JP2009531251A - 物品情報の取得 - Google Patents

Abstract

【解決手段】 物品（１０）に関する物品情報をユーザに取得させるための方法および装置。物品は物品と関連付けされた物品識別手段（１２）と、現在適用可能なトリガ信号にさらされた際に所定の応答を提供するように構成されているＲＦＩＤ応答手段（１４）と、を有している。上述の方法は、物品識別手段（１２）から物品識別情報を確立する工程と、物品識別情報を用いて物品情報源（３０）からＲＦＩＤ応答手段のための現在適用可能なトリガ信号を決定する工程と、ＲＦＩＤ応答手段を現在適用可能なトリガ信号にさらす工程と、ＲＦＩＤ応答手段から所定の応答を受け取る工程と、所定の応答を用いて物品情報源から物品情報を得る工程と、を備え、記ＲＦＩＤ応答手段は、ＲＦＩＤ応答手段を現在適用可能なトリガ信号にさらす工程に続いて、新たな現在適用可能なトリガ信号およびこれに関連付けられている新たな所定の応答を生成するように構成されている。
【選択図】 図１

Description

本発明は、物品情報データベースのような物品情報源から、商品のような物品についての情報を取得するための方法およびシステムに関する。より具体的には、本発明は、物品識別情報を提供する視覚的に可読なラベルのような物品識別手段と、ＲＦＩＤタグのような現在適用可能なトリガ信号にさらされた際に所定の応答を提供するように構成されたＲＦＩＤ応答手段と、によって物品情報源から物品情報を取得するための方法およびシステムに関する。

ＲＦＩＤ技術
無線周波数識別（ＲＦＩＤ）は、ＲＦＩＤタグと呼ばれる装置を用いてデータを保存および検索することに依存する識別技術である。ＲＦＩＤは、一般に、ラベルとして機能することが可能な、製品、動物、人間のような物品に取り付けられたりあるいは埋め込まれたりすることが可能な小さな物体である。

典型的には、ＲＦＩＤタグは、小さな記憶機能と無線アンテナとを有する小さな集積回路からなっている。「アクティブ・タグ」と呼ばれるタグは、内部電力源を有しており、この内部電力源は、あらゆる処理回路に電力を供給するとともに出行する信号を生成するために一般的に用いられる。「パッシブ・タグ」と呼ばれる別のタグは、内部電力源を全く有さない。パッシブ・タグは、一般に入来信号に応答するとともに出行信号を生成するのに必要なエネルギーを、リーダが生成する電磁場から受け取ることによって得る。「セミ・アクティブ（または時には「セミ・パッシブ」）タグ」として知られているタグも存在する。セミ・アクティブ・タグは、一般に、タグの処理回路に常に電力を供給するように小さな電力源を有している。したがって、これらのタグは、処理を開始する前に入来信号から電力を受け取る必要がなく、一般にパッシブ・タグより速い応答を提供することが可能になるが、アクティブおよびセミ・アクティブ・タグは、一般に、パッシブ・タグより高価である。

ＲＦＩＤタグは、一般に、ＲＦＩＤと関連付けられている物品に少なくとも関連する識別情報を保持している。現在のＲＦＩＤタグは、典型的には、地球規模上で固有で且つ特定されることが可能な９６ビットの識別子番号を提供する。リーダによって照会されると、タグは、一般に、物品についての詳細な情報を保持しているデータベースにおける一意的な（unique）位置を指し得る識別情報で応答する。識別情報には、製品特性、物品の出所についてのデータ、製造者の身元、他の製造についての詳細、価格情報、ありとあらゆる適当な期限日等が含まれ得る。

ＲＦＩＤ技術は、バーコード技術の少なくとも一部を置き換え得るものと考えられている。バーコード技術については、統一商品コード（ＵＰＣ）と呼ばれる規格が存在する。ＲＦＩＤタグは、バーコードと同様に識別番号を提供することができるが、バーコードとは異なり、視野内になければならないという要件無しに離れた位置からまたは人間が介在することなく読み取ることが可能である。このこと、および大きさが小さいことから、ＲＦＩＤタグは、箱の中に入れることが可能であり、消費財の中に入れられることさえ可能であり、衣服に取り付けることが可能であり、他の様々な用途に用いることが可能である。

ＲＦＩＤタグ技術は、長年に亘って用いられてきており、主要技術の発展は、過去数年の間に、特にオートＩＤセンター（Auto-ID Center）によってＭＩＴとの協力を通じて、行なわれてきた。目的の１つは、ＲＦＩＤタグをできるだけ簡略化することであり、微細なチップで且つタグ単価を０．１米ドル未満とすることである。このレベルであれば、ＲＦＩＤタグが多くの消費財に対して現在用いられているバーコードを置き換え始めることが現実的になると考えられており、続いて、スケールメリットによって新たな用途の研究が可能になるであろう。十分に小さな大きさであるとともに上記のように十分に安価な最初のタグは、パッシブ・タグであろう。

偽造の検知および防止におけるＲＦＩＤ技術
ＲＦＩＤ技術がバーコード技術および可視的な表示のみに基づく他のラベル・システムを即座に改善し得る側面は、製品の虚偽のラベルを検出することである。このことは、偽医薬品や、製造時からの経過時間や「消費期限」によって市場から取り去られるべきであった医薬品およびその他の傷みやすい物品や、衣服および宝石などの偽造ファッション品や、家電品や、その他の品物のような偽造品に基づいた違法な市場を除去することに役立つ。バーコードは読み取られたり「スキャンされたり」すると、簡単にコピーすることが本質的に可能であり、コピーされたものが原物と同じデータを提供する一方、ＲＦＩＤタグは簡単には複製することができない。ＲＦＩＤタグは、一般に、正しいハードウェア以外で「スキャン」することができず、様々なレベルおよびタイプの符号化および認証技術を用いてＲＦＩＤタグが保存していたりこれに関連付けられているデータを保護することができる。この特徴によって、ＲＦＩＤタグを用いて製品と関連付けられることが可能な一意的な製品コードや、流通しているデータベースが提供し得る電子的な「ペディグリー（pedigree）」との協働で、一般に、偽造品が本物であるかのように、本物と思わせるような形でラベル付けすることが、より困難に且つより高価となる。

偽造のまたは消費期限切れの医薬品は、特に、消費者の安全に対して重大な危険をもたらす。世界保健機関（ＷＨＯ）は、世界で７乃至８％の薬が偽造品であると見積もっており、幾つかの国の報告書は、これらの国の薬の半分もが偽造品であることを示唆している。医薬品の安全性を保証することについて政府から委託されている米国の食品医薬品局（ＦＤＡ）のような医療当局は、このような問題に対抗する真剣な取り組みを既に行っており、ＲＦＩＤ技術によって医薬品を複製することをより困難なものあるいは儲からないものにすることが可能であることが示唆されている。２００４年２月にインターネット上で公開されたＦＤＡの報告書「Combating Counterfeit Drugs」は、医薬業界においてＲＦＩＤを用いることを強く支持しており、また、薬の各パッケージ、パレット、箱に一意的な番号を割り当てて製品に関する全ての取引についての情報を記録して製造の時点から販売の時点までの電子「ペディグリー」を提供することを提案している。ＲＦＩＤタグによって生成されるペディグリーまたは情報を監視することによって、薬の購入者は、この薬の真正さを直ちに確認できる。この情報によって、サプライ・チェーンの完全な透明性をもたらすことが可能である。

偽造防止策に対する市場は、もちろん医療分野に限られない。世界貿易の約７パーセントは偽造品であると考えられている。音楽、ソフトウェア、贅沢品産業は、偽造品によって多大な損害をこうむっている。その他の市場もひどく影響を受けている。ヨーロッパで商品化されている自動車部品の最大１０パーセントおよび玩具の最大１２パーセントは複製であると考えられている。この結果の使用者に対するものには、安全性が脅かされること、経済的に損害を受けること、粗悪品を手にすることが含まれる。製造業者にとっては、状況はよりひどい。その結果には、責任について不当に要求されること、ブランドの評判に対して悪い影響があること、収入が減少すること、製品および研究開発に対して悪い影響があることが含まれる。

識別子を偽造防止機構として用いる幾つかのアプローチがある。ここでは、そのようなアプローチの２つについて簡単に説明する。安全対策を有している光学ラベル（例えばホログラム）に含まれている一意的な識別子を用いること、ＲＦＩＤタグに含まれている一意的な識別子を用いることである。

この１つ目のアプローチは、容易に複製することができないラベルまたはホログラムを介して特定の製品を認証することに基づいている。貨幣、パスポート、小切手、銀行カード、クレジット・カード、光学ディスク等のような物品の偽造の防止は、これらの物品を光学的な安全対策を有するラベルと関連付けることによって、および光学的手段によってのみ解読可能な形に光学データを符号化することによって対処することができる。このラベルは、相違する光学的特性で製造することができる。例えば、ラベル膜は、相違する色および相違する光学特性を有する複数の基板から構成することができる。このラベルによって生成される像は、視角によって変化し得る。このラベルは、人間が読むことが可能であるか、特定の光学読み取り機によってのみ読み取ることが可能である。同様のアプローチは、光を異なる方法で反射するラベルを作成することである。反射性ラベルは、所定の波長の光放射を反射する一方でラベル表面の同じ場所を照らす別の所定の波長の光放射は実質的に吸収または伝送するように設計することができる。

以下の２つの特許公報は、ラベルの認証に関する。「Optical Recording Media Having Optically-Variable Security Properties」と題されたＵＳ５，５４９，９５３（Li）と、「Authenticating System」と題されたＵＳ５，５６８，２５１（Davies et al.）である。

より最近のアプローチでは、ＲＦＩＤを偽造防止技術として用いており、その主たる考え方は、一意的な番号を用いて製品を認証することである。一意的なＩＤを用いて、製品のライフ・サイクルの一端から一端までを見渡すことを可能にする電子ペディグリー・システムを構築することができる。薬品の瓶またはパッケージに、一意的な識別子を生成するＲＦＩＤタグを含めることができる。この識別子は、平文の番号とすることが可能で、または暗号化された番号とすることもできる。Verysignによって提案されている解決策は、１０２４ビットの暗号鍵を含んでいるタグに基づいており、またスマート・カードの問題解決手法によって提案されているのと同じ暗号化技術を用いている。

近時、医薬業界は、医薬品のサプライ・チェーンにおける流通の詳細を示す電子薬ペディグリー・システムを構築した。その概念は、ＲＦＩＤタグまたは簡単なバーコードを用いてある特定された製品を製造工場から卸売業者や続く小売業者までその足取りを追うことができることである。ペディグリー・システムは、各物品についての具体的なデータを保持する具体的なデータ・ファイルを利用する。このシステムは、偽医薬品がサプライ・チェーンに持ち込まれる危険を減少することができると思われる。泥棒や偽造者は、工場と卸売り業者との間や卸売業者と小売業者との間との間の弱い繋がりを多くの場合利用するので、このようなペディグリー・モデルと統合されたＲＦＩＤ解決策によって、安価にまた現在のサプライ・チェーン工程を不要に妨害することなく、薬や品物の足取りを追ったり認証したりすることが可能になる。

欧州製薬業界団体連合会（ＥＥＰＩＡ）による、「Anti-Counterfeiting of Medicines」についての２００５年の白書は、医薬サプライ・チェーンの異なる複数の株主の視点から上記の問題を論じており、サプライ・チェーンの透明性を確保するとともに犯罪者に対向するために「トラック・アンド・トレース（track and trace）」情報システムを確立することを提案している。技術の点からは、この提案は、このシステムの基礎をパンヨーロッパ・バーコード規格（pan-European Barcode standard）に置くことである。この規格がＥＰＣ（電子製品コード）に基づいて機能できるべきであること、およびその他のバーコード規格およびＲＦＩＤ技術と両立できることが提案されている。さらに、このような計画が採用されるためには、パッケージ当たりの費用に対する影響が非常に小さいべきであるといわれている。この白書は、この影響はパッケージ当たり１ユーロ・セントを超えないべきであると提案している。この最後の考慮事項は、偽造品対策を適用することが、パッシブＲＦＩＤタグが提供し得る機能を用いることを目指すことが好ましいことを示している。

上記されているように、ＲＦＩＤタグを複製することは、バーコードやその他の可視的な表示に基づいているシステムに従ったラベルを複製するよりも概して困難かつ高価であるが、不可能ではない。読み取り機および何も入っていないタグのような適当な装置を用いて、標準的なタグ（例えばＥＰＣ第２世代タグ）を複製することはものの数分で行なえる。読み取り機は、原物のタグを読み取って、得られた情報を何も入っていないタグに書き込むだけである。

複製作業は、プロプライエタリー（proprietary）・タグが用いられるとともにタグ情報を読み取るのに特定の「トリガ」信号が印加される場合、一層困難である。この場合、犯罪者が目指すのは、一般に、タグが機能するのに依存するトリガ応答アルゴリズムを「リバース・エンジニアリング」することである。場合によっては、「トリガ」信号は、悪意あるユーザによって検出されて保護されているタグ上の情報にアクセスすることに用いられ得る。これを行なう１つの方法は、「盗聴」、つまりＲＦＩＤタグおよび読み取り機からの信号を受動的に聞くこと、を行なうことである。これを行なう別の方法は、互いに異なる「トリガ」信号の集まりを用いて、タグに能動的に問い合わせを行なうことである。このアプローチの成否は、幾つかの要素のうち、タグの暗号化アルゴリズムの複雑度、および一方向関数が用いられているか否か、に依存している。

タグへの攻撃の最後の種類は、ハードウェアのリバース・エンジニアリングである。この場合、犯罪者は、顕微鏡またはタグ回路から発せられる無線信号を用いてタグを物理的に調べる。

パッシブ・タグは、アクティブ・タグよりも複製の危険に対して脆弱である。内部電源が無いゆえに回路がアクティブ・タグの回路よりも単純だからである。この結果、パッシブ・タグが、顕微鏡、無線信号、その他を用いてより容易に調べられるということになり得る。また、このことは、読み取りプロトコルを通じて提供されているあらゆるアクセス制御の安全性が、「ＲＳＡ」またはアクティブ・タグで用いられている楕円曲線暗号のような機構よりも劣りがちであることを意味する。

「Security and Privacy Aspects of Low-Cost Radio Frequency Identification Systems」と題されたStephen Weisらによる論文（Security in Pervasive Computing, vol.2802/2004、 ２００４年１月、２０１乃至２１２ページ）は、ＲＦＩＤシステムとその動作を簡単に説明しており、プライバシーおよびセキュリティー上の危険性およびこれらが低コストＲＦＩＤ装置との関連でどのように適用するかを記述している。この論文は、アクセス鍵のハッシュがタグ上でメタＩＤとして用いられるハッシュ・ロック計画を記述している。読み取り機は、このメタＩＤを取得して正しい鍵を参照し、この正しい鍵がタグに渡されてから、タグがタグＩＤで応答する。この計画は、上述の方法と類似しており、盗聴の被害を受け、アタック・アンド・トラッキングに応答する（メタＩＤは公開されているからである）。

「Hash-based Enhancement of Location Privacy for Radio-Frequency Identification Devices using Varying Identifiers」と題されたDirk Henriciらによる論文（Proceedings of 2nd IEEE Annual Conference on Pervasive Computing、２００４年４月、１４９乃至１５３ページ）は、ＲＦＩＤ装置に関し、一方向ハッシュ関数を基にして追跡可能な識別子を読み取りごとに変えることによって位置のプライバシーを強化することを紹介している。ＩＤはバックエンド・システムによって変更され、バックエンド・システムは、タグＩＤを変更したことをタグに対する最後の通信として伝える。これが失敗すると、バックエンド・システムおよびタグは、同期を失う。

「RFID: Verbraucherangste und Verbraucherschutz」と題されたOliver Bertholdらによる論文（Wirtschaftsinformatik no.47、２００５年、４２２乃至４３０ページ）は、ＲＦＩＤ技術に関連する消費者の不安および消費者保護について論じており、サービス強化されたバックエンド・インフラと無線通信するチップを各物品に付することによって物理的環境をより双方向的および支持的なものにすること可能なことを説明している。この論文は、ＲＦＩＤの導入に関連する主要な不安を紹介しており、これらの不安が政党である程度について論じており、ＲＦＩＤの機能が可能にされたＩＴインフラに対する一層の支配権をユーザに与えるための幾つかのシステム要件を導き出すことを目指している。

２００５年９月にhttp://portal.acm.org/citation.cfm?id=1080793.1080805においてAri Juelsによってオンライン上で公開された「Strengthening EPC Tags Against Cloning」と題された論文は、ＥＰＣタグの初歩的な複製の脅威に対する耐性を高め得る技術について論じている。

「Extending the EPC network: the potential of RFID in anti-counterfeiting」と題されたThorsten Staakeらによる論文（Procs. of 2005 ACM Symposium on Applied Computing、２００５年３月１７日、１６０７乃至１６１２ページ）は、インターネット上でＲＦＩＤに関するデータを共有するためのインフラとともに用いられる一意的な製品識別番号によって「トラック・アンド・トレース」用途の効率的な基礎がもたらされ得るかについ論じている。この論文は、ＥＰＣネットワークを用いて製品のペディグリー情報を提供したり信頼度チェックを可能にすることに言及し、トラック・アンド・トレースの上を行く認証機構を必要とする製品のための解決策を提案している。
米国特許第５，５４９，９５３号明細書 米国特許第５，５６８，２５１号明細書

本発明によれば、物品（１０）に関する物品情報を物品情報源（３０）から得るための方法であって、前記物品は前記物品と関連付けされた物品識別情報を提供する物品識別手段（１２）と、現在適用可能なトリガ信号を受けた際に所定の応答を提供するように構成されたＲＦＩＤ応答手段（１４）と、を有し、
前記方法は、
前記物品識別手段（１２）から物品識別情報を確立する工程と、
前記物品識別情報を用いて前記物品情報源（３０）から前記ＲＦＩＤ応答手段（１４）のための現在適用可能なトリガ信号を決定する工程と、
前記ＲＦＩＤ応答手段を前記現在適用可能なトリガ信号にさらす工程と、
前記ＲＦＩＤ応答手段（１４）から所定の応答を受け取る工程と、
前記所定の応答を用いて前記物品情報源（３０）から物品情報を得る工程と、
を備え、
前記ＲＦＩＤ応答手段（１４）は、前記ＲＦＩＤ応答手段（１４）を前記現在適用可能なトリガ信号にさらす工程に続いて、新たな現在適用可能なトリガ信号およびこれに関連付けられている新たな所定の応答を生成するように構成されている、方法が提供される。

また、本発明によれば、物品（１０）に関する物品情報を物品情報源（３０）からユーザに取得させるための装置であって、物品識別情報を提供するための物品識別手段（１２）とＲＦＩＤ応答手段（１４）とを備え、
前記物品識別手段（１２）は、前記ＲＦＩＤ応答手段（１４）のための現在適用可能なトリガ信号を前記物品情報源（３０）から決定する際に依拠する物品識別情報を確立するための手段を備え、
前記ＲＦＩＤ応答手段（１４）は、前記物品情報源（３０）から所定の応答物品情報を得る際に依拠する前記現在適用可能なトリガ信号にさらされた際に所定の応答を提供するように構成されている手段を備え、
前記ＲＦＩＤ応答手段（１４）は、前記ＲＦＩＤ応答手段（１４）が前記現在適用可能なトリガ信号にさらされたことに続いて新たな現在適用可能トリガ信号を生成するように構成されている手段を備える、
装置が提供される。

ＲＦＩＤ応答手段および情報源が、ＲＦＩＤ応答手段が現在適用可能なトリガ信号にさらされたことに続いて同じ新たな現在適用可能なトリガ信号および所定の応答を生成する際に相互に独立して動作し得ることが理解されるであろう。また、このことは、基本的なプロセスが（ａ）読み取り、（ｂ）タグの更新である上述のWeisらおよびHenriciらのような従来技術とは異なることが理解されるであろう。本発明の実施形態は、出来事の順序が、（ａ）トリガ、（ｂ）読み取りおよび更新、と要約可能なプロセスを用いている。これは、ＲＦＩＤ応答手段が、更新された情報を用いて情報源からさらなる通信を受け取ることを当てにするのではなく原則的に自身を更新することによって可能になっている。

好ましい実施形態によれば、ＲＦＩＤ応答手段は、バックエンド・システムと同時にまたはこれと同じプロセス段階で新たな読み取り鍵を独立して算出または選択し得、ＲＦＩＤ応答手段が首尾よく読み取られれば物品識別情報を首尾よく更新することが保障され得る。

本発明の実施形態によって、製品のような物品が原物であることや、真正なものであることや、本物であることや、「有効」であることや、例えば「海賊版」でないことの保証を少なくとも間接的にユーザが取得することが可能になっている。具体的には、本発明の実施形態によって、物品に取り付けられるか物品と関連付けされているとともにＲＦＩＤ部を有するラベルや、タグや、他のそのような印または情報手段が原物であることや、真正なものであることや、本物であることや、有効であること、特にＲＦＩＤ部そのものが複製でないことをユーザが確認すること、および物品自体の出所および（または）真正さに関する保証をユーザが得ることが可能になっている。

好ましい実施形態によれば、物品識別情報は、物品または物品と関連付けられているラベルに印刷されたバーコードによって提供され得、物品情報源から取得可能なアクセス制限パスワード情報を有効に参照する。このアクセス制限パスワード情報は、認証手続のより後の段階で、保存されているアクセス制限された（restricted-access）一意的識別情報にＲＦＩＤタグのようなラベルのＲＦＩＤ部分を用いてアクセスする際に要求されるものである。しかしながら、最初の物品識別情報は、裸眼でも見ることができ、あらゆるユーザにとって理解可能な形で提供されていたりさえするが、この段階でさらなるセキュリティーまたはプライバシーが要求される場合、物品識別情報自体が隠されたり、符号化されたり、暗号化されてもよい。最初の物品識別情報は、例えば同じまたは別のＲＦＩＤ部によって提供されてもよい。

好ましい実施形態は、例えば信頼できる「第三者機関」によって提供されるセキュアなデータベースを参照して製品の真正さをチェックするために用いられ得る。これは、公共がアクセス可能なまたはアクセス制限されたオンライン・データベースとすることができる。このことは、パスワード保護または別の方法によって達成され得る。物品情報源が参照される度の物品情報源へのアクセス制御を通じて、要求されるセキュリティーのレベルにさらなる柔軟性をもたらすことができる。

ユーザがＲＦＩＤ応答手段のための現在適用可能なトリガ信号を一旦割り出すと、このトリガ信号が用いられてＲＦＩＤ部にこのトリガ信号に対する所定の応答を提供させる。トリガ信号および応答信号が「盗聴者」によって検出または記録される危険があるのは、手続のこの段階である。しかしながら、本発明の実施形態は、首尾よく「盗聴された」情報のいずれをも、即座に、盗聴者にとって無用なものにするように構成されている。これは、現在適用可能なトリガ信号および所定の応答が、盗聴されたトリガ信号にＲＦＩＤ応答手段をさらす機会を盗聴者が持つ前に、変更されることによってなされている。

本発明の好ましい実施形態は、一方向関数またはハッシュ関数を用いる暗号化の仕組みを利用して、一連のパスワードおよび（または）認証コードを首尾よく盗聴した盗聴者であっても依然適用可能なさらなるパスワードおよび（または）認証コードをある期間に亘って推測することが非常に困難または不可能となるようにワンタイム・アクセス・パスワードおよび認証コードを生成することを可能にしている。

物品（例えばインターネットで購入した物品）の真正さをエンド・ユーザが確認することを可能にすることに加えて、幾つかの実施形態によって、製造工場から卸売業者、そして小売業者へのサプライ・チェーンに沿って物品の足取りを追うことが可能である。また、幾つかの実施形態によって、例えば医薬品の場合に適用可能なセキュアな「ペディグリー」による解決策をサポートすることができる。

本発明の実施形態によって、以下を含む、従来システムに対する様々なその他の向上点が提供される。

第１に、信頼できる第三者機関データベースへのアクセスを有する者だけがＲＦＩＤタグ内の情報にアクセスできるように構成することができる。このアプローチによって、悪意あるユーザが、「正しい」情報を生成するタグの複製を作成することが防止される。犯罪者が、読み取りパスワードを、ひいてはタグにより生成される一意的な識別子を盗聴できるとしても、この情報によって犯罪者がタグを複製できることにはならない。読み取りパスワードおよび一意的な識別子は一度だけ用いられることが可能になっており、「ワンタイム・パスワード」と等価なものとみなすことができるからである。

第２に、「ワンタイム・パスワード」によって、セキュアなペディグリー・モデルを可能にする方法が提供される。信頼できる第三者機関がアクセスされて製品が確認される度に、この情報は特定の製品についての特定の情報を保持する特定のデータ・ファイルにおいてログを記録される。このデータ・ファイルは、製品の履歴を表わし、また、製品が観察された相違する複数の場所について記述し得る。悪意あるユーザが、製品がある特定の位置にあったと主張することによって偽りのペディグリーを作り出すことが防止される。信頼できる第三者機関がアクセス・パスワードおよびタグによって生成される一意的な識別子を管理しているからである。このことによって、認証された者のみが信頼できる第三者機関のデータベースにアクセスするということが必要である。

第３に、ＲＦＩＤタグが、物品が正しい読み取りパスワードを用いてユーザによって有効にチェックされているときを除いて何も発信しないので、望ましくない者によって製品の足取りを追われることは阻止される。このことによって、多くの既存のＲＦＩＤ技術によって存在しているプライバシーの問題が回避される。プライバシーは、例えばＨＩＶ／ＡＩＤＳのような病気に対処する特定の薬との関係で非常に重要なテーマであり、このような病気と関連付けられ得る特定の薬を所有するユーザにとって重要である。

まとめると、本発明の好ましい実施形態によって、以下に概要を例示する目的のいずれかまたは全てに貢献する。

・製品が原物であること、および（または）改竄されていないことを確認すること
・製品情報をサプライ・チェーンの中でセキュアに分布させてセキュアな製品ペディグリーの構築を可能にすること
・ＲＦＩＤ、光学的、その他の識別子を読み取り機／ユーザの資格と組み合わせて読み取り機／ユーザに公開される情報を制御すること
・盗聴、不正な読み取り、タグの複製に対向するシステムの安全性を高めること
・システムと信頼できる読み取り機（例えば信頼できるソフトウェアを用いる読み取り機）とを、必要な場合にオフラインの手続きで製品が確認され得るように相互に適用させること
本発明のさらなる特徴および利点は、以下にあくまで例として示されている本発明の実施形態の記述から、また添付の図面を参照して、明らかになるであろう。図面において、同様の参照符号は同様の部分を指している。

次に、本発明の実施形態が、添付の図面を参照して記述される。図１（ａ）および図１（ｂ）は、医薬品が包装およびラベル付与される２つのやり方を示している。図１（ａ）において、錠剤１１の「ブリスター包装」１０が光学ラベル１２およびＲＦＩＤタグ１４を付されていることが示されている。光学ラベル１２は、バーコード、２次元コード、行列コード、例えば物品識別番号が印刷されたラベル、とすることができる。図１（ｂ）において、同様のブリスター包装１０が示されているが、光学ラベル１２はこのブリスター包装１０に関連する外箱１６に印刷されている。光学ラベル１２がブリスター包装１０上にも印刷されていることが示されているが、図１（ｂ）は、光学ラベルが一般的に読めるように目に見える必要がある一方、ＲＦＩＤタグは箱の中に位置している場合や物体自体の中に位置している場合でさえも読み取られ得る点を示している。光学ラベルもＲＦＩＤタグも対象の物品に物理的に取り付けられることは必須ではないことに留意されたい。図１（ｂ）によって示されているように、一方が別の方法で結びついていてもよい。

次に、図２を参照すると、この図は、物品１０と関連付けされている（光学的物品識別部として役立つ）バーコード１２およびＲＦＩＤ１４を有する複合ラベルと、この図ではバーコード読み取り機およびＲＦＩＤ読み取り機としての機能を有する複合情報転送装置として描かれている確認機（verifier）２０と、信頼できる第三者機関データベース３０と、を示している。完全な「認証」動作は、以下のステップを含んでいる。これらのステップは図２において囲みによって示されておいるとともに図３のフローチャートに示されているものと一致している。

ステップ１：「光学的読み取り」：物品の真正さを確認することを望む者（本明細書では「ユーザ」と称される」は、物品と関連付けされているバーコードから物品の身元（identity）を確かなものとするために確認機２０のバーコード読み取り機能を用いて光学ラベル１２を読み取る。（ラベルのバーコード部１２からの身元情報は物品１０を一意的に特定するはずであるが、これは複製であるかもしれないし、物品が真正なものであるという保証をどのようなレベルかを問わず提供しないかもしれない。この例でバーコードによって提供される保証のレベルは、上に概説したような従来システムにおけるペディグリー・データベース上で製品をチェックするのに用いられる簡単なＲＦＩＤタグによって提供される保証のレベルと同じであると考えられる。）
ステップ２：「オンライン・アクセス」：ユーザが、適切な何らかのパスワードまたは他のセキュリティー・チェックを用いてデータベース３０と通信した後、物品身元情報はデータベース３０に送られる。物品身元情報は、確認機２０のバーコード読み取り機の部分から電気的に送信されてもよいし、ユーザによって手動で入力されてもよいし、その他であってもよい。

ステップ３：「読み取りパスワードの提供」：物品身元情報がデータベースにおいて表わされている物品と一致し、且つ当該物品についての読み取りパスワードをユーザが取得しようとすることを阻害する理由が無いことを条件に、ユーザはＲＦＩＤタグ１４についての現在適用可能な読み取りパスワードを受け取る。このパスワードは、確認機２０内に電気的に保存されてもよいし、別の方法で受け取られてもよい。こうすることによって、ラベルを完全に読み取る権利を有する確認機のみに読み取りパスワードが提供されることが保証され、ＲＦＩＤタグ１４を介して関連する製品情報に望ましくない形でアクセスしようとする回数を制限する。

ステップ４および５：「ＲＦＩＤタグにアクセス」：ユーザは、読み取りパスワードを用いて、ＲＦＩＤ１４にある特定された読み取り動作についてのみ有効な一意的な識別子を明かさせる。

ステップ６および７：「物品の確認」ＲＦＩＤタグ１４によって明かされた一意的な識別子は、次いで、データベース３０に渡されることが可能である。データベース３０は、識別子がＲＦＩＤタグ１４に対して現在正しい識別子であるという認証を提供することができる。

確認機の認証および確認機と信頼できる第三者機関との間のセキュアな通信には、既存のインターネット・セキュリティー技術を利用することができることに留意されたい。

「認証」動作が成功したことに続いて、より詳しくは一旦ＲＦＩＤタグ１４が現在利用可能な読み取りパスワードの対象とされる（ステップ４）とともに現在の一意的な識別子が明かされる（ステップ５）と、ＲＦＩＤタグの内部ロジックは、現在使われている読み取りパスワードおよび一意的な識別子を新たな読み取りパスワードおよび一意的な識別子と置き換える。例えば以前の読み取りパスワードを盗聴によって得た悪意あるユーザによって、以前の読み取りパスワードにさらされた場合、ＲＦＩＤタグは応答しない。

ＲＦＩＤから一意的なＩＤを生成するための考えられる仕組みが次に記述される。この仕組みによって、タグがアクセスされるたびに別の一意的なＩＤを生成できるように暗号化の仕組みがタグ内で実行される。この暗号化の仕組みは、正しい読み取りパスワードがタグに供給される度に、悪意ある者がタグ内に保存されているシークレットを知ること無しに正しい暗号を生成することが困難または不可能であるように構成された別の暗号文が生成される暗号化の仕組みである。悪意ある者がタグの出力を長期間に亘って観察することができるとしても、最初の、次の、さらに次の出力は全く異なるものであるとともに相互に関連を有さない（unlinkable）ものである。このため、悪意ある者は読み取りパスワードまた（または）以前に観察した順序においてこの読み取りパスワードに続く出力を推測することが防止される。

偽造防止用途についての要件に対処するために、Ohkubo, Suzuki and Kinoshitaによって提案されているのと同様の以下のハッシュ・チェインの仕組みが開発された。(Miyako Ohkubo, Koutarou Suzuki & Shingo Kinoshita: 「Efficient Hash-Chain Based RFID Privacy Protection Scheme」, International Conference on Ubiquitous Computing, Workshop Privacy, ２００４年９月を参照されたい）
次に、図４を参照すると、タグは、最初、（例えば１２８ビット数の）ローカル・シークレット（local secret)「Ｓ」を内部に持っている。そのうちの一部（例えば最初の４８ビット）は、読み取りパスワードとして用いられる。読み取り機が、タグに、正しい読み取りパスワードで照会を行なうと、ローカル・シークレット「Ｓ」は更新される。ローカル・シークレット「Ｓ」は、ハッシュ関数Ｈへ入力として提供され、タグ内の「Ｓ」を保存しているメモリ・レジスタは出力「Ｓ１」へと更新される。したがって、読み取りパスワードは（例えば「Ｓ１」の最初の４８ビットの）「ＲＳ１」へと更新される。タグの出力は、シークレット「Ｓ１」を関数Ｇへの入力として提供することによって生成される。関数Ｇも一方向関数またはハッシュ関数であり得る。出力値「Ｏ１」が読み取り機に転送されて、製品の真正さを確認するために用いられることができるのはこの値である。続く動作では、正しいパスワード「ＲＳ１」が提供された結果、ローカル・シークレットは「Ｓ２」へと更新され、出力値「Ｏ２」が読み取り機に転送される。

一方向関数またはハッシュ関数Ｈ、Ｇの特性に基づいて、出力「Ｏ」、ローカル・シークレット「Ｓ」、読み取りパスワード「ＲＳ」の値は、異なるとともに相互に関連を有さない。この関数が一方向性であるため、出力から入力および読み取りパスワードを取り出すことは不可能である（すなわち、算出不可能である）。現実的に可能な唯一の攻撃は、タグの情報を改竄することである。この場合、犯罪者は、タグ内のシークレットにアクセスできるかもしれない。しかしながら、上記の仕組みは、ハッシュ・チェインの特徴（特に一方向性という特徴）のおかげで、フォワード・セキュリティー特性をもたらす。タグが以前のステップで発行した情報は、依然、複製することができない。したがって、この特徴によって、ペディグリー情報のセキュリティーがもたらされる。

読み取り機が一意的な出力値「Ｏ」を一旦受け取ると、読み取り機は、このシークレットを、製品が原物であるかを判断するための確認に向けて信頼できる第三者機関に渡すことができる。すると、製品の状態が、確認機２０を介して、またはその他の方法でユーザに提示される。信頼できる第三者機関は、通常、タグとの同期を保っていること留意することは重要である。この結果、信頼できる第三者機関は、読み取りパスワードおよびタグの出力を完全に見渡せる唯一の存在である。信頼できる第三者機関は読み取り機からの要求を複雑度ｏ（１）で解決することができるのだが、検索処理時間は無視可能であるということができる。

信頼できる第三者機関は、「通常」、タグとの同期を保っていると述べた。同期が失われるのは、例えば、ユーザが（正当にまたは悪意を持って）タグの読み取り動作を首尾よく行ってタグに読み取りパスワードを更新させたのだが出力または一意的な識別子を信頼できる第三者機関に渡すことによる認証手続を完了しない場合に起こり得ることがわかるであろう。しかしながら、本システムは、このシステムがシーケンスにおいて読み取りパスワード１つと同期しない状態だけが許されるようなやり方で設定することが可能である。これに続く、認証手続を完了しようとする試みは失敗するからである。タグは、信頼できる第三者機関によって提供されたパスワードの（順番において）１つ前の読み取りパスワードを受けたときだけ動作するように設定される。この結果、読み出しの試みは失敗し、タグは自分自身をこれ以上更新しない。したがって、本システムは、本システムのセキュリティーのレベルを実質的に一切下げることなく、第三者機関またはタグを介した再同期または再設定を可能にするように設定することが可能である。

オンラインで信頼できる第三者機関を用いた本アプローチは、幾つかの点で不都合なものとみなされ得る。このアプローチによって、ユーザがオンラインでの「参照」動作を行なう（この動作は、製品を確認する必要がある度に行なう必要があるかもしれない）ことが必要になるからである。しかしながら、このことは、利点も提供する。例えば、幾つかの医薬品および他の傷みやすい物品の場合、本当の出所からの物品は、古くなり過ぎると、効果がなくなっていたり、危険なものになりさえし、したがって、所定の「品質保証」期限を過ぎた後は「無効な」ものとして扱われるべきである。物品の真正さを明らかにする際にユーザにオンライン・データベースに照会することを強いることによって、ユーザに、「品質保証」期限が過ぎたという指摘がユーザに提供され、物品に印刷されている「品質保証」期限を不正に改変することによって悪意ある第三者が期限切れをごまかして期限切れの物品を有効なものとしようとするのを阻害する。

上記の理由および他の理由によって、オンラインで信頼できる第三者機関を用いた本発明の実施形態によって、特に中央集権化されている製品ペディグリーが必要な場合に、セキュリティーと簡便さにおいて良好なトレードオフが可能になるものと考えられる。

本仕組みが信頼できる読み取り機（すなわち、認証された信頼できるソフトウェアとともに動作する読み取り機）とともに実施されれば、信頼できる第三者機関は、ある物品へのアクセスを特定の証明当局に委任してもよいことが理解されるであろう。そして、証明機関は、タグにアクセスするための適切な読み取りパスワードを選択するとともにタグをオフライン動作で確認する。しかしながら、信頼できる証明者と信頼できる第三者機関とを同期させるための方法が依然必要である。このことは、読み取り機が信頼できれば、認証サービスを代理することが、選択されたタグについて読み取り機が実行可能である（すなわち、あるシークレットを読み取り機に公開して、この結果、読み取り機はパスコード（passcode）を決定するとともにタグの応答を確認できる）。

例として、医薬品の状況について再度検討する。上記のように、医薬業界および様々な政府組織は、瓶や錠剤の箱のような個別の製品がこれらの出所を確認できるように一意的な識別子を用いてその足取りを追うことを可能にする仕組みを取り入れることに熱心である。このことによって、消費者の安全の観点から利点が提供され、また企業が偽造品に勝利することが可能になり、企業の製品の安価なおよび場合によっては危険な複製品の流入から市場が保護される。

本発明の実施形態に従った認証を可能にする仕組みを実行するために、医薬品が製造されるとともに卸売り業者に送られる際に、ＲＦＩＤタグを伴った適切なラベルが各箱または瓶に付される。外箱もＲＦＩＤタグを伴った適切なラベルを有していて、この箱が原物であるとともに認証された製品を収容していること卸売業者がチェックできるようにしてもよい。箱がいったん確認され、開封されると、各製品は、確認されてから、売り出されたり、小売業者に配送されたりする。その後、各製品は、医薬品小売業者に配送されて、最終的なユーザへと売られる。

サプライ・チェーンにおける全ステップの各々において、製品を確認するとともにペディグリー情報を更新してもよい。各ステップにおいて、確認者は、製品のペディグリー情報にアクセスしてこの製品が原物である確信を得ることができる。

医薬品が包装およびラベル付与される２つのやり方を示している。 本発明の好ましい実施形態に従って行なわれる「認証」動作に関与する要素を示している。 本発明の好ましい実施形態に従って行なわれる「認証」動作に関与するステップを示すフローチャートである。 ＲＦＩＤタグ用のただ１つのＩＤの組を生成するための計画を示している。

Claims (29)

1. 物品（１０）に関する物品情報を物品情報源（３０）から得るための方法であって、前記物品は前記物品と関連付けされた物品識別情報を提供する物品識別手段（１２）と、現在適用可能なトリガ信号にさらされた際に所定の応答を提供するように構成されているＲＦＩＤ応答手段（１４）と、を有し、
   前記方法は、
   前記物品識別手段（１２）から物品識別情報を確立する工程と、
   前記物品識別情報を用いて前記物品情報源（３０）から前記ＲＦＩＤ応答手段（１４）のための現在適用可能なトリガ信号を決定する工程と、
   前記ＲＦＩＤ応答手段を前記現在適用可能なトリガ信号にさらす工程と、
   前記ＲＦＩＤ応答手段（１４）から所定の応答を受け取る工程と、
   前記所定の応答を用いて前記物品情報源（３０）から物品情報を得る工程と、
   を備え、
   前記ＲＦＩＤ応答手段（１４）は、前記ＲＦＩＤ応答手段（１４）を前記現在適用可能なトリガ信号にさらす工程に続いて、新たな現在適用可能なトリガ信号およびこれに関連付けられている新たな所定の応答を生成するように構成されている、方法。
2. 前記ＲＦＩＤ応答手段（１４）および物品情報源（３０）が、各々、前記新たな現在適用可能なトリガ信号およびこれに関連付けられている所定の応答を生成するように構成されている、請求項１の方法。
3. 前記物品情報源（３０）が少なくとも１つのオンライン・データベースを備えている、請求項１または２の方法。
4. 前記物品情報源（３０）が制限つきでアクセス可能な（limited-access）物品情報源を備えている、請求項１乃至３のいずれか１項の方法。
5. 前記物品情報源（３０）がアクセス制限された（restricted-access）トリガ信号を保持している、請求項１乃至４のいずれか１項の方法。
6. 前記物品情報源（３０）がアクセス制限された（restricted-access）物品情報を保持している、請求項１乃至５のいずれか１項の方法。
7. 前記物品識別手段（１２）および前記ＲＦＩＤ応答手段（１４）が、物品パッケージ（１６）と関連してまたは前記物品（１０）自体と関連して物品ラベル上に設けられている、請求項１乃至６のいずれか１項の方法。
8. 前記物品識別手段（１２）が視覚的に観察可能な物品識別情報を提供する、請求項１乃至７のいずれか１項の方法。
9. 前記物品識別手段（１２）が電気的に読み取り可能な物品識別情報を提供する、請求項１乃至８のいずれか１項の方法。
10. 前記電気的に読み取り可能な物品識別情報が前記ＲＦＩＤ手段（１４）または第２ＲＦＩＤ応答手段によって提供される、請求項９の方法。
11. 前記物品識別手段（１２）がバーコード、２次元コード、または行列コードによって物品識別情報を提供する、請求項１乃至１０のいずれか１項の方法。
12. 前記ＲＦＩＤ応答手段（１４）がパッシブＲＦＩＤタグである、請求項１乃至１１のいずれか１項の方法。
13. 前記所定の応答が、前記ＲＦＩＤ応答手段（１４）が現在適用可能なトリガ信号にさらされたときのみ前記ＲＦＩＤ応答手段（１４）によって提供される、請求項１乃至１２の方法。
14. 前記ＲＦＩＤ応答手段（１４）が新たな現在適用可能なトリガ信号を生成する工程が、前記ＲＦＩＤ応答手段（１４）が、
    所定の一連の現在適用可能なトリガ信号から次の要素を選択および用いること、
    所定の一方向関数またはハッシュ関数を前記現在適用可能なトリガ信号に適用すること、
    擬似ランダム関数を前記現在適用可能なトリガ信号に適用すること、
    の少なくとも１つを実行することを備える、請求項１乃至１３のいずれか１項の方法。
15. 前記ＲＦＩＤ応答手段（１４）が新たな応答を生成する工程が、前記ＲＦＩＤ応答手段（１４）が、
    所定の一連の所定の応答から次の要素を選択および用いること、
    所定の一方向関数またはハッシュ関数を既存の所定の応答に適用すること、
    擬似ランダム関数を既存の所定の応答に適用すること、
    の少なくとも１つを実行することを備える、請求項１乃至１４のいずれか１項の方法。
16. 物品（１０）に関する物品情報を物品情報源（３０）からユーザに取得させるための装置であって、物品識別情報を提供するための物品識別手段（１２）とＲＦＩＤ応答手段（１４）とを備え、
    前記物品識別手段（１２）は、前記ＲＦＩＤ応答手段（１４）のための現在適用可能なトリガ信号を前記物品情報源（３０）から決定する際に依拠する物品識別情報を確立するための手段を備え、
    前記ＲＦＩＤ応答手段（１４）は、前記物品情報源（３０）から所定の応答物品情報を得る際に依拠する前記現在適用可能なトリガ信号にさらされた際に所定の応答を提供するように構成されている手段を備え、
    前記ＲＦＩＤ応答手段（１４）は、前記ＲＦＩＤ応答手段（１４）が前記現在適用可能なトリガ信号にさらされたことに続いて新たな現在適用可能トリガ信号を生成するように構成されている手段を備える、
    装置。
17. 前記物品情報源（３０）が少なくとも１つのオンライン・データベースを備えている、請求項１６の装置。
18. 前記物品情報源（３０）が制限つきでアクセス可能な（limited-access）物品情報源を備えている、請求項１６または１７の装置。
19. 前記物品情報源（３０）がアクセス制限された（restricted-access）トリガ信号を保持している、請求項１６乃至１８のいずれか１項の装置。
20. 前記物品情報源（３０）がアクセス制限された（restricted-access）物品情報を保持している、請求項１６乃至１９のいずれか１項の装置。
21. 前記物品識別手段（１２）および前記ＲＦＩＤ応答手段（１４）が、物品パッケージ（１６）と関連してまたは前記物品（１０）自体と関連して物品ラベル上に設けられている、請求項１６乃至２０のいずれか１項の装置。
22. 前記物品識別手段（１２）が視覚的に観察可能な物品識別情報を提供する、請求項１６乃至２１のいずれか１項の装置。
23. 前記物品識別手段（１２）が電気的に読み取り可能な物品識別情報を提供する、請求項１６乃至２２のいずれか１項の装置。
24. 前記電気的に読み取り可能な物品識別情報が前記ＲＦＩＤ手段（１４）または第２ＲＦＩＤ応答手段によって提供される、請求項２３の装置。
25. 前記物品識別手段（１２）がバーコード、２次元コード、または行列コードを備えている、請求項１６乃至２４のいずれか１項の装置。
26. 前記ＲＦＩＤ応答手段（１４）がパッシブＲＦＩＤタグである、請求項１６乃至２５のいずれか１項の装置
27. 前記ＲＦＩＤ応答手段（１４）が、前記ＲＦＩＤ応答手段（１４）が現在適用可能なトリガ信号にさらされたときのみ前記所定の応答を提供するように構成されている、請求項１６乃至２６の装置。
28. 前記ＲＦＩＤ応答手段（１４）が、
    所定の一連の現在適用可能なトリガ信号から次の要素を選択および用いること、
    所定の一方向関数またはハッシュ関数を前記現在適用可能なトリガ信号に適用すること、
    擬似ランダム関数を前記現在適用可能なトリガ信号に適用すること、
    の少なくとも１つを実行するように構成されている手段を備えている、請求項１６乃至２７のいずれか１項の方法。
29. 前記ＲＦＩＤ応答手段（１４）が、
    所定の一連の所定の応答から次の要素を選択および用いること、
    所定の一方向関数またはハッシュ関数を既存の所定の応答に適用すること、
    擬似ランダム関数を既存の所定の応答に適用すること、
    の少なくとも１つを実行するように構成されている手段を備えている、請求項１６乃至２８のいずれか１項の方法。

Images