JP2005312040A - 双方向対象物の間で情報を転送する方法 - Google Patents

Abstract

【課題】 照明、ドアの開閉、太陽からの保護、換気、空気調和等の家庭自動化製品に使用されるアクチュエータの遠隔制御に使用される第１の指令送信器と第２の指令送信器の間の安全な情報転送を行うことを課題とする。
【解決手段】 第１の双方向指令送信器（４０）と第３の双方向指令対象物（３０、６０）との間で認証を行い、もしも認証に成功したら、第１の双方向指令送信器（４０）から情報を第２の双方向指令送信器（５０）に転送し、そして情報を前記第２の双方向指令送信器（５０）に記憶する工程よりなる、情報を第１の双方向指令送信器（４０）と第２の双方向指令送信器（５０）との間で転送する方法を提供する。
【選択図】 図３

Description

本発明は遠隔操作アクチュエータに関し、特に例えば照明、ドアの開閉、太陽からの保護、換気、空気調和等の建物内での快適性と安全性を提供する家庭自動化製品に使用されるアクチュエータの無線制御に関する。

このような装置の設計では、指令受信器やスレーブ装置を構成するアクチュエータ及び／又は関連したセンサは、指令発振器やマスター装置を構成するアクチュエータやセンサから遠隔制御される。これらのアクチュエータ、センサ及び制御装置は、二方向リンク、典型的には無線リンク、を経由して送信モード及び受信モードにおいて通信できる。従ってこの場合にはアクチュエータ、センサ及び制御装置は一般に双方向装置である。２つの指令送信位置間での直接無線周波通信、２つの指令受信位置間での直接無線周波通信も可能である。各要素はこのように構成された通信網上でのポイントまたはノード（節）とみなされる。アクチュエータ及びセンサはしばしば設置者からアクセスすることが困難であり、ユーザからは更に困難である。

制御ポイントは一方向性又は双方向であり、また可動又は固定である。固定制御ポイントは配線を回避して自己電源により駆動されることが多い。制御ポイントが送受信器を具備する場合には、電力節約のために、受信機能は指令に基づいてのみまたは間欠的に作動される。

マッチング（突き合わせ）を行えば、共通の識別器をアクチュエータと制御ポイントから形成される一対の装置に関連づけることができる。共通の識別器を共有すると、アクチュエータが制御ポイントからの指令を認識し応答することを可能にする。マッチングは単一制御ポイントから数個のアクチュエータを制御するために、或いは、単一アクチュエータを数個の制御ポイントに応答させるために、複製（duplicate）することができる。

閉鎖またはロック機能を有する要素のためのアクチュエータの存在から、指令送信ポイントと受信ポイントの間の通信が認証されることが重要である。回路網の各要素はそれ自体を表す識別子を有し、それに加えて設備に特有の識別子いわゆる「ハウスキー」を有する。このようなシステムはＷＯ−Ａ−０２４７０３８、及び本出願人によるにＷＯ−Ａ−０３０８１３５２に記載されている。

指令送信ポイントはさらにマッチングした（すなわち、指令を出すことが許可されている）数個の指令受信器であってそれらの指令を実行できる状態にある受信器の識別子のリストを含む。説明を簡単にするために、識別子のリストが特定の指令送信器による特定の指令受信器の制御に関する全ての情報を有しているものとする。従って、これはこれらの要素対に特有の暗号キーや、その他、指令の伝送又は実行に有用な秘密データを含むことができる。

数人のユーザが、一連の個々のマッチング動作の全てを再実行する必要なしに、指令受信器により遠隔制御される装置を利用することを容易にするために、秘密情報（ハウスキー、識別子のリスト等）の全部又は一部を、通信網の一部をすでに構成している指令送信器から新たな指令送信器へ転送することが可能なことを要する。
従来技術は指令送信器間での直接複製（duplication）のための各種の手段を開示している。

米国特許第４６５２８６０は自動車のドア開放を遠隔制御するための情報送信方式を開示している。制御ポイント間の通信は例えば赤外線により非常な短距離間で行われる（制御ポイントが隣接している）。これにより、転送は、或る距離はなれているハッカーが送信される情報を得てそれを彼に固有の同一の指令送信器内で、正当なユーザに知られないで複製することができないように、確実に行われる。それにも拘わらず、この解決法は一つの指令送信器から他の指令送信器への複製を行うこの単一相に特有の通信手段を必要とする点で費用がかさむ。

秘密情報を転送するための、或いは指令を指令受信器に転送するための、単一高周波通信手段を経済的に使用できることが望ましい場合には、情報が悪意の第３者により傍受される危険に対する対策を採ることが望まれる。しかし、転送されている瞬間に秘密情報を受信することは、高度に複雑な記録装置が通信網を経由して転送される全ての情報を収集する長時間にわたり隠蔽されている場合を除けば、非常に困難である。古い遠隔制御から新しい遠隔制御へ情報を複製することは実際には非常にまれである。逆に遠隔制御が失われたり盗まれたりすることはより頻繁に起きる。

ＷＯ−Ａ−０３０８１３５２はこのような安全への侵害をハウスキーの修正手順により減じることを提案しているが、これは修復であって予防的対策ではない。
ＷＯ−Ａ−０２４７０３８号パンフレット 米国特許第４６５２８６０号明細書 ＷＯ−Ａ−０３０８１３５２号パンフレット

しかしこの修復は設備の持ち主がこうした紛失又は盗難を素早く検出できるなら、有効で簡単に実行できる。この事実を知ると、家庭にアクセスする指令送信器を何とか隠蔽した盗人は、持ち主がハウスキーを変更することを回避するために、盗難の恐れを軽減することにあらゆる努力を払う。従って、盗人は指令送信器をできるだけ速く「返送」するようにアレンジすることにより、それが素早く見いだされ、持ち主のポケットから脱落し、或いは無意識にどこかに置き忘れたと思いこむようにする。

その間に、盗人は明らかに新たな指令送信器内で秘密コード或いは他から入手した少なくとも安全キーでないものを複製し、自身を持ち主が不在時のおそらくは事後数週間内に「戻る」立場に置く。この危険は、同一の基準で同一の通信プロトコルを使用して動作する複数の指令送信器が自由に利用できることから、充分に考慮されるべきである。

従って、秘密情報が双方向対象物間で転送される場合には、こうした転送には安全性の問題と費用の問題が常に関係してくる。

この問題を解決するために、本発明は情報を第１の双方向指令送信器と第２の双方向指令送信器との間で転送する方法を提供する。この方法は、
前記第１の双方向指令送信器と第３の双方向指令対象物との間で認証を行い、もしも認証に成功したら、
情報を前記第１の双方向指令送信器から前記第２の双方向指令送信器に転送し、そして
前記情報を前記第２の双方向指令送信器に記憶することよりなる。
第３の双方向指令対象物は第３の指令受信器でありうる。この指令受信器はドアやブラインドのような動作可能部材を起動するアクチュエータを制御する。
また、第３の双方向指令対象物は第３の指令送信器であり得る。

この方法は、前記第３の指令送信器が指定される事前工程をさらに含み、この事前工程では前記第３の指令送信器は残りの指令送信器に対して自分が第３の対象物であることを指定する指令を発する。

一つの実施形態では、上記の転送工程中に、情報の一部は前記第１の指令送信器から前記第３の対象物を経由して前記第２の指令送信器へ転送される。
別法として、上記の転送工程中に、全ての情報は第１の指令送信器から第２の指令送信器に転送できる。

この方法は、さらに、第２の認証工程を含みうる。第２の認証工程は、ユーザの生体計測データを分析し、またはユーザによる手動動作を分析する工程よりなるものでよい。分析は例えば第３の対象物の中で実行しうる。
転送される情報は共通キー及び／又は双方向性対象物識別子のような対象物の構成（configuration）情報でありうる。

本発明はまた通信網を提供する。この通信網は
第１及び第２の指令送信器のような第１及び第２の双方向指令対象物と、
第３の双方向対象物とを含み、
前記第２の双方向指令対象物は上記の情報転送方法により受信される情報を記憶するように構成されている。

本発明はまた双方向指令送信器を提供する。この双方向指令送信器は、他の双方向対象物との認証ルーチンと、他の双方向指令送信器との情報転送ルーチンとを含み、前記情報転送ルーチンは前記認証ルーチンが肯定結果を出したときにのみ実行される。転送される情報は共通キー及び／又は双方向対象物識別子のような対象物の構成情報である。

指令送信器は認証ルーチンを実施する対象である双方向対象物の識別子を記憶するメモリを有することができる。

本発明の他の特徴及び効果は添付図を参照して行う以下の実施例の詳細な説明から明白になるであろう。

以下に家庭用自動化装置のマッチングに適用する例を参照して本発明を説明するが、本発明はこれに限定されない。以下に「指令送信器」及び「指令受信器」とはユーザにより与えられる指令（命令）を送信し又は受信する機能を有する装置を意味する。指令送信器はまた制御装置とも称され、一方、指令受信器は或るものを開放したり、ローラブラインド等を作動させたりするためにアクチュエータを制御するセンサである。これらの表記は送信器や受信器の機能を表すのもではなく、信号の面から送信及び受信ができるものを表す。何故なら本発明では「双方向対象物」、言い換えると送信及び受信ができる対象物を扱うからである。説明を明瞭にするために、以下「指令送信器」及び「指令受信器」の用語を使用するが、これは特定の双方向対象物が割り当てられる特定の目的に関して使用されるものである。

双方向対象物は他の複数の対象物又はその一部への情報の転送を初期化する初期化工程と、双方向対象物に接触してくる対象物を認証する認証工程を行うことができる論理装置を含んでいる。対象物はまた論理装置内で実行されるプログラムと特に対象物の動作プログラムを記憶したメモリを有する。以下に説明するように、対象物のメモリは更に少なくとも一つの共通キーを含んでおり、対象物はまたマッチング情報、例えばメモリに記憶されている他の対象物の識別子を含んでいる。

図１は本発明の方法が実施される家庭自動化回路網のような通信網を示す。この回路網は家庭自動化回路網にすでに組み込まれている３個の指令受信器又はスレーブ部ＳＬを含む。符号１０で表された指令受信器ＳＬ＃１はアンテナ１０１で表された双方向無線通信器と、それに接続されたマイクロコントローラ型の処理論理装置（図１では説明を単純化するために２個のメモリ１０２、１０３のみを示した）とを有する。第１メモリ１０２は共通キーＩＤＭを記憶し、第２メモリ１０３は指令受信器１０に固有の識別子ＩＤ＃１を記憶している。

指令受信器１０はまた情報入力手段１０４を有する。この入力手段は例えば押しボタン又は走行端（end-of-travel）スイッチ、近接スイッチ、又は通常動作で特定のマッチング又はプログラムモードでの動作とは異なる機能を有する他の装置である。全ての指令受信器が情報入力手段１０４を有する必要はないが、全部が有する場合もある。

最後に指令受信器１０はＬＤ＃１で表される負荷１０６を起動するように構成されている。この負荷へは例えばローラブラインドのような負荷を作動させるための指令及び／又は電力を送る配線１０５により接続される。電源や電力供給を可能にするスイッチは図示されていない。

符号２０で示した指令受信器ＳＬ＃２は、情報入力手段を有しない点を除けば上記の指令受信器ＳＬ＃１と同一である。さらに受信器２０は第２メモリに記憶される異なった識別子ＩＤ＃２を有する点でも異なる。第１メモリ位置は指令受信器ＳＬ＃１と同一の共通キーＩＤＭを有する。符号３０で表される指令受信器ＳＬ＃３は識別子がＩＤ＃３である点を除けば指令受信器ＳＬ＃１と同一である。

図１にはさらに符号４０で示した第１の指令送信器ＭＡ＃１を含む。指令送信器４０はアンテナ４０１で示した双方向無線通信手段を有する。このアンテナはマイクロコントローラ型の処理論理装置に結合されている。処理論理装置は説明を単純にするために第３メモリ位置４０２及び第４メモリ位置４０３のみが示されている。第３メモリ位置４０２には共通キーＩＤＭが、第４メモリ位置４０３には指令送信器ＭＡ＃１が発する指令に応答する指令受信器の全ての識別子ＩＤを含んでいる。

例示として、第４メモリ４０３には識別子ＩＤ＃１とＩＤ＃３が含まれる。換言すると、指令送信器４０は指令受信器１０、３０を介して負荷ＬＤ＃１とＬＤ＃３を別々に又は同時に制御することができる。他方、指令送信器４０はＩＤ＃２をメモリ位置４０３に有していないので、指令受信器２０を介して負荷ＬＤ＃２に作用するようにはプログラムされていない。これが構成情報（configuration）の一例である。
指令送信器４０はさらに例えばマイクロコントローラに接続されたキーボードＫＢ等の指令入力手段４０４を有することができる。

さらに、第１の指令送信器４０と同一形式の、符号５０で示される第２の指令送信器ＭＡ＃Ｘが設けられている。しかし、第１の指令送信器４０は通信網に既設であるのに対して、第２の指令送信器５０は通信網に接続すべき新しい装置である。また、第３メモリ位置５０２と第４メモリ位置５０３はそのために空である。
本発明を説明する目的で、第１の指令送信器と同一の権利を第２の指令送信器に与える必要がある。

最後に、図１は符号６０で示した特定の型のＭＡＳという指令送信器を含む。この指令送信器はすでに説明した指令送信器内の要素と同一の要素６０１〜６０３を含んでいるが、好ましくは指令を送出するために通常は使用されないが安全な場所に保持されている特殊形式の特性を有する。この指令送信器は第３メモリ位置にハウスキーを有し、そして好ましくは第４メモリ位置に全ての命令受信器の識別子を必要な場合に使用するために有している。さらに、有利には、この特殊形式の特性を有する指令送信器により送出されなかった指令受信器からの再初期化機能を禁止することを可能にする特定のプログラムを含んでいる。この点はフランス国特許出願０２−１４０９３号に記載されている。
この特殊形式の指令送信器は他のものと混同されないように特別な形状を有する。最後に、指令送信器６０はキーボード６０４及び／又は生体認識センサ６０５を含む。

図２は、一つのマスター装置ＭＡすなわち指令送信器４０が、通信網を考慮して、スレーブ装置ＳＬすなわち指令受信器１０、３０に指令を実行させたい場合に、通信網で使用される認証工程ＡＵＴＨを例示している。この工程はユーザが指令送信器４０のキーボードに動作ＵＳＡ（ユーザーアクション）を入力した後に開始される。その結果、指令送信器４０の初期化工程段階ＭＡ−Ｓ１の終点で指令ＣＭＤが出される。

この指令を受け取ると、指令受信器１０、３０は第１の認証段階ＳＬ−Ｓ１を開始し、実行すべき指令が認証を要するかどうかを決定する。答えが肯定なら受信器１０、３０は乱数ＣＨＬを選択し、それを送信器４０に送る。次いで受信器１０、３０は特定のアルゴリズムと乱数ＣＨＬを用いて計算段階ＳＬ−Ｓ２を開始する。この特定のアルゴリズムは汎用アルゴリズムとハウスキーから導出されている。従って、これらはその通信網に属する全ての要素に固有のものである。図２からは、さらに指令送信器４０が信号を受信できること、及び指令受信器１０、３０が信号を送出できることを示している。

これに並行して、乱数ＣＨＬを受信すると、指令送信器４０は同一のアルゴリズムと乱数ＣＨＬを使用して計算段階ＭＡ−Ｓ２を開始し、結果ＲＥＳを計算終点ＭＡＥ−Ｓ２で受信器１０、３０に送る。結果ＲＥＳを受信すると、スレーブ装置は段階ＳＬ−Ｓ３ＲＥＳで結果ＲＥＳと自分自身の結果とを比較する。両結果が一致したら、確認信号ＡＣＫを指令送信器４０に送り、認証に成功したことを通報する。

改良された方法では、上記方法は逆方向に複製されて突き合わせ識別が達成される。アルゴリズムはまた、指令送信器と指令受信器との間で以前に交換された要素を駆動し、それにより関連した各対に固有のものとなることができる。

或る状況下においては、図６のように、認証工程は逆方向にのみ実行されることができる。換言すると指令送信器４０が指令受信器１０、３０に、認証方法ＡＵＴＨ^*を利用して自身の正当性を認証するように要求する。この方法は図２のものと対称である。方法はユーザが指令送信器４０のキーボードに対してＵＳＢ動作を行うことにより開始される。その結果、指令送信器４０への初期化段階ＭＡ−Ｓ１０の終点で指令ＣＭＤ^*が送出される。この場合に乱数ＣＨＬは指令ＣＭＤ^*に含まれた状態で送信できる。送信器４０は次にアルゴリズムと乱数ＣＨＬを用いて計算段階ＭＡ−Ｓ２０を開始する。これと並行して、乱数ＣＨＬを受信した受信器１０、３０は同一のアルゴリズムと乱数ＣＨＬを使用して計算段階ＳＬ−Ｓ１０を開始する。計算段階の終点でその結果ＲＥＳ^*を受け取ると、送信器４０は自身の計算結果を使用して比較段階ＭＡＥ―Ｓ３０を開始する。一致が生じたら、送信器４０は確認信号ＡＣＫ^*を受信器１０、３０に、認証に成功したことを通報する。
この比較的面倒な認証手順は本発明の理解には無関係であり、重要なのはこの手順が指令送信器及び受信器の同一性を保証することである。

図３は符号４０で示される第１の指令送信器ＭＡＥ＃１と符号５０で示される第２の指令送信器ＭＡＥ＃Ｘとの間で情報を送受する方法を示す。この方法には、これが第１の実施形態であるか第２の実施形態であるかに応じて、第３の双方向対象物すなわち指令受信器３０又は特殊形式の指令受信器６０が使用される。この第３の双方向対象物は転送を実施する通信網の対象が存在していることを要求する第３者である。これは例えば送信器４０が一時的に外されて安全な個所に情報を転送し、その後に復帰することを回避する。情報は従って特定の文脈においてのみ転送できる。

残りの方法は、第１の実施形態（選択形態１）に対応して、第３者としての指令受信器３０に関連して説明する。ここに指令受信器３０は指令送信器４０から指令を受信するように構成されている。

この方法には、第１の指令送信器４０と第３双方向対象物３０（例えば指令受信器３０）との間での第１の認証工程が含まれる。第１の指令送信器４０により段階Ｓ１１が実施され、指令受信器３０により段階Ｓ３１が実施される。この認証工程により指令受信器３０が情報の転送の前に存在していることの確認が可能になる。これにより情報が正当でない双方向対象物に転送される可能性をなくする。認証工程は図２に関連して説明した通りに実行できる。好ましくは図６に示した逆方向認証ＡＵＴＨ^*を使用する。

この方法ではさらに第１の送信器４０から第２の送信器５０へ構成情報ＣＯＮＦの転送工程を含む。この工程の間に、送信器４０の構成に関する秘密情報が送信器５０へ送られて後者の構成を行う。図３において転送工程は段階Ｓ１４において第１の送信器４０がＥＭＴ信号を送ることにより、そして第２の送信器５０が段階Ｓ２１において受領ＲＣＶすることにより実施される。情報転送工程は認証工程が成功した場合にのみ実施される。採用される認証方法に依存して、認証工程は、第１の指令送信器４０が認証されたら、つまり第１の送信器４０が同定され且つそこに含まれている情報の転送が許可されている場合に、成功する。好ましくは、認証工程は指令受信器３０が認証されたら成功である。情報転送は第１の送信器４０により保持されている情報が第２の送信器５０へ送信されることを可能にする。この工程の間に第１の送信器４０の全て又は一部の情報は第２の送信器５０に送られる。これにより、第１の送信器４０とすでにマッチングがなされている通信網で第２の送信器５０と受信器１０，３０との間の一連の全てのマッチング動作を行う必要性が回避される。転送は第２の指令送信器５０内で、第一の指令送信器４０で実行されたプログラムを再生することを可能にする。従って指令送信器５０は指令送信器４０に割り当てられた全てのアクセス権を保持する。

転送には一つの対象物からの情報を他の対象物へと複製する動作が含まれる。これは数個の指令送信器が同一の仕方で通信網を制御する必要がある場合に必要となる。情報を一つの指令送信器から他のものへ転送すると、指令送信器４０が転送した情報を失い、指令送信器５０が通信網を制御することができる唯一の対象物となる場合も含む。これは以前のものが古くなった場合に新しい指令送信器を必要とする場合である。

情報は通信網上の対象物に対する構成情報でありうる。構成情報は対象物の同一性又は身元（識別子ＩＤ＃＃）を識別し、対象物が特定の通信網（ハウスキー、又は共通キーＩＤＭ）に属しているかどうかを識別することを可能にする。転送される情報は通信網の制御を可能にする点で秘密情報である。情報は典型的には例えば家に入れるようにするローラブラインドや車庫の扉等の開放を可能にする。

本方法は情報が第２の指令送信器５０に記憶される工程を含む。この工程は、第２の指令送信器が、第１の指令送信器４０とマッチングした指令受信器１０、３０と今やマッチングしているという意味で、第２の指令送信器５０を動作させる作用を有する。図１において、記憶は指令送信器４０により供給される情報により占有されるメモリ位置５０２、５０３により表される。メモリ位置５０２はハウスキーＩＤＭを記憶し、メモリ位置５０３は受信器１０、３０に対応する識別子ＩＤ＃１とＩＤ＃３を記憶する。

本方法は一つの指令送信器から安全に他のものに情報を転送することを可能にする。これはユーザが自分で古い指令送信器を新しい指令送信器と交換しそれを単一の方法で通信網上の受信器とマッチングさせたい場合に有利である。ユーザはまた第２の指令送信器にマッチングさせて二人のユーザが通信網を制御できるようにしたい場合がある。赤外線等の補助手段を設置することなく、対象物内にすでに実装された手段（例えば無線）により情報が対象物間で転送されるので、転送は最小費用となる。

指令受信器が第３者として使用されるこの第１の実施形態（選択形態１）の効率を改善するために、指令受信器３０を単一とし、家の内部に設置することが好ましい。例えば唯一の特定モデルの指令受信器が情報入力手段１０４を有することが想定しうる。

それにも拘わらず、異なった製品番号を有することを回避し且つ特定の指令受信器が識別可能になることを防止するために、全ての指令受信器はこれらの手段を具備することができる。この場合、ハードウエア及びソフトウエアを使用して、家の外部からアクセスできる指令受信器上の手段を不能にするか、或いは一個を除く全ての指令受信器上の手段を不能にすることができる。

この不能化工程は、通信網に属する各指令送信器に、第３者として使用される指令受信器の識別子を登録することにより回避することができる。登録は特定のメモリに又は図３の例のように予め第４メモリ４０３の識別子ＩＤ＃３及びＩＤ＃１のうち最初の識別子ＩＤ＃３が第３者として使用される指令受信器３０に対する一つであると予め決めておくことにより、行われる。従って、転送動作中には唯一の単一指令受信器が関係し、設備の所有者はそれを知る唯一の人物となり、安全性を高める。特定の指令受信器識別子の登録は例えばマッチング動作の一環として行われ、指令送信器のキーボードの特別操作により、マッチング動作の一部として取り扱われる。

次に送信方法（手順）の詳細を説明する。図３の実施例において、方法は第２の指令送信器５０へのユーザＵＳＡ１からの最初の操作で開始されて、送信器５０による安全受信初期化段階Ｓ２０が行われる。ユーザＵＳＡ１の操作は例えばキーボード５０４への特定の組み合わせ操作により実施できる。同様にユーザＵＳＡ２による第２の操作は第１の指令送信器４０に対して行われ、送信器４０による安全受信初期化段階Ｓ１０が行われる。次いで指令受信器３０との最初の認証段階Ｓ１１が開始される。指令受信器３０に対しては最初の認証段階はＳ３１である。認証に成功したら最初の確認信号ＡＣＫが指令送信器から送信され、この信号は次に段階Ｓ１２で第１の指令送信器４０により試験される。

一つの実施形態によると、クロス認証が行われる。このために、第１の指令送信器４０が指令受信器３０により認証されるだけでなく、指令受信器３０も第１の指令送信器４０により認証される。この工程では通信網に属する対象物の存在と同一性（身元）が確認される。これは転送の安全性を高める。

有利には、この手順は更に第２の認証段階を含む。場合により、この第２の認証段階は第１の認証段階が成功したときにのみ実施される。実際、特定の指令受信器の存在が保証されればよく、一般に認証はより具体的には指令送信器の同一性を確認するように設計される。従って、単純化のため、使用されるプロトコルは逆方向及び／又はクロス認証作用を含まない。この欠点を克服し、安全度を更に高めるために、第２の認証工程が設けられる。この例は、第３のユーザＵＳＡ３のアクションが試験される際に第２の認証段階Ｓ３２として例示されている。

第２の認証段階は、各種の実施形態に依存して各種の複雑さを含む。それはユーザの指紋等の生体分析や、指令受信器３０の入力手段を利用したユーザによる押しボタンＰＢの操作のようなユーザの手動動作の分析を含む。これらの分析は単純な方法で行われる。好ましくはユーザは第三の対象物を操作する。ユーザが対象物に物理的に作用することにより、第三の対象物がない個所で情報を転送することを防止できる。これは安全性（security）の向上に資する。所望する安全性の程度に応じてユーザの身分証明コードもこの手段により送ることができるが、予め規定した指令受信器に単にユーザが作用するだけで上記の危険の殆どは回避することができる。

この第２の認証工程の終点で、第２の確認信号ＡＣＫ２が指令受信器３２から第１の指令送信器に送られ、次いでそれが段階Ｓ１３で試験された後に、もしも第２の試験が成功ならば（逆方向又はクロス認証、及び確認が可能）、この転送は有効であると宣言できる。

水平な点線ＴＲＦ ＶＡＬＩＤで示されているように、この段階で秘密構成情報の転送工程が実施される。各種の実施形態がこの転送及び記憶工程を実施するのに考えられる。以下で示す図３の点線ＴＲＦ ＶＡＬＩＤで示す第１の実施形態では、構成送信段階Ｓ１４で第１の指令送信器４０により、第１メモリ４０２及び第２メモリ４０３に記憶されているＣＯＮＦメッセージの形の秘密情報が送信される。この情報は、構成受信段階Ｓ２１において第２の指令送信器５０により受信され、記憶される。この第１の実施形態では、全ての情報は第１の指令送信器４０から直接第２の指令送信器に転送される。この情報は第３の対象物３０、６０を経由しない。これは情報の実際の転送に関与することができるように第３の対象物をプログラムする必要を回避するためである。この実施例では情報の転送と記憶の方法が単純である。

図４、５は情報転送及び記憶のための第２及び第３の実施例をそれぞれ示す。図４、５においては、３個の対象物３０、４０、５０、６０における動作行程が点線ＴＲＦ ＶＡＬＩＤ線の線まで図３の全行程と同一であること、それ以降のみが異なることを示している。

図４は第２の実施例を示し、指令受信器３０が第３者として作用するとともに、指令送信器５０へ転送すべき全ての情報に対する中継局の役目を果たす。第１の指令送信器４０により構成転送段階Ｓ１５が開始され、その第１メモリ４０２と第２メモリ４０３に記憶されている秘密情報がＣＯＮＦメッセージの形で送出される。この実施形態は受信器３０が全ての情報を段階Ｓ３３で受信することである。ついで構成転送段階Ｓ３４で指令受信器３０によりＣＯＮＦメッセージの形で送出が開始され、それが第２の指令送信器５０に受信される。この情報は構成受信段階Ｓ２２で第２の指令送信器に記憶される。この実施例の利点は、情報の送出と記憶段階に第３の対象物が介在して、それらの転送と記憶のために、指令送信器４０が一時的に家から外されることにより、通信の安全性が高まることである。

図５は第３の実施例を示し、指令受信器３０が第３者として作用するとともに、指令送信器５０へ転送すべき一部の情報に対する中継局の役目を果たす。第１の指令送信器４０により構成転送段階Ｓ１６が開始され、第１の指令送信器４０は情報の一部のみを送信する。図５の実施例では、これは指令受信器１０、３０の識別子に関する情報であり、それにより指令受信器１０、３０と送信受信器４０のマッチングが行われる。識別子に関する情報は次に構成受信段階Ｓ２３の間に第２の指令送信器５０に記憶される。さらに、送信段階Ｓ３５が開始されてその第１メモリ４０２と第２メモリ４０３に記憶されている秘密情報がＣＯＮＦメッセージの形で送出される。この実施形態は受信器３０が全ての情報を段階Ｓ３３で受信することである。ついで構成転送段階Ｓ３４で指令受信器３０によりＣＯＮＦメッセージの形で送出が開始され、それが第２の指令送信器５０に受信される。この情報は構成受信段階Ｓ２２で第２の指令送信器に記憶される。この実施例の利点は、情報の送出と記憶段階に第３の対象物が介在して、それらの転送と記憶のために、指令送信器４０が一時的に家から外されることにより、通信の安全性が高まることである。さらに、送信段階Ｓ３５が第３の対象物３０により開始され、情報の他の部分のみを送信する。図５の実施例において、これはハウスキーＩＤＭに関する情報である。ハウスキーＩＤＭに関する情報は次に構成及び受信段階Ｓ２４において第２の指令送信器５０により記憶される。明らかに第１の指令送信器４０と第３の対象物３０により転送される情報は逆にしても良い。この実施例の利点は、先ず転送と記憶段階が第３の対象物の存在下に実行されなければならない点で安全であること、第２に、指令送信器４０と対象物３０の各々が単純にそれぞれの記憶位置の１つのある情報を転送すれば足りるという点で単純であることである。

この方法の第２の実施例（選択実施例２）は指令送信器を第３者として採用する。それは標準型の指令送信器の形、つまり第１及び第２の送信器と同一の形を取ることができる。しかし、好ましくは上記の特殊な指令送信器ＭＡＳ（図１に符号１６で示したもの）を採用することができる。
この方法は図３、４、５に関連して説明した物と同様であるが、この選択実施例２では指令送信器ＭＡＳは第３者として働く。これ以外の工程は第１実施例のものと同一である。

特殊形式の指令送信器を選択する利点は、指令受信器に情報入力手段を設ける必要がないことであり、一般的にいえば第２の認証を許容する手段を任意に付加することによって指令受信器に対する所期費用の発生を回避できることである。

特殊形式の指令送信器ＭＡＳは原理的に装置に固有の物であるから、通常の指令送信器よりも多数のキーを有し、ユーザが秘密コードを入力することを容易にし、及び／又は生体認識センサを含むことにより高度の安全性を確保することができる特殊キーボードＫＢＳのような複雑な部品を含みうる。

この特殊形式の指令送信器の使用は、装置が既に非保護（non-secured）モードで動作している場合に実施できる。例えば、指令送信器は通常はそれらが従来技術のように特殊形式の送信器のみにより発行できる特殊指令を受信する時点に至るまで複製されることができ、そして特殊形式の指令送信器が共通キーを含む場合を除いて装置の指令送信器により無視される。この特殊指令を受信すると、設備の指令送信器は複製されることを停止され、本発明の選択実施例２に従って複製されることができ、この場合の第３者はこの特殊指令を発行した特殊形式の指令送信器である。

特殊形式の指令送信器ＭＡＳが使用される場合、この工程には第３の対象物が指定される先行段階を含むことがあり得る。この工程において、特殊形式の第３の指令送信器６０は他の送信器４０，５０に対して自分が第３の対象物であることを指定する指令を送る。この工程は特殊形式の指令送信器が装置が既に非保護モードで動作している場合に使用状態に入る場合に特に有利である。この場合、第３の指令送信器の識別子は、特殊メモリに又は既に通信網に属している画指令送信器の第４メモリ４０３に記憶される。、第３者として作用する対象物は「万能」対象物であることが意図されている。例えばこれは販売者又は設置者が所有している情報転送方法を実行可能にするプログラミング双方向対象物でありうる。しかし、この対象物はいかなる場合にも市販されていないものである。

本発明は２つが指令送信器である上記の双方向対象物を含む上記通信網をカバーする。この通信網では、一方の指令送信機の情報は他方の通信機に転送でき、第３の対象物が記述のように介在する。一方の指令送信器は受信した情報を記憶する。転送は通信網内部の保護モードで行われる。

本発明はまた送信器４０のような双方向指令送信機をカバーする。送信器は情報転送所期化ルーチンを含む。これにより、対象物は上記の方法を実施する状態にもたらされる。送信器は他の対象物との認証ルーチンを含み、転送工程に参加する他の対象物の存在と同一性（身元）のチェックを可能にする。これらの他の対象物は上記の第３者であり、それは指令送信器或いは受信器であり得る。送信器はまた他の双方向指令送信器への情報転送ルーチンを含む。この転送ルーチンは認証ルーチンが成功つまり肯定の結果を与えた場合に実施でいる。さらに、指令送信器４０は認証ルーチンが実施される双方向対象物に対する識別子を記憶できるメモリ４０３を有しうる。

説明した方法ないし手順に従って、送信器は特に共通キー又は双方向対象物識別子のような情報を送信する。さらに上記のルーチンは指令送信器４０に対する動作プログラムの一部であり得る。

明らかに本発明は上記の実施例に限定されるものではない。本書では送信器と受信器の間の無線通信を例にして説明したが、これは修正可能である。本発明はとくに送信及び受信が単一周波数を使用するか、各自がそれ自体の周波数を使用するか、又は異なった変調又は飛び飛びの周波数を使用するかに拘わらず適用できる。本発明の方法は指令送信器又は受信器が送信及び受信できる「双方向対象物」であるかに拘わらず適用できる。公知の技術を使用してメッセージ識別子を暗号化することも可能である。

本発明が適用された自動化回路網を示す図である。 上記回路網内の認証工程を示す図である。 本発明の方法の実施例を示す図である。 情報転送工程を示す図である。 他の情報転送工程を示す図である。 上記回路網内の他の認証工程を示す図である。

符号の説明

１０、２０ 指令受信器
３０、６０ 第３の双方向指令対象物
４０ 第１の双方向指令送信器
５０ 第２の双方向指令送信器
１０１ アンテナ
１０２ 第１メモリ
１０３ 第２メモリ
１０４ 情報入力手段
１０５ 配線
１０６ 負荷
４０１ アンテナ
４０２ 第３メモリ位置
４０３ 第４メモリ位置
４０４ 指令入力手段
５０２ 第３メモリ位置
５０３ 第４メモリ位置
５０４ キーボード
６０４ キーボード
６０５ 生体認識センサ

Claims (16)

1. 情報を第１の双方向指令送信器（４０）と第２の双方向指令送信器（５０）との間で転送する方法であって、
   前記第１の双方向指令送信器（４０）と第３の双方向指令対象物（３０、６０）との間で認証を行い、もしも認証に成功したら、
   前記第１の双方向指令送信器（４０）から前記情報を前記第２の双方向指令送信器（５０）に転送し、そして
   前記情報を前記第２の双方向指令送信器（５０）に記憶することよりなる、情報の転送方法。
2. 前記第３の双方向指令対象物は指令受信器（３０）である請求項１に記載の方法。
3. 前記指令受信器（３０）は動作可能部材を起動するアクチュエータを構成している請求項２に記載の方法。
4. 前記第３の双方向指令対象物は第３の指令送信器（６０）である請求項１に記載の方法。
5. 前記第３の指令送信器（６０）が指定される事前工程をさらに含み、この事前工程では前記第３の指令送信器（６０）は残りの指令送信器（４０、５０）に対して自分が第３の対象物であることを指定する指令を送るものである請求項４に記載の方法。
6. 上記の転送工程中に、前記情報の一部は前記第１の指令送信器（４０）から前記第３の対象物（３０，６０）を経由して前記第２の指令送信器（５０）へ転送される請求項１〜５のいずれか一項に記載の方法。
7. 上記の転送工程中に、全ての情報は第１の指令送信器（４０）から第２の指令送信器（５０）に転送される請求項１〜５のいずれか一項に記載の方法。
8. さらに、第２の認証工程を含む請求項１〜７のいずれか一項に記載の方法。
9. 前記第２の認証工程は、ユーザの生体計測データを分析する工程である請求項８に記載の方法。
10. 前記第２の認証工程はユーザによる手動動作を分析する工程である請求項８に記載の方法。
11. 前記分析は第３の対象物（３０、６０）の中で実行される請求項９または１０に記載の方法。
12. 前記転送される情報は共通キー及び／又は双方向性対象物識別子のような対象物の構成情報である請求項１〜１１のいずれか一項に記載の方法。
13. 第１及び第２の指令送信器（４０、５０）のような第１及び第２の双方向指令対象物と、
    第３の双方向対象物（３０、６０）とを含み、
    前記第２の双方向指令対象物は請求項１〜１２のいずれか一項に記載の情報転送方法により受信される情報を記憶するように構成されている通信網。
14. 他の双方向対象物との認証ルーチンと、他の双方向指令送信器との情報転送ルーチンとを含み、前記情報転送ルーチンは前記認証ルーチンが肯定結果を出したときにのみ実行されるように構成された双方向指令送信器。
15. 前記転送される情報は共通キー及び／又は双方向対象物識別子のような対象物の構成情報である請求項１４に記載の双方向指令送信器。
16. 前記認証ルーチンを実施する対象である前記双方向対象物識別子を記憶するメモリを有する請求項１４または１５に記載の双方向指令送信器。

Images