Person kann nun mit den Zutrittsformalitäten beginnen. Zuerst öffnet sie die äußere Tür 41 und betritt die entsprechende Schleuse 26. Während dieser Zeit veranlaßt der Computer 20 die Verriegelung der inneren Tür 42 oder erhält sie aufrecht, und verriegelt die äußere Tür 41 ebenfalls, sobald sie geschlossen ist.
Der Computer befragt den Mikroprozessor, indem er ihm mittels Schleusen-Sender-Empfänger 44 ein Signal überträgt, das einer aus einem Zufallszahlengenerator bezogenen Zufallszahl X entspricht. Der Mikroprozessor 5 identifiziert diese Zahl X und codiert sie mittels eines Algorithmus f, der von den Codes C und K abhängt, so daß das Ergebnis der Codierung eine Zahl X' ist, die mit X'=f(C, K, X) bezeichnet werden kann. Der Mikroprozessor 5 überträgt ein der codierten Zahl X' entsprechendes Signal an den Computer 20 mittels der Sender-Empfänger 6 und 44, in dessen Folge X' in der Zahlenliste X'i=f(Ci, K, X) gesucht wird, wo Ci für den kennzeichnenden Code irgendeiner berechtigten Person steht. Da der Algorithmus f einer injektiven Funktion entspricht, sind die Zahlen X'i alle unterschiedlich, und es ist dem Computer 20 möglich., den Code Ci zu finden, der die Person kennzeichnet und sie identifiziert. Der Zeitpunkt des Eintritts in die Schutzzone 25 kann in einem Anwesenheitsjournal erscheinen. Aber vor dem Entriegeln der inneren Tür 42 überprüft der Computer 20, ob das Gewicht der Person, das von der Schleusenwaage 43 gemessen wird, auch übereinstimmt mit dem Gewicht, das ihm die Waage 32 der Wachdienststelle 30 übermittelt hat.
Beim Verlassen der reservierten Zone 25 kann das gleiche Verfahren zu Anwendung kommen. Dann kann die Person ihr Armband öffnen, um es zurückzugeben.
Der Photorezeptor 14 wird nicht mehr mittels der optischen Faser 16 erregt, und er sendet eine Instruktion, die den Mikroprozessor 5 entprogrammiert und ungeeignet macht für seine Aufgabe. Das in der Wachdienststelle 30 abgegebene Armband kann später neu programmiert werden für einen anderen Träger.
Alle Betrugsfälle, die realistischerweise in Betracht kommen, lassen sich mit einem solchen System vermeiden.
Zunächst, das Armband kann keinem anderen Träger geliehen werden, selbst bei identischem Gewicht, denn seine Öffnung entprogrammiert den Mikroprozessor 5. Die Aufzeichnung des Programmierungssignals, die übrigens die Mittäterschaft des legitimen Trägers voraussetzen würde, ist ausgeschlossen, denn die Emission der Mikroantenne 52 ist begrenzt auf das Innere des Saugnapfs 51 und auf seine Öffnung.
Hingegen ist es möglich, die im Innern der Schleuse 26 ausgetauschten Signale zu empfangen oder außerhalb die den Zufallszahlen x entsprechenden Signale zu reproduzieren und die den codierten Zahlen X' entsprechenden Signale zu empfangen. Man könnte sich vorstellen, daß man, indem man über genügend codierte Zahlen X' verfügt als Antwort auf ebensoviele Zufallszahlen X, es möglich sein müßte, den Codierungsalgorithmus f abzuleiten und so den Mikroprozessor 5 zu reproduzieren. Das ist ausgeschlossen durch Code K, der erneuert wird, zum Beispiel täglich: die Zeit ist zu kurz, um hinter die Geheinisse des durch den Code K modifizierten Algorithmus zu kommen.
Der einzig denkbare Betrugsfall wäre ein Eindringen in die Schleuse zusammen mit einem Armbandträger, was aber von der Schleusenwaage 43 festgestellt würde, die übrigens auch das Ein- oder Ausschleusen von versteckten Gegenständen verhindern kann.
Die Wahl einer optischen Faser läßt sich damit begründen, daß es zum jetzigen Zeitpunkt unmöglich ist, eine Abzweigung anzuschließen oder die Faser zu durchtrennen, ohne die Lichttransmission zu zerstören, was bei einem elektronischen Schaltkreis möglich wäre der eine illegale Öffnung des Armbands 2 zulassen würde. Folglich verfügt die optische Faser hier über einen großen Vorteil gegenüber den bei anderen Anwendungen als gleichwertig geltenden Schaltkreisen.
Außerdem ist das Licht impulsförmig mit einer vorgegebenen Frequenz, was die Abzweigmöglichkeiten vermindert und elektrische Energie sparen hilft.
Eine weitere Anwendungsmöglichkeit des Identifikationssystems wird in Fig. 3 gezeigt. Der Träger des Armbands 2 ist, nachdem er die Wachdienststelle 30 passiert hat berechtigt, sich des Comuterterminals 60 eines Informatiksystems 63 zu bedienen. Ein Sender-Empfänger 64, analog dem mit Referenz 44 aus der vorhergehenden Anwendung, ist ins Terminal 60 integriert.
Er enthält eine Umwandlungsbox 65 für elektrische Signale, die mit einer Antenne 66 verbunden ist, die zum Beispiel in Schleifen hinter der Umrandung des Bildschirms 62 angebracht werden kann. Eine elektrische Leitung 67 verbindet die Umwandlungsbox 65 mit dem Computer 20.
Wenn der Träger des Armbands 2 sich vor das Terminal setzt und die Tasten der Tastatur drückt um sich des Terminals zu bedienen indem er sein Paßwort eingibt, stellt der Identifikations-Computer 20, der zum Informatiksystem 63 gehört oder mit ihm verbunden ist über eine Leitung 68, die Anwesenheit eines Benutzers fest und befragt Armband 2 mit Hilfe des Senders- Empfängers 64 und entsprechend der vorhergehend beschriebenen Modalitäten. Wenn die Identifikation positiv ist, wird Terminal 60 in Dienst gestellt, wenn nicht, bleibt es inaktiv. Vorteilhafterweise kann man vorsehen, daß der Identifikations- Computer 20 seine Befragungen periodisch wiederholt und eine Unterbrechung der Verfügbarkeit von Terminal 60 befiehlt, wenn er feststellt, daß der Benutzer gewechselt hat. Der legitime Benutzer muß keine besondere Formalität erfüllen und bemerkt die Abfragen übrigens nicht.
Der Schutz ist noch vollständiger für Terminals, die in der Schutzzone 25 untergebracht werden, denn dann ist man sicher, daß kein unberechtigter Zuschauer vertrauliche, auf dem Bildschirm erscheinende Informationen erfassen kann. Wenn man absolut keinen Zuschauer will, kann das Terminal 60 in eine hermetisch abgeschlossene Zelle, analog den Schleusen 26 der vorhergehenden Anwendung, gestellt werden, deren Boden mit einer Waage ausgestattet ist, und die das Gewicht des Zelleninhalts mit dem des Trägers des Armbands 2 vergleicht.

Claims

1. System zur Identifizierung von Personen mit:

- für jede Person einem Ring (2), der einen Behälter (1) trägt, der einen Mikroprozessor (5) mit Speicher, der so funktioniert, daß er Informationen als Funktion eines Algorithmus codiert, einen Sende-Empfänger (6) für diesen Informationen entsprechende Signale zum Codieren für den Mikroprozessor (5) und für codierten Informationen entsprechende Signale von demselben und eine Signalübertragungsvorrichtung enthält, die den Ring derart umgibt, daß sie den Betrieb infolge einer Öffnung des Rings (2) unterbricht;

- einem Computer (20), der einen Generator zum Erzeugen von Signalen, die Zufallsinformationen (X) entsprechen, den Algorithmus, eine Decodiereinheit (X') für die den von den Mikroprozessoren (5) codierten Informationen entsprechenden Signale und eine Entscheidungseinheit umfaßt, die die Personen mit den decodierten Signalen identifiziert;

- wenigstens einer Sender-Empfängerapparatur (44), die ein Signal überträgt, das einer Zufallsinformation aus dem Generator in dem Behälter (1), der von Ring (2) getragen wird, der an der Person befestigt ist, und die an den Computer (20) das Signal (X') überträgt, das der von dem Mikroprozessor codierten Information (5) entspricht;

dadurch gekennzeichnet, daß die Übertragungsvorrichtung für Signale eine optische Faser (16) ist, die mit ihren beiden Enden gegenüber einem Photoemitter (9), der mit einer elektrischen Energiequelle (10) verbunden ist, und einem lichtempfindlichen Empfänger (14) endet, der mit dem Mikroprozessor (5) verbunden ist, wobei sich der Photoemitter (9) und der lichtempfindliche Empfänger (14) in dem Behälter (1) befinden;

- wobei das System umfaßt: einen Zuteilungsposten (30) für die Ringe an die Personen, der eine Gruppe von Apparaten (31, 33) umfaßt, die mit dem Computer (20) in Verbindung stehen, indem sie ihm die Zuweisungsordnungen einer Person und eines an ihr befestigten Ringes übertragen und von dem Computer (20) zur weiteren Übertragung an den Behälter (1) ein Signal erhalten, das die Funktion des Mikroprozessors (5) wiederherstellt und dort in den Speicher den Algorithmus einschreibt.

2. System zur Identifizierung von Personen nach Anspruch 1, dadurch gekennzeichnet, daß das Signal, das die Funktion des Mikroprozessors (5) wiederherstellt und dort in den Speicher den Algorithmus einschreibt, zur tragbaren Anordnung mit Hilfe einer elektrischen Leitung (36) übertragen wird, die von einer Antenne (52) abgeschlossen wird, die auf einen auf einige Zentimeter begrenzten Abstand sendet.

3. System zur Identifizierung von Personen nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß der Algorithmus aus einem bestimmten, mit jeder Person verbundenen Code (Ci) und einem periodisch erneuerten Code (K) besteht.

4. System zur Identifizierung von Personen nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß es für den Zugang in einen abgrenzten Bereich verwendet wird, wobei sich die Ringe außerhalb dieses abgegrenzten Bereichs befinden, wobei die Sende-Empfängerapparaturen in der Nähe von Schleusen (26) angeordnet sind, die den Zugang in den abgegrenzten Bereich steuern, und die Signale aussenden, wenn die Person in der Schleuse eingeschlossen ist, und den Zugang in den abgegrenzten Bereich (25) freigeben, wenn die Identifikation durchgeführt wurde.

5. System zur Identifizierung von Personen nach Anspruch 4, dadurch gekennzeichnet, daß jede Schleuse ebenso wie jeder Zuteilungsposten (30) mit einer Waage (32, 43) versehen ist, wobei das Gewicht des Schleuseninhalts (26) im Moment der Identifizierung der Person in der Schleuse mit dem Gewicht der Person verglichen wird, wenn der Ring (2) mit der Person im Zuteilungsposten (30) in Verbindung gebracht wurde.

6. System zur Identifizierung von Personen nach einem der Ansprüche 1 oder 3, dadurch gekennzeichnet, daß es verwendet wird, um den Service für Anschlußstationen eines Informatiksystems mit einem Computer (20) zu gestatten, wobei ein Sender-Empfänger (64) in jede Anschlußstation integriert ist, wobei die im Service befindlichen Anschlußstationen mit dem Computer in Verbindung stehen, der die Ringe (2) der den Service an der Anschlußstation durchführenden Person abfragt.