FR2910675A1

FR2910675A1 - Systeme billetique automatique, utilisant notamment des supports jetables a tres bas cout.

Info

Publication number: FR2910675A1
Application number: FR0611264A
Authority: FR
Inventors: Athis Thierry D; Gilles Betis; Bertrand Sensfelder
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2006-12-22
Filing date: 2006-12-22
Publication date: 2008-06-27
Anticipated expiration: 2026-12-22
Also published as: FR2910675B1

Abstract

L'invention concerne un système billettique automatique comportant des machines adaptées à la réalisation de transactions relatives à des titres de transport. Il comporte au moins :. un premier niveau comportant des grappes, chaque grappe regroupant un ensemble de machines, les machines composant une grappe étant interconnectées par au moins un réseau ;. un second niveau comportant au moins un réseau interconnectant l'ensemble des réseaux de troisième niveau d'une même gare ou dépôt,. un troisième niveau comportant au moins un réseau interconnectant les réseaux de seond niveau d'un même exploitant.Les machines sont adaptées à la manipulation de supports de titre de transport non réinscriptibles. Les données variables relatives aux transactions sont accessibles en lecture et/ou en écriture et propagées par les machines via les réseaux interconnectés des troisième, second et premier niveau.En particulier, l'invention s'applique aux systèmes billettiques automatiques, utilisant notamment des supports jetables à très bas coût.

Description

1 SYSTEME BILLETTIQUE AUTOMATIQUE, UTILISANT NOTAMMENT DES SUPPORTS

JETABLES A TRES BAS COUT. L'invention concerne un système billettique automatique. En particulier, l'invention s'applique aux systèmes billettiques automatiques, utilisant notamment des supports jetables à très bas coût. Ces supports jetables sont par exemple les cartes de transport, les billets, l'étiquettes pour le fret,...Ces supports jetables peuvent être notamment des billets sans contact. Les titres de transport sont traités au cours de leur utilisation par différents équipements, par exemple des portillons ou encore des valideurs.

Ces équipements accèdent aux informations contenues dans le titre de transport, déterminent le comportement adéquat à tenir, et diffusent une partie de ces informations aux autres équipements et à d'autres sites. Ces équipements ne sont pas connectés directement au site central du système ou du moins sont connectés de façon non permanente au site central (à la différence par exemple de systèmes gérant des billets électroniques qui sont connectés au site central du système en permanence ou de façon légèrement différée). C'est pourquoi les systèmes billettiques automatiques actuels sont adaptés à l'utilisation de titres de transport comportant de nombreuses informations enregistrées et manipulables par le support dudit titre de transport. Ces informations contenues sur le titre de transports sont nécessaires, de part l'accès non connecté au système central des équipements, pour contrôler efficacement la validité du titre, déterminer l'étendue des services correspondants, autoriser l'accès, gérer les flux...

Or, la présence de données lisibles et modifiables sur le support de titre induit un coût de fabrication non négligeable de ces supports. En outre, les contraintes de gestion des flux de passagers pour le transport de masse, comme par exemple le contrôle du trajet effectué par le passager et notamment l'interdiction de passer plusieurs fois par le même portillon, ou pour le fret augmentent encore la complexité et donc le coût desdits titres de transports. Le surcoût induit par ces titres de transports évolué est cohérent dans le cas des titres réutilisables, comme par exemple pour des titres de transports correspondant à un abonnement mensuel. Mais, ce surcoût devient prohibitif pour des titres à utilisation réduite. Par exemple, dans 2910675 2 certains pays, des billets à l'unité, peuvent même coûter plus cher que le prix du voyage. L'invention a notamment pour but de pallier les inconvénients 5 précités. A cet effet, l'invention a pour objet un système billettique comportant des machines adaptées à la réalisation de transactions relatives à des titres de transport. Il comporte au moins : • un premier niveau comportant des grappes, chaque grappe regroupant un ensemble de machines, les machines composant une 10 grappe étant interconnectées par au moins un réseau ; • un second niveau comportant au moins un réseau interconnectant l'ensemble des réseaux de premier niveau d'une même gare, dépôt ou lieu géographique, • un troisième niveau comportant au moins un réseau interconnectant 15 les réseaux de second niveau d'un même exploitant, ou zone géographique. Les machines sont adaptées à la manipulation de supports de titre de transport non réinscriptibles. Les données variables relatives aux transactions sont accessibles en lecture et/ou en écriture et propagées par 20 les machines via les réseaux interconnectés des troisième, second et premier niveau. Les données variables relatives aux transactions peuvent être transmises prioritairement aux machines appartenant à un même contexte 25 par rapport aux autres machines hors contexte. Dans un mode de réalisation, les données relatives aux transactions sont propagées jusque dans les machines, lesdites machines disposant d'une mémoire utilisée au moins partiellement pour stocker les 30 informations relatives aux transactions potentiellement utiles à ladite machine. Avantageusement, les données relatives aux transactions sont propagées jusque dans des serveurs de données inclus dans le premier 35 niveau et/ou le second niveau et/ou le troisième niveau.

2910675 3 Avantageusement, les données transmises par les machines lors d'une transaction sont utilisées pour dresser des listes blanches de titre de transport en cours de validité. Dans un mode de réalisation, les supports de titre de transport non réinscriptibles sont soit des supports non-modifiables, soit des supports une fois programmables comportant un numéro de série non-modifiable, soit des supports une fois programmables dans leur intégralité.

10 Dans un mode de réalisation, lorsqu'une machine effectuant des opérations relatives à la vente de ticket n'est plus connectée au réseau, la machine inscrit une indication sur le support au moment de l'émission indiquant que le titre ne doit pas être valider en s'assurant qu'il fait partie 15 d'une liste blanche de titres en cours de validité. Lorsqu'une machine effectuant des opérations relatives au contrôle d'accès n'est plus connectée au réseau, la machine peut vérifier la validité des données présentes sur le titre de transport par des moyens 20 cryptographiques, s'assurer que la rnachine émettrice dudit titre se trouve en un point du réseau non accessible depuis la date de début de validité du titre, et dans l'affirmative insérer ledit titre de transport dans une liste blanche des titres en cours de validité, et propager les données relatives à la transaction vers le reste du réseau.

25 Lorsqu'une machine effectuant des opérations relatives au contrôle d'accès est connectée au réseau mais qu'elle ne trouve pas ledit titre dans une liste blanche de titres en cours de validité, ladite machine peut s'assurer que les données présentes sur le titre de transport sont 30 cryptographiquement valides, s'assurer que la machine émettrice du titre se trouve en un point du réseau accessible mais que la machine émettrice du ticket n'est pas accessible depuis la date de début de validité du titre, marquer le titre de transport comme vendu en mode déconnecté, insérer dans une liste blanche des titres en cours de validité, et propager les données correspondantes vers le reste du réseau.

5 2910675 4 Dans un mode de réalisation, lorsqu'une machine effectuant des opérations relatives au contrôle d'accès est connectée, trouve le titre dans une liste blanche de titres en cours de validité, s'assure que les données 5 présentes sur le titre sont cryptographiquement valides, mais que la dernière opération enregistrée pour le titre de transport dans sa mémoire ou dans un serveur de données est marquée d'un lieu et d'une date ne correspondant pas à un trajet compatible avec les dates et les lieux par rapport à la présente machine mais compatible avec une autre machine située sur un 10 point du réseau non accessible depuis une durée compatible, ladite machine insère les données relatives à la validation par la présente machine dans un historique des opérations du titre en cours, et les propage vers le reste du réseau.

15 Dans un mode de réalisation, lorsqu'une machine est placée dans un mode dit simulé, celle-ci n'effectue aucun contrôle sur le titre autre que la compatibilité avec les données inscrites lors de l'émission. L'invention a notamment pour avantages qu'elle permet de réduire 20 drastiquement les coûts sans grever les performances du système billettique en termes de flux. L'invention permet d'utiliser des billets peu coûteux, dont la technologie et la production sont maîtrisées et largement répandues comme par exemple des billets utilisant la technologie RFID, voire de simple billet papier. Enfin, elle n'induit aucune augmentation significative de coûts 25 d'infrastructure. D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la description qui suit faite en regard des dessins annexés qui représentent : • la figure 1, un synoptique du système billettique selon l'invention ; • la figure 2, un synoptique d'un mode de réalisation massivement réparti du système billettique selon l'invention ; 30 35 2910675 5 • la figure 3, un synoptique d'un mode de réalisation massivement centralisée par réseau du système billettique selon l'invention. La figure 1 illustre par un synoptique un système billettique selon 5 l'invention. Le système billettique a notamment pour fonction de propager une transaction accomplie au niveau d'une des machines comprises dans le système billettique (portillons, valideurs...) vers d'autres machines intéressées par ladite transaction (dans le cas par exemple des barrières de 10 portillons, des lignes de valideurs travaillant de manière concurrente à la machine ayant initiée la transaction). Le système billettique selon l'invention assure prioritairement une transmission des données à brefs délais ( en moyenne inférieur à la seconde ) aux machines appartenant à un même contexte (c'est-à-dire situées dans une même zone géographique et traitant 15 les mêmes transactions, par exemple les machines disposées dans un même bus ou une ligne de portillons pour l'accès à un quai de la gare de départ). Le système billettique selon l'invention assure aussi une transmission des données aux machines hors du contexte mais potentiellement intéressées, par exemple les machines situées sur une étape 20 possible ou une destination du voyageur à l'origine de la transaction (une ligne de portillons à la sortie du quai de la gare de destination). Les données transmises permettent notamment de dresser des listes blanches de titre de transport en cours de validité. Ainsi, le système billettique selon l'invention permet par exemple de propager les données générées par une machine 25 émettant un titre de transport vers d'autres machines afin d'établir une liste blanche des titres émis par les machines habilitées à le faire et en cours de validité. Ces listes blanches peuvent après leur propagation être utilisées par les machines adaptées à contrôler la validité du titre. Le système billettique selon l'invention permet de propager des données entre trois principaux 30 niveaux, la propagation des données entre les différents niveaux se faisant à des vitesses inégales. Cependant, le nombre de niveaux présenté n'est en rien limitatif. L'invention s'applique tout autant à tout système billétique comportant plusieurs niveaux. Par exemple, l'invention peut s'appliquer à un système billétique comportant au moins 6 niveaux : Grappe, Gare / Dépôt / 2910675 6 Lieu-géographique, Exploitant / Zone-géographique, Interopération locale, Interopération urbaine, interopération régionale... Le troisième niveau est le niveau des exploitants (ou des 5 collectivités locales selon le cas de figure). Le troisième niveau peut comporter plusieurs exploitants gérant leur propre réseau. Le troisième niveau comporte au moins un réseau connectant les réseaux du second niveau attachés à un même exploitant. Ainsi, les réseaux du troisième niveau sont interconnectés par au moins un routeur 1 (ou passerelle) comportant 10 plusieurs liaisons 4. Le routeur 1 assure l'interconnexion entre les différentes infrastructures de chaque exploitant. Typiquement, le routeur 1 agrège les liaisons 4, ces liaisons 4 étant de type réseaux locaux (ou selon l'expression anglo-saxonne Local Area Network) et/ou réseaux publics (ou selon l'expression anglo-saxonne Wide Area Network). Ces liaisons 4 ont des 15 temps de propagations des données typiquement inférieurs à 60 secondes. Aussi, chaque exploitant dispose d'au moins un routeur 2 (ou passerelle) comportant notamment des liaisons 5 vers le routeur 2 qui lui est propre. Typiquement, le routeur 2 agrège notamment les liaisons 5, ces liaisons 5 étant de type réseaux locaux (ou selon l'expression anglo-saxonne 20 Local Area Network). Ces liaisons 5 ont des temps de propagations des données typiquement inférieurs à 4 secondes. Le routeur 2 assure l'interconnexion entre le troisième niveau des exploitants et le second niveau. Le second niveau est le niveau des gares et dépôts. Chaque exploitant dispose d'une infrastructure dans chacune de ces gares et dépôts.

25 Chaque gare et dépôt comportent un ensemble de machines 7, comme par exemple des portillons, des valideurs... Ces machines 7 sont regroupées en grappes, l'ensemble desdites grappes de machines 7 composant le premier niveau. Une grappe comporte un ensemble de machines 7 partageant un même contexte, c'est-à-dire l'ensemble des machines 7 attachés à un même 30 lieu géographique, à une même gare ou à une même station lorsque les machines 7 sont fixes (cas des trains, des tramways), à un même dépôt quand les machines 7 sont embarquées. Le second niveau comporte pour chaque gare ou dépôt au moins un réseau connectant les réseaux du troisième niveau, chaque grappe du premier niveau comportant ou 35 partageant au moins un réseau interconnectant les machines 7 qui la 2910675 7 compose. Chaque grappe de machines 7 est connecté à au moins un routeur 3 (ou passerelle) du niveau des gares et dépôts via des liaisons 6. Typiquement, le routeur 2 agrège aussi les liaisons 6, ces liaisons 6 étant de type réseaux locaux (ou selon l'expression anglo-saxonne Local Area 5 Network). Ces liaisons 6 ont des temps de propagations des données conformes aux contraintes de disponibilité des données, par exemple inférieurs à 1 seconde. Les machines 7 portables (typiquement les machines de contrôle du titre de transport) peuvent être connectées par voie aérienne au réseau de la grappe ou de la gare qui lui correspond. Aussi, les temps de 10 propagations des différents liens 4, 5, 6 et la vitesse de propagation des transactions entre les niveaux sont choisis de façon à être compatibles avec la vitesse de déplacement du voyageur et la distance entre les points de contrôle sur le trajet dudit voyageur (machine permettant le contrôle : portillon, appareil portable...). Par exemple, les temps de propagations sont 15 choisis de façon à ce que les informations nécessaires au contrôle de la transaction initiée par un voyageur sur une première machine 7 dans la gare de départ soient disponibles dans la gare destination sur une seconde machine 7 de contrôle à l'instant où le voyageur présente à la seconde machine 7 son titre de transport. Les données doivent donc être propagées à 20 toutes les machines 7 concernées, dans un même contexte à bref délai (inférieur à la seconde) et hors contexte dans un délai suffisamment court pour pouvoir effectuer le contrôle en disposant des informations relatives à la transaction. La propagation des données à toutes les machines 7 du même contexte assure par exemple qu'un titre de transport ne puisse être utilisé à 25 plusieurs reprises pour un même point de départ (fraude connue sous le terme anglo-saxon de pass-back ). La propagation des données à toutes les machines 7 concernées (dans le contexte et hors contexte) assurent encore la prohibition du clonage d'un même titre de transport, les machines 7 pouvant être programmées de façon à ne laisser passer le voyageur que lors 30 de la première présentation du titre de transport, de proche en proche. L'architecture ainsi décrite n'est pas limitative, les liens représentés étant des liens logiques. Ainsi, l'implantation physique de ladite architecture pourrait comprendre un nombre plus élevé de routeurs, ou de 35 liens, notamment pour des raisons de sécurité et de disponibilité, ainsi que 2910675 8 pour répondre à des contraintes techniques et/ou physique. De la même manière, des routeurs et passerelles peuvent être supprimés quand les réseaux peuvent être directement interconnectés. Typiquement, une petite gare ne possédant qu'une seule grappe de trois ou quatre portillons peut ne 5 nécessiter qu'un seul routeur 3 (ou passerelle). La capacité en espace de stockage des machines 7 requise pour le traitement des données relatives au titre de transport croît sensiblement linéairement avec le nombre de supports de titre de transport en cours de 10 validité. La capacité en débits requise pour le traitement des données relatives au titre de transport croît considérablement à mesure que le nombre de supports de titre de transport et le nombre de machine 7 augmente. Dans un mode de réalisation, qualifié de massivement réparti, du système billettique selon l'invention, représenté sur la figure 2 par un 15 synoptique, les données relatives aux transactions sont propagées jusque dans les machines 7, qui disposent ainsi d'une mémoire 9 utilisée au moins partiellement pour stocker les informations relatives aux transactions potentiellement utiles à ladite machine. Dans un mode de réalisation, qualifié de massivement centralisée 20 par réseau, du système billettique selon l'invention, représenté sur la figure 3 par un synoptique, les données relatives aux transactions sont propagées jusque dans des serveurs de données 15 offrant une disponibilité et un temps de réponse acceptable. Ceci permet de libérer de l'espace mémoire dans les machines 7, et de la bande passante sur le réseau du niveau des 25 grappes. Les serveurs de données 15 peuvent être inclus : • au premier niveau, dans le réseau des grappes, et/ou ; • au second niveau, dans le réseau de chaque gare ou dépôt de chaque exploitant ou d'un lieu géographique, et/ou ; • au troisième niveau, dans le réseau de chaque exploitant ou d'une 30 zone géographique, • etc., selon la nécessité. Les serveurs de données 15 doivent être accessibles de façon à ce qu'une transaction puisse être traitée, en fonction de la machine 7 qui a initié la transaction, dans une durée acceptable (de l'ordre de 250 ms pour une 35 validation de passage, machines 1). Cette durée peut néanmoins être plus 2910675 9 longue pour certaine machine ayant des contraintes différentes, comme les machines de vente ou de consultation et les machines portables. II n'est donc pas nécessaire que les serveurs de données 15 soient accessibles en moins de 250 ms, durée correspondant à la durée maximale considérée 5 comme ergonomique de validation d'un titre par une borne de contrôle. Aussi, il est possible d'adapter les machines portables de façon à ce qu'elles puissent se connecter directement via des liaisons sans fil (typiquement des liaisons GPRS, WAP, WIFI...) aux serveurs de données 15 compris dans les niveaux supérieurs, c'est-à-dire dans le réseau de chaque exploitant, et/ou 10 dans le réseau de chaque gare ou dépôt de chaque exploitant. Les deux modes de réalisation présentées du système billettique selon l'invention (massivement réparti et massivement centralisée par réseau) peuvent, selon la topologie du système, être combiner de façon à ce 15 que certaines parties de l'architecture du réseau soient réalisées selon le premier mode de réalisation, les autres parties du réseau étant réalisé selon le second mode de réalisation. Ainsi, par exemple, le mode de réalisation massivement centralisée par réseau peut être mis en oeuvre au premier et troisième niveau, le mode de réalisation massivement réparti étant alors mis 20 en oeuvre au second niveau. Le système billettique selon l'invention est adaptée à la délivrance et la manipulation de supports de titre de transport non réinscriptibles. A titre d'exemple, les supports de titre de transport non réinscriptibles peuvent être 25 un ticket ou une étiquette en papier, un support utilisant une technologie de radio-identification (ou selon l'acronyme anglo-saxon RFID pour Radio Frequency IDentification)... Les supports de titre de transport ne renferment donc pas nécessairement de données variables (par exemple, les données modifiées entre la création du titre de transport et la fin du voyage). Les 30 données variables sont alors gérées par le système billettique selon l'invention, et notamment par les machines 7 accédant, en lecture et/ou en écriture, aux informations stockées dans les mémoires 7 et/ou dans les serveurs de données 15. Le système billettique selon l'invention permet encore qu'un support de titre de transport non réinscriptible soit interopérable 35 entre plusieurs domaines géographiques et/ou plusieurs opérateurs et/ou 2910675 10 plusieurs autorités organisatrices. Bien évidemment, le système billettique selon l'invention peut aussi prendre en charge des supports de titre de transport réinscriptibles, par exemple pour prendre à la fois en charge les tickets à l'unité sur support non réinscriptible et les tickets d'abonnement 5 mensuel sur support réinscriptible. Les supports de titre de transport non réinscriptibles pris en charge par le système billettique selon l'invention sont essentiellement de trois types : 10 • les supports non-modifiables, par exemple les supports utilisant une technologie de radio-indentification en lecture seule (ou selon l'expression anglo-saxonne Radio Frequency Identification Read-Only Memory ); • les supports une fois programmables comportant un numéro de série 15 non-modifiable (ou selon l'expression anglo-saxonne One Time Programmable) ; • les supports une fois programmables dans leur intégralité (donc y compris le numéro de série), par exemple un ticket en carton ou papier.

20 Ces supports comportent donc au moins un numéro d'identification. Ce numéro est attribué de façon unique ou du moins de sorte à ce que l'événement correspondant à l'attribution d'un même numéro d'identification à plusieurs supports utilisables simultanément soit peu probable (typiquement avec une probabilité inférieure à 10"6). Lorsque aucune donnée 25 ne peut être inscrite sur le support (dans le cas par exemple des supports non-modifiables et des supports une fois programmables comportant un numéro de série non-modifiable), le numéro d'identification peut être un numéro caractérisant (par exemple, un numéro de série ou encore un identifiant compris dans le support). Ce numéro caractérisant doit être 30 unique, ou l'événement correspondant à l'attribution d'un même numéro caractérisant à plusieurs supports utilisables simultanément peu probable (typiquement avec une probabilité inférieure à 10-). Lorsque le support ne comporte aucun moyen de protection contre les copies illicites (moyens connus sous le terme d'anti-clonage), comme par 35 exemple dans le cas d'un papier ordinaire imprimé chez le client, des 2910675 11 moyens de suivi informatique des supports de titre de transport par le système selon l'invention peuvent être mises en oeuvre. Lorsque le support ne comporte aucun moyen de protection contre l'émulation, comme par exemple dans le cas des supports utilisant une 5 technologie de radio-identification, des mesures numériques et cryptographiques particulières peuvent être mises en oeuvre, soulageant l'effort de contrôle manuel. Des données initiales peuvent figurer sur le support permettant l'utilisation de fonctions de sécurité élémentaires, en particulier pour les 10 supports sans sécurité graphique (inserts, hologrammes, filigranes, etc.). Cette technique est connue sous le terme de scellement cryptographique. Un cryptage des données, par exemple en mode chaîné, avec un discriminant, constant ou de préférence variable (par exemple à l'aide de techniques désignées par les termes anglo-saxon Check-Redundancy-Code 15 ou Message-Authentication-Code) peut être mis en oeuvre pour assurer une meilleure protection contre les attaques à texte en clair connu. Des données initiales peuvent figurer sur le support permettant la mise en oeuvre de mode dégradé lorsque la machine 7 manipulant le support de transport est déconnecté du reste du système. Ces données peuvent être 20 des données relatives à la politique tarifaire applicable, l'origine, la destination, le début et la durée de validité du billet, et l'indication de délivrance en mode dégradé dudit support. L'exemple suivant illustre un codage sur un support une fois 25 programmables dans son intégralité, comme par exemple un ticket papier ou carton. L'émission du support est réalisée par une machine de vente 7 qui propage alors les données concernant ledit support aux autres machines 7 intéressées par le stockage dans leur mémoire 9 et/ou aux serveurs de données 15 concernés. Les données sont binaires (132 bits). Les données 3o sont inscrites sur le support par impression d'un code à barre (Code 128) par tranche de 33 bits. Le code barre compte ainsi 40 chiffres, codés par deux (character set C), et se compose donc de : • un codet START C (11 modules, un module étant l'unité d'épaisseur des barres et espaces), 35 • 40=2 codets numériques (20x11 modules), 10 2910675 12 • un codet de contrôle (11 modules) et • un codet STOP (13 modules). Le code barre est encadré par du vide (2x11 modules, soient au total 277 modules ). À raison de 90 modules/pouce, le code barre occupe une 5 longueur de 78,2 mm, compatible avec le format ISO ID-1 employé par exemple pour les cartes bancaires. Les données comprises dans le code barre sont représentées dans le tableau suivant : Nom du champ bits valeurs commentaires Entête date1461 11 0...1460 Jours écoulés depuis le dernier ter mars bissextile. deviceld 24 0...224û1 N d'équipement. _ sequenceNumber 16 0...65535 N de séquence de l'équipement pour le jour pour ce type de billet. Validité ù tarif 6.6 0...95* Code Tarif, incluant le niveau de réduction. validityStartTime 4.1 0...16* Si validityEndDateTime e 9 : Début de la TH* indiquée. Si validityEndDateTime = 9 : heure du CS ; dans ce cas, la valeur indique le nombre de jours de validité (validityEndDateTime = (valeur+ 1 + date1461) mod 1461). validityEndDateTime 3.3 , 0...9* origin 16 0...65535 destination 16 0...65535 Mode -- disconnectedSale r 1 Non/Oui Oui si la vente a été effectuée en mode déconnecté. linkedToPrevious 1 Non/Oui Oui si ce billet est lié au billet avec le numéro de séquence précédent (origin est un via sur le trajet complet). linkedToNext 1 Non/Oui _ Oui si ce billet est lié au billet avec le numéro de séquence suivant (destination est un via sur le trajet complet). Emetteur -- _ _ serviceProvider 12 0...4095 identification du Service Provider émetteur _ networkld 20 ,0...999999identification du réseau (EN 1545-2) 5 2910675 13 Le tableau suivant est un exemple numérique des données comprises dans le code barre d'un support délivré par le système : éléments de données valeurs valeurs binaires commentaires Entête date1461 1293 101 0000 1101 15 sept 2007 (relatif au 1 er mars 2004) deviceld x0205E3 0000 0010 0000 _ 0101 1110 0011 sequenceNumber 260 0000 0001 _ 0000 0100 Validité ù tarif 15 00 1010 Aller simple, tarif réduit (x170) 0101 0110 fonctionnaire ... validityStartTime 9 (x10) ... utilisable de 15h00 ... ... à 16h00 le lendemain. validityEndDateTime 6 (x1) origin 15230 -0011 1011 0111 1110 destination 12421 -0011 0000 1000 0101 Mode ù disconnectedSale Non 0 La vente à été faite sur une machine connectée qui à bien diffusé la transaction au reste du système au sol. IinkedToPrevious Non 0 Ce titre n'est pas en correspondance ou prolongation d'un autre billet. IinkedToNext Non 0 Ce titre n'a pas de correspondance ou prolongation sur un autre billet. Emetteur ù serviceProvider 2400 1001 0110 0000 networkld 250000 0011 1101 Réseau France (250) n 0000 1001 0000 zéro.

2910675 5 14 Les données binaires sont donc : 1010 00011010000001000000101111000110 00000010000010000101001010110001 11011011111100011000010000101000 10010110000000111101000010010000 soit en hexadécimal : 10 A IA04OBC6 020852B1 :DBF18428 9603DO90) La clef cryptographique utilisée le jour de l'émission du support (soit le 15 septembre 2007) est, en hexadécimal : 15 B461 2A2A D4A8 6C43 9112 84FD OA2E D34C. Les 64 derniers bits (ci-avant encadrés) sont cryptés en utilisant un algorithme connu par exemple le 3DES en mode CBC, IV=zero, sur les données, précédés des 60 premiers bitsde la clef cryptographique utilisée.

20 Le tampon de données à traiter est donc : B4612A2A D4A86C43 911284FD OA2ED34A A 1AO40BC6 020852B1 soit, en binaire, par groupes de 33 bits : 30 01000011010000001000000101111000, 110000000100000100001010010101100, 010010011100011001011000110010110 010001101000010111110010110001001 IA04OBC6 020852B1 DcBF18428.9603D090 25 Après cryptage et extraction des 60 bits secrets, cela donne : 8DOBE589 2719632C, 35 2910675 15 L'opération de lecture se fait en retrouvant les 4 blocs de 33 bits à partir des quatre groupes de 10 chiffres. La date (date1461) est lisible en clair, et permet de retrouver la clef cryptographique utilisée le jour de l'émission du support. Le tampon de données est constitué comme précédemment, mais 5 seuls les 192 premiers bits sont cryptés afin d'obtenir le bon IV, et les 64 derniers bits sont alors décryptés en chaînage (mode CBC). Les éléments de données serviceProvider et networkld doivent avoir des valeurs acceptables pour que le titre soit considéré comme valable. La clef cryptographique utilisée le jour de l'émission du support n'a pas besoin d'être 10 changée tous les jours. Elle doit être changée périodiquement à proportion des écoutes et des attaques potentielles au cours du temps, et donc selon l'intérêt des fraudeurs à mettre en oeuvre les attaques contre elle. En revanche, la date du jour doit permettre de retrouver la clef cryptographique employée.

15 L'opération de lecture dudit ticket est réalisable par les machines 7 du premier niveau du système billettique selon l'invention. Ainsi, une fois les données lues, celles-ci peuvent être propagées aux autres machines 7 intéressées, localement ou non, et éventuellement transmis à d'autres opérateurs. De même, les données lues peuvent être stockées 20 temporairement ou non dans les mémoires 9 des machines ayant lu ou reçu lesdites données, ou encore dans les serveurs de données 15 qui ont reçu lesdites données. Après l'émission du ticket par une machine 7, aucune autre donnée n'est ajoutée, modifiée ou supprimée.

25 Le système billettique selon l'invention peut comporter une gestion des modes dégradés. En particulier, lorsqu'une machine 7 effectuant des opérations relatives à la vente de ticket n'est plus connectée au réseau (la détection pouvant être mise en oeuvre par un signal de vie de sa connexion au 30 réseau), celle-ci ne peut pas, au moment de la vente, assurer la correcte propagation des données vers le reste du réseau. Aussi, si le support le permet, une indication est alors inscrite sur le support au moment de l'émission. Cette indication a pour fonction d'indiquer que les données variables peuvent ne pas être encore accessibles sur le réseau, et que le 2910675 16 titre ne doit pas être validé en s'assurant qu'il fait partie d'une liste blanche de titres en cours de validité. De même, lorsqu'une machine 7 effectuant des opérations relatives au contrôle d'accès comme un portillon ou un valideur n'est plus 5 connectée au réseau, celle-ci ne peut s'assurer que le titre de transport est dans une liste blanche de titres en cours de validité. La machine 7 peut toutefois, si de tels moyens ont été mis en oeuvre lors de l'émission du titre, vérifier la validité des données présentes sur le titre de transport par des moyens cryptographiques. Si la machine 7 émettrice du titre se trouve en un 10 point du réseau non accessible depuis la date de début de validité du titre, alors la machine 7 effectuant des opérations relatives au contrôle d'accès insère ledit titre de transport dans une liste blanche des titres en cours de validité, et propage ces données vers le reste du réseau. De même, lorsqu'une machine 7 effectuant des opérations 15 relatives au contrôle d'accès est connectée mais qu'elle ne trouve pas le titre dans une liste blanche de titres en cours de validité, elle s'assure d'abord que les données présentes sur le titre de transport sont cryptographiquement valides. Puis, si la machine 7 émettrice du titre se trouve en un point du réseau accessible mais que la machine 7 émettrice du ticket n'est pas 20 accessible depuis la date de début de validité du titre, le titre de transport est marqué comme vendu en mode déconnecté, inséré dans une liste blanche des titres en cours de validité, et les données correspondantes propagées vers le reste du réseau. De même, lorsqu'une machine 7 effectuant des opérations 25 relatives au contrôle d'accès est connectée, trouve le titre dans une liste blanche de titres en cours de validité, s'assure que les données présentes sur le titre sont cryptographiquement valides, mais que la dernière opération enregistrée pour le titre de transport dans sa mémoire 9 ou dans un serveur de données 15 est marquée d'un lieu et d'une date ne correspondant pas à 30 un trajet compatible avec les dates et les lieux par rapport à la présente machine 7 mais compatible avec une autre machine 7 située sur un point du réseau non accessible depuis une durée compatible, alors les données relatives à la validation par la présente machine 7 dudit titre sont insérées dans un historique des opérations du titre en cours, et propagées vers le 35 reste du réseau.

2910675 17 Lorsqu'une machine 7 est placée dans un mode dit simulé, celle-ci n'effectue aucun contrôle sur le titre autre que la compatibilité avec les données inscrites lors de l'émission.

Claims

REVENDICATIONS

1. Système billettique comportant des machines (7) adaptées à la réalisation de transactions relatives à des titres de transport caractérisé en ce qu'il comporte au moins : • un premier niveau comportant des grappes, chaque grappe regroupant un ensemble de machines (7), les machines (7) composant une grappe étant interconnectées par au moins un réseau ; • un second niveau comportant au moins un réseau interconnectant l'ensemble des réseaux de premier niveau d'une même gare, dépôt ou lieu géographique, • un troisième niveau comportant au moins un réseau interconnectant les réseaux de second niveau d'un même exploitant, ou zone géographique ; les machines (7) étant adaptées à la manipulation de supports de titre de transport non réinscriptibles, les données variables relatives aux transactions étant accessibles en lecture et/ou en écriture et propagées par les machines (7) via les réseaux interconnectés des troisième, second et premier niveau.

2. Système billettique selon la revendication 1 caractérisé en ce que les données variables relatives aux transactions sont transmises prioritairement aux machines (7) appartenant à un même contexte par rapport aux autres machines (7) hors contexte.

3. Système billettique selon l'une des quelconques revendications 1 à 2 caractérisé en ce que les données relatives aux transactions sont propagées jusque dans les machines (7), lesdites machines (7) disposant ainsi d'une mémoire (9) utilisée au moins partiellement pour stocker les informations relatives aux transactions potentiellement utiles à ladite machine (7).

4. Système billettique selon l'une des quelconques revendications 1 à 2 caractérisé en ce que les données relatives aux transactions sont propagées jusque dans des serveurs de données (15) inclus dans le premier niveau et/ou le second niveau et/ou le troisième niveau. 2910675 19

5. Système billettique selon l'une des quelconques revendications 1 à 4 caractérisées en ce que les données transmises par les machines (7) lors d'une transaction sont utilisées pour dresser des listes blanches de titre de transport en cours de validité. 5

6. Système billettique selon l'une des quelconques revendications 1 à 5 caractérisé en ce que les supports de titre de transport non réinscriptibles sont soit des supports non-modifiables, soit des supports une fois programmables comportant un numéro de série non-modifiable, soit des 10 supports une fois programmables dans leur intégralité.

7. Système billettique selon l'une des quelconques revendications 1 à 6 caractérisé en ce que, lorsqu'une machine (7) effectuant des opérations relatives à la vente de ticket n'est plus connectée au réseau, la machine (7) 15 inscrit une indication sur le support au moment de l'émission indiquant que le titre ne doit pas être valider en s'assurant qu'il fait partie d'une liste blanche de titres en cours de validité.

8. Système billettique selon l'une des quelconques revendications 1 à 7 20 caractérisé en ce que, lorsqu'une machine (7) effectuant des opérations relatives au contrôle d'accès n'est plus connectée au réseau, la machine (7) vérifie la validité des données présentes sur le titre de transport par des moyens cryptographiques, s'assure que la machine (7) émettrice dudit titre se trouve en un point du réseau non accessible depuis la date de début de 25 validité du titre, et dans l'affirmative insère ledit titre de transport dans une liste blanche des titres en cours de validité, et propage les données relatives à la transaction vers le reste du réseau.

9. Système billettique selon l'une des quelconques revendications 1 à 8 30 caractérisé en ce que, lorsqu'une machine (7) effectuant des opérations relatives au contrôle d'accès est connectée au réseau mais qu'elle ne trouve pas ledit titre dans une liste blanche de titres en cours de validité, ladite machine (7) s'assure que les données présentes sur le titre de transport sont cryptographiquement valides, s'assure que la machine (7) émettrice du titre se trouve en un point du réseau accessible mais que la machine (7) 2910675 20 émettrice du ticket n'est pas accessible depuis la date de début de validité du titre, marque le titre de transport comme vendu en mode déconnecté, insère dans une liste blanche des titres en cours de validité, et propage les données correspondantes vers le reste du réseau. 5

10. Système billettique selon l'une des quelconques revendications 1 à 9 caractérisé en ce que, lorsqu'une machine (7) effectuant des opérations relatives au contrôle d'accès est connectée, trouve le titre dans une liste blanche de titres en cours de validité, s'assure que les données présentes 10 sur le titre sont cryptographiquement valides, mais que la dernière opération enregistrée pour le titre de transport dans sa mémoire (9) ou dans un serveur de données (15) est marquée d'un lieu et d'une date ne correspondant pas à un trajet compatible avec les dates et les lieux par rapport à la présente machine (7) mais compatible avec une autre machine (7) située sur un point 15 du réseau non accessible depuis une durée compatible, ladite machine (7) insère les données relatives à la validation par la présente machine (7) dans un historique des opérations du titre en cours, et les propage vers le reste du réseau. 20

11. Système billettique selon l'une des quelconques revendications 1 à 10 caractérisé en ce que, lorsqu'une machine (7) est placée dans un mode dit simulé, celle-ci n'effectue aucun contrôle sur le titre autre que la compatibilité avec les données inscrites lors de l'émission.