JP2005527005A - 人が装着するためのセキュリティバッジ - Google Patents

Abstract

セキュアシステムにアクセスしたい人が装着するセキュリティバッジである。バッジは、不揮発性メモリと揮発性メモリとを有するデータプロセッサと、送受信機と、取付センサとを有する。揮発性メモリは、装着者のセキュリティクリアランスに関する情報を格納する。この情報を、バッジがその人に取付けられその人のアイデンティティが確認された後にロードする。バッジが装着者から取外されるかまたは改ざんを受ける場合に、この情報を揮発性メモリから削除する。データ処理システムは、バッジがセキュリティシステムとの暗号化通信を実行することを可能にするために十分な計算能力を有する。

Description

本発明は、セキュアエリアへのアクセスを統制するセキュリティシステムに関し、特に、許可された人に取付けられその個人から取外された時にリセットされるセキュリティバッジに関する。

以下の論考を簡単にするために、本発明を、コンピュータ等にアクセスする際に使用するセキュリティシステムに関して説明するが、以下の論考から、本発明を他のセキュリティシステムで利用してもよいということが明らかとなろう。

ネットワークにアクセスすることができるコンピュータシステムは、通常、何らかの形態のアクセス制御を利用して、無許可の個人が機密情報にアクセスすることができず、またはネットワークおよび／またはそれに接続されたコンピュータに損害を与えないことを確実にする。セキュアアクセスプロトコルでは、しばしばユーザは、複数のパスワードとプロトコルとを記憶する必要がある。たとえば、ユーザは、ネットワークの端末にログオンするための第１のパスワードと、ネットワークにおける種々のサーバかまたはサーバ内のセキュアディレクトリに対応する異なるパスワードのセットと、種々のソフトウェアプログラムおよび関連ファイルに関するさらに別のパスワードのセットと、を必要とする場合がある。

ログオンおよびアクセス制御プロセスを自動化するために、電子識別カードが使用されてきた。かかるシステムは、ユーザによって提示される個人識別情報を検知する。カードは、コンピュータ端末によってリモートに検知される無線周波数識別（ＲＦＩＤ）カードかまたはユーザがリーダを通過させるカードの形態であってもよい。

かかるカードを、ログオンプロセスを自動化するために使用することができるが、それらは、多くのシステムの必要を満足するために十分なセキュリティを提供しない。原理上、カードの信頼性を、カードに問合せるシステムによって確認することができるが、かかるシステムは、必ずしもカードを提示している人を識別することはできない。かかるカードを制御するようになった無許可な人も、システムにアクセスすることができる。

原理上、コンピュータ端末には、カードを提示している人を認証することも可能にするハードウェアを備えることができる。実際に、直接人を識別することができる場合、識別カードは不要である。本技術分野では、網膜スキャン、声紋および指紋に基づく識別システムが既知である。このハードウェアは、端末の各々に存在する必要がある。各端末にかかるハードウェアを設けるコストは、しばしば非常に高い。

各端末に識別ハードウェアを設ける状況においてでさえ、システムはまだ、ユーザが短時間端末を離れる場合に発生する割込みに対処しなければならない。何らかの形態の個人識別情報システムを使用して端末にログオンしたユーザの場合を考慮する。ユーザがログオフすることなく端末を離れる場合、無許可のユーザが、オープンした端末を通してシステムにアクセスすることができる。このため、端末は、ログオン後に許可されたユーザが端末に居続けていることを確定する何らかの方法を有していなければならない。たとえば、ユーザが装着するＲＦＩＤカードに周期的に問合せることにより、ユーザがまだ端末にいることを確定することができる。

許可されたユーザが端末との接触を断つと、端末はそれ自体を使用禁止にする必要がある。ユーザが短時間端末を離れたり、または監視システムが周期的問合せのうちの１つにおいてその人を検出することができなかったからである。ユーザが再び端末との接触を開始すると、ログオンプロセスが繰返されなければならない。指紋、網膜スキャン等を通してユーザのアイデンティティ（identity、本人であること）を確認するログオンプロセスには、比較的長い手続きが必要である。このため、コンピュータから離れるかまたは文書を取りに部屋を横切るユーザに対し全ログオンプロトコルを繰返させる可能性があるため、かかるシステムは使用するのにフラストレーションを引起す。

個人識別情報カードに基づくシステムはまた、ユーザおよびシステムオペレータに対し運搬上の問題も提示する。かかるシステムでは、各ユーザに、許可を得るためにシステムに提示しなければならない識別カードを提供する。カードは、特定のユーザに割当てられる。無許可の人がカードを制御するのを防止するために、割当てられた人は、通常、夜カードを家に持って帰る。ユーザは、バッジを家に忘れるかまたはバッジを紛失した場合、しばしば長々としたプロセスを経て、新たなバッジか、または自身のバッジを家に忘れた場合は何らかの形態の一時的なバッジを入手しなければならない。さらに、システムは、その人がシステムを特定の日に使用するか否かに係らず、システムを使用することが許可された各ユーザに対し１つのバッジを提供しなければならない。そのため、維持しなければならないセキュリティバッジの数は極めて大きくなる可能性がある。これらのバッジは通常、バッテリによって電力を供給するため、バッジを提供し維持するコストは非常に高くなる。

概して本発明の目的は、改良されたセキュリティバッジシステムを提供することである。

本発明のさらなる目的は、各ワークステーションにおいて費用のかかる個人識別情報ハードウェアを必要とすることなくユーザを認証することができるセキュリティシステムを提供することである。

本発明のこれらおよび他の目的は、本発明の以下の詳細な説明と添付図面から当業者には明らかとなろう。

本発明は、セキュアシステムにアクセスしたい人によって装着されるセキュリティバッジである。バッジは、不揮発性および揮発性メモリを有するデータプロセッサと、送受信機と、取付センサとを有する。揮発性メモリは、その人に関連するセキュリティクリアランスに関する情報を格納する。この情報は、バッジがその人に取付けられた後にロードされる。送受信機は、プロセッサによって生成される信号を送信し、バッジによって実行される動作を指定する信号を受信する。これらの信号は、バッジを装着している人にセキュアシステムへアクセスを提供する信号を含む。取付センサは、装着者からバッジが取外されたことを検出すると、揮発性メモリに格納された情報が、その人がもはやセキュアシステムにアクセスすることができないように変更されるようにする。送受信機は、セキュアシステムと通信するために、光、電磁気または音響信号を利用することができる。本発明の一実施形態では、バッジは、揮発性メモリの内容を読出すことができるようにするバッジの改変を検出し、かかる改変を検出した場合に揮発性メモリに格納された情報を読取不能にする、タンパセンサを有する。別の実施形態では、バッジは、バッジとセキュアシステムとの間の符号化送信に使用する乱数を生成する乱数発生器を有する。乱数発生器は、その乱数発生器によって生成された乱数シーケンスを確定する環境変数を検知するセンサを利用してもよい。本発明の別の実施形態では、バッジは低電力モードと高電力モードとを有し、プロセッサは、高電力モードで、低電力モードでは実行することができない少なくとも１つの計算を実行することができる。プロセッサは、低電力モードにある時に送受信機が所定信号を検出したのに応答して低電力モードから高電力モードに切替る。本発明の別の実施形態では、取付センサは、取付機構と位置センサとを有する。取付機構は、開位置と閉位置とを有する。取付機構は、閉位置においてバッジをその人に固定する。位置センサは、取付機構の状態を監視する。

本発明がその利点を提供する方法は、図１を参照してより容易に理解することができる。図１は、１１および１２で示す端末を有するコンピュータシステムへのアクセスをセキュア（secure）にするシステムの概略図である。システムへのアクセスは、アクセスしたいと望むユーザ２０が装着するバッジ２１によって提供される。バッジ２１を、取付けられたバッジ２１が取外されたことをバッジによって検出することができる方法で、ユーザに取付ける。たとえば、バッジ２１を、留め金２３を含むひも２２を介してユーザ２０の首の周りに配置することができる。ひも２２は、留め金２３をはずすかまたはひも２２を切断しければ装着者の首から取外すことができないことを確実にするために十分短い。バッジ２１は、留め金２３を開くかまたはひも２２を切断したことを検出するセンサを有する。たとえば、ひも２２は、バッジ２１によって連続状態が検知される導電ファイバを有してもよい。留め金２３が開かれると、この導電経路が切断される。

コンピュータシステムにアクセスするために、ユーザ２０は、バッジ２１を装着して端末１１に近づく。端末１１は、ユーザがネットワークの他のワークステーションのうちの１つまたは複数にアクセスするために必要な情報を、バッジ２１にロードする。端末１１は、ユーザ２０のアイデンティティを確認するために利用されるユーザ識別システム１４を含む。識別システム１４は、声紋、網膜スキャンまたは指紋スキャンを行うために必要なもの等の物理センサを含むことができる。また、識別システムは、ユーザ２０にのみ既知の情報を有するデータベースを含むことができる。データベースの利用により問合せを生成することができ、問い合わせに対しては、ユーザ２０のみが回答の仕方を知っている。

端末１１によりユーザ２０のアイデンティティが確立すると、端末１１は、システムの他の端末と後に通信する際にバッジ２１が利用する情報を、バッジ２１にロードする。以下簡単にするために、種々の端末が、１５〜１６で示す送受信機によって送受信される赤外線信号を介してバッジ２１と通信する、と想定する。後により詳細に説明するように、この情報を、暗号化システムを使用してロードする。これによりシステムの種々の端末と通信することができるように格納された情報に、傍受者がアクセスすることはできなくなる
ユーザ２０に関連する種々のクリアランスをロードすることに加えて、「デイシークレット（day secret）」もバッジ２１にロードする。デイシークレットは、毎日変化するコードであり、ワークステーションのすべてに既知である。コードが毎日変化するため、ユーザ２１に与えられる許可は、実際には毎日満了する。

バッジ２１に、ユーザ２０に割当てられる種々のセキュリティクリアランスがロードされると、ユーザ２０は、端末１２等、ユーザ２０にサービスするように許可される端末に近づくことができ、それにアクセスすることができる。各端末は、識別バッジに問合せする送受信機を有する。端末は、その端末を使用する許可を有する有効なバッジを検出すると、ユーザに対し、その端末にログオンすることを可能にし、ユーザの種々のクリアランスをシステム内のサーバに通信する。

当該端末は、バッジ２１に周期的に問合せることにより、ユーザがまだ端末にいることを確認する。端末は、バッジとの連絡が途絶えると、ディスプレイのいずれかの材料を「スクリーンセイバー」表示でカバーし、第１のロックモードに入る。このモード中、端末は、周期的に問合せ信号を送信する。バッジが戻ると、端末は短縮されたログオンダイアログを利用してユーザを確認し、ディスプレイを、最初に通信が途絶えた時点の状態に戻す。ユーザが第１の所定の期間より長く不在となると、端末は、ユーザに制御を戻すためにより詳細なログオンプロトコルを必要とする第２のロックモードに入る。

本発明によるセキュリティシステムの動作の上記概略を提供したが、ここで、バッジの動作と通信プロトコルのより詳細な説明をする。ここで、本発明によるバッジ２１の一実施形態のブロック図である、図２を参照する。バッジ２１は、プロセッサ３１を含み、プロセッサ３１は、そのプロセッサによって利用されるオペレーティングシステムを格納するために使用される不揮発性メモリ３２を含む。バッジ２１はまた、ユーザに対して与えられた「許可」と端末に対してアクセスしそのアクセスを維持するために必要な他の情報とを格納するために使用される、ユーザ証明(certificate)揮発性メモリ３３も含む。バッジ２１はまた、バッジの不揮発性メモリに格納される識別番号を保持するものとする。

バッジ２１は、送受信機３４を利用して、種々のコンピュータ端末と通信する。送受信機３４は、システムのコンピュータ端末と通信するためにいかなる形態の通信リンクを利用してもよい。本発明の好ましい実施形態では、送受信機３４は赤外線リンクを利用するが、無線周波数信号または超音波に基づく通信リンクを利用してもよい。赤外線またはＲＦリンクは、通常はバッテリによって電力が供給されるバッジ２１に対して課す電力要件が最も低いので好ましい。赤外線リンクは、バッジが端末の近くにありそれに対して適当に向けられている場合にのみ応答することを確実にするというさらなる利点を有する。一方、ＲＦリンクは、全方向性である傾向があり、ＲＦ信号は多くのタイプの壁を通過することができる。このため、端末は、他の何らかの形態のバッジ局所化なしにはバッジ装着者が近くにいることを保証することができない。

さらに、バッジ２１は、ひも２２の連続性の切断を検出するセンサ３５を有する。センサ３５がひも２２の切断を検出すると、メモリ３３の内容がプロセッサ３１によって消去される。同様に、電源が切れると、メモリ３３の内容は喪失する。またバッジ２１には、誰かがバッジを開くかまたは他の方法でメモリ３３の内容にアクセスしようとする場合に、メモリ３３の内容を喪失されるようにする、センサ３８などの他の形態の「タンパ（改ざん）」センサを備えることができる。このため、バッジ２１が取外されるか、電源が切れるかまたは改ざんされる場合はいつでも、バッジ２１を自動的にリセットする。

後により詳細に説明するように、バッジ２１は、好ましくは、種々のセキュア通信プロトコルで利用される乱数を供給する乱数発生器３９を有する。本技術分野には、「種（シード）」から開始するコンピュータ計算に基づく擬似乱数発生器が既知であり、最高水準のセキュリティが必要でない場合にそれを利用してもよい。しかしながら、本発明の好ましい実施形態では、乱数発生器３９は、１つまたは複数の環境センサを利用して、発生器３９によって供給された先に生成された乱数を観察することによってすら予測することができない方法で、発生器３９によって供給される乱数を生成する。予測不能乱数源は、温度センサかもしくは抵抗器または他の回路コンポーネントによって生成される雑音信号に基づいてもよい。

バッジがユーザに、バッジが端末１１によってロードされる前に取付けられたことは、セキュリティ要員が確認することができる。セキュリティ要員は、すべてのユーザが端末１１に達する前に通過しなければならない場所に配置されている。かかる確認により、ユーザが、バッジを取付けていない時に留め金２３を閉じ、その後ユーザ自身とバッジとをロードのために端末１１に提示することが防止される。

上述したように、種々の端末とバッジ２１との間の通信を、傍受から保護しなければならない。かかる通信をセキュアにするデータ暗号化プロトコルは、当業者には既知であり、したがってここでは詳細には論考しない。この論考の目的で、端末１１と各バッジとが、それらが、端末１１と当該特定のバッジとにのみ既知である、「ｋ」で示す「シークレット」を生成することができるようにするプロトコルを有すると想定する。ｋの値は、発生器３９に生成される乱数に依存するプロトコルによって決まる。たとえば、かかるシークレットを生成するために、Diffie-Hellmanプロトコルの楕円曲線バージョンを利用してもよい。種々の通信アルゴリズムのより詳細な論考のためには、Menezes、van Oorschotおよび VanstoneによるHandbook of Applied Cryptography （CRC Press、1997）と、Blake、 SeroussiおよびSmartによるElliptic Curves in Cryptography （Cambridge University Press、2000）と、を参照されたい。

ここで、病院での設定を考える。ここでは、患者治療レコード等の機密レコードに対する制御されたアクセスを臨床医に提供し、その一方で患者治療レコード等の機密性を保護する。各臨床医は、上述したものと同様のバッジを装着する。バッジには、以下の論考においてＣｒｅｄとして示す臨床医アイデンティティ情報が書き込まれている。この情報を、上述したようにバッジの揮発性メモリに格納する。特に、バッジは、割当てられている臨床医から取外されるとすぐに自動的にＣｒｅｄを消去し非動作状態になる。

バッジを、臨床医に物理的に取付け、バッジと上述した端末１１等の管理コンピュータとの間の認証プロトコルを実行するという動作により、起動する。起動プロトコル中、管理コンピュータは、臨床医の網膜をスキャンすることによって臨床医のアイデンティティを確認する。認証プロトコルの最後に、バッジにＣｒｅｄをロードし、それによってバッジを起動する。

バッジは、動作状態である（すなわち臨床医が装着した状態の）間、臨床医のコンピュータのうちの１つまたは複数（Ｃと示す）と、臨床医がコンピュータに向いＣとバッジとのポートから構成される赤外線通信リンクの範囲内にある時はいつでも、それらとの通信のセキュアなセッションを確立することができる。バッジとＣとの間のこれらのセキュアな通信のセッションは、第２のプロトコルの一部であり、「レコード」プロトコルと呼ぶ。

本発明の好ましい実施形態では、バッジ電源は非常に制限されており、そのため、システムを、好ましくは、バッジ電源に対する需要を最小化するようにセットアップする。種々の通信プロトコルを実行することに加えて、バッジは、管理コンピュータとＣコンピュータとの存在を検出することができなければならない。さらに、バッジは、これらのコンピュータとのやりとり中にそれらに対しその連続した存在を通知することができなければならない。本発明の好ましい実施形態では、バッジは、通信リンク上の信号を待機する「休止」状態を有し、応答を必要とする信号が検出された場合に「ウェークアップ」する。この待機アクティビティと揮発性メモリおよび改ざん検出回路への電力の供給等の他の管理維持機能とを除き、休止状態ではバッジの他の電力消費機能はオフとなる。

バッジは、ユーザに取付けられた後、休止状態に入る。管理コンピュータは、その送受信機が、バッジを起動する用意ができていることを示す周期的ログイン信号を送信するように、プログラムされる。このログイン信号は、バッジを、休止状態にある時に検出するようにプログラムされた信号のうちの１つである。装着者がコンピュータに近づくと、装着者のバッジは、ログイン信号を検出し、装着者がＣコンピュータにログオンすることができるようにバッジにＣｒｅｄがロードされ起動される起動プロトコルのために、ウェークアップする。起動プロトコルが完了すると、バッジは再び休止状態に戻る。

Ｃコンピュータの各々はまた、新たなユーザを自由にログインすることができそのようにする用意ができると、周期的ログイン信号を送信する。この第２のログイン信号はまた、休止状態のバッジによって検出される信号のうちの１つである。バッジ装着者がＣコンピュータに近づくと、バッジは、ログイン信号を検出し、休止状態から切替って後述するログインプロトコルに携わる。

Ｃコンピュータ送受信機を、Ｃコンピュータログインプロトコルの最後に、休止状態のバッジによって認識される第３の信号を送信するようにプログラムする。この信号を、ユーザがまだ端末にいることを確認するために使用する。バッジを、特定の肯定応答信号を返すことによりこの信号に応答するようにプログラムする。この通信は、休止状態動作の一部かまたは第２の低電力状態の一部であってもよい。

バッジが上述した確認信号に肯定応答しない場合、Ｃコンピュータは、休止または低電力状態のバッジによって認識される第４の信号を送信することにより、再ログイン手続きを開始する。この信号を、バッジがそれに応じて応答するかまたは所定時間が経過するまで繰返す。バッジがこのプロトコルに従って応答すると、Ｃコンピュータは、確認信号を再開する。バッジが適当に応答しない場合、ユーザを端末からログオフし、Ｃコンピュータは、Ｃコンピュータログイン信号を送信するモードに入る。

バッジは、楕円曲線点乗算等のそれほど計算を要さない公開鍵暗号化操作を実行し、米国官報（Federal Register）において発表されているようなSecure Hash Standard（セキュアハッシュ標準）で利用されるハッシュ関数ＳＨＡ−１を生成することができる。

管理コンピュータとバッジ装着者との間のやり取りに必要なセキュリティのレベルは、管理コンピュータを包囲するセキュリティのレベルとバッジ装着者の信頼性の程度とによって決まる。たとえば、バッジ装着者が信頼できると想定することができる場合、システムは、装着者がやりとりの記録を防止する必要はない。これにより、第三者がバッジと端末との間の交換において傍受する可能性のみが残る。管理コンピュータが、かかる傍受に関してセキュアな場所にある場合、交換を暗号化する必要はまったくない。

一方、バッジ装着者を信用することができない場合、傍受される心配のない暗号化プロトコルを利用しなければならない。この場合、コンピュータおよびバッジにより、メッセージを暗号化するために後に使用する鍵を生み出すために、いかなる適当な公開または秘密鍵暗号化システムを使用してもよい。秘密鍵システムを利用する場合、システムを、鍵をバッジから抽出することができないことを確実にするように構成しなければならない。たとえば、バッジは、改ざんが検出された場合に鍵情報を消去するタンパセンサを有してもよい。

同様に、Ｃコンピュータとバッジとの間の交換に必要なセキュリティのレベルは、情報の価値と装着者の信頼性とによって決まる。概して、Ｃコンピュータはセキュアではないと想定されるため、バッジとＣコンピュータとは、互いに認証する必要がある。しかしながら、Ｃコンピュータがセキュアである場合、バッジのみをＣコンピュータによって認証すればよい。バッジとＣコンピュータとの間の通信に関するプライバシーを保証するために必要なセキュリティのレベルもまた、これらの通信を監視することができる容易さによって決まる。傍受の可能性がある場合、認証の交換において適当な公開または秘密鍵暗号化システムを利用しなければならない。同様に、バッジとの喪失したリンクを再確立するためにＣコンピュータにおいて利用される二次プロトコルを、バッジ装着者とＣとの間のセッションを開始するために使用されるログインプロトコルより計算集約的でないいかなる適当なセキュアプロトコルによって置換えてもよい。

上述したように、システムは、いかなるタイプの送受信機を使用してバッジと関連するコンピュータ端末との間の通信リンクを生成してもよい。しかしながら、赤外線センサが、必要な電力が比較的小さく、ＲＦリンク等の他のタイプの通信リンクと比べて高いセキュリティを提供するため、好ましい。傍受者は、バッジおよび端末が動作している小部屋または部屋の外の場所からＲＦ信号を監視することができる。一方、光ベースのシステムでは、傍受者は、端末の送受信機とバッジの送受信機との両方に対する妨害のない見通し線を有することが必要である。

本発明の上述した実施形態は、人間の身体からバッジが取外されたことを検出するために、取付ひもにおけるセンサを利用した。しかしながら、この機能のために、装着者からバッジが取外されたことを検知する他の機構を利用してもよい。バッジがユーザから取外された場合に信号を提供するいかなる形態のセンサも利用することができる。たとえば、バッジを、開いたことを検出することができるクリップを介して装着者の衣服に取付けてもよい。クリップが開くと、バッジは非動作状態にリセットされる。同様に、バッジを、リストバンドに組込むことができ、リストバンドは、装着者の手首から取外すことができるほど十分に伸張した場合にバッジに信号を供給する伸張性バンドを有する。

さらに、バッジが許可された個人の身体にまだ装着されていることを確認するために、何らかの形態の生物測定学的な測定を利用する実施形態を構成することができる。この機能のために、体熱または脈拍を検出するセンサを利用することができる。かかるセンサを、ユーザがバッジを装着した場合にセンサがユーザの手首に対して押圧される、本発明の腕時計状の実施形態に含めてもよい。バッジが取外されると、温度が低下するかまたは脈拍信号が喪失する。バッジがその人の財布に入れられている場合、光センサを使用して財布からバッジが取除かれたことを検出することができる。したがって、切断センサ３５を、装着者からのバッジの取外しを検出するいかなるセンサによっても置換えることができる。同様に、ひも２２および留め金２３を、バッジが装着者から取外されたことを示す信号を提供するいかなる取付機構によっても置換えることができる。

本発明の上述した実施形態では、装着者の認証を管理コンピュータに取付けられた装置によって実行すると想定する。しかしながら、認証ハードウェアがバッジ自体の一部である実施形態もまた実施することができる。たとえば、バッジは、指紋スキャナ等の識別センサ４１を含んでもよい。かかる実施形態では、メモリ３２はまた、許可された指紋のファイルを格納する。かかる実施形態では、バッジのコントローラが装着者へのバッジの取付を検出すると、指紋スキャナが使用可能となる。同様に、バッジは、ユーザに取付けられた後にユーザの声紋を記録するために使用されるマイクロフォンを有してもよい。そして、検出された声紋を声紋のライブラリと比較することによりユーザのアイデンティティを確認する。

認識作業を、バッジとコンピュータ端末との間で分割することも可能である。たとえば、指紋スキャナ、マイクロフォン、脈拍検出器または温度検出器等の生物測定学的識別ハードウェアがバッジの一部であってもよい。そして、これらの要素によって測定された測定値を、コンピュータ端末に通信する。その後、コンピュータ端末は、受信した測定値を種々の許可されたユーザを識別するデータと比較する。

装着者からバッジが取外されたことを検出するセンサの上述した実施形態は、単一取付センサを利用したが、いくつかのセンサの組合せを利用することも可能である。たとえば、装着者の体温と脈拍との両方を検出するセンサの組合せから構成された取付センサは、セキュリティを向上させることができる。

同様に、ユーザ識別プロセスの信頼度レベルを向上させるために測定値の組合せを利用することができる。たとえば、指紋と装着者に課される一続きの質問とを利用することができる。

本発明のバッジは、特定の個人には永久的には関連せず、したがって、従業員は自身のバッジを家に持って帰る必要はない。バッジを、必要な場合に部署Ａに近い大きいかごから取出し、一日の終りにそのかごに戻すことができる。このため、バッジを紛失するかまたは破損することに関連するコストおよび不便が大幅に低減される。

当業者には、上述した説明と添付図面とから本発明の種々の変更が明らかとなろう。したがって、本発明は、添付の特許請求項の範囲によってのみ限定されるものである。

複数の端末を有するコンピュータシステムへのアクセスをセキュアにするシステムの概略図。 本発明によるバッジ２１の一実施形態のブロック図。

Claims (19)

1. 人が装着するためのセキュリティバッジであって、
   不揮発性メモリと揮発性メモリとを有するデータプロセッサと、
   該プロセッサによって生成される信号を送信し、該バッジが実施すべき演算を指定する信号を受信する送受信機とを備え、該信号は、セキュアシステムへの前記人によるアクセスを可能にする信号を含み、
   前記人から該バッジが取外されたことを検出し、該取外しを検出した場合に、前記揮発性メモリに格納された情報を、前記人がもはや前記セキュアシステムにアクセスすることができないように変更するようにする取付センサを備え、該揮発性メモリは、前記人に関連するセキュリティクリアランスに関する情報を格納する、セキュリティバッジ。
2. 前記揮発性メモリは、該バッジの装着者がデータ処理システムにアクセスすることができるようにする情報を格納する、請求項１に記載のセキュリティバッジ。
3. 該バッジは、前記揮発性メモリに情報をロードするのを可能にするプログラムを格納する請求項１に記載のセキュリティバッジ。
4. 前記取付センサは、該バッジが前記人に取付けられていることを検出しそれに応答して該バッジが前記揮発性メモリに情報をロードすることができるようにする、請求項３に記載のセキュリティバッジ。
5. 前記送受信機は、光信号をそれぞれ受信および送信する受信機と送信機とを備える、請求項１に記載のバッジ。
6. 前記揮発性メモリの内容を読取ることができるようにする該バッジにおける改変を検出するタンパセンサをさらに備え、該タンパセンサは、前記改変を検出すると前記揮発性メモリに格納された情報が読取不能になるようにする、請求項１に記載のバッジ。
7. 前記タンパセンサは、前記改変を検出すると、前記不揮発性メモリに格納された情報の一部が読取不能になるようにする、請求項６記載のバッジ。
8. 乱数発生器をさらに備える請求項１に記載のバッジ。
9. 前記乱数は、前記乱数発生器によって生成された乱数を確定する環境変数を検知するセンサを備える、請求項８に記載のバッジ。
10. 低電力モードと高電力モードとを有し、
    前記プロセッサは、前記高電力モードにおいて、前記低電力モードでは実行することができない少なくとも１つの計算を実行することができ、前記低電力モードにある間に前記送受信機からの第１の信号を検出し、該第１の信号が検出されると当該バッジが該高電力モードに入るようにし、
    前記低電力モードより前記高電力モードにおいてより電力を消費する請求項１に記載のバッジ。
11. 前記プロセッサは、前記低電力モードにおいて前記送受信機からの第２の信号を検出し、前記低電力モードを脱して応答信号を送信することによって応答する、請求項１０に記載のバッジ。
12. 前記プロセッサは、前記送受信機において第１の信号を受信することに応答して第１のプログラムを実行し、前記送受信機において第２の信号を受信することに応答して第２のプログラムを実行する、請求項１に記載のバッジ。
13. 前記取付センサは、開位置と閉位置とを有し前記バッジを該閉位置で前記人に固定する取付機構と、該機構が該開位置にあることを検出する位置センサとを備える、請求項１に記載のバッジ。
14. 前記取付機構は前記人の身体の一部を取囲むバンドを備える請求項１３に記載のバッジ。
15. 前記位置センサは、前記バンドが切断を含むことを検出する請求項１４に記載のバッジ。
16. 前記位置センサは、前記バンドが所定値より長いことを検出する請求項１４に記載のバッジ。
17. 前記取付機構は、該バッジを前記人が装着する衣服に固定するクリップを備える請求項１３に記載のバッジ。
18. 前記位置センサは、温度センサを備える請求項１３に記載のバッジ。
19. 前記位置センサは前記人の脈拍を検出する脈拍センサである請求項１３に記載のバッジ。
    
    

Images