FR2522850A2 - Systeme de controle par exemple pour le passage de points de peage - Google Patents

Abstract

UN SYSTEME DE CONTROLE D'UNE OPERATION COMPORTANT NOTAMMENT UN PAIEMENT COMPREND AU MOINS UN TERMINAL 11 ET UNE PLURALITE D'OBJETS PORTATIFS 10 QUI PEUVENT ETRE COUPES, DE PREFERENCE SANS CONTACT, AVEC CE TERMINAL. LE TERMINAL EMET DES MESSAGES D'INTERROGATION REPETES PROPRES A DECLENCHER, LORSQU'UN OBJET EST COUPLE AVEC LUI, LA LECTURE DU CONTENU D'UN REGISTRE A DECALAGE 60, 190 DANS CE DERNIER. APRES TRAITEMENT, LE TERMINAL 11 REINSCRIT DANS CE REGISTRE UNE INFORMATION REACTUALISEE. CETTE REINSCRIPTION N'EST AUTORISEE QU'APRES VERIFICATION PAR UN COMPARATEUR 240 DE LA CONCORDANCE D'UNE INFORMATION DE VALIDITE MEMORISEE DANS LE REGISTRE A DECALAGE 60, 190 AVEC UNE INFORMATION DE CONTROLE TRANSMISE PAR LE TERMINAL 11 DANS UN REGISTRE 220 DE L'OBJET PORTATIF. CETTE INFORMATION DE CONTROLE EST PRODUITE PAR LE TERMINAL APRES DECODAGE DE L'INFORMATION DE VALIDITE CONTENUE DANS LE MESSAGE ISSU DE LA LECTURE DE L'OBJET PORTATIF 10.

Description

Système de contrôle par exemple pour le passage de points de péage.

La présente invention a pour objet un système de contrôle du type dans lequel une information mise en mémoire dans un objet portatif peut être contrôlée en associant l'objet à un terminal qui délivre ou non une autorisation selon le résultat de ce contrôle. Elle vise par exemple des équipements de postes de péage dans lesquels un tel objet, porté par une personne ou un véhicule, par exemple, est présenté à un dispositif de contrôle qui n'autorise le passage que si l'information mémorisée traduit le paiement d'un montant suffisant et/ou une date limite de validité convenable.

On contact des systèmes de contrôle d'accès qui mettent en oeuvre des cartes pourvues d'une mémoire à piste magnétique, propres à être introduites dans la fente d'un terminal ou dispositif de contrôle d'accès à l'intérieur duquel est lue l'information portée par la piste magnétique. Lorsque cette information est reconnue convenable, une autorisation d'accès est délivrée en même temps qu'une information nouvelle est inscrite sur la piste magnétique avant que l'utilisateur ne la retire de la fente. Cette inscription peut être soit identique à la précédente, soit modifiée en fonction de paramètres qui dépendent du type de contrôle envisagé.

Les dispositifs de contrôle d'accès à carte magnétique sont cependant parfois d'une utilisation peu aisée en raison de l'étroitesse de la fente dans laquelle doit être insérée la carte pour une lecture précise de son contenu par des transducteurs appropriés. Ainsi, lorsque le dispositif de contrôle d'accès ést utilisé sur certains équipements, tels que par exemple des remontées mécaniques dans les stations de sports d'hiver, le maniement de cartes par des utilisateurs dont les mains ne sont pas libres, s'avère particulièrement lent et mal commode.

Les cartes magnétiques présentent en outre l'inconvénient que les inscriptions pu'elles portent peuvent être lues par des fraudeurs relativement facilement à l'aide d'un équipement approprié en vue de la reproduction illicite de ces inscriptions sur une carte vierge.

De plus, la quantité d'informations enregistrées sur la ou les pistes magnétiques est très vite limitée par les dimensions physiques de la ou des pistes magnétiques, de la qualité des transducteurs et de la proximité de ceux-ci avec la ou les pistes magnétiques.

Enfin, les équipements de lecture de ces cartes sont chers de parfois mal adaptés à des conditions d'environnement sévères. Ils nécessitent en effet la présence de transducteurs magnétiques relativement coûteux et de moyens de déplacement de la carte relativement aux transducteurs ou vice versa qui les rendent à la fois complexes et sujets à des pannes, particulièrement lorsqu'ils doivent fonctionner dans des lieux peu protégés contre les intempéries et les variations de température.

On a également proposé un dispositif de contrôle dans lequel un jeton peut être couplé avec un terminal afin d'assurer un transfert de données entre ce jeton et un calculateur dans le terminal. Le jeton comprend un élément de mémoire à registre à décalage dont les informations peuvent être lues lors de chaque transaction par le terminal. Après traitement par celui-ci, une nouvelle information est écrite dans la mémoire à registre à décalage.

Selon une forme de réalisation d'un tel système, le couplage entre le jeton et le terminal s'effectue par induction.

Afin d'éviter que le registre ne puisse être réinscrit en fraude, un dispositif de vérification est prévu qui permet de comparer un caractère de contrôle de validité de la carte avec un caractère d'identification inscrit de façon permanente dans le jeton. La coincidence de ces deux informations permet d'inscrire une nouvelle information dans le registre de mémoire du jeton couplé au terminal. Afin d'éviter la fraude qui consisterait à essayer de déterminer le caractère d'identification préinscrit dans le jeton par un grand nombre d'essais successifs, un comptage du nombre de tentatives d'inscriptions infructueuses est effectué. Lorsque ce nombre dépasse un seuil prédéterminé, le jeton peut être invalidé.

Cependant, un même caractère d'identification doit être utilisé dans un très grand nombre de jetons. I1 existe donc un risque, qu'à la longue le caractère d'identification de ces jetons ne finisse par être connu, ouvrant ainsi la porte à la fraude qui consisterait à réinscrire un jeton à l'aide d'informations correspondant par exemple à un nombre d'unités de paiement supérieur au nombre d'unités pour lequel le jeton a été acquis.

La présente invention vise notamment à améliorer la sécurité de systèmes qui mettent en oeuvre des terminaux de contrôle et des objets portatifs à mémoire électronique, contre la réinscription non autorisée de données dans la mémoire de ces objets. Elle vise en particulier à réaliser un tel objet d'une manière extrêmement simple de façon à en maintenir le coût à un niveau très faible, tout en permettant de l'utiliser pour des transactions nécessitant une bonne sécurité contre la fraude.

Selon un aspect, l'invention est donc relative à un objet portatif pour un système de contre, et par exemple un système de contrôle d'une opération comportant un paiement, du type comprenant un circuit électronique avec au moins une mémoire à registre à décalage pour mémoriser une information utile, cette information pouvant notamment comporter l'indication d'un nombre d'unités de paiement.

L'objet est équipé d'un dispositif émetteur-récepteur permettant de le coupler avec un terminal équipé d'un dispositif de même type de façon à permettre l'échange d'informations entre eux. De préférence, le système émetteur-récepteur est du type sans contact et propre à émettre des signaux de bits série correspondant à l'information lue dans le registre et à recevoir des signaux de méme type pour réinscrire une nouvelle information utile dans le registre. Des moyens d'enregistrement d'une information de contrôle dans ledit objet sont prévus, associés à un dispositif de vérification de la concordance de cette information de contrôle avec une information de validité mémorisée dans cet objet en vue d'autoriser la réinscription d'une information utile.

Cette information de validité est inscrite dans la mémoire à registre à décalage en même temps que l'information utile et peut être modifiée à chaque réinscription.

Grâce au renouvellement de l'information de validité, à chaque réinscription, il est très difficile pour un fraudeur de connaître cette information en vue d'émettre en direction de l'objet une information de contrôle correspondante en vue d'autoriser la réinscription. En outre, en opérant la vérification de concordance entre l'information de validité et l'information de contrôle à l'intérieur de l'objet, on évite la fraude qui consisterait à déclencher à partir de la lecture d'un premier objet un signal d'autorisation de réinscription qui pourrait être utilisé pour la réinscription d'un deuxième objet qui aurait été entre temps substitué au premier objet. En effet, le terminal ne peut procéder à cette réinscription que lorsqu'il reçoit le signal d'autorisation de l'objet à réinscrire lui-même.

De préférence, l'information ou code de validité de l'objet portatif est transmise au terminal lors de la lecture de sa mémoire à registre à décalage. Elle est extraite de l'ensemble des informations lues par le terminal dans l'objet pour être transmise vers le registre de contrôle de celui ci afin de permettre la vérification de concordance.

Selon un mode de réalisation avantageux, on prévoit que l'information de validité est une partie de l'information utile. Dans ce cas, il est commode de prévoir à l'avance qu'un certain nombre de bits dans des positions dispersées du registre à décalage constituent l'information de validité.

Les cellules du registre à décalage correspondant à ces bits sont reliées au dispositif de vérification. Selon une forme d'exécution, le cablage de liaison entre les cellules ou positions de mémoire du registre à décalage qui contiennent l'information de validité et des entrées respectives du dispositif de comparaison est brouillé. Ainsi, lorsque l'information de validité est comparée bit à bit à l'information de contrôle, l'ordre de succession des bits de cette dernière est différent de celui de l'information de validité. Le terminal tient compte de ce brouillage pour produire 1' information de contrôle.

Selon une forme de réalisation offrant un degré particulièrement élevé de sécurité,.on prévoit de relier le dispositif de vérification par une première liaison à des cellules du registre à décalage affectées à l'information de validité et par une deuxième liaison à des cellules du dispositif enregistrant l'information de contrôle et on dispose sur l'une au moins de ces liaisons un codeur destiné à brouiller la correspondance entre l'ordre de comparaison des bits de ces informations et leur ordre de transmission série.

L'invention vise en outre un système de contrôle d'une opération, notamment d'une opération comprenant un paiement, qui comprend un ensemble d'objets portatifs propres à mémoriser chacun une information utile, et un terminal de con trôle auquel peut être couplé chaque objet portatif pour effectuer une lecture de l'information utile enregistrée dans ce dernier et permettre l'inscription d'une nouvelle information utile après traitement de l'information lue par le terminal.Dans ce système, le terminal de contrôle est propre à sélectionner, parmi les informations transmises lors de la lecture de la mémoire de l'objet portatif, des bits d' informations de validité à partir desquels il engendre une information de contrôle qui peut être retransmise à l'objet portatif, la vérification d'une concordance entre l'information de contrôle et l'information de validité étant nécessaire pour autoriser la réinscription de la mémoire de l'objet portatif.

Selon une forme de réalisation préférée, le terminal comprend des moyens de traitement propres à réordonner l'information de validité extraite de la lecture de l'objet portatif pour en tirer l'information de contrôle en fonction d'un code prescrit.

L'invention vise également d'autres modalités de réalisation du système de contrôle qui vient d'être évoqué.

Selon un mode de réalisation, le terminal est prévu pour émettre en permanence des messages d'interrogation propres à déclencher dans un objet portatif qui lui est présenté une procédure de transmission vers ce terminal des informations mémorisées dans cet objet. Ces informations sont reconverties au terminal en signaux électriques acheminés à une unité de gestion.

I1 est souhaitable que l'un au moins des composants du système émette ou capte les signaux transmis seulement à l'intérieur d'un faisceau étroit afin que les signaux échangés entre le terminal et l'objet qui lui est présenté restent très localisés. On évite ainsi qu'ils ne perturbent la mémoire d'autres objets portatifs, tels que ceux de skieurs voisins dans une file d'attente à une remontée mécanique, par exemple, ni ne puissent être captés aisément à l'extérieur du terminal en vue de leur reproduction dans un but frauduleux.

Divers types de signaux peuvent être utilisés pour la mise en oeuvre de l'invention. Par exemple, on peut émettre des ondes lumineuses dans l'infrarouge à l'aide de diodes électroluminescentes. On peut également utiliser de petits émetteurs récepteurs d'ondes électromagnétiques hyperfréquence, ou des transducteurs de signaux acoustiques qui peuvent avantageusement fonctionner alternativement en'émission et réception.

De préférence un objet portatif électronique pour un système de contrôle selon l'invention comprend une source d'énergie pour l'alimentation autonome des circuits de cet objet.

De préférence également un terminal pour un système de contrôle selon l'invention comprend un émetteur de signaux logé au fond d'une chambre de dimensions latérales relativement restreintes, limitée par des parois absorbant l'énergie émise et comprenant une ouverture à une extrémité opposée à l'émetteur pour ne permettre la sortie de l'énergie émise que dans un faisceau relativement étroit en direction d'un objet portatif présenté devant cette ouverture.

On peut avantageusement prévoir d'équiper l'objet portatif d'un bracelet qu'un utilisateur peut attacher à son poignet de façon à en permettre la présentation aisée devant l'ouverture du terminal de contrôle.

Dans le cas de stations de sport d'hiver, par exemple, équipées d'un système de contrôle d'accès aux remontées mécaniques, un tel objet peut être avantageusement remis à chaque skieur au début du séjour contre le versement d'une caution et après paiement d'une somme correspondant à un nombre déterminé de passages aux points de péage des installations et/ou à une qate limite d'utilisation, ce nombre et/ou cette date étant inscrits dans la mémoire au moment de la remise de l'objet au skieur.

La présentation devant un terminal de contrôle d'un tel objet portatif est aisée. I1 n'est en effet pas nécessaire d'introduire cet objet portatif dans un logement relativement exigu. Lorsqu'on utilise des ondes acoustiques pour les échanges de signaux, il n'est pas obligatoire d'extraire celui-ci d'un réceptacle tel qu'une poche de vêtement et de l'exposer pour le mettre en contact avec le terminal. I1 peut en effet coopérer avec ce dernier sans contact direct et même à travers plusieurs épaisseurs de tissu ou analogue.

L'objet portatif peut être constitué de façon simple, par exemple avec des transducteurs acoustiques aptes à fonctionner en émission et réception et pouvant être réalisés à peu de frais sous une forme purement statique, avec les transducteurs piézo-électriques actuels.

La description suivante d'exemples de réalisation est donnée à titre d'exemple non limitatif en référence aux dessins annexés, dans lesquels : la figure 1 représente un objet portatif conforme à l'in vent ; la figure 2 représente un terminal de contrôle d'accès appartenant à un système selon l'invention ; la figure 3 représente schématiquement un circuit électronique à l'intérieur de l'objet portatif de la figure 1 la figure 4 représente schématiquement une partie d'un circuit équipant le dispositif de la figure 2 la figure 5 est un diagramme de signaux d'un type qui peut être mis en oeuvre dans le cadre de l'invention ; la figure 6 représente une autre forme de réalisation du circuit de la figure 4 la figure 7 est un diagramme de signaux de lecture et d'écriture',du dispositif de la figure 6 les figures 8 à 10 illustrent trois variantes de réalisation de la mémoire à registre à décalage de son dispositif de vérification de concordance associé, dans un circuit analogue à celui de la figure 6.

Un objet portatif 10 (figure 1) comprend un support en matière plastique 12 de forme générale rectangulaire et de faible épaisseur dont l'allure n'est pas sans rappeler celle d'un boîtier de montre par exemple. Ce boîtier 12 est relié sur deux côtés opposés à deux lanières 14 et 15 d'un bracelet permettant à un utilisateur d'attacher ce boîtier 12 autour de son poignet.

Sur la face supérieure du boîtier 12 est ménagée une fenêtre 16 pour l'affichage, par exemple à l'aide de cristaux liquides, d'informations mises en mémoire dans un circuit électronique noyé dans la masse du boîtier 12 et dont la structure est explicitée en référence à la figure 3. Dans la partie centrale de la face supérieure du boîtier, on a représenté par un trait pointillé 18, la trace de la face active d'un cristal piézo-électrique noyé également dans la masse du boîtier 12. Un couvercle 20 à la surface supérieure du boîtier 12 permet l'accès à un compartiment destiné à recevoir une pile d'alimentation des circuits intégrés C-MOS constituant la partie électrotlique de l'objet 10.

Sur l'une des faces latérales 22 du boîtier 12 fait saillie un bouton 24 de commande de l'affichage dans la fenêtre 16 des informations mémorisées dans l'objet 10.

Le cristal piézo-électrique dont la trace apparaSt en 18 est destiné à émettre des ondes acoustiques à une fréquence ultra sonore choisie par exemple dans une fourchette de 50 à 150 kHz, dans un angle solide très petit perpendiculairement à la surface supérieure du boîtier 12.

Un terminal de contrôle d'accès 11 (figure 2) comprend une embrase 30 destinée à être fixée au sol d'un couloir d'accès.

De l'embase 30 dépend une potence 32 au sommet de laquelle est montée une boîte 34 de forme sensiblement parallélépipédique et ouverte sur sa face verticale avant 36, qui limite une enceinte au fond de laquelle est logé un transducteur acoustique 40 (figure 4) fonctionnant à la fréquence sélectionnée mentionnée ci-dessus. Ce transducteur de faible puissance mais très directif est du type piézo-électrique.

I1 est rendu encore plus directif pa:: a position au fond de l'enceinte 34 et par la forme et le revêtement interne de cette enceinte. Les parois de l'enceinte absorbent les ondes qui les frappent de sorte que pratiquement seules parviennent à l'ouverture 36 les signaux émis dans un faisceau de faible ouverture angulaire. I1 est alimenté à partir de circuits électroniques logés dans l'embase 30.

Le circuit de commande de ce transducteur 40 (figure 4) comprend un amplificateur 42 branché aux bornes du cristal 40 et relié par une ligne 45 à un circuit de réception non représenté dans 1'embase 30 et un transistor 44 dont la base est commandée par une ligne 46 reliée à un circuit d'émission non représenté, également logé dans l'embase 30, pour la commande de l'émission de signaux ultra-sonores par le transducteur 40.

Les dimensions de l'ouverture 36 sur la face avant de la boite sommitale 34 de la potence 32 sont, par exemple, d'environ 50 mm x 50 mm. La hauteur de la potence est choisie à la hauteur de taille d'une personne de stature moyenne, de telle sorte qu'il est aisé pour toute personne portant un objet portatif tel que 10 à son poignet, de présenter la face supérieure du boîtier 12 devant la face 36 de l'enceinte du terminal 11. Dans cette position, les transducteurs acoustiques de l'objet 10 et du terminal 11 peuvent échanger des signaux acoustiques en vue d'une opération de contrôle d'accès selon une procédure qui sera décrite ci-après.

Le transducteur piézo-électrique de l'objet portatif 10 est représenté en 50 sur la figure 3, sous la forme schématique d'un haut-parleur. I1 n'est pas nécessaire qu'il présente des caractéristiques de directivité analogues à celles du transducteur 40. Aux bornes de ce cristal sont montés, d'une part, un circuit d'émission comprenant un transistor 52 dont la base est commandée par une ligne 53 en sortie d'un codeur 54 et, d'autre part, un circuit de réception comprenant un amplificateur 55 dont l'entrée 57 est reliée au cristal 50.

Le cristal piézo-électrique 50 est alimenté par une pile 51 logée dans le compartiment fermé par le couvercle 20 qui est destiné à fournir l'énergie à tous les éléments actifs du circuit de la figure 3.

Un circuit intégré à registre à décalage est réalisé en trois parties représentées de façon distincte pour la clarté des explications : un registre à décalage 60 qui comporte entre 60et 2000 cellules (60 à 2000 bits correspondant aux informations à stocker) connectées en série avec une entrée 62 et une sortie série 64 reliée d'une part au codeur 54 et d'autre part à l'entrée 161 d'un multiplexeur 160 ; un registre à décalage dit de lecture 80 connecté en tête du registre 60 ; et un -autre registre à décalage dit d'écriture 90 connecté en tête du registre 80 par la liaison 91.

Les informations stockées dans le registre 60 peuvent être visualisées par l'interméidiairevdes sorties parallèles 68 de ce registre connectées aux entrées 70 du dispositif d'affichage 16. Les tracés des lignes 71 sont, prévus de manière à établir une correspondance, en principe gardée secrète, entre les bits de sortie du registre 60 et les bits d'entrée de l'afficheur 16. Autrement dit, on prévoit que l'information aux sorties 68 du registre 60, qui peut correspondre à une information de quantité ou à une date limite de validité, est codée de telle manière que, lorsque les bits 68 sont transmis aux entrées 70 de l'afficheur, ce dernier fasse apparaître une indication correspondant en clair au contenu des informations stockées dans le registre 70. L'afficheur est mis sous tension par une ligne de commande 73 à travers le bouton poussoir 24.

L'entrée 62 du registre 60 est connectée à la sortie 81 du registre 80 qui reçoit sur son entrée série 84 la sortie série 92 du registre 90. L'entrée 94 du registre 90 reçoit par l'intermédiaire du multiplexeur 160, soit les informations issues du registre 60 (celui-ci étant alors rebouclé sur lui-même par la ligne 65) soit les informations en provenance du décodeur 100 dont l'entrée est connectée par une ligne 58 à la sortie de l'amplificateur 55.

La sortie 101 du décodeur 100 est également reliée à l'entrée série 124 d'un registre à décalage 120 dont la sortie est réunie à l'entrée série 114 d'un second registre à décalage 110. Les nombres de cellules des registres 110 et 120 sont respectivement équivalents aux nombres de cellules des registres 80 et 90. Les sorties parallèles des registres 110 et 80 sont appliquées aux entrées parallèles d'un comparateur 130. La sortie 131 de ce comparateur est mémorisée par une mémoire 151. La sortie de cette mémoire agit sur une horloge interne 152 et sur un circuit logique "ET" 154.

L'horloge interne 152 est propre à produire des impulsions qui sont transmises à l'entrée 171 d'un multiplexeur 170.

La sortie de ce multiplexeur est reliée aux entrées horloges de décalage des trois registres 60, 80 et 90.

Le décodeur 100 possède une sortie d'horloge 102 qui est connectée aux entrées d'horloge de décalage des registres 110 et 120 et à l'entrée 172 du multiplexeur 170.

Les sorties parallèles des registres 120 et 90 sont appliquées aux entrées parallèles du comparateur 140. La sortie 141 de ce comparateur est mémorisée par une mémoire 150.

La sortie de cette mémoire agit sur le circuit logique "ET" 154 dont la sortie modifie par l'intermédiaire des entrcs 164 et 173 respectivement l'état des multiplexeurs 160 et 170. Le circuit d'horloge 152 comprend un compteur qui compte un nombre d'impulsions équivalent au nombre de cellules constituant l'ensemble des registres 90, 80 et 60 avant de délivrer un signal entraînant la remise à zéro des mémoires 151 et 150 et d'arrêter l'émission d'impulsions.

Le codeur 54 est propre à convertir des signaux du type NRZ tels que représentés à la figure 5A et issus d'une lecture en série du registre 60 de signaux par exemple biphase différentiels du type représenté à la figure 5B. Dans ces derniers chaque passage d'un bit au suivant est marqué par une transition. En outre, aux bits nuls correspond une fréquence de transition double de celle des bits de niveau 1. Ce type de signaux biphase permet d'exciter, tant en émission qu'en réception, les transducteurs 50 et 40.

Dans le circuit de la figure 3, les signaux biphase différentiels du type représenté à la figure 5B captés par le transducteur 50 sont décodés par le décodeur 100 pour produire, d'une part, des signaux de données du type NRZ (figure 5A) sur la sortie 101 et, d'autre part, des signaux d'horloge sur sa sortie 102.

En fontionnement, le transducteur 40 (figure 4) du terminal de contrôle d'accès 11 émet périodiquement, par exemple tous les 200 millisecondes, une séquence de bits ou message d'interrogation. Si un objet portatif 10 a été placé devant l'ouverture 36, cette séquence est captée par le transducteur 50 (figure 3). Le message correspondant apparaît à la sortie 85 du décodeur 84 et est enregistré séquentiellement dans les registres à décalage 120 et 110, sous la commande du signal de cadencement, l'état de repos des multiplexeurs 160 et 170 établissant respectivement les liaisons 161-163 et 171-174. A la fin de cet enregistrement, le comparateur 130 émet un signal sur sa sortie 131, si les contenus des registres 80 et 110 coïncident . Dans le cas contraire, la lecture de l'objet portatif n'est pas poursuivie.On obtient ainsi une première sécurité contre les tentatives d'utilisation d'objets portatifs non autorisés dans le système d'accès. on remarque que l'ordre de transmission des bits de l'un des registres 80 ou 110 au comparateur peut être modifié par un câblage approprié de façon à chiffrer la correspondance entre le message issu du terminal et le message contenu dans le registre 80 conformément aux explications données ci-dessus pour la liaison entre le registre 60 et l'afficheur 16.

Si le comparateur 130 délivre à sa sortie 131 un signal de validation, ce signal est mémorisé en 151 et le circuit d'horloge 152 autorise alors la lecture série des informations issues des registres 90, 80 et 60 et leur transmission, après codage par le codeur 54, par le transducteur 50.

Le multiplexeur 160 étant en position 161, 163, les informations sorties en série du registre 80 se trouvent de ce fait réintroduites automatiquement dans les registres 90, 80 et 60.

Les informations issues du transducteur 50 sont captées par le transducteur 40 du terminal d'accès 11 qui se trouvait au repos après l'émission de son message d'interrogation. Le message résultant est transmis par la ligne 45 à un calculateur 1 o g é dans l'embase 30 de ce terminal.

Celui-ci procède à la vérification de l'information ainsi recueillie.

Le terminal d'accès 11 transmet un message de réinscription de l'objet portatif par la ligne d'émission 46 au transis tor d'excitation 44 du transducteur 40. Après sa transmission par signaux acoustiques au transducteur 50, le message amplifié puis décodé est enregistré séquentiellement dans les registres 120 et 110 sous la commande du signal de ca dencement ïssu du décodeur (sortie 102). Si la comparaison des messages contenus dans les registres 110 et 80 est correcte et que la comparaison des messages contenus dans les registres 120 et 90 indique que le message qui va suivre est une réinscription (double sécurité) les multiplexeurs 160 et 170 basculent et le nouveau message est enregistré en série dans les registres à décalage 90, & et 60 jusqu'à ce qu'ils soient entièrement remplis.Dans cette condition, la partie du message stockée dans les cases du registre 60 reliées à l'afficheur 16 correspond à une information de quantité, reflétant par exemple un nombre de points restant à utiliser pour l'accès à des remontées mécaniques nécessitant le paiement d'un nombre de points dont le montant peut être différent d'une remontée à l'autre.

Une autre information portée dans le registre 60 peut correspondre, par exemple, à une date limite d'utilisation de l'objet portatif.

Les données inscrites dans le reste du registre 60 et dans le registre 80 peuvent correspondre à des informations d'identification de la nature de l'objet portatif. Comme pour le registre 80 et/ou 110, le cablage de l'une et/ou de l'autre des liaisons des registres 90et 120 au comparateur 140 peut être brouillé.

A l'issue du message provoquant la réinscription des registres 60, 80 et 90, le registre 110 s e t r o u v e initialisé pour une séquence de lecture de l'objet portatif qui réemet alors les nouvelles informations stockées dans les registres 90, 80 et 60 pour contrôle de la conformité des inscriptions, les multiplexeurs 160 et 170 étant à nouveau en position de repos. Si cette vérification n'a pas été concluante, une nouvelle séquence de réécriture peut être tentée avant d'ouvrir le portillon. Si le résultat de cette vérification est satisfaisant, un signal d'autorisation de passage peut être délivré sur une ligne de commande 116 (figure 2) pour libérer un tourniquet 110 contrôlant le passage dans un couloir d'accès 112. A cet effet, un dispositif de blocage 114 contrôlé par la liaison de commande en 116 est prévu sur le tourniquet 114.

L'ensemble du circuit représenté à la figure 3 est intégré sur une puce noyée dans la matière plastique de la plaquette 12 formant le boîtier 12.

La figure 6 représente une variante de réalisation du circuit de la figure 3 particulièrement bien adaptée au cas où l'état initial des cellules du registre à décalage 60 est inconnu au moment de la mise sous tension de l'objet portatif, c'est-à-dire lorsque la pile 51 est chargée dans celui-ci.

On a conservé sur la figure 6 les mêmes numéros de référence pour les éléments identiques. On se bornera à décrire les éléments qui en diffèrent, avec leur fonctionnement. Au lieu d'un registre de lecture tel que 80 monté, en série avec le registre à décalage 60, l'objet portatif de la figure 6 comprend un registre de lecture 180 qui est constitué par une mémoire morte appliquant sur les entrées respectives du comparateur de lecture 230 un code d'identification en lecture invariable. Dans cet exemple, celui-ci est constitué par trois bits au niveau 1. Le comparateur de lecture effectue la comparaison bit à bit entre le contenu de ce registre 180, et le contenu d'un registre 210 équivalent au registre 110 de la figure 3. Sa sortie 231 commande la mémoire 151.

Un registre d'écriture 190 a son entrée série 194 connectée à la sortie 163 du multiplexeur 160 et son entrée 193 de cadencement connectée à la sortie 174 du multiplexeur 170.

La sortie série 191 du registre 190 est connectée à l'entrée 62 du registre de données 60. Ce registre 190 comprend dans cet exemple 16 cellules. Les sorties parallèles de ces cellules sont reliées aux entrées parallèles d'un comparateur bit à bbt "o par une liaison 241 dont le cablage est brouillé comme représenté. Le comparateur 240 est, d'autre part, connecté par une deuxième liaison multi-bit 242 aux sorties parallèles d'un registre à décalage 220 jouant le rôle du registre à' décalage 120 de la figure 3 et dont l'entrée série 224 est connectée à la sortie de données 101 du décodeur 100 et la sortie série est connectée à l'entrée série 214 du registre 210. La sortie 241 du comparateur 240 est couplée à l'entrée de la mémoire 150.

En fonctionnement, si l'on suppose que la pile 51 vient d'être nouvellement placée ou replacée, le contenu des cellules des registres 60 et 190 est aléatoire et inconnu.

Le signal d'interrogation issu du terminal (figure 7A) est composé d'une série de bits de synchronisation constituée par des bits de niveau O (série 300) immédiatement suivis par un train de trois bits de lecture 302 composés de bits au niveau 1. Ce signal est répété périodiquement. Lorsqu'il est capté par le transducteur 50 du circuit de la figure 6, le registre de contrôle de lecture 210 se trouve chargé par trois bits de niveau 1. Un signal de cotncidence apparaît à la sortie du comparateur 230 qui met à 1 la mémoire 151.

Comme précédemment, l'horloge 152 se trouve déclenchée et permet, par les entrées de cadencement 63 et 193, la lecture en série des registres à décalage 60 et 190 dont le contenu est inconnu. Cette information est conservée grâce au rebouclage 65. L'enveloppe du signal de lecture est représentée schématiquement en 304 sur la figure 7B. Elle suit la fin du train 302. La fin du signal de lecture 304 est suivi d'un temps de traitement TT (figure 7B) au bout duquel le terminal renvoie un nouveau train de synchronisation 300 suivi d'un train de 16 bits de code écriture 306.

Ce train est composé de bits correspondants aux 16 derniers bits ayant été reçus par le terminal à la fin de l'interrogation en lecture de l'objet portatif. I1 correspond donc en principe au contenu du registre d'écriture 190 en tenant compte du brouillage des pistes de la liaison 241. Le ter minal est informé du code de brouillage. En conséquence, le code écriture 306 est envoyé dans le registre de contrôle d'écriture 220. Si ce code correspond effectivement au contenu du registre d'écriture 190, le comparateur 240 fait basculer la mémoire 150. Dès lors, la boucle 65 est ouverte comme dans le cas de la figure 3 (commutation du multiplexeur 160).Le train d'impulsions 308 suivant immédiatement le code écriture 306 se trouve alors introduit dans des registres 60 et 190 en série. I1 se termine en 309 lorsque l'information de ces registres. a été entièrement renouvelée. Comme précédemment, un nouveau signal d'interrogation en lecture 300, 302, est envoyé par le terminal pour provoquer une lecture de vérification 304 (figure 7B).

L'information entrée dans le registre 190 a été élaborée par le terminal. Elle peut correspondre à un code de validité spécialement choisi parmi un très grand nombre de codes. Ce code de validité peut résulter également dune partie de l'information entrée dans la mémoire constituée par les registres 60 et 190. Lors de la prochaine lecture, cette information sera prise en compte par le terminal pour, après vérification de la suffisance du nombre d'unités de paiement contenu dans le registre 60 et des autres conditions de validité du titre de paiement présentées par l'objet portatif, former un code de contrôle en écriture.

Celui-ci, après vérification avec le code de validité 190, déclenchera l'autorisation de réinscription d'un nouveau message. Ainsi il n'est pas possible d'utiliser cette autorisation pour l'inscription d'un autre objet portatif.

Même si le contenu des registres 60 et 190 peut être lu à la suite de la découverte du code du registre 180 par un fraudeur éventuel, il sera extrêmement difficile à celuici de découvrir la clé ouvrant l'accès à la réinscription de la mémoire à registre à décalage.

On a représenté pour la simplicité des explications, les registres 60 et 190 distincts l'un de l'autre. En pratique ils peuvent être constitués par un seul et même registre.

On peut d'ailleurs améliorer encore la sécurité du système avec un seul registre à décalage 365 (figure 8) dans lequel sont stockées l'ensemble des informations à mémoriser dans l'objet et qui est rebouclé sur lui-même par une boucle 165 entre sa sortie série 164 et son entrée série 166 à travers un multiplexeur 260 commandé de la même façon que le multiplexeur 160 de la figure 6. Le comparateur d'écriture 240 est remplacé par un comparateur 340 dont les entrées 341-1 à 341-n sont reliées à n sorties parallèles du registre 365 dispersées sur toute la longueur de celui-ci1 comme représenté par les conducteurs de la liaison 342. Celle-ci peut être en outre brouillée par un cablage approprié comme dans le cas de la liaison 241 de la figure 6.Le comparateur 340 effectue la comparaison bit à bit des informations présentes sur ses entrées 341-1 à 341-n et de celles présentes sur ses entrées 343-1 à 343-n en provenance d'un registre de contrôle d'écriture 320 analogue au registre 220 dans son rôle et dans ses connexions. La position des n cases 300-1 300-2, 300-n du registre 365 relié au comparateur 340 est connue de tous les terminaux du système. Ces derniers sont donc à même de tirer de l'ordre de succession temporel des bits reçus en lecture du registre 365 une information sur le code de validité contenu dans ce registre à un stade donné de son utilisation; Cette information de validité est renouvelée à chaque réinscription. Les bits des cellules 300-1, 300-2 à 300-n peuvent bien entendu faire partie de l'information utile stockée dans le registre 365.

La structure de la figure 8-peut encore être améliorée si, au lieu de faire correspondre à chacune des n entrées 341-1 à 341-n du comparateur 340, une seule cellule du registre 365, on lui fait correspondre plusieurs cellules, par exemple trois, numérotées 302-1 à 302-3 dans le cas de l'entrée 341-1 de la figure 9, parmi p sorties parallèles du registre 365. Les liaisons entre cette entrée et ces différentes cellules (303-1, 303-2, 303-3) comportent des fusibles 305 qs peuvent être sélectivement fondus par microprogrammation de façon à ne laisser active qu'une seule des liaisons 303-1 à 303-3 avant la mise en service des objets portatifs à mémoire. Bien entendu, les terminaux sont adaptés en fonction du code particulier adopté pour la fusion des fusibles 305.

Le système de liaison à fusible de la figure 9 peut être remplacé par un système de codage ou de multiplexage 350 de type actif établissant une correspondance déterminée entre un contenu des cellules 302-1 à 302-p du registre 365 et la combinaison de signaux sur les entrées 341-1 à 341-n du comparateur 340. Dans le cas de la figure 10 Dar exemple, un codeur 351 reçoit sur quatre entrées les signaux correspondants au contenu des cellules 302-1 à 302-4. Il reçoit sur son entrée 356 un signal qui, suivant qu'il est présent ou absent, modifie la liaison entre les cellules 302-1 à 302-4 et la sortie 352 du codeur reliée à l'entrée 341-1. Ce signal sur l'entrée 356 dépend lui-même du signal de sortie 357 d'un dispositif de codage 355 reliant plusieurs cellules du registre 365 à une entrée 341-2 du comparateur 340.

La clé de code mise en oeuvre par un circuit de codage tel que 350 est connue des terminaux de lecture. Elle réalise un brouillage difficile à percer de la correspondance entre les différentes combinaisons de bits de validité qui peuvent être inscrites dans lue registre 365 et l'information de contrôle qui doit être appliquée dans le registre 320 pour permettre la réinscription du registre 365.

On remarque qu'on a ainsi conçu un système de contrôle d'accès particulièrement simple, ne comportant pas de pièce mécanique mobile, insensible aux champs magnétiques, et qui peut être facilement protégé contre les actions extérieures.

Ce système est d'emploi facile pour les utilisateurs, notamment mais non exclusivement dans des installations où il permet de contrôler un accès. En particulier, il ne nécessite pas des opérations de maniement délicates des objets portatifs qu'il met en oeuvre. I1 permet ainsi de minimiser les pertes de temps au passage du dispositif de contrôle.

L'objet portable est d'une réalisation peu coûteuse puisque son circuit de mémoire consiste essentiellement en un registre à décalage qui fait seulement l'objet d'une lecture et d'une réinscription série à chaque opération de contrôle et cela dans des conditions de sécurité satisfaisantes.

Dans le cas où ces objets sont portés par les utilisateurs à proximité de leur corps, par exemple à l'aide d'un bracelet, le circuit électronique est maintenu à une température sensiblement constante qui en améliore encore la fiabilité de fonctionnement.

Le système peut être utilisé pour d'autres applications que le contrôle d'accès, par exemple la comptabilisation d'unités de paiement pour des jeux d'argent, courses de chevaux, le suivi de production de pièces pouvant être individualisées par le choix de certains paramètres (couleurs) ou de certaines options (construction automobile par exemple).

Claims (9)

Revendications.

1. Objet portatif pour un système de contrôle, du type comprenant un circuit électronique avec au moins une mémoire à registre à décalage (60, 190) pour mémoriser une information utile pouvant notamment comporter l'indication d'un nombre d'unités de paiement, un dispositif émetteurrécepteur (52, 50) sans contact capable, dans une condition de couplage avec un terminal dans le système de contrôle, d'émettre des signaux de bits série correspondant à la lecture de l'information dans ce registre à décalage et de recevoir des signaux de bits série pour la réinscription d'une nouvelle information utile dans ce registre à décalage (60), des moyens d'enregistrement d'une information de contrôle (220) dans cet objet et un dispositif de vérification (240) de la concordance entre l'information de contrôle et une information de validité mémorisée dans ledit objet pour délivrer une autorisation de réinscription, caractérisé en ce que ladite information de validité est modifiée avec ladite information utile.

2. Objet portatif selon la revendication 1, caractérisé en ce que ladite information de validité est formée par des éléments de l'information utile inscrits dans le registre à décalage.

3. Objet portatif pour un système de contrôle, du type comprenant un circuit électronique avec au moins une mémoire à registre à décalage (60, 190) pour mémoriser une information utile pouvant notamment comporter l'indication d'un nombre d'unités de paiement, un dispositif émetteurrécepteur (52, 50) sans contact capable, dans une condition de couplage avec un terminal dans le système de contrôle, d'émettre des signaux de bits série correspondant à la lecture de l'information dans ce registre à décalage et de recevoir des signaux de bits série pour la ré inscription d'une nouvelle information utile dans ce registre à décalage (60), des moyens d'enregistrement d'une information de contrôle (220) dans cet objet et un dispositif de véri fication (ils) de la concordance entre l'information de contrôle et une information de validité mémorisée dans ledit objet pour délivrer une autorisation de réinscription, caractérisé en ce que l'information de validité est formée de bits dispersés parmi des bits d'information utile stockés dans la mémoire à registre à décalage (365).

4. Objet portatif selon l'une des revendications précédentes, caractérisé en ce que le dispositif de vérification (240) comprend des cellules de comparaison bit à bit des informations de validité et de controle qui sont reliées à des cellules correspondantes du registre à décalage (60, 190) et/ou desdits moyens d'enregistrement (220) dans un ordre différent de l'ordre de transmission des bits de l'une de ces informations au moins.

5. Objet portatif selon l'une des revendications précédentes, caractérisé en ce que le dispositif de vérification est relié par une première liaison (350) a des cellules du registre à décalage (365) affectées à l'information de validite et par une deuxième liaison (343-1 ou 343-n) à des cellules des moyens d'enregistrement (320) de l'information de contrôle, l'une de ces liaisons comprenant un codeur (350) destiné à brouiller la correspondance entre ces informations.

6. Objet portatif selon l'une des revendications précédentes, comprenant en outre un dispositif d'enregistrement (110, 210) d'une information de contrôle en lecture et des moyens de vérification (130, 230) de la concordance entre cette information de contrôle et une information de validité mémorisée dans ledit objet portatif, caractérisé en ce que ladite information de validité en lecture est inscrite dans l'objet portatif en dehors de ladite mémoire à registre à décalage.

7. Système de contrôle d'une opération, notamment d'une opération comportant un paiement, du type comprenant un ensemble d'objets portatifs (lu), propres à mémoriser une information utile et un terminal de contrôle (11), des moyens de couplage (40, 50) entre lesdits objets portatifs et le terminal de contrôle, des moyens dans ledit objet portatif pour permettre la lecture du contenu d'une mémoire (60, 80, 90) à l'intérieur de cet objet (10) en réponse à une interrogation du terminal (11) et la réinscription d'une information utile renouvelée dans cette mémoire, transmise par le terminal, caractérisé en ce que le terminal (11) comprend des moyens pour engendrer une information de contrôle de réinscription à partir de l'information qu'il reçoit en lecture dudit objet portatif (10) et en ce que ce dernier comprend des moyens (130, 140), pour vérifier la concordance d'une information de validité enregistrée dans ladite mémoire et de l'information de contrôle transmise par le terminal pour autoriser la réinscription dans ladite mémoire (60, 80, 90) de l'objet portatif de ladite information utile renouvelée.

8. Système selon la revendication 7, caractérisé en ce que le terminal (11) est propre à effectuer un décodage de l'information reçue de l'objet portatif (10), pour produire ladite information de contrôle.

9. Système selon l'une des revendications 7 ou 8, caractérisé en ce que le terminal (11) est propre à produire une information de validité renouvelée à chaque réinscription de l'objet portatif, information de validité qui est inscrite avec ladite information utile dans ladite mémoire de l'objet portatif.